JP2003006049A - 端末のデータ消去管理方法及びプログラム。 - Google Patents

Abstract

(57)【要約】 【課題】 本発明は、管理対象となるコンピュータでデ
ータ消去処理が行われたか否かを容易かつ確実に管理す
るためのデータ消去管理方法を提供する。 【解決手段】 本発明に係るデータ消去管理方法は、フ
ロッピー（登録商標）ディスク、ＣＤ−ＲＯＭ等の外部
記憶媒体３に格納された消去実行プログラム３０Ｂを管
理対象端末２において実行させ、当該管理対象端末２内
のハードディスク２１のデータの消去を行った後、管理
用端末１で読込み可能な消去証明情報を前記消去実行プ
ログラム３０Ｂにより前記管理対象端末２から発行し、
前記消去証明情報を前記管理用端末１の前記管理プログ
ラム１０で確認することにより、データ消去の管理を行
うものである。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、コンピュータにお
けるデータ消去処理の管理を行う方法等に関するもので
ある。

【０００２】

【従来の技術】各企業において、新規コンピュータの購
入に伴い、旧コンピュータについて処分業者を通じて廃
棄処分する場合や、リースしていたコンピュータのリー
ス会社への返却等を行う場合において、前記旧コンピュ
ータ等のハードディスク装置内に企業のデータが格納さ
れたまま、前記処分業者又はリース会社への引渡し等が
行われることがある。このような場合に、前記コンピュ
ータ自体や前記ハードディスク装置等が処分業者を通じ
て中古市場に出回ることや、前記リース会社が前記コン
ピュータをリース商品として再利用し、他の企業にリー
スすることにより、前記コンピュータ内に格納された企
業データから、当該企業の機密情報が漏洩する危険性が
存在している。

【０００３】そのため、コンピュータを前記処分業者や
リース会社に引渡す前に、企業において機密データを消
去したり、リース会社において回収したコンピュータを
再利用の前に初期化したりしている。この場合、通常の
データ消去方法では、ハードディスク装置内の残留磁気
等からデータを復元することができる場合もあるため、
データを完全に消去する種々の方法が考えられている。
ここで、データの完全消去方法としては、全ての情報の
上に「ゼロ」を上書きする方式や、、乱数を複数回上書
きする方式等、複数の方式が提唱されており、これらの
データ消去方法を用いることで第三者によるデータの復
元等による機密情報の漏洩を防止することが可能となっ
ている。

【０００４】

【発明が解決しようとする課題】しかし、前述のような
データ消去方法により、データを復元不可能とすること
はできるものの、例えば、リース会社にデータ消去処理
を任せる場合には、各企業が、当該リース会社において
データ消去処理がされたか否かを、実際に確認すること
はできなかった。また、企業内において、処分業者やリ
ース会社への引渡し前にデータの消去処理を行う場合に
は、企業内管理者等によりデータの消去が行われたか否
かを確認することも可能ではあるが、全ての端末につい
て確認を行うのは、多大な時間と労力を必要とすること
となり、実際上はそのような確認作業は行われていない
ことも多かった。

【０００５】従って、企業内における消去処理の担当者
の不注意等により、各端末についてデータ消去が行われ
ないまま、処分業者やリース会社への引渡しが行われる
こともあり、また、リース会社においてもデータ消去処
理を行われなかった場合には、企業データを有するコン
ピュータが、中古市場等で流通される場合や他企業へリ
ースされる場合が発生し、その端末から元所有者である
企業の機密情報が漏洩する危険性が存在していた。

【０００６】本発明は、上記課題を解決するためのもの
で、コンピュータのデータ消去処理管理において、実際
にデータ消去処理が行われたか否かについての確認を容
易かつ確実に行うことのできるデータ消去管理方法を提
供するものである。

