JP2018116388A - ファイル管理方法、ファイル管理装置及びファイル管理プログラム - Google Patents

Abstract

【課題】情報漏えいが発生する可能性が高い個人情報ファイルをより厳密に把握可能にする。【解決手段】ファイル管理装置１００は、一のフォルダに属する個人情報ファイルの数を計数する第１計数部１０１と、フォルダに属する個人情報を含まない非個人情報ファイルの数を計数する第２計数部１０２と、個人情報ファイルの数と非個人情報ファイルの数との和に対する非個人情報ファイルの数の割合である非個人情報ファイル割合に基づいて、フォルダに属する個人情報ファイルからの情報漏えいの可能性を判定する判定部１０４とを備えている。【選択図】図１６

Description

本発明は、個人情報を含むファイルからの情報漏えいを防止するために好適に使用されるファイル管理方法、ファイル管理装置及びファイル管理プログラムに関する。

セキュリティ対策として、情報漏えい防止対策は重要である。情報漏えい防止対策として、ファイルサーバやストレージに格納されているファイルから個人情報を含むファイル（以下、個人情報ファイルという。）を検出し、検出された個人情報ファイルに対して何らかの対策を施す個人情報ファイル管理の考え方がある。個人情報は、個人を特定するための情報や個人に密接に関連する情報であるが、住所、氏名、電話番号、マイナンバー（社会保障・税番号）、クレジットカード番号などがある。

また、個人情報ファイル管理システムによる何らかの対策として、ファイルの隔離、ファイルの削除、ファイルの暗号化などがある。

個人情報ファイル管理の一般的な工程として、ファイル中の個人情報を検出する検出行程、検出された個人情報を集計して個人情報の取り扱い状況を分析する分析工程、及び、分析結果に基づいて何らかの対策を実施する対策工程が考えられる。

ファイルの内容に基づいて危険度（情報漏えいの可能性）を判断し、危険度をユーザに提示する手法がある。しかし、そのような手法が採用された場合、適切に管理されているファイルまで危険度が高いファイルとして判断される可能性がある。また、早急に対処されるべき「適切に管理されていないファイル」をユーザが気づきにくいという問題がある。

ユーザが分析工程を実施すると、工程を終了するまでの時間が膨大になる。例えば、企業内で扱われるファイルにおける個人情報として、電子メールの署名や資料作成者の氏名などがあるが、それらが誤って入力されていることがある。誤入力の可能性を考慮すると、ユーザによる個人情報の確認には長い時間がかかる。また、個人情報ファイルが危険なファイル（個人情報の漏えいの可能性が高いファイル）であるのか否かを的確に判断することは難しい。

特許文献１には、個人情報との関連が高い特定のキーワードの出現頻度が高いファイルを個人情報ファイルとする方法が記載されている。そして、個人情報ファイルに対する操作に制限がかけられる。また、個人情報ファイルに対して一定期間アクセスがなかった場合、その個人情報ファイルは、危険度が低いファイルと見なされる。

特許文献２には、ファイルに対するアクセス許可ユーザ数が多いほどファイル危険度を高くし、ディレクトリ（フォルダ）に属する全てのファイルのファイル危険度の平均値をディレクトリ危険度とし、ファイル危険度とディレクトリ危険度とに基づいて、ファイルから情報が漏えいしやすいか否か判定することが記載されている。

特開２００８−２２６１３３号公報 特開２０１２−３８１２６号公報

特許文献１に記載された方法を使用する場合、使用頻度が低いファイルは、危険度が低いファイルとして安全に管理されうるが、使用頻度が高いファイルに関して、情報漏えいの可能性の程度を判断することはできない。

特許文献２に記載されたアクセス許可ユーザ数に基づく判定方法によれば、ファイルからの情報の漏えいしやすさの程度が簡便に判定される。しかし、アクセス許可ユーザ数が少ないファイルであっても、ファイルが適切な管理状態にないときには、情報の漏えいの可能性が高くなる。従って、ファイルの内容ではなく、ファイルの管理状態を考慮して個人情報ファイルの危険度を判定することによって、情報漏えいが発生する可能性が高い個人情報ファイルがより厳密に把握されうると考えられる。

なお、ファイルの管理状態として、フォルダにおける個人情報ファイルと非個人情報ファイル（個人情報を含まないファイル）の混在の程度、個人情報ファイルが属するフォルダに対してユーザに付与されたアクセス権限などがある。

また、個人情報ファイルからの情報の漏えいが発生した場合、同様に情報漏えいが発生する可能性がある他の個人情報ファイルを特定することによって、他の個人情報ファイルからの情報漏えいを予防できる可能性が高まる。例えば、危険度が低い個人情報ファイルから情報の漏えいが発生した場合、その個人情報ファイルの管理状態に類似する管理状態にある他の個人情報ファイルが特定できれば、情報漏えい予防の効果がより高くなる。

本発明は、情報漏えいが発生する可能性が高い個人情報ファイルをより厳密に把握可能にすることを目的とする。

また、情報漏えい予防効果を高くすることを目的とする。

本発明によるファイル管理方法は、一のフォルダに属する個人情報ファイルの数を計数し、フォルダに属する個人情報を含まない非個人情報ファイルの数を計数し、個人情報ファイルの数と非個人情報ファイルの数との和に対する非個人情報ファイルの数の割合である非個人情報ファイル割合に基づいて、フォルダに属する個人情報ファイルからの情報漏えいの可能性を判定することを特徴とする。

本発明によるファイル管理装置は、一のフォルダに属する個人情報ファイルの数を計数する第１計数手段と、フォルダに属する個人情報を含まない非個人情報ファイルの数を計数する第２計数手段と、個人情報ファイルの数と非個人情報ファイルの数との和に対する非個人情報ファイルの数の割合である非個人情報ファイル割合に基づいて、フォルダに属する個人情報ファイルからの情報漏えいの可能性を判定する判定手段とを備えたことを特徴とする。

本発明によるファイル管理プログラムは、コンピュータに、一のフォルダに属する個人情報ファイルの数を計数する処理と、フォルダに属する個人情報を含まない非個人情報ファイルの数を計数する処理と、個人情報ファイルの数と非個人情報ファイルの数との和に対する非個人情報ファイルの数の割合である非個人情報ファイル割合に基づいて、フォルダに属する個人情報ファイルからの情報漏えいの可能性を判定する処理とを実行させることを特徴とする。

