(57)【要約】  バックアップコンピュータシステム(1)に保存されるデータをソースコンピュータシステム(A,B,C)内に復元するための保護された復元方法が開示される。アクセス制御部(2,2B,6)が設けられ、これは、復元プロセス(Recover)にアクセスするためにユーザグループにアクセス情報を要求するが、バックアップコンピュータシステム(1)におけるデータ(D_A,D_B,D_C)に対するユーザグループのユーザによるアクセスを禁止する。要求したアクセス情報がユーザグループについての保存されたアクセス情報に対応する場合に、復元プロセスの実行がユーザグループのユーザにより指示されることが可能であり、指示された復元プロセスは、バックアップコンピュータシステム(1)からソースコンピュータシステム(A,B,C)へ、選択されたデータ(D_A,D_B,D_C)を復元することを含む。
2015533439.tif 000002
【特許請求の範囲】
【請求項１】
ソースコンピュータシステムに関するバックアップコンピュータシステムに保存されるデータについての保護された復元のための方法であって、アクセスコントローラが設けられ、前記アクセスコントローラは、復元プロセスにアクセスするためにユーザグループのアクセス情報を問い合わせるが、前記データに対する前記ユーザグループのアクセスを禁止し、
問い合わせたアクセス情報が前記ユーザグループについての保存されたアクセス情報に合致する場合に、前記復元プロセスは前記ユーザグループのユーザにより起動されることが可能であり、起動された復元プロセスは、前記バックアップコンピュータシステムから前記ソースコンピュータシステムへ、選択されたデータを再書き込みすることを含む、方法。
【請求項２】
前記復元プロセスは、所定のソースコンピュータシステムに対する前記データの再書き込みを制限する、請求項１に記載の方法。
【請求項３】
前記バックアップコンピュータシステムから前記ソースコンピュータシステムへの前記再書き込みの間に、前記データは、前記ソースコンピュータシステムの所定のメモリアドレスに自動的に書き込まれる、請求項１又は２に記載の方法。
【請求項４】
前記アクセスコントローラは、前記ソースコンピュータシステム内のデータに対する前記ユーザグループのアクセスを禁止する、請求項１〜３のうちの何れか１項に記載の方法。
【請求項５】
前記アクセスコントローラは、前記復元プロセスにアクセスするために、少なくとも１つの別のユーザグループのアクセス情報を追加的に問い合わせ、前記バックアップコンピュータシステム1の選択されたデータに対する前記少なくとも１つの別のユーザグループによるアクセスを許可し、
問い合わせたアクセス情報が前記少なくとも１つの別のユーザグループについての保存されたアクセス情報に合致する場合に、前記復元プロセスは前記少なくとも１つの別のユーザグループのユーザにより起動されることが可能である、
請求項１〜４のうちの何れか１項に記載の方法。
【請求項６】
前記アクセスコントローラは、前記ソースコンピュータシステム内のデータに対する前記別のユーザグループのアクセスを許可する、請求項５に記載の方法。
【請求項７】
前記データは前記アクセスコントローラにより暗号化される、請求項１〜６のうちの何れか１項に記載の方法。
【請求項８】
前記アクセスコントローラは、前記バックアップコンピュータシステムにおいて前記データがまとめられているファイルを、削除又は名称変更することを許可するが、開くことは許可しない、請求項１〜７のうちの何れか１項に記載の方法。
【請求項９】
問い合わせられるアクセス情報は少なくともユーザ名及びパスワードを含む、請求項１〜８のうちの何れか１項に記載の方法。
【請求項１０】
前記アクセスコントローラは少なくともソフトウェアエージェントを有する、請求項１〜９のうちの何れか１項に記載の方法。
【請求項１１】
前記アクセスコントローラは、前記アクセス情報を問い合わせること、及び/又は、前記復元プロセスを引き起こすこと、及び/又は、前記復元プロセスに関する前記データを選択すること、を行うためのグラフィカルユーザインタフェースを提供する、請求項１０に記載の方法。
【請求項１２】
請求項１〜１１のうち何れか１項に記載の方法をコンピュータシステムに実行させるコンピュータプログラム。
【請求項１３】
アクセス制御部を有するコンピュータシステムであって、前記アクセス制御部は、前記コンピュータシステム又は別のコンピュータシステムにおけるデータを復元するための復元プロセスに対するアクセスを制御し、前記アクセス制御部は請求項１〜１１のうち何れか１項に記載の方法を実行するように設計される、コンピュータシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明はバックアップコンピュータシステムに保存されるデータについてのソースコンピュータシステムにおける保護された復元方法に関連する。本発明は、コンピュータシステムで実行される場合に本方法を実行させるコンピュータプログラムを含むコンピュータプログラム及びプログラム関連製品にも関連する。更に、本発明は本方法を実行するように設計されるコンピュータシステムにも関連する。
【背景技術】
【０００２】
システムサポート従事者又は管理者又はアドミニストレータは、コンピュータシステムを管理及び運営するために、ハードウェアにアクセスするための設備あるいはコンピュータシステムのソフトウェアにアクセスする権限を有し、コンピュータシステムの正常な動作あるいはエンドユーザによるコンピュータシステムの正常な利用が保証されるようにする。この場合において問題となり得ることは、システムサポート従事者又はアドミニストレータの広く及ぶアクセス権(extended  access  rights)は、一般に、動作するコンピュータシステムに保存される個人的な秘密データにアクセスできることである。すなわち、アドミニストレータは例えば機密データを読み込む能力を有する。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】欧州特許出願公開第2079023号明細書
【特許文献２】欧州特許出願公開第1975845号明細書
【特許文献３】米国特許出願公開第2008/016127号明細書
【発明の概要】
【発明が解決しようとする課題】
【０００４】
