機密ファイル保護・管理システム
ファイル暗号化システムのご紹介
株式会社ネスコ
ＩＴシステム事業部
セキュリティ対策の
方法・種類
暗号化対策が求められるのは？
ファイアウオール
ウイルス検出
マルウェア検出
侵入検知
振る舞い検知
持ち出し禁止
外部デバイス制御
ファイアウォール
プロキシサーバ
フィルタリング
通信先制御
新しい手法による侵入、
ターゲットを絞ったマルウェア
新しいデバイス
新しい通信先
顧客のサーバを踏み台にして通信
新しい、ターゲットを絞った攻撃、
新しいデバイス
通常業務に隠れた通信の利用など
常に対策を重ねていっても防止できる
かは？？？？？？
だったら
盗られても大丈夫な
暗号化対策
入
口
対
策
出
口
対
策
セキュリティ対策のレベルとDRM
（Digital Rights Management）
3 盗難・紛失：OK ウイルス：NG 操作・作業ミス：NG 故意の漏洩：NG① 初期のセキュリティ対策 → 持出しPC・USBメモリ対策
② 漏洩を検知する → 故意の漏洩の抑制効果と犯人の特定
盗難・紛失：NG ウイルス：NG 操作・作業ミス：NG 故意の漏洩：抑止効果③ 漏洩しないようにする → 持出しをさせない
盗難・紛失：OK ウイルス： NG 操作・作業ミス：NG 故意の漏洩：抑止効果⑤ 標的攻撃、内部からの漏洩 → ファイルをどこまでも保護
ハードディスク暗号化
ログの監視
データの持出し制御
ファイル単位の
暗号化＆管理
個人の運用ではダメ！
ログ監視では防止できない！
社内外での利用が必要！
盗難・紛失：OK ウイルス：OK 操作・作業ミス：OK 故意の漏洩：OK強
弱
盗難・紛失：OK ウイルス： NG 操作・作業ミス：OK 故意の漏洩：OKシンクライアント化
初期導入コストがネック！
④ 端末側にデータを残さない → 持出しをさせない
セ
キ
ュ
リ
テ
ィ
対
策
の
レ
ベ
ル
DRM
デジタル 著作権管理データ流出防止ソリューションとDRM
認証アクセス Aグループ E-Mail Cグループ Bグループ のメンバー ZIP自動暗号化 パスワード送信 送信履歴取得 E-Mail Bグループ Bグループ のメンバー パスワード付 USBメモリ活用 による保護 社 内 社 外 DRM ファイルを どこまでも 暗号化＆保護 ファイルそのものを 暗号化 デバイスへの アクセスを制限 操作ログの取得 デバイス制御 データ持出を 制限 添付ファイル をZIP暗号化 ﾒｰﾙｾｷｭﾘﾃｨ パスワード付 メールを徹底 外 出 データ持ち出し 閲覧の停止 権限の変更 操作ログの取得 閲覧の停止 権限の変更可 操作ログの取得 認証アクセス オフライン機能 社外関係者漏洩
漏洩
解読
不可
解読
不可
部外者 暗号化状態 のまま利用○
○
復号化 して利用△
△
事故や故意による 二次漏洩を防げる のはDRMのみ 各種ソリューションを適材適所で共存利用することが可能、ただし二次漏洩を防ぐにはDRMの導入が最も有効 有効期間 権限制御 画面コピー不可 復号化するので 事故や故意でのDRM製品の種類と特長
5種 類
技 術
製 品
特
長
ビューアタイプ 特定のフォーマットに 変換されたファイルを 専用のリーダで閲覧 Adobe Reader DocuWorks SkyPDF アプリケーションから特定フォーマットに変換し て利用。 閲覧・印刷の制御は行えるが編集ができない。 元のアプリケーションの機能が使えない。 アプリケーション プラグイン制御 タイプ 主にアプリケーション のインターフェースを 制御 IRM（マイクロソフト） EMC Documentum IRM DocumentSecurityPirates Buster for Document
EUCSecure アプリケーションの機能がそのまま利用可能。 適用可能なアプリがWORD、EXCEL、 PowerPoint、AdobeReaderなどに制限される。 適用アプリケーション毎の開発・サポートが 必要。 アプリケーション・ 拡張子登録制御 タイプ アプリケーションと関 連する拡張子を登録 し制御