本発明によれば、情報漏えいが発生する可能性が高い個人情報ファイルをより厳密に把握可能になる。

第１の実施形態のファイル管理装置の構成例を、他の装置とともに示すブロック図である。 ファイル・フォルダ情報管理テーブルの構成例及び設定データの一例を示す説明図である。 個人情報検出情報管理テーブルに設定されるデータの一例を示す説明図である。 アクセス権限管理テーブルに設定されるデータの一例を示す説明図である。 ユーザ／グループ管理テーブルに設定されるデータの一例を示す説明図である。 グループ所属ユーザ管理テーブルに設定されるデータの一例を示す説明図である。 危険度管理テーブルに設定されるデータの一例を示す説明図である。 ファイル管理装置による危険度を判定する処理（危険度判定フェーズ）の一例を示すフローチャートである。 格納場所危険度算出部による格納場所危険度に関する処理例を示すフローチャートである。 個人情報集団危険度算出部による個人情報集団危険度に関する処理例を示すフローチャートである。 アクセス可能者数のみを用いて提示スコアが算出される場合の個人情報ファイルの表示例を示す説明図である。 危険度類似判定フェーズの処理の一例を示すフローチャートである。 返却用データＤの一例を示す説明図である。 新たに個人情報ファイルが作成されたときにそのフォルダに関して提示スコアを大きくする場合に使用されるファイル・フォルダ情報管理テーブルの構成例及び設定データの一例を示す説明図である。 提示スコア算出部が特定フォルダに属する個人情報ファイルの提示スコアを大きくする処理を示すフローチャートである。 本発明によるファイル管理装置の主要部を示す説明図である。 本発明によるファイル管理装置の他の構成例を示す説明図である。 本発明によるファイル管理装置のさらに他の構成例を示す説明図である。

実施形態１．
図１は、第１の実施形態のファイル管理装置の構成例を、他の装置とともに示すブロック図である。

図１（Ａ）には、他の装置として、ファイルサーバ１、ユーザ／グループ管理サーバ２及びユーザ端末４が示されている。

ファイルサーバ１には、複数のフォルダ及び複数のファイル（ファイル群）１１が格納されている。各々のファイルは、いずれかのフォルダに属している。ユーザ／グループ管理サーバ２は、ユーザ／グループ情報データベース２１を含み、ユーザ情報とグループ情報とを管理する。ユーザ／グループ情報データベース２１には、グループのメンバを示すデータがグループ毎に記憶される。なお、グループを構成しない単独のメンバについては、そのメンバを示すデータが記憶される。

ユーザ端末４は、ファイル管理装置３から受信した情報（個人情報ファイルに関する情報）を表示する情報提示部４１と、ユーザが選択した情報（個人情報ファイルに関する情報）をファイル管理装置３に送信する情報選択部４２とを含む。ユーザ端末４は、例えば、パーソナルコンピュータである。

図１（Ａ）に示す例では、ファイル管理装置３は、個人情報検出部３１１を含む個人情報検出サーバ３１、危険度・類似度算出サーバ３２、及び提示スコア算出部３３１を含むスコアリングサーバ３３とを備える。

個人情報検出部３１１は、ファイルサーバ１に格納されているファイル群１１の各々のファイルについて、ファイルの属性情報やファイルのアクセス権限等の情報を抽出する。

危険度・類似度算出サーバ３２は、格納場所危険度算出部３２１、個人情報集団危険度算出部３２２、アクセス可能者数算出部３２３、危険類似度算出部３２４、及び個人情報ファイル関連データベース３２５を含む。

格納場所危険度算出部３２１は、非個人情報ファイルがあるフォルダに格納されている個人情報ファイルの危険度（格納場所危険度）を算出する。

個人情報集団危険度算出部３２２は、アクセス可能者数が多いフォルダを対象に、個人情報ファイルの集積度を算出する。集積度は、例えば、１つのフォルダにおける個人情報ファイルの比率である。本実施形態では、個人情報ファイルの集積度を、個人情報集団危険度とする。

アクセス可能者数算出部３２３は、個人情報ファイルのアクセス可能者数を集計する。危険類似度算出部３２４は、危険度が高いと判断された個人情報ファイルに類似する個人情報ファイルを特定する。

個人情報検出サーバ３１、危険度・類似度算出サーバ３２及びスコアリングサーバ３３における各ブロックは、それぞれ、ＲＯＭ（Read Only Memory）やハードディスクなどの記憶部（図示せず）に格納されているプログラムに従って動作するＣＰＵ（Central Processing Unit ）によって実現されるが、個人情報検出サーバ３１、危険度・類似度算出サーバ３２及びスコアリングサーバ３３の機能のいずれか２つ又は全てが、１つのサーバ（コンピュータ）で実現されていてもよい。

個人情報ファイル関連データベース３２５には、図１（Ｂ）に示すように、ファイルやフォルダに関する属性情報などが設定されるファイル・フォルダ情報管理テーブル３２５１、ファイル・フォルダ情報管理テーブル３２５１で管理されるファイルを対象としてファイル内の個人情報数が設定される個人情報検出情報管理テーブル３２５２、ファイル及びフォルダのアクセス権リストが設定されるアクセス権限管理テーブル３２５３、アクセス権限管理テーブル３２５３で管理されるユーザの情報及びグループの情報を保持するユーザ／グループ管理テーブル３２５４、ユーザが所属するグループを特定可能なデータが設定されるグループ所属ユーザ管理テーブル３２５５、及び、同一フォルダ内の個人情報ファイル数、非個人情報ファイル数、各危険度（アクセス可能者数、格納場所危険度、個人情報集団危険度）の値が格納される危険度管理テーブル３２５６とがある。

なお、アクセス権限管理テーブル３２５３で管理されるアクセス権リストは、Windows （登録商標）OSにおけるアクセス制御リスト（Access Control List: ACL）に相当する。

図２は、ファイル・フォルダ情報管理テーブル３２５１の構成例及び設定データの一例を示す説明図である。図２に示す例では、名前（フォルダ名又はファイル名）、親フォルダパス（フォルダ又はファイルが属するフォルダ）、フォルダ／ファイル（フォルダであるのかファイルであるのかを示す。）、フォルダ又はファイルの所有者、アクセス権タイプIDなどが、ID（フォルダ又はファイルのID）毎に設定されている。アクセス権タイプIDは、アクセス権限管理テーブル３２５３においても設定されているので、アクセス権タイプIDをキーにして、ファイル・フォルダ情報管理テーブル３２５１に設定されているデータとアクセス権限管理テーブル３２５３に設定されているデータとは関連づけられる。

図３は、個人情報検出情報管理テーブル３２５２に設定されるデータの一例を示す説明図である。図３に示す例では、ファイル・フォルダ情報管理テーブル３２５１に設定されている各々のファイルにおける個人情報の数が設定されている。なお、個人情報の数が０のファイルは、非個人情報ファイルである。また、∞は、誰でもがアクセスできることを示す（ただし、図３において例示なし）。

また、図３に示す例では、個人情報の数は、いずれの種類の個人情報であるのかに関わらず計数されているが、個人情報の種類（例えば、氏名やマイナンバー）毎に管理されてもよい。

