JP2008226133A

JP2008226133A - 個人情報管理システム

Info

Publication number: JP2008226133A
Application number: JP2007066937A
Authority: JP
Inventors: Ichiro Takahashi; 一郎高橋
Original assignee: Hitachi Software Engineering Co Ltd
Current assignee: Hitachi Software Engineering Co Ltd
Priority date: 2007-03-15
Filing date: 2007-03-15
Publication date: 2008-09-25

Abstract

【課題】個人情報を含んでいる可能性のあるファイルおよび個人情報を含んでいると確定したファイルについて、そのアクセス状況に応じて、より漏洩の虞のない状態に遷移させることができるようにすること。
【解決手段】サーバは、クライアントのもつ個人情報を含んでいる可能性のあるファイルおよび個人情報を含んでいると確定したファイルについての、クライアントでのアクセス状況を監視し、クライアントのもつ個人情報を含んでいる可能性のあるファイルおよび個人情報を含んでいると確定したファイルの管理を行う。
【選択図】図１

Description

本発明は、電子データすなわちコンピュータ上の電子ファイルとして保存されたファイル中の個人情報が、不適切な取り扱いによって漏洩することを防止するようにしたシステムにかかわる技術に関する。

個人情報の保護は、法的にも会社の信用上でも非常に重要な問題になっている。個人情報の漏洩が、従業員等による故意であれ、事故であれ、またコンピュータウィルス等による悪意のある第三者によるものであれ、会社に対する信用喪失被害は非常に大きなものとなる。そこで、個人情報、特に大量に持ち出すことが比較的容易なコンピュータ上の電子ファイル（以降では「ファイル」と略記する）上のデータを適切に管理し、もし不適切な個人情報ファイルの持ち出しがあれば、それを抑止するシステムが求められている。

このような目的のシステムとしては、例えば特許文献１のようなものもある。これは、クライアントＰＣにインストールされたプログラムが、ファイル内のテキストを検索し、あらかじめ設定してある検出ロジックに該当するものを個人情報ファイルとして扱い、当該ファイルの外部持ち出し等、不用意な操作を抑制するものである。
特許第３７４３７８３号明細書

特許文献１に示された技術では、クライアントがインストールされたプログラムに基づいて個人情報ファイルの判定処理を行い、個人情報ファイルと判定したファイルについてはその操作に制限をかけるようにしているが、個人情報ファイルに対して一定期間の間に全くアクセスがなかった場合に、この個人情報ファイルを、より漏洩の虞のない状態に遷移させることについては、考慮が払われていない。

本発明の目的は、クライアントのもつ個人情報を含んでいる可能性のあるファイルおよび個人情報を含んでいると確定したファイルについての、ファイル管理を適切に行うことにより、漏洩を防止する必要があるファイルをそのアクセス状況に応じて、より漏洩の虞のない状態に遷移させることができるようにすることにある。

本発明は上記した目的を達成するために、サーバとクライアントとが通信回線を介して接続された個人情報管理システムにおいて、
クライアントは、個人情報を含まない第１のファイル種別（「シロ」）、個人情報を含んでいる可能性のある第２のファイル種別（「グレー」）、個人情報を含んでいると確定した第３のファイル種別（「クロ」）に、ファイルを分別して記憶・管理する手段と、第２のファイル種別および第３のファイル種別のファイルについては、クライアントでの操作に制限をかける手段とを、有し、
サーバは、クライアントのもつ第２のファイル種別および第３のファイル種別のファイルの管理情報を記憶・管理する手段と、クライアントにおける第２のファイル種別および第３のファイル種別のファイルに対するアクセス状況を監視し、このアクセス状況に応じて、クライアントのもつ第２のファイル種別および第３のファイル種別のファイルに対する管理形態を遷移させる手段とを、有し、
クライアントの上記の管理形態を遷移させる手段は、クライアントにおいて第２のファイル種別のファイルに対して所定期間の間アクセスがなかった場合には、第２のファイル種別のファイルを第３ファイル種別のファイルに遷移させて管理するように、クライアントに指示し、また、クライアントにおいて第３のファイル種別のファイルに対して所定期間の間アクセスがなかった場合には、当該第３のファイル種別のファイルをクライアントから取り出してサーバの記憶装置に移動させて、当該第３のファイル種別のファイルをクライアントから削除する。

本発明によれば、クライアントのもつ第２のファイル種別（「グレー」）のファイルに所定期間の間アクセスがなかった場合には、これを第３のファイル種別（「クロ」）のファイルとし、クライアントのもつ第３のファイル種別（「クロ」）のファイルに所定期間の間アクセスがなかった場合には、当該「クロ」のファイルを取り出してサーバ側において記憶・管理することを、サーバ側で自動的に行うので、クライアント側の操作者が何ら意識することなく、当面はアクセスする可能性が少ない漏洩を防止する必要があるファイルを、より漏洩に対してセキュリティの高い管理状態に移すことができる。また、「グレー」から「クロ」とした後に、猶予期間を与えて「クロ」のファイルをクライアントから消去するので、クライアントの操作者に時間的余裕を与えることができる。

以下、図面を参照しつつ、本発明の実施の一形態（以下「本実施例」と記載する）を説明する。

図１は、本実施例に係る個人情報管理システムのシステム構成図である。
本実施形態の個人情報管理システムは、監視サーバ１とクライアント６を、通信回線（ネットワーク）５により、互いに通信可能に接続したシステムである。図１においては、１台の監視サーバ１と、複数台のクライアント６とにより構成されているが、クライアント６は１台以上存在していればよい。また、負荷分散を図る等の目的で監視サーバ１を複数台から構成することも可能であるが、以降は説明を分かりやすくするため、監視サーバ１は１台であるという前提で説明する。

監視サーバ１およびクライアント６は、いずれもＰＣ等のコンピュータにより構成することができる。また、通信回線５は、ＬＡＮ、インターネット等の有線通信回線又は無線通信回線により構成される。監視サーバ１およびクライアント６には、図示していないが、少なくとも通信回線５内でそれぞれを一意に識別可能なＩＰアドレス等の識別符号が付されており、この識別符号を使用することにより、相互に通信メッセージを送信することができる。

監視サーバ１には、記憶装置２、入力装置３および表示装置４が通信可能に接続される。記憶装置２は例えば磁気ディスク等の記憶装置であり、後述するように個人情報管理システムが必要とするファイル等を格納することができる。入力装置３はキーボード、マウス等から構成され、監視サーバ１の操作者は、入力装置３を操作することで、サーバ１に対して必要な指示を与えることができる。表示装置４はＣＲＴ、液晶等により構成され、監視サーバ１の操作者に対して必要な情報を表示することができる。

記憶装置２には、個人情報管理ファイル２１およびキーワードファイル２２が記憶される。また、記憶装置２の一部は、個人情報ファイル回収領域２３あるいは検出対象ファイル格納領域２４として使用される。

個人情報管理ファイル２１は、クライアント６がその記憶装置に記憶している個人情報ファイルそれぞれについて、どのクライアント６が記憶しているか等の情報を管理するためのファイルである。個人情報管理ファイル２１については、後で図３を参照しつつ詳述する。

キーワードファイル２２は、文書ファイルが個人情報ファイルであるか否かを判定するために使用するキーワード情報を記憶したファイルである。キーワードファイル２２については、後で図４を参照しつつ詳述する。

個人情報ファイル回収領域２３は、個人情報ファイルのうちクライアント６に記憶する必要がないファイルを、クライアント６から回収（すなわち、クライアント６から監視サーバ１に送信すると共に、クライアント６の記憶装置からは消去）して記憶するための領域である。例えば記憶装置２をＣドライブとして割り付け、Ｃドライブに「回収領域」という名前のフォルダを作成し、このフォルダを個人情報ファイル回収領域２３として使用すればよい。

検出対象ファイル格納領域２４は、記憶装置２のうち、個人情報ファイルであるか否かを検出すべき対象ファイルが記憶されている領域である。後述するように、本実施例においては、まず、いくつかの個人情報ファイルに含まれるキーワードを分析することで、個人情報ファイルを特徴付けるキーワードをキーワードファイル２２に記憶させ、以降は、キーワードファイル２２に記憶されたキーワードを使用して個人情報ファイルであるか否かを判定する。この分析の過程において、個人情報ファイルが記憶されている可能性がある領域が必要になる。すなわち、本実施例においては、個人情報ファイルとして検出対象とするファイルが記憶されている可能性がある領域全体のことを検出対象ファイル格納領域２４と記載するに過ぎないのであり、記憶装置２内に検出対象ファイル格納領域２４として識別付けられた特別な領域が存在するわけではない。具体的には、検出対象ファイル格納領域２４は１フォルダであっても構わないし、複数のフォルダであっても構わない。また、複数のフォルダのそれぞれ一部分の集合であっても構わない。例えば、個人情報管理ファイル２１、キーワードファイル２２および個人情報ファイル回収領域２３を含めた記憶装置２全体を、検出対象ファイル格納領域２４としても良い。逆に、特定の１ファイルを検出対象ファイル格納領域２４としても良い。もっとも本実施例においては、検出対象ファイル格納領域２４には、多量かつ多種類のファイルが存在することが望ましい。

ただし、本実施例においては、検出対象ファイル格納領域２４に記憶されたファイルは、監視サーバ１の図示してはいないが情報漏洩対策機能によってアクセス権限を持った操作者のみが参照でき、また外部への持ち出しはできないように適切に管理されているものとする。このため、検出対象ファイル格納領域２４は後述するように、個人情報ファイルであるか否かを検出するためのキーワードを抽出するためにのみ使用し、個人情報管理システムでは特に管理しない。検出対象ファイル格納領域２４に記憶された個人情報ファイルについても個人情報管理システムで管理する必要がある場合には、監視サーバ１において、後述するクライアント６の各手段と同等の手段を設ければよい。すなわち、監視サーバ１自身もクライアント６の一つであるとして管理すればよい。

