JP2008026984A - 管理サーバおよび管理プログラム - Google Patents

Abstract

【課題】効率的な処理によって、保護対象情報を含むファイルの探査を確実に行い、個人情報や機密情報の不用意な流出・漏洩や不正利用などを確実に防止する。
【解決手段】利用者端末１０と管理対象ファイルとが管理サーバ２０によって管理され、管理サーバ２０によって管理されている管理対象ファイルに対するアクセス頻度が基準値以上の利用者端末１０が認識されると、その利用者端末１０に対して探査プログラムを自動的かつ強制的にインストールする。このとき、管理対象ファイルに対するアクセス頻度が基準値未満の利用者端末１０は自端末内に保護対象情報を蓄積している可能性が低いものとみなし、その利用者端末１０に対する探査プログラムのインストールは行なわない。なお、基準値は利用者端末１０の所在位置に応じて変更される。
【選択図】図１

Description

本発明は、パーソナルコンピュータ等の情報処理装置（利用者端末，サーバ等）を管理するとともに、その情報処理装置を備えたシステムにおいて、個人情報や機密情報などの保護対象情報にかかる要素を所定数以上有しているファイルを管理対象として管理する技術に関する。

近年、個人情報の保護の意識の高まりに伴い、個人情報の不用意な流出・漏洩や個人情報の不正利用などを確実に防止することが望まれている。特に、個人情報保護法の施行に伴って、個人情報取扱事業者は、個人情報の流出・漏洩や不正利用をより確実に防止する必要が生じている。ここで、個人情報とは、単体もしくは組合せによって特定の個人を識別することのできる情報で、例えば氏名，生年月日，連絡先（住所，居所，電話番号，電子メールアドレス等）などが含まれる。各種企業内で保存されて取り扱われる顧客情報，取引先情報などが個人情報に該当する場合が多い。

このような個人情報は、当然、企業にとっては秘匿性の高い機密情報に該当するが、企業にとっての機密情報としては、個人情報のほかにも、発表前の新製品，特許出願前の技術，経営戦略などに係る情報が該当する。なお、システム監査学会によれば、機密情報とは、情報資産の中で、許可した者以外に開示したり、目的外に利用された場合、経営資源としての価値を損なうおそれのある情報と定義されている。

上述のような個人情報や機密情報の流出・漏洩や不正利用を確実に防止するためには、集中管理システムを導入し、これらの個人情報や機密情報を一元的に管理することが望ましい。しかしながら、現実には、企業内において、顧客情報，取引先情報などの個人情報は、社員個人によって利用される複数の利用者端末〔パーソナルコンピュータ（以下、ＰＣと略記する場合がある）〕や各部署のサーバに、ばらばらに分散して保存されている場合が多い。より具体的には、個々の社員が各自の業務都合で自分のＰＣに個人情報（顧客情報等）を保存していたり、中央データベース、あるいは、各社員によって独自に収集された個人情報のサブセットがＰＣにまちまちに存在していたりする。

このため、上記集中管理システムを構築する場合、管理者は、まず最初に、企業内にばらばらに存在する個人情報や機密情報の洗い出しを行ない、企業内のどこにどのような個人情報や機密情報が存在しているかを把握する必要があるが、個人情報や機密情報の洗い出しは、管理者が各社員に指示し人間対人間で全社・全部門の人的な協力を得て行なわれることになる。

なお、例えば下記特許文献１においては、個人情報保護法の施行に伴い、個人情報の流出・漏洩や不正利用を防止する個人情報保護サービスを提供するための技術「個人情報保護サービス事業の処理方法および装置」が提案・開示されている。この特許文献１では、個人情報を不適切に取得した企業を特定して警告することができ、且つ、適正に取得した企業から個人情報が不正に流出することを防止できるようにするための技術が開示されているが、上述のごとく企業内で個人情報が分散して存在している場合の対処については開示されていない。

また、例えば下記特許文献２では、コンピュータシステムや、その他のデータ処理機器もしくはシステムにおいて、ファイルの不正複写を防止するためのファイル複写管理技術が開示され、特に、ファイルに格別の複写禁止措置を講じることなく、特定言語で記述さ
れたソースコード・ファイルや特定のファイル形式のマルチメディアデータ・ファイルなどの不正複写を防止するための技術が開示されているが、上述のごとく企業内で個人情報が分散して存在している場合の対処については開示されていない。

さらに、例えば下記特許文献３においては、統合内部情報流出防止システムが開示されており、特に、出力装置および移動可能格納装置を通じたオフライン情報流出と、通信プログラムによるオンライン情報流出とを根本的に防止および監視することで、組織内部システムから重要情報が流出するのを防止するための技術が開示されているが、やはり、上述のごとく企業内で個人情報が分散して存在している場合の対処については開示されていない。
特開２００２−１８３３６７号公報 特開２００１−３５０６７１号公報 特表２００３−５３５３９８号公報

上述のごとく各社員からの申告といった人的な協力のもとで個人情報や機密情報の洗い出しを行なうと、手間がかかるだけでなく全ての個人情報や機密情報を確実に漏れなく洗い出すのは困難になる。特に、個人情報や機密情報の分散化が進んでいると、個人情報や機密情報の洗い出しは極めて困難になる。また、社内ＬＡＮ（Local Area Network）等のネットワークに接続された全ての利用者端末を対象にして個人情報や機密情報の洗い出しを行なうとなると、多大な労力を要することになるため、個人情報や機密情報の洗い出しを効率的に行なえるようにすることが望まれている。

また、電子情報ファイルを取り扱う利用者端末（ＰＣ）は、どこへでも持ち運ぶことが可能であり、もちろん、輸出規制対象国〔例えばキャッチオール規制の対象とならないホワイト国（２００６年５月現在で２６カ国）以外の国〕や、利用者の所属する企業が許可しない国／地域に持ち込むことも可能である。そのような国や地域で、輸出規制対象の技術等に関連する技術者の個人情報ファイルを開いて閲覧したりすることは、輸出規制対象の技術等が輸出規制対象国や地域で流出する機会を生じさせることになるため好ましくない。従って、予め規定された国や地域において、特定の個人情報ファイルの開封を禁止できるようにすることが望まれている。

本発明は、このような状況に鑑み創案されたもので、効率的な処理によって、保護対象情報を含む電子情報ファイルの探査を確実に行なえるようにして、個人情報や機密情報の不用意な流出・漏洩や不正利用などを確実に防止することを目的としている。

また、本発明は、このような状況に鑑み創案されたもので、特定の個人についての個人情報を利用する利用者に対し、その利用者あるいは利用者所在位置において適した内容の電子情報ファイルを取り扱いできるようにして、個人情報の不用意な流出・漏洩や個人情報の不正利用などを確実に防止し、個人情報の保護を実現することを目的としている。

上記目的を達成するための本発明は、以下に列記するように構成されている。
（１）請求項１記載の発明は、ネットワークを介して利用者端末と相互に通信可能に接続され該利用者端末を管理するとともに、保護対象情報に係る要素を所定数以上保有しているファイルを管理対象ファイルとして管理する管理サーバであって、該利用者端末による該管理対象ファイルに対するアクセスのログを収集するログ収集手段と、該ログ収集手段によって収集されたログに基づいて、該利用者端末の該管理対象ファイルに対するアクセス頻度を算出するアクセス頻度算出手段と、該アクセス頻度算出手段によって算出され
た該アクセス頻度が基準値以上であるか否かを判定するアクセス頻度判定手段と、前記利用者端末の所在位置を検出する端末位置検出手段と、前記端末位置検出手段によって検出された前記利用者端末の所在位置に応じて、前記基準値を変更する基準値変更手段と、該アクセス頻度判定手段によって該利用者端末の該管理対象ファイルに対するアクセス頻度が基準値以上であると判定された場合、該保護対象情報に係る要素を所定数以上保有しているファイルを当該利用者端末によって自己探査させる探査プログラムを、該ネットワークを介して当該利用者端末にインストールするインストール手段と、該ネットワークを介して、該利用者端末で実行された自己探査結果を収集する探査結果収集手段と、該アクセス頻度算出手段によって算出された該アクセス頻度、および、該探査結果収集手段によって収集された自己探査結果に基づいて、該利用者端末を管理する管理手段と、該利用者端末による該管理対象ファイルに対してアクセスした時点における該利用者端末の所在位置を検出する位置検出手段と、該位置検出手段によって検出された前記所在位置に応じて前記基準値を変更する基準値変更手段と、を備えて構成されたことを特徴とする管理サーバである。

（２）請求項２記載の発明は、前記管理手段は、該探査結果収集手段によって収集された自己探査結果に基づいて、該利用者端末において探査された該ファイルを該管理対象ファイルとして取り扱う、ことを特徴とする請求項１記載の管理サーバである。

（３）請求項３記載の発明は、前記管理手段は、該アクセス頻度算出手段によって算出された該アクセス頻度、もしくは、前記端末位置情報検出手段によって検出された前記所在位置の少なくとも一方に応じて、該利用者端末からの管理対象ファイルの流出を防止するための、該利用者端末におけるセキュリティレベルを設定し、該セキュリティレベルに応じた動作制限を該利用者端末に実行させる、ことを特徴とする請求項１または請求項２に記載の管理サーバである。

（４）請求項４記載の発明は、前記管理手段は、該アクセス頻度判定手段によって該管理対象ファイルに対するアクセス頻度が基準値以上であると判定された利用者端末、あるいは、前記端末位置情報検出手段によって検出された前記所在位置が所定の条件を満たさない利用者端末については該セキュリティレベルを高く設定して該利用者端末の動作制限を厳格化する一方、該アクセス頻度判定手段によって該アクセス頻度が基準値未満であると判定された利用者端末については該セキュリティレベルを低く設定して該利用者端末の動作制限を解除もしくは緩和する、ことを特徴とする請求項３記載の管理サーバである。

（５）請求項５記載の発明は、暗号化された管理対象ファイルが前記利用者端末側で開封される際に、前記利用者端末から開封要求として復号鍵送信要求を受信し、前記復号鍵送信要求を受信した時点における前記利用者端末の所在位置を検出し、この所在位置が予め定められた所定条件を満たしているか否かを判定し、前記所在位置が前記所定条件を満たしていると判定された場合に前記利用者端末での前記管理対象ファイルの開封を許可する一方、前記所在位置が前記所定条件を満たしていないと判定された場合に前記利用者端末での前記管理者対象ファイルの開封を禁止する制御を行う、ことを特徴とする請求項１〜請求項４のいずれかに記載の管理サーバである。

（６）請求項６記載の発明は、ネットワークを介して利用者端末と相互に通信可能に接続され該利用者端末を管理するとともに、保護対象情報に係る要素を所定数以上保有しているファイルを管理対象ファイルとして管理する管理サーバとして、コンピュータを機能させる管理プログラムであって、該利用者端末による該管理対象ファイルに対するアクセスのログを収集するログ収集手段、該ログ収集手段によって収集されたログに基づいて、該利用者端末の該管理対象ファイルに対するアクセス頻度を算出するアクセス頻度算出手段、該アクセス頻度算出手段によって算出された該アクセス頻度が基準値以上であるか否
かを判定するアクセス頻度判定手段、前記利用者端末の所在位置を検出する端末位置検出手段、前記端末位置検出手段によって検出された前記利用者端末の所在位置に応じて、前記基準値を変更する基準値変更手段、該アクセス頻度判定手段によって該利用者端末の該管理対象ファイルに対するアクセス頻度が基準値以上であると判定された場合、該保護対象情報に係る要素を所定数以上保有しているファイルを当該利用者端末によって自己探査させる探査プログラムを、該ネットワークを介して当該利用者端末にインストールするインストール手段、該ネットワークを介して、該利用者端末で実行された自己探査結果を収集する探査結果収集手段、および、該アクセス頻度算出手段によって算出された該アクセス頻度、および、該探査結果収集手段によって収集された自己探査結果に基づいて、該利用者端末を管理する管理手段、として該コンピュータを機能させる、ことを特徴とする管理プログラムである。

（７）請求項７記載の発明は、前記管理手段は、該探査結果収集手段によって収集された自己探査結果に基づいて、該利用者端末において探査された該ファイルを該管理対象ファイルとして取り扱うように、該コンピュータを機能させる、ことを特徴とする請求項６記載の管理プログラムである。

（８）請求項８記載の発明は、前記管理手段は、該アクセス頻度算出手段によって算出された該アクセス頻度、もしくは、前記端末位置情報検出手段によって検出された前記所在位置の少なくとも一方に応じて、該利用者端末からの管理対象ファイルの流出を防止するための、該利用者端末におけるセキュリティレベルを設定し、該セキュリティレベルに応じた動作制限を該利用者端末に実行させるように、該コンピュータを機能させる、ことを特徴とする請求項６または請求項７に記載の管理プログラムである。

（９）請求項９記載の発明は、前記管理手段は、該アクセス頻度判定手段によって該管理対象ファイルに対するアクセス頻度が基準値以上であると判定された利用者端末、あるいは、前記端末位置情報検出手段によって検出された前記所在位置が所定の条件を満たさない利用者端末については該セキュリティレベルを高く設定して該利用者端末の動作制限を厳格化する一方、該アクセス頻度判定手段によって該アクセス頻度が基準値未満であると判定された利用者端末については該セキュリティレベルを低く設定して該利用者端末の動作制限を解除もしくは緩和するように、該コンピュータを機能させる、ことを特徴とする請求項８記載の管理プログラムである。

（１０）請求項１０記載の発明は、前記管理手段は、暗号化された管理対象ファイルが前記利用者端末側で開封される際に、前記利用者端末から開封要求として復号鍵送信要求を受信し、前記復号鍵送信要求を受信した時点における前記利用者端末の所在位置を検出し、この所在位置が予め定められた所定条件を満たしているか否かを判定し、前記所在位置が前記所定条件を満たしていると判定された場合に前記利用者端末での前記管理対象ファイルの開封を許可する一方、前記所在位置が前記所定条件を満たしていないと判定された場合に前記利用者端末での前記管理者対象ファイルの開封を禁止する制御を行う、ように該コンピュータを機能させる、ことを特徴とする請求項６乃至請求項９のいずれかに記載の管理プログラムである。

また、該管理手段が、該利用者端末の動作制限として、外部アクセス禁止，外部記憶媒体へのデータ書き出し禁止，社外へのメール送信禁止，添付ファイルの暗号化管理のうちの少なくとも一つを該利用者端末に実行させてもよい。

さらに、上記管理サーバにおいて、該管理手段が、該アクセス頻度算出手段によって算出された該アクセス頻度に応じて、該管理対象ファイルに対するアクセス状況に関する公開情報を作成し、作成された該公開情報を公開してもよい。その際、該管理手段が、該ア
クセス頻度判定手段によって該利用者端末の該管理対象ファイルに対するアクセス頻度が基準値以上であると判定された場合、該公開情報の作成・公開を行なってもよく、また、該公開情報として、該管理対象ファイルのファイル名と、該管理対象ファイルに対してアクセスを行なった利用者端末を特定しうる情報と、当該利用者端末の所有者を特定しうる情報とが含まれていてもよし、該利用者端末における該管理対象ファイルの数の集計結果が含まれていてもよいし、該管理対象ファイルに対するアクセスの数の集計結果が含まれていてもよい。

なお、該保護対象情報が個人情報であり、該探査プログラムが、該利用者端末の記憶部におけるデータの中から特定の個人を識別可能な個人情報要素を所定数以上保有しているファイルつまり個人情報ファイルを探査する探査手段として、該利用者端末を機能させてもよい。

その際、該探査手段が、判定対象ファイルに含まれるテキストデータを抽出する抽出手段と、該抽出手段によって抽出されたテキストデータから、区切り文字によって区切られた文字区間を切り出す切出手段と、該切出手段によって切り出された文字区間における文字列が、予め設定された電話番号判定条件，電子メールアドレス判定条件および住所判定条件のいずれか一つを満たすか否かの判定を行なうことにより、氏名以外の個人情報要素である電話番号，電子メールアドレスおよび住所のうちのいずれか一つに該当するか否かを判定する第１判定手段と、該第１判定手段によって電話番号，電子メールアドレス，住所のいずれにも該当しないと判定された文字区間における文字の数が所定範囲内であり且つ同文字区間における文字が漢字であるか否かを判定する文字判定手段と、該文字判定手段によって前記所定範囲内であり且つ漢字であると判定された文字区間について、当該文字区間に含まれる文字もしくは文字列と氏名において出現し得ない漢字もしくは漢字列として予め設定された不適切文字もしくは不適切文字列とを照合することにより、当該文字区間が前記の不適切文字もしくは不適切文字列を含むか否かを判定する照合手段と、該第１判定手段によって電話番号，電子メールアドレスおよび住所のうちのいずれか一つに該当すると判定された文字区間の数と該照合手段によって前記の不適切文字もしくは不適切文字列を含まないと判定された文字区間の数とをそれぞれ計数し、その計数結果に基づいて、当該判定対象ファイルが個人情報ファイルであるか否かを判定する第２判定手段とを備えて構成されていてもよい（請求項７）。

また、本発明の管理プログラムは、ネットワークを介して利用者端末と相互に通信可能に接続されこの利用者端末を管理するとともに、保護対象情報に係る要素を所定数以上保有しているファイルを管理対象ファイルとして管理する管理サーバとして、コンピュータを機能させるものであって、それぞれ、上述した管理サーバとしての機能を実現させるものである。

本発明によれば、以下に列記するような効果を得ることができる。
（１）請求項１と請求項６との発明によれば、管理サーバの管理範囲に含まれる、利用者端末と管理対象ファイル（保護対象情報に係る要素を所定数以上保有しているファイル）とが管理サーバによって管理され、管理サーバによって管理されている管理対象ファイルに対するアクセス頻度が基準値以上の利用者端末が認識されると、その利用者端末には保護対象情報を含むファイルが保有されている可能性が高いものとみなし、その利用者端末に対して探査プログラムが自動的かつ強制的にインストールされる。このとき、管理対象ファイルに対するアクセス頻度が基準値未満の利用者端末は自端末内に保護対象情報を蓄積している可能性が低いものとみなし、その利用者端末に対する探査プログラムのインストールは行なわない。

なお、利用者端末の所在位置を検出して、検出された利用者端末の所在位置に応じて基準値を変更することで、特定の個人についての個人情報を利用する利用者に対し、その利用者あるいは利用者所在位置において適した内容の電子情報ファイルを取り扱いできるようにして、たとえば、社内や国内など安定した所在位置の場合には基準を緩やかにすると共に、社外や遠隔地や国外など管理が難しい所在位置の場合には基準を厳格化することで、個人情報の不用意な流出・漏洩や個人情報の不正利用などを確実に防止し、個人情報の保護を実現することが可能になる。

（２）請求項２と請求項７とに記載の発明では、探査プログラムをインストールされた利用者端末において探査プログラムが自動的かつ強制的に実行されることにより、保護対象情報（個人情報や機密情報）に係る要素を所定数以上保有しているファイル（個人情報ファイルや機密情報ファイルなどの管理対象ファイル）が自己探査され、その自己探査結果が管理サーバに収集される。つまり、管理対象ファイルにアクセスし自端末内に保護対象情報を蓄積した可能性の高い利用者端末において、保護対象情報を含むファイルの自己探索が強制的に実行され、そのようなファイルを管理サーバの管理下に置くとともに、その自己探索結果や管理対象ファイルに対するアクセス頻度に基づいて利用者端末を管理することができる。

これにより、保護対象情報を含むファイルが保有されている可能性が高い利用者端末については、自動的かつ強制的に探査プログラムがインストールされて個人情報ファイル／機密情報ファイル等の自己探査が行なわれ、探査された個人情報ファイル／機密情報ファイル等が直ちに管理サーバの管理下に置かれ、個人情報や機密情報の不用意な流出・漏洩や不正利用などを確実に防止することができる。また、保護対象情報を含むファイルが保有されている可能性が低い利用者端末については、探査プログラムのインストールや自己探査を行なわずに済むため、効率的な処理によって、保護対象情報を含むファイル（個人情報ファイルや機密情報ファイル等）の探査を確実に行なうことができ、個人情報や機密情報の不用意な流出・漏洩や不正利用などを確実に防止できる利点がある。

