JP2009059117A - 情報管理方法及び装置及びプログラム - Google Patents

Abstract

【課題】正規のユーザの機密のデータ（情報）の持ち出しに対しても制限をかけることができ強固なセキュリティ対策を実現できるようにすること。
【解決手段】情報の管理や制御を行う制御手段１１と、格納手段に格納される機密データ１２と、該機密データ１２の使用状況リスト１３とを備え、前記制御手段１１で、前記機密データ１２の使用状況をユーザ毎に前記使用状況リスト１３に格納し、ユーザの前記機密データ１２の外部媒体への印刷、複製又は移動の使用状況に応じて、ユーザの退室制限を行う。
【選択図】図１

Description

本発明は、機密情報を管理する制限領域内において、電子データの可搬媒体による持ち出しや紙媒体への出力がされた場合に退室制限をかける事によって、物理的な情報の持ち出しを防ぐ情報管理方法及び装置及びプログラムに関する。

従来技術としては以下のようなものが存在する。

（１）：ＩＤによる在室の確認を行うことにより印刷の可否を判断するネットワークプリントシステム、印刷装置及び印刷ジョブ管理装置があった。これは情報の出力に制限をかけることで情報が第三者へ渡る事を防ぐものである。すなわち、ユーザが在室していなければ、印刷出力をさせないものである（特許文献１参照）。

（２）：部屋の出口内に消磁用磁束を発生する磁気発生装置と消磁手段とを備えることにより、フロッピ−・ディスクや磁気テ−プ等の不正持ち出しにより重要な情報が外部に漏れないようにするコンピュ−タセキュリティシステムがあった（特許文献２参照）。

（３）：文書画像の文字列を、用紙に付されたＩＣチップに書き込み、持ち出し時にＩＣチップを検出し、ＩＣチップの内容の機密レベルにより管理動作を行う情報管理システム、情報管理装置、画像形成装置、情報管理方法及びそのプログラムがあった（特許文献３参照）。

（４）：ＩＣカード等の管理用記録媒体を発行し、該管理用記録媒体上で複写を許可されたもののみ複写を実行する情報管理方法があった（特許文献４参照）。
特開２００５−３４２９６４号公報 特開平２−５１１４号公報 特開２００６−１７１８２８号公報 特開２００３−１６７２４号公報

従来のＩＤによる在室の確認を行い、在室していなければ印刷出力をさせないものは、ユーザの退室を制限するものではなく、不正なアクセスを防ぐ事はできるが、悪意をもった正規のユーザに対しては無防備であった。

また、従来の部屋の出口内に消磁用磁束を発生するものは、磁束発生装置が必要な上、フロッピ−・ディスクや磁気テ−プ以外の記録媒体には適用できないものであった。

また、従来の文書画像の文字列を、用紙に付されたＩＣチップに書き込むものは、ＩＣチップへの書き込み、読み出しする装置が必要であり、ＩＣチップのない用紙には適用できないものであった。

また、従来のＩＣカード等の管理用記録媒体を発行して、複写を管理するものは、ユーザの退室を制限するものではなく、不正なアクセスを防ぐ事はできるが、悪意をもった正規のユーザに対しては無防備であった。

本発明はこのような従来の課題を解決し、退室時に機密情報を出力の有無を確認し、許可なく退室することを防いだり、アラートを上げたりする事によって、制限領域内からの出力済みデータの持ち出しに制限をかけることで、正規のユーザによる不正行為を防ぐことを目的とする。

図１は本発明の情報管理システムの説明図である。図１中、１はサーバ、２はユーザ端末、３は印刷装置、４はセキュリティ付きドア、１１はソフトウェア（制御手段）、１２は機密データ、１３は使用状況リスト、２１はソフトウェアである。

本発明は、上記従来の課題を解決するため、次のように構成した。

（１）：情報の管理や制御を行う制御手段１１と、格納手段に格納される機密データ１２と、該機密データ１２の使用状況リスト１３とを備え、前記制御手段１１で、前記機密データ１２の使用状況をユーザ毎に前記使用状況リスト１３に格納し、ユーザの前記機密データ１２の外部媒体への印刷、複製又は移動の使用状況に応じて、ユーザの退室制限を行う。このため、正規のユーザの機密のデータ（情報）の持ち出しに対しても制限をかけることができ強固なセキュリティ対策が実現できる。

