WO2005081114A1

WO2005081114A1 - 情報処理装置および情報処理装置におけるセキュリティ確保方法

Info

Publication number: WO2005081114A1
Application number: PCT/JP2005/001044
Authority: WO
Inventors: Kazutoshi Kichikawa; Yoshihiro Yano; Takayuki Chikada; Fukio Handa; Syouzou Niwata
Original assignee: Dai Nippon Printing Co Ltd
Current assignee: Dai Nippon Printing Co Ltd
Priority date: 2004-02-23
Filing date: 2005-01-20
Publication date: 2005-09-01
Anticipated expiration: 2006-08-23
Also published as: JP4578119B2; JP2005235055A; US20070143288A1; US7574440B2

Abstract

情報処理装置(100)にログオン中のユーザがログオフ手続を実行すると、退避処理部(160)により以下の処理が実行される。まず、データ格納部(110)内に残っているファイルの中から、セキュリティ確保が必要なファイルとして認識された退避対象ファイルが、ネットワーク(200)を介して外部の記憶装置(300)ヘコピーされ、データ格納部(110)内の元のファイルは削除される。このとき、コピー先のアドレスが管理情報として、当該ユーザの所持する携帯可能情報記録媒体(400)に保存される。当該ユーザが、再び情報処理装置(100)にログオンすると、復元処理部(170)が、携帯可能情報記録媒体(400)内の管理情報に基づいて、外部の記憶装置(300)へ退避されていたファイルをデータ格納部(110)内に復元する。同一の情報処理装置を複数のユーザで共有する場合に、十分なセキュリティを確保できる。

Description

情報処理装置および情報処理装置におけるセキュリティ確保方法技術分野

本発明は、情報処理装置および情報処理装置におけるセキュリティ確保方法に関し、特に、 1台の情報処理装明置を複数のユーザが共有する場合に、個々のユーザが作成したデータのセキュリティを確保する技術に関する。背景技術書

パソコンなどの情報処理装置は、複数のユーザによつて共有されることが少なくない。このため、パソコンなどの情報処理装置用のオペレーションシステム（以下、単に O Sという）も、複数ユーザによって共有されることを前提とした機能を備えている。たとえば、 UN I X、W i n d o w s X P (登録商標）、 M a c O S X (登録商標）などの最近の代表的な〇 Sでは、個々のユーザがシステムの利用開始時にログオン手続（O Sによってはログイン手続と呼ばれている）を行い、利用終了時にログオフ手続（〇sによってはログアウト手続と呼ばれている）を行うのが基本的な利用形態となっている。

このように複数のユーザが同一の情報処理装置を共有する環境下では、個々のユーザが作成したデータに関して、十分なセキュリティが確保されるような配慮が重要である。たとえば、第 1のユーザが作成したデータファイルに対して、第 2のユーザが無制限に読み書き可能であるとすると、他人には閲覧させたくないファイルや他人には改変されたくないファイルを、共有環境下にある情報処理装置で取り扱うことはできなくなる。

そこで；共有環境下にある情報処理装置においても、個々のュ一ザごとのセキュリティを確保するために、同時に複数のュ一ザによる重複ログオンが行われることがないような仕組みを採用し、個々のュ一ザごとにそれぞれ固有のァクセス権限を付与するような運用が行われている。たとえば、特開 2 0 0 3— 2 8 0 7 8 1号公報には、個々のユーザごとに異なるアクセス権限を設定しておき、ログオン中のユーザが切り替えられたときに、アクセス権限も切り替えるための手法が開示されている。

上述したように、同一の情報処理装置を複数のユーザで共有する場合、個々のユーザごとに固有のアクセス権を設定しておき、所定のアカウントおよびパスワードを用いてログオンしたユーザに対して、当該ユーザに設定されたァクセス権の範囲内でデータファイルへのアクセスを許可する方法が、多くの O S において採用されている。しかしながら、このような方法では、必ずしも十分なセキュリティを確保することはできない。たとえば、多くの O Sでは、管理者権限をもった特別なユーザことえば、 UN I Xにおける super user) の存在が認められており、この特別なユーザとしてログインすれば、何ら制限を受けることなく、すべてのデータファイルにアクセスすることが可能になる。また、情報処理装置内にデータファイルが格納されている以上、不正な方法を用いれば、いかなるデータに対してもアクセスすることが可能になる。

そこで本発明は、同一の情報処理装置を複数のユーザで共有する場合、個々のユーザが作成したデータについて、より十分なセキュリティを確保することが可能な方法を提供することを目的とする。発明の開示

(1) 本発明の第 1の態様は、情報処理装置において、

データファイルを格納するためのデータ格納部と、

このデータ格納部に格納されているデータファイルを必要に応じて展開するためのメモリと、

複数のュ一ザによる重複ログオンが行われることがないように、所定のユーザによる口グオン手続が行われた後は、当該ユーザについての口グオフ手続が行われるまで、他のユーザによるログオン手続を拒絶するユーザ管理部と、ログオン中のユーザの操作に基づいて、データ格納部に格納されている所定のデータファイルをメモリ上に展開するファイル展開処理と、メモリ上に展開されている所定のデータファイルをデータ格納部に格納するファイル保存処理と、を実行する展開保存部と、

ログオン中のユーザの操作に基づいて.、所定のアプリケーションプログラムを実行し、メモリ上に新たなデータファイルを作成する処理もしくはメモリ上に展開されている既存のデータファイルに対する更新処理を実行するプロダラム実行部と、

特定のユーザがログオフ手続を実行したときに、データ格納部に格納されているデータファイルのうち、当該特定のユーザの作業に基づいて作成もしくは更新されたデータファイルの全部もしくは所定の一部を退避対象ファイルとして認識する退避対象認識処理と、退避対象ファイルをネットワークを介して外部の記憶装置にコピーすることにより退避させる退避処理と、データ格納部内に格納されている退避対象フアイルを削除する削除処理と、外部の記憶装置に退避された退避対象ファイルをデータ格納部内にコピーして復元するために必要な管理情報を作成する管理情報作成処理と、作成した管理情報を外部の記憶場所に保存する管理情報保存処理と、を実行する退避処理部と、

上記特定のユーザがログオン手続を実行した後、必要に応じて、管理情報を参照することにより、外部の記憶装置に退避されている退避対象ファイルをデ一夕格納部内にコピーして復元する復元処理を実行する復元処理部と、

を設けるようにしたものである。

(2) 本発明の第 2の態様は、上述の第 1の態様に係る情報処理装置において、復元処理部が、データファイルの保存時の階層構造を復元する予備復元処理と、この予備復元処理によって復元された階層構造内から選択された特定のデ一夕ファイルを復元する本復元処理と、を実行するようにしたものである。

(3) 本発明の第 3の態様は、上述の第 1または第 2の態様に係る情報処理装置において、

退避処理部が、予め定められた退避対象フォルダ内に格納されているデータファイルを、退避対象ファイルとして認識するようにしたものである。

(4) 本発明の第 4の態様は、上述の第 1または第 2の態様に係る情報処理装置において、

退避処理部が、予め定められた所定の拡張子がファイル名に付されているデ一夕ファイルを、退避対象ファイルとして認識するようにしたものである。

(5) 本発明の第 5の態様は、上述の第 1〜第 4の態様に係る情報処理装置において、

退避処理部が、管理情報保存処理を実行する際に、着脱自在な携帯可能情報記録媒体に管理情報を保存し、

復元処理部が、復元処理を実行する際に、この携帯可能情報記録媒体に保存されている管理情報を参照するようにしたものである。

(6) 本発明の第 6の態様は、上述の第 1〜第 5の態様に係る情報処理装置において、

管理情報として、退避対象ファイルの退避先となる外部の記憶装置のァドレス情報を用いるようにしたものである。

(7) 本発明の第 7の態様は、上述の第 1〜第 6の態様に係る情報処理装置において、

退避処理部が、退避処理を実行する際に、退避対象ファイルを所定の分割方法に基づいて複数の分割ファイルに分割し、個々の分割ファイルをそれぞれ異なる複数の記憶装置に退避させる処理を実行し、この所定の分割方法を示す情報を含む管理情報を作成するようにし、

復元処理部が、管理情報に含まれてい.る分割方法を示す情報に基づいて、退避対象ファイルの復元を行うようにしたものである。

(8) 本発明の第 8の態様は、上述の第 1〜第 7の態様に係る情報処理装置において、

退避処理部が、退避処理を実行する際に、退避対象ファイルを所定の暗号化方法に基づいて暗号化した上で外部の記憶装置に退避させる処理を実行し、この所定の暗号化方法を示す情報を含む管理情報を作成するようにし、

復元処理部が、管理情報に含まれている暗号化方法を示す情報に基づいて復号化処理を実行し、退避対象ファイルの復元を行うようにしたものである。

(9) 本発明の第 9の態様は、上述の第 1〜第 8の態様に係る情報処理装置において、

退避処理部が、削除処理を実行する際に、メモリに展開されている退避対象ファイルに対しても削除する処理を行うようにしたものである。

(10) 本発明の第 1 0の態様は、上述の第 1〜第 9の態様に係る情報処理装置としてコンピュータを機能させるコンピュータプログラムを用意し、このプログラムをコンピュータ読取り可能な記録媒体に記録して配付できるようにしたものである。

(11) 本発明の第 1 1の態様は、

データファイルを格納する'ためのデータ格納部と、

複数のユーザによる重複ログオンが行われることがないように、所定のュ一ザによるログオン手続が行われた後は、当該ユーザについてのログオフ手続が行われるまで、他のユーザによるログオン手続を拒絶するユーザ管理部と、ログオン中のユーザの操作に基づいて、デ一夕格納部に格納されている所定のデータファイルをメモリ上に展開するファイル展開処理と、メモリ上に展開されている所定のデータファイルをデータ格納部に格納するフアイル保存処理と、を実行する展開保存部と、

