(57)【特許請求の範囲】
【請求項１】
システム内の情報保持を管理する方法であって、
第１の受信メカニズムが、システム内に１セットの情報を受信する工程と、
選択メカニズムが、該１セットの情報を暗号化する１つ以上の鍵を選択する工程と、
暗号化メカニズムが、該１セットの情報を該１つ以上の鍵を用いて暗号化する工程と、
格納メカニズムが、該１セットの情報を暗号化された形態で１つ以上のリポジトリ内に格納する工程であって、前記１セットの情報を暗号化したもののみを前記システム内に永続的に格納し、前記１セットの情報を復号したものは前記システム内に永続的に格納しない工程と、
第１のパージメカニズムが、該１つ以上の鍵を削除することによって、該１セットの情報を提供できなくして、該１セットの情報を該システムからユーザが利用できないように、該システムから該１セットの情報をパージする工程と、
第２の受信メカニズムが、前記１つ以上の鍵を削除する前に、前記１セットの情報をユーザに提供するリクエストを情報シンクから受信する工程と、
第１のアクセスメカニズムが、前記１つ以上のリポジトリから前記１セットの情報の暗号化された形態にアクセスする工程と、
アクセスメカニズムが、該１つ以上の鍵にアクセスする工程と、
提供メカニズムが、該１セットの情報の暗号化された形態と該１つ以上の鍵とを該情報シンクに提供して、該情報シンクに、該１セットの情報の暗号化された形態を復号させる工程と、
提供めかにズムが、該１つ以上の鍵を用いて、該１セットの情報を該ユーザに提供する工程とを有し、
該情報シンクは情報マネージャから受け取った該１つ以上の鍵を永続的に格納しない手段を有する、方法。
【請求項２】
前記１セットの情報の暗号化された形態が前記１つ以上のリポジトリから削除されることを必要とせずに、該１セットの情報が前記システムからパージされる、請求項１に記載の方法。
【請求項３】
前記１セットの情報は暗号化された形態でのみ１つ以上のリポジトリ内に格納される、請求項１に記載の方法。
【請求項４】
前記１つ以上の鍵は対称的なペアのセットの鍵を含む、請求項１に記載の方法。
【請求項５】
第２の受信メカニズムが、前記１つ以上の鍵を削除する前に、情報シンクからリクエストを受信して前記１セットの情報をユーザに提供する工程と、
第１のアクセスメカニズムが、前記１つ以上のリポジトリから前記１セットの情報の暗号化された形態にアクセスする工程と、
復号メカニズムが、該１つ以上の鍵を用いて該１セットの情報の暗号化された形態を復号して、該１セットの情報を取得する工程と、
第１の提供メカニズムが、該１セットの情報を該情報シンクに提供して、該情報シンクに該１セットの情報を該ユーザに提供することを可能にする工程とをさらに包含する、請求項１に記載の方法。
【請求項６】
該１セットの情報の暗号化された形態を提供する工程は、
該１セットの情報の暗号化された形態を、該１セットの情報を復号するのに必要な鍵を識別する鍵ＩＤとともに提供する工程と、
該１セットの情報の暗号化された形態と該鍵ＩＤとを該データシンクに格納する工程と、
該１セットの情報を該ユーザに提供するために、該鍵ＩＤを用いて該１セットの情報を復号するのに必要な鍵にアクセスして、前記鍵を用いて該１セットの情報を復号して、該データシンクが該アクセスした鍵を永続的に格納しないようにする工程とをさらに有する、請求項１に記載の方法。
【請求項７】
前記１セットの情報は前記１つ以上のリポジトリ内に暗号化された形態でのみ格納され、該１セットの情報の暗号化された形態は、該ユーザが該１セットの情報の復号された形態へのアクセスを要求した場合のみ復号される、請求項１、５、または６に記載の方法。
【請求項８】
パージする工程が、
判定メカニズムが、情報セットを削除するか、及び／またはいつ削除するかの基準を示す情報保持ポリシーに基づいて、前記１セットの情報が前記システムからパージされるべきか否かを判定する工程と、
第２のパージメカニズムが、該１セットの情報が該システムからパージされるべきという判定に応答して、前記１つ以上の鍵を削除することによって該システムから該１セットの情報をパージし、これにより、該１セットの情報をアクセス不可能にする工程とを包含する、請求項１に記載の方法。
【請求項９】
前記情報保持ポリシーは、前記１セットの情報が一定時間経過後にパージされる、時間に基づく基準を示す、請求項８に記載の方法。
【請求項１０】
前記情報保持ポリシーは、前記１セットの情報が１つ以上の条件が満たされた場合にパージされる、条件に基づく基準を示す、請求項８に記載の方法。
【請求項１１】
システム内の情報保持を管理する装置であって、
システム内に１セットの情報を受信するメカニズムと、
該１セットの情報を暗号化する１つ以上の鍵を選択するメカニズムと、
該１セットの情報を該１つ以上の鍵を用いて暗号化するメカニズムと、
該１セットの情報を暗号化された形態で１つ以上のリポジトリ内に格納するメカニズムであって、前記１セットの情報を暗号化したもののみを前記システム内に永続的に格納し、前記１セットの情報を復号したものは前記システム内に永続的に格納しないメカニズムと、
該１つ以上の鍵を削除することによって、該１セットの情報を提供できなくして、該１セットの情報を該システムからユーザが利用できないように、該システムから該１セットの情報をパージするメカニズムと、
前記１つ以上の鍵を削除する前に、前記１セットの情報をユーザに提供するリクエストを情報シンクから受信するメカニズムと、
前記１つ以上のリポジトリから前記１セットの情報の暗号化された形態にアクセスするメカニズムと、
