情報端末、情報漏洩防止方法および情報漏洩防止プログラム
【課題】暗号化されているデータが漏洩する恐れが生じた場合、データの複合化を防ぐことにより、データの漏洩を防止することが可能な情報端末、情報漏洩防止方法および情報漏洩防止プログラムを提供すること。
【解決手段】情報を格納する記憶装置を備える情報端末であって、前記記憶装置は、前記情報を暗号化して格納し、当該暗号化された情報を暗号鍵により復号するデータ暗号部と、前記情報端末から取り外すことで当該暗号鍵を消去するプレ消去部を有し、割り込み信号を検知する信号検知部と、前記信号検知部が前記割り込み信号の検知に伴い、前記プレ消去部へプレ消去機能を動作させるよう設定するプレ消去設定部と、前記プレ消去設定部による設定とともに、前記プレ消去部による前記暗号鍵の消去を抑止する抑止信号を前記記憶装置へ供給する消去抑止部を備える。
【解決手段】情報を格納する記憶装置を備える情報端末であって、前記記憶装置は、前記情報を暗号化して格納し、当該暗号化された情報を暗号鍵により復号するデータ暗号部と、前記情報端末から取り外すことで当該暗号鍵を消去するプレ消去部を有し、割り込み信号を検知する信号検知部と、前記信号検知部が前記割り込み信号の検知に伴い、前記プレ消去部へプレ消去機能を動作させるよう設定するプレ消去設定部と、前記プレ消去設定部による設定とともに、前記プレ消去部による前記暗号鍵の消去を抑止する抑止信号を前記記憶装置へ供給する消去抑止部を備える。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、記憶装置に格納されている情報の漏洩を防止する情報端末、情報漏洩防止方法および情報漏洩防止プログラムに関する。
【背景技術】
【０００２】
従来、パーソナルコンピュータ等の持ち運び可能な携帯または可搬型の情報端末の盗難や置き忘れによる情報（データ）漏洩が大きな問題となっている。このような情報端末には、ハードディスク装置（ＨＤＤ：Hard Disk Drive）や半導体メモリ装置等の記憶装置が備えられており、この記憶装置には各種のデータが格納されている。情報端末の盗難や置き忘れによって、記憶装置内の重要なデータが漏洩する恐れがある。
【０００３】
そこで、このようなデータの漏洩を防止するための様々な技術が開示されている。
例えば、ＨＤＤを画像形成装置本体に対して固定および固定解除するための、機械構造的に取り付け可能な鍵を備え、ＨＤＤに対して画像データが格納されるとき、鍵によってＨＤＤを画像形成装置本体に対して固定させ、ＨＤＤを画像形成装置本体から取り外す必要が生じた場合、ＨＤＤに格納された画像データを消去するとともに、画像形成装置に格納された画像データが全て消去されたとき、鍵によってＨＤＤを画像形成装置本体から固定解除させる技術が開示されている（例えば、特許文献１参照。）。
【０００４】
また、電源投入時に、ＰＣ（Personal Computer）から転送される回路データを監視し、転送される回路データの異常を検知したとき、記憶部から読み出したディスク消去回路データをプログラマブル回路に記憶させ、そのプログラマブル回路が、記憶したディスク消去回路データに基づいてディスクに記憶された情報を消去する技術が開示されている（例えば、特許文献２参照。）。
【０００５】
また、一時的にデータを暗号化して保存するＨＤＤ等で、暗号化キーをＤＲＡＭ等に保存し、給電が停止すると、暗号化キーが消えるようにする技術が開示されている（例えば、特許文献３参照。）。
【０００６】
また、装置上のストレージに格納された秘密情報に対して、所持者以外からの不正アクセスを検出した場合や、サーバからの指示があった場合等に、秘密情報の少なくとも一部を消去する技術が開示されている。データをサーバにバックアップ転送して、後でダウンロードにより復旧させる技術、揮発性メモリのバックアップ電源断により消去する技術等も開示されている（例えば、特許文献４参照。）。
【０００７】
また、電子機器に実装された記憶装置の抜き取りを検出した後、所定時間は、記憶された所定のデータを保持してから、その一部または全部を消去する技術が開示されている。さらに、不正アクセスで無い場合に、抜き取りと判断しないと認識させる機能も開示されている（例えば、特許文献５参照。）。
【０００８】
また、外観シャーシを基板から取り外すことにより、セキュリティースイッチが開路され、その開路に基づいて電子部品に記憶されているデータを消去する技術が開示されている（例えば、特許文献６参照。）。
【０００９】
また、記憶装置が故障発生を検出すると自己診断を実行し、内部の不揮発性ＲＡＭに診断結果を含む故障情報を記録して、初期化を行うと共にデータ消去を行い、故障情報及びデータの消去完了の情報に従って故障した記憶装置のデータ消去完了証明書を発行して、ユーザ側に送信する技術が開示されている（例えば、特許文献７参照。）。
【００１０】
ところで、通信機能を備えた情報端末のデータ漏洩対策として、盗難紛失時に、リモートにより情報端末を操作して、データの消去およびレポート出力を行う方法がある。データ消去は、データを暗号化している暗号鍵を消去することで実現される。その際の暗号鍵は、暗号化方式によって大きく２つに分類される。
【００１１】
図７は、２つの暗号化方式を説明するための図である。
第１の暗号化方式は、ソフトウェア暗号方式と呼ばれる。ソフトウェア暗号方式の暗号鍵７１は、図７の（Ａ）に示したように、ユーザパスワード等で保護され、その格納場所は外部からアクセスできるＨＤＤ７Ａ上や、セキュリティチップ上など、暗号化の対象であるデータとは別々に管理される。
【００１２】
第２の暗号化方式は、ハードウェア暗号方式（ＳＥＤ：Self Encrypting Drive（自己暗号化ドライブ））と呼ばれる。ハードウェア暗号方式の暗号鍵７１は、ユーザパスワードで保護され、その格納場所は外部からアクセスできないＨＤＤ７Ｂ内部に置かれ、ＨＤＤ７Ｂと一緒に管理される。
【先行技術文献】
【特許文献】
【００１３】
【特許文献１】特開２００６−１５５２７号公報
【特許文献２】特開２００９−２５８９７９号公報
【特許文献３】特開２００４−２８０５５１号公報
【特許文献４】特表２００４−５０６２５８号公報
【特許文献５】特開２００２−１８９６３５号公報
【特許文献６】特開平９−１１４７４６号公報
【特許文献７】特開２００７−１５６５９９号公報
【発明の概要】
【発明が解決しようとする課題】
【００１４】
しかしながら、上述のようなハードウェア暗号方式（ＳＥＤ）では、リモート操作による暗号鍵を消去する命令が来る前に、悪意ある行為によってＨＤＤが抜き取られると、暗号鍵の制御ができず、暗号鍵を消去することができない、という問題点があった。
【００１５】
図８は、ハードウェア暗号方式における課題を説明するための図である。
図８において、従来の情報端末８では、データ暗号部７２がＨＤＤ７Ｂで管理されている暗号鍵７１を用いて、ＨＤＤ７Ｂ上のデータの暗号化および復号化を行っている。
【００１６】
情報端末８が盗難または置き忘れられたことにより、ＨＤＤ７Ｂ内のデータが漏洩する恐れが生じた場合、ユーザは、消去命令実行部８１に対してデータ消去の指示を行う。消去命令実行部８１は、命令中継部８２を介してＨＤＤ７Ｂが備える消去部７３に消去命令を転送する。そして、消去部７３は、暗号鍵７１を消去する。
【００１７】
消去部７３により暗号鍵７１が消去されると、消去されたことがレポート部８３によってレポート受信部８４に通知される。
しかしながら、命令中継部８２が消去部７３に消去命令を転送する前に、ＨＤＤ７Ｂが情報端末８から抜き取られてしまうと、消去部７３は暗号鍵７１を消去することができなくなってしまう。
【００１８】
本発明は、上述のような実状に鑑みたものであり、暗号化されているデータが漏洩する恐れが生じた場合、データの複合化を防ぐことにより、データの漏洩を防止することが可能な情報端末、情報漏洩防止方法および情報漏洩防止プログラムを提供することを目的とする。
【課題を解決するための手段】
【００１９】
本発明は、上記課題を解決するため、下記のような構成を採用した。
すなわち、情報端末の一観点によれば、情報を格納する記憶装置を備える情報端末であって、前記記憶装置は、前記情報を暗号化して格納し、当該暗号化された情報を暗号鍵により復号するデータ暗号部と、前記情報端末から取り外すことで当該暗号鍵を消去するプレ消去部を有し、割り込み信号を検知する信号検知部と、前記信号検知部が前記割り込み信号の検知に伴い、前記プレ消去部へプレ消去機能を動作させるよう設定するプレ消去設定部と、前記プレ消去設定部による設定とともに、前記プレ消去部による前記暗号鍵の消去を抑止する抑止信号を前記記憶装置へ供給する消去抑止部を備えることを特徴とする情報端末が提供される。
