JP2014178784A - 情報処理装置、情報処理システム及び情報処理プログラム - Google Patents

Abstract

【課題】容易に情報漏えいを防止することができる情報処理装置、情報処理システム及び情報処理プログラムを提供することを目的とする。
【解決手段】利用者識別子が対応付けられた利用者データを少なくとも記憶する記憶部と、利用者識別子が対応付けられた利用者データを前記記憶部から消去する要求を取得する取得部と、前記取得部が取得した利用者識別子が対応付けられたデータを前記記憶部から消去する消去部と、を有することを特徴とする。
【選択図】図５

Description

本発明は、情報処理装置、情報処理システム及び情報処理プログラムに関する。

現在、クラウド（クラウドコンピューティング）は、広く利用されるようになってきている。クラウドでは、利用者の画像ファイルやドキュメントファイルは、クラウド内に保存される。このことにより、利用者は、それらのファイルを持ち歩くことなくさまざまな場所からアクセスでき、利便性がよい。クラウドでは、それらのファイルを大容量ディスクに保存するとともに、ファイルが破損した場合に備えて二重化したりバックアップを取ったりしている。

しかし、今までのクラウドでは、それらのファイル管理はクラウド運営会社に任されており、例えば運営会社がクラウドサービスを停止したり、運営会社がセキュリティポリシーの異なる他の運営会社に買収されたりした場合に、クラウドに残されたファイルがどう扱われるか不透明である。

もし、従来のように自分のパソコンにファイルを保存しているのであれば、パソコンを破棄するときにはデータ完全消去ソフトを利用してから破棄すればよかったので、利用者の管理下で情報漏えいの防衛が可能であった。

ところが、クラウドでは物理的に利用者はファイルシステムにアクセスできないのでそのような方法は取れない。もちろん利用者が契約を解約する前にすべてのファイルを消去するという方法は考えられるが、クラウド上のファイルが完全に消去されたか、さらにバックアップは消去されたかは確認できない。これでは利用者はクラウド利用での情報漏えいの危険性を払しょくできない。

また、特許文献１には、管理クラスタにファイルの管理情報を記録し、予備管理クラスタに管理クラスタと同一の情報を記録して、万一のデータ喪失に備えるファイル管理方法が開示されている。

しかしながら、複数の利用者が利用する記憶部から特定の利用者データを効率的に消去することができず、容易に情報漏えいを防止することができないという問題があった。

本発明は、上記に鑑みてなされたものであって、容易に情報漏えいを防止することができる情報処理装置、情報処理システム及び情報処理プログラムを提供することを目的とする。

上述した課題を解決し、目的を達成するために、本発明は、利用者識別子が対応付けられた利用者データを少なくとも記憶する記憶部と、利用者識別子が対応付けられた利用者データを前記記憶部から消去する要求を取得する取得部と、前記取得部が取得した利用者識別子が対応付けられたデータを前記記憶部から消去する消去部と、を有する。

本発明によれば、容易に情報漏えいを防止することができるという効果を奏する。

図１は、ファイル管理におけるＦＡＴの構造を模式的に示す図表である。 図２は、記憶部のディスク上に記憶されたデータを模式的に示す図表である。 図３は、実施形態にかかる情報処理システムの構成例を示す構成図である。 図４は、情報処理システムにおけるプログラムの構成例を示す図である。 図５は、データ処理プログラムのプログラム構成及びその周辺を示すブロック図である。 図６は、書込み部が書き込むファイルに対する利用者識別子の格納位置を示す図である。 図７は、利用者識別子が付加された拡張ＦＡＴの構造を模式的に示す図表である。 図８は、図７に示した管理テーブルに対応するディスク上に記憶されたデータを模式的に示す図表である。 図９は、利用者識別子が１００００１であるデータを消去部が完全消去した後のディスク上のデータを模式的に示す図表である。 図１０は、利用者識別子が１００００２であるデータを消去部が完全消去した後のディスク上のデータを模式的に示す図表である。 図１１は、利用者識別子が１００００３であるデータを消去部が完全消去した後のディスク上のデータを模式的に示す図表である。 図１２は、情報処理システムが利用者識別子に対応する全てのデータを消去する場合に行う処理例を示すフローチャートである。 図１３は、書込み部が書き込むファイルに対する利用者識別子の格納位置の変形例を示す図である。

