JP5673417B2 - データ復旧方法，データ復旧装置およびデータ復旧プログラム - Google Patents

Description

本発明は，消去したデータを復旧するデータ復旧方法，データ復旧装置およびデータ復旧プログラムに関するものである。

コンピュータにおいて，記憶装置から消去したデータを，そのデータのバックアップイメージを用いて復旧することが行われている。

例えば，保護対象ファイルが変更された際に，変更された保護対象ファイルのバックアップファイルを時刻に対応付けて保存しておき，ユーザが所望する任意の時点の状態にファイルを復旧する技術が知られている。

特開２００５−２９３２７２号公報

例えば，誤ってデータを消去してしまった場合などに，そのデータを用いた業務の中断を最小限に留めるために，消去したデータの迅速な復旧が望まれる。上述の技術では，保護対象のデータとそのバックアップイメージとが同じコンピュータに存在するため，速やかにデータを復旧することが可能である。

しかし，コンピュータからの情報漏洩を防ぎたい場合などには，復旧用のバックアップデータを，そのコンピュータ自身に持たせることは，避けたい。例えば，コンピュータからの情報漏洩の防止を目的にデータを消去する場合に，そのコンピュータ自身に消去するデータのバックアップイメージが存在すれば，そこから情報が漏洩する恐れがある。これに対して，データを使用するコンピュータと別の場所にバックアップイメージを保管する場合には，コンピュータで消去したデータを復旧する際に，大きな手間と時間とがかかるという問題がある。

一側面では，本発明は，情報漏洩が防止できる安全な状態で，コンピュータで消去されたデータの復旧を迅速に行うことが可能となる技術を提供することを目的とする。

１態様では，データ復旧方法は，第１のコンピュータが，第２のコンピュータで消去されたデータの復旧要求を受け付け，復旧要求を受け付けた際に，第１のコンピュータに接続された，消去条件が満たされた際に記憶データを自動消去する機能を持つ記憶装置に対して，第１のコンピュータからの記憶装置の取り外しの検知を消去条件として設定し，記憶装置に復旧するデータを書き出し，ユーザ認証を行い，ユーザ認証に成功した場合に，記憶装置に設定された第１のコンピュータからの記憶装置の取り外しの検知の消去条件を解除する過程を実行する。

１態様では，情報漏洩が防止できる安全な状態で，消去されたデータの復旧を迅速に行うことが可能となる。

本実施の形態によるデータ復旧が行われるシステムの例（１）を示す図である。 本実施の形態によるＰＣ，ＰＣディスク，端末管理サーバおよび携帯端末の機能構成の例を示す図である。 本実施の形態による消去ポリシの例を示す図である。 本実施の形態による消去レポートの例を示す図である。 本実施の形態による復旧装置および復旧ディスクの機能構成の例を示す図である。 本実施の形態によるＰＣと復旧ディスクが接続された状態におけるＰＣおよび復旧ディスクの機能構成の例を示す図である。 本実施の形態によるデータ復旧が行われるシステムの各装置を実現するコンピュータのハードウェア構成例を示す図である。 本実施の形態によるデータの消去から復旧ディスクへのデータの復旧までの流れを示すシーケンス図である。 本実施の形態によるユーザ認証時の流れを示すシーケンス図である。 本実施の形態の復旧装置による認証処理フローチャートである。 本実施の形態によるＰＣへの復旧ディスク接続時の流れを示すシーケンス図である。 本実施の形態の復旧ディスクによるパスワードチェック処理フローチャートである。 本実施の形態によるデータ復旧が行われるシステムの例（２）を示す図である。

以下，本実施の形態について，図を用いて説明する。

図１は，本実施の形態によるデータ復旧が行われるシステムの例（１）を示す図である。

図１に示すシステムでは，情報漏洩を防止するために，盗難・紛失の可能性が疑われるコンピュータのデータ消去が行われる。図１において，ＰＣ（Personal Computer ）１０は，情報漏洩防止対策の対象となるモバイル型のコンピュータである。

モバイル型のＰＣ１０からの情報漏洩を防ぐための代表的な対策として，ＰＣ１０の盗難・紛失やＰＣ１０への攻撃が検知された場合に，ＰＣ１０のデータを消去する技術がある。ＰＣ１０の盗難・紛失を検知する例としては，例えば，ユーザとＰＣ１０との位置関係をセンシングし，ユーザとＰＣ１０との距離が所定以上となったときに，ＰＣ１０の盗難・紛失が検知されたと判断する例が考えられる。また，ユーザからの通報によって，ＰＣ１０の盗難・紛失を検知する例が考えられる。ＰＣ１０への攻撃を検知する例としては，例えば，認証時において設定されたパスワードと異なるパスワードが所定回数以上連続して入力された場合に，ＰＣ１０への攻撃が検知されたと判断する例が考えられる。

盗難・紛失や攻撃の検知によってＰＣ１０のデータ消去を行う情報漏洩の防止対策の有効度は，盗難・紛失や攻撃の検知精度にかかっている。しかし，ＰＣ１０の盗難・紛失やＰＣ１０への攻撃を高精度に検知することは難しく，盗難・紛失や攻撃の有無を誤判断してしまう可能性が十分にある。例えば，単にユーザがＰＣ１０を置いた場所を思い出せないだけである場合に，紛失と誤認されてＰＣ１０のデータが消去される可能性がある。また，例えば，単にユーザのミスでパスワードの入力を間違えただけであるのに，ＰＣ１０側には悪意ある攻撃と誤認されてデータが消去される可能性がある。

