(57)【特許請求の範囲】
【請求項１】
サーバ内に保管されたデータをダウンロードして利用する利用者端末の管理方法であって、
前記サーバからダウンロードして利用するデータについては揮発性記憶装置に記憶させるとともに、不揮発性の二次記憶装置内のＯＳ及びアプリケーションを所定の状態に更新する場合には、前記二次記憶装置を書き込み許可状態とし、かつ情報漏洩を保護すべきデータを保管した前記サーバへのアクセスを禁止し、更新操作が終了して前記二次記憶装置を書き込み禁止状態にした後に、前記サーバへのアクセス禁止状態を解除することを特徴とする利用者端末の管理方法。
【請求項２】
前記二次記憶装置を書き込み禁止領域と書き込み制御領域に分割し、前記書込み禁止領域はＯＳ及びアプリケーションの記憶領域として使用し、前記書き込み制御領域はスワップファイルの記憶領域として使用する場合、前記スワップファイルは暗号・復号処理によって読み書きすることを特徴とする請求項１に記載の利用者端末の管理方法。
【請求項３】
本発明に係る利用者端末は、サーバ内に保管されたデータをダウンロードして利用する利用者端末において、
前記サーバからダウンロードして利用するデータについては揮発性記憶装置に記憶させる第１の制御手段と、不揮発性の二次記憶装置内のＯＳ及びアプリケーションを所定の状態に更新する場合には、前記二次記憶装置を書き込み許可状態とし、かつ情報漏洩を保護すべきデータを保管した前記サーバへのアクセスを禁止し、更新操作が終了して前記二次記憶装置を書き込み禁止状態にした後に、前記サーバへのアクセス禁止状態を解除する第２の制御手段とを備えることを特徴とする利用者端末。
【請求項４】
前記二次記憶装置を書き込み禁止領域と書き込み制御領域に分割し、前記書込み禁止領域はＯＳ及びアプリケーションの記憶領域として使用し、前記書き込み制御領域はスワップファイルの記憶領域として使用する場合、前記第１の制御手段は前記スワップファイルを暗号・復号処理によって読み書きすることを特徴とする請求項３に記載の利用者端末。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、著作権等で保護されている重要データを利用する利用者端末の管理方法および当該管理方法を適用した利用者端末に関するものである。
【背景技術】
【０００２】
学校や駅、図書館等の公共施設においては、サーバに保管されたデータをダウンロードして利用する利用者端末が使用されている。
このような不特定多数の利用者に利用される利用者端末にあっては、利用者が変わるたびに、毎回、利用者端末の状態を初期状態に戻す必要がある。
従来では、利用者端末に初期状態のＯＳ（オペレーティングシステム）やアプリケーションをバックアップしておいて、利用者端末の利用後にバックアップを復元する方法を採っていた。この方法では、具体的には、初期状態のバックアップデータをサーバ側に保存し、復元時にネットワーク経由でダウンロードして利用者端末のハードディスクなどの二次記憶装置に上書きする方法が採られている。
【０００３】
また、公共の利用者端末の記憶装置の管理方法として、下記の特許文献１のような技術が提案されている。
【特許文献１】特開２００３−３０３１０４号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかしながら、上記のように、サーバ内にバックアップされているデータを利用者端末にダウンロードして利用者端末を初期状態に復元するという管理方法にあっては、一時的にせよ、利用者端末の二次記憶装置が書込み可能な状態になることから、書込み可能状態とした時点で、サーバにアクセスしてサーバ内の著作権で保護すべきコンテンツや機密情報などの重要データを利用者端末の二次記憶装置内に保存させることが可能になり、もしもその重要データを保存させた二次記憶装置を利用者が取外して外部に持ち出した場合には、重要データが外部に拡散してしまうといった事態が生じ、重要データを取り扱う公共施設の利用者端末の管理方法としては機密保持の点で極めて重大な問題を引き起こしてしまう。
