特開 2023-149134 データ消去装置、データ消去システム及びデータ消去方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2023149134

(43)【公開日】2023-10-13

(54)【発明の名称】データ消去装置、データ消去システム及びデータ消去方法

(51)【国際特許分類】

   G06F 21/60 20130101AFI20231005BHJP

【ＦＩ】

G06F21/60

【審査請求】未請求

【請求項の数】15

【出願形態】ＯＬ

(21)【出願番号】P 2022057546

(22)【出願日】2022-03-30

(71)【出願人】

【識別番号】000005108

【氏名又は名称】株式会社日立製作所

(74)【代理人】

【識別番号】110001689

【氏名又は名称】青稜弁理士法人

(72)【発明者】

【氏名】礒川 弘実

(72)【発明者】

【氏名】菅原 健太

(57)【要約】

【課題】データ消去装置において、残存ファイルを把握して消去することにより消去漏れを防ぎ情報漏洩リスクを軽減する。
【解決手段】記憶装置に保存されているファイルの一覧を残存ファイル一覧として取得し、残存ファイル一覧から残存許可一覧データと消去対象一覧データのどちらにも含まれないファイルを新たに追加する追加消去対象ファイルとして判定して追加消去対象ファイルを消去対象一覧データに追加して消去対象一覧データを更新し、起動したアプリケーションの利用が終了した後に消去対象一覧データに記載された消去対象ファイルを消去する。
【選択図】図１

【特許請求の範囲】

【請求項1】

所定の処理を行う処理装置と、所定のファイルが格納された記憶装置とを有するユーザ機器のデータ消去装置であって、
前記処理装置は、
データ消去部とアプリケーション起動部を有し、
前記記憶装置は、
残存許可ファイルが記載された残存許可一覧データと消去対象ファイルが記載された消去対象一覧データを格納し、
前記データ消去部は、
前記記憶装置に保存されている前記ファイルの一覧を残存ファイル一覧として取得し、
取得した前記残存ファイル一覧から前記残存許可一覧データと前記消去対象一覧データのどちらにも含まれないファイルを新たに追加する追加消去対象ファイルとして判定し、
前記追加消去対象ファイルを前記消去対象一覧データに追加して前記消去対象一覧データを更新し、
前記アプリケーション起動部は、
前記消去対象一覧データの更新が完了した後に、前記アプリケーションを起動し、
前記データ消去部は、
起動した前記アプリケーションの利用が終了した後に、更新された前記消去対象一覧データに記載された前記消去対象ファイルを消去することを特徴とするデータ消去装置。

【請求項2】

前記データ消去部は、
前記ユーザ機器の電源ＯＦＦの前に、前記消去対象ファイルを消去することにより、前記ユーザ機器の前記電源ＯＦＦの後に前記残存許可ファイル一覧に含まれないファイルが残存していない状態にすることを特徴とする請求項１に記載のデータ消去装置。

【請求項3】

前記残存許可一覧データは、
残存許可識別子と前記残存許可識別子に対応した残存許可対象パスから構成され、
前記残存許可対象パスには、前記残存許可識別子に対応して残存許可対象とするファイルのパスが記載されていることを特徴とする請求項１に記載のデータ消去装置。

【請求項4】

前記消去対象一覧データは、
消去対象識別子と前記消去対象識別子に対応した消去対象パスから構成され、
前記消去対象パスには、前記消去対象識別子に対応して消去対象とするファイルが記載されていることを特徴とする請求項１に記載のデータ消去装置。