誤判断を恐れて，ＰＣ１０の盗難・紛失やＰＣ１０への攻撃をゆるい条件で検知すると，データの消去が遅れて情報が流出してしまう可能性がある。しかし，ＰＣ１０の盗難・紛失やＰＣ１０への攻撃を厳しい条件で検知すると，誤判断によりデータが消去されるケースが増えてしまう。この場合，すみやかにデータの復旧を行わないと，ビジネスが大きく中断してしまうなどの問題が発生する。

持ち運び可能なＰＣ１０からの情報漏洩の防止を考慮した場合，ＰＣ１０のデータのバックアップイメージは，ＰＣ１０以外の安全な場所に保管した方がよい。ＰＣ１０の内部にバックアップイメージを保管すると，ＰＣ１０が盗難された際にデータを消去しても，保管されたバックアップイメージから情報が流出する可能性がある。

ＰＣ１０のデータ復旧では，例えば，ＰＣ１０を消去されたデータのバックアップイメージが保管された場所に持ち込み，リカバリディスクでＰＣ１０をブートし，ＰＣ１０をバックアップイメージに接続して消去されたデータを復旧するなどの作業が行われる。このとき，リカバリディスクを探したり，大容量のデータの復旧を行うのに，長い時間がかかってしまう。そのため，データの消去から復旧までの間にビジネスが大きく中断してしまうことを考えると，安易にデータの消去を判断することはできない。

本実施の形態では，このようなデータの復旧にかかる時間を短縮するための技術として，例えば，ＰＣ１０のデータ消去と同時に，別の場所で，消去されたデータを復旧したディスクを自動生成する技術を提案する。しかし，この技術では，ユーザ不在の場所で生成されたディスクからデータが流出する可能性がある。

以下では，迅速にかつ安全にＰＣ１０から消去されたデータを復旧することが可能となる本実施の形態によるデータ復旧の技術について，説明する。

図１に示すシステムにおいて，上述したように，ＰＣ１０は，情報漏洩防止対策の対象となるモバイル型のコンピュータである。データの消去後，消去されたデータを復旧する際には，ＰＣ１０は，データを復旧する対象のコンピュータとなる。ＰＣ１０には，着脱可能なＰＣディスク２０がＡＴＡ（Advanced Technology Attachment）等のインタフェースで接続されている。ＰＣディスク２０は，例えば，ＨＤＤ（Hard Disk Drive ）やＳＳＤ（Solid State Drive ）などの記憶装置である。ＰＣ１０では，情報漏洩防止の対象となるデータは，着脱可能なＰＣディスク２０に記憶される。

端末管理サーバ３０は，複数のコンピュータの運用を管理するサーバである。例えば，図１に示すシステムがある企業についてのコンピュータシステムである場合に，端末管理サーバ３０は，当該企業のすべてのコンピュータ端末を管理するサーバとなる。ＰＣ１０は，端末管理サーバ３０による管理対象のコンピュータの１つである。

携帯端末４０は，ＰＣ１０のユーザが使用する携帯電話等の端末である。

復旧装置５０は，ＰＣ１０のデータが消去された場合に，ＰＣ１０のデータの復旧を行う。復旧装置５０には，着脱可能な復旧ディスク６０がＡＴＡ等のインタフェースで接続されている。復旧ディスク６０は，例えば，ＨＤＤやＳＳＤなどの記憶装置である。復旧ディスク６０は，設定された消去条件が満たされた際に，記憶データを自動消去する機能を持つ。復旧装置５０は，ＰＣ１０で消去されたデータを，復旧ディスク６０に復旧する。なお，復旧ディスク６０は，ＰＣ１０に接続可能である。

図１に示すシステムにおいて，破線で結ばれたコンピュータ同士は，有線または無線のネットワークで通信を行うことが可能である。

図２は，本実施の形態によるＰＣ，ＰＣディスク，端末管理サーバおよび携帯端末の機能構成の例を示す図である。

ＰＣ１０は，データ消去処理部１１，パスワード記憶部１６を備える。ＰＣ１０において，データ消去処理部１１は，ＰＣディスク２０に記憶された情報漏洩防止の対象となるデータの消去を行う。データ消去処理部１１は，消去命令受付部１２，消去実行部１３，復旧情報生成部１４，消去レポート送信部１５を備える。

消去命令受付部１２は，端末管理サーバ３０からのデータの消去命令を受け付ける。消去実行部１３は，消去対象のデータが記録されたＰＣディスク２０に対して，データ消去のコマンドを発行する。復旧情報生成部１４は，本実施の形態によるデータの復旧で用いる情報として，パスワード，消去ポリシ＃１，消去ポリシ＃２等の情報を生成する。消去レポート送信部１５は，消去レポートを生成し，生成した消去レポートを，復旧情報生成部１４により生成されたパスワード，消去ポリシ＃１，消去ポリシ＃２とともに端末管理サーバ３０に送信する。

復旧情報生成部１４により生成されるパスワードは，復旧装置５０でのユーザ認証で使用するパスワードと，復旧ディスク６０に接続されたコンピュータの正当性のチェックで使用するパスワードとを兼ねた，ワンタイムパスワードである。復旧情報生成部１４により生成されたパスワードは，パスワード記憶部１６に記憶される。パスワード記憶部１６は，パスワードを記憶する記憶部である。なお，復旧装置５０でのユーザ認証で使用するパスワードと，復旧ディスク６０に接続されたコンピュータの正当性のチェックで使用するパスワードとに，それぞれ異なるパスワードを生成するようにしてもよい。

図３は，本実施の形態による消去ポリシの例を示す図である。

図３に示す消去ポリシは，復旧情報生成部１４により生成される消去ポリシの一例である。消去ポリシは，復旧ディスク６０が記憶データを自動消去する条件を示すデータである。図３（Ａ）は，復旧情報生成部１４により生成される消去ポリシ＃１の例を示し，図３（Ｂ）は，復旧情報生成部１４により生成される消去ポリシ＃２の例を示す。

