JP4899196B2

JP4899196B2 - データ管理システム、端末コンピュータ、管理コンピュータ、データ管理方法及びそのプログラム

Info

Publication number: JP4899196B2
Application number: JP2009091712A
Authority: JP
Inventors: 敏弘田路
Original assignee: NEC System Technologies Ltd
Current assignee: NEC Solution Innovators Ltd
Priority date: 2009-04-06
Filing date: 2009-04-06
Publication date: 2012-03-21
Anticipated expiration: 2029-04-06
Also published as: JP2010244270A

Description

本発明は、データ管理システム、端末コンピュータ、管理コンピュータ、データ管理方法及びそのプログラムに関し、特に、所定の権限でのアクセスが可能なデータを端末コンピュータから管理コンピュータに収集する技術に関する。

情報漏洩対策として、コンピュータ端末の利用状況を示すログを収集又は監査する企業や団体が増えている。
一方、コンピュータ端末に格納される、例えば、監査ログのようなセキュリティリスクの高いデータは、通常、オペレーティングシステムの機能であるファイルシステムのアクセスコントロールリスト(ＡＣＬ：Access Control List)によって、管理者権限でないとアクセスできないように保護されている。
したがって、例えば、図９に示すように、データを抽出するプログラムによって、管理者権限でのみアクセスが許可されているデータを抽出する場合、管理者権限を有する管理者によって起動され、管理者権限で動作するプログラムでないとデータを取得することができない。

よって、そのようなデータは、管理者権限を有する管理者が収集する必要があるが、オフラインで運用されているコンピュータ端末も、現実には数多く存在している。ネットワークに接続されているコンピュータ端末であれば、管理者がネットワークを経由して、データを収集することができるが、オフラインで運用されているコンピュータ端末から、データを収集するためには、定期的に管理者がコンピュータ端末の設置場所を訪れるか、コンピュータ端末の一般利用者にコンピュータ端末を定期的に主管部門に持参させる等の必要があり、膨大な運用コストがかかってしまう。
他方、コンピュータ端末の一般利用者に管理者権限を与えることにより、一般利用者に監査ログを収集させる方法も考えられるが、セキュリティレベルを著しく低下させてしまう。

なお、特許文献１には、アクセス制限電子ファイルを、アクセス制限情報でアクセス権限を認められているユーザのみが復号可能であるように生成し、そのアクセス制限電子ファイルとオリジナル電子ファイルとを上記のアクセス制限情報に基づいて管理する技術が開示されている。これにより、アクセス制限情報でアクセス権限を認められていないユーザに対して、アクセス制限電子ファイルをたとえ入手したとしてもアクセスできないようにすることができると共に、そのアクセス権限の管理を、管理者がアクセス権限情報を作成するだけで自動的に行うことができるようにしている。

また、特許文献２には、リクエストに対応する管理対象ファイルの情報をファイル情報管理データベースより抽出し、抽出された情報に基づいて、管理対象ファイルに対する処理を実行することにより、任意の情報の管理を効率よく実現することが可能となる技術が開示されている。また、特許文献２では、管理対象ファイルを利用する業務アプリケーションの実行に際し、管理対象ファイルの消去権限、バックアップ権限、および利用権限のいずれかの有無を判定するとともに、利用権限を有する判定がなされた場合、業務アプリケーションの処理対象となる管理対象ファイルをハードディスクより抽出している。

さらに、特許文献３には、記録媒体に記録された情報を他のコンピュータに複製する場合、これを暗号化した上で複製することができ、記録媒体がコンピュータに接続されて認証に成功している場合にのみこの複製した情報の復号化を行うことができる技術が開示されている。これにより、あるコンピュータの情報が記録媒体に記録されて持ち出され、他のコンピュータに複製された場合でも、その複製された情報は、情報漏洩抑止記録媒体を所持しているものしか使用することができず、情報の漏えいを適切に抑止することを可能としている。

さらにまた、特許文献４には、ファイル持出管理サーバがパッケージデータに基づいて生成された第１の改竄判定用情報と、端末装置がパッケージデータから生成した第２の改竄判定用情報とに基づいて端末装置が記憶するパッケージデータの正当性を判定し、パッケージデータが正当であると判定された場合に、端末装置にパッケージデータに含まれる暗号化された利用対象情報を復号する復号鍵を送信する技術が開示されている。これにより、パッケージデータが改竄されている場合には、端末装置に復号鍵を送信しないようにすることができ、改竄された場合に利用対象情報が不正利用されることを防ぐことを可能としている。

また、特許文献５には、文書管理システムの端末からエクスポートされる文書が機密情報を含むと決定されるならば、その文書を許可するか、ブロックするか、その端末からエクスポートされる前にその文書を暗号化するかを決定することにより、機密文書を保護する技術が開示されている。

