JP5186363B2 - カスケーディング・セキュリティ・アーキテクチャ - Google Patents

Description

本発明は、一般に、情報管理技術の分野に関し、より詳しくは、機密情報を保護するための企業文書管理の分野に関する。

本出願は、２００５年５月９日に出願され、Fei Huang、Shu Huang、およびLiwei Renによる「カスケーディング・セキュリティ・ソリューション」と題する米国仮特許出願第６０／６７９，４５８号と、２００６年４月２７日に出願され、Fei Huang、Shu Huang、およびLiwei Renによる「カスケーディングセキュリティアーキテクチャ」と題する米国特許出願（出願番号不知）との利益および米国特許法第１１９条（ｅ）項の優先権を主張する。これらの出願は、そのまま参照により本出願に組み込まれる。

本出願は、２００６年２月２４日に出願され、Liwei Ren、Dehua Tan、Fei Huang、Shu Huang、およびAiguo Dongによる「署名生成を持つマッチングエンジン」と題する米国特許出願第１１／３６１，３４０号に関連する。この出願は、２００５年５月９日に出願された米国仮特許出願第６０／６７９，３１４号の利益を主張する。これらの出願はそれぞれ、そのまま参照により本出願に組み込まれる。

本出願は、２００６年２月２４日に出願され、Liwei Ren、Shu Huang、Fei Huang、Aiguo Dong、およびDehua Tanによる「関連文書のクエリを行うためのマッチングエンジン」と題する米国特許出願第１１／３６１，４４７号に関連する。この出願は、２００５年５月９日に出願された米国仮特許出願第６０／６７９，３１４号の利益を主張する。これらの出願はそれぞれ、そのまま参照により本出願に組み込まれる。

コンピュータやネットワークがより増殖し、強力になり、入手可能になるにつれて、益々多くの企業は、重大な業務を実行したり、機密情報を管理したりするために、それらの両方を用いるようになっている。しかしながら、コンピュータやネットワークにより提供される便利さは、機密情報の容易な複製や配布の原因となっている。しばしば、機密情報を含む文書（機密文書とも呼ぶ）の多くのコピーは、例えば、ＣＤ−ＲＯＭ、メモリスティック、および他の媒体にネットワークの端末への道を見出す。情報の急増により、機密情報を保護するのはより困難となり、悪意のある人々がそのような機密情報にアクセスし、意図しない当事者にそれを漏洩する多くの機会を与えている。

また、この情報漏洩問題は、サーベンス・オクスリー（ＳＯＸ）法のような規則により脚光を浴びている。公営企業に課せられた重要な会計および制御必要条件の他に、その法は、株式会社を監査する会計事務所のための新しい監督委員会（ＰＣＡＯＢ）を作った。ＰＣＡＯＢは、標準２（Standard 2）を含む監査基準を確立した。それらは、上級管理が単に文書管理システムの制御を認定することができないことを認めた。また、むしろ、その制御は、文書管理システムを通して財務情報が作成され、アクセスされ、収集され、格納され、処理され、送信され、および用いられる方法を追跡し、管理しなければならない。その結果、機密情報を保護するための企業文書管理の強い要求がある。

従来、高い機密情報は、権限を与えられた人のみがアクセス可能な、隔離され、安全なコンピュータに格納されている。そのような情報を含む文書が複製されたり、流通されたりする必要があると、アクセスを探索するものは、典型的に、権限を与えられていないアクセスを防止するために、安全な管理手順（またはポリシー）を追求する。コンピュータネットワークからそのような文書を保護することにより、それは権限を与えられた人による機密情報のリモートアクセスを制限する。しかしながら、文書を格納するオフィスは、オンラインファイルシステムバックアップのようなネットワークにより提供される他の利益を利用することができない。また、アクセス制御が安全管理手順に従う人を当てにしているので、従来の隔離型のセキュリティ技術は信頼できない。この管理手順は、そのようなセキュリティポリシーの養成や施行に関して管理が困難であり、実行および監視するには非常にコストがかかってしまう。

企業ネットワークの端末からの機密情報の漏洩を防止するための一従来のアプローチは、ファイルベースのアクセス制御ポリシーを実施することである。このアプローチは、ある機密文書へのアクセスを権限を与えられたユーザに制限するが、他のユーザは機密文書以外の文書にアクセスすることができる。このアプローチは不十分である。なぜならば、それは文書内容の深い点検を欠くからである。機密文書の内容のあらゆる故意のスクランブリングは、制限されない文書を作成することができ、機密情報が権限を与えられていないユーザに漏洩されてしまう。

端末からの機密情報の漏洩を防止するための別の一般のアプローチは、複雑なアクセス制御リスト（ＡＣＬ）ポリシーや、ユーザやアプリケーションに対するファイアウォールのようなユーザベースあるいはアプリケーションベースのアクセス制御ポリシーを実施することである。いくつかの例では、ＡＣＬポリシーは、ローカルストレージ暗号化と組み合わせられてもよい。そのようなアプローチの１つの欠点は、異なるユーザおよび彼らの対応する特典を維持し、管理することにおける困難性である。これは、ローカルストレージ暗号化と組み合わせられるとき、特に問題となる。なぜならば、そのような暗号化は、複合キー管理システムをも必要とするからである。また、そのようなアプローチは、文書内容の深い点検を欠くとともに、機密文書の故意のスクランブリングによる機密情報の漏洩を防止することができない。

企業ネットワークからの機密情報の漏洩を防止するための一従来のアプローチは、ネットワーク内のネットワークトラフィックを監視することである。ネットワークスニファ（sniffer）または監視装置は、ネットワーク内のルータに取り付けられ、ネットワークトラフィックを分析する。そして、機密データの内容は、ネットワークスニファによって識別され、除去される。このアプローチは、暗号化されたネットワークトラフィックを分析することができない点で不十分である。例えば、セキュアソケットレイヤ（ＳＳＬ）プロトコル上でハイパーテキスト転送プロトコル（ＨＴＴＰ）を用いるあらゆるネットワークトラフィックは、安全のために暗号化され、機密情報のために監視され得ない。また、ネットワークスニファによる情報点検に時間がかかるので、ルータを通過するデータはその速度が低下し、ネットワークパフォーマンスに影響を与える。

本発明の実施形態は、文書管理システムのエンドポイント（端末）における文書のライフサイクルを管理する。文書管理システムは、文書が機密情報を含むか否かを決定し、その決定に基づいて、権限を与えられていないアクセスからその文書を保護する。

一実施形態では、文書管理システムは、文書管理システムの端末において機密文書を検出し、追跡するよう構成される。ネットワークの各端末は、その端末により処理される文書を識別するフィルタを有する。動作分析エンジンは、その文書に適用される処理活動を検出し、その検出された処理活動に基づいて、動作を識別する。ローカルマッチングサービスは、１以上の多くのマッチング技術を適用することにより、その文書が機密情報を含むか否かを決定する。その代わりに、動作分析エンジンは、識別された文書に関連する文書を検出し、ローカルマッチングサービスは、関連文書が機密情報を含むか否かを決定することにより、識別された文書が機密情報を含むか否かを決定する。文書が機密情報を含むと決定されるならば、文書管理システムは、その文書のための記録を作成し、ブラックリストにその記録を追加する。ローカルポリシーエンジンは、その動作、その文書の内容および適用可能なセキュリティポリシーに基づいて、現在の処理活動を許可するか、ブロックするかを決定する。

別の実施形態では、文書管理システムは、文書管理システムの端末からエクスポートされる機密文書を検出するよう構成される。所定の文書のために、文書管理システムは、文書の記録がブラックリストにあるか否かをチェックすることにより、その文書を分析する。そのような記録がブラックリスト内に存在しないならば、文書管理システムは、１以上の多くのマッチング技術を適用することにより、その文書が機密情報を含むか否かを決定する。その文書が機密情報を含むと決定されるならば、文書管理システムは、その文書のための記録を作成し、その記録をブラックリストに追加する。そして、ローカルポリシーエンジンは、その文書を許可するか、その文書をブロックするか、その端末からエクスポートされる前にその文書を暗号化するかを決定する。

開示の実施形態の一利点は、提供される保護の範囲および正確さである。文書管理システムが移動中のすべての文書を検出し、その内容およびユーザの動作に基づいて、ある文書が機密であるか否かを決定するので、機密文書の検出は、完全で正確でありそうである。文書管理システムが、動作に対する活動パターンに基づいて、ユーザの動作を分析するので、故意のデータスクランブリングを検出することができ、アクションの適切な原因が検出された文書に応じて取られてもよい。