図３（Ａ）に示す消去ポリシ＃１は，パスワードチェックの失敗回数によって，復旧ディスクのデータの消去を判断する消去条件の例を示す。消去ポリシ＃１は，消去トリガー，許容失敗回数等の情報を持つ。

図３（Ａ）に示す消去ポリシ＃１における消去トリガーは，パスワードチェックの失敗によってデータ消去を行うことを示している。許容失敗回数は，連続して失敗が許される回数を示す。例えば，復旧情報生成部１４は，許容失敗回数をランダムに決定した消去ポリシ＃１を生成する。

図３（Ａ）に示す消去ポリシ＃１は，例えば，ユーザ認証後に復旧装置５０から取り外された復旧ディスク６０が，いずれかのコンピュータに接続された際に行うパスワードチェックの失敗でデータ消去を行う場合の消去条件となる。

図３（Ｂ）に示す消去ポリシ＃２は，復旧装置５０から復旧ディスク６０が不正規に取り外しされた場合に復旧ディスク６０のデータの消去を判断する消去条件の例を示す。ここでは，復旧ディスク６０への電源の切断によって，復旧ディスク６０のデータの消去を判断する消去条件の例が示されている。

消去ポリシ＃２は，消去トリガー，電源断から消去発動までの時間等の情報を持つ。図３（Ｂ）に示す消去ポリシ＃２における消去トリガーは，復旧ディスク６０への電源の切断によってデータ消去を行うことを示している。電源断から消去発動までの時間は，復旧ディスク６０への電源の切断の検知からデータ消去の実行開始までの時間を示す。例えば，復旧情報生成部１４は，電源断から消去発動までの時間をランダムに決定した消去ポリシ＃２を生成する。

図３（Ｂ）に示す消去ポリシ＃２は，例えば，復旧装置５０がデータの復旧要求を受けてからユーザ認証されるまでの間に，復旧装置５０から復旧ディスク６０が取り外されたときにデータ消去を行う場合の消去条件となる。

図４は，本実施の形態による消去レポートの例を示す図である。

図４に示す消去レポートは，消去レポート送信部１５によって生成され，端末管理サーバ３０に送信される消去レポートの一例である。消去レポートは，データの消去を端末管理サーバ３０に通知する情報である。図４に示す消去レポートは，消去日時，ディスクのシリアル番号等の情報を持つ。消去日時は，データ消去を行った日時を示す。ディスクのシリアル番号は，データ消去を行った記憶装置のシリアル番号を示す。

図２において，ＰＣディスク２０は，消去制御部２１，データ暗号制御部２２，データ記憶部２３を備える。消去制御部２１は，ＰＣ１０から発行されたデータ消去のコマンドに従って，ＰＣディスク２０に記憶されたデータの消去を実行する。データ暗号制御部２２は，ＰＣディスク２０に記憶されるデータの暗号化や，ＰＣディスク２０から読み出されるデータの復号を行う。データ暗号制御部２２は，データの暗号化や復号で用いる暗号鍵を保持している。データ記憶部２３は，データ暗号制御部２２により暗号化されたデータを記憶する磁気ディスクなどの記憶媒体である。

本実施の形態では，消去制御部２１は，データ暗号制御部２２が保持する暗号鍵を消去することにより，データ記憶部２３に記憶された情報漏洩防止対象の暗号化データを復号できないようにする。復号できない暗号化データは，意味のないデータであるので，暗号鍵の消去が事実上のデータ消去となる。なお，意味のないデータを上書きしてデータを消去するなどの設計は任意である。

端末管理サーバ３０は，消去命令送信部３１，復旧制御部３２，復旧要求送信部３３，パスワード通知部３４を備える。消去命令送信部３１は，ユーザの通報などによりＰＣ１０の盗難・紛失が検知されると，ＰＣ１０に対してデータの消去命令を送信する。復旧制御部３２は，ＰＣ１０から消去レポート，パスワード，消去ポリシ＃１，消去ポリシ＃２を受け付け，ＰＣ１０で消去されたデータの復旧に向けた制御を行う。復旧要求送信部３３は，復旧装置５０に対して，ＰＣ１０で消去されたデータの復旧要求を，ＰＣ１０から取得したパスワード，消去ポリシ＃１，消去ポリシ＃２とともに送信する。パスワード通知部３４は，ＰＣ１０のユーザの携帯端末４０に，ＰＣ１０から取得したパスワードを送信する。

端末管理サーバ３０において，復旧制御部３２は，消去レポートの情報から，データ消去を行ったＰＣ１０のユーザや，ＰＣ１０のデータ復旧を行う復旧装置５０，消去データのバックアップイメージの保管場所，ＰＣ１０のユーザの携帯端末４０などを特定する。図示はされていないが，端末管理サーバ３０は，例えば，消去レポートに含まれるディスクのシリアル番号等の情報と，ユーザ，復旧装置５０，携帯端末４０等との対応が記録された情報を保持している。

携帯端末４０は，パスワード記憶部４１を備える。パスワード記憶部４１は，端末管理サーバ３０から受け付けたパスワードを記憶する記憶部である。

図５は，本実施の形態による復旧装置および復旧ディスクの機能構成の例を示す図である。

復旧装置５０は，復旧要求受付部５１，復旧情報記憶部５２，消去／解除制御部５３，消去抑止部５４，脅威検知部５５，パスワード設定部５６，書出し部５７，バックアップデータ記憶部５８，認証部５９，ＬＥＤ（Light Emitting Diode）５１０を備える。

