JP2009199195A - 計算機システム及び端末 - Google Patents

Abstract

【課題】データ又は端末の場所などに応じて方式を変更可能な情報漏洩防止技術を提案する。
【解決手段】データを格納するストレージ装置、データを利用する端末、ストレージ装置及び端末に接続される管理サーバ、及び、端末の位置を特定するための位置情報取得部を含む計算機システムであって、端末は、データの複製を格納する揮発性記憶部及び不揮発性記憶部を含み、端末がデータを利用する場合には、位置情報取得部によって、端末の位置を特定し、特定された端末の位置を含む端末情報を管理サーバに送信し、データの利用要求を管理サーバに送信し、管理サーバは、送信された端末情報に基づいて、データの利用を許可するか否かを判定し、データの利用を許可する場合には、データの利用条件を含む許可情報を端末に送信し、端末は、送信された利用条件に基づいて、揮発性記憶部及び不揮発性記憶部の少なくとも一方を選択し、データの複製を格納する。
【選択図】図１

Description

本発明は、情報漏洩を防止する技術に関する。

データを保存する媒体の大容量化及び個人情報保護法の施行などによって、情報漏洩が企業に与える影響が大きくなっている。特に、携帯可能な外部記憶装置又はモバイルＰＣなど移動体端末の盗難紛失による情報漏洩は、一度に流出するデータ量が多くなるため大きな課題となっており、盗難及び紛失に対処する技術が提案されている。

例えば、特許文献１には、管理サーバを利用して端末の情報を遠隔から削除する技術が開示されている。
特開２００４−３２０７３号公報

特許文献１に開示された技術では、管理サーバから送信された削除命令を遠隔にある端末内のデータ削除アプリケーションが受信し、データ削除を実行することによって、情報漏洩を防止することが可能となる。

しかしながら、特許文献１に開示された従来技術では、端末内のデータの重要度又は端末の場所などに応じてデータ削除の方式など情報漏洩防止方式を変更することができない。したがって、重要度の低いデータについては利便性を優先し、重要度の高いデータについては安全性を優先するといった柔軟に情報漏洩防止方式を適用することができないといった課題がある。

本発明では、データの重要度などに応じてデータ削除方式など情報漏洩防止方式を変更することを可能とする情報漏洩防止技術を提案する。

本発明の代表的な一形態では、データを格納するストレージ装置、前記データを利用する端末、前記ストレージ装置及び前記端末に接続される管理サーバ、及び、前記端末の位置を特定するための位置情報取得部を含む計算機システムであって、前記ストレージ装置は、前記管理サーバに接続される第１インタフェース、前記第１インタフェースに接続される第１プロセッサ、前記第１プロセッサに接続される第１メモリ、及び、前記データを格納する第１記憶部を備え、前記端末は、前記管理サーバに接続される第２インタフェース、前記第２インタフェースに接続される第２プロセッサ、及び、前記データの複製を格納する第２記憶部を備え、前記第２記憶部は、揮発性記憶部及び不揮発性記憶部を含み、前記管理サーバは、前記ストレージ装置及び前記端末に接続される第３インタフェース、前記第３インタフェースに接続される第３プロセッサ、及び、前記第３プロセッサに接続される第３メモリを備え、前記端末は、前記データを利用する場合には、前記位置情報取得部によって、前記端末の位置を特定し、前記特定された端末の位置を含む端末情報を前記管理サーバに送信し、前記データの利用要求を前記管理サーバに送信し、前記管理サーバは、前記端末情報に基づいて、前記データの利用を許可するか否かを判定し、前記データの利用を許可する場合には、前記データの利用条件を含む許可情報を前記端末に送信し、前記端末は、前記利用条件に基づいて、前記揮発性記憶部及び前記不揮発性記憶部の少なくとも一方を選択し、前記データの複製を格納する。

本発明の一形態によれば、端末の場所又はデータの重要度などに応じた情報漏洩対策を適用することができる。

図１は、本発明の実施の形態の計算機システム１のシステム構成例を示す図である。

本発明の実施の形態の計算機システム１は、端末１００、管理サーバ２００、ストレージ装置３００及び位置情報発信源４００を含む。端末１００、管理サーバ２００、ストレージ装置３００及び位置情報発信源４００は、ネットワーク５００を介して互いに接続される。ただし、位置情報発信源４００及び端末１００は必ずしもネットワーク５００を介して接続しなくてもよい。例えば、位置情報発信源４００がＧＰＳ衛星であって、ＧＰＳ衛星から電波を受信して端末１００が位置を特定する場合などである。

また、管理サーバ２００及びストレージ装置３００は、図１には明示していないが、物理的に隔離されたサーバルームに設置される。そして、管理サーバ２００及びストレージ装置３００と端末１００との間にはアクセス認証を行うファイアウォール又は中継サーバなどが存在してもよい。

端末１００は、記憶装置１４１、メモリ１４２、ＣＰＵ１４３、入力装置１４４、出力装置１４５、位置情報受信部１４６、通信インタフェース１４７及び電源１４８を備える。

ＣＰＵ１４３は、メモリ１４２に記憶されたプログラムに記述されている手続きに従って、所定の処理を実行する。例えば、記憶装置１４１、メモリ１４２、入力装置１４４、出力装置１４５、位置情報受信部１４６及び／又は通信インタフェース１４７に対してデータを入出力する。

メモリ１４２は、ＣＰＵ１４３によって実行されるプログラム又は所定の処理を実行するために必要なデータを記憶する。メモリ１４２は、揮発性のメモリである。したがって、メモリ１４２に記憶された内容は、端末１００の電源１４８が切断されるとすべて失われる。そのため、メモリ１４２に記憶されるプログラムは、端末起動直後の初期状態では、記憶装置１４１などのメモリ１４２以外の不揮発性の記憶領域に格納され、実行時にメモリ１４２に配置される。

入力装置１４４は、ユーザからの入力を受け付ける。出力装置１４５は、ＣＰＵ１４３による処理結果などを表示する。位置情報受信部１４６は、位置情報発信源４００からの情報を受信する。端末１００は、位置情報受信部１４６で受信した情報に基づいて、端末１００の位置を特定する。通信インタフェース１４７は、ネットワーク５００に接続する。電源１４８は、端末１００のＣＰＵ１４３、メモリ１４２などの各構成に電力を供給する。電源１４８は、ＡＣＰＩなどの規格に基づいて制御される。

メモリ１４２は、ユーザＯＳ領域１０１及び管理ＯＳ領域１０２の２つの領域を含む。ユーザＯＳ領域１０１は、端末１００のユーザが操作可能な記憶領域である。管理ＯＳ領域１０２は、端末１００のユーザが内容を参照できないように耐タンパ性を有する記憶領域である。なお、ユーザＯＳ領域１０１から管理ＯＳ領域１０２に何らかの通知が必要な場合には、ユーザＯＳ領域１０１上で実行されるエージェントプログラム１１６が処理を仲介する。

