JP6919212B2

JP6919212B2 - Controls, control methods, and systems

Info

Publication number: JP6919212B2
Application number: JP2017021449A
Authority: JP
Inventors: 雅幸小林
Original assignee: NEC Corp
Current assignee: NEC Corp
Priority date: 2017-02-08
Filing date: 2017-02-08
Publication date: 2021-08-18
Anticipated expiration: 2037-02-08
Also published as: JP2018128856A

Description

本発明は、制御装置、制御方法、およびシステムに関し、特にスマートデバイスの情報漏洩防止に関する。 The present invention relates to control devices, control methods, and systems, and particularly to prevention of information leakage in smart devices.

スマートデバイスをビジネス利用する場合、不正アクセスや盗難等によるスマートデバイス内部に格納された業務データ、ファイル、キャッシュ情報等を抜き取られことによる情報漏洩が課題となる。スマートデバイス内部に格納された業務データ、ファイル、キャッシュ情報等を以下、コンテンツと称す。 When using a smart device for business, information leakage due to extraction of business data, files, cache information, etc. stored inside the smart device due to unauthorized access or theft becomes a problem. Business data, files, cache information, etc. stored inside the smart device are hereinafter referred to as contents.

通常、スマートデバイスにて社外に持ち出されるコンテンツ（業務データなど）は、持ち出し前の準備段階（サーバからのダウンロード）にてスマートデバイスの暗号化領域（またはコンテンツの暗号化含む）へ搭載し、コンテンツの持ち出し状況をサーバにて把握する。 Normally, content (business data, etc.) that is taken out of the office by a smart device is installed in the smart device's encryption area (or content encryption) in the preparatory stage (download from the server) before taking out, and the content The server keeps track of the status of taking out.

また、社外に持ち出されたスマートデバイスならびにコンテンツは、不正アクセスや盗難等の事象が発生した場合、サーバからの制御（リモート制御）による端末側利用無効化（証明書削除や端末ロック）、コンテンツ消去・無効化（リモートワイプ）の仕組みとローカルワイプによる（Operating Systemを除いた）スマートデバイス内部データ領域の全削除という仕組みが一般的である。 In addition, when an event such as unauthorized access or theft occurs, the smart device and contents taken out of the company are invalidated (certificate deletion or terminal lock) on the terminal side by control from the server (remote control), and the contents are deleted. -The mechanism of invalidation (remote wipe) and the mechanism of deleting all the data area inside the smart device (excluding the Operating System) by local wipe are common.

特許文献１は、複数のモバイル端末間でのデータ共有に関するものであり、共有ネットワーク内の他のモバイル端末との共有セッションの切断を検知したときには、モバイル端末が記憶する電子データを削除することが提案されている。特許文献１ではこのような監視制御により、データ漏洩の抑制を図っている。 Patent Document 1 relates to data sharing between a plurality of mobile terminals, and when a disconnection of a shared session with another mobile terminal in a shared network is detected, the electronic data stored in the mobile terminal can be deleted. Proposed. In Patent Document 1, data leakage is suppressed by such monitoring control.

特開２０１５−４９５７２号公報JP-A-2015-49572

しかしながら、上述した背景技術の情報漏洩防止には、以下のような課題がある。 However, the prevention of information leakage of the background technology described above has the following problems.

第１の課題は、スマートデバイスをビジネス利用する場合、不正アクセスや盗難・紛失が発生し、ＳＩＭ（Subscriber Identify Module）等を抜かれた通信不能状態や通信環境が良好ではない状態（オフライン状態）の場合、スマートデバイス内部のコンテンツを制御できないことである。 The first issue is that when using a smart device for business, unauthorized access, theft or loss occurs, and the communication is disabled or the communication environment is not good (offline state) without the SIM (Subscriber Identify Module). If so, you have no control over the content inside your smart device.

第２の課題は、暗号化だけでは顧客の不安を払しょくできないことである。スマートデバイス利用環境がオフライン（通信不能状態）に遷移した場合、データ流出の有無確認が取れないことや、たとえデータが暗号化されていても、流出した場合、顧客の不安を払しょくできない。不正アクセス（Root化等）や盗難・紛失等に対する情報漏洩の防御策として、コンテンツ暗号化は有効な仕組みであるが、スマートデバイス利用環境がオフライン（通信不能状態）に遷移した場合、データ流出の有無確認を取ることができない。 The second issue is that encryption alone cannot dispel customer anxiety. When the smart device usage environment goes offline (communication disabled state), it is not possible to confirm the presence or absence of data leakage, and even if the data is encrypted, if it leaks, the customer's anxiety cannot be dispelled. Content encryption is an effective mechanism as a preventive measure against information leakage against unauthorized access (rooting, etc.) and theft / loss, but if the smart device usage environment transitions to offline (communication disabled state), data leakage will occur. I can't confirm the existence.

背景技術であるＭＤＭ（Mobile Device Management）／ＭＡＭ（Mobile Application Management）／ＭＣＭ（Mobile Contents Management）機能等において、リモートワイプ、リモートロック、サーバ側での証明書削除による端末側利用無効化などのコンテンツ消去・無効化（コンテンツの回収）の仕組みが一般的である。しかしながら、これらの仕組みは全て通信可能状態（オンライン環境）でスマートデバイスが利用されることを前提にしているため、通信不能状態や通信環境が良好ではない状態（オフライン状態）の場合、リモートからスマートデバイスに対してのアクセスやコンテンツを制御する手段が無くなってしまうからである。 Content such as remote wipe, remote lock, and terminal use invalidation by deleting the certificate on the server side in the background technology such as MDM (Mobile Device Management) / MAM (Mobile Application Management) / MCM (Mobile Contents Management) functions. The mechanism of erasing / invalidating (collecting contents) is common. However, all of these mechanisms assume that the smart device will be used in a communicable state (online environment), so if the communication is disabled or the communication environment is not good (offline state), it will be smart remotely. This is because there is no way to control access to the device and content.

第３の課題は、ユーザ本人の誤操作によりコンテンツ消去が必要なタイミング（Root化を除く）をスマートデバイスが検出した場合、スマートデバイス内部データ領域の全削除が行われ、復旧等によるスマートデバイス利用再開に非常に手間がかかる（利便性が悪い）ことである。 The third issue is that when the smart device detects the timing when the content needs to be erased (excluding rooting) due to the user's own erroneous operation, the entire data area inside the smart device is deleted and the use of the smart device is resumed by recovery or the like. It is very troublesome (inconvenient).

背景技術であるローカルワイプによる（Operating Systemを除いた）スマートデバイス内部データ領域の全削除という仕組みがあるが、この仕組みは予め端末設定された「誤ったＩＤ／パスワードの入力回数」を超過した場合に機能するものである。そのため、たとえユーザ本人の誤操作であっても同条件を超過するとデータの全削除を行うため、復旧・再セッティング等、復旧後のスマートデバイス利用再開に多くの時間を要する。 There is a mechanism to delete all the internal data area of the smart device (excluding the Operating System) by local wipe, which is the background technology, but this mechanism exceeds the "number of times of incorrect ID / password input" set in advance on the terminal. It works for. Therefore, even if the user makes an erroneous operation, if the same conditions are exceeded, all the data will be deleted, so it will take a lot of time to resume the use of the smart device after recovery, such as recovery and resetting.

本発明の目的は、スマートデバイスが保持するデータの情報漏洩に関するセキュリティ強化を図ることができる制御装置、制御方法、およびシステムを提供することにある。 An object of the present invention is to provide a control device, a control method, and a system capable of enhancing security regarding information leakage of data held by a smart device.

前記目的を達成するため、本発明に係る制御装置は、データを保持するスマートデバイスを通常利用状態と、上記データの漏洩を防止するための重要度がお互いに異なる複数の漏洩防御状態との間で状態遷移させる制御装置であって、
上記データの消去や無効化が必要な事象の発生を監視する監視手段と、
上記データの消去や無効化が必要な事象の発生を検出したときには、上記スマートデバイスを上記通常利用状態から上記漏洩防御状態へ状態遷移させる制御手段と、
を含む。 In order to achieve the above object, the control device according to the present invention uses a smart device holding data between a normal use state and a plurality of leakage prevention states having different importance for preventing data leakage. It is a control device that makes a state transition with
Monitoring means for monitoring the occurrence of events that require erasure or invalidation of the above data,
When the occurrence of an event that requires erasure or invalidation of the data is detected, the control means for shifting the state of the smart device from the normal use state to the leakage prevention state, and
including.

本発明に係る制御方法は、データを保持するスマートデバイスを通常利用状態と、上記データの漏洩を防止するための重要度がお互いに異なる複数の漏洩防御状態との間で状態遷移させる制御方法であって、
上記データの消去や無効化が必要な事象の発生を監視し、
上記データの消去や無効化が必要な事象の発生を検出したときには、上記スマートデバイスを上記通常利用状態から上記漏洩防御状態へ状態遷移させる。 The control method according to the present invention is a control method for transitioning a state of a smart device holding data between a normal use state and a plurality of leakage prevention states having different importance for preventing data leakage. There,
Monitor the occurrence of events that require erasure or invalidation of the above data,
When the occurrence of an event that requires erasure or invalidation of the data is detected, the state transition of the smart device from the normal use state to the leakage prevention state is performed.

本発明に係るシステムは、サーバと、上記サーバと通信してデータを保持するスマートデバイスと、を含み、
上記スマートデバイスは、
上記スマートデバイスを通常利用状態と、上記データの漏洩を防止するための重要度がお互いに異なる複数の漏洩防御状態との間で状態遷移させる制御装置であって、上記データの消去や無効化が必要な事象の発生を監視する監視手段と、上記データの消去や無効化が必要な事象の発生を検出したときには、上記スマートデバイスを上記通常利用状態から上記漏洩防御状態へ状態遷移させる制御手段と、を有する制御装置を含む。 The system according to the present invention includes a server and a smart device that communicates with the server and holds data.
The above smart device
A control device that transitions the state of the smart device between a normal use state and a plurality of leakage prevention states having different importance for preventing data leakage, and the data can be erased or invalidated. A monitoring means for monitoring the occurrence of a necessary event, and a control means for shifting the state of the smart device from the normal use state to the leakage prevention state when the occurrence of an event requiring deletion or invalidation of the data is detected. Including a control device having.

本発明は、スマートデバイスが保持するデータの情報漏洩に関するセキュリティ強化を図ることができる。 INDUSTRIAL APPLICABILITY The present invention can enhance security regarding information leakage of data held by a smart device.

（ａ）は本発明の上位概念による実施形態のための情報処理装置を説明するためのブロック図であり、（ｂ）は本発明の上位概念による実施形態の制御装置を説明するためのブロック図である。(A) is a block diagram for explaining the information processing apparatus for the embodiment according to the superordinate concept of the present invention, and (b) is a block diagram for explaining the control device for the embodiment according to the superordinate concept of the present invention. Is. 本発明の実施形態によるシステムの一例を説明するためのブロック図である。It is a block diagram for demonstrating an example of the system by Embodiment of this invention. 図２のスマートデバイスの構成例を示すブロック図である。It is a block diagram which shows the configuration example of the smart device of FIG. 図３のスマートデバイスのＣＰＵとメモリの構成例を示す機能ブロック図である。It is a functional block diagram which shows the configuration example of the CPU and the memory of the smart device of FIG. 図２のスマートデバイスの制御状態の一例を示す状態遷移概要図である。It is a state transition schematic diagram which shows an example of the control state of the smart device of FIG. 図２のスマートデバイスとサーバとの同期動作を説明するためのフローチャートである。It is a flowchart for demonstrating the synchronous operation of the smart device of FIG. 2 and a server. 本発明の第１実施形態の制御装置の動作を説明するためのフローチャートである。It is a flowchart for demonstrating operation of the control apparatus of 1st Embodiment of this invention. 本発明の第１実施形態の制御装置の動作を説明するためのフローチャートである。It is a flowchart for demonstrating operation of the control apparatus of 1st Embodiment of this invention. 本発明の第１実施形態の制御装置の動作を説明するためのフローチャートである。It is a flowchart for demonstrating operation of the control apparatus of 1st Embodiment of this invention. 本発明の第１実施形態の制御装置の動作を説明するためのフローチャートである。It is a flowchart for demonstrating operation of the control apparatus of 1st Embodiment of this invention. 本発明の第１実施形態の制御装置の動作を説明するためのフローチャートである。It is a flowchart for demonstrating operation of the control apparatus of 1st Embodiment of this invention. 本発明の第１実施形態の制御装置の動作を説明するためのフローチャートである。It is a flowchart for demonstrating operation of the control apparatus of 1st Embodiment of this invention. 本発明の第１実施形態の制御装置による、２次データ漏洩防止の制御処理を説明するためのフローチャートである。It is a flowchart for demonstrating the control process of secondary data leakage prevention by the control apparatus of 1st Embodiment of this invention. 本発明の第１実施形態の制御装置による、３次データ漏洩防止の制御処理を説明するためのフローチャートである。It is a flowchart for demonstrating the control process of the tertiary data leakage prevention by the control apparatus of 1st Embodiment of this invention. 本発明の第１実施形態の制御装置による、４次データ漏洩防止の制御処理を説明するためのフローチャートである。It is a flowchart for demonstrating the control process of the 4th data leakage prevention by the control apparatus of 1st Embodiment of this invention. 本発明の第２実施形態の制御装置の動作を説明するためのフローチャートである。It is a flowchart for demonstrating operation of the control apparatus of 2nd Embodiment of this invention. 本発明の第２実施形態の制御装置の動作を説明するためのフローチャートである。It is a flowchart for demonstrating operation of the control apparatus of 2nd Embodiment of this invention. 本発明の第２実施形態の制御装置の動作を説明するためのフローチャートである。It is a flowchart for demonstrating operation of the control apparatus of 2nd Embodiment of this invention. 本発明の第２実施形態の制御装置の動作を説明するためのフローチャートである。It is a flowchart for demonstrating operation of the control apparatus of 2nd Embodiment of this invention. 本発明の第２実施形態の制御装置の動作を説明するためのフローチャートである。It is a flowchart for demonstrating operation of the control apparatus of 2nd Embodiment of this invention. 本発明の第２実施形態の制御装置の動作を説明するためのフローチャートである。It is a flowchart for demonstrating operation of the control apparatus of 2nd Embodiment of this invention. 本発明の第２実施形態の制御装置の動作を説明するためのフローチャートである。It is a flowchart for demonstrating operation of the control apparatus of 2nd Embodiment of this invention. 本発明の第１実施形態の制御装置の動作を説明するためのフローチャートである。It is a flowchart for demonstrating operation of the control apparatus of 1st Embodiment of this invention. 本発明の第２実施形態の制御装置による、２次データ漏洩防止の制御処理を説明するためのフローチャートである。It is a flowchart for demonstrating the control process of secondary data leakage prevention by the control apparatus of 2nd Embodiment of this invention. 本発明の第２実施形態の制御装置による、３次データ漏洩防止の制御処理を説明するためのフローチャートである。It is a flowchart for demonstrating the control process of tertiary data leakage prevention by the control apparatus of 2nd Embodiment of this invention. 本発明の第２実施形態の制御装置による、４次データ漏洩防止の制御処理を説明するためのフローチャートである。It is a flowchart for demonstrating the control process of the 4th data leakage prevention by the control apparatus of 2nd Embodiment of this invention.