なお、図１においては、１台の記憶装置２内に、個人情報ファイル２１、キーワードファイル２２、個人情報ファイル回収領域２３および検出対象ファイル格納領域２４が存在しているように記載しているが、各ファイル等はそれぞれ異なる複数の記憶装置２に記憶されていてもよいし、複数の記憶装置２にまたがって記憶されていてもよい。

また、本実施例において「ファイル」とは情報を電子的に記憶するものであり、特に注記しない限りＤＢ（Data Base：データベース）等を含んでいる。また、「フォルダ」とはファイルの集合体であり、通常は１個以上のファイルを含んでいるが、ファイルを含まないフォルダ（０個のファイルを含むフォルダ）も存在する。

監視サーバ１には、初期設定手段１１、ステータス送付手段１２、ステータス更新手段１３、個人ファイル判定解除手段１４、および個人ファイル回収手段１５が存在する。上記の各手段は全体として、キーワードファイル２２を作成・更新する機能、監視サーバ１およびクライアント６の記憶装置に個人情報ファイルが記憶されているか否かを検出する機能、および個人情報ファイルが記憶されている場合に記憶場所を管理する機能等を実現する。

初期設定手段１１、ステータス送付手段１２、ステータス更新手段１３、個人ファイル判定解除手段１４、および個人ファイル回収手段１５は、図示していないが監視サーバ１の主記憶装置に記憶されたプログラムであり、各種機能は監視サーバ１の中央制御装置（図示していない）が各プログラムの命令コードを取得し、これを解読し、必要に応じて監視サーバ１の内部バス（図示していない）を経由して記憶装置制御装置、入力デバイス制御装置、出力デバイス制御装置等（いずれも図示していない）を介して、記憶装置２、入力装置３、表示装置４に所定の動作を行うことを指示し、あるいは、記憶装置制御装置、出力デバイス制御装置、入力デバイス制御装置等から動作完了通知等を受けて、これに応じた動作を行うことで実現される。しかしながら、このようなコンピュータの内部動作については周知技術であり、またこのような内部動作を逐一記述すると説明が煩雑になり、かえって理解が困難になる。従って、以降の説明においては「初期設定手段１１がファイルを検索する」というように、あたかも監視サーバ１あるいはクライアント６の内部に各手段であるハードウェアが存在するかのように記載する。

なお、初期設定手段１１、ステータス送付手段１２、ステータス更新手段１３、個人ファイル判定解除手段１４、および個人ファイル回収手段１５の具体的な機能については、後にフローチャートを参照しつつ詳述する。

図２は、個人情報管理システムのクライアント６のブロック構成図である。
クライアント６は、監視サーバ１の監視対象であり、本実施例においては監視サーバ１との関係においてクライアント６と記載している。従って、クライアント６は例えばファイル共有サーバであっても構わない。

クライアント６には、記憶装置７、入力装置８および表示装置９が通信可能に接続される。

入力装置８はキーボード、マウス等から構成され、クライアント６の操作者は、入力装置８を操作することで、クライアント６に対して必要な指示を与えることができる。表示装置９はＣＲＴ、液晶等により構成され、クライアント６の操作者に対して必要な情報を表示することができる。

記憶装置７には、クライアント個人情報管理ファイル７１が記憶される。また、記憶装置２の一部は、検出対象ファイル格納領域７２として使用される。

クライアント個人情報管理ファイル７１は、クライアント６が記憶装置７に記憶している個人情報ファイルそれぞれについて、記憶装置７内のどこに記憶されているか等の情報を管理するためのファイルである。クライアント個人情報管理ファイル７１については、後で図５を参照しつつ詳述する。

検出対象ファイル格納領域７２は、記憶装置７のうち、個人情報ファイルであるか否かを検出すべき対象ファイルが記憶されている領域である。すなわち、本実施例において、検出対象とするファイルが記憶されている領域全体のことを検出対象ファイル格納領域７２と記載するに過ぎないのであり、記憶装置７内に検出対象ファイル格納領域７２として識別付けられた特別な領域が存在するわけではない。具体的には、検出対象ファイル格納領域７２は１フォルダであっても構わないし、複数のフォルダであっても構わない。また、複数のフォルダのそれぞれ一部分の集合であっても構わない。

クライアント６には、初期設定手段６１、ファイル操作監視手段６２、ステータス強制変更手段６３、個人ファイル送信手段６４、およびキーワード情報記憶領域６９が存在する。上記の各手段および記録領域は全体として、クライアント６が監視サーバ１からキーワード等を受信する機能、記憶装置７に個人情報ファイルが記憶されているか否かを検出する機能、監視サーバ１に検出結果等を送信する機能、および個人情報ファイルが記憶されている場合に記憶場所を管理する機能等を実現する。

初期設定手段６１、ファイル操作監視手段６２、ステータス強制変更手段６３、および個人ファイル送信手段６４は、図示していないがクライアント６の主記憶装置に記憶されたプログラムである。キーワード情報記憶領域６９も主記憶装置上に配置され、クライアント６が監視サーバ１から受信した、個人情報ファイルであるか否かを検出するためのキーワード等の情報が記憶される。

なお、初期設定手段６１、ファイル操作監視手段６２、ステータス強制変更手段６３、および個人ファイル送信手段６４の具体的な機能については、後にフローチャートを参照しつつ詳述する。また、キーワード情報記憶領域６９については後で図６を参照しつつ詳述する。

クライアント６は、ファイル操作監視手段６２およびキーワード情報記憶領域６９を備えることで、個人情報ファイル検出装置として動作する。

図３は、個人情報管理ファイル２１のデータ構成図である。
個人情報管理ファイル２１は、個人情報管理システムが個人情報ファイルであるか否かの検出対象としたファイル、すなわち、各クライアント６の検出対象ファイル格納領域７２に記憶されている全てのファイル（以降、図３の説明において「対象ファイル」と記載する）について、それぞれを１つの個人情報管理レコード２１０として記憶したファイルである。すなわち、１つの個人情報管理レコード２１０が、１つの対象ファイルに対応している。

個人情報管理レコード２１０は、クライアント識別２１１、ファイル識別２１２、ファイル更新日時２１３、ステータス２１４、ステータス更新日時２１５および頻出キーワード２１６のデータ項目から構成される。

クライアント識別２１１は、対象ファイルがどのクライアント６の記憶装置７に記憶されているかを特定するための情報であり、クライアント６を一意に識別可能なコード、例えばＩＰアドレスが設定される。

ファイル識別２１２は、対象ファイルが記憶装置７のどこに記憶されているかを特定するための情報であり、例えば対象ファイルの絶対パス情報、物理的格納位置（セクター番号等）等が設定される。以降は、ファイル識別２１２に対象ファイルの絶対パス情報が記憶されているという前提で説明する。

ファイル更新日時２１３には、対象ファイルの更新日時が設定される。具体的には、例えば「２００６１２２４１２１３１４」といった値が設定される。なお、ファイルの更新日時はＯＳが提供するＡＰＩ（Application Interface）等を使用することでファイル実体情報から取得することができる。

ステータス２１４は、対象ファイルが個人情報ファイルであるか否か等を示す情報が記憶される。具体的には「クロ」、「シロ」、「グレー」、「回収済み」、「解除依頼」の５つの情報のうちいずれかが設定される。

ここで、「クロ」とは、対象ファイルが個人情報ファイルであることが確定した状態であること、すなわち個人情報ファイル確定状態を示す。「シロ」とは、対象ファイルが個人情報ファイルでないこと、すなわち非個人情報ファイル状態を示す。また「グレー」とは、対象ファイルが個人情報ファイルである可能性があること、すなわち個人情報ファイル候補状態を示す。

後述するように、対象ファイルのステータス２１４には、まず「シロ」または「グレー」が設定され、「グレー」が設定された場合には、ファイルの移動（ファイル名の変更を含む）・コピー等の操作が制限される。クライアント６において対象ファイルの更新等が行われる都度、個人情報ファイルであるか否かが判定され、判定結果によりステータス２１４が更新される。そして、「グレー」が設定された対象ファイルに対して、一定期間、照会・更新等の操作（アクセス）が行われなかった場合は、ステータス２１４が「クロ」に更新される。「クロ」が設定された場合、ファイルの移動・コピー等の操作が制限される点では「グレー」と同じであるが、さらに一定期間、対象ファイルの照会・更新等の操作（アクセス）が行われなかった場合は、クライアント６から監視サーバ１に回収（移動）され、ステータス２１４が「回収済み」に更新される。なお、「回収済み」が設定された対象ファイルは、上記の回収の際にクライアント６の記憶装置７から消去されるため、以降、クライアント６において操作することはできなくなる。

また、「グレー」または「クロ」が設定された対象ファイルについては、クライアント６から監視サーバ１に解除要求を送信することができる。解除要求を受けた対象ファイルについては、監視サーバ１により、ステータス２１４が「解除依頼」に更新される。「解除依頼」が設定された場合には、ファイルの移動・コピー等の操作が制限される点では「グレー」と同じであるが、監視サーバ１の操作者の指示により、ステータス２１４が「シロ」または「クロ」に更新される。

ステータス更新日時２１５は、個人情報管理レコード２１０が新たに記憶されたときに記憶した日時が設定され、ステータス２１４が更新される都度、更新日時が設定される。

頻出キーワード２１６は、対象ファイルが個人情報ファイルであるか否かを判定するために使用したキーワード、すなわちキーワードファイル２２に記憶されているキーワードのうち、対象ファイルに含まれているキーワードが記憶される。従って頻出キーワード２１６は記憶されない場合もあるし、１個以上記憶される場合もある。

図４は、キーワードファイル２２のデータ構成図である。
キーワードファイル２２は、個人情報管理システムが個人情報ファイルであるか否かの判定に使用するキーワードについて、それぞれを１つのキーワードレコード２２０として記憶したファイルである。

キーワードレコード２２０は、キーワード２２１、出現ファイル数２２２、クロ・グレーファイル数２２３およびシロファイル数２２４のデータ項目から構成される。

キーワード２２１は、検出対象ファイル格納領域７２に記憶されているファイル（以降、図４の説明において「対象ファイル」と記載する）が個人情報ファイルであるか否かの判定に使用する情報である。具体的な判定方法は後に詳述するが、例えば、対象ファイルのテキスト部分（すなわち文字情報が記憶された部分）等に、キーワード２２１が何個含まれているか等によって判定を行う。

