(57)【要約】      （修正有）【課題】クラウド・コンピューティング・サービス上に保存された企業情報をモニターし、コントロールし、ドキュメント当たりの暗号化を行うシステム及び方法を提供する。【解決手段】システムは、ドキュメントの安全な暗号化のために、組織識別子、アプリケーション識別子及び領域識別子のトリプレットを用いてキーマネージャにアクセスし、それに応じて、３重キー及び３重キーを一意的に識別する３重キー識別子を受け取る。更に、クラウド・コンピューティング・サービス（ＣＣＳ）上に保存された企業情報のモニター及びコントロールは、使用中のクラウド・コンピューティング・サービス（ＣＣＳ）アプリケーション・プログラミング・インターフェース（ＡＰＩ）及びＣＣＳ・ＡＰＩを介して実行される機能または活動を検出するクロス・アプリケーション・モニタを使用する。【選択図】図４
2019016370.tif 000002
【特許請求の範囲】
【請求項１】
クラウド・コンピューティング・サービス（ＣＣＳ）上に保存された企業情報をモニター及びコントロールするコンピュータにより実行される方法であって、
クライアントが使用中のクラウド・コンピューティング・サービス（ＣＣＳ）アプリケーション・プログラミング・インターフェース（ＡＰＩ）、及び、前記ＣＣＳ・ＡＰＩを介して前記クライアントにより要求される機能または活動を検出するクロス・アプリケーション・モニタを使用すること、
前記検出されたＣＣＳ・ＡＰＩに基づいて、前記ＣＣＳ・ＡＰＩを介して交換されたＡＰＩデータを解析（ｐａｒｓｅ）すること、及び、前記クライアントと前記ＣＣＳの間で送信されるコンテンツを識別することにより実行される前記機能または前記活動を決定すること、
コンテンツ検査ルールにより特定される近似範囲内にある２以上の離散的な文字列（ｓｔｒｉｎｇｓ）を発見するために、尚、前記２以上の離散的な文字列は、当該発見に基づいて、結果としてコンテンツコントロールの対象となるものであり、少なくとも決定された前記機能または前記活動に基づいて、前記クライアントと前記ＣＣＳの間で送信される前記コンテンツに、マルチパート文字列検索パターンを備えた前記コンテンツ検査ルールを選択的に適用すること、及び、
前記コンテンツコントロールの対象となる前記２以上の離散的な文字列の発見に対応するセキュリティ処置を起動することを含む方法。
【請求項２】
前記ＣＣＳに対して適用可能なポリシー中で規定されている複数の条件変数に基づいて前記セキュリティ処置を起動することを更に含む請求項１に記載のコンピュータにより実行される方法。
【請求項３】
コンテンツコントロールの対象となるコンテンツに関連するメタデータ中の文字列及び相互関係のある文字列を発見するために前記コンテンツ検査ルールを適用すること更に含む請求項１〜２の何れか１項に記載のコンピュータにより実行される方法。
【請求項４】
前記コンテンツ検査ルールが、コンテンツコントロールの対象となるコンテンツを集合的に識別する２以上の離散的な文字列にマッチする少なくとも１つのマルチパート文字列検索パターンを更に含む請求項１〜３の何れか１項に記載のコンピュータにより実行される方法。
【請求項５】
前記マルチパート文字列検索パターンの少なくとも１つの下位区分が、特定の顧客の要求に合わせて調整されたカスタムパターンである請求項１〜４の何れか１項に記載のコンピュータにより実行される方法。
【請求項６】
前記マルチパート文字列検索パターンの少なくとも１つの下位区分が、データ分類ライブラリからの標準パターンである請求項１〜５の何れか１項に記載のコンピュータにより実行される方法。
【請求項７】
前記コンテンツ検査ルールが、ソースコードを対象とした複数のマルチパート文字列検索パターンを更に含む請求項１〜６の何れか１項に記載のコンピュータにより実行される方法。
【請求項８】
前記セキュリティ処置として、前記コンテンツを隔離することを更に含む請求項１〜７の何れか１項に記載のコンピュータにより実行される方法。
【請求項９】
前記コンテンツを隔離することが、前記ＣＣＳに隔離フォルダを生成し、隔離承認者による承認または拒否を保留にして条件付きで前記コンテンツを前記隔離フォルダに保存することを更に含む請求項１〜８の何れか１項に記載のコンピュータにより実行される方法。
【請求項１０】
前記コンテンツの前記ＣＣＳへの送信に係る前記隔離承認者の決定を保存すること、及び、
前記隔離承認者の前記決定に基づいて前記コンテンツを前記ＣＣＳへ送信するための後続の要求を処理することを、更に含む請求項１〜９の何れか１項に記載のコンピュータにより実行される方法。
【請求項１１】
条件付きで前記コンテンツを前記隔離フォルダに保存することが、
前記コンテンツを識別する前記コンテンツのためのツームストーン（ｔｏｂｍｓｔｏｎｅ）ファイルを表すデータを生成すること、及び、
前記隔離承認者の承認または拒否に対応して、前記ツームストーンファイルを前記コンテンツに置換することと、前記ツームストーンファイルを削除することの少なくとも１つを行うことを、更に含む請求項１〜１０の何れか１項に記載のコンピュータにより実行される方法。
【請求項１２】
前記セキュリティ処置として、
前記クライアントにより要求される前記機能または前記活動を完了する条件として、解析されたＡＰＩデータ中の前記コンテンツの前記クライアントによる使用に、前記ＣＣＳ・ＡＰＩの使用の正当化を要求すること、及び、
更なるコンピュータにより実行される処理のために前記正当化を保存し転送することを、更に含む請求項１〜１１の何れか１項に記載のコンピュータにより実行される方法。
【請求項１３】
前記セキュリティ処置として、前記コンテンツのドキュメント特有の暗号化を更に含む請求項１〜１２の何れか１項に記載のコンピュータにより実行される方法。
【請求項１４】
クラウド・コンピューティング・サービス（ＣＣＳ）上に保存された企業情報をモニター及びコントロールするシステムであって、
前記システムが、プロセッサ、及び、コンピュータ命令を保存しているコンピュータ可読記憶媒体を含み、
前記コンピュータ命令が、前記プロセッサに対して、
クライアントが使用中のクラウド・コンピューティング・サービス（ＣＣＳ）アプリケーション・プログラミング・インターフェース（ＡＰＩ）、及び、前記ＣＣＳ・ＡＰＩを介して前記クライアントにより要求される機能または活動を検出するクロス・アプリケーション・モニタを使用すること、
前記検出されたＣＣＳ・ＡＰＩに基づいて、前記ＣＣＳ・ＡＰＩを介して交換されたＡＰＩデータを解析（ｐａｒｓｅ）すること、及び、前記クライアントと前記ＣＣＳの間で送信されるコンテンツを識別することにより実行される前記機能または前記活動を決定すること、
コンテンツ検査ルールにより特定される近似範囲内にある２以上の離散的な文字列（ｓｔｒｉｎｇｓ）を発見するために、尚、前記２以上の離散的な文字列は、当該発見に基づいて、結果としてコンテンツコントロールの対象となるものであり、少なくとも決定された前記機能または前記活動に基づいて、前記クライアントと前記ＣＣＳの間で送信される前記コンテンツに、マルチパート文字列検索パターンを備えた前記コンテンツ検査ルールを選択的に適用すること、及び、
前記コンテンツコントロールの対象となる前記２以上の離散的な文字列の発見に対応するセキュリティ処置を起動することを、行わせるように構成されているシステム。
【請求項１５】
前記コンテンツ検査ルールが、コンテンツコントロールの対象となるコンテンツを集合的に識別する２以上の離散的な文字列にマッチする少なくとも１つのマルチパート文字列検索パターンを更に含む請求項１４に記載のシステム。
【請求項１６】
前記マルチパート文字列検索パターンの少なくとも１つの下位区分が、特定の顧客の要求に合わせて調整されたカスタムパターンである請求項１４〜１５の何れか１項に記載のシステム。
【請求項１７】
前記マルチパート文字列検索パターンの少なくとも１つの下位区分が、データ分類ライブラリからの標準パターンである請求項１４〜１６の何れか１項に記載のシステム。
【請求項１８】
前記セキュリティ処置として、前記コンテンツを隔離することを含むように更に構成されている請求項１４〜１７の何れか１項に記載のシステム。
【請求項１９】
クラウド・コンピューティング・サービス（ＣＣＳ）上に保存された企業情報をモニター及びコントロールする方法を実行するための命令が保存された１以上の持続性コンピュータ可読記憶媒体であって、前記方法が、
クライアントが使用中のクラウド・コンピューティング・サービス（ＣＣＳ）アプリケーション・プログラミング・インターフェース（ＡＰＩ）、及び、前記ＣＣＳ・ＡＰＩを介して前記クライアントにより要求される機能または活動を検出するクロス・アプリケーション・モニタを使用すること、
前記検出されたＣＣＳ・ＡＰＩに基づいて、前記ＣＣＳ・ＡＰＩを介して交換されたＡＰＩデータを解析（ｐａｒｓｅ）すること、及び、前記クライアントと前記ＣＣＳの間で送信されるコンテンツを識別することにより実行される前記機能または前記活動を決定すること、
コンテンツ検査ルールにより特定される近似範囲内にある２以上の離散的な文字列（ｓｔｒｉｎｇｓ）を発見するために、尚、前記２以上の離散的な文字列は、当該発見に基づいて、結果としてコンテンツコントロールの対象となるものであり、少なくとも決定された前記機能または前記活動に基づいて、前記クライアントと前記ＣＣＳの間で送信される前記コンテンツに、マルチパート文字列検索パターンを備えた前記コンテンツ検査ルールを選択的に適用すること、及び、
前記コンテンツコントロールの対象となる前記２以上の離散的な文字列の発見に対応するセキュリティ処置を起動することを含む持続性コンピュータ可読記憶媒体。
【請求項２０】
前記コンテンツ検査ルールが、コンテンツコントロールの対象となるコンテンツを集合的に識別する２以上の離散的な文字列にマッチする少なくとも１つのマルチパート文字列検索パターンを更に含む請求項１９に記載の持続性コンピュータ可読記憶媒体。
【請求項２１】
前記マルチパート文字列検索パターンの少なくとも１つの下位区分が、特定の顧客の要求に合わせて調整されたカスタムパターンであること、及び、前記マルチパート文字列検索パターンの少なくとも１つの下位区分が、データ分類ライブラリからの標準パターンであることの少なくとも何れか一方である請求項１９〜２０の何れか１項に記載の持続性コンピュータ可読記憶媒体。
【請求項２２】
前記セキュリティ処置として、前記コンテンツを隔離することを含むように更に構成されている請求項１９〜２１の何れか１項に記載の持続性コンピュータ可読記憶媒体。
【発明の詳細な説明】
【優先権データ】
【０００１】
本出願は、下記の出願と関連し、その利益を主張する。
【０００２】
「クラウド・コンピューティング・サービス（ＣＣＳ）上に保存された企業情報をモニター及びコントロールするシステム及び方法」、米国仮特許出願第６２／１３５６５６号、２０１５年３月１９日出願（代理人事件整理番号：ＮＳＫＯ  １００１−１）
【０００３】
「クラウド・コンピューティング・サービス（ＣＣＳ）上に保存された企業情報をモニター及びコントロールするシステム及び方法」、米国特許出願第１４／８３５６４０号、２０１５年８月２５日出願（代理人事件整理番号：ＮＳＫＯ  １００１−２）
【０００４】
「クラウド・コンピューティング・サービス（ＣＣＳ）上に保存された企業情報をドキュメント当たりの暗号化を行うシステム及び方法」、米国特許出願第１４／８３５６３２号、２０１５年８月２５日出願（代理人事件整理番号：ＮＳＫＯ  １００２−１）
【合体資料】
【０００５】
下記の資料は、本出願に参照として組み込まれている。
【０００６】
「ネットワーク配信されるサービスのためのセキュリティ」、米国仮特許出願第６１／７７３６３３号、２０１３年３月６日出願（代理人事件整理番号：ＮＳＫＯ  １０００−１）
【０００７】
「ネットワーク配信されるサービスのためのセキュリティ」、米国特許出願第１４／１９８４９９号、２０１４年３月５日出願（代理人事件整理番号：ＮＳＫＯ  １０００−２）
【０００８】
「ネットワーク配信されるサービスのためのセキュリティ」、米国特許出願第１４／１９８５０８号、２０１４年３月５日出願（代理人事件整理番号：ＮＳＫＯ  １０００−３）
【０００９】
「クラウド・コンピューティング・サービス（ＣＣＳ）上に保存された企業情報をモニター及びコントロールするシステム及び方法」、米国仮特許出願第６２／１３５６５６号、２０１５年３月１９日出願（代理人事件整理番号：ＮＳＫＯ  １００１−１）
【００１０】
「クラウド・コンピューティング・サービス（ＣＣＳ）上に保存された企業情報をモニター及びコントロールするシステム及び方法」、米国特許出願第１４／８３５６４０号、２０１５年８月２５日出願（代理人事件整理番号：ＮＳＫＯ  １００１−２）
【００１１】
「クラウド・コンピューティング・サービス（ＣＣＳ）上に保存された企業情報をドキュメント当たりの暗号化を行うシステム及び方法」、米国特許出願第１４／８３５６３２号、２０１５年８月２５日出願（代理人事件整理番号：ＮＳＫＯ  １００２−１）
【００１２】
「Data Loss Prevention and Monitoring in the Cloud」、ネットスコープ，  インク（netScope, Inc）発行
【００１３】
「The 5 Steps to Cloud Confidence」、ネットスコープ，  インク（netScope, Inc）発行
【００１４】
「Netskope Active Cloud DLP」、ネットスコープ，  インク（netScope, Inc）発行
【００１５】
「Repave the Cloud-Data Breach Collision Course」、ネットスコープ，  インク（netScope, Inc）発行
【００１６】
「Netskope Cloud Confidence IndexTM」、ネットスコープ，  インク（netScope, Inc）発行
【技術分野】
【００１７】
開示された技術は、一般的に、ネットワーク配信されるサービスに対して、視認性、コントロール、及び、データセキュリティを提供することに関連し、より詳しくは、クラウドサービスの処理及び取引のセキュリティ及び法規制の順守に関する。
【背景技術】
【００１８】
本項で議論される主題は、本項におけるその言及の結果、単に従来技術であると仮定すべきではない。同様に、本項で述べた問題または背景技術として提供された主題に関連する問題は、従来技術内で既に認識されたものと仮定すべきではない。本項の主題は単に様々なアプローチを示しているに過ぎず、また、それ自体または自発的に、請求項に記載の技術の実施に対応し得る。
【００１９】
データはあらゆるビジネスの源泉であり、それが効果的に管理され、保護され、順守の必要性に適合することが重要である。過去におけるデータの保護は、主として構内状況に集中していたが、クラウドサービスの採用が増加している昨今では、全ての規模の会社が今やデータの生成、編集、保存のためにクラウドに依存している。このことは新たな課題を提示している。その利点にも拘わらず、クラウドでは人々が企業の機密データを簡単に喪失し得る。一つの理由として、人々は複数のデバイスからより簡単にクラウドサービスにアクセスできる点がある。他の理由として、クラウドサービスでは、組織外の人々も含めて、データの共有が容易に行える点である。これらの理由から、データは組織のコントロールから容易に逸脱し得る。
【００２０】
更に、クラウドサービスの数が指数関数的に増加しているため、非常に多くの方法でデータが漏洩し得る。従業員は電子メール送信時に間違ったファイルを添付して、期限に対して急いでいる時に不注意になって直ぐに送信ボタンを押してしまうかも知れず、或いは、該従業員の組織外の人々とデータを共有して協力するかも知れない。また、ネイティブなクラウドストレージの同期クライアントは組織に対して重要なリスクをもたらす。従業員が会社の秘密情報を漏洩していると認識せずに、端点とクラウドサービスの間で連続的な同期が生じてしまう。不満を持った労働者の場合、クラウドサービスでは、彼等は極めて容易に知的財産を盗むことができてしまう。
【００２１】
従って、人々が、知的財産、非公開の財務情報、戦略的計画、顧客リスト、個人を特定可能な顧客または従業員に属する情報、等の機密情報を危うくすることなく、生産的であり、仕事にとって最良のツールを使用し続けられるように、クラウドサービスの使用を促進することが必須である。
【図面の簡単な説明】
【００２２】
図面では、種々の図を通して同様の参照符号が同様の部分に引用される。また、図面は必ずしも均一な縮尺ではなく、それに代えて、一般的には、開示された技術の原理を説明する箇所を強調している。以下の記載では、当該開示された技術の様々な実施態様が、以下の図面を参照して説明される。
【００２３】
【図１】一実施態様に係るシステムのアーキテクチャレベルの概略構成を示す図である。
【００２４】
【図２】一実施態様に係るシステムの仮想的なネットワークトポロジーを示す図である。
【００２５】
【図３】一実施態様に係るシステムのより詳細なネットワークトポロジー及びデータの流れを示す図である。
【００２６】
【図４】クラウド・コンピューティング・サービス（ＣＣＳ）上に保存された企業情報をモニター及びコントロールする代表的な方法を示す図である。
【００２７】
【図５】開示された技術の一実施態様におけるクロス・アプリケーション・モニタのブロック図を、抽出エンジン、分類エンジン、及び、セキュリティエンジンを詳細に示して説明する図である。
【００２８】
【図６】データプレーンのポイント・オブ・プレゼンスのアーキテクチャレベルの構成を示す図である。
【００２９】
【図７】管理プレーンのポイント・オブ・プレゼンスのアーキテクチャレベルの構成を示す図である。
【００３０】
【図８】クラウドサービスのＡＰＩを介して実行されるコンテンツレベルの活動を識別する模範的なイベントログ項目を示す図である。
【００３１】
【図９】きめ細かいコンテンツポリシーの設定に利用可能なコンテンツ・モニタ・インターフェースの一実施態様を示す図である。
【００３２】
【図１０】組織の特定のエンティティに適用可能なきめ細かいコンテンツポリシーの作成に利用可能なコンテンツ・モニタ・インターフェースの一実施態様を示す図である。
【００３３】
【図１１】特定のクラウドサービスに適用可能なきめ細かいコンテンツポリシーを適用するのに利用可能なコンテンツ・モニタ・インターフェースの一実施態様を示す図である。
【００３４】
【図１２】コンテンツ検査ルール用のキーワードまたは正規表現ベースの検索パターンの設定に利用可能なコンテンツ・モニタ・インターフェースの一実施態様を示す図である。
【００３５】
【図１３】隔離セキュリティ処置のワークフローの一実施態様を示す図である。
【００３６】
【図１４】指導（ｃｏａｃｈ）セキュリティ処置のワークフローの一実施態様を示す図である。
【００３７】
【図１５】正当化セキュリティ処置のワークフローの一実施態様を示す図である。
【００３８】
【図１６Ａ】暗号化セキュリティ処置のワークフローの一実施態様を示す図である。
【図１６Ｂ】暗号化セキュリティ処置のワークフローの一実施態様を示す図である。
【００３９】
【図１７】復号化のワークフローの一実施態様を示す図である。
【００４０】
【図１８】きめ細かいコンテンツポリシーの設定に利用可能なコンテンツ・モニタ・インターフェースの一実施態様を示す図である。
【発明を実施するための形態】
【００４１】
［序論］
以下の詳細な説明は図面を参照して行われる。サンプルの実施態様を記載して、開示された技術を説明するが、開示された技術は、当該実施態様に限定されるものではなく、請求の範囲によって規定される。当業者は以下の開示に対して様々な等価な変形を認識するであろう。
【００４２】