データの機密性又はデータの保護を保守するための従来の方法は、一般に、例えば、コンピュータシステムの個々のユーザグループ間で具体的な規制(従うべきプロセス)やルール(規定内容及び禁止事項)等を契約により決めることにより行われる。しかしながら、これらの方法に付随する問題は、広範に及ぶアクセス権を有するユーザグループ(例えば、ソフトウェアサービスプロバイダの従業者)が、犯罪、脅迫あるいは贈賄等に関わるかもしれないことである。従って、コンピュータシステム内の機密データに対するアクセスを防ぐ技術的手段が必要である。
【０００５】
特に、バックアップコンピュータシステムに保存されるシステムデータ又はユーザデータは、システムサポート従事者又はアドミニストレータにより許可無くアクセスされる状況に委ねられるかもしれない。例えば、システムサポート従事者又はアドミニストレータが、オリジナルの(本来の又は元々の)ソースコンピュータシステムで上記のデータを復元するための復元プロセスを実行する場合に、通常、彼らはこの種のデータにアクセスできる。従って、一側面に関する課題は、システムデータが、システムサポート従事者又はアドミニストレータにより改変又は修正されてしまうことを防止すること、或いは、機密ユーザデータが読み取られてしまうことを防止することである。
【０００６】
この種のデータの暗号化を施す技術的手段は、限られた又は回避可能なアクセス保護を提供するに過ぎず、その理由は、(例えば、バックアップコンピュータシステムのプロセッサコアにおける)処理の際に又はソースコンピュータシステムにおけるバックアップの際に、データは、情報を有するユーザにより解読又は再構築されることが可能であり、或いは、適切な手段により暗号解除された形式で提示されるからである。データの暗号化を施す手段は、そのままではデータの保護強化を保証する観点からは十分でない。
【０００７】
従って、本発明の課題は、技術的な手段により、ソースコンピュータシステムにおいて、バックアップシステムに保存されたデータの保護された復元を可能にし、それらのデータに対する禁止されるべきアクセスを防止することである。
【課題を解決するための手段】
【０００８】
一実施形態による方法は、
ソースコンピュータシステムに関するバックアップコンピュータシステムに保存されるデータについての保護された復元のための方法であって、アクセスコントローラが設けられ、前記アクセスコントローラは、復元プロセスにアクセスするためにユーザグループのアクセス情報を問い合わせるが、前記データに対する前記ユーザグループのアクセスを禁止し、
問い合わせたアクセス情報が前記ユーザグループについての保存されたアクセス情報に合致する場合に、前記復元プロセスは前記ユーザグループのユーザにより起動されることが可能であり、起動された復元プロセスは、前記バックアップコンピュータシステムから前記ソースコンピュータシステムへ、選択されたデータを再書き込みすることを含む、方法である。
【図面の簡単な説明】
【０００９】
【図１】本発明による方法を実行するコンピュータネットワークインフラストラクチャを示す概略図。
【図２】本発明による別の方法を実行するコンピュータネットワークインフラストラクチャを示す概略図。
【発明を実施するための形態】
【００１０】
＜実施形態の概要＞
上記の課題は、この種の第1形態の方法により達成され、アクセスコントローラ(又はアクセス制御部)が設けられ、アクセスコントローラは、復元プロセスにアクセスするためにユーザグループのアクセス情報を問い合わせる(又は要求する)が、(例えば、バックアップコンピュータシステム及び/又はソースコンピュータシステムにおけるデータのような)データ又はデータの中身に対するユーザグループのアクセスを禁止する。問い合わせたアクセス情報がユーザグループについての保存されたアクセス情報に合致(又は対応)する場合に、復元プロセスはユーザグループのユーザにより起動されることが可能であり、起動された復元プロセスは、バックアップコンピュータシステムからソースコンピュータシステムへ、選択されたデータを再書き込みすることを含む。
【００１１】
この種の方法は、バックアップコンピュータシステムからソースコンピュータシステムへデータを復元するための復元プロセスにアクセスすることに限ってユーザグループのユーザに許可する。バックアップコンピュータシステムにおいて及びソースコンピュータシステムにおいて並びに(例えば、アクセスコントローラによる)進行する再書き込み又は復元のプロセスにおける処理の最中においてデータにアクセスすることは、アクセス制御ユニットにより、ユーザグループのユーザに対して禁止される。これは、記憶済みのアクセス情報を問い合わせる(又は確認する)ことでアクセスコントローラによる認証に成功した場合に、ユーザが、復元プロセスを実行できること、引き起こせること又はトリガを提供できることを意味する。バックアップコンピュータシステムからソースコンピュータシステムへの選択されたデータの再書き込みは、上記の方法により実行されることが可能である。アクセスコントローラはセキュリティハードル(又は防護壁)をなし、データにアクセスすることはできないが、ソースコンピュータシステムにおけるデータの復元に限ってトリガを与えることができるようにする。
【００１２】
説明される方法の利点は、システムサポート従事者又はアドミニストレータが、関連する如何なるデータも修正或いは改変できないことはもちろんのこと、そのようなデータを開いて読み込むことさえできない点にある。ただし、システムサポート従事者又はアドミニストレータは、ソースコンピュータシステム(それらのデータが生じた元々のシステム)におけるターゲットのデータの復元のトリガを与える又は復元を実行することにより、それらのシステムサポートタスクを実行するができ、例えば、コンピュータシステムのバックアップがそこに再ロード(reload)され、特定の誤りのある状態が補正されることが可能である。
【００１３】
バックアップコンピュータシステムにおけるデータはシステムの任意のであってよく、例えば、ユーザデータ、コンフィギュレーションデータ、設定データ、ハードディスク画像データ等であってもよい。
【００１４】