【０００７】

【課題を解決するための手段】本発明のデータ消去管理
方法は、管理対象となる端末の記憶装置内のデータの消
去処理を実施させ、その実施結果を管理するデータ消去
管理方法であって、データ消去処理の完了した管理対象
端末から、管理用端末で読み込み可能な消去証明情報を
発行させる第１のステップと、発行された前記消去証明
情報の正当性を管理用端末で判定し、その判定結果に従
い管理対象端末の消去処理結果を管理する第２のステッ
プとを有することを特徴とする。また、前記管理対象端
末において生成された認証データを含む消去開始情報
を、前記データ消去処理の開始前に、前記管理対象端末
から前記管理用端末に送信させるステップと、前記第１
のステップにおいて、前記第１のランダムデータを前記
消去証明情報に含めて発行するステップとを有し、前記
第２のステップにおいて、前記第１のランダムデータに
基づいて生成された認証データと、前記管理対象端末か
ら送信された認証データとが一致するか否かを判定し、
一致した場合に、前記消去証明情報が正当なものである
と認定することを特徴とする。また、前記管理用端末か
らデータ消去処理を行う管理対象端末に対して、前記消
去開始情報の受信前に、前記管理用端末において生成さ
れる第２のランダムデータを含む消去予約情報を送信す
るステップと、前記消去予約情報を受信した管理対象端
末において、前記消去開始情報の送信前に、前記第1の
ランダムデータと前記第２のランダムデータとにより、
前記認証データを生成するステップとを有することを特
徴とする。また、前記認証データは、前記第２のランダ
ムデータを、前記第１のランダムデータを元に暗号化し
たものであることを特徴とする。また、前記データ消去
処理のされた管理対象端末において、少なくとも前記第
２のステップ前に、前記記憶装置内にデータ消去済み情
報を書き込む後処理を行うことを特徴とする。また、前
記データ消去処理のされた管理対象端末において、少な
くとも前記第２のステップ前に、前記記憶装置に対する
データの書き込み禁止を設定する後処理を行うことを特
徴とする。また、前記消去予約情報には、前記後処理方
法の指定に関する情報が含まれるものとし、前記後処理
は、前記消去予約情報に含まれる後処理方法の指定に基
づいて行うことを特徴とする。また、前記消去証明情報
には、前記予約情報に含まれた後処理方法の指定に関す
る情報が含まれるものとし、前記後処理の後に、前記管
理対象端末に消去証明情報を読み込ませるステップと、
前記消去証明情報内に含まれる後処理方法の指定に基づ
き、前記管理対象端末で前記指定された後処理が行われ
ているか否かの判定を行うステップとを有することを特
徴とする。

【０００８】また、本発明のデータ消去プログラムは、
管理用端末により管理される管理対象端末内の記憶装置
のデータ消去処理を実行する消去プログラムにおいて、
データ消去処理の完了した際に、前記管理対象端末が前
記管理用端末で読み込み可能な消去証明情報を発行する
処理を含むものである。また、前記データ消去処理の開
始前に、認証データを生成する処理と、生成された認証
データを含む消去開始情報を前記管理用端末に送信する
処理と、前記認証データを生成するための第１のランダ
ムデータを前記消去証明情報に含めて発行する処理とを
さらに含むものである。また、前記認証データは、前記
第1のランダムデータと、前記消去予約情報に含まれる
第２のランダムデータとにより生成されたものであるこ
とを特徴とするものである。また、データ消去処理完了
後に、前記記憶装置内に消去済み情報を書き込む処理を
さらに含むものである。また、データ消去処理完了後
に、前記記憶装置へのデータの書き込み禁止設定を行う
処理をさらに含むものである。また、前記後処理は、前
記管理用端末の指定に基づいて行うことを特徴とする。
また、本発明の管理用プログラムは、管理用端末におい
て管理対象となる端末の記憶装置内のデータ消去処理を
管理するプログラムであって、管理用端末から管理対象
端末に対して、消去処理の開始を指示する消去開始受付
情報を送信する処理と、データ消去処理の完了した管理
対象端末から発行された前記消去証明情報の正当性を判
定し、その判定結果に従い管理対象端末の消去処理結果
を管理する処理とを有することを特徴とするものであ
る。

【０００９】

【発明の実施の形態】以下、本発明の一実施の形態につ
いて、図面を参照して具体的に説明する。本実施の形態
では、図１に示すように、管理プログラム１０を備えた
管理用端末１と、データ消去の対象となる記憶装置とし
てのハードディスク２１を備えた管理対象端末２と、当
該管理対象端末２において実行される消去準備プログラ
ム３０Ａ，消去実行プログラム３０Ｂ，消去状態確認プ
ログラム３０Ｃの格納されたフロッピーディスク、ＣＤ
−ＲＯＭ等の外部記憶媒体３とから構成されている。ま
た、管理用端末１と管理対象端末２とは、ＬＡＮ等の通
信線５により接続されている。

【００１０】本発明は、このような構成において、前記
消去実行プログラム３０Ｂを前記管理対象端末２におい
て実行させ、前記ハードディスク２１内のデータの消去
を行った後、前記管理用端末１で読込み可能な消去証明
情報を前記消去実行プログラム３０Ｂにより前記管理対
象端末２から発行し、前記管理プログラム１０でデータ
消去の管理を行うものである。ここでのデータ消去処理
は、前記ハードディスク２１内のＯＳを含む全てのデー
タを消去するものであるため、前記外部記憶媒体３に
は、前記消去実行プログラム３０Ｂを動作させるための
ＯＳを格納しておくことが必要となる。また、消去実行
プログラム３０Ｂを実行させる際には、前記外部記憶媒
体３を読み込ませることにより、コンピュータを再度起
動させることが必要となるため、後述するデータ消去処
理の前に、予め外部記憶媒体３に対応したドライブを先
に読み込むようなＢＩＯＳの設定がされていることが必
要となる。

