JP2006155279A - 情報処理システムおよび電子文書安全化方法およびプログラムおよび記録媒体 - Google Patents

Abstract

【課題】電子文書のアクセス権を動的に変更して再利用可能にすること、また復号化された電子文書内でデータを部分的に閲覧可能／不可能にする制限可能にすること。
【解決手段】文書を安全化する際、暗号カギとアクセス権限情報と部分的な閲覧制限情報とヘッダ情報の編集権限とを含むヘッダ情報を作成し、暗号カギにより電子文書を暗号化し、暗号化された電子文書とヘッダ情報とを統合して安全化されたファイルを生成するようにし、一方、文書を閲覧する際、安全化されたファイルを暗号化された電子文書と前記ヘッダ情報とに分離して、ヘッダ情報内のアクセス権限に基づいて電子文書へのアクセスを許可／拒否し、アクセスが許可された場合、ヘッダ情報内の暗号カギに基づいて対応する復号カギを取得し、復号カギにより、暗号化された電子文書を復号化し、ヘッダ情報内の閲覧制限情報に基づいて、復号化された電子文書の部分的な閲覧制御する構成を特徴とする。
【選択図】図１

Description

本発明は、企業環境内の電子データの保護を分野に関連したものであり、特にディジタル資産とされる電子ファイルや電子帳票に対してのアクセスや不正利用を防止する情報処理システムおよび電子文書安全化方法およびプログラムおよび記録媒体に関する。

従来より、電子文書を管理する場合には、電子文書管理システムなどでシステム内部に蓄積して管理していた。この種の電子文書管理システムでは、電子文書のセキュリティの確保が重要な機能であると位置付けられている。

なお、この種の電子文書管理システムでは、明らかな不正ユーザだけではなくシステムを管理するシステム管理者であっても、原則として文書にアクセスできるものであってはならない。即ち、保管された電子文書のアクセス制御を行う場合には、通常はシステム管理者にアクセス特権を付加することが多いが、かかるシステム管理者は、あくまでもシステム自体を管理する管理者であって、電子文書そのものを管理するものではない。

また、ＬＡＮ等で電子文書を送信した場合、受信した端末はそのアドレスを参照して自分宛ての情報であるかチェックする。従って、ある端末が送信した電子文書の情報は、基本的にどの端末でも受信可能である。そのため、機密性の高い情報を含む電子文書に対しては、暗号化やアクセス制御といったセキュリティ技術を使って電子文書を保護している。

この種の技術として、特許文献１（特開２００３−２１８８５１号公報）には、生成されたファイルや電子文書（以下、ファイル）に対して暗号化を行い、復号化を行うための鍵と生成されたファイルへのアクセス権を暗号化された情報として持つヘッダ情報を用意し、そのヘッダ情報と前記暗号化したファイルとを統合させることで、安全化されたファイルを作成して、ファイルにアクセスしようとするユーザにヘッダ情報（カギ、アクセス権）とファイルへの二重の保護(暗号化)を設定することにより、ファイルや電子文書等のディジタル資産を安全に保護する方法や装置が提案されている。
特開２００３−２１８８５１号公報

しかしながら、特許文献１に記載の方法，装置では、安全化されたファイルのアクセス権やカギ情報自体を、複数のカギやアクセス権限により幾重にもセキュリティ制御している上にその編集手段が設けられていないため、安全化されたファイルのアクセス権等を編集したり更新したりすることができない。よって、復号化されたファイルのアクセス権を変更したい場合、結局、ヘッダ情報を再利用することができず、再度、アクセス権情報を作成した上でヘッダ情報を作成して安全化されたファイルを作成する処理を行う必要があり、非常に煩雑であった。

また、特許文献１に記載の方法では、ファイルを復号化するカギをさらに他のカギで暗号化し、さらに、そのカギをさらに暗号化するというように、複数のカギを用いているため、カギの管理が煩雑であった。

さらに、特許文献１に記載の方法では、ファイル全体を、"極秘"、"機密"、"秘密"、"非秘密"のいずれかのセキュリティレベルでアクセス制限することは可能であるが、ファイル内の特定の個所（例えば、特定の行、特定の文字列、特定のページ）に対して、アクセス制御を設定する等の緻密な設定ができず、不便であり実用的でなかった。

このように、特許文献１に記載の方法では、電子文書のアクセス権の制御に自由度が少なかったり、カギの管理が煩雑であるといった様々な問題点があった。

本発明は、上記の問題点を解決するためになされたもので、本発明の目的は、電子文書を安全化する際に、電子文書を暗号化するメモリ内に保持される暗号カギを特定する情報と前記電子文書のアクセス権限を有するユーザ情報と前記電子文書の部分的な閲覧制限情報とヘッダファイル自身の編集権限を有するユーザ情報とを含むヘッダ情報を作成し、前記暗号カギにより電子文書を暗号化するとともに、該暗号化された電子文書と前記ヘッダ情報とを統合して安全化されたファイルを生成するようにし、一方、安全化されたファイルを閲覧する際に、前記安全化されたファイルを前記暗号化された電子文書と前記ヘッダ情報とに分離するとともに、該分離されたヘッダ情報内の前記電子文書のアクセス権限を有するユーザ情報と入力されるユーザ情報とに基づいて前記電子文書へのアクセスを許可又は拒否するように制御し、前記電子文書へのアクセスが許可された場合、前記ヘッダ情報に含まれる暗号カギを特定する情報に基づいて前記暗号カギに対応する復号カギをメモリ内から取得し、該取得された復号カギ情報により、前記暗号化された電子文書の復号化を実行するとともに、前記ヘッダ情報に含まれる電子文書の部分的な閲覧制限情報に基づいて、前記復号化された電子文書の部分的な閲覧制御を実行するように構成することにより、従来のシステム管理者が提供していたシステムと同等のセキュリティをファイル単位で確保でき、また、もともとある電子文書のアクセス権を動的に変更して再利用して安全化されたファイルを作成するユーザの手間を減少させることができ、さらに、復号化された電子文書内でデータを部分的に閲覧可能／不可能にするように制限をかける緻密なアクセス制御を行うことができる情報処理システムおよび電子文書安全化方法およびプログラムおよび記録媒体を提供することである。

本発明は、電子文書を安全化する安全化手段と、前記安全化手段により安全化された電子文書の閲覧を行う閲覧手段とを有する情報処理システムにおいて、前記安全化手段は、電子文書を暗号化する第１のカギ情報を記憶する第１の記憶手段と、前記第１のカギ情報を特定する情報と前記電子文書のアクセス権限を有するユーザ情報と前記電子文書の部分的な閲覧制限情報とを含むヘッダ情報を作成するヘッダ情報作成手段と、前記第１のカギ情報により電子文書を暗号化するとともに、該暗号化された電子文書と前記ヘッダ情報とを統合して安全化されたファイルを生成する安全化実行手段と、を有するものであり、前記閲覧手段は、前記第１のカギ情報に対応する第２のカギ情報を記憶する第２の記憶手段と、前記安全化されたファイルを前記暗号化された電子文書と前記ヘッダ情報とに分離するとともに、該分離されたヘッダ情報内の前記電子文書のアクセス権限を有するユーザ情報と入力されるユーザ情報とに基づいて前記電子文書へのアクセスを許可又は拒否するように制御し、前記電子文書へのアクセスが許可された場合、前記ヘッダ情報に含まれる第１のカギ情報を特定する情報に基づいて前記第２の記憶手段から前記第２のカギ情報を取得するヘッダ情報解析手段と、前記ヘッダ情報解析手段により取得された第２のカギ情報により、前記暗号化された電子文書の復号化を実行するとともに、前記ヘッダ情報に含まれる電子文書の部分的な閲覧制限情報に基づいて、前記復号化された電子文書の部分的な閲覧制御を実行する閲覧実行手段と、を有することを特徴とする。

本発明によれば、電子文書を安全化する際に、電子文書を暗号化するメモリ内に保持される第１のカギ情報を特定する情報と前記電子文書のアクセス権限を有するユーザ情報と前記電子文書の部分的な閲覧制限情報とヘッダファイル自身の編集権限を有するユーザ情報とを含むヘッダ情報を作成し、前記第１のカギ情報により電子文書を暗号化するとともに、該暗号化された電子文書と前記ヘッダ情報とを統合して安全化されたファイルを生成するようにし、一方、安全化されたファイルを閲覧する際に、前記安全化されたファイルを前記暗号化された電子文書と前記ヘッダ情報とに分離するとともに、該分離されたヘッダ情報内の前記電子文書のアクセス権限を有するユーザ情報と入力されるユーザ情報とに基づいて前記電子文書へのアクセスを許可又は拒否するように制御し、前記電子文書へのアクセスが許可された場合、前記ヘッダ情報に含まれる第１のカギ情報を特定する情報に基づいて前記第１のカギ情報に対応する第２のカギ情報をメモリ内から取得し、該取得された第２のカギ情報により、前記暗号化された電子文書の復号化を実行するとともに、前記ヘッダ情報に含まれる電子文書の部分的な閲覧制限情報に基づいて、前記復号化された電子文書の部分的な閲覧制御を実行するように構成することにより、従来のシステム管理者が提供していたシステムと同等のセキュリティをファイル単位で確保できる。

また、もともとある電子文書のアクセス権を動的に変更して再利用して安全化されたファイルを作成するユーザの手間を減少させることができる。

さらに、復号化された電子文書内でデータを部分的に閲覧可能／不可能にするように制限をかける柔軟且つ緻密な閲覧制御を実現することができる等の効果を奏する。

〔第１実施形態〕
以下、図面を参照して、本発明の詳細を説明する。

図１は、本発明の第１実施形態を示す情報処理システムにより電子文書を安全化する構成の概要を示す模式図である。

図１において、１００は生成された通常の電子文書であり、本発明の情報処理システムは、この電子文書１００から安全化されたファイル１０４を生成する。

この安全化されたファイル１０４を生成する目的の１つは、電子文書１００を、電子文書１００のアクセス権を有するユーザ（許可されたユーザ）のみが使用できることを保証することである。なお、ここでアクセス権を許可されたユーザとしては、個人に対応するユーザ、また前記ユーザのグループまたは、そのメンバ等がある。従って、特に述べない限り、ユーザとは個人を指す必要はない。

