JP2009527030A - ネットワーク化環境におけるデータの安全保護 - Google Patents

Abstract

データが通過することのできない境界およびデータが境界を通過することを可能にするためのチャネルを有する隔離された処理環境を備えた、データを安全保護するための装置。フィルタはチャネルのデータ通過を制限する。保護されたデータは初めは安全保護領域に位置し、認可ユーザの安全保護データへのアクセスに対応できるように、そのような安全保護処理環境のみに解放されるが、認可ユーザによる安全保護データの外界へのその後の解放は制御される。

Description

本発明はデータセキュリティに関し、さらに詳しくは、ネットワーク化環境でデータを安全保護するための方法および装置に関するが、それらに限定されない。

現代の情報技術が発達するにつれて、通信チャネルはより高速かつ多様になり、企業の情報技術（ＩＴ）インフラストラクチャはより複雑になり、増大する量の情報を格納しかつ処理する必要が生じている。

増大する情報量は、ビジネスまたは個人的目的に使用される機密情報を保護する必要性を引き起こしている。

ＩＴインフラストラクチャのセキュリティへの脅威は、２つのグループ、すなわち組織のＩＴインフラストラクチャへの侵入および情報漏洩に大別することができる。

組織のＩＴインフラストラクチャへの侵入は、組織のＩＴインフラストラクチャへの悪意あるコンテンツ（マルウェア）の導入を含むが、それに限定されない。

悪意あるコンテンツは、次のような幾つかのカテゴリに分類することができる。コンピュータウィルス−自己複製する悪意あるコンピュータプログラム、ワーム−コンピュータネットワーク中に急速に拡散し、ネットワークを停滞させるコンピュータプログラム、スパイウェア−コンピュータに自己をインストールさせて、部外者がプライベート情報を収集することを可能にする擬装ソフト、およびトロイの木馬−何らかの有用または良質な目的を持つように見えるが、実際は何らかの秘匿された悪質なコードを覆い隠しているプログラム。

これらの脅威は一般的に、組織に入るときに（当該技術分野で公知の通り、ファイアウォール、アンチウィルス、メールフィルタ等を用いて）、データを検査し、阻止し、またはフィルタリングすることによって対処される。

脅威はまた、（当該技術分野で公知の通り、侵入検出／防止システム、アンチスパイウェア、サンドボックス化等を用いて）、着信データの処理を監視し、かつセキュリティポリシーに違反しようとする操作を阻止することによって対処することもできる。

情報漏洩の脅威は、組織内のエンティティが、伝達される情報にアクセスする権限の無いエンティティに情報を伝達することに起因する脅威である。

権限の無いエンティティは、組織内のエンティティ（例えば組織の準社員の１人）、組織外のエンティティ（例えば競争相手の社員）等を含むかもしれない。

情報の漏洩は故意かもしれず、偶然かもしれない。漏洩はまた、（上述の通り、組織のＩＴインフラストラクチャに導入されたスパイウェアのような）悪意あるコンテンツによっても発生することがある。

情報漏洩は、すぐに気付くＩＴインフラストラクチャの損傷を伴うことがめったにないので、認識することがより難しい。

さらに、機密データは日常業務の一部であり、組織内および時には組織外の機密データを（パートナー、顧客等と）共有することは、ビジネスに必須であり、正当な行動またはワークフローを定義することは難しい。

既存の解決策には通常、組織データの分類、および機密データを処理するとき、または機密情報源にアクセスするときに、ユーザの操作を制限することが要求される。しかし、既存の解決策では保護と有用性との間にトレードオフが生じる。

今日、機密情報を保護する必要性についての組織の認識は、Ｇｒａｍｍ−Ｌｅａｃｈ−Ｂｌｉｌｅｙ法、医療保険の携行および責任に関する法律、ＮＡＳＤ２７１１、Ｓａｒｂａｎｅｓ−Ｏｘｌｅｙ法、およびバーゼル合意（Ｂａｓｅｌ Ｃａｐｉｔａｌ Ａｃｃｏｒｄ）のような最近の法規制によって高まっている。

最近の法規制は、個人情報が暴露される危険性を認め、医療サービス提供者、法執行機関、保険会社、および金融機関のように機密プライベート情報を取り扱う組織に対し、機密プライベート情報の窃盗または漏洩を防止するように施行される。

現行の法律は、監査および科学捜査ツールを使用して、被害対策および情報漏洩源の突止めを可能にすることも強制している。

現在、組織を情報漏洩から守るための幾つかの方法が実現されている。

装置制御は、可搬型メモリ装置、モデム、ブルートゥース、およびワイファイ（ｗｉｆｉ）装置のような通信装置、ＣＤ書込み装置、フロッピー（登録商標）ディスク等といった送出データチャネルに情報を書き込むユーザの能力を排除する、幅広い解決策を含む方法である。装置制御法は、組織のシステムからの情報の不正転送を防止する。しかし、装置制御法は、電子メール、ウェブ、インスタントメッセージング等のような、ビジネスに不可欠であり、遮断することができない日常的通信チャネルを介しての転送は防止しない。

パターンベースのブロッキングは、通信チャネルで伝送された情報を解析する方法であり、通常はゲートウェイまたはエンドポイントフィルタを使用する。パターンベースのブロッキングは、予め定められたパターン（別名データ署名）を適用して、エンドポイントまたは組織ネットワークの外部への情報の伝送を許可または阻止する。

発見的挙動解析は、ユーザおよびアプリケーションの挙動を監視し、監視された挙動を、会社のセキュリティポリシーを構成する１組の予め定められたポリシーおよび経験則と比較する方法である。会社のセキュリティポリシーに違反する行為は阻止または制限される。該方法を実現する例示的製品は、Ｏａｋｌｅｙ Ｎｅｔｗｏｒｋｓ Ｉｎｃ．によるＳｕｒｅＶｉｅｗ（商標）である。

しかし、発見的挙動解析では、ユーザまたはアプリケーションの正当な挙動を定義することが難しい。発見的挙動解析は、日常的な通信のように見えるものを使用する巧妙なユーザまたは悪意あるアプリケーションによる情報漏洩を検出することができない。

認証およびコンテンツ暗号化は、認可されたユーザだけを予め定められた機密データまたはソースにアクセスさせる方法である。ユーザは、予め定められた機密データにアクセスする前に、識別および認証プロセスに合格しなければならない。

暗号化は、認可されたアクセスを実施するのに役立ち、かつ非認可ユーザがデータ自体をなんとか入手することができたとしても、彼らがデータを実際に読み出すことを防止する、一般的な方法である。そのような製品の一例は、Ｕｔｉｍａｃｏ Ｓａｆｅｗａｒｅ ＡＧによるＳａｆｅＧｕａｒｄ（商標）である。

認証およびコンテンツ暗号化解決策は、非認可または非認証ユーザまたはマシンによるデータの無許可使用を防止する。しかし、意図的情報窃盗に対処するときに、認証およびコンテンツ暗号化解決策は、認可ユーザ、または認可ユーザのコンピュータ上で実行される悪意あるコードが、例えばデータを暗号化されていない別の文書にコピーし、データを印刷すること等によって、そのアクセス特権を悪用してデータを漏洩することを防止することができない。

Ｍｉｃｒｏｓｏｆｔによって提供される権利管理解決策は、例えばＷｉｎｄｏｗｓ（商標）サーバの上に位置し、Ｍｉｃｒｏｓｏｆｔ（商標）ＲＭＳ用のＬｉｑｕｉｄ Ｍａｃｈｉｎｅｓ（商標）の文書管理のような製品によって拡張することができる。

権利管理解決策は、Ｍｉｃｒｏｓｏｆｔ（商標）ＲＭＳに対応したアプリケーションによって作成されたファイルを、様々な機密性レベルに分類することに基づく。各機密性レベルは特定のコンピュータ、ユーザ、またはグループへの許可に関連付けられ、閲覧、編集、印刷、コピーペーストの使用、転送、および保存を制限することができる。許可はオーサリングユーザによって、または管理者のポリシーテンプレートに従って設定することができる。

しかし、権利管理解決策は非認可ユーザまたはマシンに対して防御するが、認可ユーザが彼らのアクセス特権を悪用することを防止することはできない。許可は特定のアプリケーションによって実施される。認可ユーザは、異なるアプリケーションを使用して使用制限を迂回するかもしれない。

一部の現在のシステムは、機密扱いのコンピュータだけが接続される機密扱いの領域またはネットワークを組織内に形成する。機密扱いの領域は、機密データが作成され、格納され、または処理される唯一の場所である。一部のシステムは、２つのエンドポイントコンピュータ間を物理的に隔離する代わりに、仮想隔離を使用する。システムは次の技術の１つまたはそれ以上を実現する。

Ｔｅｒｍｉｎａｌ Ｓｅｒｖｉｃｅｓ（商標）およびＣｉｔｒｉｘ（商標）のようなリモートデスクトップ技術は、ユーザが、ユーザのエンドポイントコンピュータから物理的または仮想的に分離されたリモート環境にアクセスし、それに対し作業を行なうことを可能にする。

単独では、リモートデスクトップ技術はセキュリティシステムでは無いが、環境間の隔離を形成するためのプラットフォームとして使用することができる。リモートデスクトップ技術により、機密データは、リモートデスクトップセッションが作動しているサーバのみにアクセス可能なネットワーク内に保持される。ユーザエンドポイントコンピュータは情報のプリミティブ表現を得るだけであり、機密情報を機密扱いのネットワークの外に保存または配布する能力は持たない。

Ｍｉｃｒｏｓｏｆｔ Ｖｉｒｔｕａｌ ＰＣ（商標）およびＶＭＷａｒｅ（商標）のような仮想マシンシステムは、ユーザがユーザエンドポイント装置内に仮想マシンを作成することを容認する。仮想マシンは分離した物理的コンピュータとして働き、環境隔離のためのプラットフォームとして使用することができる。

機密データの保護をさらに強化するために、そのような解決策は仮想マシンの格納装置の暗号化を使用可能にし、エンドポイント装置自体からのアクセスを防止する。

Ｓｔｏｎｙ Ｂｒｏｏｋｓ Ｕｎｉｖｅｒｓｉｔｙのコンピュータサイエンス学部のＹａｎｇ Ｙｕらは、２００４年１０月２５日のワシントンＤＣにおけるＤｉｇｉｔａｌｓ Ｒｉｇｈｔｓ Ｍａｎａｇｅｍｅｎｔに関する第４回ワークショップの会報で、表示専用ファイルサーバ（ＤＯＦＳ）について述べた。Ｙａｎｇ ＹｕのＤＯＦＳは、企業の機密ファイルを保護されたサーバに格納し、ファイルがわずかでもサーバから物理的に出ることを防止する。しかし、ユーザは依然として、ＰＤＦリーダーまたはＭＳ Ｗｏｒｄのような標準的アプリケーションを通して、これらのファイルへの読み書きを行なうことができる。

