(57)【要約】【解決手段】  本開示は、情報取り扱いシステムにおいて、ユーザーに関する情報およびユーザーが閲覧を許可されている情報と、保護すべき必須ファイルに関する情報とを組み合わせることにより、極めて重要な情報を保護するよう動作可能なシステム、方法、および命令のプログラムを含む。インテリジェントなセキュリティ規則を使うと、オペレーティングシステムまたはアプリケーションファイル全体を暗号化ことなく、必須情報を暗号化することができる。本開示の態様によれば、共有データ、ユーザーデータ、一時ファイル、ページングファイル、レジストリに格納されたパスワードハッシュ、およびリムーバブルメディアに格納されたデータを保護することができる。【選択図】      図３【特許請求の範囲】
【請求項１】
データを保護する方法であって、
それぞれ少なくとも１つの修飾子および少なくとも１つの属性を含む１若しくはそれ以上のインテリジェントなセキュリティ規則を動的に更新する工程と、
前記１若しくはそれ以上のインテリジェントなセキュリティ規則を活用するよう動作可能なインテリジェントなセキュリティフィルターにより使用するために前記１若しくはそれ以上のインテリジェントなセキュリティ規則を維持管理する工程と
トリガーファイル操作の検出に応答し、前記１若しくはそれ以上のインテリジェントなセキュリティ規則に従って前記インテリジェントなセキュリティフィルターでデータを暗号化する工程と
を有する方法。
【請求項２】
請求項１記載の方法において、この方法は、さらに、
前記規則により識別されたデータを暗号化すべきか、または暗号化しないまま残すべきか、また暗号化する場合は暗号化のタイプおよび暗号化に使用するキーのタイプとを示す各規則の属性を有するものである。
【請求項３】
請求項１記載の方法において、この方法は、さらに、
前記インテリジェントなセキュリティ規則に基づいてセキュリティに関連するファイル操作をロギングする工程を有するものである。
【請求項４】
請求項１記載の方法において、この方法は、さらに、
インテリジェントなセキュリティ規則に基づいてファイルアクセス制限を実施する工程を有するものである。
【請求項５】
請求項１記載の方法において、この方法は、さらに、
パス名と、パス範囲と、データタイプと、ファイルタイプと、ファイルシステム所有者と、ファイルシステム属性と、実行中処理の属性および所有者とを含む前記修飾子を各規則に有するものである。
【請求項６】
請求項１記載の方法において、この方法は、さらに、
１若しくはそれ以上のユーザークレデンシャルをそれらの通常の格納場所から除去する工程と、
通常のユーザークレデンシャル格納場所とは別個の安全な場所に前記１若しくはそれ以上のユーザークレデンシャルを格納する工程と、
前記１若しくはそれ以上のユーザークレデンシャルへのアクセスを必要とするアプリケーションの呼び出しに応答し、前記１若しくはそれ以上のユーザークレデンシャルを、それらが使用される間、前記通常の場所に復元する工程と
を有するものである。
【請求項７】
請求項１記載の方法において、この方法は、さらに
アプリケーションスワップファイルに配置された暗号化データを含む前記インテリジェントなセキュリティフィルターでデータを暗号化する工程を有するものである。
【請求項８】
請求項５記載の方法において、この方法は、さらに、
１若しくはそれ以上のアプリケーションがアクセスした時点で、前記スワップファイルを復号化する工程を有するものである。
【請求項９】
請求項１記載の方法において、この方法は、さらに、
望ましい暗号化ポリシーを定義するパラメータの入力をユーザーに促すプロンプトを提示する工程を含んだ生成する工程を有するものである。
【請求項１０】
請求項９記載の方法において、この方法は、さらに、
パス名、パス範囲、データタイプ、データ所有者、データのカテゴリー、および有効な処理の属性のうちの１若しくはそれ以上に基づき前記望ましい暗号化ポリシーのパラメータを定義するようユーザーに促すプロンプトを提示する工程を有するものである。
【請求項１１】
請求項１記載の方法において、この方法は、さらに、
前記インテリジェントなセキュリティフィルターによりリムーバブルメディアに格納されているデータを暗号化することを指示するよう動作可能なインテリジェントな暗号化規則を維持する工程を有するものである。
【請求項１２】
データを保護するシステムであって、
少なくとも１つのプロセッサと、
前記少なくとも１つのプロセッサに動作可能に関連付けられたメモリと、
前記メモリに格納可能であり、且つ前記プロセッサにより実行可能な命令のプログラムとを有し、
前記命令のプログラムは少なくとも１つの命令を含み、前記少なくとも１つの命令は、パス名、データタイプ、ファイルタイプ、ファイルシステム所有者、ファイルシステム属性、実行中処理の属性、および所有者のうちの１若しくはそれ以上により識別されるデータに対し１若しくはそれ以上のセキュリティ措置を適用し、前記データが使用されていない間当該データに適用可能な前記１若しくはそれ以上のセキュリティ措置を維持管理し、前記データへの権限付きアクセス要求に応答して前記１若しくはそれ以上のセキュリティ措置をデータから解除するよう動作可能なものである
システム。
【請求項１３】
請求項１２記載のシステムにおいて、このシステムは、さらに、
保護データに対するアプリケーションのアクセスを許可する前に、１若しくはそれ以上のユーザークレデンシャルおよびアクセス権限を確認するよう動作可能な少なくとも１つの命令を含む前記命令のプログラムを有するものである。
【請求項１４】
請求項１３記載のシステムにおいて、このシステムは、さらに、
前記１若しくはそれ以上の確認済みユーザークレデンシャルまたはアクセス権限に関連付けられた保護データへのアプリケーションアクセスを制限するよう動作可能な少なくとも１つの命令を含む前記命令のプログラムを有するものである。
【請求項１５】
請求項１２記載のシステムにおいて、このシステムは、さらに、
ファイルを開く操作が保留中の場合、適切なセキュリティ措置が当該ファイルに適用されるまで、その操作をブロックするよう動作可能な少なくとも１つの命令を含む前記命令のプログラムを有するものである。
【請求項１６】
請求項１２記載のシステムにおいて、このシステムは、さらに、
１若しくはそれ以上のインテリジェンスベースの暗号化規則に基づいて１若しくはそれ以上のセキュリティ措置をデータに適用するよう動作可能な少なくとも１つの命令を含む命令のプログラムを有し、このインテリジェンスベースの暗号化規則は、保護すべきデータが格納されるパス、前記パスに格納された保護すべきデータの範囲、または保護すべきデータに対して実行すべき処理の１若しくはそれ以上の属性を定義するものである。
【請求項１７】
請求項１６記載のシステムにおいて、このシステムは、さらに、
保護すべきデータのタイプを定義するインテリジェンスベースの暗号化規則を有するものである。
【請求項１８】
請求項１２記載のシステムにおいて、このシステムは、さらに、
１若しくはそれ以上のアプリケーションに関連付けられたページングファイルに１若しくはそれ以上のセキュリティ措置を適用するよう動作可能な前記命令のプログラムを有するものである。
【請求項１９】
請求項１２記載のシステムにおいて、このシステムは、さらに、
１若しくはそれ以上のユーザークレデンシャル表現を安全な場所に格納し、
前記表現へのアクセス要求に応答して、前記表現に対する１若しくはそれ以上の保護措置を解除し、
要求元のアプリケーションが前記表現を使用していない場合、前記表現を安全な場所に復元するよう動作可能な前記命令のプログラムを有する。
【請求項２０】
請求項１９記載のシステムにおいて、このシステムは、さらに、
ドメインパスワードのハッシュを含む前記表現と、
前記安全な場所がレジストリ外部のどの場所にあるかについての情報と
を有するものである。
【請求項２１】
請求項１２記載のシステムにおいて、このシステムは、さらに、
アクセス可能なリムーバブルメディアに維持されているデータに１若しくはそれ以上のセキュリティ措置を適用するよう動作可能な少なくとも１つの命令を含む前記命令のプログラムを有するものである。
【請求項２２】
コンピュータ可読媒体内で実施される命令のプログラムであって、前記命令のプログラムはデータを保護するための方法を実施する少なくとも１つの命令を含み、前記方法は、
１若しくはそれ以上のプログラムで使用されるデータ表現を安全な場所に格納する工程と、
正常なログインに応答して前記安全な場所から前記表現を除去できるようにする工程と、
前記表現で表されたデータへのアクセスを要求するアプリケーションの呼び出しに応答して、プログラムがアクセスできる領域に前記表現を配置する工程と、
前記表現で表された前記データが使用されていないときは、前記プログラムがアクセスできる領域から前記表現を除去する工程と
を有するものである、
命令のプログラム。
【請求項２３】
請求項２２記載の命令のプログラムにおいて、この命令のプログラムは、さらに、
１若しくはそれ以上のユーザークレデンシャルを表す前記表現をに有するものである。
【請求項２４】
請求項２２記載の命令のプログラムにおいて、この命令のプログラムは、さらに、
１若しくはそれ以上の保護措置の対象である前記安全な場所に前記表現を維持管理する工程を有するものである。
【請求項２５】
請求項２２記載の命令のプログラムにおいて、この方法は、さらに、
ドメインパスワードのハッシュを安全な場所に格納する工程と、
アプリケーションからの呼び出しにより前記ハッシュが必要とされた場合、前記ハッシュをアプリケーションレジストリに配置する工程と
を有するものである。
【請求項２６】
請求項２２記載の命令のプログラムにおいて、この命令のプログラムは、さらに、
前記表現で表された前記データへのアクセスを要求している前記呼び出し実行中のアプリケーションが前記表現を使用している場合にのみ、前記プログラムがアクセス可能な領域に前記表現を配置する工程を有するものである。
【請求項２７】
情報取り扱いシステムを保護する方法であって、
１若しくはそれ以上のユーザークレデンシャルを通常の格納場所から除去する工程と、
通常のユーザークレデンシャル格納場所とは別個の安全な場所に、前記１若しくはそれ以上のユーザークレデンシャルを格納する工程と、
