JP2013084212A - ログ収集システム、方法及びプログラム - Google Patents

Abstract

【課題】一元的にかつ安全にログを収集し、容易に閲覧できる。
【解決手段】本実施形態に係るログ収集システムは、第１利用者識別子、第１利用者識別子よりも暗号強度が高い第１一時識別子、属性情報を各々対応付けて格納する手段を具備する第１装置と、第１利用者識別子と同一の利用者を示す第２利用者識別子、第２利用者識別子よりも暗号強度が高い第２一時識別子を対応付けて格納する手段、ログデータに含まれる第２利用者識別子を第２一時識別子に変換して第１変換ログデータを得る手段を具備する第２装置と、第１一時識別子と第２一時識別子とを対応付けて格納する手段、第１変換ログデータに含まれる第２一時識別子に対応する第１一時識別子を抽出する手段を具備する第３装置と、を具備し、第１装置は、第１変換ログデータに含まれる第２一時識別子を、第１一時識別子に対応する属性情報に変換して、第２変換ログデータを得る手段をさらに具備する。
【選択図】図１

Description

この発明は、ログを収集するログ収集システム、方法及びプログラムに関する。

一般に、利用者の個人情報を扱う情報システムにおいては、個人情報が適切に取り扱われているかどうかの監査を行なう手段として、利用者が当該情報システムを利用した際に出力されるログ（以下、アクセスログともいう）を利用することができる。アクセスログには、いつ、誰が、誰のどの情報を、どのように扱ったのかという個人情報に関してアクセスした記録が含まれていることが多い。
一方、複数のサーバが連携することで個人情報に対して一連の処理を実現する情報システムでは、アクセスログはサーバごとに出力される。そのため、一連の処理において利用者の個人情報がどのように取り扱われたかを知るためには、それぞれのサーバが出力したアクセスログを一箇所に収集し、アクセスログを時系列順に並べて監査できるようにするのが望ましい。複数のサーバからアクセスログを収集して状態管理を行う手法として、統合的なユーザ認証及びアクセス制御に基づいたログの収集と、監視、監査および分析とを行う手法がある（例えば、非特許文献１および非特許文献２参照。）。

近藤ほか５名，"ロールベースアクセス制御情報の多バージョン並行処理制御を利用した監査ログトラッキング手法"，情報処理学会論文誌，データベース ４６（ＳＩＧ＿１８（ＴＯＤ＿２８）），２００５年１２月１５日，ｐ．１０３−１１５ "統合ログ管理の最新動向−賢いセキュリティ対策 Part5"、［online］、インターネット＜URL ：http://it.impressbm.co.jp/e/2009/05/26/772＞

しかしながら、ログ収集の対象となる複数のサーバにおいて、サーバの管理主体が異なるなどの理由で利用者を一意に識別する情報である利用者識別子（以下、ユーザＩＤともいう）の付与規則が異なったり、氏名等の利用者の属性を示す情報の粒度がサーバごとに異なったりする可能性がある。この場合、１箇所に収集したアクセスログから、同一利用者によるアクセスを特定することは困難である。
さらに一般的には、特定の担当者が、収集されたアクセスログを一元的に分析および閲覧することを想定しているので、アクセスログに出力された自分の個人情報にアクセスされた履歴を利用者自身が閲覧することは考慮されていない。また、アクセスログには、ユーザＩＤとして利用者の氏名、ニックネームなどが含まれる可能性があり、このような個人情報を含むアクセスログをネットワークを介して収集する場合に、盗聴などのセキュリティリスクが増大する。

この発明は上記事情に着目してなされたもので、その目的とするところは、ログを一元的かつ安全に収集し、利用者がログを効率よく閲覧することができるログ収集システム、方法及びプログラムを提供することにある。

