(57)【特許請求の範囲】
【請求項１】
情報処理装置に備えられた仮想化手段により、ユーザがアクセスするオペレーティングシステム環境から隔離して構築されたデータ管理用のオペレーティングシステム及び所定のアプリケーションから成る管理用環境を備え、
さらにユーザがアクセスする前記オペレーティングシステム環境が、
キーボードなどの入力情報を前記管理用環境に送信し、その返答として前記管理用環境の画面転送手段で処理された表示画面の情報を前記管理用環境から受信する方法で前記アプリケーションを操作する手段とを備え、さらに前記情報処理装置に備えられた記憶装置の内部に前記管理用環境からのみ読み書き可能で、前記アプリケーションで使用するデータが予め格納される専用の格納領域を備えることをることを特徴とする情報処理装置。
【請求項２】
前記管理用環境が前記専用の格納領域に格納されたデータの有効期限を設定する有効期限管理テーブルと、この有効期限テーブルに設定された有効期限データを読出し、前記格納領域における有効期限切れとなった格納データを削除する削除手段を備えることを特徴とする請求項１に記載の情報処理装置。
【請求項３】
前記削除手段が、ネットワーク接続された管理サーバから指示された格納データを前記格納領域から削除する手段をさらに備えることを特徴とする請求項２に記載の情報処理装置。
【請求項４】
前記削除手段が、ユーザがアクセスする前記オペレーティングシステム環境が停止中の時は前記格納領域に格納されたデータの全てを揮発性のメモリに移動させる手段をさらに備えることを特徴とする請求項２または３に記載の情報処理装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報漏防止機能を備えた情報処理装置に係り、特に、盗難、紛失などの事故に遭遇したとしても内部データが漏洩してしまうのを防止する機能を備えた情報処理装置に関する。
【背景技術】
【０００２】
従来、盗難・紛失したパーソナルコンピュータ（以下、ＰＣ）などの情報処理装置に保存されているデータの漏洩防止の実現方法として、例えば下記非特許文献１及び非特許文献２に記載のものが知られている。
下記特許文献１に記載のものは、キーボードやマウスの入力をクライアント端末からサーバに送信し、サーバで入力を処理した後、画面データをクライアント端末に転送する、シンクライアント（画面転送方式）と呼ばれる技術である。この技術によれば、サーバ上でアプリケーションが稼動し、データ処理を実行するため、クライアント端末上にはデータが残らないため、データの漏洩は起こらない。
【０００３】
また、下記特許文献２に記載のものは、ファイルの入出力の際にフィルタリングを行い、動的にファイルを暗号化する暗号化ファイルシステムである。このシステムによれば、必要に応じてファイルが復号されるため、ＰＣの終了時にはハードディスクのデータはすべて暗号化された状態である。このため、ＰＣの盗難・紛失の場合でも、データは暗号化されており、ファイルの内容は漏洩しない。
【０００４】
【非特許文献１】「http://ja.wikipedia.org/wiki/%E3%82%B7%E3%83%B3%E3%82%AF%E3%83%A9%E3%82%A4%E3%82%A2%E3%83%B3%E3%83%88」（ウェブページ、２００７年８月現在）
【０００５】
【非特許文献２】「http://www.jpo.go.jp/shiryou/s_sonota/hyoujun_gijutsu/info_sec_tech/e-1-1.html」（ウェブページ、２００７年８月現在）
【発明の開示】
【発明が解決しようとする課題】
【０００６】
しかしながら、上記特許文献１に記載の技術は、ネットワークへの常時接続が必要になるため、ネットワークの繋がらない場所では使えないなど、ユーザの利便性の点で課題が残る。
また、上記特許文献２に記載の技術は、データが暗号化されていてもファイル自体が漏洩すれば解読することは可能な点、また、そもそもの目的であるファイルの漏洩は防止できていない点での課題が残る。
すなわち、上記特許文献１や特許文献２に示される従来技術では、盗難・紛失したＰＣに保存されているデータの漏洩を本質的には防止できないという問題がある。
【０００７】
本発明は、ネットワークインタフェースを備えていない場合であっても盗難・紛失した情報処理装置本体に保存されている内部データが１ビットたりとも漏洩しないようにする情報漏洩防止機能を備えた情報処理装置を提供することを目的とする。
【課題を解決するための手段】
