JP2013521587A - ゾーンを使用した情報保護 - Google Patents

Abstract

いくつかの実施形態は、情報空間内のデバイス、ユーザ、およびドメインをゾーンにグループ分けできる、情報保護スキームを対象としている。情報がゾーン境界を越えて転送される場合、情報保護ルールを適用して、その転送を許可すべきか、または遮断すべきかどうか、および／またはその他のポリシーアクション（例えば、暗号化を要求する、目的とする転送の確認をユーザに促す、または別のアクションをとる）をとるべきかどうかを判定することができる。

Description

本発明は、ゾーンを使用した情報保護に関する。

組織の中では、情報を作成して共有することが多い。例えば、作業者は、電子メールを作成し、それを組織内の他の作業者と外部の人間との両方に送信する。さらに、作業者は、文書を作成し、それらの文書を、内部のファイルサーバにアップロードしたり、ポータブル記憶媒体（例えば、リムーバブルフラッシュメモリデバイス）に転送したり、組織外部の他のユーザに送信したりする。

組織内の作業者によって作成されたいくつかの情報は、秘密または機微な場合もある。従って、そうした情報を所持する作業者が、アクセスする権限がある人のみと秘密情報を共有し、および／または秘密情報にアクセスする権限がない人に誤って情報を転送する危険性を減らすことができるようにすることが望ましい。

発明者は、情報が共有されると、その情報にアクセスする権限がないまたはアクセスするつもりがない人に情報が送信されることもあり、あるいはその情報にアクセスする権限がない人によって故意に傍受される恐れがあることを認識している。

従って、いくつかの実施形態は、情報空間内のデバイス、ユーザ、およびドメインをゾーンにグループ分けできる、情報保護スキームを対象としている。情報がゾーン境界を越えて転送される場合、情報保護ルールを適用して、その転送を許可すべきか、または遮断すべきかどうか、および／またはその他のポリシーアクション（例えば、暗号化を要求する、目的とする転送の確認をユーザに促す、または別のアクションをとる）をとるべきかどうかを判定することができる。

一実施形態は、少なくとも１つのプロセッサと少なくとも１つの有形メモリとを備えるコンピュータによって行われる情報保護の方法を対象とし、そのコンピュータは、ユーザ、デバイス、および／またはドメインの複数のゾーンを備える情報空間内で動作し、複数のゾーンのそれぞれは、ユーザ、デバイス、および／またはドメインの論理グループ分けであり、その方法は、情報の転送の開始に応答して、その情報の転送によって、情報が複数のゾーンのうちの２間のゾーン境界を越えるかどうかを判定することと、その転送によって情報がゾーン境界を越えないと判定される場合、転送を許可することと、その転送によって情報がゾーン境界を越えると判定される場合、情報保護ルールにアクセスすることと、情報保護ルールをその転送に適用して、ポリシーアクションを行うべきかどうかを判定することと、ポリシーアクションが行われると判定される場合、そのポリシーアクションを行うこと、を備える。

別の実施形態は、少なくとも１つのプロセッサと少なくとも１つの有形メモリとを備えるコンピュータ上で実行されると、ユーザ、デバイス、および／またはドメインの複数のゾーンを備える情報空間内で方法を行う、命令が符号化された、少なくとも１つのコンピュータ可読媒体を対象とし、複数のゾーンのそれぞれは、ユーザ、デバイス、および／またはドメインの論理グループ分けであり、そのコンピュータは、複数のゾーンのうちの１つにグループ分けされ、その方法は、コンピュータにおいて文書を作成することと、文書の第１の分類を判定することと、判定された第１の分類を特定する情報を文書に組み込むことと、文書の第２の分類を特定するユーザ入力を受信することと、ユーザ入力に応答して、文書から第１の分類を特定する情報を取り除き、かつ第２の分類を特定する情報を文書に組み込むことによって、第２の分類を用いて第１の分類をオーバーライドすること、を備える。

さらに実施形態は、少なくとも１つの有形メモリとプロセッサ実行可能命令を実行する少なくとも１つのハードウェアプロセッサとを備えるコンピュータシステムにおけるコンピュータを対象とし、プロセッサ実行可能命令は、ユーザ、デバイス、および／またはドメインを論理ゾーンにグループ分けする第１の情報のユーザ入力に応答して、その第１の情報を少なくとも１つの有形メモリに記憶する命令であり、情報に論理ゾーン間の境界を越えさせるであろう情報の転送の開始に応答して適用すべき、情報保護ルールを指定する第２の情報のユーザ入力に応答して、その第２の情報を少なくとも１つの有名メモリに記憶する命令である。

添付図面は、尺度通りに描かれることを目的としない。図面では、いくつもの形で示されている同一またはほとんど同一のコンポーネントはどれも、同じ数字で表される。明瞭さを目的に、すべてのコンポーネントが、どの図面でも表示されているわけではない。

いくつかの実施形態に係る、複数のゾーンに論理的に分割された情報空間のブロック図である。 発明の実施形態の情報保護技術を実装できる、コンピュータシステムのブロック図である。 いくつかの実施形態に係る、ゾーンに論理的に分割された情報空間に情報保護を提供する処理のフローチャートである。 いくつかの実施形態の態様を実装できる、コンピュータシステムのブロック図である。

