(57)【要約】【課題】  管理対象となるコンピュータでデータ消去処理が行われたか否かを容易かつ確実に管理するためのデータ消去管理方法を提供する。【解決手段】  フロッピーディスク、ＣＤ−ＲＯＭ等の外部記憶媒体３に格納された消去実行プログラム３０Ｂを管理対象端末２において実行させ、当該管理対象端末２内のハードディスク２１のデータの消去を行った後、管理用端末１で読込み可能な消去証明情報を前記消去実行プログラム３０Ｂにより前記管理対象端末２から発行し、前記消去証明情報を前記管理用端末１の前記管理プログラム１０で確認することにより、データ消去の管理を行うものである。【選択図】      図１
2007183992.tif 000002
【特許請求の範囲】
【請求項１】
管理対象となる端末の記憶装置内のデータの消去処理を実施させ、その実施結果を管理するデータ消去管理方法であって、
データ消去処理の完了した管理対象端末から、管理用端末で読み込み可能な消去証明情報を発行させる第１のステップと、
発行された前記消去証明情報の正当性を管理用端末で判定し、その判定結果に従い管理対象端末の消去処理結果を管理する第２のステップと
を有することを特徴とするデータ消去管理方法。
【請求項２】
前記管理対象端末において生成された認証データを含む消去開始情報を、前記データ消去処理の開始前に、前記管理対象端末から前記管理用端末に送信させるステップと、
前記第１のステップにおいて、前記認証データを生成する基データとしての第１のランダムデータを前記消去証明情報に含めて発行するステップとを有し、
前記第２のステップにおいて、前記第１のランダムデータに基づいて生成された認証データと、前記管理対象端末から送信された認証データとが一致するか否かを判定し、一致した場合に、前記消去証明情報が正当なものであると認定することを特徴とする請求項１に記載のデータ消去管理方法。
【請求項３】
前記管理用端末からデータ消去処理を行う管理対象端末に対して、前記消去開始情報の受信前に、前記管理用端末において生成される第２のランダムデータを含む消去予約情報を送信するステップと、
前記消去予約情報を受信した管理対象端末において、前記消去開始情報の送信前に、前記第1のランダムデータと前記第２のランダムデータとにより、前記認証データを生成するステップと
を有することを特徴とする請求項２に記載のデータ消去管理方法。
【請求項４】
前記認証データは、前記第２のランダムデータを、前記第１のランダムデータを元に暗号化したものであることを特徴とする請求項３に記載のデータ消去管理方法。
【請求項５】
前記データ消去処理のされた管理対象端末において、少なくとも前記第２のステップ前に、前記記憶装置内にデータ消去済み情報を書き込む後処理を行うことを特徴とする請求項１〜請求項４いずれかに記載のデータ消去管理方法。
【請求項６】
前記データ消去処理のされた管理対象端末において、少なくとも前記第２のステップ前に、前記記憶装置に対するデータの書き込み禁止を設定する後処理を行うことを特徴とする請求項１〜請求項５のいずれかに記載のデータ消去管理方法。
【請求項７】
前記消去予約情報には、前記後処理方法の指定に関する情報が含まれるものとし、
前記後処理は、前記消去予約情報に含まれる後処理方法の指定に基づいて行うことを特徴とする請求項５又は請求項６に記載のデータ消去管理方法。
【請求項８】
前記消去証明情報には、前記予約情報に含まれた後処理方法の指定に関する情報が含まれるものとし、
前記後処理の後に、前記管理対象端末に消去証明情報を読み込ませるステップと、
前記消去証明情報内に含まれる後処理方法の指定に基づき、前記管理対象端末で前記指定された後処理が行われているか否かの判定を行うステップと
を有することを特徴とする請求項７に記載のデータ消去管理方法。
【請求項９】
管理用端末により管理される管理対象端末内の記憶装置のデータ消去処理を実行するプログラムにおいて、
データ消去処理の完了した際に、前記管理対象端末が前記管理用端末で読み込み可能な消去証明情報を発行する処理を含むプログラム。
【請求項１０】
前記データ消去処理の開始前に、認証データを生成する処理と、
生成された認証データを含む消去開始情報を前記管理用端末に送信する処理と、
前記認証データを生成するための第１のランダムデータを前記消去証明情報に含めて発行する処理と
をさらに含む請求項９に記載のプログラム。
【請求項１１】
前記認証データは、前記第1のランダムデータと、前記消去予約情報に含まれる第２のランダムデータとにより生成されたものであることを特徴とする請求項１０に記載のプログラム。