管理ＯＳ領域１０２には、位置情報取得プログラム１１０、データ削除プログラム１１１、許可証管理プログラム１１２、暗号復号プログラム１１３、データ同期プログラム１１４、データ差分管理プログラム１１５、及び、キャッシュ情報が記憶される。キャッシュ情報には、データ配置情報キャッシュ１２０、データキャッシュ１２１及び暗号復号鍵キャッシュ１２２が含まれる。

キャッシュ情報は、記憶装置１４１に格納されたデータ配置情報１３０、データ１３１及び暗号復号鍵１３２が一時的にメモリ１４２上に読み出された情報である。キャッシュ情報がメモリ１４２に記憶されている場合には、記憶装置１４１に格納されたデータにアクセスする代わりにキャッシュ情報に対してデータを読み書きする。

記憶装置１４１は、前述したように、不揮発性の記憶装置である。例えば、ハードディスクなどの磁気記憶装置である。記憶装置１４１には、データ配置情報１３０、データ１３１及び暗号復号鍵１３２が格納される。図には記載されてないが、ユーザＯＳ領域１０１で実行されるＯＳプログラム、管理ＯＳ領域１０２で実行される管理ＯＳプログラム、又は、前述したデータ削除プログラム１１１などのプログラムを格納してもよい。特に、情報漏洩対策が必要な情報はデータ１３１として格納される。

本発明の実施の形態では、ユーザＯＳ領域１０１上のプログラムによって実行される処理は、記憶装置１４１に直接入出力できないように構成されている。したがって、管理ＯＳ領域１０２上のプログラムが記憶装置１４１に対する入出力を仲介する必要がある。ユーザＯＳ領域１０１上で実行されたプログラムによって記憶装置１４１に情報を出力する場合には、暗号復号プログラム１１３を実行し、暗号復号鍵１３２に基づいて暗号化し、データ１３１として記録する。一方、記憶装置１４１から情報を読み出す場合には、データ１３１の該当箇所を読み出し、暗号復号鍵１３２を用いて情報を復号する。ただし、キャッシュ情報が存在する場合には、記憶装置１４１に対して入出力せずに、当該キャッシュ情報から情報を読み出す。

位置情報取得プログラム１１０は、位置情報受信部１４６又は通信インタフェース１４７を介して受信可能な端末の位置情報を取得する。

データ削除プログラム１１１は、許可証管理プログラム１１２によって取得される許可証６１０で定義される許可条件と合致しない場合には、データ配置情報１３０、データ１３１、暗号復号鍵１３２及びそれらのキャッシュ情報を許可証６１０によって定義されるデータ管理方式６１５に基づいて削除する。したがって、端末１００が管理サーバ２００と接続されていないオフライン状態でも許可証６１０に記述された条件と端末の状態が合致しなくなればデータを削除することができる。なお、許可証６１０については、図４にて後述する。

許可証管理プログラム１１２は、管理サーバ２００から許可証６１０を取得する。許可証６１０を取得する手順については図９にて後述する。

暗号復号プログラム１１３は、データ１３１（又はデータキャッシュ１２１）を暗号化して記憶装置１４１（又はメモリ１４２）に格納する。また、データ１３１（又はデータキャッシュ１２１）を読み出す場合には、読み出されたデータを復号する。

データ同期プログラム１１４は、記憶装置１４１に格納されるデータ１３１（又はデータキャッシュ１２１）及びデータ配置情報１３０（又はデータ配置情報キャッシュ１２０）をストレージ装置３００に転送して同期（内容を一致）させる。逆に、データ１３１を削除した場合などには、ストレージ装置３００から記憶装置１４１にデータ１３１を転送して同期させる。データの同期は、ネットワーク５００に接続されていれば、端末１００で実行される処理に関わらず、周期的に実行される。同期手順については、図１１にて後述する。

また、端末１００がストレージ装置３００に格納されたデータと同期させるために、ストレージ装置３００にデータ１３１を送信する場合に、必ずしもデータ１３１を復号してから送信する必要はない。ストレージ装置３００にも暗号復号プログラム３１３が備えられているため、あらかじめ管理サーバ２００から暗号復号鍵をストレージ装置３００に送信しておくことにより、ストレージ装置３００はデータ１３１をいつでも復号して参照することができる。したがって、同期処理は端末１００上の暗号復号鍵１３２が破棄されている状態でも実行することができる。すなわち、盗難の兆候があった場合には、直ちに暗号復号鍵１３２を破棄することによってデータ１３１が情報漏洩しない安全な状態にするとともに、データ１３１に同期が完了していない部分が残っていても情報損失しないようにストレージ装置３００へのデータ転送を継続することができる。なお、盗難の兆候は、例えば、誤ったパスワードが複数回入力された場合などが考えられる。

データ差分管理プログラム１１５は、同期が完了していない領域（未同期データ）を管理する。特に、端末１００がネットワーク５００に接続されていない場合には、ストレージ装置３００と同期させることができないため、ユーザＯＳ領域１０１上のプログラムによってデータ１３１が更新されるたびに、更新箇所をチェックし、ネットワーク５００に再び接続した際に、データ同期プログラム１１４にデータ転送が必要な領域を通知する。

管理サーバ２００は、メモリ２４２、ＣＰＵ２４３、入力装置２４４、出力装置２４５、通信インタフェース２４６及び記憶装置（図示せず）を備える。ＣＰＵ２４３は、メモリ２４２に記憶されたプログラムに記述されている手続きに従って、メモリ２４２、入力装置２４４、出力装置２４５又は通信インタフェース２４６に対してデータを入出力する。

メモリ２４２は、許可証発行プログラム２１０、許可証発行履歴管理プログラム２１１及び端末管理プログラム２１２を記憶する。許可証発行プログラム２１０、許可証発行履歴管理プログラム２１１及び端末管理プログラム２１２は、図示していない記憶装置に格納され、必要に応じてメモリ２４２上に配置される。

許可証発行プログラム２１０は、端末１００から送信された利用申請６００に基づいて、利用申請６００を許可するか又は却下するかを判定し、許可証６１０を送信する。利用申請６００を許可するか又は却下するかは、許可基準テーブル６２０に基づいて判定される。許可基準テーブル６２０については、図５にて後述する。なお、許可証６１０については、図４にて後述する。また、許可証６１０を発行する手順については、図１０にて後述する。

許可証発行履歴管理プログラム２１１は、許可証６１０の発行履歴を管理する。許可証６１０の発行履歴は、許可証発行履歴テーブル６５０に記録される。許可証発行履歴テーブル６５０については、図６にて後述する。

端末管理プログラム２１２は、端末１００の記憶装置１４１の同期先となるストレージ装置３００の記憶装置３４１の対応関係を管理する。端末１００の記憶装置１４１とストレージ装置３００の記憶装置３４１との対応関係は、端末管理テーブル６７０に記録される。端末管理テーブル６７０については、図７にて後述する。

