JP3890367B1 - 管理システムおよび管理プログラム - Google Patents

Abstract

【課題】個人情報や機密情報が企業内の複数のＰＣやサーバに分散して保存されていても、人的な協力を得ることなく且つ担当者に特別な負荷をかけることなく、個人情報や機密情報の状態を管理できるようにして、個人情報や機密情報の不用意な流出・漏洩や不正利用などを確実に防止する。
【解決手段】利用者端末１０が、記憶部におけるデータの中から管理対象ファイルを探査する探査手段と、その探査結果を管理サーバ２０へ送信する送信手段とをそなえて構成されるとともに、管理サーバ２０が、利用者端末１０からの探査結果に基づいて管理対象ファイルに対するアクセスログを利用者端末１０から収集して記録するログ収集手段と、前記探査結果およびログ収集手段によって収集されたアクセスログに基づいて利用者端末１０を管理する管理手段とをそなえて構成されている。
【選択図】図１

Description

本発明は、パーソナルコンピュータ等の情報処理装置（利用者端末，サーバ等）に保有される、個人情報や機密情報などを含むファイルを管理する技術に関する。

近年、個人情報の保護の意識の高まりに伴い、個人情報の不用意な流出・漏洩や個人情報の不正利用などを確実に防止することが望まれている。特に、個人情報保護法の施行に伴って、個人情報取扱事業者は、個人情報の流出・漏洩や不正利用をより確実に防止する必要が生じている。ここで、個人情報とは、単体もしくは組合せによって特定の個人を識別することのできる情報で、例えば氏名，生年月日，連絡先（住所，居所，電話番号，電子メールアドレス等）などが含まれる。各種企業内で保存されて取り扱われる顧客情報，取引先情報などが個人情報に該当する場合が多い。

このような個人情報は、当然、企業にとっては秘匿性の高い機密情報に該当するが、企業にとっての機密情報としては、個人情報のほかにも、発表前の新製品，特許出願前の技術，経営戦略などに係る情報が該当する。なお、システム監査学会によれば、機密情報とは、情報資産の中で、許可した者以外に開示したり、目的外に利用された場合、経営資源としての価値を損なうおそれのある情報と定義されている。

上述のような個人情報や機密情報の流出・漏洩や不正利用を確実に防止するためには、集中管理システムを導入し、これらの個人情報や機密情報を一元的に管理することが望ましい。しかしながら、現実には、企業内において、顧客情報，取引先情報などの個人情報は、社員個人によって利用される複数の利用者端末〔パーソナルコンピュータ（以下、ＰＣと略記する場合がある）〕や各部署のサーバに、ばらばらに分散して保存されている場合が多い。より具体的には、個々の社員が各自の業務都合で自分のＰＣに個人情報（顧客情報等）を保存していたり、中央データベース、あるいは、各社員によって独自に収集された個人情報のサブセットがＰＣにまちまちに存在していたりする。

このため、上記集中管理システムを構築する場合、管理者は、まず最初に、企業内にばらばらに存在する個人情報や機密情報の洗い出しを行ない、企業内のどこにどのような個人情報や機密情報が存在しているかを把握する必要があるが、個人情報や機密情報の洗い出しは、管理者が各社員に指示し人間対人間で全社・全部門の人的な協力を得て行なわれることになる。

なお、例えば下記特許文献１においては、個人情報保護法の施行に伴い、個人情報の流出・漏洩や不正利用を防止する個人情報保護サービスを提供するための技術「個人情報保護サービス事業の処理方法および装置」が提案・開示されている。この特許文献１では、個人情報を不適切に取得した企業を特定して警告することができ、且つ、適正に取得した企業から個人情報が不正に流出することを防止できるようにするための技術が開示されているが、上述のごとく企業内で個人情報が分散して存在している場合の対処については開示されていない。

また、例えば下記特許文献２では、コンピュータシステムや、その他のデータ処理機器もしくはシステムにおいて、ファイルの不正複写を防止するためのファイル複写管理技術が開示され、特に、ファイルに格別の複写禁止措置を講じることなく、特定言語で記述されたソースコード・ファイルや特定のファイル形式のマルチメディアデータ・ファイルなどの不正複写を防止するための技術が開示されているが、上述のごとく企業内で個人情報が分散して存在している場合の対処については開示されていない。

さらに、例えば下記特許文献３においては、統合内部情報流出防止システムが開示されており、特に、出力装置および移動可能格納装置を通じたオフライン情報流出と、通信プログラムによるオンライン情報流出とを根本的に防止および監視することで、組織内部システムから重要情報が流出するのを防止するための技術が開示されているが、やはり、上述のごとく企業内で個人情報が分散して存在している場合の対処については開示されていない。
特開２００２−１８３３６７号公報 特開２００１−３５０６７１号公報 特表２００３−５３５３９８号公報

上述のごとく各社員からの申告といった人的な協力のもとで個人情報や機密情報の洗い出しを行なうと、手間がかかるだけでなく全ての個人情報や機密情報を確実に漏れなく洗い出すのは困難になる。特に、個人情報や機密情報の分散化が進んでいると、個人情報や機密情報の洗い出しは極めて困難になる。また、個人情報や機密情報の洗い出しに漏れがあると、その個人情報や機密情報の状態を管理できず、不用意な流出・漏洩や不正利用を招くおそれもある。

本発明は、このような状況に鑑み創案されたもので、個人情報や機密情報が企業内の複数のＰＣやサーバに分散して保存されていても、人的な協力を得ることなく且つ担当者に特別な負荷をかけることなく、個人情報や機密情報の状態を管理できるようにして、個人情報や機密情報の不用意な流出・漏洩や不正利用などを確実に防止することを目的としている。

上記目的を達成するために、本発明の管理システム（請求項１）は、電子ファイルを含むデータを保持する記憶部を有する利用者端末と、該利用者端末とネットワークを介して相互に通信可能に接続され、該利用者端末における、個人情報要素もしくは機密情報要素を所定数以上保有しているという条件を満たす管理対象ファイルを管理する管理サーバとをそなえ、該利用者端末が、該記憶部におけるデータの中から前記所定条件を満たす管理対象ファイルを特定して探査する探査手段と、該ネットワークを介して該探査手段による探査の結果を該管理サーバへ送信する送信手段とをそなえて構成されるとともに、該管理サーバが、該利用者端末から送信されてきた前記探査の結果に基づいて該利用者端末における該管理対象ファイルを把握し、該管理対象ファイルに対するアクセスログを該利用者端末から収集して記録するログ収集手段と、前記探査の結果、および、該ログ収集手段によって収集・記録された、該管理対象ファイルに対する該アクセスログに基づいて、該利用者端末を管理する管理手段とをそなえて構成され、該管理手段が、該利用者端末から送信されてきた前記探査の結果、および、該ログ収集手段によって収集・記録された、該管理対象ファイルに対する該アクセスログに基づいて、該利用者端末におけるセキュリティレベルを変更・設定し、該セキュリティレベルに応じて、該利用者端末におけるファイルに対するアクセスの制限を変更し、該利用者端末からの該管理対象ファイルの流出を防止することを特徴としている。

上記管理システムにおいて、該管理手段が、該利用者端末から送信されてきた前記探査の結果、および、該ログ収集手段によって収集・記録された、該管理対象ファイルに対する該アクセスログに基づいて、該管理対象ファイルに対するアクセス状況に関する公開情報を作成し、作成された該公開情報を公開してもよい（請求項２）。その公開情報としては、該管理対象ファイルのファイル名と、該管理対象ファイルに対してアクセスを行なった利用者端末を特定しうる情報と、当該利用者端末の所有者を特定しうる情報とを含んでいてもよいし、該管理対象ファイルの数の集計結果や、該管理対象ファイルに対するアクセスの数の集計結果を含んでいてもよい。

また、上記管理システムにおいて、該管理サーバが、該利用者端末において外部記憶媒体用のドライバがインストールされているか否かを調査する調査手段をさらにそなえて構成され、該管理手段が、該利用者端末から送信されてきた前記探査の結果、該ログ収集手段によって収集・記録された、該管理対象ファイルに対する該アクセスログ、および、該調査手段による調査の結果に基づいて、該利用者端末を管理するように構成してもよい（請求項３）。このとき、該管理手段が、該利用者端末から送信されてきた前記探査の結果、該ログ収集手段によって収集・記録された、該管理対象ファイルに対する該アクセスログ、および、該調査手段による調査の結果に基づいて、該外部記憶媒体用のドライバをインストールされた利用者端末に関する公開情報を作成し、作成された該公開情報を公開してもよく（請求項４）、その公開情報としては、該管理対象ファイルを保有するとともに該外部記憶媒体用のドライバをインストールしている利用者端末を特定しうる情報と、当該利用者端末の所有者を特定しうる情報と、当該利用者端末において保有されている該管理対象ファイルのファイル名とを含んでいてもよいし、該利用者端末で実行された該外部記憶媒体への該管理対象ファイルの書出し回数を含んでいてもよい。

さらに、該管理手段が、該管理対象ファイルにかかわる処理／操作を実行した利用者端末については該セキュリティレベルを高く設定してファイルに対するアクセスの制限を厳格化する一方、該管理対象ファイルにかかわる処理／操作を所定期間にわたり実行していない利用者端末については該セキュリティレベルを低く設定してファイルに対するアクセスの制限を解除もしくは緩和してもよい（請求項５）。より具体的には、該管理手段が、該記憶部に該管理対象ファイルを保有している利用者端末については該セキュリティレベルを高く設定してファイルに対するアクセスの制限を厳格化する一方、該記憶部に該管理対象ファイルを保有していない利用者端末については該セキュリティレベルを低く設定してファイルに対するアクセスの制限を解除もしくは緩和してもよいし（請求項６）、該管理手段が、外部へ送出されるファイルを自動的に暗号化する暗号化機能を設定されていない利用者端末については該セキュリティレベルを高く設定してファイルに対するアクセスの制限を厳格化する一方、該暗号化機能を設定されている利用者端末については該セキュリティレベルを低く設定してファイルに対するアクセスの制限を解除もしくは緩和してもよいし（請求項７）、該管理手段が、閲覧禁止サイトへのアクセスを行なっている利用者端末については該セキュリティレベルを高く設定してファイルに対するアクセス制限を厳格化する一方、閲覧禁止サイトへのアクセスを行なっていない利用者端末については該セキュリティレベルを低く設定してファイルに対するアクセス制限を解除もしくは緩和してもよい（請求項８）。

なお、該管理サーバが、該探査手段としてコンピュータを機能させるプログラムを該利用者端末にインストールするインストール手段をさらにそなえて構成されるとともに、該利用者端末における該探査手段としての機能が、該インストール手段によって該利用者端末にインストールされた該プログラムを実行することで実現されるように構成してもよく、その際、該管理サーバのインストール手段が、該プログラムをインストールされていない利用者端末が該ネットワークに接続されたことを検知すると、当該利用者端末に該プログラムをインストールし、該プログラムを当該利用者端末に実行させて管理対象ファイルの探査を実行させるようにしてもよい。

また、前記条件が、特定の個人を識別可能な個人情報要素を所定数以上保有していることであり、該探査手段が、該記憶部におけるデータの中から前記所定条件を満たす管理対象ファイルつまり個人情報ファイルを特定して探査するように構成してもよく（請求項８）、その際、該探査手段が、判定対象ファイルに含まれるテキストデータを抽出する抽出手段と、該抽出手段によって抽出されたテキストデータから、区切り文字によって区切られた文字区間を切り出す切出手段と、該切出手段によって切り出された文字区間における文字列が、予め設定された電話番号判定条件，電子メールアドレス判定条件および住所判定条件のいずれか一つを満たすか否かの判定を行なうことにより、氏名以外の個人情報要素である電話番号，電子メールアドレスおよび住所のうちのいずれか一つに該当するか否かを判定する第１判定手段と、該第１判定手段によって電話番号，電子メールアドレス，住所のいずれにも該当しないと判定された文字区間における文字の数が所定範囲内であり且つ同文字区間における文字が漢字であるか否かを判定する文字判定手段と、該文字判定手段によって前記所定範囲内であり且つ漢字であると判定された文字区間について、当該文字区間に含まれる文字もしくは文字列と氏名において出現し得ない漢字もしくは漢字列として予め設定された不適切文字もしくは不適切文字列とを照合することにより、当該文字区間が前記の不適切文字もしくは不適切文字列を含むか否かを判定する照合手段と、該第１判定手段によって電話番号，電子メールアドレスおよび住所のうちのいずれか一つに該当すると判定された文字区間の数と該照合手段によって前記の不適切文字もしくは不適切文字列を含まないと判定された文字区間の数とをそれぞれ計数し、その計数結果に基づいて、当該判定対象ファイルが個人情報ファイルであるか否かを判定する第２判定手段とをそなえて構成されていてもよい（請求項１０）。

一方、本発明の管理サーバは、利用者端末とネットワークを介して相互に通信可能に接続され、該利用者端末における、個人情報要素もしくは機密情報要素を所定数以上保有しているという条件を満たす管理対象ファイルを管理するものであって、該利用者端末の記憶部におけるデータの中から探査手段によって探査された、前記所定条件を満たす管理対象ファイルについての探査の結果に基づいて該利用者端末における該管理対象ファイルを把握し、該管理対象ファイルに対するアクセスログを該利用者端末から収集して記録するログ収集手段と、該探査手段による探査の結果、および、該ログ収集手段によって収集・記録された、該管理対象ファイルに対する該アクセスログに基づいて、該利用者端末を管理する管理手段とをそなえて構成され、該管理手段が、前記探査の結果、および、該ログ収集手段によって収集・記録された、該管理対象ファイルに対する該アクセスログに基づいて、該利用者端末からの該管理対象ファイルの流出を防止するための、該利用者端末におけるセキュリティレベルを変更・設定し、該セキュリティレベルに応じて、該利用者端末におけるファイルに対するアクセスの制限を変更することを特徴としている。

上記管理サーバにおいて、該管理手段が、前記探査の結果、および、該ログ収集手段によって収集・記録された、該管理対象ファイルに対する該アクセスログに基づいて、該管理対象ファイルに対するアクセス状況に関する公開情報を作成し、作成された該公開情報を公開してもよい。その公開情報としては、該管理対象ファイルのファイル名と、該管理対象ファイルに対してアクセスを行なった利用者端末を特定しうる情報と、当該利用者端末の所有者を特定しうる情報とを含んでいてもよいし、該管理対象ファイルの数の集計結果や、該管理対象ファイルに対するアクセスの数の集計結果を含んでいてもよい。

また、上記管理サーバにおいて、該利用者端末において外部記憶媒体用のドライバがインストールされているか否かを調査する調査手段をさらにそなえ、該管理手段が、前記探査の結果、該ログ収集手段によって収集・記録された、該管理対象ファイルに対する該アクセスログ、および、該調査手段による調査の結果に基づいて、該利用者端末を管理するように構成してもよい。このとき、該管理手段が、前記探査の結果、該ログ収集手段によって収集・記録された、該管理対象ファイルに対する該アクセスログ、および、該調査手段による調査の結果に基づいて、該外部記憶媒体用のドライバをインストールされた利用者端末に関する公開情報を作成し、作成された該公開情報を公開してもよく、その公開情報としては、該管理対象ファイルを保有するとともに該外部記憶媒体用のドライバをインストールしている利用者端末を特定しうる情報と、当該利用者端末の所有者を特定しうる情報と、当該利用者端末において保有されている該管理対象ファイルのファイル名とを含んでいてもよいし、該利用者端末で実行された該外部記憶媒体への該管理対象ファイルの書出し回数を含んでいてもよい。

さらに、該管理手段が、該管理対象ファイルにかかわる処理／操作を実行した利用者端末については該セキュリティレベルを高く設定してファイルに対するアクセスの制限を厳格化する一方、該管理対象ファイルにかかわる処理／操作を所定期間にわたり実行していない利用者端末については該セキュリティレベルを低く設定してファイルに対するアクセスの制限を解除もしくは緩和してもよい。より具体的には、該管理手段が、該記憶部に該管理対象ファイルを保有している利用者端末については該セキュリティレベルを高く設定してファイルに対するアクセスの制限を厳格化する一方、該記憶部に該管理対象ファイルを保有していない利用者端末については該セキュリティレベルを低く設定してファイルに対するアクセスの制限を解除もしくは緩和してもよいし、該管理手段が、外部へ送出されるファイルを自動的に暗号化する暗号化機能を設定されていない利用者端末については該セキュリティレベルを高く設定してファイルに対するアクセスの制限を厳格化する一方、該暗号化機能を設定されている利用者端末については該セキュリティレベルを低く設定してファイルに対するアクセスの制限を解除もしくは緩和するしてもよいし、該管理手段が、閲覧禁止サイトへのアクセスを行なっている利用者端末については該セキュリティレベルを高く設定してファイルに対するアクセス制限を厳格化する一方、閲覧禁止サイトへのアクセスを行なっていない利用者端末については該セキュリティレベルを低く設定してファイルに対するアクセス制限を解除もしくは緩和してもよい。

なお、該探査手段としてコンピュータを機能させるプログラムを該利用者端末にインストールするインストール手段をさらにそなえてもよく、その際、該インストール手段が、該プログラムをインストールされていない利用者端末が該ネットワークに接続されたことを検知すると、当該利用者端末に該プログラムをインストールし、該プログラムを当該利用者端末に実行させて管理対象ファイルの有無を判定させるようにしてもよい。

また、本発明のファイル管理プログラム（請求項１１〜１６）は、いずれも、ネットワークを介して相互に通信可能に接続された利用者端末における、所定条件を満たす管理対象ファイルを管理する管理サーバとして、コンピュータを機能させるものであって、それぞれ、上述した管理サーバとしての機能を実現させるものである。

