JP2008084081A - 機密情報の漏洩防止システム、機密情報の漏洩防止方法、記録媒体、及びプログラム - Google Patents

Abstract

【課題】 コンピュータと、当該コンピュータに接続される記録媒体と、を備えたシステムにおいて、コンピュータの環境が安全か否かを判断することが可能となる機密情報の漏洩防止システム、機密情報の漏洩防止方法、記録媒体、及びプログラムを提供する。
【解決手段】 コンピュータと、当該コンピュータに接続される記録媒体と、を備えたシステムにおいて、そのコンピュータの環境が安全か否かを判断する環境判別手段を備える。環境判別手段がコンピュータの環境が安全ではないと判断した場合、記録媒体内の情報の保存先を制限する。
【選択図】 図１

Description

本発明は機密情報の漏洩防止システム、機密情報の漏洩防止方法、記録媒体に関し、例えば、コンピュータに接続される記録媒体に記録された機密情報の漏洩防止システム、機密情報の漏洩防止方法、記録媒体に関する。

現在、例えば会社内での情報共有を目的に、イントラネットと呼ばれる情報処理インフラストラクチャが整備されている。イントラネットはそれぞれの任意の数のサーバとクライアントの集合であり、どちらもコンピュータシステムである。ここで、会社内のクライアントコンピュータとそのコンピュータに接続される記録媒体（例、ＵＳＢメモリ）とを備えたコンピュータシステムにおいて、会社活動に有用な機密文書ファイルを会社内のクライアントコンピュータから記録媒体を用いて社外に持ち出すケースがある。この際、機密情報の漏洩防止を講ずる必要があり、従来、暗号化、認証処理等が講じられている。

この従来の機密情報の漏洩防止の一例が特許文献１，２に記載されている。

特許文献１は、パーソナルコンピュータとＵＳＢメモリ機器とをＵＳＢバスを用いて接続する。ＵＳＢメモリ機器の認証データ記憶領域に記録されているデータと同一のデータをパーソナルコンピュータからＵＳＢメモリ機器に送信するまでは、ＵＳＢメモリ機器は、パーソナルコンピュータから、ＵＳＢメモリ機器内部にある不揮発性メモリに対するリード及びライト要求アクセスを全て遮断する。そうすることで、不揮発性メモリに記録されたデータの内容の閲覧や改竄を防止することを開示している。

特許文献２に記載の従来の機密情報の漏洩防止では、情報処理装置に対するＵＳＢ周辺機器の接続時に認証手段を設けることにより、認証処理で許可された使用者以外の第三者によるＵＳＢ周辺機器の使用を禁止し、データの参照や変更等の不正使用を効果的に防止可能とすることを開示している。

特開２００６―０３１５４０号公報 特開２００３−１５０２８５号公報

しかしながら、上述した従来の機密情報の漏洩防止を講じたコンピュータシステムにおいては、コンピュータの環境が安全か否かに応じて、記録媒体（例、ＵＳＢメモリ等）内の情報の保存先を制限、又は許可することができなかった。

即ち、コンピュータの環境が安全である場合（例、会社内のイントラネットに接続されたコンピュータの場合）は記録媒体内の情報を保存する先は制限しなくてもよいが（例、コンピュータのハードディスクに記録媒体内の情報を記録してもよいが）、コンピュータの利用環境が安全ではない場合（例、自宅でインターネットに接続されたパソコンの場合）は、記録媒体内の情報の保存先を制限する（例、自宅でインターネットに接続されたパソコンのハードディスクに記録媒体内の情報を記録することを制限する）必要がある。

しかし、コンピュータの環境が安全か否かに応じて、記録媒体（例、ＵＳＢメモリ等）内の情報の保存先を制限、又は許可することができなかった。

その理由は、コンピュータの環境が安全か否かを判断する手段が無かったためである。

本発明の目的は、コンピュータと、当該コンピュータに接続される記録媒体と、を備えたシステムにおいて、コンピュータの環境が安全か否かを判断することが可能となる機密情報の漏洩防止システム、機密情報の漏洩防止方法、記録媒体、及びプログラムを提供することにある。

本発明の機密情報の漏洩防止システムは、コンピュータと、当該コンピュータに接続される記録媒体と、を備えたシステムにおいて、前記コンピュータの環境が安全か否かを判断する環境判別手段を備えることを特徴とする。

本発明の機密情報の漏洩防止方法は、記録媒体が接続されるコンピュータの環境が安全か否かを判断することを特徴とする。

本発明のコンピュータに接続される記録媒体は、前記コンピュータに当該コンピュータの環境が安全か否かを判断する環境判別処理を実行させるためのプログラムを記録したことを特徴とする。

本発明のプログラムは、記録媒体が接続されるコンピュータに当該コンピュータの環境が安全か否かを判断する環境判別処理を実行させることを特徴とする。

本発明は、コンピュータと、当該コンピュータに接続される記録媒体と、を備えたシステムにおいて、コンピュータの環境が安全か否かを判断することが可能となるという効果を有している。その理由は、本発明はコンピュータの環境が安全か否かを判断する環境判別手段を備えているためである。

次に、本発明を実施するための最良の形態の構成について図面を参照して詳細に説明する。

図１は、本発明の実施の形態におけるサーバ１１００と、ネットワーク１２００と、クライアント１３００と、ＵＳＢ周辺装置１４００と、を備えたサーバ・クライアントシステムを示す。サーバ１１００とクライアント１３００とはネットワーク１２００を介して接続され、クライアント１３００にはＵＳＢ周辺装置１４００が接続可能（本図１では接続している）である。サーバ１１００はサーバコンピュータなどであり、ネットワーク１２００はインターネットやイントラネットであり、クライアント１３００はサーバ１１００の資源を利用するパーソナルコンピュータなどである。

