JP2007213484A - コンピュータシステム、その機密情報の漏洩防止方法およびプログラム - Google Patents

Abstract

【課題】外部記憶装置間での機密情報の漏洩を効果的に抑制する。
【解決手段】コンピュータシステム７は、機密情報を含まないファイル３及びそれを保持するファイルシステム２を有する第１の外部記憶装置１と、機密情報を含むファイル２１を有する第２の外部記憶装置２０とにそれぞれ電気的に接続される。コンピュータシステム７は、任意の期間に外部記憶装置２０からの読み込みを許可し、それ以外の期間にその読み込みを遮断するように制御する手段１９と、任意の期間に外部記憶装置１に対する書き込みが行なわれたときに、ファイル３に対する変更差分の内容を含むデータをファイルシステム２の空きブロック４に保管し、前記任意の期間終了後、空きブロック４に保管した変更差分の内容を含むデータを破棄し、ファイル３の状態を任意の期間開始前の状態にロールバックする手段１３、１４、１６、１７とを有する。
【選択図】図１

Description

本発明は、コンピュータシステム、その機密情報の漏洩防止方法およびプログラムに係り、とくに外部記憶装置間での機密情報の漏洩を防止する方式及びその管理方法に関する。

現在、殆どの企業が企業内での情報共有を目的に、イントラネットと呼ばれる情報処理インフラストラクチャを整備している。イントラネットは、それぞれの任意の数のサーバとクライアントの集合であり、どちらもコンピュータシステムである。これによると、企業活動に有用な機密文書ファイルをサーバに保存し、単一ないし複数のクライアントから単一のファイルに対して、編集や閲覧を行う。

このように企業内の人間がクライアントを用いてファイルを編集する際、サーバへアクセスする手間を省く目的で独自にファイルを複製し、クライアントの外部記憶装置に保管しておく場合が多い。このようにして、機密文書ファイルがサーバから拡散し、次第にイントラネット内に偏在する結果となり、情報漏洩を誘発する要因となる。また、２００５年４月に施行された個人情報保護法により、個人情報の漏洩対策に注目が集まっている。

なお、本発明に関連する先行技術文献としては、次のものがある。
特開２００５−０３８１７６号公報 特開２０００−２１５０９４号公報 特開２００５−３０１５４８号公報

従来の情報漏洩対策方式は、暗号化によるものが多く、これらの方式では機密情報を含有するファイルを暗号化する制御のみを行う。そのため、暗に復号された状態のファイルが複製されて、外部記憶装置に残存する事象への対処が欠落していた。

例えば、事前に暗号化された、機密情報を含有するファイルを文書編集装置で改版する際、その文書編集装置が外部記憶装置の一時記憶領域に復号された状態のファイルを保管する場合が多い。このとき、その一時記憶領域から復号された状態のファイルを取得し、主記憶装置を媒介にそのファイルの複製を保存した場合に、制御を免れ、コンピュータシステム内外にその複製が蓄積される問題があった。

また、暗号化の運用において、使用する鍵の管理が重要であり、例えば、ＵＳＢ（Universal Serial Bus）メモリなどの外部記憶装置に鍵を格納する場合、その鍵を利用すれば、第３者による機密情報へのアクセスが可能であるという問題があった。例えば、暗号化済みの機密情報を含むノートパソコンと鍵を格納したＵＳＢメモリを同時に紛失もしくは盗難にあった場合、本来、機密情報へのアクセスを許されていない者がノートパソコン上の機密情報へアクセス可能となる。

同時に、ロールバック機能を有する装置を設置する場合、事前に差分領域を確保しなければならず、コンピュータシステムの利便性に欠く問題があった。

特許文献１では、ファイル単位でのロールバックを実現しているが、同一ファイル内にジャーナリングを実施するため、ファイルの形式が変化する。また、コンピュータシステム内に機密情報が存在するか否かを判断する手段が存在しない。特許文献２もプロセスと連携した同様の機能を実現しているが、同様の問題があった。また、特許文献３では、ハードディスクの全消去を行うことで情報漏洩を防いでいるが、情報が機密情報を含まない状態に復旧しない。

本発明は、上述した従来の事情を考慮してなされたもので、外部記憶装置間での機密情報の漏洩を効果的に抑制するコンピュータシステム、その機密情報の漏洩防止方法およびプログラムを提供することを目的とする。

