CN110298155A - 信息管理装置、存储介质及信息管理方法 - Google Patents

Abstract

本发明提供一种信息管理装置、存储介质及信息管理方法。信息管理装置，其具备：获取单元，获取能够确定具有对信息的特定操作的权限的利用者的所述特定操作时的心理状态的生体信息；及控制单元，当由所获取的所述生体信息确定的所述心理状态不在预先设定的正常范围内时，以抑制所述信息的输出的方式进行控制。

Description

信息管理装置、存储介质及信息管理方法

技术领域

本发明涉及一种信息管理装置、存储介质及信息管理方法。

背景技术

专利文献1中记载有用于防止对文档数据的不正当接触的使用生体信息的文档管理方法。其包括：第1工序，将允许利用的用户的生体信息登记在网络服务器；第2工序，从欲接触网络服务器的数据库的用户获取生体信息；及第3工序，进行在第1工序中登记的生体信息与在第2工序中获取的生体信息的核对并判定是否一致，在该第3工序中，当在第1工序中登记的生体信息与在第2工序中获取的生体信息不一致时，对所有用户禁止与存放于数据库中的文档数据的接触，同时通过预定方法对预定人的网络终端通知检测到对数据库的不正当接触。

专利文献1：日本特开2004-164130号公报

已提出有各种用于防止不具有能够接触文档数据等信息的权限的用户的不正当行为的方法，但难以抑制由具有能够接触信息的权限的用户进行的不正当行为，具体而言，通过权限范围内的操作有目的地向第三者外流信息的行为。

发明内容

本发明的目的在于提供一种能够抑制通过权限范围内的操作有目的地外流信息的行为的技术。

方案1所述的发明为一种信息管理装置，其具备：获取单元，获取能够确定具有对信息的特定操作的权限的利用者的所述特定操作时的心理状态的生体信息；及控制单元，当由所获取的所述生体信息确定的所述心理状态不在预先设定的正常范围内时，以抑制所述信息的输出的方式进行控制。

方案2所述的发明为方案1所述的信息管理装置，其中，所述获取单元在从接收将所述信息显示于显示部的操作之后到接收结束该显示的操作为止的期间获取所述生体信息。

方案3所述的发明为方案2所述的信息管理装置，其中，所述获取单元在显示着所述信息中不应公开于第三者的信息的期间获取所述生体信息。

方案4所述的发明为方案1所述的信息管理装置，其具备指示停止通过所述获取单元获取所述生体信息的操作单元。

方案5所述的发明为方案4所述的信息管理装置，其中，当由所述生体信息确定的所述心理状态在预先设定的正常范围内时，所述获取单元根据由所述操作单元发出的停止指示来停止所述生体信息的获取。

方案6所述的发明为方案4所述的信息管理装置，其中，当根据来自所述操作单元的停止指示由所述获取单元停止了生体信息的获取时，所述控制单元抑制所述信息的输出。

方案7所述的发明为方案1所述的信息管理装置，其中，当不具有对所述信息的特定操作的权限的第三者存在于所述利用者的附近时，所述获取单元获取所述生体信息。

方案8所述的发明为方案7所述的信息管理装置，其中，当所述第三者辨认到显示所述信息的显示部时，所述获取单元获取所述生体信息。

方案9所述的发明为方案1所述的信息管理装置，其中，所述控制单元通过掩盖所述信息来抑制所述信息的输出。

方案10所述的发明为方案9所述的信息管理装置，其中，当不具有对所述信息的特定操作的权限的第三者存在于所述利用者的附近时，所述控制单元通过掩盖所述信息来抑制所述信息的输出。

方案11所述的发明为方案10所述的信息管理装置，其中，当所述第三者辨认到显示所述信息的显示部时，所述控制单元通过掩盖所述信息来抑制所述信息的输出。

方案12所述的发明为方案1所述的信息管理装置，其中，所述控制单元通过代替所述信息而输出其他信息来抑制所述信息的输出。

方案13所述的发明为方案12所述的信息管理装置，其中，当不具有对所述信息的特定操作的权限的第三者存在于所述利用者的附近时，所述控制单元通过代替所述信息而输出所述其他信息来抑制所述信息的输出。

方案14所述的发明为方案1所述的信息管理装置，其中，当所述心理状态从正常范围外转移到正常范围内时，所述控制单元解除所述信息的输出的抑制。

方案15所述的发明为方案10、13中任一项所述的信息管理装置，其中，当不存在所述第三者时，所述控制单元解除所述信息的输出的抑制。

方案16所述的发明为方案10、13中任一项所述的信息管理装置，其中，当所述第三者不再辨认显示所述信息的显示部时，所述控制单元解除所述信息的输出的抑制。

方案17所述的发明为方案1所述的信息管理装置，其中，当输出所述信息的终端发生移动时，所述控制单元抑制所述信息的输出。。

方案18所述的发明为方案1所述的信息管理装置，其中，所述控制单元通过对管理者发出通知来抑制所述信息的输出。

方案19所述的发明为方案1所述的信息管理装置，其中，所述控制单元根据所述利用者的所述特定操作来对所述利用者通知所述生体信息的获取。

方案20所述的发明为方案19所述的信息管理装置，其中，所述通知中包含由信息外流引起的风险和与所述利用者具有一定的关系的人的信息中的至少任一个。

方案21所述的发明为一种存储介质，其存储使计算机执行以下步骤的程序：获取能够确定具有对信息的特定操作的权限的利用者的所述特定操作时的心理状态的生体信息的步骤；及当由所获取的所述生体信息确定的所述心理状态不在预先设定的正常范围内时，以抑制所述信息的输出的方式进行控制的步骤。