【請求項5】

少なくとの一つのユーザ機器と管理機器とがネットワークを介して接続されたデータ消去システムであって、
前記ユーザ機器は、
所定の処理を行う第１の処理装置と、所定のファイルが格納された第１の記憶装置とを有し、
前記管理機器は、
所定の処理を行う第２の処理装置と、所定のファイルが格納された第２の記憶装置とを有し、
前記ユーザ機器の前記第１の処理装置は、
データ消去部とアプリケーション起動部を有し、
前記管理機器の前記第２の処理装置は、
管理部を有し、
前記ユーザ機器の前記第１の記憶装置は、
残存許可ファイルが記載された残存許可一覧データと消去対象ファイルが記載された消去対象一覧データを格納し、
前記管理機器の前記第２の記憶装置は、
前記残存許可一覧データと前記消去対象一覧データを格納し、
前記データ消去部は、
前記第１の記憶装置に保存されている前記ファイルの一覧を残存ファイル一覧として取得して、
取得した前記残存ファイル一覧から前記残存許可一覧データと前記消去対象一覧データのどちらにも含まれないファイルを新たに追加する追加消去対象ファイルとして判定し、前記追加消去対象ファイルを前記管理部に送信し、
前記管理部は、
受信した前記追加消去対象ファイルを前記第２の記憶装置に格納されている前記消去対象一覧データに追加して前記消去対象一覧データを更新して、更新された前記消去対象一覧データを前記データ消去部に送り、
前記データ消去部は、
受信した前記消去対象一覧データに基づいて、前記第１の記憶装置に格納されている前記消去対象一覧データを更新し、
前記アプリケーション起動部は、
前記消去対象一覧データの更新が完了した後に、前記アプリケーションを起動し、
前記データ消去部は、
起動した前記アプリケーションの利用が終了した後に、更新された前記消去対象一覧データに記載された前記消去対象ファイルを消去することを特徴とするデータ消去システム。

【請求項6】

複数の前記ユーザ機器と前記管理機器とがネットワークを介して接続され、
前記管理機器の前記第２の記憶装置は、
複数の前記ユーザ機器の名称が記載されたユーザ機器一覧データを更に格納し、
前記管理部は、
複数の前記ユーザ機器毎に受信した前記追加消去対象ファイルを集約して前記消去対象一覧データに追加して更新し、
前記データ消去部は、
前記ユーザ機器毎に受信した前記消去対象一覧データに基づいて、前記第１の記憶装置に格納されている前記消去対象一覧データを更新し、
前記アプリケーションの利用が終了した後に、前記ユーザ機器毎に更新された前記消去対象一覧データに記載された前記消去対象ファイルを消去することを特徴とする請求項５に記載のデータ消去システム。

【請求項7】

前記管理部は、
前記追加消去対象ファイルを前記消去対象一覧データに追加する際に、前記追加消去対象ファイルを消去しても影響がないかを評価することを特徴とする請求項５に記載のデータ消去システム。

【請求項8】

前記管理部は、
前記追加消去対象ファイルを消去しても影響がないかを評価した結果、
前記追加消去対象ファイルを消去しても影響がないと判定された場合、前記追加消去対象ファイルを前記消去対象一覧データに追加して前記消去対象一覧データを更新し、
前記追加消去対象ファイルを消去すると影響があると判定された場合、前記消去対象一覧データを更新しないで前記残存許可一覧データを更新することを特徴とする請求項７に記載のデータ消去システム。

【請求項9】

前記ユーザ機器は、
所定の評価用画面を表示する入出力装置を更に有し、
前記管理部は、
前記評価用画面を介してユーザにより入力された評価結果に基づいて、前記追加消去対象ファイルを消去しても影響がないかの前記評価を行うことを特徴とする請求項７に記載のデータ消去システム。

【請求項10】

前記管理機器は、
所定の評価用画面を表示する入出力装置を更に有し、
前記管理部は、
前記評価用画面を介して管理者により入力された評価結果に基づいて、前記追加消去対象ファイルを消去しても影響がないかの前記評価を行うことを特徴とする請求項７に記載のデータ消去システム。

【請求項11】

前記データ消去部は、複数の前記ユーザ機器毎に、
前記ユーザ機器の電源ＯＦＦの前に、前記消去対象ファイルを消去することにより、前記ユーザ機器の前記電源ＯＦＦの後に前記残存許可ファイル一覧に含まれないファイルが残存していない状態にすることを特徴とする請求項５に記載のデータ消去システム。

【請求項12】

前記残存許可一覧データは、
残存許可識別子と前記残存許可識別子に対応した残存許可対象パスから構成され、
前記残存許可対象パスには、前記残存許可識別子に対応して残存許可対象とするファイルのパスが記載されていることを特徴とする請求項５に記載のデータ消去システム。