該１つ以上の鍵にアクセスするメカニズムと、
該１セットの情報の暗号化された形態と該１つ以上の鍵とを該情報シンクに提供して、該情報シンクに、該１セットの情報の暗号化された形態を復号させるメカニズムと、
該１つ以上の鍵を用いて、該１セットの情報を該ユーザに提供するメカニズムとを有し、
該情報シンクは情報マネージャから受け取った該１つ以上の鍵を永続的に格納しない手段を有する、装置。
【請求項１２】
前記１セットの情報の暗号化された形態が前記１つ以上のリポジトリから削除されることを必要とせずに、該１セットの情報が前記システムからパージされる、請求項１１に記載の装置。
【請求項１３】
前記１セットの情報は暗号化された形態でのみ１つ以上のリポジトリ内に格納される、請求項１１に記載の装置。
【請求項１４】
前記１つ以上の鍵は対称的なペアのセットの鍵を含む、請求項１１に記載の装置。
【請求項１５】
前記１つ以上の鍵を削除する前に、情報シンクからリクエストを受信して前記１セットの情報をユーザに提供するメカニズムと、
前記１つ以上のリポジトリから前記１セットの情報の暗号化された形態にアクセスするメカニズムと、
該１つ以上の鍵を用いて該１セットの情報の暗号化された形態を復号して、該１セットの情報を取得するメカニズムと、
該１セットの情報を該情報シンクに提供して、該情報シンクに該１セットの情報を該ユーザに提供することを可能にするメカニズムとをさらに含む、請求項１１に記載の装置。
【請求項１６】
該１セットの情報の暗号化された形態を提供するメカニズムは、
該１セットの情報の暗号化された形態を、該１セットの情報を復号するのに必要な鍵を識別する鍵ＩＤとともに提供するメカニズムと、
格納メカニズムが、該１セットの情報の暗号化された形態と該鍵ＩＤとを該データシンクに格納するメカニズムと、
該１セットの情報を該ユーザに提供するために、該鍵ＩＤを用いて該１セットの情報を復号するのに必要な鍵にアクセスして、前記鍵を用いて該１セットの情報を復号して、該データシンクが該アクセスした鍵を永続的に格納しないようにするメカニズムとをさらに有する、請求項１１に記載の方法。
【請求項１７】
前記１セットの情報は前記１つ以上のリポジトリ内に暗号化された形態でのみ格納され、該１セットの情報の暗号化された形態は、該ユーザが該１セットの情報の復号された形態へのアクセスを要求した場合のみ復号される、請求項１１、１５、または１６に記載の装置。
【請求項１８】
前記パージを行うメカニズムは、
情報セットを削除するか、及び／またはいつ削除するかの基準を示す情報保持ポリシーに基づいて、前記１セットの情報が前記システムからパージされるべきか否かを判定するメカニズムと、
該１セットの情報が該システムからパージされるべきという判定に応答して、前記１つ以上の鍵を削除し、これにより、該１セットの情報をアクセス不可能にするメカニズムとを含む、請求項１１に記載の装置。
【請求項１９】
前記情報保持ポリシーは、前記１セットの情報が一定時間経過後にパージされる、時間に基づく基準を示す、請求項１８に記載の装置。
【請求項２０】
前記情報保持ポリシーは、前記１セットの情報が１つ以上の条件が満たされた場合にパージされる、条件に基づく基準を示す、請求項１８に記載の装置。
【請求項２１】
命令をその上に格納するコンピュータ読み出し可能媒体であって、１つ以上のプロセッサによって実行された場合に、該１つ以上のプロセッサにシステム内の情報保持を管理させるコンピュータ読み出し可能媒体であって、
１つ以上のプロセッサにシステム内に１セットの情報を受信させる命令と、
１つ以上のプロセッサに該１セットの情報を暗号化する１つ以上の鍵を選択させる命令と、
１つ以上のプロセッサに該１セットの情報を該１つ以上の鍵を用いて暗号化させる命令と、
１つ以上のプロセッサに該１セットの情報を暗号化された形態で１つ以上のリポジトリ内に格納させる命令であって、前記１セットの情報を暗号化したもののみを前記システム内に永続的に格納し、前記１セットの情報を復号したものは前記システム内に永続的に格納しない命令と、
１つ以上のプロセッサに該１つ以上の鍵を削除することによって、該１セットの情報を提供できなくして、該１セットの情報を該システムからユーザが利用できないように、該システムから該１セットの情報をパージさせる命令と
１つ以上のプロセッサに、前記１つ以上の鍵を削除する前に、前記１セットの情報をユーザに提供するリクエストを情報シンクから受信させｒ命令と、
１つ以上のプロセッサに、前記１つ以上のリポジトリから前記１セットの情報の暗号化された形態にアクセスさせる命令と、
１つ以上のプロセッサに、該１つ以上の鍵にアクセスさせる命令と、
１つ以上のプロセッサに、該１セットの情報の暗号化された形態と該１つ以上の鍵とを該情報シンクに提供させ、該情報シンクに、該１セットの情報の暗号化された形態を復号させる命令と、
１つ以上のプロセッサに、該１つ以上の鍵を用いて、該１セットの情報を該ユーザに提供させる命令とを有し、
該情報シンクは情報マネージャから受け取った該１つ以上の鍵を永続的に格納しない手段を有する、コンピュータ読み出し可能媒体。
【請求項２２】
コンピュータプログラムであって、コンピュータにより実行されたとき、前記コンピュータに請求項１ないし１０に記載の方法を実行させるコンピュータプログラム。
【発明の詳細な説明】
【０００１】
（背景）
本発明は概して、情報システムに関し、より詳細には、情報保持を管理する方法および装置に関する。
【０００２】
