JP2003242015A - 指定場所を介したファイルアクセス管理 - Google Patents

Abstract

(57)【要約】 【課題】 指定された場所又はその２次的な場所を介し
て、ディジタル資産を管理するための手法を提供するこ
と。 【解決手段】 指定される場所は、保全モジュールによ
って特徴付けられ、又は関連付けられ、指定された場所
に格納された総てのファイルが、実質的に同様のセキュ
リティを有するようにする。言い換えれば、保全される
ファイルは、指定された場所に単に落とされ、保全モジ
ュールは、指定された場所の保全属性に従って透明にフ
ァイルを保全する動作を行うよう形成される。同様に、
指定された場所は、その指定された場所に保存された保
全ファイルを保全しないように設定することも可能であ
るが、保全ファイルのユーザがそのようにするための特
権を有することを前提とする。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、一般に企業環境に
おける電子データを保護する技術分野に関し、特に、指
定された場所を経由するディジタル資産（ａｓｓｅｔ）
を保全する技術及びその方法に関する。

【０００２】

【従来の技術】ハッカーによるｅビジネスへの攻撃は、
新聞の見出しに現れるであろうが、それは保護すること
が最も困難な最も代償の大きい行為であり、内部事情を
有する内部ハッカー（ｉｎｔｅｒｎａｌ ｈａｃｋｅ
ｒ）により行われる傾向にある。具体的な内部ハッカー
は、企業についての広範な知識を有し、内部ネットワー
クを突破し、企業の秘密情報を含むファイル及びフォル
ダへアクセスする、部署内の従業者及び業者である。

【０００３】多くの会社及び組織は、彼らの機密情報を
効果的に保護する手法を探し求めている。典型的には、
会社及び組織は、仮想非公開ネットワーク（ＶＰＮｓ：
Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋｓ）
及び侵入検出システム（ＩＤＳ：Ｉｎｔｒｕｓｉｏｎ
Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）のようなファイヤ
ウォールを開発して保護している。しかしながら、これ
ら様々な保全（ｓｅｃｕｒｉｔｙ）手段は、内部ネット
ワーク上にある機密情報を信頼性高く保護するには不充
分であることが立証されつつある。例えば、機密情報へ
アクセスするためのパスワードに依存して、数文字列の
パスワードが漏洩又は発見されると、そこからセキュリ
ティが突破されることが多い。

【０００４】機密情報を保護する手法の１つは、１つ又
はそれ以上の暗号化技術を利用して、機密文書を保全す
る。暗号化技術における暗号化プロセスを利用すると、
権限無き第三者からのアクセスからデータ内容を保護す
ることが可能であり、認められる者は、対応する暗号化
解除プロセスを利用してデータを読み出すことが化可能
である。暗号化の主要な点は、データ又は平文の内容を
盗聴者から秘密に維持することである。しかしながら、
暗号化手法（例えば、プリティ・グッド・プライバシ
（ＰＧＰ：Ｐｒｅｔｔｙ Ｇｏｏｄ Ｐｒｉｖａｃｙ）
は、所定のアプリケーションにていくつかの限界を露呈
する。例えば、様々な場所から、暗号化されたファイル
へアクセスする必要のある複数のユーザが存在する共同
利用環境では、暗号化手法に使用される鍵の配信が困難
であり、鍵管理を煩雑にすることがしばしばある。更
に、いくつかの暗号化手法は、明確な（ｅｘｐｌｉｃｉ
ｔ）暗号化プロセスを必要とする。例えば、ＰＧＰアプ
リケーションは、保護される文書を暗号化するために、
手作業で起動される必要がある。

【０００５】なお、本願は、本願の参考に供される、２
００２年２月１２日に出願され、“Ｓｅｃｕｒｅｄ Ｄ
ａｔａ Ｆｏｒｍａｔ ｆｏｒ Ａｃｃｅｓｓ Ｃｏｎ
ｔｒｏｌ”と題される米国特許出願番号１０／０７４，
８０４の一部継続出願、及び“Ｅｖａｌｕａｔｉｏｎ
ｏｆ Ａｃｃｅｓｓ Ｒｉｇｈｔｓ ｔｏ Ｓｅｃｕｒ
ｅｄ Ｄｉｇｉｔａｌ Ａｃｃｅｓｓ”と題される米国
特許出願番号１０／１２７，１０９に関連する。

【０００６】

【発明が解決しようとする課題】従って、常にディジタ
ル資産の保護及び安全を図る柔軟な手法が望まれてい
る。

【０００７】

【課題を解決するための手段】本発明は、常にディジタ
ル資産を広く保全し、特に企業環境に適した、方法、シ
ステム、アーキテクチャ及びソフトウエア・プロダクト
に関連する。保全ファイル（ｓｅｃｕｒｅｄ ｆｉｌ
ｅ）を保全する又はファイルを保全しない、及び様々な
保全レベルの保全ファイル管理の効果的な手法を提供す
るために、様々なファイルを保全するための１つ又はそ
れ以上のストア（ｓｔｏｒｅ）を指定する技術がここに
開示される。ストアは、ファイルフォルダ、ディレクト
リ、局所的な又は遠方の格納スペースとすることが可能
であり、典型的には、そのストアがユーザ管理されるも
のであるならば、サーバ又は局所的な機器を介して管理
される。その結果、それぞれの指定されるストアを通じ
て、ファイルは保全されることが可能であり、保全され
るファイルは効果的且つ一貫して管理されることが可能
である。多くの場合に、指定されたストアを介するファ
イルを保全する操作は、ユーザに対して透明である。

【０００８】本発明の一態様にあっては、指定されるス
トアはアクセス制御モジュールに関連付けられ、それ
は、ファイルがそのストアに格納されると、保全動作を
実行するよう形成される。本来的には、所定の保全情報
（ｓｅｃｕｒｉｔｙ ｉｎｆｏｒｍａｔｉｏｎ）を有す
るセキュリティ・テンプレートがストアに関連付けられ
る。一実施例にあっては、保全動作は、テンプレートか
ら保全情報を抽出し、保全情報をヘッダに埋め込み、ヘ
ッダは暗号化された形式でファイルと供に統合され又は
それに添付される。従って、ヘッダは、そのファイルへ
のアクセス制限機能を与える。

【０００９】本発明の他の態様にあっては、アクセス制
御モジュールが、指定されたストア内で非保全動作（ｕ
ｎｓｅｃｕｒｉｎｇ ｏｐｐｅｒａｔｉｏｎ）を実行す
るよう形成される。言い換えれば、そのストアは、保全
ファイルを開封する（ｕｎｓｅａｌ）又は非保全化する
よう指定される。保全ファイルが通常の又は普通のファ
イルに変換されようとする場合に、その保全ファイルは
ストアの中に落とされる。その結果、保全ファイルに埋
め込まれている総ての保全手段は除去され、データは当
初の状態に暗号化解除される。ただし、そのようにする
ことを意図するユーザが、充分な特権（ｐｒｉｖｉｌａ
ｇｅ）を有していることを前提とする。

【００１０】本発明の更に他の態様にあっては、保全さ
れるためにファイルがストアに格納されると、ファイル
の格納を行うユーザのアクセス権が常に保存され、これ
により、ストアに指定された保全設定に従って、ファイ
ルが保全された後に、ユーザが彼の／彼女の／そのオー
ナーシップ（例えば、フルアクセス権）を喪失してしま
う状況を回避する。保全設定が、ストアに保全されたフ
ァイルにアクセスすることをユーザに許可しないなら
ば、一実施例によれば、アクセス制御モジュールは、ユ
ーザに対する例外をヘッダ内のセキュリティに付加する
よう形成される。そのような例外は、オーナーシップが
変わると除去される。

【００１１】本発明の更に他の態様にあっては、保全フ
ァイルが、保全されるためにストア内に格納されると、
結果の保全ファイル用の「新しい」セキュリティが有効
になる。ただし、保全ファイル内の「古い」セキュリテ
ィを変更しようとするユーザが、そのようにする特権を
有していることを前提とする。実現化手法に依存して、
古い保全情報は新しい情報によって上書きされ又は置換
される。古い保全情報が新しい保全情報によって置換さ
れると、古い保全情報はすぐには破棄されず、テンポラ
リ・スペース（例えば、スタック）に保管される。その
結果、「動作撤回（ｕｎｄｏ）」機能が提供される。

【００１２】本発明の更なる他の態様にあっては、指定
されるストアが、システム管理ストア及びユーザ管理ス
トアで呼ばれているものに分類される。名称が示唆する
ように、システム管理ストアはサーバ（すなわち、中央
処理されるアクセス管理機能を与えるコンピュータ装
置）により管理され、ユーザ管理ストアは、局所的な機
器でローカルに作成され、対応する個々のユーザによっ
て管理される。ユーザ管理されるストアの操作は、シス
テム管理ストアと同様であるが、ユーザ又はローカル機
器がサーバ機器によって最初に認証されることなしに、
それらがユーザによりアクセスされることが可能である
一方、ユーザ又はローカル機器がサーバ機器によって最
初に認証されることなしには、何らのシステム管理スト
アもアクセスされ得ない点で異なる。選択的に、分岐又
は指定された「親（ｐａｒｅｎｔ）」ストア中に子（ｃ
ｈｉｌｄ）ストアが作成され又は管理され、所定のニー
ズに応じることが可能である。親ストアがシステム管理
されるか又はユーザ管理されるかによらず、子ストアの
保全方針（ｐｏｌｉｃｙ）は、概して、より一層限定的
である。

【００１３】本発明の更なる他の態様にあっては、指定
されたストアに関するセキュリティ変更は、ストア内に
何かがあれば、クロール法（ｃｒａｗｌｉｎｇ ｍｅｔ
ｈｏｄ）と呼ばれるものによって、指定されたストア及
び保全されるファイルに伝達され得る。セキュリティ変
更がサーバ機器内で開始される場合に、その変更は、影
響されるストアを担う機器に解放されるクローラ（ｃｒ
ａｗｌｅｒ）又はスパイダ（ｓｐｉｄｅｒ）に包含され
る。スパイダは、ストアに関連する保全テンプレートに
加えて、保全ファイルの各々を自動的に更新する。その
結果、存在する総ての保全ファイルは、セキュリティ変
更と供に更新され、ストアに保存された総てのファイル
が、更新された保全テンプレートに従って保全される。

【００１４】実現化及びアプリケーションに依存して、
本発明は、クライアント機器及び／又はサーバ機器にお
いて、又は分散形式において実現される。一態様にあっ
ては、本発明は、ストア内にファイルを保全する方法で
あり、当該方法は、セキュリティ・テンプレートを前記
ストアに関連付けるステップ；ファイルが前記ストアに
保存された場合に、前記セキュリティ・テンプレートを
抽出するステップ；前記セキュリティ・テンプレートに
従って、前記ファイルを暗号化し、暗号化されたデータ
部分を作成するステップ；前記セキュリティ・テンプレ
ートからの保存情報を包含するように、ヘッダを生成す
るステップ；及び前記ヘッダを前記暗号化されたデータ
部分と統合し、保全ファイルを作成するステップ；より
成る方法である。