【０００８】
上記目的を達成するために、本発明は、情報処理装置に備えられた仮想化手段により、ユーザがアクセスするオペレーティングシステム環境から隔離して構築されたデータ管理用のオペレーティングシステム及び所定のアプリケーションから成る管理用環境を備え、
さらにユーザがアクセスする前記オペレーティングシステム環境が、
キーボードなどの入力情報を前記管理用環境に送信し、その返答として表示画面の情報を前記管理用環境から受信する方法で前記アプリケーションを操作する手段を備えることを特徴とする。
また、情報処理装置に備えられた記憶装置の内部に前記管理用環境からのみ読み書き可能で、前記アプリケーションで使用するデータが予め格納される専用の格納領域を備えることを特徴とする。
また、前記管理用環境が前記専用の格納領域に格納されたデータの有効期限を設定する有効期限管理テーブルと、この有効期限テーブルに設定された有効期限データを読出し、前記格納領域における有効期限切れとなった格納データを削除する削除手段を備えることを特徴とする。
また、前記削除手段が、ネットワーク接続された管理サーバから指示された格納データを前記格納領域から削除する手段をさらに備えることを特徴とする。
また、前記削除手段が、ユーザがアクセスする前記オペレーティングシステム環境が停止中の時は前記格納領域に格納されたデータの全てを揮発性のメモリに移動させる手段を備えることを特徴とする。
【発明の効果】
【０００９】
本発明によれば、情報処理装置に備えられた仮想化手段により、ユーザがアクセスするオペレーティングシステム環境とデータ管理用のオペレーティングシステム及びアプリケーションから成る環境を隔離した状態で同時に稼動させる。
ここで、ユーザがアクセスするオペレーティングシステム環境、データ管理用のオペレーティングシステム及びアプリケーションから成る環境を仮想化して構築する技術は、例えばインテルｖＰｒｏプロセッサー・テクノロジーによって実現されるものである。
このインテルｖＰｒｏプロセッサー・テクノロジーについては、インターネット上で下記のＵＲＬに公開されているので詳細な説明は省略する。
ｖＰｒｏホワイトペーパー
「http//www.intel.co.jp/jp/business/business-pc/collaterals.htm#WhitePaper」
ｖＰｒｏプロセッサー・テクノロジー
「http//download.intel.com/jp/business/japan/pdf/311710-003JA/pdf」
【００１０】
上記のデータ管理用のオペレーティングシステム及びアプリケーションから成る環境は、不正なユーザやプログラムによるＯＳ環境の書き換え等の攻撃への耐性が必要である。こういった不正な改竄からＯＳの実行環境を保護する技術は、例えば下記のＵＲＬに公開されているように、インテル社のＴＰＭ（Trusted Platform Module）といった技術で実現される。
特許庁技術解説（ＴＰＭ）
「http://www.jpo.go.jp/shiryou/s_sonpta/hyoujun_gijutsu/info_sec_tech/f-1-2.html
」
【００１１】
ユーザは管理用のオペレーティングシステム及びアプリケーションから成る環境を用い、キーボードやマウスによる間接的な入力方法でしかデータを操作できなくなるため、ユーザがアクセスするオペレーティングシステム環境で稼動する不正プログラムによるデータ漏洩のリスクを低減できる。
また、重要なデータを保存する専用の格納領域に必要なデータを予め格納しておくことで、ネットワークが繋がらない場所でもデータにアクセスできるようになり、利便性が向上する。この格納領域は管理用環境のみから読み書き可能にするアクセス制御手段を備えており、ユーザがアクセスするオペレーティングシステム環境へのデータの流出もない。
また、必要がなくなったデータを削除することで、盗難・紛失した情報処理装置からデータが漏洩するリスクを低減できる。
また、ユーザがアクセスするオペレーティングシステム環境が停止している時は、データが揮発性メモリ上に退避されているため、盗難・紛失したコンピュータにアクセスできる第三者が記憶装置を取り外し、別のコンピュータでデータを閲覧しようとしてもできない。
【発明を実施するための最良の形態】
【００１２】
以下、本発明を実施する場合の一形態を図面を参照して具体的に説明する。
図１は、本発明に係る情報処理装置の一実施の形態を示すシステム構成図である。