本題に戻るが、生成された電子文書１００は、本発明の情報処理システムにより暗号化処理１０１が施され、暗号化された電子データ１０２に変換される。この暗号化された電子データ１０２は、メモリ上に展開されても、暗号カギに対応する復号カギがないと電子データから電子文書１００へと戻すことができない。なお、復号カギは、暗号カギと同一のカギであってもよいし、異なるカギであってもよく、使用される暗号化方法に依存する。また、本実施形態では、一例として公開カギ暗号化方式を用いる場合を説明する。即ち、復号カギ（秘密カギ），暗号カギ（公開カギ）は異なるものとして説明する。

また、本発明の情報処理システムは、上述した暗号化処理１０１を施すとともに、ヘッダ情報１０３を生成するものであり、このヘッダ情報１０３には、上記暗号カギの情報がセキュリティ情報として含まれることになる。

そして、本発明の情報処理システムは、上記暗号化された電子データ１０２とヘッダ情報１０３を関連付けさせて安全化処理１０５を行い、新たなファイルとして、安全化されたファイル１０４を構築する。

この安全化されたファイル１０４を元に戻す場合や、そのままコンテンツとして起動する場合には、当該安全化されたファイル１０４に含まれる、ヘッダ情報１０３から暗号カギの情報を取得し、該暗号カギの情報に対応する復号カギにより、暗号化された電子データ１０２を復号する構成となっている。

また、アクセスを許可されたユーザが、安全化されたファイル１０４にアクセスできることを保証するために、また、アクセスを許可されていないユーザが安全化されたファイル１０４にアクセスできないことを保証するために、電子文書１００についてのアクセス規則がヘッダ情報１０３に記述されている。

さらに、ヘッダ情報１０３で設定可能なアクセス規則は、誰が／どのように、安全化されたファイル１０４の電子データ部分をアクセスできるか決定し、調整するものである。

また、安全化されたファイル１０４は、安全化処理１０５の際に、本発明の情報処理システムが保持する秘密カギ（上述した暗号化されたデータ１０２を復号するための秘密カギとは異なるものであり、以下、区別を容易にするために、「安全化カギ」と称する）により安全化されており、本発明の情報処理システム以外では、この安全化されたファイル１０４からヘッダ情報１０３，暗号化されたデータ１０２を取り出すことはできない構成となっている。よって、本発明の情報処理システムを用いない不正な手段により、安全化されたファイル１０４にアクセスしてヘッダ情報１０３を書き換えたりすることはできないようになっている。

図２は、本発明の一実施形態を示す情報処理システムにおけるソフトウェア構成を示すブロック図である。

図２において、ソフトウェア３００は、通常の電子文書１００を暗号化して安全化されたファイル１０４を生成したり、安全化されたファイル１０４を受け取り復号化するためのアプリケーションプログラムである。

ソフトウェア３００において、３０１はヘッダ解析部で、安全化されたファイル１０４からヘッダ情報１０３を抜き出して、アクセス権やファイルへの制限と復号化に必要なカギを解析する。３０２は作成部で、ヘッダ情報を作成するダイアログを表示し、使用者から入力された情報に基づいてヘッダ情報１０３を設定するためのものである。

３０４は実行部で、通常のファイル（暗号化されていない電子文書１００）が指定されれば電子文書の暗号化処理を行い、一方、暗号化された電子文書１０２が指定されればヘッダ情報１０３と組み合わせて安全化されたファイル１０４を作成する。また、実行部３０４は、安全化されたファイル１０４で且つアクセス権があれば電子データを復号化し、コンテンツとして実行できるようにする。

３０５は表示部で、安全化ファイルの状態やヘッダ情報をディスプレイ３０９に表示するための通信部である。

３０６は記憶部で、ヘッダ解析部３０１で解析された情報や作成部３０２で作成されたヘッダ情報を格納する領域と、テーブル記憶部分３０７と、カギ記憶部３０８を有する。テーブル記憶部３０７は、ヘッダ情報に関連するリスト情報、例えば電子文書を部分的に閲覧制限する際に、閲覧制限する文字や図や表などを示すデータ（後述するタグ設定位置の情報，墨塗りつぶし文字の情報，隙間なし位置の情報等）を後述する図７〜図９に示すようなデータ構造で保持する部分である。また、カギ記憶部３０８は、予め用意されているカギ情報を登録（保持）する部分である。このカギ情報には、ユーザにより登録される暗号化処理１０１，復号化処理の際に用いられる秘密カギ（不図示），この秘密カギとペアとなる公開カギ（後述する図４に示す公開カギ６１７）等がある。この秘密カギ，公開カギのペアは複数登録可能である。なお、上述した安全化カギは、図示していないが、ソフトウェア３００内に保持されているものとする。また、この安全化カギは、管理者等により変更可能な構成であってもよい。さらに、この安全化カギは、安全化，安全化を解除する場合に、同一のカギとしてもよいし、異なるカギとしてもよい。

図３は、本発明の一実施形態を示す情報処理システムのハードウェア構成を示すブロック図であり、図２と同一のものには同一の符号を付してある。

図３において、２００は本発明の情報処理システムとしての端末で、インタフェース部４００と演算処理装置（ＣＰＵ）４０１と外部記憶装置（ＨＤＤ等の外部メモリ）４０２と読取装置４０３とメモリ（ＲＡＭ）４０７と表示処理装置（グラフィックカード）４０５を有しており、それらは、バス４０９によって相互に接続されている。

インタフェース４００は、ＬＡＮを介してデータを送受信するためのものである。演算処理装置４０１は、さまざまな演算処理を行う装置である。読取装置４０３は、ケーブル４１０を介して入力装置４０６（キーボード，マウス等）のアクション情報を読み取る装置である。

ＯＳ４０４およびソフトウェア３００は、演算処理装置４０１により、外部記憶装置４０２から読み出されてメモリ４０７上にロードされて実行される。なお、ソフトウェア３００は、本発明を構成する各ステップを実行するためのプログラムに対応する。表示処理装置４０５は、ソフトウェア３００等で表示制御するデータをディスプレイ３０９へ送信する装置である。

なお、図２に示した記憶部３０６は、外部記憶装置４０２，メモリ４０７に対応するものであり、特にテーブル記憶部３０７，カギ記憶部３０８は、外部記憶装置４０２に対応する。

以下、図４〜図９を参照して、図１に示したヘッダ情報１０３の設定方法について説明する。

図４は、図１に示したヘッダ情報１０３を作成するにあたり必要となるデータの設定を行うためのヘッダ情報設定画面である。また、この図４は、ヘッダ情報１０３のデータ構造をも示すものである。

図４において、６００はヘッダ情報設定画面で、ユーザが入力装置４０６から安全化を行う電子文書を指定してソフトウェア３００の実行を指示すると、演算処理装置４０１によりソフトウェア３００が実行されて作成部３０２により表示部３０５を介してディスプレイ３０９に表示されるものである。また、このヘッダ情報設定画面６００上で、安全化する電子文書を指定可能に構成してもよい。

このヘッダ情報設定画面６００は、安全化されたファイル内でのアクセス権一覧６０１と、安全化されたファイル内での制約事項を設定したファイル制限内容６１１と、電子文書の暗号化／復号化に必要なカギ情報一覧６１２と、ヘッダ及び安全化されたファイルに対しての情報を記述して表示することができる個別情報フィールド６１３と、安全化されたファイルの作成日及びファイルに関する情報６１４を表示／設定する部分と、安全化処理の開始を指示する安全化ボタン６１５と、安全化処理をキャンセルするキャンセルボタン６１６とを有する。

なお、ヘッダ情報１０３は、アクセス権一覧６０１、ファイル制限内容６１１、カギ情報一覧６１２、個別情報フィールド６１３、作成日及びファイルに関する情報６１４にそれぞれ対応する情報から構成される。

アクセス権一覧６０１は、システムを使用するためにアクセスしてきた全てのユーザに表示される公開内容である。ここでいうユーザとは、端末２００上のシステムのログオンユーザであってもよいし、ソフトウェア３００の起動時に認証処理を行い、該認証処理により認証されたユーザであてもよい。そして、このユーザは、個人のみならずグループ名や組織名・役職名等に対して設定されたユーザも含むものである。

また、アクセス権一覧６０１は、安全化されたファイルにアクセスできるユーザ番号６０３と、ユーザ名６０４と、ヘッダ情報及び安全化されたファイル内での情報の編集に対する管理権限６０５と、安全化されたファイル内での閲覧制限６０６と、閲覧制限に対する制限方法６０７とを表示する部分と、編集又は削除するユーザを選択するチェックボックス６０２と、ユーザを追加する追加ボタン６０８と、チェックボックス６０２で選択されたユーザを編集する編集ボタン６０９と、チェックボックス６０２で選択されたユーザを削除する削除ボタン６１０とを有する。

なお、ヘッダ情報１０３内のアクセス権一覧６０１に対応する情報は、ユーザ番号６０３、ユーザ名６０４、管理権限６０５、閲覧制限６０６、制限方法６０７にそれぞれ対応する情報から構成される。

ヘッダ情報設定画面６００では、始めに文書を生成する際には、アクセス権一覧６０１のユーザ番号６０３の１番にデフォルトで文書生成者が表示されるものとする。即ち、ヘッダ情報１０３内のアクセス権一覧６０１に対応する情報は、デフォルトでユーザ名６０４として文書生成者の情報を含むように構成されている。なお、文書作成者は、デフォルトで管理権限６０５を有し、閲覧制限６０６、制限方法６０７は制限なしとして設定されるように作成部３０２により制御される。

そして、文書生成者は、このヘッダ情報設定画面６００により設定されたヘッダ情報１０３と暗号化されたデータ１０２と組み合わせて安全化されたファイル１０４を作成することを指示することができる。また、管理権限を持つユーザは、安全化されたファイル１０４への新規ユーザのデータ登録や既存ユーザのデータ編集や削除を行うことができ、さらに安全化されたファイル内の文書に対する閲覧制限とその制限方法を設定することができる。