２００１年５月１４日に出願された、「ｄｅｖｉｃｅ ｆｏｒ ａｎｄ ｍｅｔｈｏｄ ｏｆ ｓｅｃｕｒｅ ｃｏｍｐｕｔｉｎｇ ｕｓｉｎｇ ｖｉｒｔｕａｌ ｍａｃｈｉｎｅｓ」と称するＭｅｕｓｈａｗの米国特許第６９２２７７４号は、様々なレベルの機密性のために様々な仮想マシンが形成される、安全保護された環境を形成するための仮想マシンの使用を記載している。Ｍｅｕｓｈａｗはまた、暗号化を用いて他の環境からの不正アクセスを防止する、機密扱いの環境間の安全保護されたオンライン通信についても記載している。

２０００年３月１７日に出願された、「Ｓｙｓｔｅｍ ｆｏｒ ｒｅｖｅｒｓｅ ｓａｎｄｂｏｘｉｎｇ」と称するＢａｓｕの米国特許第６８３６８８８号は、エンドポイント装置から仮想的に分離され、したがってサンドボックス内で機密データを処理することを可能とし、信頼できないエンドポイント装置内に存在する危険性を排除する、サンドボックスの使用を記載している。

上述した隔離ベースの解決策は、機密の環境またはマシンの一部であるかまたはその内部からアクセス可能である機密情報源を保護し、他の環境からの不正アクセスを阻止し、したがって全ての機密データを限定された環境内にロックすることに重点を置いている。

しかし、上述した隔離ベースの解決策は、情報を保護せず、ときには安全保護環境の一部ではないプラットフォームを介する情報の伝送さえ不能にする。そのようなプラットフォームの例として、格納サーバ（ファイルシステム、データベース）、通信サーバ（メッセージング、電子メール、ウェブアクセス等用）、および個人用装置（例えばＵＳＢ可搬型メモリ装置）さえも挙げられる。

さらに、上述した方法は、別個の組のシステムおよびプラットフォーム、または機密データ専用のよく定義された領域を必要とする。該領域はネットワークの残部から十分に分離し、かつ保護しなければならない。該領域は、ネットワークのインフラストラクチャおよびシステムの使用に関して制限される。

したがって、上記限界の無いシステムの必要性が広く認識されており、それを持つことは非常に有利であろう。

本発明の第１の態様に従って、データを安全保護するための装置であって、既存のユーザ環境内に安全保護環境を定義するように構成された安全保護環境デファイナを備え、該デファイナが、データが通過することのできない環境の周囲の境界と、安全保護環境から外に出るチャネルとを定義するように構成され、安全保護環境デファイナがさらに、安全保護環境から外に出るチャネルに関連するフィルタを定義するように構成され、該フィルタが安全保護環境から外に出るデータの通過を制御するように定義可能である、装置を提供する。

本発明の第２の態様に従って、データを安全保護するための装置であって、データソースの少なくとも１つのそれぞれ予め定められた機密扱いの領域に関連付けられ、かつそれぞれの機密扱いの領域からデータユニットを受け取るように動作可能であり、エンドポイントコンピュータにインストールされた、少なくとも１つの隔離された処理環境と、隔離された処理環境に関連付けられ、かつ予め定められたポリシーに従って、隔離された処理環境からのデータユニットの出力を制限するように構成された出力抑制器とを備えた装置を提供する。

本発明の第３の態様に従って、データを安全保護するための装置であって、データソースの予め定められた機密扱いの領域に関連付けられ、データが通過することのできない境界およびデータが境界を通過するためのチャネルを有し、機密扱いの領域からデータユニットを受け取るように動作可能であり、エンドポイントコンピュータにインストールされた隔離された処理環境と、隔離された処理環境に関連付けられ、かつ予め定められたポリシーに従ってデータユニットを分類するように構成されたデータ分類器と、チャネルに関連付けられ、かつ分類に従ってチャネルを超えるデータユニットの出力を制限するように構成された出力抑制器と、出力抑制器に関連付けられ、かつ分類に従って出力データユニットを変更するように構成された出力データ変更器とを備えた装置を提供する。

本発明の第４の態様に従って、データを安全保護するための装置であって、データソースの予め定められた機密扱いの領域に関連付けられ、エンドポイントコンピュータにインストールされた、隔離された処理環境と、隔離された処理環境に関連付けられ、かつ隔離された処理環境へのデータユニットの入力を制限するように構成された入力抑制器とを備え、隔離された処理環境がさらに入力データユニットを機密扱いの領域に転送するように動作可能である、装置を提供する。

本発明の第５の態様に従って、データを安全保護するための装置であって、データソースの予め定められた機密扱いの領域に関連付けられ、エンドポイントコンピュータにインストールされ、データが通過することのできない境界およびデータが境界を通過することを可能にするためのチャネルを備えた隔離された処理環境と、チャネルに関連付けられ、かつ隔離された処理環境へのデータユニットの入力を制限するように構成された入力抑制器と、入力抑制器に関連付けられ、かつ予め定められたポリシーに従って入力データユニットを変更するように構成された入力データ変更器とを備え、隔離された処理環境がさらに入力データユニットを機密扱いの領域に転送するように動作可能である、装置を提供する。

本発明の第６の態様に従って、データを安全保護するためのシステムであって、データが通過することのできない境界およびデータが前記境界を越えることのできるチャネルを各々含み、データソースのそれぞれの予め定められた機密扱いの領域に動作可能に関連付けられ、それによって機密扱いの領域からデータユニットを各々受け取るようにした、エンドポイントコンピュータにインストールされた少なくとも２つの隔離された処理環境と、前記隔離された処理環境の１つのそれぞれのチャネルに各々関連付けられ、かつ受け取ったデータユニットの隔離された処理環境からの出力を制御するように構成された少なくとも２つの出力抑制器とを備えたシステムを提供する。

本発明の第７の態様に従って、コンピュータ可読媒体に具現されるデータを安全保護するためのキットであって、データが通過することのできない境界およびデータが境界を越えることのできるチャネルを含み、かつエンドポイントコンピュータ上のデータソースの予め定められた機密扱いの領域と関連付けることができる隔離された処理環境を定義するように動作可能である隔離された処理環境デファイナと、エンドポイントコンピュータに設置可能であり、かつチャネルを介するデータユニットの出力を制限するように構成された出力抑制器とを備えたキットを提供する。

本発明の第８の態様に従って、データを安全保護するための方法であって、ａ）データが通過することのできない境界およびデータが境界を通過することのできるチャネルを定義することによって、隔離された処理環境をエンドポイントコンピュータに形成する工程と、ｂ）隔離された処理環境内で、隔離された処理環境に関連付けられた予め定められた機密扱いの領域に由来するデータユニットを受け取る工程と、ｃ）受け取ったデータユニットの隔離された処理環境からの出力を制限するためにチャネルを監視する工程とを含む方法を提供する。

本発明の第９の態様に従って、データを安全保護するための方法であって、ａ）データが通過することのできない境界およびデータが境界を通過することのできるチャネルを定義することによって、隔離された処理環境をエンドポイントコンピュータに形成する工程と、ｂ）隔離された処理環境へのデータユニットの入力を制限するためにチャネルを監視する工程と、ｃ）制限された入力データユニットを隔離された処理環境から隔離された処理環境に関連付けられた機密扱いの領域に転送し、それによって機密扱いの領域に入力されたデータを保護する工程とを含む方法を提供する。

別途定義されない限り、本明細書中で使用されるすべての技術的用語および科学的用語は、本発明が属する技術分野の当業者によって一般に理解されるのと同じ意味を有する。材料、方法および実施例は例示にすぎず、限定であることは意図されない。

本発明の方法およびシステムを実行することは、選択されたタスクまたはステップを、手動操作で、自動的にまたはそれらを組み合わせて実行または完了することを含んでいる。

さらに、本発明の方法とシステムの好ましい実施態様の実際の機器や装置によって、いくつもの選択されたステップを、いずれかのファームウェアのいずれかのオペレーティングシステムのハードウェアまたはソフトウェアまたはそれらの組合せによって実行できる。例えば本発明の選択されたステップはチップまたは回路のようなハードウェアとして実施できる。本発明の選択されたステップは、コンピュータが適切なオペレーティングシステムを使って実行する複数のソフトウェアの命令のようなソフトウェアとして実施できる。いずれにしろ、本発明の方法とシステムの選択されたステップは、データプロセッサ、例えば複数の命令を実行する計算プラットフォームで実行されると言える。

図面の簡単な記述
本発明は、本明細書において単に例示され、図面を参照して説明される。特に詳細に図面を参照して、示されている詳細が例示として本発明の好ましい実施形態を例示考察することだけを目的としており、本発明の原理や概念の側面の最も有用でかつ容易に理解される説明であると考えられるものを提供するために提示していることを強調するものである。この点について、本発明を基本的に理解するのに必要である以上に詳細に本発明の構造の詳細は示さないが、図面について行う説明によって本発明のいくつもの形態を実施する方法は当業者には明らかになるであろう。

図１ａは、本発明の好適な実施形態に係る、データを安全保護するための第１の装置を示す簡易ブロック図である。

図１ｂは、本発明の好適な実施形態に係る、データを安全保護するための第２の装置を示す簡易ブロック図である。

図１ｃは、本発明の好適な実施形態に係る、データを安全保護するための第３の装置を示す簡易ブロック図である。

図１ｄは、本発明の好適な実施形態に係る、データを安全保護するための第４の装置を示す簡易ブロック図である。

図１ｅは、本発明の好適な実施形態に係る、データを安全保護するためのキットを示す簡易ブロック図である。

図２は、本発明の好適な実施形態に係る、データを安全保護するための第４の装置を示す簡易ブロック図である。

図３は、本発明の好適な実施形態に係る、データを安全保護するための第５の装置を示す簡易ブロック図である。

図４は、本発明の好適な実施形態に係る、データを安全保護するための第１のシステムの例示的実現を示すブロック図である。

図５は、本発明の好適な実施形態に係る、データを安全保護するための第２のシステムの例示的実現を示すブロック図である。

図６は、本発明の好適な実施形態に係る、データを安全保護するための第３のシステムの例示的実現を示すブロック図である。

図７ａは、本発明の好適な実施形態に係る、データを安全保護するための第１の方法を示す簡易フローチャートである。

図７ｂは、本発明の好適な実施形態に係る、データを安全保護するための第２の方法を示す簡易フローチャートである。

本発明の実施形態は、データが通過することのできない境界およびデータが境界を通過するためのチャネルを有する隔離された処理環境を備えた、データを安全保護するための装置および方法を含む。フィルタはチャネルのデータ通過を制限する。保護されたデータは初めは安全保護領域に位置し、認可ユーザの安全保護データへのアクセスに対応できるように、そのような安全保護処理環境のみに解放されるが、認可ユーザによる安全保護データの外界へのその後の解放は制御される。