口グォン中のユーザの操作に基づいて、所定のァプリケーシヨンプログラムを実行し、メモリ上に新たなデータファイルを作成する処理もしくはメモリ上に展開されている既存のデータファイルに対する更新処理を実行するプロダラム実行部と、

を備える情報処理装置を、複数のユーザで共用する場合に、個々のユーザごとにデ一夕のセキュリティを確保する方法において、

特定のユーザが口グオフ手続を実行したときに、データ格納部に格納されているデータファイルのうち、当該特定のユーザの作業に基づいて作成もしくは更新されたデータファイルの全部もしくは所定の一部を退避対象ファイルとして認識する退避対象認識処理と、退避対象ファイルをネットワークを介して外部の記憶装置にコピーすることにより退避させる退避処理と、データ格納部内に格納されている退避対象ファイルを削除する削除処理と、外部の記憶装置に退避された退避対象ファイルをデータ格納部内にコピーして復元するために必要な管理情報を作成する管理情報作成処理と、作成した管理情報を外部の記憶場所に保存する管理情報保存処理と、を実行する退避処理段階と、

上記特定のユーザがログオン手続を実行した後、必要に応じて、管理情報を参照することにより、外部の記憶装置に退避されている退避対象ファイルをデ一夕格納部内にコピーして復元する復元処理を実行する復元処理段階と、を情報処理装置に行わせるようにしたものである。

(12) 本発明の第 1 2の態様は、上述の第 1 1の態様に係る情報処理装置におけるセキュリティ確保方法において、

復元処理段階が、データファイルの保存時の階層構造を復元する予備復元段階と、この予備復元段階によつて復元された階層構造内から選択された特定のデータファイルを復元する本復元段階と、によって構成されるようにしたものである。 (13) 本発明の第 1 3の態様は、上述の第 1 1または第 1 2の態様に係るセキユリティ確保方法における退避処理段階および復元処理段階をコンピュータに実行させるコンピュータプログラムを用意し、このプログラムをコンピュータ読取り可能な記録媒体に記録じて配付できるようにしたものである。

本発明に係る情報処理装置および情報処理装置におけるセキュリティ確保方法によれば、個々のユーザがログオフする時点で、セキュリティ確保が必要な退避対象フアイルが外部の記憶装置へ退避され、データ格納部からは削除されてしまうため、退避対象ファイルは情報処理装置内には残らなくなる。したがつて、当該情報処理装置が複数のユーザによって共有されていたとしても、十分なセキュリティを確保することが可能になる。図面の簡単な説明

図 1は、本発明の一実施形態に係る情報処理装置 1 0 0の運用状態を示すブロック図である。

図 2は、図 1に示す情報処理装置 1 0 0におけるデータ格納部 1 1 0内に格納されたデータファイルの階層構造を示すウィンドウ表示の一例を示す図である。

図 3は、図 1に示す情報処理装置 1 0 0に関するものであり、図 (a) は退避処理前のデータ格納部 1 1 0の状態を示す図、図 (b) は退避処理後のデータ格納部 1 1 0および外部の記憶装置 3 0 0の状態を示す図である。

図 4は、図 1に示す情報処理装置 1 0 0の復元処理部 1 7 0による二段階の復元処理機能の概念を示す図である。

図 5は、退避対象ファイルに対する分割処理の概念を示す図である。

図 6は、退避対象ファイルに対する分割処理を行うために、ネットワーク 2 0 0に 3つの異なる記憶装置を接続した変形例を示すブロック図である。発明を実施するための最良の形態

以下、本発明を図示する実施形態に基づいて説明する。

«< § 1 . 情報処理装置の基本構成 >>>

図 1は、本発明の一実施形態に係る情報処理装置 1 0 0の運用状態を示すブロック図である。図 1において、一点鎖線で囲った部分が本発明に係る情報処理装置 1 0 0である。図示のとおり、この情報処理装置 1 0 0は、データ格納部 1 1 0、展開保存部 1 2 0、メモリ 1 3 0、ユーザ管理部 1 4 0、プロダラム実行部 1 5 0、退避処理部 1 6 0、復元処理部 1 7 0によって構成されている。これらの各構成要素のうち、データ格納部 1 1 0、展開保存部 1 2 0、メモリ 1 3 0、· ユーザ管理部 1 4 0、プログラム実行部 1 5 0は、従来の一般的な情報処理装置 1 0 0に備わっている構成要素であり、退避処理部 1 6 0および復元処理部 1 7 0が、本発明に特有の構成要素になる。

情報処理装置 1 0 0は、いわゆるコンピュータによって構成される装置であり、ここでは、特に、汎用のパソコンによって情報処理装置 1 0 0を構成した例を述べることにする。データ格納部 1 1 0は、データファイルを格納するための構成要素であり、パソコンの場合、内蔵もしくは外付けのハードディスク装置によって構成されるのが一般的である。もちろん、光磁気ディスク装置や書換え可能な光ディスク装置（C D— R AM装置など）によってデ一夕格納部 1 1 0を構成することも可能である。一方、メモリ 1 3 0は、デ一夕格納部 1 1 0に格納されているデータファイルを必要に応じて展開するための構成要素であり、通常、 RAMによって構成される。

データ格納部 1 1 0がデータファイルの格納場所として機能するのに対し、メモリ 1 3 0はデータファイルに対する作業場所として機能する。展開保存部 1 2 0は、必要に応じて、データ格納部 1 1 0に格納されている所定のデータファイルをメモリ 1 3 0上に展開するファイル展開処理と、メモリ 1 3 0上に展開されている所定のデータファイルをデータ格納部 1 1 0に格納するフアイル保存処理と、を実行する構成要素である。パソコンを情報処理装置 1 0 0として用いた場合、展開保存部 1 2 0は、 O Sプログラムの機能の一部として実現されることになる。

ユーザが、アプリケーションプログラムによって、データ格納部 1 1 0内のデータファイルに対して所定の処理作業を実行する際には、まず、展開保存部 1 2 0のファイル展開処理によって、データ格納部 1 1 0内の作業対象となるデータファイルが、メモリ 1 3 0上に展開される。この作業は、通常、アプリケーシヨンプログラムによって、作業対象となるデータファイルを開く処理として実行される。図 1には、データ格納部 1 1 0に格納されている 3つのデー夕ファイル F 1〜F 3のうちのファイル F 2を開く操作が行われた状態が示されている。データ格納部 1 1 0内に格納されていたデータファイル F 2は、メモリ 1 3 0上に展開された状態となっている。

プログラム実行部 1 5 0は、所定のアプリケーションプログラムを実行し、メモリ 1 3 0上に展開されている既存のデータファイルに対する更新処理を実行する機能を有する。図示の例の場合、プログラム実行部 1 5 0は、メモリ 1 3 0上に展開されているデータファイル F 2に対して所定の更新処理を実行することになる。データファイル F 2に対して加えられる更新処理の内容は、ァプリケーシヨンプロダラムの種類やユーザが実行する操作によって様々である。結局、プログラム実行部 1 5 0は、所定のアプリケーションプログラムを格納する手段と、これを実行するための演算処理手段によって構成されることになる。

上述したとおり、メモリ 1 3 0は、データファイルに対する作業場所として機能する構成要素であり、アプリケーションプログラムによる作業対象となるデータファイルを一時的に保持する役割しか果たさない。したがって、メモリ 1 3 0上で所定の作業が完了したデータファイルは、再びデータ格納部 1 1 0 へと格納される。この作業は、通常、アプリケーションプログラムによって、作業対象となるデータファイルを保存する処理として実行される。この場合、元のファイル名と同一のファイル名で保存すると、いわゆる上書き保存がなされ、別なファイル名で保存すると、新たなデータファイルとしての保存がなされる。たとえば、図示の例において、メモリ 1 3 0上に展開されているデータファイル F 2に対する作業が完了し、更新処理がなされた場合、これを「F 2」なる同一のファイル名で保存すると、デ一タ格納部 1 1 0内のデータファイル F 2は、メモリ 1 3 0上の更新されたデータファイル F 2に置き換えられることになるが（上書き保存）、たとえば、「F 4」などの別なファイル名で保存すると、デ一夕格納部 1 1 0内に格納されていたデ一夕ファイル F 2はそのままの状態で、新たに「F 4」なるファイル名のデータファイルが追加される。なお、プログラム実行部 1 5 0は、所定のアプリケーションプログラムの実行により、メモリ 1 3 0上に新たなデータファイルを作成する処理を行う機能も有している。この機能は、通常、アプリケーションプログラムによる新規フアイルの作成作業として実行される。こうしてメモリ 1 3 0上に新規作成されたデータファイルは、最終的には、保存処理によって、データ格納部 1 1 0内に保存されることになる。

結局、展開保存部 1 2 0によるデータ展開処理ゃデ一夕保存処理、プロダラム実行部 1 5 0による所定のアプリケーションプログラムの実行処理は、いずれも情報処理装置 1 0 0に対するユーザの入力操作に基づいて行われるが、複数のユーザによる共用を前提とした情報処理装置 1 0 0の場合、個々のユーザはそれぞれ所定のログオン手続を行うことにより情報処理装置 1 0 0に対する作業を開始し、所定のログオフ手続を行うことにより情報処理装置 1 0 0に対する作業を終了することになる。ここで、「ログオン」とは、所定のユーザが所定のアカウント（ユーザ名）および必要に応じて所定のパスワードを入力して、情報処理装置 1 0 0に対する利用状態を確保することを言い、「ログオフ」とは、現在ログオン中のユーザの利用状態を終了させることを言う。なお、 O Sによつては、「ログオン」の代わりに「ログイン」なる文言を用い、「ログオフ」の代わりに「ログアウト」なる文言を用いる場合もあるが、本明細書において両者は同義である。また、 O Sによっては、ログオフ手続を行うことなしに、シャットダウン操作（O Sの機能を終了させ、電源を切る操作）が可能なものもあるが、本明細書にいうログオフ手続とは、このようなシャットダウン操作により利用状態を終了させる手順も含むものである。

