JP6045104B2 - データ消去プログラム、データ消去方法、データ消去機能を備えたコンピュータおよびデータ消去管理サーバ - Google Patents

Description

本発明は、データ消去プログラム、データ消去方法、データ消去機能を備えたコンピュータおよびデータ消去管理サーバに係り、特に、ノートパソコンなどの情報機器内に格納したデータのセキュリティを改善する技術に関する。

近年、ノート型のパーソナルコンピュータ（以下「ノートパソコン」、「ノートＰＣ」又は単に「ＰＣ」と言う）のような携帯情報機器が普及し、外出先でもそれらを活用した情報アクセスや業務支援などを利用する機会が増大しており、社会の各分野で公私共に情報利用の利便性が高まっている。

しかしながら一方で、ハードディスクドライブなどの記憶装置の大容量化と携帯容易なノートパソコンの一般化に伴い、会社などの組織の顧客情報や営業情報といった業務上の秘すべき情報がノートパソコンの置き忘れや盗難によって流出するおそれが増大している。また、個人用のノートパソコンでも、個人情報やアドレス帳、メールの送受信データのような情報について同様の危険性が生じている。

また、このような情報機器のセキュリティを改善する技術を提案するものとして、下記特許文献がある。

特開２００６−１８３４５号公報 特開２００７−３１６７８９号公報

ところで、上記のような情報流出の危険性を回避するには、情報機器の紛失に備えて機器内のデータを予め暗号化しておくことが考えられる。また、前記特許文献１の発明では、ＦＡＴ（ファイルアロケーションテーブル）を暗号化することで内蔵ストレージ内のファイルへのアクセスを制限する。

しかしながら、ノートパソコンを携帯し使用するたびに暗号化されたデータの復号作業を行うことは時間的・労力的にユーザに大きな負担をかけ、更新内容の再暗号化の処理負荷も生じる。また、特許文献１の方法では、アクセス制限を解除する外付けストレージを必ず携帯しなければならない煩わしさがある。さらに、復号しあるいは暗号化を解除した状態で機器を置き忘れたり盗難に合った場合には、上記いずれの方法でも情報流出を防ぐことは出来ない。

一方、前記特許文献２は、万一機器を紛失した場合に通信ネットワーク上に配置したサーバと通信を行うことでデータを消去するもので、上記暗号化による方法の作業負担や煩雑さを解消できるものであるが、出願人は更なる検討を進め、情報流出をより一層確実に防ぐことが出来る新たな技術を完成するに至った。

したがって、本発明の目的は、ユーザに処理負担をかけることなく、ノートパソコンなどの情報機器のデータセキュリティをより一層向上させる点にある。

前記課題を解決し目的を達成する本発明の概要は、次のとおりである。

〔本発明の概要〕
本発明に係るデータ消去処理では、ノートパソコンのようなコンピュータを、例えば盗難や置き忘れなどにより紛失したときに、当該コンピュータ内のデータを消去する依頼（消去要求）を当該紛失したコンピュータ以外の機器（他の機器）から管理サーバへ送信する。管理サーバと当該コンピュータ（以下「クライアント装置」と称することもある）とは周期的に通信を行っており、上記他の機器から消去要求を受信している場合に管理サーバは、当該紛失したコンピュータに対してデータ消去を指示する命令（消去命令）を送信する。この消去命令に従って当該コンピュータは格納されている情報を消去する。

クライアント装置（上記コンピュータ）には、本発明に特有のソフトウェア（データ消去プログラム）を予めインストールしてあり、このソフトウェアによってクライアント装置に上記のような管理サーバとの周期的な通信を行わせ、自身を対象とした消去要求が管理サーバに届いていれば、管理サーバは当該クライアント装置に対して消去命令を送信する。

本発明の特徴は、特に次の点〔１〕〜〔３〕にある。

〔１〕 第一に、データ消去の対象となるコンピュータに予め（紛失に先立って）インストールしておく上記データ消去プログラム、すなわち、後述する消去管理プログラムと消去実行プログラムがクライアント装置に行わせる特有の処理である。特に、消去命令を受けたときにコンピュータを強制的に再起動し、このリブート時のブートシーケンスを変更すること、つまり、デフォルトで起動されるＯＳ（Operating System／オペレーティングシステム）プログラムに代え、データ消去専用のＯＳプログラム（消去実行プログラム）を起動させてデータの消去処理を行う点にある。

〔２〕 第二に、本発明の特徴は、クライアント装置にＳＩＭカード（Subscriber Identity Module Card／シムカード）を備え、ＳＭＳ（Short Message Service／ショートメッセージサービス）によるメッセージ送信を利用することによってクライアント装置の電源が入っていない場合にも当該クライアント装置を強制的に起動し、上記データ消去プログラムによるデータ消去処理を実行する構成にある。

〔３〕 第三に、本発明の特徴は、上記第二の特徴を備えた場合に、データ消去を指示するメッセージに、命令文に加えて変動パスワード（後の実施形態のマスク値）を付加することにより、消去命令のセキュリティ（真正性の確保）をより確実にし、所謂なりすましや悪戯によってクライアント装置のデータが所有者の意思に反して消去されることを防ぐ構成にある。

以下、これら第一から第三の特徴を備えた発明をそれぞれ第一から第三の発明として具体的に述べる。なお、これら第一から第三の発明は、下記のようにそれぞれプログラム、方法および装置の発明として把握することが可能である。

〔第一の発明〕
本願の第一の発明に係るデータ消去プログラムは、コンピュータネットワークを介して管理サーバから送信された消去命令を受信することによりコンピュータ内に格納されている情報を消去するデータ消去プログラムであって、前記コンピュータは、プログラムを実行する演算処理装置と、前記演算処理装置が作業領域として使用する主記憶装置と、プログラムおよびデータを格納可能な補助記憶装置と、ＢＩＯＳ（Basic Input/Output System／基本入出力システム）プログラムを格納した不揮発性メモリと、前記コンピュータネットワークを介した通信を可能とするネットワーク通信制御部と、電源のオンオフを制御する電源制御部とを備え、前記補助記憶装置は、ＯＳプログラムを起動するための起動プログラム、および、起動すべきＯＳプログラムを示すテーブル、を含むマスターブートレコードと、デフォルトで起動されるデフォルトＯＳプログラム、アプリケーションプログラム、および、データが格納されるデータ領域と、前記デフォルトＯＳプログラムから隠匿され前記デフォルトＯＳプログラムからアクセス不能とされた保護領域とを有する。

そして、上記データ消去プログラムは、前記データ領域に格納され且つ前記デフォルトＯＳプログラム上で動作する消去管理プログラムと、前記保護領域に格納されたプログラムであり且つ前記データ領域に格納された情報を消去するプログラムである消去実行プログラムとを含み、前記消去管理プログラムは、前記ネットワーク通信制御部に前記消去命令を受信させるステップと、前記消去命令を受信した場合に、前記消去実行プログラムが起動ＯＳとしてアクティブになるように前記テーブルを書き換えるステップと、前記テーブルを書き換えた後に前記電源制御部に前記コンピュータを再起動させるステップとを前記コンピュータ（演算処理装置）に実行させ、前記消去実行プログラムは、前記コンピュータを再起動させるステップによって前記コンピュータが再起動され、前記書き換えらえたテーブルに従って前記起動プログラムが当該消去実行プログラムを起動したときに、前記データ領域に格納された情報を消去するステップを前記コンピュータ（演算処理装置）に実行させる。

また、上記消去管理プログラムは、好ましくは、前記ネットワーク通信制御部を介しコンピュータネットワーク経由で前記管理サーバと通信を行い、前記管理サーバに前記消去命令が存在するか周期的に照会を行うステップを前記コンピュータ（演算処理装置）に実行させる。

また、本願の第一の発明に係るデータ消去方法は、コンピュータに格納された情報の消去を求める消去要求を、前記コンピュータとは異なる機器からコンピュータネットワークを介して管理サーバが受け付け、当該消去要求に基づいて前記管理サーバが消去命令を前記コンピュータへ前記コンピュータネットワークを介して送信することにより、前記コンピュータ内に格納されている情報を消去するデータ消去方法であって、前記コンピュータは、プログラムを実行する演算処理装置と、前記演算処理装置が作業領域として使用する主記憶装置と、プログラムおよびデータを格納可能な補助記憶装置と、ＢＩＯＳプログラムを格納した不揮発性メモリと、コンピュータネットワークを介した通信を可能とするネットワーク通信制御部と、電源のオンオフを制御する電源制御部とを備え、前記補助記憶装置は、ＯＳプログラムを起動するための起動プログラム、および、起動すべきＯＳプログラムを示すテーブル、を含むマスターブートレコードと、デフォルトで起動されるデフォルトＯＳプログラム、アプリケーションプログラム、および、データが格納されたデータ領域と、前記デフォルトＯＳプログラムから隠匿され前記デフォルトＯＳプログラムからアクセス不能とされた保護領域とを有する。

そして、上記データ消去方法は、前記デフォルトＯＳプログラム上で動作する消去管理プログラムを前記データ領域に予め格納するとともに、前記データ領域に格納された情報を消去するプログラムである消去実行プログラムを前記保護領域に予め格納しておき、さらに当該データ消去方法は、順に実行される次の各ステップ（１）〜（５）を含む。

