JP2017518582A - 機密候補データ項目の解消可能な保護 - Google Patents

Abstract

データを自動的にバックグラウンドで走査して複数の機密候補データ項目を検出することにより、データ損失のリスクを低減させる。機密であるとは具体的に分類されないとみなされる機密候補データ項目の内少なくとも幾らかについて、解消可能な暗号化がそのデータ項目に適用され、少なくとも一時的にそのデータ項目を保護する。ユーザがデータ項目へのアクセスを要求すると、システムは、そのデータ項目が解消可能に暗号化されていること、また、ユーザがそのデータ項目機密性を規定する権限を有することを判断する。それに応じて、データ項目が具体的に暗号化されることになるか（例えば、ユーザが機密であるとそのデータ項目を確認した場合）、またはそのデータ項目の解消可能な暗号化が解消されることになるか（例えば、ユーザが機密でないとそのデータ項目を確認した場合）についてユーザはシステムに指示することが許される。【選択図】図４

Description

[0001] 情報時代において、情報を適切に制御することは、キーとなる要請事項(imperative)である。このような制御の一態様は、データが損失すること、または予想外の関係者に開示されることを防止することである。このような損失および開示は、しばしば「データ漏洩」(data leakage)と称される。例えば、ランダムな他人は、クレジット・カード番号、パスワード、およびそれらより下回ることがない情報の他の機密な情報片へのアクセス権を取得することが可能であってはならない。更に、組織が、協業者の手から流出するのを非常に好む戦略情報を有することがしばしばある。

[0002] データ損失防止（即ち、ＤＬＰ; Data Loss Prevention）技術が、データの不注意な漏洩を防止することを狙いとして開発されている。一例のＤＬＰ技術では、ユーザがデータ項目（例えば、ファイルまたは電子メール）を生成する時点において、通例、当該データ項目が機密であるとユーザが特定するのを支援する。他の従来のＤＬＰ技術は、以前に生成しているデータ項目をバックグラウンドで走査することを含む。例えば、マシンは、正規表現またはより高度なパターン・マッチング技術を適用することにより、データ項目を読み出す。一旦データ項目が機密であるとみなされると、例えば暗号化によるデータ項目の保護のような一連のアクションを取ることができる。

[0003] 本願において特許請求する主題は、任意の欠点を解決する実施形態、または上述した環境のような環境でのみ動作する実施形態には限定されない。寧ろ、本背景は１つの例示的な技術領域を示すためにのみ提供されるものであり、その技術領域では、本明細書に記載する幾らかの実施形態を実践することができる。

[0004] 本明細書に記載する少なくとも幾らかの実施形態は、データ・セットを自動的にバックグラウンドで走査して、機密候補データ項目を検出することにより、データ損失のリスクを低減させることに関するものである。機密であるものとして具体的に分類されるとはみなされない機密候補データ項目の少なくとも幾らかについて、解消可能な(dissolvable)暗号化がそのデータ項目に適用され、少なくとも一時的にそのデータ項目を保護することができる。

[0005] 本明細書に記載する少なくとも幾らかの実施形態は、このようなデータ項目の使用に関するものである。ユーザがデータ項目へのアクセスを要求すると、システムは、データ項目が解消可能に暗号化されていること、そして、ユーザがそのデータ項目の機密性を規定する権限を有することについて判断する。例えば、データ項目にアクセスする権限が与えられている任意のユーザは、おそらくは、そのデータ項目の機密性を規定する権限をまた有するものとみなされる。これに応じて、データが具体的に暗号化されることになるか（例えば、ユーザがデータ項目を機密のものと確認した場合）、或いはデータ項目の解消可能な暗号化が解消されることになるか（例えば、データ項目が機密でないものと確認した場合）について、ユーザは、システムに指示することが許される。

[0006] 本摘要は、以下の詳細な説明で更に説明する簡略化された形態での概念の選択を導入するために設けられる。本概要は、特許請求された主題の鍵となる特徴または必須の特徴を排他的に特定することを意図せず、また、特許請求された主題の範囲を決定する際の補助を意図するものでもない。

[0007] 本発明における上述したおよび他の利点並びに特徴を得ることができる手法を説明するために、簡単に上述した本発明のより特定の説明について、これよりその特定の実施形態を参照することによって行う。特定の実施形態は添付の図面に示される。これら図面が本発明の典型的な実施形態のみを示し、それ故、その範囲を限定するものとみなしてはならないことが理解される。本発明は、添付した図面の使用を通じて付加的な特定および詳細によって記載および説明されることになる。

