JP2015041319A - データ管理装置、データ管理方法、及びプログラム - Google Patents

Abstract

【課題】記憶装置に記憶されるデータの安全性を確保しつつ当該データに関する処理効率の低下を回避可能とすること。
【解決手段】データ管理装置は、データを構成する複数の項目のうちの１以上の項目の値を、当該値に応じて異なる値に置換する置換部と、前記置換部による置換前の値と置換後の値とを対応付けて記憶する第一の記憶部と、前記置換部による置換後のデータを記憶する第二の記憶部と、を有することを特徴とする。
【選択図】図３

Description

本発明は、データ管理装置、データ管理方法、及びプログラムに関する。

コンピュータによって扱われるデータには、ユーザの個人情報や機密情報等の機微情報が含まれることが有る。このようなデータが、記憶装置に記憶され、永続化される場合、当該記憶装置に対して不正なアクセスが行われたとしても、データに含まれている機微情報の漏洩が防止されるのが望ましい。

データに含まれる機微情報の漏洩を防止する方法として、当該データを暗号化して永続化することが考えられる。

しかしながら、データが暗号化されてしまうと、例えば、機微情報を検索キーとしたデータの検索が要求された場合、検索処理の処理効率が低下してしまう可能性が有る。具体的には、検索キーとの比較を可能とするため、暗号化されている全てのデータを復号する必要が有る。

本発明は、上記の点に鑑みてなされたものであって、記憶装置に記憶されるデータの安全性を確保しつつ当該データに関する処理効率の低下を回避可能とすることを目的とする。

そこで上記課題を解決するため、データ管理装置は、データを構成する複数の項目のうちの１以上の項目の値を、当該値に応じて異なる値に置換する置換部と、前記置換部による置換前の値と置換後の値とを対応付けて記憶する第一の記憶部と、前記置換部による置換後のデータを記憶する第二の記憶部と、を有することを特徴とする。

記憶装置に記憶されるデータの安全性を確保しつつ当該データに関する処理効率の低下を回避可能とすることができる。

第一の実施の形態における情報処理システムの構成例を示す図である。 第一の実施の形態におけるサーバ装置のハードウェア構成例を示す図である。 第一の実施の形態におけるサーバ装置の機能構成例を示す図である。 第一の実施の形態においてログデータの保存時にサーバ装置が実行する処理手順の一例を説明するためのシーケンス図である。 秘匿対象項目記憶部の構成例を示す図である。 ログデータの一例を示す図である。 置換情報記憶部の構成例を示す図である。 第一の実施の形態において置換対象項目の値が値ＩＤに置換されたログデータの例を示す図である。 第一の実施の形態において暗号化対象項目の値が暗号化されたログデータの例を示す図である。 第一の実施の形態においてログデータの検索時にサーバ装置が実行する処理手順の一例を説明するためのシーケンス図である。 第二の実施の形態におけるサーバ装置の機能構成例を示す図である。 第二の実施の形態においてログデータの保存時にサーバ装置が実行する処理手順の一例を説明するためのシーケンス図である。 条件記憶部の構成例を示す図である。 第二の実施の形態において暗号化されたログデータの例を示す図である。

以下、図面に基づいて第一の実施の形態を説明する。図１は、第一の実施の形態における情報処理システムの構成例を示す図である。図１に示される情報処理システム１おいて、サーバ装置１０、１以上の画像形成装置２０、及び１以上のユーザ端末３０等は、ＬＡＮ（Local Area Network）又はインターネット等のネットワークを介して通信可能に接続されている。ネットワークには、無線区間が含まれていてもよい。

サーバ装置１０は、画像形成装置２０やユーザ端末３０から送信される要求に応じた処理を実行するコンピュータ又は１以上のコンピュータを含むコンピュータシステムである。例えば、サーバ装置１０は、原稿からスキャンされた画像データを画像形成装置２０から受信して、当該画像データに関するワークフローを実行してもよい。また、サーバ装置１０は、ユーザ端末３０から送信されるデータを受信して、当該データに関するワークフローを実行してもよい。但し、本実施の形態において、サーバ装置１０の機能は特定のものに限定されない。なお、本実施の形態では、サーバ装置１０において実行される処理に応じて記録されるログデータが、ユーザの個人情報や機密情報等の機微情報を含むデータの一例とされる。ログデータには、例えば、ログインユーザの個人情報等、機微情報が含まれる可能性が有る。

