JP6538570B2 - クラウドデータセキュリティのためのシステム及び方法 - Google Patents

Description

［優先権主張］
本出願は、２０１３年３月４日に出願された米国仮出願 Ｎｏ．６１／７７２，３９４の利益を主張する。

本発明は、コンピュータセキュリティ、より好適には、クラウドベース（ｃｌｏｕｄ−ｂａｓｅｄ）のサービスに対するデータセキュリティのためのシステム及び方法に関する。

新しい重大な「サービスとしてのソフトウェア」（Ｓｏｆｔｗａｒｅ ａｓ ａ Ｓｅｒｖｉｃｅ（ＳａａＳ））プラットフォームを評価するとき、顧客間で聞かれる共通の繰り返し文句は、サービスにおける信頼に欠けるということである。例えば、クラウドストレージシステムが使用されるとすると、顧客はプロバイダによって保管される顧客のデータを保護するために適切な安全装置とセキュリティ評価を提供することをサービスプロバイダに任せなければならない。この信頼の欠如は新サービスへの重大な採用障壁を生む。サービスプロバイダは、彼らのサービスがいかに安全であるかをはっきり明確に話し無数のやり方（とりわけ保証）で顧客にそれを証明することを試みることにより、これと闘わなければならない。

本発明の好適かつ代替的な例は次の図面を参照して、以下詳細に述べられる。

セキュリティサービスプロバイダの第１例の実施形態のブロックダイヤグラム例を示す図である。 セキュリティサービスプロバイダの第２例の実施形態のブロックダイヤグラム例を示す図である。 セキュリティサービスプロバイダの第２例の実施形態の操作の第１のモードに対応するデータの保管とビューのためのデータフローを示す図である。 セキュリティサービスプロバイダの第２例の実施形態の操作の第１のモードに対応するデータの保管とビューのためのデータフローを示す図である。 セキュリティサービスプロバイダの第２例の実施形態の操作の第２のモードに対応するデータの保管とビューのためのデータフローを示す図である。 セキュリティサービスプロバイダの第２例の実施形態の操作の第２のモードに対応するデータの保管とビューのためのデータフローを示す図である。 例示のセキュリティサービスプロバイダにより実行される操作を説明するダイヤグラムを示す図である。 セキュリティサービスプロバイダの１つの例の実施形態を実装したコンピュータシステム例のダイヤグラムを示す図である。 ［詳細な説明］

本明細書で述べられる実施形態は、クラウドベースサービスのようなリモートコンピューティングサービスに対してデータセキュリティを提供する改良されたコンピュータとネットワークベースのシステム及び方法である。例示の実施形態は、ある他のシステム又はサービスに関連する又はその代わりとなる１つ以上のセキュリティに関連するサービス又は機能を実行又は提供するように構成されたセキュリティサービスプロバイダ（ｓｅｃｕｒｉｔｙ ｓｅｒｖｉｃｅ ｐｒｏｖｉｄｅｒ（ＳＳＰ））を提供する。他のシステム又はサービスは、例えば、ネットワークアクセス可能なサービスを提供するクラウドベースサービスである。ＳＳＰは、クラウドベースサービスのユーザー（「顧客」と呼ばれることもある）にデータ保管、暗号化、復号化、キーマネジメント、等のような１つ以上のセキュリティに関するサービスを提供し管理することを許可する。ＳＳＰを使用し管理することにより、ユーザーは、ユーザーの管理下にないクラウドベースサービスによって操作されるものであっても、彼のデータは安全に表示され保管されていると安心できる。

クラウドベースシステム及びサービスは、ソフトウェア、プラットフォーム、及び／又は、インターネット又はプライベートネットワークのようなネットワーク経由でアクセスされるインフラストラクチャ（ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）の配置を含む。典型的には、クラウドベースサービスは、要求されるコンピューティングインフラストラクチャを管理することを必要とされることなく、任意のビジネスユニット又は他の組織がサービスの利益（すなわち拡張可能性、接近可能性、耐故障性）を利用できるように、個別の外部の構成要素により提供される。上述の技術は、顧客が、暗号化／復号化、データストレージ又は同種のもののようないくつかの安全に関連する機能の管理を保ち続ける、「ハイブリッド（ｈｙｂｒｉｄ）」アプローチを採用する。そのような機能の実行に顧客が参加する範囲と条件は、以下でより詳細に述べるポリシー基準構造によって管理される。

上述の技術は、クラウドサービスに使用されるデータ保護に採用されている。例えば、ユーザーは、かれらが今日そうしているように、本明細書で述べられる技術の少なくともいくつかを組み合わせたクラウドサービスを利用し続ける。これらの技術はシステムのユーザーに移植されるが、それらはクラウドサービスを信頼しないかつ／又は将来においてサービスは将来に安全の紛争を持っているとしてもそれらはデータを保護すると組織が主張するようなクラウドサービスに使用されるデータを保護する。この信頼は内と外の両方で検証できる。

上述の技術は、幅広い様々な状況で適用可能である。それらは、リモートシステム又はサービスの様々なタイプ又は形態に対するセキュリティサービスを提供するために使用される。以下、電子署名サービス（「ＥＳＳ」）に関連して展開される技術を述べる。ＥＳＳと結合したＳＳＰの使用は１つの可能な展開シナリオであるが、限定的に解釈すべきではない。特に、ＳＳＰは、サービスとしてのソフトウェアの任意のタイプ、クラウドストレージサービス、メッセージングサービス、金融サービス、顧客関係管理サービス等を含むリモートサービスの他のタイプについて使用される。ＳＳＰは、電子署名サービス、不動産取引サービス、オンライン購入システム、給与システム、調達システム、人的資源システム（例えば、時間追跡、請求システム）等を含む任意のデジタル商取引システムと結合して一般には使用される。

ＥＳＳの例は、ドキュメントの作成、記憶及び管理と対応する電子署名を容易にするよう構成される。ＥＳＳを使用して、第１のユーザー（「送信者」）は、署名されるドキュメント（「署名ドキュメント」）を提供又はアップロードし、一方、第２のユーザー（「署名者」）は、アップロードされたドキュメントにアクセス、レビュー、署名する。ＳＳＰは、ドキュメントを安全に保管したり（図１）又はドキュメントの暗号化／復号化サービスを提供する（図２）ために、ＥＳＳにより使用される。
［クラウドデータエスクロー（ＣＬＯＵＤ ＤＡＴＡ ＥＳＣＲＯＷ）］

図１は、セキュリティサービスプロバイダの第１例の実施形態のブロックダイヤグラム例を示している。図１は、送信者がドキュメントや他のデータを安全に保管するためＳＳＰを使用する「クラウドデータエスクロー」アプローチを示している。図１に示される例において、ＳＳＰ１６５はＥＳＳ１１０に対して操作する。ＥＳＳ１１０は、署名ドキュメント２０の電子署名を開始するために送信者１０と署名者１１により利用される。ＳＳＰ１６５は電子署名ドキュメントを安全に保管するために使用されるドキュメントストア１７０を含む。ＳＳＰ１６５は、送信者１０に代わるＥＳＳ１１０によって処理される署名ドキュメントが常に送信者１０又は彼に対応する組織の管理下にあるように送信者１０（あるいは送信者の組織）の管理下にある。

説明されるシナリオでは、送信者１０は電子ドキュメント２０（例えば請求書、契約書、同意書）をＥＳＳ１１０に提供（例えばアップロード、送信）するために送信者クライアント装置１６０を操作する。そしてＥＳＳ１１０は電子ドキュメント２０をＳＳＰ１６５に送信する。ここでそれはドキュメントストア１７０に安全に保管される。ＳＳＰ１６５によって保管された後、ＥＳＳ１１０はドキュメント２０のコピーを削除する。

セキュリティサービスプロバイダ１６５を使用するとのＥＳＳ１１０による決定はポリシー２１に基づく。典型的には、ポリシー２１は送信者１０により設定され、管理するかさもなければドキュメント保管機能のためＳＳＰ１６５に頼ることをＥＳＳ１１０に引き起こす。ポリシー２１は保管場所と署名ドキュメントのため使用する操作を定義する。ポリシーは特定のドキュメント、ユーザー、組織又はそれらのいくつかの組合せに対して明確である。