上記目的を達成するためにこの発明の一つの観点は、利用者による情報へのアクセスに関するログデータを収集する第１装置と、前記ログデータを提供する１以上の第２装置と、識別子を格納する第３装置とを具備するログ収集システムであって、前記第１装置は、利用者を識別するための第１利用者識別子、該第１利用者識別子よりも暗号強度が高い第１一時識別子、および、該第１利用者識別子とは異なる利用者の属性情報をそれぞれ対応付けて格納する第１格納手段と、前記ログデータを前記第２装置へ要求する要求信号を生成する要求手段と、を具備し、前記第２装置は、前記第１利用者識別子と同一の利用者を示す識別子である第２利用者識別子と、該第２利用者識別子よりも暗号強度が高い第２一時識別子とを対応付けて格納する第２格納手段と、前記第１装置からの前記要求信号に応じて、少なくとも前記第２利用者識別子を含む前記ログデータを取得する取得手段と、前記第２格納手段を参照して、前記ログデータに含まれる第２利用者識別子を、対応する第２一時識別子に変換して、該第２一時識別子を含む第１変換ログデータを得る第１変換手段と、を具備し、前記第１装置は、前記第２装置から前記第１変換ログデータを受信する第１受信手段をさらに具備し、前記第３装置は、前記第１装置から前記第１変換ログデータに含まれる前記第２一時識別子を受信する第２受信手段と、前記第１一時識別子と１以上の前記第２一時識別子とを対応付けて格納する第３格納手段と、前記第３格納手段を参照して、前記第１変換ログデータに含まれる第２一時識別子に対応する第１一時識別子を抽出する抽出手段と、を具備し、前記第１装置は、前記第３装置から前記抽出された第１一時識別子を受信する第３受信手段と、前記第１格納手段を参照して、前記第１変換ログデータに含まれる第２一時識別子を、前記抽出された第１一時識別子に対応する属性情報に変換して、第２変換ログデータを得る第２変換手段と、をさらに具備することを特徴とする。

すなわちこの発明によれば、ログを一元的かつ安全に収集し、利用者がログを効率よく閲覧することができる。

本実施形態に係るログ収集システムを示すブロック図。 本実施形態に係るログ収集システムにおけるログ収集処理を示すシーケンス図。 本実施形態に係るログ収集システムの利用例を示すブロック図。 ログ収集サーバの利用者情報格納部に格納されるテーブルの一例を示す図。 （ａ）病院サーバおよび（ｂ）診療所サーバとしての情報提供サーバの利用者情報格納部に格納されるテーブルの一例を示す図。 連携サーバの一時識別子格納部に格納されるテーブルの一例を示す図。 （ａ）病院サーバおよび（ｂ）診療所サーバとしての情報提供サーバにおけるログデータの出力例を示す図。 （ａ）病院サーバおよび（ｂ）診療所サーバとしての情報提供サーバにおける変換ログデータの出力例を示す図。 ログ収集サーバにおけるログ格納部に格納されるテーブルの一例を示す図。

以下、図面を参照しながら本開示の一実施形態に係るログ収集システム、方法及びプログラムについて詳細に説明する。なお、以下の実施形態では、同一の番号を付した部分については同様の動作を行うものとして、重ねての説明を省略する。
本実施形態に係るログ収集システムについて図１のブロック図を参照して説明する。
本実施形態に係るログ収集システム１００は、ログ収集サーバ１０１、情報提供サーバ１１１および連携サーバ１２１を含む。また、ログ収集サーバ１０１、情報提供サーバ１１１、連携サーバ１２１および利用者端末１４１は、ネットワーク１３１を介して接続される。なお、ログ収集サーバ１０１と連携サーバ１２１とをそれぞれ分離した場合を想定しているが、これに限らず、ログ収集サーバ１０１と連携サーバ１２１とが一体となっていてもよい。また、図１の例では、情報提供サーバ１１１は１つであるが、複数存在してもよい。

