JP5576563B2 - 秘密情報を管理する情報処理装置、方法およびプログラム - Google Patents

Description

本発明は、情報漏洩対策技術（ＤＬＰ：Data Loss Prevention）に関し、より詳細には、複数のアプリケーション間で電子文書のコンテンツデータを複製利用する場合に、コピーデータに含まれる秘密情報を管理する情報処理装置、方法およびプログラムに関する。

近年、個人情報や機密情報等の秘密情報の漏洩が大きな社会問題となっている。企業や官庁等では、ネットワークを介して複数の者がアクセス可能なデータサーバ等に秘密情報を保存して管理されており、このような秘密情報を含む電子文書に種々のアクセス権を設定してアクセスを制限することにより、秘密情報の漏洩が図られている。

一方、新たに電子文書を作成する場合、既存の電子文書のコンテンツデータを複製して利用することが日常的に行われている。しかしながら、秘密情報が含まれている既存の電子文書を利用して新たな電子文書を作成する場合、既存の電子文書に含まれているコンテキストデータを複製することにより、秘密情報が漏洩してしまう虞がある。この点につき、秘密情報の漏洩を防止する種々の技術が提案されている。

特許文献１は、コピーデータを暗号化してクリップボードに格納し、ペースト先で暗号化されたコピーデータを復号化する情報漏洩防止方法を開示する。この方法では、コピー元が保護すべき文書である場合、ペースト先が保護すべき文書であるときにコピーデータを送信し、ペースト先が保護すべき文書でないときにはダミーデータを送信することによって情報漏洩の防止を図っている。

また、特許文献２は、重要文書および一般文書のコピーデータを保存する領域を有するクリップボードを用いて、文書のコピーを制御する方法を開示する。この方法は、コピー元文書が重要文書である場合には、指定されたコピーデータを重要文書用のクリップボードに保存する。コピー先文書が重要文書であれば、重要文書用のクリップボードからコピーデータを読み出してペーストし、コピー先文書が一般文書であれば、重要文書用のクリップボードからのコピーデータの読み出しを禁止することにより、重要文書の漏洩の防止を図っている。

さらに、特許文献３は、保護対象である電子文書を使用して別の電子文書を生成する場合に、クリップボードに保存されたデータのアクセス権および認証情報を管理する電子文書管理装置を開示する。この電子文書管理装置は、保護対象であるコピー元の電子文書のアクセス権限をコピー先の電子文書に継承させることにより、情報漏洩の防止を図っている。

特開２０１０−０５５３７１号公報 ＷＯ２００６／１０３７５２号公報 特開２００８−１２３２４３号公報

しかしながら、特許文献１および２に示す方法では、ペースト先が保護すべき文書や重要文書でない場合には、コピー元の保護すべき文書や重要文書からデータを複製利用することができず、電子文書の作成におけるユーザビリティが低いという問題があった。

また、特許文献３に示す電子文書管理装置では、コピー元の電子文書のアクセス権をそのまま継承するため、実際にはコピーデータに秘密情報が含まれていない場合でも、秘密情報が含まれる際に設定すべきアクセス権がコピー先の電子文書に設定されてしまうという問題があった。

本発明は上記の課題を解決するものであり、コピー先の電子文書の属性によって秘密情報を含む電子文書からの複製を制限することなく、また、秘密情報を含む電子文書からコピーデータをペーストした場合でも、コピー先の電子文書の秘密性を適正化する情報処理装置、方法およびプログラムを提供することを目的とする。

すなわち、本発明によれば、ユーザが指定したコンテンツデータと、コンテンツデータを含む電子文書の秘密性を示すラベルとをクリップボードに保存し、ユーザが指定したコンテンツデータをコピー先の電子文書にペーストし、ユーザが指定したコンテンツデータを含む電子文書のラベルを、コピー先の電子文書のラベルとして、電子文書のラベルを登録するデータテーブルに暫定的に保存し、コピー先の電子文書の秘密性を検査して、暫定的に保存したラベルを確定または削除する情報処理装置を提供する。これにより、コピー先の電子文書の属性によって秘密情報を含む電子文書からの複製を制限することなく、コピー先の電子文書の秘密性を適正化することができる。

本発明によれば、ユーザが指定したコンテンツデータを含む電子文書のラベルを、コピー先の電子文書のラベルとして、電子文書のラベルを登録するデータテーブルに暫定的に保存し、コピー先の電子文書の秘密性を検査して、暫定的に保存したラベルを確定または削除することにより、コピー先の電子文書の属性によって秘密情報を含む電子文書からの複製を制限することなく、コピー先の電子文書の秘密性を適正化する方法およびプログラムを提供することができる。

本発明の一実施形態に係る情報処理装置の機能構成を示す図。 図１に示す実施形態の情報処理装置が実行する処理の一実施形態を示すフローチャート。 本実施形態の情報処理装置が実行する潜在ラベルの確定処理を示すフローチャート。 本実施形態の情報処理装置がアクセス要求を受信した場合に実行するラベル情報の更新処理を示すフローチャート。 図１に示す実施形態の情報処理装置が使用するラベルテーブルの一実施形態を示す図。 本発明の他の実施形態に係る情報処理装置の機能構成を示す図。 図６に示す実施形態の情報処理装置が実行する処理の一実施形態を示すフローチャート。 図６に示す実施形態の情報処理装置が使用するラベルテーブルの一実施形態を示す図。

