(57)【要約】【課題】  機密データが外部に流出しないことを前提とした装置であって、１台の端末上において機密データがローカルマシン上に保存されるのを防止しつつ、二次記憶装置への書き込みが必要なアプリケーションに関しては、その動作に制限がない情報処理装置を提供する。【解決手段】  二次記憶装置へのデータの書き込みを禁止する第１のＯＳ環境と、前記二次記憶装置へのデータの書き込みを許可する第２のＯＳ環境とを構築する第１の手段と、前記第１のＯＳ環境において作成・編集されたデータの二次記憶装置への保存操作時に保存先を主記憶装置へ変更する第２の手段と、前記第２のＯＳ環境において作成・編集されたデータが前記二次記憶装置へ保存された場合、当該情報処理装置のシャットダウン時に、前記二次記憶装置へ保存されたデータを分割し、他の情報端末またはサーバへ転送して分散保存させる第３の手段とを備えることを特徴とする。【選択図】      図１
2009043133.tif 000002
【特許請求の範囲】
【請求項１】
二次記憶装置へのデータの書き込みを禁止する第１のＯＳ環境と、前記二次記憶装置へのデータの書き込みを許可する第２のＯＳ環境とを構築する第１の手段と、前記第１のＯＳ環境において作成・編集されたデータの二次記憶装置への保存操作時に保存先を主記憶装置へ変更する第２の手段と、前記第２のＯＳ環境において作成・編集されたデータが前記二次記憶装置へ保存された場合、当該情報処理装置のシャットダウン時に、前記二次記憶装置へ保存されたデータを分割し、他の情報端末またはサーバへ転送して分散保存させる第３の手段とを備えることを特徴とする情報処理装置。
【請求項２】
前記第２の手段が、主記憶装置に代えて、ユーザによって指示された機密データ専用のサーバに保存先を変更することを特徴とする請求項１に記載の情報処理装置。
【請求項３】
前記第３の手段が、分散保存させるデータを同一ネットワーク内の他の情報処理装置を分散保存先として転送して保存させ、分散保存したデータは他の情報処理装置が起動していることを条件として復元することを特徴とする請求項１または２に記載の情報処理装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報漏洩防止機能を備えた情報処理装置に関するものである。
【背景技術】
【０００２】
現在、企業で使用されるパーソナルコンピュータ（以下、ＰＣ）には、情報漏洩を防止するための何らかの措置が施されているのが一般的である。例えば、特許文献１に開示されているように、二次記憶装置やリムーバブルデバイスへの書き込みが行われる際に、自動的にデータを暗号化することにより、ＰＣやリムーバブルデバイスが紛失した際に、情報漏洩がおきないような措置が講じられている。
通常、暗号化されたデータの安全性は数学的に証明されており、第三者が暗号化されたデータを復号することは困難であるとされている。しかし、これは、悪意を持ち、かつ、正当なＰＣのユーザであるというユーザが存在しないことを前提にしており、実際には暗号化されていても情報漏洩を防止できてはいない。例えば、情報を外部に持ち出したいＰＣの正当なユーザが、本当はＰＣを紛失していないのにＰＣを紛失したと嘘をつく場合が考えられる。この場合、ユーザはＰＣの正当なユーザであることには変わりないので、暗号化されたデータを復号することができ、人知れずＰＣ内のデータを外部へ取り出すことができる。
【０００３】
このようなケースに対して、二次記憶装置を持たない端末を使用したシンクライアントシステムが有効なソリューションとして知られている。このシステムによれば、データが端末上に保存されることがないため、端末を紛失した場合に情報が漏えいすることがない。さらに、悪意を持ち、かつ、ＰＣの正当なユーザが故意に端末内にデータを保存して外部へ持ち出そうとするような状況を未然に防止できる。
【０００４】
また、特許文献２では、二次記憶装置を持つ端末において、二次記憶装置への書き込みを主記憶装置上へリダイレクトすることで、二次記憶装置への書き込みを制限し、擬似的に二次記憶を持たない端末を実現することを可能としている。これにより、サーバ上のデータが端末に保存されて外部に流出するのを防止することができる。
【０００５】
