(57)【要約】【課題】  これまでサーバシステムが管理するデータのセキュリティ向上方法は，あくまでもネットワークシステムの外部からの不正侵入者に対してセキュリティを向上させる手段であり，ファイアウォール内部に侵入したものや，内部で不正利用を行おうとする者が居た場合には，データを守ることはできないという問題点がある．更には，サーバの記憶装置を物理的に盗難したり，一時的に外してデータのコピーを作成したりする物理的な盗難に対しては無力であった．【解決手段】  本発明では、データ管理サーバで管理するデータを暗号化して保持すると共に，暗号を解読するための鍵を当該コンピュータのデータ記憶装置におくのではなく，当該コンピュータのメインメモリのみに配置することで，データ配信時にはデータを通常状態にデコードできると共に，データへの不正アクセスに対して高いセキュリティを確保できる手段を提案する．【選択図】        図１
2007026402.tif 000002
【特許請求の範囲】
【請求項１】
グローバルなネットワークシステムに接続されておりデータ配信を行うことを目的に構成されたサーバグループの構成方法であって，
複数のデータを保持すると共に保持しているデータに対して配信要求があった際にデータを要求先に送信するなどのデータ管理を行うデータ管理サーバと，
データ管理サーバをコントロールすることを目的とするコントロールサーバで構成し，
グローバルなネットワークシステムに接続しているのはデータ管理サーバのみで，データ管理サーバとコントロールサーバ間の接続はグローバルなネットワークシステムで用いられるＩＰ接続ではなく他のプロトコルを用いることで，
サーバグループに対して施されているファーアウォールシステムが外部からの不正侵入者に破られサーバグループに進入されても，
コントロールサーバまでは入り込めないように接続していることを特徴とするサーバグループ構成手段．
【請求項２】
請求項１に示すデータ管理サーバにおける管理方法において
データ管理サーバが管理しているデータの機密性を高めるための手段であって，
データ管理サーバが管理しているデータは全て暗号鍵を用いて暗号化した状態で保持すると共に，
暗号鍵はデータ管理サーバ中のデータとして保存せずメインメモリ上に常駐する手段で保持することを特徴とするデータ機密化保持手段．
【請求項３】
請求項２に示すデータ管理サーバにおける保持データに対して配信要求があった際にデータを要求先に送信する管理方法であって，
データ送信を行う場合には，暗号化された状態で管理しているデータを読み出し，
データ管理サーバのメインメモリ上に常駐させている暗号鍵を用いて通常のデータにデコードしつつ送信することで
保持データを暗号化されていない通常のデータとして要求先に送信することを特徴とするデータ配信手段．
【請求項４】
請求項２に示すデータ管理サーバにおける暗号鍵の管理方法であって，
コントロールサーバには常にコントロールサーバが管理するデータ管理サーバが持つべき暗号鍵を保存しておき，
データ管理サーバのメインメモリ上に常駐させている暗号鍵が何らかの事由でなくなってしまった際，
データ管理サーバはコントロールサーバから暗号鍵を入手することで，
データ管理サーバでは常にメインメモリ上に暗号鍵を常駐させることを可能とすることを特徴とする暗号鍵管理手段．
【請求項５】
請求項３に示すデータ管理サーバにおける暗号化された状態で管理しているデータを通常のデータにデコードしつつ送信するためのサーバ構成の手段であって，
データ管理サーバが保持する暗号化されたデータに対して通常のデータにデコードしつつ送信する処理をデータ管理サーバで行うのではなく，
デコード専用サーバによって処理することで，
データ管理サーバには暗号鍵を保持させなくすることで，
サーバグループに対して施されているファーアウォールシステムが外部からの不正侵入者に破られサーバグループに進入されデータ管理サーバが保持するデータ及びメインメモリが解読されても，
暗号化されたデータと暗号をデコードする暗号鍵を同時に盗まれることが無くなり，
よりセキュリティの高いデータ管理を実現できることを特徴とする暗号解読サーバ構成手段．
【請求項６】
請求項１に示すサーバグループ構成手段で，請求項２に示すデータ機密化保持手段を適用すると共に，
データ配信においては，請求項３に示すデータ配信手段もしくは請求項５に示す暗号解読サーバ構成手段を適用することで，