上記目的を達成するため、本発明に係るコンピュータシステムは、機密情報を含まない第１のファイル及びそれを保持するファイルシステムを有する第１の外部記憶装置と、機密情報を含む第２のファイルを有する第２の外部記憶装置とにそれぞれ電気的に接続されたコンピュータシステムであって、任意の期間に前記第２の外部記憶装置からの読み込みを許可し、それ以外の期間にその読み込みを遮断するように制御する制御手段と、前記任意の期間に前記第１の外部記憶装置に対する書き込みが行なわれたときに、前記任意の期間開始前の前記第１のファイルに対する変更差分の内容を含むデータを前記ファイルシステムの空きブロックに保管する保管手段と、前記任意の期間終了後、前記ファイルシステムの空きブロックに保管した前記変更差分の内容を含むデータを破棄し、前記ファイルシステムが保持する前記第１のファイルの状態を前記任意の期間開始前の状態にロールバックするロールバック手段とを有することを特徴とする。

本発明において、前記任意の期間に前記第１の外部記憶装置からの読み込みが行なわれたときに、前記保管手段により保管された前記変更差分の内容を含むデータに基づき、前記第１のファイルとその変更差分の内容とを結合して出力する手段をさらに有してもよい。

本発明において、前記任意の期間終了後、前記第１のファイルのうち指定された特定ファイルに対して、前記保管手段により保管された前記変更差分の内容を含むデータに基づき、前記特定ファイルとその変更差分の内容とを結合して出力する手段をさらに有することを特徴とする請求項２記載のコンピュータシステム。

本発明において、前記任意の期間を制御する期間制御手段をさらに有してもよい。前記期間制御手段は、前記任意の期間をスイッチ操作で制御するスイッチ手段を有してもよい。前記スイッチ手段は、前記任意の期間を任意の時刻にスイッチ操作で制御する手段を有してもよい。

本発明において、前記変更差分の内容を含むデータは、前記変更差分の内容を含むデータ部と、前記変更差分の物理的な大きさ及びその物理的な保管場所を含むインデックス部とを有し、前記保管手段は、前記空きブロック内の第１の領域に前記データ部を保管し、前記空きブロック内の第２の領域に前記インデックス部を保管する手段であってもよい。

本発明によれば、任意の期間にしか、機密文書を含むファイルを第２の外部記憶装置から読み込むことができず、例えば任意の期間に機密文書を含むファイルを第２の外部記憶装置から第１の外部記憶装置へ複製した場合、ロールバック手段により、その機密文書を含むファイルの複製をすべて第１の外部記憶装置から抹消することができる。また、好適な態様では、第１の外部記憶装置に対するロールバックを任意の時刻に実行できる。さらに、好適な態様では、監査ログ等の特定ファイルは、例外として、第１の外部記憶装置に対するロールバック対象外とすることができる。

本発明に係る機密情報の漏洩防止方法は、機密情報を含まない第１のファイル及びそれを保持するファイルシステムを有する第１の外部記憶装置と、機密情報を含む第２のファイルを有する第２の外部記憶装置とにそれぞれ電気的に接続されたコンピュータシステムで用いる機密情報の漏洩防止方法であって、任意の期間に前記第２の外部記憶装置からの読み込みを許可し、それ以外の期間にその読み込みを遮断するように制御するステップと、前記任意の期間に前記第１の外部記憶装置に対する書き込みが行なわれたときに、前記任意の期間開始前の前記第１のファイルに対する変更差分の内容を含むデータを前記ファイルシステムの空きブロックに保管するステップと、前記任意の期間終了後、前記ファイルシステムの空きブロックに保管した前記変更差分の内容を含むデータを破棄し、前記ファイルシステムが保持する前記第１のファイルの状態を前記任意の期間開始前の状態にロールバックするステップとを有することを特徴とする。

本発明に係る機密情報の漏洩防止プログラムは、機密情報を含まない第１のファイル及びそれを保持するファイルシステムを有する第１の外部記憶装置と、機密情報を含む第２のファイルを有する第２の外部記憶装置とにそれぞれ電気的に接続されたコンピュータシステムで用いる機密情報の漏洩防止プログラムであって、任意の期間に前記第２の外部記憶装置からの読み込みを許可し、それ以外の期間にその読み込みを遮断するように制御するステップと、前記任意の期間に前記第１の外部記憶装置に対する書き込みが行なわれたときに、前記任意の期間開始前の前記第１のファイルに対する変更差分の内容を含むデータを前記ファイルシステムの空きブロックに保管するステップと、前記任意の期間終了後、前記ファイルシステムの空きブロックに保管した前記変更差分の内容を含むデータを破棄し、前記ファイルシステムが保持する前記第１のファイルの状態を前記任意の期間開始前の状態にロールバックするステップとをコンピュータに実行させることを特徴とする。

