JP6887438B2 - 遠隔プロキシを用いてデータレジデンシ保護を提供するためのシステムおよび方法 - Google Patents

Description

背景
クラウドコンピューティングサービスおよびソフトウェア・アズ・ア・サービス（ＳａａＳ）プロバイダがますます普及している。多くの場合、このようなサービスを利用するクライアントまたは顧客は、それらのコンピュータ制御データがどこでどのように処理および保護されているかに関心がある。世界の管轄区域の中には、その管轄区域の外に出てはならないデータの種類を規定するデータレジデンシ（ＤＲ）要件（規則）を有する管轄区域もある。たとえば、国民に関する個人識別情報（ＰＩＩ）をその国の国境内でしか保存することができない国もある。

そのような規則は、インターネットアプリケーションによって、最も一般的にはデータレジデンシ要件の例外を規定する「セーフハーバー」法によって対処されてきた。しかしながら、そのような「セーフハーバー」法が攻撃にさらされている。アプリケーションプロバイダの中には、管轄区域内に所在するデータセンターに提供物を配置するものもある。この産業においては、管轄区域の外部に所在する特定のアプリケーションについて作動するようにカスタマイズされたスタンドアローンアプリケーションであるデータレジデンシ製品も提供されている。

概要
一実施形態では、メモリからの命令を実行するための少なくとも１つのプロセッサを含むコンピューティングデバイスによって行なわれる、コンピュータにより実現される方法が開示される。方法は、コンピュータ制御ネットワーク通信を介して、コンピュータ制御サービス環境において、保護ドメイン環境の遠隔コンピュータ制御システムからユーザインターフェースコマンドを受信するステップと、ユーザインターフェースコマンドに応答して、少なくとも１つのプロセッサによって、コンピュータ制御サービス環境内にデータレジデンシ保護コンポーネントを生成するステップとを備える。データレジデンシ保護コンポーネントは、遠隔コンピュータ制御システムによって保護ドメイン環境内で実行されると、個人識別情報を保護ドメイン環境の外部に露出しないように隔離するコンピュータ制御サービス環境のためのプロキシとして働くように構成されている。方法はさらに、コンピュータ制御ネットワーク通信を介して、コンピュータ制御サービス環境から保護ドメイン環境の遠隔コンピュータ制御システムに、データレジデンシ保護コンポーネントをダウンロードするステップを含む。

別の実施形態では、データレジデンシ保護コンポーネントは、遠隔コンピュータ制御システムによって保護ドメイン環境内で実行されると、保護ドメイン環境からコンピュータ制御サービス環境へのデータ通信において個人識別情報を監視し、個人識別情報を表現および保護するためのトークンデータで個人識別情報を置換え、コンピュータ制御ネットワーク通信を介してコンピュータ制御サービス環境へトークンデータを送信するように構成されている。

別の実施形態では、データレジデンシ保護コンポーネントは、遠隔コンピュータ制御システムによって保護ドメイン環境内で実行されると、コンピュータ制御サービス環境から保護ドメイン環境へのデータ通信において、個人識別情報を表現するトークンデータを監視し、トークンデータを、保護ドメイン環境内で個人識別情報に置換えるように構成されている。

別の実施形態では、方法は、コンピュータ制御サービス環境のサービスアプリケーション構成の変更に応答して、少なくとも１つのプロセッサによって、コンピュータ制御サービス環境が、コンピュータ制御サービス環境内のデータレジデンシ保護コンポーネントを更新するステップと、更新されたデータレジデンシ保護コンポーネントをコンピュータ制御ネットワーク通信を介して保護ドメイン環境にダウンロードするステップとをさらに含む。

別の実施形態では、方法は、データレジデンシ保護コンポーネントがコンピュータ制御サービス環境内に生成されたときに、他の保護ドメイン環境に関してコンピュータ制御サービス環境内に生成されていた他のデータレジデンシ保護コンポーネントによって提供されるデータレジデンシ保護を無効にすることがないように、コンピュータ制御サービス環境が少なくとも１つのプロセッサによって保証するステップをさらに含む。

別の実施形態では、コンピュータ制御サービス環境のコンピューティングシステムが開示される。システムは、命令を含む非一時的なコンピュータ読取可能媒体に格納された視覚ユーザインターフェースモジュールを備え、命令は、実行されると、コンピュータ制御ネットワーク通信を介して保護ドメイン環境の遠隔コンピュータ制御システムによってアクセス可能なグラフィカルユーザインターフェースを生成するステップをプロセッサに行なわせる。システムはさらに、命令を含む非一時的なコンピュータ読取可能媒体に格納された構成モジュールを備え、命令は、実行されると、グラフィカルユーザインターフェースの助けにより、コンピュータ制御ネットワーク通信を介して保護ドメイン環境の遠隔コンピュータ制御システムから受信された構成コマンドに応答して、コンピュータ制御サービス環境内にデータレジデンシ保護コンポーネントを生成するステップをプロセッサに行なわせる。システムはさらに、命令を含む非一時的なコンピュータ読取可能媒体に格納されたダウンロードモジュールを備え、命令は、実行されると、グラフィカルユーザインターフェースの助けにより、コンピュータ制御ネットワーク通信を介して保護ドメイン環境の遠隔コンピュータ制御システムから受信されたダウンロードコマンドに応答して、コンピュータ制御ネットワーク通信を介してコンピュータ制御サービス環境から保護ドメイン環境の遠隔コンピュータ制御システムへデータレジデンシ保護コンポーネントをダウンロードするステップをプロセッサに行なわせる。データレジデンシ保護コンポーネントは、遠隔コンピュータ制御システムによって保護ドメイン環境内で実行されると、個人識別情報を保護ドメイン環境の外部に露出しないように隔離するコンピュータ制御サービス環境のためのプロキシとして働くように構成されている。

システムの別の実施形態では、コンピュータ制御サービス環境のコンピューティングシステムはサーバコンピュータを含む。

システムの別の実施形態では、非一時的なコンピュータ読取可能媒体に格納された構成モジュールは命令を含み、命令は、実行されると、データレジデンシ保護コンポーネントがコンピュータ制御サービス環境内に生成されたときに、他の保護ドメイン環境に関してコンピュータ制御サービス環境内に生成されていた他のデータレジデンシ保護コンポーネントによって提供されるデータレジデンシ保護を無効にすることがないように保証するステップをプロセッサに行なわせる。

システムの別の実施形態では、非一時的なコンピュータ読取可能媒体に格納された視覚ユーザインターフェースモジュールは命令を含み、命令は、実行されると、データレジデンシ保護コンポーネントがダウンロードモジュールによってダウンロードされたときに保護ドメイン環境内の遠隔コンピュータ制御システム上に自動でインストールされるための選択可能オプションを、グラフィカルユーザインターフェースを介して提供するステップをプロセッサに行なわせる。

システムの別の実施形態では、非一時的なコンピュータ読取可能媒体に格納された構成モジュールは命令を含み、命令は、実行されると、コンピュータ制御サービス環境のサービスアプリケーション構成の変更に応答して、コンピュータ制御サービス環境内のデータレジデンシ保護コンポーネントを更新するステップをプロセッサに行なわせる。非一時的なコンピュータ読取可能媒体に格納されたダウンロードモジュールは命令を含み、命令は、実行されると、更新されたデータレジデンシ保護コンポーネントをコンピュータ制御ネットワーク通信を介して保護ドメイン環境にダウンロードするステップをプロセッサに行なわせる。

本明細書に組み込まれ、本明細書の一部を構成する添付図面によって、さまざまなシステム、方法、および本開示の他の実施形態が説明される。図中に示された要素の境界（たとえば、ボックス、ボックスの集まり、または他の形状）は、境界の一実施形態を表わす。いくつかの実施形態では、１つの要素が複数の要素として設計されてもよく、または、複数の要素が１つの要素として設計されてもよい。いくつかの実施形態では、別の要素の内部構成要素として示される要素が外部構成要素として実現されてもよく、逆も同様である。また、要素は一定の縮尺で描かれていない場合もある。