【００１１】また、前記管理用端末１に備えられた前記
管理プログラム１０は、消去予約処理１１と、消去開始
受付処理１２と、消去完了受付処理１３を有している。
なお、前記管理用端末１内には、前記管理プログラム１
０により生成された情報等のデータ消去処理に関する情
報を保存するデータベース１４が備えられている。

【００１２】また、前記外部記憶媒体３に格納された消
去準備プログラム３０Ａは、前記管理対象端末２におい
て消去実行プログラム３０Ｂによる処理の準備を行うも
ので、消去予約受付処理３１と、消去開始処理３２とを
有している。また、前記外部記憶媒体３に格納された消
去実行プログラム３０Ｂは、前記管理対象端末２におけ
るハードディスク２１のデータ消去等を行うもので、デ
ータ消去処理３３と、消去完了処理３４とを有してい
る。また、前記外部記憶媒体３に格納された消去状態確
認プログラム３０Ｃは、データ消去処理の実行された管
理対象端末２におけるデータ消去処理の状態を確認する
消去状態確認処理３５を有している。

【００１３】次に、本システムによる管理対象端末のデ
ータ消去管理処理の概略を図２のフローチャートを用い
て説明する。まず、管理用端末１において、消去予約処
理が行われ、選択された管理対象端末２に対して、前記
消去予約情報が送信される（ステップＳ２０１）。この
消去予約情報には、図３に示すように、クライアントＩ
Ｄ３０１と、サーバランダム値３０２と、消去確認処理
ＩＤ３０３とが含まれる。この場合、前記消去確認処理
ＩＤ３０３としては、例えば、データ消去後に処理を行
わない場合は「０」、データ消去後の記憶装置内に消去
済みマークを書き込む場合には「１」、データ消去後の
記憶装置に対してデータの書き込みができないようなＢ
ＩＯＳの設定変更等の書き込み禁止設定を行う場合には
「２」、前記消去済みマークの書き込み及び書き込み禁
止設定の双方を行う場合には「３」を用いる。従って、
図３の場合は、データ消去後の処理として、消去済みマ
ークの書き込み及び書き込み禁止設定の双方を指定して
いることとなる。この消去予約情報を受信した管理対象
端末２では、消去予約受付処理が行われ、認証データが
生成された後、管理用端末１に対して、前記認証データ
を含む予約受付確認情報としての前記消去開始情報が送
信される（ステップＳ２０２）。この消去開始情報に
は、図４に示すように、クライアントＩＤ４０１と、サ
ーバランダム値４０２と、認証データ長４０３と、認証
データ４０４とが含まれる。この消去開始情報を受信し
た管理用端末１では、消去開始受付処理が行われ、前記
消去開始情報から消去予約済みの端末から送信されたも
のか否かが判定された後、管理対象端末２に対して、前
記判定結果としての前記消去開始受付情報が送信される
（ステップＳ２０３）。この消去開始情報には、図５に
示すように、クライアントＩＤ５０１と、消去開始受付
結果５０２とが含まれる。

【００１４】この消去開始受付情報を受信した管理対象
端末２では、消去開始受付情報に含まれる前記判定結果
に基づき、消去開始処理が行われ（ステップＳ２０
４）、ハードディスク２１内のデータの消去処理が行わ
れた後（ステップＳ２０５）、消去完了処理が行われ、
管理用端末１に対して、消去証明情報が発行される（ス
テップＳ２０６）。この消去証明情報には、図６に示す
ように、クライアントＩＤ６０１と、クライアントラン
ダム値６０２と、実行日時６０３と、消去確認処理ＩＤ
６０４とが含まれる。この消去証明情報を受信した管理
用端末１では、消去完了受付処理が行われ、消去証明情
報の内容を確認することにより、前記管理対象端末２に
おいて、正常にデータ消去処理が行われたか否かを管理
することとなる。

【００１５】なお、前記管理用端末１内に設けられたデ
ータベース１４は、前記消去予約情報，消去開始情報，
消去開始受付情報，消去証明情報等に基づく情報が格納
され、例えば、図７に示すように、クライアントＩＤ７
０１と、処理状態７０２と、サーバランダム値７０３
と、クライアントランダム値７０４と、消去確認処理Ｉ
Ｄ７０５と、認証データ長７０６と、認証データ７０７
と、消去実行日時７０８とが含まれる。ここで処理状態
７０２は、管理対象端末２における処理状態を示すもの
であり、例えば、未処理の場合は「０」、消去予約済み
の場合は「１」、消去処理が開始されている場合には
「２」、消去処理が完了している場合には「３」で示さ
れることとなる。