（１）管理サーバから送信される消去命令を、消去管理プログラムがネットワーク通信制御部によりコンピュータに受信させるステップ
（２）消去命令を受信した場合に消去管理プログラムが、前記テーブルを書き換えることにより消去実行プログラムが起動ＯＳとしてアクティブになるようにするステップ
（３）テーブルを書き換えた後に消去管理プログラムが、電源制御部によりコンピュータに再起動を行わせるステップ
（４）再起動後に、書き換えられたテーブルに従って起動プログラムが消去実行プログラムを起動するステップ
（５）起動された消去実行プログラムにより、前記データ領域に格納された情報を消去するステップ

また、上記データ消去方法においても、前記本発明に係るデータ消去プログラムと同様に、好ましくは、前記消去命令を受信するため、消去管理プログラムが、ネットワーク通信制御部およびコンピュータネットワークを介した管理サーバへの周期的な照会を前記コンピュータに行わせ（次に述べるデータ消去機能を備えたコンピュータについても同様）、管理サーバは、当該コンピュータを対象とする消去要求を既に受け付けている場合に、前記照会に応えて消去命令を当該コンピュータへ送信する。

また、本願の第一の発明に係るデータ消去機能を備えたコンピュータは、プログラムを実行する演算処理装置と、前記演算処理装置が作業領域として使用する主記憶装置と、プログラムおよびデータを格納可能な補助記憶装置と、ＢＩＯＳプログラムを格納した不揮発性メモリと、前記コンピュータネットワークを介した通信を可能とするネットワーク通信制御部と、電源のオンオフを制御する電源制御部とを備え、前記補助記憶装置が、ＯＳプログラムを起動するための起動プログラム、および、起動すべきＯＳプログラムを示すテーブル、を含むマスターブートレコードと、デフォルトで起動されるデフォルトＯＳプログラム、アプリケーションプログラム、および、データが格納されたデータ領域と、前記デフォルトＯＳプログラムから隠匿され前記デフォルトＯＳプログラムからアクセス不能とされた保護領域とを有する。

そして当該コンピュータは、前記データ領域に格納され且つ前記デフォルトＯＳプログラム上で動作する消去管理プログラムと、前記保護領域に格納されたプログラムであり且つ前記データ領域に格納された情報を消去するプログラムである消去実行プログラムとを備え、前記消去管理プログラムは、前記ネットワーク通信制御部に前記消去命令を受信させるステップと、前記消去命令を受信した場合に、前記消去実行プログラムが起動ＯＳとしてアクティブになるように前記テーブルを書き換えるステップと、前記テーブルを書き換えた後に前記電源制御部に当該コンピュータを再起動させるステップとを当該コンピュータに実行させるものであり、前記消去実行プログラムは、前記コンピュータを再起動させるステップによって当該コンピュータが再起動され、前記書き換えられたテーブルに従って前記起動プログラムが当該消去実行プログラムを起動したときに、前記データ領域に格納された情報を消去するステップを当該コンピュータに実行させるものである。

〔第二の発明〕
本願の第二の発明に係るデータ消去プログラムは、携帯電話網を介したメッセージ通信により管理サーバから消去命令を受信したときにコンピュータ内に記憶された情報の消去を行わせるデータ消去プログラムであって、前記コンピュータは、プログラムを実行する演算処理装置と、前記演算処理装置が作業領域として使用する主記憶装置と、プログラムおよびデータを格納可能な補助記憶装置と、ＢＩＯＳプログラムを格納した不揮発性メモリと、電源のオンオフを制御する電源制御部と、ＳＩＭカードを含んで前記携帯電話網を介したメッセージ通信を可能とする電話網通信制御部と、前記携帯電話網を介して受信したメッセージを記憶するメッセージ記憶部とを備え、前記電話網通信制御部は、前記携帯電話網経由でメッセージを受信したときに当該メッセージを保存するとともに、当該コンピュータの電源が入っていない場合には前記電源制御部に当該コンピュータの電源を入れさせて当該コンピュータを起動し、前記補助記憶装置は、ＯＳプログラムを起動するための起動プログラム、および、起動すべきＯＳプログラムを示すテーブル、を含むマスターブートレコードと、デフォルトで起動されるデフォルトＯＳプログラム、アプリケーションプログラム、および、データが格納されるデータ領域と、前記デフォルトＯＳプログラムから隠匿され前記デフォルトＯＳプログラムからアクセス不能とされた保護領域とを有する。

そして、上記データ消去プログラムは、前記データ領域に格納され且つ前記デフォルトＯＳプログラム上で動作する消去管理プログラムと、前記保護領域に格納されたプログラムであり且つ前記データ領域に格納された情報を消去するプログラムである消去実行プログラムとを含み、前記消去管理プログラムは、前記保存されたメッセージが消去命令であるか判定するステップと、当該保存されたメッセージが消去命令である場合に、前記消去実行プログラムが起動ＯＳとしてアクティブになるように前記テーブルを書き換えるステップと、前記テーブルを書き換えた後に前記電源制御部に前記コンピュータを再起動させるステップとを前記コンピュータに実行させ、前記消去実行プログラムは、前記コンピュータを再起動させるステップによって前記コンピュータが再起動され、前記書き換えられたテーブルに従って前記起動プログラムが当該消去実行プログラムを起動したときに、前記データ領域に格納された情報を消去するステップを前記コンピュータに実行させる。

本願の第二の発明に係るデータ消去方法は、コンピュータに格納された情報の消去を求める消去要求を、前記コンピュータとは異なる機器から管理サーバが受け付け、当該消去要求に基づいて前記管理サーバが消去命令を前記コンピュータへ携帯電話網を介したメッセージ通信によって送信することにより、前記コンピュータ内に格納されている情報を消去するデータ消去方法であって、前記コンピュータは、プログラムを実行する演算処理装置と、前記演算処理装置が作業領域として使用する主記憶装置と、プログラムおよびデータを格納可能な補助記憶装置と、ＢＩＯＳプログラムを格納した不揮発性メモリと、電源のオンオフを制御する電源制御部と、ＳＩＭカードを含んで前記携帯電話網を介したメッセージ通信を可能とする電話網通信制御部とを備え、前記電話網通信制御部は、前記携帯電話網経由でメッセージを受信したときに当該メッセージを保存するとともに、当該コンピュータの電源が入っていない場合には前記電源制御部に当該コンピュータの電源を入れさせて当該コンピュータを起動し、前記補助記憶装置は、起動すべきＯＳプログラムを示すテーブルを含むマスターブートレコードと、ＯＳプログラムをロードする起動プログラム、デフォルトで起動されるデフォルトＯＳプログラム、および、当該デフォルトＯＳプログラム上で動作する消去管理プログラムが格納されたデータ領域と、前記デフォルトＯＳプログラムから隠匿され前記デフォルトＯＳプログラムからアクセス不能で、且つ前記データ領域に格納された情報を消去するプログラムである消去実行プログラムが格納された保護領域とを有する。

そして、上記データ消去方法は、順に実行される次の各ステップ（１）〜（１０）を含む。
（１）携帯電話網経由で管理サーバから送信されたメッセージを電話網通信制御部が受信して保存するステップ
（２）コンピュータの電源が入っていない状態でメッセージを受信した場合に電話網通信制御部が電源制御部を通じてコンピュータの電源を入れるステップ
（３）ＢＩＯＳプログラムにより、起動プログラムをロードするステップ
（４）起動プログラムにより、デフォルトＯＳプログラムを起動するステップ
（５）起動されたデフォルトＯＳプログラムにより、消去管理プログラムを起動するステップ
（６）起動された消去管理プログラムにより、前記保存されたメッセージが消去命令であるか判定するステップ
（７）メッセージが消去命令であると判定された場合に、消去実行プログラムが起動ＯＳとしてアクティブになるように消去管理プログラムによって前記テーブルを書き換えるステップ
（８）テーブルを書き換えた後に消去管理プログラムが電源制御部にコンピュータを再起動させるステップ
（９）再起動後に、書き換えらえたテーブルに従って起動プログラムが消去実行プログラムを起動するステップ
（１０）起動された消去実行プログラムによりデータ領域に格納された情報を消去するステップ

また、本願の第二の発明に係るデータ消去機能を備えたコンピュータは、プログラムを実行する演算処理装置と、前記演算処理装置が作業領域として使用する主記憶装置と、プログラムおよびデータを格納可能な補助記憶装置と、ＢＩＯＳプログラムを格納した不揮発性メモリと、電源のオンオフを制御する電源制御部と、ＳＩＭカードを含んで前記携帯電話網を介したメッセージ通信を可能とする電話網通信制御部と、前記携帯電話網を介して受信したメッセージを記憶するメッセージ記憶部とを備え、前記電話網通信制御部は、前記携帯電話網経由でメッセージを受信したときに当該メッセージを保存するとともに、当該コンピュータの電源が入っていない場合には前記電源制御部に当該コンピュータの電源を入れさせて当該コンピュータを起動し、前記補助記憶装置は、ＯＳプログラムを起動するための起動プログラム、および、起動すべきＯＳプログラムを示すテーブル、を含むマスターブートレコードと、デフォルトで起動されるデフォルトＯＳプログラム、アプリケーションプログラム、および、データが格納されたデータ領域と、前記デフォルトＯＳプログラムから隠匿され前記デフォルトＯＳプログラムからアクセス不能とされた保護領域とを有する。