出現ファイル数２２２は、当該キーワード２２１が含まれているファイルの数を、クロ・グレーファイル数２２３は、当該キーワード２２１が含まれているファイルのうち「クロ」または「グレー」と判定されたファイルの数を、シロファイル数２２４は、当該キーワード２２１が含まれているファイルのうち「シロ」と判定されたファイルの数を示す。出現ファイル数２２２＝クロ・グレーファイル数２２３＋シロファイル数２２４の関係が成立するので、キーワードレコード２２０のデータ項目としては出現ファイル数２２２、クロ・グレーファイル数２２３、シロファイル数２２４のうち２項目が記憶されていればよいのであるが、本実施例においては説明が冗長になるのを避けるため、３項目とも記憶されているものとして説明する。出現ファイル数２２２に対するクロ・グレーファイル数２２３の比率が高い場合には、当該キーワード２２１を含んだ対象ファイルは個人情報ファイルである可能性が高く、逆に出現ファイル数２２２に対するクロ・グレーファイル数２２３の比率が低い場合には、当該キーワード２２１を含んだ対象ファイルは個人情報ファイルでない可能性が高いと判定することができる。なお、具体的な設定方法および判定方法については、後にフローチャートを参照しつつ詳述する。

図５は、クライアント個人情報管理ファイル７１のデータ構成図である。
クライアント個人情報管理ファイル７１は、個人情報管理システムが個人情報ファイルであるか否かの検出対象としたファイル、すなわち、当該クライアント６の検出対象ファイル格納領域７２に記憶されている全てのファイル（以降、図５の説明において「対象ファイル」と記載する）について、それぞれを１つのクライアント個人情報管理レコード７１０として記憶したファイルである。すなわち、１つのクライアント個人情報管理レコード７１０が、１つの対象ファイルに対応している。

クライアント個人情報管理レコード７１０は、ファイル識別７１２、ファイル更新日時７１３、ステータス７１４、ステータス更新日時７１５および頻出キーワード７１６のデータ項目から構成される。

ファイル識別７１２は、対象ファイルが記憶装置７のどこに記憶されているかを特定するための情報であり、例えば対象ファイルの絶対パス情報、物理的格納位置（セクター番号等）等が設定される。以降は、ファイル識別７１２に対象ファイルの絶対パス情報が記憶されているという前提で説明する。

ファイル更新日時７１３には、対象ファイルの更新日時が設定される。具体的には、例えば「２００６１２２４１２１３１４」といった値が設定される。なお、ファイルの更新日時はＯＳが提供するＡＰＩ（Application Interface）等を使用することでファイル実体情報から取得することができる。

ステータス７１４は、対象ファイルが個人情報ファイルであるか否か等を示す情報が記憶される。具体的には「クロ」、「シロ」、「グレー」の３つの情報のうちいずれかが設定される。すなわち本実施例では、ステータス２１４について前述した「回収済み」、「解除依頼」を示す情報が設定されることはない。クライアント６が起動されると、監視サーバ１の個人情報管理レコード２１０のうち、クライアント識別２１１によって当該クライアント６を示しているレコードのステータス２１４が、クライアント６に送信され、クライアント６は送信されたステータス２１４によってステータス７１４を更新する。

ステータス更新日時７１５は、クライアント個人情報管理レコード７１０が新たに記憶されたときに記憶した日時が設定され、ステータス７１４が更新される都度、更新日時が設定される。

頻出キーワード７１６は、対象ファイルが個人情報ファイルであるか否かを判定するために使用したキーワード、すなわちキーワードファイル２２に記憶されているキーワードのうち、対象ファイルに含まれているキーワードが記憶される。従って頻出キーワード７１６は記憶されない場合もあるし、１個以上記憶される場合もある。

図６は、キーワード情報記憶領域６９のデータ構成図である。
キーワード情報記憶領域６９は、個人情報管理システムが個人情報ファイルであるか否かの判定に使用するキーワードについて、それぞれを１つのキーワードレコード６９０として記憶した領域である。

キーワードレコード６９０は、キーワード６９１、出現ファイル数６９２、クロ・グレーファイル数６９３およびシロファイル数６９４のデータ項目から構成される。

クライアント６が起動されると、監視サーバ１のキーワードレコード２２０の全てが、クライアント６に送信され、キーワード情報記憶領域６９にキーワードレコード６９０として記憶される。また、出現ファイル数６９２、クロ・グレーファイル数６９３およびシロファイル数６９４は、クライアント６によって随時更新され、更新結果は監視サーバ１に送信される。

以上で個人情報管理システムの構成についての説明を終え、次に、フローチャートを参照しつつ個人情報管理システムの動作について説明する。

図７は、監視サーバ１における初期設定処理のフローチャートである。監視サーバ１の初期設定処理は、監視サーバ１が監視を開始するときに行う処理であり、監視サーバ１の初期設定手段１１によって実行される。すなわち、初期設定処理が実行される時点では、個人情報管理ファイル２１、キーワードファイル２２にはレコードが存在せず、また個人情報ファイル回収領域２３にはファイルが存在しない状態になっている。

監視サーバ１の操作者が入力装置３を使用して、監視サーバ１に初期設定処理を行うべきことを指示すると（例えばキーボードから初期設定手段１１を起動すべきことをコマンド入力すると）、監視サーバ１は初期設定手段１１を起動する。

初期設定手段１１は、表示装置４に個人情報ファイルのサンプルとして使用すべきファイル（以降、初期設定処理の説明において「サンプルファイル」と記載する）を指定すべき旨のメッセージを表示し、入力装置３からサンプルファイルの絶対パス情報を取得する（Ｓ７０１）。

次に、初期設定手段１１はサンプルファイルのテキスト部分を検索することで、頻出キーワードすなわちサンプルファイルが固有に含んでいるキーワードではなく、他のファイルにも頻繁に出現するキーワードを抽出する。具体的には、例えばＴＦ−ＩＤＦアルゴリズムを用いて、次のように行う（Ｓ７０２）。

まず、初期設定手段１１はサンプルファイルのテキスト部分から名詞を抽出する。ここで、テキスト部分から所定の品詞を抽出する方法については、形態素解析として周知技術であるので、説明を省略する。例えば、サンプルファイルが懲戒文書である場合には「所属」、「氏名」、「訓告」、「年」等の名詞が抽出される。監視サーバ１は抽出した名詞（以降、初期設定処理の説明において「キーワード候補」と記載する）とテキスト部分での出現回数（以降、初期設定処理の説明において「ＴＦ」と記載する）を対にして、図示していないが監視サーバ１の主記憶装置内に記憶する。なお、キーワード候補はサンプルファイルのテキスト部分のみならず、画像情報部分から抽出することも可能である。すなわち画像情報の中から画像情報化された文字情報を抽出する技術も広く知られており、このような技術を使用することができる。

次に、初期設定手段１１は検出対象ファイル格納領域２４に含まれるファイルの数（以降、初期設定処理の説明において「対象ファイル数」と記載する）を数える。このとき、例えばＤＢについては記憶されているレコードの数を数えればよい。

また、対象ファイル数の対象としたファイルそれぞれについて、キーワード候補を含んでいるか検索し、キーワード候補毎に、当該キーワード候補を含むファイルの数（以降、初期設定処理の説明において「ＤＦ」と記載する）を数える。

次に、初期設定手段１１は、キーワード候補毎に、ＴＦ×ｌｏｇ（対象ファイル数÷ＤＦ）＋１の計算を行うことで、各キーワード候補についてのＴＦ−ＩＤＦ値を求め、ＴＦ−ＩＤＦ値が所定値以下であるキーワードを頻出キーワードとする。このとき頻出キーワードの抽出数を抑えるために上限値を設け、例えばＴＦ−ＩＤＦ値が所定値以下であるキーワードのうち、ＴＦ−ＩＤＦ値が小さいものから上限値数を選択してもよい。また、ＴＦ−ＩＤＦ値が極端に小さいキーワードは、個人情報ファイルに限らずどのようなファイルにも均等に出現するありふれたキーワードである可能性もある。そのようなおそれがある場合には、ＴＦ−ＩＤＦ値が所定の範囲内であるキーワードを抽出してもよい。

初期設定手段１１は、以上のようにして抽出した頻出キーワードを含むキーワードレコード２２０を作成し、キーワードファイル２２に記憶する（Ｓ７０３）。このとき、キーワード２２１には頻出キーワードを、出現ファイル数２２２およびクロ・グレーファイル数２２３には対象ファイル数を、シロファイル数２２４には０を設定する。すなわち初期状態においては全てのファイルが、個人情報ファイルであるものとして扱う。
初期設定手段１１は、以上で処理を終了する。

なお、初期設定処理において、個人情報ファイルのサンプルファイルだけでなく、個人情報ファイルではないファイルのサンプルファイルについても、頻出キーワードを抽出して、キーワードレコード２２０を作成することができる。具体的には、Ｓ７０３の処理終了後、表示装置４に個人情報ファイルではないファイルのサンプルとして使用すべきファイル（以降、初期設定処理の説明において「逆サンプルファイル」と記載する）を指定すべき旨のメッセージを表示し、入力装置３から逆サンプルファイルの絶対パス情報を取得する。そして、逆サンプルファイルについて、サンプルファイルと同様に頻出キーワードを抽出し、キーワードレコード２２０を作成すればよい。ただし、この場合には、出現ファイル数２２２およびシロファイル数２２４には対象ファイル数を、クロ・グレーファイル数２２３には０を設定する。また、Ｓ７０３において、キーワード２２１の設定値が当該頻出キーワードと同一のレコードが作成済みの場合には、出現ファイル数２２２には対象ファイル数を加算し、シロファイル数２２４には対象ファイル数を設定する。

