JP4140920B2 - 個人情報の保護を支援する情報処理装置 - Google Patents

Description

本発明は、リアルタイムに個人情報データに対する処理を検出し、個人情報の保護を支援する情報処理装置、情報処理方法およびそのコンピュータ・プログラムに関する。

近年、企業の機密情報や個人情報の漏洩事件が後を絶たず、その対策が強く求められている。特に日本では、２００５年４月に個人情報保護法が全面施行され、５０００人以上の個人情報を半年以上保持する企業に対して、保管個人情報の特定と安全なデータ管理が要求されるようになった。

対象となる個人情報は、電子商取引用Ｗｅｂサーバーやデータベース内部に格納されるデータだけでなく、企業の社員が携帯するノートブックＰＣも含まれる。例えば、営業員の持つパソコンには顧客名簿、社員名簿、会議参加者リスト等も管理の対象になると考えなければならない。そのような個人情報を含むファイルは、バックアップや古いバージョンなどがファイルシステムの様々な場所に存在し、パソコンの所有者すらデータの所在を認識できていないことが多い。また、最近のパソコンのＨＤＤサイズは１００ＧＢを超えるものもあり、手作業で検出することは容易ではない。

これらの技術に関しては、エンドユーザーの監視システムや、Ｔｈｉｎ Ｃｌｉｅｎｔシステム、文書管理システムなどが実用化されている。しかし、これらの手法は、利用者の操作性が大きく犠牲になったり、専用サーバーの設置や、業務ソフトの置き換えなど、コスト面での負担も大きく、本格的な普及には至っていない。

また、個人情報管理システムで、各個人情報の対象となる個人が設定した各個人情報の各種アクセス権を定めた個人用アクセス制御リストを参照して、各個人情報への各種アクセスの許可又は禁止を決定するアクセスコントロールの提案がなされている（特許文献１参照）。しかし、パソコンに関して既存のオペレーティング・システムやアプリケーション・プログラムを何ら改変することなく、パーソナルコンピュータのセキュリティレベルを向上させるものは後述する発明者の発表を除いて見当たらない。
特開２００５−１９６６９９号公報

個人情報を半自動的に検出するソフトウェアツールを使って検出すると、人手によるコストを大幅に削減できる。通常、そのような検出ツールは利用者あるいはシステム管理者が一定の間隔（例えば一ヶ月に一回）で実行する。しかし、そのような使い方を前提とした場合、個人情報を含んだデータがＰＣの中に実際に生成される時刻と、ツールを使った検出のタイミングにずれ（例えば先ほどの例の場合は最大一ヶ月）が生じ、リアルタイムのリスク管理をすることが難しい。そこで、データを生成、移動、削除するタイミングで個人情報検出を行うことで企業におけるリスク管理を最小化すること、およびツール使用時の利用者に対する負担が少ない方式が望ましい。

本発明は、リアルタイムに個人情報データに対する処理を検出し、個人情報の保護を支援する情報処理装置、情報処理方法およびそのコンピュータ・プログラムを提供することを目的とする。

上記課題を解決するために、本発明の第１の形態においては、オペレーティング・システム上で個人情報を含むアプリケーション・プログラムを動作させる情報処理装置であって、前記アプリケーション・プログラムがデータを前記アプリケーション・プログラムの記憶領域外に出力・移動・生成する場合を検出する移動検出・制御部と、前記データが個人情報管理の必要性があるか否かをリアルタイムに判定する個人情報管理判定部と、前記個人情報管理判定部による判定結果に基づき前記アプリケーション・プログラムの処理を続行または中断、修正するアプリケーション・プログラム遂行制御部と、を備える情報処理装置を提供する。

また、本発明の第２の形態においては、オペレーティング・システム上で個人情報を含むアプリケーション・プログラムを動作させる情報処理方法であって、前記アプリケーション・プログラムがデータを前記アプリケーション・プログラムの記憶領域外に出力・移動・生成する場合を検出するステップと、前記データが個人情報管理の必要性があるか否かをリアルタイムに判定する個人情報管理判定ステップと、前記個人情報管理判定ステップによる判定結果に基づき前記アプリケーション・プログラムの処理を続行または中断、修正するステップと、を備える情報処理方法およびそのコンピュータ・プログラムを提供する。