以上説明したように、本発明によれば、外部記憶装置間での機密情報の漏洩を効果的に抑制するコンピュータシステム、その機密情報の漏洩防止方法およびプログラムを提供することができる。

次に、本発明に係るコンピュータシステム、その機密情報の漏洩防止方法およびプログラムを実施するための最良の形態について、図面を参照して詳細に説明する。

本実施の形態によるコンピュータシステムは、好適には、機密情報を含有しない第１のファイルを記憶する第１の外部記憶装置と、ファイルを用いて所定の業務処理を遂行するプログラム及びファイルを管理するファイルシステムを有する処理装置と、単一のスイッチ装置と、機密情報を含有する第２のファイルを記憶する第２の外部記憶装置とを備える。この構成において、本実施の形態では、外部記憶装置を通じた機密情報の取得および設定が可能な一定期間内に行われた変更差分を破棄し、その期間に突入する以前の状態を復元するロールバック機能を持つ。こうすることで、外部記憶装置への機密情報の残存を防止する。このようにして、コンピュータシステムの機密情報の漏洩防止及びその管理方法を実現している。ここでの変更差分は、ファイルシステムの空きブロック内に設けた保管領域に保管される。これにより、利用者が事前にその保管領域を用意又は予約する必要がない。以下、その具体的な実施例を説明する。

図１を参照すると、本実施例は、ワークステーションなどから構成されたコンピュータシステム７と、ハードディスクなどから構成された第１の外部記憶装置１と、イントラネット内に存在するネットワークストレージなどから構成された第２の外部記憶装置２０とを含む。コンピュータシステム７は、第１の外部記憶装置１および第２の外部記憶装置２０の間でそれぞれ信号線ＳＬ１およびＳＬ２で結ばれている。

コンピュータシステム７は、図２に示すように、ソフトウェア構成上、ファイルを用いて所定の業務処理を遂行するプログラム（業務処理遂行プログラム）８と、オペレーティングシステム（ＯＳ）７１とを有し、オペレーティングシステム７１を介在させることにより、プログラム８と第１および第２の外部記憶装置１、２０などのハードウェア７３との間の入出力などの処理動作を制御する。なお、コンピュータシステム７のハードウェア構成については、ＣＰＵ、メモリ（ＲＯＭ／ＲＡＭ）、入出力装置などの既知構成が適用される。

図１の例では、オペレーティングシステム７は、オペレーティングシステム７１と一体又は別体に構成された変更差分管理部９を有している。変更差分管理部９は、機能上、プログラム８に接続される変更差分処理手段１０と、これに接続される各手段、すなわち特定ファイル持ち越し処理手段１１、スイッチ装置状態検出手段１２、変更差分データ出力手段１３、変更差分データ入力手段１４、変更差分結合手段１５、変更差分インデックス入力手段１６、変更差分インデックス出力手段１７、スイッチ装置１８、及び外部装置制御手段１９とを含む。これらの各手段は、例えば各々コンピュータプログラムとして提供可能であり、各々の機能は、例えばコンピュータシステム７のＣＰＵが各々のコンピュータプログラムを実行することで実現される。

コンピュータシステム７上で動作する任意のプログラム８は、オペレーティングシステム７１を通じて、それぞれの外部記憶装置１、２０に対する、読み込み及び書き込みの計２種の処理を行う。本実施例では、プログラム８からそれぞれの外部記憶装置１、２０へのすべての入出力は、変更差分管理部９の中核である、変更差分処理手段１０を通じてのみ行う。

第１の外部記憶装置１および第２の外部記憶装置２０は、それぞれがコンピュータシステム７とは異なる任意のコンピュータシステムに存在しても差し支えない。それぞれの外部記憶装置１、２０は、図２に示す通り、オペレーティングシステム７１により管理されている。オペレーティングシステム７１としては、例えば、Ｍｉｃｒｏｓｏｆｔ社のＷｉｎｄｏｗｓ ＸＰ（登録商標）などを用いることができるが、これに限定されず既知のＵＮＩＸ（登録商標）系ＯＳ等のＯＳでも適用可能である。

第１及び第２の外部記憶装置１、２０は、ファイルシステム、および、ファイルもしくはファイル群を有する。図１の例では、第１の外部記憶装置１は、機密情報を含有しないファイル（第１のファイル）３を保持するファイルシステム２を有している。一方、第２の外部記憶装置２０は、機密情報を含有するファイル（第２のファイル）２１を記憶する。

