JP2017157023A - 情報処理装置、及び、情報処理システム - Google Patents

Abstract

【課題】未知である個人情報を電子情報中から検知可能とする情報処理装置及び情報処理システムを提供する。【解決手段】情報処理装置１は、記憶部１５と、取得部１１１と、文字列抽出部１１３と、判定部１１５と、通知部１１７と、を備える。記憶部１５は、特定フォーマット情報ＦＩを記憶する。取得部１１１は、個人情報が含まれているか否かを判定する対象である対象データＤを取得する。文字列抽出部１１３は、対象データＤから文字列を抽出する。判定部１１５は、抽出された文字列に含まれる複数の文字及び／又は記号の配置と一致する文字及び／又は記号の配置に関する情報を、特定フォーマット情報ＦＩが含んでいれば、当該対象データＤには個人情報が存在すると判定する。通知部１１７は、判定部１１５で判定された結果を通知する。【選択図】図２

Description

本発明は、電子情報中に含まれる個人情報を検出する情報処理装置、及び、当該情報処理装置により構成される情報処理システムに関する。

従来、パーソナルコンピュータなどにて入力された電子情報に個人情報が含まれているか否かを判定するコンピュータシステムが知られている。例えば、特許文献１には、文字列データに含まれる個人情報文字列を他の文字列に置き換える（マスキングする）、文字列変換装置が開示されている。
当該装置は、過去に閲覧された個人情報の項目を表す重点マスク情報が存在していれば、当該重点マスク情報に基づくあいまい検索を実行することで、電子情報に含まれる個人情報文字列を検出する。その一方、当該装置は、重点マスク情報が存在していなければ、個人情報辞書に記憶された個人情報文字列に基づいて、電子情報に含まれる個人情報文字列を検出する。

特開２０１３−１０５２７４号公報

上記のように、特許文献１の装置では、過去に閲覧されたことがある情報、又は、既知の個人情報を用いて、電子情報に含まれる個人情報文字列を検出している。従って、当該装置では、電子情報がこれまで閲覧されたことがない個人情報や未知の個人情報を含んでいる場合には、これらの個人情報を電子情報から検出できない。

本発明の目的は、電子情報に含まれる個人情報を検出する情報処理装置において、未知である個人情報を電子情報から検知可能とすることにある。

以下に、課題を解決するための手段として複数の態様を説明する。これら態様は、必要に応じて任意に組み合せることができる。
本発明の一見地に係る情報処理装置は、記憶部と、取得部と、文字列抽出部と、判定部と、通知部と、を備える。
記憶部は、特定フォーマット情報を記憶する。特定フォーマット情報は、特定の文字列にて示される個人情報における、当該特定の文字列中の文字及び／又は記号の配置に関する情報を含む。
取得部は、個人情報が含まれているか否かを判定する対象である対象データを取得する。
文字列抽出部は、対象データから文字列を抽出する。
判定部は、抽出された文字列に含まれる文字及び／又は記号の配置と一致する文字及び／又は記号の配置に関する情報を、特定フォーマット情報が含んでいれば、当該対象データには個人情報が存在すると判定する。
通知部は、判定部で判定された結果を通知する。

上記の情報処理装置においては、まず、文字列抽出部が、取得部にて取得された対象データから、文字列を抽出する。次に、判定部が、抽出された文字列に含まれる文字及び／又は記号の配置と、特定フォーマット情報に含まれる文字及び／又は記号の配置に関する情報とを比較する。当該比較の結果、抽出された文字列に含まれる文字及び／又は記号の配置と、特定フォーマット情報に含まれる文字及び／又は記号の配置とが一致すれば、判定部は、対象データ中には、特定の文字列にて示される個人情報が存在すると判定する。その後、通知部は、判定部における判定結果（対象データに個人情報が含まれるか否か）を通知する。

上記の情報処理装置では、既知の個人情報の文字列と完全一致する文字列が対象データに含まれているか否かではなく、対象データに含まれる文字列中の文字及び／又は記号の配置が、個人情報が有する特有の文字及び／又は記号の配置と一致するか否かにより、対象データに個人情報が含まれているか否かを判定している。
これにより、これまで検出された既知の個人情報だけでなく、今まで検出されたことがない未知の個人情報についても、対象データに存在するか否かを判定できる。

判定部は、対象データから抽出された文字列に含まれる文字及び／又は記号の配置と一致する、文字及び／又は記号の配置を有する個人情報を特定し、当該特定した個人情報を記憶部に記憶してもよい。これにより、これまでに特定できた個人情報を記憶部に記憶できる。

対象データが画像データを含んでいれば、文字列抽出部は、画像認識により当該画像データから文字列を抽出してもよい。これにより、文字列抽出部は、画像中に含まれる文字列を抽出できる。その結果、判定部は、画像中に個人情報が含まれているか否かを判定できる。

文字列抽出部は、自然言語処理により対象データから文字列を抽出してもよい。これにより、意味のある適切な文字列を、対象データから効率的に抽出できる。

本発明の他の見地に係る情報処理システムは、上記の情報処理装置と、通信端末と、を備える。通信端末は、対象データを情報処理装置に送信する送信部と、情報処理装置からの通知を受信する受信部と、を有する。情報処理システムでは、通信端末の通信部が、当該通信端末が有する対象データを情報処理装置に送信している。また、受信部が情報処理装置からの通知を受信している。
これにより、情報処理システムの情報処理装置は、通信端末が保有する対象データに対して個人情報が含まれているか否かを判定できる。また、通信端末は、自身が保有していた対象データに個人情報が含まれているか否かの判定結果を、情報処理装置から受信できる。

本発明に係る情報処理装置及び情報処理システムでは、既知の個人情報だけでなく、未知の個人情報も含めて対象データに存在するか否かを判定できる。

情報処理システムの構成を示す図。 情報処理装置の構成を示す図。 特定フォーマット情報の一例を示す図。 通信端末の構成の一例を示す図。 情報処理システムの動作を示すフローチャート。 情報処理装置の設定画面の一例を示す図。 個人情報の検出方法を示すフローチャート。 対象データに含まれるテキストデータの一例を示す図。 テキストデータから形態素を抽出した一例を示す図。