図４は、アクセス権限管理テーブル３２５３に設定されるデータの一例を示す説明図である。図４に示す例では、アクセス権タイプIDとUSER_ID とが対応付けられている。同じタイプIDは、同一の権限であることを示す。アクセス権限管理テーブル３２５３におけるエントリは、Windows OSにおけるアクセス制御リスト（Access Control List: ACL）に相当する。本実施形態では、ファイルの読み取り権限に着目したエントリが設定される。すなわち、ユーザ又はグループ（具体的には、USER_ID ）がファイルをアクセスできるか（許可）またはファイルをアクセスできない（拒否）が設定される。

図５は、ユーザ／グループ管理テーブル３２５４に設定されるデータの一例を示す説明図である。図５に示す例では、アクセス権限管理テーブル３２５３に設定されているUSER_ID に対応する識別ID、名前（ユーザ名又はグループ名）、及びユーザであるのかグループであるのかを特定可能なデータが設定されている。識別IDは、ファイル管理装置３内でのユーザの識別子を示す。

図６は、グループ所属ユーザ管理テーブル３２５５に設定されるデータの一例を示す説明図である。図６に示す例では、グループ所属ユーザ管理テーブル３２５５には、図５に示されたユーザ／グループ管理テーブル３２５４に設定されたグループに属するユーザと、ユーザ／グループ管理テーブル３２５４に設定された単独のユーザとに関して、識別IDが設定されている。従って、ユーザ／グループ管理テーブル３２５４から、グループに属するユーザ（ユーザ単独の場合もある。）の一覧を把握可能である。

なお、図６に示す例では、「全ユーザ（Everyone）がアクセス可能」とされているグループについては、その旨を示すフラグが設定され、個別のユーザへの展開は行われていない。図６に示す例では、USER_ID 「６」のグループに対して、「全ユーザ（Everyone）がアクセス可能」である旨のフラグが設定されている。

図７は、危険度管理テーブル３２５６に設定されるデータの一例を示す説明図である。図７に示す例では、危険度管理テーブル３２５６には、各々のファイルを対象として（図２参照）、同一フォルダ内の非個人情報ファイル数、同一フォルダ内の個人情報ファイル数、格納場所危険度、個人情報集団危険度、及びアクセス可能者数が設定される。なお、図７において、アクセス可能者数が∞であることは、誰でもがアクセスできることを示す。

次に、ファイル管理装置の動作を説明する。本実施形態のファイル管理装置３は、個人情報ファイルの危険度を判定する機能を有する上に、ユーザが選択した個人情報ファイルに類似する個人情報ファイルを判定する機能を有する。

図８は、ファイル管理装置３による危険度を判定する処理（危険度判定フェーズ）の一例を示すフローチャートである。

図８のフローチャートを参照して、危険度判定フェーズの処理を説明する。ファイル・フォルダ情報管理テーブル３２５１、個人情報検出情報管理テーブル３２５２、アクセス権限管理テーブル３２５３、及びユーザ／グループ管理テーブル３２５４に、図２〜図５に例示されたデータが設定されているとする。

ファイル管理装置３は、危険度判定フェーズにおいて、まず、個人情報ファイルのアクセス可能者数を集計する。

具体的には、アクセス可能者数算出部３２３は、危険度管理テーブルにおけるアクセス可能者数を初期化する（ステップＳ１０１）。

次いで、アクセス可能者数算出部３２３は、ユーザ／グループ情報データベース２１を参照して、ユーザ／グループ管理テーブル３２５４に設定されているグループを各ユーザに展開する（ステップＳ１０２）。ユーザ／グループ管理テーブル３２５４にユーザが設定されている場合には展開する必要はない。なお、アクセス可能者数算出部３２３は、グループに他のグループが含まれている場合には、再帰的に他のグループのユーザへの展開を行う。

アクセス可能者数算出部３２３は、ステップＳ１０２の処理で展開したユーザの識別IDを、図６に示すように、ユーザ一覧としてグループ所属ユーザ管理テーブル３２５５に登録する（ステップＳ１０３）。なお、アクセス可能者数算出部３２３は、「全ユーザ（Everyone）がアクセス可能」など、グループ内の全てのユーザが含まれる権限があった場合には、ユーザへの展開を行わない。

次に、アクセス可能者数算出部３２３は、アクセス権タイプID毎に、どのくらいのユーザが読み取り可能とされてるかカウントする。

具体的には、アクセス可能者数算出部３２３は、まず、アクセス権限管理テーブル３２５３から、アクセス権タイプIDの一覧を取得する（ステップＳ１０４）。そして、アクセス可能者数算出部３２３は、アクセス権タイプをＴｎとして、ｉ＝１〜Ｔｎのアクセス権タイプについて、ステップＳ１０６〜Ｓ１１２の処理を実行する（ステップＳ１０５，Ｓ１１３）。

アクセス可能者数算出部３２３は、アクセス権限管理テーブル３２５３を参照しながら、アクセス権タイプｉにあるユーザ及びグループの一覧を、グループ所属ユーザ管理テーブル３２５５から取得する（ステップＳ１０６）。アクセス可能者数算出部３２３は、ユーザ及びグループの一覧において、「全ユーザアクセス可能」が「１」になっているユーザ又はグループがあるか否か確認する（ステップＳ１０７）。「全ユーザアクセス可能」が「１」になっているユーザ又はグループがある場合には、ステップＳ１１１に移行する。

「全ユーザアクセス可能」が「１」になっているユーザ及びグループがない場合、アクセス可能者数算出部３２３は、同じユーザ（USER_ID ）についてアクセスが「許可」になっているエントリとアクセスが「拒否」になっているエントリとがアクセス権限管理テーブル３２５３に存在するときには、そのユーザを集計対象から除外する（ステップＳ１０８）。また、アクセス可能者数算出部３２３は、複数の同一の識別IDがグループ所属ユーザ管理テーブル３２５５に存在する場合、１つの識別IDのみ残し、他の識別IDを除外する（Ｓ１０９）。ステップＳ１０８，Ｓ１０９の処理によって、集計時の重複カウントが防止される。

その後、アクセス可能者数算出部３２３は、識別IDの数をカウントし、カウント結果をアクセス権タイプｉのアクセス可能者数とする（ステップＳ１１０）。そして、ステップＳ１１２に移行する。

ステップＳ１１１において、アクセス可能者数算出部３２３は、例えば、アクセス可能者数を∞とする。アクセス可能者数算出部３２３は、アクセス可能者数を∞とすることに代えて、グループに属する全ユーザのアクセスを「許可」に設定したり、グループに属する全ユーザのアクセスに対して「許可」と「拒否」の双方が設定されていると見なすようにしてもよい。そして、ステップＳ１１２に移行する。

ステップＳ１１２では、アクセス可能者数算出部３２３は、個人情報検出情報管理テーブル３２５２を参照しつつ、ファイル・フォルダ情報管理テーブル３２５１からアクセス権タイプｉのファイルを特定する。そして、アクセス可能者数算出部３２３は、危険度管理テーブル３２５６において、特定されたファイル（個人情報ファイル）に対するアクセス可能者数を、ステップＳ１１０の処理結果又はステップＳ１１１の処理結果で更新する。