（２）：前記（１）の情報管理方法及び装置において、前記制御手段１１で、前記機密データ１２の外部媒体への印刷、複製又は移動を権限のある管理者が承認することにより、ユーザの退室制限の解除を行う。このため、権限のある管理者が承認することによって、機密データ１２の持ち出しが可能となる。

（３）：情報の管理や制御を行う制御手段１１と、格納手段に格納される機密データ１２と、該機密データ１２の使用状況リスト１３とを備え、前記制御手段１１で、前記機密データ１２の使用状況をユーザ毎に前記使用状況リスト１３に格納し、ユーザの前記機密データ１２の外部媒体への移動や複製に応じてユーザの退室制限を行い、該移動した機密データ１２の復元や該複製した機密データ１２の削除に応じて退室制限の解除を行う。このため、機密データ１２の復元や削除が確認できた場合には、ユーザの退室が可能となる。

（１）：制御手段で、機密データの使用状況をユーザ毎に使用状況リストに格納し、ユーザの前記機密データの外部媒体への印刷、複製又は移動の使用状況に応じて、ユーザの退室制限を行うため、正規のユーザの機密の情報の持ち出しに対しても制限をかけることができ強固なセキュリティ対策が実現できる。

（２）：制御手段で、機密データの外部媒体への印刷、複製又は移動を権限のある管理者が承認することにより、ユーザの退室制限の解除を行うため、権限のある管理者が承認することによって、機密情報の持ち出しが可能となる。

（３）：制御手段で、機密データの使用状況をユーザ毎に使用状況リストに格納し、ユーザの前記機密データの外部媒体への移動や複製に応じてユーザの退室制限を行い、該移動した機密データの復元や該複製した機密データの削除に応じて退室制限の解除を行うため、機密データの復元や削除が確認できた場合には、ユーザの退室が可能となる。

本発明は、ＰＣ（ユーザ端末）からのユーザ毎の機密情報ファイルの外部媒体への出力や複製などを管理し、この出力状況はネットワーク経由でサーバに通知する事で保持し、ユーザの退室時に、サーバが保持した出力状況に応じて、退室制限を行う事により情報の持ち出しを防ぐ仕組みである。

また、ＰＣからのユーザ毎の機密情報の印刷状態をソフトウェアを使用して管理し、この印刷の出力状況をネットワーク経由でサーバに通知する事で保持し、ユーザの退室時に、サーバが保持した印刷の出力状況に応じて、退室制限を行う事により情報の持ち出しを防ぐ仕組みである。また、サーバで管理されるユーザの情報の持ち出し制限状態を、ネットワーク経由で権限のあるユーザの承認をもって解除する仕組みとするものである。

（１）：情報管理システム（装置）の説明
図１は情報管理システムの説明図である。図１において、情報管理システムには、サーバ１、ユーザ端末２、印刷装置３、セキュリティ付きドア４、ソフトウェア１１、機密データ１２、使用状況リスト１３、ソフトウェア２１が設けてある。

サーバ１は、クライアント（ユーザ端末）の要求に応じて必要なサービスを提供する側のコンピュータである。ユーザ端末２は、サーバ１と接続して、サーバ１からサービスを受ける側のコンピュータである。印刷装置３は、情報を印刷して出力する出力手段である。セキュリティ付きドア４は、入室時に入室ユーザの認証をサーバ上の管理ソフトウェア（ソフトウェア１１）で行うためのセキュリティ付きのドアである。ソフトウェア１１は、サーバ上のソフトウェアであり、機密データの管理や機密データの使用状況リストの制御等を行うプログラム（制御手段）である。機密データ１２は、サーバ１が管理する機密のデータであり、図示しない格納手段に格納される機密情報である。使用状況リスト１３は、機密データ１２を使用するユーザの使用状況を記載したリストで、図示しない格納手段に格納されるものである。ソフトウェア２１は、クライアント（ユーザ端末）側のプログラム（制御手段）である。