【特許文献１】特開平１１−１４９４１４号公報
【特許文献２】特開２００７−１４１１８０号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
しかし、二次記憶装置を持たない端末を使用した情報処理システムでは、高セキュリティ環境を実現できる半面、データをローカルマシン上に保存できないという制限から、システムの柔軟性は失われてしまう。例えば、ソフトウェア開発を行う企業では、短期的にシステム構成を変更する必要があったり、新規開発ツールをインストールする必要があったりするため、端末を全てこの種の端末にすることは望ましくない。
また、二次記憶装置への書き込みを制限しているため、アプリケーションの種類によっては、動作に支障がでるものがある問題がある。
さらに、アプリケーションやユーザの設定情報等の保存に関して、二次記憶装置への書き込みができないために、端末の再起動毎に設定がリフレッシュされるという問題もある。
【０００７】
本発明は、このような実情に鑑みてなされたものであり、機密データが外部に流出しないことを前提としたシステムであって、１台の端末上において機密データがローカルマシン上に保存されるのを防止しつつ、二次記憶装置への書き込みが必要なアプリケーションに関しては、その動作に制限が生じないようにすることができる情報処理装置を提供することを目的とする。
【課題を解決するための手段】
【０００８】
上記目的を達成するために、本発明に係る情報処理装置は、二次記憶装置へのデータの書き込みを禁止する第１のＯＳ環境と、前記二次記憶装置へのデータの書き込みを許可する第２のＯＳ環境とを構築する第１の手段と、前記第１のＯＳ環境において作成・編集されたデータの二次記憶装置への保存操作時に保存先を主記憶装置へ変更する第２の手段と、前記第２のＯＳ環境において作成・編集されたデータが前記二次記憶装置へ保存された場合、当該情報処理装置のシャットダウン時に、前記二次記憶装置へ保存されたデータを分割し、他の情報端末またはサーバへ転送して分散保存させる第３の手段とを備えることを特徴とする。
また、前記第２の手段が、主記憶装置に代えて、ユーザによって指示された機密データ専用のサーバに保存先を変更することを特徴とする。
また、前記第３の手段が、分散保存させるデータを同一ネットワーク内の他の情報処理装置を分散保存先として転送して保存させ、分散保存したデータは他の情報処理装置が起動していることを条件として復元することを特徴とする。
【発明の効果】
【０００９】
本発明によれば、特許文献２のようなシステム上において、これまで二次記憶装置への保存ができないために制限を受けていたアプリケーションを、第２のＯＳ環境上で動作させることにより、制限なしで使用できるようになる。その際、二次記憶装置に保存されたデータは、シャットダウン時に、他の情報処理装置またはサーバに秘密分散されて保存されるため、情報漏洩を防止することができる。また、第１のＯＳ環境で作成または編集された機密データは、主記憶装置へ保存先が変更されて保存され、シャットダウン時に消滅する。あるいは機密サーバへ保存先が変更されるため、機密データが二次記憶装置から外部へ漏洩することはなくなる。
【発明を実施するための最良の形態】
【００１０】
以下、本発明の実施形態を説明する。
（第１実施形態）
図１は、本発明の第１の実施形態を示すシステム構成図である。図２は、ユーザが使用する情報処理端末（情報処理装置）の内部構成を示した図である。図３〜図６は、動作に関するフローチャートである。
本実施形態のシステムは、任意の台数の情報処理端末１００、一般サーバ１０１、及び機密サーバ１０２から成り、それらが、ローカルエリアネットワーク１０３（以下、ＬＡＮ）で接続されている。
なお、本システムにおいてＬＡＮ１０３内には、Ｗｅｂサーバ、メールサーバ等が存在し、かつ、外部ネットワークと通信可能であることを前提としているが、ここでは省略する。
また、後述するホストＯＳとゲストＯＳは、ＤＨＣＰサーバにより動的にＩＰアドレスが割り振られ、かつ、ホストＯＳと仮想マシン上のゲストＯＳはブリッジ構成で構築されていて、異なるＩＰアドレスが割り振られている。これにより、マシン毎にAccess Control List（ＡＣＬ：アクセス制御リスト）をベースとしたアクセス制御が可能となっているものとする。
