JP2019016370A - クラウド・コンピューティング・サービス（ｃｃｓ）上に保存された企業情報をモニター、コントロール、及び、ドキュメント当たりの暗号化を行うシステム及び方法 - Google Patents

クラウド・コンピューティング・サービス（ｃｃｓ）上に保存された企業情報をモニター、コントロール、及び、ドキュメント当たりの暗号化を行うシステム及び方法 Download PDF

Info

Publication number
JP2019016370A
JP2019016370A JP2018160069A JP2018160069A JP2019016370A JP 2019016370 A JP2019016370 A JP 2019016370A JP 2018160069 A JP2018160069 A JP 2018160069A JP 2018160069 A JP2018160069 A JP 2018160069A JP 2019016370 A JP2019016370 A JP 2019016370A
Authority
JP
Japan
Prior art keywords
content
ccs
data
api
computer
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP2018160069A
Other languages
English (en)
Other versions
JP6476339B2 (ja
JP6476339B6 (ja
Inventor
クリシュナ ナラヤナスワミー，
Narayanaswamy Krishna
クリシュナ ナラヤナスワミー，
ラヴィ イタール，
Ithal Ravi
ラヴィ イタール，
スティーヴ マルムスコッグ，
Malmskog Steve
スティーヴ マルムスコッグ，
シャンカラン グナナシャンミューガム，
Gnanashanmugam Shankaran
シャンカラン グナナシャンミューガム，
アルジュン サムバムーシー，
Sambamoorthy Arjun
アルジュン サムバムーシー，
チェタン アナンド，
Anand Chetan
チェタン アナンド，
プラシャンス アルン，
Arun Prashanth
プラシャンス アルン，
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Netskope Inc
Original Assignee
Netskope Inc
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Netskope Inc filed Critical Netskope Inc
Publication of JP2019016370A publication Critical patent/JP2019016370A/ja
Publication of JP6476339B2 publication Critical patent/JP6476339B2/ja
Application granted granted Critical
Publication of JP6476339B6 publication Critical patent/JP6476339B6/ja
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/602—Providing cryptographic facilities or services
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6209—Protecting access to data via a platform, e.g. using keys or access control rules to a single file or object, e.g. in a secure envelope, encrypted and accessed using a key, or with access control rules appended to the object itself
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0281—Proxies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0435—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply symmetric encryption, i.e. same key used for encryption and decryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/062—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key distribution, e.g. centrally by trusted party
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/123—Applying verification of the received information received data contents, e.g. message integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1458—Denial of Service
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/10—Protocols in which an application is distributed across nodes in the network
    • H04L67/1097—Protocols in which an application is distributed across nodes in the network for distributed storage of data in networks, e.g. transport arrangements for network file system [NFS], storage area networks [SAN] or network attached storage [NAS]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/083—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) involving central third party, e.g. key distribution center [KDC] or trusted third party [TTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0866—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving user or device identifiers, e.g. serial number, physical or biometrical information, DNA, hand-signature or measurable physical characteristics
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0869—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving random numbers or seeds
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0872—Generation of secret information including derivation or calculation of cryptographic keys or passwords using geo-location information, e.g. location data, time, relative position or proximity to other entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3236—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H04W12/088—Access security using filters or firewalls
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/061—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00 applying further key derivation, e.g. deriving traffic keys from a pair-wise master key

Abstract

【課題】クラウド・コンピューティング・サービス上に保存された企業情報をモニターし、コントロールし、ドキュメント当たりの暗号化を行うシステム及び方法を提供する。【解決手段】システムは、ドキュメントの安全な暗号化のために、組織識別子、アプリケーション識別子及び領域識別子のトリプレットを用いてキーマネージャにアクセスし、それに応じて、３重キー及び３重キーを一意的に識別する３重キー識別子を受け取る。更に、クラウド・コンピューティング・サービス（ＣＣＳ）上に保存された企業情報のモニター及びコントロールは、使用中のクラウド・コンピューティング・サービス（ＣＣＳ）アプリケーション・プログラミング・インターフェース（ＡＰＩ）及びＣＣＳ・ＡＰＩを介して実行される機能または活動を検出するクロス・アプリケーション・モニタを使用する。【選択図】図４

Description

優先権データ
本出願は、下記の出願と関連し、その利益を主張する。
「クラウド・コンピューティング・サービス（ＣＣＳ）上に保存された企業情報をモニター及びコントロールするシステム及び方法」、米国仮特許出願第６２／１３５６５６号、２０１５年３月１９日出願（代理人事件整理番号：ＮＳＫＯ １００１−１）
「クラウド・コンピューティング・サービス（ＣＣＳ）上に保存された企業情報をモニター及びコントロールするシステム及び方法」、米国特許出願第１４／８３５６４０号、２０１５年８月２５日出願（代理人事件整理番号：ＮＳＫＯ １００１−２）
「クラウド・コンピューティング・サービス（ＣＣＳ）上に保存された企業情報をドキュメント当たりの暗号化を行うシステム及び方法」、米国特許出願第１４／８３５６３２号、２０１５年８月２５日出願（代理人事件整理番号：ＮＳＫＯ １００２−１）
合体資料
下記の資料は、本出願に参照として組み込まれている。
「ネットワーク配信されるサービスのためのセキュリティ」、米国仮特許出願第６１／７７３６３３号、２０１３年３月６日出願（代理人事件整理番号：ＮＳＫＯ １０００−１）
「ネットワーク配信されるサービスのためのセキュリティ」、米国特許出願第１４／１９８４９９号、２０１４年３月５日出願（代理人事件整理番号：ＮＳＫＯ １０００−２）
「ネットワーク配信されるサービスのためのセキュリティ」、米国特許出願第１４／１９８５０８号、２０１４年３月５日出願（代理人事件整理番号：ＮＳＫＯ １０００−３）
「クラウド・コンピューティング・サービス（ＣＣＳ）上に保存された企業情報をモニター及びコントロールするシステム及び方法」、米国仮特許出願第６２／１３５６５６号、２０１５年３月１９日出願（代理人事件整理番号：ＮＳＫＯ １００１−１）
「クラウド・コンピューティング・サービス（ＣＣＳ）上に保存された企業情報をモニター及びコントロールするシステム及び方法」、米国特許出願第１４／８３５６４０号、２０１５年８月２５日出願（代理人事件整理番号：ＮＳＫＯ １００１−２）
「クラウド・コンピューティング・サービス（ＣＣＳ）上に保存された企業情報をドキュメント当たりの暗号化を行うシステム及び方法」、米国特許出願第１４／８３５６３２号、２０１５年８月２５日出願（代理人事件整理番号：ＮＳＫＯ １００２−１）
「Data Loss Prevention and Monitoring in the Cloud」、ネットスコープ， インク（netScope, Inc）発行
「The 5 Steps to Cloud Confidence」、ネットスコープ， インク（netScope, Inc）発行
「Netskope Active Cloud DLP」、ネットスコープ， インク（netScope, Inc）発行
「Repave the Cloud-Data Breach Collision Course」、ネットスコープ， インク（netScope, Inc）発行
「Netskope Cloud Confidence IndexTM」、ネットスコープ， インク（netScope, Inc）発行
開示された技術は、一般的に、ネットワーク配信されるサービスに対して、視認性、コントロール、及び、データセキュリティを提供することに関連し、より詳しくは、クラウドサービスの処理及び取引のセキュリティ及び法規制の順守に関する。
本項で議論される主題は、本項におけるその言及の結果、単に従来技術であると仮定すべきではない。同様に、本項で述べた問題または背景技術として提供された主題に関連する問題は、従来技術内で既に認識されたものと仮定すべきではない。本項の主題は単に様々なアプローチを示しているに過ぎず、また、それ自体または自発的に、請求項に記載の技術の実施に対応し得る。
データはあらゆるビジネスの源泉であり、それが効果的に管理され、保護され、順守の必要性に適合することが重要である。過去におけるデータの保護は、主として構内状況に集中していたが、クラウドサービスの採用が増加している昨今では、全ての規模の会社が今やデータの生成、編集、保存のためにクラウドに依存している。このことは新たな課題を提示している。その利点にも拘わらず、クラウドでは人々が企業の機密データを簡単に喪失し得る。一つの理由として、人々は複数のデバイスからより簡単にクラウドサービスにアクセスできる点がある。他の理由として、クラウドサービスでは、組織外の人々も含めて、データの共有が容易に行える点である。これらの理由から、データは組織のコントロールから容易に逸脱し得る。
更に、クラウドサービスの数が指数関数的に増加しているため、非常に多くの方法でデータが漏洩し得る。従業員は電子メール送信時に間違ったファイルを添付して、期限に対して急いでいる時に不注意になって直ぐに送信ボタンを押してしまうかも知れず、或いは、該従業員の組織外の人々とデータを共有して協力するかも知れない。また、ネイティブなクラウドストレージの同期クライアントは組織に対して重要なリスクをもたらす。従業員が会社の秘密情報を漏洩していると認識せずに、端点とクラウドサービスの間で連続的な同期が生じてしまう。不満を持った労働者の場合、クラウドサービスでは、彼等は極めて容易に知的財産を盗むことができてしまう。
従って、人々が、知的財産、非公開の財務情報、戦略的計画、顧客リスト、個人を特定可能な顧客または従業員に属する情報、等の機密情報を危うくすることなく、生産的であり、仕事にとって最良のツールを使用し続けられるように、クラウドサービスの使用を促進することが必須である。
図面では、種々の図を通して同様の参照符号が同様の部分に引用される。また、図面は必ずしも均一な縮尺ではなく、それに代えて、一般的には、開示された技術の原理を説明する箇所を強調している。以下の記載では、当該開示された技術の様々な実施態様が、以下の図面を参照して説明される。
一実施態様に係るシステムのアーキテクチャレベルの概略構成を示す図である。
一実施態様に係るシステムの仮想的なネットワークトポロジーを示す図である。
一実施態様に係るシステムのより詳細なネットワークトポロジー及びデータの流れを示す図である。
クラウド・コンピューティング・サービス（ＣＣＳ）上に保存された企業情報をモニター及びコントロールする代表的な方法を示す図である。
開示された技術の一実施態様におけるクロス・アプリケーション・モニタのブロック図を、抽出エンジン、分類エンジン、及び、セキュリティエンジンを詳細に示して説明する図である。
データプレーンのポイント・オブ・プレゼンスのアーキテクチャレベルの構成を示す図である。
管理プレーンのポイント・オブ・プレゼンスのアーキテクチャレベルの構成を示す図である。
クラウドサービスのＡＰＩを介して実行されるコンテンツレベルの活動を識別する模範的なイベントログ項目を示す図である。
きめ細かいコンテンツポリシーの設定に利用可能なコンテンツ・モニタ・インターフェースの一実施態様を示す図である。
組織の特定のエンティティに適用可能なきめ細かいコンテンツポリシーの作成に利用可能なコンテンツ・モニタ・インターフェースの一実施態様を示す図である。
特定のクラウドサービスに適用可能なきめ細かいコンテンツポリシーを適用するのに利用可能なコンテンツ・モニタ・インターフェースの一実施態様を示す図である。
コンテンツ検査ルール用のキーワードまたは正規表現ベースの検索パターンの設定に利用可能なコンテンツ・モニタ・インターフェースの一実施態様を示す図である。
隔離セキュリティ処置のワークフローの一実施態様を示す図である。
指導（ｃｏａｃｈ）セキュリティ処置のワークフローの一実施態様を示す図である。
正当化セキュリティ処置のワークフローの一実施態様を示す図である。
暗号化セキュリティ処置のワークフローの一実施態様を示す図である。 暗号化セキュリティ処置のワークフローの一実施態様を示す図である。
復号化のワークフローの一実施態様を示す図である。
きめ細かいコンテンツポリシーの設定に利用可能なコンテンツ・モニタ・インターフェースの一実施態様を示す図である。
［序論］
以下の詳細な説明は図面を参照して行われる。サンプルの実施態様を記載して、開示された技術を説明するが、開示された技術は、当該実施態様に限定されるものではなく、請求の範囲によって規定される。当業者は以下の開示に対して様々な等価な変形を認識するであろう。
説明は以下に示すように整理されている。先ず、様々な実施態様によって扱われる問題の幾つかを記載する序論が示され、引き続き、その議論で使用される用語の説明を行う。そして、一実施態様の高レベルの記述がアーキテクチャレベルで議論される。次に、セキュリティを提供する幾つかの実施態様によって使用されるアルゴリズムが議論される。最後に、システムを実施するためのより詳細なアーキテクチャが、フィルタリングルール、モデル、及び、アプリケーション定義とともに、議論される。
我々は、ネットワーク配信されるサービスに対してセキュリティを提供するためのシステム及び様々な実施態様を説明する。開示された技術は、組織のネットワークとインターフェースをとるクラウドサービスに視認性を提供する。それによって、組織は、当該サービスとのやり取りを安全に、準拠して、且つ、極めて効率的に行うようにする粒度の細かいポリシーを策定することができる。更に、組織は、危険な行為及び潜在的なデータ損失或いは漏洩（ｂｒｅａｃｈ）を識別することができる。
登場するクラウドサービスの数の増加とともに、組織は、当該サービスへの重要な企業データの転送をモニター及びコントロールする技術的問題と取り組んでいる。組織は、「クラウドの門番」の欠如によって、彼らのセキュリティ及びコンプライアンスの主張を最早証明できないことを懸念している。
組織は、クラウド・コンピューティング・サービス（ＣＣＳ）を大々的に採用した。クラウドコンピューティングにより、従来のコンピューティングツールと比較して、人々がより速く、より簡単に、より柔軟に彼らの仕事を行えるようになったため、今日、クラウドコンピューティングは進展して、ＩＴ消費の２３％を占める。クラウドコンピューティングの最も普及し採用されている部分であるクラウドサービスは、企業内で増殖しており、今日、企業で、何千ものクラウドサービスが利用されている。
クラウドサービスは、ほぼ全ての種類の企業において益々一般的に普及してきている。幾つかの場合は、クラウドサービスがより安価に購入でき運用できることによる。他の場合は、人々が、構内ソフトウェアを使用する場合と比較して、サービスをより速く開発して、最新製品の特徴をより直ぐに利用して敏捷でありたいことによる。更に他の場合は、人々が、ソフトウェアの初公開を成功させるために、要求される多くの門番（操作、ハードウェア、ネットワーキング、及び、セキュリティ）に亘って調整したくないことによる。
ＩＴが幾つかのクラウドサービスに対して所有権或いは責任を有している一方、人々は今や、ＩＴの外側に行き、一般的に「影のＩＴ」を呼ばれる彼等自身のサービスを開発する力がこれまで以上に与えられている。このことは、人々が、ＩＴの関与なしに、これらのサービスを獲得し、対価を支払い、管理し、使用することを意味する。このことは、「影のＩＴ」か、認可されているか、または、セキュリティ及びコンプライアンスコントロールを実施するためであろうと、ＩＴが、組織を横断して実行されるクラウドサービスの全てを常に管理し、保護する方法が全くないことを意味する。
クラウドサービスの使用量は、影または認可されているものであろうと大きくなっており、世界中の経営幹部レベル、取締役会、及び、監査委員会は、彼らの企業のクラウド技術が、安全で、ビジネスポリシーに準拠しているか、ベンダーとのサービスレベル契約に応じて実施されるか問い始めている。よって、ＩＴが、これらの質問に自信を持って回答でき、これらの懸念を和らげることが好ましい。
更に、データ流出（ｌｅａｋ）は何百ドルもの企業損失を及ぼし得る。機密情報が漏洩すると、会社は何百ドルも支出して内部調査を行い現存のインフラストラクチャを修復することになる。また、損なわれた評判、外部監査、及び、訴訟への対応が、会社に対して長期に亘って続く可能性がある。知的財産を販売及び依存する会社にとっては、データ流出は更に長期のコストとなり得る。会社が知的財産を損失した場合、それは直接且つ即座に研究開発コスト及び収益に影響を与える。
フォレスター・リサーチ（Forrester Research）社は、平均的なデータ流出は結果的に１５０万ドルの経済的損失となると推定している。結局、データ流出のコストは組織の規模及び種類、流出したデータの機密度、流出自体の規模に応じて決まる。フォレスター・リサーチ社によれば、組織が顧客データを失った場合、レコード当たりの総コストは２１８ドルである。１０万顧客レコードの損失となる単純なデータ流出が、直接及び即座に何百ドルものコストとなり得る（Trends「Calculating the Cost of a Security Breach」フォレスター・リサーチ社、２００７年４月１０日発行参照）。
ポネモン・インスティテュート（Ponemon Institute）社は、ネットスコープが後援した６１３のＩＴ及びセキュリティ専門家の調査を行い、彼らの丁度半数超（５１％）がクラウドサービスの使用がデータ漏洩（ｂｒｅａｃｈ）の可能性を増加させたと考えていることを見出した。回答者の９０％が、機密及び／または秘密情報をクラウドサービス内にバックアップ及び保存することが、組織内で１２カ月間に亘って５０％増加しており、そのことがデータ漏洩の可能性を増大させていると言っている。本検討は、クラウドサービスをより利用することによるデータ漏洩の増加するコストを計算するために、このような情報を利用した。平均して、主たるデータ漏洩により、組織は約２３７万ドル（１４１ポンド）の負担が掛かるが、クラウドサービスの利用の増加により、当該負担は、推定で約３１０％増加し、７３４万ドルになり得る（Data Breach「The Cloud Multiplier Effect」、２０１４年６月４日発行参照）。
組織は、不明な技術に直面した場合、しばしば、それを止める傾向がある。それは、不良な技術を発見し修復するのにＩＴが使用してきた多くのツールはバイナリーであるため、斯かるツールでは、組織はイエスかノーしか言えない。市場で入手可能なデータ損失防止（ＤＬＰ）ソルーションは、データの許可されていない移動の試みに対して、ポリシーがそのように要求している場合、当該移動を完全に遮断するように応答するという、同様の欠点を有している。更に、現存するＤＬＰソルーションは、ユーザ活動ベースのコンテキストが十分ではなく、結果として、余計な誤検出に対して警告を発する。
ここに開示する技術的なソルーションは、データ流出（ｌｅａｋ）及びデータ漏洩（ｂｒｅａｃｈ）の技術的な問題を解決する。特に、当該ソルーションは、組織に対し、市場で入手可能なほぼ全てのクラウドサービスを使用できるようにし、そして、当該サービスの利用を、セキュリティ及びコンプライアンスの観点から組織に受け入れ可能とするために、或る活動を選択的に許可する。特に、当該ソルーションは、一実施態様に基づいて、１以上のコンテンツプロファイルと対照して、コンテンツの詳細（例えば、コンテンツタイプ、ファイル、または、オブジェクト名）の評価に基づいて機密データの送信と関係する活動を識別する。コンテンツプロファイル（例えば、個人を特定可能な情報、ペイメントカード情報、及び、電子個人健康情報）は、コンテキスト及び活動を意識した機密データの検出を提供するカスタムデータ識別子と業界標準データ識別子の組み合わせを含む。
開示された技術は、潜在的なデータ流出シナリオを防止し、連続的なコンプライアンスを許容するために、リアルタイムで、当該コンテンツプロファイルに基づいて、粒度の細かいポリシーを実施する。別の実施態様では、既に送信されたかも知れない機密データを発見するために、クラウドサービスが、コンテンツプロファイルと対照して、過去に遡って評価される。幾つかの実施態様では、当該実施は世界的規模で行われ、組織のネットワークとインターフェースを取る全てのクラウドサービスに適用される。別の実施態様では、当該実施は個人のクラウドサービスまたはクラウドサービスの業務分野にも適用される。
また、実施態様の別の側面は、客観的基準に基づいてクラウドサービスの企業の即応性（ｒｅａｄｉｎｅｓｓ）を見極め、総合的なスコアを割り当てるクラウド信頼指標（ＣＣＩ：Ｃｌｏｕｄ ｃｏｎｆｉｄｅｎｃｅ ｉｎｄｅｘＴＭ）である。特に、ＣＣＩは、クラウドサービスの様々な属性に取り入れることにより、クラウドサービスの企業即応性を測る。クラウドサービス属性の以下のリストは、網羅的ではなく典型的であり、暗号化ポリシー、監査能力及び営業継続性、災害管理ポリシー、データセンタの数、データセンタのコンプライアンス証明書（例えば、ＳＯＣ２）、身元（ｉｄｅｎｔｉｔｙ）及びアクセスコントロール、ファイル共有、データ分類、監査及び警戒態勢、データアクセスログ保存、パスワードポリシー、喪失ポリシー、公開データ回復計画、及び、検査及びセキュリティコントロールのためのプロキシトラフィックに対する能力を含む。
幾つかの実施態様は、組織のネットワークとインターフェースを取る各クラウドサービスに対して１〜１００のスコアを割り当てることを含む。更に、割り当てられたスコアに基づいて、クラウドサービスは、優秀、高度、中度、低度、不良等の種々のクラウド信頼レベルに分類される。
別の実施態様は、ＣＣＩが、クラウドサービスを、クラウドストレージ、協力（ｃｏｌｌａｂｏｒａｔｉｏｎ）、金融及び会計、顧客関係管理（ＣＲＭ）、人材、及び、ソフトウェア開発を含む複数のカテゴリーにグループ分けすることを含む。
一実施態様では、ＣＣＩは、例えば、下記のようなリアルタイムコンテンツポリシーにおける照合基準として利用可能である。
◆ ＣＣＩスコアが中度以下のクラウド・ストレージ・サービスへの個人を特定可能な情報のアップロードを遮断する。
◆ 中度、低度、または不良と評価されているクラウド・ストレージ・サービス内のコンテンツの共有をユーザに許可しない。別の実施態様では、中度以下と評価されているクラウドサービスは、企業非対応、及び、危険であると判断され得る。
更に別の実施態様では、組織は、組織の要求及び基準に適合するように、上記指標の重み付けを調整することにより、ＣＣＩをカスタマイズすることができる。
コンテンツプロファイルに基づいて規定された粒度の細かいポリシーを用いて企業データをモニター及びコントロールする幾つか例は、下記を含む。
◆ 販売担当のユーザにどの公開の営業促進用カタログの共有を許可するとともに、該ユーザが、秘密と判断されるコンテンツをクラウド・ストレージ・サービスから管理されていないシステムにダウンロードできないようにする。
◆ 投資家向け広報活動に従事しているユーザの誰かが、金融／会計サービスからのコンテンツを組織外の誰かと共有した場合に、ＩＴに警告を発する。
◆ アメリカ合衆国外にいるユーザの何れに対して、どのＣＲＭサービスからの連絡もダウンロードできないようにする。
◆ 中度以上のＣＣＩスコアのサービスに対してのみデータのアップロードを許可し、それ以外のサービスへのデータのアップロードをできないようにする。
◆ クラウドサービス内の当組織の秘密ＤＬＰプロファイルにマッチする全てのコンテンツを暗号化する。
◆ クラウド・ストレージ・サービスからの如何なる．ｅｘｅファイルのダウンロードも遮断する。
◆ 如何なるＨＲクラウドサービスからモバイルデバイスへのＰＩＩのダウンロードに対して警告を発する。
別の実施態様では、開示された技術は、クラウドサービスを横断して機密データが移動するのを、送信されたコンテンツの追跡記録（ａｕｄｉｔ ｔｒａｉｌ）を維持しながら追跡する。例えば、分析を実行している最中に、組織のＩＴが不審な活動を発見したとします。分析者は、組織を退職して競合他社に移った僅か数日前に、その従業員が会社のクラウドサービスの１つから機密データをダウンロードし、そして、そのファイルを該従業員個人のログイン認証情報でアクセスできるクラウド・ストレージ・サービスにアップロードすることにより、データをこっそり盗み出したと疑う。開示された技術を用いて、ＩＴは、当該事件に至るまで及びその直後における当該ユーザに対するあらゆるクラウドサービス行為を示す法廷追跡記録を構築することができる。これにより、ＩＴが不審な行為を発見できるだけでなく、発生した漏洩を証明し、悪意のある活動または犯罪活動を明確に実証できるようなる。
何らかのイベントまたは基準からの偏差、例えば、或るコンテンツプロファイルを仮定して機密と判断されるデータの送信を発見すると、開示された技術は、阻止、警告、迂回（ｂｙｐａｓｓ）、隔離、指導（ｃｏａｃｈ）、修復するワークフローを開始、記録、正当化を追求、コンプライアンスに違反するイベントまたは活動についての報告、或いは、コンテンツ暗号化を含む複数のセキュリティ処置を始動させることができる。セキュリティ処置のタイプは、コンテンツポリシーのタイプ、実行されるコンテンツレベルの活動、及び、コンテンツのタイプの少なくとの何れか１つに基づき得る。別の実施態様では、例えば、機密データの所有権を変更するなどの、確実なオフライン検査がセキュリティ処理として始動される。
特に、開示された技術は、ユーザグループ、位置、デバイス、サービスまたはカテゴリー、活動、及び、コンテンツを含むきめ細かいコンテキスト内のデータを保護することにより、彼らの顧客及びビジネスに対して安全なクラウドの採用を提供する。クラウドサービスに対する暗号化が全部かゼロかの提案となるソリューションとは異なり、開示された技術は、会社が保護を要するデータの開口部を狭めることを許容し、その結果、会社は必ずしも全てを暗号化する必要なく、彼らの組織内の真のリスクを標的にできる。
一実施態様では、開示された技術は、クラウドサービスにアップロードされる、同サービスからダウンロードされる、または、同サービス内で発見された企業データに対して、ＡＥＳ２５６ビット暗号化を使用する。きめ細かなコンテキスト上のコントロールを行うことに加えて、会社は、個人を特定可能な情報、電子個人健康情報、ペイメントカード情報、プロファニティ（ｐｒｏｆａｎｉｔｙ）、及び、組織によって規定されたカスタム正規表現さえ含む、組織のデータ損失防止（ＤＬＰ）プロファイルにマッチするコンテンツに対して暗号化を行える。
以下は、開示された技術を用いて実施可能な幾つかの暗号化に関連する使用ケースのサンプルリストである。
◆ バイオ−製薬会社は、電子個人健康情報を含むファイルは何れも、如何なるデータ及び分析クラウドサービスにアップロードする際には暗号化しなければならないとするポリシーを実行することができる。
◆ 投資銀行は、該銀行のカスタム正規表現プロファイルに基づいて合弁買収（Ｍ＆Ａ）のデータを有するクラウドサービス内の現存するフォルダは何れも、暗号化しなければならず、且つ、コラボレーショングループ内でのみ共有を可能とするポリシーを実行することができる。
◆ 保険会社は、保険査定員によってモバイルデバイスからクラウド・ストレージ・サービスにアップロードされるファイルは何れも暗号化しなければならないとするポリシーを実行することができる。
開示された技術を用いて、組織のＩＴは、下記を含む組織のビジネス活動及び規制に基づいてコンプライアンス志向の質問に答えることができる。
◆ ブルガリアの当組織のコールセンターから誰が当組織のＣＲＭシステムにアクセスし、彼らは具体的に何をしているのか？
◆ 当組織の投資家向け広報活動グループから誰が、会社の「沈黙期間」の間に我々のクラウドからのドキュメントファイルを共有しているのか？
◆ 人材部門でないマネージャーの誰かが過去３カ月に何れかのクラウドアプリケーションから給与データをダウンロードしたか？
◆ データ漏洩を示唆する過剰なダウンロード、アップロード、または共用が存在するか？
より典型的な実施態様では、開示された技術によって組織は以下のことが可能となる。
◆ クラウドサービスの使用を可能としつつ、しかし、社外の人々とのデータの共有は阻止する。
◆ 仮に流出、盗難、或いは、改ざんされたら、組織に深刻なダメージを与え得る極秘データ或いは知的財産データを含むファイルをクラウド・ストレージ・サービスにアップロードすることを許可しない。
◆ 世界中の人材及び金融グループにいる人々が人材または金融／会計サービスにアクセスすることを許容しつつ、しかし、アメリカ合衆国外にいる誰かが給与データをダウンロードすることは阻止する。
◆ アップロードされようとしているか、または、既にクラウドサービス内に存在するコンテキスト中の機密コンテンツを暗号化する。
開示された実施態様に応じたシステム、装置、及び、方法の実施例は、情報技術を背景として説明される。他の例では、開示された技術は、不正行為検知、通信システム、金融システム、証券取引、銀行取引、ビジネス・インテリジェンス、マーケティング、鉱山業、エネルギ分野、等に適用できる。他のサービスも可能であり、以下の実施例は、技術的範囲、文脈、または、設定において限定的または制限的に捉えるべきではない。
開示された技術は、クラウド・コンピューティング・サービス（ＣＣＳ）上に保存された企業情報をモニター及びコントロールに関連する。開示された技術は、オンデマンドデータベースシステム、マルチテナント環境、等を含むコンピュータ実装システムという状況下で実施され得る。更に、本技術は、互いに協力または通信する２以上の別個の区別可能なコンピュータ実装システムを用いて実施できる。本技術は、プロセス、方法、装置、システム、デバイス、コンピュータが読み取り可能な命令またはコンピュータプログラムコードを保存するコンピュータ可読記憶媒体等のコンピュータ可読媒体、または、コンピュータが読み取り可能なプログラムコードを内蔵したコンピュータ利用可能媒体を備えたコンピュータプログラム製品として含む様々な方法で、実施され得る。
ここでの使用においては、クラウド・コンピューティング・サービス（ＣＣＳ）として時々呼ばれるクラウドサービスは、ネットワーク・クラウド・サービスまたはアプリケーション、ウェブベース（例えば、ユニフォーム・リソース・ロケータ（ＵＲＬ）を介してアクセスされる）またはネイティブ、例えば、同期クライアント等を参照する。実施例は、ＵＲＬを介して公開される内部の企業アプリケーションと同様に、サービスとしてのソフトウェア（ＳａａＳ）の提供、サービスとしてのプラットフォーム（ＰａａＳ）の提供、及び、サービスとしてのインフラストラクチャ（ＩａａＳ）の提供を含む。今日一般的なクラウドサービスの実施例は、Ｓａｌｅｓｆｏｒｃｅ．ｃｏｍ、Ｂｏｘ、Ｄｒｏｐｂｏｘ、Ｇｏｏｇｌｅ Ａｐｐｓ、Ａｍａｚｏｎ ＡＷＳ、Ｍｉｃｒｏｓｏｆｔ Ｏｆｆｉｃｅ ３６５、Ｗｏｒｋｄａｙ、Ｏｒａｃｌｅ ｏｎ Ｄｅｍａｎｄ、Ｔａｌｅｏ、Ｙａｍｍｅｒ、及び、Ｃｏｎｃｕｒを含む。クラウドサービスは、単純なウェブサイト及び電子商取引サイトの提供とは対照的に、クラウド内で実行される機能であって、例えば、ログイン、ドキュメント編集、大量データのダウンロード、得意先情報の読み出し、支払勘定への入力、ドキュメント消去、等のポリシーの目標である機能を、ユーザに提供する。ここで留意すべきは、フェイスブック及びＹａｍｍｅｒ等のソーシャルネットワークを提供する幾つかの消費者対応ウェブサイトは、ここで考えられるクラウドサービスのタイプである点である。グーグルのＧｍａｉｌ等の幾つかのサービスは、幾つかの自由なユーザが該アプリケーションを一般的に使用すると同時に、他の企業がそれをクラウドサービスとして使用するハイブリッドなものも可能である。ここで留意すべきは、実施態様は、ＵＲＬベースのＡＰＩを使用するウェブ・ブラウザ・クライアント及びアプリケーション・クライアントの両方をサポートできる点である。
ここでの使用においては、ポリシー規定、ポリシーデータ、または、コンテントポリシーとして時々呼ばれる用語ポリシーは、クラウドサービスに対するフローコントロール及びコンテンツコントロール要求の機械可読表現を参照する。典型的に、ポリシーは、企業または他の団体の１以上の管理者によって規定される。個人が当該個人に対して実行される当該個人自身の使用のためのポリシーを規定することも可能であるが、企業利用がより一般的である。また、クラウドサービスのビジターまたは顧客に対して、例えば、企業がサービスを主催し、訪れる顧客に対して使用のためのポリシーを順守するように要求する場合に、ポリシーが実施されることも可能である。特に留意すべきは、ここで考えられるポリシーは、クラウドアプリケーションの意味に対して敏感であり得る、つまり、ポリシーは、クラウドサービスにログインすることと、クラウドサービス上のドキュメントを編集することを区別することができる。
使用を理解するのに文脈は重要である。団体に対して、数十または数百の個別のポリシー（例えば、大量ダウンロードの記録、サービス上のドキュメントの編集禁止、「副社長」グループにいるユーザに対してのみ大量ダウンロードを許可）は、特に、１つのポリシーまたは１つのポリシー規定と呼ばれる。従って、複数の団体をサポートするシステムは、一般的に、団体当たり、数十または数百の個別のフローコントロール及びコンテンツ・コントロール・ポリシーからなる１つのポリシーを有するであろう。同様に、以下に説明するように、個々のコンピュータに転送されるポリシーは、完全な企業ポリシーの一部、例えば、フローコントロール及び／またはコンテンツ操作を記述する各ＵＲＬに対する完全なポリシーの仕様ではなく、単に関心のあるＵＲＬの機械可読表現だけとすることができる。
上記仕様の一部分は、クラウドサービスにアクセスするためにユーザが使用するクライアントデバイスの２つのタイプを区別することができる。主たる区別は、クライアントデバイスをネットワーク・セキュリティ・システムに接続させるためのメカニズム間でなされる。クライアントデバイスに関連して、用語「コンピュータ」は、ネットワーク・セキュリティ・システムがより直接的にソフトウェアをインストールし、ネットワークのスタックを変更することができる場合、より多くのオープンシステムを参照するであろう。同様に、クライアントデバイスに関連して、用語「モバイル」または「タブレット」は、ネットワーク・セキュリティ・システムのネットワークのスタックを変更するための選択肢がより制限されている場合、より多くのクローズドシステムを参照するであろう。該用語は、ＭａｃＯＳ Ｘ、Ｗｉｎｄｏｗｓデスクトップ版、Ａｎｄｒｏｉｄ、及び／または、Ｌｉｎｕｘを動かすコンピュータ・クライアントデバイスが、ｉＯＳ、及び／または、Ｗｉｎｄｏｗｓ Ｍｏｂｉｌｅを動かすモバイルまたはタブレットデバイスより容易に変更可能であるという今日の状況を映し出している。従って、該用語は、クライアントデバイス間の基本的な技術的な相違とは対照的に、ネットワーク・セキュリティ・システムへのアクセスを提供するために如何にしてサードパーティのオペレーティング・システム供給業者の制限が対処されるかを参照する。更に、もしモバイルＯＳ供給業者が彼等のシステムを更に解放した場合、上記区別は、おそらく、コンピュータ−クライアントの議論で説明した実施態様を用いたクライアントデバイスのより多くのクラスとともに除去されるであろう。更に、組織内の特定のサーバコンピュータ及び他のコンピューティング・デバイスは、機械対機械通信を扱うようにインストールされたクライアントを持つことができる場合があり得る。
密接に関連するポイントは、幾つかのクライアントがネットワーク・セキュリティ・システムと夫々に異なってインターフェースを取る点である。例えば、ブラウザ・アドオン・クライアントは、ブラウザを明確なプロキシにリダイレクトする。ポリシーを適用するのに必要であったトラフィックだけがルート変更され、それは、アプリケーション内でそのように行われる。ネットワーク・セキュリティ・システムに到達するトラフィックは、データ内、または、例えば、幾つかの実施態様中の追加ヘッダまたはＳＳＬクライアント側証明書などの安全なトンネルヘッダ内にユーザＩＤを埋め込ませておくことができる。他のクライアントは、トランスペアレントなプロキシを介して選択ネットワークトラフィックをリダイレクトする。これらの関連において、ポリシーによって必要とされるそれらの要求を完全に超える或るトラフィックが、ネットワーク・セキュリティ・システムに転送される。更に、ユーザのＩＤ情報は、一般的には、データ自身の中にはなく、寧ろ、ネットワーク・セキュリティ・システムへの安全なトンネルが構成された際に、クライアントによって確立される。
本明細書の文脈におけるユーザＩＤまたはユーザ識別は、ネットワーク・セキュリティ・システムによってクライアントデバイスに提供される指標を参照する。それは、トークン、ＵＵＩＤのような独特な識別子、公開鍵証明書、等の形式であり得る。幾つかの実施態様では、ユーザＩＤは、特定のユーザ及び特定のデバイスとリンクさせることができる。従って、同じ個人が彼らの携帯電話とコンピュータ上で異なるユーザＩＤを持つことができる。ユーザＩＤは、エントリまたはユーザＩＤの企業ＩＤディレクトリと結び付けることができるが、該ディレクトリとは別個である。一実施態様では、ネットワークセキュリティによって署名された暗号証明書が、ユーザＩＤとして使用される。他の実施態様では、ユーザＩＤは、単にユーザに対して固有にし、デバイスを通して同一にできる。
暗号鍵または鍵は、ここでの使用においては、暗号化アルゴリズムとともに使用する場合に、データの暗号化または復号化に使用される固有の変換を定義するコードまたは数値を参照する。
ここでの使用においては、情報の項目の「識別（ｉｄｅｎｔｉｆｉｃａｔｉｏｎ）」は、必ずしも、情報の該項目の直接の仕様を要求しない。情報は、単に間接化技法の１以上のレイヤを介して実際の情報を参照すること、或いは、情報の実項目を決定するのに十分な一緒にいる異なる情報の１以上の項目を識別することによって、フィールド内において「識別」され得る。更に、用語「特定する（ｓｐｅｃｉｆｙ）」は、ここでは、「識別する（ｉｄｅｎｔｉｆｙ）」と同義で用いられる。
ここでの使用においては、所与の信号、イベントまたは値は、該所与の信号、イベントまたは値に影響される先行する信号、イベントまたは値の先行する信号、イベントまたは値に「基づいて」いる。介在する処理の要素、ステップまたは時間間隔が存在する場合、該所与の信号、イベントまたは値は、依然として、該先行する信号、イベントまたは値に「基づいて」いることができる。該介在する処理の要素またはステップが１以上の信号、イベントまたは値を結合する場合、該処理の要素またはステップの信号出力は、該信号、イベントまたは値の入力の夫々に「基づいて」いると考えられる。該所与の信号、イベントまたは値が該先行する信号、イベントまたは値と同じ場合、これは、単に、該所与の信号、イベントまたは値が、依然として、該先行する信号、イベントまたは値に「基づいて」いる、または、「依存している」縮退ケースである。別の信号、イベントまたは値への所与の信号、イベントまたは値の「反応性」は同様に規定される。