本発明の好ましい実施形態について説明する前に、明細書で使用する用語を説明する。 Before describing preferred embodiments of the present invention, terms used herein will be described.

（コンテンツ多段階防御）
「コンテンツ多段階防御」とは、セキュリティ対策（データ漏洩防止策）を行う上での緊急性（セキュリティレベル）に応じた情報漏洩防止制御を段階的（ユーザ誤操作等による復旧作業の利便性を考慮して（セキュリティと利便性の両立を考慮））に行っていくことを意味する。例えば、「Root化操作」などは、「スマートデバイス内のコンテンツの消去・無効化を判断するための条件」の中で、セキュリティ対策を緊急に実施する必要のあるセキュリティレベルが極めて高い条件となる。 (Content multi-stage defense)
"Content multi-step protection" means step-by-step information leakage prevention control according to the urgency (security level) of security measures (data leakage prevention measures) (considering the convenience of recovery work due to user erroneous operation, etc.) It means going to (considering both security and convenience). For example, "rooting operation" is a condition in which the security level that requires urgent security measures is extremely high in "conditions for determining the deletion / invalidation of contents in a smart device". ..

（利用権限外アクセス）
「利用権限外アクセス」とは、企業における業務データ（以下、コンテンツと称す）の操作時に利用する属性情報（以下、コンテンツ属性と称す。メタデータと同義語）には、コンテンツの作成者、作成日時、コンテンツ識別子、利用範囲などの情報が具備されており、さらに利用範囲の情報は、「利用可能者」、「利用範囲（利用者またはグループ）」、「利用者に対して付与された権限」、「利用期限」、「利用可能なアプリケーション」などの情報から構成されている。この利用範囲の設定情報以外のコンテンツ利用（アクセス）を行った場合を「（コンテンツへの）利用権限外アクセス」と定義する。 (Access outside usage authority)
"Access outside the usage authority" means the creator and creation of content in the attribute information (hereinafter referred to as content attribute, synonymous with metadata) used when operating business data (hereinafter referred to as content) in a company. Information such as the date and time, content identifier, and range of use is provided, and the information on the range of use includes "users", "range of use (user or group)", and "authority granted to the user". , "Expiration date", "Available applications" and so on. The case where the content is used (accessed) other than the setting information of the usage range is defined as "access without usage authority (to the content)".

（通常利用状態）
「通常利用状態」とは、利用権限が付与された利用者が、企業が定める管理・運用方針に沿ってスマートデバイスを利用している状態である。通常利用状態における主な制御は、「コンテンツ消去・無効化タイミング」の監視や、同タイミングの検出である。「コンテンツ消去・無効化タイミング」の検出時、コンテンツ多段階防御ポリシーテーブルに従いスマートデバイスまたはコンテンツの制御を行い、該当する次のデータ漏洩防御状態に遷移する。 (Normal usage status)
The "normal usage state" is a state in which a user who has been granted usage authority is using a smart device in accordance with a management / operation policy set by a company. The main controls in the normal usage state are monitoring of "content erasure / invalidation timing" and detection of the same timing. When the "content deletion / invalidation timing" is detected, the smart device or content is controlled according to the content multi-stage protection policy table, and the state transitions to the corresponding next data leakage protection state.

（１次データ漏洩防御状態）
「１次データ漏洩防御状態」とは、例えば通常利用状態において「コンテンツ消去・無効化タイミング」であるオフライン状態（通信不能状態ないしは通信環境が良好ではない状態）を検出した場合、スマートデバイス内へのログインの不正ログイン操作監視やセキュリティを確保した領域に保存されているコンテンツ一覧ならびにコンテンツにアクセスする際に、オフライン認証を行うための認証情報の入力待ち等の状態を意味する。 (Primary data leakage protection status)
The "primary data leakage prevention state" is, for example, when an offline state (a state in which communication is not possible or a state in which the communication environment is not good), which is the "content deletion / invalidation timing", is detected in the normal usage state, the user enters the smart device. It means a state such as waiting for input of authentication information for offline authentication when accessing the content list and contents stored in the area where unauthorized login operation monitoring and security are ensured.

１次データ漏洩防御状態における主な制御は、「次のデータ漏洩防御状態」または通常利用状態へ遷移させるための条件の監視（「コンテンツ消去・無効化タイミング」の監視）とオフライン認証である。コンテンツ消去・無効化タイミングの検出時、コンテンツ多段階防御ポリシーテーブルに従いスマートデバイスまたはコンテンツの制御を行い、該当する次のデータ漏洩防御状態に遷移する。また、オンライン状態を検出した場合は、オフライン認証を解除し、通常利用状態へ遷移する。 The main controls in the primary data leakage prevention state are monitoring of conditions for transitioning to the "next data leakage prevention state" or the normal use state (monitoring of "content deletion / invalidation timing") and offline authentication. When the content deletion / invalidation timing is detected, the smart device or content is controlled according to the content multi-stage protection policy table, and the state transitions to the corresponding next data leakage protection state. When the online status is detected, the offline authentication is canceled and the normal usage status is entered.

（２次データ漏洩防御状態）
「２次データ漏洩防御状態」とは、例えば通常利用状態または１次データ漏洩防御状態において「コンテンツ消去・無効化タイミング」の検出後の制御により、スマートデバイスが動作できないまたはコンテンツにアクセスできない等の状態を意味する。この状態としては、アプリケーションロック状態や、端末ロック状態などを想定する。 (Secondary data leakage protection status)
The "secondary data leakage protection state" means, for example, that the smart device cannot operate or the content cannot be accessed by the control after the detection of the "content erasure / invalidation timing" in the normal usage state or the primary data leakage prevention state. Means the state. This state is assumed to be an application locked state, a terminal locked state, or the like.

２次データ漏洩防御状態における主な制御は、「次のデータ漏洩防御状態」へ遷移させるための条件の監視（「コンテンツ消去・無効化タイミング」やタイマ値の満了など）である。コンテンツ消去・無効化タイミング検出または状態遷移条件満了検出時、コンテンツ多段階防御ポリシーテーブルに従いスマートデバイスまたはコンテンツの制御を行い、該当する次のデータ漏洩防御状態に遷移する。また、防御状態解除をサーバから受信した場合は、本防衛状態にて設定した状態遷移条件をリセットし、通常利用状態へ遷移する。 The main control in the secondary data leakage prevention state is monitoring of conditions for transitioning to the "next data leakage prevention state" ("content deletion / invalidation timing", expiration of timer value, etc.). When content deletion / invalidation timing detection or state transition condition expiration is detected, the smart device or content is controlled according to the content multi-stage protection policy table, and the state transitions to the corresponding next data leakage protection state. When the defense state release is received from the server, the state transition condition set in this defense state is reset and the state transitions to the normal use state.

（３次データ漏洩防御状態）
「３次データ漏洩防御状態」とは、通常利用状態または１次データ漏洩防御状態においてコンテンツ消去・無効化タイミングを検出した場合や、例えば「２次データ漏洩防御条件満了」検出後の制御により、スマートデバイス内部のコンテンツを消去した状態を意味する。ここで想定されるコンテンツ消去は、コンテンツ単位消去、ユーザエリア消去、ＢＹＯＤ（Bring Your Own Device）利用時の業務エリア消去などが考えられる。 (3rd data leakage protection status)
The "tertiary data leakage protection state" is defined as when the content deletion / invalidation timing is detected in the normal usage state or the primary data leakage prevention state, or by control after the detection of, for example, the "expiration of the secondary data leakage prevention condition". It means that the contents inside the smart device have been erased. The content erasure assumed here may be content unit erasure, user area erasure, business area erasure when using BYOD (Bring Your Own Device), or the like.

３次データ漏洩防御状態における主な制御は、「次のデータ漏洩防御状態」へ遷移させるための条件の監視（「コンテンツ消去・無効化タイミング」やタイマ値の満了など）である。コンテンツ消去・無効化タイミング検出または状態遷移条件満了検出時、コンテンツ多段階防御ポリシーテーブルに従いスマートデバイスまたはコンテンツの制御を行い、該当する次のデータ漏洩防御状態に遷移する。また、防御状態解除をサーバから受信した場合は、本防衛状態にて設定した状態遷移条件をリセットし、通常利用状態へ遷移する。 The main control in the tertiary data leakage prevention state is monitoring of conditions for transitioning to the "next data leakage prevention state" ("content deletion / invalidation timing", expiration of timer value, etc.). When content deletion / invalidation timing detection or state transition condition expiration is detected, the smart device or content is controlled according to the content multi-stage protection policy table, and the state transitions to the corresponding next data leakage protection state. When the defense state release is received from the server, the state transition condition set in this defense state is reset and the state transitions to the normal use state.

（４次データ漏洩防御状態）
「４次データ漏洩防御状態」とは、通常利用状態または１次データ漏洩防御状態においてコンテンツ消去・無効化タイミングを検出した場合や、例えば「３次データ漏洩防御状態条件満了」検出後の制御により、スマートデバイス内部のコンテンツを復元不能に完全消去した状態を意味する。 (4th data leakage protection status)
The "fourth data leakage protection state" is defined when the content deletion / invalidation timing is detected in the normal usage state or the primary data leakage protection state, or by control after the detection of, for example, the "third data leakage protection state condition expiration". , Means that the content inside the smart device has been completely erased irretrievably.

４次データ漏洩防御状態における主な制御は、通常利用状態または１次データ漏洩防御状態においてRoot化操作の検出時や、３次データ漏洩防御状態遷移条件満了検出時の４次データ漏洩防御状態へ遷移と、スマートデバイス内部の全てのデータの復元不可能な消去である。なおここで消去される、スマートデバイス内部の全てのデータとは、スマートデバイス内部のＯＳ（Operating System）を除いた全てのデータ（アプリケーションやポリシーデータ等）を指すものとする。そして同消去処理完了後に、スマートデバイスの状態をスマートデバイス初期化状態に遷移させる。 The main control in the 4th data leakage protection state is to the 4th data leakage protection state when the rooting operation is detected in the normal use state or the primary data leakage protection state, or when the transition condition expiration of the 3rd data leakage protection state is detected. Transition and irrecoverable erasure of all data inside the smart device. Note that all the data inside the smart device to be deleted here refers to all the data (applications, policy data, etc.) excluding the OS (Operating System) inside the smart device. Then, after the erasing process is completed, the state of the smart device is changed to the smart device initialization state.

（スマートデバイス初期化状態）
「スマートデバイス初期化状態」とは、「４次データ漏洩防御状態」において、スマートデバイス内部のＯＳを除いた全てのデータを復元不能な消去処理が完了した状態を指す。この状態は、スマートデバイスの工場出荷前状態、すなわち工場出荷におけるキッティング前の状態を指す。スマートデバイス初期化状態における制御は特にないが、スマートデバイス初期化状態となったスマートデバイスを再利用する、具体的には上述した通常利用状態に復旧させるためにポリシー、アプリケーションやコンテンツの再インストールが必要である。 (Smart device initialization state)
The "smart device initialization state" refers to a state in which the irrecoverable erasure process of all data except the OS inside the smart device is completed in the "fourth data leakage prevention state". This state refers to the pre-factory state of the smart device, that is, the pre-kitting state at the factory. There is no particular control in the smart device initialization state, but there is a policy, application or content reinstallation to reuse the smart device in the smart device initialization state, specifically to restore it to the normal usage state described above. is necessary.

（コンテンツ多段階防御ポリシーテーブル）
スマートデバイス内のコンテンツの消去・無効化を判断するための条件や、コンテンツを多段階で制御するための消去・無効化範囲（コンテンツ単位消去、ユーザエリア消去、や業務エリア消去（ＢＹＯＤ利用時））などの定義情報を登録したテーブルである。スマートデバイスでは、まず起動後に、コンテンツ多段階防御ポリシーテーブルを登録しておく。本テーブルにおける条件は、企業におけるＩＴ（Information Technology）利用規定等の運用方針によって異なるが、本説明の例として、ここでは以下のような条件を定義する。
●不正アクセス：
誤ったＩＤ／パスワードの入力回数（不正ログイン操作）
オフライン認証失敗回数（不正アクセス操作）
Root化操作など
●盗難／紛失：
ＳＩＭカード抜き取り（ＳＩＭカード抜き取り操作）
Bluetooth（登録商標）／WiFi接続断（Bluetooth（登録商標）／WiFi接続断操作）
※上記操作検出において、盗難／紛失は、スマートデバイス（利用）の位置情報や企業におけるＩＴ利用規定等の運用方針に則った復旧（ＳＩＭカード挿入）に必要な許容時間の入力等の条件を組み合わせて判断を行う。
●正常アクセス／準正常アクセス：
＜以下は、サーバアクセス時も含んだ条件＞
コンテンツへのアクセス回数超過（運用ポリシー違反）
コンテンツの属性変更（運用ポリシー違反）
利用権限外アクセス操作（運用ポリシー違反）
また、本テーブルは、初期設定時ならびに運用方法（条件）変更に伴う設定変更時に登録されるものとする。 (Content multi-stage defense policy table)
Conditions for determining erasure / invalidation of content in a smart device, and erasure / invalidation range for controlling content in multiple stages (content unit erasure, user area erasure, and business area erasure (when using BYOD) ) And other definition information is registered in this table. For smart devices, first register the content multi-step defense policy table after startup. The conditions in this table differ depending on the operational policy such as IT (Information Technology) usage rules in the company, but as an example of this explanation, the following conditions are defined here.
● Unauthorized access:
Number of incorrect ID / password entries (illegal login operation)
Number of offline authentication failures (unauthorized access operation)
Rooting operation, etc. ● Theft / Loss:
SIM card removal (SIM card removal operation)
Bluetooth (registered trademark) / WiFi disconnection (Bluetooth (registered trademark) / WiFi disconnection operation)
* In the above operation detection, theft / loss is a combination of conditions such as inputting the allowable time required for recovery (SIM card insertion) in accordance with the operation policy such as the location information of the smart device (use) and the IT usage policy in the company. Make a decision.
● Normal access / Semi-normal access:
<The following conditions include server access>
Excessive access to content (violation of operational policy)
Content attribute change (operation policy violation)
Access operation without usage authority (violation of operation policy)
In addition, this table shall be registered at the time of initial setting and at the time of setting change due to the change of operation method (condition).

以下、本発明の好ましい実施形態について、図面を参照しながら詳細に説明する。 Hereinafter, preferred embodiments of the present invention will be described in detail with reference to the drawings.

〔第１実施形態〕
初めに、本発明の第１実施形態による制御装置、制御方法、およびシステムについて、説明する。本実施形態は、制御装置を適用したスマートデバイスが、オンライン環境からオフライン環境へ移動したような場合に多段階防御を行う制御に関するものである。なおここでスマートデバイスのオンライン環境とは、スマートデバイスとサーバとの間で通信可能な状態を指す。スマートデバイスのオフライン環境とは、スマートデバイスとサーバとの間が通信不能状態ないしはスマートデバイスとサーバとの通信環境が良好ではない状態を指す。スマートデバイスのオフライン環境では、サーバからスマートデバイスに対するリモート制御が不能状態であるものとする。 [First Embodiment]
First, a control device, a control method, and a system according to the first embodiment of the present invention will be described. The present embodiment relates to a control that performs multi-step protection when a smart device to which a control device is applied moves from an online environment to an offline environment. Here, the online environment of the smart device refers to a state in which communication is possible between the smart device and the server. The offline environment of a smart device refers to a state in which communication between the smart device and the server is impossible or a state in which the communication environment between the smart device and the server is not good. In the offline environment of the smart device, it is assumed that remote control from the server to the smart device is impossible.