発明者は、組織の作業者が、秘密または機微な電子情報を作成および／またはアクセスする場合、作業者が、無意識または故意にそれらの情報のセキュリティを危うくする状況が生じる場合があることを認識している。例えば、作業者は、電子情報にアクセスする権限がない人にその情報を気付かずに送信することもあるし、または電子情報を安全でない場所（例えば、その情報にアクセスする権限がない人がアクセス可能なファイルサーバ）に記憶することもある。別の例として、作業者が、秘密の電子情報を、（その情報を暗号化するよりはむしろ）単純なテキストで共有することによって、アクセスする権限がない人によって傍受される危険性が増すこともあるし、または情報のセキュリティを危うくする他のアクションをとることもある。

従って、いくつかの実施形態は、ユーザおよびデバイスが「ゾーン」と呼ばれる論理グループに分割される、コンピュータシステムを対象としている。電子情報が、１つのゾーン内のユーザまたはデバイスから別のゾーン内のユーザまたはデバイスに転送される場合、その情報は、ゾーン境界を越えたと見なされる。情報にゾーン境界を越えさせるであろう、情報の転送が開始されると、情報制御ルールを適用して、転送が許可されるかどうか、または転送を可能にする前にあるアクション（例えば、作業者に転送を開始するように促すこと、転送の監査ロギング、転送を許可する前に情報の暗号化を要求すること、またはその他のアクション）をとるべきかどうかを判定できる。

いくつかの実施形態において、情報制御ルールは、転送される情報のタイプを考慮に入れることができる。例えば、秘密でない情報を第１のゾーンから第２のゾーンに転送しようとする場合と比べて、秘密情報を第１のゾーンから第２のゾーンに転送しようとする場合に、異なる情報制御ルールを適用できる。従って、いくつかの実施形態において、電子情報が作成されると、その情報を、情報の秘密度および／または情報の他のプロパティを示す分類でタグ付け（例えば、自動的に、半自動的に、または手動で）できる。分類ルールは、情報がゾーン境界を越えて転送されようとする場合、電子情報の分類およびどのゾーンからどのゾーンへ情報が転送されるかを考慮に入れることができる。

この技術は、いくつかの利益を与えることができる。１番目に、１つの統一セキュリティポリシーを定義して、複数の異なるチャネルに適用されるようにする。つまり、電子メールを転送し、ワールドワイドウェブを介してコンテンツを転送し、組織内部のファイルサーバ、および／またはその他のタイプの電子情報または情報チャネルにファイル転送するのに、同じセットの分類ルールを適用できる。２番目に、秘密または機微情報が保証され得る限定ルールのセットが、そのような限定ルールのセットが保証していない情報に適用されなくてもいいように、情報制御ルールが適用される情報のタイプに基づいて情報制御ルールがカスタマイズされるようにできる。

先行技術のいくつかの問題および上述した技術によって与えられるいくつかの利益が上記に明らかにされている。しかしながら、発明は、そのような問題の一部またはすべてを対処するか、あるいはそのような利益の一部またはすべてを与えることに限定されない。つまり、いくつかの実施形態は、そのような問題の一部またはすべてを対処し、かつそのような利益の一部またはすべてを与えることもあれば、いくつかの実施形態は、そのような問題にまったく対処しないか、またはそのような利益をまったく与えないこともある。

図１は、ゾーンに分類できる情報空間の例を示している。図１に示すように、組織１００は、いくつかのデバイスを備えるコンピュータシステムを有する。これらのデバイスの一部は、組織の技術部によって使用されてもよいし、一部は、広報部によって使用されてもよい。技術部からの文書または他のコンテンツは、かなりの量の秘密および／または機微情報を含む可能性が高いが、広報部で作成される文書または他のコンテンツは、そのような情報を含むことが少ないので、技術部によって使用されるデバイスを１つのゾーンにグループ分けして、広報部によって使用されるデバイスを別のゾーンにグループ分けしてもよい。従って、図１に示すように、組織のすべてのデバイスは、ローカルエリアネットワーク（ＬＡＮ）１２５経由で物理的に接続されているが、技術ファイルサーバ１０３、技術電子メールサーバ１０５、およびワークステーション１０７ａ、１０７ｂ、１０７ｃを、技術部ゾーン１０１内で論理的にグループ分けできる一方、ＰＲファイルサーバ１０９、ＰＲ電子メールサーバ１１１、およびワークステーション１１３ａ、１１３ｂ、１１３ｃを、ＰＲ部ゾーン１１５内で論理的にグループ分けできる。

さらに、図１の例において、組織１００の外部にある組織１２１を、ゾーンに論理的にグループ分けできる。例えば、組織１２１が、組織１００に信頼されたパートナーである場合、組織１２１から（例えば、インターネット１１７経由で）送受信される情報が、組織１００の外部の他のエンティティの情報とは異なって扱われるように、異なる情報制御ルールを組織１２１に適用することが望ましい。従って、組織１２１を信頼できるパートナーゾーン１１９に論理的にグループ分けし、組織１００の外部にある他のエンティティから（例えば、インターネット１１７経由で）送受信される情報を、一般のインターネットゾーン１２３から送受信される情報として扱うことができる。上述したように、情報が１つのゾーンから別のゾーンに送信されると、情報保護ルールが適用されて、保証される場合に、その情報保護ルールに基づいてアクションをとることができる。

