JP2005535969A - 侵害された遠隔装置上のデータへのアクセスを防止するシステムおよび方法 - Google Patents

Abstract

本発明は、遠隔装置が侵害された場合あるいは遠隔装置（１２０）に責任のあるローミングユーザの権限のレベルが変更された場合に、遠隔装置（１２０）上のデータ（１２１）を選択的な消去、暗号化及び／又はコピーするシステム（１００）および方法を開示する。

Description

関連出願とのクロスリファレンス
本出願は、発明者ダニエル ジェィ メンデッツ、及び、メイソン エヌジーによって２００２年８月９日に出願された米国暫定特許出願第６０／４０２，２８７号「グローバルサーバシステムへのアクセスがもはや許可されない遠隔装置を一掃するシステム、方法、およびコンピュータプログラム製品」に対して米国特許法第１１９条の利益を主張したものであり、この出願は引用に含まれている。

発明の属する技術分野
本発明は、遠隔データアクセスの分野に関連し、特に、侵害されており、許可を受けていないユーザに使用される状態にある遠隔装置上で入手可能なデータを自動破棄する技術に関する。

発明の背景
データのアクセス可能性及び一貫性は、コンピュータユーザにとって重要な問題である。遠隔位置に移動したローミングユーザが電子メールあるいは電子書類などのデータを調べたり操作したりする必要がある場合、このローミングユーザはデータをその遠隔位置に運び、遠隔地からワークステーションにアクセスする必要がある。必要なデータを含むデータベースの正しく複製されたコピーを維持することは面倒な手順であるため、システム設計者はコンピュータネットワークを介してデータを保存しているサーバへ遠隔装置を接続する様々な技術を開発している。

会社や組織の従業員を含めて何百万もの人々が、仕事をするにあたってデータ通信用の遠隔アクセス技術を使用している。会社及び組織は、現存するものであり、時には全く異種の通信プラットフォームと通信装置を使って組織情報を入力するべく、迅速にかつ対費用効果をもって移動する従業員に接続する方法を見つけるためにプレッシャ下にある。遠隔アクセス技術に関するアクセス、同期およびセキュリティの問題を解決することは、これらの組織にとって大変重要なことである。

データ通信に遠隔アクセス技術を使用することは、同期技術の重要性が増すファクタの一つであるかもしれない。同じデータのコピーが一以上の場所に存在するとき、これらの場所の一箇所におけるこのデータのコピーの価値が変化すると、別の場所におけるこの同じデータのコピーの価値は、最新の変化を反映するために更新されなければならない。同期プロセスは、この価値の最新の変化を反映するために更新データ値を参照する。例えば、データ値は、遠隔ユーザが遠隔装置の新しい値を入力することによって変更することができる。この同期プロセスを使用することによって、サーバ位置での同じデータのコピーの値はその遠隔装置での変化を反映するべく変化する。データ値は、サーバ位置において変化することもある。この場合、サーバ位置におけるこの変化を反映するために、同期プロセスは遠隔装置におけるデータに対応するコピーの値を変化させる必要がある。すなわち、同期プロセスは、古いデータ値を更新して新しい値と同じにするのに使用することができる。

インターネット上での電子メールの同期および、ファイル、コンタクト、カレンダなどその他の作業面での一般的な同期は、適当なアプリケーションで処理される。ユーザは、異なる場所に配置することができる多重情報処理機能を持つ装置を信頼してキーデータを通信し、組織化しているので、異なる場所から集められるデータあるいは異なる場所から通信されるデータを同期させて、ユーザが最新バージョンのデータに確実にアクセスできるようにする必要がある。しばしば、アクセスを容易にすること、および遠隔ユーザデータを同期を通じて更新することで、データベースを収納しているサーバで入手可能な最新データを遠隔装置に所有させる。同期は、また遠隔サイトにおけるデータのすべての変更をサーバに送り返させる。このように、サーバにおいてデータの中央リポジトリと通信する遠隔装置を制御するユーザは、サーバ上で入手可能なデータを変更することができる。

遠隔ユーザによるデータの変更は、同期を通じて中央リポジトリにおけるデータを変更させ、遠隔位置における権限のないデータの変更が中央リポジトリのデータを危険にさらす。例としてのいくつかのシナリオでは、遠隔装置を紛失したり、盗まれたり、あるいは装置を制御しているユーザが許可ステータスを失うことがある。遠隔装置が権限のない手にゆだねられるような場合は、遠隔装置のデータとサーバのデータの双方が、許可なく使用されたり、不正に変更されたり、あるいは消去される危険がある。これらのいずれの場合も、少なくともビジネスに遅延および損失が生じ、多くの場合、組織の生存あるいはビジネスに破滅が生じる。送信暗号化技術は取引におけるデータのプライバシィを確実なものにする一方で、送信暗号化は、通常、遠隔装置自体が侵害されていたり、遠隔ユーザが許可ステータスを喪失している場合に必要とされるセキュリティ手段とは無関係である。

発明の概要
本発明の実施例は、会社、政府エージェント、プライベートクラブ、その他の組織においてデータを担当するユーザに対して、遠隔装置が侵害されている場合あるいは遠隔装置のユーザが許可ステータスを失っているような場合に、例えば、その組織の中央位置で、グローバルサーバシステムと通信する遠隔装置のデータの誤使用を防ぐ方法、システム、およびコンピュータプログラム製品を提供する。

本発明の一実施例では、侵害された遠隔装置からのデータを消去する方法が開示されており、この方法は、ａ）ネットワークを介して遠隔装置とデータ交換するステップであって、前記遠隔装置が当該装置に格納された一またはそれ以上のタイプのデータを有する；ｂ）前記遠隔装置が侵害されているという表示を受信するステップと；ｃ）前記遠隔装置内で消去するべき一またはそれ以上のタイプのデータの少なくとも一つを選択するステップと；ｄ）前記ネットワークを介して前記遠隔装置にデータを消去する命令を送信するステップと；を具える。この実施例では、前記命令は、遠隔装置中の消去されるべき少なくとも一のデータタイプを同定し、前記命令によって同定されたデータタイプのデータが、前記遠隔装置によってその命令を受信したときに当該遠隔装置内で消去される。

本発明の他の実施例は、同じデータ（サーバデータ）のコピーを格納しているサーバと通信している遠隔装置上のデータ（遠隔装置データ）の自動破棄システムであって、サーバデータと遠隔装置データを格納し操作するグローバルサーバと、遠隔装置データを格納し操作する一またはそれ以上の遠隔装置とを具える。このグローバルサーバと遠隔装置は、ネットワークを介して通信可能である。サーバデータは非同期タイプのデータと同期タイプのデータを含む。遠隔装置データも同様に、非同期タイプのデータと同期タイプのデータを含む。グローバルサーバは、サーバデータを格納するデータストレージと、遠隔装置と通信する遠隔アクセスサーバと、遠隔装置との通信用の同期サーバとを具える。遠隔装置サーバも非同期タイプの遠隔装置データを自動的に破棄する自動破棄サーバを有し、同じく、同期サーバは同期タイプの遠隔装置データを自動的に破棄する自動破棄サーバを具える。遠隔装置は、遠隔装置データを格納するデータストレージと、遠隔アクセスサーバと通信する遠隔アクセスクライアントと、同期サーバと通信する同期クライアントを具える。遠隔アクセスクライアントは、非同期タイプの遠隔装置データを自動的に破棄する自動破棄クライアントを有し、同期クライアントは、同期タイプの遠隔装置データを自動的に破棄する自動破棄クライアントを有する。遠隔装置とサーバの通信は、遠隔アクセスサーバと遠隔アクセスクライアント間の通信と、同期サーバと同期クライアント間の通信を意味する。遠隔装置は、同様に遠隔装置間での通信も可能である。

更なる他の実施例では、前記自動破棄サーバは、どの遠隔装置データが破棄されるべきかを制御する消去コントローラと、遠隔装置にネットワークとの接続を切断するようにリクエストする遠隔装置接続切断リクエスタと、グローバルサーバとネットワーク間の接続を切断するサーバ接続切断エンジンとを有していても良い。

更なる他の実施例では、自動破棄クライアントは、データ転送用トラックを保持し、データが保存される最終位置を記憶するデータトラッカと、遠隔装置データの全部または一部を消去するデータイレーザと、遠隔装置をリフォーマットするリフォーマッタと、同期クライアントまたは遠隔アクセスクライアントとネットワークとの接続を切断する遠隔装置接続切断エンジンを有していても良い。

本発明の実施例は、サーバ中のデータの少なくとも一のデータカテゴリにおけるデータであって、サーバ内に格納されているデータ（サーバデータ）の各カテゴリが非同期タイプ、あるいは同期タイプのいずれかであるデータを格納し、遠隔装置内のデータの少なくとも一のカテゴリにおけるデータであって、遠隔装置内に格納されているデータの各データ（遠隔データ）カテゴリが非同期タイプ、同期タイプ、あるいは個人所有タイプのいずれかであるデータを格納し、サーバの遠隔アクセスサーバと遠隔装置の遠隔アクセスクライアント間で遠隔アクセス接続を介して非同期データを通信し、各サーバデータ及び各遠隔装置データの位置、カテゴリ及びタイプを追跡し、同期プロセスを実行し、同期イベントと呼ばれ、遠隔装置内のデータの少なくとも一のカテゴリか、代替的に遠隔装置内のデータの少なくとも一のタイプを破棄用にマーキングする表示を受信するか、または、遠隔装置内のデータの少なくとも一のタイプを破棄用にマーキングする表示を受信し、セット手順をアクティベートして、破棄用にマークされた少なくとも一のデータカテゴリを破棄するよう遠隔装置にリクエストすることによって、データの自動破棄を行う方法を含む。

一の実施例では、サーバデータと遠隔装置データの値が、当該値が最後に変更された時間を表示するタイムスタンプを含むものであってもよい。

更なる他の実施例においては、データカテゴリのタイプが同期タイプから非同期タイプへ変更されるものであってもよい。タイプが非同期タイプに変更された同期データカテゴリは、アプリケーションとタイムシートデータを含むものであっても良い。データのカテゴリのタイプは、非同期タイプから同期タイプに変更されるものであっても良い。タイプが非同期タイプに変更された同期データカテゴリの例は、アプリケーションとタイムシートデータを含む。

データのカテゴリは、電子メールデータのカテゴリ、カレンダデータのカテゴリ、ファイルデータのカテゴリ、ブックマークデータのカテゴリ、タスクデータのカテゴリ、販売力自動制御データのカテゴリ、顧客関係管理データのカテゴリ、会社ディレクトリデータのカテゴリ、個人情報管理者データのカテゴリ、およびアプリケーションデータのカテゴリの少なくとも一つを含むものであっても良い。

非同期データカテゴリは、従業員の給料とパスワードを含み、同期データカテゴリは、カレンダデータと会社ディレクトリデータを含む。

他の実施例では、連続する同期イベントの間前記トラッカによって見つけられるデータタイプの変化がデータタイプの変更を担当するユーザによってトラッカに送信されるようにしても良い。