なお、上記の発明の概要は、本発明の必要な特徴の全てを列挙したものではなく、これらの特徴群のサブコンビネーションもまた、発明となりえる。

本発明によって、リアルタイムに個人情報データに対する処理を検出し、個人情報の保護を支援する情報処理装置、情報処理方法およびそのコンピュータ・プログラムを提供することができる。

以下、発明の実施の形態を通じて本発明を説明するが、以下の実施形態は特許請求の範囲にかかる発明を限定するものではなく、また実施形態の中で説明されている特徴の組み合わせの全てが発明の解決手段に必須であるとは限らない。

図１は、本発明の情報処理装置の構成を示す図である。図２、図３は、本発明の情報処理装置の制御パスの流れを示す図である。図４は、本発明の実施例である判定ポリシーの書式サンプルである。図５は、本発明の個人情報検出部の動作を示すフローチャートである。図６は、個人情報検出部により検出した内容の表示例である。図７は、利用者判定履歴記憶部に記憶される書式サンプルである。以下本発明について、図１から図７を参照して説明をする。

図１は、本発明の情報処理装置１００の構成を示す図である。情報処理装置１００は、後で詳細に説明する図１１のハードウエア上で動作するオペレーティング・システム６０と、オペレーティング・システム６０上で動作する、アプリケーション・プログラム１１０、１１２、１１４がデータをアプリケーション・プログラム１１０、１１２、１１４の記憶領域外に出力・移動・生成する場合を検出する移動検出・制御部１２０と、当該データが個人情報管理の必要性があるか否かをリアルタイムに判定する個人情報管理判定部１３０と、を備える。

さらに、図１に示すように、個人情報管理判定部１３０による判定が個人情報管理の必要があるとした場合に、当該データの内部をスキャンして個人情報の検出を行う個人情報検出部１５０と、個人情報検出部１５０により検出された個人情報を管理が必要な利用者に示す表示部と、利用者の当該データのリスクの度合いに応じての判定結果を入力する入力部１６０と、判定結果の内容を履歴として記憶する利用者判定履歴記憶部１４２と、判定ポリシーを記憶する判定ポリシー記憶部１４４と、を備える。表示部は後述する図１１の表示装置１０２２とそれに対応するソフトウェアにより構成される。

ここで、移動検出・制御部１２０は、ＡＰＩフック１２６と、個人情報管理判定部１３０による判定結果に基づきアプリケーション・プログラム１１０、１１２、１１４の処理を続行または中断、修正するアプリケーション・プログラム遂行制御部１３２（ＡＰ遂行制御部１３２）と、が含まれる。また、利用者判定履歴記憶部１４２と、判定ポリシーを記憶する判定ポリシー記憶部１４４とは図１のように同一の記憶部１４０に記憶されても良いし、別々に記憶することもできる。

また、オペレーティング・システム６０には、ＯＳカーネル１２４が含まれる。アプリケーション・プログラム１１０、１１２、１１４とオペレーティング・システム６０と橋渡しをするＯＳ ＡＰＩ１２２がある。

図２、図３は、本発明の情報処理装置の制御パスの流れを示す図である。まず、移動検出・制御部１２０のＡＰＩフック１２６は、ＯＳ ＡＰＩ １２２の内部に包含される形で存在する。ＡＰＩフック１２６は、通常ならそのまま下位のＯＳカーネル１２４に渡される制御パスを外部に引っ張り出す働きをする。図２の、楕円枠で示した、１．ＡＰＩ呼出中断がこれに当たる。

続いて、ＡＰＩフック１２６から個人情報管理判定部１３０に制御が渡り（楕円枠で示した、２．判定要求）、結果がＡＰ遂行制御部１３２に返ってきます（楕円枠で示した、３．判定結果）。ＡＰ遂行制御部１３２は、ＡＰＩフック１２６に対して、処理の継続、中断、修正などの指示を与える（楕円枠で示した、４．継続指示）。処理を継続する場合、ＡＰＩフック１２６は、下位のＯＳカーネル１２４に何事もなかったかのように制御を渡す（楕円枠で示した、５．ＡＰＩ呼び出し継続）。