以下、本発明について実施形態をもって説明するが、本発明は、後述する実施形態に限定されるものではない。

図１は、本発明の一実施形態に係る情報処理装置の機能構成を示す図である。情報処置装置１００は、電子文書を作成および編集可能なアプリケーションを実装するデスクトップ型ＰＣやノート型ＰＣ、タブレット型ＰＣ等の各種コンピュータ、スマートフォンや携帯電話、ＰＤＡ等の携帯情報端末などの情報処理装置である。

情報処置装置１００は、Ｗｉｎｄｏｗｓ（登録商標）７、Ｗｉｎｄｏｗｓ Ｖｉｓｔａ（登録商標）、Ｗｉｎｄｏｗｓ ＸＰ（登録商標）、Ｗｉｎｄｏｗｓ２００Ｘ Ｓｅｒｖｅｒ（登録商標）、Ｗｉｎｄｏｗｓ Ｍｏｂｉｌｅ（登録商標）等のＷｉｎｄｏｗｓシリーズ、Ｍａｃ ＯＳ（登録商標）、ＵＮＩＸ（登録商標）、ＬＩＮＵＸ（登録商標）、Ａｎｄｒｏｉｄ（登録商標）、Ｇｏｏｇｌｅ Ｃｈｒｏｍｅ Ｏｓ、ＴＲＯＮ、ＩＴＲＯＮなどのＯＳの管理下で、アセンブラ、Ｃ、Ｃ＋＋、Ｊａｖａ（登録商標）、ＪａｖａＳｃｒｉｐｔ（登録商標）、ＰＥＲＬ、ＰＨＰ、ＲＵＢＹ、ＰＹＴＨＯＮなどのプログラム言語で記述された本発明のプログラムを実行する。

情報処置装置１００は、本発明のプログラムを実行するための実行空間を提供するＲＡＭ、プログラムやデータなどを持続的に保持するためのハードディスク装置（ＨＤＤ）やフラッシュメモリなどの記憶装置を含んでおり、本発明のプログラムを実行することにより、後述する本実施形態の各機能を情報処置装置１００上に実現する。本実施形態の各機能部は、上述したプログラミング言語などで記述された装置実行可能なプログラムにより実現できる。本発明のプログラムは、他の情報処理装置が可読な形式でネットワークを介して伝送することができる。

情報処理装置１００は、アプリケーションプログラム１１０，１３０と、ＯＳ１２０とを含んで構成される。

ＯＳ１２０は、情報処理装置１００の全体制御を行うシステムプログラムであり、アプリケーションプログラム１１０，１３０間で電子文書のコンテンツデータをコピーする機能を提供する。情報処理装置１００は、コピーすべきコンテンツデータと、そのラベルとを一時的に保存する共有のメモリ領域（以下、「クリップボード」とする。）１２１を備えている。ＯＳ１２０は、コピー元のアプリケーションプログラム１１０からのコピー（複製）要求により、当該アプリケーションが処理する電子文書に含まれるコンテキストデータを、コピー対象のデータ（以下、「コピーデータ」とする。）１２２としてクリップボード１２１に保存する。そして、ＯＳ１２０は、コピー先のアプリケーションプログラム１３０からのペースト（貼り付け）要求により、クリップボード１２１に保存されたコピーデータ１２２を、コピー先のアプリケーションプログラム１３０が処理する電子文書にコピーする。

アプリケーションプログラム１１０は、電子文書のコンテンツデータを作成および編集可能なエディタ等のソフトウェアプログラムである。アプリケーションプログラム１１０は、本発明が提供するプログラムであるプラグインモジュール１１１と、当該プラグインモジュールが管理するラベルテーブル１１４とを実装している。

プラグインモジュール１１１は、コピー部１１２と、ラベル継承部１１３と、アクセス制御部１１５と、ラベル更新部１１６とを含む。

コピー部１１２は、アプリケーションプログラム１１０を使用中のユーザが、キーボードやマウス、タッチパネル等の入力インタフェースを用いて発行したコピー要求を検出し、ユーザがコピー指定したコンテキストデータを、コピーデータ１２２としてクリップボード１２１に保存する。

ラベル継承部１１３は、コピー元のアプリケーションプログラム１１０が処理する電子文書の秘密性、すなわち、電子文書のコンテキストデータに秘密情報が含まれるか否かを示すラベルが登録されたラベルテーブル１１４を参照し、当該電子文書に割り当てられている総てのラベルを、コピーデータ１２２のメタ情報としてクリップボード１２１に保存する。なお、ラベルテーブル１１４については、図５を参照して詳細に説明する。

アクセス制御部１１５は、秘密情報を有する可能性のある電子文書のアクセスを制御する。アクセス制御部１１５は、電子文書ファイルのオープンやその印刷出力処理等のアクセスを検出すると、ラベルテーブル１１４に登録されたアクセス対象の電子文書のラベルを使用して、当該電子文書へのアクセス（例えば、読み取り処理、書き込み、出力処理など）を制限または許可する。