同期は、タイムスタンプを用いて、各データに対応する最新のデータ値を決定するものであってもよい。ここで、対応する値が他の場所で変更されている場合は、同期タイプのデータの同期は、一の場所での同期タイプのデータの更新を含み、サーバの同期サーバと遠隔装置の同期クライアントとの間の同期接続を介して同期タイプデータに当該データ値の最新の変更を反映するようにする。同期は、ユーザが開始するのではなく、自動的に生じるものであっても良い。同期は、予め決められた時間に生じるものであっても良い。同期は定期的に生じるものであっても良い。同期は、遠隔装置でデータ値に変化を検出したとき、サーバシステムでデータ値に変化を検出したとき、またはユーザから指示を受けたときに、生じるものであっても良い。

他の実施例では、破棄は、破棄とマークされた遠隔装置データの完全な消去、破棄とマークされた遠隔装置データのタグ付け、あるいは、破棄とマークされた遠隔装置の指定を含むものであってもよい。

他の実施例では、前記セット手順が遠隔装置上の同期タイプのデータを破棄するステップ、遠隔装置にリフォーマットをリクエストするステップ、遠隔装置上の個人所有データの消去をリクエストするステップ、遠隔装置上のアプリケーションの消去をリクエストするステップ、遠隔装置上の非同期データの消去をリクエストするステップ、遠隔装置上の同期データの消去をリクエストするステップ、遠隔装置上の全データ、同期タイプデータ、個人所有データ、非同期データ及び／またはアプリケーションの暗号化をリクエストするステップ、遠隔装置とサーバ間の遠隔アクセス接続を切断するステップ、遠隔装置とサーバ間の同期接続を切断するステップ、及び／又は、遠隔装置とサーバ間の遠隔アクセス接続と同期接続の双方を切断するステップを具えていても良い。

他の実施例では、遠隔装置における再フォーマットが、遠隔装置からの全データを消去し、サーバと遠隔装置間の通信を切断するようリクエストするステップと、遠隔装置が思考機械のままであるように遠隔装置のオペレーティングシステムをそのままにしておくステップとを具えるものであっても良い。

以下の図面は、本発明の実施例にかかる様々なシステムと方法の例を示す。
図１は、ネットワークシステムを示すブロック図である。 図２は、コンピュータシステムの一例を示すブロック図である。 図３は、グローバルサーバシステム中に同期タイプまたは非同期タイプのデータのいずれかとして保存しうるサーバデータのカテゴリの例を示すブロック図である。 図４は、サーバデータのタイプを示すブロック図である。 図５は、遠隔装置データのタイプを示すブロック図である。 図６Ａは、自動破棄サーバシステムを示すブロック図である。 図６Ｂは、暗号化サーバシステムを示すブロック図である。 図７Ａは、自動破棄クライアントシステムを示すブロック図である。 図７Ｂは、暗号化クライアントシステムを示すブロック図である。 図８Ａ及び図８Ｂは、遠隔装置上のデータとアプリケーションを自動的に破棄し、遠隔装置のサーバシステムに対する接続を切断するプロセスの一例を示すフローチャートである。 図９Ａ及び図９Ｂは、遠隔装置上のデータとアプリケーションを自動的に破棄し、遠隔装置のサーバシステムへの接続を切断するプロセスの一例を示すフローチャートである。

発明の詳細な説明
発明の背景で記載した問題点は、サーバシステムなどのデータの中央リポジトリと通信する遠隔装置上のデータの許可されていない使用を防ぐためのシステムと方法が求められていることを明らかにしている。遠隔装置またはその遠隔装置と通信するサーバ上のデータへの許可されていないアクセスの問題に取り組んだシステム、方法及びコンピュータプログラム製品がここに述べられている。

図１は、本発明の実施例によるネットワークシステム１００を示すブロック図である。図１に示すように、ネットワークシステム１００は、ネットワーク１５０を介して一又はそれ以上の遠隔装置１２０と通信するグローバルサーバシステム１１０を具える。このサーバシステム１１０は、無線あるいは有線（光ファイバ、同軸ケーブル、ＩＳＤＮ、銅線、他）など、あらゆる種類の好適な接続を介してネットワーク１５０に接続されている。同様に、遠隔装置１２０は、あらゆる好適な接続を介してネットワーク１５０に接続されている。選択的に、遠隔装置１２０とサーバシステム１１０が、直接的な有線あるいは無線接続を介して接続されていても良い。このように、遠隔装置１２０は可動型であっても、固定型であってもよい。可動型装置は、持ち運び可能であり、ユーザの持ち歩きが容易な装置である。可動型装置の例は、モバイル電話、パームパイロット、およびラップトップコンピュータを含む。遠隔装置１２０は、ネットワーク１５０を用いて他の遠隔装置と通信することができる。

本発明の実施例は、固定式または可動式計算装置であり、マイクロソフト アウトルックや、ロータスノートなどの最も広く使用されているエンタープライズメッセージングアプリケーションで動作する遠隔装置の幅広い取り合わせにアクセスを提供することが可能であることに留意すべきである。好適なネットワーク１５０の例は、ＷＡＮ（広域ネットワーク）、ＬＡＮ（ローカルエリアネットワーク）、電話ネットワーク、インターネット、又はあらゆるその他の有線又は無線通信を含む。

グローバルサーバシステム１１０は、サーバデータストア１３０、遠隔アクセスサーバ１１６、及び同期サーバ１１８を具えていても良い。サーバデータストア１３０は、遠隔装置データ１２１と同期するか、さもなければ遠隔装置１２０によってアクセスされるサーバデータ１１５を格納するのに使用することができる。遠隔アクセスサーバ１１６は、更に、自動破棄サーバ１１７、暗号化サーバ１５０、およびセット手順ファイル１７０を具えている。同期サーバ１１８はさらに、自動破棄サーバ１１９と、暗号化サーバ１５２と、セット手順ファイル１７５を具えている。

遠隔装置１２０は、同様に、遠隔装置データストア１３５と、遠隔アクセスクライアント１２２と、同期クライアント１２４を具えていても良い。遠隔装置データストア１３５は、遠隔装置データ１２１を格納するのに使用することができる。遠隔アクセスクライアント１２２は、更に、自動破棄クライアント１２３と暗号化クライアント１６０を具える。同期クライアント１２４は、更に、自動破棄クライアント１２５と暗号化クライアント１６２を具える。

サーバシステム１１０の遠隔アクセスサーバ１１６、同期サーバ１１８、遠隔アクセスクライアント１２２、同期クライアント１２４、及び、セキュリティシステム（図示せず）と、遠隔装置１２０のこれらは、例えば、ＷＡＰ（Wireless Application Protocol）、ＷＭＬ（Wireless markup Language）、ＨＤＭＬ（Handheld Device Markup Language）、ＳＭＳ（Short Message System）、ＨＴＭＬ（Hypertext Markup Language）、ＨＴＴＰ（Hypertext Transfer Protocol）、及び／又はＳＭＴＰ（Simple Mail Transfer Protocol）を含む、あらゆる好適なプロトコルをサポートすることができる。

遠隔アクセスサーバ１１６は、例えば、組織の本社など、中央位置に配置されているサーバシステム１１０に属し、遠隔アクセスクライアント１２２は、例えば、移動するローミングユーザの末端における遠隔装置１２０に属する。遠隔アクセスクライアント１２２は、遠隔装置１２０に遠隔アクセスサーバ１１６を介してサーバデータ１１５へのアクセスを許可する。

同じデータ１１５／１２１のコピー、あるいはそのサブセットは、サーバ１１０と遠隔装置１２０のそれぞれに備わっている。同じデータのコピーが一以上の場所に存在する場合、これらの場所のうちの一箇所におけるこのデータ値が変化すると、最近の変化を反映するためには他の場所における同じデータのコピーの値が更新されなければならない。同期プロセスは、データの同期、すなわち、古いデータ値を新しい値と同じになるように更新するのに使用される。

同期サーバ１１８は、サーバシステム１１０に備わっており、一方、同期クライアント１２４は各遠隔装置１２０に存在する。同期サーバ１１８と同期クライアント１２４は、サーバ１１０上のデータ１１５のコピー（またはサブセット）を、遠隔装置１２０上の同じデータ１２１のコピー（またはサブセット）に同期させるように動作する。同期プロセスは、ユーザからの始動がなくても、自動的に実行することができる。例えば、同期サーバ１１８と同期クライアント１２４は、予めセットされた時間に、予めセットされたインターバルで、あるいは一方の側のデータの変化を検出したときに、同期プロセスを実行するように設定することができる。他の選択枝として、ユーザの指示があったときに同期が実行されるようにすることもできる。同期プロセスが実行されるたびに、同期イベントが生じる。従って、同期イベントは予め設定された時間間隔で、又は、一方の側のデータ値が変化するごとに、又は一方のユーザがそれを望むたびに、あるいはその他の基準に基づいて生じる。

同期サーバ１１８と同期クライアント１２４は、旧データ値を対応する新しいデータ値に置き換える動作を行う。旧データ値は、タイムスタンプなどの様々な方法を用いて新しい値と区別することができる。例えば、各データ値がタイムスタンプで更に修飾されるのであれば、同期サーバ１１８および同期クライアント１２４は、タイムスタンプ間の比較を用いて後のデータ値を同定し、先のデータ値を更新して最後の変更をデータ値に反映させる。タイムスタンプを用いて、同期サーバ１１８またはクライアント１２４は先のバージョンの置き換えを行う後のデータ値を選択する。

同期プロセスを実行するのに使用することができる同期スキームの具体的な例は、メンデッツ他による、「グローバル伝送を用いてワークスペースエレメントをネットワーク上で同期するシステム及び方法」と題された米国特許第６，０２３，７０８号、メンデッツによる、「ワークスペースデータマネージャを用いてネットワークデータにアクセスし、操作し、同期するシステム及び方法」と題された米国特許第６，１５１，６０６号、及びメンデッツ他による、「ネットワーク内でワークスペースエレメントの多重コピーを安全に同期するシステム及び方法」と題された米国特許第６，０８５，１９２号であり、これらはここに引用されている。

遠隔アクセスサーバ１１６の自動破壊サーバ１１７は、遠隔装置１２０のユーザが装置１２０の使用許可を失った場合、あるいは装置１２０が侵害されたとき（例えば、紛失した、盗難にあった）場合、遠隔アクセスクライアント１２２の自動破棄クライアント１２３に消去および他のコマンドを送信する。このコマンドは追跡する手順を表示したセット手順ファイル１７０に含めるようにしても良い。ある実施例では、遠隔アクセスクライアント１２２が、遠隔アクセスサーバ１１６から遠隔アクセスされたデータを含むが、サーバデータ１１５に同期する必要がない遠隔装置データ１２１内のデータのサブセットを消去する。代替的に、このデータのサブセットはワンウエイで同期されたと考えられる、すなわち、サーバデータ１１５内の対応するデータサブセットは、遠隔装置データ１２１におけるサブセットの更新を先導するが、その逆は行われない。このサブセットの例は、会社のディレクトリデータを含んでいても良い。遠隔アクセスクライアント１２２も、遠隔装置データ１２１内の個人データとアプリケーションを消去することができる。セット手順ファイル170内の他のコマンドは、フォーマッティングコマンド、通信リンク切断コマンド、暗号化コマンド、コピー、その他を含むことができる。本発明の他の実施例では、自動破棄サーバ１１７は、まず自動破棄クライアント１２３に特定のデータ（例えば非同期データ及び／又は個人データ）を送信してサーバデータストア１３０に格納し、次いで自動破棄クライアント１２３にデータの消去を命令することができる。自動破棄サーバ１１７とクライアント１２３については後に詳細に述べる。