ストレージ装置３００は、メモリ３４２、ＣＰＵ３４３、通信インタフェース３４６及び複数の記憶装置３４１を備える。ＣＰＵ３４３は、メモリ３４２に記憶されたプログラムに記述されている手続きに従って、記憶装置３４１、メモリ３４２又は通信インタフェース３４６にデータを入出力する。

メモリ３４２は、データ重要度確認プログラム３１１、鍵更新プログラム３１２及び暗号復号プログラム３１３を記憶する。

データ重要度確認プログラム３１１は、記憶装置３４１に格納されたデータの重要度を判定する。具体的には、あらかじめ設定された重要文書に特有のパターンを検索して該当するパターンが検出された場合に重要と判定する。重要文書に特有のパターンには、例えば、特定の記述（例えば、「重要」「社外秘」など）が含まれている文書、又は、特定のフォーマット（例えば、機密文書用フォーマットなど）に従って記述されている文書などがある。

鍵更新プログラム３１２は、暗号復号鍵を定期的に新しい鍵に交換する。鍵を更新する手順については、図１３にて後述する。

次に、暗号復号プログラム３１３は、端末１００の暗号復号プログラムと同様に、データを暗号化及び復号化する。

なお、データ重要度確認プログラム３１１、鍵更新プログラム３１２及び暗号復号プログラム３１３を搭載しない一般的なストレージ装置をこれらのプログラムを含むサーバ装置とともに設置し、当該サーバ装置によってこれらのプログラムを実行するようにしてもよい。

位置情報発信源４００には、端末１００の位置を特定するための情報を発信するものであればよく、さまざまな形態が考えられる。例えば、ＧＰＳ衛星など電波の発信源でもよいし、社内イントラネットワークに設置された社内証明書を発行するサーバ装置でもよい。また、得られる位置情報は単に社内又は社外の何れかを識別するだけの情報であってもよいし、地球上の緯度経度情報のような正確な現在地情報であってもよい。

ここで、前述したように、許可証６１０に定義される許可条件を端末の状態が満たさない場合には、オフライン状態であってもデータ削除プログラム１１１を実行することによってデータを削除し、情報漏洩を防ぐことができる。具体的には、現在時刻が許可証６１０に含まれるデータの有効期限を超過している場合には、データ削除プログラム１１１を実行し、強制的にデータを削除して情報漏洩を防止してもよい。さらに、社内でのみデータの利用が認められる重要データが社外に持ち出された場合に、データ削除プログラム１１１を実行し、強制的にデータを削除して情報漏洩を防止してもよい。

しかし、データの削除を実行する前に電源が切断された場合、特に、端末１００を分解して直接記憶装置を抜き取られるような場合には、データ削除プログラムを実行させることができないため、情報漏洩を防ぐことができないおそれがある。

本発明の実施の形態の端末１００では、端末１００が物理的に分解された場合においても情報漏洩を防ぐことができる。以下、図２を参照しながら情報漏洩を防ぐ手段について説明する。

図２は、本発明の実施の形態の端末１００の構成を示す図である。

図２に示す端末１００は、記憶装置１４１にデータ配置情報１３０、データ１３１及び暗号復号鍵１３２が含まれない点で図１に示す端末１００と相違する。

端末１００は、管理サーバ２００によって発行された許可証６１０に指定されたデータ管理方式６１５にしたがって記憶装置１４１及びメモリ１４２にデータを格納した後、データ削除プログラム１１１を実行し、記憶装置１４１に格納されたデータなどを削除する。ただし、データ１３１のサイズが大きくメモリ上にすべてキャッシュできない場合には、キャッシュできなかった分については記憶装置１４１に残す。

記憶装置１４１に格納されている情報が削除されている状態であっても、端末１００の電源を切断せずにサスペンド状態などメモリ１４２に通電している状態を維持することによって、端末１００を利用することが可能である。サスペンド状態とは、作業状態をメモリ１４２に保存し、実行中のデバイス及びプログラムを一時的に停止させている状態である。サスペンド状態から復帰すると、直ちに処理を再開することができる。

一方、図２に示す状態で端末１００が分解されると、メモリ１４２への電源供給が途絶え、メモリ１４２上の情報はすべて失われるため、あらかじめデータ削除されている記憶装置１４１のみが残る。データ１３１をすべてメモリにキャッシュできなかった場合には、暗号化されたデータ１３１の断片が残るが、これらの断片が記憶装置１４１上のどこに相当するのか示すデータ配置情報１３０が失われているため、データ１３１を元の状態に復元することはできない。

また、記憶装置１４１から暗号復号鍵１３２のみを削除した場合には、メモリ１４２上に暗号復号鍵キャッシュ１２２が記憶されている間は端末１００を利用することが可能となる。しかし、端末１００を分解しようとすると、メモリ１４２への電源供給が失われた時点で鍵が喪失し、記憶装置１４１上からは鍵が削除されているため、データの読み出しができない状態となり、情報漏洩に対する安全性が高まる。さらに、端末１００が発見された場合には、鍵を再取得するだけでデータを復帰させることができる。

一方、データ１３１が記憶装置１４１から削除されている場合には、情報漏洩に対する安全性がより高いが、ストレージ装置３００からデータをすべて再取得しなければならず、簡単には復帰できない。このように、情報漏洩に対して安全性を高めるほど利便性が低くなる傾向があるため、端末１００に格納されたデータの重要度、端末１００の場所などに応じて適切な情報漏洩対策を実施することによって、柔軟に対応することができる。

なお、一般的な記憶装置のキャッシュは、記憶装置よりアクセス速度の速いメモリにデータを読み込んでおき、高速アクセスを実現する既存技術である。通常、キャッシュの内容は万が一装置の電源が切れると失われてしまうため、たとえメモリ上の最新の情報が失われても少し前のバージョンの情報が残るように記憶装置には最後に書き込んだ内容を残しておく。一方、本発明では、あえてデータが失われるように記憶装置上に情報を残さない点で、一般的な記憶装置のキャッシュとは異なる。

図３は、本発明の実施の形態の端末１００から管理サーバ２００に送信される利用申請６００の一例を示す図である。

利用申請６００は、端末ＩＤ６０１、パスワード６０２、希望利用期間６０３、希望利用エリア６０４、希望データ管理方式６０５、現在エリア６０６及び未同期データ量６０７を含む。

端末ＩＤ６０１及びパスワード６０２は、端末１００を識別するための情報である。希望利用期間６０３、希望利用エリア６０４及び希望データ管理方式６０５は、端末１００の利用条件を格納する。現在エリア６０６及び未同期データ量６０７は、現在の端末の状態を示す。

希望利用期間６０３は、ストレージ装置３００から取得するデータを利用する期間である。希望利用エリア６０４は、取得されたデータを利用する場所である。例えば、社内でデータを取得した後、社外で使用する場合には、「社外」とする。希望データ管理方式６０５は、端末１００でデータを保持する形式である。例えば、記憶装置１４１にデータが保持されるようにしてもよいし、メモリ１４２のみに保持されるようにしてもよい。希望利用期間６０３などの希望項目については省略することで許可可能な最長期間を申請することも可能である。