【発明の効果】
【００２０】
開示された技術により、悪意ある行為の前兆を情報端末で予知し、ＨＤＤに格納されているデータをプレ消去状態、すなわちＨＤＤの電源が落ちたら暗号鍵が消える状態にすることで、ＨＤＤを抜くまで情報端末の筺体をロックするなどの防御機構コストの負担なく、ＨＤＤが切り離されるイベントと同時にＨＤＤの暗号鍵を消すことができる、という効果を奏する。
【図面の簡単な説明】
【００２１】
【図１】本発明を適用した情報端末の概要を説明するための図である。
【図２】情報漏洩防止機能を説明するための図である。
【図３】情報漏洩防止処理の流れを示すフローチャートである。
【図４】情報端末が相関ＤＢを備えている場合の例を示す図である。
【図５】サーバが相関ＤＢを備えている場合の例を示す図である。
【図６】プレ消去の解除を説明するための図である。
【図７】２つの暗号化方式を説明するための図である。
【図８】ハードウェア暗号方式における課題を説明するための図である。
【発明を実施するための形態】
【００２２】
以下、本発明の実施の形態について、図面を参照しながら詳細に説明する。
図１は、本発明を適用した情報端末の概要を説明するための図である。
図１において、パーソナルコンピュータ等の持ち運び可能な携帯または可搬型の情報端末１は、データを記憶する記憶装置としてのハードディスク装置（ＨＤＤ）２を備える。ＨＤＤ２は、機密情報を含む様々なデータを格納する。ＨＤＤ２は、前記データを暗号化して格納し、当該暗号化されたデータを暗号鍵により復号するデータ暗号部２２と、前記情報端末１から取り外すことで当該暗号鍵を消去するプレ消去部２１を有する。また、情報端末１は、信号検知部１１、プレ消去設定部１２、消去抑止部１３およびプレ消去解除部１４を備える。
【００２３】
信号検知部１１は、ＨＤＤ２が不正に取り外される可能性のある前兆としての割り込み信号を検知する。例えば、信号検知部１１は、不正な前兆と判断する割り込み信号を設定した判断テーブルを持っており、入力される割り込み信号が判断テーブルに記憶されている状態かどうかを判断することにより、不正の前兆を検出する。信号検知部１１は、ＨＤＤ２の筺体が開けられたことをセンサーが検出することにより、前記ＨＤＤ２が不正に取り外される可能性のある前兆を検知する。また、信号検知部１１は、情報端末１が備える主電源装置（メインバッテリー）が取り外されたことを検出することにより、前記ＨＤＤ２が不正に取り外される可能性のある前兆を検知する。なお、これらの前兆の検知が正しいか否かの判断を、情報端末１と通信可能なサーバで実行することも可能である。
【００２４】
また、信号検知部１１は、情報端末１が所定領域外に存在し（所定領域内に存在せず）、かつ、ユーザが所有する携帯電話等の特定の機器と情報端末１が所定距離以上に離れたと判断することにより、前記ＨＤＤ２が不正に取り外される可能性のある前兆を検知する。例えば、まず、情報端末１が会社内等の所定領域内に存在するか否かを判断する。さらに、前記携帯電話等の位置情報と情報端末１の位置情報を検出することにより両者間の距離を算出する。そして、情報端末１が置き忘れられたことを示す情報を格納した相関データベース（ＤＢ：Data Base）３１を参照することにより、前記携帯電話等が所定領域内に存在せず、かつ、両者間の距離が所定値以上の場合に、前記前兆を検知する。
【００２５】
プレ消去設定部１２は、信号検知部１１による前記割り込み信号の検知に伴い、前記プレ消去部へプレ消去機能を動作させるように、プレ消去部２１に対してプレ消去コマンドを発行する。このプレ消去コマンドの発行により、データ暗号部２２によって暗号化された前記情報を復号化するための暗号鍵２２１を、プレ消去部２１によってＨＤＤ２の不揮発性記憶領域から揮発性記憶領域へ移動するように、ＨＤＤ２が設定される。そして、プレ消去部２１は、暗号鍵２２１をＨＤＤ２の不揮発性記憶領域から揮発性記憶領域へ移動する（プレ消去状態にする）。
【００２６】
消去抑止部１３は、プレ消去設定部１２による設定とともに、ＨＤＤ２が取り外されたためにＨＤＤ２への電力が断たれることにより、前記プレ消去部２１による前記暗号鍵２２１が消去されることを抑止する抑止信号をＨＤＤ２へ供給する。
【００２７】
また、プレ消去解除部１４は、ユーザからの指示に基づいて、暗号鍵２２１をＨＤＤ２の揮発性記憶領域から不揮発性記憶領域へ移動する（戻す）ことにより、プレ消去状態を解除する。
【００２８】
このような情報端末１は、ＨＤＤ２が不正に取り外される可能性のある前兆を検知すると、機密情報のデータを復号化するための暗号鍵２２１をＨＤＤ２の不揮発性記憶領域から揮発性記憶領域へ移動するので、ＨＤＤ２が不正に取り外されるとＨＤＤ２への電力供給が断たれ、暗号鍵２２１が消去される。これにより、機密情報のデータの漏洩を防止できる。ただし、暗号鍵２２１がＨＤＤ２の不揮発性記憶領域から揮発性記憶領域へ移動された後は、ＨＤＤ２への電力供給が維持されているので、情報端末１がスタンバイ状態や休止状態であっても暗号鍵２２１が消去されることはない。
【００２９】
また、ユーザにより意図的にメインバッテリーを交換するような場合には、ユーザからの指示に基づいて暗号鍵２２１がＨＤＤ２の揮発性記憶領域から不揮発性記憶領域へ戻されるので、ＨＤＤ２が取り外されＨＤＤ２への電力供給が断たれても、暗号鍵２２１が消去されることはない。
【００３０】
なお、ここで消去とは、電力供給が断たれることにより揮発性記憶領域が不定になることをいう。すなわち、不揮発性記憶領域に記憶されている暗号鍵２２１を消去するとは、暗号鍵２２１が不揮発性記憶領域から読み出せなくなる状態にすることを言う。例えば、暗号鍵２２１を構成する全データ領域を「０」に置き換えてもよいし、「１」に置き換えてもよい。また、「０」と「１」をランダムに置き換えていってもよい。さらには、全データ領域について書き換えるのではなく、予め指定された特定のデータ領域、またはランダムに選択された特定のデータ領域のみを書き換えてもよい。
【００３１】
また、暗号鍵２２１を不揮発性記憶領域から揮発性記憶領域へ移動させ、ＨＤＤ２への電力供給が断たれた際に暗号鍵２２１を消去する代わりに、情報端末１の電源を投入する回数によって暗号鍵２２１を消去してもよいし、プレ消去解除部１４による解除の失敗回数によって暗号鍵２２１を消去してもよいし、揮発性記憶領域への電力供給を調整して所定時間の経過によって暗号鍵２２１を消去してもよい。さらに、前記前兆の不正レベルに応じてこれらを選択可能に構成してもよい。
【００３２】
図２は、情報漏洩防止機能を説明するための図である。
図２では、図１を用いて説明した情報端末１が備える情報漏洩防止機能を説明するため、主に消去抑止部１３およびプレ消去部２１について詳細に示している。
【００３３】
図２において、消去抑止部１３は、切替スイッチ（ＳＷ）１３１および省電力コマンド発行部１３２を備える。
信号検知部１１が図１を用いて説明したような前兆を検知すると、プレ消去設定部１２が、パスワード（ｐｗｄ）１２１とＨＤＤ２が備えるパスワード（ｐｗｄ）２４を照合し、プレ消去部２１に対してプレ消去コマンドを発行する。このプレ消去コマンドの発行により、暗号鍵２２１をＨＤＤ２の不揮発性記憶領域である不揮発メモリ２１１から、揮発性記憶領域である揮発メモリ２１２へ移動するように、ＨＤＤ２が設定される。そして、その設定とともに、切替ＳＷ１３１が、通常通電の状態から常時通電の状態へ切り替える。ここで、通常通電の状態とは、省電力規格「ＡＣＰＩ（Advanced Configuration and Power Interface）」のスリープステートで規定されたＳ３からＳ５の状態をいう。ＡＣＰＩでは、Ｓ０がフル稼働状態、Ｓ１が低消費電力状態（ただし、プロセッサ、チップセットともに電源オン）、Ｓ２が低消費電力状態（ただし、プロセッサとキャッシュは電源オフ、チップセットは電源オン）、Ｓ３がスタンバイ状態、Ｓ４が休止状態、および、Ｓ５がソフトウェアによる電源オフ状態を示す。
【００３４】
さらに、切替ＳＷ１３による切替とともに、省電力コマンド発行部１３２は、ＨＤＤ２が省電力モードになるようにＨＤＤ２に対して省電力コマンドを発行する。