データレジデンシ保護ロジックを備えて構成されたコンピューティングデバイスを有するコンピュータシステムの一実施形態を示す図である。 データレジデンシ保護コンポーネント（プロキシ）を生成するための、図１のデータレジデンシ保護ロジックによって行なわれ得る方法の一実施形態を示す図である。 図２の方法の一部分について拡大した一実施形態を示す図である。 図１のデータレジデンシ保護ロジックが実現され得るコンピューティングデバイスの一実施形態を示す図である。

詳細な説明
サービスプロバイダによるデータレジデンシサービスの提供を可能にするシステム、方法、および他の実施形態が開示される。このデータレジデンシサービスは、保護ドメイン環境のローカル管理者が実行可能データレジデンシ保護コンポーネントを構成およびダウンロードするために用いることができるものである。データレジデンシ保護コンポーネントは、ローカル管理者の保護ドメイン環境内で実行されると、個人識別情報（ＰＩＩ）またはその他のセンシティブであるとみなされるデータを隔離し、それらが保護ドメイン環境の外部に露出することを防止する。それにより、保護ドメイン環境内のユーザはサービスプロバイダが提供するアプリケーションにアクセス可能である一方、個人識別情報（ＰＩＩ）または管理者がセンシティブであると宣言するその他のデータが保護ドメイン環境の外に出ることは許可されない。

以下の用語が、本明細書においてさまざまな実施形態に関して使用される。
本明細書で使用される「個人識別情報（ＰＩＩ）」という用語は、特定の個人を潜在的に識別し得るコンピュータ制御データ、または、ある人を別の人と区別するとともに匿名データの匿名性を排除するために使用され得るデータを意味する。また、当該用語は、ある管轄区域内の規則によって厳格に規定されていないとしてもセンシティブまたは機密であるとみなされ得る、特定の個人に帰属する他の情報も意味し得る。

本明細書で使用される「データレジデンシ」という用語は、任意の種類の物理記憶装置または物理記憶媒体で具体化される、組織のデータまたは情報の物理位置を意味する。また、当該用語は、データが存在する国または地域に基づいてデータに課される法的または規制当局による要件も意味し得る。

本明細書で使用される「コンピュータ制御サービス環境」という用語は、インターネットまたはプライベートネットワーク（有線接続および無線接続の両方を含む）を介して遠隔にアクセス可能なアプリケーションサービスを提供するコンピュータ制御システムを意味する。

本明細書で使用される「保護ドメイン環境」という用語は、法的または規制当局によるデータレジデンシ要件を課す国または地域、および／または、その国または地域内のコンピュータ制御システムを意味する。

本明細書で使用される「データレジデンシ保護コンポーネント」という用語は、保護ドメイン環境内で実行されると、個人識別情報を保護ドメイン環境の外部に露出しないように隔離するコンピュータ制御サービス環境のためのプロキシまたはアクセスポイントとして働く１つ以上のデジタルファイル（たとえば、実行可能ファイル）を意味する。本明細書で時々使用される「プロキシ」という用語は、保護ドメイン環境のローカルなユーザと当該ドメイン環境の外部にあるサービス環境との間でプロキシまたは中継される通信のためのプロトコルを用いて、外部サービス環境へのアクセスを提供するデータレジデンシ保護コンポーネントを意味する。

図１は、データレジデンシ保護（ＤＲＰ）ロジック１１０を備えて構成されたコンピューティングデバイス１０５を有する集中型コンピュータシステム１００の一実施形態を示す。一実施形態では、コンピューティングデバイス１０５は、コンピュータ制御サービス環境（たとえば、ソフトウェア・アズ・ア・サービス（ＳａａＳ）環境）内のサーバコンピュータである。一実施形態では、データレジデンシ保護ロジック１１０は、遠隔ユーザによる個人識別情報（ＰＩＩ）の保護を可能にするように構成された大型コンピュータアプリケーション（たとえば、クラウドコンピューティングＤＲＰアプリケーション）の一部である。データレジデンシ保護ロジック１１０は、コンピュータ制御サービス環境（たとえば、コンピュータ制御クラウドサービス環境）内で実行可能かつダウンロード可能なデータレジデンシ保護コンポーネントを生成および更新する処理をコンピュータ制御および自動化するように構成されている。

図１を参照して、一実施形態では、データレジデンシ保護ロジック１１０はコンピューティングデバイス１０５上に実装されており、データレジデンシ保護ロジック１１０のさまざまな機能的局面を実現するためのロジックまたはモジュールを含む。データレジデンシ保護ロジック１１０によって、遠隔ユーザ（サービス環境から隔てられたユーザ）が保護ドメイン環境に関する保護を構成することが可能になる。一実施形態では、データレジデンシ保護ロジック１１０は、視覚ユーザインターフェースロジック／モジュール１２０、構成ロジック／モジュール１３０、およびダウンロードロジック／モジュール１４０を含む。これらについては、本明細書において後に詳述する。

一実施形態では、コンピュータシステム１００は、コンピューティングデバイス１０５に動作可能に接続されたデータベースデバイス１５０を含む。コンピュータシステム１００は、企業組織のためのアプリケーションまたは分散されたアプリケーションの集まりを含むコンピューティング／データ処理システムとして機能する。アプリケーションおよびコンピュータシステム１００は、クラウドベースのネットワーキングシステム、ソフトウェア・アズ・ア・サービス（ＳａａＳ）アーキテクチャ、または他の種類の分散型コンピューティングソリューションとともに動作するように構成されてもよく、またはそれらとして実現されてもよい。

図１に示すように、一実施形態では、コンピューティングデバイス１０５はコンピュータ制御サービス環境内のサーバコンピュータであり、コンピュータ制御ネットワーク１６０（たとえば、インターネット）を介して、このコンピュータ制御サービス環境から物理的に隔てられた保護ドメイン環境内の遠隔コンピュータ制御システム１７０と通信するように構成されている。遠隔コンピュータ制御システム１７０は、コンピューティングデバイス１０５からダウンロードされたデータレジデンシ保護コンポーネントを実行するように構成されたデータレジデンシ保護（ＤＲＰ）実行プロセッサ１８０を含む。また、遠隔コンピュータ制御システム１７０は、表示画面／コンピューティングデバイス１９０も含む。

一実施形態では、保護ドメイン環境内の遠隔コンピュータ制御システム１７０のユーザは、コンピュータ制御ネットワーク１６０を介して、コンピュータ制御サービス環境内のサーバコンピュータ１０５にアクセス可能である。ユーザは、サーバコンピュータ１０５にアクセスすることにより、コンピュータ制御サービス環境によって提供されるアプリケーションを使用し得る。アプリケーションは、たとえば、会計アプリケーション、財務アプリケーション、工学アプリケーションであってもよいし、または、ユーザが保護ドメイン環境内のシステム上にアプリケーションをインストールして動作させるのではなく、物理的に保護ドメインの外部にあるネットワークアクセス可能環境からアクセスすることがより有用である、他の任意の種類のアプリケーションであってもよい。一実施形態によれば、遠隔コンピュータ制御システム１７０のシステム管理者は、データレジデンシ保護ロジック１１０を有するサーバコンピュータ１０５にアクセスすることにより、コンピュータ制御サービス環境内にデータレジデンシ保護コンポーネントまたはプロキシを構成することができる。