なお、アクセス可能者数算出部３２３は、個人情報検出情報管理テーブル３２５２において個人情報数が０になっているファイル（非個人情報ファイル）に対して、アクセス可能者数を設定しない。

以上のような処理によって、危険度管理テーブル３２５６において、図７に例示されたようなアクセス可能者数の設定がなされる。なお、図７には、ステップＳ１１１の処理でアクセス可能者数∞とされたことがある例が示されている。

次に、格納場所危険度算出部３２１は、格納場所危険度及び個人情報集団危険度を算出する。図９は、格納場所危険度算出部３２１による格納場所危険度に関する処理例を示すフローチャートである。

格納場所危険度算出部３２１は、まず、危険度管理テーブル３２５６における同一フォルダ内の非個人情報ファイル数、同一フォルダ内の個人情報ファイル数、及び格納場所危険度を初期化する（ステップＳ２０１）。

次いで、格納場所危険度算出部３２１は、個人情報検出情報管理テーブル３２５２を参照しながら、各々の個人情報ファイルに関して、個人情報ファイルが属するフォルダ内の非個人情報ファイル数及び個人情報ファイル数を、ファイル・フォルダ情報管理テーブル３２５１から集計する（ステップＳ２０２）。なお、図３に例示された個人情報検出情報管理テーブル３２５２では、いずれの種類の個人情報であるのかに関わらず個人情報数が計数されているが、個人情報の種類（例えば、氏名やマイナンバー）毎に個人情報数が管理されている場合には、格納場所危険度算出部３２１は、いずれかの種類の個人情報の数が１以上であれば、個人情報ファイルであるとする。

また、格納場所危険度算出部３２１は、個人情報ファイルが属するフォルダのみを対象としてステップＳ２０２の処理を実行し、そのフォルダに属する他のフォルダにおけるファイルは、対象としている個人情報ファイルとの関連は低いと見なして、ステップＳ２０２の処理で集計対象としない。

格納場所危険度算出部３２１は、ステップＳ２０２の集計処理の結果を、危険度管理テーブル３２５６に設定する（ステップＳ２０３）。なお、格納場所危険度算出部３２１は、非個人情報ファイルについては、同一フォルダ内の非個人情報ファイル数及び同一フォルダ内の個人情報ファイル数を０にする。

次いで、格納場所危険度算出部３２１は、危険度管理テーブル３２５６において同一フォルダ内の非個人情報ファイル数及び同一フォルダ内の個人情報ファイル数がともに０ではない個人情報ファイルを対象として（ステップＳ２０４）、ステップＳ２０６，Ｓ２０７の処理を実行する（ステップＳ２０５，Ｓ２０８）。なお、同一フォルダ内の非個人情報ファイル数及び同一フォルダ内の個人情報ファイル数がともに０ではない個人情報ファイルの数をＮとする。

ステップＳ２０６において、格納場所危険度算出部３２１は、格納場所危険度を算出する。格納場所危険度算出部３２１は、例えば、Ｒ＝［同一フォルダ内の非個人情報ファイル数／（同一フォルダ内の個人情報ファイル数＋同一フォルダ内の非個人情報ファイル数）］を算出し、Ｒを格納場所危険度とする。

そして、格納場所危険度算出部３２１は、格納場所危険度を危険度管理テーブル３２５６に設定する（ステップＳ２０７）。

以上の処理によって、危険度管理テーブル３２５６において、多くの非個人情報ファイルが存在しているフォルダに個人情報ファイルが存在する場合、その個人情報ファイルの格納場所危険度として大きな値が設定される。つまり、個人情報ファイルが、非個人情報ファイルの集積度が高いフォルダが存在している場合、その個人情報ファイルの危険度（この場合、格納場所危険度）が高いと見なされる。すなわち、格納場所危険度算出部３２１は、個人情報ファイル数と非個人情報ファイルの数との和に対する非個人情報ファイルの数の割合である非個人情報ファイル割合に基づいて、フォルダに属する個人情報ファイルからの情報漏えいの可能性を判定する。

図１０は、個人情報集団危険度算出部３２２による個人情報集団危険度に関する処理例を示すフローチャートである。個人情報集団危険度算出部３２２は、個人情報集団危険度を算出するときに、まず、危険度管理テーブル３２５６における個人情報集団危険度を初期化する（ステップＳ３０１）。

次いで、個人情報集団危険度算出部３２２は、危険度管理テーブル３２５６における個人情報ファイルのみを対象として、個人情報ファイルのアクセス可能者数の中央値Ｈを算出する（ステップＳ３０２）。なお、個人情報集団危険度算出部３２２は、ステップＳ３０２の処理を実行するときに、∞のアクセス可能者数を、全ユーザ数に置き換える。全ユーザ数は、例えば、ユーザ／グループ管理テーブル３２５４から把握可能である。

次に、個人情報集団危険度算出部３２２は、危険度管理テーブル３２５６において同一フォルダ内の非個人情報ファイル数及び同一フォルダ内の個人情報ファイル数がともに０ではない個人情報ファイルを対象として（ステップＳ３０３）、ステップＳ３０５〜Ｓ３０８の処理を実行する（ステップＳ３０４，Ｓ３０９）。なお、同一フォルダ内の非個人情報ファイル数及び同一フォルダ内の個人情報ファイル数がともに０ではない個人情報ファイルの数をＮとする。

ステップＳ３０５で、個人情報集団危険度算出部３２２は、個人情報ファイルｉのアクセス可能者数が中央値Ｈよりも多いか否か確認する。アクセス可能者数が中央値Ｈよりも多い場合には、ステップＳ３０６に移行し、アクセス可能者数が中央値Ｈ以下である場合には、ステップＳ３０７に移行する。

ステップＳ３０５の処理は、アクセス可能者数が少ない個人情報ファイルの個人情報集団危険度を低い値（例えば、０）に設定するための処理である。よって、ステップＳ３０５の処理における比較対象が中央値Ｈであることは必須のことではなく、アクセス可能者数が少ないか否かを判定可能な値であれば、平均値などの他の値が用いられてもよい。

ステップＳ３０６では、個人情報集団危険度算出部３２２は、アクセス可能者数が多いので、個人情報ファイルが適切に管理されていないとして、危険度管理テーブル３２５６に有意な個人情報集団危険度Ｄを設定することに決定する。有意な個人情報集団危険度Ｄは、例えば同一フォルダ内の個人情報ファイル数である。

ステップＳ３０７では、個人情報集団危険度算出部３２２は、アクセス可能者数が少ないので、個人情報ファイルが適切に管理されているとして、個人情報集団危険度Ｄとして０を設定することに決定する。

そして、個人情報集団危険度算出部３２２は、ステップＳ３０６，Ｓ３０７で決定した個人情報集団危険度Ｄを危険度管理テーブル３２５６に設定する（ステップＳ３０８）。

以上のように、個人情報ファイルが適切に管理されていない場合には、個人情報集団危険度Ｄとして大きな値が設定される。換言すれば、個人情報集団危険度算出部３２２は、個人情報ファイルが属するフォルダ内の個人情報ファイルの数であるフォルダ内ファイル数に基づいて情報漏えいの可能性を判定する。