別の利点は、機密文書のオフライン保護である。文書管理のほとんどが端末において達成されるので、文書管理システムは、端末が企業ネットワークから切断されているときでさえ、端末からの機密情報の漏洩を防止することができる。

明細書に記述される特徴および利点は、すべてを包含するものではなく、特に、多くの追加の特徴および利点は、図面、明細書、および特許請求の範囲を考慮して、当業者にとって明白となるであろう。また、明細書に用いられる言語が、読みやすさおよび教育的な目的のために主として選択され、発明の主題の輪郭を描き、制限するために選択されたものではないことを注意されたい。

開示の実施形態は、添付図面とともになされるとき、以下の詳細な説明および添付の特許請求の範囲からより容易に明白となる他の利点および特徴を有する。

図面および以下の記述は、例証として本発明の好適な実施形態に関連する。以下の議論から、ここに開示される構造および方法の代わりの実施形態が請求される本発明の原則から逸脱することなく利用することができる実行可能な代替案として容易に認識されることを注意されたい。

以下、いくつかの実施形態に対する参照が詳細になされる。その例は、添付図面に示される。なお、実行可能である限り、類似または同様の参照符号は、複数の図面に用いられてもよく、類似または同様の機能性を示せばよい。図面は、例証のみの目的のために、本発明の実施形態を描写する。当業者は、ここに示される構造および方法の代わりの実施形態がここに記述の原則から逸脱することなく利用されてもよいことを、以下の説明から容易に認識するであろう。

一般に、開示の実施形態は、企業ネットワークにおいて文書を管理し、機密情報の漏洩を防止する方法およびシステムを記述する。この方法およびシステムは、企業ネットワークの端末により処理される文書を検出し、その文書の内容、動作および適用可能なセキュリティポリシーに基づいて、その文書に適用されるユーザの動作を妨げる。

＜アーキテクチャ概観＞
図１において、本発明における企業文書管理システム１００の一実施形態を示す。企業文書管理システム１００は、企業ネットワーク内の文書を管理し、機密情報の漏洩を防止する。企業文書管理システム１００の一例は、カスケーディング・セキュリティ・構成（cascading security configuration）である。企業文書管理システム１００は、少なくとも一つの端末（エンドポイント）１１０と、サーバ１８０とを含む。端末１１０は、コンピュータ（例えば、ラップトップコンピュータ、デスクトップコンピュータ）またはデータアクセス能力を持つ装置（例えば、ハンドヘルドコンピューティング装置、プロセッサとオペレーティングもしくは制御システムとを内蔵する装置）であればよい。サーバ１８０は、企業文書管理システム１００のための制御の中心地として機能する。各端末１１０は、ネットワーク１０５を介してサーバ１８０に接続される。ネットワーク１０５は有線ネットワークであっても無線ネットワークであってもよい。ネットワーク１０５の例は、インターネット、イントラネット、携帯電話ネットワークあるいはそれらの組み合わせを含む。なお、各端末１１０およびサーバ１８０は、プロセッサと、メモリと、ストレージと、ネットワークインタフェースと、適用可能なオペレーティングシステムと、他の機能ソフトウェア（例えば、ネットワークドライバ、通信プロトコルなど）とを含むよう構成される。

一実施形態では、端末１１０は、１以上のエージェント１２０と、動作分析エンジン１３０と、ローカルポリシーエンジン１４０と、ローカルマッチングサービス１５０と、ブラックリスト１６０と、暗号サービス１７０と、ローカルインデックスデータベース（図示せず）と、いくつかの任意の最初の文書１２１とを含む。動作分析エンジン１３０は、エージェント１２０とローカルポリシーエンジン１４０とを通信可能に連結する。ローカルポリシーエンジン１４０は、動作分析エンジン１３０と、暗号サービス１７０と、ローカルマッチングサービス１５０とを通信可能に連結する。ローカルマッチングサービス１５０は、任意の最初の文書１２１と、ブラックリスト１６０と、ローカルインデックスデータベースと、ネットワーク１０５とにアクセス可能である。

エージェント１２０は、１以上のフィルタ機能を実行する端末１１０で起動するソフトウェア要素として構成される。エージェント１２０の例は、ファイルシステムフィルタドライバ（ファイルシステムエージェントとしても知られる）と、ネットワークフィルタドライバ（ネットワークエージェントとしても知られる）と、装置Ｉ／Ｏフィルタドライバ（装置のＩ／Ｏエージェントとしても知られる）と、ＡＰＩフッキングサービスとを含む。エージェント１２０は、１以上のフィルタの適用を通して、端末１１０において移動中の文書を識別（「捕獲」）するよう構成される。移動中の文書は、端末１１０により現在処理されている文書である。例えば、端末１１０のローカルハードディスクから着脱可能なドライブにコピーされている文書は、移動中の文書である。移動中の文書は、インバウンド（入ってくる）文書およびアウトバウンド（外に出ていく）文書１２６を含む。

インバウンド文書は、ファイルシステムからの文書１２２、ネットワークからの文書１２３、デバイスからの文書１２４、アプリケーションからの文書１２５等を含む。ファイルシステムからの文書１２２は、ローカルハードディスク、共有フォルダなどの端末１１０のローカルファイルシステムからロードされた（あるいは、回収された）文書である。ネットワークからの文書１２３は、電子メールに添付された文書、ファイル転送プロトコル（ＦＴＰ）またはＨＴＴＰを介してダウンロードされた文書などのネットワークからダウンロードされた（あるいは、回収された）文書である。デバイスからの文書１２４は、例えば、ＵＳＢドライブ、フロッピー（登録商標）ドライブ、ＣＤ／ＤＶＤ−ＲＯＭドライブ、および端末１１０に接続された他の装置などの入出力記憶装置からロードされた（あるいは、回収された）文書である。アプリケーションからの文書１２５は、ファイルエディタ、圧縮／解凍ユーティリティ、ユーザ自身のアプリケーション、コピー／移動ユーティリティなどのアプリケーションにより生成された文書である。

アウトバウンド文書１２６は、端末１１０からエクスポートされるべき文書である。アウトバウンド文書１２６の行き先は、ＵＳＢドライブ、電子メール受信器、ネットワーク記憶装置、プリンタ、または同様の種類の他の装置のような装置であればよい。一実施形態では、アウトバウンド文書１２６の行き先は、端末１１０のローカル記憶装置、例えば、持ち運び可能なローカルハードディスクを含む。

動作分析エンジン１３０は、端末１１０内のすべてのアクティブなアプリケーションの動作を分析するよう構成される。動作分析エンジン１３０は、エージェント１２０により識別される移動中の文書に関連した文書を識別することができる。また、動作分析エンジン１３０は、プリント／プリントスクリーン、コピー／カットアンドペースト、電子メールを介する送信、ネットワークを通したアップロード、セーブ／名前を付けてセーブなどのエージェントにより捕捉される所定のユーザ処理活動を追跡し、分析するよう構成され得る。動作分析エンジン１３０は、現在のユーザ処理活動、分析、および動作に対する活動パターンのコレクションに基づいて、機密文書の故意のスクランブリングのようなユーザ動作を識別することができる。

ローカルポリシーエンジン１４０はセキュリティポリシーを含むよう構成される。セキュリティポリシーは、文書アクセスおよび制御に対する制限セット（例えば、あるカテゴリのユーザに対するある機密文書のアクセスもしくは修正権の制限）、装置入出力（Ｉ／Ｏ）（例えば、暗号化なしに機密文書をエクスポートすることの禁止）およびあるユーザ動作（例えば、機密文書の内容を複製することの禁止）を定義する。一実施形態では、セキュリティポリシーは定義され、サーバ１８０内の中央ポリシーサービスに維持され、端末１１０が起動する（または他の方法で初期化される）とき、ローカルポリシーエンジン１４０と同期される。また、ローカルポリシーエンジン１４０は、機密情報を検出するために文書がどのように分析されるかを決定するよう構成されてもよい。