１．第１実施形態
（１）情報処理システムの構成
以下、第１実施形態に係る情報処理システム１００の構成について、図１を用いて説明する。図１は、情報処理システムの構成を示す図である。
情報処理システム１００は、情報処理装置１を備える。情報処理装置１は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、記憶装置（ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ハードディスク装置、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）など）、各種インターフェース、などにて構成されるサーバーである。
情報処理装置１は、通信端末３−１〜３−ｎ（後述）において作成された、例えば、文書ファイルや画像ファイルなどの電子ファイルを保存するためのファイルサーバーである。また、情報処理装置１は、通信端末３−１〜３−ｎから送信されて、情報処理装置１に記憶された文書ファイルや画像ファイルに、個人情報が含まれているか否かを判定する。

情報処理装置１に記憶されている個人情報が含まれている場合には、情報処理装置１は、当該個人情報を含むファイルを送信してきた通信端末３−１〜３−ｎに対して、送付されたファイルに個人情報が含まれていることを通知する。情報処理装置１の構成については、後ほど詳しく説明する。

情報処理システム１００は、通信端末３−１〜３−ｎを備える。通信端末３−１〜３−ｎは、それぞれ、例えば、ＣＰＵ、記憶装置（ＲＡＭ、ＲＯＭ、ハードディスク装置、ＳＳＤ）、各種インターフェースなどにて構成されるパーソナルコンピュータ（ＰＣ）などの汎用コンピュータである、また、通信端末３−１〜３−ｎは、スマートフォンなどの情報通信機器であってもよい。

通信端末３−１〜３−ｎは、ネットワークＮＷを介して上記の情報処理装置１と接続されている。通信端末３−１〜３−ｎは、所定の時間毎、ユーザによる指令、又は、情報処理装置１からの要求により、保存されている文書ファイルや画像ファイル、又は、外部装置（例えば、デジタルカメラなど）から通信端末３−１〜３−ｎに入力された画像ファイルなどを、情報処理装置１に送信する。

また、通信端末３−１〜３−ｎは、情報処理装置１に保存した電子ファイルに個人情報が含まれていることの通知を、情報処理装置１から受信する。これにより、通信端末３−１〜３−ｎは、作成した電子ファイルに個人情報が含まれているか否かを知ることができる。そして、必要に応じて、ユーザは、個人情報を電子ファイルから削除するなどの対策を講じることができる。なお、通信端末３−１〜３−ｎの構成については、後ほど詳しく説明する。

上記の構成を有することにより、情報処理システム１００では、複数の通信端末３−１〜３−ｎにて生成又は取得された電子ファイルを、情報処理装置１が一括して管理できる。

（２）情報処理装置の構成
次に、情報処理システム１００に備わる情報処理装置１の構成について、図２を用いて説明する。図２は、情報処理装置の構成を示す図である。以下に示す情報処理装置１の各構成要素の機能の一部又は全部は、情報処理装置１を構成するサーバーにおいて実行可能なプログラムとして実現されていてもよい。また、当該プログラムは、情報処理装置１の記憶装置に記憶されていてもよい。
情報処理装置１は、サーバー制御部１１を有する。サーバー制御部１１は、情報処理装置１に対して、本実施形態におけるファイルサーバーとしての機能を実現する。

具体的には、サーバー制御部１１は、取得部１１１を有する。取得部１１１は、通信端末３−１〜３−ｎから、ネットワーク・インターフェース１３（後述）を介して、個人情報が含まれているか否かを判定する対象である対象データＤを取得し、記憶部１５（後述）に記憶する。
取得部１１１は、所定の時間毎に、通信端末３−１〜３−ｎに対して対象データＤ（文書ファイルなど）を送信するよう指令して、通信端末３−１〜３−ｎから対象データＤを受信してもよい。または、取得部１１１は、上記の指令などをすることなく、通信端末３−１〜３−ｎから対象データＤを受信し、当該対象データＤを記憶部１５に記憶してもよい。

サーバー制御部１１は、文字列抽出部１１３を有する。文字列抽出部１１３は、記憶部１５に記憶された対象データＤから、文字列を抽出する。本実施形態において、文字列抽出部１１３は、対象データＤとして、テキストデータを含む文書ファイル、又は、バイナリデータにて構成される画像データを含む画像ファイルから、当該文書ファイルや画像ファイルに含まれる文字列を抽出する。
対象データＤが画像データである場合には、文字列抽出部１１３は、光学文字認識（Ｏｐｔｉｃａｌ Ｃｈａｒａｃｔｅｒ Ｒｅｃｏｇｎｉｔｉｏｎ、ＯＣＲ）などの画像認識により、画像データに含まれる文字列を抽出する。これにより、情報処理装置１は、画像中に含まれる個人情報の有無についても判定できる。

文字列抽出部１１３は、対象データＤから抽出された文字列により構成される文章を、単語や助詞などの単位毎に分節することにより、当該文章から何らかの意味を持つ文字列を抽出する。本実施形態において、文字列抽出部１１３は、「形態素解析」などの自然言語処理を実行することにより、対象データＤから意味のある文字列を抽出している。これにより、文字列抽出部１１３は、対象データＤから、個人情報の有無に最適な意味のある適切な文字列を抽出できる。

サーバー制御部１１は、判定部１１５を有する。判定部１１５は、対象データＤに個人情報が含まれているか否かを判定する。判定部１１５は、対象データＤから抽出された意味のある文字列に含まれる文字及び／又は記号の配置と一致する文字及び／又は記号の配置に関する情報を、特定フォーマット情報ＦＩ（後述）が含んでいれば、個人情報の有無を判定している対象データＤに、個人情報が存在すると判定する。
判定部１１５において実行される、対象データＤに個人情報が含まれるか否かの判定処理については、後ほど詳しく説明する。

判定部１１５は、対象データＤに個人情報が含まれていると判定した場合、当該個人情報を特定し、特定した具体的な個人情報を個人情報検出ログＬ（後述）に記憶する。これにより、これまでに特定できた個人情報を記憶部１５に記憶できる。