（構成）
図２を参照すると、本発明の第１実施形態のシステムは、スマートデバイス１と、Radio Access Network（ＲＡＮ） or WiFiアクセスポイント（ＡＰ）１０と、回線１１、１２と、Internet or Intra Network（ＩＮ）１００と、サーバ２０と、を含む。 (composition)
Referring to FIG. 2, the system of the first embodiment of the present invention includes a smart device 1, a Radio Access Network (RAN) or WiFi access point (AP) 10, lines 11 and 12, and an Internet or Intra Network (IN). ) 100 and the server 20.

ここでサーバ２０は、企業が契約するクラウドサービスや企業内サーバ等を総称するものであることとする。 Here, the server 20 is a general term for cloud services contracted by a company, an in-house server, and the like.

スマートデバイス１は、ＭＤＭ（Mobile Device Management）／ＭＡＭ（Mobile Application Management）／ＭＣＭ（Mobile Contents Management）機能を有するものとする。スマートデバイス１は、図３に示すように、User Equipment（ＵＥ）２と、User Identity Module（ＵＩＭ）３と、アンテナ７と、を含む。スマートデバイス１のＵＥ２は、無線部／制御部４と、プログラム制御により動作するＣＰＵ（中央処理装置；プロセッサ；データ処理装置）５と、メモリ６と、を含む。 It is assumed that the smart device 1 has an MDM (Mobile Device Management) / MAM (Mobile Application Management) / MCM (Mobile Contents Management) function. As shown in FIG. 3, the smart device 1 includes a User Equipment (UE) 2, a User Identity Module (UIM) 3, and an antenna 7. The UE 2 of the smart device 1 includes a radio unit / control unit 4, a CPU (central processing unit; processor; data processing unit) 5 operated by program control, and a memory 6.

なお図２のスマートデバイス１は、３Ｇ／ＬＴＥ（3rd Generation/Long Term Evolution）等の移動体通信モデルの場合を示している。スマートデバイスがWiFiモデルの場合は、図２のＵＩＭ３はなくてもよい。 The smart device 1 in FIG. 2 shows the case of a mobile communication model such as 3G / LTE (3rd Generation / Long Term Evolution). If the smart device is a WiFi model, the UIM3 in FIG. 2 may not be available.

スマートデバイス１のＣＰＵ５は、図４に示すように、ＵＩ制御処理部５０２、ポリシー設定制御部５０３、コンテンツ消去タイミング監視・検出処理部５０４、タイマなどによる状態遷移条件の監視処理部５０５、およびオフライン認証処理部５０６を含む。さらにスマートデバイス１のＣＰＵ５は、端末ロック・アプリロック制御処理部５０７、コンテンツ消去制御処理部５０８、コンテンツ消去ツール制御・処理部５０９、データ漏洩防御解除処理部５１０、データ同期処理部５１１、データ送受信処理部５１２、および機能状態管理部・機能制御部５０１を含む。 As shown in FIG. 4, the CPU 5 of the smart device 1 includes a UI control processing unit 502, a policy setting control unit 503, a content erasure timing monitoring / detection processing unit 504, a state transition condition monitoring processing unit 505 using a timer, and offline. Includes authentication processing unit 506. Further, the CPU 5 of the smart device 1 includes a terminal lock / application lock control processing unit 507, a content erasure control processing unit 508, a content erasing tool control / processing unit 509, a data leakage protection release processing unit 510, a data synchronization processing unit 511, and data transmission / reception. It includes a processing unit 512 and a functional state management unit / functional control unit 501.

オフライン認証処理部５０６は、後述する１次データ漏洩防御に用いられる。端末ロック・アプリロック制御処理部５０７は、後述する２次データ漏洩防御に用いられる。コンテンツ消去制御処理部５０８は、後述する３次データ漏洩防御に用いられる。コンテンツ消去ツール制御・処理部５０９は、後述する４次データ漏洩防御に用いられる。なお、コンテンツ消去ツール制御・処理部５０９によるコンテンツ消去では、後述するが、復旧不能な消去を行う。 The offline authentication processing unit 506 is used for primary data leakage prevention, which will be described later. The terminal lock / application lock control processing unit 507 is used for secondary data leakage prevention, which will be described later. The content erasure control processing unit 508 is used for tertiary data leakage prevention, which will be described later. The content erasing tool control / processing unit 509 is used for the fourth-order data leakage prevention described later. In the content erasure by the content erasure tool control / processing unit 509, irrecoverable erasure is performed, which will be described later.

データ送受信処理部５１２は、後述する１次データ漏洩防御状態乃至３次データ漏洩防御状態から復旧する防御状態解除通知の受信を含むデータ送受信を行う。 The data transmission / reception processing unit 512 performs data transmission / reception including reception of a defense state release notification for recovering from the primary data leakage protection state or the tertiary data leakage protection state described later.

スマートデバイス１のメモリ６は、図４に示すように、セキュリティ確保領域６１を含む。メモリ６のセキュリティ確保領域６１は、図４に示すように、コンテンツ多段階制御ポリシー６２、コンテンツ属性・本体６３、およびコンテンツ一覧６４を含む。 As shown in FIG. 4, the memory 6 of the smart device 1 includes a security ensuring area 61. As shown in FIG. 4, the security securing area 61 of the memory 6 includes the content multi-stage control policy 62, the content attribute / main body 63, and the content list 64.

コンテンツ多段階制御ポリシー６２は、スマートデバイス内のコンテンツの消去・無効化を判断するための条件や、コンテンツを多段階で制御するための消去・無効化範囲（コンテンツ単位消去、ユーザエリア消去、や業務エリア消去（ＢＹＯＤ利用時））などの定義情報である。 The content multi-stage control policy 62 includes conditions for determining erasure / invalidation of content in a smart device and an erasure / invalidation range (content unit erasure, user area erasure, etc.) for controlling content in multiple stages. Definition information such as business area deletion (when using BYOD).

スマートデバイス１は、スマートデバイス利用環境がオンライン環境であるときに、起動後に、社外へ持ち出されるコンテンツ（帳票、顧客情報など業務データ）をサーバ２０よりダウンロードし、メモリ６内の、コンテンツ属性およびコンテンツ本体であるコンテンツ属性・本体６３に保存する。この時、スマートデバイス１はダウンロードしたコンテンツ一覧６４を作成し、サーバ２０とのデータ同期を行う。これにより、コンテンツの持ち出し状況をサーバ２０にて統制管理するとともに、スマートデバイス１も同様の情報を管理することになる。 When the smart device usage environment is an online environment, the smart device 1 downloads contents (business data such as forms and customer information) taken out of the company after startup from the server 20, and has content attributes and contents in the memory 6. It is saved in the content attribute / main body 63 which is the main body. At this time, the smart device 1 creates the downloaded content list 64 and synchronizes the data with the server 20. As a result, the server 20 controls and manages the content take-out status, and the smart device 1 also manages the same information.

また、オンライン環境においては、コンテンツ情報の更新発生時または定期的に、スマートデバイス１とサーバ２０間にてデータ同期を行うものとする。このスマートデバイスとサーバ間のデータ同期動作について、図６を参照してより詳細に説明する。スマートデバイス１は、スマートデバイス利用環境がオンライン環境であるときに、コンテンツをダウンロードし、保存する（Ｓ１）。ここで属性情報は、ダウンロード元であるサーバ２０と同じである。コンテンツの保存完了を確認し（Ｓ２）、保存完了したときにはコンテンツ一覧を生成する（Ｓ３）。コンテンツ一覧の生成完了を確認し（Ｓ４）、生成完了したときにはメモリ６にコンテンツ一覧を保存する（Ｓ５）。コンテンツ一覧の保存完了を確認し（Ｓ６）、保存完了したときには、スマートデバイス１はサーバ２０とのデータ同期を行う（Ｓ７）。データ同期について同期完了を確認し（Ｓ８）、同期完了したときにはデータ同期完了情報を登録する（Ｓ９）。次に、コンテンツ一覧表示を含む手法によって、スマートデバイス利用者への通知を行う（Ｓ１０）。そして、スマートデバイス１は通常利用状態となる（Ｓ１１）。 Further, in the online environment, data synchronization shall be performed between the smart device 1 and the server 20 when the content information is updated or periodically. The data synchronization operation between the smart device and the server will be described in more detail with reference to FIG. The smart device 1 downloads and saves the content when the smart device usage environment is an online environment (S1). Here, the attribute information is the same as that of the server 20 which is the download source. Confirm the completion of saving the content (S2), and generate a content list when the saving is completed (S3). It is confirmed that the content list has been generated (S4), and when the generation is completed, the content list is saved in the memory 6 (S5). The completion of saving the content list is confirmed (S6), and when the saving is completed, the smart device 1 synchronizes the data with the server 20 (S7). Regarding data synchronization, the completion of synchronization is confirmed (S8), and when the synchronization is completed, the data synchronization completion information is registered (S9). Next, the smart device user is notified by a method including the content list display (S10). Then, the smart device 1 is in a normal use state (S11).

（制御装置による状態遷移制御）
本実施形態の制御装置による状態遷移制御について、図５の状態遷移図を参照して概要を説明する。 (State transition control by control device)
The state transition control by the control device of the present embodiment will be outlined with reference to the state transition diagram of FIG.

社外に持ち出されたスマートデバイス１において、条件１の充足を検出すると、システム状態を「１次データ漏洩防御状態」へ遷移させる。ここで条件１は、「通常利用状態」での通信不能状態ないしは通信環境の良好でない状態（オフライン状態）の検出や、通信路断操作の検出である。通信路断操作としては、機内モードへの設定操作などがある。この「１次データ漏洩防御状態」では、スマートデバイス内へのログインの不正ログイン操作監視や、セキュリティを確保した領域に保存されているコンテンツ一覧ならびにコンテンツにアクセスする際に、オフライン認証を行う動作になる。 When the satisfaction of the condition 1 is detected in the smart device 1 taken out of the company, the system state is changed to the "primary data leakage prevention state". Here, the condition 1 is the detection of a communication impossible state or a poor communication environment (offline state) in the "normal use state" and the detection of a communication channel disconnection operation. Communication path disconnection operations include setting operations to airplane mode. In this "primary data leakage prevention state", it is possible to monitor unauthorized login operations for logging in to a smart device, and to perform offline authentication when accessing a list of contents and contents stored in a secure area. Become.

「１次データ漏洩防御状態」において、スマートデバイス内へのログイン成功後のオフライン認証において認証結果がＯＫの場合は、通常利用状態への状態遷移を行い、利用終了時には、スマートデバイスはログイン／オフライン認証の入力情報待ちとなる。また、がスマートデバイス利用環境のオンライン環境への復帰を検出すると、オフライン認証の解除（１次データ漏洩防御状態の解除）を行い、システム状態を「通常利用状態」へ遷移させる。 In the "primary data leakage protection state", if the authentication result is OK in the offline authentication after successful login to the smart device, the state transitions to the normal usage state, and at the end of use, the smart device logs in / offline. Waiting for authentication input information. When it detects that the smart device usage environment returns to the online environment, it cancels the offline authentication (cancels the primary data leakage protection state) and shifts the system state to the "normal usage state".

次に、「１次データ漏洩防御状態」において、スマートデバイス内へのログインに失敗し、条件２の充足を検出すると、システム状態を「２次データ漏洩防御状態」へ遷移させる。ここで条件２は、誤ったＩＤ／パスワードの入力回数の超過、オフライン認証失敗の超過、やＳＩＭカード抜き取りなどである。「２次データ漏洩防御状態」へ遷移させた後、「３次データ漏洩防御状態」へ遷移させるための条件の監視（「コンテンツ消去・無効化タイミング」やタイマ値の満了など）を行う。すなわち、３次データ漏洩防御状態への遷移待ちとなる。 Next, in the "primary data leakage prevention state", when login to the smart device fails and the satisfaction of condition 2 is detected, the system state is changed to the "secondary data leakage prevention state". Here, the condition 2 is an excess of the number of times of inputting an incorrect ID / password, an excess of offline authentication failure, SIM card removal, and the like. After transitioning to the "secondary data leakage protection state", the conditions for transitioning to the "tertiary data leakage protection state" are monitored ("content deletion / invalidation timing", timer value expiration, etc.). That is, it waits for the transition to the tertiary data leakage protection state.

次に、「２次データ漏洩防御状態」において、条件３の充足を検出すると、システム状態を「３次データ漏洩防御状態」へ遷移させる。ここで条件３は、タイマ値など状態遷移条件の満了やＳＩＭカード抜き取りなどである。「３次データ漏洩防御状態」では、コンテンツ多段階防御ポリシーテーブルの消去・無効化範囲（コンテンツ単位消去、ユーザエリア消去、や業務エリア消去（ＢＹＯＤ利用時））に従い、消去処理を行う。さらに「４次データ漏洩防御状態」へ遷移させるための条件の監視（「コンテンツ消去・無効化タイミング」やタイマ値の満了など）を行う。すなわち、４次データ漏洩防御状態への遷移待ちとなる。 Next, when the satisfaction of the condition 3 is detected in the "secondary data leakage prevention state", the system state is changed to the "tertiary data leakage prevention state". Here, the condition 3 is the expiration of the state transition condition such as the timer value, the removal of the SIM card, and the like. In the "tertiary data leakage prevention state", the erasure process is performed according to the erasure / invalidation range (content unit erasure, user area erasure, and business area erasure (when BYOD is used)) of the content multi-stage protection policy table. Furthermore, the conditions for transitioning to the "fourth data leakage prevention state" are monitored ("content deletion / invalidation timing", timer value expiration, etc.). That is, it waits for the transition to the fourth data leakage protection state.

次に、「３次データ漏洩防御状態」において、条件４の充足を検出すると、システム状態を「４次データ漏洩防御状態」へ遷移させる。ここで条件４は、タイマ値など状態遷移条件の満了やRoot化操作などである。「４次データ漏洩防御状態」では、予めスマートデバイス内にインストールしておいた消去データを復元不能にするツールなどの制御を行う。この制御によって、スマートデバイス内部のＯＳを除いた全てのデータ（コンテンツ、アプリケーション、ポリシーデータ等）の復元不可能な消去を行う。この消去完了後、システム状態をスマートデバイス初期化状態へ遷移させる。スマートデバイス初期化状態は、スマートデバイスの工場出荷前状態である。 Next, when the satisfaction of the condition 4 is detected in the "tertiary data leakage prevention state", the system state is changed to the "fourth data leakage prevention state". Here, the condition 4 is the expiration of the state transition condition such as the timer value, the rooting operation, and the like. In the "fourth data leakage protection state", a tool or the like that makes the erased data installed in the smart device in advance unrecoverable is controlled. By this control, all data (contents, applications, policy data, etc.) except the OS inside the smart device is irretrievably erased. After the erasure is completed, the system state is changed to the smart device initialization state. The smart device initialization state is the state before the factory shipment of the smart device.