図３は、中断する場合の制御パスの流れを示す図である。図３に示すように、個人情報管理判定部１３０よりの判定結果を参照して、遂行制御部１３２がＡＰＩフックに中断指示をする。ＡＰＩフック１２６は、アプリケーション・プログラム１１０等にエラーコードを返す（図３、楕円枠で示した、５．エラーコード）。

移動検出・制御部１２０の詳細な説明については、発明者の発表した文献、古市実裕他「ＰＣにおけるプログラムのリアルタイム監視・制御技術の開発と情報セキュリティシステムへの応用」電子情報処理学会 ＳＣＩＳ ２００６、を参照して実施することができる。なお、以下の説明ではデータの一例であるファイルとして説明をする。

図４は、本発明の実施例である判定ポリシーの書式サンプルである。判定ポリシーは、個人情報管理判定部１３０のアルゴリズムをポリシー規則として記述したものである。ここでは、ファイル生成の種類のＡＰＩが呼ばれた場合、個人情報検出部１５０を呼び出すポリシーである。ファイル移動に関するＡＰＩが呼ばれた場合、対象ファイルが個人情報として扱われているならば（利用者判定履歴記憶部１４２を検索すれば結果が得られる）、ＵＳＢなどのリムーバブル・デバイスへの移動をアプリケーション・プログラム遂行制御部１３２により禁止するポリシーである。ファイル削除に関するＡＰＩが呼ばれた場合、利用者判定履歴記憶部１４２から該当する履歴を削除するポリシーである。このように、ＡＰＩに関連付けて処理を記述することにより、柔軟に個人情報対策の判定を行うことができるようになる。個人情報管理判定部１３０では、Ｃ＋＋やＪａｖａ（登録商標）を使って判定ポリシーを実装してもよいし、判定ポリシーを解釈実行するインタープリターを呼び出してもよい。

個人情報管理判定部１３０で個人情報の検出処理が必要だと判定された場合は、個人情報検出部１５０が次に呼ばれる。

図５は、本発明の個人情報検出部１５０の動作を示すフローチャートである。以下、図５にしたがって、個人情報検出部１５０の動作を説明する。
まず、個人情報検出部１５０に個人情報の検出処理が必要だと判定されたファイルを入力する（Ｓ１１０）。次に、入力されたファイルについてファイルタイプ識別が行われる（Ｓ１２０）。ファイルタイプに対応して文字列が抽出される（Ｓ１３０）。抽出された文字列について形態素解析が行われる（Ｓ１４０）。形態素解析とは、日本語の場合は、分かち書き処理、すなわち、「ベタ書き」された漢字仮名混じり文の単語分割をいい、英語等の言語の場合は語形変化の解析をいう。具体的な手法の一例は、田中穂積監修「自然言語処理」電子情報学会、第１章等の文献を参照されたい。

解析された個々の形態素について、文字列解析が行われる（Ｓ１５０）。文字列解析は辞書データベース記憶部１４６に記憶されている、日本語辞書、固有名詞辞書、住所名辞書、郵便番号辞書と比較することにより行う。文字列解析後判定結果が表示部に出力される（Ｓ１６０）。表示部は後述する表示装置１０２２とそれに対応するソフトウェアにより構成される。

図６は、個人情報検出部１５０により検出した内容の表示例である。個人情報ファイルが検出されると、図６に示すように画面が後述の表示装置１０２２により、詳細情報も含めて表示される。表示は利用者に対応を仰いでいる。対応は図６の例では、個人情報が重要な個人情報なので、管理対象にするか、個人情報であるが、管理対象にする必要の有無、または個人情報ではないかを利用者が判定することを仰いでいる。

利用者は詳細情報の内容を見て、どのような管理対象とするか判定する。判定の内容は利用者が、図６のボタンを選択して、下部の操作により利用者判定入力部１６０として入力することができる。