サーバ１１００は、ユーザ管理手段１１０１と、ポリシ管理手段１１０２と、ログ管理手段１１０３と、を備える。ユーザ管理手段１１０１、ポリシ管理手段１１０２は、ユーザごとのポリシがサーバ１１００に格納されているため、それを管理する手段である。クライアント１３００からの要求に応じて、そのユーザ用のポリシを返す際に使用される。ユーザ管理手段１１０１は、ユーザ名、ユーザＩＤ、グループ名、パスワードなどの利用者情報の管理を行う。ポリシ管理手段１１０２は、ユーザ管理手段１１０１と連携し、ユーザやグループなどに応じて適用されるクライアントユーザの動作を定義するポリシの管理を行う。

ログ管理手段１１０３は、クライアント１３００によりＵＳＢ周辺装置１４００から取り出したログ情報を取得、および、その管理を行う。

クライアント１３００は、常駐プログラム１３１０と、共有メモリ１３２０と、制御プログラム１３３０と、を備える。ここで、常駐プログラム１３１０と制御プログラム１３３０はＵＳＢ周辺装置１４００に格納されており、ＵＳＢ周辺装置１４００からクライアント１３００に読み出される。クライアント１３００はプログラム制御で動作するＣＰＵ（Central Processing Unit）等の演算装置（図示せず）を備え、ＣＰＵ上で常駐プログラム１３１０と、制御プログラム１３３０内のアプリケーションプログラム１３３１を実行することにより常駐プログラム１３１０と、制御プログラム１３３０の機能を実現する。

常駐プログラム１３１０は、環境判別手段１３１１と、動作管理手段１３１２と、ポリシ管理手段１３１３と、ログアップロード手段１３１４と、を備える。

環境判別手段１３１１は、どこの場所にいるのか（例、クライアント１３００の環境が安全か否か）を判断する。例えば、クライアント１３００が特定のネットワークに接続されているのか（例、オフィス内のネットワークに接続されているのか）の判断を行う。その方法は例えば、特定のＩＰアドレス（例、オフィス内のネットワークで使用されているＩＰアドレス）が有効化されているか否か、ポリシ管理手段１３１３を経由してサーバ１１００へのアクセスが可能であるか否か、などの判断により行う。

動作管理手段１３１２は、環境判別手段１３１１によって判別された環境に応じて、共有メモリ１３２０へのポリシの書き込みを行う。

ポリシ管理手段１３１３は、サーバ１１００にアクセスし、ログインユーザに応じたポリシの取得を行う。

ログアップロード手段１３１４は、環境判別手段１３１１によって判別された環境に応じて、共有メモリ１３２０からログを取得し、サーバ１１００にログ情報の送信を行う。

次に、クライアント１３００、及びＵＳＢ周辺装置１４００の詳細な構成について説明する。図２は、本発明の実施の形態におけるクライアント１３００、及びＵＳＢ周辺装置１４００の構成例を示すブロック図である。

図２におけるクライアント２１００は、図１におけるクライアント１３００と同一であり、図２におけるＵＳＢ周辺装置２３００は、図１におけるＵＳＢ周辺装置１４００と同一である。クライアント２１００とＵＳＢ周辺装置２３００は、ＵＳＢバス２２００で接続されている。ＵＳＢ周辺装置２３００は、クライアント２１００に着脱可能である。

クライアント２１００は、ＣＰＵ２１１０と、メモリ２１２０と、ハードディスク２１３０と、ＵＳＢコントローラ２１４０と、を備える。ハードディスク２１３０には、例えば、ワープロソフトなどのアプリケーションプログラム２１３１がインストールされている。

ＵＳＢ周辺装置２３００は、ＵＳＢ装置コントローラ２３１０と、装置ＩＤ情報２３２０と、記憶装置２３３０と、を備える。

記憶装置２３３０は、常駐プログラム２３３１と、制御プログラム２３３２と、ＵＳＢメモリ内機密領域２３４０と、を備える。ＵＳＢメモリ内機密領域２３４０は、ポリシ情報２３３３と、認証情報２３３４と、機密領域２３３５と、を備える。常駐プログラム２３３１は、図１の常駐プログラム１３１０と同一であり、制御プログラム２３３２は、図１の制御プログラム１３３０と同一である。常駐プログラム２３３１と制御プログラム２３３２は、ＵＳＢ周辺装置２３００がクライアント２１００に接続された際にクライアント２１００に読み出され、クライアント２１００内のＣＰＵ（Central Processing Unit）等によって実行されることにより実現される。

次に、常駐プログラム２３３１と制御プログラム２３３２の詳細な構成について説明する。

図３は、本発明の実施の形態における常駐プログラム３４００と、制御プログラム３６００と、クライアント２１００（第２図に示す、第３図では図示せず）内の共有メモリ３５００とＰＣ内ファイルシステム３７００と、ＵＳＢ周辺装置２３００（第２図に示す、第３図では図示せず）内のＵＳＢメモリ内機密領域３８００と、の構成例を示すブロック図である。図３の常駐プログラム３４００は、図２の常駐プログラム２３３１と同一であり、図３の制御プログラム３６００は、図２の制御プログラム２３３２と同一であり、図３のＵＳＢメモリ内機密領域３８００、機密情報３８０１、認証情報３８０２、ポリシ情報３８０３は、図２のＵＳＢメモリ内機密領域２３４０、機密情報２３３５、認証情報２３３４、ポリシ情報２３３３と同一である。