例えば、アクセス制御部１１５は、アクセス対象の電子文書に秘密情報が含まれる場合には、当該電子文書のコンテンツデータの出力処理を制限することができる。また、電子文書に対する読み取り処理が要求された場合、アクセス制御部１１５は、ラベルテーブル１１４を参照して、当該電子文書に秘密情報が含まれるか否か判断する。当該電子文書に秘密情報が含まれる場合には、アクセス制御部１１５は、ユーザの識別情報と、ユーザ毎のアクセス権（例えば、読み取り処理、書き込み、出力処理などの権限）と、電子文書の識別情報とが登録された認証テーブル（図示せず）をさらに参照し、アクセス要求するユーザが、読み取り処理が要求される電子文書の読み取り処理を許可されているか否か判断し、その結果に応じて、読み取り処理を許可または許否することができる。

ラベル更新部１１６は、ラベルテーブル１１４に登録されたラベル情報であるラベルおよびラベルの生成時間を更新する。ラベルには、コピー元の電子文書に割り当てられたラベルを継承する暫定的なラベル（以下、「潜在ラベル」とする。）と、コピーデータがペーストされた電子文書のコンテンツデータをスキャンすることによって確定するラベル（以下、「確定ラベル」とする。）とがある。本実施形態の潜在ラベルおよび確定ラベルには、それぞれ秘密情報である機密情報または個人情報が電子文書に存在することを示すラベルがある。他の実施形態では、例えば、さらに限定された者のみがアクセス可能な最高機密情報、未発表の研究内容や製品情報、給与情報等の種々の秘密情報を示すラベルを採用することができる。

ラベル更新部１１６は、秘密情報である文字列や数字列等が登録されたデータベース（図示せず）を参照し、電子文書に含まれるコンテンツデータと当該秘密情報とが合致するか否か判断することによって電子文書の秘密性を検査する。そして、ラベル更新部１１６は、その検査結果に応じて、ラベルテーブル１１４のラベル情報を更新する。すなわち、ラベル更新部１１６は、秘密情報が存在すると判断した場合には、潜在ラベルを確定ラベルに変更し、または、既に確定した確定ラベルを維持する。一方、秘密情報が存在しないと判断した場合には、ラベル更新部１１６は、当該電子文書に関連付けられた確定ラベルおよび潜在ラベルを削除する。

本実施形態では、ラベル更新部１１６は、電子文書に対するアクセス要求時または定期的にラベル情報を更新する。他の実施形態では、アプリケーションプログラム１１０，１３０が電子文書を保存する場合にラベル情報を更新してもよい。

アプリケーションプログラム１３０は、アプリケーションプログラム１１０と同様に、電子文書を作成および編集可能なソフトウェアプログラムであり、プラグインモジュール１３１と、当該プラグインモジュールが管理するラベルテーブル１３４とを実装している。

プラグインモジュール１３１は、ペースト部１３２と、ラベル継承部１３３と、アクセス制御部１３５と、ラベル更新部１３６とを含む。なお、アクセス制御部１３５およびラベル更新部１３６は、アクセス制御部１１５およびラベル更新部１１６と同様の機能を有するため、以下、説明を省略する。

ペースト部１３２は、アプリケーションプログラム１３０を使用中のユーザが入力インタフェースを用いて発行したペースト要求を検出し、クリップボード１２１に保存されたコピーデータ１２２を、アプリケーションプログラム１３０が処理する電子文書にペーストする。本実施形態では、ペースト部１３２は、クリップボード１２１に保存された複数のコピーデータ１２２の中からユーザが選択指定したコピーデータ１２２をペーストすることができる。

他の実施形態では、コピーデータをマスクするフィルタリング部をプラグインモジュール１３１に設けてもよい。この場合、フィルタリング部は、コピーデータをペーストする際に、上述したラベル更新部１１６と同様に、電子文書の秘密性を検査し、その検査結果に応じてコピーデータに含まれる秘密情報をマスクする。そして、ペースト部１３２は、秘密情報をマスクしたコピーデータをペーストすることができる。

ラベル継承部１３３は、コピー先のアプリケーションプログラム１３０が処理する電子文書にペーストしたコピーデータのメタ情報であるラベル１２３をクリップボード１２１から取得し、当該電子文書に関連付けてラベルテーブル１３４に登録する。ラベル継承部１３３は、コピー元の電子文書に関連付けられたラベル１２３を、コピー先の電子文書のラベルとして暫定的に登録することにより、コピー元からラベルを継承する。なお、ラベルテーブル１３４については、図５を参照して詳細に説明する。

図１に示す実施形態では、説明を明確にすべく、コピー部１１２およびラベル継承部１１３と、ペースト部１３２およびラベル継承部１３３とが、別個のプラグインモジュール１１１，１３１に実装されているが、本発明の情報処理装置１００は、これらの機能部をプラグインモジュール１１１，１３１にそれぞれ実装させて、アプリケーションプログラム１１０，１３０間における双方向のコピーおよびペースト処理を実現することができる。

図２は、図１に示す実施形態の情報処理装置が実行する処理の一実施形態を示すフローチャートである。以下、図２を参照して、情報処理装置１００が実行する処理について説明する。

図２の処理は、ステップＳ２００から開始し、ステップＳ２０１では、プラグインモジュール１１１，１３１が、ユーザの指示によって発行されるアプリケーションプログラム１１０，１３０に対する所定の要求を検出したか否か判断する。要求を検出していない場合には（ｎｏ）、ステップＳ２０１の処理を反復させて要求を待機する。一方、要求を検出したと判断した場合には（ｙｅｓ）、処理をステップＳ２０２に分岐させる。