その後、署名者１１はドキュメント２０にアクセスする。典型的には、送信者１０は署名者１１に、例えば、ドキュメント２０に対するレファレンス（例えばＵＲＬ）を含むメッセージ（例えば電子メール）を署名者に送信することをＥＳＳ１１０に引き起こすことによって、通知する。署名者１１はドキュメント２０にアクセス及びレビューするために署名者クライアント装置上１６１で実行されるウェブブラウザ又は他のクライアントモジュールを操作する。ＥＳＳ１１０はＳＳＰ１６５からドキュメントを検索してそれ（又はその代表）を提示するため署名者クライアント装置１６１に提供する。ドキュメント２０が署名者１１の満足のためレビューされると、署名者はドキュメント２０に彼の署名を添える（又は添付の指示又は命令を提供する）。署名が完了すると、ＥＳＳ１１０はドキュメント２０を、署名データと保存しておく必要のある署名の任意の他の証拠、例えばユーサー情報、タイムスタンプ等とともに保存する。署名の完了後、ＥＳＳ１１０はドキュメント２０のコピーを削除する。

図１の実施形態において、ＳＳＰはクラウドサービスの代わりに保管データの責任を負う。このような実施形態はクラウドストレージアプライアンス（「ＣＳＡ」）としても引用される。ＣＳＡはアプリケーションを使用しているユーザーへサービスを提供するためにデータに対する正当な要求に応答する。主要な監視は、データはクラウドサービスオペレータではなくＣＳＡ自身のオーナーの監督下にあることである。

簡単にするため、ＣＳＡに関連したより詳細は、単純なクラウドサービスシナリオ：最初に保管しその後クラウドサービスに格納されているデータにアクセスすることを試みるユーザー、に関連して記述される。ドキュメントの保管と検索システムはＣＳＡへの展開の単なる１つの例であると認識される。それはまた、または代わりに本明細書の他の箇所で記述される電子署名コンテキスト（ｃｏｎｔｅｘｔ）のような他のコンテキストで使用される。

ＣＳＡはクラウドサービスの代わりにドキュメントを保管できる。このアプライアンスのゴールは、顧客の管理の下で、データがクラウドサービスに決して停止（ａｔ ｒｅｓｔ）しないようにドキュメント自体の保管を外部に委託することである。それがストレージアプライアンスである。「停止」したデータとは、典型的には、持続的に又は静的に（例えばディスク、テープ又は他の持続的な媒体上に）保管されるデータを含む。対照的に、「フライト中」又は「使用中」のデータは、コンピュータシステムの揮発性又はワーキングメモリ内のデータ、プロセッサにより処理されるデータ、１つのところから他のところに通信されるデータ等のような揮発性、動的及び／又は活性化データを含む。フライト中のデータは、ネットワークや他の非持続性媒体(例えばＩＯバス、システムバス)を活発に移動するデータに特に注目した環境下にあるものである。

典型的な実施形態においては、顧客は、データの１つがクラウドサービスに停止して保管されるときを制御するポリシーを定義でき、そして適切に定義されるとき、顧客の管理下にある外部ストレージ装置にデータを保管する。クラウドストレージアプライアンスは顧客データセンターに配置され、いつもそれらを管理する。

処理フロー例においては、顧客は彼らの組織のためのクラウドサービスにアカウントを最初に生成する（すなわち、クラウドサービスへの「サインアップ」）。そして、顧客はユーザーのある集合（いくつか又はすべて）に適用する組織ポリシーを定義する。このポリシーは、データがＣＳＡに停止して保管されるときと対照をなしてクラウドサービスに停止して保管されるときを定義する。

組織のユーザーは次に通常通りクラウドサービスの使用を進める。例えば、彼らはドキュメントをサービスにアップロードする。その例示ドキュメントは通常通り進められる。処理が完了してクラウドサービスがドキュメントを保存しようとするとき、組織ポリシーが参照される。ポリシーがドキュメントの現在の状態がクラウドでの保存に応じると規定しているときは、ドキュメントはクラウドに保管される。ポリシーがドキュメントの現在の状態が顧客ＣＳＡにドキュメントを保存するよう規定しているときは、ドキュメントは保管のためＣＳＡにデジタル媒体で送信される。

ある場所への保存が成功すると、データが他の場所に存在しているときは、その場所はそのドキュメントはもはやそれらの所有ではなくストレージからそれを削除すると通知される。例えば、ドキュメントがクラウドサーバーに保管されていて状態の変化によって現在ＣＳＡに保存されるとき、ＣＳＡへの保存に成功すると、クラウドサービスは組織ポリシーに従ってこのドキュメントを削除することを通知される。

ドキュメントのさらなる変更がなされ状態が先に進むと、ストレージに保存するイベントごとにポリシーがさらに参照されドキュメントは現在の場所に保管される。これはポリシーが指示するとおりに時間の経過に応じて異なる場所にドキュメントが保存されることとなる。

上記処理の進行はドキュメントが完了するまで、ドキュメントが最後に保存されるまで続く。さらに、この最後の保存は組織ポリシーに基づき適切な場所で起きる。この最後の事象は、上記のように起動されるロジック（すなわち組織ポリシーに基づき適切な操作を実行する）の単なる他のインスタンス化であり、それは、完全性についてここでは別のステップとして呼び出される。いくつかのケースで、ポリシーはドキュメントの完了に応えて実行される清掃又は終了操作を規定する。

ポリシーの定義と処理は所与のデータ要素の保存場所を規定する。このアプローチでは、ポリシーは、１つの例として、以下の特性を持つように作られるセーブポリシーベクトルのリストとして示さる。
[data type,
data state or data operation,
data escrow location]

ドキュメントの状態又は操作は、特定のデータ項目に関して存在し又は実行される、任意の（場合によってはドメインの又はアプリケーションの仕様）条件又は機能を含む。状態の例は、新規ドキュメント、インポートドキュメント、削除ドキュメント、解放ドキュメント、閉鎖ドキュメント等のアプリケーションの幅広い多様性に対応するのが一般的である。アプリケーションの仕様は、例えば電子署名のコンテキスト内では、新ドキュメント、送信ドキュメント、閲覧ドキュメント、署名ドキュメント、完了ドキュメントである。いくつかの実施形態は、データ状態に加えて又は代えてデータの操作／機能を使用する。一般的な操作の例は、伝統的なファイルシステムの操作である、新規、オープン、クロース、ビュー、削除等に対応する。いくつかの実施形態において、ＳＳＰは特定のポリシーが起動されたかの決定を具体化する。例えば、ＳＳＰは、特定のポリシーが起動したときを決定するための十分なドメインの又はアプリケーションの仕様の知識で設定される（例えば顧客に操作される）ポリシーマネジャを信頼するか又はさもなければ相互に作用する。

好適な実施形態において、データエスクローロケーションは、全体的に定義された以下の特性を持つエスクローロケーションベクトルを参照する。
[data escrow location id,
data escrow location type,
data escrow location endpoint URL,
other data escrow location properties]

いくつかの実施形態は、以下のやり方で上記データ構造をクラウドサービスの所与の顧客に適用する。クラウドサービスの各顧客はデータ保存場所を定義する機会を与えられる。初期の保存場所はクラウドサービスである。顧客は、それぞれが他のエスクローロケーションベクトルを生成する彼らのアカウントに、１つ又は多くのＣＳＡを関連付けることができる。各エスクローロケーションベクトルは顧客のアカウントの特性として持続される。

さらに、クラウドサービスの各顧客は彼らのストレージポリシーを定義する機会を与えられる。好適な実施形態として、ポリシーはゼロ以上の長さの（上に示した）セーブポリシーベクトルのリストからなる。各ポリシーは定義され、前述のリストに追加され、顧客自身の特性として保存される。ポリシーは固有の識別子により既に定義されたデータセーブロケーションベクトルを参照する。

この顧客のコンテキストの範囲内でデータ要素（例えばドキュメント）が保存されるたびに、顧客に対するポリシーが参照される。ポリシーリストが縦覧され、一致が保存されるデータのそれと一致する状態を有するポリシーベクトルであるところで一致が探し出される。決定されたポリシーは処理され起動される。ポリシーが見つからないときは、クラウドサービスの既定の保存場所が使用される。一致するポリシーが見つかると、特定されたエスクローロケーションベクトルレファレンスはポリシールールから抽出され(又は配置され又はさもなければそれに基づき決定され)、さらにエスクローロケーションベクトル自身が顧客から得られる。いま先のアルゴリズム及び保存方法に引き渡されたロケーションはこのロケーションのため呼び出される。