サーバー制御部１１は、通知部１１７を有する。通知部１１７は、判定部１１５で判定された結果を通知する。具体的には、例えば、判定部１１５において対象データＤに個人情報が含まれると判定された場合に、通知部１１７は、当該対象データＤを送信した通信端末に対して、「送信した対象データ（のファイル名など）には個人情報が含まれています」とのメッセージを送信する。これにより、個人情報を含んだ対象データＤを送信した通信端末のユーザは、送信した対象データＤに個人情報が含まれていたことを視覚的に認識できる。
その他、通知部１１７は、通信端末において音を鳴らす、及び／又は、通信端末の画面に表示されているアイコン（通信端末から対象データＤを送信するためのソフトウェアのアイコン）の表示状態を変化させることによっても、対象データＤに個人情報が含まれることを、通信端末に３−１〜３−ｎに通知できる。

上記の構成を有することにより、サーバー制御部１１は、対象データＤを記憶部１５に記憶するファイルサーバーとしての機能だけでなく、対象データＤに個人情報が含まれているか否かの判定を行う機能も実現できる。

情報処理装置１は、ネットワーク・インターフェース１３を有する。ネットワーク・インターフェース１３は、特定の通信プロトコル（例えば、ＴＣＰ／ＩＰプロトコルなど）を用いて、ネットワークＮＷを介して通信端末３−１〜３−ｎと通信するインターフェースである。ネットワーク・インターフェース１３は、例えば、Ｅｔｈｅｒｎｅｔ（登録商標）カードである。

情報処理装置１は、記憶部１５を有する。記憶部１５は、情報処理装置１を構成するサーバーの記憶装置の記憶領域の一部又は全部である。記憶部１５は、情報処理装置１にて用いる各種データを記憶する。
具体的には、記憶部１５は、通信端末３−１〜３−ｎから送信されてきた対象データＤを記憶する。これにより、情報処理装置１は、ファイルサーバーとして機能できる。
記憶部１５は、個人情報検出ログＬを記憶する。個人情報検出ログＬには、判定部１１５にて検出され特定された個人情報が記憶される。

具体的には、個人情報検出ログＬは、例えば、特定した具体的な個人情報と、当該個人情報を特定した時刻、当該個人情報が含まれていた対象データＤと、当該対象データＤを送信した通信端末を識別する情報（例えば、コンピュータ名、ＩＰアドレスなど）と、を記憶する。これにより、情報処理装置１は、例えば、どの通信端末において個人情報を含む対象データＤが生成されているかなどを知ることができる。

その他、個人情報検出ログＬは、本来個人情報として検出されるべきであったが、判定部１１５において検出されなかった個人情報についての情報（当該個人情報のフォーマット、当該フォーマットに配置された具体的な文字など）を記憶してもよい。
例えば、情報処理装置１の管理者が、記憶部１５に記憶されている対象データＤの内容と、個人情報検出ログＬの内容とを比較することで、対象データＤに含まれる個人情報のうち、個人情報検出ログＬに記憶されていない個人情報を、判定部１１５にて判定できなかった個人情報と判定できる。

記憶部１５は、特定フォーマット情報ＦＩを記憶する。特定フォーマット情報ＦＩは、図３に示すように、特定の文字列にて示される個人情報における、当該特定の文字列中の文字及び／又は記号の配置に関する情報を含む情報である。図３は、特定フォーマット情報の一例を示す図である。
図３に示す特定フォーマット情報においては、例えば、それぞれが特定の文字列として記憶されている「姓」と「名」とにより構成されている文字列（「姓」と「名」との間には「スペース」が挿入されていてもよい）を、個人情報である「氏名」を表す文字列と定義している。
一方、個人情報である「会社名」については、実在する会社名を表す文字列と定義する。その他、会社名に「新聞」、「ホールディングス」などの末尾語を含む文字列や、会社名の前後に「株式会社」、「有限会社」、「銀行」、「合同会社」の文字列を有する文字列も、「会社名」を表すものと定義している。

その他の個人情報を示す特定の文字列についても、上記と同様にして、図３に示すように特定フォーマット情報ＦＩにて定義されている。なお、図３には示していないが、特定フォーマット情報ＦＩは、マイナンバーのフォーマットに関する情報、クレジットカード番号のフォーマットに関する情報、及び／又は銀行口座のフォーマットに関する情報も含んでいてもよい。

図３に示すように、特定フォーマット情報ＦＩにおいては、氏名、会社名、住所などは、具体的な文字列で定義されている。なぜなら、氏名、会社名、住所といった情報は、よく知られた特定の文字列の組み合わせとして表されることが多いからである（例えば、氏名ならば「姓」と「名」との組み合わせ、会社名なら「株式会社」などと「会社名」との組み合わせ、住所なら「県名」と「市名」と「町名」との組み合わせにて表される）。

一方、特定フォーマット情報ＦＩは、英数字や記号で表される情報については、それらの情報が有する特定のフォーマットを定義している。なぜなら、英数字や記号の組み合わせはほぼ無限に考えられる一方、英数字や記号で表される個人情報のフォーマット（文字及び／又は記号の配置）は、予め決められた特定のものだからである。例えば、郵便番号（日本）なら、「３桁の数字」＋「−（又はスペース）」＋「４桁の数字」とのフォーマットを有する。
このように、特に英数字と記号にて表される情報をフォーマットとして定義することにより、完全一致する個人情報が予め分かっていない場合でも、フォーマットが分かっている情報（ほとんどの情報はこれに当てはまる）を適切に個人情報として抽出できる。

上記の構成を有することにより、情報処理装置１は、対象データＤを記憶するファイルサーバーとしての機能のみでなく、対象データＤに個人情報か含まれているか否かの判定をして判定結果を通知する機能も備えることができる。

なお、情報処理装置１は、図３には図示されていないが、ＨＴＴＰ（ＨｙｐｅｒＴｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）サーバー機能を有している。これにより、情報処理装置１の管理者は、外部の端末（例えば、通信端末３−１〜３−ｎ）を用いて、情報処理装置１の各種設定を行える。

