情報処理端末および管理サーバ
【課題】作業データ等を情報処理端末上に残さない機能を備える情報処理端末において、所定のデータについては、端末のセキュリティを確保したまま例外的に端末上に残すことを課題とする。
【解決手段】情報処理端末１ｃに、データが情報処理端末１ｃに接続されたＨＤＤ１３ｃに残ることを防止する残留防止機能と、ダウンロードしてＨＤＤ１３ｃに残すべき更新ファイルが外部端末９１、９２に存在する場合に、残留防止機能を停止する制限モード設定部２４と、残留防止機能が有効となっていない間に、外部端末９１、９２との間の通信に必要な接続を許可し、その他の接続を制限する接続制限部３３と、残留防止機能が有効となっておらず、且つ接続制限が行われている間、外部端末９１、９２から更新ファイルを受信するデータ受信部２８と、受信された更新ファイルを、ＨＤＤ１３ｃに記憶させるデータ保存部３４と、を備えた。
【解決手段】情報処理端末１ｃに、データが情報処理端末１ｃに接続されたＨＤＤ１３ｃに残ることを防止する残留防止機能と、ダウンロードしてＨＤＤ１３ｃに残すべき更新ファイルが外部端末９１、９２に存在する場合に、残留防止機能を停止する制限モード設定部２４と、残留防止機能が有効となっていない間に、外部端末９１、９２との間の通信に必要な接続を許可し、その他の接続を制限する接続制限部３３と、残留防止機能が有効となっておらず、且つ接続制限が行われている間、外部端末９１、９２から更新ファイルを受信するデータ受信部２８と、受信された更新ファイルを、ＨＤＤ１３ｃに記憶させるデータ保存部３４と、を備えた。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理端末にプログラムまたはデータが残ることを防止するための技術に関する。
【背景技術】
【０００２】
従来、管理センタサーバとの間で認証を行い、この認証の結果に応じて、記憶部に格納された各種情報を消去するか否かを決定する情報処理システムがあり（特許文献１を参照）、また、情報管理システムに情報要求内容と認証情報とを送り、認証許可時に情報管理システムから返送される情報をダウンロードして、起動時に消去される領域に格納する情報盗用防止方法がある（特許文献２を参照）。
【０００３】
また、認証した端末にデータの消去を行うためのプログラムを送信する管理サーバと、この消去プログラムを実行してデータを消去する端末と、を備えるデータ消去システムがあり（特許文献３を参照）、定期的にサーバにアクセスして、アクセスが許可された場合に端末内のデータをサーバ上のデータと同期させ、サーバとのアクセスが拒否された場合にデータを消去する情報管理システムがある（特許文献４を参照）。
【特許文献１】特開２００６−１６３８４７号公報
【特許文献２】特開２００５−１５７５８８号公報
【特許文献３】特許３７５３６６６号公報
【特許文献４】特開２００６−３１９４３２号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
従来、情報処理端末と通信ネットワークとの組み合わせによる情報通信システムにおいて、コンピュータウィルスによる被害や情報漏洩等の事象が発生しているが、これは、一般的なコンピュータの構成である、プログラムやデータを書き換え可能な記憶装置に記録していることに起因した問題である。即ち、データをユーザの意図に拘らずネットワークへ送信してしまうソフトウェアが、一旦記憶装置に記録されてしまうと、このソフトウェアはシステムに常駐し、被害が継続する。また、データをコンピュータの記憶装置に保存しているため、コンピュータが紛失または盗難されることによって、情報が漏洩する。
【０００５】
このような事象に対応するために、従来、情報処理端末にプログラムおよびデータを残さない技術が提案されている。例えば、コンピュータ上に仮想マシンと呼ばれる擬似的なコンピュータハードウェアを構成し、この仮想マシン上にてゲストＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）を起動し、ゲストＯＳ上で作業を行うという、仮想マシン手法がある。また、情報処理端末にはＯＳを記憶させずに、ネットワークの先にＯＳイメージを用意して、起動時にネットワーク越しにダウンロードして情報処理端末のＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）に展開するという、所謂ネットブート手法がある。そして、これらの手法によれば、情報処理端末上にプログラムやデータを残さず、ウィルス等のマルウェアが常駐する問題や、上処理端末から情報が漏洩する問題に対処することが出来る。
【０００６】
しかし、上記セキュリティ手法では、ＯＳやインストールされたプログラムの更新データや、セキュリティ対策ソフトウェアによって用いられる定義ファイル（ウィルス定義ファイルや攻撃パターン定義ファイル等が用いられている）等の、セキュリティを高める上で情報処理端末上に残すことが望ましいデータも消えてしまい、ソフトウェアを更新等して最新の状態に保つことが困難であるといった問題があった。従来、このような問題に対
処するためには、端末上にデータを残さないための機能を一時的に無効化するといった手段も用いることができたが、このような方法では、情報処理端末を安全な状態に保つことができない。
【０００７】
本発明は、上記の問題に鑑み、作業データ等を情報処理端末上に残さない機能を備える情報処理端末において、所定のデータについては、端末のセキュリティを確保したまま例外的に端末上に残すことを課題とする。
【課題を解決するための手段】
【０００８】
本発明は、上記した課題を解決するために、作業データ等を情報処理端末上に残さない機能を備える情報処理端末において、所定のデータのダウンロードを行う際には、作業データ等を情報処理端末上に残さない機能を無効化し、且つ所定のデータのダウンロードに用いられる所定のサーバ以外の端末とのアクセスを制限することで、所定のデータについては、端末のセキュリティを確保したまま例外的に端末上に残すことを可能にした。
【０００９】
詳細には、本発明は、不揮発性記憶装置に接続された情報処理端末であって、データが前記不揮発性記憶装置に残ることを防止する残留防止手段と、ダウンロードして前記不揮発性記憶装置に残すべき所定のデータが外部端末に存在する場合に、前記残留防止機能を停止する残留防止機能停止手段と、前記残留防止機能が有効となっていない間に、前記外部端末との間の通信に必要な接続を許可し、その他の接続を制限する接続制限手段と、前記残留防止機能が有効となっておらず、且つ前記接続制限が行われている間、前記外部端末から前記所定のデータを受信するデータ受信手段と、前記データ受信手段によって受信された前記所定のデータを、前記不揮発性記憶装置に記憶させるデータ保存手段と、を備える情報処理端末である。
【００１０】
本発明に係る情報処理端末は、残留防止手段を備えることにより、情報処理端末を用いて行った作業で作成された新規データや、ネットワークを介してダウンロードされた外部からのデータを、情報処理端末の電源断やシステムの再起動によってもデータが残る不揮発性記憶装置に残ることを防止し、悪意あるプログラムの常駐や情報の漏洩を防止することが出来る情報処理端末である。
【００１１】
そして、本発明に係る情報処理端末は、このような残留防止機能を無効化する残留防止無効化手段と、残留防止機能が無効化されている間に接続制限を行う接続制限手段とを備えることによって、悪意あるプログラムの侵入や情報の漏洩を防止するセキュリティ対策を有効としつつ、必要なプログラムの更新ファイルや、セキュリティ対策ソフトウェアによって利用される定義ファイル等、不揮発性記憶装置に残すべき所定のデータを、不揮発性記憶装置に残すことを可能としている。
【００１２】
なお、残留防止手段による残留防止の具体的な手法には、公知の技術を含め実施の形態毎に最適な手法が採用されてよいが、例えば、本発明に係る情報処理端末は、前記不揮発性記憶装置における一部の領域を、該情報処理端末の起動または終了に際して初期化される一時領域として確保する一時領域確保手段を更に備え、前記残留防止手段は、前記不揮発性記憶装置に書き込まれようとしているデータを前記一時領域に記録することで、該データが前記不揮発性記憶装置に残ることを防止してもよい。
【００１３】
ここで、不揮発性記憶装置とは、ＨＤＤやフラッシュＥＥＰＲＯＭ等の、電源の供給が行われなくても記録された情報が維持される記憶装置である。本発明では、この不揮発性記憶装置上に、情報処理端末の起動または終了に際して初期化される一時領域を確保し、且つユーザ権限をオペレーティングシステムへの変更またはソフトウェアの追加を行う権限を有さないユーザに設定することで、望ましくないソフトウェアやデータが該情報処理
端末に保持されることを防止することを可能としている。
【００１４】
不揮発性記憶装置に書き込まれようとしているデータを、端末の起動または終了に際して初期化される一時領域に記録することで、端末の再起動時に、前回起動時に記録されたデータが再びメモリに読み込まれることを防止することが出来る。また、一時領域の初期化を行う方法には、オペレーティングシステムによる前記不揮発性記憶装置への書き込みアクセスを横取りし、前記一時領域への書き込みアクセスへ変換することで、前記不揮発性記憶装置に書き込まれようとしているデータを前記一時領域に記録し、前記変換された書き込みアクセスの変換前のアドレスと変換後のアドレスとの対応関係を示す変換情報を、前記揮発性記憶装置に蓄積する方法がある。この場合、変換情報が揮発性記憶装置に蓄積されるため、再起動や電源断等で、揮発性記憶装置に記録された変換情報が失われ、変換情報を参照して一時領域にアクセスすることが出来なくなる。これによって、一時領域からの情報の読出しが困難となり、マルウェアの残留や情報漏洩を防止することが可能となる。
【００１５】
また、前記接続制限手段は、前記接続制限手段は、管理サーバとの接続を許可し、前記データ受信手段は、前記管理サーバを介して、前記外部端末から前記所定のデータを受信してもよい。このようにすることで、残留防止処理を無効化している間における通信の対象を、安全性の確保された所定の管理サーバのみに限定することが出来る。また、所定のデータが存在する外部端末が管理サーバでない場合、本発明に係る情報処理端末は、管理サーバを介して（例えば、管理サーバを代理サーバとして用いて）外部端末から所定のデータをダウンロードしてもよい。
【００１６】
また、本発明に係る情報処理端末は、前記管理サーバとの間で認証処理を実行するサーバ認証手段を更に備え、前記接続制限手段は、前記サーバ認証手段によって認証された管理サーバとの接続を許可してもよい。このようにすることで、管理サーバの成りすまし等を防止することが出来、所定のデータをダウンロードする際のセキュリティをより高めることが出来る。
【００１７】
また、本発明は、上記情報処理端末を管理する管理サーバとしても把握することが可能である。即ち、本発明は、所定の情報処理端末を管理する管理サーバであって、前記所定の情報処理端末は、データが不揮発性記憶装置に残ることを防止する残留防止手段、前記不揮発性記憶装置に残すべき所定のデータが外部端末に存在する場合に前記残留防止機能を停止する残留防止機能停止手段、および、前記残留防止機能が有効となっていない間、該管理サーバとの接続を許可し、その他の接続を制限する接続制限手段、を備える情報処理端末であり、前記所定の情報処理端末において、前記残留防止機能が有効となっておらず、且つ前記接続制限が行われている間に、前記所定のデータを前記情報処理端末に受信させて前記不揮発性記憶装置に記憶させるデータ送信手段を備える、管理サーバである。
【００１８】
また、本発明に係る管理サーバは、前記所定の情報処理端末との間で認証処理を実行する端末認証手段を更に備え、前記データ送信手段は、前記端末認証手段によって認証された情報処理端末において、前記残留防止機能が有効となっておらず、且つ前記接続制限が行われている間に、前記所定のデータを前記情報処理端末に受信させて前記不揮発性記憶装置に記憶させてもよい。
【００１９】
更に、本発明は、コンピュータが実行する方法、又はコンピュータに実行させるプログラムとしても把握することが可能である。また、本発明は、そのようなプログラムをコンピュータその他の装置、機械等が読み取り可能な記録媒体に記録したものでもよい。ここで、コンピュータ等が読み取り可能な記録媒体とは、データやプログラム等の情報を電気的、磁気的、光学的、機械的、または化学的作用によって蓄積し、コンピュータ等から読
み取ることができる記録媒体をいう。
【発明の効果】
【００２０】
本発明によって、作業データ等を情報処理端末上に残さない機能を備える情報処理端末において、所定のデータについては、端末のセキュリティを確保したまま例外的に端末上に残すことが可能となる。
【発明を実施するための最良の形態】
【００２１】
本発明に係る情報処理端末および管理サーバを有するユーザ端末管理システムの実施の形態について、図面に基づいて説明する。
【００２２】
図１は、本実施形態に係るユーザ端末管理システム１のハードウェア構成の概略を示す図である。ユーザ端末管理システム１は、管理サーバ１ｓと、管理サーバ１ｓにネットワーク２を介して接続された１または複数のユーザ端末１ｃと、を有する。管理サーバ１ｓは、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）１１ｓ、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）１２ｓ等の主記憶装置、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）１３ｓ等の補助記憶装置、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）１４ｓ、およびＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）１５ｓ等のネットワークインターフェース等を有するコンピュータである。管理サーバ１ｓは、ネットワーク２を介して接続された管理者端末１ａによって管理されるが、ディスプレイ、キーボード、マウス等を備えてもよい。また、管理サーバ１ｓは、ユーザ端末管理システム１の外部端末である、ＯＳ更新ファイル配布サーバ９１や、セキュリティ対策ソフトウェア更新ファイル配布サーバ９２に、インターネット等のネットワーク９を介して接続されている。
【００２３】
また、ユーザ端末１ｃは、ＣＰＵ１１ｃ、揮発性記憶装置であり端末の再起動や終了に伴って記録された情報が失われるＲＡＭ１２ｃ、不揮発性記憶装置であり端末が再起動または終了された場合にも記録された情報が維持されるＨＤＤ１３ｃ、ＲＯＭ１４ｃ、およびＮＩＣ１５ｃ等のネットワークインターフェース等を有するコンピュータである。なお、本実施形態では、ユーザ端末１ｃは更にディスプレイ１６ｃ等の出力装置、およびキーボード１７ｃ、マウス１８ｃ等の入力装置等を有する。また、ユーザ端末１ｃのＯＳは、システムへの変更またはソフトウェアの追加を行うための権限である管理者権限の有無をユーザごとに設定可能なＯＳである。
【００２４】
図２は、本実施形態に係るユーザ端末管理システム１の機能構成の概略を示す図である。図１に示したハードウェア構成を有する管理サーバ１ｓは、ＨＤＤ１３ｓ上にインストールされたプログラムをＣＰＵ１１ｓが読み出してＲＡＭ１２ｓに展開し、展開されたプログラムをＣＰＵ１１ｓが解釈および実行することで、ソフトウェア蓄積部４６と、ソフトウェアのリストを含む制限モード定義情報を蓄積する制限モード定義情報蓄積部４４と、ユーザまたはユーザ端末１ｃの識別情報をユーザ端末１ｃより受信する識別情報受信部４２と、受信された識別情報を用いてユーザ端末１ｃまたはユーザを認証する端末認証部４１と、情報処理端末またはユーザに応じた制限モード定義情報を送信する制限モード定義情報送信部４３と、ユーザ端末１ｃにおいて選択された制限モード定義情報に含まれるソフトウェア等をユーザ端末１ｃに送信するデータ送信部４５と、を備える管理サーバ１ｓとして機能する。
【００２５】
同様に、図１に示したハードウェア構成を有するユーザ端末１ｃは、ＲＡＭ１２ｃに展開されたプログラムをＣＰＵ１１ｃが解釈および実行することで、ユーザまたはユーザ端末１ｃの識別情報を管理サーバ１ｓに送信する識別情報送信部２１と、管理サーバ１ｓから制限モード定義情報を受信する制限モード定義情報受信部２２と、ユーザによる制限モ
ード定義情報の選択や制限モード有効化／無効化の指示を受け付ける受付部２３と、制限モード設定部２４と、次回起動時のログインユーザを、管理者権限を有さないユーザに設定する権限設定部２５と、制限モードが有効であるか否かを判定する判定部２６と、ＨＤＤ１３ｃにおける一部の領域を一時領域８２として確保する一時領域確保部２７と、選択された制限モード定義情報に含まれるソフトウェアを管理サーバ１ｓから受信するデータ受信部２８と、制限モード有効時にＨＤＤ１３ｃへの書き込みデータを一時領域８２に記録する一時領域記録部２９と、一時領域８２への記録の際の変換情報を蓄積する変換情報蓄積部３０と、ソフトウェアを一時領域８２から読み出して実行するソフトウェア実行部３１と、一時領域８２を含むＨＤＤ１３ｃに記録された情報を読み出す読出部３２と、管理サーバ１ｓへの接続のみを許可し、その他の接続を制限するパケットフィルタリングを行う接続制限部３３と、ダウンロードしたデータをＨＤＤ１３ｃに保存するデータ保存部３４と、管理サーバを認証するサーバ認証部３５と、を備えるユーザ端末１ｃとして機能する。
【００２６】
ここで、サービスとは、ユーザ端末１ｃまたはサービス提供サーバにおいて実行されるソフトウェアによって提供される機能である。サービスの提供の形態としては、ユーザ端末１ｃにダウンロードされたソフトウェアがユーザ端末１ｃによって実行されることでサービスが提供される形態や、サービス提供サーバにおいて主要な処理が行われ、ユーザ端末１ｃではサーバから受信した処理結果の表示を主に担うソフトウェアが実行される形態等が用いられてよい。
【００２７】
また、一時領域８２とは、ユーザ端末１ｃの起動または終了に際してＲＡＭ１２ｃに蓄積された変換情報が失われることで初期化されるＨＤＤ１３ｃにおける一部の領域である。一時領域記録部２９は、判定部２６によって制限モードが有効であると判定された場合に、オペレーティングシステムによるＨＤＤ１３ｃへの書き込みアクセスを横取り（フック）し、一時領域８２への書き込みアクセスへ変換することで、ＨＤＤ１３ｃに書き込まれようとしているデータを一時領域８２に記録する。そして、変換情報蓄積部３０は、変換された書き込みアクセスの変換前のアドレスと変換後のアドレスとの対応関係を示す変換情報を、ＲＡＭ１２ｃに蓄積する。
【００２８】
また、制限モードとは、ユーザ端末１ｃにおいてセキュリティを確保するための機能が有効となっている状態であり、セキュリティを確保しつつ様々な作業環境を提供するために、複数種類の制限モードが提供される。
【００２９】
管理サーバ１ｓの制限モード定義情報蓄積部４４は、識別情報に係る情報処理端末に所定の作業環境を構築するためのソフトウェアの組み合わせ、または識別情報に係るユーザに所定のサービスを提供するためのソフトウェアの組み合わせを含む、制限モード定義情報を蓄積する。
【００３０】
図３Ａおよび図３Ｂは、本実施形態におけるソフトウェア情報テーブル５０Ａ、５０Ｂの構成を示す図である。ソフトウェア情報テーブル５０Ａ、５０Ｂには、ソフトウェア蓄積部４６によって蓄積されたソフトウェアを識別するためのソフトウェア識別子５１と、ソフトウェア名称５２と、管理サーバ１ｓにおけるソフトウェア本体の保存位置を示すファイルパス５３と、を含むソフトウェア情報が蓄積される。なお、本実施形態において、ソフトウェア情報テーブル５０Ａには、残留防止の対象となるソフトウェア、即ち、ユーザ端末１ｃの利用終了後に、ユーザ端末１ｃのＨＤＤ１３ｃ上に残されないソフトウェアの情報が蓄積される。これに対して、ソフトウェア情報テーブル５０Ｂには、残留防止の対象とならないソフトウェア、例えば、オペレーティングシステムの更新ファイルや、セキュリティ対策ソフトウェアの更新ファイル、ウィルス定義ファイル等、セキュリティの観点上システムに残すことが好ましいソフトウェアの情報が蓄積される。
【００３１】
また、図４は、本実施形態における認証情報テーブル６０の構成を示す図である。認証情報テーブル６０には、認証を受けるユーザまたはユーザ端末１ｃを識別するための認証識別子６１と、認証識別子６１によって認証されるユーザまたは端末の名称６２と、認証に用いられるパスワード等が含まれる認証符号６３と、を含む認証情報が蓄積される。
【００３２】