自動破棄サーバ１１７と共働する暗号化サーバ１５０は、セット手順ファイル１７０内の命令を暗号化クライアント１６０に送信する。暗号化サーバ１５０に対する命令は、遠隔装置データ１２１からの全データまたはデータサブセットを暗号化することを含み、これによって、データを保存したままで、認可されていないユーザが遠隔装置１２０上の遠隔装置データ１２１にアクセスすることを防ぐことができる。遠隔装置１２０が回復したら、暗号化されたデータが復号化されアクセス可能となる。データがとりわけ重要なものであり、従って、復号化された場合の誤使用のリスクが非常に高い場合は、自動破棄サーバ１１７は、暗号化サーバ１５０にデータを暗号化するように暗号化クライアント１６０に命令することに代えて、自動破棄クライアント１２３にデータの消去を命令することができる。代替の実施例では、データをまず暗号化してから消去し、消去したデータが何らかの場合に回復した場合でも、暗号化フォーマットのままであるようにすることができる。暗号化サーバ１５０とクライアント１６０については後に詳細に述べる。

自動破棄サーバ１１９と暗号化サーバ１５２は、自動破棄サーバ１１７と暗号化サーバ１１９と実質的に同様であるが、一般的に、自動破棄クライアント１２５と暗号化クライアント１６２に命令を送信する動作を行い、自動破棄クライアント１２３と暗号化クライアント１６０と実質的に同じ態様で、遠隔装置データ１２１内の同期データに基づいて行動する。セット手順ファイル１７５は、セット手順ファイル１７０と実質的に同じでありうるが、動機クライアント１２４によって動作するデータの性質のため、異なる命令を含んでいてもよい。遠隔アクセスサーバ１１６と同期サーバを、遠隔装置１２０に遠隔装置データ１２１上で動作するよう命令を送信する単一ユニットに組み込むことができることは当業者には明らかである。この単一ユニットは、遠隔装置１２０に全遠隔装置データに同じように動作するように、あるいはタイプ（例えば、同期、非同期、個人、他）に基づいてデータ１２１に動作するように命令を送信することができる。同様に、本発明の実施例では、遠隔アクセスクライアント１２２と同期クライアント１２４も単一ユニットに組み込んで、データタイプに基づいて遠隔装置データ１２１に動作するようにすることができる。遠隔装置データおよびタイプについては、図３及び図５を参照して以下に詳細に述べる。

本発明の実施例では、遠隔装置１２０の遠隔アクセスクライアント１２２と同期クライアント１２４は、それぞれ、セット手順ファイル１８０と１８５を具えることができる。セット手順ファイル１８０および１８５は実質的にセット手順ファイル１７０および１７５と同様であり、遠隔装置１２０が自身で自動破棄及び／又は暗号化ルーチンを開始する場合に使用される。遠隔装置１２０は、侵害されたことがわかったときにこの手順を自身で開始することができる。例えば、遠隔装置１２０はコードの定期的な入力を要求することができる。コードのスケジュールされた入力がなかったり、あるいは入力されたコードが正しくない場合、これは、装置１２０が侵害されており従って遠隔装置データ１２１あるいはそのサブセットを暗号化するか、あるいは消去する必要があることを表示できる。このことは、遠隔装置１２０が侵害されてしまっているが、グローバルサーバシステム１１０に接触しておらず、従ってシステム１１０がセット手順ファイル１７０及び／又は１７５における手順を開始できないような場合に有益である。

ネットワークシステム１００の動作中に、遠隔装置１２０がグローバルサーバシステム１１０からデータにアクセスする。非同期データについては、遠隔アクセスクライアント１２２が遠隔アクセスサーバ１１６と相互作用する。同期データについては、同期クライアント１２４が同期サーバ１１８と相互作用して、公知の同期プロセスに従ってデータを交換する。サーバ１１８とクライアント１２４間の同期は、定期的にスケジュールされたインターバルで発生するか、あるいは遠隔装置１２０のユーザまたはグローバルサーバシステム１１０のオペレータによって手動で開始することができる。

遠隔装置１２０が侵害された（例えば、紛失した、盗まれた、あるいはユーザにデータにアクセスする許可がもはやない）場合、遠隔アクセスサーバ１１６と同期サーバ１１８は、遠隔装置１２０の遠隔アクセスクライアント１２２と同期クライアント１２４のそれぞれに、遠隔装置データ１２１の全てあるいはサブセットを暗号化するか、及び／又は、消去するように命令を送信できる。加えて、遠隔アクセスサーバ１１６と同期サーバ１１８は、遠隔アクセスクライアント１２２と同期クライアント１２４のそれぞれに、遠隔装置データ１２１の全てあるいはサブセットのコピーをグローバルサーバシステム１１０または格納および評価用の他の場所に送信するように命令することができる。更に、上述したとおり、遠隔装置１２０が侵害された場合は、遠隔装置１２０は消去及び／又は暗号化ルーチンを自身で開始することができる。

図２は、本発明の実施例を実行するのに使用することができる具体的なコンピュータシステム２００を示すブロック図である。サーバシステム１１０、遠隔装置１２０およびこれらのシステムの部品は、このようなコンピュータシステム２００またはその部品を含むものであっても良い。コンピュータシステム２００は、一またはそれ以上のプロセッサ２０２と、入力装置２０３と、出力装置２０４と、コンピュータで読み取り可能な記憶媒体を読み取る記憶媒体リーダ２０５と、コンピュータで読み取り可能な記憶媒体２０６、通信インターフェース２０７と、ストレージ２０８と、オペレーティングシステム２９１と他のプログラム２９２を更に含むワーキングメモリ２０９とを具える。バス２０１は、これらのコンポネントを互いに接続する。

プロセッサ２０２は、通常、他のすべてのパーツを制御するものであり、一般に、制御ユニット、計算および論理ユニット、およびメモリ（レジスタ、キャッシュ、ＲＡＭ、およびＲＯＭ）、同様に様々なテンポラリバッファと他のロジックを具える。制御ユニットは、メモリからの命令を取り出しこれらの命令を復号化して、コンピュータシステムの他のパーツを制御する信号を生成する。図に示したいくつかのプロセッサ２０２の例では、インテル社のＰＥＮＴＩＵＭおよびＣＥＬＥＲＯＮプロセッサ、モトローラ社の１４５００Ｂ、などを具えている。

入力装置２０３または周辺装置は、コンピュータシステムへおよびコンピュータシステムからのデータ転送に用いることができる。キーボード、マウス、タッチスクリーン、ジョイスティック、離散化タブレット、マイクロホンなどのいくつかの入力装置であり、ユーザが直接操作することができる。他の入力装置は、センサ、あるいは、例えばマイクロホンのようなアナログ−デジタルコンバータなど、外部信号をデータに変換するトランスデューサを具えていてもよい。

出力装置２０４はコンピュータシステムに接続された電子機器あるいは接触装置を具えていても良く、テキスト、画像、音あるいは他のメディアの形でコンピュータから、ディスプレイスクリーン、プリンタ、ララウドスピーカ、あるいはストレージ２０８などの通信インターフェース２０７へデータを送信するのに使用することができる。ディスクドライブや磁気テープドライブなどの現在のほとんどの記憶装置は入力装置と出力装置の双方として動作し、他の装置は入力のみである。

通信インターフェース２０７は、バス２０１をコンピュータネットワーク１５０に接続するのに使用することができ、イーサネットカード、モデム、あるいは他の同様のソフトウエアまたはハードウエアを具えていてもよい。イーサネットは、ローカルエリアネットワークタイプのものであり、同軸ケーブルで搬送される無線周波数信号を介して通信を行う。各コンピュータは、他のコンピュータが送信しているかどうかを見てその送信順を待つべくチェックを行う。イーサネットシステムで使用されているソフトウエアプロトコルは様々であるが、ノベルネットウエアと、ＴＣＰ／ＩＰを具えている。モデムは電話線を介して通信を行うためにコンピュータを互いに接続する。モデムは、コンピュータのデジタルデータをアナログ信号に変更して電話線を介して送信し、これを他端のコンピュータで読み取れるようにデジタルデータに変更しなおす。

コンピュータで読み取り可能な記憶媒体リーダ２０５は、コンピュータで読み取り可能な記憶媒体２０６にアクセスし、情報を記憶するのに使用することができる。コンピュータで読み取り可能な記憶媒体リーダ２０５は、ディスクドライブ、ＣＤ−ＲＯＭドライブ、あるいはＤＶＤドライブを具えていても良い。コンピュータで読み取り可能な記憶媒体２０６は、ディスク、ＣＤ−ＲＯＭ、あるいはＤＶＤを具えていても良い。

ストレージ２０８あるいはメモリは、その中にデータを入力することができ、そのデータを保持することができる装置であり、後にそこからデータを取り出すことができる装置である。ストレージ２０８は、データとアプリケーションを永久的に格納できるコンピュータシステム２００のハードディスクスペースを含むものであっても良い。

ワーキングメモリ２０９は、ランダムアクセスメモリ（ＲＡＭ）を具えていてもよく、これもまたオペレーティングシステム２９１と他のプログラムを収容している。ＲＡＭは、半導体集積回路から作ることができ、静的（ＳＲＡＭ）、動的（ＤＲＡＭ）のいずれにもなりうる。ＲＡＭは通常揮発性であるが、非揮発性のランダムアクセスメモリも使用してもよい。

オペレーティングシステム２９１は、例えば、周辺ハードウエアとのインターフェース、タスクのスケジューリング、ストレージの振り分け、通常のアプリケーションプログラムが稼動していないときのユーザのデフォルト推論の表示など、様々なタスクを操作する低レベルのソフトウエアである。オペレーティングシステム２９１の例としては、ＵＮＩＸ、ＸＥＮＩＸ、Linux、ＯＳ２／ＷＡＲＰ，ＤＯＳ、ウインドウズ、ウインドウズ９５、ウインドウズ９８、ウインドウズＣＥ、ウインドウズＮＴ、ウインドウズ２０００、マッキントッシュシステム７、ＩＢＭのＶＳ及びＶＳ／ＶＭＥ、あるいは、ＰａｌｍＯＳ、ＥＰＯＣ、ウインドウズＣＥ、ＦＬＥＸＯＳ、ＯＳ／９、ＪａｖａＯＳなどのハンドヘルド装置用に特に設計されたオペレーティングシステム、あるいは、様々なタイプのコンピュータを操作することができるあらゆる他のタイプのオペレーティングシステムを含むことができる。

図３は、様々なカテゴリのサーバデータ１１５の例を示すブロック図である。サーバデータストア１３０と、遠隔装置データストア１３５にそれぞれ格納されているサーバデータ１１５と遠隔操作データ１２１は、一又はそれ以上のデータカテゴリを含むものであっても良い。これらのカテゴリは、例えば、電子メールデータ３１０、カレンダデータ３２０、ファイルデータ３３０、ブックマークデータ３４０、タスクデータ３５０、販売力自動化データ３６０、顧客関係管理データ３７０、組織のディレクトリデータ３８０、個人情報管理者（ＰＩＭ）データ３９０、様々なアプリケーション３９５、および、その他のデータタイプを含んでいる。