図１のデータレジデンシ保護ロジック１１０のロジックに戻って、一実施形態では、視覚ユーザインターフェースロジック１２０は、データレジデンシ保護ロジック１１０とユーザとの対話を容易にするためのグラフィカルユーザインターフェース（ＧＵＩ）を生成するように構成されている。たとえば、視覚ユーザインターフェースロジック１２０は、グラフィカルユーザインターフェースを生成するプログラムコードを含む。このプログラムコードによって、グラフィカルユーザインターフェースが遠隔コンピュータ制御システム１７０によってアクセスされ、表示される（たとえば、表示画面／コンピューティングデバイス１９０上）。ＧＵＩを介したユーザアクションおよび選択に応答して、データレジデンシ保護コンポーネントを構成するための関連局面が処理され得る。

たとえば、一実施形態では、視覚ユーザインターフェースロジック１２０は、保護ドメイン環境の遠隔コンピュータ制御システム１７０のシステム管理者が、データレジデンシ保護コンポーネントの構成に関連する選択およびデータ入力（たとえば、テンプレート内）を行なうことを可能にするグラフィカルユーザインターフェースを提供するように構成されている。一実施形態では、選択およびデータは、ユーザインターフェースコマンドまたは構成コマンドの形で遠隔コンピュータ制御システム１７０から視覚ユーザインターフェースロジック１２０に提供される。選択およびデータ入力を行なうためのテンプレートは、コンピュータ制御サービス環境内のサーバコンピュータ１０５に動作可能に接続されたデータベースデバイス１５０に格納されている。さらに、結果として生成されるデータレジデンシ保護コンポーネントは、本明細書で後述するデータベースデバイス１５０に格納され得る。

再び図１を参照して、一実施形態では、構成ロジック１３０は、コンピュータ制御サービス環境内にデータレジデンシ保護コンポーネントを生成するように構成されている。データレジデンシ保護コンポーネントは、グラフィカルユーザインターフェースの助けによりコンピュータ制御ネットワーク１６０を介して保護ドメイン環境の遠隔コンピュータ制御システム１７０から受信された構成コマンド（たとえば、システム管理者によって生成された応答コマンド）に応答して生成される。

データレジデンシ保護コンポーネントは、コンピュータ制御サービス環境内のアプリケーションのためのプロキシとして働くように構成されている。すなわち、データレジデンシ保護コンポーネントは、保護ドメイン環境内で実行されると、個人識別情報（ＰＩＩ）を保護ドメイン環境の外部に露出しないように隔離する。一実施形態によれば、データレジデンシ保護コンポーネントは、保護ドメイン環境にダウンロードされて当該環境内で動作する実行可能デジタルファイル（たとえば、Ｊａｖａ（登録商標）実行可能コンポーネント、または別の遠隔生成された実行可能フォーマット）を少なくとも含む。さまざまな実施形態によれば、データレジデンシ保護コンポーネントは、ウェブベースプロトコル、メール転送プロトコル（たとえば、電子メール用）、ファイル転送プロトコル（たとえば、電子ファイル転送用）、または、他の何らかのプロトコルと互換性を有するように構成され得る。

一般的に、データレジデンシ保護コンポーネントは、個人識別情報およびその他のセンシティブであるとみなされるデータを保護する。さらに、一実施形態では、データレジデンシ保護コンポーネントはクライアントまたは顧客のネットワーク上に存在し、当該ネットワークを介してしかアクセスすることができない（すなわち、サービスアプリケーションのユーザはプロキシを経由しなければならない）。これにより、保護されたデータがその会社のネットワークの外に出ないようになっている。

例として、遠隔コンピュータ制御システム１７０のシステム管理者（またはインテグレーション専門家）は、視覚ユーザインターフェースロジック１２０によって提供されたグラフィカルユーザインターフェースを介して、データベースデバイス１５０中のテンプレートにアクセスしてもよい。テンプレートは、保護ドメイン環境のデータレジデンシ規則に対応していてもよい。続いて、システム管理者は、テンプレートから選択を行ない、テンプレートのデータフィールドを埋め、システムに関する選択を行なってもよい。たとえば、選択は、データレジデンシ規則の特定の解釈に基づくものであってもよい。データフィールドは、たとえば保護対象のデータの種類を識別するためのデータで埋められてもよい。システムに関する選択は、データレジデンシ保護コンポーネントをインストールする場所、およびオペレーティングシステムを指定するように行なってもよい。システムに関する別の選択は、データレジデンシ保護コンポーネントと互換性のあるプロトコルを指定するように行なってもよい。次いで、一実施形態では、構成ロジック１３０がテンプレートの情報に対して動作することにより、保護ドメイン環境に関するデータレジデンシ保護コンポーネント（たとえば、実行可能ファイル、またはパッケージ化されたファイルの組）を生成する。

他の保護ドメイン環境に関して、コンピュータ制御サービス環境内に他のデータレジデンシ保護コンポーネントが生成されることもある。コンピュータ制御サービス環境は、保護ドメインに関して生成したすべてのコンポーネントについて認識している。また、一実施形態では、構成ロジック１３０は、新たなデータレジデンシ保護コンポーネントが生成されたときに、他の保護ドメイン環境に関して以前に生成されていた他のデータレジデンシ保護コンポーネントによって提供されるデータレジデンシ保護を無効にすることがないように保証するように構成されている。他の保護ドメイン環境に関する他のプロキシの保護構成を認識することによって、構成ロジック１３０は、新たなデータレジデンシ保護コンポーネント（新たなプロキシ）の生成が他の保護ドメイン環境に関するデータレジデンシ保護を損なわないことを保証することができる。

たとえば、トークン値の範囲は、データレジデンシ保護コンポーネント（プロキシ）毎に割り当てられ得る。トークン値は、ＰＩＩ情報を保護ドメイン環境内に留めるために、ＰＩＩ値の代用として使用される。簡単な例では、トークン長さを４バイト（３２ビット）に制限するために、トークンの値は各プロキシにつき０〜２^３０−１の範囲であってもよい（１つのシステムにつき、およそ１０億個のトークン）。各プロキシは、０、１、２、または３のいずれかのプレフィックスを有してもよい（たとえば、予想されるプロキシが４つだけの場合）。実際には、トークン内の値を有効なユニコード文字に限定するとともに、より多くのプロキシを可能にするために、より長いトークンが使用されてもよい。

さもなければ、異なるクリアテキスト値に対応して同一値を有するトークンが存在し得る。これにより、セントラルアプリケーションインスタンスに保存されたデータが破壊される可能性がある。たとえば、フランスの従業員に関する人的資源レコードがタイの従業員に関するデータにリンクされてしまうかもしれず、トークン化されて保護されたデータに対してどのプロキシサーバが動作していたかによって、トークン値の不適切な代入につながる可能性もある。

各プロキシは、所定の範囲または所定のプレフィックスのトークンを生成し、範囲／プレフィックスは重なり合わない。プロキシはコンピュータ制御サービス環境内に構成されるため、コンピュータ制御サービス環境はプロキシのうちのすべてについて認識しており、範囲またはプレフィックス（または両方）を割り当てる。システムは、プレフィックスおよび／または範囲についての合理的な選択を提案してもよい。結果として生成されるプロキシの組は、データレジデンシに関するシステムの要素である。それとは対照的に、ＤＲＰに関するサードパーティー製品の場合には、各プロキシが分離して生成されるため、システム管理者が間違いを犯す可能性がある。

中央構成によって、どのネットワークアドレスが所定のデータレジデンシプロキシを使用可能であるかについての制御も可能になる。これにより、ある国の外部の人がその国のプロキシサーバに接続できないこと、およびその国の保護情報を検索できないことが保証される。また、中央構成によって、プロキシが所定のインターネットプロトコル（ＩＰ）範囲のみに応答するように構成されることも可能になる。これにより、別の保護の層が追加される。手動の構成では、そのような保護を手動で正しくセットアップし、かつ、誤って（または悪意をもって）データレジデンシ規則に違反しないようにすることが、ローカルシステム管理者にかかっている。集中化、自動化されたトークン範囲の割り当てと、管理者の改変に対してそれらの割り当て範囲をロックする機能とを組み合わせることによって、保護情報が所定の国または地域（保護ドメイン環境）の外に出る機会が大幅に減少するはずである。