図５は、本実施形態における制限モード定義情報テーブル７０の構成を示す図である。制限モード定義情報テーブル７０には、制限モード識別子７１と、制限モード名称７２と、この制限モードで使用が許可されるソフトウェアのソフトウェア識別子５１がリストされるソフトウェアリスト７３と、この制限モードの使用が許可されるユーザまたは端末の認証識別子６１がリストされる認証リスト７４と、この制限モードの使用が許可される期限を示す制限モード有効期限７５と、を含む制限モード定義情報が蓄積される。ユーザは、提示された複数種類の制限モード定義情報から、所望の制限モード定義情報を選択することで、この定義情報に応じた作業環境の提供を受けることが出来る。
【００３３】
図６は、本実施形態における記憶領域８０の構成を示す図である。ユーザ端末１ｃのＨＤＤ１３ｃ上に確保された記憶領域８０には、制限モードフラグ８１および一時領域８２が含まれ、制限モードフラグ８１には、制限モード設定部２４によって、制限モードが有効であることを示す値（例えば、「１」）、または制限モードが無効となっていることを示す値（例えば、「０」）が書き込まれる。また、一時領域８２は、制限モードが有効となっている間に、アドレス変換によってＨＤＤ１３ｃへの書き込みアクセスがリダイレクトされる領域である。即ち、制限モードが有効となっている間、原則としてデータは一時領域８２に記録される。
【００３４】
図７は、本実施形態におけるアドレス変換テーブル９０を示す図である。アドレス変換テーブル９０には、一時領域８２への書込み時の変換元アドレス９１と変換先アドレス９２との対応関係が蓄積される。アドレス変換テーブル９０に蓄積された情報は、一時領域８２からの情報の読み出し時に参照される。なお、本実施形態では、アドレス変換は、対応表を参照することで変換元アドレス９１に対応する変換先アドレス９２を取得することとしているが、これに代えて、変換元アドレス９１を所定の計算式を用いて変換することで、変換先アドレス９２を取得することとしてもよい。
【００３５】
図８は、本実施形態に係る制限モード定義情報を作成する処理の流れを示すフローチャートである。本フローチャートに示された処理は、管理サーバ１ｓまたは管理サーバ１ｓにログインした管理者端末１ａにおいて、管理者によって制限モード定義情報の作成開始を指示する入力が行われたことを契機として開始される。
【００３６】
ステップＳ１０１からステップＳ１０３では、制限モード定義情報を作成するにあたってユーザに選択させるための各種情報が読み出され、これらの情報が、管理サーバ１ｓまたは管理者端末１ａのディスプレイに表示される。管理サーバ１ｓは、予め準備されたソフトウェア情報をソフトウェア情報テーブル５０Ａ、５０Ｂから読み出し、認証情報を認証情報テーブル６０から読み出す。そして、管理サーバ１ｓは、読み出されたソフトウェア情報および認証情報を、管理サーバ１ｓに接続されたディスプレイ、または管理サーバ１ｓに接続された管理者端末１ａのディスプレイに表示する。
【００３７】
図９は、本実施形態においてディスプレイに表示される制限モード定義情報作成インターフェース１００のイメージを示す図である。制限モード定義情報作成インターフェース１００は、作成される制限モード定義情報に係る制限モードの名称が入力される名称入力欄１０１と、ステップＳ１０１で読み出されたソフトウェア情報が選択される選択可能ソフトウェア表示欄１０２と、選択された１または複数のソフトウェアが表示される選択済
みソフトウェア表示欄１０３と、選択したいソフトウェアを選択済みソフトウェアに追加する追加ボタン１０４ａと、選択済みソフトウェアを削除する削除ボタン１０４ｄと、ステップＳ１０２で読み出された認証情報が選択される選択可能認証情報表示欄１０５と、選択された１または複数の認証情報が表示される選択済み認証情報表示欄１０６と、選択したい認証情報を選択済み認証情報に追加する追加ボタン１０７ａと、選択済み認証情報を削除する削除ボタン１０７ｄと、作成される制限モード定義情報の有効期限を入力する有効期限入力欄１０８と、入力または選択内容を確定して新規制限モード定義情報を作成する新規作成ボタン１０９と、を有する。
【００３８】
ステップＳ１０４では、制限モード定義情報を作成するにあたって必要な情報の入力および選択が受け付けられる。管理サーバ１ｓは、ディスプレイに表示された制限モード定義情報作成インターフェース１００を介して行われる入力操作および選択操作を受け付けることで、制限モードの名称、ソフトウェア、認証情報および有効期限の入力または選択を受け付ける。
【００３９】
即ち、管理者は、制限モード定義情報を作成するにあたって、ディスプレイに表示された制限モード定義情報作成インターフェース１００を見ながら、キーボード、マウス等の入力装置を用いて、制限モードの名称の入力、ソフトウェアの選択、認証情報の選択、および有効期限の入力を行う。ここで、ソフトウェアおよび認証情報は、複数選択されてもよい。本実施形態では、ドロップダウンメニューを用いて表示されたソフトウェアまたは認証情報が、追加ボタン１０４ａ、１０７ａの押下によって選択状態となる。選択状態にある選択済みソフトウェア／認証情報は、選択済みソフトウェア／認証情報表示欄１０３、１０６に表示され、新規作成ボタン１０９の押下によって確定される。その後、処理はステップＳ１０５へ進む。
【００４０】
ステップＳ１０５では、制限モード定義情報が作成される。管理サーバ１ｓは、ステップＳ１０４で入力または選択された情報を、制限モード名称７２、ソフトウェアリスト７３、認証リスト７４および制限モード有効期限７５として含む制限モード定義情報を作成し、制限モード定義情報テーブル７０に蓄積する。この際、管理サーバ１ｓは、制限モード定義情報を識別するための一意の識別子を生成し、制限モード識別子７１として制限モード定義情報に保持させる。識別子は、例えば、作成日時等を含む識別子とすることが出来る。その後、本フローチャートに示された処理は終了する。
【００４１】
即ち、本フローチャートに示された処理によれば、管理者は、ユーザに提供したい作業環境および適用したいセキュリティに応じた制限モードを、簡易に作成することが出来る。なお、ここで制限モード定義情報の生成が成功した場合に、制限モード定義情報が正常に作成された旨をユーザに伝えるためのメッセージが表示されることとしてもよい。また、管理者は、制限モード定義情報を複数作成することが出来る。異なるソフトウェア識別子５１と認証識別子６１との組み合わせによる制限モード定義情報を生成しておくことで、ソフトウェアの選択および該ソフトウェアを利用できるユーザの限定を、制限モードを選択させるのみで行うことが出来る。
【００４２】
例えば、ファイルサーバへアクセスするためのソフトウェアと、アクセスを許可したいユーザを制限モード定義情報に設定しておくことで、限定されたユーザ間でのデータ共有が可能となる。
【００４３】
図１０Ａおよび図１０Ｂは、本実施形態における制限モード制御処理の流れを示すフローチャートである。本フローチャートに示された処理は、システムの起動に伴って開始される。なお、本フローチャートに示された処理では、制限モードフラグ８１が操作され、制限モードフラグ８１の状態に基づいて処理の流れが決定される。はじめに、起動時にお
いて制限モードフラグ８１が有効でない（または、無効である）場合の処理の流れについて説明する。なお、本実施形態では、ＯＳ等のシステムプログラムはＨＤＤ１３ｃより読み出されることとしているが、システムプログラムの少なくとも一部をＲＯＭ、ＤＶＤ等の書換不可能な記憶装置に記録しておき、システム起動時に毎回展開させることで、プログラムの改変を抑止してもよい。
【００４４】
ステップＳ２０１およびステップＳ２０２では、システムの起動処理および制限モードフラグ８１の判定が行われる。判定部２６は、システムの起動後、ＨＤＤ１３ｃに保存された制限モードフラグ８１を参照し、制限モードフラグ８１が制限モード有効を示す値に設定されているか否かを判定する。制限モードフラグ８１が制限モード有効を示す値に設定されていると判定された場合、処理はステップＳ２２１へ進み（図１０Ｂを参照）、以降、制限モードフラグ８１が無効に設定されるまで、システムは制限モードで動作する。制限モードフラグ８１が制限モード有効を示す値に設定されていない（または、無効を示す値に設定されている）と判定された場合、処理はステップＳ２０３へ進み、以降、制限モードフラグ８１が有効に設定されるまで、システムは非制限モードで動作する。
【００４５】
ステップＳ２０３およびステップＳ２０４では、認証情報に基づいた認証処理が行われる。ユーザ端末１ｃは、ユーザ端末１ｃのディスプレイ１６ｃに認証インターフェース（図示は省略する）を表示し、識別情報送信部２１は、このインターフェースを介してユーザによって入力された認証情報（例えば、ユーザ名称とパスワード等）を、管理サーバ１ｓへ送信する（ステップＳ２０３）。管理サーバ１ｓの識別情報受信部４２は、送信された認証情報を、ネットワーク２を介して受信し、端末認証部４１は、受信された認証情報と予め認証情報テーブル６０に保持されている認証情報とを比較することで、ユーザ端末１ｃまたはユーザ端末１ｃを使用しているユーザを認証する（ステップＳ２０４）。
【００４６】
より具体的には、管理サーバ１ｓの端末認証部４１が、受信された認証情報に含まれるユーザまたは端末の名称６２または認証識別子６１を検索キーとして認証情報テーブル６０を検索し、抽出された認証情報の認証符号６３と受信された認証情報に含まれるパスワード等を比較することで、認証が行われる。なお、本実施形態では、ユーザによって入力された認証情報を送信することとしているが、これに代えて、予め設定された認証情報が、ユーザ端末１ｃの起動時に自動的に送信されることとしてもよい。その後、処理はステップＳ２０５へ進む。なお、認証処理は、ワンタイムパスワードや、秘密鍵と公開鍵を用いた認証処理等、実施の形態に応じて採用された認証プロトコルを用いた認証処理であってよい。
【００４７】
ステップＳ２０５からステップＳ２０７では、制限モード定義情報の送受信が行われる。管理サーバ１ｓの制限モード定義情報送信部４３は、ステップＳ２０４で認証されたユーザまたはユーザ端末１ｃの認証識別子６１を検索キーとして制限モード定義情報テーブル７０を検索することで、認証に係る制限モード定義情報を抽出する（ステップＳ２０５）。ここで、制限モード定義情報送信部４３は、管理サーバ１ｓの内蔵時計（図示は省略する）に基づく日時情報と、制限モード定義情報に含まれる有効期限７５とを比較し、有効期限を超過している（期限切れの）制限モード定義情報は、抽出の結果に含ませない。そして、制限モード定義情報送信部４３は、抽出された制限モード定義情報をユーザ端末１ｃへ送信し（ステップＳ２０６）、ユーザ端末１ｃの制限モード定義情報受信部２２は、ネットワーク２を介して制限モード定義情報を受信する（ステップＳ２０７）。その後、処理はステップＳ２０８へ進む。
【００４８】
ステップＳ２０８では、ステップＳ２０７で受信された制限モード定義情報が複数あるか否かが判定される。複数の制限モード定義情報が受信されたと判定された場合、処理はステップＳ２０９へ進む。受信された制限モード定義情報が複数ではない（単一である）
と判定された場合、処理はステップＳ２１０へ進む。
【００４９】
ステップＳ２０９では、受信された制限モード定義情報が複数ある場合に、ユーザによる選択が受け付けられる。受付部２３は、受信された複数の制限モード定義情報に基づいて、複数の制限モード定義情報のうち、このユーザ端末１ｃに提供する制限モード定義情報をユーザに選択させるための制限モード定義情報選択インターフェース１１０をディスプレイ１６ｃに表示する。
【００５０】
図１１は、本実施形態においてディスプレイ１６ｃに表示される制限モード定義情報選択インターフェース１１０のイメージを示す図である。制限モード定義情報選択インターフェース１１０は、ユーザに対する制限モードについての説明を含むメッセージ表示欄１１１と、制限モード名称７２および有効期限７５が表示される制限モード選択ボタン１１２と、を有する。マウス１８ｃ等の入力装置を用いてユーザは制限モード選択ボタン１１２をクリックすることで、所望の制限モードを選択することが出来る。受付部２３は、制限モード定義情報インターフェースを介して、ユーザによる制限モード定義情報の選択を受け付ける。その後、処理はステップＳ２１０へ進む。
【００５１】
ステップＳ２１０では、ソフトウェア識別子５１が送信される。ユーザ端末１ｃのデータ受信部２８は、制限モード定義情報のソフトウェアリスト７３に含まれるソフトウェアのうち、残留防止の対象とならないソフトウェア、即ち、制限モードが有効であるか否かに拘らずユーザ端末１ｃのＨＤＤ１３ｃ上に残されるべきソフトウェアの識別子を送信する。ここで、残留防止とは、データを一時領域８２へ記録することで、端末へのデータの残留を防止することをいう。残留防止の対象とならないソフトウェアとは、例えば、オペレーティングシステムの更新ファイルや、セキュリティ対策ソフトウェアの更新ファイル、ウィルス定義ファイル等、セキュリティの観点上システムに残すことが好ましいソフトウェアである。これらの残留防止の対象とならないソフトウェアを識別する方法としては、本実施形態における、残留防止の対象とならないソフトウェアの情報が蓄積されるソフトウェア情報テーブル５０Ｂを用いる方法の他に、予めユーザ端末１ｃにおいて設定しておく方法や、管理サーバ１ｓに保持されるソフトウェア情報や制限モード定義情報に残留防止の対象とするか否かを判別するためのフラグを含ませる方法等が採用されてよい。その後、処理はステップＳ２１１へ進む。
【００５２】
ステップＳ２１１およびステップＳ２１２では、管理サーバ１ｓによってソフトウェア識別子５１が受信され、ソフトウェア本体が送信される。管理サーバ１ｓのデータ送信部４５は、ユーザ端末１ｃより送信されたソフトウェア識別子５１を受信し（ステップＳ２１１）、受信されたソフトウェア識別子５１を検索キーとしてソフトウェア情報テーブル５０Ｂを検索することで、ユーザ端末１ｃより要求されたソフトウェアの本体が保存されている場所（ここでは、管理サーバ１ｓにおけるファイルパス５３）を取得する。そして、ソフトウェア蓄積部４６によって蓄積されているソフトウェア本体を読み出し、ユーザ端末１ｃへ送信する（ステップＳ２１２）。その後、処理はステップＳ２１３へ進む。
【００５３】
ステップＳ２１３では、ソフトウェア本体が受信される。ユーザ端末１ｃのデータ受信部２８は、管理サーバ１ｓから送信されたソフトウェアを受信し、ＨＤＤ１３ｃに保存する。なお、ここで受信されたソフトウェアが保存されるＨＤＤ１３ｃ上の領域は、残留防止のために用いられる一時領域８２ではない。その後、処理はステップＳ２１４へ進む。
【００５４】
ステップＳ２１４およびステップＳ２１５では、制限モードフラグ８１が設定され、制限モード定義情報が保存される。制限モード設定部２４は、ＨＤＤ１３ｃ上の制限モードフラグ８１に、制限モードが有効であることを示す値を設定し（ステップＳ２１４）、ＨＤＤ１３ｃに、ステップＳ２０９で選択された制限モード定義情報（ステップＳ２０７で
受信された制限モード定義情報が１つであった場合には、その制限モード定義情報）を保存する（ステップＳ２１５）。即ち、これらのステップでは、ユーザ端末１ｃの再起動後に用いる情報が、不揮発性記憶装置であるＨＤＤ１３ｃに記録される。これによって、ユーザ端末１ｃの再起動後も制限モードが継続され、また、再起動後に参照される制限モード定義情報が維持される。その後、処理はステップＳ２１６へ進む。
【００５５】
ステップＳ２１６およびステップＳ２１７では、ユーザ端末１ｃのオペレーティングシステムにおけるユーザ権限が変更され、ユーザ端末１ｃが再起動される。権限設定部２５は、次回起動時のユーザが、ユーザ端末１ｃへのソフトウェアのインストールやシステムへの変更を行う権限を有さないユーザ（以降、「制限ユーザ」と称する）となるように、オペレーティングシステムの設定を強制的に変更する（ステップＳ２１６）。より具体的には、権限設定部２５は、ユーザ端末１ｃのオペレーティングシステム起動用設定ファイル（レジストリ等）内のオペレーティングシステム起動時ログインユーザを、管理者権限を持たない制限ユーザへ強制的に書き換える。その後、システムの再起動が開始され（ステップＳ２１７）、本フローチャートに示された処理は終了する。
【００５６】
システムが再起動すると、再びステップＳ２０１からの処理が実行される。再起動したシステムは、制限ユーザで動作する。また、制限モードフラグ８１はステップＳ２１４で制限モードに設定されているため、ステップＳ２０２における判定処理では、制限モードフラグ８１が制限モード有効を示す値に設定されていると判定される。
【００５７】
次に、図１０Ｂを参照して、ステップＳ２０２で制限モードフラグ８１が制限モード有効を示す値に設定されていると判定された場合の以降の処理の流れ、即ちシステムが制限モードで動作する場合の処理の流れを説明する。
【００５８】
ステップＳ２２１では、残留防止機能が有効化される。ユーザ端末１ｃの一時領域確保部２７は、ステップＳ２０２で制限モードフラグ８１が有効であると判断されたことを受けて、ＲＡＭ１２ｃ上の残留防止機能フラグに残留防止機能が有効であることを示す値を設定し、一時領域８２の確保および初期化を行うことで、残留防止機能を有効化する。残留防止機能フラグは、後述する残留防止処理において参照されることで、残留防止機能が有効であるか無効であるかを判定するための基準となる。また、一時領域８２は、一時領域８２のアドレスの書き込みアドレスを示すポインタを一時領域８２（図６を参照）の先頭アドレスとすることで初期化される。その後、処理はステップＳ２２２へ進む。
【００５９】
ステップＳ２２２では、ソフトウェア識別子５１が送信される。ユーザ端末１ｃのデータ受信部２８は、ステップＳ２１５でＨＤＤ１３ｃに保存された制限モード定義情報のソフトウェアリスト７３に含まれるソフトウェアのうち、残留防止の対象となるソフトウェア、即ち、ユーザ端末１ｃの利用終了後に、ユーザ端末１ｃのＨＤＤ１３ｃ上に残されないソフトウェアの識別子を送信する。残留防止の対象となるソフトウェアを識別する方法としては、本実施形態における、残留防止の対象となるソフトウェアの情報が蓄積されるソフトウェア情報テーブル５０Ａを用いる方法の他に、予めユーザ端末１ｃにおいて設定しておく方法や、管理サーバ１ｓに保持されるソフトウェア情報や制限モード定義情報に残留防止の対象とするか否かを判別するためのフラグを含ませる方法等が採用されてよい。その後、処理はステップＳ２２３へ進む。
【００６０】
ステップＳ２２３およびステップＳ２２４では、管理サーバ１ｓによってソフトウェア識別子５１が受信され、ソフトウェア本体が送信される。処理の詳細はステップＳ２１１およびステップＳ２１２と概略同様であるため、説明を省略する。その後、処理はステップＳ２２５へ進む。
【００６１】
ステップＳ２２５では、ソフトウェア本体が受信される。ユーザ端末１ｃのデータ受信部２８は、管理サーバ１ｓから送信されたソフトウェア本体を受信し、ステップＳ２２１で初期化された一時領域８２に保存する。即ち、ここで受信されたソフトウェア本体は、ユーザ端末１ｃの使用終了時または再起動時に、ユーザ端末１ｃから失われる。その後、処理はステップＳ２２６へ進む。
【００６２】
ステップＳ２２６およびステップＳ２２７では、ソフトウェアが起動され、制限モード離脱インターフェース１２０が表示される。ユーザ端末１ｃのソフトウェア実行部３１は、ステップＳ２１３およびステップＳ２２５で受信しＨＤＤ１３ｃに記録したソフトウェア本体を、ＲＡＭ１２ｃに読み出し、ＣＰＵ１１ｃに実行させることでソフトウェアを起動する（ステップＳ２２６）。即ち、この時点で、ソフトウェアの機能が情報処理端末を使用するユーザに提供され、ユーザはユーザ端末１ｃにおいて動作する各種ソフトウェアを用いて作業を行うことが可能となる。そして、ユーザ端末１ｃは、ユーザが制限モードでの作業を終了する際の終了操作を受け付けるための制限モード離脱インターフェース１２０をディスプレイ１６ｃに表示する（ステップＳ２２７）。その後、本フローチャートに示された処理は終了する。なお、制限モード離脱インターフェース１２０を起動するためのソフトウェアは、ソフトウェア情報テーブル５０Ａに登録され、ステップＳ２２５で受信されるソフトウェアであってもよい（以下、制限モード離脱インターフェース１２０を表示させるためのソフトウェアを「離脱インターフェース提供ソフトウェア」と称する）。この場合、制限モード離脱インターフェース１２０は、ステップＳ２２６のソフトウェア起動処理において表示されるため、ステップＳ２２７の処理は不要となる。また、この場合、離脱インターフェース提供ソフトウェアは一時領域８２に記録され、ユーザ端末１ｃに残らない。このため、離脱インターフェース提供ソフトウェアを制限モード定義情報テーブル７０に登録するタイミングを調整することで、管理者は、制限モードから離脱可能な時期をコントロールすることが出来る。より具体的には、管理者は、ユーザ端末を常に制限モードで動作させたい時期には制限モード定義情報テーブル７０に離脱インターフェース提供ソフトウェアを登録しないことで、ユーザの故意または過失による不要な制限モード離脱や環境変更等を防止することが出来る。