（情報管理方法の説明）
以下、図１の符号(1) 〜(9) に従って情報管理方法の説明をする。

(1) サーバ１は、ユーザの入室時の認証を行い、ユーザの入室を使用状況リスト１３へ反映（書き込む）させる。

(2) ユーザがユーザ端末２より、機密データ１２へアクセスする。

(3) ユーザは、機密データ１２を印刷装置３で印刷や機密データ１２の閲覧、複製、移動、他の装置で印刷など、機密データ１２を使用する。

(4) サーバ１は、ユーザの機密データ１２の使用状況を使用状況リスト１３へ反映させる。

(5) サーバ１は、ユーザの機密データ１２の使用状況の承認依頼を受け、承認結果を使用状況リスト１３へ反映させる。

(6) サーバ１は、ユーザの退室時に認証を行い、使用状況リスト１３により機密データ１２の使用状況の確認を行う。

(7) サーバ１は、権限のあるユーザのユーザ端末２に、機密データ１２の未承認事象の承認依頼を行い、承認結果を使用状況リスト１３へ反映させる。

(8) サーバ１は、使用状況リスト１３により、ユーザに対し、退出許可又はアラート（警報）を行う。

(9) サーバ１は、ユーザの退室状況を使用状況リスト１３へ反映させる。

（２）：情報管理方法の詳細な説明
入室時に認証を行い、入室者のリストをサーバ上に格納しておく。そして、退室時にも認証を行う。その際にユーザを特定するため、ユーザのＩＤ（identification）をチェックする。機密情報は、ソフトウェア上で一括で管理され、印刷やＵＳＢ（universal serial bus）メモリなどへのデータの移動や複製が行われた場合は、状況がソフトウェアを通じてサーバに記録される。

その状況に応じて退室時に退室可能であるかを確認し、退室不可能であれば警告などを行う。ＵＳＢメモリなどへのデータのコピーや移動の場合、データの削除や復元が確認できた場合に退室可能になる。また、データを印刷する場合や、持ち出さなければならない状況の場合は、権限のあるユーザによる承認を受ける事によって、機密情報の持ち出しが可能になる。

ａ）ユーザ入室時の説明
事務所やデータセンタ等への入室時に、入室者の認証を行い、入室者のＩＤをサーバ上のリストに格納するものである。

図２は入室時にリストに追加する場合の説明図である。図２において、セキュリティ付きドア４は、ネットワーク等でサーバ１と接続されている。サーバ１には、使用状況リスト１３が設けられている。使用状況リスト１３には、ユーザ（User）名と使用状況欄が設けてある。

例えば、ユーザが、セキュリティ付きドア４から入室した場合、サーバ１の使用状況リスト１３にユーザ名である「User３」とそのユーザの機密情報の使用状況である「○」が格納される（リストへの追加）。なお、この「○」は、セキュリティ付きドア４から退室が可能であることを示している。

ｂ）機密情報の使用時にリストに情報を格納する説明
ソフトウェア（制御手段）１１により機密情報の移動・複製・転送・印刷などを監視し、ユーザが、これらの処理を行った場合に、使用状況を使用状況リスト１３に格納する。

図３は機密情報の使用時にリストに使用状況を格納する説明図である。図３において、ユーザ端末２は、ネットワーク等でサーバ１と接続されている。サーバ１には、使用状況リスト１３が設けられている。使用状況リスト１３には、ユーザ（User）名と使用状況欄が設けてある。

例えば、ユーザ（User８）が、ユーザ端末２より、サーバ１にアクセスし、機密情報２を印刷する。サーバ１の管理ソフト（ソフトウェア１１の管理手段）は、機密情報の使用状況を使用状況リスト１３に反映させる。これにより、使用状況リスト１３には、ユーザ名である「User８」にそのユーザの使用状況である「機密情報２を印刷」が格納される。

