(57)【要約】  【課題】  第三者に特定情報が漏洩することを確実に防ぐ情報管理装置を提供する。  【解決手段】  情報管理装置、例えばハードディスク３０に、記録媒体３２に記録されている特定情報を消去するための消去条件を設定する設定手段、現在の状況が予め設定された消去条件を満たしているか否かを判定する判定手段、現在の状況が消去条件を満たしていた場合に記録媒体３２に記録されている情報を消去する消去手段を有する追加基板３３を設け、第三者が知らないうちに、特定情報を自律的に消去乃至無価値にする。【選択図】          図５
2004272925.tif 000002
【特許請求の範囲】
【請求項１】
コンピュータに離脱自在に装着される記録メディアであって、
前記コンピュータとの間でデータの受け渡しを行うデータ受け渡し手段と、
特定情報を記録するための第１領域、所定の認証データを記録するための第２領域、及び前記特定情報が意味をもつ有効期限を記録するための第３領域を有する記録媒体と、
前記コンピュータから認証データを受け取って前記第２領域に記録されている認証データとの一致性を判定する第１の判定手段と、
現在の時刻が前記第３領域に記録されている有効期限を経過しているか否かを判定する第２の判定手段と、
前記認証データが一致しない場合及び／又は現在の時刻が前記有効期限を経過しているときに前記第１領域に記録されている特定情報を自律的に無価値にする手段とを有し、
前記第１の判定手段、前記第２の判定および前記無価値にする手段が、前記コンピュータから送られたプログラムコードに基づいて実現されるものであり、前記特定情報が無価値にされた後は、当該プログラムコード自体を消滅させるように構成されている、
情報消去機能付き記録メディア。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、個人情報や販売情報等の管理情報が外部に漏洩することを防止するためのセキュリティ技術に関する。
【背景技術】
【０００２】
近年、営業等のために顧客の個人情報や販売情報等の情報をコンピュータで管理することが一般的になっている。このような管理情報は、通常は、コンピュータのハードディスクや可搬型の記録媒体、例えばメモリーカード等に記録される。この場合、コンピュータや記録媒体が盗まれたり、あるいはどこかに置き忘れたりした場合の第三者への情報の漏洩に対する防御が問題となる。
情報が第三者に漏洩することを防御する手法として、当該情報に対して暗号化を施すことは、従来より広く行われている。
【発明の開示】
【発明が解決しようとする課題】
【０００３】
しかし、暗号化技術を導入するためには専用のソフトウエアを用意する必要があり、コストがかかる。また、暗号化技術を導入すると、暗号化された情報を読めるようにするための鍵やパスワードの管理を厳重に行う必要がある。
本発明は、暗号化技術を導入しなくとも第三者への情報の漏洩を確実に防ぐことができる仕組みを提供することを主たる課題とする。
【課題を解決するための手段】
【０００４】
上記課題を解決するため、本発明は、情報消去機能付き記録メディアを提供する。
この記録メディアは、コンピュータに離脱自在に装着される記録メディアであって、前記コンピュータとの間でデータの受け渡しを行うデータ受け渡し手段と、特定情報を記録するための第１領域、認証データを記録するための第２領域、及び前記特定情報が意味をもつ有効期限を記録するための第３領域を有する記録媒体と、前記コンピュータから認証データを受け取って前記第２領域に記録されている認証データとの一致性を判定する第１の判定手段と、現在の時刻が前記第３領域に記録されている有効期限を経過しているか否かを判定する第２の判定手段と、前記認証データが一致しない場合及び／又は現在の時刻が前記有効期限を経過しているときに前記第１領域に記録されている特定情報を自律的に無価値にする手段とを有し、前記第１の判定手段、前記第２の判定および前記無価値にする手段が、前記コンピュータから送られたプログラムコードに基づいて実現されるものであり、前記特定情報が無価値にされた後は、当該プログラムコード自体を消滅させるように構成されているものである。
【０００５】