特開２００４−１６４６０４号公報特開２００５−１４８９２０号公報特開２００８−１０８２３２号公報特開２００８−２６９５４４号公報特表２００８−５４１２７３号公報

背景技術として説明したように、オフラインで運用されているコンピュータ端末から、セキュリティリスクの高いデータ、つまり、所定の権限でのみアクセス可能なデータを、所定の権限を有さない利用者によって、その内容を晒すことなく安全に収集させ、さらには、収集したデータを更新させることを可能とする有効な方法がないという問題がある。

また、特許文献１〜５は、いずれも上述した問題を解決するための具体的な仕組みを開示したものではない。つまり、特許文献１〜５には、いずれも所定の権限でのみアクセス可能なデータを所定の権限を有しない利用者によって、その内容を晒すことなく安全に収集させることを可能とするための具体的な仕組みを開示したものではない。

本発明の目的は、上述した課題を解決するために、所定の権限でのみアクセス可能なデータを、所定の権限を有さない利用者によって、その内容を晒すことなく安全に収集させ、収集したデータを更新させることを可能とするデータ管理システム、端末コンピュータ、管理コンピュータ、データ管理方法及びそのプログラムを提供することにある。

本発明の第１の態様にかかるデータ管理システムは、アクセス制限データを格納する端末コンピュータと、前記端末コンピュータから収集した前記アクセス制限データを格納する管理コンピュータを有する。前記端末コンピュータは、前記アクセス制限データへのアクセスが可能な所定の権限で動作し、前記端末コンピュータに格納されるアクセス制限データを取得して、取得したアクセス制限データを暗号化した暗号化情報を生成するとともに、前記管理コンピュータが前記アクセス制限データを格納した場合に生成され、当該アクセス制限データを特定するデータ特定情報に基づいて、前記端末コンピュータに格納される当該アクセス制限データを削除するよう前記端末コンピュータを動作させるデータアクセスプログラムと、前記所定の権限を有さない利用者によって起動され、前記利用者の権限で動作し、前記利用者からの要求に応じて、前記データアクセスプログラムから前記暗号化情報を取得するとともに、前記利用者からのデータ特定情報の入力に応じて、当該データ特定情報に基づいた前記アクセス制限データの削除を前記データアクセスプログラムに実行させるよう前記端末コンピュータを動作させるユーザインタフェースプログラムを有する。前記管理コンピュータは、前記所定の権限で動作し、前記暗号化情報の入力に応じて、当該暗号化情報を復号化して生成したアクセス制限データを前記管理コンピュータに格納するとともに、当該アクセス制限データを特定するデータ特定情報を生成するよう前記管理コンピュータを動作させるデータ回収プログラムを有する。

本発明の第２の態様にかかる端末コンピュータは、管理コンピュータに収集されるアクセス制限データを格納する。前記アクセス制限データへのアクセスが可能な所定の権限で動作し、前記端末コンピュータに格納されるアクセス制限データを取得して、取得したアクセス制限データを暗号化した暗号化情報を生成するとともに、前記管理コンピュータが前記暗号化情報から復号したアクセス制限データを格納した場合に生成され、当該アクセス制限データを特定するデータ特定情報に基づいて、前記端末コンピュータに格納される当該アクセス制限データを削除するよう前記端末コンピュータを動作させるデータアクセスプログラムと、前記所定の権限を有さない利用者によって起動され、前記利用者の権限で動作し、前記利用者からの要求に応じて、前記データアクセスプログラムから前記暗号化情報を取得するとともに、前記利用者からのデータ特定情報の入力に応じて、当該データ特定情報に基づいた前記アクセス制限データの削除を前記データアクセスプログラムに実行させるよう前記端末コンピュータを動作させるユーザインタフェースプログラムを有する。

本発明の第３の態様にかかる管理コンピュータは、アクセス制限データを格納する端末コンピュータから収集した前記アクセス制限データを格納する。前記アクセス制限データへのアクセスが可能な所定の権限で動作し、前記端末コンピュータに格納されていたアクセス制限データを暗号化して生成した暗号化情報の入力に応じて、前記暗号化情報を復号化して生成したアクセス制限データを前記管理コンピュータに格納するとともに、当該アクセス制限データを特定し、前記端末コンピュータからの当該アクセス制限データの削除に使用されるデータ特定情報を生成するよう前記管理コンピュータを動作させるデータ回収プログラムを有する。

本発明の第４の態様にかかるデータ管理方法は、アクセス制限データを格納する端末コンピュータから管理コンピュータに前記アクセス制限データを収集するデータ管理方法である。前記アクセス制限データへのアクセスが可能な所定の権限で動作するデータアクセスプログラムが、前記端末コンピュータに格納されるアクセス制限データを取得して、取得したアクセス制限データを暗号化した暗号化情報を生成するよう前記端末コンピュータを動作させるステップと、前記所定の権限を有さない利用者によって起動され、前記利用者の権限で動作するユーザインタフェースプログラムが、前記利用者からの要求に応じて、前記データアクセスプログラムから前記暗号化情報を取得するよう前記端末コンピュータを動作させるステップと、前記所定の権限で動作するデータ回収プログラムが、前記暗号化情報の入力に応じて、前記暗号化情報を復号化して生成したアクセス制限データを前記管理コンピュータに格納するとともに、当該アクセス制限データを特定するデータ特定情報を生成するよう前記端末コンピュータを動作させるステップと、前記ユーザインタフェースプログラムが、前記利用者からのデータ特定情報の入力に応じて、前記データアクセスプログラムに当該データ特定情報に基づいて、前記端末コンピュータに格納される当該アクセス制限データの削除を実行させるよう前記端末コンピュータを動作させるステップを有する。