【請求項１２】
データ消去処理完了後に、前記記憶装置内に消去済み情報を書き込む処理をさらに含む請求項９〜請求項１１のいずれかに記載のプログラム。
【請求項１３】
データ消去処理完了後に、前記記憶装置へのデータの書き込み禁止設定を行う処理をさらに含む請求項９〜請求項１２のいずれかに記載のプログラム。
【請求項１４】
前記後処理は、前記管理用端末の指定に基づいて行うことを特徴とする請求項１２又は請求項１３に記載のプログラム。
【請求項１５】
管理用端末において管理対象となる端末の記憶装置内のデータ消去処理を管理するプログラムであって、
管理用端末から管理対象端末に対して、消去処理の開始を指示する消去開始受付情報を送信する処理と、
データ消去処理の完了した管理対象端末から発行された前記消去証明情報の正当性を判定し、その判定結果に従い管理対象端末の消去処理結果を管理する処理と
を有することを特徴とするプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、コンピュータにおけるデータ消去処理の管理を行う方法等に関するものである。
【背景技術】
【０００２】
各企業において、新規コンピュータの購入に伴い、旧コンピュータについて処分業者を通じて廃棄処分する場合や、リースしていたコンピュータのリース会社への返却等を行う場合において、前記旧コンピュータ等のハードディスク装置内に企業のデータが格納されたまま、前記処分業者又はリース会社への引渡し等が行われることがある。このような場合に、前記コンピュータ自体や前記ハードディスク装置等が処分業者を通じて中古市場に出回ることや、前記リース会社が前記コンピュータをリース商品として再利用し、他の企業にリースすることにより、前記コンピュータ内に格納された企業データから、当該企業の機密情報が漏洩する危険性が存在している。
【０００３】
そのため、コンピュータを前記処分業者やリース会社に引渡す前に、企業において機密データを消去したり、リース会社において回収したコンピュータを再利用の前に初期化したりしている。
この場合、通常のデータ消去方法では、ハードディスク装置内の残留磁気等からデータを復元することができる場合もあるため、データを完全に消去する種々の方法が考えられている。ここで、データの完全消去方法としては、全ての情報の上に「ゼロ」を上書きする方式や、、乱数を複数回上書きする方式等、複数の方式が提唱されており、これらのデータ消去方法を用いることで第三者によるデータの復元等による機密情報の漏洩を防止することが可能となっている。
関連する従来技術として下記の特許文献１に開示されたものがある。
【特許文献１】特開平１０−１７７５２５号
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかし、前述のようなデータ消去方法により、データを復元不可能とすることはできるものの、例えば、リース会社にデータ消去処理を任せる場合には、各企業が、当該リース会社においてデータ消去処理がされたか否かを、実際に確認することはできなかった。また、企業内において、処分業者やリース会社への引渡し前にデータの消去処理を行う場合には、企業内管理者等によりデータの消去が行われたか否かを確認することも可能ではあるが、全ての端末について確認を行うのは、多大な時間と労力を必要とすることとなり、実際上はそのような確認作業は行われていないことも多かった。
【０００５】
従って、企業内における消去処理の担当者の不注意等により、各端末についてデータ消去が行われないまま、処分業者やリース会社への引渡しが行われることもあり、また、リース会社においてもデータ消去処理を行われなかった場合には、企業データを有するコンピュータが、中古市場等で流通される場合や他企業へリースされる場合が発生し、その端末から元所有者である企業の機密情報が漏洩する危険性が存在していた。
【０００６】
本発明は、上記課題を解決するためのもので、コンピュータのデータ消去処理管理において、実際にデータ消去処理が行われたか否かについての確認を容易かつ確実に行うことのできるデータ消去管理方法を提供するものである。
【課題を解決するための手段】
【０００７】
本発明のデータ消去管理方法は、管理対象となる端末の記憶装置内のデータの消去処理を実施させ、その実施結果を管理するデータ消去管理方法であって、データ消去処理の完了した管理対象端末から、管理用端末で読み込み可能な消去証明情報を発行させる第１のステップと、発行された前記消去証明情報の正当性を管理用端末で判定し、その判定結果に従い管理対象端末の消去処理結果を管理する第２のステップとを有することを特徴とする。
