JP2011237975A - 情報処理システム - Google Patents

Abstract

【課題】ログ収集において情報漏洩を防止するとともに解析作業への支障をなくす。
【解決手段】動作情報をログに記録する情報処理システムであって、変換対象文字列を判別できる方式でログを生成するログ生成手段と、前記ログ生成手段により生成されたログに含まれる変換対象文字列を復元不可能で一意性のある文字列に変換するログ変換手段と、前記ログ変換手段により変換されたログを出力するログ出力手段と、前記ログ出力手段により出力されたログを収集するログ収集手段とを備える。
【選択図】図１

Description

本発明は、サーバや画像形成装置等の情報処理装置のログを収集する技術に関する。

コンピュータシステムにおいて、システム障害時等の調査手法としてシステムの動作情報を記録した各種のログを収集し解析することは重要である。

ログの収集手法には、対象となる情報処理装置からネットワーク経由で取得したり、対象となる情報処理装置にＵＳＢメモリ等の記録媒体を接続して取得したりする等が知られているが、現地でログ解析を行える状況であることは少なく、何らかの手段により、システム導入先から保守拠点の保守担当者へログを受け渡す必要がある。

一方、ログにはユーザＩＤ、ユーザ名、端末ＩＰアドレス等の個人情報や機密情報等を含む場合が多いため、ログの取得や受け渡し時、更には保守拠点からの情報漏洩を防ぐことが望まれる。

情報漏洩を防ぐ手法としては、個人情報や機密情報を暗号化したり、伏せ字にしたり、出力させないようにしたりするという手法が既に知られている（例えば、特許文献１、２を参照。）。

特許文献１には、システムログ参照による不必要な情報の漏洩を防ぐため、システムログを解析する目的に応じた役割を設定し、その役割に応じたシステムログをその役割を与えられた者のみが参照可能なようにシステムログを暗号化し情報漏洩を防ぐ方法が開示されている。

特許文献２には、顧客の情報管理に配慮しつつ、メンテナンスの対象のコンピュータシステムのログをメンテナンス業者に提供できるようにするため、顧客が開示可能な情報と秘匿すべき情報の選別を行い、開示可能とされた情報のみがログ出力されるシステムが開示されている。

上述したように、従来は情報漏洩を防ぐため、個人情報や機密情報を暗号化したり伏せ字にしたり出力させないといった処理を行っていたが、次のような問題点が指摘されていた。

先ず、個人情報や機密情報を暗号化する手法では、保守担当者がログを解析するときには個人情報や機密情報を復号するため、個人情報や機密情報を閲覧できてしまい、その後の管理が甘いと情報漏洩が発生する可能性があるという問題がある。

また、個人情報や機密情報を伏せ字にしたり出力させないようにしたりしてしまうと、ログから処理の追跡が行えなくなり、解析作業に支障をきたすという問題がある。

本発明は上記の従来の問題点に鑑み提案されたものであり、その目的とするところは、情報漏洩を防止するとともに解析作業への支障をなくすことのできる情報処理システムを提供することにある。

上記の課題を解決するため、本発明にあっては、請求項１に記載されるように、動作情報をログに記録する情報処理システムであって、変換対象文字列を判別できる方式でログを生成するログ生成手段と、前記ログ生成手段により生成されたログに含まれる変換対象文字列を復元不可能で一意性のある文字列に変換するログ変換手段と、前記ログ変換手段により変換されたログを出力するログ出力手段と、前記ログ出力手段により出力されたログを収集するログ収集手段とを備える情報処理システムを要旨としている。

また、請求項２に記載されるように、動作情報をログに記録する情報処理システムであって、変換対象文字列を判別できる方式でログを生成するログ生成手段と、前記ログ生成手段により生成されたログを出力するログ出力手段と、前記ログ出力手段により出力されたログを収集するログ収集手段と、前記ログ収集手段により収集されたログに含まれる変換対象文字列を復元不可能で一意性のある文字列に変換するログ変換手段とを備える情報処理システムとして構成することができる。

また、請求項３に記載されるように、請求項１または２のいずれか一項に記載の情報処理システムにおいて、前記変換対象文字列を含む変換対象項目を設定する変換対象設定手段を備えるようにすることができる。

また、請求項４に記載されるように、請求項１または２のいずれか一項に記載の情報処理システムにおいて、ログ収集の対象となる情報処理装置毎に前記変換対象文字列を含む変換対象項目を設定する第１の変換対象設定手段と、ユーザ毎に前記変換対象文字列を含む変換対象項目を設定する第２の変換対象設定手段とを備え、前記ログ変換手段は、前記情報処理装置毎の変換対象項目と前記ユーザ毎の変換対象項目から当該ユーザ毎の変換対象項目を優先して実際の変換対象項目を決定し、変換を実行するようにすることができる。