（３）請求項３と請求項８とに記載の発明では、管理対象ファイルに対するアクセス頻度、もしくは、利用者端末の所在位置の少なくとも一方に応じて利用者端末についてのセキュリティレベルを設定することにより、保護対象情報を含むファイルが保有されている可能性が高い利用者端末については動作制限を厳格化すると共に、上記可能性の低い場合には端末は動作制限を緩やかにして効率よく使用できる環境が提供されることになる。これにより、個人情報や機密情報の不用意な流出・漏洩や不正利用などをより確実に防止することができる。

なお、利用者端末の所在位置を検出して、検出された利用者端末の所在位置に応じてセキュリティレベを変更することで、特定の個人についての個人情報を利用する利用者に対し、その利用者あるいは利用者所在位置において適した内容の電子情報ファイルを取り扱いできるようにして、たとえば、社内や国内など安定した所在位置の場合には基準を緩やかにすると共に、社外や遠隔地や国外など管理が難しい所在位置の場合には基準を厳格化することで、個人情報の不用意な流出・漏洩や個人情報の不正利用などを確実に防止し、個人情報の保護を実現することが可能になる。

（４）請求項４と請求項９とに記載の発明では、管理対象ファイルに対するアクセス頻度に応じて利用者端末についてのセキュリティレベルを設定することにより、保護対象情報を含むファイルが保有されている可能性が高い利用者端末、つまりは、保護対象情報を含むファイル（管理対象ファイル）の不用意な流出・漏洩や不正利用などが発生する可能性の高い利用者端末についてはセキュリティレベルを高く設定して動作制限（外部アクセス禁止，外部記憶媒体へのデータ書き出し禁止，社外へのメール送信禁止，添付ファイル
の暗号化管理）が厳格化される一方でその可能性の低い利用者端末についてはセキュリティレベルを低く設定して動作制限が解除もしくは緩和される。

これにより、上記可能性の低い場合には端末を効率よく使用できる環境が提供されることになるので、利用者は、自発的に、自分の端末を上記可能性の低い状態に移行させるようになり、個人情報や機密情報の不用意な流出・漏洩や不正利用などをより確実に防止することができる。

（５）請求項５と請求項１０と記載の発明では、暗号化された管理対象ファイルが利用者端末側で開封される際に、利用者端末の所在位置を検出し、所在位置が所定条件を満たしていると判定された場合に利用者端末での管理対象ファイルの開封を許可する一方、所在位置が前記所定条件を満たしていないと判定された場合に利用者端末での管理者対象ファイルの開封を禁止する制御を行うことにより、個人情報を含む管理対象ファイルを利用する利用者に対し、その利用者あるいは利用者所在位置において適した内容の電子情報ファイルの取り扱い（開封）が可能になり、たとえば、社内や国内など安定した所在位置の場合には開封許可にすると共に、社外や遠隔地や国外など管理が難しい所在位置の場合には開封禁止のように基準を厳格化することで、個人情報の不用意な流出・漏洩や個人情報の不正利用などを確実に防止し、個人情報の保護を実現することが可能になる。

なお、以上の各発明において、管理対処ファイルに対するアクセス頻度に応じてアクセス状況の公開を行なうことにより、保護対象情報を含むファイルが保有されている可能性が高い利用者端末、つまりは、保護対象情報を含むファイル（管理対象ファイル）の不用意な流出・漏洩や不正利用などが発生する可能性の高い利用者端末については、管理対象ファイルに対するアクセス状況（例えば、管理対象ファイルのファイル名，利用者端末を特定しうる情報，利用者端末の所有者を特定しうる情報，管理対象ファイルの数の集計結果，管理対象ファイルに対するアクセスの数の集計結果など）が公開される。これにより、不正なアクセスが発覚しやすく不正行為を行ない難い環境が提供されることになり、個人情報や機密情報の不用意な流出・漏洩や不正利用などをより確実に防止することができる。

一方、保護対象情報が個人情報であり、特定の個人を識別可能な個人情報要素を所定数以上保有している個人情報ファイルを管理対象ファイルとして探査する場合、本発明の探査手段では、電話番号，電子メールアドレス，住所のいずれにも該当せず且つ不適切文字／不適切文字列を含む文字区間は、個人情報に関するものではないと見なされる一方、電話番号，電子メールアドレス，住所のいずれにも該当せず且つ不適切文字／不適切文字列を含まない文字区間は、氏名に関するものであると見なされる。

従って、電話番号，電子メールアドレス，住所のいずれか一つに該当すると判定された文字区間については、その判定がなされた時点で判定処理を終了し、電話番号，電子メールアドレス，住所のいずれにも該当しないと判定された文字区間についてのみ不適切文字／不適切文字列との照合処理が行なわれ、さらに、不適切文字／不適切文字列が一つでも文字区間に含まれると判定された時点で、その照合処理を終了させることができるので、氏名リストに含まれる全ての氏名文字列との照合を行なう手法に比べ、氏名の照合処理を高速に行なえ、つまりは個人情報ファイルの探査処理を高速に行なうことが可能になる。

また、不適切文字／不適切文字列を含まない文字区間を全て氏名に該当するものと見なすので、氏名についての不適切文字／不適切文字列を含まないファイル、即ち、氏名情報を含む可能性が高く個人情報ファイルである可能性の高いファイルを確実に探査することが可能になる。つまり、本発明の探査手段により個人情報ファイルであると判定されるファイルの数が多くなり、個人情報ファイルである可能性の高いファイル（疑わしいファイ
ル）を確実に洗い出すことができる。

さらに、文字区間の文字数が所定範囲内であって且つその文字区間の文字が全て漢字であるか否かを判定し、この文字判定条件を満たす文字区間のみを照合対象としているので、照合対象の文字区間が、より氏名の可能性の高い文字区間に絞り込まれることになり、氏名の照合精度を向上させることができるとともに、氏名の照合処理を高速に行なうことができる。また、文字数が所定範囲を超える長い文字区間が、照合対象から除外されるので、氏名の照合処理のさらなる高速化、つまりは個人情報ファイルの探査処理のさらなる高速化に寄与することになる。

以下、図面を参照して本発明の実施の形態を説明する。
〔１〕本実施形態の個人情報管理システムの構成：
図Ａは本発明の一実施形態としての個人情報管理システム（管理システム）の全体構成を示すブロック図であり、この図Ａに示すように、本実施形態の個人情報管理システム（管理システム）１は、複数の利用者端末１０のほかに管理サーバ２０を備えて構成され、これらの端末１０およびサーバ２０がネットワーク〔例えば、社内ＬＡＮ（Local Area Network）〕４０を介して相互に通信可能に接続されている。

各利用者端末１０は、企業等の社内において各社員（利用者）によって使用されるパーソナルコンピュータ（ＰＣ）等の端末装置によって構成され、個人情報ファイルの探査機能（後述）を実現するための探査プログラム（後述）を、後述するごとく管理サーバ２０からインストールされた場合の、利用者端末１０の詳細な機能構成については図１を参照しながら後述する。

本実施形態では、利用者端末１０がネットワーク４０に接続された時点では、その利用者端末１０には上記探査プログラムはインストールされていないものとするが、当初から上記探査プログラムがインストールされていてもよい。

そして、管理対象ファイル（本実施形態では個人情報ファイル）に対するアクセス頻度が、常時、予め定められた基準値未満である利用者端末１０に対しては、上記探査プログラムはインストールされていないが、後述するごとく、管理対象ファイルに対するアクセス頻度が上記基準値以上となった利用者端末１０に対しては、上記探査プログラムがインストールされ、利用者端末１０は、図１を参照しながら後述するような機能を備えることになる。

管理サーバ２０は、複数の利用者端末１０とネットワーク４０を介して相互に通信可能に接続され、各利用者端末１０を管理するとともに、保護対象情報（本実施形態では個人情報）に係る要素を所定数以上保有しているファイルを管理対象ファイル（個人情報ファイル）として管理するもので、図１を参照しながら後述するような機能構成を有しているほか、図３を参照しながら後述するような、ファイルアクセス管理サーバ（管理対象ファイルに対するアクセスを管理するサーバ）としての機能構成も有している。

本実施形態における管理対象ファイルとしての個人情報ファイルは、特定の個人を識別可能な個人情報要素を所定数以上保有していることを条件として、後述するごとく探査プログラムを実行することにより探査・特定されるものであり、個人情報は、前述した通り、単体もしくは組合せによって特定の個人を識別することのできる情報（各種個人情報要素）、例えば氏名，生年月日，連絡先（住所，居所，電話番号，メールアドレス）などを含むものである。なお、個人情報としては、これら以外に、役職名，住民基本台帳番号，口座番号，クレジットカード番号，免許証番号，パスポート番号なども挙げられる。

〔１−１〕本実施形態の管理サーバの機能構成：
図１は本実施形態の利用者端末１０と管理サーバ２０との機能構成を示すブロック図である。

この図１に示すように、管理サーバ２０は、各種処理を実行するＣＰＵ２１と、各利用者端末１０から収集される、利用者情報やアクセスログや個人情報ファイル探査結果などに関する情報を格納・保存するデータベース（ＲＤＢ：Relational DataBase）２０ｂと
、このデータベース２２に保存された各種情報や、後述する管理手段２１ｋによって集計・作成された公開情報を表示する表示部２３とを備えて構成されている。

ＣＰＵ２１は、利用者情報収集手段２１ａ，ログ収集手段２１ｂ，端末位置検出手段２１ｃ，基準値変更手段２１ｄ，アクセス頻度算出手段２１ｅ，基準値記憶手段２１ｆ，アクセス頻度判定手段２１ｇ，インストール手段２１ｈ，探査結果収集手段２１ｉ，管理コンソール２１ｊ，管理手段２１ｋ，表示制御手段２１ｍおよび送受信手段２１ｎ，としての機能を果たすものである。そして、以上の機能は、ＣＰＵ２１が管理プログラムを実行することによって実現される。

ここで、管理プログラムには、利用者端末１０を後述する探査手段１１０として機能させるべく利用者端末１０にインストールすべきプログラム（探査プログラム）も含まれているものとする。また、管理プログラムに、利用者端末１０を後述する動作制限手段１３として機能させるべく利用者端末１０にインストールすべきプログラムが含まれていてもよい。

利用者情報収集手段２１ａは、本システム１の立ち上げ時や、利用者端末１０がネットワーク４０に接続されたことを検知した時や、所定の周期毎に、ネットワーク４０および送受信手段２１ｎを介して通信可能に接続された利用者端末１０からＭＡＣアドレス等の利用者情報（ホスト情報）を収集し、当該利用者端末１０に、上記探査プログラムのほかに、当該利用者端末１０を外部記憶媒体５０用のドライブ１４（図１参照；後述）や暗号化手段／登録手段１５（図１参照；後述）として機能させるプログラムがインストールされているか否かを認識するものである。当該利用者端末１０を外部記憶媒体用ドライブ１４や暗号化手段／登録手段１５として機能させるプログラムのインストール状況は、後述するごとく管理手段２１ｋの処理で用いられるため、データベース２２に、当該利用者端末１０に対応付けられて登録・保存される。

なお、外部記憶媒体（図１の符号５０参照）としては、例えば、フレキシブルディスク，ＣＤ（Compact Disc），ＤＶＤ（Digital Versatile Disk），磁気ディスク，光ディスク，光磁気ディスク，メモリカード，ＵＳＢ（Universal Serial Bus）メモリ，外付けハードディスク等の各種記憶媒体が挙げられる。また、本実施形態では、利用者情報収集手段２１ａが、各利用者端末１０での閲覧禁止サイトへのアクセス回数についても利用者情報として収集し、各利用者端末１０に対応付けてデータベース２２に登録・保存するものとする。

ログ収集手段２１ｂは、各利用者端末１０による個人情報ファイル（管理対象ファイル）に対するアクセスのログを収集するものである。本実施形態では、ネットワーク４０を介して利用者端末１０に対して公開されているファイル（管理サーバ２０上に保存されているファイルや、ネットワーク４０に接続された他のサーバに保存されているファイル等）について、予め、後述する探査プログラムと同様のプログラムを管理サーバ２０や各サーバ等で実行することにより、個人情報ファイルが探査・特定されており、個人情報ファイルであると判定されたファイルには、個人情報ファイルであることを示すフラグ等が設
定されている。このようなフラグ等を設定されたファイル（個人情報ファイル）に対するアクセスが利用者端末１０によって行なわれた場合、アクセスを行なった利用者端末１０を特定しうる情報やアクセス種別などがアクセスログとして記録され、そのアクセスログがログ収集手段２１ｂによって収集されるようになっている。

そのアクセスログは、個人情報ファイルに対するアクセスが行なわれる都度、ログ収集手段２１ｂによって収集されてもよいし、そのアクセスログを、個人情報ファイルを保有しているサーバ上でアクセスログを蓄積しておき定期的な収集タイミング毎にログ収集手段２１ｂによって収集するようにしてもよく、本実施形態では後述のごとく定期的な収集タイミング毎に収集することにする。

ここで収集されるアクセスログは、アクセス種別やアクセス回数を含み、個人情報ファイルのファイル名や、その個人情報に対するアクセスを行なった利用者端末１０を特定しうる情報（ＰＣ名）や、その利用者端末１０の所有者を特定しうる情報（所有者名）と対応付けられて、データベース２２に登録・保存されるようになっている。

端末位置検出手段２１ｃは、管理サーバ２０に対するアクセスがあった時点での利用者端末１０の所在位置を検出するものである。より具体的に、本実施形態において、端末位置検出手段２１ｃは、管理サーバ２０に対するアクセスを受信した時点における利用者端末１０の接続環境から利用者端末１０の所在国、所在都道府県、所在位置域、所在番地などを前記所在位置として検出するものである。この端末位置検出手段２１ｃは、利用者端末１０の接続環境として、例えば、利用者端末１０が最初に接続されたアクセスポイントやプロバイダ等のグローバルＩＰアドレスを参照することにより、利用者端末１０の所在国や所在位置域を検出することが可能である。この場合、プロバイダに割り当てられたグローバルＩＰアドレスを参照することにより、所在国や所在国内の大まかな地域を特定することが可能である。また、企業のＬＡＮなどからの接続の場合には、接続環境から、所在して接続している会社の社名やその所在位置を特定することが可能である。

なお、利用者端末１０がＧＰＳ（Global Positioning System）機能を有している場合
には、そのＧＰＳ機能によって得られた利用者端末１０の所在位置情報（緯度・経度情報）を、ネットワーク４０を通じて利用者端末１０から受信することにより、端末位置検出手段２１ｃは、その緯度・経度情報から利用者端末１０の所在位置／所在国を検出するように構成してもよい。

この場合、利用者端末１０側では定期的にＧＰＳ機能によって位置情報を取得することが望ましく、定期的に取得した所在位置情報もしくは最終の所在位置情報をネットワーク４０を介して端末位置検出手段２１ｃに送信する。この場合、最新の所在位置情報だけではなく、それ以前の経由地（経由国）なども、開封許否の判断対象とすることが望ましい。

なお、端末位置検出手段２１ｃでは、利用者端末１０の位置情報が取得できなくなって一定時間が経過した時点で、利用者端末１０の位置情報を無効化する。すなわち、利用者端末１０の最新の位置が不明であるとして扱う。

また、以上のようにＧＰＳ機能による利用者端末１０の所在位置情報が無効化された場合であっても、大手プロバイダのＩＰアドレス情報やアクセスポイントの情報が取得できる場合には、端末位置検出手段２１ｃは、利用者端末１０の所在位置情報は有効なものとして扱う。

また、以上のようにＧＰＳ機能による利用者端末１０の所在位置情報が無効化された場
合であって、中小のプロバイダのＩＰアドレス情報やアクセスポイントの情報が取得できる場合、あるいは、会社のサーバなどによるＩＰアドレス情報が取得できる場合は、サーバから得られる利用者端末１０の所在位置情報の信頼性が低いため、端末位置検出手段２１ｃは、利用者端末１０の所在位置情報は無効なものとして扱うことが望ましい。

基準値変更手段２１ｄは、端末位置検出手段２１ｃによって検出された利用者端末の所在位置に応じて、後述する基準値の値を変更する手段である。すなわち、検出された利用者端末１０の所在位置に応じて基準値を変更することで、特定の個人についての個人情報を利用する利用者に対し、その利用者あるいは利用者所在位置において適した内容の電子情報ファイルを取り扱いできるようにして、たとえば、社内や国内など安定した所在位置の場合には基準を緩やかにすると共に、社外や遠隔地や国外など管理が難しい所在位置の場合には基準を厳格化する。

アクセス頻度算出手段２１ｅは、ログ収集手段２１ｂによって収集されたログに基づいて、各利用者端末１０の個人情報ファイルに対するアクセス頻度を算出するものである。ここで、アクセス頻度は、例えば、利用者端末１０毎に、単位時間（例えば２４時間）当たりのアクセス回数として算出されるが、これまでの総アクセス回数として算出するようにしてもよい。

アクセス頻度判定手段２１ｇは、アクセス頻度算出手段２１ｅによって算出されたアクセス頻度が基準値（例えば５回／２４時間）以上であるか否かを判定するものである。
なお、このアクセス頻度に関する基準値は、基準値記憶手段２１ｆに記憶されており、基準値変更手段２１ｄによって利用者端末１０の所在位置に応じて変更されることがある。

インストール手段２１ｈは、アクセス頻度判定手段２１ｇによって、ある利用者端末１０の個人情報ファイルに対するアクセス頻度が基準値以上であると判定された場合、個人情報に係る要素を所定数以上保有しているファイルを当該利用者端末１０によって自己探査させる探査プログラムを、送受信手段２１ｎおよびネットワーク４０を介して当該利用者端末１０にインストールし、その探査プログラムを当該利用者端末１０に実行させて当該利用者端末１０の記憶部１６における個人情報ファイル（管理対象ファイル）を探査させるものである。

探査結果収集手段２１ｉは、ネットワーク４０および送受信手段２１ｎを介して、利用者端末１０で実行された自己探査結果、具体的には個人情報ファイルのファイル名やリンク先情報のほか後述する判定値やＰマークなどを受信・収集し、各利用者端末１０に対応付けてデータベース２２に格納する機能を果たす。

管理コンソール２１ｊは、アクセス頻度判定手段２１ｇで判定基準として用いられる上記基準値や、個人情報ファイルの判定条件（後述する検疫テーブル１０ｃや、個人情報ファイルやＰマークを判定するために必要になる所定閾値など）を設定して管理するものである。検疫テーブル１０ｃには、後述するごとく、電話番号判定条件，電子メールアドレス判定条件，住所判定条件，文字判定条件（上記所定範囲）や不適切文字／不適切文字列が設定される。

管理手段２１ｋは、アクセス頻度算出手段２１ｅによって算出されたアクセス頻度（アクセス頻度判定手段２１ｇによる判定結果）、および、探査結果収集手段２１ｉによって収集された自己探査結果に基づいて、利用者端末１０や個人情報ファイルを管理するとともに、探査結果収集手段２１ｉによって収集された自己探査結果に基づいて、利用者端末１０において探査手段１１０により探査された個人情報ファイル（後述するＰマークを付
与されたファイル）を管理対象ファイルとして取り扱うようになっている。

この管理手段２１ｋは、アクセス頻度算出手段２１ｅによって算出されたアクセス頻度（アクセス頻度判定手段２１ｇによる判定結果）、もしくは、端末位置検出手段２１ｃによって検出された利用者端末１０の所在位置の少なくとも一方に応じて、利用者端末１０からの個人情報ファイルの流出を防止するための、利用者端末１０におけるセキュリティレベルを設定し、そのセキュリティレベルに応じた動作制限を利用者端末１０（後述する動作制限手段１３）に実行させるものである。