ュ一ザ管理部 1 4 0は、複数のユーザによる重複ログオンが行われることがないように、所定のユーザによるログオン手続が行われた後は、当該ユーザについてのログオフ手続が行われるまで、他のユーザによるログオン手続を拒絶するユーザ管理を行う構成要素である。最近のパソコン用 O Sには、このュ一ザ管理部 1 4 0の機能が、 O Sプログラムの機能の一部として標準装備されている。

なお、この実施形態の場合、ユーザ管理部 1 4 0は、重複ログオンが行われることがないようなユーザ管理を行うだけでなく、現在ログオン中のユーザに対するアクセス権の管理も行う機能を有している。すなわち、ユーザ管理部 1 4 0は、予め複数のユーザについてのアクセス権限を登録する機能を有しており、現時点でログオンしているユーザが誰であるかを認識し、展開保存部 1 2 0およびプログラム実行部 1 5 0に対して、当該ユーザのアクセス権の範囲内での処理動作のみを許可する監督処理を行う。たとえば、他のユーザが作成したデータファイルに対する読み書きの権限が一切与えられていないユーザが口グオンしている場合、他のユーザが作成したデータファイルを展開しようとする展開保存部 1 2 0の処理動作はユーザ管理部 1 4 0によって許可されないことになる。同様に、他のユーザが作成したデータファイルに対する読み出し権限は与えられているが、書き込みの権限が与えられていないユーザがログオンしている場合、他のユーザが作成したデータを改変しょうとするプログラム実行部 1 5 0の処理動作、あるいは、改変後のデータをデータ格納部 1 1 0に上書き保存する展開保存部 1 2 0の処理動作は、ユーザ管理部 1 4 0によって許可されないことになる。

以上、情報処理装置 1 0 0の構成要素のうち、デ一夕格納部 1 1 0〜プログラム実行部 1 5 0までの機能を説明したが、これら 5つの構成要素の各機能は、いずれも最近のパソコン用 O Sが標準的に備えている機能であり、これら 5つの構成要素を備える情報処理装置 1 0 0は、最近の O S (たとえば、 W i n d o w s X P (登録商標）， M a c O S X (登録商標）、 UN I Xなど）を組み込んだ標準的なパソコンというべきものである。そして、この標準的なパソコンでは、 O Sが、複数ユーザによる共用を前提として設計されているため、上述のように、利用を開始するユーザには、所定のユーザ名によるログオン手続が原則的には要求され、当該ュ一ザ名の下で設定されたアクセス権の範囲内で、個々のデータファイルへのアクセスが許可されることになる。

しかしながら、既に述べたとおり、このような方法では、必ずしも十分なセキュリティを確保することはできない。たとえば、 UN I Xにおける super user のような管理者権限をもった特別なユーザとしてログインすれば、何ら制限を受けることなく、すべてのデ一夕フアイルにアクセスすることが可能になる。また、データ格納部 1 1 0内にデータファイルが格納されている以上、不正な方法を用いれば、いかなるデータファイルに対してもアクセスすることは可能である。

«< § 2 . 本発明の基本的な特徴 >>>

本発明の目的は、 § 1で述べたように、同一の情報処理装置 1 0 0を複数のユーザで共有する場合、個々のユーザが作成したデータについて、より十分なセキュリティを確保することにある。そのため、本発明に係る情報処理装置 1 0 0には、退避処理部 1 6 0および復元処理部 1 7 0という本発明に固有の構成要素が付加されている。また、本発明を実施する上では、情報処理装置 1 0 0をネットワーク 2 0 0に接続し、このネットワーク 2 0 0に接続された外部の記憶装置 3 0 0を利用できる環境が必要である。

もっとも、現在、パソコンなど情報処理装置 1 0 0は、ネットワーク 2 0 0 に接続して利用するのが一般的になりつつあるので、多くの情報処理装置 1 0 0には、既にネットワーク 2 0 0への接続環境が整っていることになる。ネットワーク 2 0 0としては、社内 L ANなどの口一カルなネットワークを利用してもよいし、インーネットを利用してもかまわない。また、外部の記憶装置 3 0 0としては、このネットワーク 2 0 0を介してアクセス可能な記憶装置であれば、どのような装置を用いてもかまわない。一般的には、データサーバやバックアップサーバなどのサーバ装置を外部の記憶装置 3 0 0として用いると便利である。結局、パソコンなど、既存の情報処理装置 1 0 0の多くは、既に、ネットワーク 2 0 0を介して外部の記憶装置 3 0 0へアクセスする環境下にあるのが一般的であり、そのような情報処理装置 1 0 0については、既存の環境をそのまま利用して本発明の実施が可能である。

一方、本発明を実施する上では、情報処理装置 1 0 0外に管理情報を記憶させる記憶塲所を用意しておく必要がある。図 1に示す例では、携帯可能情報記録媒体 4 0 0を、この記憶場所として利用している。具体的には、この実施形態の場合、 I Cカードを携帯可能情報記録媒体 4 0 0どして用いている。 I C カードにアクセスを行う場合、通常、専用のリーダライタ装置が必要になるので、この実施形態では、情報処理装置 1 0 0として用いるパソコンに、リーダライタ装置を接続し、このリーダライタ装置に I Cカードを揷入することにより、パソコンからのアクセスが可能になるようにしている。もちろん、 I C力ードは、着脱自在な携帯可能情報記録媒体 4 0 0であり、随時、リーダライタ装置から抜き出して携帯することが可能である。

結局、本発明を実施するために、情報処理装置 1 0 0の内部に新たに設けた構成要素は、退避処理部 1 6 0と復元処理部 1 7 0ということになる。本発明の基本概念は、特定のユーザがログオフ手続を実行する際に、当該特定のュ一ザがデータ格納部 1 1 0内に保存したデータファイルを、外部の記憶装置 3 0 0へと退避させ、データ格納部 1 1 0内のデータファイルを削除してしまうことにある。退避処理部 1 6 0は、この退避のための処理を実行する構成要素である。この退避処理により、当該ユーザが作成したデータファイルは、情報処理装置 1 0 0内から削除されて存在しなくなってしまうため、後に、別なュ一ザが同じ情報処理装置 1 0 0にログオンした場合でも、十分なセキュリティが確保できることになる。もちろん、当該特定のユーザが再度ログオンしたときには、外部の記憶装置 3 0 0に退避させていたデータファイルをデータ格納部 1 1 0内へ復元する必要がある。復元処理部 1 7 0は、この復元処理を行う構成要素である。以下、退避処理部 1 6 0の機能および復元処理部 1 7 0の機能を詳述する。

退避処理部 1 6 0は、図 1に示されているとおり、 5つの処理機能を有している。いずれの処理も、現在ログオン中のュ一ザがログオフ手続を実行したときに実行されることになる。前述したとおり、ユーザのログオン手続および口グオフ手続は、ユーザ管理部 1 4 0によって処理される。ユーザ管理部 1 4 0 は、現在ログオン中のユーザがログオフ手続を実行した場合、その旨を退避処理部 1 6 0へ報告し、この 5つの処理機能の実行を促すことになる。

退避処理部 1 6 0で最初に実行される退避対象認識処理は、特定のユーザがログオフ手続を実行したときに、デ'一夕格納部 1 1 0に格納されているデ一夕ファイルのうち、当該特定のユーザの作業に基づいて作成もしくは更新されたデータファイルの全部もしくは所定の一部を退避対象ファイルとして認識する処理である。たとえば、図示の例において、現在ログオン中のユーザを「ユーザ甲」と呼ぶことにし、このュ一ザ甲のログオン中の作業に基づいて、 3つのデータファイル F l , F 2 , F 3が作成もしくは更新されたものとしょう。この場合、図示のとおり、データ格納部 1 1 0内には、 3つのデータファイル F 1 , F 2 , F 3が格納された状態になっている。ここで、ユーザ甲の作業に基づいて作成もしくは更新されたデータファイルの全部を退避対象ファイルとして認識することにしておけば、図示の例の場合、ユーザ甲がログオフ手続を実行したとき、データ格納部 1 1 0内に格納されている 3つのデータファイル F 1， F 2 , F 3のすべてが、退避対象ファイルとして認識されることになる。退避処理部 1 6 0で実行される第 2の処理は、この退避対象ファイルをネットワーク 2 0 0を介して外部の記憶装置 3 0 0にコピーすることにより退避させる退避処理である。上述の例の場合、データ格納部 1 1 0内に格納されている 3つのデータファイル F 1， F 2 , F 3のすべてが、退避対象ファイルとして認識されているので、この 3つのデ一夕ファイル F 1， F 2 , F 3のすベてが、ネットワーク 2 0 0を介して外部の記憶装置 3 0 0へとコピーされることになる。このコピー処理自体は、いわばバックアップ処理と同等の作業になる。退避処理部 1 6 0で実行される第 3の処理は、データ格納部 1 1 0内に格納されている退避対象ファイルを削除する削除処理である。この削除処理を伴う点が、一般的なパックアップ処理と異なる点である。上述した退避処理により、退避対象ファイル F l , F 2， F 3が外部の記憶装置 3 0 0へコピーされたわけであるが、この削除処理により、コピー元となったデ一夕格納部 1 1 0内のオリジナルの退避対象ファイル F 1， F 2 , F 3が削除されることになるので、結果的に、上述した退避処理は、バックアップとしての意味はもたないことになる。

