JP2008181467A - 携帯端末の情報流出防止装置 - Google Patents

Abstract

【課題】不正なアクセスが行われる可能性を確実に検出して携帯端末のメモリに格納された情報を消去する。
【解決手段】携帯端末の電源などに関する状態の少なくとも一つに関して、正当な利用者の手元を離れた可能性を示唆する継続時間を示す状態関連条件を格納する条件格納手段と、条件格納手段において前記状態関連条件が指定された状態の継続時間を計測する計測手段と、予め設定された前記携帯端末に対する少なくとも一つの操作イベントを検出するイベント検出手段と、計測手段による計測結果が前記状態関連条件で示された継続時間以上となったことを検出する継続検出手段と、継続検出手段と前記イベント検出手段とによる検出結果の組み合わせに基づいて、前記携帯端末への不正アクセスの可能性の有無を判定する判定手段と、判定手段によって不正アクセスの可能性があるとされたときに、予め指定された消去対象の情報を前記携帯端末のメモリから消去する消去手段とを備える。
【選択図】 図１

Description

本発明は、携帯端末のメモリに格納された情報の流出を防止する情報流出防止装置に関する。

携帯端末の管理は、基本的に利用者それぞれに任されているが、利用者が私的な用事で使用する場合に用いられる情報とともに、利用者が仕事上で使用する情報も携帯端末内のアドレス帳などに登録されている場合が多い。
このような携帯端末を紛失したり盗まれたりしてしまった際に、携帯端末のアドレス帳に登録された個人情報などが流出すると、その携帯端末の利用者の信用のみならず、この利用者の勤務先の企業への信頼まで揺らぎかねない。

このような情報の流出を防ぐために、例えば、情報にアクセスする人物を認証するためにパスワードを設定する技術が提案されている。
また、認証技術によって不正な人物によるアクセスであると判断したとき、あるいは、基地局からの特定の制御信号を受信したときに、メモリに格納されている情報を所定のサーバに転送した後に消去する技術や(特許文献１参照)や、携帯端末の電源がオフにされてから所定の時間以上経過してから電源が投入された場合に、携帯端末が本来の使用者以外の人物に渡ったと判断して、メモリに格納されている情報消去する技術(特許文献２参照)も提案されている。
特開２００４−２７４３１０号公報 特開２０００−２４２５６５号公報

上述した携帯端末のメモリ内の情報を消去する技術は、情報の消去後は登録されていた情報にアクセスすることが物理的に不可能となるので、単に、認証技術を適用してメモリ内の情報へのアクセスを拒否する技術に比べて安全性の点で優れている。
しかしながら、上述した特許文献１の技術では、携帯端末が基地局と無線通信可能な環境におかれていることが前提となっているため、移動通信システムからの無線信号が到達できない地下などに携帯端末が持ち込まれた場合には対応することができない。

また、特許文献２の技法では、携帯端末の電源がオフにされてからオンにされるまでの経過時間に基づいて使用者の正当性を判断しているが、電源を投入した状態で利用しつづける利用形態などが一般化するなど、携帯端末の利用形態が多様化している現在では、上述したような判断方法では対応しきれない場合がある。
本発明は、不正なアクセスが行われる可能性を確実に検出して携帯端末のメモリに格納された情報を消去する情報流出防止装置を提供することを目的とする。

本発明にかかわる第１の情報流出防止装置は、条件格納手段と、計測手段と、イベント検出手段と、継続検出手段と、判定手段と、消去手段とから構成される。
本発明にかかわる第１の情報流出防止装置の原理は、以下の通りである。
条件格納手段は、携帯端末への電源の供給状態および無線信号の到達状態を含む携帯端末の状態の少なくとも一つに関して、正当な利用者の手元を離れた可能性を示唆する継続時間を示す状態関連条件を格納する。計測手段は、条件格納手段において状態関連条件が指定された状態の継続時間を計測する。イベント検出手段は、予め設定された携帯端末に対する少なくとも一つの操作イベントを検出する。継続検出手段は、計測手段による計測結果が状態関連条件で示された継続時間以上となったことを検出する。判定手段は、継続検出手段とイベント検出手段とによる検出結果の組み合わせに基づいて、携帯端末への不正アクセスの可能性の有無を判定する。消去手段は、判定手段によって不正アクセスの可能性があるとされたときに、予め指定された消去対象の情報を携帯端末のメモリから消去する。

