JP2009140139A - ファイル閲覧制御システム - Google Patents

Abstract

【課題】
ユーザがクライアント端末において所定のファイルを閲覧する場合に、そのファイルの閲覧ができないほかのユーザの在席状況に合わせて、ファイル閲覧を制御するファイル閲覧制御システムを提供することを目的とする。
【解決手段】
操作ログ情報取得部と、操作ログ情報記憶部と、任意のクライアント端末においてファイルを開いたことを検出すると、そのファイルの権限をファイル情報記憶部に基づいて判定するファイル権限判定部と、開かれたファイルにアクセスすることが許可されないユーザをユーザ情報記憶部に基づいて判定するユーザ判定部と、ユーザ判定部で判定したユーザの在席状況を、記憶した操作ログ情報に基づいて判定する在席状況判定部と、ファイルにアクセスできないユーザの在席状況に応じて、ファイルの閲覧制御指示を行う閲覧制御指示部と、を有するファイル閲覧制御システムである。
【選択図】 図１

Description

本発明は、ユーザがクライアント端末において所定のファイルを閲覧する場合に、そのファイルの閲覧ができないほかのユーザの在席状況に合わせて、ファイル閲覧を制御するファイル閲覧制御システムに関する。

企業などの組織で使用されるファイルは、すべてのユーザがアクセス可能なファイルと、一部のユーザのみがアクセス可能なファイルの２種類が存在する。後者のファイルについては、例えば個人情報などの機密情報が含まれたファイル（以下、「機密ファイル」という）には、予め定められたユーザのみがその機密ファイルにアクセス可能とすることによって、機密ファイルにおける機密情報が漏洩するのを防止している。

このようなアクセス権限を制御するシステムは従来から多数存在しており、その一例が下記特許文献１に開示されている。

特開２００６−２５１８５６号公報

上記特許文献のように、ファイルに対するアクセス権限により、アクセス権限のないユーザがその機密ファイルを閲覧することを防止できる点では有益である。しかしアクセス権限のないユーザであっても、アクセス権限のあるユーザが機密ファイルを開いているときに、その近く、例えば後ろを通行するなどによって、機密ファイルが使用されているクライアント端末のモニターを覗いて見てしまえば、機密ファイルにある機密情報などを知ることができてしまう。

しかし上記特許文献のように、単にファイルへのアクセス権限を制御しているシステムでは、アクセス権限のないユーザによる機密ファイルを開く処理を拒否することはできるが、アクセス権限のあるユーザが機密ファイルを開いているときにそのクライアント端末を覗き見るような場合までをも防止することはできない。

上記課題において、ほかのユーザがコンピュータを覗き見るのは、そのユーザが離席している場合であると考えられる。そこで本発明者は上記課題に鑑み、機密ファイルへのアクセス権限を有するユーザがファイルを利用する際には、アクセス権限のないユーザの在席状況を確認した上で、ファイルの閲覧を可能とさせるファイル閲覧制御システムを発明した。

第１の発明は、ファイルの閲覧制御を行うファイル閲覧制御システムであって、前記ファイル閲覧制御システムは、クライアント端末の操作ログ情報を取得する操作ログ情報取得部と、前記クライアント端末の操作ログ情報を記憶する操作ログ情報記憶部と、任意のクライアント端末においてファイルを開いたことを検出すると、そのファイルの権限を、ファイルの権限を記憶するファイル情報記憶部に基づいて判定するファイル権限判定部と、前記開かれたファイルにアクセスすることが許可されないユーザを、前記ユーザの権限を記憶するユーザ情報記憶部に基づいて判定するユーザ判定部と、前記ユーザ判定部で判定したユーザの在席状況を、前記操作ログ情報記憶部に記憶した操作ログ情報に基づいて判定する在席状況判定部と、前記ファイルにアクセスできないユーザの在席状況に応じて、前記ファイルの閲覧制御指示を行う閲覧制御指示部と、を有するファイル閲覧制御システムである。

本発明のように構成することで、あるユーザが開いたファイルにアクセスすることができないユーザの在席状況に応じて、ファイルを開いたユーザのクライアント端末で当該ファイルの閲覧制御を実行することが可能となる。これによって、例えばファイルを閲覧することができないユーザが離席している場合には、当該ファイルを開いているクライアント端末で閲覧制御が行われるので、ファイルを開いているユーザの後ろを通行することなどによる当該ファイルの覗き見行為などを防止することができる。

上記発明については以下の発明のように構成することも可能である。すなわち、ファイルの閲覧制御を行うファイル閲覧制御システムであって、前記ファイル閲覧制御システムは、クライアント端末の操作ログ情報を取得する操作ログ情報取得部と、前記クライアント端末の操作ログ情報を記憶する操作ログ情報記憶部と、任意のクライアント端末においてファイルを開いたことを検出すると、そのファイルの権限を、ファイルの権限を記憶するファイル情報記憶部に基づいて判定するファイル権限判定部と、ユーザの位置情報と権限とを少なくとも記憶するユーザ情報記憶部と、前記ファイルを開いたユーザの位置情報から所定範囲内に位置するユーザの権限を前記ユーザ情報記憶部から抽出し、前記抽出したユーザの権限と、前記ファイルの権限とを比較することで、前記開かれたファイルにアクセスすることが許可されないユーザを判定するユーザ判定部と、前記ユーザ判定部で判定したユーザの所定時間内の操作ログ情報が前記操作ログ情報記憶部に記憶されているかを判定することで、前記ユーザ判定部で判定したユーザの在席状況を判定する在席状況判定部と、前記ファイルにアクセスできないユーザの在席状況に応じて、前記ファイルの閲覧制御指示を行う閲覧制御指示部と、を有するファイル閲覧制御システムである。