本発明の装置の原理および操作が、図面および付随する説明を参照してより十分に理解されることができる。

本発明の好適な実施形態に従って、ネットワーク化環境でユーザの１人によって使用されるデスクトップＰＣのようなエンドポイントコンピュータにインストールされた、１つまたはそれ以上の隔離された処理環境を提供する。

隔離された処理環境とは、アプリケーションを実行するため、データを処理するため、データを格納するため、またはそれらの組合せのために使用される、安全保護され分離された環境である。隔離された処理環境は、ユーザのデスクトップコンピュータ、ユーザのラップトップコンピュータ等で実現される論理エンティティであってよい。そのような隔離された処理環境の一例は、既存のデスクトップの上で実行される完全なオペレーティングシステムを含む仮想マシンである。隔離された処理環境は、ＶＭＷａｒｅ（商標）Ｗｏｒｋｓｔａｔｉｏｎ、およびＭｉｃｒｏｓｏｆｔ（商標）Ｖｉｒｔｕａｌ ＰＣのような現行製品を用いて実現することができる。

隔離された処理環境は、アプリケーションを実行しかつデータユニットを処理することのできる、ユーザ環境の一部として使用される。

隔離された処理環境（ＩＰＥ）とは、デフォルトで、ユーザ以外のエンティティがＩＰＥに常駐するデータ、ＩＰＥで実行されるアプリケーション等にアクセスできないという意味で、安全保護され分離された環境である。隔離された処理環境は、分離されたコンピュータとして機能する。

隔離された処理環境は、ユーザまたは管理者によって予め定められた機密扱いの領域の一部であるか、またはそこに自由にアクセスすることができる。機密扱いの領域とは、データユニットを保持する１つまたはそれ以上のデータソースを含む、予め定められた領域である。機密扱いの領域は、当業界で公知の方法のいずれかを用いて実現することができる。機密扱いの領域は、以下でさらに詳述する通り、データベース、サーバ等を含むことができる。

好適な実施形態によると、隔離された処理環境からのデータユニット（ファイル、電子メール、メッセージ、クリップボードコンテンツ、および任意の他のデータユニットなど）の入出力は、以下でさらに詳述する通り、ユーザまたは管理者によって予め定められたポリシーに従って制御される。

本発明の少なくとも１つの実施形態を詳しく説明する前に、本発明は、その適用において、下記の説明において記載されるか、または、実施例によって例示される構成の細部および構成要素の配置に限定されないことを理解しなければならない。本発明は他の実施形態が可能であり、または、様々な方法で実施または実行されることができる。また、本明細書中で用いられる表現法および用語法は記述のためであって、限定であると見なしてはならないことを理解しなければならない。

ここで図１ａを参照しながら説明すると、図１ａは、本発明の好適な実施形態に係る、データを安全保護するための第１の装置を示す簡易ブロック図である。

データを安全保護するための装置１００は、既存のユーザ環境内、例えばユーザのラップトップコンピュータ、ユーザのデスクトップコンピュータ等のようなエンドポイントコンピュータ内に、安全保護環境を定義するために使用することのできる、安全保護環境デファイナ１２を含む。

安全保護環境デファイナ１２は、データが通過することのできない安全保護環境の周囲の境界、および安全保護環境から外に出るチャネルを定義するためにも使用される。

安全保護環境デファイナ１２はまた、安全保護環境から外に出るチャネルに接続されるフィルタを定義するためにも使用される。フィルタは、チャネル内を通り、安全保護環境から外へ出るデータの通過を制御するように定義される。

好ましくは、ユーザまたは管理者は、さらに詳述する通り、データソースの機密扱いの領域を定義することができる。機密扱いの領域のデータは、以下でさらに詳述する通り、定義された安全保護環境のみに流れることが許可される。

次に図１ｂを参照しながら説明すると、図１ｂは、本発明の好適な実施形態に係る、データを安全保護するための第２の装置を示す簡易ブロック図である。

データを安全保護するための装置１０００は、当該技術分野で公知の通り、エンドポイントコンピュータ、例えばユーザのラップトップコンピュータ、ユーザのデスクトップコンピュータ、または任意の他のエンドポイントコンピュータ装置にインストールされた、隔離された処理環境２００を含む。

隔離された処理環境（ＩＰＥ）２００は、データソースの機密扱いの領域４００に接続される。

機密扱いの領域４００は、装置１０００のユーザまたは管理者によって定義することができる。機密扱いの領域４００は、当該技術分野で公知の通り、装置（例えばデータベースサーバ）、ネットワークソース（例えばイントラネットネットワーク）等などのデータソースを含むことができる。

任意選択的に、機密扱いの領域４００は、隔離された処理環境２００が実現されたエンドポイントコンピュータの外部のデータソースを含む。例えば、機密扱いの領域４００は、エンドポイントコンピュータに接続されたローカルネットワークに位置するデータベースサーバを含むことができる。

隔離された処理環境（ＩＰＥ）２００は、機密扱いの領域４００からのデータユニットにアクセスすることが許容され、かつそれを受け取るように動作することができる。データユニットは、隔離された処理環境２００に格納し、またはそこで隔離状態で処理することができる。

換言すると、以下でさらに詳述する通り、ユーザがデータユニットにアクセスするために、隔離された処理環境２００を使用することを認可されることを前提として、ユーザは、データユニットを機密扱いの領域４００から隔離された処理環境２００にインポートすることができる。インポートされたデータユニットは、以下でさらに詳述する通り、隔離された処理環境２００で処理、格納、編集等を行なうことができる。

装置１０００はまた、隔離された処理環境２００に接続された出力抑制器２１４（例えばデータフィルタ）をも含む。

出力抑制器２１４は、予め定められたポリシーに従って、隔離された処理環境２００からのデータユニットの出力を制限する。

出力抑制器２１４は、隔離された処理環境２００からデータユニットを出力しようとする試みを検出する。出力抑制器２１４は、データユニットを隔離された処理環境２００から出力することが容認されるかを決定する。

例えば、機密データユニットを隔離された処理環境２００から機密扱いの領域４００外の領域のファイルに書き込もうとするユーザの試みは、装置１０００のユーザまたは管理者によって予め定められたポリシーに従って阻止される。

次に図１ｃを参照しながら説明すると、図１ｃは、本発明の好適な実施形態に係る、データを安全保護するための第３の装置を示す簡易ブロック図である。

データを安全保護するための装置１１００は、上で詳述した通り、隔離された処理環境２００を含む。

隔離された処理環境２００は、当該技術分野で公知の通り、エンドポイントコンピュータ、例えばユーザのラップトップコンピュータ、ユーザのデスクトップコンピュータ、または任意の他のエンドポイントコンピュータ装置にインストールされる。

隔離された処理環境（ＩＰＥ）２００は、上で詳述した通り、データソースの機密扱いの領域４００に接続される。

装置１１００はまた、隔離された処理環境に接続された入力抑制器２２２、例えばデータフィルタをも含む。入力抑制器２２２はまた、以下でさらに詳述する通り、隔離された処理環境の内部にも配備することができる。

入力抑制器２２２は、隔離された処理環境２００へのデータユニットの入力を制限する。好ましくは、入力抑制器２２２は、上に記載した通り、機密扱いの領域４００へのデータユニットの入力をも制限する。

入力抑制器２２２は、データユニットの入力を阻止するか、容認するか等を決定する。例えば入力抑制器２２２は、以下でさらに詳述する通り、隔離された処理環境２００からデータユニットにアクセスすることを可能にする。

好ましくは、入力抑制器２２２は、以下でさらに詳述する通り、データユニットを入力する前に特定の作業を実行しなければならないことを決定することもできる。

ひとたびデータユニットが隔離された処理環境からのアクセスを許可されると、データユニットは機密扱いの領域４００に転送することができる。例えばユーザは、ユーザが隔離された処理環境２００の認可ユーザであることを前提として、データユニットを機密扱いの領域４００内のデータベースに格納することを選択することができる。

任意選択的に、入力抑制器２２２は環境セレクタ２２８に接続されるか、またはその一部である。

環境セレクタ２２８はコンピュータ内のデータユニットの移動を追跡し、データユニットの分類グループを決定し、関連の認証および認可プロセスを作動させて、データユニットへのユーザのアクセスを可能にする。次いで、環境セレクタ２２８は、以下でさらに詳述する通り、隔離された処理環境２００におけるさらなる処理のためにデータユニットを転送することができる。

次に図１ｄを参照しながら説明すると、図１ｄは、本発明の好適な実施形態に係る、データを安全保護するための第４の装置を示す簡易ブロック図である。

本発明の好適な実施形態に係る装置は、隔離された処理環境２００を含む。隔離された処理環境２００はユーザ環境の一部として使用され、隔離された状態でアプリケーションを実行し、データユニットを処理する。

換言すると、隔離された処理環境２００は、デフォルトで外部エンティティがアプリケーションのデータ、ネットワーク、または実行中のプロセスにアクセスすることができないように、安全保護され分離された環境である。隔離された処理環境２００は、予め定められた処理および格納リソースを持つ、分離されたコンピューティングユニットとして機能する。

隔離された処理環境２００は、当該技術分野で公知の通り、機密扱いの領域４００の一部とすることができ、またはそれにアクセスすることができる。機密扱いの領域４００は、装置ソース４１０（例えばデータベースサーバ、コンピューティング装置であって、装置およびサーバはエンドポイントコンピュータの内部にあるか外部にあるかに関わらない）のようなデータソースを含むことができる。

好ましくは、隔離された処理環境２００は自動的に暗号化されるローカルファイルシステムを含む。

自動的に暗号化されるローカルファイルシステムは、当業界で公知の方法を利用して、データユニットを隔離された処理環境２００に格納するときに、データユニットを自動的に暗号化するために使用することができる。

機密扱いの領域４００はまた、アンマネージド通信チャネル１１０を使用して、ネットワークエンティティ（例えばネットワークセグメント、ネットワークアドレス、ドメイン、ＵＲＬ、イントラネットサイト、ネットワークパス、ローカルパス、ファイルシェア）、またはそれらの任意の組合せにアクセス可能なネットワークデータソース４２０を含むことができる。

アンマネージド通信チャネルは、当業界で公知のツール（例えばファイアウォールルール、ＶＰＮ、ＶＬＡＮ、マップドライブ、ホスト上のリソースマネージメント等）を用いて、機密扱いの領域４００の異なるエンティティ間に作成することができる。