なお、一般に、ハードディスク装置などのデータ格納部 1 1 0に格納されているデータファイルを削除する方法として、当該データファイルをそのディレクトリ上において削除する方法（ディレクトリを書き換えることにより、ディ' レクトリ上は当該ファイルが存在していないこととする方法）と、実際のデ一夕記録領域に別なデ一夕を上書きすることによりデータフアイ.ル自身を完全に削除する方法と、が知られているが、本発明を実施する上では、いずれの方法を採ってもかまわない。前者の方法よりも後者の方法の方が、より高いセキュリティを確保する上では好ましいが、削除処理の負担という点では、前者の方法の方が後者の方法よりも負担が軽くなる。

' 退避処理部 1 6 0で実行される第 4の処理は、外部の記憶装置 3 0 0に退避された退避対象ファイルを、将来、データ格納部 1 1 0内にコピーして復元するために必要な管理情報を作成する管理情報作成処理である。ここで作成する管理情報は、外部の記憶装置 3 0 0に退避された退避対象ファイルをデータ格納部 1 1 0内にコピーして復元することが可能な情報であれば、どのような形態の情報でもかまわないが、一般的には、退避対象ファイルの退避先となる外部の記憶装置 3 0 0のアドレス情報を管理情報として用いるようにすればよい。たとえば、ネットワーク 2 0 0としてィンタ一ネットを用い、外部の記憶装置 3 0 0として、インターネットに接続されたデータサーバを用いた場合、このデータサーバ上での退避対象ファイルの U R Lアドレスを管理情報として用いるようにすればよい。上述の例の場合、退避処理により、退避対象ファイル F 1， F 2 , F 3は、外部の記憶装置 3 0 0内の所定の退避場所にコピーされることになるので、この退避場所を示す U R Lアドレスを管理情報として作成すればよい。なお、実用上は、この管理情報には、ユーザ甲のログオフ手続で作成された管理情報であることを示す情報を含ませておくのが好ましい。

退避処理部 1 6 0で実行される第 5の処理は、作成された管理情報を外部の記憶場所に保存する管理情報保存処理である。図 1に示す例では、管理情報を保存するための外部の記憶場所として、携帯可能情報記録媒体 4 0 0 (具体的には I Cカード）を用意している。したがって、管理情報は、この携帯可能情報記録媒体 4 0 0内に保存されることになる。ログオフ手続を完了したユーザ甲は、最後に、この携帯可能情報記録媒体 4 0 0を、情報処理装置 1 0 0から取り外して携帯する。具体的には、情報処理装置 1 0 0としてのパソコンに接続されたリーダライタ装置から、携帯可能情報記録媒体 4 0 0としての I C力 —ドをェジェクトして取り出す作業を行うことになる。以上の各処理により、ユーザ甲のログオフ手続は完了である。このような口グオフ手続を経た結果、ユーザ甲がログオン中に作業したデータファイル F 1， F 2 , F 3は、データ格納部 1 1 0内から削除された状態になっている。したがって、この後、第 2のュ一ザ乙が情報処理装置 1 0 0に対するログオン手続を行ったとしても、ユーザ乙は、ユーザ甲が作業したデータファイル F 1， F 2 , F 3にアクセスすることはできない。たとえユーザ乙が、管理者権限をもつ特別なユーザであっても、あるいは、不正な手段でアクセスを行ったとしても、そもそもデータファイル F 1， F 2 , F 3は、データ格納部 1 1 0内には存在しないのであるから、物理的にアクセスすることはできない状態になっている。

もちろん、厳密な意味でアクセス不能にするためには、上述したとおり、デ一夕格納部 1 1 0内の実際のデータ記録領域に別なデータを上書きすることによりデータファイル自身を完全に削除する方法を採るのが好ましい。なお、ュ一ザ甲がログオフした時点で、メモリ 1 3 0内にデータが展開されたままになつていたとしても、通常、当該データに対する作業を実行したアプリケ一ションプログラムが終了された時点で、当該データに対する通常の方法によるァクセスは不可能になるので、後にログオンした別なユーザ乙が、メモリ 1 3 0内に残っていたデータファイルにアクセスすることは困難である。ただ、より高度なセキュリティを確保する必要がある塲合には、退避処理部 1 6 0が、データ格納部 1 1 0内の退避対象ファイルに対して削除処理を実行する際に、メモリ 1 3 0に展開されている退避対象ファイルに対しても削除する処理を行うようにすればよい。図示の例の場合、メモリ 1 3 0上に展開されているデ一タフアイル F 2に対する削除処理が併せて行われることになる。具体的には、メモリ 1 3 0を構成する R AM領域に、ランダムなデータを上書きする作業を実行すればよい。

もちろん、この第 2のユーザ乙がログオフ手続を行う際にも、全く同様の手順が実行される。すなわち、ュ一ザ乙の作業によりデ一夕格納部 1 1 0内に作成された退避対象ファイルは、退避処理部 1 6 0により、外部の記憶装置 3 0 0内の所定のアドレス場所にコピーされた後、データ格納部 1 1 0内のオリジナルファイルは削除されることになる。このとき、復元に必要な管理情報が作成されることになるが、この管理情報は、ユーザ乙用の携帯可能情報記録媒体 4 0 0 ( I Cカード）に保存されることになる。

このように、ここに示す実施形態では、情報処理装置 1 0 0を共用する各ュ一ザは、それぞれ固有の携帯可能情報記録媒体 4 0 0 ( I Cカード）を所持しており、情報処理装置 1 0 0に対するログオン手続を行う前に、この携帯可能情報記録媒体 4 0 0を情報処理装置 1 0 0に接続した状態とし（リーダライ夕装置に I Cカードを挿入した状態とし）、ログオフ手続を完了した際には、この携帯可能情報記録媒体 4 0 0を情報処理装置 1 0 0から取り外した状態とする (リーダライタ装置から I Cカードをェジェク卜した状態とする）。

結局、本発明では、特定のユーザがログオン中に作業したデータファイルを、当該特定のユーザのログオフ手続によって、情報処理装置 1 0 0内から削除してしまうことができるため、同一の情報処理装置 1 0 0を複数のユーザで共用する場合であっても、別のユーザが作業したファイルへのアクセスは、どのようなアクセス権限をもったユーザであっても：^可能になる。このため、個々のユーザが作成したデータについて、十分なセキュリティを確保することが可能になる。

もっとも、各ユーザが、再度ログオン手続を行い、情報処理装置 1 0 0を利用して、過去に作業したデータファイルの内容を閲覧した.り、更新したりする際には、退避したデータファイルをデータ格納部 1 1 0へ復元する処理を行う必要がある。たとえば、上述の例において、第 2のユーザ乙がログオフ手続を行った後、再び第 1のユーザ甲がログオン手続を行った場合を考えよう。この場合、退避対象ファイル F l， F 2 , F 3を、外部の記憶装置 3 0 0からデ一夕格納部 1 1 0へと復元する処理を行う必要がある。このような復元処理を行う構成要素が、復元処理部 1 7 0である。すなわち、復元処理部 1 7 0は、特定のユーザがログオン手続を実行した後、携帯可能情報記録媒体 4 0 0内の管理情報を参照することにより、外部の記憶装置 3 0 0に退避されている退避対象ファイルをデータ格納部 1 1 0内にコピーして復元する復元処理を実行する。上述したとおり、ここに示す実施形態では、個々のユーザは、それぞれ固有の携帯可能情報記録媒体 4 0 0 ( I Cカード）を所持しており、情報処理装置 1 0 0に対するログオン手続を行う前に、この携帯可能情報記録媒体 4 0 0を情報処理装置 1 0 0に接続した状態にする。たとえば、ユーザ甲が情報処理装置 1 0 0に対してログオン手続を行う際には、所持していた I Cカードをリーダライタ装置に挿入する作業を行うことになる。ユーザ管理部 1 4 0は、ユーザ甲からのログイン手続を認識すると、その旨を復元処理部 1 7 0に報告し、復元処理部 1 7 0による復元処理の実行を促す。復元処理部 1 7 0は、携帯可能情報記録媒体 4 0 0 (ユーザ甲が挿入した I Cカード）内の管理情報を参照することにより、前回のログオフ時に退避させられた退避対象ファイル F 1， F 2 , F 3の退避場所アドレス（外部の記憶装置 3 0 0内の所定アドレス）を認識し、これらのファイルをデータ格納部 1 1 0内にコピーして復元する処理を実行する。

このような復元処理が実行されれば、データファイル F l， F 2 , F 3は、再びデータ格納部 1 1 0内に格納された状態となるので、ユーザ甲は、必要に応じて、これらのデータファイルをメモリ 1 3 0上に展開させた上で、プログラム実行部 1 5 0による更新処理を実行することができる。もちろん、データ甲が再びログオフ手続を行えば、データファイル F l， F 2 , F 3は、再び外部の記憶装置 3 0 0へと退避させられ、データ格納部 1 1 0内からは削除されることになる。

実用上は、退避処理部 1 6 0による退避処理は、ユーザがログオフ手続を行つたときに自動的に行われるようにし、復元処理部 1 7 0による復元処理は、ユーザがログオン手続を行ったときに自動的に行われるようにしておくのが好ましい。そうすれば、退避処理や復元処理は、ユーザが何ら意識しない状態で行われることになり、本発明の特徴となる退避処理部 1 6 0や復元処理部 1 7 0の動作は、ユーザの関知しない裏の動作ということになる。本発明の特徴は、パソコンなどの既存の情報処理装置に、退避処理部 1 6 0および復元処理部 1 7 0を付加した点にあるが、少なくとも一般のユーザから見れば、本発明を適用したパソコンの操作性は、既存のパソコンと何ら変わることはない。

