JP2022016441A - 情報処理装置、プログラム、及び、情報処理装置の制御方法 - Google Patents

Abstract

【課題】情報漏洩リスクを抑止する情報処理装置、その制御方法及びプログラムを提供する。
【解決手段】全体システムにおいて、社員用端末１００は、撮影判定部１０４が撮影装置画像データが含まれていると判定した場合、また、ルータ判定部１０６により接続先の無線ルータのＳＳＩＤが使用許容ルータのＳＳＩＤに該当しないと判定した場合、所定の処理を実行する。所定の処理には、所定の画像信号を出力する処理、画像信号の出力を制限する処理、管理者端末に通知する処理、社員用端末１００のログを記録する処理を含む。
【選択図】図３

Description

本開示は、情報漏洩リスクを抑制する技術に関するものである。

近年、社員の働く場所は社内だけではなく、シェアオフィス、会議室、電車内、ホテル、カフェ等と、社員の働く場所は遍在化する傾向にある。また、昨今、テレワークを推奨する会社も増加しており、社員が自宅で働く機会も増加傾向にある。

このように、社員の働く場所が遍在化していくことにより、社員が使用するパーソナルコンピュータやモバイル端末等の情報処理装置に表示される画像情報（電子メール、機密文書、図面等）の情報漏洩リスクは、ますます高まっていく。

このような情報漏洩リスクに対応する技術として、顔画像を検出することにより他者による覗き見の有無を判断し、他者による覗き見であると判断した場合、覗き見対策処理（視野角制御フィルタをオンする等）を行うものが開示されている（例えば、特許文献１参照）。

また、情報漏洩リスクに対応する技術として、特許文献２には、情報端末が備えるカメラにより撮影した画像情報や音声情報をサーバに送信し、サーバにより画像情報や音声情報を分析することによって、情報漏洩リスク度を決定するものが開示されている（例えば、特許文献２参照）。

特開２０１０－１２８７７８号公報 特開２０１９－１１７４８３号公報

しかしながら、これらの特許文献に開示された技術では、情報処理装置に表示された画像情報が第三者に覗き見されることによる情報漏洩リスクを抑制することは可能であるが、第三者による覗き見以外には対応できないという課題があった。

本開示は、上記事情に鑑みてなされたものであり、情報漏洩リスクを抑止することが可能な技術を提供することを目的とする。

上記目的を達成するために、本開示の情報処理装置は、使用者の操作に応じた画像を表示する表示部を備え、ルータに接続することによりネットワークを介して情報を送受信することが可能な情報処理装置であって、所定の事象が生じているか否かを判定する判定手段と、前記所定の事象が発生していると判定した場合、所定の処理を実行する制御手段と、を備えることによって、情報漏洩リスクを抑止する。

本開示の情報処理装置において、前記制御手段は、前記所定の事象が発生していると判定した場合、所定の画像信号を出力する処理又は画像信号の出力を制限する処理を実行することによって、情報漏洩リスクを抑止する。

本開示の情報処理装置において、前記制御手段は、前記所定の事象が発生していると判定した場合、管理者端末に通知する処理を実行することによって、情報漏洩リスクを抑止する。

本開示の情報処理装置において、前記制御手段は、前記所定の事象が発生していると判定した場合、前記情報処理端末のログを記録する処理を実行することによって、情報漏洩リスクを抑止する。

本開示の情報処理装置において、前記使用者を撮影する撮影手段を備え、前記所定の事象は、前記撮影された撮影画像に撮影装置画像が含まれていることであり、前記判定手段は、前記撮影画像に撮影装置画像が含まれているか否かを判定し、前記撮影画像に前記撮影装置画像が含まれていると判定した場合、前記使用者の操作に応じた画像を表示しないことによって、情報処理装置に表示される画像が撮影装置により撮影されることによる情報漏洩リスクを抑止する。

本開示の情報処理装置において、前記判定手段は、前記撮影画像に前記撮影装置画像が含まれている場合、前記撮影装置画像が撮影装置毎に設定したサイズよりも大きいサイズであるか否かを判定し、前記撮影装置画像が前記撮影装置毎に設定したサイズよりも大きいサイズであると判定した場合、前記撮影画像に前記撮影装置画像が含まれていると判定することによって、撮影装置画像が設定サイズよりも小さいサイズである場合は、情報処理装置に表示される画像を撮影することは困難であるため、情報漏洩リスクを抑止しつつ、使用者の作業効率が低下しないようにする。

本開示の情報処理装置において、前記判定手段は、前記撮影画像に前記撮影装置画像が含まれている場合、所定回数撮影された撮影画像に含まれる前記撮影装置画像の軌跡が設定軌跡範囲内であるか否かを判定し、前記撮影装置画像の軌跡が前記設定軌跡範囲内であると判定した場合、前記撮影画像に前記撮影装置画像が含まれていると判定することによって、撮影装置画像が移動している場合は、情報処理装置に表示される画像を撮影する意図はないため、情報漏洩リスクを抑止しつつ、使用者の作業効率が低下しないようにする。

本開示の情報処理装置において、前記制御手段は、前記所定の事象が発生していると判定した場合、第１画像を第２画像に変更して表示することによって、情報処理装置に表示される画像が撮影装置により撮影されることによる情報漏洩リスクを抑止する。

本開示の情報処理装置において、前記所定の事象は、使用が許容されていない非許容ルータに接続されたことであり、前記判定手段は、ルータが、使用が許容された許容ルータであるか否かを判定し、前記制御手段は、前記許容ルータであると判定した場合、画像信号を外部出力し、前記許容ルータではないと判定した場合、画像信号の外部出力を制限する処理を含むことによって、情報処理装置が非許容ルータに接続されたことによる情報漏洩リスクを抑止する。

本開示の情報処理装置において、前記制御手段は、前記画像信号の外部出力を制限している状態において、所定条件が成立した場合、前記画像信号の外部出力の制限を解除することによって、非許容ルータに接続された場合であっても、例えば、管理者等が情報漏洩リスクはないと判断したときは、画像信号の外部出力の制限を解除することが可能である。

本開示のプログラムは、使用者の操作に応じた画像を表示する表示部を備え、ルータに接続することによりネットワークを介して情報を送受信することが可能な情報処理装置に実行させるプログラムであって、所定の事象が生じているか否かを判定する判定手段と、前記所定の事象が発生していると判定した場合、所定の処理を実行する制御手段と、して機能させることによって、情報処理装置における情報漏洩リスクを抑止する。