【００６３】
図１２は、本実施形態においてディスプレイ１６ｃに表示される制限モード離脱インターフェース１２０のイメージを示す図である。制限モード離脱インターフェース１２０は、現在ユーザ端末１ｃのシステムが制限モードで動作していることを通知するメッセージ１２１と、非制限モードへ復帰する（制限モードを離脱する）ことを指示するための復帰ボタン１２２と、を有する。ユーザは、ユーザ端末１ｃに備えられたポインティングデバイス等の入力装置を操作して、復帰ボタン１２２をクリックすることで、制限モードでの作業を終了し、非制限モードへ移行することの指示を行う。
【００６４】
ステップＳ２２６におけるソフトウェアの起動以降、ユーザによる復帰ボタン１２２のクリックが検知されるまで、ユーザ端末１ｃは制限モード下で動作し、ユーザは、ユーザ端末１ｃにおいて起動された各種ソフトウェアを用いて作業を行うことが可能である。そして、本実施形態によれば、ユーザ端末１ｃのＯＳが制限ユーザで動作し、且つ残留防止機能が動作していることによって、ユーザによるソフトウェアのインストールやシステムへの変更が制限され、更に、作成または変更したデータが再起動後にＨＤＤ１３ｃに残留することが制限される。
【００６５】
図１３は、本実施形態における非制限モード移行処理の流れを示すフローチャートである。本フローチャートに示された処理は、ユーザによる非制限モードへの移行指示が検知されたことを契機として開始される。ユーザ端末１ｃは、上記制限モード離脱インターフェース１２０を介したユーザ操作に基づく非制限モードへの移行指示を受け付け（ステップＳ３０１）、ＨＤＤ１３ｃ上の制限モードフラグ８１に、制限モードが無効であること
を示す値を設定する（ステップＳ３０２）。なお、制限モードフラグ８１への書き込みについては、残留防止機能によるアドレス変換が行われない。具体的には、後述する残留防止処理において、一時領域記録部２９は、書き込みアドレスが制限モードフラグ８１を示すアドレスである場合のみ、アドレス変換を行わずにＨＤＤ１３ｃへ書き込む。このようにすることで、残留防止機能が有効となっている状態でも、制限モードからの離脱を行うことを可能としている。
【００６６】
その後、ユーザ端末１ｃは再起動し（ステップＳ３０３）、上記ステップＳ２０１からの処理が実行される。このとき、ステップＳ２０２において制限モードフラグ８１が有効を示す値に設定されていないと判定されるため、処理はステップＳ２０３へ進み、以降、制限モードフラグ８１が有効に設定されるまで、システムは非制限モードで動作する。
【００６７】
なお、制限モードでは、ユーザが管理者権限を有さないユーザに変更されているが（ステップＳ２１６を参照）、ユーザ設定は、制限モード離脱後の再起動後に、ユーザ操作によって、または自動的に、変更前のユーザに戻されることとしてもよい。
【００６８】
図１４は、本実施形態における残留防止処理の流れを示すフローチャートである。本フローチャートに示された処理は、ＯＳによる、ＨＤＤ１３ｃからの読出アクセス、またはＨＤＤ１３ｃへの書込アクセスが発生したことを契機として開始される。
【００６９】
ステップＳ４０１およびステップＳ４０２では、ＯＳによるＨＤＤアクセスが横取りされ（フックされ）、残留防止機能フラグが有効に設定されているか否かが判定される。ユーザ端末１ｃの一時領域記録部２９は、ＯＳによるＨＤＤアクセスが発生すると、このアクセスを横取りし、ＲＡＭ１２ｃ上の残留防止機能フラグを参照する。ここで、残留防止機能フラグに残留防止機能が有効であることを示す値が設定されている場合、処理はステップＳ４０４へ進む。残留防止機能フラグに残留防止機能が有効であることを示す値が設定されていない場合、処理はステップＳ４０３へ進む。
【００７０】
ステップＳ４０３では、ＨＤＤ１３ｃへのアクセスが行われる。残留防止機能が有効でないため、一時領域記録部２９は、ＨＤＤ１３ｃへの通常の読出または書込アクセスを許可する。ここで読出または書込が行われるＨＤＤ１３ｃ上の領域は、一時領域８２以外の領域である。例えば、上述したステップＳ２１３において受信されたソフトウェア本体（オペレーティングシステムの更新ファイルや、セキュリティ対策ソフトウェアの更新ファイル、ウィルス定義ファイル等）のＨＤＤ１３ｃへの書込み処理は、残留防止機能が有効でない状態で行われるため、本ステップの処理に従って行われる。本ステップでＨＤＤ１３ｃに書込みされたデータは、制限モードの終了処理やユーザ端末１ｃの再起動によっても失われないため、システムの更新ファイル等、制限モードの有効無効に拘らず失われないことが好ましいデータは、残留防止機能フラグが有効となっていない状態でＨＤＤ１３ｃに書込みされることが好ましい。その後、本フローチャートに示された処理は終了する。
【００７１】
ステップＳ４０４では、アクセスの種類が判定される。一時領域記録部２９は、残留防止機能フラグが有効である場合、横取りされたアクセスの種類が書込みアクセスであるか否かを判定する。アクセスの種類が書込みアクセスである場合、処理はステップＳ４０５へ進む。アクセスの種類が書込みアクセスでない場合、処理はステップＳ４０７へ進む。
【００７２】
ステップＳ４０５およびステップＳ４０６では、一時領域８２への書込みが行われ、アドレス変換テーブル９０が更新される。一時領域記録部２９は、ＨＤＤ１３ｃ上に確保された一時領域８２のうち、書込アドレスポインタが示す書込みアドレスに、横取りされた書込アクセスに係るデータを記録する（ステップＳ４０５）。そして、変換情報蓄積部３
０は、横取りされた書込みアクセスにおいてＯＳが示していた書込み先アドレス（変換元アドレス９１）と、実際にデータが書き込みされたアドレス（変換先アドレス９２）と、を関連付けてＲＡＭ１２ｃ上のアドレス変換テーブル９０に蓄積する（ステップＳ４０６）。ここで、変換先アドレス９２は、一時領域８２への書込み時に、書込アドレスポインタが示していたアドレスである。更に、一時領域記録部２９は、書き込みされたデータのサイズに従って、書込アドレスポインタを更新する。その後、本フローチャートに示された処理は終了する。
【００７３】
ステップＳ４０７からステップＳ４０９に示された処理は、残留防止機能が有効である場合の、ＨＤＤ１３ｃからの読出アクセス処理である。読出部３２は、オペレーティングシステムより横取りされた読出アクセスの読出アドレスに基づいてアドレス変換テーブル９０を検索することで、この読出しアドレスが、アドレス変換テーブル９０の変換元アドレス９１として登録されているか否か、即ち、オペレーティングシステムから要求されたデータが、一時領域８２に記録されているか否かを判定する（ステップＳ４０７）。ＯＳの示すアドレスがアドレス変換テーブル９０から抽出された場合、処理はステップＳ４０８へ進む。ＯＳの示すアドレスがアドレス変換テーブル９０から抽出されない場合、処理はステップＳ４０９へ進む。
【００７４】
ステップＳ４０８では、データが一時領域８２から読み出される。読出部３２は、ＯＳより要求されたデータを、ステップＳ４０７で抽出された変換先アドレス９２にアクセスすることで読み出す。即ち、本フローチャートに示す処理によれば、データの書込みおよび読出しが一時領域８２に対して行われていることをＯＳに意識させることなく、一時領域８２に対するデータの書込みおよび読出しを行うことができる。その後、本フローチャートに示された処理は終了する。
【００７５】
ステップＳ４０９では、データがＨＤＤ１３ｃから読み出される。読出部３２は、ＯＳより要求されたデータを、ＯＳより指示された読出アドレスにアクセスすることで読み出す。本ステップに係る読出し処理が行われるのは、制限モード下で記録されたデータを除くデータの読出し要求が行われた際である。その後、本フローチャートに示された処理は終了する。
【００７６】
ＯＳのＨＤＤ書込アクセスにおける書込先を一時領域８２に変換するためのアドレス変換テーブル９０は、ＲＡＭ１２ｃ上に確保されているため、再起動によって失われる。即ち、制限モード中にＨＤＤ１３ｃに書き込まれた情報は、再起動後に、記録位置（アドレス）が失われることによって、アクセス困難となる。このため、制限モード下で万一ウィルスに感染する、不適切なソフトウェアがインストールされる等の事態が発生した場合であっても、再起動後にＯＳはこれらのソフトウェアにアクセスすることが出来ず、システムは安全な状態に保たれる。更に、一時領域８２の書き込みアドレスを示すポインタが一時領域８２の先頭に初期化されることで（ステップＳ２２１）、既に一時領域８２に書き込まれた情報は、以降の一時領域８２への書き込みで上書きされ、ＨＤＤ１３ｃから書き込まれた情報自体を消すことができる。
【００７７】
なお、ＯＳのファイル管理テーブルを参照せずにＨＤＤ１３ｃ上の情報を直接参照する等の方法で制限モード下において書き込まれた情報が取得されてしまうことを防止するために、制限モード下でＨＤＤ１３ｃに書き込まれる情報を暗号化する方法や、制限モード下でＨＤＤ１３ｃに書き込まれた情報をランダムな情報で上書きする方法等が採られてもよい。
【００７８】
より具体的には、一時領域８２へ書き込まれる情報を暗号化し、一時領域８２から読み出される情報を復号する暗号処理部（図示は省略する）を介することで、鍵情報が設定さ
れた暗号処理部を介さずにＨＤＤ１３ｃ上の情報を直接参照する方法では情報の内容を知ることが出来ないようにすることが可能である。このとき、暗号化に用いられる暗号鍵は、ユーザによって管理されてもよいし、制限モードに移行するごとに自動生成され、制限モード終了時に破棄されることとしてもよい。制限モード移行ごとに自動生成して制限モード終了時に破棄する方法によれば、ユーザは暗号鍵の管理を意識する必要が無く、制限モード離脱時には制限モード下で一時領域８２に書き込まれた情報の取得を非常に困難にすることが可能である。
【００７９】
本実施形態にかかる情報処理端末および管理サーバ１ｓによれば、ＯＳに対して機能制限を行い、プログラムおよびデータを囲い込む一時領域８２を用いることで、高いセキュリティを実現し、更に、仮想マシン手法やシンクライアント手法に比べて仮想化やＯＳのダウンロード等に伴うリソース消費を抑制することで、高いセキュリティと高速なオーバーヘッドとを両立させることが可能である。より具体的には、本実施形態によれば、管理者が用意すべきイメージは、管理サーバ１ｓに蓄積されるソフトウェアのイメージのみである。このため、本実施形態に係るシステムは、ソフトウェアのイメージに加えてＯＳのイメージを用意する必要がある仮想マシン手法やシンクライアント手法に比べて、記憶領域や帯域等のリソース面、ＯＳの設定に必要な負荷の面で有利である。また、仮想マシン処理を介さないため、仮想マシン手法に比べて処理も軽く、快適な作業環境を用意に構築することが可能である。特に、一時領域８２は断片化されていない連続的記憶領域であるため、本実施形態の制限モードは、断片化されたＨＤＤにアクセスする一般の環境に比べても、全体として高速に動作する。
【００８０】
上記説明したユーザ端末管理システムによれば、ユーザ端末１ｃのＨＤＤ１３ｃに残るデータを管理し、ユーザ端末１ｃにおいて実行されるソフトウェアを管理することで、簡易な管理で高度なセキュリティを提供することが出来る。しかし、上記したユーザ端末１ｃは、残留防止機能を備えるために、残留防止機能を有効にしたままでは、ソフトウェアの更新データやセキュリティ対策ソフトウェアの定義ファイル等、継続的にユーザ端末１ｃに残されるべきデータをＨＤＤ１３ｃに残すことが困難である。また、残留防止機能を単純に無効化するのみでは、ユーザ端末１ｃのセキュリティを確保することが出来ない。この問題を解決するために、本実施形態では、残留防止機能の状態に応じて有効化または無効化される接続制限部３３を採用した。以下、図１５および図１６を用いて説明する。
【００８１】
図１５は、本実施形態に係るパケットフィルタリング機能の起動処理の流れを示すフローチャートである。本フローチャートに示された処理は、システムの起動に伴って開始される。即ち、本フローチャートに示された処理は、図１０Ａおよび図１０ＢのステップＳ２０１以降に示した処理や、後述する図１６に示す処理のバックグラウンドで実行される処理である。
【００８２】
ステップＳ５０１およびステップＳ５０２では、システムの起動処理およびパケットフィルタリング機能（本実施形態では、所謂クライアントファイアウォールアプリケーションが用いられる）の起動処理が行われる。接続制限部３３は、システムの起動後（ステップＳ５０１）、システムにインストールされているクライアントファイアウォールアプリケーションを起動させることで、パケットフィルタリングを開始する（ステップＳ５０２）。なお、本実施形態におけるクライアントファイアウォールアプリケーションは、上記説明した残留防止機能を実行するためのプログラムとは別個のプログラムとして提供されてもよいし、一体のプログラムとして提供されてもよい。また、本実施形態において用いられるパケットフィルタリング機能は、ポート番号や接続先アドレスを参照することで接続を制限するものであるが、システムにインストールされたアプリケーションごとに接続の可否を決定する機能を更に備えていても良いし、具体的な接続制限に用いられる手法はアドレスやポート番号を用いない手法であってもよい。
【００８３】
本実施形態において用いられるパケットフィルタリング機能は、管理サーバ１ｓへの接続のみを許可し、その他の一切の接続を制限する。即ち、具体的には、本実施形態に係るパケットフィルタリング機能は、予め設定された管理サーバ１ｓのアドレスのみを許可アドレスとして設定し、その他のアドレスを拒否アドレスとして設定することで、管理サーバ１ｓとの接続のみを許可する。換言すると、原則としてアウトバウンド接続／インバウンド接続の何れであるかに拘らず全ての接続を拒否し、例外的に管理サーバ１ｓへの接続、および管理サーバ１ｓからの接続のみを許可する。なお、ポート番号についても、管理サーバ１ｓとの通信に用いられるポート番号のみに制限されてよい。その後、処理はステップＳ５０３へ進む。
【００８４】
ステップＳ５０３およびステップＳ５０４では、セキュリティ状態の確認処理が行われ、ユーザ端末１ｃが、所定のセキュリティポリシーを満足しているか否かが判定される。接続制限部３３は、ユーザ端末１ｃの現在のセキュリティ状態を確認するために、ユーザ端末１ｃ上で動作するオペレーティングシステムをはじめとするソフトウェアのバージョン情報や更新日時情報、制限モードの状態を示す情報、セキュリティ対策ソフトウェアによって参照される定義ファイル（ウィルス定義ファイルの他、攻撃パターン定義ファイル、迷惑メール定義ファイル等も含まれる）のバージョン情報や更新日時情報、ユーザ端末１ｃで動作中のプロセス、ＨＤＤ１３ｃに記録されているファイル、ＯＳやアプリケーションの設定内容等、セキュリティポリシーを満足しているか否かを判定するために必要な情報を、予め指定された参照箇所を参照することで取得する（ステップＳ５０３）。例えば、制限モードの状態は、制限モードフラグ８１を参照することで取得することが出来る。
【００８５】
接続制限部３３は、ユーザ端末１ｃの現在の状態がセキュリティポリシーを満足しているか否かを判定するために必要な情報が取得されると、取得されたこれらの情報を、予め設定されたセキュリティポリシーと比較することで、所定のセキュリティポリシーが満たされているか否かを判定する（ステップＳ５０４）。本実施形態では、セキュリティポリシーとして、制限モードが有効となっていること、定義ファイルの最終更新日時が所定の期間内（例えば、３日以内）であること、規定の常駐プロセス（例えば、セキュリティ対策ソフトウェアのウィルス監視プロセス）が起動していること、規定のファイル（例えば、最新のパッチに含まれるファイル）が存在していること、および、規定のシステム設定内容（Ｗｉｎｄｏｗｓ（登録商標）ＯＳにおけるレジストリに相当する）が存在していること、が定められている。そして、ステップＳ５０３で取得された実際のシステムの状態と、これらのセキュリティポリシーとが比較されることで、所定のセキュリティポリシーが満足されているか否かが判定される。所定のセキュリティポリシーが満足されていると判定された場合、処理はステップＳ５０５へ進む。所定のセキュリティポリシーが満足されていないと判定された場合、処理はステップＳ５０２へ進む。
【００８６】
即ち、ステップＳ５０４において、所定のセキュリティポリシーが満足されていないと判定された場合、クライアントファイアウォールのパケットフィルタリング処理が継続または再開される。このようにすることで、本実施形態に係るユーザ端末１ｃは、所定のセキュリティポリシーが充足されるまでは、管理サーバ１ｓ以外への接続が一切許可されない厳格な接続制限を行うこととしている。
【００８７】
ステップＳ５０５では、パケットフィルタリング機能による接続制限が解除される。接続制限部３３は、ステップＳ５０４において、所定のセキュリティポリシーが満足されていると判定されると、ステップＳ５０２で起動されたクライアントファイアウォールのパケットフィルタリング処理を停止する。即ち、これ以降、ユーザ端末１ｃは、管理サーバ１ｓ以外の端末およびサーバとの通信を行うことが可能となる。ステップＳ５０４におい
て、所定のセキュリティポリシーとして、制限モードが有効となっていることが確認されているため、管理サーバ１ｓ以外への接続を許可しても、これ以降新たにダウンロード等されたデータは残留防止の対象となり、ＨＤＤ１３ｃに残らない。
【００８８】
なお、所定のセキュリティポリシーが満足され、ステップＳ５０５におけるパケットフィルタリングの解除が行われた場合にも、クライアントファイアウォールアプリケーションの実行は継続されて良い。但し、セキュリティポリシーが満足されていることが確認された後（ステップＳ５０５以降）におけるクライアントファイアウォールアプリケーションの実行は、主に悪意ある接続や不適切な接続を遮断するためのものであり、接続先が管理サーバ１ｓのみに限定されその他の一切の接続が遮断されるステップＳ５０２のパケットフィルタリングとは異なる。
【００８９】
また、ステップＳ５０５におけるパケットフィルタリングの解除処理が終了すると、その後処理はステップＳ５０３へ進む。即ち、本フローチャートに示された処理では、セキュリティポリシーが満足されて管理サーバ１ｓ以外との通信が可能となった後も、セキュリティポリシーの状態が常に監視され、セキュリティポリシーが充足されない状態となると、即座にパケットフィルタリングが有効となり、管理サーバ１ｓ以外との通信が制限される。より具体的には、図１６を用いて後述するソフトウェア更新処理において、ＨＤＤ１３ｃへのファイル保存のために制限モードが無効化されるかまたは残留防止機能が無効化されると、即座に管理サーバ１ｓ以外との通信が制限され、安全にソフトウェアの更新を行うことを可能としている。
【００９０】
即ち、本フローチャートに示す処理によれば、制限モードの有効化を含む所定のセキュリティポリシーが満足されていない間、上記説明したパケットフィルタリング処理が行われることで、ユーザ端末１ｃは、ステップＳ２０１からステップＳ２１７において説明した、制限モードによる残留防止機能が有効となっていない間（特に、ステップＳ２１０からステップＳ２１３において説明した、制限モードが有効であるか否かに拘らずユーザ端末１ｃのＨＤＤ１３ｃ上に残されるべきソフトウェアのダウンロード処理）のセキュリティや、図１６を用いて後述するソフトウェア更新処理の間のセキュリティを確保することが出来る。
【００９１】
本実施形態では、更に、以下に説明する処理が実行されることで、オペレーティングシステムやセキュリティ対策ソフトウェアの更新等、ユーザ端末１ｃのＨＤＤ１３ｃ上に残されるべきデータのダウンロードを、安全性を保った状態で行うことが出来る。
【００９２】
図１６は、本実施形態におけるソフトウェア更新処理の流れを示すフローチャートである。本フローチャートに示された処理は、ユーザ端末１ｃが起動して残留防止機能が有効化された状態で動作している最中、即ち、図１０Ｂに示されたステップＳ２２１以降、非制限モードへの移行指示を受け付ける（ステップＳ３０１）までの間に実行される。
【００９３】