図１において、ネットワーク１６に接続したＰＣ１は、ユーザ環境２と管理用環境５に分かれる。ユーザにはユーザ環境２の使用だけを許可する。不正なユーザによる管理用環境５へのアクセスを禁止するため、本発明では、前述のｖＰｒｏやＴＰＭ等のハードウェア技術を活用する。
ユーザ環境２には、キーボードやマウスの入力を管理用環境５に送信し、その応答として管理用環境５から転送された画面データを表示するための画面表示手段３がオペレーティングシステム４で稼動する。
【００１３】
一方、管理用環境５には、文書作成、表計算などの重要データを扱うために使用するアプリケーション６、ユーザ環境２から送信されたキーボードやマウスの入力を処理し、画面データをユーザ環境２に転送する画面転送手段７、データを削除する削除手段８がセキュアなオペレーティングシステム９で稼動する。
削除手段８はデータ削除のポリシーの設定を記述した有効期限管理テーブル１０を保持し、本テーブル１０の設定に基づいて削除するデータを決定する。
ユーザ環境２と管理用環境５の２つのオペレーティングシステム環境を起動するため、下位には仮想マシンモニター１２、さらにその下位にハードウェア１３の構成をとる。
ハードウェア１３には、ＰＣ１の電源をオフにするとデータが自動的に消去される揮発性のメモリ１４やＰＣ１の電源をオフにしてもデータを記憶することができるハードディスクが含まれる。
【００１４】
本発明のＰＣ１では、期限付きデータフォルダ１５を用意し、安全にデータを保持するための記憶領域として使用する。また、ユーザ環境２から期限付きデータ格納フォルダ１５へのアクセス制御を行うアクセス制御手段を２つの環境２，５と仮想マシンモニター１２の中間に配置する。
【００１５】
図２は、有効期限管理テーブル１０の格納データの例を示す図である。
有効期限管理テーブル１０は、期限付きデータ格納フォルダ１５に保存したデータの有効期限を設定するテーブルであり、組織の管理者は、期限付データ格納フォルダ１５のパスと、有効期限を設定した有効期限管理テーブル１０を作成し、予めＰＣ１に配布して登録しておく。
【００１６】
図３は、本発明に係わる従来技術の説明図である。データの漏洩防止技術には、シンクライアントやデータの暗号化がある。シンクライアントでは、シンクライアントサーバ３０上のアプリケーションをネットワーク１６経由でシンクライアント端末３１からアクセスする方法である。シンクライアント端末３１はキーボードやマウスの入力をシンクライアントサーバ３０に送信し、シンクライアントサーバ３０で入力を処理した後、画面データをシンクライアント端末３１に転送する。シンクライアントサーバ３０ですべてのデータ処理を実行する。シンクライアント端末３１の盗難・紛失の場合でも、シンクライアント端末３１にはデータ３３が存在しないため、情報漏洩の心配はない。
しかしながら、ネットワーク１６への常時接続が必要となるなど、ユーザの利便性の点で課題が残る。
一方、暗号機能搭載のノートＰＣ３２では、ファイル暗号化ソフト等を用いてデータを暗号化して保存し、必要に応じて復号する。ＰＣ３２の盗難・紛失の場合でも、データは暗号化されているため、ファイルの内容が漏洩することはないが、暗号化されたデータ３４の漏洩自体を防ぐことはできない。
【００１７】
図４は、本発明に係わる情報処理装置におけるデータアクセス方法を示す説明図である。
図４において、ファイルサーバ４０とノートＰＣ１がネットワーク１６に接続されている。
本発明では、外出先でデータにアクセスする方法として、ネットワーク１６からデータ４１をダウンロードする方法、外部媒体４２等を用いて予めＰＣ１の期限付きデータ格納フォルダ１５にデータをコピーしておく方法の２通りを用意する。
ＰＣ１にネットワークインタフェースが搭載されている場合は前者を、ＰＣ１にネットワークインタフェースが搭載されていないか、またはネットワークが繋がらない環境で作業する場合には後者を用いる。
【００１８】
前者では、ユーザに管理用環境５へのシンクライアントのインタフェースを提供する。データをファイルサーバ４０からダウンロードし、期限付きデータ格納フォルダ１５に格納する、または、アプリケーション６を使用してデータの閲覧・編集を行う、等のデータの操作は本インタフェース経由でのみ可能である。
管理用環境５はユーザのキーボード・マウスの入力を受信し、ユーザ環境２には画面データだけを転送するため、管理用環境５への不正アクセスに対する耐性は高い。本シンクライアントインタフェースを通して、ユーザ環境２からデータの閲覧・編集を行うために必要なアプリケーションのセットアップを実行することは技術的には可能である。ただし、管理用環境５に不正なソフトウェアをセットアップされる恐れが残る。安全性を考慮した場合、予め、組織の管理者によってセットアップされていることが望ましい。