以下、図５を参照して、アクセス権一覧６０１の編集方法について説明する。

図５は、図４に示したアクセス権一覧６０１のユーザ情報の新規登録・編集・削除画面の一例を示す模式図であり、図５（ａ）は新規ユーザデータ登録画面に対応し、図５（ｂ）は既存ユーザデータ編集画面に対応し、図５（ｃ）は既存ユーザデータ削除画面に対応する。

新規ユーザのデータ登録は、管理権限を持つユーザが、追加ボタン６０８を入力装置４０６で指示（クリック）することで、演算処理装置４０１により、図５（ａ）に示すダイアログ（新規ユーザデータ登録画面）がディスプレイ３０９に表示されるように作成部３０２により制御される。そして、ユーザが、このダイアログから直接登録できるテキスト状態の表形式の入力部８０１で入力装置４０６を用いてユーザ名、管理権限、閲覧制限、制限方法を設定し、実行ボタン８０２を入力装置４０６で指示（クリック）することで新規ユーザデータ登録が行われる（演算処理装置４０１が新規ユーザデータ登録処理を行い、アクセス権一覧６０１に反映する）ように作成部３０２により制御される。なお，戻るボタン８０３が指示された場合には、新規ユーザデータ登録の処理はキャンセルされる。

また、既存ユーザのデータ編集は、管理権限を持つユーザが、入力装置４０６により、アクセス一覧画面の左端のチェックボックス６０２をチェックし、編集ボタン６０９を指示（クリック）することで、演算処理装置４０１により、図５（ｂ）に示すダイアログ（既存ユーザデータ編集画面）がディスプレイ３０９に表示されるように作成部３０２により制御される。そして、ユーザが、このダイアログから直接編集できるテキスト状態の表形式の入力部８０４で入力装置４０６を用いてユーザ名、管理権限、閲覧制限、制限方法のいずれか又は全てを編集し、実行ボタン８０５を入力装置４０６で指示（クリック）することで既存ユーザデータ編集が行われる（演算処理装置４０１が既存ユーザデータ編集処理を行い、アクセス権一覧６０１に反映する）ように作成部３０２により制御される。なお，戻るボタン８０６が指示された場合には、既存ユーザデータ編集の処理はキャンセルされる。

また、既存ユーザのデータ削除は、管理権限を持つユーザが、入力装置４０６により、アクセス一覧画面の左端のチェックボックス６０２をチェックし、削除ボタン６１０を指示（クリック）することで、演算処理装置４０１により、図５（ｃ）に示すダイアログ（既存ユーザデータ削除画面）がディスプレイ３０９に表示されるように作成部３０２により制御される。そして、ユーザが、このダイアログ内の削除する既存ユーザ表示８０７にて既存ユーザの削除を確認し、実行ボタン８０８を入力装置４０６で指示（クリック）することで既存ユーザデータ削除が行われる（演算処理装置４０１が既存ユーザデータ削除処理を行い、アクセス権一覧６０１に反映する）ように作成部３０２により制御される。なお，戻るボタン８０９が指示された場合には、既存ユーザデータ削除の処理はキャンセルされる。

以下、図４のヘッダ情報設定画面６００及びヘッダ情報１０３の説明に戻る。

ファイル制限内容６１１は、管理権限を持つユーザのみに表示される非公開内容である。このファイル制限内容６１１は、ヘッダ情報の編集、個別情報の表示、ファイル情報の編集、文字閲覧、コピー、印刷、アクセス時間、同時アクセス等の各種制限を設定するためのものである。また、このファイル制限内容６１１は、管理権限を持つユーザ以外のユーザに対するものであり、管理権限を持つユーザはファイル制限６１１の各種制限を受けない。

管理権限を持つユーザは、他のユーザに対するファイル制限内容６１１を変更することができ、入力装置４０６により、ファイル制限内容６１１内の単一の内容、又は、複数の内容を選択して制限設定することができるように作成部３０２により制御される。図４に示した設定例では、ヘッダ情報の編集の禁止と印刷不可（印刷枚数：０枚）という制限内容が設定されている。なお、ファイル制限６１１に示した制限内容は、一例であり、これに限定されるものではない。

なお、印刷制限については、例えば、ウィンドウズ（登録商標）の場合、ソフトウェア３００が、ウィンドウズ（登録商標）スプーラの印刷情報を横取りして制限をかける。

また、ファイルのコピー操作に対する制限は、ソフトウェア３００が、システムのクリップボードを削除させることで制限をかける。

さらに、アプリケーションにおいて、別名で保存する等の操作を行って、ユーザがコピーしようとすることについての制限は、ユーザが保存ボタンで保存を試みた際に、ソフトウェア３００が、保存されたファイルの中身を安全化ファイルと比較して同じであれば、削除するといった動作で制御する。

また、ワードプロセッサ・アプリケーション等の文書の表示制限について以下に説明する。

あるワードプロセッサ・アプリケーションのファイルが存在し、そのヘッダ情報に"ＡＢＣ"という文字を表示しないという設定を持つ「安全化ファイル(ワードプロセッサ・アプリケーションのファイル＋ヘッダ情報)」があったとする。

通常のファイル（安全化されていないファイル）を、ワードプロセッサ・アプリケーションの開いた場合は、"ＡＢＣ"という文字列は表示される。

安全化ファイルを、ワードプロセッサ・アプリケーションで開くとき、ソフトウェア３００が、予めバイナリデータとして"ＡＢＣ"という文字列を検索し、"■"等に置き換えておく。なお、バイナリデータの検索ができないの場合には、内部的にワードプロセッサ・アプリケーションを開き置換するなどの方法をとる。これにより、実際に開かれたファイルには"ＡＢＣ"は表示されず、"■"が表示される。

カギ情報一覧６１２は、管理権限を持つユーザのみに表示された非公開内容となるように作成部３０２により制御されている。このカギ情報一覧６１２は、暗号化された電子データ１０２を電子文書１００に復号する際に用いる秘密カギ情報（不図示）に対応する（ペアとなる）公開カギ情報（現在存在する公開カギ情報６１７（１つでも複数でもよい））と、ソフトウェア３００が保持する安全化カギ情報６１８、暗号化の際に使用するカギ情報６１９をそれぞれ表示する部分を有する。なお、管理権限を有するユーザのみが、現在存在する公開カギの情報６１７の中から使用するカギ情報６１９を選択設定し設定ボタン６２０を入力装置４０６で指示することができるように作成部３０２により制御される。そして、作成部３０２により生成されるヘッダ情報１０３には、この使用するカギ情報６１９（公開カギ）が含まれることとなる。

個別情報フィールド６１３は、管理権限を持つユーザのみがコメントを記述することができるフィールドで、内容を表示するかどうかはファイル制限６１１内の「個別情報の表示」で設定することができるように作成部３０２により制御される。この個別情報フィールド６１３の情報も、生成されるヘッダ情報１０３に含まれることとなる。

作成日及びファイルに関する情報６１４は、システムを使用するためにアクセスしてきた全ての人に表示される公開内容である。安全化されたファイルの作成日と、ファイルのタイプ、管理場所、ファイル名とサイズ等に関する情報から構成されている。この作成日及びファイルに関する情報６１４も、生成されるヘッダ情報１０３に含まれることとなる。

なお、ヘッダ情報１０３は、ＨＴＭＬ形式、ＸＭＬ形式、ＳＧＭＬ形式であっても、その他のデータ形式であってもよい。

図６は、図４の制限項目６０７で設定される安全化されたファイル１０４内での閲覧制限に対する制限方法のリスト一覧を示す模式図である。

図６に示すように、このリストは、制限なし７０１、タグ設定７０２、墨塗りつぶし７０３、隙間なし７０４の４段階の設定が可能である。制限なし７０１は、閲覧制限６０６で「なし」と設定されたユーザのみに対して設定されるものである。また、タグ設定７０２、墨塗りつぶし７０３、隙間なし７０４は、閲覧制限６０６で「あり」と設定されたユーザのみに対して設定されるものである。

なお、制限レベルは、制限なし７０１が一番低く、タグ設定７０２、墨塗りつぶし７０３、隙間なし７０４の順に高くなるように設定されている。即ち、タグ設定７０２が設定された場合は、タグ制限のみを受けるが、墨塗りつぶし７０３が設定された場合は、墨塗りつぶし制限，タグ制限の双方の制限を受け、さらに、隙間なし７０４が設定されると、タグ制限，墨塗りつぶし制限，隙間なし制限の全ての制限を受けるように実行部３０４により制御される。なお、タグ制限，墨塗りつぶし制限，隙間なし制限が、それぞれ独立となるように構成してもよい。

以下、個々の制限について説明する。

タグ設定７０２は、電子文書１００内に、タグ"＜＞・・・＜＞"で囲まれて指定されている個所がある場合に、タグ設定７０２以上の閲覧制限のあるユーザがこの文書を閲覧しようとした場合、後述する図１０に示すように、該当個所を空白" "に置き換えて、該当ユーザに当該タグで囲まれて指定された個所の閲覧を不可能とするように実行部３０４が制御する。なお、タグ設定７０２以上の閲覧制限のあるユーザであっても、例えば"＜ユーザＡ＞"のように、タグ"＜＞"内にユーザ名が記載されたユーザＡは、そのタグに限り通常通り閲覧可能となるように実行部３０４が制御するものとする。また、タグ設定の説明は、後述する図９に示す。

墨塗りつぶし７０３は、電子文書１００内に墨塗りつぶし設定がなされている場合に、墨塗りつぶし７０３以上の閲覧制限のあるユーザがこの文書を閲覧しようとした場合、墨塗りつぶしに指定された個所がある場合に、タグ設定７０２以上の閲覧制限のあるユーザがこの文書を閲覧しようとした場合、図１１に示すように、該当個所を"■"で塗りつぶし、該当ユーザに当該個所の閲覧が不可能となるように実行部３０４が制御する。なお、"（墨塗りつぶし、ユーザＡ、・・・）"のように、墨塗りつぶし設定内にユーザ名が記載されている場合は、記載されたユーザ（ここではユーザＡ）のみが墨塗りつぶし制限の対象となるように実行部３０４が制御するものとする。また、墨塗りつぶしの設定の説明は、後述する図７に示す。