また、情報処理端末１００のそれぞれは、主記憶装置とＨＤＤ等で構成された二次記憶装置を備えているが、図１においては図示を省略している。
【００１１】
本実施形態に示す１台の情報処理端末１００は、仮想マシンを使用し、「ディスクアクセス制御機能を使用して二次記憶装置への書き込みを禁止したＯＳ環境」と、「二次記憶装置への保存を許可するが保存されたデータは端末のシャットダウン時に秘密分散化してネットワーク内にある他の場所へ保存するＯＳ環境」を構築し、ユーザが選択的に２つのＯＳ環境を使用できる機能を備える。
また、図１に示すシステムでは、「二次記憶装置への書き込みを禁止したＯＳ環境」からのみアクセス可能な「機密サーバ」と、「二次記憶装置への保存を許可するが保存されたデータは端末のシャットダウン時に秘密分散化してネットワーク内にある他の場所へ保存するＯＳ環境」からのみアクセス可能な「一般サーバ」をネットワーク内に備える。
なお、本システムにおける仮想マシンとは、ある特定のハードウェアをエミュレーションする環境、もしくはそれによって実現された仮想的なマシン環境のことであり、通常何らかのＯＳ上で動作する。また、仮想マシン上では、前記のＯＳとは異なるＯＳやプログラムを動作させることが可能である。以後、本発明では、物理マシン上で動作し、かつ二次記憶装置への保存を許可したＯＳのことをホストＯＳ、仮想マシン上で動作しかつ二次記憶装置への保存を禁止したＯＳのことをゲストＯＳと呼ぶ。
【００１２】
本システムでは、ホストＯＳとゲストＯＳ間でのデータ転送を禁止する機能が備わっている。例えば、仮想マシンが提供するクリップボードを使用したデータのコピー＆ペーストや、ＲＰＣを使用してファイル転送を行うこと等が考えられる。本システムでは、これらの転送は全て禁止する。
【００１３】
本システムにおいて、ゲストＯＳは、仮想マシン上の仮想的な二次記憶装置（以後、仮想ＨＤＤと呼ぶ）への書き込みを制御する機能を備え、前記仮想ＨＤＤへの書き込みを禁止する。実際には、ゲストＯＳの記憶装置へのＩ／Ｏを監視し、仮想ＨＤＤへの書き込みを仮想マシンが管理する主記憶装置上（以後、仮想主記憶装置と呼ぶ）へリダイレクトすることにより、ＯＳの動作を確保しつつ、シャットダウン後にデータが仮想マシン、及び情報処理端末内に残存することを禁止する。
【００１４】
本システムにおいて、ホストＯＳとゲストＯＳ上には、ＯＳが認識できる外部記憶装置（例えば、ＵＳＢメモリ等）へのアクセスを制御する機能を備える。
これらの機能により、ユーザがゲストＯＳ上で作成・編集したデータが、機密サーバ以外の場所に保存されたり、メールに添付されて送信されたり、ＦＴＰにより外部へ送信されるのを防ぐことができる。
【００１５】
本システムにおいて、ホストＯＳ上の任意のアプリケーションで作成したデータは、通常の情報端末と同様に、二次記憶装置へ保存を行える。ここで、本システムでは、ホストＯＳ上でデータを保存した場合、ファイルＩ／Ｏを監視し、どこに、どのデータが保存されたかを監視・記憶する機能と、ホストＯＳがシャットダウンされる際、前記監視・記憶されたデータを強制的に秘密分散して他の端末、または、一般サーバへ保存する機能とを備える。
この機能により、ユーザは通常の情報端末と同様に、二次記憶装置へ保存を行え、かつ、端末がシャットダウンした後は、ローカルにデータが保存されていないのと同じ状態を実現することができる。
なお、秘密分散技術とは１つのデータを二つ以上のデータに分散させる技術である。以後、分散したデータのことをシェアと記述する。また、分散したファイルの事をシェアファイルと記述する。個々のシェアからは元の情報を一切類推する事ができないため安全にデータを保管できる。また、シェアを決められた閾値以上の数だけ揃えることにより、元のデータを復元することが可能である。
この秘密分散技術については、次の文献等で公知であるので、ここでの詳細な説明は省略する。
【特許文献３】特開２００４−２１３６５０