図１は、本明細書に説明される原理が採用される例示のコンピューティング・システムを示す。 図２は、データ項目が最初に生成され、機密性について走査され、次いで、権限が与えられたユーザによってアクセスされるデータ項目のライフサイクルの概要図を示す。 図３は、本明細書に説明される原理に従いデータ項目を分類する方法のフローチャートを示し、データ項目は機密分類、非機密分類、および機密不明の分類を受けることになる。 図４は例示の環境を示し、データ・セットが走査されまたは図３の方法の対象となることにより、機密性カテゴリの内１つに割り当てられる。 図５は、以前に判断済みの走査動作が機密であるものと具体的に分類することができず、それ故、解消可能な暗号化が適用されているデータ項目を使用する方法のフローチャートを示す。 図６は、データ項目を処理する方法をユーザが指示することを可能にする方法のフローチャートを示す。

[0014] 本明細書に記載する少なくとも幾らかの実施形態は、データ・セットを自動的にバックグラウンドで走査して機密候補データ項目(candidate sensitive data item)を検出することによって、データ損失のリスクを低減させることに関するものである。機密である(sensitive)と具体的に分類されないとみなされる機密候補データ項目の内少なくとも幾らかについて、解消可能な暗号化がそのデータ項目に適用され、少なくとも一時的にデータ項目を保護する。

[0015] 本明細書に記載する少なくとも幾らかの実施形態は、このようなデータ項目の使用に関するものである。ユーザがデータ項目へのアクセスを要求すると、システムは、データ項目が解消可能に暗号化されていること、そして、ユーザがデータ項目の機密性を規定する権限を揺することを判断する。例えば、データ項目にアクセスする権限を有する任意のユーザは、おそらくは、データ項目の機密性を規定する権限をまた有するものとみなされる。これに応じて、データが具体的に暗号化されることになるか（例えば、ユーザがデータ項目を機密であるものと確認した場合）、或いは、データ項目の解消可能な暗号化が解消されることになるか（例えば、データ項目を機密でないものと確認した場合）について、ユーザはシステムに指示することが許される。

[0016] 本主題は構造上の特徴および／または方法的な行為に特定の言語で説明しているが、添付の特許請求の範囲に規定される本主題は必ずしも上述した特徴または行為、或いは上述した行為の順序に限定されないことが理解されるべきである。そうではなく、説明する特徴および行為は、特許請求の範囲を実施する例示の形態として開示されるのである。

[0017] コンピューティング・システムは、今や多種多様な増加した形態を取っている。コンピューティング・システムは、例えば、ハンドヘルド・デバイス、電気機器、ラップトップ・コンピュータ、デスクトップ・コンピュータ、メインフレーム、分散コンピューティング・システム、または、コンピューティング・システムであるものと従来は考えてこられなかったデバイスでさえもよい。本説明、および特許請求の範囲において、「コンピューティング・システム」は、如何なるデバイスまたはシステム（或いは、これらの組み合わせ）も含むものとして広く規定され、少なくとも１つの物理的および有形のプロセッサと、該プロセッサによって実行されるコンピュータ実行可能命令を有することができる物理的および有形のメモリと、を含む。コンピューティング・システムは、ネットワーク環境を通じて分散され、多数の構成要素のコンピューティング・システムを含んでもよい。

[0018] 図１に示すように、最も基本的な構成では、コンピューティング・システム１００は、通例、少なくとも１つの処理ユニット１０２およびメモリ１０４を含む。メモリ１０４は、物理システム・メモリでもよく、揮発性、不揮発性、または２つの幾らかの組み合わせでもよい。「メモリ」という用語はまた、本明細書において、物理記憶媒体のような不揮発性の大容量記憶装置のことを称して使用されることもある。コンピューティング・システムが分散される場合は、処理、メモリおよび／または記憶容量が同様に分散される。

[0019] 本明細書において、「実行可能モジュール」または「実行可能コンポーネント」という用語は、ソフトウェア・オブジェクト、ルーティング、またはコンピューティング・システム上で実行される方法を称するものとすることができる。本明細書に記載する異なるコンポーネント、モジュール、エンジンおよびサービスは、コンピューティング・システム上で（例えば、別個のスレッドとして）実行するオブジェクトまたはプロセスとして実装される。