情報システム内で維持されている情報量を制限するために、多くの会社は方策（情報保持方策としてしばしば呼ばれる）を実施している。この方策下において、情報セットは体系的にシステムから削除される。これらの方策は、情報セットが削除されるか否かおよび削除されるときを決定する基準を示し、そしてしばしば、情報セットが特定の時間量の間システム内に存在した後削除されるように時間ベースであるか、または情報セットが特定の条件が満たされた後に削除されるように条件ベースであるか、または両方の組み合わせである。例えば、１セットの情報は、それが特定の時間量の間システム内に存在し、かつ、特定の時間期間内にアクセスされなかった場合に削除され得る。システムから情報セットを体系的に削除することによって、システムは合理的なサイズで維持される。これは、システムを実現するために必要な記憶装置量、およびシステムを維持するために必要な労力を制限することに役立つ。
【０００３】
通常、情報保持方策は、保持方策の下で削除に値すると決定された情報セットをシステムから削除することによって強化される。情報セットは情報セットへの参照を排除し、これにより、情報セットへのアクセスを不可能にすることによって、または情報セットを新しい情報で書き換えることによって、またはこれら両方によって削除され得る。システムから情報セットを削除することによって排除することが原理的には良好であるが、実際に実施することは難しい。この削除方法による主な問題のうちの１つは、情報セットの１つのインスタンスを削除するためには、まずこれを探すことが必要である点である。情報セットの複数のコピーがある場合、（システムが大きいかまたは分散されている場合、あるいはバックアップコピーが作製された場合にしばしばあるように）情報セットが情報システムから完全に排除される前に、情報セットのすべてのコピーを探してそして削除する必要がある。大きい情報システムに関して、情報セットのすべてのコピーを探すことは冗長で、ひるむほどに膨大で、そして時には不可能なタスクであり得る。結果、情報セットのストレイコピー（ｓｔｒａｙ  ｃｏｐｙ）が、情報セットが恐らく削除された後でさえも、システム内で残ったままであることが多い。これらのストレイコピーは保持方策の効果を深刻に減少させ得る。この説明が示すように、情報保持方策を強化する現在の方法論は改良を所望される点が多く残ったままである。結果、情報保持を管理する改良されたメカニズムが必要である。
【０００４】
（発明の要旨）
本発明は、情報システム内の情報保持を管理する改良されたメカニズムを提供する。本発明は、少なくとも部分的には、情報セットをパージするためにシステムから情報セットを削除する必要がないという観測に基づく。むしろ、必要なのは、情報セットをユーザに付与不可能にすることのみである。上記情報セットが付与不可能にされると、上記情報セットはすべての意図および目的において無用となり、この結果、上記情報セットが上記システム内に物理的に残っている場合でも、上記システムから効果的に「パージ」される。
【０００５】
この観測の観点から、本発明は情報保持管理メカニズムを提供し、これにより、情報セットが情報システムに入るときにはいつでも、鍵が上記情報セットに関連付けられる。上記情報セットは上記関連付けられた鍵を用いて暗号化されて、上記情報セットの暗号化された形態は上記情報システム内に格納される。上記情報セットの暗号化されていない形態は格納されない。次いで、後の時間に、上記情報セットは、上記情報セットの暗号化された形態にアクセスすることによって、上記関連付けられた鍵にアクセスすることによって、そして上記関連付けられた鍵を用いて上記暗号化された情報セットを復号化することによってユーザに付与され、元の情報セットが取得される。取得された後、上記情報セットは上記ユーザに付与される。上記関連付けられた鍵が上記システム内に残っている限り、このプロセスは実行されて、上記情報セットをユーザに付与し得る。
【０００６】
ある点においては、情報保持方策によれば、上記情報セットはパージ用に選択される。上記情報セットをパージするために、行われなくてはならないのは上記関連付けられた鍵を削除することのみである。これが行われた後、上記情報システム内に格納された上記暗号化された情報セットのすべてのコピーが付与不可能にされる。この結果、上記情報セットが上記システムから効果的に「パージ」される。上記システムから上記暗号化された情報セットを削除する必要はないことに留意されたい。上記情報セットは付与不可能にされて、そしてこれ故に、上記暗号化された情報セットが上記情報システム内に物理的に残っている場合でさえもパージされる。したがって、本発明は、上記情報セットのあらゆるコピーを探して削除する必要性を排除する。こうすることによって、本発明は、情報セットのあらゆるインスタンスを探して削除するという潜在的にひるむほどに膨大で、非常に困難なタスクを、鍵を削除するという簡単なタスクに変換する。これは、「ストレイコピー」の問題を解決するため、上記情報保持プロセスを簡略化するだけでなく、上記プロセスの効果も増加させる。上述したように、上記暗号化された情報セットが上記システム内に残っている場合でも、上記暗号化された情報セットが付与され得ないため害はない。したがって、本発明は著しく改良された情報保持メカニズムを提供する。
【０００７】
（実施形態の詳細な説明）