この場合、利用者端末としてノート型ＰＣを採用していた場合には、このノート型ＰＣ自体を外部に持ち出すことにより、公共施設から持ち出してはならない重要データが外部に拡散してしまうということが生じる。
【０００５】
一方、このような利用者端末においては、二次記憶装置にインストールされているＯＳやアプリケーションをアップデートする必要が生じることがある。ところが、ＯＳやアプリケーションをアップデートする際には、二次記憶装置を書込み可能状態にすることから、書込み可能状態にした時点で利用者によるＯＳの改変、不正なアプリケーションのインストール、不正データの書込みが行われてしまう危険性がある。もしも、重要データが書き込まれてしまった場合には、上記と同様に、重要データが外部に拡散してしまうという問題が生じる。
【０００６】
上記特許文献１に開示された方法にあっては、利用者自身が利用する環境を利用者毎の書き込み可能な可搬記憶媒体に記憶させるというものであるため、その可搬記憶媒体に重要データを保存して外部に持ち出すことが可能になり、重要データの拡散を防止することはできない。
【０００７】
本発明の目的は、不特定多数の人が使用し、かつ重要データを取り扱う利用者端末において、重要データの拡散や紛失を防ぐとともに、利用者端末への不適切なアプリケーションの新規インストールやアンインストール、設定変更、データの保存等を防ぐことができる利用者端末の管理方法および当該管理方法を適用した利用者端末を提供することにある。
【課題を解決するための手段】
【０００８】
上記課題を解決するために、本発明に係る利用者端末の管理方法は、サーバ内に保管されたデータをダウンロードして利用する利用者端末において、前記サーバからダウンロードして利用するデータについては揮発性記憶装置に記憶させるとともに、不揮発性の二次記憶装置内のＯＳ及びアプリケーションを所定の状態に更新する場合には、前記二次記憶装置を書き込み許可状態とし、かつ情報漏洩を保護すべきデータを保管した前記サーバへのアクセスを禁止し、更新操作が終了して前記二次記憶装置を書き込み禁止状態にした後に、前記サーバへのアクセス禁止状態を解除することを特徴とする。
また、前記二次記憶装置を書き込み禁止領域と書き込み制御領域に分割し、前記書込み禁止領域はＯＳ及びアプリケーションの記憶領域として使用し、前記書き込み制御領域はスワップファイルの記憶領域として使用する場合、前記スワップファイルは暗号・復号処理によって読み書きすることを特徴とする。
【０００９】
本発明に係る利用者端末は、サーバ内に保管されたデータをダウンロードして利用する利用者端末において、前記サーバからダウンロードして利用するデータについては揮発性記憶装置に記憶させる第１の制御手段と、不揮発性の二次記憶装置内のＯＳ及びアプリケーションを所定の状態に更新する場合には、前記二次記憶装置を書き込み許可状態とし、かつ情報漏洩を保護すべきデータを保管した前記サーバへのアクセスを禁止し、更新操作が終了して前記二次記憶装置を書き込み禁止状態にした後に、前記サーバへのアクセス禁止状態を解除する第２の制御手段とを備えることを特徴とする。
また、前記二次記憶装置を書き込み禁止領域と書き込み制御領域に分割し、前記書込み禁止領域はＯＳ及びアプリケーションの記憶領域として使用し、前記書き込み制御領域はスワップファイルの記憶領域として使用する場合、前記第１の制御手段は前記スワップファイルを暗号・復号処理によって読み書きすることを特徴とする。
【発明の効果】
【００１０】
本発明によれば、二次記憶装置への書込み制御を行うことにより、重要データの二次記憶装置への保存を禁止して拡散・紛失を防止するとともに、不適切なアプリケーションやデータの保存を禁止し、再起動によって初期化が簡単にできることで端末管理が容易になる。
また、二次記憶装置をスワップファイルの記憶領域として活用することができる。
【発明を実施するための最良の形態】
【００１１】
以下、本発明について、図面を用いて詳細に説明する。
図１は、本発明の実施の形態を示すシステム構成図である。
本実施形態に示すシステムは、利用者端末１００、管理サーバ１０１、及びファイルサーバ１０２で構成されており、それぞれがネットワーク１０３で接続されている。