InfoCage File Shell InterSafe IRM TotalFileGuard TrustView アプリケーションの機能がそのまま利用可能。 ほとんどのアプリに適用可能。 アプリケーションごとに関連する拡張子を調査 し登録しなければならない。 CADシステムなどの複雑なアプリケーションへ の適用に長い時間を要する。 セキュリティホールが生じやすい。 WindowsOS制御 タイプ WindowsAPI制御と フィルタドライバ制御 により、OSの入出力 全般を制御 DataClasys アプリケーションの機能がそのまま利用可能。 ほとんどのアプリに適用可能。 アプリケーションと関連するプロセスの登録す ることで利用可能。 CADシステムなどの複雑なアプリケーションへ の適用が比較的短期に行える。 ファイル毎に異なる権限管理が可能。
WindowsOS制御タイプ ⇒ DataClasys
ハードウェア
OS
デバイスドライバ
API
アプリケーション
ユーザーインターフェース
Microsoft
Office
Adobe
Acrobat
アプリケーションCAD
記憶装置
ネットワーク カードファイルシステムドライバ
ネットワーク ドライバWindows API
モニタ
キーボード
マウス
DataClasys API制御
DataClasys フィルタドライバ
● アプリケーションや拡張子が限定されない
● 機能や操作方法が変わらない
● アプリのバージョンアップに対応が不要
● ファイル毎に異なる権限管理が可能
DataClasys
製品説明
DataClasys 特長
1．フォルダ保存での
自動暗号化
ファイル単位で右クリックし、メニューから例えば業務委託先閲覧用や
編集用等の機密区分や有効期限の設定が可能です。
フォルダに機密区分を設定することで、ファイルをこのフォルダに入れるだけで暗号化
ファイルを簡単に生成することができます。
ダイレクト暗号化フォルダ機能を利用すると特定のフォルダに
は暗号化ファイルを開いてそのまま別名保存や拡張子を変えて
保存することができます。
保存対象となるフォルダに設定された条件で自動的に暗号化
ファイルとして生成され、このフォルダ以外への保存は禁止されます
。
２．暗号化管理されたファイルの利用はほとんど従来通りの操作
暗号化されたファイルは機密性を保ったまま、平文ファイル
（暗号化されていないファイル）と同じ操作で利用できます。
マクロ、リンクも権限があればそのまま利用可能、もちろん
ファイル名、拡張子もそのままです。
実際の暗号化イメージ
9①右クリックで暗号化
右クリックでフォルダやファイルを個別に暗号化 フォルダ配下のファイルはまとめて暗号化できます。②共有フォルダへコピー
ポリシーに応じたフォルダーにコピーをして暗号化後、 メールなどで海外の担当者へ送信します。機密ファイル利用者
ポリシーに応じた
権限で利用可能
DataClasys 特長
３．ファイル形式に依存せず、あらゆるデータをファイル単位で
暗号化したまま利用可能
DataClasys 最大の特長
OSに独自のドライバーを組込む技術により、あらゆる機密情報ファイルに対する操作を制御す
ることが可能です。
・Microsoft Word、Excel、PowerPointや一太郎、PDFなどの
オフィス系ファイル
・AutoCAD、CATIAなどの
CAD系ファイル
・Visioなどの
技術系ファイル
・Photoshop、動画などの
マルチメディア系ファイル
を
はじめとするほとんどのファイルをコントロール可能。
しかも複数の異なるアプリケーションで暗号化ファイルを操作できます。
DataClasys 特長
11・最新版（ver5：2009/5リリース）以後は Unicode（UTF-8） 対応
・”韓国語版”をリリース（2009/9）
・”中国語版（簡体字）”をリリース（2010/8）
・“英語版”をリリース（2012/11）
４．多言語に対応
中国語
英語
韓国語
DataClasys システム基本構成
DataClasysは、リレーショナルデータベース（PostgreSQL）を採用、
対障害性の向上をサーバの二重化により実現、DataClasysユーザ
クライアントはプライマリーサーバと通信できない場合は、セカンダリーサーバに
自動的に接続します。
■
DataClasys サーバ
利用者の利用権限についての判断を行い、権限に応じ た復号用の鍵情報などを配信するプログラムです。■
DataClasys マネージャクライアント
ユーザ登録、利用権限の付与、管理者権限の付与、 ユーザ操作履歴の管理などを行なうプログラムです。■
DataClasys ユーザクライアント
利用者のPCで動作するプログラムです。■