画像形成装置２０は、印刷、スキャン、コピー、及びＦＡＸ送受信等のうちの二以上の機能を一台の筐体によって実現する複合機である。但し、いずれか一つの機能を単体で有する機器が画像形成装置２０として用いられてもよい。また、プロジェクタ、デジタルカメラ、テレビ会議システム等、画像形成装置２０以外の機器が、サーバ装置１０に対するクライアントであってもよい。

ユーザ端末３０は、例えば、ＰＣ（Personal Computer）、スマートフォン、タブレット型端末、又は携帯電話等である。

図２は、第一の実施の形態におけるサーバ装置のハードウェア構成例を示す図である。図２のサーバ装置１０は、それぞれバスＢで相互に接続されているドライブ装置１００、補助記憶装置１０２、メモリ装置１０３、ＣＰＵ１０４、及びインタフェース装置１０５等を有する。

サーバ装置１０での処理を実現するプログラムは、ＣＤ−ＲＯＭ等の記録媒体１０１によって提供される。プログラムを記憶した記録媒体１０１がドライブ装置１００にセットされると、プログラムが記録媒体１０１からドライブ装置１００を介して補助記憶装置１０２にインストールされる。但し、プログラムのインストールは必ずしも記録媒体１０１より行う必要はなく、ネットワークを介して他のコンピュータよりダウンロードするようにしてもよい。補助記憶装置１０２は、インストールされたプログラムを格納すると共に、必要なファイルやデータ等を格納する。

メモリ装置１０３は、プログラムの起動指示があった場合に、補助記憶装置１０２からプログラムを読み出して格納する。ＣＰＵ１０４は、メモリ装置１０３に格納されたプログラムに従ってサーバ装置１０に係る機能を実行する。インタフェース装置１０５は、ネットワークに接続するためのインタフェースとして用いられる。

図３は、第一の実施の形態におけるサーバ装置の機能構成例を示す図である。図３において、サーバ装置１０は、ＵＩ制御部１１、入力部１２、フロー制御部１３、変換部１４、出力部１５、及びログ管理部１６等を有する。これら各部は、サーバ装置１０にインストールされたプログラムが、ＣＰＵ１０４に実行させる処理により実現される。サーバ装置１０は、また、秘匿対象項目記憶部１２１、置換情報記憶部１２２、及びログ記憶部１２３等を利用する。これら各記憶部は、補助記憶装置１０２、又はサーバ装置１０にネットワークを介して接続される記憶装置等を用いて実現可能である。

ＵＩ制御部１１は、画像形成装置２０やユーザ端末３０等に対して、サーバ装置１０に関するユーザインタフェースを提供する。斯かるユーザインタフェースの一例としてＷｅｂページが挙げられる。ユーザは、当該ユーザインタフェースを介して、画像形成装置２０又はユーザ端末３０やサーバ装置１０に対する要求を入力することができる。

入力部１２は、画像形成装置２０又はユーザ端末３０より送信されるデータ及び当該データに対する処理要求を示す情報を受信する。フロー制御部１３は、入力部１２によって受信された処理要求に応じた処理フロー（例えば、ワークフロー）を制御する。変換部１４は、当該処理フローにおいて、データの変換が必要な場合に、データの変換を実行する。出力部１５は、処理フローの実行結果を出力する。出力の一例として、処理要求に基づいて特定される配信先への配信等が挙げられる。

ログ管理部１６は、ＵＩ制御部１１、入力部１２、フロー制御部１３、変換部１４、又は出力部１５が実行する処理に関するログデータをログ記憶部１２３に保存したり、保存されたログデータの中から、所定の条件に合致するログデータを検索したりする。

秘匿対象項目記憶部１２１は、ログデータの保存状態において、ログデータを構成する複数の項目の中で、その値が秘匿されるべき項目を示す情報を記憶する。その値が秘匿されるべき項目を、以下「秘匿対象項目」という。

