JP4922443B2 - コンピュータシステム、情報処理装置およびセキュリティ保護方法 - Google Patents

Description

この発明は、例えば、社内ＬＡＮ（Local area network）上のファイルサーバで業務データを管理するコンピュータシステム等に好適なセキュリティ保護技術に関する。

近年、様々な業種で作業の電子化が進められており、オフィス環境等においては、各従業員がそれぞれパーソナルコンピュータを使って業務を行い、また、ファイルサーバなどと称される、社内ＬＡＮ上のサーバコンピュータにより、業務データを一元的に管理するといったことが広く行われている。

その一方で、サーバコンピュータ上の業務データが、クライアントコンピュータなどと称される、従業員のパーソナルコンピュータを媒介して流出する実態が社会的な問題となってきている。このようなことから、クライアントコンピュータからの情報漏洩を防止するための仕組みが種々提案されるに至っている。

情報漏洩に対する解決策の１つであるシンクライアント方式は、データをクライアントコンピュータ側では保持させず、ネットワーク上のサーバコンピュータのみで保持することにより、クライアントコンピュータからの情報漏洩を防止する。より具体的には、クライアントコンピュータには自装置内のＨＤＤ（hard dick drive）等に対するデータの書き込み権限を与えないといった措置が採られる。

シンクライアント方式以外では、例えば、クライアントコンピュータ内に業務データ格納用のパーディションやファイル等の特別な領域を作成し、これらの領域に対するアクセス用にパスワードを設けることで、安全性を確保しようという方式も存在する。

特開２００８−２７６５４６号公報 特開２００９−２３７９９７号公報

しかしながら、このシンクライアント方式では、クライアントコンピュータを使用するユーザは、ネットワークを介してサーバコンピュータと接続された状況下にないとデータを使用することができない。よって、例えば、営業職の従業員等が、必要な業務データを持ち出し、その業務データを用いたプレゼンテーションを客先で行うことができないといった不便さが生じていた。

また、シンクライアント方式以外の方式では、クライアントコンピュータ上でユーザの操作を受け付けるオペレーティングシステム（ＯＳ）から上記領域に対するアクセスが可能な状態になっているため、パスワード解析等によってデータが不正に盗み取られてしまうおそれを払拭することができない。

この発明は、このような事情を考慮してなされたものであり、安全性を担保しつつ、一定の条件下において、ネットワークを介して取得したデータをクライアントコンピュータが保持することを可能とするコンピュータシステム、情報処理装置およびセキュリティ保護方法を提供することを目的とする。

実施形態によれば、コンピュータシステムは、サーバコンピュータとクライアントコンピュータとがネットワークを介して接続される。前記サーバコンピュータは、前記ネットワークを介して取得したデータを前記ネットワークから切り離された状況下で使用するための持ち出し要求を前記クライアントコンピュータから受信した場合に、前記クライアントコンピュータがデータを保持することを許可する許可証を発行して前記クライアントコンピュータに送信する持ち出し管理手段を具備する。前記クライアントコンピュータは、ディスク装置と、前記持ち出し要求を前記サーバコンピュータに送信する持ち出し要求送信手段と、前記サーバコンピュータから前記許可証を受信した場合に、前記ディスク装置内に仮想ディスクファイルを作成すると共に、前記仮想ディスクファイルにアクセスするためにフロントエンドドライバとバックエンドドライバとの間で通信を行うための仮想バスを導通させて、前記ディスク装置に対するデータの書き込みを可能とするセキュリティ保護手段とを具備する。

実施形態のコンピュータシステムの構成を示す図。 実施形態のコンピュータシステムにおいてデータ保存サーバ内のデータをクライアントコンピュータが持ち出し可能とする仕組みの概要を説明するための図。 実施形態のコンピュータシステムのクライアントコンピュータのシステム構成を示す図。 実施形態のコンピュータシステムのクライアントコンピュータにおけるデータ持ち出しに関わる機能ブロックを示す図。 実施形態のコンピュータシステムのデータ持ち出しに関わる処理の流れを示すタイミングチャート。

以下、実施の形態について図面を参照して説明する。

図１は、実施形態のコンピュータシステムの構成を示す図である。

図１に示すように、本コンピュータシステムは、クライアントコンピュータ１と、データ保存サーバ２と、持ち出し管理サーバ３とが、社内ＬＡＮ４に接続されることによって構成される。クライアントコンピュータ１は、各従業員がそれぞれ利用するパーソナルコンピュータ（ＰＣ）である。クライアントコンピュータ１は、社内ＬＡＮ４を介して接続されるデータ保存サーバ２内のデータを読み出したり、当該データ保存サーバ２内にデータを書き込むことが可能である。データ保存サーバ２は、例えばファイルサーバなどと称されるデータ管理用のコンピュータである。また、本コンピュータシステムでは、クライアントコンピュータ１には、基本的に、例えば起動ディスクとして搭載する自装置内のＨＤＤ等にデータを書き込む権限は与えられていない。つまり、データ保存サーバ２から読み出されたデータがクライアントコンピュータ１側においてＨＤＤ等に保持されること等は禁止されている。この点で、本コンピュータシステムは、いわゆるシンクライアント方式を採用していると言える。