現在エリア６０６は、端末１００が存在する場所である。未同期データ量６０７は、すでにデータの利用が許可された後で、利用期間を延長するために利用申請を送信する場合などに、ストレージ装置３００に反映されていないデータ量である。

利用申請６００は、データの利用を開始する場合に端末１００から管理サーバ２００に送信される。また、利用期間を延長する場合にも送信される。このとき、端末１００では、利用期間が終了する旨を終了前にユーザに通知してもよい。通知を受けたユーザは、端末１００をネットワークに接続し、利用申請（延長申請）を管理サーバ２００に送信することができる。

図４は、本発明の実施の形態の管理サーバ２００から端末１００に送信される許可証６１０の一例を示す図である。

許可証６１０は、端末１００から管理サーバ２００に送信される利用申請６００に対する応答である。許可証６１０は、審査結果６１１、暗号復号鍵１３２、有効期限６１３、有効エリア６１４、データ管理方式６１５、ストレージ装置アドレス６１６、及び、記憶装置番号６１７を含む。

審査結果６１１は、利用申請６００の審査結果である。審査結果６１１の値が「許可」以外の場合には、他の項目に値は設定されずに省略される。「許可」以外の場合とは、例えば、希望利用期間が許可範囲外だった場合などの「却下」、強制的にデータ削除の実行を指示する「データ削除」などがある。また、審査結果６１１にその他の値を設定することによって端末１００に指示を送信してもよい。

暗号復号鍵１３２は、データを暗号化又は復号化するための鍵である。有効期限６１３は、暗号復号鍵１３２の有効期限である。有効エリア６１４は、暗号復号鍵１３２を使用することができる範囲である。暗号復号鍵１３２は、暗号用の鍵と復号用の鍵のペアであっても暗号にも復号にも用いることのできる１つの鍵であってもよい。暗号復号鍵１３２は、有効期限６１３及び有効エリア６１４の少なくとも一方を満たさない状況になった場合に破棄しなければならない。また、暗号用と復号用で鍵が別の場合には、少なくとも復号用の鍵を破棄しなければならない。

データ管理方式６１５は、端末１００で要求されたデータを保持する方式である。データ管理方式６１５は、端末１００のデータ配置情報１３０、データ１３１及び暗号復号鍵１３２のそれぞれについて、記憶装置１４１上にデータを残すか残さないか指定する。その他にも端末１００内でのデータの扱い方について指定してもよい。

ストレージ装置アドレス６１６及び記憶装置番号６１７は、データを同期する相手先の特定する情報である。

図５は、本発明の実施の形態の管理サーバ２００が利用申請６００に対して許可又は却下するための基準を定義する許可基準テーブル６２０の一例を示す図である。

許可基準テーブル６２０は、端末状況６２１に応じた許可基準６２２及びデータ削除など特別な指示をするための応答６２３を定義する。また、許可基準テーブル６２０は、端末ＩＤ６０１ごとに異なるテーブルを作成してもよい。許可基準テーブル６２０は、管理サーバ２００に格納される。

端末状況６２１は、端末１００の状況を示す情報である。端末状況６２１は、現在エリア６０６、未同期データ量６０７及びデータ重要度６２５を含む。

現在エリア６０６は、端末１００が現在存在している場所（エリア）である。未同期データ量６０７は、端末１００において更新されたデータのうち、ストレージ装置３００の記憶装置３４１に反映されていないデータ量である。データ重要度６２５は、ストレージ装置３００のデータ重要度確認プログラム３１１によって取得されるデータの重要度である。

さらに図５に示した許可基準テーブル６２０の各定義（６３０〜６３６）を参照しながら具体的に説明する。

定義６３０は、端末１００が社内にあり、最重要データを保持している場合を示している。このとき、当該データは、許可可能エリア６２８の値が「社内」であるため、社内以外での利用は許可されない。さらに、許可可能期間６２７の値が１０秒であるため、１０秒ごとに利用申請６００を送信し、許可証６１０を更新しなければならず、オフラインでは利用できないことを示している。

定義６３１は、最重要データを保持している端末が社外にある場合を示している。許可基準６２２の各項目は、「すべて拒否」となっており、さらに、応答６２３の値から強制的にデータを削除するように指示することを示している。すなわち、定義６３１は、社外に持ち出しが禁止されている最重要データが社外に存在する場合を示しており、このような場合には、データを強制的に削除することによって情報漏洩を防ぐことを示している。

定義６３２は、重要データを保持している端末が社内にある場合を示している。この場合には、６時間以内であれば記憶装置１４１にデータを残さない方式で社外に持ち出すことが可能であることを示している。適用例としては、新製品の営業資料のように、重要データではあるが、社外で使用する必要がある場合などが想定される。出張の前に社内で端末１００に製品データを格納し、出張先で当該データを利用する場合が想定される。

また、定義６３３及び定義６３４は、重要度が「普通」であるデータを格納した社内にある端末について、未同期データ量が１メガバイト未満の場合には自由に社外に持ち出せるが、１メガバイト以上の場合には１２時間以内に制限されることを示している。

さらに、定義６３５及び定義６３６は、重要度が「普通」であるデータを格納した社外にある端末は、未同期データがなければ暗号復号鍵１３２を記憶装置１４１に残さない方式で利用期間を２時間延長できるが、未同期データが残っている場合には利用期間を延長できないことを示している。すなわち、端末１００に格納されたデータをストレージ装置３００に格納されたデータと同期させるように促すことができる。定義６３５及び定義６３６は、社外での作業をさらに延長する場合が想定される。

このように許可基準テーブル６２０を定義することによって、国内又は海外の法制度の違いに応じてセキュリティ基準を変えるなど、端末の場所又は状態に応じた適切な情報漏洩対策を実施することができる。例えば、端末１００の位置をＧＰＳによって特定する場合には、海外であっても現在エリア６０６の特定が可能であり、この場合には、現在エリアに「社内（海外）」として許可基準テーブル６２０にレコードを追加すればよい。

図６は、本発明の実施の形態の許可証発行履歴テーブル６５０の一例を示す図である。

許可証発行履歴テーブル６５０は、許可証発行履歴管理プログラム２１１によって管理され、管理サーバ２００に格納される。許可証発行履歴テーブル６５０は、端末１００の状況６５１及びアクセスを許可した内容である許可証内容６５２を含む。

端末１００の状況６５１は、管理サーバ２００が端末１００から利用申請６００を受信した場合にデータが記録される。許可証内容６５２は、受信した利用申請６００に対して利用を許可した場合にデータが記録される。

端末１００の状況６５１は、利用申請６００を受信した時刻である審査日時６５３、端末ＩＤ６０１、現在エリア６０６、データ重要度６２５及び未同期データ量６０７を含む。許可証内容６５２は、許可可能期間６２７、許可可能エリア６２８及び許可可能データ管理方式６２９を含む。また、図には記載されていないが、審査結果６１１及び発行した暗号復号鍵１３２などの許可証内容６５２に該当するものはすべて記録される。さらに、上述した以外のパラメータを記録してもよい。