電子メールデータ３１０の例は、電子メールのコンテンツ、送信及び受信されてきたデータ、送信者および受信者のアドレス、電子メールのタイトルを含むことができる。カレンダデータ３２０の例は、日付と、各日付にスケジュールされたイベント、およびその日が休日であるかどうかといった各々の日のその他の特徴を含むことができる。ファイルデータ３３０の例は、ファイル名、コンテンツ、ファイルの作成日、ファイル位置を含むことができる。ブックマークデータ３４０の例は、ブックマーク位置のインターネットアドレスおよびこのアドレスに対応する識別子または名前を含むことができる。タスクデータ３５０の例は、実行するべきタスクに関する情報、実行日、および各タスクの実行に割り当てられた人員を含むことができる。販売力自動化データ３６０は、組織の販売員の販売行動の自動化に関するデータを含むことができる。顧客関係管理データ３７０は、組織の様々な顧客に関する様々なタイプのデータを含むことができる。会社（あるいは他の組織タイプの）ディレクトリデータ３８０の例は、名前、地位、位置、及び組織のために働いている人のコンタクト情報を含むことができる。個人情報管理者（ＰＩＭ）データ３９０は、人の生活および行動の日々の管理におけるその人が使用するデータを含むことができる。様々なアプリケーション３９５の例は、Microsoft Word あるいはWordPerfectなどのワードプロセッシングアプリケーション、Lotus 1-2-3や、Excelなどのスプレッドシートアプリケーション、Autocadなどのドラフティングアプリケーション、などを含むことができる。サーバデータ１１５と遠隔装置データ１２１は、全データファイル、アプリケーション、又はデータユニットを含むものでも良い。

図４は、グローバルサーバシステム１１０のサーバデータ１１５を示すブロック図である。サーバデータ１１５は、非同期タイプのデータ４１０と同期タイプのデータ４２０の２種類のデータを含むことができる。

非同期サーバデータ４１０は遠隔装置１２０のデータの変更によって変更するべきでないタイプのデータとして定義することができる。非同期データ４１０は遠隔アクセスクライアント１２２へ遠隔アクセスサーバ１１６によって提供される。このデータは、遠隔アクセス装置１２０へアクセス不可能（視認不可のこともある）なデータか、あるいは遠隔装置１２０がアクセスして記憶することができるが、遠隔装置１２０で変更したり交換したりしてはならないデータのいずれかであってもよい。同期プロセスは、このタイプのデータに影響せず、対応するデータ値が遠隔装置位置で変化した場合でもサーバ位置でこのタイプのデータの値を更新しない。非同期データ４１０の例は、例えば、パスワードや暗号情報などのセキュリティ、あるいは従業員の給料に関するデータなど、重要データを含むことができる。

同期データ４２０は、同期プロセスを用いて同期しうるタイプのデータとして定義される。同期サーバ１１８は同期クライアント１２４にこのデータを提供することができる。上述したとおり、一般的にデータ値がこの分野のユーザによって変えられることから保護することが好ましい。これらは、一定に保つか、中央の権限を持つ誰かによって中央でのみ変更されるべきデータである。一方、同期データは、遠隔装置１２０でローミングユーザによって変更することが許されているタイプのデータであり、このデータ値の変化は、続いて生じる同期イベント中に対応するサーバデータ１１５へ転送されることを意味する。同期データの例は、遠隔装置を用いるローミングユーザによって定期的に収集されるデータといった種類のものを含む。このデータは、組織のタイプによって変わることがあり、また、セールスデータ、技術データ、スケジューリングデータ、人口調査データ、などを含んでいても良い。これらの場合、ローミングユーザは、通常、データ値を更新するのに最も良い位置におり、この更新を中央位置に送信することが望ましい。

図５は、遠隔装置データ１２１の種類を示すブロック図である。遠隔装置データ１２１は、非同期遠隔装置データ５１０と、同期遠隔装置データ５２０と、個人所有の遠隔装置データ５３０を含む。

サーバデータタイプのコンテキストで説明したとおり、遠隔装置上のデータ値が非同期データタイプ５１０に分類されている場合、また、分類されている間は、これらのデータはサーバシステム１１０上の対応するデータ値における変化によって影響されない。逆に、遠隔装置１２０上のデータ値の変化は、対応するサーバシステム上のデータの値に自動的に影響を与えない。しかしながら、代替の実施例では、非同期データタイプ５１０は実際にはワンウエイで同期される。すなわち、サーバデータ１１５の変化は、遠隔装置データ１２１を変えるが、逆の変化はない。非同期サーバデータ４１０には、遠隔アクセスクライアント１２２と遠隔アクセスサーバ１６６の使用によって遠隔装置１２０によってアクセスすることができる。非同期遠隔装置データ５１０は、非同期サーバデータ４１０と同じカテゴリを含み、非同期サーバデータ４１０と異なるデータカテゴリを更に含むものであっても良い。典型的には、非同期遠隔装置データ５１０は、サーバシステムを制御する主体に属していても良い。非同期遠隔装置データ５１０の例は、例えば、パスワードや暗号情報などのセキュリティや従業員の給料に関する重要データを含んでいても良い。

同期遠隔装置データ値５２０は、最後の同期イベントの後に対応する同期サーバデータ４２０の値が変更されたのであれば、同期イベント中に更新することができる。同時に、同期遠隔装置データ５２０におけるあらゆる変更は続いて生じる同期イベント中に同期サーバデータ４２０に対応する変化を与える。遠隔装置１２０のユーザによって自在に変更することができるこれらのデータカテゴリは、通常、同期タイプに分類される。また、ローミングユーザがデータカテゴリの最新の値にアクセスすることが重要である場合、このカテゴリは同期データ５２０に分類されるべきであり、サーバシステム側１１０の変化によって定期的に更新されなければならない。カレンダデータと、組織ディレクトリリデータは、このタイプに分類されるデータのカテゴリの例である。

個人所有データ５３０は、上述のタイプとは反対に、遠隔装置のユーザに属しており、理想的には、例えば会社の情報技術アドミニストレータなどのデータとサーバシステムの操作を担当するユーザによってアクセスされたり変更されるべきではない。例示的シナリオでは、ローミングユーザの管理下にある遠隔装置１２０は、サーバシステム１１０の制御下にある組織に属しており、サーバシステムの制御を担当するユーザによって制御される。この組織は、ローミングユーザに、割り当てられた遠隔装置に個人データあるいはアプリケーションをインストールすることを許可することができる。このような場合、サーバシステムの制御を担当するユーザは、遠隔装置に記憶された個人所有データ５３０をクリアすることをのぞむことがある。従ってこのデータは、それ自身のタイプのものとされる。

データの各カテゴリは、同期タイプか非同期タイプに分けることができる。データ３１０、３２０、３３０、３４０、３５０、３６０、３７０、３８０、３９０、３９５、他の様々なカテゴリは、データを担当するユーザによって同期タイプ４１０か非同期タイプ４２０に分けることができる。一般的に、カレンダデータ３２０、いくつかのファイルデータ３３０、ブックマークデータ３４０、販売力自動化データ３６０、顧客関係管理データ３７０は、遠隔装置１２０を実行するユーザによって最新情報を取り入れるためにアクセスされ、変更される必要があるデータカテゴリである。これらのデータのカテゴリは、データを担当するユーザによって同期タイプ４２０にセットされる。このように、例えばフィールド従業員であるようなローミングユーザによって実行される遠隔装置１２０のこれらの一のカテゴリにおけるデータ１２１の変化は、サーバシステム１１０の同期データ４２０の対応する変化によってサーバシステム１１０に反映される。一方で、通常のアプリケーション３９５は、常にではないが、一般的には非同期データ５１０である。

データを操作する担当のユーザは、サーバシステム１１０の非同期タイプの内または外にデータカテゴリを移動することができる。言い換えれば、サーバシステム１１０の各データカテゴリのタイプは状況に応じて変わることがある。この結果、遠隔装置１２０の対応するデータのカテゴリが、非同期タイプ５１０の内または外に移動することがある。

データのカテゴリを非同期タイプ５１０の内外に移動させる例は、これはこのフィールドのローミングユーザによって遠隔装置１２０へ入力されているクライアント情報データを、サーバ位置でデータを操作する担当のユーザがデータを照合するまで、非同期タイプ５１０内に保持することである。このようにして、ローミングユーザによって入力されているクライアント情報データは、サーバ位置での対応するデータに影響を与えない。このフィールドに入力されているデータが非同期タイプにセットされている限り、データ値の変化は、同期イベント中にサーバ位置に転送されない。サーバ位置でデータの操作を担当するユーザがフィールドエントリが確かであることを決定した後、対応するサーバデータ１１５は、このフィールドエントリによって安全に更新することができる。この後にのみ、このデータカテゴリは、非同期タイプ５１０から同期タイプ５２０に移動することができる。また、この後にのみ、サーバデータ４２０は、新規に変更された遠隔装置データ５２０と同期することになる。

非同期タイプ５１０の内外に移動するかもしれないデータカテゴリの他の例は、ワードプロセッシングプログラムや、スプレッドシートプログラムなどのアプリケーションを含んでいても良い。例えば、アプリケーションの新バージョンがサーバシステム１１０にインストールされるたびに、サーバでデータを担当するユーザは、アプリケーションのカテゴリを同期タイプ４２０に変えて、従って遠隔装置１２０も同期によってこのアプリケーションのバージョンをアップデートするようにしてもよい。全ての遠隔装置が対応するアプリケーションを同期した後に、アプリケーションを非同期タイプ５１０に保持して遠隔装置のユーザによってインストールされたアプリケーションのバージョンがサーバ位置において中央コピーの変造が許されないようにすることがより好ましい。

同期タイプから非同期タイプへ変更され、それを元に戻す必要のあるデータカテゴリの他の例は、法人の従業員の出勤簿の記入である。各従業員の出勤簿の記入は、その月中、しかし各月の最後に同期され、ＩＴアドミニストレータは出勤簿の記入を非同期データタイプへ移動させて、従業員−ユーザがこれらの記入を更に変更するのを防ぐようにすることができる。

同期タイプ４２０と非同期タイプ４１０間のデータカテゴリの移動は、いろいろな場合に有利である。例えば、様々なセキュリティリスクシナリオを、本発明の実施例によって操作することができる。例えば、遠隔装置１２０で消去事故が生じたら、同期イベント中に削除がサーバシステムに送信されない限り永久的にデータが失われることはない。サーバシステム１１０での事故あるいは悪意によるデータ消去を防ぐために、遠隔装置１２０のユーザによって通常変更されることのないデータの重要なカテゴリを、非同期タイプ４１０にセットすることができる。このデータが場合によって更新されるべきであれば、このデータの操作を担当するユーザは、サーバデータ１１５が遠隔装置データ１２１での信用できる変更に基づいて変更されたことが確実であるときは、稼動している監視期間にデータタイプを同期タイプ４２０に変更できる。続いて、データの操作を担当するユーザは、データタイプを非同期４１０に戻して、遠隔装置による変更を防止することができる。