また、請求項５に記載されるように、動作情報をログに記録する情報処理システムにおける処理方法であって、変換対象文字列を判別できる方式でログを生成するログ生成工程と、前記ログ生成工程により生成されたログに含まれる変換対象文字列を復元不可能で一意性のある文字列に変換するログ変換工程と、前記ログ変換工程により変換されたログを出力するログ出力工程と、前記ログ出力工程により出力されたログを収集するログ収集工程とを備えるログ収集方法として構成することができる。

また、請求項６に記載されるように、動作情報をログに記録する情報処理システムにおける処理方法であって、変換対象文字列を判別できる方式でログを生成するログ生成工程と、前記ログ生成工程により生成されたログを出力するログ出力工程と、前記ログ出力工程により出力されたログを収集するログ収集工程と、前記ログ収集工程により収集されたログに含まれる変換対象文字列を復元不可能で一意性のある文字列に変換するログ変換工程とを備えるログ収集方法として構成することができる。

また、請求項７に記載されるように、請求項５または６のいずれか一項に記載のログ収集方法をコンピュータに実行させるログ収集プログラムとして構成することができる。

また、請求項８に記載されるように、請求項７に記載のログ収集プログラムを記録したコンピュータ読取可能な記録媒体として構成することができる。

本発明の情報処理システムにあっては、ログに含まれる個人情報や機密情報を復元不可能で一意性のある文字列に変換することにより、ログの中に個人情報や機密情報を含むことがないため情報漏洩を防止することができるとともに、一意性のある文字列に変換されるため処理の追跡が行えて解析作業への支障をなくすことができる。

本発明の第１の実施形態にかかるシステムの構成例を示す図である。 本発明の第２の実施形態にかかるシステムの構成例を示す図である。 本発明の第３の実施形態にかかるシステムの構成例を示す図である。 秘匿対象項目設定の処理例を示すフローチャートである。 項目データの例を示す図である。 秘匿対象項目設定画面の例を示す図である。 秘匿対象項目のデータ例を示す図である。 実施形態の処理例を示すフローチャートである。 ログ変換の処理例を示すフローチャートである。 ログ変換による変換前と変換後のログの例を示す図である。 本発明の第４の実施形態にかかるシステムの構成例を示す図である。 実施形態の処理例を示すシーケンス図である。 秘匿対象項目設定画面の例を示す図である。 ユーザ情報テーブルの例を示す図である。 実際に秘匿対象とされる項目の例を示す図である。 秘匿レベルテーブルの例を示す図である。 秘匿レベルテーブルに対応したユーザ情報テーブルの例を示す図である。

以下、本発明の好適な実施形態につき説明する。

＜第１〜第３の実施形態＞
図１は本発明の第１の実施形態にかかるシステムの構成例を示す図である。

図１において、ログ収集の対象となる情報処理装置１には、ログ生成部１１とログ変換部１２とログ保存部１３とログ出力部１４とが設けられている。

ログ生成部１１は、システムの動作情報を記録した所定のフォーマットのログを出力する機能を有している。ログ生成のタイミングは、ログをとるべき事象が発生する都度に行う場合と、別に事象を記述するデータが蓄積されていて、そのデータに基づいて一括にログを生成する場合とがある。後に秘匿対象項目（変換対象項目）に含まれる秘匿対象文字列（変換対象文字列）の変換を行うため、ログ生成においては秘匿対象文字列を判別することができる状態でログを生成する必要があり、ログ変換を実行する手段はその判別方法を認識している必要がある。判別手法の詳細については後述する。

ログ変換部１２は、ログ生成部１１で生成されたログに含まれる秘匿対象文字列を復元不可能で一意性のある文字列に変換する機能を有している。変換の詳細については後述する。

ログ保存部１３は、ログ変換部１２から出力された変換後のログをメモリやディスク上の記憶領域に保存する機能を有している。なお、ログ保存部１３は必須ではなく、省略することも可能である。

ログ出力部１４は、所定のタイミングでログ保存部１３から変換後のログを読み出し、外部に出力する機能を有している。ログ保存部１３が設けられない場合、ログ出力部１４は、ログ変換部１２から出力された変換後のログを外部に出力する。ログ出力の形態としては、ネットワーク２１、メモリデバイス（ＵＳＢメモリ等）２２もしくは直接接続２３を経由するデータとして行われるほか、紙２４へのプリントアウトである場合を含む。なお、ログのデータは必ずしもファイルの形式である必要はなく、ブラウザ等に表示されるデータの断片であってもよい。