「無価値」の一形態として、情報消去がある。そこで、本発明を他の観点から実施する態様として、情報消去を自律的に行うための行うための情報管理装置および情報管理システムをも提供する。
情報管理装置は、特定情報を記録するための情報記録媒体と、前記情報記録媒体に記録されている特定情報を消去するための消去条件、消去対象となる情報範囲、消去の仕方を設定する設定手段と、現在の状況が前記設定手段で設定された前記消去条件を満たしているか否かを判定する判定手段と、この判定手段により前記消去条件を満たしていた場合に前記情報記録媒体に記録されている特定情報を前記設定された情報範囲及び消去の仕方に従って自律的に消去する自律消去手段とを有しており、前記設定手段、前記判定手段及び前記自律消去手段が、自装置において読み取り可能なプログラムコードに基づいて実現されるものであり、前記特定情報が消去された後は、当該プログラムコード自体が消滅するように構成されているものである。これにより、特定情報が存在し且つそれが消去されたことの痕跡もなくなり、第三者に情報解析の契機を与えることもなくなる。
【０００６】
設定手段において設定される消去条件、情報範囲及び消去の仕方の全部又は一部は、好ましくは、特定情報と共に、自装置が接続されるコンピュータ等の外部装置から受領できるようにする。このようにすれば、特定情報を取得しない限り情報消去を行う必要がないため、情報管理装置の負担が軽減される。この場合、コンピュータの電源のオン・オフを判定し、電源がオンであると判定した場合に当該コンピュータから前記消去条件等を受領するようにする。オフ状態からオンに切り替わる途中では、消去条件等の受領は控える。
【０００７】
特定情報の重要性に鑑み、前記判定手段が消去条件を満たしていたと判定した場合に直ちに消去するのではなく、操作者認証を行い、操作者認証に失敗した場合にのみ消去するようにすることが好ましい。
【０００８】
情報管理システムは、情報通信路により接続された第１装置と第２装置とからなる。
第１装置は、要求に応じて自装置に格納されている特定情報を前記情報通信路を介して第２装置に送付する際に、当該特定情報を所定の消去条件下で自律的に消去させるためのプログラムコードを併せて送付するとともに当該プログラムコードを第２装置に組み込ませるものである。第２装置は、第１装置から受領した前記特定情報と前記プログラムコードとを記録する情報記録媒体と、現在の状況が前記消去条件を満たしているかどうかを判定する判定手段と、この判定手段により前記消去条件を満たしていた場合に前記情報記録媒体に記録されている特定情報を前記設定された情報範囲及び消去の仕方に従って自律的に消去する自律消去手段とを有しており、前記判定手段及び前記自律消去手段は、前記プログラムコードに基づいて実現されるものであり、前記特定情報が消去された後は当該プログラムコード自体が消滅するように構成されているものである。
【０００９】
情報管理システムにおける、ある実施の態様では、第１装置がコンピュータ・ネットワークに接続されているサーバであり、第２装置が前記コンピュータ・ネットワークを介して前記サーバとの間で送受信を行う情報機器である。あるいは、第１装置がコンピュータであり、第２装置が前記コンピュータに離脱自在に装着され、装着されているときに前記コンピュータとの間で互いに情報交換可能な情報記録メディアである。
【発明の効果】
【００１０】
本発明によれば、記録媒体に記録されている特定情報が、所定の条件に適合した時点で自律的に無価値になるので、この記録媒体が第三者の手に渡った場合であっても、情報の漏洩を確実に防ぐことができるという、特有の効果がある。
【発明を実施するための最良の形態】
【００１１】
＜第１実施形態＞
本発明は、第１装置の一例であるサーバ側で、顧客情報、社内情報その他の有価値情報（以下、「特定情報」）を統括管理し、このサーバにＬＡＮ（local area network）やインターネット等のコンピュータ・ネットワークを介して接続される複数のクライアント（第２装置）でアクセスして特定情報を読みとれるようになっているシステムに適用することができる。クライアントは、例えば可搬型のコンピュータや携帯電話等の情報機器である。
