JP4737762B2

JP4737762B2 - 機密情報の管理プログラム

Info

Publication number: JP4737762B2
Application number: JP2006161887A
Authority: JP
Inventors: 英資黒田; 勇三押田
Original assignee: Hitachi Solutions Ltd
Current assignee: Hitachi Solutions Ltd
Priority date: 2006-06-12
Filing date: 2006-06-12
Publication date: 2011-08-03
Anticipated expiration: 2026-06-12
Also published as: JP2007334386A

Description

本発明は、機密情報保存用フォルダ内の機密情報ファイルの編集を機密情報保存用フォルダ内に限定し、当該フォルダ以外への機密情報ファイルの持ち出しを禁止することで、機密情報の情報漏洩防止と機密情報の一元管理を行う機密情報の管理プログラムに関するものである。

企業内の機密情報が、過失または故意により組織外に流出することは企業にとって大きな損失を招く。組織外に流出する原因としては、機密情報を保存したパーソナルコンピュータ（コンピュータ）やフロッピィディスクなどの記録媒体の盗難・紛失による漏洩、メールや印刷による漏洩などがある。
このような事故を防止する方法として、例えば下記特許文献１のようなのもがある。
下記特許文献１に記載の持ち出し禁止方式は、コンピュータ内の機密ファイル保存用の機密フォルダを用意し、データを保存する際には、Ｉ／Ｏ監視プログラムおよびフィルタプログラムにより、保存先のフォルダが機密フォルダか否かを判別し、機密フォルダの場合はデータの保存を許可し、機密フォルダ以外への出力を禁止している。

特開２００２−２８８０３０号公報

しかしながら、上記特許文献１に記載の技術は、フィルタプログラムを機密フォルダを編集するアプリケーションごとに用意する必要があり、フィルタプログラムが用意されていないアプリケーションプログラムを使用することで、意図的に機密情報を外部媒体にコピーすることが可能であるという問題点がある。
また、昨今の機密情報漏洩への危機意識の高まりから機密情報はサーバに集約し、機密情報に対してアクセス権を持つユーザのみがデータを参照・編集を可能とし、機密データの保存は、機密情報保存用のフォルダのみに限定し、使用する個人のコンピュータ内（ローカルハードディスク）および外部媒体（フロッピィディスク、メール、印刷など）への持ち出しを禁止することで、情報漏洩を防止し、機密データの一元管理を行うという仕組みが必要とされてきている。

本発明の目的は、機密情報の持ち出しを制限するフィルタプログラムを備えていない任意のアプリケーションによる機密情報の持ち出しを禁止し、機密情報の漏洩を防止することができる機密情報の管理プログラムを提供することにある。

上記目的を達成するために、本発明に係る機密情報の管理プログラムは、任意のアプリケーションによる記憶媒体への入出力要求を捕捉し、入出力要求先が機密フォルダであるか否かを判定し、入出力要求先が機密フォルダであった場合には、当該機密フォルダに対してアクセス権を有するユーザであるか否かをアクセス権の管理テーブルを参照して判定し、アクセス権を持つユーザであった場合のみ当該機密フォルダに対する入出力要求を許可する第１のステップと、入出力要求先が機密フォルダ以外の不揮発性記憶媒体であった場合には入出力要求先の不揮発性記憶媒体からの読み込みのみを許可し、保存先は揮発性の記憶媒体に変更する第２のステップとをコンピュータに実行させることを特徴とする。
また、入出力要求先が外部媒体であった場合、入出力要求を無効にするか、または読み込みのみを許可する第３のステップをさらに備えることを特徴とする。

本発明によれば、機密情報を記憶する機密フォルダに対する入出力要求に対しては、管理テーブルに予め設定されたアクセス権所有ユーザのみの入出力（読み出し、書き込み）が許可され、アクセス権を持たないユーザに対しては読み出しも書き込みも許可されない。
これにより、例えばサーバ上に複数のユーザで共有する機密フォルダを設け、アクセス権限のある複数のユーザのみが機密情報の編集を可能にし、アクセス権を持たないユーザによる編集を不可能にし機密情報が漏洩するのを防止することができる。
また、フロッピィディスク、ＵＳＢメモリ、メール、ネットワーク共有フォルダ、プリンタなどの外部媒体に対する入出力要求を無効にするか、または読み込みのみを許可することにより、これらの媒体から機密情報が漏洩するのを防止することができる。