「ソースコンピュータシステム」という用語は、コンピュータネットワークを利用してバックアップコンピュータシステムによるバックアッププロセスにより上記のタイプのデータを保存することが可能な任意のタイプのコンピュータシステムを包含する。バックアップコンピュータシステムに保存されるデータは、それらのソースとなるこの種の少なくとも1つのコンピュータシステムから生じる。ソースコンピュータシステム及びバックアップシステムはコンプリートシステム(completed  system)として形成されるようにも想定されている。この場合、バックアップデータは、バックアップメモリのバックアッププロセスによりこのコンプリートシステム内に保存され、後にそこから復元されることが可能である。
【００１５】
本願の文脈における「データに対するアクセス」という言い回しは、データ又はデータの中身(データコンテンツ)に対する任意の読み込みアクセス及び/又は書き込みアクセスを包含する。「データ」という用語は本願では情報(暗号化されていない形式におけるデータそのもの)として理解されることが可能である。ソース及び/又はバックアップコンピュータシステムに対する書き込みアクセス(書き込み権限)は、例えば、バックアップコンピュータシステムからソースコンピュータシステムへデータを再書き込みするためにアクセスコントローラにより許可されてもよい。
【００１６】
有利なことに、前記復元プロセスは、所定のソースコンピュータシステムに対する前記データの再書き込みを制限してもよい。これは、データが、例えばそのデータの実際のソースコンピュータシステムには相当しない何らかの所与のコンピュータシステムには再書き込みできないという利点を有する。このように、システムサポート従事者又はアドミニストレータは、これらのデータに対する権限のないコンピュータシステムにデータをロードしないように防止される。特に、システムサポート従事者又はアドミニストレータが、第1ユーザの機密データを、バックアップコンピュータシステムから、第1ユーザの機密データにアクセスする権限のない第2ユーザのコンピュータシステムに転送するような状況は防止される。
【００１７】
有利なことに、起動される復元プロセスは、データが実際に生じた(発生元の)ソースコンピュータシステムにデータを再書き込みするトリガしか与えない。再書き込みされるデータは、例えば、ソースコンピュータシステムにおける特定の情報(例えば、IPアドレス、MACアドレス、パス情報など)を含み、その情報は所定のソースコンピュータシステムを一意に特徴付ける。しかしながら、データ又はファイル(それらの属性及びメタデータを含む)の保管(又はバックアップ又はアーカイブ)又は再書き込み(又は復元)を行うために、いわゆるハードリンク(Iノード)が設定され割り振られることが可能である。
【００１８】
説明される方法は、例えば、システムソフトウェアとして実現される又は論理シーケンシャルプログラムのようにマイクロコントローラモジュールとして実現される又はそれらの組み合わせとして実現されるコンピュータシステム内のアクセスコントローラにより実行されてもよい。アクセスコントローラは、(ソース及びバックアップコンピュータシステムが組み合わせられた)コンプリートシステムのアクセスコントロールユニットとして組み込まれることが可能である。しかしながら、コンピュータネットワークインフラストラクチャの複数のコンピュータシステムに形成される少なくとも１つのソフトウェアエージェント又は複数のサブプログラム又はソフトウェアエージェント又はマイクロコントローラを有するアクセスコントローラも想定されており、バックアップコンピュータシステムとなる何れかのコンピュータシステムから、ソースコンピュータシステムとなる他のコンピュータシステムへのデータの復元を可能にしてもよい。アクセスコントローラは、バックアップコンピュータシステム及びソースコンピュータシステムとともにこの目的で特別に形成されるコンピュータシステム上で形成されることも可能である。アクセスコントローラが、データを再書き込みするためにソースコンピュータシステムに対する書き込みアクセスをユーザに許可するが、ソースコンピュータシステム及びバックアップコンピュータシステムの双方におけるデータに対する読み込み及び/又は書き込みのアクセスを禁止することも、想定されている。
【００１９】
好ましくは、前記アクセスコントローラは、前記アクセス情報を問い合わせること、及び/又は、前記復元プロセスを引き起こすこと、及び/又は、前記復元プロセスに関する前記データを選択すること、を行うためのグラフィカルユーザインタフェースを提供する。
【００２０】
説明される方法に関する1つの可能な応用例は、有利なことに、いわゆる「シールドインフラストラクチャ(sealed  infrastructure)」と言及される安全な又は保護されるコンピュータネットワーク内で実行される。バックアップコンピュータシステム(代替的又は追加的に、ソースコンピュータシステム)は、この種のインフラストラクチャの中に概してカプセル化され、この種のコンピュータシステムにおける特定の又は全てのデータ又はデータ内容に対するアクセス(すなわち、コンピュータシステムに対する論理アクセス)、及び/又は、コンピュータシステムのハードウェアに対する機械的アクセス(すなわち、物理的アクセス)は禁止される、或いは、限られた範囲内でしか可能でない。
【００２１】
この種のシステムは、ネットワークインフラストラクチャの中でシステムから外向き一方方向に、所定のデータ及び情報のみが転送可能であるように形成されることが可能である。特に、データに対する権限なきアクセスの危険をこれまでは伴っていたバックアップコンピュータシステム内にデータを保持する技術は、本願で説明される方法により改善されることが可能であり、その理由は、バックアップコンピュータシステムにおける所定の情報に対するアクセスは、限られた範囲内でしか許容されず、或いは、ユーザグループに属するユーザには禁止されるからである。
【００２２】
前記バックアップコンピュータシステムから前記ソースコンピュータシステムへの前記再書き込みの間に、前記データは、好ましくは、前記ソースコンピュータシステムの所定のメモリアドレス又は所定のメモリロケーション(これは、特定のアドレス空間であってもよい)に自動的に書き込まれる。これは、復元プロセスが適切に実行された後に、ソースコンピュータシステムにおける所定のロケーションに(例えば、元のロケーションに再び)元のデータが存在する、という利点をソースコンピュータシステムのユーザにもたらす。従って、ソースコンピュータシステムのユーザは、データを速やかに特定することができる。多くの適合性の困難性なしに、ソースコンピュータシステムのユーザが作業を継続できるような簡易な形態で、復元されるファイルの全てのリンク及びパスを再構築することも理論上考えられる。