ここでは、サーバからクライアントに特定情報を送信する際に、その特定情報をある条件で自律的に消去できるようにする消去用プログラムを併せて送信し、クライアント側では、条件を満たすときに消去用プログラムを起動実行する場合の例を挙げる。
以下、サーバとクライアントとで構成される特定情報の管理システムを「情報管理システム」と称する。
【００１２】
図１は、この情報管理システムの全体構成図である。
情報管理システム１は、サーバ１０と複数のクライアント２０とをコンピュータ・ネットワークで接続して構成される。
サーバ１０は、クライアント１０との間で特定情報１３１を含む情報の送受信を行う送受信部１１、送受信される情報の管理や制御を行う情報制御部１２、特定情報１３１や消去用プログラム１３２及びクライアント２０やパスワード等に関する管理情報１３３を格納する情報記録部１３を含むものである。
送受信部１１は、通信ポート、データ入出力機構等のハードウエア及び公知の通信ソフトウエアによって実現することができる。情報制御部１２は、サーバ１０のＣＰＵが図示しない記録装置（ハードディスク等）から所定のプログラムコードを読み出して実行することにより形成される機能である。情報記録部１３は不揮発性メモリである。この不揮発性メモリと上記の記録装置とを共用することも可能である。
【００１３】
一方、クライアント２０は、サーバ１０との間で情報の送受信を行う送受信部２１、送受信される情報の管理や制御を行う情報制御部２２、特定情報２３１や消去用プログラム２３２、初期バッチ処理プログラム２３３を格納する情報記録部２３、及びシステムクロックをもとに現在時刻を計測する計時部２４を含むものである。これらの機能２１〜２３は、サーバ１０と同様、クライアント２０のＣＰＵが所定のプログラムコードを実行することにより形成される。
計時部２４は、自己のシステムクロックによらず、コンピュータ・ネットワークに設けられる他のクロック・サーバ等を用いることもできる。
情報記録部１３、２３は、例えばハードディスク、バッテリで保持された半導体メモリ、フラッシュ・ＲＯＭ等で構成される不揮発性メモリである。
【００１４】
次に、上記のように構成される情報管理システム１の運用形態を説明する。
初期段階として、サーバ１０とクライアント２０との間で、図２の手順で、特定情報等の受け渡しを行う。
必要に応じ、クライアント２０から、送受信部２１を通じてサーバ１０に特定情報の送信を要求する（Ｌ２０１）。
サーバ１０は、送受信部１１を通じてクライアント２０からの要求を受信すると、情報制御部１２でクライアント２０に関する設定情報やクライアント２０からの要求の内容、クライアント２０及びそれを操作する者の認証情報、特定情報の消去条件を含む管理情報１３３を作成する（Ｖ２０１）。
この管理情報１３３は、情報記録部１３の所定の管理領域に記録しておく。消去条件は、ここでは、特定の日時の経過とする。管理情報１３３が作成されると、情報制御部１２は、送受信部１１を通じて、クライアント２０に、要求された特定情報１３１、消去用プログラム１３２のほか、認証情報やバッチ処理プログラム書き換え指令を送信する（Ｌ２０２）。
【００１５】
クライアント２０は、サーバ１０からの上記情報を送受信部２１を通じて受信すると、情報制御部２２で特定情報２３１（特定情報１３１と同じ）と消去用プログラム２３２（消去用プログラム１３２と同じ）を情報記録部２３に格納する。また、予め用意されている初期バッチ処理プログラム２３３の内容を書き換える（Ｃ２０１）。
【００１６】
初期バッチ処理プログラム２３３は、コンピュータ起動時の初期段階でバッチ処理するためのコマンドが記録されたものであり、一例を挙げれば、良く知られているマイクロソフト社のＯＳ（オペレーティング・システム）のＷＩＮＤＯＷＳ（同社の登録商標）やＭＳ−ＤＯＳ（同社の商標）では、「ＡＵＴＯＥＸＥＣ．ＢＡＴ」がこれにあたる。初期バッチ処理プログラム２３３を書き換える際には、書き換え前の初期バッチ処理プログラム２３３の内容を名称を変えて保存しておく。ＭＳ−ＤＯＳの例では、書換前の「ＡＵＴＯＥＸＥＣ．ＢＡＴ」を「ＡＵＴＯＥＸＥＣ．ＯＬＤ」として保存しておく。
【００１７】
図３及び図４は、特定情報２３１を記録した後の、クライアント２０の起動時の処理を示した図である。