第１の外部記憶装置１では、ファイルシステム２内のファイル３群が格納されているブロック以外のブロックが空き状態であり、これを空きブロック４と呼ぶ。この空きブロック４は、変更差分データ領域５と、変更差分インデックス領域６とを有し、変更差分に関するデータを格納している。空きブロック４内の変更差分データ領域５および変更差分インデックス領域６に保管するデータは、例えば二分木などの普遍的なデータ格納アルゴリズムにより管理される。変更差分の大きさは、処理毎に大きく変化することから、二分木に格納するデータの大きさを任意に指定できる形とする。

スイッチ装置１８は、コンピュータシステム７が稼動している間、任意の時刻に押下状態を変更可能であり、例えばオペレーティングシステム７１上で動作するＧＵＩ（Graphical User Interface）のボタンコントロールを用いて実現される。このスイッチ装置１８の押下状態が変更された場合、スイッチ装置状態検出手段１２に対して、その旨を示す信号を送る。スイッチ装置１８の初期状態は、押下されていないとする。

このスイッチ装置１８は、第１の外部記憶装置１に対するロールバック機能の有効及び無効の期間を制御する。スイッチ装置１８の押下状態をスイッチ装置状態検出手段１２により調べ、押下されていれば、有効とし（この期間が本発明の任意の期間に対応する）、逆に押下されていなければ無効とする（この期間が本発明の任意の期間以外の期間に対応する）。なお、例外的に、ロールバック機能を免れるファイル３群を事前に指定可能であり、ロールバック機能が有効から無効に切り替わった直後に１回だけ、特定ファイル持ち越し処理手段１３により、変更差分結合手段１５から元のファイル３群に対する変更差分を適用した状態のファイル３群を得て、それを元のファイル３群に上書きする機能を持つ。

ここで、スイッチ装置１８が押下され、第１の外部記憶装置１に対するロールバック機能が有効である間（任意の期間）は、ファイルシステム２内のファイル３群の存在する場所、大きさと内容、および、空きブロック４の存在する場所と大きさは変化しない。変更差分データ領域５に対する入出力は、変更差分データ出力手段１３および変更差分データ入力手段１４により制御する。同様に、変更差分インデックス領域６に対する入出力は、変更差分インデックス入力手段１６および変更差分インデックス出力手段１７により制御する。また、第１の外部記憶装置１からの読み込み時に、元のファイル３と変更差分とを結合するために変更差分結合手段１５を用いる。このようにして、第１の外部記憶装置１に対するロールバック機能を提供する。

上記の第１の外部記憶装置１に対するロールバック機能の提供と同時に、機密情報を含有する第２の外部記憶装置２０に対する制御を外部装置制御手段１９により行う。外部装置制御手段１９が許可しなければ、第２の外部記憶装置２０からの読み取りは不可能とする。すなわち、ロールバック機能が有効であれば（第１の期間）、外部装置制御手段１９は第２の外部記憶装置２０からのファイル２１の読み取りを許可し、逆に無効であれば（第２の期間）、第２の外部記憶装置２０からのファイル２１の読み取りを不許可とする。このようにして、機密情報を含有する第２の外部記憶装置２０へのアクセスをロールバック機能が有効である期間（任意の期間）に限定する。

次に、図１から図６を用いて、本実施例の動作を詳細に説明する。

最初に、ロールバック機能を無効にした場合の動作を説明する。

まず、コンピュータシステム７は、スイッチ装置１８が押下されていない状態から動作を開始する。この状態は、ロールバック機能が無効であることを示す。図１によると、オペレーティングシステム７１上で動作する任意のプログラム８から外部記憶装置１、２０に対する入出力の要求が行われたとき、変更差分管理部９では、必ず変更差分処理手段１０が呼び出される。変更差分処理手段１０は、図２に示す処理を開始する。

図２において、変更差分処理手段１０は、スイッチ装置状態取得手段１２と連動して、その処理を実行する（ステップＳｔ１）。これにより、スイッチ装置状態取得手段１２は、図３に示す処理を開始し、スイッチ装置１８の状態を取得し、その結果を変更差分処理手段１０に返す（ステップＳｔ１１）。この場合には、スイッチ装置１８が押下されていない状態であるという結果が返される。次いで、スイッチ装置状態取得手段１２は、その結果に基づいてスイッチ装置１８の押下又は非押下状態を判断する（ステップＳｔ２）。この場合には、スイッチ装置１８は非押下状態であると判断される（ステップＳｔ２：ＮＯ）。