ステップＳ６０１では、認証された管理サーバ１ｓに対して、更新ファイルの確認要求が送信される。ユーザ端末１ｃにインストールされて実行されているオペレーティングシステムやセキュリティ対策ソフトウェア等は、ステップＳ２０３およびステップＳ２０４の処理において認証された管理サーバ１ｓに対して、オペレーティングシステムの更新ファイルや、セキュリティ対策ソフトウェアの更新ファイル、ウィルス定義ファイル等が存在するか否かを問い合わせる。通常、このような更新情報の問い合わせは、ソフトウェアごとに指定されたサーバに対して行われるが、本実施形態では、各ソフトウェアの設定変更や、Ｗｅｂアクセスの際の代理（プロキシ）サーバとして管理サーバ１ｓを指定する等の設定をシステムに行うことで、更新情報の問い合わせが全て管理サーバ１ｓへ送信されるように設定されている。その後、処理はステップＳ６０２へ進む。
【００９４】
ステップＳ６０２からステップＳ６０４では、更新ファイルの確認要求が受信された管理サーバ１ｓによって、更新ファイルの確認および通知が行われる。管理サーバ１ｓは、ステップＳ６０１でユーザ端末１ｃによって送信された更新ファイルの確認要求を受信する（ステップＳ６０２）。そして、管理サーバ１ｓは、受信された確認要求に従って、管理サーバ１ｓ自身によって保持されている各種ソフトウェア更新情報を参照するか、または各種ソフトウェアの更新情報を保持するＯＳ更新ファイル配布サーバ９１やセキュリティ対策ソフトウェア更新ファイル配布サーバ９２等の外部端末へ問い合わせを行うことで、更新ファイルが存在するか否かの確認を行う（ステップＳ６０３）。確認要求を受けたソフトウェアについての更新ファイルの有無が確認されると、管理サーバ１ｓは、確認の結果をユーザ端末１ｃへ送信する（ステップＳ６０４）。その後、処理はステップＳ６０５へ進む。
【００９５】
ステップＳ６０５およびステップＳ６０６では、ユーザ端末１ｃによって、更新ファイル通知が受信され、更新ファイルの有無が判定される。ユーザ端末１ｃは、ステップＳ６０４で管理サーバ１ｓが送信した更新ファイルの確認結果を受信し（ステップＳ６０５）、受信した確認結果の内容を参照することで更新ファイルの有無を確認する（ステップＳ６０６）。更新ファイルが存在すると判定された場合、処理はステップＳ６０７へ進む。更新ファイルが存在しないと判定された場合、本フローチャートに示された処理は終了する。即ち、更新ファイルが存在しないと判定された場合、ユーザはユーザ端末１ｃにおいて動作する各種ソフトウェアを用いて、引き続き作業を行うことが出来る。
【００９６】
ステップＳ６０７では、メンテナンスモードへの移行を確認するメンテナンスモード移行インターフェースが表示され、入力内容が判定される。受付部２３は、ユーザに対して、ソフトウェアの更新のために、作業を中断してメンテナンスモードへ移行するか否かを問い合わせるメッセージと、ユーザによる了承またはキャンセルの選択を受け付けるボタンとを含むメンテナンスモード移行インターフェース（図示は省略する）を、ディスプレイ１６ｃに表示し、ユーザの選択入力を受け付ける。ユーザによる選択が、メンテナンスモードへの移行を了承する内容である場合、処理はステップＳ６０８へ進む。ユーザによる選択が、メンテナンスモードへの移行を了承しない内容（キャンセル等）である場合、本フローチャートに示された処理は終了し、ユーザはユーザ端末１ｃにおいて動作する各種ソフトウェアを用いて、引き続き作業を行うことが出来る。
【００９７】
なお、本実施形態においてメンテナンスモードとは、制限モードフラグ８１および残留防止機能フラグが無効化され、保存データの一時領域８２へのリダイレクトが行われなくなることで、ソフトウェアの更新等、必要なファイルをＨＤＤ１３ｃに残すことを可能とするモードである。
【００９８】
ステップＳ６０８では、メンテナンスモードへの移行が行われる。制限モード設定部２４（本発明の残留防止機能停止手段に相当する）は、制限モードフラグ８１に制限モードを無効とすることを示す値を設定することで制限モードを無効化し、更に、一時領域確保部２７は、ＲＡＭ１２ｃ上の残留防止機能フラグに残留防止機能が無効であることを示す値を設定することで、残留防止機能を無効化する。このため、これ以降は先述したステップＳ４０２の判定処理で残留防止機能フラグが無効であると判定されるため、この後ダウンロードされる更新ファイルは一時領域８２へリダイレクトされることなく、制限モードの終了処理やユーザ端末１ｃの再起動によっても失われない。その後、処理はステップＳ６０９へ進む。
【００９９】
なお、本実施形態では、一時領域確保部２７によって残留防止機能フラグに直接無効設定が行われることで残留防止機能が停止されることとしているが、これに代えて、制限モ
ード設定部２４によって制限モードフラグ８１に無効設定が行われた後の再起動によって残留防止機能が停止されてもよい。この場合、制限モード設定部２４は、制限モードフラグ８１に制限モードが無効であることを示す値を設定し、ユーザ端末１ｃを再起動させる。ユーザ端末１ｃが再起動すると、残留防止機能フラグは初期化され、再び制限モードフラグ８１が有効に設定されるまでシステムは非制限モード（メンテナンスモード）で動作するため、更新ファイルの保存を行うことが可能である。但し、再起動を伴う残留防止機能の無効化が採用される場合、ユーザ端末１ｃを用いたそれまでの作業内容は、一時領域８２に保存されているために失われる。このため、再起動を伴う残留防止機能の無効化を行う場合には、上記メンテナンスモード移行インターフェース等にメッセージを表示することで、作業内容が失われることをユーザに通知することが好ましい。また、再起動による残留防止機能の無効化が採用される場合には、ソフトウェアの更新作業の途中であることを示す情報をＨＤＤ１３ｃに保存して、再起動後に保存された情報を参照することで、ステップＳ６０９以降の処理に復帰させる必要がある。
【０１００】
なお、上記ステップＳ６０８において残留防止機能が無効化されると、図１５を用いて説明したステップＳ５０３およびステップＳ５０４の処理において、ユーザ端末１ｃが、所定のセキュリティポリシーを満足していないと判定され、パケットフィルタリングが有効となる（ステップＳ５０２）。また、管理サーバ１ｓが代理サーバとして設定され、以降、パケットフィルタリングが有効である間の接続は全て管理サーバ１ｓの代理によって行われる。
【０１０１】
ステップＳ６０９およびステップＳ６１０では、更新ファイルのダウンロードおよび更新処理が行われる。データ受信部２８は、管理サーバ１ｓに接続することで、管理サーバ１ｓまたは外部端末９１、９２に保持されている更新ファイルをダウンロードし、ＨＤＤに保存する（ステップＳ６０９）。ここで、更新ファイルが管理サーバ１ｓではない外部端末９１、９２に保持されている場合には、データ受信部２８は、管理サーバ１ｓを代理サーバとして通信することで、直接には管理サーバ１ｓにのみ接続することで、外部端末９１、９２上の更新ファイルをダウンロードする。管理サーバ１ｓのデータ送信部４５は、更新ファイルが管理サーバ１ｓに保持されている場合にはそれを読み出して、更新ファイルが外部端末９１、９２に保持されている場合にはそれを代理サーバとして取得して、ユーザ端末１ｃへ送信する。ダウンロードが完了すると、データ保存部３４は、ＨＤＤ１３ｃ上のファイルの置き換えや設定変更等を伴うソフトウェアの更新処理を実行する。ここで実行された更新処理の結果は、残留防止機能が無効化されているために、ＨＤＤ１３ｃに反映される。ソフトウェアの更新が終了すると、処理はステップＳ６１１へ進む。
【０１０２】
ステップＳ６１１では、制限モードへの移行を確認する制限モード移行インターフェースが表示され、入力内容が判定される。受付部２３は、ユーザに対して、ソフトウェアの更新が終了したことを通知し、制限モードへ移行するか否かを問い合わせるメッセージと、ユーザによる了承またはキャンセルの選択を受け付けるボタンとを含む制限モード移行インターフェース（図示は省略する）を、ディスプレイ１６ｃに表示し、ユーザの選択入力を受け付ける。ユーザによる選択が、制限モードへの移行を了承する内容である場合、処理はステップＳ６１２へ進む。ユーザによる選択が、制限モードへの移行を了承しない内容（キャンセル等）である場合、本フローチャートに示された処理は終了し、メンテナンスモードが継続される。
【０１０３】
ステップＳ６１２では、制限モードへの移行が行われる。制限モード設定部２４は、制限モードフラグ８１に制限モードを有効とすることを示す値を設定することで制限モードを有効化し、更に、一時領域確保部２７は、ＲＡＭ１２ｃ上の残留防止機能フラグに残留防止機能を有効とする値を設定することで、残留防止機能を有効化する。以降は先述したステップＳ４０２の判定処理で残留防止機能フラグが有効であると判定されるため、この
後の作業において新規作成されるデータや、新たにダウンロードされるデータは一時領域８２へリダイレクトされ、ユーザ端末１ｃの再起動によって失われる。即ち、ユーザはユーザ端末１ｃにおいて動作する各種ソフトウェアを用いて、セキュアな環境で引き続き作業を行うことが出来る。
【０１０４】
なお、本実施形態では、再起動なしに残留防止機能が有効化されることとしているが、これに代えて、制限モード設定部２４によって制限モードフラグ８１に有効設定が行われ、再起動されることで残留防止機能が有効化されてもよい。この場合、制限モード設定部２４は、制限モードフラグ８１に制限モードが有効であることを示す値を設定し、ユーザ端末１ｃを再起動させる。ユーザ端末１ｃが再起動すると、ステップＳ２２１で残留防止機能フラグが有効に設定され、残留防止機能が有効化される。
【０１０５】
残留防止機能が有効化されると、図１５を用いて説明したステップＳ５０３およびステップＳ５０４の処理において、ユーザ端末１ｃが、所定のセキュリティポリシーを満足したと判定され、パケットフィルタリングが無効となる（ステップＳ５０５）。即ち、これ以降管理サーバ１ｓ以外への接続が許可され、ユーザ端末１ｃは、管理サーバ１ｓ以外の端末およびサーバとの通信を行うことが可能となる。
【０１０６】
図１７は、本実施形態に係るソフトウェア更新処理とパケットフィルタリング機能の起動処理とが連動して行われる様子を示す概要図である。はじめに、ユーザ端末１ｃは、ソフトウェア更新処理に先立って管理サーバへ認証情報を送信し、管理サーバ１ｓとの間で認証処理を実行する（図１０ＡのステップＳ２０３およびステップＳ２０４に相当）。なお、この際、ユーザ端末１ｃにおいても、管理サーバ１ｓから受信した情報を用いて、サーバ認証部３５によって管理サーバ１ｓを認証してもよい。また、ユーザ端末１ｃは、管理サーバ１ｓに対して更新ファイルの確認要求を行う。これに対して、管理サーバ１ｓは、必要であれば外部端末９１、９２と通信して更新ファイルの確認を行い、更新ファイルの通知を返信する（図１６のステップＳ６０１からステップＳ６０６に相当）。ここで、ユーザ端末１ｃの残留防止機能が無効とされ、クライアントファイアウォールによってパケットフィルタリングが行われ、管理サーバ１ｓへのアクセスのみが許可される（図１５で説明したステップＳ５０４を参照）。その後、ユーザ端末１ｃによって、管理サーバ１ｓを介した更新ファイルのダウンロードおよび更新ファイルの適用が行われ、本実施形態に係るユーザ端末１ｃのソフトウェアの更新処理は終了する（図１６のステップＳ６０９およびステップＳ６１０を参照）。
【０１０７】
なお、本実施形態では、上記説明した通りの処理順序に従って処理が進められるが、具体的な処理順序および内容は、実施の形態に応じて適宜選択されてよい。例えば上記実施形態では、管理サーバ１ｓはユーザ端末１ｃの起動時に認証を行い、制限モードおよび残留防止機能の無効化はユーザ端末１ｃが自発的に実行しているが、このような処理順序および内容に代えて、管理サーバ１ｓは、更新ファイルのダウンロードに先立って、ユーザ端末１ｃの認証と、制限モードおよび残留防止機能の状態の確認と、を行うこととしてもよい。
【０１０８】
即ち、管理サーバ１ｓは、更新ファイルのダウンロードに先立ってユーザ端末１ｃを認証し、この認証と同時にユーザ端末１ｃから制限モードの状態や残留防止機能の状態を取得することで、これから送信する更新ソフトウェアがユーザ端末１ｃのＨＤＤ１３ｃに（残留防止機能による残留防止の対象とならずに）保存されることを確認する。この際、ユーザ端末１ｃにおいて制限モードまたは残留防止機能が有効となっていることが把握された場合には、管理サーバ１ｓは、ユーザ端末１ｃに対して、制限モードおよび残留防止機能を無効化し、メンテナンスモードへ移行することを指示してもよい。ユーザ端末１ｃは、管理サーバ１ｓから受信したモード移行指示に従って、制限モードおよび残留防止機能
を無効化し、メンテナンスモードへ移行する機能を備え、これを実行することで、更新ファイルの受信準備を整える。
【０１０９】
本実施形態に係るユーザ端末管理システム１によれば、残留防止機能を備えるユーザ端末１ｃにおいて、残留防止機能が無効化されている間に有効化されて管理サーバ１ｓ以外との通信を制限する接続制限部３３を採用することで、ユーザ端末１ｃのセキュリティを確保した状態で、ソフトウェアの更新データやセキュリティ対策ソフトウェアの定義ファイル等、継続的にユーザ端末１ｃに残されるべきデータをＨＤＤ１３ｃに残すことが可能である。
【図面の簡単な説明】
【０１１０】
【図１】実施形態に係るユーザ端末管理システムのハードウェア構成の概略を示す図である。
【図２】実施形態に係るユーザ端末管理システムの機能構成の概略を示す図である。
【図３Ａ】実施形態におけるソフトウェア情報テーブルの構成を示す図Ａである。
【図３Ｂ】実施形態におけるソフトウェア情報テーブルの構成を示す図Ｂである。
【図４】実施形態における認証情報テーブルの構成を示す図である。
【図５】実施形態における制限モード定義情報テーブルの構成を示す図である。
【図６】実施形態における記憶領域の構成を示す図である。
【図７】実施形態におけるアドレス変換テーブルを示す図である。
【図８】実施形態に係る制限モード定義情報を作成する処理の流れを示すフローチャートである。
【図９】実施形態においてディスプレイに表示される制限モード定義情報作成インターフェースのイメージを示す図である。
【図１０Ａ】実施形態における制限モード制御処理の流れを示すフローチャートである。
【図１０Ｂ】実施形態における制限モード制御処理の流れを示すフローチャートである。
【図１１】実施形態においてディスプレイに表示される制限モード定義情報選択インターフェースのイメージを示す図である。
【図１２】実施形態においてディスプレイに表示される制限モード離脱インターフェースのイメージを示す図である。
【図１３】実施形態における非制限モード移行処理の流れを示すフローチャートである。
【図１４】実施形態における残留防止処理の流れを示すフローチャートである。
【図１５】実施形態に係るパケットフィルタリング機能の起動処理の流れを示すフローチャートである。
【図１６】実施形態におけるソフトウェア更新処理の流れを示すフローチャートである。
【図１７】実施形態に係るソフトウェア更新処理とパケットフィルタリング機能の起動処理とが連動して行われる様子を示す概要図である。
【符号の説明】
【０１１１】
１ ユーザ端末管理システム
１ｓ 管理サーバ
１ｃ ユーザ端末（情報処理端末）
２１ 識別情報送信部
２７ 一時領域確保部
２８ データ受信部
２９ 一時領域記録部
３０ 変換情報蓄積部
３３ 接続制限部
３４ データ保存部
３５ サーバ認証部
４１ 認証部
４２ 識別情報受信部
４５ データ送信部
【技術分野】
【０００１】
本発明は、情報処理端末にプログラムまたはデータが残ることを防止するための技術に関する。
【背景技術】
【０００２】
従来、管理センタサーバとの間で認証を行い、この認証の結果に応じて、記憶部に格納された各種情報を消去するか否かを決定する情報処理システムがあり（特許文献１を参照）、また、情報管理システムに情報要求内容と認証情報とを送り、認証許可時に情報管理システムから返送される情報をダウンロードして、起動時に消去される領域に格納する情報盗用防止方法がある（特許文献２を参照）。
【０００３】
また、認証した端末にデータの消去を行うためのプログラムを送信する管理サーバと、この消去プログラムを実行してデータを消去する端末と、を備えるデータ消去システムがあり（特許文献３を参照）、定期的にサーバにアクセスして、アクセスが許可された場合に端末内のデータをサーバ上のデータと同期させ、サーバとのアクセスが拒否された場合にデータを消去する情報管理システムがある（特許文献４を参照）。
【特許文献１】特開２００６−１６３８４７号公報
【特許文献２】特開２００５−１５７５８８号公報
【特許文献３】特許３７５３６６６号公報
【特許文献４】特開２００６−３１９４３２号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
従来、情報処理端末と通信ネットワークとの組み合わせによる情報通信システムにおいて、コンピュータウィルスによる被害や情報漏洩等の事象が発生しているが、これは、一般的なコンピュータの構成である、プログラムやデータを書き換え可能な記憶装置に記録していることに起因した問題である。即ち、データをユーザの意図に拘らずネットワークへ送信してしまうソフトウェアが、一旦記憶装置に記録されてしまうと、このソフトウェアはシステムに常駐し、被害が継続する。また、データをコンピュータの記憶装置に保存しているため、コンピュータが紛失または盗難されることによって、情報が漏洩する。
【０００５】
このような事象に対応するために、従来、情報処理端末にプログラムおよびデータを残さない技術が提案されている。例えば、コンピュータ上に仮想マシンと呼ばれる擬似的なコンピュータハードウェアを構成し、この仮想マシン上にてゲストＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）を起動し、ゲストＯＳ上で作業を行うという、仮想マシン手法がある。また、情報処理端末にはＯＳを記憶させずに、ネットワークの先にＯＳイメージを用意して、起動時にネットワーク越しにダウンロードして情報処理端末のＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）に展開するという、所謂ネットブート手法がある。そして、これらの手法によれば、情報処理端末上にプログラムやデータを残さず、ウィルス等のマルウェアが常駐する問題や、上処理端末から情報が漏洩する問題に対処することが出来る。
【０００６】
しかし、上記セキュリティ手法では、ＯＳやインストールされたプログラムの更新データや、セキュリティ対策ソフトウェアによって用いられる定義ファイル（ウィルス定義ファイルや攻撃パターン定義ファイル等が用いられている）等の、セキュリティを高める上で情報処理端末上に残すことが望ましいデータも消えてしまい、ソフトウェアを更新等して最新の状態に保つことが困難であるといった問題があった。従来、このような問題に対
処するためには、端末上にデータを残さないための機能を一時的に無効化するといった手段も用いることができたが、このような方法では、情報処理端末を安全な状態に保つことができない。
【０００７】
本発明は、上記の問題に鑑み、作業データ等を情報処理端末上に残さない機能を備える情報処理端末において、所定のデータについては、端末のセキュリティを確保したまま例外的に端末上に残すことを課題とする。
【課題を解決するための手段】
【０００８】
本発明は、上記した課題を解決するために、作業データ等を情報処理端末上に残さない機能を備える情報処理端末において、所定のデータのダウンロードを行う際には、作業データ等を情報処理端末上に残さない機能を無効化し、且つ所定のデータのダウンロードに用いられる所定のサーバ以外の端末とのアクセスを制限することで、所定のデータについては、端末のセキュリティを確保したまま例外的に端末上に残すことを可能にした。
【０００９】
詳細には、本発明は、不揮発性記憶装置に接続された情報処理端末であって、データが前記不揮発性記憶装置に残ることを防止する残留防止手段と、ダウンロードして前記不揮発性記憶装置に残すべき所定のデータが外部端末に存在する場合に、前記残留防止機能を停止する残留防止機能停止手段と、前記残留防止機能が有効となっていない間に、前記外部端末との間の通信に必要な接続を許可し、その他の接続を制限する接続制限手段と、前記残留防止機能が有効となっておらず、且つ前記接続制限が行われている間、前記外部端末から前記所定のデータを受信するデータ受信手段と、前記データ受信手段によって受信された前記所定のデータを、前記不揮発性記憶装置に記憶させるデータ保存手段と、を備える情報処理端末である。
【００１０】