管理サーバ１０１には、遠隔からネットワーク１０３経由で各利用者端末１００を管理・制御するための端末管理サービス１１０が稼動している。
また、ファイルサーバ１０２には一般データ１１１と重要データ１１２が格納されている。重要データ１１２は、著作権保護対象のコンテンツや機密情報など、厳重に管理しなければならないデータであり、組織外部への持ち出しや各端末への拡散・紛失等を防がなければならないデータである。
一般データ１１１は重要データ１１２ではない、利用者が一般的に使用するデータである。
【００１２】
利用者端末１００には、不揮発性の二次記憶装置１０８と揮発性のメモリ１０９が搭載されており、二次記憶装置１０８にはＯＳ１０４やアプリケーション１０５、端末管理エージェント１０６、書込み制御モジュール１０７がインストールされている。
アプリケーション１０５は、重要データ１１１や一般データ１１０等を取り扱うために使用するものであり、ＯＳ１０４上で動作する任意のアプリケーションである。
【００１３】
端末管理エージェント１０６は、ＯＳ１０４の起動時に自動的に起動されるものであり、端末管理サービス１０９と連動して利用者端末１００を管理・制御するためのサービスである。
具体的な機能としては、書込み制御モジュール１０７の制御や、ネットワーク上のファイルサーバ１０２へのアクセス制御、アプリケーションの自動アップデート補助等の機能がある。
書込み制御モジュール１０７は、ＯＳ１０４やアプリケーション１０５の二次記憶装置１０８へのデータの書込み禁止を実現するものである。
ＯＳ１０４やアプリケーション１０５が二次記憶装置１０８にアクセスする場合、二次記憶装置１０８からの読み込みは通常通り行い、書込みに関しては、書込みデータを揮発性のメモリ１０９にキャッシュするだけで、実際の二次記憶装置１０８には書き込ませない機能を持つモジュールである。実際には、ファイルシステムへのＩＯ処理をフックするフィルタドライバとＲＡＭディスク技術の組み合わせによって、書込みデータの揮発性メモリ１０９中へのキャッシュと二次記憶装置１０８への書込み禁止が実現可能である。
【００１４】
書込み制御モジュール１０７には、書込み禁止モードと書込み可能モードがあり、書込み禁止モードでは上述の通り、二次記憶装置１０８への書込み禁止機能が働き、書込み可能モードでは、通常のＰＣと同じく、二次記憶装置１０８への書込みが可能となる。この２つのモードの切り替えは、端末管理エージェント１０６により行われ、起動時に適用される。
したがって、モードを切り替えるには、設定変更後に再起動する必要がある。
ファイルサーバ１０２からダウンロードした一般データ１１１や重要データ１１２については、揮発性メモリ１０９中にキャッシュし、二次記憶装置１０８への書込みを禁止することで、ファイルサーバ１０２から利用者端末１００へのデータコピーは電源を落とすことで消去してしまうことになり、重要データ１１２の拡散を防止する。更に、二次記憶装置１０８のデータは改変されることがないため、起動するたびに初期構成に戻り、利用者端末１００を利用者が変わるたびに初期状態に戻す操作が不要となり、利用者端末１００の管理が簡易化される。
【００１５】
図２は、書込み制御モジュール１０７の処理を示すフローチャートである。
利用者端末１００にあるアプリケーション１０５が二次記憶装置１０８内のデータへのアクセスを試みると、書込み制御モジュール１０７は書込み処理かどうかを判定する（ステップ２００、２０１）。
書込み処理の場合は、書込みデータを揮発性メモリ１０９中にキャッシュし（ステップ２０５）、二次記憶装置１０８にはデータを書き込まない。また、書込み処理でない場合、処理は読み込み処理であるので、まず、読み込み対象データが揮発性メモリ１０９中にキャッシュされているかどうかをチェックする（ステップ２０２）。キャッシュされている場合は、そのデータを読み込んでアプリケーション１０５に返す（ステップ２０３）。キャッシュされていない場合は、対応するデータを二次記憶装置１０８から読み込んでアプリケーション１０５に返す（ステップ２０４）。