（背景）
まず、本発明をするに至った背景について説明する。図１は、ファイル管理におけるＦＡＴ（管理テーブル）の構造を模式的に示す図表である。図２は、記憶部（記憶装置）のディスク上に記憶されたデータを模式的に示す図表である。なお、ＦＡＴ（管理テーブル）は、データ管理領域に記憶される。また、データ（データ本体）は、データ保存領域に記憶される。

ファイルは、記憶領域の最小論理単位となる固定長のクラスタという単位で書き込まれる。しかし、ファイルサイズがクラスタより大きい場合、ファイルの書込みでは、ディスクの空いている他のクラスタに引き続きデータが書き込まれ、ファイルの終了までその作業が繰り返される。このとき、管理テーブルには、そのクラスタ番号と次のクラスタ番号が記録され、ファイルの最後のクラスタにはＥＯＦ（End Of File）が記録される。

これにより、そのファイルを読み出す時には、クラスタの先頭から辿りながら図２に格納されているクラスタのデータを用いてファイルを復元すればよい。また、ファイル消去時には、クラスタの先頭から辿りながらそのエリアを管理テーブルで解放すれば、記憶領域を再利用できるようになる。

図１においては、不要となったクラスタ（再利用してよいクラスタ）は、“解放”と示されている。例えば、クラスタ番号６→８→４→２の順にデータが書き込まれており、このデータが不要となった場合は、クラスタ６→８→４→２の順に管理テーブルを“解放”状態にすればよい。

一般に、データの削除においては、管理テーブルの解放だけを行い、クラスタデータは残骸が残っており、完全には消去されない。また、クラスタデータに乱数等を上書きする消去方式（逐次上書き消去）では、リアルタイムでの完全消去を実現可能であるが、システムのパフォーマンスが低下してしまうというデメリットがある。

例えば、クラウドサービスにおいて、ある利用者が解約したとしたときに、その利用者の情報を逐次上書き消去によってすべて上書き消去しようとすると、次のような問題が生じる。

まず、すでに消去されたクラスタ（解放されたままでデータが残っている）が検出できない。次に、不要データを消去するためには、データと利用者情報とを対応させてクラスタを辿りながらデータを消去する必要がある。つまり、処理が複雑になってしまう。

（実施形態）
次に、添付図面を参照して、情報処理システムの実施形態を詳細に説明する。図３は、実施形態にかかる情報処理システム１の構成例を示す構成図である。図３に示すように、情報処理システム１は、クラウドサーバー１０ａ及びバックアップサーバー１０ｂが、インターネット１２及びＬＡＮ１４を介して、クライアントＰＣ１６ａ，１６ｂ，１６ｃに接続されている。なお、情報処理システム１の構成は、これに限定されることなく、例えば各サーバー、ＰＣの数及び接続関係は異なるものであってもよい。

クラウドサーバー１０ａ、バックアップサーバー１０ｂ及びクライアントＰＣ１６ａ,１６ｂ,１６ｃは、それぞれ図示しないＣＰＵ及びメモリを含む記憶部を有するコンピュータ（情報処理装置）である。また、クラウドサーバー１０ａは、メインディスク１００ａ及びサブディスク１００ｂを有し、記憶部が二重化されている。また、バックアップサーバー１０ｂは、バックアップディスク１００ｃを有する。

以下、画像や文章などのひと固まりで意味のあるデジタル情報をファイルと記述し、ファイルを固定長（クラスタ）で分割したデジタル情報をデータと記述する。

クラウドサーバー１０ａは、後述する情報処理プログラムを実行することにより、クライアントＰＣ１６ａ,１６ｂ,１６ｃからの指示に応じて処理を行う。メインディスク１００ａは、オリジナルファイルを記憶する記憶装置（例えば後述する記憶部４）である。サブディスク１００ｂは、メインディスク１００ａと同じデータを記憶する。バックアップディスク１００ｃは、定期的にメインディスク１００ａのデータのバックアップを行う。例えば、バックアップディスク１００ｃは、メインディスク１００ａのある時期のスナップショット（ディスクイメージ）をコピーする処理を行う。例えば、バックアップディスク１００ｃは、１週間に１度の頻度でバックアップを行い、ディスクイメージをそのまま保存する。つまり、メインディスク１００ａのデータ削除が行われても、バックアップディスク１００ｃにはすぐには反映されない。また、運用によっては、バックアップディスク１００ｃが記憶するデータは消されないで残ることもある。