ネットワークを介してサーバグループ内へ不正に進入しデータの盗難や改ざんを行おうとする不正侵入者に対してデータ保持管理のセキュリティを向上させると共に，
物理的にデータ管理サーバのデータ記憶装置を盗難するような不正者に対してもデータ保持管理のセキュリティを向上させることができることを特徴とする高セキュリティを実現するサーバ構成法およびデータ管理方法．
【発明の詳細な説明】
【技術分野】
【０００１】  本発明は，ワールド・ワイド・ウェブなどのグローバルなネットワークに対してデータを供給するサーバシステムにおいて，サーバシステムが管理しているデータに対して高いセキュリティをかける仕組みを構築するものである．また，ワールド・ワイド・ウェブなどのグローバルなネットワークだけでなく，イントラネットや会社内ＬＡＮなど，小規模なネットワークシステムに対しても適用可能である．
【背景技術】
【０００２】  従来、ワールド・ワイド・ウェブなどのグローバルなネットワークに対してデータを供給するサーバシステムや，イントラネットや会社内ＬＡＮなど小規模なネットワークシステムにおいてサーバシステムが管理するデータのセキュリティを高める手段としては，ファイアフォールと呼ばれる，不正にサーバ内に進入しようとする不正侵入者がコンピュータ内に侵入できないように，コンピュータの入口にて防御する手段が一般的であった．【０００３】  そのための具体的な手段としては，ユーザＩＤと呼ばれる正規の利用者に対してＩＤ番号を発行すると共に，ＩＤによってサーバシステムが管理するデータの何が閲覧・編集できるかという権限を与え，ＩＤに対応するパスワードによって，不正侵入者の侵入を防御していた．例えばサーバが管理する全てのデータを閲覧・編集できるという高い権限を持つユーザＩＤに対しては，パスワードを１つではなく複数のパスワード照合などにより，セキュリティの向上を図っている．【０００４】  また，データに対して「コピーする」，「編集する」というコマンドを実行する際には，その都度，パスワード照合を行わないとコマンド実行できないようにして，たとえコンピュータ内に不正侵入者が入れたとしても，データの盗難や改ざんという最もダメージの大きい処理を実行させないような手段を用い，セキュリティの向上を図っている．
【発明の開示】
【発明が解決しようとする課題】
【０００５】  しかし，これらのサーバシステムが管理するデータのセキュリティ向上方法は，あくまでもネットワークシステムの外部からの不正侵入者に対してセキュリティを向上させる手段であり，ファイアウォール内部に不正利用を行おうとする者が居た場合には，データを守ることはできないという問題点がある．【０００６】  また，仮に内部に不正利用を行おうとする者が居た場合，サーバの記憶装置を物理的に盗難したり，一時的に外してデータのコピーを作成したりすることも可能である．このような物理的に実施される不正行為に対しては，これまでのセキュリティ向上方法では何ら役に立っていないという問題点がある．
【課題を解決するための手段】
【０００７】  上記課題を解決するために、本発明では、高セキュリティを実現するサーバ構成法およびデータ管理方法に係わる第１の手段として、グローバルなネットワークシステムに接続されておりデータ配信を行うことを目的に構成されたサーバグループの構成方法であって，複数のデータを保持すると共に保持しているデータに対して配信要求があった際にデータを要求先に送信するなどのデータ管理を行うデータ管理サーバと，データ管理サーバをコントロールすることを目的とするコントロールサーバで構成し，グローバルなネットワークシステムに接続しているのはデータ管理サーバのみで，データ管理サーバとコントロールサーバ間の接続はグローバルなネットワークシステムで用いられるＩＰ接続ではなく他のプロトコルを用いることで，サーバグループに対して施されているファーアウォールシステムが外部からの不正侵入者に破られサーバグループに進入されても，コントロールサーバまでは入り込めないように接続していることを特徴とするサーバグループ構成手段を採用する．【０００８】  高セキュリティを実現するサーバ構成法およびデータ管理方法に係わる第２の手段として、第１の手段として採用したデータ管理サーバにおける管理方法において，データ管理サーバが管理しているデータの機密性を高めるための手段であって，データ管理サーバが管理しているデータは全て暗号鍵を用いて暗号化した状態で保持すると共に，暗号鍵はデータ管理サーバ中のデータとして保存せずメインメモリ上に常駐する手段で保持することを特徴とするデータ機密化保持手段を採用する．