情報提供サーバ１１１は、自サーバにおけるログを収集し、ログ収集サーバ１０１の要求によりまたは所定期間ごとに、ログデータをログ収集サーバ１０１へ送信する。ログデータは、利用者による情報へのアクセスに関するログであり、本実施形態ではログデータとして、利用者の個人情報を扱う情報システムを利用した際に出力されるログ（以下、アクセスログともいう）を想定するが、これに限らず、秘匿情報や機密情報といったセキュリティ強度を高く設定する必要がある情報を扱うシステムを利用した際のログなどでもよい。
連携サーバ１２１は、ログ収集サーバ１０１および情報提供サーバ１１１のそれぞれの一時識別子を対応付けて格納する。一時識別子は、利用者を一意に識別する利用者識別子よりも暗号強度が高い識別子を示す。
ログ収集サーバ１０１は、１以上の情報提供サーバ１１１から、それぞれログデータを受信し、連携サーバ１２１に格納される一時識別子に基づいて、それぞれのログを対応付けて管理する。

ネットワーク１３１は、ログ収集サーバ１０１、情報提供サーバ１１１および連携サーバ１２１を相互接続するために用いられる回線であり、一般的な有線ネットワークまたは無線ネットワークを用いればよい。
利用者端末１４１は、例えばＰＣ、携帯端末である。利用者は、利用者端末１４１を介してログ収集サーバ１０１で管理されるログデータを参照することにより、自身のアクセスログを閲覧することができる。

以下、ログ収集サーバ１０１、情報提供サーバ１１１および連携サーバ１２１の詳細について説明する。
ログ収集サーバ１０１は、利用者情報格納部１０２、ログ要求部１０３、一時識別子要求部１０４、名称変換部１０５、ログ格納部１０６、ログ削除部１０７およびログ閲覧部１０８を含む。
利用者情報格納部１０２は、ログ収集サーバ１０１での利用者識別子（第１利用者識別子ともいう）、一時識別子（第１一時識別子ともいう）、および属性情報をそれぞれ対応付け、これらの情報を例えばテーブル形式で格納する。第１利用者識別子は、利用者を一意に識別するための番号またはその他の記号であればよい。一時識別子は、例えば、予め第１利用者識別子と対応付けてランダムに生成した番号またはその他の記号でもよいし、第１利用者識別子を暗号化して生成してもよいし、ＳＡＭＬ（Ｓｅｃｕｒｉｔｙ Ａｓｓｅｒｔｉｏｎ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ）における仮名を用いてもよい。属性情報は、第１利用者識別子とは異なり容易に利用者を特定できる情報であり、例えば、氏名、ニックネーム、所属するカテゴリにおける統一的な呼び名が挙げられる。
なお、利用者情報格納部１０２には上述の第１利用者識別子、一時識別子および属性情報が少なくとも対応付けられていればよく、その他の情報を対応づけて格納してもよい。

ログ要求部１０３は、情報提供サーバ１１１にログデータを要求するためのログ要求信号を生成する。ログ要求部１０３は、情報提供サーバ１１１から変換されたログデータ（第１変換ログデータともいう）を受信する。第１変換ログデータは、情報提供サーバ１１１で生成されるログデータであり、詳細な説明は後述する。また、ログ要求部１０３は、変換ログデータに含まれる情報提供サーバ１１１での一時識別子（第２一時識別子ともいう）に対応するログ収集サーバ１０１での一時識別子を取得するための取得要求信号を生成する。ログ要求部１０３はその後、後述の一時識別子要求部１０４から、情報提供サーバ１１１での一時識別子に対応するログ収集サーバ１０１での一時識別子を受け取る。
一時識別子要求部１０４は、ログ要求部１０３から、取得要求信号と変換ログデータに含まれる情報提供サーバ１１１での一時識別子とを受け取る。一時識別子要求部１０４は、ネットワーク１３１を介して連携サーバ１２１へ情報提供サーバ１１１での一時識別子を送信する。また、一時識別子要求部１０４は、連携サーバ１２１から、送信した情報提供サーバ１１１での一時識別子に対応する、ログ収集サーバ１０１での一時識別子を受け取る。