前記１若しくはそれ以上のユーザークレデンシャルへのアクセスを必要とするアプリケーションの呼び出しに応答し、前記１若しくはそれ以上のユーザークレデンシャルを、それらが使用される間、前記通常の場所に復元する工程と
を有する方法。
【請求項２８】
請求項２７記載の方法において、この方法は、さらに、
１若しくはそれ以上のユーザークレデンシャル表現を安全な場所に格納する工程と、
前記表現へのアクセス要求に応答して、前記表現に対する１若しくはそれ以上の保護措置を解除する工程と、
要求元のアプリケーションが前記表現を使用していない場合、前記表現を安全な場所に復元する工程と
を有するものである。
【請求項２９】
請求項２８記載の方法において、この方法は、さらに、
ドメインパスワードのハッシュを含む前記表現と、
前記安全な場所がシステムレジストリ外部のどの場所にあるかについての情報と
を有するものである。
【発明の詳細な説明】
【技術分野】
【０００１】
本願は、「Ｓｙｓｔｅｍ  ａｎｄ  Ｍｅｔｈｏｄ  ｆｏｒ  Ｉｎｔｅｌｌｉｇｅｎｃｅ  Ｂａｓｅｄ  Ｓｅｃｕｒｉｔｙ（インテリジェンスベースのセキュリティのためのシステムおよび方法）」と題する２００５年２月１８日付けで出願された米国仮特許出願第６０／６５４，１６５号明細書および「Ｓｙｓｔｅｍ  ａｎｄ  Ｍｅｔｈｏｄ  ｆｏｒ  Ｉｎｔｅｌｌｉｇｅｎｔ  Ｅｎｃｒｙｐｔｉｏｎ  ａｎｄ  Ｅｎｃｒｙｐｔｉｏｎ  Ｆｉｌｔｅｒｉｎｇ（インテリジェントな暗号化および暗号化フィルタリングのためのシステムおよび方法）」と題する２００５年１１月１５日付けで出願された米国仮特許出願第６０／７３６，９３０号明細書に対して優先権を主張するものである。
【０００２】
本発明は、全般的にデータセキュリティに関し、より具体的には、データのインテリジェントな暗号化および暗号化フィルタリングのための方法およびシステムに関する。
【背景技術】
【０００３】
過失、規制、コンプライアンス（規制などへの準拠）、妨害行為、汚職、テロリストの脅威が常に付きまとうビジネスの世界において、企業データは、これまで以上にセキュリティの危機下に置かれている。ある業界グループによると、２００６年まででは、ビジネス情報を格納した９０％のモバイル装置は、偶発的なものから中程度なものまでのハッキングに対する防御能力および保存データの暗号化能力が不十分であると推定されている。
【０００４】
デスクトップおよびノートブックのパーソナルコンピュータ、さらにＰＤＡ（携帯情報端末）およびスマートフォン（これらを集合的に「装置」と呼ぶ）は、職場でも自宅でも欠かせないツールとなっている。ノートブックおよびタブレットＰＣは人気のあるビジネスツールで、２００５年には約５５００万台の携帯型ＰＣが出荷されたものと推定されている。また、標準的なＷｉｎｄｏｗｓ（登録商標）ログインパスワードだけでなく付加的なセキュリティ措置も講じない限り、上記の装置に含まれる膨大な量の情報が現時点から１分以内に危険に晒されると考えられる。
【０００５】
これらの装置のハードディスクドライブには、企業および個人の機密情報が定期的に格納されている。この機密情報には、銀行や企業システムへのログイン情報だけでなく、これらのシステムを使用するために必要な口座番号その他の情報も含まれる。このような情報を装置に格納することは職場と自宅において業務を行う上で必要なことである。しかし、これらの情報を格納する必要があるということは、情報が保護されていない状態で装置が紛失、または盗難にあった場合、個人情報の盗難の危険性が生じることになる。この理由から、装置に格納された情報の保護が切実に必要とされている。
【０００６】
ノートブックおよびデスクトップが盗難の標的とされた例は、一般に数多く見られている。例えば、Ｗｅｌｌｓ  Ｆａｒｇｏ銀行だけをとっても１年間で３回装置が盗まれ、これらの盗難を巡るメディア報道により同行の世評と信頼性が落ちただけでなく、装置に含まれていた情報が潜在的に流出してしまった。２００４年の産業調査では、回答者の５０％弱が、ラップトップが紛失したか盗まれたことがあると答えている。ハードウェアは買い換えがきくが、１５００ドルのノートブックでも容易に数百万ドル相当の機密情報を含んでいる可能性がある。さらに、Ｃａｌｉｆｏｒｎｉａ  ＳＢ−１３８６、Ｇｒａｍｍ−Ｌｅａｃｈ−Ｂｌｉｌｅｙ、ＨＩＰＡＡなどの規制では、特定の機密情報の開示に対し罰金を科している。
【０００７】
ＰＣ上に格納された情報を保護するために待望されていることは至って単純である。つまり、権限のあるユーザーだけが装置に格納された機密情報にアクセスできるようにすることである。言うまでもなく、ノートブックまたはデスクトップのハードディスクドライブには、機密情報でなく、したがって保護する必要のないデータも大量に存在する。例えば、Ｗｉｎｄｏｗｓ（登録商標）オペレーティングシステム（「ＯＳ」）やプログラムファイルは、通常、機密データを含まないバイナリファイルである。これらのファイルを暗号化する（情報にスクランブルをかけて不正ユーザーのアクセスを不能にする）と、壊滅的な結果を招きかねない。例えば、暗号化したＯＳまたはプログラムファイルが破損すると、システムが不安定になってマシンの起動やユーザーのログインを妨げ、遠隔地または移動中の社員の生産性が落ちるおそれがある。また、企業内では、暗号化に変更を加える必要がある際、各装置に物理的にアクセスすることが困難なため、装置用の暗号化パラメータの一元管理も必要とされている。
【発明の開示】
【課題を解決するための手段】
【０００８】
以上を鑑み、本発明の一実施形態は情報取り扱いシステムを保護する方法を提供するものであり、当該方法は、１若しくはそれ以上のユーザークレデンシャルを通常の格納場所から除去する工程と、通常のユーザークレデンシャル格納場所とは別個の安全な場所に前記１若しくはそれ以上のユーザークレデンシャルを格納する工程と、前記１若しくはそれ以上のユーザークレデンシャルへのアクセスを必要とするアプリケーションの呼び出しに応答し、前記１若しくはそれ以上のユーザークレデンシャルを、それらが使用される間、前記通常の場所に復元する工程とを有する。
【０００９】
本発明の代替実施形態では、コンピュータ可読媒体内で実施され、データを保護する方法を実施する命令のプログラムを提供する。本発明の教示によれば、前記命令のプログラムは、１若しくはそれ以上のプログラムで使用されるデータ表現を安全な場所に格納する工程と、正常なログインに応答して前記安全な場所から前記表現を除去できるようにする工程と、前記表現で表されたデータへのアクセスを要求するアプリケーションの呼び出しに応答して、プログラムがアクセスできる領域に前記表現を配置する工程と、前記表現で表された前記データが使用されていないときは、前記プログラムがアクセスできる領域から前記表現を除去する工程とを有する方法を実施することができる。
【００１０】
さらに別の実施形態において、本発明はデータを保護するシステムを提供し、このシステムは、少なくとも１つのプロセッサと、前記少なくとも１つのプロセッサに動作可能に関連付けられたメモリと、前記メモリに格納可能であり、且つ前記プロセッサにより実行可能な命令のプログラムとを有し、前記命令のプログラムは少なくとも１つの命令を含み、前記少なくとも１つの命令は、パス名、データタイプ、ファイルタイプ、ファイルシステム所有者、ファイルシステム属性、実行中処理の属性、および所有者のうちの１若しくはそれ以上により識別されるデータに対し１若しくはそれ以上のセキュリティ措置を適用し、前記データが使用されていない間当該データに適用可能な前記１若しくはそれ以上のセキュリティ措置を維持管理し、前記データへの権限付きアクセス要求に応答して前記１若しくはそれ以上のセキュリティ措置をデータから解除するよう動作可能である。
【００１１】
さらに別の実施形態において、本発明はデータを保護する方法を提供し、この方法は、それぞれ少なくとも１つの修飾子および少なくとも１つの属性を含む１若しくはそれ以上のインテリジェントなセキュリティ規則を動的に更新する工程と、前記１若しくはそれ以上のインテリジェントなセキュリティ規則を維持管理して、当該１若しくはそれ以上のインテリジェントなセキュリティ規則を活用するよう動作可能なインテリジェントなセキュリティフィルターにより使用する工程と、トリガーファイル操作の検出に応答し、前記１若しくはそれ以上のインテリジェントなセキュリティ規則に従って前記インテリジェントなセキュリティフィルターでデータを暗号化する工程とを有する。インテリジェントなセキュリティ規則は、インテリジェントなセキュリティ規則のセットに従うアプリケーションを指定することもできる。このように、前記インテリジェントなセキュリティ規則は、保護されるデータファイルおよび保護されないデータファイルの双方を示し、また保護されていないデータを書き込むアプリケーション、常に保護すべきデータを書き込むアプリケーション、さらにデータ保護が特定のインテリジェントなセキュリティ規則セットに従うアプリケーションも示す。
【００１２】
本発明は、一観点において、データおよび装置のセキュリティを強化する一方、既存のセキュリティシステムファームウェアまたはマスターブートレコードを変更する必要性を減らし、またはなくすという利点を提供することができる。
【００１３】
本発明は、別の観点では、コンピュータシステム内において、その格納場所または装置に関係なく、全機密データの安全なストレージ（格納）を可能にするという利点を提供することができる。
【００１４】
本発明は、さらに別の観点において、格納データの保護または暗号化に関する制御を微調整でき、性能および管理しやすさを最適化できるという利点を提供することができる。
【００１５】
本発明は、さらに別の観点では、末端ユーザーおよび当該システムで使用されている任意のアプリケーションから完全にトランスペアレントに（認識されずに）動作するという利点を提供することができる。
【００１６】
本発明は、さらに別の観点において、保護および／または暗号化のポリシーをサーバーで変更できるようにし、それらの変更が企業部門、グループ、または企業全体のすべての装置に自動的に適用されるようにできるという利点を提供することができる。