クライアントＰＣ１６ａ,１６ｂ,１６ｃは、それぞれインターネット１２などを介し、クラウドサーバー１０ａに対してファイルの書込み要求、読み出し要求、削除要求及び消去要求（完全消去要求）などを実行する要求部である。

図４は、情報処理システム１におけるプログラムの構成例を示す図である。アプリケーション２は、クライアントＰＣ１６ａ,１６ｂ,１６ｃなどによって実行される。ファイルシステム３は、データ処理プログラム（情報処理プログラム）３０、データ管理領域（ＦＡＴエリア）３２及びデータ保存領域３４によって構成される。

アプリケーション２は、ファイルシステム３に対してファイルの書込み要求、削除要求、消去（完全消去）要求及び読出し要求を行う。書込み要求においては、例えばファイル名、データ本体及び利用者識別子が送信される。削除要求においては、例えばファイル名が送信される。消去要求においては、例えば利用者識別子が送信される。読出し要求においては、読出しに必要な予め定められた情報を送信し、要求に応じたデータの返信を求める。

ファイルシステム３は、クラウドサーバー１０ａに設けられている。データ管理領域３２及びデータ保存領域３４は、メインディスク１００ａなどに設けられる記憶領域である。つまり、クラウドサーバー１０ａは、データ処理プログラム３０を実行し、データ管理領域３２に管理テーブルを記憶させ、データ保存領域３４に利用者データなどを記憶させる。

図５は、データ処理プログラム（情報処理プログラム）３０のプログラム構成及びその周辺を示すブロック図である。データ処理プログラム３０は、取得部３００、書込み部３０２、削除部３０４、消去（完全消去）部３０６、読出し部３０８及び出力部３１０を有する。記憶部４は、上述したメインディスク１００ａに相当し、データ管理領域３２及びデータ保存領域３４を含む。

取得部３００は、図４に示した書込み要求、削除要求、消去（完全消去）要求及び読出し要求を取得する。また、取得部３００は、各要求において上述した対応する各データを取得し、取得した要求の内容に応じて、取得した各データを書込み部３０２、削除部３０４、消去部３０６及び読出し部３０８に対して出力する。

書込み部３０２は、取得部３００から書込み要求に応じた各データを受入れ、データ管理領域３２及びデータ保存領域３４に対して書込みを行う。図６は、書込み部３０２が書き込むファイルに対する利用者識別子の格納位置を示す図である。ＦＡＴテーブルには、ファイル名、作成日時、ファイルサイズなどが予約領域（エリア）として用意されている。ファイル名領域には、通常２５５文字分が割り当てられている。

例えば、利用者識別子が６ケタの場合、ファイル名の６文字と区切りの１文字、すなわち７文字をファイル名の末尾につけるルールとすることにより、利用者識別子（利用者ＩＤ）を格納可能にする。例えばＳＡＭＰＬＥ−ＦＩＬＥという名前のファイルの利用者識別子が１００００２であれば、その末尾に区切り（：）＋利用者識別子（１００００２）をつけて格納する。

この方法の利点は、これまでのディスクのフォーマットがそのまま利用できることである。だだし、利用できるファイル名長が７文字分減るという制限は発生する。また、利用者識別子の処理がないプログラムを利用すると、利用者からはファイル名の後ろに余計なコードが付いて見える。なお、先頭に利用者識別子を付けないのは、階層構造があるときにも対応できるようにするためである。階層構造も付けてファイル名として扱われているからである。