図１を参照すると、本発明が実現され得るシステムのブロック図が示されている。システムは、情報システム１０２、情報ソース１０４、および情報シンク１０６を含む。説明を簡略にするため、情報ソース１０４を１つおよび情報シンク１０６を１つのみ示す。しかし、複数の情報ソースおよび情報シンクが情報システム１０２と相互通信し得ることに留意されたい。本発明の目的に関し、情報ソース１０４は、１つ以上の情報セットを作成し、そしてこれを情報システム１０２に提供することが可能な任意のメカニズムを表す。同様に、情報シンク１０６は、情報システム１０２から１つ以上の情報セットを受信し、そして情報セットをユーザに付与することが可能な任意のメカニズムを表す。この点に関し、情報ソース１０４および情報シンク１０６は汎用コンピュータで実行するクライアントソフトウェアであり得るが、これらに限定されない。情報ソース１０４および情報シンク１０６は、情報システム１０２に、直接接続またはネットワークを介して結合され得る。
【０００８】
情報ソース１０４および情報シンク１０６は同じメカニズムであり得ることに留意されたい。ある時には、メカニズムは情報セットを情報システム１０２に提供し得、そしてこれ故に情報ソースとして動作する。別の時には、同じメカニズムは情報システム１０２から情報セットを受信し得、そしてこれ故に情報シンクとして動作する。したがって、同じメカニズムは両方の役割を実行することが可能であり得る。
【０００９】
情報システム１０２は情報セットを格納し、そして維持することを担うエンティティすべてである。用語「情報セット」は、本明細書において用いられる場合、ファイル、メッセージ、ウェブページ、通信、暗号鍵、アクセスコードなどを含む（但し、これらに限定されない）任意の種類の情報を広く指す。情報セットは、この情報は、テキスト、グラフィクス、音声／映像、データなどを含む（但し、これらに限定されない）多くの異なる形態を取り得る。すべてのこのような形態は本発明の範囲内である。本質的に、格納および取り出され得る任意の種類の情報は情報システム１０２によって管理され得る。
【００１０】
情報システム１０２は多くの異なる形態を取り得る。例えば、情報システム１０２は、１つ以上のリポジトリ内に格納されているファイルへのアクセス管理を担うファイルサーバであり得る。このような実現例において、情報ソース１０４および情報シンク１０６はファイルサーバのクライアントである。情報システム１０２はさらに、アクセスリクエストに応答して、クライアントにウェブページを提供することを担うウェブサーバでもあり得る。このような場合、情報ソース１０４は、コンテンツ提供メカニズム（例えば、ｆｔｐクライアント）であり、情報シンク１０６はウェブブラウザである。さらに、情報システム１０２はまた、電子メール（Ｅメール）メッセージへのアクセス管理を担うメールサーバでもあり得る。このような実現例において、情報ソース１０４および情報シンク１０６はメールサーバのメールクライアントである。情報システム１０２のこれらの実現例および他の実現例は本発明の範囲内にある。
【００１１】
情報システム１０２がいかなる形態を取ろうとも、情報システム１０２は、情報マネジャー１１０、１つ以上の情報リポジトリ１１２、鍵リポジトリ１１４、および保持マネジャー１１６を含む。情報マネジャー１１０は、情報ソース１０４および情報シンク１０６にインターフェースをとることを主に担う。より詳細には、情報マネジャー１１０は情報ソース１０４から１つ以上の情報セットを受信し、これらを１つ以上の情報リポジトリ１１２内に格納する。さらに、情報マネジャー１１０はリポジトリ１１２から１つ以上の情報セットにアクセスし、そしてこれらを情報シンク１０６に提供する。これらのタスクを実行する際、情報マネジャー１１０は、本発明の方法によって情報セットを処理する。一実施形態において、情報マネジャー１１０は１つの暗号化エンジン１１８を含む。後のセクションにおいてより詳細に述べるように、暗号化エンジン１１８を用いて、情報セットをリポジトリ１１２内に格納する前に暗号化し、そして情報セットを情報シンク１０６に提供する前に復号化する。本発明の目的に関して、暗号化エンジン１１８は、単一鍵暗号および対称鍵暗号を含む（但し、これらに限定されない）任意の公知の暗号化の方法を実現し得る。一実施形態において、情報マネジャー１１０は１つ以上のプロセッサによって実行可能な１セットの命令として実現される。しかし、これが所望される場合には、暗号化エンジン１１８および必要に応じて情報マネジャー１１０は概して、特殊目的のハードワイヤードの論理コンポーネントを用いて実現され得る。これおよび他の実現例は本発明の範囲内である。
【００１２】
情報セットを暗号化および復号化するために情報マネジャー１１０によって用いられる鍵は鍵リポジトリ１１４内で維持される。暗号化エンジン１１８によって実現される暗号化の方法に応じて、鍵の形態が異なり得る。例えば、単一鍵であってもよいし、対称鍵のペア（例えば、公開鍵／秘密鍵）であってもよい。一実施形態において、各鍵または鍵セットはそれらに関連付けられた鍵ＩＤを有する。これらのＩＤにより、鍵が容易に参照され、アクセスされ、そして操作されることが可能になる。
【００１３】