本発明に係る情報処理端末は、残留防止手段を備えることにより、情報処理端末を用いて行った作業で作成された新規データや、ネットワークを介してダウンロードされた外部からのデータを、情報処理端末の電源断やシステムの再起動によってもデータが残る不揮発性記憶装置に残ることを防止し、悪意あるプログラムの常駐や情報の漏洩を防止することが出来る情報処理端末である。
【００１１】
そして、本発明に係る情報処理端末は、このような残留防止機能を無効化する残留防止無効化手段と、残留防止機能が無効化されている間に接続制限を行う接続制限手段とを備えることによって、悪意あるプログラムの侵入や情報の漏洩を防止するセキュリティ対策を有効としつつ、必要なプログラムの更新ファイルや、セキュリティ対策ソフトウェアによって利用される定義ファイル等、不揮発性記憶装置に残すべき所定のデータを、不揮発性記憶装置に残すことを可能としている。
【００１２】
なお、残留防止手段による残留防止の具体的な手法には、公知の技術を含め実施の形態毎に最適な手法が採用されてよいが、例えば、本発明に係る情報処理端末は、前記不揮発性記憶装置における一部の領域を、該情報処理端末の起動または終了に際して初期化される一時領域として確保する一時領域確保手段を更に備え、前記残留防止手段は、前記不揮発性記憶装置に書き込まれようとしているデータを前記一時領域に記録することで、該データが前記不揮発性記憶装置に残ることを防止してもよい。
【００１３】
ここで、不揮発性記憶装置とは、ＨＤＤやフラッシュＥＥＰＲＯＭ等の、電源の供給が行われなくても記録された情報が維持される記憶装置である。本発明では、この不揮発性記憶装置上に、情報処理端末の起動または終了に際して初期化される一時領域を確保し、且つユーザ権限をオペレーティングシステムへの変更またはソフトウェアの追加を行う権限を有さないユーザに設定することで、望ましくないソフトウェアやデータが該情報処理
端末に保持されることを防止することを可能としている。
【００１４】
不揮発性記憶装置に書き込まれようとしているデータを、端末の起動または終了に際して初期化される一時領域に記録することで、端末の再起動時に、前回起動時に記録されたデータが再びメモリに読み込まれることを防止することが出来る。また、一時領域の初期化を行う方法には、オペレーティングシステムによる前記不揮発性記憶装置への書き込みアクセスを横取りし、前記一時領域への書き込みアクセスへ変換することで、前記不揮発性記憶装置に書き込まれようとしているデータを前記一時領域に記録し、前記変換された書き込みアクセスの変換前のアドレスと変換後のアドレスとの対応関係を示す変換情報を、前記揮発性記憶装置に蓄積する方法がある。この場合、変換情報が揮発性記憶装置に蓄積されるため、再起動や電源断等で、揮発性記憶装置に記録された変換情報が失われ、変換情報を参照して一時領域にアクセスすることが出来なくなる。これによって、一時領域からの情報の読出しが困難となり、マルウェアの残留や情報漏洩を防止することが可能となる。
【００１５】
また、前記接続制限手段は、前記接続制限手段は、管理サーバとの接続を許可し、前記データ受信手段は、前記管理サーバを介して、前記外部端末から前記所定のデータを受信してもよい。このようにすることで、残留防止処理を無効化している間における通信の対象を、安全性の確保された所定の管理サーバのみに限定することが出来る。また、所定のデータが存在する外部端末が管理サーバでない場合、本発明に係る情報処理端末は、管理サーバを介して（例えば、管理サーバを代理サーバとして用いて）外部端末から所定のデータをダウンロードしてもよい。
【００１６】
また、本発明に係る情報処理端末は、前記管理サーバとの間で認証処理を実行するサーバ認証手段を更に備え、前記接続制限手段は、前記サーバ認証手段によって認証された管理サーバとの接続を許可してもよい。このようにすることで、管理サーバの成りすまし等を防止することが出来、所定のデータをダウンロードする際のセキュリティをより高めることが出来る。
【００１７】
また、本発明は、上記情報処理端末を管理する管理サーバとしても把握することが可能である。即ち、本発明は、所定の情報処理端末を管理する管理サーバであって、前記所定の情報処理端末は、データが不揮発性記憶装置に残ることを防止する残留防止手段、前記不揮発性記憶装置に残すべき所定のデータが外部端末に存在する場合に前記残留防止機能を停止する残留防止機能停止手段、および、前記残留防止機能が有効となっていない間、該管理サーバとの接続を許可し、その他の接続を制限する接続制限手段、を備える情報処理端末であり、前記所定の情報処理端末において、前記残留防止機能が有効となっておらず、且つ前記接続制限が行われている間に、前記所定のデータを前記情報処理端末に受信させて前記不揮発性記憶装置に記憶させるデータ送信手段を備える、管理サーバである。
【００１８】
また、本発明に係る管理サーバは、前記所定の情報処理端末との間で認証処理を実行する端末認証手段を更に備え、前記データ送信手段は、前記端末認証手段によって認証された情報処理端末において、前記残留防止機能が有効となっておらず、且つ前記接続制限が行われている間に、前記所定のデータを前記情報処理端末に受信させて前記不揮発性記憶装置に記憶させてもよい。
【００１９】
更に、本発明は、コンピュータが実行する方法、又はコンピュータに実行させるプログラムとしても把握することが可能である。また、本発明は、そのようなプログラムをコンピュータその他の装置、機械等が読み取り可能な記録媒体に記録したものでもよい。ここで、コンピュータ等が読み取り可能な記録媒体とは、データやプログラム等の情報を電気的、磁気的、光学的、機械的、または化学的作用によって蓄積し、コンピュータ等から読
み取ることができる記録媒体をいう。
【発明の効果】
【００２０】
本発明によって、作業データ等を情報処理端末上に残さない機能を備える情報処理端末において、所定のデータについては、端末のセキュリティを確保したまま例外的に端末上に残すことが可能となる。
【発明を実施するための最良の形態】
【００２１】
本発明に係る情報処理端末および管理サーバを有するユーザ端末管理システムの実施の形態について、図面に基づいて説明する。
【００２２】
図１は、本実施形態に係るユーザ端末管理システム１のハードウェア構成の概略を示す図である。ユーザ端末管理システム１は、管理サーバ１ｓと、管理サーバ１ｓにネットワーク２を介して接続された１または複数のユーザ端末１ｃと、を有する。管理サーバ１ｓは、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）１１ｓ、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）１２ｓ等の主記憶装置、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）１３ｓ等の補助記憶装置、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）１４ｓ、およびＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）１５ｓ等のネットワークインターフェース等を有するコンピュータである。管理サーバ１ｓは、ネットワーク２を介して接続された管理者端末１ａによって管理されるが、ディスプレイ、キーボード、マウス等を備えてもよい。また、管理サーバ１ｓは、ユーザ端末管理システム１の外部端末である、ＯＳ更新ファイル配布サーバ９１や、セキュリティ対策ソフトウェア更新ファイル配布サーバ９２に、インターネット等のネットワーク９を介して接続されている。
【００２３】
また、ユーザ端末１ｃは、ＣＰＵ１１ｃ、揮発性記憶装置であり端末の再起動や終了に伴って記録された情報が失われるＲＡＭ１２ｃ、不揮発性記憶装置であり端末が再起動または終了された場合にも記録された情報が維持されるＨＤＤ１３ｃ、ＲＯＭ１４ｃ、およびＮＩＣ１５ｃ等のネットワークインターフェース等を有するコンピュータである。なお、本実施形態では、ユーザ端末１ｃは更にディスプレイ１６ｃ等の出力装置、およびキーボード１７ｃ、マウス１８ｃ等の入力装置等を有する。また、ユーザ端末１ｃのＯＳは、システムへの変更またはソフトウェアの追加を行うための権限である管理者権限の有無をユーザごとに設定可能なＯＳである。
【００２４】
図２は、本実施形態に係るユーザ端末管理システム１の機能構成の概略を示す図である。図１に示したハードウェア構成を有する管理サーバ１ｓは、ＨＤＤ１３ｓ上にインストールされたプログラムをＣＰＵ１１ｓが読み出してＲＡＭ１２ｓに展開し、展開されたプログラムをＣＰＵ１１ｓが解釈および実行することで、ソフトウェア蓄積部４６と、ソフトウェアのリストを含む制限モード定義情報を蓄積する制限モード定義情報蓄積部４４と、ユーザまたはユーザ端末１ｃの識別情報をユーザ端末１ｃより受信する識別情報受信部４２と、受信された識別情報を用いてユーザ端末１ｃまたはユーザを認証する端末認証部４１と、情報処理端末またはユーザに応じた制限モード定義情報を送信する制限モード定義情報送信部４３と、ユーザ端末１ｃにおいて選択された制限モード定義情報に含まれるソフトウェア等をユーザ端末１ｃに送信するデータ送信部４５と、を備える管理サーバ１ｓとして機能する。
【００２５】
同様に、図１に示したハードウェア構成を有するユーザ端末１ｃは、ＲＡＭ１２ｃに展開されたプログラムをＣＰＵ１１ｃが解釈および実行することで、ユーザまたはユーザ端末１ｃの識別情報を管理サーバ１ｓに送信する識別情報送信部２１と、管理サーバ１ｓから制限モード定義情報を受信する制限モード定義情報受信部２２と、ユーザによる制限モ
ード定義情報の選択や制限モード有効化／無効化の指示を受け付ける受付部２３と、制限モード設定部２４と、次回起動時のログインユーザを、管理者権限を有さないユーザに設定する権限設定部２５と、制限モードが有効であるか否かを判定する判定部２６と、ＨＤＤ１３ｃにおける一部の領域を一時領域８２として確保する一時領域確保部２７と、選択された制限モード定義情報に含まれるソフトウェアを管理サーバ１ｓから受信するデータ受信部２８と、制限モード有効時にＨＤＤ１３ｃへの書き込みデータを一時領域８２に記録する一時領域記録部２９と、一時領域８２への記録の際の変換情報を蓄積する変換情報蓄積部３０と、ソフトウェアを一時領域８２から読み出して実行するソフトウェア実行部３１と、一時領域８２を含むＨＤＤ１３ｃに記録された情報を読み出す読出部３２と、管理サーバ１ｓへの接続のみを許可し、その他の接続を制限するパケットフィルタリングを行う接続制限部３３と、ダウンロードしたデータをＨＤＤ１３ｃに保存するデータ保存部３４と、管理サーバを認証するサーバ認証部３５と、を備えるユーザ端末１ｃとして機能する。
【００２６】
ここで、サービスとは、ユーザ端末１ｃまたはサービス提供サーバにおいて実行されるソフトウェアによって提供される機能である。サービスの提供の形態としては、ユーザ端末１ｃにダウンロードされたソフトウェアがユーザ端末１ｃによって実行されることでサービスが提供される形態や、サービス提供サーバにおいて主要な処理が行われ、ユーザ端末１ｃではサーバから受信した処理結果の表示を主に担うソフトウェアが実行される形態等が用いられてよい。
【００２７】
また、一時領域８２とは、ユーザ端末１ｃの起動または終了に際してＲＡＭ１２ｃに蓄積された変換情報が失われることで初期化されるＨＤＤ１３ｃにおける一部の領域である。一時領域記録部２９は、判定部２６によって制限モードが有効であると判定された場合に、オペレーティングシステムによるＨＤＤ１３ｃへの書き込みアクセスを横取り（フック）し、一時領域８２への書き込みアクセスへ変換することで、ＨＤＤ１３ｃに書き込まれようとしているデータを一時領域８２に記録する。そして、変換情報蓄積部３０は、変換された書き込みアクセスの変換前のアドレスと変換後のアドレスとの対応関係を示す変換情報を、ＲＡＭ１２ｃに蓄積する。
【００２８】
また、制限モードとは、ユーザ端末１ｃにおいてセキュリティを確保するための機能が有効となっている状態であり、セキュリティを確保しつつ様々な作業環境を提供するために、複数種類の制限モードが提供される。
【００２９】
管理サーバ１ｓの制限モード定義情報蓄積部４４は、識別情報に係る情報処理端末に所定の作業環境を構築するためのソフトウェアの組み合わせ、または識別情報に係るユーザに所定のサービスを提供するためのソフトウェアの組み合わせを含む、制限モード定義情報を蓄積する。
【００３０】
図３Ａおよび図３Ｂは、本実施形態におけるソフトウェア情報テーブル５０Ａ、５０Ｂの構成を示す図である。ソフトウェア情報テーブル５０Ａ、５０Ｂには、ソフトウェア蓄積部４６によって蓄積されたソフトウェアを識別するためのソフトウェア識別子５１と、ソフトウェア名称５２と、管理サーバ１ｓにおけるソフトウェア本体の保存位置を示すファイルパス５３と、を含むソフトウェア情報が蓄積される。なお、本実施形態において、ソフトウェア情報テーブル５０Ａには、残留防止の対象となるソフトウェア、即ち、ユーザ端末１ｃの利用終了後に、ユーザ端末１ｃのＨＤＤ１３ｃ上に残されないソフトウェアの情報が蓄積される。これに対して、ソフトウェア情報テーブル５０Ｂには、残留防止の対象とならないソフトウェア、例えば、オペレーティングシステムの更新ファイルや、セキュリティ対策ソフトウェアの更新ファイル、ウィルス定義ファイル等、セキュリティの観点上システムに残すことが好ましいソフトウェアの情報が蓄積される。
【００３１】
また、図４は、本実施形態における認証情報テーブル６０の構成を示す図である。認証情報テーブル６０には、認証を受けるユーザまたはユーザ端末１ｃを識別するための認証識別子６１と、認証識別子６１によって認証されるユーザまたは端末の名称６２と、認証に用いられるパスワード等が含まれる認証符号６３と、を含む認証情報が蓄積される。
【００３２】
図５は、本実施形態における制限モード定義情報テーブル７０の構成を示す図である。制限モード定義情報テーブル７０には、制限モード識別子７１と、制限モード名称７２と、この制限モードで使用が許可されるソフトウェアのソフトウェア識別子５１がリストされるソフトウェアリスト７３と、この制限モードの使用が許可されるユーザまたは端末の認証識別子６１がリストされる認証リスト７４と、この制限モードの使用が許可される期限を示す制限モード有効期限７５と、を含む制限モード定義情報が蓄積される。ユーザは、提示された複数種類の制限モード定義情報から、所望の制限モード定義情報を選択することで、この定義情報に応じた作業環境の提供を受けることが出来る。
【００３３】
図６は、本実施形態における記憶領域８０の構成を示す図である。ユーザ端末１ｃのＨＤＤ１３ｃ上に確保された記憶領域８０には、制限モードフラグ８１および一時領域８２が含まれ、制限モードフラグ８１には、制限モード設定部２４によって、制限モードが有効であることを示す値（例えば、「１」）、または制限モードが無効となっていることを示す値（例えば、「０」）が書き込まれる。また、一時領域８２は、制限モードが有効となっている間に、アドレス変換によってＨＤＤ１３ｃへの書き込みアクセスがリダイレクトされる領域である。即ち、制限モードが有効となっている間、原則としてデータは一時領域８２に記録される。
【００３４】
図７は、本実施形態におけるアドレス変換テーブル９０を示す図である。アドレス変換テーブル９０には、一時領域８２への書込み時の変換元アドレス９１と変換先アドレス９２との対応関係が蓄積される。アドレス変換テーブル９０に蓄積された情報は、一時領域８２からの情報の読み出し時に参照される。なお、本実施形態では、アドレス変換は、対応表を参照することで変換元アドレス９１に対応する変換先アドレス９２を取得することとしているが、これに代えて、変換元アドレス９１を所定の計算式を用いて変換することで、変換先アドレス９２を取得することとしてもよい。
【００３５】
図８は、本実施形態に係る制限モード定義情報を作成する処理の流れを示すフローチャートである。本フローチャートに示された処理は、管理サーバ１ｓまたは管理サーバ１ｓにログインした管理者端末１ａにおいて、管理者によって制限モード定義情報の作成開始を指示する入力が行われたことを契機として開始される。
【００３６】
ステップＳ１０１からステップＳ１０３では、制限モード定義情報を作成するにあたってユーザに選択させるための各種情報が読み出され、これらの情報が、管理サーバ１ｓまたは管理者端末１ａのディスプレイに表示される。管理サーバ１ｓは、予め準備されたソフトウェア情報をソフトウェア情報テーブル５０Ａ、５０Ｂから読み出し、認証情報を認証情報テーブル６０から読み出す。そして、管理サーバ１ｓは、読み出されたソフトウェア情報および認証情報を、管理サーバ１ｓに接続されたディスプレイ、または管理サーバ１ｓに接続された管理者端末１ａのディスプレイに表示する。
【００３７】
図９は、本実施形態においてディスプレイに表示される制限モード定義情報作成インターフェース１００のイメージを示す図である。制限モード定義情報作成インターフェース１００は、作成される制限モード定義情報に係る制限モードの名称が入力される名称入力欄１０１と、ステップＳ１０１で読み出されたソフトウェア情報が選択される選択可能ソフトウェア表示欄１０２と、選択された１または複数のソフトウェアが表示される選択済
みソフトウェア表示欄１０３と、選択したいソフトウェアを選択済みソフトウェアに追加する追加ボタン１０４ａと、選択済みソフトウェアを削除する削除ボタン１０４ｄと、ステップＳ１０２で読み出された認証情報が選択される選択可能認証情報表示欄１０５と、選択された１または複数の認証情報が表示される選択済み認証情報表示欄１０６と、選択したい認証情報を選択済み認証情報に追加する追加ボタン１０７ａと、選択済み認証情報を削除する削除ボタン１０７ｄと、作成される制限モード定義情報の有効期限を入力する有効期限入力欄１０８と、入力または選択内容を確定して新規制限モード定義情報を作成する新規作成ボタン１０９と、を有する。
【００３８】
ステップＳ１０４では、制限モード定義情報を作成するにあたって必要な情報の入力および選択が受け付けられる。管理サーバ１ｓは、ディスプレイに表示された制限モード定義情報作成インターフェース１００を介して行われる入力操作および選択操作を受け付けることで、制限モードの名称、ソフトウェア、認証情報および有効期限の入力または選択を受け付ける。
【００３９】
即ち、管理者は、制限モード定義情報を作成するにあたって、ディスプレイに表示された制限モード定義情報作成インターフェース１００を見ながら、キーボード、マウス等の入力装置を用いて、制限モードの名称の入力、ソフトウェアの選択、認証情報の選択、および有効期限の入力を行う。ここで、ソフトウェアおよび認証情報は、複数選択されてもよい。本実施形態では、ドロップダウンメニューを用いて表示されたソフトウェアまたは認証情報が、追加ボタン１０４ａ、１０７ａの押下によって選択状態となる。選択状態にある選択済みソフトウェア／認証情報は、選択済みソフトウェア／認証情報表示欄１０３、１０６に表示され、新規作成ボタン１０９の押下によって確定される。その後、処理はステップＳ１０５へ進む。
【００４０】
ステップＳ１０５では、制限モード定義情報が作成される。管理サーバ１ｓは、ステップＳ１０４で入力または選択された情報を、制限モード名称７２、ソフトウェアリスト７３、認証リスト７４および制限モード有効期限７５として含む制限モード定義情報を作成し、制限モード定義情報テーブル７０に蓄積する。この際、管理サーバ１ｓは、制限モード定義情報を識別するための一意の識別子を生成し、制限モード識別子７１として制限モード定義情報に保持させる。識別子は、例えば、作成日時等を含む識別子とすることが出来る。その後、本フローチャートに示された処理は終了する。
【００４１】
即ち、本フローチャートに示された処理によれば、管理者は、ユーザに提供したい作業環境および適用したいセキュリティに応じた制限モードを、簡易に作成することが出来る。なお、ここで制限モード定義情報の生成が成功した場合に、制限モード定義情報が正常に作成された旨をユーザに伝えるためのメッセージが表示されることとしてもよい。また、管理者は、制限モード定義情報を複数作成することが出来る。異なるソフトウェア識別子５１と認証識別子６１との組み合わせによる制限モード定義情報を生成しておくことで、ソフトウェアの選択および該ソフトウェアを利用できるユーザの限定を、制限モードを選択させるのみで行うことが出来る。
【００４２】
例えば、ファイルサーバへアクセスするためのソフトウェアと、アクセスを許可したいユーザを制限モード定義情報に設定しておくことで、限定されたユーザ間でのデータ共有が可能となる。
【００４３】