クライアント２０では、電源オンと判定することによってファームウェア（ＢＩＯＳ：basic input/output system等）が起動し、システムの初期化等を行う（Ｓ３００）。その後、情報制御部２２において初期バッチ処理プログラム２３３による処理を実行する（図３：Ａ）。この処理の概要は、図４に示すとおりである。
すなわち、計時部２４よりシステムの日時を取得すると（Ｓ３１１：済）、その日時が消去条件に適合するかどうかを、まず判定する（Ｓ３１２）。
その日時が消去条件に適合しない場合、つまり、システムの日時が消去条件に定められた日時を経過していない場合は（Ｓ３１２：不適合）、通常のＯＳの処理に移行する（Ｓ３２０）。「通常のＯＳの処理」とは、クライアント２０において特定情報を利用可能にするための環境を構築する処理をいう（図３：Ｂ）。
【００１８】
現在の日時が消去条件に定められた日時を経過している場合は（Ｓ３１２：適合）、クライアント２０の起動者に対してパスワードの入力を求める（Ｓ３１３）。パスワードの入力があり（Ｓ３１４：有）、そのパスワードが正当であれば（Ｓ３１５：正当）、通常のＯＳの処理に移行する（Ｓ３２０）。
なお、一回のパスワード入力が不正と判定された場合であっても、直ちに不正とせず、通常は、所定数回のパスワードの入力を試みる機会を起動者に与えるようにする。
【００１９】
パスワードが不正と判定した場合は（Ｓ３１５：不正）、情報記録部２３から特定情報２３１及び消去用プログラム２３２を消去する（Ｓ３１６）。
この場合の消去方法としては、以下のようなものが挙げられる。
（１）ＯＳがＭＳ−ＤＯＳの場合の“ｄｅｌｅｔｅ”コマンドを、特定情報２３１を指定して実行する。
（２）特定情報２３１の該当領域（ディレクトリ等）を初期化する。
（３）該当領域（ディレクトリ等）を空白記号等で上書きする。
記録された特定情報２３１自体の消去に代えて、それを記録している記録媒体を破損したり、読み取り不能状態にしたりしても良い。
なお、上記の消去方法は例示であり、適宜、他の形態をとり得る。
【００２０】
その後、初期バッチ処理プログラム２３３の内容を書き換える。書き換えに代えて、事前に保存しておいたファイルを復元するようにしても良い。例えば「ＡＵＴＯＥＸＥＣ．ＯＬＤ」を「ＡＵＴＯＥＸＥＣ．ＢＡＴ」に復元することで、書き換えに代えることができる。
これにより、クライアント２０は、情報記録部２３に特定情報２３１や消去プログラム２３２が記録されていた痕跡のない、通常のコンピュータとなり得、特定情報２３１に対するセキュリティが万全となる。
【００２１】
なお、以上の説明では、特定情報２３１を消去するための消去条件として、日時の経過を設定したが、この条件は例示であって、日時経過に限定する趣旨ではない。
現在の状況が、特定時刻の間にないこと（例えば２０００年６月１日９時３０分から２０００年６月１０日９時３０分の間にないこと）、クライアント２０がコンピュータ・ネットワークに接続されていないこと、クライアント２０に一定の振動があったこと、クライアント２０がバッテリーで稼動したこと、バッテリーの残容量が一定値以下になったこと、クライアント２０に特定のハードウェア又はソフトウェアがセットされていないこと、クライアント２０に対して禁止されている行為を行ったこと、クライアント２０あるいはサーバ１０に対して定期的にある操作を行わないこと等を上記の条件として設定しても良い。これらの場合は、条件に適合するかどうかを判定し得る情報を適宜入力できるようにしておくことになる。
【００２２】
また、第１実施形態では、消去条件に適合した場合（図４、Ｓ３１２：適合）にパスワード入力を求める場合の例を示したが（Ｓ３１３乃至Ｓ３１５）、パスワード入力は必須のものではなく、この処理は、省略することもできる。
【００２３】
更に、第１実施形態では、消去用プログラム２３２は、サーバ１０から特定情報２３１と共にクライアント２０に送られるようにしているが、予めクライアント２０に組み込んでおいたり、記録メディア（コンパクトフラッシュカード、フラッシュＡＴＡカード等のメモリーカード等）により、別途、消去用プログラム２３２を提供しておく形態もとり得る。
【００２４】