【００１６】以上のようなデータ消去管理方法における
各処理の詳細について、図８〜図１３を用いて説明す
る。

【００１７】図８は、管理用端末１における消去予約処
理（図２のステップＳ２０１）を示すフローチャートで
ある。この図に示すように、消去予約処理では、管理用
端末１において管理プログラム１０を起動し（ステップ
Ｓ８０１）、管理者が予め設定された管理対象端末２の
中からデータを消去する端末を選択し、かつ、データ消
去後の処理方法の指定を行うと（ステップＳ８０２）、
その管理対象端末２に対して、サーバランダム値３０２
が生成される（ステップＳ８０３）。ここで、前記処理
方法の指定は、前記消去確認処理ＩＤ３０３により示さ
れることととなる。また、前記サーバランダム値３０２
は、各管理対象端末２毎に生成されることとなる。

【００１８】その後、選択された管理対象端末２を示す
クライアントＩＤ３０１と、生成されたサーバランダム
値３０２と、前記消去確認処理ＩＤとを含んだ前記消去
予約情報が、選択された管理対象端末２に送信される
（ステップＳ８０４）。また、管理用端末１のデータベ
ース１４内に前記クライアントＩＤ３０１、サーバラン
ダム値３０２及び廃棄確認処理ＩＤ３０３の情報が格納
されるとともに、処理状態が「１」（予約済み）とされ
（ステップＳ８０５）、処理終了となる。

【００１９】また、図９は、前記消去予約情報を受信し
た管理対象端末２における消去予約受付処理（図２のス
テップＳ２０２）を示すフローチャートである。この図
に示すように、消去予約受付処理では、管理対象端末２
において消去準備プログラム３０Ａを起動した後（ステ
ップＳ９０１）、管理用端末１からの前記消去予約情報
が受信されると（ステップＳ９０２）、クライアントラ
ンダム値が生成される（ステップＳ９０３）。その後、
前記消去予約情報に含まれるサーバランダム値３０２
が、生成されたクライアントランダム値を元に、暗号化
され、認証データ４０４が生成される（ステップＳ９０
４）。この暗号化については、ハッシュ化等周知の方式
により行うものとしてよいが、前記クライアントランダ
ム値を知らなければ、同一の認証データ４０４が生成で
きないような処理方式を用いる。また、前記クライアン
トランダム値については、消去準備プログラム３０Ａの
実行毎又は管理用端末１から消去予約情報を受信する毎
に生成することが望ましい。このように生成された認証
データ４０４等を含む消去開始情報は、管理用端末１に
送信される（ステップＳ９０５）。その後、管理対象端
末２は、データ消去処理の開始の待機状態とされ（ステ
ップＳ９０５）処理終了となる。

【００２０】また、図１０は、前記消去開始情報を受信
した管理用端末１における消去開始受付処理（図２のス
テップＳ２０３）を示すフローチャートである。この図
に示すように、消去開始受付処理では、管理対象端末２
からの消去開始情報が受信されると（ステップＳ１００
１）、当該消去開始情報内に含まれるクライアントＩＤ
４０１について、管理用端末１のデータベース１４にお
ける検索が行われる（ステップＳ１００２）。その結
果、該当するクライアントＩＤ７０１が存在する場合に
は（ステップＳ１００３）、そのクライアントＩＤ７０
１に対応するサーバランダム値７０３が検索され、当該
サーバランダム値７０３と、前記消去開始情報に含まれ
るサーバランダム値４０２とが比較される（ステップＳ
１００４）。この比較の結果、両サーバランダム値が一
致する場合には（ステップＳ１００５）、前記データベ
ース１４内に、前記消去開始情報に含まれる認証データ
４０４及び認証データ長４０３が格納されるとともに処
理状態７０２が「２」（消去開始）とされ（ステップＳ
１００６）、管理対象端末２に対して、消去開始受付情
報として消去開始受付結果５０２を「ＴＲＵＥ」とした
ものが送信され（ステップＳ１００７）、処理終了とな
る。なお、前記消去開始情報に含まれるクライアントＩ
Ｄ４０１が前記データベース１４内に存在しない場合
（ステップＳ１００３）、または、前記サーバランダム
値の比較の結果不一致の場合には（ステップＳ１００
５）、消去開始受付情報として消去開始受付結果５０２
を「ＦＡＬＳＥ」としたものが、管理対象端末２に送信
され（ステップＳ１００８）、処理終了となる。