上述した本発明によれば、各利用者端末において所定条件を満たす管理対象ファイル（個人情報や機密情報などを含むファイル）が探査され、管理サーバ（管理手段）によってその探査の結果や管理対象ファイルに対するアクセスログに基づいて利用者端末が管理される。これにより、個人情報や機密情報が複数の利用者端末に分散して保存されていても、人的な協力を得ることなく且つ担当者に特別な負荷をかけることなく、管理対象ファイルの状態を管理することができ、個人情報や機密情報の不用意な流出・漏洩や不正利用などを確実に防止することができる。

このとき、管理対象ファイルに対するアクセス状況（例えば、管理対象ファイルのファイル名，利用者端末を特定しうる情報，利用者端末の所有者を特定しうる情報，管理対象ファイルの数の集計結果，管理対象ファイルに対するアクセスの数の集計結果など）が公開されることで、利用者が、自発的に、管理対象ファイルに対するアクセスを行なわなくなるような環境が提供されることになり、個人情報や機密情報の不用意な流出・漏洩や不正利用などをより確実に防止することができる。

また、外部記憶媒体用ドライバをインストールされた利用者端末に関する情報（例えば、その利用者端末を特定しうる情報，その利用者端末の所有者を特定しうる情報，管理対象ファイルのファイル名，その管理対象ファイルの書出し回数など）が公開されることで、利用者が、自発的に、外部記憶媒体用ドライバをインストールしなくなるようになったり、インストールしていてもそのドライバを用いて管理対象ファイルの書出しを行なわなくなるような環境が提供されることになり、個人情報や機密情報の不用意な流出・漏洩や不正利用などをより確実に防止することができる。

さらに、管理対象ファイルの不用意な流出・漏洩や不正利用などが発生する可能性の高い利用者端末（例えば、管理対象ファイルにかかわる処理／操作を実行した端末，記憶部に管理対象ファイルを保有している端末，暗号化機能を設定されていない端末，閲覧禁止サイトへのアクセスを行なっている端末など）についてはセキュリティレベルを高く設定してアクセス制限を厳格化する一方でその可能性の低い利用者端末についてはセキュリティレベルを低く設定してアクセス制限を解除もしくは緩和することによって、上記可能性の低い場合には端末を効率よく使用できる環境が提供されることになるので、利用者は、自発的に、自分の端末を上記可能性の低い状態に移行させるようになり、個人情報や機密情報の不用意な流出・漏洩や不正利用などをより確実に防止することができる。

なお、管理対象ファイルの探査を行なう探査手段としての機能をもたない利用者端末がネットワークに接続されると、管理サーバにより、上記探査手段としての機能を実現するためのプログラムがインストールされ、上記探査手段としての機能が自動的に利用者端末に導入され、さらに、その探査手段により利用者端末における管理対象ファイルの有無が判定されるので、新たな利用者端末等がネットワークに接続された場合でも、その利用者端末における管理対象ファイルを確実に探査して洗い出して管理可能な状態に置くことが可能になり、個人情報や機密情報の不用意な流出・漏洩や、個人情報や機密情報の不正利用などを確実に防止することができる。

また、特定の個人を識別可能な個人情報要素を所定数以上保有している個人情報ファイルを管理対象ファイルとする場合、本発明の探査手段では、電話番号，電子メールアドレス，住所のいずれにも該当せず且つ不適切文字／不適切文字列を含む文字区間は、個人情報に関するものではないと見なされる一方、電話番号，電子メールアドレス，住所のいずれにも該当せず且つ不適切文字／不適切文字列を含まない文字区間は、氏名に関するものであると見なされる。

従って、電話番号，電子メールアドレス，住所のいずれか一つに該当すると判定された文字区間については、その判定がなされた時点で判定処理を終了し、電話番号，電子メールアドレス，住所のいずれにも該当しないと判定された文字区間についてのみ不適切文字／不適切文字列との照合処理が行なわれ、さらに、不適切文字／不適切文字列が一つでも文字区間に含まれると判定された時点で、その照合処理を終了させることができるので、氏名リストに含まれる全ての氏名文字列との照合を行なう手法に比べ、氏名の照合処理を高速に行なえ、つまりは個人情報ファイルの探査処理を高速に行なうことが可能になる。

また、不適切文字／不適切文字列を含まない文字区間を全て氏名に該当するものと見なすので、氏名についての不適切文字／不適切文字列を含まないファイル、即ち、氏名情報を含む可能性が高く個人情報ファイルである可能性の高いファイルを確実に探査することが可能になる。つまり、本発明の探査手段により個人情報ファイルであると判定されるファイルの数が多くなり、個人情報ファイルである可能性の高いファイル（疑わしいファイル）を確実に洗い出すことができる。

さらに、文字区間の文字数が所定範囲内であって且つその文字区間の文字が全て漢字であるか否かを判定し、この文字判定条件を満たす文字区間のみを照合対象としているので、照合対象の文字区間が、より氏名の可能性の高い文字区間に絞り込まれることになり、氏名の照合精度を向上させることができるとともに、氏名の照合処理を高速に行なうことができる。また、文字数が所定範囲を超える長い文字区間が、照合対象から除外されるので、氏名の照合処理のさらなる高速化、つまりは個人情報ファイルの探査処理のさらなる高速化に寄与することになる。

以下、図面を参照して本発明の実施の形態を説明する。
〔１〕本実施形態の個人情報管理システムの構成
図１は本発明の一実施形態としての個人情報管理システム（管理システム）の構成を示すブロック図であり、この図１に示すように、本実施形態の個人情報管理システム（管理システム）１は、複数の利用者端末１０のほかに個人情報管理サーバ２０をそなえて構成され、これらの端末１０およびサーバ２０がネットワーク〔例えば、社内ＬＡＮ（Local Area Network）〕３０を介して相互に通信可能に接続されている。

各利用者端末１０は、企業等の社内において各社員（利用者）によって使用されるパーソナルコンピュータ（ＰＣ）等の端末装置によって構成され、図２および図３を参照しながら後述するような機能構成を有している。なお、本実施形態における各利用者端末１０は、個人情報ファイルの探査を含む各種機能（後述）を実現するためのプログラム（後述）を、後述するごとく個人情報管理サーバ２０からインストールされて常駐させているものとする。

個人情報管理サーバ（管理サーバ）２０は、複数の利用者端末１０とネットワーク３０を介して相互に通信可能に接続され、各利用者端末１０における個人情報ファイルを、所定条件を満たす管理対象ファイルとして管理するもので、図４を参照しながら後述するような機能構成を有しているほか、図５を参照しながら後述するような、ファイルアクセス管理サーバ（管理対象ファイルに対するアクセスを管理するサーバ）としての機能構成も有している。

本実施形態における管理対象ファイルとしての個人情報ファイルは、特定の個人を識別可能な個人情報要素を所定数以上保有していることを所定条件として、図２および図３を参照しながら後述するごとく探査手段１１によって特定・探査されるものであり、個人情報は、前述した通り、単体もしくは組合せによって特定の個人を識別することのできる情報（各種個人情報要素）、例えば氏名，生年月日，連絡先（住所，居所，電話番号，メールアドレス）などを含むものである。なお、個人情報としては、これら以外に、役職名，住民基本台帳番号，口座番号，クレジットカード番号，免許証番号，パスポート番号なども挙げられる。

〔１−１〕本実施形態の利用者端末の機能構成
図２は本実施形態の利用者端末１０の機能構成を示すブロック図で、この図２に示すように、本実施形態の利用者端末１０は、各種処理を実行するＣＰＵ（Central Processin Unit）１０ａと、個人情報ファイル等の電子ファイルを含むデータを保持しうる記憶部１０ｂとをそなえるほか、個人情報管理サーバ２０から提供される検疫テーブル１０ｃや、記憶部１０ｂに保持される電子ファイルのＰマーク（プライバシレベルマーク；個人情報ファイルである可能性の高さを示すレベルで、後述する判定値によって決定されるレベル）を保持するＰマークテーブル１０ｄをそなえて構成され、ＣＰＵ１０ａを後述する各種手段１１，１２として機能させるためのプログラムを、個人情報管理サーバ２０からインストールされている。

ここで、記憶部１０ｂは、利用者端末１０に内蔵されるハードディスクや、利用者端末１０に接続・外付けされる記憶装置、例えばフレキシブルディスク，ＣＤ（ＣＤ−ＲＯＭ，ＣＤ−Ｒ，ＣＤ−ＲＷなど），ＤＶＤ（ＤＶＤ−ＲＯＭ，ＤＶＤ−ＲＡＭ，ＤＶＤ−Ｒ，ＤＶＤ−ＲＷ，ＤＶＤ＋Ｒ，ＤＶＤ＋ＲＷなど），磁気ディスク，光ディスク，光磁気ディスクのほかＩＣカード，ＲＯＭカートリッジ，磁気テープなどの記録媒体を用いる記憶装置である。なお、上述した検疫テーブル１０ｃおよびＰマークテーブル１０ｄは、利用者端末１０を構成するＲＡＭ（Random Access Memory）やハードディスク等に保持されてもよいし、記憶部１０ｂに保持されてもよい。

ＣＰＵ１０ａは、探査手段１１，アクセス検知手段１２，送受信手段１３，外部記憶媒体用ドライバ１４および暗号化手段／登録手段（暗号化機能）１５としての機能を果たすもので、これらの機能のうち送受信手段１３としての機能はＰＣ等の端末等に元々そなえられたものであり、探査手段１１およびアクセス検知手段１２としての機能は、ＣＰＵ１０ａが、後述するごとく個人情報管理サーバ２０からインストールされたプログラム（後述する利用者端末用プログラム）を実行することによって実現されるものである。

また、外部記憶媒体用ドライバ１４および暗号化手段／登録手段１５としての機能は、利用者端末１０の利用者（所有者）が自らの意志によって外部からインストールしたプログラムを実行することによって実現されるものでとする。従って、利用者端末１０においては、外部記憶媒体用ドライバ１４および暗号化手段／登録手段１５としての機能がそなえられている場合とそなえられていない場合とがあるので、図２では、外部記憶媒体用ドライバ１４および暗号化手段／登録手段１５を示すブロックについては仮想線（二点鎖線）で記載している。

探査手段１１は、ＣＰＵ１０ａを探査手段１１として機能させるプログラムをインストールした直後や、利用者端末１０の起動時や、所定周期毎に、記憶部１０ｂにおけるデータの中から上記所定条件を満たす個人情報ファイル（管理対象ファイル）を特定して探査するもので、記憶部１０ｂに保有される各ファイル（探査対象ファイル）をテキストファイルにするテキスト抽出エンジンとして機能するとともに、検疫テーブル１０ｃを用いて記憶部１０ｂにおけるデータの中から個人情報ファイルを探査する探査エンジンとして機能するものである。

つまり、探査手段１１は、個人情報管理サーバ２０から指示された条件（検疫テーブル１０ｃ）に従って判定対象ファイルを参照して個人情報ファイルの探査を行ない、個人情報ファイルであると判定されたファイルをログ（ローカルキャッシュデータベース）に書き出すようになっている。また、本実施形態では、この探査手段１１で得られた判定結果（判定値／計数値）に基づいて決定されたＰマークがＰマークテーブル１０ｄに登録される。この探査手段１１の機能構成の詳細については、図３を参照しながら後述する。

なお、探査手段１１による判定結果（判定値／計数値）やＰマークは、個人情報ファイルであると判定されたファイル毎に、そのファイルを特定するための情報（例えば、ファイル名など）とともに、送受信手段１３およびネットワーク３０を通じて個人情報管理サーバ２０に送信・通知されるようになっている。

アクセス検知手段１２は、探査手段１１によって個人情報ファイルであると判定されたファイルに対し利用者端末１０において実行されたアクセスを検知し、そのアクセス内容を、ファイル毎にアクセスログとして記録・保存するものであり、そのアクセスログは、アクセス検知時に、もしくは、定期的に、もしくは、個人情報管理サーバ２０（後述する収集手段２３）からの要求時などに、送受信手段１３およびネットワーク３０を通じて個人情報管理サーバ２０に送信・通知されるようになっている。なお、アクセス内容としては、アクセス種別〔例えば、印刷，外部記憶媒体への書出し，削除，リネイム（変更），上書き保存，ＦＴＰ（File Transfer Protocol）サーバへのアップロードなど〕や、アクセス種別毎のアクセス回数などが挙げられる。

送受信手段（送信手段）１３は、ネットワーク３０を介して個人情報管理サーバ２０や他の利用者端末１０との間で各種情報を送受信するもので、探査手段１１による探査結果やアクセス検知手段１２により得られたアクセスログなどを個人情報管理サーバ２０へ送信する送信手段としての機能も果たすものである。

外部記憶媒体用ドライバ１４は、前述した通り、利用者端末１０の利用者（所有者）が自らの意志によって外部からインストールしたプログラムを実行することによって実現される機能であり、利用者によって指定されたファイルを記憶部１０ｂから読み出して外部記憶媒体４０へ書き出すものである。本実施形態における外部記憶媒体４０としては、例えば、フレキシブルディスク，ＣＤ，ＤＶＤ，磁気ディスク，光ディスク，光磁気ディスク，メモリカード，ＵＳＢ（Universal Serial Bus）メモリ，外付けハードディスク等の各種記憶媒体が挙げられる。

暗号化手段／登録手段１５も、前述した通り、利用者端末１０の利用者（所有者）が自らの意志によって外部からインストールしたプログラムを実行することによって実現される機能であり、この暗号化手段／登録手段１５は、外部へ送出されるファイルを自動的に暗号化する暗号化機能を実現するためのものである。

この暗号化手段／登録手段１５としての機能が設定（インストール）されている場合、特に暗号化手段１５としての機能が設定されている場合、その暗号化手段１５は、メールに添付されてもしくは外部記憶媒体４０に書き出されて外部へ送出されるファイルを、コンテナ機能を有する完成文書ファイル〔ここでは、改竄操作の困難なＰＤＦ（Portable Document Format）ファイル〕に変換し、さらに、前記コンテナ機能を用いて当該ＰＤＦファイルに当該電子ファイルのオリジナルファイルを格納してから、当該ＰＤＦファイルを、個人情報管理サーバ２０におけるファイルアクセス管理サーバとしての機能（後述）によって管理される所定の暗号鍵（実際にはサーバ２０から受信したもの）で暗号化して暗号化ファイルを作成することになる。なお、ＰＤＦファイルへの変換は例えばＰＤＦドライバによって行なわれ、このＰＤＦドライバを起動することにより、電子ファイルがＰＤＦ化され、ＰＤＦファイルファイルが生成されるようになっている。

また、暗号化動作と併せて、当該暗号化ファイルにアクセスする利用者（ユーザ）について、当該暗号化ファイルへのアクセス権限（例えば、閲覧，注釈，印刷，コピーのほか、格納されたオリジナルファイルの取出しや、取り出されたファイルの編集，添付などのアクセスの中から選択されたものを実行する権限）の設定が、暗号化手段１５からサーバ２０に対して自動的に行なわれるものとする。ここでは、例えば、必要最小限のアクセス権限（例えば閲覧権）のみを設定するようにする。

一方、登録手段１５としての機能が設定されている場合、その登録手段１５は、メールに添付されてもしくは外部記憶媒体４０に書き出されて外部へ送出されるファイルを、個人情報管理サーバ２０におけるファイルアクセス管理サーバとしての機能（後述）の管理下に置くべく、サーバ２０に登録するもので、登録時には、その管理対象ファイルをサーバ２０に送信するとともに、登録処理に応じて、サーバ２０の暗号化手段２８によって後述するごとく作成された暗号化ファイルを受信する機能を果たすものである。

〔１−２〕本実施形態の探査手段の詳細な機能構成
図３は本実施形態の利用者端末１０における探査手段１１の詳細な機能構成を示すブロック図で、この図３に示すように、本実施形態の探査手段１１は、抽出手段１１１，切出手段１１２，第１判定手段１１３，文字判定手段１１４，照合手段１１５および第２判定手段１１６としての機能を有しており、これらの機能も、ＣＰＵ１０ａが、後述するごとく個人情報管理サーバ２０からインストールされたプログラムを実行することによって実現される。

抽出手段１１１は、記憶部１０ｂにおける電子ファイル（判定対象ファイル）のテキストデータ〔例えばＣＳＶ（Comma Separated Value）形式のデータ〕を抽出するもので、前記テキスト抽出エンジンとして機能するものである。
切出手段１１２は、抽出手段１１１によって抽出されたテキストデータから、区切り文字によって区切られた文字区間を切り出して、判定対象／照合対象としてバッファ（図示省略）に順次書き出すものである。ここで、区切り文字は、例えば半角スペース，半角カンマ（半角カンマ＋半角スペースも半角カンマと見なす），タブ文字（半角），ＣＲ（Carriage Return），ＬＦ（Line Feed）である。

また、切出手段１１２によって切り出される文字区間からは、英数文字，カタカナ，ひらがな，漢字以外の記号、例えばハイフン，アンダバー，括弧記号などの記号文字が除去される。本実施形態では、切出手段１１２が、上述のような記号文字を除去する機能を有しているものとする。

第１判定手段１１３は、切出手段１１２によって切り出され記号文字を除去された文字区間における文字列（以下、単に文字列という）が、氏名以外の個人情報要素（具体的に本実施形態では電話番号，電子メールアドレス，住所のうちのいずれか一つ）に該当するか否かを判定すべく、電話番号判定手段１１３ａ，電子メールアドレス判定手段１１３ｂおよび住所判定手段１１３ｃとしての機能をそなえている。なお、本実施形態の第１判定手段１１３では、判定処理の負荷の軽いものから順に、つまり電話番号，電子メールアドレス，住所の順で、上記文字列の判定処理を行なっている。