そして当該コンピュータは、前記データ領域に格納され且つ前記デフォルトＯＳプログラム上で動作する消去管理プログラムと、前記保護領域に格納されたプログラムであり且つ前記データ領域に格納された情報を消去するプログラムである消去実行プログラムとを備え、前記消去管理プログラムは、前記電話網通信制御部によって保存されたメッセージが消去命令であるか判定するステップと、当該メッセージが消去命令である場合に、前記消去実行プログラムが起動ＯＳとしてアクティブになるように前記テーブルを書き換えるステップと、前記テーブルを書き換えた後に前記電源制御部に前記コンピュータを再起動させるステップとを前記コンピュータに実行させ、前記消去実行プログラムは、前記コンピュータを再起動させるステップによって前記コンピュータが再起動され、前記書き換えられたテーブルに従って前記起動プログラムが当該消去実行プログラムを起動したときに、前記データ領域に格納された情報を消去するステップを前記コンピュータに実行させる。

〔第三の発明〕
本願の第三の発明に係るデータ消去プログラムは、前記第二の発明に係るデータ消去プログラムにおいて、消去命令が、データ消去を指示する消去命令文と、管理サーバによって周期的に更新される変動パスワードとを含む。そして、前記消去管理プログラムは、管理サーバと周期的に通信を行って当該管理サーバから変動パスワードを取得し、当該取得した変動パスワードを保存するステップと、前記メッセージとして消去命令を受信した場合に、当該消去命令に含まれる変動パスワードと保存してある変動パスワードと比較するステップを前記コンピュータに実行させ、当該消去命令に含まれる変動パスワードと前記保存してある変動パスワードとが一致した場合に、当該消去命令を真正なものと判定して、前記テーブルを書き換えるステップと、前記コンピュータを再起動させるステップを前記コンピュータに実行させる。

なお、上記変動パスワード（後述の実施形態におけるマスク値）は、管理サーバによって周期的に変更されユーザのコンピュータ（クライアント装置）に付与される当該コンピュータに固有の識別情報で、例えば、複数の数字や文字、記号等からなるものである。この変動パスワードを消去命令に含ませることにより、当該消去命令の真正性を高めることができ、偽メッセージ（ニセの消去命令）によってユーザの意に反してデータ消去が行われることを防ぐことが出来る。

また、本願の第三の発明に係るデータ消去方法は、前記第二の発明に係るデータ消去方法において、消去命令が、データ消去を指示する消去命令文と、管理サーバによって周期的に更新される変動パスワードとを含む。そして、この第三の発明に係るデータ消去方法は、消去管理プログラムにより管理サーバと周期的に通信を行って当該管理サーバから変動パスワードを取得し且つ当該取得した変動パスワードを保存するステップをさらに含み、前記保存されたメッセージが消去命令であると判定された場合に、消去管理プログラムがさらに、当該受信した消去命令に含まれる変動パスワードと前記保存してある変動パスワードと比較し、当該受信した消去命令に含まれる変動パスワードと前記保存してある変動パスワードとが一致した場合に、当該消去命令が真正なものと判定して、前記テーブルを書き換えるステップと前記コンピュータを再起動させるステップを前記コンピュータに実行させる。

さらに、本願の第三の発明に係るデータ消去機能を備えたコンピュータは、前記第二の発明に係るデータ消去機能を備えたコンピュータにおいて、消去命令が、データ消去を指示する消去命令文と、管理サーバによって周期的に更新される変動パスワードとを含み、前記消去管理プログラムは、前記管理サーバと周期的に通信を行って当該管理サーバから前記変動パスワードを取得し、当該取得した変動パスワードを保存するステップを前記コンピュータに実行させる。また、この消去管理プログラムは、前記メッセージとして前記消去命令を受信した場合に、当該消去命令に含まれる変動パスワードと前記保存してある変動パスワードと比較するステップを前記コンピュータに実行させるとともに、当該消去命令に含まれる変動パスワードと前記保存してある変動パスワードとが一致した場合に、当該消去命令を真正なものと判定して、前記テーブルを書き換えるステップと、前記コンピュータを再起動させるステップとを前記コンピュータに実行させる。

また、上記第一から第三の発明では、情報を画面上に表示する表示装置を前記コンピュータが備え、前記消去実行プログラムは、当該消去実行プログラムの起動時、ならびに、当該消去実行プログラムがデータ領域に格納された情報を消去する間に、当該表示装置の画面上に何も表示させないことが好ましい。

当該コンピュータを取得した者に、データの消去処理を行っていることを気付かせないようにするためである。ＯＳプログラムやアプリケーションプログラムを起動する場合には、一般に固有の起動画面が表示されるが、本発明において消去実行プログラムによるデータの消去処理を行う場合には、このような画面表示を一切行わないようすることにより当該コンピュータの取得者によって邪魔されることなく、データの消去をより確実に行うことが可能となる。

なお、消去管理プログラムは、前述のように周期的に管理サーバに照会を行うため、典型的に、常駐ソフトウェアとして当該コンピュータ（前記デフォルトＯＳプログラム）が起動されているときには常に起動状態にあるが、上記消去実行プログラムと同様の観点および当該コンピュータを使用するユーザの日常業務の妨げとならないようにバックグランドで動作させる。

また、本発明において前記補助記憶装置は、典型的にはハードディスク装置（以下「ＨＤＤ」と称することがある）であり、消去実行プログラムが消去を行う範囲は、典型的にはデータ領域のすべて（データ領域に格納されている全情報、即ちデータ領域内の総てのプログラムとデータ）とするが、特定のパーティションや、フォルダ（例えばマイドキュメント、メールのアドレス帳、デスクトップ、ユーザが作成した重要フォルダ等）、ファイル等のみを消去の対象とすることも可能である。さらに、当該消去対象にＰＣに接続されている総ての外部記憶装置（例えばメモリカードやＵＳＢメモリ、外付ＨＤ等）を含め、このような外部記憶装置内のデータを同時に消去するようにしても良い。

データの消去方式は特に問わない。例えば、ゼロ書込み方式（ゼロ値で書込み）、乱数書込み方式（乱数値で書込み）、乱数＋ゼロ書込み方式（乱数値で書込み後、ゼロ値で書込み）、米国国家安全保障局（ＮＳＡ）方式、３回書込み、米国国防省（ＤｏＤ５２２０．２２−Ｍ）方式（３回書込み）、米国陸軍方式（ＵＳ Ａｒｍｙ）、米国海軍方式（ＵＳ Ｎａｖｙ）、米国空軍方式（Ａｉｒ Ｆｏｒｃｅ）、北大西洋条約機構方式（ＮＡＴＯ）、米国コンピュータセキュリティセンター方式（ＮＣＳＣ）、グートマン方式（Ｇｕｔｍａｎｎ方式で３５回）、その他の方式であっても良い。

なお、データの消去は、ファイルデータの実体を実際に上書き等で削除することが望ましいが、ディレクトリなど管理領域からの削除や属性変更などにより不可視にするのでも良い。

さらに、本発明に係るデータ消去管理サーバは、前記第三の発明に関連するもので、コンピュータ内に格納されている情報を消去する消去命令を、携帯電話網を介して当該コンピュータに送信することにより当該コンピュータに前記情報を消去させる管理サーバであって、次のような構成を有する。

前記消去命令が、データ消去を指示する消去命令文と、前記管理サーバによって周期的に更新される変動パスワードとを含み、当該管理サーバは、変動パスワードを生成する変動パスワード生成部と、変動パスワードを記憶する変動パスワード記憶部と、前記コンピュータへ次回送信する変動パスワードである次回変動パスワードを記憶する次回変動パスワード記憶部と、変動パスワードを前記コンピュータへ送信する変動パスワード伝達部と、前記コンピュータとは異なる他の機器から送信された、前記コンピュータ内に格納された情報の消去を要求する消去要求を受け付ける消去要求受付部と、前記消去要求を受けたときに、変動パスワード記憶部に格納された変動パスワードを当該変動パスワード記憶部から取得し、当該変動パスワードと前記消去命令文とを含む消去命令を生成して当該消去命令を携帯電話網を介して前記コンピュータへ送信する消去命令生成伝達部とを備える。

さらに上記管理サーバでは、変動パスワード生成部は、変動パスワード伝達部が前記コンピュータへ変動パスワードを送信した場合に、次回変動パスワード記憶部に格納されている次回変動パスワードを当該次回変動パスワード記憶部から取得して変動パスワード記憶部内の変動パスワードに上書き保存するとともに、変動パスワード伝達部が前記コンピュータへ送信した変動パスワードと異なる変動パスワードを次回変動パスワードとして生成して次回変動パスワード記憶部内の次回変動パスワードに上書き保存する。

本発明によれば、ユーザに処理負担をかけることなく、ノートパソコンなどの情報機器のデータセキュリティをより一層向上させることが出来る。

本発明の他の目的、特徴および利点は、図面に基づいて述べる以下の本発明の実施の形態の説明により明らかにする。なお、各図中、同一の符号は、同一又は相当部分を示す。

図１は、本発明の第１の実施形態に係るデータ消去システム（特にクライアント装置であるノートパソコンの構成）を示す図である。 図２は、前記第１実施形態におけるノートパソコンおよび管理サーバを機能面から把握して示すブロック図である。 図３は、前記第１実施形態におけるノートパソコンの登録情報記憶部を示す図である。 図４は、前記第１実施形態におけるノートパソコンのデータ消去処理を示すフローチャートである。 図５は、本発明の第２の実施形態におけるノートパソコンおよび管理サーバを機能面から把握して示すブロック図である。 図６は、前記第２実施形態におけるノートパソコンの登録情報記憶部を示す図である。 図７は、前記第２実施形態のノートパソコンのデータ消去処理を示すフローチャートである。