隙間なし７０４は、電子文書１００内に、隙間なし指定されたページがある場合に、隙間なし設定７０４以上の閲覧制限のあるユーザがこの文書を閲覧しようとした場合、後述する図１０に示すように、該当ページが初めから存在しなかったかのようにページを詰めて、該当ユーザに当該ページの閲覧を不可能にするように実行部３０４が制御する。なお、"（隙間なし、ユーザＡ、・・・）"のように、隙間なし設定内にユーザ名が記載されている場合は、記載されたユーザ（ここではユーザＡ）のみが隙間なし制限の対象となるように実行部３０４が制御するものとする。また、隙間なしの設定の説明は、後述する図８に示す。

なお、電子データの同じ場所に、閲覧制限が重なってしまう場合には、閲覧制限に関する優先順位として、「タグ設定」，「墨塗りつぶし」，「隙間なし」の順になる。即ち、閲覧可能なユーザを宣言する「タグ設定」の優先順位が一番高くなり、「墨塗りつぶし」、「隙間なし」は、閲覧不可能ユーザを指定するため、優先順位が、「タグ設定」に比べると低くなる。よって、"＜ユーザＡ＞"のように、タグ"＜＞"内にユーザ名が記載されてタグで囲まれた部分の閲覧が許可されたユーザＡには、例え、ユーザＡが隙間なし７０４や墨塗りつぶし７０３制限を受けるユーザであり、且つ、そのページに「隙間なし」や「墨塗りつぶし」が設定されていたとしても、タグ"＜＞・・・＜＞"で囲まれた個所をユーザＡが閲覧可能となるように実行部３０４が制御する。

また、文書に対する「墨塗りつぶし」，「隙間なし」，「タグ設定」の設定は、後述する図７，図８，図９に示すように設定され、記憶部３０６に記憶され、テーブル記憶部３０７にデータとして文書名に紐付けられて保持され再利用可能となっている。

以下、図７，図８，図９を参照して、「墨塗りつぶし」，「タグ設定」，「隙間なし」の制限内容設定方法について説明する。

図７は、図４に示したアクセス権一覧６０１の制限項目６０７に対応する「墨塗りつぶし」の制限内容設定画面の一例を示す模式図である。

管理権限を持つユーザが、図４に示したヘッダ情報設定画面６００の制限項目６０７に設定された「墨塗りつぶし」を入力装置４０６で指示（ダブルクリック等）することで、演算処理装置４０１により、図７に示すダイアログ（墨塗りつぶしの制限内容設定画面）がディスプレイ３０９に表示されるように作成部３０２により制御される。

そして、ユーザが、このダイアログから直接登録できるテキスト状態の表形式の入力部１１０１で入力装置４０６を用いて、墨塗りつぶし対象となるユーザ名，墨塗り対応文字，非表示内容の入力を行い、実行ボタン１１０２を入力装置４０６で指示（クリック）することで墨塗りつぶしの内容設定処理が行われ、入力部１１０１の設定内容が文書名に対応付けられてテーブル形式でテーブル記憶部３０７に格納されるように作成部３０２により制御される。なお、ユーザ名が入力されない場合には、墨塗りつぶし制限が設定された全てのユーザに対応する墨塗りつぶし制限となる。キャンセルボタン１１０３が指示された場合には、墨塗りつぶしの内容設定処理はキャンセルされる。また、マウス操作により文字列を選択状態にし、非表示内容を入力するように操作することも可能である。

なお、図７に示した例では、ＣＤ課課長に対して、１ページの文字列"予算：１０００"のうち"１０００"を墨塗りつぶしにする（"■"に置き換える）設定がなされている。また、ＣＤ課課長に対して、１ページの文字列"売上：１２００"のうち"１２００"を墨塗りつぶしにする（"■"に置き換える）設定がなされている。

図８は、図４に示したアクセス権一覧６０１の制限項目６０７に対応する「隙間なし」の制限内容設定画面の一例を示す模式図である。

管理権限を持つユーザが、図４に示したヘッダ情報設定画面６００の制限項目６０７に設定された「隙間なし」を入力装置４０６で指示（ダブルクリック等）することで、演算処理装置４０１により、図８に示すダイアログ（隙間なしの制限内容設定画面）がディスプレイ３０９に表示されるように作成部３０２により制御される。

そして、ユーザが、このダイアログから直接登録できるテキスト状態の表形式の入力部１１０４で入力装置４０６を用いて隙間なし制限の対象となるユーザ，隙間なしページの入力を行い、実行ボタン１１０５を入力装置４０６で指示（クリック）することで隙間なしの内容設定処理が行われ、入力部１１０４の設定内容が文書名に対応付けられてテーブル形式でテーブル記憶部３０７に格納されるように作成部３０２により制御される。なお、ユーザ名が入力されない場合には、隙間なし制限が設定された全てのユーザに対応する隙間なし制限内容として設定される。また、ページ単位の指定のみでなく、行単位、文字単位でも隙間なし設定できるように構成してもよい。キャンセルボタン１１０６が指示された場合には、隙間なしの内容設定処理はキャンセルされる。

図９は、図４に示したアクセス権一覧６０１の制限項目６０７に対応する「タグ設定」の制限内容設定画面の一例を示す模式図である。

管理権限を持つユーザが、図４に示したヘッダ情報設定画面６００の制限項目６０７に設定された「タグ設定」を入力装置４０６で指示（ダブルクリック等）することで、演算処理装置４０１により、図９（ａ）に示すダイアログ（タグ設定の制限内容設定画面）がディスプレイ３０９に表示されるように作成部３０２により制御される。

そして、ユーザが、このダイアログから直接登録できるテキスト形式の入力部１１０７で入力装置４０６を用いてタグ設定内容の入力を行い、実行ボタン１１０８を入力装置４０６で指示（クリック）することでタグ設定の内容設定処理が行われ、入力部１１０７で入力されたタグ設定内容が文書名に紐付けられてテーブル記憶部３０７に格納されるように作成部３０２により制御される。なお、キャンセルボタン１１０９が指示された場合には、タグ設定の処理はキャンセルされる。

入力部１１０７におけるタグ設定内容の入力は、例えば、ＸＭＬ形式で行うものとする。ＸＭＬ形式は、各要素をタグというもので記述するファイル形式であり、タグという要素の集まりで文書を記述する。この場合、タグの中にタグを記述する入れ子構造をとることも可能であり、各タグにはアトリビュートと呼ばれる属性を付加することも可能である。

また、ＸＭＬ形式の記述は、まず文書全体をあらわす"＜ＤＯＣＵＭＥＮＴ＞"というタグを記述し、この中にタグ設定により閲覧制限が行われる文書の構造を記述する。入れ子構造内の"＜ＮＡＭＥ＞"というタグにより、タグ設定により閲覧可能に制限されるユーザのユーザ名を記述する。

例えば、図９（ａ）に示した例では、ユーザ名"田中課長"、"部長"が閲覧可能に制限される。なお、ユーザ名が入力されない場合には、この文書に対する閲覧権限のある全てのユーザにタグで囲まれた範囲の閲覧を許可する設定となる。

また、次の＜ＴＥＸＴ＞というタグの入れ子構造により、文書内のテキストで指定した開始タグ位置と終了タグ位置の情報が記述される。

なお、図９（ａ）では、タグ位置の情報を、文書内のテキストで指定する構成について説明したが、文書内の任意の位置を入力装置４０６のポインティングデバイス（例えばマウス）で指定可能に構成してもよい。このマウス操作によりタグ位置を設定した場合の設定内容を図９（ｂ）に示す。

電子文書１００上のマウス操作等によりタグを設定したい範囲を設定すると、図９（ｂ）に示すように、マウス操作で指定した範囲の左上のＸ，Ｙ座標と、該Ｘ，Ｙ座標を基点にして、指定した範囲の幅，高さを示す値であるＷＩＤＴＨ，ＨＩＧＨＴが配置情報として設定されるものとする。

また、タグ位置の情報を、文書内の図や表等のデータで指定可能に構成してもよい。この文書内の図や表等のデータによりタグ位置を設定した場合の設定内容を図９（ｃ）に示す。

文書内の図や表等のデータや"画像.ｊｐｇ"という静止画像や動画ごとにタグ位置を設定する場合、図９（ｃ）に示すように、"＜ＩＭＡＧＥ＞"というタグにより設定するものとする。なお、この設定内容が、文書名に紐付けられてテーブル記憶部３０７に格納されるように作成部３０２により制御される。

さらに、タグ位置の情報を、文書の全ページに表示されている文字に対して指定可能に構成してもよい。この文書内の全ページに表示されている文字に対してタグ位置を設定した場合の設定内容を図９（ｄ）に示す。

文書内の全ページに表示されている文字に対してタグ位置を設定する場合には、図９（ｄ）に示すように、"＜ＴＥＸＴ＞"タグ内に"＜ＴＥＸＴ ＰＡＧＥ＝ＡＬＬ＞"と設定するものとする。

なお、実行ボタン１１０８が入力装置４０６で指示（クリック）されると、図９（ａ）〜図９（ｄ）に示したＸＭＬ形式の設定内容が文書名に紐付けられてテーブル記憶部３０７に格納されるように作成部３０２により制御される。

また、図７，図８に示した墨塗りつぶし、隙間なしの制限内容設定もＸＭＬ形式で入力してテーブル３０２へ登録するように構成してもよい。

また、本実施形態では、ＸＭＬ形式でタグ制限の設定内容を設定してテーブル３０２で登録する場合について説明したが、ＨＴＭＬ形式、ＳＧＭＬ形式であっても、その他のデータ形式であってもよい。