復旧要求受付部５１は，端末管理サーバ３０から，データ復旧対象のＰＣ１０で消去されたデータの復旧要求を受け付ける。このとき，復旧要求とともに受け取ったパスワード，消去ポリシ＃１，消去ポリシ＃２等の情報は，復旧情報記憶部５２に記憶される。復旧情報記憶部５２は，パスワード，消去ポリシ＃１，消去ポリシ＃２等の情報を記憶する記憶部である。

消去／解除制御部５３は，復旧ディスク６０への消去条件の設定や解除，復旧ディスク６０へのデータ消去の指示，復旧ディスク６０に設定された消去条件に応じた復旧装置５０の環境管理など，復旧ディスク６０に復旧されたデータの安全性を管理する制御を行う。

例えば，消去／解除制御部５３は，復旧要求受付部５１が復旧要求を受け付けた際に，復旧装置５０に接続された復旧ディスク６０に対して，復旧情報記憶部５２に記憶された消去ポリシ＃２に従った設定を行う。これにより，復旧ディスク６０には，復旧装置５０から復旧ディスク６０への電源の切断の検知，すなわち復旧装置５０からの復旧ディスク６０の取り外しの検知が，消去条件として設定される。

以降，認証部５９によるユーザ認証に成功するまで，消去／解除制御部５３は，消去ポリシ＃２に対応した制御を行う。消去ポリシ＃２に対応した制御では，例えば，消去抑止部５４による復旧ディスク６０に対する電源の制御や，脅威検知部５５による脅威検知の制御等が行われる。

消去／解除制御部５３は，認証部５９によるユーザ認証が成功した場合に，復旧装置５０に接続された復旧ディスク６０に対して，復旧情報記憶部５２に記憶された消去ポリシ＃１に従った設定を行う。消去ポリシ＃１に従った設定によって，復旧ディスク６０の消去条件が，所定以上連続したパスワードチェックの失敗に変更される。これにより，復旧ディスク６０に設定されていた，復旧装置５０からの復旧ディスク６０の取り外しの検知の消去条件が解除される。また，消去抑止部５４による復旧ディスク６０に対する電源の制御や，脅威検知部５５による脅威検知の制御も解除される。さらに，消去／解除制御部５３は，ＬＥＤ５１０を点灯し，復旧ディスク６０が取り外し可能となった旨を，ユーザに知らせる。

消去抑止部５４は，消去ポリシ＃２に対応した制御状態において，例えば，復旧装置５０の省電力モードなどによって復旧ディスク６０への電源供給が断たれないように，復旧装置５０の電源制御を行う。

脅威検知部５５は，消去ポリシ＃２に対応した制御状態において，復旧装置５０に対する脅威の検知を行う。例えば，復旧装置５０に取り付けられたままで復旧ディスク６０が持ち去られる脅威が考えられる。この脅威に対して，脅威検知部５５は，復旧装置５０の設置場所特有のキープアライブ信号の取得を行う。脅威検知部５５は，そのキープアライブ信号が取得できなくなったときに，復旧装置５０が設置場所から持ち去られた可能性があると判断する。脅威検知部５５により脅威が検知された場合には，消去／解除制御部５３から復旧ディスク６０にデータの消去命令が送られ，復旧ディスク６０に復旧されたデータの消去が行われる。

パスワード設定部５６は，復旧ディスク６０に，復旧情報記憶部５２に記憶されたパスワードを設定する。

書出し部５７は，復旧ディスク６０に，復旧するデータを書き出す。例えば，復旧装置５０が，復旧するデータすなわちＰＣ１０で消去されたデータのバックアップイメージを，バックアップデータ記憶部５８で保管している場合には，書出し部５７は，そのデータを取得して，復旧ディスク６０に書き出す。バックアップデータ記憶部５８は，復旧するデータすなわちＰＣ１０で消去されたデータのバックアップイメージを記憶する記憶部である。また，例えば，復旧装置５０以外の場所で，ＰＣ１０で消去されたデータのバックアップイメージを保管している場合には，書出し部５７は，その外部の保管場所からバックアップイメージを取得し，復旧ディスク６０に書き出す。

認証部５９は，ユーザ認証を行う。認証部５９によるユーザ認証では，復旧装置５０からの復旧ディスク６０の取り外しを行うユーザが，正当なユーザであるかが判定される。本実施の形態では，携帯端末４０から送られたパスワードの認証によって，ユーザ認証が行われる。例えば，認証部５９は，赤外線通信などの近距離通信で携帯端末４０から送られたパスワードと，復旧情報記憶部５２に記憶されたパスワードとが一致する場合に，ユーザに認証に成功したと判定する。

なお，本実施の形態の認証部５９では，データの消去時に生成されたワンタイムパスワードを用いたユーザ認証が行われているが，他のユーザ認証であってもよい。例えば，復旧装置５０がユーザ専用のコンピュータである場合などに，ユーザの指紋などの生体情報を保持しておき，生体認証でユーザ認証を行うようにしてもよい。

復旧ディスク６０は，消去制御部６１，データ暗号制御部６２，データ記憶部６３，パスワード保持部６４を備える。消去制御部６１は，設定された消去条件が満たされた際に，復旧ディスク６０に記憶されたデータの消去を実行する。その他，消去制御部６１，データ暗号制御部６２，データ記憶部６３の動作は，ＰＣディスク２０における消去制御部２１，データ暗号制御部２２，データ記憶部２３の動作と同様であるので，ここでは説明を省略する。パスワード保持部６４は，復旧装置５０により設定されたパスワードを記憶する記憶部である。

例えば，設定された消去条件が消去ポリシ＃２に従った消去条件である場合，消去制御部６１は，復旧装置５０からの復旧ディスク６０への電源の切断の検知で，復旧ディスク６０に復旧されたデータの自動消去を行う。具体的には，例えば，復旧装置５０からの電源の切断を検知すると，消去制御部６１は，データ暗号制御部６２が持つ暗号鍵を消去することで，データ記憶部６３に復旧されたデータを復号できないようにする。