アンマネージド通信チャネル１１０は、機密扱いの領域４００と隔離された処理環境２００との間に形成することもできる。

任意選択的に、隔離された処理環境２００は機密扱いの領域の内部に位置する。

任意選択的に、機密扱いの領域は隔離された処理環境２００の外部にある。

好ましくは、データユニット（ファイル、電子メール、メッセージ、クリップボードコンテンツ、および任意の他のデータユニットなど）は、以下でさらに詳述する通り、装置のユーザまたは管理者によって予め定められたポリシーがデータユニットの出力を容認する場合にだけ、隔離された処理環境２００を離れることができる。

好ましくは、隔離された処理環境２００からのデータユニットの出力は、以下でさらに詳述する通り、出力チャネルモニタ２１０によって制御される。

好ましくは、隔離された処理環境２００へのデータユニットの入力は、以下でさらに詳述する通り、入力チャネルモニタ２２０によって制御される。

チャネルコントローラ２１０、２２０は、以下でさらに詳述する通り、隔離された処理環境２００と、隔離された処理環境２００および機密扱いの領域４００の外部の領域３００におけるエンティティとの間のデータユニットの移動を監視し、かつ制御する。例えば、チャネルコントローラ２１０、２２０は、上で詳述した通り、隔離された処理環境２００と、機密扱いでない装置ソース３１０および機密扱いでないネットワークソース３２０との間のデータユニットの移動を制御する。

好ましくは、本発明の好適な実施形態に係る装置はまた、隔離された処理環境に接続された管理コンソール５００をも含む。

管理コンソール５００は、以下でさらに詳述する通り、構成およびポリシーの維持、変更を実行し、分類グループを定義し、監査報告およびログを管理し、データユニットを判読できない暗号化フォーマットに変更するために使用される暗号化鍵を管理する等のために使用される。

任意選択的に、本発明の好適な実施形態に係る装置はまた、インストレーションモジュールをも含む。インストレーションモジュールは、エンドポイントネットワーク化コンピュータに、隔離された処理環境２００、出力チャネルコントロール１２０、入力チャネルコントローラ１３０等をインストールするために使用される。

次に図１ｅを参照しながら説明すると、図１ｅは、本発明の好適な実施形態に係る、データを安全保護するためのキットを示す簡易ブロック図である。

データを安全保護するためのキット１２００は、隔離された処理環境デファイナ１２０を含む。

隔離された処理環境デファイナ１２０は、データソースの機密扱いの領域に関連付けられる隔離された処理環境を定義するように動作可能である。隔離された処理環境はエンドポイントコンピュータに常駐する。

機密扱いの領域は、上で詳述した通り、データベースサーバ、ネットワーク装置、ネットワーク接続等をはじめ、それらに限らないデータソースを含むことができる。

キット１２００はまた、出力抑制器２１４、例えばデータフィルタをも含む。

出力抑制器２１４はエンドポイントコンピュータに設置可能であり、以下でさらに詳述する通り、隔離された処理環境デファイナ１２０を用いて定義された隔離された処理環境からのデータユニットの出力を制限する。

次に図２を参照しながら説明すると、図２は、本発明の好適な実施形態に係る、データを安全保護するための第４の装置を示す簡易ブロック図である。

装置２０００は、上で詳述した通り、隔離された処理環境２００を含む。

装置２０００はまた、出力チャネルモニタ２１０を含む。

好ましくは、出力チャネルモニタ２１０は隔離された処理環境２００内から動作し、隔離された処理環境２００から機密扱いの領域外の場所にデータユニットを出力しようとする試みを監視する。任意選択的に、出力チャネルモニタ２１０はまた、上でさらに詳述した機密扱いの領域４００からデータユニットを出力しようとする試みをも監視する。

好ましくは、出力チャネルモニタ２１０は、ローカルファイルへの書込み、ファイルサーバへの送信、可搬型メモリ装置（当該技術分野で公知の通り、例えばＵＳＢ可搬型メモリ等）へのダウンロード、電子メールの作成、クリップボードへのデータのコピー、スクリーンショットの撮影、または印刷へのデータユニットの送信のような、隔離された処理環境２００からデータを出力しようとする試みを監視する。

出力チャネルモニタ２１０は、隔離された処理環境２００に接続されたデータ分類器２１２を含む。

データ分類器２１２は、隔離された処理環境２００から出力しようとするデータユニットを受け取る。

データ分類器２１２は、受け取ったデータユニットの各々をポリシーに従って分類する。ポリシーは、装置２０００のユーザまたは管理者によって予め定められることが好ましい。例えばデータ分類器２１２は、以下でさらに詳述する通り、装置２０００のユーザまたは管理者によって予め定められた分類グループの中から選択された分類グループをデータユニットに割り当てることができる。

出力チャネルモニタ２１０はまた、出力抑制器２１４、例えばデータフィルタをも含む。出力抑制器２１４は、隔離された処理環境２００およびデータ分類器２１２に接続される。

出力抑制器２１４は、隔離された処理環境２００からのデータユニットの出力を制限する。出力抑制器はまた、上に記載した通り、機密扱いの領域４００からのデータユニットの出力を制限することが好ましい。

出力抑制器２１４は、データユニットの出力を阻止すべきか、許容すべきか等を決定する。

出力抑制器２１４はまた、以下でさらに詳述する通り、データユニットを出力する前に作業を実行すべきであることをも決定することができることが好ましい。

出力抑制器２１４は、予め定められたポリシーに従って、データの出力を制限することが好ましい。予め定められたポリシーは、例えばデータ分類器２１２によってデータユニットに割り当てられた分類グループに従って、データユニットの分類に基づくことができる。

出力抑制器２１４はさらに、以下でさらに詳述する通り、予め定められたポリシーに従って出力データユニットの分類を変更するように構成されることが好ましい。

出力チャネルモニタ２１０はまた、隔離された処理環境２００および出力抑制器２１２に接続された出力データ変更器２１６をも含む。

出力抑制器２１４がデータユニットの出力を容認する場合、出力データ変更器２１６は、予め定められたポリシーに従ってデータユニットを変更する。ポリシーは、装置２０００のユーザまたはオペレータによって事前に定義することができる。

出力データ変更器２１６は、データ分類器２１２によってデータユニットに割り当てられた分類グループに従って、データユニットを変更することが好ましい。

データユニットを変更することによって、出力データ変更器２１６はデータユニットを判読できないフォーマットに変換することが好ましい。

データユニットの変更は、当業界で公知の暗号化技術を用いてデータユニットを暗号化し、それによってデータユニットを判読できないフォーマットに変換することを含むが、それに限定されない。

装置２０００はまた、隔離された処理環境２００に接続されたグラフィカルユーザインタフェース（ＧＵＩ）マネージャ２７０をも含むことが好ましい。

グラフィカルユーザインタフェース（ＧＵＩ）マネージャ２７０は、エンドポイントコンピュータのユーザにデータユニットを提示するためにＧＵＩを管理する。

グラフィカルユーザインタフェース（ＧＵＩ）マネージャ２７０は、予め定められたポリシーに従って、提示されたデータユニットに印を付けることが好ましい。例えば、ＧＵＩマネージャ２７０は、隔離された処理環境２００に常駐するデータユニットに対し、特徴的な視覚的マークを、例えば特殊アイコンをもたらし、隔離された処理環境２００から出力されるデータユニットに赤色の特殊マーク等をもたらす。

装置２０００はまた入力チャネルモニタ２２０をも含む。

好ましくは、入力チャネルモニタ２２０は隔離された処理環境２００内から動作し、入力データユニットを隔離された処理環境２００に入力しようとする試みを監視する。任意選択的に、入力チャネルモニタ２２０はまた、上に詳述した機密扱いの領域４００にデータユニットを入力しようとする試みをも監視する。

入力チャネルモニタ２２０は、隔離された処理環境２００に接続された入力抑制器２２２を含む。

入力抑制器は、環境セレクタ２２８に接続するか、関連付けることができる。環境セレクタ２２８は、コンピュータに常駐するデータユニットで操作を実行しようとする試みを検出し、上で詳述した通り、隔離された処理環境に操作を制限すべきであるか否かを決定する。

入力抑制器２２２は、隔離された処理環境２００へのデータユニットの入力を制限する。入力抑制器２２２はまた、上に記載した通り、機密扱いの領域４００へのデータユニットの入力をも制限することが好ましい。

入力抑制器２２２は、データユニットの入力を阻止すべきか、許容すべきか等を決定する。入力抑制器２２２はまた、以下でさらに詳述する通り、データユニットを入力する前に、作業を実行すべきであることを決定することもできることが好ましい。

例えば、入力抑制器２２２は機密扱いの領域４００の外に位置するデータユニットにアクセスするユーザの試みを検出することができ、例えば、データ分類器２１２について上で詳述した通り、データユニットの分類グループを決定することによって、データユニットの分類を決定する。次いで、入力抑制器２２２は、データユニットが隔離された処理環境２００からのアクセスを容認されるか否かを決定する。

入力チャネルモニタ２２０はまた、入力データ変更器２２６、例えばデータフィルタをも含む。入力データ変更器２２６は、隔離された処理環境２００および入力抑制器２２２に接続される。

入力抑制器２２２が（例えば隔離された処理環境２００からデータユニットへのアクセスを容認することによって）データユニットの入力を容認する場合、入力データ変更器２２６は、予め定められたポリシーに従ってデータユニットを変更する。

ポリシーは、装置２０００のユーザまたはオペレータによって事前に定義することができる。

入力データ変更器２２６は、データユニットの分類に従って、例えばデータユニットが由来する別の隔離された処理環境のデータ分類器２１２によってデータユニットに割り当てられた分類グループに従って、データユニットを変更することが好ましい。

データユニットを変更することによって、入力データ変更器２２６は、（例えば上述の通り、別の隔離された処理環境の出力データ変更器２１６を用いて）判読できないフォーマットに変換されたデータユニットの可読フォーマットを復元することが好ましい。

データユニットの変更は、当業界で公知の暗号解読技術を用いてデータユニットを暗号解読し、それによってデータユニットを可読フォーマットに変換することを含むが、それに限定されない。

次に図３を参照しながら説明すると、図３は、本発明の好適な実施形態に係る、データを安全保護するための第５の装置を示す簡易ブロック図である。

装置３０００は、上で詳述した通り、隔離された処理環境２００を含む。

装置３０００はまた、隔離された処理環境２００に接続されたデータ分類器２１２をも含む。

データ分類器２１２は、隔離された処理環境２００から出力されようとするデータユニットを受け取る。データ分類器２１２は、受け取ったデータユニットの各々をポリシーに従って分類する。ポリシーは、上で詳述した通り、装置３０００のユーザまたは管理者によって予め定められることが好ましい。