図１の例において、組織１００内のデバイスは、２つのゾーンに論理的にグループ分けされる。これは、組織が適した任意の数のゾーンを備えてよいことから、一例にすぎないことを認識されたい。例えば、組織内のすべてのデバイスおよびユーザを、単一ゾーンにグループ分けしてもよいし、そのようなデバイスおよびユーザを、３以上の異なるゾーンにグループ分けしてもよい。さらに、図１の例において、デバイスのみを、ゾーンに論理的にグループ分けされるものとして示している。しかしながら、ユーザ（例えば、組織１００の従業員、他の作業者、またはその他の人）またはドメインも、ゾーンに論理的にグループ分けできる。例えば、技術部で働く組織１００の従業員を、技術部ゾーン１０１にグループ分けできるし、ＰＲ部で働く従業員を、ＰＲ部ゾーン１１５にグループ分けできる。

このため、発明者は、１つのゾーンにグループ分けされたユーザが、異なるゾーンにグループ分けされたデバイスを使用する状況が生じる場合があることを認識している。従って、ユーザが、そのデバイスにおいて情報を送受信すると、その情報を、ユーザのゾーンと、デバイスのゾーンのどちらかで送受信されたものとして扱うことができる。従って、例えば、技術部ゾーンにグループ分けされた技術部の従業員が、ＰＲ部ゾーンにグループ分けされたワークステーション１１３ａからログインして仕事をする場合、その従業員は、文書を技術ファイルサーバ１０３にアップロードすることもできる。この文書を、技術部ゾーンと、ＰＲ部ゾーンのどちらかで送信されるものとして扱うことができる。

いくつかの実施形態において、ユーザのゾーンは、そのユーザが使用するデバイスのゾーンに優先できる。従って、上の例において、技術部の従業員が、ワークステーション１１３ａから技術ファイルサーバ１０３に文書をアップロードする場合、その文書を、技術部ゾーンから技術部ゾーンに送信される（即ち、ゾーン境界を越えない）ものとして扱うことができる。しかしながら、発明は、いくつかの実施形態において、デバイスのゾーンが、そのデバイスを使用するユーザのゾーンに優先できるし、いくつかの実施形態において、優先するのがユーザのゾーンであるかデバイスのゾーンであるかを、組織の管理者が設定できるが、その事に限定されない。

上述のように、情報保護ルールは、どのゾーンに情報が転送されるか、どのゾーンから情報が転送されるか、および転送される情報の分類に基づいて、情報がゾーン境界を越えて転送される場合にどのようなアクションが行われるべきかを定義できる。情報は、任意のさまざまなやり方で分類されてもよいし、情報の分類は、情報作成および情報共有の処理において任意のさまざまな視点で行われてもよい。例えば、分類は、自動的に、半自動的に、または手動で行われてもよいし、情報が作成される時、情報が記憶される時、情報が転送される時、および／またはその他の適した時間に行われてもよい。

例えば、いくつかの実施形態において、アプリケーションプログラムを使用して文書（例えば、電子メールまたは他の文書）を作成する時、アプリケーションプログラムは、文書を自動的に分類できる。アプリケーションプログラムは、適した任意の基準に基づいて文書を分類できる。例えば、アプリケーションプログラムは、ユーザおよび／またはデバイスがグループ分けされたゾーンに基づくか、あるいは文書のキーワードまたはパターンに基づいて、文書を自動的に分類できる。従って、例えば、特定のキーワードまたはテキストのパターンを含む文書に、特定の分類を割り当てることができる。いくつかの実施形態において、ハッシュ関数（例えば、ＳＨＡ１またはその他の適したハッシュ関数）を使用して、そのハッシュ値と記憶されたハッシュ値のセットを比較し、その比較に基づく分類を文書に割り当てる、文書のハッシングによって、文書を分類できる。いくつかの実施形態において、類似性を検出する文書（または文書の一部）のファジーハッシングを表す、シングリング(shingling)技術を用いるファジーマッチングを使用して、文書を分類できる。いくつかの実施形態において、文書は、その文書が作成されたテンプレートに基づいて分類されるか、あるいは文書を作成または編集するのに使用されたアプリケーションプログラムと関連したデフォルト分類か、または他のデフォルト分類を割り当てられることができる。アプリケーションプログラムは、文書が最初に作成された後に、文書が保存される度に、文書が完了した時に、および／またはその他の適した時間に、文書を分類できる。

いくつかの実施形態において、分類を行う文書を作成するのに使用されるアプリケーションプログラムの代替または追加として、情報保護エージェント、またはその文書を作成するのに使用されるコンピュータ上で実行する他のソフトウェアプログラムによって、分類を行うことができる。そのようなソフトウェアプログラムは、上述した基準のいずれか（またはその基準の任意の組み合わせ）に基づいて文書の分類を行うことができるし、文書が最初に作成された後の適した任意の時間に、文書の分類を行うことができる。例えば、そのようなエージェントまたは他のソフトウェアプログラムは、コンピュータ上で記憶された文書を、バックグラウンド処理として分類できるし、コンピュータの外部の文書の転送を開始した後で、またはその他の適した時点で文書を分類できる。