先のシナリオはすべて顧客のデータセンターにおかれたアプライアンスに頼る一方で、他の配置は第三者のデータセンターに格納される同様のデータフローでの同様のアプライアンスを生み出すことに留意されたい。例えば、第三者の組織は、クラウドサービスプロバイダはデータにアクセスしないが、顧客はＣＳＡ自体を管理する必要がないようなストレージサービスを顧客に提供する。その際、顧客は、データはクラウドサービスオペレータの管理ではなくむしろそのようなストレージを専門とする慎重に選ばれたパートナーの手の中にあると支障なく想定できる。この配置方法は上述した同様の方法の全てを活用し、異なる配置において簡単に展開される。

以下の特徴又は側面は、ＣＳＡにより包含されると理解される。第１に、前述の技術はクラウドサービスのオペレータよりはむしろＣＳＡに保管される全データの管理を顧客が維持するような顧客環境においてクラウドサービスの代わりにデータ保管するクラウドストレージアプライアンス（ＣＳＡ）として参照される新しい装置を含む。

また、上述の技術は、顧客により所有されるＣＳＡのシリーズを伝えられ、同様に顧客のコンテキスト内でデータの保存のため活用されるクラウドサービスの顧客アカウントによる処理を含む。

さらに上述の技術は、クラウドサービスがデータを外部ストレージシステムにエスクローするときとクラウドサービスが内部ストレージシステムにドキュメントを保管するときを決定するポリシーを定義する方法を含む。

また、上述の技術は、例えばクラウドサービスでのユーサーの動作に起因するドキュメントの完了のようなデータの推移する状態に関連する基準に基づきデータをエスクローするタイミングを決定するポリシーを定義するためのプロセスを含む。

さらに、上述の技術は、クラウドサービスか又は前述のＣＳＡのどちらかの適切なストレージ媒体にデータが移動させられ、他の先の保管場所から移動させられる結果を生む、ある操作の実行とデータ状態の変更のようなデータエスクローサービスを、ＣＳＡを介してクラウドサービスに提供する処理を含む。

また、上述の技術は、クラウドサービスからデータのエスクローが成功したとき、データの全てのコピーがクラウドサービス内の回転媒体（ｓｐｉｎｎｉｎｇ ｍｅｄｉａ）からを含むクラウドサービスから移動されるとき、バックアップ装置／テープからの除去等のようなクラウドサービスからデータを除去するための処理を含む。
［クラウドデータプロテクション（ＣＬＯＵＤ ＤＡＴＡ ＰＲＯＴＥＣＴＩＯＮ）］

図２は、セキュリティサービスプロバイダの第２例の実施形態のブロックダイヤグラムの例を示している。図２は、ドキュメント及び他のデータに対する暗号化／復号化サービスを提供するＳＳＰにおける「クラウドデータプロテクション」アプローチを示している。さらに、図２はＥＳＳ１１０に対してのＳＳＰ１６５の操作を図示している。この例は、ここではＥＳＳ１１０が署名ドキュメントのストレージの管理に責任を持ち保管されたドキュメントに対する暗号化に関するサービスを提供するためＳＳＰ１６５を信頼する点で図１の例とは異なる。

図２において、送信者１０は署名ドキュメント２２をＥＳＳ１１０に提供するためクライアント装置１６０を用いる。ＥＳＳ１１０はドキュメント２２を暗号化するためにＳＳＰ１６５を使用することを決定するポリシー２３を参照する。ドキュメント２２は暗号化されていない形でＳＳＰ１６５にＥＳＳ１１０により提供される。ＳＳＰ１６５はキーストア１７１からのキーを用いてドキュメント２２を暗号化してＥＳＳ１１０にそれを返送する。その後、例えばＥＳＳ１１０は送信者１０により最初に提供されたコピー等ドキュメント２２の暗号化されていないバージョンを消去する。

署名者１１がドキュメント２２にアクセスしたとき、ＥＳＳ１１０は復号化のためＳＳＰ１６５に暗号化されたドキュメント２２を提供する。ＳＳＰ１６５はドキュメント２２を復号して署名者によるアクセスのため暗号化されていないバージョンを返す。署名者１１がドキュメント２２に署名すると、任意の署名データがＳＳＰ１６５と協力して暗号化される。

この例では、ドキュメント２２はＥＳＳ１１０内に存在するように示されている。他の実施形態では、ドキュメント２２は離れたクラウドベースストレージサービスに保管される。そのようなストレージサービスは送信者（又は彼の組織）又はある第三者によって操作される。

図２の実施形態では、ＳＳＰはクラウドサービスに対して暗号化／復号化の提供に責任を持つ。また、そのような実施形態はクラウド‐ファーストハードウェアセキュリティアプライアンス（Ｃｌｏｕｄ−Ｆｉｒｓｔ Ｈａｒｄｗａｒｅ Ｓｅｃｕｒｉｔｙ Ａｐｐｌｉａｎｃｅ（「ＨＳＡ」））に付託されるか又はそれに基づく。ＨＡＳはクラウドサービスによりデータの格納が適切にされたときキーを保管し暗号法の操作をする業務用装置である。ＨＡＳはクラウドシステムに保管される重大なデータを保護するための新しいアプローチを使用する従来のハードウェアセキュリティモジュール（「ＨＳＭ」）「の上に（ｏｎ ｔｏｐ ｏｆ）」設計される。

従来のＨＳＭはアプリケーションがアプリケーションの操作のためのキーを利用し続けることができる間キーを安全に保管する能力を提供する。現在の組織での従来のＨＳＭ使用の標準的な例は署名トランザクションに使用されるクリティカルキーの保管である。この従来のＨＳＭの使用において、キーは装置にそして装置だけに保管される。従来のＨＳＭへのアクセスは個々人の大変狭い集合に制限され、彼らのアクセスであっても成功した管理と操作のため要求されるそれらの操作だけに制限される。装置に格納されたキーが必要なとき、キーを要求する操作は任意の要求されるデータとともに装置に安全に与えられる。従来のＨＳＭはその操作を実行して呼び出し側に結果を返す。

上述の技術はクラウドサービスへの使用のためＨＳＭを展開する。少なくともいくつかのＨＳＭはここで記述されるやり方でＨＳＭの操作を拡張することにより実装される。上述の技術はクラウドサービスの中でデータを保護するため前記装置を採用する。その際に、クラウドサービスアプリケーションは（例えば普通のデータとしてデータを読むために）データにアクセスすることはできず、データはＨＳＡに保管されているキーによって保護されたデータとして格納される。同様にＨＳＡは、業務上の顧客により保護され、業務上の顧客及びクラウドプロバイダキーが不適切にキーにアクセスするのを阻止する様々な方法を採用する。その結果は、サービス自体にとり不透明なデータをクラウドサービスは格納するにしても、システム内で顧客はクラウドサービスを普通に使用することができるシステムである。

簡単にするため、ＨＳＡの操作は単純なクラウドサービスのシナリオ：最初に保管してその後にクラウドサービスに格納されたドキュメントにアクセスを試みるユーザー、について記述される。ドキュメント保管検索システムはＨＳＡに対する単なる展開例として好適である。それは、この他の箇所で記述した電子署名コンテキストのような他のコンテキストでも又は代わりに使用される。

ＨＳＡは操作の２つの異なるモードの少なくとも１つで、提供し、設定し、使用される。第１のモードでは、クラウドサービスはＨＳＡに手を伸ばし、それに繊細な情報に暗号法の操作の実行を求める。第２のモードでは、ユーザーは直接ＨＳＡと相互作用し、ユーザーに所望の機能を提供するためにクラウドサービスと並行して作業して、ＨＳＡは暗号法の操作を実行する。これらのモードのそれぞれのために、以下のセクションでは、最初はシステムに新ドキュメントを挿入（例えば、インポート、アップロード、初期保管）するための処理、さらに暗号化されたドキュメントの閲覧あるいはアクセスの処理、最後にこれらのフローに基づいて作られる安全性の主張を提示する。
［ＨＳＡ 第１のモード：復号化されたドキュメントのクラウド検索］

