JP2002288030A - データ持ち出し禁止用プログラム - Google Patents

Abstract

(57)【要約】 【課題】外部への持ち出しを禁止されるべき機密ファイ
ルとそうでない他のファイルを混在して使用可能にす
る。 【解決手段】 アプリケーションプログラム３０があら
かじめ定められた機密フォルダに保存されている機密フ
ァイルを開いたとき、当該ファイルの内容が前記機密フ
ォルダ以外に出力されないように、前記開かれたファイ
ルの内容の移動を制限する。例えば、前記アプリケーシ
ョンプログラムが当該機密ファイルを前記機密フォルダ
以外に保存することを禁止する。当該ファイルの内容
が、他のアプリケーションプログラムが開いた他のファ
イルに転送されたとき、当該他のファイルも同様に、機
密フォルダ以外のフォルダに保存することが禁止され
る。アプリケーションプログラムが、機密フォルダ以外
のファイルを開いたとき、当該ファイルの内容を前記機
密フォルダ以外へ出力することは許される。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、データ処理装置内
に記憶された機密情報ファイルをデータ処理装置の外部
へ持ち出すのを禁止する方法及びそのためのプログラム
に関する。

【０００２】

【従来の技術】企業等の組織内では、日常的に業務で使
用する情報の多くは組織外に対しては機密にされるべき
である。しかも従業員は機密情報を含む機密ファイルを
パーソナルコンピュータ（パソコン）あるいはワークス
テーション等のデータ処理装置の表示装置に表示させて
閲覧して当該機密情報を含む新たな機密ファイルを生成
することを業務としていることも多い。例えば、従業員
は、装置あるいはプログラムを開発するときには、機密
情報である、他の人が開発した設計データを参照して、
当該設計データに変更を加えて、新たな機密ファイルで
ある新たな設計データを生成する。

【０００３】機密度の高い機密ファイルについては、従
業員は、その機密ファイルを当該従業員が使用するデー
タ処理装置の外部へ出力することが禁止される。例え
ば、当該機密ファイルの複製ファイルを例えばフロッピ
ディスク等の運搬可能な記録媒体へファイルを出力する
ことも、上記機密ファイルの内容を印刷することも、電
子メールに上記機密ファイルを添付することも許されな
い。

【０００４】

【発明が解決しようとする課題】上記機密度の高い機密
ファイルを参照する従業員が使用するデータ処理装置に
ついては、外部出力機能、すなわち、フロッピディスク
等の記録媒体へのファイル出力機能、プリンタによるフ
ァイル印刷機能、メールによりファイル転送機能を禁止
することが望ましい。

【０００５】しかし、従業員は、機密度がそれほど高く
ない機密情報あるいは機密でない情報を含む他のファイ
ルも上記データ処理装置で処理する場合も多い。当該他
のファイルについては、フロッピディスク等の記録媒体
へファイルを出力すること、印刷すること、電子メール
に添付することが許される。

【０００６】上記機密度の高い機密ファイルの管理のた
めに、従業員が使用するデータ処理装置が、外部出力機
能、すなわち、フロッピディスク等の記録媒体へのファ
イルの出力機能、プリンタによるファイルの印刷機能、
電子メールによりファイルの転送機能が使用できない状
態に設定されると、上記他のファイルについても、従業
員は上記外部出力機能を利用できなくなり、このことは
従業員の当該他のファイルを用いた業務の促進にとって
望ましくない。

【０００７】したがって、本発明の目的は、上記外部出
力機能を使用されるべきでない機密ファイルと上記外部
出力機能を使用してもよい他のファイルとを混在して記
憶した記憶装置を有するデータ処理装置において、上記
外部出力機能を使用されるべきでない機密ファイルにつ
いて上記外部出力機能の使用を禁止し、当該他のファイ
ルについて上記外部出力機能の使用を許可することを可
能にする、データ持ち出し禁止方法及びそのためのプロ
グラムを提供することを目的とする。

【０００８】

【課題を解決するための手段】本発明に係るプログラム
は、いずれかのアプリケーションプログラムが記憶装置
に保存されたいずれかのファイルを開くことを要求した
とき、当該ファイルが前記記憶装置内のあらかじめ定め
られた機密情報保存用フォルダに保存されているファイ
ルであるか否かを判別し、当該ファイルが前記機密情報
保存用フォルダに保存されているファイルであると判別
された場合、当該ファイルの内容が前記機密情報保存用
フォルダ以外に出力されないように、当該ファイルが開
かれた後に前記ファイルの内容の移動を制限する、ステ
ップをコンピュータに実行させるためのプログラムであ
る。

【０００９】これにより、上記機密情報保存用フォルダ
に保存されたファイルをあるアプリケーションプログラ
ムが開いた後は、当該アプリケーションプログラムによ
り当該ファイルが上記機密情報保存用フォルダ以外に出
力されないようにすることができる。例えば、上記記憶
装置内の上記機密情報保存用フォルダ以外のフォルダに
上記ファイルを保存することが禁止される。あるいは、
上記記憶装置以外の他の記憶装置に上記ファイルが出力
されるのが禁止される。あるいは、上記アプリケーショ
ンプログラムにより上記ファイルが印刷されるのが禁止
される。

【００１０】更に、具体的には、前記制限するステップ
は、前記ファイルが前記機密情報保存用フォルダに保存
されているファイルであると判別された場合、前記ファ
イルが開かれた後に前記アプリケーションプログラムが
前記ファイルの少なくとも一部を他のアプリケーション
プログラムが開いている他のファイルにアプリケーショ
ンプログラム間データ転送機能を用いて転送したとき、
当該他のファイルの内容が前記機密情報保存用フォルダ
以外に出力されないように、前記データ転送の後に前記
他のファイルの内容の移動を制限する、ステップを含
む。