方案22所述的发明为一种信息管理方法，其包括如下步骤：

获取步骤，获取能够确定具有对信息的特定操作的权限的利用者的所述特定操作时的心理状态的生体信息；及

控制步骤，当由所获取的所述生体信息确定的所述心理状态不在预先设定的正常范围内时，以抑制所述信息的输出的方式进行控制。

发明效果

根据本发明的第1～22方案，能够抑制通过权限范围内的操作有目的地外流信息的行为。

根据本发明的第7方案，进一步地，在不具有对信息的特定操作的权限的第三者存在于利用者的附近时获取生体信息。

根据本发明的第8方案，进一步地，在不具有对信息的特定操作的权限的第三者辨认显示信息的显示部时获取生体信息。

根据本发明的第10方案，进一步地，在不具有对信息的特定操作的权限的第三者存在于利用者的附近时抑制信息的输出。

根据本发明的第11方案，进一步地，在不具有对信息的特定操作的权限的第三者辨认显示信息的显示部时抑制信息的输出。

根据本发明的第19方案，进一步地，根据利用者的特定操作来对利用者通知生体信息的获取，获取通知状态下的生体信息。

根据本发明的第20方案，包含由信息外流引起的风险和与利用者具有一定的关系的人的信息中的至少任一个，心理状态能够反映在生体信息中。

附图说明

根据以下附图，对本发明的实施方式进行详细叙述。

图1是实施方式的系统结构图；

图2是实施方式的利用者终端的功能块图；

图3是实施方式的信息管理服务器的功能块图；

图4是实施方式的信息管理服务器的结构块图；

图5是实施方式的处理的示意说明图(其一)；

图6是实施方式的处理的示意说明图(其二)；

图7是实施方式的整体处理流程图；

图8是实施方式的另一整体处理流程图；

图9是实施方式的又一整体处理流程图；

图10是获取利用者生体信息的详细处理流程图；

图11是获取利用者生体信息的另一详细处理流程图；

图12是获取利用者生体信息的又一详细处理流程图；

图13是利用者终端的画面显示说明图(其一)；

图14是利用者终端的画面显示说明图(其二)；

图15是利用者终端的另一画面显示说明图；

图16是抑制信息输出的详细处理流程图；

图17是抑制信息输出的另一详细处理流程图；

图18是利用者终端的画面显示转变说明图；

图19是利用者终端的另一画面显示转变说明图(其一)；

图20是利用者终端的另一画面显示转变说明图(其二)；

图21是变形例的系统结构图；

图22是变形例的功能块图；

图23是变形例的整体处理流程图。

符号说明

10-利用者终端，12-信息管理服务器，14-管理者终端，16-通信线路

具体实施方式

以下，根据附图对本发明的实施方式进行说明。

图1表示本实施方式的系统结构图。系统具备利用者终端10、信息管理服务器12及管理者终端14，利用者终端10、信息管理服务器12及管理者终端14由通信线路16以能够收发数据的方式连接。

利用者终端10为利用者所操作的终端，具备显示信息的功能。利用者终端10为平板终端或个人计算机等信息终端，通过利用者的操作将存储于内置存储器的文档数据等信息或经由通信线路16获取的文档数据等信息显示于显示部。利用者为具有使用利用者终端10的权限，且具有在显示部显示信息的权限、即能够接触信息的权限的利用者(以下，称为“权限利用者”)。

信息管理服务器12为经由通信线路16与利用者终端10连接的服务器，是管理显示于利用者终端10的信息的服务器。信息管理服务器12作为信息管理装置发挥功能，监视由权限利用者进行的信息的显示，并在一定情况下以抑制信息的输出的方式控制利用者终端10的动作。当权限利用者通过操作利用者终端10而欲进行将重要信息显示给第三者来有目的地使其外流的不正当行为时，信息管理服务器12进行抑制该不正当行为的通知，且获取识别了这种通知的状态下的权限利用者的生体信息，并使用所获取的生体信息评价权限利用者进行不正当行为的可能性。并且，评价的结果，当不正当行为的盖然性高时抑制信息的输出。信息的输出抑制包含信息显示的中断或停止、向管理者终端14的通知等。

管理者终端14为管理信息的管理者所操作的终端。管理者终端14经由通信线路16与信息管理服务器12连接，接收来自信息管理服务器12的通知并进行显示。来自信息管理服务器12的通知为具有产生权限利用者有目的地外流信息的行为的可能性的通知。

图2是利用者终端10的功能块图。利用者终端10具备显示部100、生体信息获取部101、存储部102、通信部103及控制部104作为功能块。

显示部100为液晶显示器或有机EL显示器，显示文档数据或图像数据等信息。

生体信息获取部101获取权限利用者的生体信息。生体信息是任意的，是能够反映权限利用者的心理状态的生体信息，具体而言为脸部图像、脉搏、血压、脑波、声音等。脸部图像能够用摄像机获得，脉搏和血压能够用佩戴在手腕上的传感器或智能手表获得，脑波能够用佩戴在头上的电极获得，声音能够用传声器获得。除此以外，也可以用振动传感器获得抓握利用者终端10的权限利用者的手的颤抖(摇晃)。利用脸部图像或声音等来发现被测者的谎言的所谓的测谎器是公知的，该测谎器中所使用的生体信息也能够用于本实施方式中。

存储部102预先存储显示于显示部100的信息。另外，应显示的信息也可以经由通信线路16从外部获取并存储于存储部102。并且，存储部102存储由生体信息获取部101获取的权限利用者的生体信息。

通信部103经由通信线路16与信息管理服务器12收发数据。具体而言，根据来自信息管理服务器12的指令，由生体信息获取部101获取权限利用者的生体信息，并将所获取的生体信息发送至信息管理服务器12。并且，根据来自信息管理服务器12的指令，抑制显示于显示部100的信息。通信部103将从信息管理服务器12接收到的指令输出至控制部104。

控制部104控制利用者终端10各部的动作。即、控制部104根据权限利用者的操作将信息显示于显示部100，并且在将信息显示于显示部100时，根据来自信息管理服务器12的指令将获取生体信息的消息显示于显示部100，驱动生体信息获取部101来获取生体信息。控制部104将所获取的生体信息从通信部103发送至信息管理服务器12。另外，控制部104根据来自信息管理服务器12的指令来控制显示部100，抑制信息的输出。

利用者终端10能够由具备1个或多个处理器、ROM、RAM、键盘或触摸开关等输入装置、各种传感器、HDD或SSD等存储装置、通信接口(I/F)及显示器的平板终端等信息设备构成。1个或多个处理器通过读出并执行存储于ROM或存储装置的处理程序来作为控制部104发挥功能。各种传感器中所包含的摄像机作为生体信息获取部101发挥功能。键盘或触摸开关接收权限利用者的操作。通信I/F作为通信部103发挥功能。显示器作为显示部100发挥功能。