図７は、利用者判定履歴記憶部１４２に記憶される書式サンプルである。項目は、対象となる計算機資源（ファイル名など）、サイズ、ファイルの作成・更新日時、利用者の判定のレベル、利用者判定のされた日時から構成される。最初の三つの情報を、計算機資源を検索するインデックスとして使用する。それらの三つの項目が見つかれば、そのファイルに対して利用者がすでに判定を出していることかどうかがわかる。判定のレベルは、個人情報のリスクの度合いを示すようなものであり、例えばＨｉｇｈはリスクが高く、Ｌｏｗはリスクが低いことを意味する。リスクが低いと判定すれば、その計算機資源に対する次回以降の処理時に個人情報保護の確認処理は不要と考えることができる。リスクが高いと判定すれば、次回以降の検出時にも常に個人情報保護の利用者確認が行われる。ただし、ファイルサイズとファイル日時のファイルに変更がない場合は、前の検出時にとった対応が有効だと考えることができ、その場合は利用者の判定を省略しても問題ない。このような情報は、個人情報管理判定部１３０で使われる。個人情報検出部１５０が個人情報を検出しなかった場合、利用者判定履歴記憶部１４２にＮｏｎｅが記憶される。利用者の判定結果はＨｉｇｈ／Ｌｏｗなどが記憶される。

以上の様にして、ファイルを出力、生成、移動、するタイミングで個人情報検出を行うことで企業におけるリスク管理を最小化すること、およびツール使用時の利用者に対する負担が少ない情報処理装置を提供することができる。

図８は、リスク指標演算部１５５をさらに備えた情報処理装置１００の変形例である。変形例の情報処理装置１００は、ファイルのリスクの指標を演算するリスク指標演算部１５５を図８のように構成する。個人情報検出部１５０で個人情報ファイルが検出されると、リスク指標演算部１５５に入力される。入力されたファイルは記憶部１４０にあらかじめ記憶されている判定ポリシーを参照して、リスク指標を演算する。個人情報ファイルでも暗証番号が含まれているものは高いリスクである。一方、単なる名簿程度で住所、電話などがない情報は相対的に低い。これらのリスクは個人情報検出部１５０の検出結果に対応して演算する。演算されたリスク指標は利用者に表示装置１０２２（後述、図１１）により表示する。

図９は、利用者への介在要求を最小化する最小化機構部を示すフローチャートを示す図である。個人情報検出部１５０にさらに備えられた最小化機構部は、利用者判定履歴記憶部１４２に記憶されている履歴を利用し、次回以降の個人情報の検出の回数および利用者への介在要求を最小化する。以下フローチャートに基づいて説明する。

個人情報検出部１５０にて、対象ファイルが検出されると最小化機構部に呼び出される。対象ファイルが記憶部１４０に記憶されている利用者判定履歴記憶部１４２に存在するか否か調査される（Ｓ２１０）。ＹＥＳの場合は、さらにファイル更新日時が前回判定日時より新しいか否かを記憶部１４０に記憶されている利用者判定履歴記憶部１４２の関係項目を検索して調べられる（Ｓ２２０）。新しい場合は、利用者に判定を仰ぐ（Ｓ２３０）。そして、利用者判定の内容を利用者判定入力部１６０より入力すると、その内容に従って利用者判定履歴記憶部１４２を更新する（Ｓ２４０）。

新しくない場合（図９、Ｓ２２０でＮＯ）は、最小化機構部は終了する。つまり、利用者に表示部に表示することなく、元のアプリケーション・プログラムの処理に移る。このようにして次回以降の個人情報の検出の回数および利用者への介在要求を最小化することができる。

また、ファイルの出力先の属性に対応し、あらかじめ定められ判定ポリシー記憶部１４４に記憶された判定ポリシーに基づいて対応を判定する機能を個人情報管理判定部１３０にさらに備ることもできる。図３で説明したように、印刷機に出力する場合と、自社の記憶装置に移動する場合、クリップボードに生成する場合では重要度が異なる。この情報をあらかじめ判定ポリシーに記憶しておくことにより、利用者への介在要求を少なくすることができる。