また、ユーザ（User１）が、ユーザ端末２より、サーバ１にアクセスし、機密情報１をＵＳＢメモリに移動する。サーバ１の管理ソフトは、機密情報の使用状況を使用状況リスト１３に反映させる。これにより、使用状況リスト１３には、ユーザ名である「User１」のユーザの使用状況である「機密情報１を移動」が格納される。

ｃ）権限を持つユーザから承認の説明
必要に応じて権限を持つユーザから承認を受ける事により複製・転送・印刷・持ち出しを許可する。

図４は権限を持つユーザから承認の説明図である。図４において、権限のあるユーザのユーザ端末２は、ネットワーク等でサーバ１と接続されている。サーバ１には、使用状況リスト１３が設けられている。使用状況リスト１３には、ユーザ（User）名と使用状況欄が設けてある。

サーバ１は、ユーザ（User８）より使用状況の確認を受けると、権限のあるユーザのユーザ端末２に使用状況をフィードバックする。権限のあるユーザは、ユーザ端末２よりユーザ（User８）の印刷を許可する。この許可の承認は、管理ソフトが承認状況を使用状況リスト１３に反映させる。これにより、使用状況リスト１３には、ユーザ名である「User８」の使用状況欄には「○」が格納され、セキュリティ付きドア４から退室が可能となる。

ｄ）退室時チェックの説明
退室時に退室可能かをサーバ１に問い合わせを行い、退室可能ならば開錠する。退室が不可能なら開錠しない、もしくはアラーム等で警告する。

図５は退室時チェックの説明図（１）である。図５において、セキュリティ付きドア４は、ネットワーク等でサーバ１と接続されている。サーバ１には、使用状況リスト１３が設けられている。使用状況リスト１３には、ユーザ（User）名と使用状況欄が設けてある。ユーザ名「User１」の使用状況欄には「機密情報１を移動 ×」があり、「×」は未承認であり、退室できないことを示している。

例えば、ユーザ（User１）が、セキュリティ付きドア４から退室する合、管理ソフトがサーバ１に「User１」が退室可能かを確認する。サーバ１の使用状況リスト１３にユーザ名である「User１」とそのユーザの使用状況である「機密情報１を移動 ×」が格納されている。このため、「User１」は、退室を許可しない（開錠しない又はアラーム）ことになる。

図６は退室時チェックの説明図（２）である。図６において、セキュリティ付きドア４は、ネットワーク等でサーバ１と接続されている。サーバ１の使用状況リスト１３には、ユーザ（User）名と使用状況欄が設けてある。ユーザ名「User１」の使用状況欄には「機密情報１を移動 ×」があり、「×」は未承認であり、退室できないことを示している。ユーザ名「User３」「User８」の使用状況欄には「○」があり、「○」は退室できることを示している。

例えば、ユーザ（User８）が、セキュリティ付きドア４から退室する合、管理ソフトがサーバ１に「User８」が退室可能かを確認する。サーバ１の使用状況リスト１３にユーザ名である「User８」とそのユーザの使用状況である「○」が格納されている。このため、「User８」は、退室が可能となる（退室ＯＫ、開錠する）。

ｅ）情報の復元による退室許可の説明
ユーザが機密情報を移動した場合、その機密情報の移動が復元された事が確認されれば退室が許可されることになる。

図７は情報の復元による退室許可の説明図である。図７において、ユーザ端末２は、ネットワーク等でサーバ１と接続されている。サーバ１には、使用状況リスト１３が設けられ、使用状況リスト１３にはユーザ（User）名と使用状況欄が設けてある。

例えば、図６の使用状況リスト１３のようにユーザ（User１）が機密情報１を移動している場合において、該ユーザ（User１）が、機密情報１を復元（元の位置に戻す）する。サーバ１の管理ソフト（管理手段）は、機密情報１の復元を確認したことをサーバ１（ソフトウェア１１のリストの制御手段）に通知し、使用状況を使用状況リスト１３に反映させる。これにより、使用状況リスト１３には、ユーザ名である「User１」の使用状況が図７のように「○」となる。これで、「User１」の退室が許可されることになる。