次いで、利用者がプログラム８を用いて、機密情報の含まれていない第１の外部記憶装置１に対する入出力を行った場合、変更差分処理手段１０は、その処理がスイッチ装置１８の押下状態から非押下状態に操作された後の初回処理であるかどうかを判断する（ステップＳｔ８）。この場合には、コンピュータシステム７起動後の非押下状態に該当するため、初回処理でないと判断され（ステップＳｔ８：ＮＯ）、変更差分処理手段１０は、何ら制御を行わずにファイル３群へそのまま入出力の内容を渡す（ステップＳｔ１０）。これにより、ファイルシステム２は、オペレーティングシステム７１により、ファイル３群に対する入出力（閲覧・更新）を処理する。

一方、機密情報の含まれる第２の外部記憶装置２０に対する入出力が行われた場合、変更差分処理手段１０は、外部装置制御手段１９により、その機密情報を含むファイル２１の読み込みを禁止する一方、その書き込みに関しては禁止しない。このとき、外部装置制御手段１９は、図５の通りに制御する。すなわち、外部装置制御手段１９は、図５に示すように、スイッチ装置状態取得手段１２によりスイッチ装置１８の状態を取得し（ステップＳｔ２１）、その結果が押下状態か否かを判断する（ステップＳｔ２２）。これにより、非押下状態であれば（ＹＥＳ）、第２の外部記憶装置２０からの入力（ファイル読み出し）を遮断し、その第２の外部記憶装置２０への出力（ファイル書き込み）を通過（許可）し（ステップＳｔ２３）、押下状態であれば（ＮＯ）、第２の外部記憶装置２０の入出力（ファイル読み出し及び書き込み）を通過する（ステップＳｔ２４）。

以上の通り、スイッチ装置１８が押下されていない期間（任意の期間以外の期間）は、機密情報を含む第２の外部記憶装置２０から機密情報を含むファイル２１を読み出すことができない。

次に、ロールバック機能を有効にした場合の動作を説明する。

コンピュータシステム７の利用者は、ＧＵＩのボタンコントロールを通じて、スイッチ装置１８の押下状態を任意の時刻に変更可能である。利用者がスイッチ装置１８を押下した場合、ロールバック機能が有効となり、それ以降、変更差分管理部９の振る舞いが変化する。すなわち、スイッチ装置１８が押下されている状態で、プログラム８から機密情報の含まれていない第１の外部記憶装置１に対する入出力を行った場合、変更差分処理手段１０は、図３の通り、スイッチ装置１８が押下状態であると判断し（ステップＳｔ２：ＹＥＳ）、処理種別（書き込み又は読み込み）を判断し（ステップＳｔ２）、その処理種別に応じて制御内容を決定する。

例えば、処理種別が書き込み処理であった場合、プログラム８から渡された情報を用いて変更差分を抽出し、変更差分として空きブロック４に保存する手続きとなる（ステップＳｔ４〜Ｓｔ５）。変更差分は、図８に示すように、３つの要素から成る。第１の要素は、元ファイル３の存在する第１の外部記憶装置１内の物理的な場所、第２の要素は、変更差分の物理的な大きさ、第３の要素は、変更差分の内容である。後ほど、第１および第２の要素をキーとした迅速な検索が可能となるように、第１および第２の要素を格納するインデックス部と、第３の要素を格納するデータ部とに分ける。

そこで、変更差分処理手段１０は、変更差分のうちのインデックス部を、変更差分インデックス出力手段１７により、ファイルシステム２内での空きブロック４内の変更差分インデックス領域６に保管する（ステップＳｔ４）。その格納の際、既存キーとの重なりを考慮しなければならない。そして、変更差分処理手段１０は、ファイルシステム２内での空きブロック４の残り容量および既存キーとの重なりを勘案して、ファイルシステム２内に、変更差分のうちのデータ部を格納するために十分な空きブロック４が存在するかどうかを調べ（ステップＳｔ５）、そのデータ部を格納可能であれば（ＹＥＳ）、変更差分データ出力手段１３を読み込み、空きブロック４内の変更差分データ領域５に、そのデータ部の格納を実施する（ステップＳｔ６）。