具体的に、本実施形態の管理手段２１ｋは、アクセス頻度判定手段２１ｇによって個人情報ファイルに対するアクセス頻度が基準値以上であると判定された利用者端末１０についてはセキュリティレベルを高く設定して利用者端末１０の動作制限を厳格化する一方、アクセス頻度判定手段２１ｇによってアクセス頻度が基準値未満であると判定された利用者端末１０についてはセキュリティレベルを低く設定して利用者端末１０の動作制限を解除もしくは緩和する。

また、具体的には、本実施形態の管理手段２１ｋは、端末位置検出手段２１ｃによって検出された利用者端末１０の所在位置が所定の条件を満たすと判定された利用者端末１０についてはセキュリティレベルを低く設定して利用者端末１０の動作制限を解除もしくは緩和する一方、端末位置検出手段２１ｃによって検出された利用者端末１０の所在位置が所定の条件を満たさないと判定された場合には、利用者端末１０についてはセキュリティレベルを高く設定して利用者端末１０の動作制限を厳格化する。

また、具体的には、本実施形態の管理手段２１ｋは、アクセス頻度判定手段２１ｇによって個人情報ファイルに対するアクセス頻度と端末位置検出手段２１ｃによって検出された利用者端末１０の所在位置との両方の条件によって、利用者端末１０についてはセキュリティレベルを設定してもよい。

その際、管理手段２１ｋは、利用者端末１０の動作制限として、例えば、外部アクセス禁止（インターネット接続等）や、外部記憶媒体５０（ＵＳＢメモリ等）へのデータ書き出し禁止や、社外へのメール送信禁止や、メールの添付ファイルの暗号化管理（管理サーバ２０の、後述するファイルアクセス管理サーバとしての機能による管理下に置くこと）、暗号化ファイルの復号禁止、のうちの少なくとも一つを利用者端末１０（動作制限手段１３）に実行させる。

このようなセキュリティレベルの設定（動作制限の設定）を管理手段２１ｋが行なうことにより、管理サーバ２０や他のサーバなどネットワーク４０上に保有されている個人情報ファイルに対するアクセス頻度の低い利用者端末１０、つまりは個人情報ファイルが保有されている可能性が低く個人情報ファイルの不用意な流出・漏洩や不正利用などが発生する可能性の低い利用者端末１０については、動作制限を解除もしくは緩和され、利用者端末１０を効率よく使用できる環境が利用者に提供されるようになっている。

ここで、動作制限の状態としては、外部アクセス禁止（インターネット接続等）や、外部記憶媒体５０（ＵＳＢメモリ等）へのデータ書き出し禁止や、社外へのメール送信禁止や、メールの添付ファイルの暗号化管理（管理サーバ２０の、後述するファイルアクセス管理サーバとしての機能による管理下に置くこと）の全てを行なう状態（全制限状態）と、全てを行なわない状態（解除状態）との段階を設定しておき、セキュリティレベル「低」が設定された場合には解除状態に切り替える一方、セキュリティレベル「高」が設定された場合には全制限状態に切り替えるようにしてもよい。また、動作制限の状態として、全制限状態から解除状態までの間に複数段階の状態を設定しておき、セキュリティレベル
「低」から「高」までの各レベルに対応させて段階的に切り替えるようにしてもよい。

また、動作制限の他の状態としては、暗号化された管理対象ファイルが利用者端末１０側で開封される際に、利用者端末１０の所在位置を端末位置検出手段２１cで検出し、所
在位置が所定条件を満たしていると判定された場合に利用者端末での管理対象ファイルの開封を許可する一方、所在位置が前記所定条件を満たしていないと判定された場合に利用者端末での管理者対象ファイルの開封を禁止する制御を、管理手段２１ｋで行うことが該当する。これにより、個人情報を含む管理対象ファイルを利用する利用者に対し、その利用者あるいは利用者所在位置において適した内容の電子情報ファイルの取り扱い（開封）が可能になり、たとえば、社内や国内など安定した所在位置の場合には開封許可にすると共に、社外や遠隔地や国外など管理が難しい所在位置の場合には開封禁止のように基準を厳格化することで、個人情報の不用意な流出・漏洩や個人情報の不正利用などを確実に防止し、個人情報の保護を実現することが可能になる。

また、管理手段２１ｋは、データベース２２に保存されているＰマークテーブルに登録されている個人情報ファイルの判定値（またはＰマーク）に応じて、個人情報ファイルの利用者（保有者）に注意情報／警告情報を通知したり、個人情報ファイルを、その個人情報ファイルを保存している利用者端末１０から強制的に捕獲・回収したり、その個人情報ファイルが利用者端末１０から外部へ出力されるのを強制的に禁止したり、その個人情報ファイルを管理者のみがアクセス可能なフォルダ（図示略）に格納したり、個人情報ファイルに対するアクセスを管理サーバ２０のファイルアクセス管理サーバとしての機能（後述）によって管理させたりする機能も果たす。

例えば、Ｐマークのランクが“Ｐ１”である場合、警告情報によるリコメンドは行なわないが“Ｐ１”の個人情報ファイルが存在することをログとして記録する。Ｐマークのランクが“Ｐ２”である場合、その個人情報ファイルの利用者に対して注意を促すべくポップアップ表示による注意情報を通知する。Ｐマークのランクが“Ｐ３”である場合、その個人情報ファイルを保管している利用者が存在する旨を、システム管理者（管理者端末；図示略）に対し警告情報としてメール等により通知するとともに、その個人情報ファイルの返却を利用者に指示する。Ｐマークのランクが“Ｐ４”である場合、その個人情報ファイルを利用者端末１０から強制的に捕獲・回収したり、個人情報ファイルが利用者端末１０から外部へ出力されるのを強制的に禁止したり、個人情報ファイルを管理者のみがアクセス可能なフォルダに格納したり、個人情報ファイルに対するアクセスを管理サーバ２０のファイルアクセス管理サーバとしての機能によって管理させたりする。なお、Ｐマークのランクが“Ｐ４”でなくても、“Ｐ３”の個人情報ファイルが所定日数放置された場合には、その個人情報ファイルに対して、Ｐマークのランクが“Ｐ４”である場合と同様の処置を実行するようにしてもよい。

また、管理手段２１ｋは、各利用者端末１０もしくはデータベース２２に格納された個人情報ファイルを種々の確度で探査する機能や、表示制御手段２１ｍによってその探査結果等を表示部２３に表示させる機能を有している。

表示制御手段２１ｍは、表示部２３に各種情報、例えば後述する公開情報などを表示させるべく表示部２３の表示状態を制御するものであり、送受信手段２１ｎは、ネットワーク４０を介して各利用者端末１０との間で各種情報を送受信するものである。

さらに、本実施形態の管理手段２１ｋは、アクセス頻度判定手段２１ｇによって個人情報ファイルに対するアクセス頻度が基準値以上であると判定された利用者端末１０について、利用者情報収集手段２１ａによって収集された情報や、アクセスログ収集手段２１ｂによって収集されたログや、探査結果収集手段２１ｉによって収集された情報に基づいて
、各個人情報ファイルに対するアクセス状況に関する公開情報や、外部記憶媒体用ドライブ１４をインストールされた利用者端末１０に関する公開情報を作成し、その公開情報を、表示部２３上で表示したり、ネットワーク４０を介し全ての利用者端末１０や管理者に対して公開したり、ネットワーク４０を介してメール等で全ての利用者端末１０や管理者に対して通知したりする機能を果たすものである。

ここで、公開情報としては、個人情報ファイルのファイル名や、その個人情報ファイルに対してアクセスを行なった利用者端末１０を特定しうる情報（ＰＣ名）や、その利用者端末１０の所有者を特定しうる情報（所有者名）や、個人情報ファイルの数の集計結果（利用者端末１０の個人情報ファイル数や個人情報保有数）や、個人情報ファイルに対するアクセスの回数の集計結果（個人情報ファイル毎／アクセス種別毎）がある。なお、アクセス種別としては、印刷，外部記憶媒体５０への書出し，削除，リネイム（変更），上書き保存，ＦＴＰサーバへのアップロードなどが挙げられる。

また、公開情報としては、個人情報ファイルを保有するとともに外部記憶媒体用ドライブ１４をインストールしている利用者端末１０を特定しうる情報（ＰＣ名）や、その利用者端末１０の所有者を特定しうる情報（所有者名）や、その利用者端末１０において保有されている個人情報ファイルのファイル名や、その利用者端末１０で実行された外部記憶媒体５０への個人情報ファイルの書出し回数もある。

さらに、本実施形態の管理手段２１ｋは、個人情報ファイルに対するアクセス状況に関する情報のほかに、各利用者端末１０における閲覧禁止サイトへのアクセス回数（例えば図１６参照）や、各利用者端末１０の他端末／サーバにおける個人情報ファイルに対するアクセス回数を監視・収集し、公開情報として作成・公開する機能も有している。

なお、管理手段２１ｋによって作成・公開される公開情報の具体例については、図９〜図１６を参照しながら後述する。
〔１−２〕本実施形態のファイルアクセス管理サーバとしての機能構成：
図３は本実施形態の管理サーバ２０に備えられたファイルアクセス管理サーバとしての機能構成を示すブロック図である。なお、本実施形態では、ファイルアクセス管理サーバとしての機能を管理サーバ２０に備えているが、その機能を、ネットワーク４０を介して各利用者端末１０と通信可能に接続された、管理サーバ２０とは別体のサーバによって実現するように構成してもよい。

図３に示すように、管理サーバ２０のファイルアクセス管理サーバとしての機能は、例えば、各利用者端末１０で暗号化手段（後述）により暗号化されたファイルや、各利用者端末１０の登録手段（後述）により登録されるファイルや、個人情報ファイル（Ｐマークのランクが“Ｐ４”の個人情報ファイル）を管理対象としている。ここでは、Ｐマークのランクが“Ｐ４”の個人情報ファイルを管理対象としているが、Ｐマークのランクに関係なく、後述する探査手段１１０によって個人情報ファイルであると判定された全ての電子ファイルをファイルアクセス管理サーバの管理対象としてもよい。

ＣＰＵ２１は、後述する手段２１ｎａ〜２１ｎｄ，暗号化手段２１ｏ，判定手段２１ｐとしての機能を果たすもので、これらの機能は、ＣＰＵ２１が、ファイルアクセス管理サーバ用のプログラムを実行することによって実現される。また、データベース２２は、上述した各種情報のほかに、後述するごとく、個人情報ファイルを暗号化するための暗号鍵や、暗号化された個人情報ファイルを復号化するための復号鍵や、暗号化された個人情報ファイルに対するアクセス権限（後述）や、予め登録されている利用者〔暗号化ファイルの閲覧を許可された登録者（社員）〕のユーザＩＤ／パスワードなどを保存する。

送受信手段２１ｎは、上述した機能のほかに、後述するファイル受信手段２１ｎａ，暗号化ファイル送信手段２１ｎｂ，認証情報受信手段２１ｎｃおよび復号鍵送信手段２１ｎｄとしての機能を果たす。また、本実施形態の送受信手段２１ｎは、各利用者端末１０からの要求に応じて、暗号化手段（後述）での暗号化処理に用いられる所定の暗号鍵を、ネットワーク４０を通じて各利用者端末１０に送信する機能も果たすようになっている。

ファイル受信手段２１ｎａは、各利用者端末１０からネットワーク４０経由で登録対象のファイル〔登録手段（後述）によって登録されるファイル〕を受信するものである。
暗号化手段２１ｏは、ファイル受信手段２１ｎａによって利用者端末１０から受信した登録対象（管理対象）のファイルや、Ｐマークのランクが“Ｐ４”の個人情報ファイルを改竄操作の困難なＰＤＦ（Portable Document Format）ファイル等の完成文書ファイルに変換し、さらに、そのＰＤＦファイルを、所定の暗号鍵を用いて暗号化するものである。ＰＤＦファイルへの変換は例えばＰＤＦドライバによって実現され、このＰＤＦドライバを起動することにより、個人情報ファイルがＰＤＦ化され、完成文書ファイルとしてのＰＤＦファイルが生成されるようになっている。

暗号化ファイル送信手段２１ｎｂは、暗号化手段２１ｏによって暗号化（鍵掛け）されたファイル（以下、暗号化ファイルという）を、ネットワーク５０経由で利用者端末１０に送信するものである。

なお、ファイルアクセス管理サーバとしての機能による管理に際しては、上述のような暗号化手段２１ｏによる暗号化時に、ポリシー設定によって、各暗号化ファイルに対する各種アクセス権限（閲覧，印刷，コピー等の権限）が利用者毎や暗号化ファイル毎に設定される。その際、システム運用を簡易化すべく１種類のポリシを設定し、そのポリシ設定によって、全ての暗号化ファイルに対する各利用者端末１０でのアクセス権限〔例えば、本システム１を導入している社内の全社員／全利用者（ファイルアクセス管理サーバとしての機能に予め登録されている全登録者）のアクセス権限〕として、閲覧権限のみを自動的（強制的）に設定・付与し、閲覧以外のアクセス、例えば印刷，コピー，別名保存，画面キャプチャ（スクリーンショット）などのアクセスを一切行なえないようにしてもよい。

認証情報受信手段２１ｎｃは、利用者端末１０での暗号化ファイルに対するアクセス時に利用者端末１０からネットワーク４０経由で送信されてくる認証情報を受信するものである。ここで、認証情報は、暗号化ファイルを開こうとしている利用者端末１０の利用者がその暗号化ファイルの正当な送信先（利用者／登録者）であることをファイルアクセス管理サーバ２０で判定・認証するために必要な情報であり、ファイルアクセス管理サーバ２０によるサービスの利用者についてこのファイルアクセス管理サーバ２０（データベース２２）に予め登録されたユーザＩＤおよびパスワードを含んでいる。これらのユーザＩＤおよびパスワードは、暗号化ファイルを開く際に利用者がキーボードやマウスを操作することにより入力される。

判定手段２１ｐは、認証情報受信手段２１ｎｃによって受信された認証情報に基づいて、認証情報を送信した利用者端末１０が暗号化ファイルの正当な送信先であるか否かを判定するもので、実際には、利用者によって入力されたユーザＩＤおよびパスワードが、ファイルアクセス管理サーバ２０のデータベース２２に予め登録・保存されているユーザＩＤおよびパスワードと一致するか否かを判定することにより、その利用者が正当な登録者であるか否かを判定・認証するものである。

復号鍵送信手段２１ｎｄは、判定手段２１ｐによって利用者が正当な登録者であることが認証された場合に、暗号化ファイルを復号化するための復号鍵をデータベース２２から
読み出して利用者端末１０にネットワーク４０経由で送信するものである。

そして、利用者端末１０においては、ファイルアクセス管理サーバ２０から復号鍵を受信すると、その復号鍵を用いて暗号化ファイルの復号化を行ない元の個人情報ファイルを復元し、復元された個人情報ファイルに対し、与えられたアクセス権限に応じたアクセス（例えば閲覧）が行なわれるようになる。

また、ファイルアクセス管理サーバとしての機能による管理として、暗号化された管理対象ファイルが利用者端末１０側で開封される際に、上述した管理手段２１ｋにより開封の許可か禁止が決定され、この開封許可の場合には復号鍵送信手段２１ｎｄから復号鍵が利用者端末１０に送信され、この開封禁止の場合には復号鍵送信手段２１ｎｄから復号鍵が利用者端末１０に送信されない、といった制御が行われる。

〔１−３〕本実施形態の利用者端末の機能構成：
図１は本実施形態の利用者端末１０の機能構成を示すブロック図で、この図１に示すように、本実施形態の利用者端末１０は、各種処理を実行するＣＰＵ（Central Processin Unit）ＣＰＵ１１と、個人情報ファイル等の電子ファイルを含むデータを保持しうる記憶部１６とを備えるほか、管理サーバ２０のインストール手段２１ｈによって探査プログラム（ＣＰＵ１１を探査手段１１０として機能させるプログラム）をインストールされた利用者端末１０は、管理サーバ２０から提供される検疫テーブル１７や、記憶部１６に保持される電子ファイルのＰマーク（プライバシレベルマーク；個人情報ファイルである可能性の高さを示すレベルで、後述する判定値によって決定されるレベル）を保持するＰマークテーブル１８をさらに備えて構成される。また、本実施形態では、探査プログラムとともに、ＣＰＵ１１を後述する動作制限手段１３として機能させるためのプログラムも、管理サーバ２０からインストールされるものとする。

ここで、記憶部１６は、利用者端末１０に内蔵されるハードディスクや、利用者端末１０に接続・外付けされる記憶装置、例えばフレキシブルディスク，ＣＤ（ＣＤ−ＲＯＭ，ＣＤ−Ｒ，ＣＤ−ＲＷなど），ＤＶＤ（ＤＶＤ−ＲＯＭ，ＤＶＤ−ＲＡＭ，ＤＶＤ−Ｒ，ＤＶＤ−ＲＷ，ＤＶＤ＋Ｒ，ＤＶＤ＋ＲＷなど），磁気ディスク，光ディスク，光磁気ディスクのほかＩＣカード，ＲＯＭカートリッジ，磁気テープなどの記録媒体を用いる記憶装置である。なお、上述した検疫テーブル１７およびＰマークテーブル１８は、利用者端末１０を構成するＲＡＭ（Random Access Memory）やハードディスク等に保持されてもよいし、記憶部１６に保持されてもよい。

ＣＰＵ１１は、探査手段１１０，送受信手段１２，動作制限手段１３，外部記憶媒体用ドライブ１４および暗号化手段／登録手段１５としての機能を果たすもので、これらの機能のうち送受信手段１２としての機能はＰＣ等の端末等に元々備えられたものであり、探査手段１１０および動作制限手段１３としての機能は、前述した通り、ＣＰＵ１１が、管理サーバ２０のインストール手段２１ｈによってインストールされたプログラムを実行することによって実現されるものである。

また、外部記憶媒体用ドライブ１４および暗号化手段／登録手段１５としての機能は、利用者端末１０の利用者（所有者）が自らの意志によって外部からインストールしたプログラムを実行することによって実現されるものとする。従って、利用者端末１０においては、外部記憶媒体用ドライブ１４および暗号化手段／登録手段１５としての機能が備えられている場合と備えられていない場合とがあるので、図１では、外部記憶媒体用ドライブ１４および暗号化手段／登録手段１５を示すブロックについては仮想線としての破線で記載している。

探査手段１１０は、ＣＰＵ１１を探査手段１１０として機能させるプログラムをインストールした直後や、利用者端末１０の起動時や、所定周期毎に、記憶部１６におけるデータの中から上記条件を満たす個人情報ファイル（管理対象ファイル）を探査して特定するもので、記憶部１６に保有される各ファイル（探査対象ファイル）をテキストファイルにするテキスト抽出エンジンとして機能するとともに、検疫テーブル１７を用いて記憶部１６におけるデータの中から個人情報ファイルを探査する探査エンジンとして機能するものである。

つまり、探査手段１１０は、管理サーバ２０から指示された条件（検疫テーブル１７）に従って判定対象ファイルを参照して個人情報ファイルの探査を行ない、個人情報ファイルであると判定されたファイルをログ（ローカルキャッシュデータベース）に書き出すようになっている。また、本実施形態では、この探査手段１１０で得られた判定結果（判定値／計数値）に基づいて決定されたＰマークがＰマークテーブル１８に登録される。この探査手段１１０の機能構成の詳細については、図１を参照しながら後述する。

なお、探査手段１１０による判定結果（判定値／計数値）やＰマークは、個人情報ファイルであると判定されたファイル毎に、そのファイルを特定するための情報（例えば、ファイル名など）とともに、送受信手段１２およびネットワーク４０を通じて管理サーバ２０に送信・通知されるようになっている。

また、本実施形態の利用者端末１０では、探査手段１１０によって個人情報ファイルであると判定されたファイルに対し利用者端末１０において実行されたアクセスが検知されると、そのアクセス内容が、ファイル毎にアクセスログとして記録・保存され、そのアクセスログは、アクセス検知時に、もしくは、定期的に、もしくは、管理サーバ２０（ログ収集手段２１ｂ）からの要求時などに、送受信手段１２およびネットワーク４０を通じて管理サーバ２０に送信・通知されるようになっている。