（３）通信端末の構成
次に、情報処理システム１００に備わる通信端末３−１〜３−ｎの構成について説明する。以下においては、汎用コンピュータである通信端末３−１の構成について、図４を用いて説明する。なぜなら、他の通信端末３−２〜３−ｎも、基本的には、通信端末３−１と同様の構成を示すからである。図４は、通信端末の構成の一例を示す図である。
以下に説明する通信端末３−１の各構成要素の機能の一部又は全部は、情報処理装置１と通信を行うソフトウェア（あるいは、アプリケーション）にて実現されていてもよい。また、当該プログラムは、通信端末３−１の記憶装置に記憶されていてもよい。

通信端末３−１は、端末制御部３１を有する。端末制御部３１は、情報処理システム１００において、情報処理装置１と所定の通信を行う。
具体的には、端末制御部３１は、送信部３１１を有する。送信部３１１は、ネットワーク・インターフェース３５（後述）を介して、所定の時間毎、入力装置３７１（後述）を介したユーザによる指令、及び／又は、情報処理装置１からの要求にて、記憶部３３（後述）に記憶されている対象データＤを、情報処理装置１へ送信する。
なお、送信部３１１は、記憶部３３に記憶されているデータのうち、テキストデータを含む文書ファイル、及び、画像データを含む画像ファイルを、対象データＤとして自ら選択して送信する。なお、文書ファイルや画像ファイルは、例えば、特定のフォルダ内に格納されているファイル、あるいは、ファイルの拡張子を指定することにより、選択できる。

または、送信部３１１は、記憶部３３に記憶されているデータを、全て送信してもよい。つまり、実行ファイルなどの個人情報が含まれている可能性がないファイルも含めて送信されてもよい。全てのファイルを送信した場合には、情報処理装置１の取得部１１１が、送信されたファイルの中から対象データＤを選択して、情報処理装置１の記憶部１５に記憶してもよい。

端末制御部３１は、受信部３１３を有する。受信部３１３は、ネットワーク・インターフェース３５（後述）を介して、対象データＤに個人情報が含まれていたか否かの検出結果を、情報処理装置１から受信する。

通信端末３−１は、記憶部３３を有する。記憶部３３は、通信端末３−１を構成する汎用コンピュータの記憶装置の記憶領域の一部又は全部である。記憶部３３は、通信端末３−１にて作成された文書ファイル、及び／又は、外部装置から取得した画像ファイルなどを対象データＤとして記憶する。また、記憶部３３は、その他、端末制御部３１にて用いる各種パラメータを記憶してもよい。

通信端末３−１は、ネットワーク・インターフェース３５を有する。ネットワーク・インターフェース３５は、特定の通信プロトコル（例えば、ＴＣＰ／ＩＰプロトコルなど）を用いて、ネットワークＮＷを介して情報処理装置１と通信するインターフェースである。ネットワーク・インターフェース３５は、例えば、Ｅｔｈｅｒｎｅｔ（登録商標）カードである。

通信端末３−１は、入出力インターフェース３７を有する。入出力インターフェース３７は、通信端末３−１と外部装置との間のデータの送受信を制御する。入出力インターフェース３７には、例えば、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）ポートなどを介して、キーボードやマウスなどにて構成される入力装置３７１が接続されている。入力装置３７１は、ユーザによる指令を通信端末３−１に入力するための装置である。
デジタルカメラなどの画像データを含む画像ファイルを生成した外部装置を、入力装置３７１として、入出力インターフェース３７に接続してもよい。これにより、当該デジタルカメラにて生成された画像ファイルに個人情報が含まれているか否かを確認できる。

また、入出力インターフェース３７には、例えば、映像入力インターフェースなどを介して、液晶ディスプレイなどのディスプレイ３７３が接続されている。ディスプレイ３７３は、情報処理装置１から個人情報の検出結果が通信端末３−１に送信されてきた場合に、当該検出結果を表示する。

上記の構成を有することにより、通信端末３−１〜３−ｎは、ユーザにより作成された文書ファイル、又は、外部装置（例えば、デジタルカメラなど）から入力された画像ファイルなどを、対象データＤとして情報処理装置１に送信できる。また、通信端末３−１〜３−ｎのユーザは、記憶部３３に記憶されていた、又は、外部装置から入力した対象データＤに、個人情報が含まれているか否かを視覚的に知ることができる。

（４）情報処理システムの動作
以下、本実施形態に係る情報処理システム１００の動作について、図５を用いて説明する。図５は、情報処理システムの動作を示すフローチャートである。
情報処理システム１００においては、まず、情報処理装置１にて対象データＤの個人情報の抽出を行う際の条件を設定する（ステップＳ１）。具体的には、例えば、情報処理装置１の管理者が、通信端末３−１〜３−ｎのいずれかを用いて、例えばＷｅｂブラウザにて、ＨＴＴＰサーバー機能を有する情報処理装置１にアクセスする。

通信端末３−１〜３−ｎのいずれかのＷｅｂブラウザにて情報処理装置１にアクセスすると、例えば、図６に示すような設定画面表示が、Ｗｅｂブラウザ上になされる。図６は、情報処理装置の設定画面の一例を示す図である。
当該設定画面において、例えば、各個人情報に対応するチェックボックスに「チェック」を入力することにより、検出する対象としたい個人情報を選択できる。図６に示す例では、「氏名」、「会社名」、「住所」が、検出したい個人情報として選択されている。
また、図６に示す設定画面において、「フリーワード」に対応するチェックボックスに「チェック」を入力した上で、当該「フリーワード」の下のテキスト入力領域にテキストを入力することにより（図６の例では、「極秘」と入力されている）、特定フォーマット情報ＦＩに予め記憶されていない個人情報なども、検出することができる。

図６に示すような設定画面にて検出する個人情報を設定後、例えば、当該設定画面の「保存」と記載されたボタンを押すことにより、当該設定画面上の設定が情報処理装置１にＷｅｂブラウザを介して送信され、情報処理装置１において当該送信された設定が反映される。