装置３０００はまた、データ分類器２１２に接続された出力抑制器２１４（例えば当該技術分野で公知の通り、データフィルタ）をも含む。

出力抑制器２１４は、隔離された処理環境２００からのデータユニットの出力を制限する。出力抑制器はまた、上に記載した通り、機密扱いの領域４００からのデータユニットの出力をも制限することが好ましい。

出力抑制器２１４は、データユニットの出力を阻止すべきか、許容すべきかを決定する。出力抑制器２１４はまた、以下でさらに詳述する通り、データユニットを出力する前に、特定の作業を実行しなければならないことをも決定することができることが好ましい。

出力抑制器２１４は、予め定められたポリシーに従ってデータの出力を制限することが好ましい。予め定められたポリシーは、例えば上で詳述した通り、データ分類器２１２によってデータユニットに割り当てられた分類グループに従って、データユニットの分類に基づくことができる。

装置３０００はまた、出力抑制器２１２に接続された出力データ変更器２１６をも含む。

出力抑制器２１４がデータユニットの出力を容認すると、出力データ変更器２１６は、予め定められたポリシーに従ってデータユニットを変更する。ポリシーは、装置３０００のユーザまたはオペレータによって事前に定義することができる。

出力データ変更器２１６は、データ分類器２１２によってデータユニットに割り当てられた分類グループに従ってデータユニットを変更することが好ましい。

データユニットを変更することによって、出力データ変更器２１６はデータユニットを判読できないフォーマットに変換することが好ましい。

データユニットの変更は、当業界で公知の暗号化技術を用いてデータユニットを暗号化し、それによってデータユニットを判読できないフォーマットに変換することを含むことができるが、それに限定されない。

装置３０００はさらに、隔離された処理環境２００に接続された入力抑制器２２２（例えば当該技術分野で公知の通り、データフィルタ）を含む。

入力抑制器２２２は、隔離された処理環境２００へのデータユニットの入力を制限する。好ましくは、入力抑制器２２２はまた、上で詳述した通り、機密扱いの領域４００内へのデータユニットの入力をも制限する。

入力抑制器２２２は、データユニットの入力を阻止すべきか、許容すべき等を決定する。入力抑制器２２２は、以下でさらに詳述する通り、データユニットを入力する前に特定の作業を実行しなければならないことをも決定することができることが好ましい。

例えば、入力抑制器２２２は機密扱いの領域４００の外に位置するデータユニットにアクセスしようとするユーザの試みを監視し、例えば、データ分類器２１２について上で詳述した通り、データユニットの分類グループを決定することによって、データユニットの分類を決定する。次いで、入力抑制器２２２は、隔離された処理環境２００からデータユニットにアクセスすることを許容すべきか否かを決定する。

装置３０００はまた、入力抑制器２２２に接続される入力データ変更器２２６をも含む。

入力抑制器２２２が、（例えば隔離された処理環境２００からデータユニットへのアクセスを容認することによって）データユニットの入力を容認すると、入力データ変更器２２６は、予め定められたポリシーに従ってデータユニットを変更する。

ポリシーは、装置３０００のユーザまたはオペレータによって事前に定義することができる。

入力データ変更器２２６は、データユニットの分類に従って、例えばデータユニットが由来する別の隔離された処理環境のデータ分類器２１２によってデータユニットに割り当てられた分類グループに従って、データユニットを変更することが好ましい。

データユニットを変更することによって、入力データ変更器２２６は、（例えば、上述の通り、隔離された処理環境の出力データ変更器２１６を用いて）判読できないフォーマットに変換された、データユニットの可読フォーマットを復元することが好ましい。

データユニットの変更は、当業界で公知の暗号解読技術を用いてデータユニットを暗号解読し、それによってデータユニットを可読フォーマットに変換することを含むことができるが、それに限定されない。

装置３０００はまた、入力抑制器に接続された認証器２２４をも含むことができる。

認証器２２４は、ユーザがデータユニットにアクセスするのを容認する前に、ユーザのアイデンティティを認証する。認証器２２４は、共有秘密、パスワード、証明書ベース、チャレンジレスポンス、トークン認証、バイオメトリックシステム、または他の物理的装置等を含むが、それに限定されない、当業界で公知のユーザ認証方法のいずれかを利用することができる。

装置３０００はまた、入力抑制器２２２および出力抑制器２１４に接続されたロガー２３０をも含む。

ロガー２３０は、操作に関する情報をログに記録することによって、抑制器２１４、２２２によって許容または阻止される操作を記録する。

任意選択的に、ロガー２３０は認証器２２４にも接続され、さらに認証器２２４によって実行される動作をログする。

ログは、当該技術分野で公知の通り、記録された動作を様々な方法で監査しかつ解析するために使用することができる。方法は、フィルタリング、ログサーバへの集約、メッセージングチャネルを介しての警報の発生、様々な重要度への分類、サーチ、インデクシング、または統計発生を含むことができるが、それらに限定されない。

次に図４を参照しながら説明すると、図４は、本発明の好適な実施形態に係る、データを安全保護するための第１のシステムの例示的実現を示すブロック図である。

本発明の好適な実施形態に係る例示的システムは、機密扱いの領域６００を含む。

機密扱いの領域６００は、装置データソース６１０（例えばデータベースサーバ、格納装置等）のみならず、ネットワークデータソース６２０（例えば、当該技術分野で公知の通り、ローカルネットワーク、イントラネットネットワークへの接続等）をも含む。

機密扱いの領域６００は、機密扱いのデータのみを含む幾つかのネットワークセグメント６２０を含む。この機密扱いの領域６００は、幾つかのファイルサーバ、データベース、内部ウェブサーバ等を含む。

機密扱いの領域６００は、以下でさらに詳述する通り、予め定められた隔離された処理環境からだけアクセス可能である。

任意選択的に、機密扱いの領域の一部は、ファイアウォール、ＶＬＡＮのような公知のネットワーク制御方法によって管理され、当該技術分野で公知の通り、機密扱いのデータが機密扱いの領域から漏洩しないことを確実にする。

メールサーバ、ファイルサーバ、ＵＳＢドライブ等のような例示的システムの実現前に機密扱いの情報を含まないエンティティは、機密扱いの領域６００から除外され、外部領域３００を形成する。

本実施例では、機密扱いの領域６００の一部である全てのエンティティ、および機密扱いの領域６００のエンティティに常駐する全てのデータユニットに、分類グループＡが割り当てられる。

任意選択的に、少数の隔離された処理環境２００、４００は、ホストコンピュータ内で仮想マシンを用いて作成され、追加の隔離された処理環境は、当該技術分野で公知の通り、物理的に分離されたマシンでリモートデスクトップを実行することによって作成される。

隔離された処理環境の作成は、ＶＭＷａｒｅ（商標）、Ｍｉｃｒｏｓｏｆｔ Ｖｉｒｔｕａｌ ＰＣ（商標）のような仮想マシンツール、およびＣｉｔｒｉｘ（商標）またはＭｉｃｒｏｓｏｆｔ Ｔｅｒｍｉｎａｌ Ｓｅｒｖｉｃｅｓ（商標）のようなリモートデスクトップツールを含むが、それらに限らず、現在のツールを用いて実行することができる。

通信チャネル１１０は、隔離された処理環境２００、４００と機密扱いの領域６００のデータソースとの間に確立される。

分類グループＡを割り当てられた隔離された処理環境２００Ａの到来および送出データユニットに関するセキュリティポリシーが定義される。例えば、１つのセキュリティポリシーは、可搬型メモリ装置（例えばディスクオンキー、フロッピー（登録商標）、およびＣＤ）への書込みを禁止する。しかし、管理者の許可を受けた後、文書の印刷および電子メールを介する文書の送信は容認される。

例示的システムはまた、隔離された処理環境２００、４００に接続された管理コンソール５００をも含む。管理コンソール５００はまた、機密扱いの領域６００にも接続することができる。

管理コンソール５００は、分類グループを定義しかつ割り当て、隔離された処理環境２００を管理し、機密扱いの領域６００および機密扱いの領域のコンテンツを定義しかつ管理し、ポリシーを定義する等のために、システムの管理者によって使用することができる。

実施例では、隔離された処理環境Ａ２００は、ＶＭＷａｒｅ（商標）を用いて作成される。

環境２００は次いで、新しいファイルを作成するために、ユーザＡによって使用される。機密扱いの領域６００の外に配置されたローカルディスク３１０にファイルを保存しようとすると、操作は上で詳述した通り、出力チャネルモニタ２１０によって検出される。

出力チャネルモニタ２１０内で、ファイルのデータユニットは最初にデータ分類器２１２に転送され、それはファイルのデータユニットの各々に、隔離された処理環境２００に定義されたデフォルト分類グループを割り当てる。隔離された処理環境Ａ２００に定義されたデフォルト分類グループは分類グループＡである。

データユニットは次いで、出力抑制器２１４に転送される。

出力抑制器２１４は、操作が容認されるか否かを決定する。決定は、データユニットの決定された分類グループ、および管理コンソール５００を用いてシステムの管理者によって予め定められたセキュリティポリシーに従って実行することができる。

本実施例に使用される管理者の予め定められたセキュリティポリシーに従って、データユニットをローカルディスクに書き込む試みは容認される。

操作（すなわちデータユニットをローカルディスクに書き込むこと）の認可後、データユニットは出力データ変更器２１６に割り当てられ、それはデータユニットを変更する。

データユニットを変更することによって、データ変更器２１６は、データユニットに割り当てられた分類グループ、およびシステムの管理者によって定義された安全保護ポリシーに従って選択された、判読できないフォーマットにデータユニットを変換する。

本実施例では、データユニットは、分類グループの一意の鍵として定義された暗号化鍵による暗号化を用いて、判読できないフォーマットに変換される。

実施例では、分類グループＡを割り当てられたデータユニットにアクセスすることを認可された全てのユーザが、分類グループＡを割り当てられた暗号化されたデータユニットを解読するために使用可能な暗号解読鍵へのアクセス権を付与される。

例えば、アイデンティティが認証されたユーザには、以下でさらに詳述する通り、暗号解読鍵が提供される。ユーザのアイデンティティが認証された後、ユーザには管理コンソール５００から暗号解読鍵が送信される。