图3是信息管理服务器12的功能块图。信息管理服务器12具备存储部200、通信部201及控制部202作为功能块。

存储部200存储权限利用者的信息、例如用户ID或密码、权限利用者的近亲或朋友关系。关于近亲或朋友关系信息的利用，将进行后述。

并且，存储部200将权限利用者在正常状态下的生体信息作为基准值而进行存储。例如为正常状态下的脸部图像、正常状态下的脉搏数、正常状态下的脑波、正常状态下的血压、正常状态下的声音波形等。

通信部201经由通信线路16与利用者终端10及管理者终端14收发数据。

控制部202控制信息管理服务器12各部的动作。控制部202具备生体信息获取要否判定部、信息泄露行为判定部及信息输出抑制部。

在权限利用者操作利用者终端10来在显示部100显示信息时，生体信息获取要否判定部判定是否需要获取权限利用者的生体信息。即，由于成为问题的行为是向无权限的第三者有目的地外流信息的行为，因此，当满足所显示的信息为重要信息、在允许信息的显示的场所以外的场所中显示、存在无权限的第三者等条件时，判定为需要获取生体信息。相反，当所显示的信息不是重要信息时或信息的显示为原本就可允许的场所(据点)中的显示时，判定为无需获取生体信息。当判定为需要进行生体信息的获取时，生体信息获取要否判定部经由通信部201向利用者终端10的控制部104输出控制指令，通过生体信息获取部101获取生体信息。

信息泄露行为判定部使用由生体信息获取要否判定部判定为需要进行生体信息的获取而根据该判定结果获取的权限利用者的生体信息来判定信息泄露行为的可能性。具体而言，将所获取的生体信息与存储于存储部200的基准值进行比较，判定是否脱离基准值，若脱离则判定为有信息泄露行为的可能性。例如，根据用摄像机拍摄而得到的权限利用者的脸部图像，将权限利用者的细微表情的左右对称性与基准值进行比较，若与基准值相比对称性不同一定比例以上，则权限利用者的心理状态与正常时不同，判定为有信息泄露行为的可能性。或者，将用传声器获取的权限利用者的声音与基准声音进行比较，若与基准声音相比不同一定比例以上，则权限利用者的心理状态与正常状态不同，判定为有信息泄露行为的可能性。并且，与所获取的生体信息是否脱离基准值无关地，根据所获取的生体信息判定为权限利用者的当前的状态处于无法信赖的状态时，可以判定为有信息泄露行为的可能性。

当由信息泄露行为判定部判定为有信息泄露行为的可能性时，信息输出抑制部经由通信部201向利用者终端10的控制部104输出控制指令，抑制信息的输出。信息输出抑制部代替控制指令的输出或与控制输出的指令一同经由通信部201向管理者终端14输出有信息泄露行为的可能性的通知。

图4表示信息管理服务器12的结构块图。信息管理服务器12具备处理器12a、ROM12b、RAM12c、通信I/F12d、输入输出I/F12e及存储装置12f。

1或多个处理器12a作为控制部202发挥功能，读出存储于ROM12b或存储装置12f的处理程序，并将RAM12c用作工作存储器(working memory)执行处理程序，由此实现生体信息获取要否判定部、信息泄露行为判定部及信息输出抑制部。

通信I/F12d作为通信部201发挥功能，接收利用者终端10的位置数据及用于对显示于利用者终端10的显示部100的信息判定重要度的数据并输出至处理器12a。并且，当判定为需要进行生体信息的获取时，通信I/F12d对利用者终端10的控制部104输出获取生体信息的控制指令。并且，通信I/F12d接收来自利用者终端10的生体信息并输出至处理器12a。另外，通信I/F12d对利用者终端10的控制部104输出用于抑制信息输出的控制指令，并对管理者终端14输出有信息泄露的可能性的通知。

输入输出I/F12e与键盘等输入装置或显示器等输出装置连接。信息管理的负责人经由输入输出I/F12e输入权限利用者的数据或生体信息的基准值。也可以经由通信I/F12d从与通信线路16连接的其他终端输入这些数据。

存储装置12f作为存储部200发挥功能，存储利用者信息表、基准值数据及重要信息数据。利用者信息表存储权限利用者的信息、即用户ID或密码、近亲或朋友的信息。基准值数据存储权限利用者在正常状态下的生体信息的基准值(正常范围)。作为基准值数据而存储的生体信息的基准值对应由利用者终端10获取的生体信息。即，若由利用者终端10获取的生体信息为权限利用者的脸部图像，则基准值数据中包含正常状态的脸部图像。重要信息数据存储能够由利用者终端10显示的信息中预先选择的重要信息。另外，重要信息数据也可以存储特定的关键词或特定的类别，能够确定包含这些特定关键词的文档数据或分类为特定类别的文档数据等作为重要信息。存储装置12f除了这些以外还可以存储能够处理重要信息的区域(据点)的位置数据。

图5示意性表示本实施方式中成为抑制对象的不正当行为。权限利用者50能够在其权限范围内操作利用者终端10来显示重要信息。只有权限利用者本人预览重要信息或者具有能够接触重要信息的权限的其他人阅览重要信息是没有问题的。但是，权限利用者50为了让不具有能够接触重要信息的权限的第三者(所谓的工业间谍)60阅览重要信息而操作利用者终端10来显示重要信息的行为是不正当行为，需要抑制。

因此，如图6所示，在权限利用者50在其权限范围内操作利用者终端10来显示重要信息时，对权限利用者50通知获取生体信息，在权限利用者50识别了该通知的状态下获取生体信息，当权限利用者50的心理状态脱离正常范围时，使用所获取的生体信息来避免不具有能够接触重要信息的权限的第三者能够阅览重要信息或者即使阅览也无法维持其状态。

本实施方式中的基本原理可以说是通过如下3个阶段的处理来抑制向第三者的信息泄露：第1，通过对权限利用者50通知获取生体信息来使权限利用者50知道在监视下，并限制信息泄露行为；第2，通过通知获取生体信息来使心理状态容易反映在生体信息中；第3，当有信息泄露行为的可能性时，使用所获取的生体信息实际抑制信息输出。