ブラックリスト１６０は、機密文書に関連した記録のリストである。ローカルマッチングサービス１５０により検出されるすべての機密文書の追跡を維持することが意図される。ブラックリスト１６０は、関係のあるデータベースもしくはあらゆる他のタイプのデータベース、またはプレーン構造ファイルでさえ格納され得る。各記録は、関連機密文書の関係のある情報を保持する。ブラックリスト１６０における記録３００のデータ構造が図３に示される。記録３００は、ファイル識別子（ＩＤ）３０１と、ファイルフルパス名３０２と、マッチングフラグ３０３と、マッチングタイム３０４と、マッチングスコア３０５とを有する。

ファイルＩＤ３０１は、企業文書管理システム１００または端末１１０により割り当てられる記録３００に関連した文書を表すユニークな整数である。ファイルフルパス名３０２は、企業文書管理システム１００内の文書の位置を示すテキスト文字列である。マッチングフラグ３０３は、ローカルマッチングサービス１５０およびリモートマッチングサービス１９０によって関連した文書がマッチされたか否かの真偽指示器である。いくつかの実施形態では、ローカルマッチングサービス１５０またはリモートマッチングサービス１９０（例えば、機密情報を含むものと知られる文書の新しく作成されたコピー）によりマッチされることなく、文書が機密文書であると決定され得るならば、その文書の記録は作成され、ブラックリスト１６０に追加される。

マッチングタイム３０４は、記録３００に関連した文書がローカルマッチングサービス１５０とリモートマッチングサービス１９０との少なくともいずれかによりマッチされる時間を示す。マッチングタイム３０４は、記録３００を最新のものに追跡したり、保持したりするような目的のために用いられてもよい。例えば、ローカルマッチングサービス１５０は、期限切れになろうとしているマッチングタイム３０４を有する記録に関連した機密文書を定期的にチェックし、その後マッチングタイム３０４を更新することができる。

マッチングスコア３０５は、関連した文書の機密性を測定する。マッチングスコアの値は、ごくわずかに名を付けるために、関連性検出マッチング、キーワードマッチング、固有表現抽出マッチングなどの関連した文書に適用されるタイプのマッチに依存する。ローカルマッチングサービス１５０およびリモートマッチングサービス１９０は、関連した記録３００のマッチングスコア３０５を決定するために、１以上のタイプのマッチングを移動中の文書に適用することができる。例えば、ローカルマッチングサービス１５０は、まず、キーワードマッチングを移動中の文書に適用する。マッチング結果がある閾値を超えるならば、ローカルマッチングサービス１５０は、その文書が機密であることを決定するか、その文書をリモートマッチングサービス１９０に送信する。リモートマッチングサービス１９０は、関連性検出マッチングをその文書に適用する。いずれのマッチング技術が適用されるべきかについては、ローカルポリシーエンジン１４０により定義される。

関連性検出マッチングは、機密情報を含むよう知られる文書の内容とある文書の内容をマッチングすることにより、その文書が機密情報を含むか否かを検出する。その文書と機密文書の間の関連性スコアが計算される。ローカルマッチングサービス１５０およびリモートマッチングサービス１９０の少なくともいずれかは、関連性スコアに基づいて、その文書が機密情報を含むか否かを決定する。関連性スコアは、マッチングスコア３０５であってもよい。関連性検出マッチングの例は、２００６年２月２６日に出願され、Liwei Ren他による「関連文書のクエリを行うためのマッチングエンジン」と題する米国特許出願（出願番号不知）（代理人整理番号第２４７８０−１１２９０）に見出され得る。その内容は参照により本出願に組み込まれる。

キーワードマッチングは、機密情報に関連したキーワードのコレクションと文書の内容とをマッチングすることにより、その文書が機密情報を含むか否かを検出する。キーワードのコレクションは、権限を与えられたユーザによってサーバ１８０に設定され、後に企業文書管理システム１００内の端末１１０のローカルマッチングサービス１５０に同期され得る。その代わりに、キーワードのコレクションは、ユーザ設定に基づいて、リモートマッチングサービス１９０により決定されてもよい。機密スコアは、マッチ結果に基づいて計算される。機密スコアはマッチングスコア３０５であればよい。

固有表現抽出マッチングは、文書に記述される固有表現を検出するとともに、機密情報に関連した固有表現のコレクションと検出した固有表現とをマッチするために、その文書の内容を処理することにより、その文書が機密情報を含むか否かを検出する。固有表現のコレクションは、権限を与えられたユーザによりサーバ１８０内に設定され、後に企業文書管理システム１００内の端末１１０のローカルマッチングサービス１５０と同期され得る。その代わりに、固有表現のコレクションは、ユーザ設定に基づいてリモートマッチングサービス１９０により決定されてもよい。固有表現の例は、ＳＳＮ（社会保障番号）、電話番号、クレジットカード番号、誕生日、自宅住所、電子メールアドレス、銀行口座番号等を含む。認識スコアは、マッチ結果に基づいて計算される。認識スコアはマッチングスコア３０５であればよい。

なお、上記マッチング技術は、機密文書を識別するために、企業文書管理システム１００により用いられるマッチング方法の例のみである。端末１１０は、他の方法とともに、上記技術の１つ以上を用いるよう構成されてもよい。その代わりに、端末１１０は、上記マッチング技術以外の方法を用いるよう構成されてもよい。

ローカルインデックスデータベースは、企業文書管理システム１００内のすべての機密文書のインデックスを維持するよう構成される。ローカルインデックスデータベースは、最初にサーバ１８０で作成され、その後端末１１０に送信される。また、いくつかの実施形態では、ローカルインデックスデータベースは、機密文書だけではなく、端末１１０内のすべての文書のためのインデックスを維持する。いくつかの他の実施形態では、ローカルインデックスデータベースは、端末１１０内のものだけではなく、企業文書管理システム１００内のすべての機密文書のためのインデックスを維持する。ローカルインデックスデータベースは、定期的に中央インデックスデータベースに同期するよう構成される。中央インデックスデータベースは、以下、その適用において詳細に説明される。

図１に戻って、ローカルマッチングサービス１５０は、機密文書を検出するよう構成される。いくつかの実施形態では、ローカルマッチングサービス１５０は、機密文書を検出するために、リモートマッチングサービス１９０と協働する。リモートマッチングサービス１９０は、サーバ１８０内にあり、以下でさらに記述される。リモートマッチングサービス１９０は、ローカルマッチングサービス１５０以外の端末１１０の構成要素には透過的である。したがって、機密情報検出が実行されるのは、ローカルポリシーエンジン１４０などの端末１１０の他の構成要素にとって透過的である。

ローカルマッチングサービス１５０は、機密文書を検出するための様々なマッチング技術を用いることができる。いくつかの実施形態では、ローカルポリシーエンジン１４０は、ローカルマッチングサービス１５０のためのマッチング技術を決定する。一実施形態では、ローカルマッチングサービス１５０は、まず、移動中の文書（対象文書としても知られる）に対してキーワードマッチングまたは固有表現抽出マッチングを実行する。その対象文書が機密文書であるとマッチングの結果が示唆するならば、ローカルマッチングサービス１５０は、マッチングポリシーがどのように定義されているかに依存して、さらなる検出のために、リモートマッチングサービス１９０にその文書を送信してもよい。別の実施形態では、ローカルマッチングサービス１５０は、ローカルインデックスデータベースにおいて対象文書に類似する文書を探す。いずれかの類似の文書がブラックリスト１６０に記録を有するならば、ローカルマッチングサービス１５０は、その対象文書が機密であると決定してもよく、あるいは、さらなる検出のために、リモートマッチングサービス１９０にその対象文書を送信してもよい。

最初の文書１２１は、企業文書管理システム１００が端末１１０に設定される前にその端末１１０のストレージにあるすべてのファイルを含む。最初の文書は、機密文書と機密情報を含まない文書の両方を含むことができる。

一実施形態では、ローカルマッチングサービス１５０は、最初の文書１２１のために端末１１０のストレージをスキャンし、機密情報検出のためにそれらを処理する。ローカルポリシーエンジン１４０がどのように構成されるかに依存して、ローカルマッチングサービス１５０は、機密文書を検出するために、最初の文書１２１に対して１以上のマッチング技術（例えば、固有表現抽出マッチング、キーワードマッチング、関連性検出マッチングなど）を実行してもよい。その代わりに、ローカルマッチングサービス１５０は、最初の文書１２１を処理するために、リモートマッチングサービス１９０と協働することができる。機密であると決定されたそれらの最初の文書１２１のために、ローカルマッチングサービス１５０は、それらにインデックスを付し、ローカルインデックスデータベースに格納する。ローカルマッチングサービス１５０は、各検出された機密文書のための記録を作成し、それらをブラックリスト１６０に追加する。ときには、これらの最初の文書１２１は静止中の文書ともいう。