【請求項13】

前記消去対象一覧データは、
消去対象識別子と前記消去対象識別子に対応した消去対象パスから構成され、
前記消去対象パスには、前記消去対象識別子に対応して消去対象とするファイルが記載されていることを特徴とする請求項５に記載のデータ消去システム。

【請求項14】

所定の処理を行う処理装置と、所定のファイルが格納された記憶装置とを有するユーザ機器のデータ消去方法であって、
前記処理装置は、
記憶ステップと、データ消去ステップと、アプリケーション起動ステップを実行し、
前記記憶ステップは、
残存許可ファイルが記載された残存許可一覧データと消去対象ファイルが記載された消去対象一覧データを前記記憶装置に記憶し、
前記データ消去ステップは、
前記記憶装置に保存されている前記ファイルの一覧を残存ファイル一覧として取得し、取得した前記残存ファイル一覧から前記残存許可一覧データと前記消去対象一覧データのどちらにも含まれないファイルを新たに追加する追加消去対象ファイルとして判定し、前記追加消去対象ファイルを前記消去対象一覧データに追加して前記消去対象一覧データを更新し、
前記アプリケーション起動ステップは、
前記消去対象一覧データの更新が完了した後に、前記アプリケーションを起動し、
前記データ消去ステップは、
起動した前記アプリケーションの利用が終了した後に、更新された前記消去対象一覧データに記載された前記消去対象ファイルを消去することを特徴とするデータ消去方法。

【請求項15】

前記データ消去ステップは、
前記ユーザ機器の電源ＯＦＦの前に、前記消去対象ファイルを消去することにより、前記ユーザ機器の前記電源ＯＦＦの後に前記残存許可ファイル一覧に含まれないファイルが残存していない状態にすることを特徴とする請求項１４に記載のデータ消去方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、データ消去装置、データ消去システム及びデータ消去方法に関する。

【背景技術】

【0002】

企業等の組織では、従業員が業務に使用する端末等の業務機器に、盗難や紛失時に業務機器内に保存した業務データを不正に利用されないようセキュリティリスクを低減する対策を施している。

【0003】

セキュリティリスクを低減する方法の一つとして、業務機器内に保存した業務データを消去する方法がある。特許文献１では、情報処理端末から該情報処理端末が記憶しているファイルと、該情報処理端末における操作ログとを取得し、取得した操作ログに基づいて特定した、取得したファイルの記憶タイミングからの経過時間に応じてアラートを出力することで、情報処理端末に記憶されてから保存されたままとなっているデータの存在を認識することができるとしている。

【先行技術文献】

【特許文献】

【0004】

【特許文献1】特開２０１８－９２５４４号公報

【発明の概要】

【発明が解決しようとする課題】

【0005】

特許文献１では、操作ログの取得を前提としており、操作ログの取得がなされていないまたは不十分な場合には保存されたままとなっているデータがあってもアラートされず存在の認識は難しいという課題がある。

【0006】

また、残存ファイルの存在を認識した場合にアラートするのみで残存ファイルの漏洩リスクをどのように低減するかの言及が無く、セキュリティ確保には不十分である。

【0007】

本発明の目的は、データ消去装置において、残存ファイルを把握して消去することにより消去漏れを防ぎ情報漏洩リスクを軽減することにある。

【課題を解決するための手段】

【0008】

本発明の一態様のデータ消去装置は、所定の処理を行う処理装置と、所定のファイルが格納された記憶装置とを有するユーザ機器のデータ消去装置であって、前記処理装置は、データ消去部とアプリケーション起動部を有し、前記記憶装置は、残存許可ファイルが記載された残存許可一覧データと消去対象ファイルが記載された消去対象一覧データを格納し、前記データ消去部は、前記記憶装置に保存されている前記ファイルの一覧を残存ファイル一覧として取得し、
取得した前記残存ファイル一覧から前記残存許可一覧データと前記消去対象一覧データのどちらにも含まれないファイルを新たに追加する追加消去対象ファイルとして判定し、前記追加消去対象ファイルを前記消去対象一覧データに追加して前記消去対象一覧データを更新し、前記アプリケーション起動部は、前記消去対象一覧データの更新が完了した後に、前記アプリケーションを起動し、前記データ消去部は、起動した前記アプリケーションの利用が終了した後に、更新された前記消去対象一覧データに記載された前記消去対象ファイルを消去することを特徴とする。