另外，关于信息泄露的不正当行为，根据可能存在容易进行不正当行为的场所和不容易进行不正当行为的场所，在后者的场所，可以考虑权限利用者的便利性而简单地通知或不通知，关于所获取的生体信息，也可以限定于能够容易获取的生体信息。总之，根据操作利用者终端10的场所能够适应性地改变处理。

并且，根据信息的重要度可能存在相对高的重要度和相对低的重要度，当重要度相对不高时，考虑权限利用者的便利性而简单地通知或不通知，关于所获取的生体信息，也可以限定于能够容易获取的生体信息。总之，根据由利用者终端10显示的信息的重要度能够适应性地改变处理。

图7表示本实施方式的整体处理流程图。

首先，信息管理服务器12获取利用者终端10的安全等级(S101)。具体而言，获取由权限利用者操作时的利用者终端10的位置数据。位置数据能够通过设置于利用者终端10的GPS(全球定位系统)等位置传感器来获取。也可以代替GPS而使用Wi-Fi电波来检测位置。并且，位置数据能够在权限利用者输入用户ID或密码来登录利用者终端10的时点获取。

接着，信息管理服务器12使用所获取的位置数据来判定权限利用者是否从据点外接触了重要信息(S102)。利用所输入的用户ID及密码来判定是否为权限利用者的操作。通过对通过权限利用者的操作显示于利用者终端10的信息与存储于存储装置12f的重要信息数据进行核对来判定是否为重要信息。通过对所获取的位置数据与存储于存储装置12f的据点的位置数据进行核对来判定是否为从据点外的接触。

当判定为权限利用者从据点外接触了重要信息时(在S102中“是”)，信息管理服务器12认为需要获取权限利用者的生体信息，并向利用者终端10输出控制指令，由利用者终端10获取权限利用者的生体信息(S103)。生体信息例如通过用利用者终端10的摄像机拍摄权限利用者的脸部图像而获取。所获取的生体信息从利用者终端10发送至信息管理服务器12。生体信息基本是在从接收显示重要信息的权限利用者的操作之后到接收结束该重要信息的显示的操作为止的期间获取，尤其可以在显示不应公开于第三者的重要信息的期间内。

信息管理服务器12对所获取的生体信息与存储于存储装置12f的基准值数据进行核对，并通过判定权限利用者的心理状态是否处于正常状态来判定信息泄露行为的可能性(S104)。当所获取的生体信息相对于基准值脱离一定比例以上而不在正常范围内时，认为有信息泄露行为的可能性而执行信息输出的抑制处理(S105)。例如，将所获取的脸部图像的左右对称性与基准值进行比较，若与基准值相比对称性不同一定比例以上，则认为不在正常范围内而执行信息输出的抑制处理。

当未从据点外接触重要信息时(在S102中“否”)或者当没有信息泄露行为的可能性时(在S104中“否”)，不进行信息输出的抑制而允许信息输出。

另外，在图7的处理中，当从据点外接触了重要信息时获取生体信息，但进一步地，也可以在第三者存在于权限利用者的附近时获取生体信息。

图8表示此时的整体处理流程图。

首先，信息管理服务器12获取利用者终端10的安全等级(S201)。具体而言，获取由权限利用者操作时的利用者终端10的位置数据。

接着，信息管理服务器12使用所获取的位置数据来判定权限利用者是否从据点外接触了重要信息(S202)。

当判定为权限利用者从据点外接触了重要信息时(在S202中“是”)，信息管理服务器12进一步判定在权限利用者的附近是否存在权限利用者以外的第三者(S203)。能够通过用利用者终端10的摄像机、例如广角摄像机拍摄利用者终端10的周围来判定是否存在第三者。也可以通过在利用者终端10的显示部显示“周围有其他人吗？”等询问消息，并让权限利用者回答来进行判定。当从据点外接触了重要信息且第三者存在于附近时，认为需要获取权限利用者的生体信息而向利用者终端10输出控制指令，由利用者终端10获取权限利用者的生体信息(S204)。生体信息例如通过用利用者终端10的摄像机拍摄权限利用者的脸部图像而获取。所获取的生体信息从利用者终端10发送至信息管理服务器12。

信息管理服务器12对所获取的生体信息与存储于存储装置12f的基准值数据进行核对，并通过判定权限利用者的心理状态是否在正常范围内来判定信息泄露行为的可能性(S205)。当所获取的生体信息相对于基准值脱离一定比例以上而不在正常范围内时，认为有信息泄露行为的可能性而执行信息输出的抑制处理(S206)。

当未从据点外接触重要信息时(在S202中“否”)、第三者不存在于附近时(在S203中“否”)或者没有信息泄露行为的可能性时(在“S205”中“否”)，不进行信息输出的抑制而允许信息输出。

在图8的处理中，当第三者存在于附近时获取生体信息，但也可能存在即使第三者存在于附近也是偶尔存在，并没有打算阅览重要信息的情况，因此可以在存在于附近的第三者实际观察利用者终端10的画面时获取生体信息。

图9表示此时的整体处理流程图。

首先，信息管理服务器12获取利用者终端10的安全等级(S301)。具体而言，获取由权限利用者操作时的利用者终端10的位置数据。

接着，信息管理服务器12使用所获取的位置数据来判定权限利用者是否从据点外接触了重要信息(S302)。

当判定为权限利用者从据点外接触了重要信息时(在S302中“是”)，信息管理服务器12判定在权限利用者的附近是否存在权限利用者以外的第三者(S303)。能够通过用利用者终端10的摄像机、例如广角摄像机拍摄利用者终端10的周围来判定是否存在第三者。也可以通过在利用者终端10的显示部显示“周围有其他人吗？”等询问消息，并让权限利用者回答来进行判定。当从据点外接触了重要信息且第三者存在于附近时，进一步判定该第三者是否辨认了利用者终端10的画面(S304)。能够通过从该第三者的脸部图像检测脸部的朝向或视线方向来判定是否辨认了画面。当从据点外接触了重要信息、第三者存在于附近且该第三者辨认了画面时，认为需要获取权限利用者的生体信息而向利用者终端10输出控制指令，由利用者终端10获取权限利用者的生体信息(S305)。生体信息例如通过用利用者终端10的摄像机拍摄权限利用者的脸部图像而获取。所获取的生体信息从利用者终端10发送至信息管理服务器12。