電話番号判定手段１１３ａは、上記文字列が電話番号に該当するか否かを判定するもので、上記文字列が検疫テーブル１０ｃに設定されている電話番号判定条件を満たす場合、上記文字列が電話番号に該当するものと判定し、その旨を第２判定手段１１６に通知し、上記文字列に対する第１判定手段１１３による判定処理を終了させるものである。本実施形態において、電話番号判定条件は、上記文字列中に９〜１５桁の数字が含まれていることとする。

電子メールアドレス判定手段１１３ｂは、電話番号判定手段１１３ａによって上記文字列が電話番号に該当しないと判定された場合に、上記文字列が電話メールアドレスに該当するか否かを判定するもので、上記文字列が検疫テーブル１０ｃに設定されている電子メールアドレス判定条件を満たす場合、上記文字列が電子メールアドレスに該当するものと判定し、その旨を第２判定手段１１６に通知し、上記文字列に対する第１判定手段１１３による判定処理を終了させるものである。本実施形態において、電子メールアドレス判定条件は、上記文字列中に「一文字以上のＡＳＣＩＩ（American Standard Code for Information Interchange）」＋「＠（アットマーク）」＋「一文字以上のＡＳＣＩＩ」＋「．（ドット）」＋「一文字以上のＡＳＣＩＩ」となる文字列が含まれていることとする。この場合、最短の電子メールアドレスは例えば「a＠a.a」となる。

住所判定手段１１３ｃは、電子メールアドレス判定手段１１３ｂによって上記文字列が電子メールアドレスに該当しないと判定された場合に、上記文字列が住所（居所）に該当するか否かを判定するもので、上記文字列が検疫テーブル１０ｃに設定されている住所判定条件を満たす場合、上記文字列が住所に該当するものと判定し、その旨を第２判定手段１１６に通知するものである。本実施形態において、住所判定条件は、上記文字列中に「一文字以上の全角文字」＋「市」または「区」または「郡」＋「一文字以上の全角文字」となる文字列が含まれていることとする。このとき、ＣＰＵ１０ａの演算処理能力が十分に高い場合には、上記文字列に加え、郵便番号に対応する７桁の数字が含まれていることを住所判定条件に加えてもよい。また、住所判定条件は、上述した条件に代え、上記文字列中に、郵便番号に対応する７桁ちょうどの数字列が含まれていること、あるいは、「３桁の数字列」＋「−（ハイフン）」＋「４桁の数字列」となる数字列が含まれていることとしてもよい。

文字判定手段１１４は、第１判定手段１１３によって上記文字列が電話番号，電子メールアドレス，住所のうちのいずれにも該当しないと判定された場合に、その文字列が、検疫テーブル１０ｃに設定されている文字判定条件を満たすか否か、具体的には、上記文字列における文字の数が所定範囲内であり且つその文字列における文字が全て漢字であるか否かを判定するものである。本実施形態において、文字判定条件は、上述したように、上記文字列における文字の数が所定範囲内であり且つその文字列における文字が全て漢字であることであるが、ここで、上記所定範囲は、氏名（苗字だけの場合や名前だけの場合を含む）の文字数として一般的（適切）な数の範囲、例えば１以上６以下に設定される。

照合手段１１５は、第１判定手段１１３によって電話番号，電子メールアドレス，住所のうちのいずれにも該当しないと判定された文字区間であって、さらに文字判定手段１１４によって上記所定範囲内であり且つ全ての文字が漢字であると判定された文字区間について、当該文字区間に含まれる文字／文字列と氏名において出現し得ない文字／文字列として予め設定された不適切文字／不適切文字列とを照合することにより、当該文字区間が不適切文字／不適切文字列を含むか否かを判定し、その照合判定結果を第２判定手段１１６に通知するものである。

ここで、不適切文字／不適切文字列は、検疫テーブル１０ｃに予め設定されており、例えば、東京，大阪，横浜，九州，北海道，京都，首都，個人，学園，店，株，県，大学，学院，東証，研究，管理，総務，経理，営業，統括，製薬，販売，学校，教育，専門，建築，機械，法人，工場，製，技術，商，図書，不明，次長，公開，出版，広告，放送，対象，卸売，小売，企画，人事，情報，部門，社長，取締，部長，課長，係長，役員，本社，支社，事業，業務，教務，精密，石油，運輸，経営，戦略，資材，技師，電気，生産，税務，広報，運送，主任，電算，財務，事務，開発，政策，制作，経済，産業，金融，銀行，調査，英語，品質，保証，設備，担当，主席，主事，監査，支援，設計，保険，金庫，事業，代表，交通，第一，第二，第三，第四，第五，第六，第七，第八，第九，特販，施設，氏名，郵便，名前，名称，市役，所属，特色，幼稚，基督，協会，教会，組合，教団，商工，全国，支部，連絡，議会，生活，消費，推進，市役所，区役所，総合，修正，機能，概要，構成，企業，組織，関連，削除，文書，期限，有効といった、一般的な氏名において出現し得ない文字／文字列、つまり氏名としては不適切な文字／文字列である。

第２判定手段１１６は、第１判定手段１１３における電話番号判定手段１１３ａ，電子メールアドレス判定手段１１３ｂおよび住所判定手段１１３ｃによる判定結果と照合手段１１５による照合判定結果とに基づいて、判定対象電子ファイルが個人情報ファイルであるか否かを判定するものである。

より具体的に説明すると、第２判定手段１１６は、電話番号判定手段１１３ａ，電子メールアドレス判定手段１１３ｂおよび住所判定手段１１３ｃからの判定結果の通知を受け電話番号，電子メールアドレス，住所のそれぞれに該当すると見なされた文字区間の数を計数するとともに、照合手段１１５からの照合判定結果を受け、照合手段１１５によって不適切文字／不適切文字列を含まないと判定された文字区間を氏名に該当するものと見なし、その数を計数する。

そして、第２判定手段１１６は、電話番号，電子メールアドレス，住所，氏名のそれぞれについての計数結果（４つの計数値；電話番号数，電子メールアドレス数，住所数，氏名数）に基づいて、これらの計数値が大きくなるほど大きくなる判定値を算出する。例えば、第２判定手段１１６は、４つの計数値の総和を上記判定値として算出してもよいし、電話番号，電子メールアドレス，住所，氏名のそれぞれについて重み係数を予め設定しておき、各個人情報要素についての重み係数と計数値との乗算結果の総和を上記判定値として算出してもよく、上記判定値の算出手法は種々考えられる。

上述のような判定値が算出されると、第２判定手段１１６は、その判定値に基づいて、判定対象ファイルが個人情報ファイルであるか否かを判定する。具体的には、前記判定値が所定閾値を超えた場合に判定対象ファイルが個人情報ファイルであると判定する。このような判定を行なう際に、第２判定手段１１６は、さらに、判定値の大きさに応じたＰマーク（プライベートレベルマーク）を、判定対象ファイルに付与して、Ｐマークテーブル１０ｄに設定・登録し、ランク付けを行なう。このＰマークは、前述した通り、判定対象ファイルが個人情報ファイルである可能性の高さを示すレベルであり、判定値が大きいほどＰマークは高いランクに設定される。

例えば、前記判定値が１０以上となった場合、判定対象ファイルが個人情報ファイルであると判定する。また、前記判定値が１０以上１００未満である場合、Ｐマークとして“Ｐ１”を付与し、前記判定値が１００以上１０００未満である場合、Ｐマークとして“Ｐ２”を付与し、前記判定値が１０００以上１００００未満である場合、Ｐマークとして“Ｐ３”を付与し、前記判定値が１００００以上である場合、Ｐマークとして“Ｐ４”を付与する。なお、個人情報ファイルを判定するための所定閾値やＰマークを決定するための基準値は、個人情報管理サーバ２０（後述する管理コンソール２４）から適宜設定される。また、ここではＰマークを“Ｐ１”〜“Ｐ４”の４つにランク分けしているが、ランク分けの数はこれに限定されるものではない。さらに、上記の所定閾値や基準値としては、全ての利用者端末１０に対し共通（同一）のものを設定してもよいし、利用者端末１０毎や、本システム１を導入する施設（会社）毎に異なるものを設定してもよい。

上述のように判定対象ファイルに付与されたＰマーク（Ｐマークテーブル１０ｄ）は、個人情報ファイルであると判定されたファイル毎に、そのファイルを特定するための情報（例えば、ファイル名など）とともに、送受信手段１３およびネットワーク３０を介して個人情報管理サーバ２０へ送信され、図４を参照しながら後述するごとく、収集手段２３によりデータベース２０ｂに保存される。そして、Ｐマークを付与された管理対象ファイル（個人情報ファイル）は、そのＰマークのランクに応じて、図９を参照しながら後述するごとく、個人情報管理サーバ２０（後述する管理手段２５）により管理対象ファイルとして後述するごとく管理される。

〔１−３〕本実施形態の個人情報管理サーバの機能構成
図４は本実施形態の個人情報管理サーバ（管理サーバ）２０の機能構成を示すブロック図で、この図４に示すように、個人情報管理サーバ（管理サーバ）２０は、各種処理を実行するＣＰＵ２０ａと、各利用者端末１０からのアクセスログや個人情報ファイルなどに関する情報を格納・保存するデータベース（ＲＤＢ：Relational DataBase）２０ｂと、このデータベース２０ｂに保存された各種情報や、後述する管理手段２５によって集計・作成された公開情報を表示する表示部２０ｃとをそなえて構成されている。

ＣＰＵ２０ａは、利用者情報収集手段２１，インストール手段２２，収集手段２３，管理コンソール２４，管理手段２５，表示制御手段２６および送受信手段２７としての機能を果たすもので、これらの機能は、ＣＰＵ２０ａが、管理プログラムを実行することによって実現される。ここで、管理プログラムには、利用者端末１０を上述した探査手段１１およびアクセス検知手段１２として機能させるべく利用者端末１０にインストールすべきプログラム（利用者端末用プログラム）も含まれているものとする。

利用者情報収集手段２１は、本システム１の立ち上げ時や、利用者端末１０がネットワーク３０に接続されたことを検知した時や、所定の周期毎に、ネットワーク３０および送受信手段２７を介して通信可能に接続された利用者端末１０からＭＡＣアドレス等の利用者情報（ホスト情報）を収集し、当該利用者端末１０に、上記利用者端末用プログラムのほかに、当該利用者端末１０を上述した外部記憶媒体用ドライバ１４や暗号化手段／登録手段１５として機能させるプログラムがインストールされているか否かを認識するものである。当該利用者端末１０を上述した外部記憶媒体用ドライバ１４や暗号化手段／登録手段１５として機能させるプログラムのインストール状況は、後述するごとく管理手段２５の処理で用いられるため、データベース２０ｂに、当該利用者端末１０に対応付けられて登録・保存される。つまり、利用者情報収集手段２１は、利用者端末１０において外部記憶媒体用ドライバ１４がインストールされているか否かを調査する調査手段としての機能を果たすものである。

インストール手段２２は、上記利用者端末用プログラムをインストールされていない利用者端末１０が、利用者情報収集手段２１によって収集された情報に基づいて検知されると、送受信手段２７およびネットワーク３０を介して当該利用者端末１０に上記利用者端末用プログラムをインストールし、上記利用者端末用プログラムを当該利用者端末１０に実行させて当該利用者端末１０の記憶部１０ｂにおける管理対象ファイルを探査させるものである。

収集手段２３は、ネットワーク３０および送受信手段２７を介して、利用者端末１０で実行された個人情報ファイルの探査結果（個人情報ファイルのファイル名やリンク先情報，判定値，Ｐマークなど）を受信・収集し、各利用者端末１０に対応付けてデータベース２０ｂに格納する機能を果たすほか、各利用者端末１０から送信されてきた前記探査結果に基づいて各利用者端末１０における個人情報ファイルを把握し、ネットワーク３０および送受信手段２７を介して、各個人情報ファイルに対するアクセスログを利用者端末１０から収集して記録するログ収集手段としての機能を果たすものである。

なお、収集手段２３によるアクセスログの収集は、各利用者端末１０のアクセスログを受信することにより受動的に行なってもよいし、収集手段２３側から各利用者端末１０に対して定期的にアクセスログの送信要求を行なうことにより能動的に行なってもよい。
ここで収集されるアクセスログは、前述した通り、各利用者端末１０のアクセス検知手段１２によって個人情報ファイル毎に検知・記録されたものであり、アクセス種別やアクセス回数を含み、個人情報ファイルのファイル名や、その個人情報に対するアクセスを行なった利用者端末１０を特定しうる情報（ＰＣ名）や、その利用者端末１０の所有者を特定しうる情報（所有者名）と対応付けられて、データベース２０ｂに登録・保存されるようになっている。なお、本実施形態では、収集手段２３が、各利用者端末１０での閲覧禁止サイトへのアクセス回数についてもアクセスログとして収集し、各利用者端末１０に対応付けてデータベース２０ｂに登録・保存するものとする。

管理コンソール２４は、個人情報ファイルの判定条件（上記検疫テーブル１０ｃや、個人情報ファイルやＰマークを判定するために必要になる所定閾値など）を設定して管理するものである。検疫テーブル１０ｃには、上述した電話番号判定条件，電子メールアドレス判定条件，住所判定条件，文字判定条件（上記所定範囲）や不適切文字／不適切文字列が設定される。

管理手段２５は、収集手段２３によって収集されデータベース２０ｂに格納された探査結果（第２判定手段１１６で得られた計数結果）に応じて、各利用者端末１０における個人情報ファイルを管理するもので、探査手段１１で個人情報ファイルであると判定されたファイル（Ｐマークの付与されたファイル；以下、個人情報ファイルという）を管理対象としている。

この管理手段２５は、データベース２０ｂに保存されているＰマークテーブルに登録されている個人情報ファイルの判定値（またはＰマーク）に応じて、個人情報ファイルの利用者（保有者）に注意情報／警告情報を通知したり、個人情報ファイルを、その個人情報ファイルを保存している利用者端末１０から強制的に捕獲・回収したり、その個人情報ファイルが利用者端末１０から外部へ出力されるのを強制的に禁止したり、その個人情報ファイルを管理者のみがアクセス可能なフォルダ（図示略）に格納したり、個人情報ファイルに対するアクセスを管理サーバ２０のファイルアクセス管理サーバとしての機能（後述）によって管理させたりするものである。

例えば、Ｐマークのランクが“Ｐ１”である場合、警告情報によるリコメンドは行なわないが“Ｐ１”の個人情報ファイルが存在することをログとして記録する。Ｐマークのランクが“Ｐ２”である場合、その個人情報ファイルの利用者に対して注意を促すべくポップアップ表示による注意情報を通知する。Ｐマークのランクが“Ｐ３”である場合、その個人情報ファイルを保管している利用者が存在する旨を、システム管理者（管理者端末４０）に対し警告情報としてメール等により通知するとともに、その個人情報ファイルの返却を利用者に指示する。Ｐマークのランクが“Ｐ４”である場合、その個人情報ファイルを利用者端末１０から強制的に捕獲・回収したり、個人情報ファイルが利用者端末１０から外部へ出力されるのを強制的に禁止したり、個人情報ファイルを管理者のみがアクセス可能なフォルダに格納したり、個人情報ファイルに対するアクセスを個人情報管理サーバ２０のファイルアクセス管理サーバとしての機能によって管理させたりする。なお、Ｐマークのランクが“Ｐ４”でなくても、“Ｐ３”の個人情報ファイルが所定日数放置された場合には、その個人情報ファイルに対して、Ｐマークのランクが“Ｐ４”である場合と同様の処置を実行するようにしてもよい。

また、管理手段２５は、各利用者端末１０もしくはデータベース２０ｂに格納された個人情報ファイルを種々の確度で探査する機能や、表示制御手段２６によってその探査結果等を表示部２０ｃに表示させる機能を有している。
表示制御手段２６は、表示部２０ｃに各種情報、例えば後述する公開情報などを表示させるべく表示部２０ｃの表示状態を制御するものであり、送受信手段２７は、ネットワーク３０を介して各利用者端末１０との間で各種情報を送受信するものである。

また、本実施形態の管理手段２５は、各利用者端末１０による探査結果と、収集手段２３によって収集・記録されたアクセスログと、利用者情報収集手段２１によって収集・記録された調査結果（利用者端末１０を外部記憶媒体用ドライバ１４として機能させるプログラムの有無に関する情報）とに基づいて、各利用者端末１０を管理すべく、各個人情報ファイルに対するアクセス状況に関する公開情報や、外部記憶媒体用ドライバ１４をインストールされた利用者端末１０に関する公開情報を作成し、その公開情報を、表示部２０ｃ上で表示したり、ネットワーク３０を介し全ての利用者端末１０に対して公開したり、ネットワーク３０を介してメール等で全ての利用者端末１０に対して通知したりする機能を果たすものである。

ここで、公開情報としては、個人情報ファイルのファイル名や、その個人情報ファイルに対してアクセスを行なった利用者端末１０を特定しうる情報（ＰＣ名）や、その利用者端末１０の所有者を特定しうる情報（所有者名）や、個人情報ファイルの数の集計結果（利用者端末１０の個人情報ファイル数や個人情報保有数）や、個人情報ファイルに対するアクセスの回数の集計結果（個人情報ファイル毎／アクセス種別毎）がある。なお、アクセス種別としては、印刷，外部記憶媒体への書出し，削除，リネイム（変更），上書き保存，ＦＴＰサーバへのアップロードなどが挙げられる。

また、公開情報としては、個人情報ファイルを保有するとともに外部記憶媒体用ドライバ１４をインストールしている利用者端末１０を特定しうる情報（ＰＣ名）や、その利用者端末１０の所有者を特定しうる情報（所有者名）や、その利用者端末１０において保有されている個人情報ファイルのファイル名や、その利用者端末１０で実行された外部記憶媒体４０への個人情報ファイルの書出し回数もある。