操作の第１のモードは、ストレージ内のクラウドに不透明なドキュメントの保管と検索をクラウドサービスができる安全なメカニズムを提供する。

図３Ａは、システムへのインポート、保存、さもなければ新ドキュメントの導入に対するデータフローを示している。操作１で、ユーザーはクラウドサービスにより主催されるウェブサイトに行く。操作２で、ユーザーはウェブサイトにドキュメントをアップロードする。操作３で、ウェブサイトの後ろのクラウドサービスはポリシーをチェックしてユーザーがドキュメントを暗号化するためＨＳＡによって保管されたキーを使用するのを決定する。ポリシーは上述したクラウドデータエスクローについてと同じようにする。操作４で、サービスはＨＳＡと、ＨＳＡがドキュメントを暗号化することを要求する通信をする。操作５で、ＨＳＡは、暗号化されるとき、ユーザーが暗号化のために、使用されるキーＩＤとＨＳＡ自身のエンドポイント情報のような１つ以上の項目を含む実行される暗号化操作についてのメタデータを伴うドキュメントの暗号化された形式で応答する。操作６で、クラウドサービスは、ＨＳＡから返信されたメタデータと共に暗号化されたドキュメントを保管する。

図３Ｂは、上記、図３Ａで述べられた保管されたドキュメントのビューに対するデータフローを示している。操作１で、ユーザーはクラウドサービスにより主催されるウェブサイトにアクセスし、ビューしたいドキュメントを選択する。操作２で、クラウドサービスはストレージバックエンドから暗号化されたドキュメントを検索する。操作３で、クラウドサービスはドキュメントに添付されたメタデータを調べて、次のエンドポイントに配置され特定のキーＩＤを使用する特定のＨＳＡにより暗号化されていることを見る。

操作５で、クラウドサービスは、ネットワーク上のＨＳＡに、（関連するメタデータと一緒に）クラウドサービスバックエンドから得られた暗号化されたドキュメントを含む同期呼び出しをして、ＨＳＡにユーザーのためにデータの復号を求める。この要求にはユーザーを識別するための情報が含まれている。

操作６で、ＨＳＡは要求を調べてその要求が有効であるかを決定する。有効であれば、ＨＳＡはドキュメントを復号してそれをクラウドサービスに返送する。そうでなければ、ＨＳＡはクラウドサービスにその要求を拒否し、ユーザー操作は同様に拒否される。

操作７で、ドキュメントの非暗号化されたバージョンを使用し、クラウドサービスはユーザーに要求されたドキュメントと関連する機能を直ちに提供する。

ドキュメントは非暗号化された形式ではクラウドサービスに決して存続しないことに留意されたい。それは非暗号化形式でクラウドサービスを通り抜けるだけで、いかなる持続的ストレージにも書きこまれない。さらに、このシナリオでなされる安全性の主張は、データは停止状態ではクラウドサービスに知られていないキーにより暗号化されていることである。
［ＨＳＡシナリオモデル：復号化されたドキュメントのローカルアクセス］

操作の第２のモードは、クラウドサービスがドキュメントのコピーを、一時的なものであっても、見ることさえなくそのドキュメントを保存しユーザーに見せることを容易にすることにより安全な構造を提供する。

図４Ａは、新ドキュメントのインポート、保存そうでなければ導入に対するデータフローを示す。操作１で、ユーザーはクラウドサービスの前にあるウェブサイトにいき、ドキュメントを保存したいことを示す。次に、ウェブサイトはユーザーをＨＳＡに向けなおす。特に、操作２ａで、クラウドサービスウェブサイトは方向変換動詞（例えばＨＴＴＰ３０２）を介してユーザーを向けなおす。操作２ｂで、ユーザーはＨＳＡにより主催されるページにたどり着く。

操作３で、ユーザーはＨＳＡに直接ドキュメントをアップロードする。ＨＳＡはローカルポリシーに従い適切なキーを選んでドキュメントを暗号化する。次に、操作４で、ＨＳＡはクラウドサービスに暗号化ドキュメントをアップロードする。それに応じて、操作５で、クラウドサービスはクラウドストレージにドキュメントを保管する。

次に、ユーザーはクラウドサービス；操作が完了した、に向け戻される。特に、操作６ａで、ＨＳＡは方向変換動詞（例えばＨＴＴＰ３０２）を介してユーザーを向けなおす。操作６ｂで、ユーザーはアップロードが成功して完了したことを示すクラウドサービスにより主催されているページにたどり着く。

図４Ｂは、上記、図４Ａで述べられた保管されたドキュメントをビューするためのデータフローを示す。操作１で、ユーザーはクラウドサービスの前にあるウェブサイトにアクセスしてそのドキュメントをオープンすることを望んでいることを示す。これに対応して、操作２で、クラウドサービスはサービス内のストレージシステムから暗号化されたドキュメントを検索する。操作３で サービスはドキュメントを調べ、そのドキュメントが特定のＨＳＡで見つけられるキーＩＤにより暗号化されていることを確定する。

操作４で、次に、この方向変換とドキュメント自身のポインタとこのドキュメントを暗号化するのに使用したキーはどれかを知っているＨＳＡのようなキー識別情報とを含む特定のＨＳＡ上で主催されるエンドポイントにユーザーは向けなおされる。

操作５で、ＨＳＡはクラウドサービスからドキュメントを検索する。操作６で、ＨＳＡは、特定の企業ポリシーとユーザー指定の企業認証に基づいてドキュメントへのアクセスをこのユーザーは許可されるかに関するポリシーの判断をする。

操作７で、前述のチェックがパスすると、ドキュメントはＨＳＡにより復号化されユーザーに戻し提供される。操作８で、このドキュメントと相互作用した後、ユーザーはクラウドサービスに向き戻される。ドキュメントが変更されると、それはＨＳＡにより暗号化され対応するメタデータを伴い保管のためクラウドサービスに戻される。

上述のシナリオで、され得る安全性の主張は、データがクラウドサービスプロバイダにより停止中のときと飛行中のときの双方において暗号化され非暗号化の形式ではクラウドサービスは決して見ることができないということである。そのような安全性の主張を満たす１つの要件は、繊細な暗号方式の操作が正当な要求に対してのみ実行されることを保証することである。ＨＳＡは、正当な要求だけがサービスを受けられることを保証するポリシー機能の拡張集合をサポートするように装備される。これらの機能は、（１）秘密の解放：もし特定の共有される秘密が装置に戻され提供されたときは、ドキュメントは呼出し者に開放される。そして（２）ユーザーへの解放：もしユーザーが企業の資格を用いてＨＳＡに対して正常に認証し、ユーザーはドキュメントに対するアクセスを与えられたとき、ドキュメントはＨＳＡにより復号化される、ことを含んでいる。機能のこのリストは、追加的なシナリオが吟味され、技術的要件にマッピングされるように時間の充足で増殖することが理解される。

いくつかの実施形態におけるＨＳＡは、必要なシナリオに対し暗号化方法の操作を実行するだけである。この保護の欠如において、悪意のクラウドオペレータは、ＨＳＡにより復号化される所与のブロブ（ｂｌｏｂ）（例えば暗号化されたドキュメント）を求めるだけである。したがって、これらの方法はシステムを通して進められるユーザーアクティビティを妨げない間保護されている。

さらに、暗号化方法の使用は多くの暗号化方法の操作の観察（クラウドは時間の経過につれ行う）を介してのキーに対する攻撃に適さない。基本的な暗号化方法のアルゴリズムはこれに対して保護する傾向があるが、通常のキーローテションのような付加的な保護が採用される。

またいくつかの実施形態は、上で概説した技術の少なくともいくつかを使用して、所与の又は特定の状態への入力に基づいてデータを保護する。これはクラウドを概念的に失神（ブラックアウト）させてサービス内で所与のデータ要素の内容を決して獲得することができないようにするので、このアプローチは時々「ブラックアウト」と呼ばれる。

さらにドキュメント保管の例を使用し、そのドキュメントの状態が変化したとしてドキュメント要素に対するアクセスポリシーを変更したいと望むものを想定する。例えば、ドキュメントを編集するための時間を継続させるためにクラウドサービスによってそのドキュメントがアクセス可能になったが、しかし、そのドキュメントが一旦完了とマークされると、ドキュメントはクラウドサービスから消し去られることを想定する。これは、クラウドサービスからドキュメントを単に削除することにより達成される。けれども、そのような削除操作は、クラウドサービスベンダーのドキュメントを保管する場所の数とそれらの場所の全て（回転媒体やバックテープ等）に届くことの困難性を考慮すると、重要であることが理解される。