また、前記管理対象端末において生成された認証データを含む消去開始情報を、前記データ消去処理の開始前に、前記管理対象端末から前記管理用端末に送信させるステップと、前記第１のステップにおいて、前記第１のランダムデータを前記消去証明情報に含めて発行するステップとを有し、前記第２のステップにおいて、前記第１のランダムデータに基づいて生成された認証データと、前記管理対象端末から送信された認証データとが一致するか否かを判定し、一致した場合に、前記消去証明情報が正当なものであると認定することを特徴とする。
また、前記管理用端末からデータ消去処理を行う管理対象端末に対して、前記消去開始情報の受信前に、前記管理用端末において生成される第２のランダムデータを含む消去予約情報を送信するステップと、前記消去予約情報を受信した管理対象端末において、前記消去開始情報の送信前に、前記第1のランダムデータと前記第２のランダムデータとにより、前記認証データを生成するステップとを有することを特徴とする。
また、前記認証データは、前記第２のランダムデータを、前記第１のランダムデータを元に暗号化したものであることを特徴とする。
また、前記データ消去処理のされた管理対象端末において、少なくとも前記第２のステップ前に、前記記憶装置内にデータ消去済み情報を書き込む後処理を行うことを特徴とする。
また、前記データ消去処理のされた管理対象端末において、少なくとも前記第２のステップ前に、前記記憶装置に対するデータの書き込み禁止を設定する後処理を行うことを特徴とする。
また、前記消去予約情報には、前記後処理方法の指定に関する情報が含まれるものとし、前記後処理は、前記消去予約情報に含まれる後処理方法の指定に基づいて行うことを特徴とする。
また、前記消去証明情報には、前記予約情報に含まれた後処理方法の指定に関する情報が含まれるものとし、前記後処理の後に、前記管理対象端末に消去証明情報を読み込ませるステップと、前記消去証明情報内に含まれる後処理方法の指定に基づき、前記管理対象端末で前記指定された後処理が行われているか否かの判定を行うステップとを有することを特徴とする。
【０００８】
また、本発明のデータ消去プログラムは、管理用端末により管理される管理対象端末内の記憶装置のデータ消去処理を実行する消去プログラムにおいて、データ消去処理の完了した際に、前記管理対象端末が前記管理用端末で読み込み可能な消去証明情報を発行する処理を含むものである。
また、前記データ消去処理の開始前に、認証データを生成する処理と、生成された認証データを含む消去開始情報を前記管理用端末に送信する処理と、前記認証データを生成するための第１のランダムデータを前記消去証明情報に含めて発行する処理とをさらに含むものである。
また、前記認証データは、前記第1のランダムデータと、前記消去予約情報に含まれる第２のランダムデータとにより生成されたものであることを特徴とするものである。
また、データ消去処理完了後に、前記記憶装置内に消去済み情報を書き込む処理をさらに含むものである。
また、データ消去処理完了後に、前記記憶装置へのデータの書き込み禁止設定を行う処理をさらに含むものである。
また、前記後処理は、前記管理用端末の指定に基づいて行うことを特徴とする。
また、本発明の管理用プログラムは、管理用端末において管理対象となる端末の記憶装置内のデータ消去処理を管理するプログラムであって、管理用端末から管理対象端末に対して、消去処理の開始を指示する消去開始受付情報を送信する処理と、データ消去処理の完了した管理対象端末から発行された前記消去証明情報の正当性を判定し、その判定結果に従い管理対象端末の消去処理結果を管理する処理とを有することを特徴とするものである。
【発明の効果】
【０００９】
本発明によれば、管理用端末で読み込み可能な消去証明情報を発行するようにしたため、管理用端末において、各管理対象端末でデータ消去実行プログラムによるデータ消去処理が実際に行われたか否かを容易に管理することが可能となる。
【発明を実施するための最良の形態】
【００１０】
以下、本発明の一実施の形態について、図面を参照して具体的に説明する。
本実施の形態では、図１に示すように、管理プログラム１０を備えた管理用端末１と、データ消去の対象となる記憶装置としてのハードディスク２１を備えた管理対象端末２と、当該管理対象端末２において実行される消去準備プログラム３０Ａ，消去実行プログラム３０Ｂ，消去状態確認プログラム３０Ｃの格納されたフロッピーディスク（登録商標）、ＣＤ−ＲＯＭ等の外部記憶媒体３とから構成されている。また、管理用端末１と管理対象端末２とは、ＬＡＮ等の通信線５により接続されている。