DataClasys IDファイル
利用者が持つ鍵情報ファイルです。機密ファイルを利用 する際に必須、本人承認などを行う重要なファイル、 USBメモリなどに収納し、安全に管理することも可能で す。有効期限の設定もできます。■
フォルダ自動暗号化
ファイルサーバなどの共有ファルダ内にファイルが保存 されるとこれを監視し、自動的に暗号化します。既存の サーバだけでなくｸﾗｲｱﾝﾄPC内のフォルダでも利用可能 です。 DataClasys フォルダ自動暗号化 プライマリサーバ セカンダリサーバ基本構成
DataClasys サーバ DataClasys マネージャクライアント ファイルサーバ DataClasys ユーザクライアント DataClasys ＩＤファイルDataClasys 動作環境
All Rights Reserved Copyright(c) 2017, NESCO Co., Ltd
13 ※ 仮想環境での動作は、仮想プラットフォームを提供するベンダにより動作保障範囲が異なるため、 お客様による障害切分けを前提としてお使いいただくことがあります。 ※ メーカーによるサポート終了製品への対応はご相談ください。 ※1 シンクライアントはVDI方式、SBC方式に対応。 ※2 NASなどの専用OSで動作するファイルサーバを対象にフォルダ自動暗号化を設定する場合に必要となります。
DataClasys ユーザクライアント
Windows XP (32bit) Windows Vista（32/64bit) Windows 7（32/64bit) Windows 8（32/64bit) Windows 8.1(32/64bit) Windows 10（32/64bit) 注)仮想デスクトップの上記ゲストOSでも動作可能。 ※1 注)アプリケーション共有型仮想環境の場合はご相談 ください。 注)ドライバ無し版でインストールする場合は上記に 加えWindows Server 2008/2008 R2 Windows Server 2012/2012 R2/2016で動作可能。
DataClasys マネージャクライアント
Windows XP (32bit) Windows Vista（32/64bit) Windows 7（32/64bit) Windows 8（32/64bit) Windows 8.1(32/64bit) Windows 10（32/64bit) Windows Server 2008(32/64bit)/2008 R2(64bit) Windows Server 2012(64bit)/2012 R2(64bit)
注)仮想デスクトップの上記ゲストOSでも動作可能。 ※1
DataClasys サーバ
Windows Server 2008(32/64bit)/2008 R2(64bit) Windows Server 2012(64bit)/2012 R2(64bit) Windows Server 2016(64bit)
注)仮想デスクトップの上記ゲストOSでも動作可能。 ※1
DataClasys 自動暗号化サーバ
※2Windows Server 2008(32/64bit)/2008 R2(64bit) Windows Server 2012(64bit)/2012 R2(64bit) Windows Server 2016(64bit)
注)仮想デスクトップの上記ゲストOSでも動作可能。 ※1
データベース
PostgreSQL暗号方式
公開鍵暗号方式と共通鍵暗号方式のハイブリット 公開鍵：RSA(鍵長2048ビット) 共通鍵：AES(鍵長256ビット)DataClasys 利用権限一覧
権限名称
内
容
「暗号化」 暗号化できる権限です。 「復 号」 暗号ファイルを元の平文に戻す権限です。 「完全消去」 ファイルの書き込みされたディスク領域も「乱数」で３回上書きし、復元ソフトでも復元はできな いように完全消去します。 「閲 覧」 暗号ファイルを閲覧する権限です。 「更 新」 暗号ファイルを編集、上書き更新できる権限です。 「削 除」 暗号ファイルを削除できる権限です。 「ファイル出力」 暗号ファイルから平文ファイルの出力を許可します。 「クリップボード出力」 クリップボードへの出力を制御します。 「プリント出力」 印刷を制御します。 「スクリーンショット」 Ｗｉｎｄｏｗｓ標準のスクリーンショットを禁止します。 「メール添付」 暗号ファイルのメールへの添付を禁止します。 「メール送信」 Word、EXCEL などのアプリケーションから開いた暗号文を、そのままメールとして送信するこ とを制御する権限です。 「Web送信」 暗号ファイルを”平文で読み込んだプロセス（アプリケーション）”が、IP による通信を行うこと を制御する権限です。DataClasys ユーザ権限設定項目一覧