なお、外部の記憶装置 3 0 0内からデータファイルの復元を行った場合、外部の記憶装置 3 0 0内の復元対象となったデータファイルは削除してもよいし、そのまま残しておいてもかまわない。外部の記憶装置 3 0 0の記憶容量をできるだけ節約したい場合には、復元処理部 1 7 0による復元処理が行われたデー夕ファイルについては、外部の記憶装置 3 0 0内から削除する処理を行えばよレ^ あるいは、復元処理が行われた後も、外部の記憶装置 3 0 0内のデータフアイルをそのまま残しておき、次回、同じファイル名のデータファイルについて再度の退避処理を行う際に、前回との差分データのみをコピーするような方法を採ることも可能である。

«< § 3 . いくつかの実用的な工夫 »>

上述の § 2では、本発明の基本的な実施形態を説明した。ここでは、本発明を実施する上で、より実用的ないくつかの工夫を述べる。

(1) 退避対象ファイルの選択

上述した基本的な実施形態では、特定のユーザ甲がログオフ手続を実行したときに、デ一夕格納部 1 1 0に格納されているデータファイルのうち、特定のユーザ甲の作業に基づいて作成もしくは更新されたデータファィルの全部を退避対象ファイルとして認識するようにしていたが、全部ではなく所定の一部を選択して、退避対象ファイルとして認識するようにしてもかまわない。これは、通常、すべてのデータファイルについて等しくセキュリティを確保する必要があるとは限らないからである。

ユーザの作業対象となったデータファイルのうちの一部のみを退避対象ファィルとするには、予め退避対象ファイルとして選択するための基準を定めておけばよい。たとえば、予め所定のフォルダを退避対象フォルダとして定めておき、退避処理部 1 6 0が退避対象認識処理を行う際に、この退避対象フォルダ内に格納されているデータファイルを、退避対象ファイルとして認識するようにすればよい。

図 2は、データ格納部 1 1 0内に格納されたデータファイルの階層構造を示すウィンドウ表示の一例を示す図である。図示の例では、左側のウィンドウ W 1に、データ格納部 1 1 0内の階層構造の全体像が示されており、右側のウインドウ W 2には、左側のウィンドウ W 1上で選択された特定のフォルダ B (図では、ハッチングにより選択状態を示している）の内容が示されている。この例では、データ格納部 1 1 0全体が「C」なるボリュームで示されており、その直下に、フォルダ A, B， Cなる 3つのフォルダが作成されている。そして、フォルダ Aにはファイル F 0が格納され、フォルダ Bにはファイル F 1 , F 2 , F 3が格納され、フォルダ Cにはファイル F 4， F 5が格納されている。

ここで、たとえば、フォルダ Aに格納されているファイル F 0が、〇Sに関連して利用されるデータファイルであるとし、他のュ一ザにアクセスされても、セキュリティ上は問題がないものとしょう。また、フォルダ Cに格納されているファイル F 4， F 5は、ユーザ甲が所定のアプリケーションプログラムで作成したデータファイルであるが、これらのファイルも、その性質上、セキユリティ上の問題がないものとしょう。この場合、セキュリティ上、問題が生じるファイルは、フォルダ Bに格納されているファイル F 1， F 2 , F 3だけということになる。

このような場合は、予め、フォルダ Bを退避対象フォルダと定める設定を行つておけばよい。そうすれば、退避処理部 1 6 0が、退避対象認識処理を実行する際に、退避対象フォルダ B内に格納されているファイル F 1 , F 2 , F 3 を退避対象ファイルと認識することができる。その結果、図 3に示すような退避処理が実行されることになる。図 3 (a) は退避処理前のデータ格納部 1 1 0の状態を示しており、図 3 (b) は退避処理後のデータ格納部 1 1 0および外部の記憶装置 3 0 0の状態を示している。図示のとおり、退避処理により、データ格納部 1 1 0内のフォルダ Bは、そのまま外部の記憶装置 3 0 0へとコピーされ、データ格納部 1 1 0内からは削除されている。結局、デ一夕格納部 1 1 0には、フォルダ A， Cのみが残っている。このフォルダ A, C内のファイル F 0， F 4 , F 5については、他のユーザによるアクセスを受ける可能性があるが、上述したとおり、これらのファイルはセキュリティ上は問題がないファイルである。

ネットワーク 2 0 0を介して外部の記憶装置 3 0 0へファイルを退避する処理は、情報処理装置 1 0 0にそれなりの作業負荷を与えることになる。また、後に行われる復元処理も、同様の作業負荷を与える。したがって、実用上は、セキュリティの確保が必要なファイルと、そうでないファイルとを区分けし、前者のファイルのみを退避対象ファイルとして取り扱うようにするのが好ましい。上述の例のように、予め所定のフォルダを退避対象フォルダとして定めておく方法を採れば、ユーザ自身の判断で退避対象ファイルの取捨選択を行うことができるので便利である。上述の例の場合、ユーザは、セキュリティの確保が必要なファイルをフォルダ Bに入れ、それ以外のファイルをフォルダ Cに入れて区別すればよい。

もちろん、退避対象ファイルの取捨選択を行う方法は、退避対象フォルダを定めておく方法に限定されるものではない。たとえば、予め定められた所定の拡張子がファイル名に付されているデータファイルを、退避対象ファイルとして認識するような方法を採ることも可能である。一般的な O Sでは、個々のフアイルのファイル名に、当該ファイルのフォーマツトゃ当該ファイルを作成したアプリケーションプログラムを特定するための拡張子を付加する取り扱いが行われている。たとえば. 「ABC.txt；」なるファイル名における「txt」は、当該ファイルが単純なテキストファイルであることを示す拡張子である。そこで、ユーザが、たとえば、ある特定のアプリケーションプログラムで作成したファィルを退避対象ファイルにしたいと考えた場合は、当該アプリケーションプログラムで作成したファイルに固有の拡張子をファイル名にもつファイルを、退避対象フアイルとして認識するような条件設定を行っておけば、退避処理部 1 6 0によって、当該条件設定に基づく退避対象ファイルの取捨選択を自動的に実行することが可能になる。

(2) 必要に応じた復元処理

上述した基本的な実施形態では、ユーザ甲がログオン手続を実行したときに、前回退避したファイル F 1， F 2 , F 3のすベてを直ちにデータ格納部 1 1 0 内に復元する例を述べたが、復元処理は必ずしもすべての退避対象ファイルに対して実行する必要はなく、必要に応じて行えば足りる。たとえば、ユーザ甲のログオフ時に、図 3に示す例のように、フォルダ B内に格納されていた退避対象ファイル F l， F 2 , F 3を、フォルダ Bごと外部の記憶装置 3 0 0へ退避した場合を考えよう。この場合、このユーザ甲が、再度ログオンする際に、退避対象ファイル F l , F 2 , F 3を、フォルダ Bごとそっくりデータ格納部 1 1 0内にコピーして復元すれば、前回のログオン時と同等の環境が復元されたことになる。しかしながら、ネットワーク 2 0 0を介した復元処理は、情報処理装置 1 0 0に作業負荷を加える要因になり、復元対象となるデータ容量が大きいと、復元処理時に、情報処理装置 1 0 0の応答性が低下するなどの弊害を生じる可能性がある。

ここで、もし、再度ログオンしたユーザ甲が、ファイル F 2に対して何らかの更新処理を実行した後にログオフしたとすると、実際に復元する必要があつたファイルはファイル F 2のみであり、ファイル F l， F 3の復元処理は無駄ということになる。この場合、ユーザ甲の作業対象となるファイル F 2のみを復元すれば足りる。しかしながら、ファイル F l， F 2 , F 3の復元を全く行わない状態では、そもそもデータ格納部 1 1 0内に、ファイル F l， F 2 , F 3が存在していないので、ファイルリスト上にも、ファイル F l， F 2 , F 3 の存在が示されないことになり、ユーザ甲は、作業対象としてファイル F 2を指定することすらできない。すなわち、図 3 (b) に示すような状態のままでは、デ夕格納部 1 1 0内には、フォルダ A, Cのみしか存在していないので、図 2に示すようなファイルリスト表示を行ったとしても、フォルダ Bや、その中に格納されているファイル F 1 , F 2 , F 3が表示されることはない。

このような問題を解決するためには、復元処理部 1 7 0に、二段階の復元処理機能をもたせておくようにすればよい。すなわち、第 1段階の復元処理機能は、データファイルの保存時の階層構造を復元する予備復元処理であり、第 2 段階の復元処理機能は、予備復元処理によって復元された階層構造内から選択された特定のデータファイルを実際に復元する本復元処理である。

図 4は、この二段階の復元処理機能の概念を説明する図である。まず、第 1 段階の予備復元処理では、データファイルの保存時の階層構造のみが復元される。すなわち、図 4 (a) に示すように、退避対象となったフォルダ Bの階層構造のみの復元が行われる。図では、便宜上、階層構造のみの復元が行われたフォルダゃファイルを破線のブロックで示してある。この図 4 (a) に示す予備復元処理の段階では、ファイル F l， F 2， F 3の実体データの復元は行われていなレ^ しかしながら、フォルダ Bの中にファイル F 1， F 2 , F 3が格納されている、という階層構造（フォルダ名やファイル名も含めた階層構造）についての復元は行われているので、図 2に示すようなファイルリスト表示を行った場合、フォルダ Bの存在や、その中にファイル F l , F 2 , F 3が格納されているという階層構造を表示させることは可能になる。結局、予備復元処理では、ファイル F l， F 2 , F 3の実体データをデータ格納部 1 1 0にコピーする必要はなく、「フォルダ B」なる名前のフォルダの中に、「ファイル F l」なる名前のファイルと、「ファイル F 2」なる名前のファィルと、「ファイル F 3」なる名前のファイルと、が格納されている、という階層構造を示す情報のみをデータ格納部 1 1 0内に復元すればよいので、復元すべきデ一夕容量は大幅に低減される。なお、図 2のウィンドウ W 2に示すように、各ファイルのサイズや修正日時といつた書誌情報も表示させる必要がある場合には、この書誌情報も併せて復元する必要があるが、それでも復元すべきデータ容量は大幅に低減される。