【００１７】
本発明は、さらに別の観点では、保護措置がインストールまたは変更されている間も、ユーザーはセキュリティおよび暗号化に対応した装置をスムーズに継続して使えることができるという利点を提供することができる。
【００１８】
本発明は、さらに別の観点において、オペレーティングシステムの暗号化を不要にし、可能性としてシステム性能を向上させ、前記装置の更新、パッチ適用、メンテナンス、および管理をより容易にするという利点を提供することができる。
【発明を実施するための最良の形態】
【００１９】
好適な実施形態およびその優位性は、添付の図面および本明細書に含まれている説明を参照すると、最もよく理解される。異なる図面中で使われる同一または同様の参照符号は、同一または同様の構造または要素を示す。
【００２０】
本開示の目的上、情報取り扱いシステム、コンピュータ、または同様な装置としては、ビジネス、科学、制御その他の目的で、いかなる形態の情報またはデータも、計算し、分類し、処理し、送信し、受信し、読み出し、発信し、切り替え、格納し、表示し、明示し、検出し、記録し、再現し、取り扱い、または利用するよう動作可能な、いかなる手段または手段の集合も含めることができる。例えば、情報取り扱いシステムは、パーソナルコンピュータ、ネットワーク記憶装置その他のいかなる適切な装置であってもよく、そのサイズ、形状、性能、機能、および価格は場合により異なる。前記情報取り扱いシステムには、ランダムアクセスメモリ（ＲＡＭ）、中央処理装置（ＣＰＵ）やハードウェアやソフトウェア制御論理などの１若しくはそれ以上の処理資源、ＲＯＭ、および／または他のタイプの不揮発性メモリを含めることができる。この情報取り扱いシステムの付加的な構成要素としては、１若しくはそれ以上のディスクドライブ、キーボード、マウス、ビデオディスプレイなどの各種入出力（Ｉ／Ｏ）装置並びに外部装置と通信するための１若しくはそれ以上のネットワークポート、を含めることができる。この情報取り扱いシステムには、種々のハードウェア構成要素間で通信を行うよう動作可能な１若しくはそれ以上のバスを含めることもできる。
【００２１】
本明細書で説明するように、情報取り扱いシステムの構成要素には、種々の形態が可能である。一態様では、情報取り扱いシステムの構成要素に、ハードドライブ、フロッピー（登録商標）ディスク、ドライブ、ＣＰＵ、またはリムーバブルメディアなど単一のハードウェア装置を含めることができる（これに限定されるものではないが）。別の一態様では、情報取り扱いシステムの構成要素に、データ保護、システム仮想メモリ、または表示管理に関するソフトウェアなど単一のソフトウェアモジュールを含めることができる（これに限定されるものではないが）。さらに、情報取り扱いシステムの構成要素としては、複数のハードウェア装置、複数のソフトウェアモジュール、またはハードウェア装置およびソフトウェアモジュールの組み合わせを含めることができる。
【００２２】
本発明は、一実施形態において、Ｗｉｎｄｏｗｓ（登録商標）、Ｐａｌｍ（登録商標）、Ｗｉｎｄｏｗｓ  Ｍｏｂｉｌｅ（登録商標）、ＲＩＭ  ＢｌａｃｋＢｅｒｒｙ（登録商標）、Ｓｙｍｂｉａｎその他を含む（これに限定されるものではないが）多様なオペレーティングシステムを使う多種多様なメーカーのノートブック、タブレットＰＣ、ＰＤＡ、およびスマートフォンから成る不均一なモバイルコンピュータ環境を保護するよう構成されている。以下の説明は、主に、ノートブック、タブレットＰＣ、およびデスクトップに格納された極めて重要な情報の保護を対象としている。ただし、以下の説明は本発明の範囲を限定するよう意図されたものではない。
【００２３】
まず図１を参照すると、本発明に係る情報取り扱いシステムのブロック図が示されている。情報取り扱いシステム、すなわちコンピュータシステム１００は、少なくとも１つのマイクロプロセッサまたは中央処理装置（ＣＰＵ）１０２を含むことが好ましい。ＣＰＵ  １０２には、整数演算を取り扱うプロセッサ１０４と、浮動小数点演算を取り扱うコプロセッサ１０６とを含めることができる。ＣＰＵ  １０２は、ＣＰＵバス１１２経由でキャッシュ１０８と、メモリコントローラ１１０とに連結されることが好ましい。システムコントローラＩ／Ｏトラップ１１４は、ＣＰＵバス１１２をローカルバス１１６に連結することが好ましく、一般にシステムコントローラの一部として特徴付けることができる。
【００２４】
メインメモリ１１８、例えば動的ランダムアクセスメモリ（ＤＲＡＭ）モジュールは、メモリコントローラ１１０によりＣＰＵバス１１２に連結されることが好ましい。メインメモリ１１８は、システム管理モード（ＳＭＭ）メモリ領域１２０など１若しくはそれ以上の領域に分割できる。
【００２５】
基本入出力システム（ＢＩＯＳ）メモリ１２２も、ローカルバス１１６に連結されることが好ましい。ＢＩＯＳメモリ１２２としては、フラッシュメモリその他の不揮発性メモリを使うことができる。ＢＩＯＳプログラム（明示的には図示せず）は、通常、ＢＩＯＳメモリ１２２に格納される。このＢＩＯＳプログラムは、情報取り扱いシステム１００のブート装置との、またはこれらブート装置間のインタラクションを容易にするソフトウェアを含むことが好ましく、この情報取り扱いシステム１００のブート装置にはキーボード（明示的には図示せず）、マウス（明示的には図示せず）、ＣＤ−ＲＯＭ  １２４が含まれる（これに限定されるものではないが）。ＢＩＯＳメモリ１２２には、複数の基本的な情報取り扱いシステム１００の動作を制御するよう動作可能なシステムコードも格納できる。
【００２６】
グラフィックコントローラ１２６は、ローカルバス１１６に連結され、またパネルディスプレイ画面１２８に連結されることが好ましい。グラフィックコントローラ１２６は、パネルディスプレイ１２８に表示すべき情報を格納するよう動作可能なビデオメモリ１３０にも連結できる。パネルディスプレイ１２８は、アクティブマトリクス型またはパッシブマトリクス型の液晶ディスプレイ（ＬＣＤ）であることが好ましい。ただし、他のディスプレイ技術を採用してもよい。選択した各々の応用、用途、または場合において、グラフィックコントローラ１２６は、選択的な外部ディスプレイまたはスタンドアロンのモニタディスプレイ１３２にも連結できる。
【００２７】
バスインターフェースコントローラまたは拡張バスコントローラ１３４は、ローカルバス１１６を拡張バス１３６に連結することが好ましい。一実施形態では、拡張バス１３６は、業界標準アーキテクチャ（Ｉｎｄｕｓｔｒｙ  Ｓｔａｎｄａｒｄ  Ａｒｃｈｉｔｅｃｔｕｒｅ：ＩＳＡ）バスとして構成できる。他のバス、例えば周辺装置相互接続（Ｐｅｒｉｐｈｅｒａｌ  Ｃｏｍｐｏｎｅｎｔ  Ｉｎｔｅｒｃｏｎｎｅｃｔ：ＰＣＩ）、ＰＣＩ−Ｅｘｐｒｅｓｓ、ユニバーサルシリアルバス（Ｕｎｉｖｅｒｓａｌ  Ｓｅｒｉａｌ  Ｂｕｓ：ＵＳＢ）、ＦｉｒｅＷｉｒｅ（ＲＴＭ）を使用してもよい。
【００２８】
拡張バス１３６には、図示したようにＰＣメモリーカード国際協会（Ｐｅｒｓｏｎａｌ  Ｃｏｍｐｕｔｅｒ  Ｍｅｍｏｒｙ  Ｃａｒｄ  Ｉｎｔｅｒｎａｔｉｏｎａｌ  Ａｓｓｏｃｉａｔｉｏｎ：ＰＣＭＣＩＡ）コントローラ１３８も連結できる。ＰＣＭＣＩＡコントローラ１３８は、複数の拡張スロット１４０に連結されることが好ましい。拡張スロット１４０は、モデム、ファックスカード、通信カードその他の入出力（Ｉ／Ｏ）装置、および他の構成要素といったＰＣＭＣＩＡ拡張カードを受容するよう構成できる。
【００２９】
割り込み要求ジェネレータ１４２も、拡張バス１３６に連結されることが好ましい。割り込み要求ジェネレータ１４２は、ＣＰＵ  １０２から割り込み命令の発行要求を受信すると、所定の割り込み要求線にわたり割り込み処理要求を発行するよう動作可能であることが好ましい。
【００３０】
スーパーＩ／Ｏコントローラと呼ばれることの多いＩ／Ｏコントローラ１４４も、拡張バス１３６に連結されることが好ましい。Ｉ／Ｏコントローラ１４４は、ＩＤＥ（Ｉｎｔｅｇｒａｔｅｄ  Ｄｒｉｖｅ  Ｅｌｅｃｔｒｏｎｉｃｓの略称。コンピュータにハードディスクを接続するための規格）または他の互換ハードディスクドライブ１４６、ＣＤ−ＲＯＭ（コンパクトディスク読み取り専用メモリ）または他の光メディアドライブ１２４、およびフロッピーディスク（登録商標）または他のリムーバブルメディアドライブ１４８と連動することが好ましい。前記Ｉ／Ｏコントローラと連動させることのできる他のディスクドライブ装置（明示的には図示せず）としては、リムーバブル硬質ドライブ、郵便番号ドライブ、ＣＤ−ＲＷ（書き換え可能コンパクトディスク）ドライブ、ＣＤ−ＤＶＤ（コンパクトディスク−デジタル多用途ディスク）ドライブ、フラッシュメモリ、およびＵＳＢメモリなどがある（これに限定されるものではないが）。
【００３１】
情報取り扱いシステム１００にはネットワークインターフェースコントローラ１５０が設けられることが好ましく、これによりイーサネット（登録商標）ネットワークなど通信ネットワーク１５２との通信が可能になる。通信ネットワーク１５２としては、ローカルエリアネットワーク（ＬＡＮ）、広域ネットワーク（ＷＡＮ）、インターネット、イントラネット、無線（ワイヤレス）ブロードバンドなどが可能である。ネットワークインターフェースコントローラ１５０は、通信ネットワーク１５２に連結された他の情報取り扱いシステム（明示的には図示せず）との通信用のネットワークインターフェースを形成することが好ましい。情報取り扱いシステムの通信構成要素には、一般にハードウェアおよびソフトウェアの構成要素が含まれる。ハードウェア構成要素の例が、ネットワークインターフェースコントローラ１５０および通信ネットワーク１５２である。ソフトウェア構成要素の例には、メッセージングサービスおよびネットワーク管理サービスなどがある。
【００３２】
例示したように、情報取り扱いシステム１００は電源１５４を含むことが好ましく、この電源１５４は、情報取り扱いシステム１００を形成する多数の構成要素および／または装置に電力を供給する。携帯型またはノートブック型のコンピュータ、ハンドヘルド（手持ち式）装置、ＰＤＡ、スマートフォンなどとして情報取り扱いシステム１００を具現化する場合、電源１５４は、ニッケル水素電池（ＮｉＭＨ）やリチウムイオン電池などの充電式電池であってよい。