許可証発行履歴テーブル６５０を管理することによって、特定の時点における端末１００がアクセス可能なデータを把握することができる。具体的には、端末１００の場所、及び、削除による情報損失量、すなわち、端末１００にのみ存在する情報（未同期のデータ）の量がどのくらいになるのか、といった情報を確認することができる。

したがって、端末１００を紛失した場合に、直前に発行した許可証の内容によって、端末１００の紛失時点又は現時点でデータを読み出すことが可能であるか否かを推測することが可能となり、情報漏洩の危険度などを把握することができる。また、遠隔から端末１００に格納されたデータの削除を実行しようとする場合に、端末１００の状態に応じてデータ削除を実行することができる。

許可証発行履歴管理プログラム２１１は、ＣＰＵ２４３に実行されることによって、許可証発行履歴テーブル６５０に格納されたデータを表示させることができる。例えば、出力装置２４５にデータを表示する。さらに、入力装置２４４から端末１００若しくは日時などを指定することによって、特定の端末１００若しくは特定の日時に発行された許可証６１０を参照することも可能である。さらに、データ重要度が最重要のデータが社外に持ち出された場合などの異常状態が検出され、強制データ削除などが実行された場合には、管理サーバ２００から管理者あてに異常を知らせるメールを送信することも可能である。また、出力装置２４５から異常が発生した旨のメッセージを表示してもよい。

図７は、本発明の実施の形態の端末管理テーブル６７０の一例を示す図である。

端末管理テーブル６７０は、端末管理プログラム２１２によって管理され、管理サーバ２００に格納される。端末管理テーブル６７０は、端末ＩＤ６０１、パスワード６０２、ストレージ装置アドレス６１６、記憶装置番号６１７、暗号復号鍵１３２、記憶装置３４１の容量６７２、及び、記憶装置３４１の状態６７３を含む。

端末ＩＤ６０１及びパスワード６０２は、端末１００を特定する。ストレージ装置アドレス６１６及び記憶装置番号６１７は、同期先の記憶領域を特定する情報であり、端末１００との対応関係を保持する。

暗号復号鍵１３２は、ストレージ装置３００には直接送信され、端末１００には許可証６１０に埋め込まれて送信される。ストレージ装置３００では、送信された暗号復号鍵１３２を用いて、暗号復号プログラム３１３を実行することによってデータを復号することができる。記憶装置３４１の容量６７２及び記憶装置３４１の状態６７３は、同期対象の記憶領域に関連する情報である。

さらに、具体的に説明すると、定義６７４の例では、当該端末１００及び記憶装置３４１は利用されていないことを示している。

また、定義６７５及び定義６７６の例では、安全性を高めるために暗号復号鍵を更新しており、さらに、記憶装置容量を２０ギガバイトに増量した新しい記憶装置３４１に切り替える準備をしていることを示している。定義６７５は現在利用中の記憶装置３４１に対応する情報で、定義６７６は新たに準備されている記憶装置３４１に対応する情報である。準備が完了すると、新しい記憶装置３４１に同期先を切り替え、端末１００に新しい記憶装置３４１の内容を転送することによって暗号復号鍵の変更は完了する。このとき、定義６７５を削除してもよい。

図８は、本発明の実施の形態の暗号復号鍵を更新する場合に端末１００から管理サーバに送信される暗号復号鍵更新要求の一例を示す図である。

暗号復号鍵更新要求６９０は、端末を識別する端末ＩＤ６０１及びパスワード６０２と、鍵更新の対象となる同期先ストレージ装置を特定するためのストレージ装置アドレス６１６及び記憶装置番号６１７を含む。

端末１００のユーザがエージェントプログラム１１６に鍵更新要求を入力すると、データ同期プログラム１１４を実行することによって、管理サーバ２００に暗号復号鍵更新要求６９０が送信される。管理サーバ２００は、暗号復号鍵更新要求６９０を受信すると、端末管理プログラム２１２を実行することによって、ストレージ装置３００に鍵の更新を指示する。ストレージ装置３００は、暗号復号鍵の更新指示を受け付けると、鍵更新プログラム３１２を実行し、暗号復号鍵を更新する。暗号復号鍵を更新する処理の詳細な手順については、図１３にて後述する。

また、暗号復号鍵の更新は、前述したように端末１００の利用者が指示する以外に、あらかじめ定められた時間ごとに実行されるようにしてもよい。しかし、暗号復号鍵を更新すると、端末１００の記憶装置１４１に暗号化されて格納されているデータ１３１をすべて更新しなければならないため、多くの処理時間を必要とする。したがって、例えば、社外にデータを持ち出し、数時間以上の時間（例えば、１日）経過した場合に暗号復号鍵の更新を実行するようにする。具体的な暗号復号鍵を更新するタイミングは、端末１００からの利用申請時であってもよいし、管理サーバ２００でデータの利用を許可してからの経過時間を管理し、所定の時間経過後に端末１００に指示するようにしてもよい。

図９は、本発明の実施の形態の端末１００が利用申請６００を送信し、許可証６１０を受信するまでの手順を示すフローチャートである。

端末１００は、ユーザから利用申請６００の送信を指示された場合、又は、既存の許可証６１０の有効期限６１３の終了が間近になった場合などの契機で本処理を実行する。既存の許可証６１０の有効期限６１３は、許可証管理プログラム１１２によって管理される。例えば、既存の許可証６１０の有効期限６１３が間近になった場合には、ユーザに警告メッセージを表示する。

端末１００のＣＰＵ１４３は、管理サーバ２００に利用申請６００を送信するために、エージェントプログラム１１６を介して、許可証管理プログラム１１２を実行する。

端末１００のＣＰＵ１４３は、位置情報取得プログラム１１０を実行し、端末１００の現在の位置情報を取得する（ステップ７０１）。さらに、データ差分管理プログラム１１５を実行し、現在の未同期データ量６０７を取得する（ステップ７０２）。

端末１００のＣＰＵ１４３は、図３に示した利用申請６００を作成し、管理サーバ２００に送信する（ステップ７０３）。なお、ステップ７０１及びステップ７０２の処理で取得された情報以外に利用申請６００に設定される項目は、ユーザが利用申請６００を送信する際に指定した情報を設定してもよいし、既存の許可証６１０の情報を引き継いでもよい。

管理サーバ２００は、端末１００からの利用申請６００を受信すると、受信した利用申請６００に設定された項目の値に基づいて、端末１００にデータの利用を許可するか否かを判定する。判定が終了すると、管理サーバ２００は、許可証６１０を端末１００に送信する。判定処理の手順については、図１０にて後述する。

端末１００のＣＰＵ１４３は、管理サーバ２００からの応答（許可証６１０）を受信すると（ステップ７０４）、審査結果６１１に設定された値に基づいて処理を実行する。

端末１００のＣＰＵ１４３は、審査結果６１１に「データ削除」が設定されている場合には（ステップ７０５の結果が「Ｙｅｓ」）、端末１００の記憶装置１４１に格納されたデータを削除する（ステップ７０９）。