しかしながら、そうすると、クライアントコンピュータ１は、社内ＬＡＮ４から切り離された、いわゆるスタンドアロンな状況下においては、データ保存サーバ２内のデータを全く使用することができず、却って利便性を損なってしまいかねない。そこで、本コンピュータシステムは、安全性を担保しつつ、一定の条件下において、社内ＬＡＮ４から切り離された状態でもデータ保存サーバ２内のデータをクライアントコンピュータ１が保持することを可能とする仕組みを備えたものであり、以下、この点について詳述する。

スタンドアロンな状態のクライアントコンピュータ１がデータ保存サーバ２内のデータを保持できるようにするため、換言すれば、クライアントコンピュータ１がデータ保存サーバ２内のデータを持ち出し可能とするために、本コンピュータシステムは、持ち出し管理サーバ３を設ける。なお、ここでは、説明を分かり易くするために、データ保存サーバ２と持ち出し管理サーバ３とを個別に設ける例を示したが、１台のサーバコンピュータ上に、データ保存サーバ２の機能と持ち出し管理サーバ３の機能とを併設することも可能である。

ここで、図２を参照して、本コンピュータシステムにおいて、クライアントコンピュータ１と持ち出し管理サーバ３とが協働して、データ保存サーバ２内のデータをクライアントコンピュータ１が社内ＬＡＮ４の圏外に持ち出すことを実現する仕組みの概要について説明する。

例えば、営業職の従業員が、データ保存サーバ２内のデータを用いて、（自分のクライアントコンピュータ１を使って）客先でプレゼンテーションを行う場合を考える。この場合、当該従業員は、データ保存サーバ２上のデータを、自分のクライアントコンピュータ１で持ち出す必要がある。

本コンピュータシステムでは、このような場合、図２（Ａ）に示すように、まず、クライアントコンピュータ１から持ち出し管理サーバ３に対して、「持ち出し要求」が送信される。そして、この「持ち出し要求」を受信した持ち出し管理サーバ３は、要求元のクライアントコンピュータ１の識別情報や時刻情報等を記録した上で、データ保存サーバ２内のデータの持ち出しを許可する「許可証」を発行してクライアントコンピュータ１に返送する（図示の「持ち出し許可」）。これにより、まず、「誰」が「いつ」、持ち出し要求を申請したのか等が持ち出し管理サーバ３によって記録され、安全性が担保される。

なお、社内ＬＡＮ４に接続されているクライアントコンピュータ１は、社内ＬＡＮ４への接続時に、所定の認証処理が実施されていることが一般的である。従って、社内ＬＡＮ４を介して「持ち出し要求」を送信してきたクライアントコンピュータ１は十分信頼することができるが、さらに、持ち出し管理サーバ３において、独自に認証処理を行うようにしてもよい。

クライアントコンピュータ１は、持ち出し管理サーバ３から「許可証」を受信すると、仮想ディスクを作成する。この仮想ディスクについては後述するが、ここで簡単に説明すると、（各従業員に配布される）クライアントコンピュータ１には、物理的なハードウェアを仮想化するための仮想マシンモニタ環境が構築されている。上記「許可証」が受信されると、（データを書き込む権限が与えられていない）ＨＤＤ内に仮想ディスクファイルが作成され、仮想マシンモニタ環境によって、この仮想ディスクファイルが、あたかもＨＤＤの１パーティション（以下、仮想ディスクと称する）のように上位システムに認識される。また、仮想マシンモニタ環境によって、この仮想ディスクにアクセスするための仮想的なバス（仮想バス）が設けられる。クライアントコンピュータ１は、データ保存サーバ２から読み出したデータを仮想バスを介して当該仮想ディスクに書き込むことで、データ保存サーバ２内のデータを持ち出すことができ、図２（Ｂ）に示すように、社内ＬＡＮ４から切り離されたスタンドアロンな状況下で当該データを使用することが可能となる。

図３は、実施形態のコンピュータシステムのクライアントコンピュータ１のシステム構成を示す図である。

図３に示すように、クライアントコンピュータ１は、ＣＰＵ（Central processing unit）１１、ＭＣＨ（Memory controller hub）１２、主メモリ１３、ＩＣＨ（I/o controller hub）１４、ＧＰＵ（Graphics processing unit：表示コントローラ）１５、ビデオメモリ（ＶＲＡＭ：Video random access memory）１５Ａ、ＬＣＤ１６、サウンドコントローラ１７、スピーカ１８、ＢＩＯＳ（Basic input/output system）−ＲＯＭ（Read only memory）１９、ＬＡＮコントローラ２０、ＨＤＤ２１、ＯＤＤ（Optical disc drive）２２、ＵＳＢ（Universal serial bus）コントローラ、ＵＳＢコネクタ２４、無線ＬＡＮコントローラ、各種周辺機器２６、ＥＥＰＲＯＭ（Electrically erasable programmable ROM）２７、ＥＣ／ＫＢＣ（Embedded controller/keyboard controller）２８、電源コントローラ２９、キーボード３０、ポインティングデバイス３１等を備えている。