以下、図１０，図１１を参照して、制限内容に対応する制限制御に関して具体的に説明する。

図１０は、生成された電子文書に対して「タグ設定」と「隙間なし」の閲覧制限設定を実施した場合に、安全化されたファイルを復号化した際の表示結果の一例を示す模式図である。

なお、各ユーザに対する制限項目は、図４に示したように設定されているものとする。即ち、「田中課長」は「制限なし」、「部長」は「タグ設定」、「ＡＢ課社員」は「タグ設定」、「ＣＤ課社員」は「隙間なし」と設定されている。

また、この文書の制限内容（タグ設定，隙間なし）の情報は、タグ設定，隙間なし設定を行った際に、ソフトウェア３００内のテーブル記憶部３０７に格納されている。

また、ここで用いる制限内容は、暗号化する前の閲覧制限された文書９０１に示すような内容となっている。即ち、隙間なしが１ページに設定されており、「田中課長」のみが閲覧許可されたタグが１ページの下半分に設定されている。なお、ここでは、説明のために、実際にはテーブル記憶部３０７に保持されている制限内容を、文書９０１内に追加されているように記載している。なお、暗号化する際に制限内容を文書９０１内に追加して暗号化する構成であってもよい。

まず、「田中課長」がこの安全化されたファイル９０２にアクセスして、このファイルを復号した場合、「田中課長」は閲覧制限がないため、９０３に示すように、文書をすべて閲覧することが可能であり、暗号化する前の文書９０１と同じ状態で閲覧できる。

次に、「ＡＢ課社員」が安全化されたファイル９０２を復号した際は、９０４に示すように、"＜田中課長＞・・・＜／田中課長＞"というタグで囲まれている部分は、「ＡＢ課社員」は閲覧制限「タグ設定」が設定されているため、閲覧することはできない。また、タグで設定されている範囲はスペースで置換されて表示され、データの空き領域はスペースがそのまま表示される。そのため、"下期収支"というタグ設定範囲内の文字列を検索しても、検索結果にデータは返ってこない。なお、印刷を行った場合も、タグで設定されている範囲はスペースで置換されて印刷される。

さらに、「ＣＤ課社員」が安全化されたファイル９０２を復号した際は、９０５に示すように、"（隙間なし、１Ｐ）"で指定された1ページ目は、「ＣＤ課社員」は閲覧制限「隙間なし」が設定されているため、閲覧することはできない。なお、隙間なしで設定されている範囲は削除され、データの空き領域は表示されない。よって、この場合、１ページ目があったことさえ、ＣＤ課社員には分からない。さらに、削除された部分の文字列で検索をおこなっても、検索結果にデータは返ってこない。なお、印刷を行った場合も、隙間なしで設定されている範囲は削除されて印刷されない。

図１１は、生成された電子文書に対して「タグ設定」と「隙間なし」と「墨塗りつぶし」の閲覧制限設定を実施した場合に、安全化されたファイルを復号化した際の表示結果の一例を示す模式図であり、特に、図５（ａ）、図５（ｂ）でユーザ情報を追加，編集したユーザが、安全化された文書を復号した際にその文書がどのように閲覧できるのかを示したものに対応する。即ち、「ＣＤ課 課長」は「墨塗りつぶし」、「部長」は「制限なし」と設定されている。

図１１（ａ）は図５（ａ）でユーザデータを追加登録された「ＣＤ課課長」（墨塗りつぶし制限）が、文書１００１を閲覧した際の表示結果に対応する。

文書１００１の制限内容（タグ設定，隙間なし，墨塗りつぶし）は、タグ設定，隙間なし設定，墨塗りつぶし設定を行った際に、ソフトウェア３００内のテーブル記憶部３０７に格納されている。また、ここで用いる制限内容は、文書１００１示す内容となっている。即ち、１ページ目の予算，売上の値にＣＤ課課長に対する墨塗りつぶし設定がなされており、また１ページに隙間なし設定がなされており、さらに「田中課長」のみが閲覧許可されたタグが１ページの後半分に設定されている。なお、ここでは、説明のために、実際にはテーブル記憶部３０７に保持されている制限内容を、文書１００１内に追加されているように記載している。

この閲覧制限された文書１００１をＣＤ課課長が復号する場合、ＣＤ課課長には図５（ａ）に示したように墨塗りつぶしの閲覧制限が設定されているために、１００２に示すように、復号された文書の１ページ目の予算，売上の値には"■"文字が表示されて閲覧することができない。

なお、墨塗りつぶし設定の場合にも、墨塗りつぶしされた個所にあった文字列で検索をおこなっても検索結果にデータは返ってこない設定となるが、墨塗りつぶしの場合には、表示や印刷時に"■"文字が墨塗りつぶしされた文字分表示（印刷）され"■"に対応する文字が閲覧不可能となっていることがわかる設定となっている。

また、墨塗りつぶし以上の閲覧制限が設定されているユーザの場合、タグ設定制限も受けることとなる。よって、タグ"＜田中課長＞・・・＜／田中課長＞"で囲まれた個所も表示されない。

また、図１１（ｂ）は図５（ｂ）でユーザデータを編集された「部長」（制限なし）が文書を閲覧した際の表示結果に対応する。

文書１００３の制限内容（タグ設定，隙間なし）は、タグ設定，隙間なし設定を行った際に、ソフトウェア３００内のテーブル記憶部３０７に格納されている。ここで用いる制限内容は、文書１００３に示す内容となっている。即ち、１ページに隙間なし設定がなされており、さらに「田中課長」のみが閲覧許可されたタグが１ページの後半分に設定されている。

そして、図５（ｂ）で示したようにユーザ「部長」の閲覧制限を「なし」と変更設定することにより、変更設定した制限内容の情報がソフトウェア内のテーブル記憶部３０７に保持される。即ち、タグ内にタグを閲覧許可されたユーザ名として"部長"が追加される。なお、ここでは、説明のために、実際にはテーブル記憶部３０７に保持されている制限内容を、文書１００３内に追加されているように記載している。

この閲覧制限された文書１００４を部長が復号する場合、この場合、部長は閲覧制限がないため（ユーザ名がタグに追加されているため）、１００５に示すように、ユーザ部長は復号された文書を全て閲覧することが可能となる。

以下、図１２〜図１５を参照して、本発明の情報処理システムにおける制御処理動作（電子文書の安全化処理動作，安全化された電子文書の閲覧処理動作）について説明する。

図１２は、本発明の情報処理システムにおける第１の制御処理手順の一例を示すフローチャートであり、ユーザが電子文書のファイルを安全化しようとした時に活性化される電子文書の安全化処理に対応する。なお、このフローチャートの処理は、図３に示したＣＰＵ４０１が外部記憶装置４０２からソフトウェア３００をメモリ４０７上にロードして実行することにより実現される。また、図中、Ｓ１３０１〜Ｓ１３０７は各ステップを示す。

まず、安全化を行う電子文書（図１に示した電子文書１００）を指定し、ファイルの安全化を行うのに必要なソフトウェア３００を起動すると、ソフトウェア３００は、図示しないユーザ認証画面をディスプレイ３０９に表示させ、入力装置４０６によりユーザ名と暗証番号を入力させる。そして、ステップＳ１３０１において、ソフトウェア３００の作成部３０２は、図４に示したヘッダ情報設定画面６００をディスプレイ３０９に表示し、入力装置４０６によるヘッダ情報設定画面６００における入力（使用するユーザのアクセス権，電子文書に対する制約を含めた情報の入力）を受け付ける。

ヘッダ情報設定画面６００の安全化ボタン６１５が入力装置４０６により指示されると、ステップＳ１３０２において、作成部３０２は、ヘッダ情報設定画面６００で入力された情報からヘッダ情報（図１に示したヘッダ情報１０３）を作成し、記憶部３０６に格納する。

次に、ステップＳ１３０３において、実行部３０４は、ステップＳ１３０２で作成したヘッダ情報１０３に対してフォーマットに誤りがないか判定し、ヘッダ情報１０３のフォーマットに誤りがあると判断した場合には、ステップＳ１３０７において、入力したフォーマットに誤りがある旨を示すエラー画面をディスプレイ３０９に表示し、処理を終了する。

一方、ステップＳ１３０３で、実行部３０４が、ステップＳ１３０２で作成したヘッダ情報１０３のフォーマットに誤りがないと判断した場合には、ステップＳ１３０４において、ヘッダ情報に記載された内容（図６に示した使用するカギ６１７）に対応する暗号カギ（公開カギ）をカギ記憶部３０８から取得する。

次に、ステップＳ１３０５において、実行部３０４は、ステップＳ１３０４で取得した暗号カギの情報（公開カギ）で電子文書１００を暗号化し、図１に示した暗号化されたデータ１０２を生成し、記憶部３０６に格納する。

次に、ステップＳ１３０６において、実行部３０４は、ステップＳ１３０５で暗号化したデータ１０２とステップＳ１３０２で作成したヘッダ情報１０３からファイルの安全化を行い、図１に示した安全化されたファイル１０４を生成し、外部記憶装置４０２に格納して、処理を終了する。なお、ステップＳ１３０６の安全化処理の際、実行部３０４は、ソフトウェア３００が保持する安全化カギを用いて暗号化したデータ１０２とヘッダ情報１０３とを統合するものとする。

図１３は、本発明の情報処理システムにおける第２の制御処理手順の一例を示すフローチャートであり、ユーザが安全化されたファイルにアクセス（閲覧，安全化解除等）しようとした時に活性化される電子文書の閲覧処理の概略に対応する。なお、このフローチャートの処理は、図３に示したＣＰＵ４０１が外部記憶装置４０２からソフトウェア３００をメモリ４０７上にロードして実行することにより実現される。また、図中、Ｓ１２０１〜Ｓ１２０８は各ステップを示す。

まず、安全化されたファイル１０４を指定し、安全化ファイルされたファイルにアクセスを行うのに必要なソフトウェア３００を起動すると、ステップＳ１２０１において、ソフトウェア３００のヘッダ解析部３０１は、アクセスするように選択された安全化されたファイル１０４を取得し、記憶部３０６に格納する。なお、この安全化されたファイル１０４には、図１に示したように、暗号化されたデータ１０２と使用するユーザのアクセス権や電子文書に対する制約を含めたヘッダ情報１０３とが含まれている。