名称変換部１０５は、ログ要求部１０３から変換ログデータと情報提供サーバ１１１での一時識別子に対応するログ収集サーバ１０１での一時識別子とをそれぞれ受け取る。名称変換部１０５は、利用者情報格納部１０２からログ収集サーバ１０１での一時識別子に対応する属性情報を抽出し、変換ログデータに含まれる一時識別子を抽出した属性情報に変換し、変換されたログデータ（第２変換ログデータともいう）を得る。
ログ格納部１０６は、名称変換部１０５から第２変換ログデータを受け取って格納する。

ログ削除部１０７は、ログ格納部１０６に格納されたログデータを削除する。例えば、指定された期間のログデータを削除したり、指定された利用者のログデータを削除する。なお、ログデータの削除が実行されるタイミングは、利用者によって手動で行われてもよいし、予め指定された時間を経過した後または所定の時間間隔で実行されもよい。
ログ閲覧部１０８は、利用者の入力に応じて、ログ格納部１０６に格納されたログデータから部分ログデータを抽出して、部分ログデータを利用者が閲覧可能な形式に変換し、ログデータをネットワーク１３１を介して利用者端末１４１に送信する。なお、図１では、ログ格納部１０６から部分ログデータを抽出し、利用者端末１４１にログデータを送信する例を示すが、ログ閲覧部１０８が名称変換部１０５から直接第２変換ログデータを受け取って部分ログデータを抽出し、リアルタイムに利用者のログデータを表示してもよい。

次に、情報提供サーバ１１１は、利用者情報格納部１１２、ログ取得部１１３および一時識別子変換部１１４を含む。
利用者情報格納部１１２は、情報提供サーバ１１１での利用者識別子（第２利用者識別子ともいう）と一時識別子とを対応付け、これらの情報を例えばテーブル形式で格納する。なお、利用者情報格納部１１２には第２利用者識別子および一時識別子が少なくとも対応付けられていればよく、その他の情報を対応づけて格納してもよい。
ログ取得部１１３は、ログ収集サーバ１０１からログ要求信号を受け取り、ログデータ１１５から未取得のログデータを取得する。
一時識別子変換部１１４は、ログ取得部１１３からログデータを、利用者情報格納部１１２からログデータに含まれる第２利用者識別子に対応する一時識別子をそれぞれ受け取る。一時識別子変換部１１４は、ログデータ中の第２利用者識別子を一時識別子に変換し、変換ログデータを得る。その後、一時識別子変換部１１４は、変換ログデータをネットワーク１３１を介してログ収集サーバ１０１へ返送する。

次に、連携サーバ１２１は、一時識別子格納部１２２と一時識別子抽出部１２３とを含む。
一時識別子格納部１２２は、連携サーバ１２１での利用者識別子と、ログ収集サーバ１０１での一時識別子と、情報提供サーバ１１１での一時識別子とをそれぞれ対応付け、例えばテーブル形式で格納する。一時識別子の対応付けは、例えば、情報提供サーバ１１１で一時識別子に対応付けられた利用者がログ収集サーバ１０１での一時識別子と同一の利用者かどうかをパスワード認証により検証し、同一の利用者であれば、それぞれの一時識別子を対応付けるといった一般的な登録処理を行えばよく、ここでの説明は省略する。
一時識別子抽出部１２３は、ログ収集サーバ１０１から情報提供サーバ１１１での一時識別子を受信し、情報提供サーバ１１１での一時識別子に対応するログ収集サーバ１０１での一時識別子を抽出し、ログ収集サーバ１０１に送信する。

次に、本実施形態に係るログ収集システムにおけるログ収集処理について図２のシーケンス図を参照して説明する。
ステップＳ２０１では、ログ収集サーバ１０１のログ要求部１０３が、情報提供サーバ１１１にログデータを要求する。
ステップＳ２０２では、情報提供サーバ１１１のログ取得部１１３が、ログデータを取得する。
ステップＳ２０３では、情報提供サーバ１１１の一時識別子変換部１１４が、ログデータ中の第２利用者識別子を対応する一時識別子に変換し、変換ログデータを得る。
ステップＳ２０４では、情報提供サーバ１１１がログ収集サーバ１０１に変換ログデータを送信する。