15項
目
内
容
設定単位
ファイル利用権限 暗号化、復号、完全消去、閲覧、更新、削除、ファイル出力、クリップ ボード出力、プリント出力、画面キャプチャー、メール添付、メール送 信、Web送信、社外利用型オフライン （詳細は利用権限説明をご参照ください。） カテゴリ単位、 ユーザ毎 ファイル利用期日 無期限、開始・終了期日指定 ファイル・フォルダ 単位 IDファイル有効期日 無効、有効、開始・終了期日指定 IDファイル単位 オフライン利用時 IDファイル有効時間 オフライン状態のまま利用出来る期間（秒で指定） DataClasysサーバ 単位 IDファイルパスワード 桁数、大文字小文字区分、同一文字数、複雑なパスワード設定 DataClasysサーバ 単位 IDファイル利用PC制限 IDファイル初回利用時にPC情報をDataClasysサーバ、IDファイル内 に登録、登録されたPC以外でのIDファイルの利用を禁止 （DataClasysサーバと全く通信できない環境では、端末識別情報取得 ツールを利用し事前にPC情報をIDファイルに記述可能） IDファイル単位 アプリケーション 暗号ファイルを利用するアプリケーションの登録、暗号ファイルへの アクセスを禁止するアプリケーション、システム上必要なアプリケー ションの登録 DataClasysサーバ 単位DataClasys 機密区分による管理例
機密区分で暗号化されたファイルは、所属組織（グループ）職位（ポスト）によって権限
管理されます。
社外秘で暗号化されたファイルは部長職以上は全ての権限、課長職は印刷、更新、
閲覧、一般社員は閲覧のみの権限が付与されその権限範囲で暗号ファイルを利用で
きます。
機密区分(カテゴリ)と所属グループ、職位で権限設定
17極秘
（機密区分） を選択して暗号化社外秘
（機密区分） を選択して暗号化機密区分で管理
（極秘、社外秘、プロジェクト秘など）
○印のマトリックスにIDファイルが設定された人に権限が付与されます。
IDファイルのグループ、ポストが変われば自動的に権限が変わります。
所属グループ・ポストの
マトリックスで権限管理
暗号ファイルの権限管理（カテゴリ単位の管理）
暗号文 ヘッダ情報 カテゴリ「社外秘」 DataClasys B IDファイルDataClasys
サーバ
ID グループ ポスト A 営業部1課 一般社員 B 営業部1課 管理職 カテゴリ 「社外秘」 暗 号 復 号 消 去 閲 覧 更 新 削 除 C & P 印 刷 添 付 W e b 営業1課管理職 ○ × ○ ○ ○ ○ ○ ○ ○ × 営業1課一般職 ○ × × ○ ○ ○ ○ × × × 暗号文本体にはカテゴリー 情報のみ保持 グループおよびポリシーはサーバにて 管理しており、暗号化ファイルには保持 されていない。サーバ側で組織変更や各カテゴリのポリシーの修正を行っても暗号化
したファイルには影響がなく、暗号文を利用する際に常に最新の状態を
サーバに問い合せる仕組みになっています。
①B IDファイルでログインしたPCより暗号文にアクセス
②暗号文のヘッダ情報よりサーバへ社外秘の権限を確認
③B IDファイルのグループ、ポストをサーバに確認
④設定された権限にて暗号文を利用
①
②
③
④
社外や通信環境のない環境での利用
19社外利用型オフライン機能
特定の区分で暗号化された暗号ファイルのみ社内のPCをそのまま社外に持ち出してもその
まま利用できます。
ファイルが流出しても権利のない第三者は開くことができません。
他の区分で暗号化されたファイルは社外では誰も利用できません。
ほとんどのアプリケーション、フォーマットに対応しています。
IDファイル利用PC制限の利用で、暗号化ファイルを操作できるPCを特定することも可能です
。
ファイル流出！
第三者は利用不可
×
固定端末情報の事前収集・登録機能
DataClasysでは暗号ファイルの利用を特定の端末に限定できる機能を提供、IDファイルの利用時に登録さ
れた端末情報であるかどうかをチェックし、異なる場合はIDファイルの利用ができません。