［システム概要］
ネットワーク提供型サービスに対してセキュリティを提供するためのシステム及び種々の実施態様を説明する。システム及び処理は、一実施態様に基づくシステムのアーキテクチャレベルの概略構成を示す図１を参照して説明される。図１はアーキテクチャ図であるので、一部の詳細は、説明の明瞭性のために、意図的に省略されている。図１の議論は以下のように構成されている。先ず図の要素について、次にその相互接続について説明される。そして、システム内の要素の使用について、より詳細に説明される。
図１はシステム１００を含む。システム１００は、ネットワーク・セキュリティ・システム１２０、管理クライアント１３１、クラウドサービス１４０、クライアントデバイス１５０、及び、ネットワーク１６０を含む。ネットワーク・セキュリティ・システム１２０は、モニタ１２１とストレージ１２２を含む。ストレージ１２２は、他の物との間で、コンテンツポリシー１８１、コンテンツプロファイル１８２、コンテンツ検査ルール１８３、企業データ１８４、クライアント１８５、及び、ユーザＩＤ１８６を保存する。幾つかの実施態様では、ストレージ１２２は、１以上のテナントからの情報を、オンデマンドデータベースサービス（ＯＤＤＳ）を形成する共通のデータベース画像のテーブル内に保存することができ、該ＯＤＤＳは、マルチ・テナント・データベース・システム（ＭＴＤＳ）のような多くの方法で実施できる。データベース画像は、１以上のデータベースオブジェクトを含むことができる。他の実施態様では、データベースは、リレーショナルデータベース管理システム（ＲＤＢＭＳｓ）、オブジェクト指向データベース管理システム（ＯＯＤＢＭＳｓ）、分散ファイルシステム（ＤＦＳ）、非スキーマデータベース、或いは、他のデータ保存システムまたはコンピューティング・デバイスであり得る。
企業データ１８４は、知的財産、非公開の財務情報、戦略的計画、顧客リスト、個人を特定可能な顧客または従業員に属する情報、患者健康情報、ソースコード、営業秘密、予約情報、提携契約、企業プラン、Ｍ＆Ａドキュメント、及び、他の機密情報を含む、但し、これらに制限されない組織情報を含むことができる。特に、用語「企業データ」は、ドキュメント、ファイル、フォルダ、ウェブページ、ウェブページの収集物、画像、または、他のテキストベースのドキュメントを参照する。ストレージ１２２に典型的に含まれる追加の項目については図５及び図６の議論を見て下さい。
ネットワーク・セキュリティ・システム１２０は、幾つかの機能１２５を提供すると見なすことができ、それらの間のキーは、抽出エンジン１２６、分類エンジン１２７、セキュリティエンジン１２８、管理プレーン１２９、及び、データプレーン１３０である。管理クライアント１３１は、タブレット１３２とモバイル１３４を含む。クラウドサービス１４０は、クラウドサービス１４２とクラウドサービス１４４を含む。クライアントデバイス１５０は、モバイル１５２とコンピュータ１５４を含む。モバイル１５２は、ＡｐｐＷｒａｐｐｅｒ１５７とＶＰＮオンデマンド１５８を含む。コンピュータ１５４は、ユーザＩＤ１５６とポリシー１５９を順番に含むクライアント１５５を含む。
システム１００の要素の相互接続についてこれから説明する。ネットワーク１６０は、タブレット１３２、モバイル１３４、モバイル１５２、コンピュータ１５４、クラウドサービス１４２、クラウドサービス１４４、及び、ネットワーク・セキュリティ・システム１２０と通信によって接続する（実線で図示）。実際の通信経路は、公衆ネットワーク及び／またはプライベートネットワークを通したポイント・ツー・ポイントとなり得る。ＡｐｐＷｒａｐｐｅｒ１５７等の幾つかの項目は、例えば、アプリケーションストア（不図示）等を介して、間接的に供給されてもよい。通信の全ては、例えば、プライベートネットワーク、ＶＰＮ、ＭＰＬＳ回路、または、インターネット等の様々なネットワークを通して発生し、例えば、ＲＥＳＴ、ＪＳＯＮ、ＸＭＬ、ＳＯＡＰ、及び／または、ＪＭＳ等の適切なＡＰＩ及びデータ交換フォーマットを使用できる。通信の全ては、暗号化可能である。該通信は、通常、ＬＡＮ（ローカルエリアネットワーク）、ＷＡＮ（ワイドエリアネットワーク）、電話網（公衆交換電話網（ＰＳＴＮ））、セッション初期化プロトコル（ＳＩＰ）、無線ネットワーク、ポイント・ツー・ポイントネットワーク、星型ネットワーク、トークンリング型ネットワーク、ハブ型ネットワーク、及び、インターネット等のネットワークを通して行われる。尚、インターネットは、ＥＤＧＥ、３Ｇ、４ＧＬＴＥ、ＷｉＦｉ、及び、ＷｉＭａｘ等のプロトコルを介するモバイルインターネットを含む。更に、ユーザ名／パスワード、ＯＡｕｔｈ、Ｋｅｒｂｅｒｏｓ，ＳｅｃｕｒｅＩＤ、ディジタル証明書、等の承認及び認証技術が、通信を保護するのに用いることができる。
モニタ１２１とストレージ１２２は、互いに通信によって接続した１以上のコンピュータ及びコンピュータシステムを含むことができる。それらは、１以上のコンピューティング及び／または記憶資源であることもある。例えば、モニタ１２１は、１以上のＡｍａｚｏｎ ＥＣ２インスタンスであることもあり、ストレージ１２２は、Ａｍａｚｏｎ Ｓ３ストレージであることもある。直接の物理的コンピュータまたは従来の仮想マシンにネットワーク・セキュリティ・システム１２０を導入するのではなく、寧ろ、Ｓａｌｅｓｆｏｒｃｅ社、Ｒａｃｋｓｐａｃｅ社、または、Ｈｅｒｏｋｕ社から提供されるＦｏｒｃｅ．ｃｏｍ等の他のコンピューティング・アズ・サービス（ｃｏｍｐｕｔｉｎｇ ａｓ ｓｅｒｖｉｃｅ）を使用してもよい。更に、機能１２５を実施するために、１以上のエンジンが使用でき、１以上のポイント・オブ・プレゼンス（ＰＯＰｓ）を確立できる。該エンジンは、ワークステーション、サーバ、コンピュータクラスタ、ブレードサーバ、サーバファーム、または、他のデータ処理システムまたはコンピューティング・デバイスを含む様々なタイプがあり得る。該エンジンは、異なるネットワーク接続を介してデータベースに通信可能に接続し得る。例えば、抽出エンジン１２６は、例えば、ネットワーク１６０（例えば、インターネット）を介して接続し得、分類エンジン１２７は、直接ネットワークリンクを介して接続し得、セキュリティエンジン１２８は、更に異なるネットワーク接続を介して接続し得る。他の実施例では、データプレーン１３０ ＰＯＰｓが、地理的に分配され得る、及び／または特定のクラウドサービスと共同で提供（ｃｏ−ｈｏｓｔ）され得る。同様に、管理プレーン１２９ ＰＯＰｓが、地理的に分配され得る。当該２つのタイプのＰＯＰｓは、別々に提供（ｈｏｓｔ）されるか、或いは、同様に共同で提供され得る。
図１の各要素及びそれらの相互接続について説明したが、同図の要素について更に詳細に説明する。ネットワーク・セキュリティ・システム１２０は、管理プレーン１２９及びデータプレーン１３０を介して様々な機能１２５を提供する。データプレーン１３０は、一実施態様によれば、抽出エンジン１２６、分類エンジン１２７、及び、セキュリティエンジン１２８を含む。他の機能、例えば、コントロールプレーンもまた提供され得る。これらの機能１２５は集合的に、クライアントデバイス１５０によるクラウドサービス１４０との安全なインターフェースを提供する。ネットワーク・セキュリティ・システム１２０を説明するために、ネットワーク・セキュリティ・システムという用語を使用するが、更に一般的に、該システムは、セキュリティのみならず、アプリケーションの可視性及びコントロール機能も提供する。
管理クライアント１３１は、一実施態様によれば、コンテンツポリシー１８１を規定し管理するために、ネットワーク・セキュリティ・システム１２０によって提供される安全なウェブ配信されたインターフェースを有するウェブブラウザを備えた演算デバイスである。ネットワーク・セキュリティ・システム１２０は、幾つかの実施態様によれば、管理クライアントのユーザがその組織と関連するコンテンツポリシーを変更することだけができるマルチ・テナント・システムである。幾つかの実施態様では、ポリシーをプログラムで規定し、及び／または更新するために、ＡＰＩを提供することができる。斯かる実施態様では、管理クライアント１３１は、コンテンツポリシー１８１の更新を推し進めたり、及び／または、コンテンツポリシー１８１の更新のためのプルリクエストに応答する、例えば、マイクロソフトのアクティブディレクトリ等の企業ＩＤディレクトリ等の１以上のサービスを含むことができる。両システムは共存できる。例えば、幾つかの会社は、組織内のユーザの要求に対してポリシーを調整するためのウェブインターフェースを用いるとともに、組織内のユーザの識別を自動化する企業ＩＤディレクトリを用いることもできる。管理クライアントは、役割が割り当てられており、読み出し専用、対、読み出し書き込み等の役割に基づいてデータがコントロールされるネットワーク・セキュリティ・システム１２０にアクセスする。
クライアントデバイスに関するネットワーク・セキュリティ・システム１２０の機能は、図２及び図３とともに説明するのがより容易である。図２は、一実施態様に係るシステムの仮想的なネットワークトポロジーを示す。図３は、一実施態様に係るシステムのより詳細なネットワークトポロジー及びデータの流れを示す。両図では、コンピュータ１５４のユーザによる企業データ１８４のクラウドサービス１４２への送信２６４の試みが図示されている。図２は、コンピュータ１５４とクラウドサービス１４２の間の送信を仲介する仮想ネットワーク２６０を生成する役目を行うネットワーク・セキュリティ・システム１２０を備えた送信経路の概念図を示す。図３は、コンピュータ１５４が、インターネットサービスプロバイダ（ＩＳＰ）ネットワーク３６２（任意）に接続し、ＩＳＰネットワーク３６２が次に企業ネットワーク３６４（任意）に接続し、企業ネットワーク３６４が次に公衆ネットワーク３６６に接続している同じ送信の１つの可能なネットワークトポロジーを示す。公衆ネットワーク３６６は次にクラウドサービス１４２及びネットワーク・セキュリティ・システム１２０に接続する。図３は１つの可能なネットワークトポロジーであるが、それは、直接的なネットワークレイアウトというより、寧ろ、単純化されたアーキテクチャ図を維持している。例えば、クラウドサービス１４２及びネットワーク・セキュリティ・システム１２０が動作するネットワークは示されておらず、例えば、両者のためのサービスプロバイダ（更にＩＳＰ）は省略されている。図３は、クライアント１５５が要求を送信しクラウドサービス１４２がそれを受け取る一連のルーティング順序を強調するタイムスタンプｔ１〜ｔ１２を含んでいる。クラウドサービスのＵＲＬに対するウェブブラウザのＨＴＴＰ ＧＥＴ要求等の要求は、変則的に転送される点に特に注目すべきである。特に、クライアント１５５は、該リクエストを認識して、クラウドサービス１４２ではなくネットワーク・セキュリティ・システム１２０に至るｔ１からｔ４の経路を生成する。ネットワーク・セキュリティ・システム１２０は、ｔ５からｔ６へ該要求をクラウドサービス１４２に転送する前に、適用可能なコンテンツポリシーと対照して、企業データ１８４に内包されているコンテンツタイプを評価する。とりわけ、クラウドサービス１４２の観点から、該要求は、直接にコンピュータ１５４にではなく、ネットワーク・セキュリティ・システム１２０に、ｔ７からｔ８へ戻る。ネットワーク・セキュリティ・システム１２０は、戻ってきたデータを解析し、更に、コンテンツ依存した方法でコンテンツポリシーを適用し、そして、該要求をクラウドサービス１４２からコンピュータ１５４に戻すこと、ｔ９からｔ１２、ができる。
図３は、また、クライアント１５５が、ＶＰＮソルーション、プロキシソルーション、及び、ネットワークモニタリングソルーションと互換性があり、且つ、それらと区別される点を強調している。図３では、コンピュータ１５４のネットワークアクセスは、ＶＰＮソルーションを用いてプライベート企業ネットワーク上に転送される。このことは、企業プロキシ、ファイアウォール、及び、コンテンツ・フィルタリング・ポリシーが適用され得ることを意味する。企業プロキシは、連鎖要求をネットワーク・セキュリティ・システム１２０へ転送するため適切なルールで構築されなければならない。更に、図１〜図３が、主として提供（ｈｏｓｔ）されたネットワーク・セキュリティ・システム１２０に焦点を当てており、「構内」（”ｏｎ ｐｒｅｍｉｓｅ”）または企業の提供されたプライベートソリューションを有することが可能である。斯かる実施態様では、ネットワーク・セキュリティ・システム１２０の全てまたは一部が完全に企業ネットワーク内にあってもよい。
幾つかの実施態様では、企業の管理者は、ネットワーク・セキュリティ・システム１２０からの企業のユーザに対するサービス要求に対して、クラウドサービス１４２を構成することができる。これにより、クライアント１５５（または、モバイル用の対応する部分）を欠いたクライアントデバイス１５０が、ネットワーク・セキュリティ・システム１２０が実行したポリシーをバイパスするのを防止できる。記述したように、クラウドサービス１４２にネットワーク・セキュリティ・システム１２０を介してのみアクセスされる点を確実にする他のアプローチを採用することができる。
図１に戻ると、如何にしてネットワーク・セキュリティ・システム１２０が機能するかを示す一般的な図が提供されている。ネットワーク・クラウド・サービスのより良い安全な利用を願う会社、または、より一般的には、あらゆる個人または団体は、ネットワーク・セキュリティ・システム１２０にサインアップする。ウェブ・ベース・インターフェース及びコンピュータデバイスを用いて、会社は、会社のユーザのためのコンテンツポリシー内にポリシーを確立できる。コンテンツの操作を伴う各行動の夫々において、１以上のコンテンツ検査ルールが、ネットワーク・セキュリティ・システム１２０によって、該コンテンツに対して適用される。コンテンツがコンテンツコントロールの対象である、つまり、それが、機密データであると判定された場合、該コンテンツに含まれる機密データの流出または漏洩を防止するための１以上のセキュリティ処置が始動される。これらのアプローチの両方が次に詳細に説明される。
システム１００及びトポロジー２００〜３００が、特定のブロックを参照して、ここで説明されているが、該ブロックは、説明の容易のために規定され、構成部品の特定の物理的配置を要求することを意図していない点を理解すべきである。更に、該ブロックは、物理的に別個の部品に対応している必要はない。物理的に別個の部品が用いられている範囲において、部品間の接続（例えば、データ通信のための接続）は、要請に応じて有線及び／または無線であり得る。異なる要素または部品は単一のソフトウェアモジュールに合体することができ、複数のソフトウェアモジュールは同じハードウェア上で実行することができる。
図４は、クラウド・コンピューティング・サービス（ＣＣＳ）上に保存された企業情報をモニター及びコントロールする代表的な方法である。フローチャート４００は、少なくとも部分的に、コンピュータ、または、例えば、情報を受信または検索し、情報を処理し、結果を保存し、該結果を送信するように構成された１以上のプロセッサ等による他のデータ処理システムにより実施できる。他の実施態様では、図４に図示したものと異なる順序で、及び／または、異なるまたは少ないまたは追加の処置とともに、該処置を実施してもよい。幾つかの実施態様では、複数の処置を合体することができる。便宜上、該フローチャートは、方法を実行するシステムを参照して説明される。該システムは、必ずしも、該方法の一部ではない。
開示された技術の本セクション及び他のセクションで説明される該方法は、以下の特徴の１以上、及び／または、開示された追加の方法と関連して説明される特徴を含むことができる。簡潔にするために、本願で開示される特徴の組み合わせは、個々には列挙されず、また、特徴の各基本セットによる繰り返し説明はされない。読者は、本方法において特定される特徴が如何にして、システム概要、システムアーキテクチャ、ディープＡＰＩ検査、コンテンツモニタリング、セキュリティ処置、結論、及び、特定の実施態様、等の実施態様として特定される基本特徴の集合と容易に組み合わされるかを理解できるであろう。
図４は、処置４１０で開始するプロセス４００を含む。但し、使用中のクラウド・コンピューティング・サービス（ＣＣＳ）アプリケーション・プログラミング・インターフェース（ＡＰＩ）の検出が起こる。以下に説明するように、クラウドサービスに対して成された呼び出しを含む、リアルタイムでのディープ検査トランザクションによって組織のネットワークとインターフェースを取る該クラウドサービスを発見するアルゴリズムベースのトラフィック解析が実行される。一実施態様では、ＣＣＳは、パブリッククラウド、プライベートクラウド、及び、プライベート・データ・センタの少なくとも１つおいて提供（ｈｏｓｔ）される。別の実施態様では、ＣＣＳは、サービスとしてのソフトウェア（ＳａａＳ）、サービスとしてのインフラストラクチャ（ＩａａＳ）、及び、サービスとしてのプラットフォーム（ＰａａＳ）の少なくとも１つである。
プロセス４００は、ＣＣＳ・ＡＰＩを介して実行される活動がコンテンツレベルの活動か否かを決定する処置４２０において続行する。一実施態様では、このことは、後述するように、該活動が実施されている期間のトランザクションのイベントログエントリを評価することにより決定される。別の実施態様では、後述するように、抽出エンジン１２６は、ＣＣＳ・ＡＰＩに基づいてデータストリームを解析（ｐａｒｓｅ）し、コンテンツの操作を含む活動を特定する。
別の実施態様では、機能または実行される活動が非コンテンツベースであると決定されると、一実施態様に基づいて、活動レベルポリシーが処置４３０において適用される。非コンテンツベースに適用される活動レベルポリシーの一例は、活動レベルポリシーを設定する組織外に既にアップロードされたドキュメントの共有を防止することが含まれる。活動レベルポリシーの他の例は、ＣＣＳのドメイン名とＵＲＬをＨＴＴＰ要求から抽出するシグネチャ発生アプリケーションの実行を含み、ドメイン名またはＵＲＬが「ブラックリスト」上にあれば、該ＵＲＬが、適用可能な活動レベルポリシーに基づいて選択的に転送される。別の実施態様では、活動レベルポリシーは、コンテンツベース機能または活動に適用することができる。
処置４４０において、後述するように、コンテンツコントロールの対象であるコンテンツ内の文字列（ｓｔｒｉｎｇｓ）及び相互関係のある文字列を発見するためにコンテンツ検査ルールが適用される。一実施態様では、後述するように、抽出されたコンテンツが、適用可能なコンテンツ検査ルール内で規定されている項（ａｒｇｕｍｅｎｔ）にマッチするか否かを決定するのに、分類エンジン１２７が使用される。
幾つかの実施態様では、後述するように、コンテンツコントロールの対象となるコンテンツに関連するメタデータ中の文字列及び相互関係のある文字列を発見するためにコンテンツ検査ルールが適用される。幾つかの実施態様では、コンテンツ検査プロファイルは、複数のコンテンツ検査ルールに基づいて規定され、ＣＣＳに適用可能なポリシー内に含まれる。更に、ＣＣＳに適用可能な該ポリシー内で規定されている複数の条件変数に基づいて、セキュリティ処置が始動される。
一実施態様では、コンテンツ検査ルールは、コンテンツコントロールの対象となるコンテンツを集合的に識別する２以上の離散的な文字列にマッチする少なくとも１つのマルチパート文字列検索パターンを含む。幾つかの実施態様では、マルチパート文字列検索パターンの少なくとも１つの下位区分が、特定の顧客の要求に合わせて調整されたカスタムパターンである。他の実施態様では、マルチパート文字列検索パターンの少なくとも１つの下位区分が、データ分類ライブラリからの標準パターンである。
一実施態様では、マルチパート文字列検索パターンは、前記２以上の離散的な文字列間の意味的近似に基づいて前記２以上の離散的な文字列にマッチする。幾つかの実施態様では、コンテンツ検査ルールは、医療保険の携行性と責任に関する法律（ＨＩＰＡＡ）のプライバシーまたはセキュリティ規制の順守を対象とした複数のマルチパート文字列検索パターンを含む。他の実施態様では、コンテンツ検査ルールは、ペイメントカード業界（ＰＣＩ）のデータセキュリティ基準の順守を対象とした複数のマルチパート文字列検索パターンを含む。更に他の実施態様では、コンテンツ検査ルールは、個人を特定可能な情報（ＰＩＩ）のデータセキュリティ基準の順守を対象とした複数のマルチパート文字列検索パターンを含む。
一実施態様では、コンテンツ検査ルールは、機密と認定された営業秘密データを対象とした複数のマルチパート文字列検索パターンを含む。他の実施態様では、コンテンツ検査ルールは、ソースコードを対象とした複数のマルチパート文字列検索パターンを含む。更に他の実施態様では、コンテンツ検査ルールは、技術仕様を対象とした複数のマルチパート文字列検索パターンを含む。更なる実施態様では、コンテンツ検査ルールは、顧客または従業員に関する財務データを含む顧客または従業員リストを対象とした複数のマルチパート文字列検索パターンを含む。
処置４５０において、後述するように、解析（ｐａｒｓｅ）されたストリーム内のコンテンツコントロールの対象となる文字列及び相互関係のある文字列の発見に対応するセキュリティ処置が始動される。幾つかの実施態様では、セキュリティエンジン１２８は、分類されたコンテンツのタイプに基づいてセキュリティ処置の何れを行うべきかを決定するために、１以上のコンテンツポリシー１８１にアクセスする。他の実施態様では、セキュリティエンジン１２８は、異なるタイプのセキュリティ処置の夫々に対して、ブロック・サブエンジン、バイパス・サブエンジン、修復サブエンジン、正当化サブエンジン、隔離サブエンジン、暗号化サブエンジン、及び、他の適切なセキュリティ処置エンジンを含む複数のサブエンジンを含むことができる。
一実施態様では、解析（ｐａｒｓｅ）されたストリーム内のコンテンツコントロールの対象となる文字列及び相互関係のある文字列の閾値（ｔｈｒｅｓｈｏｌｄ）の発生の発見に対応するセキュリティ処置が始動される。幾つかの実施態様では、セキュリティ処置は、コンテンツの隔離を含む。一実施態様では、コンテンツが隔離承認者の承認または拒否の結果が出るまで条件付きで保存される隔離フォルダがＣＣＳに作成される。一実施態様では、隔離フォルダ内にコンテンツ項目を条件付きで保存することは、コンテンツを識別するコンテンツのためのツームストーン（ｔｏｂｍｓｔｏｎｅ）ファイルを表すデータを生成すること、及び、アップロードするユーザがコンテンツをアップロードするために希望する宛先（ファイルパスまたはフォルダ）に該ツームストーンファイルを保存することを含む。他の実施態様では、隔離フォルダ内にコンテンツ項目を条件付きで保存することは、該コンテンツ項目を暗号化することを含む。幾つかの実施態様では、隔離フォルダは、コンテンツが送信されたであろうＣＣＳとは異なる第２のＣＣＳに作成される。
ＣＣＳへのコンテンツの送信に関する隔離承認者の決定は保存され、その後のＣＣＳへの該コンテンツの送信要求は隔離承認者の決定に基づいて処理される。幾つかの実施態様では、隔離承認者の承認または拒否に対応して、ツームストーンファイルは、該コンテンツと置換されるか、または、消去される。
一実施態様では、少なくとも１つのマルチパート文字列検索パターンを識別するデータが生成され、隔離承認者に提示される。該データは、コンテンツコントロールの対象である隔離されたコンテンツ内の少なくとも１つの文字列を識別する。
幾つかの実施態様では、セキュリティ処置は、実行される機能または活動を完了させるための条件として、解析（ｐａｒｓｅ）されたストリーム内のコンテンツ用に使用されるＣＣＳ・ＡＰＩの使用の正当化を要求することを含む。
他の実施態様では、セキュリティ処置は、使用中のＣＣＳ・ＡＰＩのより企業向けの代替物を識別する１以上の指導メッセージの生成を含む。一実施態様では、ＣＣＳ・ＡＰＩの企業向けの代替物は、ＣＣＳのデータ暗号化ポリシー、ＣＣＳの災害管理ポリシー、ＣＣＳを支援するデータセンタの数、及び、該データセンタのコンプライアンス証明書の少なくとも１つに基づいて決定されるクラウド信頼指標（ＣＣＩ）を用いて識別される。
幾つかの実施態様では、セキュリティ処置は、コンテンツのドキュメント特有の暗号化を含む。一実施態様では、ドキュメント特有の暗号化は、組織識別子、アプリケーション識別子、及び、領域識別子のトリプレットを用いてキーマネージャにアクセスすること、及び、３重キー、及び、前記３重キーを一意的に識別する３重キー識別子を受け取ることを含む。ドキュメント識別子（ＩＤ）を有するドキュメントに対して、本方法は、該３重キー、該ドキュメントＩＤ、及び、ソルトの組み合わせからドキュメント当たりキーを導出し、該ドキュメント当たりキーを用いて該ドキュメントを暗号化し、暗号化されたドキュメント、該ドキュメントＩＤ、該ソルト、及び、該３重キー識別子を転送することを含む。
幾つかの実施態様では、該３重キー、該ドキュメントＩＤ、及び、該ソルトの組み合わせから該ドキュメント当たりキーを導出するために、ハッシュキー導出関数（ＨＫＤＦ）が使用される。
一実施態様では、ＨＫＤＦは、トラステッド・プラットフォーム・モジュール（ＴＰＭ）において実行される。他の実施態様では、ＨＫＤＦは、ハードウェア・セキュリティ・モジュール（ＨＳＭ）において実行される。
一実施態様では、ドキュメント分類タグが、ドキュメントのコンテンツ検査に基づいて該ドキュメントに適用され、該ドキュメントへのアクセスをコントロールするのに使用される。
一実施態様では、ドキュメントの完全性を認証するデータ完全性タグが生成され、該ドキュメントを更に処理している期間中、該データ完全性タグの使用が持続される。
一実施態様では、上記キーマネージャは、キーマネジメント相互運用プロトコル（ＫＭＩＰ）準拠のキーマネジメントシステムである。
幾つかの実施態様では、該キーマネージャは、クラウド・コンピューティング・サービス（ＣＣＳ）を使用する組織のローカルデータセンタに設けられている。
他の実施態様では、該キーマネージャは、クラウド・コンピューティング・サービス（ＣＣＳ）に設けられている。更に他の実施態様では、該キーマネージャは、領域特有である。
更に他の実施態様では、本方法は、少なくとも１つのデータ分類タグを含む複数の条件変数に基づいて復号化のためのユーザを認可することを含む。該方法は、キー識別子と領域識別子を用いてキーマネージャにアクセスすること、及び、マスターキーを一意的に識別する該キー識別子を用いて該マスターキーを受け取ることを更に含む。ドキュメント識別子（ＩＤ）を有するドキュメントに対して、該方法は、該マスターキー、該ドキュメントＩＤ、及び、ソルトの組み合わせからドキュメント当たりキーを導出し、該ドキュメント当たりキーを用いて該ドキュメントを復号化し、復号化されたドキュメントを上記ユーザに転送することを含む。
幾つかの実施態様では、該ドキュメントに対応するデータ完全性タグが検証される。該データ完全性タグは該ドキュメントの完全性を認証する。
一実施態様では、該キー識別子は、組織識別子とアプリケーション識別子の少なくとも１つを含む。
幾つかの実施態様では、ハッシュキー導出関数（ＨＫＤＦ）が、該マスターキー、該ドキュメントＩＤ、及び、該ソルトの組み合わせから該ドキュメント当たりキーを導出するために使用される。
一実施態様では、該ＨＫＤＦは、トラステッド・プラットフォーム・モジュール（ＴＰＭ）において実行される。他の実施態様では、ＨＫＤＦは、ハードウェア・セキュリティ・モジュール（ＨＳＭ）において実行される。
一実施態様では、該キーマネージャは、キーマネジメント相互運用プロトコル（ＫＭＩＰ）準拠のキーマネジメントシステムである。
幾つかの実施態様では、該キーマネージャは、クラウド・コンピューティング・サービス（ＣＣＳ）を使用する組織のローカルデータセンタに設けられている。
他の実施態様では、該キーマネージャは、クラウド・コンピューティング・サービス（ＣＣＳ）に設けられている。更に他の実施態様では、該キーマネージャは、領域特有である。
本セクションで説明した方法の他の実施態様は、上記で説明した方法の何れかを実行するプロセッサによって実行可能な命令を格納する持続性コンピュータ可読記憶媒体を含むことができる。本セクションで説明した方法の更に他の実施態様は、メモリ、及び、上記で説明した方法の何れかを実行するために、該メモリに格納された命令を実行する動作が可能な１以上のプロセッサを備えるシステムを含むことができる。