上の例において、文書は、その文書が作成されたコンピュータ上で分類される。しかしながら、発明は、いくつかの実施形態において、文書を受信するエンティティによって文書を分類できるが、その事に限定されない。例えば、文書が転送される場合、その文書を受信するデバイスは、情報制御ルールを適用して、例えば、転送を許可して完了すべきか、または転送を許可せずに中断(drop)すべきかどうかを判定する前に、文書の分類を行うことができる。例えば、ワークステーション上で実行する電子メールクライアントは、目的とする受信者に送信するために、電子メールを組織の電子メールサーバに送信できる。いくつかの実施形態において、電子メールサーバは、電子メールの分類を行うことができる。さらに、外部のエンティティは、文書を分類するのに組織内と同じ情報保護モデルを使用できないので、組織の外部のエンティティから受信された電子メールまたは他の文書は、それらが組織内のデバイスによって受信されるまで分類されない。従って、分類は、文書が組織内で受信された後に、それらの文書上で行われる。例えば、電子メールサーバは、外部の送信者から受信された電子メールの分類を行うことができるし、または内部のファイルサーバは、外部の送信者からアップロードされた文書の分類を行うことができる。

ひとたび文書に対して適切な分類が判定されると、その分類は、任意のさまざまなやり方で記憶されてもよい。いくつかの実施形態において、分類を、文書自体に組み込む（例えば、タグまたはラベルとして）ことができる。例えば、電子メールの分類を、電子メールヘッダに組み込むことができるし、他のタイプの文書の分類を、その文書に含まれるメタデータに組み込むことができる。

上述の例において、文書の分類は、自動的に行われる。しかしながら、発明は、いくつかの実施形態において、分類を文書に自動的に割り当てることができるが、ユーザが、自動分類をオーバーライドして、異なる分類を文書に割り当てる能力を有するように、文書の分類を半自動的に行うことができるが、その事に限定されない。

いくつかの実施形態において、分類を文書に割り当てる権限があるユーザと、以前に割り当てられた分類をオーバーライドする権限があるユーザとを示す、ポリシーを定義できる。例えば、いくつかの実施形態において、後続のユーザが、最初のユーザの部長または上司である場合、最初のユーザによって、その後続のユーザは、以前に割り当てられた分類をオーバーライドすることを許可され得る。後続のユーザが、最初のユーザの部長または上司であるかどうかについての判定を、例えば、ディレクトリサーバのディレクトリ情報に記憶された組織図（オルグチャート）情報を使用して、行うことができる。

いくつかの実施形態において、ユーザが、各文書に割り当てるべき分類を手動で指定するように、文書の分類を手動で行うことができる。この実施形態において、分類が割り当てられていない文書が、ゾーン境界を越えて転送される場合、情報保護ルールを適用できるように、その文書にデフォルト分類を割り当てることができる。

適した任意の分類スキームを使用して、文書を分類できる。いくつかの実施形態において、文書に割り当てるのに使用可能な分類を、組織の管理者によって設定できる。使用できる分類の例は、「社内秘密」、「個人情報」、「秘密でない情報」、「財務データ」、および／またはその他の適した分類を含む。

図２は、ゾーンおよび情報分類に基づく情報保護ルールを用いることができる組織のためのコンピュータシステム２００のブロック図である。コンピュータシステム２００は、ゾーン情報２１５とポリシー情報２１３とを記憶する、セントラルセキュリティサーバ２０１を備える。ゾーン情報２１５は、（例えば、ネットワーク管理者によって）定義されたゾーン、並びに、定義されたゾーンのそれぞれにグループ分けされているデバイス、ユーザ、および／またはドメインを示す。ポリシー情報２１３は、情報がゾーン境界を越えて転送されると適用される、（例えば、管理者によって定義された）情報保護ルールを指定する。

コンピュータシステム２００は、ディレクトリ情報２１７を記憶する、ディレクトリサーバ２０３を含むこともできる。ディレクトリ情報２１７は、コンピュータシステムにおけるユーザおよびデバイスについての情報を含む。さらに、ディレクトリ情報は、ユーザおよびデバイスの組織単位または組織グループを定義できる。例えば、ディレクトリ情報２１７は、技術部のユーザおよび／またはデバイスを含む「技術グループ」を定義できるし、ＰＲ部のユーザおよび／またはデバイスを含む「ＰＲグループ」を定義できる。

いくつかの実施形態において、ディレクトリ情報２１７を使用して、ユーザ、デバイス、および／またはドメインをゾーンにグループ分けできる。例えば、ゾーン情報２１５を、「技術グループ」のすべてのユーザまたはデバイスが、「技術部」ゾーンにグループ分けされていて、「ＰＲグループ」のすべてのユーザまたはデバイスが、「ＰＲ部」ゾーンにグループ分けされていることを示すように構成できる。