（IDファイルが利用できない場合は、DataClasysのユーザクライアントソフトの起動ができず暗号ファイルを開
くことができません。）
端末のCPU、OS、ボードなどの複数の情報から端末を特定し、その情報をDataClasysサーバとIDファイルに
記述します。
海外などでDataClasysサーバに接続できない環境下でも利用端末を固定したいとのニーズに応えるため、
暗号ファイルを扱わせたい端末の情報を事前に収集するツールとその情報を埋め込んでIDファイルを発行
する機能を装備しています。
①収集ツール （CLSTerminal） ②収集ツール クリック（実行） ③端末情報 ④ユーザ登録 （端末情報埋め込み） IDファイル ⑤IDファイル配布 異なる端末流出
×
登録された端末 情報と異なるため 利用できない DataClasys管理者 暗号ファイル利用者操作ログの収集
21・ログの種類
管理者（DataClasysサーバ）ログ、接続ログ、マネージャログ、ユーザログ、警告ログ、エラーログ
・ログ取得方法
DataClasysマネージャクライアントでDataClasysサーバより取得
月日を指定して取得（CSVファイル形式）
・ユーザログ内容
年月日、時分秒、PC名、ログイン名、IDファイル場所、IDファイル名、IDユーザ名、
ユーザ要求可否、ファイル名（フルパス）、ネットワークファイル復号許可、
暗号化者IDファイルNo、暗号化者名、機密区分No、機密区分名、プロセス名、その他
DataClasys コマンドラインによる連携
/Encrypt 平文ファイルの暗号化を行う。 /Idfile、/Categoryオプションが必須。 /Decrypt 暗号文ファイルの復号を行う。 /Idfileオプションが必須。 /Vanish ファイルの完全消去を行う。 /Idfileオプションが必須。 /Header ファイルの暗号化確認、暗号化カテゴリと有効期間のチェック。ステータス確認に利用できます。 戻り値例 #define CLSUERROR_SUCCEEDED 0 //成功しました。 #define CLSSERROR_INVALID_SERVER 1 #define CLSSERROR_SERVER_REDIRECTED 2 //サーバはリダイレクトされました。 #define CLSSERROR_LICENSE_COUNT_EXCEEDED 3 //ライセンス数を超過しています。 #define CLSSERROR_LICENSE_PERIOD_EXPIRED 4 //ライセンス期限が切れています。 #define CLSSERROR_USER_EXPIRED 5 //ユーザの有効期間が切れています。 #define CLSSERROR_INVALID_CATEGORY_ARRAY 14 //有効なカテゴリが指定されていません。 #define CLSSERROR_NO_ENCRYPT_RIGHT 15 //暗号化権限がありません。 #define CLSSERROR_NO_DECRYPT_RIGHT 16 //復号権限がありません。 #define CLSSERROR_NO_VANISH_RIGHT 17 //完全消去権限がありません。 #define CLSSERROR_DECRYPTING_FILE_ON_NETWORK 28 //ネットワーク上のファイルを復号しようとしています。 #define CLSSERROR_VANISHING_FILE_ON_NETWORK 29 //ネットワーク上のファイルを完全消去しようとしています。#define CLSSERROR_TERMINAL_FIXED 108 //このIDファイルを使用できる端末は限定されます。IDファイルの更新を行ってください。 #define CLSSERROR_TERMINAL_DENIED 109 //このIDファイルは現在の端末では使用できません
#define CLSSERROR_NO_TERMINAL_INFORMATION 110 //このIDファイルは端末を限定しなければなりません。ユーザクライアントのバージョンが古いかもしれません。 #define CLSUERROR_INVALID_ACTION 258 //有効なアクションが指定されていません。コマンドラインパラメータを確認してください。