暗号サービス１７０は、機密アウトバウンド文書を目的サイトに送信する前に、それらを暗号化するよう構成される。目的サイトは、ＵＳＢドライブ、電子メール受信器、ネットワーク記憶装置などの外部装置であってもよい。一実施形態では、暗号サービス１７０は、端末１１０のローカルストレージに機密文書を格納（「セーブ」）する前に暗号化する。その暗号化は、ローカルポリシーエンジン１４０からのセキュリティポリシーに従って実行される。暗号サービス１７０は、権限を与えられていないアクセスから機密情報を保護するよう意図される。暗号化文書は、行き先サイトがサーバセキュリティポリシーにより権限を与えられていない限り、その行き先サイトにおいてアクセスされ得ない。いくつかの実施形態では、暗号化文書は、搭載された企業文書管理システム１００を持つコンピュータにおいてのみアクセスされ得る。また、セキュリティポリシーは、暗号化文書にアクセスする前に、企業文書管理システム１００により最初に権限を与えられるべきユーザを要求することができる。

一実施形態では、サーバ１８０は、リモートマッチングサービス１９０と、中央ポリシーサービス（図示せず）と、中央インデックスデータベース（図示せず）とを含む。サーバ１８０は、企業文書管理システム１００のための制御の中心地として機能する。なお、サーバ１８０は、端末１１０から離れて位置するが、装置が企業ネットワーク内の端末１１０およびサーバ１８０の両方として機能するように、同じ装置内にあってもよい。

中央ポリシーサービスは、セキュリティポリシーのセットを維持し、企業文書管理システム１００内の端末１１０のローカルポリシーエンジン１４０と同期するよう構成される。一実施形態では、サーバ１８０は、セキュリティポリシーを設定および修正するために、権限を与えられたユーザのためのユーザインタフェースを含む。また、中央ポリシーサービスは、動作に対する活動パターンのセットを維持し、企業文書管理システム１００内の端末１１０の動作分析エンジン１３０と同期するよう構成されてもよい。

中央インデックスデータベースは、企業文書管理システム１００内の各端末１１０のリモートマッチングサービス１９０およびローカルマッチングサービス１５０による処理のために、すべての機密文書のインデックスを維持するよう構成される。中央インデックスデータベースは、企業文書管理システム１００内の各端末１１０のローカルインデックスデータベースと定期的に同期する。

リモートマッチングサービス１９０は、機密文書を検出するよう構成される。一実施形態では、リモートマッチングサービス１９０は、中央インデックスデータベースにおいて対象文書に関連する機密文書を検索する。リモートマッチングサービス１９０がその対象文書に関連する機密文書を見付け、その関連性スコアが閾値を超えると、リモートマッチングサービス１９０は、対象文書が機密情報を含むと決定する。

なお、リモートマッチングサービス１９０、中央ポリシーサービス、および中央インデックスデータベースは、プロセッサ、メモリ、ストレージ、ネットワークインタフェース、周辺機器、並びに、適用可能なオペレーティングシステムおよび他の機能ソフトウェア（例えば、ネットワークドライバ、通信プロトコルなど）を有する１以上の従来のコンピューティングシステムにおいて構成され得る。さらに、エージェント１２０、動作分析エンジン１３０、ローカルポリシーエンジン１４０、ローカルマッチングサービス１５０および暗号サービス１７０は、ともに機能するよう論理的に構成され、１つの物理システムにあるいは多数の物理システムにわたって存在するよう構成され得る。

＜手法の概要＞
図２は、本発明における端末１１０での機密文書のライフサイクルを管理する処理の一実施形態を示す。その処理が開始し、エージェント１２０は、対象文書に対して行われる現在の処理活動とともに、移動中の文書（対象文書としても知られる）を識別する（ステップ２１０）。エージェント１２０は、現在の処理活動を保持し、対象文書および現在の処理活動を動作分析エンジン１３０に通知し（あるいは信号で伝え）、現在の処理活動を継続するか否かを示す信号を待つ。その後、現在の処理活動をブロックするように、エージェント１２０が動作分析エンジン１３０により信号で伝えられるならば、エージェント１２０は、例外を挙げ、現在の処理活動を停止することができる。別の方法では、エージェント１２０は、現在の処理活動を継続させる。

対象文書を識別する処理（ステップ２１０）は、以下の例により示される。端末１１０のユーザは、「TestA.doc」という名のローカル文書（「TestA.doc」文書としても知られる）を外部ＵＳＢドライブにコピーするよう試みる。「TestA.doc」文書をコピーするために、端末１１０のファイルシステムは、その文書にアクセスする。それは、ファイルシステムのエージェント１２０が対象文書として「TestA.doc」文書を識別する（ステップ２１０）トリガとなり、対象文書および現在の処理活動（ファイルへのアクセス）を動作分析エンジン１３０に通知する。

対象文書および現在の処理活動についての情報を受信した後、動作分析エンジン１３０は、対象文書がアウトバウンド文書１２６であるか否かを決定する（ステップ２２０）。上述のように、アウトバウンド文書１２６は、端末１１０からエクスポートされるべき文書である。動作分析エンジン１３０は、受信した現在の処理活動に基づいて、対象文書がアウトバウンド文書１２６であるか否かを決定することができる（ステップ２２０）。現在の処理活動が対象文書を外部装置（例えば、対象文書のプリント、ネットワーク１０５を介した対象文書の送信、外部記憶装置への対象文書の格納など）に出力することに関連するならば、動作分析エンジン１３０は、対象文書がアウトバウンド文書であると決定する。

その対象文書がアウトバウンド文書ではないと決定すれば（ステップ２２０）、動作分析エンジン１３０は、対象文書に適用される処理活動に基づいて、動作を識別する（ステップ２３０）。一実施形態では、動作分析エンジン１３０は、その対象文書に以前に適用された処理活動および動作に対する活動パターンのコレクションにアクセスする。動作分析エンジン１３０は、該動作に対する活動パターンを処理活動（現在の処理活動と対象文書に以前に適用されたものの両方）に適用して、動作を識別する（ステップ２３０）。1つの動作とは、或る予め定義された1つの目的を共同して達成する１以上の処理活動である。例えば、動作分析エンジン１３０は、アプリケーションが開き、機密文書を読み、そして、ネットワーク１０５を通してあるデータを送出するよう試みることを検出するならば、機密文書の送信動作であると識別することができる（ステップ２３０）。この例では、機密文書の送信動作の予め定義された目的は、機密文書の内容を送出することである。動作分析エンジン１３０は、処理活動の同じセットから多数の動作を識別することができる（ステップ２３０）。その代わりに、動作分析エンジン１３０は、処理活動のセットからある動作を識別できなくてもよい（ステップ２３０）。

一実施形態では、動作がないと識別するか（ステップ２３０）、識別された動作が重要ではないと決定すると、動作分析エンジン１３０は、その処理を終了し、停止された現在の処理活動を継続することができることをエージェント１２０に信号で伝える。同様に、識別された動作が禁止されていると決定するならば、動作分析エンジン１３０は、その処理を終了し、停止されている現在の処理活動をブロックしたことをエージェント１２０に信号で伝える。

また、動作分析エンジン１３０は、処理活動（現在の処理活動と対象文書に以前に適用したものの両方）に基づいて、対象文書に関連した文書を識別するよう構成され得る（ステップ２３０）。例えば、ユーザが第１の文書からある内容をコピーし、それを第２の文書にペーストするならば、動作分析エンジン１３０は、第１の文書が第２の文書の関連文書であると検出する。

ＵＳＢドライブに「TestA.doc」文書をコピーする例を続けると、現在の処理活動（ファイルへのアクセス）に基づいて、動作分析エンジン１３０は、何も動作を識別せず（ステップ２３０）、ファイルシステムがその文書にアクセス可能であることをファイルシステムのエージェント１２０に通知する。そして、ファイルシステムは、新しい文書を作成し、「TestA.doc」文書の内容をその新しい文書にコピーするよう試みる。ファイルシステムのエージェント１２０は、現在の処理活動（ファイルのコピー）とともに新しい文書を識別し（ステップ２１０）、動作分析エンジン１３０に通知する。動作分析エンジン１３０は、新しい文書がアウトバウンド文書ではないと決定する。動作分析エンジン１３０は、新しい文書に適用される現在の処理活動（ファイルコピー）に基づいて、ファイルコピー動作を識別する（ステップ２３０）。また、動作分析エンジン１３０は、新しい文書に関連した文書として「TestA.doc」文書を識別する（ステップ２３０）。