また、端末１００のＣＰＵ１４３は、審査結果６１１に「却下」が設定されている場合には（ステップ７０６の結果が「Ｙｅｓ」）、エージェントプログラム１１６を介してユーザに却下された旨を通知する（ステップ７０７）。

端末１００のＣＰＵ１４３は、審査結果６１１に「許可」が設定されている場合には（ステップ７０６の結果が「Ｎｏ」）、古い許可証６１０を破棄して新しい許可証６１０に更新する（ステップ７０８）。

図１０は、本発明の実施の形態の管理サーバ２００が利用申請６００を受信してから許可証６１０を送信するまで処理の手順を示すフローチャートである。

管理サーバ２００のＣＰＵ２４３は、管理サーバ２００の起動時に許可証発行プログラム２１０を実行し、本処理を開始する。

管理サーバ２００のＣＰＵ２４３は、端末１００から利用申請６００を受信すると（ステップ７５１）、まず、利用申請６００に含まれる端末ＩＤ６０１及びパスワード６０２が正しいか否かを判定する（ステップ７５２）。具体的には、端末管理プログラム２１２を実行し、端末管理テーブル６７０と照合する。端末ＩＤ６０１及びパスワード６０２の値が正しくない場合には（ステップ７５２の結果が「Ｎｏ」）、許可証６１０の審査結果６１１の値を「却下」に設定する（ステップ７６２）。

管理サーバ２００のＣＰＵ２４３は、端末ＩＤ６０１及びパスワード６０２の値が正しい場合には（ステップ７５２の結果が「Ｙｅｓ」）、ストレージ装置３００から端末１００の同期先の記憶装置３４１に格納されたデータのデータ重要度６２５を取得する（ステップ７５３）。データのデータ重要度６２５は、ストレージ装置３００がデータ重要度確認プログラム３１１を実行することによって取得される。

管理サーバ２００のＣＰＵ２４３は、次に、許可基準テーブル６２０を参照し、端末１００の現在エリア６０６、データ重要度６２５、及び、未同期データ量６２６に対応する許可基準６２２を取得する（ステップ７５４）。

管理サーバ２００のＣＰＵ２４３は、強制データ削除などの特別な応答６２３が必要か否かを判定する（ステップ７５５）。強制データ削除などの特別な応答６２３が必要な場合には（ステップ７５５の結果が「Ｙｅｓ」）、許可証６１０の審査結果６１１に「データ削除」を設定して応答する（ステップ７６０）。強制データ削除が実行される条件は、例えば、データ重要度が最重要のデータが格納された端末１００が社外に持ち出された場合である（図５の定義６３１）
一方、管理サーバ２００のＣＰＵ２４３は、強制データ削除などの特別な応答６２３が必要でない場合には（ステップ７５５の結果が「Ｎｏ」）、利用申請６００に指定された希望利用期間６０３が許可範囲内、すなわち、許可基準テーブル６２０の許可可能期間６２７の範囲内にあるか否かを判定する（ステップ７５６）。希望利用期間６０３が許可範囲内にない場合には（ステップ７５６の結果が「Ｎｏ」）、許可証６１０の審査結果６１１に「却下」を設定して応答する（ステップ７６０）。

さらに、管理サーバ２００のＣＰＵ２４３は、希望利用期間６０３が許可範囲内にある場合には（ステップ７５６の結果が「Ｙｅｓ」）、利用申請６００に指定された希望利用エリア６０４が許可範囲内、すなわち、許可基準テーブル６２０の許可可能エリア６２８の範囲内にあるか否かを判定する（ステップ７５７）。希望利用エリア６０４が許可範囲内にない場合には（ステップ７５７の結果が「Ｎｏ」）、許可証６１０の審査結果６１１に「却下」を設定して応答する（ステップ７６０）。

さらに、管理サーバ２００のＣＰＵ２４３は、希望利用エリア６０４が許可範囲内にある場合には（ステップ７５７の結果が「Ｙｅｓ」）、利用申請６００に指定された希望データ管理方式６０５が許可範囲内、すなわち、許可基準テーブル６２０の許可可能データ管理方式６２９の範囲内にあるか否かを判定する（ステップ７５８）。希望データ管理方式６０５が許可範囲内にない場合には（ステップ７５８の結果が「Ｎｏ」）、許可証６１０の審査結果６１１に「却下」を設定して応答する（ステップ７６０）。

管理サーバ２００のＣＰＵ２４３は、希望データ管理方式６０５が許可範囲内にある場合には（ステップ７５８の結果が「Ｙｅｓ」）、許可証６１０の審査結果６１１に「許可」を設定し、許可証６１０を作成し（ステップ７５９）、発行する（ステップ７６１）。

管理サーバ２００のＣＰＵ２４３は、管理サーバ２００が停止処理を実行しようとしていなければ（ステップ７６３の結果が「Ｎｏ」）、許可証発行履歴テーブル６５０に許可証発行履歴を記録し（ステップ７６５）、次の利用申請６００の受信を受け付ける（ステップ７５１）。

図１１は、本発明の実施の形態の端末１００とストレージ装置３００との同期処理の手順を示すフローチャートである。

端末１００のＣＰＵ１４３は、端末１００が起動されると、データ同期プログラム１１４を実行し、あらかじめ決められた周期で本処理を実行する。

端末１００のＣＰＵ１４３は、まず、データ差分管理プログラム１１５を実行し、未同期データの有無を検査し、差分情報を取得する（ステップ８０１）。未同期データとは、端末１００のデータ１３１（又はデータキャッシュ１２１）の内容と、ストレージ装置３００内の記憶装置３４１に格納されたデータとの差分である。

端末１００のＣＰＵ１４３は、ステップ８０１の処理で取得された差分情報に基づいて、差分が存在するか否かを判定する（ステップ８０２）。差分が存在しない場合には（ステップ８０２の結果が「Ｎｏ」）、本処理を終了する。

端末１００のＣＰＵ１４３は、差分が存在する場合には（ステップ８０２の結果が「Ｙｅｓ」）、当該差分データをストレージ装置３００に転送する（ステップ８０３）。

端末１００のＣＰＵ１４３は、差分データの転送完了後、データ差分管理プログラム１１５を実行し、差分情報を更新する（ステップ８０４）。具体的には、未同期データを同期済みとする。

端末１００のＣＰＵ１４３は、差分が存在しなくなるまでステップ８０１からステップ８０４までの処理を実行する。

図１２は、本発明の実施の形態の端末１００におけるリストア処理の手順を示すフローチャートである。

リストア処理は、ストレージ装置３００の記憶装置３４１から端末１００の記憶装置１４１にデータ配置情報１３０及びデータ１３１を転送する処理である。

端末１００のＣＰＵ１４３は、まず、エージェントプログラム１１６を経由して管理サーバ２００又はユーザからリストア指示を受け付ける（ステップ８３１）。端末１００のＣＰＵ１４３は、エージェントプログラム１１６によって、ユーザＯＳ領域１０１上のプログラムをすべて停止させる（ステップ８３２）。