説明は以下に示すように整理されている。先ず、様々な実施態様によって扱われる問題の幾つかを記載する序論が示され、引き続き、その議論で使用される用語の説明を行う。そして、一実施態様の高レベルの記述がアーキテクチャレベルで議論される。次に、セキュリティを提供する幾つかの実施態様によって使用されるアルゴリズムが議論される。最後に、システムを実施するためのより詳細なアーキテクチャが、フィルタリングルール、モデル、及び、アプリケーション定義とともに、議論される。
【００４３】
我々は、ネットワーク配信されるサービスに対してセキュリティを提供するためのシステム及び様々な実施態様を説明する。開示された技術は、組織のネットワークとインターフェースをとるクラウドサービスに視認性を提供する。それによって、組織は、当該サービスとのやり取りを安全に、準拠して、且つ、極めて効率的に行うようにする粒度の細かいポリシーを策定することができる。更に、組織は、危険な行為及び潜在的なデータ損失或いは漏洩（ｂｒｅａｃｈ）を識別することができる。
【００４４】
登場するクラウドサービスの数の増加とともに、組織は、当該サービスへの重要な企業データの転送をモニター及びコントロールする技術的問題と取り組んでいる。組織は、「クラウドの門番」の欠如によって、彼らのセキュリティ及びコンプライアンスの主張を最早証明できないことを懸念している。
【００４５】
組織は、クラウド・コンピューティング・サービス（ＣＣＳ）を大々的に採用した。クラウドコンピューティングにより、従来のコンピューティングツールと比較して、人々がより速く、より簡単に、より柔軟に彼らの仕事を行えるようになったため、今日、クラウドコンピューティングは進展して、ＩＴ消費の２３％を占める。クラウドコンピューティングの最も普及し採用されている部分であるクラウドサービスは、企業内で増殖しており、今日、企業で、何千ものクラウドサービスが利用されている。
【００４６】
クラウドサービスは、ほぼ全ての種類の企業において益々一般的に普及してきている。幾つかの場合は、クラウドサービスがより安価に購入でき運用できることによる。他の場合は、人々が、構内ソフトウェアを使用する場合と比較して、サービスをより速く開発して、最新製品の特徴をより直ぐに利用して敏捷でありたいことによる。更に他の場合は、人々が、ソフトウェアの初公開を成功させるために、要求される多くの門番（操作、ハードウェア、ネットワーキング、及び、セキュリティ）に亘って調整したくないことによる。
【００４７】
ＩＴが幾つかのクラウドサービスに対して所有権或いは責任を有している一方、人々は今や、ＩＴの外側に行き、一般的に「影のＩＴ」を呼ばれる彼等自身のサービスを開発する力がこれまで以上に与えられている。このことは、人々が、ＩＴの関与なしに、これらのサービスを獲得し、対価を支払い、管理し、使用することを意味する。このことは、「影のＩＴ」か、認可されているか、または、セキュリティ及びコンプライアンスコントロールを実施するためであろうと、ＩＴが、組織を横断して実行されるクラウドサービスの全てを常に管理し、保護する方法が全くないことを意味する。
【００４８】
クラウドサービスの使用量は、影または認可されているものであろうと大きくなっており、世界中の経営幹部レベル、取締役会、及び、監査委員会は、彼らの企業のクラウド技術が、安全で、ビジネスポリシーに準拠しているか、ベンダーとのサービスレベル契約に応じて実施されるか問い始めている。よって、ＩＴが、これらの質問に自信を持って回答でき、これらの懸念を和らげることが好ましい。
【００４９】
更に、データ流出（ｌｅａｋ）は何百ドルもの企業損失を及ぼし得る。機密情報が漏洩すると、会社は何百ドルも支出して内部調査を行い現存のインフラストラクチャを修復することになる。また、損なわれた評判、外部監査、及び、訴訟への対応が、会社に対して長期に亘って続く可能性がある。知的財産を販売及び依存する会社にとっては、データ流出は更に長期のコストとなり得る。会社が知的財産を損失した場合、それは直接且つ即座に研究開発コスト及び収益に影響を与える。
【００５０】
フォレスター・リサーチ（Forrester Research）社は、平均的なデータ流出は結果的に１５０万ドルの経済的損失となると推定している。結局、データ流出のコストは組織の規模及び種類、流出したデータの機密度、流出自体の規模に応じて決まる。フォレスター・リサーチ社によれば、組織が顧客データを失った場合、レコード当たりの総コストは２１８ドルである。１０万顧客レコードの損失となる単純なデータ流出が、直接及び即座に何百ドルものコストとなり得る（Trends「Calculating the Cost of a Security Breach」フォレスター・リサーチ社、２００７年４月１０日発行参照）。
【００５１】
ポネモン・インスティテュート（Ponemon Institute）社は、ネットスコープが後援した６１３のＩＴ及びセキュリティ専門家の調査を行い、彼らの丁度半数超（５１％）がクラウドサービスの使用がデータ漏洩（ｂｒｅａｃｈ）の可能性を増加させたと考えていることを見出した。回答者の９０％が、機密及び／または秘密情報をクラウドサービス内にバックアップ及び保存することが、組織内で１２カ月間に亘って５０％増加しており、そのことがデータ漏洩の可能性を増大させていると言っている。本検討は、クラウドサービスをより利用することによるデータ漏洩の増加するコストを計算するために、このような情報を利用した。平均して、主たるデータ漏洩により、組織は約２３７万ドル（１４１ポンド）の負担が掛かるが、クラウドサービスの利用の増加により、当該負担は、推定で約３１０％増加し、７３４万ドルになり得る（Data Breach「The Cloud Multiplier Effect」、２０１４年６月４日発行参照）。
【００５２】
組織は、不明な技術に直面した場合、しばしば、それを止める傾向がある。それは、不良な技術を発見し修復するのにＩＴが使用してきた多くのツールはバイナリーであるため、斯かるツールでは、組織はイエスかノーしか言えない。市場で入手可能なデータ損失防止（ＤＬＰ）ソルーションは、データの許可されていない移動の試みに対して、ポリシーがそのように要求している場合、当該移動を完全に遮断するように応答するという、同様の欠点を有している。更に、現存するＤＬＰソルーションは、ユーザ活動ベースのコンテキストが十分ではなく、結果として、余計な誤検出に対して警告を発する。
【００５３】
ここに開示する技術的なソルーションは、データ流出（ｌｅａｋ）及びデータ漏洩（ｂｒｅａｃｈ）の技術的な問題を解決する。特に、当該ソルーションは、組織に対し、市場で入手可能なほぼ全てのクラウドサービスを使用できるようにし、そして、当該サービスの利用を、セキュリティ及びコンプライアンスの観点から組織に受け入れ可能とするために、或る活動を選択的に許可する。特に、当該ソルーションは、一実施態様に基づいて、１以上のコンテンツプロファイルと対照して、コンテンツの詳細（例えば、コンテンツタイプ、ファイル、または、オブジェクト名）の評価に基づいて機密データの送信と関係する活動を識別する。コンテンツプロファイル（例えば、個人を特定可能な情報、ペイメントカード情報、及び、電子個人健康情報）は、コンテキスト及び活動を意識した機密データの検出を提供するカスタムデータ識別子と業界標準データ識別子の組み合わせを含む。
【００５４】
開示された技術は、潜在的なデータ流出シナリオを防止し、連続的なコンプライアンスを許容するために、リアルタイムで、当該コンテンツプロファイルに基づいて、粒度の細かいポリシーを実施する。別の実施態様では、既に送信されたかも知れない機密データを発見するために、クラウドサービスが、コンテンツプロファイルと対照して、過去に遡って評価される。幾つかの実施態様では、当該実施は世界的規模で行われ、組織のネットワークとインターフェースを取る全てのクラウドサービスに適用される。別の実施態様では、当該実施は個人のクラウドサービスまたはクラウドサービスの業務分野にも適用される。
【００５５】
また、実施態様の別の側面は、客観的基準に基づいてクラウドサービスの企業の即応性（ｒｅａｄｉｎｅｓｓ）を見極め、総合的なスコアを割り当てるクラウド信頼指標（ＣＣＩ：Ｃｌｏｕｄ  ｃｏｎｆｉｄｅｎｃｅ  ｉｎｄｅｘＴＭ）である。特に、ＣＣＩは、クラウドサービスの様々な属性に取り入れることにより、クラウドサービスの企業即応性を測る。クラウドサービス属性の以下のリストは、網羅的ではなく典型的であり、暗号化ポリシー、監査能力及び営業継続性、災害管理ポリシー、データセンタの数、データセンタのコンプライアンス証明書（例えば、ＳＯＣ２）、身元（ｉｄｅｎｔｉｔｙ）及びアクセスコントロール、ファイル共有、データ分類、監査及び警戒態勢、データアクセスログ保存、パスワードポリシー、喪失ポリシー、公開データ回復計画、及び、検査及びセキュリティコントロールのためのプロキシトラフィックに対する能力を含む。
【００５６】
幾つかの実施態様は、組織のネットワークとインターフェースを取る各クラウドサービスに対して１〜１００のスコアを割り当てることを含む。更に、割り当てられたスコアに基づいて、クラウドサービスは、優秀、高度、中度、低度、不良等の種々のクラウド信頼レベルに分類される。
【００５７】
別の実施態様は、ＣＣＩが、クラウドサービスを、クラウドストレージ、協力（ｃｏｌｌａｂｏｒａｔｉｏｎ）、金融及び会計、顧客関係管理（ＣＲＭ）、人材、及び、ソフトウェア開発を含む複数のカテゴリーにグループ分けすることを含む。
【００５８】
一実施態様では、ＣＣＩは、例えば、下記のようなリアルタイムコンテンツポリシーにおける照合基準として利用可能である。
◆  ＣＣＩスコアが中度以下のクラウド・ストレージ・サービスへの個人を特定可能な情報のアップロードを遮断する。
◆  中度、低度、または不良と評価されているクラウド・ストレージ・サービス内のコンテンツの共有をユーザに許可しない。別の実施態様では、中度以下と評価されているクラウドサービスは、企業非対応、及び、危険であると判断され得る。
【００５９】
更に別の実施態様では、組織は、組織の要求及び基準に適合するように、上記指標の重み付けを調整することにより、ＣＣＩをカスタマイズすることができる。
【００６０】
コンテンツプロファイルに基づいて規定された粒度の細かいポリシーを用いて企業データをモニター及びコントロールする幾つか例は、下記を含む。
◆  販売担当のユーザにどの公開の営業促進用カタログの共有を許可するとともに、該ユーザが、秘密と判断されるコンテンツをクラウド・ストレージ・サービスから管理されていないシステムにダウンロードできないようにする。
◆  投資家向け広報活動に従事しているユーザの誰かが、金融／会計サービスからのコンテンツを組織外の誰かと共有した場合に、ＩＴに警告を発する。
◆  アメリカ合衆国外にいるユーザの何れに対して、どのＣＲＭサービスからの連絡もダウンロードできないようにする。
◆  中度以上のＣＣＩスコアのサービスに対してのみデータのアップロードを許可し、それ以外のサービスへのデータのアップロードをできないようにする。
◆  クラウドサービス内の当組織の秘密ＤＬＰプロファイルにマッチする全てのコンテンツを暗号化する。
◆  クラウド・ストレージ・サービスからの如何なる．ｅｘｅファイルのダウンロードも遮断する。
◆  如何なるＨＲクラウドサービスからモバイルデバイスへのＰＩＩのダウンロードに対して警告を発する。
【００６１】
別の実施態様では、開示された技術は、クラウドサービスを横断して機密データが移動するのを、送信されたコンテンツの追跡記録（ａｕｄｉｔ ｔｒａｉｌ）を維持しながら追跡する。例えば、分析を実行している最中に、組織のＩＴが不審な活動を発見したとします。分析者は、組織を退職して競合他社に移った僅か数日前に、その従業員が会社のクラウドサービスの１つから機密データをダウンロードし、そして、そのファイルを該従業員個人のログイン認証情報でアクセスできるクラウド・ストレージ・サービスにアップロードすることにより、データをこっそり盗み出したと疑う。開示された技術を用いて、ＩＴは、当該事件に至るまで及びその直後における当該ユーザに対するあらゆるクラウドサービス行為を示す法廷追跡記録を構築することができる。これにより、ＩＴが不審な行為を発見できるだけでなく、発生した漏洩を証明し、悪意のある活動または犯罪活動を明確に実証できるようなる。
【００６２】
何らかのイベントまたは基準からの偏差、例えば、或るコンテンツプロファイルを仮定して機密と判断されるデータの送信を発見すると、開示された技術は、阻止、警告、迂回（ｂｙｐａｓｓ）、隔離、指導（ｃｏａｃｈ）、修復するワークフローを開始、記録、正当化を追求、コンプライアンスに違反するイベントまたは活動についての報告、或いは、コンテンツ暗号化を含む複数のセキュリティ処置を始動させることができる。セキュリティ処置のタイプは、コンテンツポリシーのタイプ、実行されるコンテンツレベルの活動、及び、コンテンツのタイプの少なくとの何れか１つに基づき得る。別の実施態様では、例えば、機密データの所有権を変更するなどの、確実なオフライン検査がセキュリティ処理として始動される。
【００６３】
特に、開示された技術は、ユーザグループ、位置、デバイス、サービスまたはカテゴリー、活動、及び、コンテンツを含むきめ細かいコンテキスト内のデータを保護することにより、彼らの顧客及びビジネスに対して安全なクラウドの採用を提供する。クラウドサービスに対する暗号化が全部かゼロかの提案となるソリューションとは異なり、開示された技術は、会社が保護を要するデータの開口部を狭めることを許容し、その結果、会社は必ずしも全てを暗号化する必要なく、彼らの組織内の真のリスクを標的にできる。
【００６４】
一実施態様では、開示された技術は、クラウドサービスにアップロードされる、同サービスからダウンロードされる、または、同サービス内で発見された企業データに対して、ＡＥＳ２５６ビット暗号化を使用する。きめ細かなコンテキスト上のコントロールを行うことに加えて、会社は、個人を特定可能な情報、電子個人健康情報、ペイメントカード情報、プロファニティ（ｐｒｏｆａｎｉｔｙ）、及び、組織によって規定されたカスタム正規表現さえ含む、組織のデータ損失防止（ＤＬＰ）プロファイルにマッチするコンテンツに対して暗号化を行える。
【００６５】
以下は、開示された技術を用いて実施可能な幾つかの暗号化に関連する使用ケースのサンプルリストである。
◆  バイオ−製薬会社は、電子個人健康情報を含むファイルは何れも、如何なるデータ及び分析クラウドサービスにアップロードする際には暗号化しなければならないとするポリシーを実行することができる。
◆  投資銀行は、該銀行のカスタム正規表現プロファイルに基づいて合弁買収（Ｍ＆Ａ）のデータを有するクラウドサービス内の現存するフォルダは何れも、暗号化しなければならず、且つ、コラボレーショングループ内でのみ共有を可能とするポリシーを実行することができる。
◆  保険会社は、保険査定員によってモバイルデバイスからクラウド・ストレージ・サービスにアップロードされるファイルは何れも暗号化しなければならないとするポリシーを実行することができる。
【００６６】
開示された技術を用いて、組織のＩＴは、下記を含む組織のビジネス活動及び規制に基づいてコンプライアンス志向の質問に答えることができる。
◆  ブルガリアの当組織のコールセンターから誰が当組織のＣＲＭシステムにアクセスし、彼らは具体的に何をしているのか？
◆  当組織の投資家向け広報活動グループから誰が、会社の「沈黙期間」の間に我々のクラウドからのドキュメントファイルを共有しているのか？
◆  人材部門でないマネージャーの誰かが過去３カ月に何れかのクラウドアプリケーションから給与データをダウンロードしたか？
◆  データ漏洩を示唆する過剰なダウンロード、アップロード、または共用が存在するか？
【００６７】
より典型的な実施態様では、開示された技術によって組織は以下のことが可能となる。
◆  クラウドサービスの使用を可能としつつ、しかし、社外の人々とのデータの共有は阻止する。
◆  仮に流出、盗難、或いは、改ざんされたら、組織に深刻なダメージを与え得る極秘データ或いは知的財産データを含むファイルをクラウド・ストレージ・サービスにアップロードすることを許可しない。
◆  世界中の人材及び金融グループにいる人々が人材または金融／会計サービスにアクセスすることを許容しつつ、しかし、アメリカ合衆国外にいる誰かが給与データをダウンロードすることは阻止する。
◆  アップロードされようとしているか、または、既にクラウドサービス内に存在するコンテキスト中の機密コンテンツを暗号化する。
【００６８】
開示された実施態様に応じたシステム、装置、及び、方法の実施例は、情報技術を背景として説明される。他の例では、開示された技術は、不正行為検知、通信システム、金融システム、証券取引、銀行取引、ビジネス・インテリジェンス、マーケティング、鉱山業、エネルギ分野、等に適用できる。他のサービスも可能であり、以下の実施例は、技術的範囲、文脈、または、設定において限定的または制限的に捉えるべきではない。
【００６９】
開示された技術は、クラウド・コンピューティング・サービス（ＣＣＳ）上に保存された企業情報をモニター及びコントロールに関連する。開示された技術は、オンデマンドデータベースシステム、マルチテナント環境、等を含むコンピュータ実装システムという状況下で実施され得る。更に、本技術は、互いに協力または通信する２以上の別個の区別可能なコンピュータ実装システムを用いて実施できる。本技術は、プロセス、方法、装置、システム、デバイス、コンピュータが読み取り可能な命令またはコンピュータプログラムコードを保存するコンピュータ可読記憶媒体等のコンピュータ可読媒体、または、コンピュータが読み取り可能なプログラムコードを内蔵したコンピュータ利用可能媒体を備えたコンピュータプログラム製品として含む様々な方法で、実施され得る。
【００７０】
ここでの使用においては、クラウド・コンピューティング・サービス（ＣＣＳ）として時々呼ばれるクラウドサービスは、ネットワーク・クラウド・サービスまたはアプリケーション、ウェブベース（例えば、ユニフォーム・リソース・ロケータ（ＵＲＬ）を介してアクセスされる）またはネイティブ、例えば、同期クライアント等を参照する。実施例は、ＵＲＬを介して公開される内部の企業アプリケーションと同様に、サービスとしてのソフトウェア（ＳａａＳ）の提供、サービスとしてのプラットフォーム（ＰａａＳ）の提供、及び、サービスとしてのインフラストラクチャ（ＩａａＳ）の提供を含む。今日一般的なクラウドサービスの実施例は、Ｓａｌｅｓｆｏｒｃｅ．ｃｏｍ、Ｂｏｘ、Ｄｒｏｐｂｏｘ、Ｇｏｏｇｌｅ  Ａｐｐｓ、Ａｍａｚｏｎ  ＡＷＳ、Ｍｉｃｒｏｓｏｆｔ  Ｏｆｆｉｃｅ  ３６５、Ｗｏｒｋｄａｙ、Ｏｒａｃｌｅ  ｏｎ  Ｄｅｍａｎｄ、Ｔａｌｅｏ、Ｙａｍｍｅｒ、及び、Ｃｏｎｃｕｒを含む。クラウドサービスは、単純なウェブサイト及び電子商取引サイトの提供とは対照的に、クラウド内で実行される機能であって、例えば、ログイン、ドキュメント編集、大量データのダウンロード、得意先情報の読み出し、支払勘定への入力、ドキュメント消去、等のポリシーの目標である機能を、ユーザに提供する。ここで留意すべきは、フェイスブック及びＹａｍｍｅｒ等のソーシャルネットワークを提供する幾つかの消費者対応ウェブサイトは、ここで考えられるクラウドサービスのタイプである点である。グーグルのＧｍａｉｌ等の幾つかのサービスは、幾つかの自由なユーザが該アプリケーションを一般的に使用すると同時に、他の企業がそれをクラウドサービスとして使用するハイブリッドなものも可能である。ここで留意すべきは、実施態様は、ＵＲＬベースのＡＰＩを使用するウェブ・ブラウザ・クライアント及びアプリケーション・クライアントの両方をサポートできる点である。
【００７１】