次に、スコアリングサーバ３３において、提示スコア算出部３３１は、危険度管理テーブル３２５６に設定されたデータに基づいて、例えば下記の(11)〜(14)式を用いて、提示スコアを算出する。

(11)〜(14)式において、
S(i)は、個人情報ファイルｉの提示スコア
F(i)は、個人情報ファイルｉのアクセス可能者数のスコア関数
G(i)は、個人情報ファイルｉの格納場所危険度のスコア関数
H(i)は、個人情報ファイルｉの個人情報集団危険度のスコア関数
a,b,c は、それぞれ、重み値
Xiは、個人情報ファイルｉのアクセス可能者数
Yiは、個人情報ファイルｉの格納場所危険度
Ziは、個人情報ファイルｉの個人情報集団危険度
を示す。

(11)〜(14)式の例では、アクセス可能者数、格納場所危険度及び個人情報集団危険度が０〜１の間の値に正規化された後、それらの値が加算されて提示スコアとされる。

よって、例えば、多数の非個人情報ファイルが存在するフォルダ中に１つだけ個人情報ファイルがあり、かつ、その個人情報ファイルのアクセス可能者数が多い場合、提示スコアの値は大きい。また、個人情報ファイルのみ存在するフォルダがある場合、存在する個人情報ファイルが多いときに、提示スコアの値は大きい。

スコアリングサーバ３３は、算出した提示スコアを、対応する個人情報ファイルを特定可能な情報とともにユーザ端末４に送信する。ユーザ端末４において、情報提示部４１は、受信された提示スコアを値が大きい順に個人情報ファイルをソーティングし、それらをユーザに提示する。例えば、情報提示部４１は、それらを表示部に表示する。

なお、(11)〜(14)式の例では、アクセス可能者数、格納場所危険度及び個人情報集団危険度を用いて提示スコアが算出されるが、提示スコア算出部３３１は、それらのうちの任意の１つ又は２つを用いて提示スコアを算出してもよい。例えば、提示スコア算出部３３１は、(21)式に示すようにアクセス可能者数のみを用いて提示スコアを算出したり、格納場所危険度のみを用いて提示スコアを算出したり、個人情報集団危険度のみを用いて提示スコアを算出してもよい。アクセス可能者数のみを用いて提示スコアが算出される場合には、アクセス可能者数が多い順に、個人情報ファイルがユーザに提示されることになる。また、提示スコア算出部３３１は、格納場所危険度及び個人情報集団危険度のみを用いて提示スコアを算出してもよい。

図１１は、アクセス可能者数のみを用いて提示スコアが算出される場合の個人情報ファイルの表示例を示す説明図である。なお、図１１に示す例では、提示スコアに代えてアクセス可能者数が表示される例が示されている。また、図１１には、個人情報数も併せて表示される例が示されている。

本実施形態では、提示スコアに基づいてユーザが個人情報ファイルを選択すると、情報選択部４２が、選択された個人情報ファイルを特定可能な情報をファイル管理装置３に送信する。一般に、ユーザは、提示スコアの値が大きい個人情報ファイルを選択する。

ユーザ端末４から個人情報ファイルを特定可能な情報（例えば、ファイルIDやファイルパス）を受信すると、ファイル管理装置３において、類似する個人情報ファイルを判定する処理（危険度類似判定フェーズ）が開始される。図１２は、危険度類似判定フェーズの処理の一例を示すフローチャートである。

危険度類似判定フェーズにおいて、危険類似度算出部３２４は、ユーザによって選択された個人情報ファイルＦを特定可能な情報に基づいてファイル・フォルダ情報管理テーブル３２５１及び個人情報検出情報管理テーブル３２５２を検索して、個人情報ファイルＦの詳細情報を取得する（ステップＳ４０１）。

そして、危険類似度算出部３２４は、選択された個人情報ファイルＦが属するフォルダ（親フォルダ）に他の個人情報ファイルがあるか否か確認する（ステップＳ４０２）。そのような個人情報ファイルがない場合には（ステップＳ４０３）、処理を終了する。

そのような個人情報ファイルがある場合には、危険類似度算出部３２４は、個人情報ファイルＦのアクセス可能者のユーザ一覧を、アクセス権限管理テーブル３２５３及びグループ所属ユーザ管理テーブル３２５５から所得する（ステップＳ４０４）。具体的には、アクセス権限管理テーブル３２５３を参照して、グループ所属ユーザ管理テーブル３２５５から取得する。そして、危険類似度算出部３２４は、親フォルダに属する他の個人情報ファイルの全て（ｉ＝１〜他の個人情報ファイル数）についてステップＳ４０６〜Ｓ４１０の処理を実行する（ステップＳ４０５，Ｓ４１１）。

ステップＳ４０６で、危険類似度算出部３２４は、個人情報ファイルｉのアクセス可能者のユーザ一覧を、アクセス権限管理テーブル３２５３を参照して、グループ所属ユーザ管理テーブル３２５５から取得する。

次いで、危険類似度算出部３２４は、個人情報ファイルＦのアクセス可能者のユーザ一覧と個人情報ファイルｉのアクセス可能者のユーザ一覧とを比較し、双方の一覧の中に同一ユーザが存在するか否か確認する（ステップＳ４０７）。なお、危険類似度算出部３２４は、一方のユーザ一覧において、「全ユーザアクセス可能」が「１」になっているユーザがある場合には、他方のユーザ一覧におけるいずれのユーザとも一致するとする。

また、危険類似度算出部３２４は、ステップＳ４０７の処理を実行するときに、図８におけるステップＳ１０８，Ｓ１０９の処理と同様の処理によって、重複処理を排除することが好ましい。

双方の一覧の中に同一ユーザが存在しない場合には、危険類似度算出部３２４は、ステップＳ４０９，Ｓ４１０の処理を実行しない（ステップＳ４０８）。同一ユーザが存在しないということは、ファイルアクセスに関する危険度の類似性がないと考えてよいことを根拠に、ステップＳ４０８の判定処理が行われる。

双方の一覧の中に同一ユーザが存在する場合には、ファイルアクセスに関する危険度の類似性がある可能性があるので、危険類似度算出部３２４は、個人情報ファイルｉと個人情報ファイルＦとについて、危険度の非類似スコアを算出する（ステップＳ４０９）。