端末１００のＣＰＵ１４３は、ユーザＯＳ領域１０１上で実行されていたプログラムの停止を確認する（ステップ８３３）。ユーザＯＳ領域１０１上で実行されていたプログラムが停止されると（ステップ８３３の結果が「Ｙｅｓ」）、ストレージ装置３００の記憶装置３４１からデータを取得し、端末１００の記憶装置１４１の内容を同期（一致）させる（ステップ８３４）。

端末１００のＣＰＵ１４３は、ストレージ装置３００の記憶装置３４１と、端末１００の記憶装置１４１との同期が完了すると、ユーザＯＳ領域１０１上のプログラムを再起動する（ステップ８３５）。

図１３は、本発明の実施の形態の管理サーバ２００の端末管理プログラム２１２による暗号復号鍵更新処理の手順を示すフローチャートである。

管理サーバ２００のＣＰＵ２４３は、端末１００などから送信される暗号復号鍵更新要求６９０を受信すると、ストレージ装置３００内の未使用の記憶装置３４１を端末管理テーブル６７０から検索し、検索された記憶装置３４１を確保する（ステップ８５１）。さらに、新しい暗号復号鍵を生成する（ステップ８５２）。

管理サーバ２００のＣＰＵ２４３は、暗号復号鍵更新要求６９０で指定された記憶装置３４１に格納されたデータを、ステップ８２２の処理で生成された新しい鍵によって再暗号化し、ステップ８５１の処理で新たに確保された記憶装置３４１に格納するように、ストレージ装置３００に指示する（ステップ８５３）。ストレージ装置３００は、暗号復号鍵の更新指示を受信すると、鍵更新プログラム３１２を実行し、指示された処理を実行する。

管理サーバ２００のＣＰＵ２４３は、すべてのデータを再暗号化するまで処理を繰り返し（ステップ８５４）、完了後、端末管理テーブル６７０を更新する（ステップ８５５）。具体的には、端末管理テーブル６７０は、新たに暗号化されたデータが格納された記憶装置３４１に対応するレコードの記憶装置状態６７３が「使用中」に、古い記憶装置３４１に対応するレコードの記憶装置状態６７３が「未使用」に更新される。そして、管理サーバ２００のＣＰＵ２４３は、端末１００にリストアを開始するように指示し、本処理を終了する。

本発明の実施の形態によれば、端末１００の場所及びデータの重要度などに応じて情報漏洩対策方式を変更することができる。すなわち、管理サーバ２００は、端末１００から利用申請６００を受信すると、端末１００の場所及びデータの重要度などに基づいて、データ削除方式など情報漏洩防止方式を決定し、端末１００に許可証６１０を送信する。端末１００は、管理サーバ２００から許可証６１０で指定された情報漏洩対策を実行する。さらに、端末１００においてデータの重要度を判定する必要がなく、また、データの重要度を示すパラメータを保持する必要がないため、（Ａ）盗難の対象となる端末１００に内部のデータの重要度を示す情報を保持するのは好ましくないこと、（Ｂ）端末１００が復号鍵を破棄している間はデータの重要度を確認できないこと、といった課題を解消することができる。

本発明の実施の形態によれば、端末１００がオフライン状態の場合又は端末１００が分解された場合においてもデータを削除又は読み出しできない状態にすることができる。具体的には、許可証６１０で指定された時間以上にオフライン状態が継続すると、再度利用申請を管理サーバ２００に送信し、許可されるまでデータを読み出すことができない。また、データ管理方式をメモリ１４２にのみデータを保持するようにすれば、電源が切断されると同時にデータは消去されるようにすることができる。

本発明の実施の形態によれば、遠隔からデータ削除を実行しようとする場合に、許可証発行履歴テーブル６５０を参照することによって端末１００の状態を把握することができるため、端末１００の状態に応じて最適な方式で削除を実行できる。

本発明の実施の形態によれば、端末データの削除方式に応じて最適な端末状態の復旧ができる。例えば、暗号復号鍵をメモリ１４２のみに格納し、記憶装置１４１上に格納しなければ、暗号復号鍵を再取得するのみで端末１００の状態を復帰させることができる。一般に、情報漏洩に対して安全性を高めるほど不便になる傾向があるため、端末１００の場所若しくはデータの重要度などに基づいて適切な情報漏洩対策を実施することによって、端末１００の利便性を高めるという効果も期待できる。

本発明の実施の形態の計算機システムのシステム構成例を示す図である。 本発明の実施の形態の端末の構成を示す図である。 本発明の実施の形態の端末から管理サーバに送信される利用申請の一例を示す図である。 本発明の実施の形態の管理サーバから端末に送信される許可証の一例を示す図である。 本発明の実施の形態の管理サーバが利用申請に対して許可又は却下するための基準を定義する許可基準テーブルの一例を示す図である。 本発明の実施の形態の許可証発行履歴テーブルの一例を示す図である。 本発明の実施の形態の端末管理テーブルの一例を示す図である。 本発明の実施の形態の暗号復号鍵を更新する場合に端末から管理サーバに送信される暗号復号鍵更新要求の一例を示す図である。 本発明の実施の形態の端末が利用申請を送信し、許可証を受信するまでの手順を示すフローチャートである。 本発明の実施の形態の管理サーバが利用申請を受信してから許可証を送信するまで処理の手順を示すフローチャートである。 本発明の実施の形態の端末とストレージ装置との同期処理の手順を示すフローチャートである。 本発明の実施の形態の端末におけるリストア処理の手順を示すフローチャートである。 本発明の実施の形態の管理サーバの端末管理プログラムによる暗号復号鍵更新処理の手順を示すフローチャートである。

符号の説明

１ 計算機システム
１００ 端末
２００ 管理サーバ
３００ ストレージ装置
４００ 位置情報発信源
５００ ネットワーク
１４１、３４１ 記憶装置
１４２、２４２、３４２ メモリ
１４３、２４３、３４３ ＣＰＵ
１４４、２４４ 入力装置
１４５、２４５ 出力装置
１４６ 位置情報受信部
１４７、２４６、３４６ 通信インタフェース
１４８ 電源
１０１ ユーザＯＳ領域
１０２ 管理ＯＳ領域
１１０ 位置情報取得プログラム
１１１ データ削除プログラム
１１２ 許可証管理プログラム
１１３、３１３ 暗号復号プログラム
１１４ データ同期プログラム
１１５ データ差分管理プログラム
１２０ データ配置情報キャッシュ
１２１ データキャッシュ
１２２ 暗号復号鍵キャッシュ
１３０ データ配置情報
１３１ データ
１３２ 暗号復号鍵
２１０ 許可証発行プログラム
２１１ 許可証発行履歴管理プログラム
２１２ 端末管理プログラム
３１１ データ重要度確認プログラム
３１２ 鍵更新プログラム