この問題は、上記概説した技術を活用することにより解決される。第１に、ドキュメントは最初にクラウドサービスに保存される。保存するとき、顧客の記録が調べられポリシーは、呼び出されるときに「ドキュメントは完了時にクラウドに対し不透明にする」ことを顧客は望んでいることを示す。ドキュメントは、最初に保存されるとき、暗号化のためＨＳＡに渡され「完了時にクラウドに対し半透明」のポリシーが留意される。ＨＳＡはあるキーでドキュメントを暗号化し、その後、クラウドサービスに暗号化されたドキュメントを返す。クラウドサービスはクラウドサービスストレージシステムにこのドキュメントを保存する。

ドキュメントがアクセスされるごとに、ドキュメントは復号化のためＨＳＡに割らされる。疑いもなく、ＨＳＡはドキュメントを復号化する。ドキュメントの状態が変化するたびに、ＨＳＡは状態の変化が通知される。

将来のあるときに、ドキュメントが完了する。ＨＳＡは完了したこの状態の変化が通知されたとき、そのドキュメントのメタデータの中にこのドキュメントは今完了したと書き止める。これは、それが改ざんされるのを防止するため、ＨＳＡキーを利用して、暗号化の方法技術を使用して記憶媒体内にドキュメント自身の一部として存続する。

次にユーザーがドキュメントを開くときは、クラウドサービスは再度ＨＳＡにドキュメントを提供する。けれども、今度はＨＳＡは、「誰もこのドキュメントを開けない」というようなドキュメントを暗号化することに対しより厳しいポリシーを適用する。この機能は、キーの保管者としては役に立たないクラウドサービスの中でドキュメントを機能的に表示する能力を提示するが、ＨＳＡは、ドキュメントの任意の要求者に対しても復号化する操作を拒否する。さらに今度は、クラウドサービスは、その余暇のハウスキーピング（ｈｏｕｓｅｋｅｅｐｉｎｇ）の目的のためドキュメントを選択的に削除する。

上述の手順は、無用なクラウドサービス内のデータの重大な部分のコピーを表示することを我々に許可する。クラウドサービスにより導入されるための挑戦的な技術的トリックへの要求することなく、このようにしてクラウドサービスからデータを「削除する」ことをユーザーに機能的に許可する。

先のシナリオはすべて顧客のデータセンターに配置されている装置を信頼したものであるが、他の展開は、第三者のデータセンターに格納されている同じデータフローを有する同じ装置を生じさせることに留意されたい。例えば、代わりの実施形態では、第三者組織はクラウドサービスがキー材料にアクセスしないが、顧客がＨＳＡ自体を管理する必要のないようなキーサービスを顧客に提供する。

以下の機能や側面は、ＨＳＡにより取り込まれることが理解される。まず、上述の技術は、データが停止しているときクラウドサービスがデータ自体にアクセスしないようなクラウドサービスにデータを保管するための処理を含む。

さらに、上述の技術は、ユーザーが摩擦なしに、しかしクラウドサービスにキーを公開することなくデータを保管しアクセスできるようなクラウドサービスにデータを保管しアクセスするための処理を含む。

また、上述の技術は、在外のキーによって保護され、そのキー関係の詳細はデータ自体に付けられ、しかしキーはサービスには公開されないクラウド内のデータにアクセスする処理を含む。

さらに、上述の技術は、サービスが暗号化又は復号化されたドキュメントに使用されるキー材料へのアクセスを決して得ることなく、ユーザーの代わりにデータの暗号化又は復号化されたバージョンをクラウドサービスが得る処理を含む。

また、上述の技術は、企業が、クラウドサービスによっては覆すことのできない企業ポリシーと企業信用証明材料を有するクラウドサービスに保管されているデータを暗号化又は復号化するための暗号化方法の操作へのアクセスを管理する処理を含む。

さらに、上述の技術は、特定のキーを用いて実行される暗号化方法の操作を要求するユーザーが暗号化方法の操作を許可される処理を含む。

また、上述の技術は、クラウドサービスが、停止中又は移動中に復号化されたデータへのアクセスを獲得することなく暗号化されたドキュメントを保管及び提供する処理を含む。

さらに、上述の技術は、ユーザーが、停止中又は移動中にクラウドサービスが非暗号化ドキュメントへのアクセスを決してしないようなクラウドサービスに保管されるドキュメントを保存及びアクセスする処理を含む。

また、上述の技術は、クラウドサービスが、ドキュメントを保存することを求められたとき、適切なキーを用いて順に暗号化しその後クラウドサービスの暗号化されたドキュメントを送信する業務用のＨＳＡにドキュメントを有するユーザーを向けなおす処理を含む。

さらに、上述の技術は、クラウドサービスが、ストレージシステムからドキュメントを検索するとき、ドキュメントのポリシーを調べて、ドキュメントのためのキーを格納してそのキーを用いて暗号化方法の操作をするＨＳＡにユーザーを向けなおす処理を含む。

また、上述の技術は、ＨＳＡが、ユーザーの代わりに、ユーザーの信用保証材料自体を追加されたデータについてのメタデータを伴う暗号化されたデータを示され、その後ＨＳＡは、操作が許されているかどうかのポリシーの決定を行い、許されていれば、ユーザーのために暗号化方法の操作を実行する処理を含む。

また、上述の技術は、ユーザーはＨＳＡ上の全てのところであたかも暗号化されていないかのようにデータと相互作用できるがクラウドサービスには戻すデータの非暗号化のバージョンは決して公開されることのないように、前述の暗号化方法の操作完了後、特定のユーザーに対してＨＳＡを通して「プロキシによって」クラウドサービスを提供する処理を含む。

さらに、上述の技術は、ユーザーが希望するようには完全に削除されていないとしても、不要なデータのクラウドサービスのコピーを表示することにより、すべてのユーザーに前述のＨＳＡ上での重大な復号化操作を制限することを介してクラウドサービスから機能的にデータ要素を削除することをユーザーに許可することをクラウドサービスに許可する処理を含む。この処理又は条件は「ブラックアウト」と呼ばれる。

前述の「クラウドデータエスクロー」と「クラウドデータプロテクション」は排他的なアプローチではないことに留意されたい。すなわち、いくつかの実施形態においてＳＳＰは特定のポリシーに依存してクラウドデータエスクロー（ストレージ管理）とクラウドデータプロテクション（キー管理）の両方を実行するように構成される。例えば、所与の組織が、ＳＰＰに第１のクラウドベースサービスの代わりに保管を実行させ、第２のクラウドベースサービスの代わりに暗号化サービスを提供させるポリシーを指定する。ＳＳＰが提供するサービスの決定は、ユーザーの独自性、ビジネスルール、サービスプロバイダの独自性、地理的配置（例えば現地の法的要件に準拠するため）などの１つ以上を含む様々な要因に基づくものである。
［実装の例］

図５は、例示のセキュリティサービスプロバイダにより実行される操作を示すフローダイヤグラムである。図示される操作は、汎用ＳＳＰ、ＣＳＡ，ＨＳＡ又はここに記載の類似の説明されるモジュール、装置、又はシステムにより実行される。

処理はブロック５０２で開始する。ここでは、セキュリティ関連機能を実行する独特のセキュリティサービスプロバイダモジュールの利用をクラウドベースサービスに起こすポリシーを決定する。例示のポリシーは前述した。ポリシーの定義は、インタラクティブなグラフィックユーザーインターフェースを介するようなユーザーからのポリシー定義の受信を含む。ポリシーは、特定のデータアイテム及び／又はユーザーに関して生じる操作及び／又は状態変化への応答に取り込まれるアクションを特定する。

ブロック５０４で、処理はセキュリティ関連機能を実行する要求を受信する。その要求は、例えばクラウドベースサービスが特定の操作、ユーザー又は組織を利用するＳＳＰを決定するためのポリシーを使用するときのような、ポリシーに基づく。その要求は典型的にはクラウドベースサービスから受信され、例えば暗号化、復号化データ検索（クラウドベースサービスへの読み込みや転送）等のような、ある機能を実行することを処理に求める。いくつかのケースにおいて、例えば上記図４Ａに対して示され説明されたように、例えばクラウドベースサービスによりこの処理と相互作用するため装置が向きかえられるときのように、要求はユーザーの装置から受信される。

ブロック５０６で、処理はクラウドベースサービスの代わりにセキュリティ関連機能を実行する。セキュリティ関連機能の実行には機能が実行される前、途中及び／又は後でポリシーを調べることを含む。他の例として、処理はクラウドベースサービスに、データアイテム（例えばドキュメント）のいかなるコピーも、そのアイテムが処理によってうまく暗号化及び保管された後に削除することを通知する。