ここでの使用においては、ポリシー規定、ポリシーデータ、または、コンテントポリシーとして時々呼ばれる用語ポリシーは、クラウドサービスに対するフローコントロール及びコンテンツコントロール要求の機械可読表現を参照する。典型的に、ポリシーは、企業または他の団体の１以上の管理者によって規定される。個人が当該個人に対して実行される当該個人自身の使用のためのポリシーを規定することも可能であるが、企業利用がより一般的である。また、クラウドサービスのビジターまたは顧客に対して、例えば、企業がサービスを主催し、訪れる顧客に対して使用のためのポリシーを順守するように要求する場合に、ポリシーが実施されることも可能である。特に留意すべきは、ここで考えられるポリシーは、クラウドアプリケーションの意味に対して敏感であり得る、つまり、ポリシーは、クラウドサービスにログインすることと、クラウドサービス上のドキュメントを編集することを区別することができる。
【００７２】
使用を理解するのに文脈は重要である。団体に対して、数十または数百の個別のポリシー（例えば、大量ダウンロードの記録、サービス上のドキュメントの編集禁止、「副社長」グループにいるユーザに対してのみ大量ダウンロードを許可）は、特に、１つのポリシーまたは１つのポリシー規定と呼ばれる。従って、複数の団体をサポートするシステムは、一般的に、団体当たり、数十または数百の個別のフローコントロール及びコンテンツ・コントロール・ポリシーからなる１つのポリシーを有するであろう。同様に、以下に説明するように、個々のコンピュータに転送されるポリシーは、完全な企業ポリシーの一部、例えば、フローコントロール及び／またはコンテンツ操作を記述する各ＵＲＬに対する完全なポリシーの仕様ではなく、単に関心のあるＵＲＬの機械可読表現だけとすることができる。
【００７３】
上記仕様の一部分は、クラウドサービスにアクセスするためにユーザが使用するクライアントデバイスの２つのタイプを区別することができる。主たる区別は、クライアントデバイスをネットワーク・セキュリティ・システムに接続させるためのメカニズム間でなされる。クライアントデバイスに関連して、用語「コンピュータ」は、ネットワーク・セキュリティ・システムがより直接的にソフトウェアをインストールし、ネットワークのスタックを変更することができる場合、より多くのオープンシステムを参照するであろう。同様に、クライアントデバイスに関連して、用語「モバイル」または「タブレット」は、ネットワーク・セキュリティ・システムのネットワークのスタックを変更するための選択肢がより制限されている場合、より多くのクローズドシステムを参照するであろう。該用語は、ＭａｃＯＳ Ｘ、Ｗｉｎｄｏｗｓデスクトップ版、Ａｎｄｒｏｉｄ、及び／または、Ｌｉｎｕｘを動かすコンピュータ・クライアントデバイスが、ｉＯＳ、及び／または、Ｗｉｎｄｏｗｓ  Ｍｏｂｉｌｅを動かすモバイルまたはタブレットデバイスより容易に変更可能であるという今日の状況を映し出している。従って、該用語は、クライアントデバイス間の基本的な技術的な相違とは対照的に、ネットワーク・セキュリティ・システムへのアクセスを提供するために如何にしてサードパーティのオペレーティング・システム供給業者の制限が対処されるかを参照する。更に、もしモバイルＯＳ供給業者が彼等のシステムを更に解放した場合、上記区別は、おそらく、コンピュータ−クライアントの議論で説明した実施態様を用いたクライアントデバイスのより多くのクラスとともに除去されるであろう。更に、組織内の特定のサーバコンピュータ及び他のコンピューティング・デバイスは、機械対機械通信を扱うようにインストールされたクライアントを持つことができる場合があり得る。
【００７４】
密接に関連するポイントは、幾つかのクライアントがネットワーク・セキュリティ・システムと夫々に異なってインターフェースを取る点である。例えば、ブラウザ・アドオン・クライアントは、ブラウザを明確なプロキシにリダイレクトする。ポリシーを適用するのに必要であったトラフィックだけがルート変更され、それは、アプリケーション内でそのように行われる。ネットワーク・セキュリティ・システムに到達するトラフィックは、データ内、または、例えば、幾つかの実施態様中の追加ヘッダまたはＳＳＬクライアント側証明書などの安全なトンネルヘッダ内にユーザＩＤを埋め込ませておくことができる。他のクライアントは、トランスペアレントなプロキシを介して選択ネットワークトラフィックをリダイレクトする。これらの関連において、ポリシーによって必要とされるそれらの要求を完全に超える或るトラフィックが、ネットワーク・セキュリティ・システムに転送される。更に、ユーザのＩＤ情報は、一般的には、データ自身の中にはなく、寧ろ、ネットワーク・セキュリティ・システムへの安全なトンネルが構成された際に、クライアントによって確立される。
【００７５】
本明細書の文脈におけるユーザＩＤまたはユーザ識別は、ネットワーク・セキュリティ・システムによってクライアントデバイスに提供される指標を参照する。それは、トークン、ＵＵＩＤのような独特な識別子、公開鍵証明書、等の形式であり得る。幾つかの実施態様では、ユーザＩＤは、特定のユーザ及び特定のデバイスとリンクさせることができる。従って、同じ個人が彼らの携帯電話とコンピュータ上で異なるユーザＩＤを持つことができる。ユーザＩＤは、エントリまたはユーザＩＤの企業ＩＤディレクトリと結び付けることができるが、該ディレクトリとは別個である。一実施態様では、ネットワークセキュリティによって署名された暗号証明書が、ユーザＩＤとして使用される。他の実施態様では、ユーザＩＤは、単にユーザに対して固有にし、デバイスを通して同一にできる。
【００７６】
暗号鍵または鍵は、ここでの使用においては、暗号化アルゴリズムとともに使用する場合に、データの暗号化または復号化に使用される固有の変換を定義するコードまたは数値を参照する。
【００７７】
ここでの使用においては、情報の項目の「識別（ｉｄｅｎｔｉｆｉｃａｔｉｏｎ）」は、必ずしも、情報の該項目の直接の仕様を要求しない。情報は、単に間接化技法の１以上のレイヤを介して実際の情報を参照すること、或いは、情報の実項目を決定するのに十分な一緒にいる異なる情報の１以上の項目を識別することによって、フィールド内において「識別」され得る。更に、用語「特定する（ｓｐｅｃｉｆｙ）」は、ここでは、「識別する（ｉｄｅｎｔｉｆｙ）」と同義で用いられる。
【００７８】
ここでの使用においては、所与の信号、イベントまたは値は、該所与の信号、イベントまたは値に影響される先行する信号、イベントまたは値の先行する信号、イベントまたは値に「基づいて」いる。介在する処理の要素、ステップまたは時間間隔が存在する場合、該所与の信号、イベントまたは値は、依然として、該先行する信号、イベントまたは値に「基づいて」いることができる。該介在する処理の要素またはステップが１以上の信号、イベントまたは値を結合する場合、該処理の要素またはステップの信号出力は、該信号、イベントまたは値の入力の夫々に「基づいて」いると考えられる。該所与の信号、イベントまたは値が該先行する信号、イベントまたは値と同じ場合、これは、単に、該所与の信号、イベントまたは値が、依然として、該先行する信号、イベントまたは値に「基づいて」いる、または、「依存している」縮退ケースである。別の信号、イベントまたは値への所与の信号、イベントまたは値の「反応性」は同様に規定される。
［システム概要］
【００７９】
ネットワーク提供型サービスに対してセキュリティを提供するためのシステム及び種々の実施態様を説明する。システム及び処理は、一実施態様に基づくシステムのアーキテクチャレベルの概略構成を示す図１を参照して説明される。図１はアーキテクチャ図であるので、一部の詳細は、説明の明瞭性のために、意図的に省略されている。図１の議論は以下のように構成されている。先ず図の要素について、次にその相互接続について説明される。そして、システム内の要素の使用について、より詳細に説明される。
【００８０】
図１はシステム１００を含む。システム１００は、ネットワーク・セキュリティ・システム１２０、管理クライアント１３１、クラウドサービス１４０、クライアントデバイス１５０、及び、ネットワーク１６０を含む。ネットワーク・セキュリティ・システム１２０は、モニタ１２１とストレージ１２２を含む。ストレージ１２２は、他の物との間で、コンテンツポリシー１８１、コンテンツプロファイル１８２、コンテンツ検査ルール１８３、企業データ１８４、クライアント１８５、及び、ユーザＩＤ１８６を保存する。幾つかの実施態様では、ストレージ１２２は、１以上のテナントからの情報を、オンデマンドデータベースサービス（ＯＤＤＳ）を形成する共通のデータベース画像のテーブル内に保存することができ、該ＯＤＤＳは、マルチ・テナント・データベース・システム（ＭＴＤＳ）のような多くの方法で実施できる。データベース画像は、１以上のデータベースオブジェクトを含むことができる。他の実施態様では、データベースは、リレーショナルデータベース管理システム（ＲＤＢＭＳｓ）、オブジェクト指向データベース管理システム（ＯＯＤＢＭＳｓ）、分散ファイルシステム（ＤＦＳ）、非スキーマデータベース、或いは、他のデータ保存システムまたはコンピューティング・デバイスであり得る。
【００８１】
企業データ１８４は、知的財産、非公開の財務情報、戦略的計画、顧客リスト、個人を特定可能な顧客または従業員に属する情報、患者健康情報、ソースコード、営業秘密、予約情報、提携契約、企業プラン、Ｍ＆Ａドキュメント、及び、他の機密情報を含む、但し、これらに制限されない組織情報を含むことができる。特に、用語「企業データ」は、ドキュメント、ファイル、フォルダ、ウェブページ、ウェブページの収集物、画像、または、他のテキストベースのドキュメントを参照する。ストレージ１２２に典型的に含まれる追加の項目については図５及び図６の議論を見て下さい。
【００８２】
ネットワーク・セキュリティ・システム１２０は、幾つかの機能１２５を提供すると見なすことができ、それらの間のキーは、抽出エンジン１２６、分類エンジン１２７、セキュリティエンジン１２８、管理プレーン１２９、及び、データプレーン１３０である。管理クライアント１３１は、タブレット１３２とモバイル１３４を含む。クラウドサービス１４０は、クラウドサービス１４２とクラウドサービス１４４を含む。クライアントデバイス１５０は、モバイル１５２とコンピュータ１５４を含む。モバイル１５２は、ＡｐｐＷｒａｐｐｅｒ１５７とＶＰＮオンデマンド１５８を含む。コンピュータ１５４は、ユーザＩＤ１５６とポリシー１５９を順番に含むクライアント１５５を含む。
【００８３】
システム１００の要素の相互接続についてこれから説明する。ネットワーク１６０は、タブレット１３２、モバイル１３４、モバイル１５２、コンピュータ１５４、クラウドサービス１４２、クラウドサービス１４４、及び、ネットワーク・セキュリティ・システム１２０と通信によって接続する（実線で図示）。実際の通信経路は、公衆ネットワーク及び／またはプライベートネットワークを通したポイント・ツー・ポイントとなり得る。ＡｐｐＷｒａｐｐｅｒ１５７等の幾つかの項目は、例えば、アプリケーションストア（不図示）等を介して、間接的に供給されてもよい。通信の全ては、例えば、プライベートネットワーク、ＶＰＮ、ＭＰＬＳ回路、または、インターネット等の様々なネットワークを通して発生し、例えば、ＲＥＳＴ、ＪＳＯＮ、ＸＭＬ、ＳＯＡＰ、及び／または、ＪＭＳ等の適切なＡＰＩ及びデータ交換フォーマットを使用できる。通信の全ては、暗号化可能である。該通信は、通常、ＬＡＮ（ローカルエリアネットワーク）、ＷＡＮ（ワイドエリアネットワーク）、電話網（公衆交換電話網（ＰＳＴＮ））、セッション初期化プロトコル（ＳＩＰ）、無線ネットワーク、ポイント・ツー・ポイントネットワーク、星型ネットワーク、トークンリング型ネットワーク、ハブ型ネットワーク、及び、インターネット等のネットワークを通して行われる。尚、インターネットは、ＥＤＧＥ、３Ｇ、４ＧＬＴＥ、ＷｉＦｉ、及び、ＷｉＭａｘ等のプロトコルを介するモバイルインターネットを含む。更に、ユーザ名／パスワード、ＯＡｕｔｈ、Ｋｅｒｂｅｒｏｓ，ＳｅｃｕｒｅＩＤ、ディジタル証明書、等の承認及び認証技術が、通信を保護するのに用いることができる。
【００８４】
モニタ１２１とストレージ１２２は、互いに通信によって接続した１以上のコンピュータ及びコンピュータシステムを含むことができる。それらは、１以上のコンピューティング及び／または記憶資源であることもある。例えば、モニタ１２１は、１以上のＡｍａｚｏｎ  ＥＣ２インスタンスであることもあり、ストレージ１２２は、Ａｍａｚｏｎ  Ｓ３ストレージであることもある。直接の物理的コンピュータまたは従来の仮想マシンにネットワーク・セキュリティ・システム１２０を導入するのではなく、寧ろ、Ｓａｌｅｓｆｏｒｃｅ社、Ｒａｃｋｓｐａｃｅ社、または、Ｈｅｒｏｋｕ社から提供されるＦｏｒｃｅ．ｃｏｍ等の他のコンピューティング・アズ・サービス（ｃｏｍｐｕｔｉｎｇ  ａｓ  ｓｅｒｖｉｃｅ）を使用してもよい。更に、機能１２５を実施するために、１以上のエンジンが使用でき、１以上のポイント・オブ・プレゼンス（ＰＯＰｓ）を確立できる。該エンジンは、ワークステーション、サーバ、コンピュータクラスタ、ブレードサーバ、サーバファーム、または、他のデータ処理システムまたはコンピューティング・デバイスを含む様々なタイプがあり得る。該エンジンは、異なるネットワーク接続を介してデータベースに通信可能に接続し得る。例えば、抽出エンジン１２６は、例えば、ネットワーク１６０（例えば、インターネット）を介して接続し得、分類エンジン１２７は、直接ネットワークリンクを介して接続し得、セキュリティエンジン１２８は、更に異なるネットワーク接続を介して接続し得る。他の実施例では、データプレーン１３０  ＰＯＰｓが、地理的に分配され得る、及び／または特定のクラウドサービスと共同で提供（ｃｏ−ｈｏｓｔ）され得る。同様に、管理プレーン１２９  ＰＯＰｓが、地理的に分配され得る。当該２つのタイプのＰＯＰｓは、別々に提供（ｈｏｓｔ）されるか、或いは、同様に共同で提供され得る。
【００８５】
図１の各要素及びそれらの相互接続について説明したが、同図の要素について更に詳細に説明する。ネットワーク・セキュリティ・システム１２０は、管理プレーン１２９及びデータプレーン１３０を介して様々な機能１２５を提供する。データプレーン１３０は、一実施態様によれば、抽出エンジン１２６、分類エンジン１２７、及び、セキュリティエンジン１２８を含む。他の機能、例えば、コントロールプレーンもまた提供され得る。これらの機能１２５は集合的に、クライアントデバイス１５０によるクラウドサービス１４０との安全なインターフェースを提供する。ネットワーク・セキュリティ・システム１２０を説明するために、ネットワーク・セキュリティ・システムという用語を使用するが、更に一般的に、該システムは、セキュリティのみならず、アプリケーションの可視性及びコントロール機能も提供する。
【００８６】
管理クライアント１３１は、一実施態様によれば、コンテンツポリシー１８１を規定し管理するために、ネットワーク・セキュリティ・システム１２０によって提供される安全なウェブ配信されたインターフェースを有するウェブブラウザを備えた演算デバイスである。ネットワーク・セキュリティ・システム１２０は、幾つかの実施態様によれば、管理クライアントのユーザがその組織と関連するコンテンツポリシーを変更することだけができるマルチ・テナント・システムである。幾つかの実施態様では、ポリシーをプログラムで規定し、及び／または更新するために、ＡＰＩを提供することができる。斯かる実施態様では、管理クライアント１３１は、コンテンツポリシー１８１の更新を推し進めたり、及び／または、コンテンツポリシー１８１の更新のためのプルリクエストに応答する、例えば、マイクロソフトのアクティブディレクトリ等の企業ＩＤディレクトリ等の１以上のサービスを含むことができる。両システムは共存できる。例えば、幾つかの会社は、組織内のユーザの要求に対してポリシーを調整するためのウェブインターフェースを用いるとともに、組織内のユーザの識別を自動化する企業ＩＤディレクトリを用いることもできる。管理クライアントは、役割が割り当てられており、読み出し専用、対、読み出し書き込み等の役割に基づいてデータがコントロールされるネットワーク・セキュリティ・システム１２０にアクセスする。
【００８７】
クライアントデバイスに関するネットワーク・セキュリティ・システム１２０の機能は、図２及び図３とともに説明するのがより容易である。図２は、一実施態様に係るシステムの仮想的なネットワークトポロジーを示す。図３は、一実施態様に係るシステムのより詳細なネットワークトポロジー及びデータの流れを示す。両図では、コンピュータ１５４のユーザによる企業データ１８４のクラウドサービス１４２への送信２６４の試みが図示されている。図２は、コンピュータ１５４とクラウドサービス１４２の間の送信を仲介する仮想ネットワーク２６０を生成する役目を行うネットワーク・セキュリティ・システム１２０を備えた送信経路の概念図を示す。図３は、コンピュータ１５４が、インターネットサービスプロバイダ（ＩＳＰ）ネットワーク３６２（任意）に接続し、ＩＳＰネットワーク３６２が次に企業ネットワーク３６４（任意）に接続し、企業ネットワーク３６４が次に公衆ネットワーク３６６に接続している同じ送信の１つの可能なネットワークトポロジーを示す。公衆ネットワーク３６６は次にクラウドサービス１４２及びネットワーク・セキュリティ・システム１２０に接続する。図３は１つの可能なネットワークトポロジーであるが、それは、直接的なネットワークレイアウトというより、寧ろ、単純化されたアーキテクチャ図を維持している。例えば、クラウドサービス１４２及びネットワーク・セキュリティ・システム１２０が動作するネットワークは示されておらず、例えば、両者のためのサービスプロバイダ（更にＩＳＰ）は省略されている。図３は、クライアント１５５が要求を送信しクラウドサービス１４２がそれを受け取る一連のルーティング順序を強調するタイムスタンプｔ１〜ｔ１２を含んでいる。クラウドサービスのＵＲＬに対するウェブブラウザのＨＴＴＰ  ＧＥＴ要求等の要求は、変則的に転送される点に特に注目すべきである。特に、クライアント１５５は、該リクエストを認識して、クラウドサービス１４２ではなくネットワーク・セキュリティ・システム１２０に至るｔ１からｔ４の経路を生成する。ネットワーク・セキュリティ・システム１２０は、ｔ５からｔ６へ該要求をクラウドサービス１４２に転送する前に、適用可能なコンテンツポリシーと対照して、企業データ１８４に内包されているコンテンツタイプを評価する。とりわけ、クラウドサービス１４２の観点から、該要求は、直接にコンピュータ１５４にではなく、ネットワーク・セキュリティ・システム１２０に、ｔ７からｔ８へ戻る。ネットワーク・セキュリティ・システム１２０は、戻ってきたデータを解析し、更に、コンテンツ依存した方法でコンテンツポリシーを適用し、そして、該要求をクラウドサービス１４２からコンピュータ１５４に戻すこと、ｔ９からｔ１２、ができる。
【００８８】
図３は、また、クライアント１５５が、ＶＰＮソルーション、プロキシソルーション、及び、ネットワークモニタリングソルーションと互換性があり、且つ、それらと区別される点を強調している。図３では、コンピュータ１５４のネットワークアクセスは、ＶＰＮソルーションを用いてプライベート企業ネットワーク上に転送される。このことは、企業プロキシ、ファイアウォール、及び、コンテンツ・フィルタリング・ポリシーが適用され得ることを意味する。企業プロキシは、連鎖要求をネットワーク・セキュリティ・システム１２０へ転送するため適切なルールで構築されなければならない。更に、図１〜図３が、主として提供（ｈｏｓｔ）されたネットワーク・セキュリティ・システム１２０に焦点を当てており、「構内」（”ｏｎ  ｐｒｅｍｉｓｅ”）または企業の提供されたプライベートソリューションを有することが可能である。斯かる実施態様では、ネットワーク・セキュリティ・システム１２０の全てまたは一部が完全に企業ネットワーク内にあってもよい。