なお、アクセス内容としては、アクセス種別〔例えば、印刷，外部記憶媒体への書出し，削除，リネイム（変更），上書き保存，ＦＴＰ（File Transfer Protocol）サーバへのアップロードなど〕や、アクセス種別毎のアクセス回数などが挙げられる。

また、このアクセス時に、利用者端末１０の所在位置の情報を、送受信手段１２およびネットワーク４０を介して管理サーバ２０に対して送信する。この場合の所在位置情報としては、管理サーバ２０に対してアクセスする際にネットワーク接続したＩＰアドレスの情報などが該当する。また、図示されないＧＰＳ位置検出手段を備えている場合には、緯度・経度情報を、送受信手段１２およびネットワーク４０を介して管理サーバ２０に対して送信する。

送受信手段１２は、ネットワーク４０を介して管理サーバ２０や他の利用者端末１０との間で各種情報を送受信するもので、探査手段１１０による探査結果や利用者端末１０内の個人情報ファイルに対するアクセスログなどを管理サーバ２０へ送信する機能を果たすものである。

動作制限手段１３は、管理サーバ２０の管理手段２１ｋによって設定されたセキュリティレベルを管理サーバ２０から受け、そのセキュリティレベルに応じた動作制限、例えば、外部アクセス禁止（インターネット接続等）や、外部記憶媒体５０（ＵＳＢメモリ等）へのデータ書き出し禁止や、社外へのメール送信禁止や、メールの添付ファイルの暗号化管理（管理サーバ２０の、後述するファイルアクセス管理サーバとしての機能による管理下に置くこと）のうちの少なくとも一つを、利用者端末１０において実行するものである。

外部記憶媒体用ドライブ１４は、前述した通り、利用者端末１０の利用者（所有者）が自らの意志によって外部からインストールしたプログラムを実行することによって実現される機能であり、利用者によって指定されたファイルを記憶部１６から読み出して外部記憶媒体５０へ書き出すものである。本実施形態における外部記憶媒体５０としては、前述した通り、例えば、フレキシブルディスク，ＣＤ，ＤＶＤ，磁気ディスク，光ディスク，光磁気ディスク，メモリカード，ＵＳＢ（Universal Serial Bus）メモリ，外付けハードディスク等の各種記憶媒体が挙げられる。

暗号化手段／登録手段１５も、前述した通り、利用者端末１０の利用者（所有者）が自らの意志によって外部からインストールしたプログラムを実行することによって実現される機能であり、この暗号化手段／登録手段１５は、外部へ送出されるファイルを自動的に暗号化する暗号化機能を実現するためのものである。

この暗号化手段／登録手段１５としての機能が設定（インストール）されている場合、特に暗号化手段１５としての機能が設定されている場合、その暗号化手段１５は、メールに添付されてもしくは外部記憶媒体５０に書き出されて外部へ送出されるファイルを、コンテナ機能を有する完成文書ファイル〔ここでは、改竄操作の困難なＰＤＦ（Portable Document Format）ファイル〕に変換し、さらに、前記コンテナ機能を用いて当該ＰＤＦファイルに当該電子ファイルのオリジナルファイルを格納してから、当該ＰＤＦファイルを、管理サーバ２０におけるファイルアクセス管理サーバとしての機能によって管理される所定の暗号鍵（実際にはサーバ２０から受信したもの）で暗号化して暗号化ファイルを作成することになる。なお、ＰＤＦファイルへの変換は例えばＰＤＦドライバによって行なわれ、このＰＤＦドライバを起動することにより、電子ファイルがＰＤＦ化され、ＰＤＦファイルファイルが生成されるようになっている。

また、暗号化動作と併せて、当該暗号化ファイルにアクセスする利用者（ユーザ）について、当該暗号化ファイルへのアクセス権限（例えば、閲覧，注釈，印刷，コピーのほか、格納されたオリジナルファイルの取出しや、取り出されたファイルの編集，添付などのアクセスの中から選択されたものを実行する権限）の設定が、暗号化手段１５からサーバ２０に対して自動的に行なわれるものとする。ここでは、例えば、必要最小限のアクセス権限（例えば閲覧権）のみを設定するようにする。

一方、登録手段１５としての機能が設定されている場合、その登録手段１５は、メールに添付されてもしくは外部記憶媒体５０に書き出されて外部へ送出されるファイルを、管理サーバ２０におけるファイルアクセス管理サーバとしての機能の管理下に置くべく、サーバ２０に登録するもので、登録時には、その管理対象ファイルをサーバ２０に送信するとともに、登録処理に応じて、サーバ２０の暗号化手段２１ｏによって前述のごとく作成された暗号化ファイルを受信する機能を果たすものである。

〔１−４〕本実施形態の探査手段の詳細な機能構成：
次に、図１を参照しながら、本実施形態の利用者端末１０における探査手段１１０の詳細な機能構成について説明する。図１に示すように、本実施形態の探査手段１１０は、抽出手段１１１，切出手段１１２，第１判定手段１１３，文字判定手段１１４，照合手段１１５および第２判定手段１１６としての機能を有しており、これらの機能も、ＣＰＵ１１が、後述するごとく管理サーバ２０からインストールされたプログラムを実行することによって実現される。

抽出手段１１１は、記憶部１６における電子ファイル（判定対象ファイル）のテキストデータ〔例えばＣＳＶ（Comma Separated Value）形式のデータ〕を抽出し、ファイルバ
ッファ（図示略）に格納するもので、前記テキスト抽出エンジンとして機能するものである。なお、上記ファイルバッファには、２バイトコード文字（全角文字）がファイルバッファの終端で欠けないように取り込まれる。また、切出手段１１２によってファイルバッファから後述するデータ整形用バッファ（図示略）へデータが切り出されて取り込まれると、その分だけデータが上記ファイルバッファに取り込まれるようになっている。

切出手段１１２は、抽出手段１１１によって抽出されたテキストデータから、所定の区切り位置で区切られた文字区間を切り出して、判定対象／照合対象として後述するバッファ（図示略）に順次書き出すものである。

ここで、上記所定の区切り位置としては、予め設定された区切り文字の出現位置、もしくは、１バイトコード文字と２バイトコード文字との境界位置（半角文字／ＡＳＣＩＩ文字のあとに全角文字が続く部分もしくは全角文字のあとに半角文字／ＡＳＣＩＩ文字が続く部分）、もしくは、全角算用数字「０」〜「９」と全角算用数字およびハイフンを除く文字との境界位置が含まれている。また、区切り文字は、データの区切りであるデリミタ（delimiter）、具体的には、半角スペース，半角カンマ（半角カンマ＋半角スペースも
半角カンマと見なす），タブ文字（半角），ＣＲ（Carrige Return），ＬＦ（Line Feed
）のほか、「：（コロン）」，「；（セミコロン）」，「＞」，「｝」，「］」とする。

切出手段１１２は、ファイルバッファからテキストデータをデータ整形用バッファへ１文字ずつ切り出して取り込み、上述した区切り位置が出現すると、その区切り位置で取り込みを終了する。このときも２バイトコード文字（全角文字）がデータ整形用バッファの終端で欠けないようにデータ取込みを行なう。これにより、本実施形態では、例えば「佐藤太郎09012341234東京都港区」や「佐藤太郎sato@xxxx.com東京都港区」のごとく全角文字で記載された住所や氏名などと半角文字で記載された電話番号や電子メールアドレスなどの文字列とがテキストデータにおいて区切り文字によって区切られることなく混在する場合や、例えば「佐藤太郎０９０１２３４１２３４東京都港区」のごとく全角文字で記載された住所や氏名などと全角文字で記載された電話番号などの数字列とがテキストデータにおいて区切り文字によって区切られることなく混在する場合であっても、住所，氏名，電話番号，電子メールアドレスなどの個人情報要素毎に文字区間「佐藤太郎」，「09012341234」，「東京都港区」，「sato@xxxx.com」，「０９０１２３４１２３４」を切り出すことが可能になる。

このようにデータ整形用バッファに取り込まれたデータ（判定対象の文字区間）は、データ整形用バッファからデータ解析用バッファ（図示略）へ取り込まれるが、その際、その文字区間からは、英数文字，カタカナ，ひらがな，漢字以外の記号等が取り除かれる。このとき除去されるもの（不要文字）としては、例えば、半角スペース，全角スペースのほか、半角ハイフン，全角ハイフン，アンダバー，括弧記号，！，＃，＄，％，＝，＋，＊，？，￥，／，｜などの記号文字が定義される。本実施形態では、切出手段１１２が、上述のような不要文字を除去する機能を有しているものとする。

第１判定手段１１３は、上記データ解析用バッファに取り込まれた文字列、つまり、切出手段１１２によって切り出され不要文字を除去された文字区間における文字列（以下、単に文字列という）が、氏名以外の個人情報要素（具体的に本実施形態では電話番号，電子メールアドレス，住所のうちのいずれか一つ）に該当するか否かを判定すべく、電話番号判定手段１１３ａ，電子メールアドレス判定手段１１３ｂおよび住所判定手段１１３ｃとしての機能を備えている。なお、本実施形態の第１判定手段１１３では、判定処理の負荷の軽いものから順に、つまり電話番号，電子メールアドレス，住所の順で、上記文字列の判定処理を行なっている。また、第１判定手段１１３は、上記データ解析用バッファに取り込まれたデータのサイズをチェックし、そのサイズが３バイト以下の場合、そのデー
タを個人情報と判断せず、判定処理を行なわないようにしてもよい。

電話番号判定手段１１３ａは、上記文字列が電話番号に該当するか否かを判定するもので、上記文字列が検疫テーブル１１７に設定されている電話番号判定条件を満たす場合、上記文字列が電話番号に該当するものと判定し、その旨を第２判定手段１１６に通知し、上記文字列に対する第１判定手段１１３による判定処理を終了させるものである。本実施形態において、電話番号判定条件は、上記文字列が９〜１１桁の半角数字もしくは全角数字の連続であり、且つ、１文字目（先頭文字）が「０」で２文字目が「０」以外であることとする。

電子メールアドレス判定手段１１３ｂは、電話番号判定手段１１３ａによって上記文字列が電話番号に該当しないと判定された場合に、上記文字列が電話メールアドレスに該当するか否かを判定するもので、上記文字列が検疫テーブル１１７に設定されている電子メールアドレス判定条件を満たす場合、上記文字列が電子メールアドレスに該当するものと判定し、その旨を第２判定手段１１６に通知し、上記文字列に対する第１判定手段１１３による判定処理を終了させるものである。

本実施形態において、電子メールアドレス判定条件は、上記文字列中に「一文字以上のＡＳＣＩＩ」＋「@（アットマーク）」＋「一文字以上のＡＳＣＩＩ」＋「．（ドット）
」＋「一文字以上のＡＳＣＩＩ」となる文字列が含まれており、且つ、当該文字列の最後の文字が半角の英字であることとする。この場合、最短の電子メールアドレスは例えば「a@a.a」となり、また、例えば「123@45.67」のごとく英字以外の文字（例えば数字）で終わるような文字列は電子メールアドレスでないと判定されることになる。なお、上記電子メールアドレス判定条件によれば、５バイトに満たないデータは電子メールアドレスの判定対象にならず、判定処理を行なわない。

住所判定手段１１３ｃは、電子メールアドレス判定手段１１３ｂによって上記文字列が電子メールアドレスに該当しないと判定された場合に、上記文字列が住所（居所）に該当するか否かを判定するもので、上記文字列が検疫テーブル１１７に設定されている住所判定条件を満たす場合、上記文字列が住所に該当するものと判定し、その旨を第２判定手段１１６に通知するものである。

本実施形態において、住所判定条件は、上記文字列中に「１文字以上１３文字以下の全角文字」＋「市」または「区」または「郡」＋「一文字以上の全角文字または半角文字」となる文字列が含まれており、且つ、当該文字列の先頭文字が日本全国における４７都道府県名もしくは市区郡名の頭文字と一致することとする。これにより、例えば「受入区分名」といった「区」を途中に含む文字列であるが住所とは全く関係の無い文字列を誤って住所として判定することがなくなる。このとき、ＣＰＵ１１の演算処理能力が十分に高い場合には、上記文字列に加え、郵便番号に対応する７桁の数字が含まれていることを住所判定条件に加えてもよい。なお、上記住所判定条件によれば、５バイトに満たないデータは電子メールアドレスの判定対象にならず、判定処理を行なわない。

文字判定手段１１４は、第１判定手段１１３によって上記文字列が電話番号，電子メールアドレス，住所のうちのいずれにも該当しないと判定された場合に、その文字列が、検疫テーブル１１７に設定されている文字判定条件を満たすか否か、具体的には、上記文字列における文字の数が所定範囲内であり且つその文字列における文字が全て漢字であるか否か、さらに、上記文字列の先頭文字が、日本人に多い苗字上位所定数に属する苗字の頭文字と一致するか否かを判定するものである。

本実施形態において、文字判定条件は、上述したように、上記文字列における文字の数
が所定範囲内であり且つその文字列における文字が全て漢字であることであるが、ここで、上記所定範囲は、氏名の文字数として一般的（適切）な数の範囲、例えば２以上６以下に設定される。より具体的には、文字判定手段１１４による判定条件は、上記文字列が、４バイト〜１２バイトの２バイトコード文字であり、且つ、0x889F〜0xEEECの範囲内のデータ（Shift-JISの漢字領域）であり、且つ、第２バイトは0x40〜0x7Eまたは0x80〜0xFC
（Shift-JISの仕様）であり、先頭文字が、日本人に多い苗字上位３０００個に属する苗
字の頭文字と一致することである。上位３０００個の苗字を対象とすることで、日本人の８割以上を網羅することができる。

照合手段１１５は、第１判定手段１１３によって電話番号，電子メールアドレス，住所のうちのいずれにも該当しないと判定された文字区間であって、さらに文字判定手段１１４によって上記所定範囲内であり且つ全ての文字が漢字であると判定された文字区間について、当該文字区間に含まれる文字／文字列と氏名において出現し得ない文字／文字列として予め設定された不適切文字／不適切文字列とを照合することにより、当該文字区間が不適切文字／不適切文字列を含むか否かを判定し、その照合判定結果を第２判定手段１１６に通知するものである。

ここで、不適切文字／不適切文字列は、検疫テーブル１１７に予め設定されており、例えば、東京，大阪，名古屋，横浜，九州，北海道，京都，首都，個人，学園，店，株，県，大学，学院，東証，研究，管理，総務，経理，営業，統括，製薬，販売，学校，教育，専門，建築，機械，法人，工場，製，技術，商，図書，不明，次長，公開，出版，広告，放送，対象，卸売，小売，企画，人事，情報，部門，社長，取締，部長，課長，係長，役員，本社，支社，事業，業務，教務，精密，石油，運輸，経営，戦略，資材，技師，電気，生産，税務，広報，運送，主任，電算，財務，事務，開発，政策，制作，経済，産業，金融，銀行，調査，英語，品質，保証，設備，担当，主席，主事，監査，支援，設計，保険，金庫，事業，代表，交通，第一，第二，第三，第四，第五，第六，第七，第八，第九，特販，施設，氏名，郵便，名前，名称，市役，所属，特色，幼稚，基督，協会，教会，組合，教団，商工，全国，支部，連絡，議会，生活，消費，推進，市役所，区役所，総合，修正，機能，概要，構成，企業，組織，関連，削除，文書，期限，有効，整備といった、一般的な氏名において出現し得ない文字／文字列、つまり、氏名としては不適切な文字／文字列である。

第２判定手段１１６は、第１判定手段１１３における電話番号判定手段１１３ａ，電子メールアドレス判定手段１１３ｂおよび住所判定手段１１３ｃによる判定結果と照合手段１１５による照合判定結果とに基づいて、回覧対象電子ファイルが個人情報ファイルであるか否かを判定するものである。

より具体的に説明すると、第２判定手段１１６は、電話番号判定手段１１３ａ，電子メールアドレス判定手段１１３ｂおよび住所判定手段１１３ｃからの判定結果の通知を受け電話番号，電子メールアドレス，住所のそれぞれに該当すると見なされた文字区間の数を計数するとともに、照合手段１１５からの照合判定結果を受け、照合手段１１５によって不適切文字／不適切文字列を含まないと判定された文字区間を氏名に該当するものと見なし、その数を計数する。

そして、第２判定手段１１６は、電話番号，電子メールアドレス，住所，氏名のそれぞれについての計数結果（４つの計数値；電話番号数，電子メールアドレス数，住所数，氏名数）に基づいて、これらの計数値が大きくなるほど大きくなる判定値を算出する。例えば、第２判定手段１１６は、４つの計数値の総和を上記判定値として算出してもよいし、電話番号，電子メールアドレス，住所，氏名のそれぞれについて重み係数を予め設定しておき、各個人情報要素についての重み係数と計数値との乗算結果の総和を上記判定値とし
て算出してもよく、上記判定値の算出手法は種々考えられる。

上述のような判定値が算出されると、第２判定手段１１６は、その判定値に基づいて、判定対象ファイルが個人情報ファイルであるか否かを判定する。具体的には、前記判定値が所定閾値を超えた場合に判定対象ファイルが個人情報ファイルであると判定する。このような判定を行なう際に、第２判定手段１１６は、さらに、判定値の大きさに応じたＰマーク（プライベートレベルマーク）を、判定対象ファイルに付与して、Ｐマークテーブル１８に設定・登録し、ランク付けを行なう。このＰマークは、前述した通り、判定対象ファイルが個人情報ファイルである可能性の高さを示すレベルであり、判定値が大きいほどＰマークは高いランクに設定される。

例えば、前記判定値が１０以上となった場合、判定対象ファイルが個人情報ファイルであると判定する。また、前記判定値が１０以上１００未満である場合、Ｐマークとして“Ｐ１”を付与し、前記判定値が１００以上１０００未満である場合、Ｐマークとして“Ｐ２”を付与し、前記判定値が１０００以上１００００未満である場合、Ｐマークとして“Ｐ３”を付与し、前記判定値が１００００以上である場合、Ｐマークとして“Ｐ４”を付与する。

なお、個人情報ファイルを判定するための所定閾値やＰマークを決定するための基準値は、管理サーバ２０（管理コンソール２４）から適宜設定される。また、ここではＰマークを“Ｐ１”〜“Ｐ４”の４つにランク分けしているが、ランク分けの数はこれに限定されるものではない。

さらに、上記の所定閾値や基準値としては、全ての利用者端末１０に対し共通（同一）のものを設定してもよいし、利用者端末１０毎や、本システム１を導入する施設（会社）毎に異なるものを設定してもよい。

なお、この基準値は、端末位置検出手段２１ｃによって検出された利用者端末１０の所在位置に応じて、基準値変更手段２１ｄにより変更される。すなわち、検出された利用者端末１０の所在位置に応じて基準値を変更することで、特定の個人についての個人情報を利用する利用者に対し、その利用者あるいは利用者所在位置において適した内容の電子情報ファイルを取り扱いできるようにして、たとえば、社内や国内など安定した所在位置の場合には基準を緩やかにすると共に、社外や遠隔地や国外など管理が難しい所在位置の場合には基準を厳格化する。

上述のように判定対象ファイルに付与されたＰマーク（Ｐマークテーブル１８）は、個人情報ファイルであると判定されたファイル毎に、そのファイルを特定するための情報（例えば、ファイル名など）とともに、送受信手段１２およびネットワーク４０を介して管理サーバ２０へ送信され、前述したように、探査結果収集手段２１ｉによりデータベース２２に保存される。そして、Ｐマークを付与された管理対象ファイル（個人情報ファイル）は、そのＰマークのランクに応じて、図６を参照しながら後述するごとく、管理サーバ２０（管理手段２１ｋ）により管理対象ファイルとして後述するごとく管理される。

〔２〕本実施形態の個人情報管理システムの動作：
次に、図４〜図１６を参照しながら、上述のごとく構成された本実施形態の個人情報管理システム１の動作について説明する。