検出したい個人情報を設定後、通信端末３−１〜３−ｎの送信部３１１が、所定の時間毎、ユーザによる指令、又は情報処理装置１からの要求により、記憶部３３に記憶されている対象データＤを送信する。
具体的には、送信部３１１は、記憶部３３に記憶されているデータ（ファイル）のうち、対象データＤとして送信するデータ（ファイル）を検索し抽出する（ステップＳ２）。例えば、送信部３１１は、記憶部３３に記憶されている各ファイルの拡張子を参照し、文書ファイル（例えば、「ｄｏｃ」、「ｐｐｔ」、「ｘｌｓ」などを拡張子として有するファイル）、又は、画像ファイル（例えば、「ｂｍｐ」、「ｊｐｇ」などを拡張子として有するファイル）を、対象データＤとして抽出する。一方、記憶部３３に記憶されているデータを全て情報処理装置１に送信するとした場合には、送信部３１１は、全てのデータを情報処理装置１へ送信する。
なお、通信端末側において、どの拡張子を有するファイルを対象データＤとして送信するかを設定可能となっていてもよい。

その後、送信部３１１は、上記のステップＳ２にて抽出した対象データＤを、情報処理装置１へ送信する（ステップＳ３）。
対象データＤが情報処理装置１に送信され、当該対象データＤが記憶部１５に記憶されると、情報処理装置１のサーバー制御部１１が、当該対象データＤに個人情報が含まれているか否かを判定（個人情報を検出）する（ステップＳ４）。ステップＳ４における、個人情報が含まれているか否かの判定方法（個人情報の検出方法）については、後ほど詳しく説明する。

ステップＳ４において、対象データＤに個人情報が含まれていると判定された場合（ステップＳ５において「Ｙｅｓ」の場合）、情報処理装置１の通知部１１７は、個人情報が含まれている対象データＤを送信してきた通信端末の受信部３１３に、個人情報が検出された旨の検出結果を送信する（ステップＳ６）。
具体的には、例えば、まず、通知部１１７が、個人情報検出ログＬを参照して、個人情報を含む対象データＤを送信した通信端末のコンピュータ名やＩＰアドレスなどを特定する。次に、通知部１１７は、当該特定された通信端末に、対象データＤのファイル名と、（必要に応じて）当該対象データＤに含まれていた個人情報に関する情報と、を個人情報が検出された旨の検出結果として送信する。

個人情報が検出された旨の検出結果を受信した通信端末の受信部３１３は、入出力インターフェース３７を介して、ディスプレイ３７３に対して、例えば、「対象ファイル名「○○」に個人情報（△△）が含まれています」とのメッセージを表示するよう指令する（ステップＳ７）。当該メッセージを見た通信端末のユーザは、例えば、当該対象データＤからの個人情報の削除などを実行できる。

一方、対象データＤに個人情報が含まれていないと判定された場合（ステップＳ５において「Ｎｏ」の場合）、通知部１１７は、個人情報が含まれていない旨を送信しない。なぜなら、通信端末のユーザは、個人情報が検出された旨の検出結果を認識できれば、個人情報が含まれる対象データＤに対して何らかの対策を実行できるからである。
しかし、これに限られず、通信端末のユーザや情報処理装置１の管理者による設定により、通知部１１７は、個人情報が検出されなかった旨を通信端末に通信可能となっていてもよい。

その後、情報処理装置１のサーバー制御部１１は、例えば、情報処理装置１の管理者によるファイルサーバー機能及び個人情報検出機能の停止がなされない限り（ステップＳ８において「Ｎｏ」の場合）、上記の対象データＤの受信と、個人情報の検出と、（必要に応じて、個人情報の検出条件の設定）を継続する。
一方、ファイルサーバー機能及び個人情報検出機能の停止がなされた場合（ステップＳ８において「Ｙｅｓ」の場合）、ファイルサーバー機能及び個人情報検出機能は停止する。

一方、通信端末３−１〜３−ｎは、その後、通信端末のユーザにより、情報処理装置１との通信を行うプログラム（アプリケーション）の実行停止を指令されない限り（ステップＳ９において「Ｎｏ」の場合）、所定の条件に従って、対象データＤの情報処理装置１への送信を継続する。
一方、情報処理装置１との通信を行うプログラム（アプリケーション）の実行停止の指令がなされた場合（ステップＳ９において「Ｙｅｓ」の場合）、対象データＤの情報処理装置１への送信を停止する。

上記のステップＳ１〜Ｓ９が実行されることにより、情報処理システム１００は、情報処理装置１の管理者、又は、通信端末３−１〜３−ｎのユーザにより、情報処理システム１００の停止が実行されない限り、通信端末３−１〜３−ｎの記憶部３３に記憶されている対象データＤの情報処理装置１への送信と、情報処理装置１における対象データＤに個人情報が含まれているか否かの判定処理と、必要に応じて検出結果の通知処理と、を継続的に実行できる。

（５）個人情報の検出処理
次に、上記のステップＳ４にて情報処理装置１が実行する、対象データＤに個人情報が含まれるか否かの判定（個人情報の検出）処理について、図７を用いて説明する。図７は、個人情報の検出方法を示すフローチャートである。
対象データＤが通信端末３−１〜３−ｎから送付されてくると、情報処理装置１の取得部１１１が、送付されてきた対象データＤを取得し、記憶部１５に記憶する（ステップＳ４０１）。

なお、通信端末３−１〜３−ｎの記憶部３３に記憶されている全てのファイルが送信されてくる場合、取得部１１１は、例えば、送付されてきたファイルの拡張子を識別して、対象データＤとして情報処理装置１の記憶部１５に記憶するデータを選択してもよい。または、取得部１１１は、送付されてきた全てのファイルを無条件に記憶部１５に記憶してもよい。