【００２３】
有利なことに、前記アクセスコントローラは、ソースコンピュータシステムにおけるデータ又はデータ内容のためにバックアップコンピュータシステムで復元プロセスを起動することが可能なユーザが属するユーザグループによるアクセスを禁止し、或いは、いわば前記ソースコンピュータシステムに対するアクセスを禁止する(ソースコンピュータシステムにおけるデータを書き直すために必要に応じて書き込みアクセスに応じてもよい)。これは、一般に、バックアップコンピュータシステムからソースコンピュータシステムへのデータの復元を引き起こすことが可能なユーザグループのユーザは、ソースコンピュータシステムに対する制限のないアクセス権を同時に有するユーザのユーザグループには割り当てられないことを意味する。例えば、バックアップコンピュータシステムで復元プロセスを引き起こすことが可能なユーザグループは、システムサポート従事者又はアドミニストレータにより形成されることが可能である。しかしながら、彼らはソースコンピュータシステムのデータ又はデータコンテンツにアクセスできないように禁止される。ソースコンピュータシステムのエンドユーザによるユーザグループのみが、ソースコンピュータシステムのデータ又はデータコンテンツに対する制限のないアクセス権を有する。
【００２４】
しかしながら、バックアップコンピュータシステムにおいて復元プロセスを起動できるがバックアップコンピュータシステムのデータにはアクセスできないユーザグループ(第1ユーザグループ)と共に、バックアップコンピュータシステムにおいて復元プロセスを同様に起動できるが、第1ユーザグループとは異なり、バックアップコンピュータシステムにおける選択されたデータに対するアクセス権を有する別のユーザグループ(第2ユーザグループ)が存在してよいことも想定されている。この場合、有利なことに、前記アクセスコントローラは、前記復元プロセスにアクセスするために、少なくとも１つの別のユーザグループのアクセス情報を追加的に問い合わせ、前記バックアップコンピュータシステム1の選択されたデータに対する前記少なくとも１つの別のユーザグループによるアクセスを許可することが可能である。上述したように、問い合わせたアクセス情報が前記少なくとも１つの別のユーザグループについての保存されたアクセス情報に合致する場合に、前記復元プロセスは前記少なくとも１つの別のユーザグループのユーザにより起動されることが可能である。上述した第1ユーザグループの場合と同様に、ユーザが適切に認証される場合又はバックアップコンピュータシステムにおいて自ら認証される場合に、後者の(第2ユーザグループの)ユーザにより復元プロセスが引き起こされることが可能である。例えば、ソースコンピュータシステムのエンドユーザが、バックアップコンピュータシステムのデータに対するアクセス権を個人的に有すること、すなわち、それらのデータを読み込むことが可能であると同時に、データ復元を実行するためにバックアップコンピュータシステムから各自のソースコンピュータシステムへそれらを書き込むことも考えられる。
【００２５】
アクセスコントローラは、有利なことに、データがバックアップコンピュータシステムにおいてまとめられている又はバックアップコンピュータシステムのデータを表現するファイルが、削除又は名称変更(あるいは改名)されることを許容するが、(ファイルを)開くことは許容されない。この形態は、特に、バックアップコンピュータシステムの復元プロセスを専ら引き起こすことが可能であり、データに対するアクセス権を自らは有しない第1ユーザグループに適用される。このユーザグループに関し、別の形態では、ソースコンピュータシステムにおけるファイルを名称変更又は削除することが許容されてもよい。上記の何れの形態も、もはや所有する必要がない又は復元可能であると認識されるデータ或いは古くなってしまった情報(outdated  information)を表現するデータは、例えば、システムサポート従事者又はアドミニストレータにより削除されることが可能である、という利点を有する。バックアップコンピュータシステムからソースコンピュータシステムへの再書き込みの際に、例えば、ファイルが上書きされないように、ファイルはソースコンピュータシステムへのデータにおいて名称変更されることが可能である。これは再書き込みの柔軟性を増進する。ファイルを削除又は改名する手段によるデータの処理は可能になるが、このことは、強化されるデータ保護に関して不利な影響を招くことにはならず、その理由は、保護される情報にはそれでもアクセスできないからである。
【００２６】
好ましくは、データはアクセスコントローラにより暗号化される。
【００２７】
一般に、ファイル名を、特に第1ユーザグループに対して暗号化された形式でしか表示しないこと、或いは、ハッシュ値に変換された形式でしか表示しないことも考えられる。例えば、これは、所定のファイルパケットが復元される場合に、そのファイル名が既に個人情報又は機密情報を含んでいるような場合に相応しい。ただし、これは、ファイル名に基づいて選択されることを要する特定のファイルを必要とせずに、ファイルパケットの復元が引き起こされる場合に限って妥当である。例えば、エンドユーザが、彼の個人的なファイル又は全てのディレクトリを所定のハッシュアルゴリズム(例えば、MD5)でハッシュ値に変換し、その形態でそれらを、復元プロセスを引き起こすことしかできないユーザ(例えば、アドミニストレータ)に転送することが考えられる。そのユーザ(転送を受けたユーザ)は、ファイルのパス及びファイル名の実際の組み合わせではなく、ハッシュ値しか見ることができない。これらのファイル及びディレクトリの選択及び必要ならば復元は、ファイルパス又はファイル名の中に見える(含まれる)秘密情報によらず、ハッシュ値を用いてアクセス制御ユニットにより実行されることが可能である。代替的又は追加的に、「4つ眼原理(four-eyes  principle)」を実行することも想定されており、その場合、関連するユーザによって事前に解除(release)又は確認された場合に限って、ファイル名についての処理がアドミニストレータにより実行されることが可能である。