次に、ステップＳ１２０２において、ヘッダ解析部３０１は、安全化されたファイル１０４に含まれている、暗号化されたデータ１０２とヘッダ情報１０３とを、ソフトウェア３００が保持する安全化カギを用いて分離して、ステップＳ１２０３において、ステップＳ１２０２で分離したヘッダ情報１０３を読み出して暗号化されたデータに対するアクセス権を取得する。そして、図示しないユーザ認証画面をディスプレイ３０９に表示させ、入力装置４０６によりユーザ名と暗証番号を入力させてユーザ認証を行う。

次に、ステップＳ１２０４において、ヘッダ解析部３０１は、ヘッダ情報１０３に設定されているユーザ名６０４と安全化されたファイルを解除する処理を行うのにアクセスしてきたユーザ名（ユーザ認証画面で入力されたユーザ名）とを比較し、アクセスの正当性を判定する。

ステップＳ１２０４で、ヘッダ解析部３０１が、アクセスしているユーザがヘッダ情報１０３に設定されているユーザでなくアクセスが不正なものであると判断した場合には、ステップＳ１２０８において、ヘッダ解析部３０１は、アクセスが不正であった旨を示すエラー画面をディスプレイ３０９に表示し、処理を終了する。

一方、ステップＳ１２０４で、ヘッダ解析部３０１が、アクセスしているユーザがヘッダ情報１０３に設定されているユーザでありアクセスが正当なものであると判断した場合には、ステップＳ１２０５において、ヘッダ解析部３０１は、暗号化された電子データ１０２を復号化するのに必要なカギ情報（使用するカギ６１９）をヘッダ情報１０３より取得する。

次に、ステップＳ１２０６において、実行部３０４は、ステップＳ１２０５で取得したカギ情報に対応する秘密カギをカギ記憶部３０８より取得して、該取得したカギにより暗号化された電子データ１０２を復号化してメモリ４０７に格納する。

そして、ステップＳ１２０７において、実行部３０４は、ステップＳ１２０６で復号化された電子文書に対応するアプリケーションプログラムを起動させ、電子文書をディスプレイ３０９に表示させ、処理を終了する。

図１４，図１５は、本発明の情報処理システムにおける第３の制御処理手順の一例を示すフローチャートであり、図１３に示したステップＳ１２０３〜Ｓ１２０８の詳細なフローチャートに対応する。なお、このフローチャートの処理は、図３に示したＣＰＵ４０１が外部記憶装置４０２からソフトウェア３００をメモリ４０７上にロードして実行することにより実現される。また、図中、Ｓ１４０１〜Ｓ１４０９，Ｓ１５０１〜Ｓ１５１４は各ステップを示す。

まず、ステップＳ１４０１において、ヘッダ解析部３０１は、安全化されたファイル１０４から分離されたヘッダ情報１０３取得し、記憶部３０６に格納する。

次に、ステップＳ１４０２において、ヘッダ解析部３０１は、図示しないユーザ認証画面をディスプレイ３０９に表示させて、入力装置４０６によりユーザ名と暗証番号を入力させてユーザ認証を行う。

次に、ステップＳ１４０３において、ヘッダ解析部３０１は、ヘッダ情報１０３に設定されているユーザ名６０４と安全化されたファイルを解除する処理を行うのにアクセスしてきたユーザ名（ユーザ認証画面から取得したユーザ名）とを比較し、アクセスの正当性を判定する。

そして、ステップＳ１４０３で、ヘッダ解析部３０１が、アクセスしているユーザがヘッダ情報１０３に設定されているユーザでなくアクセス権がないと判断した場合には、ステップＳ１４０４において、ヘッダ解析部３０１は、アクセス権がない旨を示すエラーメッセージ画面をディスプレイ３０９に表示させ、処理を終了する。

一方、ステップＳ１４０３で、ヘッダ解析部３０１が、アクセスしているユーザがヘッダ情報１０３に設定されているユーザでありアクセス権があると判断した場合には、図示しないステップにより、ユーザの権限に応じて、ヘッダ情報を図４に示したヘッダ情報設定画面６００の形式でディスプレイ３０９上に表示し、ユーザに確認させる。なお、このとき、管理者権限を有するユーザには、ヘッダ情報を編集可能に表示制御し、管理者権限を有さないユーザには、ヘッダ情報を編集不可能に表示制御する。また、ここで、ヘッダ情報が編集され、安全化ボタン６１５が指示された場合には、図１２のステップＳ１３０３の処理に移行するものとする。

次に、ステップＳ１４０５において、ヘッダ解析部３０１が、暗号化された電子文書１０２を復号するためのカギ情報をヘッダ情報１０３の使用するカギ６１９から取得する。

次に、ステップＳ１４０６において、ヘッダ解析部３０１は、ステップＳ１４０５で取得したカギ情報に対応する秘密カギが、記憶部３０６のカギ記憶部３０８に保存されているか否かを判定し、対応する秘密カギがカギ記憶部３０８に存在しないと判断した場合には、ステップＳ１４０７において、ヘッダ解析部３０１は、復号するためのカギがない旨を示すエラーメッセージ画面をディスプレイ３０９に表示させ、処理を終了する。

一方、ステップＳ１４０６で、ヘッダ解析部３０１は、ステップＳ１４０５で取得したカギ情報に対応する秘密カギが記憶部３０６のカギ記憶部３０８に存在すると判断した場合には、ステップＳ１４０８において、実行部３０４は、該秘密カギにより、暗号化されたデータ１０２を復号化する。

次に、ステップＳ１４０９において、実行部３０４は、復号化されたデータをファイルにするのではなくメモリ上（記憶部３０６のメモリ４０７に対応する領域）に保持する。これは、内部データにしておくことでユーザへはまだ復号化されていないように見せるためである。

次に、ステップＳ１５０１において、実行部３０４は、ヘッダ情報１０３のアクセス権一覧６０１に基づいてソフトウェア３００を実行しているユーザ（ステップＳ１４０２で認証されたユーザ）に閲覧制限があるか否かを判定し、閲覧制限がないと判定した場合には、ステップＳ１５０５に処理を進め、復号化されたデータをそのままファイルへと書き出す処理に移行する。

一方、ステップＳ１５０１で、実行部３０４が、ソフトウェア３００を実行しているユーザ（ステップＳ１４０２で認証されたユーザ）に閲覧制限があると判定した場合には、ステップＳ１５０２において、実行部３０４は、ヘッダ情報１０３内で該当するユーザの閲覧制限が「タグ設定」であるか否かを判定し、「タグ設定」であると判定した場合には、ステップＳ１５０３に処理を進める。

ステップＳ１５０３では、実行部３０４は、テーブル記憶部３０７から文書名に対応するタグ設定のうち当該ユーザが記載されていないタグの開始位置と終了位置を取得し、ステップＳ１５０４において、メモリ４０７上に保持されている復号化されたデータから、ステップＳ１５０３で取得したタグで括られている文字列データを全て抽出する。

次に、ステップＳ１５０５において、実行部３０４は、ステップＳ１５０４で抽出した文字列データを全て空白" "で置換してメモリ上の復号化されたデータに上書きし、ステップＳ１５０６に処理を進める。このデータ置換により、タグ指定された部分データが見えなくなる。

一方、ステップＳ１５０２で、実行部３０４が、ヘッダ情報１０３内で該当するユーザの閲覧制限が「タグ設定」でないと判定した場合には、ステップＳ１５０８において、実行部３０４は、ヘッダ情報１０３内で該当するユーザの閲覧制限が「隙間なし」であるか否かを判定し、「隙間なし」でないと判定した場合には、ステップＳ１５１２に処理を進める。

ステップＳ１５１２では、実行部３０４は、テーブル記憶部３０７から文書名に対応する墨塗りつぶし設定のうち当該ユーザが指定されている墨塗りつぶし位置を取得し、ステップＳ１５１３において、メモリ４０７上の復号化されたデータから墨塗りつぶし指定文字を抽出する。

次に、ステップＳ１５１４において、実行部３０４は、ステップＳ１５１３で抽出した文字データに対応するデータを全て"■"で置換してメモリ上の復号化されたデータに上書きする。このデータ置換により、ユーザヘはデータが表示されないが何かデータが隠れている程度のことを知らせることができる。なお、墨塗りつぶし制限の場合には、タグ設定の制限も受けるため、ステップＳ１５１４の後、ステップＳ１５０３に処理を移行させる。

一方、ステップＳ１５０８、実行部３０４が、ヘッダ情報１０３内で該当するユーザの閲覧制限が「隙間なし」であると判定した場合には、ステップＳ１５０９において、実行部３０４は、テーブル記憶部３０７から文書名に対応する隙間なし設定のうち当該ユーザが指定されている隙間なし開始位置，終了位置を取得し、ステップＳ１５１０において、メモリ４０７上の復号化されたデータから隙間なし開始位置／終了位置を抽出する。

次に、ステップＳ１５１１において、実行部３０４は、ステップＳ１５０９で抽出した隙間なし開始位置／終了位置で特定されるデータをメモリ４０７上の復号化されたデータから削除する。削除することでデータは存在しないこととなり閲覧するときにはその部分が存在しないようになる。なお、隙間なし制限の場合には、墨塗りつぶし，タグ設定の制限も受けるため、ステップＳ１５１１の後、ステップＳ１５１２に処理を移行させる。

そして、ステップＳ１５０６において、実行部３０４は、メモリ４０７で保持しているデータをヘッダ情報１０３のファイル情報６１４で指定されているファイル名のファイルとして外部記憶装置４０２上に作成する。なお、ユーザは復号化されたデータを受け取る場合は、閲覧制限が反映された内容になったこのファイルをうけとることになる。

次に、ステップＳ１５０７において、実行部３０４は、作成したファイルを外部アプリケーションによって起動させ、処理を終了する。これにより、復号化と同時にファイルを開くことができる。付け加えておくと、実行部３０４は、閲覧制限で開いたファイルの編集、保存はできないように制御するものとし、その他の設定はヘッダ情報１０３のファイル制限６１１に従って実行部３０４が制御するものとする。これらの制御は、実行部３０４がアプリケーションから指示されるＯＳの機能をブロックする等の方法により実行可能となる。