復旧装置５０による復旧ディスク６０にデータを復旧する一連の制御によって，情報漏洩が防止できる安全な状態で，迅速にＰＣ１０で消去されたデータを復旧した復旧ディスク６０を用意することが可能となる。

図６は，本実施の形態によるＰＣと復旧ディスクが接続された状態におけるＰＣおよび復旧ディスクの機能構成の例を示す図である。

ＰＣ１０は，図２に示すデータ消去処理部１１，パスワード記憶部１６に加えて，さらにデータ復旧処理部１７を備える。データ復旧処理部１７は，消去されたデータを復旧する処理，すなわち復旧ディスク６０に復旧されたデータをＰＣ１０で使用可能にする処理を行う。データ復旧処理部１７は，解除制御部１８を備える。

解除制御部１８は，復旧ディスク６０に設定されている消去ポリシ＃１に従った消去条件を解除する制御を行う。例えば，解除制御部１８は，パスワード記憶部１６に記憶されたパスワードを復旧ディスク６０に送る。復旧ディスク６０からパスワードチェック成功の通知を受けると，データ復旧処理部１７は，復旧ディスク６０に対して，ユーザカスタマイズポリシに従った設定を行う。ユーザカスタマイズポリシに従った設定では，ＰＣ１０から復旧ディスク６０に記憶されたデータへの通常アクセス時において使用するパスワードの設定や，データの消去条件の設定などが行われる。

復旧ディスク６０において，消去制御部６１は，復旧ディスク６０が接続されたコンピュータから取得したパスワードと，パスワード保持部６４に記憶された復旧装置５０により設定されたパスワードとを比較するパスワードチェックを行う。

消去制御部６１は，双方のパスワードが一致する場合には，復旧ディスク６０に接続されたコンピュータが，復旧ディスクに復旧したデータにアクセス可能なＰＣ１０であると判定する。このとき，消去制御部６１は，ＰＣ１０に対して，パスワードチェックの成功を通知する。その後，ＰＣ１０からの制御によって，復旧ディスク６０にユーザカスタマイズポリシに従った通常運用の設定がなされる。以降，復旧ディスク６０は，ＰＣ１０で使用するデータを記憶するＰＣディスクとなる。

消去制御部６１は，双方のパスワードが不一致となった場合には，復旧ディスク６０に接続されたコンピュータが，復旧ディスクに復旧したデータにアクセス可能なＰＣ１０ではないと判定する。パスワードチェックで所定以上連続して不一致となった場合には，消去制御部６１は，復旧ディスク６０に復旧されたデータを消去する制御を行う。

復旧装置５０から取り外された復旧ディスク６０がコンピュータに接続されたときの一連の制御によって，復旧ディスク６０が不正にコンピュータに接続された際の復旧データの流出を防止することが可能となる。

図７は，本実施の形態によるデータ復旧が行われるシステムの各装置を実現するコンピュータのハードウェア構成例を示す図である。

図１に示すＰＣ１０，端末管理サーバ３０，携帯端末４０，復旧装置５０等の各装置を実現するコンピュータ１は，例えば，ＣＰＵ（Central Processing Unit ）２，主記憶となるメモリ３，記憶装置４，通信装置５，媒体読取・書込装置６，入力装置７，出力装置８等を備える。記憶装置４は，例えばＨＤＤなどである。記憶装置４には，ＰＣディスク２０や復旧ディスク６０が含まれる。媒体読取・書込装置６は，例えばＣＤ−Ｒ（Compact Disc Recordable ）ドライブやＤＶＤ−Ｒ（Digital Versatile Disc Recordable ）ドライブなどである。入力装置７は，例えばキーボード・マウスなどである。出力装置８は，例えばディスプレイ等の表示装置などである。

図１に示す各装置や各装置が備える各機能部は，コンピュータ１が備えるＣＰＵ２，メモリ３等のハードウェアと，ソフトウェアプログラムとによって実現することが可能である。コンピュータ１が実行可能なプログラムは，記憶装置４に記憶され，その実行時にメモリ３に読み出され，ＣＰＵ２により実行される。

コンピュータ１は，可搬型記録媒体から直接プログラムを読み取り，そのプログラムに従った処理を実行することもできる。また，コンピュータ１は，サーバコンピュータからプログラムが転送されるごとに，逐次，受け取ったプログラムに従った処理を実行することもできる。さらに，このプログラムは，コンピュータ１で読み取り可能な記録媒体に記録しておくことができる。

なお，本実施の形態において，ＰＣディスク２０や復旧ディスク６０は，それぞれが備える各機能部を実現するためのＣＰＵやメモリ等のハードウェアや，ソフトウェアプログラムを備えている。

以下では，図８〜図１２に示すシーケンス図やフローチャートを用いて，図１に示す本実施の形態によるデータ復旧が行われるシステムにおける，一連の処理の流れの例を説明する。

図８は，本実施の形態によるデータの消去から復旧ディスクへのデータの復旧までの流れを示すシーケンス図である。

ＰＣ１０の盗難・紛失が検知されると，端末管理サーバ３０は，ＰＣ１０に対してデータの消去命令を送信する（ステップＳ１０）。

データの消去命令を受けたＰＣ１０は，ＰＣディスク２０のデータを消去する（ステップＳ１１）。このとき，ＰＣ１０は，消去ポリシ＃１，消去ポリシ＃２，パスワードを生成する（ステップＳ１２）。ＰＣ１０は，生成されたパスワードを保持しておく。ＰＣ１０は，消去レポートを生成し，端末管理サーバ３０に対して，消去レポート，消去ポリシ＃１，消去ポリシ＃２，パスワードを送信する（ステップＳ１３）。