図６はセキュリティサービスプロバイダの例示の実施形態を実装するコンピューティングシステム例のブロックダイヤグラムである。特に、図６はＳＳＰ１６５を実装するのに利用されるコンピューティングシステム１００を示している。また、図６に関して述べられる技術は、例えばＥＳＳ１１０、送信者装置１６０又はクライアント装置１６１のように本明細書で論じられるコンピュータ化要素を実装することに応用される。

１つ以上の汎用又は特定用途のコンピューティングシステム／装置はＳＳＰを実装するのに使用されることに留意されたい。加えて、コンピューティングシステム１００は１つ以上の異なったコンピューティングシステム／装置を含み分散した配置に及ぶ。さらに、示された各ブロックは、特定の実施形態に適した又は他のブロックと結合したような１つ以上のブロックを提示する。また、ＳＳＰはソフトウェア、ハードウェア、フレームウェア又はここに記載の機能を達成するためのある組合せに実装される。

示された実施形態において、コンピューティングシステム１００はコンピュータメモリ（「メモリ」）１０１、ディスプレイ１０２、１つ以上の中央演算装置（「ＣＰＵ」）１０３、入／出力装置１０４（例えばキーボード、マウス、ＣＴＲ又はＬＣＤディスプレイ等）、他のコンピュータ読取り可能な媒体１０５、及びネットワーク１５０に接続されたネットワークコネクション１０６を備える。ＳＳＰ１６５はメモリ１０１に存在していることが示されている。他の実施形態では、ＳＳＰ１６５のコンポーネントのいくつか又はすべては他のコンピュータ読取り可能な媒体１０５に保管され又は送信される。好適には、ＳＳＰのコンポーネントは１つ以上のＣＰＵ１０３上で実行されここに記載されるようにセキュリティサービスを提供する。他のコード又はプログラム１３０（例えば管理インターフェース、ウェブサーバ等）と潜在的にデータリポジトリ１２０のような他のデータリポジトリもメモリ１０１に存在し、好適には１つ以上のＣＰＵ１０３上で実行される。注目すべきは、図６の１つ以上のコンポーネントは任意の特定の実装に示されていないかもしれない。例えばいくつかの実施形態は他のコンピュータ読取り可能な媒体１０５やディスプレイ１０２を提供しない。
ＳＳＰ１６５はセキュリティマネジャ１１１、ユーザーインタフェース（「ＵＩ」）マネジャ１１２、セキュリティサービスプロバイダアプリケーションプログラムインターフェース（「ＡＰＩ」）１１３及びデータストア１１５を備える。

セキュリティマネジャ１１１はＳＳ１６５の操作に関連するコアセキュリティを一般に実行する。例えば、セキュリティマネジャ１１１はデータストア１１５に保管されたドキュメント、暗号化キー、又は他のデータの保管又は検索を管理する。またあるいは代わりにセキュリティマネジャ１１１はＳＳＰ１６５により実行される暗号化及び復号化の操作を実装し又は管理する。

ＵＩマネジャ１１２はＳＳＰ１６５及びその様々なコンポーネントとのユーザーインターラクションを容易にするビューとコントローラーを提供する。例えば、ＵＩマネジャ１２２はユーザーがドキュメントやその他のデータを保管又は検索し、」ＳＳＰ１６５の操作を設定できる等のようにＳＳＰ１６５との相互作用的アクセスを提供する。いくつかの実施形態において、ＵＩマネジャ１１２の機能へのアクセスは場合によっては他のプログラム１３０の１つとして実行するウェブサーバを介して提供される。そのような実施形態では、クライアント装置１６０又は１６１の１つの上で実行されるウェブブラウザを操作するユーザー（又は他のクライアント）はＵＩマネジャ１１２を介してＳＳＰ１６５と相互作用できる。

ＡＰＩ１１３はＳＳＰ１６５の機能の１つ以上へのプログラム的なアクセスを提供する。例えば、ＡＰＩ１１３は他のプロフラム１３０又はある他のモジュールの１つによって起動されるＳＳＰ１６５の機能の１つ以上に対するプログラム的なインターフェースを提供する。このやり方で、ＡＰＩ１１３は、例えばユーザーインタフェース、プラグイン、データフィード、（例えばウェブアプリケーションにＳＳＰ１６５の機能を統合するための）アダプタのようなサードパーティのソフトウェア開発を促進する。さらに、ＡＰＩ１１３は少なくともいくつかの実施形態においてＳＳＰ１６５の様々な機能にアクセスするため、例えばＥＳＳ１１０のようなリモート構成要素を介して起動され又はそうでなければアクセスされる。例えば、ＥＳＳ１１０はＡＰＩ１１３を介して保管のためのドキュメントをＳＳＰ１６５に送信する。

データストア１１５は情報の保管及び／又は通信のためＳＳＰ１６５の他のモジュールにより使用される。ＳＳＰ１６５のコンポーネントはセキュアデータ、暗号化キー、ポリシー情報等を含む情報に様々なタイプを記録するためにデータストア１１５を使用する。データストア１１５は図１及び図２について述べられたドキュメントストア１７０及び／又はキーストア１７１を実装する。

ＳＳＰ１６５はネットワーク１５０を介してクライアント装置１６０と１６１及び電子署名サービス１１０（又は他のいくつかのサービス）と相互作用する。ネットワーク１５０は１つ以上の媒体（例えばより線対、同軸ケーブル、光ファイバー、ラジオ周波数）、ハードウェア（例えばルーター、スイッチ、リピーター、トランシーバー）及び遠く離れて位置している人及び／又は装置の間の通信を容易にする１つ以上のプロトコル（例えばＴＣＰ／ＩＰ、ＵＤＰ、Ｅｔｈｅｒｎｅｔ（登録商標）、Ｗｉ−Ｆｉ、ＷｉＭＡＸ）の任意の組み合わせである。いくつかの実施形態において、ネットワーク１５０は複数の個別の通信チャンネル又は構造（例えば有線と無線）であるかそれらを含む。クライアント装置１６０と１６１はパーソナルコンピュータ、ラップトップコンピュータスマートフォン、携帯情報端末、タブレットコンピュータ等）を含む。

１つの例示の実施形態において、ＳＳＰ１６５のコンポーネント／モジュールは標準プログラミング技術を用いて実装される。例えば、ＳＳＰ１６５は１つ以上の静的又は動的ライブラリと共にＣＰＵ１０３上で稼働する実行可能な「ネイティブ」として実装される。他の実施形態において、他のプログラム１３０の１つとして実行するバーチャルマシンにより処理されるインストラクションとして実装される。一般には、この分野で知られているプログラミング言語の範囲は、オブジェクト指向（例えばＪａｖａ（登録商標）、Ｃ＋＋、Ｃ＃、Ｖｉｓｕａｌａ Ｂａｓｉｃ．ＮＥＴ、Ｓｍａｒｔｔａｌｋ等）、ファンクショナル（例えばＭＬ、Ｌｉｓｐ、Ｓｃｈｅｍｅ等）、プロシージャル（例えばＣ、Ｐａｓｃａｌ、Ａｄａ、Ｍｏｄｕｌａ等）、スクリプティング（例えばＰｅｒｌ、Ｒｕｂｙ，Ｐｙｔｈｏｎ、Ｊａｖａ（登録商標）Ｓｃｒｉｐｔ、ＶＢＳｃｒｉｐｔ等）及びデクラレーティブ（例えばＳＱＬ、Ｐｒｏｌｏｇ等）を含むがそれらに限定されない多様なプログラミングパラダイムのそれぞれの実装を含み、このような例示の実施形態を実装するために使用される。

また、上述の実施形態は周知か又は独自の同期又は非同期クライアントサーバコンピューティング技術を使用する。また、様々なコンポーネントは、例えば単一のＣＰＵのコンピュータシステム上で稼働する実行ファイルのようなよりモノシリックなプログラミング技術を使用して、または、それぞれが１つ以上のＣＰＵを有する１つ以上のコンピュータシステム上で稼働するマルチプログラミング、マルチスレッド、ピアツーピアを含むが限定されないこの分野で周知の多様な構造化技術を選択的に分散的に使用して実装される。いくつかの実施形態は同時に及び非同期的に実行され、メッセージパス技術を使用して通信する。対応する同期的な実施形態もサポートされる。また、他の機能は各コンポーネント／モジュールにより実装され実行され、異なる順番で、異なるコンポーネント／モジュールによりそれでも上述の機能を実現する。