要求された作業が次いで実行され、データユニット（すなわちファイル）は機密扱いでないローカルディスク３１０に暗号化フォーマットで保存される。

システムはさらに、隔離された処理環境２００の外に配置されかつ隔離された処理環境２００に接続された、環境セレクタ２２８を含む。

隔離された処理環境２００の外に常駐する環境セレクタ２２８は、判読できないファイルにアクセスする試みを検出する。

環境セレクタ２２８はファイルの分類グループを決定し、関連認証および認可プロセスを作動させて、ファイルへのユーザのアクセスを許可する。

データユニットは、ファイル内のデータユニットが由来する隔離された処理環境、すなわち隔離された処理環境Ａ２００でさらに処理するために転送される。

さらに、この実施例では、ユーザは、機密扱いの領域６００の外に位置する共有ファイル場所３２０に（例えば共有フォルダ、ファイルサーバ、または可搬型メモリドライブにさえ）データユニットを保存しようと試みることによって、データユニット（例えばファイル）を隔離された処理環境２００から出力することを選択するかもしれない。

試みは、出力チャネルモニタ２１０によって検出される。

出力データ分類器２１２によって、データユニットには分類グループＡが割り当てられる。

出力抑制器２１４はデータユニットの出力を容認し、出力データ変更器２１６は上で詳述した通り、データユニットを暗号化フォーマットに変更する。

最後にデータユニットは、機密扱いでない共有ファイル場所３２０に暗号化フォーマットで保存される。

スタンドアロンサーバのリモートデスクトップによって作成され、かつ分類グループＡをも割り当てられた、隔離された処理環境Ｂ４００は、ユーザＢによって使用される。

ユーザＢは、（物理的に、またはネットワークにより）共有ファイル場所３２０にアクセスする特権を有する。しかし、ファイル場所３２０は、隔離された処理環境Ｂ４００が関係する機密扱いの領域６００の一部とは定義されない。

ユーザＢが、隔離された処理環境Ｂ４００内から共有ファイル場所３２０のファイルにアクセスしようとすると、操作は上で詳述した通り、隔離された処理環境Ｂ４００に関連付けられる入力抑制器４２６によって検出される。

入力抑制器４２６はデータユニットの分類グループを決定し、隔離された処理環境４００へのデータユニットの入力を容認する。

次いで、ユーザＢのアイデンティティは、上で詳述した通り、認証器４２４によって実行される関連認証手順を用いて認証される。例えば、ユーザＢのアイデンティティは、当該技術分野で公知の通り、バイオメトリックシステム４２４によって認証することができる。

次に、ファイルは、関連する隔離された処理環境、すなわち隔離された処理環境Ｂ４００でさらに処理するために転送される。

次いでデータユニットは、隔離された処理環境４００に接続された入力データ変更器４２２によって変更される。

入力データ変更器４２２は中央管理コンソール５００から鍵を入手し、鍵を使用してデータユニットを暗号解読し、こうしてデータユニットを可読フォーマットに復元する。

データユニットを可読フォーマットに復元することによって、入力データ変更器は、ユーザによるデータユニットの処理、およびユーザのために実行される関連アプリケーションによるデータユニットの処理を可能にする。

換言すると、データユニットが可読フォーマットに復元された後、認可ユーザＢは、隔離された処理環境４００でデータユニットを処理することができる。

こうして、上記の実施例では、データユニットは外部領域３００で、機密扱いでないシステムにより伝送されるが、ユーザが関連する隔離された処理環境４００でデータユニットにアクセスすることを前提として、認可ユーザだけがデータユニットにアクセスすることができる。

次に図５を参照しながら説明すると、図５は、本発明の好適な実施形態に係る、データを安全保護するための第２のシステムの例示的実現を示すブロック図である。

図５を使用することによって提示する例証は、本発明の好適な実施形態に係る例示的システムに基づく。

図５のシステムは２つの機密扱いの領域５００、６００を含む。

分類グループＡは機密扱いの領域５００に由来するデータユニットに割り当てられ、分類グループＢは、機密扱いの領域６００に由来するデータユニットに割り当てられる。

好ましくは、２つの機密扱いの領域６００および７００は、機密扱いの領域の一部であるかまたは機密扱いの領域内からアクセス可能であるデータソースに関して、相互に排他的である。各データソース（例えば装置、データベース、ネットワーク接続等）は、機密扱いの領域の１つに一意に属する。

実施例では、分類グループＡのセキュリティポリシーは、分類グループＡのデータユニットを取外し可能な媒体（例えば可搬型メモリ装置、サムディスク、フロッピー（登録商標）、およびＣＤ）に書き込むこと、および分類グループＡにアクセスできる隔離された処理環境の外のクリップボードにデータをコピーすることを禁止する。

さらに、分類グループＢのセキュリティポリシーもまた、取外し可能な媒体への書込みを禁止するが、データユニットを印刷し、またはメールメッセージに添付するためには、管理者の許可をも必要とする。

各ユーザは、分類グループの一方または両方にアクセスする許可を割り当てられる。

実施例では、ユーザＡ２００およびＢ３００は、分類グループＡおよびＢ両方のデータユニットを読み書きする許可を割り当てられるが、ユーザＣ４００は、分類グループＢのデータユニットを読み書きする許可だけを割り当てられる。

両方の分類グループに適用可能なセキュリティポリシーは、ユーザが特定のデータユニットにアクセスする許可を持たない場合に、データユニットにアクセスする許可が管理者によってユーザに与えられるかもしれないことを定義する。

本実施例では、各々の隔離された処理環境は、１つまたはそれ以上の分類グループにアクセスすることが容認される。

隔離された処理環境の到来および送出データユニットに関するデータユニットは、上で詳述した通り、例えば管理コンソール５００を用いて、システムの管理者によって定義される。

２つの隔離された処理環境２１０、２２０は、仮想マシン（例えばＶＭＷａｒｅ（商標）またはＭｉｃｒｏｓｏｆｔ ｖｉｒｔｕａｌ ＰＣ（商標））を用いて、ユーザＡのホスト２００の上に形成される。

機密扱いの領域Ａのデータユニットには分類グループＡが割り当てられるので、隔離された処理環境２１０は機密扱いの領域Ａ５００に接続され、かつそこへのアクセス特権を有する。

機密扱いの領域Ｂのデータユニットには分類グループＢが割り当てられるので、隔離された処理環境２２０は機密扱いの領域Ｂ７００に接続され、かつそこへのアクセス特権を有する。

ユーザＡは、隔離された処理環境Ａ２１０がアクセスできる機密扱いの領域６００に由来するデータから、隔離された処理環境Ａ２１０内で新しいファイルを作成することを選択することができる。

ひとたびファイルが環境２１０を用いて作成されると、ファイルの全ての処理は、上で詳述した通り、隔離された処理環境２１０で（または分類グループＡの機密扱いの領域にアクセスする許可を有するいずれかの他の環境によって）実行される。

ユーザＡは次いで、機密扱いの領域６００から除外されるメールサーバを介して、ユーザＢ３００およびユーザＣ４００にアドレス指定された電子メールにファイルを添付することを選択する。

ユーザＡ２００が、電子メールメッセージへの添付としてファイルを送信することを試みると、操作は、上で詳述した通り、隔離された処理環境２１０の出力チャネルモニタによって検出される。

データファイルは最初、上で詳述した通り、出力データ分類器に割り当てられる。出力データ分類器は、隔離された処理環境２１０に定義されたデフォルト分類グループ（すなわち分類グループＡ）をファイルに割り当てる。

次いでファイルは、上で詳述した通り、出力抑制器に転送される。

出力抑制器はデータユニットの分類グループを使用して、システムの管理者によって予め定められたセキュリティポリシーに従って、操作を容認すべきか否かを決定する。

予め定められたセキュリティポリシーに従って、電子メールにデータユニットを書き込むことが容認される。したがって、ユーザＡによって使用される隔離された処理環境２１０からのファイルの出力が容認される。

操作が認可されると、ファイルは、上に記載した通り、出力データ変更器に転送される。

出力データ変更器は、ファイルに割り当てられた分類グループに基づいて、予め定められたポリシーに従ってファイルを変更する。

例えば、変更は、ファイルを中央サーバ５１０に、または機密扱いの領域の一部でありかつユーザのファイルへのアクセスを制限することのできる共有ファイル場所に、コピーすることによって実行することができる。電子メールメッセージへのファイルの添付は、中央サーバ５１０のファイルへのリンクまたは参照に置換される。

リンクは、一部のオペレーティングシステムに存在する標準リンク法のような、当業界で公知の方法を用いて、またはシステム内の特殊ファイル型によって実現することができる。

次いで、電子メールメッセージは機密扱いでないメールサーバを介して、例えば暗号化フォーマットで送信される。

次いで、電子メールメッセージはユーザＢ３００およびＣ４００によって受信される。

ユーザＢ３００はまた、ユーザのホスト上の仮想マシンによって作成される、２つの隔離された処理環境３１０および３２０をも使用する。

機密扱いの領域Ａのデータユニットには分類グループＡが割り当てられるので、隔離された処理環境３１０は機密扱いの領域Ａ５００に接続され、かつそれに対するアクセス特権を有する。

機密扱いの領域Ｂのデータユニットには分類グループＢが割り当てられるので、隔離された処理環境３２０は機密扱いの領域Ｂ７００に接続され、かつそれに対するアクセス特権を有する。

ユーザが電子メールメッセージにアクセスを試みると、操作は、上で詳述した通り、隔離された処理環境の外に常駐する環境セレクタ３２８によって検出される。提示する実施例では、電子メールは機密扱いではないとみなされ、電子メールメッセージ本体は、隔離された処理環境の外で処理される。

環境セレクタ３２８は、電子メールメッセージのファイルリンクの分類グループ、すなわち分類グループＡを決定する。

分類グループＡに関係する予め定められたポリシーに従って、環境セレクタ３２８は、ファイルリンクを隔離された処理環境Ａ３１０に転送しなければならないことを決定し、ファイルリンク付きの電子メールメッセージは、隔離された処理環境Ａ３１０に転送される。

次にファイルは、隔離された処理環境Ａ３１０でデータ復元器によって処理される。データ復元器は、中央サーバ５１０に照らしてユーザを認証し、中央サーバ５１０からファイルのコンテンツを入手し、こうして隔離された処理環境Ａ３１０における、ユーザによるファイルの処理、およびユーザによって使用される関連アプリケーションによるファイルの処理を可能にする。

ユーザがクリップボード操作を使用して、隔離された処理環境Ａ３１０内から、または環境Ａ３１０から別の隔離された処理環境（例えば隔離された処理環境Ｂ３２０）にデータをコピーしようと試みると、操作は上で詳述した通り、出力チャネルモニタによって検出される。

出力チャネルモニタ内で、データは最初に出力データ分類器によって受け取られる。出力データ分類器は上で詳述した通り、予め定められたポリシーに従って分類グループＡをデータユニットに割り当てる。