これにより、揮発メモリ２１２に移動された前記暗号鍵２２１が消去されることを抑止するためのＨＤＤ２への電力供給が維持される。
【００３５】
また、切替ＳＷ１３１の切り換えによってＨＤＤ２の電源部２３に電力が常時供給されている状態において、プレ消去部２１は、暗号鍵２２１をＨＤＤ２の不揮発メモリ２１１から揮発メモリ２１２へ移動する。
【００３６】
さらに、情報端末１は、警告表示部１６およびレポート発行部３２を備える。
警告表示部１６は、プレ消去設定部１２がプレ消去部２１に対してプレ消去コマンドを発行し、ＨＤＤ２がプレ消去状態となっていること、または、プレ消去解除部１４がプレ消去状態を解除したことをユーザに警告または報知する。例えば、プレ消去状態であればＬＥＤ（Light Emitting Diode）を赤色で点灯または点滅させ、プレ消去状態が解除されればＬＥＤを青色で点灯させる。また、ＬＤＥ点灯の代わりにBluetooth（登録商標）等の近距離無線通信を使って、ユーザに通知するようにしてもよい。
【００３７】
バイオス（ＢＩＯＳ：Basic Input/Output System）３が備えるレポート発行部３２は、プレ消去設定部１２がプレ消去部２１に対してプレ消去コマンドを発行し、ＨＤＤ２がプレ消去状態となっていること、または、プレ消去解除部１４がプレ消去状態を解除したことを、サーバに対してレポート発行する。
【００３８】
次に、図１および図２を用いて説明した情報端末１のコンピュータが実行する情報漏洩防止処理について説明する。
図３は、情報漏洩防止処理の流れを示すフローチャートである。
【００３９】
まず、ステップＳ３０１において、信号検知部１１が、ＨＤＤ２が不正に取り外される可能性のある前兆があるか否かを判断するための割り込み信号を検知する。
割り込み信号を検知すると（ステップＳ３０１：Ｙｅｓ）、ステップＳ３０２において、切替ＳＷ１３１が、通常通電の状態から常時通電の状態へ切り替えるとともに、ステップＳ３０３において、省電力コマンド発行部１３２が、ＨＤＤ２が省電力モードになるようにＨＤＤ２に対して省電力コマンドを発行する。
【００４０】
次に、ステップＳ３０４において、プレ消去設定部１２が、プレ消去部２１に対してプレ消去コマンドを発行する。
そして、ステップＳ３０５において、警告表示部１６が、ＨＤＤ２がプレ消去状態となっていること、またはプレ消去状態を解除したことをユーザに警告するとともに、ステップＳ３０６において、レポート発行部３２がサーバに対してレポート発行を行う。
【００４１】
図４は、情報端末が相関ＤＢを備えている場合の例を示す図である。
図４において、情報端末１Ａは、上述したような信号検知部１１を備える。信号検知部１１は、前記割り込み信号により、情報端末１Ａが会社等の所定領域の外に存在し（所定領域内に存在せず）、かつ、ユーザが所有するモバイル（携帯電話）５等の特定の機器と情報端末１Ａが所定距離以上に離れたと判断することにより、情報端末１Ａがどこかに置き忘れられたと判断し、ＨＤＤ２が不正に取り外される可能性のある前兆を検知する。
【００４２】
例えば、モバイル５は、ＧＰＳ（Global Positioning System）機能を用いてモバイル５自身の位置情報を取得する。情報端末１Ａは、Bluetooth（登録商標）やＷｉＦｉ（登録商標）等を用いた無線部による通信により、ユーザが所属する会社のサーバ４Ａに直接アクセスすることができる場合には、情報端末１Ａが会社内に存在すると判断する。そして、これらの位置情報からモバイル５と情報端末１Ａの距離を算出する。ここでの距離とは、モバイル５と情報端末１Ａが所定値以上離れているか否かの情報でも構わない。その場合、情報端末１Ａの無線部がモバイル５の無線部と直接Bluetooth（登録商標）やＷｉＦｉ（登録商標）等を用いた通信を行うことができるか否かによって、情報端末１Ａとモバイル５が所定値以上離れているか否かを判断してもよい。
【００４３】
そして、情報端末１Ａは、情報端末１Ａが備える相関ＤＢ３１Ａであって、情報端末１Ａが置き忘れられたことを示す情報を格納した相関ＤＢ３１Ａを参照することにより、モバイル５等が所定領域内に存在せず、かつ、両者間の距離が所定値以上の場合に、前記前兆を検知する。
【００４４】
図５は、サーバが相関ＤＢを備えている場合の例を示す図である。
図５において、情報端末１Ｂは、上述したような信号検知部１１を備える。信号検知部１１は、前記割り込み信号により、情報端末１Ｂが会社等の所定領域の外に存在し（所定領域内に存在せず）、かつ、ユーザが所有するモバイル５等の特定の機器と情報端末１Ｂが所定距離以上に離れたと判断することにより、情報端末１Ｂがどこかに置き忘れられたと判断し、ＨＤＤ２が不正に取り外される可能性のある前兆を検知する。
【００４５】
例えば、モバイル５は、ＧＰＳ（Global Positioning System）機能を用いてモバイル５自身の位置情報（第１の位置情報）と、加速度センサーで検出した値（第１の加速度センサー値）を取得する。そして、ＷｉＦｉ（登録商標）、３ＧＰＰ（3rd Generation Partnership Project）またはＰＨＳ（Personal Handy-phone System）機能等を用いた無線部により、取得したモバイル５の第１の位置情報と第１の加速度センサー値をユーザが所属する会社のサーバ４Ｂに送信する。
【００４６】
また、情報端末１Ｂは、ＷｉＦｉ（登録商標）、３ＧＰＰまたはＰＨＳ機能等を用いた無線部による通信により、前記サーバ４Ｂに直接アクセスすることができる場合には、情報端末１Ｂが会社内に存在すると判断する。さらに、情報端末１Ｂも加速度センサーで検出した値（第２の加速度センサー値）を取得する。そして、ＷｉＦｉ（登録商標）、３ＧＰＰまたはＰＨＳ機能等を用いた無線部により、取得した情報端末１Ｂの第２の位置情報と第２の加速度センサー値をサーバ４Ｂに送信する。
【００４７】
サーバ４Ｂは、モバイル５から送信されてきた第１の位置情報と第１の加速度センサー値、および情報端末１Ｂから送信されてきた第２の位置情報と第２の加速度センサー値を受信する。そして、サーバ４Ｂは、サーバ４Ｂが備える相関ＤＢ３１Ｂであって、情報端末１Ｂが置き忘れられたことを示す情報を格納した相関ＤＢ３１Ｂを参照することにより、ＨＤＤ２が不正に取り外される可能性のある前兆を検知する。
【００４８】
例えば、サーバ４Ｂは、第１の位置情報と第２の位置情報からモバイル５と情報端末１Ｂの距離を算出する。ここでの距離も、モバイル５と情報端末１Ｂが所定値以上離れているか否かの情報でも構わない。そして、相関ＤＢ３１Ｂを参照することにより、モバイル５等が会社内等の所定領域内に存在せず、かつ、両者間の距離が所定値以上の場合に、前記前兆を検知する。
【００４９】
あるいは、サーバ４Ｂは、第１の加速度センサー値からモバイル５の変化量（移動軌跡）を算出し、第２の加速度センサー値から情報端末１Ｂの変化量を算出する。これらの変化量が同じ（ほぼ同じ）であれば、ユーザがモバイル５と情報端末１Ｂを一緒に携帯していると推定し、相関ＤＢ３１Ｂを参照することにより、モバイル５等が会社内等の所定領域内に存在せず、かつ、両者間の距離が所定値以上の場合に、前記前兆を検知する。
【００５０】
図６は、プレ消去の解除を説明するための図である。
図６において、情報端末１は、プレ消去解除部１４、解除コマンド受信部１７および解除コマンド発行部３３を備える。
【００５１】
ユーザからの指示に基づいて、ＢＩＯＳ３が備える解除コマンド発行部３２は、プレ消去状態を解除するための解除コマンドを発行する。解除コマンド受信部１７は、この解除コマンドを受信し、プレ消去解除部１４がＨＤＤ２のプレ消去状態を解除するようプレ消去解除部１４を制御する。そして、プレ消去解除部１４は、ＨＤＤ２のプレ消去状態を解除するために、プレ消去部２１によって暗号鍵２２１をＨＤＤ２の揮発性メモリ２１２から不揮発性メモリ２１１へ移動させる。また、プレ消去解除部１４は、切替ＳＷ１３１によって常時通電の状態から通常通電の状態へ切り替える（戻す）。
【００５２】
これにより、ユーザにより意図的にメインバッテリーを交換するような場合であっても、暗号鍵２２１が消去されることはない。