フレキシブルディスク等の可搬性記録媒体に消去用プログラム２３２を組み込んでおき、サーバ１０側で保持しているデータの閲覧プログラム等を起動させた際に、その閲覧プログラムを通じて消去用プログラム２３２を起動させる形態も可能である。
初期バッチ処理プログラム２３３が行っていた処理を、ファームウェアの初期起動時の処理（図３、Ｓ３００）やＯＳの初期起動の処理（図３、Ｓ３２０）の段階で行うことも可能である。
【００２５】
＜第２実施形態＞
本発明は、記録メディア（ハードディスク、メモリーカード等）単体においても、その実施が可能である。この場合、第１装置は、記録メディアに情報を書き込む装置、例えばコンピュータ、第２装置は、記録メディアということになる。
図５は、本発明を情報消去機能付きのハードディスクに適用した場合の原理を示す図である。このハードディスク３０は、この種の記録媒体の一般規格（AT attachment、SCSI:small computer system interface）に則った３．５インチ又は２．５インチの記録媒体３２を具備するものである。ハードディスク３０には、自己が装着されるコンピュータ（第１装置となる）から指令によって記録媒体３２との間のデータの読み書きを行う制御基板３１のほか、記録媒体３２に記録されているデータの消去処理を行うための追加基板３３が設けられている。
【００２６】
追加基板３３の機能構成は、図６に示すとおりである。すなわち、制御基板３１との間でデータの受け渡しを行う制御部３３１と、計時手段の一例となるクロック３３２と、消去動作の内容や消去条件を規定した条件情報が記録された不揮発のメモリ３３３と、これらを動作させるための電池３３４とを有している。制御基板３１は、例えば１分間に１回程度で周期的にクロック３３２で計時した日時をチェックし、メモリ３３３に記録された条件情報等に従って動作する。
【００２７】
このようなハードディスク３０における情報消去機能は、図７及び図８の処理手順により実現される。
前提として、初期状態では、メモリ３３３に消去条件が設定されていない（オールスペース等も同じ意味である）という状態と、外部のコンピュータと接続されているか（電源ラインと連動）否かという状態とが記録されている。また、消去条件の設定は、外部のコンピュータからの指示によるものとし、ハードディスク３０と接続されているコンピュータの電源がオンの場合に限るものとする。
【００２８】
制御部３３１がコンピュータの電源がオンであることを確認し（Ｓ７０１：ＯＮ）、メモリ３３３に消去条件が設定されていないことを確認した場合（Ｓ７０２：未設定）、コンピュータからの制御コマンドの受付を待つ（Ｓ７０３）。なお、制御コマンドは、通常の制御には用いられていない命令を使用することになる。
この制御コマンドは、コンピュータ側のインタフェースを通じて制御基板３１に送られ、制御基板３１が追加基板３３側に割り込みをかけた後、それを透過的に制御部３３１に渡すようになっている。
【００２９】
制御部３３１は、この制御コマンドを受け付けると（Ｓ７０３：有）、その制御コマンドに含まれる消去指示に従って、メモリ３３３上に消去条件を設定する（Ｓ７０４）。消去条件としては、例えば、消去を行う記録媒体３２上のデータの範囲、消去動作を発動する条件（日時到来等）、消去方法（スペースで消去する等）、消去動作の取消可否や取り消す場合のパスワード、誤った指示を受け取った時の処理方法等が挙げられる。
【００３０】
消去条件が設定されると、制御部３３１は、条件設定が完了した旨を制御基板３１側に伝え、待機状態に入る（Ｓ７０５）。待機状態では、電池３３４によりクロック３３２を動作させ、制御部３３１が、消去条件になったか否かを周期的に判定する。消去条件を満たしたと判定した場合、制御部３３１は、メモリ３３３に消去待ちの状態になった旨を記録しておく。
【００３１】
コンピュータの電源がオンになり（Ｓ７０１：ＯＮ、Ｓ７０６：ＯＮ）、且つ、メモリ３３３に消去待ちの旨が記録されていた場合（Ｓ８０１：Ｙｅｓ）、制御部３３１は、制御基板３１を通してハードディスク３０とコンピュータとの間で行われる通信を一時的に停止させる（Ｓ８０２）。そして、メモリ３３３に設定されている消去条件に従い、記録媒体３２に記録されている特定情報の消去処理を行う（Ｓ８０３）。消去処理が完了したときは（Ｓ８０４）、コンピュータとの通信を再開させる（Ｓ８０５）。