〔２−１〕管理サーバの動作：
図４は本実施形態の管理サーバ２０の動作を説明するためのフローチャートであり、まず、この図７に示すフローチャート（ステップＳ１０１〜Ｓ１２９）に従って、本実施形
態の管理サーバ２０の主たる動作について説明する。

管理サーバ２０においては、利用者情報収集手段２１ａによる収集タイミングになったか否か（ステップＳ１０１）が監視されている。本システム１の立ち上げ時、あるいは、利用者端末１０がネットワーク４０に接続されたことを検知した時や、所定の収集周期が経過したことなどを、利用者情報収集手段２１ａによる収集タイミングとして検知すると（ステップＳ１０１のＹＥＳルート）、各利用者端末１０の利用者情報（ホスト情報）が利用者情報収集手段２１ａによって収集されるとともに、各利用者端末１０におけるプログラム（例えば、探査プログラムのほか、利用者端末１０を外部記憶媒体用ドライブ１４や暗号化手段／登録手段１５として機能させるプログラム）のインストール状況が利用者情報収集手段２１ａによって収集される（ステップＳ１０２）。収集されたインストール状況（各プログラムの有無）は、各利用者端末１０に対応付けられてデータベース２２に登録・保存される。

探査プログラムをインストールされていない利用者端末１０が存在する場合（ステップＳ１０３のＹＥＳルート）、探査プログラムをインストールされていない利用者端末１０の一つを選択し（ステップＳ１０４）、その利用者端末１０についてのアクセスログ（ネットワーク４０上における個人情報ファイルに対するアクセスログ）がログ収集手段２１ｂによって収集される（ステップＳ１０５）。

アクセスログが収集されると、そのログに基づき、端末位置検出手段２１ｃによって、当該利用者端末１０の個人情報ファイルに対するアクセスの際のＩＰアドレスなどから該利用者端末１０の所在位置を検出する。そして、基準値変更手段２１ｄは、端末位置検出手段２１ｃによって検出された利用者端末１０の所在位置に応じて、基準値の値を変更する（ステップＳ１０６）。

たとえば、管理サーバ２０が置かれている同じ社内や国内など安定した所在位置の場合には、基準を変更しない、あるいは、基準を緩やかにする。そして、管理サーバ２０が置かれている会社の社外、ライバル会社の近く、遠隔地、国外など管理が難しい所在位置の場合には基準を厳格化する。

アクセスログが収集されると、そのログに基づき、アクセス頻度算出手段２１ｅによって当該利用者端末１０の個人情報ファイルに対するアクセス頻度（単位時間当たりのアクセス回数）が算出され、算出されたアクセス頻度が基準値（例えば５回／２４時間）以上であるか否かを、アクセス頻度判定手段２１ｇによって判定する（ステップＳ１０７）。

ここで、利用者端末１０が管理サーバ２０が設置されている国と同じ国内にある場合の基準値が「５回／２４時間」であるとすると、利用者端末１０が管理サーバ２０が設置されている会社と同じ会社の社内・営業所内にある場合の基準値は「７回／２４時間」、利用者端末１０が管理サーバ２０が設置されている会社のライバル会社の近く、国外にある場合の基準値は「３回／２４時間」などと変更（ステップＳ１０６）したうえで、アクセス頻度判定を行う（ステップＳ１０７）。

アクセス頻度が基準値未満である場合（ステップＳ１０８のＮＯルート）、その利用者端末１０は自端末内に個人情報を蓄積している可能性が低いものとみなし、その利用者端末１０に対する探査プログラムのインストールを行なうことなく、且つ、セキュリティレベルを低レベルに保持されたまま、ステップＳ１１６に移行する。

一方、アクセス頻度が基準値以上である場合（ステップＳ１０８のＹＥＳルート）、その利用者端末１０は自端末内に個人情報を蓄積している可能性が高いものとみなし、イン
ストール手段２１ｈによって、探査プログラム（個人情報に係る要素を所定数以上保有しているファイルを当該利用者端末１０によって自己探査させるプログラム）が、送受信手段２１ｎおよびネットワーク４０を介して当該利用者端末１０にインストールされ（ステップＳ１０９）、探査実行指示を利用者端末１０に送信することにより、その探査プログラムを当該利用者端末１０に実行させて当該利用者端末１０の記憶部１６における個人情報ファイルを探査させる（ステップＳ１１０）。利用者端末１０で探査プログラムを実行することによって実行される、詳細な探査手順については、図５を参照しながら後述する。

そして、探査結果収集手段２１ｉにより、ネットワーク４０および送受信手段２１ｎを介して、利用者端末１０で実行された自己探査結果（具体的には個人情報ファイルのファイル名やリンク先情報のほか判定値やＰマークなど）が、受信・収集され（ステップＳ１１１）、各利用者端末１０に対応付けてデータベース２２に格納され、格納された探査結果に基づいて、管理手段２１ｋにより、個人情報ファイルの管理処理（詳細については図６を参照しながら後述）が実行される（ステップＳ１１２）。

また、管理手段２１ｋにより、その利用者端末１０についてセキュリティレベルが高く設定され（ステップＳ１１３）、利用者端末１０の動作制限が厳格化され、利用者端末１０では、動作制限手段１３により、動作制限〔例えば、外部アクセス禁止（インターネット接続等）や、外部記憶媒体５０（ＵＳＢメモリ等）へのデータ書き出し禁止や、社外へのメール送信禁止や、メールの添付ファイルの暗号化管理のうちの少なくとも一つ〕が利用者端末１０において実行される。

さらに、管理手段２１ｋによって、各利用者端末１０による探査結果と、ログ収集手段２１ｂによって収集・記録されたアクセスログと、利用者情報収集手段２１ａによって収集・記録された調査結果（利用者端末１０を外部記憶媒体用ドライブ１４として機能させるプログラムの有無に関する情報）とに基づいて、各個人情報ファイルに対するアクセス状況に関する公開情報や、外部記憶媒体用ドライブ１４をインストールされた利用者端末１０に関する公開情報が作成され（ステップＳ１１４）、作成された公開情報が、表示制御部２９を介して表示部２３上で表示されたり、ネットワーク４０を介し全ての利用者端末１０や管理者に対して公開されたり、ネットワーク４０を介してメール等で全ての利用者端末１０や管理者に対して通知されたりする（ステップＳ１１５）。

探査プログラムをインストールされていない利用者端末１０の全てに対して上述したステップＳ１０４〜Ｓ１１５の処理を実行した場合（ステップＳ１１６のＹＥＳルート）、もしくは、探査プログラムをインストールされていない利用者端末１０が無い場合（ステップＳ１０３のＮＯルート）、探査プログラムをインストール済みの利用者端末１０の有無を判定する（ステップＳ１１７）。

インストール済みの利用者端末１０が存在する場合（ステップＳ１１７のＹＥＳルート）、インストール済みの利用者端末１０の一つを選択し（ステップＳ１１８）、その利用者端末１０についてのアクセスログ（ネットワーク４０上における個人情報ファイルに対するアクセスログ）がログ収集手段２１ｂによって収集される（ステップＳ１１９）。

アクセスログが収集されると、そのログに基づき、端末位置検出手段２１ｃによって、当該利用者端末１０の個人情報ファイルに対するアクセスの際のＩＰアドレスなどから該利用者端末１０の所在位置を検出する。そして、基準値変更手段２１ｄは、端末位置検出手段２１ｃによって検出された利用者端末１０の所在位置に応じて、基準値の値を変更する（ステップＳ１２０）。

たとえば、管理サーバ２０が置かれている同じ社内や国内など安定した所在位置の場合には、基準を変更しない、あるいは、基準を緩やかにする。そして、管理サーバ２０が置かれている会社の社外、ライバル会社の近く、遠隔地、国外など管理が難しい所在位置の場合には基準を厳格化する。

アクセスログが収集されると、そのログに基づき、アクセス頻度算出手段２１ｅによって当該利用者端末１０の個人情報ファイルに対するアクセス頻度（単位時間当たりのアクセス回数）が算出され、算出されたアクセス頻度が基準値（例えば５回／２４時間）以上であるか否かを、アクセス頻度判定手段２１ｇによって判定する（ステップＳ１２１）。

ここで、利用者端末１０が管理サーバ２０が設置されている国と同じ国内にある場合の基準値が「５回／２４時間」であるとすると、利用者端末１０が管理サーバ２０が設置されている会社と同じ会社の社内・営業所内にある場合の基準値は「７回／２４時間」、利用者端末１０が管理サーバ２０が設置されている会社のライバル会社の近く、国外にある場合の基準値は「３回／２４時間」などと変更（ステップＳ１２０）したうえで、アクセス頻度判定を行う（ステップＳ１２１）。

アクセス頻度が基準値未満である場合（ステップＳ１２２のＮＯルート）、その利用者端末１０は自端末内に個人情報を蓄積している可能性が低いものとみなし、管理手段２１ｋにより、その利用者端末１０についてセキュリティレベルが低く設定され（ステップＳ１２３）、利用者端末１０の動作制限が解除もしくは緩和されてから、ステップＳ１２９の処理に移行する。

なお、利用者端末１０の所在位置が管理サーバ２０が置かれている同じ社内や国内など安定した所在位置の場合には、管理手段２１ｋは、セキュリティレベルを低く設定して動作制限を緩和してもよい。

一方、アクセス頻度が基準値以上である場合（ステップＳ１２２のＹＥＳルート）、その利用者端末１０は自端末内に個人情報を蓄積している可能性が高いものとみなし、管理手段２１ｋにより、その利用者端末１０についてセキュリティレベルが高く設定され（ステップＳ１２４）、利用者端末１０の動作制限が厳格化され、利用者端末１０では、動作制限手段１３により、動作制限〔例えば、外部アクセス禁止（インターネット接続等）や、外部記憶媒体５０（ＵＳＢメモリ等）へのデータ書き出し禁止や、社外へのメール送信禁止や、メールの添付ファイルの暗号化管理のうちの少なくとも一つ〕が利用者端末１０において実行される。

なお、利用者端末１０の所在位置が管理サーバ２０が置かれている会社の社外、ライバル会社の近く、遠隔地、国外など管理が難しい所在位置の場合には、管理手段２１ｋは、セキュリティレベルを高く設定して動作制限を厳格化してもよい。

この後、探査実行指示を利用者端末１０に送信することにより、探査プログラムを当該利用者端末１０に実行させて当該利用者端末１０の記憶部１６における個人情報ファイルを、図５を参照しながら後述する手順で探査させ、探査結果収集手段２１ｉにより、ネットワーク４０および送受信手段２１ｎを介して、利用者端末１０で実行された自己探査結果（具体的には個人情報ファイルのファイル名やリンク先情報のほか判定値やＰマークなど）が受信・収集される（ステップＳ１２５）。収集された自己探査結果は、各利用者端末１０に対応付けてデータベース２２に格納され、格納された探査結果に基づいて、管理手段２１ｋにより、個人情報ファイルの管理処理（詳細については図６を参照しながら後述）が実行される（ステップＳ１２６）。

さらに、ステップＳ１１４およびＳ１１５と同様、管理手段２１ｋによって、各利用者端末１０による探査結果と、ログ収集手段２１ｂによって収集・記録されたアクセスログと、利用者情報収集手段２１ａによって収集・記録された調査結果（利用者端末１０を外部記憶媒体用ドライブ１４として機能させるプログラムの有無に関する情報）とに基づいて、各個人情報ファイルに対するアクセス状況に関する公開情報や、外部記憶媒体用ドライブ１４をインストールされた利用者端末１０に関する公開情報が作成され（ステップＳ１２７）、作成された公開情報が、表示制御部２９を介して表示部２３上で表示されたり、ネットワーク４０を介し全ての利用者端末１０や管理者に対して公開されたり、ネットワーク４０を介してメール等で全ての利用者端末１０や管理者に対して通知されたりする（ステップＳ１２８）。

探査プログラムをインストール済みの利用者端末１０の全てに対して上述したステップＳ１１８〜Ｓ１２８の処理を実行した場合（ステップＳ１２９のＹＥＳルート）、もしくは、インストール済みの利用者端末１０が無い場合（ステップＳ１１７のＮＯルート）、ステップＳ１０１に戻る。

〔２−２〕利用者端末の動作：
本システム１においては、管理サーバ２０（インストール手段２１ｈ）により探査プログラムが利用者端末１０にインストールされ、利用者端末１０が管理サーバ２０から探査実行指示を受けると、探査手段１１０としての機能が起動され、この探査手段１１０により、記憶部１６におけるデータの中から個人情報ファイルが特定され探査される。

そして、探査手段１１０によって探査された個人情報ファイル毎に、判定結果（判定値／系数値）やＰマークが、そのファイルを特定するための情報（例えばファイル名など）とともに、送受信手段１２およびネットワーク４０を通じて管理サーバ２０に探査結果として送信される。

また、利用者端末１０において、探査手段１１０によって探査された個人情報ファイルに対するアクセスが検知されると、そのアクセス内容が、ファイル毎にアクセスログとして例えば記憶部１６に記録・保存される。このとき、アクセス検知対象とする個人情報ファイルは、自端末の記憶部１６に保有されるものだけでなく、他端末／サーバに保有されるものも含んでいてもよく、この機能を用いて、管理サーバ２０のログ収集手段２１ｂがネットワーク４０上の個人情報ファイルに対するアクセスログを収集してもよい。記憶部１６に記録・蓄積されたアクセスログは、送受信手段１２およびネットワーク４０を通じて管理サーバ２０に送信・通知され、ログ収集手段２１ｂによって収集される。

さらに、利用者端末１０においては、管理サーバ２０の管理手段２１ｋによって設定されたセキュリティレベルを管理サーバ２０から受け、動作制限手段１３によって、そのセキュリティレベルに応じた動作制限が実行され、セキュリティレベルを高く設定された場合には、例えば、外部アクセス禁止（インターネット接続等）や、外部記憶媒体５０（ＵＳＢメモリ等）へのデータ書き出し禁止や、社外へのメール送信禁止や、メールの添付ファイルの暗号化管理（管理サーバ２０の、後述するファイルアクセス管理サーバとしての機能による管理下に置くこと）のうちの少なくとも一つが、利用者端末１０において実行される一方、セキュリティレベルを低く設定された場合には、その動作制限が解除もしくは緩和される。

なお、利用者端末１０において暗号化手段１５としての機能が設定されている場合、メールに添付されてもしくは外部記憶媒体５０に書き出されて外部へ送出されるファイルは、暗号化手段１５としての機能によって、コンテナ機能を有するＰＤＦファイルに変換され、そのコンテナ機能を用いて当該ＰＤＦファイルに当該ファイルのオリジナルファイル
が格納されてから、そのＰＤＦファイルは、ファイルアクセス管理サーバ２０によって管理される所定の暗号鍵で暗号化され、暗号化ファイルが作成される。このとき、当該暗号化ファイルにアクセスする利用者について、当該暗号化ファイルに対するアクセス権限（例えば閲覧権限）も、暗号化手段１５からファイルアクセス管理サーバ２０に対して自動的に設定される。

また、利用者端末１０において登録手段１５としての機能が設定されている場合、メールに添付されてもしくは外部記憶媒体５０に書き出されて外部へ送出されるファイルは、登録手段１５としての機能によって、管理サーバ２０におけるファイルアクセス管理サーバとしての機能の管理下に置くべく、サーバ２０に登録される。登録時には、登録手段１５から送受信手段１２およびネットワーク４０を介して、そのファイルがサーバ２０に送信されるとともに、登録処理に応じて、図７を参照しながら後述する手順で作成された暗号化ファイルがサーバ２０から受信される。

〔２−３〕探査手段の動作：
本実施形態の探査手段１１０では、以下のように、電話番号，電子メールアドレス，住所および氏名の出現頻度をそれぞれ数値化し、個人情報ファイルの判定（特定・探査）を行なっている。その際、切出手段１１２によって切り出された文字区間に、個人情報において出現し得ない文字／文字列として予め設定された不適切文字／不適切文字列が含まれている場合、その文字区間は、個人情報要素（本実施形態では氏名）には該当しないものと見なされて除外される一方、切出手段１１２によって切り出された文字区間に、個人情報において出現し得ない文字／文字列として予め設定された不適切文字／不適切文字列が含まれていない場合、その文字区間は、個人情報をなす個人情報要素に該当するものと見なされて、つまり個人情報要素が出現したものと見なされ、出現回数のカウントアップを行なっている。

本実施形態の利用者端末１０において、上述した探査手段１１０（探査プログラム）によって実行される、個人情報ファイルの探査動作の手順を、図５に示すフローチャート（ステップＳ１３１〜Ｓ１１４７）に従って説明する。

まず、利用者端末１０の全てのデータの中から、まだ判定対象となっていないファイルが判定対象ファイルとして一つ選択されて読み出され（ステップＳ１３１）、その判定対象ファイルから抽出手段（テキスト抽出エンジン）１１１によりテキストデータが抽出される（ステップＳ１３２）。

このようにファイルバッファに取り込まれたテキストからは、切出手段１１２により、文字区間が、上述した所定の区切り位置で区切られて切り出され、判定対象／照合対象として上記データ整形用バッファを経由して上記データ解析用バッファに順次書き出される（ステップＳ１３３）。文字区間の切り出しに際し、前述したように、切出手段１１２により、文字区間からは、英数文字，カタカナ，ひらがな，漢字以外の不要文字、例えば半角スペース，全角スペースのほか、半角ハイフン，全角ハイフン，アンダバー，括弧記号，等号，クエスチョンマーク，！，＃，＄，％，＋，＊，￥，／，｜などの記号文字が除去される。

そして、切出手段１１２によって切り出され記号文字を除去された文字区間における文字列（以下、単に文字列という）が、電話番号，電子メールアドレス，住所のうちのいずれか一つに該当するか否かを、電話番号判定手段１１３ａ，電子メールアドレス判定手段１１３ｂおよび住所判定手段１１３ｃによって順次判定する（ステップＳ１３４，Ｓ１３６，Ｓ１３８）。

まず、電話番号判定手段１１３ａにより、上記文字列が電話番号に該当するか否かが判定される（ステップＳ１３４）。その際、上記文字列が検疫テーブル１７に設定されている電話番号判定条件を満たしていれば、つまり上記文字列が９〜１１桁の半角数字もしくは全角数字の連続であり、且つ、１文字目（先頭文字）が「０」で２文字目が「０」以外であれば、上記文字列が電話番号に該当するものと判定され（ステップＳ１３４のＹＥＳルート）、その旨が第２判定手段１１６に通知され、この第２判定手段１１６において、電話番号の出現回数に対応する計数値が１だけカウントアップされ（ステップＳ１３５）、ステップＳ１４３の処理へ移行する。

上記文字列が電話番号に該当しないと判定された場合（ステップＳ１３４のＮＯルート）、電子メールアドレス判定手段１１３ｂにより、上記文字列が電話メールアドレスに該当するか否かが判定される（ステップＳ１３６）。その際、上記文字列が検疫テーブル１０ａに設定されている電子メールアドレス判定条件を満たしていれば、つまり上記文字列中に「一文字以上のＡＳＣＩＩ」＋「@（アットマーク）」＋「一文字以上のＡＳＣＩＩ
」＋「．（ドット）」＋「一文字以上のＡＳＣＩＩ」となる文字列が含まれており、且つ、当該文字列の最後の文字が半角の英字であれば、上記文字列が電子メールアドレスに該当するものと判定され（ステップＳ１３６のＹＥＳルート）、その旨が第２判定手段１１６に通知され、この第２判定手段１１６において、電子メールアドレスの出現回数に対応する計数値が１だけカウントアップされ（ステップＳ１３７）、ステップＳ１４３の処理へ移行する。