ＣＰＵ１１は、本クライアントコンピュータ１の動作を制御するプロセッサであり、ＨＤＤ２１やＯＤＤ２２から主メモリ１３にロードされる各種プログラムを実行する。ＣＰＵ１１によって実行される各種プログラムの中には、ホストＯＳ１１０、ゲストＯＳ１２０、仮想マシンモニタ１３０、持ち出し管理ユーティリティプログラム１４０、各種アプリケーションプログラム１５０等が存在する。これらについては後述する。また、ＣＰＵ１１は、ＢＩＯＳ−ＲＯＭ１９に格納されたＢＩＯＳも実行する。ＢＩＯＳは、ハードウェア制御のためのプログラムである。

ＭＣＨ１２は、ＣＰＵ１１とＩＣＨ１４との間を接続するブリッジとして動作すると共に、主メモリ１３をアクセス制御するメモリコントローラとして動作する。また、ＭＣＨ１２は、ＧＰＵ１５との通信を実行する機能を有している。

ＧＰＵ１５は、本クライアントコンピュータ１に組み込まれたＬＣＤ１６を制御する表示コントローラである。ＧＰＵ１５は、ＶＲＡＭ１５Ａを有し、また、各種プログラムが表示しようとする画像をＣＰＵ１１に代わって描画するアクセラレータを搭載している。

ＩＣＨ１４は、ＨＤＤ２１やＯＤＤ２２を制御するためのＩＤＥ（Integrated device electronics）コントローラを内蔵する。ＩＣＨ１４は、ＰＣＩ（Peripheral component interconnect）バスに接続された各種周辺機器２６の制御も行う。また、ＩＣＨ１４は、サウンドコントローラ１７、ＬＡＮコントローラ２０、ＵＳＢコントローラ２３との通信機能も有している。

サウンドコントローラ１７は音源デバイスであり、各種プログラムが再生対象とするオーディオデータを、本クライアントコンピュータ１に組み込まれたスピーカ１８に出力する。ＬＡＮコントローラ２０は、例えばIEEE 802.3規格の有線通信を実行する有線通信デバイスである。より具体的には、ＬＡＮコントローラ２０は、社内ＬＡＮ４経由のデータ送受信を実行制御する。ＵＳＢコントローラ２３は、（ＵＳＢコネクタ２４を介して接続される）例えばUSB 2.0規格に対応した外部機器との通信を実行する。

また、無線ＬＡＮコントローラ２５は、例えばIEEE 802.11g規格の無線通信を実行する無線通信デバイスである。ＥＥＰＲＯＭ２７は、例えば本クライアントコンピュータ１の個体情報などを格納するためのメモリデバイスである。そして、ＥＣ／ＫＢＣ２８は、電源コントローラ２９と協働して電力管理を行うためのエンベデッドコントローラと、キーボード３０やポインティングデバイス３１の操作によるデータ入力を制御するためのキーボードコントローラとが集積された１チップＭＰＵ（Micro processing unit）である。

次に、以上のようなシステム構成を有する（各従業員に配布される）本クライアントコンピュータ１におけるデータ持ち出しに関わる機能ブロックを図４に示す。

図４に示すように、クライアントコンピュータ１には、まず、ユーザドメイン１Ａおよび管理ドメイン１Ｂの２つの仮想マシン環境が構築される。ユーザドメイン１Ａは、例えばＷｉｎｄｏｗｓ（登録商標）等、ユーザの操作を受け付け、ユーザが利用するアプリケーションプログラム１５０を実行制御するゲストＯＳ１２０（第１のＯＳ）が動作する仮想マシン環境である。クライアントコンピュータ１の利用者には、このユーザドメイン１Ａの仮想マシン環境のみが認識されることになる。このゲストＯＳ１２０において、ファイルシステム上のファイルやディレクトリ（フォルダ）に対するアクセス権限が、「書き込み不可」に設定される。

また、このユーザドメイン１Ａ上では、ゲストＯＳ１２０の制御下で、持ち出し管理ユーティリティプログラム１４０も動作する。持ち出し管理ユーティリティプログラム１４０は、持ち出し管理サーバ３に対して、前述した「持ち出し要求」を送信するためのユーザインタフェース（ＧＵＩ）を提供するプログラムである。さらに、ゲストＯＳ１２０内には、後述するフロントエンドドライバ１２１が設けられている。

一方、管理ドメイン１Ｂは、ゲストＯＳ１２０を管理するホストＯＳ１１０（第２のＯＳ）が動作する仮想マシン環境である。ホストＯＳ１１０は、後述する仮想マシンマネージャ１１１、バックエンドドライバ１１２、デバイスドライバ１１３を有している。

また、仮想マシンモニタ１３０は、前述した（物理的なハードウェアを仮想化するための）仮想マシンモニタ環境を構築するためのプログラムである。仮想マシンモニタ１３０は、２つのモジュール間で通信するための仮想バスを設け、かつ、当該仮想バスを接続および切断する機能も有している。

クライアントコンピュータ１上におけるこれら２つの仮想マシン環境（１Ａ，１Ｂ）および仮想マシンモニタ環境の構築は、例えば、初期起動時、インストール用の光ディスクをＯＤＤ２２にセットしてクライアントコンピュータ１を電源オンすることによって行うことができる。また、全てのモジュールを光ディスクから得なくとも、（光ディスクに格納されたインストーラから）社内ＬＡＮ４経由でデータ保存サーバ２等から入手するようにしても良い。即ち、図４に示す各種環境の構築は、特定の方法に限定されず、既知のいずれの方法も適用することが可能である。