このように構成された第１の情報流出防止装置の動作は、下記の通りである。
例えば、条件格納手段に携帯端末に基地局からの無線信号が到来していない状態の継続時間に関する状態関連条件が格納され、また、イベント検出手段に折りたたみ型の携帯端末の展開操作を検出する旨が設定されている場合は、計測手段によって計測された継続時間が上述した状態関連条件で示された継続時間以上となった後に展開操作が行われたときに、継続検出手段とイベント検出手段とによる検出結果に基づいて、判定手段により、不正アクセスの可能性があると判定され、消去手段による消去動作が起動される。

条件格納手段に格納する状態関連条件として携帯端末の様々な状態に関する継続時間を格納し、また、イベント検出手段に様々な操作を検出対象のイベントとして設定しておくことにより、利用者それぞれの利用形態に関する特徴を考慮して、携帯端末が正当な利用者の手元を離れて不正なアクセスの危険に曝されている状況を検出することができる。
本発明にかかわる第２の情報流出防止装置は、上述した第１の情報流出防止装置において、イベント検出手段にメモリアクセス検出手段を備えて構成される。

本発明にかかわる第２の情報流出防止装置の原理は、以下の通りである。
上述した第１の情報流出防止装置において、条件格納手段は、携帯端末に移動通信システムからの制御信号が到達しない状態の継続時間に関する状態関連条件を格納している。メモリアクセス検出手段は、イベント検出手段は、携帯端末に備えられたメモリに格納された情報へのアクセス操作を検出する。

このように構成された第２の情報流出防止装置の動作は、下記の通りである。
条件格納手段に格納された状態関連条件による指定に従って、計測手段により、移動通信システムからの一般的な制御信号(例えば、位置登録要求信号など)が到来していない状態の継続時間が計測され、この計測結果が上述した状態関連条件で示された継続時間を超えた後に、メモリアクセス検出手段によってメモリへのアクセスが検出されると、判定手段によって、不正アクセスの危険性が高い旨の判定結果が出力され、消去手段による消去動作が起動される。

このように、基地局からの制御信号が長時間に渡って届かない環境においてアドレス帳を開くなどのメモリへのアクセス操作が行われることは、正当な利用者による利用では起こらない状況といえるので、このような状況の検出に応じてメモリ内の情報の消去を携帯端末側で自律的に行うことにより、不正アクセスを確実に防ぐことができる。
本発明にかかわる第３の情報流出防止装置は、上述した第１の情報流出防止装置のイベント検出手段に解体操作検出手段を備え、判定手段に緊急通知手段を備えて構成される。

本発明にかかわる第３の情報流出防止装置の原理は、以下の通りである。
上述した第１の情報流出防止装置に備えられたイベント検出手段において、解体操作検出手段は、携帯端末に対する解体操作を検出する。判定手段において、緊急通知手段は、解体操作検出手段によって解体操作が検出されたときに、継続検出手段による検出結果にかかわらず不正アクセスの可能性がある旨の判定結果を消去手段に通知する。

このように構成された第３の情報流出防止装置の動作は、下記の通りである。
解体操作検出手段によって携帯端末の筐体を留めつけているねじを外すなどの解体操作が検出されたときに、判定手段に備えられた緊急通知手段により、継続検出手段による状態関連条件が満たされた旨の検出結果の通知を待たずに、消去手段によるメモリ内容の消去が緊急に起動される。

本発明にかかわる情報流出防止装置は、携帯端末が置かれた環境や携帯端末自身の状態と携帯端末に対する操作イベントとの組み合わせによって、個々の利用者の利用形態の多様性に対応しつつ、不正なアクセスが疑われる状況を自律的に判断し、メモリ内の指定された情報を消去することにより、携帯端末に対する不正なアクセスによる情報の流出を確実に防ぐことができる。

特に、移動通信システムからの制御信号が届かない環境においても、携帯端末に対する操作イベントの発生に応じて自律的なメモリ消去が可能である点は、携帯端末に対応する不正アクセスによる情報流出の防止を図る上で非常に有用である。
また、携帯端末を解体する操作のように、不正であることが確実な操作の検出に応じてメモリの内容を緊急に消去することも可能である。