〔第１実施形態〕
図１に示すように本発明の第１の実施形態に係るデータ消去システムは、本発明に係るデータ消去機能を備えたコンピュータ（この例の場合はノートＰＣ）１１と、管理サーバ３１と、ネットワーク通信機能を備えた電子機器（他の機器）５１とを含み、例えば置き忘れや盗難などによりノートＰＣ１１を紛失した場合に、コンピュータネットワーク（実施形態の場合、インターネット）１０を介して他の機器５１から管理サーバ３１へ消去要求を送信することにより、ノートＰＣ１１に格納されている情報を消去することを可能とするものである。

なお、管理サーバ３１は、複数のユーザがそれぞれ所有する複数のコンピュータをクライアント装置として管理しており、上記ノートＰＣ１１はこれら複数のクライアント装置のうちの一台である。

ノートＰＣ１１は、バス６で互いに接続された、演算処理装置（ＣＰＵ）１と、主記憶装置（ＲＡＭ（Random Access Memory）からなるメインメモリ）２と、ＢＩＯＳプログラムを格納した不揮発性メモリ（ＢＩＯＳ ＲＯＭ）１５と、ハードディスクドライブ（ＨＤＤ）からなる補助記憶装置３と、インターネット１０との接続を可能とするネットワーク通信制御部（ネットワークインターフェース）２２と、キーボードやマウスを含む入力装置４と、液晶ディスプレイからなる表示装置５とを有する。

ＨＤＤ３は起動ディスクであり、ＰＣ１１の起動時に最初に読み込まれる先頭セクタであるＭＢＲ（Master Boot Record／マスターブートレコード）と、既定ＯＳ（デフォルトで起動するＯＳ）やアプリケーションプログラム、データ等を格納可能なデータ領域と、既定ＯＳから隠匿され既定ＯＳからアクセス不能な保護領域とを有する。なお、この例ではＨＤＤ３のデータ領域は単一の領域として示しているが、複数のパーティションに区分されていても勿論良く、前述したように全パーティションをデータ消去の対象とすることも或いは一部のみのパーティションをデータ消去の対象とすることも可能である。

ＭＢＲには、ＯＳを起動するブートローダ（起動プログラム）を格納してある。データ領域には、例えばＷｉｎｄｏｗｓ（登録商標）、Ｍａｃ ＯＳ又はＬｉｎｕｘ（登録商標）等の既定ＯＳや、当該既定ＯＳ上で動作する各種のアプリケーションプログラム、ユーザが作成したデータを含む様々なデータを格納が格納される。本発明における消去管理プログラム（当該プログラムによる動作・処理は後述する）はこのデータ領域に格納する。保護領域は、ＨＰＡ（Host Protected Area／ホスト保護領域）などと称され、ＢＩＯＳレベルで保護される領域で、本発明における消去実行プログラム（以下「消去ＯＳ」と言う）はこの保護領域に格納する。

図２はノートＰＣ１１を機能面から把握したブロック図である。この図に示すように本実施形態におけるノートＰＣ１１は、管理サーバ３１に対してユーザ登録を行う登録設定部１２と、ユーザを識別する情報であるユーザＩＤや当該ノートＰＣ１１を識別する情報であるマシンＩＤを記憶するＩＤ記憶部１３と、管理サーバ３１とインターネット１０を介した通信を行って消去命令が存在するか検出（照会）を行う消去命令検出部２０と、当該管理サーバ３１への照会時期を設定するタイマ２１と、ノートＰＣ１１の電源を制御する電源制御部１４と、インターネット１０の通信インターフェースであるネットワーク通信制御部２２と、ＢＩＯＳ１５と、ＯＳ起動部１６と、起動ＯＳ記憶部１７と、既定ＯＳ１８と、データ消去部（消去ＯＳ）１９とを備えている。

ＢＩＯＳ１５は前記不揮発性メモリに格納されたＢＩＯＳプログラムからなり、ＯＳ起動部１６は前記ブートローダにより構成する。起動ＯＳ記憶部１７は前記ＭＢＲ内のパーティションテーブルにより構成し、登録設定部１２および消去命令検出部２０は消去管理プログラムにより実現する。なお、前記図１に示したように既定ＯＳと、消去命令検出部２０等を実現する消去管理プログラムは、共に、ＨＤＤ３のデータ領域に格納し、データ消去部（消去ＯＳ）１９はＨＤＤ３の保護領域に格納するが、図２では、ＨＤＤ３のデータ領域を消去する消去ＯＳ１９の機能を示すため、これら各部とは別にＨＤＤ３を一つのブロックとして図に示している（後述の図５についても同様）。

一方、管理サーバ３１は、ユーザ登録を受け付ける登録受付部３２と、ユーザや消去の対象となるＰＣ１１に関する情報、当該ＰＣ１１が紛失状態にあるかを示す情報などを記憶する登録情報記憶部３３と、前記他の機器５１から送信される消去要求を受け付ける消去要求受付部３５と、データ消去の対象となるノートＰＣ１１へ消去命令を送信する消去命令伝達部３６と、インターネット通信のインターフェースであるネットワーク通信制御部３７とを備えている。また、登録情報記憶部３３は、前記他の機器５１から消去要求を受けた場合に当該ノートＰＣ１１が紛失状態にあることを示す情報を記憶する紛失状態記憶部３４を有する。この紛失状態を示す情報は、具体的には図３に示すように、紛失フラグとして、ユーザＩＤ、パスワードおよびマシンＩＤと関連付けられて登録情報記憶部３３に記憶される。

〔導入と設定〕
本実施形態のシステムによるサービスを利用するにあたっては、対象とするノートＰＣ等のコンピュータ１１に、前記データ消去プログラム（消去管理プログラムおよび消去実行プログラム）を予めインストールしておく。なお、このインストールは、ＰＣの購入後ユーザ自身が行っても良いし、例えばメーカーがＰＣの販売前に当該ＰＣに行っておいても（プリインストールしておいても）構わない。

また、ユーザや消去管理プログラムが管理サーバ３１と通信するときには、ユーザの識別や認証に個別のユーザＩＤを用いる。ユーザＩＤは、例えばパッケージソフトウェアとして又は購入サイトへアクセスして、本サービス（データ消去プログラム）の購入契約を行うとき或いはダウンロードによりデータ消去プログラムを提供するときにユーザに付与する。ユーザＩＤの発行のタイミングや用途は自由であるが、例えば企業ユーザの場合、システム管理者にユーザＩＤを一つ発行し、それをもとにライセンス契約台数分のインストールや登録を認めるようにすることが出来る。

〔ユーザ登録〕
上記のようなシステム管理者や個人ユーザは、当該データ消去プログラムのインストールの前後など適宜なタイミングで管理サーバ３１の設定用ウェブサイト（登録受付部３２）にアクセスし、前記ユーザＩＤをもとにユーザ登録や、パスワード、管理するＰＣの台数等を設定する。管理サーバ３１の登録受付部３２は、ユーザＩＤとパスワードとマシンＩＤを対応付けて登録情報記憶部（ユーザデータベース）３３に格納することによりユーザ登録を行う。

なお、本システムでは、ひとりのユーザ（例えば企業ユーザ）が複数台のＰＣについてサービスを利用することが可能であり、この場合、管理サーバは、単一のユーザＩＤ（およびパスワード）のもとで複数台のＰＣを管理する。これら複数台のＰＣには、識別のため互いに異なるマシンＩＤをそれぞれ付与する。

また、登録受付部３２は、ユーザ識別用の一つのユーザＩＤと対応付けて当該ユーザに係る複数のＰＣを識別するための複数のマシンＩＤを登録情報記憶部３３に格納することで登録を行い、消去要求受付部３５は、マシンＩＤで消去の対象とするＰＣ１１を特定することにより消去要求を受け付け、消去命令伝達部３６はそのように特定されたマシンＩＤに対応するＰＣ１１へ消去命令を伝達する。

このように、一つのユーザＩＤをもとに、ユーザが管理している社用等の複数のＰＣごとにマシンＩＤを対応付けて管理することにより、一つのパスワードによる一元管理を円滑容易に実現することが出来る。なお、個人ユーザ（例えば複数台のＰＣを所有している個人）に対しても同様の処理を行うことが可能である。

データ消去プログラムのインストールとユーザ登録を行った後には、ユーザは、ユーザＩＤとパスワードにより管理サーバ３１で認証を受け、マシンＩＤで対象のＰＣ１１を特定してデータ消去を行うことが出来る。また管理サーバ３１は、紛失したＰＣ１１が見つかった場合などに備えて、一旦受け付けた消去要求の解除（紛失状態記憶部３４内の紛失フラグのオンからオフへの切換え）を登録受付部３２を介して受け付けることが可能である。さらに、パスワードの変更や、マシンＩＤの削除・再発行要求、契約の更新・変更・解除なども登録受付部３２を介して管理サーバ３１は受け付ける。