【００１１】
本発明は、このような構成において、前記消去実行プログラム３０Ｂを前記管理対象端末２において実行させ、前記ハードディスク２１内のデータの消去を行った後、前記管理用端末１で読込み可能な消去証明情報を前記消去実行プログラム３０Ｂにより前記管理対象端末２から発行し、前記管理プログラム１０でデータ消去の管理を行うものである。
ここでのデータ消去処理は、前記ハードディスク２１内のＯＳを含む全てのデータを消去するものであるため、前記外部記憶媒体３には、前記消去実行プログラム３０Ｂを動作させるためのＯＳを格納しておくことが必要となる。また、消去実行プログラム３０Ｂを実行させる際には、前記外部記憶媒体３を読み込ませることにより、コンピュータを再度起動させることが必要となるため、後述するデータ消去処理の前に、予め外部記憶媒体３に対応したドライブを先に読み込むようなＢＩＯＳの設定がされていることが必要となる。
【００１２】
また、前記管理用端末１に備えられた前記管理プログラム１０は、消去予約処理１１と、消去開始受付処理１２と、消去完了受付処理１３を有している。
なお、前記管理用端末１内には、前記管理プログラム１０により生成された情報等のデータ消去処理に関する情報を保存するデータベース１４が備えられている。
【００１３】
また、前記外部記憶媒体３に格納された消去準備プログラム３０Ａは、前記管理対象端末２において消去実行プログラム３０Ｂによる処理の準備を行うもので、消去予約受付処理３１と、消去開始処理３２とを有している。
また、前記外部記憶媒体３に格納された消去実行プログラム３０Ｂは、前記管理対象端末２におけるハードディスク２１のデータ消去等を行うもので、データ消去処理３３と、消去完了処理３４とを有している。
また、前記外部記憶媒体３に格納された消去状態確認プログラム３０Ｃは、データ消去処理の実行された管理対象端末２におけるデータ消去処理の状態を確認する消去状態確認処理３５を有している。
【００１４】
次に、本システムによる管理対象端末のデータ消去管理処理の概略を図２のフローチャートを用いて説明する。
まず、管理用端末１において、消去予約処理が行われ、選択された管理対象端末２に対して、前記消去予約情報が送信される（ステップＳ２０１）。この消去予約情報には、図３に示すように、クライアントＩＤ３０１と、サーバランダム値３０２と、消去確認処理ＩＤ３０３とが含まれる。この場合、前記消去確認処理ＩＤ３０３としては、例えば、データ消去後に処理を行わない場合は「０」、データ消去後の記憶装置内に消去済みマークを書き込む場合には「１」、データ消去後の記憶装置に対してデータの書き込みができないようなＢＩＯＳの設定変更等の書き込み禁止設定を行う場合には「２」、前記消去済みマークの書き込み及び書き込み禁止設定の双方を行う場合には「３」を用いる。従って、図３の場合は、データ消去後の処理として、消去済みマークの書き込み及び書き込み禁止設定の双方を指定していることとなる。
この消去予約情報を受信した管理対象端末２では、消去予約受付処理が行われ、認証データが生成された後、管理用端末１に対して、前記認証データを含む予約受付確認情報としての前記消去開始情報が送信される（ステップＳ２０２）。この消去開始情報には、図４に示すように、クライアントＩＤ４０１と、サーバランダム値４０２と、認証データ長４０３と、認証データ４０４とが含まれる。
この消去開始情報を受信した管理用端末１では、消去開始受付処理が行われ、前記消去開始情報から消去予約済みの端末から送信されたものか否かが判定された後、管理対象端末２に対して、前記判定結果としての前記消去開始受付情報が送信される（ステップＳ２０３）。この消去開始情報には、図５に示すように、クライアントＩＤ５０１と、消去開始受付結果５０２とが含まれる。
【００１５】
この消去開始受付情報を受信した管理対象端末２では、消去開始受付情報に含まれる前記判定結果に基づき、消去開始処理が行われ（ステップＳ２０４）、ハードディスク２１内のデータの消去処理が行われた後（ステップＳ２０５）、消去完了処理が行われ、管理用端末１に対して、消去証明情報が発行される（ステップＳ２０６）。この消去証明情報には、図６に示すように、クライアントＩＤ６０１と、クライアントランダム値６０２と、実行日時６０３と、消去確認処理ＩＤ６０４とが含まれる。
この消去証明情報を受信した管理用端末１では、消去完了受付処理が行われ、消去証明情報の内容を確認することにより、前記管理対象端末２において、正常にデータ消去処理が行われたか否かを管理することとなる。