【００１９】
一方、後者では、外部媒体からデータを期限付きデータフォルダ１５にコピーする手段を提供する。ただし、この場合も管理用環境５のシンクライアントインタフェースを用いて行うデータのコピーだけを許可する。この機能を実現するため、アクセス制御手段１１はユーザ環境２から期限付きデータ格納フォルダ１５へのアクセスは全て禁止するが、当該シンクライアントインタフェース経由でのデータの操作は全て許可する。
【００２０】
図５は、本発明に係わるＰＣ１が盗難・紛失した場合に、内部のデータを削除する方法を示す説明図である。
管理サーバ５０とＰＣ１がネットワーク１６で接続されている。ＰＣ１には、管理用環境５とユーザ環境２が稼動している。データの削除は管理用環境５で稼動する削除手段８が実行する。期限付きデータ格納フォルダ１５に格納されたデータはＰＣ１の盗難・紛失の際に漏洩の心配が残るため、削除の対象である。
【００２１】
本発明では、３通りのデータ削除の方法を提供する。
１つ目として、有効期限切れのデータを削除する方法である。ＰＣ１が盗難・紛失した場合に、当事者がすぐに気づくとは限らない。データに予め有効期限を設定しておき、期限が切れたデータを自動的に削除することによって、データが残った状態でＰＣ１が発見されるリスクを低減できる。ただし、これだけでは、有効期限が切れるまでの間の対策にならない。
【００２２】
そこで２つ目として、ＰＣ１を紛失した当事者が管理者にその旨を報告し、管理者が管理サーバ５０からＰＣ１にデータの削除を要求する方法を提供する。この機能を実現するには、ＰＣ１の管理用環境５で稼動する削除手段８は、定期的に管理サーバ５０に削除要求があるか問い合せを行う必要がある。上記した２つの方法を実現するため、ＰＣ１の管理用環境５の電源状態は、常時、ＡＣＰＩ（Advanced Configuration and Power Interface）のスリープ・ステートで規定されている“Ｓ２”以上であり、完全には停止しないことを前提とする。因みに、“Ｓ０”は電源オン状態、“Ｓ１”は低消費電力状態（ＣＰＵ、チップセットともに電源オン）、“Ｓ２”は低消費電力状態（チップセットだけ電源オン）、“Ｓ３”はスタンバイ状態、“Ｓ４”は休止状態、“Ｓ５”は電源オフ状態である。
【００２３】
しかしながら、２つ目の方法でも、ネットワークが繋がらない場所にＰＣ１が存在する場合や、当事者がＰＣ１の盗難・紛失に気づき、管理者に報告した後で管理者が削除要求を出すまでの間には相当タイムラグが生じる可能性が高く、完全ではない。
そこで、３つ目の方法として、ユーザがＰＣ１の使用を終了する際、つまりユーザ環境２を停止させる時に期限付きデータ格納フォルダ１５のデータを揮発性のメモリ１４上に移動させる方法で上記した２つの方法を補完する。この方法ならば、仮に、盗難・紛失したＰＣ１から第三者がハードディスクを取り外した場合でもディスク内部にデータは残っておらず、漏洩の心配はない。
【００２４】
一方、ＰＣ１のメモリとして標準的に利用されているＤＲＡＭ等では、電源供給が停止することによって記憶内容が自動的に消去されるため、メモリを取り外した時の漏洩の心配もない。唯一、期限付きデータ格納フォルダ１５の容量がメモリの記憶容量を超えてしまう場合に全てのデータを移動できない制限がある。ただし、最近では1ＧＢ以上のメモリを搭載しているＰＣが一般的になっており、ほとんどのケースで問題はない。
【００２５】
次に、画面表示手段３について説明する。
図６は、画面表示手段３に関するデータアクセス処理のフローチャートである。
ユーザがユーザ環境２にログイン後、画面表示手段を起動すると（ステップ６０１）、画面表示手段３は管理用環境５の画面転送手段７との間に通信用のセッションを確立する（ステップ６０２）。以下、繰り返しの処理である。その後、ユーザが画面表示手段３にキーボードやマウスを使用したデータの入力を行うたびに、画面表示手段３は画面転送手段７に入力データを送信し（ステップ６０３）、画面転送手段７から画面データを受信するのを待ち（ステップ６０４）、受信した画面データを表示する（ステップ６０５）。以降はステップ６０３から繰り返す。
【００２６】
次に画面転送手段７について説明する。
図７は、画面転送手段７に関するデータアクセス処理のフローチャートである。