一方、上記ステップＳｔ３の判断にて処理種別が読み込み処理であった場合、変更差分結合手段１５により、元のファイル３とそれまでに蓄積した変更差分とを結合したファイルを生成する（ステップＳｔ７）。すなわち、変更差分結合手段１５は、図６に示すように、ファイル３から元のデータを得る（ステップＳｔ３１）と、元のファイル３の物理的な位置および要求されている大きさをキーとして、変更差分インデックス入力手段１６を呼び出す（ステップＳｔ３２）。これにより、変更差分インデックス領域６内を検索し、変更差分が存在するかどうかを確認する（ステップＳｔ３３）。その結果、変更差分が存在する場合（ＹＥＳ）のみ、変更差分データ領域５内の物理的な位置を得て、元のファイル３の内容と、もしあれば変更差分とを結合して、結合後の内容を生成する（ステップＳｔ３５）。この内容は、スイッチ装置１８を押下しない状態のまま、同じプログラム８からの入出力内容をファイル３へ適応し続けた結果と等価である。なお、ロールバック機能が有効である場合、全体を通じて、ファイル３には一切変更を加えない。

次に、この状態からスイッチ装置１８の押下状態が再び変化し、ロールバック機能が無効となった場合を記述する。

まず、変更差分処理手段１０は、図３に示すとおり、スイッチ装置１８の押下状態から非押下状態への変化後の初回処理かどうかを判断する（ステップＳｔ８）。この場合には、初回処理であると判断される（ステップＳｔ８：ＹＥＳ）。従って、初回処理であれば、変更差分処理手段１０は、特定ファイル持ち越し処理手段１１を呼び出し、これによりロールバック対象外のファイルであると事前に指定されたファイル３群にその変更差分を反映する処理を行う。すなわち、特定ファイル持ち越し処理手段１１は、図７に示すように、変更差分結合手段１５の処理により、ロールバック対象外のファイル３とその変更差分とを結合してその結合後の内容を生成し（ステップＳｔ４３）、その結合後の内容をファイル３に書き出す（ステップＳｔ４２）。なお、ロールバック対象外となるファイル３としては、例えば監査ログが挙げられる。これは、コンピュータシステム７の利用者と管理者が同一人物で無い場合、管理者が利用者の振る舞いを監査したい場合、操作などのログを残すケースがあり、このような場合、監査ログが抹消されると機能性を損なうことになるためである。

一方、上記のステップＳｔ８の判断で、スイッチ装置１８の押下状態から非押下状態への変化後の初回処理でなければ（ステップＳｔ８：ＮＯ）、冒頭で述べたとおり、ファイル３に対する入出力操作に対する制御を加えない扱いとする（ステップＳｔ１０）。すなわち、ロールバック機能が有効である間（任意の期間）に行われた変更差分は、その保存領域として空きブロック４を用いているため、その後の操作によりファイルシステム２により破壊され、事実上、抹消される。

例えば、ロールバック機能が有効であり、第２の外部記憶装置２１への制御が可能である期間（任意の期間）に、利用者がプログラム８を用いて第２の外部記憶装置２０上の機密文書を含むファイル（第２のファイル）２１の編集を行った際、暗黙的に第１の外部記憶装置１上のファイル（第１のファイル）３に対しその機密文書を含むファイル２１の複製が作成されたケースを想定する。このとき、作成された機密文書を含むファイル２１の複製全体がファイル３の変更差分とみなされる。その後、スイッチ装置１８を操作してロールバック機能を無効とすると、第１の外部記憶装置１に作成された機密文書を含むファイル２１の複製、つまり、ファイル３の変更差分は抹消された扱いとなり、コンピュータシステム７の利用者からは見えなくなる。このようにして、第２の外部記憶装置２１から第１の外部記憶装置１への機密情報の暗黙的な複製に対する、情報漏洩が防止可能となる。

以上説明したように、本実施例では、次のような特徴がある。（１）任意の期間におけるファイル３への変更差分をファイルシステム２の空きブロック４に保管している。（２）事前に変更差分の保管領域を予約しなくてもよい。（３）上記の期間満了後、空きブロック４に保管した内容を破棄し、ファイルシステム２が持つファイル３を期間以前の状態にロールバックしている。（４）スイッチ装置１８を押下及び非押下することにより、上記の期間を制御できる。（５）スイッチ装置１８の操作が任意の時刻に行うことができる。（６）第１の外部記憶装置１のファイル３への出力時に変更差分のみを別途保管している。（７）第１の外部記憶装置１のファイル３からの入力時にそのファイル３とそのファイルに対する変更差分とを結合している。（８）情報漏洩対策にロールバック方式を適応している。