信息管理服务器12对所获取的生体信息与存储于存储装置12f的基准值数据进行核对，并通过判定权限利用者的心理状态是否在正常范围内来判定信息泄露行为的可能性(S306)。当所获取的生体信息相对于基准值脱离一定比例以上而不在正常范围内时，认为有信息泄露行为的可能性而执行信息输出的抑制处理(S307)。

当未从据点外接触重要信息时(在S302中“否”)、第三者不存在于附近时(在S303中“否”)、即使第三者存在于附近也未辨认画面时(在S304中“否”)或者没有信息泄露行为的可能性时(在S306中“否”)，不进行信息输出的抑制而允许信息输出。

图10是本实施方式中的获取权限利用者的生体信息的详细流程图，是图7的S103、图8的S204或图9的S305中的处理。

首先，信息管理服务器12向利用者终端10输出控制指令，显示对权限利用者的指示(S401)。指示例如显示“请将脸部以正面的方向朝向摄像机，并保持不动”等消息。也可以通过扬声器以声音输出。

利用者终端10判定权限利用者是否成为如指示那样的状态(S402)，若成为如指示那样，则接着根据来自信息管理服务器12的控制指令来显示信息阅览状况的确认画面(S403)。该确认画面例如与“是否要向不能公开的人公开信息？”的消息一同显示“取消”、“否”的触摸按钮。

权限利用者通过辨认该确认画面并操作“取消”按钮或“否”按钮来回答。

信息管理服务器12例如获取脸部图像作为权限利用者的生体信息，并且判定该脸部图像是否为由权限利用者作出回答之后的脸部图像(S404、S405)。当没有回答时，重复S403～S405的处理。通过该处理，获取对“是否要向不能公开的人公开信息？”的消息的回答后的权限利用者的脸部图像。回答内容中有虚假(说谎)时处于与正常状态不同的心理状态，获取对确认画面的回答后的脸部图像就是利用该心理状态反映在脸部表情上的事实。

在图10的处理中，获取脸部图像作为生体信息，但也可以根据信息的重要度改变所获取的生体信息，可以在信息的重要度相对高时获取多个生体信息。

图11表示此时的获取生体信息的详细流程图。

首先，信息管理服务器12向利用者终端10输出控制指令，并显示对权限利用者的指示(S501)。指示例如显示“请将脸部以正面的方向朝向摄像机，并保持不动”等消息。也可以通过扬声器以声音输出。

利用者终端10判定权限利用者是否成为如指示那样的状态(S502)，若成为如指示那样，则接着根据来自信息管理服务器12的控制指令来显示信息阅览状况的确认画面(S503)。该确认画面例如与“是否要向不能公开的人公开信息？”的消息一同显示“取消”、“否”的触摸按钮。

权限利用者通过辨认该确认画面并操作“取消”按钮或“否”按钮来回答。

信息管理服务器12获取脸部图像作为权限利用者的生体信息(S504)。另外，当欲显示于利用者终端10的信息的重要度相对特别高时，信息管理服务器12向利用者终端10输出控制指令，以便除了获取脸部图像以外，还获取脉搏、声音、脑波中的至少任一个(S506)。判定这些脸部图像及脉搏、声音、脑波中的至少任一个是否为由权限利用者作出回答之后的生体状态(S507)。当没有回答时，重复S503～S507的处理。通过该处理，获取对“是否要向不能公开的人公开信息？”的消息的回答后的权限利用者的脸部图像及脉搏等。回答内容中有虚假(说谎)时处于与正常状态不同的心理状态，获取对确认画面的回答后的脸部图像及脉搏等就是利用该心理状态同时反映在脸部的表情或脉搏等多个生体信息中的事实。可以说当信息的重要度相对高时，与其说重视权限者的便利性，不如说反而重视精度而进行判定。使用多个生体信息来提高精度的技术是公知的，例如在Hashem,Y.,Takabi,H.,GhasemiGol,M.,&Dantu,R.(2016).Inside the Mind of the Insider：Towards Insider ThreatDetection Using Psychophysiological Signals.J.Internet Serv.Inf.Secur.,6(1),20-36.中记载有使用心电图和脑波实时测量并分析的结果，能够以90％以上的精度检测背叛行为。

在图11的处理中，当信息的重要度相对高时获取多个生体信息，但进一步地，也可以根据利用者终端10是否移动中来改变应获取的生体信息的种类。

图12表示此时的获取生体信息的详细流程图。

首先，信息管理服务器12向利用者终端10输出控制指令，并显示对权限利用者的指示(S601)。指示例如显示“请准确佩戴脉搏传感器”等消息。也可以通过扬声器以声音输出。

利用者终端10判定权限利用者是否成为如指示那样的状态(S602)，若成为如指示那样，则接着根据来自信息管理服务器12的控制指令来显示信息阅览状况的确认画面(S603)。该确认画面例如与“是否要向不能公开的人公开信息？”的消息一同显示“取消”、“否”的触摸按钮。

权限利用者通过辨认该确认画面并操作“取消”按钮或“否”按钮来回答。

信息管理服务器12获取脉搏作为权限利用者的生体信息(S604)。

脉搏除了可以用智能手表等佩戴在手腕上的脉搏传感器检测，还可以将手指按压接触在摄像机并根据透射手指的光的量并通过血流来检测。另外，当欲显示于利用者终端10的信息的重要度相对特别高时，信息管理服务器12判定利用者终端10是否在移动中(S606)。能够根据利用者终端10的位置数据的时间变化来判定是否在移动中。若利用者终端10在移动中(在S606中“是”)，则除了获取脉搏以外，还获取权限利用者的脸部图像(S607)。另一方面，若不在移动中(在S606中“否”)，则用振动传感器等获取抓握利用者终端10时的手的颤抖(摇晃)(S608)。判定这些脉搏及脸部图像和摇晃中的任一个是否为由权限利用者作出回答之后的生体状态(S609)。当没有回答时，重复S603～S608的处理。通过该处理，除了获取对“是否要向不能公开的人公开信息？”的消息的回答后的权限利用者的脉搏以外，若在移动中则还获取脸部图像，若不在移动中则还获取摇晃。若在移动中则获取脸部图像是因为，在移动中时移动所伴随的振动与反映了心理状态的振动一般难以区别。