【非特許文献１】A . S h a m i r , " H o w  t o  S h a r e  a  S e c r e t " , C o m m . A s s o c . C o m p u t . M a c h . , V o l. 2 2 , n o . 1 1 ,   p p . 6 1 2 - 6 1 3 ( N o v . 1 9 7 9 )
【非特許文献２】西川律子 , 「秘密分散法の概要」 ,沖テクニカルレビュー           第２０６号 ,V o l. ７３ , n o . 1 ,p p .７０ - ７１ ( ２００６年１月 )
【００１６】
本システムでは、ネットワーク上に前記と同様の機能を備えた情報端末が複数台動作している場合、ホストＯＳ上で秘密分散されたシェアを、ネットワーク内の他の端末内の二次記憶装置に保存することが可能な機能を備えることも可能である。
この機能によれば、シェアを送られた側の端末が起動していない場合、シェアを送った側のホストＯＳ上でデータが復元できないため、ユーザ同士の監視効果を果たし、より高セキュリティを実現することが可能となる。
なお、シェアの保存時に起動している他の端末がない場合は、シェアを機密データ専用のサーバ以外の一般サーバへユーザの指示に従って保存することも可能である。
【００１７】
また、ホストＯＳ上では、予め決められたアプリケーション以外のインストールを禁止する機能が備えられている。
これにより、ユーザが悪意のあるツールを使用して、ホストＯＳ上のデータを持ち出すことができなくなる。
また、機密データを含むデータを作成するツール、例えば、帳票アプリケーションやドキュメント作成アプリケーション等をインストールさせないようにすることで、ホストＯＳ上で機密データ作成を不能にすることも可能である。
【００１８】
本システムでは、ホストＯＳからのみアクセス可能な一般サーバがネットワーク内に存在する。このサーバは、ゲストＯＳからアクセスすることはできない。
これにより、ユーザがゲストＯＳを経由して機密サーバ内のデータを一般サーバへ保存できなくさせることが可能となる。
【００１９】
本システムでは、ネットワーク内には前記の機能を備える情報端末が複数存在してもよいものとするが、この際、機密サーバへは各端末のホストＯＳからのアクセスはできない。
また、逆に、各端末のゲストＯＳから一般サーバへはアクセスすることはできない。これにより、機密サーバ内の情報がホストＯＳを経由して外部に漏洩することを防止できる。
【００２０】
図２は、ユーザが使用する情報端末１００の内部構成を示した図である。
情報端末１００には、ホストＯＳ２００、仮想マシン２０１及び仮想マシン２０１上でゲストＯＳ２０２が動作している。
ホストＯＳ２００上には、インストール監視モジュール２０３、書き込み監視モジュール２０４、ネットワーク監視モジュールＡ２０５、書き出し制御モジュールＡ２０６、仮想マシン管理モジュール２０７、秘密分散モジュール２０８、シェア管理モジュール２０９がインストールされている。
【００２１】
インストール監視モジュール２０３は、ホストＯＳ２００上において、ユーザがソフトウェアを任意にインストールできないようにするためのモジュールである。また、このモジュール２０３は、ＯＳ設定を自由に変更できないようにする機能も含む。実際には、レジストリの変更を禁止することにより、アプリケーションのインストールを阻止する方法や、インストールされているソフトウェアを列挙して調べて不正ソフトウェアを検出し、管理者へ報告するエージェントプログラム等が考えられる。
【００２２】
書き込み監視モジュール２０４は、ホストＯＳ２００上のアプリケーションやサービスによる二次記憶装置へのファイルＩ／Ｏを監視し、どこにどのデータが保存されたかを記憶しておき、情報端末１００のシャットダウン時に前記二次記憶装置に保存されたデータを、シェア管理モジュール２０９に通知する機能を持つモジュールである。このモジュール２０４により、シャットダウン後にホストＯＳ２００上にデータが存在しなくなるため、情報漏洩防止を実現することが可能となる。
【００２３】
ネットワーク監視モジュールＡ２０５は、ホストＯＳ２００から一般サーバ１０１以外へのアクセス要求があった場合に、アクセスを禁止するモジュールである。このモジュール２０５は、ＡＣＬを使用し、予め管理者が登録しておいたサーバ以外へのアクセスはできないようにすることで実現できる。