本開示の情報処理装置の制御方法は、使用者の操作に応じた画像を表示する表示部を備え、ルータに接続することによりネットワークを介して情報を送受信することが可能な情報処理装置の制御方法であって、所定の事象が生じているか否かを判定する判定ステップと、前記所定の事象が発生していると判定した場合、所定の処理を実行する制御ステップと、を実行することによって、情報処理装置における情報漏洩リスクを抑止する。

本開示によれば、情報漏洩リスクを抑止することが可能な技術を提供することができる。

本開示の実施形態に係る全体システム構成図である。 図１に示した社員用端末１００、ＶＤＩサーバ２００、および、管理サーバ３００に適用可能なハードウェア構成を示すブロック図である。 図１に示した社員用端末１００、および、管理サーバ３００の機能構成を示すブロック図である。 撮影判定の例を示す図である。 使用許容ルータ判定の例を示す図である。 社員用端末１００、ＶＤＩサーバ２００、および、管理サーバにおける処理の例を示すフローチャートである。 社員用端末１００におけるルータ認証処理の例を示すフローチャートである。 社員用端末１００における撮影検知処理の例を示すフローチャートである。

（本開示の概要）
まず、本開示の概要について説明する。

本開示の情報漏洩リスク抑止技術は、パーソナルコンピュータ等の情報処理装置に具備または接続されるカメラによって、所定の事象として、第三者が所持するカメラやカメラ付携帯端末等の撮影装置の画像を検知したことによって、所定の処理を実行するというものである。この所定の処理には、所定の画像信号を出力する処理又は画像信号の出力を制限する処理を実行する処理、管理者端末に通知する処理、情報処理端末のログを記録する処理などが含まれる。

また、本開示の情報漏洩リスク抑止技術は、所定の事象として、情報処理装置が予め登録された使用許容ルータ以外のルータに接続された場合、所定の処理を実行するというものである。

以下、図面を参照しながら本開示を実施するための形態（以下、本開示の実施形態という）について詳細に説明する。

（全体システム構成）
次に、本開示の実施形態に係る全体システム構成について説明する。図１は、本開示の実施形態に係る全体システム構成図である。本開示の実施形態に係る全体システム１０は、情報処理装置である複数の社員用端末１００、ＶＤＩサーバ２００、管理サーバ３００、複数の無線ルータＡ４０１～無線ルータＥＦ４０４から構成される。社員用端末１００の一つを管理者端末とすることができる。

会社内で業務を行う社員が使用する社員用端末である社員１端末１００ａ、社員２端末１００ｂ、および、社員３端末１００ｃは社内に設置された無線ルータＡ４０１に接続され、社内ネットワーク（例えば、ＬＡＮ）を介してＶＤＩサーバ２００や管理サーバ３００に接続される。

また、社外１（例えば、自宅）で業務を行う社員が使用する社員用端末である社員４端末１００ｄは、自宅に設置された無線ルータＡＢ４０２に接続され、インターネット５００を介してＶＤＩサーバ２００や管理サーバ３００に接続される。

また、社外２（例えば、他社の会議室）で打合せを行う社員が使用する社員用端末である社員５端末１００ｅは、他社内に設置された無線ルータＣＤ４０３に接続され、インターネット５００を介してＶＤＩサーバ２００や管理サーバ３００に接続される。

また、社外３（例えば、シェアオフィス）で業務を行う社員が使用する社員用端末である社員６端末１００ｆは、シェアオフィス内に設置された無線ルータＥＦ４０４に接続され、インターネット５００を介してＶＤＩサーバ２００や管理サーバ３００に接続される。

社員用端末１００は、ＶＤＩサーバ２００、および、管理サーバ３００とそれぞれ通信するクライアントとして動作する。この社員用端末１００は、ノートブック型パーソナルコンピュータやデスクトップ型パーソナルコンピュータであってもよいし、タブレットコンピュータであってもよい。また、社員用端末１００は、シンクライアント端末であってもよい。

管理サーバ３００は、社員用端末１００が正当なものであるかを認証する機能、および、社員用端末１００に、必要に応じて各種データや各種プログラム等の情報を送信する機能を有する。また、管理サーバ３００は、各社員の社員用端末１００の稼働時間に基づいて業務時間を管理する機能、更新情報を社員用端末１００に送信する機能、および、ワンタイムパスワードを生成し社員用端末１００に送信する機能を有する。また、管理サーバ３００は、社員用端末１００の使用者が不特定の使用者であった場合又は撮影装置で撮影している撮影装置特定情報を受信した場合に、管理者端末に通知してもよい。

ＶＤＩサーバ２００は、仮想デスクトップ基盤（ＶＤＩ）を使用して仮想デスクトップ環境を社員用端末１００に提供するように構成されたサーバとして機能する。なお、仮想デスクトップ環境を提供するためにデスクトップ仮想化を実現する技術は複数知られているが、本開示の実施形態では、ＶＤＩを用いて説明する。

ＶＤＩサーバ２００は、仮想デスクトップ環境を提供するために、社員用端末１００上における各種の操作情報を受信し、社員用端末１００の画面に表示する画像情報や、画面の更新箇所に対応する画像情報を送信する。社員用端末１００では、この画像情報に応じた画面が表示されることにより、ＶＤＩサーバ２００上で実行される仮想デスクトップ環境が、社員用端末１００上で動作するデスクトップ環境と同様に使用することができる。なお、仮想デスクトップ環境を使用した作業の状況は記録されるようにしてもよい。特に所定の事象を検知した後においては社員用端末１００のログを記憶するようにしてもよい。

なお、本開示の実施形態に係る全体システム構成において、ＶＤＩサーバ２００は必須の構成ではない。また、ＶＤＩサーバ２００を使用しない場合、会社内にある端末（例えば、会社内での作業に使用する社員用端末１００）に、社外の社員用端末１００からリモート接続することによりリモートデスクトップ環境を用いるようにしてもよい。