本発明の第５の態様にかかるデータアクセスプログラムは、管理コンピュータに収集されるアクセス制限データを格納する端末コンピュータを制御するデータアクセスプログラムである。前記アクセス制限データへのアクセスが可能な所定の権限を有さない利用者によって起動され、前記利用者の権限で動作するユーザインタフェースプログラムからの要求に応じて、前記所定の権限で動作し、前記端末コンピュータに格納されるアクセス制限データを取得して、取得したアクセス制限データを暗号化して暗号化情報を生成するステップと、前記管理コンピュータが前記暗号化情報から復号したアクセス制限データを格納した場合に生成され、当該アクセス制限データを特定するデータ特定情報の前記ユーザインタフェースプログラムからの入力に応じて、前記所定の権限で動作し、当該データ特定情報に基づいて、前記端末コンピュータに格納されるアクセス制限データの削除を実行するステップを前記端末コンピュータに実行させる。

本発明の第６の態様にかかるデータ回収プログラムは、アクセス制限データを格納する端末コンピュータから収集した前記アクセス制限データを格納する管理コンピュータを制御するデータ回収プログラムである。前記アクセス制限データへのアクセスが可能な所定の権限で動作し、前記端末コンピュータに格納されていたアクセス制限データを暗号化して生成した暗号化情報の入力に応じて、前記暗号化情報を復号化して生成したアクセス制限データを前記管理コンピュータに格納するとともに、当該アクセス制限データを特定し、前記端末コンピュータからの当該アクセス制限データの削除に使用されるデータ特定情報を生成するステップを前記管理コンピュータに実行させる。

上述した本発明の各態様により、所定の権限でのみアクセス可能なデータを、所定の権限を有さない一般利用者によって、その内容を晒すことなく安全に収集させ、収集したデータを更新させることを可能とするデータ管理システム、端末コンピュータ、管理コンピュータ、データ管理方法及びそのプログラムを提供することができる。

本発明の実施の形態にかかるデータ管理システムの概要を示す構成図である。本発明の実施の形態にかかるデータ管理システムの構成図である。本発明の実施の形態にかかる利用者端末及び管理者端末の構成例を示す図である。本発明の実施の形態にかかる監査ログを示す図である。本発明の実施の形態にかかるオフセットデータを示す図である。本発明の実施の形態にかかるデータ管理システムの監査データの抽出処理を示すシーケンス図である。本発明の実施の形態にかかるデータ管理システムの監査データの格納処理を示すシーケンス図である。本発明の実施の形態にかかるデータ管理システムの監査データの削除処理を示すシーケンス図である。背景技術にかかる利用者端末を説明するための図である。

以下、図面を参照して本発明の実施の形態について説明する。
まず、図１を参照して、本発明の実施の形態にかかるデータ管理システムの概要について説明する。図１は、本発明の実施の形態にかかるデータ管理システムの概要を示す構成図である。

データ管理システムは、端末コンピュータ５及び管理コンピュータ６を備える。
端末コンピュータ５は、ユーザインタフェースプログラム５１、データアクセスプログラム５２及びアクセス制限データ５３を有する。
管理コンピュータ６は、データ回収プログラム６１及びアクセス制限データ６２を有する。

ユーザインタフェースプログラム５１は、所定の権限を有さない利用者によって起動され、利用者の権限で動作する。ユーザインタフェースプログラム５１は、端末コンピュータ５に格納され、所定の権限でのアクセスが可能なアクセス制限データ５３を取得するためのユーザインタフェースを利用者に提供する。
データアクセスプログラム５２は、所定の権限で動作し、アクセス制限データ５３にアクセスする機能を提供する。
データ回収プログラム６１は、所定の権限で動作し、暗号化情報７に含まれるアクセス制限データ５３を管理コンピュータ６に格納する。
アクセス制限データ５３、６２は、所定の権限でのアクセスが可能な領域に格納されたデータである。

続いて、本発明の実施の形態にかかるデータ管理システムの処理の概要について説明する。

まず、ユーザインタフェースプログラム５１は、利用者からのアクセス制限データ５３１の抽出要求の入力に応じて、アクセス制限データ５３の抽出要求をデータアクセスプログラム５２に出力する。
データアクセスプログラム１２は、ユーザインタフェースプログラム１１から監査データの抽出要求の出力を受けると、端末コンピュータ５に格納されるアクセス制限データ５３を取得して、取得したアクセス制限データ５３を暗号化した暗号化情報７を生成する。さらに、データアクセスプログラム１２は、生成した暗号化情報７をユーザインタフェースプログラム５１に出力する。
そして、利用者は、ユーザインタフェースプログラム５１から生成された暗号化情報７を取得し、取得した暗号化情報７を管理者に受け渡す。