【発明の効果】

【0009】

本発明の一態様によれば、データ消去装置において、残存ファイルを把握して消去することにより消去漏れを防ぎ情報漏洩リスクを軽減することができる。

【図面の簡単な説明】

【0010】

【図1】本発明の実施例１におけるデータ消去機器の全体の構成を説明する図の一例である。

【図2】本発明の実施例１における残存許可一覧データの構成を説明する図の一例である。

【図3】本発明の実施例１における消去対象一覧データの構成を説明する図の一例である。

【図4】本発明の実施例１におけるデータ消去機器の動作を説明するフローチャートの一例である。

【図5】本発明の実施例２におけるデータ消去システムの全体の構成を説明する図の一例である。

【図6】本発明の実施例２における管理機器の構成を説明する図の一例である。

【図7】本発明の実施例２におけるユーザ機器の構成を説明する図の一例である。

【図8】本発明の実施例２における残存許可一覧データの構成を説明する図の一例である。

【図9】本発明の実施例２における消去対象一覧データの構成を説明する図の一例である。

【図10】本発明の実施例２におけるユーザ機器一覧データの構成を説明する図の一例である。

【図11】本発明の実施例２におけるデータ消去システムの動作を説明するフローチャートの一例である。

【図12】本発明の実施例３におけるデータ消去システムの全体の構成を説明する図の一例である。

【図13】本発明の実施例３における管理機器の構成を説明する図の一例である。

【図14】本発明の実施例３におけるユーザ機器の構成を説明する図の一例である。

【図15】本発明の実施例３における残存許可一覧データの構成を説明する図の一例である。

【図16】本発明の実施例３における消去対象一覧データの構成を説明する図の一例である。

【図17】本発明の実施例３における消去可否判定一覧データの構成を説明する図の一例である。

【図18】本発明の実施例３における残存ファイル一覧データの構成を説明する図の一例である。

【図19】本発明の実施例３におけるユーザ機器一覧データの構成を説明する図の一例である。

【図20】本発明の実施例３における評価依頼一覧データの構成を説明する図の一例である。

【図21】本発明の実施例３におけるデータ消去システムの全体的な動作を説明するフローチャートの一例である。

【図22】本発明の実施例３におけるデータ消去システムの一部の動作を説明するフローチャートの一例である。

【図23】本発明の実施例３における評価開始依頼画面インターフェースを説明する図の一例である。

【図24】本発明の実施例３における評価入力依頼画面インターフェースを説明する図の一例である。

【図25】本発明の実施例３におけるデータ消去システムの一部の動作を説明するフローチャートの一例である。

【図26】本発明の実施例３における消去判断依頼インターフェースを説明する図の一例である。

【発明を実施するための形態】

【0011】

以下に本発明に係る実施例について、図１乃至図２６を用いて説明する。

【実施例0012】

最初に、図１乃至図４を用いて本発明の実施例１に係るデータ消去機器を説明する。実施例１は、ユーザが利用するユーザ機器においてユーザ機器起動後に残存しているファイルの一覧を把握し、残存を許可するファイルの一覧と組み合わせて消去対象とするファイルの一覧を生成し、ユーザ機器の終了前に消去対象ファイルを消去することで、ユーザ機器の終了後に残存許可ファイル一覧に含まれないファイルが残存していない状態にするものである。