次にデータは、クリップボード操作が容認されるか否かを決定するために分類グループＡに関係する予め定められたセキュリティポリシーを使用する、出力抑制器に割り当てられる。

分類グループＡに関係する予め定められたセキュリティポリシーに従って、分類グループＡのクリップボードデータを隔離された処理環境３１０の外へコピーすることは禁止される。したがって操作は阻止され、試みは上で詳述した通り、ロガーによって監査される。

上述の通り、ユーザＣ４００は分類グループＢのみにアクセスする許可を付与され、したがって仮想マシンによって作成されかつ分類グループＢに関連付けられた１つの隔離された処理環境４２０を自分のホスト上に有する。

ユーザＣ４００が機密扱いの領域Ａ６００に由来するデータユニット（例えば添付ファイル）を搬送する電子メールメッセージにアクセスしようと試みると、操作は隔離された処理環境の外に常駐する環境セレクタ４２８によって検出される。

環境セレクタ４２８は、データユニットの分類グループがＡであることを決定する。ユーザＣは分類グループＡのデータユニットへのアクセス特権を持たないので、添付されたデータユニットへのユーザのアクセスは阻止される。

試みは記録され、管理コンソールを介して管理者の認可の待ち行列に送られる。

管理者の認可後、ユーザＣ４００は添付のデータユニットにアクセスする許可を受け取る。分類グループＡに関連付けられる追加の隔離された処理環境４１０は、ユーザＣがファイルを閲覧することができるように、アドホックで作成される。本実施例では、環境４１０はリモートデスクトップツール（例えばＭｉｃｒｏｓｏｆｔ Ｔｅｒｍｉｎａｌ Ｓｅｒｖｉｃｅｓ（商標））を用いて作成される。

任意選択的に、データユニットは、上で詳述した通り、例えばデータユニットを暗号解読するために、隔離された処理環境４１０の入力データ変更器によって変更される。

しかし、ユーザＣがアドホック環境４１０を介してデータユニットを出力しようと試みると、アドホック環境４１０の出力分類器は、分類グループＡを出力データユニットに割り当てる。したがって、ユーザＣ４００は分類グループＡのデータユニットを出力する許可を持たないので、アドホック環境４１０の出力抑制器は操作を阻止する。

次に図６を参照しながら説明すると、図６は、本発明の好適な実施形態に係る、データを安全保護するための第３のシステムの例示的実現を示すブロック図である。

図６のシステムは、図４を用いて上で例証した通り、機密扱いの領域６００および幾つかの隔離された処理環境を含む。

図６の例示的実現は、図５の例示的実現のセキュリティポリシーおよび追加のセキュリティポリシーを使用する。

この例示的実現の追加のセキュリティポリシーによると、全てのユーザは機密扱いでないデータユニットを分類グループに割り当てる許可を有し、変更が管理者によって認可されることを前提として、特定のユーザもデータユニットの割当て分類グループを変更する許可を有する。

例えばユーザＡは、データユニットの分類グループを分類グループＡから非分類（非機密扱い）に変更する許可を有する。

図６を用いて例証される例示的実現のシステムは、ユーザのエンドポイントコンピュータに常駐するロガー５１０をさらに含む。

ロガー５１０は、隔離された処理環境２００からのデータユニットの全ての読み書き操作、データユニットへの分類グループの割当て、およびユーザのアイデンティティを認証するプロセスを、予め定められたログに記録する。ログは、例えば監査を目的として、中央管理コンソール５００を介して管理者に表示することができる。

提示する実施例では、ユーザＡはラップトップをホストとして使用する移動体ユーザである。

提示する実施例では、隔離された処理環境２００は、当該技術分野で公知のサンドボックス技術を用いて、ユーザＡのホスト上に形成される。

サンドボックス技術は、１組のプロセスとオペレーティングシステムとの間のバッファリングを行ない、かつプロセスが実行しようとする全ての操作を制御するための任意の方法を含むことができ、こうして隔離された処理環境の形成を可能にする。

提示する実施例では、ユーザＡは分類グループＡのデータユニットを読み書きする許可を有する。

実施例では、ユーザＡは組織外のパートナーから電子メールを介してファイルを受信し、ファイルは機密扱いでないことが決定される。

ユーザＡは、分類グループＡに割り当てられかつ隔離された処理環境Ａ２００を介してのみアクセス可能であるデータソースにアクセスしながら、ファイルを処理することを希望するかもしれない。ユーザＡは手動でファイルを分類グループＡに割り当てる。作業は、ユーザＡのラップトップに常駐するロガー５１０によって監査される。

ユーザＡが後でファイルを異なる分類グループに割り当てようとするか、またはファイルを組織外部に返送しようとすると、ユーザＡは隔離された処理環境２００の出力抑制器によってデフォルトで阻止され、ユーザＡは管理者の認可を必要とする。ユーザＡの要求は管理者の待ち行列に送られ、ロガー５１０によって記録される。

ファイルをローカルディスク３１０に保存しようと試みると、操作は、隔離された処理環境２００に接続された出力チャネルモニタ２１０によって検出される。

次いでデータユニットには、上で詳述した通り、例えば出力データ分類器２１２によって、隔離された処理環境２００に関連付けられるデフォルト分類グループ（分類グループＡ）が割り当てられる。

次に、出力抑制器２１４は上記ポリシーに従って操作を容認する。

次いでデータユニットは、データユニットに一意である暗号化鍵を用いて暗号化によってデータユニットを変更する、データ変更器２１６によって変更される。次いで暗号解読鍵は、後でオフラインで使用するために、ユーザＡの移動体ホストにキャッシュされ保存される。暗号解読鍵はユーザＡのパスワードにより保護される。

リモートユーザＡのラップトップがオフラインであるときに、ユーザＡは、データユニットの読み書きを続行する。ロガー５１０は全ての操作を記録し続ける。

ユーザＡがネットワークに再接続すると、ロガー５１０は中央管理コンソール５００の中央監査マネージャ５０５と自動的に同期し、こうして管理者がユーザＡのオフライン操作を精査することを可能にする。

ユーザＡがローカルディスク３１０に保存されたファイルにアクセスすることを希望するときに、操作は環境セレクタ２２８によって検出される。次いでデータユニットの分類グループが決定され、その結果、上で詳述した通り、例えば認証器を用いて、（例えばユーザＡに自分のパスワードを入力するように要求することによって）ファイルへのアクセスを許可するために、関連認証および認可プロセスが作動する。

ユーザＡのアイデンティティの確認後、データユニットは、分類グループＡに関連付けられる隔離された処理環境２００でのさらなる処理に割り当てられる。入力データ変更器２２２はキャッシュされた暗号解読鍵を用いて、データユニットを暗号解読し、ユーザＡは隔離された処理環境Ａ２００を介して、データユニットにアクセスすることを容認される。

次に図７ａを参照しながら説明すると、図７ａは、本発明の好適な実施形態に係る、データを安全保護するための第１の方法を示す簡易フローチャートである。

隔離された処理環境２００（上で詳述）に実現される本発明の好適な実施形態に係る方法では、隔離された処理環境２００に接続された予め定められた機密扱いの領域４００から、データユニットを受け取る（７１）。

機密扱いの領域は、データユニットを保持する１つまたはそれ以上のデータソースを含む、予め定められた領域である。機密扱いの領域４００は、当業界で公知の方法のいずれかを用いて実現することができる。機密扱いの領域４００は、上で詳述した通り、データベース、サーバ、ネットワーク接続等を含むことができる。

次いで、隔離された処理環境２００から受け取ったデータユニットを出力する試みは、上で詳述した通り、予め定められたポリシーに従って、例えば出力抑制器２１４を用いて制限される（７２）。

次に図７ｂを参照しながら説明すると、図７ｂは、本発明の好適な実施形態に係る、データを安全保護するための第２の方法を示す簡易フローチャートである。

隔離された処理環境２００（上で詳述）に実現される本発明の好適な実施形態に係る方法では、隔離された処理環境２００へのデータユニットの入力は、上で詳述した通り、予め定められたポリシーに従って、例えば入力抑制器２２２を用いて制限される（７５）。

換言すると、データユニットの入力の阻止、容認等が行なわれるかもしれない。例えば、入力抑制器２２２は以下でさらに詳述する通り、隔離された処理環境２０００からのデータユニットへのアクセスを容認するかもしれない。

任意選択的に、上で詳述した通り、データユニットを入力する前に、特定の作業を実行しなければならないか否かも決定することができる。

ひとたびデータユニットが隔離された処理環境からのアクセスを容認されると、データユニットは、機密扱いの領域４００に転送することができる（７６）。例えば、ユーザが隔離された処理環境２００の認可ユーザであることを前提として、ユーザはデータユニットを機密扱いの領域４００のデータベースに格納することを選択することができる。

この特許の存続期間中に、多くの関連する装置およびシステムが開発されることが予想され、本明細書内の用語、特に用語「エンドポイントコンピュータ」、「ネットワーク」、「データユニット」、「ファイル」、「電子メール」、「仮想マシン」、「暗号化」、および「暗号解読」の範囲は、全てのそのような新しい技術を先験的に含むつもりである。

明確にするため別個の実施形態の文脈で説明されている本発明の特定の特徴は単一の実施形態に組み合わせて提供することもできることは分かるであろう。逆に、簡潔にするため単一の実施形態の文脈で説明されている本発明の各種の特徴は別個にまたは適切なサブコンビネーションで提供することもできる。

本発明はその特定の実施形態によって説明してきたが、多くの別法、変更および変形があることは当業者には明らかであることは明白である。従って、本発明は、本願の請求項の精神と広い範囲の中に入るこのような別法、変更および変形すべてを包含するものである。

本願で挙げた刊行物、特許および特許願はすべて、個々の刊行物、特許および特許願が各々あたかも具体的にかつ個々に引用提示されているのと同程度に、全体を本明細書に援用するものである。さらに、本願で引用または確認したことは本発明の先行技術として利用できるという自白とみなすべきではない。

本発明の好適な実施形態に係る、データを安全保護するための第１の装置を示す簡易ブロック図である。 本発明の好適な実施形態に係る、データを安全保護するための第２の装置を示す簡易ブロック図である。 本発明の好適な実施形態に係る、データを安全保護するための第３の装置を示す簡易ブロック図である。 本発明の好適な実施形態に係る、データを安全保護するための第４の装置を示す簡易ブロック図である。 本発明の好適な実施形態に係る、データを安全保護するためのキットを示す簡易ブロック図である。 本発明の好適な実施形態に係る、データを安全保護するための第４の装置を示す簡易ブロック図である。 本発明の好適な実施形態に係る、データを安全保護するための第５の装置を示す簡易ブロック図である。 本発明の好適な実施形態に係る、データを安全保護するための第１のシステムの例示的実現を示すブロック図である。 本発明の好適な実施形態に係る、データを安全保護するための第２のシステムの例示的実現を示すブロック図である。 本発明の好適な実施形態に係る、データを安全保護するための第３のシステムの例示的実現を示すブロック図である。 本発明の好適な実施形態に係る、データを安全保護するための第１の方法（図７ａ）および第２の方法（図７ｂ）を示す簡易フローチャートである。