【００１５】他の態様にあっては、本発明は、ストア内
にファイルを保全する方法であり、当該方法は、セキュ
リティ・テンプレートを前記ストアに関連付けるステッ
プ；前記ストア内に保全ファイルがユーザによって保存
された場合に、前記セキュリティ・テンプレートを抽出
するステップであって、前記保全ファイルはヘッダ及び
暗号化されたデータ部分を含み、前記ヘッダが、前記暗
号化されたデータ部分への限定的なアクセスを制御する
埋め込まれた保全情報を包含するところのステップ；前
記保全ファイルの前記ヘッダからの前記埋め込まれた保
全情報の、前記ユーザのアクセス権に対する評価を行
い、前記保全ファイルの前記埋め込まれた保全情報を変
更することが前記ユーザに許可されているか否かを判定
するステップ；及び前記保全ファイルの前記埋め込まれ
た保全情報を変更することが前記ユーザに許容されてい
ると判定された後に、前記埋め込まれた保全情報を、前
記セキュリティ・テンプレートからの目下の保全情報と
置換するステップ；より成る方法である。

【００１６】「撤回」機能を可能にするため、前記埋め
込まれた保全情報を、目下の保全情報と置換するステッ
プは：前記埋め込まれた保存情報を、暫定的な場所に保
存するステップ；及び前記保全ファイルのヘッダ内の前
記埋め込まれた保全情報を、前記目下の保全情報と置換
するステップ；より成る。

【００１７】更なる他の態様にあっては、本発明は、ス
トアにファイルを保全する方法であって、当該方法は、
セキュリティ・テンプレートを前記ストアに関連付ける
ステップ；保全ファイルが前記ストア内にユーザにより
保存された場合に、前記セキュリティ・テンプレートを
抽出するステップであって、前記保全ファイルがヘッダ
及び暗号化されたデータ部分を包含し、前記ヘッダが、
前記暗号化されたデータ部分に対する限定的なアクセス
を制御する埋め込まれた保全情報を包含するところのス
テップ；前記保全ファイルの前記ヘッダからの前記埋め
込まれた保全情報の、前記ユーザのアクセス権に対する
評価を行い、前記保全ファイルの前記埋め込まれた保全
情報を変更することが前記ユーザに許可されているか否
かを判定するステップ；前記保全ファイルの前記埋め込
まれた保全情報を変更することが前記ユーザに許可され
ていると判定された後に、前記ストア内のファイルにア
クセスすることが前記ユーザに許可されているか否かを
判定するために、前記テンプレートにおける目下の保全
情報を評価するステップ；及び前記ストア内の前記ファ
イルにアクセスすることが前記ユーザに許可されていな
いと判定された後に、前記ヘッダに包含される前記保全
情報に、特別なアクセスポリシーを付加し、前記ストア
に関連付けられる前記セキュリティ・テンプレートに従
って保全される保全ファイルに、前記ユーザが依然とし
てアクセスすることが可能であるようにするステップ；
より成る方法である。

【００１８】上記実施例は、システム、装置及びソフト
ウエア・プロダクトとしても実現可能であることを当業
者は理解するであろう。ファイルを保全する又は保全し
ないように指定場所を設けることについての、多くの有
利点、利益及び特徴が存在する。それらの１つは、本発
明により考察された、効率的に、一貫して、ユーザに対
して透明にファイルを保全することの可能な機構であ
る。他の１つは、各自が自身の所定のアクセス・ポリシ
ーを有するところの指定されたそれぞれの場所を通じ
て、保全されるディジタル資産がより効率的に管理され
得ることである。

【００１９】本発明の目的、特徴及び利点は、添付図面
に関連する以下の実施例の詳細な説明により明らかにな
るであろう。

【００２０】

【発明の実施の形態】本発明のこれら及びその他の特
徴、態様及び利点は、明細書及び図面の説明により一層
理解されるであろう。

【００２１】概して、本発明は、ファイルフォルダ、デ
ィレクトリ、ローカル又はリモート・ストアであり得る
指定された場所を通じて、ディジタル資産を保全する技
術に関連する。指定される場所は、保全モジュールによ
って特徴付けられ、又は関連付けられ、指定された場所
に格納された総てのファイルが、実質的に同様のセキュ
リティを有するようにする。言い換えれば、保全される
ファイルは、指定された場所に単に落とされ、保全モジ
ュールは、指定された場所の保全属性に従って透明にフ
ァイルを保全する動作を行うよう形成される。同様に、
指定された場所は、その指定された場所に保存された保
全ファイルを保全しないように設定することも可能であ
るが、保全ファイルのユーザがそのようにするための特
権を有することを前提とする。ファイルを保全する又は
保全しないように指定場所を設けることについての、多
くの有利点、利益及び特徴が存在する。それらの１つ
は、本発明により考察された、効率的に、一貫して、ユ
ーザに対して透明にファイルを保全することの可能な機
構である。他の１つは、各自が自身の所定のアクセス・
ポリシーを有するところの指定されたそれぞれの場所を
通じて、保全されるディジタル資産がより効率的に管理
され得ることである。本発明による他の有利点、利点及
び特徴は、以下の詳細な説明により当業者に容易に理解
されるであろう。

【００２２】以下の説明において、本発明の理解を充分
にするため、多くの具体例が説明される。しかしなが
ら、本発明が、それら具体例の詳細とは別に実現され得
ることは、当業者に明白であろう。本明細書における説
明及び表現は、当該技術分野における者が業務の本質を
伝達するのに最も効果的であり、当業者に一般的に使用
される手段である。本発明を不必要に不明確化すること
を回避するために、他の事例における、周知の方法、手
順、部品及び回路の詳細は説明されていない。「一実施
例」又は「実施例」なる用語は、その実施例に関連する
特定の特徴、構造又は属性が、本発明の少なくとも１つ
の実施例に包含され得ることを意味する。本明細書の
「一実施例における」なる語句は、総て同一の実施例に
関連させる必要はなく、他の実施例を互いに排除する個
別の又は代替的な実施例に関連させる必要もない。更
に、本発明の１つ又はそれ以上の実施例を表すプロセス
・フローチャート又は図形内のブロックの順序の総て
が、固有の特別の順序を示すものではなく、本発明の限
定を示すものでもない。

【００２３】本発明の実施例は、図１−７Ｂを参照しな
がら説明され、複数の図を通じて同様な番号は同様な要
素を示す。しかしながら、これらの図に関連して説明さ
れる詳細な記述が、本発明はこれら限定された例を広く
包含することの例示目的であることを、当業者は容易に
理解するであろう。

【００２４】一般に、あるエンティティ（ｅｎｔｉｔ
ｙ）の目的のために作成者により作成された内容は、作
成者又はエンティティに属する知的財産である。企業で
は、この種の情報又は知的財産は、「コンテンツ（ｃｏ
ｎｔｅｎｔ）」ではなく「情報」として言及されている
が、コンテンツとなり得る。いずれにせよ、コンテンツ
又は情報は、そのフォーマットによらず、プリントアウ
トされ又は電子書類であり得る。ここで使用されている
ように、コンテンツ又は情報は、電子データ形式で存在
し、それはまたディジタル資産又は単にファイルと呼ば
れる。ファイルの表現としては、マルチメディア・ファ
イル、ストリーム・データ、動的又は静的なデータ、実
行可能なコード、画像及びテキストのような様々な書類
形式が包含されるが、これらに限定されない。

【００２５】電子データ内容への権限無きアクセスを防
止するため、電子データは、典型的には、事前の（ａ
ｐｒｉｏｒｉ）知識なしには読み出すことができないよ
うに閉じられている形式で格納されている。その目的
は、たとえ電子データへアクセスする者であっても、意
図されていない者から、その内容を隠すことでプライバ
シーを保証することである。事前の知識の例としては、
パスワード、秘密の語句、生物測定（ｂｉｏｍｅｔｒｉ
ｃ）情報、又は１つ若しくは複数の鍵が含まれるが、こ
れらに限定されない。しかしながら、一方において、シ
ステム又は保全ファイルを保護するために事前の知識の
みでは、常には、保全されない。例えば、パスワード又
は秘密の語句が侵入者により漏洩した又はハッキングさ
れた場合に、システム又は保全ファイルのセキュリティ
は突破されてしまう。同様に、電子データの暗号化（例
えば、ＰＧＰ）は、共同作業環境では、多くの不都合を
導入してしまう。

【００２６】図１Ａは、本発明の一態様による構成又は
コンフィギュレーション１００を示す。構成１００は、
有利に、管理可能に、及び一貫した手法におけるファイ
ルを保全するための保護ストア１０２を含む。実現化手
法に依存して、ストア１０２は、様々な形式の電子デー
タ又はファイルを格納する又は保全するためのファイル
フォルダ、ディレクトリ、遠隔又は局所的な格納スペー
スであり得る。言い換えれば、ストア１０２内のファイ
ルは保全され、たとえそれらが他の場所に移動させられ
たとしても保全され続け、認証されたユーザによっての
みアクセスされ得る。ストア１０２の１つの特徴によれ
ば、通常の（ｐｌａｉｎ）ファイル１０６は、ストア１
０２内に単に保存することで保全され得る。その結果、
通常のファイル１０６の保存される形式１０８が作成さ
れる。

【００２７】一実施例にあっては、ストア１０２は、ソ
フトウエアモジュールで実現され得るアクセス制御管理
部１０４に固有に関連付けられる。アクセス制御モジュ
ール１０４は、ファイルがストア１０２に保存されよう
とした場合に起動する。ここで使用されるように、ファ
イルの保存「試行（ａｔｔｅｍｐｔｉｎｇ）」は、ファ
イルが、ストア１０２にアクセスして保存される又はそ
こから除去されることを意味する。ファイル１０８がア
クセスされると（例えば、開かれて、プリントされる又
はＥメールに添付される）、そのファイル１０８へアク
セスしようとする要求者又はユーザがそれを行うのに充
分な特権を有しているか否かを、ファイルが解放される
前に判定するように、アクセス制御管理部１０４は構築
される。特に断りがなければ、ユーザ又は要求者は同義
語として交換可能に使用され、人的ユーザ、ソフトウエ
ア・エージェント又はユーザ及び／又はソフトウエア・
エージェントのグループを示す。保全された文書にアク
セスする必要のある人的ユーザと同様に、ソフトウエア
・アプリケーション又はエージェントは、処理を進める
ために、保全された書類にアクセスする必要性がしばし
ば生じる。

【００２８】図１Ｂは、本発明の他の態様による構成１
１０を示す。構成１１０は、そこに保存される保全ファ
イルの非保全化のための「特別の（ｓｐｅｃｉａｌ）」
ストア１１２を含む。言い換えれば、保全ファイル１１
６は、そのストア１１２内に投下された後は、一般の又
は通常のファイル１１８になることが可能である。スト
ア１０２と同様に、ストア１１２は、アクセス制御管理
部１０４に固有に関連付けられ、そこに保存された保全
ファイルに埋め込まれている任意の保全手段を取り外す
よう構築されるが、保全ファイルのユーザがそのように
することの特権を有していることを前提とする。

【００２９】図２Ａは、複数のストア２０６−１，２０
６−２，．．．，２０６−ｎを管理するアクセス制御管
理モジュール２０２を示す。各ストア２０６は、様々な
アクセスポリシーに従ってファイルを保全するためのも
のである。例えば、ストア２０６−１は、技術グループ
に対して、そのグループ内の全メンバがストア２０６−
１内のファイルにアクセスすることが可能であるように
構築され、ストア２０６−２は、マーケティング・グル
ープに対して、そのマーケティング・グループ内の全メ
ンバがストア２０６−２内のファイルにアクセスするこ
とが可能であるように構築される。同様に、ストア２０
６−ｎは、あるグループの一部の者及び他のグループの
一部の者に対して、そこに保全されたファイルにアクセ
スすることを許容するよう構築される。いずれにせよ、
実現化の詳細に依存して、１つ又はそれ以上のストア２
０６を通じて、様々なアクセス・セキュリティの要請に
応じることが可能である。