発明者は、エンティティ（例えば、組織）が、コンピュータシステム２００を動作する組織の外部にある場合、コンピュータシステム２００の管理者は、外部の組織のユーザおよびデバイスを特定するディレクトリ情報にアクセスすることができない。従って、外部の組織をゾーンにグループ分けすることを望む場合、その組織のドメイン名を使用できる。例えば、「Ｃｏｎｔｏｓｏ，Ｉｎｃ」という名の外部の組織が、ドメイン名「ｃｏｎｔｏｓｏ．ｃｏｍ」を使用していて、この組織をゾーン（例えば、「信頼できるパートナー」ゾーン）にグループ分けすることを望む場合、ゾーン情報により、ドメイン名「ｃｏｎｔｏｓｏ．ｃｏｍ」がそのゾーンに属していると特定できる。いくつかの実施形態において、ディレクトリ情報２１７により、外部のエンティティのドメイン名を含む、信頼できるパートナーのグループを定義できるし、ゾーン情報により、そのグループ内のすべてのドメイン名が、特定のゾーン（例えば、「信頼できるパートナー」ゾーン）にグループ分けされていることを示すことができる。

コンピュータシステム２００は、いくつかの他のデバイスも含むことができる。例えば、図２において、コンピュータシステム２００は、電子メールサーバ２０９と、ファイルサーバ２０７と、ワークステーション２０５ａおよび２０５ｂと、インターネットゲートウェイ２１１とを含む。インターネットゲートウェイ２１１は、コンピュータシステム２００内のデバイスに対するインターネットへのゲートウェイとして機能することができるし、コンピュータシステム２００内のデバイスは、ローカルエリアネットワーク（ＬＡＮ）２１８経由で互いに通信できる。

デバイス２０５ａ、２０５ｂ、２０７、２０９、および２１１のそれぞれは、ポリシーエンジンを含む。それらのデバイス上のそれぞれのポリシーエンジンは、情報が別のデバイスから受信されるか、または別のデバイスに送信される時に、その情報がいつゾーン境界を越えたか、または転送される場合にいつ越えるかを判定するために動作できる。情報がゾーン境界を越える場合、ポリシーエンジンは、情報保護ルールに基づいて、ポリシーアクションが保証されるかどうかを判定できるし、そのポリシーアクションを行うことができる。

図２の例において、デバイス２０５ａ、２０５ｂ、２０７、２０９、および２１１のそれぞれは、ポリシーエンジンを実行する。しかしながら、発明は、この事に限定されない。つまり、いくつかの実施形態において、ゾーン境界にいるデバイス（例えば、別のゾーンに情報を直接送信するか、または別のゾーンから情報を直接受信する能力があるデバイス）のみが、ポリシーエンジンを実行できる。従って、そのような実施形態が、図２の例で用いられて、コンピュータシステム２００内のすべてのデバイスおよびユーザが、単一ゾーンにグループ分けされた場合、インターネットゲートウェイ２１１のみが、ポリシーエンジンの実行を必要とする。

図３は、コンピュータシステム２００などの、コンピュータシステム内で情報保護ルールを実装するのに使用できる、事例的な情報保護処理を示す。処理は、動作３０１において開始され、１つのコンテンツ（例えば、１つの文書）が、作成または受信される。次に処理は、動作３０３に進み、コンテンツは、分類されて、そのコンテンツに対する分類が記憶される。

動作３０３の後、処理は、動作３０５に進み、別のデバイスへの、コンテンツの転送が開始される。次に処理は、動作３０７に進み、この転送によって、コンテンツがゾーン境界を越えるまたは越えるであろうかどうかを判定する。動作３０７を、例えば、コンテンツの送信を開始するデバイス上か、または転送を開始したデバイスから送信された後でコンテンツを受信する別のデバイス上の、ポリシーエンジンによって行うことができる。

ポリシーエンジンは、任意のさまざまなやり方で、転送によって情報がゾーン境界を越えるまたは越えるであろうかどうかを判定できる。例えば、いくつかの実施形態において、ポリシーエンジンは、セントラルセキュリティサーバ２０１（上述したように、ゾーン情報２１５を記憶するサーバ）と通信して、転送を開始したデバイスまたはユーザのゾーンと、転送の目的とする受信者であるデバイスまたはユーザのゾーンとを判定できる。代替として、いくつかの実施形態において、このゾーン情報のすべてまたは一部を、デバイス上でローカルにキャッシュでき、ポリシーエンジンは、ローカルにキャッシュされた情報を使用して、転送を開始したデバイスまたはユーザのゾーンと、転送の目的とする受信者であるデバイスまたはユーザのゾーンとを判定できる。転送を開始したデバイスまたはユーザのコンテンツのゾーンと、転送の目的とする受信者であるデバイスまたはユーザのコンテンツのゾーンが同じ場合、ポリシーエンジンは、その転送によってコンテンツがゾーン境界を越えないと判定でき、その処理を終了できる。