上記文字列が電子メールアドレスに該当しないと判定された場合（ステップＳ１３６のＮＯルート）、住所判定手段１１３ｃにより、上記文字列が住所（居所）に該当するか否かが判定される（ステップＳ１３８）。その際、上記文字列が検疫テーブル１０ａに設定されている住所判定条件を満たしていれば、つまり上記文字列中に「１文字以上１３文字以下の全角文字」＋「市」または「区」または「郡」＋「一文字以上の全角文字または半角文字」となる文字列が含まれており、且つ、当該文字列の先頭文字が日本全国における４７都道府県名もしくは市区郡名の頭文字と一致していれば、上記文字列が住所に該当するものと判定され（ステップＳ１３８のＹＥＳルート）、その旨が第２判定手段１１６に通知され、この第２判定手段１１６において、住所（居所）の出現回数に対応する計数値が１だけカウントアップされ（ステップＳ１３９）、ステップＳ１４３の処理へ移行する。

上記文字列が住所に該当しないと判定された場合（ステップＳ１３８のＮＯルート）、つまり第１判定手段１１３によって上記文字列が電話番号，電子メールアドレス，住所のうちのいずれにも該当しないと判定された場合、文字判定手段１１４により、その文字列が、検疫テーブル１０ａに設定されている文字判定条件（文字数が２以上６以下であり且つ全ての文字が漢字であり且つ上記文字列の先頭文字が日本人に多い苗字上位所定数に属する苗字の頭文字と一致すること）を満たすか否かが判定される（ステップＳ１４０）。この文字判定条件を満たさない場合（ステップＳ１４０のＮＯルート）、ステップＳ１４３の処理へ移行する。

一方、この文字判定条件を満たす場合（ステップＳ１４０のＹＥＳルート）、照合手段１１５により、当該文字区間（上記文字列）に含まれる文字／文字列と検疫テーブル１０ａに設定されている氏名についての不適切文字／不適切文字列とが照合され、当該文字区間に不適切文字／不適切文字列が含まれるか否かが判定される（ステップＳ１４１）。当該文字区間に、一つでも不適切文字／不適切文字列と一致する文字／文字列が存在した場合（ステップＳ１４１のＹＥＳルート）には、その時点で不適切文字／不適切文字列との照合処理を直ちに終了し、ステップＳ１４３の処理へ移行する。

また、当該文字区間に不適切文字／不適切文字列が含まれていない場合（ステップＳ１４１のＮＯルート）、その照合判定結果が第２判定手段１１６に通知され、この第２判定手段１１６において、当該文字区間が氏名に該当するものと見なされ、氏名の出現回数に対応する計数値が１だけカウントアップされ（ステップＳ１４２）、ステップＳ１４３の処理へ移行する。

ステップＳ１４３では、判定対象ファイルから抽出されたテキストデータから未だ切り出されていない文字区間の有無が判定され、有る場合（ＹＥＳルート）には、ステップＳ１３３に戻り、上述と同様の処理（ステップＳ１３３〜Ｓ１４２）を繰り返し実行する。このようにして全ての文字区間がテキストデータから切り出され全ての文字区間に対する判定処理，照合処理，計数処理等を終了すると（ステップＳ１４３のＮＯルート）、第２判定手段１１６において、電話番号，電子メールアドレス，住所，氏名のそれぞれについての計数値に基づいて、上述した判定値が算出される（ステップＳ１４４）。

そして、第２判定手段１１６においては、ステップＳ１４４で算出された判定値に基づいて、上述したように、判定対象子ファイルが個人情報ファイルであるか否かが判定されるとともに、Ｐマークのランク付け（本実施形態では“Ｐ１”〜“Ｐ４”の４つ）が行なわれる（ステップＳ１４５）。

この後、利用者端末１０における全てのファイルについて個人情報の探査を行なったか否かを判定し（ステップＳ１４６）、まだ未探査の電子ファイルが存在する場合（ステップＳ１４６のＮＯルート）、ステップＳ１３１に戻り上述と同様の処理を実行する一方、全てのファイルについて探査を完了した場合（ステップＳ１４６のＹＥＳルート）、ステップＳ１４５での個人情報ファイルの判定結果やＰマークのランク付けの結果は、探査結果として、送受信手段１２およびネットワーク４０を介して管理サーバ２０に通知され（ステップＳ１４７）、個人情報ファイルの探査動作を終了する。

〔２−４〕公開情報の具体例：
ここで、ステップＳ１１４／Ｓ１２７で作成されステップＳ１１５／Ｓ１２８で公開される公開情報の具体例について、図９〜図１６を参照しながら説明する。なお、図９〜図１６は、いずれも管理手段２１ｋによって作成され公開される公開情報（利用者端末１０や管理サーバ２０のディスプレイに表示される画面やリスト）の具体例を示す図である。

図９には、月毎に集計された個人情報ファイル数および個人情報保有数を棒グラフとしてディスプレイに表示する画面１０１と、この画面１０１から「件数」（ここでは「１０００件〜１０００００件」）でドリルダウンされてディスプレイに表示されるリスト１０２と、画面１０１から「月」でドリルダウンされてディスプレイに表示される画面（部署毎の棒グラフ表示）１０３と、さらに、この画面１０３から「部署名」（ここでは「営業部」）でドリルダウンされてディスプレイに表示されるリスト１０４とが示されている。リスト１０２，１０４では、個人情報ファイル毎に、そのファイル名と、その個人情報ファイルに含まれる個人情報件数（例えば個人情報要素の数）と、その個人情報ファイルを保有する利用者端末１０の所有者名と、その利用者端末１０のＰＣ名と、その利用者端末１０の属する部署名や職務とが表示されている。

図１０には、部署毎／アクセス種別毎に集計された個人情報ファイルに対するアクセス数（個人情報アクセス記録）を棒グラフとしてディスプレイに表示する画面１０５と、この画面１０５から、「部署名」および「アクセス種別」でドリルダウンされてディスプレイに表示されるリスト１０６，１０７とが示されている。リスト１０６は「営業部」および「ファイル保存」でドリルダウン表示されるものであり、リスト１０７は「営業部」および「ＵＳＢ」でドリルダウン表示されるものであり、これらのリスト１０６，１０７で
は、アクセスを行なった利用者端末１０の所有者名毎に、その利用者端末１０のＰＣ名と、アクセス日時と、アクセスを行なった個人情報ファイルのファイル名と、ドキュメントパス／ドキュメント操作／プリンタ名／ＦＴＰサーバ／ＦＴＰコマンド等とが表示されている。なお、図中、アクセス種別「ＦＴＰ」はＦＴＰサーバとの間のアップロード／ダウンロード、「ＵＳＢ」は外部記憶媒体（ＵＳＢメモリ）へのアクセス、「変更」はリネーム、「保存」はファイルの上書き保存のことである。このようなリスト１０６，１０７により、個人情報流出につながる可能性のある個人情報ファイルへのアクセスを記録し把握することができる。

図１１は、図１０に示した画面１０５を簡略化した例を示すもので、この図１１には、部署毎に集計された個人情報ファイルに対するアクセス数（個人情報アクセス記録）を棒グラフとしてディスプレイに表示する画面１０８と、この画面１０８から「部署名」（ここでは「営業部」）でドリルダウンされてディスプレイに表示されるリスト１０９とが示されている。リスト１０９では、選択された部署における利用者端末１０の所有者名毎に、その利用者端末１０のＰＣ名と、アクセス日時と、アクセスを行なった個人情報ファイルのファイル名と、ドキュメントパスおよび操作内容とが表示されている。このようなリスト１０９により、個人情報流出の可能性のあるユーザ操作を把握することができる。

図１２には、部署毎に集計された、個人情報ファイルを保有し且つ大容量記憶デバイス（外部記憶媒体用ドライブ１４）をインストール済みの対象ＰＣ数を棒グラフとしてディスプレイに表示する画面１３０と、この画面１３０から「部署名」（ここでは「営業部」）でドリルダウンされてディスプレイに表示されるリスト１３１とが示されている。リスト１３１では、アクセスを行なった利用者端末１０の所有者名毎に、その利用者端末１０のＰＣ名と、その利用者端末１０が保有する個人情報ファイルのファイル名，ドキュメントパスおよび操作内容とが表示されている。このようなリスト１３１により、個人情報流出の可能性のあるユーザ操作を把握することができる。

図１３には、部署毎に集計された、個人情報ファイルの外部メディア（外部記憶媒体５０）への書出し回数を棒グラフとしてディスプレイに表示する画面１３２と、この画面１３２から「部署名」（ここでは「営業部」）でドリルダウンされてディスプレイに表示されるリスト１３３とが示されている。リスト１３３では、選択された部署における利用者端末１０の所有者名毎に、その利用者端末１０のＰＣ名と、書出し日時と、その書出し対象となった個人情報ファイルのファイル名，ドキュメントパスおよび操作内容とが表示されている。このようなリスト１３３により、個人情報流出の可能性のあるユーザ操作を把握することができる。

図１４には、部署毎に集計された、個人情報ファイルのＦＴＰ転送回数を棒グラフとしてディスプレイに表示する画面１３４と、この画面１３４から「部署名」（ここでは「営業部」）でドリルダウンされてディスプレイに表示されるリスト１３５とが示されている。リスト１３５では、選択された部署における利用者端末１０の所有者名毎に、その利用者端末１０のＰＣ名と、ＦＴＰ転送日時と、その転送対象となった個人情報ファイルのファイル名，ＦＴＰサーバ名およびＦＴＰコマンドとが表示されている。このようなリスト１３５により、個人情報流出の可能性のあるユーザ操作を把握することができる。

図１５には、部署毎に集計された、個人情報ファイルのリネーム回数を棒グラフとしてディスプレイに表示する画面１３６と、この画面１３６から「部署名」（ここでは「営業部」）でドリルダウンされてディスプレイに表示されるリスト１３７とが示されている。リスト１３７では、選択された部署における利用者端末１０の所有者名毎に、その利用者端末１０のＰＣ名と、リネーム日時と、そのリネーム対象となった個人情報ファイルのファイル名およびドキュメントパスとが表示されている。このようなリスト１３７により、
個人情報流出の可能性のあるユーザ操作を把握することができる。

図１６には、禁止閲覧サイト毎に集計されたアクセス回数を棒グラフとしてディスプレイに表示する画面１３８と、この画面１３８から「サイト名」（ここでは「ファイル便」）でドリルダウンされてディスプレイに表示されるリスト１３９とが示されている。リスト１３９では、選択されたサイトにアクセスした利用者端末１０の所有者名毎に、その利用者端末１０のＰＣ名と、アクセス時間とが表示されている。このようなリスト１３９により、閲覧禁止サイトへのアクセスを監視することができる。

〔２−５〕Ｐマークに基づく管理サーバの管理動作：
次に、探査手段１１０による探査結果として得られたＰマークに基づく管理サーバ２０（管理手段２１ｋ）の管理動作について、図６に示すフローチャート（ステップＳ２０〜Ｓ２９）に従って説明する。

管理手段２１ｋでは、利用者端末１０から得られた個人情報ファイルの判定結果（Ｐマークテーブル）を参照し、個人情報ファイル（Ｐマークを付与されたファイル）の有無を判定する（ステップＳ２０）。個人情報ファイルが存在する場合（ステップＳ２１のＹＥＳルート）、個人情報ファイルの探査結果〔ここではＰマークレベル（ランク）〕に応じて、管理手段２１ｋにより、各個人情報ファイルに対する管理・操作が以下のように行なわれる（ステップＳ２１〜Ｓ２９）。

まず、Ｐマークレベル“Ｐ１”の個人情報ファイルの有無が判定され（ステップＳ２１）、Ｐマークレベル“Ｐ１”の個人情報ファイルがある場合（ステップＳ２１のＹＥＳルート）、その個人情報ファイルをアクセス監視対象（アクセスログの記録対象）として設定・登録する（ステップＳ２２）。

Ｐマークレベル“Ｐ１”の個人情報ファイルがない場合（ステップＳ２１のＮＯルート）、もしくは、ステップＳ２２での登録後、Ｐマークレベル“Ｐ２”の個人情報ファイルの有無が判定され（ステップＳ２３）、Ｐマークレベル“Ｐ２”の個人情報ファイルがある場合（ステップＳ２３のＹＥＳルート）、その個人情報ファイルをアクセス監視対象として設定・登録するとともに、その個人情報ファイルの利用者に対して注意を促すべくポップアップ表示による注意情報が通知される（ステップＳ２４）。

Ｐマークレベル“Ｐ２”の個人情報ファイルがない場合（ステップＳ２３のＮＯルート）、もしくは、ステップＳ２４での注意情報通知後、Ｐマークレベル“Ｐ３”の個人情報ファイルの有無が判定され（ステップＳ２５）、Ｐマークレベル“Ｐ３”の個人情報ファイルがある場合（ステップＳ２５のＹＥＳルート）、その個人情報ファイルをアクセス監視対象として設定・登録するとともに、その個人情報ファイルを保管している利用者が存在する旨が、システム管理者に対し警告情報としてメール等により通知されるとともに、その個人情報ファイルの返却が利用者に指示される（ステップＳ２６）。

Ｐマークレベル“Ｐ３”の個人情報ファイルがない場合（ステップＳ２５のＮＯルート）、もしくは、ステップＳ２６で警報情報通知および返却指示を行なった後、Ｐマークレベル“Ｐ４”の個人情報ファイルの有無が判定され（ステップＳ２７）、Ｐマークレベル“Ｐ４”の個人情報ファイルがある場合（ステップＳ２７のＹＥＳルート）、その個人情報ファイルが利用者端末１０から強制的に捕獲・回収され（ステップＳ２８）、さらに、その個人情報ファイルをファイルアクセス管理サーバ２０の管理下に置き、その個人情報ファイルに対するアクセスをファイルアクセス管理サーバ２０に管理させる（ステップＳ２９）。Ｐマークレベル“Ｐ４”の個人情報ファイルがない場合（ステップＳ２７のＮＯルート）、もしくは、ステップＳ２９での処理終了後、管理動作を終了する。

なお、前述した通り、Ｐマークレベル“Ｐ４”の個人情報ファイルについては、その個人情報ファイルが利用者端末１０から外部へ出力されるのを強制的に禁止したり、個人情報ファイルを管理者のみがアクセス可能なフォルダに格納したりしてもよい。また、Ｐマークレベル“Ｐ３”の個人情報ファイルが所定日数放置された場合、Ｐマークレベル“Ｐ４”の個人情報ファイルと同様の処置を実行してもよい。さらに、Ｐマークレベル“Ｐ１”〜“Ｐ４”の個人情報ファイルの全てをファイルアクセス管理サーバ２０の管理下に置くようにしてもよい。

〔２−６〕ファイルアクセス管理サーバの動作：
次に、図７および図８を参照しながら、ファイルアクセス管理サーバ２０の動作について説明する。

まず、図７に示すフローチャート（ステップＳ３１〜Ｓ３４）に従って、本実施形態のファイルアクセス管理サーバ２０によるファイル変換動作を説明する。
ファイルアクセス管理サーバ２０において、管理対象のファイルが、ファイルアクセス管理サーバ２０による管理対象として登録されるべく各利用者端末１０からネットワーク４０経由で個人情報ファイル受信手段２１ｎａにより受信されると（ステップＳ３１のＹＥＳルート）、そのファイルが、暗号化手段２１ｏにより、ＰＤＦファイルに変換され（ステップＳ３２）、さらに、所定の暗号鍵を用いて暗号化処理（鍵掛け処理）が行なわれる（ステップＳ３３）。そして、暗号化ファイルは、暗号化ファイル送信手段２１ｂによりネットワーク４０経由で利用者端末１０に送信される（ステップＳ３４）。

ついで、図８に示すフローチャート（ステップＳ４１〜Ｓ４５）に従って、本実施形態のファイルアクセス管理サーバ２０による認証動作について説明する。
利用者端末１０の利用者が、暗号化ファイルの内容を閲覧しようとする場合、その利用者によって認証情報が入力されファイルアクセス管理サーバ２０へ送信される。そして、その認証情報がネットワーク４０経由で認証情報受信手段２１ｎｃにより受信されると（ステップＳ４１のＹＥＳルート）、判定手段２１ｐは、認証情報に含まれるユーザＩＤによってデータベース２２を検索し、そのユーザＩＤに対応する登録パスワードをデータベース２２から読み出し、認証情報に含まれるパスワードと、データベース２２から読み出された登録パスワードとを比較し、これらのパスワードが一致するか否かの判定（利用者認証；ステップＳ４２）を行なう。

これらのパスワードが一致し、利用者端末１０の利用者が正当な登録者（正当な送信先）であることが認証されると（ステップＳ４３のＹＥＳルート）、復号鍵送信手段２１ｎｄにより、暗号化ファイルを復号化するための復号鍵がデータベース２２から読み出され、その利用者端末１０にネットワーク４０経由で送信される（ステップＳ４４）。

そして、利用者端末１０において、復号鍵が受信されると、その復号鍵を用いて暗号化ファイルが復号化されて元のファイルが復元され、そのファイルに対し、予め与えられたアクセス権限に応じたアクセスが実行される。例えば、前述したようにアクセス権限として閲覧権限のみが与えられている場合、利用者は、復元されたファイルの内容を閲覧することはできるが、閲覧以外のアクセス、例えばプリンタによる印刷出力や他の記録媒体へのコピーや画面コピー（画面キャプチャ）や別名保存などのアクセスは一切行なうことができない。

一方、ファイルアクセス管理サーバ２０の判定手段２１ｐによりパスワードが不一致であると判定された場合、もしくは、ユーザＩＤに対応する登録パスワードがデータベース２２に登録されていなかった場合には、利用者が正当な登録者（正当な送信先）ではない
と判定され（ステップＳ４３のＮＯルート）、ファイルアクセス管理サーバ２０から利用者端末１０にネットワーク４０経由でエラー通知が行なわれる（ステップＳ４５）。

〔３〕本実施形態の個人情報管理システムの効果：
このように本発明の一実施形態としての管理システム１や管理サーバ２０によれば、管理サーバ２０の管理範囲に含まれる、利用者端末１０と個人情報ファイル（個人情報要素を所定数以上保有しているファイル）とが管理サーバ２０によって管理され、管理サーバ２０によって管理されている個人情報ファイルに対するアクセス頻度が基準値以上の利用者端末１０が認識されると、その利用者端末１０には個人情報ファイルが保有されている可能性が高いものとみなし、その利用者端末１０に対して探査プログラムが自動的かつ強制的にインストールされる。このとき、個人情報ファイルに対するアクセス頻度が基準値未満の利用者端末１０は自端末内に保護対象情報を蓄積している可能性が低いものとみなし、その利用者端末１０に対する探査プログラムのインストールは行なわない。

なお、利用者端末の所在位置を検出して、検出された利用者端末の所在位置に応じて基準値を変更することで、特定の個人についての個人情報を利用する利用者に対し、その利用者あるいは利用者所在位置において適した内容の電子情報ファイルを取り扱いできるようにして、たとえば、社内や国内など安定した所在位置の場合には基準を緩やかにすると共に、社外や遠隔地や国外など管理が難しい所在位置の場合には基準を厳格化することで、個人情報の不用意な流出・漏洩や個人情報の不正利用などを確実に防止し、個人情報の保護を実現することが可能になる。

そして、探査プログラムをインストールされた利用者端末１０において探査プログラムが自動的かつ強制的に実行されることにより、個人情報ファイルが自己探査され、その自己探査結果が管理サーバ２０に収集される。つまり、個人情報ファイルにアクセスし自端末内に保護対象情報を蓄積した可能性の高い利用者端末１０において、個人情報ファイルの自己探索が強制的に実行され、そのようなファイルを管理サーバ２０の管理下に置くとともに、その自己探索結果や個人情報ファイルに対するアクセス頻度に基づいて利用者端末１０を管理することができる。

これにより、個人情報ファイルが保有されている可能性が高い利用者端末１０については、自動的かつ強制的に探査プログラムがインストールされて個人情報ファイルの自己探査が行なわれ、探査された個人情報ファイルが直ちに管理サーバ２０の管理下に置かれ、個人情報の不用意な流出・漏洩や不正利用などを確実に防止することができる。また、個人情報ファイルが保有されている可能性が低い利用者端末１０については、探査プログラムのインストールや自己探査を行なわずに済むため、効率的な処理によって、個人情報ファイルの探査を確実に行なうことができ、個人情報の不用意な流出・漏洩や不正利用などを確実に防止できる利点がある。