さらに、本実施形態の管理手段２５は、個人情報ファイルに対するアクセス状況に関する情報のほかに、各利用者端末１０における閲覧禁止サイトへのアクセス回数（例えば図１９参照）や、各利用者端末１０の他端末／サーバにおける個人情報ファイルに対するアクセス回数を監視・収集し、公開情報として作成・公開する機能も有している。
なお、管理手段２５によって作成・公開される公開情報の具体例については、図１２〜図１９を参照しながら後述する。

さらに、本実施形態の管理手段２５は、各利用者端末１０による探査結果と、収集手段２３によって収集・記録されたアクセスログと、利用者情報収集手段２１によって収集・記録された調査結果（利用者端末１０を外部記憶媒体用ドライバ１４や暗号化手段／登録手段１５として機能させるプログラムの有無に関する情報）と、閲覧禁止サイトへのアクセス回数や他端末／サーバにおける個人情報ファイルに対するアクセス回数とに基づいて、各利用者端末１０を管理すべく、各利用者端末１０からの個人情報ファイルの流出を防止するための、各利用者端末１０におけるセキュリティレベルを変更・設定し、そのセキュリティレベルに応じて、各利用者端末１０におけるファイルに対するアクセスの制限を変更する機能も果たすように構成されている。

本実施形態の管理手段２５は、例えば、下記項目（１）〜（５）の基準に従って、各利用者端末１０のセキュリティレベルの設定（ファイルに対するアクセス制限の設定）を行なうものとする。
（１）個人情報ファイルにかかわる処理／操作（自端末１０／他端末／サーバにおける個人情報ファイルに対する何らかのアクセス）を実行した利用者端末１０についてはセキュリティレベルを高く設定し、ファイル（個人情報ファイルのみならず通常のファイルも含む）に対するアクセス制限を厳格化する一方、個人情報ファイルにかかわる処理／操作を所定期間にわたり一切実行していない利用者端末１０についてはセキュリティレベルを低く設定してファイルに対するアクセス制限を解除もしくは緩和する。

（２）記憶部１０ｂに個人情報ファイルを保有している利用者端末１０についてはセキュリティレベルを高く設定してファイルに対するアクセス制限を厳格化する一方、記憶部１０ｂに個人情報ファイルを保有していない利用者端末１０についてはセキュリティレベルを低く設定してファイルに対するアクセス制限を解除もしくは緩和する。

（３）外部へ送出されるファイルを自動的に暗号化する暗号化機能（前述した暗号化手段／登録手段１５としての機能）を設定されていない利用者端末１０についてはセキュリティレベルを高く設定してファイルに対するアクセス制限を厳格化する一方、暗号化機能を設定されている利用者端末１０についてはセキュリティレベルを低く設定してファイルに対するアクセス制限を解除もしくは緩和する。

（４）外部記憶媒体用ドライバ１４をインストールしている利用者端末１０についてはセキュリティレベルを高く設定してファイルに対するアクセス制限を厳格化する一方、外部記憶媒体用ドライバ１４をインストールしていない利用者端末１０についてはセキュリティレベルを低く設定してファイルに対するアクセス制限を解除もしくは緩和する。

（５）閲覧禁止サイトへのアクセスを行なっている利用者端末１０についてはセキュリティレベルを高く設定してファイルに対するアクセス制限を厳格化する一方、閲覧禁止サイトへのアクセスを行なっていない利用者端末１０についてはセキュリティレベルを低く設定してファイルに対するアクセス制限を解除もしくは緩和する。

このようなセキュリティレベルの設定（ファイルに対するアクセス制限の設定）を管理手段２５が行なうことにより、個人情報ファイルの不用意な流出・漏洩や不正利用などが発生する可能性の低い利用者端末１０、具体的には、個人情報ファイルに対するアクセスを所定期間にわたり一切行なっておらず、且つ、個人情報ファイルを保有しておらず、且つ、外部送出ファイルを暗号化するための機能を有しており、且つ、外部記憶媒体ドライバ１４をインストールしておらず、且つ、閲覧禁止サイトへのアクセスを一切行なっていない利用者端末１０に対しては、アクセス制限を解除もしくは緩和して、利用者端末１０を効率よく使用できる環境が利用者に提供されるようになっている。

ここで、アクセス制限の状態としては、印刷，外部記憶媒体への書出し，削除，リネイム（変更），上書き保存，ＦＴＰサーバへのアップロードなど全種類のアクセスを実行可能な状態と、全種類のアクセスを実行不能な状態との２段階を設定しておき、セキュリティレベル「低」が設定された場合には全種類のアクセスを実行可能な状態に切り替える一方、セキュリティレベル「高」が設定された場合には全種類のアクセスを実行不能な状態に切り替えるようにしてもよい。また、アクセス制限の状態として、全種類のアクセスを実行可能な状態から全種類のアクセスを実行不能な状態までの間に複数段階の状態を設定しておき、セキュリティレベル「低」から「高」までの各レベルに対応させて段階的に切り替えるようにしてもよい。

また、上記項目（１）〜（５）の基準毎にセキュリティレベルの設定（アクセス制限の設定）を行なっているが、各基準を満たしている度合いを数値化し、その数値の合計値に基づいて、上記項目（１）〜（５）の基準を満たしているかを総合的に判断してセキュリティレベルを設定するようにしてもよい。

〔１−４〕本実施形態のファイルアクセス管理サーバとしての機能構成
図５は本実施形態の個人情報管理サーバ（管理サーバ）２０にそなえられたファイルアクセス管理サーバとしての機能構成を示すブロック図である。なお、本実施形態では、ファイルアクセス管理サーバとしての機能を個人情報管理サーバ２０にそなえているが、その機能を、ネットワーク３０を介して各利用者端末１０と通信可能に接続された、個人情報管理サーバ２０とは別体のサーバによって実現するように構成してもよい。

図５に示すように、個人情報管理サーバ２０のファイルアクセス管理サーバとしての機能は、例えば、各利用者端末１０で暗号化手段１５により暗号化されたファイルや、各利用者端末１０の登録手段１５により登録されるファイルや、個人情報ファイル（Ｐマークのランクが“Ｐ４”の個人情報ファイル）を管理対象としている。ここでは、Ｐマークのランクが“Ｐ４”の個人情報ファイルを管理対象としているが、Ｐマークのランクに関係なく、探査手段１１によって個人情報ファイルであると判定された全ての電子ファイルをファイルアクセス管理サーバの管理対象としてもよい。

ＣＰＵ２０ａは、後述する手段２７ａ〜２７ｄ，２８，２９としての機能を果たすもので、これらの機能は、ＣＰＵ２０ａが、ファイルアクセス管理サーバ用のプログラムを実行することによって実現される。また、データベース２０ｂは、上述した各種情報のほかに、後述するごとく、個人情報ファイルを暗号化するための暗号鍵や、暗号化された個人情報ファイルを復号化するための復号鍵や、暗号化された個人情報ファイルに対するアクセス権限（後述）や、予め登録されている利用者〔暗号化ファイルの閲覧を許可された登録者（社員）〕のユーザＩＤ／パスワードなどを保存する。

送受信手段２７は、上述した機能のほかに、後述するファイル受信手段２７ａ，暗号化ファイル送信手段２７ｂ，認証情報受信手段２７ｃおよび復号鍵送信手段２７ｄとしての機能を果たす。また、本実施形態の送受信手段２７は、各利用者端末１０からの要求に応じて、暗号化手段１５での暗号化処理に用いられる所定の暗号鍵を、ネットワーク３０を通じて各利用者端末１０に送信する機能も果たすようになっている。

ファイル受信手段２７ａは、各利用者端末１０からネットワーク３０経由で登録対象のファイル（登録手段１５によって登録されるファイル）を受信するものである。
暗号化手段２８は、ファイル受信手段２７ａによって個人情報管理サーバ２０から受信した登録対象（管理対象）のファイルや、Ｐマークのランクが“Ｐ４”の個人情報ファイルを改竄操作の困難なＰＤＦファイル等の完成文書ファイルに変換し、さらに、そのＰＤＦファイルを、所定の暗号鍵を用いて暗号化するものである。ＰＤＦファイルへの変換は例えばＰＤＦドライバによって実現され、このＰＤＦドライバを起動することにより、個人情報ファイルがＰＤＦ化され、完成文書ファイルとしてのＰＤＦファイルが生成されるようになっている。

暗号化ファイル送信手段２７ｂは、暗号化手段２８によって暗号化（鍵掛け）されたファイル（以下、暗号化ファイルという）を、ネットワーク３０経由で利用者端末１０に送信するものである。
なお、ファイルアクセス管理サーバとしての機能による管理に際しては、上述のような暗号化手段２８による暗号化時に、ポリシー設定によって、各暗号化ファイルに対する各種アクセス権限（閲覧，印刷，コピー等の権限）が利用者毎や暗号化ファイル毎に設定される。その際、システム運用を簡易化すべく１種類のポリシを設定し、そのポリシ設定によって、全ての暗号化ファイルに対する各利用者端末１０でのアクセス権限〔例えば、本システム１を導入している社内の全社員／全利用者（ファイルアクセス管理サーバとしての機能に予め登録されている全登録者）のアクセス権限〕として、閲覧権限のみを自動的（強制的）に設定・付与し、閲覧以外のアクセス、例えば印刷，コピー，別名保存，画面キャプチャ（スクリーンショット）などのアクセスを一切行なえないようにしてもよい。

認証情報受信手段２７ｃは、利用者端末１０での暗号化ファイルに対するアクセス時に利用者端末１０からネットワーク３０経由で送信されてくる認証情報を受信するものである。ここで、認証情報は、暗号化ファイルを開こうとしている利用者端末１０の利用者がその暗号化ファイルの正当な送信先（利用者／登録者）であることをファイルアクセス管理サーバ２０で判定・認証するために必要な情報であり、ファイルアクセス管理サーバ２０によるサービスの利用者についてこのファイルアクセス管理サーバ２０（データベース２０ｂ）に予め登録されたユーザＩＤおよびパスワードを含んでいる。これらのユーザＩＤおよびパスワードは、暗号化ファイルを開く際に利用者がキーボードやマウスを操作することにより入力される。

判定手段２９は、認証情報受信手段２７ｃによって受信された認証情報に基づいて、認証情報を送信した利用者端末１０が暗号化ファイルの正当な送信先であるか否かを判定するもので、実際には、利用者によって入力されたユーザＩＤおよびパスワードが、ファイルアクセス管理サーバ２０のデータベース２０ｂに予め登録・保存されているユーザＩＤおよびパスワードと一致するか否かを判定することにより、その利用者が正当な登録者であるか否かを判定・認証するものである。

復号鍵送信手段２７ｄは、判定手段２９によって利用者が正当な登録者であることが認証された場合に、暗号化ファイルを復号化するための復号鍵をデータベース２０ｂから読み出して利用者端末１０にネットワーク３０経由で送信するものである。
そして、利用者端末１０においては、ファイルアクセス管理サーバ２０から復号鍵を受信すると、その復号鍵を用いて暗号化ファイルの復号化を行ない元の個人情報ファイルを復元し、復元された個人情報ファイルに対し、与えられたアクセス権限に応じたアクセス（例えば閲覧）が行なわれるようになる。

〔２〕本実施形態の個人情報管理システムの動作
次に、図６〜図１９を参照しながら、上述のごとく構成された本実施形態の個人情報管理システム１の動作について説明する。
〔２−１〕利用者端末の動作
本システム１においては、個人情報管理サーバ２０により、ネットワーク３０に接続された利用者端末１０に上記利用者端末用プログラムがインストールされているか否かが認識され、インストールされていない場合、その利用者端末１０に上記利用者端末用プログラムがインストールされる。

そして、上記利用者端末用プログラムをインストールされた利用者端末１０では、その利用者端末用プログラムを実行することにより、以下のような処理が行なわれる。図６に示すフローチャート（ステップＳ１１〜Ｓ１７）に従って、本実施形態の利用者端末１０の動作について説明する。

利用者端末１０においては、探査手段１１による個人情報ファイルの探査タイミングになったか否か（ステップＳ１１）、個人情報ファイルに対するアクセスが有ったか否か（ステップＳ１１のＮＯルートからステップＳ１４）、アクセスログの送信タイミングになったか否か（ステップＳ１４のＮＯルートからステップＳ１６）が、常時、監視されている。

上記利用者端末用プログラムプログラムを個人情報管理サーバ２０からインストールしたこと、あるいは、利用者端末１０の起動時、あるいは、所定の探査周期が経過したことなどを、探査手段１１による個人情報ファイルの探査タイミングとして検知すると（ステップＳ１１のＹＥＳルート）、探査手段１１としての機能が起動され、この探査手段１１により、記憶部１０ｂにおけるデータの中から個人情報ファイルが特定され探査される（ステップＳ１２；その詳細な探査手順については図７を参照しながら後述）。

そして、探査手段１１によって探査された個人情報ファイル毎に、判定結果（判定値／系数値）やＰマークが、そのファイルを特定するための情報（例えばファイル名など）とともに、送受信手段１３およびネットワーク３０を通じて個人情報管理サーバ２０に探査結果として送信される（ステップＳ１３）。

また、利用者端末１０において、探査手段１１によって探査された個人情報ファイルに対するアクセスがアクセス検知手段１２によって検知されると（ステップＳ１４のＹＥＳルート）、そのアクセス内容が、ファイル毎にアクセスログとして例えば記憶部１０ｂに記録・保存される（ステップＳ１５）。なお、アクセス検知手段１２が検知対象とする個人情報ファイルは、自端末の記憶部１０ｂに保有されるものだけでなく、他端末／サーバに保有されるものも含んでいるものとする。

さらに、アクセス検知手段１２によるアクセス検知時、もしくは、所定のアクセスログ送信周期、もしくは、個人情報管理サーバ２０（収集手段２３）からのアクセスログの送信要求時などを、アクセスログの送信タイミングとして検知すると（ステップＳ１６のＹＥＳルート）、アクセス検知手段１２により検知された直後のアクセスログ、もしくは、それまでに記憶部１０ｂに記録・蓄積されたアクセスログが、送受信手段１３およびネットワーク３０を通じて個人情報管理サーバ２０に送信・通知される（ステップＳ１７）。

なお、利用者端末１０において暗号化手段１５としての機能が設定されている場合、メールに添付されてもしくは外部記憶媒体４０に書き出されて外部へ送出されるファイルは、暗号化手段１５としての機能によって、コンテナ機能を有するＰＤＦファイルに変換され、そのコンテナ機能を用いて当該ＰＤＦファイルに当該ファイルのオリジナルファイルが格納されてから、そのＰＤＦファイルは、ファイルアクセス管理サーバ２０によって管理される所定の暗号鍵で暗号化され、暗号化ファイルが作成される。このとき、当該暗号化ファイルにアクセスする利用者について、当該暗号化ファイルに対するアクセス権限（例えば閲覧権限）も、暗号化手段１５からファイルアクセス管理サーバ２０に対して自動的に設定される。

また、利用者端末１０において登録手段１５としての機能が設定されている場合、メールに添付されてもしくは外部記憶媒体４０に書き出されて外部へ送出されるファイルは、登録手段１５としての機能によって、個人情報管理サーバ２０におけるファイルアクセス管理サーバとしての機能の管理下に置くべく、サーバ２０に登録される。登録時には、登録手段１５から送受信手段１３およびネットワーク３０を介して、そのファイルがサーバ２０に送信されるとともに、登録処理に応じて、図１０を参照しながら後述する手順で作成された暗号化ファイルがサーバ２０から受信される。

〔２−２〕探査手段の動作
本実施形態の探査手段１１では、以下のように、電話番号，電子メールアドレス，住所および氏名の出現頻度をそれぞれ数値化し、個人情報ファイルの判定（特定・探査）を行なっている。その際、切出手段１１２によって切り出された文字区間に、個人情報において出現し得ない文字／文字列として予め設定された不適切文字／不適切文字列が含まれている場合、その文字区間は、個人情報要素（本実施形態では氏名）には該当しないものと見なされて除外される一方、切出手段１１２によって切り出された文字区間に、個人情報において出現し得ない文字／文字列として予め設定された不適切文字／不適切文字列が含まれていない場合、その文字区間は、個人情報をなす個人情報要素に該当するものと見なされて、つまり個人情報要素が出現したものと見なされ、出現回数のカウントアップを行なっている。

本実施形態の利用者端末１０において、上述した探査手段１１（利用者端末用プログラム）によって実行される、個人情報ファイルの探査動作の手順を、図７に示すフローチャート（ステップＳ１０２〜Ｓ１１８）に従って説明する。
まず、利用者端末１０の全てのデータの中から、まだ判定対象となっていないファイルが判定対象ファイルとして一つ選択されて読み出され（ステップＳ１０２）、その判定対象ファイルから抽出手段（テキスト抽出エンジン）１１１によりテキストデータが抽出される（ステップＳ１０３）。

このように抽出されたテキストからは、切出手段１１２により、上述した区切り文字で区切られる文字区間が切り出され、判定対象／照合対象としてバッファ（図示略）に順次書き出される（ステップＳ１０４）。文字区間の切り出しに際し、前述したように、切出手段１１２により、文字区間からは、英数文字，カタカナ，ひらがな，漢字以外の記号、例えばハイフン，アンダバー，括弧記号などの記号文字が除去される。

そして、切出手段１１２によって切り出され記号文字を除去された文字区間における文字列（以下、単に文字列という）が、電話番号，電子メールアドレス，住所のうちのいずれか一つに該当するか否かを、電話番号判定手段１１３ａ，電子メールアドレス判定手段１１３ｂおよび住所判定手段１１３ｃによって順次判定する（ステップＳ１０５，Ｓ１０７，Ｓ１０９）。