逆サンプルファイルから頻出キーワードを抽出する目的は、個人情報にありそうなキーワードを含みつつも、その組織では個人情報としては用いられていないキーワードを登録することで検出精度を上げるためであるが、省略することもできる。また、サンプルファイルからの頻出キーワードの抽出は行わず、逆サンプルファイルのみから頻出キーワードを抽出してもよい。

さらに、以上で説明したような頻出キーワードの抽出を行うのでなく、監視サーバ１の操作者が直接、キーワード２２１、出現ファイル数２２２、クロ・グレーファイル数２２３およびシロファイル数２２４に設定する値を指定してもよい。すなわち、前述したＳ７０１およびＳ７０２の処理を行わず、Ｓ７０３において、入力装置３から入力されたキーワード、クロ・グレーファイル数およびシロファイル数２２４を、キーワード２２１、クロ・グレーファイル数２２３およびシロファイル数２２４に設定し、出現ファイル数２２２には、クロ・グレーファイル数２２３とシロファイル数２２４の合計値を設定するようにしてもよい。個人情報ファイルを特徴付けるキーワードがはっきり分かっているような場合には、このようにすることで、より正確に個人情報ファイルを検出することができる。

図８は、クライアント６における初期設定処理のフローチャートである。クライアント６の初期設定処理は、クライアント６の初期設定手段６１によって実行される。なお、クライアント６における初期設定処理は、クライアント６に対する監視を開始するときに行う処理であり、初期設定処理が実行される時点では、クライアント個人情報管理ファイル７１にはレコードが存在せず、監視サーバ１の個人情報管理ファイル２１にも、クライアント識別２１１に当該クライアント６を示す値が設定されたレコードは、存在しない状態になっている。図示していないが、初期設定手段６１は起動直後に、このような状態であることを確認し、例えばクライアント個人情報管理ファイル７１にレコードが存在する場合には処理を終了するようにしてもよい。

クライアント６の操作者が入力装置８を使用して、クライアント６に初期設定処理を行うべきことを指示すると（例えばキーボードから初期設定手段６１を起動すべきことをコマンド入力すると）、クライアント６は初期設定手段６１を起動する。

初期設定手段６１は、監視サーバ１にキーワード情報等を送信するように要求し、要求に応じて監視サーバ１から送信されたキーワード情報を取得する（Ｓ８０１）。具体的には、監視サーバ１から、キーワードファイル２２に記憶されているキーワードレコード２２０について、キーワード２２１、出現ファイル数２２２、クロ・グレーファイル数２２３およびシロファイル数２２４が送信されるので、それぞれを、キーワード６９１、出現ファイル数６９２、クロ・グレーファイル数６９３、シロファイル数６９４に設定して、キーワードレコード６９０を記憶する。なお、後述するように、監視サーバ１は、初期設定手段６１からのキーワード情報等送信要求に応じて、キーワード情報のほかに、個人情報管理ファイル２１に記憶されたレコードのうち、クライアント識別２１１に当該クライアント６を示す値が設定された個人情報管理レコード２１０を送信するが、前述したように初期設定処理が実行される時点では、送信対象レコードは存在せず、従って、送信された個人情報管理レコード２１０についての処理は不要である。

次に、初期設定手段６１は、検出対象ファイル格納領域７２に記憶されている全てのファイルを対象にして、個人情報ファイルの検出処理（Ｓ８０２からＳ８０５までの処理）を行う。以下、個人情報ファイルの検出処理について説明する。

初期設定手段６１は、検出対象ファイル格納領域に記憶されているファイルが個人情報ファイルであるか否かを判定する。すなわち、それぞれファイルのテキスト部分等に含まれているキーワード６９１の数（以降、初期設定処理の説明において「出現回数」と記載する）を検索して、各キーワード６９１につき、評価点を算出し評価点によって判定を行う。例えば、評価点＝クロ・グレーファイル数６９３÷出現ファイル数６９２×出現回数として、全てのキーワードについての評価点を合計し、合計値が所定値以上である場合に、個人情報ファイルであると判定することができる。また、評価点＝（クロ・グレーファイル数６９３−シロファイル数６９４）÷出現ファイル数６９２×出現回数としてもよいし、評価点の算出方法としてはさまざまな方法が可能である。いずれの方法によるにせよ、評価点の合計値が、当該ファイルが個人情報ファイルである可能性と相関関係を有するような算出方法を選択すればよい（Ｓ８０２）。

初期設定手段６１は、上記の判定を行ったファイルにつき、クライアント個人情報管理レコード７１０を作成してクライアント個人情報管理ファイル７１に記憶する。このとき、ファイル識別７１２には当該ファイルの絶対パス情報を、ファイル更新日時７１３には当該ファイルの更新日時を、ステータス更新日時７１５にはクライアント個人情報管理レコード７１０を作成した日時を、頻出キーワード７１６にはキーワード６９１のうち当該ファイルに含まれていたものを設定する。また、ステータス７１４には、当該ファイルが個人情報ファイルである（個人情報を含んでいる可能性がある）と判定した場合には「グレー」を、個人情報ファイルでないと判定した場合には「シロ」を設定する（Ｓ８０３）。

次に、初期設定手段６１は、クライアント個人情報管理レコード７１０に設定したステータス情報、すなわちファイル識別７１２、ファイル更新日時７１３、ステータス７１４、ステータス更新日時７１５および頻出キーワード７１６を監視サーバ１に送信する。また、以上の情報が監視サーバ１に新たに送信するステータス情報であることを示す識別情報（以降「送信情報種別」と記載する）を送信する（Ｓ８０４）。

初期設定手段６１は、検出対象ファイル格納領域に記憶されている全てのファイルを対象にして、個人情報ファイルの検出処理を行い、全ファイルについて個人情報ファイル（「グレー」）であるか否かの判定が終了すると、処理を終了する。

図９は、監視サーバ１におけるステータス送付処理のフローチャートである。監視サーバ１のステータス送付処理は、監視サーバ１のステータス送付手段１２によって実行される。

ステータス送付手段１２は、監視サーバ１が起動されると、監視サーバ１によって起動され、クライアント６からキーワード情報等の送信要求を受けるまで待ち続ける（Ｓ９０１）。なお、キーワード情報等の送信要求は、前述したようにクライアント６の初期設定手段６１によって行われるほか、後述するようにクライアント６のファイル操作監視手段６２によっても行われる。

ステータス送付手段１２は、クライアント６からキーワード情報等の送信要求を受けると、キーワードファイル２２に記憶されている全てのキーワードレコード２２０を取得し（Ｓ９０２）、取得したキーワードレコード２２０のキーワード２２１、出現ファイル数２２２、クロ・グレーファイル数２２３およびシロファイル数２２４を、クライアント６に送信する（Ｓ９０３）。

次に、ステータス送付手段１２は、個人情報管理ファイル２１に記憶されている個人情報管理レコード２１０のうち、クライアント識別２１１に当該クライアント６を示す値が設定された全てのレコードを取得し（Ｓ９０４）、ステータス２１４が「シロ」、「グレー」または「クロ」であるレコードのファイル識別２１２、ステータス２１４、およびステータス更新日時２１５を、クライアント６に送信する（Ｓ９０５）。

そして、ステータス送付手段１２は、再び、クライアント６からキーワード情報等の送信要求を受けるまで待ち続ける（Ｓ９０１）。

クライアント６は、前述したように、以上のように送信されたキーワード２２１等をキーワード情報記憶領域６９に記憶させるとともに、後述するように、クライアント個人情報管理ファイル７１に記憶されているクライアント個人情報管理レコード７１０のうち送信されたファイル識別２１２に対応するレコードのステータス７１４等を更新する。これによって、クライアント６が管理する個人情報ファイルのステータス等を、監視サーバ１が管理する個人情報ファイルのステータス等と一致させることができる。

なお、ステータス送付手段１２は、キーワードファイル２２に記憶されている全てのキーワードレコード２２０のキーワード２２１等を送信するのではなく、個人情報ファイル候補（「グレー」）であるか否かを判定するにあたり重要なキーワードのみを選択して、キーワード２２１等を送信してもよい。

この場合、例えばクロ率＝クロ・グレーファイル数２２３÷出現ファイル数２２２という計算を行い、クロ率が１に近いキーワードおよびクロ率が０に近いキーワードを重要なキーワードとすることができる。

ただし、クロ率が１に近いキーワードが少なすぎると個人情報ファイルの検出力が落ちるため、クロ率が１に近いキーワードの数とクロ率が０に近いキーワードの数がほぼ一致し、かつ充分な数となるように選択すべきである。

なお、ステータス送付手段１２をキーワード送付手段とステータス送付手段の２つに分けて構成し、キーワード送付手段がＳ９０１からＳ９０３までの処理を行い、ステータス送付手段がＳ９０１、Ｓ９０４およびＳ９０５の処理を行うようにしても良い。

図１０は、監視サーバ１におけるステータス更新処理のフローチャートである。監視サーバ１のステータス更新処理は、監視サーバ１のステータス更新手段１３によって実行される。

ステータス更新手段１３は、監視サーバ１が起動されると、監視サーバ１によって起動され、クライアント６からステータス情報を受信するまで待ち続ける（Ｓ１００１）。なお、ステータス情報は、前述したようにクライアント６の初期設定手段６１によって送信されるほか、後述するようにクライアント６のファイル操作監視手段６２およびステータス強制変更手段６３によっても送信される。このとき、ファイル操作監視手段６２からは、ファイル識別、ファイル更新日時、ステータス、ステータス更新日時および頻出キーワードが送信される。さらに以上の情報が新たに送信する情報か、ステータスを強制的に更新した結果の情報か、あるいは送付済み情報についての削除情報なのか（以降、図１０の説明においてそれぞれ「新規情報」、「更新情報」、「削除情報」と記載する）等を識別する送信情報種別が送信される。なお、クライアント６においてファイル操作が行われた結果、ステータス情報が更新された場合には、後述するように、変更前のステータス情報について削除情報が送信され、変更後のステータス情報について新規情報が送信される。