動作分析エンジン１３０は、識別された動作および関連文書とともに、対象文書をローカルポリシーエンジン１４０に通知する（あるいは、信号で伝える）。それはローカルマッチングサービス１５０に転送する。ローカルマッチングサービス１５０は、対象文書が機密情報を含むか否かを決定する（ステップ２４０）。

動作分析エンジン１３０が対象文書の１以上の関連した文書を識別することを想定すると（ステップ２３０）、ローカルマッチングサービス１５０は、識別された関連文書に基づいて、対象文書が機密情報を含むか否かを決定する（ステップ２４０）。識別した関連文書の少なくとも一つがそれを表すブラックリスト１６０内の記録を有すると決定するならば、ローカルマッチングサービス１５０は、対象文書が機密情報を含むことを決定し（ステップ２４０）、その決定をローカルポリシーエンジン１４０に信号で伝える。

ローカルマッチングサービス１５０は、対象文書を表すブラックリスト１６０内に記録があるか否かを決定する。上述のように、ブラックリスト１６０内の各記録は、機密文書を表す。対象文書がブラックリスト１６０内のある記録を有するならば、ローカルマッチングサービス１５０は、対象文書が機密情報を含むと決定する（ステップ２４０）。ブラックリスト１６０内の記録が対象文書を表さないならば、ローカルマッチングサービス１５０は、ローカルポリシーエンジン１４０に定義されるようなマッチング技術を適用し、マッチング結果に基づいて、対象文書が機密情報を含むか否かを決定する（ステップ２４０）。上述のように、ローカルマッチングサービス１５０は、その決定（ステップ２４０）を実行するために、リモートマッチングサービス１９０と協働することができる。リモートマッチングサービス１９０は、端末１１０の他の構成要素に透過的である。

対象文書が機密情報を含まないと決定するならば（ステップ２４０）、ローカルマッチングサービス１５０は、この結果をローカルポリシーエンジン１４０に信号で伝える。別の方法では、ブラックリスト１６０内に対象文書を表す記録がないならば、ローカルマッチングサービス１５０は、そのような記録を作成し、ブラックリスト１６０にその記録を追加し、対象文書が機密情報を含むことをローカルポリシーエンジン１４０に信号で伝える。作成された記録の構造は図３に関して記述された。

ローカルマッチングサービス１５０は、その対象文書にファイルＩＤを割り当て、ファイルＩＤ領域３０１にそのファイルＩＤを格納する。その代わりに、ファイルＩＤは、リモートマッチングサービス１９０によって割り当てられてもよい。ローカルマッチングサービス１５０は、対象文書のソースアドレスファイルフルパス名３０２にセーブし、マッチングフラグ３０３に真であると設定し、マッチングタイム３０４に現在のシステム時間を設定する。ローカルマッチングサービス１５０は、用いられる方法に基づいて、対象文書のためのマッチングスコアを決定する。例えば、関連性検出マッチングが適用されるならば、ローカルマッチングサービス１５０は、その文書と各マッチング機密文書との間の関連性スコアを追加し、マッチングスコア３０５にその総計を格納する。

ＵＳＢドライブに「TestA.doc」文書をコピーする例を続けると、動作分析エンジン１３０は、識別された動作（ファイルコピー）および関連文書（「TestA.doc」文書）とともに、新しい文書をローカルポリシーエンジン１４０に通知する。ローカルポリシーエンジン１４０は、ローカルマッチングサービス１５０に転送する。ローカルマッチングサービス１５０が「TestA.doc」文書に対応するブラックリスト１６０内の記録に位置すると想定すると、ローカルマッチングサービス１５０は、新しい文書が機密情報を含むと決定する（ステップ２４０）。別な方法では、ローカルマッチングサービス１５０は、新しい文書が機密情報を含むか否かを決定するために、マッチングサービスをそれに実施する。新しい文書が機密情報を含むと決定される（ステップ２４０）と想定すると、ローカルマッチングサービス１５０は、新しい文書を表す記録を作成し、その記録をブラックリスト１６０に追加し、新しい文書が機密情報を含むことをローカルポリシーエンジン１４０に信号で伝える。

ローカルポリシーエンジン１４０は、ローカルマッチングサービス１５０からの対象文書が機密情報を含むか否かを示す信号に基づいて、現在の処理活動がブロックされる必要があるか、許可される必要があるかを決定する（ステップ２５０）。対象文書が機密情報を含まないことをローカルマッチングサービス１５０がローカルポリシーエンジン１４０に信号で伝えるならば、ローカルポリシーエンジン１４０は、現在の処理活動を継続可能であることを（動作分析エンジン１３０を介して）エージェント１２０に信号で伝える。別な方法では、ローカルポリシーエンジン１４０は、適用可能なセキュリティポリシーを決定し、現在の処理活動がブロックされる必要があるか、許可される必要があるかを決定するために、対象文書および動作にその適用可能なセキュリティポリシーを適用し、そして、（動作分析エンジン１３０を介して）エージェント１２０に信号で伝える。

ＵＳＢドライブに「TestA.doc」文書をコピーする例を続けると、機密文書の内容が複製されることを許可されると想定すると、ローカルポリシーエンジン１４０は、新しい文書の現在の処理活動が継続するべきであると決定し（ステップ２５０）、「TestA.doc」文書の内容を新しい文書にコピーする現在の処理活動を継続するようにファイルシステムのエージェント１２０に信号で伝える。

対象文書がアウトバウンド文書であると決定すると（ステップ２２０）、動作分析エンジン１３０は、その対象文書をローカルポリシーエンジン１４０に送り、ローカルポリシーエンジン１４０は、それをローカルマッチングサービス１５０に送る。ローカルマッチングサービス１５０は、対象文書が機密情報を含むか否かを決定する（ステップ２４０）。上述のように、ローカルポリシーエンジン１４０がどのように構成されるかに依存して、ローカルマッチングサービス１５０は、対象文書が機密情報を含むか否かを決定するために（ステップ２４０）、１以上のマッチング技術を適用することができる。例えば、ローカルマッチングサービス１５０は、まず、対象文書を表すブラックリスト１６０内に記録があるか否かを決定することができる。上述のように、ブラックリスト１６０内の各記録は機密文書を表す。対象文書がブラックリスト１６０内の記録を有するならば、ローカルマッチングサービス１５０は、対象文書が機密情報を含むと決定する（ステップ２４０）。他の方法では、ローカルマッチングサービス１５０は、ローカルポリシーエンジン１４０に定義されるようなマッチング技術を適用し、マッチング結果に基づいて、対象文書が機密情報を含むか否かを決定する（ステップ２４０）。ローカルマッチングサービス１５０は、決定（ステップ２４０）の結果をローカルポリシーエンジン１４０に信号で伝える。

ローカルポリシーエンジン１４０は、ローカルマッチングサービス１５０からの信号およびセキュリティポリシーに基づいて、現在の処理活動がブロックされる必要があるか、許可される必要があるかを決定する（ステップ２５０）。対象文書が機密情報を含まないことをローカルマッチングサービス１５０がローカルポリシーエンジン１４０に信号で伝えるならば、ローカルポリシーエンジン１４０は、現在の処理活動を継続可能であることをエージェント１２０に（動作分析エンジン１３０を介して）信号で伝える。別な方法では、ローカルポリシーエンジン１４０は、エクスポートを許可するか、エクスポートをブロックするか、あるいはエクスポートの前に対象文書を暗号化するかを決定するために（ステップ２５０）、適用可能なセキュリティポリシーを決定し、それらを対象文書に適用し、それに応じて、（動作分析エンジン１３０を介して）エージェント１２０に信号で伝える。

対象文書が暗号化される必要があると決定すると、ローカルポリシーエンジン１４０は、対象文書を暗号化することも暗号サービス１７０に信号で伝える。いくつかの実施形態では、対象文書が暗号化されるべきことを信号で伝えられると、エージェント１２０は、暗号サービス１７０により暗号化される必要性と除去される必要性として対象文書にマークを付け、そして、次にあらゆる内容修正がこの対象文書に起こると、新しい内容は、暗号サービス１７０により暗号化される。