一方、ログ収集を行う情報処理装置３には、ログ収集部３１とログ保存部３２とが設けられている。なお、ログ収集を行う情報処理装置３はパーソナルコンピュータ等の高機能の装置に限らず、ＵＳＢメモリ等のメモリデバイスであってもよい。この場合は直接接続２３により情報処理装置１からログを収集する。

ログ収集部３１は、情報処理装置１のログ出力部１４からネットワーク２１、メモリデバイス２２もしくは直接接続２３を経由するデータ、または、プリントアウトされた紙２４からログを入力する機能を有している。紙２４から入力する場合、イメージスキャナと光学文字読取機能を用いるか、手作業による入力を行うものとする。

ログ保存部３２は、ログ収集部３１により収集したログをメモリやディスク上の記憶領域に保存する機能を有している。

なお、ログ収集の対象となる情報処理装置１とログ収集を行う情報処理装置３を別体として構成した場合について説明したが、一つの情報処理装置で構成してもよい。

上述した構成では、ログ生成するタイミングでログ変換を行うため、ログ保存を行う場合であっても秘匿前の情報が保存されることはなく、情報漏洩を強化することができる。ただし、秘匿対象文字列は変換された形で保存されているため、運用途中で秘匿対象項目を変更しても、既に生成されたログの内容には反映できない。

図２は本発明の第２の実施形態にかかるシステムの構成例を示す図である。図１に示した第１の実施形態と比較して、ログ変換部１２の位置がログ保存部１３の後段に変更されている。ログ保存部１３が省略される場合には図１に示した第１の実施形態と同じになる。

ログ保存部１３は、ログ生成部１１で生成されたログをメモリやディスク上の記憶領域に保存する機能を有している。なお、ログ保存部１３は必須ではなく、省略することも可能である。

ログ変換部１２は、ログ保存部１３からログを読み出し、ログに含まれる秘匿対象文字列を復元不可能で一意性のある文字列に変換する機能を有している。ログ保存部１３が設けられない場合、ログ変換部１２は、ログ生成部１１で生成されたログに含まれる秘匿対象文字列を復元不可能で一意性のある文字列に変換する。変換の詳細については後述する。

他の機能部については第１の実施形態で説明したものと同様である。ログ収集の対象となる情報処理装置１とログ収集を行う情報処理装置３を一つの情報処理装置で構成してもよい。

上述した構成では、ログ出力するタイミングでログ変換を行うため、ログ保存を行う場合は秘匿前の情報が一時的にログ保存領域に保存されることとなる。しかし、ログ出力するタイミングで秘匿対象項目を設定すれば、設定した秘匿対象項目に応じたログの内容を出力することができる。

図３は本発明の第３の実施形態にかかるシステムの構成例を示す図である。図２に示した第２の実施形態と比較して、ログ収集の対象となる情報処理装置１からログ変換部１２を除去し、代わりに、ログ収集を行う情報処理装置３のログ収集部３１の後段にログ変換部３３を設けたものである。

ログ出力部１４は、所定のタイミングでログ保存部１３から変換後のログを読み出し、外部に出力する機能を有している。ログ保存部１３が設けられない場合、ログ出力部１４は、ログ生成部１１で生成されたログを外部に出力する。

ログ変換部３３は、ログ収集部３１で収集されたログに含まれる秘匿対象文字列を復元不可能で一意性のある文字列に変換する機能を有している。変換の詳細については後述する。

ログ保存部３２は、ログ変換部３３で変換されたログをメモリやディスク上の記憶領域に保存する機能を有している。

他の機能部については第２の実施形態で説明したものと同様である。ログ収集の対象となる情報処理装置１とログ収集を行う情報処理装置３を一つの情報処理装置で構成してもよい。

上述した構成では、ログ収集した後でログ変換を行うため、秘匿前の情報が一時的にログ保存領域およびログ収集先に保存されることとなる。しかし、ログ収集するタイミングで秘匿対象項目を設定すれば、設定した秘匿対象項目に応じたログの内容を取得することができる。

図４は上記の実施形態における秘匿対象項目設定の処理例を示すフローチャートである。秘匿対象項目の設定は必須ではないが、ログの可読性のためには秘匿対象項目は少ない方が望ましい。また、システムの管理者によっては秘匿対象項目が異なる可能性があるので、必要最低限の項目のみを秘匿対象とするために秘匿対象項目は選択できるようにしておくのが望ましい。