［システムアーキテクチャ］
機能について説明したが、一実施態様により使用される実施アーキテクチャについて、図４〜図６と関連して説明する。上述したように、ネットワーク・セキュリティ・システム１２０の機能１２５は、抽出エンジン１２６、分類エンジン１２７、セキュリティエンジン１２８等の異なるグループに分割される。更に、管理プレーン１２９、及び、データプレーン１３０とともに、または、代えて、制御プレーンを使用してもよい。当該グループ間の機能の特定の分割は、一実施上の選択である。同様に、機能は、局所性、性能、及び／または、セキュリティを改善するために幾つものポイント・オブ・プレゼンス（ＰＯＰｓ）に亘って高度に分散される。例えば、ネットワーク・セキュリティ・システム１２０の何れの部品も、クラウドサービスまたは企業ネットワークと同一場所に設置され得る。
モニタ１２１は、組織のネットワークとインターフェースを取るクラウドサービスの夫々を識別することで、アプリケーション・プログラミング・インターフェース（ＡＰＩｓ）を介してクラウドサービスのトランザクション及びトラフィック上のコンテンツ検査（ＣＩ）を実施する。モニタ１２１は、検査されるデータパケット（パケットバッファ５０２に保存されている）及び該データパケットに適用されるコンテンツ検査ルールを特定することができる。一実施態様では、モニタ１２１は、アプリケーション・レイヤ・オブジェクト、ＳＩＰパケット、メディアパケットのベリファイメディア（例えば、リアルタイムトランスポートプロトコル（ＲＴＰ）メディア）を発見するためにＣＩを使用することができ、そうでなければ、ネットワーク１６０を通して送られたパケットを検査する。パケットは、パケットシグネチャ、パケットに使用されるバンド幅、圧縮プロトコル、コンテンツ、または、他の適切な特徴を含む、如何なる適切な特徴について、検査され得る。他の実施態様では、ＣＩは、パケットペイロードとともにパケットヘッダを調べることを含み、ネットワーク１６０を超えて特定のクライアント１５５に向かうパケットのフローの中のパケットに対して実施される。
モニタ１２１は、ＣＩを実施するための様々な技術を採用し得る。一実施態様では、それは、パケット内の何処かの文字列、または、ジェネリックなビット及びバイトパターンに対するスキャニングを含むパターンマッチングを使用できる。他の実施態様では、それは、絶対的または相対的パケットサイズ、フロー毎のデータ及びパケット速度（ｒａｔｅ）、フローの数、クラウドサービス当たりの新規フロー比率を含む、クラウドサービスの通信行動内のパターンに対するスキャニングを含む行動解析を使用できる。更に他の実施態様では、それは、該行動解析の一部として収集された値の平均、メジアン、及び、偏差を含む、送信タイプ（例えば、メディアファイル、インスタントメッセージ、または、コンテンツ転送）を識別する統計指標の計算を含む統計解析を使用できる。
ＣＩに加えて、モニタ１２１は、更に、５タプル（起点ＩＰ、宛先ＩＰ、起点ポート、宛先ポート、及び、レイヤ４プロトコル）を備える全てのパケットをグループ化することで、ネットワーク接続またはフローを追跡する浅いパケット検査を実施する。
これに続いて、抽出エンジン１２６が、物理的なデータリンクまたはネットワークレイヤ等を含む複数のレベルでのトラフィックパケットを解析することで、パケットバッファ５０２内に保存されているパケットからコンテンツを抽出する。特に、抽出エンジン１２６は、コンテンツからのテキスト及び情報表示（例えば、特徴構造）、コンテンツからの文法的／意味的な情報（例えば、ドキュメント内の透かしを識別する解析木）、或いは、コンテンツについてのメタデータ（例えば、コンテンツ内のヘッダ／フッタ、著者、最終変更時データ、及び、他の適切なメタデータタイプ）を抽出する。
一実施態様では、抽出エンジン１２６は、ＦＴＰ、ＳＭＴＰ、ＩＭＦ、ＨＴＴＰ、ＳＭＢ等を含む上位レイヤプロトコル上での機能の解析を使用する。それは、プロトコルデータストリームからアプリケーション・レイヤ・オブジェクトを抽出するために、正規表現等の可変長テキスト及び／または２値句の豊かな言語（ｒｉｃｈ ｌａｎｇｕａｇｅ）を使用することもできる。
他の実施態様では、抽出エンジン１２６は、コンテンツの構造を識別する複雑なメタデータをコンテンツから抽出する。例えば、それは、電子メールの“ＴＯ”及び“ＦＲＯＭ”フィールド等のメッセージの主要なフィールドを識別できる。メタデータの他の包括的でない例として、ＩＰアドレス、電子メールアドレス、受信者アドレス、送信者アドレス、電子メールの時刻、ウェブのＵＲＬ、連絡先リスト、インスタントメッセージＩＰアドレス、チャット名、ＶＯＩＰアドレス、ログイン、インスタントメッセージの受信者及び送信者、インスタントメッセージまたは電子メール内で送信したファイル名、ウェブ通信中に転送したファイル数、インスタントメッセージ・テキストのタイプ、ウェブ通信中に送信したオーディオ及び／またはビデオ添付ファイルの名前、ウェブ通信中に関与したパーティの数、ソーシャルネットワークへの書き込み時、ソーシャルネットワークへの書き込みサイズ、フォロワーの数、等々が含まれる。
一実施態様によれば、コンテンツが抽出された後、それは、データセット内に整理され、リスト、タプル、ディクショナリ、テーブル、及び／または、セットとして、インメモリのデータストレージ１２２内に保存される。分類エンジン１２７は、それから、データを検索して閲覧するために、データベースにコマンド（例えば、ＳＱＬ命令文、ＢＮＦ命令文）を発行できる。リレーショナルデータベースのテーブル内のデータ要素間の関係を導出するために、追加のプログラム及びコマンドが実行される。一実施態様によれば、リレーショナルデータベースの他のテーブル内に含まれる補充データが、抽出されたコンテンツと結合され得る。
分類エンジン１２７は、適用可能なコンテンツポリシー１８１、コンテンツプロファイル１８２、及び、コンテンツ検査ルール１８３に基づいて抽出されたコンテンツを評価する。一実施態様では、パケットの特性がコンテンツ検査ルールの条件を満足し、コンテンツコントロールの対象のコンテンツと見做される場合は、パケットはコンテンツ検査ルールにマッチすることができる。特に、分類エンジン１２７は、複数の類似性尺度を用いて、抽出されたコンテンツを、適用可能な標準検索パターンまたはカスタム検索パターン（後述する）内で規定されている項（ａｒｇｕｍｅｎｔ）と対比する。
以下の議論は、抽出されたコンテンツ中の文字列が、適用可能なコンテンツ検査ルールの１つとマッチするか否かを決定する分類エンジン１２７によって用いられる類似性尺度の幾つかの例の概略を説明している。類似性尺度の一例は、ユニグラム（ｕｎｉｇｒａｍ）オーバラップである。基本的ユニグラムアプローチは、２つの文字列が閾値より高いＪａｃｃａｒｄ類似性を有している場合に、該２つの文字列を類似していると判断する。ユニグラム間のＪａｃｃａｒｄ係数が該文字列対の類似性を測るために用いられる。幾つかの実施態様では、２つの文字列間のＪａｃｃａｒｄ類似性は、特定の必須のトークンの存在を条件とすることができる。他の実施態様では、２つの文字列の類似性を判断するのに、編集距離技術を使用できる。即ち、２つの文字列間の該編集距離は、１つの文字列を他の文字列に変換する編集回数が或る閾値より少ない場合に、２つの文字列がマッチしていると判断される。幾つかの実施態様では、レーベンシュタイン距離を、２つの文字列間の相違量を測定するための測定基準として使用できる。該距離は、１つの文字列を他の文字列に変換するために要する編集回数の最小値である。
他の実施態様では、類似性を判断するのに、ユークリッド距離、コサイン類似性、Ｔａｎｉｍｏｔｏ係数、Ｄｉｃｅ係数、ハミング距離、Ｎｅｅｄｌｅｍａｎ−Ｗｕｎｃｈ距離またはＳｅｌｌｅｒｓアルゴリズム、Ｓｍｉｔｈ−Ｗａｔｅｒｍａｎ距離、Ｇｏｔｏｈ距離またはＮｅｅｄｌｅｍａｎ−Ｗｕｎｃｈ−Ｇｏｔｏｈ距離、区間距離またはＬ１距離または街区距離、Ｍｏｎｇｅ−Ｅｌｋａｎ距離、Ｊａｒｏ距離測定基準、Ｊａｒｏ−Ｗｉｎｋｌｅｒ、ＳｏｕｎｄＥｘ距離測定基準、マッチング係数、Ｄｉｃｅ係数、オーバラップ係数、ヴァリエーショナル距離、Ｈｅｌｌｉｎｇｅｒ距離またはＢｈａｔｔａｃｈａｒｙｙａ距離、情報半径（Ｊｅｎｓｅｎ−Ｓｈａｎｎｏｎダイバージェンス）調和平均、スキュー（ｓｋｅｗ）ダイバージェンス、コンフュージョン・プロバビリティ、Ｔａｕ，Ｆｅｌｌｅｇｉ及びＳｕｎｔｅｒｓ（ＳＦＳ）測定基準、ＦａｓｔＡ、ＢｌａｓｔＰ、マキシマルマッチ、ｑ−グラム、Ｕｋｋｏｎｅｎアルゴリズム、及び、Ｓｏｅｒｇｅｌ距離等の様々な類似性尺度が使用できる。
セキュリティエンジン１２８は、実行されるセキュリティ処置を識別するためにコンテンツポリシー１８１にアクセスする。幾つかの実施態様では、セキュリティエンジン１２８は、アラート・サブエンジン５０４、指導サブエンジン５０６、正当化サブエンジン５０８、隔離サブエンジン５１０、及び、暗号化サブエンジン５１２等の複数のサブエンジンを含む。コンテンツコントロールの対象であるコンテンツを発見すると、１以上のセキュリティエンジンがコンテンツポリシー１８１に規定されたルール、実行されるコンテンツレベル活動、及び、コンテンツタイプに基づいて起動される。他の実施態様は、ブロック・サブエンジン、バイパス・サブエンジン、及び、修復サブエンジン等の異なるまたはより多くのサブエンジン（図５中、３つの縦方向のドットで表現している）を含むことができる。
アラート・サブエンジン５０４は、機密データの潜在的な漏洩または流出を発見すると、ネットワーク管理者に通知を送信する。指導サブエンジン５０６は、コンテンツレベル活動を実施するユーザに対し、該ユーザの組織によって予め認定されたより安全な代替クラウドサービスについて教育する。正当化サブエンジン５０８は、コンテンツレベル活動を実施するユーザに対し、クラウドサービスを介する該ユーザの特定のトランザクション（例えば、スプレッドシートのアップロード）が何故許可されるべきかについての正当化を要求する。隔離サブエンジン５１０は、転送されたデータを、隔離承認者の承認または拒否を待つ間、一時的にクラウドサービスの隔離フォルダ内に保持する。暗号化サブエンジン５１２は、ハッシュキー導出関数（ＨＫＤＦ）を使用する３重キーの組み合わせからドキュメント当たりキーを導出することにより、コンテンツのドキュメント特有の暗号化を実施する。
ここでは、モニタ１２１は特定のブロックを参照して説明されているが、当該ブロックは、説明の容易のために規定されており、構成部品の特定の物理的配置を要求することを意図していない点を理解すべきである。更に、該ブロックは、物理的に別個の部品に対応している必要はない。物理的に別個の部品が用いられている範囲において、部品間の接続（例えば、データ通信のための接続）は、要請に応じて有線及び／または無線であり得る。異なる要素または部品は単一のソフトウェアモジュールに合体することができ、複数のソフトウェアモジュールは同じハードウェア上で実行することができる。
図６は、データプレーンのポイント・オブ・プレゼンス（ＰＯＰ）のアーキテクチャレベルの構成を示す。図６は、ネットワーク６１０とネットワーク６２０に接続するデータプレーンのポイント・オブ・プレゼンス６００（一点鎖線で示すボックス）を含む。これらは、同じネットワークまたは異なるネットワークであり得る。ネットワーク６１０は、モバイル１５２及びコンピュータ１５４等のクライアントデバイス１５０とも接続している。ネットワーク６２０は、クラウドサービス１４２と接続している。データプレーン機能は、一実施態様に基づいて、複数のコンピュータ、ストレージ、データプレーンＰＯＰ６００等の複数のＰＯＰに亘るネットワーク装置を備えて実施される。データプレーンＰＯＰ６００の構成要素は、ファイアウォール６４０、安全なトンネルゲートウェイ６５０（上述のモバイルクライアントの説明参照）、ロードバランサ６６０、複数のプロキシ６７０，６７２及び６７４（各プロキシは現在のコンフィギュレーションに応じたポリシーを実行する）、及び、アウトバウンドＮＡＴ６８０を含む。該アーキテクチャは、更に、拡大縮小され得る、例えば、複数のファイアウォール等。プロキシ６７０，６７２及び６７４は、ロギングメッセージの生成を行うとともに、特定のポリシー、例えば、中断（ｄｒｏｐ）、リセット、リダイレクト、リクエスト（或いは全体のフロー）を実行する。
データプレーンＰＯＰ６００は、更に、管理プレーンからコンフィギュレーション及びポリシーの情報を受け取るコンフィギュレーション・エージェント６９０、管理プレーンに送られるイベントを記録及び／または保存するイベントキュー６９２、及び、データプレーンＰＯＰ６００の性能及び状態をモニターするモニタリングエージェント６９４を含む。これらの要素は、データプレーンの他の要素（データフローに注力するために図示せず）と同様に、図７の管理プレーンＰＯＰ７００等の１以上の管理プレーンＰＯＰと通信して、通常は連結されている。同様に、コンフィギュレーション・システムはここでは示されていない。コンフィギュレーション及びポリシー間の相違は、コンフィギュレーション情報が、ネットワーク・セキュリティ・システム１２０のオペレータによって提供される情報、例えば、幾つのデータプレーンＰＯＰがアクティブであり、プロキシソフトウェアのどのバージョンがロードされているか等であるのに対し、ポリシー情報は、システムの管理者ユーザ、例えば、企業のＩＴ部員によって提供される点である。
図６には、更に、モバイル１５２及び他のモバイルクライアントによって使用される安全なトンネル６０２の例が示されている。これに対して、コンピュータ１５４からのデータは、ファイアウォール６４０からロードバランサ６６０へ直接転送される。説明したように、幾つかのクライアントタイプは、安全なトンネルを使用し（ここでは、モバイルに対して使用されている）、他は安全なトンネルを使用していない（ここでは、コンピュータに対しては使用されていない）。
図７は、管理プレーンのポイント・オブ・プレゼンスのアーキテクチャレベルの構成を示す。図７は、管理プレーン１２９の機能を実行する管理プレーンＰＯＰ７００を含む。幾つかの実施態様は、単一の管理プレーンＰＯＰだけを有していてもよく、一方で、他の実施態様は、複数の管理プレーンＰＯＰを有していてもよい。図７には、データプレーンＰＯＰ６００との相互関係及び通信が、大きな両矢印で示されている。管理クライアント１３１とクライアントデバイス１５０と管理プレーンＰＯＰ７００の間の通信も同様に示されている。
管理プレーンＰＯＰは、サマリーデータ７１０、未加工イベントデータ７１２、コンフィギュレーション７１４、ポリシー１８１、ウェブ管理インターフェース７３０、プロビジョニング・サービス７４０、コンフィギュレーション・サービス７５０、イベント・ストレージ・サービス７５２、モニタリングサービス７５４、及び、リポートジェネレータ７５６を含む。サービスは、管理／データプレーンを橋渡しする：コンフィギュレーション・サービス７５０はコンフィギュレーション・エージェント６９０と通信し；イベント・ストレージ・サービス７５２は、イベントキュー６９２と通信し；モニタリングサービス７５４は、コンフィギュレーション・エージェント６９０と通信する。リポートジェネレータ７５６は、本実施態様では、リポート用のサマリーデータ７１０を生成するために未加工イベントデータ７１２と結合する管理プレーンだけの要素である。ウェブ管理インターフェース７３０は、ウェブブラウザを介した管理とリポートを可能にする。プロビジョニング・サービス７４０は、クライアントデバイスに、コンフィギュレーション用の上述した適切なクライアント（例えば、クライアント１５５、または、クライアント１８５からのデマンド１５８上のＶＰＮ）を提供する。プロビジョニング・サービス７４０は、更に、クライアントデバイス１５０にポリシーの更新を提供することに関与してもよい。他の実施態様では、イベント・ストレージ・サービス７５２、及び／または、モニタリングサービス７５４は、統一されたロギング及びリポートのために、クラウドサービス、及び／または、他のソースから直接データを受け入れてもよい。
ここでは、アーキテクチャ６００−７００は特定のブロックを参照して説明されているが、当該ブロックは、説明の容易のために規定されており、構成部品の特定の物理的配置を要求することを意図していない点を理解すべきである。更に、該ブロックは、物理的に別個の部品に対応している必要はない。物理的に別個の部品が用いられている範囲において、部品間の接続（例えば、データ通信のための接続）は、要請に応じて有線及び／または無線であり得る。異なる要素または部品は単一のソフトウェアモジュールに合体することができ、複数のソフトウェアモジュールは同じハードウェア上で実行することができる。