転送を開始したデバイスまたはユーザのコンテンツのゾーンと、転送の目的とする受信者であるデバイスまたはユーザのコンテンツのゾーンが異なる場合、ポリシーエンジンは、その転送によってコンテンツがゾーン境界を越えるまたは越えるであろうと判定でき、処理は、動作３０９に進むことができる。動作３０９において、ポリシーエンジンは、目的とする転送の結果、ポリシーアクションをとるべきかどうかを判定でき、およびそのポリシーアクションを行うことができる。ポリシーエンジンは、適した任意のやり方で、ポリシーアクションをとるべきかどうかを判定できる。例えば、ポリシーエンジンは、セントラルセキュリティサーバ２０１と通信して、ポリシー情報２１３に記憶された情報保護ルールを判定することができ、およびそれらのルールを不明な転送に適用できる。代替として、いくつかの実施形態において、ポリシー情報２１３に記憶されたルールのすべてまたは一部を、デバイス上でローカルにキャッシュでき、ポリシーエンジンは、ローカルにキャッシュされた情報を使用して、分類ルールを判定できる。

分類ルールは、その分類ルールに基づいて、適した任意のポリシーアクションを指定できる。例えば、ポリシーエンジンは、転送を遮断するアクションと、転送を完了するコンテンツの暗号化を要求するアクションと、転送の監査ログエントリを作成するアクションと、転送を完了する前にユーザに確認を促すアクションと、転送させることを望む情報のコピーを作成するアクションと、ユーザまたは管理者に転送を通知するアラートを送信するアクションと、および／またはその他の適したアクションをとる。

図４は、発明の態様を実装できる、事例的なコンピュータ４００の概略的ブロック図を示す。コンピュータ４００の事例的な部分のみが、明瞭さを目的に明らかにされており、発明の態様を決して限定するものではない。例えば、コンピュータ４００は、１または複数の付加的な揮発性または不揮発性メモリ（記憶媒体とも呼ぶことができる）と、１または複数の付加的なプロセッサと、その他のユーザ入力デバイスと、本明細書で説明した機能を行うためにコンピュータ４００によって実行され得る、適した任意のソフトウェアまたは他の命令とを含むことができる。

事例的な実施形態において、コンピュータ４００は、中央処理装置４０２（１または複数のハードウェア汎用プログラマブルコンピュータプロセッサを含むことができる）と、有形メモリ４０４と、ビデオインタフェース４０６と、ユーザ入力インタフェース４０８と、ネットワークインタフェース４１２との間で通信を可能にする、システムバス４１０を含む。ネットワークインタフェース４１２を、ネットワーク接続４２０経由で少なくとも１つのリモートコンピューティングデバイス４１８に接続できる。他のユーザ入力／出力デバイスに加えて、モニタ４２２、キーボード４１４、およびマウス４１６などの周辺機器も、コンピュータシステムに含むことができるが、発明は、この事に限定されない。

いくつかの実施形態において、上述したデバイスを、コンピュータ４００などの、コンピュータとして実装できる。例えば、いくつかの実施形態において、デバイス２０１、２０３、２０５ａ、２０５ｂ、２０７、２０９、および２１１のそれぞれを、コンピュータ４００などの、コンピュータとして実装できる。この点において、これらのデバイスの上述した機能性は、その機能性を行うソフトウェア命令を実行する中央処理装置４０２によって実装されることができること、および上述した情報は、これらのデバイス上で記憶される際にメモリ４０４に記憶されることができることを認識されたい。

この発明の少なくとも１つの実施形態のいくつかの態様をこのように説明した結果、当業者には、さまざまな代替、変更、および改良が、思い浮かぶであろうことを認識されたい。

このような代替、変更、および改良は、この開示の一部であることを意図し、発明の精神および範囲内であることを意図する。従って、前述の説明および図面は、ほんの一例である。

本発明の上述した実施形態を、任意の数のやり方で実装することができる。例えば、実施形態は、ハードウェア、ソフトウェアまたはそれらの組み合わせを使用して実装されてよい。ソフトウェアで実装される場合、ソフトウェアコードを、単一コンピュータで提供されるのであれ、複数のコンピュータに分散されるのであれ、適した任意のプロセッサまたはプロセッサ群で実行することができる。

さらに、コンピュータは、ラックマウント式コンピュータ、デスクトップ型コンピュータ、ラップトップ型コンピュータ、またはタブレット型コンピュータなどの、いくつかの任意の形態に組み込むことができることを認識されたい。さらに、コンピュータは、一般にコンピュータと見なされないが、パーソナルデジタルアシスタント（ＰＤＡ）、スマートフォンまたはその他の適した携帯または固定電子デバイスを含む、適した処理能力を有するデバイスに組み込まれることができる。

また、コンピュータは、１または複数の入力デバイスおよび出力デバイスを有することができる。このようなデバイスを、とりわけ、ユーザインタフェースを表示するのに使用することができる。ユーザインタフェースを提供するのに使用することができる出力デバイスの例は、出力の視覚表現のためのプリンタまたは表示スクリーンと、出力の可聴表現のためのスピーカまたは他のサウンド生成デバイスとを含む。ユーザインタフェースに使用することができる入力デバイスの例は、キーボードと、マウス、タッチパッド、および離散化タブレットなどの、ポインティングデバイスとを含む。別の例として、コンピュータは、音声認識を通じてまたは他の可聴形式で、入力情報を受信できる。

このようなコンピュータを、企業ネットワークなどのローカルエリアネットワーク、またはインターネットなどのワイドエリアネットワークを含む、適した任意の形式で、１または複数のネットワークによって相互接続できる。このようなネットワークは、適した任意の技術に基づくことができるし、適した任意のプロトコルに従って動作できるし、無線ネットワーク、有線ネットワークまたは光ファイバーネットワークを含みことができる。