このように、まず第 1段階の復元処理として、予備復元処理を実行しておけば、ュ一ザには、とりあえず、図 2に示すようなファイルリストの提示を行うことができるので、データ格納部 1 1 0内に格納されているファイル構造が、あたかも前回のログオフ直前の状態と同等であるかのように見せることができる。実際、ユーザは、図 2に示すようなファイルリストの表示を見て、データ格納部 1 1 0内には、 3つのフォルダ A， B， Cが格納されている状態を確認することができ、フォルダ Bの中には、ファイル F l , F 2 , F 3が格納されている状態を確認することができる。

もっとも、この図 2に示すようなファイルリスト表示は、パソコンなどの情報処理装置 1 0 0に備わっている O Sの標準機能では行うことができない。すなわち、デ一夕格納部 1 1 0内には、実際にフォルダ B内のファイルの復元が行われているわけではなく、その階層構造を示すデータのみが所定のフォーマットで書き込まれているにすぎないので、この所定のフォーマツトを解釈して、図 2に示すようなウィンドウ上に階層構造をファイルリストとして表示する機能を果たす専用のアプリケーションプログラムが必要になる。したがって、復元処理部 1 7 0は、このような専用のアプリケーションプログラムを含んだ構成要素ということになる。さて、図 2に示すウィンドウ W 2上で、ユーザがファイル F 2のアイコンをダブルクリックするなどして、ファイル F 2をメモリ 1 3 0上に展開する指示を与えたとしょう（あるいは、所定のアプリケーションプログラムから、ファィル F 2を開く指示を与えても同様である）。この場合、図 4 (a) に示すように、ファイル F 2の実体は、データ格納部 1 1 0にはまだ存在しないので、フアイル F 2を直ちにメモリ 1 3 0上に展開する処理を行うことはできない。その代わりに、復元処理部 1 7 0が、ファイル F 2に対する本復元処理を実行する。すなわち、携帯可能情報記録媒体 4 0 0内の管理情報を参照して、ファイル F 2の避場所ァドレスを認識し、ファイル F 2の実体となるデータファイルを実際にデータ格納部 1 1 0内へと復元する処理が実行される。図 4 (b) は、このような本復元処理が実行された後のデータ格納部 1 1 0内の状態を示す図である。破線で示すファイル F 1 , F 3の実体は依然として復元されていない状態であるが、実線で示すファイル F 2は、その実体がデータ格納部 1 1 0内に復元されることになるので、これをメモリ 1 3 0上に展開することが可能になる。もっとも、ユーザから見れば、単に、所望のファイル F 2を所定のアプリケーシヨンプログラムで開く作業を行っただけであり、上述した本復元処理が行われたことは、ユーザの意識する事項ではない。別言すれば、ユーザから見た操作性は、従来の一般的なパソコンに対する操作性とほぼ同じである。ここで、このユーザが、プログラム実行部 1 5 0に対して所定の操作を行うことにより、メモリ 1 3 0上に展開されているデータファイル F 2に対して、何らかの更新処理を行った後、これを保存する操作を行えば、更新後のデータファイル F 2 は、データ格納部 1 1 0内のデータファイル F 2に上書き保存されることになる。そして、このユーザが、ここでログオフ手続を行ったとすると、退避処理部 1 6 0により、データ格納部 1 1 0内に実在するデータファイル F 2が退避対象ファイルとして認識され、退避処理が実行される。そして、携帯可能情報記録媒体 4 0 0内の管理情報のうち、データファイル F 2の退避場所アドレスが書き換えられることになる。

このような運用を行えば、実際に復元する必要があったデータファイル F 2 に対してのみ本復元処理が実行されることになり、ログオフ時には、当該デー夕ファイル F 2に対してのみ退避処理が実行されることになるので、全データファイルを一括して復元し、一括して退避する方法に比べて、より効率的な運用が可能になる。

, (3) 退避対象ファイルの分割処理および暗号化処理

本発明による退避処理が行われると、情報処理装置 1 0 0内には退避対象フアイルは残っていないので、情報処理装置 1 0 0に関する限り、十分なセキュリティが確保されることになる。しかしながら、退避対象ファイルは、外部の記憶装置 3 0 0に格納されているため、この外部の記憶装置 3 0 0に対するァクセスにより、セキュリティが破られるおそれがある。もっとも、実用上は、ネットワーク 2 0 0としてインターネットを用いるようにすれば、外部の記憶装置 3 0 0は、インターネットに接続された任意の記憶装置によって構成することができるため、特定の退避対象ファイルの退避場所を知ることは、携帯可能情報記録媒体 4 0 0内の管理情報を参照しない限り、事実上不可能である。したがって、個々のユーザが、それぞれ所持する携帯可能情報記録媒体 4 0 0 をしつかりと管理していれば、退避対象ファイルの退避場所が外部に漏えいする危険性は低い。特に、携帯可能情報記録媒体 4 0 0として I Cカードを利用すれば、内部に保存した管理情報が不正な手段で外部に読み出される可能性は極めて低い。

しかしながら、外部の記憶装置 3 0 0は、インターネットに接続された環境にあるため、何者かによる直接攻撃の対象になるおそれがあり、退避対象ファィルが、そのまま不正な手段で外部へ読み出される可能性がある。このような問題に対処するためには、退避対象ファイルに対して分割処理を施したり、喑号化処理を施したりするのが好ましい。以下、このような対策を具体例に即して説明する。 '

図 5は、退避対象ファイルに対する分割処理の概念を示す図である。ここでは、退避対象となったファイル F 2に対して分割処理を行う一例が示されている。すなわち、この例では、データ格納部 1 1 0内のファイル F 2を退避する際に（外部の記憶装置にコピーする際に）、退避処理部 1 6 0によって、フアイル F 2を 3つの分割ファイル F 2 a , F 2 b , F 2 cに分割する処理が実行される。そして、この 3つの分割ファイル F 2 a , F 2 b , F 2 cが、ネットヮーク 2 0 0を介して、それぞれ異なる外部の記憶装置に退避される。

図 6は、' 3つの分割ファイル F 2 a， F 2 b， F 2 cを、それぞれ異なる記憶装置に退避するために、ネットワーク 2 0 0に 3つの異なる記憶装置を接続した変形例を示すブロック図である。. 図 1に示す基本的な実施形態と、この図 6に示す変形例との相違は、後者では、退避場所として第 1の記憶装置 3 1 0，第 2の記憶装置 3 2 0，第 3の記憶装置 3 3 0が用意されている点と、退避処理部 1 6 0が分割処理を行う点と、復元処理部 1 7 0が分割ファイルを合成して復元処理を行う点である。

そこで、以下、図 6を参照しながら、退避処理部 1 6 0による退避処理と、復元処理部 1 7 0による復元処理とが、どのように行われるかを説明する。ここでは、便宜上、ログオン中のユーザ甲がログオフ手続を行った時点で、デー夕格納部 1 1 0内には、図示のとおり、 3つのデータファイル F 1 , F 2 , F 3が格納されており、そのうちデータファイル F 2が退避対象ファイルとなつていたという前提で、以下の説明を行うことにする。

ユーザ甲がログオフ手続を行うと、既に述べたとおり、退避処理部 1 6 0によって、 5つの処理が実行される。すなわち、この例の場合、まず、退避対象認識処理により、データ格納部 1 1 0内のデータファイル F 2が退避対象ファィルとして認識される。続いて、退避処理が行われるが、このとき、データフアイル F 2に対する分割処理が行われ、データファイル F 2は複数の分割ファィルに分割された状態で、外部の記憶装置へとコピーされることになる。具体的には、図 5に示す例では、ファイル F 2は、 3つの分割ファイル F 2 a， F 2 b， F 2 cに分割され、それぞれ第 1の記憶装置 3 1 0 , 第 2の記憶装置 3 2 0，第 3の記憶装置 3 3 0へとコピーされることになる。

この退避処理が完了したら、データ格納部 1 1 0内のデータファイル F 2を削除する削除処理が行われる。そして、管理情報作成処理が行われ、作成された管理情報を携帯可能情報記録媒体 4 0 0に保存する管理情報保存処理が行われる。この変形例の場合、データファイル F 2について作成される管理情報について留意すべき点が 2つある。

第 1点は、ファイル F 2の退避場所を示すアドレスとして、個々の分割ファィル F 2 a， F 2 b , F 2 cのそれぞれの退避場所となった 3ケ所のアドレスを、管理情報に含ませておく点である。具体的には、第 1の記憶装置 3 1 0内の分割ファイル F 2 aの格納先を示す U R Lアドレスと、第 2の記憶装置 3 2 0内の分割ファイル F 2 bの格納先を示す U R Lアドレスと、第 3の記憶装置 3 3 0内の分割ファイル F 2 cの格納先を示す U R Lアドレスと、が管理情報として用意されることになる。そもそも本発明における管理情報とは、外部の記憶装置に退避された退避対象ファイルをデータ格納部 1 1 0内にコピーして復元するために必要な情報であるから、退避対象ファイル F 2が 3つに分割され、それぞれ異なる場所に退避されたのであれば、個々の分割ファイルの退避場所ァドレスを管理情報として用意するのは当然である。

第 2点は、退避対象ファイル F 2に対して施した分割処理の方法を示す情報を、管理情報に含ませておく点である。たとえば、図 5に示す分割処理は、「退避対象ファイル F 2を 3つに等分割し、先頭から順に、分割ファイル F 2 a , F 2 b , F 2 cとする」という分割方法によって行われることになるので、当該分割方法を示す情報を管理情報に含ませておくようにする。そうすれば、後に復元処理部 1 7 0による復元処理を行う際に、管理情報内の分割方法を示す情報を参照することにより、分割ファイル F 2 a， F 2 b , F 2 cを合成して、元のデータファイル F 2を復元することが可能になる。