【００２４】
書き出し制御モジュールＡ２０６は、外部メディア、例えば、ＵＳＢメモリやＣＤ等へのデータの書き出しを禁止するためのモジュールである。
【００２５】
仮想マシン管理モジュール２０７は、ホストＯＳ２００とゲストＯＳ２０２の切り替えをユーザが選択的に行えるようにする機能と、ホストＯＳ２００とゲストＯＳ２０２の起動やシャットダウンの同期をとる機能を持つモジュールである。
ＯＳ切り替えを行った際に、切り替えられた方のＯＳのデスクトップ画面が強制的にフルスクリーンサイズで表示され、双方のＯＳを同時に同じデスクトップ画面で操作することができないようになっている。また、ユーザが、ホストＯＳ２００、ゲストＯＳ２０２のどちらかでシャットダウンを選択した場合、ユーザによりシャットダウンが選択されたＯＳではないＯＳに対してシャットダウン信号を通知し、端末１００がシャットダウンできるようにする。
【００２６】
秘密分散モジュール２０８は、ホストＯＳ２００上で作成されたデータを秘密分散させるためのモジュールである。このモジュールは、シェア管理モジュール２０９から秘密分散の対象となるファイルを通知されたのち、秘密分散、または、秘密分散されたシェアを使って元のデータを復号することが可能である。
【００２７】
シェア管理モジュール２０９は、秘密分散されるファイルの管理を行うモジュールである。シェア管理モジュール２０９は、書き込み監視モジュール２０４から通知を受け、秘密分散モジュール２０８に秘密分散、または、復号の要求を出す機能と、作成された複数のシェアの保存・読み出しを管理する機能と、これらを行うための情報を記憶しておく機能を備える。
ネットワーク内に存在する他の情報端末１００上のシェア管理モジュールとネゴシエートし、シェアを保存可能な端末を探し出し、データ保存を行うことが可能である。この際、複数台の情報端末１００の候補があれば、複数台に対してシェアを転送して保存を行う。候補が一台もない場合は、シェアを一般サーバ１０１へ保存する。
【００２８】
ゲストＯＳ２０２上には、書き込み禁止モジュール２１０、ネットワーク監視モジュールＢ２１１、書き出し制御モジュールＢ２１２、ファイル転送監視モジュール２１３がインストールされている。また、ゲストＯＳ２０２上には、予め決められたＯＡ環境アプリケーション、例えばメーラー、ドキュメント編集ツール、インターネットブラウザ等がインストールされている。
【００２９】
書き込み禁止モジュール２１０は、ゲストＯＳ２０２が管理する仮想ＨＤＤへの書き込みを禁止する機能を備える。実際には、ゲストＯＳ２０２上で動作するアプリケーションやサービスによる仮想ＨＤＤへのファイルＩ／Ｏを監視し、仮想ＨＤＤへの書き込みを仮想マシン２０１が管理する主記憶装置上（以後、仮想主記憶装置と呼ぶ）へリダイレクトすることで、ゲストＯＳ２０２の動作を確保しつつ、シャットダウン後にデータが仮想マシン２０１、及び端末１００内に残存することを禁止する。
この機能により、ユーザがゲストＯＳ２０２上で作成したドキュメントやデータは、機密サーバ以外に保存することができない。そのため、データが機密サーバ１０２へ保存されるため、機密データの集約効果が得られる。
【００３０】
ネットワーク管理モジュールＢ２１１は、ゲストＯＳ２０２が機密サーバ以外へアクセスするのを制御するためのモジュールである。このモジュール２０２は、ＡＣＬを使用し、予め管理者が登録しておいた機密サーバ以外へのアクセスはできないようにすることで実現できる。
【００３１】
書き出し制御モジュールＢ２１２は、外部メディア、例えば、ＵＳＢメモリやＣＤ等へのデータの書き出しを禁止するためのモジュールである。
【００３２】
ファイル転送監視モジュール２１３は、ホストＯＳ２００とゲストＯＳ２０２間でのファイルの転送を禁止するモジュールである。２つのＯＳ２００，２０２間でのデータの転送には、仮想マシン２０１が提供するクリップボードを使用したデータのコピー＆ペーストやＲＰＣを使用してファイル転送を行うこと等が考えられるが、このモジュール２１３によりこれらの機能によるデータ転送が禁止される。
これにより、ホストＯＳ２００とゲストＯＳ２０２間でのデータ転送による情報漏洩を防止することが可能となる。
【００３３】