最初に、電話番号判定手段１１３ａにより、上記文字列が電話番号に該当するか否かが判定される（ステップＳ１０５）。その際、上記文字列が検疫テーブル１０ｃに設定されている電話番号判定条件を満たしていれば、つまり上記文字列中に９〜１５桁の数字が含まれていれば、上記文字列が電話番号に該当するものと判定され（ステップＳ１０５のＹＥＳルート）、その旨が第２判定手段１１６に通知され、この第２判定手段１１６において、電話番号の出現回数に対応する計数値が１だけカウントアップされ（ステップＳ１０６）、ステップＳ１１４の処理へ移行する。

上記文字列が電話番号に該当しないと判定された場合（ステップＳ１０５のＮＯルート）、電子メールアドレス判定手段１１３ｂにより、上記文字列が電話メールアドレスに該当するか否かが判定される（ステップＳ１０７）。その際、上記文字列が検疫テーブル１０ｃに設定されている電子メールアドレス判定条件を満たしていれば、つまり上記文字列中に「一文字以上のＡＳＣＩＩ」＋「＠」＋「一文字以上のＡＳＣＩＩ」＋「．」＋「一文字以上のＡＳＣＩＩ」となる文字列が含まれていれば、上記文字列が電子メールアドレスに該当するものと判定され（ステップＳ１０７のＹＥＳルート）、その旨が第２判定手段１１６に通知され、この第２判定手段１１６において、電子メールアドレスの出現回数に対応する計数値が１だけカウントアップされ（ステップＳ１０８）、ステップＳ１１４の処理へ移行する。

上記文字列が電子メールアドレスに該当しないと判定された場合（ステップＳ１０７のＮＯルート）、住所判定手段１１３ｃにより、上記文字列が住所（居所）に該当するか否かが判定される（ステップＳ１０９）。その際、上記文字列が検疫テーブル１０ｃに設定されている住所判定条件を満たしていれば、つまり上記文字列中に「一文字以上の全角文字」＋「市」または「区」または「郡」＋「一文字以上の全角文字」となる文字列が含まれていれば、上記文字列が住所に該当するものと判定され（ステップＳ１０９のＹＥＳルート）、その旨が第２判定手段１１６に通知され、この第２判定手段１１６において、住所（居所）の出現回数に対応する計数値が１だけカウントアップされ（ステップＳ１１０）、ステップＳ１１４の処理へ移行する。

上記文字列が住所に該当しないと判定された場合（ステップＳ１０９のＮＯルート）、つまり第１判定手段１１３によって上記文字列が電話番号，電子メールアドレス，住所のうちのいずれにも該当しないと判定された場合、文字判定手段１１４により、その文字列が、検疫テーブル１０ｃに設定されている文字判定条件（文字数が１以上６以下であり全ての文字が漢字であること）を満たすか否かが判定される（ステップＳ１１１）。この文字判定条件を満たさない場合（ステップＳ１１１のＮＯルート）、ステップＳ１１４の処理へ移行する。

一方、この文字判定条件を満たす場合（ステップＳ１１１のＹＥＳルート）、照合手段１１５により、当該文字区間（上記文字列）に含まれる文字／文字列と検疫テーブル１０ｃに設定されている氏名についての不適切文字／不適切文字列とが照合され、当該文字区間に不適切文字／不適切文字列が含まれるか否かが判定される（ステップＳ１１２）。当該文字区間に、一つでも不適切文字／不適切文字列と一致する文字／文字列が存在した場合（ステップＳ１１２のＹＥＳルート）には、その時点不適切文字／不適切文字列との照合処理を直ちに終了し、ステップＳ１１４の処理へ移行する。

また、当該文字区間に不適切文字／不適切文字列が含まれていない場合（ステップＳ１１２のＮＯルート）、その照合判定結果が第２判定手段１１６に通知され、この第２判定手段１１６において、当該文字区間が氏名に該当するものと見なされ、氏名の出現回数に対応する計数値が１だけカウントアップされ（ステップＳ１１３）、ステップＳ１１４の処理へ移行する。

ステップＳ１１４では、判定対象ファイルから抽出されたテキストデータから未だ切り出されていない文字区間の有無が判定され、有る場合（ＹＥＳルート）には、ステップＳ１０４に戻り、上述と同様の処理（ステップＳ１０４〜Ｓ１１３）を繰り返し実行する。このようにして全ての文字区間がテキストデータから切り出され全ての文字区間に対する判定処理，照合処理，計数処理等を終了すると（ステップＳ１１４のＮＯルート）、第２判定手段１１６において、電話番号，電子メールアドレス，住所，氏名のそれぞれについての計数値に基づいて、上述した判定値が算出される（ステップＳ１１５）。

そして、第２判定手段１１６においては、ステップＳ１１５で算出された判定値に基づいて、上述したように、判定対象ファイルが個人情報ファイルであるか否かが判定されるとともに、Ｐマークのランク付け（本実施形態では“Ｐ１”〜“Ｐ４”の４つ）が行なわれる（ステップＳ１１６）。

この後、利用者端末１０における全ての電子ファイルについて個人情報の探査を行なったか否かを判定し（ステップＳ１１７）、まだ未探査の電子ファイルが存在する場合（ステップＳ１１７のＮＯルート）、ステップＳ１０２に戻り上述と同様の処理を実行する一方、全ての電子ファイルについて探査を完了した場合（ステップＳ１１７のＹＥＳルート）、ステップＳ１１６での個人情報ファイルの判定結果やＰマークのランク付けの結果は探査結果として出力される（ステップＳ１１８）。このようなステップＳ１１８の処理完了後、個人情報ファイルの探査動作を終了する。

〔２−３〕個人情報管理サーバの動作
次に、本実施形態の個人情報管理サーバ２０の動作について図８〜図１９を参照しながら説明する。
まず、図８に示すフローチャート（ステップＳ２０１〜Ｓ２１５）に従って、本実施形態の個人情報管理サーバ２０の主たる動作について説明する。

個人情報管理サーバ２０においては、利用者情報収集手段２１による収集タイミングになったか否か（ステップＳ２０１）、各利用者端末１０から探査手段１１による探査結果を受信したか否か（ステップＳ２０１のＮＯルートからステップＳ２０６）、アクセスログの収集タイミングになったか否か（ステップＳ２０６のＮＯルートからステップＳ２１０）が、常時、監視されている。

本システム１の立ち上げ時、あるいは、利用者端末１０がネットワーク３０に接続されたことを検知した時や、所定の収集周期が経過したことなどを、利用者情報収集手段２１による収集タイミングとして検知すると（ステップＳ２０１のＹＥＳルート）、各利用者端末１０の利用者情報（ホスト情報）が利用者情報収集手段２１によって収集されるとともに、各利用者端末１０におけるプログラム（例えば、上記利用者端末用プログラムのほか、利用者端末１０を外部記憶媒体用ドライバ１４や暗号化手段／登録手段１５として機能させるプログラム）のインストール状況が利用者情報収集手段２１によって収集される（ステップＳ２０２）。収集されたインストール状況（各プログラムの有無）は、各利用者端末１０に対応付けられてデータベース２０ｂに登録・保存される。

上記利用者端末用プログラムをインストールされていない利用者端末１０が存在する場合（ステップＳ２０３のＹＥＳルート）、インストール手段２２によって、送受信手段２７およびネットワーク３０を介してその利用者端末１０に上記利用者端末用プログラムがインストールされ、上記利用者端末用プログラムを当該利用者端末１０に実行させて当該利用者端末１０の記憶部１０ｂにおける管理対象ファイルを探査させる（ステップＳ２０４）。

このように上記利用者端末用プログラムを利用者端末１０にインストールした後、もしくは、上記利用者端末用プログラムをインストールされていない利用者端末１０が存在しない場合（ステップＳ２０３のＮＯルート）、各利用者端末１０における外部記憶媒体用ドライバ１４のインストール状況や暗号化手段／登録手段１５の設定状況、つまり、利用者端末１０を外部記憶媒体用ドライバ１４や暗号化手段／登録手段１５として機能させるプログラムの有無に応じて、各利用者端末１０についてのセキュリティレベルが、管理手段２５によって設定される（ステップＳ２０５）。

このとき、管理手段２５は、上述した項目（３）に記載されたセキュリティレベル設定基準に従って、暗号化手段／登録手段１５としての機能を設定されていない利用者端末１０についてはセキュリティレベルを高く設定してファイルに対するアクセス制限を厳格化する一方、暗号化機能を設定されている利用者端末１０についてはセキュリティレベルを低く設定してファイルに対するアクセス制限を解除もしくは緩和し、さらに、上述した項目（４）に記載されたセキュリティレベル設定基準に従って、外部記憶媒体用ドライバ１４をインストールしている利用者端末１０についてはセキュリティレベルを高く設定してファイルに対するアクセス制限を厳格化する一方、外部記憶媒体用ドライバ１４をインストールしていない利用者端末１０についてはセキュリティレベルを低く設定してファイルに対するアクセス制限を解除もしくは緩和する。

また、各利用者端末１０から探査手段１１による探査結果を受信した場合（ステップＳ２０６のＹＥＳルート）、その探査結果（個人情報ファイルのファイル名やリンク先情報，判定値，Ｐマークなど）は、収集手段２３によって各利用者端末１０に対応付けられてデータベース２０ｂに登録・保存される（ステップＳ２０７）。また、収集手段２３によって、その探査結果に基づいて各利用者端末１０における個人情報ファイルが把握され、把握された個人情報ファイルが、収集手段２３によるアクセスログ収集対象として登録される（ステップＳ２０８）。

この後、各利用者端末１０からの個人情報ファイルの探査結果に応じて、各利用者端末１０についてのセキュリティレベルが、管理手段２５によって設定される（ステップＳ２０９）。このとき、管理手段２５は、上述した項目（２）に記載されたセキュリティレベル設定基準に従って、記憶部１０ｂに個人情報ファイルを保有している利用者端末１０についてはセキュリティレベルを高く設定してファイルに対するアクセス制限を厳格化する一方、記憶部１０ｂに個人情報ファイルを保有していない利用者端末１０についてはセキュリティレベルを低く設定してファイルに対するアクセス制限を解除もしくは緩和する。

さらに、各利用者端末１０の能動的なアクセスログ通知、もしくは、個人情報管理サーバ２０（収集手段２３）からのアクセスログの送信要求時などを、アクセスログの収集タイミングとして検知すると（ステップＳ２１０のＹＥＳルート）、収集手段２３によって各利用者端末１０からアクセスログ（アクセス検知手段１２によって記録された個人情報ファイルに対するアクセスログや、閲覧禁止サイトに対するアクセスログ）が収集され（ステップＳ２１１）、収集されたアクセスログ（個人情報ファイルのファイル名，ＰＣ名，所有者名，アクセス種別，アクセス回数，閲覧禁止サイトへのアクセス回数）は、収集手段２３によって各利用者端末１０／個人情報ファイルに対応付けられてデータベース２０ｂに登録・保存される（ステップＳ２１２）。

そして、管理手段２５によって、各利用者端末１０による探査結果と、収集手段２３によって収集・記録されたアクセスログと、利用者情報収集手段２１によって収集・記録された調査結果（利用者端末１０を外部記憶媒体用ドライバ１４として機能させるプログラムの有無に関する情報）とに基づいて、各利用者端末１０を管理すべく、各個人情報ファイルに対するアクセス状況に関する公開情報や、外部記憶媒体用ドライバ１４をインストールされた利用者端末１０に関する公開情報が作成され（ステップＳ２１３）、作成された公開情報が、表示制御部２６を介して表示部２０ｃ上で表示されたり、ネットワーク３０を介し全ての利用者端末１０に対して公開されたり、ネットワーク３０を介してメール等で全ての利用者端末１０に対して通知されたりする（ステップＳ２１４）。

また、収集手段２３によって収集・記録されたアクセスログ（閲覧禁止ログに対するアクセスログも含む）に応じて、各利用者端末１０についてのセキュリティレベルが、管理手段２５によって設定される（ステップＳ２１５）。このとき、管理手段２５は、上述した項目（１）に記載されたセキュリティレベル設定基準に従って、個人情報ファイルにかかわる処理／操作（自端末１０／他端末／サーバにおける個人情報ファイルに対する何らかのアクセス）を実行した利用者端末１０についてはセキュリティレベルを高く設定し、ファイル（個人情報ファイルのみならず通常のファイルも含む）に対するアクセス制限を厳格化する一方、個人情報ファイルにかかわる処理／操作を所定期間にわたり一切実行していない利用者端末１０についてはセキュリティレベルを低く設定してファイルに対するアクセス制限を解除もしくは緩和し、さらに、上述した項目（５）に記載されたセキュリティレベル設定基準に従って、閲覧禁止サイトへのアクセスを行なっている利用者端末１０についてはセキュリティレベルを高く設定してファイルに対するアクセス制限を厳格化する一方、閲覧禁止サイトへのアクセスを行なっていない利用者端末１０についてはセキュリティレベルを低く設定してファイルに対するアクセス制限を解除もしくは緩和する。

〔２−４〕公開情報の具体例
ここで、ステップＳ２１３で作成されステップＳ２１４で公開される公開情報の具体例について、図１２〜図１９を参照しながら説明する。なお、図１２〜図１９は、いずれも管理手段２５によって作成され公開される公開情報（利用者端末１０や管理サーバ２０のディスプレイに表示される画面やリスト）の具体例を示す図である。

図１２には、月毎に集計された個人情報ファイル数および個人情報保有数を棒グラフとしてディスプレイに表示する画面１０１と、この画面１０１から「件数」（ここでは「１０００件〜１０００００件」）でドリルダウンされてディスプレイに表示されるリスト１０２と、画面１０１から「月」でドリルダウンされてディスプレイに表示される画面（部署毎の棒グラフ表示）１０３と、さらに、この画面１０３から「部署名」（ここでは「営業部」）でドリルダウンされてディスプレイに表示されるリスト１０４とが示されている。リスト１０２，１０４では、個人情報ファイル毎に、そのファイル名と、その個人情報ファイルに含まれる個人情報件数（例えば個人情報要素の数）と、その個人情報ファイルを保有する利用者端末１０の所有者名と、その利用者端末１０のＰＣ名と、その利用者端末１０の属する部署名や職務とが表示されている。

図１３には、部署毎／アクセス種別毎に集計された個人情報ファイルに対するアクセス数（個人情報アクセス記録）を棒グラフとしてディスプレイに表示する画面１０５と、この画面１０５から、「部署名」および「アクセス種別」でドリルダウンされてディスプレイに表示されるリスト１０６，１０７とが示されている。リスト１０６は「営業部」および「ファイル保存」でドリルダウン表示されるものであり、リスト１０７は「営業部」および「ＵＳＢ」でドリルダウン表示されるものであり、これらのリスト１０６，１０７では、アクセスを行なった利用者端末１０の所有者名毎に、その利用者端末１０のＰＣ名と、アクセス日時と、アクセスを行なった個人情報ファイルのファイル名と、ドキュメントパス／ドキュメント操作／プリンタ名／ＦＴＰサーバ／ＦＴＰコマンド等とが表示されている。なお、図中、アクセス種別「ＦＴＰ」はＦＴＰサーバとの間のアップロード／ダウンロード、「ＵＳＢ」は外部記憶媒体（ＵＳＢメモリ）へのアクセス、「変更」はリネーム、「保存」はファイルの上書き保存のことである。このようなリスト１０６，１０７により、個人情報流出につながる可能性のある個人情報ファイルへのアクセスを記録し把握することができる。

図１４は、図１３に示した画面１０５を簡略化した例を示すもので、この図１４には、部署毎に集計された個人情報ファイルに対するアクセス数（個人情報アクセス記録）を棒グラフとしてディスプレイに表示する画面１０８と、この画面１０８から「部署名」（ここでは「営業部」）でドリルダウンされてディスプレイに表示されるリスト１０９とが示されている。リスト１０９では、選択された部署における利用者端末１０の所有者名毎に、その利用者端末１０のＰＣ名と、アクセス日時と、アクセスを行なった個人情報ファイルのファイル名と、ドキュメントパスおよび操作内容とが表示されている。このようなリスト１０９により、個人情報流出の可能性のあるユーザ操作を把握することができる。

図１５には、部署毎に集計された、個人情報ファイルを保有し且つ大容量記憶デバイス（外部記憶媒体用ドライバ１４）をインストール済みの対象ＰＣ数を棒グラフとしてディスプレイに表示する画面１１０と、この画面１１０から「部署名」（ここでは「営業部」）でドリルダウンされてディスプレイに表示されるリスト１１１とが示されている。リスト１１１では、アクセスを行なった利用者端末１０の所有者名毎に、その利用者端末１０のＰＣ名と、その利用者端末１０が保有する個人情報ファイルのファイル名，ドキュメントパスおよび操作内容とが表示されている。このようなリスト１１１により、個人情報流出の可能性のあるユーザ操作を把握することができる。

図１６には、部署毎に集計された、個人情報ファイルの外部メディア（外部記憶媒体４０）への書出し回数を棒グラフとしてディスプレイに表示する画面１１２と、この画面１１２から「部署名」（ここでは「営業部」）でドリルダウンされてディスプレイに表示されるリスト１１３とが示されている。リスト１１３では、選択された部署における利用者端末１０の所有者名毎に、その利用者端末１０のＰＣ名と、書出し日時と、その書出し対象となった個人情報ファイルのファイル名，ドキュメントパスおよび操作内容とが表示されている。このようなリスト１１３により、個人情報流出の可能性のあるユーザ操作を把握することができる。