常駐プログラム３４００は、環境判別手段３４０１と、ＵＳＢドライブ認証手段３４０２と、暗号鍵管理手段３４０３と、画面キャプチャ制御手段３４０４と、動作管理手段３４０５と、ユーザ認証手段３４０６と、復号手段３４０７と、ログアップロード手段３４０８と、ログ管理手段３４０９と、ポリシ管理手段３４１０と、パスワード変更手段３４１１と、ポリシ更新手段３４１２と、暗号手段３４１３と、を備える。

環境判別手段３４０１は、図１の環境判別手段１３１１と同一である。ログアップロード手段３４０８とログ管理手段３４０９は、図１のログアップロード手段１３１４に対応する。

ＵＳＢドライブ認証手段３４０２は、ＵＳＢ周辺装置２３００（第２図に示す、第３図では図示せず）という記憶装置がソフトウェアに登録されているＵＳＢ周辺装置と一致するか否かを検証する手段である。即ち、ＵＳＢ周辺装置２３００に登録されている装置ＩＤ情報２３２０とＵＳＢドライブ認証手段３４０２に登録されている認証情報（図示せず）と一致するか否かを検証する手段である。これにより、プログラムとデータを不正コピーした場合にも情報の漏洩となるリスクを低下させる。

装置ＩＤ情報２３２０はＵＳＢ周辺装置２３００のシリアル番号であり上書きできない情報である。よって、例えば、記憶装置２３３０内のデータを全て別のＵＳＢ周辺装置にコピーするなどして、ＵＳＢドライブ認証手段３４０２に登録されている認証情報（図示せず）を別のＵＳＢ周辺装置にコピーしたとしても、その別のＵＳＢ周辺装置のシリアル番号（装置ＩＤ情報２３２０）と一致せず、不正コピーが判明する。

ソフトウェア、および、ＵＳＢ周辺装置内に保存されている機密情報（ファイル）をＵＳＢ周辺装置２３００とは別のＵＳＢ周辺装置にコピーした場合に、ソフトウェアが暗号化された機密情報（ファイル）を復号できないため、内容の閲覧ができないため。

暗号鍵管理手段３４０３は、例えば、ＵＳＢドライブ認証手段３４０２からＵＳＢ周辺装置２３００の装置ＩＤ情報２３２０（シリアル番号）を受け取る。そして、装置ＩＤ情報２３２０（シリアル番号）を種として暗号化鍵を作成する。そして、動作管理手段３４０５を通じて共有メモリ３５００に鍵を登録する。なお、本手段でなく、別の手段を用いても本発明には影響がない。

画面キャプチャ制御手段３４０４は、画面キャプチャを用いての情報漏洩については、システム全体を制御する必要があり、その制御に利用するものである。即ち、「画面キャプチャ」は、パソコンの画面全体のキャプチャであり、例えば、PrintScreenキーを押下することで、画像データとしてクリップボードにコピーできます。機密情報を開いているアプリケーションの画面をキャプチャされると情報の漏えいにつながるため、制限が必要となる。具体的には、機密情報を開いているアプリケーションがある時に、PrintScreenキーを無効化する。

動作管理手段３４０５は、ＵＳＢメモリ内のポリシ情報３８０３から読み出されたポリシの設定を行う手段である。

ユーザ認証手段３４０６は、例えば、ＩＤとパスワードによる認証を行う手段である。この場合には、ＵＳＢメモリ内の認証情報３８０２から認証情報を読み出し、その照合を行う。なお、認証手段としては、ＩＤとパスワード以外の認証方法でも良い。
復号手段３４０７は、ＵＳＢメモリに暗号化して保存されている認証情報３８０２やポリシ情報３８０３を復号する手段である。

なお、暗号ではなく、オペレーティングシステムから読めないファイルシステムのフォーマットを読み出すものでも良い。即ち、暗号を用いず、「通常の」オペレーティングシステムでは読めないファイルシステムのフォーマットでＵＳＢ周辺装置２３００に対して読み出し書き込みを行い、本クライアント２１００上ではＯＳで読むことができるようにファイルシステムのフォーマット変換を行ってもよい。例えば、Windows（登録商標）OSは、FAT、FAT32、NTFSなどいくつかのファイルシステムをサポートしているが、それらではなく、OSがサポートしないファイルシステムでフォーマットし、復号手段３４０７、ディスク仮想化手段３６１７、暗号／復号手段３６１８で、そのファイルシステムをサポートする。

ログアップロード手段３４０８は、ログ情報をサーバ１１００に送信する手段である。

ログ管理手段３４０９は、共有メモリ３５００に記録されているログ情報を取得し、環境判別手段３４０１の判別に応じて、ログアップロード手段３４０８にログの送信を依頼するか否かを決定する手段である。尚、ログアップロード手段３４０８とログ管理手段３４０９は、図１のログアップロード手段１３１４に対応する。

ポリシ管理手段３４１０は、サーバ１１００から返されたポリシを環境判別手段３４０１の判別に応じて管理する。ポリシ管理手段３４１０は、サーバ１１００から取得したユーザ用ポリシを管理するもので、アプリケーションプログラム３６０１を制御する。