一般サーバ１０１は、ホストＯＳ２００のシャットダウン時に作成されたシェアを保存するためのファイルサーバである。
一般サーバ１０１は、ホストＯＳ２００からのみアクセス可能で、ゲストＯＳ２０２からアクセスすることはできない。
これにより、ユーザがゲストＯＳ２０２を経由して機密サーバ１０２内のデータを一般サーバ１０１へ保存できなくさせることが可能となる。
【００３４】
機密サーバ１０２は、機密ファイルを保存するためのファイルサーバである。
機密サーバ１０２は、ゲストＯＳ２０２からのみアクセス可能であり、ネットワーク内に存在する各情報端末１００のホストＯＳ２００からのアクセスはできない。
これにより、機密サーバ１０２内の情報がホストＯＳ２００を経由して外部に漏洩することを防止できる。
なお、ネットワーク内に存在する複数の情報端末においても、その各々のゲストＯＳ２０２から機密サーバ１０２へのアクセスが可能となっている。
【００３５】
図３は、本システムの起動フローである。
まず、ユーザが情報端末１００の電源をＯＮにすると（ｓ３００）、ホストＯＳ２００が起動した後（ｓ３０１）、仮想マシン２０１とゲストＯＳ２０２が起動する（ｓ３０２）。
ホストＯＳ２００上では、シェア管理モジュール２０９が起動し（ｓ３０３）、シェア管理モジュール２０９がシェアの有無を判定する（ｓ３０４）。シェアが存在しない場合、ホストＯＳ２００上の任意のモジュールが起動し（ｓ３０８）、ホストＯＳ環境を使用可能となる。
【００３６】
シェアが存在する場合は、シェア管理モジュール２０９は、シェアの保存されている端末の起動を確認する信号を対象端末に送信する（ｓ３０５）。シェアが保存されている端末が起動している場合は、その端末からシェアをダウンロードする（ｓ３０６）。その後、シェア管理モジュール２０９は、秘密分散モジュール２０８にデータの復元を要求して、元のデータを復元する（ｓ３０７）。
その後、ホストＯＳ２００上の任意のモジュールが起動し（ｓ３０８）、ホストＯＳが使用可能となり（ｓ３０９）、保存前と同じ状態のデータを扱うことが可能となる。
シェアを保持している他の端末が起動していない場合は（ｓ３０５）、データの復元はキャンセルされる。キャンセルされた後、ホストＯＳ２００上の任意のモジュールが起動し（ｓ３０８）、ホストＯＳ環境を使用可能となるが、元のデータを使用することはできない。
【００３７】
図４は、本システムにおけるホストＯＳ２００の起動後の処理フローである。
なお、ユーザは、ホストＯＳ２００とゲストＯＳ２０２を選択的に使用できる。ここで、本システムでは、仮想マシン管理モジュール２０７により、ホストＯＳ２００を使用する場合、Function Key の“Ｆ７”を押すとホストＯＳ画面、Function Key の“Ｆ８”を押すとゲストＯＳが操作可能になり、ＯＳ切り替えを行った際には、双方のＯＳのデスクトップ画面がフルスクリーンサイズで表示され、双方のＯＳを同時に操作することができなくなっている。
【００３８】
ホストＯＳ２００とゲストＯＳ２０２が起動した後（ｓ４００）、ユーザにより“Ｆ７”が押された場合（ｓ４０１）、ホストＯＳ２００のデスクトップ画面がフルスクリーンモードで表示される（ｓ４０２）。以後、ユーザにより、“Ｆ８”が押されるまたは、シャットダウンされるまで、ユーザはホストＯＳ２０の操作が可能である（ｓ４０３）。
ユーザは、ホストＯＳ２００上に予めインストールされているアプリケーションを使用して、通常のＰＣと同様に編集等の操作を行うことが可能である。この際、ユーザが任意のフォルダにデータを保存すると（ｓ４０４）、書き込み監視モジュール２０４は、二次記憶装置へのファイルＩ／Ｏを監視し、シェア管理モジュール２０９に保存されたデータを通知する（ｓ４０５）。その後、ホストＯＳ２００、または、ゲストＯＳ２０２上からＯＳシャットダウンが実行された場合（ｓ４０６）、シェア管理モジュール２０９は、ネットワーク上の他の端末１００が起動しているかを確認する信号を送信する（ｓ４０７）。
【００３９】
保存可能な端末１００が確認された場合、ホストＯＳ２００上のシェア管理モジュール２０９は秘密分散モジュール２０８に、秘密分散の対象となるファイルを通知する。秘密分散モジュール２０８は、通知を受けた対象ファイルを秘密分散し（ｓ４０８）、前記保存可能な他の端末１００へ転送し（ｓ４０９）、シャットダウンする（ｓ４１０）。