データ回収プログラム６１は、管理者からの暗号化情報７の入力に応じて、暗号化情報７を復号化して生成したアクセス制限データ５３を管理コンピュータ６に格納するとともに、このアクセス制限データ５３を特定するデータ特定情報８を生成する。
そして、管理者は、データ回収プログラム６１から生成されたデータ特定情報８を取得し、取得したデータ特定情報８を管理者に受け渡す。

ユーザインタフェースプログラム５１は、利用者からのデータ特定情報８の入力に応じて、入力されたデータ特定情報８をデータアクセスプログラム５２に出力する。
データアクセスプログラム５２は、データアクセスプログラム５２からデータ特定情報８の入力を受けると、アクセス制限データ５３を特定するデータ特定情報８に基づいて、端末コンピュータ５に格納されるアクセス制限データ５３を削除する。

続いて、図２を参照して、本発明の実施の形態にかかるデータ管理システムについて詳細に説明する。図２は、本発明の実施の形態にかかるデータ管理システムの構成図である。

データ管理システムは、利用者端末１及び管理者端末２を備える。本実施の形態では、オフラインで運用されている利用者端末１の監査ログ１３１を、管理者が運用している管理者端末に収集する場合について例示する。

利用者端末１は、ユーザインタフェースプログラム１１、データアクセスプログラム１２、記憶装置１３を有する。利用者端末１は、一般利用者によって、オフラインで運用される。利用者端末１は、例えば、ＰＣ(Personal Computer)やサーバ等の情報処理装置である。利用者端末１は、端末コンピュータとして機能する。
管理者端末２は、データ回収プログラム２１及び記憶装置２２を有する。管理者端末２は、管理者権限を有する管理者によって使用される。管理者端末２は、例えば、ＰＣやサーバ等の情報処理装置である。管理者端末２は、管理コンピュータとして機能する。
利用者端末１及び管理者端末２、例えば、図３に例示するように、プロセッサ９１、メモリ９２及びＨＤＤ(Hard Disk Drive)９３を含む情報処理装置であり、プロセッサ９１がＨＤＤ９３からメモリ９２に、各プログラム１１、１２、２１をロードして実行する。

ユーザインタフェースプログラム１１は、一般利用者によって起動され、一般利用者の権限で動作するアプリケーションプログラムであり、監査ログ１３１に含まれる任意の範囲のデータを監査データとして抽出するためのユーザインタフェースを一般利用者に提供する。また、ユーザインタフェースプログラム１１は、抽出した監査データが含まれる抽出ファイル３を生成する。
データアクセスプログラム１２は、管理者権限で動作する常駐プログラムであり、監査ログ１３１にアクセスする機能を提供する。

記憶装置１３は、管理者権限でのみアクセス可能な領域に、監査ログ１３１、暗号鍵１３２及びオフセットデータ１３３を格納する。つまり、監査ログ１３１、暗号鍵１３２及びオフセットデータ１３３は、一般利用者の権限ではアクセス可能でない情報である。記憶装置１３は、例えば、メモリやＨＤＤ等である。ここで、管理者権限でのみアクセス可能な領域とは、例えば、管理者権限でのみアクセス可能なディレクトリであるが、監査ログ１３１、暗号鍵１３２及びオフセットデータ１３３の各情報は、管理者権限でのみアクセスが可能であれば、これに限定されることはなく、各情報のそれぞれに直接、管理者権限でのみアクセス可能となるアクセス権限が設定されていてもよい。監査ログ１３１、暗号鍵１３２及びオフセットデータ１３３は、例えば、管理者権限でのみアクセス可能な１つ又は複数のファイルから構成される。

監査ログ１３１は、例えば、Ｗｉｎｄｏｗｓ(登録商標)のセキュリティログのように、利用者端末１に対して行われた操作等を示し、セキュリティリスクの高いログである。監査ログ１３１は、図４に例示するように、事象が発生した時刻と、その事象とを含んだ情報である。なお、図４は、説明を単純化するため、監査ログ１３１に、同一時刻のデータが複数格納されていない場合を例示している。

暗号鍵１３２は、データアクセスプログラム１２が、監査ログ１３１に含まれる監査データを記憶装置１３から取得した場合に、取得した監査データを暗号化するために使用する鍵データである。