図６Ａは、自動破棄サーバシステム６００を示すブロック図である。このブロック図は、遠隔アクセスサーバ１１６に含まれる自動破棄サーバ１１７、あるいは、同期サーバ１１８に含まれる自動破棄サーバ１１９を引用している。自動破棄サーバシステム１１７、１１９は、双方とも一般的に同じ動作を実行する同様のコンポネントを有する。従って、二つの自動破棄サーバシステム１１７と１１９のコンポネントを一緒に説明する。相違は、共通点を述べてから説明する。

自動破棄サーバシステム１１７、１１９は、遠隔装置１２０に遠隔装置データ１２１を破棄する命令を出すのに使用される。自動破棄サーバシステム１１７、１１９は、消去コントローラ６１０と、遠隔装置接続リクエスタ６２０と、サーバ接続切断エンジン６３０を有する。

消去コントローラ６１０は、遠隔装置１２０に消去命令セットを送信し、このセット手順ファイル１７０または１７５内の命令に応じて遠隔装置データ１２１からどのデータを削除するかを制御する。消去コントローラ６１０は、Windows，Palm，Epoch、などの間で異なる遠隔装置オペレーティングシステム（プラットフォーム）に応じて、適当なオペレーティングシステムを用いる遠隔装置１２０上のアプリケーション層であってもよい。消去コマンドは、プラットフォーム特有のものであっても良く、データの消去は、削除するデータに単にマークをつけるデータへのタグ付け。あるいはポイント付けでなく、むしろ完全な消去であっても良い。

遠隔装置接続切断リクエスタ６２０は、遠隔装置１２０にサーバシステム１１０に接続されているネットワーク１５０との接続を切断するよう要求する。このリクエスタ６２０のリクエストに応じて、遠隔装置１２０はそのネットワーク１５０との接続、従って他の遠隔装置とサーバシステム１１０との接続を切る。この接続が一旦切れると、サーバシステム１２０と自動破棄サーバ１１７あるいは１１９の消去コントローラ６１０とは遠隔装置１２０へのアクセスをもたず、データ消去を更にコントロールすることができない。しかしながら、問題のこれらの遠隔装置のみが切れることになるので、サーバシステム１１０はネットワーク１５０への接続がそのまま残っている他の遠隔装置へアクセスすることができる。

サーバ接続切断エンジン６３０は、サーバシステム１１０とネットワーク１５０間の接続を切断し、従ってそのフィールドの全制御装置からサーバシステム１１０を切断する。全ての遠隔装置が侵害されており、サーバシステム１１０が全装置１２０との接続を切る必要がある場合にこのエンジン６３０が使用される。このエンジン６３０を使用する他のシナリオは、ウイルスアタックなど、サーバシステム１１０にエラーが検出された場合である。このエラー、あるいはウイルスの伝播を防ぐためには、サーバシステム１１０が全遠隔装置１２０などの接続されている装置から隔離されることが必要である。言い換えれば、このエンジン６３０は、通常、サーバシステム１１０が侵害されたとき、あるいは全遠隔装置１２０が侵害されたときに、単一の遠隔装置１２０あるいは全遠隔装置１２０のサブセットが侵害される時間に対抗して使用される。

本発明の他の実施例では、サーバ接続切断エンジン６３０は、特別な許可のない遠隔装置１２０について全ての許可コード及び／又は関連するデータ（例えば、ユーザＩＤ，ＭＡＣ ＩＤ，パスワード、など）を削除することによって、遠隔装置１２０のサーバシステム１１０へのアクセスすることを防いでいる。

二つの自動破棄サーバの違いは、遠隔アクセスサーバ１１６内にある自動破棄サーバ１１７の消去コントローラ６１０が非同期データ３１０を切断するものであり、一方同期サーバ１１８内にある自動破棄サーバ１１９の消去コントローラ６１０は同期データ３２０を切断することである。しかしながら、自動破棄サーバ１１７と１１９を単一ユニットにまとめることができることは、当業者には自明である。

図６Ｂは、暗号サーバシステム６５０を示すブロック図である。このブロック図は、遠隔アクセスサーバ１１６内の暗号化サーバ１５０、または、同期サーバ１１８内の暗号化サーバ１５２を指す。暗号化サーバ１５０は暗号化サーバ１５２と、一般的に同様に作用する同じコンポネントを有しており、これらは実質的に同じである。暗号化サーバシステム６５０は暗号コントローラ６６０と、暗号アルゴリズム６７０と、暗号キー６８０を具える。

暗号コントローラ６６０は遠隔装置１２０内の暗号クライアント１６０及び／又は１６２へ、遠隔装置データ１２１あるいはそのサブセットを暗号化するよう命令を送る。この暗号コントローラ６６０は、システム１１０のオペレータによって始動され、セット手順ファイル１７０及び／又は１７５にリストされている処理を行う。この暗号コントローラ６６０によって使用されるセット手順は、遠隔装置１２０に、遠隔装置データ１２０の全てまたはサブセットを暗号化するコマンドの送信を含むことができる。このセット手順はまた、暗号アルゴリズム６７０にリストされているとおり、どの暗号アルゴリズムを使用するかを特定することができる。データの暗号化及び／又は解読に用いられるキーは、暗号キー６８０に記憶されている。

図７Ａは、自動破棄クライアントシステム７００を示すブロック図である。このブロック図は、同期クライアント１２４に含まれている遠隔アクセスクライアント１２２または自動破棄クライアント１２５内の自動破棄クライアント１２３を指す。自動破棄クライアントシステム１２３と１２５は、両方が一般的に同じ動作を実行する同じコンポネントを有する。従って、これら二つの自動破棄クライアントシステム１２３と１２５のコンポネントを一緒に説明する。これらのシステムの違いは、共通点を述べた後に説明する。

自動破棄クライアントシステム７００は、遠隔装置データ１２１あるいはそのサブセットを消去するのに使用される。自動破棄クライアント７００は、データトラッカ７１０、データイレーザ７２０、リフォーマッタ７３０、及び遠隔装置接続切断エンジン７４０を具える。

データトラッカ７１０システムは、データ転送のトラックを維持し、ストレージ２０８、ワーキングメモリ２０９、コンピュータで読み取り可能な記憶媒体２０６、あるいはこの他の場所でのそのデータが格納された最終位置を記憶する。データは、遠隔装置１２０とサーバシステム１１０間で、あるいは、互いに通信することが許可されている遠隔装置１２０間で通信される。通信が行われるデータは、様々なタイプおよびカテゴリに分けられる。通信が行われる各データは、非同期４１０、５１０タイプ又は同期４２０、５２０タイプに振り分けるようにしても良い。個人所有データ５３０は、一般的には装置間で通信されない。しかしながら、このデータタイプに入るデータは、追跡し、他のタイプと区別することができる。電子メールデータ３１０、カレンダデータ３２０などのカテゴリからの各データは、非同期４１０、５１０、同期４２０、５２０、あるいは個人所有５３０の特定のタイプに更に分類することができる。同期されるべきデータ４１０は、まず同定され、そのデータを担当するユーザによるなどでマークされる。同期タイプデータ４１０が遠隔装置１２０へ通信される場合、データトラッカ７１０は、このデータの位置とタイプのトラックを保持する。このデータを担当するユーザがこのデータに割り振られたタイプを後に変更した場合は、次の同期イベント間に、データトラッカ７１０が、そのデータがもはや同期タイプ４１０でないことを見つけ出し、そのデータに割り振られたタイプを変更する。その他の場合では、データのタイプの変更は、変更が行われたときにサーバシステムによってデータトラッカ７１０に通信される。このように、消去コマンドが同期データに対して通信される場合、データトラッカ７１０はどのデータが同期タイプに割り振られて消去が必要であり、どのデータが不要であるのかを知る。データトラッカ７１０は、ストレージ２０８、コンピュータが読み取り可能な記憶媒体２０６上のワーキングメモリ１０９、あるいはデータがあるかもしれないコンピュータシステム２００の他の物理的な位置内の消去すべきデータの位置の記録を有している。

データトラッカ７１０の機能は、リスト機能にたとえることができる。実際は、データトラッカ７１０は、遠隔装置１２０に様々なデータタイプのリストを提供し、ある種のデータユニットのタイプが変更されるとき、あるいは、このデータユニットのストレージの位置が変わるとき、これらのリストを動的に維持する。何回同期が生じるかのセットによって、すなわち、同期命令がサーバシステム１１０に発信されるごとに、同期インターバルはそのデータを担当するユーザによって、あるいは遠隔装置のユーザによって予めセットされ、データユニットが遠隔装置１２０の末端で更新されるたびに、及び／又はいくつかの他のルールに従って、データトラッカ７１０は、同期サーバデータ４２０と同期するべき同期遠隔装置データ５２０を同定する。

データ消去７２０システムは、必要に応じてシステム１１０から、または自己始動追従セット手順１８０及び／又は１８５に基づいて、遠隔装置データ１２１の全てあるいは一部を消去することができる。データイレーザ７２０は、データトラッカ７１０に表示されるとおりに、どのデータが遠隔装置データ１２１から消去されるかを制御する。例えば、データイレーザは、同期データ５２０のみ、または個人データ５３０のみを消去ることができる。データイレーザは、Windows，Palm，Epoch，などの間で異なる遠隔装置オペレーティングシステム（プラットフォーム）に応じて適当なオペレーティングシステムを使用することができる。消去コマンドは、特定のプラットフォームであってもよく、データの消去は、消去用にマークされているデータにタグを付けるあるいはこのデータを指摘するより、むしろ完全に消去することが好ましい。

リフォーマッタ７３０は、遠隔装置１２０の格納領域２０８をリフォーマットする。これを行うことによって、リフォーマッタ７３０は全てのデータを消去し、遠隔装置１２０とネットワーク１５０間の接続を切断する。リフォーマッタ７３０は、データのタイプまたはカテゴリを区別しない。リフォーマッタ７３０の動作は、遠隔装置１２０の個人所有データも消去する。本発明の実施例では、リフォーマッタ７３０は、遠隔装置１２０のオペレーションシステム２９１を消去せず、従って遠隔装置１２０を、オリジナルデータあるいはアプリケーション１２１なしの思考機械および操作機械のままとする。

遠隔装置接続切断エンジン７４０は、同期クライアント１２４または遠隔アクセスクライアント１２２とネットワーク１５０との接続を切る。このエンジン７４０が動作する結果、遠隔装置１２０は、特別なタイプのデータをサーバシステム１１０またはた他の遠隔装置１２０と通信しなくなる。接続切断エンジン７４０は、データイレーザ７２０またはリフォーマッタ７４０が動作するよう命令される前に始動していれば、遠隔装置データ１２１をそのままにしておく。遠隔アクセスクライアント１２２の自動破棄クライアント１２３の通信切断エンジン７４０が動作すると、非同期データ５２０の通信が終了する。同期クライアント１２４の自動破棄クライアント１２５の接続切断エンジン７４０が動作すると、同期データ５２０の通信が終了する。起こりうるシナリオでは、遠隔アクセスクライアント１２２の自動破棄クライアント１２３の接続切断エンジン７４０は、非同期データ５１０の通信を切断することができる。データを担当するユーザによって、データタイプが非同期タイプ４１０から同期タイプ４２０に続いて変更される場合は、同じデータが同期クライアント１２４に通信されるであろう。このように、接続切断エンジン７４０の動作は、データのタイプによって選択的であり、通信から独立している。