【００８９】
幾つかの実施態様では、企業の管理者は、ネットワーク・セキュリティ・システム１２０からの企業のユーザに対するサービス要求に対して、クラウドサービス１４２を構成することができる。これにより、クライアント１５５（または、モバイル用の対応する部分）を欠いたクライアントデバイス１５０が、ネットワーク・セキュリティ・システム１２０が実行したポリシーをバイパスするのを防止できる。記述したように、クラウドサービス１４２にネットワーク・セキュリティ・システム１２０を介してのみアクセスされる点を確実にする他のアプローチを採用することができる。
【００９０】
図１に戻ると、如何にしてネットワーク・セキュリティ・システム１２０が機能するかを示す一般的な図が提供されている。ネットワーク・クラウド・サービスのより良い安全な利用を願う会社、または、より一般的には、あらゆる個人または団体は、ネットワーク・セキュリティ・システム１２０にサインアップする。ウェブ・ベース・インターフェース及びコンピュータデバイスを用いて、会社は、会社のユーザのためのコンテンツポリシー内にポリシーを確立できる。コンテンツの操作を伴う各行動の夫々において、１以上のコンテンツ検査ルールが、ネットワーク・セキュリティ・システム１２０によって、該コンテンツに対して適用される。コンテンツがコンテンツコントロールの対象である、つまり、それが、機密データであると判定された場合、該コンテンツに含まれる機密データの流出または漏洩を防止するための１以上のセキュリティ処置が始動される。これらのアプローチの両方が次に詳細に説明される。
【００９１】
システム１００及びトポロジー２００〜３００が、特定のブロックを参照して、ここで説明されているが、該ブロックは、説明の容易のために規定され、構成部品の特定の物理的配置を要求することを意図していない点を理解すべきである。更に、該ブロックは、物理的に別個の部品に対応している必要はない。物理的に別個の部品が用いられている範囲において、部品間の接続（例えば、データ通信のための接続）は、要請に応じて有線及び／または無線であり得る。異なる要素または部品は単一のソフトウェアモジュールに合体することができ、複数のソフトウェアモジュールは同じハードウェア上で実行することができる。
【００９２】
図４は、クラウド・コンピューティング・サービス（ＣＣＳ）上に保存された企業情報をモニター及びコントロールする代表的な方法である。フローチャート４００は、少なくとも部分的に、コンピュータ、または、例えば、情報を受信または検索し、情報を処理し、結果を保存し、該結果を送信するように構成された１以上のプロセッサ等による他のデータ処理システムにより実施できる。他の実施態様では、図４に図示したものと異なる順序で、及び／または、異なるまたは少ないまたは追加の処置とともに、該処置を実施してもよい。幾つかの実施態様では、複数の処置を合体することができる。便宜上、該フローチャートは、方法を実行するシステムを参照して説明される。該システムは、必ずしも、該方法の一部ではない。
【００９３】
開示された技術の本セクション及び他のセクションで説明される該方法は、以下の特徴の１以上、及び／または、開示された追加の方法と関連して説明される特徴を含むことができる。簡潔にするために、本願で開示される特徴の組み合わせは、個々には列挙されず、また、特徴の各基本セットによる繰り返し説明はされない。読者は、本方法において特定される特徴が如何にして、システム概要、システムアーキテクチャ、ディープＡＰＩ検査、コンテンツモニタリング、セキュリティ処置、結論、及び、特定の実施態様、等の実施態様として特定される基本特徴の集合と容易に組み合わされるかを理解できるであろう。
【００９４】
図４は、処置４１０で開始するプロセス４００を含む。但し、使用中のクラウド・コンピューティング・サービス（ＣＣＳ）アプリケーション・プログラミング・インターフェース（ＡＰＩ）の検出が起こる。以下に説明するように、クラウドサービスに対して成された呼び出しを含む、リアルタイムでのディープ検査トランザクションによって組織のネットワークとインターフェースを取る該クラウドサービスを発見するアルゴリズムベースのトラフィック解析が実行される。一実施態様では、ＣＣＳは、パブリッククラウド、プライベートクラウド、及び、プライベート・データ・センタの少なくとも１つおいて提供（ｈｏｓｔ）される。別の実施態様では、ＣＣＳは、サービスとしてのソフトウェア（ＳａａＳ）、サービスとしてのインフラストラクチャ（ＩａａＳ）、及び、サービスとしてのプラットフォーム（ＰａａＳ）の少なくとも１つである。
【００９５】
プロセス４００は、ＣＣＳ・ＡＰＩを介して実行される活動がコンテンツレベルの活動か否かを決定する処置４２０において続行する。一実施態様では、このことは、後述するように、該活動が実施されている期間のトランザクションのイベントログエントリを評価することにより決定される。別の実施態様では、後述するように、抽出エンジン１２６は、ＣＣＳ・ＡＰＩに基づいてデータストリームを解析（ｐａｒｓｅ）し、コンテンツの操作を含む活動を特定する。
【００９６】
別の実施態様では、機能または実行される活動が非コンテンツベースであると決定されると、一実施態様に基づいて、活動レベルポリシーが処置４３０において適用される。非コンテンツベースに適用される活動レベルポリシーの一例は、活動レベルポリシーを設定する組織外に既にアップロードされたドキュメントの共有を防止することが含まれる。活動レベルポリシーの他の例は、ＣＣＳのドメイン名とＵＲＬをＨＴＴＰ要求から抽出するシグネチャ発生アプリケーションの実行を含み、ドメイン名またはＵＲＬが「ブラックリスト」上にあれば、該ＵＲＬが、適用可能な活動レベルポリシーに基づいて選択的に転送される。別の実施態様では、活動レベルポリシーは、コンテンツベース機能または活動に適用することができる。
【００９７】
処置４４０において、後述するように、コンテンツコントロールの対象であるコンテンツ内の文字列（ｓｔｒｉｎｇｓ）及び相互関係のある文字列を発見するためにコンテンツ検査ルールが適用される。一実施態様では、後述するように、抽出されたコンテンツが、適用可能なコンテンツ検査ルール内で規定されている項（ａｒｇｕｍｅｎｔ）にマッチするか否かを決定するのに、分類エンジン１２７が使用される。
【００９８】
幾つかの実施態様では、後述するように、コンテンツコントロールの対象となるコンテンツに関連するメタデータ中の文字列及び相互関係のある文字列を発見するためにコンテンツ検査ルールが適用される。幾つかの実施態様では、コンテンツ検査プロファイルは、複数のコンテンツ検査ルールに基づいて規定され、ＣＣＳに適用可能なポリシー内に含まれる。更に、ＣＣＳに適用可能な該ポリシー内で規定されている複数の条件変数に基づいて、セキュリティ処置が始動される。
【００９９】
一実施態様では、コンテンツ検査ルールは、コンテンツコントロールの対象となるコンテンツを集合的に識別する２以上の離散的な文字列にマッチする少なくとも１つのマルチパート文字列検索パターンを含む。幾つかの実施態様では、マルチパート文字列検索パターンの少なくとも１つの下位区分が、特定の顧客の要求に合わせて調整されたカスタムパターンである。他の実施態様では、マルチパート文字列検索パターンの少なくとも１つの下位区分が、データ分類ライブラリからの標準パターンである。
【０１００】
一実施態様では、マルチパート文字列検索パターンは、前記２以上の離散的な文字列間の意味的近似に基づいて前記２以上の離散的な文字列にマッチする。幾つかの実施態様では、コンテンツ検査ルールは、医療保険の携行性と責任に関する法律（ＨＩＰＡＡ）のプライバシーまたはセキュリティ規制の順守を対象とした複数のマルチパート文字列検索パターンを含む。他の実施態様では、コンテンツ検査ルールは、ペイメントカード業界（ＰＣＩ）のデータセキュリティ基準の順守を対象とした複数のマルチパート文字列検索パターンを含む。更に他の実施態様では、コンテンツ検査ルールは、個人を特定可能な情報（ＰＩＩ）のデータセキュリティ基準の順守を対象とした複数のマルチパート文字列検索パターンを含む。
【０１０１】
一実施態様では、コンテンツ検査ルールは、機密と認定された営業秘密データを対象とした複数のマルチパート文字列検索パターンを含む。他の実施態様では、コンテンツ検査ルールは、ソースコードを対象とした複数のマルチパート文字列検索パターンを含む。更に他の実施態様では、コンテンツ検査ルールは、技術仕様を対象とした複数のマルチパート文字列検索パターンを含む。更なる実施態様では、コンテンツ検査ルールは、顧客または従業員に関する財務データを含む顧客または従業員リストを対象とした複数のマルチパート文字列検索パターンを含む。
【０１０２】
処置４５０において、後述するように、解析（ｐａｒｓｅ）されたストリーム内のコンテンツコントロールの対象となる文字列及び相互関係のある文字列の発見に対応するセキュリティ処置が始動される。幾つかの実施態様では、セキュリティエンジン１２８は、分類されたコンテンツのタイプに基づいてセキュリティ処置の何れを行うべきかを決定するために、１以上のコンテンツポリシー１８１にアクセスする。他の実施態様では、セキュリティエンジン１２８は、異なるタイプのセキュリティ処置の夫々に対して、ブロック・サブエンジン、バイパス・サブエンジン、修復サブエンジン、正当化サブエンジン、隔離サブエンジン、暗号化サブエンジン、及び、他の適切なセキュリティ処置エンジンを含む複数のサブエンジンを含むことができる。
【０１０３】
一実施態様では、解析（ｐａｒｓｅ）されたストリーム内のコンテンツコントロールの対象となる文字列及び相互関係のある文字列の閾値（ｔｈｒｅｓｈｏｌｄ）の発生の発見に対応するセキュリティ処置が始動される。幾つかの実施態様では、セキュリティ処置は、コンテンツの隔離を含む。一実施態様では、コンテンツが隔離承認者の承認または拒否の結果が出るまで条件付きで保存される隔離フォルダがＣＣＳに作成される。一実施態様では、隔離フォルダ内にコンテンツ項目を条件付きで保存することは、コンテンツを識別するコンテンツのためのツームストーン（ｔｏｂｍｓｔｏｎｅ）ファイルを表すデータを生成すること、及び、アップロードするユーザがコンテンツをアップロードするために希望する宛先（ファイルパスまたはフォルダ）に該ツームストーンファイルを保存することを含む。他の実施態様では、隔離フォルダ内にコンテンツ項目を条件付きで保存することは、該コンテンツ項目を暗号化することを含む。幾つかの実施態様では、隔離フォルダは、コンテンツが送信されたであろうＣＣＳとは異なる第２のＣＣＳに作成される。
【０１０４】
ＣＣＳへのコンテンツの送信に関する隔離承認者の決定は保存され、その後のＣＣＳへの該コンテンツの送信要求は隔離承認者の決定に基づいて処理される。幾つかの実施態様では、隔離承認者の承認または拒否に対応して、ツームストーンファイルは、該コンテンツと置換されるか、または、消去される。
【０１０５】
一実施態様では、少なくとも１つのマルチパート文字列検索パターンを識別するデータが生成され、隔離承認者に提示される。該データは、コンテンツコントロールの対象である隔離されたコンテンツ内の少なくとも１つの文字列を識別する。
【０１０６】
幾つかの実施態様では、セキュリティ処置は、実行される機能または活動を完了させるための条件として、解析（ｐａｒｓｅ）されたストリーム内のコンテンツ用に使用されるＣＣＳ・ＡＰＩの使用の正当化を要求することを含む。
【０１０７】
他の実施態様では、セキュリティ処置は、使用中のＣＣＳ・ＡＰＩのより企業向けの代替物を識別する１以上の指導メッセージの生成を含む。一実施態様では、ＣＣＳ・ＡＰＩの企業向けの代替物は、ＣＣＳのデータ暗号化ポリシー、ＣＣＳの災害管理ポリシー、ＣＣＳを支援するデータセンタの数、及び、該データセンタのコンプライアンス証明書の少なくとも１つに基づいて決定されるクラウド信頼指標（ＣＣＩ）を用いて識別される。
【０１０８】
幾つかの実施態様では、セキュリティ処置は、コンテンツのドキュメント特有の暗号化を含む。一実施態様では、ドキュメント特有の暗号化は、組織識別子、アプリケーション識別子、及び、領域識別子のトリプレットを用いてキーマネージャにアクセスすること、及び、３重キー、及び、前記３重キーを一意的に識別する３重キー識別子を受け取ることを含む。ドキュメント識別子（ＩＤ）を有するドキュメントに対して、本方法は、該３重キー、該ドキュメントＩＤ、及び、ソルトの組み合わせからドキュメント当たりキーを導出し、該ドキュメント当たりキーを用いて該ドキュメントを暗号化し、暗号化されたドキュメント、該ドキュメントＩＤ、該ソルト、及び、該３重キー識別子を転送することを含む。
【０１０９】
幾つかの実施態様では、該３重キー、該ドキュメントＩＤ、及び、該ソルトの組み合わせから該ドキュメント当たりキーを導出するために、ハッシュキー導出関数（ＨＫＤＦ）が使用される。
【０１１０】
一実施態様では、ＨＫＤＦは、トラステッド・プラットフォーム・モジュール（ＴＰＭ）において実行される。他の実施態様では、ＨＫＤＦは、ハードウェア・セキュリティ・モジュール（ＨＳＭ）において実行される。
【０１１１】
一実施態様では、ドキュメント分類タグが、ドキュメントのコンテンツ検査に基づいて該ドキュメントに適用され、該ドキュメントへのアクセスをコントロールするのに使用される。
【０１１２】
一実施態様では、ドキュメントの完全性を認証するデータ完全性タグが生成され、該ドキュメントを更に処理している期間中、該データ完全性タグの使用が持続される。
【０１１３】
一実施態様では、上記キーマネージャは、キーマネジメント相互運用プロトコル（ＫＭＩＰ）準拠のキーマネジメントシステムである。
【０１１４】
幾つかの実施態様では、該キーマネージャは、クラウド・コンピューティング・サービス（ＣＣＳ）を使用する組織のローカルデータセンタに設けられている。
【０１１５】
他の実施態様では、該キーマネージャは、クラウド・コンピューティング・サービス（ＣＣＳ）に設けられている。更に他の実施態様では、該キーマネージャは、領域特有である。
【０１１６】
更に他の実施態様では、本方法は、少なくとも１つのデータ分類タグを含む複数の条件変数に基づいて復号化のためのユーザを認可することを含む。該方法は、キー識別子と領域識別子を用いてキーマネージャにアクセスすること、及び、マスターキーを一意的に識別する該キー識別子を用いて該マスターキーを受け取ることを更に含む。ドキュメント識別子（ＩＤ）を有するドキュメントに対して、該方法は、該マスターキー、該ドキュメントＩＤ、及び、ソルトの組み合わせからドキュメント当たりキーを導出し、該ドキュメント当たりキーを用いて該ドキュメントを復号化し、復号化されたドキュメントを上記ユーザに転送することを含む。
【０１１７】
幾つかの実施態様では、該ドキュメントに対応するデータ完全性タグが検証される。該データ完全性タグは該ドキュメントの完全性を認証する。
【０１１８】
一実施態様では、該キー識別子は、組織識別子とアプリケーション識別子の少なくとも１つを含む。
【０１１９】
幾つかの実施態様では、ハッシュキー導出関数（ＨＫＤＦ）が、該マスターキー、該ドキュメントＩＤ、及び、該ソルトの組み合わせから該ドキュメント当たりキーを導出するために使用される。
【０１２０】
一実施態様では、該ＨＫＤＦは、トラステッド・プラットフォーム・モジュール（ＴＰＭ）において実行される。他の実施態様では、ＨＫＤＦは、ハードウェア・セキュリティ・モジュール（ＨＳＭ）において実行される。
【０１２１】
一実施態様では、該キーマネージャは、キーマネジメント相互運用プロトコル（ＫＭＩＰ）準拠のキーマネジメントシステムである。
【０１２２】
幾つかの実施態様では、該キーマネージャは、クラウド・コンピューティング・サービス（ＣＣＳ）を使用する組織のローカルデータセンタに設けられている。
【０１２３】
他の実施態様では、該キーマネージャは、クラウド・コンピューティング・サービス（ＣＣＳ）に設けられている。更に他の実施態様では、該キーマネージャは、領域特有である。
【０１２４】
本セクションで説明した方法の他の実施態様は、上記で説明した方法の何れかを実行するプロセッサによって実行可能な命令を格納する持続性コンピュータ可読記憶媒体を含むことができる。本セクションで説明した方法の更に他の実施態様は、メモリ、及び、上記で説明した方法の何れかを実行するために、該メモリに格納された命令を実行する動作が可能な１以上のプロセッサを備えるシステムを含むことができる。
［システムアーキテクチャ］
【０１２５】
機能について説明したが、一実施態様により使用される実施アーキテクチャについて、図４〜図６と関連して説明する。上述したように、ネットワーク・セキュリティ・システム１２０の機能１２５は、抽出エンジン１２６、分類エンジン１２７、セキュリティエンジン１２８等の異なるグループに分割される。更に、管理プレーン１２９、及び、データプレーン１３０とともに、または、代えて、制御プレーンを使用してもよい。当該グループ間の機能の特定の分割は、一実施上の選択である。同様に、機能は、局所性、性能、及び／または、セキュリティを改善するために幾つものポイント・オブ・プレゼンス（ＰＯＰｓ）に亘って高度に分散される。例えば、ネットワーク・セキュリティ・システム１２０の何れの部品も、クラウドサービスまたは企業ネットワークと同一場所に設置され得る。
【０１２６】
モニタ１２１は、組織のネットワークとインターフェースを取るクラウドサービスの夫々を識別することで、アプリケーション・プログラミング・インターフェース（ＡＰＩｓ）を介してクラウドサービスのトランザクション及びトラフィック上のコンテンツ検査（ＣＩ）を実施する。モニタ１２１は、検査されるデータパケット（パケットバッファ５０２に保存されている）及び該データパケットに適用されるコンテンツ検査ルールを特定することができる。一実施態様では、モニタ１２１は、アプリケーション・レイヤ・オブジェクト、ＳＩＰパケット、メディアパケットのベリファイメディア（例えば、リアルタイムトランスポートプロトコル（ＲＴＰ）メディア）を発見するためにＣＩを使用することができ、そうでなければ、ネットワーク１６０を通して送られたパケットを検査する。パケットは、パケットシグネチャ、パケットに使用されるバンド幅、圧縮プロトコル、コンテンツ、または、他の適切な特徴を含む、如何なる適切な特徴について、検査され得る。他の実施態様では、ＣＩは、パケットペイロードとともにパケットヘッダを調べることを含み、ネットワーク１６０を超えて特定のクライアント１５５に向かうパケットのフローの中のパケットに対して実施される。
【０１２７】
モニタ１２１は、ＣＩを実施するための様々な技術を採用し得る。一実施態様では、それは、パケット内の何処かの文字列、または、ジェネリックなビット及びバイトパターンに対するスキャニングを含むパターンマッチングを使用できる。他の実施態様では、それは、絶対的または相対的パケットサイズ、フロー毎のデータ及びパケット速度（ｒａｔｅ）、フローの数、クラウドサービス当たりの新規フロー比率を含む、クラウドサービスの通信行動内のパターンに対するスキャニングを含む行動解析を使用できる。更に他の実施態様では、それは、該行動解析の一部として収集された値の平均、メジアン、及び、偏差を含む、送信タイプ（例えば、メディアファイル、インスタントメッセージ、または、コンテンツ転送）を識別する統計指標の計算を含む統計解析を使用できる。
【０１２８】