【００３２】
＜第３実施形態＞
本発明は、図９の概観図に示すようなメモリーカード（フラッシュメモリ等）においても実施することができる。このメモリーカード４０は、制御基板４１、情報の記録を行うメモリ素子群４２、追加基板４３からなる。
【００３３】
追加基板４３の内容は、図６に示したハードディスク３０における追加基板３３と同じ構成のものである。また、この追加基板４３を用いた特定情報の消去処理の手順は、図７及び図８に示した処理手順とほぼ同様となる。
相違点は、特定情報の消去処理（図８、Ｓ８０１乃至Ｓ８０５）が、コンピュータの電源の状態に関わらず行われる点、図７におけるＳ７０６の処理を省き、Ｓ７０５の待機状態の処理の後は、Ｓ７０２の処理を行うようにした点である。
【００３４】
以上の各実施形態に示したように、本発明を適用することにより、記録媒体（又は記録メディア）に記録されている特定情報が、所定の条件を満たすときに自律的に消去されるので、それが第三者の手に渡った場合であっても、特定情報の漏洩を確実に防ぐことができる。
【００３５】
この発明は、例えばノートパソコン内の重要な情報を記録したハードディスクのほか、携帯電話等における個人情報を保存する記録メディア、クレジットカードやデビットカード等の期限付き情報記録カード、ソフトウェア時間貸しビジネスにおけるライセンス管理に用いられるセキュリティ付き情報記録用のＩＣカード等様々な分野に応用することができる。
【００３６】
一般的な個人認証技術、例えばパスワードや生体特徴を用いた認証技術と組み合わせることにより、より高度なセキュリティが確保された情報管理が可能になる。
また、暗号技術を用いた場合に比べてＣＰＵ能力を使うことが少ないため、可搬型のパソコン等の性能を低下させる度合いが小さい。
さらに、本発明のようなセキュリティ技術の存在を第三者に知られることがないため、たとえパソコンや特定情報を記録した記録媒体が盗まれた場合であっても、第三者に情報解析を行う動機を与えることがない。
さらに、特定情報が消去された場合であっても、一般的な装置、システムとしての機能は確保されるため、実用性を損なうことがない。
このように、本発明を適用した装置、システム、記録媒体は、簡易且つ安全な手法を採用しながら、確実に情報の漏洩を防止することができ、製品としての実用性が極めて高いものである。
【図面の簡単な説明】
【００３７】
【図１】第１実施形態の情報管理システムの概略を示した図。
【図２】サーバとクライアントとの間の初期段階の通信手順を示したシーケンスチャート。
【図３】クライアントの起動時の処理概要図。
【図４】クライアントの起動時の詳細な処理手順を示した図。
【図５】第２実施形態におけるハードディスクの機能概要図。
【図６】追加基板の機能概要図。
【図７】ハードディスクにおける特定情報の消去処理の手順を示した図。
【図８】ハードディスクにおける特定情報の消去処理の手順を示した図。
【図９】第３実施形態におけるメモリーカードの機能概要図。
【符号の説明】
【００３８】
１ 情報管理システム
１０ サーバ
１１、２１ 送受信部
１２、２２ 情報制御部
１３、２３ 情報記録部
２０ クライアント
２４ 計時部
３０ ハードディスク
３１、４１ 制御基板
３２ 記録媒体
３３、４３ 追加基板
４０ メモリーカード
４２ メモリ素子群
４３ 追加基板
１３１、２３１ 特定情報
１３２、２３２ 消去用プログラム
１３３ 管理情報
２３１ 特定情報
２３３ 初期バッチ処理プログラム
３３１ 制御部
３３２ クロック
３３３ メモリ
３３４ 電池
【図１】
2004272925.tif 000003
【図２】
2004272925.tif 000004
【図３】
2004272925.tif 000005
【図４】
2004272925.tif 000006
【図５】
2004272925.tif 000007
【図６】
2004272925.tif 000008
【図７】
2004272925.tif 000009
【図８】
2004272925.tif 000010
【図９】
2004272925.tif 000011