図１７には、部署毎に集計された、個人情報ファイルのＦＴＰ転送回数を棒グラフとしてディスプレイに表示する画面１１４と、この画面１１４から「部署名」（ここでは「営業部」）でドリルダウンされてディスプレイに表示されるリスト１１５とが示されている。リスト１１５では、選択された部署における利用者端末１０の所有者名毎に、その利用者端末１０のＰＣ名と、ＦＴＰ転送日時と、その転送対象となった個人情報ファイルのファイル名，ＦＴＰサーバ名およびＦＴＰコマンドとが表示されている。このようなリスト１１５により、個人情報流出の可能性のあるユーザ操作を把握することができる。

図１８には、部署毎に集計された、個人情報ファイルのリネーム回数を棒グラフとしてディスプレイに表示する画面１１６と、この画面１１６から「部署名」（ここでは「営業部」）でドリルダウンされてディスプレイに表示されるリスト１１７とが示されている。リスト１１７では、選択された部署における利用者端末１０の所有者名毎に、その利用者端末１０のＰＣ名と、リネーム日時と、そのリネーム対象となった個人情報ファイルのファイル名およびドキュメントパスとが表示されている。このようなリスト１１７により、個人情報流出の可能性のあるユーザ操作を把握することができる。

図１９には、禁止閲覧サイト毎に集計されたアクセス回数を棒グラフとしてディスプレイに表示する画面１１８と、この画面１１８から「サイト名」（ここでは「ファイル便」）でドリルダウンされてディスプレイに表示されるリスト１１９とが示されている。リスト１１９では、選択されたサイトにアクセスした利用者端末１０の所有者名毎に、その利用者端末１０のＰＣ名と、アクセス時間とが表示されている。このようなリスト１１９により、閲覧禁止サイトへのアクセスを監視することができる。

〔２−５〕Ｐマークに基づく個人情報管理サーバの管理動作
次に、探査手段１１による探査結果として得られたＰマークに基づく個人情報管理サーバ２０（管理手段２５）の管理動作について、図９に示すフローチャート（ステップＳ２０〜Ｓ２９）に従って説明する。

管理手段２５では、データベース２０ｂにおける個人情報ファイルの判定結果（Ｐマークテーブル）を参照し、個人情報ファイル（Ｐマークを付与されたファイル）の有無を判定する（ステップＳ２０）。個人情報ファイルが存在する場合（ステップＳ２１のＹＥＳルート）、個人情報ファイルの探査結果〔ここではＰマークレベル（ランク）〕に応じて、管理手段２５により、各個人情報ファイルに対する管理・操作が以下のように行なわれる（ステップＳ２１〜Ｓ２９）。

まず、Ｐマークレベル“Ｐ１”の個人情報ファイルの有無が判定され（ステップＳ２１）、Ｐマークレベル“Ｐ１”の個人情報ファイルがある場合（ステップＳ２１のＹＥＳルート）、その個人情報ファイルをアクセス監視対象（アクセスログの記録対象）として設定・登録する（ステップＳ２２）。なお、ステップＳ２２の処理は、図８のステップＳ２０８と同一の処理と重複するので、ステップＳ２１およびＳ２２は省略してもよい。

Ｐマークレベル“Ｐ１”の個人情報ファイルがない場合（ステップＳ２１のＮＯルート）、もしくは、ステップＳ２２での登録後、Ｐマークレベル“Ｐ２”の個人情報ファイルの有無が判定され（ステップＳ２３）、Ｐマークレベル“Ｐ２”の個人情報ファイルがある場合（ステップＳ２３のＹＥＳルート）、その個人情報ファイルをアクセス監視対象として設定・登録するとともに、その個人情報ファイルの利用者に対して注意を促すべくポップアップ表示による注意情報が通知される（ステップＳ２４）。

Ｐマークレベル“Ｐ２”の個人情報ファイルがない場合（ステップＳ２３のＮＯルート）、もしくは、ステップＳ２４での注意情報通知後、Ｐマークレベル“Ｐ３”の個人情報ファイルの有無が判定され（ステップＳ２５）、Ｐマークレベル“Ｐ３”の個人情報ファイルがある場合（ステップＳ２５のＹＥＳルート）、その個人情報ファイルをアクセス監視対象として設定・登録するとともに、その個人情報ファイルを保管している利用者が存在する旨が、システム管理者に対し警告情報としてメール等により通知されるとともに、その個人情報ファイルの返却が利用者に指示される（ステップＳ２６）。

Ｐマークレベル“Ｐ３”の個人情報ファイルがない場合（ステップＳ２５のＮＯルート）、もしくは、ステップＳ２６で警報情報通知および返却指示を行なった後、Ｐマークレベル“Ｐ４”の個人情報ファイルの有無が判定され（ステップＳ２７）、Ｐマークレベル“Ｐ４”の個人情報ファイルがある場合（ステップＳ２７のＹＥＳルート）、その個人情報ファイルがクライアント端末１０から強制的に捕獲・回収され（ステップＳ２８）、さらに、その個人情報ファイルをファイルアクセス管理サーバ２０の管理下に置き、その個人情報ファイルに対するアクセスをファイルアクセス管理サーバ２０に管理させる（ステップＳ２９）。Ｐマークレベル“Ｐ４”の個人情報ファイルがない場合（ステップＳ２７のＮＯルート）、もしくは、ステップＳ２９での処理終了後、管理動作を終了する。

なお、前述した通り、Ｐマークレベル“Ｐ４”の個人情報ファイルについては、その個人情報ファイルが利用者端末１０から外部へ出力されるのを強制的に禁止したり、個人情報ファイルを管理者のみがアクセス可能なフォルダに格納したりしてもよい。また、Ｐマークレベル“Ｐ３”の個人情報ファイルが所定日数放置された場合、Ｐマークレベル“Ｐ４”の個人情報ファイルと同様の処置を実行してもよい。さらに、Ｐマークレベル“Ｐ１”〜“Ｐ４”の個人情報ファイルの全てをファイルアクセス管理サーバ２０の管理下に置くようにしてもよい。

〔２−６〕ファイルアクセス管理サーバの動作
次に、図１０および図１１を参照しながら、ファイルアクセス管理サーバ２０の動作について説明する。
まず、図１０に示すフローチャート（ステップＳ３１〜Ｓ３４）に従って、本実施形態のファイルアクセス管理サーバ２０によるファイル変換動作を説明する。

ファイルアクセス管理サーバ２０において、管理対象のファイルが、ファイルアクセス管理サーバ２０による管理対象として登録されるべく各利用者端末１０からネットワーク３０経由で個人情報ファイル受信手段２７ａにより受信されると（ステップＳ３１のＹＥＳルート）、そのファイルが、暗号化手段２８により、ＰＤＦファイルに変換され（ステップＳ３２）、さらに、所定の暗号鍵を用いて暗号化処理（鍵掛け処理）が行なわれる（ステップＳ３３）。そして、暗号化ファイルは、暗号化ファイル送信手段２７ｂによりネットワーク３０経由で利用者端末１０に送信される（ステップＳ３４）。

ついで、図１１に示すフローチャート（ステップＳ４１〜Ｓ４５）に従って、本実施形態のファイルアクセス管理サーバ２０による認証動作について説明する。
利用者端末１０の利用者が、暗号化ファイルの内容を閲覧しようとする場合、その利用者によって認証情報が入力されファイルアクセス管理サーバ２０へ送信される。そして、その認証情報がネットワーク３０経由で認証情報受信手段２７ｃにより受信されると（ステップＳ４１のＹＥＳルート）、判定手段２９は、認証情報に含まれるユーザＩＤによってデータベース２０ｂを検索し、そのユーザＩＤに対応する登録パスワードをデータベース２０ｂから読み出し、認証情報に含まれるパスワードと、データベース２０ｂから読み出された登録パスワードとを比較し、これらのパスワードが一致するか否かの判定（利用者認証；ステップＳ４２）を行なう。

これらのパスワードが一致し、利用者端末１０の利用者が正当な登録者（正当な送信先）であることが認証されると（ステップＳ４３のＹＥＳルート）、復号鍵送信手段２７ｄにより、暗号化ファイルを復号化するための復号鍵がデータベース２０ｂから読み出され、その利用者端末１０にネットワーク３０経由で送信される（ステップＳ４４）。

そして、利用者端末１０において、復号鍵が受信されると、その復号鍵を用いて暗号化ファイルが復号化されて元のファイルが復元され、そのファイルに対し、予め与えられたアクセス権限に応じたアクセスが実行される。例えば、前述したようにアクセス権限として閲覧権限のみが与えられている場合、利用者は、復元されたファイルの内容を閲覧することはできるが、閲覧以外のアクセス、例えばプリンタによる印刷出力や他の記録媒体へのコピーや画面コピー（画面キャプチャ）や別名保存などのアクセスは一切行なうことができない。

一方、ファイルアクセス管理サーバ２０の判定手段２９によりパスワードが不一致であると判定された場合、もしくは、ユーザＩＤに対応する登録パスワードがデータベース２０ｂに登録されていなかった場合には、利用者が正当な登録者（正当な送信先）ではないと判定され（ステップＳ４３のＮＯルート）、ファイルアクセス管理サーバ２０から利用者端末１０にネットワーク３０経由でエラー通知が行なわれる（ステップＳ４５）。

〔３〕本実施形態の個人情報管理システムの効果
このように本発明の一実施形態としての管理システム１や管理サーバ２０によれば、各利用者端末１０において個人情報ファイルが探査され、管理サーバ２０（管理手段２５）によってその探査の結果や管理対象ファイルに対するアクセスログに基づいて利用者端末１０が管理される。これにより、個人情報が複数の利用者端末１０に分散して保存されていても、人的な協力を得ることなく且つ担当者に特別な負荷をかけることなく、個人情報ファイルの状態を管理することができ、個人情報の不用意な流出・漏洩や不正利用などを確実に防止することができる。

このとき、例えば図１２〜図１９に示したように、個人情報象ファイルに対するアクセス状況（例えば、個人情報ファイルのファイル名，ＰＣ名，所有者名，個人情報ファイルの数の集計結果，個人情報ファイルに対するアクセスの回数の集計結果など）が公開されることで、利用者が、自発的に、個人情報ファイルに対するアクセスを行なわなくなるような環境が提供されることになり、個人情報の不用意な流出・漏洩や不正利用などをより確実に防止することができる。

また、外部記憶媒体用ドライバ１４をインストールされた利用者端末１０に関する情報（例えば、その利用者端末のＰＣ名，その利用者端末の所有者名，個人情報ファイルのファイル名，その個人情報ファイルの書出し回数など）が公開されることで、利用者が、自発的に、外部記憶媒体用ドライバ１４をインストールしなくなるようになったり、インストールしていてもそのドライバ１４を用いて個人情報ファイルの書出しを行なわなくなるような環境が提供されることになり、個人情報の不用意な流出・漏洩や不正利用などをより確実に防止することができる。

さらに、個人情報ファイルの不用意な流出・漏洩や不正利用などが発生する可能性の高い利用者端末１０（例えば、個人情報ファイルにかかわる処理／操作を実行した利用者端末１０，記憶部１０ｂに個人情報ファイルを保有している利用者端末１０，暗号化手段／登録手段１５としての機能を設定されていない利用者端末１０，外部記憶媒体用ドライバ１４をインストールしている利用者端末１０など）についてはセキュリティレベルを高く設定してアクセス制限を厳格化する一方でその可能性の低い利用者端末についてはセキュリティレベルを低く設定してアクセス制限を解除もしくは緩和することによって、上記可能性の低い場合には利用者端末１０を効率よく使用できる環境が提供されることになるので、利用者は、自発的に、自分の端末１０を上記可能性の低い状態に移行させるようになり、個人情報や機密情報の不用意な流出・漏洩や不正利用などをより確実に防止することができる。

特に、本実施形態では、上記項目（１）〜（５）に記載された基準に従ったセキュリティレベルの設定（ファイルに対するアクセス制限の設定）を管理手段２５が行なうことにより、個人情報ファイルの不用意な流出・漏洩や不正利用などが発生する可能性の低い利用者端末１０、具体的には、個人情報ファイルに対するアクセスを所定期間にわたり一切行なっておらず、且つ、個人情報ファイルを保有しておらず、且つ、外部送出ファイルを暗号化するための機能を有しており、且つ、外部記憶媒体ドライバ１４をインストールしておらず、且つ、閲覧禁止サイトへのアクセスを一切行なっていない利用者端末１０に対しては、アクセス制限を解除もしくは緩和して、利用者端末１０を効率よく使用できる環境が利用者に提供される。

なお、個人情報ファイルの探査を行なう探査手段１１およびアクセス検知手段１２としての機能をもたない利用者端末１０がネットワークに接続されると、個人情報管理サーバ２０により、その機能を実現するための利用者端末用プログラムがインストールされ、その機能が自動的に利用者端末１０に導入され、さらに、その探査手段１１により利用者端末１０における個人情報ファイルの有無が判定されるので、新たな利用者端末１０がネットワーク３０に接続された場合でも、その利用者端末１０における個人情報ファイルを確実に探査して洗い出して管理可能な状態に置くことが可能になり、個人情報の不用意な流出・漏洩や、個人情報の不正利用などを確実に防止することができる。

また、本実施形態では、特定の個人を識別可能な個人情報要素を所定数以上保有している個人情報ファイルを管理対象ファイルとし、探査手段１１において、電話番号，電子メールアドレス，住所のいずれにも該当せず且つ不適切文字／不適切文字列を含む文字区間は、個人情報に関するものではないと見なされる一方、電話番号，電子メールアドレス，住所のいずれにも該当せず且つ不適切文字／不適切文字列を含まない文字区間は、氏名に関するものであると見なされる。

従って、第１判定手段１１３で電話番号，電子メールアドレス，住所のいずれか一つに該当すると判定された文字区間については、その判定がなされた時点で判定処理を終了し、電話番号，電子メールアドレス，住所のいずれにも該当しないと判定された文字区間についてのみ、照合手段１１５により不適切文字／不適切文字列との照合処理が行なわれ、さらに、不適切文字／不適切文字列が一つでも文字区間に含まれると判定された時点で、その照合処理を終了させることができるので、氏名リストに含まれる全ての氏名文字列との照合を行なう手法に比べ、氏名の照合処理を高速に行なえ、つまりは個人情報ファイルの探査処理を高速に行なうことが可能になる。

また、不適切文字／不適切文字列を含まない文字区間を全て氏名に該当するものと見なすので、氏名についての不適切文字／不適切文字列を含まないファイル、即ち、氏名情報を含む可能性が高く個人情報ファイルである可能性の高いファイルを確実に探査することが可能になる。つまり、本実施形態の探査手段１１により個人情報ファイルであると判定されるファイルの数が多くなり、個人情報ファイルである可能性の高いファイル（疑わしいファイル）を確実に洗い出すことができる。

さらに、文字判定手段１１４により文字区間の文字数が所定範囲内であって且つその文字区間の文字が全て漢字であるか否かを判定し、この文字判定条件を満たす文字区間のみを照合対象としているので、照合対象の文字区間が、より氏名の可能性の高い文字区間に絞り込まれることになり、氏名の照合精度を向上させることができるとともに、氏名の照合処理を高速に行なうことができる。また、文字数が所定範囲を超える長い文字区間が、照合対象から除外されるので、氏名の照合処理のさらなる高速化、つまりは個人情報ファイルの探査処理のさらなる高速化に寄与することになる。

そして、個人情報管理サーバ２０の管理手段２５により、第２判定手段１１６で得られた計数結果（判定値レベル）に応じて、個人情報ファイルであると判定された電子ファイルの管理を行なうことにより、個人情報ファイル毎に、判定値レベル（個人情報ファイルである可能性の高さ／個人情報要素数の多さ）に応じた管理手法を選択して実行することができるほか、企業内などにおいて多数の端末が存在し個人情報ファイルが分散して保存されていても、これらの個人情報ファイルを一元的に管理することができ、個人情報ファイルを集中管理するシステムを容易に構築して導入することが可能になる。

一方、利用者端末１０から外部へ送出されるファイルを、利用者端末１０もしくはファイルアクセス管理サーバ２０において暗号化ファイルに変換することで、外部送出対象のファイルについては暗号化ファイルに変換された上で送出されるので、そのファイルが、万人が参照可能な状態で各端末１０から外部へ持ち出されるのを抑止でき、個人情報や機密情報の不用意な流出・漏洩や不正利用などを確実に防止することができる。

このとき、暗号化ファイルの正当な利用者については、ファイルアクセス管理サーバ２０により正当な利用者であることを認証されれば、ファイルアクセス管理サーバ２０から受信した復号鍵で暗号化ファイルを復号し、暗号化ファイルの内容に対するアクセスが可能になるが、その他の利用者は、暗号化ファイルを復号することができず、その内容に対するアクセスを行なうことは不可能になっている。つまり、ファイルは、正当な利用者のみがアクセス可能な暗号化ファイルに変換された上で外部に送出されるので、上述のごとく個人情報や機密情報の不用意な流出・漏洩や不正利用などを確実に防止しながら、正当な利用者のアクセスは可能になるので、正当な利用者についての利便性を損なうことがない。

なお、このとき、ファイルのオリジナルは完全文書ファイルに格納されて暗号化されることになるので、そのファイルのオリジナルは、そのままの状態、即ち利用者端末１０において万人が参照可能な状態で残ることがないので、個人情報や機密情報の不用意な流出・漏洩や不正利用などをより確実に防止することができる。

〔４〕本実施形態の変形例
なお、本発明は上述した実施形態に限定されるものではなく、本発明の趣旨を逸脱しない範囲で種々変形して実施することができる。
例えば、上述した実施形態では、管理対象ファイルが個人情報ファイルである場合について説明したが、本発明は、これに限定されるものではなく、個人情報以外の機密情報を含む機密情報ファイルを管理対象ファイルとしてもよい。この場合、機密情報ファイルを判定するための所定条件は、機密情報を含むレコード（機密情報要素）を所定数以上保有していることであり、機密情報要素は、例えば、発表前の新製品，特許出願前の技術，経営戦略などで使用される文字列である。なお、このような機密情報ファイルについても、個人情報ファイルと同様にして、探査手段１１によって探査することができ、上述した実施形態と同様の作用効果を得ることができる。