[0020] 以降の説明では、実施形態は、１つ以上のコンピューティング・システムによって実施される行為に関して記載される。このような行為がソフトウェアで実装される場合、行為を実施する付随するコンピューティング・システムが有する１つ以上のプロセッサは、コンピュータ実行可能命令を実行したことに応答してコンピューティング・システムの動作を指示する行為を実施する。例えば、このようなコンピュータ実行可能命令は、コンピュータ・プログラム製品を構成する１つ以上のコンピュータ可読媒体に組み込まれてもよい。このような動作の例には、データの操作が含まれる。コンピュータ実行可能命令（および操作されたデータ）は、コンピューティング・システム１００のメモリ１０４に格納される。コンピューティング・システム１００はまた、コンピューティング・システム１００が、例えばネットワーク１１０を介して他のメッセージ・プロセッサと通信するのを可能にする通信チャネル１０８を含んでもよい。

[0021] 本明細書に記載される実施形態は、より詳細に以下に説明するように、コンピュータ・ハードウェア（例えば、１つ以上のプロセッサおよびシステム・メモリ）を含む、特定用途または汎用のコンピュータ・システムを備え、或いは利用する。システム・メモリは、メモリ１０４の全体に含まれる。システム・メモリはまた「主記憶」とも称され、メモリ・バスを通じて少なくとも１つの処理ユニット１０２によってアドレス可能なメモリ位置を含む。この場合は、アドレス位置はメモリ・バスそれ自体にアサートされる。システム・メモリは従来の揮発性であるが、本明細書に説明される原理はまた、システム・メモリが部分的に或いは完全に不揮発性である状況にも当てはまる。

[0022] 本発明の範囲内の実施形態はまた、コンピュータ実行可能命令および／またはデータ構造を搬送または格納するために、物理的媒体および他のコンピュータ可読媒体も含む。このようなコンピュータ可読媒体は、汎用または特定用途のコンピュータ・システムによってアクセスできる如何なる利用可能な媒体ともすることができる。コンピュータ実行可能命令および／またはデータ構造を格納するコンピュータ可読媒体はコンピュータ記憶媒体である。コンピュータ実行可能命令および／またはデータ構造を搬送するコンピュータ可読媒体は伝送媒体である。つまり、この例には限定されないが、本発明の実施形態は、少なくとも２種類の明確に異なるコンピュータ可読媒体、即ち、コンピュータ記憶媒体および伝送媒体を備えることができる。

[0023] コンピュータ記憶媒体は、物理ハードウェア記憶媒体であり、コンピュータ実行可能命令および／またはデータ構造を格納する。物理ハードウェア記憶媒体は、コンピュータ・ハードウェア（例えばＲＡＭ、ＲＯＭ、ＥＥＰＲＯＭ、ソリッド・ステート・ドライブ（「ＳＳＤ」）、フラッシュ・メモリ、相変化メモリ（「ＰＣＭ」）、光ディスク記憶デバイス、磁気ディスク記憶デバイス若しくは他の磁気記憶デバイス、またはコンピュータ実行可能命令またはデータ構造の形態でプログラム・コードを格納するのに使用できる他の如何なるハードウェア記憶デバイス（複数可）を含み、汎用または特殊目的のコンピュータ・システムによってアクセスおよび実行することができ、開示される本発明の機能性を実装することができる。

[0024] 伝送媒体は、ネットワークおよび／またはデータ・リンクを含むことができ、コンピュータ実行可能命令またはデータ構造の形態でプログラム・コードを搬送するのに使用することができる。また、汎用または特定用途のコンピュータ・システムによってアクセスすることができる。「ネットワーク」は、コンピュータ・システム、モジュール、および／または他の電子デバイスの間で電子データの移送を可能にする１つ以上のデータ・リンクとして定義される。情報がネットワークまたは他の通信接続（有線、無線、または有線若しくは無線の組み合わせの何れか）を通じてコンピュータ・システム移送されるかまたは供給されると、コンピュータ・システムは接続を電送媒体としてビューすることができる。上記組み合わせはまた、コンピュータ可読媒体に含まれるべきである。

[0025] 更に、様々なコンピュータ・システムのコンポーネントに達すると、コンピュータ実行可能命令またはデータ構造の形態のプログラム・コードは、伝送媒体からコンピュータ記憶媒体に（またはその逆）自動的に移送することができる。例えば、ネットワークまたはデータ・リンクを通じて受信されるコンピュータ実行可能命令またはデータ構造は、ネットワーク・インタフェース・モジュール（例えば、「ＮＩＣ」）内でＲＡＭにバッファすることができる。次いで、最終的には、コンピュータ・システムＲＡＭに、および／またはコンピュータ・システムにおける揮発性でないコンピュータ記憶媒体に移送することができる。つまり、コンピュータ格納媒体は、コンピュータ・システムのコンポーネントに含めることができ、当該コンポーネントはまた（或いは本来的に）伝送媒体を利用することが理解されるべきである。