さらに、例えばデータストア１１５のようにＳＳＰ１６５の一部として保管されたデータへのプログラミングインターフェースは、保管されたデータへのアクセスを提供する、例えばＣ、Ｃ＋＋、Ｃ＃やＪａｖａ（登録商標）ＡＰＩを通して；ファイルアクセスのためのライブラリ、データベース又は他のデータレポジトリ；例えばＸＭＬのようなスクリプト言語を通じて；又はウェブサーバ、ＦＴＰサーバ又は他のサーバ、のような標準的仕組みにより得られる。データストア１１５は、分散化コンピュータ技術を使用した実装を含む、１つ以上のデータベースシステム、ファイルシステム又はそのような情報を保管するための任意の他の技術、又は任意のそれらの組合せとして実装される。

プログラムとデータの別の設定と配置が、ここで述べた技術の利用のため考慮される。分散化コンピューティング技術の多様性はＴＣＰ／ＩＰソケット、ＲＰＣ、ＲＭＬ、ＨＴＴＰ、ウェブサービス（ＸＭＬ−ＲＰＣ、ＪＡＸ−ＲＰＣ、ＳＯＡＰ等）を含むが限定されない分散化のやり方で、示された実施形態のコンポーネントを実装するのに適している。他の変形例も可能である。また、他の機能性は各コンポーネント／モジュールにより提供され、または、既存の機能性は異なるやり方でコンポーネント／モジュールの間で分散でき、それでもここで説明した機能を実現する。

さらに、いくつかの実施形態において、ＳＳＰ１６５のコンポーネントの一部又は全ては、１つ以上のアプリケーション特有の集積回路（「ＡＳＩＣ」）、標準的集積回路、適切な命令を実行するコントローラーを含むが限定的でない、そしてマイクロコントローラー及び／又は埋め込みコントローラー、フィールドプログラマブルゲートアレイ（「ＦＰＧＡ」）、複合プログラマブルロジックデバイス（「ＣＰＬＤ」）等を含む例えばフレームウェアやハードウェア上で少なくとも部分的にされるようなやり方で実装され又は提供される。また、システムコンポーネント及び／又はデータ構造の一部又は全ては、説明した技術の少なくとも一部を実行するためのコンテンツを実行するか使用するか又は提供するためのコンピュータ読取り可能な媒体及び／又は１つ以上の結合したコンピューティングシステム又は装置を有効にする又は設定するように、コンピュータ読取り可能な媒体（例えばハードディスク；メモリ；コンピュータネットワーク又はセルラー無線ネットワーク又は他のデータ伝送媒体；又は例えばＤＶＤ又はフラッシュメモリデバイスのような適切な装置により又は適切な接続を介して読み取られるポータブルメディア）上にコンテンツ（例えば実行可能ファイル又は他の機械読取り可能なソフトウェア命令又は構造化データ等）として保管される。また、システムコンポーネント及びデータ構造の一部又は全ては、無線ベースと有線／ケーブルベースのアクセス媒体を含み、そののち伝送される様々なコンピュータ読取り可能な伝送媒体上でデータ信号（例えば搬送波の一部として符号化される又はアナログ又はデジタル増幅信号の一部として含められる）として保管され、様々な形式（例えば信号又は多重化アナログ信号の一部として又は多重化離散デジタルパケット又はフレームとして）をとる。また、そのようなコンピュータプログラム製品は他の実施形態では他の形式をとる。したがって、この開示の実施形態は別のコンピュータシステム構成により実行され得る。

ここでの発明の概念から逸脱することなく、既に記述されたもの以外のより多くの変形が可能であることは当業者に明白である。さらに、明細書及びクレームの双方の解釈において、すべての用語は、その文脈で最も広い可能な方法で解釈されるべきである。特に、「含む（ｉｎｃｌｕｄｅｓ）」、「含んでいる（ｉｎｃｌｕｄｉｎｇ）」、「備える（ｃｏｍｐｒｉｓｅｓ）」及び「備えている（ｃｏｍｐｒｉｓｉｎｇ）」は、言及された要素、コンポーネント又はステップは、明示的に言及されていない他の要素、コンポーネント又はステップと共に存在し利用され又は結合されていることを含んでおり、非排他的に要素、コンポーネント又はステップを参照するように解釈すべきである。明細書クレームが、Ａ、Ｂ、Ｃ、・・・、Ｎからなるグループから選択されたものの少なくとも１つを参照するときは、その文章は、集合｛Ａ、Ｂ、Ｃ｝から１つ以上の要素に加えたＮではなくて、集合｛Ａ、Ｂ、Ｃ、・・・、Ｎ｝から１つ以上の要素を要求していると解釈すべきである。

上記引用レファレンスのすべて、「クラウドデータセキュリティのためのシステム及び方法」と題名をつけられ、２０１３年３月４日に出願された米国仮出願 第６１７７２３９７号は完全に本明細書に組み込まれている。組み込まれたレファレンス内の用語の定義又は使用が本明細書で提供される用語の定義と矛盾又は反対のところは、本明細書で与えられた用語の定義が支配し、レファレンスの用語の定義は適用されない。

発明の好適な実施形態が説明および記述される一方、上で述べたように、多くの変更がこの発明の精神と範囲から逸脱することなく行われる。したがって、この発明の範囲は好適な実施形態の開示により限定されない。

独占的な財産又は特権が主張される本発明の実施形態は、以下のように規定される。

Claims (22)