【００３０】アクセス制御モジュール２０２の管理の下
に、各ストア２０６は、セキュリティ・テンプレート２
０４の１つに関連付けられる。セキュリティ・テンプレ
ートは、以下に更に図示及び説明されるように、フォル
ダに指定された本質的な保全情報及び様々なパラメータ
を包含し、１つ又はそれ以上のファイル、又は１つ又は
それ以上のシステムポリシー内にある。実現化手法に依
存して、保全情報は、１つ又はそれ以上のアクセスポリ
シー（例えば、誰が、どのように、いつ又はどこで、ス
トア内の保全ファイルにアクセスされ得るか）、暗号化
情報及び他の保全関連情報を包含する。図２Ｂは、セキ
ュリティ・テンプレート２１８における保全情報２２０
のための構造例を示す。保全情報２２０は、暗号情報２
２２、アクセスポリシー２２４及び格納指定情報２２６
を包含する。一般に、暗号情報２２２は、どの暗号手法
（例えば、データ暗号化標準アルゴリズム、ブローフィ
ッシュ（Ｂｌｏｗｆｉｓｈ）ブロック暗号化及びツーフ
ィッシュ（Ｔｗｏｆｉｓｈ）暗号化）を利用して、当初
の通常のファイルを暗号化し、及びおそらくは、どのよ
うに通常のファイルが暗号化されたかを示す。アクセス
ポリシー２２４は、キー及び／又は暗号化されたデータ
に対する限定的なアクセスを提供する一組のアクセスル
ールである。ストア指定情報２２６は、ストアがどのよ
うに指定されるかを示し、例えば、ストアがサーバによ
って作成及び管理されたこと、ストアが局所的な利用の
ためにユーザによって作成されたことを示す。セキュリ
ティ・テンプレート２１８は、セキュリティ・システムの
実際の態様に依存して、様々に指定され得るであろうこ
とは、当業者に理解されるであろう。様々な形式の情報
がセキュリティ・テンプレートに付加され、本発明によ
り、それは少なくとも１つのアクセスポリシーを包含す
る。

【００３１】概して、セキュリティ・テンプレートは、
クライアント機器における不正操作のきかない（ｔａｍ
ｐｅｒ−ｐｒｏｏｆ）格納部に格納され（例えば、デス
クトップ・コンピュータ、ラップトップ・コンピュータそ
の他の演算装置）、クライアント機器のユーザが認証さ
れた後は容易に利用可能になる。例えば、ストア２０６
−１はテンプレート２０４−１に関連し、ストア２０６
−ｎはセキュリティ・テンプレート２０４−ｎに関連す
る。動作時にあっては、通常のファイルがストア２０６
−ｎに保存されると、対応するセキュリティ・テンプレ
ート２０４−ｎが抽出され、対応するセキュリティ・テ
ンプレート２０４−ｎの全部又は一部がヘッダに包含さ
れ、その後にそれは、ファイルの暗号化された形式のも
のに添付され又は統合され、ヘッダ内のセキュリティ情
報は、暗号化されたファイルへの限定されたアクセスを
与える。

【００３２】セキュリティ・テンプレートにおけるセキ
ュリティ情報の一部は、１つ又は複数のアクセスポリシ
ーである、又は生成することが可能である。ポリシー
は、パラメータ化されることが可能であり、要求者から
のアクセス要求が許可されるか否かを判定する一組の基
準（ｒｉｇｈｔ）である。一実施例にあっては、この基
準は、マークアップ言語及びテキスト・ファイルのよう
な（文字通りに理解することの可能な）記述的言語で表
現され得る。マークアップ言語の例としては、ＨＴＭ
Ｌ、ＸＭＬ、ＷＭＬ及びＳＧＭＬがあるが、これらに限
定されない。好適実施例では、マークアップ言語は、拡
張可能なアクセス制御マークアップ言語（ＸＡＣＭＬ）
であり、これは、情報アクセス用のポリシーを表現する
ための本質的にはＸＭＬ仕様であるところのものであ
る。一般に、ＸＡＣＭＬは、認証動作、アクセス要求者
の属性の影響、要求が行われるプロトコル、動作分類に
基づく認証、及びコンテンツ内観（ｉｎｔｒｏｓｐｅｃ
ｔｉｏｎ）（すなわち、属性値がポリシー作者に知られ
ていない場合に、要求者及びターゲット内の属性値の両
者に基づく認証）の緻密な制御（ｆｉｎｅ ｇｒａｉｎ
ｅｄ ｃｏｎｔｒｏｌ）を与える。更に、ＸＡＣＭＬ
は、認証機構の実現化をガイドするために、ポリシー認
証モデルを示唆することが可能である。

【００３３】ＸＡＣＭＬに類似する言語で表現されたア
クセス権の簡単な例２３０が、図２Ｃに与えられてい
る。この例は、「ＡＣＣＴＧ（経理グループ）によって
作成されたｃｕｓｔｏｍｅｒｌｉｓｔ．ｄｏｃと呼ばれ
る保全ファイルが、２００２年８月３日以前の５：００
ＰＭ以前に、保全されたＨＴＴＰで、文書がアクセスさ
れたことを条件に、ＭＫＴＧ（マーケティンググルー
プ）によって閲覧及び印刷されることが可能である」こ
とを意味する。

【００３４】図３Ａは、本発明の一実施例によりストア
内のファイルを保全するためのフローチャート３００を
示す。ファイルは任意の形式の電子データ（例えば、ｘ
ｙｚ．ｄｏｃ及びａｂｃ．ｐｄｆ）であり、そのストア
は図１Ａのストア１０２に対応する。３０２において、
プロセス３０２は、ストア内に何らかのファイルが存在
するか否かが判定され、ファイルがストア内にあること
を検出すると、次に進む。３０４において、ストアに関
連付けられたセキュリティ・テンプレートが抽出され
る。セキュリティ・テンプレートは、ストア用の設定内
容に従って、格納スペースから直接的に取得される、そ
の保全された形式から復元又は暗号化解除される、リア
ルタイムで生成されることが可能である。

【００３５】セキュリティ・テンプレートが利用可能に
なると、３０６にてそのファイル用のヘッダが生成され
る。本質的には、ヘッダはセキュリティ・テンプレート
の全部又は一部を含む。３０８において、保存されたフ
ァイルは、セキュリティ・テンプレートの暗号化手法に
従って暗号化される。その後にヘッダは３１０にてファ
イルに添付され又は統合化され、ファイルに関する試み
は、ヘッダ内の保全情報によって規制されるようにな
る。その後に、保全ファイルは３１２にて生成され、権
限ある者によってのみアクセスされ得るようになる。

【００３６】一実施例によれば、ストアに格納される通
常のファイルは、セキュリティ・テンプレートにおける
暗号化手法に従って最初に暗号化される。暗号化キー
（例えば、暗号解除キー）は、その後に格納され、ヘッ
ダ内のアクセスルールによって保護され、ヘッダの少な
くとも一部は別々の鍵によって暗号化される。保全され
たファイルへのアクセスに対してユーザから要求される
と、ヘッダの保全情報内のアクセスルールは、ユーザの
アクセス権を検査する。ユーザのアクセス権が、アクセ
スポリシーに合致するならば、そのアクセス要求は認め
られ、ユーザはその後に保全ファイルにアクセスするこ
とが可能であり、そうでなければアクセスは否定され
る。米国特許出願番号１０／０７４，８０４は、保全フ
ァイルにアクセスするための付加的な記述を開示する。

【００３７】図３Ｂは、保護されたストアを通じて作成
された保全ファイルのデータ構造例３２０を示す。デー
タ構造３２０は、２つの部分を有し、それらは：ヘッダ
（又はヘッダ部分）３２２、及び暗号化されたデータ
（又は暗号化されたデータ部分）３２４である。ヘッダ
３２２は、ストアに関連し、セキュリティ・テンプレー
トに従って作成されることが可能であり、通常のファイ
ルの暗号化されたものであるデータ部分３２４に対する
限定的なアクセスを与える。選択的に、データ構造３２
０は、誤り検査部分３２５をも含み、例えば、暗号化デ
ータ部分３２４の各ブロックについての個別の誤り検査
コードのような、１つ又はそれ以上の誤り検査コードを
格納する。また、これらの誤り検査コードは、ヘッダ３
２２及び／又は暗号化データ部分３２４に対する巡回冗
長検査（ＣＲＣ）に関連付けることも可能である。ヘッ
ダ３２２は、フラグビット又は署名３２７及び保全情報
３２６を含み、それはストア用のセキュリティ・テンプ
レートに関連付けられる。一実施例によれば、保全情報
３２６は暗号化され、認証されたユーザに関連付けられ
るユーザキーによって暗号化解除されることが可能であ
る。

【００３８】保全情報３２６は実現手法に応じて変更す
ることが可能である。しかしながら、図３Ｂに示される
ように、保全情報３２６は、ユーザ識別子（ＩＤ）３２
８、ルール（アクセスルール）３２９、ファイルキー３
３０その他３３１を包含する。複数のユーザ識別子が使
用され得るが、ユーザ識別子３２８を利用して、保全フ
ァイル３２０にアクセスすることが許可されるユーザ又
はユーザのグループを区別する。アクセスルール３２９
は、暗号化されたデータ部分３２４に対する制限された
アクセスを与える。ファイルキー３３０は暗号化キーで
あり、一旦取得されると、それを利用して暗号化された
データ部分３２４の暗号化を解除することが可能であ
り、一般に、それは保護される。構造３２０の一実施例
にあっては、ファイルキー３３０は、アクセスルール３
２９に関連して暗号化される。構造３２０の他の実施例
では、ファイルキー３３０は保護キーと供に２重に暗号
化され、アクセスルール３２０によって更に保護され
る。その他の３３１は、保全情報３２６内に格納される
他の情報のための付加的なスペースである。例えば、他
の情報３３１を利用して、バージョン番号又は著作識別
子のような、保全ファイルへのアクセスの保全を支援す
る他の情報を包含することが可能である。米国特許出願
番号１０／０７４，０８４は、構造３２０による保全フ
ァイルのフォーマット例の説明を与える。

【００３９】図３Ｃは、本発明の一実施例による保全フ
ァイルのヘッダ構造例３５０を示す。一般に、保全ファ
イルのヘッダは保全ファイルに対する入力点である。ヘ
ッダ構造３５０は、様々な保全情報を含み、充分なアク
セス権を有する認証されたユーザのみが、保全ファイル
内の暗号化データにアクセスすることが可能である。保
全情報は、暗号法にて保護され又は保全される。一実施
例にあっては、ヘッダ又はそこでの保全情報の良好な部
分が、メッセージ認証コード（ＭＡＣ：Ｍｅｓｓａｇｅ
Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ）によって
保護され、図３Ａの有効なキー又はＣＲＣ３１６なし
に、権限無きユーザによるヘッダの変更を検出すること
が可能である。