【００２１】また、図１１は、消去開始受付情報を受信
した管理対象端末２における消去開始処理から消去完了
処理まで（図２のステップＳ２０４〜Ｓ２０６）を示す
フローチャートである。この図に示すように、まず、消
去開始処理として、管理用端末１からの消去開始受付情
報が受信されると（ステップＳ１１０１）、当該消去開
始受付情報内に含まれる消去開始受付結果５０２が参照
され、その結果が「ＴＲＵＥ」である場合には（ステッ
プＳ１１０２）、データ消去処理が行われる（ステップ
Ｓ１１０３）。この場合の消去処理方式としては、例え
ば、乱数を複数回上書きする方式や、すべての情報の上
に「０」を上書きする方式等、周知の方式を用いればよ
い。この場合において、消去実行プログラム３０Ｂを外
部記憶媒体３に格納して、前記各管理対象端末２におい
て前記外部記憶媒体３から消去実行プログラム３０Ｂを
直接実行することにより、ＯＳ及び前記消去準備プログ
ラム３０Ａを含む前記ハードディスク２１内の全データ
を消去することができる。

【００２２】その後、消去完了処理として、まず、管理
用端末１に対し、前記クライアントＩＤ６０１と、クラ
イアントランダム値６０２と、消去処理の実行日時６０
３と、消去確認処理ＩＤ６０４とを含む消去証明情報が
発行される（ステップＳ１１０４）。次に、前記消去予
約情報に含まれる消去確認処理ＩＤ３０３が参照され、
当該消去確認処理ＩＤが「１」又は「３」の場合には
「ＴＲＵＥ」として（ステップＳ１１０５）、ハードデ
ィスク２１に消去済みマークの書き込みが行われる（ス
テップＳ１１０６）。

【００２３】一方、前記消去確認処理ＩＤ３０３が
「０」又は「２」の場合には「ＦＡＬＳＥ」として（ス
テップＳ１１０５）、消去済みマークの書き込みは行わ
れない。その後、さらに前記消去確認処理ＩＤ３０３が
参照され、当該消去確認処理ＩＤ３０３が「２」又は
「３」の場合には「ＴＲＵＥ」として（ステップＳ１１
０７）、管理対象端末２のハードディスク２１に対する
書き込み禁止の設定が行われ（ステップＳ１１０８）、
処理終了となる。一方、前記消去確認処理ＩＤ３０３が
「０」又は「１」の場合には「ＦＡＬＳＥ」として（ス
テップＳ１１０７）、管理対象端末２の設定変更は行わ
れずに処理終了となる。この消去完了処理終了後におい
て、前記外部記憶媒体３を前記管理対象端末２から取り
出すことにより、前記管理対象端末２内に、前記消去実
行プログラム３０Ｂを残すこともなくなる。なお、図１
１では、消去完了処理において、消去証明情報の発行後
に、消去済みマークの書き込み，書き込み禁止の設定が
行われることとしているが、消去済みマークの書き込み
等の後に消去証明情報を発行することとしてもよい。

【００２４】また、図１２は、管理用端末１における消
去完了受付処理（図２のステップＳ２０７）を示すフロ
ーチャートである。この図に示すように、消去完了受付
処理では、管理用端末１において管理プログラム１０を
起動した後（ステップＳ１２０１）、管理対象端末２で
発行された前記消去証明情報の読み込みが行われ（ステ
ップＳ１２０２）、当該消去証明情報内に含まれるクラ
イアントＩＤ６０１について、管理用端末１のデータベ
ース１４における検索が行われる（ステップＳ１２０
３）。その結果、該当するクライアントＩＤ７０１が存
在する場合には（Ｓ１２０４）、そのクライアントＩＤ
７０１に対応するサーバランダム値７０３が検索され、
当該サーバランダム値７０３が、前記消去証明情報に含
まれるクライアントランダム値６０２を元に暗号化さ
れ、検証用の認証データが生成される（ステップＳ１２
０５）。なお、この場合の暗号化は、前記消去予約受付
処理における暗号化で用いた方式と同一の方式により行
われることとなる。

【００２５】次に、ここで生成された検証用の認証デー
タと、データベース１４内に格納しておいた認証データ
７０７とが比較され（ステップＳ１２０６）、両認証デ
ータが一致する場合には（ステップＳ１２０７）、デー
タベース１４内の処理状態７０２が「３」（消去終了）
とされて（ステップＳ１２０８）処理終了となる。一
方、前記消去証明情報内に含まれるクライアントＩＤ６
０１の検索の結果、管理用端末１のデータベース１４内
に存在しない場合（ステップＳ１２０４）、または、前
記両認証データが一致しない場合（ステップＳ１２０
７）は、エラーメッセージが表示される（ステップＳ１
２０９）。このエラーメッセージが表示された場合に
は、当該消去証明情報が不正に生成されたものと判断で
き、消去処理が正常に行われていないことが推認され
る。このように、消去受付完了処理において、前記消去
証明情報を管理用端末１で確認することにより、実際に
消去処理が行われたか否かを容易に管理することができ
る。