いま、クライアントコンピュータ１は、社内ＬＡＮ４に接続された状態にあるものとする。そして、この状態において、持ち出し管理ユーティリティプログラム１４０が提供するＧＵＩによって「持ち出し要求」が持ち出し管理サーバ３に送信され、当該持ち出し管理サーバ３から許可証（「持ち出し許可」）が返信されてきたものとする。

持ち出し管理サーバ３から発行された許可証を受信すると、（持ち出し管理ユーティリティプログラム１４０を実行制御する）ゲストＯＳ１２０は、その旨をホストＯＳ１１０の仮想マシンマネージャ１１１に通知する。この通知は、「通常モード」から「持ち出しモード」への移行を要求するものである。

この通知を受けた仮想マシンマネージャ１１１は、まず、クライアントコンピュータ１に実装されるＨＤＤ２１内に仮想ディスクファイルａ１を作成する。この仮想ディスクファイルａ１の作成のためのＨＤＤ２１に対するアクセスは、ホストＯＳ１１０内のデバイスドライバ１１３経由で実行される。続いて、仮想マシンマネージャ１１１は、この仮想ディスクファイルａ１を、ゲストＯＳ１２０に対しては、ＨＤＤ２１の１パーティション（仮想ディスクａ２）として見せるように、仮想マシンモニタ１３０に指示する。これにより、ユーザドメイン１Ａ上では、あたかもデバイスが１つ追加されたように認識されることになる。なお、仮想マシンモニタ１３０は、ホストＯＳ１１０に対しては、少なくともＨＤＤ２１については仮想化を行わない。つまり、ホストＯＳ１１０には、この仮想ディスクファイルａ１は、そのまま、ＨＤＤ２１内の１ファイルとして見えている。

仮想マシンマネージャ１１１は、起動時、仮想マシンモニタ１３０に対して、ゲストＯＳ１２０のフロントエンドドライバ１２１とホストＯＳ１１０のバックエンドドライバ１１２との間で通信を行うための仮想バスａ３を設ける指示と、当該仮想バスａ３を切断状態とする指示とを発行する。そして、ＨＤＤ２１上に仮想ディスクファイルａ１を作成したときに、仮想マシンマネージャ１１１は、仮想マシンモニタ１３０に対して、仮想バスａ３を接続する指示を発行する。

フロントエンドドライバ１２１は、ユーザドメイン１Ａ上において追加される所定のデバイス、より具体的には、仮想ディスクａ２にアクセスするためにゲストＯＳ１２０内に設けられるプログラムであり、当該仮想ディスクａ２に対するアクセスコマンドを仮想バスａ３上に出力する。仮想マシンマネージャ１１１の制御によって、仮想バスａ３が導通状態にあると、フロントエンドドライバ１２１から出力されたアクセスコマンドは、ホストＯＳ１１０のバックエンドドライバ１１２に転送される。

バックエンドドライバ１１２は、（フロントエンドドライバ１２１によって）仮想ディスクａ２向けに発行されたアクセスコマンドを、仮想ディスクファイルａ１にアクセスするためのＨＤＤ２１向けに発行するアクセスコマンドに変換し、当該変換後のアクセスコマンドを、デバイスドライバ１１３を介してＨＤＤ２１に対して発行するプログラムである。例えば、データ保存サーバ２から読み出されて仮想ディスクａ２に書き込まれるデータは、ＨＤＤ２１内の仮想ディスクファイルａ１内に書き込まれることになる。

逆に、仮想ディスクａ２からデータを読み出すためのアクセスコマンドがフロントエンドドライバ１２１から発行されると、バックエンドドライバ１１２によって、当該アクセスコマンドが、仮想ディスクファイルａ１にアクセスするためのＨＤＤ２１向けのアクセスコマンドに変換され、デバイスドライバ１１３経由でＨＤＤ２１に発行される。この結果として得られたデータが、デバイスドライバ１１３、バックエンドドライバ１１２と受け継がれ、仮想バスａ３を介してフロントエンドドライバ１２１に返却される。

このように、持ち出し管理サーバ３から許可証（持ち出し許可）を受けると、クライアントコンピュータ１は、ゲストＯＳ１２０が動作するユーザドメイン１Ａの仮想マシン環境下において、仮想ディスクａ２に対するアクセスが実行可能となる。よって、この仮想ディスクａ２に、データ保存サーバ２から読み出したデータを書き込めば、クライアントコンピュータ１を社内ＬＡＮ４から切り離しても、データ保存サーバ２内のデータを使用することが可能となる。

この仮想ディスクａ２に対するアクセスは、ホストＯＳ１１０が介在することで実現可能となるものであり、ゲストＯＳ１２０からは直接的にアクセスすることはできない。特に、仮想バスａ３が切断状態にあれば、（ユーザの操作を受け付ける）ゲストＯＳ１２０からの仮想ディスクａ２に対するアクセスは不可能となる。この仮想バスａ３の接続／切断は、ホストＯＳ１１０の仮想マシンマネージャ１１１によって制御されるので、この点においても、安全性が担保される。