削除部３０４（図５）は、取得部３００からの削除要求に応じた各データを受入れ、記憶部４に対する削除の処理（後述）を行う。

消去部３０６は、取得部３００からの消去要求に応じた各データ（利用者識別子を含む）を受入れ、受入れた利用者識別子に対応する全てのデータを記憶部４から消去する。

読出し部３０８は、取得部３００からの読出し要求に応じた各データを受入れ、要求に応じたデータを記憶部４から読み出して出力部３１０へ出力する。

出力部３１０は、読出し部３０８から受入れたデータ（読出しデータ）を出力する。

次に、情報処理システム１の動作について説明する。図７は、利用者識別子が付加された拡張ＦＡＴ（管理テーブル）の構造を模式的に示す図表である。図８は、図７に示した管理テーブルに対応するディスク上に記憶されたデータを模式的に示す図表である。なお、図７に示した拡張ＦＡＴ（管理テーブル）は、データ管理領域３２に記憶される。また、図８に示したデータ（データ本体）は、データ保存領域３４に記憶される。

データ管理領域３２には、拡張ＦＡＴとして利用者識別子も同時に記憶される。例えば、利用者がクラウドサービスを解約する場合のように、その利用者の情報はもはや不要であると同時に残存情報として流出危険性がある場合には、利用者識別子に対応する全てのデータを消去することが望まれる。そこで、消去部３０６は、例えば利用者識別子を検索キーとし、利用者識別子に対応する全てのクラスタを上書き消去する。

図９は、図８に示したデータに対し、利用者識別子が１００００１であるデータを消去部３０６が完全消去した後のディスク上のデータを模式的に示す図表である。図１０は、図８に示したデータに対し、利用者識別子が１００００２であるデータを消去部３０６が完全消去した後のディスク上のデータを模式的に示す図表である。図１１は、図８に示したデータに対し、利用者識別子が１００００３であるデータを消去部３０６が完全消去した後のディスク上のデータを模式的に示す図表である。

つまり、図９〜図１１には、利用者識別子が１００００１、１００００２、１００００３である各利用者がそれぞれ解約した場合に、利用者識別子それぞれに対応する全てのデータを選択して消去したいとクライアントＰＣ１６ａ,１６ｂ,１６ｃのいずれかが指示した後のクラウドサーバー１０ａのディスクの状態が示されている。ここで、消去部３０６は、いずれの場合にも利用者識別子に対応するクラスタのデータを上書き消去している。

図１２は、情報処理システム１が利用者識別子に対応する全てのデータを消去（完全消去）する場合に行う処理例を示すフローチャートである。図１２に示すように、ステップ１００（Ｓ１００）において、クライアントＰＣ１６ａ,１６ｂ,１６ｃのいずれかは、利用者識別子をパラメータとして完全消去を行う要求をクラウドサーバー１０ａに対して出す。

ステップ１０２（Ｓ１０２）において、データ処理プログラム３０は、完全消去の要求を受け入れ、サーチ領域に利用者識別子を入れる。

ステップ１０４（Ｓ１０４）において、データ処理プログラム３０は、データ管理領域３２が記憶する拡張ＦＡＴを参照し、クラスタごとに利用者識別子が一致するか否かを判定する。データ処理プログラム３０は、利用者識別子が一致すると判定した場合（Ｓ１０４：Ｙｅｓ）には、Ｓ１０６の処理に進む。また、データ処理プログラム３０は、利用者識別子が一致しないと判定した場合（Ｓ１０４：Ｎｏ）には、Ｓ１０８の処理に進む。

ステップ１０６（Ｓ１０６）において、データ処理プログラム３０は、データ保存領域３４の対象エリアを上書き消去する。

ステップ１０８（Ｓ１０８）において、データ処理プログラム３０は、サーチポインタをインクリメントする。

ステップ１１０（Ｓ１１０）において、データ処理プログラム３０は、データ保存領域３４に対するサーチが完了したか否かを判定する。データ処理プログラム３０は、データ保存領域３４に対するサーチが完了していないと判定した場合（Ｓ１１０：Ｎｏ）には、Ｓ１０４の処理に進む。また、データ処理プログラム３０は、データ保存領域３４に対するサーチが完了したと判定した場合（Ｓ１１０：Ｙｅｓ）には、処理を終了する。