以上の処理により、ヘッダ情報１０３に編集可能かどうかを示す情報（ファイル制限６１１）を設定することにより、ファイルの再利用や電子文書の編集を行うことができる。

また、ファイルの安全化を行うためのヘッダ情報１０３の作成や、ヘッダ情報１０３の編集や更新にＧＵＩ（図４に示したヘッダ情報設定画面６００）が提供されているため、ユーザはヘッダ情報の中身を随時容易に確認することができる。

さらに、暗号化した電子データ１０２をヘッダ情報１０３と合わせて安全化することで、従来のシステム管理者が提供していたシステムと同等のセキュリティをファイル単位で実現することができる。

また、暗号化した電子データ１０２に対して、それを復号化した際の部分的な閲覧制限を設定する（制限項目６０７，図７〜図９）ことができるため、より柔軟にセキュリティを設定することができる。

さらに、暗号化した公開カギ情報のみを、ヘッダ情報１０３に記載するため、仮にヘッダ情報が不正な手段により読み取られることがあったとしても、復号化するのに必要な秘密カギを入手することができず、暗号化されたデータ１０２を読み取ることはできない。また、カギの管理も容易である。

〔第２実施形態〕
上記第１実施形態では、図３に示した情報処理装置２００により、全て処理する構成について説明したが、２００をサーバ装置として、サーバ装置２００とネットワークを介して接続されるクライアント装置からの要求に基づいて、サーバ装置２００内に記憶されるファイルの安全化処理，閲覧処理を行うように構成してもよい。なお、この場合、入力はクライアント装置の入力装置４０６から行われ、表示はクライアント装置のディスプレイ３０９で行われることとなる。

〔第３実施形態〕
上記第１実施形態では、設定されたタグ設定開始／終了位置，墨塗りつぶし位置，隙間なし開始／終了位置等の電子文書の部分的な制限内容を、テーブル記憶部３０７に保存する構成について説明したが、ヘッダ情報１０３の作成時に、電子文書１００内に追記して保存するように構成しても、ヘッダ情報１０３内に保存するように構成しても、ヘッダ情報とは異なるデータとし、ヘッダ情報１０３とともに、安全化されたファイル１０４内に統合して安全化するように構成してもよい。

この場合、図１２に示した安全化処理を行う装置と、図１３〜図１５に示した閲覧処理を行う装置が、異なる装置であってもよい。但し、図１２に示した安全化処理を行う装置のカギ記憶部３０８内に保持される公開カギと、図１３〜図１５に示した閲覧処理を行う装置のカギ記憶部３０８内に保持される秘密カギとが、対応するものである必要がある。また、双方の装置の安全化カギも対応するものである必要がある。

〔第４実施形態〕
上記第１実施形態では、図４に示したヘッダ情報設定画面６００のユーザ名６０４において設定されたユーザ名に対して、タグ設定を行う構成について説明したが、タグ設定できる内容をユーザ名に限定しないように設定可能に構成してもよい。

つまり、図９に示したタグ設定制限内容設定画面において、ユーザ名の変わりに、文字列，数字，数式，論理式等よる閲覧可能条件をタグに設定することにより、特定のユーザ指定の閲覧制限でなく、特定の文字列，数字，論理式等の閲覧可能条件に合致する場合のみ、閲覧可能なように構成してもよい。具体的には、タグに閲覧可能期間を示す日付や時間帯に対応する文字列が設定されていた場合、その閲覧可能期間の間のみ閲覧可能となる。

また、墨塗りつぶしの閲覧制限については、上記実施形態の設定とは逆に（即ち、タグ設定と同様に）閲覧可能なユーザを設定するように構成してもよい。

これにより、個人情報等の表示されている部分が、指定ユーザのみだけ表示され他のユーザはデータが存在するが表示されていない墨塗り状態となる。

さらに、アクセス権一覧６０１のユーザ名にＡＬＬを設定することにより、安全化されたファイルは全ユーザに閲覧可能であるが、一方で全ユーザに一様な閲覧制限を設定することが可能となる。なお、この場合、ＡＬＬに管理者権限のあるユーザのみは含まれないように構成してもよい。

なお、上述した各種データの構成及びその内容はこれに限定されるものではなく、用途や目的に応じて、様々な構成や内容で構成されることは言うまでもない。

以上、一実施形態について示したが、本発明は、例えば、システム、装置、方法、プログラムもしくは記録媒体等としての実施態様をとることが可能であり、具体的には、複数の機器から構成されるシステムに適用しても良いし、また、一つの機器からなる装置に適用しても良い。

以上説明したように、ソフトウェア３００は、電子文書を安全化する際、暗号カギとアクセス権限情報と部分的な閲覧制限情報とヘッダ情報の編集権限とを含むヘッダ情報を作成し、暗号カギにより電子文書を暗号化し、暗号化された電子文書とヘッダ情報とを統合して安全化されたファイルを生成するようにし、一方、安全化された電子文書を閲覧する際、安全化されたファイルを暗号化された電子文書と前記ヘッダ情報とに分離して、ヘッダ情報内のアクセス権限に基づいて電子文書へのアクセスを許可／拒否し、アクセスが許可した場合、ヘッダ情報内の暗号カギに基づいて対応する復号カギを取得し、復号カギにより、暗号化された電子文書を復号化し、ヘッダ情報内の閲覧制限情報に基づいて、復号化された電子文書の部分的な閲覧制御することにより、従来のシステム管理者が提供していたシステムと同等のセキュリティをファイル単位で確保でき、また、もともとある電子文書のアクセス権を動的に変更して再利用して安全化されたファイルを作成するユーザの手間を減少させることができ、さらに、復号化された電子文書内でデータを部分的に閲覧可能／不可能にするように制限をかける緻密なアクセス制御を行うことができる情報処理システムを構築することが可能となる。

以下、図１６に示すメモリマップを参照して本発明に係る情報処理システムを構成する情報処理装置で読み取り可能なデータ処理プログラムの構成について説明する。

図１６は、本発明に係る情報処理システムを構成する情報処理装置で読み取り可能な各種データ処理プログラムを格納する記録媒体（記憶媒体）のメモリマップを説明する図である。

なお、特に図示しないが、記録媒体に記憶されるプログラム群を管理する情報、例えばバージョン情報，作成者等も記憶され、かつ、プログラム読み出し側のＯＳ等に依存する情報、例えばプログラムを識別表示するアイコン等も記憶される場合もある。

さらに、各種プログラムに従属するデータも上記ディレクトリに管理されている。また、インストールするプログラムやデータが圧縮されている場合に、解凍するプログラム等も記憶される場合もある。

本実施形態における図１２，図１３，図１４，図１５に示す機能が外部からインストールされるプログラムによって、ホストコンピュータにより遂行されていてもよい。そして、その場合、ＣＤ−ＲＯＭやフラッシュメモリやＦＤ等の記録媒体により、あるいはネットワークを介して外部の記録媒体から、プログラムを含む情報群を出力装置に供給される場合でも本発明は適用されるものである。

以上のように、前述した実施形態の機能を実現するソフトウェアのプログラムコードを記録した記録媒体を、システムあるいは装置に供給し、そのシステムあるいは装置のコンピュータ（またはＣＰＵやＭＰＵ）が記録媒体に格納されたプログラムコードを読出し実行することによっても、本発明の目的が達成されることは言うまでもない。

この場合、記録媒体から読み出されたプログラムコード自体が本発明の新規な機能を実現することになり、そのプログラムコードを記憶した記録媒体は本発明を構成することになる。

プログラムコードを供給するための記録媒体としては、例えば、フレキシブルディスク，ハードディスク，光ディスク，光磁気ディスク，ＣＤ−ＲＯＭ，ＣＤ−Ｒ，ＤＶＤ−ＲＯＭ，磁気テープ，不揮発性のメモリカード，ＲＯＭ，ＥＥＰＲＯＭ，シリコンディスク等を用いることができる。

また、コンピュータが読み出したプログラムコードを実行することにより、前述した実施形態の機能が実現されるだけでなく、そのプログラムコードの指示に基づき、コンピュータ上で稼働しているＯＳ（オペレーティングシステム）等が実際の処理の一部または全部を行い、その処理によって前述した実施形態の機能が実現される場合も含まれることは言うまでもない。

さらに、記録媒体から読み出されたプログラムコードが、コンピュータに挿入された機能拡張ボードやコンピュータに接続された機能拡張ユニットに備わるメモリに書き込まれた後、そのプログラムコードの指示に基づき、その機能拡張ボードや機能拡張ユニットに備わるＣＰＵ等が実際の処理の一部または全部を行い、その処理によって前述した実施形態の機能が実現される場合も含まれることは言うまでもない。

また、本発明は、複数の機器から構成されるシステムに適用しても、１つの機器からなる装置に適用してもよい。また、本発明は、システムあるいは装置にプログラムを供給することによって達成される場合にも適応できることは言うまでもない。この場合、本発明を達成するためのソフトウェアによって表されるプログラムを格納した記録媒体を該システムあるいは装置に読み出すことによって、そのシステムあるいは装置が、本発明の効果を享受することが可能となる。

さらに、本発明を達成するためのソフトウェアによって表されるプログラムをネットワーク上のサーバ，データベース等から通信プログラムによりダウンロードして読み出すことによって、そのシステムあるいは装置が、本発明の効果を享受することが可能となる。

なお、上記各実施形態およびその変形例のいずれか又は全てを組み合わせた構成も全て本発明に含まれるものである。

以上示したように、本発明の情報処理システムは、セキュリティ情報（カギに関する情報）やアクセス権を含むヘッダ情報と電子文書を暗号化したデータから独自にファイルの安全化を行ってファイル１つ１つに制限をもたせることにより、従来のシステム管理者が提供していたシステムと同等のセキュリティをファイル単位で確保できるシステムを提供することができる。