秘匿対象項目の設定処理は、図１および図２の構成にあっては、情報処理装置１において行われる。図３の構成にあっては、情報処理装置３において行われる。また、処理を進めるためのユーザの操作自体は、情報処理装置１、３において行ってもよいし、ネットワーク経由で他の情報処理装置からリモートで行ってもよい。

図４において、ユーザ操作により秘匿対象項目設定を開始すると（ステップＳ１）、選択候補項目を取得する（ステップＳ２）。選択候補項目は、図５（ａ）に示すように選択候補項目をリストとして保持してもよいし、図５（ｂ）に示すようにログに含まれる全項目のうち選択候補項目を示すフラグ「○」を伴う形式で保持してもよい。なお、データの形式は図示のものに限られない。

図４に戻り、取得した選択候補項目に基づき、秘匿対象項目選択画面を生成し（ステップＳ３）、秘匿対象選択画面を表示する（ステップＳ４）。図６は秘匿対象項目設定画面の例を示す図であり、項目名に対して秘匿対象項目の項目名をチェックボックスにより選択できるようになっている。図６では「ユーザＩＤ」と「ＩＰアドレス」が選択された状態を示している。

図４に戻り、入力が完了したかどうかを「ＯＫ」ボタンの押下等により判断し（ステップＳ５）、入力が完了したと判断した場合（ステップＳ５のＹｅｓ）には選択された項目を秘匿対象項目として保存し（ステップＳ６）、処理を終了する（ステップＳ７）。図７は秘匿対象項目のデータ例を示す図であり、図７（ａ）は選択された項目のみをリストとして保存する形式、図７（ｂ）は選択候補項目（図５（ａ））に秘匿対象項目として選択されたことを示すフラグを付して保存する形式、図７（ｃ）はログに含まれる全項目（図５（ｂ））に秘匿対象項目として選択されたことを示すフラグを付して保存する形式を示している。なお、データの形式は図示のものに限られない。また、秘匿対象項目の秘匿対象文字列をログ中から抽出するための条件（抽出条件）が秘匿対象項目に対応付けて保持されているものとする。

また、ログの収集対象となる情報処理装置１に対して１組の秘匿対象項目を設定する場合について説明したが、ユーザ毎に秘匿対象項目を設定するようにしてもよい。この場合、秘匿対象項目をユーザ（ユーザＩＤ等）と対応付けて保存することとなる。

図８は上記の実施形態の処理例を示すフローチャートであり、図８（ａ）は図１に示した第１の実施形態に対応し、図８（ｂ）は図２に示した第２の実施形態に対応し、図８（ｃ）は図３に示した第３の実施形態に対応している。これらは、ログ変換処理の実施タイミングが異なっている。

図８（ａ）において、情報処理装置１では、ログ生成（ステップＳ１１）、ログ変換（ステップＳ１２）、ログ保存（ステップＳ１３）、ログ出力（ステップＳ１４）が順次行われる。ログ保存（ステップＳ１３）を行う場合（ログの一括生成でない場合）、ログ保存（ステップＳ１３）の後に次のログ生成（ステップＳ１１）から処理が繰り返される。ログ保存（ステップＳ１３）を行わない場合、ログ変換（ステップＳ１２）と同時にログ出力（ステップＳ１４）を行うことになる。

一方、情報処理装置３では、ログ収集（ステップＳ１５）、ログ保存（ステップＳ１６）が順次行われる。

図８（ｂ）において、情報処理装置１では、ログ生成（ステップＳ２１）、ログ保存（ステップＳ２２）、ログ変換（ステップＳ２３）、ログ出力（ステップＳ２４）が順次行われる。ログ保存（ステップＳ２２）を行う場合（ログの一括生成でない場合）、ログ保存（ステップＳ２２）の後に次のログ生成（ステップＳ２１）から処理が繰り返される。ログ保存（ステップＳ２２）を行わない場合、ログ生成（ステップＳ２１）と同時にログ変換（ステップＳ２３）およびログ出力（ステップＳ２４）を行うことになる。

一方、情報処理装置３では、ログ収集（ステップＳ２５）、ログ保存（ステップＳ２６）が順次行われる。

図８（ｃ）において、情報処理装置１では、ログ生成（ステップＳ３１）、ログ保存（ステップＳ３２）、ログ出力（ステップＳ３３）が順次行われる。ログ保存（ステップＳ３２）を行う場合（ログの一括生成でない場合）、ログ保存（ステップＳ３２）の後に次のログ生成（ステップＳ３１）から処理が繰り返される。ログ保存（ステップＳ３２）を行わない場合、ログ生成（ステップＳ３１）と同時にログ出力（ステップＳ３３）を行うことになる。