非類似スコアは、例えば(31)〜(34)式を用いて算出される。

(31)〜(34)式において、
R(F,i)は、個人情報ファイルＦに対する個人情報ファイルｉの非類似スコア
K(F,i)は、個人情報ファイルＦと個人情報ファイルｉのアクセス可能者の非一致度関数
G(Fは、個人情報ファイルＦの格納場所危険度のスコア関数
G(i)は、個人情報ファイルｉの格納場所危険度のスコア関数
H(F)は、個人情報ファイルＦの個人情報集団危険度のスコア関数
H(i)は、個人情報ファイルｉの個人情報集団危険度のスコア関数
DIFF()は、２つの値の差（絶対値）を出力する関数
A は、個人情報ファイルのアクセス可能者数
Miは、個人情報ファイルＦと個人情報ファイルｉのアクセス可能者の非一致数
Yiは、個人情報ファイルｉの格納場所危険度
Ziは、個人情報ファイルｉの個人情報集団危険度
を示す。

そして、危険類似度算出部３２４は、個人情報ファイルｉを特定可能な情報と非類似スコアとを、返却用データＤとして記憶部に格納する（ステップＳ４１０）。

非類似スコアは、類似していない度合いを示す。非類似スコアは、アクセス可能者の非一致の割合、個人情報ファイルＦの格納場所危険度と個人情報ファイルｉの格納場所危険度との差（絶対値）、及び、個人情報ファイルＦの個人情報集団危険度と個人情報ファイルｉの個人情報集団危険度との差（絶対値）の和であるから、アクセス可能者の非一致の割合が低いほど（一致の割合が高いほど）、また、両ファイルの危険度の差が小さいほど、値が小さくなる。換言すれば、アクセスに関する両ファイルの管理状態が類似しているほど、値が小さくなる。すなわち、非類似スコアの値が大きいということは、アクセスに関する両ファイルの管理状態が類似していないことを意味する。つまり、危険類似度算出部３２４は、情報漏えいの可能性がある一の個人情報ファイルの管理状態と類似する管理状態にある他の個人情報ファイルを特定する。

図１３は、返却用データＤの一例を示す説明図である。図１３に示す例は、ファイル・フォルダ情報管理テーブル３２５１に設定されているID＝７の個人情報ファイルが選択されたときの例である。図１３には、アクセス可能者がある程度一致し（非一致度の割合が低い。）、かつ、格納場所危険度及び個人情報集団危険度に関する管理状態が同じであるので、非類似スコアの値は小さい。

なお、非類似スコアを算出する式（(31)式）の各項に対する重みはなく、各項の値は、０〜１の間の値である。また、(31)式の例では、アクセス可能者の非一致の割合、個人情報ファイルＦの格納場所危険度と個人情報ファイルｉの格納場所危険度との差（絶対値）、及び、個人情報ファイルＦの個人情報集団危険度と個人情報ファイルｉの個人情報集団危険度との差（絶対値）を用いて非類似スコアが算出されるが、危険類似度算出部３２４は、それらのうちの任意の１つ又は２つを用いて提示スコアを算出してもよい。例えば、アクセス可能者の非一致の割合のみを用いて非類似スコアを算出したり、個人情報ファイルＦの格納場所危険度と個人情報ファイルｉの格納場所危険度との差のみを用いて非類似スコアを算出してもよい。

その後、危険類似度算出部３２４は、返却用データＤをユーザ端末４に送信する。ユーザ端末４において、情報提示部４１は、返却用データＤをユーザに提示する。例えば、返却用データＤを表示する。その際、情報提示部４１は、個人情報ファイルを、非類似スコアが低い（非類似スコアの値が小さい、すなわち、類似度が高い。）順に、個人情報ファイルを特定可能な情報をユーザに提示する。

なお、上記の実施形態では、提示スコア算出部３３１は、提示スコアを、アクセス可能者数、格納場所危険度及び個人情報集団危険度を用いて算出したり、アクセス可能者数のみを用いて提示スコアを算出したが、(41)〜(42)式に示すように、ファイルの内容まで考慮して（例えば、個人情報数を勘案して）、提示スコアを算出してもよい。

(41)〜(42)式において、
S(i)は、個人情報ファイルｉの提示スコア
F(i)は、個人情報ファイルｉのアクセス可能者数のスコア関数
K(i)は、個人情報ファイルｉの個人情報数の危険度スコア関数
a,d は、それぞれ、重み値
Xiは、個人情報ファイルｉのアクセス可能者数
を示す。

また、非類似スコアについても、(31)〜(34)式とは異なる式で算出されてもよい。

以上のように、本実施形態では、多くのユーザに公開されている個人情報ファイルを、危険度が高い個人情報ファイルとして検出することができる。また、ファイルの内容ではなく、ファイルの管理状態に基づいて、個人情報ファイルの危険度を判定することができる。

さらに、意図されない場所にある個人情報ファイル（格納場所が適切ではない個人情報ファイル）を見いだすことも可能である。

また、ファイル管理装置３は、ユーザが危険である（個人情報が漏えいしやすい。）と判断した個人情報ファイルの危険度と類似する危険度を持つ他の個人情報ファイルをユーザに教えることができる。

なお、上記の実施形態では、提示スコアに基づいてユーザが選択した個人情報ファイルに関連して、非類似スコアが低い順に個人情報ファイル（具体的には、個人情報ファイルを特定可能な情報）がユーザに提示されたが、ファイル管理装置３は、あらかじめ定められたしきい値を越える提示スコアを有する個人情報ファイルを対象として、ユーザの選択を待つことなく、他の個人情報ファイル非類似スコアを算出して、あらかじめ定められたしきい値よりも小さい非類似スコアを持つ個人情報ファイルをユーザに通知するようにしてもよい。

また、上記の実施形態では、危険類似度算出部３２４は、選択された個人情報ファイルＦが属するフォルダ（親フォルダ）に属する他の個人情報ファイルについて非類似スコアを算出したが（図１２におけるステップＳ４０３参照）、別のフォルダに属する他の個人情報ファイルについても類似度を判定する（具体的には、非類似スコアを算出する。）ようにしてもよい。すなわち、ステップＳ４０３の判定処理を行わないようにしてもよい。その場合には、１人以上のアクセス可能者が一致する個人情報ファイルが類似度判定対象になり、例えば、情報漏えいが生じたときに、危険類似度算出部３２４は、情報が漏えいした個人情報ファイルが属するフォルダとは別のフォルダにある個人情報ファイルについても、類似度を判定して、管理状態が類似する個人情報ファイルをユーザに提示することができる。

また、情報が漏えいしたときに不正アクセス者（ユーザ）を特定できるのであれば、危険類似度算出部３２４は、図１２におけるステップＳ４０７の処理で、特定されたユーザ（ユーザ／グループ管理テーブル３２５４に登録されているUSER_ID 又は名前）がアクセスした又はアクセスする可能性がある個人情報ファイルを対象として、類似度を算出して提示することができる。

また、ファイル管理装置３は、適切なファイル管理をしていないユーザを特定することもできる。具体的には、提示スコア算出部３３１は、提示スコアが０よりも大きい個人情報ファイルについて、ファイル・フォルダ情報管理テーブル３２５１に設定されているファイルの所有者情報（又は、作成者もしくは管理者）を確認することによって、その個人情報ファイルを設定したユーザを特定できる。特定されたユーザが所有者になっているファイル数をカウントすることによって、そのユーザをスコアリングできる。そして、ユーザ端末４は、所有者になっているファイル数が多い順にユーザを提示することによって、適切なファイル管理をしていないユーザのランキングを提示することができる。