以下、本発明を実施する場合の一形態を、図面を参照して具体的に説明する。
図１は、本発明に係るプログラムを実装したコンピュータの機能ブロック図である。
本発明に係るプログラムは、クライアントコンピュータ１０１のメモリ内に、外部媒体用フィルタドライバ１０１、内部記憶装置用フィルタドライバ１０９として実装される。
クライアントコンピュータ１０１には、任意のアプリケーション１０１３が実装され、さらに内蔵記憶装置１０１４内には、不揮発性の内蔵ディスク１０１５と揮発性のキャッシュメモリ１０１６がある。
このクライアントコンピュータ１０１は、ネットワークを介してサーバ１０２に接続されている。サーバ１０２内には、機密情報ファイル１０２４を保存する共有機密フォルダ１０２１が設けられている。また、共有機密フォルダ１０２１へのアクセス権を管理する管理テーブル１０２２が設けられている。
クライアントコンピュータ１０１には、外部媒体１０３として、フロッピィディスク、ＵＳＢメモリ、メール、ネットワーク共有フォルダ、プリンタなどが存在する。

以上の構成において、システム管理者は、予めサーバ１０１上の機密情報ファイル１０２４を格納するための共有機密フォルダ１０２１を用意し、当該機密フォルダ１０２１に対するアクセス権を管理するための管理テーブル１０２２を作成する。
ここで、管理テーブルについて図２を用いて説明する。
管理テーブル１０２２には共有機密フォルダ名と当該フォルダに対するユーザのアクセス権を登録する。１つの共有機密フォルダに対して複数のユーザにアクセス権を与えることが可能（ＡＡＡＡにはユーザ１とユーザ２が書き込み可能である）であり、１つのユーザが複数の共有機密フォルダにアクセスすることも可能（ユーザ１はＡＡＡＡとＣＣＣＣにアクセス可能である）である。
クライアントコンピュータ１０１の任意のアプリケーションプログラム１０１３からのＩ／Ｏ要求が外部媒体１０３、または共有機密フォルダ１０２１への要求であった場合、外部媒体用フィルタドライバ１０１１が当該Ｉ／Ｏを捕捉する。
ここで、外部媒体とはフロッピィディスク、プリンタへの印刷、メールおよび共有機密フォルダ以外のネットワーク上の共有フォルダなどを指す。

外部媒体用フィルタドライバ１０１１の処理について図３のフローチャートを用いて説明する。
外部媒体用フィルタドライバ１０１１は、任意のアプリケーションプログラム１０１３からのＩ／Ｏ要求先が共有機密フォルダか否かを判定する（ステップ３０１）。
共有機密フォルダ１０２１以外の外部媒体１０３であった場合、当該Ｉ／Ｏ要求を禁止することで、当該外部媒体１０３からのデータの読み込みおよび当該外部媒体１０３へのデータの書き込みを無効化することができる（ステップ３０２）。ここで、外部媒体（フロッピィディスク、メール、印刷など）への持ち出しのみを禁止したい場合には、書き込み要求のみ無効化して、読み込み要求は許可するようにしてもよい。
しかし、上記Ｉ／Ｏの要求先が共有機密フォルダ１０２１であった場合、共有機密フォルダ１０２１の管理テーブル１０２２を参照し（ステップ３０３）、当該共有機密フォルダ１０２１に対するアクセス権の有無を判定する（ステップ３０４）。
当該共有機密フォルダ１０２１へのアクセス権がない場合、当該共有機密フォルダ１０２１へのデータのＩ／Ｏを禁止し、無効化する（ステップ３０２）。
一方、アクセス権がある場合、当該共有機密フォルダ１０２１へのアクセス権に従いアクセスを許可する（ステップ３０５）。