ＵＳＢドライブに「TestA.doc」文書をコピーする例を続けると、ファイルシステムは、ＵＳＢドライブに新しい文書をセーブするよう試みる。ファイルシステムのエージェント１２０は、外部装置にファイルをセーブする現在の処理活動とともに新しい文書を識別し（ステップ２１０）、動作分析エンジン１３０に通知する。動作分析エンジン１３０は、新しい文書がアウトバウンド文書であると決定し（ステップ２２０）、ローカルマッチングサービス１５０に通知する。新しい文書を表す記録がブラックリスト１６０にあるので、ローカルマッチングサービス１５０は、新しい文書が機密情報を含むと決定し（ステップ２４０）、ローカルポリシーエンジン１４０に通知する。

外部装置にセーブされる前に機密文書を暗号化することを要求するセキュリティポリシーがあると想定すると、ローカルポリシーエンジン１４０は、新しい文書を指定の外部ＵＳＢドライブにセーブする前にそれを暗号化することを暗号サービス１７０に信号で伝える。また、ローカルポリシーエンジン１４０は、その新しい文書が暗号化されていることをファイルシステムのエージェント１２０に通知し、現在の処理活動を継続可能であることをファイルシステムのエージェント１２０に信号で伝える。ファイルシステムのエージェント１２０は、現在の処理活動を継続し、その新しい文書を外部ＵＳＢドライブにセーブする。

本発明の一利点は、提供される保護の範囲および正確さである。文書管理システムは、すべての移動中および静止中の文書を（そのスキャニング能力により）検出し、その内容およびユーザ動作に基づいて、ある文書が機密であるか否かを決定する。それは、機密文書の正確な検出を提供する。また、文書管理システムは、故意のデータスクランブリングを検出し、それに適切に反応することができるように、動作に対する活動パターンに基づいて、ユーザの動作を分析する。

本発明の別の利点は、機密文書の保護である。文書管理は、有利に、端末が企業ネットワークから切断されているときでさえ、文書管理システムが端末からの機密情報の漏洩を防止することができるように、端末において達成される。

また、明細書に記述の特徴および利点は、ここで実施形態に記述されるようなシステムおよび方法を使用するものにとって有利な使用をもたらす。例えば、ユーザは、ここに記述のような特定の情報へのアクセスを制御するために、例えば、制御信号を送受信することにより、多くの機構を提供される。また、それらの機能をサポートする構成要素例えばサーバシステムのすべての部分がユーザに対してローカルに位置するか遠隔（リモート）に位置するかにかかわらず、これらの利益は生じる。

実施形態の完全な理解を与えるために、多数の特定の詳細を説明した。しかしながら、その実施形態がこれらの特定の詳細なしに実施されてもよいことを当業者は理解するであろう。他の例では、実施形態を不明瞭にしないように、周知の動作、構成要素および回路を詳細に説明しなかった。ここに開示の特定の構造および機能の詳細が代表的なものであり、実施形態の範囲を必ずしも限定しないことを認識されたい。

種々の実施形態は、１以上のハードウェア要素を用いて実施されればよい。一般に、ハードウェア要素は、一定の動作を実行するために配置されるあらゆるハードウェア構成を参照する。一実施形態では、例えば、ハードウェア要素は、基板上に設置されるあらゆるアナログあるいはデジタル電気あるいは電子素子を含んでもよい。その製造は、例えば、相補型金属酸化膜半導体（ＣＭＯＳ）、バイポーラ、バイポーラＣＭＯＳ（ＢｉＣＭＯＳ）技術のようなシリコンベースの集積回路（ＩＣ）技術を用いて実行されればよい。ハードウェア要素の例は、プロセッサ、マイクロプロセッサ、回路、回路素子（例えば、トランジスタ、抵抗器、コンデンサ、インダクタなど）、集積回路、特定用途向け集積回路（ＡＳＩＣ）、プログラム可能な論理回路（ＰＬＤ）、デジタル信号プロセッサ（ＤＳＰ）、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、論理ゲート、レジスタ、半導体素子、チップ、マイクロチップ、チップセットなどを含む。実施形態はこのコンテキストに限定されない。

種々の実施形態は、１以上のソフトウェア要素を用いて実施されてもよい。一般に、ソフトウェア要素は、一定の動作を実行するために配置されたあらゆるソフトウェア構造を参照する。一実施形態では、例えば、ソフトウェア要素は、プロセッサなどのハードウェア要素による実行に適したプログラム指示（命令）やデータを含めばよい。指示のプログラムは、実行されるとき、対応する動作セットをプロセッサに実行させる所定の構文にアレンジされた単語、値、もしくは記号を含むコマンドの組織的リストを含めばよい。ソフトウェアは、プログラミング言語を用いて書かれあるいはコード化されればよい。プログラミング言語の例は、Ｃ、Ｃ＋＋、ＢＡＳＩＣ、Ｐｅｒｌ、Ｍａｔｌａｂ、Ｐａｓｃａｌ、Ｖｉｓｕａｌ ＢＡＳＩＣ、ＪＡＶＡ（登録商標）、ＡｃｔｉｖｅＸ、アセンブリ言語、機械コードなどを含めばよい。

ソフトウェアは、あらゆるタイプのコンピュータに読み取り可能な媒体または機械に読み取り可能な媒体を用いて格納されてもよい。また、ソフトウェアは、ソースコードまたはオブジェクトコードとして媒体に格納されてもよい。また、ソフトウェアは、圧縮あるいは暗号化データとして媒体に格納されてもよい。ソフトウェアの例は、あらゆるソフトウェアコンポーネント、プログラム、アプリケーション、コンピュータプログラム、アプリケーションプログラム、システムプログラム、機械プログラム、オペレーティングシステムソフトウェア、ミドルウェア、ファームウェア、ソフトウェアモジュール、ルーチン、サブルーチン、関数、方法、手順（procedure）、ソフトウェアインタフェース、アプリケーションプログラムインタフェース（ＡＰＩ）、指示（命令）セット、コンピューティングコード、コンピュータコード、コードセグメント、コンピュータコードセグメント、文言、値、記号、あるいはあらゆるそれらの組み合わせを含めばよい。実施形態はこのコンテキストに限定されない。

また、以下に続く詳細な説明のいくつかの部分は、コンピュータメモリ内のデータビットにおけるアルゴリズムおよび操作の象徴的な表示によって表される。これらのアルゴリズムの記述および表現は、他の当業者に彼らの仕事の実質を最も効果的に伝えるためのデータ処理の技術分野の当業者によって用いられる手段である。アルゴリズムは、ここでは、一般に、所望の結果に至る自己矛盾のない一連のステップ（命令）であると考えられる。そのステップは、物理量の物理的な取り扱いを要求するものである。通常、必ずしもそうではないが、これらの物理量は、格納、送信、結合、比較および他の方法で処理可能な電気、磁気あるいは光信号の形式を取る。主として、一般的な使用の理由のために、時々、これらの信号をビット、値、構成要素、記号、文字、用語、数字などと称するのが便利である。また、時々、一般性を喪失することなく、物理量の物理的な取り扱いを必要とするステップの所定の配列をモジュールまたはコード装置と称するのが便利である。

また、いくつかの実施形態は、例えば、あらゆるコンピュータに読み取り可能な媒体、機械に読み取り可能な媒体、あるいはソフトウェアを格納可能な商品を用いて実施されればよい。媒体または商品は、メモリを参照して記述されるあらゆる例のようなあらゆる適当なタイプのメモリユニット、メモリ素子、メモリ商品、メモリ媒体、記憶装置、記憶商品、記憶媒体あるいは記憶ユニットを含めばよい。媒体または商品は、メモリ、着脱可能なもしくは着脱できない媒体、消去可能なもしくは消去できない媒体、書き込み可能もしくは再書き込み可能な媒体、デジタルもしくはアナログ媒体、ハードディスク、フロッピー（登録商標）ディスク、読み出し専用のコンパクトディスク（ＣＤ−ＲＯＭ）、記録可能なコンパクトディスク（ＣＤ−Ｒ）、書き換え可能なコンパクトディスク（ＣＤ−ＲＷ）、光ディスク、磁気媒体、光磁気媒体、着脱可能なメモリカードもしくはディスク、多種のデジタルバーサタイルディスク（ＤＶＤ）、加入者識別モジュール、テープ、カセットなどを含めばよい。指示（命令）は、ソースコード、オブジェクトコード、コンパイル済コード、解釈済コード、実行可能なコード、スタティックコード、ダイナミックコードなどのあらゆる適当なタイプのコードを含めばよい。指示は、Ｃ、Ｃ＋＋、Ｊａｖａ、ＢＡＳＩＣ、Ｐｅｒｌ、Ｍａｔｌａｂ、Ｐａｓｃａｌ、Ｖｉｓｕａｌ ＢＡＳＩＣ、ＪＡＶＡ、ＡｃｔｉｖｅＸ、アセンブリ言語、機械コードなどのあらゆる適当なハイレベルの、ローレベルの、オブジェクト指向の、視覚による、コンパイル済のあるいは解釈済のプログラミング言語を用いて実施されてもよい。実施形態はこのコンテキストに限定されない。