【００２８】
好ましくは、問い合わせられるアクセス情報は少なくともユーザ名及びパスワードを有する。
【００２９】
別の形態において、本発明はコンピュータプログラムプロダクト及びコンピュータシステムにより実現されてもよい。コンピュータプログラムプロダクトは、コンピュータシステムにおいて動作する場合に、この種の説明された方法を実行するコンピュータプログラムを包含する。
【００３０】
コンピュータシステムはアクセス制御ユニットを有し、アクセス制御ユニットはコンピュータシステム又は別のコンピュータシステムにおけるデータを復元するための復元プロセスに対するアクセスを制御し、アクセス制御ユニットは、この種の説明される方法を実行するように設計される。
【００３１】
別の有利な設計例は少なくとも出願時の従属請求項及び添付図面とともになされる以下の詳細な説明により開示される。本発明は複数の図面を参照しながら以下において詳細に説明される。
【００３２】
＜図面＞
図面に関し、図1は本発明による方法を実行するコンピュータネットワークインフラストラクチャの概略的な表現を示し、及び
図2は本発明による別の方法を実行するコンピュータネットワークインフラストラクチャの概略的な表現を示す。
【００３３】
＜実施形態の詳細な説明＞
図1は複数のコンピュータシステムを有するコンピュータネットワークインフラストラクチャを概略的に示す。特に、図1は、バックアップコンピュータシステム1と、アドミニストレータコンピュータシステム4と、複数のソースコンピュータシステムA,B,Cとを示す。この形態は単なる一例に過ぎず、コンピュータネットワークインフラストラクチャは、更なるコンピュータシステム(特に、更なるソースコンピュータシステム)を含んでもよいし、或いは、異なる形態を有してもよい。
【００３４】
バックアップコンピュータシステム1は、インフラストラクチャのセントラルシステム(又は中央システム)を形成する。バックアップコンピュータシステム1は例えばサービスプロバイダのデータサーバを有し、アクセス制御ユニット2はバックアップコンピュータシステム1において構築され、そのタスク等については後述する。
【００３５】
更に、バックアップコンピュータシステム1はバックアップメモリ31を有し、バックアップメモリ31の中に、個々のソースコンピュータA,B,CのバックアップデータD_A,D_B,D_Cが格納(又は保存)される。バックアップデータD_A,D_B,D_Cは、例えばバックアッププロセスの間に、個々のソースコンピュータシステムA,B,Cからバックアップコンピュータシステム1へ転送され、アクセス制御ユニット2によりバックアップメモリ31に保存されている。しかしながら、簡明化のため、そのプロセスは図1では示されていない。図1では、バックアップデータD_A,D_B,D_Cは、少なくとも1つのソースコンピュータシステムA,B,Cにおけるそれらのデータの復元のために、何らかの形式でバックアップメモリ31に保持されることが、仮定されている。
【００３６】
バックアップコンピュータシステム1は、図1に示す形態に従って、保護されたシステム又は機密システム又はカプセル化システム(encapsulated  system)として設計される(図1では、鍵のシンボルで示されている)。バックアップコンピュータシステム1は、例えば、いわゆる「シールドインフラストラクチャ(sealed  infrastructure)」(又は閉じたインフラストラクチャ)の一部を形成してもよい。これは、コンプリートシステムにおいて(例えば、アドミニストレータコンピュータシステム4、又は、何れかのソースコンピュータシステムA,B,Cによる)外部からプロテクトバックアップコンピュータシステム1へのユーザアクセス、特に、バックアップメモリ31のバックアップデータD_A,D_B,D_Cへのユーザアクセスは不可能であることを意味する。従って、例えば、外部からバックアップメモリ31へのアクセスは概して禁止される。バックアップコンピュータシステム1のアクセス制御ユニット2の機能に対する限られたアクセスしか許容されない。
【００３７】
代替的又は追加的に、専らアクセス制御ユニット2が、機密システムの一部を形成することも可能である(その場合、アクセス制御ユニット2には鍵のシンボルが示されるであろう)。バックアップメモリ31は、機密システムの外部に構築されてもよく、特にバックアップコンピュータシステム1の外部に構築されてもよい。その場合、有利なことに、全てのバックアップデータD_A,D_B,D_Cはバックアップメモリ31において暗号化形式で存在し、
この場合、バックアップメモリ31に対するアクセス(例えば、復元、複製などのためのアクセス)とは異なり、バックアップデータD_A,D_B,D_C(すなわち、保護されるべき情報)に対するアクセスは不可能となる。暗号化はアクセス制御ユニット2により達成されることが可能である。
【００３８】
ソースコンピュータシステムA,B,Cのうちの何れかに対するバックアップメモリ31のバックアップデータD_A,D_B,D_Cを復元するプロセスは、図1の形態に従って次のように実行されることが可能である。先ず、アドミニストレータコンピュータシステム4の認証されたユーザに関する認証は、アドミニストレータコンピュータシステム4のアドミニストレータツール6を介して、バックアップコンピュータシステム1のアクセス制御ユニット2において実行されることが可能である。これを行うため、例えば、ユーザは、アドミニストレータコンピュータシステム4のアドミニストレータツール6を通じて、ユーザ名及び/又はユーザパスワードのような概して予め決定されるアクセス情報を入力する。アドミニストレータツール6は如何なる形態のマンマシンインタフェースであってもよい。
【００３９】
アクセス情報は、通信インタフェース5を介してアクセス制御ユニット2に送信され、アクセス制御ユニット2において、予め保存されているアクセス情報と比較され、入力されたアクセス情報がアクセス制御ユニット2に保存されたアクセス情報に合致する場合には、アドミニストレータコンピュータシステム4のユーザに関する正の承認が許可される(すなわち、適切に認証される)。そうでない場合、アクセス制御ユニット2は、バックアップコンピュータシステム1のコンポーネントに対するアドミニストレータコンピュータシステム4による如何なるアクセスも拒否する。