一方、情報処理装置３では、ログ収集（ステップＳ３４）、ログ変換（ステップＳ３５）、ログ保存（ステップＳ３６）が順次行われる。

図９はログ変換（図８（ａ）のステップＳ１２、図８（ｂ）のステップＳ２３、図８（ｃ）のステップＳ３５）の処理例を示すフローチャートである。なお、ここでは復元不可能で一意性のある文字列への変換としてハッシュ変換を用いた例について説明するが、復元不可能で一意性のある文字列への変換であれば他の変換方式を用いてもよい。

図９において、処理を開始すると（ステップＳ１０１）、ログ内容を取得し（ステップＳ１０２）、秘匿対象文字列があるか否か判断する（ステップＳ１０３）。この判断は、図７に示した秘匿対象項目のデータから抽出条件を取得し、その抽出条件に基づいてログを検索することにより行う。秘匿対象項目がユーザ毎に設定されている場合には、ログのデータからユーザＩＤ等に基づいて対応する秘匿対象項目を取得する。

抽出条件としては、秘匿対象項目が例えば「ユーザＩＤ」である場合、「#USERID#」のような特定の文字列が出現した後の「[」と「]」で囲まれる範囲を秘匿対象文字列とする、というようなものが考えられる。特定の文字列は、「#USERID#」のように意味のあるものでもよいし、「#1#」のような符号化したものでもよい。また、「[」や「]」の文字そのものが秘匿対象文字列に含まれる場合には、エスケープ処理を施す等の工夫を行う。抽出条件の他の例として、カンマ区切り形式（ＣＳＶ）でログを出力しておき、先頭から何番目の項目を秘匿対象文字列とするか決定する方法や、正規表現（特殊な記号を使って文字列の組み合わせパターンを指定する方法）によりマッチングしたものを秘匿対象文字列とするという方法等も考えられる。

図９に戻り、秘匿対象文字列がないと判断した場合（ステップＳ１０３のＮｏ）、処理を終了する（ステップＳ１０７）。

また、秘匿対象文字列があると判断した場合（ステップＳ１０３のＹｅｓ）、その秘匿対象文字列にハッシュ変換を施してハッシュ値を生成する（ステップＳ１０４）。ハッシュ値の生成にはＭＤ５やＳＨＡといった一般的なハッシュ関数を用いてもよいし、独自のアルゴリズムを用いてもよい。ここでは厳密なハッシュ値を算出する必要性はなく、「秘匿前の文字列を復元できない」「他の秘匿後文字列との区別ができる一意性がある」という２点を満たすことのできる方式であればよい。

次いで、秘匿前の秘匿対象文字列（秘匿前文字列）の文字数でハッシュ値をカットする（ステップＳ１０５）。一般的なハッシュ値そのままであると秘匿前文字列よりも大幅に文字数が多くなる場合が多いと思われる。具体的には、例えば「user1」という５桁の文字列であっても、簡易なハッシュ関数であるＭＤ５により算出されるハッシュ値は「24c9e15e52afc47c225b757e7bee1f9d」という３２桁の文字列となる。文字数が多くなると、ログの可読性が落ちるし、ログそのものの量が多くなってしまうため、取り扱いづらくなる。ここでは、厳密な意味でのハッシュ値であることは重要ではなく、「秘匿前の文字列を復元できない」「他の秘匿後文字列との区別ができる」という２点が重要であるため、例えばＳ４のように秘匿前文字列の文字数でハッシュ値をカットする等の対応を行うことが望ましい。その場合、「user1」の変換結果は「24c9e」ということとなる。

次いで、カットした後のハッシュ値（秘匿後文字列）を秘匿前文字列と置き換え（ステップＳ１０６）、処理を終了する（ステップＳ１０７）。

なお、上記の変換処理においては、異なる秘匿対象文字列であっても秘匿後文字列が同一になる可能性はあるが、通常、ログの解析が必要な範囲内において同一となる可能性は極めて低く、解析への支障はないものと思われる。

一方、秘匿後文字列から秘匿前文字列への直接的な逆変換は不可能であるが、秘匿対象文字列がＩＰアドレスのように固定された形式である場合、秘匿後文字列とのマッチングは比較的容易にできるため、秘匿前文字列の推測が可能である。そのようなケースが想定される場合は、例えば以下のような対応が考えられる。
（１）秘匿対象項目設定画面（図６）において、マジックコード（任意の文字列）の入力欄を設ける。
（２）マジックコードの入力欄に、ログの解析担当者が知らないマジックコードを設定する。
（３）ログ変換のハッシュ値生成（図９のステップＳ１０４）において、秘匿対象文字列にマジックコードを付加した文字列全体のハッシュ値を生成する。