このように構成することで、ファイルを開いたユーザから所定範囲内に位置するユーザであって、当該ファイルにアクセスすることができないユーザの在席状況に応じて、ファイルを開いたユーザのクライアント端末で当該ファイルの閲覧制御を実行することが可能となる。

また以下の発明のように構成することも可能である。すなわち、ファイルの閲覧制御を行うファイル閲覧制御システムであって、前記ファイル閲覧制御システムは、クライアント端末の操作ログ情報を取得する操作ログ情報取得部と、前記クライアント端末の操作ログ情報を記憶する操作ログ情報記憶部と、任意のクライアント端末においてファイルを開いたことを検出すると、そのファイルの権限を、ファイルの権限を記憶するファイル情報記憶部に基づいて判定するファイル権限判定部と、ユーザの権限を少なくとも記憶するユーザ情報記憶部と、前記ファイルに対して予め定められたユーザの権限を前記ユーザ情報記憶部から抽出し、前記抽出したユーザの権限と、前記ファイルの権限とを比較することで、前記開かれたファイルにアクセスすることが許可されないユーザを判定するユーザ判定部と、前記ユーザ判定部で判定したユーザの所定時間内の操作ログ情報が前記操作ログ情報記憶部に記憶されているかを判定することで、前記ユーザ判定部で判定したユーザの在席状況を判定する在席状況判定部と、前記ファイルにアクセスできないユーザの在席状況に応じて、前記ファイルの閲覧制御指示を行う閲覧制御指示部と、を有するファイル閲覧制御システムである。

このように構成することで、ユーザが開いているファイルに対して予め定められているユーザが当該ファイルにアクセスすることができない場合には、そのユーザの在席状況に応じて、ファイルを開いたユーザのクライアント端末で当該ファイルの閲覧制御を実行することが可能となる。これによって、例えば人事査定ファイルのように、特定のユーザが見られることが好ましくないファイルを使用する場合、そのユーザが離席している場合には、当該ファイルを開いているクライアント端末で閲覧制御が行われるので、ファイルを開いているユーザの後ろを通行することなどによる当該ファイルの覗き見行為などを防止することができる。

上述の各発明において、前記任意のクライアント端末においてファイルを開いた以降の所定のタイミングにおいて、前記在席状況判定部が、更に、前記ユーザ判定部で判定したユーザの所定時間内の操作ログ情報が前記操作ログ情報記憶部に記憶されているかを、再度判定することで、前記ユーザ判定部で判定したユーザの在席状況を判定し、前記閲覧制御指示部は、更に、前記在席状況判定部における再度の判定結果に応じて、前記任意のクライアント端末に対して前記ファイルの閲覧制御指示を行う、ファイル閲覧制御システムのように構成することもできる。

ファイルを開いた後にも、ユーザの在席状況は変化する。そのため本発明のように、所定のタイミングにおいて、在席状況の判定処理を再度実行することで、ファイルを開いた後の作業中などにおいても、当該クライアント端末において閲覧制御処理の実行が可能となる。

上述の各発明において、前記在席状況判定部は、更に、前記ユーザ判定部で判定したユーザの位置情報と、前記ファイルを開いたユーザの位置情報との関係に応じて、前記所定時間が変更される、ファイル閲覧制御システムのように構成することもできる。

ファイルを開いたユーザと、そのファイルを見ることができないユーザの位置が近い場合には、ファイルを見ることができないユーザが離席してからファイルを開いているユーザの位置に到達するまでに短時間で済む。しかしファイルを開いたユーザと、そのファイルを見ることができないユーザの位置が遠い場合には、ファイルを見ることができないユーザが離席してからファイルを開いているユーザの位置に到達するまでに時間がかかる。そのため、両者の位置関係が近い場合には在席状況の判定に用いる所定時間を短時間とし、両者の位置関係が遠い場合には在席状況の判定に用いる所定時間を長時間とする、などのように、その位置関係に応じて所定時間を変更するように構成しても良い。

上述の各システムの発明は、本発明のようなプログラムの発明として構成することもできる。すなわち、クライアント端末の操作ログ情報を記憶装置に記憶するコンピュータ端末を、クライアント端末の操作ログ情報を取得する操作ログ情報取得部、任意のクライアント端末においてファイルを開いたことを検出すると、そのファイルの権限を、ファイルの権限を記憶する所定の記憶領域に基づいて判定するファイル権限判定部、前記開かれたファイルにアクセスすることが許可されないユーザを、前記ユーザの権限を記憶する所定の記憶領域に基づいて判定するユーザ判定部、前記ユーザ判定部で判定したユーザの在席状況を、前記記憶装置に記憶した操作ログ情報に基づいて判定する在席状況判定部、前記ファイルにアクセスできないユーザの在席状況に応じて、前記ファイルの閲覧制御指示を行う閲覧制御指示部、として機能させるファイル閲覧制御プログラムのように構成することができる。