【００２６】また、図１３は、管理対象端末２について
の消去状態確認処理を示すフローチャートである。この
消去状態確認処理は、主に、消去処理のされた管理対象
端末２を廃棄処理業者やリース会社へ引渡す直前に行わ
れるもので、消去状態の最終的な確認と、書き込み禁止
設定の解除を行うためのものである。この図に示すよう
に、消去状態確認処理では、まず、消去状態確認プログ
ラム３０Ｃを起動した後（ステップＳ１３０１）、前記
消去証明情報を読み込ませる（ステップＳ１３０２）。

【００２７】次に、前記消去証明情報に含まれる消去確
認処理ＩＤ６０４が参照され、当該消去確認処理ＩＤ６
０４が「２」又は「３」の場合には「ＴＲＵＥ」として
（ステップＳ１３０３）、管理対象端末２の設定の確認
がされ（ステップＳ１３０４）、書き込み禁止の設定が
行われている場合には（ステップＳ１３０５）、書き込
み禁止設定の解除を行う（ステップＳ１３０６）。な
お、書き込み禁止の設定が行われていない場合には、エ
ラーメッセージを表示する（ステップＳ１３０７）。一
方、前記消去確認処理ＩＤ６０４が「０」又は「１」の
場合には「ＦＡＬＳＥ」として（ステップＳ１３０
３）、管理対象端末２の設定確認が行われずに、次の処
理に進むことになる。その後、さらに前記消去確認処理
ＩＤ６０４が参照され、当該消去確認処理ＩＤ６０４が
「１」又は「３」の場合には「ＴＲＵＥ」として（ステ
ップＳ１３０８）、管理対象端末２のハードディスク２
１内における消去済みマークの検出が行われ（ステップ
Ｓ１３０９）、消去済みマークが検出された場合には
（ステップＳ１３１０）、そのまま処理終了となり、消
去済みマークが検出されなかった場合には（ステップＳ
１３１０）、エラーメッセージが表示され（ステップＳ
１３１１）、処理終了となる。一方、前記消去確認処理
ＩＤ６０４が「０」又は「２」の場合には「ＦＡＬＳ
Ｅ」として（ステップＳ１３０８）、消去済みマークの
検出が行われずに処理終了となる。なお、ステップＳ１
３１０において、消去済みマークが検出された場合に
は、処理終了の前に、当該消去済みマークの消去を行う
こととしてもよい。

【００２８】以上のように、本発明のデータ消去管理方
法では、データ消去の完了の際に、管理用端末で読み込
み可能な消去証明情報を発行することとしたので、実際
にデータ消去処理が行われたか否かの管理を、管理用端
末において容易に行うことができる。

【００２９】また、管理用端末が消去処理の都度生成す
るサーバランダム値を管理対象端末に送信し、管理対象
端末ではクライアントランダム値を暗号鍵にしてサーバ
ランダム値を暗号化し、その暗号結果を認証データとし
て管理用端末に返信してデータベース１４に格納させて
おき、消去完了後に管理対象端末から管理用端末に初め
て送信されるクライアントランダム値に基づいて生成し
た検証用の認証データとデータベースに格納しておいた
認証データとが一致するか一致するかを検証し、一致す
る場合のみ消去証明情報が正当なものであるとして認定
する。このため、サーバランダム値を盗聴行為によって
不正に取得しておいたとしても、クライアントランダム
値については消去処理完了後でなければ盗聴することは
出来ない。したがって、消去処理をしていないにも拘わ
らずクライアントランダム値が含まれる消去証明情報を
発行することは出来なくなり、消去処理を完了したこと
が確実に保証され、通信路の盗聴等がされた場合であっ
ても、消去証明情報の偽造等を防止することができる。
従って、データ消去処理実行の確実性を保証することが
可能となり、担当者のデータ消去のし忘れや管理の不備
による企業内情報の外部流出を防止することができるた
め、企業内情報流出による顧客への損害や企業イメージ
のダウンを未然に防ぐことが可能となる。

【００３０】また、データ消去処理後のハードディスク
内に消去済みマークの書き込みを行うことにより、各管
理対象端末において、前記消去済みマークを確認するこ
とにより、実際に消去処理が行われたか否かを容易に把
握することができる。また、データ消去処理後にデータ
の書き込み禁止設定を行うことにより、各管理対象端末
に対しデータ消去処理後に誤ってデータの書き込みが行
われることや、データ消去処理後のハードディスク内に
故意に企業情報等を書き込んで、処理業者等に引渡すと
いうような不正を防止することができる。さらに、書き
込み禁止設定を確認することにより実際に消去処理が行
われたか否かを容易に把握することができる。

【００３１】なお、前記実施の形態では、消去準備プロ
グラム３０Ａ，消去実行プログラム３０Ｂ，消去状態確
認プログラム３０Ｃを同一の外部記憶媒体３に格納する
こととして説明しているが、それぞれを別の外部記憶媒
体３に格納することとしてもよい。