置換情報記憶部１２２は、秘匿対象項目のうち、当該項目の値が、当該値に応じて異なる識別情報（以下、「値ＩＤ」という。）に置換されるべき項目の値ごとに、値ＩＤを対応付けて記憶する。その値が値ＩＤに置換されるべき項目を、以下「置換対象項目」という。また、秘匿対象項目のうち、置換対象項目に該当しない項目を、「暗号化対象項目」という。

ログ記憶部１２３は、ログデータを記憶する。ログ記憶部１２３が記憶するログデータは、必要に応じて、置換対象項目の値が値ＩＤに置換され、暗号化対象項目の値が暗号化されている。

ログ管理部１６について詳細に説明する。図３において、ログ管理部１６は、置換部１６１、暗号化部１６２、ログ保存部１６３、復号部１６４、及びログ検索部１６５等を含む。

置換部１６１は、置換情報記憶部１２２を参照して、ログデータの置換対象項目の値を値ＩＤに置換する。暗号化部１６２は、ログデータの暗号化対象項目の値を、暗号化する。ログ保存部１６３は、ログデータをログ記憶部１２３に保存する。復号部１６４は、ログ記憶部１２３に記憶されているログデータの暗号化対象項目の値を復号する。ログ検索部１６５は、ログ記憶部１２３に記憶されているログデータの中から、指定された条件に合致するログデータを検索する。

以下、第一の実施の形態においてサーバ装置１０が実行する処理手順について説明する。図４は、第一の実施の形態においてログデータの保存時にサーバ装置が実行する処理手順の一例を説明するためのシーケンス図である。図４では、フロー制御部１３が、ログデータの保存要求元である例が示されている。但し、図４において、ログデータの保存要求元は、ＵＩ制御部１１、入力部１２、変換部１４、又は出力部１５に置き換えられてもよい。

ログデータを生成すべき何らかのイベントが発生すると（Ｓ１０１）、フロー制御部１３は、秘匿対象項目の項目名を、秘匿対象項目記憶部１２１より取得する（Ｓ１０２、Ｓ１０３）。

図５は、秘匿対象項目記憶部の構成例を示す図である。図５に示されるように、秘匿対象項目記憶部１２１は、秘匿対象項目の項目名の一覧を記憶する。図５の例によれば、ステップＳ１０３では、「社員番号」及び「氏名」が取得される。なお、秘匿対象項目記憶部１２１の記憶内容が空である場合、すなわち、秘匿対象項目が無い場合、ステップＳ１０３では、項目名は取得されない。

秘匿対象項目の項目名が取得されなかった場合、ステップＳ１１１及びＳ１１２が実行される。ステップＳ１１１において、フロー制御部１３は、生成したログデータの保存を、ログ保存部１６３に要求する。

図６は、ログデータの一例を示す図である。図６において、一つのログデータは、社員番号、氏名、処理内容、処理結果、処理ページ数、及び日時等の項目を含む。

社員番号及び氏名は、ログデータの対象の処理の要求元のユーザの社員番号及び氏名である。処理内容は、当該処理の内容である。処理結果は、当該処理の結果である。処理ページ数は、当該処理において処理対象とされた画像データのページ数である。日時は、当該処理が実行された日時である。

なお、図６では、複数のログデータの例が示されているが、ステップＳ１１１では、一つのログデータの保存が要求されてもよいし、複数のログデータの保存が要求されてもよい。また、例えば、生成されるログデータは、常に同じ構成を有していなくてもよい。例えば、実行される処理や、処理の実行主体に応じてログデータの構成は異なっていてもよい。ログデータの構成とは、ログデータに含まれる項目をいう。なお、或るログデータにおいては、「氏名」と同じ意味の項目名が「名前」である場合は、秘匿対象項目記憶部１２１には、「名前」も記憶されるようにしてもよい。または、同じ意味の項目の項目名は、必ず一致するようにログデータが生成されてもよい。

また、図６では、表形式でログデータが示されているが、例えば、ログデータは、項目名と値とがカンマで区切られたＣＳＶ形式、項目名をタグ名とするタグに、値が囲まれたＸＭＬ形式等であってもよい。

続いて、ログ保存部１６３は、保存要求に係るログデータをログ記憶部１２３に保存する（Ｓ１１２）。したがって、ステップＳ１１２では、ログデータが平文のまま記憶される。