ポリシの管理を行う手段である。具体的には、パスワード変更手段３４１１、および、ポリシ更新手段３４１２を管理する。

パスワード変更手段３４１１は、ユーザによるパスワード変更を行う際に、ＵＳＢメモリに認証情報として記録する手段である。

ポリシ更新手段３４１２は、サーバ１１００から最新のポリシを取得し、サーバ１１００から配付されたポリシをＵＳＢメモリにポリシ情報として記録する手段である。

暗号手段３４１３は、サーバ１１００にアクセスできない環境でのポリシをUSBメモリ内（ポリシ情報３８０３）に記憶するため、それをUSBメモリ上で暗号化する手段である。

共有メモリ３５００は、ポリシ情報、ログ情報などを格納する。

制御プログラム３６００は、アプリケーションプログラム３６０１と、アプリケーションプログラム制御手段３６１０と、を備える。なお、制御プログラム３６００は、アプリケーションプログラム３６０１を起動する際に、ランチャの役割を果たし、アプリケーションプログラム３６０１の挙動を捕捉するためのプログラムである。

アプリケーションプログラム制御手段３６１０は、ポリシ管理手段３６１１と、コピー＆貼り付け制御手段３６１２と、ネットワーク制御手段３６１３と、プロセス間通信制御手段３６１４と、印刷制御手段３６１５と、ファイルアクセス制御手段３６１６と、ディスク仮想化手段３６１７と、暗号／復号手段３６１８と、ログ出力手段３６１９と、を備える。

ポリシ管理手段３６１１は、共有メモリ３５００からポリシを取得しアプリケーションプログラム内部にその情報を保持する。

コピー＆貼り付け制御手段３６１２は、アプリケーション間のクリップボードなどによるデータのやり取りを制御する手段である。

ネットワーク制御手段３６１３は、アプリケーションがネットワークアクセスすることを制御する手段である。例えば、ＩＰアドレス単位、ポート単位などでアプリケーションを制御するなどがある。

プロセス間通信制御手段３６１４は、アプリケーション間でプロセス間通信を行うことを制御する手段である。

印刷制御手段３６１５は、プリンタへのデータの出力を制御する手段である。

ファイルアクセス制御手段３６１６は、ファイルシステムへのアクセス時に、アクセス可否の制御や、ディスク仮想化手段３６１７のＯＮ／ＯＦＦを行う手段である。

ディスク仮想化手段３６１７は、ハードディスクドライブ（図示せず）等へのアクセス時に、書き込み先のファイルパスを変更する手段である。これにより、ＵＳＢメモリから読み出した情報のハードディスクドライブなどのＵＳＢメモリ以外の記録デバイスへの書き込みを強制的にＵＳＢメモリに変更する。

暗号／復号手段３６１８は、ＵＳＢメモリへの書き込み時の暗号化、読み出し時の復号化を行う手段である。

ログ出力手段３６１９は、アプリケーションプログラム制御手段３６１０内の操作情報などを共有メモリ３５００に出力する手段である。

ＰＣ内ファイルシステム３７００は、クライアント２１００内で稼動しているＯＳが格納されているハードディスクなど一般的なファイルシステムである。

ＵＳＢメモリ内機密領域３８００は、機密情報３８０１と、認証情報３８０２と、ポリシ情報３８０３と、を備える。

機密情報３８０１は、持ち出し（例、ＵＳＢメモリ以外の記録デバイスへのデータ記録）を制御する情報であり、認証情報３８０２は、ＵＳＢメモリへのアクセス可否を判断するためのアクセス権情報である。ＵＳＢドライブ認証手段３４０２とユーザ認証手段３４０６に使用される認証情報、アクセス先のサーバ１１００のＩＰアドレス情報、オフィス内のネットワークで使用されているＩＰアドレス情報等が格納されている。

ポリシ情報３８０３は、機密情報３８０１を読み出したアプリケーションの挙動を定義するものである。

次に、本発明を実施するための最良の形態の動作について図２、図３を参照しつつ、図４、図５のフローチャートを基に説明する。

まず、図４のフローチャートに示される初期化以前に、ＵＳＢ周辺装置２３００への最初の設定（アクセス先のサーバの登録、オフィス内のネットワークで使用されているＩＰアドレスの登録等）を行っておく。例えば、最初に利用する際にＵＳＢ周辺装置設定用ソフトウェアを利用して、管理者、または、利用者が初期設定を行う。そのソフトウェアが、設定情報をＵＳＢ周辺装置２３００内にその情報を書き込む。または、製品出荷時に、あらかじめ設定する。

図４は本発明の実施の形態における初期化時の動作を示したフローチャートである。尚、ここで初期化とは本ＵＳＢ周辺装置２３００の実際の使用時に行われる設定を指し、上述のＵＳＢ周辺装置２３００への最初の設定（アクセス先のサーバ１１００の登録、オフィス内のネットワークで使用されているＩＰアドレスの登録等）ではない。

初期化を開始する（Ｓ１００）にあたって、まずユーザがＵＳＢ周辺装置２３００をクライアント２１００に挿す（Ｓ１０１）。すると、常駐プログラム２３３１がメモリ２１２０に読み出され、ＣＰＵ２１１０で実行されることにより常駐プログラム３４００が起動する（Ｓ１０２）。起動に失敗した場合には終了する（Ｓ１１１）。起動に成功した場合には、ＵＳＢ周辺装置２３００に登録されている認証情報２３３４（認証情報３８０２）から、ＵＳＢドライブ認証を行う。即ち、ＵＳＢ周辺装置２３００に登録されている装置ＩＤ情報２３２０とＵＳＢドライブ認証手段３４０２に登録されている認証情報（図示せず）と一致するか否かを検証する（Ｓ１０３）。ＵＳＢドライブ認証に失敗した場合には、終了する（Ｓ１１１）。次に、ユーザ認証手段３４０６は、ＵＳＢ周辺装置２３００内のＵＳＢメモリ内機密領域３８００に記録されている認証情報３８０２から認証情報を復号手段３４０７を介して読み出し、ＩＤとパスワードによるユーザ認証を行う（Ｓ１０４）。このとき、ユーザＩＤとパスワードを入力する画面などがクライアント２１００の表示装置（図示せず）に表示される。ユーザ認証に失敗した場合には、終了する（Ｓ１１１）。そして、動作管理手段３４０５が、ポリシ、暗号化鍵、ログなどを共有するために、共有メモリ３５００が作成される（Ｓ１０５）。