図１０Ａおよび図１０Ｂは、本実施形態における制限モード制御処理の流れを示すフローチャートである。本フローチャートに示された処理は、システムの起動に伴って開始される。なお、本フローチャートに示された処理では、制限モードフラグ８１が操作され、制限モードフラグ８１の状態に基づいて処理の流れが決定される。はじめに、起動時にお
いて制限モードフラグ８１が有効でない（または、無効である）場合の処理の流れについて説明する。なお、本実施形態では、ＯＳ等のシステムプログラムはＨＤＤ１３ｃより読み出されることとしているが、システムプログラムの少なくとも一部をＲＯＭ、ＤＶＤ等の書換不可能な記憶装置に記録しておき、システム起動時に毎回展開させることで、プログラムの改変を抑止してもよい。
【００４４】
ステップＳ２０１およびステップＳ２０２では、システムの起動処理および制限モードフラグ８１の判定が行われる。判定部２６は、システムの起動後、ＨＤＤ１３ｃに保存された制限モードフラグ８１を参照し、制限モードフラグ８１が制限モード有効を示す値に設定されているか否かを判定する。制限モードフラグ８１が制限モード有効を示す値に設定されていると判定された場合、処理はステップＳ２２１へ進み（図１０Ｂを参照）、以降、制限モードフラグ８１が無効に設定されるまで、システムは制限モードで動作する。制限モードフラグ８１が制限モード有効を示す値に設定されていない（または、無効を示す値に設定されている）と判定された場合、処理はステップＳ２０３へ進み、以降、制限モードフラグ８１が有効に設定されるまで、システムは非制限モードで動作する。
【００４５】
ステップＳ２０３およびステップＳ２０４では、認証情報に基づいた認証処理が行われる。ユーザ端末１ｃは、ユーザ端末１ｃのディスプレイ１６ｃに認証インターフェース（図示は省略する）を表示し、識別情報送信部２１は、このインターフェースを介してユーザによって入力された認証情報（例えば、ユーザ名称とパスワード等）を、管理サーバ１ｓへ送信する（ステップＳ２０３）。管理サーバ１ｓの識別情報受信部４２は、送信された認証情報を、ネットワーク２を介して受信し、端末認証部４１は、受信された認証情報と予め認証情報テーブル６０に保持されている認証情報とを比較することで、ユーザ端末１ｃまたはユーザ端末１ｃを使用しているユーザを認証する（ステップＳ２０４）。
【００４６】
より具体的には、管理サーバ１ｓの端末認証部４１が、受信された認証情報に含まれるユーザまたは端末の名称６２または認証識別子６１を検索キーとして認証情報テーブル６０を検索し、抽出された認証情報の認証符号６３と受信された認証情報に含まれるパスワード等を比較することで、認証が行われる。なお、本実施形態では、ユーザによって入力された認証情報を送信することとしているが、これに代えて、予め設定された認証情報が、ユーザ端末１ｃの起動時に自動的に送信されることとしてもよい。その後、処理はステップＳ２０５へ進む。なお、認証処理は、ワンタイムパスワードや、秘密鍵と公開鍵を用いた認証処理等、実施の形態に応じて採用された認証プロトコルを用いた認証処理であってよい。
【００４７】
ステップＳ２０５からステップＳ２０７では、制限モード定義情報の送受信が行われる。管理サーバ１ｓの制限モード定義情報送信部４３は、ステップＳ２０４で認証されたユーザまたはユーザ端末１ｃの認証識別子６１を検索キーとして制限モード定義情報テーブル７０を検索することで、認証に係る制限モード定義情報を抽出する（ステップＳ２０５）。ここで、制限モード定義情報送信部４３は、管理サーバ１ｓの内蔵時計（図示は省略する）に基づく日時情報と、制限モード定義情報に含まれる有効期限７５とを比較し、有効期限を超過している（期限切れの）制限モード定義情報は、抽出の結果に含ませない。そして、制限モード定義情報送信部４３は、抽出された制限モード定義情報をユーザ端末１ｃへ送信し（ステップＳ２０６）、ユーザ端末１ｃの制限モード定義情報受信部２２は、ネットワーク２を介して制限モード定義情報を受信する（ステップＳ２０７）。その後、処理はステップＳ２０８へ進む。
【００４８】
ステップＳ２０８では、ステップＳ２０７で受信された制限モード定義情報が複数あるか否かが判定される。複数の制限モード定義情報が受信されたと判定された場合、処理はステップＳ２０９へ進む。受信された制限モード定義情報が複数ではない（単一である）
と判定された場合、処理はステップＳ２１０へ進む。
【００４９】
ステップＳ２０９では、受信された制限モード定義情報が複数ある場合に、ユーザによる選択が受け付けられる。受付部２３は、受信された複数の制限モード定義情報に基づいて、複数の制限モード定義情報のうち、このユーザ端末１ｃに提供する制限モード定義情報をユーザに選択させるための制限モード定義情報選択インターフェース１１０をディスプレイ１６ｃに表示する。
【００５０】
図１１は、本実施形態においてディスプレイ１６ｃに表示される制限モード定義情報選択インターフェース１１０のイメージを示す図である。制限モード定義情報選択インターフェース１１０は、ユーザに対する制限モードについての説明を含むメッセージ表示欄１１１と、制限モード名称７２および有効期限７５が表示される制限モード選択ボタン１１２と、を有する。マウス１８ｃ等の入力装置を用いてユーザは制限モード選択ボタン１１２をクリックすることで、所望の制限モードを選択することが出来る。受付部２３は、制限モード定義情報インターフェースを介して、ユーザによる制限モード定義情報の選択を受け付ける。その後、処理はステップＳ２１０へ進む。
【００５１】
ステップＳ２１０では、ソフトウェア識別子５１が送信される。ユーザ端末１ｃのデータ受信部２８は、制限モード定義情報のソフトウェアリスト７３に含まれるソフトウェアのうち、残留防止の対象とならないソフトウェア、即ち、制限モードが有効であるか否かに拘らずユーザ端末１ｃのＨＤＤ１３ｃ上に残されるべきソフトウェアの識別子を送信する。ここで、残留防止とは、データを一時領域８２へ記録することで、端末へのデータの残留を防止することをいう。残留防止の対象とならないソフトウェアとは、例えば、オペレーティングシステムの更新ファイルや、セキュリティ対策ソフトウェアの更新ファイル、ウィルス定義ファイル等、セキュリティの観点上システムに残すことが好ましいソフトウェアである。これらの残留防止の対象とならないソフトウェアを識別する方法としては、本実施形態における、残留防止の対象とならないソフトウェアの情報が蓄積されるソフトウェア情報テーブル５０Ｂを用いる方法の他に、予めユーザ端末１ｃにおいて設定しておく方法や、管理サーバ１ｓに保持されるソフトウェア情報や制限モード定義情報に残留防止の対象とするか否かを判別するためのフラグを含ませる方法等が採用されてよい。その後、処理はステップＳ２１１へ進む。
【００５２】
ステップＳ２１１およびステップＳ２１２では、管理サーバ１ｓによってソフトウェア識別子５１が受信され、ソフトウェア本体が送信される。管理サーバ１ｓのデータ送信部４５は、ユーザ端末１ｃより送信されたソフトウェア識別子５１を受信し（ステップＳ２１１）、受信されたソフトウェア識別子５１を検索キーとしてソフトウェア情報テーブル５０Ｂを検索することで、ユーザ端末１ｃより要求されたソフトウェアの本体が保存されている場所（ここでは、管理サーバ１ｓにおけるファイルパス５３）を取得する。そして、ソフトウェア蓄積部４６によって蓄積されているソフトウェア本体を読み出し、ユーザ端末１ｃへ送信する（ステップＳ２１２）。その後、処理はステップＳ２１３へ進む。
【００５３】
ステップＳ２１３では、ソフトウェア本体が受信される。ユーザ端末１ｃのデータ受信部２８は、管理サーバ１ｓから送信されたソフトウェアを受信し、ＨＤＤ１３ｃに保存する。なお、ここで受信されたソフトウェアが保存されるＨＤＤ１３ｃ上の領域は、残留防止のために用いられる一時領域８２ではない。その後、処理はステップＳ２１４へ進む。
【００５４】
ステップＳ２１４およびステップＳ２１５では、制限モードフラグ８１が設定され、制限モード定義情報が保存される。制限モード設定部２４は、ＨＤＤ１３ｃ上の制限モードフラグ８１に、制限モードが有効であることを示す値を設定し（ステップＳ２１４）、ＨＤＤ１３ｃに、ステップＳ２０９で選択された制限モード定義情報（ステップＳ２０７で
受信された制限モード定義情報が１つであった場合には、その制限モード定義情報）を保存する（ステップＳ２１５）。即ち、これらのステップでは、ユーザ端末１ｃの再起動後に用いる情報が、不揮発性記憶装置であるＨＤＤ１３ｃに記録される。これによって、ユーザ端末１ｃの再起動後も制限モードが継続され、また、再起動後に参照される制限モード定義情報が維持される。その後、処理はステップＳ２１６へ進む。
【００５５】
ステップＳ２１６およびステップＳ２１７では、ユーザ端末１ｃのオペレーティングシステムにおけるユーザ権限が変更され、ユーザ端末１ｃが再起動される。権限設定部２５は、次回起動時のユーザが、ユーザ端末１ｃへのソフトウェアのインストールやシステムへの変更を行う権限を有さないユーザ（以降、「制限ユーザ」と称する）となるように、オペレーティングシステムの設定を強制的に変更する（ステップＳ２１６）。より具体的には、権限設定部２５は、ユーザ端末１ｃのオペレーティングシステム起動用設定ファイル（レジストリ等）内のオペレーティングシステム起動時ログインユーザを、管理者権限を持たない制限ユーザへ強制的に書き換える。その後、システムの再起動が開始され（ステップＳ２１７）、本フローチャートに示された処理は終了する。
【００５６】
システムが再起動すると、再びステップＳ２０１からの処理が実行される。再起動したシステムは、制限ユーザで動作する。また、制限モードフラグ８１はステップＳ２１４で制限モードに設定されているため、ステップＳ２０２における判定処理では、制限モードフラグ８１が制限モード有効を示す値に設定されていると判定される。
【００５７】
次に、図１０Ｂを参照して、ステップＳ２０２で制限モードフラグ８１が制限モード有効を示す値に設定されていると判定された場合の以降の処理の流れ、即ちシステムが制限モードで動作する場合の処理の流れを説明する。
【００５８】
ステップＳ２２１では、残留防止機能が有効化される。ユーザ端末１ｃの一時領域確保部２７は、ステップＳ２０２で制限モードフラグ８１が有効であると判断されたことを受けて、ＲＡＭ１２ｃ上の残留防止機能フラグに残留防止機能が有効であることを示す値を設定し、一時領域８２の確保および初期化を行うことで、残留防止機能を有効化する。残留防止機能フラグは、後述する残留防止処理において参照されることで、残留防止機能が有効であるか無効であるかを判定するための基準となる。また、一時領域８２は、一時領域８２のアドレスの書き込みアドレスを示すポインタを一時領域８２（図６を参照）の先頭アドレスとすることで初期化される。その後、処理はステップＳ２２２へ進む。
【００５９】
ステップＳ２２２では、ソフトウェア識別子５１が送信される。ユーザ端末１ｃのデータ受信部２８は、ステップＳ２１５でＨＤＤ１３ｃに保存された制限モード定義情報のソフトウェアリスト７３に含まれるソフトウェアのうち、残留防止の対象となるソフトウェア、即ち、ユーザ端末１ｃの利用終了後に、ユーザ端末１ｃのＨＤＤ１３ｃ上に残されないソフトウェアの識別子を送信する。残留防止の対象となるソフトウェアを識別する方法としては、本実施形態における、残留防止の対象となるソフトウェアの情報が蓄積されるソフトウェア情報テーブル５０Ａを用いる方法の他に、予めユーザ端末１ｃにおいて設定しておく方法や、管理サーバ１ｓに保持されるソフトウェア情報や制限モード定義情報に残留防止の対象とするか否かを判別するためのフラグを含ませる方法等が採用されてよい。その後、処理はステップＳ２２３へ進む。
【００６０】
ステップＳ２２３およびステップＳ２２４では、管理サーバ１ｓによってソフトウェア識別子５１が受信され、ソフトウェア本体が送信される。処理の詳細はステップＳ２１１およびステップＳ２１２と概略同様であるため、説明を省略する。その後、処理はステップＳ２２５へ進む。
【００６１】
ステップＳ２２５では、ソフトウェア本体が受信される。ユーザ端末１ｃのデータ受信部２８は、管理サーバ１ｓから送信されたソフトウェア本体を受信し、ステップＳ２２１で初期化された一時領域８２に保存する。即ち、ここで受信されたソフトウェア本体は、ユーザ端末１ｃの使用終了時または再起動時に、ユーザ端末１ｃから失われる。その後、処理はステップＳ２２６へ進む。
【００６２】
ステップＳ２２６およびステップＳ２２７では、ソフトウェアが起動され、制限モード離脱インターフェース１２０が表示される。ユーザ端末１ｃのソフトウェア実行部３１は、ステップＳ２１３およびステップＳ２２５で受信しＨＤＤ１３ｃに記録したソフトウェア本体を、ＲＡＭ１２ｃに読み出し、ＣＰＵ１１ｃに実行させることでソフトウェアを起動する（ステップＳ２２６）。即ち、この時点で、ソフトウェアの機能が情報処理端末を使用するユーザに提供され、ユーザはユーザ端末１ｃにおいて動作する各種ソフトウェアを用いて作業を行うことが可能となる。そして、ユーザ端末１ｃは、ユーザが制限モードでの作業を終了する際の終了操作を受け付けるための制限モード離脱インターフェース１２０をディスプレイ１６ｃに表示する（ステップＳ２２７）。その後、本フローチャートに示された処理は終了する。なお、制限モード離脱インターフェース１２０を起動するためのソフトウェアは、ソフトウェア情報テーブル５０Ａに登録され、ステップＳ２２５で受信されるソフトウェアであってもよい（以下、制限モード離脱インターフェース１２０を表示させるためのソフトウェアを「離脱インターフェース提供ソフトウェア」と称する）。この場合、制限モード離脱インターフェース１２０は、ステップＳ２２６のソフトウェア起動処理において表示されるため、ステップＳ２２７の処理は不要となる。また、この場合、離脱インターフェース提供ソフトウェアは一時領域８２に記録され、ユーザ端末１ｃに残らない。このため、離脱インターフェース提供ソフトウェアを制限モード定義情報テーブル７０に登録するタイミングを調整することで、管理者は、制限モードから離脱可能な時期をコントロールすることが出来る。より具体的には、管理者は、ユーザ端末を常に制限モードで動作させたい時期には制限モード定義情報テーブル７０に離脱インターフェース提供ソフトウェアを登録しないことで、ユーザの故意または過失による不要な制限モード離脱や環境変更等を防止することが出来る。
【００６３】
図１２は、本実施形態においてディスプレイ１６ｃに表示される制限モード離脱インターフェース１２０のイメージを示す図である。制限モード離脱インターフェース１２０は、現在ユーザ端末１ｃのシステムが制限モードで動作していることを通知するメッセージ１２１と、非制限モードへ復帰する（制限モードを離脱する）ことを指示するための復帰ボタン１２２と、を有する。ユーザは、ユーザ端末１ｃに備えられたポインティングデバイス等の入力装置を操作して、復帰ボタン１２２をクリックすることで、制限モードでの作業を終了し、非制限モードへ移行することの指示を行う。
【００６４】
ステップＳ２２６におけるソフトウェアの起動以降、ユーザによる復帰ボタン１２２のクリックが検知されるまで、ユーザ端末１ｃは制限モード下で動作し、ユーザは、ユーザ端末１ｃにおいて起動された各種ソフトウェアを用いて作業を行うことが可能である。そして、本実施形態によれば、ユーザ端末１ｃのＯＳが制限ユーザで動作し、且つ残留防止機能が動作していることによって、ユーザによるソフトウェアのインストールやシステムへの変更が制限され、更に、作成または変更したデータが再起動後にＨＤＤ１３ｃに残留することが制限される。
【００６５】
図１３は、本実施形態における非制限モード移行処理の流れを示すフローチャートである。本フローチャートに示された処理は、ユーザによる非制限モードへの移行指示が検知されたことを契機として開始される。ユーザ端末１ｃは、上記制限モード離脱インターフェース１２０を介したユーザ操作に基づく非制限モードへの移行指示を受け付け（ステップＳ３０１）、ＨＤＤ１３ｃ上の制限モードフラグ８１に、制限モードが無効であること
を示す値を設定する（ステップＳ３０２）。なお、制限モードフラグ８１への書き込みについては、残留防止機能によるアドレス変換が行われない。具体的には、後述する残留防止処理において、一時領域記録部２９は、書き込みアドレスが制限モードフラグ８１を示すアドレスである場合のみ、アドレス変換を行わずにＨＤＤ１３ｃへ書き込む。このようにすることで、残留防止機能が有効となっている状態でも、制限モードからの離脱を行うことを可能としている。
【００６６】
その後、ユーザ端末１ｃは再起動し（ステップＳ３０３）、上記ステップＳ２０１からの処理が実行される。このとき、ステップＳ２０２において制限モードフラグ８１が有効を示す値に設定されていないと判定されるため、処理はステップＳ２０３へ進み、以降、制限モードフラグ８１が有効に設定されるまで、システムは非制限モードで動作する。
【００６７】
なお、制限モードでは、ユーザが管理者権限を有さないユーザに変更されているが（ステップＳ２１６を参照）、ユーザ設定は、制限モード離脱後の再起動後に、ユーザ操作によって、または自動的に、変更前のユーザに戻されることとしてもよい。
【００６８】
図１４は、本実施形態における残留防止処理の流れを示すフローチャートである。本フローチャートに示された処理は、ＯＳによる、ＨＤＤ１３ｃからの読出アクセス、またはＨＤＤ１３ｃへの書込アクセスが発生したことを契機として開始される。
【００６９】
ステップＳ４０１およびステップＳ４０２では、ＯＳによるＨＤＤアクセスが横取りされ（フックされ）、残留防止機能フラグが有効に設定されているか否かが判定される。ユーザ端末１ｃの一時領域記録部２９は、ＯＳによるＨＤＤアクセスが発生すると、このアクセスを横取りし、ＲＡＭ１２ｃ上の残留防止機能フラグを参照する。ここで、残留防止機能フラグに残留防止機能が有効であることを示す値が設定されている場合、処理はステップＳ４０４へ進む。残留防止機能フラグに残留防止機能が有効であることを示す値が設定されていない場合、処理はステップＳ４０３へ進む。
【００７０】
ステップＳ４０３では、ＨＤＤ１３ｃへのアクセスが行われる。残留防止機能が有効でないため、一時領域記録部２９は、ＨＤＤ１３ｃへの通常の読出または書込アクセスを許可する。ここで読出または書込が行われるＨＤＤ１３ｃ上の領域は、一時領域８２以外の領域である。例えば、上述したステップＳ２１３において受信されたソフトウェア本体（オペレーティングシステムの更新ファイルや、セキュリティ対策ソフトウェアの更新ファイル、ウィルス定義ファイル等）のＨＤＤ１３ｃへの書込み処理は、残留防止機能が有効でない状態で行われるため、本ステップの処理に従って行われる。本ステップでＨＤＤ１３ｃに書込みされたデータは、制限モードの終了処理やユーザ端末１ｃの再起動によっても失われないため、システムの更新ファイル等、制限モードの有効無効に拘らず失われないことが好ましいデータは、残留防止機能フラグが有効となっていない状態でＨＤＤ１３ｃに書込みされることが好ましい。その後、本フローチャートに示された処理は終了する。
【００７１】
ステップＳ４０４では、アクセスの種類が判定される。一時領域記録部２９は、残留防止機能フラグが有効である場合、横取りされたアクセスの種類が書込みアクセスであるか否かを判定する。アクセスの種類が書込みアクセスである場合、処理はステップＳ４０５へ進む。アクセスの種類が書込みアクセスでない場合、処理はステップＳ４０７へ進む。
【００７２】
ステップＳ４０５およびステップＳ４０６では、一時領域８２への書込みが行われ、アドレス変換テーブル９０が更新される。一時領域記録部２９は、ＨＤＤ１３ｃ上に確保された一時領域８２のうち、書込アドレスポインタが示す書込みアドレスに、横取りされた書込アクセスに係るデータを記録する（ステップＳ４０５）。そして、変換情報蓄積部３
０は、横取りされた書込みアクセスにおいてＯＳが示していた書込み先アドレス（変換元アドレス９１）と、実際にデータが書き込みされたアドレス（変換先アドレス９２）と、を関連付けてＲＡＭ１２ｃ上のアドレス変換テーブル９０に蓄積する（ステップＳ４０６）。ここで、変換先アドレス９２は、一時領域８２への書込み時に、書込アドレスポインタが示していたアドレスである。更に、一時領域記録部２９は、書き込みされたデータのサイズに従って、書込アドレスポインタを更新する。その後、本フローチャートに示された処理は終了する。
【００７３】
ステップＳ４０７からステップＳ４０９に示された処理は、残留防止機能が有効である場合の、ＨＤＤ１３ｃからの読出アクセス処理である。読出部３２は、オペレーティングシステムより横取りされた読出アクセスの読出アドレスに基づいてアドレス変換テーブル９０を検索することで、この読出しアドレスが、アドレス変換テーブル９０の変換元アドレス９１として登録されているか否か、即ち、オペレーティングシステムから要求されたデータが、一時領域８２に記録されているか否かを判定する（ステップＳ４０７）。ＯＳの示すアドレスがアドレス変換テーブル９０から抽出された場合、処理はステップＳ４０８へ進む。ＯＳの示すアドレスがアドレス変換テーブル９０から抽出されない場合、処理はステップＳ４０９へ進む。