遠隔アクセスクライアント１２２内に含まれる自動破棄クライアント１２３と、動機クライアント１２４内に含まれる自動破棄クライアント１２５の一つの相違点は、遠隔アクセスクライアント１２２内に含まれる自動破棄クライアント１２３のデータイレーザ７２０がクライアントに非同期データ５１０および個人所有遠隔装置データ５３０を適用するのに対して、同期クライアント１２４内に含まれる自動破棄クライアント１２５のデータイレーザ７２０は、クライアントに同期データ５２０を適応することである。

遠隔アクセスクライアント１２１の自動破棄クライアント１２３と同期クライアント１２４の自動破棄クライアント１２５とのその他の差異は、遠隔アクセスクライアント１２２内にある自動破棄クライアント１２３のデータトラッカ７１０が、クライアント非同期データ５１０を追跡し、同期クライアント１２４内にある自動破棄クライアント１２５のトラッカ７１０がクライアント同期データ５２０を追跡することである。各データトラッカ７１０は、遠隔装置１２０に通信された、またはユーザが入力装置２０３を介して遠隔装置に入力したデータのトラックを保持する。データユニット（ポイント、ファイル、アプリケーション、他）がそのデータを担当するユーザによって同期タイプ４２０から非同期タイプ４１０に移動する場合は、そのデータが一旦遠隔装置１２０に通信されるとトラッカ７１０はその変化を認識する。あるシナリオでは、同期データ４２０が同期サーバ１１８によって遠隔装置１２０に通信され、遠隔装置１２０にて同期クライアント１２４によって受信される。自動破棄クライアント１２５のトラッカ７１０はこのデータの位置とタイプを追跡する。そのデータを担当するユーザは、次いでこのデータのタイプを非同期４１０に変更する。遠隔アクセスクライアント１２２からリクエストを受けると、遠隔アクセスサーバ１１６は、このデータと、その関連するタイプを遠隔アクセスクライアント１２２に通信する。自動破棄クライアント１２４のトラッカ７１０は、このデータの位置とタイプを記録して、このデータがコマンドを受けて破棄できるようにする。他の選択においては、同期サーバ１１８が、各同期イベント中にデータのタイプの変化を同期クライアント１２４の自動破棄クライアントのトラッカ７１０に通知するようにしても良い。同期クライアント１２４の自動破棄クライアント１２５のトラッカ７１０は、そのデータタイプの変更を遠隔アクセスクライアント１２２の自動破棄クライアント１２３のトラッカ７１０に通知するようにしても良い。二つのトラッカ間の通信は、各データユニットの位置とタイプの通知を保持する。

一般に、遠隔装置１２０は、装置１２０が最初に侵害されたときには、組織のヘッドオフィスでサーバシステム１１０と同期がとれた状態にある。装置１２０は、装置が紛失したり、盗まれたりしたとき、あるいは装置１２０を操作する従業員が許可ステータスを失った場合、侵害されることになる。一例は、ある従業員が解雇されたが、遠隔装置１２０をまだ所有しているような場合である。このような状況になった場合、本発明の実施例によって提供されるメカニズムは、組織でそのデータを担当するユーザが装置１２０を遠隔的に使えないようにすることができる。例えば、解雇された従業員の場合、組織でのそのデータを担当するユーザは、当該従業員の口座がもはや有効でなく、当該従業員はデータにアクセスできなくなるべきである旨を遠隔装置１２０に表示することができる。

そのデータを担当するユーザの考えに応じて本発明の実施例によって様々なアプローチがとられる。本発明は単に、遠隔装置１２０とサーバ１１０間のリンクを切断するだけである。このアプローチは、許可されていないユーザに遠隔装置上にすでにあるデータをオープンにする一方で、サーバ１１０上で入手可能なデータへの遠隔装置１２０のアクセスを切断する。本発明は、リンクを切断し、また遠隔装置１２０上で入手可能なすべての同期データを消去することができる。このオプションは、データが時間を伴う価値を失うことがなく、遠隔装置上のデータが第三者の手に渡るべきでない場合に使用される。本発明は、リンクを切断し、データを消去し、遠隔装置１２０上のアプリケーションを消去する。このシナリオでは、アプリケーションも重要であり、占有されており、侵害されるべきでない。更に、上述したとおり、遠隔装置１２０は消去／暗号化手順を自動的に開始することができる。

図７Ｂは、暗号化クライアントシステム７５０を示すブロック図である。このブロック図は、遠隔アクセスクライアント１２２に含まれる暗号クライアント１６０か、あるいは同期クライアント１２４に含まれる暗号クライアント１６２を指す。両暗号クライアントシステム１６０、１６２は、両方とも一般的に同じ動作を実行する同じコンポネントを有する。したがって、この二つの暗号クライアントシステム１６０と１６２のコンポネントは一緒に説明する。

暗号クライアントシステム７５０は、暗号エンジン７６０、暗号アルゴリズム７７０、および暗号キー７８０を具える。暗号エンジン７６０は、システム１１０からのコマンドに応じて、または自身が始動したとき、遠隔装置データ１２１あるいはそのサブセットを暗号化する。暗号化するデータは、サーバ１１０のセット手順ファイル１７０及び／又は１７５、又は遠隔装置１２０のセット手順ファイル１８０及び／又は１８５に特定されている。例えば、セット手順ファイル１８０は、全ての非同期データ５１０と全ての個人所有データ５３０の暗号化を特定することができる。

暗号アルゴリズム７７０は、遠隔装置データ１２１を暗号化するのに使用されるアルゴリズムである。アルゴリズム７７０は、公開鍵アルゴリズム、対称鍵アルゴリズム、あるいは他の暗号化アルゴリズムを具えることができる。暗号アルゴリズム７７０に使用される鍵は暗号キー７８０に格納されている。暗号キー７８０は復号キーと同じものであり、従ってキー７８０は暗号化の後消去コントローラ６１０によって消去され、対応するキーは暗号キー６８０内のサーバ１１０に格納される。暗号化されたデータが暗号キー７８０を用いて解読することができない場合、暗号化後にキー７８０を消去する必要はない。

図８Ａ及び８Ｂは共に、遠隔装置１２０のデータおよびアプリケーションを自動的に破棄し、遠隔装置１２０とサーバシステム１１０の接続を切断するプロセスを示すフローチャートである。図に示すプロセスは、本発明の実施例を用いて実行することのできる様々なプロセスの一例に過ぎない。このプロセスは、サーバ１１０視点から述べられている。

図８Ａ及び８Ｂに示すプロセスにおいて、遠隔装置１２０と通信しているサーバシステム１１０は、遠隔装置１２０がもはやサーバシステムにアクセスする権限がないことの表示を受信する（ステップ８１０）。様々なシナリオ及び例において、遠隔装置１２０を紛失してしまった権限のあるフィールドユーザは、遠隔装置１２０が侵害された一をサーバ１１０のデータを担当するユーザに通知しても良く、当該サーバ位置にいるデータを担当するユーザは、そのフィールドユーザがデータを使用したり、サーバにアクセスする権限がもはやないことを決定するようにしても良く、あるいは、その他のイベントがサーバシステム１１０あるいは遠隔装置データ１２１にもアクセスする権限を失う結果になるようにしても良い。遠隔装置１２０が侵害されているという表示は、そのデータを担当するユーザによってサーバシステム１１０に入力されるか、あるいは、遠隔装置１２０自身でサーバシステム１１０に通信される。遠隔装置１２０自身によってサーバシステム１１０に通信される場合は、遠隔装置１２０はパスワードで保護されるか、あるいは、間違ったパスワードが入力された場合、さもなければあるいは盗難防止メカニズムがトリガされたら、遠隔装置１２０がサーバシステム１１０にメッセージを通信させるある種の盗難防止メカニズムを具えるようにしても良い。例えば、遠隔装置１２０は、ユーザが決められたインターバルで遠隔装置にパスワードを入力しない場合、サーバシステム１１０にメッセージを通信することができる。

サーバシステム１１０は、遠隔装置１２０にセット手順に基づいて自動破棄するようにリクエストを出す。セット手順は、状況のリアルタイムでの評価に基づく相互作用的なデータに責任のあるユーザによって、またはあるあらかじめ設定された基準に従ってトリガされるプリセット機構のいずれかによって選択される。このセット手順は、遠隔装置１２０からリクエストされたセルフ破棄の方法と範囲を決定する。例えば、サーバシステム１１０は、遠隔装置１２０に格納されたデータ１２１の重要度レベルをチェックして、遠隔装置１２０が紛失したのか、盗まれたのか、期限付きに従業員の所有であるのか、あるいは単に従業員から他の者に貸し出されているのかをチェックする。合致したこれらの予め設定された条件の組み合わせに基づいて、サーバシステムはデータの全てあるいは一部を削除し、所定のデータへのアクセスを制限し、接続を切り、あるいは接続をそのままにしておく、といった予め設定された機構をトリガしてもよい。このリクエストはサーバシステム１１０から遠隔装置１２０へ通信され、以下のステップを具えている。

サーバシステム１１０は、まず、遠隔データ１２１をサーバ１１０か他の位置にコピーするセット手順が選択されているかどうかをチェックする（ステップ８１５）。選択されていれば、サーバ１１０は、遠隔装置１２０に遠隔データ１２１を転送するようにリクエストする（ステップ８１６）。本発明の実施例では、サーバシステム１１０は遠隔装置１２１が遠隔装置データ１２１のサブセットを送信するだけとするリクエストを出しても良い（ステップ８１６）。

前記送信をリクエストがなされた（８１６）後、あるいは遠隔データ１２１の送信がリクエストされなかった場合は、サーバシステム１１０は、遠隔データ１２１を暗号化するセット手順が選択されているかどうかをチェエクする（ステップ８１７）。セット手順が暗号化を要求している場合、暗号コントローラ６６０は、暗号化エンジン７６０にメッセージを送信することによって遠隔装置１２０に遠隔データ１２１またはそのサブセットを暗号化するようリクエストする（ステップ８１８）。本発明の実施例では、暗号コントローラ６６０も、使用する暗号アルゴリズムと、暗号に使用するキーを特定及び／又は送信することができる。

サーバシステム１１０は、次いで、遠隔装置全体をリフォーマットするセット手順が選択されているかどうかチェックする（ステップ８１９）。記載されている実施例では、遠隔装置１２０全体をリフォーマットすることは、自動破棄の最も高いレベルである。このセット手順が選択されていれば（ステップ８２０）、自動破棄サーバ１１７、１１９の消去コントローラ６１０は、リフォーマッタ７３０にリクエストを送信して、遠隔装置１２０をリフォーマットする。リフォーマッタ７３０は、全アプリケーションを含む全データを消去するが、ＯＳ２９１は消去する必要はない。リフォーマッタ７３０は、遠隔装置１２０とサーバシステム１１０間の通信を維持するアプリケーションを消去するので、全アプリケーションの消去は、自動的に遠隔装置１２０とサーバシステム１１０との間の接続を切断する。遠隔装置１２０は、オペレーティングシステム２９１を伴って残り、従って、思考及び操作マシーンは残るが、遠隔装置１２０のユーザあるいはサーバ位置におけるデータに責任のあるユーザによって遠隔装置上にインストールされたいかなるデータユニット（ポイント、ファイル、アプリケーション、他）も含まないことになり、失われたデータを再同期するためのサーバシステム１１０へのいかなるアクセスも含まないことになる。このオプションは、個人所有データ５３０も同様に消去し、ある状況においては望まれないかもしれないし、また推奨できないかもしれない。一方で、このオプションは完全かつ迅速である。