【００１１】これにより、上記他のアプリケーションプ
ログラムを介して前記機密情報保存用フォルダ内のファ
イルが当該フォルダの外部に移動されるのを禁止するこ
とができる。例えば、前記他のアプリケーションプログ
ラムが、当該他のファイルを保存することを後に要求し
たときに、当該保存要求が指定するファイル保存先が前
記記憶装置内の前記機密情報保存用フォルダ内であるか
否かを判定し、前記ファイル保存先が前記機密情報保存
用フォルダ外であるとき、当該保存要求を無効にする。

【００１２】

【発明の実施の形態】以下、本発明に係る機密ファイル
持ち出し禁止方法及びそのためのプログラムの実施の形
態を図面を参照して詳細に説明する。

【００１３】図１は、本発明に係る機密ファイル持ち出
し禁止方法及びそのためのプログラムの一つの実施の形
態を用いたコンピュータシステムのブロック図である。
本コンピュータシステムは例えば企業等の団体の内部で
使用されるシステムである。図において、１０は、例え
ば企業の従業員ユーザが使用するコンピュータの例であ
り、例えばパソコン（ＰＣ）からなる。コンピュータ１
０はワークステーションであってもよい。１０Ａは、他
の従業員ユーザが使用するコンピュータであり、コンピ
ュータ１０と同様な構造を有する。２０は、サーバコン
ピュータの一例であり、コンピュータ１０、１０Ａ、２
０は例えばＬＡＮのようなネットワーク２３に接続され
ている。２１は、ネットワーク２３に接続されたネット
ワークプリンタの例であり、２２は、ネットワーク２３
に接続された磁気ディスク記憶装置のようなネットワー
クドライブの例である。

【００１４】コンピュータ１０は、メモリ１１、表示装
置１２、中央処理装置（ＣＰＵ）１３、キーボード及び
マウス等のポインティングデバイスを備える入力装置１
４、例えば磁気記憶装置からなる補助記憶装置１５、フ
ロッピディスク駆動装置１６、これらを接続するバス１
７と、バス１７とネットワーク２３とを接続するネット
ワークインターフェースカード１８よりなる。コンピュ
ータ１０には、更に個別のプリンタ１９がバス１７を介
して接続されていてもよい。更に、バス１７には、フロ
ッピディスク駆動装置１６以外の他のリムーバブルメデ
ィア用のドライブが接続されていてもよいが、ここでは
簡単化のためにそのような他のドライブは図示していな
い。以下の説明においては、フロッピディスク駆動装置
１６は、リムーバブルメディア用のドライブの例として
説明する。すなわち、以下においてフロッピディスク駆
動装置１６に対して言及した説明は、他のリムーバブル
メディア用のドライブにも当てはまる。

【００１５】コンピュータ１０、１０Ａには本発明に係
る機密ファイル持ち出し禁止方法が適用され、更にその
方法のためのプログラムが使用される。コンピュータ１
０では、メモリ１１に複数のアプリケーションプログラ
ム３０、３１、…が実装され、それらのアプリケーショ
ンプログラムの実行はオペレーティングシステム（Ｏ
Ｓ）４０により制御される。ＯＳ４０には、ウィンドウ
ズ（登録商標）のようなそれ自体公知のＯＳを改良して
実現することができる。すなわち、ＯＳ４０は、従来の
ＯＳを構成しているそれ自体公知のＡＰＩ（Applicatio
n Programming Interface）サブシステム４１とカーネ
ルシステム４３、共有データエリア４４に対して、本発
明により新たにＩ／Ｏ監視プログラム４２と機密管理テ
ーブル４５と機密ファイル登録テーブル４６を追加する
ことにより実現される。

【００１６】更に、各アプリケーションプログラム３
０、３１、…に対応して本発明により用意されたフィル
タプログラム３２、３３、…が使用される。各アプリケ
ーションプログラムが起動されると、対応して用意され
たフィルタプログラムが起動されるように、フィルタプ
ログラム３０、３１、…が用意される。以下では、説明
の簡単化のために、各アプリケーションプログラムに、
対応するフィルタプログラムが組み込まれていると説明
する。

【００１７】ＯＳ４０には、アプリケーションプログラ
ム間のデータ転送に使用されるそれ自体公知の共有デー
タエリア４４が含まれ、更に、機密管理テーブル４５と
機密ファイル登録テーブル４６が本発明により新たに設
けられる。

【００１８】本コンピュータシステムの詳細を説明する
前に、その動作の概要を説明する。本システムの管理者
は、ユーザが使用するコンピュータ１０を機密ファイル
持ち出し禁止モードに設定しあるいはその設定をリセッ
トすることができる。システム管理者は、各ユーザが使
用するコンピュータ１０内の補助記憶装置１５内に特定
の機密ファイルを保存するための機密フォルダ１５Ａを
設定し、ユーザが業務で使用する複数の機密ファイルを
機密フォルダ１５Ａ内に保存する。その後、コンピュー
タ１０を機密情報持ち出し禁止モードに設定したうえ
で、ユーザにコンピュータ１０を使用させる。

【００１９】ＯＳ４０内のＡＰＩサブシステム４１は、
アプリケーションプログラムにＡＰＩ（アプリケーショ
ンプログラミングインタフェース）を提供する部分であ
り、カーネルシステム４３は、ＡＰＩサブシステム４１
を介してアプリケーションプログラム３０等と通信す
る。Ｉ／Ｏ監視プログラム４２は、ＡＰＩサブシステム
４１を介してアプリケーションプログラム３０等が発行
したファイル入出力要求を監視し、当該入出力要求が機
密ファイルを機密フォルダ１５Ａ以外に出力しようとす
る場合、当該ファイル入出力要求を無効にする。

【００２０】フィルタプログラム３２又は３３は、アプ
リケーションプログラム３０又は３１が発行したデータ
転送要求を検出し、アプリケーションプログラム間でデ
ータ転送が許可されていない場合には、当該データ転送
要求を無効にする。アプリケーションプログラム間でデ
ータ転送が許可されている場合には、データ転送先のア
プリケーションプログラムとデータ転送先のファイルを
機密情報持ち出し禁止処理の対象としてＩ／Ｏ監視プロ
グラム４２に通知する。