〔消去要求の受付〕
そして万一、置き忘れや盗難によってＰＣ１１を紛失した場合には、ユーザは、例えば職場や自宅などにある他の機器５１からインターネット１０を通じて管理サーバ３１にアクセスし、データの消去要求を消去要求受付部３５へ送信する。なお、消去要求を送信する当該他の機器５１は、例えば他のパーソナルコンピュータやスマートフォン、携帯電話機などであって良く、管理サーバ３１と通信が可能なものであれば特に問わない。

一方、消去要求を受信した管理サーバ３１の消去要求受付部３５は、ユーザから送信されたユーザＩＤおよびパスワードと、登録情報記憶部３３に格納されているユーザＩＤおよびパスワードとを比較することによりユーザ認証を行い、さらに、複数のＰＣを登録しているユーザの場合にはマシンＩＤの指定を受け付けることにより消去の対象を特定する。認証が成功すると消去要求受付部３５は、紛失状態記憶部３４内の、対象となる（当該ユーザＩＤ又は当該マシンＩＤに関連付けられている）紛失フラグをオンにする（紛失フラグを立てる）。

〔消去命令の伝達〕
管理サーバ３１からノートＰＣ１１への消去命令の伝達は次のように行う。
ノートＰＣ１１の消去命令検出部２０は、ネットワーク通信制御部２２およびインターネット１０を介して、管理サーバ３１への通信による状態照会を周期的に試行する。そして、この通信に成功して自身（当該ノートＰＣ１１）が紛失状態であると管理サーバ３１に登録されていること（紛失状態記憶部３４内の対象となる紛失フラグがオンになっていること）を確認した場合に消去命令を受領したとみなして、ＨＤＤ３内のデータ領域に記憶されている全情報（プログラムおよびデータ）を消去ＯＳ１９に消去させる。

すなわち、ノートＰＣ１１内の消去命令検出部（消去管理プログラム）２０は、認証完了後には紛失の有無とは無関係に随時（例えばＯＳ起動時および一定時間おきに）、データ消去を行うかの照会（問合せ）を、ＩＤ記憶部１３から取得したマシンＩＤを添付してインターネット接続により管理サーバ３１へ送信する。この問合せに対して管理サーバ３１の消去命令伝達部３６は、問合せ元であるノートＰＣ１１をマシンＩＤで識別のうえ、登録情報記憶部３３（紛失状態記憶部３４）内の該当するマシンＩＤに対応する紛失フラグがオン（ＯＮ）となっているかオフ（ＯＦＦ）となっているか回答する。そして、当該フラグがオンの場合、上記問合せの回答として消去命令伝達部３６は消去命令をノートＰＣ１１へ送信し、ノートＰＣ１１はデータの消去を行う。

なお、上記消去管理プログラムは、既定ＯＳとともに起動されて既定ＯＳの起動中バックグランドで動作する常駐ソフトウェアであり、ＰＣ１１の起動時のほか、タイマ２１によってカウントされた一定時間（例えば６時間や２４時間等）を経過した場合に管理サーバ３１に対する上記照会を行う。

〔ノートＰＣにおけるデータ消去処理〕
ノートＰＣ１１における消去処理は、当該ＰＣ１１を強制的に再起動させ、この再起動時に既定ＯＳに代えて消去ＯＳを起動させることにより行う。図４は当該ノートＰＣ１１の起動シーケンスを示すものであるが、この図をも参照してノートＰＣ１１における消去処理について説明する。なお、以下の説明は、紛失時にノートＰＣ１１の電源が入っていない場合を想定して行うが、電源が入っている状態でＰＣ１１を紛失した場合は、後述のステップＳ１０６以降の処理が行われることとなる。

まず、紛失したＰＣ１１の電源が例えば当該ＰＣ１１の取得者によって入れられると（ステップＳ１０１）、通常のブートシーケンスに従って、ＢＩＯＳプログラム１５がＰＯＳＴ（Power On Self Test／初期化処理）を実行し、起動ドライブ（本実施形態の場合ＨＤＤ３）を検索した後、ＭＢＲ内のブートローダ（起動プログラム／ＯＳ起動部１６）を主記憶装置（ＲＡＭ）２にロードする（ステップＳ１０２）。ＢＩＯＳ１５はブートローダに制御を移し、ブートローダ（ＯＳ起動部１６）がＭＢＲ内のパーティションテーブル（起動ＯＳ記憶部１７）を参照して起動すべきＯＳを決定する（ステップＳ１０３）。このとき、当該パーティションテーブルでは既定ＯＳ１８がアクティブにされているから、ブートローダ（ＯＳ起動部１６）は既定ＯＳ（例えばＷｉｎｄｏｗｓ（登録商標））１８を起動する（ステップＳ１０４）。

既定ＯＳ１８が起動されると、本発明に係る消去管理プログラム（消去命令検出部２０）が立ち上げられる（ステップＳ１０５）。消去管理プログラム（消去命令検出部２０）は、この起動時に管理サーバ３１に接続して前記照会（紛失状態の問合せ）を行う（ステップＳ１０６）。紛失状態であることが管理サーバ３１に登録されていなければ、消去命令検出部２０はタイマ２１をリセットする。そして、当該タイマ２１は、予め設定された一定時間が経過すると消去命令検出部２０に対して上記照会を行うよう通知する。これにより消去命令検出部２０は、管理サーバ３１への上記照会を周期的に繰り返し行う。

一方、紛失状態であることが管理サーバ３１に登録されていれば、消去管理プログラム（消去命令検出部２０）は既定ＯＳ１８に代えて消去ＯＳ１９がアクティブになるように起動ＯＳ記憶部（ＭＢＲのパーティションテーブル）１７を書き換えた後（ステップＳ１０８）、電源制御部１４を通じて当該ＰＣ１１を強制終了させ再起動させる（ステップＳ１０９）。

ＰＣ１１が再起動されると、再び、ＢＩＯＳプログラム１５がＰＯＳＴを実行し、起動ドライブ（ＨＤＤ３）を検索した後、ＭＢＲ内のブートローダ１６をロードする（ステップＳ１０２）。ＢＩＯＳ１５はブートローダ１６に制御を移し、ブートローダ（ＯＳ起動部１６）がＭＢＲ内のパーティションテーブル（起動ＯＳ記憶部１７）を参照して起動すべきＯＳを決定する（ステップＳ１０３）。このとき、当該パーティションテーブルでは、前記消去管理プログラムによる書き換えによって消去ＯＳ１９がアクティブにされているから、ブートローダ１６は消去ＯＳ１９を起動する（ステップＳ１１０）。そして、起動された消去ＯＳ１９によりＨＤＤ３のデータ領域の全情報が消去された後、電源制御部１４によってＰＣ１１の電源が切られる（ステップＳ１１１）。これによりデータ消去が完了する。

なお、消去ＯＳは、起動中および上記データ消去中にＰＣ１１のディスプレイ５に何の表示も行わせない。ＰＣ１１の取得者によってデータ消去が邪魔されることを防ぐためである。また、消去ＯＳは、データ消去を完了せず途中で終了された場合にも次に起動されたときには引き続きデータ処理を行う。したがって、例えば、消去ＯＳがデータ消去処理を行っている途中でバッテリが引き抜かれるなどＰＣ１１の電源が強制的に切断されたとしても、ＭＢＲ内では消去ＯＳがアクティブになっているから、次回電源を入れたときには、既定ＯＳに代えて再び消去ＯＳが起動され、当該消去ＯＳによって引き続きデータ消去が行われることとなる。

このように本実施形態によれば、クライアント装置１１に消去機能を組み込み、そのクライアント装置１１をユーザに対応付けて管理サーバ３１で予め登録を行った後、ユーザからの消去要求を受け付けてクライアント装置１１に伝達することで、ノートＰＣ１１の紛失時など対象機器１１を操作できない場合であっても、業務やプライバシー等に関わるデータを、いつでもどこからでも容易かつ確実に消去することが可能となる。

〔第２実施形態〕
図５は本発明の第２の実施形態に係るデータ消去システムを示すもので、同図に示すようにこのシステムは、前記第１実施形態と同様に、コンピュータネットワーク（インターネット）１０を介して互いに通信可能なクライアント装置（ノートＰＣ）１１と、管理サーバ３１と、他の機器５１とを含み、クライアント装置１１を紛失した場合に、他の機器５１から管理サーバ３１へ消去要求を送信することにより、管理サーバ３１から消去命令をクライアント装置１１に伝達することによりクライアント装置１１内に格納されているデータを消去するものであるが、前記第１実施形態と異なり、クライアント装置１１が携帯電話網５０を介したメッセージ通信を可能とするＳＩＭカード２４を備えることで、クライアント装置１１の電源が入っていない場合にも当該メッセージ通信によってクライアント装置１１の電源を強制的に入れてデータ消去を行うことを可能とするものである。

以下、前記第１実施形態と同一又は相当する構成には同一の符号を付して重複した説明を省略し、前記第１実施形態との相違点を中心に本実施形態を説明する。

〔ノートＰＣ〕
図５に示すようにクライアント装置であるノートＰＣ１１は、前記第１実施形態のＰＣと同様に、登録設定部１２、ＩＤ記憶部１３、電源制御部１４、ＢＩＯＳ１５、ＯＳ起動部１６、起動ＯＳ記憶部１７、既定ＯＳ１８、データ消去部（消去ＯＳ）１９、消去命令検出部２０、ネットワーク通信制御部２２を備えるが、さらに、ＳＩＭカード２４を含んで携帯電話網５０を介した通信を可能とする電話網通信制御部２３と、当該電話網通信制御部２３を通じて受信したＳＭＳによるメッセージを記憶するメッセージ記憶部２５と、管理サーバ３１によって生成される変動パスワードであるマスク値を取得するマスク値取得部２６と、当該マスク値を記憶するマスク値記憶部２７とを有する。