【００４０】ヘッダ構造３５０の一部は、１つ又はそれ
以上のキーブロックを含むキーブロックリスト３５２と
して言及される。キーブロック３５４は、暗号化された
保護キーを含み、これはしばしば文書／フィル暗号キー
のキー、すなわちファイルキーに対するキーとして言及
される。保護キーが実際に保護されることを保証するた
め、それは暗号化され、指定されたエンティティによっ
てのみ抽出される（例えば、暗号化解除される）。例え
ば、保全ファイルは、技術グループのメンバによって作
成され、技術グループ内の全メンバによるフルアクセス
が許容される。一方、同一のファイルを、マーケティン
グ・グループの全員に対して限定されたアクセス（例え
ば、閲覧及び印刷のみ）を許可する。従って、キーブロ
ックリスト３５２は、２つのキーブロックを含み、１つ
は技術グループに対するものであり、もう１つはマーケ
ティング・グループに対するものである。言い換えれ
ば、２つのキーブロックの各々は、暗号化された保護キ
ーを有し、それは、（グループ又は各自のプライベート
キーを通じて）対応するグループのメンバによってのみ
アクセスされ得る。

【００４１】キーブロックバージョン値３５６は、保護
キー３４０を保護するのに使用される暗号化アルゴリズ
ムの必要な詳細を提供する。一実施例にあっては、ＯＡ
ＥＰ法によるＲＳＡアルゴリズムを組み合わせた公開キ
ー暗号化手法であるＲＳＡ−ＯＡＥＰ（ＲＳＡ−Ｏｐｔ
ｉｍａｌ Ａｓｙｍｍｅｔｒｉｃ Ｅｎｃｒｙｐｔｉｏ
ｎ Ｐａｄｄｉｎｇ）が使用される。特に、キー対３５
８のｕｕｉｄは、この値を暗号化解除するために使用さ
れる認証及び公開キー（その詳細は図示されていない）
を区別する。更に、キーの長さ又はバージョンのような
キー対の属性も包含され、保護キー３４０の保護を促進
する。

【００４２】ヘッダ構造３５０のブロック３４２は、少
なくとも３つのセグメント３４４、３４６及び３４８を
含む。セグメント３４４は、暗号化されたファイルキー
を包含し、それは暗号化されたデータ部分の暗号化を解
除するために抽出される必要がある。セグメント３４６
は、保全レベル情報を含み、保全ファイルが、例えば
「極秘（ｔｏｐ ｓｅｃｒｅｔ）」、「秘密（ｓｅｃｒ
ｅｔ）」、「機密（ｃｏｎｆｉｄｅｎｔｉａｌ）」又は
「非分類（ｕｎｃｌａｓｓｉｆｉｅｄ）」又は「なし
（ｎｏｎｅ）」にあるような、どの保全レベルであるか
を示す。セグメント３４８は、保全ファイルの暗号化さ
れたデータ部分に対する暗号化ブロック・サイズに関す
る情報を包含する。一実施例によれば、それは、アルゴ
リズム暗号化ブロックサイズの倍数である。暗号化され
たデータ部分は、文書／ファイル−暗号化−キー又はフ
ァイルキーと呼ばれる対称な（ｓｙｍｍｅｔｒｉｃ）キ
ーと供に暗号化されることで作成される。

【００４３】ヘッダ構造３５０には、ユーザ又はグルー
プキーにより暗号化される他の部分３６０がある。この
部分３６０（その詳細は図示されていない）は、本質的
には、保全ファイルがアクセスされ得る者／場所を管理
する保全ファイルと供に埋め込まれたアクセスルールを
含む。ファイルにアクセスする様々な条件が、アクセス
ルールに設けられ又は実現され得る。

【００４４】保全ファイルに対する他のデータ構造で
は、ヘッダは少なくとも１つのポインタを包含すること
が可能であり、これは格納スペースに格納される遠隔デ
ータ構造を指し示す。遠隔データ構造は、保全情報の全
部又は一部を格納することが可能であり、これにより、
ヘッダのサイズを短くすることが可能になり、保全情報
の管理機能を改善することが可能になる。格納装置は、
典型的には、ローカル格納装置である。言い換えれば、
代替的なデータ構造及び遠隔データ構造は、典型的に
は、共通の機器（例えば、デスクトップ又は携帯用コン
ピュータ）に格納される。代替的な構造に関する更なる
詳細については、例えば、“ＭＥＴＨＯＤＡＮＤ ＳＹ
ＳＴＥＭ ＦＯＲ ＰＲＯＶＩＤＩＮＧ ＭＡＮＡＧＥ
ＡＢＩＬＩＴＹ ＴＯＳＥＣＵＲＩＴＹ ＩＮＦＯＲＭ
ＡＴＩＯＮ ＦＯＲ ＳＥＣＵＲＥＤ ＩＴＥＭＳ”と
題され、２００２年４月２６日に出願され、本願の参考
に供せられる、米国出願番号１０／１３２，７１２に開
示されている。

【００４５】保護される場所又は指定されるストアを設
定することの１つの利点は、誰が／どのように／いつ／
どこで保全ファイルがアクセスされ得るかについて、個
々に指定せずに、保全ファイルを作成する保全機構をユ
ーザに提供することである。しかしながら、場合によっ
ては、充分なアクセス権を有する権限のあるユーザが、
保全ファイル内のアクセスポリシーを変更する必要があ
る。例えば、技術グループのメンバによってアクセスさ
れるために当初作成された技術文書に、現在は、マーケ
ティングチームのメンバもアクセスする必要のある場合
がある。本発明の一態様によれば、保全ファイルが、様
々な保全テンプレートを有するストア内に保存される場
合に、保全ファイル内の既存の保全情報は置換される
が、直ちに上書きはされない。言い換えれば、置換され
た「古い」保全情報が依然としてどこかに保存され、必
要であれば、「撤回（ｕｎｄｏ）」機能を提供する。

【００４６】図４Ａは、通常の又は保全されることの可
能なファイルを保全するプロセス・フローチャート４０
０を示す。４０２において、プロセス４００は、ストア
にフィルが保存されたか否かを判定する。ファイルがス
トアに保存されたことが検出されると、プロセス４００
は次に進む。プロセス４００は、４０４において、その
ストアに対する保全テンプレートを抽出する。保存され
るファイルは、通常の又は保全されるものの何れかであ
るので、そのファイルの保全の性質が４０６で判定され
る。ファイルが通常であると判定されると、すなわち保
全されない場合には、プロセス４００は４０８，４１
０，４１２及び４１４に進み、その各々は図３Ａの３０
６，３０８，３１０及び３１２に類似するものであり、
図３Ａと同様な説明を参照することで、詳細な説明を省
略する。

【００４７】ファイルが保全されることが判定される
と、ストア内に保存されるファイルがヘッダを含むフォ
ーマット又は構造におけるものであることを示し、ヘッ
ダ自身はそのアクセスを制御するのに必要な保全情報を
包含する。ファイルを保存したユーザが、保全ファイル
のアクセスポリシーを変更する特権を有していることを
保証するために、ユーザのアクセス権が４１６にて抽出
される。この判定は、権限無きユーザが、その権限無き
ユーザがアクセスすることが許可されているストア内に
保存することで、保全ファイルのアクセスポリシーを緩
和させる状況を回避するのに必要である。プロセス４０
０の説明の便宜上、ファイルのユーザが、保全ファイル
に埋め込まれた現在の保全情報（例えば、アクセスポリ
シー）を変更する特権を有するものとする。一般に、ユ
ーザのアクセス権は、ユーザが保全システムにログオン
した際に決定され、これについて以下更に説明する。

【００４８】４１８において、４０４にて抽出された保
全テンプレート内の保全情報は、現在の保全情報を置換
する。上述したように、少なくとも１段階の「撤回」動
作を与えるために、置換される「現在の」保全情報は、
どこかに配置され、直ちには消去されない。新たな保全
情報に置き換わると、ストアに関連する保全テンプレー
トに従って、保全ファイルが４１４にて生成される。

【００４９】図４Ｂは、本発明の一実施例に従って、既
存の保存情報がどのようにして置換されるかを示し、こ
れは図４Ａの４１８として実行される。保全ファイル４
２２は、ストア４２４内にユーザによって保存される。
ユーザは、保全ファイル４２２の保全情報を変更するア
クセス権を有するものとする。例えば、技術チームのリ
ーダが、マーケティングチームに技術文書を閲覧させよ
うとし、その技術文書は技術チームのメンバによっての
みアクセスされていなかったものである。マーケティン
グチームがその技術文書にアクセスするために、ファイ
ルのアクセスポリシーが変更され、マーケティングチー
ムからのアクセス許可を包含するようにする必要があ
る。ストア４２４は実際に技術及びマーケティングチー
ムの両者からアクセスされるよう設定されるものとす
る。保全ファイル４２２をストア４２４に単に保存する
と、保全ファイル４２２に当初埋め込まれたアクセスポ
リシーの修正がなされる。

【００５０】必要であれば、そのような修正の撤回を可
能にするために、ストア４２４に関連するアクセス制御
モジュールは、当初の保存情報４２６を撤回スタック、
又はスタック内に位置するポインタによって指し示され
る一時メモリスペースにコピーされる。いずれにせよ、
スタック４２８は、後入れ先出し（ＬＩＦＯ）スタック
として動作する。新たな保全ファイル４３０は、ストア
４２４に関連する保全テンプレートに従って保全情報を
包含するが、「古い」保全情報４２６は保存される。
「撤回」機能が実行されると、「古い」保全情報４２６
が用意され、保全ファイル４３０内の「新しい」保全情
報を置換し、「古い」保全ファイル４２２を復元し、又
は「古い」保全情報に従って保全ファイルを作成する。
一般に、ＬＩＦＯメモリは、最新の「古い」保全情報を
格納するためにＫ番目の段階に関するＫレベルに形成さ
れ、ここでＫは正の有限数である。他の「古い」保全情
報がＬＩＦＯに受信されると、古い保全情報は（Ｋ−
１）番目に押し下げられ、Ｋ番目の層を利用して、他の
「古い」保全情報を保存する。同様に、Ｋ番目の層の内
容が呼び出された場合には（すなわち、それを利用し
て、保存ファイルの保全情報を置換する）、（Ｋ−１）
番目の層の内容が、Ｋ番目の層に押し上げられる。

【００５１】いずれにせよ、（保全される又は通常の）
ファイルがどのようにしてストアに保全されるかによら
ず、ファイルをそのように保全させるユーザは、保全フ
ァイルに対して常にフルアクセス権を有する。この特徴
により、ユーザがアクセスすることを許可されておら
ず、ファイルへのアクセス権のないストアに、ユーザが
偶発的にファイルを保存してしまう虞が解消される。従
って、そのような事態が起こる場合は、別個の一組のア
クセスルールがヘッダに作成され、保全ファイルに対す
るユーザのフルアクセスを保証する。一般に、別個の一
組のアクセスルールは、次回に消去され又は修正され、
ファイルのセキュリティは他のユーザによって変更され
る。

【００５２】図５Ａは、本発明の一実施例により実現さ
れる基本的な保全システム５００を示す。保全システム
５００は、企業又は企業内環境で使用され得る。これ
は、第１サーバ５０６（クライアントサーバとしても言
及される）を含み、企業に対する中央アクセス管理を提
供し、保全システム５００に保全されるファイルは、制
限されるアクセスのために制御される。システムの依存
性、信頼性及びスケーラビリティを与えるため、１つ又
はそれ以上の第２サーバ５０４（１つが示されていると
ころのローカルサーバとしても言及される。）を利用し
て、ローカルにサービス提供されるユーザ又はクライア
ント機構に対して、バックアップ又は分散されたアクセ
ス管理を提供する。図示の都合上、ローカルサーバ５０
４によってサービス提供される２つのクライアント機器
５０１，５０２がある。図５Ａの更なる説明について
は、米国特許出願番号１０／０７４，８０４にある。