従って、本実施例によれば、次のような効果が得られる。（１）特定のスイッチ装置１８が押下されている任意の期間に、機密文書を含むファイル２１を第２の外部記憶装置２０から第１の外部記憶装置１へ複製した場合、スイッチ装置１８の操作によりロールバックし、その機密文書を含むファイル２１の複製をすべて第１の外部記憶装置１から抹消することができる。（２）特定のスイッチ装置１８が押下されている任意の期間にしか、機密文書を含むファイルを第２の外部記憶装置２０から読み込むことができない。（３）スイッチ装置１８の操作により、第１の外部記憶装置１に対するロールバックを任意の時刻に実行できる。（４）監査ログ等の特定ファイルは、例外として、第１の外部記憶装置１に対するロールバック対象外とすることができる。

なお、他の実施例として、コンピュータシステム７にコンピュータウィルスおよびマルウェアが混入した場合、スイッチ装置１８の操作により、上記実施例と同様のロールバック機能の動作により、それらをすべて第１の外部記憶装置１から抹消し、第１の外部記憶装置１内の第１のファイル３の状態をその混入前の状態にロールバックする構成に適用することができる。

また、上記の実施例では、スイッチ装置１８の押下及び非押下により、第２の外部記憶装置２１からの読み込みを有効及び無効とし、かつ、第１の外部記憶装置１に対するロールバック機能を有効及び無効とする期間を同時に制御しているが、本発明はこれに限らず、例えばコンピュータシステム７に内蔵するタイマ機能を用いて、予め指定された期間のみ上記の読み込み及びロールバック機能を有効とするように制御するようにしてもよい。

本発明は、コンピュータシステム、その機密情報の漏洩防止方法およびプログラムの用途に適用でき、特に外部記憶装置間の複製等による機密情報の漏洩防止方式及びその管理方法の用途に適用できる。

本発明の実施例に係るコンピュータシステムの構成を示す図である。 図１に示すコンピュータシステムのソフトウェア構成を示す図である。 図１に示す変更差分処理手段の処理を説明するフローチャートである。 図１に示す変更差分処理手段の処理を説明するフローチャートである。 図１に示す外部装置制御手段の処理を説明するフローチャートである。 図１に示す変更差分結合手段の処理を説明するフローチャートである。 図１に示す特定ファイル持ち越し処理手段の処理を説明するフローチャートである。 変更差分のデータ構成を説明する図である。

符号の説明

１ 第１の外部記憶装置
２ ファイルシステム
３ ファイル
４ 空きブロック
５ 変更差分データ領域
６ 変更差分インデックス領域
７ コンピュータシステム
８ プログラム
９ 変更差分管理部
１０ 変更差分処理手段
１１ 特定ファイル持ち越し処理手段
１２ スイッチ装置状態検出手段
１３ 変更差分データ出力手段
１４ 変更差分データ入力手段
１５ 変更差分結合手段
１６ 変更差分インデックス入力手段
１７ 変更差分インデックス出力手段
１８ スイッチ装置
１９ 外部装置制御手段
２０ 第２の外部記憶装置
２１ ファイル

Claims (15)