端末管理サーバ３０は，ＰＣ１０のユーザの携帯端末４０を特定して，特定された携帯端末４０にパスワードを送信する（ステップＳ１４）。また，端末管理サーバ３０は，ＰＣ１０で消去されたデータを復旧する復旧装置５０を特定する（ステップＳ１５）。例えば，端末管理サーバ３０は，ＰＣ１０で消去されたデータのバックアップイメージを保管する復旧装置５０を特定する。端末管理サーバ３０は，特定された復旧装置５０に対して，ＰＣ１０で消去されたデータの復旧要求，消去ポリシ＃１，消去ポリシ＃２，パスワードを送信する（ステップＳ１６）。

復旧装置５０は，ＰＣ１０で消去されたデータの復旧要求を受け付ける（ステップＳ１６）。復旧装置５０は，消去ポリシ＃２に対応する制御を行う（ステップＳ１７）。消去ポリシ＃２に対応する制御では，例えば，消去抑止部５４による復旧ディスク６０に対する電源の制御や，脅威検知部５５による脅威検知の制御等が行われる。復旧装置５０は，復旧ディスク６０に対して，消去ポリシ＃２に従った消去条件や，パスワードを設定する（ステップＳ１８）。消去ポリシ＃２に従った消去条件としては，復旧装置５０からの復旧ディスク６０の取り外しの検知，ここでは，復旧装置５０から復旧ディスク６０への電源の切断の検知が設定される。復旧装置５０は，復旧ディスク６０に復旧するデータを書き出す（ステップＳ１９）。

以降，復旧装置５０でユーザ認証に成功するまでは，復旧ディスク６０は，復旧装置５０からの電源の切断の検知で，復旧ディスク６０に復旧されたデータの自動消去を行う状態となる。

図９は，本実施の形態によるユーザ認証時の流れを示すシーケンス図である。

復旧装置５０の所在場所に来たユーザは，例えば無線ＬＡＮや赤外線通信などの近距離通信を用いて，携帯端末４０に記憶されたパスワードを復旧装置５０に送信する（ステップＳ２０）。

携帯端末４０からのパスワードを受け付けた復旧装置５０は，認証処理を行う（ステップＳ２１）。認証処理の詳細については，後述する。ここでは，ユーザ認証に成功したものとする。ユーザ認証に成功すると，復旧装置５０は，復旧ディスク６０に対して，消去ポリシ＃１に従った消去条件を設定する（ステップＳ２２）。これにより，復旧ディスク６０に設定された復旧装置５０からの復旧ディスク６０の取り外しの検知の消去条件が解除される。復旧装置５０は，ＬＥＤ５１０を点灯して（ステップＳ２３），ユーザに復旧ディスク６０が取り外し可能となったことを通知する。

以降，復旧ディスク６０では，消去ポリシ＃１に従った動作が行われる。ユーザは，復旧ディスク６０を復旧装置５０から取り外す。

図１０は，本実施の形態の復旧装置による認証処理フローチャートである。

復旧装置５０の認証部５９は，携帯端末４０から送信されたパスワードを受け付ける（ステップＳ３０）。認証部５９は，パスワード認証によるユーザ認証を行う（ステップＳ３１）。ここでは，携帯端末４０から受け付けたパスワードと復旧情報記憶部５２に記憶されたパスワードとの一致判定を行い，一致する場合にユーザ認証に成功したと判断し，一致しない場合にユーザ認証に失敗したと判断する。認証部５９は，ユーザ認証に成功したかを判定する（ステップＳ３２）。

ユーザ認証に成功していれば（ステップＳ３２のＹＥＳ），消去／解除制御部５３は，消去ポリシ＃１に従った消去条件を復旧ディスク６０に設定する（ステップＳ３３）。このステップＳ３３の処理は，図９に示すシーケンス図におけるステップＳ２２の処理である。

ユーザ認証に成功していなければ（ステップＳ３２のＮＯ），すなわちユーザ認証に失敗していれば，認証部５９は，所定以上連続してユーザ認証に失敗したかを判定する（ステップＳ３４）。例えば，消去ポリシ＃１の許容失敗回数に従って判定する場合，認証部５９は，消去ポリシ＃１の許容失敗回数を超えた回数だけ連続してユーザ認証に失敗したかを判定する。

まだ所定以上連続してユーザ認証に失敗していなければ（ステップＳ３４のＮＯ），認証部５９は，復旧装置５０の表示装置にＮＧを表示して（ステップＳ３５），ユーザに対して認証に失敗した旨を提示する。

所定以上連続してユーザ認証に失敗していれば（ステップＳ３４のＹＥＳ），消去／解除制御部５３は，復旧ディスク６０に対してデータの消去命令を発行する（ステップＳ３６）。続けてユーザ認証に失敗する場合には，単なるパスワード入力の間違いではなく，不正なユーザのアクセスである可能性が高まるため，ここでは，復旧ディスク６０に復旧されたデータからの情報漏洩を防止するために，復旧ディスク６０に復旧されたデータの消去を行っている。

図１１は，本実施の形態によるＰＣへの復旧ディスク接続時の流れを示すシーケンス図である。

ユーザは，ＰＣ１０からデータが消去されたＰＣディスク２０を取り外し，代わりに復旧装置５０から取り外した復旧ディスク６０をＰＣ１０に接続する。

ＰＣ１０は，復旧ディスク６０が接続されると，保持していたパスワードを復旧ディスクに送信する（ステップＳ４０）。

ＰＣ１０からパスワードを取得した復旧ディスク６０は，パスワードチェック処理を行う（ステップＳ４１）。パスワードチェック処理では，取得したパスワードと設定されたパスワードとの一致がチェックされる。パスワードチェック処理の詳細については，後述する。ここでは，ＰＣ１０がデータ消去を行った正当なコンピュータであるので，パスワードチェックでパスワードが一致する。復旧ディスク６０は，ＰＣ１０に対して，パスワードチェックに成功した旨を通知する（ステップＳ４２）。