以下、図面に基づいて、本発明の実施形態について詳細に説明する。
（第１の実施形態）
図１に、本発明にかかわる情報流出防止装置の実施形態を示す。
図１に示した携帯端末において、操作パネル２０１を介して入力される利用者からの指示は、端末制御部２０２によって解釈され、この解釈結果に従って、無線送受信部２０３の動作が制御され、無線通信機能が利用者に提供される。また、図１に示したメモリ２０４には、利用者の本人確認やサーバなどへのアクセス資格確認などのための認証情報やアドレス帳情報、送受信メールやダウンロードデータなどが格納されており、無線送受信部２０３による無線通信処理や操作パネル２０１に備えられたディスプレイ(図示せず)による表示処理などに供される。

図１に示した情報流出防止装置２１０は、上述した端末制御部２０２から携帯端末の状態に関する情報や携帯端末に対する操作に関する情報の通知を受け、これらの情報に基づいて、メモリ２０４に格納されたメモリへの不正なアクセスの可能性を自律的に判断して、メモリ２０４の内容の少なくとも一部を消去する機能を果たす。
以下、この情報流出防止装置２１０の詳細な構成について説明する。

図１に示した情報流出防止装置２１０において、継続時間計測部２１１は、端末制御部２０２からの情報に基づいて、条件格納部２１２に格納された条件(後述する)で示された状態の継続時間を計測し、継続時間が上述した条件で示された上限値となったときに、その旨を判定処理部２１５に通知する。一方、図１に示したイベント検出部２１３は、端末制御部２０２からの情報に基づいて、対象イベント設定部２１４に格納された設定情報(後述する)で示された検出対象イベントの発生を検出する。

また、図１に示した判定処理部２１５は、継続時間計測部２１１による計測結果とイベント検出部２１３による検出結果とに基づいて、メモリ２０４に格納された情報への不正なアクセスが発生する可能性の有無を判定する。この判定処理部２１５により、不正なアクセスが発生する可能性があるとされた場合に、消去処理部２１６は、消去対象設定部２１７に格納された情報で指定されたメモリ２０４内の情報を消去する。

また、図１に示した設定制御部２１８は、端末制御部２０２および操作パネル２０１の機能を利用して、利用者に情報流出防止のための設定に必要な情報の入力を促し、これに応じて利用者が操作パネル２０１を操作して入力した情報を、端末制御部２０２を介して受け取って、条件格納部２１２、対象イベント設定部２１４および消去対象設定部２１７に格納する。

図２に、情報流出防止装置の設定動作を表す流れ図を示す。
まず、設定制御部２１８は、例えば、端末制御部２０２および操作パネル２０１の機能を利用して、後述する監視対象の状態の例を提示して選択を促すとともに、その継続時間に関する上限の指定を促すメッセージを提示して、利用者によるデータ入力を受け付け、入力された情報を条件格納部２１２に格納する(ステップ３０１、３０２)。

この監視対象の状態の例としては、例えば、電源が供給されていない状態(逆に、電源が投入されている状態)や移動通信システムによって送信される位置登録要求信号などの一般的な制御信号が受信可能な状態(逆に受信できない状態)など、状態の継続時間が利用者による通常の利用における標準的な期間以上となった場合には、正当な利用者の手元を離れている可能性が疑われるような状態を提示し、また、上述した標準的な期間に相当する期間を継続時間に関する上限として入力するよう促すことが有効である。

例えば、監視対象の状態として電源がオンの状態および基地局からの一般的な制御信号が受信できない状態が選択された場合には、選択された状態を示す情報およびそれぞれの継続時間として入力された時間Ｔ１、Ｔ２を示す情報が端末制御部２０２を介して設定制御部２１８に渡され、図３(ａ)に示すように、これらの情報が条件格納部２１２に格納される。

次に、設定制御部２１８は、検出対象のイベントの例として、アドレス帳を参照するための操作のようにメモリ２０４へのアクセスを実行する操作や操作パネル２０１を開く操作、電源に関する操作といった操作とともに、携帯端末の筐体を外して解体する操作などを、操作パネル２０１を介して利用者に提示して選択を促す(ステップ３０３)。
これに応じて、利用者によって選択された少なくとも一つの検出対象のイベントを示す情報が、端末制御部２０２を介して設定制御部２１８に渡され、図３(ｂ)に示すように、対象イベント設定部２１４に格納される(ステップ３０４)。図３(ｂ)の例では、メモリ２０４へのアクセス操作と携帯端末の解体操作が検出対象のイベントとして設定されている。ここで、携帯端末を解体する操作は、ほぼ確実に不正なアクセスのための操作であると考えられるので、この操作を検出対象のイベントとして確実に設定しておくことが望ましい。なお、携帯端末を解体する操作は、例えば、筐体を固定しているねじに微小な電流を流しておき、イベント検出部２１３によってこの電流を監視することによって実現することができる。