続いて、環境判断手段３４０１が、認証情報３８０２に格納されているアクセス先のサーバ１１００のＩＰアドレス情報、オフィス内のネットワークで使用されているＩＰアドレス等を基に、特定のＩＰアドレス（例、オフィス内のネットワークで使用されているＩＰアドレス）が有効化されているか否か、サーバ１１００へのアクセスが可能であるか否かなどという判断基準に基づいて、どこの場所にいるのか（例、特定のネットワークに接続されているのか）の判断を行う。

即ち、オフィスなどの特定のネットワークに接続されているのであれば安全な環境であると判断し、そうでない場合には、安全でない環境であると判断するなどの判定を行う（Ｓ１０６）。Ｓ１０６の一例を以下に説明する。

図６は、本実施の形態における上述の環境判断手段３４０１が特定のネットワークに接続されているか否かの判別方法を示す図である。社内ネットワーク６０００と社外ネットワーク６００１がインターネット６００２を介して接続されている。社内ネットワーク６０００は、サーバ６１００と、ファイアウォール６２００と、クライアント６３００と、を備える。サーバ６１００は、証明書６１０１を備える。クライアント６３００は、常駐プログラム６３１０と、常駐プログラム６３１０内に環境判別手段６３１１を備える。ファイアウォール６２００により、サーバ６１００は、オフィス内のネットワークからのみアクセス可能である。そして、そのサーバ６１００に証明書６１０１を用意し、環境判断手段３４０１が、そのサーバ６１００にアクセスし、証明書６１０１を検証することで社内であるか否かを判定する。

社外ネットワーク６００１は、クライアント６４００を備える。社外からアクセスするクライアント６４００がサーバ６１００に接続するためには、ファイアウォール６２００を通過する必要がある。このとき、ファイアウォール６２００で社外からの本サーバへの接続を禁止した場合、クライアント６４００はサーバ６１００に接続できず、ＩＰアドレスをサーバ６１００から付与されず、また証明書６１０１をサーバ６１００から受け取ることができない。

したがって、サーバ６１００への接続可否、ＩＰアドレスをサーバ６１００から付与されたか否か、および、接続できたサーバ６１００の証明書６１０１を検証することで、クライアント６４００の環境が社外ネットワーク６００１か社内ネットワーク６０００かの判別を行うことができる。ここで、社外であっても同一のIPアドレスを付与することが可能であるため、IPアドレスのみで判断せず、証明書６１０１の検証と併用することが望ましい。

尚、ＵＳＢが差し込まれるパソコンがスタンドアロンの場合、ＩＰアドレスは有効化されず、サーバ６１００へのアクセスは不可能となる。その場合は、クライアント６４００の環境は安全ではないと判断される。

図４のフローチャートの説明に戻る。安全な環境でなければ環境判別手段３４０１内にポリシを禁止に設定する（Ｓ１０７）。このとき、画面キャプチャ制御手段３４０４はPrintScreenキーを無効化する。安全な環境であればポリシを許可に設定する（Ｓ１０８）。そして、動作管理手段３４０５が共有メモリ３５００にポリシと暗号鍵をセットし（Ｓ１０９）、制御プログラム３６００を起動し（Ｓ１１０）、初期化を終了する（Ｓ１１１）。

図５は、本発明の実施の形態におけるアプリケーションプログラム３６０１起動時の動作を示したフローチャートである。なお、アプリケーションプログラム３６０１を起動する前に（Ｓ２００）。上述の初期化処理が完了し、常駐プログラム３４００が起動されているものとする。

制御プログラム３６００を経由してアプリケーションが起動される（Ｓ２０１）。なお、このとき、ＵＳＢ周辺装置２３００の情報は暗号化等の処理が施されているため、アプリケーションプログラム３６０１は制御プログラム３６００を経由しないと正しいファイルとして認識されない。次に、ポリシ管理手段３６１１が共有メモリ３５００からポリシ情報を取得する（Ｓ２０２）。アプリケーションプログラム３６０１が稼動する（Ｓ２０３）。なお、ユーザの操作をトリガにして稼動する場合とユーザの操作なしにアプリケーションプログラム３６０１が稼動する場合の両方があるが、どちらを採用してもよい。

アプリケーションプログラム３６０１の動作がファイルアクセスの場合（Ｓ２０４）、ファイルアクセス制御手段３６１６がポリシ管理手段３６１１からポリシを読み出し、ポリシが「禁止」か「許可」か、を判断する（Ｓ２０５）。ポリシが「禁止」の場合、以下のようなファイルパス変更処理（Ｓ２０６）がディスク仮想化手段３６１７により行われる。例えば、特開２００６−１２７１２７号公報に開示されたファイルパス書き換え方法を応用する。即ち、ディスク仮想化手段３６１７を、ＵＳＢ周辺装置２３００内の情報を記録するときにファイルパスがＵＳＢ周辺装置２３００内部となるようにし、ＵＳＢ周辺装置２３００内の情報の保存先を制限するファイルパス制限手段として機能させる。