図５は、本コンピュータシステムのデータ持ち出しに関わる処理の流れを示すタイミングチャートである。

ある従業員が、データ保存サーバ２から読み出したデータを自分のクライアントコンピュータ１に取り込んで持ち出す場合、当該従業員は、持ち出し管理ユーティリティプログラム１４０が提供するＧＵＩを使って、「通常モード」から「持ち出しモード」へ移行するための操作を行う。

そうすると、クライアントコンピュータ１のゲストＯＳ１２０から「持ち出し要求」が持ち出し管理サーバ３に送信される（図５の（１））。持ち出し管理サーバ３は、「持ち出し要求」を受信すると（図５の（２））、例えば、要求元のクライアントコンピュータ１の識別情報や時刻情報を記録し、データ保存サーバ２内のデータの持ち出しを許可する「許可証」を発行してクライアントコンピュータ１に返送する（図５の（３））。

クライアントコンピュータ１のゲストＯＳ１２０は、「許可証」を受信すると（図５の（４））、ホストＯＳ１１０の仮想マシンマネージャ１１１に対して、「持ち出しモード移行」を通知する（図５の（５））。一方、ホストＯＳ１１０の仮想マシンマネージャ１１１は、この通知を受信すると（図５の（６））、まず、クライアントコンピュータ１に実装されるＨＤＤ２１内に仮想ディスクファイルａ１を作成すると共に、この仮想ディスクファイルａ１がゲストＯＳ１２０からは１つのディスク（仮想ディスクａ２）に見えるようにするための指示を仮想マシンモニタ１３０に与える（図５の（７））。

そして、この仮想ディスクａ２を作成すると、ホストＯＳ１１０の仮想マシンマネージャ１１１は、今度は、ゲストＯＳ１２０がホストＯＳ１１０経由で当該仮想ディスクａ２にアクセスするための（切断状態にある）仮想バスａ３を接続させる指示を仮想マシンモニタ１３０に与える（図５の（８））。

以上のように、本コンピュータシステムは、持ち出し管理サーバ３から許可証（持ち出し許可）を受けることを条件として、クライアントコンピュータ１が、ホストＯＳ１１０の制御下で、仮想ディスクａ２を作成し、かつ、ゲストＯＳ１２０が当該仮想ディスクａ２に対してアクセスするための（ホストＯＳ１１０のバックエンドドライバ１１２と通信するための）仮想バスａ３を導通させる。

これにより、安全性を担保しつつ、一定の条件下において、社内ＬＡＮ４を介して取得したデータをクライアントコンピュータ１が保持することを可能とするコンピュータシステムが実現される。

ところで、クライアントコンピュータ１は、「通常モード」から「持ち出しモード」へ移行する場合、持ち出し管理サーバ３に対して、「持ち出し要求」を送信する。これに対して、持ち出し管理サーバ３は、要求元のクライアントコンピュータ１の識別情報や時刻情報等を記録した上で、データ保存サーバ２内のデータの持ち出しを許可する「許可証」を発行してクライアントコンピュータ１に返送する。これに加えて、持ち出し管理サーバ３が、制限時間情報を「許可証」に含めることも有効である。この制限時間情報は、すべてのクライアントコンピュータ１について一律の値を採用しても良いし、持ち出し管理サーバ３側でテーブル等によってクライアントコンピュータ１毎に異なる値を採用するようにしても良い。

この「許可証」の受領を契機として、クライアントコンピュータ１では、ホストＯＳ１１０の仮想マシンマネージャ１１１が、仮想ディスクａ２を作成し、かつ、ゲストＯＳ１２０が当該仮想ディスクａ２にアクセスするための仮想バスａ３を導通させる処理を実行する。これに加えて、ホストＯＳ１１０の仮想マシンマネージャ１１１は、「許可証」を受領してからの経過時間を計時し、その値が「許可証」に含まれる制限時間情報で示される値に達したら、仮想バスａ３を切断させる指示を仮想マシンモニタ１３０に与える。

仮想バスａ３が切断されると、ゲストＯＳ１２０からの仮想ディスクａ２へのアクセスは行えなくなるので、安全性をより高めることができる。なお、ＨＤＤ２１内に作成した仮想ディスクファイルａ１、つまり仮想ディスクａ２については、（１）制限時間経過時に削除する（ＨＤＤ２１内の仮想ディスクファイルａ１を削除する）、（２）そのまま残存させる、の２通りの対応が可能である。仮想ディスクａ２を残存させる場合、クライアントコンピュータ１を「通常モード」に復帰させた後、再度、「持ち出しモード」へ移行した際、前回使用していた仮想ディスクａ２を継続して使用することが可能となる。この場合、ホストＯＳ１１０の仮想マシンマネージャ１１１は、ＨＤＤ２１に既存の仮想ディスクファイルａ１が存在しないかを調べ、存在していたならば、仮想ディスクファイルａ１の新たな作成は行わず、当該既存の仮想ディスクファイルａ１を、ゲストＯＳ１２０に対して仮想ディスクａ２に見せ掛けるための指示を仮想マシンモニタ１３０に与える。