一実施形態では、ダウンロードロジック１４０は、コンピュータ制御ネットワーク１６０を介して、コンピュータ制御サービス環境から保護ドメイン環境の遠隔コンピュータ制御システム１７０にデータレジデンシ保護コンポーネントをダウンロードするように構成されている。視覚ユーザインターフェースロジック１２０によって提供されるグラフィカルユーザインターフェースの助けにより、ダウンロードコマンドがコンピュータ制御ネットワーク１６０を介して遠隔コンピュータ制御システム１７０から受信されるのに応答して、データレジデンシ保護コンポーネントがダウンロードロジック１４０によってダウンロードされる。たとえば、一実施形態では、データレジデンシ保護コンポーネント（たとえば、実行可能ファイル）が構成ロジック１３０によって生成されると、システム管理者はグラフィカルユーザインターフェース上でアイコンを選択することにより、ダウンロードロジック１４０がコンポーネントをダウンロードするように指示してもよい。

一実施形態によれば、データレジデンシ保護コンポーネントは、ダウンロードされたときに、保護ドメイン環境内の遠隔コンピュータ制御システム１７０上に自動でインストールされる。一実施形態では、データレジデンシ保護コンポーネントがダウンロードされたときに自動でインストールされるように、視覚ユーザインターフェースロジック１２０がグラフィカルユーザインターフェースを介して選択可能なオプションを提供する。代替的には、データレジデンシ保護コンポーネントは、たとえばシステム管理者によって手動でインストールされてもよい。

一実施形態によれば、データレジデンシ保護コンポーネントが保護ドメイン環境の遠隔コンピュータ制御システム１７０にダウンロードされたとしても、当該データレジデンシ保護コンポーネントのコピーがコンピュータ制御サービス環境内のデータベースデバイス１５０に保存される。時間の経過に伴ってコンピュータ制御サービス環境のサービスアプリケーション構成が変更され、その結果、コンピュータ制御サービス環境とデータレジデンシ保護コンポーネントとの間の互換性がなくなる可能性がある。一実施形態では、構成ロジック１３０は、サービスアプリケーション構成の変更に応答してコンピュータ制御サービス環境内のデータレジデンシ保護コンポーネントを更新することにより、互換性を維持するように構成されている。

さらに、一実施形態では、ダウンロードロジック１４０は、更新されたデータレジデンシ保護コンポーネントを、コンピュータ制御ネットワーク１６０を介して保護ドメイン環境の遠隔コンピュータ制御システム１７０にダウンロードするように構成されている。更新されたコンポーネントは、ダウンロードされた後に、さまざまな実施形態に従って遠隔コンピュータ制御システム１７０上に自動または手動でインストールされ得る。このように、アプリケーション構成が変更された際に、コンピュータ制御サービス環境は、複数の保護ドメイン環境にわたる既存のデータレジデンシ保護コンポーネントを維持する。たとえば、一実施形態では、データレジデンシ保護コンポーネントは、ダウンロードおよびインストールされた後、構成更新に関してコンピュータ制御サービス環境のＳａａＳアプリケーションを定期的に参照してもよい。

他の実施形態は、図１のデータレジデンシ保護ロジック１１０と同一または類似の機能を提供する、さまざまなロジックまたはロジックの組み合わせを提供し得る。一実施形態では、データレジデンシ保護ロジック１１０は、ロジックの機能を実行するように構成されたアルゴリズムおよび／またはプログラムモジュールを含む実行可能アプリケーションである。アプリケーションは、非一時的なコンピュータ記憶媒体に格納されている。すなわち、一実施形態では、データレジデンシ保護ロジック１１０のロジックは、コンピュータ読取可能媒体に格納された命令のモジュールとして実現される。

一実施形態では、コンピュータシステム１００は、少なくとも本明細書に開示された機能を提供し、かつ、コンピュータネットワーク上でコンピュータシステム１００（サーバとして機能する）と通信するコンピューティングデバイス／端末（たとえば、表示画面／コンピューティングデバイス１９０）を介して多くのユーザによってアクセスされる集中型サーバサイドアプリケーションである。他の実施形態は、図１のシステム１００と同一または類似の機能を提供する、さまざまなコンピュータおよびロジック、またはコンピュータおよびロジックの組み合わせを提供し得る。

このように、データレジデンシ保護ロジック１１０によって、保護ドメイン環境内の遠隔システム管理者は、保護ドメイン環境の外部のコンピュータ制御サービス環境内で個人識別情報（ＰＩＩ）のための保護を構成することが可能になる。ただし、保護は保護ドメイン環境内で実行される。

図２は、データレジデンシ保護コンポーネントを生成するために図１のデータレジデンシ保護ロジック１１０によって行なわれ得る方法２００の一実施形態を示す。方法２００は、図１のシステム１００の動作を説明し、図１のシステム１００によって、または方法２００のアルゴリズムを備えて構成されたコンピューティングシステムによって行なわれるように実現される。たとえば、一実施形態では、方法２００は、コンピュータアプリケーションを実行するように構成されたコンピューティングシステムによって実現される。コンピュータアプリケーションは、電子的にデータを処理するように構成されており、方法２００の機能を行なう、格納された実行可能命令を含む。

コンピュータ制御サービス環境のシステム１００がコンピュータ制御ネットワーク１６０を介して保護ドメイン環境の遠隔コンピュータ制御システム１７０と対話する図１の観点から、方法２００を説明する。ただし、方法２００は、コンピュータ制御サービス環境内の図１のシステム１００のサーバコンピュータ１０５のデータレジデンシ保護ロジック１１０によって行なわれるものとする。

方法２００が開始されると、ブロック２１０では、コンピュータ制御ネットワーク通信を介して、コンピュータ制御サービス環境において、保護ドメイン環境の遠隔コンピュータ制御システムからのユーザインターフェースコマンドが受信される。たとえば、一実施形態では、コンピュータ制御ネットワーク１６０（たとえば、ＷＡＮまたはインターネット）を介して、保護ドメイン環境の遠隔コンピュータ制御システム１７０から、サーバコンピュータ１０５上のデータレジデンシ保護ロジック１１０によって構成コマンドが受信される。データレジデンシ保護ロジック１１０の視覚ユーザインターフェースロジック１２０は、グラフィカルユーザインターフェースを提供する。遠隔コンピュータ制御システム１７０のユーザ（たとえば、システム管理者またはインテグレーション専門家）は、このグラフィカルユーザインターフェースと対話することにより、ユーザインターフェースコマンドを与える。

ブロック２２０では、ユーザインターフェースコマンドに応答して、コンピュータ制御サービス環境内にデータレジデンシ保護コンポーネントが生成される。たとえば、一実施形態では、サーバコンピュータ１０５上のデータレジデンシ保護ロジック１１０の構成ロジック１３０が、構成コマンドに応答してデータレジデンシ保護コンポーネントを生成する。データレジデンシ保護コンポーネントは、コンピュータ制御サービス環境のためのプロキシとして働くように構成されている。データレジデンシ保護コンポーネントは、遠隔コンピュータ制御システム１７０によって保護ドメイン環境内で実行されると、個人識別情報（ＰＩＩ）を隔離し、保護ドメイン環境の外部で露出または保存されないようにする（たとえば代用トークンによって）。