（社員用端末１００、ＶＤＩサーバ２００、および、管理サーバ３００に適用可能なハードウェア構成）
次に、社員用端末１００、ＶＤＩサーバ２００、および、管理サーバ３００に適用可能なハードウェア構成について説明する。図２は、図１に示した社員用端末１００、ＶＤＩサーバ２００、および、管理サーバ３００に適用可能なハードウェア構成を示すブロック図である。

ＣＰＵ７０１は、システムバス７２０に接続される各デバイス等の統括制御を行う。また、ＲＯＭ７０２や記憶装置７０４には、ＣＰＵ７０１の制御プログラムである基本入出力システム（ＢＩＯＳ）やオペレーティングシステム（ＯＳ）が記憶されている。ＲＯＭ７０２や記憶装置７０４には、社員用端末１００であれば、社員用端末１００として機能するために必要な各種プログラム等が記憶され、ＶＤＩサーバ２００であれば、ＶＤＩサーバ２００として機能するために必要な各種プログラム等が記憶され、管理サーバ３００であれば、管理サーバ３００として機能するために必要な各種プログラム等が記憶される。また、社員用端末１００であれば、所定の事象を検知した後における社員用端末１００のログは、記憶装置７０４に記憶される。

ＲＡＭ７０３は、ＣＰＵ７０１のメインメモリやワークエリア等として機能する。ＣＰＵ７０１は、各種処理の実行において必要なプログラム等をＲＯＭ７０２または記憶装置７０４からＲＡＭ７０３に読み込んで、この読み込んだプログラム等を実行することによって各種動作を実現する。

通信Ｉ／Ｆ（通信インターフェース）７０５は、ネットワーク（ＬＡＮやインターネット）を介して外部装置と通信するものであり、ネットワークでの通信制御処理（例えば、ＴＣＰ／ＩＰを用いた通信等）を実行する。

カメラ（撮影手段）７０６は、例えば、ディスプレイ（表示部）７１１が設けられた面の上方に設けられており、ディスプレイ７１１を見ている操作者側の映像を撮影するものである。また、カメラ７０６には、広角レンズが装備されており、操作者および操作者の周囲の映像も撮影可能である。なお、カメラ７０６を設ける位置については、操作者および操作者の周囲の映像が撮影可能な位置であればよい。

スピーカ７０７は、各種の音を出力するものであり、マイク７０８は、操作者の音声や周囲の音を入力するものである。入力装置７０９は、キーボードやマウス等である。

グラフィックボード７１０は、映像信号を出力するものであり、ディスプレイ７１１が接続されている。また、グラフィックボード７１０は、例えば、ＨＤＭＩ（登録商標）端子やアナログＲＧＢ出力端子等の映像出力Ｉ／Ｆ（映像出力インターフェース）７１２を有しており、映像出力Ｉ／Ｆ７１２に接続された映像機器（ディスプレイ、プロジェクタ等）に映像信号を出力する。

（社員用端末１００、および、管理サーバ３００の機能構成）
次に、社員用端末１００、および、管理サーバ３００の機能構成について説明する。図３は、図１に示した社員用端末１００、および、管理サーバ３００の機能構成を示すブロック図である。

画像入力部（撮影手段）１０１は、カメラ７０６により撮影された画像データを使用者認証部１０２、および、撮影判定部１０４に送信する。なお、画像入力部は、例えば、１秒間に１０枚の画像データを送信するように設定されているため、フレームレートは１０ｆｐｓである。

使用者顔画像データ記憶部１０３には、社員用端末１００の使用が許可された各使用者（社員）の使用者ＩＤ（使用者識別子）と対応付けられて顔画像データと、顔画像データにおける特徴を示す特徴量データ等からなる使用者顔画像データが記憶されている。

使用者判定部（判定手段）１０２は、画像入力部１０１から受信した画像データに含まれる顔画像データを特定する。そして、特定した顔画像データと使用者顔画像データ記憶部１０３に記憶された使用者顔画像データとを照合し、使用者顔画像データの中に一致度が所定レベル（例えば、８０％）以上であるデータがあるか否かを判定する。そして、使用者顔画像データの中に一致度が所定レベル以上であるデータが存在すると判定した場合、画像入力部１０１から受信した画像データに含まれる顔画像データは、社員用端末１００の使用が許可された使用者の顔画像データであると判定し、この使用者顔画像データに対応付けられた使用者ＩＤを含む使用者特定情報を漏洩防止制御部１０９に送信する。使用者判定部１０２は、使用者判定結果情報を随時、つまり、画像入力部１０１のフレームレートが１０ｆｐｓであるので、１秒間に約１０回、漏洩防止制御部１０９に送信する。なお、使用者判定部１０２は、画像入力部１０１から受信した画像データから顔画像データが特定できない場合、顔画像データが特定できないことを示す使用者不特定情報を漏洩防止制御部１０９に送信する。なお、使用者判定部１０２は、機械学習等を活用したＡＩ（人工知能）によるＡＩモデルであってもよい。そして、このようにした場合、例えば、管理サーバ３００から社員用端末１００に送信されるＡＩモデルによって、使用者判定部１０２のＡＩモデルが更新されるようにしてもよい。

撮影判定用画像データ記憶部１０５には、撮影装置である複数のカメラの各形状に対応した複数のカメラ画像データや、複数のカメラ付携帯端末の各形状に対応した複数のカメラ付携帯端末画像データ等からなる複数の撮影装置画像データが記憶されている。なお、撮影判定用画像データ記憶部１０５に記憶される撮影装置画像データは、撮影判定部１０４による検知速度を優先するため、カメラやカメラ付携帯端末の輪郭の特徴を示す輪郭画像データ等の簡素な画像データとしている。

撮影判定部（判定手段）１０４は、撮影判定用画像データ記憶部１０５に記憶された撮影装置判定用画像データを読み込み、画像入力部１０１から受信した画像データにおいて撮影装置判定用画像データと一致する画像があるか否かを判定する。そして、撮影装置判定用画像データとの一致度が所定レベル（例えば、６０％）以上であるデータが存在すると判定した場合、画像入力部１０１から受信した画像データには、撮影装置画像データが含まれていると判定する。