【００４０】
シェアを保存できる他の端末１００が存在しない場合、ユーザにそのままシャットダウンするか、シャットダウンをキャンセルするかを選択させる（ｓ４１１）。ユーザが、シャットダウンのキャンセルを選択した場合、端末は再度使用可能状態（ｓ４０３）に戻る。
そのままシャットダウンを選択した場合、秘密分散を行わずにデータを消去し（ｓ４１２）、シャットダウンする（ｓ４１０）。
以上により、情報端末１００の二次記憶装置上にデータが残留することがなくなる。
【００４１】
図５はゲストＯＳ２０２の起動後の処理フローである。
ホストＯＳ２００及びゲストＯＳ２０２の起動後（ｓ５００）、ユーザは、“Ｆ８”を押すことにより（ｓ５０１）、ゲストＯＳ２０２を使用することが可能となる（ｓ５０２）。以後、ユーザにより、“Ｆ７”が押される、または、シャットダウンされるまで、ユーザはゲストＯＳ２０２の操作が可能である。その後、ユーザは、ゲストＯＳ２０２上にインストールされているアプリケーションを使用して、機密サーバ１０２上のデータを情報端末１００上で通常のＰＣと同様に編集等を行うことが可能である（ｓ５０３）。
ここで、ユーザが編集したデータを仮想ＨＤＤに保存する操作を行った場合（ｓ５０４）、書き込み制御モジュール２１２により、仮想ＨＤＤへの書き込みがキャンセルされ、主記憶装置上にキャッシュされる（ｓ５０５）。その後、端末１００がシャットダウンされた場合、キャッシュされたデータはリフレッシュされる（ｓ５０７）。
この機能により、ユーザは、編集したデータを機密サーバ１０２へ保存することが強制される。
（第２の実施形態）
【００４２】
前述の第１の実施形態では、ホストＯＳ２００上で秘密分散されたシェアデータの保存と読み出しはネットワーク内にある他の情報端末１００に対して行う構成をとっていた。これは、秘密分散されたデータを同じネットワーク内の他の情報端末１００に保存することで、他の情報端末１００が起動していることが自情報端末１００のデータ復号のための必要条件となることにより、互いにデータの使用を監視し、セキュリティを高める効果を狙ったものである。
これに対し、ホストＯＳ２００上で作成されたシェアデータの保存先を確認する段階（図４のｓ４０７）で、シェアを転送する端末が発見できない場合、一般サーバ１０１上にシェアを転送・保存することにより、他の情報端末１００が起動していなくてもホストＯＳ２００上のデータを保存することが可能である。
また、シェアのダウンロードに関しても保存と同様に一般サーバ１０１上から行うことにより、他の情報端末１００が起動していなくてもホストＯＳ２００上のデータを復元することが可能である。
【図面の簡単な説明】
【００４３】
【図１】本発明に係る情報処理システムの第１の実施形態を示すシステム構成図である。
【図２】図１における情報端末の内部構成図である。
【図３】図１の実施形態における起動時の処理を示すフローチャートである。
【図４】図１の実施形態におけるホストＯＳの起動後の処理を示すフローチャートである。
【図５】図１の実施形態におけるゲストＯＳの起動後の処理を示すフローチャートである。
【符号の説明】
【００４４】
１００  情報端末
１０１  機密サーバ
１０２  一般サーバ
１０３  ＬＡＮ
２００  ホストＯＳ
２０１  仮想マシン
２０２  ゲストＯＳ
２０３  インストール監視モジュール
２０４  書き込み監視モジュール
２０５  ネットワーク監視モジュールＡ
２０６  書き出し制御モジュールＡ      
２０７  仮想マシン管理モジュール
２０８  秘密分散モジュール
２０９  シェア管理モジュール
２１０  書き込み禁止モジュール
２１１  ネットワーク監視モジュールＢ
２１２  書き出し制御モジュール
２１３  ファイル転送監視モジュール
【図１】
2009043133.tif 000003
【図２】
2009043133.tif 000004
【図３】
2009043133.tif 000005
【図４】
2009043133.tif 000006
【図５】
2009043133.tif 000007