【００７４】
ステップＳ４０８では、データが一時領域８２から読み出される。読出部３２は、ＯＳより要求されたデータを、ステップＳ４０７で抽出された変換先アドレス９２にアクセスすることで読み出す。即ち、本フローチャートに示す処理によれば、データの書込みおよび読出しが一時領域８２に対して行われていることをＯＳに意識させることなく、一時領域８２に対するデータの書込みおよび読出しを行うことができる。その後、本フローチャートに示された処理は終了する。
【００７５】
ステップＳ４０９では、データがＨＤＤ１３ｃから読み出される。読出部３２は、ＯＳより要求されたデータを、ＯＳより指示された読出アドレスにアクセスすることで読み出す。本ステップに係る読出し処理が行われるのは、制限モード下で記録されたデータを除くデータの読出し要求が行われた際である。その後、本フローチャートに示された処理は終了する。
【００７６】
ＯＳのＨＤＤ書込アクセスにおける書込先を一時領域８２に変換するためのアドレス変換テーブル９０は、ＲＡＭ１２ｃ上に確保されているため、再起動によって失われる。即ち、制限モード中にＨＤＤ１３ｃに書き込まれた情報は、再起動後に、記録位置（アドレス）が失われることによって、アクセス困難となる。このため、制限モード下で万一ウィルスに感染する、不適切なソフトウェアがインストールされる等の事態が発生した場合であっても、再起動後にＯＳはこれらのソフトウェアにアクセスすることが出来ず、システムは安全な状態に保たれる。更に、一時領域８２の書き込みアドレスを示すポインタが一時領域８２の先頭に初期化されることで（ステップＳ２２１）、既に一時領域８２に書き込まれた情報は、以降の一時領域８２への書き込みで上書きされ、ＨＤＤ１３ｃから書き込まれた情報自体を消すことができる。
【００７７】
なお、ＯＳのファイル管理テーブルを参照せずにＨＤＤ１３ｃ上の情報を直接参照する等の方法で制限モード下において書き込まれた情報が取得されてしまうことを防止するために、制限モード下でＨＤＤ１３ｃに書き込まれる情報を暗号化する方法や、制限モード下でＨＤＤ１３ｃに書き込まれた情報をランダムな情報で上書きする方法等が採られてもよい。
【００７８】
より具体的には、一時領域８２へ書き込まれる情報を暗号化し、一時領域８２から読み出される情報を復号する暗号処理部（図示は省略する）を介することで、鍵情報が設定さ
れた暗号処理部を介さずにＨＤＤ１３ｃ上の情報を直接参照する方法では情報の内容を知ることが出来ないようにすることが可能である。このとき、暗号化に用いられる暗号鍵は、ユーザによって管理されてもよいし、制限モードに移行するごとに自動生成され、制限モード終了時に破棄されることとしてもよい。制限モード移行ごとに自動生成して制限モード終了時に破棄する方法によれば、ユーザは暗号鍵の管理を意識する必要が無く、制限モード離脱時には制限モード下で一時領域８２に書き込まれた情報の取得を非常に困難にすることが可能である。
【００７９】
本実施形態にかかる情報処理端末および管理サーバ１ｓによれば、ＯＳに対して機能制限を行い、プログラムおよびデータを囲い込む一時領域８２を用いることで、高いセキュリティを実現し、更に、仮想マシン手法やシンクライアント手法に比べて仮想化やＯＳのダウンロード等に伴うリソース消費を抑制することで、高いセキュリティと高速なオーバーヘッドとを両立させることが可能である。より具体的には、本実施形態によれば、管理者が用意すべきイメージは、管理サーバ１ｓに蓄積されるソフトウェアのイメージのみである。このため、本実施形態に係るシステムは、ソフトウェアのイメージに加えてＯＳのイメージを用意する必要がある仮想マシン手法やシンクライアント手法に比べて、記憶領域や帯域等のリソース面、ＯＳの設定に必要な負荷の面で有利である。また、仮想マシン処理を介さないため、仮想マシン手法に比べて処理も軽く、快適な作業環境を用意に構築することが可能である。特に、一時領域８２は断片化されていない連続的記憶領域であるため、本実施形態の制限モードは、断片化されたＨＤＤにアクセスする一般の環境に比べても、全体として高速に動作する。
【００８０】
上記説明したユーザ端末管理システムによれば、ユーザ端末１ｃのＨＤＤ１３ｃに残るデータを管理し、ユーザ端末１ｃにおいて実行されるソフトウェアを管理することで、簡易な管理で高度なセキュリティを提供することが出来る。しかし、上記したユーザ端末１ｃは、残留防止機能を備えるために、残留防止機能を有効にしたままでは、ソフトウェアの更新データやセキュリティ対策ソフトウェアの定義ファイル等、継続的にユーザ端末１ｃに残されるべきデータをＨＤＤ１３ｃに残すことが困難である。また、残留防止機能を単純に無効化するのみでは、ユーザ端末１ｃのセキュリティを確保することが出来ない。この問題を解決するために、本実施形態では、残留防止機能の状態に応じて有効化または無効化される接続制限部３３を採用した。以下、図１５および図１６を用いて説明する。
【００８１】
図１５は、本実施形態に係るパケットフィルタリング機能の起動処理の流れを示すフローチャートである。本フローチャートに示された処理は、システムの起動に伴って開始される。即ち、本フローチャートに示された処理は、図１０Ａおよび図１０ＢのステップＳ２０１以降に示した処理や、後述する図１６に示す処理のバックグラウンドで実行される処理である。
【００８２】
ステップＳ５０１およびステップＳ５０２では、システムの起動処理およびパケットフィルタリング機能（本実施形態では、所謂クライアントファイアウォールアプリケーションが用いられる）の起動処理が行われる。接続制限部３３は、システムの起動後（ステップＳ５０１）、システムにインストールされているクライアントファイアウォールアプリケーションを起動させることで、パケットフィルタリングを開始する（ステップＳ５０２）。なお、本実施形態におけるクライアントファイアウォールアプリケーションは、上記説明した残留防止機能を実行するためのプログラムとは別個のプログラムとして提供されてもよいし、一体のプログラムとして提供されてもよい。また、本実施形態において用いられるパケットフィルタリング機能は、ポート番号や接続先アドレスを参照することで接続を制限するものであるが、システムにインストールされたアプリケーションごとに接続の可否を決定する機能を更に備えていても良いし、具体的な接続制限に用いられる手法はアドレスやポート番号を用いない手法であってもよい。
【００８３】
本実施形態において用いられるパケットフィルタリング機能は、管理サーバ１ｓへの接続のみを許可し、その他の一切の接続を制限する。即ち、具体的には、本実施形態に係るパケットフィルタリング機能は、予め設定された管理サーバ１ｓのアドレスのみを許可アドレスとして設定し、その他のアドレスを拒否アドレスとして設定することで、管理サーバ１ｓとの接続のみを許可する。換言すると、原則としてアウトバウンド接続／インバウンド接続の何れであるかに拘らず全ての接続を拒否し、例外的に管理サーバ１ｓへの接続、および管理サーバ１ｓからの接続のみを許可する。なお、ポート番号についても、管理サーバ１ｓとの通信に用いられるポート番号のみに制限されてよい。その後、処理はステップＳ５０３へ進む。
【００８４】
ステップＳ５０３およびステップＳ５０４では、セキュリティ状態の確認処理が行われ、ユーザ端末１ｃが、所定のセキュリティポリシーを満足しているか否かが判定される。接続制限部３３は、ユーザ端末１ｃの現在のセキュリティ状態を確認するために、ユーザ端末１ｃ上で動作するオペレーティングシステムをはじめとするソフトウェアのバージョン情報や更新日時情報、制限モードの状態を示す情報、セキュリティ対策ソフトウェアによって参照される定義ファイル（ウィルス定義ファイルの他、攻撃パターン定義ファイル、迷惑メール定義ファイル等も含まれる）のバージョン情報や更新日時情報、ユーザ端末１ｃで動作中のプロセス、ＨＤＤ１３ｃに記録されているファイル、ＯＳやアプリケーションの設定内容等、セキュリティポリシーを満足しているか否かを判定するために必要な情報を、予め指定された参照箇所を参照することで取得する（ステップＳ５０３）。例えば、制限モードの状態は、制限モードフラグ８１を参照することで取得することが出来る。
【００８５】
接続制限部３３は、ユーザ端末１ｃの現在の状態がセキュリティポリシーを満足しているか否かを判定するために必要な情報が取得されると、取得されたこれらの情報を、予め設定されたセキュリティポリシーと比較することで、所定のセキュリティポリシーが満たされているか否かを判定する（ステップＳ５０４）。本実施形態では、セキュリティポリシーとして、制限モードが有効となっていること、定義ファイルの最終更新日時が所定の期間内（例えば、３日以内）であること、規定の常駐プロセス（例えば、セキュリティ対策ソフトウェアのウィルス監視プロセス）が起動していること、規定のファイル（例えば、最新のパッチに含まれるファイル）が存在していること、および、規定のシステム設定内容（Ｗｉｎｄｏｗｓ（登録商標）ＯＳにおけるレジストリに相当する）が存在していること、が定められている。そして、ステップＳ５０３で取得された実際のシステムの状態と、これらのセキュリティポリシーとが比較されることで、所定のセキュリティポリシーが満足されているか否かが判定される。所定のセキュリティポリシーが満足されていると判定された場合、処理はステップＳ５０５へ進む。所定のセキュリティポリシーが満足されていないと判定された場合、処理はステップＳ５０２へ進む。
【００８６】
即ち、ステップＳ５０４において、所定のセキュリティポリシーが満足されていないと判定された場合、クライアントファイアウォールのパケットフィルタリング処理が継続または再開される。このようにすることで、本実施形態に係るユーザ端末１ｃは、所定のセキュリティポリシーが充足されるまでは、管理サーバ１ｓ以外への接続が一切許可されない厳格な接続制限を行うこととしている。
【００８７】
ステップＳ５０５では、パケットフィルタリング機能による接続制限が解除される。接続制限部３３は、ステップＳ５０４において、所定のセキュリティポリシーが満足されていると判定されると、ステップＳ５０２で起動されたクライアントファイアウォールのパケットフィルタリング処理を停止する。即ち、これ以降、ユーザ端末１ｃは、管理サーバ１ｓ以外の端末およびサーバとの通信を行うことが可能となる。ステップＳ５０４におい
て、所定のセキュリティポリシーとして、制限モードが有効となっていることが確認されているため、管理サーバ１ｓ以外への接続を許可しても、これ以降新たにダウンロード等されたデータは残留防止の対象となり、ＨＤＤ１３ｃに残らない。
【００８８】
なお、所定のセキュリティポリシーが満足され、ステップＳ５０５におけるパケットフィルタリングの解除が行われた場合にも、クライアントファイアウォールアプリケーションの実行は継続されて良い。但し、セキュリティポリシーが満足されていることが確認された後（ステップＳ５０５以降）におけるクライアントファイアウォールアプリケーションの実行は、主に悪意ある接続や不適切な接続を遮断するためのものであり、接続先が管理サーバ１ｓのみに限定されその他の一切の接続が遮断されるステップＳ５０２のパケットフィルタリングとは異なる。
【００８９】
また、ステップＳ５０５におけるパケットフィルタリングの解除処理が終了すると、その後処理はステップＳ５０３へ進む。即ち、本フローチャートに示された処理では、セキュリティポリシーが満足されて管理サーバ１ｓ以外との通信が可能となった後も、セキュリティポリシーの状態が常に監視され、セキュリティポリシーが充足されない状態となると、即座にパケットフィルタリングが有効となり、管理サーバ１ｓ以外との通信が制限される。より具体的には、図１６を用いて後述するソフトウェア更新処理において、ＨＤＤ１３ｃへのファイル保存のために制限モードが無効化されるかまたは残留防止機能が無効化されると、即座に管理サーバ１ｓ以外との通信が制限され、安全にソフトウェアの更新を行うことを可能としている。
【００９０】
即ち、本フローチャートに示す処理によれば、制限モードの有効化を含む所定のセキュリティポリシーが満足されていない間、上記説明したパケットフィルタリング処理が行われることで、ユーザ端末１ｃは、ステップＳ２０１からステップＳ２１７において説明した、制限モードによる残留防止機能が有効となっていない間（特に、ステップＳ２１０からステップＳ２１３において説明した、制限モードが有効であるか否かに拘らずユーザ端末１ｃのＨＤＤ１３ｃ上に残されるべきソフトウェアのダウンロード処理）のセキュリティや、図１６を用いて後述するソフトウェア更新処理の間のセキュリティを確保することが出来る。
【００９１】
本実施形態では、更に、以下に説明する処理が実行されることで、オペレーティングシステムやセキュリティ対策ソフトウェアの更新等、ユーザ端末１ｃのＨＤＤ１３ｃ上に残されるべきデータのダウンロードを、安全性を保った状態で行うことが出来る。
【００９２】
図１６は、本実施形態におけるソフトウェア更新処理の流れを示すフローチャートである。本フローチャートに示された処理は、ユーザ端末１ｃが起動して残留防止機能が有効化された状態で動作している最中、即ち、図１０Ｂに示されたステップＳ２２１以降、非制限モードへの移行指示を受け付ける（ステップＳ３０１）までの間に実行される。
【００９３】
ステップＳ６０１では、認証された管理サーバ１ｓに対して、更新ファイルの確認要求が送信される。ユーザ端末１ｃにインストールされて実行されているオペレーティングシステムやセキュリティ対策ソフトウェア等は、ステップＳ２０３およびステップＳ２０４の処理において認証された管理サーバ１ｓに対して、オペレーティングシステムの更新ファイルや、セキュリティ対策ソフトウェアの更新ファイル、ウィルス定義ファイル等が存在するか否かを問い合わせる。通常、このような更新情報の問い合わせは、ソフトウェアごとに指定されたサーバに対して行われるが、本実施形態では、各ソフトウェアの設定変更や、Ｗｅｂアクセスの際の代理（プロキシ）サーバとして管理サーバ１ｓを指定する等の設定をシステムに行うことで、更新情報の問い合わせが全て管理サーバ１ｓへ送信されるように設定されている。その後、処理はステップＳ６０２へ進む。
【００９４】
ステップＳ６０２からステップＳ６０４では、更新ファイルの確認要求が受信された管理サーバ１ｓによって、更新ファイルの確認および通知が行われる。管理サーバ１ｓは、ステップＳ６０１でユーザ端末１ｃによって送信された更新ファイルの確認要求を受信する（ステップＳ６０２）。そして、管理サーバ１ｓは、受信された確認要求に従って、管理サーバ１ｓ自身によって保持されている各種ソフトウェア更新情報を参照するか、または各種ソフトウェアの更新情報を保持するＯＳ更新ファイル配布サーバ９１やセキュリティ対策ソフトウェア更新ファイル配布サーバ９２等の外部端末へ問い合わせを行うことで、更新ファイルが存在するか否かの確認を行う（ステップＳ６０３）。確認要求を受けたソフトウェアについての更新ファイルの有無が確認されると、管理サーバ１ｓは、確認の結果をユーザ端末１ｃへ送信する（ステップＳ６０４）。その後、処理はステップＳ６０５へ進む。
【００９５】
ステップＳ６０５およびステップＳ６０６では、ユーザ端末１ｃによって、更新ファイル通知が受信され、更新ファイルの有無が判定される。ユーザ端末１ｃは、ステップＳ６０４で管理サーバ１ｓが送信した更新ファイルの確認結果を受信し（ステップＳ６０５）、受信した確認結果の内容を参照することで更新ファイルの有無を確認する（ステップＳ６０６）。更新ファイルが存在すると判定された場合、処理はステップＳ６０７へ進む。更新ファイルが存在しないと判定された場合、本フローチャートに示された処理は終了する。即ち、更新ファイルが存在しないと判定された場合、ユーザはユーザ端末１ｃにおいて動作する各種ソフトウェアを用いて、引き続き作業を行うことが出来る。
【００９６】
ステップＳ６０７では、メンテナンスモードへの移行を確認するメンテナンスモード移行インターフェースが表示され、入力内容が判定される。受付部２３は、ユーザに対して、ソフトウェアの更新のために、作業を中断してメンテナンスモードへ移行するか否かを問い合わせるメッセージと、ユーザによる了承またはキャンセルの選択を受け付けるボタンとを含むメンテナンスモード移行インターフェース（図示は省略する）を、ディスプレイ１６ｃに表示し、ユーザの選択入力を受け付ける。ユーザによる選択が、メンテナンスモードへの移行を了承する内容である場合、処理はステップＳ６０８へ進む。ユーザによる選択が、メンテナンスモードへの移行を了承しない内容（キャンセル等）である場合、本フローチャートに示された処理は終了し、ユーザはユーザ端末１ｃにおいて動作する各種ソフトウェアを用いて、引き続き作業を行うことが出来る。
【００９７】
なお、本実施形態においてメンテナンスモードとは、制限モードフラグ８１および残留防止機能フラグが無効化され、保存データの一時領域８２へのリダイレクトが行われなくなることで、ソフトウェアの更新等、必要なファイルをＨＤＤ１３ｃに残すことを可能とするモードである。
【００９８】
ステップＳ６０８では、メンテナンスモードへの移行が行われる。制限モード設定部２４（本発明の残留防止機能停止手段に相当する）は、制限モードフラグ８１に制限モードを無効とすることを示す値を設定することで制限モードを無効化し、更に、一時領域確保部２７は、ＲＡＭ１２ｃ上の残留防止機能フラグに残留防止機能が無効であることを示す値を設定することで、残留防止機能を無効化する。このため、これ以降は先述したステップＳ４０２の判定処理で残留防止機能フラグが無効であると判定されるため、この後ダウンロードされる更新ファイルは一時領域８２へリダイレクトされることなく、制限モードの終了処理やユーザ端末１ｃの再起動によっても失われない。その後、処理はステップＳ６０９へ進む。
【００９９】
なお、本実施形態では、一時領域確保部２７によって残留防止機能フラグに直接無効設定が行われることで残留防止機能が停止されることとしているが、これに代えて、制限モ
ード設定部２４によって制限モードフラグ８１に無効設定が行われた後の再起動によって残留防止機能が停止されてもよい。この場合、制限モード設定部２４は、制限モードフラグ８１に制限モードが無効であることを示す値を設定し、ユーザ端末１ｃを再起動させる。ユーザ端末１ｃが再起動すると、残留防止機能フラグは初期化され、再び制限モードフラグ８１が有効に設定されるまでシステムは非制限モード（メンテナンスモード）で動作するため、更新ファイルの保存を行うことが可能である。但し、再起動を伴う残留防止機能の無効化が採用される場合、ユーザ端末１ｃを用いたそれまでの作業内容は、一時領域８２に保存されているために失われる。このため、再起動を伴う残留防止機能の無効化を行う場合には、上記メンテナンスモード移行インターフェース等にメッセージを表示することで、作業内容が失われることをユーザに通知することが好ましい。また、再起動による残留防止機能の無効化が採用される場合には、ソフトウェアの更新作業の途中であることを示す情報をＨＤＤ１３ｃに保存して、再起動後に保存された情報を参照することで、ステップＳ６０９以降の処理に復帰させる必要がある。
【０１００】
なお、上記ステップＳ６０８において残留防止機能が無効化されると、図１５を用いて説明したステップＳ５０３およびステップＳ５０４の処理において、ユーザ端末１ｃが、所定のセキュリティポリシーを満足していないと判定され、パケットフィルタリングが有効となる（ステップＳ５０２）。また、管理サーバ１ｓが代理サーバとして設定され、以降、パケットフィルタリングが有効である間の接続は全て管理サーバ１ｓの代理によって行われる。
【０１０１】
ステップＳ６０９およびステップＳ６１０では、更新ファイルのダウンロードおよび更新処理が行われる。データ受信部２８は、管理サーバ１ｓに接続することで、管理サーバ１ｓまたは外部端末９１、９２に保持されている更新ファイルをダウンロードし、ＨＤＤに保存する（ステップＳ６０９）。ここで、更新ファイルが管理サーバ１ｓではない外部端末９１、９２に保持されている場合には、データ受信部２８は、管理サーバ１ｓを代理サーバとして通信することで、直接には管理サーバ１ｓにのみ接続することで、外部端末９１、９２上の更新ファイルをダウンロードする。管理サーバ１ｓのデータ送信部４５は、更新ファイルが管理サーバ１ｓに保持されている場合にはそれを読み出して、更新ファイルが外部端末９１、９２に保持されている場合にはそれを代理サーバとして取得して、ユーザ端末１ｃへ送信する。ダウンロードが完了すると、データ保存部３４は、ＨＤＤ１３ｃ上のファイルの置き換えや設定変更等を伴うソフトウェアの更新処理を実行する。ここで実行された更新処理の結果は、残留防止機能が無効化されているために、ＨＤＤ１３ｃに反映される。ソフトウェアの更新が終了すると、処理はステップＳ６１１へ進む。