1. 機密情報を含まない第１のファイル及びそれを保持するファイルシステムを有する第１の外部記憶装置と、機密情報を含む第２のファイルを有する第２の外部記憶装置とにそれぞれ電気的に接続されたコンピュータシステムであって、
   任意の期間に前記第２の外部記憶装置からの読み込みを許可し、それ以外の期間にその読み込みを遮断するように制御する制御手段と、
   前記任意の期間に前記第１の外部記憶装置に対する書き込みが行なわれたときに、前記任意の期間開始前の前記第１のファイルに対する変更差分の内容を含むデータを前記ファイルシステムの空きブロックに保管する保管手段と、
   前記任意の期間終了後、前記ファイルシステムの空きブロックに保管した前記変更差分の内容を含むデータを破棄し、前記ファイルシステムが保持する前記第１のファイルの状態を前記任意の期間開始前の状態にロールバックするロールバック手段とを有することを特徴とするコンピュータシステム。
2. 前記任意の期間に前記第１の外部記憶装置からの読み込みが行なわれたときに、前記保管手段により保管された前記変更差分の内容を含むデータに基づき、前記第１のファイルとその変更差分の内容とを結合して出力する手段をさらに有することを特徴とする請求項１記載のコンピュータシステム。
3. 前記任意の期間終了後、前記第１のファイルのうち指定された特定ファイルに対して、前記保管手段により保管された前記変更差分の内容を含むデータに基づき、前記特定ファイルとその変更差分の内容とを結合して出力する手段をさらに有することを特徴とする請求項２記載のコンピュータシステム。
4. 前記任意の期間を制御する期間制御手段をさらに有することを特徴とする請求項１乃至３のいずれか１項に記載のコンピュータシステム。
5. 前記期間制御手段は、前記任意の期間をスイッチ操作で制御するスイッチ手段を有することを特徴とする請求項４記載のコンピュータシステム。
6. 前記スイッチ手段は、前記任意の期間を任意の時刻にスイッチ操作で制御する手段であることを特徴とする請求項５記載のコンピュータシステム。
7. 前記変更差分の内容を含むデータは、前記変更差分の内容を含むデータ部と、前記変更差分の物理的な大きさ及びその物理的な保管場所を含むインデックス部とを有し、
   前記保管手段は、前記空きブロック内の第１の領域に前記データ部を保管し、前記空きブロック内の第２の領域に前記インデックス部を保管する手段を有することを特徴とする請求項１乃至６のいずれか１項に記載のコンピュータシステム。
8. 機密情報を含まない第１のファイル及びそれを保持するファイルシステムを有する第１の外部記憶装置と、機密情報を含む第２のファイルを有する第２の外部記憶装置とにそれぞれ電気的に接続されたコンピュータシステムで用いる機密情報の漏洩防止方法であって、
   任意の期間に前記第２の外部記憶装置からの読み込みを許可し、それ以外の期間にその読み込みを遮断するように制御するステップと、
   前記任意の期間に前記第１の外部記憶装置に対する書き込みが行なわれたときに、前記任意の期間開始前の前記第１のファイルに対する変更差分の内容を含むデータを前記ファイルシステムの空きブロックに保管するステップと、
   前記任意の期間終了後、前記ファイルシステムの空きブロックに保管した前記変更差分の内容を含むデータを破棄し、前記ファイルシステムが保持する前記第１のファイルの状態を前記任意の期間開始前の状態にロールバックするステップとを有することを特徴とする機密情報の漏洩防止方法。
9. 前記任意の期間に前記第１の外部記憶装置からの読み込みが行なわれたときに、前記保管手段により保管された前記変更差分の内容を含むデータに基づき、前記第１のファイルとその変更差分の内容とを結合して出力するステップをさらに有することを特徴とする請求項８記載の機密情報の漏洩防止方法。
10. 前記任意の期間終了後、前記第１のファイルのうち指定された特定ファイルに対して、保管された前記変更差分の内容を含むデータに基づき、前記特定ファイルとその変更差分の内容とを結合して出力するステップをさらに有することを特徴とする請求項８又は９記載の機密情報の漏洩防止方法。
11. 前記任意の期間を制御するステップをさらに有することを特徴とする請求項８乃至１０のいずれか１項に記載の機密情報の漏洩防止方法。
12. 機密情報を含まない第１のファイル及びそれを保持するファイルシステムを有する第１の外部記憶装置と、機密情報を含む第２のファイルを有する第２の外部記憶装置とにそれぞれ電気的に接続されたコンピュータシステムで用いる機密情報の漏洩防止プログラムであって、
    任意の期間に前記第２の外部記憶装置からの読み込みを許可し、それ以外の期間にその読み込みを遮断するように制御するステップと、
    前記任意の期間に前記第１の外部記憶装置に対する書き込みが行なわれたときに、前記任意の期間開始前の前記第１のファイルに対する変更差分の内容を含むデータを前記ファイルシステムの空きブロックに保管するステップと、
    前記任意の期間終了後、前記ファイルシステムの空きブロックに保管した前記変更差分の内容を含むデータを破棄し、前記ファイルシステムが保持する前記第１のファイルの状態を前記任意の期間開始前の状態にロールバックするステップとをコンピュータに実行させることを特徴とする機密情報の漏洩防止プログラム。
13. 前記任意の期間に前記第１の外部記憶装置からの読み込みが行なわれたときに、前記保管手段により保管された前記変更差分の内容を含むデータに基づき、前記第１のファイルとその変更差分の内容とを結合して出力するステップをさらにコンピュータに実行させることを特徴とする請求項１２記載の機密情報の漏洩防止プログラム。
14. 前記任意の期間終了後、前記第１のファイルのうち指定された特定ファイルに対して、保管された前記変更差分の内容を含むデータに基づき、前記特定ファイルとその変更差分の内容とを結合して出力するステップをさらにコンピュータに実行させることを特徴とする請求項１２又は１３記載の機密情報の漏洩防止プログラム。
15. 前記任意の期間を制御するステップをさらにコンピュータに実行させることを特徴とする請求項１２乃至１４のいずれか１項に記載の機密情報の漏洩防止プログラム。

Images