このように、プログラムの発明を所定のコンピュータ端末で読み込ませて実行することで、上述のファイル閲覧制御システムを構成することができ、同様の技術的効果を得ることができる。

本発明を用いることによって、アクセス権限のあるユーザが利用しているコンピュータ端末で開いている機密ファイルを、アクセス権限のないユーザが覗き込むなどの行為により、機密情報の漏洩を防止することが可能となる。

本発明のファイル閲覧制御システム１のシステム構成の概念図を図１に示す。

本発明のファイル閲覧制御システム１は、各クライアント端末３を管理する管理者が利用するコンピュータ端末またはサーバ（以下、「管理サーバ２」という）において、所定のプログラムやモジュールが処理されることにより実現されることが好ましい。管理サーバ２は、複数のクライアント端末３においてどのようなプログラムが実行されているのかを記憶、管理する。

そのため、各クライアント端末３には、当該クライアント端末３において実行されているアプリケーション名、ファイル名などの情報を定期的に、あるいは新たなアプリケーションやファイルを実行した場合または終了した場合などの所定のタイミングで、クライアント端末３から管理サーバ２にそのアプリケーション名やファイル名の情報を送信する機能を備えていることが好適である。アプリケーション名やファイル名の情報を送信する機能は、クライアント端末３の演算装置２０で実行しているアプリケーション名やファイル名を抽出したり、メモリ内のアプリケーション名やファイル名を抽出して送信すればよい。つまりいわゆる操作ログ情報をクライアント端末３から管理サーバ２に送信すればよい。

管理サーバ２は、プログラムの演算処理を実行するＣＰＵなどの演算装置２０と、情報を記憶するＲＡＭやハードディスクなどの記憶装置２１と、演算装置２０の処理結果や記憶装置２１に記憶する情報をインターネットやＬＡＮなどのネットワークを介して送受信する通信装置２４とを有している。コンピュータ上で実現する各機能（各手段）は、その処理を実行する手段（プログラムやモジュールなど）が演算装置２０に読み込まれることでその処理が実行される。各機能は、記憶装置２１に記憶した情報をその処理において使用する場合には、該当する情報を当該記憶装置２１から読み出し、読み出した情報を適宜、演算装置２０における処理に用いる。当該コンピュータには、キーボードやマウスやテンキーなどの入力装置２３、モニターなどの表示装置２２を有していても良い。図２に管理サーバ２のハードウェア構成の一例を模式的に示す。また、管理サーバ２は、複数のコンピュータ端末（クライアント端末３も含まれる）またはサーバに、その機能が分散配置されていても良い。

本発明における各手段は、その機能が論理的に区別されているのみであって、物理上あるいは事実上は同一の領域を為していても良い。

ファイル閲覧制御システム１は、操作ログ情報取得部４と操作ログ情報記憶部５とファイル権限判定部６とファイル情報記憶部７とユーザ判定部８とユーザ情報記憶部９と在席状況判定部１０と閲覧制御指示部１１とを有する。

操作ログ情報取得部４は、各クライアント端末３から定期的にまたは不定期に、当該クライアント端末３における操作ログ情報を取得する。取得した操作ログ情報は、後述する操作ログ情報記憶部５に、その日時、どのクライアント端末３における操作ログ情報であるかを識別する情報と共に、記憶させる。なお操作ログ情報としては、各クライアント端末３における操作内容を示す情報であればよく、例えば「ファイルコピー」、「ファイル選択」、「ドライブ追加」、「ファイル開」、「ファイル閉」など、当該クライアント端末３のユーザの操作を示す情報、当該クライアント端末３における実行状況を示す情報などが該当する。また、管理サーバ２が各クライアント端末３から操作ログ情報を取得する際にはネットワークを介して取得しても良いし、操作ログ情報がクライアント端末３においてＤＶＤなどの記録媒体に記録され、その記録媒体が管理サーバ２２に読み取られ、そこから操作ログ情報を読み込むことによって取得しても良い。

操作ログ情報記憶部５は、操作ログ情報取得部４で各クライアント端末３から取得した操作ログ情報を記憶する。操作ログ情報には、ユーザを識別する情報、クライアント端末３を識別する情報、操作内容を示す情報、操作内容の操作対象となったファイルやアプリケーションの名称、当該ファイルやアプリケーションの所在位置を示す情報、日時または日時を数値化した情報などが含まれている。図４に操作ログ情報の一例を模式的に示す。なお操作ログ情報は、各クライアント端末３またはそのユーザ（ログイン名など）ごとに記憶することが好ましい。なお操作内容を示す情報を日時などに対応づける場合には、クライアント端末３で行っても良いし、操作ログ情報を管理サーバ２で受け取った際に行っても良いし、或いは操作ログ情報記憶部５で記憶した際に行っても良い。図５に操作ログ情報記憶部５の一例を模式的に示す。