鍵リポジトリ１１４のコンテンツは保持マネジャー１１６によって管理される。より詳細には、保持マネジャー１１６は情報保持方策を実現して、鍵リポジトリ１１４からいずれの鍵を削除するかを決定することを担う。後のセクションで説明するように、実際に鍵リポジトリ１１４から鍵を削除すると、情報システム１０２からこの鍵に関連付けられたすべての情報セットがパージされる。したがって、鍵リポジトリ１１４内の鍵を管理することによって、保持マネジャー１１６は、情報システム１０２内の情報セットの保持を実際に管理する。この管理機能を実行する際、保持マネジャー１１６は任意の所望の保持方策を実現し得る。例えば、保持マネジャー１１６は時間ベースの方策を実現し得、これにより、鍵が、特定の時間量の間システム１０２内に存在した後、鍵リポジトリ１１４から削除される。保持マネジャー１１６はさらに、条件ベースの方策を実現し得、これにより、１つ以上の条件が満たされた場合に鍵が削除される。さらに、格納マネジャー１１６は分類ベースの方策を実現し得、これにより、特定の分類を有するすべての鍵が特定の時間に削除される。これらおよび他の方策（またはこれらの組み合わせ）は、本発明の意図内の保持マネジャー１１６によって実現され得る。一実施形態において、保持マネジャー１１６は、１つ以上のプロセッサによって実行可能な１セットの命令として実現される。しかし、これが所望される場合には、保持マネジャー１１６が、特殊目的のハードワイヤードの論理コンポーネントを用いて実現され得る。この実現例および他の実現例は本発明の範囲内にある。
【００１４】
図１のシステム図および図２〜図４の流れ図を参照しながら、情報システム１０２の動作をここで説明する。図２は、情報マネジャー１１０が情報ソース１０４から情報セットを受信しそして格納した場合の情報マネジャー１１０の動作を示す。図３は、鍵リポジトリ１１６のコンテンツを管理する際の保持マネジャー１１６の動作を示し、図４は、情報マネジャー１１０が情報シンク１０４にアクセスして、これに情報セットを提供する際の情報マネジャー１１０の動作を示す。
【００１５】
まず図２を参照すると、情報マネジャー１１０が情報ソース１０４から情報セットを受信する（２０２）場合はいつでも、鍵がこの情報セットにすでに関連付けられているか否かを判定する（２０４）。一実施形態において、これは鍵ＩＤの情報セットのヘッダをチェックすることによって行われる。鍵ＩＤが見つからない場合、情報セットが情報システム１０２内に以前に格納されていなかったことを意味する。このような場合、情報マネジャー１１０は、鍵リポジトリ１１４から鍵を選択して、この情報セットに関連付ける（２１２）。この鍵選択は任意の所定の方策に基づいて実行され得る。例えば、鍵はその日の鍵が選択されるように現在の日付に基づいて選択され得るか、または選択は情報セットの分類（例えば、機密性が非常に高い、機密性が高い、そして通常利用可能である）に基づき得る。本発明の目的に関して、任意の鍵選択方策が実現され得る。
【００１６】
鍵（鍵に関連付けられた鍵ＩＤを有する）が選択された後、情報マネジャー１１０は選択された鍵を用いて情報セットを暗号化し（２１４）、そして次いで復号化された情報セット１２０を１つ以上の永久情報リポジトリ１１２内に格納する（２１６）。格納プロセスの一部として、情報マネジャー１１０は鍵ＩＤを暗号化された情報セット１２０のヘッダ（これは暗号化されないままである）内に書き込む。この鍵ＩＤは選択された鍵を暗号化された情報セット１２０に関連付け、そして適切な鍵が鍵リポジトリ１１４から後の時間にアクセスされることを可能にして、暗号化された情報セット１２０が復号化されることを可能にする。したがって、情報セットは情報システム１０２内に永久に格納される。
【００１７】
留意すべき重要な点は、情報セット１２０の暗号化された形態のみが情報システム１０２内に永久に格納される点である。暗号化されていない情報セットは永久には格納されない。以下に説明するように、これは、保持マネジャー１１６によって実現される情報保持方策の完全性を保護する点で重要である。情報セットを暗号化するためには、情報マネジャー１１０はある点においては、揮発性の非永久的なメモリ内に、暗号化されていない情報セットの少なくとも一部を有する必要があることを理解されたい。これは問題を呈さない。暗号化されていない情報セットが永久的な記憶装置内に格納されない限り、情報保持方策は弱められない。
【００１８】
ここで図２の（２０４）に戻ると、鍵（情報セットが情報システム１０２内ですでに格納されており、そして情報ソース１０４に提供された場合のように）が情報セットとすでに関連付けられていると判定された場合には、情報マネジャー１１０は情報セットのヘッダから鍵ＩＤを抽出し、そして鍵ＩＤを用いて鍵リポジトリ１１４内の関連付けられた鍵にアクセスする（２０６）。関連付けられた鍵がアクセスされた後、情報マネジャー１１０は関連付けられた鍵を用いて情報セットを暗号化し（２０８）、そして暗号化された情報セット１２０を１つ以上の永久情報リポジトリ１１２内に格納する（２１０）。格納プロセスの一部として、情報マネジャー１１０は鍵ＩＤを暗号化された情報セット１２０のヘッダ内に書き込む。したがって、暗号化された情報セット１２０は情報システム１０２内に格納される。上述したように、情報セットの暗号化された形態１２０のみが情報システム１０２内に永久に格納される。暗号化されていない情報セットは永久には格納されない。
【００１９】
暗号化された情報セット１２０が情報システム１０２内に格納された後、これは保持マネジャー１１６によって管理され得る。より詳細には、保持マネジャー１１６は、暗号化された情報セット１２０が保持されるか、システム１０２からパージされるかを制御し得る。本発明の目的において、用語「パージ」は、１セットの情報をユーザに付与不可能にすることを意味するよう広く定義される。この定義において、システムから情報セットを削除してこれをパージする必要はない。むしろ、必要なことは、情報セットをユーザに付与不可能にすることのみである。情報セットが付与不可能にされると、情報セットはすべての意図および目的において無用となり、これにより、情報セットが物理的にシステム内に残っている場合でも、システムから効果的に「パージ」される。本発明において、情報セットは情報システム１０２内に暗号化の形態でのみ格納される。このようなシステムにおいて、情報セットを付与不可能にすることは簡単な問題である。行われる必要があるのは、暗号化された情報セットを復号化するために必要な鍵を削除することのみである。これが行われた後、暗号化された情報セットのすべてのインスタンスが付与不可能にされる。したがって、本発明は情報保持を管理するタスクを、鍵を管理するタスクに変換する。鍵リポジトリ１１４内の鍵を管理することによって、保持マネジャー１１６は情報セットが保持されるか、情報システム１０２からパージされるかを制御する。