ＣＩに加えて、モニタ１２１は、更に、５タプル（起点ＩＰ、宛先ＩＰ、起点ポート、宛先ポート、及び、レイヤ４プロトコル）を備える全てのパケットをグループ化することで、ネットワーク接続またはフローを追跡する浅いパケット検査を実施する。
【０１２９】
これに続いて、抽出エンジン１２６が、物理的なデータリンクまたはネットワークレイヤ等を含む複数のレベルでのトラフィックパケットを解析することで、パケットバッファ５０２内に保存されているパケットからコンテンツを抽出する。特に、抽出エンジン１２６は、コンテンツからのテキスト及び情報表示（例えば、特徴構造）、コンテンツからの文法的／意味的な情報（例えば、ドキュメント内の透かしを識別する解析木）、或いは、コンテンツについてのメタデータ（例えば、コンテンツ内のヘッダ／フッタ、著者、最終変更時データ、及び、他の適切なメタデータタイプ）を抽出する。
【０１３０】
一実施態様では、抽出エンジン１２６は、ＦＴＰ、ＳＭＴＰ、ＩＭＦ、ＨＴＴＰ、ＳＭＢ等を含む上位レイヤプロトコル上での機能の解析を使用する。それは、プロトコルデータストリームからアプリケーション・レイヤ・オブジェクトを抽出するために、正規表現等の可変長テキスト及び／または２値句の豊かな言語（ｒｉｃｈ  ｌａｎｇｕａｇｅ）を使用することもできる。
【０１３１】
他の実施態様では、抽出エンジン１２６は、コンテンツの構造を識別する複雑なメタデータをコンテンツから抽出する。例えば、それは、電子メールの“ＴＯ”及び“ＦＲＯＭ”フィールド等のメッセージの主要なフィールドを識別できる。メタデータの他の包括的でない例として、ＩＰアドレス、電子メールアドレス、受信者アドレス、送信者アドレス、電子メールの時刻、ウェブのＵＲＬ、連絡先リスト、インスタントメッセージＩＰアドレス、チャット名、ＶＯＩＰアドレス、ログイン、インスタントメッセージの受信者及び送信者、インスタントメッセージまたは電子メール内で送信したファイル名、ウェブ通信中に転送したファイル数、インスタントメッセージ・テキストのタイプ、ウェブ通信中に送信したオーディオ及び／またはビデオ添付ファイルの名前、ウェブ通信中に関与したパーティの数、ソーシャルネットワークへの書き込み時、ソーシャルネットワークへの書き込みサイズ、フォロワーの数、等々が含まれる。
【０１３２】
一実施態様によれば、コンテンツが抽出された後、それは、データセット内に整理され、リスト、タプル、ディクショナリ、テーブル、及び／または、セットとして、インメモリのデータストレージ１２２内に保存される。分類エンジン１２７は、それから、データを検索して閲覧するために、データベースにコマンド（例えば、ＳＱＬ命令文、ＢＮＦ命令文）を発行できる。リレーショナルデータベースのテーブル内のデータ要素間の関係を導出するために、追加のプログラム及びコマンドが実行される。一実施態様によれば、リレーショナルデータベースの他のテーブル内に含まれる補充データが、抽出されたコンテンツと結合され得る。
【０１３３】
分類エンジン１２７は、適用可能なコンテンツポリシー１８１、コンテンツプロファイル１８２、及び、コンテンツ検査ルール１８３に基づいて抽出されたコンテンツを評価する。一実施態様では、パケットの特性がコンテンツ検査ルールの条件を満足し、コンテンツコントロールの対象のコンテンツと見做される場合は、パケットはコンテンツ検査ルールにマッチすることができる。特に、分類エンジン１２７は、複数の類似性尺度を用いて、抽出されたコンテンツを、適用可能な標準検索パターンまたはカスタム検索パターン（後述する）内で規定されている項（ａｒｇｕｍｅｎｔ）と対比する。
【０１３４】
以下の議論は、抽出されたコンテンツ中の文字列が、適用可能なコンテンツ検査ルールの１つとマッチするか否かを決定する分類エンジン１２７によって用いられる類似性尺度の幾つかの例の概略を説明している。類似性尺度の一例は、ユニグラム（ｕｎｉｇｒａｍ）オーバラップである。基本的ユニグラムアプローチは、２つの文字列が閾値より高いＪａｃｃａｒｄ類似性を有している場合に、該２つの文字列を類似していると判断する。ユニグラム間のＪａｃｃａｒｄ係数が該文字列対の類似性を測るために用いられる。幾つかの実施態様では、２つの文字列間のＪａｃｃａｒｄ類似性は、特定の必須のトークンの存在を条件とすることができる。他の実施態様では、２つの文字列の類似性を判断するのに、編集距離技術を使用できる。即ち、２つの文字列間の該編集距離は、１つの文字列を他の文字列に変換する編集回数が或る閾値より少ない場合に、２つの文字列がマッチしていると判断される。幾つかの実施態様では、レーベンシュタイン距離を、２つの文字列間の相違量を測定するための測定基準として使用できる。該距離は、１つの文字列を他の文字列に変換するために要する編集回数の最小値である。
【０１３５】
他の実施態様では、類似性を判断するのに、ユークリッド距離、コサイン類似性、Ｔａｎｉｍｏｔｏ係数、Ｄｉｃｅ係数、ハミング距離、Ｎｅｅｄｌｅｍａｎ−Ｗｕｎｃｈ距離またはＳｅｌｌｅｒｓアルゴリズム、Ｓｍｉｔｈ−Ｗａｔｅｒｍａｎ距離、Ｇｏｔｏｈ距離またはＮｅｅｄｌｅｍａｎ−Ｗｕｎｃｈ−Ｇｏｔｏｈ距離、区間距離またはＬ１距離または街区距離、Ｍｏｎｇｅ−Ｅｌｋａｎ距離、Ｊａｒｏ距離測定基準、Ｊａｒｏ−Ｗｉｎｋｌｅｒ、ＳｏｕｎｄＥｘ距離測定基準、マッチング係数、Ｄｉｃｅ係数、オーバラップ係数、ヴァリエーショナル距離、Ｈｅｌｌｉｎｇｅｒ距離またはＢｈａｔｔａｃｈａｒｙｙａ距離、情報半径（Ｊｅｎｓｅｎ−Ｓｈａｎｎｏｎダイバージェンス）調和平均、スキュー（ｓｋｅｗ）ダイバージェンス、コンフュージョン・プロバビリティ、Ｔａｕ，Ｆｅｌｌｅｇｉ及びＳｕｎｔｅｒｓ（ＳＦＳ）測定基準、ＦａｓｔＡ、ＢｌａｓｔＰ、マキシマルマッチ、ｑ−グラム、Ｕｋｋｏｎｅｎアルゴリズム、及び、Ｓｏｅｒｇｅｌ距離等の様々な類似性尺度が使用できる。
【０１３６】
セキュリティエンジン１２８は、実行されるセキュリティ処置を識別するためにコンテンツポリシー１８１にアクセスする。幾つかの実施態様では、セキュリティエンジン１２８は、アラート・サブエンジン５０４、指導サブエンジン５０６、正当化サブエンジン５０８、隔離サブエンジン５１０、及び、暗号化サブエンジン５１２等の複数のサブエンジンを含む。コンテンツコントロールの対象であるコンテンツを発見すると、１以上のセキュリティエンジンがコンテンツポリシー１８１に規定されたルール、実行されるコンテンツレベル活動、及び、コンテンツタイプに基づいて起動される。他の実施態様は、ブロック・サブエンジン、バイパス・サブエンジン、及び、修復サブエンジン等の異なるまたはより多くのサブエンジン（図５中、３つの縦方向のドットで表現している）を含むことができる。
【０１３７】
アラート・サブエンジン５０４は、機密データの潜在的な漏洩または流出を発見すると、ネットワーク管理者に通知を送信する。指導サブエンジン５０６は、コンテンツレベル活動を実施するユーザに対し、該ユーザの組織によって予め認定されたより安全な代替クラウドサービスについて教育する。正当化サブエンジン５０８は、コンテンツレベル活動を実施するユーザに対し、クラウドサービスを介する該ユーザの特定のトランザクション（例えば、スプレッドシートのアップロード）が何故許可されるべきかについての正当化を要求する。隔離サブエンジン５１０は、転送されたデータを、隔離承認者の承認または拒否を待つ間、一時的にクラウドサービスの隔離フォルダ内に保持する。暗号化サブエンジン５１２は、ハッシュキー導出関数（ＨＫＤＦ）を使用する３重キーの組み合わせからドキュメント当たりキーを導出することにより、コンテンツのドキュメント特有の暗号化を実施する。
【０１３８】
ここでは、モニタ１２１は特定のブロックを参照して説明されているが、当該ブロックは、説明の容易のために規定されており、構成部品の特定の物理的配置を要求することを意図していない点を理解すべきである。更に、該ブロックは、物理的に別個の部品に対応している必要はない。物理的に別個の部品が用いられている範囲において、部品間の接続（例えば、データ通信のための接続）は、要請に応じて有線及び／または無線であり得る。異なる要素または部品は単一のソフトウェアモジュールに合体することができ、複数のソフトウェアモジュールは同じハードウェア上で実行することができる。
【０１３９】
図６は、データプレーンのポイント・オブ・プレゼンス（ＰＯＰ）のアーキテクチャレベルの構成を示す。図６は、ネットワーク６１０とネットワーク６２０に接続するデータプレーンのポイント・オブ・プレゼンス６００（一点鎖線で示すボックス）を含む。これらは、同じネットワークまたは異なるネットワークであり得る。ネットワーク６１０は、モバイル１５２及びコンピュータ１５４等のクライアントデバイス１５０とも接続している。ネットワーク６２０は、クラウドサービス１４２と接続している。データプレーン機能は、一実施態様に基づいて、複数のコンピュータ、ストレージ、データプレーンＰＯＰ６００等の複数のＰＯＰに亘るネットワーク装置を備えて実施される。データプレーンＰＯＰ６００の構成要素は、ファイアウォール６４０、安全なトンネルゲートウェイ６５０（上述のモバイルクライアントの説明参照）、ロードバランサ６６０、複数のプロキシ６７０，６７２及び６７４（各プロキシは現在のコンフィギュレーションに応じたポリシーを実行する）、及び、アウトバウンドＮＡＴ６８０を含む。該アーキテクチャは、更に、拡大縮小され得る、例えば、複数のファイアウォール等。プロキシ６７０，６７２及び６７４は、ロギングメッセージの生成を行うとともに、特定のポリシー、例えば、中断（ｄｒｏｐ）、リセット、リダイレクト、リクエスト（或いは全体のフロー）を実行する。
【０１４０】
データプレーンＰＯＰ６００は、更に、管理プレーンからコンフィギュレーション及びポリシーの情報を受け取るコンフィギュレーション・エージェント６９０、管理プレーンに送られるイベントを記録及び／または保存するイベントキュー６９２、及び、データプレーンＰＯＰ６００の性能及び状態をモニターするモニタリングエージェント６９４を含む。これらの要素は、データプレーンの他の要素（データフローに注力するために図示せず）と同様に、図７の管理プレーンＰＯＰ７００等の１以上の管理プレーンＰＯＰと通信して、通常は連結されている。同様に、コンフィギュレーション・システムはここでは示されていない。コンフィギュレーション及びポリシー間の相違は、コンフィギュレーション情報が、ネットワーク・セキュリティ・システム１２０のオペレータによって提供される情報、例えば、幾つのデータプレーンＰＯＰがアクティブであり、プロキシソフトウェアのどのバージョンがロードされているか等であるのに対し、ポリシー情報は、システムの管理者ユーザ、例えば、企業のＩＴ部員によって提供される点である。
【０１４１】
図６には、更に、モバイル１５２及び他のモバイルクライアントによって使用される安全なトンネル６０２の例が示されている。これに対して、コンピュータ１５４からのデータは、ファイアウォール６４０からロードバランサ６６０へ直接転送される。説明したように、幾つかのクライアントタイプは、安全なトンネルを使用し（ここでは、モバイルに対して使用されている）、他は安全なトンネルを使用していない（ここでは、コンピュータに対しては使用されていない）。
【０１４２】
図７は、管理プレーンのポイント・オブ・プレゼンスのアーキテクチャレベルの構成を示す。図７は、管理プレーン１２９の機能を実行する管理プレーンＰＯＰ７００を含む。幾つかの実施態様は、単一の管理プレーンＰＯＰだけを有していてもよく、一方で、他の実施態様は、複数の管理プレーンＰＯＰを有していてもよい。図７には、データプレーンＰＯＰ６００との相互関係及び通信が、大きな両矢印で示されている。管理クライアント１３１とクライアントデバイス１５０と管理プレーンＰＯＰ７００の間の通信も同様に示されている。
【０１４３】
管理プレーンＰＯＰは、サマリーデータ７１０、未加工イベントデータ７１２、コンフィギュレーション７１４、ポリシー１８１、ウェブ管理インターフェース７３０、プロビジョニング・サービス７４０、コンフィギュレーション・サービス７５０、イベント・ストレージ・サービス７５２、モニタリングサービス７５４、及び、リポートジェネレータ７５６を含む。サービスは、管理／データプレーンを橋渡しする：コンフィギュレーション・サービス７５０はコンフィギュレーション・エージェント６９０と通信し；イベント・ストレージ・サービス７５２は、イベントキュー６９２と通信し；モニタリングサービス７５４は、コンフィギュレーション・エージェント６９０と通信する。リポートジェネレータ７５６は、本実施態様では、リポート用のサマリーデータ７１０を生成するために未加工イベントデータ７１２と結合する管理プレーンだけの要素である。ウェブ管理インターフェース７３０は、ウェブブラウザを介した管理とリポートを可能にする。プロビジョニング・サービス７４０は、クライアントデバイスに、コンフィギュレーション用の上述した適切なクライアント（例えば、クライアント１５５、または、クライアント１８５からのデマンド１５８上のＶＰＮ）を提供する。プロビジョニング・サービス７４０は、更に、クライアントデバイス１５０にポリシーの更新を提供することに関与してもよい。他の実施態様では、イベント・ストレージ・サービス７５２、及び／または、モニタリングサービス７５４は、統一されたロギング及びリポートのために、クラウドサービス、及び／または、他のソースから直接データを受け入れてもよい。
【０１４４】
ここでは、アーキテクチャ６００−７００は特定のブロックを参照して説明されているが、当該ブロックは、説明の容易のために規定されており、構成部品の特定の物理的配置を要求することを意図していない点を理解すべきである。更に、該ブロックは、物理的に別個の部品に対応している必要はない。物理的に別個の部品が用いられている範囲において、部品間の接続（例えば、データ通信のための接続）は、要請に応じて有線及び／または無線であり得る。異なる要素または部品は単一のソフトウェアモジュールに合体することができ、複数のソフトウェアモジュールは同じハードウェア上で実行することができる。
［ディープＡＰＩ検査（ＤＡＰＩＩ）］
【０１４５】
ネットワーク・セキュリティ・システム１２０によって提供されるクラウドサービス検出、及び、コンテンツベース機能、または、活動識別について、アプリケーション・レイヤのトラフィックに焦点を当てて説明する。
【０１４６】
開示された技術は、クラウドサービスに対して成された呼び出しを含む、リアルタイムでのディープ検査トランザクションによって組織のネットワークとインターフェースを取る該クラウドサービスを発見するアルゴリズムベースのトラフィック解析を使用する。開示された技術は、クライアント１５５とクラウドサービス１４０間のトランザクションを解釈するために、コネクターまたは標準化されたインテグレーションを使用する。トランザクションは、実施される活動とそれに付属するパラメータを識別するために、分解される。該トランザクションは、ＪＳＯＮファイルとして表され、該ファイルは、モニタ１２１が、クラウドサービスにおいてユーザが如何なる処置を実施しようとしているかを、当該処置が発生したときに判断できるようにする構造及びフォーマット含んでいる。従って、例えば、モニタ１２１は、組織に代って、「投資銀行業務のジョーが、現在日本にいて、彼のＭ＆Ａディレクトリを、ヘッジファンドの投資家と午後１０時に共有した」ことを検知できる。
【０１４７】
典型的なユーザのＳａｌｅｓｆｏｒｃｅ．ｃｏｍのようなクラウドサービスとの相互作用は、セッションのコンテキスト中に生じる一連のイベントで構成される。注目すべき主たるイベントは、（ａ）ログイン−ユーザを認証するためのクラウドサービスへの認証情報をユーザに提供する；（ｂ）アプリケーション・トランザクション−一連のアプローチ・レベル・トランザクションを実行する、例えば、ミーティングノートをアップロードしリード（ｌｅａｄ）を追加し、或いは、新しいキャンペーンを規定する；及び、（ｃ）ログアウト−本イベントがサーバとのセッションを終了させる。ディープＡＰＩ検査ロジックは、これらのイベントを識別し、ポリシー評価を、処置を実行可能にする各トランザクション境界と結び付けることができる。最も一般に、アプリケーション・セッションは、ＨＴＴＰヘッダ内のセッションクッキによって識別される。ネットワーク・セキュリティ・システム１２０は、セッションを規定するためにセッションクッキを使用すること、または、セッションを規定するために、ユーザＩＤ、ユーザＩＰアドレス、デバイス、オペレーティング・システム、及び、ブラウザ／ネイティブ・アプリケーションを含むタプルを交互に使用することができる。
［イベントストアのデータ取出し及び異常検出］
【０１４８】
ネットワーク・セキュリティ・システムは、ロギング情報、例えば、未加工イベントデータ７１２を、該システムを通過するあらゆるクラウド・アプリケーション・トランザクションから集めた情報とともに生成する。図８は、ＪＳＯＮ型表現によるイベント・ログ・エントリ８００を含む典型的なイベント・ログ・エントリである。イベント・ログ・エントリ８００は、ログされたフィールドを網羅するものではなく、主要なフィールドを強調している。
【０１４９】
更に、外部ソースからのイベントログも、ネットワーク・セキュリティ・システム１２０に提供できる。従って、イベントデータの取出しは、幾つかの主要なタスクを達成できる：
◆  コンテンツの生成、コンテンツのアップロード、コンテンツへの書き込み、コンテンツの編集、等のコンテンツベースの機能及び活動８０２を識別する。
◆  コンテンツにアクセスするユーザを招く、コンテンツを共有する、及び、コンテンツを閲覧する、等の非コンテンツベースの機能及び活動を識別する。
◆  ユーザ、ユーザグループ、クラウドサービス、クラウドサービスグループ、時刻、曜日、地理的位置、帯域使用量、及び、観測された待ち時間、等の判定基準に基づく基本的な利用行動を確立する。該利用行動は、該システムを使用する企業毎に、及び／または、企業を横断して追跡することができる点に注意。
◆  一旦基本的な利用行動が確立すると、異常な活動は、観測された基準に適合しない処置であり、管理者が見直し、対応策を講じるように警告が与えられる。異常な活動の例として、基準に適合しない地理的位置及び／または時間からのユーザアクセス、及び、ユーザの帯域使用量が非常に大きい、例えば、測定される基準と比較して標準偏差の２倍以上の場合が含まれる。とりわけ、該ルールは、役割に敏感である。例えば、カスタム定義のセールスグループのユーザは、該グループ外の従業員より、非標準地理的位置でのより大きな裁量範囲を与えられている。幾つかの実施態様では、幾つかの異常な活動は、企業が特定の処置を規定するポリシーに対して条件としてもよい。例えば、管理者が承認するまで過度な転送の異常条件をブロックする。
【０１５０】
一実施態様に基づいて、未加工イベントデータ７１２が、基準を確立するための機械学習技術を用いて解析される。監督される（ルールベース）手法と監督されない（クラスタリング）手法の両方が採用される。基準データ及び異常は、管理インターフェースを通して人が管理可能なフォーマットで提示され得る。例えば、地理的位置に基づくアクセスパターンは、ユーザとクラウドサービスを表す点と利用を示す結合円弧を有する地図インターフェースを用いて提示できる。他の実施態様では、未加工イベントデータ７１２の取出しに利用できるＡＰＩが存在する。該ＡＰＩは、該システムによって収集されたデータを用いて付加価値のあるアプリケーションを構築するパートナーにより利用され得る。とりわけ、異常は複数のクラウドサービスを横断して追跡され得る。例えば、１つのサービスからデータをダウンロードし、次のサービスにアップロードすることは、自動的に検出される異常ポリシーとすることかできる。データの完全性及びセキュリティとともに行わなければならない他のサービスを横断するポリシーは、同様に、適切な条件を備えて確立され得る。