ステップＳ２０５では、ログ収集サーバ１０１が変換ログデータを受信し、ログ収集サーバ１０１の一時識別子要求部１０４が、連携サーバ１２１に、変換ログデータに含まれる情報提供サーバ１１１での一時識別子に対応するログ収集サーバ１０１での一時識別子を要求する。
ステップＳ２０６では、連携サーバ１２１がログ収集サーバ１０１から情報提供サーバ１１１での一時識別子を受け取り、連携サーバ１２１の一時識別子抽出部１２３が、情報提供サーバ１１１での一時識別子に対応するログ収集サーバ１０１での一時識別子を抽出し、ログ収集サーバ１０１にログ収集サーバ１０１での一時識別子を送信する。
ステップＳ２０７では、ログ収集サーバ１０１の名称変換部１０５が、ログ収集サーバ１０１の一時識別子を、対応する属性情報（例えば、利用者の氏名）に変換する。
ステップＳ２０８では、ログ収集サーバ１０１のログ格納部１０６が、属性情報（氏名）に変換された変換ログデータを格納する。以上で本実施形態に係るログ収集処理を終了する。

上述のログ収集処理の後、利用者の入力に応じて、ログ閲覧部１０８が利用者のログデータを抽出し、利用者端末１４１のブラウザなどで表示可能な形式に変換して送信する。氏名に変換されたログデータを表示することにより、同一人物か否かを利用者が容易に判別することができ、ログデータから不正利用などを効率よく検出することができる。また、利用者識別子を一時識別子に変換することで、ログ収集サーバ１０１および情報提供サーバ１１１でのユーザＩＤがネットワーク上で通信されることなく、ユーザＩＤが盗聴されずにセキュリティ強度を高めたログ収集を行なうことができる。

また、定期的にログ収集サーバ１０１のログ削除手段が、ログ格納部１０６に格納されるログデータ全体または一部分を削除してもよい。これにより、利用者端末１４１に表示できない古いログデータを削除してデータ量を減らすことができ、処理速度の低下を抑えることができる。

次に、本実施形態に係るログ収集システムの利用例について図３のブロック図を参照して説明する。本利用例では、患者が病院での検査結果をもとに、かかりつけの診療所で診断を受ける医療サービスを受診した場合を想定する。
図３に示すログ収集システム３００は、ログ収集サーバ１０１、連携サーバ１２１、病院サーバ３０１−１および診療所サーバ３０１−２を含む。ログ収集サーバ１０１および連携サーバ１２１は、図１に示すログ収集サーバ１０１および連携サーバ１２１と同様の動作を行なうので、ここでの詳細な説明は省略する。

病院サーバ３０１−１および診療所サーバ３０１−２は、病院サーバ３０１−１ではログデータが検査データ３０２−１から収集され、診療所サーバ３０１−２ではログデータが診療データ３０２−２から収集される点が異なるが、その他の構成は情報提供サーバ１１１と同様であるため、ここでの説明は省略する。病院サーバ３０１−１には、患者の検査データへのアクセスに関するログがログデータに記録され、診療所サーバ３０１−２には、診療データへのアクセスに関するログがログデータに記録される。

次に、ログ収集サーバ１０１の利用者情報格納部１０２に格納される利用者情報テーブルの一例について図４を参照して説明する。
図４に示す利用者情報テーブルには、ユーザＩＤ（第１利用者識別子）４０１、（第１）一時識別子４０２および氏名４０３がそれぞれ対応付けられて格納される。例えば、ユーザＩＤ４０１「Ａ００１」は、一時識別子４０２として「ａａａ１１１ｂｂｂ」が付与され、氏名４０３は「山田太郎」である。このように、利用者ごとにログ収集サーバ１０１での一時識別子が付与される。