なお、本実施形態のノートＰＣ１１も、前記第１実施形態のノートＰＣ（図１）と同様にＨＤＤ３のデータ領域に消去管理プログラムを、またＨＤＤ３の保護領域に消去ＯＳをそれぞれ格納し、上記消去命令検出部２０やマスク値取得部２６は、当該消去管理プログラムによって実現する。また、上記ＳＩＭカード２４には常時（当該ＰＣ１１の電源を切った状態においても）ＰＣ１１のバッテリ（図示せず）から給電が行われており、上記電話網通信制御部２３はＰＣ１１の電源を切った状態においてもＳＭＳによるメッセージを受信可能な所謂待ち受け状態になっている。

また、電話網通信制御部２３は、ＰＣ１１の電源が入っている状態でＳＭＳによるメッセージを受信した場合には、当該メッセージをメッセージ記憶部２５に格納するとともに、メッセージを受信したことを消去命令検出部２０に通知する。この通知を受けて消去命令検出部２０は、メッセージ記憶部２５内に消去命令に係るメッセージが格納されていないか検索を行う。一方、ＰＣ１１の電源が入っていない状態でメッセージを受信した場合には、電話網通信制御部２３は、当該メッセージをメッセージ記憶部２５に格納するとともに、電源制御部１４を介してＰＣ１１の電源を入れる。また、消去命令検出部２０は、上記電話網通信制御部２３からの通知を受けた場合のほか、ＰＣ１１の起動時にもメッセージ記憶部２５内に消去命令に係るメッセージが格納されていないか検索を行う。

消去命令（メッセージ）は、消去命令文とマスク値とを含んでおり、消去命令検出部２０は、当該メッセージに含まれるマスク値がマスク値記憶部２７内に格納されているマスク値と一致するか判定を行い、一致する場合に当該消去命令が真正なものとして、起動ＯＳ記憶部１７の書換え（既定ＯＳに代え消去ＯＳをアクティブにする）、ノートＰＣ１１の再起動を行う。

〔管理サーバ〕
管理サーバ３１は、前記第１実施形態と同様に、登録受付部３２、登録情報記憶部３３、消去要求受付部３５、および、ネットワーク通信制御部３７を備えるが、さらに、前記マスク値をクライアント装置１１に伝達するマスク値伝達部４０と、マスク値を生成するマスク値生成部４１と、ＳＭＳのメッセージとして消去命令を生成してクライアント装置１１へ送信する消去命令生成伝達部３９とを有する。

また、登録情報記憶部３３は、紛失状態記憶部３４のほか、マスク値を記憶するマスク値記憶部４２と、次回にクライアント装置１１に伝達するマスク値を記憶する次回マスク値記憶部４３とを備え、図６に示すように当該登録情報記憶部３３は、ユーザＩＤと、パスワードと、マシンＩＤと、紛失フラグ（紛失状態を示す情報）と、マスク値と、次回マスク値と、前記クライアント装置が備えるＳＩＭカードの回線番号（電話番号）と関連付けて記憶する。

なお、上記マスク値は、管理サーバ３１によって周期的に変更される当該クライアント装置（各ユーザの各コンピュータ）１１に固有の情報で、例えば複数の数字や文字、記号等からなり、消去命令のセキュリティを高めるものである。なお、マスク値の生成は、例えば乱数列の生成によって行うことが出来る。

〔マスク値の更新〕
ノートＰＣ１１内のマスク値取得部（消去管理プログラム）２６は、紛失の有無とは無関係に、タイマ２１によって設定された一定の時間ごとに（例えば２週間或いは１ヶ月等ごとに）ネットワーク通信制御部２２およびインターネット１０を通じて管理サーバ３１と通信を行い、マスク値の取得要求を送信することにより新たなマスク値の取得を試行する。この取得要求には、マスク値取得部２６がＩＤ記憶部１３から取得したマシンＩＤを含める。

この取得要求に対して管理サーバ３１のマスク値伝達部４０は、要求元であるノートＰＣ１１をマシンＩＤで識別したうえで、次の（１）〜（３）の処理を順に行う。
（１）登録情報記憶部３３内のマスク値記憶部４２に格納されているマスク値を新たなマスク値としてノートＰＣ１１へ送信する。
（２）次回マスク値記憶部４３からマスク値を取得してこのマスク値をマスク値記憶部４２内のマスク値に上書き保存することでマスク値記憶部４２内のマスク値を新たな値に更新する。
（３）マスク値生成部４１に新たなマスク値を生成させる。マスク値生成部４１は新たなマスク値を生成すると、これを次回マスク値記憶部４３に上書き保存することにより次回マスク値記憶部４３内のマスク値を更新する。

なお、本サービスを開始するとき（ユーザ登録時）には、例えば、マスク値生成部４１に２つの異なるマスク値を生成させ、それらのうちの一方をユーザに渡し、他方を登録情報記憶部３３内のマスク値記憶部４２に格納しておけば良い。

一方、上記処理（１）により新たなマスク値の送信を受けたノートＰＣ１１のマスク値取得部２６は、この新たなマスク値をマスク値記憶部２７に上書き保存することでマスク値の更新を行う。

〔消去要求の受付〕
そして万一、ＰＣ１１を紛失した場合には、前記第１実施形態と同様に、ユーザは他の機器５１からインターネット１０を通じて管理サーバ３１にアクセスし、データの消去要求を消去要求受付部３５へ送信する。一方、消去要求を受信した管理サーバ３１の消去要求受付部３５は、ユーザから送信されたユーザＩＤおよびパスワードによって認証を行い、複数のＰＣを登録しているユーザの場合にはマシンＩＤの指定を受け付けることにより消去の対象を特定する。認証が成功すると消去要求受付部３５は、紛失状態記憶部３４内の対象となる紛失フラグをオンにするとともに、消去命令生成伝達部３９に消去要求があった旨通知する。

〔消去命令の生成及び伝達〕
消去要求受付部３５から上記通知を受けた消去命令生成伝達部３９は、登録情報記憶部３３内のマスク値記憶部４２からマスク値を取得し、当該マスク値と消去命令文とを含んだ消去命令をＳＭＳのメッセージとして生成する。そして、消去命令生成伝達部３９は、登録情報記憶部３３から当該ノートＰＣ１１の電話番号（ＳＩＭカード２４の回線番号）を取得してその番号に発信し、消去命令に係るメッセージを携帯電話網５０を介して送信する。

なお、この消去命令の発信は、ノートＰＣ１１からの応答が無い場合（例えばＰＣ１１が通話圏外にある場合や故障している場合、ＰＣの電源が零の場合等）には、ＰＣ１１からの応答があるまで予め定められた回数だけ送信を繰り返す。そして、当該所定の回数発信を繰り返してもノートＰＣ１１からの応答がない場合には、消去命令生成伝達部３９は、例えば消去要求受付部３５、ネットワーク通信制御部３７およびインターネット１０を介して前記他の機器５１へ電子メールによりその旨通知するようにしても良い。この場合、ユーザ登録時に登録情報記憶部３３にユーザのメールアドレスを登録しておく。

〔ノートＰＣにおけるデータ消去処理〕
消去命令のメッセージを受信したノートＰＣ１１は、当該消去命令が真正なものであるかマスク値によって判定し、真正なものである場合には前記第１実施形態と同様に起動シーケンスを変更したうえでＰＣ１１を再起動させ、既定ＯＳに代え消去ＯＳを立ち上げてデータ消去を行う。具体的には次のとおりである。なお、図７をも参照して行う以下の説明は、紛失時にノートＰＣ１１の電源が入っていない場合を想定したものであるが、電源が入った状態でＰＣ１１を紛失した場合は、後述のステップＳ２０６以降の処理が行われることとなる。

まず、メッセージの着信によりノートＰＣ１１の電話網通信制御部２３は、当該メッセージをメッセージ記憶部２５に格納するとともに、電源制御部１４を介して当該ＰＣ１１の電源を入れる（図７のステップＳ２０１）。電源が入れられると、通常のブートシーケンスに従って、ＢＩＯＳプログラム１５がＰＯＳＴを実行し、起動ドライブ３を検索した後、ＭＢＲ内のブートローダ１６をロードする（ステップＳ２０２）。ＢＩＯＳ１５はブートローダ１６に制御を移し、ブートローダ（ＯＳ起動部）１６がＭＢＲ内のパーティションテーブル（起動ＯＳ記憶部）１７を参照して起動すべきＯＳを決定する（ステップＳ２０３）。このとき、当該パーティションテーブル１７では既定ＯＳ１８がアクティブにされているから、ブートローダ１６は既定ＯＳ１８を起動する（ステップＳ２０４）。