【００２１】図２は、本実施の形態における機密ファイ
ルに対する持ち出し禁止処理を説明するための図であ
る。ユーザは、アプリケーションプログラム３０を起動
し、当該アプリケーションプログラム３０により機密フ
ォルダ１５Ａ内の機密ファイル５０Ａを開くことができ
る（）。ユーザは当該ファイル５０Ａを上記アプリケ
ーションプログラムにより編集して新たな内容のファイ
ル５０Ｘを生成することもできる。この新たなファイル
５０Ｘも、元の機密ファイル５０Ａ内の機密情報を含む
ので、機密ファイル５０Ａと同様に持ち出しが禁止され
る。すなわち、当該機密ファイル５０Ａあるいは新たな
ファイル５０Ｘを機密フォルダ１５Ａ以外の領域に出力
できない。

【００２２】例えば、機密ファイル５０Ａの閲覧後にあ
るいは上記新たなファイル５０Ｘの生成後に、ユーザが
当該機密ファイル５０Ａ又は当該新たなファイル５０Ｘ
の保存先として機密フォルダ１５Ａ以外の領域を指定し
てファイル保存をアプリケーションプログラム３０に要
求した場合（）、その要求は、Ｉ／Ｏ監視プログラム
４２により無効化され、カーネルシステム４３により実
行されない。上記新たなファイル５０Ｘの生成後に、ユ
ーザが当該新たなファイル５０Ｘの保存先として機密フ
ォルダ１５Ａを指定してファイル保存を要求した場合に
は、その要求は、Ｉ／Ｏ監視プログラム４２により無効
化されることはなく、カーネルシステム４３により実行
される。

【００２３】同様に、当該機密ファイル５０Ａあるいは
当該新たなファイル５０Ｘを個別プリンタ１９あるいは
ネットワークプリンタ２１を用いて印刷することもでき
ないし、フロッピディスク駆動装置１６あるいはネット
ワークドライブ２２に出力することもできない。電子メ
ールに添付して転送することもできない。

【００２４】他のアプリケーションプログラム３１が、
機密フォルダ以外のフォルダ１５Ｂに保存された他のフ
ァイル５０Ｂを開いていて、アプリケーションプログラ
ム３０により開かれたファイルの少なくとも一部が、他
のアプリケーションプログラム３１に転送された場合
（）、アプリケーションプログラム３０に埋め込まれ
たフィルタプログラム３２が、送信元のファイル５０Ａ
が機密ファイルであることを検出する。アプリケーショ
ンプログラム３１により開かれているファイル５０Ｂ
が、機密フォルダ以外のフォルダ１５Ｂに保存されてい
たファイルであっても、Ｉ／Ｏ監視プログラム４２は、
当該他のファイル５０Ｂも、機密フォルダ１５Ａから開
かれた機密ファイル５０Ａと同様に機密ファイルとして
扱う。すなわち、当該他のファイル５０Ｂは、機密フォ
ルダ１５Ａの外部には出力されない。

【００２５】例えば、ユーザが当該他のファイル５０Ｂ
の保存先として機密フォルダ１５Ａ以外の領域を指定し
てファイル保存をアプリケーションプログラム３１に要
求した場合（）、その要求は、Ｉ／Ｏ監視プログラム
４２により無効化され、カーネルシステム４３により実
行されない。ユーザが上記他のファイル５０Ｂの保存先
として機密フォルダ１５Ａを指定してファイル保存をア
プリケーションプログラム３１に要求した場合には、そ
の要求は、Ｉ／Ｏ監視プログラム４２により無効化され
ることはなく、カーネルシステム４３により実行され
る。

【００２６】補助記憶装置１５内の機密フォルダ以外の
フォルダ１５Ｂに保存されるファイルは機密ファイルで
あってもよいし機密でないファイルでもよい。機密フォ
ルダ１５Ａ以外のフォルダ１５Ｂに保存されたファイル
５０Ｂに関しては以上のような持ち出し禁止処理が実行
されない。

【００２７】なお、図３に示すように、アプリケーショ
ンプログラム３０に埋め込まれたフィルタプログラム３
２によりアプリケーションプログラム間のデータ転送を
禁止するように、機密ファイルの持ち出し禁止動作をあ
らかじめ指定することもできる。この場合には、アプリ
ケーションプログラム３０が他のアプリケーションプロ
グラム３１に対するデータ転送を要求したとき、フィル
タプログラム３２は、そのデータ転送要求を無効にす
る。

【００２８】図４は、機密管理テーブル４５の一例を示
す。機密管理テーブル４５には、機密ファイル転送禁止
モード記憶領域４５１、機密フォルダパス名記憶領域４
５２、アプリケーションプログラム間データ転送許可フ
ラグ記憶領域４５３が含まれている。システム管理者
は、コンピュータ１０の初期設定処理として、記憶領域
４５１に機密ファイル転送禁止モードビットとして値１
をセットして、機密ファイル転送禁止動作を実行すべき
ことを指示する。記憶領域４５２に機密フォルダのパス
名（例えば、図の例ではC:\AAA）を記憶し、記憶領域４
５３にアプリケーションプログラム間データ転送許可フ
ラグとして値「１」又は「０」をセットする。アプリケ
ーションプログラム間データ転送許可フラグの値が例え
ば「１」のとき、アプリケーションプログラム間のデー
タ転送が許可される。

【００２９】機密ファイルの持ち出し禁止を実現するに
は、アプリケーションプログラム間のデータ転送を禁止
するほうが、持ち出し禁止を確実に実現するうえで望ま
しい。しかし、アプリケーションプログラムにより開か
れたファイルを編集して新たなファイルを生成すると
き、他のアプリケーションプログラムにより開かれたフ
ァイル内のデータを利用することが便利である場合も多
い。したがって、機密ファイルの持ち出しを禁止する場
合でも、アプリケーションプログラム間のデータ転送を
利用できることは、ユーザにとって望ましいことであ
る。