一方、任意のアプリケーションプログラム１０１３からのＩ／Ｏ要求が内部記録装置１０１４への要求であった場合、内蔵記憶装置用フィルタドライバ１０１２が当該Ｉ／Ｏを捕捉する。
ここで、内蔵記憶装置１０１４とは、不揮発性記憶装置（内蔵ディスク１０１５など）および揮発性記憶装置（キャッシュメモリ１０１６など）を指す。また、揮発性記憶装置はオペレーティングシステムを再起動することにより、格納されている情報は全て消去される機能を有するものとする。

内蔵記憶装置用フィルタドライバ１０１２の処理について図４のフローチャートを用いて説明する。
内蔵記憶装置フィルタドライバ１０１２は、内蔵記憶装置１０１４へのＩ／Ｏ要求を捕捉した場合、当該Ｉ／Ｏ要求先が、内蔵ディスク１０１５かキャッシュメモリ１０１６であるかを判断する（ステップ４０１）。
当該Ｉ／Ｏの要求先がキャッシュメモリ１０１６であった場合、当該Ｉ／Ｏ要求を許可する（ステップ４０２）。
しかし、当該Ｉ／Ｏ要求先が内蔵ディスク１０１５の場合、当該Ｉ／Ｏ要求が書き込み要求であるか、読み込み要求であるかを判断する（ステップ４０３）。当該Ｉ／Ｏ要求が書き込みであった場合、内蔵ディスク１０１５ではなく、キャッシュメモリ１０１６にデータの書き込みを行う（ステップ４０４）。

一方、読み込み要求であった場合（ステップ４０５）、要求データを内蔵記憶装置フィルタドライバ１０１２がキャッシュメモリ１０１６に書き込んだ場合があるため、まずはキャッシュメモリ１０１６内に当該データが存在するかを判別する（ステップ４０６）。
キャッシュメモリ１０１６内にデータが存在する場合、キャッシュメモリ１０１６内のデータを読み込む（ステップ４０７）。
キャッシュメモリ１０１６内にデータがない場合は、内蔵ディスク１０１５からデータを読み込む（ステップ４０８）。

図５は、内蔵記憶装置用フィルタドライバ１０１２の機能を説明する説明図である。
任意のアプリケーションプログラム１０１３からの内蔵ディスク１０１５への書き込み要求をキャッシュメモリ１０１６に書き込むように変更する。
任意のアプリケーションプログラム１０１３からは内蔵ディスク１０１５への書き込み要求が成功したように見える。また、ＯＳを再起動することにより、キャッシュメモリ１０１６のデータはクリアされるため、内蔵ディスク１０１５への書き込みは行われない。
上記説明した外部媒体用フィルタドライバ１０１１により、共有機密データは、共有機密フォルダ１０２１内でのみ編集可能となり、共有機密フォルダ以外の外部媒体１０３への情報漏洩を防止することができる。
また、内蔵記憶装置用フィルタドライバ１０１２により、内蔵ディスク１０１５への共有機密データの情報漏洩を防止することができる。
また、本発明の管理プログラムである外部媒体用フィルタドライバ１０１１及び内蔵記憶装置用フィルタドライバ１０１２は、アプリケーションプログラム単位でなく、クライアントコンピュータ単位に実装されるため、任意のアプリケーションによる機密データの持ち出しを禁止することができる。

図６は、クライアントコンピュータ１０１の内蔵ディスク書き込み設定変更について説明する図である。
上記のように、内蔵ディスク１０１５への書き込みを禁止した場合、ウィルスソフトの定義ファイルの更新などを行うことができなくなる。この問題を解決するため、管理者による特権モードの場合にのみ内蔵ディスク１０１５への書き込みを許可するようにする。
すなわち、内蔵ディスク１０１５に格納されているウィルスソフトの定義ファイルなどを更新する場合、当該クライアントコンピュータ（ＰＣ）を管理者６０１に返却し、管理者６０１が特権モードで内蔵ディスク１０１５内のウィルス定義等を更新する。その後、元のユーザに貸し出す。
これにより、内蔵ディスク１０１５内のウィルス定義等を何ら支障なく更新することができる。