【００３３】
電源１５４は、電力管理マイクロコントローラ１５６に連結されることが好ましい。電力管理マイクロコントローラ１５６は、電源１５４からの電力の分配を制御することが好ましい。より具体的には、電力管理マイクロコントローラ１５６には、ＣＰＵ  １０２に電力を供給する主電源プレーン１６０に連結された電気出力１５８が含まれることが好ましい。電力管理マイクロコントローラ１５６は、パネルディスプレイ１２８に電力を供給するよう動作可能な電源プレーン（明示的には図示せず）にも連結できる。
【００３４】
電力管理マイクロコントローラ１５６は、主電源スイッチ１６２にも連結されることが好ましく、ユーザーはこれを作動させて情報取り扱いシステム１００の電源をオンまたはオフにする。電力管理マイクロコントローラ１５６は、ＣＰＵ  １０２、パネルディスプレイ１２８、またはハードドライブ１４６など情報取り扱いシステム１００の１若しくはそれ以上の部分または構成要素への電源を落とすが、電力節約のために使用されているのでない場合は、電力管理マイクロコントローラ１５６自体が実質的に常時、電源、好ましくは電源１５４に連結されていることが好ましい。
【００３５】
携帯型の実施形態の場合、情報取り扱いシステム１００には、折り畳み式画面のスイッチ１６４、またはパネルディスプレイ１２８の開閉状態を示すインジケータ１６４を含めることもできる。ラップトップ型やノートブック型のコンピュータなど携帯型コンピュータの「クラムシェル」（二つ折り）構成には一般的であるように、パネルディスプレイ１２８は、当該折り畳み式画面（明示的には図示せず）と同じ位置にあってもよいことに注意すべきである。この態様では、パネルディスプレイ画面１２８は、当該システムの蓋に一体化された部分を形成し、ユーザーがインタラクションできる開いた位置から閉じた位置へと枢動する。
【００３６】
コンピュータシステム１００には、電力管理チップセット１６６を含めることもできる。電力管理チップセット１６６は、ＣＰＵ  １０２から電力管理コマンドおよび制御コマンドを受信できるよう、ローカルバス１１６経由でＣＰＵ  １０２に連結されることが好ましい。電力管理チップセット１６６は、ハードドライブ１４６やリムーバブルメディアドライブ１４８など、情報取り扱いシステム１００の各構成要素に電力を供給するよう動作可能な複数の個別電源プレーン（明示的には図示せず）に接続されることが好ましい。この態様において、電力管理チップセット１６６は、システムの種々の電源プレーンおよび構成要素に供給された電力を制御するため、ＣＰＵ  １０２の命令下で作用することが好ましい。
【００３７】
Ｉ／Ｏコントローラ１４４および電力管理チップセット１６６には、リアルタイムクロック（ｒｅａｌ−ｔｉｍｅ  ｃｌｏｃｋ：ＲＴＣ）１６８も連結できる。ＲＴＣ  １６８を包めることにより、時間指定付きのイベントまたはアラームを電力管理チップセット１６６に送信できるようになる。リアルタイムクロック１６８は、所定の時刻にアラームを生成し、また他の操作を実行するようプログラムできる。
【００３８】
ここで図２を参照すると、情報取り扱いシステム２００の一実施形態について、本発明を導入した高レベルのコンテキスト図が示されている。図２に示した構成要素と、これらの構成要素間の特定のインタラクションとは、以下でより詳しく説明する。
【００３９】
図２に示すように、本発明の一実施形態には、ファイルシステム（ｆｉｌｅ  ｓｙｓｔｅｍ：ＦＳ）構成要素２０２が含まれる。ＦＳ構成要素２０２は、システム１００および／またはシステム２００においてファイルの格納、管理、および制御を提供するよう動作可能なカーネルレベルの装置であることが好ましい。本発明を用いる場合、ＦＳ構成要素２０２を使って格納されるデータは、システム管理者その他の保護ポリシー設定体が指定するインテリジェントなセキュリティ規則またはインテリジェントな暗号化規則に従って暗号化された状態などの、保護された状態で格納されることが好ましい。
【００４０】
ＦＳ構成要素２０２のほか、一実施形態では、本発明の構成要素が使用するフィルタープラグイン機構２０４が組み込まれる場合もある。Ｗｉｎｄｏｗｓ  ＸＰ  ＦＡＴ３２ファイルシステムは、そのような構成要素の一例である。フィルタープラグイン機構２０４の他の実施態様、およびシステム１００および／またはシステム２００の他の構成要素なども、本明細書の説明から容易に理解されるであろう。
【００４１】
ＦＳ構成要素２０２およびフィルタープラグイン機構２０４に加え、本発明では、インテリジェントな暗号化フィルターなどのインテリジェントなセキュリティフィルター（ｉｎｔｅｌｌｉｇｅｎｔ  ｓｅｃｕｒｉｔｙ  ｆｉｌｔｅｒ：ＩＳＦ）２０６も提供する。一実施形態において、ＩＳＦ構成要素２０６はカーネルレベルファイルのシステムフィルタードライバーであり、指定された１若しくはそれ以上のインテリジェントなセキュリティ規則に従い、トリガーファイル操作（作成、削除、開閉、読み取り、書き込みなど）を受信してファイルデータの暗号化、アクセス制御、またはロギング監査といった望ましい保護を実施するよう設計されたインテリジェントなセキュリティ規則を適用するよう動作可能なことが好ましい。ＩＳＦ  ２０６のインテリジェントなセキュリティ規則および動作は、以下でさらに詳しく説明する。
【００４２】
本発明では、ユーザーモード暗号化サービスなどのユーザーモードセキュリティサービス（ｕｓｅｒ  ｍｏｄｅ  ｓｅｃｕｒｉｔｙ  ｓｅｒｖｉｃｅ：ＵＭＳＳ）構成要素２０８をさらに提供する。本発明の一態様によれば、ＵＭＳＳ構成要素２０８は、ファイルの保護または暗号化によりＩＳＦ構成要素２０６をサポートするよう動作可能なユーザーレベルのヘルパーモジュールであってよい。例えば、ある場合では、ＵＭＳＳ構成要素２０８は、システムセキュリティポリシーをインテリジェントなセキュリティ規則に変換し、これらの規則および他のセキュリティパラメータ（規則で評価すべきキーや値など）をＩＳＦ構成要素２０６に供給することができる。ＵＭＳＳ構成要素２０８のインテリジェントなセキュリティ規則および動作は、以下でさらに詳しく説明する。
【００４３】
一実施形態では、ポリシーソース構成要素２１０が上記の構成要素と協動する。本発明の態様によれば、ポリシーソース構成要素２１０は、システムセキュリティポリシーをＵＭＳＳ構成要素２０８に提供することができ、次いでＵＭＳＳ構成要素２０８は前記システムセキュリティポリシーを使ってＩＳＦ構成要素２０６が行使すべきインテリジェントなセキュリティ規則を生成する。ポリシーソース構成要素２１０のインテリジェントなセキュリティ規則および動作は、以下でさらに詳しく説明する。
【００４４】
上述した構成要素のほか、本発明の一実施形態では、１若しくはそれ以上のサードパーティアプリケーション２１２も含まれる。本発明の説明によれば、サードパーティアプリケーション２１２は、トリガーファイル操作（作成、削除、開閉、読み取り、書き込みなど）を起動することにより、本発明の態様を実施することができる。これらのファイル操作は、実行される際に検出され、本発明で説明するインテリジェンスベースのセキュリティを起動することが好ましい。
【００４５】
動作時は、本発明の一実施形態によれば、ＵＭＳＳ構成要素２０８がインテリジェントなセキュリティ規則のリストを生成および維持管理することが好ましい。ＵＭＳＳ構成要素２０８は、更新その他種々のシナリオにおけるトリガーファイル操作の検出時など、ＩＳＦ構成要素２０６が必要とする時点で、ＩＳＦ構成要素２０６に１若しくはそれ以上のインテリジェントなセキュリティ規則を提供することも好ましい。一実施形態において、ＩＳＦ構成要素２０６は、選択されたデータを保護または暗号化するため、１若しくはそれ以上のインテリジェントなセキュリティ規則を、好ましくはリアルタイムに、トリガーファイル操作の検出に応答して適用するよう構成されることが好ましい。以上に述べた本発明の一実施形態の態様等は、以下でより詳細に説明する。
【００４６】
本発明によれば、インテリジェンスベースの保護工程および／または暗号化工程を使用するシステムが提供され、このシステムにより、セキュリティ管理者はパーティション、フォルダ、ファイル、ファイル拡張子、または他の方法で区別される情報の包含および除外を制御する規則を容易に定義できるようになる。本発明によれば、包含リストおよび／または除外リストを作成でき、これにより管理者は、機密データを含み、または含まず、さらに保護または暗号化する必要があり、またはないパーティション、フォルダ、ファイル、ファイル拡張子、アプリケーション、または他の方法で区別される情報を定義できるようになる。例えば、「包含リスト」は、希望または必要に応じて、「Ｍｙ  Ｄｏｃｕｍｅｎｔｓ」、一時ファイル、一時インターネットファイル、および／またはＯｕｔｌｏｏｋの個人用フォルダに維持管理されるデータ、あるいはＣ：￥やＤ：￥などのパーティション全体、あるいは、すべての．ｄｏｃ、．ｘｌｓ、．ｐｐｔ、．ｐｄｆファイルタイプか他のアプリケーション固有ファイルタイプ、あるいはユーザー所有など特定の属性でアプリケーションにより生成されたデータに関し、１若しくはそれ以上の保護措置を識別することができる。あるいは、「除外リスト」を定義すると、管理者は、保護または暗号化するよう指定されたディレクトリに含まれるＷｉｎｄｏｗｓ（登録商標）システムフォルダ（Ｃ：￥Ｗｉｎｄｏｗｓなど）、プログラムファイルフォルダ（Ｃ：￥Ｐｒｏｇｒａｍ  Ｆｉｌｅｓなど）、またはすべての．ｂａｔ、．ｃａｂ、．ｃｈｍ、．ｃｏｍ、．ｄｌｌ、．ｅｘｅ、．ｈｌｐ、．ｉｃｏ、．ｉｎｉ、．ｉｎｆ、．ｏｃｘ、．ｓｙｓファイルタイプなど、機密データを含まず、または作成しない、ひいては暗号化が不要なフォルダ、ファイル拡張子、アプリケーションなどを定義できるようになる。ファイル、フォルダ、およびファイルタイプについて一元的に指定された保護または暗号化の包含および／または除外を好適に組み合わせると、情報取り扱いシステム内のどこに格納されていても機密情報はすべて保護され非機密データはすべて適切に維持管理されるインテリジェンスベースの暗号化が可能になる。本発明を導入したシステムでは、ユーザー情報および共有情報のどちらも保護および／または暗号化することができる。