社外に持ち出されたスマートデバイス１において、条件５の充足を検出すると、システム状態を「３次データ漏洩防御状態」へ遷移させることを想定する。ここで条件５は、「ＳＩＭカード抜き取り操作」である。ここでユーザ本人またはユーザ本人が許可したメンテナンス作業者等による（悪意のない）「ＳＩＭカード抜き取り操作」の可能性を考慮して、「ＳＩＭカード抜き取り操作」を検出すると、ＣＰＵ５は企業におけるＩＴ利用規定等の運用方針に則った復旧（ＳＩＭカード挿入）に必要な許容時間の入力を促し、運用方針上許容範囲の時間（予め運用方針等で決められた時間）の入力を検出した場合は、「３次データ漏洩防御状態」へ遷移しない。 When the smart device 1 taken out of the company detects that the condition 5 is satisfied, it is assumed that the system state is changed to the "tertiary data leakage prevention state". Here, the condition 5 is "SIM card removal operation". Here, considering the possibility of (non-malicious) "SIM card removal operation" by the user or a maintenance worker authorized by the user, if the "SIM card removal operation" is detected, the CPU 5 uses IT in the enterprise. If you are prompted to enter the allowable time required for recovery (SIM card insertion) in accordance with the operation policy such as regulations, and if the input of the time within the allowable range in the operation policy (time determined in advance by the operation policy etc.) is detected, Does not transition to "tertiary data leakage protection state".

社外に持ち出されたスマートデバイス１において、条件６の充足を検出すると、システム状態を「４次データ漏洩防御状態」へ遷移させる。ここで条件６は、Root化操作である。「４次データ漏洩防御状態」では、予めスマートデバイス内にインストールしておいた消去データを復元不能にするツールなどの制御を行う。この制御によって、スマートデバイス内部のＯＳを除いた全てのデータ（コンテンツ、アプリケーション、ポリシーデータ等）の復元不可能な消去を行う。この消去完了後、システム状態をスマートデバイス初期化状態へ遷移させる。 When the satisfaction of the condition 6 is detected in the smart device 1 taken out of the company, the system state is changed to the "fourth data leakage prevention state". Here, condition 6 is a rooting operation. In the "fourth data leakage protection state", a tool or the like that makes the erased data installed in the smart device in advance unrecoverable is controlled. By this control, all data (contents, applications, policy data, etc.) except the OS inside the smart device is irretrievably erased. After the erasure is completed, the system state is changed to the smart device initialization state.

「３次データ漏洩防御状態」では条件を満たせば、「通常利用状態」や「１次データ漏洩防御状態」へ状態遷移できる。図５から理解されるように、条件４や条件６の充足を検出したときには、システム状態を「４次データ漏洩防御状態」へ遷移させ、「４次データ漏洩防御状態」から「通常利用状態」へ状態遷移することはできない。 In the "tertiary data leakage prevention state", if the conditions are satisfied, the state can be changed to the "normal use state" or the "primary data leakage prevention state". As can be understood from FIG. 5, when the satisfaction of the condition 4 and the condition 6 is detected, the system state is changed to the "fourth data leakage prevention state", and the "fourth data leakage prevention state" is changed to the "normal use state". The state cannot be changed to.

（スマートデバイス１が社外に持ち出されたときの動作）
次に、スマートデバイス１が社外に持ち出されたときの、スマートデバイス１とサーバ２０の動作について、フローチャートを参照しながら説明する。 (Operation when smart device 1 is taken out of the company)
Next, the operation of the smart device 1 and the server 20 when the smart device 1 is taken out of the company will be described with reference to the flowchart.

社外に持ち出されたスマートデバイス１において、通常利用状態（Ｓ２１）の後、コンテンツ消去・無効化タイミングを監視する（Ｓ２２）。ＣＰＵ５が「通常利用状態」で通信不能状態ないしは通信環境が良好でない状態（オフライン状態）を検出すると（Ｓ２３のＹＥＳ）、「オフライン認証」が作動し（Ｓ２４）、認証待ちの状態となる。このオフライン認証は、セキュリティを確保した領域に保存されているコンテンツ一覧ならびにコンテンツにアクセスする際に必要とする動作である。さらに、システム状態を「１次データ漏洩防御状態」へ状態遷移（Ｓ２５）させ、オンライン検出を確認する（Ｓ２６）。例えば、スマートデバイス１の利用者の操作によってスマートデバイス１がログインに成功し、その後のオフライン認証において認証結果がＯＫの場合（Ｓ２６のＹＥＳ）には、「オフライン認証」を解除し（Ｓ２７）、通常利用状態へ戻る（Ｓ２１）。 In the smart device 1 taken out of the company, after the normal usage state (S21), the content deletion / invalidation timing is monitored (S22). When the CPU 5 detects a state in which communication is not possible or a state in which the communication environment is not good (offline state) in the "normal use state" (YES in S23), "offline authentication" is activated (S24), and the state of waiting for authentication is entered. This offline authentication is an operation required when accessing the content list and the content stored in the secure area. Further, the system state is changed to the "primary data leakage prevention state" (S25), and the online detection is confirmed (S26). For example, if the smart device 1 succeeds in logging in by the operation of the user of the smart device 1 and the authentication result is OK in the subsequent offline authentication (YES in S26), the "offline authentication" is canceled (S27). Return to the normal usage state (S21).

「１次データ漏洩防御状態」へ状態遷移（Ｓ２５）した後、スマートデバイス利用（ログイン）開始を確認する（Ｓ２８）。スマートデバイス利用開始を確認できたときには（Ｓ２８のＹＥＳ）、図８に具体的に示される処理（１）へ進む。スマートデバイス利用開始を確認できないときは（Ｓ２８のＮＯ）、ＳＩＭカード抜き取りを検出する（Ｓ２９）。ＳＩＭカード抜き取りが検出されないときには（Ｓ２９のＮＯ）、スマートデバイス利用（ログイン）開始の確認（Ｓ２８）へ移動する。ＳＩＭカード抜き取りが検出されたときには（Ｓ２９のＹＥＳ）、図９Ａに具体的に示される処理（２）へ進む。 After the state transition (S25) to the "primary data leakage prevention state", the start of smart device use (login) is confirmed (S28). When the start of use of the smart device can be confirmed (YES in S28), the process proceeds to the process (1) specifically shown in FIG. When the start of using the smart device cannot be confirmed (NO in S28), the removal of the SIM card is detected (S29). When the SIM card removal is not detected (NO in S29), the process moves to confirmation (S28) of starting smart device use (login). When the removal of the SIM card is detected (YES in S29), the process proceeds to the process (2) specifically shown in FIG. 9A.

図８に具体的に示される処理（１）では、利用者によって入力されるＩＤやパスワードによる認証に問題がないか確認する（Ｓ１０１）。利用者によって入力されるＩＤやパスワードによる認証に問題があり、認証失敗の発生回数が超過したかを確認する（Ｓ１０２）。認証失敗の発生回数が超過するまで、ＩＤやパスワードによる認証の確認（Ｓ１０１）を繰り返す。認証失敗の発生回数が超過したときには（Ｓ１０２のＹＥＳ）、「２次データ漏洩防止」制御処理を行う（Ｓ１０３）。その後、図９Ｂに具体的に示される処理（３）へ進む。 In the process (1) specifically shown in FIG. 8, it is confirmed whether there is a problem in the authentication by the ID or password input by the user (S101). It is confirmed whether there is a problem in authentication by the ID or password entered by the user and the number of times of authentication failure has been exceeded (S102). The authentication confirmation (S101) using the ID and password is repeated until the number of authentication failures occurs. When the number of authentication failures exceeds (YES in S102), the "secondary data leakage prevention" control process is performed (S103). After that, the process proceeds to the process (3) specifically shown in FIG. 9B.

ＩＤやパスワードによる認証の確認（Ｓ１０１）で、利用者によって入力されるＩＤやパスワードに問題がなく（Ｓ１０１のＮＯ）、認証に成功したときは、通信手段断操作を検出する（Ｓ１０４）。ここで通信手段断操作とは、例えばユーザによる機内モードへの設定操作などが考えられる。通信手段断操作を検出したときには、「オフライン認証」を継続作動させる（Ｓ１１２）。「オフライン認証」の継続作動によって、認証待ちの状態が継続する。通信手段断操作が検出されないときには、セキュア領域へのアクセスの有無を確認する（Ｓ１０５）。セキュア領域へのアクセスが無いときには、「１次データ漏洩防御状態」を保持する（Ｓ１１３）。さらに、ＳＩＭカード抜き取りを検出し（Ｓ１１４）、ＳＩＭカード抜き取りが検出されたときには（Ｓ１１４のＹＥＳ）、図９Ａに具体的に示される処理（２）へ進む。 In the confirmation of authentication by ID or password (S101), if there is no problem with the ID or password entered by the user (NO in S101) and the authentication is successful, the communication means disconnection operation is detected (S104). Here, the communication means disconnection operation may be, for example, a user's operation to set the airplane mode. When the communication means disconnection operation is detected, the "offline authentication" is continuously operated (S112). By the continuous operation of "offline authentication", the state of waiting for authentication continues. When the communication means disconnection operation is not detected, it is confirmed whether or not there is access to the secure area (S105). When there is no access to the secure area, the "primary data leakage protection state" is maintained (S113). Further, when the SIM card withdrawal is detected (S114) and the SIM card withdrawal is detected (YES in S114), the process proceeds to the process (2) specifically shown in FIG. 9A.

ＳＩＭカード抜き取りが検出されないときには（Ｓ１１４のＮＯ）、スマートデバイス１へのRoot化操作の有無を検出する（Ｓ１１５）。Root化操作が検出されないときには、通信手段断操作の検出（Ｓ１０４）へ移動する。スマートデバイス１へのRoot化操作が検出されたときには、図１０Ｂに具体的に示される処理（５）へ進む。 When the SIM card removal is not detected (NO in S114), the presence or absence of the rooting operation in the smart device 1 is detected (S115). When the rooting operation is not detected, the process proceeds to the detection of the communication means disconnection operation (S104). When the rooting operation to the smart device 1 is detected, the process proceeds to the process (5) specifically shown in FIG. 10B.

通信手段断操作が検出されず（Ｓ１０４のＮＯ）、セキュア領域へのアクセスがあったときには（Ｓ１０５のＮＯ）、「オフライン認証」処理を開始する（Ｓ１０６）。オフライン認証の成否を確認し（Ｓ１０７）、オフライン認証が成功したとき（Ｓ１０７のＮＯ）、「セキュア領域」へのアクセスを容認する（Ｓ１０９）。「セキュア領域」へのアクセスを容認するということは、言い換えると「セキュア領域」へのアクセスがオフラインで利用可能であるということである。 When the communication means disconnection operation is not detected (NO in S104) and the secure area is accessed (NO in S105), the "offline authentication" process is started (S106). The success or failure of the offline authentication is confirmed (S107), and when the offline authentication is successful (NO in S107), access to the "secure area" is permitted (S109). Allowing access to the "secure area" means that access to the "secure area" is available offline.

その後、運用ポリシー違反の有無を検出し、運用ポリシー違反を検出したときには（Ｓ１１０のＹＥＳ）、「２次データ漏洩防止」制御処理（Ｓ１０３）へ移動する。運用ポリシー違反が検出されないときには（Ｓ１１０のＮＯ）、スマートデバイス１の利用終了を確認する（Ｓ１１１）。スマートデバイス１の利用終了が確認されないときには、「セキュア領域」へのアクセス容認（Ｓ１０９）へ移動する。スマートデバイス１の利用終了が確認されたときには、スマートデバイス１の利用が再開されるときのために図８のフローチャートの最初に戻る。 After that, the presence or absence of an operation policy violation is detected, and when an operation policy violation is detected (YES in S110), the process proceeds to the "secondary data leakage prevention" control process (S103). When the operation policy violation is not detected (NO in S110), the end of use of the smart device 1 is confirmed (S111). When the end of use of the smart device 1 is not confirmed, the access to the "secure area" is permitted (S109). When the end of use of the smart device 1 is confirmed, the process returns to the beginning of the flowchart of FIG. 8 in case the use of the smart device 1 is resumed.

次に、ＳＩＭカード抜き取りが検出された後に行われる処理（２）を、図９Ａのフローチャートで説明する。抜き取られたＳＩＭカードが挿入された状態に戻るための所要時間である「復旧時間（ＳＩＭカード挿入に要する時間）」の入力要求を行う（Ｓ２０１）。さらに、スマートデバイス１に入力された復旧時間の入力値の妥当性を確認する（Ｓ２０２）。入力された復旧時間の入力値が妥当なときには、「ＳＩＭ抜去」状態を確認する（Ｓ２０４）。ＳＩＭカードが挿入された状態に復旧して「ＳＩＭ抜去」状態が終了しているときには、図８に具体的に示される処理（１）へと戻る。 Next, the process (2) performed after the SIM card withdrawal is detected will be described with reference to the flowchart of FIG. 9A. An input request is made for the "recovery time (time required for inserting the SIM card)", which is the time required to return to the state in which the removed SIM card is inserted (S201). Further, the validity of the input value of the recovery time input to the smart device 1 is confirmed (S202). When the input value of the input recovery time is valid, the "SIM removed" state is confirmed (S204). When the SIM card is restored to the inserted state and the "SIM removal" state is completed, the process returns to the process (1) specifically shown in FIG.

「ＳＩＭ抜去」状態が確認されたときには（Ｓ２０４のＹＥＳ）、入力された「復旧時間」が満了しているか確認する（Ｓ２０５）。入力された「復旧時間」が満了していない間は、「ＳＩＭ抜去」状態の確認（Ｓ２０４）を繰り返す。「復旧時間」が満了したときには（Ｓ２０５のＹＥＳ）、「２次データ漏洩防止」制御処理を行う（Ｓ２０３）。「２次データ漏洩防止」制御処理のより具体的な内容を、後述する図１１Ａに示す。 When the "SIM removal" state is confirmed (YES in S204), it is confirmed whether the input "recovery time" has expired (S205). While the input "recovery time" has not expired, the confirmation of the "SIM removal" status (S204) is repeated. When the "recovery time" has expired (YES in S205), the "secondary data leakage prevention" control process is performed (S203). A more specific content of the “secondary data leakage prevention” control process is shown in FIG. 11A, which will be described later.

図８の「２次データ漏洩防止」制御処理（Ｓ１０３）の後に行われる処理（３）を、図９Ｂのフローチャートで説明する。 The process (3) performed after the “secondary data leakage prevention” control process (S103) of FIG. 8 will be described with reference to the flowchart of FIG. 9B.

２次防御状態解除が必要かどうかを確認する（Ｓ３０１）。スマートデバイス１の利用者が管理者へ何らかの手段で連絡し、かつオンライン環境へスマートデバイス１を移動させる（Ｓ３０２）。サーバ２０からの防御状態解除通知を待ち（Ｓ３０３）、解除通知受領を確認する（Ｓ３０４）。解除通知受領を確認できたときには、防御状態の解除を行う（Ｓ３０５）。この防御状態解除は、ロック解除やオフライン認証解除などである。そして、「通常利用状態」へ状態遷移する（Ｓ３０６）。 It is confirmed whether or not the secondary defense state needs to be released (S301). The user of the smart device 1 contacts the administrator by some means and moves the smart device 1 to the online environment (S302). Waiting for the defense state release notification from the server 20 (S303), and confirming the receipt of the release notification (S304). When the receipt of the cancellation notice can be confirmed, the defense state is canceled (S305). This defensive state release includes unlocking and offline authentication release. Then, the state transitions to the "normal use state" (S306).