［ディープＡＰＩ検査（ＤＡＰＩＩ）］
ネットワーク・セキュリティ・システム１２０によって提供されるクラウドサービス検出、及び、コンテンツベース機能、または、活動識別について、アプリケーション・レイヤのトラフィックに焦点を当てて説明する。
開示された技術は、クラウドサービスに対して成された呼び出しを含む、リアルタイムでのディープ検査トランザクションによって組織のネットワークとインターフェースを取る該クラウドサービスを発見するアルゴリズムベースのトラフィック解析を使用する。開示された技術は、クライアント１５５とクラウドサービス１４０間のトランザクションを解釈するために、コネクターまたは標準化されたインテグレーションを使用する。トランザクションは、実施される活動とそれに付属するパラメータを識別するために、分解される。該トランザクションは、ＪＳＯＮファイルとして表され、該ファイルは、モニタ１２１が、クラウドサービスにおいてユーザが如何なる処置を実施しようとしているかを、当該処置が発生したときに判断できるようにする構造及びフォーマット含んでいる。従って、例えば、モニタ１２１は、組織に代って、「投資銀行業務のジョーが、現在日本にいて、彼のＭ＆Ａディレクトリを、ヘッジファンドの投資家と午後１０時に共有した」ことを検知できる。
典型的なユーザのＳａｌｅｓｆｏｒｃｅ．ｃｏｍのようなクラウドサービスとの相互作用は、セッションのコンテキスト中に生じる一連のイベントで構成される。注目すべき主たるイベントは、（ａ）ログイン−ユーザを認証するためのクラウドサービスへの認証情報をユーザに提供する；（ｂ）アプリケーション・トランザクション−一連のアプローチ・レベル・トランザクションを実行する、例えば、ミーティングノートをアップロードしリード（ｌｅａｄ）を追加し、或いは、新しいキャンペーンを規定する；及び、（ｃ）ログアウト−本イベントがサーバとのセッションを終了させる。ディープＡＰＩ検査ロジックは、これらのイベントを識別し、ポリシー評価を、処置を実行可能にする各トランザクション境界と結び付けることができる。最も一般に、アプリケーション・セッションは、ＨＴＴＰヘッダ内のセッションクッキによって識別される。ネットワーク・セキュリティ・システム１２０は、セッションを規定するためにセッションクッキを使用すること、または、セッションを規定するために、ユーザＩＤ、ユーザＩＰアドレス、デバイス、オペレーティング・システム、及び、ブラウザ／ネイティブ・アプリケーションを含むタプルを交互に使用することができる。

［イベントストアのデータ取出し及び異常検出］
ネットワーク・セキュリティ・システムは、ロギング情報、例えば、未加工イベントデータ７１２を、該システムを通過するあらゆるクラウド・アプリケーション・トランザクションから集めた情報とともに生成する。図８は、ＪＳＯＮ型表現によるイベント・ログ・エントリ８００を含む典型的なイベント・ログ・エントリである。イベント・ログ・エントリ８００は、ログされたフィールドを網羅するものではなく、主要なフィールドを強調している。
更に、外部ソースからのイベントログも、ネットワーク・セキュリティ・システム１２０に提供できる。従って、イベントデータの取出しは、幾つかの主要なタスクを達成できる：
◆ コンテンツの生成、コンテンツのアップロード、コンテンツへの書き込み、コンテンツの編集、等のコンテンツベースの機能及び活動８０２を識別する。
◆ コンテンツにアクセスするユーザを招く、コンテンツを共有する、及び、コンテンツを閲覧する、等の非コンテンツベースの機能及び活動を識別する。
◆ ユーザ、ユーザグループ、クラウドサービス、クラウドサービスグループ、時刻、曜日、地理的位置、帯域使用量、及び、観測された待ち時間、等の判定基準に基づく基本的な利用行動を確立する。該利用行動は、該システムを使用する企業毎に、及び／または、企業を横断して追跡することができる点に注意。
◆ 一旦基本的な利用行動が確立すると、異常な活動は、観測された基準に適合しない処置であり、管理者が見直し、対応策を講じるように警告が与えられる。異常な活動の例として、基準に適合しない地理的位置及び／または時間からのユーザアクセス、及び、ユーザの帯域使用量が非常に大きい、例えば、測定される基準と比較して標準偏差の２倍以上の場合が含まれる。とりわけ、該ルールは、役割に敏感である。例えば、カスタム定義のセールスグループのユーザは、該グループ外の従業員より、非標準地理的位置でのより大きな裁量範囲を与えられている。幾つかの実施態様では、幾つかの異常な活動は、企業が特定の処置を規定するポリシーに対して条件としてもよい。例えば、管理者が承認するまで過度な転送の異常条件をブロックする。
一実施態様に基づいて、未加工イベントデータ７１２が、基準を確立するための機械学習技術を用いて解析される。監督される（ルールベース）手法と監督されない（クラスタリング）手法の両方が採用される。基準データ及び異常は、管理インターフェースを通して人が管理可能なフォーマットで提示され得る。例えば、地理的位置に基づくアクセスパターンは、ユーザとクラウドサービスを表す点と利用を示す結合円弧を有する地図インターフェースを用いて提示できる。他の実施態様では、未加工イベントデータ７１２の取出しに利用できるＡＰＩが存在する。該ＡＰＩは、該システムによって収集されたデータを用いて付加価値のあるアプリケーションを構築するパートナーにより利用され得る。とりわけ、異常は複数のクラウドサービスを横断して追跡され得る。例えば、１つのサービスからデータをダウンロードし、次のサービスにアップロードすることは、自動的に検出される異常ポリシーとすることかできる。データの完全性及びセキュリティとともに行わなければならない他のサービスを横断するポリシーは、同様に、適切な条件を備えて確立され得る。

［コンテンツモニタリング］
開示された技術は、コンテンツコントロールの対象である企業データ内の文字列及び相互関係のある文字列を発見するためにコンテンツ検査ルールを適用する。コンテンツ検査ルールは、コンテンツコントロールの対象となるコンテンツを集合的に識別する２以上の離散的な文字列にマッチする少なくとも１つのマルチパート文字列検索パターンを含む。文字列は、テキスト、文字、数字、英数字、論理式、等を含む一連の何らかのデータタイプであり得る。一実施態様では、相互関係のある離散的な文字列は、クレジットカード情報等の私有の金融データのコンテキスト内で説明され得る。典型的なクレジットカード情報は、ほぼ必ず、ファーストネームとラストネーム、クレジットカード番号、及び、満期データを含む。これらの文字列が、同じデータチャンク、同じドキュメント、または、同じ文章内等の互いに接近して発見された場合、それらは、有効なクレジットカード情報を構成していると判断される。

［コンテンツ検査ルール］
組織は、例えば、ペイメントカード情報等の規制を、特定の意味的近似閾値内でクレジットカード文字列を探すマルチパート文字列検索パターンを規定することにより、順守することができる。マルチパート文字列検索パターンの一例を下記に示す。
［標準検索パターン］
幾つかの実施態様では、マルチパート文字列検索パターンの少なくとも１つの下位区分が、データ分類ライブラリによって事前に規定された標準パターンである。標準検索パターンは、様々なコンテンツタイプの存在を検出するのに使用され得る正規表現として機能する。パラメータ値が正規表現にマッチする場合、分類エンジン１２７が特定のコンテンツタイプを検出する。標準パターンの例は、ペイメントカード業界情報（ＰＣＩ）、個人を特定可能な情報（ＰＩＩ）、電子的に保護された健康情報（ｅＰＨＩ）、医療保険の携行性と責任に関する法律（ＨＩＰＡＡ）、及び、プロファニティを含む。一実施態様では、ＨＩＰＡＡは、医療事業体に対して適用されるアメリカ合衆国の法律であり、保護された健康情報（ＰＨＩ）の使用、開示、及び、安全保護対策を管理する。更に、ＨＩＰＡＡは、適用を受ける組織に対して、ＰＨＩへのアクセスを有する該組織のベンダーと契約を調印するという要件を課す。本例では、医療会社は、患者名、社会保障番号、メディケアＩＤ等の様々なＰＨＩ関連の分類詞を含む事前に規定された辞書を用いてコンテンツプロフィルを作成することにより、ＰＨＩ違反を検出する。
他の実施態様では、特定のデータタイプを検出するために、複数の事前に規定されたデータ識別子を使用することができる。一実施態様では、ドキュメントまたはダンクチャンク（ｄｕｎｋ ｃｈｕｎｋ）にマッチするデータを含むように、カウント閾値以上のデータ識別子を所与とすると、該ドキュメントまたはダンクチャンクは機密データを含んでいると特定され得るように、カウント閾値を各データ識別子に対応付けることができる。事前に規定されたデータ識別子の以下のリストは、網羅的ではなく典型的であり、電話番号、ＳＳＮ、ＳＷＩＦＴコード、ＶＩＮ番号を含む。

［カスタム検索パターン］
マルチパート文字列検索パターンの少なくとも１つの下位区分が、特定の顧客の要求に合わせて調整されたカスタムパターンである。組織は、該組織の特定の要求に合わせて調整されたカスタムパターンを生成するために、パターンマッチング、キーワード検索、及び、正規表現（ｒｅｇｅｘ）を使用できる。例えば、キーワード“ネットスコープ・コンフィデンシャル”というキーワードのあるドキュメントは、機密データとして認識され得る。
幾つかの実施態様では、特定の機密データタイプを検出するカスタムパターンを規定するために正規表現が使用できる。パラメータ値が正規表現にマッチした場合、分類エンジン１２７が該特定の機密データを検出する。
一実施態様に基づいた正規表現演算子と該演算子がマッチするパターンのサンプルセットは以下を含む。
以下の表は、正規表現数量詞と該数量詞がマッチするパターンのサンプルセットを示す。
一実施態様に基づいた正規表現メタキャラクタと該メタキャラクタがマッチするパターンのサンプルセットは以下を含む。
以下の例は、正規表現ベースの１６桁のクレジットカード番号を検出するカスタムマルチパート文字列検索パターンを示す。
◆ ＼ｄ ：数字文字をチェックする。
◆ ｛４｝ ：ｎ回正確にマッチする。４桁の数字が確かにあることを確認する。
◆ −？ ：これは、数字が時々ハイフン“−”によって分離されることを確認することになる。“？”は、０または１回を示している。
◆ この単純な正規表現は、１６桁の数字が、時々“−”によって分離されること確認する。
◆ マッチする例： この正規表現は、1234-5678-9123-4567、または、1234567891234567にマッチする。

［ソースコード検出］
他の実施態様では、カスタムマルチパート文字列検索パターンは、Ｃ＋＋入力／出力命令文、Ｃ＋＋コメント、Ｊａｖａ解析コマンド行の項（ａｒｇｕｍｅｎｔ）、Ｐｙｔｈｏｎ印刷コマンド、及び、ＳＱＬ命令文、等のソースコートを検出できる。
● output: cout << ”string of characters”;
● input: cin >> variable;
● /* . . . */
● //
● double Double.parseDouble(String s)
● print test_string, ‘text’
● SELECT column_name,column_name
下記の表は、様々なコンテンツタイプ及びそれらの検出に用いられる検索パターンを要約する。
［コンテンツプロファイル］
コンテンツプロファイルを規定するために、１以上のコンテンツ検査ルールを結合することができる。例えば、ＰＣＩコンテンツプロファイルは、クレジットカード情報及び社会保障データを検出するためのコンテンツ検査ルールを含むことができ、以下のように規定される。
PCI_Content_Profile :=
CreditCard_Rule
SSN_Rule
他の例では、ＰＩＩコンテンツプロファイルは、クレジットカード情報及び社会保障データ及び運転免許証番号を検出するためのコンテンツ検査ルールを含むことができ、以下のように規定される。
PII_Content_Profile :=
CreditCard_Rule
SSN_Rule
DL_Rule

［コンテンツポリシー］
更に、コンテンツポリシーを規定するために、１以上のコンテンツプロファイルを結合することができる。コンテンツポリシーは任意のユーザ、ユーザグループ、クラウドサービス、クラウドサービスカテゴリー、クラウドサービスインスタンス、地理的位置、デバイス及びオペレーティング・システム（ＯＳ）タイプに適用できる。
All_User = Cloud_Storage, Upload_Activity, Apply PCI_Content_Profile

◆ All_User：全てのユーザの活動にＰＣＩコンテンツプロファイルを適用する。
◆ Cloud_Storage：クラウド・ストレージ・サービスにだけＰＣＩコンテンツプロファイルを適用する。
◆ Upload_Activity：アップロード活動にだけＰＣＩコンテンツプロファイルを適用する。
◆ PCI_Content_Profile：ＰＣＩコンテンツプロファイルを適用する。
◆ 検出例：本正規表現は、クラウド・ストレージ・サービスにアップロードされる任意のクレジットカード情報または社会保障データを検出できる。
一般的に、ポリシーは、マッチ条件及び１以上の処置の実行のセットをテストするものとして見なすことができる。最も一般的な処置は、許可、ブロック（または否定）、リダイレクト（クライアントに他のサイトに行くように求め、ユーザに管理者からの許可を要求するように指示してもよい。）、管理者承認のためにデータを隔離、ログ、リセット（ＴＣＰ接続を中断（ｄｒｏｐ）する。）、及び、暗号化（アプリケーションのペイロード内のデータ）である。他の処置は、更にデータを処理するために、ネットワーク・セキュリティ・サーバ内または外側で統合された他の外部サービスを始動することもあり得る。我々は、以下の説明において、ポリシー処置の一般例として、“ブロック”を使用するが、より一般的には、後述するように、任意の処置が適用され得る。
コンテンツポリシー１８１に対して、デフォルトが“許可”（または、デフォルトが“否定”）となるポリシーがあり得て、管理者は、該ポリシーを、サービス特有、ユーザ特有、及び、グループ特有のポリシーで補うことができる。１つのコンテンツポリシーだけがマッチする場合、特定の要求（または、要求／応答の全フロー）を中断（ｄｒｏｐ）、リセット、または、リダイレクトするか否かの決定がなされる。複数のポリシーがマッチする場合、優先順位を決めるためにシステムは様々なルールを使用できる。例えば、最も具体的でないポリシー（最も多くの条件がマッチ）に対する最も具体的なポリシー、順々にテストされたマッチする最初のポリシー（管理者が順序付けできる）、選択された最も限定的なポリシー結果（中断（ｄｒｏｐ）は、リセットを取り込み、リセットはリダイレクトを取り込む）。