この（１）制限時間経過時に削除する、（２）そのまま残存させる、の対応は、いずれかを固定的に採用しても良いし、持ち出し管理ユーティリティプログラム１４０が提供するＧＵＩでいずれかを利用者自身に設定させるようにしても良い。

また、以上では、クライアントコンピュータ１が、「通常モード」から「持ち出しモード」へ移行する場合の例について説明した。次に、「持ち出しモード」のクライアントコンピュータ１が「通常モード」に復帰する場合の種々の例について説明する。

（「持ち出しモード」の状態にある）クライアントコンピュータ１が社内ＬＡＮ４に再接続されると、例えば、ゲストＯＳ１２０の制御下で、社内ＬＡＮ４に接続するための所定の認証処理が実施される。ゲストＯＳ１２０を管理するホストＯＳ１１０は、この認証処理の実施により社内ＬＡＮ４への再接続を検知すると、仮想マシンマネージャ１１１によって、「持ち出しモード」から「通常モード」へと復帰するための処理を実行する。

より具体的には、仮想マシンマネージャ１１１は、第１に、仮想バスａ３を切断させる指示を仮想マシンモニタ１３０に与える処理を実行する。これにより、その後、データ保存サーバ２から読み出したデータをクライアントコンピュータ１内に取り込むことが不可能となる。

また、仮想マシンマネージャ１１１は、第２に、仮想ディスクａ２について、（１）そのまま削除する（ＨＤＤ２１内の仮想ディスクファイルａ１を削除する）、（２）そのまま残存させる、（３）ＨＤＤ２１内の仮想ディスクファイルａ１内に格納されたデータをデータ保存サーバ２の所定の領域に退避し、かつ、そのまま残存させる、（４）ＨＤＤ２１内の仮想ディスクファイルａ１内に格納されたデータをデータ保存サーバ２の所定の領域に退避した後に削除する、等の処理を実行する。

仮想ディスクａ２を残存させる場合、前述した制限時間経過時と同様、再度、「持ち出しモード」へ移行した際、前回使用していた仮想ディスクａ２を継続して使用することが可能となる。また、データ保存サーバ２の所定の領域への退避は、例えば、仮想ディスクファイルａ１全体に対して１つのディレクトリ（フォルダ）をデータ保存サーバ２内の予め定められた領域に作成し、その中に、仮想ディスクファイルａ１に格納された各データを収納することで実行できる。この場合も、再度、「持ち出しモード」へ移行した際、データ保存サーバ２から改めて読み出して仮想ディスクａ２に取り込むことにより、当該データを再利用することが可能となる。

また、上記仮想ディスクａ２についての（１）そのまま削除する、（２）そのまま残存させる、（３）ＨＤＤ２１内の仮想ディスクファイルａ１内に格納されたデータをデータ保存サーバ２の所定の領域に退避し、かつ、そのまま残存させる、（４）ＨＤＤ２１内の仮想ディスクファイルａ１内に格納されたデータをデータ保存サーバ２の所定の領域に退避した後に削除する、の対応も、前述した制限時間経過時と同様、いずれかを固定的に採用しても良いし、持ち出し管理ユーティリティプログラム１４０が提供するＧＵＩでいずれかを利用者自身に設定させるようにしても良い。

さらに、データ保存サーバ２から読み出して仮想ディスクａ２に取り込むことで持ち出されたデータが更新されていないかを調べ、更新されていたならば、データ保存サーバ２内に存在する旧データを、仮想ディスクａ２内の新データに更新するといったデータ同期処理を実行することも考えられる。

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれると共に、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

１…クライアントコンピュータ、１Ａ…ユーザドメイン、１Ｂ…管理ドメイン、２…データ保存サーバ、３…管理サーバ、４…社内ＬＡＮ、１１…ＣＰＵ、１２…ＭＣＨ、１３…主メモリ、１４…ＩＣＨ、１５…ＧＰＵ、１５Ａ…ビデオメモリ、１６…ＬＣＤ、１７…サウンドコントローラ、１８…スピーカ、１９…ＢＩＯＳ−ＲＯＭ、２０…ＬＡＮコントローラ、２１…ＨＤＤ、２２…ＯＤＤ、２３…ＵＳＢコントローラ、２４…ＵＳＢコネクタ、２５…無線ＬＡＮコントローラ、２６…各種周辺機器、２７…ＥＥＰＲＯＭ、２８…ＥＣ／ＫＢＣ、２９…電源コントローラ、３０…キーボード、３１…ポインティングデバイス、１１０…ホストＯＳ、１１１…仮想マシンマネージャ、１１２…バックエンドドライバ、１１３…デバイスドライバ、１２０…ゲストＯＳ、１２１…フロントエンドドライバ、１３０…仮想マシンモニタ、１４０…管理ユーティリティプログラム、１５０…各種アプリケーションプログラム、ａ１…仮想ディスクファイル、ａ２…仮想ディスク、ａ３…仮想バス。

Claims (19)