【００４０】
必要であれば、アクセス制御ユニット2は、アドミニストレータコンピュータシステム4のアドミニストレータツール6に情報又はコマンドを送信することも可能である(このため、バックアップコンピュータシステム1とアドミニストレータコンピュータシステム4との間に双方向の接続が図示されている)。従って、例えば、ユーザの認証に失敗するイベントが発生した場合に、エラーメッセージ又は警告がアドミニストレータコンピュータシステム4に出力されることが可能である。
【００４１】
アドミニストレータコンピュータシステム4との通信に関し、アクセス制御ユニット2及び/又はアドミニストレータツール6は、例えば、グラフィカルユーザインタフェースを提供し、そのグラフィカルユーザインタフェースを通じて、アドミニストレータコンピュータシステム4のユーザは、入力、設定又は問い合わせ等を行うことが可能である。
【００４２】
アクセス制御ユニット2におけるアドミニストレータコンピュータシステム4の認証が成功したことに続いて、アドミニストレータコンピュータシステム4のユーザにより(すなわち、システムサポート従事者又はアドミニストレータにより)、復元プロセスを引き起こすコマンド(Recover)が発行されることが可能である。図1は、バックアップメモリ31から個々のソースコンピュータシステムA,B,CへのバックアップデータD_A,D_B,D_Cの復元のための復元プロセス(Recover_ABC)を引き起こすコマンドの例を示す。これを行うため、コマンドRecover_ABCがバックアップコンピュータシステム1のアクセス制御ユニット2に送信され、アクセス制御ユニット2において肯定的に認証される場合には、復元プロセスが起動される。
【００４３】
復元プロセスは、アクセス制御ユニット2がバックアップコンピュータシステム1のバックアップメモリ31にアクセスすることを引き起こし、バックアップデータD_A,D_B,D_Cが、バックアップメモリ31からアクセス制御ユニット2へ転送される。バックアップデータD_A,D_B,D_Cは、例えば、バックアップメモリ31において暗号化形式で存在してもよく、アクセス制御ユニット2における更なる処理のために解読(又はデコード)されてもよい。しかしながら、解読されたバックアップデータD_A,D_B,D_Cに対するアクセスはアクセス制御ユニット2により禁止される。
【００４４】
その後に、バックアップデータD_A,D_B,D_Cは、インタフェース5を介して、コンピュータネットワークインフラストラクチャにおける個々のソースコンピュータシステムA,B,Cに送信される。有利なことに、これは、アクセス制御ユニット2における更なる暗号化が行われる。より詳細に言えば、データD_AはソースコンピュータシステムAに送信され、データD_BはソースコンピュータシステムBに送信され、データD_CはソースコンピュータシステムCに送信される。これは、各々のソースコンピュータシステムが、そのシステムについて予め決定されるバックアップデータを取得することを意味する。同様に、個々のコンピュータシステムは、有利なことに、カプセル化システム又は機密システムである。システムA,B,Cは、システム1とともに或いは代替的に専らアクセス制御ユニット2とともに、保護されるコンプリートシステム(protected  complete  system)のサブシステムを形成する、或いは、自律的なカプセル化システム(autonomous  encapsulated  system)を形成する、と考えられる。認証されていないユーザにとって、個々のシステムA,B,CのデータD_A,D_B,D_Cにアクセスすることは禁止される(特に、暗号化が解除された形式のデータにアクセスすることは禁止される)。システムA,B,CにおいてバックアップデータD_A,D_B,D_Cの復元を可能にするために、システムA,B,Cに対する書き込みアクセスのみが許容可能である。
【００４５】
バックアップデータD_A,D_B,D_Cは、宛先に関する保存される情報(例えば、IP又はMACアドレス、パス情報、Iノード(I-node)等)を含んでいてもよく、データはその情報に従って宛先へ送信される。この情報はアクセスコントローラ2において解釈され、バックアップデータD_A,D_B,D_Cはそれに応じて分配される。
【００４６】
図1に示される形態に対する代替例として、バックアップメモリ31から個々のソースコンピュータシステムA,B,Cへデータを書き直すために、バックアップコンピュータシステム1に追加的な制御コンポーネントを設けることが考えられる。「コンポーネント」は「要素」、「モジュール」又は「ユニット」等と言及されてもよい。この種の追加的なコンポーネントは、バックアップデータD_A,D_B,D_Cがアクセス制御ユニット2自体へ送信されるのではなく、その追加的なコンポーネントへ送信されるという利点を有する。その結果、アドミニストレータコンピュータシステム4のユーザが、何らかの操作によってバックアップデータD_A,D_B,D_Cに直接的にアクセスする機会を得られないようにできる。
【００４７】
個々のソースコンピュータシステムA,B,Cにおいて、個々の書き直されたデータD_A,D_B,D_Cは対応するメモリ3A,3B,3Cに保存されることが可能である。このように、例えば、システムデータ、コンフィギュレーションデータ又はユーザデータを、バックアップコンピュータシステム1からオリジナルのソースコンピュータシステムA,B,Cに再書き込みすることが可能である。図1に示される形態に対する代替例として、システムA,B,Cの外部にメモリ3A,3B,3Cをそれぞれ形成することも考えられる。この場合、データD_A,D_B,D_Cは専ら暗号化された形式でメモリ3A,3B,3Cに存在する(すなわち、機密情報に対する権限なきアクセスに対して保護される)。関連する暗号化は、アクセス制御ユニット2により或いはシステムA,B,C内のコンポーネントにより実行されることが可能である。
【００４８】