既定ＯＳ１８が起動されると、消去管理プログラム（消去命令検出部２０）が立ち上げられ（ステップＳ２０５）、消去管理プログラム（消去命令検出部２０）は、メッセージ記憶部２５内に格納されているメッセージをチェックし（ステップＳ２０６）、消去命令に係る（消去命令に係るコマンドを含んだ）メッセージがあるか確認する（ステップＳ２０７）。メッセージ記憶部２５内に消去命令に係るメッセージがある場合には、当該消去命令が真正なものであるか消去命令検出部２０は判定を行う（ステップＳ２０８）。この判定は、当該メッセージに含まれるマスク値とマスク値記憶部２７内に記憶されているマスク値とを比較することにより行い、両者が一致する場合には当該消去命令を真正なものとして消去命令検出部２０は、既定ＯＳに代えて消去ＯＳがアクティブになるように起動ＯＳ記憶部（ＭＢＲのパーティションテーブル）１７を書き換えた後（ステップＳ２０９）、電源制御部１４を通じて当該ＰＣ１１を強制的に終了させ再起動させる（ステップＳ２１０）。

一方、上記判定時に両マスク値が異なるか或いは当該判定に係るメッセージがマスク値を含んでいないときには、消去命令は真正ではないものとして、前記メッセージチェック（ステップＳ２０６）に戻ってこれを予め定められた一定時間ごとに繰り返す。なお、消去管理プログラム（消去命令検出部２０）によるメッセージのチェックは、当該ノートＰＣ１１の起動時および上記一定時間ごとに加えて、電話網通信制御部２３からメッセージ着信の通知を消去命令検出部２０が受けた場合にも行われる。すなわち、当該ノートＰＣ１１が起動状態にあるときにメッセージを受信した場合には、電話網通信制御部２３は、消去命令検出部２０にメッセージの着信を通知する。これを受け消去命令検出部２０は、上記メッセージのチェックを行う。

ＰＣ１１が再起動されると、再び、ＢＩＯＳプログラム１５がＰＯＳＴの実行、起動ドライブの検索およびブートローダ１６のロードを行い（ステップＳ２０２）。ブートローダ（ＯＳ起動部１６）がＭＢＲ内のパーティションテーブル（起動ＯＳ記憶部１７）を参照して起動すべきＯＳを決定する（ステップＳ２０３）。このとき、当該パーティションテーブルでは、前記消去管理プログラムによる書き換えによって消去ＯＳ１９がアクティブにされているから、ブートローダ（ＯＳ起動部１６）は消去ＯＳ（データ消去部１９）を起動する（ステップＳ２１１）。そして、起動された消去ＯＳ１９によりＨＤＤ３のデータ領域の全情報が消去された後、電源制御部１４によってＰＣ１１の電源が切られる（ステップＳ２１２）。これによりデータ消去が完了する。なお、消去ＯＳ１９は起動中および上記データ消去中にＰＣ１１のディスプレイ５に何の表示も行わないことは前記第１実施形態と同様である。

このように本実施形態によれば、クライアント装置１１の電源が入っていないときにも強制的に電源を入れてデータ消去を行うことができ、紛失したＰＣ１１のデータ消去をより確実かつ迅速に行うことが可能となる。

以上、本発明の実施の形態について説明したが、本発明はこれらに限定されるものではなく、特許請求の範囲に記載の範囲内で種々の変更を行うことができることは当業者に明らかである。

例えば、前記実施形態では、クライアント装置としてノートパソコンを例にとったが、デスクトップコンピュータやＰＤＡ（Personal Digital Assistants）、タブレット型コンピュータ、その他のコンピュータ装置に対しても本発明は適用することが可能である。また、前記第１実施形態では管理サーバが消去命令の送信をクライアント装置からのアクセス（照会）に応答する形で行うようにしたが、ＩＰアドレス等のネットワークアドレスにより管理サーバからクライアント装置へ能動的に消去命令を送信するようにしても良い。

さらに本発明ないし前記実施形態は、ハードウェアへの依存度が低い利点がある。すなわち、本発明ないし前記実施形態によれば、一般にファームウェアとして予めコンピュータ装置に実装されるＢＩＯＳ自体を改変することなく当該コンピュータにデータ消去機能を組み込むことが出来る。したがって、一般の或いは現在既に使用されているＰＣに対しても問題なく本発明に係るデータ消去機能を導入することが出来る利点がある。

１ 演算処理装置（ＣＰＵ）
２ 主記憶装置（ＲＡＭ／メインメモリ）
３ 補助記憶装置（ハードディスクドライブ）
４ 入力装置
５ 表示装置（ディスプレイ）
６ バス
１０ コンピュータネットワーク（インターネット）
１１ ノートパソコン（クライアント装置）
１２ 登録設定部
１３ ＩＤ記憶部
１４ 電源制御部
１５ ＢＩＯＳ
１６ ＯＳ起動部
１７ 起動ＯＳ記憶部
１８ 既定ＯＳ
１９ データ消去部（消去ＯＳ）
２０ 消去命令検出部
２１ タイマ
２２，３７ ネットワーク通信制御部
２３，３８ 電話網通信制御部
２４ ＳＩＭカード
２５ メッセージ記憶部
２６ マスク値取得部
２７ マスク値記憶部
３１ 管理サーバ
３２ 登録受付部
３３ 登録情報記憶部
３４ 紛失状態記憶部
３５ 消去要求受付部
３６ 消去命令伝達部
３９ 消去命令生成伝達部
４０ マスク値伝達部
４１ マスク値生成部
４２ マスク値記憶部
４３ 次回マスク値記憶部
５０ 携帯電話網
５１ 他の機器

Claims (7)