また、撮影判定部１０４は、撮影装置画像データが含まれていると判定した場合、画像入力部１０１から受信した次回以降の画像データにおいても、前回と同様の撮影装置判定用画像データと一致する画像があるか否かを判定する。撮影判定部１０４は、このような判定を所定回数（例えば、計３回）実行することにより、各画像データにおいて同じ撮影装置画像データが存在するか否かを判定する。また、各画像データにおいて同じ撮影装置画像データが存在する場合、この撮影装置画像データの軌跡が設定範囲内であるか否かを判定する。そして、各画像データにおいて同じ撮影装置画像データが存在し、かつ、この撮影装置画像データの軌跡が設定範囲（例えば、撮影装置画像データのサイズの１．２倍の領域）内であると判定した場合、撮影装置により社員用端末１００の画面が撮影される可能性があると判定する。撮影装置により社員用端末１００の画面が撮影される可能性があると判定した場合、撮影装置特定情報を漏洩防止制御部１０９に送信する。なお、撮影装置画像データの軌跡が設定範囲を超えている場合、撮影装置は移動しているため、撮影装置により社員用端末１００の画面を撮影する意図はないと判断する。

撮影判定部１０４は、撮影装置特定情報の送信後において画像入力部１０１から受信した画像データに撮影装置判定用画像データと一致する画像が含まれていない（撮影装置画像データが存在しない）と判定した場合、漏洩防止制御部１０９に撮影装置不特定情報を送信する。なお、撮影判定部１０４は、画像入力部１０１から受信した画像データに含まれる撮影装置画像データの大きさが撮影装置毎に設定したサイズ（設定画素数）よりも小さい場合は、社員用端末１００の画面の撮影が困難な距離であるため、撮影装置画像データが含まれていると判定しない。なお、撮影判定部１０４は、機械学習等を活用したＡＩ（人工知能）によるＡＩモデルであってもよい。そして、このようにした場合、例えば、管理サーバ３００から社員用端末１００に送信されるＡＩモデルによって、撮影判定部１０４のＡＩモデルが更新されるようにしてもよい。

使用許容ルータデータ記憶部１０７には、使用許容ルータデータとして、社員用端末１００の接続が許可された無線ルータ（使用許容ルータ）のＳＳＩＤ（サービスセット識別子）が記憶されている。

ルータ判定部（判定手段）１０６は、社員用端末１００が接続された無線ルータのＳＳＩＤが使用許容ルータデータ記憶部１０７に記憶された使用許容ルータのＳＳＩＤに該当するか否かを判定する。社員用端末１００が接続された無線ルータのＳＳＩＤが使用許容ルータのＳＳＩＤに該当すると判定した場合、使用許容ルータのＳＳＩＤと使用者ＩＤを含む使用許可ルータ接続情報を漏洩防止制御部１０９に送信する。また、社員用端末１００が接続された無線ルータのＳＳＩＤが、使用許容ルータのＳＳＩＤに該当しないと判定した場合、使用不許可ルータのＳＳＩＤと使用者ＩＤを含む使用不許可ルータ接続情報を漏洩防止制御部１０９に送信する。

漏洩防止制御部（制御手段）１０９は、所定の事象として、使用者判定部１０２から使用者不特定情報を受信した場合、および、撮影判定部１０４から撮影装置特定情報を受信した場合、所定の画像信号を出力する処理又は画像信号の出力を制限する処理を実行する処理、管理者端末に通知する処理、情報処理端末のログを記録する処理などの所定の処理を実行する。漏洩防止制御部１０９は、所定の画像信号を出力する処理として、ディスプレイ７１１への画像信号を現在の画像信号（第１画像）からスクリーンセイバー画像信号（第２画像）に変更して出力する。なお、スクリーンセイバー画像信号以外の信号に変更して出力するようにしてもよい。また、ポップアップ画像を出力するようにしてもい。漏洩防止制御部１０９は、所定の事象が発生した場合にバックグラウンドで管理者端末に通知するようにしてもよい。このとき、漏洩防止制御部１０９は、画面の情報を変えずに管理者端末に通知するようにしてもよい。
また、撮影装置特定情報を受信した場合、稼働時間管理部３０１に使用者ＩＤを含む撮影検知情報を送信する。

また、漏洩防止制御部１０９は、ルータ判定部１０６から使用許可ルータ接続情報、または、使用不許可ルータ接続情報を受信した場合、稼働時間管理部３０１に稼働情報を送信する。そして、使用許可ルータ接続情報、または、使用不許可ルータ接続情報に含まれるＳＳＩＤを接続先ルータ情報として記憶する。なお、新たに受信した使用許可ルータ接続情報、または、使用不許可ルータ接続情報に含まれるＳＳＩＤが記憶している接続先ルータ情報のＳＳＩＤと異なる場合、新たに受信した使用許可ルータ接続情報、または、使用不許可ルータ接続情報に含まれるＳＳＩＤを新たな接続先ルータ情報として記憶する。

また、漏洩防止制御部１０９は、ルータ判定部１０６から使用不可ルータ接続情報を受信した場合、映像出力部１０８における映像出力Ｉ／Ｆ（外部出力）７１２を無効化（映像信号の出力を停止）する。漏洩防止制御部１０９は、映像出力部１０８における映像出力Ｉ／Ｆ７１２の無効化後においてパスワード入力部１１０から送信されたワンタイムパスワードが、後述するパスワード生成部３０９から受信したワンタイムパスワードと一致した場合、映像出力部１０８における映像出力Ｉ／Ｆ７１２を有効化（映像信号の出力を許容）する。
漏洩防止制御部１０９は、ルータ判定部１０６から使用不可ルータ接続情報を受信した場合、ディスプレイ７１１への画像信号を現在の画像信号からスクリーンセイバー画像信号に変更するように別の画像信号を出力するようにしてもよい。ポップアップ画像を出力するようにしてもよい。また、管理サーバ３００を介して管理者端末に通知するようにしてもよい。さらに、対象となる社員用端末１００のログを記録するようにして、後で解析をすることができるようにしてもよい。

稼働時間管理部３０１は、漏洩防止制御部１０９から受信した稼働情報、撮影検知情報、解除情報等に基づいて社員用端末１００の稼働時間を管理する。稼働時間管理部３０１は、社員用端末１００の稼働が終了した場合、社員用端末１００の稼働時間を稼働時間記憶部３０２に記憶させる。