また、上述した実施形態では、探査手段１１としての機能が、利用者端末１０にそなえられている場合について説明したが、この機能は、利用者端末１０に代えて、利用者端末１０と通信可能に接続された個人情報管理サーバ（管理サーバ）２０にそなえてもよい。
ただし、この場合、利用者端末１０の記憶部１０ｂにおけるファイルが、一旦、個人情報管理サーバ２０に吸い上げられ、そのファイルについて、管理サーバ２０側の探査手段１１としての機能による探査処理が施されることになる。これにより、利用者が、利用者端末１０における、メモリ容量や、他プログラムとの相性の問題などの理由で、探査手段１１を実現するためのプログラムの非常駐を要望する場合、その要望に対応することができ、利便性が高められる。

〔５〕その他
上述した探査手段１１，アクセス検知手段１２，利用者情報収集手段２１，インストール手段２２，収集手段２３および管理手段２５としての機能（各手段の全部もしくは一部の機能）は、コンピュータ（ＣＰＵ，情報処理装置，各種端末を含む）が所定のアプリケーションプログラム（管理プログラム）を実行することによって実現される。

そのプログラムは、例えばフレキシブルディスク，ＣＤ（ＣＤ−ＲＯＭ，ＣＤ−Ｒ，ＣＤ−ＲＷなど），ＤＶＤ（ＤＶＤ−ＲＯＭ，ＤＶＤ−ＲＡＭ，ＤＶＤ−Ｒ，ＤＶＤ−ＲＷ，ＤＶＤ＋Ｒ，ＤＶＤ＋ＲＷなど）等のコンピュータ読取可能な記録媒体に記録された形態で提供される。この場合、コンピュータはその記録媒体から管理プログラムを読み取って内部記憶装置または外部記憶装置に転送し格納して用いる。また、そのプログラムを、例えば磁気ディスク，光ディスク，光磁気ディスク等の記憶装置（記録媒体）に記録しておき、その記憶装置から通信回線を介してコンピュータに提供するようにしてもよい。

ここで、コンピュータとは、ハードウエアとＯＳ（オペレーティングシステム）とを含む概念であり、ＯＳの制御の下で動作するハードウエアを意味している。また、ＯＳが不要でアプリケーションプログラム単独でハードウェアを動作させるような場合には、そのハードウェア自体がコンピュータに相当する。ハードウエアは、少なくとも、ＣＰＵ等のマイクロプロセッサと、記録媒体に記録されたプログラムを読み取るための手段とをそなえている。上記管理プログラムとしてのアプリケーションプログラムは、上述のようなコンピュータに、探査手段１１，アクセス検知手段１２，利用者情報収集手段２１，インストール手段２２，収集手段２３および管理手段２５としての機能を実現させるプログラムコードを含んでいる。また、その機能の一部は、アプリケーションプログラムではなくＯＳによって実現されてもよい。

さらに、本実施形態における記録媒体としては、上述したフレキシブルディスク，ＣＤ，ＤＶＤ，磁気ディスク，光ディスク，光磁気ディスクのほか、ＩＣカード，ＲＯＭカートリッジ，磁気テープ，パンチカード，コンピュータの内部記憶装置（ＲＡＭやＲＯＭなどのメモリ），外部記憶装置等や、バーコードなどの符号が印刷された印刷物等の、コンピュータ読取可能な種々の媒体を利用することもできる。

〔６〕付記
（付記１）
電子ファイルを含むデータを保持する記憶部を有する利用者端末と、
該利用者端末とネットワークを介して相互に通信可能に接続され、該利用者端末における、所定条件を満たす管理対象ファイルを管理する管理サーバとをそなえ、
該利用者端末が、
該記憶部におけるデータの中から前記所定条件を満たす管理対象ファイルを特定して探査する探査手段と、
該ネットワークを介して該探査手段による探査の結果を該管理サーバへ送信する送信手段とをそなえて構成されるとともに、
該管理サーバが、
該利用者端末から送信されてきた前記探査の結果に基づいて該利用者端末における該管理対象ファイルを把握し、該管理対象ファイルに対するアクセスログを該利用者端末から収集して記録するログ収集手段と、
前記探査の結果、および、該ログ収集手段によって収集・記録された、該管理対象ファイルに対する該アクセスログに基づいて、該利用者端末を管理する管理手段とをそなえて構成されていることを特徴とする、管理システム。

（付記２）
該管理手段が、該利用者端末から送信されてきた前記探査の結果、および、該ログ収集手段によって収集・記録された、該管理対象ファイルに対する該アクセスログに基づいて、該管理対象ファイルに対するアクセス状況に関する公開情報を作成し、作成された該公開情報を公開することを特徴とする、付記１記載の管理システム。

（付記３）
該公開情報として、該管理対象ファイルのファイル名と、該管理対象ファイルに対してアクセスを行なった利用者端末を特定しうる情報と、当該利用者端末の所有者を特定しうる情報とが含まれていることを特徴とする、付記２記載の管理システム。
（付記４）
該公開情報として、該管理対象ファイルの数の集計結果が含まれていることを特徴とする、付記２または付記３に記載の管理システム。

（付記５）
該公開情報として、該管理対象ファイルに対するアクセスの数の集計結果が含まれていることを特徴とする、付記２〜付記４のいずれか一項に記載の管理システム。
（付記６）
該管理サーバが、該利用者端末において外部記憶媒体用のドライバがインストールされているか否かを調査する調査手段をさらにそなえて構成され、
該管理手段が、該利用者端末から送信されてきた前記探査の結果、該ログ収集手段によって収集・記録された、該管理対象ファイルに対する該アクセスログ、および、該調査手段による調査の結果に基づいて、該利用者端末を管理することを特徴とする、付記１〜付記５のいずれか一項に記載の管理システム。

（付記７）
該管理手段が、該利用者端末から送信されてきた前記探査の結果、該ログ収集手段によって収集・記録された、該管理対象ファイルに対する該アクセスログ、および、該調査手段による調査の結果に基づいて、該外部記憶媒体用のドライバをインストールされた利用者端末に関する公開情報を作成し、作成された該公開情報を公開することを特徴とする、付記６記載の管理システム。

（付記８）
該公開情報として、該管理対象ファイルを保有するとともに該外部記憶媒体用のドライバをインストールしている利用者端末を特定しうる情報と、当該利用者端末の所有者を特定しうる情報と、当該利用者端末において保有されている該管理対象ファイルのファイル名とが含まれていることを特徴とする、付記７記載の管理システム。
（付記９）
該公開情報として、該利用者端末で実行された該外部記憶媒体への該管理対象ファイルの書出し回数が含まれていることを特徴とする、付記８記載の管理システム。

（付記１０）
該管理手段が、該利用者端末から送信されてきた前記探査の結果、および、該ログ収集手段によって収集・記録された、該管理対象ファイルに対する該アクセスログに基づいて、該利用者端末からの該管理対象ファイルの流出を防止するための、該利用者端末におけるセキュリティレベルを変更・設定し、該セキュリティレベルに応じて、該利用者端末におけるファイルに対するアクセスの制限を変更することを特徴とする、付記１〜付記９のいずれか一項に記載の管理システム。

（付記１１）
該管理手段が、該管理対象ファイルにかかわる処理／操作を実行した利用者端末については該セキュリティレベルを高く設定してファイルに対するアクセスの制限を厳格化する一方、該管理対象ファイルにかかわる処理／操作を所定期間にわたり実行していない利用者端末については該セキュリティレベルを低く設定してファイルに対するアクセスの制限を解除もしくは緩和することを特徴とする、付記１０記載の管理システム。

（付記１２）
該管理手段が、該記憶部に該管理対象ファイルを保有している利用者端末については該セキュリティレベルを高く設定してファイルに対するアクセスの制限を厳格化する一方、該記憶部に該管理対象ファイルを保有していない利用者端末については該セキュリティレベルを低く設定してファイルに対するアクセスの制限を解除もしくは緩和することを特徴とする、付記１０または付記１１に記載の管理システム。

（付記１３）
該管理手段が、外部へ送出されるファイルを自動的に暗号化する暗号化機能を設定されていない利用者端末については該セキュリティレベルを高く設定してファイルに対するアクセスの制限を厳格化する一方、該暗号化機能を設定されている利用者端末については該セキュリティレベルを低く設定してファイルに対するアクセスの制限を解除もしくは緩和することを特徴とする、付記１０〜付記１２のいずれか一項に記載の管理システム。

（付記１４）
該管理サーバが、該探査手段としてコンピュータを機能させるプログラムを該利用者端末にインストールするインストール手段をさらにそなえて構成されるとともに、
該利用者端末における該探査手段としての機能が、該インストール手段によって該利用者端末にインストールされた該プログラムを実行することで実現されることを特徴とする、付記１〜付記１３のいずれか一項に記載の管理システム。

（付記１５）
該管理サーバのインストール手段が、該プログラムをインストールされていない利用者端末が該ネットワークに接続されたことを検知すると、当該利用者端末に該プログラムをインストールし、該プログラムを当該利用者端末に実行させて管理対象ファイルの探査を実行させることを特徴とする、付記１４記載の管理システム。

（付記１６）
前記所定条件が、特定の個人を識別可能な個人情報要素を所定数以上保有していることであり、該探査手段が、該記憶部におけるデータの中から前記所定条件を満たす管理対象ファイルつまり個人情報ファイルを特定して探査することを特徴とする、付記１〜付記１５のいずれか一項に記載の管理システム。

（付記１７）
該探査手段が、
判定対象ファイルに含まれるテキストデータを抽出する抽出手段と、
該抽出手段によって抽出されたテキストデータから、区切り文字によって区切られた文字区間を切り出す切出手段と、
該切出手段によって切り出された文字区間における文字列が、予め設定された電話番号判定条件，電子メールアドレス判定条件および住所判定条件のいずれか一つを満たすか否かの判定を行なうことにより、氏名以外の個人情報要素である電話番号，電子メールアドレスおよび住所のうちのいずれか一つに該当するか否かを判定する第１判定手段と、
該第１判定手段によって電話番号，電子メールアドレス，住所のいずれにも該当しないと判定された文字区間における文字の数が所定範囲内であり且つ同文字区間における文字が漢字であるか否かを判定する文字判定手段と、
該文字判定手段によって前記所定範囲内であり且つ漢字であると判定された文字区間について、当該文字区間に含まれる文字もしくは文字列と氏名において出現し得ない漢字もしくは漢字列として予め設定された不適切文字もしくは不適切文字列とを照合することにより、当該文字区間が前記の不適切文字もしくは不適切文字列を含むか否かを判定する照合手段と、
該第１判定手段によって電話番号，電子メールアドレスおよび住所のうちのいずれか一つに該当すると判定された文字区間の数と該照合手段によって前記の不適切文字もしくは不適切文字列を含まないと判定された文字区間の数とをそれぞれ計数し、その計数結果に基づいて、当該判定対象ファイルが個人情報ファイルであるか否かを判定する第２判定手段とをそなえて構成されていることを特徴とする、付記１６記載の管理システム。

（付記１８）
利用者端末とネットワークを介して相互に通信可能に接続され、該利用者端末における、所定条件を満たす管理対象ファイルを管理する管理サーバであって、
該利用者端末の記憶部におけるデータの中から探査手段によって探査された、前記所定条件を満たす管理対象ファイルについての探査の結果に基づいて該利用者端末における該管理対象ファイルを把握し、該管理対象ファイルに対するアクセスログを該利用者端末から収集して記録するログ収集手段と、
該探査手段による探査の結果、および、該ログ収集手段によって収集・記録された、該管理対象ファイルに対する該アクセスログに基づいて、該利用者端末を管理する管理手段とをそなえて構成されていることを特徴とする、管理サーバ。

（付記１９）
該管理手段が、前記探査の結果、および、該ログ収集手段によって収集・記録された、該管理対象ファイルに対する該アクセスログに基づいて、該管理対象ファイルに対するアクセス状況に関する公開情報を作成し、作成された該公開情報を公開することを特徴とする、付記１８記載の管理サーバ。

（付記２０）
該公開情報として、該管理対象ファイルのファイル名と、該管理対象ファイルに対してアクセスを行なった利用者端末を特定しうる情報と、当該利用者端末の所有者を特定しうる情報とが含まれていることを特徴とする、付記１９記載の管理サーバ。

（付記２１）
該公開情報として、該管理対象ファイルの数の集計結果が含まれていることを特徴とする、付記１９または付記２０に記載の管理サーバ。
（付記２２）
該公開情報として、該管理対象ファイルに対するアクセスの数の集計結果が含まれていることを特徴とする、付記１９〜付記２１のいずれか一項に記載の管理サーバ。

（付記２３）
該利用者端末において外部記憶媒体用のドライバがインストールされているか否かを調査する調査手段をさらにそなえて構成され、
該管理手段が、前記探査の結果、該ログ収集手段によって収集・記録された、該管理対象ファイルに対する該アクセスログ、および、該調査手段による調査の結果に基づいて、該利用者端末を管理することを特徴とする、付記１８〜付記２２のいずれか一項に記載の管理サーバ。

（付記２４）
該管理手段が、前記探査の結果、該ログ収集手段によって収集・記録された、該管理対象ファイルに対する該アクセスログ、および、該調査手段による調査の結果に基づいて、該外部記憶媒体用のドライバをインストールされた利用者端末に関する公開情報を作成し、作成された該公開情報を公開することを特徴とする、付記２３記載の管理サーバ。

（付記２５）
該公開情報として、該管理対象ファイルを保有するとともに該外部記憶媒体用のドライバをインストールしている利用者端末を特定しうる情報と、当該利用者端末の所有者を特定しうる情報と、当該利用者端末において保有されている該管理対象ファイルのファイル名とが含まれていることを特徴とする、付記２４記載の管理サーバ。
（付記２６）
該公開情報として、該利用者端末で実行された該外部記憶媒体への該管理対象ファイルの書出し回数が含まれていることを特徴とする、付記２５記載の管理サーバ。

（付記２７）
該管理手段が、前記探査の結果、および、該ログ収集手段によって収集・記録された、該管理対象ファイルに対する該アクセスログに基づいて、該利用者端末からの該管理対象ファイルの流出を防止するための、該利用者端末におけるセキュリティレベルを変更・設定し、該セキュリティレベルに応じて、該利用者端末におけるファイルに対するアクセスの制限を変更することを特徴とする、付記１８〜付記２６のいずれか一項に記載の管理サーバ。

（付記２８）
該管理手段が、該管理対象ファイルにかかわる処理／操作を実行した利用者端末については該セキュリティレベルを高く設定してファイルに対するアクセスの制限を厳格化する一方、該管理対象ファイルにかかわる処理／操作を所定期間にわたり実行していない利用者端末については該セキュリティレベルを低く設定してファイルに対するアクセスの制限を解除もしくは緩和することを特徴とする、付記２７記載の管理サーバ。

（付記２９）
該管理手段が、該記憶部に該管理対象ファイルを保有している利用者端末については該セキュリティレベルを高く設定してファイルに対するアクセスの制限を厳格化する一方、該記憶部に該管理対象ファイルを保有していない利用者端末については該セキュリティレベルを低く設定してファイルに対するアクセスの制限を解除もしくは緩和することを特徴とする、付記２７または付記２８に記載の管理サーバ。

（付記３０）
該管理手段が、外部へ送出されるファイルを自動的に暗号化する暗号化機能を設定されていない利用者端末については該セキュリティレベルを高く設定してファイルに対するアクセスの制限を厳格化する一方、該暗号化機能を設定されている利用者端末については該セキュリティレベルを低く設定してファイルに対するアクセスの制限を解除もしくは緩和することを特徴とする、付記２７〜付記２９のいずれか一項に記載の管理サーバ。

（付記３１）
該探査手段としてコンピュータを機能させるプログラムを該利用者端末にインストールするインストール手段をさらにそなえて構成されることを特徴とする、付記１８〜付記３０のいずれか一項に記載の管理サーバ。

（付記３２）
該インストール手段が、該プログラムをインストールされていない利用者端末が該ネットワークに接続されたことを検知すると、当該利用者端末に該プログラムをインストールし、該プログラムを当該利用者端末に実行させて管理対象ファイルの有無を判定させることを特徴とする、付記３１記載の管理サーバ。

（付記３３）
ネットワークを介して相互に通信可能に接続された利用者端末における、所定条件を満たす管理対象ファイルを管理する管理サーバとして、コンピュータを機能させるプログラムであって、
該利用者端末の記憶部におけるデータの中から探査手段によって探査された、前記所定条件を満たす管理対象ファイルについての探査の結果に基づいて該利用者端末における該管理対象ファイルを把握し、該管理対象ファイルに対するアクセスログを該利用者端末から収集して記録するログ収集手段、および、
該探査手段による探査の結果、および、該ログ収集手段によって収集・記録された、該管理対象ファイルに対する該アクセスログに基づいて、該利用者端末を管理する管理手段として、該コンピュータを機能させることを特徴とする、管理プログラム。

（付記３４）
該管理手段が、前記探査の結果、および、該ログ収集手段によって収集・記録された、該管理対象ファイルに対する該アクセスログに基づいて、該管理対象ファイルに対するアクセス状況に関する公開情報を作成し、作成された該公開情報を公開するように、該コンピュータを機能させることを特徴とする、付記３３記載の管理プログラム。

（付記３５）
該公開情報として、該管理対象ファイルのファイル名と、該管理対象ファイルに対してアクセスを行なった利用者端末を特定しうる情報と、当該利用者端末の所有者を特定しうる情報とが含まれていることを特徴とする、付記３４記載の管理プログラム。