ステップＳ２０２では、プラグインモジュール１１１，１３１は、検出した要求の種類を判断し、その種類に応じて処理をステップＳ２０３、ステップＳ２０５またはステップＳ２０７に分岐させる。具体的には、プラグインモジュール１１１，１３１は、コピー要求、ペースト要求およびアクセス要求を検出した場合には、それぞれステップＳ２０３、ステップＳ２０５およびステップＳ２０７に処理を分岐する。

ステップＳ２０３では、コピー部１１２は、コピー元の電子文書に含まれるユーザが指定したコンテキストデータをクリップボード１２１に保存する。ステップＳ２０４では、ラベル継承部１１３が、当該コンテキストデータを含むコピー元の電子文書に割り当てられている総てのラベルをクリップボード１２１に保存し、ステップＳ２１０で処理が終了する。

ステップＳ２０５では、ペースト部１３２は、クリップボード１２１からコピーデータを取得し、コピー先のアプリケーションプログラムが処理する電子文書にペーストする。ステップＳ２０６では、ラベル継承部１３３が、クリップボード１２１からコピーデータのラベルを取得し、潜在ラベルとしてラベルテーブル１３４に登録し、ステップＳ２１０で処理が終了する。

ステップＳ２０７では、アクセス制御部１１５，１３５がラベル更新部１１６，１３６を呼び出し、ラベル更新部１１６，１３６が、ラベルテーブル１１４，１３４を更新する。ステップＳ２０８では、アクセス制御部１１５，１３５は、要求された処理が許可されるか否か判断する。要求された処理が許可されないと判断した場合には（ｎｏ）、処理をステップＳ２１０に分岐して終了させる。一方、要求された処理が許可されると判断した場合には（ｙｅｓ）、処理をステップＳ２０９に分岐させる。ステップＳ２０９では、アプリケーションプログラム１１０，１３０は、要求された処理を実行し、ステップＳ２１０で処理が終了する。

本実施形態では、コピーデータをペーストする場合に、コピーデータをスキャンせず、図３を参照して説明する別のプロセスで秘密情報の有無を判定するため、ペースト時の操作性を向上させることができる。

図３は、本実施形態の情報処理装置が実行する潜在ラベルの確定処理を示すフローチャートである。本実施形態では、潜在ラベルの確定処理を定期的に実行するが、他の実施形態では、アプリケーションプログラム１１０，１３０が電子文書を保存するときに、潜在ラベルの確定処理を実行してもよい。以下、図３を参照して、潜在ラベルの確定処理について説明する。

図３の処理は、ステップＳ３００から開始し、ステップＳ３０１では、プラグインモジュール１１１，１３１のラベル更新部１１６，１３６が、ラベルテーブル１１４，１３４を参照し、アプリケーションプログラム１１０，１３０が処理している電子文書に潜在ラベルが関連付けて登録されているか否か判断する。潜在ラベルが登録されていない場合には（ｎｏ）、処理をステップＳ３０９に分岐させる。一方、潜在ラベルが登録されている場合には（ｙｅｓ）、処理をステップＳ３０２に分岐させる。

ステップＳ３０２では、ラベル更新部１１６，１３６は、ラベルテーブル１１４，１３４に登録されたラベル情報の更新が必要か否か判断する。本実施形態では、ラベル更新部１１６，１３６は、ラベルテーブル１１４，１３４を参照し、コピーデータのペースト時刻である潜在ラベルの生成時刻と電子文書の更新時刻とを比較し、電子文書の更新時刻の方が新しい場合に、ラベル情報の更新が必要であると判断する。

ステップＳ３０２の判定でラベル情報の更新が不要であると判断した場合には（ｎｏ）、処理をステップＳ３０９に分岐させる。一方、ラベル情報の更新が必要であると判断した場合には（ｙｅｓ）、処理をステップＳ３０３に分岐させる。

ステップＳ３０３では、ラベル更新部１１６，１３６は、当該潜在ラベルの種類を判断し、機密情報を示すラベルである場合には、処理をステップＳ３０４に分岐させ、個人情報を示すラベルである場合には、処理をステップＳ３０７に分岐させる。

ステップＳ３０４では、ラベル更新部１１６，１３６は、潜在ラベルが関連付けられた電子文書をスキャンして、実際に機密情報が含まれるか否か検査し、機密情報が含まれると判断した場合には（ｙｅｓ）、処理をステップＳ３０５に分岐させる。ステップＳ３０５では、ラベル更新部１１６，１３６は、当該潜在ラベルを、機密情報が含まれていることを示す確定ラベルに変更する。

一方、ステップＳ３０４の判定で、機密情報が含まれていないと判断した場合には（ｎｏ）、処理をステップＳ３０６に分岐させる。ステップＳ３０６では、ラベル更新部１１６，１３６は、ラベルテーブル１１４，１３４から当該潜在ラベルを削除する。

ステップＳ３０７では、ラベル更新部１１６，１３６は、潜在ラベルが関連付けられた電子文書をスキャンして、実際に個人情報が含まれるか否か検査し、個人情報が含まれると判断した場合には（ｙｅｓ）、処理をステップＳ３０８に分岐させる。ステップＳ３０８では、ラベル更新部１１６，１３６は、当該潜在ラベルを、個人情報が含まれていることを示す確定ラベルに変更する。

一方、ステップＳ３０７で、個人情報が含まれていないと判断した場合には（ｎｏ）、処理をステップＳ３０６に分岐し、ステップＳ３０６でラベル更新部１１６，１３６は、ラベルテーブル１１４，１３４から当該潜在ラベルを削除する。