結局、この分割処理を施す変形例では、退避処理部 1 6 0は、退避処理を実行する際に、退避対象ファイルを所定の分割方法に基づいて複数の分割フアイルに分割し、個々の分割ファイルをそれぞれ異なる複数の記憶装置に退避させる処理を実行し、実施した分割方法を示す情報を含む管理情報を作成するようにし、復元処理部 1 7 0は、この管理情報に含まれている分割方法を示す情報に基づいて、退避対象ファィルの復元を行うようにすればよい。

この変形例のメリットは、外部の記憶装置へ退避される退避対象フアイルが、そのままの形ではなく、複数の分割ファイルとして、ばらばらに格納される点にある。たとえば、上述の例の場合、データファイル F 2は、 3つの分割ファィル F 2 a， F 2 b , F 2 cに分割された上、 3ケ所に分散して格納されることになるので、万一、いずれかの分割ファイルが不正な手段でアクセスされたとしても、もとのデータファイル F 2自身が直ちに露見することは防げる。この変形例において、セキュリティの効果をできるだけ高めるには、より複雑な分割方法を採るようにすればよい。たとえば、図 5に示す例では、元のフアイル F 2を 3等分するという単純な分割方法を採用しているため、万一、分割ファイル F 2 a， F 2 b , F 2 cのすべてが不正な手段によって入手されてしまうと、これらをこの順に合成することにより、元のファイル F 2を復元することが可能になる。これに対して、たとえば、同じ 3つのファイルに分割する方法でも、元のファイル F 2を構成するバイト列の先頭から、 1 , 4， 7， 1 0 , …バイト目というように 3バイト周期で 1パイトずつを抜き出すことにより第 1の分割ファイル F 2 aを作成し、 2， 5， 8， 1 1， …バイト目というように 3バイト周期で 1バイトずつを抜き出すことにより第 2の分割フアイル F 2 bを作成し、 3， 6 , 9 , 1 2， …バイト目というように 3バイト周期で 1バイトずつを抜き出すことにより第 3の分割ファイル F 2 cを作成する、という分割方法を採つた場合、このような分割方法が行われたことを知らない者にとっては、 3つの分割ファイル F 2 a , F 2 b , F 2 cを入手できたとしても、元のファイル F 2を復元することは困難になる。

実際には、このような分割方法の原理は無限に存在し、また、同じ原理に基づく分割方法でも、パラメータ値を種々変えることにより、実質的には異なる分割方法になる。したがって、退避処理部 1 6 0内に予め複数通りの分割方法を定義しておき、更に、パラメ一夕をランダムに設定するようにすれば、実質的に無限通りの分割方法の中の 1つを選択することができるので、退避対象フアイルごとに、それぞれ異なる分割方法を適用して退避させることが可能になる。

また、図 6では、外部の記憶装置として、 3つの記憶装置 3 1 0 , 3 2 0 , 3 3 0を用いる例を示したが、ネットワーク 2 0 0としてィン夕一ネットを用いるようにすれば、これら外部の記憶装置は、理論上無限に設置することができる。したがって、これら外部の記憶装置のそれぞれが、不正な手段でァクセスされる可能性があつたとしても、特定の退避対象ファイルが、どのような分割方法でいくつに分割され、その結果として生成された個々の分割フアイルがどの記憶装置のどのアドレスに格納されたか、という事項を示す管理情報（これは、ユーザが所持する携帯可能情報記録媒体 4 0 0内にのみ保存されている）がない限り、第三者が退避対象ファイルを復元することは不可能である。

このような分割処理と同様にセキュリティ確保に有効な手段は、暗号化処理である。すなわち、退避処理部 1 6 0が、退避処理を実行する際に、退避対象ファイルを所定の暗号化方法に基づいて暗号化した上で外部の記憶装置に退避させる処理を実行し、当該暗号化方法を示す情報を含む管理情報を作成するようにし、復元処理部 1 7 0が、退避対象ファイルの復元を行う際に、この管理情報に含まれている暗号化方法を示す情報に基づいて復号化処理を実行するようにすればよい。たとえば、データファイル F 2が退避対象である場合、このデータファイル F 2に対して、所定の暗号化プロセスを施して、暗号化ファイル F F 2を生成し、この暗号化ファイル F F 2を外部の記憶装置へコピーして格納すればよい。このとき、どのような暗号化プロセスを施したかを示す情報（暗号化のために何らかのキーを用いた場合には、当該キニも含めた情報）を、管理情報に含めておくようにする。そうすれば、万一、外部の記憶装置に格納されている暗号ィ匕ファイル F F 2が不正にアクセスされたとしても、暗号解読ができない限り、セキュリティ上の支障は生じない。もちろん、正規のユーザがログオンしたときには、携帯可能情報記録媒体 4 0 0内の管理情報に含まれている暗号化方法を示す情報に基づいて、暗号化ファイル F F 2に対する復号化処理を行うことができるので、元のデータファイル F 2を復元することが可能である。

もちろん、より高いセキュリティを確保するために、分割化処理と暗号化処理とを組み合わせることも可能である。たとえば、退避対象ファイルを分割して複数の分割ファイルを生成した後、個々の分割ファイルのそれぞれに対して暗号化処理を施した上で、外部の記憶装置へと退避させるようなことも可能であるし、逆に、退避対象ファイルを暗号化した上で、この暗号化されたフアイルを分割して複数の分割ファイルを生成し、これらを外部の記憶装置へと退避させるようなことも可能である。

(4) 管理情報の保存場所

本発明を実施する上で、管理情報は重要な役割を果たす。すなわち、管理情報は、外部の記憶装置へ退避した退避対象ファイルを復元するために必要な情報であり、復元処理部 1 7 0による復元処理に不可欠の情報である。その半面、この管理情報が、他のユーザの手に入ってしまうと、当該他のユーザによっても、退避対象ファイルの復元が可能になってしまうため、セキュリティ確保の観点からは、この管理情報は、情報処理装置 1 0 0の内部ではなく、外部の記憶場所に保存する必要がある。そこで、これまで述べた実施形態では、情報処理装置 1 0 0に対して着脱自在な携帯可能情報記録媒体 4 0 0を管理情報の記憶場所とするようにし、退避処理部 1 6 0が管理情報を保存する際には、この携帯可能情報記録媒体 4 0 0 を保存場所とし、復元処理部 1 7 0が復元処理を行う際には、この携帯可能情報記録媒体 4 0 0に保存されている管理情報を参照した復元が行われるようにしている。特に、上述した実施形態では、 I Cカードを携帯可能情報記録媒体 4 0 0として用いる運用を行っている。具体的には、予め、個々のユーザごとにそれぞれ固有の I Cカードを発行しておき、ログイン手続を行う際には、必ずこの I Cカードをリーダライタ装置に揷入させるようにし、ログオフ手続を行った後は、必ずこの I Cカードをリーダライタ装置からェジェクトして携帯させるような運用を行っている。 .

しかしながら、本発明を実施する上では、管理情報は必ずしも I Cカードのような携帯可能情報記録媒体 4 0 0に保存する必要はない。すなわち、管理情報は、情報処理装置 1 0 0の外部に存在し、正規のユーザによるアクセスのみが可能となるような環境下にある記憶場所に保存できれば、必ずしも携帯可能情報記録媒体 4 0 0に保存する必要はない。具体的には、たとえば、管理情報を、ネットワーク 2 0 0を介して接続された外部のサーバ装置などに保存するようにし、保存先の U R Lアドレスを正規のユーザに対してのみ知らせておくような運用を採ることも可能である。この場合、ユーザは、ログオン手続時に当該 U R Lアドレスを入力する操作を行えばよい。復元処理部 1 7 0は、この入力された U R Lアドレスに存在する管理情報を参照することにより、必要なファイルの復元処理を行うことができる。

(5) 情報処理装置 1 0 0の具体的な構築方法

実用上、図 1に示す情報処理装置 1 0 0として機能する代表的な装置はパソコンである。既に § 1で述べたとおり、この図 1のブロック図に示す構成要素のうち、データ格納部 1 1 0、展開保存部 1 2 0、メモリ 1 3 0、ユーザ管理部 1 4 0、プログラム実行部 1 5 0なる構成要素によって実現される機能は、現在市販されている一般的なパソコン（所定の 0 Sが組み込まれたパソコン）に標準的に備わっている機能である。したがって、このような市販のパソコンを、本発明に係る情報処理装置 1 0 0として利用するには、このパソコンに、退避処理部 1 6 0および復元処理部 1 7 0としての機能を追加し、携帯可能情報記録媒体 4 0 0などの管理情報の記憶場所を準備すればよい。ここで、退避処理部 1 6 0および復元処理部 1 7 0としての機能は、プログラムによって実現できるので、結局、実用上は、市販の汎用パソコンに、退避処理部 1 6 0および復元処理部 1 7 0としての機能を果たす専用のプログラムを組み込むことにより、本発明に係るデータ格納部 1 1 0を構成することが可能である。もちろん、この専用のプログラムは、 C D— R OMなどのコンピュータ読取り可能な記録媒体に記録して配付することも可能であるし、オンラインで配付することも可能である。

このように、本発明に係る情報処理装置は、汎用パソコンに専用プログラムを組み込むことにより実現できる装置なので、企業などで本発明に係る情報処理装置を利用する場合、実用上は、複数の情報処理装置を同時に導入し、並列的に運用する形態が一般的になるものと予想される。この場合、退避対象ファィルについての復元処理は、必ずしも当該ファイルについての退避処理を行つた同一の情報処理装置で行う必要はない。