使用者顔画像データ更新部３０３は、使用者顔画像データ登録部３０４に登録された使用者顔画像データが更新されたか否かを判定し、使用者顔画像データが更新されたと判定した場合、更新された使用者顔画像データ（新たな使用者顔画像データ）を漏洩防止制御部１０９に送信する。漏洩防止制御部１０９は、使用者顔画像データ更新部３０３から新たな使用者顔画像データを受信すると、使用者顔画像データ記憶部１０３に記憶された使用者顔画像データを新たな使用者顔画像データに更新する。

撮影判定用データ更新部３０５は、撮影判定用画像データ登録部３０６に登録された撮影装置判定用画像データが更新されたか否かを判定し、撮影装置判定用画像データが更新されたと判定した場合、更新された撮影装置判定用画像データ（新たな撮影装置判定用画像データ）を漏洩防止制御部１０９に送信する。漏洩防止制御部１０９は、撮影判定用データ更新部３０５から新たな撮影装置判定用画像データを受信すると、撮影判定用画像データ記憶部１０５に記憶された撮影装置判定用画像データを新たな撮影装置判定用画像データに更新する。

使用許容ルータ更新部３０７は、使用許容ルータ登録部３０８に登録された使用許容ルータデータが更新されたか否かを判定し、使用許容ルータデータが更新されたと判定した場合、更新された使用許容ルータデータ（新たな使用許容ルータデータ）を漏洩防止制御部１０９に送信する。漏洩防止制御部１０９は、使用許容ルータ更新部３０７から新たな使用許容ルータデータを受信すると、使用許容ルータデータ記憶部１０７に記憶された使用許容ルータデータを新たな使用許容ルータデータに更新する。

パスワード生成部３０９は、外部端末（例えば、管理者（上長）等が使用する社員用端末１００）からワンタイムパスワードの生成要求を受信した場合、ワンタイムパスワードを生成し、生成したワンタイムパスワードを漏洩防止制御部１０９および外部端末に送信する。漏洩防止制御部１０９は、パスワード生成部３０９から受信したワンタイムパスワードとパスワード入力部１１０から受信したワンタイムパスワード（例えば、管理者等から伝えられ、使用者が入力したワンタイムパスワード）が一致するか否かを判定する。漏洩防止制御部１０９は、ワンタイムパスワードが一致した場合、使用不可ルータのＳＳＩＤを一時使用が許可されたルータ（一時使用許可ルータ）のＳＳＩＤとして記憶する。

（撮影判定の例）
次に撮影判定の例について説明する。図４は、撮影判定の例を示す図である。

図４（ａ）は、撮影装置により社員用端末１００の画面が撮像される可能性があると判定される例を示している。この図に示すように、使用者画像の周囲にカメラ付携帯端末画像Ｇ０１（または、カメラ画像Ｇ０２）が撮影装置毎に設定したサイズ以上であり、かつ、カメラ付携帯端末画像Ｇ０１（または、カメラ画像Ｇ０２）の軌跡が設定範囲内にあると判定した場合、撮影装置により社員用端末１００の画面が撮像される可能性があると判定される。そして、撮影装置により社員用端末１００の画面が撮像される可能性があると判定された場合、スクリーンセイバー画像を表示する。スクリーンセイバー画像のように第１画像から第２画像に表示を変更するのに代えて、ポップアップ画像のように現在の画像に別の画像を重ねて表示するようにしてもよい。画像（映像）出力を遮断してもよい。また、管理者端末に通知し、又は対象となる社員用端末１００のログを記録するようにしてもよい。また、例えば、所定の解除処理等が行われた場合、通常の状態にする。

図４（ｂ）は、撮影装置により社員用端末１００の画面が撮像される可能性がないと判定される例を示している。この図に示すように、使用者画像の周囲にカメラ付携帯端末画像Ｇ０１（または、カメラ画像Ｇ０２）が撮影装置毎に設定したサイズ以下であると判定した場合、または、カメラ付携帯端末画像Ｇ０１（または、カメラ画像Ｇ０２）が撮影装置毎に設定したサイズ以上であってもカメラ付携帯端末画像Ｇ０１（または、カメラ画像Ｇ０２）の軌跡が設定範囲を超えていると判定した場合、撮影装置により社員用端末１００の画面が撮像される可能性がないと判定される。

（使用許容ルータ判定の例）
次に使用許容ルータ判定の例について説明する。図５は、使用許容ルータ判定の例を示す図である。

図５（ａ）は、使用許容ルータデータに登録された無線ルータに接続した場合の例を示している。この図に示すように、社員用端末１００が接続した無線ルータが使用許容ルータデータに登録された無線ルータＡ４０１であると判定された場合、外部への映像出力が有効化（ＯＮ）される。

図５（ｂ）は、使用許容ルータデータに登録されていない無線ルータに接続した場合の例を示している。この図に示すように、社員用端末１００が接続した無線ルータが使用許容ルータデータに登録されていない無線ルータＡＢ４０２である場合、外部への映像出力が無効化（ＯＦＦ）される。そして、外部への映像出力が無効化（ＯＦＦ）された場合、ワンタイムワードが入力され、この入力されたワンタイムパスワードが認証された場合、外部への映像出力が有効化される。このように映像出力の制限に代えて、現在の画像に代えて別の画像を表示したり、現在の画像に重ねて別の画像を表示したりするようにしてもよい。また、管理者端末に通知し、又は対象となる社員用端末１００のログを記録するようにしてもよい。この場合も、ワンタイムパスワードの入力によって別の画像の表示が終了されるようにしてもよい。

（社員用端末１００、ＶＤＩサーバ２００、および、管理サーバにおける処理の例）
次に社員用端末１００、ＶＤＩサーバ２００、および、管理サーバにおける処理の例について説明する。図６は、社員用端末１００、ＶＤＩサーバ２００、および、管理サーバにおける処理の例を示すフローチャートである。

社員用端末１００において、まず、ログイン処理を実行する（Ｓ１０１）。このログイン処理では使用者を撮影し、撮影した画像データから特定された顔画像データと使用者顔画像データとを照合することにより、使用者の顔画像認証を実行する。

続いて、ログイン処理において使用者の顔画像が認証されたか否かを判定する（Ｓ１０２）。使用者の顔画像が認証されたと判定した場合、Ｓ１０３に処理を進める。一方、使用者の顔画像が認証されないと判定した場合、Ｓ１０１に処理を進める。