再び図２を参照して、新たに生成されたデータレジデンシ保護コンポーネントが、コンピュータ制御サービス環境内に以前に生成されていた他のデータレジデンシ保護コンポーネントによって提供されるデータレジデンシ保護を無効にすることがないように保証するための確認が、ブロック２２０におけるデータレジデンシ保護コンポーネントの生成の一部として行なわれる。たとえば、一実施形態では、この確認は、サーバコンピュータ１０５上のデータレジデンシ保護ロジック１１０の構成ロジック１３０によって行なわれる。

図３は、図２の方法２００のブロック２２０について拡大した一実施形態を示す。再びブロック２２０に戻って、たとえば保護ドメイン環境内の遠隔コンピュータ制御システムの管理者からのユーザインターフェースコマンドに応答して、コンピュータ制御サービス環境内にデータレジデンシ保護コンポーネントが生成される。図３を参照して、ブロック２２０のブロック２２２では、使用されていないトークン値の範囲または組が選択され、コンピュータ制御サービス環境内に生成されている他のデータレジデンシ保護コンポーネントが使用する値との衝突の可能性を回避するように（すなわち、他のデータレジデンシ保護コンポーネントによって提供されるデータレジデンシ保護が無効になるのを回避するように）確認が行なわれる。

ブロック２２０のブロック２２４では、保護対象の情報に関する選択オプションまたは必須オプションを含む構成ファイルが生成される。構成ファイルは、次に行なわれる検証をサポートするために、署名またはチェックサムが行なわれてもよい。ブロック２２０のブロック２２６では、実行可能なモジュール、プログラム、またはスクリプトが選択され、ダウンロード可能なフォーマットにパッケージ化される。パッケージ化されたダウンロード可能なフォーマットは、次に行なわれる検証をサポートするために、署名またはチェックサムが行なわれてもよい。

再び図１を参照して、保護ドメイン環境内のユーザがコンピュータ制御サービス環境によって提供されたアプリケーションにアクセスして使用する際に、コンピュータ制御サービス環境と保護ドメイン環境との間でデータ通信が行なわれ得る。一実施形態によれば、データレジデンシ保護コンポーネントは、遠隔コンピュータ制御システム１７０によって実行されると、保護ドメイン環境からコンピュータ制御サービス環境へのデータ通信において、個人識別情報（ＰＩＩ）を監視する。監視によって個人識別情報（ＰＩＩ）が検出されると、当該個人識別情報（ＰＩＩ）を表現および保護するためのトークンデータで当該個人識別情報（ＰＩＩ）を置換える。このように、個人識別情報（ＰＩＩ）が保護ドメイン環境の外に出ないようにする。その代わりに、トークンデータが、コンピュータ制御ネットワーク１６０を介してコンピュータ制御サービス環境に伝達（たとえば送信）される。

同様に、一実施形態によれば、データレジデンシ保護コンポーネントは、コンピュータ制御サービス環境から保護ドメイン環境へのデータ通信において、個人識別情報（ＰＩＩ）を表現するトークンデータを監視する。監視によってトークンデータが検出されると、当該トークンデータは、保護ドメイン環境内で対応する個人識別情報（ＰＩＩ）に置換えられる。このように、個人識別情報（ＰＩＩ）は、保護ドメイン環境における全体のデータの一部として適切に維持される。

他のデータレジデンシ保護コンポーネントは、データベースデバイス１５０に格納されている。したがって、コンピュータ制御サービス環境は、他のデータレジデンシ保護コンポーネント、およびそれらの保護構成を認識している。それにより、データレジデンシ保護ロジック１１０は、この認識にアクセスし、新たに生成されたデータレジデンシ保護コンポーネントが、他のデータレジデンシ保護コンポーネントによって提供されるデータレジデンシ保護を無効にすることがないように（逆も同様）保証するための分析（確認）を行なうことができる。

ブロック２３０では、データレジデンシ保護コンポーネントが生成されると、それはコンピュータ制御ネットワーク１６０を介して、コンピュータ制御サービス環境から保護ドメイン環境の遠隔コンピュータ制御システム１７０にダウンロードされ得る。たとえば、一実施形態では、ダウンロードは、サーバコンピュータ１０５上のデータレジデンシ保護ロジック１１０のダウンロードロジック１４０によって行なわれる。データレジデンシ保護コンポーネントがダウンロードされると、それは自動または手動で保護ドメイン環境内の遠隔コンピュータ制御システム１７０上にインストールされ得る。

一実施形態では、保護ドメイン環境に関係し、かつダウンロードされたファイルを有するシステム管理者は、受信システムの特定のセキュリティ設定に基づくデジタル証明書およびデジタル署名を受理するように促されてもよい。デジタル署名によって提供された出所の証明に基づいて設定および実行可能ファイルが管理者によってまたは自動で受理された場合、データレジデンシ保護コンポーネントを実行するのに用いられる保護ドメイン環境内のシステムのオペレーティングシステムに固有の方法で、ファイルがロードおよびインストールされ得る。代替的には、保護ドメイン環境内の実行システムは、コンピュータ制御サービス環境によって必要とされた実行可能コードの更新または構成の変更（たとえば、保護ドメイン環境内に常駐する情報についての規則が変更された場合）のための適切なファイルを自動でダウンロードするように構成されてもよい。また、他の言語またはオペレーティングシステムが使用された場合には、デジタル署名された構成、および使用される任意の実行可能プログラム、コード、またはファイルを分配するのに適した同等のセキュアなパッケージングフォーマットが存在する。

さらに、時間の経過に伴って、コンピュータ制御サービス環境のアプリケーション構成の変更が起こり、その結果、コンピュータ制御サービス環境とデータレジデンシ保護コンポーネントとの間の互換性がなくなる場合がある。ブロック２４０では、サービス（たとえば、クラウド）アプリケーション構成における変更の監視が行なわれる。一実施形態によれば、監視は、コンピュータ制御サービス環境内のサーバコンピュータ１０５上のデータレジデンシ保護ロジック１１０の構成ロジック１３０によって行なわれる。別の実施形態によれば、監視は、データレジデンシ保護ロジック１１０とは別の、コンピュータ制御サービス環境の異なるロジックによって行なわれる。当該異なるロジックは、サービスアプリケーション構成において検出された変更を構成ロジック１３０に通知する。

サービスアプリケーション構成の変更が検出されると、方法２００はブロック２２０に戻り、必要に応じて、最新のサービスアプリケーション構成との互換性を得るためにデータレジデンシ保護コンポーネントを更新する。再び、一実施形態によれば、データレジデンシ保護コンポーネントのコピーがコンピュータ制御サービス環境内のデータベースデバイス１５０に格納され、それによって、更新のために構成ロジック１３０によって容易にアクセス可能になる。データレジデンシ保護コンポーネントは、更新されたときに、保護ドメイン環境内の遠隔コンピュータ制御システム１７０上にダウンロードおよびインストールされ、それによって、前のバージョンのデータレジデンシ保護コンポーネントに取って代わってもよい。

一実施形態によれば、コンピュータ制御サービス環境は、保護ドメイン環境の管理者に、どの情報を保護すべきかについての構成オプション（ブロック２１０）を提示する。その決定は、保護管轄区域の規則および法律に基づく。その管轄区域内の保護情報に関する最低条件に従った決定に基づき、いくつかのオプションが利用可能でないこともある。

Ｊａｖａベースの実現例では、コンピュータ制御サービス環境は、オプションを詳細に記述する構成ファイルを生成し（ブロック２２０）、周知または公認の認証局からの公開鍵証明書を用いて、構成ファイルにデジタル署名し得る。それにより、構成がコンピュータ制御サービス環境によって生成された際に有効であったことが証明される。同様に、個々のＪａｖａアーカイブ（「ＪＡＲファイル」）がデジタル署名されてもよい。それによって、それらの出所が、管理者によって、または保護ドメイン環境内で動作するシステムによって検証可能になる。ＪＮＬＰ（Java Network Launch Protocol）として知られる一般的なファイルフォーマットを用いて、署名された構成およびＪａｖａアーカイブファイルがダウンロードされ得るネットワークの位置、ならびに、ダウンロードされたファイルの動作に関連する他の情報を記述してもよい。なお、他の実施形態に従ってそのような情報を記述するために用いられ得る類似または同等のフォーマットは数多く存在する。