（付記３６）
該公開情報として、該管理対象ファイルの数の集計結果が含まれていることを特徴とする、付記３４または付記３５に記載の管理プログラム。
（付記３７）
該公開情報として、該管理対象ファイルに対するアクセスの数の集計結果が含まれていることを特徴とする、付記３４〜付記３６のいずれか一項に記載の管理プログラム。

（付記３８）
該利用者端末において外部記憶媒体用のドライバがインストールされているか否かを調査する調査手段として、該コンピュータを機能させ、
該管理手段が、前記探査の結果、該ログ収集手段によって収集・記録された、該管理対象ファイルに対する該アクセスログ、および、該調査手段による調査の結果に基づいて、該利用者端末を管理するように、該コンピュータを機能させることを特徴とする、付記３３〜付記３７のいずれか一項に記載の管理プログラム。

（付記３９）
該管理手段が、前記探査の結果、該ログ収集手段によって収集・記録された、該管理対象ファイルに対する該アクセスログ、および、該調査手段による調査の結果に基づいて、該外部記憶媒体用のドライバをインストールされた利用者端末に関する公開情報を作成し、作成された該公開情報を公開するように、該コンピュータを機能させることを特徴とする、付記３８記載の管理プログラム。

（付記４０）
該公開情報として、該管理対象ファイルを保有するとともに該外部記憶媒体用のドライバをインストールしている利用者端末を特定しうる情報と、当該利用者端末の所有者を特定しうる情報と、当該利用者端末において保有されている該管理対象ファイルのファイル名とが含まれていることを特徴とする、付記３９記載の管理プログラム。
（付記４１）
該公開情報として、該利用者端末で実行された該外部記憶媒体への該管理対象ファイルの書出し回数が含まれていることを特徴とする、付記４０記載の管理プログラム。

（付記４２）
該管理手段が、前記探査の結果、および、該ログ収集手段によって収集・記録された、該管理対象ファイルに対する該アクセスログに基づいて、該利用者端末からの該管理対象ファイルの流出を防止するための、該利用者端末におけるセキュリティレベルを変更・設定し、該セキュリティレベルに応じて、該利用者端末におけるファイルに対するアクセスの制限を変更するように、該コンピュータを機能させることを特徴とする、付記３３〜付記４１のいずれか一項に記載の管理プログラム。

（付記４３）
該管理手段が、該管理対象ファイルにかかわる処理／操作を実行した利用者端末については該セキュリティレベルを高く設定してファイルに対するアクセスの制限を厳格化する一方、該管理対象ファイルにかかわる処理／操作を所定期間にわたり実行していない利用者端末については該セキュリティレベルを低く設定してファイルに対するアクセスの制限を解除もしくは緩和するように、該コンピュータを機能させることを特徴とする、付記４２記載の管理プログラム。

（付記４４）
該管理手段が、該記憶部に該管理対象ファイルを保有している利用者端末については該セキュリティレベルを高く設定してファイルに対するアクセスの制限を厳格化する一方、該記憶部に該管理対象ファイルを保有していない利用者端末については該セキュリティレベルを低く設定してファイルに対するアクセスの制限を解除もしくは緩和するように、該コンピュータを機能させることを特徴とする、付記４２または付記４３に記載の管理プログラム。

（付記４５）
該管理手段が、外部へ送出されるファイルを自動的に暗号化する暗号化機能を設定されていない利用者端末については該セキュリティレベルを高く設定してファイルに対するアクセスの制限を厳格化する一方、該暗号化機能を設定されている利用者端末については該セキュリティレベルを低く設定してファイルに対するアクセスの制限を解除もしくは緩和するように、該コンピュータを機能させることを特徴とする、付記４２〜付記４４のいずれか一項に記載の管理プログラム。

（付記４６）
該探査手段とし該利用者端末を機能させるプログラムを該利用者端末にインストールするインストール手段として、該コンピュータを機能させることを特徴とする、付記３３〜付記４５のいずれか一項に記載の管理プログラム。

（付記４７）
該インストール手段が、該プログラムをインストールされていない利用者端末が該ネットワークに接続されたことを検知すると、当該利用者端末に該プログラムをインストールし、該プログラムを当該利用者端末に実行させて管理対象ファイルの有無を判定させるように、該コンピュータを機能させることを特徴とする、付記４６記載の管理プログラム。

本発明の一実施形態としての個人情報管理システム（管理システム）の構成を示すブロック図である。 本実施形態の利用者端末の機能構成を示すブロック図である。 本実施形態の利用者端末における探査手段の詳細な機能構成を示すブロック図である。 本実施形態の個人情報管理サーバ（管理サーバ）の機能構成を示すブロック図である。 本実施形態の個人情報管理サーバ（管理サーバ）にそなえられたファイルアクセス管理サーバとしての機能構成を示すブロック図である。 本実施形態の利用者端末の動作を説明するためのフローチャートである。 本実施形態の探査手段の動作を説明するためのフローチャートである。 本実施形態の個人情報管理サーバ（管理サーバ）の動作を説明するためのフローチャートである。 本実施形態の個人情報管理サーバ（管理サーバ）の動作を説明するためのフローチャートである。 本実施形態の個人情報管理サーバ（管理サーバ）におけるファイルアクセス管理サーバとしての機能による認証動作を説明するためのフローチャートである。 本実施形態の個人情報管理サーバ（管理サーバ）におけるファイルアクセス管理サーバとしての機能によるファイル変換動作を説明するためのフローチャートである。 本実施形態の個人情報管理サーバ（管理サーバ）の管理手段によって作成され公開される公開情報の具体例を示す図である。 本実施形態の個人情報管理サーバ（管理サーバ）の管理手段によって作成され公開される公開情報の具体例を示す図である。 本実施形態の個人情報管理サーバ（管理サーバ）の管理手段によって作成され公開される公開情報の具体例を示す図である。 本実施形態の個人情報管理サーバ（管理サーバ）の管理手段によって作成され公開される公開情報の具体例を示す図である。 本実施形態の個人情報管理サーバ（管理サーバ）の管理手段によって作成され公開される公開情報の具体例を示す図である。 本実施形態の個人情報管理サーバ（管理サーバ）の管理手段によって作成され公開される公開情報の具体例を示す図である。 本実施形態の個人情報管理サーバ（管理サーバ）の管理手段によって作成され公開される公開情報の具体例を示す図である。 本実施形態の個人情報管理サーバ（管理サーバ）の管理手段によって作成され公開される公開情報の具体例を示す図である。

符号の説明

１ 個人情報管理システム（管理システム）
１０ 利用者端末
１０ａ ＣＰＵ
１０ｂ 記憶部
１０ｃ 検疫テーブル
１０ｄ Ｐマークテーブル
１１ 探査手段
１１１ 抽出手段
１１２ 切出手段
１１３ 第１判定手段
１１３ａ 電話番号判定手段
１１３ｂ 電子メールアドレス判定手段
１１３ｃ 住所判定手段
１１４ 文字判定手段
１１５ 照合手段
１１６ 第２判定手段
１２ アクセス検知手段
１３ 送受信手段（送信手段）
１４ 外部記憶媒体用ドライバ（ＵＳＢドライバ）
１５ 暗号化手段／登録手段（暗号化機能）
２０ 個人情報管理サーバ（管理サーバ／ファイルアクセス管理サーバ）
２０ａ ＣＰＵ
２０ｂ データベース
２０ｃ 表示部
２１ 利用者情報収集手段（調査手段）
２２ インストール手段
２３ 収集手段（ログ収集手段）
２４ 管理コンソール
２５ 管理手段
２６ 表示制御手段
２７ 送受信手段
２７ａ ファイル受信手段
２７ｂ 暗号化ファイル送信手段
２７ｃ 認証情報受信手段
２７ｄ 復号鍵送信手段
２８ 暗号化手段
２９ 判定手段
３０ ネットワーク（社内ＬＡＮ）
４０ 外部記憶媒体（ＵＳＢメモリ）
１０１，１０３，１０５，１０８，１１０，１１２，１１４，１１６，１１８ 画面（公開情報）
１０２，１０４，１０６，１０７，１０９，１１１，１１３，１１５，１１７，１１９ リスト（公開情報）

Claims (16)

1. 電子ファイルを含むデータを保持する記憶部を有する利用者端末と、
   該利用者端末とネットワークを介して相互に通信可能に接続され、該利用者端末における、個人情報要素もしくは機密情報要素を所定数以上保有しているという条件を満たす管理対象ファイルを管理する管理サーバとをそなえ、
   該利用者端末が、
   該記憶部におけるデータの中から前記所定条件を満たす管理対象ファイルを特定して探査する探査手段と、
   該ネットワークを介して該探査手段による探査の結果を該管理サーバへ送信する送信手段とをそなえて構成されるとともに、
   該管理サーバが、
   該利用者端末から送信されてきた前記探査の結果に基づいて該利用者端末における該管理対象ファイルを把握し、該管理対象ファイルに対するアクセスログを該利用者端末から収集して記録するログ収集手段と、
   前記探査の結果、および、該ログ収集手段によって収集・記録された、該管理対象ファイルに対する該アクセスログに基づいて、該利用者端末を管理する管理手段とをそなえて構成され、
   該管理手段が、該利用者端末から送信されてきた前記探査の結果、および、該ログ収集手段によって収集・記録された、該管理対象ファイルに対する該アクセスログに基づいて、該利用者端末におけるセキュリティレベルを変更・設定し、該セキュリティレベルに応じて、該利用者端末におけるファイルに対するアクセスの制限を変更し、該利用者端末からの該管理対象ファイルの流出を防止することを特徴とする、管理システム。
2. 該管理手段が、該利用者端末から送信されてきた前記探査の結果、および、該ログ収集手段によって収集・記録された、該管理対象ファイルに対する該アクセスログに基づいて、該管理対象ファイルに対するアクセス状況に関する公開情報を作成し、作成された該公開情報を公開することを特徴とする、請求項１記載の管理システム。
3. 該管理サーバが、該利用者端末において外部記憶媒体用のドライバがインストールされているか否かを調査する調査手段をさらにそなえて構成され、
   該管理手段が、該利用者端末から送信されてきた前記探査の結果、該ログ収集手段によって収集・記録された、該管理対象ファイルに対する該アクセスログ、および、該調査手段による調査の結果に基づいて、該利用者端末を管理することを特徴とする、請求項１または請求項２に記載の管理システム。
4. 該管理手段が、該利用者端末から送信されてきた前記探査の結果、該ログ収集手段によって収集・記録された、該管理対象ファイルに対する該アクセスログ、および、該調査手段による調査の結果に基づいて、該外部記憶媒体用のドライバをインストールされた利用者端末に関する公開情報を作成し、作成された該公開情報を公開することを特徴とする、請求項３記載の管理システム。
5. 該管理手段が、該管理対象ファイルにかかわる処理／操作を実行した利用者端末については該セキュリティレベルを高く設定してファイルに対するアクセスの制限を厳格化する一方、該管理対象ファイルにかかわる処理／操作を所定期間にわたり実行していない利用者端末については該セキュリティレベルを低く設定してファイルに対するアクセスの制限を解除もしくは緩和することを特徴とする、請求項１〜請求項４のいずれか一項に記載の管理システム。
6. 該管理手段が、該記憶部に該管理対象ファイルを保有している利用者端末については該セキュリティレベルを高く設定してファイルに対するアクセスの制限を厳格化する一方、該記憶部に該管理対象ファイルを保有していない利用者端末については該セキュリティレベルを低く設定してファイルに対するアクセスの制限を解除もしくは緩和することを特徴とする、請求項１〜請求項５のいずれか一項に記載の管理システム。
7. 該管理手段が、外部へ送出されるファイルを自動的に暗号化する暗号化機能を設定されていない利用者端末については該セキュリティレベルを高く設定してファイルに対するアクセスの制限を厳格化する一方、該暗号化機能を設定されている利用者端末については該セキュリティレベルを低く設定してファイルに対するアクセスの制限を解除もしくは緩和することを特徴とする、請求項１〜請求項６のいずれか一項に記載の管理システム。
8. 該管理手段が、閲覧禁止サイトへのアクセスを行なっている利用者端末については該セキュリティレベルを高く設定してファイルに対するアクセス制限を厳格化する一方、閲覧禁止サイトへのアクセスを行なっていない利用者端末については該セキュリティレベルを低く設定してファイルに対するアクセス制限を解除もしくは緩和することを特徴とする、請求項１〜請求項７のいずれか一項に記載の管理システム。
9. 前記条件が、特定の個人を識別可能な個人情報要素を所定数以上保有していることであり、該探査手段が、該記憶部におけるデータの中から前記所定条件を満たす管理対象ファイルつまり個人情報ファイルを特定して探査することを特徴とする、請求項１〜請求項８のいずれか一項に記載の管理システム。
10. 該探査手段が、
    判定対象ファイルに含まれるテキストデータを抽出する抽出手段と、
    該抽出手段によって抽出されたテキストデータから、区切り文字によって区切られた文字区間を切り出す切出手段と、
    該切出手段によって切り出された文字区間における文字列が、予め設定された電話番号判定条件，電子メールアドレス判定条件および住所判定条件のいずれか一つを満たすか否かの判定を行なうことにより、氏名以外の個人情報要素である電話番号，電子メールアドレスおよび住所のうちのいずれか一つに該当するか否かを判定する第１判定手段と、
    該第１判定手段によって電話番号，電子メールアドレス，住所のいずれにも該当しないと判定された文字区間における文字の数が所定範囲内であり且つ同文字区間における文字が漢字であるか否かを判定する文字判定手段と、
    該文字判定手段によって前記所定範囲内であり且つ漢字であると判定された文字区間について、当該文字区間に含まれる文字もしくは文字列と氏名において出現し得ない漢字もしくは漢字列として予め設定された不適切文字もしくは不適切文字列とを照合することにより、当該文字区間が前記の不適切文字もしくは不適切文字列を含むか否かを判定する照合手段と、
    該第１判定手段によって電話番号，電子メールアドレスおよび住所のうちのいずれか一つに該当すると判定された文字区間の数と該照合手段によって前記の不適切文字もしくは不適切文字列を含まないと判定された文字区間の数とをそれぞれ計数し、その計数結果に基づいて、当該判定対象ファイルが個人情報ファイルであるか否かを判定する第２判定手段とをそなえて構成されていることを特徴とする、請求項９記載の管理システム。
11. ネットワークを介して相互に通信可能に接続された利用者端末における、個人情報要素もしくは機密情報要素を所定数以上保有しているという条件を満たす管理対象ファイルを管理する管理サーバとして、コンピュータを機能させるプログラムであって、
    該利用者端末の記憶部におけるデータの中から探査手段によって探査された、前記所定条件を満たす管理対象ファイルについての探査の結果に基づいて該利用者端末における該管理対象ファイルを把握し、該管理対象ファイルに対するアクセスログを該利用者端末から収集して記録するログ収集手段、および、
    該探査手段による探査の結果、および、該ログ収集手段によって収集・記録された、該管理対象ファイルに対する該アクセスログに基づいて、該利用者端末を管理する管理手段として、該コンピュータを機能させるとともに、
    該管理手段が、前記探査の結果、および、該ログ収集手段によって収集・記録された、該管理対象ファイルに対する該アクセスログに基づいて、該利用者端末におけるセキュリティレベルを変更・設定し、該セキュリティレベルに応じて、該利用者端末におけるファイルに対するアクセスの制限を変更し、該利用者端末からの該管理対象ファイルの流出を防止するように、該コンピュータを機能させることを特徴とする、管理プログラム。
12. 該管理手段が、前記探査の結果、および、該ログ収集手段によって収集・記録された、該管理対象ファイルに対する該アクセスログに基づいて、該管理対象ファイルに対するアクセス状況に関する公開情報を作成し、作成された該公開情報を公開するように、該コンピュータを機能させることを特徴とする、請求項１１記載の管理プログラム。
13. 該管理手段が、該管理対象ファイルにかかわる処理／操作を実行した利用者端末については該セキュリティレベルを高く設定してファイルに対するアクセスの制限を厳格化する一方、該管理対象ファイルにかかわる処理／操作を所定期間にわたり実行していない利用者端末については該セキュリティレベルを低く設定してファイルに対するアクセスの制限を解除もしくは緩和するように、該コンピュータを機能させることを特徴とする、請求項１１または請求項１２に記載の管理プログラム。
14. 該管理手段が、該記憶部に該管理対象ファイルを保有している利用者端末については該セキュリティレベルを高く設定してファイルに対するアクセスの制限を厳格化する一方、該記憶部に該管理対象ファイルを保有していない利用者端末については該セキュリティレベルを低く設定してファイルに対するアクセスの制限を解除もしくは緩和するように、該コンピュータを機能させることを特徴とする、請求項１１〜請求項１３のいずれか一項に記載の管理プログラム。
15. 該管理手段が、外部へ送出されるファイルを自動的に暗号化する暗号化機能を設定されていない利用者端末については該セキュリティレベルを高く設定してファイルに対するアクセスの制限を厳格化する一方、該暗号化機能を設定されている利用者端末については該セキュリティレベルを低く設定してファイルに対するアクセスの制限を解除もしくは緩和するように、該コンピュータを機能させることを特徴とする、請求項１１〜請求項１４のいずれか一項に記載の管理プログラム。
16. 該管理手段が、閲覧禁止サイトへのアクセスを行なっている利用者端末については該セキュリティレベルを高く設定してファイルに対するアクセス制限を厳格化する一方、閲覧禁止サイトへのアクセスを行なっていない利用者端末については該セキュリティレベルを低く設定してファイルに対するアクセス制限を解除もしくは緩和するように、該コンピュータを機能させることを特徴とする、請求項１１〜請求項１５のいずれか一項に記載の管理プログラム。