具体的には、指定されたハードディスクドライブ等のファイルパス名をＵＳＢ周辺装置２３００内の機密ルートディレクトリ下の機能フォルダ（本実施例ではＵＳＢメモリ内機密領域３８００内の機密情報３８０１）に対するファイルパス名に書き換える方法で実現する。

例えば、ＵＳＢ周辺装置２３００のディレクトリ構成として、機密ルートディレクトリ「H:\sec_root」（ＵＳＢ周辺装置２３００のドライブ名がＨドライブであったとする）下で機密フォルダのパスを予め定義しておく。ユーザが指定するファイルパスが「C:\doc\file1」（ハードディスクドライブのドライブ名がＣドライブとする）であった場合に、書き込み命令であった場合、ファイルパスを書き換える。ここでは、フルパスで書かれたファイル名の先頭に機密ルートディレクトリである「\sec_root」を書き足すことで、「\sec_root」をルートディレクトリとして見たパスに書き換える。例えば、与えられたファイルが上述の「C:\doc\file1」というパスファイル名であった場合、このファイルパス名の書き換えによって、「H:\sec_root\doc\file1」というパス名に置き換えられる。次いで、このパス名に対して書き込み命令を実行する。

一方、ファイルアクセス要求が書き込み命令以外、例えば読み込みの命令である場合は、与えられたファイルパスの先頭に「\sec_root」を足したパスにファイルが存在するか否かを確認する。その結果、存在する場合は、書き込み命令と同様にファイルパス名を書き換え、存在しない場合は、ファイルパス名の書き換えを行わない。次いで、このパス名に対して読み込みの命令を実行する。

これにより、ＵＳＢ周辺装置２３００が接続されるクライアントコンピュータ２１００の環境が安全か否かに応じて、ＵＳＢ周辺装置２３００に対する入出力処理は可能としつつＵＳＢ周辺装置２３００内の情報の保存先を制限、又は許可することができる。例えば、クライアントコンピュータ２１００の利用環境が安全ではない場合（例、自宅でインターネットに接続されたパソコンの場合）で、ユーザがハードディスクドライブ等のファイルパスを指定して情報を保存する場合、強制的にＵＳＢ周辺装置２３００内記録媒体内の機密ルートディレクトリ下の機能フォルダに保存先が変更される。これにより、ＵＳＢ周辺装置２３００以外に機密情報が保存されることが防止されるため、機密情報の漏洩を防止することができる。

逆に、クライアントコンピュータ２１００の利用環境が安全でありポリシが「許可」の場合、ファイルパス変更処理（Ｓ２０６）は行われずユーザが指定したファイルパスに書き込みが行われる。

ＵＳＢ周辺装置２３００からのファイルのデータ取得時には、暗号／復号手段３６１８によりＵＳＢ周辺装置２３００上では暗号化された状態になるようにし、アプリケーションプログラム３６０１が利用する場合には、復号された状態になるようにする（Ｓ２０７）。

アプリケーションプログラム３６０１の動作が印刷の場合（Ｓ２０８）、印刷制御手段３６１５がポリシ管理手段３６１１からポリシを確認し、禁止であれば（Ｓ２０９）、印刷制御手段３６１５はその印刷処理をブロックする（Ｓ２１０）。

アプリケーションプログラム３６０１の動作がプロセス間通信の場合（Ｓ２１１）、プロセス間通信制御手段３６１４はポリシ管理手段３６１１からポリシを確認し、禁止であれば（Ｓ２１２）、プロセス間通信制御手段３６１４はそのプロセス間通信処理をブロックする（Ｓ２１３）。アプリケーションプログラム３６０１の動作がネットワークアクセスの場合（Ｓ２１４）、ネットワーク制御手段３６１３はポリシ管理手段３６１１からポリシを確認し、禁止であれば（Ｓ２１５）、ネットワーク制御手段３６１３はそのネットワークアクセス処理をブロックする（Ｓ２１６）。アプリケーションプログラム３６０１の動作がコピー＆貼り付けの場合（Ｓ２１７）、コピー＆貼り付け制御手段３６１２はポリシ管理手段３６１１からポリシを確認し、禁止であれば（Ｓ２１８）、コピー＆貼り付け制御手段３６１２はそのコピー＆貼り付け処理をブロックする（Ｓ２１９）。これらをアプリケーションプログラム３６０１が終了するまで繰り返す（Ｓ２２０）。アプリケーションプログラム３６０１が終了の場合、処理を終了する（Ｓ２２１）。

図７は本発明の実施の形態におけるログ情報のサーバ１１００への送信動作を示したフローチャートである。

ログ出力手段３６１９は、アプリケーションプログラム制御手段３６１０内の操作情報などのログ情報を共有メモリ３５００に出力する（Ｓ３０１）。ログ管理手段３４０９は、共有メモリ３５００に記録されているログ情報を取得する（Ｓ３０２）。ログ管理手段３４０９は、環境判別手段３４０１が、クライアント２１００の環境が安全であると判断した場合（Ｓ３０３，Ｙｅｓ）、ログアップロード手段３４０８にログの送信を依頼する（Ｓ３０４）。環境判別手段３４０１が、クライアント２１００の環境が安全でないと判断した場合（Ｓ３０３，Ｎｏ）、ログアップロード手段３４０８にログの送信を依頼しない（Ｓ３０５）。ログアップロード手段３４０８は、ログ管理手段３４０９からログの送信の依頼を受けた場合（Ｓ３０４）、ログ情報をサーバ１１００に送信する（Ｓ３０６）。