【００４７】
本発明の一実施形態によれば、特定のＰＣへのＷｉｎｄｏｗｓ（登録商標）ログイン権限を有する全ユーザー間で（Ｄ：￥などの）パーティション全体を共有し、あるいはフォルダおよびその全サブフォルダ（Ｃ：￥Ｓｈａｒｅｄ  Ｄａｔａなど）を共有するといった共通の保護または暗号化セキュリティポリシーを使うことにより、共有データを保護または暗号化し、そのマシン上の複数のユーザー間で共有することができる。これと同じまたは別の実施形態では、各ユーザーについて、ユーザーの「Ｍｙ  Ｄｏｃｕｍｅｎｔｓ」、「Ｏｕｔｌｏｏｋ  Ｐｅｒｓｏｎａｌ  Ｆｏｌｄｅｒｓ」、「Ｔｅｍｐｏｒａｒｙ  Ｉｎｔｅｒｎｅｔ  Ｆｉｌｅｓ」、「Ｔｅｍｐｏｒａｒｙ  Ｆｉｌｅｓ」などのフォルダを保護または暗号化するといったユーザー固有の保護または暗号化のセキュリティポリシーを使うことにより、データを保護または暗号化することが可能である。
【００４８】
ここで図３を参照すると、インテリジェンスベースの装置保護または暗号化システム３００の一実施態様には、有線ネットワーク３０４または無線ネットワーク３０６により１若しくはそれ以上の装置または情報取り扱いシステム３０８および３１０に接続されたセキュリティサーバー（ｓｅｃｕｒｉｔｙ  ｓｅｒｖｅｒ：ＳＳ）３０２を含めることができる。また、ネットワークマシン３１４上で動作する選択的な装置検出エージェント３１２も提供できる。さらに、ＳＳ  ３０２から保護または暗号化のポリシーを受信しＳＳ  ３０２にステータス情報を報告するよう動作可能なセキュリティエージェント（ｓｅｃｕｒｉｔｙ  ａｇｅｎｔ：ＳＡ）３１６も提供できる。ＳＡ  ３１６は、前記１若しくはそれ以上の装置３０８および／または３１０に対し、保護または暗号化を実施するよう構成されることが好ましい。
【００４９】
一実施形態では、ＳＳ  ３０２は、保護すべき前記装置に時折りネットワークアクセスを行う一元化されたサーバーハードウェア３１８にインストールされる。ＳＳ  ３０２と装置３０８および／または３１０との間のネットワークアクセスは、初期、装置を有効化し、ポリシー最新情報を前記装置に提供するため必要になる。継続的な接続は一般に不要である。これは、一度前記装置に送信された前記セキュリティポリシーが、ＳＳ  ３０２と通信し続ける必要なくローカルに実施され続けるためである。
【００５０】
ＳＳ  ３０２のインストレーション後、情報は、外部企業ユーザーおよびマシン情報データリポジトリまたはディレクトリ（明示的には図示せず）から前記サーバーにロードされることが好ましい。ＳＳ  ３０２は、ＬＤＡＰ（Ｌｉｇｈｔｗｅｉｇｈｔ  Ｄｉｒｅｃｔｏｒｙ  Ａｃｃｅｓｓ  Ｐｒｏｔｏｃｏｌ：ライトウェイトディレクトリアクセスプロトコル）その他の手段を使って、ユーザーおよびマシンに関する所望の情報をインポートするよう構成できる。インポートされたこの情報は、ユーザー、グループ、マシンに関するセキュリティポリシー管理の基盤、または他の基盤にすることができる。好適なセキュリティポリシーは、一度保存および公開されると、ＳＡ  ３１６および装置検出エージェント３１２から利用可能になる。
【００５１】
上記のとおり、任意選択で装置検出エージェント（ｄｅｖｉｃｅ  ｄｅｔｅｃｔｉｏｎ  ａｇｅｎｔ：ＤＤＡ）３１２を含めることもできる。ＤＤＡ  ３１２は、このＤＤＡ  ３１２がインストールされたネットワークまたはホストにおける装置３０８および／または３１０の存在を監視し、ＳＳ  ３０２から割り当てられたセキュリティポリシーを実施することが好ましい。一実施態様では、これらのポリシーにより、ＤＤＡ  ３１２が装置３０８および／または３１０にＳＡ  ３１６を配備しなければならなくなる場合がある。
【００５２】
上記の場合は、次いでＳＡ  ３１６が装置３０８および／または３１０にインストールされる。ＳＡ  ３１６は、任意選択で、オペレーティングシステムのユーザー認証モジュールに置き換わり、またはそれに連なる。このような実施態様は、他のサードパーティユーザー認証システムとのスムーズな統合を可能にすることが好ましく、これは特に２因子認証機構と統合する場合に重要となる。ＳＡ  ３１６を完全に有効にするには、前記装置および現在のユーザーをＳＳ  ３０２に登録し、その装置に暗号化キーおよびポリシーを配信するため前記サーバーへのネットワーク接続が必要になる。このキー提供により、管理者は、装置へのアクセスを容易に回復できるようになり、または新しい装置を使用している特定のユーザーへ元のキーを再提供できるようになることが好ましい。
【００５３】
装置ＳＡ  ３１６でユーザーを完全に有効化するには、そのユーザーのドメインクレデンシャルを当該システムに入力するよう、そのユーザーにプロンプトを提示することが好ましい。するとこれらのクレデンシャルが前記ネットワークドメイン認証サーバーに照らして確認され、有効な場合は、ＳＳ  ３０２がＳＡ  ３１６にキーおよびポリシー情報を送信する。次に、ＳＡ  ３１６が前記キーおよびポリシー情報を適用する。これには、ＰＩＮ、パスワード、個人用な質問への回答、または１若しくはそれ以上の好適なセキュリティポリシーにより示される他のＳＡ  ３１６設定情報を変更または初期入力する旨の、前記ユーザーへのプロンプト提示を含めることができる。要求されたＳＡ  ３１６有効化情報をユーザーがすべて入力すると、ＳＡ  ３１６はその有効化を完了することができる。有効化中およびその後のポリシー更新動作中は、インベントリおよび状態の情報をＳＳ  ３０２に送信することが可能である。
【００５４】
また、ユーザーは、システムログイン中、ＳＡ  ３１６に係わる可能性がある。ユーザーは、自らの有効化を行う際、有効なクレデンシャルを提示するようプロンプトを提示される。これらのクレデンシャルは、装置へのアクセスのロック解除に使用可能である。ユーザーは、一度装置にアクセスすると、そのユーザーの個人キーまたは共有暗号化キーで暗号化された情報にアクセスする可能性がある。このアクセスは、スムーズに行われることが好ましく、一般に、保護または暗号化された情報へのアクセス前に、ユーザーの再認証を要求しないことが好ましい。ユーザー認証では、認証するユーザーについてどのセキュリティポリシーおよびキーを適用すべきかがＳＡ  ３１６に示されることが好ましい。
【００５５】
本発明の一実施形態において、インテリジェンスベースの装置セキュリティにとって重要な態様は、システム管理者が指定したセキュリティ規則をリアルタイムに適用することである。セキュリティ規則と、それをトリガーまたは起動するイベントとの柔軟性も考慮すべき重要な点である。考慮すべき他の重要事項としては、設定情報およびインベントリ情報の動的な適用および更新、サードパーティアプリケーションの提供および管理、システム構成要素間の自動更新などがある。セキュリティ規則、イベント、設定などを含め、上記の考慮事項を管理するために必要な情報は、当該システム内のセキュリティポリシーと呼ぶことができる。
【００５６】
本発明を実装したセキュリティ規則システムの能力としては、ファイルタイプ、データを作成中または書き込み中のアプリケーションの属性、「包含」リストに含まれるフォルダ内のファイルに基づく保護または暗号化の適用、「除外」リストに含まれるフォルダ内のファイル、データを作成中または書き込み中のアプリケーションの属性に基づく保護または暗号化の非適用、ユーザー固有の暗号化キーまたは共有暗号化キーを使うかの指定、外部メディア暗号化規則の適用および設定、オペレーティングシステム保護規則の適用および設定、ユーザー認証およびアクセス回復機構の適用および設定、装置使用制御の適用および設定（カメラのパン、ＩＲ、Ｂｌｕｅｔｏｏｔｈ、ＷｉＦｉ、携帯電話／モデム、外部ポート、ストレージカード、周辺機器等を使用するかなど）、アクセス制御、システムまたはユーザーの挙動の監査、個人用ファイアウォール規則の適用および設定、ウイルス対策、スパム対策、およびスパイウェア対策に関する規則の適用および設定、提供と、管理と、電子メールツールや同期ツールなどサードパーティアプリケーションとの統合とに関する規則の適用および設定（これらに限定されるものではないが）を任意に組み合わせたものが含まれる。
【００５７】
インストールされたＳＡ  ３１６は、ただちにセキュリティポリシーの適用を開始できる。すなわち、特定タイプのファイル（ＥｘｃｅｌやＷｏｒｄ等、同じアプリケーションで使用されるなど）を暗号化するセキュリティ規則を管理者が一度指定すると、ＳＡ  ３１６は、ファイル作成や当該ファイルシステムへのファイル保存などの際トリガーファイル操作の検出に応答して前記セキュリティ規則を動的に適用することが好ましい。ＳＡ  ３１６のファイル−システムフィルターおよび暗号化サービスは、協動作用し、これらの規則を継続的かつインテリジェントに適用してシステム信頼度を確実に最大化する。特に、このＳＡ  ３１６のファイル−システムフィルターおよび暗号化サービスは、重要なオペレーティングシステムファイルの暗号化指定などを不安定にするおそれのある当該システムの設定ミスを検出することが好ましい。この場合、ＳＡ  ３１６は、システムの安定性を確実にするため、適用する規則をインテリジェントに選択し、システム動作に障害を生じるおそれのある規則を無視することができる。装置の制御、外部メディアの暗号化、サードパーティの統合および設定など他のポリシーは、インストールされたＳＡでユーザーが一度認証を行うと、自動的に適用されるようにできる。
【００５８】
本明細書の残りの部分にわたり、インテリジェントな暗号化規則を単に「規則」と呼ぶ。規則は、本発明の一態様において、修飾子のリストおよび属性のリストとして定義される。本発明の一態様では、一実施形態における暗号化属性など、保護するファイルに関する保護属性には、「暗号化する」（Ｅｎｃｒｙｐｔｅｄ）または「暗号化しない」（Ｕｎｅｎｃｒｙｐｔｅｄ）のうちいずれかの望ましい暗号化ステータスを含めることができる。「暗号化する」ファイルの場合、保護または暗号化の属性には、使用する好適な暗号化または保護のアルゴリズムに加えて、「装置ごと」（ｐｅｒ  ｄｅｖｉｃｅ）（共通（Ｃｏｍｍｏｎ））のキー、「ユーザー装置」（ｕｓｅｒ  ｄｅｖｉｃｅ）（ユーザー（Ｕｓｅｒ））のキー、または「ユーザーごと」（ｐｅｒ  ｕｓｅｒ）（共有ユーザー（Ｓｈａｒｅｄ  Ｕｓｅｒ））のキーを使って当該ファイルを暗号化すべきかどうかを識別するマーカーを含めることができる。代替実施形態は、本発明の要旨を逸脱しない範囲で企図される。