【0013】

まず、図１乃至図３を用いて本発明の実施例１に係るデータ消去機器の構成を説明する。

【0014】

図１は、実施例１の全体の構成を表す概略図である。ユーザ機器１０はユーザ１１が使用する装置である。ユーザ機器１０は、プロセッサ１２と、メモリ１３と、入出力装置１４と、記憶装置１５と、内部信号線１６と、モニタ１７と、キーボード１８と、マウス１９とで構成される。プロセッサ１２は、プログラムの処理をおこなう装置である。記憶装置１５は、ハードディスクや不揮発性メモリなどであり、プログラムやデータを格納する装置である。メモリ１３は、実行するプログラムの格納や、一時的なデータの格納をおこなうための記憶装置である。入出力装置１４は、モニタ１７への出力とキーボード１８とマウス１９からの入力を制御する装置である。記憶装置１５には、実施例１におけるデータ消去機器を実現するためのプログラムとデータが格納される。

【0015】

プログラムとしては、ＯＳ（Operating System）プログラム１００、消去プログラム１０１、アプリケーションプログラム１０４が格納される。データとしては、残存許可一覧データ１０２、消去対象一覧データ１０３が格納される。メモリ１３には、記憶装置１５上のＯＳプログラム１００がロードされ、実行される。ＯＳプログラム１００は、入出力装置１４の制御、記憶装置１５からデータのメモリ１３へのロードなどを行う。また、ＯＳプログラム１００は、記憶装置１５から、消去プログラム１０１とアプリケーションプログラム１０４をメモリ１３にロードし、実行する。アプリケーションプログラム１０４は、アプリケーションのデータをアプリケーションデータ領域１０５に格納する。

【0016】

処理装置であるプロセッサ１２は、ＯＳプログラム１００を介して記憶装置１５から消去プログラム１０１をメモリ１３にロードし実行することにより「データ消去部」として機能する。また、処理装置であるプロセッサ１２は、ＯＳプログラム１００を介して記憶装置１５からアプリケーションプログラム１０４をメモリ１３にロードし実行することにより「アプリケーション起動部」として機能する。

【0017】

図２は、図１に示した残存許可一覧データ１０２の構成を説明する図である。残存許可一覧データ１０２は、残存許可ＩＤ２０１、残存許可対象パス２０２の各フィールドから構成される。残存許可ＩＤ２０１は、残存許可対象とするファイルやフォルダのパスに対して一意となる識別子を記載するフィールドである。残存許可対象パス２０２は、残存許可ＩＤ２０１に対応して残存許可対象とするファイルやフォルダのパスを記載するフィールドである。組織では、ユーザ１１がユーザ機器１０を使用開始する前に残存許可一覧データ１０２に残存許可するパスを登録しておく。

【0018】

図３は、図１に示した消去対象一覧データ１０３の構成を説明する図である。消去対象一覧データ１０３は、消去対象ＩＤ３０１、消去対象パス３０２の各フィールドから構成される。消去対象ＩＤ３０１は、消去対象とするファイルやフォルダのパスに対して一意となる識別子を記載するフィールドである。

【0019】

消去対象パス３０２は、消去対象ＩＤ３０１に対応して消去対象とするファイルやフォルダのパスを記載するフィールドである。ユーザ１１がユーザ機器１０を使用開始すると消去プログラム１０１により消去対象一覧データ１０３の内容は更新される。組織では、ユーザ１１がユーザ機器１０を使用開始する前に消去対象一覧データ１０３に消去対象とするパスの初期値を登録しておいても良い。

【0020】

次に、図４を用いて本発明の実施例１に係るデータ消去機器の動作を説明する。
図４は、ユーザ１１がユーザ機器１０を起動して、アプリケーションを利用した作業を実施して、ユーザ機器１０を終了するまでの動作を説明するフローチャートである。この動作の中で残存ファイルを把握し、ユーザ機器１０の終了前に残存ファイルを消去している。まず、ユーザ１１はユーザ機器１０の電源を入れる（Ｓ４０１）。ユーザ機器１０では、ＯＳプログラム１００が起動する。ＯＳプログラム１００は消去プログラム１０１を起動する（Ｓ４０２）。