另外，当在移动中也检测抓握利用者终端10时的手的颤抖(摇晃)时，可以检测由权限利用者抓握之前的移动中的利用者终端10的移动作为偏移，并通过将减去该偏移量的手的摇晃与基准值进行核对而判定是否有信息泄露行为的可能性。

并且，也可以在移动中代替脸部图像而获取权限利用者的声音，可以检测移动中的权限利用者的声音作为基准值，并通过对该移动中的基准值与所获取的声音进行核对来判定是否有信息泄露行为的可能性。

图13表示S401、S501或S601的处理中的利用者终端10的画面显示例。

在利用者终端10的画面上通过接收到来自信息管理服务器12的控制指令的控制部104显示“扫描您的状态，请将脸部朝向摄像机”的消息。在脉搏的情况下显示“扫描您的状态，请将手指置于摄像机上”等消息，在声音的情况下显示“扫描您的状态，请接通传声器”等消息。

图14表示S403、S503或S603的处理中的利用者终端10的画面显示例。与“是否要向不能公开的人公开信息？”的消息一同显示“存在危险性，因此取消”、“否”的2个触摸按钮70。权限利用者通过操作这2个触摸按钮70中的任一个来回答，获取该回答后的生体信息并发送至信息管理服务器12。

另外，也可以代替上述消息而利用“接触不能向第三者公开的重要信息。是否要向不能公开的人公开信息？”的消息来强调是重要信息。

若在权限利用者意图向第三者泄露重要信息时操作2个触摸按钮70中的“否”触摸按钮的情况下，相当于权限利用者在说谎，因此其心理状态能够反映在生体信息中。

并且，也可以除了显示上述消息以外，还显示权限利用者的近亲或朋友的信息，并且通过显示若信息泄露行为曝露则会对这些人带来坏影响的内容来呼吁权限利用者的道德或罪恶感。例如，如图15所示，与“是否要向不能公开的人公开信息？信息泄露会对身边的人带来重大影响”等消息一同显示亲人或朋友的照片80。已知对他人带来损失时可抑制不正当行为，因此通过显示这种照片80，心理状态能够更明显地反映在生体信息中。

除了显示亲人或朋友的照片80以外，还可以显示在工作单位维持特别良好的关系的同事的照片。维持良好关系的同事能够通过分析基于问卷调查的他人评价等日常业务评价结果来获取。也可以显示因信息泄露而无法维持健全生活的漫画图像。

接着，对有信息泄露行为的可能性时的信息输出的抑制处理进行说明。

图16表示信息输出的抑制处理的详细流程图。是图7的S105、图8的S206或图9的S307的处理。

首先，信息管理服务器12判定管理者终端14是否与通信线路16连接(S701)。若与通信线路16连接，则将利用者终端10的信息、例如利用者终端10的ID、操作利用者终端10的权限利用者的姓名或ID、欲显示的信息通知给管理者终端14，由此向管理者通知有信息泄露行为的可能性(S702)。若在管理者终端14中接收该通知，则显示预先设定的警告(S703)。警告显示例如为“在据点外对重要信息发生了不正当行为的可能性大的接触”等。

另一方面，当管理者终端14与通信线路16未连接时，将利用者终端10的信息暂时存储于存储装置12f(S704)，在管理者终端14与通信线路16连接时从存储装置12f读出并进行通知。

另外，当向管理者终端14通知时，信息管理服务器12可以向利用者终端10输出控制指令并使其显示部显示向管理者通知的内容。例如，在利用者终端10的画面上显示“怀疑信息泄露行为，因此已向管理者通知”的消息等。

接收到通知的管理者对权限利用者采取必要措施，但对特定的权限利用者已通知多次警告时，可以考虑对该权限利用者彻底进行安全教育指导、剥夺权限等措施。还可以考虑根据警告次数阶段性地降低可接触等级。

在图16的处理中向管理者进行了通知，但根据信息的重要度也可以变更应通知的管理者终端14。例如，当信息的重要度特别高时，向具有更高位的权限的管理者的终端通知等。并且，也可以代替向管理者的通知或者进行该通知的同时抑制利用者终端10的显示本身。

图17是此时的详细流程图。

当判定为有信息泄露行为的可能性时，信息管理服务器12向利用者终端10输出控制指令，利用者终端10的控制部104根据控制指令掩盖利用者终端10的画面或者显示与重要信息不同的其他信息来取代(S801)。然后，与图16同样地，向管理者终端14通知(S802～S805)。

图18表示利用者终端10的画面例。

如图18的(a)那样，当显示重要信息而有信息泄露行为的可能性时，如图18的(b)那样，将画面涂黑(消隐)来进行掩盖。或者，如图18的(c)那样，显示其他画面(例如一般的风景照片)。由此，可更有效地抑制信息泄露。

图18中，当有信息泄露行为的可能性时，将画面一概掩盖或者用其他信息来取代，但当画面上显示有重要信息和非重要信息时，仅将显示有重要信息的部分掩盖或者用其他信息来取代。并且，也可以仅在第三者实际辨认画面时进行掩盖或者用其他信息来取代。

图19及图20表示此时的画面例。图19是存在于利用者终端10附近的第三者60未辨认画面的情况，重要信息直接被显示。另一个面，图20是第三者60辨认画面的情况，重要信息被其他信息取代。关于第三者60是否辨认画面，与图9的S304的处理同样地，能够以第三者60的脸部的方向或视线方向来判定。

以上，对本发明的实施方式进行了说明，但本发明并不限定于此，能够进行各种变形。以下，对变形例进行说明。

＜变形例1＞

实施方式中，如图1所示，利用者终端10和信息管理服务器12单独存在并由通信线路16连接，但也可以将利用者终端10和信息管理服务器12设为一体。在该情况下，利用者终端10作为信息管理装置发挥功能。