別の保護管轄区域のシステム管理者がコンピュータ制御サービス環境にアクセスすると、方法２００のブロック２１０からブロック２３０まで、処理が繰り返され得る。提示される構成オプションは、その管轄区域内の保護情報に関する特定の要件または規則に基づいて異なってもよい。次いで、管理者は、デジタル署名された１つまたは複数のファイルをダウンロードし、本明細書で上述した検証、インストール、および実行へと進み得る。上述の方法で更新が施されてもよい。

コンピュータ制御サービス環境内の集中型システム（たとえば、システム１００）は、方法２００に記載される機能をサポートするために、各管轄区域内で使用されるトークンの値または値の範囲を管理する責任を負う。システム管理者に提示されるデータレジデンシオプションを制限するとともに、コンピュータ制御サービス環境にアクセス可能なネットワークアドレスを制限するなど、追加のセキュリティ対策をさらに施行してもよい。

このように、コンピュータ制御サービス環境内の集中型システムが正しく管理および構成されると、すべての保護管轄区域に関してデータレジデンシオプションが正しく構成されること、かつ、広く受け入れられている公開鍵暗号証明書技術を用いてデータレジデンシ保護コンポーネントの出所が検証可能であることが保証される。さらに、集中型システムによって、システムネットワークアドレスまたはアドレス範囲に基づくネットワークアクセス制限などの任意の追加のセキュリティ対策が、遠隔システム管理者によって正しく適用されていることが保証される。これにより、複数の保護管轄区域にわたってデータレジデンシまたは同様の要件を遵守するために必要な労力が大幅に削減される。また、集中型システムによる変更が必要となった場合に、実行可能ファイルまたは構成ファイルの更新に必要な労力が削減される。さらに、トークン値またはトークン範囲が重複または複写されているため、管轄区域から受信されたデータが集中型システムに保持されたデータを意図せず破損することがない。

このように、個人識別情報（ＰＩＩ）が保護ドメイン環境の外に出ないように保護しつつ、保護ドメイン環境内のユーザは、保護ドメイン環境の外部のコンピュータ制御サービス環境によって提供されたサービスアプリケーションにアクセスし、使用することができる。これにより、複雑でカスタマイズされたハードウェアおよび／またはソフトウェアの保護ソリューションを各保護ドメイン環境内にインストールおよび構成する必要がなくなる。さらに、更新されたデータレジデンシ保護コンポーネントを必要に応じて保護ドメイン環境に提供することにより、コンピュータ制御サービス環境によって保護が維持される。

個人識別情報を保護するように構成されたシステム、方法、および他の実施形態を説明してきた。一実施形態では、コンピュータ制御サービス環境はデータレジデンシ保護ロジックを含んでおり、このデータレジデンシ保護ロジックは、保護ドメイン環境から受信された構成コマンドに応答して、コンピュータ制御サービス環境内にデータレジデンシ保護コンポーネントを生成するように構成されている。データレジデンシ保護コンポーネントは、保護ドメイン環境にダウンロードされてもよく、保護ドメイン環境内で実行されると、個人識別情報を保護ドメイン環境の外部に露出しないように隔離するコンピュータ制御サービス環境のためのプロキシとして働く。

コンピューティングデバイスの実施形態
図４は、本明細書で説明される例示的なシステムおよび方法、および／または均等物のうちの１つ以上で構成および／またはプログラムされた例示的なコンピューティングデバイスを示す。図４は、データレジデンシ保護ロジックの実施形態が実現され得るコンピューティングデバイスの実施形態の一例を示す。例示的なコンピューティングデバイスは、バス４０８によって動作可能に接続されたプロセッサ４０２と、メモリ４０４と、入力／出力ポート４１０とを含むコンピュータ４００であってもよい。

一例では、コンピュータ４００は、データレジデンシ保護ロジック４３０（たとえば、図１のデータレジデンシ保護ロジック１１０に対応）を含んでいてもよい。異なる例では、ロジック４３０は、ハードウェア、命令が格納された非一時的なコンピュータ読取可能媒体、ファームウェア、および／またはそれらの組み合わせで実現されてもよい。ロジック４３０はバス４０８に取付けられたハードウェアコンポーネントとして示されているが、他の実施形態では、ロジック４３０は、プロセッサ４０２、メモリ４０４に格納されたモジュール、またはディスク４０６に格納されたモジュールとして実現されてもよいことが理解されるべきである。

一実施形態では、ロジック４３０またはコンピュータ４００は、説明されたアクションを行なうための手段（たとえば、ハードウェア、非一時的コンピュータ読取可能媒体、ファームウェアといった構造）である。いくつかの実施形態では、コンピューティングデバイスは、クラウドコンピューティングシステムにおいて動作するサーバ、ソフトウェア・アズ・ア・サービス（ＳａａＳ）アーキテクチャにおいて構成されたサーバ、スマートフォン、ラップトップ、タブレットコンピューティングデバイスなどとして構成されてもよい。

上記手段は、たとえば、保護ドメイン環境からのコマンドに応答してコンピュータ制御サービス環境内にデータレジデンシ保護コンポーネントを生成するようにプログラムされた特定用途向け集積回路（ＡＳＩＣ）として実現されてもよい。上記手段は、一時的にメモリ４０４に格納されてプロセッサ４０２によって実行されるデータ４１６としてコンピュータ４００に与えられる、格納されたコンピュータ実行可能命令としても実現されてもよい。

ロジック４３０は、コンピュータ制御ネットワーク通信を介して、コンピュータ制御サービス環境において、保護ドメイン環境の遠隔コンピュータ制御システムからユーザインターフェースコマンドを受信するための手段（たとえば、ハードウェア、実行可能命令を格納する非一時的コンピュータ読取可能媒体、ファームウェア）を提供してもよい。ロジック４３０は、ユーザインターフェースコマンドに応答してコンピュータ制御サービス環境内にデータレジデンシ保護コンポーネントを生成するための手段を提供してもよい。

コンピュータ４００の例示的な構成を概して説明すると、プロセッサ４０２は、デュアルマイクロプロセッサおよび他のマルチプロセッサアーキテクチャを含む、多種多様のプロセッサであってもよい。メモリ４０４は、揮発性メモリおよび／または不揮発性メモリを含んでいてもよい。不揮発性メモリは、たとえばＲＯＭ、ＰＲＯＭなどを含んでいてもよい。揮発性メモリは、たとえばＲＡＭ、ＳＲＡＭ、ＤＲＡＭなどを含んでいてもよい。

記憶ディスク４０６は、たとえば入力／出力インターフェース（たとえば、カード、デバイス）４１８および入力／出力ポート４１０を介して、コンピュータ４００に動作可能に接続されていてもよい。ディスク４０６は、たとえば、磁気ディスクドライブ、ソリッドステートディスクドライブ、フロッピー（登録商標）ディスクドライブ、テープドライブ、Ｚｉｐドライブ、フラッシュメモリカード、メモリスティックなどであってもよい。さらに、ディスク４０６は、ＣＤ−ＲＯＭドライブ、ＣＤ−Ｒドライブ、ＣＤ−ＲＷドライブ、ＤＶＤ ＲＯＭなどであってもよい。メモリ４０４は、たとえば処理４１４および／またはデータ４１６を格納可能してもよい。ディスク４０６および／またはメモリ４０４は、コンピュータ４００のリソースの制御および割り当てを行なうオペレーティングシステムを格納してもよい。