以上、本発明の実施の形態を、図面を参照しながら説明してきたが、本発明は、上述の実施の形態に限定されない。例えば、上述の実施の形態では、プレ消去状態として、暗号鍵２２１を不揮発性メモリ２１２から揮発性メモリ２１１へ移動させ、ＨＤＤ２への電力供給が断たれることにより、暗号鍵２２１の読み出しを不可能にすることにより暗号鍵２２１を消去するようにした。これに代え、暗号鍵を不揮発性メモリ２１２から揮発性メモリ２１１へ移動させることなく不揮発性メモリ２１２に格納したままにし、ＨＤＤ２がコンデンサーを備え、ＨＤＤ２への電力断が発生した際、揮発性メモリ２１１のデータをコンデンサーの電源を用いて強制的に消去してもよい。
【００５３】
また、上述してきた本発明の実施の形態は、情報端末の一機能としてハードウェアまたはＤＳＰ（Digital Signal Processor）ボードやＣＰＵボードでのファームウェアもしくはソフトウェアにより実現することができる。
【００５４】
また、本発明が適用される情報端末は、その機能が実行されるのであれば、上述の実施の形態に限定されることなく、単体の装置であっても、複数の装置からなるシステムあるいは統合装置であっても、ＬＡＮ、ＷＡＮ等のネットワークを介して処理が行なわれるシステムであってもよいことは言うまでもない。
【００５５】
また、バスに接続されたＣＰＵ、ＲＯＭやＲＡＭのメモリ、入力装置、出力装置、外部記録装置、媒体駆動装置、ネットワーク接続装置で構成されるシステムでも実現できる。すなわち、前述してきた実施の形態のシステムを実現するソフトェアのプログラムを記録したＲＯＭやＲＡＭのメモリ、外部記録装置、可搬記録媒体を、情報端末に供給し、その情報端末のコンピュータがプログラムを読み出し実行することによっても、達成されることは言うまでもない。
【００５６】
この場合、可搬記録媒体等から読み出されたプログラム自体が本発明の新規な機能を実現することになり、そのプログラムを記録した可搬記録媒体等は本発明を構成することになる。
【００５７】
プログラムを供給するための可搬記録媒体としては、例えば、フレキシブルディスク、ハードディスク、光ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＣＤ−Ｒ、ＤＶＤ−ＲＯＭ、ＤＶＤ−ＲＡＭ、磁気テープ、不揮発性のメモリーカード、ＲＯＭカード、電子メールやパソコン通信等のネットワーク接続装置（言い換えれば、通信回線）を介して記録した種々の記録媒体などを用いることができる。
【００５８】
また、コンピュータがメモリ上に読み出したプログラムを実行することによって、前述した実施の形態の機能が実現される他、そのプログラムの指示に基づき、コンピュータ上で稼動しているＯＳなどが実際の処理の一部または全部を行ない、その処理によっても前述した実施の形態の機能が実現される。
【００５９】
さらに、可搬型記録媒体から読み出されたプログラムやプログラム（データ）提供者から提供されたプログラム（データ）が、コンピュータに挿入された機能拡張ボードやコンピュータに接続された機能拡張ユニットに備わるメモリに書き込まれた後、そのプログラムの指示に基づき、その機能拡張ボードや機能拡張ユニットに備わるＣＰＵなどが実際の処理の一部または全部を行ない、その処理によっても前述した実施の形態の機能が実現され得る。
【００６０】
すなわち、本発明は、以上に述べた実施の形態に限定されるものではなく、本発明の要旨を逸脱しない範囲内で種々の構成または形状を取ることができる。
以上の各実施の形態に関し、更に以下の付記を開示する。
（付記１）
情報を格納する記憶装置を備える情報端末であって、
前記記憶装置は、前記情報を暗号化して格納し、当該暗号化された情報を暗号鍵により復号するデータ暗号部と、前記情報端末から取り外すことで当該暗号鍵を消去するプレ消去部を有し、
割り込み信号を検知する信号検知部と、
前記信号検知部が前記割り込み信号の検知に伴い、前記プレ消去部へプレ消去機能を動作させるよう設定するプレ消去設定部と、
前記プレ消去設定部による設定とともに、前記プレ消去部による前記暗号鍵の消去を抑止する抑止信号を前記記憶装置へ供給する消去抑止部と、
を備えることを特徴とする情報端末。
（付記２）
前記信号検知部は、前記情報端末の筺体が開けられたことを検出することにより前記記憶装置が不正に取り外される可能性のある前兆を検知することを特徴とする付記１に記載の情報端末。
（付記３）
前記信号検知部は、前記情報端末が備える主電源装置が取り外されたことを検出することにより前記記憶装置が不正に取り外される可能性のある前兆を検知することを特徴とする付記１に記載の情報端末。
（付記４）
前記信号検知部は、前記情報端末が所定領域外に存在し、かつ、前記情報端末が特定の機器と所定距離以上に離れることにより前記記憶装置が不正に取り外される可能性のある前兆を検知することを特徴とする付記１に記載の情報端末。
（付記５）
前記プレ消去部は、前記暗号鍵を前記記憶装置の不揮発性記憶領域から揮発性記憶領域へ移動し、前記揮発性記憶領域は、前記抑制信号により記憶内容を保持し、前記抑制信号の切断により消去されることを特徴とする付記１に記載の情報端末。
（付記６）
情報を格納する記憶装置を備える情報端末のコンピュータに実行させる情報漏洩防止方法であって、
前記記憶装置は、前記情報を暗号化して格納し、当該暗号化された情報を暗号鍵により復号するデータ暗号部と、前記情報端末から取り外すことで当該暗号鍵を消去するプレ消去部を有し、
割り込み信号を検知し、
前記割り込み信号の検知に伴い、前記プレ消去部へプレ消去機能を動作させるよう設定し、
前記設定とともに、前記プレ消去部による前記暗号鍵の消去を抑止する抑止信号を前記記憶装置へ供給する、
処理をコンピュータに実行させる情報漏洩防止方法。
（付記７）
情報を格納する記憶装置を備える情報端末のコンピュータに実行させる情報漏洩防止プログラムであって、
前記記憶装置は、前記情報を暗号化して格納し、当該暗号化された情報を暗号鍵により復号するデータ暗号部と、前記情報端末から取り外すことで当該暗号鍵を消去するプレ消去部を有し、
割り込み信号を検知し、
前記割り込み信号の検知に伴い、前記プレ消去部へプレ消去機能を動作させるよう設定し、
前記設定とともに、前記プレ消去部による前記暗号鍵の消去を抑止する抑止信号を前記記憶装置へ供給する、
処理をコンピュータに実行させる情報漏洩防止プログラム。
【符号の説明】
【００６１】
１、１Ａ、１Ｂ 情報端末
２ ハードディスクドライブ（ＨＤＤ）
３ バイオス（ＢＩＯＳ）
４Ａ、４Ｂ サーバ
５ モバイル
７Ａ、７Ｂ ハードディスクドライブ（ＨＤＤ）
８ 情報端末
１１ 信号検知部
１２ プレ消去設定部
１３ 消去抑止部
１４ プレ消去解除部
１６ 警告表示部
１７ 解除コマンド受理部
２１ プレ消去部
２２ データ暗号部
２３ 電源部
２４、２５ パスワード（ｐｗｄ）
３１、３１Ａ、３１Ｂ 相関データベース（ＤＢ）
３２ レポート発行部
３３ 解除コマンド発行部
７１ 暗号鍵
７２ データ暗号部
７３ 消去部
８１ 消去命令実行部
８２ 命令中継部
８３ レポート部
８４ レポート受信部
１２１ パスワード（ｐｗｄ）
１３１ 切替スイッチ（ＳＷ）
１３２ 省電力コマンド発行部
１４１ パスワード（ｐｗｄ）
２１１ 不揮発メモリ
２１２ 揮発メモリ
２２１ 暗号鍵
３３１ パスワード（ｐｗｄ）
【技術分野】
【０００１】
本発明は、記憶装置に格納されている情報の漏洩を防止する情報端末、情報漏洩防止方法および情報漏洩防止プログラムに関する。
【背景技術】
【０００２】
従来、パーソナルコンピュータ等の持ち運び可能な携帯または可搬型の情報端末の盗難や置き忘れによる情報（データ）漏洩が大きな問題となっている。このような情報端末には、ハードディスク装置（ＨＤＤ：Hard Disk Drive）や半導体メモリ装置等の記憶装置が備えられており、この記憶装置には各種のデータが格納されている。情報端末の盗難や置き忘れによって、記憶装置内の重要なデータが漏洩する恐れがある。
【０００３】
そこで、このようなデータの漏洩を防止するための様々な技術が開示されている。
例えば、ＨＤＤを画像形成装置本体に対して固定および固定解除するための、機械構造的に取り付け可能な鍵を備え、ＨＤＤに対して画像データが格納されるとき、鍵によってＨＤＤを画像形成装置本体に対して固定させ、ＨＤＤを画像形成装置本体から取り外す必要が生じた場合、ＨＤＤに格納された画像データを消去するとともに、画像形成装置に格納された画像データが全て消去されたとき、鍵によってＨＤＤを画像形成装置本体から固定解除させる技術が開示されている（例えば、特許文献１参照。）。