次に、情報提供サーバ１１１の利用者情報格納部１１２に格納される利用者情報テーブルの一例について図５を参照して説明する。図５（ａ）は、情報提供サーバ１１１の一例として病院サーバ３０１−１に格納されるテーブルを示し、図５（ｂ）は、情報提供サーバ１１１の一例として診療所サーバ３０１−２に格納されるテーブルを示す。
図５（ａ）に示す病院サーバ３０１−１の利用者情報テーブルには、ユーザＩＤ（第２利用者識別子）５０１−１、（第２）一時識別子５０２−１、氏名５０３−１がそれぞれ対応付けられて格納される。具体的に、ユーザＩＤ５０１−１「Ｄａａａ」、一時識別子「ｈｓ１１１１」、氏名「Ｙａｍａｄａ」が対応付けられる。
一方、図５（ｂ）に示す診療所サーバ３０１−２の利用者情報テーブルには、ユーザＩＤ（第２利用者識別子）５０１−２と（第２）一時識別子５０２−２とが対応付けられて格納される。具体的に、ユーザＩＤ５０２−２「１０１１」と一時識別子５０２−２「ｃｌ９９９９」とが対応付けられる。

次に、連携サーバ１２１の一時識別子格納部１２２に格納される一時識別子変換テーブルの一例について図６を参照して説明する。
図６に示す一時識別子変換テーブルには、ユーザＩＤ６０１、ログ収集サーバ１０１での一時識別子４０２、情報提供サーバ（病院サーバ）３０１−１での一時識別子５０２−１および情報提供サーバ（診療所サーバ）３０１−２での一時識別子５０２−２がそれぞれ対応付けられて格納される。具体的に、ログ収集サーバ１０１での一時識別子４０２「ａａａ１１１ｂｂｂ」と、情報提供サーバ（病院サーバ）３０１−１での一時識別子５０２−１「ｈｓ１１１１」と、情報提供サーバ（診療所サーバ）３０１−２での一時識別子５０２−２「ｃｌ９９９９」とが対応付いている。

次に、情報提供サーバ１１１において出力されるログデータの一例について図７を参照して説明する。
図７（ａ）は、病院サーバ３０１−１におけるログデータ７００−１の出力例を示し、図７（ｂ）は、診療所サーバ３０１−２におけるログデータ７００−２の出力例を示す。図７（ａ）および図７（ｂ）のそれぞれのログデータ７００は、日時、アクセス者、対象者、対象データ、操作および結果に関するログを１組として出力する。通常のログデータでは、アクセス者および対象者がそれぞれのサーバでのユーザＩＤを用いて記録されている。具体的には、図７（ａ）では、アクセス者として病院サーバ３０１−１のユーザＩＤ５０１−１「Ｄａａａ」が、対象者としてユーザＩＤ５０１−１「Ｄｃｃｃ」が記録される。

次に、情報提供サーバ１１１において出力される変換ログデータの一例について図８を参照して説明する。
図８（ａ）は、病院サーバ３０１−１における変換ログデータ８００−１の出力例を示し、図８（ｂ）は、診療所サーバ３０１−２におけるログデータ８００−２の出力例を示す。図８（ａ）および図８（ｂ）に示すように、ユーザＩＤ５０１−１が対応する一時識別子５０２−１に変換される。具体的には、図５（ａ）に示す利用者情報テーブルを参照すると、ユーザＩＤ５０１−１「Ｄａａａ」が対応する一時識別子５０２−１「ｈｓ１１１１」に変換され、ユーザＩＤ５０１−１「Ｄｃｃｃ」が対応する一時識別子５０２−１「ｋ９９９９」に変換される。