图21表示变形例的系统结构。利用者终端10与管理者终端14经由通信线路16连接。利用者终端10还作为信息管理服务器12发挥功能，当通过权限利用者的操作而显示重要信息时获取生体信息，并使用所获取的生体信息来评价信息泄露行为的可能性，当有信息泄露的可能性时抑制信息输出。

图22表示变形例的利用者终端10的功能块图。是将图2所示的功能块和图3所示的功能块统合在一起的图。控制部104具备生体信息获取要否判定部、信息泄露行为判定部及信息输出控制部，使用利用者终端10的位置数据或信息的重要度来判定获取生体信息的必要性，当有获取生体信息的必要性时，获取生体信息并评价信息露出行为的可能性。并且，当有信息泄露行为的可能性时，经由通信线路16向管理者终端14通知，控制显示部100将重要信息掩盖或者取代为其他信息。

存储部102中与图3的存储装置12f同样地存储利用者信息表、基准值数据、重要信息数据。除此以外，能够存储据点的位置数据或应取代的其他信息的数据。并且，当与管理者终端14的通信线路16被切断时，存储部102中临时存储用于向管理者终端14通知的利用者终端10的信息。

＜变形例2＞

实施方式中，当所获取的生体信息脱离基准值时认为有信息泄露行为的可能性而抑制了信息输出，但也可以在其后所获取的生体信息落入正常范围内时解除信息输出的抑制。例如，如图18所示，当所获取的生体信息脱离基准值时认为有信息泄露行为的可能性而由图18的(a)的画面转变为图18的(b)的画面，但也可以在其后所获取的生体信息落入正常范围内时由图18的(b)的画面再次转变为图18的(a)的画面。

并且，图20中，当第三者60辨认利用者终端10的画面时抑制了信息输出，但也可以在第三者60从附近消失时由图20的画面转变为图19的画面。

＜变形例3＞

实施方式中，当所获取的生体信息脱离基准值时认为有信息泄露行为的可能性而抑制了信息输出，但也可以在获取生体信息的过程中利用者终端10发生移动时一概抑制信息输出。

＜变形例4＞

实施方式中，获取利用者终端10的位置数据来判定了是否从据点外接触，但也可以管理确保了安全性的房间的入房退房，当从该房间退出时判定为从据点外接触。

并且，即使从据点外接触，该据点外的区域如果是原本就可允许重要信息的显示的区域，则可以判定为没有获取生体信息的必要性。具体而言，是据点外的区域为关于重要信息已经签订了保密协议(NDA)的企业所在地等的情况。这些信息能够与据点的位置数据一同存储于存储装置12f或存储部102。使用权限利用者的日程数据，当操作利用者终端10的时间内的权限利用者的日程表示到已经签订保密协议(NDA)的公司办事时，能够判定为据点外的区域是已经签订保密协议(NDA)的公司所在地。

＜变形例5＞

实施方式中，当第三者存在于利用者的附近时获取了生体信息，但还存在权限利用者的上司等时，认为进行信息泄露行为的可能性相对低，因此可以判定为没有获取生体信息的必要性。关于是否存在权限利用者的上司等，能够利用该上司所操作的终端的位置数据。即，若利用者终端10与上司终端的位置在一定距离以内，则能够判定为附近存在上司。也可以使用权限利用者及其上司的日程数据来判定上司存在于附近。

＜变形例6＞

实施方式中，当从据点外接触了重要信息时等获取了生体信息，但当权限利用者接触了重要信息时，也可以与权限利用者是否在据点外无关地，获取权限利用者的生体信息，并使用所获取的生体信息来评价信息泄露行为的可能性，当有信息泄露的可能性时抑制信息输出。

＜变形例7＞

实施方式中，当从据点外接触了重要信息时等获取了生体信息，但还可以设置能够由权限利用者停止使用利用者终端10获取生体信息的操作单元。例如，在画面上显示“停止获取生体信息”的触摸按钮来接收权限利用者的操作等。

但是，例如优选即使接收到这种操作单元的操作，也仅在至今为止所获取的生体信息落在正常范围内时停止生体信息的获取，当脱离正常范围时，忽视停止操作而维持生体信息的获取。

图23表示此时的整体处理流程图。设为图21及图22所示的变形例的结构来进行说明。

首先，利用者终端10获取安全等级(S901)。具体而言，获取由权限利用者操作时的利用者终端10的位置数据。

接着，利用者终端10使用所获取的位置数据来判定权限利用者是否从据点外接触了重要信息(S902)。利用所输入的用户ID及密码来判定是否为权限利用者的操作。通过对通过权限利用者的操作显示于利用者终端10的信息与存储于存储部102的重要信息数据进行核对来判定是否为重要信息。通过对所获取的位置数据与存储于存储部102的据点的位置数据进行核对来判定是否为从据点外的接触。

当判定为权限利用者从据点外接触了重要信息时(在S902中“是”)，利用者终端10认为需要获取权限利用者的生体信息而获取权限利用者的生体信息(S903)。生体信息例如通过用利用者终端10的摄像机拍摄权限利用者的脸部图像而获取。

在获取生体信息之后，利用者终端10判定是否有生体信息获取的停止操作(S904)。若没有停止操作(在S904中“否”)，则利用者终端10对所获取的生体信息与存储于存储部102的基准值数据进行核对，并通过判定权限利用者的心理状态是否在正常范围内来判定信息泄露行为的可能性(S905)。当所获取的生体信息相对于基准值脱离一定比例以上而不在正常范围内时，认为有信息泄露行为的可能性而执行信息输出的抑制处理(S906)。例如，将所获取的脸部图像的左右对称性与基准值进行比较，若与基准值相比对称性不同一定比例以上，则认为不在正常范围内而执行信息输出的抑制处理。

另一方面，当有生体信息获取的停止操作时(在S904中“是”)，利用者终端10对至今为止所获取的生体信息与存储于存储部102的基准值数据进行核对，并通过判定权限利用者的心理状态是否在正常范围内来判定信息泄露行为的可能性(S907)。当所获取的生体信息相对于基准值脱离一定比例以上而不在正常范围内时，认为有信息泄露行为的可能性(在S907中“是”)并忽视停止操作而继续执行S905及S906的处理。若在正常范围内(在S907中“否”)，则根据停止操作来停止生体信息的获取(S908)。