以上のように、本実施形態においては、予め、管理者により、サーバ１０２上に機密情報を保存する共有フォルダ１０２１と当該フォルダ１０２１に対するアクセス権の管理テーブル１０２２を設定しておく。
そして、任意のアプリケーションから外部媒体（フロッピィディスク、ネットワーク共有フォルダ、印刷要求、メール）へのＩ／Ｏ要求を補足し、機密フォルダ１０２１か否かを判定する。補足したＩ／Ｏ要求先が機密フォルダ以外の場合、当該Ｉ／Ｏ要求を禁止する。一方、補足したＩ／Ｏ要求先が機密フォルダ１０２１の場合、当該機密フォルダ１０２１に対するアクセス権を管理テーブル１０２２から判定する。判定の結果、アクセス権がない場合は当該機密フォルダ１０２１に対するＩ／Ｏ要求を禁止する。一方、アクセス権がある場合は当該Ｉ／Ｏ要求を許可する。
また、任意のアプリケーションから内蔵記憶装置１０１４へのＩ／Ｏ要求を補足し、キャッシュメモリ１０１６への要求は許可する。一方、内蔵ディスク１０１５へのＩ／Ｏ要求の場合、書き込み要求の場合は、内蔵ディスクに書き込む代わりに、キャッシュメモリ１０１６に書き込みを行う。読み込み要求の場合はまずキャッシュメモリ１０１６内に読み込み対象のデータがないかを判定し、ある場合は当該データを読みこむ。ない場合は内蔵ディスク１０１５からデータを読みを行うという処理を行う。
内蔵ディスクに書き込む代わりに、キャッシュメモリ１０１６に書き込みを行うことにより、任意のアプリケーションプログラム１０１３は内蔵ディスク１０１５への書き込み要求に成功したように処理することができる。実際にはキャッシュメモリ１０１６に書き込まれ、内蔵ディスクへの書き込み処理は行われない。
これにより、アプリケーションプログラムに依存しない処理が可能となる。また、ＯＳの再起動などにより、キャッシュメモリ１０１６内のデータはクリアされるため、結果として内蔵ディスク１０１５への書き込みは行われず、内蔵ディスク１０１５への機密情報の持ち出しを禁止することができる。

なお、本発明は以上の実施形態に限定されるのではなく、本発明の要旨を変更しない範囲において上記実施の形態を変形あるいは修正してもよいことはいうまでもない。例えば、共有機密データを暗号化しておき、クライアントコンピュータ側でデータを復号し、編集後書き込み前に暗号化し書き込むようにする。
また、共有機密フォルダおよび共有機密データに関するログを取得のも望ましい形態である。
また、機密フォルダ１０２１は、サーバ内１０２内に設けたが、外付けの記憶装置であってもよい。

本発明に係る管理プログラムを実装したコンピュータの構成を示す機能ブロック図である。機密フォルダに対するアクセス権の管理テーブルの設定例を示す図である。外部媒体用フィルタドライバの処理手順を示すフローチャートである。内蔵記憶装置フィルタドライバの処理手順を示すフローチャートである。内蔵記憶装置へのＩ／Ｏ処理の機能説明図である。管理者の特権モードによる内蔵記憶装置へのデータ更新方法を説明する図である。

符号の説明

１０１クライアントコンピュータ
１０２サーバ
１０３外部媒体
１０１１外部媒体用フィルタドライバ
１０１２内蔵記憶装置用フィルタドライバ
１０１３アプリケーションプログラム
１０１４内蔵記憶装置
１０２１共有機密フォルダ
１０２２管理テーブル

Claims

任意のアプリケーションによる記憶媒体への入出力要求を捕捉し、入出力要求先が機密フォルダであるか否かを判定し、入出力要求先が機密フォルダであった場合には、当該機密フォルダに対してアクセス権を有するユーザであるか否かをアクセス権の管理テーブルを参照して判定し、アクセス権を持つユーザであった場合のみ当該機密フォルダに対する入出力要求を許可する第１のステップと、入出力要求先が機密フォルダ以外の不揮発性記憶媒体であった場合には入出力要求先の不揮発性記憶媒体からの読み込みのみを許可し、保存先は揮発性の記憶媒体に変更する第２のステップとをコンピュータに実行させることを特徴とする機密情報の管理プログラム。
入出力要求先が外部媒体であった場合、入出力要求を無効にするか、または読み込みのみを許可する第３のステップをさらに備えることを特徴とする請求項１に記載の機密情報の管理プログラム。