なお、ハッシュ値のカット（図９のステップＳ１０５）において変更はなく、秘匿対象文字列の文字数（秘匿対象文字列にマジックコードを付加した文字列全体の文字数ではない）でカットを行う。例えば「192.168.001.001」という秘匿対象文字列に対して、マジックコード「magic」を設定した場合には、「192.168.001.001magic」をハッシュ化し、「192.168.001.001」の文字数「１５」でカットするので、「4bcb0e75ecf247d」が秘匿後文字列となる。こうすることで、秘匿前文字列の文字数がわかると同時に、マジックコードが何桁であるかわからなくなり、秘匿前文字列の推測がほぼ不可能となる。

上記のようにマジックコードを設定すれば、ログの解析担当者は秘匿前文字列を推測することは困難となる。ただし、複数の異なる情報処理装置からログを取得して解析する必要がある場合には、同じマジックコードを設定する必要がある。

図１０はログ変換による変換前と変換後のログの例を示す図である。ここでは、「ユーザＩＤ」、「ホスト名」の２つを秘匿対象項目とし、それぞれ「#USERID#」、「#HOST#」という文字列を秘匿対象文字列を判定するための特定の文字列としている。

変換前のログの「#USERID#[Yamada Taroh]」は「#USERID#[787e0dcb974]」に変換され、変換前のログの「#HOST#[ServerMachine1]」は「#HOST#[adaa36b5294c52]」に変換され、変換前のログの「#HOST#[ServerMachine2]」は「#HOST#[053db30af930ea]」に変換されている。変換後のログにおいては、秘匿対象文字列が復元不可能な状態で出力されているが、１行目でログインしたユーザと３行目で印刷したユーザは同一であることがわかり、ログの解析時に処理の追跡が行え、解析作業を円滑に行うことができる。

＜第４の実施形態＞
ログに含まれる個人情報や機密情報を秘匿化する場合、企業等においては所属部署毎に秘匿対象項目が異なる場合がある。例えば、第１の情報処理装置では秘匿対象項目が多いセキュアな設定であり、第２の情報処理装置では秘匿対象項目が少ない設定であったとする。この場合、ユーザがそれぞれの所属部署に配置された情報処理装置のみを使用していれば問題は生じないが、通常はセキュアな設定の第１の情報処理装置を利用しているユーザがたまたま他部署に配置されている第２の情報処理装置を利用した場合、両方の情報処理装置から収集したログを突き合わせることで、そのユーザの個人情報や機密情報が特定できてしまうという問題がある。例えば、第１の情報処理装置では「ユーザＩＤ」「ユーザ名」「ホスト名」「ＩＰアドレス」「印刷ジョブ名」が秘匿対象項目とされ、第２の情報処理装置では「ユーザＩＤ」「ＩＰアドレス」が秘匿対象項目とされているものとする。この場合、あるユーザが両方の情報処理装置を利用してログが収集されたとすると、同一ユーザのユーザＩＤは同じ文字列に変換されるため、両方の情報処理装置のログから同じユーザＩＤの文字列（秘匿後文字列）のログデータを抽出することにより、通常使う第１の情報処理装置では秘匿化されるべきユーザ名、ホスト名が判明してしまうことになる。第２の情報処理装置をただ１回利用しただけでも、第１の情報処理装置における当該ユーザのユーザ名と対応付けてログデータが特定できてしまう。

この第４の実施形態はかかる問題を解決するため、ユーザ毎に秘匿対象項目を設定できるようにしている。

図１１は本発明の第４の実施形態にかかるシステムの構成例を示す図である。

図１１において、ログ収集の対象として情報処理装置１Ａ、１Ｂ、１Ｃが存在し、情報処理装置３によりログ収集を行うものとする。ログ収集の対象である情報処理装置１Ａ、１Ｂ、１Ｃには、図４で示した処理により設定された秘匿対象項目がシステム設定として保存されている。なお、ログの収集は図２および図８（ｂ）の方式（ログ出力時にログ変換処理を実施）について図示してあるが、他の方式を適用してもよい。また、情報処理装置１Ｃはログ収集の対象であると同時に、ユーザ管理サーバとして機能するものであり、ユーザ毎の秘匿対象項目を保存するためのユーザ情報テーブルが設けられている。