一方、秘匿対象項目の項目名が１以上取得された場合、ステップＳ１２１以降が実行される。ステップＳ１２１において、フロー制御部１３は、秘匿対象項目の項目名を指定して、生成したログデータの保存を、ログ保存部１６３に要求する。ログ保存部１６３は、秘匿対象項目の項目名が指定されていることに応じ、置換部１６１に対して、ログデータ内の置換対象項目の値の置換を要求する（Ｓ１２２）。置換部１６１は、置換要求に応じ、置換情報記憶部１２２から置換情報を取得する（Ｓ１２３、Ｓ１２４）。

図７は、置換情報記憶部の構成例を示す図である。図７において、置換情報記憶部１２２は、「氏名」の各値に対応付けて、値ＩＤを記憶する。値ＩＤは、氏名ごとに異なる値とされている。図７の置換情報記憶部１２２が記憶する置換情報によれば、「氏名」が置換対象項目であることと、「氏名」の値に対応した値ＩＤを特定することができる。「氏名」以外の他の項目も置換対象項目とされる場合は、当該他の項目についても、図７に示されるようなテーブルが、置換情報記憶部１２２に記憶されていてもよい。

なお、当初の置換情報記憶部１２２には、値ＩＤが記憶されていなくてもよい。例えば、当初の置換情報記憶部１２２には、置換対象項目の項目名のみが記憶されていてもよい。または、置換対象項目に関して、値ＩＤへの置換対象を特定の値に限定したい場合、当該値が記憶されていてもよい。置換情報記憶部１２２に値ＩＤが記憶されていない場合、置換部１６１は、例えば、置換対象項目の値に基づいて、値ＩＤを動的に生成してもよい。置換部１６１は、生成した値ＩＤを、置換対象項目の値に対応付けて、置換情報記憶部１２２に記憶すればよい。動的に生成される値ＩＤは、置換元の値のハッシュ値であってもよい。または、値ＩＤは、置換元の値が暗号化された値であってもよい。すなわち、値ＩＤは、値ごとに異なる値であり、人によって元の値を容易に特定できない値であれば、どのような方法で生成されてもよい。

続いて、置換部１６１は、取得された置換情報に基づいて、ログデータ内の置換対象項目の値を値ＩＤに置換する。但し、ログデータ内の置換対象項目の値に対応する値ＩＤが無い場合、値ＩＤへの置換は実行されなくてもよい。例えば、ゲストユーザに対しては、「氏名」の値が一律に「ｇｕｅｓｔ」である場合、「ｇｕｅｓｔ」に基づいて特定のユーザを特定するのは困難である。そこで、「ｇｕｅｓｔ」という文字列を秘匿する必要が無いと考えられる場合、「ｇｕｅｓｔ」については、置換情報記憶部１２２において値ＩＤに対応付けられなくてもよい。

続いて、置換部１６１は、置換対象項目の値が値ＩＤに置換されたログデータを、ログ保存部１６３に返信する（Ｓ１２４）。

図８は、第一の実施の形態において置換対象項目の値が値ＩＤに置換されたログデータの例を示す図である。図８は、図６に示したログデータに対して、図７に示した置換情報に基づく置換が行われた結果を示す。すなわち、各ログデータの「氏名」の値が、値ＩＤに置換されている。その結果、「氏名」の値が秘匿化されている。

続いて、ログ保存部１６３は、秘匿対象項目に、暗号化対象項目が有る場合に、ステップＳ１２６を実行する。暗号化対象項目は、置換対象項目には該当しない秘匿対象項目である。ログ保存部１６３は、ステップＳ１２１において秘匿対象項目の項目名を通知されているため、置換対象項目の項目名を知ることができれば、暗号化対象項目の有無を判定することができる。置換対象項目の項目名は、例えば、置換部１６１から置換結果のログデータと共に返信されてもよい。または、ログ保存部１６３が、置換前のログデータと置換結果のログデータとを比較して、異なる部分に対応する項目を置換対象項目として特定してもよい。