上述の本発明の実施の形態におけるログ情報のサーバ１１００への送信方法では、安全にユーザの操作をトレースすることが可能となる。その理由は、安全な環境で利用している場合にのみユーザ操作を記録したログ情報を取り出しユーザの操作をトレースするためである。また、ネットワーク帯域を消費しない点も効果である。クライアント１３００側でログ情報を送信するか否かを決定するため、サーバ１１００がポーリングを行わないためである。

次に、本発明の第２の実施の形態について詳細に説明する。

第２の実施の形態は図１のサーバに設置されている、ユーザ管理手段１１０１と、ポリシ管理手段１１０２と、ログ管理手段１１０３と、をクライアント１３００側で実施する形態である。したがって、第２の実施の形態では、ユーザ管理手段１１０１とポリシ管理手段１１０２の機能に関しては、ＵＳＢ周辺装置１４００側でＵＳＢ周辺装置１４００へのポリシ・認証情報の書き込みを行う。また、ログ管理手段１１０３については、例えば、クライアント１３００側でログ情報を取得、管理する。そして、ログビューアによりユーザがログを参照する、特定のサーバ１１００にアップロードして管理者がそのログを参照すること等を行う。

本発明の実施の形態では、接続されるネットワーク環境からパソコン等クライアントが安全であるかどうか判断した。しかし、接続されるネットワーク環境から判断するだけでなく、ウィルスプログラム、Ｐ２Ｐソフト等のファイル等をパソコンで発見した場合に安全でないと判断して持ち出しを制限することも可能である。

本発明はコンピュータの利用環境が安全か否かを判断する環境判別手段を備えているため、以下の効果を奏す。

本発明の第一の効果は、コンピュータと、当該コンピュータに接続される記録媒体と、を備えたシステムにおいて、コンピュータの環境が安全か否かを判断することが可能となる点である。

第二の効果は、コンピュータの環境が安全か否かに応じて記録媒体内の情報の保存先を制限、又は許可することができる点である。これにより例えば、クライアントコンピュータの利用環境が安全ではない場合（例、自宅でインターネットに接続されたパソコンの場合）で、ユーザがハードディスクドライブ等のファイルパスを指定して情報を保存する場合、強制的にＵＳＢ周辺装置内記録媒体内の機密ルートディレクトリ下の機能フォルダに保存先が変更される。これにより、ＵＳＢ周辺装置以外に機密情報が保存されることが防止されるため、機密情報の漏洩を防止することができる。

第三の効果は、アクセス権限のあるユーザが、記録媒体が接続されるコンピュータを安全でない環境で利用した場合に、記録媒体に対する入出力処理（例、記録媒体内の機密情報の閲覧や編集等）を可能とし、記録媒体内の情報の保存先を制限（例、記録媒体からの機密情報の持ち出しを防止）することが可能となる点である。

第四の効果は、アクセス権限のあるユーザが、記録媒体が接続されるコンピュータを安全である環境で利用した場合に、記録媒体に対する入出力処理（例、記録媒体内の機密情報の閲覧や編集等）を可能とし、記録媒体内の情報の保存先の制限を外す（例、記録媒体からの機密情報の持ち出しを許可）ことが可能となる点である。

第三の効果、及び第四の効果が生じる理由は、本発明がユーザ認証を行うユーザ認証手段と、コンピュータの利用環境が安全か否かを判断する環境判別手段と、を組み合わせて使用しているためである。

第五の効果は、安全にユーザの操作をトレースすることが可能となる点である。その理由は、安全な環境で利用している場合にのみユーザ操作を記録したログ情報を取り出しユーザの操作をトレースするためである。

第六の効果は、ネットワーク帯域を消費しない点も効果である。クライアントの側でログ情報を送信するか否かを決定するため、サーバがポーリングを行わないためである。

本発明に係る機密情報の漏洩防止システム、機密情報の漏洩防止方法、記録媒体は、特に、コンピュータに接続される記録媒体に記録された機密情報の漏洩防止システム、機密情報の漏洩防止方法、記録媒体、プログラムに利用可能である。

本発明の実施の形態におけるサーバ１１００と、ネットワーク１２００と、クライアント１３００と、ＵＳＢ周辺装置１４００と、を備えたサーバ・クライアントシステムを示す。 本発明の実施の形態におけるクライアント１３００、及びＵＳＢ周辺装置１４００の構成例を示すブロック図である。 本発明の実施の形態における常駐プログラム３４００と、制御プログラム３６００と、クライアント２１００（第２図に示す、第３図では図示せず）内の共有メモリ３５００とＰＣ内ファイルシステム３７００と、ＵＳＢ周辺装置２３００（第２図に示す、第３図では図示せず）内のＵＳＢメモリ内機密領域３８００と、の構成例を示すブロック図である。 本発明の実施の形態における初期化時の動作を示したフローチャートである。 本発明の実施の形態におけるアプリケーションプログラム３５０１起動時の動作を示したフローチャートである。 本実施の形態における環境判断手段３４０１が特定のネットワークに接続されているか否かの判別方法を示す図である。 本発明の実施の形態におけるログ情報のサーバ１１００への送信動作を示したフローチャートである。