いくつかの実施形態は、それらの派生語とともに、「連結され（coupled）」および「接続され（connected）」という表現を用いて説明され得る。これらの用語が互いに類義語として意図されていないことを理解されたい。例えば、いくつかの実施形態は、２以上の構成要素が互いに直接物理的または電気的に接触していることを示すために、用語「接続され」を用いて説明されてもよい。他の例では、いくつかの実施形態は、２以上の構成要素が直接物理的または電気的に接触していることを示すために、用語「連結され」を用いて説明されてもよい。また、しかしながら、用語「連結され」は、２以上の構成要素が互いに直接接触してないが、互いに協働しあるいは相互作用することを意味してもよい。実施形態はこのコンテキストに限定されない。

別な方法で特に述べていない限り、「処理（processing）」、「コンピューティング（computing）」、「計算する（calculating）」、「決定する（determining）」などの用語は、コンピューティングシステムのレジスタあるいはメモリ内の物理量（例えば、電子）として表されるデータを処理し、コンピューティングシステムのメモリ、レジスタまたは他のそのような情報記録、送信または表示装置内で物理量として同様に表される他のデータに変換するコンピュータもしくはコンピューティングシステムまたは同様の電子コンピューティング装置の動作あるいは処理を言及することを認識するであろう。実施形態はこのコンテキストに限定されない。

ここで用いられるように、「一実施形態（one embodiment）」または「一実施形態（an embodiment）」というあらゆる参照は、実施形態に関連して説明される特定の要素、特徴、構造、または特性が少なくとも一つの実施形態に含まれることを意味するものである。明細書中の種々の場所の句「一実施形態における（in one embodiment）」の出現は、必ずしもすべてが同じ実施形態に言及していない。

本開示を読むと、当業者は、ここに開示の原則を通して、文書管理および機密情報の漏洩防止のシステムおよび処理のための追加の代わりの構造的および機能的設計を認識するであろう。したがって、特定の実施形態および適用が記載され、説明されたが、本発明がここに開示の正確な構成および構成要素に限定されず、添付の特許請求の範囲において定義されるような本発明の意図および範囲を逸脱することなく、当業者に明白な種々の修正、変更および変形がここに開示の本発明の方法および装置の配置、動作、詳細においてなされてもよいことを理解されたい。

本発明における企業文書セキュリティ管理システムの一実施形態を示す。 本発明における文書のライフサイクルを検出し、管理する処理の一実施形態を示す。 本発明におけるブラックリストの記録のためのフォーマットを示すブロック図である。

Claims (20)