さらに、アプリケーション・プログラムの進行状況に対応し、処理を変えることにより利用者への介在要求を少なくし、対応を利用者にとって扱いやすいものとすることもできる。つまり、判定ポリシーは、ＡＰＩを呼び出したアプリケーション・プログラムの状態に応じて、異なる結果を出してもよい。たとえば、ＡＰＩを呼び出したアプリケーション・プログラムのウィンドウが、アクティブの場合と非アクティブの場合とで、判定結果に異なる重み付けをしてもよい。また、ＡＰＩを呼び出したアプリケーションとは異なる別なアプリケーション・プログラムの状態を反映させてもよい。たとえば、あるプログラムＡが特定のファイルやＵＲＬを開いている間だけ、他のプログラムによるファイル操作やクリップボード操作の判定結果を厳しくしたり、過去の履歴をリセットして再度利用者の判定を仰ぐようにしてもよい。

図１０は、アプリケーション・プログラムの進行状況に対応して判定する場合の処理の一例を説明するフローチャートを示す図である。個人情報管理判定部１３０に処理が移行した場合に、アプリケーション・プログラムがアクティブか否か調査する（Ｓ３１０）。アクティブの場合はルールＡが適用される（Ｓ３２０）。否の場合は、ルールＢが適用される（Ｓ３３０）。アプリケーション・プログラムの進行状況に応じて、どちらのルールを適用するか動的に判定する機能である。これらのルールは二つのみならず多く定めても良い。

図１１は、情報処理装置１００のハードウエア構成の一例を示す。情報処理装置１００は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）１０１０、バスライン１００５、通信Ｉ／Ｆ１０４０、メインメモリ１０５０、ＢＩＯＳ（Ｂａｓｉｃ Ｉｎｐｕｔ Ｏｕｔｐｕｔ Ｓｙｓｔｅｍ）１０６０、パラレルポート１０８０、ＵＳＢポート１０９０、グラフィック・コントローラ１０２０、ＶＲＡＭ１０２４、音声プロセッサ１０３０、Ｉ／Ｏコントローラ１０７０、並びにキーボード及びマウス・アダプタ等１１００の入力手段１１５を備える。Ｉ／Ｏコントローラ１０７０には、フレキシブルディスクドライブ１０７２、ハード・ディスク１０７４、光ディスクドライブ１０７６、半導体メモリ１０７８、等の記憶手段を接続することができる。これらの記憶手段を記憶部１４０として使用することができる。

音声プロセッサ１０３０には、増幅回路１０３２及びスピーカ１０３４が接続される。また、グラフィック・コントローラ１０２０には、表示装置１０２２が接続されている。

ＢＩＯＳ１０６０は、情報処理装置１００の起動時にＣＰＵ１０１０が実行するブートプログラムや、情報処理装置１００のハードウエアに依存するプログラム等を格納する。フレキシブルディスク（ＦＤ）ドライブ１０７２は、フレキシブルディスク１０７１からプログラムまたはデータを読み取り、Ｉ／Ｏコントローラ１０７０を介してメインメモリ１０５０またはハード・ディスク１０７４に提供する。

光ディスクドライブ１０７６としては、例えば、ＤＶＤ−ＲＯＭドライブ、ＣＤ−ＲＯＭドライブ、ＤＶＤ−ＲＡＭドライブ、ＣＤ−ＲＡＭドライブを使用することができる。この際は各ドライブに対応した光ディスク１０７７を使用する必要がある。光ディスク１０７７から光ディスクドライブ１０７６によりプログラムまたはデータを読み取り、Ｉ／Ｏコントローラ１０７０を介してメインメモリ１０５０またはハード・ディスク１０７４に提供することもできる。