このように、情報処理システム１は、利用者識別子に対応する全てのデータを完全に消去するので、容易に情報漏えいを防止することができる。

（利用者識別子の格納位置の変形例）
図１３は、書込み部３０２が書き込むファイルに対する利用者識別子の格納位置の変形例を示す図である。図１３に示すように、例えば利用者識別子が６ケタの場合、ファイル名領域（エリア）の最後部６文字、すなわち６文字を最後尾につけるルールとすることにより、利用者識別子（利用者ＩＤ）を格納可能にする。例えば、ＳＡＭＰＬＥ−ＦＩＬＥという名前のファイルの利用者識別子が１００００２であればその最後尾に、利用者識別子（１００００２）をつけて格納する。

この方法の利点は、これまでのディスクのフォーマットがそのまま利用できることである。ただし、利用できるファイル名長が６文字分減るという制限は発生する。この場合には、利用者識別子の処理がないプログラムを利用しても余計なコードは付かない。

また、上述した実施形態においては、クラウドサーバー１０ａ及びクライアントＰＣ１６ａ,１６ｂ,１６ｃを有する情報処理システム１を例に説明したが、実施形態にかかる情報処理システムは、これに限定されない。例えば、実施形態にかかる情報処理システムは、ＨＤＤなどの記憶部を有する画像形成装置（複合機）などであってもよい。また、情報処理システム１は、クライアントＰＣ１６ａ,１６ｂ,１６ｃのいずれかが利用者識別子を特定して消去要求を行った場合に、クラウドサーバー１０ａ及びバックアップサーバー１０ｂが記憶している特定された利用者識別子に対応する全てのデータを上書き消去するように構成されてもよい。

１ 情報処理システム
１０ａ クラウドサーバー
１００ａ メインディスク
１００ｂ サブディスク
１０ｂ バックアップサーバー
１００ｃ バックアップディスク
１６ａ，１６ｂ，１６ｃ クライアントＰＣ
２ アプリケーション
３ ファイルシステム
３０ データ処理プログラム
３００ 取得部
３０２ 書込み部
３０４ 削除部
３０６ 消去部
３０８ 読出し部
３１０ 出力部
３２ データ管理領域
３４ データ保存領域
４ 記憶部

特開平０７−２６２０５９号公報

Claims (7)

1. 利用者識別子が対応付けられた利用者データを少なくとも記憶する記憶部と、
   利用者識別子が対応付けられた利用者データを前記記憶部から消去する要求を取得する取得部と、
   前記取得部が取得した利用者識別子が対応付けられたデータを前記記憶部から消去する消去部と、
   を有することを特徴とする情報処理装置。
2. 前記記憶部は、
   記憶領域の最小論理単位となるクラスタごとに利用者識別子が付加された利用者データを記憶すること
   を特徴とする請求項１に記載の情報処理装置。
3. 前記消去部は、
   上書きを行うことにより、利用者識別子が対応付けられたデータを前記記憶部から消去すること
   を特徴とする請求項１又は２に記載の情報処理装置。
4. 利用者識別子が対応付けられた利用者データを少なくとも記憶する記憶部と、
   利用者識別子が対応付けられた利用者データを前記記憶部から消去することを要求する要求部と、
   利用者識別子が対応付けられた利用者データを前記記憶部から消去する要求を前記要求部から取得する取得部と、
   前記取得部が取得した利用者識別子が対応付けられたデータを前記記憶部から消去する消去部と、
   を有することを特徴とする情報処理システム。
5. 前記記憶部は、
   記憶領域の最小論理単位となるクラスタごとに利用者識別子が付加された利用者データを記憶すること
   を特徴とする請求項４に記載の情報処理システム。
6. 前記消去部は、
   上書きを行うことにより、利用者識別子が対応付けられたデータを前記記憶部から消去すること
   を特徴とする請求項４又は５に記載の情報処理システム。
7. 利用者識別子が対応付けられた利用者データを記憶部から消去する要求を取得するステップと、
   取得した利用者識別子が対応付けられたデータを前記記憶部から消去するステップと、
   をコンピュータに実行させるための情報処理プログラム。

Images