1. 携帯電話網を介したメッセージ通信により管理サーバから消去命令を受信したときにコンピュータ内に記憶された情報の消去を行わせるデータ消去プログラムであって、
   前記コンピュータは、
   プログラムを実行する演算処理装置と、
   前記演算処理装置が作業領域として使用する主記憶装置と、
   プログラムおよびデータを格納可能な補助記憶装置と、
   ＢＩＯＳプログラムを格納した不揮発性メモリと、
   電源のオンオフを制御する電源制御部と、
   ＳＩＭカードを含んで前記携帯電話網を介したメッセージ通信を可能とする電話網通信制御部と、
   前記携帯電話網を介して受信したメッセージを記憶するメッセージ記憶部と、
   を備え、
   前記電話網通信制御部は、前記携帯電話網経由でメッセージを受信したときに当該メッセージを保存するとともに、当該コンピュータの電源が入っていない場合には前記電源制御部に当該コンピュータの電源を入れさせて当該コンピュータを起動し、
   前記補助記憶装置は、
   ＯＳプログラムを起動するための起動プログラム、および、起動すべきＯＳプログラムを示すテーブル、を含むマスターブートレコードと、
   デフォルトで起動されるデフォルトＯＳプログラム、アプリケーションプログラム、および、データが格納されるデータ領域と、
   前記デフォルトＯＳプログラムから隠匿され前記デフォルトＯＳプログラムからアクセス不能とされた保護領域と
   を有し、
   前記データ消去プログラムは、
   前記データ領域に格納され且つ前記デフォルトＯＳプログラム上で動作する消去管理プログラムと、
   前記保護領域に格納されたプログラムであり且つ前記データ領域に格納された情報を消去するプログラムである消去実行プログラムと
   を含み、
   前記消去管理プログラムは、
   前記保存されたメッセージが消去命令であるか判定するステップと、
   当該保存されたメッセージが消去命令である場合に、前記消去実行プログラムが起動ＯＳとしてアクティブになるように前記テーブルを書き換えるステップと、
   前記テーブルを書き換えた後に前記電源制御部に前記コンピュータを再起動させるステップと、
   を前記コンピュータに実行させ、
   前記消去実行プログラムは、
   前記コンピュータを再起動させるステップによって前記コンピュータが再起動され、前記書き換えられたテーブルに従って前記起動プログラムが当該消去実行プログラムを起動したときに、前記データ領域に格納された情報を消去するステップ
   を前記コンピュータに実行させ、
   前記消去命令は、データ消去を指示する消去命令文と、前記管理サーバによって周期的に更新される変動パスワードとを含み、
   前記消去管理プログラムは、
   前記管理サーバと周期的に通信を行って当該管理サーバから前記変動パスワードを取得し、当該取得した変動パスワードを保存するステップ
   を前記コンピュータに実行させ、
   前記消去管理プログラムは、前記メッセージとして前記消去命令を受信した場合に、
   当該消去命令に含まれる変動パスワードと前記保存してある変動パスワードと比較するステップ
   を前記コンピュータに実行させるとともに、
   当該消去命令に含まれる変動パスワードと前記保存してある変動パスワードとが一致した場合に、当該消去命令を真正なものと判定して、
   前記テーブルを書き換えるステップと、
   前記コンピュータを再起動させるステップと
   を前記コンピュータに実行させる
   ことを特徴とするデータ消去プログラム。
2. 前記コンピュータは、情報を画面上に表示する表示装置を備え、
   前記消去実行プログラムは、当該消去実行プログラムの起動時、ならびに、当該消去実行プログラムがデータ領域に格納された情報を消去する間に、前記表示装置の画面上に何も表示させない
   請求項１に記載のデータ消去プログラム。
3. コンピュータに格納された情報の消去を求める消去要求を、前記コンピュータとは異なる機器から管理サーバが受け付け、
   当該消去要求に基づいて前記管理サーバが消去命令を前記コンピュータへ携帯電話網を介したメッセージ通信によって送信することにより、
   前記コンピュータ内に格納されている情報を消去するデータ消去方法であって、
   前記コンピュータは、
   プログラムを実行する演算処理装置と、
   前記演算処理装置が作業領域として使用する主記憶装置と、
   プログラムおよびデータを格納可能な補助記憶装置と、
   ＢＩＯＳプログラムを格納した不揮発性メモリと、
   電源のオンオフを制御する電源制御部と、
   ＳＩＭカードを含んで前記携帯電話網を介したメッセージ通信を可能とする電話網通信制御部と、
   前記携帯電話網を介して受信したメッセージを記憶するメッセージ記憶部と、
   を備え、
   前記電話網通信制御部は、前記携帯電話網経由でメッセージを受信したときに当該メッセージを保存するとともに、当該コンピュータの電源が入っていない場合には前記電源制御部に当該コンピュータの電源を入れさせて当該コンピュータを起動し、
   前記補助記憶装置は、
   起動すべきＯＳプログラムを示すテーブルを含むマスターブートレコードと、
   ＯＳプログラムをロードする起動プログラム、デフォルトで起動されるデフォルトＯＳプログラム、および、当該デフォルトＯＳプログラム上で動作する消去管理プログラムが格納されたデータ領域と、
   前記デフォルトＯＳプログラムから隠匿され前記デフォルトＯＳプログラムからアクセス不能で、且つ前記データ領域に格納された情報を消去するプログラムである消去実行プログラムが格納された保護領域と
   を有し、
   前記データ消去方法は、順に実行される、
   前記携帯電話網経由で管理サーバから送信されたメッセージを前記電話網通信制御部が受信して保存するステップと、
   前記コンピュータの電源が入っていない状態で前記メッセージを受信した場合に前記電話網通信制御部が前記電源制御部を通じて前記コンピュータの電源を入れるステップと、
   前記ＢＩＯＳプログラムにより、前記起動プログラムをロードするステップと、
   前記起動プログラムにより、前記デフォルトＯＳプログラムを起動するステップと、
   前記起動されたデフォルトＯＳプログラムにより、前記消去管理プログラムを起動するステップと、
   前記起動された消去管理プログラムにより、前記保存されたメッセージが消去命令であるか判定するステップと、
   前記メッセージが消去命令であると判定された場合に、前記消去実行プログラムが起動ＯＳとしてアクティブになるように前記消去管理プログラムによって前記テーブルを書き換えるステップと、
   前記テーブルを書き換えた後に前記消去管理プログラムが前記電源制御部に前記コンピュータを再起動させるステップと、
   前記再起動後に、前記書き換えらえたテーブルに従って前記起動プログラムが前記消去実行プログラムを起動するステップと、
   前記起動された消去実行プログラムにより前記データ領域に格納された情報を消去するステップと
   を含み、
   前記消去命令は、データ消去を指示する消去命令文と、前記管理サーバによって周期的に更新される変動パスワードとを含み、
   前記データ消去方法は、前記消去管理プログラムにより前記管理サーバと周期的に通信を行って当該管理サーバから前記変動パスワードを取得し且つ当該取得した変動パスワードを保存するステップをさらに含み、
   前記保存されたメッセージが消去命令であると判定された場合に、前記消去管理プログラムはさらに、当該受信した消去命令に含まれる変動パスワードと前記保存してある変動パスワードと比較し、当該受信した消去命令に含まれる変動パスワードと前記保存してある変動パスワードとが一致した場合に、当該消去命令が真正なものと判定して、前記テーブルを書き換えるステップと前記コンピュータを再起動させるステップとを前記コンピュータに実行させる
   ことを特徴とするデータ消去方法。
4. 前記コンピュータは、情報を画面上に表示する表示装置を備え、
   前記消去実行プログラムは、当該消去実行プログラムの起動時、ならびに、当該消去実行プログラムがデータ領域に格納された情報を消去する間に、前記表示装置の画面上に何も表示させない
   請求項３に記載のデータ消去方法。
5. 携帯電話網を介して管理サーバから送信された消去命令を受信することにより内部に格納されている情報を消去するコンピュータであって、
   当該コンピュータは、
   プログラムを実行する演算処理装置と、
   前記演算処理装置が作業領域として使用する主記憶装置と、
   プログラムおよびデータを格納可能な補助記憶装置と、
   ＢＩＯＳプログラムを格納した不揮発性メモリと、
   電源のオンオフを制御する電源制御部と、
   ＳＩＭカードを含んで前記携帯電話網を介したメッセージ通信を可能とする電話網通信制御部と、
   前記携帯電話網を介して受信したメッセージを記憶するメッセージ記憶部と、
   を備え、
   前記電話網通信制御部は、前記携帯電話網経由でメッセージを受信したときに当該メッセージを保存するとともに、当該コンピュータの電源が入っていない場合には前記電源制御部に当該コンピュータの電源を入れさせて当該コンピュータを起動し、
   前記補助記憶装置は、
   ＯＳプログラムを起動するための起動プログラム、および、起動すべきＯＳプログラムを示すテーブル、を含むマスターブートレコードと、
   デフォルトで起動されるデフォルトＯＳプログラム、アプリケーションプログラム、および、データが格納されたデータ領域と、
   前記デフォルトＯＳプログラムから隠匿され前記デフォルトＯＳプログラムからアクセス不能とされた保護領域と
   を有し、
   前記コンピュータは、
   前記データ領域に格納され且つ前記デフォルトＯＳプログラム上で動作する消去管理プログラムと、
   前記保護領域に格納されたプログラムであり且つ前記データ領域に格納された情報を消去するプログラムである消去実行プログラムと
   を備え、
   前記消去管理プログラムは、
   前記電話網通信制御部によって保存されたメッセージが消去命令であるか判定するステップと、
   当該メッセージが消去命令である場合に、前記消去実行プログラムが起動ＯＳとしてアクティブになるように前記テーブルを書き換えるステップと、
   前記テーブルを書き換えた後に前記電源制御部に前記コンピュータを再起動させるステップと、
   を前記コンピュータに実行させ、
   前記消去実行プログラムは、
   前記コンピュータを再起動させるステップによって前記コンピュータが再起動され、前記書き換えられたテーブルに従って前記起動プログラムが当該消去実行プログラムを起動したときに、前記データ領域に格納された情報を消去するステップ
   を前記コンピュータに実行させ、
   前記消去命令は、データ消去を指示する消去命令文と、前記管理サーバによって周期的に更新される変動パスワードとを含み、
   前記消去管理プログラムは、
   前記管理サーバと周期的に通信を行って当該管理サーバから前記変動パスワードを取得し、当該取得した変動パスワードを保存するステップ
   を前記コンピュータに実行させ、
   前記消去管理プログラムは、前記メッセージとして前記消去命令を受信した場合に、
   当該消去命令に含まれる変動パスワードと前記保存してある変動パスワードと比較するステップ
   を前記コンピュータに実行させるとともに、
   当該消去命令に含まれる変動パスワードと前記保存してある変動パスワードとが一致した場合に、当該消去命令を真正なものと判定して、
   前記テーブルを書き換えるステップと、
   前記コンピュータを再起動させるステップと
   を前記コンピュータに実行させる
   ことを特徴とするデータ消去機能を備えたコンピュータ。
6. 前記コンピュータは、情報を画面上に表示する表示装置を備え、
   前記消去実行プログラムは、当該消去実行プログラムの起動時、ならびに、当該消去実行プログラムがデータ領域に格納された情報を消去する間に、前記表示装置の画面上に何も表示させない
   請求項５に記載のデータ消去機能を備えたコンピュータ。
7. コンピュータ内に格納されている情報を消去する消去命令を、携帯電話網を介して前記コンピュータに送信することにより前記コンピュータに前記情報を消去させる管理サーバであって、
   前記消去命令は、データ消去を指示する消去命令文と、前記管理サーバによって周期的に更新される変動パスワードとを含み、
   前記管理サーバは、
   前記変動パスワードを生成する変動パスワード生成部と、
   前記変動パスワードを記憶する変動パスワード記憶部と、
   前記コンピュータへ次回送信する変動パスワードである次回変動パスワードを記憶する次回変動パスワード記憶部と、
   前記変動パスワードを前記コンピュータへ送信する変動パスワード伝達部と、
   前記コンピュータとは異なる他の機器から送信された、前記コンピュータ内に格納された情報の消去を要求する消去要求を受け付ける消去要求受付部と、
   前記消去要求を受けたときに、前記変動パスワード記憶部に格納された変動パスワードを当該変動パスワード記憶部から取得し、当該変動パスワードと前記消去命令文とを含む消去命令を生成して当該消去命令を前記携帯電話網を介して前記コンピュータへ送信する消去命令生成伝達部と
   を備え、
   前記変動パスワード生成部は、前記変動パスワード伝達部が前記コンピュータへ変動パスワードを送信した場合に、
   前記次回変動パスワード記憶部に格納されている次回変動パスワードを当該次回変動パスワード記憶部から取得して前記変動パスワード記憶部内の変動パスワードに上書き保存するとともに、
   前記変動パスワード伝達部が前記コンピュータへ送信した変動パスワードと異なる変動パスワードを次回変動パスワードとして生成して前記次回変動パスワード記憶部内の次回変動パスワードに上書き保存する
   ことを特徴とするデータ消去管理サーバ。

Images