ステータス更新手段１３は、クライアント６からステータス情報を受信すると、送信情報種別が新規情報であるかどうかを判定する（Ｓ１００２）。

送信情報種別が新規情報である場合には、個人情報管理レコード２１０を作成する（Ｓ１００３）。具体的には、クライアント識別２１１にステータス情報を送信したクライアントを識別する情報を設定し、ファイル識別２１２、ファイル更新日時２１３、ステータス２１４、ステータス更新日時２１５、頻出キーワード２１６に、それぞれ送信されたファイル識別、ファイル更新日時、ステータス、ステータス更新日時、頻出キーワードを設定し、個人情報管理ファイル２１に記憶する。また、ステータス更新手段１３は、キーワードレコード２２０を更新する（Ｓ１００４）。具体的には、送信された頻出キーワードのそれぞれについて、キーワード２２１が一致するキーワードレコード２２０について、出現ファイル数２２２を１加算する。また、ステータスが「クロ」または「グレー」の場合はクロ・グレーファイル数２２３に、「シロ」の場合はシロファイル数２２４を１加算する。

送信情報種別が更新情報の場合には、個人情報管理ファイル２１に記憶されている個人情報管理レコード２１０のうち、クライアント識別２１１に当該クライアント６を示す値が設定され、かつファイル識別２１２が送信されたファイル識別と一致するレコードのステータス２１４およびステータス更新日時２１５に送信されたステータスおよびステータス更新日時を設定し、個人情報管理レコード２１０を更新する（Ｓ１００５）。また、ステータス更新手段１３は、キーワードレコード２２０を更新する（Ｓ１００６）。具体的には、送信された頻出キーワードのそれぞれについて、キーワード２２１が一致するキーワードレコード２２０について、出現ファイル数２２２に１を加算する。また、ステータスが「クロ」または「グレー」の場合はクロ・グレーファイル数２２３に１を、「シロ」の場合はシロファイル数２２４に１をそれぞれ加算する。

送信情報種別が削除情報の場合には、個人情報管理ファイル２１に記憶されている個人情報管理レコード２１０のうち、クライアント識別２１１に当該クライアント６を示す値が設定され、かつファイル識別２１２が送信されたファイル識別と一致するレコードを削除する（Ｓ１００５）。なお、送信情報種別が削除情報の場合には、キーワードレコード２２０の更新は行わない。

ステータス更新手段１３は、Ｓ１００２からＳ１００６までの処理を、受信した全てのステータス情報について行い（Ｓ１００７）、その後、再びクライアント６からステータス情報を受信するまで待ち続ける（Ｓ１００１）。

クライアント６からステータス情報を受信しなかった場合（Ｓ１００１の「ＮＯ」の場合）、ステータス更新手段１３は、ステータス「グレー」を「クロ」に変更する処理（Ｓ１０２０からＳ１０２３の処理）を行う。本処理の目的は、個人情報ファイルの疑いがあるファイルのうち、長期間にわたって放置されているファイルがクライアント６の検出対象ファイル格納領域７２から回収されるようにするため、その前段階としてステータスを「クロ」に変更することにある。すなわち「グレー」のファイルは操作されることなく所定期間が経過すると「クロ」ファイルになり、さらに操作されることなく所定期間が経過すると監視サーバ１に送信され、クライアント６からは消去される。このようにすることで、個人情報ファイルをセキュリティ監視対策の行き届いた監視サーバ１に集約する一方、クライアント６の操作者が必要とするファイルが突然消去されないように、クライアント６の操作者に時間的余裕を与えることができるのである。

ステータス更新手段１３は、個人情報管理ファイル２１を検索し、ステータス２１４が「グレー」である個人情報管理レコード２１０が存在するか判定する（Ｓ１０２０）。

ステータス２１４が「グレー」であるレコードが存在しない場合には、再びクライアント６からステータス情報を受信するまで待ち続け（Ｓ１００１）、存在する場合には、ステータス２１４が「グレー」であるレコードのうち、ステータス更新日時２１５が最古のレコードを参照する（Ｓ１０２１）。そして、ステータス更新日時２１５から所定期間（例えば１ヶ月）が経過済みである場合（Ｓ１０２２）は、参照したレコードのステータス２１４に「クロ」を設定し、現在日時（すなわち本処理を行っている日時）をステータス更新日時２１５に設定して、参照したレコードを更新する（Ｓ１０２３）。

なお、ステータス「グレー」を「クロ」に変更する処理はステータス更新手段１３が行うのでなく、Ｓ１０２０からＳ１０２３までの処理を行うステータス確定手段を設けても良い。その場合には、ステータス確定手段は、監視サーバ１のＣＰＵ使用率等を常時監視し、監視サーバ１の負荷が低い状態である場合にＳ１０２０からＳ１０２３までの処理を行うようにすることができる。

図１１は、クライアント６におけるファイル操作監視処理のフローチャートである。クライアント６のファイル操作監視処理は、クライアント６のファイル操作監視手段６２によって実行される。

ファイル操作監視手段６２は、クライアント６が起動されると、クライアント６によって起動され、随時、個人情報ファイルの作成・更新等を検出し、監視サーバ１に必要な情報を送信する。

ファイル操作監視手段６２は、起動されると、まずキーワード情報等を取得済みであるか否かを判定する（Ｓ１１０１）。例えばキーワード情報記憶領域６９にキーワードレコード６９０が記憶されているか判定する。

キーワード情報等を未取得である場合、ファイル操作監視手段６２は、監視サーバ１にキーワード情報等を送信するように要求し、要求に応じて監視サーバ１から送信されたキーワード情報およびステータス情報を取得する（Ｓ１１０２）。具体的には、監視サーバ１のステータス送付手段１２により、キーワードファイル２２に記憶されているキーワードレコード２２０について、キーワード２２１、出現ファイル数２２２、クロ・グレーファイル数２２３およびシロファイル数２２４が送信されるので、それぞれを、キーワード６９１、出現ファイル数６９２、クロ・グレーファイル数６９３、シロファイル数６９４に設定して、キーワードレコード６９０を記憶する。また、ステータス送付手段１２により、個人情報管理ファイル２１に記憶されている個人情報管理レコード２１０のうち、クライアント識別２１１が当該クライアント６を識別するレコードであって、かつステータス２１４が「シロ」「グレー」または「クロ」であるレコードのファイル識別２１２、ステータス２１４、およびステータス更新日時２１５が送信されるので、それぞれを、クライアント個人情報管理レコード７１０のうち、ファイル識別７１２が送信されたファイル識別と等しいレコードの、ステータス７１４およびステータス更新日時７１５に設定して、クライアント個人情報管理レコード７１０を更新する。

以上の処理が終了すると、ファイル操作監視手段６２は、ファイル作成、更新、削除、コピー、移動、送信等、ファイルの記憶場所や記憶内容等を変更する操作を検出するまで待つ（Ｓ１１０３）。ファイル操作の検出は、例えばＯＳのファイル操作処理やファイル送信処理にフックをかけることによって実現することができる。

ファイルの記憶場所や記憶内容等を変更する操作を検出した場合、ファイル操作監視手段６２は、当該操作が検出対象ファイル格納領域７２外に記憶されているファイルの削除操作であるかを判定し、該当する場合には、再びファイルの記憶場所や記憶内容等を変更する操作を検出するまで待つ（Ｓ１１０４）。

ファイルの記憶場所や記憶内容等を変更する操作を検出した場合、操作対象のファイルが個人情報ファイルか否か等を判定する（Ｓ１１０５）。

具体的には、ファイル操作が行われる前のファイルのテキスト部分等を対象に、初期設定手段６１が行う判定処理（Ｓ８０２）と同様の処理を行い「シロ」または「グレー」のステータスを得る（以降、図１１の説明において「操作前ステータス」と記載する）。ここで、ファイル操作内容がファイルの作成、外部記憶媒体からのファイルのコピー、受信したメールに添付されていたファイルの取込等、クライアント６の記憶装置７に新たにファイルを作成する操作である場合には、操作前ステータスには「なし」というステータスを設定するものとする。次に、「操作前ステータス」が「シロ」または「グレー」であり、操作前のファイルが検出対象ファイル格納領域７２に記憶されている場合、当該ファイルのクライアント個人情報管理レコード７１０のステータス７１４を参照し、ステータス７１４が「クロ」である場合には、操作前ステータスを「クロ」にする。すなわち、キーワードレコード６９０の設定内容は、クライアント６を新たに起動するたびに変わっていくため、ステータス７１４に設定されている「シロ」または「グレー」の値が妥当ではない可能性がある。一方、ステータス７１４が「クロ」である場合は、監視サーバ１の操作者等により確認されたいわば確定ステータスである。このため、ステータス７１４が「クロ」の場合は操作前ステータスを「クロ」とし、ステータス７１４が「クロ」でない場合は、あらためてステータスを判定するのである。

次に、当該操作を行った場合の操作後のファイルのテキスト部分等を対象に、初期設定手段６１が行う判定処理（Ｓ８０２）と同様の個人情報ファイル判定処理を行い、「シロ」または「グレー」のステータスを得る（以降、図１１の説明において「操作後ステータス」と記載する）。ここで当該操作を行った場合にファイルが削除される場合には、操作後ステータスには「なし」というステータスを設定するものとする。

さらに、操作後ステータスが「シロ」または「グレー」の場合、操作を行った結果、操作後のファイルが検出対象ファイル格納領域７２内に記憶されるか否かを判定し、検出対象ファイル格納領域７２内に格納される場合は「領域内」、検出対象ファイル格納領域７２外に格納される場合は「領域外」の情報（以降、図１１の説明において「操作後格納場所」と記載する）を得る。

次に、ファイル操作監視手段６２は、操作前ステータス、操作後ステータスおよび操作後格納場所により、操作が適切であるかどうかを判定する（Ｓ１１０６）。

この判定は、図１９に示す表（以降「処理条件表」と記載する）に示すように行えばよい。例えば、操作前ステータスが「シロ」または「グレー」、操作後ステータスが「シロ」、操作後格納場所が「領域内」である場合には、処理条件表の１行目において操作可否が「○」になっているので操作が適切であると判定する。操作前ステータスが「シロ」または「グレー」、操作後ステータスが「グレー」、操作後格納場所が「領域外」である場合には、処理条件表の４行目において操作可否が「×」になっているので操作が適切でないと判定する。なお、処理条件表において「操作例」と記載した欄は、説明を理解しやすくするために各条件に該当する操作を例示したに過ぎず、ファイル操作監視手段６２の機能には関係しない。また、図１９の処理条件表は一例に過ぎず、これと異なる条件で判定を行ってもよい。