情報処理装置１００に提供されるコンピュータ・プログラムは、フレキシブルディスク１０７１、光ディスク１０７７、またはメモリーカード等の記録媒体に格納されて利用者によって提供される。コンピュータ・プログラムは、Ｉ／Ｏコントローラ１０７０を介して、記録媒体から読み出され、又は通信Ｉ／Ｆ１０４０を介してダウンロードされることによって、情報処理装置１００にインストールされ実行される。コンピュータ・プログラムが情報処理装置に働きかけて行わせる動作は、図１から図１０において説明した情報処理装置１００における動作と同一であるので省略する。

以上に示したコンピュータ・プログラムは、外部の記憶媒体に格納されてもよい。記憶媒体としてはフレキシブルディスク１０７１、光ディスク１０７７、またはメモリーカードの他に、ＭＤ等の光磁気記録媒体、テープ媒体、を用いることができる。また、専用通信回線やインターネットに接続されたサーバシステムに設けたハード・ディスクまたは光デスクライブラリー等の記憶装置を記録媒体として使用し、通信回線を介してコンピュータ・プログラムを情報処理装置１００に提供しても良い。

以上の例は、情報処理装置について主に説明したが、コンピュータに、情報処理装置で説明した機能を有するプログラムをインストールして、そのコンピュータを情報処理装置として動作させることにより上記で説明した情報処理装置と同様な機能を実現することができる。したがって、本発明において一つの実施形態として説明した情報処理装置は、情報処理方法およびそのコンピュータ・プログラムによっても実現可能である。

以上、本発明を実施形態、および実施例を用いて説明したが、本発明の技術的範囲は上記実施形態に記載の範囲に限定されない。上記実施形態に、多様な変更または改良を加えることが可能である。また、そのような変更または改良を加えた形態も本発明の技術的範囲に含まれ得ることが、特許請求の範囲の記載から明らかである。例えば、オペレーティング・システムはＷｉｎｄｏｗｓ２０００ ＸＰ（登録商標）にて説明したが、他のＯＳ例えば、ＵＮＩＸ（登録商標）にても同様に実現することができる。

本発明の情報処理装置の構成を示す図である。 本発明の情報処理装置の制御パスの流れを示す図である。 本発明の情報処理装置の制御パスの流れを示す図である。 本発明の実施例である判定ポリシーの書式サンプルである。 本発明の個人情報検出部の動作を示すフローチャートを示す図である。 個人情報検出部により検出した内容の表示例である。 利用者判定履歴記憶部に記憶される書式サンプルである。 リスク指標演算部１５５をさらに備えた本発明の情報処理装置１００の変形例である。 利用者への介在要求を最小化する最小化機構部を示すフローチャートを示す図である。 アプリケーション・プログラムの進行状況に対応して判定する場合の処理の一例を説明するフローチャートを示す図である。 情報処理装置のハードウェア構成を示す。

符号の説明

６０ オペレーティング・システム
１００ 情報処理装置
１１０、１１２、１１４ アプリケーション・プログラム
１２０ 移動検出・制御部
１３０ 個人情報管理判定部
１３２ アプリケーション・プログラム遂行制御部
１４０ 記憶部
１４２ 利用者判定履歴記憶部
１４４ 判定ポリシー記憶部
１５０ 個人情報検出部
１６０ 入力部
１５５ リスク指標演算部
１０２２ 表示装置

Claims (10)