【００３０】アプリケーションプログラム間のデータ転
送方法には、通常２種類のデータ転送方法が使用され
る。すなわち、共有データエリア４４（図１）（クリッ
プボードとも呼ばれる）を経由したデータ転送と、オブ
ジェクトリンクと埋め込み（Object Linking and Embed
ding −ＯＬＥ）を使用したデータ転送である。本実施
の形態では、アプリケーションプログラム間のデータ転
送が禁止されるときには、上記ＯＬＥを使用したデータ
転送も共有データエリアを経由したデータ転送も許され
ない。アプリケーションプログラム間のデータ転送を許
す場合には、上記ＯＬＥを使用したデータ転送を許す
が、共有データエリアを経由したデータ転送は許さな
い。ＯＬＥを用いたデータ転送は、アプリケーションプ
ログラム間で直接データを転送するため、データ転送の
制御が容易である。一方、共有データエリアは、ＯＳが
管理する領域であり、任意のアプリケーションプログラ
ムからアクセス可能であるため、データ転送の制御は容
易でない。つまり、機密ファイルの持ち出し禁止を実現
するためには、共有データエリアを経由したデータ転送
は許さないほうが実現が容易になる。

【００３１】図６は、Ｉ／Ｏ監視プログラム４２の処理
の一例を示す概略フローチャートである。まず、いずれ
かのファイルを開くことを要求したことを示すファイル
オープンイベントが検出したか否かを判断し（ステップ
Ｓ４２１）、ファイルオープンイベントが検出されたと
きには、開くべきファイルが機密フォルダ１５Ａに保存
されたファイルであるか否かがチェックされる（ステッ
プＳ４２２）。当該ファイルが機密フォルダ１５Ａに保
存されたファイルである場合は、機密ファイル登録テー
ブル４６に、当該アプリケーションプログラムと当該フ
ァイルの組合わせが機密ファイル登録テーブル４６に記
憶される（ステップＳ４２３）。

【００３２】図５は、機密ファイル登録テーブル４６の
一例を示す。機密ファイル登録テーブル４６の各エント
リ４６Ａ、４６Ｂ、…は一組の記憶領域４６１と４６２
からなる。記憶領域４６１には、アプリケーションプロ
グラムの識別情報として当該アプリケーションプログラ
ムのハンドル名が記憶される。起動されたアプリケーシ
ョンプログラムの識別情報としてハンドル名が記憶され
るのは、同じ名称のアプリケーションプログラムが複数
個起動されることがあり、これらのアプリケーションプ
ログラムを区別するために、起動されたそれぞれのアプ
リケーションプログラムにＯＳ４０により割り当てられ
るハンドル名が、アプリケーションプログラムの識別情
報として機密ファイル登録テーブル４６に記憶される。

【００３３】記憶領域４６２には、開くべきファイルの
識別情報として当該ファイルのファイルパスが記憶され
る。今の場合、起動されたファイルが機密フォルダ１５
Ａに保存されていたファイルであると仮定する。図のエ
ントリ４６Ａには、起動されたアプリケーションプログ
ラムのハンドル名の例とオープンされたファイルのファ
イルパスの例が示されている。なお、開かれているファ
イル名が他のファイル名に変更されたときには、記憶領
域４６２に記憶されたファイル名が新しいファイル名に
変更される。

【００３４】このように、機密フォルダ１５Ａに保存さ
れたファイルが最初にコンピュータ１０でオープンされ
たとき、以下の処理Ｓ４２４からＳ４２７が実行され、
オープンされた機密ファイルの内容が機密フォルダ１５
Ａの外部に持ち出るのを禁止される。これらの処理Ｓ４
２４からＳ４２７は、少なくとも一つの機密ファイルが
開かれている限り継続して実行される。ただし、これら
の処理Ｓ４２４からＳ４２７の内容は後に説明する。

【００３５】ステップＳ４２７が終了すると、処理はス
テップＳ４２１に戻る。ステップＳ４２１で、いずれか
のアプリケーションプログラムがいずれかのファイルを
開くことを要求したことを示すファイルオープンイベン
トが検出されなかった場合、処理はステップＳ４２８に
進む。なお、ステップＳ４２２において、ファイルオー
プンの対象のファイルが機密フォルダ１５Ａ以外のフォ
ルダ１５Ｂに保存されているファイルであると判断され
た場合も、処理はステップＳ４２２からステップＳ４２
８にジャンプする。

【００３６】ステップＳ４２８においては、いずれかの
フィルタプログラム、例えば３２から、アプリケーショ
ンプログラムを機密ファイル登録テーブル４６に登録す
ることを要求する登録要求が出されたか否かが判別され
る。この登録要求については後に説明する。ここでは、
このような登録要求が検出されなかったと仮定する。そ
の場合に、ステップＳ４２９において、機密ファイルを
開いているアプリケーションプログラムによりファイル
を補助記憶装置１５に格納することを要求するファイル
格納イベントが検出されたか否かが判断される。ファイ
ル格納イベントが検出されなかった場合、処理はステッ
プＳ４２１に戻る。

【００３７】ファイル格納イベントが検出された場合、
ステップＳ４３０において、ファイル格納イベントを生
成したアプリケーションプログラムと当該格納すべきフ
ァイルとの組が機密ファイル登録テーブル４６に登録さ
れているか否かが判断される。ステップＳ４３０におい
て、ファイル格納イベントを生成したアプリケーション
プログラムと当該格納すべきファイルとの組が機密ファ
イル登録テーブル４６に登録されていないと判断された
場合、処理はステップＳ４２１に戻る。

【００３８】しかし、ステップＳ４３０において、ファ
イル格納イベントを生成したアプリケーションプログラ
ムと当該格納すべきファイルとの組が機密ファイル登録
テーブル４６に登録されていると判断された場合、ステ
ップＳ４３１において、当該ファイルの格納先が機密フ
ォルダ１５Ａの内部（すなわち、当該機密フォルダ１５
Ａそのもの若しくはその機密フォルダ１５Ａの内部のフ
ォルダ）であるか否かが判別される。ファイル格納先が
機密フォルダ１５Ａの内部のフォルダでないときには、
当該ファイル格納は無効にされる（ステップＳ４３
２）。これにより、当該機密ファイルが機密フォルダ１
５Ａの外部のフォルダに出力されることが禁止される。