また、本明細書で概要を述べたさまざまな方法または処理を、さまざまなオペレーティングシステムまたはプラットフォームのうちの任意の１つに用いる、１または複数のプロセッサ上で実行可能なソフトウェアとしてコード化できる。さらに、このようなソフトウェアを、いくつかの適したプログラミング言語および／またはプログラミングまたはスクリプティングツールのいずれかを使用して書き込むことができるし、フレームワークまたはビジュアルマシン上で実行される実行可能なマシン言語コードまたは中間コードとしてコンパイルすることもできる。

この点において、発明を、コンピュータ可読媒体（または複数のコンピュータ可読媒体）（例えば、コンピュータメモリ、１または複数のフロッピー（登録商標）ディスク、コンパクトディスク（ＣＤ）、光ディスク、デジタルビデオディスク（ＤＶＤ）、磁気テープ、フラッシュメモリ、現場でプログラム可能なゲートアレイまたは他の半導体デバイスの回路構成、または他の非一過性の、有形コンピュータ記憶媒体）として具体化して、１または複数のコンピュータまたは他のプロセッサ上で実行される時、上述した発明のさまざまな実施形態を実装する方法を行う１または複数のプログラムでエンコードできる。コンピュータ実行可能媒体は、その媒体上で記憶されたプログラムを、１または複数の異なるコンピュータまたは他のプロセッサ上にロードして、上述した本発明のさまざまな態様を実装することができるように、可搬型にできる。

用語「プログラム」または「ソフトウェア」は、本明細書では、上述した本発明のさまざまな態様を実装するコンピュータまたは他のプロセッサをプログラムするのに用いることができる、任意のタイプのコンピュータコードまたはコンピュータ実行可能命令のセットを指す一般的な意味で使用されている。さらに、この実施形態の１つの態様に従って、実行時に本発明の方法を行う、１または複数のコンピュータプログラムは、単一コンピュータまたはプロセッサ上で常駐する必要はないが、本発明のさまざまな態様を実装するいくつかの異なるコンピュータまたはプロセッサに、モジュラー方式で分散されることができることを認識されたい。

コンピュータ実行可能命令を、１または複数のコンピュータまたは他のデバイスによって実行される、プログラムモジュールなどの、多くの形態に入れることができる。一般に、プログラムモジュールは、ルーチン、プログラム、オブジェクト、コンポーネント、データ構造などを含み、それらは、特定のタスクを行うか、または特定の抽象データ型を実装する。典型的には、プログラムモジュールの機能性を、さまざまな実施形態で要望通りに組み合わせるか、または分散することができる。

また、データ構造を、適した任意の形態で、コンピュータ可読媒体に記憶できる。説明を簡略にするために、データ構造が、そのデータ構造の位置を通じて関連しているフィールドを有するように見えるかもしれない。そのような関係は、フィールド間の関係を伝えるコンピュータ可読媒体の位置を、フィールドの記憶領域に割り当てることによって同様に達成し得る。しかしながら、ポインタ、タグ、またはデータ要素間の関係を確立する他の機構の使用を含む、適した任意の機構を使用して、データ構造のフィールド内の情報間の関係を確立することができる。

本発明のさまざまな態様を、単独で、組み合わせて、または前述の実施形態において具体的に論じていない、さまざまな配置で使用できるので、前述で示したまたは図面で例示したコンポーネントの詳細および配置に対する発明の適用に限定されない。例えば、一実施形態で説明した態様を、他の実施形態で説明した態様を用いた任意の方法で組み合わせることができる。

また、発明を、例が提供された中の方法として具体化できる。その方法の一部として行われた動作を、適した任意のやり方で順序付けることができる。従って、動作が事例とは異なる順序で行われる実施形態を構築でき、その動作は、事例的な実施形態では順次動作するように見えるが、いくつかの動作を同時に行うことを含んでよい。

特許請求の範囲において「第１の」、「第２の」、「第３の」などの序数の用語を使用して、請求の要素を変更すること自体は、優先、先行、または別の請求の要素に対するある請求の要素の順序または方法の動作が行われる時間的順序を意味するものではなく、ある名前を有する１つの請求の要素を同じ名前を有する別の請求の要素と区別するための単なるラベルとして（順序を示す用語の使用は別）使用して、請求の要素を区別するものである。

また、本明細書で使用される表現および用語は、説明を目的として、限定するものと見なすべきでない。「含む」、「備える」あるいは「有する」、「包含する」、「伴う」の使用およびそれらの変形は、付加的な項目とともにその後に記載される項目およびそれらの等価物を網羅することを意図する。

Claims (10)