【0021】

消去プログラム１０１はユーザ機器１０の記憶装置１５に保存されているファイルの一覧を残存ファイル一覧として取得する（Ｓ４０３）。そして、取得した残存ファイル一覧から残存許可一覧データ１０２と消去対象一覧データ１０３のどちらにも含まれないものを新たに追加する消去対象として判定し（Ｓ４０４）、追加する消去対象を消去対象一覧データ１０３に追加して（Ｓ４０５）、更新完了をＯＳプログラム１００に通知する（Ｓ４０６）。

【0022】

ＯＳプログラム１００はユーザ機器１０の起動後に起動するプログラムの順番を制御し、消去プログラム１０１が消去対象一覧データ１０３の更新を完了するまでアプリケーションプログラム１０４が起動しないように抑止する。その後、ユーザはアプリケーションを起動する操作を実施し（Ｓ４０７）、アプリケーションプログラム１０４を起動する（Ｓ４０８）。ユーザはアプリケーションプログラム１０４を利用して業務を行った（Ｓ４０９）後、ユーザ機器１０を終了する操作を実施する（Ｓ４１０）。

【0023】

ユーザ機器１０の終了操作を受けたＯＳプログラム１００は、消去プログラム１０１に終了指示を出す（Ｓ４１１）。消去プログラム１０１は消去対象一覧データ１０３に記載の消去対象ファイルを全て消去し（Ｓ４１２）、消去完了をＯＳプログラム１００に応答する（Ｓ４１３）。その後ＯＳプログラム１００はユーザ機器１０の電源をＯＦＦにする（Ｓ４１４）。

【0024】

上記のように、本発明の実施例１によれば、ユーザ機器１０が起動した際に残存ファイルを確認して、残存許可一覧データ１０２と消去対象一覧データ１０３のどちらにも含まれずに残存したファイルは消去対象一覧データ１０３に追加し、ユーザ機器１０の終了前に消去することが可能となり、ユーザ機器１０の残存データによるセキュリティリスクを低減できるようになる。

【実施例0025】

次に、図５乃至図１１を用いて本発明の実施例２に係るデータ消去システムを説明する。実施例２は、ユーザが利用するユーザ機器においてユーザ機器起動後に残存しているファイルの一覧を把握し、残存を許可するファイルの一覧と組み合わせて消去対象とするファイルの一覧を生成し、消去対象とするファイルの一覧を１台以上のユーザ機器から管理機器に収集してマージし消去対象一覧データを生成し、１台以上のユーザ機器に適用してユーザ機器の終了前に残存していたファイルを消去することで、１台以上のユーザ機器から生成された消去対象一覧データを使用してユーザ機器の終了後にファイルが残存していない状態にするものである。

【0026】

まず、図５乃至図１０を用いて本発明の実施例２に係るデータ消去システムの構成を説明する。

【0027】

図５は、実施例２おけるデータ消去システムの全体の構成を説明する概略図である。管理機器５０はネットワーク５２に接続する。ユーザ機器５１は、ネットワーク５２に接続し、管理機器５０と通信する。管理者５３は管理機器５０にあるデータを閲覧、編集できる。ユーザ５４はユーザ機器５１の利用者である。

【0028】

図６は、管理機器５０の構成を説明する構成図である。管理機器５０は、プロセッサ６１と、メモリ６２と、通信装置６３と、入出力装置６４と、記憶装置６５と、内部信号線６６と、モニタ６７と、キーボード６８と、マウス６９とで構成される。プロセッサ６１は、プログラムの処理をおこなう装置である。記憶装置６５は、ハードディスクや不揮発性メモリなどであり、プログラムやデータを格納する装置である。メモリ６２は、実行するプログラムの格納や、一時的なデータの格納をおこなうための記憶装置である。

【0029】

入出力装置６４は、モニタ６７への出力とキーボード６８とマウス６９からの入力を制御する装置である。通信装置６３は、他の装置との間のネットワーク通信を行う装置である。記憶装置６５には、実施例２におけるデータ消去システムを実現するためのプログラムとデータが格納される。プログラムとしては、ＯＳプログラム６００、管理プログラム６０１が格納される。データとしては、残存許可一覧データ６０２、消去対象一覧データ６０３、ユーザ機器一覧データ６０４が格納される。メモリ６２には、記憶装置６５上のＯＳプログラム６００がロードされ、実行される。ＯＳプログラム６００は、入出力装置６４の制御、記憶装置６５からデータのメモリ６２へのロードなどを行う。また、ＯＳプログラム６００は、記憶装置６５から、管理プログラム６０１をメモリ６２にロードし、実行する。