復元プロセスが、それぞれのデータをオリジナルのソースコンピュータシステムに排他的に(exclusively)再書き込みするように制限することは、有利である。これは、例えば、バックアップデータD_Aはソースコンピュータシステムに排他的に再書き込み可能であることを意味する。従って、例えば、相違する命令(又は一致しない命令)は、アクセス制御ユニット2により中止される又は完全に禁止されるかもしれない。このように、特定のソースコンピュータのユーザに限ってアクセス可能であるように意図される機密データは、異なるソースコンピュータシステムに転送されてしまうことから防止される。
【００４９】
図1の形態における重要な点(又は決定要因)は、アドミニストレータコンピュータシステム4のユーザは、アクセス制御ユニット2においてユーザ自身が認証された場合に限って、復元プロセスRecover_ABCを引き起こすことが可能な点である。ただし、バックアップデータD_A,D_B,D_Cに対するアクセスは、アドミニストレータコンピュータシステム4に対して禁止される。更に、アドミニストレータコンピュータシステム4を介してソースコンピュータシステムA,B,Cにアクセスするための手段は存在しない。
【００５０】
このように、システムサポート従事者又はアドミニストレータのみが、必要に応じてバックアップコンピュータシステム1にコマンドを発行する手段を有し、これにより、バックアップコンピュータシステム1からオリジナルのソースコンピュータシステムA,B,CにバックアップデータD_A,D_B,D_Cを再書き込みするための自動ルーチンが起動する。
【００５１】
図1に示す形態によれば、バックアップコンピュータシステム1のバックアップメモリ31におけるバックアップデータD_A,D_B,D_Cに対するアクセスは、何れのコンピュータシステムA,B,C,4に対しても許可されない。しかしながら、復元プロセスRecover_ABCが起動されると、個々のソースコンピュータシステムA,B,Cは対応するバックアップデータD_A,D_B,D_Cを受信する。
【００５２】
図2には変形例による状況が示されている。ここで、コンピュータネットワークインフラストラクチャの個々のコンポーネントは本質的には図1におけるものと同様に形成されるが(ただし、図1に関連して言及された代替的な形態も当然に可能である)、例えば、ソースコンピュータシステムBもバックアップコンピュータシステム1のアクセス制御ユニット2にアクセスする手段を有する等の点が相違する。
【００５３】
このため、ソースコンピュータシステムBはアクセス制御ユニット2Bを有し、アクセス制御ユニット2Bはバックアップコンピュータシステム1のアクセス制御ユニット2と通信してやり取りを行うことが可能である。このようにして、ソースコンピュータシステムBのユーザは、ソースコンピュータシステムBのアクセス制御ユニット2Bにより、バックアップコンピュータシステム1のアクセス制御ユニット2に関して自ら認証することが可能である。関連するプロセスは図1に関連して既に説明されたように実行されることが可能である。バックアップコンピュータシステム1に関してソースコンピュータシステムBのユーザの認証に成功した場合、例えば、バックアップデータD_Bという目的の復元のためにコマンドRecover_Bが発動されてもよい。このコマンドはアクセス制御ユニット2に送信され、図1に関して説明した手順と同様に、アクセス制御ユニット2において復元プロセスが起動される。復元プロセスはバックアップメモリ31からバックアップデータD_Bをロードする結果をもたらす。そして、図2Bに示されるように、バックアップデータD_Bは通信インタフェース5によりソースコンピュータシステムBに送信され、その後に例えばメモリ3Bに保存されることが可能である。
【００５４】
システムBのユーザは、システムB及びシステムBのデータD_Bに対して制限のないアクセス権を有するエンドユーザであってもよい。しかしながら、ユーザは、例えば、システムBに対するアクセス権(特に、復元プロセスRecover_Bのためのアクセス制御ユニット2Bという制限された機能部に対するアクセス権)を有するが、データD_Bにアクセスすることは禁止されるアドミニストレータであってよいことも想定されている。
【００５５】
ソースコンピュータシステムBのエンドユーザが、バックアップコンピュータシステム1のバックアップメモリ31におけるバックアップデータD_Bに対する直接的なアクセス権を同時に有することも想定されている。これは、ソースコンピュータシステムBにおけるアクセス権に応じてバックアップデータD_Bに対するアクセス権を設定することにより、実現することが可能である。この代替例は、バックアップコンピュータシステム1におけるユーザのバックアップデータD_Bを直接的に編集、鑑賞、視聴、選択などを行うソースコンピュータシステムBのユーザに利点をもたらすことが可能である。
【００５６】
しかしながら、バックアップコンピュータシステム1のバックアップメモリ31に対するアクセスは、カプセル化バックアップコンピュータシステム1のコンフィギュレーション(又は設定)及びセキュリティレベルに依存する。バックアップコンピュータシステム1に対するこの種のアクセスが禁止される又は単に不可能である場合に、最高のセキュリティレベルが自明に存在する。そして、ソースコンピュータシステムBのユーザは、対応するバックアップデータD_BがソースコンピュータシステムBに書き直されるように、アクセス制御ユニット2における復元プロセスRecover_Bを引き起こすことしかできない。
【００５７】
図1における手順と同様に、アドミニストレータコンピュータシステム4のアドミニストレータは、上記の手順と平行して、バックアップコンピュータシステム1のバックアップメモリ31からソースコンピュータシステムAへのバックアップデータD_Aの復元のための別のコマンドRecover_Aを発動することが可能である。この手順は、図1に関して既に説明した手順と同様である。関連する復元プロセスRecover_Aは、バックアップデータD_Aをロードすること及びこれらのデータをソースコンピュータシステムAに送信することを可能にし、データD_Aは例えばメモリ3Aに保存されていてもよい。なお、図2のこの形態で重要な点は、アドミニストレータコンピュータシステム4のユーザグループが、バックアップコンピュータシステム1のバックアップメモリ31におけるバックアップデータD_A,D_B,D_Cに対するアクセス権を有していない点である。