ステップＳ３０９では、ラベル更新部１１６，１３６は、アプリケーションプログラム１１０，１３０が処理している電子文書に割り当てられている総てのラベルについて、上述した処理を実行したか否か判断する。総てのラベルについて当該処理を実行していない場合には（ｎｏ）、処理をステップＳ３０３に戻して、総てのラベルについて当該処理を実行する。一方、総てのラベルについて当該処理を実行した場合には（ｙｅｓ）、ステップＳ３１０で処理が終了する。

図４は、本実施形態の情報処理装置がアクセス要求を受信した場合に実行するラベル情報の更新処理を示すフローチャートである。以下、図４を参照して、図２に示すステップＳ２０７で実行されるラベル情報の更新処理について説明する。

図４の処理は、ステップＳ４００から開始し、ステップＳ４０１では、プラグインモジュール１１１，１３１のラベル更新部１１６，１３６が、ラベルテーブル１１４，１３４に登録されたラベル情報の更新が必要か否か判断する。

本実施形態では、ラベル更新部１１６，１３６は、ラベルテーブル１１４，１３４を参照し、アクセス要求の対象である電子文書のラベルの生成時刻と電子文書の更新時刻とを比較し、電子文書の更新時刻の方が新しい場合に、ラベル情報の更新が必要であると判断する。他の実施形態では、アクセス要求の対象である電子文書のラベルがラベルテーブル１１４，１３４に登録されている場合に、ラベル情報の更新が必要であると判断してもよい。

ステップＳ４０１の判定でラベル情報の更新が不要であると判断した場合には（ｎｏ）、処理をステップＳ４０９に分岐させる。一方、ラベル情報の更新が必要であると判断した場合には（ｙｅｓ）、処理をステップＳ４０２に分岐させる。

ステップＳ４０２では、ラベル更新部１１６，１３６は、ラベルテーブル１１４，１３４を参照し、アクセス要求の対象である電子文書に関連付けられたラベルの種類を判断する。当該ラベルが機密情報を示す確定ラベルまたは潜在ラベルである場合には、処理をステップＳ４０３に分岐させる。一方、当該ラベルが個人情報を示す確定ラベルまたは潜在ラベルである場合には、処理をステップＳ４０７に分岐させる。

ステップＳ４０３では、ラベル更新部１１６，１３６は、機密情報を示すラベルが関連付けられた電子文書をスキャンして、実際に機密情報が含まれるか否か検査する。機密情報が含まれていないと判断した場合には（ｎｏ）、処理をステップＳ４０４に分岐させる。ステップＳ４０４では、ラベル更新部１１６，１３６は、ラベルテーブル１１４，１３４から当該ラベルを削除する。

一方、ステップＳ４０３で、機密情報が含まれると判断した場合には（ｙｅｓ）、処理をステップＳ４０５に分岐させる。ステップＳ４０５では、ラベル更新部１１６，１３６は、機密情報を示すラベルが潜在ラベルか否か判断し、潜在ラベルでない場合には（ｎｏ）、処理をステップＳ４０９に分岐させる。一方、当該ラベルが潜在ラベルである場合には（ｙｅｓ）、処理をステップＳ４０６に分岐させる。ステップＳ４０６では、ラベル更新部１１６，１３６は、当該潜在ラベルを、機密情報が含まれていることを示す確定ラベルに変更する。

ステップＳ４０７では、ラベル更新部１１６，１３６は、個人情報を示すラベルが関連付けられた電子文書をスキャンして、実際に個人情報が含まれるか否か検査する。個人情報が含まれていないと判断した場合には（ｎｏ）、処理をステップＳ４０８に分岐させる。ステップＳ４０８では、ラベル更新部１１６，１３６は、ラベルテーブル１１４，１３４から当該ラベルを削除する。

一方、ステップＳ４０７で、個人情報が含まれると判断した場合には（ｙｅｓ）、処理をステップＳ４０５に分岐させる。ステップＳ４０５では、ラベル更新部１１６，１３６は、個人情報を示すラベルが潜在ラベルか否か判断し、潜在ラベルでない場合には（ｎｏ）、処理をステップＳ４０９に分岐させる。一方、当該ラベルが潜在ラベルである場合には（ｙｅｓ）、処理をステップＳ４０６に分岐させる。ステップＳ４０６では、ラベル更新部１１６，１３６は、当該潜在ラベルを、個人情報が含まれていることを示す確定ラベルに変更する。

ステップＳ４０９では、ラベル更新部１１６，１３６は、アクセス要求の対象である電子文書に割り当てられている総てのラベルについて、上述した処理を実行したか否か判断する。総てのラベルについて当該処理を実行していない場合には（ｎｏ）、処理をステップＳ４０２に戻し、総てのラベルについて当該処理を実行する。一方、総てのラベルについて当該処理を実行した場合には（ｙｅｓ）、ステップＳ４１０で処理が終了する。

本実施形態では、機密情報および個人情報の判定を個別のプロセスで行っているため、低負荷で迅速な判定が可能になる。また、上述した実施形態では、機密情報の判定を同一のプロセスで判定しているが、他の実施形態では、機密情報を重要度（例えば、高度機密情報、中度機密情報、低度機密情報等）によってさらに細分化し、重要度毎のラベルを電子文書に関連付けてもよい。