【００１６】
なお、前記管理用端末１内に設けられたデータベース１４は、前記消去予約情報，消去開始情報，消去開始受付情報，消去証明情報等に基づく情報が格納され、例えば、図７に示すように、クライアントＩＤ７０１と、処理状態７０２と、サーバランダム値７０３と、クライアントランダム値７０４と、消去確認処理ＩＤ７０５と、認証データ長７０６と、認証データ７０７と、消去実行日時７０８とが含まれる。ここで処理状態７０２は、管理対象端末２における処理状態を示すものであり、例えば、未処理の場合は「０」、消去予約済みの場合は「１」、消去処理が開始されている場合には「２」、消去処理が完了している場合には「３」で示されることとなる。
【００１７】
以上のようなデータ消去管理方法における各処理の詳細について、図８〜図１３を用いて説明する。
図８は、管理用端末１における消去予約処理（図２のステップＳ２０１）を示すフローチャートである。
この図に示すように、消去予約処理では、管理用端末１において管理プログラム１０を起動し（ステップＳ８０１）、管理者が予め設定された管理対象端末２の中からデータを消去する端末を選択し、かつ、データ消去後の処理方法の指定を行うと（ステップＳ８０２）、その管理対象端末２に対して、サーバランダム値３０２が生成される（ステップＳ８０３）。ここで、前記処理方法の指定は、前記消去確認処理ＩＤ３０３により示されることととなる。また、前記サーバランダム値３０２は、各管理対象端末２毎に生成されることとなる。
【００１８】
その後、選択された管理対象端末２を示すクライアントＩＤ３０１と、生成されたサーバランダム値３０２と、前記消去確認処理ＩＤとを含んだ前記消去予約情報が、選択された管理対象端末２に送信される（ステップＳ８０４）。また、管理用端末１のデータベース１４内に前記クライアントＩＤ３０１、サーバランダム値３０２及び廃棄確認処理ＩＤ３０３の情報が格納されるとともに、処理状態が「１」（予約済み）とされ（ステップＳ８０５）、処理終了となる。
【００１９】
また、図９は、前記消去予約情報を受信した管理対象端末２における消去予約受付処理（図２のステップＳ２０２）を示すフローチャートである。
この図に示すように、消去予約受付処理では、管理対象端末２において消去準備プログラム３０Ａを起動した後（ステップＳ９０１）、管理用端末１からの前記消去予約情報が受信されると（ステップＳ９０２）、クライアントランダム値が生成される（ステップＳ９０３）。その後、前記消去予約情報に含まれるサーバランダム値３０２が、生成されたクライアントランダム値を元に、暗号化され、認証データ４０４が生成される（ステップＳ９０４）。
この暗号化については、ハッシュ化等周知の方式により行うものとしてよいが、前記クライアントランダム値を知らなければ、同一の認証データ４０４が生成できないような処理方式を用いる。また、前記クライアントランダム値については、消去準備プログラム３０Ａの実行毎又は管理用端末１から消去予約情報を受信する毎に生成することが望ましい。
このように生成された認証データ４０４等を含む消去開始情報は、管理用端末１に送信される（ステップＳ９０５）。
その後、管理対象端末２は、データ消去処理の開始の待機状態とされ（ステップＳ９０５）処理終了となる。
【００２０】
また、図１０は、前記消去開始情報を受信した管理用端末１における消去開始受付処理（図２のステップＳ２０３）を示すフローチャートである。
この図に示すように、消去開始受付処理では、管理対象端末２からの消去開始情報が受信されると（ステップＳ１００１）、当該消去開始情報内に含まれるクライアントＩＤ４０１について、管理用端末１のデータベース１４における検索が行われる（ステップＳ１００２）。その結果、該当するクライアントＩＤ７０１が存在する場合には（ステップＳ１００３）、そのクライアントＩＤ７０１に対応するサーバランダム値７０３が検索され、当該サーバランダム値７０３と、前記消去開始情報に含まれるサーバランダム値４０２とが比較される（ステップＳ１００４）。この比較の結果、両サーバランダム値が一致する場合には（ステップＳ１００５）、前記データベース１４内に、前記消去開始情報に含まれる認証データ４０４及び認証データ長４０３が格納されるとともに処理状態７０２が「２」（消去開始）とされ（ステップＳ１００６）、管理対象端末２に対して、消去開始受付情報として消去開始受付結果５０２を「ＴＲＵＥ」としたものが送信され（ステップＳ１００７）、処理終了となる。なお、前記消去開始情報に含まれるクライアントＩＤ４０１が前記データベース１４内に存在しない場合（ステップＳ１００３）、または、前記サーバランダム値の比較の結果不一致の場合には（ステップＳ１００５）、消去開始受付情報として消去開始受付結果５０２を「ＦＡＬＳＥ」としたものが、管理対象端末２に送信され（ステップＳ１００８）、処理終了となる。