上述したようにして設定情報を条件格納部２１２および対象イベント設定部２１４に格納する際に、設定制御部２１８は、条件格納部２１２に格納される情報と対象イベント設定部２１４に格納される情報とについて論理的な整合性のチェックを行い(ステップ３０５)、論理的な矛盾を見つけた場合(ステップ３０６の否定判定)には、ステップ３０１あるいはステップ３０３に戻って、上述した設定処理をやり直す。

このとき、設定制御部２１８は、例えば、監視対象の状態として電源がオフである継続時間が選択されているにもかかわらず、検出対象のイベントとして電源をオフ状態にする操作の実行が指定された場合のように、監視対象の状態が継続していると、検出対象のイベントが発生し得ないことが明らかな場合に、論理的な矛盾を見つけたと判断することができる。

次いで、設定制御部２１８は、情報流出防止のために消去すべき情報を示す情報の入力を受付、入力された情報を消去対象設定部２１７に保持する(ステップ３０７，３０８)。
このとき、設定制御部２１８は、消去対象の情報の例として、例えば、認証情報やアドレス帳情報、送受信メールやダウンロードデータなどを操作パネル２０１のディスプレイを介して利用者に提示し、利用者によって選択された情報の種別を示す情報を、図３(ｃ)に示すように、消去対象設定部２１７に格納する。図３(ｃ)の例では、アドレス帳情報と認証情報および送受信メールが消去対象として設定されている。

次に、図１に示した情報流出防止装置の監視動作について説明する。
図４に、情報流出防止装置の監視動作を表す流れ図を示す。
上述したようにして条件格納部２１２に設定された監視対象の状態について、継続時間計測部２１１による継続時間の計測を行い、また、検出対象イベント設定部２１４に設定されたイベントについて、イベント検出部２１３によるイベント検出を行うことにより、携帯端末の状態が監視される(ステップ３１１)。

ステップ３１１の監視処理の過程で、イベント検出部２１３から解体操作を検出した旨が判定処理部２１５に通知されていない場合(ステップ３１２の否定判定)に、判定処理部２１５は、継続時間計測部２１１からの通知に基づいて、条件設定部２１２に設定された条件で示される状態の継続時間が上限値を超えたか否かを判定する(ステップ３１３)。
ステップ３１３の否定判定の場合は、ステップ３１１に戻って状態監視を継続して行い、その後、例えば、条件設定部２１２に監視対象の状態として設定された制御信号が届かない状態の継続時間が上限値として設定された時間Ｔ２を超えたときに(図３(ａ)参照)、判定処理部２１５は、ステップ３１３の肯定判定として、ステップ３１４に進む。

このステップ３１４を繰り返して、判定処理部２１５は、設定されたイベントが発生した旨のイベント検出部２１３からの通知を待ち、例えば、メモリへのアクセス操作を検出した旨の通知に応じて、ステップ３１４の肯定判定としてステップ３１５に進み、消去処理部２１６を介して、消去対象設定部２１７に設定された消去対象の情報を消去し、処理を終了する。

一方、ステップ３１２において携帯端末を解体する操作が検出された旨がイベント検出部２１３から通知された場合(ステップ３１２の肯定判定)に、判定処理部２１５は、緊急の情報保護措置が必要であると判断し、消去処理部２１６を介して、メモリ２０４に格納された全ての情報を消去して処理を終了する(ステップ３１６)。
上述したように、利用者によって選択された状態の継続時間と選択されたイベントの検出とを組み合わせて、不正なアクセスの可能性を判定する構成を採用したことにより、図１に示した情報流出防止装置を適用した携帯端末では、利用者それぞれの利用形態の多様性に対応しつつ、不正なアクセスが行われる可能性を携帯端末側で自律的に検知してメモリ２０４内の指定された情報を消去することができ、携帯端末内のメモリ２０４から重要な情報が流出する事態を確実に防ぐことが可能である。