[0026] コンピュータ実行可能命令は、例えば、１つ以上のプロセッサで実行されると、汎用コンピュータ・システム、特殊用途のコンピュータ・システム、または特殊用途の処理デバイスに、特定の機能または機能グループを実行させる命令およびデータを備える。コンピュータ実行可能命令は、例えば、バイナリ、中間フォーマット・インストラクション（例えばアセンブリ言語）、またはソース・コードさえでもよい。

[0027] 本明細書に説明される原理は、多くの種別のコンピュータ・システム構成を有するネットワーク・コンピューティング環境で実践できることが当業者には認められる。コンピュータ・システム構成は、パーソナル・コンピュータ、デスクトップ・コンピュータ、ラップトップ・コンピュータ、メッセージ・プロセッサ、ハンドヘルド・デバイス、マルチ・プロセッサ・システム、マイクロプロセッサ・ベース或いはプログラム可能なコンシューマ・エレクトロニクス、ネットワークＰＣ、ミニコンピュータ、メインフレーム・コンピュータ、モバイル・フォン、ＰＤＡ、タブレット、ページャ、ルータ、スイッチ、およびデジタル・スキャナ等を含む。本発明はまた、分散システム環境で実践することができ、（有線データ・リンク、無線データ・リンク、または有線および無線のデータ・リンクの組み合わせの何れかによって）ネットワークを通じてリンクされるローカルおよびリモートのコンピュータ・システムが共にタスクを実行する。このように、分散システム環境では、コンピュータ・システムは複数の構成要素のコンピュータ・システムを含んでもよい。分散処理システム環境では、プログラム・モジュールはローカルおよびリモートのメモリ記憶デバイスに位置される。

[0028] 本発明がクラウド・コンピューティング環境で実践されることがまた、当業者には認められる。クラウド・コンピューティング環境は分散されてもよいが、これは要件ではない。分散される場合、クラウド・コンピューティング環境は組織内で国際的に分散され、および／または多数の組織にわたり所有されるコンポーメントを有する。この説明および以降の特許請求の範囲において、「クラウド・コンピューティング」とは、構成可能なオンピューティング・リソース（例えば、ネットワーク、サーバ、記憶装置、アプリケーション、およびサービス）の共有プールへのオン・デマンドのネットワーク・アクセスを可能にするモデルとして定義される。「クラウド・コンピューティング」の定義は、適切に展開されるときにこのようなモデルから得ることができる多数の如何なる他の利点にも限定されない。

[0029] 図２は、データ項目のライフサイクル概要図２００を示す。最初に、データ項目が生成される（イベント２０１）。次いで、データ項目は走査され（イベント２０２）、データ項目の機密性の特定を試行する。データ項目が走査された後、データ項目は、権限を有するユーザによってアクセスされる（イベント２０３）。ユーザはまた、データ項目が走査される（イベント２０２）前に、そのデータ項目にアクセスしていることもあり、また、１人以上の他のユーザが、データ項目が走査された後にそのデータ項目にアクセスしていることもある。しかし、本明細書に説明される原理のために、重要なのは、データ項目の機密性について、走査の動作（イベント２０２）の後に、データ項目に最初にアクセスする（イベント２０３）ことを規定する権限をユーザが有することである。イベント２０１と２０２の間、およびイベント２０２と２０３の間は、何分、何時間、何日、何月、何年、または何十年としてもよい。任意のユーザがデータ項目にアクセスする権限を有して、データ項目の機密性を規定できる場合は、イベント２０３は、権限を有するユーザがデータ項目に初回にアクセスすることでもよい。

[0030] 生成の時間（イベント２０１）では、おそらくは、ユーザはデータ項目の機密性の状態（例えば、機密であるか機密でないか）を特定していなかった。或いは、おそらくは、データ項目を発生したアプリケーションは機密性を特定する機構を提供さえもしていなかった。時間と共に、このような大量の未特定のデータ項目は、所与のデータ・ストアにおいて蓄積することになる。