オフセットデータ１３３は、データアクセスプログラム１２が監査ログ１３１から監査データを取得したときに生成され、記憶装置１３に格納される。オフセットデータ１３３は、図５に例示するように、データアクセスプログラム１２が監査ログ１３１に含まれるデータを抽出した操作を一意に識別するＩＤ値と、抽出したデータの範囲を含んだ情報である。本実施の形態では、オフセットデータ１３３は、監査ログ１３１から抽出したデータの範囲をその範囲の開始時刻と終了時刻によって示しているが、抽出したデータを特定することができれば、どのような情報であってもよい。よって、オフセットデータ１３３は、ＩＤ値によって、抽出したデータを特定することができる情報でもある。

データ回収プログラム２１は、管理者によって起動され、管理者権限で動作するアプリケーションプログラムであり、抽出ファイル３に含まれる監査データを監査ログ記憶装置２２に格納する。また、データ回収プログラム２１は、監査データを記憶装置２２に格納したときに、回収完了証明ファイル４を生成する。
記憶装置２２の管理者権限でのみアクセス可能な領域に、利用者端末１から収集した監査ログ２２１及び復号鍵２２２を格納する。記憶装置２２は、例えば、メモリやＨＤＤ等である。監査ログ２２１及び復号鍵２２２は、例えば、管理者権限でのみアクセス可能な１つ又は複数のファイルから構成される。
監査ログ２２１は、利用者端末１から収集された監査データが含まれる。
復号鍵２２２は、暗号鍵１３２と対になる鍵データであり、利用者端末１において、暗号鍵１３２によって暗号化されたデータを復号するための鍵データである。

続いて、図２、図６〜８を参照して、本発明の実施の形態にかかるデータ管理システムの処理について説明する。
まず、図２及び図６を参照して、本発明の実施の形態にかかるデータ管理システムの監査データの抽出処理について説明する。

利用者端末１の監査データを抽出する場合、一般利用者は、利用者端末１においてユーザインタフェースプログラム１１を起動し、監査データの抽出処理を実行する（ステップＳ３００）。
ユーザインタフェースプログラム１１は、一般利用者から監査データの抽出要求の入力に応じて、データアクセスプログラム１２に監査データの抽出要求を出力する（ステップＳ３０１）。

データアクセスプログラム１２は、ユーザインタフェースプログラム１１から監査データの抽出要求の出力を受けると、監査ログ１３１から監査データを取得する（ステップＳ３０２）。そして、データアクセスプログラム１２は、取得した監査データを暗号鍵１３２を使用して暗号化して（ステップＳ３０３）、暗号化した監査データをユーザインタフェースプログラム１１に出力する。また、このときに、データアクセスプログラム１２は、一意なＩＤ値を生成し（ステップＳ３０４）、生成したＩＤ値と、監査ログ１３１から抽出したデータの範囲とを関連付けた情報をオフセットデータ１３３として記憶装置１３に格納する（ステップＳ３０５）。さらに、データアクセスプログラム１２は、生成したＩＤ値をユーザインタフェースプログラム１１に出力する。

ユーザインタフェースプログラム１１は、データアクセスプログラム１２から出力されたＩＤ値と、暗号化された監査データを含んだ抽出ファイル３を生成する（ステップＳ３０６）。
そして、一般利用者は、ユーザインタフェースプログラム１１から生成された抽出ファイル３を取得し、取得した抽出ファイル３を、例えば、ＵＳＢ(Universal Serial Bus)メモリやポータブルＨＤＤ(Hard Disk Drive)等の外部記憶媒体に格納して、この外部記憶媒体を管理者に受け渡す。

続いて、図２及び図７を参照して、本発明の実施の形態にかかるデータ管理システムの監査データの格納処理について説明する。

利用者端末１から収集した監査データを管理者端末２に格納する場合、管理者は、管理者端末２においてデータ回収プログラム２１を起動し、監査データの格納処理を実行する（ステップＳ４００）。
データデータ回収プログラム２１は、管理者から入力された抽出ファイル３を取得し（ステップＳ４０１）、取得した抽出ファイル３に含まれる監査データを復号鍵２２を使用して復号する（ステップＳ４０２）。そして、復号した監査データを記憶装置２２に格納する（ステップＳ４０３）。監査データの格納が完了すると、データデータ回収プログラム２１は、抽出ファイル３に含まれるＩＤ値と、このＩＤ値から復号鍵２２を使用して生成した電子署名データを含んだ回収完了証明ファイル４を生成する（ステップＳ４０４）。

そして、管理者は、データデータ回収プログラム２１から生成された回収完了証明ファイル４を取得し、取得した回収完了証明ファイル４を外部記憶媒体に格納して、この外部記憶媒体を一般利用者に受け渡す。
なお、一般利用者及び管理者間の抽出ファイル３もしくは回収完了証明ファイル４の受け渡しには、外部記憶媒体によって行われるもの他に、電子メール等のネットワークを介しての受け渡しも含まれる。