また、上述した監視動作は、携帯端末内部で自律的に行われるので、基地局装置から情報流出防止機能を働かせるための特別な制御信号などを送る必要もなく、また、監視対象の状態および検出対象のイベントを適切に設定することにより、基地局装置からの制御信号が届かない環境に携帯端末が置かれた場合にも情報流出防止機能を働かせることができる。

また一方、電源に関する状態や移動通信システムからの制御信号の受信状態などについて、個々の利用者の利用形態に即した継続時間に関する条件を設定し、また、その状態において利用者が行う可能性の低い操作などを検出対象イベントとして設定しておくことにより、正当な利用者の手元にある状態で不用意にメモリ２０４内の情報が消去されることも防ぐことができる。

なお、監視対象の状態として、上述した実施形態で例としてあげた状態に加えて、適合する充電器による充電が行われていない状態など端末制御部２０２によって検出可能な状態を追加することができる。同様に、検出対象のイベントとして、携帯端末に備えられたＵＳＢなどのコネクタを介するライン接続操作や携帯端末の開閉操作など、端末制御部２０２によって検出可能な様々な操作を追加することができる。また、継続時間計測部２１１によって計測された継続時間が設定された継続時間の上限を超えたことをイベントとして検出し、監視対象の状態の継続時間が上限値を越えた時点で消去処理部２１６を起動することも可能である。

更に、携帯端末を解体する操作をイベントとして検出して緊急に対処する構成とすることにより、明らかに不正なアクセスについては迅速かつ確実に対応し、即座にメモリ２０４の内容の全てを消去してメモリ２０４内の情報への不正なアクセスを物理的に不可能にし、情報流出に至る危険性を大幅に低減することができる。

上述したように、本発明にかかわる情報流出防止装置によれば、携帯端末からの情報流出を未然に防ぐことができるので、携帯端末にかかわる情報セキュリティを向上する上で極めて有用である。

本発明にかかわる情報流出防止装置の実施形態を示す図である。 情報流出防止装置の設定動作を表す流れ図である。 設定情報の例を示す図である。 情報流出防止装置の監視動作を表す流れ図である。

符号の説明

２０１ 操作パネル
２０２ 端末制御部
２０３ 無線送受信部
２０４ メモリ
２１０ 情報流出防止装置
２１１ 継続時間計測部
２１２ 条件格納部
２１３ イベント検出部
２１４ 対象イベント設定部
２１５ 判定処理部
２１６ 消去処理部
２１７ 消去対象設定部
２１８ 設定制御部

Claims (3)

1. 携帯端末への電源の供給状態および無線信号の到達状態を含む携帯端末の状態の少なくとも一つに関して、正当な利用者の手元を離れた可能性を示唆する継続時間を示す状態関連条件を格納する条件格納手段と、
   前記条件格納手段において前記状態関連条件が指定された状態の継続時間を計測する計測手段と、
   予め設定された前記携帯端末に対する少なくとも一つの操作イベントを検出するイベント検出手段と、
   前記計測手段による計測結果が前記状態関連条件で示された継続時間以上となったことを検出する継続検出手段と、
   前記継続検出手段と前記イベント検出手段とによる検出結果の組み合わせに基づいて、前記携帯端末への不正アクセスの可能性の有無を判定する判定手段と、
   前記判定手段によって不正アクセスの可能性があるとされたときに、予め指定された消去対象の情報を前記携帯端末のメモリから消去する消去手段と
   を備えたことを特徴とする情報流出防止装置。
2. 請求項１に記載の情報流出防止装置において、
   前記条件格納手段は、前記携帯端末に移動通信システムからの制御信号が到達しない状態の継続時間に関する状態関連条件を格納しており、
   前記イベント検出手段は、前記携帯端末に備えられたメモリに格納された情報へのアクセス操作を検出するメモリアクセス検出手段を備えた
   ことを特徴とする情報流出防止装置。
3. 請求項１に記載の情報流出防止装置において、
   前記イベント検出手段は、前記携帯端末に対する解体操作を検出する解体操作検出手段を備え、
   前記判定手段は、前記解体操作検出手段によって解体操作が検出されたときに、前記継続検出手段による検出結果にかかわらず不正アクセスの可能性がある旨の判定結果を前記消去手段に通知する緊急通知手段を備えた
   ことを特徴とする情報流出防止装置。
   
   

Images