［コンテンツモニタリング］
【０１５１】
開示された技術は、コンテンツコントロールの対象である企業データ内の文字列及び相互関係のある文字列を発見するためにコンテンツ検査ルールを適用する。コンテンツ検査ルールは、コンテンツコントロールの対象となるコンテンツを集合的に識別する２以上の離散的な文字列にマッチする少なくとも１つのマルチパート文字列検索パターンを含む。文字列は、テキスト、文字、数字、英数字、論理式、等を含む一連の何らかのデータタイプであり得る。一実施態様では、相互関係のある離散的な文字列は、クレジットカード情報等の私有の金融データのコンテキスト内で説明され得る。典型的なクレジットカード情報は、ほぼ必ず、ファーストネームとラストネーム、クレジットカード番号、及び、満期データを含む。これらの文字列が、同じデータチャンク、同じドキュメント、または、同じ文章内等の互いに接近して発見された場合、それらは、有効なクレジットカード情報を構成していると判断される。
［コンテンツ検査ルール］
【０１５２】
組織は、例えば、ペイメントカード情報等の規制を、特定の意味的近似閾値内でクレジットカード文字列を探すマルチパート文字列検索パターンを規定することにより、順守することができる。マルチパート文字列検索パターンの一例を下記に示す。
2019016370.tif 000003
［標準検索パターン］
【０１５３】
幾つかの実施態様では、マルチパート文字列検索パターンの少なくとも１つの下位区分が、データ分類ライブラリによって事前に規定された標準パターンである。標準検索パターンは、様々なコンテンツタイプの存在を検出するのに使用され得る正規表現として機能する。パラメータ値が正規表現にマッチする場合、分類エンジン１２７が特定のコンテンツタイプを検出する。標準パターンの例は、ペイメントカード業界情報（ＰＣＩ）、個人を特定可能な情報（ＰＩＩ）、電子的に保護された健康情報（ｅＰＨＩ）、医療保険の携行性と責任に関する法律（ＨＩＰＡＡ）、及び、プロファニティを含む。一実施態様では、ＨＩＰＡＡは、医療事業体に対して適用されるアメリカ合衆国の法律であり、保護された健康情報（ＰＨＩ）の使用、開示、及び、安全保護対策を管理する。更に、ＨＩＰＡＡは、適用を受ける組織に対して、ＰＨＩへのアクセスを有する該組織のベンダーと契約を調印するという要件を課す。本例では、医療会社は、患者名、社会保障番号、メディケアＩＤ等の様々なＰＨＩ関連の分類詞を含む事前に規定された辞書を用いてコンテンツプロフィルを作成することにより、ＰＨＩ違反を検出する。
【０１５４】
他の実施態様では、特定のデータタイプを検出するために、複数の事前に規定されたデータ識別子を使用することができる。一実施態様では、ドキュメントまたはダンクチャンク（ｄｕｎｋ  ｃｈｕｎｋ）にマッチするデータを含むように、カウント閾値以上のデータ識別子を所与とすると、該ドキュメントまたはダンクチャンクは機密データを含んでいると特定され得るように、カウント閾値を各データ識別子に対応付けることができる。事前に規定されたデータ識別子の以下のリストは、網羅的ではなく典型的であり、電話番号、ＳＳＮ、ＳＷＩＦＴコード、ＶＩＮ番号を含む。
［カスタム検索パターン］
【０１５５】
マルチパート文字列検索パターンの少なくとも１つの下位区分が、特定の顧客の要求に合わせて調整されたカスタムパターンである。組織は、該組織の特定の要求に合わせて調整されたカスタムパターンを生成するために、パターンマッチング、キーワード検索、及び、正規表現（ｒｅｇｅｘ）を使用できる。例えば、キーワード“ネットスコープ・コンフィデンシャル”というキーワードのあるドキュメントは、機密データとして認識され得る。
【０１５６】
幾つかの実施態様では、特定の機密データタイプを検出するカスタムパターンを規定するために正規表現が使用できる。パラメータ値が正規表現にマッチした場合、分類エンジン１２７が該特定の機密データを検出する。
【０１５７】
一実施態様に基づいた正規表現演算子と該演算子がマッチするパターンのサンプルセットは以下を含む。
2019016370.tif 000004
【０１５８】
以下の表は、正規表現数量詞と該数量詞がマッチするパターンのサンプルセットを示す。
2019016370.tif 000005
【０１５９】
一実施態様に基づいた正規表現メタキャラクタと該メタキャラクタがマッチするパターンのサンプルセットは以下を含む。
2019016370.tif 000006
【０１６０】
以下の例は、正規表現ベースの１６桁のクレジットカード番号を検出するカスタムマルチパート文字列検索パターンを示す。
2019016370.tif 000007
◆  ＼ｄ  ：数字文字をチェックする。
◆  ｛４｝  ：ｎ回正確にマッチする。４桁の数字が確かにあることを確認する。
◆  −？  ：これは、数字が時々ハイフン“−”によって分離されることを確認することになる。“？”は、０または１回を示している。
◆  この単純な正規表現は、１６桁の数字が、時々“−”によって分離されること確認する。
◆  マッチする例：  この正規表現は、1234-5678-9123-4567、または、1234567891234567にマッチする。
［ソースコード検出］
【０１６１】
他の実施態様では、カスタムマルチパート文字列検索パターンは、Ｃ＋＋入力／出力命令文、Ｃ＋＋コメント、Ｊａｖａ解析コマンド行の項（ａｒｇｕｍｅｎｔ）、Ｐｙｔｈｏｎ印刷コマンド、及び、ＳＱＬ命令文、等のソースコートを検出できる。
●  output: cout << ”string of characters”;
●  input: cin >> variable;
●  /* . . . */
●  //
●  double Double.parseDouble(String s)
●  print test_string, ‘text’
●  SELECT column_name,column_name
【０１６２】
下記の表は、様々なコンテンツタイプ及びそれらの検出に用いられる検索パターンを要約する。
2019016370.tif 000008
［コンテンツプロファイル］
【０１６３】
コンテンツプロファイルを規定するために、１以上のコンテンツ検査ルールを結合することができる。例えば、ＰＣＩコンテンツプロファイルは、クレジットカード情報及び社会保障データを検出するためのコンテンツ検査ルールを含むことができ、以下のように規定される。
PCI_Content_Profile :=
CreditCard_Rule
SSN_Rule
【０１６４】
他の例では、ＰＩＩコンテンツプロファイルは、クレジットカード情報及び社会保障データ及び運転免許証番号を検出するためのコンテンツ検査ルールを含むことができ、以下のように規定される。
PII_Content_Profile :=
CreditCard_Rule
SSN_Rule
DL_Rule
［コンテンツポリシー］
【０１６５】
更に、コンテンツポリシーを規定するために、１以上のコンテンツプロファイルを結合することができる。コンテンツポリシーは任意のユーザ、ユーザグループ、クラウドサービス、クラウドサービスカテゴリー、クラウドサービスインスタンス、地理的位置、デバイス及びオペレーティング・システム（ＯＳ）タイプに適用できる。
All_User = Cloud_Storage, Upload_Activity, Apply PCI_Content_Profile
◆  All_User：全てのユーザの活動にＰＣＩコンテンツプロファイルを適用する。
◆  Cloud_Storage：クラウド・ストレージ・サービスにだけＰＣＩコンテンツプロファイルを適用する。
◆  Upload_Activity：アップロード活動にだけＰＣＩコンテンツプロファイルを適用する。
◆  PCI_Content_Profile：ＰＣＩコンテンツプロファイルを適用する。
◆  検出例：本正規表現は、クラウド・ストレージ・サービスにアップロードされる任意のクレジットカード情報または社会保障データを検出できる。
【０１６６】
一般的に、ポリシーは、マッチ条件及び１以上の処置の実行のセットをテストするものとして見なすことができる。最も一般的な処置は、許可、ブロック（または否定）、リダイレクト（クライアントに他のサイトに行くように求め、ユーザに管理者からの許可を要求するように指示してもよい。）、管理者承認のためにデータを隔離、ログ、リセット（ＴＣＰ接続を中断（ｄｒｏｐ）する。）、及び、暗号化（アプリケーションのペイロード内のデータ）である。他の処置は、更にデータを処理するために、ネットワーク・セキュリティ・サーバ内または外側で統合された他の外部サービスを始動することもあり得る。我々は、以下の説明において、ポリシー処置の一般例として、“ブロック”を使用するが、より一般的には、後述するように、任意の処置が適用され得る。
【０１６７】
コンテンツポリシー１８１に対して、デフォルトが“許可”（または、デフォルトが“否定”）となるポリシーがあり得て、管理者は、該ポリシーを、サービス特有、ユーザ特有、及び、グループ特有のポリシーで補うことができる。１つのコンテンツポリシーだけがマッチする場合、特定の要求（または、要求／応答の全フロー）を中断（ｄｒｏｐ）、リセット、または、リダイレクトするか否かの決定がなされる。複数のポリシーがマッチする場合、優先順位を決めるためにシステムは様々なルールを使用できる。例えば、最も具体的でないポリシー（最も多くの条件がマッチ）に対する最も具体的なポリシー、順々にテストされたマッチする最初のポリシー（管理者が順序付けできる）、選択された最も限定的なポリシー結果（中断（ｄｒｏｐ）は、リセットを取り込み、リセットはリダイレクトを取り込む）。
［コンテキスト及び活動を意識した検出］
【０１６８】
クラウドサービスへ移動する企業データの増加量に伴い、何が真に機密かを認識して保護することが難問である。従前のコンテンツ検査技術は、誤検出や検出漏れを誘引する。開示された技術は、コンテンツを検査し、コンテンツポリシーを実行するためのコンテキストを設定するために複数の条件変数を使用する。条件変数の以下のリストは、網羅的ではなく典型的であり、コンテンツサービス、コンテンツサービスカテゴリー、ＣＣＩ、ユーザまたはグループ、ユーザまたはクラウドサービスの位置、時刻、デバイス、ブラウザ、及び、ユーザ活動タイプ（例えば、アップロード、ダウンロード、または、閲覧）を含む。コンテンツポリシー内の該コンテキストを有することで、潜在的なデータ損失シナリオの識別における精度及び正確度、及び、目標とされたデータの保護が可能となる。
【０１６９】
条件変数に関して、条件変数は、ロギング及びフロー処置の両方に対してポリシーのマッチを判断するのに用いられる。ポリシー自体は、単純な直接マッチ、階層的な親／子マッチ、及び／または、複雑な論理的マッチ用にテストされる条件変数によって、マッチを規定できる。
【０１７０】
更に、時間ウィンドウを特定することができる（ウィンドウタイプは、ウィンドウを狭める時間／日の情報を含んでもよい）。
2019016370.tif 000009
【０１７１】
引き続き、ネットワーク及びＨＴＴＰフロー条件変数が存在する。
2019016370.tif 000010
【０１７２】
更に、地理的位置マッピングがサポートされており、例えば、ＭａｘＭｉｎｄのＧｅｏＩＰライブラリ等のライブラリ／使用したライブラリに依存して、例えば、市、国、地域、郵便番号、緯度、経度等の様々な条件変数が利用可能である。
【０１７３】
ユーザ関連の変数は、条件変数の別コレクションである。
2019016370.tif 000011
【０１７４】
最後に、ブラウザファミリー（例えば、クローム、インターネット・エクスプローラ、サファリ）、ＯＳファミリー（例えば、Ｗｉｎｄｏｗｓ、ｉＯＳ、ＭａｃＯＳ、Ｌｉｎｕｘ、Ａｎｄｒｏｉｄ）、ＯＳサブファミリー（例えば、Ｗｉｎｄｏｗｓ：７とＶｉｓｔａの対比）、デバイスタイプ（例えば、デスクトップ、モバイル）、デバイスサブタイプ（例えば、デスクトップに対して：ＰＣとＭａｃの対比、モバイルに対して：タブレットとスマートフォンの対比）、管理デバイスと非管理デバイス（ＢＹＯＤ）の対比、等のデバイス及びクライアントプラットフォーム条件変数が利用可能である。
［ポリシーの実行］
【０１７５】
コンテンツベースの処置ポリシーに対して、複数の場合において実行ポイントが生じ得る。例えば、ソースＩＰ範囲または国コード地理的位置は、接続が確立したときに実行され得る。但し、特定のファイルのアプリケーションへのアップロードをブロックするポリシーは、該アプリケーション識別子及びリソース識別子条件変数が設定され、ＨＴＴＰ・ＰＯＳＴデータが利用可能となったときに、恐らく実行可能となるしかないであろう。従って、ネットワーク・セキュリティ・システム内のポリシー実行に向かう主要なポイントは以下を含む：
◆  クライアントとネットワーク・セキュリティ・システム間で接続が確立した後；
◆  ＨＴＴＰの受信されるＵＲＬ及びホストの要求後；
◆  ＨＴＴＰのヘッダの要求後、但し、送信されるデータ（存在すれば）の要求前；
◆  ＨＴＴＰの受信されるデータの要求後；
◆  ＨＴＴＰのヘッダの応答後、但し、送信されるデータの応答前；及び、
◆  ＨＴＴＰの完了の要求／応答後（パイプラインの場合は接続が継続し得る）。
【０１７６】
ポリシー実行のフレームワークは、ポリシーの処置が記載した項目を超えて拡張できるように、拡張可能である。幾つかの実施態様では、例えば、カスタムポリシー処置は、データ漏洩を検出及び防止するために送信中のデータの選択的なインラインスキャニングを含むことができる。他の実施態様では、ポリシー処置は、マルウェア及びウイルスに対して送信中のデータをスキャンするアンチウィルスモジュールを起動させることができる。更に他の実施態様では、選択的なデータ暗号化または復号化等の操作を動的に実行する。一実施態様では、クラウドサービスにアップロードまたは保存された機密データが暗号化されることを確実にすることを目標とし得る。従って、ネットワーク・セキュリティ・システムにおいて、データがクライアントからクラウドサービスに移動するときに暗号化が起こり、同様に、データがクラウドサービスからクライアントに移動するときに復号化が起こる。更に他の実施態様では、企業ポリシー及び政府規制、例えば、データのローカルコピーが暗号化されることを要求するＨＩＰＡＡ等の順守に伴い助力することもできる。従って、患者、顧客等の記録のダウンロードは、要求したクライアントに提供される前に、ネットワーク・セキュリティ・システムにより起動されたポリシーによって自動的に暗号化されてもよい。暗号化（及び複合化）のキーまたはパスワードは、ポリシー及び／またはサードパーティのシステムにおいて特定され得る。例えば、ダウンロードされる全ての納税申告書のドラフトは、ユーザ識別子の最後の４文字を用いて自動的に暗号化されてもよい。更に他の実施態様では、暗号化システムは、ネットワーク・セキュリティ・システムに提供されるユーザ用のデフォルトパスワードを有していてもよい。他の実施態様では、暗号化が、ユーザ識別子に基づくキーまたはパスワードに基づいている。例えば、ユーザ識別子に基づくパスワードは、ユーザの一般グループ用の企業暗号化パスワードとしてもよい。他の実施態様では、該キーは、グループ証明書等の共通トークンとしてもよい。
【０１７７】
他の実施態様では、暗号化はフィールドレベルにまで下げて実行してもよい。例えば、スプレッドシート内の社会保障番号またはクレジットカード番号のカラムの暗号化だけを行う。同様に、他の実施態様では、電子メールのメッセージ内容は暗号化されるが、ヘッダはそのままとしてもよい。
［動作モード］
【０１７８】
コンテンツポリシーは、能動及び／または受動モードで実行され得る。能動モードでは、全てのユーザデータは、ネットワーク・セキュリティ・システム１２０を通過し、コンテンツ検査ルールがリアルタイムで適用される。受動モードでは、組織によって認可されたクラウドサービス上に既に存在するユーザディレクトリ、ファイル、及び、フォルダ上において、コンテンツ検査ルールを以前に遡って適用するために、ＡＰＩコネクターを使用することができる。受動モードでは、組織は、クラウドサービス内にあって、組織のネットワークを出たコンテンツを検索することができる。
［きめ細かなコンテンツポリシー］
【０１７９】
図９〜図１２は、コンテンツタイプ及びアプリケーションレベルの意味に基づく開示されたきめ細かなコンテンツポリシー１８１が既存のＤＬＰソリューションと区別されることを強調表示している。
【０１８０】
図９は、きめ細かいコンテンツポリシーの設定に利用可能なコンテンツ・モニタ・インターフェース９００の一実施態様を示す。他の実施態様では、インターフェース９００は、上記に挙げたものと同じウィジェット、タブ、インターフェース要素、または、インターフェース部品を備えていなくてもよく、及び／または、上記に挙げたものに代えて、または、追加して、セキュリティ処置タブ、コンテンツ抽出タブ等の別の／異なるウィジェット、タブ、インターフェース要素、または、インターフェース部品を備えてもよい。
【０１８１】
インターフェース９００に示されるコンテンツポリシーは、ＣＣＩが中間、高いまたは低いクラウド・ストレージ・サービスだけの全てのユーザの活動に対して、ＰＣＩ標準検索パターンを適用する。更に、選択されたＰＣＩ検索パターンだけが、コンテンツレベル活動のアップロード及びダウンロードするのに適用される。ＰＣＩ検索パターンのコンテンツ検査ルールがマッチしたときに起動される対応するセキュリティ処置は、アップロードまたはダウンロードされようと試みられているコンテンツのドキュメント当たりの暗号化である。
【０１８２】
図１０は、組織の特定のエンティティに適用可能なきめ細かいコンテンツポリシーの作成に利用可能なコンテンツ・モニタ・インターフェース１０００の一実施態様を示す。他の実施態様では、インターフェース１０００は、上記に挙げたものと同じウィジェット、タブ、インターフェース要素、または、インターフェース部品を備えていなくてもよく、及び／または、上記に挙げたものに代えて、または、追加して、セキュリティ処置タブ、コンテンツ抽出タブ等の別の／異なるウィジェット、タブ、インターフェース要素、または、インターフェース部品を備えてもよい。
【０１８３】
インターフェース１０００に示されるコンテンツポリシーは、Ｂｏｘクラウドサービスに対してコンテンツをアップロードしようと試みているＩＴグループだけのユーザの活動に対して、ＨＩＰＡＡ標準検索パターンを適用する。ＨＩＰＡＡ検索パターンのコンテンツ検査ルールがマッチしたときに起動される対応するセキュリティ処置は、コンテンツのドキュメント当たりの暗号化である。
【０１８４】
図１１は、特定のクラウドサービスに適用可能なきめ細かいコンテンツポリシーを適用するのに利用可能なコンテンツ・モニタ・インターフェース１１００の一実施態様を示す。他の実施態様では、インターフェース１１００は、上記に挙げたものと同じウィジェット、タブ、インターフェース要素、または、インターフェース部品を備えていなくてもよく、及び／または、上記に挙げたものに代えて、または、追加して、セキュリティ処置タブ、コンテンツ抽出タブ等の別の／異なるウィジェット、タブ、インターフェース要素、または、インターフェース部品を備えてもよい。
【０１８５】
インターフェース１１００に示されるコンテンツポリシーは、グーグルドライブに対してのみ、プロファニティ検索パターンを適用する。プロファニティ検索パターンがマッチしたときに起動される対応するセキュリティ処置は、所与の組織のネットワークセキュリティ管理者を変更することである。
【０１８６】