ファイル権限判定部６は、操作ログ情報取得部４で取得した操作ログ情報を監視しており、任意のクライアント端末３においてファイルを開いたことを判定した場合に、そのファイルの権限（なお権限としては、数値情報であっても良いし、権限の有無を示す情報などであってもよく、様々な情報が含まれる）を判定する。具体的には、例えばあるクライアント端末３から、ファイル識別情報（ファイル名など）「ＡＡＡＡＡＡＡ」のファイルであって、その操作内容が「ファイル開」である操作ログ情報を取得した場合、当該クライアント端末３でファイル「ＡＡＡＡＡＡＡ」を開いたことが判定できる。そしてファイル権限判定部６はファイル名「ＡＡＡＡＡＡＡ」に基づいてファイル情報記憶部７（後述）に、そのファイルの権限を問い合わせる。

なおファイル権限判定部６は、ユーザが開いたファイルが機密ファイルである場合に、本発明の処理を実行するように構成しても良い。機密ファイルであるか否かは、ファイル情報記憶部７に機密ファイルであることを示すフラグ、あるいは所定の権限を必要とするファイルであることで判定できる。

ファイル情報記憶部７は、ファイル名などのファイル識別情報とそのファイルを閲覧可能な権限とを対応づけて記憶している。ファイル情報記憶部７は、管理サーバ２内のデータベースやデータファイルであっても良いし、ファイルサーバなどであっても良い。

ユーザ判定部８は、ファイル権限判定部６においてファイルを開いたことを判定した場合に、その操作ログ情報からユーザ識別情報を抽出し、そのユーザが利用するクライアント端末３の位置情報（本明細書では「ユーザの位置情報」という）をユーザ情報記憶部９（後述）から取得する。またファイル権限判定部６において判定した、ファイルの権限に基づいて、前記抽出したファイルを開いたユーザの位置情報から所定範囲内に位置するほかのユーザの権限をユーザ情報記憶部９から取得する。なおユーザの位置情報とは、ユーザがログインしたクライアント端末３、ユーザの座席位置あるいはユーザの座席が存在する領域を示す情報である。また各クライアント端末３とその位置情報との対応関係は予め記憶されており、ユーザがログインした際に用いるユーザ識別情報とそのログインしたクライアント端末３の識別情報に基づいて、当該ユーザの位置情報をユーザ情報記憶部９（後述）に記憶されている。

ユーザ情報記憶部９は、企業などの組織におけるユーザのユーザ識別情報と権限とそのユーザが利用しているクライアント端末３の位置情報とを記憶している。ユーザ情報記憶部９は、管理サーバ２内のデータベースやデータファイルであっても良いし、ユーザ情報を記憶するデータベースサーバなどであっても良い。図７にユーザ情報記憶部９の一例を示す。

また図８に、ある企業における各ユーザの位置情報（ユーザが直接ログインしているクライアント端末３の領域（位置））を模式的に示す。図８では当該企業のワンフロアに８つの部署が存在しており、その部署毎に机が隣接して配置されている。そしてその部署毎、クライアント端末の位置毎に位置情報が割り当てられている。図７の場合、ユーザ「ＸＹＺ」の位置情報が「Ａ１」であるので図８における「Ａ１」のクライアント端末３を利用していることを示している。なお図８では位置情報がクライアント端末３ごとに割り当てた場合を示しているが、これが部署毎など、任意に区切られた領域毎に割り当てられていても良い。

位置情報や範囲は、部署毎に割り当てられていても良いし、室内の領域を任意に区切った物理的座標位置によって示されても良い。

ユーザ判定部８は、ファイル「ＡＡＡＡＡＡＡ」を開いたユーザのユーザ識別情報が「ＸＹＺ」である場合には、その位置情報「Ａ１」をユーザ情報記憶部９から取得する。そして所定範囲が「同一部署」として設定されている場合には、更にユーザ「ＸＹＺ」と同一の部署の各ユーザの位置情報「Ａ２」乃至「Ａ１０」に基づいて、それらの位置情報に位置するユーザのユーザ識別情報を特定し、その権限をユーザ情報記憶部９に基づいて判定する。つまりユーザの位置情報が「Ａ２」乃至「Ａ１０」の各ユーザの権限の情報を取得することとなる。位置情報が物理的に付与されている場合には、所定範囲として、ユーザが利用しているクライアント端末３の位置情報「Ａ１」から３メートル以内といったように、実際の距離などの物理的情報によって示されても良い。

そしてユーザ判定部８は、ファイルを開いたユーザとは別のユーザであって、所定範囲内に位置するユーザのうち、当該ファイルの権限より低い権限のファイルにしかアクセスできないユーザ（当該ファイルに対してアクセスすることができないユーザ）を判定する。

在席状況判定部１０は、ユーザ判定部８で判定したユーザのユーザ識別情報に基づいて、それらのユーザ識別情報を含む操作ログ情報が所定時間内に受信しているか、つまり現時点から所定時間内の操作ログ情報が操作ログ情報記憶部５に記憶されているか、を検索することにより、そのユーザが在席しているかを判定する。