另外，也可以接收操作单元的操作，认为至今为止所获取的生体信息落入正常范围内而停止了生体信息的获取时，认为无法判定信息泄露行为的可能性而一概抑制信息输出。

＜变形例8＞

实施方式中，作为信息输出的抑制处理，例示出了向管理者的通知、画面的掩盖、取代为其他画面，但除了这些以外，也能够闪烁画面、输出大音量、锁定利用者终端10的操作、拍摄不具有权限的第三者的脸部图像并存储于存储装置12f并且显示其内容的同时以声音输出、给存在权限利用者及第三者的房间上锁等。

＜变形例9＞

实施方式中，如图3所示，由信息管理服务器12的控制部202实现了生体信息获取要否判定部、信息泄露行为判定部及信息输出控制部，但也可以由利用者终端10的控制部104实现这些功能块中的任一个。具体而言，可以用利用者终端10的控制部104来实现生体信息获取要否判定部及信息输出控制部，用信息管理服务器12来实现信息泄露行为判定部。在该情况下，成为如下结构：在利用者终端10中获取生体信息并发送至信息管理服务器12，在信息管理服务器12中判定信息泄露行为的可能性并将其结果回信给利用者终端10，在利用者终端10中根据判定结果来抑制信息输出。

上述本发明的实施方式是以例示及说明为目的而提供的。另外，本发明的实施方式并不全面详尽地包括本发明，并且并不将本发明限定于所公开的方式。很显然，对本发明所属的领域中的技术人员而言，各种变形及变更是自知之明的。本实施方式是为了最容易理解地说明本发明的原理及其应用而选择并说明的。由此，本技术领域中的其他技术人员能够通过对假定为各种实施方式的特定使用最优化的各种变形例来理解本发明。本发明的范围由以上的权利要求书及其等同物来定义。

Claims (22)

1.一种信息管理装置，其具备：

获取单元，获取能够确定具有对信息的特定操作的权限的利用者的所述特定操作时的心理状态的生体信息；及

控制单元，当由所获取的所述生体信息确定的所述心理状态不在预先设定的正常范围内时，以抑制所述信息的输出的方式进行控制。

2.根据权利要求1所述的信息管理装置，其中，

所述获取单元在从接收将所述信息显示于显示部的操作之后到接收结束该显示的操作为止的期间获取所述生体信息。

3.根据权利要求2所述的信息管理装置，其中，

所述获取单元在显示着所述信息中不应公开于第三者的信息的期间获取所述生体信息。

4.根据权利要求1所述的信息管理装置，其具备指示停止通过所述获取单元获取所述生体信息的操作单元。

5.根据权利要求4所述的信息管理装置，其中，

当由所述生体信息确定的所述心理状态在预先设定的正常范围内时，所述获取单元根据由所述操作单元发出的停止指示来停止所述生体信息的获取。

6.根据权利要求4所述的信息管理装置，其中，

当根据来自所述操作单元的停止指示由所述获取单元停止了生体信息的获取时，所述控制单元抑制所述信息的输出。

7.根据权利要求1所述的信息管理装置，其中，

当不具有对所述信息的特定操作的权限的第三者存在于所述利用者的附近时，所述获取单元获取所述生体信息。

8.根据权利要求7所述的信息管理装置，其中，

当所述第三者辨认到显示所述信息的显示部时，所述获取单元获取所述生体信息。

9.根据权利要求1所述的信息管理装置，其中，

所述控制单元通过掩盖所述信息来抑制所述信息的输出。

10.根据权利要求9所述的信息管理装置，其中，

当不具有对所述信息的特定操作的权限的第三者存在于所述利用者的附近时，所述控制单元通过掩盖所述信息来抑制所述信息的输出。

11.根据权利要求10所述的信息管理装置，其中，

当所述第三者辨认到显示所述信息的显示部时，所述控制单元通过掩盖所述信息来抑制所述信息的输出。

12.根据权利要求1所述的信息管理装置，其中，

所述控制单元通过代替所述信息而输出其他信息来抑制所述信息的输出。

13.根据权利要求12所述的信息管理装置，其中，

当不具有对所述信息的特定操作的权限的第三者存在于所述利用者的附近时，所述控制单元通过代替所述信息而输出所述其他信息来抑制所述信息的输出。

14.根据权利要求1所述的信息管理装置，其中，

当所述心理状态从正常范围外转移到正常范围内时，所述控制单元解除所述信息的输出的抑制。

15.根据权利要求10或13所述的信息管理装置，其中，

当不存在所述第三者时，所述控制单元解除所述信息的输出的抑制。

16.根据权利要求10或13所述的信息管理装置，其中，

当所述第三者不再辨认显示所述信息的显示部时，所述控制单元解除所述信息的输出的抑制。

17.根据权利要求1所述的信息管理装置，其中，

当输出所述信息的终端发生移动时，所述控制单元抑制所述信息的输出。

18.根据权利要求1所述的信息管理装置，其中，

所述控制单元通过对管理者发出通知来抑制所述信息的输出。

19.根据权利要求1所述的信息管理装置，其中，

所述控制单元根据所述利用者的所述特定操作来对所述利用者通知所述生体信息的获取。

20.根据权利要求19所述的信息管理装置，其中，

所述通知中包含由信息外流引起的风险和与所述利用者具有一定的关系的人的信息中的至少任一个。

21.一种存储介质，其存储使计算机执行以下步骤的程序：

获取能够确定具有对信息的特定操作的权限的利用者的所述特定操作时的心理状态的生体信息的步骤；及

当由所获取的所述生体信息确定的所述心理状态不在预先设定的正常范围内时，以抑制所述信息的输出的方式进行控制的步骤。

22.一种信息管理方法，其包括如下步骤：

获取步骤，获取能够确定具有对信息的特定操作的权限的利用者的所述特定操作时的心理状态的生体信息；及

控制步骤，当由所获取的所述生体信息确定的所述心理状态不在预先设定的正常范围内时，以抑制所述信息的输出的方式进行控制。