Ｓ１０２において使用者の顔画像が認証されたと判定した場合、Ｓ１０３において社員用端末１００を無線ルータに接続する（ログイン時のルータ接続）。

続いて、社員用端末１００がＶＤＩサーバ２００に接続されることにより、ＶＤＩサーバ２００においてユーザ認証（使用者の認証）が実行される。使用者が認証された場合、ＶＤＩサーバ２００は、認証された使用者の仮想デスクトップ環境を選択し、この仮想デスクトップ環境に応じた画面データを社員用端末１００に送信する。以後、社員用端末１００の入力装置７０９により入力された入力データがＶＤＩサーバ２００に送信され、この入力データを受信したＶＤＩサーバ２００は、入力データに応じた画面データを送信する。社員用端末１００では、ＶＤＩサーバ２００から送信される画面データが更新表示される。

また、社員用端末１００が管理サーバ３００に接続されることにより、管理サーバ３００において社員用端末１００の稼働時間の計測を開始する。管理サーバ３００は、更新データ（更新された使用者顔画像データ、更新された撮影装置判定用画像データ、更新された使用許容ルータデータ）がある場合、更新データを社員用端末１００に送信する。社員用端末１００は更新データを受信した場合、該当するデータの更新処理を実行する。

続いて、接続先の無線ルータのＳＳＩＤを確認する（Ｓ１０４）。

続いて、社員用端末１００は、接続された無線ルータは新たな無線ルータであるか否かを判定する。また、管理サーバ３００からワンタイムパスワード（ＯＴＰ）を受信しているか否かを判定する（Ｓ１０５）。ここでは、漏洩防止制御部１０９に記憶された接続先ルータ情報のＳＳＩＤと同じＳＳＩＤであるか否かを判定することにより、新たな無線ルータであるか否かを判定する。なお、漏洩防止制御部１０９に接続先ルータ情報が記憶されていない場合、新たな無線ルータであると判定する。接続された無線ルータは新たな無線ルータである、または、管理サーバ３００からワンタイムパスワードを受信していると判定した場合、Ｓ１０６に処理を進める。一方、接続された無線ルータは新たな無線ルータではない、または、管理サーバ３００からワンタイムパスワードを受信していないと判定した場合、Ｓ１０７に処理を進める。

Ｓ１０５において接続された無線ルータは新たな無線ルータである、または、管理サーバ３００からワンタイムパスワードを受信していると判定した場合、ルータ判定処理を実行する（Ｓ１０６）。

ここで、ルータ判定処理について説明する。図７は、社員用端末１００におけるルータ認証処理の例を示すフローチャートである。

ルータ判定処理では、まず、使用が許容された無線ルータであるか否かを判定する（Ｓ１０６１）。使用が許容された無線ルータであると判定した場合、Ｓ１０６２に処理を進める。一方、使用が許容された無線ルータではないと判定した場合、Ｓ１０６３に処理を進める。

Ｓ１０６１において使用が許容された無線ルータであると判定した場合、接続先ルータ情報を記憶する（Ｓ１０６２）。

Ｓ１０６１において使用が許容された無線ルータではない（使用不許可ルータである）と判定した場合、映像出力を無効化（ＯＦＦ）する（Ｓ１０６３）。

続いて、接続先ルータ情報を記憶する（Ｓ１０６４）。

続いて、ワンタイムパスワードの入力の有無を判定する（Ｓ１０６５）。ワンタイムパスワードの入力が有ると判定した場合、Ｓ１０６６に処理を進める。一方、ワンタイムパスワードの入力が無いと判定した場合、ルータ判定処理を終了する。

Ｓ１０５５においてワンタイムパスワードの入力が有ると判定した場合、ワンタイムパスワードの認証を行う（Ｓ１０６６）。ここでは、Ｓ１０５１において使用が許容された無線ルータではないと判定された以降において、管理サーバ３００から送信されたワンタイムパスワードを受信済（図６参照）であり、かつ、使用者によりワンタイムパスワードが入力済である場合、管理サーバ３００から受信したワンタイムパスワードと、使用者により入力されたワンタイムパスワードの認証を行う。

続いて、ワンタイムパスワードが認証されたか否かを判定する（Ｓ１０６７）。ワンタイムパスワードが認証されたと判定した場合、Ｓ１０６８に処理を進める。一方、ワンタイムパスワードが認証されないと判定した場合、認証エラー表示をした後、ルータ判定処理を終了する。

Ｓ１０６２において接続先ルータ情報を記憶した後、または、Ｓ１０６７においてワンタイムパスワードが認証されたと判定した場合、映像出力を有効化（ＯＮ）した（Ｓ１０６８）後、ルータ判定処理を終了する。図７においては、漏洩防止制御部１０９は、使用許可ルータでなかった場合に、画像信号の出力を制限し、パスワードでその制限を解除する例について説明したが、所定の事象が発生した場合に、所定の画像信号を出力し、パスワードでその制限を解除するようにしてもよい。また、漏洩防止制御部１０９は、使用許可ルータでなかった場合、管理者端末に通知し、対象となる社員用端末１００のログを記録するようにしてもよい。

図６に戻り、Ｓ１０６においてルータ判定処理が終了すると、続いて、撮影判定処理を実行する（Ｓ１０７）。

ここで、撮影判定処理について説明する。図８は、社員用端末１００における撮影検知処理の例を示すフローチャートである。

撮影判定処理では、まず、撮影画像データを確認する（Ｓ１０７１）。

続いて、撮影画像データに撮影装置画像データが含まれているか否かを判定する（Ｓ１０７２）。撮影画像データに撮影装置画像データが含まれていると判定した場合、Ｓ１０７３に処理を進める。一方、撮影画像データに撮影装置画像データが含まれていないと判定した場合、Ｓ１０８１に処理を進める。

Ｓ１０７２において撮影画像データに撮影装置画像データが含まれていると判定した場合、画像（撮影装置画像データ）のサイズ（画素数）は撮影装置毎に設定したサイズ（設定サイズ）以上であるか否かを判定する（Ｓ１０７３）。撮影装置画像データのサイズは撮影装置毎に設定したサイズ以上であると判定した場合、Ｓ１０７４に処理を進める。一方、撮影装置画像データのサイズは撮影装置毎に設定したサイズ以上ではないと判定した場合、Ｓ１０８１に処理を進める。