２次防御状態解除が必要でないときには（Ｓ３０１のＮＯ）、「３次データ漏洩防御状態」への遷移条件の監視を行う（Ｓ３０７）。この「３次データ漏洩防御状態」への遷移条件とは、タイマ値等による。「３次データ漏洩防御状態」への状態遷移条件の満了を確認し、満了していない間は「３次データ漏洩防御状態」への状態遷移条件の満了確認を繰り返す。「３次データ漏洩防御状態」への状態遷移条件の満了が確認されたときには（Ｓ３０８のＹＥＳ）、「３次データ漏洩防止」制御処理を行う（Ｓ３０９）。「３次データ漏洩防止」制御処理のより具体的な内容を、後述する図１１Ｂに示す。その後、図１０Ａに具体的に示される処理（４）へ進む。 When it is not necessary to release the secondary defense state (NO in S301), the transition condition to the "tertiary data leakage protection state" is monitored (S307). The transition condition to the "third data leakage protection state" depends on the timer value and the like. Confirm the expiration of the state transition condition to the "tertiary data leakage protection state", and repeat the expiration confirmation of the state transition condition to the "tertiary data leakage prevention state" while it has not expired. When it is confirmed that the state transition condition to the "tertiary data leakage prevention state" has expired (YES in S308), the "third data leakage prevention" control process is performed (S309). A more specific content of the “third data leakage prevention” control process is shown in FIG. 11B, which will be described later. After that, the process proceeds to the process (4) specifically shown in FIG. 10A.

図９Ｂの「３次データ漏洩防止」制御処理（Ｓ３０９）の後に行われる処理（４）を、図１０Ａのフローチャートで説明する。 The process (4) performed after the “third data leakage prevention” control process (S309) of FIG. 9B will be described with reference to the flowchart of FIG. 10A.

３次防御状態解除が必要かどうかを確認する（Ｓ４０１）。スマートデバイス１の利用者が管理者へ何らかの手段で連絡し、かつオンライン環境へスマートデバイス１を移動させる（Ｓ４０２）。サーバ２０からの防御状態解除通知を待ち（Ｓ４０３）、解除通知受領を確認する（Ｓ４０４）。解除通知受領を確認できたときには、防御状態の解除を行う（Ｓ４０５）。この防御状態解除は、ロック解除やオフライン認証解除などである。そして、「通常利用状態」へ状態遷移する（Ｓ４０６）。 It is confirmed whether or not the tertiary defense state needs to be released (S401). The user of the smart device 1 contacts the administrator by some means and moves the smart device 1 to the online environment (S402). Waiting for the defense state release notification from the server 20 (S403), and confirming the receipt of the release notification (S404). When the receipt of the cancellation notice can be confirmed, the defense state is canceled (S405). This defensive state release includes unlocking and offline authentication release. Then, the state transitions to the "normal use state" (S406).

３次防御状態解除が必要でないときには（Ｓ４０１のＮＯ）、「４次データ漏洩防御状態」への遷移条件の監視を行う（Ｓ４０７）。この「４次データ漏洩防御状態」への遷移条件とは、タイマ値等による。「４次データ漏洩防御状態」への状態遷移条件の満了を確認し、満了していない間は「４次データ漏洩防御状態」への状態遷移条件の満了確認を繰り返す。「４次データ漏洩防御状態」への状態遷移条件の満了が確認されたときには（Ｓ４０８のＹＥＳ）、「４次データ漏洩防止」制御処理を行う（Ｓ４０９）。「４次データ漏洩防止」制御処理のより具体的な内容を、後述する図１１Ｃに示す。 When it is not necessary to release the tertiary defense state (NO in S401), the transition condition to the "fourth data leakage protection state" is monitored (S407). The transition condition to the "fourth data leakage prevention state" depends on the timer value and the like. Confirm the expiration of the state transition condition to the "fourth data leakage protection state", and repeat the expiration confirmation of the state transition condition to the "fourth data leakage prevention state" while it has not expired. When it is confirmed that the state transition condition to the "fourth data leakage prevention state" has expired (YES in S408), the "fourth data leakage prevention" control process is performed (S409). A more specific content of the “fourth data leakage prevention” control process is shown in FIG. 11C, which will be described later.

図８のRoot化操作が検出されたとき（Ｓ１１５のＹＥＳ）の後に行われる処理（５）を、図１０Ｂのフローチャートで説明する。この場合、「４次データ漏洩防止」制御処理を行う（Ｓ５０１）。 The process (5) performed after the rooting operation of FIG. 8 is detected (YES in S115) will be described with reference to the flowchart of FIG. 10B. In this case, the "fourth data leakage prevention" control process is performed (S501).

図１１Ａに、Ｓ１０３やＳ２０３の「２次データ漏洩防止」制御処理のより具体的な処理内容を示す。「２次データ漏洩防止」制御処理を開始し、「ロック制御」を作動させる。この「ロック制御」は、端末ロックやアプリロックである。次に、「２次データ漏洩防止状態」へ状態遷移する。次に、「３次データ漏洩防止状態」への遷移条件、例えばタイマ値など、を設定し監視する。 FIG. 11A shows more specific processing contents of the “secondary data leakage prevention” control processing of S103 and S203. The "secondary data leakage prevention" control process is started, and the "lock control" is activated. This "lock control" is a terminal lock or an application lock. Next, the state transitions to the "secondary data leakage prevention state". Next, transition conditions to the "tertiary data leakage prevention state", such as timer values, are set and monitored.

図１１Ｂに、Ｓ３０９の「３次データ漏洩防止」制御処理のより具体的な処理内容を示す。「３次データ漏洩防止」制御処理を開始し、消去範囲定義情報を元に「コンテンツ消去」を作動させる。次に、「３次データ漏洩防止状態」へ状態遷移する。次に、「４次データ漏洩防止状態」への遷移条件、例えばタイマ値などを設定し、監視する。 FIG. 11B shows a more specific processing content of the “third data leakage prevention” control process of S309. The "tertiary data leakage prevention" control process is started, and the "content erasure" is activated based on the erasure range definition information. Next, the state transitions to the "tertiary data leakage prevention state". Next, transition conditions to the "fourth data leakage prevention state", such as a timer value, are set and monitored.

図１１Ｃに、Ｓ４０９の「４次データ漏洩防止」制御処理のより具体的な処理内容を示す。「４次データ漏洩防止」制御処理を開始し、「４次データ漏洩防止状態」へ状態遷移する。ＯＳを除く、スマートデバイス１内部の全データについて復旧不能な消去を行う。次に、「初期化状態」へ状態遷移する。この「初期化状態」とは工場出荷前の状態を指す。 FIG. 11C shows a more specific processing content of the “fourth data leakage prevention” control process of S409. The "fourth data leakage prevention" control process is started, and the state transitions to the "fourth data leakage prevention state". All data inside the smart device 1 except the OS is irreparably erased. Next, the state transitions to the "initialized state". This "initialized state" refers to the state before shipment from the factory.

（第１実施形態の効果）
本実施形態の制御装置を適用したスマートデバイス１では、セキュリティ強化（情報漏洩防止）が可能である。 (Effect of the first embodiment)
In the smart device 1 to which the control device of the present embodiment is applied, security enhancement (information leakage prevention) is possible.

その理由は、不正アクセス（Root化等）やスマートデバイスのリモート制御不能状態（盗難・紛失等によるＳＩＭ等を抜かれた通信不能状態や通信環境が良好ではない状態（オフライン状態））等においても、スマートデバイス内部のコンテンツ制御が可能になるからである。さらに、きめ細かい条件設定ならびにデータ防御を行うことで、さらなるセキュリティ強化（情報漏洩防止）したサービスを提供（実現）することができる。 The reason is that even in the case of unauthorized access (rooting, etc.) or remote controlless state of the smart device (communication impossible state without SIM etc. due to theft or loss, communication environment is not good (offline state), etc.) This is because the content inside the smart device can be controlled. Furthermore, by setting detailed conditions and protecting data, it is possible to provide (realize) services with further enhanced security (prevention of information leakage).

さらに本実施形態の制御装置を適用したスマートデバイス１では、安心・安全な利用環境による顧客（スマートデバイス利用者）満足の向上が可能である。 Further, in the smart device 1 to which the control device of the present embodiment is applied, it is possible to improve customer (smart device user) satisfaction by a safe and secure usage environment.

その理由は、不正アクセス（Root化等）やスマートデバイスのリモート制御不能状態（盗難・紛失等によるＳＩＭ等を抜かれた通信不能状態や通信環境が良好ではない状態（オフライン状態））等においても、きめ細かい条件設定ならびにデータ防御が可能になるからである。最終的には、スマートデバイス内部のＯＳを除いた全てのデータ（コンテンツ、アプリケーション、ポリシーデータ等）を復元不可能な消去（完全消去）を行うことから、（背景技術による暗号化データの流出の可能性に対する）顧客の不安を払しょくできる。本システムの安心・安全な利用環境提供による顧客（スマートデバイス利用者）満足の向上を図ることができる。 The reason is that even in the case of unauthorized access (rooting, etc.) or remote controlless state of the smart device (communication impossible state without SIM etc. due to theft or loss, communication environment is not good (offline state), etc.) This is because detailed condition setting and data protection are possible. Eventually, all data (contents, applications, policy data, etc.) except the OS inside the smart device will be irretrievably erased (completely erased), so (leakage of encrypted data by background technology). Dispel customer anxiety (for potential). It is possible to improve customer (smart device user) satisfaction by providing a safe and secure usage environment for this system.

さらに本実施形態の制御装置を適用したスマートデバイス１では、セキュリティを保ったスマートデバイスのビジネス利用上の利便性向上が可能である。言い換えると、セキュリティと利便性の両立が可能である。 Further, in the smart device 1 to which the control device of the present embodiment is applied, it is possible to improve the convenience of the smart device for business use while maintaining the security. In other words, both security and convenience can be achieved.

スマートデバイスのビジネス利用時に何らかのトラブルが発生した場合、ユーザ本人であっても、動揺してスマートデバイスの操作を誤るケースや、ＩＴに不慣れな人の誤操作のケースは、スマートデバイス利用時には起こり得る。本実施形態では、きめ細かい条件設定によるセキュリティレベルに応じた段階的なデータ防御を行うことで、スマートデバイス内部データのセキュリティを保った上で、スマートデバイス利用再開に必要な復旧作業時間の最小化を実現できる。ここでスマートデバイス利用再開に必要な復旧作業とは、アプリケーション、コンテンツ、ポリシーの再インストール等のスマートデバイス利用環境設定である。このように、問題となる事象が発生しても、セキュリティと利便性の両立を図ることが可能な最適なスマートデバイス利用環境を提供できる。 When some trouble occurs when using a smart device for business, even the user himself / herself may be upset and mistakenly operate the smart device, or a person who is unfamiliar with IT may make a mistake when using the smart device. In this embodiment, the recovery work time required for resuming the use of the smart device is minimized while maintaining the security of the internal data of the smart device by performing stepwise data protection according to the security level by setting detailed conditions. realizable. Here, the recovery work required for resuming the use of the smart device is the smart device usage environment setting such as the reinstallation of applications, contents, and policies. In this way, even if a problematic event occurs, it is possible to provide an optimal smart device usage environment that can achieve both security and convenience.

本実施形態の制御装置を適用したスマートデバイス１では、秘密情報の消去や無効化が必要な事象を検出したときには、通常利用状態から、コンテンツ多段階防御に応じた制御を行う。これにより、データ漏洩を抑制することができる。 In the smart device 1 to which the control device of the present embodiment is applied, when an event that requires erasure or invalidation of confidential information is detected, control is performed from the normal usage state according to the content multi-step protection. As a result, data leakage can be suppressed.

さらに本実施形態の制御装置を適用したスマートデバイス１では、スマートデバイスがオフライン環境に存在しているときでも、秘密情報の消去や無効化が必要な事象を検出したときには、通常利用状態から、コンテンツ多段階防御に応じた制御を行う。これにより、リモート制御不能な状態にあるスマートデバイス１に対してもデータ漏洩を抑制することができる。 Further, in the smart device 1 to which the control device of the present embodiment is applied, even when the smart device exists in the offline environment, when an event that requires erasure or invalidation of confidential information is detected, the content is changed from the normal usage state. Control according to multi-step defense. As a result, data leakage can be suppressed even for the smart device 1 in a state where remote control is not possible.

例えば、スマートデバイス１のRoot化を検出したときには、「４次データ漏洩防止状態」へ状態遷移させ、ＯＳを除く、スマートデバイス１内部の全データについて復旧不能な消去を行う。これにより、悪意のあるスマートデバイス１の利用者への秘密情報の漏洩を防止することができる。 For example, when the rooting of the smart device 1 is detected, the state transitions to the "fourth data leakage prevention state", and all the data inside the smart device 1 except the OS is irreparably erased. As a result, it is possible to prevent leakage of confidential information to a malicious smart device 1 user.

例えば、スマートデバイス１のＳＩＭカード抜き取り操作を検出した場合は、復旧に必要な許容時間の入力を行わせ、妥当な時間の入力を検出した場合、入力された時間中はより重要度の高い漏洩防御状態への状態遷移を猶予して、復旧操作を監視している。これにより、ユーザ本人またはユーザ本人が許可したメンテナンス作業者等による、悪意のないＳＩＭ抜去を許容することができる。またユーザ本人またはユーザ本人が許可したメンテナンス作業者以外の利用者によるＳＩＭカード抜き取り操作に対しては、より重要度の高い漏洩防御状態への状態遷移を行うことができる。これにより、悪意のあるスマートデバイス１の利用者への秘密情報の漏洩を防止することができる。 For example, when the SIM card removal operation of the smart device 1 is detected, the allowable time required for recovery is input, and when the input of a reasonable time is detected, the leakage is more important during the input time. The recovery operation is monitored by deferring the state transition to the defensive state. As a result, it is possible to allow a non-malicious SIM removal by the user himself / herself or a maintenance worker authorized by the user himself / herself. Further, for the SIM card withdrawal operation by the user himself / herself or a user other than the maintenance worker authorized by the user himself / herself, the state transition to the leakage prevention state with higher importance can be performed. As a result, it is possible to prevent leakage of confidential information to a malicious smart device 1 user.

〔第２実施形態〕
次に、本発明の第２実施形態による制御装置、制御方法、およびシステムについて、説明する。本実施形態は、制御装置、制御方法、およびシステムの一例として、スマートデバイス利用環境における通信路が確保された環境（オンライン環境）を想定し、多段階防御を行う制御に関するものである。 [Second Embodiment]
Next, the control device, the control method, and the system according to the second embodiment of the present invention will be described. The present embodiment relates to a control that performs multi-step protection assuming an environment (online environment) in which a communication path is secured in a smart device usage environment as an example of a control device, a control method, and a system.