【０００９】  高セキュリティを実現するサーバ構成法およびデータ管理方法に係わる第３の手段として、第２の手段として採用したデータ管理サーバにおける保持データに対して配信要求があった際にデータを要求先に送信する管理方法であって，データ送信を行う場合には，暗号化された状態で管理しているデータを読み出し，データ管理サーバのメインメモリ上に常駐させている暗号鍵を用いて通常のデータにデコードしつつ送信することで，保持データを暗号化されていない通常のデータとして要求先に送信することを特徴とするデータ配信手段を採用する．【００１０】  高セキュリティを実現するサーバ構成法およびデータ管理方法に係わる第４の手段として、第２の手段として採用したデータ管理サーバにおける暗号鍵の管理方法であって，コントロールサーバには常にコントロールサーバが管理するデータ管理サーバが持つべき暗号鍵を保存しておき，データ管理サーバのメインメモリ上に常駐させている暗号鍵が何らかの事由でなくなってしまった際，データ管理サーバはコントロールサーバから暗号鍵を入手することで，データ管理サーバでは常にメインメモリ上に暗号鍵を常駐させることを可能とすることを特徴とする暗号鍵管理手段を採用する．【００１１】  高セキュリティを実現するサーバ構成法およびデータ管理方法に係わる第５の手段として、第３の手段として採用したデータ管理サーバにおける暗号化された状態で管理しているデータを通常のデータにデコードしつつ送信するためのサーバ構成の手段であって，データ管理サーバが保持する暗号化されたデータに対して通常のデータにデ��ードしつつ送信する処理をデータ管理サーバで行うのではなく，デコード専用サーバによって処理することで，データ管理サーバには暗号鍵を保持させなくすることで，サーバグループに対して施されているファーアウォールシステムが外部からの不正侵入者に破られサーバグループに進入されデータ管理サーバが保持するデータ及びメインメモリが解読されても，暗号化されたデータと暗号をデコードする暗号鍵を同時に盗まれることが無くなり，よりセキュリティの高いデータ管理を実現できることを特徴とする暗号解読サーバ構成手段を採用する．【００１２】  高セキュリティを実現するサーバ構成法およびデータ管理方法に係わる第６の手段として、第１の手段として採用したサーバグループ構成手段で，第２の手段として採用したデータ機密化保持手段を適用すると共に，データ配信においては，第３の手段として採用したデータ配信手段もしくは請求項５に示す暗号解読サーバ構成手段を適用することで，ネットワークを介してサーバグループ内へ不正に進入しデータの盗難や改ざんを行おうとする不正侵入者に対してデータ保持管理のセキュリティを向上させると共に，物理的にデータ管理サーバのデータ記憶装置を盗難するような不正者に対してもデータ保持管理のセキュリティを向上させることができることを特徴とする高セキュリティを実現するサーバ構成法およびデータ管理方法を採用する．
【発明を実施するための最良の形態】
【００１３】  本発明の第１の手段であるサーバグループ構成手段を実現するためには、これまでに複数台で構成されていた一般的なサーバシステムに対して，コントロールサーバを配置するだけでよい．そしてコントロールサーバとデータ管理サーバ間を通常のコンピュータネットワークを構成するＩＰ接続ではなく，他のプロトコルで実現すればよい．【００１４】  本発明の第２の手段であるデータ機密化保持手段を実現するためには、データ保存時に暗号化するエンコードロジックを実行するだけなので，技術的課題はない．【００１５】  本発明の第３の手段であるデータ配信手段を実現するためには、暗号鍵をディスク上に配置せず，メインメモリ上に配置するのみである．これは，サーバ上に常時実行のプログラムを走らせておくだけなので，技術的課題はない．【００１６】  本発明の第４の手段である暗号鍵管理手段を実現するためには、本発明の第３の手段であるデータ配信手段で記した常時実行のプログラムをコントロールサーバに保存し，何らかの理由でデータ管理サーバ中で実行されている常時実行のプログラムが終了や中断した場合に，コントロールサーバ上に保存している常時実行のプログラムを呼び出し，実行するだけで実現可能であり，技術的課題はない．【００１７】  本発明の第５の手段である暗号解読サーバ構成手段を実現するためには、本発明の第１の手段に記載したサーバシステムの構成方法のうち，データ管理サーバで行っていた暗号化され保存されていたデータを通常のデータにデコードする処理を別のサーバで実行させるだけでよく，例えばデータ管理サーバに１対１でデコード専用のコンピュータを貼り付け，データを配信する際には，この貼り付けたコンピュータを介して配信するようにすればよいだけであり，技術的課題はない．【００１８】  以上，本発明は，既存の技術を組み合わせることで容易に実現することが可能である．