[0031] 図３は、データ項目を分類する方法３００のフローチャートを示す。例えば、本方法３００が実施されることにより、以前に生成された多数のデータ項目のためにイベント２０２を構成することができる。本明細書に説明される原理は、様々なデータ項目が生成されたとき、およびその方法に拘わらず、また、データ項目が異なる時間に異なるアプリケーションによって生成された場合であっても動作する。図４は、データ・セットが走査され、また図３の方法３００の対象となる例示の環境４００を示す。したがって、方法３００は、図４の環境４００を頻繁に参照して説明されることになる。

[0032] 本方法３００は、データ・セットを自動的にバックグラウンドで走査して（行為３０１）、機密候補データ項目を検出する（行為３０２）ことを含む。例えば、例示の環境４００では、データ走査器４１１はデータ・セット４１０を走査し、機密候補データ項目４２０のリストを発生する。機密候補データ項目４２０は、データ項目の機密性を評価することができるかを判断するために、更に評価されることになるデータ項目である。

[0033] 機密候補データ項目４２０は、データ・セット４１０の全てのデータ項目を含む。例えば、データ走査器４１１は、データ・セット４１０の全てのデータ項目が候補機密データ項目４２０となることになることを単に示す試行動作を実施する。しかしながら、データ走査器４１１はまた、対応のデータ項目が機密候補データ項目となることになるかについて判断するために、ポリシ基準を各データ項目の１つ以上の特性と比較することにより、より複雑となることもある。その場合、機密候補データ項目４２０は、データ・セット４１０の全てのデータ項目よりも少ないものを含むことがある。

[0034] データ・セット４１０は、如何なる数のデータ項目を制限無しで含んでもよい。本明細書に説明される原理は、如何なるデータ・セット内の如何なる数のデータ項目に適用することができる。検討のためだけの目的で、データ・セット４１０はデータ項目ＡからＪを含むものとして示される。機密候補データ項目４２０は９つのデータ項目ＡからＩを含むものとして示される。ここでは、データ項目Ｊ（抽象的に円で表される。）は、後続の分類の対象となる機密候補データ項目として走査器４１１によって選択されなかったものである。例えば、おそらくは、データ項目Ｊは既に、以前に走査器４１１の充足(satisfaction)に分類されている。代替では、おそらくは、データ項目Ｊは、走査器４１１が走査することができるファイル・タイプを有しない。代替では、おそらくは、データ項目Ｊは、走査において実益があるファイル・タイプを有しない。

[0035] 次に、ボックス３１０の内容が機密候補データ項目ごとに実施される。例えば、候補データ項目が各々分類される（判断ブロック３１１）。なお、分類を開始する（判断ブロック３１１）のよりも前に、機密候補データ項目の全てが特定される必要性が無い（行為３０２）ことに留意されたい。実際のところ、データ項目が機密候補データ項目として特定された後（行為３０２）に、そのデータ項目は即座に分類される（判断ブロック３１１）。例えば、図４では、分類器４２１が機密候補データ項目４２０の各々を分類する。

[0036] 任意には、複数の機密候補データ項目の内少なくとも幾らかの各々について、本方法は、候補データ項目を、機密である(sensitive)もの（判断ブロック３１１の「はい」）として分類する。機密であるものとして分類される機密候補データ項目の内少なくとも幾らかの各々について、本方法は対応のデータ項目に対して解消不可能(non-dissolvable)な暗号化を適用する（行為３１２）。本説明および特許請求の範囲では、解消不可能な暗号化は、解消可能な暗号化ではない暗号化である。「解消可能な暗号化」(Dissolvable encryption)は、暗号化にアクセスする権限を有する権限ユーザから権限が与えられる場合に元に戻すことができる暗号化のことである。例えば、解消不可能な暗号化とは、暗号化された項目が復号化される場合であっても、暗号化コンテナから情報を抽出するパーミッションを暗号化コンテナが付与することにならないということを意味する。この場合、解消可能な暗号化とは、一旦暗号化された項目が復号化されると、暗号化にアクセスするパーミッションを有するユーザの状態に基づいて、抽出される権限が情報に与えられるということを意味する。例えば、図４では、分類器４２１はポリシ４３１を適用して、機密のステータスをデータ項目ＡおよびＢに割り当てる。機密であるデータ項目は、図４ではそれぞれ抽象的に六角形状の要素で表される。

[0037] 任意には、複数の機密候補データ項目の内少なくとも幾らかのそれぞれについて、データ項目は、機密でない(non-sensitive)ものと分類される（判断ブロック３１１の「いいえ」）。したがって、データ項目には暗号化は適用されない（行為３１３）。例えば、図４では、分類器４２１はポリシ４３３を適用して、非機密のステータスをデータ項目Ｆ、Ｇ、ＨおよびＩに割り当てる。機密でないデータ項目は、図４では抽象的に四角形状の要素によって表される。