例えばユーザ「ＸＹＺ」がファイル「ＡＡＡＡＡＡＡ」を開いた時点（現時点）が「２００７年１０月１０日１４時５０分２０秒」であり、所定時間が「５分」であった場合（もちろん「５分」より短くても長くても良い）、在席状況判定部１０は、ユーザ「ＸＹＺ」（位置情報「Ａ１」）から所定範囲内に位置しているユーザ（ユーザ判定部８で判定した、位置情報「Ａ２」乃至「Ａ１０」の各ユーザのうち、権限がファイル「ＡＡＡＡＡＡＡ」を閲覧することができないユーザ）の操作ログ情報であって、「２００７年１０月１０日１４時５０分２０秒」から５分前までの操作ログ情報が操作ログ情報記憶部５に記憶されているかを検索する。そうするとユーザ「ＮＰＡ」（位置情報「Ａ３」）の操作ログ情報が「２００７年１０月１０日１４時４５分３９秒」に記憶されている。換言すればユーザ「ＮＰＡ」は位置情報「Ａ３」に位置していると判定できる。一方、位置情報「Ａ２」乃至「Ａ１０」の各ユーザのうち、権限がファイル「ＡＡＡＡＡＡＡ」を閲覧することができないユーザ（「ＮＰＡ」以外のユーザ）のうち、操作ログ情報記憶部５に操作ログ情報が所定時間内に記憶されていないのであれば、そのユーザは離席していると判定できる。つまりユーザ「ＸＹＺ」の後ろを通行したりして、ファイル「ＡＡＡＡＡＡＡ」を覗き見る可能性がある。従って、この場合にはそのユーザは在席していない（離席している）と判定する。

閲覧制御指示部１１は、在席状況判定部１０において、ファイルを開くユーザから所定範囲内に位置しているユーザであって、開かれたファイルを閲覧することができないユーザが離席していると判定した場合には、そのファイルを開いたユーザが使用するコンピュータ端末に対して、当該ファイルの閲覧制御指示を送信する。この閲覧制御指示としては、例えばファイルの最小化、ファイルの一部分、例えば機密情報として予め定められた領域などが判読不可の情報として表示される、離席しているユーザがいることの警告通知、などがある。

なおファイルを開いているユーザについては操作ログ情報におけるコンピュータ端末名（クライアント端末識別情報）に基づいて特定することも可能である。

本発明の処理プロセスの一例を図３のフローチャート、図１の概念図を用いて説明する。なお本実施例においては、機密ファイルとして「部署内人事査定」ファイルであり、ファイルを開いている人の所定範囲として「同一部署」、在席状況の判定の所定時間が「５分」である場合を説明する。

各クライアント端末３は何らかの操作が行われることにより、あるいは何らかのプログラムなどが実行されることにより、操作ログ情報が各クライアント端末３から管理サーバ２に送信される。この操作ログ情報を操作ログ情報取得部４が取得して、操作ログ情報記憶部５に記憶する（Ｓ１００）。

ファイル権限判定部６は、操作ログ情報取得部４で取得した操作ログ情報を監視しており、その操作内容として「ファイル開」などのファイルを開いたことを示す情報が含まれている操作ログ情報を検出した場合には（Ｓ１１０）、そのファイル名に基づいてファイル情報記憶部７を検索することにより、その権限を判定する（Ｓ１２０）。

例えばクライアント端末３「ＡＢＣ１２３４５６７８」のユーザ「ＸＹＺ」がファイル「部署内人事査定」を開いた場合、その操作ログ情報がクライアント端末３から管理サーバ２に送信され、それを操作ログ情報取得部４が取得して操作ログ情報記憶部５に記憶される。

そしてその操作ログ情報の操作内容としては「ファイル開」が含まれているので、ファイル権限判定部６はその操作ログ情報からファイル名「部署内人事査定」を抽出して、その権限をファイル情報記憶部７に基づいて判定する。例えばその権限が「４」であったとすると、ファイル権限判定部６は、ファイル名「部署内人事査定」の権限として「４」を判定する。

またユーザ判定部８は、Ｓ１１０で検出した操作ログ情報からユーザ「ＸＹＺ」を抽出し、その位置情報「Ａ１」をユーザ情報記憶部９から取得する。そしてユーザ「ＸＹＺ」の位置情報「Ａ１」から所定範囲内にいるほかのユーザを判定する（Ｓ１３０）。

上述のように所定範囲として「同一部署」であることから、ユーザ「ＸＹＺ」の位置情報「Ａ１」から所定範囲内にいるほかのユーザとしては、「企画部」のほかのユーザ、つまり位置情報「Ａ２」乃至「Ａ１０」に位置するユーザを、ユーザ情報記憶部９に基づいて判定する。

ここで「企画部」の各ユーザのユーザ名とその位置情報、権限が図９であったとする。

ユーザ情報記憶部９からユーザ判定部８が、位置情報「Ａ２」乃至「Ａ１０」に位置する各ユーザ名、権限を抽出すると、次にその各ユーザの権限と、ファイル「部署内人事査定」の権限「４」とを比較する。つまり所定範囲内のユーザのうち、開かれたファイルを閲覧することができないユーザを判定する（Ｓ１４０）。

そうするとユーザ判定部８は、ファイルの権限「４」未満のユーザ、つまりユーザ「ＮＰＡ」、「ＧＨＩ」、「ＪＫＬ」、「ＭＮＯ」、「ＶＷＸ」、「ＹＺＡ」がファイル「部署内人事査定」を閲覧することができないユーザであることを判定できる。