図５は、図１に示す実施形態の情報処理装置が使用するラベルテーブルの一実施形態を示す図である。以下、図５を参照して、ラベルテーブル５１０，５２０について説明する。

ラベルテーブル５１０は、コピー元のアプリケーションプログラムに実装されるプラグインモジュール１１１が使用するデータテーブルである。ラベルテーブル５１０には、電子文書識別情報５１１と、ラベル５１２と、ラベル生成時刻５１３と、電子文書更新時刻５１４とが関連付けて登録される。

電子文書識別情報５１１は、コピー元のアプリケーションプログラムが処理する電子文書を固有に識別する情報である。ラベル５１２は、電子文書識別情報が示す電子文書の秘密性を示すラベルである。ラベル生成時刻５１３は、各ラベルを登録または更新した時刻である。電子文書更新時刻５１４は、電子文書識別情報が示す電子文書をユーザが保存して更新した時刻である。

ラベルテーブル５１０には、電子文書識別情報「doc_2011/06/3」が示す電子文書のラベルとして、電子文書のスキャンによって既に確定した機密情報の確定ラベルである「Definitely Confidential」と、未だ確定していない個人情報の潜在ラベルである「Possibly PII(Personally Identifiable Information)」とが登録されている。すなわち、当該電子文書には、機密情報が含まれていることを示すと共に、他の電子文書から個人情報が含まれている可能性のあるコピーデータがペーストされたことを示している。

ラベルテーブル５２０は、コピー先のアプリケーションプログラムに実装されるプラグインモジュール１３１が使用するデータテーブルである。ラベルテーブル５２０には、ラベルテーブル５１０と同様に、電子文書識別情報５２１と、ラベル５２２と、ラベル生成時刻５２３と、電子文書更新時刻５２４とが関連付けて登録される。

ラベルテーブル５２０には、ラベルテーブル５１０から継承したラベルが登録されている。すなわち、ラベルテーブル５２０には、ラベルテーブル５１０に登録されている機密情報の確定ラベル「Definitely Confidential」および個人情報の潜在ラベル「Possibly PII」が、それぞれ機密情報の潜在ラベルである「Possibly Confidential」と、個人情報の潜在ラベルである「Possibly PII」に変更されて登録されている。

本実施形態のラベルテーブル５１０，５２０には、それぞれ１の電子文書識別情報が登録されているが、他の実施形態では、複数の電子文書のラベル情報を登録することができ、プラグインモジュール１１１，１３１は、それぞれ複数の電子文書を管理することができる。

図６は、本発明の他の実施形態に係る情報処理装置の機能構成を示す図である。なお、本実施形態の情報処理装置６００は、上述した情報処理装置１００と同様であるため、以下、相違点を中心に説明する。

情報処理装置６００は、情報処理装置１００と同様に、アプリケーションプログラム６１０，６３０と、ＯＳ６２０とを含む。本実施形態では、アプリケーションプログラム６１０，６３０ではなく、ＯＳ６２０にプラグインモジュール６２１が実装される。

プラグインモジュール６２１は、コピー部６２２と、ラベル継承部６２３と、ラベルテーブル６２４と、ペースト部６２５と、アクセス制御部６２６と、ラベル更新部６２７とを含む。コピー部６２２、アクセス制御部６２６およびラベル更新部６２７は、それぞれコピー部１１２、アクセス制御部１１５，１３５およびラベル更新部１１６，１３６と同様の機能を有する。

ペースト部６２５は、ペースト部１３２の機能に加えて、コピー先のアプリケーションプログラムにコピーデータをペーストしてよいか否か判断する。ペースト部６２５は、本発明が提供するコピーおよびペースト機能の使用が許可されるアプリケーションプログラムを規定した定義ファイル等の定義情報を参照し、ペースト要求を発行したアプリケーションの識別情報が当該定義情報に含まれているか否か判断することにより、当該アプリケーションプログラムにコピーデータをペーストしてよいか否か判断することができる。

ラベル継承部６２３は、コピー元のアプリケーションプログラムのラベルをコピー先のアプリケーションに継承する。本実施形態では、アプリケーションプログラム６１０，６３０は、コピー元の電子文書に含まれるユーザが指定したコンテキストデータをクリップボード６２８に保存する場合や、クリップボード６２８に保存されたコピーデータをコピー先の電子文書にペーストする場合、当該アプリケーションプログラムの識別情報と、当該アプリケーションプログラムが処理する電子文書の識別情報とをプラグインモジュール６２１に送信する。

プラグインモジュール６２１がアプリケーションプログラム６１０からコピー要求を受信した場合、ラベル継承部６２３は、ラベルテーブル６２４を参照し、アプリケーションプログラム６１０から受信したアプリケーションプログラムの識別情報と、当該アプリケーションプログラムが処理する電子文書の識別情報とを使用して、当該電子文書のラベルを取得し、クリップボード６２８に保存する。

プラグインモジュール６２１がアプリケーションプログラム６３０からペースト要求を受信した場合、ラベル継承部６２３は、ペーストすべきコピーデータのラベルをクリップボード６２８から取得し、コピー先のアプリケーションプログラム６３０から受信したアプリケーションプログラムの識別情報と、当該アプリケーションプログラムが処理する電子文書の識別情報とを使用して、当該電子文書のラベルとしてラベルテーブル６２４に暫定的に登録する。