また、ヘッダ情報自体のアクセス権をもたせることで、ヘッダ情報の編集や更新といった制限を行うことができ、もともとある電子文書のアクセス権を動的に変更して再利用することができ、安全化されたファイルを作成するユーザの手間を減少させることができる。

さらに、復号化された電子文書内で、データを部分的に閲覧可能／不可能にするように制限をかけることにより、緻密なアクセス制御を行うことができる。

また、ヘッダ情報に電子文書へのアクセスを制御するセキュリティ情報を持つことと、本質的には、いつ／どこで／誰が／どのように、安全化されたファイルにアクセスできるか決定した内容を持つことと、暗号カギにしたがって暗号化された電子データとを組み合わせて持つフォーマットを提供することにより、ヘッダ情報と暗号化されたデータよりファイルの安全化を行うシステムをファイル単位で実現することができる。

さらに、暗号化された電子データは、ヘッダ情報に記述された公開カギの情報に関連する秘密カギ（カギ記憶部３０６に保持される）で復号化することにより、カギの管理を容易にすることができる。

従って、以上示した情報処理システムは、既に存在する電子文書を暗号化し、暗号カギ、セキュリティ情報やアクセス権を含むヘッダ情報とを組み合わせた新たな安全化されたファイルを生成する手段と、安全化されたファイルから電子文書を取り出し閲覧する手段とを有することにより、安全且つ緻密に電子文書のアクセス制限を行うことができるシステムを構築することが可能となる。

本発明の第１実施形態を示す情報処理システムにより電子文書を安全化する構成の概要を示す模式図である。 本発明の一実施形態を示す情報処理システムにおけるソフトウェア構成を示すブロック図である。 本発明の一実施形態を示す情報処理システムのハードウェア構成を示すブロック図である。 図１に示したヘッダ情報を作成するにあたり必要となるデータの設定を行うためのヘッダ情報設定画面である。 図４に示したアクセス権一覧のユーザ情報の新規登録・編集・削除画面の一例を示す模式図である。 図４の制限項目で設定される安全化されたファイル内での閲覧制限に対する制限方法のリスト一覧を示す模式図である。 図４に示したアクセス権一覧の制限項目に対応する「墨塗りつぶし」の制限内容設定画面の一例を示す模式図である。 図４に示したアクセス権一覧の制限項目に対応する「隙間なし」の制限内容設定画面の一例を示す模式図である。 図４に示したアクセス権一覧の制限項目に対応する「タグ設定」の制限内容設定画面の一例を示す模式図である。 生成された電子文書に対して「タグ設定」と「隙間なし」の閲覧制限設定を実施した場合に、安全化されたファイルを復号化した際の表示結果の一例を示す模式図である。 生成された電子文書に対して「タグ設定」と「隙間なし」と「墨塗りつぶし」の閲覧制限設定を実施した場合に、安全化されたファイルを復号化した際の表示結果の一例を示す模式図である。 本発明の情報処理システムにおける第１の制御処理手順の一例を示すフローチャートである。 本発明の情報処理システムにおける第２の制御処理手順の一例を示すフローチャートである。 本発明の情報処理システムにおける第３の制御処理手順の一例を示すフローチャートである。 本発明の情報処理システムにおける第３の制御処理手順の一例を示すフローチャートである。 本発明に係る情報処理システムを構成する情報処理装置で読み取り可能な各種データ処理プログラムを格納する記録媒体（記憶媒体）のメモリマップを説明する図である。

符号の説明

１００ 生成された文書
１０２ 暗号化されたデータ
１０３ ヘッダ情報
１０４ 安全化されたファイル
３００ ソフトウェア
３０１ ヘッダ解析部
３０２ 作成部
３０４ 実行部
３０６ 記憶部
３０７ テーブル記憶部
３０８ カギ記憶部
３０９ ディスプレイ
２００ 端末
４００ 通信インタフェース
４０１ 演算処理装置（ＣＰＵ）
４０２ 外部記憶装置（外部メモリ）
４０３ 読取装置
４０４ ＯＳ
４０５ 表示制御装置（グラフィックカード）
４０６ 入力装置（キーボード、マウス）
４０７ メモリ（ＲＡＭ）

Claims (12)

1. 電子文書を安全化する安全化手段と、前記安全化手段により安全化された電子文書の閲覧を行う閲覧手段とを有する情報処理システムにおいて、
   前記安全化手段は、
   電子文書を暗号化する第１のカギ情報を記憶する第１の記憶手段と、
   前記第１のカギ情報を特定する情報と前記電子文書のアクセス権限を有するユーザ情報と前記電子文書の部分的な閲覧制限情報とを含むヘッダ情報を作成するヘッダ情報作成手段と、
   前記第１のカギ情報により電子文書を暗号化するとともに、該暗号化された電子文書と前記ヘッダ情報とを統合して安全化されたファイルを生成する安全化実行手段と、を有するものであり、
   前記閲覧手段は、
   前記第１のカギ情報に対応する第２のカギ情報を記憶する第２の記憶手段と、
   前記安全化されたファイルを前記暗号化された電子文書と前記ヘッダ情報とに分離するとともに、該分離されたヘッダ情報内の前記電子文書のアクセス権限を有するユーザ情報と入力されるユーザ情報とに基づいて前記電子文書へのアクセスを許可又は拒否するように制御し、前記電子文書へのアクセスが許可された場合、前記ヘッダ情報に含まれる第１のカギ情報を特定する情報に基づいて前記第２の記憶手段から前記第２のカギ情報を取得するヘッダ情報解析手段と、
   前記ヘッダ情報解析手段により取得された第２のカギ情報により、前記暗号化された電子文書の復号化を実行するとともに、前記ヘッダ情報に含まれる電子文書の部分的な閲覧制限情報に基づいて、前記復号化された電子文書の部分的な閲覧制御を実行する閲覧実行手段と、を有することを特徴とする情報処理システム。
2. 前記安全化実行手段は、前記暗号化された電子文書と前記ヘッダ情報とを第３のカギ情報を用いて統合して安全化されたファイルを生成するものであり、
   前記ヘッダ情報解析手段は、前記第３のカギ情報を用いて前記安全化されたファイルを前記暗号化された電子文書と前記ヘッダ情報とに分離することを特徴とする請求項１記載の情報処理システム。
3. 前記電子文書の部分的な閲覧制限情報は、前記電子文書内の指定部分を空白情報に置き換えた状態で閲覧させる第１の閲覧制限を指定する情報，前記電子文書内の指定部分を塗りつぶし情報に置き換えた状態で閲覧させる第２の閲覧制限を指定する情報，前記電子文書内の指定部分を削除した状態で閲覧させる第３の閲覧制限を指定する情報を含むことを特徴とする請求項１又は２記載の情報処理システム。
4. 前記第１の閲覧制御を指定する情報は、閲覧可能なユーザ情報の指定情報を含み、前記第２の閲覧制御を指定する情報は、閲覧不可能なユーザ情報の指定情報を含み、前記第３の閲覧制御を指定する情報は、閲覧不可能なユーザ情報の指定情報を含むこと特徴とする請求項３記載の情報処理システム。
5. 前記第１〜３の閲覧制御を指定する情報は、閲覧可能なユーザ情報の指定情報を含むこと特徴とする請求項３記載の情報処理システム。
6. 前記ヘッダ情報は、ヘッダ情報の編集権限を有するユーザ情報を含むものであり、
   前記安全化手段は、前記安全化されたファイルを前記暗号化された電子文書と前記ヘッダ情報とに分離するとともに、該分離されたヘッダ情報内のヘッダ情報の編集権限を有するユーザ情報と入力されるユーザ情報とに基づいて、前記ヘッダ情報作成手段による前記ヘッダ情報の編集を許可又は拒否制御する編集許可制御手段を有することを特徴とする請求項１〜５のいずれかに記載の情報処理システム。
7. 前記第１の記憶手段は、前記第１のカギ情報を複数機能可能であり、
   前記ヘッダ情報作成手段は、前記第１の記憶手段に記憶される複数の第１のカギ情報から前記電子文書を暗号化する第１のカギ情報を選択する選択手段を有することを特徴とする請求項６記載の情報処理システム。
8. 前記安全化手段と前記閲覧手段とを有する１つの情報処理装置で構成されることを特徴とする請求項１〜７のいずれかに記載の情報処理システム。
9. 前記安全化手段を有する第１の情報処理装置と前記閲覧手段を有する第２の情報処理装置とで構成されることを特徴とする請求項１〜７のいずれかに記載の情報処理システム。
10. 電子文書を暗号化するメモリ内に保持される第１のカギ情報を特定する情報と前記電子文書のアクセス権限を有するユーザ情報と前記電子文書の部分的な閲覧制限情報とを含むヘッダ情報を作成するヘッダ情報作成ステップと、
    前記第１のカギ情報により電子文書を暗号化するとともに、該暗号化された電子文書と前記ヘッダ情報とを統合して安全化されたファイルを生成する安全化実行ステップと、
    前記安全化されたファイルを前記暗号化された電子文書と前記ヘッダ情報とに分離するとともに、該分離されたヘッダ情報内の前記電子文書のアクセス権限を有するユーザ情報と入力されるユーザ情報とに基づいて前記電子文書へのアクセスを許可又は拒否するように制御し、前記電子文書へのアクセスが許可された場合、前記ヘッダ情報に含まれる第１のカギ情報を特定する情報に基づいて前記第１のカギ情報に対応する第２のカギ情報をメモリ内から取得するヘッダ情報解析ステップと、
    該取得された第２のカギ情報により、前記暗号化された電子文書の復号化を実行するとともに、前記ヘッダ情報に含まれる電子文書の部分的な閲覧制限情報に基づいて、前記復号化された電子文書の部分的な閲覧制御を実行する閲覧実行ステップと、
    を有することを特徴とする電子文書安全化方法。
11. 請求項１０に記載された電子文書安全化方法を実行するためのプログラム。
12. 請求項１０に記載された電子文書安全化方法を実行するためのプログラムをコンピュータが読み取り可能に記憶した記録媒体。

Images