Ｓ１０７３において撮影装置画像データのサイズは撮影装置毎に設定したサイズ以上であると判定した場合、撮影判定カウンタＤＣ（以下、ＤＣという）の値が０であるか否かを判定する（Ｓ１０７４）。ＤＣの値が０であると判定した場合、Ｓ１０７５に処理を進める。一方、ＤＣの値が０ではないと判定した場合、Ｓ１０７６に処理を進める。

Ｓ１０７４においてＤＣの値が０であると判定した場合、軌跡範囲を設定する（Ｓ１０７５）。ここでは、撮影者が手振れすることを考慮して、例えば、撮影装置画像データのサイズの１．２倍のサイズの領域が軌跡範囲に設定される。

続いて、画像（撮影装置画像データ）は、設定した軌跡範囲内（設定軌跡範囲内）であるか否かを判定する（Ｓ１０７６）。なお、ＤＣの値が０である場合、当然のことながら、撮影装置画像データは設定した軌跡範囲内であると判定されることになる。撮影装置画像データは設定した軌跡範囲内であると判定した場合、Ｓ１０７７に処理を進める。一方。撮影装置画像データは設定した軌跡範囲を超えていると判定した場合、Ｓ１０８１に処理を進める。

Ｓ１０７６において撮影装置画像データは設定した軌跡範囲内であると判定した場合、ＤＣの値を１加算する（Ｓ１０７７）。

続いて、ＤＣの値が３であるか否かを判定する（Ｓ１０７８）。ＤＣの値が３以上であると判定した場合、Ｓ１０７９に処理を進める。一方、ＤＣの値が３以上ではない（１または２である）と判定した場合、Ｓ１０７２に処理を進める。

Ｓ１０７８においてＤＣの値が３以上であると判定した場合、所定の画像信号を出力し、スクリーンセイバー画像を表示する（Ｓ１０７９）。

続いて、撮影検知情報を管理サーバ３００に送信する（Ｓ１０８０）。撮影検知情報を管理サーバ３００に送信すると撮影判定処理を終了する。なお、管理サーバ３００は、上述した撮影検知情報を受信した場合、稼働時間の計測を一時停止させる。そして、所定の解除処理等が行われた場合、一時停止させた稼働時間の計測を再開する（図６参照）。撮影検知情報をサーバ３００に送信することにより、漏洩という所定の事象が発生したことを管理者端末に通知することができる。また、撮影検知情報を管理サーバ３００に送信すると同時に、対象となる社員端末１００のログを記憶装置７０４に記憶するようにしてもよい。

Ｓ１０７２において撮影画像データに撮影装置画像データが含まれていないと判定した場合、Ｓ１０７３において撮影装置画像データのサイズは撮影装置毎に設定したサイズ以上ではないと判定した場合、または、Ｓ１０７６において撮影装置画像データは設定した軌跡範囲を超えていると判定した場合、ＤＣの値は１以上であるか否かを判定する（Ｓ１０８１）。ＤＣの値は１以上であると判定した場合、Ｓ１０８２に処理を進める。一方、ＤＣの値は１以上ではない（０である）と判定した場合、撮影判定処理を終了する。

Ｓ１０８１においてＤＣの値は１以上であると判定した場合、ＤＣの値を０にする（リセットする）。また、軌跡範囲の設定をクリアする（Ｓ１０８２）。ＤＣの値を０にし、軌跡範囲の設定をクリアすると撮影判定処理を終了する。

図６に戻り、Ｓ１０７において撮影判定処理が終了すると、続いて、ログアウトするか否かを判定する（Ｓ１０８）。ログアウトすると判定した場合、Ｓ１０９に処理を進める。一方、ログアウトしないと判定した場合、Ｓ１０４に処理を進める。

Ｓ１０８においてログアウトすると判定した場合、ログアウト処理を実行する（Ｓ１０９）。ここで、ログアウト処理が実行されると、社員用端末１００からＶＤＩサーバ２００にログアウト情報が送信される。ログアウト情報を受信したＶＤＩサーバ２００は、この社員用端末１００の使用者の仮想デスクトップ環境の選択を解除する。

また、ログアウト処理が実行されると、社員用端末１００から管理サーバ３００にもログアウト情報が送信される。ログアウト情報を受信した管理サーバ３００は、この社員用端末１００の稼働時間の計測を終了する。

Ｓ１０９においてログアウト処理を終了すると、社員用端末１００における処理は終了する。

以上、本開示の実施形態について説明したが、本開示に係る情報取得装置は上述した実施形態に限定されるものではなく、特許請求の範囲に記載された本開示の要旨の範囲内において、種々の変形、変化が可能である。

本開示の実施形態では、漏洩防止制御部１０９は、使用者判定部１０２から使用者不特定情報を受信した場合、および、撮影判定部１０４から撮影装置特定情報を受信した場合、ディスプレイ７１１への画像信号を現在の画像信号からスクリーンセイバー画像信号に変更して出力するようにしていた。しかしながら、これに限らず、スクリーンセイバー画像信号以外の画像信号に変更して出力するようにしてもよい。また、ディスプレイ７１１にポップアップ画像などの別の画像信号を重ねて表示するようにしてもよい。また、画像信号の出力を停止するようにしてもよい。また、映像出力部１０８における映像出力Ｉ／Ｆ７１２を無効化するようにしてもよい。漏洩防止制御部１０９は、使用者判定部１０２から使用者不特定情報を受信した場合、および、撮影判定部１０４から撮影装置特定情報を受信した場合、サーバ３００を介して管理者端末に通知するようにしてもよい。また、対象となる社員用端末１００のログを記録するようにして、後で解析をすることができるようにしてもよい。

また、本開示の実施形態では、漏洩防止制御部１０９は、ルータ判定部１０６から使用不可ルータ接続情報を受信した場合、映像出力部１０８における映像出力Ｉ／Ｆ７１２を無効化するようにしていた。しかしながら、これに限らず、ディスプレイ７１１への画像信号を現在の画像信号からスクリーンセイバー画像信号に変更するように別の画像信号を出力するようにしてもよい。また、漏洩防止制御部１０９は、ルータ判定部１０６から使用不可ルータ接続情報を受信した場合、管理サーバ３００を介して管理者端末に通知するようにしてもよい。また、ポップアップ画像などの別の画像信号を重ねて表示するようにしてもよい。また、対象となる社員用端末１００のログを記録するようにして、後で解析をすることができるようにしてもよい。