次に、ログ収集サーバ１０１のログ格納部１０６に格納されるログ保管テーブルの一例について図９を参照して説明する。
図９に示すログ保管テーブルには、アクセス日時９０１、アクセス者９０２、対象サーバ９０３、対象利用者９０４、対象データ９０５、操作９０６および結果９０７が、それぞれ対応付けられて格納される。具体的には、例えば、アクセス日時９０１「２０１１／３／１ １０：００」、アクセス者９０２「山田太郎」、対象サーバ９０３「病院」、対象利用者９０４「田中三郎」、対象データ９０５「検査データ」、操作９０６「閲覧」、および結果９０７「成功」が対応付けられる。このように、アクセス者９０２として、ユーザＩＤや一時識別子ではなく、属性情報（ここでは氏名）が格納されることにより、同一人物かどうかを容易にかつ一意に判別できる。
例えば、図５に示すように、同じ病院内でも利用者によって入力する氏名表記が一致しないこともあり、病院と診療所とでは組織体系が異なり、患者や医療従事者のユーザＩＤは異なることが多いと考えられる。本実施形態に係るログ収集システム３００によれば、ログ収集サーバ１０１に格納されている氏名に変換されるので、同一人物であるかどうかが容易かつ一意に判別できる。

また、利用者として患者がログ保管テーブルからログを閲覧する場合には、自身が対象利用者９０４となる部分的なログデータがログ格納部１０６に格納される全ログデータから抽出され、利用者端末１４１を介して表示される。また、医療従事者がログを閲覧する場合には、自身がアクセス者９０２となる部分的なログデータが同様にログ格納部１０６に格納される全ログデータから抽出されて利用者端末１４１を介して表示される。なお、セキュリティの観点から、利用者端末１４１にログデータの閲覧の入力指示をした利用者以外のログデータを表示させないようにすることが望ましい。

上述の利用例では、病院の検査データは当該病院の医療従事者および診療所の医師のみが閲覧し、診療所の診療データは診療所の医師のみが閲覧していることを想定する。つまり、ログ収集サーバ１０１において、医師および医療従事者以外の利用者によるアクセス結果があれば、不正利用があったことを容易にかつ効率的に判定することができる。

以上に示した本実施形態によれば、個人情報を提供する複数の情報提供サーバからログデータを収集する場合に、ユーザＩＤより暗号強度の高い一時識別子を用い、ログデータに含まれる利用者識別子を一時識別子に変換し、さらに利用者の氏名またはニックネームといった属性情報に変換してログデータを収集することにより、サーバごとに利用者識別子や属性情報の粒度が異なった場合でも、一元的にかつ安全にログを収集することができ、利用者がログを容易に閲覧することができる。

要するにこの発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合せにより種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態に亘る構成要素を適宜組み合せてもよい。

１００，３００・・・ログ収集システム、１０１・・・ログ収集サーバ、１０２，１１２・・・利用者情報格納部、１０３・・・ログ要求部、１０４・・・一時識別子要求部、１０５・・・名称変換部、１０６・・・ログ格納部、１０７・・・ログ削除部、１０８・・・ログ閲覧部、１１１・・・情報提供サーバ、１１３・・・ログ取得部、１１４・・・一時識別子変換部、１１５・・・ログデータ、１２１・・・連携サーバ、１２２・・・一時識別子格納部、１２３・・・一時識別子抽出部、１３１・・・ネットワーク、１４１・・・利用者端末、３０１・・・病院サーバ
３０１−２・・・診療所サーバ、３０２−１・・・検査データ、３０２−２・・・診療データ、４０１，５０１−１，５０１−２，６０１・・・ユーザＩＤ、４０２・・・一時識別子、４０３・・・氏名、５０２−１，５０２−２・・・一時識別子、５０３−１・・・氏名、７００−１，７００−２・・・ログデータ，８００−１，８００−２・・・変換ログデータ、９０１・・・アクセス日時、９０２・・・アクセス者、９０３・・・対象サーバ、９０４・・・対象利用者、９０５・・・対象データ、９０６・・・操作、９０７・・・結果。

Claims (6)