【０００４】
また、電源投入時に、ＰＣ（Personal Computer）から転送される回路データを監視し、転送される回路データの異常を検知したとき、記憶部から読み出したディスク消去回路データをプログラマブル回路に記憶させ、そのプログラマブル回路が、記憶したディスク消去回路データに基づいてディスクに記憶された情報を消去する技術が開示されている（例えば、特許文献２参照。）。
【０００５】
また、一時的にデータを暗号化して保存するＨＤＤ等で、暗号化キーをＤＲＡＭ等に保存し、給電が停止すると、暗号化キーが消えるようにする技術が開示されている（例えば、特許文献３参照。）。
【０００６】
また、装置上のストレージに格納された秘密情報に対して、所持者以外からの不正アクセスを検出した場合や、サーバからの指示があった場合等に、秘密情報の少なくとも一部を消去する技術が開示されている。データをサーバにバックアップ転送して、後でダウンロードにより復旧させる技術、揮発性メモリのバックアップ電源断により消去する技術等も開示されている（例えば、特許文献４参照。）。
【０００７】
また、電子機器に実装された記憶装置の抜き取りを検出した後、所定時間は、記憶された所定のデータを保持してから、その一部または全部を消去する技術が開示されている。さらに、不正アクセスで無い場合に、抜き取りと判断しないと認識させる機能も開示されている（例えば、特許文献５参照。）。
【０００８】
また、外観シャーシを基板から取り外すことにより、セキュリティースイッチが開路され、その開路に基づいて電子部品に記憶されているデータを消去する技術が開示されている（例えば、特許文献６参照。）。
【０００９】
また、記憶装置が故障発生を検出すると自己診断を実行し、内部の不揮発性ＲＡＭに診断結果を含む故障情報を記録して、初期化を行うと共にデータ消去を行い、故障情報及びデータの消去完了の情報に従って故障した記憶装置のデータ消去完了証明書を発行して、ユーザ側に送信する技術が開示されている（例えば、特許文献７参照。）。
【００１０】
ところで、通信機能を備えた情報端末のデータ漏洩対策として、盗難紛失時に、リモートにより情報端末を操作して、データの消去およびレポート出力を行う方法がある。データ消去は、データを暗号化している暗号鍵を消去することで実現される。その際の暗号鍵は、暗号化方式によって大きく２つに分類される。
【００１１】
図７は、２つの暗号化方式を説明するための図である。
第１の暗号化方式は、ソフトウェア暗号方式と呼ばれる。ソフトウェア暗号方式の暗号鍵７１は、図７の（Ａ）に示したように、ユーザパスワード等で保護され、その格納場所は外部からアクセスできるＨＤＤ７Ａ上や、セキュリティチップ上など、暗号化の対象であるデータとは別々に管理される。
【００１２】
第２の暗号化方式は、ハードウェア暗号方式（ＳＥＤ：Self Encrypting Drive（自己暗号化ドライブ））と呼ばれる。ハードウェア暗号方式の暗号鍵７１は、ユーザパスワードで保護され、その格納場所は外部からアクセスできないＨＤＤ７Ｂ内部に置かれ、ＨＤＤ７Ｂと一緒に管理される。
【先行技術文献】
【特許文献】
【００１３】
【特許文献１】特開２００６−１５５２７号公報
【特許文献２】特開２００９−２５８９７９号公報
【特許文献３】特開２００４−２８０５５１号公報
【特許文献４】特表２００４−５０６２５８号公報
【特許文献５】特開２００２−１８９６３５号公報
【特許文献６】特開平９−１１４７４６号公報
【特許文献７】特開２００７−１５６５９９号公報
【発明の概要】
【発明が解決しようとする課題】
【００１４】
しかしながら、上述のようなハードウェア暗号方式（ＳＥＤ）では、リモート操作による暗号鍵を消去する命令が来る前に、悪意ある行為によってＨＤＤが抜き取られると、暗号鍵の制御ができず、暗号鍵を消去することができない、という問題点があった。
【００１５】
図８は、ハードウェア暗号方式における課題を説明するための図である。
図８において、従来の情報端末８では、データ暗号部７２がＨＤＤ７Ｂで管理されている暗号鍵７１を用いて、ＨＤＤ７Ｂ上のデータの暗号化および復号化を行っている。
【００１６】
情報端末８が盗難または置き忘れられたことにより、ＨＤＤ７Ｂ内のデータが漏洩する恐れが生じた場合、ユーザは、消去命令実行部８１に対してデータ消去の指示を行う。消去命令実行部８１は、命令中継部８２を介してＨＤＤ７Ｂが備える消去部７３に消去命令を転送する。そして、消去部７３は、暗号鍵７１を消去する。
【００１７】
消去部７３により暗号鍵７１が消去されると、消去されたことがレポート部８３によってレポート受信部８４に通知される。
しかしながら、命令中継部８２が消去部７３に消去命令を転送する前に、ＨＤＤ７Ｂが情報端末８から抜き取られてしまうと、消去部７３は暗号鍵７１を消去することができなくなってしまう。
【００１８】
本発明は、上述のような実状に鑑みたものであり、暗号化されているデータが漏洩する恐れが生じた場合、データの複合化を防ぐことにより、データの漏洩を防止することが可能な情報端末、情報漏洩防止方法および情報漏洩防止プログラムを提供することを目的とする。
【課題を解決するための手段】
【００１９】
本発明は、上記課題を解決するため、下記のような構成を採用した。
すなわち、情報端末の一観点によれば、情報を格納する記憶装置を備える情報端末であって、前記記憶装置は、前記情報を暗号化して格納し、当該暗号化された情報を暗号鍵により復号するデータ暗号部と、前記情報端末から取り外すことで当該暗号鍵を消去するプレ消去部を有し、割り込み信号を検知する信号検知部と、前記信号検知部が前記割り込み信号の検知に伴い、前記プレ消去部へプレ消去機能を動作させるよう設定するプレ消去設定部と、前記プレ消去設定部による設定とともに、前記プレ消去部による前記暗号鍵の消去を抑止する抑止信号を前記記憶装置へ供給する消去抑止部を備えることを特徴とする情報端末が提供される。
【発明の効果】
【００２０】
開示された技術により、悪意ある行為の前兆を情報端末で予知し、ＨＤＤに格納されているデータをプレ消去状態、すなわちＨＤＤの電源が落ちたら暗号鍵が消える状態にすることで、ＨＤＤを抜くまで情報端末の筺体をロックするなどの防御機構コストの負担なく、ＨＤＤが切り離されるイベントと同時にＨＤＤの暗号鍵を消すことができる、という効果を奏する。
【図面の簡単な説明】
【００２１】
【図１】本発明を適用した情報端末の概要を説明するための図である。
【図２】情報漏洩防止機能を説明するための図である。
【図３】情報漏洩防止処理の流れを示すフローチャートである。
【図４】情報端末が相関ＤＢを備えている場合の例を示す図である。
【図５】サーバが相関ＤＢを備えている場合の例を示す図である。
【図６】プレ消去の解除を説明するための図である。
【図７】２つの暗号化方式を説明するための図である。
【図８】ハードウェア暗号方式における課題を説明するための図である。
【発明を実施するための形態】
【００２２】
以下、本発明の実施の形態について、図面を参照しながら詳細に説明する。
図１は、本発明を適用した情報端末の概要を説明するための図である。
図１において、パーソナルコンピュータ等の持ち運び可能な携帯または可搬型の情報端末１は、データを記憶する記憶装置としてのハードディスク装置（ＨＤＤ）２を備える。ＨＤＤ２は、機密情報を含む様々なデータを格納する。ＨＤＤ２は、前記データを暗号化して格納し、当該暗号化されたデータを暗号鍵により復号するデータ暗号部２２と、前記情報端末１から取り外すことで当該暗号鍵を消去するプレ消去部２１を有する。また、情報端末１は、信号検知部１１、プレ消去設定部１２、消去抑止部１３およびプレ消去解除部１４を備える。
【００２３】
信号検知部１１は、ＨＤＤ２が不正に取り外される可能性のある前兆としての割り込み信号を検知する。例えば、信号検知部１１は、不正な前兆と判断する割り込み信号を設定した判断テーブルを持っており、入力される割り込み信号が判断テーブルに記憶されている状態かどうかを判断することにより、不正の前兆を検出する。信号検知部１１は、ＨＤＤ２の筺体が開けられたことをセンサーが検出することにより、前記ＨＤＤ２が不正に取り外される可能性のある前兆を検知する。また、信号検知部１１は、情報端末１が備える主電源装置（メインバッテリー）が取り外されたことを検出することにより、前記ＨＤＤ２が不正に取り外される可能性のある前兆を検知する。なお、これらの前兆の検知が正しいか否かの判断を、情報端末１と通信可能なサーバで実行することも可能である。