1. オペレーティング・システム上で個人情報を含むアプリケーション・プログラムを動作させる情報処理装置であって、
   前記アプリケーション・プログラムがデータを前記アプリケーション・プログラムの記憶領域外に出力・移動・生成する場合を検出する移動検出・制御部と、
   前記データが個人情報管理の必要性があるか否かをリアルタイムに判定する個人情報管理判定部と、
   前記個人情報管理判定部によって前記データが個人情報管理の必要性があると判定されると前記アプリケーション・プログラムの処理を中断するアプリケーション・プログラム遂行制御部と、
   前記個人情報管理判定部によって前記データが個人情報管理の必要性があると判定されると前記データの内部をスキャンして個人情報の検出を行う個人情報検出部と、
   前記個人情報検出部により検出された個人情報を表示する表示部と、
   前記データについてその個人情報に係るリスクの度合いを入力する入力部と、
   前記リスクの度合いを前記データ毎にリスク履歴として記憶する利用者判定履歴記憶部とを有し、
   前記個人情報管理判定部は、前記リスク履歴が高レベルであると前記個人情報検出部によって前記個人情報が検出される都度前記個人情報の利用者確認を行っており、
   さらに、前記個人情報検出部で前記個人情報が検出されると予め規定された判定ポリシーに応じて前記個人情報についてそのリスクの指標を決定して、該決定されたリスク指標を前記表示部に表示するリスク指標演算部とを有する情報処理装置。
2. 前記利用者判定履歴記憶部には前記データに対応付けて前記リスク履歴が記憶されており、
   前記個人情報検出部で前記個人情報が検出されると、利用者判定履歴記憶部に存在する前記データの更新日時が前回判定日時より新しいか否かを調べ、前記入力部から当該データに係る前記リスクの度合いの入力を受け付ける最小化機構部を備える請求項１に記載の情報処理装置。
3. 前記個人情報管理判定部は、前記データの出力先の属性に対応させて判定ポリシー記憶部に記憶された予め定められた判定用ポリシーに基づいて、前記データが個人情報管理の必要性があるか否かを判定する請求項１または２に記載の情報処理装置。
4. 前記個人情報管理判定部は、前記アプリケーション・プログラムがアクティブであるか否かに応じて判定ルールを異ならせるようにした請求項１から３のいずれかに記載の情報処理装置。
5. 前記移動検出・制御部はＡＰＩフックによって検出するものである請求項１から４のいずれかに記載の情報処理装置。
6. オペレーティング・システム上で個人情報を含むアプリケーション・プログラムを動作させる情報処理方法であって、
   前記アプリケーション・プログラムがデータを前記アプリケーション・プログラムの記憶領域外に出力・移動・生成する場合を検出するステップと、
   前記データが個人情報管理の必要性があるか否かをリアルタイムに判定する個人情報管理判定ステップと、
   前記個人情報管理判定ステップによって前記データが個人情報管理の必要性があると判定されると前記アプリケーション・プログラムの処理を中断するステップと、
   前記個人情報管理判定ステップによって前記データが個人情報管理の必要性があると判定されると前記データの内部をスキャンして個人情報の検出を行う個人情報検出ステップと、
   前記個人情報検出ステップにより検出された個人情報を表示する表示ステップと、
   前記データについてその個人情報に係るリスクの度合いを入力する入力ステップと、
   前記リスクの度合いを前記データ毎にリスク履歴として記憶する利用者判定履歴記憶ステップとを備え、
   前記個人情報管理判定ステップは、前記リスク履歴が高レベルであると前記個人情報検出ステップによって前記個人情報が検出される都度前記個人情報の利用者確認を行っており、
   さらに、前記個人情報検出ステップで前記個人情報が検出されると予め規定された判定ポリシーに応じて前記個人情報についてそのリスクの指標を決定して、該決定されたリスク指標を表示するリスク指標演算ステップとを備える情報処理方法。
7. 前記利用者判定履歴記憶ステップでは前記データに対応付けて前記リスク履歴を記憶しており、
   前記個人情報検出ステップで前記個人情報が検出されると、利用者判定履歴記憶ステップで記憶された前記データの更新日時が前回判定日時より新しいか否かを調べ、前記入力ステップで当該データに係る前記リスクの度合いの入力を受け付ける最小化機構ステップを備える請求項６に記載の情報処理方法。
8. 前記個人情報管理判定ステップでは、前記データの出力先の属性に対応させて判定ポリシー記憶部に記憶された予め定められた判定用ポリシーに基づいて、前記データが個人情報管理の必要性があるか否かを判定する請求項６または７に記載の情報処理方法。
9. 前記個人情報管理判定ステップは、前記アプリケーション・プログラムがアクティブであるか否かに応じてその判定ルールを異ならせるようにした請求項６から８のいずれか６に記載の情報処理方法。
10. 請求項６から９のいずれかに記載の情報処理方法の各ステップをコンピュータに実行させるコンピュータ・プログラム。

Images