図７は、図６に示す実施形態の情報処理装置が実行する処理の一実施形態を示すフローチャートである。以下、図７を参照して、情報処理装置６００が実行する処理について説明する。

図７の処理は、ステップＳ７００から開始し、ステップＳ７０１では、プラグインモジュール６２１が、アプリケーションプログラム６１０，６３０に対するユーザの指示によって発行される所定の要求を検出したか否か判断する。要求を検出していない場合には（ｎｏ）、ステップＳ７０１の処理を反復させて要求を待機する。一方、要求を検出したと判断した場合には（ｙｅｓ）、処理をステップＳ７０２に分岐させる。

ステップＳ７０２では、プラグインモジュール６２１は、検出した要求の種類を判断し、その種類に応じて処理をステップＳ７０３、ステップＳ７０５またはステップＳ７０８に分岐させる。具体的には、プラグインモジュール６２１は、コピー要求、ペースト要求およびアクセス要求を検出した場合には、それぞれステップＳ７０３、ステップＳ７０５およびステップＳ７０８に処理を分岐する。

ステップＳ７０３では、コピー部６２２は、コピー元の電子文書に含まれるユーザが指定したコンテキストデータをクリップボード６２８に保存する。ステップＳ７０４では、ラベル継承部６２３が、当該コンテキストデータを含むコピー元の電子文書に割り当てられている総てのラベルをクリップボード６２８に保存し、ステップＳ７１１で処理が終了する。

ステップＳ７０５では、ペースト部６２５は、ペースト要求元のアプリケーションプログラムがペーストを許可されているか否か判断する。ペーストが許可されていない場合には（ｎｏ）、処理をステップＳ７１１に分岐して終了する。一方、ペーストが許可されている場合には（ｙｅｓ）、処理をステップＳ７０６に分岐させる。

ステップＳ７０６では、ペースト部６２５は、クリップボード６２８からコピーデータを取得し、コピー先のアプリケーションプログラムが処理する電子文書にペーストする。ステップＳ７０７では、ラベル継承部６２３が、クリップボード６２８からコピーデータのラベルを取得し、潜在ラベルとしてラベルテーブル６２４に登録し、ステップＳ７１１で処理が終了する。

ステップＳ７０８では、アクセス制御部６２６がラベル更新部６２７を呼び出し、ラベル更新部６２７が、ラベルテーブル６２４を更新する。ステップＳ７０９では、アクセス制御部６２６は、要求された処理が許可されるか否か判断する。要求された処理が許可されないと判断した場合には（ｎｏ）、処理をステップＳ７１１に分岐して終了させる。一方、要求された処理が許可されると判断した場合には（ｙｅｓ）、処理をステップＳ７１０に分岐させる。ステップＳ７１０では、アクセス制御部６２６は、アクセス要求元のアプリケーションに当該要求された処理を実行させて、ステップＳ７１１で処理が終了する。

図８は、図６に示す実施形態の情報処理装置が使用するラベルテーブルの一実施形態を示す図である。以下、図８を参照して、ラベルテーブル８００について、ラベルテーブル５１０，５２０と相違する点を中心に説明する。

ラベルテーブル８００には、本発明が提供するコピー機能およびペースト機能を利用可能なアプリケーションを固有に識別する情報であるアプリケーション識別情報８１１と、電子文書識別情報８１２と、ラベル種類８１３と、ラベル生成時刻８１４と、電子文書更新時刻８１５とが関連付けて登録される。

本実施形態では、ラベル継承部６２３は、ラベルテーブル８００を参照し、コピー元またはコピー先のアプリケーションプログラムから取得するアプリケーション識別情報８１１および電子文書識別情報８１２を使用して該当する電子文書を特定してコピー元の電子文書のラベルを取得し、コピー先の電子文書のラベルとして暫定的に登録することができる。

ラベル更新部６２７は、起動中のアプリケーションプログラムから取得するアプリケーション識別情報８１１に関連付けられた電子文書の秘密性を判定して、当該電子文書に暫定的に割り当てられた潜在ラベルを確定することができる。また、ラベル更新部６２７は、アクセス要求元のアプリケーションプログラムから取得するアプリケーション識別情報および電子文書識別情報８１２を使用してアクセス要求対象の電子文書を特定し、当該電子文書の秘密性を判定して、当該電子文書のラベル情報を更新することができる。

これまで本実施形態につき説明してきたが、本発明は、上述した実施形態に限定されるものではなく、当該実施形態の機能手段の変更や削除、他の機能手段の追加など、当業者が想到することができる範囲内で変更することができ、いずれの態様においても本発明の作用・効果を奏する限り、本発明の範囲に含まれるものである。

１００…情報処理装置、１１０，１３０…アプリケーションプログラム、１１１，１３１…プラグインモジュール、１１２…コピー部、１３２…ペースト部、１１３，１３３…ラベル継承部、１１４，１３４…ラベルテーブル、１１５，１３５…アクセス制御部、１１６，１３６…ラベル更新部、１２０…ＯＳ、１２１…クリップボード、１２２…コピーデータ、１２３…ラベル、６００…情報処理装置、６１０，６３０…アプリケーションプログラム、６２０…ＯＳ、６２１…プラグインモジュール、６２２…コピー部、６２３…ラベル継承部、６２４…ラベルテーブル、６２５…ペースト部、６２６…アクセス制御部、６２７…ラベル更新部、６２８…クリップボード

Claims (13)