そして在席状況判定部１０は、ユーザ判定部８で判定した、ユーザ「ＮＰＡ」、「ＧＨＩ」、「ＪＫＬ」、「ＭＮＯ」、「ＶＷＸ」、「ＹＺＡ」の操作ログ情報が、所定時間、ここでは「５分」以内に存在しているかを操作ログ情報記憶部５から検索する（Ｓ１５０）。そうするとユーザ「ＮＰＡ」の操作ログ情報は存在するが、ほかの「ＧＨＩ」、「ＪＫＬ」、「ＭＮＯ」、「ＶＷＸ」、「ＹＺＡ」の各ユーザの操作ログ情報は存在しないことを判定できる。つまりこれらのユーザは離席中であると判定する（Ｓ１６０）。

そうすると閲覧制御指示部１１は、ユーザ「ＸＹＺ」が利用しているクライアント端末３「ＡＢＣ１２３４５６７８」に対して、所定の閲覧制御指示を送信する（Ｓ１７０）。この閲覧制御指示を受信したクライアント端末３「ＡＢＣ１２３４５６７８」では、当該ファイル「部署内人事査定」のファイルを最小化したり、所定領域が判読不可と表示変更処理が行われたり、警告通知が表示されるなどの、所定の閲覧制御処理が実行される。

なおユーザ「ＮＰＡ」、「ＧＨＩ」、「ＪＫＬ」、「ＭＮＯ」、「ＶＷＸ」、「ＹＺＡ」の操作ログ情報が所定時間内に操作ログ情報記憶部５に記憶していることを、在席状況判定部１０が判定した場合には、ユーザ「ＸＹＺ」が開いているファイル「部署内人事査定」を、それを閲覧する権限のない同一部署のほかのユーザから覗き見られる可能性は低いので、そのまま閲覧制御指示部１１が閲覧制御指示を出さなくても良い。また、閲覧制御指示部１１が閲覧許可の制御指示を当該クライアント端末３「ＡＢＣ１２３４５６７８」に対して送信し、それをクライアント端末３「ＡＢＣ１２３４５６７８」で受信することによって、ファイル「部署内人事査定」を閲覧可能とするように構成することもできる。

実施例１では、ファイルを開いたユーザから所定範囲内として「同一部署」の場合を説明したが、それがユーザ毎に設定されていても良い。例えば上述の場合、ユーザが開いたファイルが「部署内人事査定」のファイルであるので、その査定対象となっているユーザのみが所定範囲として設定されていても良い。

この場合、ファイル権限判定部６はファイル情報記憶部７に基づいてファイルの権限を判定すると共に、当該ファイルの所定範囲の情報も取得する。つまりどのユーザを判定対象とするかを判定する。例えば上述の「部署内人事査定」のファイルがユーザ「ＮＰＡ」の査定ファイルであった場合、ファイル情報記憶部７にはファイル名「部署内人事査定」の権限「４」に対応づけて、所定範囲の情報として「ユーザ「ＮＰＡ」」が記憶されており、その情報も取得する。

そしてユーザ判定部８は、ファイル権限判定部６で取得した所定範囲の情報「ユーザ「ＮＰＡ」」に基づいて、当該ユーザの権限「１」を取得し、またファイル「部署内人事査定」の権限「４」と、ユーザ「ＮＰＡ」の権限「１」とを比較して、当該ファイルを閲覧できるユーザであるかを判定する。

そうすると閲覧できないユーザであることが判定できるので、在席状況判定部１０は、ユーザ「ＮＰＡ」の在席状況の判定処理を実行する。

本実施例のように、ファイル毎に、判定対象となる所定範囲が定められていても良い。

上述の各実施例においては、ファイルを開く場合の処理であったが、ファイルを開いた以降も、ファイルを開いたユーザから所定範囲内に位置するユーザであって、当該ファイルへのアクセス権限がないユーザの操作ログ情報を監視することにより、閲覧制御処理を実行するように構成することもできる。

この場合、在席状況判定部１０は、操作ログ情報取得部４で取得する操作ログ情報を監視し、ファイルを開いたユーザの情報をユーザ状態情報記憶部（図示せず）で記憶しておく。上述の例ではファイル「部署内人事査定」を開いたユーザ「ＸＹＺ」のクライアント端末３「ＡＢＣ１２３４５６７８」から、ファイル「部署内人事査定」を開いたことを記憶しておく。そして操作ログ情報取得部４で、当該ユーザ「ＸＹＺ」がクライアント端末３「ＡＢＣ１２３４５６７８」においてファイル「部署内人事査定」を閉じたことを示す操作内容が含まれた操作ログ情報を取得するまで、ファイルを開いたユーザから所定範囲内に位置するユーザであって、当該ファイルへのアクセス権限がないユーザの操作ログ情報が所定時間内に存在しているか、を監視する（なおファイルを閉じたことを示す操作ログ情報を受信した場合には、ユーザ状態情報記憶部に記憶した当該ユーザの情報は削除して良い）。

つまり上記では、ユーザ「ＮＰＡ」、「ＧＨＩ」、「ＪＫＬ」、「ＭＮＯ」、「ＶＷＸ」、「ＹＺＡ」が、ユーザ「ＸＹＺ」から所定範囲内に位置するユーザであって、当該ファイルへのアクセス権限がないユーザと、Ｓ１４０においてユーザ判定部８が判定したが、その各ユーザについて、定期的に操作ログ情報記憶部５に記憶する操作ログ情報を検索することにより、所定時間内に操作ログ情報を記憶しているか、を判定することで、その各ユーザの在席状況を判定できる。