【実施例】
【００１９】  以下、図面を参照して、本発明に係わる高セキュリティを実現するサーバ構成法およびデータ管理方法の実施例を説明する。【００２１】  図１は、本発明の高セキュリティを実現するサーバ構成法およびデータ管理方法を用いたサーバシステムの一構成を示した図である．【００２２】  ここでは，インターネットにデータ配信などを行うサーバシステムにて実施例を説明する．複数台で構成されるサーバシステム１には，インターネット３から不正な方法で侵入し管理しているデータなどを破壊・盗難などを行う不正侵入者に対する対処方法として，ファイアフォール２と呼ばれる防御壁を構築している．これにより，正規の利用者以外はサーバシステム１に入れないようにすることで，サーバシステム１のセキュリティを保っている．【００２３】  ファイアフォールは，図１に示す通りサーバシステム１の入口で不正にサーバ内に進入しようとする不正侵入者を防御する．具体的な手段としては，ユーザＩＤと呼ばれる正規の利用者に対してＩＤ番号を発行すると共に，ＩＤによってサーバシステム１が管理するデータの何が閲覧・編集できるかという権限を与え，ＩＤに対応するパスワードによって，不正侵入者の侵入を防御していた．例えばサーバが管理する全てのデータを閲覧・編集できるという高い権限を持つユーザＩＤに対しては，パスワードを１つではなく複数のパスワード照合などにより，セキュリティの向上を図っている．【００２４】  このようにファイアウォール２では多くの工夫により，サーバシステム１内に不正侵入者が入り込まないようにしているが，残念ながら完璧に不正侵入者を防御できない状況にある．【００２５】  また，ファイアウォール２はあくまでも外部からの不正侵入者に対するものであり，内部は安全地帯となっており，内部に一度侵入されると防ぎようが無い．さらには，内部者が悪意を持ったときも，ファイアウォール２では防ぎようが無い．それにより，近年問題となっている内部からの情報流出などに対してはファイアウォール２は無意味となっている．【００２６】  更には，悪意を持ったものが，内部の人間であるなら，サーバの記憶装置を物理的に盗難したり，一時的に外してデータのコピーを作成したりすることも可能である．このような物理的に実施される不正行為に対しては，これまでのセキュリティ向上方法では何ら役に立っていないという問題点がある．【００２７】  このように，これまでのサーバシステムではセキュリティ上の多くの問題点を含んでいた．【００２８】  これに対し，本発明の高セキュリティを実現するサーバ構成法およびデータ管理方法では，第２の発明に示すように，データ管理サーバ４で管理するでーたは通常の形式ではなく，暗号化された形態で保持する．【００２９】  これにより，ファイアフォール２を破って進入した不正利用者，内部の悪意を持った者による不正なデータへのアクセスがあったとしても，データは何の意味もなさない形式であるため，盗難や改ざんはできない．更には，内部の悪意を持った者によるサーバの記憶装置を物理的に盗難したり，一時的に外してデータのコピーを作成したりすることにも対処できる．【００３０】  更には，保持データの暗号を解く暗号鍵は，データ管理サ��バ４のデータ記憶装置４４には無く，データ管理サーバ４のメインメモリ４１にのみ存在するので，暗号化されたデータと暗号を解くための暗号鍵の双方を同時に盗まれることはまず無い状況を構築している．【００３１】  なぜなら，通常のデータ管理サーバ４は図２に示すように，メインメモリ４１，中央演算装置４２，ネットワークコントローラ４３，データ記憶装置４４によって構成される．仮にファイアフォール２を破って進入した不正利用者，内部の悪意を持った者による不正なデータへのアクセスがあったとしても，データ管理サーバ４では，ネットワークコントローラ４３を介してデータ記憶装置４４内に保持しているデータを見るだけであり，データ記憶装置４４内ではデータは暗号化されているので，見られても全く問題とはならないのである．