【００２０】
ここで図３を参照すると、保持マネジャー１１６がまず所定の情報保持方策を実現する（３０２）ことによって動作する。この方策は、情報セットが情報システム１０２からパージされるか否かおよびパージされるときを決定する基準を示す。例えば、この保持方策は、情報セットが特定の時間量の間システム１０２内に存在した後パージされるように時間ベースであり、情報セットが１つ以上の条件が満たされた後にパージされるように条件ベースであり、または情報セットが特定の時間にパージされる特定の分類を有するように分類ベースであってもよい。これらの保持方策および他の保持方策（またはこれらの組み合わせ）は保持マネジャー１１６によって実現され得る。
【００２１】
保持方策に基づいて、保持マネジャー１１６は任意の情報セットが情報システム１０２からパージされる必要があるか否かを判定する（３０４）。どれもパージされる必要がない場合、保持マネジャー１１６は（３０２）に戻る。しかし、１つ以上の情報セットがパージされる必要がある場合、保持マネジャー１１６は鍵リポジトリ１１４からこれらの情報セット（単数または複数）１２０の暗号化されたバージョンに関連付けられた鍵（単数または複数）を削除する（３０６）。こうすることによって、保持マネジャー１１６はこれらの暗号化された情報セット１２０を付与不可能にして、これにより、システム１０２からこれらが効果的にパージされる。暗号化された情報セット１２０を削除することは必要ではない（しかし、ある点においてはこれを行い記憶領域を空けることが望ましい場合がある）ことに留意されたい。システムから情報セットを削除する必要性を排除することによって、本発明は情報セットのそれぞれおよびあらゆるインスタンスを探す必要性を排除する。これは、情報保持管理プロセスを著しく簡略化することに役立つ。
【００２２】
情報セットをシステム１０２内に格納することに加え、情報マネジャー１１０はさらに、システム１０２内にすでに格納されている情報セットへのアクセスを管理する。一実施形態において、情報マネジャー１１０は図４の流れ図によってこの管理タスクを実行する。最初、情報マネジャー１１０は情報シンク１０６からリクエストを受信し（４０２）、情報システム１０２内の特定の情報セットにアクセスする。このリクエストに応答して、情報マネジャー１１０は、１つ以上のリポジトリ１１２からリクエストされた情報セットの暗号化された形態１２０にアクセスし、そして次いで、暗号化された情報セット１２０に関連付けられた鍵を判定する（４０６）。一実施形態において、これは暗号化された情報セット１２０のヘッダから鍵ＩＤを抽出することによって行われる。情報マネジャー１１０は、鍵ＩＤを備えているため、鍵リポジトリ１１４を検索して、鍵ＩＤに関連付けられた鍵が利用可能であるか否かを判定する（４０８）。鍵リポジトリ１１４が鍵ＩＤに関連付けられた鍵を有さない場合、これは関連付けられた鍵が削除されたことを意味する。次いで、これはリクエストされた情報セットが保持マネジャー１１６によって以前にパージされたことを意味する。そうであれば、情報マネジャー１１０は、エラーメッセージを情報シンク１０６に返して（４１０）、リクエストされた情報セットがシステム１０２からパージされ、これ故に、もはや提供され得ないことを情報シンク１０６に通知する。このように、リクエストされた情報セットのパージジングが明らかになる。
【００２３】
４０８に戻って、鍵ＩＤに関連付けられた鍵が利用可能であると情報マネジャー１１０が判定すると、情報マネジャー１１０は鍵リポジトリ１１４内の関連付けられた鍵にアクセスする（４１２）。情報マネジャー１１０は、鍵を備えているため、暗号化された情報セット１２０を復号化して（４１４）、元の情報セットを取得する。次いで、情報マネジャー１１０は、暗号化されていない情報セットをユーザに付与するために情報シンク１０６に提供する（４１６）。したがって、情報セットは情報システム１０２からアクセスされて付与される。一実施形態によれば、（１）暗号化された情報セット１２０は情報セットをユーザに付与する必要がある場合のみ復号化され、そして（２）情報シンク１０６は暗号化されていない情報セットを永久に格納することを防ぐだけに十分な論理を含む。これらを考慮すると、保持方策の弱体化を防止することに役立つ。
【００２４】
したがって、これまで、情報マネジャー１１０は暗号化された情報セット１２０を復号化することを担うコンポーネントであると記載してきた。あるいは、暗号化の機能を情報シンク１０６に委ねてもよい。図５は、復号化タスクが情報シンク１０６に委ねられている情報マネジャー１１０の動作を示す流れ図である。図示するように、情報マネジャー１１０は最初、情報シンク１０６から情報システム１０２内の特定の情報セットのリクエストを受信する（５０２）。このリクエストに応答して、情報マネジャー１１０は１つ以上のリポジトリ１１２からリクエストされた情報セットの暗号化された形態１２０にアクセスし、そして暗号化された情報セット１２０を情報シンク１０６に提供する（５０４）。暗号化された情報セット１２０内に含まれるのは、鍵ＩＤを含む暗号化されていないヘッダである。提供されるのが情報セットの暗号化された形態であるため、情報シンク１０６は暗号化された情報セットを情報シンク１０６自身の永久記憶装置内に自由に格納し得る。