[0038] 残りのデータ項目は、機密であるまたは機密でないものには分類されない。残りのデータ項目は、データ項目が機密であるかないかについて高い信頼性で分類器が判断することができないグレー領域にある。機密であるまたは機密でないものとして具体的には分類されない機密候補データ項目の内少なくとも幾らかのそれぞれについて、本方法３００は、そのデータ項目を機密不明であるとして特徴付ける（判断ブロック３１１の「不明」）。本方法３００は次いで、解消可能な暗号化（行為３１４）を対応のデータ項目に適用し、少なくとも一時的にそのデータ項目を保護することができる。例えば、図４では、分類器４２１はポリシ４３２を適用して、機密不明のステータスをデータ項目Ｃ、ＤおよびＥに割り当てる。機密不明であるデータ項目は、図４では抽象的に六角形状の要素によって表される。

[0039] 一実施形態では、分類器は常に、機密候補データ項目を機密不明のものとして分類する。例えば、データ項目の何れもが、機密である（決定ブロック３１１の「はい」）または機密でない（決定ブロック３１１の「いいえ」）ものと分類される。その場合、権限を有するユーザは、各データ項目にアクセスする際に、後に各データ項目に機密性を割り当てる。

[0040] したがって、走査の最終結果は、機密であるものと分類されたデータ項目のセット（０以上）、機密でないものと特定されたデータ項目のセット（０以上）、および機密不明を有するものと特定されたデータ項目のセット（全てに対して幾らか）となる。図２を再度参照すると、この分類は、データ項目の走査時間（イベント２０２）にて生じる。

[0041] データ項目の走査時間の後の或る時点を再度呼び出して(recall)、権限を有するユーザ（データ項目に機密性を割り当てる権限を有するもの）は次いで、データ項目にアクセスする（図２のイベント２０３）。機密不明のステータスが以前に割り当てられているデータ項目が当該権限を有するユーザによってアクセスされると、データ項目が有する機密不明のステータスは、何とかして解決される(resolve)。一実施形態では、データ項目にアクセスする権限を有する如何なるユーザもまた、データ項目の機密性を規定する権限を有する。他の実施形態では、データ項目の機密性を規定する権限を有するユーザはまた、データ項目にアクセスする権限を有する必要もあるということになる。結局のところ、ほとんど全ての場合で、ユーザが少なくとも幾らかの形態でデータ項目にアクセスするのを許すことによる実益があり、その結果、データ項目を分類する手法に関する適切なインテリジェンスを取得することができる。

[0042] 図５は、以前に判断されている走査の動作により機密であるものと具体的に分類できず、つまり、解消可能な暗号化が適用されるデータ項目を使用する方法５００のフローチャートを示す。本方法５００は、データ項目にアクセスするユーザ要求を検出すること（行為５０１）に応じて開始される。本方法は、データ項目が機密性について走査され機密不明のステータスが割り当てられた後に、当該機密不明のステータスが割り当てられたデータ項目が、権限を有するユーザによって最初にアクセスされる時間ごとに開始される。

[0043] ユーザが機密不明であるデータ項目にアクセスした後に、次いで、ユーザがデータ項目の機密性を規定する権限を有するかが判断される（行為５０３）。例えば、実施形態の中には、データ項目を生成したユーザのみが、そのデータ項目の機密性を規定する権限を有するものもある。より厳格でない実施形態では、データ項目に書き込む権限を有するユーザが、データ項目の機密性を規定する権限を有してもよい。更により厳格でない実施形態では、データ項目に対する如何なる全ての特権を有するユーザもが、そのデータ項目の機密性を規定する権限を有してもよい。

[0044] 本方法５００はまた、データ項目が解消可能な暗号化を適用したことを判断する（行為５０２）。行為５０２は、行為５０１および行為５０３と並列で示され、行為５０２および行為５０１、または行為５０２および行為５０３の間に論理的または一時的な従属関係がないことを強調している。次いで、データ項目が具体的に暗号化されることになり（行為５１１）、もはや解消可能ではなくなったかについて、或いは、データ項目の解消可能な暗号化が解消されることになり（行為５１２）、その結果、機密でないものと分類される未保護のデータ項目となったかについて、ユーザは指示することが許される（判断ブロック５１０）。次いで、ユーザの指示がログ付けされる（行為５０４）。したがって、ユーザは、彼または彼女がデータ項目の機密性に関して不適当な判断を行った場合に、後に説明を求められることがある。