また、個人情報集団危険度算出部３２２は、図１０におけるステップＳ３０６の処理に代えて、取り扱っている個人情報ファイルが属するフォルダ内の個人情報ファイルのうち、アクセス可能者が一致してるか又はアクセス可能者が重複している個人情報ファイルの数をカウントしてもよい。その場合には、同一フォルダ内でアクセス可能者が少ない個人情報ファイルを除外して個人情報ファイルがカウントされ、危険度算出の精度が向上することが期待される。

実施形態２．
提示スコア算出部３３１は、特定フォルダに属する個人情報ファイルの提示スコアを大きくすることもできる。例えば、「個人情報ファイル」が１つも存在しないフォルダに新たに個人情報ファイルが作成された場合、そのフォルダに関して提示スコアを大きくする。

図１４は、新たに個人情報ファイルが作成されたときにそのフォルダに関して提示スコアを大きくする場合に使用されるファイル・フォルダ情報管理テーブル３２５１の構成例及び設定データの一例を示す説明図である。図１４に示すファイル・フォルダ情報管理テーブル３２５１は、図２に示されたファイル・フォルダ情報管理テーブル３２５１に対して、「現在の個人情報ファイル数」の欄と「１つ前の個人情報ファイル数」の欄とが追加されている。

図１５は、提示スコア算出部３３１が特定フォルダに属する個人情報ファイルの提示スコアを大きくする処理を示すフローチャートである。

提示スコア算出部３３１は、図１４に例示されたファイル・フォルダ情報管理テーブル３２５１に基づいて、現在属している個人情報ファイルの数が１以上であってそれらの個人情報ファイルが作成される前の個人情報ファイルの数（１つ前の個人情報ファイル数）が０であるフォルダがあるか否か確認する（ステップＳ５０１）。そのようなフォルダが存在しない場合には（ステップＳ５０２）、処理を終了する。

そのようなフォルダが存在する場合には、そのフォルダに属する個人情報ファイルの提示スコアSiに１を加算する（ステップＳ５０３）。ただし、加算される値は正規化後の値である。また、重み値（(11)式参照）を考慮した値を加算するようにしてもよい。

以上のような処理によって、今まで個人情報ファイルが存在していなかったフォルダに個人情報ファイルが登録されたときに、その個人情報ファイルが適切なフォルダに対して作成されたか否かを確認することが可能になる。

上記の各実施形態のファイル管理装置３を、以下のような用途に使用することができる。ただし、以下の用途は例示であって、ファイル管理装置３の用途は以下のものに限定されない。

企業内において、社員全員に公開されているなど、情報が漏えいしやすい状態にあるファイルを発見する。

個人情報ファイルと非個人情報ファイルとが混在しているフォルダを容易に発見する。

意図しない場所（フォルダ）に個人情報ファイルが存在するなど、個人情報ファイルの管理が適切になされていないことを確認する。

個人情報を多く含む適切に管理されていない個人情報ファイルのみを検出する。

ある個人情報ファイルから情報が漏えいしたときに、同様に情報が漏えいする可能性がある他の個人情報ファイルを検出する。

同じように情報が漏えいする可能性がある管理状態にある個人情報ファイルを一括して検出する。また、検出された個人情報ファイルに対して適切な対策を施す。

図１６は、本発明によるファイル管理装置の主要部を示すブロック図である。図１６に示すように、ファイル管理装置１００は、一のフォルダに属する個人情報ファイルの数を計数する第１計数部１０１（実施形態では、格納場所危険度算出部３２１で実現される。）と、フォルダに属する個人情報を含まない非個人情報ファイルの数を計数する第２計数部１０２（実施形態では、格納場所危険度算出部３２１で実現される。）と、個人情報ファイルの数と非個人情報ファイルの数との和に対する非個人情報ファイルの数の割合である非個人情報ファイル割合に基づいて、フォルダに属する個人情報ファイルからの情報漏えいの可能性を判定する判定部１０４（実施形態では、格納場所危険度算出部３２１を含む危険度・類似度算出サーバ３２で実現される。）とを備えている。

ファイル管理装置１００は、図１７に示すように、個人情報ファイルに対するアクセス可能者の数を計数する第３計数部１０３（実施形態では、アクセス可能者数算出部３２３で実現される。）を備え、判定部１０４（実施形態では、個人情報集団危険度算出部３２２を含む危険度・類似度算出サーバ３２で実現される。）は、第３計数部１０３による計数値が所定のしきい値を越えている場合に、当該個人情報ファイルが属するフォルダ内の個人情報ファイルの数であるフォルダ内ファイル数に基づいて情報漏えいの可能性を判定するように構成されていてもよい。

ファイル管理装置１００は、図１８に示すように、情報漏えいの可能性がある一の個人情報ファイルの管理状態と類似する管理状態にある他の個人情報ファイルを特定する類似個人情報ファイル特定部１０５（実施形態では、危険類似度算出部３２４で実現される。）を備えていてもよい。

なお、上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下に限られない。

（付記１）コンピュータによって実施されるファイル管理方法であって、一のフォルダに属する個人情報ファイルの数を計数し、前記フォルダに属する個人情報を含まない非個人情報ファイルの数を計数し、前記個人情報ファイルの数と前記非個人情報ファイルの数との和に対する前記非個人情報ファイルの数の割合である非個人情報ファイル割合に基づいて、前記フォルダに属する前記個人情報ファイルからの情報漏えいの可能性を判定するファイル管理方法。

（付記２）コンピュータで実現されるファイル管理装置であって、コンピュータは、一のフォルダに属する個人情報ファイルの数を計数し、前記フォルダに属する個人情報を含まない非個人情報ファイルの数を計数し、前記個人情報ファイルの数と前記非個人情報ファイルの数との和に対する前記非個人情報ファイルの数の割合である非個人情報ファイル割合に基づいて、前記フォルダに属する前記個人情報ファイルからの情報漏えいの可能性を判定するファイル管理装置。

（付記３）コンピュータは、個人情報ファイルに対するアクセス可能者の数を計数し、前記計数値が所定のしきい値を越えている場合に、当該個人情報ファイルが属するフォルダ内の個人情報ファイルの数であるフォルダ内ファイル数に基づいて情報漏えいの可能性を判定する付記２に記載のファイル管理装置。

（付記４）コンピュータは、情報漏えいの可能性がある一の個人情報ファイルの管理状態と類似する管理状態にある他の個人情報ファイルを特定する付記２又は付記３に記載のファイル管理装置。