【0030】

処理装置であるプロセッサ６１は、ＯＳプログラム６００を介して記憶装置６５から管理プログラム６０１をメモリ６２にロードし実行することにより「管理部」として機能する。

【0031】

図７は、ユーザ機器５１の構成を説明する構成図である。ユーザ機器５１は、プロセッサ７１と、メモリ７２と、通信装置７３と、入出力装置７４と、記憶装置７５と、内部信号線７６と、モニタ７７と、キーボード７８と、マウス７９とで構成される。記憶装置７５には、実施例２におけるデータ消去システムを実現するためのプログラムとデータが格納される。プログラムとしては、ＯＳプログラム７００、消去プログラム７０１、アプリケーションプログラム４０２が格納される。

【0032】

データとしては、残存許可一覧データ６０２、消去対象一覧データ６０３が格納される。メモリ７２には、記憶装置７５上のＯＳプログラム７００がロードされ、実行される。ＯＳプログラム７００は、記憶装置７５から、消去プログラム７０１とアプリケーションプログラム７０２をメモリ７２にロードし、実行する。アプリケーションプログラム７０２は、アプリケーションのデータをアプリケーションデータ領域７０３に格納する。

【0033】

処理装置であるプロセッサ７１は、ＯＳプログラム７００を介して記憶装置７５から消去プログラム７０１をメモリ７２にロードし実行することにより「データ消去部」として機能する。また、処理装置であるプロセッサ７１は、ＯＳプログラム７００を介して記憶装置７５からアプリケーションプログラム７０２をメモリ７２にロードし実行することにより「アプリケーション起動部」として機能する。

【0034】

図８は、図６に示した残存許可一覧データ６０２の構成を説明する図である。残存許可一覧データ６０２は、残存許可ＩＤ８０１、残存許可対象パス８０２の各フィールドから構成される。残存許可ＩＤ８０１は、残存許可対象とするファイルやフォルダのパスに対して一意となる識別子を記載するフィールドである。残存許可対象パス８０２は、残存許可ＩＤ８０１に対応して残存許可対象とするファイルやフォルダのパスを記載するフィールドである。

【0035】

管理者５３は、データ消去システムが稼動開始前に管理機器５０を操作し、残存を許可するファイルの一覧を残存許可一覧データ６０２に登録する。また、データ消去システムが稼動開始後に残存を許可するファイルの一覧の追加や削除、変更があった際には、管理者５３は管理機器５０を操作し、残存許可一覧データ６０２の内容を変更する。管理プログラム６０１により残存許可一覧データ６０２の内容はユーザ機器５１に送信され適用される。

【0036】

図９は、図６に示した消去対象一覧データ６０３の構成を説明する図である。消去対象一覧データ６０３は、消去対象ＩＤ６０１、消去対象パス６０２の各フィールドから構成される。消去対象ＩＤ６０１は、消去対象とするファイルやフォルダのパスに対して一意となる識別子を記載するフィールドである。消去対象パス６０２は、消去対象ＩＤ６０１に対応して消去対象とするファイルやフォルダのパスを記載するフィールドである。

【0037】

管理者５３は、データ消去システムが稼動開始前に管理機器５０を操作し、消去の対象とするファイルの一覧の初期値を消去対象一覧データ６０３に登録しておいても良い。管理プログラム６０１により消去対象一覧データ６０３の内容は更新される。また、管理プログラム６０１により消去対象一覧データ６０３の内容はユーザ機器５１に送信され適用される。