図１２は上記の実施形態の処理例を示すシーケンス図である。

図１２において、準備作業として、情報処理装置３から情報処理装置１Ａ、１Ｂ、１Ｃに対して秘匿対象項目の設定を行う（ステップＳ２０１〜Ｓ２０３）。設定の順番は任意である。秘匿対象項目の設定は、図４〜図７に示したのと同様の手法により行う。ただし、ここでは図１３に示すような秘匿対象項目設定画面により、「ユーザＩＤ」「ユーザ名」「印刷ジョブ名」「メールアドレス」「ファクス宛先」から秘匿対象項目を選択するものとする。

また、情報処理装置３から情報処理装置１Ｃに対してユーザ情報の設定を行う（ステップＳ２０４）。このユーザ情報の設定は、秘匿対象項目の設定（ステップＳ２０１〜Ｓ２０３）より先に行ってもよい。

図１４はユーザ情報テーブルの例を示す図であり、ユーザＩＤ毎に「ユーザＩＤ」「ユーザ名」「印刷ジョブ名」「メールアドレス」「ファクス宛先」の全項目について「ＯＮ」（秘匿対象とする）、「ＯＦＦ」（秘匿対象としない）、「−」（指定しない）が登録される。図１４において、「user1」は全項目が秘匿対象とされたセキュアな設定となっており、「user2」は秘匿対象項目の指定をしない設定となっており、「user3」は全項目を秘匿対象としないセキュアでない設定となっており、「user4」は項目によって設定有無が分かれている。

なお、各情報処理装置１Ａ、１Ｂ、１Ｃへの設定を情報処理装置３から行うものとしているが、他の管理者用端末から行ってもよいし、情報処理装置１Ａ、１Ｂ、１Ｃ自体で行ってもよい。

図１２に戻り、その後の運用として、情報処理装置１Ａ、１Ｂ、１Ｃではログの生成と保存が行われる（ステップＳ２１１〜Ｓ２１３）。ログ生成・保存の順番や回数は任意である。

その後のログ収集としては、情報処理装置１Ａについてのみ記載してあるが、他の情報処理装置１Ｂ、１Ｃについても同様である。

先ず、情報処理装置３から情報処理装置１Ａに対してログ収集依頼を行うと（ステップＳ２２１）、情報処理装置１Ａは情報処理装置１Ｃにユーザ情報取得依頼を行い（ステップＳ２２２）、情報処理装置１Ｃは情報処理装置１Ａにユーザ情報を返す（ステップＳ２２３）。

情報処理装置１Ａではログの変換および出力を行うが（ステップＳ２２４）、ログの変換に際し、秘匿対象項目（システム設定）とユーザ情報とを総合し、実際の秘匿対象項目を決定する。すなわち、ユーザ情報において明示的に秘匿対象項目が指定されている場合（「ＯＮ」または「ＯＦＦ」）にはその設定に従うこととし、ユーザ情報において明示的に設定がない場合（「−」）にはシステム設定に従うこととする。図１５は実際に秘匿対象とされる項目の例を示す図であり、情報処理装置１Ａにおける秘匿対象項目（システム設定）が図１３で選択された「ユーザＩＤ」「メールアドレス」「ファクス宛先」であり、ユーザ情報が図１４のように設定された場合の例である。太字箇所は、ユーザ毎に明示的な設定をしていないためにシステム設定が適用されている。

図１２に戻り、情報処理装置１Ａは変換後のログを情報処理装置３に提供する（ステップＳ２２５）。

なお、図１４に示したユーザ情報ではユーザ毎に秘匿対象項目を設定する形式としているが、ユーザ毎に秘匿対象項目を設定するのではなく、ユーザ毎に秘匿レベルの指定をする形式も考えられる。秘匿レベルは、事業所の所在地・役職・会社等の分類により設定することが想定される。

図１６は秘匿レベルテーブルの例を示す図であり、秘匿レベル毎に秘匿対象項目の設定情報を保持している。秘匿レベルは任意に作成できるものとし、秘匿レベル毎に秘匿対象項目を設定することができる。この秘匿レベルテーブルはユーザ管理サーバとしての情報処理装置１Ｃに保持する。

図１７は秘匿レベルテーブルに対応したユーザ情報テーブルの例を示す図であり、ユーザ毎に秘匿レベルの設定情報を保持する。

図１６の秘匿レベルテーブルによる設定と図１７のユーザ情報テーブルの設定を組み合わせると、結果的に図１４に示したユーザ情報テーブルの設定と同等の内容となる。図１６と図１７のような設定方法を採用すれば、ユーザ毎に設定する図１４のやり方よりも管理効率が良くなる。