[0045] 図６は、データ項目をどのように処理すべきかをユーザが指示するのを可能にする方法６００のフローチャートを示す。また、図５の判断ブロック５１０がどのように実装されるかについての例を示す。本方法６００は、ユーザを訓練すること（行為６０１）を含む。例えば、ユーザは、データ項目が機密性について評価済みであるが、機密性が判断できなかったこと、ユーザがその項目の機密性を規定する権限を有していること、更に、ユーザの指示がログ付けされていることについて通知される。ユーザは更に、機密性を規定する指示について催促される。ユーザの指示が受け取られ（行為６０３）、当該指示は図５の判断ブロック５１０を分岐させるために使用される。

[0046] 一旦データ項目の機密性が（判断ブロック５０３の結果として）ユーザによって、または、（判断ブロック３１１の「はい」または「いいえ」で）システムによって規定されると、その機密性の規定はそのデータ項目に固執することになる。つまり、将来のバックグラウンドの走査では、走査は、データ項目の機密性が既に規定さえているので、それを無視することになる。例えば、図４では、データ項目は、走査器４１１によって無視されるデータ・セット４１０内のそれらデータ項目の内１つである。抽象的に話すと、データ項目は円形となり、データ項目Ｊがそうだったように、走査器はそのデータ項目を将来の走査で機密候補データ項目とはみなさないものを表す。つまり、分類器４２１によって後続される機密性ポリシの変更は、データ項目が、割り当て済みの機密ステータスを既に有しているにも拘わらず、当該データ項目が再評価されることになる。つまり、機密性の指定は、時間とともに新鮮さを失うことになり、再評価されることになる。結局のところ、データ項目の機密性は、時間とともに変化することになる。

[0047] 本明細書に説明される原理は、カスタマの不快感を回避すること、およびセキュリティを向上させることの間にはもはや均衡は存在しないという点で、先行技術に対し明確な利点を供するものである。例えば、従来のバックグラウンドの走査の結果、走査によって、データ項目が機密であるものと、または機密でないものとしてマークされる。中間は存在しない。したがって、従来のバックグラウンドの走査では、判断の閾値近くにあるデータ項目について、偽陽性および偽陰性という異なる可能性が導出されてきた。

[0048] 例えば、偽陽性は、実際に機密でないデータ項目が機密であるものと判断されるときに生じる。このことは、ユーザに対する不快感という結果となる。何故ならば、付加的な基準が適用され、処理リソースが適用され、機密でないリソースにユーザがアクセスしたときに行動が制限されるからである。例えば、ユーザは、走査動作がクレジット・カード番号のように多くの番号と共に電子メールをタイプすることがある。しかし、実際のところは、それらは、ユーザが趣味として取り付けている自動車エンジンに対する部品番号に過ぎない。偽陽性は、受信者が電子メールを誰かに転送するのを制限するかもしれず、或いは、送信者はｃｃのラインに誰かを含めることに対し制限されるかもしれない。

[0049] データ項目が機密であるときに偽陰性が生じるが、走査は機密性を認識しない。このことは、データ項目へのアクセスが適切に制限されないので、セキュリティ違反という可能性となる。

[0050] 判断閾値が低い場合は、バックグラウンドの走査は機密ステータスを積極的に割り当て、そして、数多くの偽陽性があるが、増加したセキュリティの実益を有する。判断閾値が高い場合は、バックグラウンドの走査は寛大となり(permissive)、機密データが漏洩するのを許す傾向となり、少ない例ではあるが、ユーザは、機密でないデータに対して動作する能力が否定される。

[0051] 本明細書に説明される原理によれば、機密ステータスを割り当てる判断閾値と、非機密ステータスを割り当てる判断閾値との間には隙間がある。それらは、２つの異なる判断閾値である。判断閾値の間の中間域はグレー領域である。グレー領域では、走査動作は、データ項目が機密であるか否かを単純に具体的に判断することはできない。本明細書にて説明される原理は、権限を有するユーザが次にデータ項目にアクセスするときに、権限を有するユーザの支援を求めることによって、これらの不確定のデータ項目を異なるものと処理する。その間、走査動作が発生する時間（イベント２０２）、およびユーザがデータ項目にアクセスする時間（イベント２０３）との間において、データ項目は、暗号化された状態で存在し、つまり、その場合は保護される。しかしながら、暗号化は、権限を有するユーザの権限によって元に戻すことができる解消可能な暗号化である。