通信端末３−１〜３−ｎからの対象データＤ（全てのファイル）を取得し、記憶部１５に記憶した後、サーバー制御部１１は、当該対象データＤに個人情報が含まれているか否かの判定を実行する。
まず、サーバー制御部１１の文字列抽出部１１３が、記憶部１５に記憶されている（典型的には複数の）対象データＤ（ファイル）から、個人情報が含まれているか否かの判定を実行する１つの対象データＤを選択する。その後、文字列抽出部１１３は、文字列の抽出を行う前に、当該選択した１つの対象データＤがそもそも個人情報を含む可能性があるか否かを判定する（ステップＳ４０２）。
例えば、文字列抽出部１１３は、選択した１つの対象データＤが、通信端末３−１〜３−ｎにて実行される実行ファイル、又は、当該実行ファイルを実行するために必要な補助的なファイルであれば、選択した対象データＤは個人情報をそもそも含まないと判定する。

例えば、選択した対象データＤの拡張子が、「ｅｘｅ」（実行ファイルを表す拡張子）であるか、または、「ｄｌｌ」（補助的なファイルを表す拡張子）などの個人情報を含まないファイルの拡張子である場合（ステップＳ４０２において「Ｙｅｓ」の場合）、文字列抽出部１１３は、選択した対象データＤは個人情報を含まないと判定して、個人情報の検出処理を終了する。
なお、送信部３１１及び／又は取得部１１１が、文書ファイルや画像ファイルを対象データＤとして選択している場合には、上記のステップＳ４０２は特に必要ない。

一方、例えば、選択した対象データＤの拡張子が、「ｄｏｃ」、「ｐｐｔ」、「ｘｌｓ」などの文書ファイルを表す拡張子、または、「ｂｍｐ」、「ｊｐｇ」などの画像ファイルを表す拡張子であり、対象データＤが個人情報を含む可能性がある場合（ステップＳ４０２において「Ｎｏ」の場合）、文字列抽出部１１３は、対象データＤから文字列を抽出する（ステップＳ４０３）。文字列抽出部１１３は、対象データＤが画像データを含むか否かにより、文字列の抽出方法を適宜選択する。

具体的には、選択した対象データＤの拡張子が、「ｄｏｃ」、「ｐｐｔ」、「ｘｌｓ」などの文書ファイルを表す拡張子であり、かつ、対象データＤが主にテキストデータで構成されている場合（ステップＳ４０３において「Ｎｏ」の場合）、文字列抽出部１１３は、対象データＤから、当該対象データＤに含まれるテキストデータを、そのまま抽出する。このとき、文字列抽出部１１３は、対象データＤの本体部分からだけでなく、対象データＤの「メタ情報」部分（対象データＤに関する情報を記載する部分）からも、テキストデータを抽出する。
これにより、文書ファイルの本体に含まれるテキストデータだけでなく、「メタ情報」に含まれるテキストデータ（例えば、ファイルの作成者の氏名や所属が含まれる場合がある）に対しても、個人情報が含まれているか否かの判定（個人情報の検出）を実行できる。

一方、対象データＤが画像データを含んでいる場合（ステップＳ４０３において「Ｙｅｓ」の場合）、文字列抽出部１１３は、画像データを含む対象データにＯＣＲ処理を実行して、当該画像データに示されている文字列を、テキストデータとして抽出する（ステップＳ４０４）。これにより、文字列抽出部１１３は、画像データ中に含まれる文字列を抽出できる。その結果、判定部１１５は、画像データ中に個人情報が含まれているか否かを判定できる。
また、文字列抽出部１１３は、文書ファイルである対象データＤと同様に、画像ファイル又は画像データに「メタ情報」が含まれていれば、当該「メタ情報」部分からも、テキストデータを抽出する。

なお、文字列抽出部１１３は、対象データＤが画像ファイルである場合だけでなく、対象データＤが画像データを含む文書ファイルである場合も、対象データＤに含まれる画像データに対してＯＣＲ処理を実行し、当該画像データに含まれる文字列をテキストデータとして抽出してもよい。

テキストデータを対象データＤから抽出後、文字列抽出部１１３は、抽出したテキストデータに対して「形態素解析」を実行することにより、当該テキストデータから、意味のある文字列を抽出する（ステップＳ４０５）。以下、上記の「意味のある文字列」のことを、「形態素」と呼ぶことにする。例えば、対象データＤに、図８Ａに示すような記載がテキストデータとして含まれていたとする。図８Ａは、対象データに含まれるテキストデータの一例を示す図である。

図８Ａに示すテキストデータに対して、改行やスペースを取り除いて「形態素解析」を実行すると、文字列抽出部１１３は、例えば、図８Ａに示すテキストデータから、図８Ｂに示すような形態素を抽出できる。図８Ｂは、テキストデータから形態素を抽出した一例を示す図である。図８Ｂにおいては、「［」と「］」とにより囲まれた文字列が、形態素を構成している。

テキストデータから形態素を抽出後、判定部１１５は、抽出した形態素のいずれかが、個人情報を示す形態素であるか否かを判定する（ステップＳ４０６）。抽出した形態素が個人情報を示すものか否かを判定するため、判定部１１５は、抽出された各形態素に対して、特定フォーマット情報ＦＩに含まれている各個人情報のフォーマットの「定義」及び／又は「条件」を当てはめる。

図８Ｂに示す例において、判定部１１５は、特定フォーマット情報ＦＩを参照して、「○○県」、「△△市」、「□□町」との形態素が、特定フォーマット情報ＦＩの「住所」に対応するものと判定できる。なぜなら、「○○県」、「△△市」、「□□町」は、それぞれ、県名、市名、町名を表すからである。
また、「株式会社△○□」との形態素が、特定フォーマット情報ＦＩの「会社名」に対応していると判定できる。なぜなら、特定の名前「△○□」の前に「株式会社」との語が存在するからである。
さらに、図８Ｂの「担当」との形態素の直後にある「□○」との形態素は、「□」「○」がそれぞれ姓名として特定フォーマット情報ＦＩに記録されているため、判定部１１５は、当該「□○」を「氏名」を表すものと判定できる。