【００２４】
また、信号検知部１１は、情報端末１が所定領域外に存在し（所定領域内に存在せず）、かつ、ユーザが所有する携帯電話等の特定の機器と情報端末１が所定距離以上に離れたと判断することにより、前記ＨＤＤ２が不正に取り外される可能性のある前兆を検知する。例えば、まず、情報端末１が会社内等の所定領域内に存在するか否かを判断する。さらに、前記携帯電話等の位置情報と情報端末１の位置情報を検出することにより両者間の距離を算出する。そして、情報端末１が置き忘れられたことを示す情報を格納した相関データベース（ＤＢ：Data Base）３１を参照することにより、前記携帯電話等が所定領域内に存在せず、かつ、両者間の距離が所定値以上の場合に、前記前兆を検知する。
【００２５】
プレ消去設定部１２は、信号検知部１１による前記割り込み信号の検知に伴い、前記プレ消去部へプレ消去機能を動作させるように、プレ消去部２１に対してプレ消去コマンドを発行する。このプレ消去コマンドの発行により、データ暗号部２２によって暗号化された前記情報を復号化するための暗号鍵２２１を、プレ消去部２１によってＨＤＤ２の不揮発性記憶領域から揮発性記憶領域へ移動するように、ＨＤＤ２が設定される。そして、プレ消去部２１は、暗号鍵２２１をＨＤＤ２の不揮発性記憶領域から揮発性記憶領域へ移動する（プレ消去状態にする）。
【００２６】
消去抑止部１３は、プレ消去設定部１２による設定とともに、ＨＤＤ２が取り外されたためにＨＤＤ２への電力が断たれることにより、前記プレ消去部２１による前記暗号鍵２２１が消去されることを抑止する抑止信号をＨＤＤ２へ供給する。
【００２７】
また、プレ消去解除部１４は、ユーザからの指示に基づいて、暗号鍵２２１をＨＤＤ２の揮発性記憶領域から不揮発性記憶領域へ移動する（戻す）ことにより、プレ消去状態を解除する。
【００２８】
このような情報端末１は、ＨＤＤ２が不正に取り外される可能性のある前兆を検知すると、機密情報のデータを復号化するための暗号鍵２２１をＨＤＤ２の不揮発性記憶領域から揮発性記憶領域へ移動するので、ＨＤＤ２が不正に取り外されるとＨＤＤ２への電力供給が断たれ、暗号鍵２２１が消去される。これにより、機密情報のデータの漏洩を防止できる。ただし、暗号鍵２２１がＨＤＤ２の不揮発性記憶領域から揮発性記憶領域へ移動された後は、ＨＤＤ２への電力供給が維持されているので、情報端末１がスタンバイ状態や休止状態であっても暗号鍵２２１が消去されることはない。
【００２９】
また、ユーザにより意図的にメインバッテリーを交換するような場合には、ユーザからの指示に基づいて暗号鍵２２１がＨＤＤ２の揮発性記憶領域から不揮発性記憶領域へ戻されるので、ＨＤＤ２が取り外されＨＤＤ２への電力供給が断たれても、暗号鍵２２１が消去されることはない。
【００３０】
なお、ここで消去とは、電力供給が断たれることにより揮発性記憶領域が不定になることをいう。すなわち、不揮発性記憶領域に記憶されている暗号鍵２２１を消去するとは、暗号鍵２２１が不揮発性記憶領域から読み出せなくなる状態にすることを言う。例えば、暗号鍵２２１を構成する全データ領域を「０」に置き換えてもよいし、「１」に置き換えてもよい。また、「０」と「１」をランダムに置き換えていってもよい。さらには、全データ領域について書き換えるのではなく、予め指定された特定のデータ領域、またはランダムに選択された特定のデータ領域のみを書き換えてもよい。
【００３１】
また、暗号鍵２２１を不揮発性記憶領域から揮発性記憶領域へ移動させ、ＨＤＤ２への電力供給が断たれた際に暗号鍵２２１を消去する代わりに、情報端末１の電源を投入する回数によって暗号鍵２２１を消去してもよいし、プレ消去解除部１４による解除の失敗回数によって暗号鍵２２１を消去してもよいし、揮発性記憶領域への電力供給を調整して所定時間の経過によって暗号鍵２２１を消去してもよい。さらに、前記前兆の不正レベルに応じてこれらを選択可能に構成してもよい。
【００３２】
図２は、情報漏洩防止機能を説明するための図である。
図２では、図１を用いて説明した情報端末１が備える情報漏洩防止機能を説明するため、主に消去抑止部１３およびプレ消去部２１について詳細に示している。
【００３３】
図２において、消去抑止部１３は、切替スイッチ（ＳＷ）１３１および省電力コマンド発行部１３２を備える。
信号検知部１１が図１を用いて説明したような前兆を検知すると、プレ消去設定部１２が、パスワード（ｐｗｄ）１２１とＨＤＤ２が備えるパスワード（ｐｗｄ）２４を照合し、プレ消去部２１に対してプレ消去コマンドを発行する。このプレ消去コマンドの発行により、暗号鍵２２１をＨＤＤ２の不揮発性記憶領域である不揮発メモリ２１１から、揮発性記憶領域である揮発メモリ２１２へ移動するように、ＨＤＤ２が設定される。そして、その設定とともに、切替ＳＷ１３１が、通常通電の状態から常時通電の状態へ切り替える。ここで、通常通電の状態とは、省電力規格「ＡＣＰＩ（Advanced Configuration and Power Interface）」のスリープステートで規定されたＳ３からＳ５の状態をいう。ＡＣＰＩでは、Ｓ０がフル稼働状態、Ｓ１が低消費電力状態（ただし、プロセッサ、チップセットともに電源オン）、Ｓ２が低消費電力状態（ただし、プロセッサとキャッシュは電源オフ、チップセットは電源オン）、Ｓ３がスタンバイ状態、Ｓ４が休止状態、および、Ｓ５がソフトウェアによる電源オフ状態を示す。
【００３４】
さらに、切替ＳＷ１３による切替とともに、省電力コマンド発行部１３２は、ＨＤＤ２が省電力モードになるようにＨＤＤ２に対して省電力コマンドを発行する。
これにより、揮発メモリ２１２に移動された前記暗号鍵２２１が消去されることを抑止するためのＨＤＤ２への電力供給が維持される。
【００３５】
また、切替ＳＷ１３１の切り換えによってＨＤＤ２の電源部２３に電力が常時供給されている状態において、プレ消去部２１は、暗号鍵２２１をＨＤＤ２の不揮発メモリ２１１から揮発メモリ２１２へ移動する。
【００３６】
さらに、情報端末１は、警告表示部１６およびレポート発行部３２を備える。
警告表示部１６は、プレ消去設定部１２がプレ消去部２１に対してプレ消去コマンドを発行し、ＨＤＤ２がプレ消去状態となっていること、または、プレ消去解除部１４がプレ消去状態を解除したことをユーザに警告または報知する。例えば、プレ消去状態であればＬＥＤ（Light Emitting Diode）を赤色で点灯または点滅させ、プレ消去状態が解除されればＬＥＤを青色で点灯させる。また、ＬＤＥ点灯の代わりにBluetooth（登録商標）等の近距離無線通信を使って、ユーザに通知するようにしてもよい。
【００３７】
バイオス（ＢＩＯＳ：Basic Input/Output System）３が備えるレポート発行部３２は、プレ消去設定部１２がプレ消去部２１に対してプレ消去コマンドを発行し、ＨＤＤ２がプレ消去状態となっていること、または、プレ消去解除部１４がプレ消去状態を解除したことを、サーバに対してレポート発行する。
【００３８】
次に、図１および図２を用いて説明した情報端末１のコンピュータが実行する情報漏洩防止処理について説明する。
図３は、情報漏洩防止処理の流れを示すフローチャートである。
【００３９】
まず、ステップＳ３０１において、信号検知部１１が、ＨＤＤ２が不正に取り外される可能性のある前兆があるか否かを判断するための割り込み信号を検知する。
割り込み信号を検知すると（ステップＳ３０１：Ｙｅｓ）、ステップＳ３０２において、切替ＳＷ１３１が、通常通電の状態から常時通電の状態へ切り替えるとともに、ステップＳ３０３において、省電力コマンド発行部１３２が、ＨＤＤ２が省電力モードになるようにＨＤＤ２に対して省電力コマンドを発行する。
【００４０】
次に、ステップＳ３０４において、プレ消去設定部１２が、プレ消去部２１に対してプレ消去コマンドを発行する。
そして、ステップＳ３０５において、警告表示部１６が、ＨＤＤ２がプレ消去状態となっていること、またはプレ消去状態を解除したことをユーザに警告するとともに、ステップＳ３０６において、レポート発行部３２がサーバに対してレポート発行を行う。
【００４１】
図４は、情報端末が相関ＤＢを備えている場合の例を示す図である。