【００２１】
また、図１１は、消去開始受付情報を受信した管理対象端末２における消去開始処理から消去完了処理まで（図２のステップＳ２０４〜Ｓ２０６）を示すフローチャートである。
この図に示すように、まず、消去開始処理として、管理用端末１からの消去開始受付情報が受信されると（ステップＳ１１０１）、当該消去開始受付情報内に含まれる消去開始受付結果５０２が参照され、その結果が「ＴＲＵＥ」である場合には（ステップＳ１１０２）、データ消去処理が行われる（ステップＳ１１０３）。
この場合の消去処理方式としては、例えば、乱数を複数回上書きする方式や、すべての情報の上に「０」を上書きする方式等、周知の方式を用いればよい。この場合において、消去実行プログラム３０Ｂを外部記憶媒体３に格納して、前記各管理対象端末２において前記外部記憶媒体３から消去実行プログラム３０Ｂを直接実行することにより、ＯＳ及び前記消去準備プログラム３０Ａを含む前記ハードディスク２１内の全データを消去することができる。
【００２２】
その後、消去完了処理として、まず、管理用端末１に対し、前記クライアントＩＤ６０１と、クライアントランダム値６０２と、消去処理の実行日時６０３と、消去確認処理ＩＤ６０４とを含む消去証明情報が発行される（ステップＳ１１０４）。
次に、前記消去予約情報に含まれる消去確認処理ＩＤ３０３が参照され、当該消去確認処理ＩＤが「１」又は「３」の場合には「ＴＲＵＥ」として（ステップＳ１１０５）、ハードディスク２１に消去済みマークの書き込みが行われる（ステップＳ１１０６）。
【００２３】
一方、前記消去確認処理ＩＤ３０３が「０」又は「２」の場合には「ＦＡＬＳＥ」として（ステップＳ１１０５）、消去済みマークの書き込みは行われない。その後、さらに前記消去確認処理ＩＤ３０３が参照され、当該消去確認処理ＩＤ３０３が「２」又は「３」の場合には「ＴＲＵＥ」として（ステップＳ１１０７）、管理対象端末２のハードディスク２１に対する書き込み禁止の設定が行われ（ステップＳ１１０８）、処理終了となる。一方、前記消去確認処理ＩＤ３０３が「０」又は「１」の場合には「ＦＡＬＳＥ」として（ステップＳ１１０７）、管理対象端末２の設定変更は行われずに処理終了となる。
この消去完了処理終了後において、前記外部記憶媒体３を前記管理対象端末２から取り出すことにより、前記管理対象端末２内に、前記消去実行プログラム３０Ｂを残すこともなくなる。
なお、図１１では、消去完了処理において、消去証明情報の発行後に、消去済みマークの書き込み，書き込み禁止の設定が行われることとしているが、消去済みマークの書き込み等の後に消去証明情報を発行することとしてもよい。
【００２４】
また、図１２は、管理用端末１における消去完了受付処理（図２のステップＳ２０７）を示すフローチャートである。
この図に示すように、消去完了受付処理では、管理用端末１において管理プログラム１０を起動した後（ステップＳ１２０１）、管理対象端末２で発行された前記消去証明情報の読み込みが行われ（ステップＳ１２０２）、当該消去証明情報内に含まれるクライアントＩＤ６０１について、管理用端末１のデータベース１４における検索が行われる（ステップＳ１２０３）。その結果、該当するクライアントＩＤ７０１が存在する場合には（Ｓ１２０４）、そのクライアントＩＤ７０１に対応するサーバランダム値７０３が検索され、当該サーバランダム値７０３が、前記消去証明情報に含まれるクライアントランダム値６０２を元に暗号化され、検証用の認証データが生成される（ステップＳ１２０５）。なお、この場合の暗号化は、前記消去予約受付処理における暗号化で用いた方式と同一の方式により行われることとなる。
【００２５】
次に、ここで生成された検証用の認証データと、データベース１４内に格納しておいた認証データ７０７とが比較され（ステップＳ１２０６）、両認証データが一致する場合には（ステップＳ１２０７）、データベース１４内の処理状態７０２が「３」（消去終了）とされて（ステップＳ１２０８）処理終了となる。一方、前記消去証明情報内に含まれるクライアントＩＤ６０１の検索の結果、管理用端末１のデータベース１４内に存在しない場合（ステップＳ１２０４）、または、前記両認証データが一致しない場合（ステップＳ１２０７）は、エラーメッセージが表示される（ステップＳ１２０９）。このエラーメッセージが表示された場合には、当該消去証明情報が不正に生成されたものと判断でき、消去処理が正常に行われていないことが推認される。