1. サーバコンピュータとクライアントコンピュータとがネットワークを介して接続されるコンピュータシステムにおいて、
   前記サーバコンピュータは、
   前記ネットワークを介して取得したデータを前記ネットワークから切り離された状況下で使用するための持ち出し要求を前記クライアントコンピュータから受信した場合に、前記クライアントコンピュータがデータを保持することを許可する許可証を発行して前記クライアントコンピュータに送信する持ち出し管理手段
   を具備し、
   前記クライアントコンピュータは、
   ディスク装置と、
   前記持ち出し要求を前記サーバコンピュータに送信する持ち出し要求送信手段と、
   前記サーバコンピュータから前記許可証を受信した場合に、前記ディスク装置内に仮想ディスクファイルを作成すると共に、前記仮想ディスクファイルにアクセスするためにフロントエンドドライバとバックエンドドライバとの間で通信を行うための仮想バスを導通させて、前記ディスク装置によるデータの保持を可能とするセキュリティ保護手段と、
   を具備する
   コンピュータシステム。
2. 前記クライアントコンピュータは、
   ユーザの操作を受け付け、ユーザが利用するアプリケーションプログラムを実行制御する第１のＯＳが動作する第１の仮想マシン環境と、
   前記第１のＯＳを管理する第２のＯＳが動作する第２の仮想マシン環境と、
   前記ディスク装置を含む各種ハードウェアを前記第１および第２のＯＳに任意に認識させるための仮想化を行う仮想マシンモニタ環境と、
   を具備し、
   前記第１のＯＳは、前記データ記憶領域を有する所定のデバイスを動作制御するための動作コマンドを発行する前記フロントエンドドライバを具備し、
   前記第２のＯＳは、
   前記フロントエンドドライバが発行した動作コマンドを受信する前記バックエンドドライバと、
   前記バックエンドドライバが受信した動作コマンドを前記ディスク装置に対して発行するデバイスドライバと、
   を具備し、
   前記セキュリティ保護手段は、前記第２のＯＳ内に設けられ、前記作成した前記ディスク装置内の仮想ディスクファイルを前記所定のデバイスとして前記第１のＯＳに認識させるべく前記仮想マシンモニタ環境に指示すると共に、前記第１のＯＳのフロントエンドドライバと前記第２のホストＯＳのバックエンドドライバとの間で前記所定のデバイスに対する動作コマンドの授受を含む通信を行うための前記仮想バスを導通すべく前記仮想マシンモニタ環境に指示して、前記第１のＯＳの制御下でデータの書き込みを行うことを可能とする
   請求項１記載のコンピュータシステム。
3. 前記バックエンドドライバは、前記所定のデバイスに対して前記フロントエンドドライバが発行する動作コマンドを、前記仮想ディスクファイルにアクセスするための前記ディスク装置に対する動作コマンドに変換する変換手段を有する請求項２記載のコンピュータシステム。
4. 前記許可証は、前記クライアントコンピュータがデータを保持することのできる制限時間を示す制限時間情報を含み、
   前記セキュリティ保護手段は、前記サーバコンピュータから前記許可証を受信した後、当該許可証に含まれる制限時間情報で示される制限時間が経過した場合、前記第１のＯＳのフロントエンドドライバと前記第２のＯＳのバックエンドドライバとの間を繋ぐ前記仮想バスを切断すべく前記仮想マシンモニタ環境に指示して、前記第１のＯＳの制御下でデータの書き込みおよび読み出しを行うことを禁止する
   請求項２記載のコンピュータシステム。
5. 前記セキュリティ保護手段は、前記第１のＯＳのフロントエンドドライバと前記第２のＯＳのバックエンドドライバとの間を繋ぐ前記仮想バスを切断した場合、前記ディスク装置内の仮想ディスクファイルを削除する請求項４記載のコンピュータシステム。
6. 前記セキュリティ保護手段は、前記クライアントコンピュータが前記ネットワークに再接続された場合、前記第１のＯＳのフロントエンドドライバと前記第２のＯＳのバックエンドドライバとの間を繋ぐ前記仮想バスを切断すべく前記仮想マシンモニタ環境に指示して、前記第１のＯＳの制御下でデータの書き込みおよび読み出しを行うことを禁止する請求項２記載のコンピュータシステム。
7. 前記セキュリティ保護手段は、前記第１のＯＳのフロントエンドドライバと前記第２のＯＳのバックエンドドライバとの間を繋ぐ前記仮想バスを切断した場合、前記ディスク装置内の仮想ディスクファイルを削除する請求項６記載のコンピュータシステム。
8. 第２のサーバコンピュータがネットワークを介して接続され、
   前記クライアントコンピュータの前記セキュリティ保護手段は、前記クライアントコンピュータが前記ネットワークに再接続された場合、前記ディスク装置内の仮想ディスクファイルに保持されたデータを前記第２のサーバコンピュータに格納するデータ管理手段を具備する
   請求項２記載のコンピュータシステム。
9. 前記セキュリティ保護手段は、前記ディスク装置内の仮想ディスクファイルに保持されたデータを前記第２のサーバコンピュータに格納した後、前記ディスク装置内の仮想ディスクファイルを削除する請求項８記載のコンピュータシステム。
10. 前記セキュリティ保護手段は、前記ディスク装置内に仮想ディスクファイルが既に存在する場合、当該既存の仮想ディスクファイルを前記所定のデバイスとして前記第１のＯＳに認識させるべく前記仮想マシンモニタ環境に指示する請求項２記載のコンピュータシステム。