ここで、管理対象ファイルに対するアクセス頻度、もしくは、利用者端末１０の所在位置の少なくとも一方に応じて利用者端末についてのセキュリティレベルを設定することにより、保護対象情報を含むファイルが保有されている可能性が高い利用者端末については動作制限を厳格化すると共に、上記可能性の低い場合には端末は動作制限を緩やかにして効率よく使用できる環境が提供されることになる。これにより、個人情報や機密情報の不用意な流出・漏洩や不正利用などをより確実に防止することができる。

なお、利用者端末１０の所在位置を検出して、検出された利用者端末の所在位置に応じてセキュリティレベを変更することで、特定の個人についての個人情報を利用する利用者に対し、その利用者あるいは利用者所在位置において適した内容の電子情報ファイルを取り扱いできるようにして、たとえば、社内や国内など安定した所在位置の場合には基準を
緩やかにすると共に、社外や遠隔地や国外など管理が難しい所在位置の場合には基準を厳格化することで、個人情報の不用意な流出・漏洩や個人情報の不正利用などを確実に防止し、個人情報の保護を実現することが可能になる。

このとき、個人情報ファイルに対するアクセス頻度に応じて利用者端末１０についてのセキュリティレベルを設定することにより、個人情報ファイルが保有されている可能性が高い利用者端末１０、つまりは、個人情報ファイルの不用意な流出・漏洩や不正利用などが発生する可能性の高い利用者端末１０についてはセキュリティレベルを高く設定して動作制限（外部アクセス禁止，外部記憶媒体５０へのデータ書き出し禁止，社外へのメール送信禁止，添付ファイルの暗号化管理）が厳格化される一方でその可能性の低い利用者端末１０についてはセキュリティレベルを低く設定して動作制限が解除もしくは緩和される。

これにより、上記可能性の低い場合には端末１０を効率よく使用できる環境が提供されることになるので、利用者は、自発的に、自分の端末１０を上記可能性の低い状態に移行させるようになり、個人情報の不用意な流出・漏洩や不正利用などをより確実に防止することができる。

また、ここで、暗号化された管理対象ファイルが利用者端末１０側で開封される際に、利用者端末１０の所在位置を検出し、所在位置が所定条件を満たしていると判定された場合に利用者端末１０での管理対象ファイルの開封を許可する一方、所在位置が前記所定条件を満たしていないと判定された場合に利用者端末１０での管理者対象ファイルの開封を禁止する制御を管理サーバ２０から行うことにより、個人情報を含む管理対象ファイルを利用する利用者に対し、その利用者あるいは利用者所在位置において適した内容の電子情報ファイルの取り扱い（開封）が可能になり、たとえば、社内や国内など安定した所在位置の場合には開封許可にすると共に、社外や遠隔地や国外など管理が難しい所在位置の場合には開封禁止のように基準を厳格化することで、個人情報の不用意な流出・漏洩や個人情報の不正利用などを確実に防止し、個人情報の保護を実現することが可能になる。

また、個人情報ファイルに対するアクセス頻度に応じてアクセス状況の公開を行なうことにより、個人情報ファイルが保有されている可能性が高い利用者端末１０、つまりは、個人情報ファイルの不用意な流出・漏洩や不正利用などが発生する可能性の高い利用者端末１０については、例えば図９〜図１６に示したように、個人情報ファイルに対するアクセス状況（例えば、個人情報ファイルのファイル名，ＰＣ名，所有者名，個人情報ファイルの数の集計結果，個人情報ファイルに対するアクセスの回数の集計結果など）が公開される。これにより、利用者が、自発的に、個人情報ファイルに対するアクセスを行なわなくなるような環境が提供されるとともに、不正なアクセスが発覚しやすく不正行為を行ない難い環境が提供されることになり、個人情報の不用意な流出・漏洩や不正利用などをより確実に防止することができる。

また、外部記憶媒体用ドライブ１４をインストールされた利用者端末１０に関する情報（例えば、その利用者端末のＰＣ名，その利用者端末の所有者名，個人情報ファイルのファイル名，その個人情報ファイルの書出し回数など）が公開されることで、利用者が、自発的に、外部記憶媒体用ドライブ１４をインストールしなくなるようになったり、インストールしていてもそのドライブ１４を用いて個人情報ファイルの書出しを行なわなくなるような環境が提供されることになり、個人情報の不用意な流出・漏洩や不正利用などをより確実に防止することができる。

このとき、本実施形態のごとく、特定の個人を識別可能な個人情報要素を所定数以上保有している個人情報ファイルを管理対象ファイルとする場合、本実施形態の探査手段１１
０の第２判定手段１１６において、電話番号，電子メールアドレス，住所のいずれにも該当せず且つ不適切文字／不適切文字列を含む文字区間は、個人情報に関するものではないと見なされる一方、電話番号，電子メールアドレス，住所のいずれにも該当せず且つ不適切文字／不適切文字列を含まない文字区間は、氏名に関するものであると見なされる。

従って、第１判定手段１１３において電話番号，電子メールアドレス，住所のいずれか一つに該当すると判定された文字区間については、その判定がなされた時点で判定処理を終了し、電話番号，電子メールアドレス，住所のいずれにも該当しないと判定された文字区間についてのみ不適切文字／不適切文字列との照合処理が行なわれ、さらに、照合手段１１５において不適切文字／不適切文字列が一つでも文字区間に含まれると判定された時点で、その照合処理を終了させることができるので、氏名リストに含まれる全ての氏名文字列との照合を行なう手法に比べ、氏名の照合処理を高速に行なえ、つまりは個人情報ファイルの判定処理を高速に行なうことが可能になる。

このとき、第１判定手段１１３において、判定処理の負荷の軽いものから順に、つまり電話番号，電子メールアドレス，住所の順で文字区間における文字列の判定処理を行なうことで、判定処理をより高速に効率良く実行することが可能になる。

また、第２判定手段１１６において不適切文字／不適切文字列を含まない文字区間を全て氏名に該当するものと見なすので、氏名についての不適切文字／不適切文字列を含まない電子ファイル、即ち、氏名情報を含む可能性が高く個人情報ファイルである可能性の高い電子ファイルを確実に判定することが可能になる。つまり、個人情報ファイルである可能性の高い電子ファイル（疑わしい電子ファイル）を確実に洗い出すことができる。

さらに、本実施形態では、文字判定手段１１４により、文字区間の文字数が１以上６以下であって且つその文字区間の文字が全て漢字であるか否かを判定し、この文字判定条件を満たす文字区間のみを照合手段１１５による照合対象としているので、照合手段１１５による照合対象の文字区間が、より氏名の可能性の高い文字区間に絞り込まれることになり、氏名の照合精度を向上させることができるとともに、氏名の照合処理を高速に行なうことができる。また、文字数が６を超える長い文字区間が、照合手段１１５による照合対象から除外されるので、氏名の照合処理のさらなる高速化、つまりは個人情報ファイルの判定処理のさらなる高速化に寄与することになる。

特に、本実施形態の探査手段１１０によれば、切出手段１１２によりテキストデータから判定対象の文字区間として切り出す際、テキストデータ内の要素が明確な区切り文字によって区切られていない場合であっても、１バイトコード文字と２バイトコード文字との境界位置つまり半角文字と全角文字との境界位置（半角文字のあとに全角文字が続く部分もしくは全角文字のあとに半角文字が続く部分）や、全角算用数字と全角算用数字およびハイフンを除く文字との境界位置で、テキストデータが区切られて文字区間として切り出されることになる。

これにより、全角文字で記載された住所や氏名などと半角文字で記載された電話番号や電子メールアドレスなどの文字列とがテキストデータにおいて区切り文字によって区切られることなく混在する場合や、全角文字で記載された住所や氏名などと全角文字で記載された電話番号などの数字列とがテキストデータにおいて区切り文字によって区切られることなく混在する場合であっても、住所，氏名，電話番号，電子メールアドレスなどの個人情報要素毎に文字区間を切り出すことができる。従って、住所，氏名，電話番号，電子メールアドレスなどの個人情報要素の判定を確実に行なえるようになり、個人情報ファイルを効率よく短時間で確実に判定することができる。

また、電子メールアドレス判定手段１１３ｂによる電子メールアドレス判定条件として、判定対象の文字区間における文字列に「一文字以上のＡＳＣＩＩ文字」＋「@（アット
マーク）」＋「一文字以上のＡＳＣＩＩ文字」＋「.（ドット）」＋「一文字以上のＡＳ
ＣＩＩ文字」となる文字列が含まれており、且つ、当該文字列の最後の文字が半角の英字であることを設定することにより、「@（アットマーク）」を単価や単位の表示に用いて
いる文字列であって、「@（アットマーク）」のあとに「一文字以上の半角数字」＋「.（ドット）」＋「一文字以上の半角数字」となる数字列（例えば「123@45.67」）を、電子
メールアドレスとして誤って判定することを確実に防止することができる。従って、電子メールアドレスなどの個人情報要素の判定を確実に行なえるようになり、個人情報ファイルを効率よく短時間で確実に判定することができる。

電子メールアドレスにおいて“@”以降の最後の「.（ドット）」以降の文字列は、現在のところ、必ず、例えば“com”，“net”，“jp”などの英字列になっている。また、“@”は、一般に、単価や単位の表示に用いられることが多々ある。例えば、ある物品の１
個当たりの値段や重さを表示する際、“@100.00”とか“@10.55”というように“@”を用いる場合がある。このため、電子メールアドレス判定条件が、単に判定対象の文字区間における文字列に「一文字以上のＡＳＣＩＩ文字」＋「@（アットマーク）」＋「一文字以
上のＡＳＣＩＩ文字」＋「.（ドット）」＋「一文字以上のＡＳＣＩＩ文字」となる文字
列が含まれていることとすると、上記のような“@100.00”や“@10.55”を含む文字列も
電子メールアドレスとして誤って認識してしまうことになるが、文字列の最後の文字が半角の英字であることを電子メールアドレス判定条件に追加することで、上述のような数字列“@100.00”や“@10.55”を含む文字列を電子メールアドレスとして誤認識するのを確
実に防止することができるのである。

さらに、住所判定手段１１３ｃによる住所判定条件として、判定対象の文字区間における文字列に「一文字以上の全角文字」＋「市」または「区」または「郡」＋「一文字以上の全角文字または半角文字」となる文字列が含まれていることに加え、判定対象の文字区間の先頭文字と４７都道府県名もしくは市区郡名の頭文字との一致をみることで、「市」，「区」，「郡」を途中に含む文字列であるが住所とは全く関係の無い文字列を誤って住所として判定することがなくなり、４７都道府県名もしくは市区郡名の完全一致を判定する場合に比べ極めて短時間で、住所としての確度の高い文字区間を効率よく確実に判定することができる。

またさらに、文字判定手段１１４による文字判定条件（氏名判定条件）に、判定対象の文字列の先頭文字が、日本人に多い苗字上位所定数（例えば上位３０００種類）に属する苗字の頭文字と一致することを追加することにより、苗字の完全一致を判定する場合に比べ極めて短時間で、氏名としての確度の高い文字区間を効率よく確実に判定することができる。

そして、管理サーバ２０の管理手段２１ｋにより、第２判定手段１１６で得られた計数結果（判定値レベル）に応じて、個人情報ファイルであると判定された電子ファイルの管理を行なうことにより、個人情報ファイル毎に、判定値レベル（個人情報ファイルである可能性の高さ／個人情報要素数の多さ）に応じた管理手法を選択して実行することができる。

一方、利用者端末１０から外部へ送出されるファイルを、利用者端末１０もしくはファイルアクセス管理サーバ２０において暗号化ファイルに変換することで、外部送出対象のファイルについては暗号化ファイルに変換された上で送出されるので、そのファイルが、万人が参照可能な状態で各端末１０から外部へ持ち出されるのを抑止でき、個人情報や機密情報の不用意な流出・漏洩や不正利用などを確実に防止することができる。

このとき、暗号化ファイルの正当な利用者については、ファイルアクセス管理サーバ２０により正当な利用者であることを認証されれば、ファイルアクセス管理サーバ２０から受信した復号鍵で暗号化ファイルを復号し、暗号化ファイルの内容に対するアクセスが可能になるが、その他の利用者は、暗号化ファイルを復号することができず、その内容に対するアクセスを行なうことは不可能になっている。つまり、ファイルは、正当な利用者のみがアクセス可能な暗号化ファイルに変換された上で外部に送出されるので、上述のごとく個人情報や機密情報の不用意な流出・漏洩や不正利用などを確実に防止しながら、正当な利用者のアクセスは可能になるので、正当な利用者についての利便性を損なうことがない。

なお、このとき、ファイルのオリジナルは完全文書ファイルに格納されて暗号化されることになるので、そのファイルのオリジナルは、そのままの状態、即ち利用者端末１０において万人が参照可能な状態で残ることがないので、個人情報や機密情報の不用意な流出・漏洩や不正利用などをより確実に防止することができる。

〔４〕本実施形態の変形例：
なお、本発明は上述した実施形態に限定されるものではなく、本発明の趣旨を逸脱しない範囲で種々変形して実施することができる。

例えば、上述した実施形態では、管理対象ファイルが個人情報ファイルである場合について説明したが、本発明は、これに限定されるものではなく、個人情報以外の機密情報を含む機密情報ファイルを管理対象ファイルとしてもよい。この場合、機密情報ファイルを判定するための所定条件は、機密情報を含むレコード（機密情報要素）を所定数以上保有していることであり、機密情報要素は、例えば、発表前の新製品，特許出願前の技術，経営戦略などで使用される文字列である。なお、このような機密情報ファイルについても、個人情報ファイルと同様にして、探査手段１１０によって探査することができ、上述した実施形態と同様の作用効果を得ることができる。

また、不正アクセス，情報漏洩，データ毀損などに対して保険金の支払いを行う保険が存在する場合において、以上の実施形態を用いることでリスクが大幅に減少することが予想されるため、本実施形態の管理サーバ２０での認証された状態で個人情報を扱う利用者端末１０では、認証情報を管理サーバ２０から保険会社のサーバに転送して保険会社側で確認することで、保険掛け金の割引きをすることも可能である。この場合、管理サーバ２０側では認証を完了したデータや利用者端末１０の情報を保険会社に転送するだけであり、システムの大幅な改良を要しない。また、保険会社側でも、認証を完了したデータを受けることで、確実な状態を確保しつつ、料金（保険掛け金）の値下げを実行することが可能になる。

〔５〕その他：
上述した探査手段１１０，動作制限手段１３，利用者情報収集手段２１ａ，ログ収集手段２１ｂ，アクセス頻度算出手段２１ｅ，アクセス頻度判定手段２１ｇ，インストール手段２１ｈ，探査結果収集手段２１ｉおよび管理手段２１ｋとしての機能（各手段の全部もしくは一部の機能）は、コンピュータ（ＣＰＵ，情報処理装置，各種端末を含む）が所定のアプリケーションプログラム（探査プログラム，管理プログラム）を実行することによって実現される。

そのプログラムは、例えばフレキシブルディスク，ＣＤ（ＣＤ−ＲＯＭ，ＣＤ−Ｒ，ＣＤ−ＲＷなど），ＤＶＤ（ＤＶＤ−ＲＯＭ，ＤＶＤ−ＲＡＭ，ＤＶＤ−Ｒ，ＤＶＤ−ＲＷ，ＤＶＤ＋Ｒ，ＤＶＤ＋ＲＷなど）等のコンピュータ読取可能な記録媒体に記録された形
態で提供される。この場合、コンピュータはその記録媒体から管理プログラムを読み取って内部記憶装置または外部記憶装置に転送し格納して用いる。また、そのプログラムを、例えば磁気ディスク，光ディスク，光磁気ディスク等の記憶装置（記録媒体）に記録しておき、その記憶装置から通信回線を介してコンピュータに提供するようにしてもよい。

ここで、コンピュータとは、ハードウエアとＯＳ（オペレーティングシステム）とを含む概念であり、ＯＳの制御の下で動作するハードウエアを意味している。また、ＯＳが不要でアプリケーションプログラム単独でハードウェアを動作させるような場合には、そのハードウェア自体がコンピュータに相当する。ハードウエアは、少なくとも、ＣＰＵ等のマイクロプロセッサと、記録媒体に記録されたプログラムを読み取るための手段とを備えている。上記管理プログラムとしてのアプリケーションプログラムは、上述のようなコンピュータに、探査手段１１０，動作制限手段１３，利用者情報収集手段２１ａ，ログ収集手段２１ｂ，アクセス頻度算出手段２１ｅ，アクセス頻度判定手段２１ｇ，インストール手段２１ｈ，探査結果収集手段２１ｉおよび管理手段２１ｋとしての機能を実現させるプログラムコードを含んでいる。また、その機能の一部は、アプリケーションプログラムではなくＯＳによって実現されてもよい。

さらに、本実施形態における記録媒体としては、上述したフレキシブルディスク，ＣＤ，ＤＶＤ，磁気ディスク，光ディスク，光磁気ディスクのほか、ＩＣカード，ＲＯＭカートリッジ，磁気テープ，パンチカード，コンピュータの内部記憶装置（ＲＡＭやＲＯＭなどのメモリ），外部記憶装置等や、バーコードなどの符号が印刷された印刷物等の、コンピュータ読取可能な種々の媒体を利用することもできる。

〔６〕付記：
（付記１）
ネットワークを介して利用者端末と相互に通信可能に接続され該利用者端末を管理するとともに、保護対象情報に係る要素を所定数以上保有しているファイルを管理対象ファイルとして管理する管理サーバであって、
該利用者端末による該管理対象ファイルに対するアクセスのログを収集するログ収集手段と、
該ログ収集手段によって収集されたログに基づいて、該利用者端末の該管理対象ファイルに対するアクセス頻度を算出するアクセス頻度算出手段と、
該アクセス頻度算出手段によって算出された該アクセス頻度が基準値以上であるか否かを判定するアクセス頻度判定手段と、
該アクセス頻度判定手段によって該利用者端末の該管理対象ファイルに対するアクセス頻度が基準値以上であると判定された場合、該保護対象情報に係る要素を所定数以上保有しているファイルを当該利用者端末によって自己探査させる探査プログラムを、該ネットワークを介して当該利用者端末にインストールするインストール手段と、
該ネットワークを介して、該利用者端末で実行された自己探査結果を収集する探査結果収集手段と、
該アクセス頻度算出手段によって算出された該アクセス頻度、および、該探査結果収集手段によって収集された自己探査結果に基づいて、該利用者端末を管理する管理手段とを備えて構成されたことを特徴とする管理サーバ。

（付記２）
該管理手段が、該探査結果収集手段によって収集された自己探査結果に基づいて、該利用者端末において探査された該ファイルを該管理対象ファイルとして取り扱うことを特徴とする付記１記載の管理サーバ。

（付記３）
該管理手段が、該アクセス頻度算出手段によって算出された該アクセス頻度に応じて、該利用者端末からの管理対象ファイルの流出を防止するための、該利用者端末におけるセキュリティレベルを設定し、該セキュリティレベルに応じた動作制限を該利用者端末に実行させることを特徴とする付記１または付記２に記載の管理サーバ。

（付記４）
該管理手段が、該アクセス頻度判定手段によって該管理対象ファイルに対するアクセス頻度が基準値以上であると判定された利用者端末については該セキュリティレベルを高く設定して該利用者端末の動作制限を厳格化する一方、該アクセス頻度判定手段によって該アクセス頻度が基準値未満であると判定された利用者端末については該セキュリティレベルを低く設定して該利用者端末の動作制限を解除もしくは緩和することを特徴とする付記３記載の管理サーバ。

（付記５）
該管理手段が、該利用者端末の動作制限として、外部アクセス禁止，外部記憶媒体へのデータ書き出し禁止，社外へのメール送信禁止，添付ファイルの暗号化管理のうちの少なくとも一つを該利用者端末に実行させることを特徴とする付記３または付記４に記載の管理サーバ。