続いて、図２及び図８を参照して、本発明の実施の形態にかかるデータ管理システムの監査データの削除処理について説明する。

管理者端末２に収集した監査データを利用者端末１から削除する場合、一般利用者は、利用者端末１においてユーザインタフェースプログラム１１を起動し、監査データの削除処理を実行する（ステップＳ５００）。
ユーザインタフェースプログラム１１は、一般利用者から入力された回収完了証明ファイル４を取得し（ステップＳ５０１）、取得した回収完了証明ファイル４とともに、データアクセスプログラム１２に監査データの削除要求を出力する（ステップＳ５０２）。

データアクセスプログラム１２は、ユーザインタフェースプログラム１１から監査データの削除要求の出力を受けると、出力された回収完了証明ファイル４に含まれるＩＤ値と、電子署名データとに基づいて検証を行う。そして、データアクセスプログラム１２は、検証の結果に問題がなければ、このＩＤ値と、オフセットデータ１３３に含まれるＩＤ値とを比較し、一致するＩＤ値に関連付けられたデータの範囲をオフセットデータ１３３から検出する（ステップＳ５０３）。そして、データアクセスプログラム１２は、検出した範囲のデータを監査ログ１３１から削除する（ステップＳ５０４）。検証の結果に問題がある場合、もしくは、一致するＩＤ値が無い場合は、監査ログ１３１からのデータの削除は行われない。

以上に説明したように、本発明の実施の形態では、利用者端末に格納されるセキュリティリスクの高いデータ、つまり、所定の権限でのみアクセス可能なデータにアクセスするプログラムと、ユーザインタフェースを提供するプログラムとを分離しているため、データの収集作業を、所定の権限を有さない一般利用者に行わせることが可能である。
また、本発明の実施の形態では、利用者端末から所定の権限でのみアクセス可能なデータを暗号化して抽出しており、一般利用者がその内容を参照、改ざん等することができず、抽出したデータの盗難、紛失があっても、第三者がその内容を参照することができないため、データの改ざん、漏洩等をすることなく安全にデータの収集が可能である。

また、本発明の実施の形態では、利用者端末に格納される所定の権限でのみアクセス可能なデータの削除には、管理者端末により生成された回収完了証明ファイルを必要とするため、一般利用者が故意にデータを削除することもできず、安全に収集したデータの更新が可能である。
また、本発明の実施の形態では、暗号鍵を所定の権限でのみアクセス可能な領域に格納するようにしているため、一般利用者が鍵データを参照して悪用することもできない。

さらに、本発明の実施の形態では、これらにより、所定の権限でのみアクセス可能なデータの抽出作業を、所定の権限を有さない一般利用者に所定の権限を付与することなく行わせ、管理者が利用者端末の設置所を訪れる等することなく、データの回収作業のみを行うという、低い運用コストであり、なおかつセキュリティレベルを保ったデータ収集が可能となる。

なお、本発明は上述した実施の形態に限られたものではなく、趣旨を逸脱しない範囲で適宜変更することが可能である。例えば、暗号化処理に関しては、暗号化方式やアルゴリズム等は、どのようなものであってもよい。
また、暗号化方式に関しては、セキュリティ強度の観点から、公開鍵暗号方式を使用することが理想的だが、事前に管理者が利用者端末に安全に暗号鍵を配布することが可能であれば、共通鍵暗号方式としてもよい。

また、管理者端末のデータ回収プログラムをクライアントサーバ型のクライアントアプリケーションとして、収集したデータをリモートの情報処理装置において動作するサーバアプリケーションに送信して、この情報処理装置の備える任意の記憶装置に含まれるデータベースに格納するようにしてもよい。
また、データ回収プログラムを、利用者端末の形態と同様に、データにアクセスするプログラムと、ユーザインタフェースを提供するプログラムを分離することにより、データの回収処理においても、管理者権限を要求しないようにしてもよい。

また、本実施の形態では、管理者権限でのみアクセス可能なデータを収集する場合について例示したが、任意のグループの権限でのみアクセス可能なデータを、そのグループに属さない利用者が収集する場合に適用するなど、管理者権限に限られることなく、所定の権限でのみアクセス可能なデータに対して適用することが可能である。
また、所定の権限でのみアクセス可能なデータは、本実施の形態において例示した監査ログに限定されることはなく、どのようなデータであってもよい。

なお、ユーザインタフェースプログラム、データアクセスプログラム及びデータ回収プログラムは、様々な種類の記憶媒体に格納することが可能であり、通信媒体を介して伝達されることが可能である。ここで、記憶媒体には、例えば、フレキシブルディスク、ハードディスク、磁気ディスク、光磁気ディスク、ＣＤ−ＲＯＭ(Compact Disc Read Only Memory)、ＤＶＤ(Digital Versatile Disc)、ＢＤ(Blu-ray Disc)、ＲＯＭ(Read Only Memory)カートリッジ、バッテリバックアップ付きＲＡＭ(Random Access Memory)、メモリカートリッジ、フラッシュメモリカートリッジ、不揮発性ＲＡＭカートリッジを含む。また、通信媒体には、電話回線の有線通信媒体、マイクロ波回線の無線通信媒体を含み、インターネットも含まれる。