【００３９】このように、機密フォルダ１５Ａ内の機密
ファイルがいずれかのアプリケーションプログラムによ
り開かれた場合、当該ファイルが当該アプリケーション
プログラムを用いて編集された場合でも、当該ファイル
は元の機密フォルダ１５Ａ以外のフォルダに保存されな
い。なお、ステップＳ４３１において、ファイル格納先
が機密フォルダ１５Ａの内部であると判断されたときに
は、Ｉ／Ｏ監視プログラム４２は、当該ファイル格納に
対して何もしないので、当該ファイル格納はそのまま実
行される。

【００４０】なお、以上においては、機密フォルダ１５
Ａ内の機密ファイルがアプリケーションプログラムによ
り開かれてその後格納される場合であったが、同様の方
法により、当該開かれたファイルがフロッピディスク駆
動装置１６を介してフロッピディスクに格納されるのが
禁止される。更には、当該開かれたファイルが、ネット
ワークドライブ２２（図１）に格納されることも禁止さ
れる。更に、当該開かれたファイルが個別プリンタ１９
あるいはネットワークプリンタ２１により印刷されるこ
とも禁止される。更に、当該開かれたファイルが、電子
メールに添付されることも禁止される。

【００４１】以上の禁止処理は、アプリケーションプロ
グラムにより開かれたファイルが機密フォルダ１５Ａ内
に格納されていたファイルの場合である。開かれたファ
イルが、機密フォルダ１５Ａ以外の他のフォルダ１５Ｂ
に格納されたファイルである場合には、上記のような持
ち出し禁止のための処理は当該ファイルに対しては実行
されず、ユーザは、上記持ち出し禁止のための処理の影
響を受けないで当該ファイルを使用することができる。

【００４２】なお、先に説明を省略した処理Ｓ４２４か
ら４２７の内容は以下のとおりである。まず、ステップ
Ｓ４２４では、共有データエリア４４（図１）がロック
される。既に説明したように、共有データエリア４４
は、クリックボードとも呼ばれ、アプリケーションプロ
グラム間のデータ転送に使用することができる。共有デ
ータエリア４４が利用可能な場合には、機密ファイルの
内容が複数のアプリケーションプログラムを用いて機密
フォルダ１５Ａ以外のフォルダに格納することも可能に
なる。

【００４３】例えば、機密フォルダ１５Ａ内の機密ファ
イルがあるアプリケーションプログラムにより開かれて
いる状態で他のアプリケーションプログラムにより機密
フォルダ１５Ａ以外の他のフォルダ１５Ｂ内の他のファ
イルが開かれたとき、上記機密ファイルの内容を共有デ
ータエリア４４にコピーし、当該コピーされた内容を上
記他のファイルに貼り付けることができる。

【００４４】本実施の形態では、このような、共通デー
タエリアを介して機密ファイルの内容が他のファイルに
転送された場合、当該他のファイルが機密フォルダ１５
Ａ以外のフォルダに保存されるのを禁止するために、機
密フォルダ１５Ａ内のいずれかの機密ファイルが一つで
もいずれかのアプリケーションプログラムにより開かれ
た時点で、共有データエリア４４を用いてアプリケーシ
ョンプログラム間でデータ転送できないように、共有デ
ータエリア４４がロックされる。

【００４５】図７は、Ｉ／Ｏ監視プログラム４２が共有
データエリア４４をロックする仕組みを模式的に示す図
である。Ｉ／Ｏ監視プログラム４２は、アプリケーショ
ンプログラム＃１（３０）又はアプリケーションプログ
ラム＃２（３１）が機密フォルダ１５Ａから機密ファイ
ル５０Ａを開いた場合、共有データエリア４４をロック
できる。すなわち、共有データエリア４４は、複数のフ
ァイルが開かれているときには、閉鎖され、使用できな
くなる。アプリケーションプログラム＃１（３０）やア
プリケーションプログラム＃２（３１）が機密ファイル
５０Ａを閉じた場合は、共有データエリア４４のロック
を解除する。すなわち、開かれているファイルの総数が
一つのときには、共有データエリア４４は開かれ、当該
ファイルに関しては使用可能になる。

【００４６】図６に戻り、ステップＳ４２５では、アプ
リケーションプログラムにより表示されているファイル
の内容が画面キャプチャツールを利用して画面データと
して他のファイルにコピーされることが禁止される。す
なわち、画面キャプチャツールがライブラリ関数ＧＤＩ
３２を呼び出し実行することがステップＳ４２５におい
て禁止される。図８は、Ｉ／Ｏ監視プログラムが画面キ
ャプチャによるデータの持ち出しをロックする仕組みを
模式的に示す図である。画面キャプチャツール５０１
は、画面情報を取得するためのライブラリ関数（例えば
ＧＤＩ３２）（５０２）を利用してビデオアダプタ（Vi
deo Adapter）５０３から画面の情報を取得する機能を
有している。

【００４７】Ｉ／Ｏ監視プログラム４２は、画面キャプ
チャツール５０１とライブラリ関数ＧＤＩ３２（５０
２）の中間に挿入されるフィルタプログラムとして機能
し、画面キャプチャツール５０１がライブラリ関数ＧＤ
Ｉ３２（５０２）を呼び出すのを監視する。アプリケー
ションプログラムが機密ファイルを開いた場合には、す
なわち、ステップＳ４２５において、画面キャプチャツ
ール５０１によるライブラリ関数ＧＤＩ３２（５０２）
の呼び出しをロックする。すなわち、画面キャプチャツ
ール５０１により当該ライブラリ関数を呼出せないよう
にする。この結果、少なくとも一つの機密ファイルがい
ずれかのアプリケーションプログラムにより開かれた状
態では、画面キャプチャが実行されなくなる。