Claims (39)

1. データを安全保護するための装置であって、
   既存のユーザ環境内に安全保護環境を定義するように構成された安全保護環境デファイナを含み、前記デファイナが、データが通過することのできない前記環境の周囲の境界と、前記安全保護環境から外に出るチャネルとを定義するように構成され、安全保護環境デファイナがさらに、前記安全保護環境から外に出る前記チャネルに関連するフィルタを定義するように構成され、前記フィルタが前記安全保護環境から外に出るデータの通過を制御するように定義可能である、装置。
2. さらに、予め定められた機密扱いのデータ領域と共に使用するためのものであり、かつ前記予め定められた機密扱いの領域からのデータが前記安全保護環境にのみ進むことができるのを確実にするように構成される、請求項１に記載される安全保護環境デファイナ。
3. 機密扱いの領域は、エンドポイントコンピュータの外部にある、請求項１に記載の装置。
4. 前記フィルタに関連付けられ、かつ予め定められたポリシーに従って出力データユニットを分類するように構成されたデータ分類器をさらに含み、前記フィルタは、分類に従ってデータユニットの出力を制限するようにさらに構成される、請求項１に記載の装置。
5. 前記フィルタに関連付けられ、かつ予め定められたポリシーに従って出力データユニットを変更するように構成された出力データ変更器をさらに含む、請求項１に記載の装置。
6. 前記出力データ変更器は、変更のために出力データユニットの分類を使用するようにさらに構成される、請求項５に記載の装置。
7. 前記変更は、出力データユニットを暗号化することを含む、請求項５に記載の装置。
8. 前記フィルタは、入力フィルタおよび出力フィルタを含み、前記入力フィルタは、隔離された処理環境へのデータユニットの入力を制限するように構成され、前記隔離された処理環境は、入力データユニットを機密扱いの領域に転送するようにさらに動作可能である、請求項１に記載の装置。
9. 前記入力フィルタに関連付けられ、かつ予め定められたポリシーに従って入力データユニットを変更するように構成された入力データ変更器をさらに含む、請求項８に記載の装置。
10. 前記変更は、入力データユニットを解読することを含む、請求項９に記載の装置。
11. 複数の隔離された処理環境を含み、前記隔離された処理環境の少なくとも１つに関連付けられ、かつデータユニットで操作を実行しようとする試みを検出して、予め定められたポリシーに従って操作の実行を前記隔離された処理環境の選択された１つに制限するように構成された環境セレクタをさらに含む、請求項１に記載の装置。
12. 前記フィルタに関連付けられ、かつ出力データユニットにアクセスしようと試みるユーザのアイデンティティを認証して、認証されたアイデンティティに従って出力データユニットへのアクセスを制限するように構成された認証器をさらに含む、請求項１に記載の装置。
13. 前記フィルタに関連付けられ、かつ前記隔離された処理環境にアクセスしようと試みるユーザのアイデンティティを認証して、認証されたアイデンティティに従って前記隔離された処理環境へのユーザのアクセスを制限するように構成された認証器をさらに含む、請求項１に記載の装置。
14. 前記隔離された処理環境に関連付けられ、かつ前記隔離された処理環境における活動をログするように構成されたロガーをさらに含む、請求項１に記載の装置。
15. 前記フィルタは、予め定められたポリシーに従って、出力データユニットの分類を変更するようにさらに構成される、請求項１に記載の装置。
16. 前記隔離された処理環境は、前記隔離された処理環境に格納されるデータユニットを自動的に暗号化するように構成された、自動的に暗号化されるローカルファイルシステムを含む、請求項１に記載の装置。
17. 前記隔離された処理環境に関連付けられ、かつ予め定められたポリシーに従って、特徴的な視覚的マークで、エンドポイントコンピュータのユーザにデータユニットを提示するためにＧＵＩを管理するように構成されたグラフィカルユーザインタフェース（ＧＵＩ）マネージャをさらに含む、請求項１に記載の装置。
18. 前記隔離された処理環境は、予め定められた分類を有する少なくとも１つの機密扱いの領域からデータユニットを受け取るように構成される、請求項１に記載の装置。
19. 前記隔離された処理環境は、機密扱いの領域の分類グループに属する予め定められたポリシーに従って、少なくとも１つの機密扱いの領域へのアクセスが可能である、請求項１に記載の装置。
20. データを安全保護するための装置であって、
    データソースの予め定められた機密扱いの領域に関連付けられ、データが通過することのできない境界およびデータが前記境界を通過するためのチャネルを有し、機密扱いの領域からデータユニットを受け取るように動作可能であり、エンドポイントコンピュータにインストールされた隔離された処理環境と、
    前記隔離された処理環境に関連付けられ、かつ予め定められたポリシーに従ってデータユニットを分類するように構成されたデータ分類器と、
    前記チャネルに関連付けられ、かつ前記分類に従って前記チャネルを超えるデータユニットの出力を制限するように構成された出力抑制器と、
    前記出力抑制器に関連付けられ、かつ前記分類に従って出力データユニットを変更するように構成された出力データ変更器と
    を含む、装置。
21. 機密扱いの領域は、エンドポイントコンピュータの外部にある、請求項２０に記載の装置。
22. データを安全保護するための装置であって、
    データソースの予め定められた機密扱いの領域に関連付けられ、エンドポイントコンピュータにインストールされた、隔離された処理環境と、
    前記隔離された処理環境に関連付けられ、かつ前記隔離された処理環境へのデータユニットの入力を制限するように構成された入力抑制器と
    を含み、前記隔離された処理環境が、入力データユニットを機密扱いの領域に転送するようにさらに動作可能である、装置。
23. 機密扱いの領域は、エンドポイントコンピュータの外部にある、請求項２２に記載の装置。
24. 前記入力抑制器に関連付けられ、かつ予め定められたポリシーに従って入力データユニットを変更するように構成された入力データ変更器をさらに含む、請求項２２に記載の装置。
25. データを安全保護するための装置であって、
    データソースの予め定められた機密扱いの領域に関連付けられ、エンドポイントコンピュータにインストールされ、データが通過することのできない境界およびデータが前記境界を通過することを可能にするためのチャネルを含む隔離された処理環境と、
    前記チャネルに関連付けられ、かつ前記隔離された処理環境へのデータユニットの入力を制限するように構成された入力抑制器と、
    前記入力抑制器に関連付けられ、かつ予め定められたポリシーに従って前記入力データユニットを変更するように構成された入力データ変更器と
    を含み、前記隔離された処理環境が、入力データユニットを機密扱いの領域に転送するようにさらに動作可能である、装置。
26. 機密扱いの領域は、エンドポイントコンピュータの外部にある、請求項２５に記載の装置。
27. 前記隔離された処理環境に関連付けられ、かつ予め定められたポリシーに従ってデータユニットを分類するように構成されたデータ分類器と、
    前記チャネルに関連付けられ、かつ前記分類に従ってデータユニットの出力を制限するように構成された出力抑制器と、
    前記出力抑制器に関連付けられ、かつ前記分類に従って出力データユニットを変更するように構成された出力データ変更器と
    をさらに含む、請求項２５に記載の装置。
28. 機密扱いの領域は、エンドポイントコンピュータの外部にある、請求項２７に記載の装置。
29. データを安全保護するためのシステムであって、
    データが通過することのできない境界およびデータが前記境界を越えることのできるチャネルを各々含み、データソースのそれぞれの予め定められた機密扱いの領域に動作可能に関連付けられ、それによって機密扱いの領域からデータユニットを各々受け取るようにした、エンドポイントコンピュータにインストールされた少なくとも２つの隔離された処理環境と、
    前記隔離された処理環境の１つのそれぞれのチャネルに各々関連付けられ、かつ受け取ったデータユニットの隔離された処理環境からの出力を制御するように構成された少なくとも２つの出力抑制器と
    を含む、システム。
30. コンピュータ可読媒体に具現されるデータを安全保護するためのキットであって、
    データが通過することのできない境界およびデータが前記境界を越えることのできるチャネルを含み、かつエンドポイントコンピュータ上のデータソースの予め定められた機密扱いの領域と関連付けることができる隔離された処理環境を定義するように動作可能である隔離された処理環境デファイナと、
    エンドポイントコンピュータに設置可能であり、かつ前記チャネルを介するデータユニットの出力を制限するように構成された出力抑制器と
    を含む、キット。
31. 機密扱いの領域は、エンドポイントコンピュータの外部にある、請求項３０に記載のキット。
32. データを安全保護するための方法であって、
    ａ）データが通過することのできない境界およびデータが前記境界を通過することのできるチャネルを定義することによって、隔離された処理環境をエンドポイントコンピュータに形成する工程と、
    ｂ）前記隔離された処理環境内で、隔離された処理環境に関連付けられた予め定められた機密扱いの領域に由来するデータユニットを受け取る工程と、
    ｃ）受け取ったデータユニットの前記隔離された処理環境からの出力を制限するために前記チャネルを監視する工程と
    を含む、方法。
33. 機密扱いの領域は、エンドポイントコンピュータの外部にある、請求項３２に記載の方法。
34. 予め定められたポリシーに従って出力データユニットを分類することをさらに含み、前記データユニットの出力の制限は、データユニットの分類に基づいて行われる、請求項３２に記載の方法。
35. 予め定められたポリシーに従って出力データユニットを変更することをさらに含む、請求項３２に記載の方法。
36. 予め定められたポリシーに従って、前記隔離された処理環境へのデータユニットの入力を制限することをさらに含む、請求項３２に記載の方法。
37. 予め定められたポリシーに従って、前記隔離された処理環境へのデータユニットの入力を変更することをさらに含む、請求項３２に記載の方法。
38. データを安全保護するための方法であって、
    ａ）データが通過することのできない境界およびデータが前記境界を通過することのできるチャネルを定義することによって、隔離された処理環境をエンドポイントコンピュータに形成する工程と、
    ｂ）前記隔離された処理環境へのデータユニットの入力を制限するために前記チャネルを監視する工程と、
    ｃ）制限された入力データユニットを前記隔離された処理環境から隔離された処理環境に関連付けられた機密扱いの領域に転送し、それによって前記機密扱いの領域に入力されたデータを保護する工程と
    を含む、方法。
39. 予め定められたポリシーに従って、入力データユニットを変更することをさらに含む、請求項３８に記載の方法。

Images