＜総括＞
以上説明したように、本実施形態によれば、ログに含まれる個人情報や機密情報を復元不可能で一意性のある文字列に変換することにより、ログの中に個人情報や機密情報を含むことがないため情報漏洩を防止することができるとともに、一意性のある文字列に変換されるため処理の追跡が行えて解析作業への支障をなくすことができる。

すなわち、復元不可能な変換方法であるため、秘匿した個人情報や機密情報の漏洩を防ぐことができる。また、一意性のある変換方法であるため、秘匿した情報の追跡処理が可能となる。例えば、異なる日時で操作した同じユーザＩＤのログがあったとしても、同じユーザＩＤから生成される秘匿後文字列は同じ文字列として出力されるので、該当ユーザの操作を追跡することが可能である。また、全く異なるソフトウェアやシステムであっても、同一の方法でログ出力しておけば、別システムをまたがったログの追跡が可能である。

以上、本発明の好適な実施の形態により本発明を説明した。ここでは特定の具体例を示して本発明を説明したが、特許請求の範囲に定義された本発明の広範な趣旨および範囲から逸脱することなく、これら具体例に様々な修正および変更を加えることができることは明らかである。すなわち、具体例の詳細および添付の図面により本発明が限定されるものと解釈してはならない。

１、１Ａ〜１Ｃ 情報処理装置
１１ ログ生成部
１２ ログ変換部
１３ ログ保存部
１４ ログ出力部
２１ ネットワーク
２２ メモリデバイス
２３ 直接接続
２４ 紙
３ 情報処理装置
３１ ログ収集部
３２ ログ保存部
３３ ログ変換部

特開２００７‐２０００５９号公報 特開２００７‐２６５２９６号公報

Claims (8)

1. 動作情報をログに記録する情報処理システムであって、
   変換対象文字列を判別できる方式でログを生成するログ生成手段と、
   前記ログ生成手段により生成されたログに含まれる変換対象文字列を復元不可能で一意性のある文字列に変換するログ変換手段と、
   前記ログ変換手段により変換されたログを出力するログ出力手段と、
   前記ログ出力手段により出力されたログを収集するログ収集手段と
   を備えたことを特徴とする情報処理システム。
2. 動作情報をログに記録する情報処理システムであって、
   変換対象文字列を判別できる方式でログを生成するログ生成手段と、
   前記ログ生成手段により生成されたログを出力するログ出力手段と、
   前記ログ出力手段により出力されたログを収集するログ収集手段と、
   前記ログ収集手段により収集されたログに含まれる変換対象文字列を復元不可能で一意性のある文字列に変換するログ変換手段と
   を備えたことを特徴とする情報処理システム。
3. 請求項１または２のいずれか一項に記載の情報処理システムにおいて、
   前記変換対象文字列を含む変換対象項目を設定する変換対象設定手段
   を備えたことを特徴とする情報処理システム。
4. 請求項１または２のいずれか一項に記載の情報処理システムにおいて、
   ログ収集の対象となる情報処理装置毎に前記変換対象文字列を含む変換対象項目を設定する第１の変換対象設定手段と、
   ユーザ毎に前記変換対象文字列を含む変換対象項目を設定する第２の変換対象設定手段と
   を備え、
   前記ログ変換手段は、前記情報処理装置毎の変換対象項目と前記ユーザ毎の変換対象項目から当該ユーザ毎の変換対象項目を優先して実際の変換対象項目を決定し、変換を実行する
   ことを特徴とする情報処理システム。
5. 動作情報をログに記録する情報処理システムにおける処理方法であって、
   変換対象文字列を判別できる方式でログを生成するログ生成工程と、
   前記ログ生成工程により生成されたログに含まれる変換対象文字列を復元不可能で一意性のある文字列に変換するログ変換工程と、
   前記ログ変換工程により変換されたログを出力するログ出力工程と、
   前記ログ出力工程により出力されたログを収集するログ収集工程と
   を備えたことを特徴とするログ収集方法。
6. 動作情報をログに記録する情報処理システムにおける処理方法であって、
   変換対象文字列を判別できる方式でログを生成するログ生成工程と、
   前記ログ生成工程により生成されたログを出力するログ出力工程と、
   前記ログ出力工程により出力されたログを収集するログ収集工程と、
   前記ログ収集工程により収集されたログに含まれる変換対象文字列を復元不可能で一意性のある文字列に変換するログ変換工程と
   を備えたことを特徴とするログ収集方法。
7. 請求項５または６のいずれか一項に記載のログ収集方法をコンピュータに実行させるログ収集プログラム。
8. 請求項７に記載のログ収集プログラムを記録したコンピュータ読取可能な記録媒体。

Images