図１２は、コンテンツ検査ルール用のキーワードまたは正規表現ベースの検索パターンの設定に利用可能なコンテンツ・モニタ・インターフェース１２００の一実施態様を示す。他の実施態様では、インターフェース１２００は、上記に挙げたものと同じウィジェット、タブ、インターフェース要素、または、インターフェース部品を備えていなくてもよく、及び／または、上記に挙げたものに代えて、または、追加して、セキュリティ処置タブ、コンテンツ抽出タブ等の別の／異なるウィジェット、タブ、インターフェース要素、または、インターフェース部品を備えてもよい。
【０１８７】
インターフェース１２００に示されるコンテンツポリシーは、“ネットスコープ・コンフィデンシャル”というキーワードの少なくとも５回の出現、または、その変形が発見されたとき、評価されるコンテンツが機密データと見做され、そして、適切なセキュリティ処置が起動されるように、キーワードまたは正規表現ベースの検索パターンを適用する。
［セキュリティ処置］
【０１８８】
開示された技術は、機密データが発見されると直ぐに取られ得る多くのセキュリティ処置を教える。コンテンツポリシー１８１は、コンテンツがマッチしたときに警告を送り、アップロード、ダウンロード、アクセスの制限、所有権の変更等の活動をブロックし、クラウドサービスにアップロードされる前にデータを暗号化するものが設定され得る。
［コンテンツの隔離］
【０１８９】
図１３は、隔離セキュリティ処置のワークフロー１３００の一実施態様を示す。ワークフロー１３００は、少なくとも部分的に、コンピュータ、または、例えば、情報を受信または検索し、情報を処理し、結果を保存し、該結果を送信するように構成された１以上のプロセッサ等による他のデータ処理システムにより実施できる。他の実施態様では、図１３に図示したものと異なる順序で、及び／または、異なるまたは少ないまたは追加の処置とともに、該処置を実施してもよい。幾つかの実施態様では、複数の処置を合体することができる。便宜上、該ワークフローは、方法を実行するシステムを参照して説明される。該システムは、必ずしも、該方法の一部ではない。
【０１９０】
特に、ワークフロー１３００は、組織がコンテンツポリシーを修復できるようにする自動化された隔離ワークフローを示す。企業ユーザが機密コンテンツのクラウド・ストレージ・サービスへのアップロードを試みると、隔離サブエンジン５１０が、隔離承認者（つまり、トランザクションを承認できる組織内のリスク及びコンプライアンス職員）に要求を送ることができる。機密情報は、幾つかの実施態様に基づいて、トランザクションが承認されるまで、隔離フォルダ内に保持することができる。
【０１９１】
図１３では、企業ユーザが、企業データ１８４のクラウドサービス１４２へのコンテンツ送信１３０２（例えば、ファイルのアップロード）を行おうと試みている（コンピュータ１５４を介して）。反直観的に、隔離サブエンジン５１０は、処置１３０４で試みられたアップロードを拒否する。その代わり、隔離サブエンジン５１０は、処置１３０６で企業データ１８４を認識するツームストーンファイル１３１８を表すデータを生成する。ツームストーンファイル１３１８は、企業データ１８４を含む実際のファイルが企業ポリシーとの適合を検査されており、アップロードされたファイルは隔離承認者だけがアクセス可能であることを、該ユーザに知らせるのに用いられる。
【０１９２】
処置１３０８において、企業ユーザは、隔離セキュリティ処置を通知される。更に、処置１３１０において、管理プレーン１２９を介して隔離セキュリティ処置に関して通知（例えば、電子メール）が隔離承認者に送られる。更に進むと、処置１３１２で、送信の試み１３０２に関して、隔離承認者から決定を受信する。隔離承認者が、送信の試み１３０２を承認した場合、ツームストーンファイル１３１８は企業データ１８４に入れ替わる。そうでなく、隔離承認者が、送信の試み１３０２を拒否した場合は、ツームストーンファイル１３１８は削除される。
【０１９３】
処置１３１４において、企業ユーザは、処置１３１２で受信した隔離承認者の決定を通知され、企業データ１８４の処理に関する更なる命令が送信される。幾つかの実施態様では、処置１３１６において、送信の試み１３０２に応答して、コンテンツポリシーが、インストール、適用、または、変更され得る。
【０１９４】
他の実施態様では、企業データ１８４を含む実際のファイルは検索され、上述の処置を取る前に、第２の判断を得るために企業データセンタ内の既存のＤＬＰシステムによって実行される。
［企業ユーザの指導］
【０１９５】
図１４は、指導セキュリティ処置のワークフロー１４００の一実施態様を示す。ワークフロー１３００は、少なくとも部分的に、コンピュータ、または、例えば、情報を受信または検索し、情報を処理し、結果を保存し、該結果を送信するように構成された１以上のプロセッサ等による他のデータ処理システムにより実施できる。他の実施態様では、図１３に図示したものと異なる順序で、及び／または、異なるまたは少ないまたは追加の処置とともに、該処置を実施してもよい。幾つかの実施態様では、複数の処置を合体することができる。便宜上、該ワークフローは、方法を実行するシステムを参照して説明される。該システムは、必ずしも、該方法の一部ではない。
【０１９６】
指導は、ポリシー違反及び危険な行為についてユーザを教育すること、及び、より安全で準拠している代替クラウドサービスを提案することを含む。特に、指導は、“あなたは機密ドキュメントをＺｉｐｐｙｓｈａｒｅにアップロードしています。我々は、Ｂｏｘの企業アカウントを有しています。サインアップ用のＵＲＬはこれです。”等の自動化されたメッセージを用いて、ユーザを好ましい行為へと訓練する、或いは、該ユーザを準拠した代替クラウドサービスへと向け直すことも行う。他の実施態様では、指導は、ユーザが、短いビジネス正当化を用いて、或いは、誤検出を報告することにより、ブロックされた処置をバイパスできるようにする。
【０１９７】
特に、ワークフロー１４００は、企業ユーザの自動化された指導を示す。コンテンツレベル処置の間にコンテンツポリシー違反が検出された場合、ユーザの組織のセキュリティポリシーにより適切なプロセスまたはワークフローへユーザを向け直す通知を、企業ユーザに送信することができる。例えば、ユーザがＰＩＩ情報を個人のＤｒｏｐｂｏｘアカウントにアップロードしようとした場合、彼または彼女に対して、組織が許可した企業のＢｏｘアカウントへと向け直すことができる。
【０１９８】
図１４において、企業ユーザが、企業データ１８４のクラウドサービス１４２へのコンテンツ送信１４０２（例えば、ファイルのアップロード）を行おうと試みている（コンピュータ１５４を介して）。反直観的に、指導サブエンジン５０６は、処置１４０４で試みられたアップロードを拒否する。その代わり、指導サブエンジン５０６は、クラウドサービス１４２と同様の特徴を含み同様の目的を果たす、他のより安全なクラウドサービスの代替物１４４が存在することを企業ユーザに教育するインターフェース１４０８を表すデータを生成する。
【０１９９】
企業ユーザがシステムが生成した指導メッセージに従う場合、処置１４１０で、企業データはより安全なクラウドサービス代替物１４４に、指導サブエンジン５０６によって送信される。一実施態様では、より安全なクラウドサービス代替物の決定は、各クラウドサービスのＣＣＩに基づいて行われる。
［活動正当化の要求］
【０２００】
図１５は、正当化セキュリティ処置のワークフロー１５００の一実施態様を示す。ワークフロー１５００は、少なくとも部分的に、コンピュータ、または、例えば、情報を受信または検索し、情報を処理し、結果を保存し、該結果を送信するように構成された１以上のプロセッサ等による他のデータ処理システムにより実施できる。他の実施態様では、図１５に図示したものと異なる順序で、及び／または、異なるまたは少ないまたは追加の処置とともに、該処置を実施してもよい。幾つかの実施態様では、複数の処置を合体することができる。便宜上、該ワークフローは、方法を実行するシステムを参照して説明される。該システムは、必ずしも、該方法の一部ではない。
【０２０１】
コンテンツレベル処置がブロックされた場合、カスタム正当化ページ１５０８が、企業ユーザを、段階的なプロセスを経て危険を緩和するようにできる。ブロックページ１５０８が提示された場合、企業ユーザは、操作を正当化する、または、誤検出としてブロックにタグを付す、または、単純にコンテンツのアップロードを止めることができる。
【０２０２】
図１５において、企業ユーザが、企業データ１８４のクラウドサービス１４２へのコンテンツ送信１５０２（例えば、ファイルのアップロード）を行おうと試みている（コンピュータ１５４を介して）。反直観的に、正当化サブエンジン５０８は、処置１５０４で試みられたアップロードを拒否する。その代わり、正当化サブエンジン５０８は、送信１５０２の目的及び正当性に関して企業ユーザから正当化を求めるインターフェース１５０８を表すデータを生成する。正当化が受信されると直ぐに、企業データは、正当化サブエンジン５０８によって処置１５１０でクラウドサービス１４２に送信される（正当化された送信）。一実施態様では、これにより、推論のレコード、つまり、送信１５０２の追跡記録が維持され、企業ユーザ間に説明できるように証跡を残す責任が生成される。
【０２０３】
更に他の実施態様では、コンテンツポリシー違反に基づいてレポートを作成できる。例えば、組織の管理者は、ＰＣＩコンテンツ検査ルールに違反する上位の企業ユーザ、組織内のＰＣＩコンテンツ検査ルール違反に使用された上位のクラウドサービス及びデバイスを示すレポートを作成できる。
［ドキュメント当たりの暗号化］
【０２０４】
開示された技術の更に別の特徴は、企業データ１８４のドキュメント当たりの暗号化である。ドキュメント当たりの暗号化は、潜在的なデータ漏洩の検出に応答して実行され得る１つのセキュリティ処置の一例である。この特徴により、ドキュメント毎に、企業データ１８４のきめ細かな暗号化及び復号化が許容される。斯かる粒度の細かいアプローチにより、規制当局の監査及び召喚状のような状況における企業データ１８４の累積的なリスクに晒される程度（ｅｘｐｏｓｕｒｅ）が最小化される一方、ドキュメント当たりの暗号化の主たる欠点は、多数のドキュメント当たりの暗号化のキーを保存する必要がある点である。従って、組織の何百万ものドキュメントに対する何百万ものドキュメント当たりの暗号化キーの保存によって、既存のドキュメント当たりの暗号化技術が、管理上の悪夢となる。
【０２０５】
ここに開示するドキュメント当たりの暗号化は、ドキュメント当たりの暗号化キーの保存の必要性を予め避けることで、粒度の細かい暗号操作における非効率なキー管理の技術的な問題を解決する。その代わり、開示された技術は、持続的なマスターキーから、リアルタイムで、非持続的なドキュメント当たりの暗号化キーを導出する。マスターキーは、ドキュメント毎ではなくアプリケーション毎に生成されるため、マスターキーは、ドキュメント当たりの暗号化キーに比べて桁違いに数が少ない。よって、当該粒度の細かい暗号化により、企業データへの無許可のアクセスのリスクを大幅に減じつつ、大規模なキー保存の必要性が解消される。
【０２０６】
粒度の細かいドキュメント当たりの暗号化に加えて、開示された技術は、カスタマイズされた暗号化キーを生成することで、企業データ１８４のリスクに晒される程度を、更に最小化する。カスタマイズされた暗号化キーは、個々の組織の様々なアプリケーション・インスタンスに対して調整されているという意味で、カスタマイズされている。“アプリケーション・インスタンス”という用語は、各種のクラウドサービス上の組織の種々のアカウントを参照する。従って、開示された技術は、組織が複数のクラウドサービス上に有する種々のアカウントに対して個々の暗号化キーを維持する。
【０２０７】
更に、開示された技術は、暗号化キーを組織の特定の地域インスタンス、例えば、ヨーロッパ、中東及びアフリカ、北米及び中米、南米、南太平洋、等に対してカスタマイズすることにより、暗号化キーの粒度を増す。他の実施態様では、暗号化キーは、産業タイプ、部門、ユーザグループ、製品種目、または、他の組織成層基準に基づいてカスタマイズできる。
【０２０８】
一実施態様によれば、ドキュメント当たりの暗号化は、（１）組織またはテナント識別子、（２）クラウドサービスまたはアプリケーション識別子、及び、（３）地域または他の組織層識別子のトリプレット１６０４をキーマネージャ１６０６に提供することに応答して、マスターキーまたは３重キーの生成及びキーマネージャ１６０６からの受け取りを含む。キーマネージャ１６０６は、固有の３重キー識別子１６０８と共に、３重キー１６１０を生成するために、トリプレット１６０４を使用する。固有の３重キー識別子１６０８は、プライベート３重キー１６１０に相当する公開鍵ポインタとしての機能を果たすＡＳＣＩＩ値であり得て、暗号化されるドキュメント１８４の暗号ヘッダ１６０２中に格納される。ドキュメントの暗号ヘッダ１６０２は、固有の３重キー識別子１６０８と共に、固有のドキュメント識別子１６０１も含む。ドキュメント識別子１６０１は、トークン、ＵＵＩＤのような固有の識別子、公開鍵証明書、等の形式を取り得る。
【０２０９】
公開鍵ポインタを用いてプライベート・マスター・キーを表すことにより、プライベート・マスター・キーを危うくすることなく、暗号化されたドキュメントの自由な配布が可能となる。結果として、企業の秘密ドキュメントが意図的または非意図的に危うくなっても、企業のリスクに晒される程度は、該危うくなったドキュメントが保存され、プライベート・マスター・キーが適用されるクラウドサービス全体ではなく、当該危うくなったドキュメントに限定される。
【０２１０】
ドキュメント当たりキーは、キー導出関数（ＫＤＦ）を用いて生成される。特に、暗号化サブエンジン５１２は、パラメータとして、３重キー１６０４、ドキュメント識別子１６０１、及び、ソルトを取るＫＤＦを計算し、その結果としてドキュメント当たりキーを生成する。ＫＤＦは、セキュアハッシュ規格（ＳＨＳ）で仕様が定められており、ＮＩＳＴによりＦＩＰＳ  ＰＵＢ  １８０−４として公開されているハッシュ関数ＳＨＡ−２５６であり得る。ＫＤＦは、１以上の暗号化及び復号化キーを決定するのに使用される如何なる関数も含み得る。ＫＤＦは、入力として入力値を取り得、該入力値を用いてキーを生成する。幾つかの実施態様では、ＫＤＦは、ソルト値、繰り返し総数、ロード因子、及び／または、その他適切なパラメータを使用できる。ＫＤＦの他の例は、インターネット・エンジニアリング・タスク・フォース（ＩＥＴＦ）のＲＦＣ２８９２のセクション５．２に記載されているパスワード・ベースド・キー導出関数２（ＰＢＫＤＦ２、ＲＦＣ２８９８にて仕様が定められている）である。ＫＤＦの更に他の例は、ＩＥＴＦのリクエスト・フォー・コメンツ（ＲＦＣ）５８６９に記載されているＨＭＡＣベースド・エクストラクト・アンド・エクスパンド・キー導出関数（ＨＫＤＦ）である。一実施態様によれば、ドキュメント当たりキーが導出されると直ぐに、ＡＥＳ２５６ビット暗号化アルゴリズムによって、ドキュメントを暗号化するのに用いられる。
【０２１１】
キーマネージャ１６０６に関して、キーマネージャ１６０６は、任意のハードウェア・セキュリティ・モジュール（ＨＳＭ）を伴う、ＦＩＰＳ１４０−２レベル３で認定され、ＫＭＩＰ（キー・マネジメント・インターオペラビリティ・プロトコル）準拠のクラウドベースのキーマネージャとなり得る。他の実施態様では、キーマネージャ１６０６は、社内の企業ポリシーに従った暗号化キーの中央管理を許容して、企業の構内のインフラストラクチャと統合することができる。当該実施態様では、キーマネージャ１６０６が複数の組織間で共有されないため、組織またはテナント識別子は、３重キー１６１０の生成のために必要でなくてもよい。
【０２１２】
特に、キーマネージャ１６０６は、非暗号化データ（平文）を暗号化データ（暗号文）に変換するために、例えば、アドバンスト・エンクリプション・スタンダード（ＡＥＳ）または他の適切なアルゴリズム等の従来の暗号化アルゴリズムを採用する。キーマネージャ１６０６は、許可の維持、キーアクセスの管理、キーバックアップの提供、キー・アーカイヴ手順の実行、クライアント管理手順の実行、セキュリティ・デバイスのモニタリング、キーの更新、障害回復の実行、及び、他の管理機能を含み、暗号化キーを管理する。認可されたユーザが、安全なストレージ１２２から企業データ１８４を要求した場合、キーマネージャ１６０６は、適切な暗号化キーを検索して、必要な暗号操作を実行するために、暗号化サブエンジン５１２に提供する。或る実施態様では、暗号化及び復号化操作の実行に加えて、キーマネージャ１６０６は、アクセスコントロール、認証、仮想化、及び、安全なログイン操作等の他の操作を実施する。
【０２１３】
図１６Ａ及び図１６Ｂは、暗号化セキュリティ処置のワークフロー１６００Ａ，１６００Ｂの一実施態様である。ワークフロー１６００Ａ，１６００Ｂは、少なくとも部分的に、コンピュータ、または、例えば、情報を受信または検索し、情報を処理し、結果を保存し、該結果を送信するように構成された１以上のプロセッサ等による他のデータ処理システムにより実施できる。他の実施態様では、図１６Ａ及び図１６Ｂに図示したものと異なる順序で、及び／または、異なるまたは少ないまたは追加の処置とともに、該処置を実施してもよい。幾つかの実施態様では、複数の処置を合体することができる。便宜上、該ワークフローは、方法を実行するシステムを参照して説明される。該システムは、必ずしも、該方法の一部ではない。
【０２１４】
図１６Ａにおいて、企業ユーザが、企業データ１８４（例えば、ドキュメント）のクラウドサービス１４２へのコンテンツ送信１６０２（例えば、ファイルのアップロード）を行おうと試みている（コンピュータ１５４を介して）。従業員は組織Ａの領域１に属している。反直観的に、企業データ１８４は、上述のように、コンテンツコントロールの対象である機密データであると識別されるため、処置１６０４において、試みられたアップロードは、分類エンジン１２７によって、ユーザに意識されることなく拒否される。その代わり、適用可能なコンテンツポリシーに従って、企業データ１８４は、図１６Ｂに図示されているように、ドキュメント毎に暗号化される。
【０２１５】
図１６Ｂにおいて、暗号ヘッダ１６０２が、暗号化サブエンジン５１２によってドキュメント１８４に追加される。暗号ヘッダ１６０２は、暗号化、チェックサム、復号化等の様々な暗号操作の実施に使用される複数の情報を含む。暗号ヘッダ１６０２に含まれる情報の幾つかの例は、固有のドキュメント識別子（ドキュメントＩＤ１６０１）、暗号ヘッダのサイズ（ヘッダサイズ）、ドキュメントのサイズ（ドキュメントサイズ）、及び、暗号ヘッダのバージョン（バージョン番号）を含む。
【０２１６】
更に進むと、暗号化サブエンジン５１２は、操作１６０５において、ランダムなソルトと共に、３重キー１６１０及び３重キー識別子１６０８をキーマネージャ１６０６から受信するために、操作１６０３で、トリプレット１６０４として集合的に参照されている組織識別子、アプリケーション識別子、及び、領域識別子の組み合わせを用いる。組織識別子は、従業員の組織、つまり、組織Ａを識別する。アプリケーション識別子は、実施されるコンテンツレベル処置が関連するクラウドサービス、つまり、クラウドサービス１４２を特定する。領域識別子は、従業員が属する組織層、つまり、領域１を判断するのに使用される。
【０２１７】
更に、ドキュメントＩＤ１６０１及び３重キー識別子１６０８は、操作１６１１でドキュメント当たりキーを生成するために、ＨＫＤＦに供給される。操作１６１３において、ドキュメント１８４は、ドキュメント当たりキーを用いて暗号化される。幾つかの実施態様では、暗号化の前に、図１７に示す復号化で使用される３重キー識別子１６０８を含むように、暗号ヘッダ１６０２が更新される。
【０２１８】