また、本開示の実施形態では、管理サーバ３００にパスワード生成部３０９を設け、外部端末からワンタイムパスワードの生成要求を受信した場合、ワンタイムパスワードを生成し、生成したワンタイムパスワードを漏洩防止制御部１０９に送信するようにしていた。しかしながら、これに限らず、管理サーバ３００にパスワード生成部３０９を設けないようにしてもよい。なお、このようにした場合、外部端末において生成（もしくは管理者が作成）したワンタイムパスワードを社員用端末１００に送信することが考えられる。或いは管理者端末から管理者サーバ３００に対して画像信号の外部出力の制限を解除する処理をおこなうようにしてもよい。

また、本開示の実施形態では、社員用端末１００、ＶＤＩサーバ２００、および、管理サーバ３００の接続形態は、無線接続または有線接続としていたが、接続形態は無線接続であってもよく、また、有線接続であってもよい。

また、本開示の実施形態では、無線ルータのＳＳＩＤから接続先を特定するようにしていた。しかしながら、これに限らず、ホスト名や装置の識別子（例えば、ＭＡＣアドレスやＢＤアドレス等）により接続先を特定するようにしてもよい。また、独自コード（例えば、パスワード等）と識別子の組み合わせから、接続先として許可するか否かを判定するようにしてもよい。

また、本開示の実施形態では、ＤＣの値が３以上であると判定した場合、撮影装置による撮影と検知するようにしていた（Ｓ１０７８参照）。しかしながら、これに限らず、ＤＣの値を３以上の値としてもよい。また、ＤＣの値が可変できるようにしてもよい。また、撮影判定に用いるための画像データのフレームレートについても可変できるようにしてもよい。

１０ 全体システム
１００（１００ａ～１００ｆ） 社員用端末（社員１端末～社員６端末）
２００ ＶＤＩサーバ
３００ 管理サーバ
４０１～４０４ 無線ルータＡ～無線ルータＥＦ
５００ インターネット
７０１ ＣＰＵ
７０２ ＲＯＭ
７０３ ＲＡＭ
７０４ 記憶装置
７０５ 通信Ｉ／Ｆ
７０６ カメラ
７０７ スピーカ
７０８ マイク
７０９ 入力装置
７１０ グラフィックボード
７１１ ディスプレイ
７１２ 映像出力Ｉ／Ｆ

Claims (12)

1. 使用者の操作に応じた画像を表示する表示部を備え、ルータに接続することによりネットワークを介して情報を送受信することが可能な情報処理装置であって、
   所定の事象が生じているか否かを判定する判定手段と、
   前記所定の事象が発生していると判定した場合、所定の処理を実行する制御手段と、
   を備えることを特徴とする情報処理装置。
2. 前記制御手段は、前記所定の事象が発生していると判定した場合、所定の画像信号を出力する処理又は画像信号の出力を制限する処理を実行する、
   ことを特徴とする請求項１に記載の情報処理装置。
3. 前記制御手段は、前記所定の事象が発生していると判定した場合、管理者端末に通知する処理を実行する、
   ことを特徴とする請求項１に記載の情報処理装置。
4. 前記制御手段は、前記所定の事象が発生していると判定した場合、前記情報処理端末のログを記録する処理を実行する、
   ことを特徴とする請求項１に記載の情報処理装置。
5. 前記使用者を撮影する撮影手段を備え、
   前記所定の事象は、前記撮影された撮影画像に撮影装置画像が含まれていることであり、
   前記判定手段は、
   前記撮影画像に撮影装置画像が含まれているか否かを判定する、
   ことを特徴とする請求項１～４の何れか１項に記載の情報処理装置。
6. 前記判定手段は、
   前記撮影画像に前記撮影装置画像が含まれている場合、前記撮影装置画像が撮影装置毎に設定したサイズよりも大きいサイズであるか否かを判定し、
   前記撮影装置画像が前記撮影装置毎に設定したサイズよりも大きいサイズであると判定した場合、前記撮影画像に前記撮影装置画像が含まれていると判定する
   ことを特徴とする請求項５に記載の情報処理装置。
7. 前記判定手段は、
   前記撮影画像に前記撮影装置画像が含まれている場合、所定回数撮影された撮影画像に含まれる前記撮影装置画像の軌跡が設定軌跡範囲内であるか否かを判定し、
   前記撮影装置画像の軌跡が前記設定軌跡範囲内であると判定した場合、前記撮影画像に前記撮影装置画像が含まれていると判定する
   ことを特徴とする請求項５又は６に記載の情報処理装置。
8. 前記制御手段は、前記所定の事象が発生していると判定した場合、第１画像を第２画像に変更して表示する、
   ことを特徴とする請求項２又は請求項５～７の何れか１項に記載の情報処理装置。
9. 前記所定の事象は、使用が許容されていない非許容ルータに接続されたことであり、
   前記判定手段は、
   ルータが、前記使用が許容された許容ルータであるか否かを判定し、
   前記制御手段は、
   前記許容ルータであると判定した場合、画像信号を外部出力し、前記許容ルータではないと判定した場合、画像信号の外部出力を制限する処理を含む、
   ことを特徴とする請求項１から請求項８のいずれか１項に記載の情報処理装置。
10. 前記制御手段は、
    前記画像信号の外部出力を制限している状態において、所定条件が成立した場合、前記画像信号の外部出力の制限を解除する
    ことを特徴とする請求項９に記載の情報処理装置。
11. 使用者の操作に応じた画像を表示する表示部を備え、ルータに接続することによりネットワークを介して情報を送受信することが可能な情報処理装置に実行させるプログラムであって、
    所定の事象が生じているか否かを判定する判定手段と、
    前記所定の事象が発生していると判定した場合、所定の処理を実行する制御手段と、
    して機能させることを特徴とするプログラム。
12. 使用者の操作に応じた画像を表示する表示部を備え、ルータに接続することによりネットワークを介して情報を送受信することが可能な情報処理装置の制御方法であって、
    所定の事象が生じているか否かを判定する判定ステップと、
    前記所定の事象が発生していると判定した場合、所定の処理を実行する制御ステップと、
    を実行することを特徴とする情報処理装置の制御方法。

Images