1. 少なくとも１つのプロセッサと少なくとも１つの有形メモリを備えるコンピュータによって行われる情報保護のための方法であって、前記コンピュータは、ユーザ、デバイス、および／またはドメインの複数のゾーンを備える情報空間で動作し、前記複数のゾーンのそれぞれは、ユーザ、デバイス、および／またはドメインの論理グループ分けであり、前記方法は、
   情報の転送の開始に応答して、前記情報の転送によって前記情報が、前記複数のゾーンのうちの２間のゾーン境界を越えるであろうかどうかを判定するステップと、
   前記転送によって前記情報が、前記ゾーン境界を越えないと判定された場合、前記転送を許可するステップと、
   前記転送によって前記情報が、前記ゾーン境界を越えると判定された場合、情報保護ルールにアクセスするステップと、
   前記情報保護ルールを前記転送に適用して、ポリシーアクションを行うべきかどうかを判定するステップと、
   前記ポリシーアクションを行うべきと判定された場合、前記ポリシーアクションを行うステップと
   を備えることを特徴とする方法。
2. 前記情報の転送によって前記情報が、ゾーン境界を越えるであろうかどうかを判定する動作は、
   前記転送を開始したユーザまたはデバイスがグループ分けされる前記複数のゾーンのうちの第１のゾーンと、前記情報の転送の目的とする受信者であるユーザまたはデバイスがグループ分けされる前記複数のゾーンのうちの第２のゾーンとを示すゾーン情報を、セキュリティサーバから受信する動作をさらに備えることを特徴とする請求項１に記載の方法。
3. 前記セキュリティサーバは、前記コンピュータから分離したデバイスであることを特徴とする請求項２に記載の方法。
4. 前記複数のゾーンのうちの前記第１のゾーンと、前記複数のゾーンのうちの前記第２のゾーンとが、前記複数のゾーンのうちの同じゾーンであるかどうかを判定するステップであって、
   前記複数のゾーンのうちの前記第１のゾーンと、前記複数のゾーンのうちの前記第２のゾーンとが、前記複数のゾーンのうちの同じゾーンであると判定された場合、前記転送によって前記情報が、前記ゾーン境界を越えないと判定するステップと、
   前記複数のゾーンのうちの前記第１のゾーンと、前記複数のゾーンのうちの前記第２のゾーンとが、前記複数のゾーンのうちの同じゾーンでないと判定された場合、前記転送によって前記情報が、前記ゾーン境界を越えると判定するステップと
   をさらに備えることを特徴とする請求項２に記載の方法。
5. 前記情報保護ルールにアクセスする前記動作は、
   前記情報保護ルールを記憶するセキュリティサーバから前記情報保護ルールにアクセスするステップであって、前記セキュリティサーバは、前記コンピュータから分離したデバイスである、ステップ
   をさらに備えることを特徴とする請求項１に記載の方法。
6. 少なくとも１つのプロセッサと少なくとも１つの有形メモリとを備えるコンピュータ上で実行される時に、ユーザ、デバイス、および／またはドメインの複数のゾーンを備える情報空間で方法を行う命令でエンコードされた少なくとも１つのコンピュータ可読媒体であって、前記複数のゾーンのそれぞれは、ユーザ、デバイス、および／またはドメインの論理グループ分けであり、前記コンピュータは、前記複数のゾーンのうちの１つにグループ分けされ、前記方法は、
   前記コンピュータにおいて文書を作成するステップと、
   前記文書に対する第１の分類を自動的に判定するステップと、
   前記判定された第１の分類を特定する情報を前記文書に組み込むステップと、
   前記文書に対する第２の分類を特定するユーザ入力を受信するステップと、
   前記ユーザ入力に応答して、前記文書から前記第１の分類を特定する前記情報を取り除き、および前記第２の分類を特定する情報を前記文書に組み込むことによって、前記第２の分類を用いて前記第１の分類をオーバーライドするステップと
   を備えることを特徴とする少なくとも１つのコンピュータ可読媒体。
7. 前記文書に対する第１の分類を自動的に判定する前記動作は、少なくとも一部は、前記コンピュータがグループ分けされる前記複数のゾーンのうちの１つのゾーンに基づいて前記第１の分類を判定する動作を備えることを特徴とする請求項６に記載の少なくとも１つのコンピュータ可読媒体。
8. 前記文書に対する第１の分類を自動的に判定する前記動作は、少なくとも一部は、前記コンピュータのユーザがグループ分けされる前記複数のゾーンのうちの１つのゾーンに基づいて前記第１の分類を判定する動作を備えることを特徴とする請求項６に記載の少なくとも１つのコンピュータ可読媒体。
9. 前記文書に対する第１の分類を自動的に判定する前記動作は、少なくとも一部は、前記文書の前記コンテンツに基づいて前記第１の分類を判定する動作を備えることを特徴とする請求項６に記載の少なくとも１つのコンピュータ可読媒体。
10. 少なくとも１つの有形メモリと、
    ユーザ、デバイス、および／またはドメインを論理ゾーンにグループ分けする第１の情報のユーザ入力に応答して、前記第１の情報を前記少なくとも１つの有形メモリに記憶することと、
    前記情報に論理ゾーン間の境界を越えさせるであろう情報の転送の開始に応答して適用される情報保護ルールを指定する第２の情報のユーザ入力に応答して、前記第２の情報を前記少なくとも１つの有形メモリに記憶すること
    を行うプロセッサ実行可能命令を実行する少なくとも１つのハードウェアプロセッサと
    を備えることを特徴とするコンピュータシステム内のコンピュータ。

Images