操作が適切でないと判定した場合は当該操作を禁止する（Ｓ１１０７）。このとき、フックをかけたＯＳのファイル操作処理やファイル送信処理が実行されないようにしてもよいし、フックをかけたＯＳのファイル操作処理やファイル送信処理に内容が空白のダミーファイルを引き渡して、これに対して処理を行わせてもよい。また、単に操作を禁止するのではなく、クライアント６の表示装置９に適切な操作が行われたことを表示してもよい。表示等を行うことで、クライアント６の操作者は当該ファイルが個人情報ファイルであることに気付くことができる。

次に、ファイル操作監視手段６２は、ステータス情報の変更等が必要かどうかを判定する（Ｓ１１０８）。この判定は、処理条件表に示すように行えばよい。例えば、操作前ステータスが「シロ」または「グレー」、操作後ステータスが「シロ」、操作後格納場所が「領域内」である場合には、処理条件表の１行目において「クライアント個人情報管理レコード」欄が「更新」になっているので、クライアント個人情報管理レコード７１０を更新する。操作前ステータスが「シロ」または「グレー」、操作後ステータスが「シロ」、操作後格納場所が「領域外」である場合には、処理条件表の２行目において「クライアント個人情報管理レコード」欄が「−」になっているので、クライアント個人情報管理レコード７１０の更新等を行わない。「クライアント個人情報管理レコード」欄が「削除」となっている場合にはクライアント個人情報管理レコード７１０を削除し、「作成」となっている場合にはクライアント個人情報管理レコード７１０を作成する。

以上（Ｓ１１０８）の判定結果、クライアント個人情報管理レコード７１０を「作成」する場合、ファイル操作監視手段６２は、ファイル識別７１２にファイルの操作後の絶対パス、ファイル更新日時７１３に現在日時（すなわち本処理を行っている日時）、ステータス７１４に操作後ステータス、ステータス更新日時７１５に現在日時（すなわち本処理を行っている日時）、頻出キーワード７１６に当該ファイルが個人情報ファイルであるか否かを判定するために使用したキーワード、すなわちキーワードファイル２２に記憶されているキーワードのうち、当該ファイルに含まれているキーワードを設定して、クライアント個人情報管理レコード７１０を記憶する。

クライアント個人情報管理レコード７１０を「削除」する場合、ファイル操作監視手段６２は、ファイル識別７１２がファイルの操作前の絶対パスと一致するクライアント個人情報管理レコード７１０を削除する。

クライアント個人情報管理レコード７１０を「更新」する場合、ファイル操作監視手段６２は、ファイル識別７１２がファイルの操作前の絶対パスと一致するクライアント個人情報管理レコード７１０を削除した後、前述したクライアント個人情報管理レコード７１０の「作成」と同じ処理を行う（Ｓ１１０９）。

次に、ファイル操作監視手段６２は、当該クライアント個人情報管理レコード７１０の更新前後に設定されていたステータス情報を監視サーバ１に送信する（Ｓ１１１０）。

このとき、Ｓ１１０８の判定の結果、クライアント個人情報管理レコード７１０を「作成」する場合には、ファイル識別７１２、ファイル更新日時７１３、ステータス７１４、ステータス更新日時７１５および頻出キーワード７１６を監視サーバ１に送信する。また、以上の情報が新規情報であることを示す送信情報種別を送信する。

Ｓ１１０８の判定の結果、クライアント個人情報管理レコード７１０を「削除」する場合には、削除前のクライアント個人情報管理レコード７１０のファイル識別７１２、ファイル更新日時７１３、ステータス７１４、ステータス更新日時７１５および頻出キーワード７１６を監視サーバ１に送信する。また、以上の情報が削除情報であることを示す送信情報種別を送信する。

Ｓ１１０８の判定の結果、クライアント個人情報管理レコード７１０を「更新」する場合には、Ｓ１１０９で削除したクライアント個人情報管理レコード７１０のファイル識別７１２、ファイル更新日時７１３、ステータス７１４、ステータス更新日時７１５および頻出キーワード７１６を監視サーバ１に送信する。また以上の情報が削除情報であることを示す送信情報種別を送信する。そして、Ｓ１１０９で作成したクライアント個人情報管理レコード７１０のファイル識別７１２、ファイル更新日時７１３、ステータス７１４、ステータス更新日時７１５および頻出キーワード７１６を、監視サーバ１に送信する。また以上の情報が新規情報であることを示す送信情報種別を送信する。

以上までに説明した、監視サーバにおける初期設定処理、クライアントにおける初期設定処理、監視サーバにおけるステータス送付処理、監視サーバにおけるステータス更新処理、およびクライアントにおけるファイル操作監視処理により、クライアント６の記憶装置７に記憶された個人情報ファイルを随時検出し、個人情報ファイルについての操作を制限することが可能になる。また、もともと個人情報を含まなかったファイルが更新の結果、個人情報を含むようになった場合、この時点で個人情報ファイルを自動的に検出できる。さらに、「シロ」、「グレー」、「クロ」の３つのステータスによって管理することで、クライアント６の操作者に対応する時間的余裕を与えつつ、徐々に操作の制限を強くしていくことができる。

以降は、さらにクライアント６において、ステータスの強制変更等を可能にする方法について説明する。

図１２は、クライアント６におけるステータス強制変更処理のフローチャートである。クライアント６のステータス強制変更処理は、クライアント６のステータス強制変更手段６３によって実行される。

クライアント６の操作者が入力装置８を使用して、クライアント６にステータス強制変更処理を行うべきことを指示すると（例えばステータス強制変更手段６３を起動すべきことをコマンド入力すると）、クライアント６は強制変更手段６３を起動する。

ステータス強制変更手段６３は起動されると、表示装置９にステータス変更画面を表示する（Ｓ１２０１）。

図１３は、ステータス変更画面の表示例である。
ステータス変更画面には、対象ファイル選択フィールド１３０１および実行ボタン１３０５、キャンセルボタン１３０６を表示する。このとき、ステータス強制変更手段６３は、クライアント個人情報管理ファイル７１に記憶されている全てのクライアント個人情報管理レコード７１０を検索し、ファイル識別７１２およびステータス７１４を取得する。取得したファイル識別およびステータスは、対にして一時的に記憶する（以降、ステータス強制変更処理の説明において「ステータス情報一時記憶エリア」と記載する）。また、ステータス情報一時記憶エリアに記憶したファイル識別とステータスを、対象ファイル選択フィールド内のファイル名表示欄１３０２とステータス表示欄１３０３に対応させてスクロール表示し、さらにファイル選択チェックボックス１３０４を表示する。

このとき、ファイル名表示欄の並び順は、ファイル更新日時７１３の降順（新たに作成・更新した順）、ファイル識別の昇順（操作者に分かりやすい順）等、操作者の便宜を考慮して定めればよい。なお、後の処理の必要上、ステータス情報一時記憶エリア内のファイル識別およびステータスを対にした情報も、ファイル名表示欄の並び順と合わせて並べ替えるものとする。

ステータス強制変更手段６３は、ボタンが押下されるまで待ち続け、ボタンが押下された旨を検出すると（Ｓ１２０２）、押下されたボタンが実行ボタン１３０５であるか否かを判定する（Ｓ１２０３）。

押下されたボタンが実行ボタン１３０５ではない、すなわちキャンセルボタン１３０６であると判定した場合には、ステータス強制変更手段６３は処理を終了する。また、押下されたボタンが実行ボタン１３０５であると判定した場合には、ステータス強制変更手段６３は、ステータス情報一時記憶エリアの、チェック入力（選択入力）されたチェックボックスに対応するファイル識別およびステータス（以降、ステータス強制変更処理の説明において、それぞれ「対象ファイル識別」、「対象ステータス」と記載する）について以降の処理をおこなう。

ステータス強制変更手段６３は、対象ステータスが「グレー」または「クロ」の場合に、解除要求であると判定し（Ｓ１２０４）、監視サーバ１に解除要求を送信する。具体的には、対象ファイル識別を監視サーバ１に送信する。また、以上の情報が解除要求情報であることを示す識別情報を送信する（Ｓ１２０５）。

ステータス強制変更手段６３は、対象ステータスが「シロ」の場合には、クライアント個人情報管理レコード７１０のうちファイル識別７１２が対象ファイル識別と一致するレコードのステータス７１４に「グレー」を、ステータス更新日時７１５に現在日時を設定して、個人情報管理レコード７１０を更新する（Ｓ１２０６）。また、監視サーバ１にステータス情報を送信する（Ｓ１２０７）。具体的には、上記更新したクライアント個人情報管理レコード７１０の更新後のファイル識別７１２、ファイル更新日時７１３、ステータス７１４、ステータス更新日時７１５および頻出キーワード７１６を監視サーバ１に送信する。また、以上の情報が更新情報であることを示す送信情報種別を送信する。

ステータス強制変更手段６３は、上記の（Ｓ１２０４からＳ１２０７）の処理を、選択ファイル全て、すなわち選択入力されたチェックボックス全てについて行うと（Ｓ１２０８）、再び表示装置９にステータス変更画面を表示する（Ｓ１２０１）。

クライアント６において、ステータスの強制変更等を可能にする場合には、監視サーバ１において、ステータス強制変更手段６３から送信された解除要求情報を適切に処理する必要がある。この処理は前述したステータス更新手段１３によって、実現することができる。