【００３２】また、消去準備プログラム３０Ａについて
は、図１４に示すように、予め管理対象端末２内にイン
ストールすることとしてもよい。この場合の消去準備プ
ログラム３０Ａとしては、管理対象端末２におけるデー
タ消去処理が行われる前に、管理者から配布等されイン
ストールされたものを用いる。また、消去実行プログラ
ム３０Ｂについては、予め管理者が配布する外部記憶媒
体３に格納されたものを用いることとしてもよいが、図
２に示す消去開始受付処理の際に、前記管理用端末１か
ら前記外部記憶媒体３に出力することとしている。従っ
て、前記管理用端末１には、図示は省略しているが、予
め前記消去実行プログラムが備えられていることとな
る。なお、この場合、前記消去開始処理（Ｓ２０４）に
おいて前記外部記憶媒体３内に、前述の消去予約受付処
理において生成されたクライアントランダム値等の一定
の情報が保存されることとなる。

【００３３】このように、前記消去実行プログラム３０
Ｂを、前記管理用端末１から外部記憶媒体３に出力する
ことにより、この消去実行プログラム３０Ｂが改ざんさ
れたものでないことが保証されることとなる。

【００３４】また、本実施の形態では、前記管理用端末
１に備えられた図外の消去実行プログラムを消去開始受
付処理の際に、前記外部記憶媒体３に出力することとし
ているが、これに限らず、前記消去準備プログラム３０
Ａの消去開始処理３２により、前記管理対象端末２から
前記外部記憶媒体３に出力することとしてもよい。

【００３５】

【発明の効果】以上のように、本発明によれば、管理用
端末で読み込み可能な消去証明情報を発行するようにし
たため、管理用端末において、各管理対象端末でデータ
消去実行プログラムによるデータ消去処理が実際に行わ
れたか否かを容易に管理することが可能となる。

【図面の簡単な説明】

【図１】 本発明の一実施の形態に係るデータ消去管理
システムの構成を示すブロック図である。

【図２】 本発明の一実施の形態に係るデータ消去管理
方法の概略を示すフローチャートである。

【図３】 前記データ消去管理方法に用いられる消去予
約情報の一例を示す図である。

【図４】 前記データ消去管理方法に用いられる消去開
始情報の一例を示す図である。

【図５】 前記データ消去管理方法に用いられる消去開
始受付情報の一例を示す図である。

【図６】 前記データ消去管理方法に用いられる消去証
明情報の一例を示す図である。

【図７】 前記データ消去管理システムを構成する管理
用端末内に設けられたデータベースの一例を示す図であ
る。

【図８】 前記データ消去管理方法における消去予約処
理を示すフローチャートである。

【図９】 前記データ消去管理方法における消去予約処
理を示すフローチャートである。

【図１０】 前記データ消去管理方法における消去予約
受付処理を示すフローチャートである。

【図１１】 前記データ消去管理方法における消去予約
受付開始処理を示すフローチャートである。

【図１２】 前記データ消去管理方法における消去完了
処理を示すフローチャートである。

【図１３】 前記データ消去管理方法における廃棄前処
理を示すフローチャートである。

【図１４】 本発明の他の実施の形態に係るデータ消去
管理システムの構成を示すブロック図である。

【符号の説明】

１・・・管理用端末、１０・・・管理プログラム、１１
・・・消去予約処理、１２・・・消去開始受付処理、１
３・・・消去完了受付処理、１４・・・データベース、
２・・・管理対象端末、２１・・・記憶装置、３・・・
外部記憶媒体、３０Ａ・・・消去準備プログラム、３０
Ｂ・・・消去実行プログラム、３０Ｃ・・・消去状態確
認プログラム、３１消去予約受付処理、３２・・・消去
開始処理、３３・・・データ消去処理、３４・・・消去
完了処理、３５・・・消去状態確認処理。

───────────────────────────────────────────────────── フロントページの続き (72)発明者 西出 隆志 神奈川県横浜市中区尾上町６丁目81番地 日立ソフトウエアエンジニアリング株式会 社内 (72)発明者 原田 建樹 神奈川県横浜市中区尾上町６丁目81番地 日立ソフトウエアエンジニアリング株式会 社内 Ｆターム(参考） 5B017 AA07 BA08 CA07 5B065 BA01 PA01 PA14

Claims (15)