（３）：フローチャートによる説明
ａ）入室時の処理の説明
図８は入室時の処理フローチャートである。以下、図８の処理Ｓ１〜Ｓ２に従って説明する。

Ｓ１：ユーザが、セキュリティ付きドア４から入室する場合、管理ソフトは、入室時の認証を行い、処理Ｓ２に移る。

Ｓ２：サーバのソフトウェア１１（リストの制御手段）は、使用状況リスト（入室リスト）１３に入室したユーザ名（ユーザＩＤ）を記録してこの処理を終了する。

ｂ）機密情報出力・複製時の処理の説明
図９は機密情報出力・複製時の処理フローチャートである。以下、図９の処理Ｓ１１〜Ｓ１７に従って説明する。

Ｓ１１：ユーザが、ユーザ端末２等により機密情報のデータを出力・複製を行い、処理Ｓ１２に移る。

Ｓ１２：サーバ１の管理ソフトは、機密情報のデータを出力・複製の使用状況をシステム（ソフトウェア１１）に通知し、処理Ｓ１３に移る。

Ｓ１３：システム側で、使用状況リスト１３のユーザの使用状況を書き換え、処理Ｓ１４に移る。

Ｓ１４：システムから機密情報の使用状況を権限を持つ管理者（ユーザ）へ通知し、処理Ｓ１５に移る。

Ｓ１５：権限を持つ管理者は、ユーザが行った機密情報データの出力・複製を承認するかの判断を行う。この判断で、承認する場合は処理Ｓ１６に移り、承認しない場合はこの処理を終了する。

Ｓ１６：権限を持つ管理者は、機密情報データの出力・複製の承認をシステムに通知し、処理Ｓ１７に移る。

Ｓ１７：システム側で、ユーザの使用状況リスト１３の使用状況を退室可能に書き換え、この処理を終了する。

ｃ）退室時の処理の説明
図１０は退室時の処理フローチャートである。以下、図１０の処理Ｓ２１〜Ｓ３３に従って説明する。

Ｓ２１：ユーザが、セキュリティ付きドア４から退室する場合、管理ソフトは、退室時の認証を行い、処理Ｓ２２に移る。

Ｓ２２：システムでは、退室ユーザの機密情報の使用状況を使用状況リスト１３により確認し、処理Ｓ２３に移る。

Ｓ２３：システムは、退室ユーザが機密情報データの出力・複製を行ったかどうかを判断する。この判断で、出力・複製を行ったか場合は処理Ｓ２４に移り、行わなかった場合は処理Ｓ３２に移る。

Ｓ２４：システムは、退室ユーザの機密情報の使用状況（出力・複製）に未承認があるかの判断を行う。この判断で、未承認がある場合は処理Ｓ２５に移り、全て承認済み（未承認がない）の場合は処理Ｓ３２に移る。

Ｓ２５：システムから権限を持つ管理者に使用状況の承認依頼を通知し、処理Ｓ２６に移る。

Ｓ２６：権限を持つ管理者は、ユーザの使用状況を承認するかの判断を行う。この判断で、承認する場合は処理Ｓ２７に移り、承認しない場合はこの処理Ｓ２９に移る。

Ｓ２７：権限を持つ管理者は、承認をシステムに通知し、処理Ｓ２８に移る。

Ｓ２８：システム側で、使用状況リスト１３の承認を受けたユーザの使用状況を退室可能に書き換え、処理Ｓ２４に戻る。

Ｓ２９：権限を持つ管理者は、未承認をシステムに通知し、処理Ｓ３０に移る。

Ｓ３０：システムは、退室ユーザに退室を許可するかどうかを判断する。この判断で、退室を許可する場合は処理Ｓ３１に移り、許可しない場合は処理Ｓ２５に戻る。

Ｓ３１：システムは、未承認で退室することをアラート／ログに記録し、処理Ｓ３２に移る。この未承認で退室する場合として、地震や火事等の緊急事態の場合や権限を持つ管理者が不在の場合等がある。