図１４は、監視サーバ１におけるステータス更新処理に解除要求情報に対する処理を加えた場合のフローチャートである。監視サーバ１のステータス更新処理は、監視サーバ１のステータス更新手段１３によって実行される。図１４のうち、図１０と異なるのは、Ｓ１０３０からＳ１０３２までの処理であり、その他は既に図１０を参照して説明したものと同じである。よって、ここではＳ１０３０からＳ１０３２までの処理について説明する。なお、ステータス強制変更手段６３によって送信された更新情報は、Ｓ１００５およびＳ１００６で処理される。

ステータス更新手段１３は、ステータス情報を受信すると（Ｓ１００１のＹＥＳの処理）、送信情報種別が解除要求であるか判定する（Ｓ１０３０）。

解除要求である場合は、個人情報管理レコード２１０のうちファイル識別２１２がクライアント６から送信されたファイル識別と一致するレコードのステータス２１４に「解除要求」を、ステータス更新日時２１５に現在日時を設定して、個人情報管理レコード２１０を更新する（Ｓ１０３１）。また、解除要求があったことの通知を行う（Ｓ１０３２）。具体的には、表示装置４にクライアント６から送信されたファイル識別とともに解除要求があった旨のメッセージを表示すればよい。また、このほかに、あるいはこれに加えて、予め記憶装置２内に監視サーバ１の操作者、管理者等のメールアドレスを記憶しておき、このメールアドレス宛にクライアント６から送信されたファイル識別とともに解除要求があった旨のメッセージを送信してもよい。

さて、監視サーバ１の操作者、管理者等は、解除要求があったことを通知された場合、監視サーバ１を操作して「解除要求」が設定されたステータス２１４を「シロ」または「クロ」に変更できる、すなわちファイル判定の解除を行うことができる。クライアント６から送信されたファイルについてステータス更新手段１３が自動的にステータス２１４を変更するのでなく、一旦、監視サーバ１の操作者に通知する理由は、どのような判定方法を取ろうとも、個人情報ファイルであるか否かを常に正しく判定できるとは限らないからである。すなわち、個人情報であるかという疑いがあるファイルは全て「グレー」としてファイル操作制限をかけておくことで、個人情報ファイルが不適切に管理されることを防止しつつ、「グレー」とされたファイルが実際には個人情報ファイルではない場合には、監視サーバ１の操作者、管理者等がファイル内容を確認した上で「シロ」とすることを可能にする。また、「クロ」とされたファイルが個人情報ファイルでなくなった場合にも監視サーバ１の操作者がファイル内容を確認した上で「シロ」とすることを可能にする。さらに、監視サーバ１の操作者、管理者等がファイル内容を確認する機会を設けることで、個人情報ファイル「グレー」とされたファイルが実際に個人情報ファイルであった場合（解除要求が不適切である場合）には、ステータスを「クロ」に変更し、ファイル操作制限をかけたまま、所定期間が経過すると自動的にクライアント６の記憶装置７から消去されるようにできる。

ここで、監視サーバ１の操作者、管理者等によるファイル内容の確認方法としては、当該ファイルのクライアント識別２１１およびファイル識別２１２によってファイルの所在場所が分かるので、例えば、当該ファイルをＦＴＰ（File Transfer Protocol）コマンドによって監視サーバ１に転送して内容を調べればよい。

図１５は、監視サーバ１における個人ファイル判定解除処理のフローチャートである。監視サーバ１の個人ファイル判定解除処理は、監視サーバ１の個人ファイル判定解除手段１４によって実行される。

監視サーバ１の操作者が入力装置３を使用して、監視サーバ１に個人ファイル判定解除処理を行うべきことを指示すると（例えば個人ファイル判定解除手段１４を起動すべきことをコマンド入力すると）、監視サーバ１は個人ファイル判定解除手段１４を起動する。個人ファイル判定解除手段１４は起動されると、表示装置４に解除画面を表示する（Ｓ１５０１）。

図１６は、解除画面の表示例である。
解除画面には、対象ファイル選択フィールド１６０１および実行ボタン１６０５、キャンセルボタン１６０６を表示する。このとき、個人ファイル判定解除手段１４は、個人情報管理ファイル２１に記憶されている個人情報管理レコード２１０を検索し、ステータス２１４に「解除要求」が設定されているすべてのレコードのクライアント識別２１１およびファイル識別２１２を取得する。取得したクライアント識別およびファイル識別は、対にして一時的に記憶する（以降、個人ファイル判定解除処理の説明において「ファイル情報一時記憶エリア」と記載する）。また、ファイル情報一時記憶エリアに記憶したクライアント識別とファイル識別を、対象ファイル選択フィールド内のクライアント表示欄１６０２とファイル名表示欄１６０３に対応させてスクロール表示し、さらにファイル選択チェックボックス１６０４を表示する。

このとき、ファイル名表示欄の並び順は、クライアント識別の昇順で、同一クライアント識別についてはファイル識別の昇順とする等、操作者の便宜に応じて定めればよい。なお、後の処理の必要上、ファイル情報一時記憶エリア内のクライアント識別およびファイル識別を対にした情報も、ファイル名表示欄の並び順と合わせて並べ替えるものとする。

個人ファイル判定解除手段１４は、ボタンが押下されるまで待ち続け、ボタンが押下された旨を検出すると（Ｓ１５０２）、押下されたボタンが実行ボタン１６０５であるか否かを判定する（Ｓ１５０３）。

押下されたボタンが実行ボタン１６０５ではない、すなわちキャンセルボタン１６０６であると判定した場合には、個人ファイル判定解除手段１４は処理を終了する。また、押下されたボタンが実行ボタン１６０５であると判定した場合には、個人ファイル判定解除手段１４は、ファイル情報一時記憶エリアの、チェック入力（選択入力）されたチェックボックスに対応するクライアント識別とファイル識別（以降、個人ファイル判定解除処理の説明において、それぞれ「対象クライアント識別」、「対象ファイル識別」と記載する）について、以降の処理を行う。

個人ファイル判定解除手段１４は、個人情報管理レコード２１０のうちクライアント識別２１１およびファイル識別２１２がクライアント識別および対象ファイル識別と一致するレコードのステータス２１４を参照し、「解除要求」となっている場合には解除処理（Ｓ１５０５からＳ１５０７の処理）を行う（Ｓ１５０５）。ここで再度ステータス２１４を参照する理由は、解除画面を表示した後、ステータス２１４が変更されている場合があるからである。

解除処理においては、ステータス２１４に「シロ」を、ステータス更新日時２１５に現在日時を設定して個人情報管理レコード２１０を更新する（Ｓ１５０５）。また、当該個人情報管理レコード２１０の頻出キーワード２１６に設定されているキーワードについて、キーワードレコード２２０を更新する（Ｓ１５０６）。具体的には、出現ファイル数２１２およびシロファイル数２２４に１加算する。さらに、解除済みであることの通知を行う（Ｓ１５０７）。例えば、予め記憶装置２内にクライアント６の操作者のメールアドレスをクライアント６ごとに記憶しておき、このメールアドレス宛にファイル識別とともに解除済みである旨のメッセージを送信すればよい。なお、通知に変えて、あるいは通知に加えて、対応するクライアント個人情報管理レコード７１０のステータス７１４を自動的に更新することも可能である。自動的に更新しない場合でも、クライアント個人情報管理レコード７１０のステータス７１４はクライアント６を起動したタイミングで更新されるので、多少の遅延はあるが、「シロ」状態に更新される。

個人ファイル判定解除手段１４は、上記の（Ｓ１５０４からＳ１５０７）の処理を、選択ファイル全て、すなわち選択入力されたチェックボックス全てについて行うと（Ｓ１５０８）、再び表示装置４に解除画面を表示する（Ｓ１５０１）。

これまで説明した処理により、検出対象ファイル格納領域７２内に存在する全てのファイルについて「シロ」、「グレー」、「クロ」の３つのステータスが適切に管理され、個人情報ファイルは随時検出される。さらに、個人情報ファイルを外部に持ち出す必要がある場合には、解除処理を利用して一時的に外部記憶媒体へのコピーを許す等の運用も可能になる。

このほかに、長期間にわたって「クロ」のまま放置されたファイルについては、監視サーバ１に送信し、クライアント６からは消去する（監視サーバ１に回収する）ことができる。これにより、クライアント６において操作する必要がなくなった個人情報ファイルを自動的に監視サーバ１に回収することができる。

図１７は、クライアント６における個人ファイル送信処理のフローチャートである。クライアント６の初期設定処理は、クライアント６の個人ファイル送信手段６４によって実行される。

個人ファイル送信手段６４は、クライアント６が起動されると、クライアント６によって起動され、ＣＰＵが低負荷になるまで、すなわちＣＰＵ使用率が所定値（例えば３０％）以下になるまで待ち続ける（Ｓ１７０１）。個人ファイル送信処理は、他の処理に比べて即時実施する必要性が低いため、このようにＣＰＵが低負荷の場合にのみ処理を行うようにするとよい。

ＣＰＵが低負荷の場合、個人ファイル送信手段６４は、クライアント個人情報管理ファイル７１を検索し、ステータス７１４が「クロ」であるクライアント個人情報管理レコード７１０が存在するか判定する（Ｓ１７０２）。

ステータス７１４が「クロ」であるレコードが存在しない場合には、再びＣＰＵが低負荷になるまで待ち続け（Ｓ１７０１）、存在する場合には、ステータス７１４が「クロ」であるレコードのうち、ステータス更新日時７１５が最古のレコードを参照する（Ｓ１７０３）。そして、ステータス更新日時７１５から所定期間（例えば１４日）が経過済みである場合（Ｓ１７０４）は、参照したレコードのファイル識別７１２によってファイルを読み、ファイルの内容とファイル識別７１２を監視サーバ１に送信する（Ｓ１７０５）。また、参照したクライアント個人情報管理レコード７１０を削除し（Ｓ１７０６）、監視サーバ１に送信したファイルを削除し（Ｓ１７０７）、再びＣＰＵが低負荷になるまで待ち続ける（Ｓ１７０１）。

図１８は、監視サーバ１における個人ファイル回収処理のフローチャートである。監視サーバ１の個人ファイル回収処理は、監視サーバ１の個人ファイル回収手段１５によって実行される。