（付記５）個人情報ファイルの管理状態は、少なくとも、前記一の個人情報ファイルに対するアクセス可能者と前記他の個人情報ファイルに対するアクセス可能者との間での非一致の数、前記一の個人情報ファイルについての非個人情報ファイル割合と前記他の個人情報ファイルについての非個人情報ファイル割合との差、および、前記一の個人情報ファイルについてのフォルダ内ファイル数と前記他の個人情報ファイルについてのフォルダ内ファイル数との差のいずれかで判定される付記２から付記４のいずれかに記載のファイル管理装置。

（付記６）ファイル管理プログラムを格納する非一時的な記録媒体であって、コンピュータによって実行されるときに、一のフォルダに属する個人情報ファイルの数を計数し、前記フォルダに属する個人情報を含まない非個人情報ファイルの数を計数し、前記個人情報ファイルの数と前記非個人情報ファイルの数との和に対する前記非個人情報ファイルの数の割合である非個人情報ファイル割合に基づいて、前記フォルダに属する前記個人情報ファイルからの情報漏えいの可能性を判定する。

（付記７）コンピュータによって実行されるときに、個人情報ファイルに対するアクセス可能者の数を計数し、計数値が所定のしきい値を越えている場合に、当該個人情報ファイルが属するフォルダ内の個人情報ファイルの数であるフォルダ内ファイル数に基づいて情報漏えいの可能性を判定する付記６に記載の記録媒体。

（付記８）コンピュータによって実行されるときに、情報漏えいの可能性がある一の個人情報ファイルの管理状態と類似する管理状態にある他の個人情報ファイルを特定する付記６又は付記７に記載の記録媒体。

（付記９）個人情報ファイルの管理状態は、少なくとも、前記一の個人情報ファイルに対するアクセス可能者と前記他の個人情報ファイルに対するアクセス可能者との間での非一致の数、前記一の個人情報ファイルについての非個人情報ファイル割合と前記他の個人情報ファイルについての非個人情報ファイル割合との差、および、前記一の個人情報ファイルについてのフォルダ内ファイル数と前記他の個人情報ファイルについてのフォルダ内ファイル数との差のいずれかで判定される付記６から付記８のいずれかに記載の記録媒体。

１ ファイルサーバ
２ ユーザ／グループ管理サーバ
３ ファイル管理装置
４ ユーザ端末
１１ ファイル群
２１ ユーザ／グループ情報データベース
３１ 個人情報検出サーバ
３２ 危険度・類似度算出サーバ
３３ スコアリングサーバ
４１ 情報提示部
４２ 情報選択部
１００ ファイル管理装置
１０１ 第１計数部
１０２ 第２計数部
１０３ 第３計数部
１０４ 判定部
１０５ 類似個人情報ファイル特定部
３１１ 個人情報検出部
３２１ 格納場所危険度算出部
３２２ 個人情報集団危険度算出部
３２３ アクセス可能者数算出部
３２４ 危険類似度算出部
３２５ 個人情報ファイル関連データベース
３３１ 提示スコア算出部
３２５１ ファイル・フォルダ情報管理テーブル
３２５２ 個人情報検出情報管理テーブル
３２５３ アクセス権限管理テーブル
３２５４ ユーザ／グループ管理テーブル
３２５５ グループ所属ユーザ管理テーブル
３２５６ 危険度管理テーブル

Claims (10)

1. 一のフォルダに属する個人情報ファイルの数を計数し、
   前記フォルダに属する個人情報を含まない非個人情報ファイルの数を計数し、
   前記個人情報ファイルの数と前記非個人情報ファイルの数との和に対する前記非個人情報ファイルの数の割合である非個人情報ファイル割合に基づいて、前記フォルダに属する前記個人情報ファイルからの情報漏えいの可能性を判定する
   ことを特徴とするファイル管理方法。
2. 個人情報ファイルに対するアクセス可能者の数を計数し、
   計数値が所定のしきい値を越えている場合に、当該個人情報ファイルが属するフォルダ内の個人情報ファイルの数であるフォルダ内ファイル数に基づいて情報漏えいの可能性を判定する
   請求項１記載のファイル管理方法。
3. 情報漏えいの可能性がある一の個人情報ファイルの管理状態と類似する管理状態にある他の個人情報ファイルを特定する
   請求項１または請求項２記載のファイル管理方法。
4. 個人情報ファイルの管理状態を、少なくとも、前記一の個人情報ファイルに対するアクセス可能者と前記他の個人情報ファイルに対するアクセス可能者との間での非一致の数、前記一の個人情報ファイルについての非個人情報ファイル割合と前記他の個人情報ファイルについての非個人情報ファイル割合との差、および、前記一の個人情報ファイルについてのフォルダ内ファイル数と前記他の個人情報ファイルについてのフォルダ内ファイル数との差のいずれかに基づいて判定する
   請求項３記載のファイル管理方法。
5. 一のフォルダに属する個人情報ファイルの数を計数する第１計数手段と、
   前記フォルダに属する個人情報を含まない非個人情報ファイルの数を計数する第２計数手段と、
   前記個人情報ファイルの数と前記非個人情報ファイルの数との和に対する前記非個人情報ファイルの数の割合である非個人情報ファイル割合に基づいて、前記フォルダに属する前記個人情報ファイルからの情報漏えいの可能性を判定する判定手段とを備えた
   ことを特徴とするファイル管理装置。
6. 個人情報ファイルに対するアクセス可能者の数を計数する第３計数手段を備え、
   判定手段は、前記第３計数手段による計数値が所定のしきい値を越えている場合に、当該個人情報ファイルが属するフォルダ内の個人情報ファイルの数であるフォルダ内ファイル数に基づいて情報漏えいの可能性を判定する
   請求項５記載のファイル管理装置。
7. 情報漏えいの可能性がある一の個人情報ファイルの管理状態と類似する管理状態にある他の個人情報ファイルを特定する類似個人情報ファイル特定手段を備えた
   請求項５または請求項６記載のファイル管理装置。
8. コンピュータに、
   一のフォルダに属する個人情報ファイルの数を計数する処理と、
   前記フォルダに属する個人情報を含まない非個人情報ファイルの数を計数する処理と、
   前記個人情報ファイルの数と前記非個人情報ファイルの数との和に対する前記非個人情報ファイルの数の割合である非個人情報ファイル割合に基づいて、前記フォルダに属する前記個人情報ファイルからの情報漏えいの可能性を判定する処理と
   を実行させるためのファイル管理プログラム。
9. コンピュータに、
   個人情報ファイルに対するアクセス可能者の数を計数する処理と、
   計数値が所定のしきい値を越えている場合に、当該個人情報ファイルが属するフォルダ内の個人情報ファイルの数であるフォルダ内ファイル数に基づいて情報漏えいの可能性を判定する処理とを実行させる
   請求項８記載のファイル管理プログラム。
10. コンピュータに、
    情報漏えいの可能性がある一の個人情報ファイルの管理状態と類似する管理状態にある他の個人情報ファイルを特定する処理を実行させる
    請求項８または請求項９記載のファイル管理プログラム。

Images