【００５９】
本発明によれば、修飾子は、ファイルに適用する規則を決定するため使うことができる。一実施形態では、修飾子は、規則に関するディレクトリのパス名である。一実施形態では、すべての規則がディレクトリパスに基づく場合もある。
【００６０】
また、修飾子は規則の範囲も定義できる。一般に、規則は指定ディレクトリ内のファイルだけに適用するよう定義できる。また、規則は、指定ディレクトリ下の１若しくはそれ以上のサブフォルダ内のファイルに適用するよう定義することもできる。
【００６１】
さらに、修飾子には、規則用に選択的な拡張子リストを含めることができる。一般に、拡張子リストは、所与の規則に該当するファイルを制限するよう定義できる。本発明では、「リスト内にない」（ｎｏｔ  ｉｎ  ｌｉｓｔ）修飾子も企図されている。
【００６２】
別の態様では、修飾子に、規則用にユーザー処理識別子（ｕｓｅｒ  ｐｒｏｃｅｓｓ  ｉｄｅｎｔｉｆｉｅｒ：ＩＤ）を含めることができる。一般に、ユーザー処理ＩＤ修飾子は、特定ユーザーの本人性の下で実行中の処理に対し、規則の適用を制限するため使用できる。一般に、処理または実行中のアプリケーションの属性は、ファイル操作など特定のシステム操作が許されるかどうか、またそのような操作に何らかの保護措置（暗号化、ロギング監査、アクセス制御など）が必要かどうかを決定するため使用される。本発明では、「このユーザー処理は不可」（ｎｏｔ  ｔｈｉｓ  ｕｓｅｒ  ｐｒｏｃｅｓｓ）修飾子の機能も企図している。
【００６３】
さらに別の態様では、修飾子に、規則のオーバーライドレベルを含めることができる。通常ならば保護下にあるディレクトリ内で、ユーザーベースおよびファイル拡張子ベースの保護または暗号化を可能にするには、重複する複数の規則が定義できることが好ましい。この態様等では、本発明により、システムの保護および／または暗号化ポリシーについて細かい制御ができるようになる。
【００６４】
本発明によれば、ファイル作成時に、保護または暗号化の属性を当該ファイルに関連付けることができる。一実施形態において、ファイルについて一度作成された保護または暗号化の属性は永久的に固定され、すなわち、絶対変更されないよう設定される。ファイルに関連付けられた前記保護または暗号化の属性を「置換」および／または「修正」するには、本発明の一実施形態では、新しい属性を割り当てたいファイルを再作成しなければならない。ファイルの再作成は、ファイルの名称変更やファイルコピーによる元のファイル名への変更など（これに限定されるものではないが）種々の手段により達成できる。本発明の説明によれば、ファイルの保護または暗号化属性を置換または修正する別の実施態様を使用することもできる。
【００６５】
動作時は、ファイルが作成されると、規則リストが評価され「最適な」マッチが検索されることが好ましい。本発明によれば、次にその規則の属性が新しいファイルに適用される。一実施形態では、前記「最適な」マッチは、拡張子リストおよび処理ＩＤに該当する最も長いディレクトリ指定として定義することができる。このような規則リスト処理は、順序に依存しないことが好ましく、前記リスト内に重複したマッチはないものと仮定される。この仮定は、ＵＭＳＳ構成要素２０８で実施できる。本発明の一実施形態では、検出された他のトリガーファイル操作（削除、開閉、読み取り、書き込みなど）に応答した同様なファイル処理も実施されることが好ましい。
【００６６】
このインテリジェントな暗号化処理用の疑似コードの一実施形態は、ＩＳＦ構成要素２０６の後に来ることが好ましく、次のように定義できる。
【数１】
2009510808.tif 000002
【００６７】
一実施形態において、データアクセス制御および当該暗号化処理は、強化されたＷｉｎｄｏｗｓ（登録商標）ログイン処理で制御できる。このログイン処理は、標準Ｗｉｎｄｏｗｓ（登録商標）ログイン手順のように見え、そのように動作しながら、ユーザーのＷｉｎｄｏｗｓ（登録商標）パスワードハッシュおよび暗号化キーを保護する特定用途向けアプローチを、ユーザーの正常なログイン終了時まで使用することが好ましい。正常にログインした時点で、有効なユーザーの暗号化キーはロック解除されることが好ましい。次に、例えばトリガーファイル操作に応答して、ファイルがオンデマンドで復号化される。権限のある有効なユーザーの暗号化キーだけがロック解除されることが好ましい。個々のユーザーは、個別の暗号化キーを有するため、一般に別のユーザーのプライベート情報にはアクセスできない。この実施形態では、複数のユーザーが、安全に、パスワードを共有することなく、さらに他者の機密情報またはプライベート情報にはアクセスできない状態で、同じコンピュータまたは情報取り扱いシステムを共有できるようになっている。本発明では、他のＯＳ環境も企図されている。
【００６８】
Ｗｉｎｄｏｗｓは、Ｗｉｎｄｏｗｓパスワード（ドメインまたはマシンにログインし、接続解除された情報取り扱いシステムにアクセスできるようにするため使われる）のハッシュ（暗号化操作）をレジストリに格納する。ＬＣ  ５（以前はＬＯｐｈｔＣｒａｃｋと呼ばれていた）など既知のハッキングプログラムには、格納されているハッシュを利用して、多数のパスワードを生成し、そのハッシュを計算してレジストリに格納されているハッシュと比較することにより、強引なパスワード攻撃を仕掛けるものがある。この場合、２つのハッシュが一致すると攻撃者に正しいパスワードが知られてしまう。
【００６９】
本発明を導入したシステムでは、レジストリからハッシュを除去（削除）し、暗号化その他の手段で保護した安全なフォルダに当該ハッシュを格納することにより、上記タイプの攻撃に対する防御を備えている。ユーザーは、自らの装置に自らのパスワードを使って（このパスワードは本発明によりチェックされる）ログインできる。前記装置へのログインが正常に行われたのち前記パスワードのハッシュは復号化され、このハッシュは、ＯＳが特定のオフラインパスワードチェック動作の実行に必要とする場合のみレジストリに配置されることが好ましい。ＯＳその他のシステム構成要素が必要としない場合、前記パスワードのハッシュは（レジストリから）除去され、保護されたデータファイルに安全に格納される。
【００７０】
本発明によれば、このアプローチは一般にＯＳパスワード機構の安全性を向上させ、好ましくは、暗号化され装置に格納された情報の機密が、ＯＳパスワード決定ツールを使っても絶対に破られないようにする。このように、ＯＳパスワードのハッシュはユーザーが実際にログインする際に短時間だけレジストリで利用可能になり、それ以外のときは保護または暗号化されることが好ましいため、これまでの不正侵入方法はもはや通用しなくなる。
【００７１】
また、本発明のシステムおよび方法は、Ｗｉｎｄｏｗｓページングファイルなどのページングファイルまたはスワップファイルを保護し、それに含まれているいかなる機密情報も必ず保護されるよう構成できる。一実施形態では、情報取り扱いシステムが起動するたびに一意の暗号化キーを生成し、その暗号化キーを使って全ユーザーのページングファイルを保護する。このページングファイルは、使用されないとき暗号化され、アクセス時にオンザフライで（すばやく）復号化されることが好ましい。
【００７２】
さらに別の態様では、本発明を導入したシステムおよび方法は、外部ハードドライブ、ＵＳＢメモリ、Ｚｉｐドライブ、ＳＤカード、ＣＦカードその他などリムーバブルメディアの保護を実現できる。一実施形態では、ドライブレターとしてマウントするいかなるリムーバブルメディアも、強制的に保護または暗号化される。本発明の一実施形態によれば、リムーバブルメディアの暗号化は、例えばパーティション（例えば、Ｆ：／をリムーバブルメディアに格納されたデータをユーザーが共有できるようマシンの全ユーザー用として）、またファイルタイプ（．ｘｌｓや．ｐｐｔ．など）により実施することができる。このような能力により、リムーバブルメディアに格納された機密情報が確実に常時保護されるようになることが好ましい。
【００７３】
ここで図４および図５を参照すると、インテリジェントな暗号化および暗号化フィルタリングの方法の一実施形態が、本発明の説明に従って示されている。これに対する種々の修正および変更は、本明細書で提供する説明を考慮することにより容易に理解されるであろう。
【００７４】
図４および図５に示すように、方法５００は、５０２から開始することが好ましい。５０２で開始した後、方法５００は５０４へ進んでトリガーファイル操作の検出を待機することが好ましい。上述したように、本発明の説明によれば、トリガーファイル操作またはトリガリングイベントには、ストレージ（記憶装置）、ディスク、またはメモリへのファイルまたはデータの書き込みなどが含まれる。本明細書では、トリガーファイル操作またはトリガリングイベントとして、データ書き込み操作のほか、データの作成、削除、開閉、および読み取り（これに限定されるものではないが）その他の操作も考慮される。５０４においてトリガーファイル操作が認識または検出された後、方法５００は、５０６へ進むことが好ましい。
【００７５】
５０６では、方法５００は、問い合わせを行い前記トリガーファイル操作の検出された装置で暗号化の保護が有効にされているかどうかを決定することが好ましい。本発明によれば、方法５００の一実施形態は、１若しくはそれ以上のデータ暗号化アプリケーション、方法、またはアルゴリズムが利用可能であっても有効にされていない間はトリガーファイル操作の監視が有効になるよう実施できる。暗号化が有効にされていないと５０６で決定された場合、方法５００は５０８へ進み、そこで終了することが好ましい。あるいは、暗号化が実際有効であると５０４で決定された場合、方法５００は５１０へ進むことが好ましい。
【００７６】