ステップＳ１２６において、ログ保存部１６３は、暗号化対象項目の項目名を指定して、ログデータの暗号化を暗号化部１６２に要求する。暗号化部１６２は、指定された項目名に係る項目の値を暗号化する。暗号化部１６２は、暗号化対象項目の値が暗号化されたログデータをログ保存部１６３に返信する（Ｓ１２７）。

図９は、第一の実施の形態において暗号化対象項目の値が暗号化されたログデータの例を示す図である。図５及び図７に基づけば、「社員番号」が暗号化対象項目である。したがって、図９では、各ログデータの「社員番号」の値が暗号化された例を示す。すなわち、「＊＊＊＊」は、暗号化されていることを示す。また、図９において、各ログデータには、「暗号化対象」の項目が付加されている。「暗号化対象」の値は、２進数によって、暗号化対象項目を示す。すなわち、Ｎビット目は、ログデータにおいてＮ番目の項目に対応する。ビット値の「１」は、暗号化されていることを示し、「０」は暗号化されていないことを示す。なお、他の方法によって、暗号化対象が特定されてもよい。例えば、単に、暗号化された項目の項目名の一覧が、「暗号化対象」の値とされてもよい。または、何番目の項目が暗号化されたのかを示す数値が、「暗号化対象」の値とされてもよい。

続いて、ログ保存部１６３は、置換及び暗号化の少なくともいずれか一方が実行されたログデータを、ログ記憶部１２３に保存する（Ｓ１２８）。例えば、ログデータは、図９に示した状態でログ記憶部１２３に保存される。

なお、ステップＳ１２６において、暗号化対象項目の項目名は必ずしも指定されなくてもよい。この場合、暗号化部１６２が、秘匿対象項目記憶部１２１（図５）と、置換情報記憶部１２２（図７）とを参照して、暗号化対象項目を特定してもよい。また、この場合、ステップＳ１２１において、秘匿対象項目の項目名は指定されなくてもよい。例えば、ステップＳ１１１及びＳ１２１の分岐を、フロー制御部１３等は意識しなくてもよく、ログデータの保存要求に応じて、ステップＳ１２２以降が常に実行され、置換及び暗号化の実行が試みられてもよい。この場合、ステップＳ１０２及びＳ１０３は実行されなくてもよい。

続いて、ログ記憶部１２３に記憶されたログデータの検索時に実行される処理手順について説明する。図１０は、第一の実施の形態においてログデータの検索時にサーバ装置が実行する処理手順の一例を説明するためのシーケンス図である。図１０では、ＵＩ制御部１１が、ログデータの検索要求元である例が示されている。但し、図１０において、ログデータの検索要求元は、フロー制御部１３、入力部１２、変換部１４、又は出力部１５に置き換えられてもよい。

例えば、ＵＩ制御部１１は、検索条件として、特定の項目の項目名と、当該項目の値とが指定された、ログデータの表示要求をユーザ端末３０から受信すると（Ｓ２０１）、当該検索条件に合致するログデータの検索を、ログ検索部１６５に要求する（Ｓ２０２）。図４では、「氏名」＝「太郎」が検索条件である例が示されている。すなわち、特定の項目の項目名として「氏名」が指定され、当該項目の値として「太郎」が指定された例が示されている。なお、当該項目を、「検索条件項目」といい、当該値を、「検索条件値」という。

ログ検索部１６５は、ログデータの検索要求に応じ、置換情報記憶部１２２（図７）より置換情報を取得し（Ｓ２０３、Ｓ２０４）。検索条件項目が、置換対象項目であるか否かを判定する。検索条件項目が置換対象項目である場合、ログ検索部１６５は、検索条件値を値ＩＤに置換する（Ｓ２０５）。すなわち、置換情報において、検索条件値に対応付けられている値ＩＤが取得される。その結果、例えば、「氏名」＝「太郎」という検索条件は、「氏名」＝「１１１−２２２−３３３」に置換される。なお、検索条件値に対応付けられている値ＩＤが無い場合、検索条件値について、値ＩＤへの置換は行われない。たとえば、「氏名」の値の中で、「ｇｕｅｓｔ」は値ＩＤに置換されないで保存される場合において、検索条件が「氏名」＝「ｇｕｅｓｔ」であるときは、ステップＳ２０５における置換は行われない。