このフローチャートでは、すべてのファイルを保存禁止にしているが、ファイルごとに選択して保存させることも考えられる。例えば、アプリケーション１０５の設定などが格納された設定ファイルやレジストリだけは保存させることにより、重要データの保存は防ぎつつ、アプリケーション１０５の設定を保存することが可能になる。
【００１６】
図３は、端末管理エージェント１０６によるファイルコピー時のメモリ管理処理のフローチャートである。
利用者端末１００のメモリサイズには制限があり、ファイルの書込み処理の際には揮発性メモリ１０９にキャッシュされる仕組みであるため、ファイルコピー時にファイルコピーが可能かどうかを判定する必要があり、このフローチャートはそのための処理を示している。
最初に、利用者がファイルサーバ１０２からファイルのダウンロードを開始すると（ステップ３００）、端末管理エージェント１０６はダウンロードファイルのサイズ情報を取得する（ステップ３０１）。
次に、端末管理エージェント１０６は、揮発性メモリ１０９の空き容量を取得する（ステップ３０２）。取得したファイルサイズと揮発性メモリ１０９の空き容量を比較して（ステップ３０３）、ファイルサイズが空メモリ量を超えた場合は、ファイルのコピー処理を中断する（ステップ３０４）。超えなかった場合は、揮発性メモリ１０９中へのキャッシュが可能なので、ファイルのダウンロードを開始する（ステップ３０５）。
こうすることで、ファイルデータの揮発性メモリ１０９中への残存を軽減することができる。
【００１７】
図４は、利用者端末１００のＯＳ・アプリケーションを自動アップデートする際の処理のフローチャートである。
まず、管理サーバ１０１の端末管理サービス１１０が端末管理エージェント１０６に自動アップデート開始のためのアップデート通知を送る（ステップ４００）。これにしたがって、端末管理エージェント１０６は、ＯＳ１０４を書込み可能モードで再起動する（ステップ４０１）。これは、二次記憶装置１０８への書込み保護を解除した状態であり、通常のＰＣ端末と同様に、任意のファイル、アプリケーションを二次記憶装置１０８にコピー・インストールすることが可能である。
次に、端末管理エージェント１０６が、ファイルサーバ１０２へのアクセスを禁止し、重要データ１１２へのアクセスを禁止する（ステップ４０２）。これは、ＯＳ１０４が書き込み可能な状態のときに、利用者が重要データをダウンロードして二次記憶装置１０８に書き込ませないことを意図している。
【００１８】
ＯＳ１０４が書き込み可能な状態の時に、アップデート処理を行う（ステップ４０３）。ここで想定しているのが自動アップデートであり、この場合は、アップデート用のファイルを管理サーバ１０１よりダウンロードして自動インストールする方式を想定している。なお、管理者が手動でインストールすることも可能である。
最後に、アップデート処理が終了次第、端末管理エージェント１０６はＯＳ１０４を書込み禁止モードで再起動する（ステップ４０４）。
このように、利用者端末１００のアップデート前にリブートし、かつアップデート時には重要データ１１２へのアクセスを禁止することで、重要データ１１２の利用者端末１００への保存ができないようになっている。
なお、端末管理エージェント１０６の重要データ１１２へのアクセス制御方法であるが、重要データ１１２はＳＳＬ相互認証プロトコルによるアクセスを強制させ、利用者端末１００の証明書を利用可能・不可能と切り替えることで実現することができる。
また、重要データ１１２と一般データ１１１の保管先ファイルサーバを分け、利用者端末１００からアクセスできるファイルサーバをパケットフィルタリングにより制御することで、アクセス制御することも可能である。
【００１９】
上述の説明では、スワップファイルを作成しない方法であるが、図５は使用可能なメモリ容量を拡張するために、スワップファイルを作成する場合の二次記憶装置のデータ構成図である。
二次記憶装置５００の書込み禁止領域５０１は、書込み制御モジュール１０７によって書込み禁止されている部分であり、書込みデータは揮発性メモリ１０９にキャッシュされる部分である。また、書込み制御領域５０２は、書込み制御モジュール１０７により、暗号化スワップファイル５０４のみ暗号化による書込みを許可し、それ以外のファイルは書込み禁止であり、揮発性メモリ１０９へのキャッシュも行わない部分である。