図４において、情報端末１Ａは、上述したような信号検知部１１を備える。信号検知部１１は、前記割り込み信号により、情報端末１Ａが会社等の所定領域の外に存在し（所定領域内に存在せず）、かつ、ユーザが所有するモバイル（携帯電話）５等の特定の機器と情報端末１Ａが所定距離以上に離れたと判断することにより、情報端末１Ａがどこかに置き忘れられたと判断し、ＨＤＤ２が不正に取り外される可能性のある前兆を検知する。
【００４２】
例えば、モバイル５は、ＧＰＳ（Global Positioning System）機能を用いてモバイル５自身の位置情報を取得する。情報端末１Ａは、Bluetooth（登録商標）やＷｉＦｉ（登録商標）等を用いた無線部による通信により、ユーザが所属する会社のサーバ４Ａに直接アクセスすることができる場合には、情報端末１Ａが会社内に存在すると判断する。そして、これらの位置情報からモバイル５と情報端末１Ａの距離を算出する。ここでの距離とは、モバイル５と情報端末１Ａが所定値以上離れているか否かの情報でも構わない。その場合、情報端末１Ａの無線部がモバイル５の無線部と直接Bluetooth（登録商標）やＷｉＦｉ（登録商標）等を用いた通信を行うことができるか否かによって、情報端末１Ａとモバイル５が所定値以上離れているか否かを判断してもよい。
【００４３】
そして、情報端末１Ａは、情報端末１Ａが備える相関ＤＢ３１Ａであって、情報端末１Ａが置き忘れられたことを示す情報を格納した相関ＤＢ３１Ａを参照することにより、モバイル５等が所定領域内に存在せず、かつ、両者間の距離が所定値以上の場合に、前記前兆を検知する。
【００４４】
図５は、サーバが相関ＤＢを備えている場合の例を示す図である。
図５において、情報端末１Ｂは、上述したような信号検知部１１を備える。信号検知部１１は、前記割り込み信号により、情報端末１Ｂが会社等の所定領域の外に存在し（所定領域内に存在せず）、かつ、ユーザが所有するモバイル５等の特定の機器と情報端末１Ｂが所定距離以上に離れたと判断することにより、情報端末１Ｂがどこかに置き忘れられたと判断し、ＨＤＤ２が不正に取り外される可能性のある前兆を検知する。
【００４５】
例えば、モバイル５は、ＧＰＳ（Global Positioning System）機能を用いてモバイル５自身の位置情報（第１の位置情報）と、加速度センサーで検出した値（第１の加速度センサー値）を取得する。そして、ＷｉＦｉ（登録商標）、３ＧＰＰ（3rd Generation Partnership Project）またはＰＨＳ（Personal Handy-phone System）機能等を用いた無線部により、取得したモバイル５の第１の位置情報と第１の加速度センサー値をユーザが所属する会社のサーバ４Ｂに送信する。
【００４６】
また、情報端末１Ｂは、ＷｉＦｉ（登録商標）、３ＧＰＰまたはＰＨＳ機能等を用いた無線部による通信により、前記サーバ４Ｂに直接アクセスすることができる場合には、情報端末１Ｂが会社内に存在すると判断する。さらに、情報端末１Ｂも加速度センサーで検出した値（第２の加速度センサー値）を取得する。そして、ＷｉＦｉ（登録商標）、３ＧＰＰまたはＰＨＳ機能等を用いた無線部により、取得した情報端末１Ｂの第２の位置情報と第２の加速度センサー値をサーバ４Ｂに送信する。
【００４７】
サーバ４Ｂは、モバイル５から送信されてきた第１の位置情報と第１の加速度センサー値、および情報端末１Ｂから送信されてきた第２の位置情報と第２の加速度センサー値を受信する。そして、サーバ４Ｂは、サーバ４Ｂが備える相関ＤＢ３１Ｂであって、情報端末１Ｂが置き忘れられたことを示す情報を格納した相関ＤＢ３１Ｂを参照することにより、ＨＤＤ２が不正に取り外される可能性のある前兆を検知する。
【００４８】
例えば、サーバ４Ｂは、第１の位置情報と第２の位置情報からモバイル５と情報端末１Ｂの距離を算出する。ここでの距離も、モバイル５と情報端末１Ｂが所定値以上離れているか否かの情報でも構わない。そして、相関ＤＢ３１Ｂを参照することにより、モバイル５等が会社内等の所定領域内に存在せず、かつ、両者間の距離が所定値以上の場合に、前記前兆を検知する。
【００４９】
あるいは、サーバ４Ｂは、第１の加速度センサー値からモバイル５の変化量（移動軌跡）を算出し、第２の加速度センサー値から情報端末１Ｂの変化量を算出する。これらの変化量が同じ（ほぼ同じ）であれば、ユーザがモバイル５と情報端末１Ｂを一緒に携帯していると推定し、相関ＤＢ３１Ｂを参照することにより、モバイル５等が会社内等の所定領域内に存在せず、かつ、両者間の距離が所定値以上の場合に、前記前兆を検知する。
【００５０】
図６は、プレ消去の解除を説明するための図である。
図６において、情報端末１は、プレ消去解除部１４、解除コマンド受信部１７および解除コマンド発行部３３を備える。
【００５１】
ユーザからの指示に基づいて、ＢＩＯＳ３が備える解除コマンド発行部３２は、プレ消去状態を解除するための解除コマンドを発行する。解除コマンド受信部１７は、この解除コマンドを受信し、プレ消去解除部１４がＨＤＤ２のプレ消去状態を解除するようプレ消去解除部１４を制御する。そして、プレ消去解除部１４は、ＨＤＤ２のプレ消去状態を解除するために、プレ消去部２１によって暗号鍵２２１をＨＤＤ２の揮発性メモリ２１２から不揮発性メモリ２１１へ移動させる。また、プレ消去解除部１４は、切替ＳＷ１３１によって常時通電の状態から通常通電の状態へ切り替える（戻す）。
【００５２】
これにより、ユーザにより意図的にメインバッテリーを交換するような場合であっても、暗号鍵２２１が消去されることはない。
以上、本発明の実施の形態を、図面を参照しながら説明してきたが、本発明は、上述の実施の形態に限定されない。例えば、上述の実施の形態では、プレ消去状態として、暗号鍵２２１を不揮発性メモリ２１２から揮発性メモリ２１１へ移動させ、ＨＤＤ２への電力供給が断たれることにより、暗号鍵２２１の読み出しを不可能にすることにより暗号鍵２２１を消去するようにした。これに代え、暗号鍵を不揮発性メモリ２１２から揮発性メモリ２１１へ移動させることなく不揮発性メモリ２１２に格納したままにし、ＨＤＤ２がコンデンサーを備え、ＨＤＤ２への電力断が発生した際、揮発性メモリ２１１のデータをコンデンサーの電源を用いて強制的に消去してもよい。
【００５３】
また、上述してきた本発明の実施の形態は、情報端末の一機能としてハードウェアまたはＤＳＰ（Digital Signal Processor）ボードやＣＰＵボードでのファームウェアもしくはソフトウェアにより実現することができる。
【００５４】
また、本発明が適用される情報端末は、その機能が実行されるのであれば、上述の実施の形態に限定されることなく、単体の装置であっても、複数の装置からなるシステムあるいは統合装置であっても、ＬＡＮ、ＷＡＮ等のネットワークを介して処理が行なわれるシステムであってもよいことは言うまでもない。
【００５５】
また、バスに接続されたＣＰＵ、ＲＯＭやＲＡＭのメモリ、入力装置、出力装置、外部記録装置、媒体駆動装置、ネットワーク接続装置で構成されるシステムでも実現できる。すなわち、前述してきた実施の形態のシステムを実現するソフトェアのプログラムを記録したＲＯＭやＲＡＭのメモリ、外部記録装置、可搬記録媒体を、情報端末に供給し、その情報端末のコンピュータがプログラムを読み出し実行することによっても、達成されることは言うまでもない。
【００５６】
この場合、可搬記録媒体等から読み出されたプログラム自体が本発明の新規な機能を実現することになり、そのプログラムを記録した可搬記録媒体等は本発明を構成することになる。
【００５７】
プログラムを供給するための可搬記録媒体としては、例えば、フレキシブルディスク、ハードディスク、光ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＣＤ−Ｒ、ＤＶＤ−ＲＯＭ、ＤＶＤ−ＲＡＭ、磁気テープ、不揮発性のメモリーカード、ＲＯＭカード、電子メールやパソコン通信等のネットワーク接続装置（言い換えれば、通信回線）を介して記録した種々の記録媒体などを用いることができる。
【００５８】
また、コンピュータがメモリ上に読み出したプログラムを実行することによって、前述した実施の形態の機能が実現される他、そのプログラムの指示に基づき、コンピュータ上で稼動しているＯＳなどが実際の処理の一部または全部を行ない、その処理によっても前述した実施の形態の機能が実現される。
【００５９】