続いて、ログ検索部１６５は、検索条件に合致するログデータを、ログ記憶部１２３より取得する（Ｓ２０６、Ｓ２０７）。ログ記憶部１２３においては、置換対象項目の値は、値ＩＤに置換されて記憶されている。また、検索条件において、置換対象項目は、値ＩＤに変換されている。したがって、ログ検索部１６５は、検索条件とログデータとを直接比較して、検索条件に合致するログデータを取得することができる。すなわち、その値が秘匿されるべき項目であって、検索条件項目とされる可能性の高い項目が、置換対象項目とされるとよい。

検索条件に合致するログデータが取得された場合、ログ検索部１６５は、当該ログデータの復号を、復号部１６４に要求する（Ｓ２０８）。復号部１６４は、当該ログデータの「暗号化対象」の値に基づいて、暗号化されている項目を特定し、当該項目の値を復号する。復号部１６４は、暗号化対象項目が復号されたログデータを、ログ検索部１６５に返信する（Ｓ２０９）。なお、暗号化対象項目がいずれであるかは、秘匿対象項目記憶部１２１（図５）と置換情報記憶部１２２（図７）とを参照して特定されてもよい。この場合、暗号化が行われたログデータに対して、「暗号化対象」の項目は付加されなくてもよい。

続いて、ログ検索部１６５は、取得されたログデータの置換対象項目について、値ＩＤから元の値への置換（逆置換）を行う（Ｓ２１０）。すなわち、置換対象項目について、置換情報において、当該値ＩＤに対応付けられている値（「太郎」）への置換が行われる。なお、置換対象項目については、ログデータの表示時も秘匿化したい場合、ステップＳ２１０は実行されなくてもよい。

続いて、ログ検索部１６５は、必要に応じて復号又は逆置換が行われたログデータを、検索結果としてＵＩ制御部１１に返信する（Ｓ２１１）。

上述したように、第一の実施の形態によれば、ログデータの置換対象項目は、値ＩＤに置換されて保存される。したがって、保存状態において、置換対象項目の値が漏洩する可能性を低減させることができる。また、値ＩＤと置換元の値とは、置換情報記憶部１２２において対応付けられて記憶される。したがって、置換対象項目が検索条件項目とされた場合に、検索条件値について、置換前の値を置換情報記憶部１２２に基づいて迅速に特定することができる。なわち、本実施の形態によれば、記憶装置に記憶されるデータの安全性を確保しつつ当該データに関する処理効率の低下を回避可能とすることができる。

具体的には、仮に、置換対象項目の値も、他の暗号化項目の値と同様に暗号化され、暗号化前の値と暗号化後の値との対応付けが保持されていない場合、検索時には、検索条件に合致しないログデータの復号も必要とされる。本実施の形態によれば、復号対象とされるログデータは、検索条件に合致するログデータである可能性を高めることができる。

なお、置換対象項目と暗号化対象項目とは、必ずしも区別されなくてもよい。例えば、秘匿対象項目は、全て暗号化対象項目とされてもよい。この場合、暗号化対象項目ごとに、図７に示されるようなテーブルが用意され、暗号化前の値と暗号化後の値とが対応付けられて保持されればよい。検索時の検索条件が、例えば、「氏名」＝「太郎」である場合、「太郎」は、「氏名」に対応するテーブルにおいて「太郎」に対応付けられている暗号化後の値に置換されて、検索が行われてもよい。

次に、第二の実施の形態について説明する。第二の実施の形態では第一の実施の形態と異なる点について説明する。したがって、特に言及されない点については、第一の実施の形態と同様でもよい。

図１１は、第二の実施の形態におけるサーバ装置の機能構成例を示す図である。図１１中、図３と同一部分には同一符号を付し、その説明は省略する。

図１１では、秘匿対象項目記憶部１２１が、条件記憶部１２４によって置き換えられている。条件記憶部１２４は、暗号化対象とするログデータを特定するための条件（以下、「暗号化条件」という。）が記憶されている。また、ログ管理部１６は、暗号化判定部１６６を含む。暗号化判定部１６６は、条件記憶部１２４が記憶する暗号化条件に基づいて、保存対象とされるログデータの暗号化の要否を判定する。