二次記憶装置１０８は基本的にこの二つの領域で構成されており、書き込み処理が発生した場合には、必ず書込み制御モジュール１０７が処理を行う。暗号・復号鍵については、書込み制御モジュール１０７が起動時にランダムに生成し、ＯＳ１０４の稼動中に同じ鍵を使用し、電源を落としたときに消去する方式でよい。なぜなら、暗号化スワップファイル５０４はＯＳ１０４の起動ごとに毎回リフレッシュしてよく、電源のオンオフにまたがって暗号鍵を保管しておく必要がないからである。
【００２０】
図６は、スワップファイルを作成する場合における書込み制御モジュール１０７の書込み処理のフローチャートである。
ＯＳ１０４が二次記憶装置１０８にデータを書き込もうとした際（ステップ６００）、書込み制御モジュール１０７は書込み禁止領域５０１への書込みかどうかを調べる（ステップ６０１）。書込み禁止領域５０１への書込みの場合には、書込みデータを揮発性メモリ１０９にキャッシュする（ステップ６０６）。
書込み禁止領域５０１ではなく、書込み制御領域５０２の場合には、スワップファイルへの書込みかどうかを調べる（ステップ６０２）。スワップファイルへの書込みでない場合には、データの書込みを禁止する（ステップ６０３）。スワップファイルへの書込みの場合には、書込みデータを暗号化し（ステップ６０４）、スワップファイルに書き込む（スワップ６０５）。
【００２１】
図７は、スワップファイルを作成する場合の書込み制御モジュール１０７の読込み処理のフローチャートである。
ＯＳ１０４が二次記憶装置１０８にデータ読込みを行ったとき（ステップ７００）、書込み禁止領域５０１からの読込みかどうかをチェックする（ステップ７０１）。書込み禁止領域５０１からの読み込みの場合には、読込みデータが揮発性メモリ１０９にキャッシュされていれば、キャッシュから読込み、そうでなければ二次記憶装置１０８から読み込む（ステップ７０６）。
書込み禁止領域５０１からの読み込みでない場合は、書込み制御領域５０２からの読み込みであり、読込み対象ファイルがスワップファイルかどうかをチェックする（ステップ７０２）。スワップファイルの読込みでない場合には、データの読込みを禁止する（ステップ７０３）。スワップファイルからの読み込みの場合には、データを読み込んで（ステップ７０４）、読込みデータを復号化し（ステップ７０５）、ＯＳ１０４に渡す。
以上の読み書き制御により、スワップファイルのみを二次記憶装置１０８に暗号化して保存し、利用することができる。
【図面の簡単な説明】
【００２２】
【図１】本発明を適用した実施の形態を示すシステム構成図である。
【図２】書込み制御モジュールの処理を示すフローチャートである。
【図３】端末管理エージェントによるファイルコピー時のメモリ管理処理を示すフローチャートである。
【図４】利用者端末のＯＳ・アプリケーションを自動アップデートする際の処理を示すフローチャートである。
【図５】スワップファイルを作成する場合の二次記憶装置のデータ構成図である。
【図６】スワップファイルを二次記憶装置に記憶させる場合の書込み制御モジュールの書込み処理を示すフローチャートである。
【図７】二次記憶装置内のスワップファイルを読み出す場合の書込み制御モジュールの読込み処理を示すフローチャートである。
【符号の説明】
【００２３】
１００  利用者端末
１０１  管理サーバ
１０２  ファイルサーバ
１０３  ネットワーク
１０４  ＯＳ（オペレーティングシステム）
１０５  アプリケーション
１０６  端末管理エージェント
１０７  書込み制御モジュール
１０８  二次記憶装置
１０９  揮発性メモリ
１１０  端末管理サービス
１１２  重要データ
５０１  書込み禁止領域
５０２書込み制御領域
５０４  暗号化スワップファイル
【図１】
0004731305.tif 000002
【図２】
0004731305.tif 000003
【図３】
0004731305.tif 000004
【図４】
0004731305.tif 000005
【図５】
0004731305.tif 000006
【図６】
0004731305.tif 000007
【図７】
0004731305.tif 000008