［コンテキスト及び活動を意識した検出］
クラウドサービスへ移動する企業データの増加量に伴い、何が真に機密かを認識して保護することが難問である。従前のコンテンツ検査技術は、誤検出や検出漏れを誘引する。開示された技術は、コンテンツを検査し、コンテンツポリシーを実行するためのコンテキストを設定するために複数の条件変数を使用する。条件変数の以下のリストは、網羅的ではなく典型的であり、コンテンツサービス、コンテンツサービスカテゴリー、ＣＣＩ、ユーザまたはグループ、ユーザまたはクラウドサービスの位置、時刻、デバイス、ブラウザ、及び、ユーザ活動タイプ（例えば、アップロード、ダウンロード、または、閲覧）を含む。コンテンツポリシー内の該コンテキストを有することで、潜在的なデータ損失シナリオの識別における精度及び正確度、及び、目標とされたデータの保護が可能となる。
条件変数に関して、条件変数は、ロギング及びフロー処置の両方に対してポリシーのマッチを判断するのに用いられる。ポリシー自体は、単純な直接マッチ、階層的な親／子マッチ、及び／または、複雑な論理的マッチ用にテストされる条件変数によって、マッチを規定できる。
更に、時間ウィンドウを特定することができる（ウィンドウタイプは、ウィンドウを狭める時間／日の情報を含んでもよい）。
引き続き、ネットワーク及びＨＴＴＰフロー条件変数が存在する。
更に、地理的位置マッピングがサポートされており、例えば、ＭａｘＭｉｎｄのＧｅｏＩＰライブラリ等のライブラリ／使用したライブラリに依存して、例えば、市、国、地域、郵便番号、緯度、経度等の様々な条件変数が利用可能である。
ユーザ関連の変数は、条件変数の別コレクションである。
最後に、ブラウザファミリー（例えば、クローム、インターネット・エクスプローラ、サファリ）、ＯＳファミリー（例えば、Ｗｉｎｄｏｗｓ、ｉＯＳ、ＭａｃＯＳ、Ｌｉｎｕｘ、Ａｎｄｒｏｉｄ）、ＯＳサブファミリー（例えば、Ｗｉｎｄｏｗｓ：７とＶｉｓｔａの対比）、デバイスタイプ（例えば、デスクトップ、モバイル）、デバイスサブタイプ（例えば、デスクトップに対して：ＰＣとＭａｃの対比、モバイルに対して：タブレットとスマートフォンの対比）、管理デバイスと非管理デバイス（ＢＹＯＤ）の対比、等のデバイス及びクライアントプラットフォーム条件変数が利用可能である。

［ポリシーの実行］
コンテンツベースの処置ポリシーに対して、複数の場合において実行ポイントが生じ得る。例えば、ソースＩＰ範囲または国コード地理的位置は、接続が確立したときに実行され得る。但し、特定のファイルのアプリケーションへのアップロードをブロックするポリシーは、該アプリケーション識別子及びリソース識別子条件変数が設定され、ＨＴＴＰ・ＰＯＳＴデータが利用可能となったときに、恐らく実行可能となるしかないであろう。従って、ネットワーク・セキュリティ・システム内のポリシー実行に向かう主要なポイントは以下を含む：
◆ クライアントとネットワーク・セキュリティ・システム間で接続が確立した後；
◆ ＨＴＴＰの受信されるＵＲＬ及びホストの要求後；
◆ ＨＴＴＰのヘッダの要求後、但し、送信されるデータ（存在すれば）の要求前；
◆ ＨＴＴＰの受信されるデータの要求後；
◆ ＨＴＴＰのヘッダの応答後、但し、送信されるデータの応答前；及び、
◆ ＨＴＴＰの完了の要求／応答後（パイプラインの場合は接続が継続し得る）。
ポリシー実行のフレームワークは、ポリシーの処置が記載した項目を超えて拡張できるように、拡張可能である。幾つかの実施態様では、例えば、カスタムポリシー処置は、データ漏洩を検出及び防止するために送信中のデータの選択的なインラインスキャニングを含むことができる。他の実施態様では、ポリシー処置は、マルウェア及びウイルスに対して送信中のデータをスキャンするアンチウィルスモジュールを起動させることができる。更に他の実施態様では、選択的なデータ暗号化または復号化等の操作を動的に実行する。一実施態様では、クラウドサービスにアップロードまたは保存された機密データが暗号化されることを確実にすることを目標とし得る。従って、ネットワーク・セキュリティ・システムにおいて、データがクライアントからクラウドサービスに移動するときに暗号化が起こり、同様に、データがクラウドサービスからクライアントに移動するときに復号化が起こる。更に他の実施態様では、企業ポリシー及び政府規制、例えば、データのローカルコピーが暗号化されることを要求するＨＩＰＡＡ等の順守に伴い助力することもできる。従って、患者、顧客等の記録のダウンロードは、要求したクライアントに提供される前に、ネットワーク・セキュリティ・システムにより起動されたポリシーによって自動的に暗号化されてもよい。暗号化（及び複合化）のキーまたはパスワードは、ポリシー及び／またはサードパーティのシステムにおいて特定され得る。例えば、ダウンロードされる全ての納税申告書のドラフトは、ユーザ識別子の最後の４文字を用いて自動的に暗号化されてもよい。更に他の実施態様では、暗号化システムは、ネットワーク・セキュリティ・システムに提供されるユーザ用のデフォルトパスワードを有していてもよい。他の実施態様では、暗号化が、ユーザ識別子に基づくキーまたはパスワードに基づいている。例えば、ユーザ識別子に基づくパスワードは、ユーザの一般グループ用の企業暗号化パスワードとしてもよい。他の実施態様では、該キーは、グループ証明書等の共通トークンとしてもよい。
他の実施態様では、暗号化はフィールドレベルにまで下げて実行してもよい。例えば、スプレッドシート内の社会保障番号またはクレジットカード番号のカラムの暗号化だけを行う。同様に、他の実施態様では、電子メールのメッセージ内容は暗号化されるが、ヘッダはそのままとしてもよい。

［動作モード］
コンテンツポリシーは、能動及び／または受動モードで実行され得る。能動モードでは、全てのユーザデータは、ネットワーク・セキュリティ・システム１２０を通過し、コンテンツ検査ルールがリアルタイムで適用される。受動モードでは、組織によって認可されたクラウドサービス上に既に存在するユーザディレクトリ、ファイル、及び、フォルダ上において、コンテンツ検査ルールを以前に遡って適用するために、ＡＰＩコネクターを使用することができる。受動モードでは、組織は、クラウドサービス内にあって、組織のネットワークを出たコンテンツを検索することができる。

［きめ細かなコンテンツポリシー］
図９〜図１２は、コンテンツタイプ及びアプリケーションレベルの意味に基づく開示されたきめ細かなコンテンツポリシー１８１が既存のＤＬＰソリューションと区別されることを強調表示している。
図９は、きめ細かいコンテンツポリシーの設定に利用可能なコンテンツ・モニタ・インターフェース９００の一実施態様を示す。他の実施態様では、インターフェース９００は、上記に挙げたものと同じウィジェット、タブ、インターフェース要素、または、インターフェース部品を備えていなくてもよく、及び／または、上記に挙げたものに代えて、または、追加して、セキュリティ処置タブ、コンテンツ抽出タブ等の別の／異なるウィジェット、タブ、インターフェース要素、または、インターフェース部品を備えてもよい。
インターフェース９００に示されるコンテンツポリシーは、ＣＣＩが中間、高いまたは低いクラウド・ストレージ・サービスだけの全てのユーザの活動に対して、ＰＣＩ標準検索パターンを適用する。更に、選択されたＰＣＩ検索パターンだけが、コンテンツレベル活動のアップロード及びダウンロードするのに適用される。ＰＣＩ検索パターンのコンテンツ検査ルールがマッチしたときに起動される対応するセキュリティ処置は、アップロードまたはダウンロードされようと試みられているコンテンツのドキュメント当たりの暗号化である。
図１０は、組織の特定のエンティティに適用可能なきめ細かいコンテンツポリシーの作成に利用可能なコンテンツ・モニタ・インターフェース１０００の一実施態様を示す。他の実施態様では、インターフェース１０００は、上記に挙げたものと同じウィジェット、タブ、インターフェース要素、または、インターフェース部品を備えていなくてもよく、及び／または、上記に挙げたものに代えて、または、追加して、セキュリティ処置タブ、コンテンツ抽出タブ等の別の／異なるウィジェット、タブ、インターフェース要素、または、インターフェース部品を備えてもよい。
インターフェース１０００に示されるコンテンツポリシーは、Ｂｏｘクラウドサービスに対してコンテンツをアップロードしようと試みているＩＴグループだけのユーザの活動に対して、ＨＩＰＡＡ標準検索パターンを適用する。ＨＩＰＡＡ検索パターンのコンテンツ検査ルールがマッチしたときに起動される対応するセキュリティ処置は、コンテンツのドキュメント当たりの暗号化である。
図１１は、特定のクラウドサービスに適用可能なきめ細かいコンテンツポリシーを適用するのに利用可能なコンテンツ・モニタ・インターフェース１１００の一実施態様を示す。他の実施態様では、インターフェース１１００は、上記に挙げたものと同じウィジェット、タブ、インターフェース要素、または、インターフェース部品を備えていなくてもよく、及び／または、上記に挙げたものに代えて、または、追加して、セキュリティ処置タブ、コンテンツ抽出タブ等の別の／異なるウィジェット、タブ、インターフェース要素、または、インターフェース部品を備えてもよい。
インターフェース１１００に示されるコンテンツポリシーは、グーグルドライブに対してのみ、プロファニティ検索パターンを適用する。プロファニティ検索パターンがマッチしたときに起動される対応するセキュリティ処置は、所与の組織のネットワークセキュリティ管理者を変更することである。
図１２は、コンテンツ検査ルール用のキーワードまたは正規表現ベースの検索パターンの設定に利用可能なコンテンツ・モニタ・インターフェース１２００の一実施態様を示す。他の実施態様では、インターフェース１２００は、上記に挙げたものと同じウィジェット、タブ、インターフェース要素、または、インターフェース部品を備えていなくてもよく、及び／または、上記に挙げたものに代えて、または、追加して、セキュリティ処置タブ、コンテンツ抽出タブ等の別の／異なるウィジェット、タブ、インターフェース要素、または、インターフェース部品を備えてもよい。
インターフェース１２００に示されるコンテンツポリシーは、“ネットスコープ・コンフィデンシャル”というキーワードの少なくとも５回の出現、または、その変形が発見されたとき、評価されるコンテンツが機密データと見做され、そして、適切なセキュリティ処置が起動されるように、キーワードまたは正規表現ベースの検索パターンを適用する。

［セキュリティ処置］
開示された技術は、機密データが発見されると直ぐに取られ得る多くのセキュリティ処置を教える。コンテンツポリシー１８１は、コンテンツがマッチしたときに警告を送り、アップロード、ダウンロード、アクセスの制限、所有権の変更等の活動をブロックし、クラウドサービスにアップロードされる前にデータを暗号化するものが設定され得る。

［コンテンツの隔離］
図１３は、隔離セキュリティ処置のワークフロー１３００の一実施態様を示す。ワークフロー１３００は、少なくとも部分的に、コンピュータ、または、例えば、情報を受信または検索し、情報を処理し、結果を保存し、該結果を送信するように構成された１以上のプロセッサ等による他のデータ処理システムにより実施できる。他の実施態様では、図１３に図示したものと異なる順序で、及び／または、異なるまたは少ないまたは追加の処置とともに、該処置を実施してもよい。幾つかの実施態様では、複数の処置を合体することができる。便宜上、該ワークフローは、方法を実行するシステムを参照して説明される。該システムは、必ずしも、該方法の一部ではない。
特に、ワークフロー１３００は、組織がコンテンツポリシーを修復できるようにする自動化された隔離ワークフローを示す。企業ユーザが機密コンテンツのクラウド・ストレージ・サービスへのアップロードを試みると、隔離サブエンジン５１０が、隔離承認者（つまり、トランザクションを承認できる組織内のリスク及びコンプライアンス職員）に要求を送ることができる。機密情報は、幾つかの実施態様に基づいて、トランザクションが承認されるまで、隔離フォルダ内に保持することができる。
図１３では、企業ユーザが、企業データ１８４のクラウドサービス１４２へのコンテンツ送信１３０２（例えば、ファイルのアップロード）を行おうと試みている（コンピュータ１５４を介して）。反直観的に、隔離サブエンジン５１０は、処置１３０４で試みられたアップロードを拒否する。その代わり、隔離サブエンジン５１０は、処置１３０６で企業データ１８４を認識するツームストーンファイル１３１８を表すデータを生成する。ツームストーンファイル１３１８は、企業データ１８４を含む実際のファイルが企業ポリシーとの適合を検査されており、アップロードされたファイルは隔離承認者だけがアクセス可能であることを、該ユーザに知らせるのに用いられる。
処置１３０８において、企業ユーザは、隔離セキュリティ処置を通知される。更に、処置１３１０において、管理プレーン１２９を介して隔離セキュリティ処置に関して通知（例えば、電子メール）が隔離承認者に送られる。更に進むと、処置１３１２で、送信の試み１３０２に関して、隔離承認者から決定を受信する。隔離承認者が、送信の試み１３０２を承認した場合、ツームストーンファイル１３１８は企業データ１８４に入れ替わる。そうでなく、隔離承認者が、送信の試み１３０２を拒否した場合は、ツームストーンファイル１３１８は削除される。
処置１３１４において、企業ユーザは、処置１３１２で受信した隔離承認者の決定を通知され、企業データ１８４の処理に関する更なる命令が送信される。幾つかの実施態様では、処置１３１６において、送信の試み１３０２に応答して、コンテンツポリシーが、インストール、適用、または、変更され得る。
他の実施態様では、企業データ１８４を含む実際のファイルは検索され、上述の処置を取る前に、第２の判断を得るために企業データセンタ内の既存のＤＬＰシステムによって実行される。

［企業ユーザの指導］
図１４は、指導セキュリティ処置のワークフロー１４００の一実施態様を示す。ワークフロー１３００は、少なくとも部分的に、コンピュータ、または、例えば、情報を受信または検索し、情報を処理し、結果を保存し、該結果を送信するように構成された１以上のプロセッサ等による他のデータ処理システムにより実施できる。他の実施態様では、図１３に図示したものと異なる順序で、及び／または、異なるまたは少ないまたは追加の処置とともに、該処置を実施してもよい。幾つかの実施態様では、複数の処置を合体することができる。便宜上、該ワークフローは、方法を実行するシステムを参照して説明される。該システムは、必ずしも、該方法の一部ではない。
指導は、ポリシー違反及び危険な行為についてユーザを教育すること、及び、より安全で準拠している代替クラウドサービスを提案することを含む。特に、指導は、“あなたは機密ドキュメントをＺｉｐｐｙｓｈａｒｅにアップロードしています。我々は、Ｂｏｘの企業アカウントを有しています。サインアップ用のＵＲＬはこれです。”等の自動化されたメッセージを用いて、ユーザを好ましい行為へと訓練する、或いは、該ユーザを準拠した代替クラウドサービスへと向け直すことも行う。他の実施態様では、指導は、ユーザが、短いビジネス正当化を用いて、或いは、誤検出を報告することにより、ブロックされた処置をバイパスできるようにする。
特に、ワークフロー１４００は、企業ユーザの自動化された指導を示す。コンテンツレベル処置の間にコンテンツポリシー違反が検出された場合、ユーザの組織のセキュリティポリシーにより適切なプロセスまたはワークフローへユーザを向け直す通知を、企業ユーザに送信することができる。例えば、ユーザがＰＩＩ情報を個人のＤｒｏｐｂｏｘアカウントにアップロードしようとした場合、彼または彼女に対して、組織が許可した企業のＢｏｘアカウントへと向け直すことができる。
図１４において、企業ユーザが、企業データ１８４のクラウドサービス１４２へのコンテンツ送信１４０２（例えば、ファイルのアップロード）を行おうと試みている（コンピュータ１５４を介して）。反直観的に、指導サブエンジン５０６は、処置１４０４で試みられたアップロードを拒否する。その代わり、指導サブエンジン５０６は、クラウドサービス１４２と同様の特徴を含み同様の目的を果たす、他のより安全なクラウドサービスの代替物１４４が存在することを企業ユーザに教育するインターフェース１４０８を表すデータを生成する。
企業ユーザがシステムが生成した指導メッセージに従う場合、処置１４１０で、企業データはより安全なクラウドサービス代替物１４４に、指導サブエンジン５０６によって送信される。一実施態様では、より安全なクラウドサービス代替物の決定は、各クラウドサービスのＣＣＩに基づいて行われる。

［活動正当化の要求］
図１５は、正当化セキュリティ処置のワークフロー１５００の一実施態様を示す。ワークフロー１５００は、少なくとも部分的に、コンピュータ、または、例えば、情報を受信または検索し、情報を処理し、結果を保存し、該結果を送信するように構成された１以上のプロセッサ等による他のデータ処理システムにより実施できる。他の実施態様では、図１５に図示したものと異なる順序で、及び／または、異なるまたは少ないまたは追加の処置とともに、該処置を実施してもよい。幾つかの実施態様では、複数の処置を合体することができる。便宜上、該ワークフローは、方法を実行するシステムを参照して説明される。該システムは、必ずしも、該方法の一部ではない。
コンテンツレベル処置がブロックされた場合、カスタム正当化ページ１５０８が、企業ユーザを、段階的なプロセスを経て危険を緩和するようにできる。ブロックページ１５０８が提示された場合、企業ユーザは、操作を正当化する、または、誤検出としてブロックにタグを付す、または、単純にコンテンツのアップロードを止めることができる。
図１５において、企業ユーザが、企業データ１８４のクラウドサービス１４２へのコンテンツ送信１５０２（例えば、ファイルのアップロード）を行おうと試みている（コンピュータ１５４を介して）。反直観的に、正当化サブエンジン５０８は、処置１５０４で試みられたアップロードを拒否する。その代わり、正当化サブエンジン５０８は、送信１５０２の目的及び正当性に関して企業ユーザから正当化を求めるインターフェース１５０８を表すデータを生成する。正当化が受信されると直ぐに、企業データは、正当化サブエンジン５０８によって処置１５１０でクラウドサービス１４２に送信される（正当化された送信）。一実施態様では、これにより、推論のレコード、つまり、送信１５０２の追跡記録が維持され、企業ユーザ間に説明できるように証跡を残す責任が生成される。
更に他の実施態様では、コンテンツポリシー違反に基づいてレポートを作成できる。例えば、組織の管理者は、ＰＣＩコンテンツ検査ルールに違反する上位の企業ユーザ、組織内のＰＣＩコンテンツ検査ルール違反に使用された上位のクラウドサービス及びデバイスを示すレポートを作成できる。