1. 電子文書に含まれるコンテンツデータの複製が可能な情報処理装置であって、
   コピー元の電子文書に含まれるユーザが指定したコンテンツデータをクリップボードに保存するコピー部と、
   前記コピー元の電子文書の秘密性を示すラベルを前記クリップボードに保存する第１のラベル継承部と、
   前記ユーザが指定したコンテンツデータをコピー先の電子文書にペーストするペースト部と、
   前記ユーザが指定したコンテンツデータを含む電子文書のラベルを、コピー先の電子文書のラベルとして、前記電子文書のラベルを登録するデータテーブルに暫定的に保存する第２のラベル継承部と、
   前記コピー先の電子文書の秘密性を検査して、暫定的に保存したラベルを確定または削除するラベル更新部と
   を含む情報処理装置。
2. 前記情報処理装置は、
   前記コピー先の電子文書の秘密性を定期的に検査して、前記暫定的に保存したラベルを確定または削除する、請求項１に記載の情報処理装置。
3. 前記情報処理装置は、
   前記コピー先の電子文書を保存した場合に、その秘密性を定期的に検査して、前記暫定的に保存したラベルを確定または削除する、請求項１に記載の情報処理装置。
4. 前記情報処理装置は、
   前記コピー先の電子文書に対するアクセス要求が発生した場合に、前記データテーブルに登録された前記コピー先の電子文書のラベルを更新する、請求項１に記載の情報処理装置。
5. 前記電子文書の秘密性を有する情報は秘密情報である、請求項１に記載の情報処理装置。
6. 電子文書に含まれるコンテンツデータの複製が可能な情報処理装置であって、
   コピー元の電子文書に含まれるユーザが指定したコンテンツデータをクリップボードに保存するコピー部と、
   前記ユーザが指定したコンテンツデータをコピー先の電子文書にペーストするペースト部と、
   前記コピー元の電子文書の秘密性を示すラベルを前記クリップボードに保存し、前記ユーザが指定したコンテンツデータを含む電子文書のラベルを、コピー先の電子文書のラベルとして、前記電子文書のラベルを登録するデータテーブルに暫定的に保存するラベル継承部と、
   前記コピー先の電子文書の秘密性を検査して、暫定的に保存したラベルを確定または削除するラベル更新部と
   を含む情報処理装置。
7. 電子文書に含まれるコンテンツデータの複製が可能な情報処理装置が実行する方法であって、前記方法は、前記情報処理装置が、
   コピー元の電子文書に含まれるユーザが指定したコンテンツデータと、前記電子文書の秘密性を示すラベルとをクリップボードに保存するステップと、
   前記ユーザが指定したコンテンツデータをコピー先の電子文書にペーストするステップと、
   前記ユーザが指定したコンテンツデータを含む電子文書のラベルを、コピー先の電子文書のラベルとして、前記電子文書の秘密性を示すラベルを登録するデータテーブルに暫定的に保存するステップと、
   前記コピー先の電子文書の秘密性を検査して、暫定的に保存したラベルを確定または削除するステップと
   を含む方法。
8. 前記方法は、前記情報処理装置が、
   前記暫定的に保存したラベルを確定または削除するステップを定期的に実行する、請求項７に記載の方法。
9. 前記情報処理装置は、
   前記暫定的に保存したラベルを確定または削除するステップを、前記コピー先の電子文書を保存したときに実行する、請求項７に記載の方法。
10. 前記方法は、前記情報処理装置が、
    前記コピー先の電子文書に対するアクセス要求が発生した場合に、前記データテーブルに登録された前記コピー先の電子文書のラベルを更新するステップをさらに含む、請求項７に記載の方法。
11. 前記電子文書の秘密性を有する情報は秘密情報である、請求項７に記載の方法。
12. 電子文書に含まれるコンテンツデータの複製が可能な情報処理装置が実行する方法を、前記情報処理装置が実行するためのプログラムであって、前記プログラムは、前記情報処理装置が、
    コピー元の電子文書に含まれるユーザが指定したコンテンツデータと、前記電子文書の秘密性を示すラベルとをクリップボードに保存するステップと、
    前記ユーザが指定したコンテンツデータをコピー先の電子文書にペーストするステップと、
    前記ユーザが指定したコンテンツデータを含む電子文書のラベルを、コピー先の電子文書のラベルとして、前記電子文書の秘密性を示すラベルを登録するデータテーブルに暫定的に保存するステップと、
    前記コピー先の電子文書の秘密性を検査して、暫定的に保存したラベルを確定または削除するステップと
    を実行するための装置実行可能なプログラム。
13. 電子文書に含まれるコンテンツデータの複製が可能な情報処理装置であって、
    コピー元の電子文書に含まれるユーザが指定したコンテンツデータと、前記電子文書の秘密性を示すラベルとをクリップボードに保存し、前記ユーザが指定したコンテンツデータをコピー先の電子文書にペーストし、前記ユーザが指定したコンテンツデータを含む電子文書のラベルを、コピー先の電子文書のラベルとして、前記電子文書のラベルを登録するデータテーブルに暫定的に保存し、前記コピー先の電子文書の秘密性を定期的に検査して、前記暫定的に保存したラベルを確定または削除し、前記コピー先の電子文書に対するアクセス要求が発生した場合に、前記データテーブルに登録された前記コピー先の電子文書のラベルを更新し、前記電子文書の秘密性を有する情報は秘密情報である、情報処理装置。