図１７は、復号化のワークフロー１７００の一実施態様である。ワークフロー１７００は、少なくとも部分的に、コンピュータ、または、例えば、情報を受信または検索し、情報を処理し、結果を保存し、該結果を送信するように構成された１以上のプロセッサ等による他のデータ処理システムにより実施できる。他の実施態様では、図１７に図示したものと異なる順序で、及び／または、異なるまたは少ないまたは追加の処置とともに、該処置を実施してもよい。幾つかの実施態様では、複数の処置を合体することができる。便宜上、該ワークフローは、方法を実行するシステムを参照して説明される。該システムは、必ずしも、該方法の一部ではない。
【０２１９】
抽出１７０２において、抽出エンジン１２６は、ドキュメントＩＤ１６０１及び３重キー識別子１６０８を、暗号ヘッダ１６０２から抽出する。幾つかの実施態様では、暗号ヘッダ１６０２の完全性を検証し、ドキュメント１８４を復号化するのに正確な情報が使用されることを確実にするために、暗号チェックサムが用いられる。一実施態様では、チェックサムは、チェーンモードにおけるデータ暗号化規格（ＤＥＳ）のように、鍵有りにできる。他の実施態様では、チェックサムは、ＭＤ５、ＳＨＡ−１、ＭＤ４、ＨＡＶＡＬ、または、Ｓｎｅｆｕのように、鍵無しにできる。他の実施態様では、従業員は、データ分類タグを含む上述した複数の条件変数に基づいて、復号化のために認可される。
【０２２０】
更に進んで、暗号化サブエンジン５１２は、操作１７０３において、３重キー識別子１６０８を用い、操作１７０５において、キーマネージャ１６０６から３重キー１６０１を受け取る。更に、ドキュメントＩＤ１６０１及び３重キー識別子１６０８は、操作１７１１でドキュメント当たりキーを生成するために、ＨＫＤＦに供給される。操作１７１３において、ドキュメント１８４は、元のドキュメント１８４を作成するために、ドキュメント当たりキーを用いて復号化される。
【０２２１】
他の実施態様では、ＨＫＤＦ操作は、ＨＳＭにおいて実行され得て、ドキュメント当たりキーだけがセキュリティエンジン１２８に送信される。
【０２２２】
図１８は、きめ細かいコンテンツポリシーの設定に利用可能なコンテンツ・モニタ・インターフェース１８００の一実施態様を示す。他の実施態様では、インターフェース１８００は、上記に挙げたものと同じウィジェット、タブ、インターフェース要素、または、インターフェース部品を備えていなくてもよく、及び／または、上記に挙げたものに代えて、または、追加して、セキュリティ処置タブ、コンテンツ抽出タブ等の別の／異なるウィジェット、タブ、インターフェース要素、または、インターフェース部品を備えてもよい。
【０２２３】
インターフェース１８００に示されるコンテンツポリシーは、機密データの送信の検出に応答して、暗号化セキュリティ処置を始動させる。更に、暗号化セキュリティ処置は、アップロードのコンテンツレベルの活動に対してのみ始動される。更に、コンテンツポリシーは、ネットスコープという名の組織のヨーロッパ地域のグーグル・ドライブ・インスタンスに対してのみ適用される。
［結論及び特定の実施態様］
【０２２４】
我々は、クラウドサービスにセキュリティを提供するためのシステム及び様々な実施態様を説明した。議論したように、これは、コンテンツタイプ及びアプリケーションレベルの意味と関連するきめ細かいフィルタリングを備えたクライアントとクラウドサービス間のある種の仮想ネットワークを提供する。
【０２２５】
以下の議論で、幾つかの特定の実施態様及び特徴が説明される。
【０２２６】
一実施態様では、クラウド・コンピューティング・サービス（ＣＣＳ）上に保存された企業情報をモニター及びコントロールするコンピュータ実装方法が説明される。該方法は、使用中のクラウド・コンピューティング・サービス（ＣＣＳ）アプリケーション・プログラミング・インターフェース（ＡＰＩ）、及び、ＣＣＳ・ＡＰＩを介して実行される機能または活動を検出するクロス・アプリケーション・モニタを使用することを含む。該方法は、また、ＣＣＳ・ＡＰＩに基づいてデータストリームを解析（ｐａｒｓｅ）すること、及び、ＣＣＳに送信されるコンテンツを識別することによって、ＣＣＳ・ＡＰＩを介して実行される機能または活動を決定することを含む。該方法は、更に、コンテンツコントロールの対象となる前記コンテンツ中の文字列及び相互関係のある文字列を発見するためにコンテンツ検査ルールを適用すること、及び、解析されたストリーム中のコンテンツコントロールの対象となる文字列及び相互関係のある文字列の発見に対応するセキュリティ処置を起動することを含む。
【０２２７】
開示された技術の本セクション及び他のセクションに記載された該方法は、以下の特徴の１以上、及び／または、開示された追加の方法と関連して説明される特徴を含むことができる。簡潔にするために、本願で開示される特徴の組み合わせは、個々には列挙されず、また、特徴の各基本セットによる繰り返し説明はされない。読者は、本方法において特定される特徴が如何にして、システム概要、システムアーキテクチャ、ディープＡＰＩ検査、コンテンツモニタリング、セキュリティ処置、結論、及び、特定の実施態様、等の実施態様として特定される基本特徴の集合と容易に組み合わされるかを理解できるであろう。
【０２２８】
一実施態様では、解析（ｐａｒｓｅ）されたストリーム内のコンテンツコントロールの対象となる文字列及び相互関係のある文字列の閾値（ｔｈｒｅｓｈｏｌｄ）の発生の発見に対応するセキュリティ処置が始動される。他の実施態様では、コンテンツコントロールの対象となるコンテンツに関連するメタデータ中の文字列及び相互関係のある文字列を発見するためにコンテンツ検査ルールが適用される。
【０２２９】
幾つかの実施態様では、コンテンツ検査プロファイルは、複数のコンテンツ検査ルールに基づいて規定され、ＣＣＳに適用可能なポリシー内に含まれる。更に、ＣＣＳに適用可能な該ポリシー内で規定されている複数の条件変数に基づいて、セキュリティ処置が始動される。
【０２３０】
一実施態様では、ＣＣＳは、パブリッククラウド、プライベートクラウド、及び、プライベート・データ・センタの少なくとも１つおいて提供（ｈｏｓｔ）される。別の実施態様では、ＣＣＳは、サービスとしてのソフトウェア（ＳａａＳ）、サービスとしてのインフラストラクチャ（ＩａａＳ）、及び、サービスとしてのプラットフォーム（ＰａａＳ）の少なくとも１つである。
【０２３１】
一実施態様では、コンテンツ検査ルールは、コンテンツコントロールの対象となるコンテンツを集合的に識別する２以上の離散的な文字列にマッチする少なくとも１つのマルチパート文字列検索パターンを含む。幾つかの実施態様では、マルチパート文字列検索パターンの少なくとも１つの下位区分が、特定の顧客の要求に合わせて調整されたカスタムパターンである。他の実施態様では、マルチパート文字列検索パターンの少なくとも１つの下位区分が、データ分類ライブラリからの標準パターンである。
【０２３２】
一実施態様では、マルチパート文字列検索パターンは、前記２以上の離散的な文字列間の意味的近似に基づいて前記２以上の離散的な文字列にマッチする。幾つかの実施態様では、コンテンツ検査ルールは、医療保険の携行性と責任に関する法律（ＨＩＰＡＡ）のプライバシーまたはセキュリティ規制の順守を対象とした複数のマルチパート文字列検索パターンを含む。他の実施態様では、コンテンツ検査ルールは、ペイメントカード業界（ＰＣＩ）のデータセキュリティ基準の順守を対象とした複数のマルチパート文字列検索パターンを含む。更に他の実施態様では、コンテンツ検査ルールは、個人を特定可能な情報（ＰＩＩ）のデータセキュリティ基準の順守を対象とした複数のマルチパート文字列検索パターンを含む。
【０２３３】
一実施態様では、コンテンツ検査ルールは、機密と認定された営業秘密データを対象とした複数のマルチパート文字列検索パターンを含む。他の実施態様では、コンテンツ検査ルールは、ソースコードを対象とした複数のマルチパート文字列検索パターンを含む。更に他の実施態様では、コンテンツ検査ルールは、技術仕様を対象とした複数のマルチパート文字列検索パターンを含む。更なる実施態様では、コンテンツ検査ルールは、顧客または従業員に関する財務データを含む顧客または従業員リストを対象とした複数のマルチパート文字列検索パターンを含む。
【０２３４】
幾つかの実施態様では、セキュリティ処置は、コンテンツの隔離を含む。一実施態様では、コンテンツが隔離承認者の承認または拒否の結果が出るまで条件付きで保存される隔離フォルダがＣＣＳに作成される。一実施態様では、隔離フォルダ内にコンテンツ項目を条件付きで保存することは、コンテンツを識別するコンテンツのためのツームストーン（ｔｏｂｍｓｔｏｎｅ）ファイルを表すデータを生成することを含む。他の実施態様では、隔離フォルダ内にコンテンツ項目を条件付きで保存することは、該コンテンツ項目を暗号化することを含む。幾つかの実施態様では、隔離フォルダは、コンテンツが送信されたであろうＣＣＳとは異なる第２のＣＣＳに作成される。
【０２３５】
ＣＣＳへのコンテンツの送信に関する隔離承認者の決定は保存され、その後のＣＣＳへの該コンテンツの送信要求は隔離承認者の決定に基づいて処理される。幾つかの実施態様では、隔離承認者の承認または拒否に対応して、ツームストーンファイルは、該コンテンツと置換されるか、または、消去される。
【０２３６】
一実施態様では、少なくとも１つのマルチパート文字列検索パターンを識別するデータが生成され、隔離承認者に提示される。該データは、コンテンツコントロールの対象である隔離されたコンテンツ内の少なくとも１つの文字列を識別する。
【０２３７】
幾つかの実施態様では、セキュリティ処置は、実行される機能または活動を完了させるための条件として、解析（ｐａｒｓｅ）されたストリーム内のコンテンツ用に使用されるＣＣＳ・ＡＰＩの使用の正当化を要求することを含む。
【０２３８】
他の実施態様では、セキュリティ処置は、使用中のＣＣＳ・ＡＰＩのより企業向けの代替物を識別する１以上の指導メッセージの生成を含む。一実施態様では、ＣＣＳ・ＡＰＩの企業向けの代替物は、ＣＣＳのデータ暗号化ポリシー、ＣＣＳの災害管理ポリシー、ＣＣＳを支援するデータセンタの数、及び、該データセンタのコンプライアンス証明書の少なくとも１つに基づいて決定されるクラウド信頼指標（ＣＣＩ）を用いて識別される。
【０２３９】
幾つかの実施態様では、セキュリティ処置は、コンテンツのドキュメント特有の暗号化を含む。一実施態様では、ドキュメント特有の暗号化は、組織識別子、アプリケーション識別子、及び、領域識別子のトリプレットを用いてキーマネージャにアクセスすること、及び、３重キー、及び、前記３重キーを一意的に識別する３重キー識別子を受け取ることを含む。ドキュメント識別子（ＩＤ）を有するドキュメントに対して、本方法は、該３重キー、該ドキュメントＩＤ、及び、ソルトの組み合わせからドキュメント当たりキーを導出し、該ドキュメント当たりキーを用いて該ドキュメントを暗号化し、暗号化されたドキュメント、該ドキュメントＩＤ、該ソルト、及び、該３重キー識別子を転送することを含む。
【０２４０】
幾つかの実施態様では、該３重キー、該ドキュメントＩＤ、及び、該ソルトの組み合わせから該ドキュメント当たりキーを導出するために、ハッシュキー導出関数（ＨＫＤＦ）が使用される。
【０２４１】
一実施態様では、ドキュメント分類タグが、ドキュメントのコンテンツ検査に基づいて該ドキュメントに適用され、該ドキュメントへのアクセスをコントロールするのに使用される。
【０２４２】
一実施態様では、ドキュメントの完全性を認証するデータ完全性タグが生成され、該ドキュメントを更に処理している期間中、該データ完全性タグの使用が持続される。
【０２４３】
一実施態様では、上記キーマネージャは、キーマネジメント相互運用プロトコル（ＫＭＩＰ）準拠のキーマネジメントシステムである。
【０２４４】
幾つかの実施態様では、該キーマネージャは、クラウド・コンピューティング・サービス（ＣＣＳ）を使用する組織のローカルデータセンタに設けられている。
【０２４５】
他の実施態様では、該キーマネージャは、クラウド・コンピューティング・サービス（ＣＣＳ）に設けられている。更に他の実施態様では、該キーマネージャは、領域特有である。
【０２４６】
更に他の実施態様では、該キーマネージャは、トラステッド・プラットフォーム・モジュール（ＴＰＭ）及びハードウェア・セキュリティ・モジュール（ＨＳＭ）の少なくとも何れか１つである。
【０２４７】
更に他の実施態様では、該方法は、少なくとも１つのデータ分類タグを含む複数の条件変数に基づいて復号化のためのユーザを認可することを含む。該方法は、キー識別子と領域識別子を用いてキーマネージャにアクセスすること、及び、マスターキーを一意的に識別する該キー識別子を用いて該マスターキーを受け取ることを更に含む。ドキュメント識別子（ＩＤ）を有するドキュメントに対して、該方法は、該マスターキー、該ドキュメントＩＤ、及び、ソルトの組み合わせからドキュメント当たりキーを導出し、該ドキュメント当たりキーを用いて該ドキュメントを復号化し、復号化されたドキュメントを上記ユーザに転送することを含む。
【０２４８】
幾つかの実施態様では、該ドキュメントに対応するデータ完全性タグが検証される。該データ完全性タグは該ドキュメントの完全性を認証する。
【０２４９】
一実施態様では、該キー識別子は、組織識別子とアプリケーション識別子の少なくとも１つを含む。
【０２５０】
幾つかの実施態様では、ハッシュキー導出関数（ＨＫＤＦ）が、該マスターキー、該ドキュメントＩＤ、及び、該ソルトの組み合わせから該ドキュメント当たりキーを導出するために使用される。
【０２５１】
一実施態様では、該キーマネージャは、キーマネジメント相互運用プロトコル（ＫＭＩＰ）準拠のキーマネジメントシステムである。
【０２５２】
幾つかの実施態様では、該キーマネージャは、クラウド・コンピューティング・サービス（ＣＣＳ）を使用する組織のローカルデータセンタに設けられている。
【０２５３】
他の実施態様では、該キーマネージャは、クラウド・コンピューティング・サービス（ＣＣＳ）に設けられている。更に他の実施態様では、該キーマネージャは、領域特有である。
【０２５４】
更に他の実施態様では、該キーマネージャは、トラステッド・プラットフォーム・モジュール（ＴＰＭ）及びハードウェア・セキュリティ・モジュール（ＨＳＭ）の少なくとも何れか１つである。
【０２５５】
本セクションで説明した方法の他の実施態様は、上記で説明した方法の何れかを実行するプロセッサによって実行可能な命令を格納する持続性コンピュータ可読記憶媒体を含むことができる。本セクションで説明した方法の更に他の実施態様は、メモリ、及び、上記で説明した方法の何れかを実行するために、該メモリに格納された命令を実行する動作が可能な１以上のプロセッサを備えるシステムを含むことができる。
【０２５６】
幾つかの実施態様では、例えば、クラウドサービス１のクラウドサービス２に向かうデータフロー等のサービスを横断するデータフローを解析する。
【０２５７】
幾つかの実施態様は、潜在的な侵犯、及び／または、不正使用を識別するために、ユーザ毎の行動解析を適用する。
【０２５８】
幾つかの実施態様は、サービス妨害攻撃を識別できる。
【０２５９】
幾つかの実施態様は、クライアントがクラウドサービスにより約束されたサービスを使用することができたか否かについて、企業に報告を返すサービスレベル契約（ＳＬＡ）を提供する。
【０２６０】
上記で説明または参照された如何なるデータ構造及びコードも、多くの実施態様に基づいて、コンピュータシステムによる使用のためにコード及び／またはデータを保存できる任意のデバイスまたは媒体であり得るコンピュータ可読記憶媒体上に保存される。コンピュータ可読記憶媒体は、揮発性メモリ、不揮発性メモリ、特定用途向け集積回路（ＡＳＩＣ）、フィールド・プログラマブル・ゲートアレイ（ＦＰＧＡ）、ディスクドライブ、磁気テープ、ＣＤ（コンパクトディスク）、ＤＶＤ（ディジタル・ヴァーサタイル・ディスクまたはディジタル・ビデオ・ディスク）等の磁気及び光学記憶装置、または、既知または今後開発されるコンピュータ可読媒体を保存可能な他の媒体、但し、これらに制限されないものを含む。
【０２６１】
以上の説明は、開示された技術の作成及び使用を可能にすべく提示された。説明した実施態様に対する種々の変形は明白であり、ここに規定された一般的原理は、開示された技術の精神と範囲から逸脱することなく、他の実施態様及びアプリケーションに適用し得る。従って、開示された技術は、示された実施態様に限定されることを意図されておらず、ここに開示された原理及び特徴に合致する最大範囲が与えられる。開示された技術の範囲は、添付の請求項により規定される。
【図１】
2019016370.tif 000012
【図２】
2019016370.tif 000013
【図３】
2019016370.tif 000014
【図４】
2019016370.tif 000015
【図５】
2019016370.tif 000016
【図６】
2019016370.tif 000017
【図７】
2019016370.tif 000018
【図８】
2019016370.tif 000019
【図９】
2019016370.tif 000020
【図１０】
2019016370.tif 000021
【図１１】
2019016370.tif 000022
【図１２】
2019016370.tif 000023
【図１３】
2019016370.tif 000024
【図１４】
2019016370.tif 000025
【図１５】
2019016370.tif 000026
【図１６Ａ】
2019016370.tif 000027
【図１６Ｂ】
2019016370.tif 000028
【図１７】
2019016370.tif 000029
【図１８】
2019016370.tif 000030
【手続補正書】
【提出日】平成30年10月3日(2018.10.3)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】請求項１９
【補正方法】変更
【補正の内容】
【請求項１９】
クラウド・コンピューティング・サービス（ＣＣＳ）上に保存された企業情報をモニター及びコントロールする方法を実行するためのコンピュータ命令が保存された１以上の持続性コンピュータ可読記憶媒体であって、
前記コンピュータ命令が、コンピュータに対して、
クライアントが使用中のクラウド・コンピューティング・サービス（ＣＣＳ）アプリケーション・プログラミング・インターフェース（ＡＰＩ）、及び、前記ＣＣＳ・ＡＰＩを介して前記クライアントにより要求される機能または活動を検出するクロス・アプリケーション・モニタを使用すること、
前記検出されたＣＣＳ・ＡＰＩに基づいて、前記ＣＣＳ・ＡＰＩを介して交換されたＡＰＩデータを解析（ｐａｒｓｅ）すること、及び、前記クライアントと前記ＣＣＳの間で送信されるコンテンツを識別することにより実行される前記機能または前記活動を決定すること、
コンテンツ検査ルールにより特定される近似範囲内にある２以上の離散的な文字列（ｓｔｒｉｎｇｓ）を発見するために、尚、前記２以上の離散的な文字列は、当該発見に基づいて、結果としてコンテンツコントロールの対象となるものであり、少なくとも決定された前記機能または前記活動に基づいて、前記クライアントと前記ＣＣＳの間で送信される前記コンテンツに、マルチパート文字列検索パターンを備えた前記コンテンツ検査ルールを選択的に適用すること、及び、
前記コンテンツコントロールの対象となる前記２以上の離散的な文字列の発見に対応するセキュリティ処置を起動すること、を行わせるように構成されている持続性コンピュータ可読記憶媒体。
【外国語明細書】
2019016370000001.pdf
2019016370000002.pdf
2019016370000003.pdf
2019016370000004.pdf