コンピュータ４００は、ｉ／ｏインターフェース４１８および入力／出力ポート４１０を介して入力／出力デバイスと対話してもよい。入力／出力デバイスは、たとえば、キーボード、マイクロホン、ポインティングおよび選択デバイス、カメラ、ビデオカード、ディスプレイ、ディスク４０６、ネットワークデバイス４２０などであってもよい。入力／出力ポート４１０は、たとえば、シリアルポート、パラレルポート、およびＵＳＢポートを含んでいてもよい。

コンピュータ４００はネットワーク環境において動作し得るため、ｉ／ｏインターフェース４１８および／またはｉ／ｏポート４１０を介してネットワークデバイス４２０に接続されていてもよい。ネットワークデバイス４２０を介して、コンピュータ４００はネットワークと対話してもよい。ネットワークを介して、コンピュータ４００は遠隔コンピュータと論理的に接続されていてもよい。コンピュータ４００が対話し得るネットワークは、ＬＡＮ、ＷＡＮ、および他のネットワークを含むが、これらに限定されない。

定義および他の実施形態
別の実施形態では、説明された方法および／またはそれらの均等物は、コンピュータ実行可能命令で実現されてもよい。このため、一実施形態では、非一時的コンピュータ読取可能／記憶媒体は、マシンによって実行されると、マシン（および／または関連付けられたコンポーネント）に方法を行なわせる、アルゴリズム／実行可能アプリケーションの格納されたコンピュータ実行可能命令で構成される。例示的なマシンは、プロセッサ、コンピュータ、クラウドコンピューティングシステムにおいて動作するサーバ、ソフトウェア・アズ・ア・サービス（ＳａａＳ）アーキテクチャにおいて構成されたサーバ、スマートフォンなどを含むが、それらに限定されない。一実施形態では、コンピューティングデバイスは、開示された方法のうちのいずれかを行なうように構成された１つ以上の実行可能アルゴリズムで実現される。

１つ以上の実施形態では、開示された方法またはそれらの均等物は、方法を行なうように構成されたコンピュータハードウェア、または、方法を行なうように構成された実行可能アルゴリズムを含む非一時的コンピュータ読取可能媒体で具体化されるコンピュータソフトウェアによって行なわれる。

説明を簡潔にするために、図面に示された方法論は、アルゴリズムの一連のブロックとして図示され説明されているが、方法論はブロックの順序によって限定されないということが理解されるべきである。いくつかのブロックは、図示され説明されたものとは異なる順序で、および／または他のブロックと同時に起こり得る。さらに、例示的な方法論を実現するために、図示されたブロックがすべて使用されなくてもよい。ブロックは組み合わされてもよく、または複数のアクション／コンポーネントへと分けられてもよい。さらに、追加のおよび／または代替的な方法論は、ブロックで図示されていない追加のアクションを採用することができる。

以下は、本明細書で採用された、選択された用語の定義を含む。定義は、用語の範囲内に該当し、実現のために使用され得る、構成要素のさまざまな例および／または形態を含む。例は、限定的であるよう意図されてはいない。用語の単数形および複数形は双方とも、定義の範囲内にあり得る。

「一実施形態」、「実施形態」、「一例」、「例」などへの言及は、そのように説明された実施形態または例がある特定の特徴、構造、特性、性質、要素、または限定を含み得るが、すべての実施形態または例が必ずしもその特定の特徴、構造、特性、性質、要素、または限定を含んではいない、ということを示す。さらに、「一実施形態では」という句の反復使用は必ずしも同じ実施形態を指してはいないが、指す場合もある。

ＡＳＩＣ：特定用途向け集積回路。
ＣＤ：コンパクトディスク。

ＣＤ−Ｒ：記録可能ＣＤ。
ＣＤ−ＲＷ：書換可能ＣＤ。

ＤＶＤ：デジタル多用途ディスクおよび／またはデジタルビデオディスク。
ＨＴＴＰ：ハイパーテキスト転送プロトコル。

ＬＡＮ：ローカルエリアネットワーク。
ＲＡＭ：ランダムアクセスメモリ。

ＤＲＡＭ：ダイナミックＲＡＭ。
ＳＲＡＭ：同期型ＲＡＭ。

ＲＯＭ：読出専用メモリ。
ＰＲＯＭ：プログラマブルＲＯＭ。

ＥＰＲＯＭ：消去可能ＰＲＯＭ。
ＥＥＰＲＯＭ：電気的消去可能ＰＲＯＭ。

ＵＳＢ：ユニバーサルシリアルバス。
ＷＡＮ：ワイドエリアネットワーク。

「動作可能な接続」、またはエンティティが「動作可能に接続される」接続とは、信号、物理的通信、および／または論理的通信が送信および／または受信され得る接続である。動作可能な接続は、物理インターフェース、電気インターフェース、および／またはデータインターフェースを含んでいてもよい。動作可能な接続は、動作可能な制御を可能にするのに十分である、インターフェースおよび／または接続の異なる組み合わせを含んでいてもよい。たとえば、２つのエンティティが、信号を互いに直接、または１つ以上の中間エンティティ（たとえば、プロセッサ、オペレーティングシステム、ロジック、非一時的コンピュータ読取可能媒体）を通して通信するために、動作可能に接続され得る。動作可能な接続は、１つのエンティティがデータを生成してそのデータをメモリに格納すること、および、別のエンティティがたとえば命令制御を介してメモリからそのデータを検索することを含んでいてもよい。動作可能な接続を作り出すために、論理的および／または物理的通信チャネルが使用され得る。

本明細書で使用されるような「コンピュータ読取可能媒体」または「コンピュータ記憶媒体」とは、実行されると開示された機能のうちの１つ以上を行なうように構成された命令および／またはデータを格納する非一時的媒体を指す。コンピュータ読取可能媒体は、不揮発性媒体および揮発性媒体を含むがこれらに限定されない形態をとってもよい。不揮発性媒体は、たとえば、光ディスク、磁気ディスクなどを含んでいてもよい。揮発性媒体は、たとえば、半導体メモリ、ダイナミックメモリなどを含んでいてもよい。コンピュータ読取可能媒体の一般的形態は、フロッピー（登録商標）ディスク、フレキシブルディスク、ハードディスク、磁気テープ、他の磁気媒体、特定用途向け集積回路（ＡＳＩＣ）、プログラマブルロジックデバイス、コンパクトディスク（ＣＤ）、他の光学媒体、ランダムアクセスメモリ（ＲＡＭ）、読出専用メモリ（ＲＯＭ）、メモリチップまたはカード、メモリスティック、ソリッドステートストレージデバイス（solid state storage device：ＳＳＤ）、フラッシュドライブ、および、コンピュータ、プロセッサ、または他の電子デバイスがそれを用いて機能し得る他の媒体を含んでいてもよいが、これらに限定されない。各タイプの媒体は、一実施形態における実現のために選択された場合、開示および／または請求された機能のうちの１つ以上を行なうように構成されたアルゴリズムの格納された命令を含んでいてもよい。