1. クラウドベースサービスプラットフォームによってアクセスされる保管データを保護するためのポリシードリブンシステムであって、前記システムは、
   ネットワークコネクションと、
   ワーキングメモリデバイスと、
   ドキュメントのストレージを制御するためのポリシーを含む持続的データストレージ媒体と、
   前記ワーキングメモリデバイス、前記ネットワークコネクション及び前記持続的データストレージ媒体に結合された１つ以上のプロセッサと、を含み、
   前記持続的データストレージ媒体は、前記システム上で実行されたときに、
   前記ネットワークコネクション上で、前記クラウドベースサービスプラットフォームの第１のユーザーからサービス要求の一部として前記ドキュメントを受信することと、
   前記ドキュメントを、前記持続的データストレージ媒体に書きこむことなく前記ワーキングメモリデバイスに維持することと、
   前記サービス要求、及び、前記ドキュメントに関連付けられたドキュメント状態を、前記ポリシーと対照して評価して、第１のセーブポリシーベクトルを決定することと、
   持続的保管のために、前記ネットワークコネクション上で、且つ、前記第１のセーブポリシーベクトルに基づいて、前記ドキュメントをセキュリティサービスプロバイダに送信することと、
   前記セキュリティサービスプロバイダから前記ドキュメントの受領の確認を受信することに応じて、前記第１のセーブポリシーベクトルに従って、前記ワーキングメモリデバイスから前記ドキュメントを削除することと、
   前記ドキュメントを削除した後に、前記サービス要求の実行に関連付けられた保留中のアクションが前記ドキュメントへのアクセスを要求することを決定することと、
   前記ネットワークコネクション上で前記１つ以上のプロセッサを使用して、前記セキュリティサービスプロバイダから前記ドキュメントを要求に応じて受信することと、
   前記ドキュメントを受信することに応じて、前記ドキュメントを、前記持続的データストレージ媒体に書きこむことなく前記ワーキングメモリデバイス内に維持することと、
   前記１つ以上のプロセッサを使用して、前記サービス要求の少なくとも一部の実現として、前記ドキュメントを伴う１つ以上のアクションを実行することであって、前記１つ以上のアクションは、前記保留中のアクションを含む、ことと、
   前記ドキュメントを伴う前記１つ以上のアクションの完了時に、前記第１のセーブポリシーベクトルに従って、前記ワーキングメモリデバイスから前記ドキュメントを削除することと、
   を含む操作を前記システムに実行させる命令を含む、システム。
2. 保留中のアクションが前記ドキュメントへのアクセスを要求することを決定することは、第２のユーザーから署名完了の要求を受信することを含む、請求項１に記載のシステム。
3. 前記１つ以上のアクションを実行することは、署名のために、少なくとも前記ドキュメントの表現を前記第２のユーザーに示すことを含む、請求項２に記載のシステム。
4. 前記１つ以上のアクションを実行することは、前記ドキュメントにデジタル又は電子署名を適用する前記第２のユーザーの代表である前記第２のユーザーから署名データを受信することを含む、請求項３に記載のシステム。
5. 前記持続的データストレージ媒体は、前記ワーキングメモリデバイスから前記ドキュメントを削除するより前に、前記ドキュメント及び前記サービス要求に関連する前記署名データの保管の操作を前記システムに実行させる命令をさらに含む、請求項４に記載のシステム。
6. 前記１つ以上のアクションを実行することは、前記ドキュメント及び前記サービス要求に関連付けられた前記１つ以上のアクションを確認するメタデータを収集し維持することを含む、請求項１に記載のシステム。
7. ワーキングメモリデバイスから前記ドキュメントを削除することは、
   前記ドキュメントへのアクセスを必要とする前記サービス要求に関連付けられたアクションが、前記クラウドベースサービスプラットフォーム上の保留中の処理ではないこと、及び、
   前記ドキュメントの現在のコピーの受信及び保管の前記セキュリティサービスプロバイダからの確認の受信、
   の条件に応じて発生する、請求項１に記載のシステム。
8. 前記ドキュメントを伴う１つ以上のアクションを実行することは、
   前記第１のユーザーに関連付けられたポリシーにアクセスすることと、
   前記サービス要求、及び、前記ドキュメントに関連付けられた更新されたドキュメント状態を、前記ポリシーと対照して評価して、第２のセーブポリシーベクトルを決定することと、
   前記第２のセーブポリシーベクトルに基づき、前記サービス要求及びドキュメントの評価結果に基づいて、前記ドキュメントを前記セキュリティサービスプロバイダに持続的に保管するか否かを決定することと、
   をさらに含む、請求項１に記載のシステム。
9. 前記サービス要求及び前記ドキュメントを前記ポリシーと対照して評価することは、前記ドキュメントに関連付けられた状態を前記ポリシーと対照して評価することを含む、請求項８に記載のシステム。
10. クラウドベースサービスプラットフォームによってアクセスされる保管データを保護するための方法であって、
    前記クラウドベースサービスプラットフォーム内のコンピューティングシステム上で、
    ネットワークコネクション上で１つ以上のプロセッサを使用して、前記クラウドベースサービスプラットフォームの第１のユーザーからサービス要求の一部としてドキュメントを受信することと、
    前記ネットワークコネクション上で前記１つ以上のプロセッサを使用して、持続的保管のために、前記ドキュメントをセキュリティサービスプロバイダに送信することと、
    前記セキュリティサービスプロバイダから前記ドキュメントの受領の確認を受信することに応じて、前記クラウドベースサービスプラットフォームから前記ドキュメントを削除することと、
    前記ドキュメントを削除した後に、前記サービス要求の実行に関連付けられた保留中のアクションが前記ドキュメントへのアクセスを必要とすることを決定することと、
    前記ネットワークコネクション上で前記１つ以上のプロセッサを使用して、前記セキュリティサービスプロバイダから前記ドキュメントを要求に応じて受信することと、
    前記１つ以上のプロセッサを使用して、前記サービス要求の少なくとも一部の実現として、前記ドキュメントを伴う１つ以上のアクションを実行することであって、前記１つ以上のアクションは、前記保留中のアクションを含む、ことと、
    前記ドキュメントを伴う前記１つ以上のアクションの完了時に、少なくとも２回、前記クラウドベースサービスプラットフォームから前記ドキュメントを削除することと、
    を含む操作を実行することを含む、方法。
11. 保留中のアクションが前記ドキュメントへのアクセスを要求することを決定することは、第２のユーザーから署名完了の要求を受信することを含む、請求項１０に記載の方法。
12. 前記１つ以上のアクションを実行することは、署名のために、少なくとも前記ドキュメントの表現を前記第２のユーザーに示すことを含む、請求項１１に記載の方法。
13. 前記１つ以上のアクションを実行することは、前記ドキュメントにデジタル又は電子署名を適用する前記第２のユーザーの代表である前記第２のユーザーから署名データを受信することを含む、請求項１２に記載の方法。
14. 前記クラウドベースサービスプラットフォームから前記ドキュメントを削除するより前に、前記ドキュメント及び前記サービス要求に関連する前記署名データを保管することをさらに含む、請求項１３に記載の方法。
15. 前記１つ以上のアクションを実行することは、前記ドキュメント及び前記サービス要求に関連付けられた前記１つ以上のアクションを確認するメタデータを収集し維持することを含む、請求項１０に記載の方法。
16. 前記クラウドベースサービスプラットフォームから前記ドキュメントを削除することは、
    前記ドキュメントへのアクセスを必要とする前記サービス要求に関連付けられたアクションが、前記クラウドベースサービスプラットフォーム上の保留中の処理ではないこと、及び、
    前記ドキュメントの現在のコピーの受信及び保管の前記セキュリティサービスプロバイダからの確認の受信、
    の条件に応じて発生する、請求項１０に記載の方法。
17. サービス要求の一部として前記ドキュメントを受信することは、
    前記第１のユーザーに関連付けられたポリシーにアクセスすることと、
    前記サービス要求、及び、前記ポリシーに反する前記ドキュメントを評価することと、
    前記サービス要求及びドキュメントの評価結果に基づいて、前記ドキュメントを前記セキュリティサービスプロバイダに持続的に保管するか否かを決定することと、
    を含む、請求項１０に記載の方法。
18. 前記サービス要求及び前記ドキュメントを前記ポリシーと対照して評価することは、前記ドキュメントに関連付けられた状態を前記ポリシーと対照して評価することを含む、請求項１７に記載の方法。
19. クラウドベースサービスプラットフォーム内のコンピュータシステムで実行されたときに、前記コンピュータシステムに操作を実行させる命令を含む非一過性のコンピュータ読取り可能な記憶媒体であって、前記命令は、
    ネットワークコネクション上で、前記クラウドベースサービスプラットフォームの第１のユーザーからサービス要求の一部としてドキュメントを受信することと、
    前記ドキュメントを、前記クラウドベースサービスプラットフォーム内の持続的データストレージに書きこむことなく前記コンピュータシステムのワーキングメモリ部に維持することと、
    持続的保管のために、前記ネットワークコネクション上で、前記ドキュメントをセキュリティサービスプロバイダに送信することと、
    前記セキュリティサービスプロバイダから前記ドキュメントの受領の確認を受信することに応じて、前記ワーキングメモリ部から前記ドキュメントを削除することと、
    前記ドキュメントを削除した後に、前記サービス要求の実行に関連付けられた保留中のアクションが前記ドキュメントへのアクセスを要求することを決定することと、
    前記ネットワークコネクション上で１つ以上のプロセッサを使用して、前記セキュリティサービスプロバイダから前記ドキュメントを要求に応じて受信することと、
    前記ドキュメントを受信することに応じて、前記ドキュメントを、前記持続的データストレージに書きこむことなく前記ワーキングメモリ部に維持することと、
    前記１つ以上のプロセッサを使用して、前記サービス要求の少なくとも一部の実現として、前記ドキュメントを伴う１つ以上のアクションを実行することであって、前記１つ以上のアクションは、前記保留中のアクションを含む、ことと、
    前記ドキュメントを伴う前記１つ以上のアクションの完了時に、前記ワーキングメモリ部から前記ドキュメントを削除することと、
    を含む、非一過性のコンピュータ読取り可能な記憶媒体。
20. 保留中のアクションが前記ドキュメントへのアクセスを要求することを決定することは、第２のユーザーから署名完了の要求を受信することを含み、
    前記１つ以上のアクションを実行することは、署名のために、少なくとも前記ドキュメントの表現を前記第２のユーザーに示すことを含む、請求項１９に記載の非一過性のコンピュータ読取り可能な記憶媒体。
21. 前記１つ以上のアクションを実行することは、前記ドキュメント及び前記サービス要求に関連付けられた前記１つ以上のアクションを確認するメタデータを収集し維持することを含む、請求項２０に記載の非一過性のコンピュータ読取り可能な記憶媒体。
22. ワーキングメモリデバイスから前記ドキュメントを削除することは、
    前記ドキュメントへのアクセスを必要とする前記サービス要求に関連付けられたアクションが、前記クラウドベースサービスプラットフォーム上の保留中の処理ではないこと、及び、
    前記ドキュメントの現在のコピーの受信及び保管の前記セキュリティサービスプロバイダからの確認の受信、
    の条件に応じて発生する、請求項１９に記載の非一過性のコンピュータ読取り可能な記憶媒体。

Images