また、判定部１１５は、特定フォーマット情報ＦＩを参照して、英数字と記号の文字列である形態素が、英数字と記号とからなる個人情報のフォーマットと一致するか否かを判定する。この際、判定部１１５は、英数字と記号とからなる文字列である形態素から、ハイフン（−）やスペースなどの不要なテキストを取り除いた後に、特定フォーマット情報ＦＩとの比較を行う。

図８Ｂに示した例においては、「１２３−４５６７」との数字とハイフンとの文字列にて構成される形態素は、当該形態素からハイフンを取り除くと、「１２３４５６７」と７桁の数字の文字列となる。特定フォーマット情報ＦＩによると、７桁の数字の文字列は郵便番号の定義とされているので、判定部１１５は、「１２３−４５６７」との形態素が「郵便番号」を示していると判定できる。
この際、判定部１１５は、上記の７桁の数字の文字列が郵便番号として実在するものであるかを、例えば、郵便番号から住所を調べることが可能なデータベースなどにアクセスして確認してもよい。７桁の数字の文字列が郵便番号として実在していることが確認されれば、特定フォーマット情報ＦＩの郵便番号の「条件」と一致することとなるので、判定部１１５は、「１２３−４５６７」との形態素が、「郵便番号」を示すことをより確実に判定できる。

上記と同様にして、「０●△−□○×−◎◎△□」との数字とハイフンとの文字列にて構成される形態素は、文字列の先頭に存在する「０」（発信元国際プレフィックス）とハイフンとを除くと９桁の数字の文字列となるので、当該形態素が電話番号（固定電話）を表すものと判定できる。また、「０９０−○◎■△−□○△◎」との形態素は、ハイフンを除くと１１桁の数字の文字列であり、かつ、先頭が「０９０」となっているので、当該形態素が電話番号（その他）を表すものと判定できる。

このように、文字列抽出部１１３が「形態素解析」により対象データＤから文字列を抽出することにより、意味のある適切な文字列を、対象データＤから効率的に抽出できる。

抽出された形態素中の文字や記号の配置が、特定フォーマット情報ＦＩに示された文字や記号の配置のいずれかと一致すると判定された場合（ステップＳ４０６において「Ｙｅｓ」の場合）、判定部１１５は、上記のようにして特定した個人情報を、当該個人情報が含まれていた対象データＤのファイル名と、当該対象データＤを送信した通信端末の識別情報（コンピュータ名、ＩＰアドレスなど）と、ともに個人情報検出ログＬに記憶する（ステップＳ４０７）。これにより、判定部１１５は、これまでに特定できた個人情報を記憶部１５に記憶できる。

特定した個人情報を個人情報検出ログＬに記憶後、又は、抽出された形態素中の文字や記号の配置が、特定フォーマット情報ＦＩに示された全ての個人情報の文字や記号の配置と一致しなかった場合（ステップＳ４０６において「Ｎｏ」の場合）、判定部１１５は、個人情報が含まれるか否かを判定すべき他の形態素が存在するか否かを確認する（ステップＳ４０８）。

個人情報を示すか否かの判定をすべき形態素が残っている場合（ステップＳ４０８において「Ｎｏ」の場合）、個人情報を検出するプロセスはＳ４０６に戻り、残りの形態素に対して個人情報を示すか否かの判定（個人情報の検出）を実行する。
一方、個人情報を示すか否かの判定をすべき形態素が残っていない場合（ステップＳ４０８において「Ｙｅｓ」の場合）、個人情報を検出するプロセスは終了する。

上記のステップＳ４０１〜Ｓ４０８を実行することにより、本実施形態に係る情報処理装置１は、既知の個人情報の文字列と完全一致する文字列が対象データＤに含まれているか否かではなく、対象データＤに含まれる文字列中の文字及び／又は記号の配置が、個人情報が有する特有の文字及び／又は記号の配置と一致するか否かにより、対象データＤに個人情報が含まれているか否かを判定できる。
その結果、情報処理装置１は、これまで検出された既知の個人情報だけでなく、いままで検出されたことがない未知の個人情報も含めて、対象データＤに存在するか否かを判定できる。

２．他の実施形態
以上、本発明の一実施形態について説明したが、本発明は上記実施形態に限定されるものではなく、発明の要旨を逸脱しない範囲で種々の変更が可能である。特に、本明細書に書かれた複数の実施形態及び変形例は必要に応じて任意に組み合せ可能である。
（Ａ）形態素の抽出についての他の実施形態
上記の第１実施形態において、文字列抽出部１１３が「形態素解析」より形態素を一旦決定すると、当該決定した形態素は固定とされていた。しかし、これに限られず、より意味のある形態素を抽出するために、文字列抽出部１１３は、一度決定した形態素を変更して、新たに形態素を抽出し直してもよい。
例えば、「鳥取県境港市＊＊＊」とのテキストデータを、文字列抽出部１１３が「形態素解析」により、「鳥取県境」、「港市」、「＊＊＊」を形態素と決定した場合に、当該テキストデータから「鳥取県」、「境港市」、「＊＊＊」を新たな形態素として抽出してもよい。

上記のような形態素の変更は、例えば、以下のようにして実行できる。文字列抽出部１１３は、まず、不適切な形態素を用いて、当該形態素の文字列の文字や記号の配置が、特定フォーマット情報ＦＩに示されたいずれかの個人情報の文字や記号の配置と一致するか否かを判定する。
このとき、文字列抽出部１１３は、形態素中の文字や記号の配置と個人情報中の文字や記号の配置との一致度を算出する。例えば、「鳥取県境」との形態素に対しては、県名を表す「鳥取県」までは個人情報の文字列と一致しているので、判定部１１５は、「鳥取県境」との形態素の個人情報との一致度を７５％（形態素に含まれる４文字のうち、３文字までが個人情報の定義と一致しているから）とする。

文字列抽出部１１３は、上記のように高い一致度を有する形態素に対しては、形態素を変更することにより個人情報の文字列との一致度を１００％（すなわち、個人情報の定義と完全一致）とすることができると判断して、当該形態素の文字列の長さを調節する。
例えば、「鳥取県境」との形態素の文字列を「鳥取県」と短くすることにより、当該形態素の文字列と県名を示す文字列との一致度を１００％と向上できるので、文字列抽出部１１３は、上記のテキストデータから、「鳥取県」、「境港市」、「＊＊＊」を新たな形態素として抽出できる。