図１２は、第二の実施の形態においてログデータの保存時にサーバ装置が実行する処理手順の一例を説明するためのシーケンス図である。図１２において、ログデータの保存要求元が、ＵＩ制御部１１、入力部１２、変換部１４、又は出力部１５に置き換えられてもよいのは、図４と同様である。

ログデータを生成すべき何らかのイベントが発生すると（Ｓ３０１）、フロー制御部１３は、生成したログデータを指定して、暗号化の要否の判定を、暗号化判定部１６６に要求する（Ｓ３０２）。暗号化判定部１６６は、当該要求に応じ、暗号化条件を条件記憶部１２４より取得する（Ｓ３０３、Ｓ３０４）。

図１３は、条件記憶部の構成例を示す図である。図１３には、条件記憶部１２４に記憶されている、暗号化条件テーブル１２４１と、組み合わせ条件テーブル１２４２とが示されている。

暗号化条件テーブル１２４１の各レコードは、条件ＩＤ、対象項目名、比較値、及び比較方法等を含む。条件ＩＤは、各暗号化条件の識別情報である。対象項目は、ログデータを構成する項目のうち、暗号化条件の対象とされる項目の項目名である。比較値は、ログデータにおける、対象項目名に係る項目の値と比較される値である。比較方法は、比較値との比較方法である。比較値は、比較方法が示す等号又は不等号の左辺となる。例えば、条件ＩＤが「１」である暗号化条件は、「氏名」の値が「太郎」であるログデータは、暗号化されるべきことを示す。また、条件ＩＤが「３」である暗号化条件は、処理ページ数が、１００ページを超えるログデータは、暗号化されるべきことを示す。

一方、組み合わせ条件テーブル１２４２は、組み合わせ条件を記憶する。組み合わせ条件とは、暗号化条件テーブル１２４１に登録された２以上の暗号化条件が組み合わされた条件をいう。組み合わせ条件テーブル１２４２の各レコードは、条件ＩＤ、条件リスト、及び組み合わせ方法等を含む。条件ＩＤは、組み合わせ条件の識別情報である。条件リストは、組み合わせ条件に含まれる暗号化条件の条件ＩＤのリストである。組み合わせ方法は、条件リストに係る暗号化条件の組み合わせ方法である。「ａｎｄ」は、組み合わされた全ての暗号化条件が満たされる必要が有ることを示す。「ｏｒ」は、組み合わされた暗号化条件のいずれかが満たされればよいことを示す。なお、組み合わせ条件テーブル１２４２は、必須ではない。

暗号化判定部１６６は、ログデータが、いずれかの暗号化条件又はいずれかの組み合わせ条件を満たすか否かを判定し、暗号化の要否を示す情報をフロー制御部１３に返信する。すなわち、いずれかの暗号化条件又は組み合わせ条件が満たされる場合、暗号化は必要であると判定される。いずれの暗号化条件又はいずれの組み合わせ条件も満たされない場合、暗号化は不要であると判定される。

暗号化が不要である場合、ステップＳ３１１及びＳ３１２が実行される。ステップＳ３１１及びＳ３１２の処理内容は、図４におけるステップＳ１１１及びＳ１１２と同様でよい。

暗号化が必要である場合、フロー制御部１３は、ログデータを暗号化して保存することをログ保存部１６３に要求する（Ｓ３２１）。当該要求に応じ、ステップＳ３２２〜Ｓ３２７が実行される。ステップＳ３２２〜Ｓ３２８の処理内容は、図４におけるステップＳ１２２〜Ｓ１２８とほぼ同様でよい。但し、第二の実施の形態では、置換対象項目以外の全ての項目が、暗号化されてもよい。したがって、例えば、ステップＳ３２８では、図１４に示されるようなログデータが保存されてもよい。

図１４は、第二の実施の形態において暗号化されたログデータの例を示す図である。図１４では、１番目のログデータのみが暗号化されている。１番目のログデータは、図１３における、条件ＩＤが「１」である暗号化条件に合致することにより、暗号化される。他のログデータは、いずれの暗号化条件にも合致しないため、暗号化されない。