本実施形態のシステムは、上述した本発明の第１実施形態と同様に、スマートデバイス１と、Radio Access Network（ＲＡＮ）or WiFiアクセスポイント（ＡＰ）１０と、回線１１、１２と、Internet or Intra Network１００と、サーバ２０と、を含む。 The system of the present embodiment is the same as the first embodiment of the present invention described above, that is, the smart device 1, the Radio Access Network (RAN) or WiFi access point (AP) 10, the lines 11 and 12, and the Internet or Intra. Includes Network 100 and Server 20.

スマートデバイス１は、図３に示すように、User Equipment（ＵＥ）２と、User Identity Module（ＵＩＭ）３と、アンテナ７と、を含む。スマートデバイス１のＵＥ２は、無線部／制御部４と、プログラム制御により動作するＣＰＵ（中央処理装置；プロセッサ；データ処理装置）５と、メモリ６と、を含む。 As shown in FIG. 3, the smart device 1 includes a User Equipment (UE) 2, a User Identity Module (UIM) 3, and an antenna 7. The UE 2 of the smart device 1 includes a radio unit / control unit 4, a CPU (central processing unit; processor; data processing unit) 5 operated by program control, and a memory 6.

なお図２のスマートデバイス１は、３Ｇ／ＬＴＥ等の移動体通信モデルの場合を示している。スマートデバイスがWiFiモデルの場合は、図２のＵＩＭ３はなくてもよい。 The smart device 1 in FIG. 2 shows the case of a mobile communication model such as 3G / LTE. If the smart device is a WiFi model, the UIM3 in FIG. 2 may not be available.

スマートデバイス１のＣＰＵ５は、図４に示すように、ＵＩ制御処理部５０２、ポリシー設定制御部５０３、コンテンツ消去タイミング監視・検出処理部５０４、タイマなどによる状態遷移条件の監視処理部５０５、およびオフライン認証処理部５０６を含む。さらにスマートデバイス１のＣＰＵ５は、端末ロック・アプリロック制御処理部５０７、コンテンツ消去制御処理部５０８、コンテンツ消去ツール制御・処理部５０９、データ漏洩防御解除処理部５１０、データ同期処理部５１１、データ送受信処理部５１２、機能状態管理部・機能制御部５０１を含む。 As shown in FIG. 4, the CPU 5 of the smart device 1 includes a UI control processing unit 502, a policy setting control unit 503, a content erasure timing monitoring / detection processing unit 504, a state transition condition monitoring processing unit 505 using a timer, and offline. Includes authentication processing unit 506. Further, the CPU 5 of the smart device 1 includes a terminal lock / application lock control processing unit 507, a content erasure control processing unit 508, a content erasing tool control / processing unit 509, a data leakage protection release processing unit 510, a data synchronization processing unit 511, and data transmission / reception. It includes a processing unit 512 and a functional state management unit / functional control unit 501.

次に、スマートデバイス１が社外に持ち出されたときの、スマートデバイス１とサーバ２０の動作について、図１２Ａのフローチャートを参照しながら説明する。本実施形態では、スマートデバイス１が社外に持ち出されているがオンライン環境を維持していることを前提として、説明する。 Next, the operation of the smart device 1 and the server 20 when the smart device 1 is taken out of the company will be described with reference to the flowchart of FIG. 12A. In this embodiment, the description will be made on the premise that the smart device 1 is taken out of the company but maintains an online environment.

社外に持ち出されたスマートデバイス１において、通常利用状態（Ｓ３１）の後、コンテンツ消去・無効化タイミングを監視する（Ｓ３２）。さらに、スマートデバイス利用（ログイン）開始を確認する（Ｓ３３）。スマートデバイス利用開始を確認したときには（Ｓ３３のＹＥＳ）、図１２Ｂに具体的に示される処理（６）へ進む。スマートデバイス利用開始を確認できないときは（Ｓ３３のＮＯ）、ＳＩＭカード抜き取りを検出する（Ｓ３４）。ＳＩＭカード抜き取りが検出されないときには（Ｓ３４のＮＯ）、コンテンツ消去・無効化タイミングの監視（Ｓ３２）へ戻る。ＳＩＭカード抜き取りが検出されたときには（Ｓ３４のＹＥＳ）、図１３に具体的に示される処理（７）へ進む。 In the smart device 1 taken out of the company, the content deletion / invalidation timing is monitored (S32) after the normal usage state (S31). Further, the start of using the smart device (login) is confirmed (S33). When the start of use of the smart device is confirmed (YES in S33), the process proceeds to the process (6) specifically shown in FIG. 12B. When the start of using the smart device cannot be confirmed (NO in S33), the removal of the SIM card is detected (S34). When the SIM card removal is not detected (NO in S34), the process returns to monitoring the content erasure / invalidation timing (S32). When the removal of the SIM card is detected (YES in S34), the process proceeds to the process (7) specifically shown in FIG.

図１２Ｂに具体的に示される処理（６）では、利用者によって入力されるＩＤやパスワードによる認証に問題がないか確認する（Ｓ６０１）。利用者によって入力されるＩＤやパスワードによる認証に問題がないときには（Ｓ６０１のＮＯ）、図１４に具体的に示される処理（８）へと進む。利用者によって入力されるＩＤやパスワードによる認証に問題がある場合、認証失敗の発生回数が超過したかを確認する（Ｓ６０２）。認証失敗の発生回数が超過するまで、ＩＤやパスワードによる認証の確認（Ｓ６０１）を繰り返す。認証失敗の発生回数が超過したときには（Ｓ６０２のＹＥＳ）、「２次データ漏洩防止」制御処理を行う（Ｓ６０３）。「２次データ漏洩防止」制御処理のより具体的な内容を、後述する図１７Ａに示す。その後、図１６Ａに具体的に示される処理（１０）へ進む。 In the process (6) specifically shown in FIG. 12B, it is confirmed whether there is a problem in the authentication by the ID or password input by the user (S601). When there is no problem in the authentication by the ID or password input by the user (NO in S601), the process proceeds to the process (8) specifically shown in FIG. If there is a problem in authentication using the ID or password entered by the user, check whether the number of authentication failures has exceeded (S602). The authentication confirmation (S601) using the ID and password is repeated until the number of authentication failures occurs. When the number of authentication failures exceeds (YES in S602), the "secondary data leakage prevention" control process is performed (S603). A more specific content of the “secondary data leakage prevention” control process is shown in FIG. 17A, which will be described later. After that, the process proceeds to the process (10) specifically shown in FIG. 16A.

また、社外に持ち出されたスマートデバイス１において、ＣＰＵ５が「通常利用状態」で、サーバ２０がコンテンツ消去・無効化タイミングである「コンテンツへのアクセス回数（アクセス回数超過）」や「利用権限外アクセス操作」といったスマートデバイス１利用者が運用ポリシー違反を行っていることを検出すると、サーバ２０はスマートデバイス１に注意喚起するための通知（アクセス回数超過や利用権限外アクセスである通知）を送信する。 Further, in the smart device 1 taken out of the company, the CPU 5 is in the "normal use state" and the server 20 is the content deletion / invalidation timing such as "content access count (access count exceeded)" or "access outside the usage authority". When it is detected that the smart device 1 user such as "operation" violates the operation policy, the server 20 sends a notification (notification that the number of accesses is exceeded or the access is outside the usage authority) to alert the smart device 1. ..

この際、スマートデバイス１利用者がこの通知を無視してさらにサーバ２０へのアクセスを続けていることをサーバ２０が検出すると、ＭＤＭ機能やＭＡＭ機能と言ったリモート制御である、端末ロックやアプリケーションロック（リモートロック）を行う。
この時、サーバ２０はスマートデバイス１に対して、リモートロック通知（スマートデバイス１がリモートロックをされた通知）を送信する。 At this time, when the server 20 detects that the smart device 1 user ignores this notification and continues to access the server 20, the terminal lock or application which is a remote control such as the MDM function or the MAM function. Perform lock (remote lock).
At this time, the server 20 transmits a remote lock notification (notification that the smart device 1 has been remotely locked) to the smart device 1.

ＣＰＵ５が「リモートロック通知」を検出すると、システム状態を「２次データ漏洩防御状態」へ遷移させるとともに、「３次データ漏洩防御状態」へ遷移させるための条件の監視（「コンテンツ消去・無効化タイミング」やタイマ値の満了など）を行う。（３次データ漏洩防御状態への遷移待ちとなる）
また、社外に持ち出されたスマートデバイス１において、ＣＰＵ５が「通常利用状態」で、ＣＰＵ５がコンテンツ消去・無効化タイミングである、機内モード等による「Bluetooth／WiFi接続断操作」を検出すると、スマートデバイス内へのログインの不正ログイン操作監視やセキュリティを確保した領域に保存されているコンテンツ一覧ならびにコンテンツにアクセスする際に、オフライン認証を行う動作になり、システム状態を「１次データ漏洩防御状態」へ遷移する。 When the CPU 5 detects the "remote lock notification", it shifts the system state to the "secondary data leakage protection state" and monitors the conditions for transitioning to the "tertiary data leakage prevention state"("content deletion / invalidation"). "Timing" and expiration of timer value, etc.). (Waiting for transition to tertiary data leakage protection state)
Further, in the smart device 1 taken out of the company, when the CPU 5 detects the "normal use state" and the CPU 5 detects the "Bluetooth / WiFi connection disconnection operation" in the airplane mode or the like, which is the content deletion / invalidation timing, the smart device is used. Unauthorized login operation to the inside When accessing the content list and contents stored in the area where monitoring and security are secured, offline authentication is performed and the system state is changed to "primary data leakage prevention state". Transition.

上記状況下は、オフライン環境記述同様に、ログインまたはオフライン認証に失敗した事象が発生すると、ＣＰＵ５は、コンテンツ消去・無効化タイミング（失敗発生回数超過）を監視し、ＣＰＵ５が失敗発生回数超過を検出すると、端末ロック／アプリケーションロック等の制御を行い、システム状態を「２次データ漏洩防御状態」へ遷移させるとともに、「３次データ漏洩防御状態」へ遷移させるための条件の監視（「コンテンツ消去・無効化タイミング」やタイマ値の満了など）を行う。（３次データ漏洩防御状態への遷移待ちとなる）
上記状況下において、ＣＰＵ５が機内モード解除等による「Bluetooth／WiFi接続操作」（オンライン環境に復帰）を検出すると、オフライン認証の解除（１次データ漏洩防御状態の解除）を行い通常利用状態へ遷移する。 Under the above situation, as in the offline environment description, when an event that fails in login or offline authentication occurs, the CPU 5 monitors the content deletion / invalidation timing (exceeding the number of failures), and the CPU 5 detects that the number of failures has exceeded. Then, control such as terminal lock / application lock is performed, the system state is changed to the "secondary data leakage prevention state", and the conditions for transitioning to the "tertiary data leakage prevention state" are monitored ("content erasure / content deletion /". "Invalidation timing", expiration of timer value, etc.). (Waiting for transition to tertiary data leakage protection state)
Under the above circumstances, when the CPU 5 detects "Bluetooth / WiFi connection operation" (returning to the online environment) due to airplane mode cancellation, etc., offline authentication is canceled (primary data leakage protection state is canceled) and the normal usage state is entered. do.

次に、ＳＩＭカード抜き取りが検出された後に行われる処理（７）を、図１３のフローチャートで説明する。抜き取られたＳＩＭカードが挿入された状態に戻るための所要時間である「復旧時間（ＳＩＭカード挿入に要する時間）」の入力要求を行う（Ｓ７０１）。さらに、スマートデバイス１に入力された復旧時間の入力値の妥当性を確認する（Ｓ７０２）。入力された復旧時間の入力値が妥当なときには、「ＳＩＭ抜去」状態を確認する（Ｓ７０４）。ＳＩＭカードが挿入された状態に復旧して「ＳＩＭ抜去」状態が終了しているときには、図１２Ｂに具体的に示される処理（６）へと戻る。 Next, the process (7) performed after the SIM card withdrawal is detected will be described with reference to the flowchart of FIG. An input request is made for the "recovery time (time required for inserting the SIM card)", which is the time required to return to the state in which the removed SIM card is inserted (S701). Further, the validity of the input value of the recovery time input to the smart device 1 is confirmed (S702). When the input value of the input recovery time is appropriate, the "SIM removed" state is confirmed (S704). When the state in which the SIM card is inserted is restored and the "SIM removal" state is completed, the process returns to the process (6) specifically shown in FIG. 12B.

「ＳＩＭ抜去」状態が確認されたときには（Ｓ７０４のＹＥＳ）、入力された「復旧時間」が満了しているか確認する（Ｓ７０５）。入力された「復旧時間」が満了していない間は、「ＳＩＭ抜去」状態の確認（Ｓ７０４）を繰り返す。「復旧時間」が満了したときには（Ｓ７０５のＹＥＳ）、「２次データ漏洩防止」制御処理を行う（Ｓ７０３）。「２次データ漏洩防止」制御処理のより具体的な内容を、後述する図１７Ａに示す。その後、図１６Ａに具体的に示される処理（１０）へ進む。 When the "SIM removal" state is confirmed (YES in S704), it is confirmed whether the input "recovery time" has expired (S705). While the input "recovery time" has not expired, the confirmation of the "SIM removal" status (S704) is repeated. When the "recovery time" has expired (YES in S705), the "secondary data leakage prevention" control process is performed (S703). A more specific content of the “secondary data leakage prevention” control process is shown in FIG. 17A, which will be described later. After that, the process proceeds to the process (10) specifically shown in FIG. 16A.

処理（８）を、図１４のフローチャートで説明する。スマートデバイス１のログイン中に運用ポリシー監視等を含む監視を行う（Ｓ８０１）。運用ポリシー違反の有無を監視し、違反検出したときには（Ｓ８０２のＹＥＳ）、「２次データ漏洩防止」制御処理（Ｓ８０３）へ移動する。運用ポリシー違反が検出されないときには（Ｓ８０２のＮＯ）、サーバ２０へのアクセスの有無を確認する（Ｓ８０４）。スマートデバイス１のログイン中に運用ポリシー監視等を含む監視を行う（Ｓ８０５）。運用ポリシー違反の有無を監視し、運用ポリシー違反を検出したときには（Ｓ８０６のＹＥＳ）、「２次データ漏洩防止」制御処理（Ｓ８０３）へ移動する。運用ポリシー違反が検出されないときには（Ｓ８０６のＮＯ）、スマートデバイス１へのRoot化操作の有無を検出する（Ｓ８０７）。Root化操作が検出されないときには、ＳＩＭカード抜き取りを検出し（Ｓ８０８）、ＳＩＭカード抜き取りが検出されたときには（Ｓ８０８のＹＥＳ）、図１３に具体的に示される処理（７）へ進む。 The process (8) will be described with reference to the flowchart of FIG. Monitoring including operation policy monitoring is performed while the smart device 1 is logged in (S801). The presence or absence of an operation policy violation is monitored, and when a violation is detected (YES in S802), the process moves to the "secondary data leakage prevention" control process (S803). When the operation policy violation is not detected (NO in S802), it is confirmed whether or not the server 20 is accessed (S804). Monitoring including operation policy monitoring is performed while the smart device 1 is logged in (S805). The presence or absence of an operation policy violation is monitored, and when an operation policy violation is detected (YES in S806), the process moves to the "secondary data leakage prevention" control process (S803). When the operation policy violation is not detected (NO in S806), the presence / absence of the rooting operation in the smart device 1 is detected (S807). When the rooting operation is not detected, SIM card removal is detected (S808), and when SIM card removal is detected (YES in S808), the process proceeds to the process (7) specifically shown in FIG.