【0038】

図１０は、図６に示したユーザ機器一覧データ６０４の構成を説明する図である。ユーザ機器一覧データ６０４は、ユーザ機器ＩＤ１００１、ユーザ機器名１００２の各フィールドから構成される。ユーザ機器ＩＤ１００１は、組織のユーザ機器に対して一意となる識別子を記載するフィールドである。ユーザ機器名１００２は、ユーザ機器ＩＤ１００１に対応するユーザ機器の名称を記載するフィールドである。管理者５３は、データ消去システムが稼動開始前に管理機器５０を操作し、ユーザ機器の一覧をユーザ機器一覧データ６０４に登録する。また、データ消去システムが稼動開始後にユーザ機器の追加や削除、変更があった際には、管理者５３は管理機器５０を操作し、ユーザ機器一覧データ６０４の内容を変更する。

【0039】

次に、図１１を用いて本発明の実施例２に係るデータ消去システムの動作を説明する。
図１１は、ユーザ５４がユーザ機器５１を起動して、アプリケーションを利用した作業を実施して、ユーザ機器５１を終了するまでの動作を説明するフローチャートである。この動作の中で残存ファイルを把握し、管理プログラムに送信して、消去対象ファイルの一覧を更新し、ユーザ機器５１の終了前に残存ファイルを消去している。まず、ユーザ５４はユーザ機器５１の電源を入れる（Ｓ１１０１）。

【0040】

ユーザ機器５１では、ＯＳプログラム７００が起動する。ＯＳプログラム７００は消去プログラム７０１を起動する（Ｓ１１０２）。消去プログラム７０１はユーザ機器５１の記憶装置７５に保存されているファイルの一覧を残存ファイル一覧として取得する（Ｓ１１０３）。そして、取得した残存ファイル一覧から残存許可一覧データ６０２と消去対象一覧データ６０３のどちらにも含まれないものを新たに追加する消去対象として判定し（Ｓ１１０４）、追加する消去対象を管理プログラム６０１に送信する（Ｓ１１０５）。

【0041】

管理プログラム６０１は受信した追加する消去対象を消去対象一覧データ６０３に追加して更新する（Ｓ１１０６）。追加は既に登録済の消去対象パスに含まれているものは除外して追加することで重複追加を排除する。管理プログラム６０１は残存許可一覧データ６０２と更新した消去対象一覧データ６０３を消去プログラム７０１に送信する（Ｓ１１０７）。

【0042】

消去プログラム７０１は受信した残存許可一覧データ６０２と消去対象一覧データ６０３を記憶装置７５に保存して（Ｓ１１０８）、更新完了をＯＳプログラム７００に通知する（Ｓ１１０９）。ＯＳプログラム７００はユーザ機器５１の起動後に起動するプログラムの順番を制御し、消去プログラム７０１が残存許可一覧データ６０２と消去対象一覧データ６０３の更新を完了するまでアプリケーションプログラム７０２が起動しないように抑止する。その後、ユーザ５４はアプリケーションを起動する操作を実施し（Ｓ１１１０）、アプリケーションプログラム７０２を起動する（Ｓ１１１１）。

【0043】

ユーザ５４はアプリケーションプログラム７０２を利用して業務を行った（Ｓ１１１２）後、ユーザ機器５１を終了する操作を実施する（Ｓ１１１３）。ユーザ機器５１の終了操作を受けたＯＳプログラム７００は、消去プログラム７０１に終了指示を出す（Ｓ１１１４）。消去プログラム７０１は消去対象一覧データ６０３に記載の消去対象ファイルを全て消去し（Ｓ１１１５）、消去完了をＯＳプログラム７００に応答する（Ｓ１１１６）。その後ＯＳプログラム７００はユーザ機器５１の電源をＯＦＦにする（Ｓ１１１７）。

【0044】

上記のように、本発明の実施例２によれば、ユーザ機器５１が起動した際に残存ファイルを確認して、残存許可一覧データ６０２と消去対象一覧データ６０３のどちらにも含まれずに残存したファイルの一覧は、管理サーバに送信されて他のユーザ機器の分も含め追加され更新される。そして、１台以上の残存ファイルの一覧を反映して更新された消去対象一覧データ６０３がユーザ機器５１に適用されユーザ機器５１の終了前に消去することが可能となり、ユーザ機器５１の残存データによるセキュリティリスクを更に低減できるようになる。