Ｓ３２：セキュリティ付きドア４から退室し、処理Ｓ３３に移る。

Ｓ３３：システムは、入室リスト（使用状況リスト１３）から退室ユーザのユーザＩＤを削除し、この処理を終了する。

昨今では、顧客情報漏洩事件が数多く取りあげられているが正規のユーザによって発生した事件も多い。本発明のように正規のユーザの情報持ち出しに対しても制限をかける事でより強固なセキュリティ対策を実現することができる。特に、金融業、サービス業、製造業などの、顧客情報や機密情報を扱う領域において人為的な情報の持ち出しを防ぐために使用される事が期待される。

（４）：プログラムインストールの説明
ソフトウェア１１、機密データ１２、使用状況リスト１３、ソフトウェア２１等はプログラムで構成でき、主制御部（ＣＰＵ）が実行するものであり、主記憶に格納されているものである。このプログラムは、携帯可能なコンピュータ（情報処理装置）で処理されるものである。このコンピュータは、主制御部、主記憶、ファイル装置、表示装置等の出力装置、入力装置などのハードウェアで構成されている。

このコンピュータに、本発明のプログラムをインストールする。このインストールは、フロッピィ、光磁気ディスク等の可搬型の記録（記憶）媒体に、これらのプログラムを記憶させておき、コンピュータが備えている記録媒体に対して、アクセスするためのドライブ装置を介して、或いは、ＬＡＮ等のネットワークを介して、コンピュータに設けられたファイル装置にインストールされる。

本発明の情報管理システムの説明図である。 本発明の入室時にリストに追加する場合の説明図である。 本発明の機密情報の使用時にリストに使用状況を格納する説明図である。 本発明の権限を持つユーザから承認の説明図である。 本発明の退室時チェックの説明図（１）である。 本発明の退室時チェックの説明図（２）である。 本発明の情報の復元による退室許可の説明図である。 本発明の入室時の処理フローチャートである。 本発明の機密情報出力・複製時の処理フローチャートである。 本発明の退室時の処理フローチャートである。

符号の説明

１ サーバ
２ ユーザ端末
３ 印刷装置
４ セキュリティ付きドア
１１ ソフトウェア（制御手段）
１２ 機密データ
１３ 使用状況リスト
２１ ソフトウェア

Claims (5)

1. 情報の管理や制御を行う制御手段と、
   格納手段に格納される機密データと、
   該機密データの使用状況リストとを備え、
   前記制御手段で、前記機密データの使用状況をユーザ毎に前記使用状況リストに格納し、ユーザの前記機密データの外部媒体への印刷、複製又は移動の使用状況に応じて、ユーザの退室制限を行うことを特徴とした情報管理方法。
2. 前記制御手段で、前記機密データの外部媒体への印刷、複製又は移動を権限のある管理者が承認することにより、ユーザの退室制限の解除を行うことを特徴とした請求項１記載の情報管理方法。
3. 情報の管理や制御を行う制御手段と、
   格納手段に格納される機密データと、
   該機密データの使用状況リストとを備え、
   前記制御手段で、前記機密データの使用状況をユーザ毎に前記使用状況リストに格納し、ユーザの前記機密データの外部媒体への移動や複製に応じてユーザの退室制限を行い、該移動した機密データの復元や該複製した機密データの削除に応じて退室制限の解除を行うことを特徴とした情報管理方法。
4. 情報の管理や制御を行う制御手段と、
   格納手段に格納される機密データと、
   該機密データの使用状況リストとを備え、
   前記制御手段は、前記機密データの使用状況をユーザ毎に前記使用状況リストに格納し、ユーザの前記機密データの外部媒体への印刷、複製又は移動の使用状況に応じて、ユーザの退室制限を行うことを特徴とした情報管理装置。
5. 格納手段に格納された機密データの使用状況を格納する使用状況リストと、
   前記機密データの使用状況をユーザ毎に前記使用状況リストに格納し、ユーザの前記機密データの外部媒体への印刷、複製又は移動の使用状況に応じて、ユーザの退室制限を行う前記制御手段として、コンピュータを機能させるためのプログラム。

Images