（付記６）
該管理手段が、該アクセス頻度算出手段によって算出された該アクセス頻度に応じて、該管理対象ファイルに対するアクセス状況に関する公開情報を作成し、作成された該公開情報を公開することを特徴とする付記１〜付記５のいずれか一項に記載の管理サーバ。

（付記７）
該管理手段が、該アクセス頻度判定手段によって該利用者端末の該管理対象ファイルに対するアクセス頻度が基準値以上であると判定された場合、該公開情報の作成・公開を行なうことを特徴とする付記６記載の管理サーバ。

（付記８）
該公開情報として、該管理対象ファイルのファイル名と、該管理対象ファイルに対してアクセスを行なった利用者端末を特定しうる情報と、当該利用者端末の所有者を特定しうる情報とが含まれていることを特徴とする付記６または付記７に記載の管理サーバ。

（付記９）
該公開情報として、該利用者端末における該管理対象ファイルの数の集計結果が含まれていることを特徴とする付記６〜付記８のいずれか一項に記載の管理サーバ。

（付記１０）
該公開情報として、該管理対象ファイルに対するアクセスの数の集計結果が含まれていることを特徴とする付記６〜付記９のいずれか一項に記載の管理サーバ。

（付記１１）
該保護対象情報が個人情報であり、
該探査プログラムが、該利用者端末の記憶部におけるデータの中から特定の個人を識別可能な個人情報要素を所定数以上保有しているファイルつまり個人情報ファイルを探査する探査手段として、該利用者端末を機能させることを特徴とする付記１〜付記１０のいずれか一項に記載の管理サーバ。

（付記１２）
該探査手段が、
判定対象ファイルに含まれるテキストデータを抽出する抽出手段と、
該抽出手段によって抽出されたテキストデータから、区切り文字によって区切られた文字区間を切り出す切出手段と、
該切出手段によって切り出された文字区間における文字列が、予め設定された電話番号判定条件，電子メールアドレス判定条件および住所判定条件のいずれか一つを満たすか否かの判定を行なうことにより、氏名以外の個人情報要素である電話番号，電子メールアドレスおよび住所のうちのいずれか一つに該当するか否かを判定する第１判定手段と、
該第１判定手段によって電話番号，電子メールアドレス，住所のいずれにも該当しないと判定された文字区間における文字の数が所定範囲内であり且つ同文字区間における文字が漢字であるか否かを判定する文字判定手段と、
該文字判定手段によって前記所定範囲内であり且つ漢字であると判定された文字区間について、当該文字区間に含まれる文字もしくは文字列と氏名において出現し得ない漢字もしくは漢字列として予め設定された不適切文字もしくは不適切文字列とを照合することにより、当該文字区間が前記の不適切文字もしくは不適切文字列を含むか否かを判定する照合手段と、
該第１判定手段によって電話番号，電子メールアドレスおよび住所のうちのいずれか一つに該当すると判定された文字区間の数と該照合手段によって前記の不適切文字もしくは不適切文字列を含まないと判定された文字区間の数とをそれぞれ計数し、その計数結果に基づいて、当該判定対象ファイルが個人情報ファイルであるか否かを判定する第２判定手段とを備えて構成されていることを特徴とする付記１１記載の管理サーバ。

（付記１３）
ネットワークを介して利用者端末と相互に通信可能に接続され該利用者端末を管理するとともに、保護対象情報に係る要素を所定数以上保有しているファイルを管理対象ファイルとして管理する管理サーバとして、コンピュータを機能させる管理プログラムであって、
該利用者端末による該管理対象ファイルに対するアクセスのログを収集するログ収集手段、
該ログ収集手段によって収集されたログに基づいて、該利用者端末の該管理対象ファイルに対するアクセス頻度を算出するアクセス頻度算出手段、
該アクセス頻度算出手段によって算出された該アクセス頻度が基準値以上であるか否かを判定するアクセス頻度判定手段、
該アクセス頻度判定手段によって該利用者端末の該管理対象ファイルに対するアクセス頻度が基準値以上であると判定された場合、該保護対象情報に係る要素を所定数以上保有しているファイルを当該利用者端末によって自己探査させる探査プログラムを、該ネットワークを介して当該利用者端末にインストールするインストール手段、
該ネットワークを介して、該利用者端末で実行された自己探査結果を収集する探査結果収集手段、および、
該アクセス頻度算出手段によって算出された該アクセス頻度、および、該探査結果収集手段によって収集された自己探査結果に基づいて、該利用者端末を管理する管理手段として、該コンピュータを機能させる、ことを特徴とする管理プログラム。

（付記１４）
該管理手段が、該探査結果収集手段によって収集された自己探査結果に基づいて、該利用者端末において探査された該ファイルを該管理対象ファイルとして取り扱うように、該コンピュータを機能させることを特徴とする付記１３記載の管理プログラム。

（付記１５）
該管理手段が、該アクセス頻度算出手段によって算出された該アクセス頻度に応じて、
該利用者端末からの管理対象ファイルの流出を防止するための、該利用者端末におけるセキュリティレベルを設定し、該セキュリティレベルに応じた動作制限を該利用者端末に実行させるように、該コンピュータを機能させることを特徴とする付記１３または付記１４に記載の管理プログラム。

（付記１６）
該管理手段が、該アクセス頻度判定手段によって該管理対象ファイルに対するアクセス頻度が基準値以上であると判定された利用者端末については該セキュリティレベルを高く設定して該利用者端末の動作制限を厳格化する一方、該アクセス頻度判定手段によって該アクセス頻度が基準値未満であると判定された利用者端末については該セキュリティレベルを低く設定して該利用者端末の動作制限を解除もしくは緩和するように、該コンピュータを機能させることを特徴とする付記１５記載の管理プログラム。

（付記１７）
該管理手段が、該利用者端末の動作制限として、外部アクセス禁止，外部記憶媒体へのデータ書き出し禁止，社外へのメール送信禁止，添付ファイルの暗号化管理のうちの少なくとも一つを該利用者端末に実行させるように、該コンピュータを機能させることを特徴とする付記１５または付記１６に記載の管理プログラム。

（付記１８）
該管理手段が、該アクセス頻度算出手段によって算出された該アクセス頻度に応じて、該管理対象ファイルに対するアクセス状況に関する公開情報を作成し、作成された該公開情報を公開するように、該コンピュータを機能させることを特徴とする付記１３〜付記１７のいずれか一項に記載の管理プログラム。

（付記１９）
該管理手段が、該アクセス頻度判定手段によって該利用者端末の該管理対象ファイルに対するアクセス頻度が基準値以上であると判定された場合、該公開情報の作成・公開を行なうように、該コンピュータを機能させることを特徴とする付記１８記載の管理プログラム。

（付記２０）
該公開情報として、該管理対象ファイルのファイル名と、該管理対象ファイルに対してアクセスを行なった利用者端末を特定しうる情報と、当該利用者端末の所有者を特定しうる情報とが含まれていることを特徴とする付記１８または付記１９に記載の管理プログラム。

（付記２１）
該公開情報として、該利用者端末における該管理対象ファイルの数の集計結果が含まれていることを特徴とする付記１８〜付記２０のいずれか一項に記載の管理プログラム。

（付記２２）
該公開情報として、該管理対象ファイルに対するアクセスの数の集計結果が含まれていることを特徴とする付記１８〜付記２１のいずれか一項に記載の管理プログラム。

（付記２３）
該保護対象情報が個人情報であり、
該探査プログラムが、該利用者端末の記憶部におけるデータの中から特定の個人を識別可能な個人情報要素を所定数以上保有しているファイルつまり個人情報ファイルを探査する探査手段として、該利用者端末を機能させることを特徴とする付記１３〜付記２２のい
ずれか一項に記載の管理プログラム。

（付記２４）
該探査プログラムが、
判定対象ファイルに含まれるテキストデータを抽出する抽出手段、
該抽出手段によって抽出されたテキストデータから、区切り文字によって区切られた文字区間を切り出す切出手段、
該切出手段によって切り出された文字区間における文字列が、予め設定された電話番号判定条件，電子メールアドレス判定条件および住所判定条件のいずれか一つを満たすか否かの判定を行なうことにより、氏名以外の個人情報要素である電話番号，電子メールアドレスおよび住所のうちのいずれか一つに該当するか否かを判定する第１判定手段、
該第１判定手段によって電話番号，電子メールアドレス，住所のいずれにも該当しないと判定された文字区間における文字の数が所定範囲内であり且つ同文字区間における文字が漢字であるか否かを判定する文字判定手段、
該文字判定手段によって前記所定範囲内であり且つ漢字であると判定された文字区間について、当該文字区間に含まれる文字もしくは文字列と氏名において出現し得ない漢字もしくは漢字列として予め設定された不適切文字もしくは不適切文字列とを照合することにより、当該文字区間が前記の不適切文字もしくは不適切文字列を含むか否かを判定する照合手段、および、
該第１判定手段によって電話番号，電子メールアドレスおよび住所のうちのいずれか一つに該当すると判定された文字区間の数と該照合手段によって前記の不適切文字もしくは不適切文字列を含まないと判定された文字区間の数とをそれぞれ計数し、その計数結果に基づいて、当該判定対象ファイルが個人情報ファイルであるか否かを判定する第２判定手段として、該利用者端末を機能させることにより、該利用者端末を該探査手段として機能させることを特徴とする付記２３記載の管理プログラム。

本実施形態の管理サーバと利用者端末の機能構成を示すブロック図である。 本発明の一実施形態としての個人情報管理システム（管理システム）の構成を示すブロック図である。 本実施形態の管理サーバに備えられたファイルアクセス管理サーバとしての機能構成を示すブロック図である。 本実施形態の管理サーバの動作を説明するためのフローチャートである。 本実施形態の探査手段の動作を説明するためのフローチャートである。 本実施形態の管理サーバの動作を説明するためのフローチャートである。 本実施形態の管理サーバの動作（ファイルアクセス管理サーバとしての機能による認証動作）を説明するためのフローチャートである。 本実施形態の管理サーバの動作（ファイルアクセス管理サーバとしての機能によるファイル変換動作）を説明するためのフローチャートである。 本実施形態の管理サーバの管理手段によって作成され公開される公開情報の具体例を示す図である。 本実施形態の管理サーバの管理手段によって作成され公開される公開情報の具体例を示す図である。 本実施形態の管理サーバの管理手段によって作成され公開される公開情報の具体例を示す図である。 本実施形態の管理サーバの管理手段によって作成され公開される公開情報の具体例を示す図である。 本実施形態の管理サーバの管理手段によって作成され公開される公開情報の具体例を示す図である。 本実施形態の管理サーバの管理手段によって作成され公開される公開情報の具体例を示す図である。 本実施形態の管理サーバの管理手段によって作成され公開される公開情報の具体例を示す図である。 本実施形態の管理サーバの管理手段によって作成され公開される公開情報の具体例を示す図である。

符号の説明

１ 個人情報管理システム（管理システム）
１０ 利用者端末
１０ａ ＣＰＵ
１０ｂ 記憶部
１０ｃ 検疫テーブル
１０ｄ Ｐマークテーブル
１１ 探査手段
１１１ 抽出手段
１１２ 切出手段
１１３ 第１判定手段
１１３ａ 電話番号判定手段
１１３ｂ 電子メールアドレス判定手段
１１３ｃ 住所判定手段
１１４ 文字判定手段
１１５ 照合手段
１１６ 第２判定手段
１２ 送受信手段
１３ 動作制限手段
１４ 外部記憶媒体用ドライバ
１５ 暗号化手段／登録手段
２０ 管理サーバ
２１ ＣＰＵ
２１ａ 利用者情報収集手段
２１ｂ ログ収集手段
２１ｃ 端末位置検出手段
２１ｄ 基準値変更手段
２１ｅ アクセス頻度判定手段
２１ｆ 基準値記憶手段
２１ｇ アクセス頻度算出手段
２１ｈ インストール手段
２１ｉ 探査結果収集手段
２１ｊ 管理コンソール
２１ｋ 管理手段
２１ｍ 表示制御手段
２１ｎ 送受信手段
２１ｎａ ファイル受信手段
２１ｎｂ 暗号化ファイル送信手段
２１ｎｃ 認証情報受信手段
２１ｎｄ 復号鍵送信手段
２１ｏ 暗号化手段
２１ｐ 判定手段
２２ データベース
２３ 表示部
４０ ネットワーク（社内ＬＡＮ）
５０ 外部記憶媒体（ＵＳＢメモリ等）
１０１，１０３，１０５，１０８，１３０，１３２，１３４，１３６，１３８ 画面（公開情報）
１０２，１０４，１０６，１０７，１０９，１３１，１３３，１３５，１３７，１３９
リスト（公開情報）

Claims (10)

1. ネットワークを介して利用者端末と相互に通信可能に接続され該利用者端末を管理するとともに、保護対象情報に係る要素を所定数以上保有しているファイルを管理対象ファイルとして管理する管理サーバであって、
   該利用者端末による該管理対象ファイルに対するアクセスのログを収集するログ収集手段と、
   該ログ収集手段によって収集されたログに基づいて、該利用者端末の該管理対象ファイルに対するアクセス頻度を算出するアクセス頻度算出手段と、
   該アクセス頻度算出手段によって算出された該アクセス頻度が基準値以上であるか否かを判定するアクセス頻度判定手段と、
   前記利用者端末の所在位置を検出する端末位置検出手段と、
   前記端末位置検出手段によって検出された前記利用者端末の所在位置に応じて、前記基準値を変更する基準値変更手段と、
   該アクセス頻度判定手段によって該利用者端末の該管理対象ファイルに対するアクセス頻度が基準値以上であると判定された場合、該保護対象情報に係る要素を所定数以上保有しているファイルを当該利用者端末によって自己探査させる探査プログラムを、該ネットワークを介して当該利用者端末にインストールするインストール手段と、
   該ネットワークを介して、該利用者端末で実行された自己探査結果を収集する探査結果収集手段と、
   該アクセス頻度算出手段によって算出された該アクセス頻度、および、該探査結果収集手段によって収集された自己探査結果に基づいて、該利用者端末を管理する管理手段と、
   該利用者端末による該管理対象ファイルに対してアクセスした時点における該利用者端末の所在位置を検出する位置検出手段と、
   該位置検出手段によって検出された前記所在位置に応じて前記基準値を変更する基準値変更手段と、
   を備えて構成されたことを特徴とする管理サーバ。
2. 前記管理手段は、該探査結果収集手段によって収集された自己探査結果に基づいて、該利用者端末において探査された該ファイルを該管理対象ファイルとして取り扱う、
   ことを特徴とする請求項１記載の管理サーバ。
3. 前記管理手段は、該アクセス頻度算出手段によって算出された該アクセス頻度、もしくは、前記端末位置情報検出手段によって検出された前記所在位置の少なくとも一方に応じて、該利用者端末からの管理対象ファイルの流出を防止するための、該利用者端末におけるセキュリティレベルを設定し、該セキュリティレベルに応じた動作制限を該利用者端末に実行させる、
   ことを特徴とする請求項１または請求項２に記載の管理サーバ。
4. 前記管理手段は、該アクセス頻度判定手段によって該管理対象ファイルに対するアクセス頻度が基準値以上であると判定された利用者端末、あるいは、前記端末位置情報検出手段によって検出された前記所在位置が所定の条件を満たさない利用者端末については該セキュリティレベルを高く設定して該利用者端末の動作制限を厳格化する一方、該アクセス頻度判定手段によって該アクセス頻度が基準値未満であると判定された利用者端末については該セキュリティレベルを低く設定して該利用者端末の動作制限を解除もしくは緩和する、
   ことを特徴とする請求項３記載の管理サーバ。
5. 暗号化された管理対象ファイルが前記利用者端末側で開封される際に、前記利用者端末から開封要求として復号鍵送信要求を受信し、前記復号鍵送信要求を受信した時点におけ
   る前記利用者端末の所在位置を検出し、この所在位置が予め定められた所定条件を満たしているか否かを判定し、前記所在位置が前記所定条件を満たしていると判定された場合に前記利用者端末での前記管理対象ファイルの開封を許可する一方、前記所在位置が前記所定条件を満たしていないと判定された場合に前記利用者端末での前記管理者対象ファイルの開封を禁止する制御を行う、
   ことを特徴とする請求項１〜請求項４のいずれかに記載の管理サーバ。
6. ネットワークを介して利用者端末と相互に通信可能に接続され該利用者端末を管理するとともに、保護対象情報に係る要素を所定数以上保有しているファイルを管理対象ファイルとして管理する管理サーバとして、コンピュータを機能させる管理プログラムであって、
   該利用者端末による該管理対象ファイルに対するアクセスのログを収集するログ収集手段、
   該ログ収集手段によって収集されたログに基づいて、該利用者端末の該管理対象ファイルに対するアクセス頻度を算出するアクセス頻度算出手段、
   該アクセス頻度算出手段によって算出された該アクセス頻度が基準値以上であるか否かを判定するアクセス頻度判定手段、
   前記利用者端末の所在位置を検出する端末位置検出手段、
   前記端末位置検出手段によって検出された前記利用者端末の所在位置に応じて、前記基準値を変更する基準値変更手段、
   該アクセス頻度判定手段によって該利用者端末の該管理対象ファイルに対するアクセス頻度が基準値以上であると判定された場合、該保護対象情報に係る要素を所定数以上保有しているファイルを当該利用者端末によって自己探査させる探査プログラムを、該ネットワークを介して当該利用者端末にインストールするインストール手段、
   該ネットワークを介して、該利用者端末で実行された自己探査結果を収集する探査結果収集手段、および、
   該アクセス頻度算出手段によって算出された該アクセス頻度、および、該探査結果収集手段によって収集された自己探査結果に基づいて、該利用者端末を管理する管理手段、
   として該コンピュータを機能させる、
   ことを特徴とする管理プログラム。
7. 前記管理手段は、該探査結果収集手段によって収集された自己探査結果に基づいて、該利用者端末において探査された該ファイルを該管理対象ファイルとして取り扱うように、該コンピュータを機能させる、
   ことを特徴とする請求項６記載の管理プログラム。
8. 前記管理手段は、該アクセス頻度算出手段によって算出された該アクセス頻度、もしくは、前記端末位置情報検出手段によって検出された前記所在位置の少なくとも一方に応じて、該利用者端末からの管理対象ファイルの流出を防止するための、該利用者端末におけるセキュリティレベルを設定し、該セキュリティレベルに応じた動作制限を該利用者端末に実行させるように、該コンピュータを機能させる、
   ことを特徴とする請求項６または請求項７に記載の管理プログラム。
9. 前記管理手段は、該アクセス頻度判定手段によって該管理対象ファイルに対するアクセス頻度が基準値以上であると判定された利用者端末、あるいは、前記端末位置情報検出手段によって検出された前記所在位置が所定の条件を満たさない利用者端末については該セキュリティレベルを高く設定して該利用者端末の動作制限を厳格化する一方、該アクセス頻度判定手段によって該アクセス頻度が基準値未満であると判定された利用者端末については該セキュリティレベルを低く設定して該利用者端末の動作制限を解除もしくは緩和するように、該コンピュータを機能させる、
   ことを特徴とする請求項８記載の管理プログラム。
10. 前記管理手段は、暗号化された管理対象ファイルが前記利用者端末側で開封される際に、前記利用者端末から開封要求として復号鍵送信要求を受信し、前記復号鍵送信要求を受信した時点における前記利用者端末の所在位置を検出し、この所在位置が予め定められた所定条件を満たしているか否かを判定し、前記所在位置が前記所定条件を満たしていると判定された場合に前記利用者端末での前記管理対象ファイルの開封を許可する一方、前記所在位置が前記所定条件を満たしていないと判定された場合に前記利用者端末での前記管理者対象ファイルの開封を禁止する制御を行う、ように該コンピュータを機能させる、
    ことを特徴とする請求項６乃至請求項９のいずれかに記載の管理プログラム。
    

Images