【特許請求の範囲】
1. 【請求項１】 管理対象となる端末の記憶装置内のデー
   タの消去処理を実施させ、その実施結果を管理するデー
   タ消去管理方法であって、 データ消去処理の完了した管理対象端末から、管理用端
   末で読み込み可能な消去証明情報を発行させる第１のス
   テップと、 発行された前記消去証明情報の正当性を管理用端末で判
   定し、その判定結果に従い管理対象端末の消去処理結果
   を管理する第２のステップとを有することを特徴とする
   データ消去管理方法。
2. 【請求項２】 前記管理対象端末において生成された認
   証データを含む消去開始情報を、前記データ消去処理の
   開始前に、前記管理対象端末から前記管理用端末に送信
   させるステップと、 前記第１のステップにおいて、前記認証データを生成す
   る基データとしての第１のランダムデータを前記消去証
   明情報に含めて発行するステップとを有し、 前記第２のステップにおいて、前記第１のランダムデー
   タに基づいて生成された認証データと、前記管理対象端
   末から送信された認証データとが一致するか否かを判定
   し、一致した場合に、前記消去証明情報が正当なもので
   あると認定することを特徴とする請求項１に記載のデー
   タ消去管理方法。
3. 【請求項３】 前記管理用端末からデータ消去処理を行
   う管理対象端末に対して、前記消去開始情報の受信前
   に、前記管理用端末において生成される第２のランダム
   データを含む消去予約情報を送信するステップと、 前記消去予約情報を受信した管理対象端末において、前
   記消去開始情報の送信前に、前記第1のランダムデータ
   と前記第２のランダムデータとにより、前記認証データ
   を生成するステップとを有することを特徴とする請求項
   ２に記載のデータ消去管理方法。
4. 【請求項４】 前記認証データは、前記第２のランダム
   データを、前記第１のランダムデータを元に暗号化した
   ものであることを特徴とする請求項３に記載のデータ消
   去管理方法。
5. 【請求項５】 前記データ消去処理のされた管理対象端
   末において、少なくとも前記第２のステップ前に、前記
   記憶装置内にデータ消去済み情報を書き込む後処理を行
   うことを特徴とする請求項１〜請求項４いずれかに記載
   のデータ消去管理方法。
6. 【請求項６】 前記データ消去処理のされた管理対象端
   末において、少なくとも前記第２のステップ前に、前記
   記憶装置に対するデータの書き込み禁止を設定する後処
   理を行うことを特徴とする請求項１〜請求項５のいずれ
   かに記載のデータ消去管理方法。
7. 【請求項７】 前記消去予約情報には、前記後処理方法
   の指定に関する情報が含まれるものとし、 前記後処理は、前記消去予約情報に含まれる後処理方法
   の指定に基づいて行うことを特徴とする請求項５又は請
   求項６に記載のデータ消去管理方法。
8. 【請求項８】 前記消去証明情報には、前記予約情報に
   含まれた後処理方法の指定に関する情報が含まれるもの
   とし、 前記後処理の後に、前記管理対象端末に消去証明情報を
   読み込ませるステップと、 前記消去証明情報内に含まれる後処理方法の指定に基づ
   き、前記管理対象端末で前記指定された後処理が行われ
   ているか否かの判定を行うステップとを有することを特
   徴とする請求項７に記載のデータ消去管理方法。
9. 【請求項９】 管理用端末により管理される管理対象端
   末内の記憶装置のデータ消去処理を実行するプログラム
   において、 データ消去処理の完了した際に、前記管理対象端末が前
   記管理用端末で読み込み可能な消去証明情報を発行する
   処理を含むプログラム。
10. 【請求項１０】 前記データ消去処理の開始前に、認証
    データを生成する処理と、 生成された認証データを含む消去開始情報を前記管理用
    端末に送信する処理と、 前記認証データを生成するための第１のランダムデータ
    を前記消去証明情報に含めて発行する処理とをさらに含
    む請求項９に記載のプログラム。
11. 【請求項１１】 前記認証データは、前記第1のランダ
    ムデータと、前記消去予約情報に含まれる第２のランダ
    ムデータとにより生成されたものであることを特徴とす
    る請求項１０に記載のプログラム。
12. 【請求項１２】 データ消去処理完了後に、前記記憶装
    置内に消去済み情報を書き込む処理をさらに含む請求項
    ９〜請求項１１のいずれかに記載のプログラム。
13. 【請求項１３】 データ消去処理完了後に、前記記憶装
    置へのデータの書き込み禁止設定を行う処理をさらに含
    む請求項９〜請求項１２のいずれかに記載のプログラ
    ム。
14. 【請求項１４】 前記後処理は、前記管理用端末の指定
    に基づいて行うことを特徴とする請求項１２又は請求項
    １３に記載のプログラム。
15. 【請求項１５】 管理用端末において管理対象となる端
    末の記憶装置内のデータ消去処理を管理するプログラム
    であって、 管理用端末から管理対象端末に対して、消去処理の開始
    を指示する消去開始受付情報を送信する処理と、 データ消去処理の完了した管理対象端末から発行された
    前記消去証明情報の正当性を判定し、その判定結果に従
    い管理対象端末の消去処理結果を管理する処理とを有す
    ることを特徴とするプログラム。