【００５８】
ソースコンピュータシステムCは図2に示す状況では直接的な関わりを持っていない。図2に示す実施形態において、アクセス制御ユニット2とともに別のコンポーネントを設け、その別のコンポーネントにより、バックアップデータD_A,D_B,D_Cが復元のためにバックアップメモリ31からロードされることも可能である。
【００５９】
アクセス制御ユニット2との通信は、例えば、(一例としてブラウザに基づく)グラフィカルユーザインタフェースにより、説明される全ての実施形態において実現されることが可能である。これは、復元プロセスRecoverを発動することを希望するユーザが、例えば、(中身ではなく)特定のフォルダを表示させ、それらのデータを閲覧可能にすることなく復元プロセスの対象のデータを選択できる、という利点を有する。認証についても必要に応じて、アクセス制御ユニット2に関する追加的な設定オプションがグラフィカルユーザインタフェースにより容易に実行可能である。
【００６０】
アクセス制御ユニット2は、例えば、バックアップコンピュータシステム1の演算要素において動作するコンピュータプログラムとして設計されてもよい。同じことが、アドミニストレータコンピュータシステム4のアドミニストレータツール6やアクセス制御ユニット2Bに適用されてもよい。
【００６１】
更に、バックアップデータD_A,D_B,D_Cの如何なる転送も全て暗号化形態の設計により実行され、バックアップコンピュータシステム1以外又はシステムA,B,C以外からのバックアップデータD_A,D_B,D_Cに対する権限なきアクセスに対するアクセス保護を強化してもよい。当業者は想定可能な全ての暗号化技術又は符号化アルゴリズムを利用することが可能である。
【００６２】
説明された実施形態は単に具体例として選択されているに過ぎず、本発明による方法、コンピュータプログラム、コンピュータプログラムプロダクト及びコンピュータシステム等により同様に対象とされる様々な代替的な設計例も本願で想定されている。
【符号の説明】
【００６３】
１：バックアップコンピュータシステム
２：アクセス制御ユニット
２Ｂ：ソースコンピュータシステムのアクセス制御ユニット
３１：バックアップメモリ
３Ａ，３Ｂ，３Ｃ：ソースコンピュータシステムのメモリ
４：アドミニストレータコンピュータシステム
５：通信インタフェース
６：アドミニストレータツール
Ａ，Ｂ，Ｃ：ソースコンピュータシステム
Ｄ＿Ａ，Ｄ＿Ｂ，Ｄ＿Ｃ：ソースコンピュータシステムのバックアップデータ
Ｒｅｃｏｖｅｒ：復元プロセスを引き起こすコマンド
【図１】
2015533439.tif 000003
【図２】
2015533439.tif 000004
【手続補正書】
【提出日】平成27年6月26日(2015.6.26)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
ソースコンピュータシステムに関するバックアップコンピュータシステムに保存されるデータについての保護された復元のための方法であって、アクセスコントローラが設けられ、前記アクセスコントローラは、復元プロセスにアクセスするためにユーザグループのアクセス情報を問い合わせるが、前記バックアップコンピュータシステムに保存されるデータに対する前記ユーザグループのアクセスを禁止し、前記ソースコンピュータシステムに対する前記ユーザグループによる一般的なアクセスを禁止し、前記ソースコンピュータシステムにデータを再書き込みするために必要に応じて書き込みアクセスを行い、
問い合わせたアクセス情報が前記ユーザグループについての保存されたアクセス情報に合致する場合に、前記復元プロセスは前記ユーザグループのユーザにより起動されることが可能であり、起動された復元プロセスは、前記バックアップコンピュータシステムから前記ソースコンピュータシステムへ、選択されたデータを再書き込みすることを含む、方法。
【請求項２】
前記復元プロセスは、所定のソースコンピュータシステムに対する前記データの再書き込みを制限する、請求項１に記載の方法。
【請求項３】
前記バックアップコンピュータシステムから前記ソースコンピュータシステムへの前記再書き込みの間に、前記データは、前記ソースコンピュータシステムの所定のメモリアドレスに自動的に書き込まれる、請求項１に記載の方法。
【請求項４】
前記バックアップコンピュータシステムから前記ソースコンピュータシステムへの前記再書き込みの間に、前記データは、前記ソースコンピュータシステムの所定のメモリアドレスに自動的に書き込まれる、請求項２に記載の方法。
【請求項５】
前記アクセスコントローラは、前記復元プロセスにアクセスするために、少なくとも１つの別のユーザグループのアクセス情報を追加的に問い合わせ、前記バックアップコンピュータシステム1の選択されたデータに対する前記少なくとも１つの別のユーザグループによるアクセスを許可し、
問い合わせたアクセス情報が前記少なくとも１つの別のユーザグループについての保存されたアクセス情報に合致する場合に、前記復元プロセスは前記少なくとも１つの別のユーザグループのユーザにより起動されることが可能である、
請求項１に記載の方法。
【請求項６】
前記アクセスコントローラは、前記ソースコンピュータシステム内のデータに対する前記別のユーザグループのアクセスを許可する、請求項５に記載の方法。
【請求項７】
前記アクセスコントローラは、前記バックアップコンピュータシステムにおいて前記データがまとめられているファイルを、削除又は名称変更することを許可するが、開くことは許可しない、請求項１に記載の方法。
【請求項８】
請求項１〜７のうち何れか１項に記載の方法をコンピュータシステムに実行させるコンピュータプログラム。
【請求項９】
アクセス制御部を有するコンピュータシステムであって、前記アクセス制御部は、前記コンピュータシステム又は別のコンピュータシステムにおけるデータを復元するための復元プロセスに対するアクセスを制御し、前記アクセス制御部は請求項１〜７のうち何れか１項に記載の方法を実行するように設計される、コンピュータシステム。
【国際調査報告】
2015533439.tif 000005
2015533439.tif 000006
2015533439.tif 000007
2015533439.tif 000008
2015533439.tif 000009