11. サーバコンピュータとネットワークを介して接続される情報処理装置において、
    ディスク装置と、
    前記ネットワークを介して取得したデータを前記ネットワークから切り離された状況下で使用するための持ち出し要求を前記サーバコンピュータに送信する持ち出し要求送信手段と、
    前記情報処理装置がデータを保持することを許可する許可証を前記サーバコンピュータから受信した場合に、前記ディスク装置内に仮想ディスクファイルを作成すると共に、前記仮想ディスクファイルにアクセスするためにフロントエンドドライバとバックエンドドライバとの間で通信を行うための仮想バスを導通させて、前記ディスク装置によるデータの保持を可能とするセキュリティ保護手段と、
    を具備する
    情報処理装置。
12. ユーザの操作を受け付け、ユーザが利用するアプリケーションプログラムを実行制御する第１のＯＳが動作する第１の仮想マシン環境と、
    前記第１のＯＳを管理する第２のＯＳが動作する第２の仮想マシン環境と、
    前記ディスク装置を含む各種ハードウェアを前記第１および第２のＯＳに任意に認識させるための仮想化を行う仮想マシンモニタ環境と、
    を具備し、
    前記第１のＯＳは、データ記憶領域を有する所定のデバイスを動作制御するための動作コマンドを発行する前記フロントエンドドライバを具備し、
    前記第２のＯＳは、
    前記フロントエンドドライバが発行した動作コマンドを受信する前記バックエンドドライバと、
    前記バックエンドドライバが受信した動作コマンドを前記ディスク装置に対して発行するデバイスドライバと、
    を具備し、
    前記セキュリティ保護手段は、前記第２のＯＳ内に設けられ、前記作成した前記ディスク装置内の仮想ディスクファイルを前記所定のデバイスとして前記第１のＯＳに認識させるべく前記仮想マシンモニタ環境に指示すると共に、前記第１のＯＳのフロントエンドドライバと前記第２のＯＳのバックエンドドライバとの間で前記所定のデバイスに対する動作コマンドの授受を含む通信を行うための前記仮想バスを導通すべく前記仮想マシンモニタ環境に指示して、前記第１のＯＳの制御下でデータの書き込みを行うことを可能とする
    請求項１１記載の情報処理装置。
13. 前記バックエンドドライバは、前記所定のデバイスに対して前記フロントエンドドライバが発行する動作コマンドを、前記仮想ディスクファイルにアクセスするための前記ディスク装置に対する動作コマンドに変換する変換手段を有する請求項１２記載の情報処理装置。
14. 前記許可証は、前記情報処理装置がデータを保持することのできる制限時間を示す制限時間情報を含み、
    前記セキュリティ保護手段は、前記サーバコンピュータから前記許可証を受信した後、当該許可証に含まれる制限時間情報で示される制限時間が経過した場合、前記第１のＯＳのフロントエンドドライバと前記第２のＯＳのバックエンドドライバとの間を繋ぐ前記仮想バスを切断すべく前記仮想マシンモニタ環境に指示して、前記第１のＯＳの制御下でデータの書き込みおよび読み出しを行うことを禁止する
    請求項１２記載の情報処理装置。
15. 前記セキュリティ保護手段は、前記第１のＯＳのフロントエンドドライバと前記第２のＯＳのバックエンドドライバとの間を繋ぐ前記仮想バスを切断した場合、前記ディスク装置内の仮想ディスクファイルを削除する請求項１４記載の情報処理装置。
16. 前記セキュリティ保護手段は、前記クライアントコンピュータが前記ネットワークに再接続された場合、前記第１のＯＳのフロントエンドドライバと前記第２のＯＳのバックエンドドライバとの間を繋ぐ前記仮想バスを切断すべく前記仮想マシンモニタ環境に指示して、前記第１のＯＳの制御下でデータの書き込みおよび読み出しを行うことを禁止する請求項１２記載の情報処理装置。
17. 前記セキュリティ保護手段は、前記第１のＯＳのフロントエンドドライバと前記第２のＯＳのバックエンドドライバとの間を繋ぐ前記仮想バスを切断した場合、前記ディスク装置内の仮想ディスクファイルを削除する請求項１６記載の情報処理装置。
18. 前記セキュリティ保護手段は、前記ディスク装置内に仮想ディスクファイルが既に存在する場合、当該既存の仮想ディスクファイルを前記所定のデバイスとして前記第１のＯＳに認識させるべく前記仮想マシンモニタ環境に指示する請求項１２記載の情報処理装置。
19. ディスク装置を有し、サーバコンピュータとネットワークを介して接続される情報処理装置におけるセキュリティ保護方法であって、
    前記情報処理装置は、
    前記ネットワークを介して取得したデータを前記ネットワークから切り離された状況下で使用するための持ち出し要求を前記サーバコンピュータに送信し、
    前記情報処理装置がデータを保持することを許可する許可証を前記サーバコンピュータから受信した場合に、前記ディスク装置内に仮想ディスクファイルを作成すると共に、前記仮想ディスクファイルにアクセスするためにフロントエンドドライバとバックエンドドライバとの間で通信を行うための仮想バスを導通させて、前記ディスク装置によるデータの保持を可能とする
    セキュリティ保護方法。

Images