1. 文書管理システムの端末として構成されたコンピューティング装置であって、該コンピューティング装置は、
   該コンピューティング装置が具備するエージェントプログラムを実行して該コンピューティング装置に対してなされる操作を監視することにより、ユーザによって対象文書に対して行われる操作を識別する手順と、
   前記コンピューティング装置が具備する動作分析エンジンを実行することにより、前記識別された操作、前記対象文書に対して行われた前の操作、および予め用意された動作に対する活動パターンに基づいて、該対象文書に適用される動作を識別する手順であって、前記動作は、予め定義された1つの目的を共同して達成する複数の操作の組み合わせからなり、前記動作に対する活動パターンは、前記識別された操作と前記対象文書に対して行われた前記前の操作の組み合わせが特定の動作に関連しているかを判定するために適用される前記手順と、
   前記対象文書が機密情報を含むか否かを決定する決定手順であって、
   前記対象文書の記録が記録のリストに存在するか否かを判定する手順と、
   該リストに該対象文書の記録がないことに応じて、該対象文書にキーワードマッチングを適用するローカルマッチングサービスを実行する手順であって、前記ローカルマッチングサービスは、前記キーワードマッチングの結果が或る閾値を超えるならば、前記コンピューティング装置が具備するローカルポリシーエンジンに従い、該対象文書が機密情報であると決定するか、または、関連性検出マッチングサービスを適用するために外部のリモートマッチングサービスに前記対象文書を送信することからなり、前記関連性検出マッチングとは、前記対象文書の内容と機密情報を含むよう知られる文書の内容とをマッチングすることにより前記対象文書が機密情報を含むか否かを検出することからなる前記手順と、
   前記ローカルマッチングサービス及びリモートマッチングサービスにより行われた前記マッチングの結果に応じて、該対象文書が機密情報を含むか否かを決定する手順と、を含む前記決定手順と、
   前記対象文書が前記機密情報を含むと決定されたことに応じて、前記識別された動作に対応するセキュリティポリシーに基づいて、該対象文書を処理する手順と
   を実行するようにプログラムされていることを特徴とするコンピューティング装置。
2. 前記対象文書に対して行われる前記操作は、該対象文書を修正すること、該対象文書を作成すること、および該対象文書をエクスポートすることの一つを含むことを特徴とする請求項１に記載のコンピューティング装置。
3. 前記セキュリティポリシーは、前記識別された操作の継続を可能にすること、該識別された操作をブロックすること、該識別された操作を制限することの一つを含むことを特徴とする請求項１に記載のコンピューティング装置。
4. 前記セキュリティポリシーは、前記識別された操作の継続を可能にする前に前記対象文書を暗号化することを含むことを特徴とする請求項３に記載のコンピューティング装置。
5. 前記ローカルマッチングサービスは、前記対象文書に固有表現抽出マッチングを更に適用し、前記固有表現抽出マッチングは、前記対象文書のコンテンツを処理して該対象文書内で記述された固有表現を検出し、該検出した固有表現を機密情報に対応付けられた複数固有表現のコレクションとマッチすることにより、該対象文書が機密情報を含むかどうかを判定することからなる、ことを特徴とする請求項１に記載のコンピューティング装置。
6. ネットワークにおいて機密情報を持つ文書を管理するためのシステムのエンドポイントとして構成されたコンピューティング装置によって実行される方法であって、
   前記コンピューティング装置上で動作するソフトウェアによる処理として、エージェントプログラムを実行して該コンピューティング装置に対してなされる操作を監視することにより、前記ネットワークの前記エンドポイントにより処理される文書を識別するステップと、
   前記コンピューティング装置上で動作するソフトウェアによる処理として、前記エージェントプログラムを実行して該コンピューティング装置に対してなされる操作を監視することにより、該コンピューティング装置を介してユーザによって前記文書に対して行われる操作を識別するステップと、
   前記コンピューティング装置上で動作するソフトウェアによる処理として、前記コンピューティング装置が具備する動作分析エンジンを実行することにより、前記識別された操作、前記文書に対して行われた前の操作、および予め用意された動作に対する活動パターンに基づいて、該文書に適用される動作を識別するステップであって、前記動作は、予め定義された1つの目的を共同して達成する複数の操作の組み合わせからなり、前記動作に対する活動パターンは、前記識別された操作と前記文書に対して行われた前記前の操作の組み合わせが特定の動作に関連しているかを判定するために適用される前記ステップと、
   前記コンピューティング装置上で動作するソフトウェアによる処理として、前記文書が該機密情報を含むか否かを決定する処理を行う決定ステップであって、
   前記文書の記録が記録のリストに存在するか否かを判定することと、
   該リストに該文書の記録がないことに応じて、該文書にキーワードマッチングを適用するローカルマッチングサービスを実行することと、ここで、前記ローカルマッチングサービスは、前記キーワードマッチングの結果が或る閾値を超えるならば、前記コンピューティング装置が具備するローカルポリシーエンジンに従い、該文書が機密情報であると決定するか、または、関連性検出マッチングサービスを適用するために外部のリモートマッチングサービスに前記文書を送信することからなり、前記関連性検出マッチングとは、前記文書の内容と機密情報を含むよう知られる文書の内容とをマッチングすることにより前記文書が機密情報を含むか否かを検出することからなり、
   前記ローカルマッチングサービス及びリモートマッチングサービスにより行われた前記マッチングの結果に応じて、前記文書が機密情報を含むか否かを決定すること、を含む前記決定ステップと、
   前記コンピューティング装置上で動作するソフトウェアによる処理として、前記文書が前記機密情報を含むと決定されたことに応じて、前記識別された動作に適用可能なセキュリティポリシーに基づいて、該文書を処理するステップと
   を有することを特徴とする方法。
7. 前記文書に実行される操作は、該文書を修正すること、該文書を作成すること、および該文書をエクスポートすることの一つを含むことを特徴とする請求項６に記載の方法。
8. 前記セキュリティポリシーは、前記識別された操作の継続を可能にすること、該識別された操作をブロックすること、該識別された操作を制限することの一つを含むことを特徴とする請求項６に記載の方法。
9. 前記セキュリティポリシーは、前記識別された操作の継続を可能にする前に前記文書を暗号化することを特徴とする請求項８に記載の方法。
10. 前記ローカルマッチングサービスは、前記文書に固有表現抽出マッチングを更に適用し、前記固有表現抽出マッチングは、前記文書のコンテンツを処理して該文書内で記述された固有表現を検出し、該検出した固有表現を機密情報に対応付けられた複数固有表現のコレクションとマッチすることにより、該文書が機密情報を含むかどうかを判定することからなる、ことを特徴とする請求項６に記載の方法。
11. コンピュータに、
    エージェントプログラムを実行して該コンピュータに対してなされる操作を監視することにより、ユーザによって対象文書に対して行われる操作を識別する手順と、
    該コンピュータが具備する動作分析エンジンを実行することにより、前記識別された操作、前記対象文書に対して行われた前の操作、および予め用意された動作に対する活動パターンに基づいて、該対象文書に適用される動作を識別する手順であって、前記動作は、予め定義された1つの目的を共同して達成する複数の操作の組み合わせからなり、前記動作に対する活動パターンは、前記識別された操作と前記対象文書に対して行われた前記前の操作の組み合わせが特定の動作に関連しているかを判定するために適用される前記手順と、
    前記対象文書が機密情報を含むか否かを決定する決定手順であって、
    前記対象文書の記録が記録のリストに存在するか否かを判定する手順と、
    該リストに該対象文書の記録がないことに応じて、ローカルマッチングサービスによって該対象文書にキーワードマッチングを行う手順であって、前記ローカルマッチングサービスは、前記キーワードマッチングの結果が或る閾値を超えるならば、ローカルポリシーエンジンに従い、該対象文書が機密情報であると決定するか、または、関連性検出マッチングサービスを適用するために外部のリモートマッチングサービスに前記対象文書を送信することからなり、前記関連性検出マッチングとは、前記対象文書の内容と機密情報を含むよう知られる文書の内容とをマッチングすることにより前記対象文書が機密情報を含むか否かを検出することからなる前記手順と、
    前記ローカルマッチングサービス及びリモートマッチングサービスにより行われた前記マッチングの結果に応じて、前記対象文書が機密情報を含むか否かを決定する手順と、を含む前記決定手順と、
    前記対象文書が前記機密情報を含むと決定されたことに応じて、前記識別された動作に対応するセキュリティポリシーに基づいて、該対象文書を処理する手順と
    を実行させるためのプログラム。
12. 前記対象文書に実行される操作は、該対象文書を修正すること、該対象文書を作成すること、および該対象文書をエクスポートすることの一つを含むことを特徴とする請求項１１に記載のプログラム。
13. 前記セキュリティポリシーは、前記識別された操作の継続を可能にすること、該識別された操作をブロックすること、該識別された操作を制限することの一つを含むことを特徴とする請求項１１に記載のプログラム。
14. 前記セキュリティポリシーは、前記識別された操作の継続を可能にする前に前記対象文書を暗号化することを特徴とする請求項１３に記載のプログラム。
15. 前記ローカルマッチングサービスは、前記対象文書に固有表現抽出マッチングを更に適用し、前記固有表現抽出マッチングは、前記対象文書のコンテンツを処理して該対象文書内で記述された固有表現を検出し、該検出した固有表現を機密情報に対応付けられた複数固有表現のコレクションとマッチすることにより、該対象文書が機密情報を含むかどうかを判定することからなる、ことを特徴とする請求項１１に記載のプログラム。
16. 中央ポリシーサービスを維持するサーバコンピュータと、
    前記サーバコンピュータと通信可能に接続されたエンドポイントコンピューティング装置と
    で構成される文書管理システムであって、
    前記エンドポイントコンピューティング装置がローカルポリシーエンジンを具備し、該ローカルポリシーエンジンによって適用されるセキュリティポリシーは前記中央ポリシーサービス内に規定され且つ維持されており、
    前記エンドポイントコンピューティング装置が、
    該エンドポイントコンピューティング装置が具備するエージェントプログラムを実行して該エンドポイントコンピューティング装置に対してなされる操作を監視することにより、ネットワークのエンドポイントにより処理される文書を識別する手順と、
    該エンドポイントコンピューティング装置が具備する前記エージェントプログラムを実行して該エンドポイントコンピューティング装置に対してなされる操作を監視することにより、ユーザによって前記文書に対して行われる操作を識別する手順と、
    前記エンドポイントコンピューティング装置が具備する動作分析エンジンを実行することにより、前記識別された操作、前記文書に対して行われた前の操作、および予め用意された動作に対する活動パターンに基づいて、該文書に適用される動作を識別する手順であって、前記動作は、予め定義された1つの目的を共同して達成する複数の操作の組み合わせからなり、前記動作に対する活動パターンは、前記識別された操作と前記文書に対して行われた前記前の操作の組み合わせが特定の動作に関連しているかを判定するために適用される前記手順と、
    前記文書が機密情報を含むか否かを決定する決定手順であって、
    前記文書の記録が記録のリストに存在するか否かを判定する手順と、
    該リストに該文書の記録がないことに応じて、ローカルマッチングサービスによって該対象文書にキーワードマッチングを行う手順であって、前記ローカルマッチングサービスは、前記キーワードマッチングの結果が或る閾値を超えるならば、前記エンドポイントコンピューティング装置が具備するローカルポリシーエンジンに従い、該文書が機密情報であると決定するか、または、関連性検出マッチングサービスを適用するために外部のリモートマッチングサービスに前記文書を送信することからなり、前記関連性検出マッチングとは、前記文書の内容と機密情報を含むよう知られる文書の内容とをマッチングすることにより前記文書が機密情報を含むか否かを検出することからなる前記手順と、
    前記ローカルマッチングサービス及びリモートマッチングサービスにより行われた前記マッチングの結果に応じて、該文書が機密情報を含むか否かを決定する手順と、を含む前記決定手順と、
    前記文書が前記機密情報を含むと決定されたことに応じて、前記識別された動作に適用可能なセキュリティポリシーに基づいて、該文書を処理する手順と
    を実行するようにプログラムされていることを特徴とする文書管理システム。
17. 前記文書に実行される操作は、該文書を修正すること、該文書を作成すること、および該文書をエクスポートすることの一つを含むことを特徴とする請求項１６に記載の文書管理システム。
18. 前記セキュリティポリシーは、前記識別された操作の継続を可能にすること、該識別された操作をブロックすること、該識別された操作を制限することの一つを含むことを特徴とする請求項１６に記載の文書管理システム。
19. 前記セキュリティポリシーは、前記識別された操作の継続を可能にする前に前記文書を暗号化することを特徴とする請求項１８に記載の文書管理システム。
20. 前記ローカルマッチングサービスは、前記文書に固有表現抽出マッチングを更に適用し、前記固有表現抽出マッチングは、前記文書のコンテンツを処理して該文書内で記述された固有表現を検出し、該検出した固有表現を機密情報に対応付けられた複数固有表現のコレクションとマッチすることにより、該文書が機密情報を含むかどうかを判定することからなる、ことを特徴とする請求項１６に記載の文書管理システム。

Images