ＳＩＭカード抜き取りが検出されないときには（Ｓ８０９のＮＯ）、通信手段断操作を検出する（Ｓ８０９）。ここで通信手段断操作とは、例えばユーザによる機内モードへの設定操作などが考えられる。通信手段断操作が検出されないときには、Ｓ８０１に戻る。通信手段断操作を検出したときには、図１５に具体的に示される処理（９）へ進む。 When the SIM card removal is not detected (NO in S809), the communication means disconnection operation is detected (S809). Here, the communication means disconnection operation may be, for example, a user's operation to set the airplane mode. When the communication means disconnection operation is not detected, the process returns to S801. When the communication means disconnection operation is detected, the process proceeds to the process (9) specifically shown in FIG.

図１５に具体的に示される処理（９）では、「オフライン認証」が作動し（Ｓ９０１）、認証待ちの状態となる。さらに、「１次データ漏洩防御状態」へ状態遷移する（Ｓ９０２）。通信手段接続操作の有無を確認し、通信手段接続操作を確認したときには（Ｓ９０３のＹＥＳ）、「オフライン認証」を解除する（Ｓ９０４）。そして図１４に示される処理（８）へ戻る。通信手段接続操作を確認できないときは（Ｓ９０３のＮＯ）、スマートデバイス１へのRoot化操作の有無を検出する（Ｓ９０５）。Root化操作が検出されないときには、ＳＩＭカード抜き取りを検出し（Ｓ９０６）、ＳＩＭカード抜き取りが検出されたときには（Ｓ９０６のＹＥＳ）、図１３に具体的に示される処理（７）へ進む。 In the process (9) specifically shown in FIG. 15, "offline authentication" is activated (S901), and the state of waiting for authentication is set. Further, the state transitions to the "primary data leakage protection state" (S902). When the presence or absence of the communication means connection operation is confirmed and the communication means connection operation is confirmed (YES in S903), the "offline authentication" is canceled (S904). Then, the process returns to the process (8) shown in FIG. When the communication means connection operation cannot be confirmed (NO in S903), the presence / absence of the rooting operation in the smart device 1 is detected (S905). When the rooting operation is not detected, SIM card removal is detected (S906), and when SIM card removal is detected (YES in S906), the process proceeds to the process (7) specifically shown in FIG.

ＳＩＭカード抜き取りが検出されないときには（Ｓ９０６のＮＯ）、セキュア領域へのアクセスの有無を確認する（Ｓ９０７）。セキュア領域へのアクセスが無いときには、通信手段接続操作の有無の確認（Ｓ９０３）へ戻る。セキュア領域へのアクセスがあったときには（Ｓ９０７のＹＥＳ）、「オフライン認証」処理を開始する（Ｓ９０８）。オフライン認証の成否を確認し（Ｓ９０９）、オフライン認証が成功したとき（Ｓ９０９のＮＯ）、「セキュア領域」へのアクセスを容認する（Ｓ９１２）。「セキュア領域」へのアクセスを容認するということは、言い換えると「セキュア領域」へのアクセスがオフラインで利用可能であるということである。その後、スマートデバイス１の利用終了を確認する（Ｓ９１３）。スマートデバイス１の利用終了が確認されないときには、「セキュア領域」へのアクセス容認（Ｓ９１２）へ戻る。スマートデバイス１の利用終了が確認されたときには、スマートデバイス１の利用が再開されるときのために図１２Ｂのフローチャートの最初に戻る。 When the SIM card removal is not detected (NO in S906), it is confirmed whether or not there is access to the secure area (S907). When there is no access to the secure area, the process returns to confirmation (S903) of the presence / absence of the communication means connection operation. When the secure area is accessed (YES in S907), the "offline authentication" process is started (S908). The success or failure of the offline authentication is confirmed (S909), and when the offline authentication is successful (NO in S909), access to the "secure area" is permitted (S912). Allowing access to the "secure area" means that access to the "secure area" is available offline. After that, the end of use of the smart device 1 is confirmed (S913). When the end of use of the smart device 1 is not confirmed, the process returns to the permission of access to the "secure area" (S912). When the end of use of the smart device 1 is confirmed, the process returns to the beginning of the flowchart of FIG. 12B in case the use of the smart device 1 is resumed.

オフライン認証が失敗した場合（Ｓ９０９のＹＥＳ）、認証失敗の発生回数が超過したかを確認する（Ｓ９０１）。認証失敗の発生回数が超過するまで、オフライン認証の確認（Ｓ９０９）を繰り返す。認証失敗の発生回数が超過したときには（Ｓ９１０のＹＥＳ）、「２次データ漏洩防止」制御処理を行う（Ｓ９１１）。「２次データ漏洩防止」制御処理の具体的な内容を、後述する図１７Ａに示す。その後、図１６に具体的に示される処理（１０）へ進む。 When offline authentication fails (YES in S909), it is confirmed whether the number of times of authentication failure has been exceeded (S901). The offline authentication confirmation (S909) is repeated until the number of authentication failures occurs. When the number of authentication failures exceeds (YES in S910), the "secondary data leakage prevention" control process is performed (S911). The specific contents of the “secondary data leakage prevention” control process are shown in FIG. 17A, which will be described later. After that, the process proceeds to the process (10) specifically shown in FIG.

図１５の「２次データ漏洩防止」制御処理（Ｓ９１１）の後に行われる処理（１０）を、図１６Ａのフローチャートで説明する。 The process (10) performed after the “secondary data leakage prevention” control process (S911) of FIG. 15 will be described with reference to the flowchart of FIG. 16A.

２次防御状態解除が必要かどうかを確認する（Ｓ１００１）。スマートデバイス１の利用者が管理者へ何らかの手段で連絡し、かつオンライン環境へスマートデバイス１を移動させる（Ｓ１００２）。サーバ２０からの防御状態解除通知を待ち（Ｓ１００３）、解除通知受領を確認する（Ｓ１００４）。解除通知受領を確認できたときには、防御状態の解除を行う（Ｓ１００５）。この防御状態解除は、ロック解除やオフライン認証解除などである。そして、「通常利用状態」へ状態遷移する（Ｓ１００６）。 It is confirmed whether or not the secondary defense state needs to be released (S1001). The user of the smart device 1 contacts the administrator by some means and moves the smart device 1 to the online environment (S1002). It waits for the defense state release notification from the server 20 (S1003), and confirms the receipt of the release notification (S1004). When the receipt of the cancellation notice can be confirmed, the defense state is canceled (S1005). This defensive state release includes unlocking and offline authentication release. Then, the state transitions to the "normal use state" (S1006).

２次防御状態解除が必要でないときには（Ｓ１００１のＮＯ）、「３次データ漏洩防御状態」への遷移条件の監視を行う（Ｓ１００７）。この「３次データ漏洩防御状態」への遷移条件とは、タイマ値等による。「３次データ漏洩防御状態」への状態遷移条件の満了を確認し、満了していない間は「３次データ漏洩防御状態」への状態遷移条件の満了確認を繰り返す。「３次データ漏洩防御状態」への状態遷移条件の満了が確認されたときには（Ｓ１００８のＹＥＳ）、「３次データ漏洩防止」制御処理を行う（Ｓ１００９）。「３次データ漏洩防止」制御処理のより具体的な内容を、後述する図１７Ｂに示す。その後、図１６Ｂに具体的に示される処理（１１）へ進む。 When it is not necessary to release the secondary defense state (NO in S1001), the transition condition to the "tertiary data leakage protection state" is monitored (S1007). The transition condition to the "third data leakage protection state" depends on the timer value and the like. Confirm the expiration of the state transition condition to the "tertiary data leakage protection state", and repeat the expiration confirmation of the state transition condition to the "tertiary data leakage prevention state" while it has not expired. When it is confirmed that the state transition condition to the "tertiary data leakage prevention state" has expired (YES in S1008), the "third data leakage prevention" control process is performed (S1009). A more specific content of the “third data leakage prevention” control process is shown in FIG. 17B, which will be described later. After that, the process proceeds to the process (11) specifically shown in FIG. 16B.

図１６Ａの「３次データ漏洩防止」制御処理（Ｓ１００９）の後に行われる処理（１１）を、図１６Ｂのフローチャートで説明する。 The process (11) performed after the “third data leakage prevention” control process (S1009) of FIG. 16A will be described with reference to the flowchart of FIG. 16B.

３次防御状態解除が必要かどうかを確認する（Ｓ１１０１）。スマートデバイス１の利用者が管理者へ何らかの手段で連絡し、かつオンライン環境へスマートデバイス１を移動させる（Ｓ１１０２）。サーバ２０からの防御状態解除通知を待ち（Ｓ１１０３）、解除通知受領を確認する（Ｓ１１０４）。解除通知受領を確認できたときには、防御状態の解除を行う（Ｓ１１０５）。この防御状態解除は、ロック解除やオフライン認証解除などである。そして、「通常利用状態」へ状態遷移する（Ｓ１１０６）。 It is confirmed whether or not the tertiary defense state needs to be released (S1101). The user of the smart device 1 contacts the administrator by some means and moves the smart device 1 to the online environment (S1102). It waits for the defense state release notification from the server 20 (S1103), and confirms the receipt of the release notification (S1104). When the receipt of the cancellation notice can be confirmed, the defense state is canceled (S1105). This defensive state release includes unlocking and offline authentication release. Then, the state transitions to the "normal use state" (S1106).

３次防御状態解除が必要でないときには（Ｓ１１０１のＮＯ）、「４次データ漏洩防御状態」への遷移条件の監視を行う（Ｓ１１０７）。この「４次データ漏洩防御状態」への遷移条件とは、タイマ値等による。「４次データ漏洩防御状態」への状態遷移条件の満了を確認し、満了していない間は「４次データ漏洩防御状態」への状態遷移条件の満了確認を繰り返す。「４次データ漏洩防御状態」への状態遷移条件の満了が確認されたときには（Ｓ１１０８のＹＥＳ）、「４次データ漏洩防止」制御処理を行う（Ｓ１１０９）。「４次データ漏洩防止」制御処理のより具体的な内容を、後述する図１７Ｃに示す。 When it is not necessary to release the tertiary defense state (NO in S1101), the transition condition to the "fourth data leakage protection state" is monitored (S1107). The transition condition to the "fourth data leakage prevention state" depends on the timer value and the like. Confirm the expiration of the state transition condition to the "fourth data leakage protection state", and repeat the expiration confirmation of the state transition condition to the "fourth data leakage prevention state" while it has not expired. When it is confirmed that the state transition condition to the "fourth data leakage prevention state" has expired (YES in S1108), the "fourth data leakage prevention" control process is performed (S1109). A more specific content of the “fourth data leakage prevention” control process is shown in FIG. 17C, which will be described later.

図１４のRoot化操作が検出されたとき（Ｓ８０７のＹＥＳ）の後に行われる処理（１２）、図１６ＣＢのフローチャートで説明する。この場合、「４次データ漏洩防止」制御処理を行う（Ｓ１２０１）。 The process (12) performed after the rooting operation of FIG. 14 is detected (YES in S807) will be described with reference to the flowchart of FIG. 16CB. In this case, the "fourth data leakage prevention" control process is performed (S1201).

図１７Ａに、Ｓ６０３などの「２次データ漏洩防止」制御処理のより具体的な処理内容を示す。「２次データ漏洩防止」制御処理を開始し、「ロック制御」を作動させる。この「ロック制御」は、端末ロックやアプリロックである。次に、「２次データ漏洩防止状態」へ状態遷移する。次に、「３次データ漏洩防止状態」への遷移条件、例えばタイマ値など、を設定し監視する。 FIG. 17A shows more specific processing contents of the “secondary data leakage prevention” control processing such as S603. The "secondary data leakage prevention" control process is started, and the "lock control" is activated. This "lock control" is a terminal lock or an application lock. Next, the state transitions to the "secondary data leakage prevention state". Next, transition conditions to the "tertiary data leakage prevention state", such as timer values, are set and monitored.

図１７Ｂに、Ｓ１００９の「３次データ漏洩防止」制御処理のより具体的な処理内容を示す。「３次データ漏洩防止」制御処理を開始し、消去範囲定義情報を元に「コンテンツ消去」を作動させる。次に、「３次データ漏洩防止状態」へ状態遷移する。次に、「４次データ漏洩防止状態」への遷移条件、例えばタイマ値などを設定し、監視する。 FIG. 17B shows a more specific processing content of the “third data leakage prevention” control process of S1009. The "tertiary data leakage prevention" control process is started, and the "content erasure" is activated based on the erasure range definition information. Next, the state transitions to the "tertiary data leakage prevention state". Next, transition conditions to the "fourth data leakage prevention state", such as a timer value, are set and monitored.

図１７Ｃに、Ｓ１１０９の「４次データ漏洩防止」制御処理のより具体的な処理内容を示す。「４次データ漏洩防止」制御処理を開始し、「４次データ漏洩防止状態」へ状態遷移する。ＯＳを除く、スマートデバイス１内部の全データについて復旧不能な消去を行う。次に、「初期化状態」へ状態遷移する。この「初期化状態」とは工場出荷前の状態を指す。 FIG. 17C shows a more specific processing content of the “fourth data leakage prevention” control process of S1109. The "fourth data leakage prevention" control process is started, and the state transitions to the "fourth data leakage prevention state". All data inside the smart device 1 except the OS is irreparably erased. Next, the state transitions to the "initialized state". This "initialized state" refers to the state before shipment from the factory.

（第２実施形態の効果）
本実施形態の制御装置を適用したスマートデバイス１では、第１実施形態と同様にセキュリティ強化（情報漏洩防止）が可能である。 (Effect of the second embodiment)
In the smart device 1 to which the control device of the present embodiment is applied, security enhancement (information leakage prevention) is possible as in the first embodiment.

さらに本実施形態の制御装置を適用したスマートデバイス１では、第１実施形態と同様に安心・安全な利用環境による顧客（スマートデバイス利用者）満足の向上が可能である。 Further, in the smart device 1 to which the control device of the present embodiment is applied, it is possible to improve customer (smart device user) satisfaction by a safe and secure usage environment as in the first embodiment.

さらに本実施形態の制御装置を適用したスマートデバイス１では、第１実施形態と同様にセキュリティを保ったスマートデバイスのビジネス利用上の利便性向上が可能である。言い換えると、セキュリティと利便性の両立が可能である。 Further, in the smart device 1 to which the control device of the present embodiment is applied, it is possible to improve the convenience for business use of the smart device that maintains the security as in the first embodiment. In other words, both security and convenience can be achieved.