【００５３】概して、保全システム５００には複数のス
トアが存在し、各ストアは作成され、セキュリティ要請
のある形式に対するファイルを保全するために使用さ
れ、典型的には中央サーバ５０２によって管理される。
図５Ｂは、所望のストアを作成する又は既存のストアの
特徴を閲覧／修正するためのシステム動作を支援するこ
とが可能な、グラフィック・ユーザ・インターフェース
５２０例を示す。作成されるストアの目的に依存して、
特定の名称５２２が用意され、例えば、「技術」及び
「営業」である。図示されるように、名称「ストアＸ」
は、作成されるフォルダに対する５２２に入力される。
ディスプレイ５２４は、保全システム５００内でサービ
ス提供されるユーザ、グループ及び装置のリストを示
し、ストアにアクセスすることの許容されているユーザ
候補に対して選択的に選ばれる。実現化の詳細に応じ
て、これら選択されたユーザは、ストア内のファイルを
読み（開き）、印刷し、修正し、又は消去することが可
能であり、ユーザの全部又は一部はストア内のファイル
のセキュリティを変更し、又はストアの下にサブストア
（例えば、二次的なフォルダ又はディレクトリ）を作成
することが可能である。パネル５２６は、動作例を示す
に過ぎない点に留意すべきである。当業者は、他の所望
の動作又は特権を用意することが可能なことを理解し得
るであろう。

【００５４】フォルダに関する設定が充足されると、ボ
タン（例えば、「適用」５２８）又は「入力」の起動に
より、その設定に従ったフォルダが作成される。一実施
例によれば、グラフィック・ユーザ・インターフェース
５２０は、米国特許出願番号１０／０７４，８０４に開
示されているサーバモジュールの管理インターフェース
からのアクセスされ得る。同様に、システム管理される
総てのストアは、ディスプレイ５３０にて閲覧され得
る。ディスプレイ５３０における特定のストアが選択さ
れると、ディスプレイ５２３は、選択されたストアに対
して現在特権を有するユーザを示す。更に、「追加」及
び「消去」等のボタンを利用して、システム管理ストア
の生成及び変更を支援することが可能である。

【００５５】概して、ストアのパラメータ又は設定は、
中央サーバ５０６で管理されるデータベースにて管理さ
れる。ストアとクラインと機器を同期させるために、及
び総ての適用可能なクライアント機器がストアにアクセ
スするのを支援するために、管理されるストアの設定
は、それらが認証されると、適用可能なクライアント機
器に伝搬される必要がある。

【００５６】図６Ａは、ユーザ認証プロセス６００のフ
ローチャートを示し、図５Ａの中央サーバ５０６又はロ
ーカルサーバ５０４にて実行され得る。典型的には、プ
ロセス６００を呼び出す少なくとも２つの状況があり、
ユーザが、ネットワーク接続されたクライアント機器に
最初にログインする、又は保全ファイルに最初にアクセ
スする場合である。これらの状況のいずれかが起こった
場合に、クライアント機器におけるクライアントモジュ
ールは、アクセス制御管理部を有するサーバへ要求を伝
送し、プロセス６００の開始を要求する。

【００５７】６０２にて、サーバは要求を待機する。ク
ライアント機器から要求を受信すると、サーバは６０４
において、ユーザ及び／又はユーザが保全ファイルにア
クセスを試みるクラアイント機器が、認証される。両者
が認証されたならば、ユーザ又はクライアント機器の何
れに対しても更なる認証プロセスは行われない。一方、
ユーザ及び／又はクライアント機器が認証されなかっ
たならば、認証プロセス６００は、更に続く。一実施例
にあっては、サーバ及びクライアント機器の両者が開放
（ｏｐｅｎ）ネットワークに接続される場合には、サー
バはそのクライアント機器と保全されたリンクを起こ
し、そのようなリンクは、ＶＰＮ又は他の手段を通じて
支持されるＨＴＴＰＳを介して行われ得る。あるいは、
他の認証手段が使用される場合に、クライアント及びサ
ーバ間に直接的なリンクを設けることも可能である。

【００５８】６０６において、サーバは受信した要求に
対して認証応答と供に応答する。実施手法に依存して、
そのような応答は、クライアント機器のスクリーンに表
示されるダイアログボックス、命令その他の要求であり
得る。いずれにせよ、その応答は、信用証明（ｃｒｅｄ
ｅｎｔｉａｌ）情報がユーザにより提供されることを要
求する。一般に、信用証明情報は、ユーザのユーザ名及
びパスワード又は生態情報の一群の情報であり、認証プ
ロセスが進行する前に、６０８にてユーザから受信され
る必要がある。

【００５９】６１０において、信用証明情報を受信する
と、貯蔵部、ローカルストア、サーバ自身その他のネッ
トワークでアクセス可能な装置に保持される何らかの保
全ファイルにアクセスすることがユーザに認められてい
るか否かを、サーバが判定する必要がある。これは、受
信した信用証明と、サーバに以前格納されていたものと
の適合性を含む。サーバは中央サーバでもローカルサー
バでも良い点に留意すべきである。このことは他のいず
れの設定にも等しく適用され得ることを当業者は理解す
るであろう。適合しなかった場合には、すなわちユーザ
が認証されなかったならば、プロセス６００は、新たな
要求を待機するために初めに戻る。言い換えれば、保全
ファイルへのアクセス又はシステムへのログオンの目下
の要求は、破棄される。適合していたならば、ユーザは
認証されたものとして認められる。それと同時に、クラ
イアント機器は、場合によってはそのＩＰアドレス、そ
このネットワークカード身元情報その他クライアント機
器を固有に区別する手段によって、同様な認証に進む。

【００６０】ユーザ及び／又はクライアント機器の認証
に関し、プロセス６００は６１２に進み、ユーザのアク
セス権が抽出されアクティブにされる。実施手法に依存
して、ユーザのアクセス権のアクティブ化は、アクセス
権を含む制御パラメータ又はファイルのクライアント機
器へのダウンロード、アクセス権を含むローカルファイ
ルの暗号解除、又はサーバのメモリ空間におけるユーザ
アカウントを単にアクティブにすること等となる。いず
れにせよ、この時点で、ユーザのアクセス権は容易に利
用可能になり、認証されたクライアント機器から保全フ
ァイルにユーザがアクセスすることを可能にする。

【００６１】本発明によれば、システム管理ストアに関
する情報（例えば、ストア設定パラメータ）は、６１４
にてクライアント機器にダウンロードされ、ユーザがサ
ーバにより管理されるストアの全部又は一部にアクセス
することを可能にする。一実施例によれば、ＸＭＬ−Ｒ
ＰＣを利用して、サーバ（例えば、ローカルサーバ又は
中央サーバ）及びクライアント機器間の通信を支援す
る。ＸＭＬ−ＲＰＣは、ＨＴＴＰ上で遠隔手順呼出を行
うための簡易且つ便利な手法である。それは、パール
（Ｐｅｒｌ）、ジャバ（Ｊａｖａ（登録商標））、パイ
サン（Ｐｙｔｈｏｎ）、Ｃ、Ｃ＋＋、ＰＨＰその他多く
のプログラム言語を利用することが可能である。更に、
ＸＭＬ−ＲＰＣは、ソフトウエアがオペレーティングシ
ステムで動作することを可能にし、データネットワーク
を介する手順呼出を行うために異なる環境で動作するこ
とを可能にする。それは、転送にＨＴＴＰを及びエンコ
ードにＸＭＬを利用する遠隔手順呼出である。ＸＭＬ−
ＲＰＣは、できるだけ簡潔に設計されるが、複雑なデー
タ構造を送信し、処理し、及び返送することを可能にす
る。他の通信手段又はプロトコルを、ここの説明に加え
ることも可能なことは、当業者に理解されるであろう。

【００６２】本質的には、システム管理ストアは、シス
テム管理者又は充分なアクセス権を有するユーザによっ
て作成され、サーバで管理される。ストア用のセキュリ
ティは、管理者又は充分なアクセス権を有するユーザ以
外によっては、変更されることができない。システム管
理ストアとは対照的に、クライアント機器におけるクラ
イアントモジュールは、クライアント機器のユーザのた
めに適切に、ユーザ管理ストアを作成するようユーザに
より形成される。例えば、クライアント機器のユーザ
は、個人ファイルを保全するために局所的に保護される
ストアを作成することを希望する。図６Ｂは、本発明の
一態様によるフォルダレイアウト例６２０を示す。必須
ではないが、保護されるストアルート（ｓｔｏｒｅ ｒ
ｏｏｔ）６２２は、多数のユーザ管理フォルダ６２４及
びシステム管理フォルダ６２６を包含する便利な手法で
ある。ユーザ管理フォルダ６２４の各々は、ユーザによ
りローカルに作成され管理される。ユーザ管理ストアの
動作は、ユーザ又はクラアイント機器がサーバに最初に
認証されることなしに、それらがユーザによりアクセス
されることが可能な点を除いて、システム管理ストアと
同様である。システム管理フォルダ６２６の各々はシス
テムにより作成され管理されるが、ユーザ又はクラアイ
ント機器がサーバにより最初に認証されることなしに
は、何らのフォルダ６２６もアクセスされ得ない。

【００６３】更に、保護されたユーザルート６２２の下
で、保護されていない保全ファイルに使用されるシステ
ム管理フォルダ６２４がある。フォルダ６２４は図１Ｂ
のストア１１２に対応する。そのようなストアの目的の
１つは、保全ファイルに埋め込まれている総てのセキュ
リティを容易に除去する機構を与えるためである。図６
Ｃは、セキュリティを除去するプロセスのフローチャー
ト６３０を示す。６３２において、プロセス６３０は、
保全ファイルがストアに保存されたか否かを判定する。
ストア内にファイルが検出されると、プロセス６３０は
次に進む。６３４において、保存されたファイルが、保
全ファイルであるか又は単なる通常のファイルであるか
が判定される。通常のファイルに対しては、プロセス６
３０は何もしない。保存されたファイルが保全されたも
のであることが判定されると、プロセス６３０は６３６
に進み、ファイルに対するユーザの試み（すなわち、保
存すること）のアクセス権を抽出する。上述したよう
に、ユーザがサーバを利用して認証される場合には、ユ
ーザのアクセス権はシステムによって決定される。特定
のストアがユーザ管理ストアの１つでもある場合には、
ユーザの認証は有効であるものと推定される。

【００６４】６３８において、そのユーザは、保全ファ
イルを非保全化することを許可されているか否かが判定
される。通常これは、適用可能な一群のアクセスルール
を保全ファイルから抽出し、ユーザのアクセス権とその
ルールを比較することにより行われる。ユーザがそのよ
うにする特権を有していないと判定されたならば、プロ
セス６３０は更に進行することを止めて、６３２の初め
に戻る。逆に、ユーザがそのようにする特権を有してい
ると判定されたならば、プロセス６３０は、６４０にお
けるデータ部分の暗号解除に進み、当初の通常のファイ
ルを復元することを開始する。保全ファイルの暗号解除
された形式の、暗号化されていない（ｃｌｅａｎ）又は
通常のファイルは、６４２にて作成される。