ＰＣ１０は，復旧ディスク６０に対して，ユーザカスタマイズポリシに従った設定を行う（ステップＳ４３）。以降，ＰＣ１０は，復旧ディスク６０を自身のＰＣディスクとして扱い，復旧ディスク６０に復旧されたデータを用いた処理を行うことが可能となる。

図１２は，本実施の形態の復旧ディスクによるパスワードチェック処理フローチャートである。

復旧ディスク６０の消去制御部６１は，復旧ディスク６０が接続されたコンピュータから送信されたパスワードを取得する（ステップＳ５０）。消去制御部６１は，取得したパスワードと，パスワード保持部６４に保持された復旧装置５０により設定されたパスワードとを比較する（ステップＳ５１）。消去制御部６１は，双方のパスワードが一致するかを判定する（ステップＳ５２）。

双方のパスワードが一致していれば（ステップＳ５２のＹＥＳ），消去制御部６１は，復旧ディスク６０が接続されたコンピュータが，復旧したデータにアクセス可能な正当なＰＣ１０であると判断する（ステップＳ５３）。消去制御部６１は，復旧ディスク６０が接続されたＰＣ１０に対して，パスワードチェックに成功した旨を通知する（ステップＳ５４）。このステップＳ５４の処理は，図１１に示すシーケンス図におけるステップＳ４２の処理である。

双方のパスワードが一致していなければ（ステップＳ５２のＮＯ），消去制御部６１は，復旧ディスク６０が接続されたコンピュータが，復旧したデータへのアクセスを許可できない不当なコンピュータの可能性があると判断する（ステップＳ５５）。消去制御部６１は，所定以上連続してパスワードが不一致であったかを判定する（ステップＳ５６）。ここでは，消去制御部６１は，消去ポリシ＃１の許容失敗回数を超えた回数だけ連続してパスワードが不一致であったかを判定する。

まだ所定以上連続してパスワードが不一致でなければ（ステップＳ５６のＮＯ），消去制御部６１は，復旧ディスク６０が接続されたコンピュータに対して，パスワードチェックに失敗した旨を通知する（ステップＳ５７）。

所定以上連続してパスワードが不一致であれば（ステップＳ５６のＹＥＳ），消去制御部６１は，復旧ディスク６０に復旧されたデータの消去を行う（ステップＳ５８）。消去制御部６１は，例えば，データ暗号制御部６２が保持する暗号鍵を消去することで，データ記憶部６３に記憶されたデータを復号できないようにする。続けてパスワードチェックに失敗する場合には，単なるパスワード入力の間違いではなく，復旧ディスク６０を不正なコンピュータに接続した可能性が高まる。ここでは，復旧ディスク６０に復旧されたデータからの情報漏洩を防止するために，復旧ディスク６０に復旧されたデータの消去が行われる。

ここまでは，図１に示すシステムにおけるデータ復旧の例を説明したが，図１に示すシステム以外でも，本実施の携帯のデータ復旧を行うことは，当然可能である。

図１３は，本実施の形態によるデータ復旧が行われるシステムの例（２）を示す図である。

図１３において，ＰＣ１１０，ＰＣディスク１２０，端末管理サーバ１３０，携帯端末１４０，各復旧ディスク１６０ａ〜ｎは，それぞれ，図１に示すＰＣ１０，ＰＣディスク２０，端末管理サーバ３０，携帯端末４０，復旧ディスク６０に相当する。その機能構成も，それぞれ図２，図５，図６に示す各装置の機能構成とほぼ同様である。

各キオスク端末１５０ａ〜ｎは，図１に示す復旧装置５０に相当し，その機能構成も図５に示す復旧装置５０とほぼ同様である。キオスク端末１５０ａ〜ｎは，例えばコンビニエンスストアなどに設置された，チケットのオンライン販売やデジタルカメラの画像プリントなどの様々なサービスを行うコンピュータ端末である。

図１３に示すシステムでは，端末管理サーバ１３０管理下でデータ復旧サービスの対象となるコンピュータのデータのバックアップイメージが，バックアップサーバ１７０で集中管理されている。バックアップサーバ１７０は，復旧サービスの対象となるコンピュータのデータのバックアップイメージを管理するサーバである。

図１３に示す例では，例えば，ＰＣディスク１２０に記憶されたＰＣ１１０で利用するデータが消去されてその復旧を行う場合に，ユーザは，携帯端末１４０等を用いて，端末管理サーバ１３０に対してデータ復旧を行うキオスク端末１５０の指定を行う。ユーザは，最寄りのコンビニエンスストアに設置されたキオスク端末１５０など，任意のキオスク端末１５０を指定することができる。

端末管理サーバ１３０は，バックアップサーバ１７０に対して，キオスク端末１５０を指定した復旧環境構築指示を送る。

端末管理サーバ１３０からの復旧環境構築指示を受けたバックアップサーバ１７０は，指定されたキオスク端末１５０に対して，ＰＣ１１０で消去されたデータの復旧要求を送信し，ＰＣ１１０で消去されたデータのバックアップイメージの転送を行う。

ＰＣ１１０で消去されたデータの復旧要求を受けたキオスク端末１５０は，バックアップサーバ１７０からＰＣ１１０で消去されたデータのバックアップイメージを取得し，自身に接続された復旧ディスク１６０に復旧するデータを書き込む。このとき，キオスク端末１５０は，図１に示す復旧装置５０と同様の制御を行い，復旧ディスク１６０に復旧されたデータの安全性を確保する。