また、コンピュータが各プログラムを実行することにより、上述の実施の形態の機能が実現されるだけではなく、各プログラムの指示に基づき、コンピュータ上で稼動しているＯＳ(Operating System)もしくはアプリケーションソフトと共同して上述の実施の形態の機能が実現される場合も、発明の実施の形態に含まれる。
さらに、各プログラムの処理の全てもしくは一部がコンピュータに挿入された機能拡張ボードやコンピュータに接続された機能拡張ユニットにより行われて上述の実施の形態の機能が実現される場合も、発明の実施の形態に含まれる。

１利用者端末
２管理者端末
３抽出ファイル
４収集完了証明ファイル
５端末コンピュータ
６管理コンピュータ
７暗号化情報
８データ特定情報
１１、５１ユーザインタフェースプログラム
１２、５２データアクセスプログラム
１３、２２記憶装置
２１、６１データ回収プログラム
５３、６２アクセス制限データ
９１プロセッサ
９２メモリ
９３ＨＤＤ
１３１、２２１監査ログ
１３２暗号鍵
１３３オフセットデータ
２２２復号鍵

Claims

アクセス制限データを格納する端末コンピュータと、前記端末コンピュータから収集した前記アクセス制限データを格納する管理コンピュータを備えたデータ管理システムであって、
前記端末コンピュータは、前記アクセス制限データへのアクセスが可能な所定の権限で動作し、前記端末コンピュータに格納されるアクセス制限データを取得して、取得したアクセス制限データを暗号化した暗号化情報を生成するとともに、前記管理コンピュータが前記アクセス制限データを格納した場合に生成され、当該アクセス制限データを特定するデータ特定情報に基づいて、前記端末コンピュータに格納される当該アクセス制限データを削除するよう前記端末コンピュータを動作させるデータアクセスプログラムと、
前記所定の権限を有さない利用者によって起動され、前記利用者の権限で動作し、前記利用者からの要求に応じて、前記データアクセスプログラムから前記暗号化情報を取得するとともに、前記利用者からのデータ特定情報の入力に応じて、当該データ特定情報に基づいた前記アクセス制限データの削除を前記データアクセスプログラムに実行させるよう前記端末コンピュータを動作させるユーザインタフェースプログラムを有し、
前記管理コンピュータは、前記所定の権限で動作し、前記暗号化情報の入力に応じて、当該暗号化情報を復号化して生成したアクセス制限データを前記管理コンピュータに格納するとともに、当該アクセス制限データを特定するデータ特定情報を生成するよう前記管理コンピュータを動作させるデータ回収プログラムを有するデータ管理システム。
前記データ回収プログラムは、さらに前記データ特定情報に基づいて、電子署名データを生成するよう前記端末コンピュータを動作させ、
前記ユーザインタフェースプログラムは、さらに前記データ特定情報に加えて、前記電子署名データの入力を受けるよう前記端末コンピュータを動作させ、
前記データアクセスプログラムは、前記ユーザインタフェースプログラムが入力を受けたデータ特定情報及び電子署名データに基づいて検証を行うことにより、前記アクセス制限データの削除を実行するか否かを判断するよう前記管理コンピュータを動作させる請求項１に記載のデータ管理システム。
前記端末コンピュータは、さらに前記所定の権限でのアクセスが可能な第１の鍵情報を格納し、
前記データアクセスプログラムは、前記第１の鍵情報を使用して、前記暗号化もしくは前記検証を行うよう前記端末コンピュータを動作させ、
前記管理コンピュータは、さらに前記所定の権限でのアクセスが可能な第２の鍵情報を格納し、
前記データ回収プログラムは、前記第２の鍵情報を使用して、前記復号化もしくは前記電子署名データの生成を行うよう前記管理コンピュータを動作させる請求項２に記載のデータ管理システム。
前記データ回収プログラムは、さらに前記暗号化情報に加えて、前記データアクセスプログラムによって生成され、当該暗号化情報に暗号化されたアクセス制限データを特定するＩＤ値の入力を受け、当該ＩＤ値を含めた前記データ特定情報を生成するよう前記管理コンピュータを動作させ、
前記データアクセスプログラムは、前記所定の権限でのアクセスが可能であり、前記暗号化したアクセス制限データと前記ＩＤ値を関連付けた抽出データ情報を前記端末コンピュータに格納するとともに、前記データ特定情報に含まれるＩＤ値と、前記抽出データ情報のＩＤ値を比較することにより、前記削除するアクセス制限データを判断するよう前記端末コンピュータを動作させる請求項１乃至３のいずれかに記載のデータ管理システム。
前記データアクセスプログラムは、常駐プログラムであり、
前記データ回収プログラムは、前記所定の権限を有する管理者によって起動されるプログラムである請求項１乃至４のいずれかに記載のデータ管理システム。
前記アクセス制限データは、前記所定の権限でのみアクセス可能な１つ又は複数のファイルに含まれるデータである請求項１乃至５のいずれかに記載のデータ管理システム。
前記端末コンピュータは、オフラインで運用されるコンピュータである請求項１乃至６のいずれかに記載のデータ管理システム。