【００３２】  更に暗号を解読する暗号鍵は，メインメモリ４１にのみ存在するので，これを盗難すること非常に大きな労力を必要とする．また，ここで，図３に示すように，データ管理サーバ４で自らが管理するデータの暗号を復元するデコード処理を行うのではなく，第５の発明に記すように，各データ管理サーバ４に対して対応するデコードマシン６を配すれば，データ管理サーバ４で保持するデータの暗号を解く暗号鍵は当該コンピュータ上のどこにもおいていない状況が実現でき，より高いセキュリティを確保することが可能である．【００３３】  ここで，図３では簡略化のためデータ管理サーバ４とデコードマシン６を１対１で対応するように記述しているが，データ管理サーバ４を２台につき，デコードマシン６を１台というような１対１対応でない配置でもよい．更に言えば，複数のデータ管理サーバ４と複数のデコードマシン６を完全にどこからどこへでもかアクセス可能なネットワークを配置しておけば，データ管理サーバ４からデータを配信する都度，デコードマシン６中のジョブの少ないところを経由してデータ配信することも可能である．【００３４】  このデータ管理サーバ４のメインメモリ４１に常駐させている暗号鍵が何らかの原因でなくなった場合，第４の発明に記すように，コントロールサーバ５に暗号鍵を記憶させておけば，ここから暗号鍵データを引っ張ってくることで，データ管理サーバ４のメインメモリ４１では常に暗号鍵を保持できるようになる．【００３５】  このような構成を実現する場合，コントロールサーバ５とデータ管理サーバ４との間のデータ通信料は大きなものとはならない．よって，通常のネットワーク構築プロトコルであるＩＰ接続で接続する必要性はあまりない．むしろ古いプロトコルであるＲＳ２３２Ｃ等でも十分に機能する．【００３６】  そのため，コントロールサーバ５とデータ管理サーバ４との間の接続をＩＰ接続以外で実現すれば，ファイアフォール２を破って進入した不正利用者，内部の悪意を持った者は，電子的な操作ではデータ管理サーバ４までしか辿り着けず，コントロールサーバ５の所在すら認識できない状況を作ることが可能である．【００３７】  また，データ管理サーバ４が複数台存在しており，例えば図１のデータ管理サーバ４中の１台を管理するデータが空状態となるように余分にデータ管理サーバ４を配置しておけば，例えば，Ｂの管理するデータを別の暗号鍵でＡへ複製を作成し，作成が終わった後にＢの管理するデータを消去しＢを空にする．そして，Ｃの管理するデータを別の暗号鍵でＢへ複製を作成し，作成が終わった後にＣの管理するデータを消去しＣを空にする．というように順次暗号鍵を更新する処理も可能となり，より高いデータセキュリティを実現することが可能となる．
【産業上の利用可能性】
【００３８】  以上のように，本発明の高セキュリティを実現するサーバ構成法およびデータ管理方法を用いれば，これまで構築したデータ管理・配信を目的とするネットワークに接続されたサーバシステムに対し，ハードウェア的にはコントロールサーバを付加するだけ高いデータセキュリティを実現することが可能となる．【００３９】  ソフトウェア的に見ても困難な要因は無いので，低コストで容易にシステムを実現できる．【００４０】  そのため，インターネットにおけるデータの配信を目的とされた大規模なサーバシステムのみならず，イントラネットや社内ＬＡＮシステムにおけるデータ管理・配信を目的とするネットワークに接続されたサーバシステムなど，あらゆるデータ管理を目的としたサーバシステムの実現に寄与できる可能性がある．
【図面の簡単な説明】
【００４１】
【図１】  本発明の高セキュリティを実現するサーバ構成法およびデータ管理方法を用いたサーバの一構成を示した図である．
【図２】  データ管理サーバのハードウェア内部の構成を簡略化して示した図である．
【図３】  本発明の高セキュリティを実現するサーバ構成法およびデータ管理方法を用いたサーバの一構成を示した図である．
【符号の説明】
【００４２】１    サーバシステム
２    ファイアウォール
３    インターネット
４    データ管理サーバ
４１  メインメモリ
４２  中央演算装置
４３  ネットワークコントローラ
４４  データ記憶装置
５    コントロールサーバ
６    デコードマシン
【図１】
2007026402.tif 000003
【図２】
2007026402.tif 000004
【図３】
2007026402.tif 000005