ユーザは，指定したキオスク端末１５０でユーザ認証を行い，認証成功後に，キオスク端末１５０から復旧ディスク１６０を取り外す。ユーザは，ＰＣ１１０からデータが消去されたＰＣディスク１２０を取り外し，データが復旧された復旧ディスク１６０をＰＣ１１０に接続する。

図１３に示すようなデータ復旧のシステムを構築することにより，ユーザは，消去されたデータの復旧をより迅速に行うことが可能となり，例えば，データの消去によるビジネスの中断を最小限に抑えることが可能となる。また，上述の消去ポリシ＃２に従った制御によって，ユーザがキオスク端末１５０に着くまでの間の復旧ディスク１６０に記憶されたデータの安全も確保される。

以上，本実施の形態について説明したが，本発明はその主旨の範囲において種々の変形が可能であることは当然である。

例えば，本実施の形態では，盗難・紛失の検知によるデータ消去をトリガとして，データの復旧を行う例を説明しているが，これに限るものではない。例えば，誤ってデータを消去してしまった場合や，データが壊れてしまった場合，更新で上書き消去した過去のデータを戻したい場合などに，ＰＣ１０からその要求を行い，本実施の形態によるデータの復旧を行うようにしてもよい。

また，例えば，本実施の形態では，ＰＣ１０でのデータの削除に続く流れの中でデータの復旧を開始しているが，例えば，紛失したと思われたＰＣ１０が見つかった後など，任意のタイミングでデータの復旧を開始するようにしてもよい。

また，例えば，図１に示すシステムにおいて，端末管理サーバ３０がない構成である場合に，復旧装置５０がＰＣ１０から直接に消去されたデータの復旧要求を受けるようにしてもよい。

また，例えば，本実施の形態では，データを消去したＰＣ１０でパスワードを生成しているが，端末管理サーバ３０や復旧装置５０などの装置でパスワードを生成するようにしてもよい。

また，例えば，本実施の形態では，データ消去が行われるたびに消去ポリシ＃１，消去ポリシ＃２を生成しているが，固定の消去ポリシ＃１，消去ポリシ＃２を復旧装置５０が常時保持するようにしてもよい。

１０ ＰＣ
１１ データ消去処理部
１２ 消去命令受付部
１３ 消去実行部
１４ 復旧情報生成部
１５ 消去レポート送信部
１６ パスワード記憶部
１７ データ復旧処理部
１８ 解除制御部
２０ ＰＣディスク
２１ 消去制御部
２２ データ暗号制御部
２３ データ記憶部
３０ 端末管理サーバ
３１ 消去命令送信部
３２ 復旧制御部
３３ 復旧要求送信部
３４ パスワード通知部
４０ 携帯端末
４１ パスワード記憶部
５０ 復旧装置
５１ 復旧要求受付部
５２ 復旧情報記憶部
５３ 消去／解除制御部
５４ 消去抑止部
５５ 脅威検知部
５６ パスワード設定部
５７ 書出し部
５８ バックアップデータ記憶部
５９ 認証部
５１０ ＬＥＤ
６０ 復旧ディスク
６１ 消去制御部
６２ データ暗号制御部
６３ データ記憶部
６４ パスワード保持部

Claims (4)

1. 第１のコンピュータが，
   第２のコンピュータで消去されたデータの復旧要求を受け付け，
   前記復旧要求を受け付けた際に，前記第１のコンピュータに接続された，消去条件が満たされた際に記憶データを自動消去する機能を持つ記憶装置に対して，前記第１のコンピュータからの前記記憶装置の取り外しの検知を消去条件として設定し，
   前記記憶装置に復旧するデータを書き出し，
   ユーザ認証を行い，
   前記ユーザ認証に成功した場合に，前記記憶装置に設定された前記第１のコンピュータからの前記記憶装置の取り外しの検知の消去条件を解除する過程を実行する
   ことを特徴とするデータ復旧方法。
2. 前記第１のコンピュータは，さらに，
   前記記憶装置にパスワードを設定する過程を実行し，
   前記第１のコンピュータから取り外され，その後にいずれかのコンピュータに接続された前記記憶装置が，
   前記記憶装置が接続されたコンピュータからパスワードを取得し，
   前記取得されたパスワードと前記設定されたパスワードとが一致する場合に，前記記憶装置に接続されたコンピュータが，前記記憶装置に復旧したデータにアクセス可能な前記第２のコンピュータであると判定する過程を実行する
   ことを特徴とする請求項１に記載のデータ復旧方法。
3. データの復旧要求を受け付ける復旧要求受付部と，
   消去条件が満たされた際に記憶データを自動消去する機能を持つ記憶装置に，復旧するデータを書き出す書出し部と，
   ユーザ認証を行う認証部と，
   前記復旧要求を受け付けた際に，前記記憶装置に対して，前記記憶装置の取り外しの検知を消去条件として設定し，前記ユーザ認証に成功した場合に，前記記憶装置に設定された前記記憶装置の取り外しの検知の消去条件を解除する消去／解除制御部とを備える
   ことを特徴とするデータ復旧装置。
4. 第１のコンピュータに，
   第２のコンピュータで消去されたデータの復旧要求を受け付け，
   前記復旧要求を受け付けた際に，前記第１のコンピュータに接続された，消去条件が満たされた際に記憶データを自動消去する機能を持つ記憶装置に対して，前記第１のコンピュータからの前記記憶装置の取り外しの検知を消去条件として設定し，
   前記記憶装置に復旧するデータを書き出し，
   ユーザ認証を行い，
   前記ユーザ認証に成功した場合に，前記記憶装置に設定された前記第１のコンピュータからの前記記憶装置の取り外しの検知の消去条件を解除する
   処理を実行させるためのデータ復旧プログラム。

Images