前記データ管理システムは、さらにデータベースコンピュータを備え、
前記データ回収プログラムは、前記アクセス制限データを前記データベースコンピュータに送信して格納するよう前記管理コンピュータを動作させる請求項１乃至７のいずれかに記載のデータ管理システム。
管理コンピュータに収集されるアクセス制限データを格納する端末コンピュータであって、
前記アクセス制限データへのアクセスが可能な所定の権限で動作し、前記端末コンピュータに格納されるアクセス制限データを取得して、取得したアクセス制限データを暗号化した暗号化情報を生成するとともに、前記管理コンピュータが前記暗号化情報から復号したアクセス制限データを格納した場合に生成され、当該アクセス制限データを特定するデータ特定情報に基づいて、前記端末コンピュータに格納される当該アクセス制限データを削除するよう前記端末コンピュータを動作させるデータアクセスプログラムと、
前記所定の権限を有さない利用者によって起動され、前記利用者の権限で動作し、前記利用者からの要求に応じて、前記データアクセスプログラムから前記暗号化情報を取得するとともに、前記利用者からのデータ特定情報の入力に応じて、当該データ特定情報に基づいた前記アクセス制限データの削除を前記データアクセスプログラムに実行させるよう前記端末コンピュータを動作させるユーザインタフェースプログラムを有する端末コンピュータ。
アクセス制限データを格納する端末コンピュータから収集した前記アクセス制限データを格納する管理コンピュータであって、
前記アクセス制限データへのアクセスが可能な所定の権限で動作し、前記端末コンピュータに格納されていたアクセス制限データを暗号化して生成した暗号化情報の入力に応じて、前記暗号化情報を復号化して生成したアクセス制限データを前記管理コンピュータに格納するとともに、当該アクセス制限データを特定し、前記端末コンピュータからの当該アクセス制限データの削除に使用されるデータ特定情報を生成するよう前記管理コンピュータを動作させるデータ回収プログラムを有する管理コンピュータ。
アクセス制限データを格納する端末コンピュータから管理コンピュータに前記アクセス制限データを収集するデータ管理方法であって、
前記アクセス制限データへのアクセスが可能な所定の権限で動作するデータアクセスプログラムが、前記端末コンピュータに格納されるアクセス制限データを取得して、取得したアクセス制限データを暗号化した暗号化情報を生成するよう前記端末コンピュータを動作させるステップと、
前記所定の権限を有さない利用者によって起動され、前記利用者の権限で動作するユーザインタフェースプログラムが、前記利用者からの要求に応じて、前記データアクセスプログラムから前記暗号化情報を取得するよう前記端末コンピュータを動作させるステップと、
前記所定の権限で動作するデータ回収プログラムが、前記暗号化情報の入力に応じて、前記暗号化情報を復号化して生成したアクセス制限データを前記管理コンピュータに格納するとともに、当該アクセス制限データを特定するデータ特定情報を生成するよう前記端末コンピュータを動作させるステップと、
前記ユーザインタフェースプログラムが、前記利用者からのデータ特定情報の入力に応じて、前記データアクセスプログラムに当該データ特定情報に基づいて、前記端末コンピュータに格納される当該アクセス制限データの削除を実行させるよう前記端末コンピュータを動作させるステップを備えたデータ管理方法。
管理コンピュータに収集されるアクセス制限データを格納する端末コンピュータを制御するデータアクセスプログラムであって、
前記アクセス制限データへのアクセスが可能な所定の権限を有さない利用者によって起動され、前記利用者の権限で動作するユーザインタフェースプログラムからの要求に応じて、前記所定の権限で動作し、前記端末コンピュータに格納されるアクセス制限データを取得して、取得したアクセス制限データを暗号化して暗号化情報を生成するステップと、
前記管理コンピュータが前記暗号化情報から復号したアクセス制限データを格納した場合に生成され、当該アクセス制限データを特定するデータ特定情報の前記ユーザインタフェースプログラムからの入力に応じて、前記所定の権限で動作し、当該データ特定情報に基づいて、前記端末コンピュータに格納されるアクセス制限データの削除を実行するステップを前記端末コンピュータに実行させるデータアクセスプログラム。
アクセス制限データを格納する端末コンピュータから収集した前記アクセス制限データを格納する管理コンピュータを制御するデータ回収プログラムであって、
前記アクセス制限データへのアクセスが可能な所定の権限で動作し、前記端末コンピュータに格納されていたアクセス制限データを暗号化して生成した暗号化情報の入力に応じて、前記暗号化情報を復号化して生成したアクセス制限データを前記管理コンピュータに格納するとともに、当該アクセス制限データを特定し、前記端末コンピュータからの当該アクセス制限データの削除に使用されるデータ特定情報を生成するステップを前記管理コンピュータに実行させるデータ回収プログラム。