【００６５】指定されたストアがシステム管理されるか
又はユーザ管理されるかによらず、図６Ｄに示されるよ
うに、指定されたストアの配下にサブストア（ｓｕｂ−
ｓｔｏｒｅ）又は子ストアを作成する必要のある場合が
あり、親ストア６５０は保全ファイル６５２及び１つ又
はそれ以上の子ストア（６５４のみが示されている）を
包含する。また、子ストアは、保全ファイル６５６及び
多数の孫ストア６５８を包含する。親ストア６５０は事
前に判定されたセキュリティ・テンプレート６５１に関
連付けられているので、子ストア６５４に対するセキュ
リティ・テンプレート６５５内のセキュリティは、親ス
トアのセキュリティ内で決定されることが一般的には好
ましい。言い換えれば、子ストアのセキュリティは、親
ストアのものよりも常に限定的であるとすることが可能
である。

【００６６】図６Ｅは、本発明の一実施例による、親ス
トア配下の子ストアを作成するプロセスフローチャート
６６０を示す。プロセス６６０は、システム管理された
又はユーザ管理されたストアの両者に適用可能である。
６６２において、サブストアは、例えば、多くのオペレ
ーティングシステムで一般に利用可能なツールを利用し
て作成することが可能である。新たに作成されたサブス
トアもまた保全されることを保証するために、親ストア
のセキュリティテンプレートが６６４にて抽出され、新
たに作成されたサブストアに関連付けられる。言い換え
れば、サブストアのセキュリティは、デフォルト状態で
親ストアのものに一致する。６６６にて、サブストアの
セキュリティが決定される。一実施例によれば、子スト
アのセキュリティは、抽出されたセキュリティ・テンプ
レートに基づいて形成される。例えば、所定の項目を取
り除くことが許容される。親ストア内の保全ファイルに
アクセスすることを許可された権限あるユーザのリスト
が、ユーザＡ及びユーザＢを包含する場合に、そのサブ
ストアに対してはユーザＡのみを包含するようにリスト
を限縮することが許容される。一般に、サブストアのセ
キュリティは、親ストアのものよりも限定的である。

【００６７】６６８において、サブストアに対して決定
されたセキュリティテンプレートが、親ストアに対する
ものと何らかの形で矛盾する（ｃｏｎｆｌｉｃｔ）か否
かが検査される。サブストアに対するセキュリティテン
プレートの中で、ある項目（例えば、ルールのパラメー
タ）が親ストアと矛盾する場合には、例えば、そのセキ
ュリティが親ストアと比較して緩いものである場合に
は、プロセス６６０は６６６に戻って、サブストアに対
するセキュリティ・テンプレートの修正を要求する。一
実施例では、親ストアは、マーケティング及び技術チー
ムのための保全されたマイクロソフトワード文書を管理
するために作成される。子ストアは、保全されたマイク
ロソフトワード及びパワーポイント文書を管理するた
め、又は許可されていないマーケティング及び営業チー
ムのために、保全されたマイクロソフトワードを管理す
るために作成される。一方、子ストアのセキュリティ・
テンプレートの項目が、親ストアのものと何ら矛盾しな
いならば、サブストアは６７０にて完成し、そのセキュ
リティ・テンプレートに実質的に関連付けられる。その
結果、子ストアに格納された総てのファイルは、そのサ
ブストアのセキュリティ・テンプレートに従って保全さ
れることになる。

【００６８】企業環境では、セキュリティシステムの変
更は頻繁に生じる。システム管理ストアに関連する変化
が生じると（例えば、更新又は改定）、それらの変化
は、影響を受けるストアに、適切な時間内に伝達される
必要がある。図７Ａは、変更を配信するフローチャート
のプロセス７００を示し、これは、ローカルな機器、サ
ーバ又は分散形式で実現化又は実行され得る。

【００６９】７０２において、プロセス７００は、関連
するポリシーの変化を待機する。本願の参考に供せら
れ、“Ｍｅｔｈｏｄ ａｎｄ ｓｙｓｔｅｍ ｆｏｒ
ｉｍｐｌｅｍｅｎｔｉｎｇ ｃｈａｎｇｅｓ ｔｏ ｓ
ｅｃｕｒｉｔｙ ｐｏｌｉｃｉｅｓ ｉｎ ａ ｄｉｓ
ｔｒｉｂｕｔｅｄ ｓｅｃｕｒｉｔｙ ｓｙｓｔｅｍ”
と題する、共通する譲受人の米国特許出願番号１０／１
８６，２０３は、セキュリティ・システムにおけるポリ
シー変更を配信する技術を開示する。任意のシステム管
理ストアに関連する変更が受信されると、プロセス７０
０は次に進む。先ず、受信した変更に基づいて、どの程
度多くのシステム管理ストアがその変更の影響を受ける
かを判定する必要がある。例えば、相談役部門に事前に
与えられたアクセス許可を除去するために、変更が受信
される。一実施例によれば、システム管理ストアの各々
は検査され、どの程度多くのストアが、相談役部門から
のアクセスを許容するよう設定されているかを判定する
ために調査される。目下の変更によって影響を受ける１
つ又は数個のそのようなストアが存在し得る。従って、
影響を受けるストアの各々について、各自のモジュール
がポリシー変更を実行するのに備えることが好ましい。

【００７０】７０８において、これらのモジュールは、
解放され、そのストアに関するポリシー変更を行うため
に、影響を受けるストアを処理する装置に送られる。一
実施例によれば、これらのモジュールは、「スパイダ
（ｓｐｉｄｅｒ）」又は「クローラ（ｃｒａｗｌｅ
ｒ）」のように言及されるものとして実現される。スパ
イダの各々は、対応するストアに至る経路を見出し、そ
のストアに対する変更を伝達する。

【００７１】上述したように、セキュリティ・テンプレ
ートは各ストアに関連付けられる。従って、セキュリテ
ィ・テンプレートはその変更と供に更新される必要があ
り、以後保存される総てのファイルが、最新のセキュリ
ティ・テンプレートに従って保全されるようにする。７
１０において、影響を受けるストアに関するセキュリテ
ィ・テンプレートは、更新される。影響を受けるストア
の中に保存ファイルが存在する場合には、これらの保存
ファイルは、その変更を反映するよう更新され、これら
のファイル中のセキュリティが更新されるようにすべき
である。７１２において、もし存在するならば、影響を
受けるストア中の保存ファイルの各々は、最新のセキュ
リティ・テンプレートに従って更新される。典型的に
は、多くの変更が、１つ又はそれ以上のアクセスポリシ
ーに関連し、実際には、保全ファイル中のヘッダのみが
改定される。

【００７２】図７Ｂは、保存ファイル７２４を含み、セ
キュリティ・テンプレート７２２に従って、影響を受け
るストア内に更新パッチ（ｐａｔｃｈ）７２０（スパイ
ダにおいて搬送される、又は中央サーバから押し出され
る）が伝達される様子を示す。更新されるパッチ７２０
は、例えば、新たな一群のアクセスルール、ユーザキ
ー、又は特定のユーザ又はグループの保護キーを包含し
得る。好ましくは、更新パッチの変更は、影響を受ける
部分を置換し又は上書きする。図示されるように、セキ
ュリティ・テンプレート７２２は、結果的に生じる変更
７２３を包含するよう更新される。一方、保存ファイル
７２４は対応する変更のために調査される。保存ファイ
ル７２４のヘッダ７２８中の部分７３０は、更新する必
要がある。構造例によれば、保存ファイル７２４は、暗
号化されたデータ部分７２６及びヘッダの暗号化された
形式のもの７２８を包含する。ヘッダ７２８におけるも
のを変更するために、ヘッダに関する暗号解除及び暗号
化プロセス７３２が、自動的に実行される。一実施例に
よれば、ストアを管理するアクセス制御モジュールは、
ヘッダの暗号化を解除するために最初に起動され、ヘッ
ダ７２８に対して必要な変更を行い、最終的に、ヘッダ
を暗号化して、結果として生じる変更７３４を有する保
全ファイル７３６を再生成する。

【００７３】一実施例では、アクセス制御モジュール
は、オペレーティング・システム（例えば、マイクロソ
フトウインドウズ（登録商標））におけるフィルタとし
て実現され、その動作がユーザに対して透明であるよう
にすることが可能である。オペレーティング・システム
にて動作させるためのアクセス制御モジュールの実現手
法については、米国特許出願番号１０／０７４，８０４
に開示されている。

【００７４】本発明は、ソフトウエアにより、又はハー
ドウエア及びソフトウエアの組み合わせにより実現され
ることが好ましいが、ハードウエアで実現することも可
能である。また、本発明は、コンピュータ読み取り可能
な媒体におけるコンピュータ読み取り可能なコードとし
て実現することも可能である。コンピュータ読み取り可
能な媒体は、コンピュータシステムによって以後読み出
され得るデータを格納することが可能な、任意のデータ
格納装置である。また、コンピュータ読み取り可能な媒
体は、コンピュータ読み取り可能なコードが分散形式で
格納され及び実行されるように、ネットワーク接続され
たコンピュータシステム上に分散させることも可能であ
る。

【００７５】上述した本発明に関する様々な実施例、具
体例及び特徴は、様々な手法で組み合わせられ又は別々
に使用されることが可能である。本説明により、ここに
開示された様々な組み合わせ、実施例、具体例又は特徴
についての他の様々な設定に、本発明を等しく適用し又
は使用し得ることを、当業者は理解するであろう。

【００７６】本発明は、適切な具体性をもって充分に詳
細に説明されてきた。本願実施例の開示は例示としての
みなされ、配置又は部分の組み合わせの様々な変更は、
本発明の精神及び範囲から逸脱することなしになされ得
ることを、当業者は理解するであろう。従って、本発明
の範囲は、上述した実施例ではなく、特許請求の範囲に
よって規定される。

【００７７】

【図面の簡単な説明】

【図１Ａ】図１Ａは、本発明の一態様による通常のファ
イルを保全するために、指定されたストアを利用する様
子を示す。

【図１Ｂ】図１Ｂは、本発明の一態様による保全ファイ
ルを非保全化するために、指定されたストアを利用する
様子を示す。

【図２Ａ】図２Ａは、様々なアクセスポリシーに従っ
て、各ストアがファイルを保全する、複数のストアを管
理するアクセス制御モジュールを示す。

【図２Ｂ】図２Ｂは、指定されたストアに関連する保存
テンプレート内の保全情報用の構造例を示す。

【図２Ｃ】図２Ｃは、ＸＡＣＭＬで表現されたアクセス
権の例を示す。

【図３Ａ】図３Ａは、本発明の一実施例による、指定さ
れたストア内のファイルを保全するプロセス・フローチ
ャートを示す。

【図３Ｂ】図３Ｂは、保護されたストアを通じて生成さ
れる保全ファイルのデータ構造例を示す。

【図３Ｃ】図３Ｃは、本発明の一実施例による、保全フ
ァイルのヘッダ構造例を示す。

【図４Ａ】図４Ａは、通常の又は保全され得るファイル
を保全するプロセス・フローチャートを示す。

【図４Ｂ】図４Ｂは、図４Ａのブロックで行われる本発
明の一実施例により、既存の保全情報がどのようにして
置換されるかを示す。

【図５Ａ】図５Ａは、本発明の一実施例により実現され
得る基本的な保全システムを示す。

【図５Ｂ】図５Ｂは、システム・オペレータが、所望の
ストアを作成する又は既存のストアの属性を閲覧／修正
することを支援するグラフィック・ユーザインターフェ
ース例を示す。