本発明の一実施形態によれば、本発明を導入している装置内部のストレージまたはメモリに格納されたデータ、並びに本発明を導入している装置に接続されたリムーバブルメディアに格納された、または今後格納されるデータを保護することが可能である。リムーバブルメディアには、ＵＳＢメモリ、リムーバブルハードドライブ装置、フラッシュメモリその他のリムーバブルメディア装置を含めることができる（これに限定されるものではないが）。
【００７７】
適宜５１０において、方法５００の一実施形態は、格納された、または今後格納されるデータを、一時的または永久的に、リムーバブルメディア上で保護する。５１０では、５０４で検出された前記トリガーファイル操作が、前記装置に動作可能に連結されたリムーバブルメディアに格納された、または今後格納されるデータに対し実行すべきファイル操作に関するものかどうかが、方法５００により決定されることが好ましい。５１０において、前記検出されたトリガーファイル操作がリムーバブルメディアに影響するデータ操作に関係すると決定した場合、方法５００は、５１２へ進むことが好ましい。５１０において、前記検出されたトリガーファイル操作がリムーバブルメディアのデータ操作に関係しないと決定された場合、方法５００は５１４へ進むことが好ましい。
【００７８】
５１２では、リムーバブルメディアの保護が有効にされているかどうかをを決定するため、方法５００の一実施形態を導入している現在の装置に関する設定がチェックされる。５１２において、リムーバブルメディアの保護が有効にされていないと決定された場合、方法５００は５１４へ進むことが好ましい。あるいは、５１２において、現在の装置がリムーバブルメディアの保護を有効にしていると決定された場合、方法５００は５１６へ進むことが好ましい。
【００７９】
本発明の一実施形態によれば、保護すべきデータに対し、細かい制御が行えるようになっていることが好ましい。そのような一実施形態では、装置とその装置上のデータの保護は、データの格納場所と、その場所が前記装置の内部かリムーバブルメディア内かとに基づいて実施される。また一実施形態では、データ保護は、データのタイプ、データの格納パスまたは場所、特定のデータタイプに関連付けられたアプリケーション、当該装置にログインしているトリガーファイル操作実行中のユーザー、その他無数のパラメータに基づき有効にすることができる。
【００８０】
５１６において、方法５００の一実施形態は、前記トリガーファイル操作に関連付けられた、またはそれに影響されるデータを調べることが好ましい。本発明の一態様によれば、方法５００は、前記トリガーファイル操作に関連付けられた、またはそれに影響されるデータが実行可能なファイルかどうかを５１６で決定することが好ましい。５１６において、前記検出されたトリガーファイル操作に関連付けられた、またはそれに影響されるデータが実行不能であると決定された場合、方法５００は５１８へ進むことが好ましい。あるいは、５１６において、前記トリガーファイル操作に関連付けられた、またはそれに影響されるデータが実行可能であると決定された場合、方法５００は一実施形態において５２０へ進むことが好ましい。データが実行可能なファイルかどうかをチェックするほか、方法５００は、．ｂａｔ、ｃａｂ、．ｃｈｍ、．ｃｏｍ、．ｄｌｌ、．ｈｌｐ、．ｉｃｏ、．ｉｎｉ、．ｉｎｆ、．ｏｃｘ、．ｓｙｓを含む（これに限定されるものではないが）非機密データかどうかも決定することができる。
【００８１】
本発明の一実施形態では、５１８において、方法５００は、５０４で検出された前記トリガーファイル操作に関連付けられた、またはそれに影響されるデータを保護することが好ましい。本発明の説明によれば、方法５００は、５１８において、ローミング暗号化キーを使って前記トリガーファイル操作に影響されるデータを暗号化できる。本発明の説明によれば、ローミング暗号化キーの一実施形態は、本発明の実施態様を実装した種々の異なる装置に使用するよう動作可能な暗号化キーである。本発明の説明によれば、暗号化に加えた、またはその代わりのデータ保護措置は、５１８および方法５００内でデータがセキュリティ用に処理され、または保護される他の段階において提供することができる。
【００８２】
本発明の一実施形態では、ローミング暗号化キーは、それが割り当てられた装置に関係なく特定の個別ユーザーだけが利用できる暗号化キーである。したがって、当該ローミング暗号化キーは、そのユーザー用にデータを暗号化または復号化するため、そのユーザーが認証された任意の装置間で共有して使用することができる。さらに別の実施形態では、このローミング暗号化キーが暗号化済みデータの携帯性を提供することにより、確実に、エンタープライズ（企業）内の保護されたマシン間で末端ユーザーが自由にローミングし当該キーで保護された暗号化済みデータにアクセスできるようにする。一態様では、固定マシンから容易に取り出してユーザーとともに移動可能なリムーバブルメディア上でデータを暗号化する場合に、ローミング暗号化キーが最も適切なものとなる。
【００８３】
上述したように、５０４で検出済みの前記トリガーファイル操作に関連付けられた、またはそれに影響されるデータが実行可能であることが５１６で決定された場合、方法５００は、本発明の一実施形態に基づき、５２０へ進むことが好ましい。５２０において、方法５００は、１若しくはそれ以上の装置設定について問い合わせを行い、現在の装置に含まれるそれらの設定が、当該現在の装置に動作可能に関連付けられたリムーバブルメディアに格納された、または今後格納される実行可能なデータを保護するよう構成されているかどうかを決定することが好ましい。５２０において、現在の装置が、リムーバブルメディア上の実行可能なデータを保護するよう構成されていないと決定された場合、方法５００は５２２へ進み、その場合は、５０４で検出済みの、前記トリガーファイル操作に関連付けられた、またはそれに影響されるデータが、保護されていない状態のまま残されることが好ましい。本発明の一実施形態によれば、瞬時に行われるこの反復動作中に５０４で検出された前記トリガーファイル操作については、方法５００は５２２で終了する。あるいは、方法５００は５２２から５０４に戻り、次のトリガーファイル操作を待機する。
【００８４】
本発明の一実施形態によれば、データは、前記トリガーファイル操作を開始するアプリケーションまたは処理に応じて保護することができる。本発明のさらに別の実施形態では、データは、前記トリガーファイル操作を開始したアプリケーションまたは処理であって、さらに認証済みまたはログイン中のユーザーが所有する、または起動したアプリケーションまたは処理に応じて、保護することが可能である。
【００８５】
上述したように、方法５００は、５１０において、現在のトリガーファイル操作が、リムーバブルメディアに格納された、または今後格納されるデータに関連付けられているか、またはそれに影響するかどうかを決定することが好ましい。５１０において、現在のトリガーファイル操作がリムーバブルメディアに関連付けられておらず、またはそれに影響しないと決定された場合、方法５００は５１４へ進むことが好ましい。５１４において、方法５００は、現在の装置の設定について問い合わせを行い、あるいはそれについて調べ、ユーザー処理の暗号化が有効にされているかどうかを決定することが好ましい。５１４において、ユーザー処理の暗号化が有効にされていないと決定された場合、方法５００は５２６へ進むことが好ましい。あるいは、５１４において、ユーザー処理の暗号化が有効にされていると決定された場合、方法５００は５２８へ進むことが好ましい。
【００８６】
５２８において、方法５００は、５０４で検出された現在のトリガーファイル操作に関与しているアプリケーションまたは処理が、認証済みまたはログイン中の現在のユーザーが所有する、または起動したものかどうかを決定することが好ましい。５２８において、現在のトリガーファイル操作に関与しているアプリケーションまたは処理が、認証済みまたはログイン中の現在のユーザーが所有するものではなく、または起動したものでもないと決定された場合、方法５００は、５２６へ進むことが好ましい。あるいは、本発明の説明に基づき、方法５００は５３０へ進むこともできる。
【００８７】
５３０では、前記トリガーファイル操作に関連付けられた、またはそれに影響されるデータが、保護される共通のフォルダまたは場所に格納されている、または今後格納されるかどうか、さらにそれが一時的なものか永久的なものかが決定されることが好ましい。５３０において、前記トリガーファイル操作に関連付けられた、またはそれに影響されるデータが、保護される共通のフォルダまたは場所に格納されている、または今後格納されると決定された場合、方法５００は５３２へ進むことが好ましく、その場合は、前記トリガーファイル操作に関連付けられた、またはそれに影響されるデータを、１若しくはそれ以上の保護措置（一実施形態によれば、共通の暗号化キーを使った暗号化など）の対象とすることができる。あるいは、方法５００は５３４へ進み、前記トリガーファイル操作に関連付けられた、またはそれに影響されるデータを、１若しくはそれ以上の保護措置（一実施形態によれば、ユーザー固有の暗号化キーを使った暗号化など）の対象とすることができる。
【００８８】
５２６では、５１４においてユーザー処理の暗号化が有効にされていないことが決定された後、または５２８において現在のトリガーファイル操作に関与しているアプリケーションまたは処理が、認証済みまたはログイン中の現在のユーザーが所有するものではなく、または起動したものでもないと決定された後、方法５００により、現在の装置の保護スキームにファイル拡張子別またはファイルタイプ別の保護が含まれるかどうかが決定されることが好ましい。５２６において、ファイル拡張子別またはファイルタイプ別のデータ保護が有効にされていると決定されると、方法５００は、本発明の一実施形態に基づき、５３６へ進むことが好ましい。
【００８９】