【００４８】図６に戻り、ステップＳ４２６では、コン
ピュータ１０におけるユーザの操作及び入出力処理をア
クセスログとして記録し始め、ステップＳ４２７では、
図示しない監視カメラを用いてコンピュータ１０の操作
者、表示装置の画面等を含む、コンピュータ１０とその
周辺を録画し始める。管理者は後でアクセスログと監視
カメラの録画情報に基づいて、コンピュータ１０のユー
ザが、表示装置１２（図１）の画面に表示された機密フ
ァイルの内容をキーボード等の文字入力装置を用いて他
のファイルに入力していないかを点検することができ
る。

【００４９】さて、本実施の形態では、システム管理者
が、初期設定において機密管理テーブル４５（図５）内
の記憶領域４５３に記憶されたアプリケーションプログ
ラム間データ転送許可フラグをセットした場合、ＯＬＥ
によるアプリケーションプログラム間のデータ転送を使
用することができる。

【００５０】図９（ａ）は、ドラッグ・ドロップ機能を
利用した、ＯＬＥによるデータ転送方法を説明する図で
ある。アプリケーションプログラム＃１（３０）のウィ
ンドウ２０５上に表示されているオブジェクト５１をマ
ウス等のポインティングデバイスを用いてドラッグし、
別のアプリケーションプログラム＃２（３１）のウイン
ドウ２０６上にドロップを指定すると、アプリケーショ
ンプログラム＃１（３０）からアプリケーションプログ
ラム＃２（３１）へＯＬＥによるデータ転送インタフェ
ースを利用してオブジェクト５１がアプリケーションプ
ログラム＃２（３１）のウインドウ上にオブジェクト５
２として転送される。

【００５１】同図（ｂ）は、オブジェクト挿入機能を利
用した、ＯＬＥによるデータ転送方法を示す図である。
アプリケーションプログラム＃１（３０）のウィンドウ
２０５上に表示されているファイルを別のアプリケーシ
ョンプログラム＃２（３１）のウィンドウ２０６内のＩ
ｎｓｅｒｔメニューから、挿入すべきオブジェクトとし
て指定することにより、アプリケーションプログラム＃
２のウィンドウ２０６上に当該ファイルを表示できる。

【００５２】このようなアプリケーションプログラム間
のデータ転送を許すと、例えばアプリケーションプログ
ラム＃１（３０）が機密フォルダ１５Ａ内の機密ファイ
ルを開いていて、アプリケーションプログラム＃２が機
密フォルダ以外のフォルダ１５Ｂ内のファイルを開いて
いる状態で、アプリケーションプログラム＃１が開いて
いる機密ファイルの全体若しくは一部をＯＬＥによるデ
ータ転送を用いてアプリケーションプログラム＃２によ
り開かれているファイルに転送することができる。

【００５３】このようにアプリケーションプログラム間
のデータ転送を用いて機密フォルダ１５Ａ内の機密ファ
イルの内容が他のフォルダ１５Ｂから開かれたファイル
に転送された場合、本実施の形態では、当該他のファイ
ルは、機密フォルダ１５Ａ以外のフォルダに格納できな
いようにファイルの格納が制御される。この目的のため
に、起動されたアプリケーションプログラム、例えば３
０に対応してフィルタプログラム３２が準備され、アプ
リケーションプログラム３０が起動されたときに対応す
るフィルタプログラム３２が起動され、このフィルタプ
ログラム３２とＩ／Ｏ監視プログラム４２とが連携し
て、ＯＬＥによるデータ転送により転送された機密情報
が含まれたファイルを機密フォルダ１５Ａ以外のフォル
ダ１５Ｂに格納しないように動作する。

【００５４】図１０は、各アプリケーションプログラム
に組み込まれるフィルタプログラムの処理の一例を示す
概略フローチャートである。フィルタプログラム、例え
ば３２は、当該フィルタプログラムが組み込まれている
アプリケーションプログラム３０が、ＡＰＩサブシステ
ム４１に対して発行するＡＰＩ呼出しを監視して、当該
アプリケーションプログラム３０から別のアプリケーシ
ョンプログラムへデータ転送を行うアプリケーションプ
ログラム間データ転送イベントが発生するのを待つ（ス
テップＳ３２１）。

【００５５】フィルタプログラム３２がこのイベントの
発生を検出すると、当該フィルタプログラム３２が組み
込まれたアプリケーションプログラム３０と当該アプリ
ケーションプログラムが開いているファイルの組に関す
る情報が機密ファイル登録テーブル４６に登録されてい
るか否かを判断する（ステップＳ３２２）。既に説明し
たように、当該アプリケーションプログラム３０により
開かれているファイルが機密フォルダ１５Ａに保存され
ていた機密ファイルであるときには、上記情報が機密フ
ァイル登録テーブル４６に登録されている。

【００５６】上記情報が機密ファイル登録テーブル４６
に登録されていないときには、検出されたアプリケーシ
ョンプログラム間データ転送イベントにより転送される
ファイルは機密フォルダ１５Ａに格納されていたファイ
ルでないので、当該フィルタプログラム３２は何もしな
いで、処理はステップＳ３２１に戻る。

【００５７】上記情報が機密ファイル登録テーブル４６
に登録されている場合には、アプリケーションプログラ
ム間データ転送が当該コンピュータにおいて許可されて
いるか否かをチェックする（ステップＳ３２３）。この
チェックは、機密管理テーブル４５（図５）内の記憶領
域４５３にアプリケーションプログラム間データ転送許
可フラグがセットされているか否かに基づいて行われ
る。既に述べたように、アプリケーションプログラム間
データ転送許可フラグは、システム管理者によりあらか
じめセットあるいはリセットされる。

【００５８】アプリケーションプログラム間データ転送
許可フラグがセットされている場合には、Ｉ／Ｏ監視プ
ログラム４２に、送信先のアプリケーションプログラム
の登録を要求する（ステップＳ３２５）。登録時に使用
される送信先のアプリケーションプログラムのハンドル
名と送信先のファイルのファイルパスは、フィルタプロ
グラム３２によりＩ／Ｏ監視プログラム４２に通知され
る。フィルタプログラム３２の処理は、その後初期処理
Ｓ３２１に戻る。