〔その他の実施形態〕
具体的な実施形態で本発明を説明したが、本発明はこれらに限られるものではない。図１（ａ）は、本発明の上位概念の実施形態の制御装置を実現する情報処理装置のブロック図である。図１（ｂ）は、上位概念の実施形態の制御装置３０の構成を示すブロック図である。図１（ａ）の情報処理装置は、ＣＰＵ（Central Processing Unit）３１と、メモリ３２と、を含む。図１（ｂ）の制御装置３０は、監視手段３５と、制御手段３６と、を含む。 [Other Embodiments]
Although the present invention has been described in specific embodiments, the present invention is not limited thereto. FIG. 1A is a block diagram of an information processing device that realizes a control device according to an embodiment of the superordinate concept of the present invention. FIG. 1B is a block diagram showing the configuration of the control device 30 according to the embodiment of the superordinate concept. The information processing device of FIG. 1A includes a CPU (Central Processing Unit) 31 and a memory 32. The control device 30 of FIG. 1B includes a monitoring means 35 and a control means 36.

図１（ｂ）の制御装置３０は、監視手段３５と、制御監視３６とを実現させるプログラムを図１（ａ）の情報処理装置に読み込ませて実行させることにより、構成することも考えられる。このプログラムは、コンピュータ読み取り可能な記録媒体の形態で、流通され得る。このような記録媒体に記録されたプログラムを読み込んで、情報処理装置で実行することにより、本実施形態の機能をソフトウェア的に実現してもよい。 The control device 30 of FIG. 1B may be configured by loading the monitoring means 35 and the program for realizing the control monitoring 36 into the information processing device of FIG. 1A and executing the program. This program may be distributed in the form of computer readable recording media. The function of the present embodiment may be realized by software by reading the program recorded on such a recording medium and executing it in the information processing apparatus.

すなわち図１（ａ）の情報処理装置を、監視手段３５および制御手段３６として機能させるプログラムを用いる。このような機能を実現するプログラムは、プログラムを記録した記録媒体の形態で、流通され得る。このプログラムは、ＣＦ（Compact Flash（登録商標））およびＳＤ（Secure Digital）等の汎用的な半導体記録デバイス、フレキシブルディスク（Flexible Disk）等の磁気記録媒体、またはＣＤ−ＲＯＭ（Compact Disc Read Only Memory）などの光学記録媒体などの形態で、流通され得る。 That is, a program that causes the information processing device of FIG. 1A to function as the monitoring means 35 and the control means 36 is used. A program that realizes such a function can be distributed in the form of a recording medium on which the program is recorded. This program is a general-purpose semiconductor recording device such as CF (Compact Flash (registered trademark)) and SD (Secure Digital), a magnetic recording medium such as a flexible disk, or a CD-ROM (Compact Disc Read Only Memory). ), Etc., can be distributed in the form of an optical recording medium or the like.

以上、本発明の好ましい実施形態や実施例を説明したが、本発明はこれに限定されるものではない。特許請求の範囲に記載した発明の範囲内で、種々の変形が可能であり、それらも本発明の範囲に含まれることはいうまでもない。 Although preferred embodiments and examples of the present invention have been described above, the present invention is not limited thereto. It goes without saying that various modifications are possible within the scope of the invention described in the claims, and these are also included in the scope of the present invention.

上記の実施形態の一部または全部は、以下の付記のようにも記載されうるが、以下には限られない。
（付記１）データを保持するスマートデバイスを通常利用状態と、前記データの漏洩を防止するための重要度がお互いに異なる複数の漏洩防御状態との間で状態遷移させる制御装置であって、
前記データの消去や無効化が必要な事象の発生を監視する監視手段と、
前記データの消去や無効化が必要な事象の発生を検出したときには、前記スマートデバイスを前記通常利用状態から前記漏洩防御状態へ状態遷移させる制御手段と、
を含む制御装置。
（付記２）オフライン環境にある前記スマートデバイスにおいて前記データの消去や無効化が必要な事象が発生した場合、前記スマートデバイスから管理者への連絡や前記スマートデバイスのオンライン環境への移動が確認されたときは、前記漏洩防御状態から前記通常利用状態へ状態遷移させる、
付記１に記載の制御装置。
（付記３）前記データの消去や無効化が必要な事象の発生を検出したときには、復旧に必要な許容時間の入力を行わせ、妥当な時間の入力を検出した場合、入力された時間中はより重要度の高い漏洩防御状態への遷移を行わずに、復旧操作を監視する、
付記１に記載の制御装置。
（付記４）前記データの消去や無効化が必要な事象は、前記スマートデバイスに挿入されたＳＩＭ（Subscriber Identify Module）カードの抜き取りであり、前記復旧は前記ＳＩＭカードの再挿入である、付記３に記載の制御装置。
（付記５）前記制御手段は、前記スマートデバイスのRoot化を検出したときには、前記スマートデバイス内部のデータについて復旧不能な消去を行うよう制御する、
付記１乃至付記４のいずれか一つに記載の制御装置。
（付記６）サーバと、
前記サーバと通信して、前記データを保持する、付記１乃至付記５のいずれか一つに記載の制御装置を含むスマートデバイスと、を含むシステム。
（付記７）データを保持するスマートデバイスを通常利用状態と、前記データの漏洩を防止するための重要度がお互いに異なる複数の漏洩防御状態との間で状態遷移させる制御方法であって、
前記データの消去や無効化が必要な事象の発生を監視し、
前記データの消去や無効化が必要な事象の発生を検出したときには、前記スマートデバイスを前記通常利用状態から前記漏洩防御状態へ状態遷移させる、
制御方法。
（付記８）オフライン環境にある前記スマートデバイスにおいて前記データの消去や無効化が必要な事象が発生した場合、前記スマートデバイスから管理者への連絡や前記スマートデバイスのオンライン環境への移動が確認されたときは、前記漏洩防御状態から前記通常利用状態へ状態遷移させる、
付記７に記載の制御方法。
（付記９）前記データの消去や無効化が必要な事象の発生を検出したときには、復旧に必要な許容時間の入力を行わせ、妥当な時間の入力を検出した場合、入力された時間中はより重要度の高い漏洩防御状態への遷移を行わずに、復旧操作を監視する、
付記７に記載の制御方法。
（付記１０）前記データの消去や無効化が必要な事象は、前記スマートデバイスに挿入されたＳＩＭ（Subscriber Identify Module）カードの抜き取りであり、前記復旧は前記ＳＩＭカードの再挿入である、付記９に記載の制御方法。
（付記１１）前記スマートデバイスのRoot化を検出したときには、前記スマートデバイス内部のデータについて復旧不能な消去を行うよう制御する、
付記７乃至付記１０のいずれか一つに記載の制御方法。
（付記１２）データを保持するスマートデバイスを通常利用状態と、前記データの漏洩を防止するための重要度がお互いに異なる複数の漏洩防御状態との間で状態遷移させる制御プログラムであって、
コンピュータを、
前記データの消去や無効化が必要な事象の発生を監視する監視手段と、
前記データの消去や無効化が必要な事象の発生を検出したときには、前記スマートデバイスを前記通常利用状態から前記漏洩防御状態へ状態遷移させる制御手段と、
して機能させる制御プログラム。
（付記１３）オフライン環境にある前記スマートデバイスにおいて前記データの消去や無効化が必要な事象が発生した場合、前記スマートデバイスから管理者への連絡や前記スマートデバイスのオンライン環境への移動が確認されたときは、前記漏洩防御状態から前記通常利用状態へ状態遷移させる、
付記１２に記載の制御プログラム。
（付記１４）前記データの消去や無効化が必要な事象の発生を検出したときには、復旧に必要な許容時間の入力を行わせ、妥当な時間の入力を検出した場合、入力された時間中はより重要度の高い漏洩防御状態への遷移を行わずに、復旧操作を監視する、
付記１２に記載の制御プログラム。
（付記１５）前記データの消去や無効化が必要な事象は、前記スマートデバイスに挿入されたＳＩＭ（Subscriber Identify Module）カードの抜き取りであり、前記復旧は前記ＳＩＭカードの再挿入である、付記１４に記載の制御プログラム。
（付記１６）前記制御手段は、前記スマートデバイスのRoot化を検出したときには、前記スマートデバイス内部のデータについて復旧不能な消去を行うよう制御する、
付記１２乃至付記１５のいずれか一つに記載の制御プログラム。 Some or all of the above embodiments may also be described, but not limited to:
(Appendix 1) A control device for transitioning a state of a smart device holding data between a normal use state and a plurality of leakage prevention states having different importance for preventing data leakage.
A monitoring means for monitoring the occurrence of an event that requires erasure or invalidation of the data,
When the occurrence of an event that requires erasure or invalidation of the data is detected, the control means for shifting the state of the smart device from the normal use state to the leakage prevention state, and
Control device including.
(Appendix 2) When an event that requires deletion or invalidation of the data occurs in the smart device in the offline environment, it is confirmed that the smart device contacts the administrator or moves the smart device to the online environment. In that case, the state is changed from the leakage prevention state to the normal use state.
The control device according to Appendix 1.
(Appendix 3) When the occurrence of an event that requires erasure or invalidation of the data is detected, the permissible time required for recovery is input, and if the input of a reasonable time is detected, during the input time Monitor recovery operations without transitioning to the more important leak protection state,
The control device according to Appendix 1.
(Appendix 4) The event that requires erasure or invalidation of the data is the removal of the SIM (Subscriber Identify Module) card inserted in the smart device, and the recovery is the reinsertion of the SIM card. Appendix 3 The control device described in.
(Appendix 5) When the control means detects rooting of the smart device, it controls to perform irrecoverable erasure of the data inside the smart device.
The control device according to any one of Supplementary note 1 to Supplementary note 4.
(Appendix 6) Server and
A system including a smart device including the control device according to any one of Supplementary note 1 to Supplementary note 5, which communicates with the server and holds the data.
(Appendix 7) A control method for transitioning a state of a smart device holding data between a normal use state and a plurality of leakage prevention states having different importance for preventing data leakage.
Monitor the occurrence of events that require erasure or invalidation of the data,
When the occurrence of an event that requires erasure or invalidation of the data is detected, the state transition of the smart device from the normal use state to the leakage prevention state is performed.
Control method.
(Appendix 8) When an event that requires deletion or invalidation of the data occurs in the smart device in the offline environment, it is confirmed that the smart device contacts the administrator or moves the smart device to the online environment. In that case, the state is changed from the leakage prevention state to the normal use state.
The control method according to Appendix 7.
(Appendix 9) When the occurrence of an event requiring deletion or invalidation of the data is detected, the permissible time required for recovery is input, and when an input of a reasonable time is detected, during the input time Monitor recovery operations without transitioning to the more important leak protection state,
The control method according to Appendix 7.
(Appendix 10) The event that requires erasure or invalidation of the data is the removal of the SIM (Subscriber Identify Module) card inserted in the smart device, and the recovery is the reinsertion of the SIM card. The control method described in.
(Appendix 11) When the rooting of the smart device is detected, the data inside the smart device is controlled to be irreparably erased.
The control method according to any one of Supplementary note 7 to Supplementary note 10.
(Appendix 12) A control program for transitioning a state of a smart device holding data between a normal use state and a plurality of leakage prevention states having different importance for preventing data leakage.
Computer,
A monitoring means for monitoring the occurrence of an event that requires erasure or invalidation of the data,
When the occurrence of an event that requires erasure or invalidation of the data is detected, the control means for shifting the state of the smart device from the normal use state to the leakage prevention state, and
A control program that works.
(Appendix 13) When an event that requires erasure or invalidation of the data occurs in the smart device in the offline environment, it is confirmed that the smart device contacts the administrator or moves the smart device to the online environment. In that case, the state is changed from the leakage prevention state to the normal use state.
The control program according to Appendix 12.
(Appendix 14) When the occurrence of an event requiring deletion or invalidation of the data is detected, the permissible time required for recovery is input, and when an input of a reasonable time is detected, during the input time Monitor recovery operations without transitioning to the more important leak protection state,
The control program according to Appendix 12.
(Appendix 15) The event that requires erasure or invalidation of the data is the removal of the SIM (Subscriber Identify Module) card inserted in the smart device, and the recovery is the reinsertion of the SIM card. The control program described in.
(Appendix 16) When the control means detects rooting of the smart device, it controls to perform irrecoverable erasure of the data inside the smart device.
The control program according to any one of Supplementary note 12 to Supplementary note 15.

１スマートデバイス
２ User Equipment（ＵＥ）
３ User Identity Module（ＵＩＭ）
４無線部／制御部
５ＣＰＵ
６メモリ
７アンテナ
１０ Radio Access Network（ＲＡＮ） or WiFiアクセスポイント（ＡＰ）
１１、１２回線
２０サーバ
１００ Internet or Intra Network（ＩＮ） 1 smart device 2 User Equipment (UE)
3 User Identity Module (UIM)
4 Wireless unit / control unit 5 CPU
6 Memory 7 Antenna 10 Radio Access Network (RAN) or WiFi Access Point (AP)
11, 12 lines 20 servers 100 Internet or Intra Network (IN)

Claims

A control device that transitions a state of a smart device that holds data between a normal usage state and a plurality of leakage prevention states having different importance for preventing data leakage.
A monitoring means for monitoring the occurrence of an event that requires erasure or invalidation of the data,
Upon detecting an occurrence of erasing and invalidation must event of said data from said smart device the normal use state, of the plurality of leakage defensive state, erasing and invalidation of the data to which the generated necessary A control device including a control means for transitioning to a leakage prevention state according to the degree of importance corresponding to an event.

When an event that requires erasure or invalidation of the data occurs in the smart device in the offline environment, or when it is confirmed that the smart device contacts the administrator or the smart device is moved to the online environment. The control device according to claim 1, wherein the state transitions from the leakage prevention state to the normal use state.

When the occurrence of an event that requires erasure or invalidation of the data is detected, the permissible time required for recovery is input, and if an input of a reasonable time is detected, the importance is higher during the input time. The control device according to claim 1, wherein the recovery operation is monitored without making a transition to a high leakage protection state.

The event that requires erasure or invalidation of the data is the removal of the SIM (Subscriber Identify Module) card inserted in the smart device, and the recovery is the reinsertion of the SIM card, according to claim 3. Control device.

The control device according to any one of claims 1 to 4, wherein when the control means detects rooting of the smart device, the data inside the smart device is controlled to be irrecoverably erased. ..

With the server
A system including a smart device including the control device according to any one of claims 1 to 5, which communicates with the server and holds the data.

A control method for transitioning a state of a smart device that holds data between a normal use state and a plurality of leakage prevention states having different importance for preventing data leakage.
The monitoring means monitors the occurrence of an event that requires erasure or invalidation of the data, and
Upon detecting an occurrence of erasing and invalidation must event of said data from said smart device the normal use state, of the plurality of leakage defensive state, erasing and invalidation of the data to which the generated necessary A control method in which a control means makes a state transition to a leak prevention state according to the importance corresponding to a certain event.

When an event that requires erasure or invalidation of the data occurs in the smart device in the offline environment, or when it is confirmed that the smart device contacts the administrator or the smart device is moved to the online environment. The control method according to claim 7, wherein the state transitions from the leakage prevention state to the normal use state.

When the occurrence of an event that requires erasure or invalidation of the data is detected, the permissible time required for recovery is input, and if an input of a reasonable time is detected, the importance is higher during the input time. The control method according to claim 7, wherein the recovery operation is monitored without transitioning to a high leakage protection state.

The event that requires erasure or invalidation of the data is the removal of the SIM (Subscriber Identify Module) card inserted in the smart device, and the recovery is the reinsertion of the SIM card, according to claim 9. Control method.