本発明の一実施形態では、５３６において、方法５００により、現在のトリガーファイル操作に関連付けられたファイルタイプまたはファイル拡張子が、現在の装置のセキュリティポリシーから除外されるかどうかについて決定されることが好ましい。５３６において、現在のトリガーファイル操作に関連付けられた、またはそれに影響されるデータまたはファイルのファイルタイプまたはファイル拡張子が、現在の装置のセキュリティポリシーまたは保護ポリシーから除外されると決定された場合、方法５００は５３８へ進み、その場合、現在のトリガーファイル操作に関連付けられた、またはそれに影響されるデータは保護されていない状態のまま残される。あるいは、方法５００は５４０へ進み、その場合は、前記トリガーファイル操作に関連付けられた、またはそれに影響されるデータを１若しくはそれ以上の保護措置（共通の暗号化キーを使った暗号化など）の対象とすることができる。５３８または５４０の後、方法５００は、本発明の一実施形態において５０４に戻り、そこで次のトリガーファイル操作を待機する。
【００９０】
５２６において、ファイルタイプ別またはファイル拡張子別の保護措置が現在の装置で有効にされていないと決定されると、方法５００は、本発明の一実施形態に基づき、５４２へ進むことが好ましい。５４２では、現在のトリガーファイル操作に関連付けられた、またはそれに影響されるデータが格納または操作される場所が、データを１若しくはそれ以上の保護措置の対象とすべき場所であるかどうかについて決定されることが好ましい。例えば、一時的に、あるいはディレクトリパス名Ｃ：Ｗｉｎｄｏｗｓ￥Ｄｅｓｋｔｏｐなど特定の場所に格納されたすべてのデータが１若しくはそれ以上のセキュリティ措置の対象となるよう、保護措置を講じることが可能である。５４２において、現在のトリガーファイル操作に関連付けられた、またはそれに影響されるデータが格納または操作される場所が、データを１若しくはそれ以上の保護措置の対象とすべき場所ではないと決定された場合、方法５００は、５４４へ進んでデータは保護されていない状態のまま残されることが好ましく、そこから方法５００は５０４に戻り、次のトリガーファイル操作を待機する。
【００９１】
あるいは、５４２において現在のトリガーファイル操作に関連付けられた、またはそれに影響されるデータの場所またはパスが１若しくはそれ以上の保護措置の対象であると決定された場合、方法５００は５４６へ進むことが好ましい。５４６において、方法５００は、現在のトリガーファイル操作に関連付けられた、またはそれに影響されるデータが、１若しくはそれ以上のブール（論理型）ポリシーに関連付けられた場所に関連付けられている（その場所に格納されているなど）かどうかについて決定することが好ましい。５４６において、現在のトリガーファイル操作に関連付けられた、またはそれに影響されるデータが、１若しくはそれ以上のブール（論理型）ポリシーに関連付けられた場所に関連付けられていると決定された場合、方法５００は、５４６へ進むことが好ましい。５４８において、前記データは、ユーザーの暗号化キーを使った暗号化など、１若しくはそれ以上の保護措置の対象とされることが好ましい。５４８での動作後、方法５００は５０４に戻り、次のトリガーファイル操作を待機する。
【００９２】
本発明の一態様では、システムに含まれる特定データ用に自動暗号化規則を指定するためのブールポリシーセットを提供することができる。これらのブールポリシーは、機密データが格納されることの多いマシン上のデフォルトの場所（Ｍｙ  Ｄｏｃｕｍｅｎｔｓ、Ｏｕｔｌｏｏｋ  Ｐｅｒｓｏｎａｌ  Ｆｏｌｄｅｒｓ、Ｔｅｍｐｏｒａｒｙ  Ｆｉｌｅｓなど）をカバーするため提供される。これらのポリシーを設定することにより、管理者は、これらのデフォルト場所に格納されたいかなるデータの自動暗号化も、前記ユーザーの暗号化キーで実施することができる。このような一実施形態により、管理者は、すばやく効率的に機密データの保護を設定できるようになる。一態様では、ボックスをチェック（選択）してブールポリシーをオンにすることにより、バックグラウンドで暗号化規則が自動的に生成され、チェック（選択）済みアイテムが暗号化されるようシステムが設定される。
【００９３】
５４６において、現在のトリガーファイル操作に関連付けられた、またはそれに影響されるデータが、１若しくはそれ以上のブール（論理型）ポリシーに関連付けられた場所に関連付けられていないと決定された場合、方法５００は、５５０へ進むことが好ましい。５５０において、方法５００は、現在のトリガーファイル操作に関連付けられたデータが、一時的に格納されるか、あるいは共通の保護措置の対象である共通の一時的なディレクトリまたは場所（ページングファイルやスワップファイルなど）に格納されるかどうかを決定することが好ましい。５５０において、現在のトリガーファイル操作に関連付けられたデータが、共通の保護措置の対象とされる共通の一時的なディレクトリまたは場所に格納されると決定された場合、方法５００は５５２に進むことが好ましく、その場合、前記データは、共通の暗号化キーを使った暗号化など１若しくはそれ以上の保護措置の対象とすることができる。５５２での動作後、方法５００は５０４に戻り、次のトリガーファイル操作を待機する。同様に、５５０において、現在のトリガーファイル操作に関連付けられたデータが、共通の保護措置の対象である共通の一時的なディレクトリまたは場所には格納されないと決定された場合、方法５００は５５４に進んで前記データを保護されていない状態のまま残し、次いで５０４に戻り次のトリガーファイル操作を待機する。
【００９４】
本発明を導入したシステムの一実施形態は、実装する製品が暗号操作を正しく実行することにより、機密情報が安全であることを確実にするため、ＦＩＰＳ  １４０−２について検証されたものであることが好ましい。一態様では、必須アクセス制御、格納データ暗号化、およびデータ破壊能力を含むポリシーベース機載セキュリティを実施してリスクを軽減し、ＨＩＰＡＡ、Ｇｒａｍｍ−Ｌｅａｃｈ−Ｂｌｉｌｅｙ、Ｓａｒｂａｎｅｓ−Ｏｘｌｅｙ、Ｃａｌｉｆ．  ＳＢ１３８６その他の規制に確実に準拠し、接続の有無にかかわらず随時安全な回復およびパスワードリセットが可能な能力により生産性および使いやすさを実現し、Ｍｉｃｒｏｓｏｆｔ  Ａｃｔｉｖｅ  Ｄｉｒｅｃｔｏｒｙなどの既存エンタープライズディレクトリとの統合および多様なモバイル装置のセキュリティを単一コンソールから制御する能力の提供によりコストを最小限に抑えるための編成が、本発明により実施可能になる。
【００９５】
さらに、本発明を実装したシステムは、ユーザーおよび当該ユーザーが閲覧を許可されているものに関する情報を、ノートブックやデスクトップ、または他の情報取り扱いシステムに含まれる保護しなければならない極めて重要なファイルに関する情報と組み合わせることにより、最重要情報を保護することが好ましい。本発明を導入した規則ベースのシステムは、オペレーティングシステム、アプリケーションファイル、その他機密データを含まないファイルの全体を暗号化することなく、極めて重要なすべての情報を保護および／または暗号化することが好ましい。ファイルベースのソリューションと異なり、本発明を実装したシステムは、共有データ、ユーザーデータ、一時ファイル、Ｗｉｎｄｏｗｓページングファイル、通常レジストリに格納されたＷｉｎｄｏｗｓパスワードハッシュ、リムーバブルメディアに格納されたデータ、さらに可能性として他の情報を含むデータを、保護または暗号化することが好ましい。
【００９６】
データファイルは、有効で好ましくは権限のあるユーザーからアクセスされる際、オンザフライで（すばやく）トランスペアレントに（ユーザーに意識されずに）暗号化および復号化されることが好ましい。データは、Ｍｉｃｒｏｓｏｆｔ（登録商標）Ｗｏｒｄ、Ｅｘｃｅｌ、Ｐｏｗｅｒ  Ｐｏｉｎｔ、Ｏｕｔｌｏｏｋ、ＡＣＴ！その他のアプリケーションがファイルを開きそれにアクセスする際、読み取り処理によって復号化可能である。データは、アプリケーションがデータを修正および格納する際、書き込み処理によって暗号化できる。これはユーザーにトランスペアレントなモデルであり、ログイン以外にユーザーのアクションを必要としないことが好ましい。また、前記暗号化および復号化は、当該システムで動作するすべてのアプリケーションにトランスペアレントであることが好ましい。
【００９７】
以上の説明は例示的なものであって、いかなる意味でも本発明を限定することを目的としたものではない。例えば、１若しくはそれ以上の上述したモジュールをさらに組み合わせ、いくつかの追加構成要素に動作（演算）を分散させることが可能である。さらに、本明細書で説明した本発明の１若しくはそれ以上の部分は、ハードウェア、ソフトウェア、またはこれらの何らかの組み合わせに導入（実装）することができる。
【００９８】
以上、本開示を詳しく説明したが、発明の要旨を変更しない範囲で種々の変形形態、置換形態、および修正形態が可能であることは言うまでもない。
【図面の簡単な説明】
【００９９】
本実施形態およびその利点は、以下の詳細な説明を次の添付の図面とともに参照することで、より深く理解することができる。
【図１】図１は、本発明の教示に従った情報取り扱いシステムの一実施形態を例示したブロック図である。
【図２】図２は、本発明の教示に従ったインテリジェンスベースの暗号化を導入したシステムを示した高レベルのコンテキスト図の一実施形態を例示したブロック図である。
【図３】図３は、本発明の教示を導入したシステムの別の態様を例示したブロック図である。
【図４】図４〜５は、本発明の教示に従ったインテリジェントなデータ暗号化の方法の一実施形態を例示したフローチャートである。
【図５】図４〜５は、本発明の教示に従ったインテリジェントなデータ暗号化の方法の一実施形態を例示したフローチャートである。  本発明は、種々の変更（修正）形態および代替形態が可能である。本明細書においては、本発明の具体的な実施形態を前記図面で例として示し、また以下で詳しく説明する。ただし言うまでもなく、本明細書に記載した具体的な実施形態の説明は、開示した特定の形態に本発明を限定することを目的としたものではない。むしろ、添付の特許請求の範囲で定義した本発明の要旨の範囲に含まれる変更（修正）形態、代替形態、および均等物をすべて網羅することを意図したものである。
【図１】
2009510808.tif 000003
【図２】
2009510808.tif 000004
【図３】
2009510808.tif 000005
【図４】
2009510808.tif 000006
【図５】
2009510808.tif 000007
【国際調査報告】
2009510808.tif 000008