【００５９】図６を参照するに、Ｉ／Ｏ監視プログラム
４２では、ステップＳ４２８において、フィルタプログ
ラムからのアプリケーションプログラムの登録要求を検
出すると、処理はステップＳ４２３に進み、要求された
アプリケーションプログラムを機密ファイル登録テーブ
ル４６に登録する。今の場合には、送信先のアプリケー
ションプログラム、例えば３１のハンドル名と送信先の
ファイルのファイルパスの組を機密ファイル登録テーブ
ル４６に追加する。

【００６０】図５に示した機密ファイル登録テーブル４
６の第２のエントリ４６Ｂには、追加されたハンドル名
とファイルパスの例が示されている。こうして、機密フ
ァイルを開いているアプリケーションプログラムから別
のアプリケーションプログラムへデータが転送された場
合、データ転送先のアプリケーションプログラムも監視
対象として機密ファイル登録テーブル４６に登録され
る。こうして、送信先のアプリケーションプログラム３
１と送信先のファイルが、機密フォルダ１５Ａから機密
ファイルが開かれた場合と同じく、機密ファイル登録テ
ーブル４６に登録される。

【００６１】後に、送信先のアプリケーションプログラ
ム３１が送信先のファイルを格納する要求を発行したと
き、Ｉ／Ｏ監視プログラム４２によりこの要求に関連し
てファイル格納イベントを検出する。Ｉ／Ｏ監視プログ
ラム４２が、ファイル格納イベントを検出すると（ステ
ップＳ４２９）、図６について説明したように、ステッ
プＳ４３０において、当該アプリケーションプログラム
が機密ファイル登録テーブル４６に登録されているか否
かが判断される。

【００６２】この判断において、上記データ転送先のア
プリケーションプログラム３１が登録されていると判断
されることになる。したがって、データ転送先のアプリ
ケーションプログラム３１が指定する格納先が機密フォ
ルダ１５Ａ以外のフォルダであるとき、ステップＳ４３
２において当該ファイル格納が無効にされる。こうし
て、データ転送先のファイルが機密フォルダ以外のフォ
ルダに格納されるのが禁止される。

【００６３】このようにして、データ転送先のアプリケ
ーションプログラム３１が機密ファイル登録テーブル４
６に登録されたことにより、データ転送先のアプリケー
ションプログラム３１は、まるで機密フォルダ１５Ａか
ら機密ファイルを開いたアプリケーションプログラムと
同様に処理されることになる。

【００６４】こうして、機密フォルダ１５Ａ内の機密フ
ァイルの内容がアプリケーションプログラム間のデータ
転送により転送先のファイルに転送されるのを許しなが
ら、当該転送先のファイルが機密フォルダ１５Ａ以外の
フォルダに格納されるのを禁止することができる。な
お、データ転送先ファイルの、印刷、フロッピディスク
駆動装置１６内の記録媒体への出力、ネットワークドラ
イブ２２への出力、電子メールへの添付についても同様
である。

【００６５】なお、フィルタプログラム３２の処理Ｓ３
２３（図１０）において、アプリケーションプログラム
間データ転送許可フラグ４５３（図４）がセットされて
いないと判断された場合には、アプリケーションプログ
ラム間データ転送がロックされる（ステップＳ３２
４）。すなわち、発生したアプリケーションプログラム
間データ転送イベントを無効にし、エラーメッセージを
表示する。この場合には、アプリケーションプログラム
間データ転送は利用されない。

【００６６】なお、本発明は以上の実施の形態に限定さ
れるのではなく、本発明の要旨を変更しない範囲におい
て上記実施の形態を変形あるいは修正してもよいことは
いうまでもない。例えば、機密情報の持ち出しを禁止す
るためには、機密ファイルを開いていたアプリケーショ
ンプログラムが終了するときに、コンピュータ１０の図
示しないキャッシュメモリ内に残っている、当該アプリ
ケーションプログラムが利用したファイルをすべて削除
するようにすることが望ましい。

【００６７】また、機密フォルダ内の機密ファイルを暗
号化しておくことも望ましい。その場合には、アプリケ
ーションプログラムから機密フォルダ内の機密ファイル
を開く場合には当該ファイルを復号してアプリケーショ
ンプログラムに転送する。また、アプリケーションプロ
グラムが機密フォルダにファイルを格納する場合には、
格納するファイルを暗号化してから格納する。

【００６８】

【発明の効果】以上、説明したように、本発明によれ
ば、外部への持ち出しを禁止されるべき機密ファイルと
そうでない他のファイルが混在して記憶されている記憶
装置を有するコンピュータにおいて、上記機密ファイル
があらかじめ指定された機密フォルダ以外へ出力される
のを防ぐことができ、上記他のファイルを上記機密フォ
ルダ以外へ出力させることができる。

【図面の簡単な説明】

【図１】 本発明に係る機密ファイル持ち出し禁止方法
及びプログラムの一つの実施の形態を用いたコンピュー
タシステムのブロック図である。

【図２】 機密ファイルに対する持ち出し禁止処理を説
明するための図である。

【図３】 アプリケーションプログラム間のデータ転送
が禁止された状態での、機密ファイルに対する持ち出し
禁止処理を説明するための図である。

【図４】 機密管理テーブルの一例を示す図である。

【図５】 機密ファイル登録テーブルの一例を示す図で
ある。

【図６】 Ｉ／Ｏ監視プログラムの処理の一例を示す概
略フローチャートである。

【図７】 Ｉ／Ｏ監視プログラムが共有データエリアを
ロックする仕組みを模式的に示す図である。

【図８】 Ｉ／Ｏ監視プログラムが画面キャプチャによ
るデータの持ち出しをロックする仕組みを模式的に示す
図である。

【図９】 オブジェクトリンクと埋め込み（ＯＬＥ）を
使用したデータ転送を説明する図である。

【図１０】 アプリケーションプログラムに組み込まれ
るフィルタプログラムの処理の一例を示す概略フローチ
ャートである。

───────────────────────────────────────────────────── フロントページの続き (72)発明者 鮫島 吉喜 神奈川県横浜市中区尾上町６丁目81番地 日立ソフトウエアエンジニアリング株式会 社内 Ｆターム(参考） 5B017 AA06 BA06 CA16 5B082 EA07 EA11 5B098 GA01 GC16 JJ08