[0052] 本発明は、その主旨または主要な特徴を逸脱することなく他の特定の形態で具現化することができる。説明された実施形態は、全ての観点で例示的なものとしてのみで考慮されるべきできあり、非限定的なものである。本発明の範囲は、それ故、添付の請求の範囲によって示されるのであって、上述した説明によるのではない。特許請求の範囲と均等の意味および範囲の中にある全ての変更態様が、それら範囲内に包含されることになる。

Claims (10)

1. 複数のデータ項目を分類するコンピュータ実装方法であって、当該コンピュータ実装方法のためのコンピュータ実行可能命令を実行する１つ以上のプロセッサによって実施され、
   データ・セットを自動的にバックグラウンドで走査して、複数の機密候補データ項目を検出するステップと、
   前記複数の機密候補データ項目の内少なくとも幾らかのそれぞれについて、前記機密候補データ項目が機密であるものと具体的に分類されることにはならないと判断するステップと、
   機密であるものと具体的に分類されることにはならない前記機密候補データ項目の内少なくとも幾らかのそれぞれについて、解消可能な暗号化を、対応する前記データ項目に適用して、該データ項目を少なくとも一時的に保護するステップと、
   を含む、方法。
2. 請求項１記載の方法であって、更に、
   前記複数の機密候補データ項目の内少なくとも幾らかのそれぞれについて、前記機密候補データ項目を機密であるものと分類するステップを含む、方法。
3. 請求項２記載の方法であって、更に、
   機密であるものと分類された前記機密候補データ項目の内少なくとも幾らかのそれぞれについて、解消不可能な暗号化を、対応する前記データ項目に適用するステップを含む、方法。
4. 請求項２記載の方法であって、更に、
   前記複数の機密候補データ項目の内少なくとも幾らかのそれぞれについて、前記データ項目を機密でないものと分類するステップを含む、方法。
5. 請求項１記載の方法において、当該方法が、デフォルトで、前記候補データ項目の何れもが、機密であるものと具体的に判断されることにはならないと判断する、方法。
6. 請求項１記載の方法において、自動的にバックグラウンドで走査する前記行為が、全てのデータ項目を機密候補データ項目と特定することを含むように、前記データ・セットの全てのデータ項目は、デフォルトで、機密候補データ項目として特徴付けられる、方法。
7. 請求項１記載の方法において、対応する前記データ項目が機密候補データ項目になるかを判断するために、バックグラウンドの走査が各データ項目の１つ以上の基準を使用する点で、前記データ・セットの全ての前記データ項目より少ないものが機密候補データ項目として特徴付けられる、方法。
8. 請求項１記載の方法であって、更に、
   解消可能な暗号化を適用する前記行為において解消可能に暗号化されている、解消可能に暗号化されたデータ項目にアクセスするために、ユーザ要求を検出するステップと、
   前記ユーザが前記データ項目の機密性を規定する権限を有することを検出するステップと、
   前記権限を有するユーザの要求に応答して、前記解消可能に暗号化されたデータ項目が具体的に暗号化されることになるか、または、前記データ項目の前記解消可能な暗号化が解消されて、機密でないものと分類された未保護のデータ項目を解決することになるかについて、ユーザに命令するのを許すステップと、
   を含む、方法。
9. コンピューティング・システムであって、
   １つ以上のプロセッサと、
   前記１つ以上のプロセッサにアクセス可能な１つ以上のコンピュータ可読媒体であって、前記１つ以上のプロセッサによって実行されると、当該コンピューティング・システムにコンピュータ実装方法を実施させるように構成されたコンピュータ実行可能命令を格納するコンピュータ可読媒体と、
   を備え、前記コンピュータ実装方法が、
   データ・セットを自動的にバックグラウンドで走査して、複数の機密候補データ項目を検出するステップと、
   前記複数の機密候補データ項目の内少なくとも幾らかのそれぞれについて、前記機密候補データ項目が機密であるものと具体的に分類されることができないと判断するステップと、
   機密であるものと具体的に分類されることができない前記機密候補データ項目の内少なくとも幾らかのそれぞれについて、解消可能な暗号化を、対応する前記データ項目に適用して、該データ項目を少なくとも一時的に保護するステップと、
   を含む、システム。
10. 当該システムがカメラ・システムを具備する、請求項９記載のシステム。

Images