例えばユーザ「ＮＰＡ」は、「２００７年１０月９日１４時４５分３９秒」に操作ログ情報が記憶されているが、それ以降は記憶されなかったとする。そしてユーザ「ＸＹＺ」がファイルを開いた時点、「２００７年１０月９日１４時５０分２０秒」では５分以内の操作ログ情報が存在するので、ユーザ「ＮＰＡ」は在席していると判定する。しかし、ファイルを開いてから例えば１０分後に、再度、在席状況判定部１０が、在席状況の判定処理を実行した時点、「２００７年１０月９日１５時００分２０秒」では、その時点から５分以内のユーザ「ＸＹＺ」の操作ログ情報は操作ログ情報記憶部５には記憶されていない。つまりユーザ「ＮＰＡ」は離席したと判定する。

このように各ユーザについて定期的に在席状況の判定処理を在席状況判定部１０が実行することによって、ファイルを開いたのちもその確認を行うことが可能となる。

上述の各実施例においては、在席状況判定部１０が判定する所定時間内の操作ログ情報として、一定の場合を説明したが、それがファイルを開いたユーザの位置情報と、ユーザ判定部８で判定した、ファイルを開いたユーザから所定範囲内に位置するユーザであって当該ファイルへのアクセス権限がないユーザの位置情報とによって、所定時間が変更されても良い。

例えばファイル「ＡＡＡＡＡＡＡ」を開いたユーザ「ＸＹＺ」は位置情報「Ａ１」であり、ユーザ「ＸＹＺ」から所定範囲内に位置するユーザであって当該ファイルへのアクセス権限がないユーザが「Ａ１０」に位置するユーザ「ＹＺＡ」の所定時間を「５分」とし「Ｅ３」に位置するユーザ「ＪＵＹ」とユーザ「ＸＹＺ」との所定時間を「７分」とのように、その位置関係に応じて変更しても良い。

ファイルを開いたユーザの位置情報と、ユーザ判定部８で判定したユーザの位置情報との位置関係に応じて、在席状況判定部１０が判定する際の所定時間が変更されることによって、そのファイルを閲覧する権限がないユーザが、ファイルを開いたユーザの位置に到達するまでの時間を加味して、処理を実行することができる。つまりファイルを開いたユーザから近くに位置するユーザの場合には、すぐにファイルを開いたユーザの位置まで到達できるので所定時間を短く設定し、ファイルを開いたユーザから遠くに位置するユーザの場合には、ファイルを開いたユーザの位置まで到達するのにそれなりに時間を要するので所定時間を長く設定することで、ファイルを開いたユーザがそのファイルの処理を行う時間をより適切に管理することが可能となる。このように所定時間をユーザの位置情報関係に応じて変更する場合には、所定時間を決定する際の基準として、ファイルを開いたユーザの位置まで到達する通常の想定時間を用いることがよい。従って同じ部署内のユーザであれば、「１５秒」と短くなり、フロアの反対側に位置するユーザであれば、「３分」のように所定時間を変更することができる。

上述の実施例１乃至実施例４では管理サーバ２においてその処理が実行される場合を説明したが、これらの機能がクライアント端末３、管理サーバ２において適宜、分散配置されていても良い。

なお分散配置のバリエーションには様々なパターンがあり、如何なる配置形態であっても良い。これらの場合、各クライアント端末３における処理の際に、管理サーバ２の各機能を利用する場合にはその問い合わせを当該クライアント端末３から管理サーバ２に対して行い、その結果を当該クライアント端末３における処理に用いる。そしてその処理結果をクライアント端末３で実行することとなる。

本発明のファイル閲覧制御システム１を用いることによって、アクセス権限のあるユーザが利用しているコンピュータ端末で開いている機密ファイルを、アクセス権限のないユーザが覗き込むなどの行為により、機密情報の漏洩を防止することが可能となる。

本発明のシステム構成の一例を示す概念図である。 ハードウェア構成の一例を示す概念図である。 本発明の処理プロセスの一例を示すフローチャートである。 操作ログ情報の一例である。 操作ログ情報記憶部の一例である。 ファイル情報記憶部の一例である。 ユーザ情報記憶部の一例である。 ユーザの位置情報を模式的に示す図である。 実施例１において、ユーザ「ＸＹＺ」の位置情報から所定範囲に位置するユーザのユーザ名と位置情報と権限の情報の一例である。

符号の説明

１：ファイル閲覧制御システム
２：管理サーバ
３：クライアント端末
４：操作ログ情報取得部
５：操作ログ情報記憶部
６：ファイル権限判定部
７：ファイル情報記憶部
８：ユーザ判定部
９：ユーザ情報記憶部
１０：在席状況判定部
１１：閲覧制御指示部
２０：演算装置
２１：記憶装置
２２：表示装置
２３：入力装置
２４：通信装置

Claims (6)