Claims (9)

【特許請求の範囲】
1. 【請求項１】 いずれかのアプリケーションプログラム
   が記憶装置に保存されたいずれかのファイルを開くこと
   を要求したとき、当該ファイルが前記記憶装置内のあら
   かじめ定められた機密情報保存用フォルダに保存されて
   いるファイルであるか否かを判別し、 当該ファイルが前記機密情報保存用フォルダに保存され
   ているファイルであると判別された場合、当該ファイル
   の内容が前記機密情報保存用フォルダ以外に出力されな
   いように、当該ファイルが開かれた後に前記ファイルの
   内容の移動を制限する、 ステップをコンピュータに実行させるためのプログラ
   ム。
2. 【請求項２】 前記制限するステップは、 前記ファイルが前記機密情報保存用フォルダに保存され
   ているファイルであると判別された場合、当該ファイル
   が開かれた後に前記アプリケーションプログラムが当該
   ファイルを保存することを要求したときに、当該保存要
   求が指定するファイル保存先が前記記憶装置内の前記機
   密情報保存用フォルダ内であるか否かを判定し、 前記ファイル保存先が前記機密情報保存用フォルダ外で
   あるとき、当該保存要求を無効にする、 ステップを含むことを特徴とする請求項１に記載のプロ
   グラム。
3. 【請求項３】 前記制限するステップは、前記アプリケ
   ーションプログラムが開いている前記ファイルの少なく
   とも一部を他のアプリケーションプログラムが開いてい
   る他のファイルにアプリケーションプログラム間データ
   転送機能を用いて転送することを禁止する、ステップを
   含むことを特徴とする請求項１に記載のプログラム。
4. 【請求項４】 前記制限するステップは、前記アプリケ
   ーションプログラムにより開かれた前記ファイルの内容
   に対して画面キャプチャの実行を禁止する、ステップを
   含むことを特徴とする請求項１に記載のプログラム。
5. 【請求項５】 前記制限するステップは、前記ファイル
   が前記機密情報保存用フォルダに保存されているファイ
   ルであると判別された場合、前記ファイルが開かれた後
   に前記アプリケーションプログラムが前記ファイルの少
   なくとも一部を他のアプリケーションプログラムが開い
   ている他のファイルにアプリケーションプログラム間デ
   ータ転送機能を用いて転送したとき、当該他のファイル
   の内容が前記機密情報保存用フォルダ以外に出力されな
   いように、前記データ転送の後に前記他のファイルの内
   容の移動を制限する、ステップを含むことを特徴とする
   請求項１に記載のプログラム。
6. 【請求項６】 前記制限するステップは、 前記他のアプリケーションプログラムが、当該他のファ
   イルを保存することを後に要求したときに、当該保存要
   求が指定するファイル保存先が前記記憶装置内の前記機
   密情報保存用フォルダ内であるか否かを判定し、 前記ファイル保存先が前記機密情報保存用フォルダ外で
   あるとき、当該保存要求を無効にする、 ステップを含むことを特徴とする請求項５に記載のプロ
   グラム。
7. 【請求項７】 いずれかのアプリケーションプログラム
   が記憶装置に保存されたいずれかのファイルを開くこと
   を要求したとき、当該ファイルが前記記憶装置内のあら
   かじめ定められた機密情報保存用フォルダに保存されて
   いるファイルであるか否かを判別し、 前記ファイルが前記機密情報保存用フォルダに保存され
   ているファイルであると判別された場合、前記アプリケ
   ーションプログラムと前記ファイルとの組合せを機密管
   理すべき対象として記憶し、 いずれかのアプリケーションプログラムにより、当該ア
   プリケーションプログラムが開かれているファイルの内
   容を前記機密情報保存用フォルダ以外へ移動することが
   要求されたとき、当該アプリケーションプログラムと当
   該ファイルの組が機密管理対象として記憶されているか
   否かを判別し、 当該アプリケーションプログラムと当該ファイルの組が
   機密管理対象として記憶されているとき、前記移動要求
   を無効にする、 ステップをコンピュータに実行させるためのプログラ
   ム。
8. 【請求項８】 いずれかのファイルを開いているアプリ
   ケーションプログラムが当該ファイルの少なくとも一部
   を他のアプリケーションプログラムが開いている他のフ
   ァイルにアプリケーションプログラム間データ転送機能
   を用いて転送する要求を発行したとき、当該アプリケー
   ションプログラムと当該ファイルとの組合せが、機密情
   報管理すべき対象として記憶されているか否かを判別
   し、 当該アプリケーションプログラムと当該ファイルとの組
   合せが機密管理すべき対象として記憶されていると判別
   されたとき、当該他のアプリケーションプログラムと当
   該他のファイルとの組合せを、機密管理すべき対象とし
   て記憶する、ステップを更に含むことを特徴とする請求
   項７に記載のプログラム。
9. 【請求項９】 前記制限するステップは、 いずれかのファイルを開いているいずれかのアプリケー
   ションプログラムが当該ファイルの保存を要求したと
   き、当該アプリケーションプログラムと当該ファイルと
   の組合せが機密管理すべき対象として記憶されているか
   否かを判別し、 当該アプリケーションプログラムと当該ファイルとの組
   合わせが、機密管理すべき対象として記憶されていると
   判別されたとき、前記保存要求が指定するファイル保存
   先が前記機密情報保存用フォルダ内であるか否かを判別
   し、 前記ファイル保存先が前記機密情報保存用フォルダ外で
   あるとき、当該保存要求を無効にする、 ステップを含むことを特徴とする請求項７又は８に記載
   のプログラム。