本明細書で使用されるような「ロジック」とは、本明細書で開示されるような機能またはアクションのうちのいずれかを行なうために、ならびに／もしくは、別のロジック、方法、および／またはシステムからの機能またはアクションが本明細書で開示されるように行なわれるようにするために、コンピュータまたは電気ハードウェア、実行可能アプリケーションまたはプログラムモジュールの命令が格納された非一時的媒体、および／またはこれらの組み合わせで実現された構成要素を表わす。均等のロジックは、ファームウェア、アルゴリズムでプログラムされたマイクロプロセッサ、ディスクリートロジック（たとえばＡＳＩＣ）、少なくとも１つの回路、アナログ回路、デジタル回路、プログラムロジックデバイス、アルゴリズムの命令を含むメモリデバイスなどを含んでいてもよく、それらのいずれも、開示された機能のうちの１つ以上を行なうように構成されてもよい。一実施形態では、ロジックは、開示された機能のうちの１つ以上を行なうように構成された１つ以上のゲート、ゲートの組み合わせ、または他の回路部品を含んでいてもよい。複数のロジックが説明される場合、それら複数のロジックを１つのロジックに組込むことが可能であってもよい。同様に、単一のロジックが説明される場合、その単一のロジックを複数のロジック間で分散させることが可能であってもよい。一実施形態では、これらのロジックのうちの１つ以上は、開示および／または請求された機能を行なうことに関連付けられた、対応する構造である。実現するためにどのタイプのロジックを選択するかは、所望のシステム条件または仕様に基づいていてもよい。たとえば、より速い速度が考慮事項である場合、ハードウェアが、機能を実現するために選択されるであろう。より低いコストが考慮事項である場合、格納された命令／実行可能アプリケーションが、機能を実現するために選択されるであろう。

本明細書で使用されるような「ユーザ」とは、１人以上の人、１つ以上のコンピュータまたは他のデバイス、もしくはこれらの組み合わせを含むが、それらに限定されない。

開示された実施形態はかなり詳細に図示され説明されてきたが、請求項の範囲をそのような詳細に制限するかまたは何らかのやり方で限定することが意図ではない。主題のさまざまな局面を説明する目的のために、構成要素または方法論の考えられるすべての組み合わせを説明することは、もちろん不可能である。したがって、この開示は、図示され説明された特定の詳細または例示に限定されない。このため、この開示は、請求項の範囲内にある変更、修正、および変形を包含するよう意図される。

詳細な説明または請求項で「含む」または「含んでいる」という用語が採用される限りにおいて、それは、「備える」という用語が請求項で移行語として採用される場合に解釈されるものと同様の態様で非排他的であるよう意図される。

詳細な説明または請求項で「または」という用語が使用される（たとえばＡまたはＢ）限りにおいて、それは、「ＡまたはＢまたは双方」を意味するよう意図される。出願人が「ＡまたはＢのみであって双方ではない」ことを示すよう意図する場合、「ＡまたはＢのみであって双方ではない」という句が使用されるであろう。このため、本明細書での「または」という用語の使用は、排他的使用ではなく、非排他的使用である。

本明細書で「Ａ、Ｂ、およびＣのうちの１つ以上」という句が使用される（たとえば、Ａ、Ｂ、およびＣのうちの１つ以上を格納するように構成されたデータ格納）限りにおいて、それは、Ａ、Ｂ、Ｃ、ＡＢ、ＡＣ、ＢＣ、および／またはＡＢＣという可能性の集合（たとえば、データ格納は、Ａのみ、Ｂのみ、Ｃのみ、ＡとＢ、ＡとＣ、ＢとＣ、および／または、ＡとＢとＣを格納し得る）を伝えるよう意図されている。それは、Ａのうちの１つ、Ｂのうちの１つ、およびＣのうちの１つを必要とするよう意図されてはいない。出願人が「Ａのうちの少なくとも１つ、Ｂのうちの少なくとも１つ、およびＣのうちの少なくとも１つ」を示すよう意図する場合、「Ａのうちの少なくとも１つ、Ｂのうちの少なくとも１つ、およびＣのうちの少なくとも１つ」という句が使用されるであろう。

Claims (10)

1. メモリからの命令を実行するための少なくとも１つのプロセッサを含むコンピューティングデバイスによって行なわれる、コンピュータにより実現される方法であって、前記方法は、
   コンピュータ制御サービス環境における構成モジュールにおいて、通信ネットワークを介して、保護ドメイン環境の遠隔コンピュータ制御システムによって送信されたユーザインターフェースコマンドを受信するステップを含み、前記ユーザインターフェースコマンドは、前記保護ドメイン環境内の個人識別情報へのアクセスに対して課せられる制限を示す構成オプションを含み、
   前記ユーザインターフェースコマンドの受信に応答して、前記構成モジュールを用いて、前記コンピュータ制御サービス環境内にデータレジデンシ保護コンポーネントを生成するステップを備え、前記データレジデンシ保護コンポーネントは、前記遠隔コンピュータ制御システムによって前記保護ドメイン環境内で実行されると、前記構成オプションにしたがって、
   i）前記保護ドメイン環境の外部の前記個人識別情報への前記アクセスを制限を課すプロキシとして動作し、
   ii）前記個人識別情報のための前記保護ドメイン環境から前記コンピュータ制御サービス環境へのデータ通信を監視し、
   iii）前記個人識別情報を、当該個人識別情報を表現および保護するためのトークンデータで置換え、
   iv）前記通信ネットワークを介して前記コンピュータ制御サービス環境へ前記トークンデータを送信する、ように構成されており、
   前記方法は、さらに、
   前記通信ネットワークを介して、前記コンピュータ制御サービス環境から前記保護ドメイン環境の前記遠隔コンピュータ制御システムに、実行可能なファイルとして前記データレジデンシ保護コンポーネントをダウンロードするステップと、
   前記コンピュータ制御サービス環境にアクセス可能なデータレジデンシデータベースにおける前記データレジデンシ保護コンポーネントに対応するレコードを格納するステップとを備え、前記レコードは前記制限を識別し、
   第２の構成オプションを含む第２のユーザインターフェイスコマンドをその後に受信したことに応答して、前記データレジデンシ保護コンポーネントの制限を無効にする第２のデータレジデンシ保護コンポーネントを生成することを避けるために、前記構成モジュールを用いて、前記データレジデンシデータベースのレコードを参照するステップを含む、方法。
2. 前記データレジデンシ保護コンポーネントは、前記遠隔コンピュータ制御システムによって前記保護ドメイン環境内で実行されると、前記遠隔コンピュータ制御システムに、
   前記コンピュータ制御サービス環境から前記保護ドメイン環境へのデータ通信において、前記個人識別情報を表現するトークンデータを監視させ、
   前記トークンデータを、前記保護ドメイン環境内で前記個人識別情報に置換えさせる、ように構成されている、請求項１に記載の方法。
3. 前記コンピュータ制御サービス環境のサービスアプリケーション構成の変更に応答して、前記コンピュータ制御サービス環境の前記構成モジュールを用いて、前記コンピュータ制御サービス環境内の前記データレジデンシ保護コンポーネントを更新するステップと、
   前記通信ネットワークを介して、更新された前記データレジデンシ保護コンポーネントを前記保護ドメイン環境にダウンロードするステップとをさらに含む、請求項１または２に記載の方法。
4. 前記データレジデンシ保護コンポーネントはＪａｖａ実行可能コンポーネントを含む、請求項１〜３のいずれかに記載の方法。
5. 前記データレジデンシ保護コンポーネントは、ウェブベースプロトコルによって動作するように構成されている、請求項１〜４のいずれかに記載の方法。
6. 前記データレジデンシ保護コンポーネントは、メール転送プロトコルによって動作するように構成されている、請求項１〜４のいずれかに記載の方法。
7. 前記データレジデンシ保護コンポーネントは、ファイル転送プロトコルによって動作するように構成されている、請求項１〜４のいずれかに記載の方法。
8. 前記データレジデンシ保護コンポーネントは、前記保護ドメイン環境にダウンロードされたときに、前記保護ドメイン環境内の前記遠隔コンピュータ制御システム上に自動でインストールされるように構成されている、請求項１〜４のいずれかに記載の方法。
9. 請求項１〜８のいずれかに記載の方法をコンピュータに実行させる、プログラム。
10. 請求項９に記載のプログラムを格納したメモリと、
    前記プログラムを実行するプロセッサとを備える、システム。

Images