なお、上記の例においては、「鳥取県境」との形態素を「鳥取県境港」と長くしても、個人情報の文字列（県名＋市区郡名、県名には「県」を含んでいる）との一致度を向上できるので、文字列抽出部１１３は、「鳥取県境港市＊＊＊」とのテキストデータから、「鳥取県境港」、「市」、「＊＊＊」を新たな形態素として抽出してもよい。

上記のように、文字列抽出部１１３が、特定フォーマット情報ＦＩに示されている個人情報の定義との一致度をより高くするように、形態素の抽出の仕方を調節することにより、判定部１１５は、より精度よく個人情報を検出できる。

（Ｂ）情報処理装置の他の実施形態（その１）
上記の第１実施形態において、情報処理装置１は、ファイルサーバー（及びＨＴＴＰサーバー）としての機能を有していた。しかし、これに限られず、情報処理装置１は、メールサーバー機能を有していてもよい。この場合、第１実施形態の通知部１１７の機能を、メールサーバー機能によって実現してもよい。これにより、通知部１１７は、個人情報の検出結果を、メールメッセージとして通信端末３−１〜３−ｎに送信できる。

また、情報処理装置１は、メールサーバー機能と、上記の第１実施形態にて説明した個人情報の検出機能と、のみを有していてもよい。この場合、情報処理装置１は、例えば、通信端末３−１〜３−ｎから、ＳＭＴＰ（Ｓｉｍｐｌｅ Ｍａｉｌ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）プロトコル、又は、ＩＭＡＰ（Ｉｎｔｅｒｎｅｔ Ｍｅｓｓａｇｅ Ａｃｃｅｓｓ Ｐｒｏｔｏｃｏｌ）プロトコルなどのメールを送信するプロトコルにて送信されたデータを、対象データＤとして記憶部１５に記憶してもよい。

メールメッセージである対象データＤに個人情報が含まれていた場合、情報処理装置１は、例えば、通信端末３−１〜３−ｎから個人情報を含むメッセージを送信してもよいとの指令を受けた場合に、当該対象データＤをメールメッセージとして宛先のメールサーバーに送信してもよい。
その他、情報処理装置１は、例えば、ＳＭＴＰＳやＩＭＡＰ４Ｓなどのセキュアなプロトコルにより当該対象データＤを自動的に暗号化した上で、メールメッセージとして宛先のメールサーバーに送信してもよい。

上記のように、上記の第１実施形態にて説明した個人情報の検出機能を、メールサーバー機能と組み合わせることにより、よりセキュアなメールサーバーを構築することができる。

（Ｃ）情報処理装置の他の実施形態（その２）
情報処理装置１は、上記の第１実施形態にて説明した個人情報の検出機能と、プロキシサーバー機能とを組み合わせたものであってもよい。この場合、例えば、通信端末３−１〜３−ｎにインストールされているメッセージングソフトウェア（例えば、ＬＩＮＥ（登録商標）アプリケーション、ツイッター（登録商標）投稿アプリケーションなど）にて入力された文字列が、対象データＤとして記憶部１５に記憶される。
プロキシサーバーである情報処理装置１は、対象データＤに個人情報が含まれていない場合、又は、個人情報を含む対象データＤを送信することについてユーザから許可を得た場合に、当該対象データＤを、他のメッセージングクライアント（通信端末）に送付する。
上記の情報処理装置１をプロキシサーバーとして指定することにより、メッセージングソフトウェアを介して知らない間に個人情報が送信されてしまうことを回避できる。

本発明は、電子情報中に含まれる個人情報を検出する情報処理装置、及び、当該情報処理装置により構成される情報処理システムに広く適用できる。

１００ 情報処理システム
１ 情報処理装置
１１ サーバー制御部
１１１ 取得部
１１３ 文字列抽出部
１１５ 判定部
１１７ 通知部
１３ ネットワーク・インターフェース
１５ 記憶部
３−１、３−２、３−ｎ 通信端末
３１ 端末制御部
３１１ 送信部
３１３ 受信部
３３ 記憶部
３５ ネットワーク・インターフェース
３７ 入出力インターフェース
３７１ 入力装置
３７３ ディスプレイ
ＮＷ ネットワーク
Ｄ 対象データ
ＦＩ 特定フォーマット情報
Ｌ 個人情報検出ログ

Claims (5)

1. 特定の文字列にて示される個人情報における、当該特定の文字列中の文字及び／又は記号の配置に関する情報を含む特定フォーマット情報を記憶する記憶部と、
   前記個人情報が含まれているか否かを判定する対象である対象データを取得する取得部と、
   前記対象データから文字列を抽出する文字列抽出部と、
   抽出された前記文字列に含まれる文字及び／又は記号の配置と、前記特定フォーマット情報に含まれる文字及び／又は記号の配置とが一致すれば、当該対象データには前記個人情報が存在すると判定する判定部と、
   前記判定部で判定された結果を通知する通知部と、
   を備える、情報処理装置。
2. 前記判定部は、前記対象データから抽出された文字列に含まれる文字及び／又は記号の配置と一致する、文字及び／又は記号の配置を有する個人情報を特定し、当該特定した個人情報を前記記憶部に記憶する、請求項１に記載の情報処理装置。
3. 前記対象データが画像データを含んでいれば、前記文字列抽出部は、画像認識により当該画像データから文字列を抽出する、請求項１又は２に記載の情報処理装置。
4. 前記文字列抽出部は、自然言語処理により前記対象データから文字列を抽出する、請求項１〜３のいずれかに記載の情報処理装置。
5. 請求項１〜４のいずれかに記載の情報処理装置と、通信端末と、を備える情報処理システムであって、
   前記通信端末は、前記対象データを前記情報処理装置に送信する送信部と、前記情報処理装置からの通知を受信する受信部と、を有する情報処理システム。

Images