さらに、可搬型記録媒体から読み出されたプログラムやプログラム（データ）提供者から提供されたプログラム（データ）が、コンピュータに挿入された機能拡張ボードやコンピュータに接続された機能拡張ユニットに備わるメモリに書き込まれた後、そのプログラムの指示に基づき、その機能拡張ボードや機能拡張ユニットに備わるＣＰＵなどが実際の処理の一部または全部を行ない、その処理によっても前述した実施の形態の機能が実現され得る。
【００６０】
すなわち、本発明は、以上に述べた実施の形態に限定されるものではなく、本発明の要旨を逸脱しない範囲内で種々の構成または形状を取ることができる。
以上の各実施の形態に関し、更に以下の付記を開示する。
（付記１）
情報を格納する記憶装置を備える情報端末であって、
前記記憶装置は、前記情報を暗号化して格納し、当該暗号化された情報を暗号鍵により復号するデータ暗号部と、前記情報端末から取り外すことで当該暗号鍵を消去するプレ消去部を有し、
割り込み信号を検知する信号検知部と、
前記信号検知部が前記割り込み信号の検知に伴い、前記プレ消去部へプレ消去機能を動作させるよう設定するプレ消去設定部と、
前記プレ消去設定部による設定とともに、前記プレ消去部による前記暗号鍵の消去を抑止する抑止信号を前記記憶装置へ供給する消去抑止部と、
を備えることを特徴とする情報端末。
（付記２）
前記信号検知部は、前記情報端末の筺体が開けられたことを検出することにより前記記憶装置が不正に取り外される可能性のある前兆を検知することを特徴とする付記１に記載の情報端末。
（付記３）
前記信号検知部は、前記情報端末が備える主電源装置が取り外されたことを検出することにより前記記憶装置が不正に取り外される可能性のある前兆を検知することを特徴とする付記１に記載の情報端末。
（付記４）
前記信号検知部は、前記情報端末が所定領域外に存在し、かつ、前記情報端末が特定の機器と所定距離以上に離れることにより前記記憶装置が不正に取り外される可能性のある前兆を検知することを特徴とする付記１に記載の情報端末。
（付記５）
前記プレ消去部は、前記暗号鍵を前記記憶装置の不揮発性記憶領域から揮発性記憶領域へ移動し、前記揮発性記憶領域は、前記抑制信号により記憶内容を保持し、前記抑制信号の切断により消去されることを特徴とする付記１に記載の情報端末。
（付記６）
情報を格納する記憶装置を備える情報端末のコンピュータに実行させる情報漏洩防止方法であって、
前記記憶装置は、前記情報を暗号化して格納し、当該暗号化された情報を暗号鍵により復号するデータ暗号部と、前記情報端末から取り外すことで当該暗号鍵を消去するプレ消去部を有し、
割り込み信号を検知し、
前記割り込み信号の検知に伴い、前記プレ消去部へプレ消去機能を動作させるよう設定し、
前記設定とともに、前記プレ消去部による前記暗号鍵の消去を抑止する抑止信号を前記記憶装置へ供給する、
処理をコンピュータに実行させる情報漏洩防止方法。
（付記７）
情報を格納する記憶装置を備える情報端末のコンピュータに実行させる情報漏洩防止プログラムであって、
前記記憶装置は、前記情報を暗号化して格納し、当該暗号化された情報を暗号鍵により復号するデータ暗号部と、前記情報端末から取り外すことで当該暗号鍵を消去するプレ消去部を有し、
割り込み信号を検知し、
前記割り込み信号の検知に伴い、前記プレ消去部へプレ消去機能を動作させるよう設定し、
前記設定とともに、前記プレ消去部による前記暗号鍵の消去を抑止する抑止信号を前記記憶装置へ供給する、
処理をコンピュータに実行させる情報漏洩防止プログラム。
【符号の説明】
【００６１】
１、１Ａ、１Ｂ 情報端末
２ ハードディスクドライブ（ＨＤＤ）
３ バイオス（ＢＩＯＳ）
４Ａ、４Ｂ サーバ
５ モバイル
７Ａ、７Ｂ ハードディスクドライブ（ＨＤＤ）
８ 情報端末
１１ 信号検知部
１２ プレ消去設定部
１３ 消去抑止部
１４ プレ消去解除部
１６ 警告表示部
１７ 解除コマンド受理部
２１ プレ消去部
２２ データ暗号部
２３ 電源部
２４、２５ パスワード（ｐｗｄ）
３１、３１Ａ、３１Ｂ 相関データベース（ＤＢ）
３２ レポート発行部
３３ 解除コマンド発行部
７１ 暗号鍵
７２ データ暗号部
７３ 消去部
８１ 消去命令実行部
８２ 命令中継部
８３ レポート部
８４ レポート受信部
１２１ パスワード（ｐｗｄ）
１３１ 切替スイッチ（ＳＷ）
１３２ 省電力コマンド発行部
１４１ パスワード（ｐｗｄ）
２１１ 不揮発メモリ
２１２ 揮発メモリ
２２１ 暗号鍵
３３１ パスワード（ｐｗｄ）
【特許請求の範囲】
【請求項１】
情報を格納する記憶装置を備える情報端末であって、
前記記憶装置は、前記情報を暗号化して格納し、当該暗号化された情報を暗号鍵により復号するデータ暗号部と、前記情報端末から取り外すことで当該暗号鍵を消去するプレ消去部を有し、
割り込み信号を検知する信号検知部と、
前記信号検知部が前記割り込み信号の検知に伴い、前記プレ消去部へプレ消去機能を動作させるよう設定するプレ消去設定部と、
前記プレ消去設定部による設定とともに、前記プレ消去部による前記暗号鍵の消去を抑止する抑止信号を前記記憶装置へ供給する消去抑止部と、
を備えることを特徴とする情報端末。
【請求項２】
前記信号検知部は、前記情報端末の筺体が開けられたことを検出することにより前記記憶装置が不正に取り外される可能性のある前兆を検知することを特徴とする請求項１に記載の情報端末。
【請求項３】
前記信号検知部は、前記情報端末が備える主電源装置が取り外されたことを検出することにより前記記憶装置が不正に取り外される可能性のある前兆を検知することを特徴とする請求項１に記載の情報端末。
【請求項４】
前記信号検知部は、前記情報端末が所定領域外に存在し、かつ、前記情報端末が特定の機器と所定距離以上に離れることにより前記記憶装置が不正に取り外される可能性のある前兆を検知することを特徴とする請求項１に記載の情報端末。
【請求項５】
前記プレ消去部は、前記暗号鍵を前記記憶装置の不揮発性記憶領域から揮発性記憶領域へ移動し、前記揮発性記憶領域は、前記抑制信号により記憶内容を保持し、前記抑制信号の切断により消去されることを特徴とする請求項１に記載の情報端末。
【請求項１】
情報を格納する記憶装置を備える情報端末であって、
前記記憶装置は、前記情報を暗号化して格納し、当該暗号化された情報を暗号鍵により復号するデータ暗号部と、前記情報端末から取り外すことで当該暗号鍵を消去するプレ消去部を有し、
割り込み信号を検知する信号検知部と、
前記信号検知部が前記割り込み信号の検知に伴い、前記プレ消去部へプレ消去機能を動作させるよう設定するプレ消去設定部と、
前記プレ消去設定部による設定とともに、前記プレ消去部による前記暗号鍵の消去を抑止する抑止信号を前記記憶装置へ供給する消去抑止部と、
を備えることを特徴とする情報端末。
【請求項２】
前記信号検知部は、前記情報端末の筺体が開けられたことを検出することにより前記記憶装置が不正に取り外される可能性のある前兆を検知することを特徴とする請求項１に記載の情報端末。
【請求項３】
前記信号検知部は、前記情報端末が備える主電源装置が取り外されたことを検出することにより前記記憶装置が不正に取り外される可能性のある前兆を検知することを特徴とする請求項１に記載の情報端末。
【請求項４】
前記信号検知部は、前記情報端末が所定領域外に存在し、かつ、前記情報端末が特定の機器と所定距離以上に離れることにより前記記憶装置が不正に取り外される可能性のある前兆を検知することを特徴とする請求項１に記載の情報端末。
【請求項５】
前記プレ消去部は、前記暗号鍵を前記記憶装置の不揮発性記憶領域から揮発性記憶領域へ移動し、前記揮発性記憶領域は、前記抑制信号により記憶内容を保持し、前記抑制信号の切断により消去されることを特徴とする請求項１に記載の情報端末。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【公開番号】特開２０１２−２１２２５８（Ｐ２０１２−２１２２５８Ａ）
【公開日】平成２４年１１月１日（２０１２．１１．１）
【国際特許分類】
【出願番号】特願２０１１−７６８０９（Ｐ２０１１−７６８０９）
【出願日】平成２３年３月３０日（２０１１．３．３０）
【出願人】（０００００５２２３）富士通株式会社 (25,993)
【Ｆターム（参考）】
【公開日】平成２４年１１月１日（２０１２．１１．１）
【国際特許分類】
【出願日】平成２３年３月３０日（２０１１．３．３０）
【出願人】（０００００５２２３）富士通株式会社 (25,993)
【Ｆターム（参考）】
[ Back to top ]