1. ファイルの閲覧制御を行うファイル閲覧制御システムであって、
   前記ファイル閲覧制御システムは、
   クライアント端末の操作ログ情報を取得する操作ログ情報取得部と、
   前記クライアント端末の操作ログ情報を記憶する操作ログ情報記憶部と、
   任意のクライアント端末においてファイルを開いたことを検出すると、そのファイルの権限を、ファイルの権限を記憶するファイル情報記憶部に基づいて判定するファイル権限判定部と、
   前記開かれたファイルにアクセスすることが許可されないユーザを、前記ユーザの権限を記憶するユーザ情報記憶部に基づいて判定するユーザ判定部と、
   前記ユーザ判定部で判定したユーザの在席状況を、前記操作ログ情報記憶部に記憶した操作ログ情報に基づいて判定する在席状況判定部と、
   前記ファイルにアクセスできないユーザの在席状況に応じて、前記ファイルの閲覧制御指示を行う閲覧制御指示部と、
   を有することを特徴とするファイル閲覧制御システム。
2. ファイルの閲覧制御を行うファイル閲覧制御システムであって、
   前記ファイル閲覧制御システムは、
   クライアント端末の操作ログ情報を取得する操作ログ情報取得部と、
   前記クライアント端末の操作ログ情報を記憶する操作ログ情報記憶部と、
   任意のクライアント端末においてファイルを開いたことを検出すると、そのファイルの権限を、ファイルの権限を記憶するファイル情報記憶部に基づいて判定するファイル権限判定部と、
   ユーザの位置情報と権限とを少なくとも記憶するユーザ情報記憶部と、
   前記ファイルを開いたユーザの位置情報から所定範囲内に位置するユーザの権限を前記ユーザ情報記憶部から抽出し、前記抽出したユーザの権限と、前記ファイルの権限とを比較することで、前記開かれたファイルにアクセスすることが許可されないユーザを判定するユーザ判定部と、
   前記ユーザ判定部で判定したユーザの所定時間内の操作ログ情報が前記操作ログ情報記憶部に記憶されているかを判定することで、前記ユーザ判定部で判定したユーザの在席状況を判定する在席状況判定部と、
   前記ファイルにアクセスできないユーザの在席状況に応じて、前記ファイルの閲覧制御指示を行う閲覧制御指示部と、
   を有することを特徴とするファイル閲覧制御システム。
3. ファイルの閲覧制御を行うファイル閲覧制御システムであって、
   前記ファイル閲覧制御システムは、
   クライアント端末の操作ログ情報を取得する操作ログ情報取得部と、
   前記クライアント端末の操作ログ情報を記憶する操作ログ情報記憶部と、
   任意のクライアント端末においてファイルを開いたことを検出すると、そのファイルの権限を、ファイルの権限を記憶するファイル情報記憶部に基づいて判定するファイル権限判定部と、
   ユーザの権限を少なくとも記憶するユーザ情報記憶部と、
   前記ファイルに対して予め定められたユーザの権限を前記ユーザ情報記憶部から抽出し、前記抽出したユーザの権限と、前記ファイルの権限とを比較することで、前記開かれたファイルにアクセスすることが許可されないユーザを判定するユーザ判定部と、
   前記ユーザ判定部で判定したユーザの所定時間内の操作ログ情報が前記操作ログ情報記憶部に記憶されているかを判定することで、前記ユーザ判定部で判定したユーザの在席状況を判定する在席状況判定部と、
   前記ファイルにアクセスできないユーザの在席状況に応じて、前記ファイルの閲覧制御指示を行う閲覧制御指示部と、
   を有することを特徴とするファイル閲覧制御システム。
4. 前記任意のクライアント端末においてファイルを開いた以降の所定のタイミングにおいて、
   前記在席状況判定部が、更に、
   前記ユーザ判定部で判定したユーザの所定時間内の操作ログ情報が前記操作ログ情報記憶部に記憶されているかを、再度判定することで、前記ユーザ判定部で判定したユーザの在席状況を判定し、
   前記閲覧制御指示部は、更に、
   前記在席状況判定部における再度の判定結果に応じて、前記任意のクライアント端末に対して前記ファイルの閲覧制御指示を行う、
   ことを特徴とする請求項２または請求項３に記載のファイル閲覧制御システム。
5. 前記在席状況判定部は、更に、
   前記ユーザ判定部で判定したユーザの位置情報と、前記ファイルを開いたユーザの位置情報との関係に応じて、前記所定時間が変更される、
   ことを特徴とする請求項２から請求項４のいずれかに記載のファイル閲覧制御システム。
6. クライアント端末の操作ログ情報を記憶装置に記憶するコンピュータ端末を、
   クライアント端末の操作ログ情報を取得する操作ログ情報取得部、
   任意のクライアント端末においてファイルを開いたことを検出すると、そのファイルの権限を、ファイルの権限を記憶する所定の記憶領域に基づいて判定するファイル権限判定部、
   前記開かれたファイルにアクセスすることが許可されないユーザを、前記ユーザの権限を記憶する所定の記憶領域に基づいて判定するユーザ判定部、
   前記ユーザ判定部で判定したユーザの在席状況を、前記記憶装置に記憶した操作ログ情報に基づいて判定する在席状況判定部、
   前記ファイルにアクセスできないユーザの在席状況に応じて、前記ファイルの閲覧制御指示を行う閲覧制御指示部、
   として機能させることを特徴とするファイル閲覧制御プログラム。

Images