なお、第二の実施の形態においても、秘匿対象項目記憶部１２１が利用されてもよい。この場合、暗号化対象は、暗号化対象項目の値に限定されてもよい。

また、ステップＳ３１１及びＳ３１３の分岐を、フロー制御部１３等は意識しなくてもよい。この場合、フロー制御部１３は、単に、ログデータの保存をログ保存部１６３に要求する。ログ保存部１６３は、当該要求に応じ、暗号化判定部１６６に暗号化の要否の判定を要求する。ログ保存部１６３は、当該判定結果に応じて、ステップＳ３１２を実行すべきか、ステップＳ３２２を実行すべきかを判定する。

なお、上記各実施の形態は、ログデータ以外のデータであって、記憶装置に記憶されるデータに関して適用されてもよい。例えば、個人情報のデータベースや、機密情報のデータベースに関して、上記各実施の形態が適用されてもよい。

なお、上記各実施の形態において、サーバ装置１０は、データ管理装置の一例である。置換情報記憶部１２２は、第一の記憶部の一例である。ログ記憶部１２３は、第二の記憶部の一例である。ログ検索部１６５は、取得部及び検索部の一例である。

以上、本発明の実施例について詳述したが、本発明は斯かる特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。

１ 情報処理システム
１０ サーバ装置
１１ ＵＩ制御部
１２ 入力部
１３ フロー制御部
１４ 変換部
１５ 出力部
１６ ログ管理部
２０ 画像形成装置
３０ ユーザ端末
１００ ドライブ装置
１０１ 記録媒体
１０２ 補助記憶装置
１０３ メモリ装置
１０４ ＣＰＵ
１０５ インタフェース装置
１２１ 秘匿対象項目記憶部
１２２ 置換情報記憶部
１２３ ログ記憶部
１２４ 条件記憶部
１６１ 置換部
１６２ 暗号化部
１６３ ログ保存部
１６４ 復号部
１６５ ログ検索部
１６６ 暗号化判定部
Ｂ バス

特開２０１１−０６５３６４号公報

Claims (6)

1. データを構成する複数の項目のうちの１以上の項目の値を、当該値に応じて異なる値に置換する置換部と、
   前記置換部による置換前の値と置換後の値とを対応付けて記憶する第一の記憶部と、
   前記置換部による置換後のデータを記憶する第二の記憶部と、
   を有することを特徴とするデータ管理装置。
2. 前記１以上の項目のうちのいずれかの項目の値が指定されたデータの検索要求に応じ、前記第一の記憶部において当該値に対応付けられている、当該値の置換後の値を取得する取得部と、
   前記取得部によって取得された値を含むデータを前記第二の記憶部から検索する検索部と、
   を有することを特徴とする請求項１記載のデータ管理装置。
3. データを構成する複数の項目のうちの１以上の項目の値を、当該値に応じて異なる値に置換する置換手順と、
   前記置換手順による置換前の値と置換後の値とを対応付けて第一の記憶部に記憶する第一の記憶手順と、
   前記置換手順による置換後のデータを第二の記憶部に記憶する記憶する第二の記憶手順と、
   をコンピュータが実行することを特徴とするデータ管理方法。
4. 前記１以上の項目のうちのいずれかの項目の値が指定されたデータの検索要求に応じ、前記第一の記憶部において当該値に対応付けられている、当該値の置換後の値を取得する取得手順と、
   前記取得手順によって取得された値を含むデータを前記第二の記憶部から検索する検索手順と、
   を前記コンピュータが実行することを特徴とする請求項３記載のデータ管理方法。
5. データを構成する複数の項目のうちの１以上の項目の値を、当該値に応じて異なる値に置換する置換手順と、
   前記置換手順による置換前の値と置換後の値とを対応付けて第一の記憶部に記憶する第一の記憶手順と、
   前記置換手順による置換後のデータを第二の記憶部に記憶する記憶する第二の記憶手順と、
   をコンピュータに実行させるプログラム。
6. 前記１以上の項目のうちのいずれかの項目の値が指定されたデータの検索要求に応じ、前記第一の記憶部において当該値に対応付けられている、当該値の置換後の値を取得する取得手順と、
   前記取得手順によって取得された値を含むデータを前記第二の記憶部から検索する検索手順と、
   をコンピュータに実行させる請求項５記載のプログラム。

Images