画面転送手段７は管理用環境５の起動と同時に自動的に起動し、ユーザ環境２の画面表示手段３から接続要求を待つ（ステップ７０１）。そして接続要求があると（ステップ７０２）、以下の繰り返しの処理を開始する。
画面表示手段３からのキーボードやマウスの入力データを待ち（ステップ７０３）、入力データを受信すると（ステップ７０４）、入力内容が通信セッション終了かチェックする（ステップ７０５）。ＴＲＵＥの場合は、ステップ７０１から繰り返す。ＦＡＬＳＥの場合は、入力を処理し、ユーザ環境２の画面表示手段３に画面データを転送した後（ステップ７０６）、ステップ７０３から繰り返す。
【００２７】
次に、アクセス制御手段１１について説明する。
図８は、アクセス制御手段１１のフローチャートを示す。
この処理はＰＣ１上でファイルアクセスが発生するたびに繰り返される。
アクセス制御手段１１はファイルアクセスを待ち（ステップ８０１）、ファイルアクセスが発生すると（ステップ８０２）、当該ファイルアクセスがユーザ環境２から期限付きデータ格納フォルダ１５へのアクセスかチェックする（ステップ８０３）。ＴＲＵＥの場合は、当該ファイルアクセスを拒否し（ステップ８０４）、ステップ８０１から繰り返す。ＦＡＬＳＥの場合は、当該ファイルアクセスが管理用環境５から期限付きデータ格納フォルダ以外の場所へのアクセスかチェックする（ステップ８０５）。
ＴＲＵＥの場合は、当該ファイルアクセスを拒否し（ステップ８０６）、ステップ８０１から繰り返す。ＦＡＬＳＥの場合は、通常のファイルアクセス処理をそのまま実行し（ステップ８０７）、ステップ８０１から繰り返す。
【００２８】
次に、削除手段８について説明する。
図９は、削除手段８のデータ削除処理のフローチャートである。
この処理は一定間隔で繰り返される。削除手段８は有効期限管理テーブル１０を参照し（ステップ９０１）、期限切れのデータがあるかチェックする（ステップ９０２）。ＴＲＵＥの場合、期限切れフォルダを削除する（ステップ９０３）。ＦＡＬＳＥの場合、またはステップ９０３終了後、管理サーバ５０（図５）からデータの削除要求があるかチェックする（ステップ９０４）。ＴＲＵＥの場合、対象データを削除する（ステップ９０５）。ＦＡＬＳＥの場合、またはステップ９０５の終了後、ユーザ環境２の電源状態が“Ｓ４”、または“Ｓ５”の状態かチェックする（ステップ９０６）。
ＴＲＵＥの場合、期限付きデータ格納フォルダ１５に含まれるデータを全て揮発性のメモリ１４上に移動する処理を行い（ステップ９０７）、ステップ９０１から繰り返す。ＦＡＬＳＥの場合、ステップ９０１から繰り返す。
【図面の簡単な説明】
【００２９】
【図１】本発明に係る情報処理装置の一実施の形態を示すシステム構成図である。
【図２】図１の情報処理装置に実装された有効期限管理テーブルの設定データの例を示す図である。
【図３】本発明に係わる従来技術の説明図である。
【図４】本発明に係わる情報処理装置におけるデータアクセス方法を示す説明図である。
【図５】本発明に係わる情報処理装置における盗難・紛失時のデータ削除方法を示す説明図である。
【図６】本発明に係わる情報処理装置における画面表示手段に関するデータアクセス処理のフローチャートである。
【図７】本発明に係わる情報処理装置における画面転送手段に関するデータアクセス処理のフローチャートである。
【図８】本発明に係わる情報処理装置におけるアクセス制御手段のアクセス制御処理のフローチャートである。
【図９】本発明に係わる情報処理装置における削除手段のデータ削除処理のフローチャートである。
【符号の説明】
【００３０】
１…ＰＣ、２…ユーザ環境、３…画面表示機能、４…ＯＳ、５…管理用環境、６…アプリケーション（文書作成、表計算、…）、７…画面転送機能、８…削除機能、９…セキュアＯＳ、１０…有効期限管理テーブル、１１…アクセス制御機能、１２…仮想マシンモニター、１３…ハードウェア、１４…メモリ、１５…期限付きデータフォルダ、１６…ネットワーク。
【図１】
0004908367.tif 000002
【図２】
0004908367.tif 000003
【図３】
0004908367.tif 000004
【図４】
0004908367.tif 000005
【図５】
0004908367.tif 000006
【図６】
0004908367.tif 000007
【図７】
0004908367.tif 000008
【図８】
0004908367.tif 000009
【図９】
0004908367.tif 000010