［ドキュメント当たりの暗号化］
開示された技術の更に別の特徴は、企業データ１８４のドキュメント当たりの暗号化である。ドキュメント当たりの暗号化は、潜在的なデータ漏洩の検出に応答して実行され得る１つのセキュリティ処置の一例である。この特徴により、ドキュメント毎に、企業データ１８４のきめ細かな暗号化及び復号化が許容される。斯かる粒度の細かいアプローチにより、規制当局の監査及び召喚状のような状況における企業データ１８４の累積的なリスクに晒される程度（ｅｘｐｏｓｕｒｅ）が最小化される一方、ドキュメント当たりの暗号化の主たる欠点は、多数のドキュメント当たりの暗号化のキーを保存する必要がある点である。従って、組織の何百万ものドキュメントに対する何百万ものドキュメント当たりの暗号化キーの保存によって、既存のドキュメント当たりの暗号化技術が、管理上の悪夢となる。
ここに開示するドキュメント当たりの暗号化は、ドキュメント当たりの暗号化キーの保存の必要性を予め避けることで、粒度の細かい暗号操作における非効率なキー管理の技術的な問題を解決する。その代わり、開示された技術は、持続的なマスターキーから、リアルタイムで、非持続的なドキュメント当たりの暗号化キーを導出する。マスターキーは、ドキュメント毎ではなくアプリケーション毎に生成されるため、マスターキーは、ドキュメント当たりの暗号化キーに比べて桁違いに数が少ない。よって、当該粒度の細かい暗号化により、企業データへの無許可のアクセスのリスクを大幅に減じつつ、大規模なキー保存の必要性が解消される。
粒度の細かいドキュメント当たりの暗号化に加えて、開示された技術は、カスタマイズされた暗号化キーを生成することで、企業データ１８４のリスクに晒される程度を、更に最小化する。カスタマイズされた暗号化キーは、個々の組織の様々なアプリケーション・インスタンスに対して調整されているという意味で、カスタマイズされている。“アプリケーション・インスタンス”という用語は、各種のクラウドサービス上の組織の種々のアカウントを参照する。従って、開示された技術は、組織が複数のクラウドサービス上に有する種々のアカウントに対して個々の暗号化キーを維持する。
更に、開示された技術は、暗号化キーを組織の特定の地域インスタンス、例えば、ヨーロッパ、中東及びアフリカ、北米及び中米、南米、南太平洋、等に対してカスタマイズすることにより、暗号化キーの粒度を増す。他の実施態様では、暗号化キーは、産業タイプ、部門、ユーザグループ、製品種目、または、他の組織成層基準に基づいてカスタマイズできる。
一実施態様によれば、ドキュメント当たりの暗号化は、（１）組織またはテナント識別子、（２）クラウドサービスまたはアプリケーション識別子、及び、（３）地域または他の組織層識別子のトリプレット１６０４をキーマネージャ１６０６に提供することに応答して、マスターキーまたは３重キーの生成及びキーマネージャ１６０６からの受け取りを含む。キーマネージャ１６０６は、固有の３重キー識別子１６０８と共に、３重キー１６１０を生成するために、トリプレット１６０４を使用する。固有の３重キー識別子１６０８は、プライベート３重キー１６１０に相当する公開鍵ポインタとしての機能を果たすＡＳＣＩＩ値であり得て、暗号化されるドキュメント１８４の暗号ヘッダ１６０２中に格納される。ドキュメントの暗号ヘッダ１６０２は、固有の３重キー識別子１６０８と共に、固有のドキュメント識別子１６０１も含む。ドキュメント識別子１６０１は、トークン、ＵＵＩＤのような固有の識別子、公開鍵証明書、等の形式を取り得る。
公開鍵ポインタを用いてプライベート・マスター・キーを表すことにより、プライベート・マスター・キーを危うくすることなく、暗号化されたドキュメントの自由な配布が可能となる。結果として、企業の秘密ドキュメントが意図的または非意図的に危うくなっても、企業のリスクに晒される程度は、該危うくなったドキュメントが保存され、プライベート・マスター・キーが適用されるクラウドサービス全体ではなく、当該危うくなったドキュメントに限定される。
ドキュメント当たりキーは、キー導出関数（ＫＤＦ）を用いて生成される。特に、暗号化サブエンジン５１２は、パラメータとして、３重キー１６０４、ドキュメント識別子１６０１、及び、ソルトを取るＫＤＦを計算し、その結果としてドキュメント当たりキーを生成する。ＫＤＦは、セキュアハッシュ規格（ＳＨＳ）で仕様が定められており、ＮＩＳＴによりＦＩＰＳ ＰＵＢ １８０−４として公開されているハッシュ関数ＳＨＡ−２５６であり得る。ＫＤＦは、１以上の暗号化及び復号化キーを決定するのに使用される如何なる関数も含み得る。ＫＤＦは、入力として入力値を取り得、該入力値を用いてキーを生成する。幾つかの実施態様では、ＫＤＦは、ソルト値、繰り返し総数、ロード因子、及び／または、その他適切なパラメータを使用できる。ＫＤＦの他の例は、インターネット・エンジニアリング・タスク・フォース（ＩＥＴＦ）のＲＦＣ２８９２のセクション５．２に記載されているパスワード・ベースド・キー導出関数２（ＰＢＫＤＦ２、ＲＦＣ２８９８にて仕様が定められている）である。ＫＤＦの更に他の例は、ＩＥＴＦのリクエスト・フォー・コメンツ（ＲＦＣ）５８６９に記載されているＨＭＡＣベースド・エクストラクト・アンド・エクスパンド・キー導出関数（ＨＫＤＦ）である。一実施態様によれば、ドキュメント当たりキーが導出されると直ぐに、ＡＥＳ２５６ビット暗号化アルゴリズムによって、ドキュメントを暗号化するのに用いられる。
キーマネージャ１６０６に関して、キーマネージャ１６０６は、任意のハードウェア・セキュリティ・モジュール（ＨＳＭ）を伴う、ＦＩＰＳ１４０−２レベル３で認定され、ＫＭＩＰ（キー・マネジメント・インターオペラビリティ・プロトコル）準拠のクラウドベースのキーマネージャとなり得る。他の実施態様では、キーマネージャ１６０６は、社内の企業ポリシーに従った暗号化キーの中央管理を許容して、企業の構内のインフラストラクチャと統合することができる。当該実施態様では、キーマネージャ１６０６が複数の組織間で共有されないため、組織またはテナント識別子は、３重キー１６１０の生成のために必要でなくてもよい。
特に、キーマネージャ１６０６は、非暗号化データ（平文）を暗号化データ（暗号文）に変換するために、例えば、アドバンスト・エンクリプション・スタンダード（ＡＥＳ）または他の適切なアルゴリズム等の従来の暗号化アルゴリズムを採用する。キーマネージャ１６０６は、許可の維持、キーアクセスの管理、キーバックアップの提供、キー・アーカイヴ手順の実行、クライアント管理手順の実行、セキュリティ・デバイスのモニタリング、キーの更新、障害回復の実行、及び、他の管理機能を含み、暗号化キーを管理する。認可されたユーザが、安全なストレージ１２２から企業データ１８４を要求した場合、キーマネージャ１６０６は、適切な暗号化キーを検索して、必要な暗号操作を実行するために、暗号化サブエンジン５１２に提供する。或る実施態様では、暗号化及び復号化操作の実行に加えて、キーマネージャ１６０６は、アクセスコントロール、認証、仮想化、及び、安全なログイン操作等の他の操作を実施する。
図１６Ａ及び図１６Ｂは、暗号化セキュリティ処置のワークフロー１６００Ａ，１６００Ｂの一実施態様である。ワークフロー１６００Ａ，１６００Ｂは、少なくとも部分的に、コンピュータ、または、例えば、情報を受信または検索し、情報を処理し、結果を保存し、該結果を送信するように構成された１以上のプロセッサ等による他のデータ処理システムにより実施できる。他の実施態様では、図１６Ａ及び図１６Ｂに図示したものと異なる順序で、及び／または、異なるまたは少ないまたは追加の処置とともに、該処置を実施してもよい。幾つかの実施態様では、複数の処置を合体することができる。便宜上、該ワークフローは、方法を実行するシステムを参照して説明される。該システムは、必ずしも、該方法の一部ではない。
図１６Ａにおいて、企業ユーザが、企業データ１８４（例えば、ドキュメント）のクラウドサービス１４２へのコンテンツ送信１６０２（例えば、ファイルのアップロード）を行おうと試みている（コンピュータ１５４を介して）。従業員は組織Ａの領域１に属している。反直観的に、企業データ１８４は、上述のように、コンテンツコントロールの対象である機密データであると識別されるため、処置１６０４において、試みられたアップロードは、分類エンジン１２７によって、ユーザに意識されることなく拒否される。その代わり、適用可能なコンテンツポリシーに従って、企業データ１８４は、図１６Ｂに図示されているように、ドキュメント毎に暗号化される。
図１６Ｂにおいて、暗号ヘッダ１６０２が、暗号化サブエンジン５１２によってドキュメント１８４に追加される。暗号ヘッダ１６０２は、暗号化、チェックサム、復号化等の様々な暗号操作の実施に使用される複数の情報を含む。暗号ヘッダ１６０２に含まれる情報の幾つかの例は、固有のドキュメント識別子（ドキュメントＩＤ１６０１）、暗号ヘッダのサイズ（ヘッダサイズ）、ドキュメントのサイズ（ドキュメントサイズ）、及び、暗号ヘッダのバージョン（バージョン番号）を含む。
更に進むと、暗号化サブエンジン５１２は、操作１６０５において、ランダムなソルトと共に、３重キー１６１０及び３重キー識別子１６０８をキーマネージャ１６０６から受信するために、操作１６０３で、トリプレット１６０４として集合的に参照されている組織識別子、アプリケーション識別子、及び、領域識別子の組み合わせを用いる。組織識別子は、従業員の組織、つまり、組織Ａを識別する。アプリケーション識別子は、実施されるコンテンツレベル処置が関連するクラウドサービス、つまり、クラウドサービス１４２を特定する。領域識別子は、従業員が属する組織層、つまり、領域１を判断するのに使用される。
更に、ドキュメントＩＤ１６０１及び３重キー識別子１６０８は、操作１６１１でドキュメント当たりキーを生成するために、ＨＫＤＦに供給される。操作１６１３において、ドキュメント１８４は、ドキュメント当たりキーを用いて暗号化される。幾つかの実施態様では、暗号化の前に、図１７に示す復号化で使用される３重キー識別子１６０８を含むように、暗号ヘッダ１６０２が更新される。
図１７は、復号化のワークフロー１７００の一実施態様である。ワークフロー１７００は、少なくとも部分的に、コンピュータ、または、例えば、情報を受信または検索し、情報を処理し、結果を保存し、該結果を送信するように構成された１以上のプロセッサ等による他のデータ処理システムにより実施できる。他の実施態様では、図１７に図示したものと異なる順序で、及び／または、異なるまたは少ないまたは追加の処置とともに、該処置を実施してもよい。幾つかの実施態様では、複数の処置を合体することができる。便宜上、該ワークフローは、方法を実行するシステムを参照して説明される。該システムは、必ずしも、該方法の一部ではない。
抽出１７０２において、抽出エンジン１２６は、ドキュメントＩＤ１６０１及び３重キー識別子１６０８を、暗号ヘッダ１６０２から抽出する。幾つかの実施態様では、暗号ヘッダ１６０２の完全性を検証し、ドキュメント１８４を復号化するのに正確な情報が使用されることを確実にするために、暗号チェックサムが用いられる。一実施態様では、チェックサムは、チェーンモードにおけるデータ暗号化規格（ＤＥＳ）のように、鍵有りにできる。他の実施態様では、チェックサムは、ＭＤ５、ＳＨＡ−１、ＭＤ４、ＨＡＶＡＬ、または、Ｓｎｅｆｕのように、鍵無しにできる。他の実施態様では、従業員は、データ分類タグを含む上述した複数の条件変数に基づいて、復号化のために認可される。
更に進んで、暗号化サブエンジン５１２は、操作１７０３において、３重キー識別子１６０８を用い、操作１７０５において、キーマネージャ１６０６から３重キー１６０１を受け取る。更に、ドキュメントＩＤ１６０１及び３重キー識別子１６０８は、操作１７１１でドキュメント当たりキーを生成するために、ＨＫＤＦに供給される。操作１７１３において、ドキュメント１８４は、元のドキュメント１８４を作成するために、ドキュメント当たりキーを用いて復号化される。
他の実施態様では、ＨＫＤＦ操作は、ＨＳＭにおいて実行され得て、ドキュメント当たりキーだけがセキュリティエンジン１２８に送信される。
図１８は、きめ細かいコンテンツポリシーの設定に利用可能なコンテンツ・モニタ・インターフェース１８００の一実施態様を示す。他の実施態様では、インターフェース１８００は、上記に挙げたものと同じウィジェット、タブ、インターフェース要素、または、インターフェース部品を備えていなくてもよく、及び／または、上記に挙げたものに代えて、または、追加して、セキュリティ処置タブ、コンテンツ抽出タブ等の別の／異なるウィジェット、タブ、インターフェース要素、または、インターフェース部品を備えてもよい。
インターフェース１８００に示されるコンテンツポリシーは、機密データの送信の検出に応答して、暗号化セキュリティ処置を始動させる。更に、暗号化セキュリティ処置は、アップロードのコンテンツレベルの活動に対してのみ始動される。更に、コンテンツポリシーは、ネットスコープという名の組織のヨーロッパ地域のグーグル・ドライブ・インスタンスに対してのみ適用される。

［結論及び特定の実施態様］
我々は、クラウドサービスにセキュリティを提供するためのシステム及び様々な実施態様を説明した。議論したように、これは、コンテンツタイプ及びアプリケーションレベルの意味と関連するきめ細かいフィルタリングを備えたクライアントとクラウドサービス間のある種の仮想ネットワークを提供する。
以下の議論で、幾つかの特定の実施態様及び特徴が説明される。
一実施態様では、クラウド・コンピューティング・サービス（ＣＣＳ）上に保存された企業情報をモニター及びコントロールするコンピュータ実装方法が説明される。該方法は、使用中のクラウド・コンピューティング・サービス（ＣＣＳ）アプリケーション・プログラミング・インターフェース（ＡＰＩ）、及び、ＣＣＳ・ＡＰＩを介して実行される機能または活動を検出するクロス・アプリケーション・モニタを使用することを含む。該方法は、また、ＣＣＳ・ＡＰＩに基づいてデータストリームを解析（ｐａｒｓｅ）すること、及び、ＣＣＳに送信されるコンテンツを識別することによって、ＣＣＳ・ＡＰＩを介して実行される機能または活動を決定することを含む。該方法は、更に、コンテンツコントロールの対象となる前記コンテンツ中の文字列及び相互関係のある文字列を発見するためにコンテンツ検査ルールを適用すること、及び、解析されたストリーム中のコンテンツコントロールの対象となる文字列及び相互関係のある文字列の発見に対応するセキュリティ処置を起動することを含む。
開示された技術の本セクション及び他のセクションに記載された該方法は、以下の特徴の１以上、及び／または、開示された追加の方法と関連して説明される特徴を含むことができる。簡潔にするために、本願で開示される特徴の組み合わせは、個々には列挙されず、また、特徴の各基本セットによる繰り返し説明はされない。読者は、本方法において特定される特徴が如何にして、システム概要、システムアーキテクチャ、ディープＡＰＩ検査、コンテンツモニタリング、セキュリティ処置、結論、及び、特定の実施態様、等の実施態様として特定される基本特徴の集合と容易に組み合わされるかを理解できるであろう。
一実施態様では、解析（ｐａｒｓｅ）されたストリーム内のコンテンツコントロールの対象となる文字列及び相互関係のある文字列の閾値（ｔｈｒｅｓｈｏｌｄ）の発生の発見に対応するセキュリティ処置が始動される。他の実施態様では、コンテンツコントロールの対象となるコンテンツに関連するメタデータ中の文字列及び相互関係のある文字列を発見するためにコンテンツ検査ルールが適用される。
幾つかの実施態様では、コンテンツ検査プロファイルは、複数のコンテンツ検査ルールに基づいて規定され、ＣＣＳに適用可能なポリシー内に含まれる。更に、ＣＣＳに適用可能な該ポリシー内で規定されている複数の条件変数に基づいて、セキュリティ処置が始動される。
一実施態様では、ＣＣＳは、パブリッククラウド、プライベートクラウド、及び、プライベート・データ・センタの少なくとも１つおいて提供（ｈｏｓｔ）される。別の実施態様では、ＣＣＳは、サービスとしてのソフトウェア（ＳａａＳ）、サービスとしてのインフラストラクチャ（ＩａａＳ）、及び、サービスとしてのプラットフォーム（ＰａａＳ）の少なくとも１つである。
一実施態様では、コンテンツ検査ルールは、コンテンツコントロールの対象となるコンテンツを集合的に識別する２以上の離散的な文字列にマッチする少なくとも１つのマルチパート文字列検索パターンを含む。幾つかの実施態様では、マルチパート文字列検索パターンの少なくとも１つの下位区分が、特定の顧客の要求に合わせて調整されたカスタムパターンである。他の実施態様では、マルチパート文字列検索パターンの少なくとも１つの下位区分が、データ分類ライブラリからの標準パターンである。
一実施態様では、マルチパート文字列検索パターンは、前記２以上の離散的な文字列間の意味的近似に基づいて前記２以上の離散的な文字列にマッチする。幾つかの実施態様では、コンテンツ検査ルールは、医療保険の携行性と責任に関する法律（ＨＩＰＡＡ）のプライバシーまたはセキュリティ規制の順守を対象とした複数のマルチパート文字列検索パターンを含む。他の実施態様では、コンテンツ検査ルールは、ペイメントカード業界（ＰＣＩ）のデータセキュリティ基準の順守を対象とした複数のマルチパート文字列検索パターンを含む。更に他の実施態様では、コンテンツ検査ルールは、個人を特定可能な情報（ＰＩＩ）のデータセキュリティ基準の順守を対象とした複数のマルチパート文字列検索パターンを含む。
一実施態様では、コンテンツ検査ルールは、機密と認定された営業秘密データを対象とした複数のマルチパート文字列検索パターンを含む。他の実施態様では、コンテンツ検査ルールは、ソースコードを対象とした複数のマルチパート文字列検索パターンを含む。更に他の実施態様では、コンテンツ検査ルールは、技術仕様を対象とした複数のマルチパート文字列検索パターンを含む。更なる実施態様では、コンテンツ検査ルールは、顧客または従業員に関する財務データを含む顧客または従業員リストを対象とした複数のマルチパート文字列検索パターンを含む。
幾つかの実施態様では、セキュリティ処置は、コンテンツの隔離を含む。一実施態様では、コンテンツが隔離承認者の承認または拒否の結果が出るまで条件付きで保存される隔離フォルダがＣＣＳに作成される。一実施態様では、隔離フォルダ内にコンテンツ項目を条件付きで保存することは、コンテンツを識別するコンテンツのためのツームストーン（ｔｏｂｍｓｔｏｎｅ）ファイルを表すデータを生成することを含む。他の実施態様では、隔離フォルダ内にコンテンツ項目を条件付きで保存することは、該コンテンツ項目を暗号化することを含む。幾つかの実施態様では、隔離フォルダは、コンテンツが送信されたであろうＣＣＳとは異なる第２のＣＣＳに作成される。
ＣＣＳへのコンテンツの送信に関する隔離承認者の決定は保存され、その後のＣＣＳへの該コンテンツの送信要求は隔離承認者の決定に基づいて処理される。幾つかの実施態様では、隔離承認者の承認または拒否に対応して、ツームストーンファイルは、該コンテンツと置換されるか、または、消去される。
一実施態様では、少なくとも１つのマルチパート文字列検索パターンを識別するデータが生成され、隔離承認者に提示される。該データは、コンテンツコントロールの対象である隔離されたコンテンツ内の少なくとも１つの文字列を識別する。
幾つかの実施態様では、セキュリティ処置は、実行される機能または活動を完了させるための条件として、解析（ｐａｒｓｅ）されたストリーム内のコンテンツ用に使用されるＣＣＳ・ＡＰＩの使用の正当化を要求することを含む。
他の実施態様では、セキュリティ処置は、使用中のＣＣＳ・ＡＰＩのより企業向けの代替物を識別する１以上の指導メッセージの生成を含む。一実施態様では、ＣＣＳ・ＡＰＩの企業向けの代替物は、ＣＣＳのデータ暗号化ポリシー、ＣＣＳの災害管理ポリシー、ＣＣＳを支援するデータセンタの数、及び、該データセンタのコンプライアンス証明書の少なくとも１つに基づいて決定されるクラウド信頼指標（ＣＣＩ）を用いて識別される。
幾つかの実施態様では、セキュリティ処置は、コンテンツのドキュメント特有の暗号化を含む。一実施態様では、ドキュメント特有の暗号化は、組織識別子、アプリケーション識別子、及び、領域識別子のトリプレットを用いてキーマネージャにアクセスすること、及び、３重キー、及び、前記３重キーを一意的に識別する３重キー識別子を受け取ることを含む。ドキュメント識別子（ＩＤ）を有するドキュメントに対して、本方法は、該３重キー、該ドキュメントＩＤ、及び、ソルトの組み合わせからドキュメント当たりキーを導出し、該ドキュメント当たりキーを用いて該ドキュメントを暗号化し、暗号化されたドキュメント、該ドキュメントＩＤ、該ソルト、及び、該３重キー識別子を転送することを含む。
幾つかの実施態様では、該３重キー、該ドキュメントＩＤ、及び、該ソルトの組み合わせから該ドキュメント当たりキーを導出するために、ハッシュキー導出関数（ＨＫＤＦ）が使用される。
一実施態様では、ドキュメント分類タグが、ドキュメントのコンテンツ検査に基づいて該ドキュメントに適用され、該ドキュメントへのアクセスをコントロールするのに使用される。
一実施態様では、ドキュメントの完全性を認証するデータ完全性タグが生成され、該ドキュメントを更に処理している期間中、該データ完全性タグの使用が持続される。
一実施態様では、上記キーマネージャは、キーマネジメント相互運用プロトコル（ＫＭＩＰ）準拠のキーマネジメントシステムである。
幾つかの実施態様では、該キーマネージャは、クラウド・コンピューティング・サービス（ＣＣＳ）を使用する組織のローカルデータセンタに設けられている。
他の実施態様では、該キーマネージャは、クラウド・コンピューティング・サービス（ＣＣＳ）に設けられている。更に他の実施態様では、該キーマネージャは、領域特有である。
更に他の実施態様では、該キーマネージャは、トラステッド・プラットフォーム・モジュール（ＴＰＭ）及びハードウェア・セキュリティ・モジュール（ＨＳＭ）の少なくとも何れか１つである。
更に他の実施態様では、該方法は、少なくとも１つのデータ分類タグを含む複数の条件変数に基づいて復号化のためのユーザを認可することを含む。該方法は、キー識別子と領域識別子を用いてキーマネージャにアクセスすること、及び、マスターキーを一意的に識別する該キー識別子を用いて該マスターキーを受け取ることを更に含む。ドキュメント識別子（ＩＤ）を有するドキュメントに対して、該方法は、該マスターキー、該ドキュメントＩＤ、及び、ソルトの組み合わせからドキュメント当たりキーを導出し、該ドキュメント当たりキーを用いて該ドキュメントを復号化し、復号化されたドキュメントを上記ユーザに転送することを含む。
幾つかの実施態様では、該ドキュメントに対応するデータ完全性タグが検証される。該データ完全性タグは該ドキュメントの完全性を認証する。
一実施態様では、該キー識別子は、組織識別子とアプリケーション識別子の少なくとも１つを含む。
幾つかの実施態様では、ハッシュキー導出関数（ＨＫＤＦ）が、該マスターキー、該ドキュメントＩＤ、及び、該ソルトの組み合わせから該ドキュメント当たりキーを導出するために使用される。
一実施態様では、該キーマネージャは、キーマネジメント相互運用プロトコル（ＫＭＩＰ）準拠のキーマネジメントシステムである。
幾つかの実施態様では、該キーマネージャは、クラウド・コンピューティング・サービス（ＣＣＳ）を使用する組織のローカルデータセンタに設けられている。
他の実施態様では、該キーマネージャは、クラウド・コンピューティング・サービス（ＣＣＳ）に設けられている。更に他の実施態様では、該キーマネージャは、領域特有である。
更に他の実施態様では、該キーマネージャは、トラステッド・プラットフォーム・モジュール（ＴＰＭ）及びハードウェア・セキュリティ・モジュール（ＨＳＭ）の少なくとも何れか１つである。
本セクションで説明した方法の他の実施態様は、上記で説明した方法の何れかを実行するプロセッサによって実行可能な命令を格納する持続性コンピュータ可読記憶媒体を含むことができる。本セクションで説明した方法の更に他の実施態様は、メモリ、及び、上記で説明した方法の何れかを実行するために、該メモリに格納された命令を実行する動作が可能な１以上のプロセッサを備えるシステムを含むことができる。
幾つかの実施態様では、例えば、クラウドサービス１のクラウドサービス２に向かうデータフロー等のサービスを横断するデータフローを解析する。
幾つかの実施態様は、潜在的な侵犯、及び／または、不正使用を識別するために、ユーザ毎の行動解析を適用する。
幾つかの実施態様は、サービス妨害攻撃を識別できる。
幾つかの実施態様は、クライアントがクラウドサービスにより約束されたサービスを使用することができたか否かについて、企業に報告を返すサービスレベル契約（ＳＬＡ）を提供する。
上記で説明または参照された如何なるデータ構造及びコードも、多くの実施態様に基づいて、コンピュータシステムによる使用のためにコード及び／またはデータを保存できる任意のデバイスまたは媒体であり得るコンピュータ可読記憶媒体上に保存される。コンピュータ可読記憶媒体は、揮発性メモリ、不揮発性メモリ、特定用途向け集積回路（ＡＳＩＣ）、フィールド・プログラマブル・ゲートアレイ（ＦＰＧＡ）、ディスクドライブ、磁気テープ、ＣＤ（コンパクトディスク）、ＤＶＤ（ディジタル・ヴァーサタイル・ディスクまたはディジタル・ビデオ・ディスク）等の磁気及び光学記憶装置、または、既知または今後開発されるコンピュータ可読媒体を保存可能な他の媒体、但し、これらに制限されないものを含む。
以上の説明は、開示された技術の作成及び使用を可能にすべく提示された。説明した実施態様に対する種々の変形は明白であり、ここに規定された一般的原理は、開示された技術の精神と範囲から逸脱することなく、他の実施態様及びアプリケーションに適用し得る。従って、開示された技術は、示された実施態様に限定されることを意図されておらず、ここに開示された原理及び特徴に合致する最大範囲が与えられる。開示された技術の範囲は、添付の請求項により規定される。

Claims (22)