符号の説明

１１００ サーバ
１１０１ ユーザ管理手段
１１０２ ポリシ管理手段
１１０３ ログ管理手段
１２００ ネットワーク
１３００ クライアント
１３１０ 常駐プログラム
１３１１ 環境判別手段
１３１２ 動作管理手段
１３１３ ポリシ管理手段
１３１４ ログアップロード手段
１３２０ 共有メモリ
１３３０ 制御プログラム
１３３１ アプリケーションプログラム
１４００ ＵＳＢ周辺装置
２１００ クライアント
２１１０ ＣＰＵ
２１２０ メモリ
２１３０ ハードディスク
２１３１ アプリケーションプログラム
２１４０ ＵＳＢコントローラ
２２００ ＵＳＢバス
２３００ ＵＳＢ周辺装置
２３１０ ＵＳＢ装置コントローラ
２３２０ 装置ＩＤ情報
２３３０ 記憶装置
２３３１ 常駐プログラム
２３３２ 制御プログラム
２３３３ ポリシ情報
２３３４ 認証情報
２３３５ 機密領域
２３４０ ＵＳＢメモリ内機密領域
３４００ 常駐プログラム
３４０１ 環境判別手段
３４０２ ＵＳＢドライブ認証手段
３４０３ 暗号鍵管理手段
３４０４ 画面キャプチャ制御手段
３４０５ 動作管理手段
３４０６ ユーザ認証手段
３４０７ 復号手段
３４０８ ログアップロード手段
３４０９ ログ管理手段
３４１０ ポリシ管理手段
３４１１ パスワード変更手段
３４１２ ポリシ更新手段
３４１３ 暗号手段
３５００ 共有メモリ
３６００ 制御プログラム
３６０１ アプリケーションプログラム
３６１０ アプリケーションプログラム制御手段
３６１１ ポリシ管理手段
３６１２ コピー＆貼り付け制御手段
３６１３ ネットワーク制御手段
３６１４ プロセス間通信制御手段
３６１５ 印刷制御手段
３６１６ ファイルアクセス制御手段
３６１７ ディスク仮想化手段
３６１８ 暗号／復号手段
３６１９ ログ出力手段
３７００ ＰＣ内ファイルシステム
３８００ ＵＳＢメモリ内機密領域
３８０１ 機密情報
３８０２ 認証情報
３８０３ ポリシ情報
６０００ 社内ネットワーク
６００１ 社外ネットワーク
６００２ インターネット
６１００ サーバ
６１０１ 証明書
６２００ ファイアウォール
６３００ クライアント
６３１０ 常駐プログラム
６３１１ 環境判別手段
６４００ クライアント

Claims (12)

1. コンピュータと、当該コンピュータに接続される記録媒体と、を備えたシステムにおいて、
   前記コンピュータの環境が安全か否かを判断する環境判別手段
   を備えることを特徴とする機密情報の漏洩防止システム。
2. 前記機密情報の漏洩防止システムは、
   前記環境判別手段が前記コンピュータの環境が安全ではないと判断した場合、前記記録媒体内の情報の保存先を制限する
   ことを特徴とする請求項１に記載の機密情報の漏洩防止システム。
3. 前記機密情報の漏洩防止システムは、
   ユーザ認証を行うユーザ認証手段
   を備え、
   前記ユーザ認証手段がユーザ認証に成功し、かつ、前記環境判別手段が前記コンピュータの環境が安全でないと判断した場合、前記記録媒体に対する入出力処理を可能とし、前記記録媒体内の情報の保存先を制限する
   ことを特徴とする請求項１に記載の機密情報の漏洩防止システム。
4. 前記機密情報の漏洩防止システムは、
   前記環境判別手段が、前記コンピュータが特定のネットワークに接続される場合に前記コンピュータの環境が安全と判断する
   ことを特徴とする請求項１に記載の機密情報の漏洩防止システム。
5. 前記機密情報の漏洩防止システムは、
   前記特定のネットワークは、前記コンピュータのＩＰアドレスが有効化されるネットワークである
   ことを特徴とする請求項４に記載の機密情報の漏洩防止システム。
6. 前記機密情報の漏洩防止システムは、
   前記コンピュータはサーバを利用するクライアントコンピュータであり、前記特定のネットワークは、前記クライアントコンピュータが前記サーバへのアクセスが可能であるネットワークである
   ことを特徴とする請求項４に記載の機密情報の漏洩防止システム。
7. 前記機密情報の漏洩防止システムは、
   記録媒体内の情報を記録するときにファイルパスが前記記録媒体内部となるようにし、前記記録媒体内の情報の保存先を制限するファイルパス制限手段
   を備えたことを特徴とする請求項２に記載の機密情報の漏洩防止システム。
8. 前記機密情報の漏洩防止システムは、
   前記コンピュータはサーバの資源を利用するクライアントコンピュータであり、
   前記環境判別手段が前記コンピュータの環境が安全であると判断した場合、ユーザ操作を記録したログ情報を前記サーバに送信する
   ことを特徴とする請求項１に記載の機密情報の漏洩防止システム。
9. 前記機密情報の漏洩防止システムは、
   前記記録媒体が前記コンピュータに着脱可能であり、
   前記環境判別手段は、前記記録媒体に記録されたプログラムを前記コンピュータが実行することにより実現される
   ことを特徴とする請求項１に記載の機密情報の漏洩防止システム。
10. 機密情報の漏洩防止方法であって、
    記録媒体が接続されるコンピュータの環境が安全か否かを判断する
    ことを特徴とする機密情報の漏洩防止方法。
11. コンピュータに接続される記録媒体であって、
    前記コンピュータに当該コンピュータの環境が安全か否かを判断する環境判別処理
    を実行させるためのプログラムを記録した記録媒体。
12. 記録媒体が接続されるコンピュータに当該コンピュータの環境が安全か否かを判断する環境判別処理
    を実行させるためのプログラム。

Images