【００２５】
ある点においては、情報シンク１０６は情報セットをユーザに付与する必要はない。こうするには、情報シンク１０６は暗号化された情報セットに関連付けられた鍵が必要である。情報シンク１０６がこの鍵を取得するのは、（１）暗号化された情報セットのヘッダから鍵ＩＤを抽出することによって、そして（２）抽出された鍵ＩＤを含む鍵リクエストを情報マネジャー１１０に送信することによってである。このリクエストを受信すると（５０６）、情報マネジャー１１０は鍵リポジトリ１１４を検索して、鍵ＩＤに関連付けられた鍵が利用可能であるか否かを判定する（５０８）。鍵リポジトリ１１４が鍵ＩＤに関連付けられた鍵を有さない場合、関連付けられた鍵が削除されたことを意味する。次いで、これは、暗号化された情報セットが保持マネジャー１１６によって以前にパージされたことを意味する。そうであれば、情報マネジャー１１０は、エラーメッセージを情報シンク１０６に返して（５１０）、暗号化された情報セットがシステム１０２からパージされ、これ故に、もはや付与され得ないことを情報シンク１０６に通知する。
【００２６】
一方、鍵ＩＤに関連付けられた鍵が利用可能であると情報マネジャー１１０が判定すると（５０８）、情報マネジャー１１０は鍵リポジトリ１１４内の関連付けられた鍵にアクセスして（５１２）、これを情報シンク１０６に提供する（５１４）。情報シンク１０６は、鍵を備えているため、暗号化された情報セットを復号化して、これをユーザに付与する。一実施形態によれば、（１）暗号化された情報セット１２０は情報セットをユーザに付与する必要がある場合のみ復号化され、そして（２）情報シンク１０６は、情報マネジャー１１０から受信された鍵を永久に格納することを防ぐだけに十分な論理を含む。これらを考慮すると、保持方策の弱体化を防止することに役立つ。説明したように、本発明は情報システム内の情報保持を管理する改良されたメカニズムを提供する。
【００２７】
（ハードウェア概略）
図６は、本発明の一実施形態が実現され得るコンピュータシステム６００を示すブロック図である。コンピュータシステム６００は、情報を伝達するバス６０２または他の通信メカニズム、および情報を処理する、バス６０２に結合されたプロセッサ６０４を含む。コンピュータシステム６００はさらに、ランダムアクセスメモリ（ＲＡＭ）または他のダイナミック記憶デバイスなどのメインメモリ６０６も含む。メインメモリ６０６はバス６０２に結合されており、情報およびプロセッサ６０４によって実行される命令を格納する。さらに、メインメモリ６０６をさらに用いて、プロセッサ６０４による命令を実行する間、一時的な変数または他の媒介情報を格納し得る。コンピュータシステム６００はさらに、バス６０２に結合された読み出し専用メモリ（ＲＯＭ）６０８または他の静的記憶装置を含む。これはプロセッサ６０４の静的な情報および命令を格納する。磁気ディスクまたは光ディスクなどの記憶デバイス６１０は情報および命令を格納するために、設けられ、バス６０２に結合されている。
【００２８】
コンピュータシステム６００を、バス６０２を介して、例えば、陰極線管（ＣＲＴ）などのディスプレイ６１２に結合して、情報をコンピュータユーザに表示し得る。英数字および他の鍵を含む入力デバイス６１４をバス６０２に結合して、情報および命令選択をプロセッサ６０４に伝達する。別の種類のユーザ入力デバイスは、マウス、トラックボールまたはカーソル方向キーなどのカーソル制御６１６であり、方向情報および命令選択をプロセッサ６０４に伝達し、そしてディスプレイ６１２上でのカーソル移動を制御する。この入力デバイスは通常、第１の軸（例えば、ｘ）および第２の軸（例えば、ｙ）の２本の軸内に２つの自由度を有し、これにより、デバイスが平面における位置を指定することが可能になる。
【００２９】
一実施形態によれば、本発明の情報マネジャー１１０および保持マネジャー１１６の機能は、メインメモリ６０６内に含まれている１つ以上の命令の１つ以上のシーケンスを実行するプロセッサ６０４に応答して、コンピュータシステム６００によって提供される。このような命令は、記憶デバイス６１０などの別のコンピュータ読み出し可能媒体からメインメモリ６０６内へと読み出され得る。メインメモリ６０６内に含まれている命令のシーケンスを実行すると、プロセッサ６０４が本明細書に記載する処理工程を実行する。別の実施形態において、ハードワイヤードの回路部は、本発明を実現するソフトウェア命令の代わり、またはこれと組み合わせて用いられ得る。したがって、本発明の実施形態は、ハードウェア回路部およびソフトウェアの任意の特定の組み合わせに限定されない。
【００３０】
本明細書において用いる用語「コンピュータ読み出し可能媒体」は、プロセッサ６０４に実行させる命令を提供することを行う任意の媒体を指す。このような媒体は不揮発性媒体、揮発性媒体および伝送媒体を含む（但し、これらに限定されない）多くの形態を取り得る。記憶デバイス６１０などの不揮発性媒体は、例えば、光ディスクまたは磁気ディスクを含む。メインメモリ６０６などの揮発性媒体はダイナミックメモリを含む。バス６０２を含むワイヤを含む伝送媒体は、同軸ケーブル、銅線および光ファイバを含む。伝送媒体はさらに、電波通信、赤外線通信および光データ通信の間に生成される、音波または電磁波の形態も取り得る。