リフォーマットセット手順が選択されていない場合（ステップ８１９）、遠隔装置データ１２１を消去する他の手順は、セット手順に特定されているものとして使用されることがある。サーバシステム１１０は、選択されたセット手順が遠隔装置１２０の個人所有データ５３０を消去することを表示しているかどうかを見るためにチェックする（ステップ８２５）。このセット手順は、遠隔装置の個人所有データを維持する権限のないユーザが、権限がないにもかかわらずこのようなデータを装置にロードする場合に選択することができる。このセット手順は、侵害された遠隔装置のユーザがその個人所有データを破棄する必要があるが、他のタイプのデータは破棄するほどには重要でないというような場合にも選択することができる。このセット手順は、一のユーザから、その全データを使用するかもしれないが前のユーザの個人所有データは使用しない別のユーザに遠隔装置が転送される場合に選択することができる。このセット手順が選択されると、サーバシステムは、遠隔装置１２０の個人所有データ５３０の消去をリクエストする（ステップ８３０）。遠隔アクセスサーバ１１６の自動破棄サーバ１１７の消去コントローラ６１０は、遠隔アクセスクライアント１２２の自動破棄クライアント１２３のデータイレーザ７２０にメッセージを送って、遠隔装置の個人所有データ５３０のみを消去する。データイレーザ７２０は、遠隔アクセスクライアント１２２の自動破棄クライアント１２３のデータトラッカ７１０が個人所有データとして追跡したデータを消去する。上述したとおり、消去のターゲットとしたデータは、完全に消去される。

サーバシステム１１０は、選択されたセット手順が遠隔装置１２０のアプリケーションを消去することを表示しているかどうかをチェックする（ステップ８３５）。セット手順がアプリケーションの消去を表示している場合、サーバシステム１１０はそのアプリケーションを消去するように遠隔装置１２０に通知する（ステップ８４０）。アプリケーションはデータのカテゴリであり、同期タイプ５２０か、非同期タイプ５１０に分けられる。したがって、遠隔アクセスサーバ１１６と同期サーバ１１８の両方の自動破棄サーバ１１７、１１９の消去コントローラ６１０は、遠隔アクセスクライアント１２２と同期クライアント１２４の自動破棄クライアント１２３、１２５のデータイレーザ７２０に両タイプのアプリケーションを消去するリクエストを通知することができる。データイレーザ７２０は、次いで、遠隔装置データ１２１に含まれるアプリケーションを完全に消去するようにする。

サーバシステム１１０は、選択されたセット手順が、非同期データ５１０を消去することを表示しているかどうかをチェックする（ステップ８４５）。選択されたセット手順が非同期データ５１０の消去を表示している場合、サーバシステム１１０は遠隔装置１２０に非同期データを消去するように通知する（ステップ８５０）。遠隔アクセスサーバ１１６の自動破棄サーバ１１７の消去コントローラ６１０は、遠隔アクセスクライアント１２２の自動破棄クライアント１２３のデータイレーザ７２０と通信して非同期５１０遠隔装置データを消去する。データイレーザ７２０は、データトラッカ７１０から入手可能な情報に基づいて非同期データ５１０を同定し、このデータを完全に消去する。

サーバシステム１１０は、選択されたセット手順が同期データ５２０を消去することを表示しているかどうかをチェックする（ステップ８５５）。選択されたセット手順が同期データ５２０の消去を表示している場合、サーバシステム１１０は遠隔装置１２０と通信して、同期データを消去する（ステップ８６０）。同期サーバ１１８の自動破棄サーバ１１９の消去コントローラ６１０は、同期クライアント１２４の自動破棄クライアント１２５のデータイレーザ７２０に同期５２０遠隔装置データを消去するように通知する。データイレーザ７２０は、データトラッカ７１０から入手可能な情報に基づいて同期データ５２０を同定し、そのデータを完全に消去する。

サーバシステム１１０は、次いで、選択されたセット手順が遠隔装置１２０との遠隔アクセス接続を切断することを表示しているかどうかをチェックする（ステップ８６５）。選択されたセット手順がこの接続を切断することを表示している場合は、サーバシステムは、遠隔装置１２０にサーバシステム１１０との遠隔アクセス接続を切断するように通知する（ステップ８７０）。遠隔アクセスサーバ１１６の自動破棄サーバ１１７の遠隔装置接続切断リクエスタ６２０は、遠隔アクセスクライアント１２２の自動破棄クライアント１２３の遠隔装置接続切断エンジン７４０にサーバシステム１１０との遠隔アクセス接続を切断するリクエストを通知する。これに応じて、遠隔装置接続切断エンジン７４０は、サーバシステム１１０と遠隔装置１２０間の遠隔アクセス接続を切断する手順をとる。このシナリオでは、同期アクセスはまだ切断されていない。この結果、非同期データ５１０の通信のみが終了し、同期データ５２０はサーバシステム１１０と遠隔装置１２０との間で通信を継続することができる。上述したとおり、データタイプがデータを担当するユーザによって非同期タイプから同期タイプに変更されている場合、同期接続が存在し続ける限り、同期サーバとクライアントを介して通信することができる。

サーバシステム１１０は、次いで、選択されたセット手順が、遠隔装置１２０との同期接続を切断することを表示しているかどうかをチェックする（ステップ８７５）。選択されたセット手順が、この接続を切断することを表示している場合は、サーバシステム１１０は、遠隔装置１２０にサーバシステム１１０との同期接続を切断するように通知する（ステップ８８０）。同期サーバ１１８の自動破棄サーバ１１９の遠隔装置接続切断リクエスタ６２０は、同期クライアント１２４の自動破棄クライアント１２５の遠隔装置接続切断エンジン７４０にサーバシステム１１０との同期接続を切断するリクエストを通知する。遠隔装置接続切断エンジン７４０は、サーバシステム１１０と遠隔装置１２０間の同期接続を切断する手順をとる。このシナリオにおいて、非同期アクセスは切断されていない（前に切断（ステップ８７０）されていない限り）。この結果、同期データ５２０の通信が終了し、非同期データ５１０は、遠隔アクセス通信が前に切断（ステップ８７０）されていないのであれば、サーバシステム１１０と遠隔装置１２０間で通信を継続することができる。

要約すると、図８Ａ及び８Ｂに示すセット手順は、サーバシステム１１０と遠隔装置１２０間の接続を全体的かつ完全な切断、データ１２１を完全に暗号化と、データ１２１のコピーと、遠隔装置のデータ１２１の全体的かつ完全な消去あるいは接続の選択的な切断およびデータの選択的な消去を、許可する。図８Ａおよび８Ｂの手順は、起こりうるシナリオのいくつかを示しているのみであり、接続の切断とデータの消去が混じって合致したシナリオも本発明の実施例によって実行することができる。

例示的なセキュリティ不履行のシナリオでは、遠隔装置１２０に保管されている権限のないユーザが、サーバシステム１１０が遠隔装置データ１２１の破棄をリクエストしないようにするために通信機能をオフにしようとするかもしれない。しかしながら、グローバルサーバにおけるデータに責任のあるユーザがそのデータを消去するリクエストを出す前にそのようにすることは困難である。遠隔装置１２０が重要データを含む場合、一定時刻に発生するようにした自動破棄特徴は、タイプまたはカテゴリによって同定される重要データをある時間インターバルでパスワードが遠隔装置１２０に入力されるか、通知されない限り、自動的に消去する遠隔装置データイレーザ７２０またはリフォーマッタ７３０内に含まれることになる。

図９Ａ及び９Ｂは、遠隔装置１２０のデータとアプリケーションを自動的に破棄し、遠隔装置とサーバシステム１１０の接続を切断する手順を示すフローチャートである。図に示す手順は、本発明の実施例を用いて実行することができる様々な手順の一例に過ぎない。この手順は、遠隔装置１２０の観点から説明されている。

図９Ａの手順において、サーバシステム１１０と通信状態にある遠隔装置１２０は、本発明の実施例において、遠隔装置１２０が旨の表示を送る（ステップ９０５）。遠隔装置１２０は、パスワードで保護されているかあるいは、間違ったパスワードが入力された場合に遠隔装置１２０にサーバシステム１１０にメッセージを通信させるか、そうでない場合は盗難防止システムがトリガされる何らかのタイプの盗難防止メカニズムを含む。

遠隔装置１２０は、次いで、サーバシステム１１０から、図８Ａ及び８Ｂに記載したように、セット手順ファイル１７０あるいは１７５内のセット手順などのセット手順に基づいて遠隔装置データ１２１をコピー、消去、及び／又は暗号化するコマンドを受信する（ステップ９１０）。このセット手順は、遠隔装置１２０からリクエストされた自己破棄の方法及び範囲を決定する。このセット手順は、状況のリアルタイムでの評価に基づく相互作用的にデータを担当するユーザによって、あるいはあらかじめ設定された基準に基づいてトリガされるあるあらかじめ設定されたメカニズムのいずれかによって、選択される。遠隔装置１２０は、次いで、受信したコマンドと図９Ａの最後に示されている方法を実行する（ステップ９１５）

図９Ｂにおいて、遠隔装置１２０は、自主的に自動破棄プロセスを自己始動する。遠隔装置１２０は、まず、装置が侵害されているかどうかを決定する（ステップ９２０）。これは、パスワードが特定の間隔で入力されていないかどうか、または不正なパスワードが入力されているかどうかで決定することができる（ステップ９２０）。代替の実施例では、この決定（ステップ９２０）は、システム１１０から特定の間隔で通信を受信していないことに基づいて行うことができる。装置１２０が侵害されていなければ、装置１２０はより遅くこの決定手順（ステップ９２０）を開始することができる。さもなければ、遠隔装置１２０は、セット手順ファイル１８０及び／又は１８５に特定されているセット手順を実行する。このセット手順は、上述したとおり、遠隔データ１２１の全てまたはサブセットの暗号化、送信、及び／又は消去を含むことができる。このセット手順は、遠隔装置１２０とネットワーク１５０間の接続の切断も含めることができる。

要約すると、図９Ａ及び９Ｂのプロセスで実行されるセット手順は、サーバシステム１１０と遠隔装置１２０間の接続の全体的かつ完全な切断、遠隔装置のデータ１２１の全体的かつ完全な消去、データ１２１の複製、データ１２１の暗号化、及び／又はデータの選択的な消去を許可する。接続の切断およびデータの消去が混在するシナリオも、本発明の実施例によって実行することができる。

図８Ａ及び８Ｂ、および図９Ａ及び９Ｂに示すプロセスに基づくデータの消去が、データタイプおよびカテゴリの様々な混在の中に生じることは、当業者には自明である。データ１２１の所定のカテゴリのみが、消去の対象になるようにしても良い。例えば、組織的なディレクトリデータのみが消去に選択されるようにしても良い。このデータのカテゴリが同期タイプであるか、非同期タイプであるかによって、遠隔アクセスサーバ１１７または同期サーバ１１９の自動破棄サーバは、遠隔装置１２０から消去をリクエストすることができる。データトラッカ７１０は、ストレージの位置、各データのタイプ及びカテゴリを持っており、データイレーザ７２０に選択的な消去を可能とする。