個人ファイル回収手段１５は、監視サーバ１が起動されると、監視サーバ１によって起動され、クライアント６から回収対象ファイルを受信するまで待ち続ける（Ｓ１８０１）。

回収対象ファイルを受信すると、受信したファイルの内容を個人情報ファイル回収領域２３に格納し（すなわち記憶させ）、記憶したファイルの絶対パス（以降「回収場所」と記載する）を得る（Ｓ１８０２）。

次に、個人ファイル回収手段１５は、個人情報管理レコード２１０のうち、クライアント識別２１１に回収対象ファイルを送信したクライアント６を識別する情報が設定されており、ファイル識別２１２が受信したファイル識別と一致するレコードを更新する（Ｓ１８０３）。具体的にはファイル識別２１２に回収場所を、ファイル更新一時に現在日時を、ステータス２１４に「回収済み」を、ステータス更新日時２１５に現在日時を設定し、個人情報管理レコード２１０を更新する。

以上のように本実施例によれば、ファイルを「シロ」、「グレー」、「クロ」の３つのステータスによって管理することで、クライアント６の操作者に対応する時間的余裕を与えつつ、徐々に操作の制限を強くしていくことができる。さらに、「グレー」ファイルに所定期間の間アクセスがなかった場合には、当該「グレー」ファイルを「クロ」ファイルに遷移させ、また、「クロ」ファイルに所定期間の間アクセスがなかった場合には、当該「クロ」のファイルを取り出してサーバ側において記憶・管理することを、サーバ側で自動的に行うので、クライアント側の操作者が何ら意識することなく、当面は操作する可能性の少ない、漏洩を防止する必要があるファイルを、より漏洩に対してセキュリティの高い管理状態に移すことができる。また、ファイル操作の結果、ステータスが制限を強くする方向に変化した場合には即時にステータスを変更し、ステータスが制限を弱くする方向に変化した場合には、サーバ側の権限のある管理者などが確認後にステータスを変更することで、誤って操作制限対象外となることを防止することができる。

また、本実施形態によれば、各クライアント個人情報管理ファイルの内容を監視サーバ１側で吸い上げ、判定に用いたキーワード、クロ・グレーファイル数、シロファイル数等を把握して、キーワードレコードの内容を変更するので、監視サーバ１に個人情報判定ロジックの学習機能をもたせることができ、個人情報判定ロジックの精度の維持に手間をかけることなく、普段の業務の中で自動的に、個人情報判定ロジックの判定精度を向上させることが可能なシステムを提供することが可能になる。また、個人情報ファイルを随時検出し、個人情報ファイルについての操作を制限することが可能になる。また、もともと個人情報を含まなかったファイルが更新の結果、個人情報を含むようになった場合、更新時点で個人情報ファイルを自動的に検出できる。

ここで、前記した特許文献１に記載されたシステムでは、ファイルが個人情報ファイルであるか否かは、当該ファイルに住所、電話番号等の情報が所定数以上含まれているか否かによって判定される。また、ファイル内の情報が住所、電話番号等であるか否かは設定された個人情報の判定ロジックによって判定される。すなわち個人情報ファイルとして判定する類型パターンが予め定められており、これに該当すれば個人情報ファイルであると判定される。しかしながら、個人情報ファイルにはさまざまなものが存在し、実際には、特許文献１に記載されたシステムによって全ての個人情報ファイルを検出することはできない。例えば、会社内の懲戒文書は一人の個人名、役職等を含んでいるだけなので、特許文献１に記載されたシステムでは個人情報ファイルであると判定することはできない。また逆に、郵便番号を住所に変換するための対応ファイルは個人情報ファイルではないが、多数の住所情報等を含んでいるため、個人情報ファイルと判定されることになる。このように個人情報ファイルの形態にはさまざまなバリエーションがあり、特許文献１に記載されたシステムによって個人情報ファイルであるか否かを完璧に判定するためには、ファイルをいくつかのカテゴリに分類し、そのカテゴリに適合した個人情報判定ロジックを用意する必要がある。さらに、ファイルの種類の増加等に対応して適切な個人情報判定ロジックを維持するために継続的な労力を必要とする。

これに対して、本実施例では、上記したように、普段の業務の中で自動的に、個人情報判定ロジックの判定精度を向上させることが可能なシステムを実現可能となる。

以上、本実施例に係る個人情報管理システムについて説明したが、このような監視を必要とするファイルは、個人情報ファイルに限られるものではない。例えば、企業活動における営業秘密を記録した営業秘密ファイル、企業活動が法令等に則ったものであることを証明するための内部統制情報ファイル等、さまざまなファイルについて、どのクライアントに存在しているかを管理する必要がある。

本発明は、キーワードを変更することで、上記のようなさまざまなファイルについても対象とすることができる。この場合、個人ファイル判定解除手段１４、個人ファイル回収手段１５、個人情報管理ファイル２１、個人情報ファイル回収領域２３、個人ファイル送信手段６４およびクライアント個人情報管理ファイル７１は、それぞれ、以上説明した機能のまま、監視対象ファイル判定解除手段１４、監視対象ファイル回収手段１５、監視対象情報管理ファイル２１、監視対象情報ファイル回収領域２３、監視対象ファイル送信手段６４およびクライアント監視対象情報管理ファイル７１として動作することができる。

本発明の実施の一形態に係る個人情報管理システムのシステム構成図である。本発明の実施の一形態に係る個人情報管理システムにおける、クライアントのブロック構成図である。本発明の実施の一形態に係る個人情報管理システムにおける、個人情報管理ファイルのデータ構成図である。本発明の実施の一形態に係る個人情報管理システムにおける、キーワードファイルのデータ構成図である。本発明の実施の一形態に係る個人情報管理システムにおける、クライアント個人情報管理ファイルのデータ構成図である。本発明の実施の一形態に係る個人情報管理システムのクライアントにおける、キーワード情報格納領域のデータ構成図である。本発明の実施の一形態に係る個人情報管理システムの監視サーバにおける、初期設定処理のフローチャートである。本発明の実施の一形態に係る個人情報管理システムのクライアントにおける、初期設定処理のフローチャートである。本発明の実施の一形態に係る個人情報管理システムの監視サーバにおける、ステータス送付処理のフローチャートである。本発明の実施の一形態に係る個人情報管理システムの監視サーバにおける、ステータス更新処理のフローチャートである。本発明の実施の一形態に係る個人情報管理システムのクライアントにおける、ファイル操作監視処理のフローチャートである。本発明の実施の一形態に係る個人情報管理システムのクライアントにおける、ステータス強制変更処理のフローチャートである。本発明の実施の一形態に係る個人情報管理システムのクライアントにおける、ステータス変更画面の表示例を示す説明図である。本発明の実施の一形態に係る個人情報管理システムの監視サーバにおける、ステータス更新処理のフローチャートである。本発明の実施の一形態に係る個人情報管理システムの監視サーバにおける、個人ファイル判定解除処理のフローチャートである。本発明の実施の一形態に係る個人情報管理システムの監視サーバにおける、解除画面の表示例を示す説明図である。本発明の実施の一形態に係る個人情報管理システムのクライアントにおける、個人ファイル送信処理のフローチャートである。本発明の実施の一形態に係る個人情報管理システムの監視サーバにおける、個人ファイル回収処理のフローチャートである。本発明の実施の一形態に係る個人情報管理システムによるファイル操作監視処理における処理条件等を示す表図である。

符号の説明

１監視サーバ、１１初期設定手段、１２ステータス送付手段、１３ステータス更新手段、１４個人ファイル判定解除手段、１５個人ファイル回収手段
２記憶装置、２１個人情報管理ファイル、２２キーワードファイル、２３個人情報ファイル回収領域、２４検出対象ファイル格納領域
３入力装置
４表示装置
５通信回線
６クライアント、６１初期設定手段、６２ファイル操作監視手段、６３ステータス強制変更手段、６４個人ファイル送信手段、６９キーワード情報記憶領域
７記憶装置、７１クライアント個人情報管理ファイル、７２検出対象ファイル格納領域
８入力装置
９表示装置

Claims

サーバとクライアントとが通信回線を介して接続された個人情報管理システムであって、
サーバは、クライアントのもつ個人情報を含んでいる可能性のあるファイルおよび個人情報を含んでいると確定したファイルについての、クライアントでのアクセス状況を監視し、クライアントのもつ前記個人情報を含んでいる可能性のあるファイルおよび前記個人情報を含んでいると確定したファイルの管理を行うことを特徴とする個人情報管理システム。
サーバとクライアントとが通信回線を介して接続された個人情報管理システムであって、
クライアントは、
個人情報を含まない第１のファイル種別と、個人情報を含んでいる可能性のある第２のファイル種別と、個人情報を含んでいると確定した第３のファイル種別とに、ファイルを分別して記憶・管理する手段と、
前記第２のファイル種別および前記第３のファイル種別のファイルについては、クライアントでの操作に制限をかける手段とを、
有し、
サーバは、
クライアントのもつ前記第２のファイル種別および前記第３のファイル種別のファイルの管理情報を記憶・管理する手段と、
クライアントにおける前記第２のファイル種別および前記第３のファイル種別のファイルに対するアクセス状況を監視し、このアクセス状況に応じて、クライアントのもつ前記第２のファイル種別および前記第３のファイル種別のファイルに対する管理形態を遷移させる手段とを、
有することを特徴とする個人情報管理システム。
請求項２に記載の個人情報管理システムにおいて、
サーバは、クライアントにおいて前記第２のファイル種別のファイルに対して所定期間の間アクセスがなかった場合には、前記第２のファイル種別のファイルを前記第３ファイル種別のファイルに遷移させて管理するように、クライアントに指示することを特徴とする個人情報管理システム。
請求項２または３に記載の個人情報管理システムにおいて、
サーバは、クライアントにおいて前記第３のファイル種別のファイルに対して所定期間の間アクセスがなかった場合には、当該前記第３のファイル種別のファイルをクライアントから取り出して自身の記憶装置に移動させて、当該前記第３のファイル種別のファイルをクライアントから削除することを特徴とする個人情報管理システム。