【０１０２】
ステップＳ６１１では、制限モードへの移行を確認する制限モード移行インターフェースが表示され、入力内容が判定される。受付部２３は、ユーザに対して、ソフトウェアの更新が終了したことを通知し、制限モードへ移行するか否かを問い合わせるメッセージと、ユーザによる了承またはキャンセルの選択を受け付けるボタンとを含む制限モード移行インターフェース（図示は省略する）を、ディスプレイ１６ｃに表示し、ユーザの選択入力を受け付ける。ユーザによる選択が、制限モードへの移行を了承する内容である場合、処理はステップＳ６１２へ進む。ユーザによる選択が、制限モードへの移行を了承しない内容（キャンセル等）である場合、本フローチャートに示された処理は終了し、メンテナンスモードが継続される。
【０１０３】
ステップＳ６１２では、制限モードへの移行が行われる。制限モード設定部２４は、制限モードフラグ８１に制限モードを有効とすることを示す値を設定することで制限モードを有効化し、更に、一時領域確保部２７は、ＲＡＭ１２ｃ上の残留防止機能フラグに残留防止機能を有効とする値を設定することで、残留防止機能を有効化する。以降は先述したステップＳ４０２の判定処理で残留防止機能フラグが有効であると判定されるため、この
後の作業において新規作成されるデータや、新たにダウンロードされるデータは一時領域８２へリダイレクトされ、ユーザ端末１ｃの再起動によって失われる。即ち、ユーザはユーザ端末１ｃにおいて動作する各種ソフトウェアを用いて、セキュアな環境で引き続き作業を行うことが出来る。
【０１０４】
なお、本実施形態では、再起動なしに残留防止機能が有効化されることとしているが、これに代えて、制限モード設定部２４によって制限モードフラグ８１に有効設定が行われ、再起動されることで残留防止機能が有効化されてもよい。この場合、制限モード設定部２４は、制限モードフラグ８１に制限モードが有効であることを示す値を設定し、ユーザ端末１ｃを再起動させる。ユーザ端末１ｃが再起動すると、ステップＳ２２１で残留防止機能フラグが有効に設定され、残留防止機能が有効化される。
【０１０５】
残留防止機能が有効化されると、図１５を用いて説明したステップＳ５０３およびステップＳ５０４の処理において、ユーザ端末１ｃが、所定のセキュリティポリシーを満足したと判定され、パケットフィルタリングが無効となる（ステップＳ５０５）。即ち、これ以降管理サーバ１ｓ以外への接続が許可され、ユーザ端末１ｃは、管理サーバ１ｓ以外の端末およびサーバとの通信を行うことが可能となる。
【０１０６】
図１７は、本実施形態に係るソフトウェア更新処理とパケットフィルタリング機能の起動処理とが連動して行われる様子を示す概要図である。はじめに、ユーザ端末１ｃは、ソフトウェア更新処理に先立って管理サーバへ認証情報を送信し、管理サーバ１ｓとの間で認証処理を実行する（図１０ＡのステップＳ２０３およびステップＳ２０４に相当）。なお、この際、ユーザ端末１ｃにおいても、管理サーバ１ｓから受信した情報を用いて、サーバ認証部３５によって管理サーバ１ｓを認証してもよい。また、ユーザ端末１ｃは、管理サーバ１ｓに対して更新ファイルの確認要求を行う。これに対して、管理サーバ１ｓは、必要であれば外部端末９１、９２と通信して更新ファイルの確認を行い、更新ファイルの通知を返信する（図１６のステップＳ６０１からステップＳ６０６に相当）。ここで、ユーザ端末１ｃの残留防止機能が無効とされ、クライアントファイアウォールによってパケットフィルタリングが行われ、管理サーバ１ｓへのアクセスのみが許可される（図１５で説明したステップＳ５０４を参照）。その後、ユーザ端末１ｃによって、管理サーバ１ｓを介した更新ファイルのダウンロードおよび更新ファイルの適用が行われ、本実施形態に係るユーザ端末１ｃのソフトウェアの更新処理は終了する（図１６のステップＳ６０９およびステップＳ６１０を参照）。
【０１０７】
なお、本実施形態では、上記説明した通りの処理順序に従って処理が進められるが、具体的な処理順序および内容は、実施の形態に応じて適宜選択されてよい。例えば上記実施形態では、管理サーバ１ｓはユーザ端末１ｃの起動時に認証を行い、制限モードおよび残留防止機能の無効化はユーザ端末１ｃが自発的に実行しているが、このような処理順序および内容に代えて、管理サーバ１ｓは、更新ファイルのダウンロードに先立って、ユーザ端末１ｃの認証と、制限モードおよび残留防止機能の状態の確認と、を行うこととしてもよい。
【０１０８】
即ち、管理サーバ１ｓは、更新ファイルのダウンロードに先立ってユーザ端末１ｃを認証し、この認証と同時にユーザ端末１ｃから制限モードの状態や残留防止機能の状態を取得することで、これから送信する更新ソフトウェアがユーザ端末１ｃのＨＤＤ１３ｃに（残留防止機能による残留防止の対象とならずに）保存されることを確認する。この際、ユーザ端末１ｃにおいて制限モードまたは残留防止機能が有効となっていることが把握された場合には、管理サーバ１ｓは、ユーザ端末１ｃに対して、制限モードおよび残留防止機能を無効化し、メンテナンスモードへ移行することを指示してもよい。ユーザ端末１ｃは、管理サーバ１ｓから受信したモード移行指示に従って、制限モードおよび残留防止機能
を無効化し、メンテナンスモードへ移行する機能を備え、これを実行することで、更新ファイルの受信準備を整える。
【０１０９】
本実施形態に係るユーザ端末管理システム１によれば、残留防止機能を備えるユーザ端末１ｃにおいて、残留防止機能が無効化されている間に有効化されて管理サーバ１ｓ以外との通信を制限する接続制限部３３を採用することで、ユーザ端末１ｃのセキュリティを確保した状態で、ソフトウェアの更新データやセキュリティ対策ソフトウェアの定義ファイル等、継続的にユーザ端末１ｃに残されるべきデータをＨＤＤ１３ｃに残すことが可能である。
【図面の簡単な説明】
【０１１０】
【図１】実施形態に係るユーザ端末管理システムのハードウェア構成の概略を示す図である。
【図２】実施形態に係るユーザ端末管理システムの機能構成の概略を示す図である。
【図３Ａ】実施形態におけるソフトウェア情報テーブルの構成を示す図Ａである。
【図３Ｂ】実施形態におけるソフトウェア情報テーブルの構成を示す図Ｂである。
【図４】実施形態における認証情報テーブルの構成を示す図である。
【図５】実施形態における制限モード定義情報テーブルの構成を示す図である。
【図６】実施形態における記憶領域の構成を示す図である。
【図７】実施形態におけるアドレス変換テーブルを示す図である。
【図８】実施形態に係る制限モード定義情報を作成する処理の流れを示すフローチャートである。
【図９】実施形態においてディスプレイに表示される制限モード定義情報作成インターフェースのイメージを示す図である。
【図１０Ａ】実施形態における制限モード制御処理の流れを示すフローチャートである。
【図１０Ｂ】実施形態における制限モード制御処理の流れを示すフローチャートである。
【図１１】実施形態においてディスプレイに表示される制限モード定義情報選択インターフェースのイメージを示す図である。
【図１２】実施形態においてディスプレイに表示される制限モード離脱インターフェースのイメージを示す図である。
【図１３】実施形態における非制限モード移行処理の流れを示すフローチャートである。
【図１４】実施形態における残留防止処理の流れを示すフローチャートである。
【図１５】実施形態に係るパケットフィルタリング機能の起動処理の流れを示すフローチャートである。
【図１６】実施形態におけるソフトウェア更新処理の流れを示すフローチャートである。
【図１７】実施形態に係るソフトウェア更新処理とパケットフィルタリング機能の起動処理とが連動して行われる様子を示す概要図である。
【符号の説明】
【０１１１】
１ ユーザ端末管理システム
１ｓ 管理サーバ
１ｃ ユーザ端末（情報処理端末）
２１ 識別情報送信部
２７ 一時領域確保部
２８ データ受信部
２９ 一時領域記録部
３０ 変換情報蓄積部
３３ 接続制限部
３４ データ保存部
３５ サーバ認証部
４１ 認証部
４２ 識別情報受信部
４５ データ送信部
【特許請求の範囲】
【請求項１】
不揮発性記憶装置に接続された情報処理端末であって、
データが前記不揮発性記憶装置に残ることを防止する残留防止手段と、
ダウンロードして前記不揮発性記憶装置に残すべき所定のデータが外部端末に存在する場合に、前記残留防止機能を停止する残留防止機能停止手段と、
前記残留防止機能が有効となっていない間に、前記外部端末との間の通信に必要な接続を許可し、その他の接続を制限する接続制限手段と、
前記残留防止機能が有効となっておらず、且つ前記接続制限が行われている間、前記外部端末から前記所定のデータを受信するデータ受信手段と、
前記データ受信手段によって受信された前記所定のデータを、前記不揮発性記憶装置に記憶させるデータ保存手段と、
を備える情報処理端末。
【請求項２】
前記接続制限手段は、管理サーバとの接続を許可し、
前記データ受信手段は、前記管理サーバを介して、前記外部端末から前記所定のデータを受信する、
請求項１に記載の情報処理端末。
【請求項３】
前記管理サーバとの間で認証処理を実行するサーバ認証手段を更に備え、
前記接続制限手段は、前記サーバ認証手段によって認証された管理サーバとの接続を許可する、
請求項２に記載の情報処理端末。
【請求項４】
前記不揮発性記憶装置における一部の領域を、該情報処理端末の起動または終了に際して初期化される一時領域として確保する一時領域確保手段を更に備え、
前記残留防止手段は、前記不揮発性記憶装置に書き込まれようとしているデータを前記一時領域に記録することで、該データが前記不揮発性記憶装置に残ることを防止する、
請求項１から３の何れか一項に記載の情報処理端末。
【請求項５】
所定の情報処理端末を管理する管理サーバであって、
前記所定の情報処理端末は、データが不揮発性記憶装置に残ることを防止する残留防止手段、前記不揮発性記憶装置に残すべき所定のデータが外部端末に存在する場合に前記残留防止機能を停止する残留防止機能停止手段、および、前記残留防止機能が有効となっていない間、該管理サーバとの接続を許可し、その他の接続を制限する接続制限手段、を備える情報処理端末であり、
前記所定の情報処理端末において、前記残留防止機能が有効となっておらず、且つ前記接続制限が行われている間に、前記所定のデータを前記情報処理端末に受信させて前記不揮発性記憶装置に記憶させるデータ送信手段を備える、管理サーバ。
【請求項６】
前記所定の情報処理端末との間で認証処理を実行する端末認証手段を更に備え、
前記データ送信手段は、前記端末認証手段によって認証された情報処理端末において、前記残留防止機能が有効となっておらず、且つ前記接続制限が行われている間に、前記所定のデータを前記情報処理端末に受信させて前記不揮発性記憶装置に記憶させる、
請求項５に記載の管理サーバ。
【請求項７】
不揮発性記憶装置に接続され、データが前記不揮発性記憶装置に残ることを防止する残留防止機能を有するコンピュータが、
ダウンロードして前記不揮発性記憶装置に残すべき所定のデータが外部端末に存在する場合に、前記残留防止機能を停止する残留防止機能停止ステップと、
前記残留防止機能が有効となっていない間に、前記外部端末との間の通信に必要な接続を許可し、その他の接続を制限する接続制限ステップと、
前記残留防止機能が有効となっておらず、且つ前記接続制限が行われている間、前記外部端末から前記所定のデータを受信するデータ受信ステップと、
前記データ受信ステップで受信された前記所定のデータを、前記不揮発性記憶装置に記憶させるデータ保存ステップと、
を実行する情報処理方法。
【請求項８】
データが不揮発性記憶装置に残ることを防止する残留防止手段、前記不揮発性記憶装置に残すべき所定のデータが外部端末に存在する場合に前記残留防止機能を停止する残留防止機能停止手段、および、前記残留防止機能が有効となっていない間、該管理サーバとの接続を許可し、その他の接続を制限する接続制限手段、を備える情報処理端末を管理するコンピュータが、
前記所定の情報処理端末において、前記残留防止機能が有効となっておらず、且つ前記接続制限が行われている間に、前記所定のデータを前記情報処理端末に受信させて前記不揮発性記憶装置に記憶させるデータを送信する、情報処理端末管理方法。
【請求項９】
不揮発性記憶装置に接続され、データが前記不揮発性記憶装置に残ることを防止する残留防止手段と、ダウンロードして前記不揮発性記憶装置に残すべき所定のデータが外部端末に存在する場合に、前記残留防止機能を停止する残留防止機能停止手段と、前記残留防止機能が有効となっていない間に、前記外部端末から前記所定のデータを受信するデータ受信手段と、受信された前記所定のデータを前記不揮発性記憶装置に記憶させるデータ保存手段と、を備えるコンピュータを、
前記残留防止機能が有効となっていない間に、前記外部端末との間の通信に必要な接続を許可し、その他の接続を制限する接続制限手段として機能させるプログラム。
【請求項１０】
データが不揮発性記憶装置に残ることを防止する残留防止手段、前記不揮発性記憶装置に残すべき所定のデータが外部端末に存在する場合に前記残留防止機能を停止する残留防止機能停止手段、および、前記残留防止機能が有効となっていない間、該管理サーバとの接続を許可し、その他の接続を制限する接続制限手段、を備える情報処理端末を管理するコンピュータを、
前記所定の情報処理端末において、前記残留防止機能が有効となっておらず、且つ前記接続制限が行われている間に、前記所定のデータを前記情報処理端末に受信させて前記不揮発性記憶装置に記憶させるデータ送信手段として機能させる、プログラム。
【請求項１】
不揮発性記憶装置に接続された情報処理端末であって、
データが前記不揮発性記憶装置に残ることを防止する残留防止手段と、
ダウンロードして前記不揮発性記憶装置に残すべき所定のデータが外部端末に存在する場合に、前記残留防止機能を停止する残留防止機能停止手段と、
前記残留防止機能が有効となっていない間に、前記外部端末との間の通信に必要な接続を許可し、その他の接続を制限する接続制限手段と、
前記残留防止機能が有効となっておらず、且つ前記接続制限が行われている間、前記外部端末から前記所定のデータを受信するデータ受信手段と、
前記データ受信手段によって受信された前記所定のデータを、前記不揮発性記憶装置に記憶させるデータ保存手段と、
を備える情報処理端末。
【請求項２】
前記接続制限手段は、管理サーバとの接続を許可し、
前記データ受信手段は、前記管理サーバを介して、前記外部端末から前記所定のデータを受信する、
請求項１に記載の情報処理端末。
【請求項３】
前記管理サーバとの間で認証処理を実行するサーバ認証手段を更に備え、
前記接続制限手段は、前記サーバ認証手段によって認証された管理サーバとの接続を許可する、
請求項２に記載の情報処理端末。
【請求項４】
前記不揮発性記憶装置における一部の領域を、該情報処理端末の起動または終了に際して初期化される一時領域として確保する一時領域確保手段を更に備え、
前記残留防止手段は、前記不揮発性記憶装置に書き込まれようとしているデータを前記一時領域に記録することで、該データが前記不揮発性記憶装置に残ることを防止する、
請求項１から３の何れか一項に記載の情報処理端末。
【請求項５】
所定の情報処理端末を管理する管理サーバであって、
前記所定の情報処理端末は、データが不揮発性記憶装置に残ることを防止する残留防止手段、前記不揮発性記憶装置に残すべき所定のデータが外部端末に存在する場合に前記残留防止機能を停止する残留防止機能停止手段、および、前記残留防止機能が有効となっていない間、該管理サーバとの接続を許可し、その他の接続を制限する接続制限手段、を備える情報処理端末であり、
前記所定の情報処理端末において、前記残留防止機能が有効となっておらず、且つ前記接続制限が行われている間に、前記所定のデータを前記情報処理端末に受信させて前記不揮発性記憶装置に記憶させるデータ送信手段を備える、管理サーバ。
【請求項６】
前記所定の情報処理端末との間で認証処理を実行する端末認証手段を更に備え、
前記データ送信手段は、前記端末認証手段によって認証された情報処理端末において、前記残留防止機能が有効となっておらず、且つ前記接続制限が行われている間に、前記所定のデータを前記情報処理端末に受信させて前記不揮発性記憶装置に記憶させる、
請求項５に記載の管理サーバ。
【請求項７】
不揮発性記憶装置に接続され、データが前記不揮発性記憶装置に残ることを防止する残留防止機能を有するコンピュータが、
ダウンロードして前記不揮発性記憶装置に残すべき所定のデータが外部端末に存在する場合に、前記残留防止機能を停止する残留防止機能停止ステップと、
前記残留防止機能が有効となっていない間に、前記外部端末との間の通信に必要な接続を許可し、その他の接続を制限する接続制限ステップと、
前記残留防止機能が有効となっておらず、且つ前記接続制限が行われている間、前記外部端末から前記所定のデータを受信するデータ受信ステップと、
前記データ受信ステップで受信された前記所定のデータを、前記不揮発性記憶装置に記憶させるデータ保存ステップと、
を実行する情報処理方法。
【請求項８】
データが不揮発性記憶装置に残ることを防止する残留防止手段、前記不揮発性記憶装置に残すべき所定のデータが外部端末に存在する場合に前記残留防止機能を停止する残留防止機能停止手段、および、前記残留防止機能が有効となっていない間、該管理サーバとの接続を許可し、その他の接続を制限する接続制限手段、を備える情報処理端末を管理するコンピュータが、
前記所定の情報処理端末において、前記残留防止機能が有効となっておらず、且つ前記接続制限が行われている間に、前記所定のデータを前記情報処理端末に受信させて前記不揮発性記憶装置に記憶させるデータを送信する、情報処理端末管理方法。
【請求項９】
不揮発性記憶装置に接続され、データが前記不揮発性記憶装置に残ることを防止する残留防止手段と、ダウンロードして前記不揮発性記憶装置に残すべき所定のデータが外部端末に存在する場合に、前記残留防止機能を停止する残留防止機能停止手段と、前記残留防止機能が有効となっていない間に、前記外部端末から前記所定のデータを受信するデータ受信手段と、受信された前記所定のデータを前記不揮発性記憶装置に記憶させるデータ保存手段と、を備えるコンピュータを、
前記残留防止機能が有効となっていない間に、前記外部端末との間の通信に必要な接続を許可し、その他の接続を制限する接続制限手段として機能させるプログラム。
【請求項１０】
データが不揮発性記憶装置に残ることを防止する残留防止手段、前記不揮発性記憶装置に残すべき所定のデータが外部端末に存在する場合に前記残留防止機能を停止する残留防止機能停止手段、および、前記残留防止機能が有効となっていない間、該管理サーバとの接続を許可し、その他の接続を制限する接続制限手段、を備える情報処理端末を管理するコンピュータを、
前記所定の情報処理端末において、前記残留防止機能が有効となっておらず、且つ前記接続制限が行われている間に、前記所定のデータを前記情報処理端末に受信させて前記不揮発性記憶装置に記憶させるデータ送信手段として機能させる、プログラム。
【図１】
【図２】
【図３Ａ】
【図３Ｂ】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０Ａ】
【図１０Ｂ】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図２】
【図３Ａ】
【図３Ｂ】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０Ａ】
【図１０Ｂ】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【公開番号】特開２０１０−４４６５６（Ｐ２０１０−４４６５６Ａ）
【公開日】平成２２年２月２５日（２０１０．２．２５）
【国際特許分類】
【出願番号】特願２００８−２０９１７１（Ｐ２００８−２０９１７１）
【出願日】平成２０年８月１５日（２００８．８．１５）
【出願人】（５０１４６４２５５）株式会社テプコシステムズ (17)
【Ｆターム（参考）】
【公開日】平成２２年２月２５日（２０１０．２．２５）
【国際特許分類】
【出願日】平成２０年８月１５日（２００８．８．１５）
【出願人】（５０１４６４２５５）株式会社テプコシステムズ (17)
【Ｆターム（参考）】
[ Back to top ]