【００３１】
コンピュータ読み出し可能媒体の通常の形態は、例えば、フロッピー（Ｒ）ディスク、フレキシブルディスク、ハードディスク、磁気テープ、または任意の他の磁気媒体、ＣＤ−ＲＯＭ、任意の他の光媒体、穿孔カード、紙テープ、穴のパターン、ＲＡＭ、ＰＲＯＭおよびＥＰＲＯＭを備えた任意の他の物理媒体、ＦＬＡＳＨ−ＥＰＲＯＭ、任意の他のメモリチップまたはカートリッジ、以下に記載する搬送波、またはコンピュータが読み出し得る任意の他の媒体を含む。
【００３２】
種々の形態のコンピュータ読み出し可能媒体が１つ以上の命令の１つ以上のシーケンスをプロセッサ６０４が実行するように搬送することに関与し得る。例えば、命令は最初、リモートコンピュータの磁気ディスク上で搬送され得る。リモートコンピュータは、命令をそのダイナミックメモリ内へとロードして、電話線を介して、モデムを用いて命令を送信し得る。コンピュータシステム６００にローカルなモデムは、電話線上のデータを受信し、そして赤外線トランスミッタを用いて、データを赤外線信号に変換し得る。赤外線検出器は赤外線信号内で搬送されたデータを受信し、そして適切な回路部はデータをバス６０２上に置き得る。バス６０２はデータをメインメモリ６０６へと搬送し、メインメモリ６０６からプロセッサ６０４がこの命令を取り出して実行する。メインメモリ６０６によって受信された命令は、必要に応じて、プロセッサ６０４によって実行される前または後のいずれかに、記憶デバイス６１０上に格納され得る。
【００３３】
コンピュータシステム６００はさらに、バス６０２に結合された通信インターフェース６１８も含む。通信インターフェース６１８はローカルネットワーク６２２に接続されたネットワークリンク６２０に結合して、双方向データ通信を提供する。例えば、通信インターフェース６１８は、統合サービスディジタル網（ＩＳＤＮ）カードであっても、対応する種類の電話線にデータ通信接続を提供するモデムであってもよい。別の例として、通信インターフェース６１８は、ローカルエリアネットワーク（ＬＡＮ）カードであり、データ通信接続を互換性のあるＬＡＮに提供し得る。無線リンクも実現され得る。任意のこのような実現において、通信インターフェース６１８は、種々の種類の情報を表すデジタルデータストリームを搬送する電子信号、電磁信号または光信号を送信および受信する。
【００３４】
ネットワークリンク６２０は通常、データ通信を１つ以上のネットワークを介して他のデータデバイスに提供する。例えば、ネットワークリンク６２０は、ローカルネットワーク６２２を介して、ホストコンピュータ６２４またはインターネットサービスプロバイダ（ＩＳＰ）６２６によって動作するデータ機器への接続を提供し得る。次いで、ＩＳＰ６２６は、現在、通常「インターネット」６２８と呼ばれるワールドワイドパケットデータ通信ネットワークを介してデータ通信サービスを提供する。ローカルネットワーク６２２およびインターネット６２８は両方、電気信号、電磁信号または光信号を用いて、デジタルデータストリームを搬送する。種々のネットワークを通る信号、およびネットワークリンク６２０上から通信インターフェース６１８を介した信号は、コンピュータシステム６００にそしてコンピュータシステム６００からデジタルデータを搬送する。これは情報を移送する搬送波の例示的な形態である。
【００３５】
コンピュータシステム６００は、ネットワーク（単数または複数）、ネットワークリンク６２０および通信インターフェース６１８を介して、メッセージを送信し、そしてプログラムコードを含むデータを受信し得る。インターネットの例において、サーバ６３０は、インターネット６２８、ＩＳＰ６２６、ローカルネットワーク６２２および通信インターフェース６１８を介してアプリケーションプログラムのリクエストされたコードを伝送し得る。受信されたコードは、受信された際にプロセッサ６０４によって実行され得、および／または後に実行されるように記憶デバイス６１０または他の不揮発性記憶装置内に格納され得る。このように、コンピュータシステム６００は搬送波の形態でアプリケーションコードを取得し得る。
【００３６】
この点において、本発明を特定の実施形態に関して説明してきたが、これは本発明を限定するようには解釈されるべきではないことに留意されたい。種々の改変は、本発明の意図から逸脱しない本開示の利益を用いて当業者によって行われ得る。したがって、本発明は本発明を例示するために用いられた特定の実施形態によって限定されるべきではなく、上掲の特許請求の範囲によってのみ限定されるべきである。
【図面の簡単な説明】
【図１】  図１は、本発明が実現され得るシステムのブロック図である。
【図２】  図２は、情報ソースからの情報セットに応答した場合の情報マネジャーの動作を示す流れ図である。
【図３】  図３は、保持マネジャーの動作を示す流れ図である。
【図４】  図４は、情報シンクに情報セットを提供する場合の情報マネジャーの動作の一実施形態を示す流れ図である。
【図５】  図５は、情報シンクに情報セットを提供する場合の情報マネジャーの動作の別の実施形態を示す流れ図である。
【図６】  図６は、本発明の種々の構成要素が実現され得るハードウェアコンピュータシステムのブロック図である。
【図１】
0004740502.tif 000002
【図２】
0004740502.tif 000003
【図３】
0004740502.tif 000004
【図４】
0004740502.tif 000005
【図５】
0004740502.tif 000006
【図６】
0004740502.tif 000007