Claims (18)

1. データを格納するストレージ装置、前記データを利用する端末、前記ストレージ装置及び前記端末に接続される管理サーバ、及び、前記端末の位置を特定するための位置情報取得部を含む計算機システムであって、
   前記ストレージ装置は、前記管理サーバに接続される第１インタフェース、前記第１インタフェースに接続される第１プロセッサ、前記第１プロセッサに接続される第１メモリ、及び、前記データを格納する第１記憶部を備え、
   前記端末は、前記管理サーバに接続される第２インタフェース、前記第２インタフェースに接続される第２プロセッサ、及び、前記データの複製を格納する第２記憶部を備え、
   前記第２記憶部は、揮発性記憶部及び不揮発性記憶部を含み、
   前記管理サーバは、前記ストレージ装置及び前記端末に接続される第３インタフェース、前記第３インタフェースに接続される第３プロセッサ、及び、前記第３プロセッサに接続される第３メモリを備え、
   前記端末は、
   前記データを利用する場合には、前記位置情報取得部によって、前記端末の位置を特定し、
   前記特定された端末の位置を含む端末情報を前記管理サーバに送信し、
   前記データの利用要求を前記管理サーバに送信し、
   前記管理サーバは、
   前記端末情報に基づいて、前記データの利用を許可するか否かを判定し、
   前記データの利用を許可する場合には、前記データの利用条件を含む許可情報を前記端末に送信し、
   前記端末は、前記利用条件に基づいて、前記揮発性記憶部及び前記不揮発性記憶部の少なくとも一方を選択し、前記データの複製を格納することを特徴とする計算機システム。
2. 前記管理サーバは、
   前記データの利用要求を受信すると、前記データの重要度を前記ストレージ装置から取得し、
   前記重要度に基づいて、前記データの利用を許可するか否かを判定することを特徴とする請求項１に記載の計算機システム。
3. 前記ストレージ装置は、前記端末で利用されるデータを暗号化して送信し、
   前記許可情報には、前記暗号化されたデータを復号するための復号鍵が含まれ、
   前記端末は、前記要求されたデータの利用条件に基づいて、前記揮発性記憶部及び前記不揮発性記憶部の少なくとも一方を選択し、前記復号鍵を格納することを特徴とする請求項１に記載の計算機システム。
4. 前記端末は、前記復号鍵を前記揮発性記憶部にのみ格納することを特徴とする請求項３に記載の計算機システム。
5. 前記端末は、前記データの複製を前記揮発性記憶部にのみ格納することを特徴とする請求項１に記載の計算機システム。
6. 前記端末は、前記ストレージ装置に格納されたデータと、前記端末に格納された前記データの複製を周期的に同期させることを特徴とする請求項１に記載の計算機システム。
7. 前記端末は、前記端末の状態が前記利用条件を満たさなくなった場合には、前記データの複製を削除することを特徴とする請求項１に記載の計算機システム。
8. 前記管理サーバは、前記利用要求に含まれる前記端末情報が所定の削除条件を満たす場合には、前記データの複製を削除する指示を前記端末に送信することを特徴とする請求項１に記載の計算機システム。
9. データを格納するストレージ装置及び前記ストレージ装置に接続される管理サーバを含む計算機システムにおいて、前記データの複製を格納する端末であって、
   前記計算機システムは、前記端末の位置を特定するための位置情報取得部を含み、
   前記管理サーバに接続されるインタフェース、前記インタフェースに接続されるプロセッサ、及び、前記データの複製を格納する記憶部を備え、
   前記記憶部は、揮発性記憶部及び不揮発性記憶部を含み、
   前記データを利用する場合には、前記位置情報取得部によって、前記端末の位置を特定し、
   前記特定された端末の位置を含む端末情報を前記管理サーバに送信し、
   前記データの利用要求を前記管理サーバに送信し、
   前記端末情報に基づいて許可された前記データの利用条件を含む許可情報を前記管理サーバから受信した場合には、前記利用条件に基づいて、前記揮発性記憶部及び前記不揮発性記憶部の少なくとも一方を選択し、前記データの複製を格納することを特徴とする端末。
10. 前記ストレージ装置は、前記端末から要求されたデータを暗号化して送信し、
    前記許可情報には、前記暗号化されたデータを復号するための復号鍵が含まれ、
    前記端末は、前記要求されたデータの利用条件に基づいて、前記揮発性記憶部及び前記不揮発性記憶部の少なくとも一方を選択し、前記復号鍵を格納することを特徴とする請求項８に記載の端末。
11. 前記端末は、前記復号鍵を前記揮発性記憶部にのみ格納することを特徴とする請求項１０に記載の端末。
12. 前記端末は、前記データの複製を前記揮発性記憶部にのみ格納することを特徴とする請求項９に記載の端末。
13. 前記端末は、前記ストレージ装置に格納されたデータと、前記端末に格納された前記データの複製を周期的に同期することを特徴とする請求項９に記載の端末。
14. 前記端末は、前記端末の状態が前記利用条件を満たさなくなった場合には、前記データの複製を削除することを特徴とする請求項９に記載の端末。
15. データを格納するストレージ装置及び前記ストレージ装置に接続される管理サーバを含む計算機システムであって、
    前記計算機システムは、前記データを利用する端末によって接続され、
    前記ストレージ装置は、前記管理サーバに接続される第１インタフェース、前記第１インタフェースに接続される第１プロセッサ、前記第１プロセッサに接続される第１メモリ、及び、前記データを格納する第１記憶部を備え、
    前記管理サーバは、前記ストレージ装置及び前記端末に接続される第２インタフェース、前記第２インタフェースに接続される第２プロセッサ、及び、前記第２プロセッサに接続される第２メモリを備え、
    前記管理サーバは、
    前記端末の位置を含む端末情報及び前記データの利用要求を前記端末から受信すると、前記端末情報に基づいて、前記データの利用を許可するか否かを判定し、
    前記データの利用を許可する場合には、前記データの利用条件を含む許可情報を前記端末に送信することを特徴とする計算機システム。
16. 前記管理サーバは、前記データの利用要求を前記端末から受信すると、前記データの重要度を前記ストレージ装置に要求し、
    前記ストレージ装置は、前記要求されたデータの重要度を算出して、前記管理サーバに送信し、
    前記管理サーバは、前記重要度に基づいて、前記データの利用を許可するか否かを判定することを特徴とする請求項１５に記載の計算機システム。
17. 前記ストレージ装置は、前記端末で利用されるデータを暗号化して送信し、
    前記管理サーバは、前記暗号化されたデータを復号するための復号鍵を前記許可情報とともに前記端末に送信することを特徴とする請求項１５に記載の計算機システム。
18. 前記管理サーバは、前記利用要求に含まれる前記端末情報が所定の削除条件を満たす場合には、前記データの複製を削除する指示を前記端末に送信することを特徴とする請求項１５に記載の計算機システム。

Images