たとえば、図 1に示すような情報処理装置 1 0 0として機能するパソコンが、東京本社に設置されるとともに、大阪支社にも設置されたとしょう。この場合、東京本社の社員であるユーザ甲が、東京本社に設置されている情報処理装置 1 0 0 (東京）にログオンし、データファイル F 2を作成する作業を行い、ログオフする際に、当該データファイル F 2が退避対象ファイルとして、外部の記憶装置 3 0 0へ退避されたものとしょう。この場合、このュ一ザ甲が、後日、再び情報処理装置 1 0 0 (東京）にログオンすれば、データファイル F 2は、この情報処理装置 1 0 0 (東京）内に復元されることになる。しかし、このュ一ザ甲が、大阪に出張した際に、大阪支社に設置されている情報処理装置 1 0 0 (大阪）にログオンすれば、データファイル F 2は、この情報処理装置 1 0 0 (大阪）内に復元されることになる。

要するに、ユーザ甲が作成したデータファイル F 2の退避処理に関する情報は、ユーザ甲の所持する携帯可能情報記録媒体 4 0 0内に管理情報として保存されているので、ユーザ甲は、この携帯可能情報記録媒体 4 0 0を携帯している限り、どの情報処理装置を用いても、データファイル F 2の復元が可能になる。実際、ネットワーク 2 0 0としてインターネットを用いるようにすれば、外部の記憶装置 3 0 0に対しては、世界中のどこからでもアクセスすることが可能になるので、ユーザ甲は、ニューヨーク支社に設置された情報処理装置 1 0 0 (Newyork) にログオンしてデータファイル F 2を復元することも可能になるし、ロンドン支社に設置された情報処理装置 1 0 0 (London) にログオンしてデータファイル F 2を復元することも可能になる。このように、自分が作成したデータファイルを、どこからでも利用することができるようになる、という効果は、セキュリティを確保するという目的を達成するために生まれた本発明の副次的な効果というべきものである。産業上の禾 IJ 用可能性本発明は、パソコンなどの情報処理装置を、複数のユーザによって共有して利用する場合に広く利用することができる。特に、複数ユーザによって共有されている情報処理装置において、個々のユーザが作成したデータについて十分なセキュリティを確保する環境で利用するのに最適である。

Claims

1. データファイルを格納するためのデータ格納部（110) と、

前記データ格納部に格納されているデータファイルを必要に応じて展開するためのメモリ（130) と、

複数のユーザによる重複ログオンが行われることがないように、所定のユー請

ザによる口グォン手続が行われた後は、当該ユーザについての口グオフ手続が行われるまで、他のユーザによるログオン手続を拒絶するユーザ管理部（Γ4 の

0) と、

ログオン中のユーザの操作に基づいて、前記データ格納部（110) に格納囲

されている所定のデ一夕ファイルを前記メモリ（130) 上に展開するフアイル展開処理と、前記メモリ（130) 上に展開されている所定のデ一タフアイルを前記データ格納部（1 10) に格納するファイル保存処理と、を実行する展開保存部（120) と、

ログオン中のユーザの操作に基づいて、所定のアプリケーションプログラムを実行し、前記メモリ（130) 上に新たなデータファイルを作成する処理もしくは前記メモリ（130) 上に展開されている既存のデータファイルに対する更新処理を実行するプログラム実行部（150) と、

特定のユーザがログオフ手続を実行したときに、前記デ一夕格納部（1 10) に格納されているデータファイルのうち、当該特定のユーザの作業に基づいて作成もしくは更新されたデータファイルの全部もしくは所定の一部を退避対象ファイルとして認識する退避対象認識処理と、前記退避対象ファイルをネットワーク（200) を介して外部の記憶装置（300) にコピーすることにより退避させる退避処理と、前記データ格納部（1 10) 内に格納されている前記退避対象ファイルを削除する削除処理と、前記外部の記憶装置（300) に退避された退避対象ファイルを前記デ一夕格納部（1 10) 内にコピーして復元するために必要な管理情報を作成する管理情報作成処理と、作成した管理情報を外部の記憶場所（400) に保存する管理情報保存処理と、を実行する退避処理部（160) と、

前記特定のユーザがログオン手続を実行した後、必要に応じて、前記管理情報を参照することにより、前記外部の記憶装置（300) に退避されている退避対象ファイルを前記データ格納部（1 10) 内にコピーして復元する復元処理を実行する復元処理部（170) と、

を備えることを特徴とする情報処理装置（100)。

2. 請求項 1に記載の情報処理装置（100) において、

復元処理部（170) が、データファイルの保存時の階層構造を復元する.予備復元処理と、この予備復元処理によって復元された階層構造内から選択された特定のデータファイルを復元する本復元処理と、を実行することを特徴とする情報処理装置。

3. 請求項 1または 2に記載の情報処理装置（100) において、

退避処理部（160) が、予め定められた退避対象フォルダ内に格納されているデータファイルを、退避対象ファイルとして認識することを特徴とする情報処理装置。

4. 請求項 1または 2に記載の情報処理装置（100) において、

退避処理部（160) が、予め定められた所定の拡張子がファイル名に付されているデータファイルを、退避対象ファイルと一して認識することを特徵とする情報処理装置。

5. 請求項 1〜4のいずれかに記載の情報処理装置（100) において、退避処理部（160) が、管理情報保存処理を実行する際に、着脱自在な携帯可能情報記録媒体（400) に管理情報を保存し、

復元処理部（170) が、復元処理を実行する際に、前記携帯可能情報記録媒体 (400) に保存されている管理情報を参照することを特徴とする情報処理装置。

6. 請求項 1〜 5のいずれかに記載の情報処理装置（100) において、管理情報として、退避対象ファイルの退避先となる外部の記憶装置のァドレス情報を用いることを特徴とする情報処理装置。

7. 請求項 1〜 6のいずれかに記載の情報処理装置（100) において、退避処理部（160) が、退避処理を実行する際に、退避対象ファイルを所定の分割方法に基づいて複数の分割ファイルに分割し、個々の分割ファイルをそれぞれ異なる複数の記憶装置（310, 320, 330) に退避させる処理を実行し、前記所定の分割方法を示す情報を含む管理情報を作成する機能を有し、 .

復元処理部（170) が、前記管理情報に含まれている前記所定の分割方法を示す情報に基づいて、退避対象ファイルの復元を行うことを特徴とする情報処理装置。

8. 請求項 1〜7のいずれかに記載の情報処理装置（100) において、退避処理部（160) が、退避処理を実行する際に、退避対象ファイルを所定の暗号化方法に基づいて暗号化した上で外部の記憶装置（300) に退避させる処理を実行し、前記所定の暗号化方法を示す情報を含む管理情報を作成する機能を有し、

復元処理部（170) が、前記管理情報に含まれている前記所定の暗号化方法を示す情報に基づいて復号化処理を実行し、退避対象ファイルの復元を行うことを特徴とする情報処理装置。

9. 請求項 1〜 8のいずれかに記載の情報処理装置（100) において、退避処理部（160) が、削除処理を実行する際に、メモリに展開されている退避対象ファイルに対しても削除する処理を行うことを特徴とする情報処理装置。

10. 請求項 1〜9のいずれかに記載の情報処理装置'（100) としてコンピュー夕を機能させるコンピュータプログラムまたは当該プログラムを記録したコンピュータ読取り可能な記録媒体。

11. データファイルを格納するためのデータ格納部（1 10) と、

複数のユーザによる重複ログオンが行われることがないように、所定のユーザによる口グオン手続が行われた後は、当該ユーザについての口グオフ手続が行われるまで、他のユーザによるログオン手続を拒絶するユーザ管理部（14 0) と、

ログオン中のユーザの操作に基づいて、前記データ格納部（110) に格納されている所定のデータファイルを前記メモリ（130) 上に展開するフアイル展開処理と、前記メモリ（130) 上に展開されている所定のデ一タフアイルを前記データ格納部（1 10) に格納するファイル保存処理と、を実行する展開保存部（120) と、

を備える情報処理装置（100) を、複数のユーザで共用する場合に、個々のユーザごとにデータのセキュリティを確保する方法であって、

特定のユーザがログオフ手続を実行したときに、前記データ格納部（110) に格納されているデ一夕ファイルのうち、当該特定のユーザの作業に基づいて作成もしくは更新されたデータファイルの全部もしくは所定の一部を退避対象ファイルとして認識する退避対象認識処理と、前記退避対象ファイルをネットワーク（200) を介して外部の記憶装置（300) にコピーすることにより退避させる退避処理と、前記データ格納部（1 10) 内に格納されている前記退避対象ファイルを削除する削除処理と、前記外部の記憶装置（300) に退避された退避対象ファイルを前記データ格納部（1 10) 内にコピーして復元するために必要な管理情報を作成する管理情報作成処理と、作成した管理情報を外部の記憶場所（400) に保存する管理情報保存処理と、を実行する退避処理段階と、

前記特定のュ一ザがログオン手続を実行した後、必要に応じて、前記管理情報を参照することにより、前記外部の記憶装置（300) に退避されている退避対象ファイルを前記データ格納部（110) 内にコピーして復元する復元処理を実行する復元処理段階と、

を前記情報処理装置（100) に行わせることを特徴とする情報処理装置におけるセキュリティ確保方法。

12. 請求項 11に記載のセキュリティ確保方法において、

復元処理段階が、データファイルの保存時の階層構造を復元する予備復元段階と、この予備復元段階によって復元された階層構造内から選択された特定のデ一夕ファイルを復元する本復元段階と、によって構成されることを特徴とする情報処理装置におけるセキュリティ確保方法。

1 3 . 請求項 1 1または 1 2に記載のセキュリティ確保方法における退避処理段階および復元処理段階をコンピュータに実行させるコンピュータプログラムまたは当該プログラムを記録したコンピュータ読取り可能な記録媒体。