【図６Ａ】図６Ａは、サーバ機器で行われるユーザ認証
プロセスのフローチャートを示す。

【図６Ｂ】図６Ｂは、本発明の一態様によるフォルダ・
レイアウト例を示す。

【図６Ｃ】図６Ｃは、特定のストアに格納された保全フ
ァイルにおけるセキュリティを除去するフローチャート
を示す。

【図６Ｄ】図６Ｄは、指定されたストアの元で作成され
たサブ・ストア又は子ストアを示す。

【図６Ｅ】図６Ｅは、本発明の一実施例による、親スト
ア配下の子ストアを作成するプロセス・フローチャート
を示す。

【図７Ａ】図７Ａは、指定されたストアに関連する変更
を配信するプロセス・フローチャートを示す。

【図７Ｂ】図７Ｂは、（例えば、スパイダにより搬送さ
れる、又は中央サーバから押し出される）更新パッチ
が、保全テンプレートに関連し、保全ファイルを包含す
る、影響されるストアに伝達される様子を示す。

【符号の説明】

１００ コンフィギュレーション １０２ ストア １０４ アクセス制御管理部 １０６ 通常のファイル １０８ 通常のファイルの保全された形式 １１０ コンフィギュレーション １１２ ストア １１４ アクセス制御管理部 １１６ 保全ファイル １１８ 通常のファイル ２０２ アクセス制御モジュール ２０４ セキュリティ・テンプレート ２０６ ストア ２１８ セキュリティ・テンプレート ２２０ セキュリティ情報 ２２２ 暗号情報 ２２４ アクセスポリシー ２２６ ストア指定情報 ３２０ データ構造 ３２２ ヘッダ ３２４ 暗号化データ ３２５ 誤り検査部 ３２６ 保全情報 ３２７ フラグビット ３２８ ユーザＩＤ ３２９ アクセスルール ３３０ ファイルキー ３３１ その他 ４２２ 保全ファイル ４２４ ストア ４２６ 当初の保全情報 ４２８ スタック ５００ セキュリティシステム ５０１，５０２ クライアント機器 ５０４ ローカルサーバ ５０６ サーバ ５０８，５１０ ネットワーク ５２０ グラフィック・ユーザ・インターフェース ５２２ 特定の名称 ５２３，５２４，５３０ ディスプレイ ５２６ パネル ６２２ ストアルート ６２４ ユーザ管理フォルダ ６２６ システム管理フォルダ ６５０ 親ストア ６５２ 保全ファイル ６５４ 子ストア ６５６ 保全ファイル ６５８ 孫ストア ７２０ 更新されるパッチ ７２２ セキュリティ・テンプレート ７２３ 変更結果 ７２４ 保全ファイル ７２６ 暗号化されたデータ部分 ７２８ ヘッダ ７３０ 更新される部分 ７３２ 暗号化プロセス ７３４ 変更結果 ７３６ 保全ファイル

フロントページの続き (72)発明者 マイケル ミチオ オウイェ アメリカ合衆国 カリフォルニア州 94022 ロス・アルトス ウェスト・エデ ィス・アヴェニュー 150 17号 (72)発明者 アラン ロスマン アメリカ合衆国 カリフォルニア州 94301 パロ・アルト カウパー・ストリ ート 1247 (72)発明者 スティーヴン トーイ クロッカー アメリカ合衆国 カリフォルニア州 94061 レッドウッド・シティー ルーズ ヴェルト・アヴェニュー 1594 (72)発明者 エリック ギルバートソン アメリカ合衆国 カリフォルニア州 94025 メンロー・パーク オークハース ト・プレイス 215 (72)発明者 ウェイチン ホアン アメリカ合衆国 テキサス州 75022 フ ラワー・マウンド アパラチアン・ウェイ 3705 (72)発明者 デニス ジャック ポール ガルシア アメリカ合衆国 カリフォルニア州 94304 パロ・アルト オーク・クリー ク・ドライヴ 1736 アパートメント・ 204号 (72)発明者 セルジュ ユミシュ フランス国 77220 トゥールナン−アン −ブリ ドメーヌ・ド・クールセル（番地 なし) (72)発明者 クリメンティー ヴェインシュタイン アメリカ合衆国 カリフォルニア州 95014 キュパーティーノ ノース・フッ トヒル・ブールヴァード 10526 Ａ号 (72)発明者 ニコラス マイケル ライアン アメリカ合衆国 カリフォルニア州 99087 サニーヴェイル ベルフェア・コ ート 795 Ｆターム(参考） 5B017 AA07 BA06 BA07 BB06 CA16 5B082 GA11 5J104 AA12 PA14

Claims (40)