1. 利用者による情報へのアクセスに関するログデータを収集する第１装置と、前記ログデータを提供する１以上の第２装置と、識別子を格納する第３装置とを具備するログ収集システムであって、
   前記第１装置は、
   利用者を識別するための第１利用者識別子、該第１利用者識別子よりも暗号強度が高い第１一時識別子、および、該第１利用者識別子とは異なる利用者の属性情報をそれぞれ対応付けて格納する第１格納手段と、
   前記ログデータを前記第２装置へ要求する要求信号を生成する要求手段と、を具備し、
   前記第２装置は、
   前記第１利用者識別子と同一の利用者を示す識別子である第２利用者識別子と、該第２利用者識別子よりも暗号強度が高い第２一時識別子とを対応付けて格納する第２格納手段と、
   前記第１装置からの前記要求信号に応じて、少なくとも前記第２利用者識別子を含む前記ログデータを取得する取得手段と、
   前記第２格納手段を参照して、前記ログデータに含まれる第２利用者識別子を、対応する第２一時識別子に変換して、該第２一時識別子を含む第１変換ログデータを得る第１変換手段と、を具備し、
   前記第１装置は、
   前記第２装置から前記第１変換ログデータを受信する第１受信手段をさらに具備し、
   前記第３装置は、
   前記第１装置から前記第１変換ログデータに含まれる前記第２一時識別子を受信する第２受信手段と、
   前記第１一時識別子と１以上の前記第２一時識別子とを対応付けて格納する第３格納手段と、
   前記第３格納手段を参照して、前記第１変換ログデータに含まれる第２一時識別子に対応する第１一時識別子を抽出する抽出手段と、を具備し、
   前記第１装置は、
   前記第３装置から前記抽出された第１一時識別子を受信する第３受信手段と、
   前記第１格納手段を参照して、前記第１変換ログデータに含まれる第２一時識別子を、前記抽出された第１一時識別子に対応する属性情報に変換して、第２変換ログデータを得る第２変換手段と、をさらに具備することを特徴とするログ収集システム。
2. 前記第１装置は、入力された利用者識別子が含まれる部分ログデータを前記第２変換ログデータから抽出し、閲覧可能な形式に変換して提示する閲覧手段をさらに具備することを特徴とする請求項１に記載のログ収集システム。
3. 前記第１装置は、前記第２変換ログデータを格納する第４格納手段をさらに具備することを特徴とする請求項１または請求項２に記載のログ収集システム。
4. 前記第１装置は、利用者からの入力により、または一定期間経過後に、前記第２変換ログデータの少なくとも一部分を削除する削除手段をさらに具備することを特徴とする請求項１から請求項３のいずれか１項に記載のログ収集システム。
5. 利用者を識別するための第１利用者識別子、該第１利用者識別子よりも暗号強度が高い第１一時識別子、および、該第１利用者識別子とは異なる利用者の属性情報をそれぞれ対応付けて第１格納手段に格納し、
   前記利用者による情報へのアクセスに関するログデータを要求する要求信号を生成し、
   前記第１利用者識別子と同一の利用者を示す識別子である第２利用者識別子と、該第２利用者識別子よりも暗号強度が高い第２一時識別子とを対応付けて第２格納手段に格納し、
   前記要求信号に応じて、少なくとも前記第２利用者識別子を含む前記ログデータを取得し、
   前記第２格納手段を参照して、前記ログデータに含まれる第２利用者識別子を、対応する第２一時識別子に変換して、該第２一時識別子を含む第１変換ログデータを得、
   前記第１変換ログデータを受信し、
   前記第１変換ログデータに含まれる前記第２一時識別子を受信し、
   前記第１一時識別子と１以上の前記第２一時識別子とを対応付けて第３格納手段に格納し、
   前記第３格納手段を参照して、前記第１変換ログデータに含まれる第２一時識別子に対応する第１一時識別子を抽出し、
   前記抽出された第１一時識別子を受信し、
   前記第１格納手段を参照して、前記第１変換ログデータに含まれる第２一時識別子を、前記抽出された第１一時識別子に対応する属性情報に変換して、第２変換ログデータを得ることを具備することを特徴とするログ収集方法。
6. コンピュータを、請求項１に記載のログ収集システムの各手段として実行させるためのプログラム。

Images