このように、消去受付完了処理において、前記消去証明情報を管理用端末１で確認することにより、実際に消去処理が行われたか否かを容易に管理することができる。
【００２６】
また、図１３は、管理対象端末２についての消去状態確認処理を示すフローチャートである。この消去状態確認処理は、主に、消去処理のされた管理対象端末２を廃棄処理業者やリース会社へ引渡す直前に行われるもので、消去状態の最終的な確認と、書き込み禁止設定の解除を行うためのものである。
この図に示すように、消去状態確認処理では、まず、消去状態確認プログラム３０Ｃを起動した後（ステップＳ１３０１）、前記消去証明情報を読み込ませる（ステップＳ１３０２）。
【００２７】
次に、前記消去証明情報に含まれる消去確認処理ＩＤ６０４が参照され、当該消去確認処理ＩＤ６０４が「２」又は「３」の場合には「ＴＲＵＥ」として（ステップＳ１３０３）、管理対象端末２の設定の確認がされ（ステップＳ１３０４）、書き込み禁止の設定が行われている場合には（ステップＳ１３０５）、書き込み禁止設定の解除を行う（ステップＳ１３０６）。なお、書き込み禁止の設定が行われていない場合には、エラーメッセージを表示する（ステップＳ１３０７）。一方、前記消去確認処理ＩＤ６０４が「０」又は「１」の場合には「ＦＡＬＳＥ」として（ステップＳ１３０３）、管理対象端末２の設定確認が行われずに、次の処理に進むことになる。
その後、さらに前記消去確認処理ＩＤ６０４が参照され、当該消去確認処理ＩＤ６０４が「１」又は「３」の場合には「ＴＲＵＥ」として（ステップＳ１３０８）、管理対象端末２のハードディスク２１内における消去済みマークの検出が行われ（ステップＳ１３０９）、消去済みマークが検出された場合には（ステップＳ１３１０）、そのまま処理終了となり、消去済みマークが検出されなかった場合には（ステップＳ１３１０）、エラーメッセージが表示され（ステップＳ１３１１）、処理終了となる。一方、前記消去確認処理ＩＤ６０４が「０」又は「２」の場合には「ＦＡＬＳＥ」として（ステップＳ１３０８）、消去済みマークの検出が行われずに処理終了となる。なお、ステップＳ１３１０において、消去済みマークが検出された場合には、処理終了の前に、当該消去済みマークの消去を行うこととしてもよい。
【００２８】
以上のように、本発明のデータ消去管理方法では、データ消去の完了の際に、管理用端末で読み込み可能な消去証明情報を発行することとしたので、実際にデータ消去処理が行われたか否かの管理を、管理用端末において容易に行うことができる。
【００２９】
また、管理用端末が消去処理の都度生成するサーバランダム値を管理対象端末に送信し、管理対象端末ではクライアントランダム値を暗号鍵にしてサーバランダム値を暗号化し、その暗号結果を認証データとして管理用端末に返信してデータベース１４に格納させておき、消去完了後に管理対象端末から管理用端末に初めて送信されるクライアントランダム値に基づいて生成した検証用の認証データとデータベースに格納しておいた認証データとが一致するか一致するかを検証し、一致する場合のみ消去証明情報が正当なものであるとして認定する。このため、サーバランダム値を盗聴行為によって不正に取得しておいたとしても、クライアントランダム値については消去処理完了後でなければ盗聴することは出来ない。したがって、消去処理をしていないにも拘わらずクライアントランダム値が含まれる消去証明情報を発行することは出来なくなり、消去処理を完了したことが確実に保証され、通信路の盗聴等がされた場合であっても、消去証明情報の偽造等を防止することができる。
従って、データ消去処理実行の確実性を保証することが可能となり、担当者のデータ消去のし忘れや管理の不備による企業内情報の外部流出を防止することができるため、企業内情報流出による顧客への損害や企業イメージのダウンを未然に防ぐことが可能となる。
【００３０】
また、データ消去処理後のハードディスク内に消去済みマークの書き込みを行うことにより、各管理対象端末において、前記消去済みマークを確認することにより、実際に消去処理が行われたか否かを容易に把握することができる。
また、データ消去処理後にデータの書き込み禁止設定を行うことにより、各管理対象端末に対しデータ消去処理後に誤ってデータの書き込みが行われることや、データ消去処理後のハードディスク内に故意に企業情報等を書き込んで、処理業者等に引渡すというような不正を防止することができる。さらに、書き込み禁止設定を確認することにより実際に消去処理が行われたか否かを容易に把握することができる。