#define CLSUERROR_NO_IDFILE_PATH 259 //IDファイルのパスが指定されていません。コマンドラインパラメータを確認してください。 #define CLSUERROR_NO_FILE_PATH 260 //対象ファイルのパスが指定されていません。コマンドラインパラメータを確認してください。
#define CLSUERROR_TOO_MANY_FILE_PATH 261 //対象ファイルのパスは一つしか指定できません。コマンドラインパラメータを確認してください。
ユーザクライアントコマンドラインは戻り値を返すことができ、他のシステムとの
連携の実績もあります。
ActiveDirectry連携ツール（AccountSync)
23 All Rights Reserved Copyright(c) 2017, NESCO Co., Ltd
※本機能は、「AccountSync（オプション）」にてご提供しております。
社内ディレクトリの活用
社内ActiveDirectoryユーザをDataclasysユーザとして利用可能です。
導入後はDataClasys側でユーザー管理をする必要はありません。
LDAP利用の為、他ディレクトリサーバとのアカウント同期も可能です。
D
omino、SunONE、OpenLDAP等との同期利用も可。
(※要件確認後別途対応)
主な特徴/機能
ユーザ同期 ：追加・更新・削除・移動・失効に完全対応
属性の更新：氏名・メールアドレス・有効期間・任意属性を
ＩＤ統合管理：ＩＤファイルのメール送信や再発行が可能
AD固定制御：特定ADユーザのみ利用可能、SSO利用
フィルタ利用：ＯＵやグループを指定してユーザを絞込み
属性振分け ：ユーザ属性値でポストやグループを自動振分け
削除保護
：誤操作による削除防止や特定ユーザ保護
その他
：障害メール通知、ログ出力、障害時ロールバック
利用実績のある主なアプリケーション
一 般 Microsoft Office2003/2007/2010/2013/ 2016(32/64bit),メモ帳,ワードパッド, ペイント,Windows Media Player, Windows フォトギャラリー, OfficeViewer(Word,Excel, PowerPoint,Access Snapshot Viewer) アドビシステムズ Acrobat,Reader,Photoshop, Illustrator ジャストシステムズ 一太郎,花子 富士ゼロックス DocuWorks,TIFF Viewer Apacheソフトウェア財団 OpenOffice ファイルメーカー FileMaker Pro Ｃ Ａ Ｄ オートデスク AutoCAD,AutoCAD Mechanical,AutoCAD LT(2009以 降),Inventor,Inventor View,DWG TrueView,Vault ダッソー・システムズ SolidWorks,CATIA,eDrawings Viewer,ENOVIA SmarTeam シーメンスPLMソフトウェア NX,JT2Go PTC Creo Parametric,Windchill 三菱電機エンジニアリング 図王 Ｃ Ａ Ｄ Jiro Shimizu&Yoshihumi tanaka Jw_cad
富士通 iCAD SX,iCAD MX デザイン・クリエィション CADPAC-CREATOR ワコム ECAD dio エーティ WINSTAR CAD タナックシステム CADCity キヤノンITソリューションズ TURBOCAD フォトロン 図脳 RAPID17 アンドール CADSUPER FX Ⅱ ベントレー・システムズ MicroStation シスプロ Walkinside,DesignDraft CHAM-japan ZWCAD
IdeaMK Inc. IGS Viewer ラティステクノロジー XVL Player Aras Corporation Aras Innovator CGTech VERICUT インフォコム MySAFER Wips SecureFiles+
シャープビジネスソリューション データセキュリティサービス アララ P-Pointer、P-Pointer EXA ジャストシステム ConceptBase Enterprise Search NSDビジネスイノベーション eTransporter
富士ゼロックス ArcSuite Engineering