【特許請求の範囲】
1. 【請求項１】 指定されたストアを介したファイルアク
   セスを決定する方法であって、 セキュリティ・テンプレートを前記ストアに関連付ける
   ステップ；ファイルが前記ストアに保存された場合に、
   前記セキュリティ・テンプレートを抽出するステップ；
   前記セキュリティ・テンプレートに従って、前記ファイ
   ルを暗号化し、暗号化されたデータ部分を作成するステ
   ップ；前記セキュリティ・テンプレートからの保存情報
   を包含するように、ヘッダを生成するステップ；及び前
   記ヘッダを前記暗号化されたデータ部分と統合し、保全
   ファイルを作成するステップ；より成ることを特徴とす
   る方法。
2. 【請求項２】 前記セキュリティ・テンプレートを前記
   ストアに関連付けるステップが、コンピュータ機器及び
   そのユーザの一方又は両者が認証された後に、コンピュ
   ータ機器に前記セキュリティ・テンプレートを与えるス
   テップより成ることを特徴とする請求項１記載の方法。
3. 【請求項３】 前記セキュリティ・テンプレートが、ネ
   ットワークを介して前記コンピュータ機器に接続される
   サーバ機器によって管理されることを特徴とする請求項
   ２記載の方法。
4. 【請求項４】 前記ストアが、前記コンピュータ機器、
   前記サーバ機器又は個別の格納装置の何れかに設けられ
   ることを特徴とする請求項３記載の方法。
5. 【請求項５】 前記保全情報が、暗号化されたデータ部
   分への限定的なアクセスを制御する少なくとも一組のア
   クセスルールを包含することを特徴とする請求項１記載
   の方法。
6. 【請求項６】 前記アクセスルールが、誰がどのように
   して前記保全ファイルにアクセスされ得るかを規定する
   ことを特徴とする請求項５記載の方法。
7. 【請求項７】 前記アクセスルールが、いつ又はどこで
   前記保全ファイルにアクセスされ得るかを規定すること
   を特徴とする請求項５記載の方法。
8. 【請求項８】 前記アクセスルールが、記述的な言語で
   表現されることを特徴とする請求項５記載の方法。
9. 【請求項９】 ヘッダにおける保全情報が、取得される
   と前記暗号化されたデータ部分の暗号化を解除すること
   を可能にする、少なくとも１つの暗号キーに付加される
   ことを特徴とする請求項５記載の方法。
10. 【請求項１０】 前記暗号キーが暗号化され、直接的に
    又は間接的にアクセスルールによって保護されることを
    特徴とする請求項９記載の方法。
11. 【請求項１１】 前記セキュリティ・テンプレートか
    らの保存情報を包含するように、ヘッダを生成するステ
    ップが：前記セキュリティ情報を、前記セキュリティ・
    テンプレートからのヘッダに複写するステップ；取得さ
    れると前記暗号化されたデータ部分の暗号化を解除する
    ことを可能にする、暗号キーを取得するステップ；及び
    暗号キーを暗号化し、前記暗号キーの暗号化された形式
    のものを作成するステップ；より成ることを特徴とする
    請求項１記載の方法。
12. 【請求項１２】 前記暗号キーの暗号化された形式のも
    のが、前記保全ファイルの前記ヘッダ内の保全情報によ
    って保護されることを特徴とする請求項１１記載の方
    法。
13. 【請求項１３】 指定されたストアを介したファイルア
    クセスを決定する方法であって、 セキュリティ・テンプレートを前記ストアに関連付ける
    ステップ；前記ストア内に保全ファイルがユーザによっ
    て保存された場合に、前記セキュリティ・テンプレート
    を抽出するステップであって、前記保全ファイルはヘッ
    ダ及び暗号化されたデータ部分を含み、前記ヘッダが、
    前記暗号化されたデータ部分への限定的なアクセスを制
    御する埋め込まれた保全情報を包含するところのステッ
    プ；前記保全ファイルの前記ヘッダからの前記埋め込ま
    れた保全情報の、前記ユーザのアクセス権に対する評価
    を行い、前記保全ファイルの前記埋め込まれた保全情報
    を変更することが前記ユーザに許可されているか否かを
    判定するステップ；及び前記保全ファイルの前記埋め込
    まれた保全情報を変更することが前記ユーザに許容され
    ていると判定された後に、前記埋め込まれた保全情報
    を、前記セキュリティ・テンプレートからの目下の保全
    情報と置換するステップ；より成ることを特徴とする方
    法。
14. 【請求項１４】 前記埋め込まれた保全情報を、目下の
    保全情報と置換するステップが：前記埋め込まれた保存
    情報を、暫定的な場所に保存するステップ；及び前記保
    全ファイルのヘッダ内の前記埋め込まれた保全情報を、
    前記目下の保全情報と置換するステップ；より成ること
    を特徴とする請求項１３記載の方法。
15. 【請求項１５】 前記暫定的な場所が、後入れ先出し
    （ＬＩＦＯ）形式で動作するメモリスタックであること
    を特徴とする請求項１４記載の方法。
16. 【請求項１６】 前記暫定的な場所が、前記埋め込まれ
    た保全情報をＫ番目の層に格納するためのＫ個の層を有
    するよう形成され、Ｋ番目の層に他の埋め込まれた保全
    情報が受信された場合に、Ｋ番目の層における前記埋め
    込まれた保全情報が、（Ｋ−１）番目の層に押し出さ
    れ；及び前記Ｋ番目の層は常に最初にアクセスされるこ
    とを特徴とする請求項１５記載の方法。
17. 【請求項１７】 前記暫定的な場所が前記ヘッダ内にあ
    り、前記保全ファイルにて消去されたものが次回に良好
    にアクセスされることを特徴とする請求項１４記載の方
    法。
18. 【請求項１８】 指定されたストアを介したファイルア
    クセスを決定する方法であって、 セキュリティ・テンプレートを前記ストアに関連付ける
    ステップ；保全ファイルが前記ストア内にユーザにより
    保存された場合に、前記セキュリティ・テンプレートを
    抽出するステップであって、前記保全ファイルがヘッダ
    及び暗号化されたデータ部分を包含し、前記ヘッダが、
    前記暗号化されたデータ部分に対する限定的なアクセス
    を制御する埋め込まれた保全情報を包含するところのス
    テップ；前記保全ファイルの前記ヘッダからの前記埋め
    込まれた保全情報の、前記ユーザのアクセス権に対する
    評価を行い、前記保全ファイルの前記埋め込まれた保全
    情報を変更することが前記ユーザに許可されているか否
    かを判定するステップ；前記保全ファイルの前記埋め込
    まれた保全情報を変更することが前記ユーザに許可され
    ていると判定された後に、前記ストア内のファイルにア
    クセスすることが前記ユーザに許可されているか否かを
    判定するために、前記テンプレートにおける目下の保全
    情報を評価するステップ；及び前記ストア内の前記ファ
    イルにアクセスすることが前記ユーザに許可されていな
    いと判定された後に、前記ヘッダに包含される前記保全
    情報に、特別なアクセスポリシーを付加し、前記ストア
    に関連付けられる前記セキュリティ・テンプレートに従
    って保全される保全ファイルに、前記ユーザが依然とし
    てアクセスすることが可能であるようにするステップ；
    より成ることを特徴とする方法。
19. 【請求項１９】 他のセキュリティ・テンプレートに関
    する他のストアを介して、前記保全ファイルが保全され
    た後に、前記特別のアクセスポリシーが消去され又は変
    更されることを特徴とする請求項１７記載の方法。
20. 【請求項２０】 指定されたストアを介したファイルア
    クセスを決定する方法であって、 暗号解除モジュールを前記ストアに関連付けるステッ
    プ；保全ファイルが前記ストア内にユーザによって保存
    された場合に、前記保全ファイルの前記ヘッダからの前
    記埋め込まれた保全情報の、前記ユーザのアクセス権に
    対する評価を行い、前記保全ファイルの保全を解除する
    ことが前記ユーザに許容されているか否かを判定するス
    テップであって、前記保全ファイルがヘッダ及び暗号化
    されたデータ部分を包含し、前記ヘッダが前記暗号化さ
    れたデータ部分への限定的なアクセスを制御する埋め込
    まれた保全情報を含むところのステップ；前記保全ファ
    イルの保全を解除することが前記ユーザに許可されてい
    ると判定された後に、前記ヘッダからファイルキーを抽
    出するステップ；及び前記暗号化されたデータ部分の暗
    号化を解除し、通常のファイルを作成するステップ；よ
    り成ることを特徴とする方法。
21. 【請求項２１】 前記ストアが、サーバによって管理さ
    れることを特徴とする請求項２０記載の方法。
22. 【請求項２２】 指定されたストアを介したファイルア
    クセスを決定するシステムであって、 前記ストアに対する管理を行うサーバ機器であって、前
    記ストアにおける保全ファイルの総てが実質的に同様な
    セキュリティを有するように、前記ストアに対するアク
    セスポリシーを決定するために最初にユーザによりアク
    セス可能であり、前記ストアがセキュリティ・テンプレ
    ートに関連付けられるところのサーバ機器；及び第１ネ
    ットワークを通じて前記サーバ機器に接続される少なく
    とも１つのクライアント機器であって、前記クラアイン
    ト機器のユーザが前記サーバ機器によって認証された後
    に、前記セキュリティ・テンプレートが既に前記クライ
    アント機器内にあるならば、前記クライアント機器は前
    記セキュリティ・テンプレートをアクティブにするため
    に前記サーバ機器と通信を行い、前記セキュリティ・テ
    ンプレートが前記クライアント機器内に無ければ、前記
    サーバから前記セキュリティ・テンプレートをダウンロ
    ードするところのクライアント機器；より成り、前記ユ
    ーザにより前記ストアに保存された保存されていないフ
    ァイルが、前記セキュリティ・テンプレートに従って保
    全されることを特徴とするシステム。
23. 【請求項２３】 前記サーバ機器が、前記クライアント
    機器にサービス提供するよう形成されるローカルサーバ
    機器であることを特徴とする請求項２２記載のシステ
    ム。
24. 【請求項２４】 前記ローカルサーバが、第２ネットワ
    ークを通じて中央サーバに接続され、前記中央サーバが
    中央アクセス制御管理を行うことを特徴とする請求項２
    ３記載のシステム。
25. 【請求項２５】 前記ストアが、前記クライアント機器
    によりアクセス可能であり、（ｉ）前記ローカルクライ
    アント機器、（ｉｉ）前記サーバ機器及び（ｉｉｉ）個
    別の格納装置の何れかに設けられることを特徴とする請
    求項２２記載のシステム。
26. 【請求項２６】 指定されたストアを介したファイルア
    クセスを決定するための、コンピュータで実行されるソ
    フトウエア・プロダクトであって、 セキュリティ・テンプレートを前記ストアに関連付ける
    ためのプログラムコード；ファイルが前記ストアに保存
    された場合に、前記セキュリティ・テンプレートを抽出
    するためのプログラムコード；前記セキュリティ・テン
    プレートに従って前記ファイルを暗号化し、暗号化され
    たデータ部分を作成するためのプログラムコード；前記
    セキュリティ・テンプレートからの保全情報を包含する
    ように、ヘッダを作成するためのプログラムコード；及
    び前記ヘッダを前記暗号化されたデータ部分と統合し、
    保全ファイルを作成するためのプログラムコード；より
    成ることを特徴とするコンピュータで実行されるソフト
    ウエア・プロダクト。
27. 【請求項２７】 前記セキュリティ・テンプレートを前
    記ストアに関連付けるためのプログラムコードが、コン
    ピュータ機器及びそのユーザの一方又は双方が認証され
    た後に、前記セキュリティ・テンプレートをコンピュー
    タ機器に提供するためのプログラムコードより成ること
    を特徴とする請求項２６記載のソフトウエア・プロダク
    ト。
28. 【請求項２８】 前記保全情報が、前記暗号化されたデ
    ータ部分への限定的なアクセスを制御する少なくとも一
    組のアクセスルールを包含することを特徴とする請求項
    ２６記載のソフトウエア・プロダクト。
29. 【請求項２９】 前記アクセスルールが、誰がどのよう
    にして保全ファイルにアクセスされ得るかを定めること
    を特徴とする請求項２６記載のソフトウエア・プロダク
    ト。
30. 【請求項３０】 前記アクセスルールが、いつ又はどこ
    で保全ファイルにアクセスされ得るかを定めることを特
    徴とする請求項２９記載のソフトウエア・プロダクト。
31. 【請求項３１】 前記アクセスルールが記述的な言語で
    表現されることを特徴とする請求項３０記載のソフトウ
    エア・プロダクト。
32. 【請求項３２】 前記セキュリティ・テンプレートから
    の保全情報を包含するように、ヘッダを作成するための
    プログラムコードが：前記セキュリティ・テンプレート
    からの前記ヘッダに、前記保全情報を複写するためのプ
    ログラムコード；取得された場合に、前記暗号化された
    データ部分の暗号化を解除することの可能な暗号キーを
    取得するためのプログラムコード；及び前記暗号キーを
    暗号化し、前記暗号キーの暗号化された形式のものを作
    成するためのプログラムコード；より成ることを特徴と
    する請求項２６記載のソフトウエア・プロダクト。
33. 【請求項３３】 前記暗号キーの暗号化された形式のも
    のが、前記保全ファイルのヘッダ内の保全情報によって
    保護されることを特徴とする請求項３２記載のソフトウ
    エア・プロダクト。
34. 【請求項３４】 指定されたストアを介したファイルア
    クセスを決定するための、コンピュータで実行されるソ
    フトウエア・プロダクトであって、 セキュリティ・テンプレートを前記ストアに関連付ける
    ためのプログラムコード；前記ストア内に保全ファイル
    がユーザによって保存された場合に、前記セキュリティ
    ・テンプレートを抽出するためのプログラムコードであ
    って、前記保全ファイルはヘッダ及び暗号化されたデー
    タ部分を含み、前記ヘッダが、前記暗号化されたデータ
    部分への限定的なアクセスを制御する埋め込まれた保全
    情報を包含するところのプログラムコード；前記保全フ
    ァイルの前記ヘッダからの前記埋め込まれた保全情報
    の、前記ユーザのアクセス権に対する評価を行い、前記
    保全ファイルの前記埋め込まれた保全情報を変更するこ
    とが前記ユーザに許可されているか否かを判定するため
    のプログラムコード；及び前記保全ファイルの前記埋め
    込まれた保全情報を変更することが前記ユーザに許容さ
    れていると判定された後に、前記埋め込まれた保全情報
    を、前記セキュリティ・テンプレートからの目下の保全
    情報と置換するためのプログラムコード；より成ること
    を特徴とするソフトウエア・プロダクト。
35. 【請求項３５】 前記埋め込まれた保全情報を、目下の
    保全情報と置換するためのプログラムコードが：前記埋
    め込まれた保存情報を、暫定的な場所に保存するための
    プログラムコード；及び前記保全ファイルのヘッダ内の
    前記埋め込まれた保全情報を、前記目下の保全情報と置
    換するためのプログラムコード；より成ることを特徴と
    する請求項３４記載のソフトウエア・プロダクト。
36. 【請求項３６】 前記暫定的な場所が、後入れ先出し
    （ＬＩＦＯ）形式で動作するメモリスタックであること
    を特徴とする請求項３５記載のソフトウエア・プロダク
    ト。
37. 【請求項３７】 指定されたストアを介したファイルア
    クセスを決定するための、コンピュータ内で実行される
    ソフトウエア・プロダクトであって、 セキュリティ・テンプレートを前記ストアに関連付ける
    ためのプログラムコード；保全ファイルが前記ストア内
    にユーザにより保存された場合に、前記セキュリティ・
    テンプレートを抽出するためのプログラムコードであっ
    て、前記保全ファイルがヘッダ及び暗号化されたデータ
    部分を包含し、前記ヘッダが、前記暗号化されたデータ
    部分に対する限定的なアクセスを制御する埋め込まれた
    保全情報を包含するところのプログラムコード；前記保
    全ファイルの前記ヘッダからの前記埋め込まれた保全情
    報の、前記ユーザのアクセス権に対する評価を行い、前
    記保全ファイルの前記埋め込まれた保全情報を変更する
    ことが前記ユーザに許可されているか否かを判定するた
    めのプログラムコード；前記保全ファイルの前記埋め込
    まれた保全情報を変更することが前記ユーザに許可され
    ていると判定された後に、前記ストア内のファイルにア
    クセスすることが前記ユーザに許可されているか否かを
    判定するために、前記テンプレートにおける目下の保全
    情報を評価するためのプログラムコード；及び前記スト
    ア内の前記ファイルにアクセスすることが前記ユーザに
    許可されていないと判定された後に、前記ヘッダに包含
    される前記保全情報に、特別なアクセスポリシーを付加
    し、前記ストアに関連付けられる前記セキュリティ・テ
    ンプレートに従って保全される保全ファイルに、前記ユ
    ーザが依然としてアクセスすることが可能であるように
    するためのプログラムコード；より成ることを特徴とす
    るソフトウエア・プロダクト。
38. 【請求項３８】 他のセキュリティ・テンプレートに関
    する他のストアを介して、前記保全ファイルが保全され
    た後に、前記特別のアクセスポリシーが消去され又は変
    更されることを特徴とする請求項３７記載のソフトウエ
    ア・プロダクト。
39. 【請求項３９】 指定されたストアを介したファイルア
    クセスを決定するために、コンピュータ内で実行される
    ソフトウエア・プロダクトであって、 暗号解除モジュールを前記ストアに関連付けるためのプ
    ログラムコード；保全ファイルが前記ストア内にユーザ
    によって保存された場合に、前記保全ファイルの前記ヘ
    ッダからの前記埋め込まれた保全情報の、前記ユーザの
    アクセス権に対する評価を行い、前記保全ファイルの保
    全を解除することが前記ユーザに許容されているか否か
    を判定するためのプログラムコードであって、前記保全
    ファイルがヘッダ及び暗号化されたデータ部分を包含
    し、前記ヘッダが前記暗号化されたデータ部分への限定
    的なアクセスを制御する埋め込まれた保全情報を含むと
    ころのプログラムコード；前記保全ファイルの保全を解
    除することが前記ユーザに許可されていると判定された
    後に、前記ヘッダからファイルキーを抽出するためのプ
    ログラムコード；及び前記暗号化されたデータ部分の暗
    号化を解除し、通常のファイルを作成するためのプログ
    ラムコード；より成ることを特徴とするソフトウエア・
    プロダクト。
40. 【請求項４０】 前記ストアが、中央アクセス制御管理
    を行うサーバにより管理されることを特徴とする請求項
    ３９記載のソフトウエア・プロダクト。