【００３１】
なお、前記実施の形態では、消去準備プログラム３０Ａ，消去実行プログラム３０Ｂ，消去状態確認プログラム３０Ｃを同一の外部記憶媒体３に格納することとして説明しているが、それぞれを別の外部記憶媒体３に格納することとしてもよい。
【００３２】
また、消去準備プログラム３０Ａについては、図１４に示すように、予め管理対象端末２内にインストールすることとしてもよい。
この場合の消去準備プログラム３０Ａとしては、管理対象端末２におけるデータ消去処理が行われる前に、管理者から配布等されインストールされたものを用いる。
また、消去実行プログラム３０Ｂについては、予め管理者が配布する外部記憶媒体３に格納されたものを用いることとしてもよいが、図２に示す消去開始受付処理の際に、前記管理用端末１から前記外部記憶媒体３に出力することとしている。従って、前記管理用端末１には、図示は省略しているが、予め前記消去実行プログラムが備えられていることとなる。なお、この場合、前記消去開始処理（Ｓ２０４）において前記外部記憶媒体３内に、前述の消去予約受付処理において生成されたクライアントランダム値等の一定の情報が保存されることとなる。
【００３３】
このように、前記消去実行プログラム３０Ｂを、前記管理用端末１から外部記憶媒体３に出力することにより、この消去実行プログラム３０Ｂが改ざんされたものでないことが保証されることとなる。
【００３４】
また、本実施の形態では、前記管理用端末１に備えられた図外の消去実行プログラムを消去開始受付処理の際に、前記外部記憶媒体３に出力することとしているが、これに限らず、前記消去準備プログラム３０Ａの消去開始処理３２により、前記管理対象端末２から前記外部記憶媒体３に出力することとしてもよい。
【図面の簡単な説明】
【００３５】
【図１】本発明の一実施の形態に係るデータ消去管理システムの構成を示すブロック図である。
【図２】本発明の一実施の形態に係るデータ消去管理方法の概略を示すフローチャートである。
【図３】前記データ消去管理方法に用いられる消去予約情報の一例を示す図である。
【図４】前記データ消去管理方法に用いられる消去開始情報の一例を示す図である。
【図５】前記データ消去管理方法に用いられる消去開始受付情報の一例を示す図である。
【図６】前記データ消去管理方法に用いられる消去証明情報の一例を示す図である。
【図７】前記データ消去管理システムを構成する管理用端末内に設けられたデータベースの一例を示す図である。
【図８】前記データ消去管理方法における消去予約処理を示すフローチャートである。
【図９】前記データ消去管理方法における消去予約処理を示すフローチャートである。
【図１０】前記データ消去管理方法における消去予約受付処理を示すフローチャートである。
【図１１】前記データ消去管理方法における消去予約受付開始処理を示すフローチャートである。
【図１２】前記データ消去管理方法における消去完了処理を示すフローチャートである。
【図１３】前記データ消去管理方法における廃棄前処理を示すフローチャートである。
【図１４】本発明の他の実施の形態に係るデータ消去管理システムの構成を示すブロック図である。
【符号の説明】
【００３６】
１・・・管理用端末、１０・・・管理プログラム、１１・・・消去予約処理、１２・・・消去開始受付処理、１３・・・消去完了受付処理、１４・・・データベース、２・・・管理対象端末、２１・・・記憶装置、３・・・外部記憶媒体、３０Ａ・・・消去準備プログラム、３０Ｂ・・・消去実行プログラム、３０Ｃ・・・消去状態確認プログラム、３１消去予約受付処理、３２・・・消去開始処理、３３・・・データ消去処理、３４・・・消去完了処理、３５・・・消去状態確認処理。
【図１】
2007183992.tif 000003
【図２】
2007183992.tif 000004
【図３】
2007183992.tif 000005
【図４】
2007183992.tif 000006
【図５】
2007183992.tif 000007
【図６】
2007183992.tif 000008
【図７】
2007183992.tif 000009
【図８】
2007183992.tif 000010
【図９】
2007183992.tif 000011
【図１０】
2007183992.tif 000012
【図１１】
2007183992.tif 000013
【図１２】
2007183992.tif 000014
【図１３】
2007183992.tif 000015
【図１４】
2007183992.tif 000016