  1. クラウド・コンピューティング・サービス（ＣＣＳ）上に保存された企業情報をモニター及びコントロールするコンピュータにより実行される方法であって、
    クライアントが使用中のクラウド・コンピューティング・サービス（ＣＣＳ）アプリケーション・プログラミング・インターフェース（ＡＰＩ）、及び、前記ＣＣＳ・ＡＰＩを介して前記クライアントにより要求される機能または活動を検出するクロス・アプリケーション・モニタを使用すること、
    前記検出されたＣＣＳ・ＡＰＩに基づいて、前記ＣＣＳ・ＡＰＩを介して交換されたＡＰＩデータを解析（ｐａｒｓｅ）すること、及び、前記クライアントと前記ＣＣＳの間で送信されるコンテンツを識別することにより実行される前記機能または前記活動を決定すること、
    コンテンツ検査ルールにより特定される近似範囲内にある２以上の離散的な文字列（ｓｔｒｉｎｇｓ）を発見するために、尚、前記２以上の離散的な文字列は、当該発見に基づいて、結果としてコンテンツコントロールの対象となるものであり、少なくとも決定された前記機能または前記活動に基づいて、前記クライアントと前記ＣＣＳの間で送信される前記コンテンツに、マルチパート文字列検索パターンを備えた前記コンテンツ検査ルールを選択的に適用すること、及び、
    前記コンテンツコントロールの対象となる前記２以上の離散的な文字列の発見に対応するセキュリティ処置を起動することを含む方法。
  2. 前記ＣＣＳに対して適用可能なポリシー中で規定されている複数の条件変数に基づいて前記セキュリティ処置を起動することを更に含む請求項１に記載のコンピュータにより実行される方法。
  3. コンテンツコントロールの対象となるコンテンツに関連するメタデータ中の文字列及び相互関係のある文字列を発見するために前記コンテンツ検査ルールを適用すること更に含む請求項１〜２の何れか１項に記載のコンピュータにより実行される方法。
  4. 前記コンテンツ検査ルールが、コンテンツコントロールの対象となるコンテンツを集合的に識別する２以上の離散的な文字列にマッチする少なくとも１つのマルチパート文字列検索パターンを更に含む請求項１〜３の何れか１項に記載のコンピュータにより実行される方法。
  5. 前記マルチパート文字列検索パターンの少なくとも１つの下位区分が、特定の顧客の要求に合わせて調整されたカスタムパターンである請求項１〜４の何れか１項に記載のコンピュータにより実行される方法。
  6. 前記マルチパート文字列検索パターンの少なくとも１つの下位区分が、データ分類ライブラリからの標準パターンである請求項１〜５の何れか１項に記載のコンピュータにより実行される方法。
  7. 前記コンテンツ検査ルールが、ソースコードを対象とした複数のマルチパート文字列検索パターンを更に含む請求項１〜６の何れか１項に記載のコンピュータにより実行される方法。
  8. 前記セキュリティ処置として、前記コンテンツを隔離することを更に含む請求項１〜７の何れか１項に記載のコンピュータにより実行される方法。
  9. 前記コンテンツを隔離することが、前記ＣＣＳに隔離フォルダを生成し、隔離承認者による承認または拒否を保留にして条件付きで前記コンテンツを前記隔離フォルダに保存することを更に含む請求項１〜８の何れか１項に記載のコンピュータにより実行される方法。
  10. 前記コンテンツの前記ＣＣＳへの送信に係る前記隔離承認者の決定を保存すること、及び、
    前記隔離承認者の前記決定に基づいて前記コンテンツを前記ＣＣＳへ送信するための後続の要求を処理することを、更に含む請求項１〜９の何れか１項に記載のコンピュータにより実行される方法。
  11. 条件付きで前記コンテンツを前記隔離フォルダに保存することが、
    前記コンテンツを識別する前記コンテンツのためのツームストーン（ｔｏｂｍｓｔｏｎｅ）ファイルを表すデータを生成すること、及び、
    前記隔離承認者の承認または拒否に対応して、前記ツームストーンファイルを前記コンテンツに置換することと、前記ツームストーンファイルを削除することの少なくとも１つを行うことを、更に含む請求項１〜１０の何れか１項に記載のコンピュータにより実行される方法。
  12. 前記セキュリティ処置として、
    前記クライアントにより要求される前記機能または前記活動を完了する条件として、解析されたＡＰＩデータ中の前記コンテンツの前記クライアントによる使用に、前記ＣＣＳ・ＡＰＩの使用の正当化を要求すること、及び、
    更なるコンピュータにより実行される処理のために前記正当化を保存し転送することを、更に含む請求項１〜１１の何れか１項に記載のコンピュータにより実行される方法。
  13. 前記セキュリティ処置として、前記コンテンツのドキュメント特有の暗号化を更に含む請求項１〜１２の何れか１項に記載のコンピュータにより実行される方法。
  14. クラウド・コンピューティング・サービス（ＣＣＳ）上に保存された企業情報をモニター及びコントロールするシステムであって、
    前記システムが、プロセッサ、及び、コンピュータ命令を保存しているコンピュータ可読記憶媒体を含み、
    前記コンピュータ命令が、前記プロセッサに対して、
    クライアントが使用中のクラウド・コンピューティング・サービス（ＣＣＳ）アプリケーション・プログラミング・インターフェース（ＡＰＩ）、及び、前記ＣＣＳ・ＡＰＩを介して前記クライアントにより要求される機能または活動を検出するクロス・アプリケーション・モニタを使用すること、
    前記検出されたＣＣＳ・ＡＰＩに基づいて、前記ＣＣＳ・ＡＰＩを介して交換されたＡＰＩデータを解析（ｐａｒｓｅ）すること、及び、前記クライアントと前記ＣＣＳの間で送信されるコンテンツを識別することにより実行される前記機能または前記活動を決定すること、
    コンテンツ検査ルールにより特定される近似範囲内にある２以上の離散的な文字列（ｓｔｒｉｎｇｓ）を発見するために、尚、前記２以上の離散的な文字列は、当該発見に基づいて、結果としてコンテンツコントロールの対象となるものであり、少なくとも決定された前記機能または前記活動に基づいて、前記クライアントと前記ＣＣＳの間で送信される前記コンテンツに、マルチパート文字列検索パターンを備えた前記コンテンツ検査ルールを選択的に適用すること、及び、
    前記コンテンツコントロールの対象となる前記２以上の離散的な文字列の発見に対応するセキュリティ処置を起動することを、行わせるように構成されているシステム。
  15. 前記コンテンツ検査ルールが、コンテンツコントロールの対象となるコンテンツを集合的に識別する２以上の離散的な文字列にマッチする少なくとも１つのマルチパート文字列検索パターンを更に含む請求項１４に記載のシステム。
  16. 前記マルチパート文字列検索パターンの少なくとも１つの下位区分が、特定の顧客の要求に合わせて調整されたカスタムパターンである請求項１４〜１５の何れか１項に記載のシステム。
  17. 前記マルチパート文字列検索パターンの少なくとも１つの下位区分が、データ分類ライブラリからの標準パターンである請求項１４〜１６の何れか１項に記載のシステム。
  18. 前記セキュリティ処置として、前記コンテンツを隔離することを含むように更に構成されている請求項１４〜１７の何れか１項に記載のシステム。
  19. クラウド・コンピューティング・サービス（ＣＣＳ）上に保存された企業情報をモニター及びコントロールする方法を実行するための命令が保存された１以上の持続性コンピュータ可読記憶媒体であって、前記方法が、
    クライアントが使用中のクラウド・コンピューティング・サービス（ＣＣＳ）アプリケーション・プログラミング・インターフェース（ＡＰＩ）、及び、前記ＣＣＳ・ＡＰＩを介して前記クライアントにより要求される機能または活動を検出するクロス・アプリケーション・モニタを使用すること、
    前記検出されたＣＣＳ・ＡＰＩに基づいて、前記ＣＣＳ・ＡＰＩを介して交換されたＡＰＩデータを解析（ｐａｒｓｅ）すること、及び、前記クライアントと前記ＣＣＳの間で送信されるコンテンツを識別することにより実行される前記機能または前記活動を決定すること、
    コンテンツ検査ルールにより特定される近似範囲内にある２以上の離散的な文字列（ｓｔｒｉｎｇｓ）を発見するために、尚、前記２以上の離散的な文字列は、当該発見に基づいて、結果としてコンテンツコントロールの対象となるものであり、少なくとも決定された前記機能または前記活動に基づいて、前記クライアントと前記ＣＣＳの間で送信される前記コンテンツに、マルチパート文字列検索パターンを備えた前記コンテンツ検査ルールを選択的に適用すること、及び、
    前記コンテンツコントロールの対象となる前記２以上の離散的な文字列の発見に対応するセキュリティ処置を起動することを含む持続性コンピュータ可読記憶媒体。
  20. 前記コンテンツ検査ルールが、コンテンツコントロールの対象となるコンテンツを集合的に識別する２以上の離散的な文字列にマッチする少なくとも１つのマルチパート文字列検索パターンを更に含む請求項１９に記載の持続性コンピュータ可読記憶媒体。
  21. 前記マルチパート文字列検索パターンの少なくとも１つの下位区分が、特定の顧客の要求に合わせて調整されたカスタムパターンであること、及び、前記マルチパート文字列検索パターンの少なくとも１つの下位区分が、データ分類ライブラリからの標準パターンであることの少なくとも何れか一方である請求項１９〜２０の何れか１項に記載の持続性コンピュータ可読記憶媒体。
  22. 前記セキュリティ処置として、前記コンテンツを隔離することを含むように更に構成されている請求項１９〜２１の何れか１項に記載の持続性コンピュータ可読記憶媒体。
JP2018160069A 2015-03-19 2018-08-29 クラウド・コンピューティング・サービス（ｃｃｓ）上に保存された企業情報をモニター、コントロール、及び、ドキュメント当たりの暗号化を行うシステム及び方法 Expired - Fee Related JP6476339B6 (ja)

Applications Claiming Priority (6)

Application Number Priority Date Filing Date Title
US201562135656P 2015-03-19 2015-03-19
US62/135,656 2015-03-19
US14/835,640 US9928377B2 (en) 2015-03-19 2015-08-25 Systems and methods of monitoring and controlling enterprise information stored on a cloud computing service (CCS)
US14/835,632 2015-08-25
US14/835,640 2015-08-25
US14/835,632 US10114966B2 (en) 2015-03-19 2015-08-25 Systems and methods of per-document encryption of enterprise information stored on a cloud computing service (CCS)

Related Parent Applications (1)

Application Number Title Priority Date Filing Date
JP2018500266A Division JP6396623B2 (ja) 2015-03-19 2016-01-20 クラウド・コンピューティング・サービス（ｃｃｓ）上に保存された企業情報をモニター、コントロール、及び、ドキュメント当たりの暗号化を行うシステム及び方法

Related Child Applications (1)

Application Number Title Priority Date Filing Date
JP2019017819A Division JP2019096339A (ja) 2015-03-19 2019-02-04 クラウド・コンピューティング・サービス（ｃｃｓ）上に保存された企業情報をモニター、コントロール、及び、ドキュメント当たりの暗号化を行うシステム及び方法

Publications (3)

Publication Number Publication Date
JP2019016370A true JP2019016370A (ja) 2019-01-31
JP6476339B2 JP6476339B2 (ja) 2019-02-27
JP6476339B6 JP6476339B6 (ja) 2019-04-10

Family

ID=56924035

Family Applications (3)

Application Number Title Priority Date Filing Date
JP2018500266A Active JP6396623B2 (ja) 2015-03-19 2016-01-20 クラウド・コンピューティング・サービス（ｃｃｓ）上に保存された企業情報をモニター、コントロール、及び、ドキュメント当たりの暗号化を行うシステム及び方法
JP2018160069A Expired - Fee Related JP6476339B6 (ja) 2015-03-19 2018-08-29 クラウド・コンピューティング・サービス（ｃｃｓ）上に保存された企業情報をモニター、コントロール、及び、ドキュメント当たりの暗号化を行うシステム及び方法
JP2019017819A Withdrawn JP2019096339A (ja) 2015-03-19 2019-02-04 クラウド・コンピューティング・サービス（ｃｃｓ）上に保存された企業情報をモニター、コントロール、及び、ドキュメント当たりの暗号化を行うシステム及び方法

Family Applications Before (1)

Application Number Title Priority Date Filing Date
JP2018500266A Active JP6396623B2 (ja) 2015-03-19 2016-01-20 クラウド・コンピューティング・サービス（ｃｃｓ）上に保存された企業情報をモニター、コントロール、及び、ドキュメント当たりの暗号化を行うシステム及び方法

Family Applications After (1)

Application Number Title Priority Date Filing Date
JP2019017819A Withdrawn JP2019096339A (ja) 2015-03-19 2019-02-04 クラウド・コンピューティング・サービス（ｃｃｓ）上に保存された企業情報をモニター、コントロール、及び、ドキュメント当たりの暗号化を行うシステム及び方法

Country Status (4)

Country Link
US (5) US9928377B2 (ja)
EP (2) EP3484120A1 (ja)
JP (3) JP6396623B2 (ja)
WO (1) WO2016186703A2 (ja)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11144664B2 (en) 2019-10-31 2021-10-12 Nomura Research Institute, Ltd. Risk management support device
US11392705B1 (en) 2021-07-29 2022-07-19 Netskope, Inc. Disk encryption key management for booting of a device

Families Citing this family (206)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9015301B2 (en) * 2007-01-05 2015-04-21 Digital Doors, Inc. Information infrastructure management tools with extractor, secure storage, content analysis and classification and method therefor
US9736065B2 (en) 2011-06-24 2017-08-15 Cisco Technology, Inc. Level of hierarchy in MST for traffic localization and load balancing
US8908698B2 (en) 2012-01-13 2014-12-09 Cisco Technology, Inc. System and method for managing site-to-site VPNs of a cloud managed network
US11082490B2 (en) * 2012-11-28 2021-08-03 Nvidia Corporation Method and apparatus for execution of applications in a cloud system
US9043439B2 (en) 2013-03-14 2015-05-26 Cisco Technology, Inc. Method for streaming packet captures from network access devices to a cloud server over HTTP
US10694029B1 (en) 2013-11-07 2020-06-23 Rightquestion, Llc Validating automatic number identification data
US11611473B2 (en) * 2014-01-14 2023-03-21 Zixcorp Systems, Inc. Provisioning a service using file distribution technology
US10122605B2 (en) 2014-07-09 2018-11-06 Cisco Technology, Inc Annotation of network activity through different phases of execution
US9825878B2 (en) 2014-09-26 2017-11-21 Cisco Technology, Inc. Distributed application framework for prioritizing network traffic using application priority awareness
US10050862B2 (en) 2015-02-09 2018-08-14 Cisco Technology, Inc. Distributed application framework that uses network and application awareness for placing data
GB2545818B (en) * 2015-02-11 2017-11-22 J2 Global Ip Ltd Access permissions for sensitive information
US10708342B2 (en) 2015-02-27 2020-07-07 Cisco Technology, Inc. Dynamic troubleshooting workspaces for cloud and network management systems
US10037617B2 (en) 2015-02-27 2018-07-31 Cisco Technology, Inc. Enhanced user interface systems including dynamic context selection for cloud-based networks
US10630686B2 (en) 2015-03-12 2020-04-21 Fornetix Llc Systems and methods for organizing devices in a policy hierarchy
US10965459B2 (en) * 2015-03-13 2021-03-30 Fornetix Llc Server-client key escrow for applied key management system and process
US10382534B1 (en) 2015-04-04 2019-08-13 Cisco Technology, Inc. Selective load balancing of network traffic
US10476982B2 (en) 2015-05-15 2019-11-12 Cisco Technology, Inc. Multi-datacenter message queue
US11115417B2 (en) * 2015-05-19 2021-09-07 Microsoft Technology Licensing, Llc. Secured access control to cloud-based applications
US9825954B2 (en) * 2015-05-26 2017-11-21 Holonet Security, Inc. Stateful user device identification and binding for cloud application security
US10511695B2 (en) * 2015-06-23 2019-12-17 Georgia Tech Research Corporation Packet-level clustering for memory-assisted compression of network traffic
US10034201B2 (en) 2015-07-09 2018-07-24 Cisco Technology, Inc. Stateless load-balancing across multiple tunnels
US10171537B2 (en) 2015-08-07 2019-01-01 At&T Intellectual Property I, L.P. Segregation of electronic personal health information
US9942747B2 (en) 2015-08-07 2018-04-10 At&T Mobility Ii Llc Dynamic utilization of services by a temporary device
US10631192B2 (en) 2015-08-14 2020-04-21 At&T Intellectual Property I, L.P. Policy enforced intelligent persona manager
US10044780B2 (en) 2015-08-26 2018-08-07 At&T Intellectual Property I, L.P. Dynamic segregated secure data connection
US9910994B1 (en) * 2015-08-27 2018-03-06 Amazon Technologies, Inc. System for assuring security of sensitive data on a host
US10432641B2 (en) * 2015-09-25 2019-10-01 T-Mobile Usa, Inc. Secure data corridors
WO2017053992A1 (en) 2015-09-25 2017-03-30 T-Mobile Usa, Inc. Distributed big data security architecture
US10432642B2 (en) 2015-09-25 2019-10-01 T-Mobile Usa, Inc. Secure data corridors for data feeds
US10079835B1 (en) * 2015-09-28 2018-09-18 Symantec Corporation Systems and methods for data loss prevention of unidentifiable and unsupported object types
US9866592B2 (en) * 2015-09-28 2018-01-09 BlueTalon, Inc. Policy enforcement system
US10067780B2 (en) 2015-10-06 2018-09-04 Cisco Technology, Inc. Performance-based public cloud selection for a hybrid cloud environment
US11005682B2 (en) 2015-10-06 2021-05-11 Cisco Technology, Inc. Policy-driven switch overlay bypass in a hybrid cloud network environment
US10462136B2 (en) 2015-10-13 2019-10-29 Cisco Technology, Inc. Hybrid cloud security groups
WO2017083140A1 (en) * 2015-11-10 2017-05-18 Avanan Inc. Cloud services discovery and monitoring
US10523657B2 (en) 2015-11-16 2019-12-31 Cisco Technology, Inc. Endpoint privacy preservation with cloud conferencing
US10205677B2 (en) 2015-11-24 2019-02-12 Cisco Technology, Inc. Cloud resource placement optimization and migration execution in federated clouds
US10084703B2 (en) 2015-12-04 2018-09-25 Cisco Technology, Inc. Infrastructure-exclusive service forwarding
US9871825B2 (en) 2015-12-10 2018-01-16 BlueTalon, Inc. Policy enforcement for compute nodes
US10498748B1 (en) * 2015-12-17 2019-12-03 Skyhigh Networks, Llc Cloud based data loss prevention system
US10108688B2 (en) 2015-12-22 2018-10-23 Dropbox, Inc. Managing content across discrete systems
US10372931B2 (en) * 2015-12-27 2019-08-06 Avanan Inc. Cloud security platform
US10225084B1 (en) * 2015-12-29 2019-03-05 EMC IP Holding Company LLC Method, apparatus and computer program product for securely sharing a content item
US10367914B2 (en) 2016-01-12 2019-07-30 Cisco Technology, Inc. Attaching service level agreements to application containers and enabling service assurance
US10412168B2 (en) * 2016-02-17 2019-09-10 Latticework, Inc. Implementing a storage system using a personal user device and a data distribution device
US10880281B2 (en) 2016-02-26 2020-12-29 Fornetix Llc Structure of policies for evaluating key attributes of encryption keys
US10671721B1 (en) 2016-03-25 2020-06-02 Fireeye, Inc. Timeout management services
US10601863B1 (en) * 2016-03-25 2020-03-24 Fireeye, Inc. System and method for managing sensor enrollment
US10785255B1 (en) 2016-03-25 2020-09-22 Fireeye, Inc. Cluster configuration within a scalable malware detection system
US10255459B2 (en) * 2016-05-18 2019-04-09 International Business Machines Corporation Privacy enabled runtime
US10769285B2 (en) 2016-05-18 2020-09-08 International Business Machines Corporation Privacy enabled runtime
US10129177B2 (en) 2016-05-23 2018-11-13 Cisco Technology, Inc. Inter-cloud broker for hybrid cloud networks
US9935913B2 (en) * 2016-06-10 2018-04-03 Facebook, Inc. Establishing connections between third party accounts maintained by various third party systems and between third party accounts and accounts maintained by an online system
US11386213B2 (en) * 2016-06-21 2022-07-12 Unisys Corporation Systems and methods for efficient access control
US10430610B2 (en) * 2016-06-30 2019-10-01 International Business Machines Corporation Adaptive data obfuscation
US10659283B2 (en) 2016-07-08 2020-05-19 Cisco Technology, Inc. Reducing ARP/ND flooding in cloud environment
US10432532B2 (en) 2016-07-12 2019-10-01 Cisco Technology, Inc. Dynamically pinning micro-service to uplink port
US10263898B2 (en) * 2016-07-20 2019-04-16 Cisco Technology, Inc. System and method for implementing universal cloud classification (UCC) as a service (UCCaaS)
US10382597B2 (en) 2016-07-20 2019-08-13 Cisco Technology, Inc. System and method for transport-layer level identification and isolation of container traffic
US10938844B2 (en) * 2016-07-22 2021-03-02 At&T Intellectual Property I, L.P. Providing security through characterizing mobile traffic by domain names
US10142346B2 (en) 2016-07-28 2018-11-27 Cisco Technology, Inc. Extension of a private cloud end-point group to a public cloud
US11354419B2 (en) * 2016-07-29 2022-06-07 Sap Se Encryption of application data using field-level metadata
US10476907B2 (en) 2016-08-10 2019-11-12 Netskope, Inc. Systems and methods of detecting and responding to a data attack on a file system
JP2018032149A (ja) * 2016-08-23 2018-03-01 株式会社リコー 情報処理装置、情報処理システム、情報処理方法およびプログラム
US10567344B2 (en) 2016-08-23 2020-02-18 Cisco Technology, Inc. Automatic firewall configuration based on aggregated cloud managed information
US11089064B1 (en) * 2016-09-12 2021-08-10 Skyhigh Networks, Llc Cloud security policy enforcement for custom web applications
US10341436B2 (en) * 2016-09-14 2019-07-02 Dell Products L.P. Using cloud storage as temporary cache for backup
US10498741B2 (en) * 2016-09-19 2019-12-03 Box, Inc. Sharing dynamically changing units of cloud-based content
US11936604B2 (en) 2016-09-26 2024-03-19 Agari Data, Inc. Multi-level security analysis and intermediate delivery of an electronic message
US10805314B2 (en) 2017-05-19 2020-10-13 Agari Data, Inc. Using message context to evaluate security of requested data
US10805270B2 (en) 2016-09-26 2020-10-13 Agari Data, Inc. Mitigating communication risk by verifying a sender of a message
US10880322B1 (en) 2016-09-26 2020-12-29 Agari Data, Inc. Automated tracking of interaction with a resource of a message
US10523592B2 (en) 2016-10-10 2019-12-31 Cisco Technology, Inc. Orchestration system for migrating user data and services based on user information
US10341420B1 (en) * 2016-10-14 2019-07-02 Amazon Technologies, Inc. Approaches for preparing and delivering bulk data to clients
US10997557B2 (en) 2016-10-14 2021-05-04 Slack Technologies, Inc. Method, apparatus, and computer program product for authorizing and authenticating user communication within an enterprise group-based communication platform
US10645066B2 (en) * 2016-11-19 2020-05-05 Alan Earl Swahn Rights controlled communication
US11722513B2 (en) 2016-11-30 2023-08-08 Agari Data, Inc. Using a measure of influence of sender in determining a security risk associated with an electronic message
US11044267B2 (en) 2016-11-30 2021-06-22 Agari Data, Inc. Using a measure of influence of sender in determining a security risk associated with an electronic message
US11044162B2 (en) 2016-12-06 2021-06-22 Cisco Technology, Inc. Orchestration of cloud and fog interactions
US10129231B2 (en) 2016-12-08 2018-11-13 Oath Inc. Computerized system and method for automatically sharing device pairing credentials across multiple devices
US10951591B1 (en) * 2016-12-20 2021-03-16 Wells Fargo Bank, N.A. SSL encryption with reduced bandwidth
US10326817B2 (en) 2016-12-20 2019-06-18 Cisco Technology, Inc. System and method for quality-aware recording in large scale collaborate clouds
US10916243B2 (en) * 2016-12-27 2021-02-09 Amazon Technologies, Inc. Messaging from a shared device
US10334029B2 (en) 2017-01-10 2019-06-25 Cisco Technology, Inc. Forming neighborhood groups from disperse cloud providers
WO2018140759A1 (en) * 2017-01-26 2018-08-02 Wal-Mart Stores, Inc. Cloud security stack
US10552191B2 (en) 2017-01-26 2020-02-04 Cisco Technology, Inc. Distributed hybrid cloud orchestration model
US10320683B2 (en) 2017-01-30 2019-06-11 Cisco Technology, Inc. Reliable load-balancer using segment routing and real-time application monitoring
US10911564B1 (en) * 2017-01-30 2021-02-02 Skyhigh Networks, Llc Cloud service account management method
US11227001B2 (en) * 2017-01-31 2022-01-18 Experian Information Solutions, Inc. Massive scale heterogeneous data ingestion and user resolution
US10671571B2 (en) 2017-01-31 2020-06-02 Cisco Technology, Inc. Fast network performance in containerized environments for network function virtualization
US10742661B2 (en) 2017-02-14 2020-08-11 Seagate Technology Llc Virtualized volume level messaging
US10922420B2 (en) 2017-02-14 2021-02-16 Seagate Technology Llc Virtualized volume level security
EP3602377A1 (en) * 2017-03-30 2020-02-05 McAfee, LLC Secure software defined storage
US10178096B2 (en) 2017-03-31 2019-01-08 International Business Machines Corporation Enhanced data leakage detection in cloud services
US10496994B2 (en) * 2017-03-31 2019-12-03 Ca, Inc. Enhanced authentication with dark web analytics
US10862916B2 (en) 2017-04-03 2020-12-08 Netskope, Inc. Simulation and visualization of malware spread in a cloud-based collaboration environment
US11005731B2 (en) 2017-04-05 2021-05-11 Cisco Technology, Inc. Estimating model parameters for automatic deployment of scalable micro services
US10698714B2 (en) * 2017-04-07 2020-06-30 Nicira, Inc. Application/context-based management of virtual networks using customizable workflows
US10819749B2 (en) 2017-04-21 2020-10-27 Netskope, Inc. Reducing error in security enforcement by a network security system (NSS)
US11019076B1 (en) 2017-04-26 2021-05-25 Agari Data, Inc. Message security assessment using sender identity profiles
CN106992994B (zh) * 2017-05-24 2020-07-03 腾讯科技（深圳）有限公司 一种云服务的自动化监控方法和系统
US11424993B1 (en) * 2017-05-30 2022-08-23 Amazon Technologies, Inc. Artificial intelligence system for network traffic flow based detection of service usage policy violations
US10826691B2 (en) * 2017-05-30 2020-11-03 Servicenow, Inc. Edge encryption
US11102244B1 (en) * 2017-06-07 2021-08-24 Agari Data, Inc. Automated intelligence gathering
US11757914B1 (en) * 2017-06-07 2023-09-12 Agari Data, Inc. Automated responsive message to determine a security risk of a message sender
US10382274B2 (en) 2017-06-26 2019-08-13 Cisco Technology, Inc. System and method for wide area zero-configuration network auto configuration
US10439877B2 (en) 2017-06-26 2019-10-08 Cisco Technology, Inc. Systems and methods for enabling wide area multicast domain name system
US11829583B2 (en) * 2017-07-07 2023-11-28 Open Text Sa Ulc Systems and methods for content sharing through external systems
US10628408B2 (en) 2017-07-20 2020-04-21 Slack Technologies, Inc. Method, apparatus, and computer program product for digital content auditing and retention in a group based communication repository
US10402371B2 (en) 2017-07-20 2019-09-03 Slack Technologies, Inc. Method, apparatus and computer program product for generating externally shared communication channels
US11341093B2 (en) 2017-07-20 2022-05-24 Slack Technologies, Llc Method, apparatus and computer program product for generating externally shared communication channels
US10541825B2 (en) 2017-07-20 2020-01-21 Slack Technologies, Inc. Method, apparatus and computer program product for generating externally shared communication channels
US10892940B2 (en) 2017-07-21 2021-01-12 Cisco Technology, Inc. Scalable statistics and analytics mechanisms in cloud networking
US10425288B2 (en) 2017-07-21 2019-09-24 Cisco Technology, Inc. Container telemetry in data center environments with blade servers and switches
US10601693B2 (en) 2017-07-24 2020-03-24 Cisco Technology, Inc. System and method for providing scalable flow monitoring in a data center fabric
US10541866B2 (en) 2017-07-25 2020-01-21 Cisco Technology, Inc. Detecting and resolving multicast traffic performance issues
US10614233B2 (en) * 2017-07-27 2020-04-07 International Business Machines Corporation Managing access to documents with a file monitor
CN111183425B (zh) * 2017-08-04 2023-12-01 摩根大通国家银行 用于实现数字云取证的系统和方法
US10637846B2 (en) * 2017-08-30 2020-04-28 Capital One Services, Llc System and method for cloud-based analytics
US10911233B2 (en) * 2017-09-11 2021-02-02 Zscaler, Inc. Identification of related tokens in a byte stream using structured signature data
US11005892B2 (en) 2017-09-17 2021-05-11 Allot Ltd. System, method, and apparatus of securing and managing internet-connected devices and networks
US11522679B2 (en) * 2017-10-05 2022-12-06 Intel Corporation Exposing cryptographic measurements of peripheral component interconnect express (PCIe) device controller firmware
US10353800B2 (en) 2017-10-18 2019-07-16 Cisco Technology, Inc. System and method for graph based monitoring and management of distributed systems
CN107943556B (zh) * 2017-11-10 2021-08-27 中国电子科技集团公司第三十二研究所 基于kmip和加密卡的虚拟化数据安全方法
US11481362B2 (en) 2017-11-13 2022-10-25 Cisco Technology, Inc. Using persistent memory to enable restartability of bulk load transactions in cloud databases
WO2019101314A1 (en) * 2017-11-23 2019-05-31 Siemens Aktiengesellschaft Method, controller, and computer program product for reducing oscillations in a technical system
US10664784B2 (en) * 2017-11-27 2020-05-26 International Business Machines Corporation Analyzing product impact on a system
US10979457B2 (en) * 2017-12-20 2021-04-13 Check Point Public Cloud Security Ltd Cloud security assessment system using near-natural language compliance rules
US10705882B2 (en) 2017-12-21 2020-07-07 Cisco Technology, Inc. System and method for resource placement across clouds for data intensive workloads
US11595474B2 (en) 2017-12-28 2023-02-28 Cisco Technology, Inc. Accelerating data replication using multicast and non-volatile memory enabled nodes
US10581602B2 (en) * 2018-01-09 2020-03-03 Vmware, Inc. End-to-end checksum in a multi-tenant encryption storage system
CN108400869A (zh) * 2018-01-26 2018-08-14 海尔优家智能科技（北京）有限公司 一种加密通信方法、终端、设备、云端设备及介质
US10511534B2 (en) 2018-04-06 2019-12-17 Cisco Technology, Inc. Stateless distributed load-balancing
CA3042934A1 (en) * 2018-05-12 2019-11-12 Netgovern Inc. Method and system for managing electronic documents based on sensitivity of information
US11064013B2 (en) * 2018-05-22 2021-07-13 Netskope, Inc. Data loss prevention using category-directed parsers
WO2019226363A1 (en) 2018-05-23 2019-11-28 Netskope, Inc. Small-footprint endpoint data loss prevention (dlp)
US10728361B2 (en) 2018-05-29 2020-07-28 Cisco Technology, Inc. System for association of customer information across subscribers
US11539675B2 (en) 2018-06-06 2022-12-27 Slack Technologies, Llc Encryption key management for international data residency
EP4050840B1 (en) 2018-06-06 2023-08-02 Salesforce, Inc. Method, apparatus, and computer program product for encryption key management within a group-based communication system
US10904322B2 (en) 2018-06-15 2021-01-26 Cisco Technology, Inc. Systems and methods for scaling down cloud-based servers handling secure connections
US10764266B2 (en) 2018-06-19 2020-09-01 Cisco Technology, Inc. Distributed authentication and authorization for rapid scaling of containerized services
US11019083B2 (en) 2018-06-20 2021-05-25 Cisco Technology, Inc. System for coordinating distributed website analysis
US10747871B2 (en) 2018-06-21 2020-08-18 International Business Machines Corporation System and method for producing secure data management software
US10819571B2 (en) 2018-06-29 2020-10-27 Cisco Technology, Inc. Network traffic optimization using in-situ notification system
US10904342B2 (en) 2018-07-30 2021-01-26 Cisco Technology, Inc. Container networking using communication tunnels
US11954072B2 (en) * 2018-10-12 2024-04-09 Open Text Sa Ulc Systems and methods for bidirectional content synching and collaboration through external systems
CN109327453B (zh) * 2018-10-31 2021-04-13 北斗智谷（北京）安全技术有限公司 一种特定威胁的识别方法及电子设备
US11194767B2 (en) 2018-11-06 2021-12-07 Dropbox, Inc. Technologies for integrating cloud content items across platforms
IL263181A (en) * 2018-11-21 2020-05-31 Kazuar Advanced Tech Ltd A method and system for secure communication
US10346378B1 (en) 2018-11-30 2019-07-09 Slack Technologies, Inc. Data storage architecture for an enterprise communication system
US11949739B2 (en) 2018-12-14 2024-04-02 Salesforce, Inc. Methods, apparatuses, and computer program products for management of data deletion requests based on geographically distributed data
CN109858255A (zh) * 2018-12-19 2019-06-07 杭州安恒信息技术股份有限公司 数据加密存储方法、装置及实现装置
US10467426B1 (en) * 2018-12-26 2019-11-05 BetterCloud, Inc. Methods and systems to manage data objects in a cloud computing environment
US10965547B1 (en) * 2018-12-26 2021-03-30 BetterCloud, Inc. Methods and systems to manage data objects in a cloud computing environment
CN110022292A (zh) * 2018-12-28 2019-07-16 阿里巴巴集团控股有限公司 一种用户数据的处理方法及系统
CN109829333B (zh) * 2019-01-14 2021-01-19 中国科学院信息工程研究所 一种基于OpenID的关键信息保护方法及系统
US11416641B2 (en) 2019-01-24 2022-08-16 Netskope, Inc. Incident-driven introspection for data loss prevention
US11501261B1 (en) 2019-01-31 2022-11-15 Slack Technologies, Llc Aggregating an event occurrence feedback report within a group-based communication system
US11397830B2 (en) 2019-02-04 2022-07-26 Hewlett Packard Enterprise Development Lp Security rules compliance for personally identifiable information
CN109981244B (zh) * 2019-03-08 2021-10-01 西安电子科技大学 一种分布式云加密算法的实现方法
US11165760B2 (en) * 2019-03-28 2021-11-02 International Business Machines Corporation Increasing security of objects in cloud environments by using a two-part encryption scheme
US11822676B2 (en) * 2019-06-25 2023-11-21 Vmware, Inc. Determination of a minimal set of privileges to execute a workflow in a virtualized computing environment
US10826801B1 (en) 2019-07-31 2020-11-03 Bank Of America Corporation Multi-level data channel and inspection architectures
US11159464B2 (en) * 2019-08-02 2021-10-26 Dell Products L.P. System and method for detecting and removing electronic mail storms
US11115310B2 (en) 2019-08-06 2021-09-07 Bank Of America Corporation Multi-level data channel and inspection architectures having data pipes in parallel connections
US20210055927A1 (en) * 2019-08-23 2021-02-25 Skyhigh Networks, Llc Systems, method, and media for determining security compliance of continuous build software
US11470046B2 (en) 2019-08-26 2022-10-11 Bank Of America Corporation Multi-level data channel and inspection architecture including security-level-based filters for diverting network traffic
US11290560B2 (en) 2019-09-30 2022-03-29 Slack Technologies, Llc Group-based communication apparatus, method, and computer program product configured to manage draft messages in a group-based communication system
KR102628057B1 (ko) * 2019-10-29 2024-01-22 삼성에스디에스 주식회사 블록체인 기반 파일 송신 방법 및 그 시스템
US11755775B2 (en) 2019-11-07 2023-09-12 International Business Machines Corporation Upload management
CN111277601B (zh) * 2020-01-22 2023-02-21 奇安信科技集团股份有限公司 一种网站安全监测方法及系统
US11856022B2 (en) 2020-01-27 2023-12-26 Netskope, Inc. Metadata-based detection and prevention of phishing attacks
US11616817B2 (en) 2020-03-11 2023-03-28 Hcl Technologies Limited System and method for controlling data interception in a communication system
US11144612B1 (en) * 2020-04-07 2021-10-12 Citrix Systems, Inc. Automatic hyperlinking for content services
JP2022003517A (ja) 2020-06-03 2022-01-11 ネットスコープ, インク.Netskope, Inc. 機密情報を保護するための画像由来識別ドキュメントの検出
US20210382986A1 (en) * 2020-06-03 2021-12-09 ArecaBay, Inc. Dynamic, Runtime Application Programming Interface Parameter Labeling, Flow Parameter Tracking and Security Policy Enforcement
CN111832071B (zh) * 2020-06-30 2024-04-16 郑州工业应用技术学院 一种信息安全系统和信息安全方法
CN111917535B (zh) * 2020-06-30 2022-08-02 山东信通电子股份有限公司 一种数据加密存储方法、装置及服务器
US11611540B2 (en) * 2020-07-01 2023-03-21 Vmware, Inc. Protection of authentication data of a server cluster
US10897351B1 (en) 2020-07-02 2021-01-19 Slack Technologies, Inc. Encryption key management for an automated workflow
US11019106B1 (en) 2020-09-22 2021-05-25 Netskope, Inc. Remotely accessed controlled contained environment
US11106825B1 (en) 2020-11-10 2021-08-31 Netskope, Inc. Predetermined credential system for remote administrative operating system (OS) authorization and policy control
US20220150241A1 (en) * 2020-11-11 2022-05-12 Hewlett Packard Enterprise Development Lp Permissions for backup-related operations
US11316741B1 (en) 2020-11-23 2022-04-26 Netskope, Inc. Multi-environment networking management system
US11792211B2 (en) 2021-01-07 2023-10-17 Bank Of America Corporation System for detecting and remediating computing system breaches using computing network traffic monitoring
US11652828B1 (en) 2021-01-11 2023-05-16 Wells Fargo Bank, N.A. Systems and methods for automated anomalous behavior detection and risk-scoring individuals
US11159419B1 (en) 2021-01-29 2021-10-26 Netskope, Inc. Policy-driven data locality and residency
JP2024505527A (ja) 2021-01-30 2024-02-06 ネットスコープ， インク． クラウドにおける統合ポリシー施行管理
US11647052B2 (en) 2021-04-22 2023-05-09 Netskope, Inc. Synthetic request injection to retrieve expired metadata for cloud policy enforcement
US11178188B1 (en) 2021-04-22 2021-11-16 Netskope, Inc. Synthetic request injection to generate metadata for cloud policy enforcement
US11190550B1 (en) 2021-04-22 2021-11-30 Netskope, Inc. Synthetic request injection to improve object security posture for cloud security enforcement
US11271973B1 (en) 2021-04-23 2022-03-08 Netskope, Inc. Synthetic request injection to retrieve object metadata for cloud policy enforcement
US11271972B1 (en) 2021-04-23 2022-03-08 Netskope, Inc. Data flow logic for synthetic request injection for cloud security enforcement
US11720702B2 (en) * 2021-04-28 2023-08-08 Code42 Software, Inc. Application-based file exfiltration detection
US20220360601A1 (en) 2021-05-07 2022-11-10 Netskope, Inc. Policy based vulnerability identification, correlation, remediation, and mitigation
US11481709B1 (en) 2021-05-20 2022-10-25 Netskope, Inc. Calibrating user confidence in compliance with an organization's security policies
US11652721B2 (en) * 2021-06-30 2023-05-16 Capital One Services, Llc Secure and privacy aware monitoring with dynamic resiliency for distributed systems
CN113343309B (zh) * 2021-08-02 2022-01-04 北京东方通软件有限公司 自然人数据库隐私安全保护方法、装置和终端设备
US11757823B2 (en) * 2021-08-20 2023-09-12 Salesforce, Inc. Electronic mail authentication and tracking in database system
US11636085B2 (en) * 2021-09-01 2023-04-25 International Business Machines Corporation Detection and utilization of similarities among tables in different data systems
US11503038B1 (en) 2021-10-27 2022-11-15 Netskope, Inc. Policy enforcement and visibility for IaaS and SaaS open APIs
US11943260B2 (en) 2022-02-02 2024-03-26 Netskope, Inc. Synthetic request injection to retrieve metadata for cloud policy enforcement
US11811779B2 (en) 2022-02-10 2023-11-07 Netskope, Inc. Securing collaboration tools against unauthorized data exfiltration
US20230351045A1 (en) * 2022-04-29 2023-11-02 Microsoft Technology Licensing, Llc Scan surface reduction for sensitive information scanning
CN114978619B (zh) * 2022-05-07 2023-08-04 国电南瑞科技股份有限公司 用于多元负荷调控系统跨安全区数据集成监视方法和系统、介质
US11947682B2 (en) 2022-07-07 2024-04-02 Netskope, Inc. ML-based encrypted file classification for identifying encrypted data movement

Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20040205360A1 (en) * 2003-04-14 2004-10-14 Norton Marc A. Methods and systems for intrusion detection
US20060075481A1 (en) * 2004-09-28 2006-04-06 Ross Alan D System, method and device for intrusion prevention
US20120204260A1 (en) * 2011-02-03 2012-08-09 International Business Machines Corporation Controlling access to sensitive data based on changes in information classification
US20130055342A1 (en) * 2011-08-24 2013-02-28 International Business Machines Corporation Risk-based model for security policy management
US20140259190A1 (en) * 2012-10-02 2014-09-11 Box, Inc. System and method for enhanced security and management mechanisms for enterprise administrators in a cloud-based environment
US20140317681A1 (en) * 2013-03-15 2014-10-23 Jon Rav Gagan Shende Cloud forensics
US20140337862A1 (en) * 2012-05-14 2014-11-13 Qualcomm Incorporated Methods, Devices, and Systems for Communicating Behavioral Analysis Information
US20140380491A1 (en) * 2013-06-24 2014-12-25 International Business Machines Corporation Endpoint security implementation

Family Cites Families (57)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5452460A (en) * 1993-01-27 1995-09-19 International Business Machines Corporation Method and apparatus for creating secure pseudo-terminal links
US7478434B1 (en) 2000-05-31 2009-01-13 International Business Machines Corporation Authentication and authorization protocol for secure web-based access to a protected resource
US8346580B2 (en) * 2000-06-09 2013-01-01 Flash Seats, Llc System and method for managing transfer of ownership rights to access to a venue and allowing access to the venue to patron with the ownership right
US20020093527A1 (en) 2000-06-16 2002-07-18 Sherlock Kieran G. User interface for a security policy system and method
US20030135465A1 (en) * 2001-08-27 2003-07-17 Lee Lane W. Mastering process and system for secure content
US7546465B2 (en) * 2002-10-17 2009-06-09 At&T Intellectual Property I, L.P. Instant messaging private tags
US20050060535A1 (en) * 2003-09-17 2005-03-17 Bartas John Alexander Methods and apparatus for monitoring local network traffic on local network segments and resolving detected security and network management problems occurring on those segments
WO2005069823A2 (en) 2004-01-15 2005-08-04 Jun Song Centralized transactional security audit for enterprise systems
US7624436B2 (en) * 2005-06-30 2009-11-24 Intel Corporation Multi-pattern packet content inspection mechanisms employing tagged values
US8590027B2 (en) 2007-02-05 2013-11-19 Red Hat, Inc. Secure authentication in browser redirection authentication schemes
US20100175136A1 (en) * 2007-05-30 2010-07-08 Moran Frumer System and method for security of sensitive information through a network connection
US20090022319A1 (en) 2007-07-19 2009-01-22 Mark Shahaf Method and apparatus for securing data and communication
US8694787B2 (en) 2007-08-07 2014-04-08 Christophe Niglio Apparatus and method for securing digital data with a security token
US8893285B2 (en) * 2008-03-14 2014-11-18 Mcafee, Inc. Securing data using integrated host-based data loss agent with encryption detection
US8855318B1 (en) 2008-04-02 2014-10-07 Cisco Technology, Inc. Master key generation and distribution for storage area network devices
US20090296926A1 (en) * 2008-06-02 2009-12-03 Sun Microsystems, Inc. Key management using derived keys
US20100251369A1 (en) * 2009-03-25 2010-09-30 Grant Calum A M Method and system for preventing data leakage from a computer facilty
US8856869B1 (en) * 2009-06-22 2014-10-07 NexWavSec Software Inc. Enforcement of same origin policy for sensitive data
CN101621801B (zh) 2009-08-11 2012-11-28 华为终端有限公司 无线局域网的认证方法、系统及服务器、终端
US8918867B1 (en) * 2010-03-12 2014-12-23 8X8, Inc. Information security implementations with extended capabilities
US10025688B2 (en) * 2010-03-14 2018-07-17 Virtual Forge GmbH System and method for detecting data extrusion in software applications
EP2378455A3 (en) 2010-04-18 2016-05-04 CA, Inc. Protected application stack and method and system of utilizing
US8452957B2 (en) 2010-04-27 2013-05-28 Telefonaktiebolaget L M Ericsson (Publ) Method and nodes for providing secure access to cloud computing for mobile users
JP2011234178A (ja) 2010-04-28 2011-11-17 Panasonic Corp 情報記録媒体、ドキュメントデータ編集装置、ドキュメントデータ編集方法
US9461996B2 (en) 2010-05-07 2016-10-04 Citrix Systems, Inc. Systems and methods for providing a single click access to enterprise, SAAS and cloud hosted application
US8533850B2 (en) * 2010-06-29 2013-09-10 Hitachi, Ltd. Fraudulent manipulation detection method and computer for detecting fraudulent manipulation
US9906838B2 (en) 2010-07-12 2018-02-27 Time Warner Cable Enterprises Llc Apparatus and methods for content delivery and message exchange across multiple content delivery networks
US9455892B2 (en) * 2010-10-29 2016-09-27 Symantec Corporation Data loss monitoring of partial data streams
US9311495B2 (en) 2010-12-09 2016-04-12 International Business Machines Corporation Method and apparatus for associating data loss protection (DLP) policies with endpoints
US9021135B2 (en) 2011-04-27 2015-04-28 Perspecsys Corp. System and method for tokenization of data for storage in a cloud
US20130006865A1 (en) * 2011-06-29 2013-01-03 Mckesson Financial Holdings Limited Systems, methods, apparatuses, and computer program products for providing network-accessible patient health records
EP2544117A1 (en) 2011-07-08 2013-01-09 Gemalto SA Method and system for sharing or storing personal data without loss of privacy
US9143529B2 (en) * 2011-10-11 2015-09-22 Citrix Systems, Inc. Modifying pre-existing mobile applications to implement enterprise security policies
US20130145483A1 (en) * 2011-12-02 2013-06-06 Jpmorgan Chase Bank, N.A. System And Method For Processing Protected Electronic Communications
US10425411B2 (en) * 2012-04-05 2019-09-24 Arizona Board Of Regents On Behalf Of Arizona State University Systems and apparatuses for a secure mobile cloud framework for mobile computing and communication
US9118689B1 (en) * 2012-04-13 2015-08-25 Zscaler, Inc. Archiving systems and methods for cloud based systems
EP2842288A1 (en) * 2012-04-27 2015-03-04 Interdigital Patent Holdings, Inc. Systems and methods for personalizing and/or tailoring a service interface
US10075471B2 (en) 2012-06-07 2018-09-11 Amazon Technologies, Inc. Data loss prevention techniques
US9473532B2 (en) * 2012-07-19 2016-10-18 Box, Inc. Data loss prevention (DLP) methods by a cloud service including third party integration architectures
US9137131B1 (en) 2013-03-12 2015-09-15 Skyhigh Networks, Inc. Network traffic monitoring system and method to redirect network traffic through a network intermediary
US20140269279A1 (en) * 2013-03-15 2014-09-18 Seven Networks, Inc. Triggering congestion control for radio aware applications
US8572757B1 (en) 2012-11-30 2013-10-29 nCrypted Cloud LLC Seamless secure private collaboration across trust boundaries
WO2014093613A1 (en) 2012-12-12 2014-06-19 Interdigital Patent Holdings, Inc. Independent identity management systems
TW201427366A (zh) * 2012-12-28 2014-07-01 Ibm 企業網路中為了資料外洩保護而解密檔案的方法與資訊裝置
US9565202B1 (en) 2013-03-13 2017-02-07 Fireeye, Inc. System and method for detecting exfiltration content
US9292673B2 (en) 2013-03-15 2016-03-22 International Business Machines Corporation Virtual key management and isolation of data deployments in multi-tenant environments
US9917817B1 (en) * 2013-06-10 2018-03-13 EMC IP Holding Company LLC Selective encryption of outgoing data
US9553867B2 (en) 2013-08-01 2017-01-24 Bitglass, Inc. Secure application access system
US9460405B2 (en) * 2013-10-03 2016-10-04 Paypal, Inc. Systems and methods for cloud data loss prevention integration
MY181777A (en) * 2013-11-11 2021-01-06 Adallom Inc Cloud service security broker and proxy
US9294462B2 (en) 2014-01-15 2016-03-22 Cisco Technology, Inc. Redirect to inspection proxy using single-sign-on bootstrapping
US9716724B1 (en) * 2014-02-24 2017-07-25 Skyhigh Networks, Inc. Cloud data loss prevention system
US9521001B2 (en) * 2014-04-28 2016-12-13 Adobe Systems Incorporated Privacy preserving electronic document signature service
US9225734B1 (en) * 2014-09-10 2015-12-29 Fortinet, Inc. Data leak protection in upper layer protocols
US9825881B2 (en) * 2014-09-30 2017-11-21 Sony Interactive Entertainment America Llc Methods and systems for portably deploying applications on one or more cloud systems
US9697349B2 (en) * 2014-10-26 2017-07-04 Microsoft Technology Licensing, Llc Access blocking for data loss prevention in collaborative environments
US11089064B1 (en) * 2016-09-12 2021-08-10 Skyhigh Networks, Llc Cloud security policy enforcement for custom web applications

Patent Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20040205360A1 (en) * 2003-04-14 2004-10-14 Norton Marc A. Methods and systems for intrusion detection
US20060075481A1 (en) * 2004-09-28 2006-04-06 Ross Alan D System, method and device for intrusion prevention
US20120204260A1 (en) * 2011-02-03 2012-08-09 International Business Machines Corporation Controlling access to sensitive data based on changes in information classification
US20130055342A1 (en) * 2011-08-24 2013-02-28 International Business Machines Corporation Risk-based model for security policy management
US20140337862A1 (en) * 2012-05-14 2014-11-13 Qualcomm Incorporated Methods, Devices, and Systems for Communicating Behavioral Analysis Information
US20140259190A1 (en) * 2012-10-02 2014-09-11 Box, Inc. System and method for enhanced security and management mechanisms for enterprise administrators in a cloud-based environment
US20140317681A1 (en) * 2013-03-15 2014-10-23 Jon Rav Gagan Shende Cloud forensics
US20140380491A1 (en) * 2013-06-24 2014-12-25 International Business Machines Corporation Endpoint security implementation

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11144664B2 (en) 2019-10-31 2021-10-12 Nomura Research Institute, Ltd. Risk management support device
US11392705B1 (en) 2021-07-29 2022-07-19 Netskope, Inc. Disk encryption key management for booting of a device

Also Published As

Publication number Publication date
US20160277368A1 (en) 2016-09-22
US20220156369A1 (en) 2022-05-19
US20160275303A1 (en) 2016-09-22
EP3272100A2 (en) 2018-01-24
US9928377B2 (en) 2018-03-27
JP6476339B2 (ja) 2019-02-27
JP6396623B2 (ja) 2018-09-26
US11238153B2 (en) 2022-02-01
US10114966B2 (en) 2018-10-30
WO2016186703A2 (en) 2016-11-24
EP3484120A1 (en) 2019-05-15
US20180218167A1 (en) 2018-08-02
WO2016186703A3 (en) 2017-04-27
JP2019096339A (ja) 2019-06-20
US20190012478A1 (en) 2019-01-10
JP2018516025A (ja) 2018-06-14
EP3272100B1 (en) 2018-12-12
JP6476339B6 (ja) 2019-04-10

Similar Documents

Publication Publication Date Title
JP6476339B2 (ja) クラウド・コンピューティング・サービス（ｃｃｓ）上に保存された企業情報をモニター、コントロール、及び、ドキュメント当たりの暗号化を行うシステム及び方法
US10812531B2 (en) Metadata-based cloud security
US11907366B2 (en) Introspection driven by incidents for controlling infiltration
CN112703712A (zh) 用于身份危害风险计算的受监督学习系统
US20160036841A1 (en) Database Queries Integrity and External Security Mechanisms in Database Forensic Examinations
Ali et al. BCALS: Blockchain‐based secure log management system for cloud computing
US20220198055A1 (en) Data owner controls in DLP
US20200076783A1 (en) In-Line Resolution of an Entity&#39;s Identity
US20240106846A1 (en) Approval Workflows For Anomalous User Behavior
Čech The first comprehensive report on the state of the security of mobile phones of civil society.

Legal Events

Date Code Title Description
TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20190108

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20190204

R150 Certificate of patent or registration of utility model

Ref document number: 6476339

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150

S531 Written request for registration of change of domicile

Free format text: JAPANESE INTERMEDIATE CODE: R313531

R360 Written notification for declining of transfer of rights

Free format text: JAPANESE INTERMEDIATE CODE: R360

R370 Written measure of declining of transfer procedure

Free format text: JAPANESE INTERMEDIATE CODE: R370

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

LAPS Cancellation because of no payment of annual fees
R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250