本発明の実施例に関する上述の記載は、例としてあげたものであり、上述の実施例及びプロセスのその他の変形例が本発明によって提供される。例えば、サーバシステムはシングルデバイスとして示されているが、サーバシステムは互いにネットワーク接続されたいくつかのコンピュータを含むものであっても良い。本発明のコンポネントは、プログラムされた通常の目的のデジタルコンピュータを用いて、またはアプリケーションを特定した集積回路を用いて、又は相互接続された従来のコンピュータ及び回路のネットワークを用いて、実行することができる。ここに述べた実施例は、説明の目的で示されたものであり、網羅的あるいは限定的な意味を持つものではない。上述の教示に照らして多くの変形例が可能である。例えば、上述の実施例はデータの消去あるいは接続の切断を実行する命令を使用するようにしてもよい。他の実施例では、データの消去は、サーバシステムのデータを削除し、遠隔装置の対応するデータを同様に削除する同期を指示する同期イベントによって実行することもできる。一方で、サーバシステム内あるいは遠隔装置内のメカニズムは、遠隔装置のデータが削除が偶発的に生じないことが確認されるまでに削除されてしまう場合、同期を阻止するか、遅らせることができる。上述の実施例における他の例として、データの消去は、完全な消去と、単にタグを付すあるいはポイントするのではなく、記憶領域を上書きすることによって行うことができる。他の実施例では、削除は、削除したデータ位置にタグをつけるか、その位置をポイントすることによって行われる。上述の方法、システムおよびコンピュータプログラム製品は、以下の請求項によってのみ限定される。

Claims (48)

1. 遠隔装置が侵害されていることの表示を受信するステップと；
   前記遠隔装置から少なくとも一つのデータサブセットを選択するステップと；
   前記少なくとも一つのデータサブセットへのアクセスを防止するコマンドを前記遠隔装置に送信するステップと；
   を具えることを特徴とする方法。
2. 請求項１に記載の方法において、前記コマンドが前記少なくとも一つのデータサブセットを消去するステップを具えることを特徴とする方法。
3. 請求項１に記載の方法において、前記コマンドが前記少なくとも一つのデータサブセットを暗号化するステップを具えることを特徴とする方法。
4. 請求項１に記載の方法が、更に、前記少なくとも一つのデータサブセットを他の場所へ送信するコマンドを前記遠隔装置に送信するステップを具えることを特徴とする方法。
5. 請求項１に記載の方法において、前記少なくとも一つのデータサブセットが非同期データを具えることを特徴とする方法。
6. 請求項１に記載の方法において、前記少なくとも一つのデータサブセットが同期データを具えることを特徴とする方法。
7. 請求項１に記載の方法において、前記少なくとも一つのデータサブセットが個人データを具えることを特徴とする方法。
8. 請求項１に記載の方法において、前記少なくとも一つのデータサブセットがアプリケーションを具えることを特徴とする方法。
9. 請求項１に記載の方法が、更に、前記遠隔装置とネットワーク間の接続を切るコマンドを前記遠隔装置に送信するステップを具えることを特徴とする方法。
10. 請求項１に記載の方法において、前記表示が前記遠隔装置によって送信されることを特徴とする方法。
11. 請求項１に記載の方法において、前記少なくとも一つのデータサブセットが遠隔装置上の全データを具えることを特徴とする方法。
12. コンピュータにある方法を実行させる命令を格納しているコンピュータで読み取り可能な媒体において、前記方法が：
    遠隔装置が侵害されていることの表示を受信するステップと；
    前記遠隔装置からの少なくとも一つのデータサブセットを選択するステップと；
    前記少なくとも一つのデータサブセットへのアクセスを防止するコマンドを前記遠隔装置に送信するステップと；
    を具えることを特徴とするコンピュータで読み取り可能な媒体。
13. 遠隔装置上の少なくとも一つのデータサブセットがアクセスされることを防止する技術を表示した手順ファイルと；
    前記手順ファイルと前記遠隔装置に通信可能に接続され、遠隔装置が侵害されていることの表示を受信することができ、前記遠隔装置から少なくとも一つのデータサブセットを選択し、前記手順ファイルに従って前記少なくとも一つのデータサブセットへのアクセスを防止するコマンドを前記遠隔装置に送信する、サーバを具えることを特徴とするシステム。
14. 請求項１３に記載のシステムにおいて、前記コマンドが前記少なくとも一つのデータサブセットの消去を含むことを特徴とするシステム。
15. 請求項１３に記載のシステムにおいて、前記コマンドが前記少なくとも一つのデータサブセットの暗号化を含むことを特徴とするシステム。
16. 請求項１３に記載のシステムにおいて、前記サーバがさらに、前記少なくとも一つのデータサブセットを別の場所に送信するコマンドを前記遠隔装置に送信することができることを特徴とするシステム。
17. 請求項１３に記載のシステムにおいて、前記少なくとも一つのデータサブセットが非同期データを含むことを特徴とするシステム。
18. 請求項１３に記載のシステムにおいて、前記少なくとも一つのデータサブセットが同期データを含むことを特徴とするシステム。
19. 請求項１３に記載のシステムにおいて、前記少なくとも一つのデータサブセットが個人データを含むことを特徴とするシステム。
20. 請求項１３に記載のシステムにおいて、前記少なくとも一つのデータサブセットがアプリケーションを含むことを特徴とするシステム。
21. 請求項１３に記載のシステムにおいて、前記サーバが前記遠隔装置とネットワークとの接続を切断するコマンドを前記遠隔装置に送信できることを特徴とするシステム。
22. 請求項１３に記載のシステムにおいて、前記遠隔装置によって前記表示が前記サーバに送信されることを特徴とするシステム。
23. 請求項１３に記載のシステムにおいて、前記少なくとも一つのデータサブセットが前記遠隔装置上の全データを含むことを特徴とするシステム。
24. 遠隔装置が侵害されていることの表示を受信する手段と；
    前記遠隔装置から前記少なくとも一つのデータサブセットを選択する手段と；
    前記少なくとも一つのデータサブセットへのアクセスを防止するコマンドを前記遠隔装置に送信する手段と；
    を具えることを特徴とするシステム。
25. 遠隔装置が侵害されている場合に、遠隔装置の少なくとも一つのデータサブセットへのアクセスを防止するコマンドを受信するステップと；
    前記少なくとも一つのデータサブセットへのアクセスを防止するコマンドを実行するステップと；
    を具えることを特徴とする方法。
26. 請求項２５に記載の方法において、前記コマンドが前記少なくとも一つのデータサブセットの消去を含むことを特徴とする方法。
27. 請求項２５に記載の方法において、前記コマンドが前記少なくとも一つのデータサブセットの暗号化を含むことを特徴とする方法。
28. 請求項２５に記載の方法が更に：
    前記少なくとも一つのデータサブセットを別の場所に送信するコマンドを前記遠隔装置で受信するステップと；
    前記少なくとも一つのデータサブセットを別の場所に送信するステップとを；
    具えることを特徴とする方法。
29. 請求項２５に記載の方法において、前記少なくとも一つのデータサブセットが非同期データを含むことを特徴とする方法。
30. 請求項２５に記載の方法において、前記少なくとも一つのデータサブセットが同期データを含むことを特徴とする方法。
31. 請求項２５に記載の方法において、前記少なくとも一つのデータサブセットが個人データを含むことを特徴とする方法。
32. 請求項２５に記載の方法において、前記少なくとも一つのデータサブセットがアプリケーションを含むことを特徴とする方法。
33. 請求項２５に記載の方法が、更に、
    前記遠隔装置とネットワーク間の接続を切断するコマンドを前記遠隔装置で受信するステップと；
    前記遠隔装置と前記ネットワーク間の接続を切断するステップと；
    を具えることを特徴とする方法。
34. 請求項２５に記載の方法において、前記少なくとも一つのデータサブセットが前記遠隔装置上の全データを具えることを特徴とする方法。
35. ある方法を実行するための命令が格納されているコンピュータで読み取り可能な媒体において、前記方法が：
    遠隔装置が侵害されている場合に遠隔装置における少なくとも一つのデータサブセットへのアクセスを防止するコマンドをサーバから受信するステップと；
    前記少なくとも一つのデータサブセットへのアクセスを防止する前記コマンドを実行するステップと；
    を具えることを特徴とするコンピュータで読み取り可能な媒体。
36. 遠隔装置におけるデータの場所とタイプを追跡可能なデータトラッカと；
    前記遠隔装置が侵害されている場合に前記遠隔装置において少なくとも一つのデータサブセットへのアクセスを防止するコマンドを受信可能であり、前記データトラッカによって生成される情報に基づいて前記少なくとも一つのデータサブセットへのアクセスを防止するコマンドを実行することができる、前記データトラッカに通信可能に接続されているクライアントと；
    を具えることを特徴とするシステム。
37. 請求項３６に記載のシステムにおいて、前記コマンドが前記少なくとも一つのデータサブセットの消去を含むことを特徴とするシステム。
38. 請求項３６に記載のシステムにおいて、前記コマンドが前記少なくとも一つのデータサブセットの暗号化を含むことを特徴とするシステム。
39. 請求項３６に記載のシステムにおいて、前記クライアントが更に；
    前記少なくとも一つのデータサブセットを別の場所に送信するコマンドを前記遠隔装置において受信することと；
    前記少なくとも一つのデータサブセットを別の場所に送信すること；
    が可能であることを特徴とするシステム。
40. 請求項３６に記載のシステムにおいて、前記少なくとも一つのデータサブセットが非同期データを含むことを特徴とするシステム。
41. 請求項３６に記載のシステムにおいて、前記少なくとも一つのデータサブセットが同期データを含むことを特徴とするシステム。
42. 請求項３６に記載のシステムにおいて、前記少なくとも一つのデータサブセットが個人データを含むことを特徴とするシステム。
43. 請求項３６に記載のシステムにおいて、前記少なくとも一つのデータサブセットがアプリケーションを含むことを特徴とするシステム。
44. 請求項３６に記載のシステムが、更に、前記遠隔装置とネットワークとの接続を切断するコマンドを前記遠隔装置において受信することができ；
    前記遠隔装置と前記ネットワークとの間の接続を切断することができる、遠隔装置切断エンジンを具えることを特徴とするシステム。
45. 請求項３６に記載のシステムにおいて、前記少なくとも一つのデータサブセットが前記遠隔装置の全データを含むことを特徴とするシステム。
46. 遠隔装置が侵害されている場合に遠隔装置における少なくとも一つのデータサブセットへのアクセスを防止するコマンドをサーバから受信する手段と；
    前記少なくとも一つのデータサブセットへのアクセスを防止する前記コマンドを実行する手段と；
    を具えることを特徴とするシステム。
47. 遠隔装置が侵害されている旨の表示を受信するステップと；
    前記遠隔装置から少なくとも一つのデータサブセットを選択するステップと；
    前記少なくとも一つのデータサブセットを別の場所に送信するコマンドを前記遠隔装置に送信するステップと；
    を具えることを特徴とする方法。
48. 遠隔装置が侵害されている旨の表示を受信するステップと；
    前記遠隔装置とネットワーク間のアクセスを切断するコマンドを前記遠隔装置に送信するステップと；
    を具えることを特徴とする方法。

Images