JP6281601B2 - 情報処理装置、情報処理システム、制御方法、及びプログラム - Google Patents

Description

本発明は、顔認証技術を用いた情報セキュリティ監視技術に関する。

近年、各企業でテレワークへの関心が高まっている。テレワークには機密情報への第三者のアクセス防止や労働管理の適正化などの課題があり、導入するためにはそれらの課題を解決しなければならない。

現在、それらの課題を解決するため、顔認証技術を利用したテレワーク管理支援システムが開発されており、このシステムを用いることで、ウェブカメラ画像から本人認証を行い、なりすましや第三者による覗き見の状態を検出し、管理者に通知することができる。

また、テレワークでは管理者がテレワーク用の端末画面を直接監視できないため、情報セキュリティ上の問題が発生した場合に、どのような情報が端末画面に表示されていたかが重要となる。

特許文献１は、在宅勤務者の勤務状況を管理するための技術であり、在宅勤務者の勤務状態が「勤務中」である場合に定期的に表示画面をキャプチャし、作業の証跡としてサーバに送信する。

特開２０１２−２５６３２９号公報

前記特許文献１の技術では、定期的に表示画面をキャプチャし、証跡として残すことにより、端末画面に表示されていた内容を後で確認することができる。

この方法によると、定期的に端末画面の表示内容を証跡として残すことができるが、第三者の覗き見などの情報セキュリティ上の不具合状態が発生した瞬間の端末画面の表示内容を、随時、証跡として残すことはできない。

そのため、例えば、第三者が端末画面から秘密情報を覗き見した後、端末画面状態を短時間で元に戻してしまえば、証跡は残らず、情報漏えいの事実把握及び原因究明は不可能となる。

その問題に対処するために、画面をキャプチャする周期を短くすれば、証跡が欠損する確率は減少するが、反面、証跡データの通信量や記憶容量が膨大となり、システム資源を圧迫することになる。

また、在宅勤務者本人以外の人が端末画面を見ていたとしても、端末画面の表示内容と、端末画面を見ていた人の権限によっては情報セキュリティ上の問題とならない場合がある。

その場合は証跡を随時残す必要はなく、証跡の記録を抑制することにより、証跡データの通信量や記憶容量を削減できる。

例えば、在宅勤務者本人と、在宅勤務場所を訪問した同部門の関係者が、端末画面を見ながら打合せしているようなケースでは、情報セキュリティ上の問題とならない場合が多い。

ただし、同部門の関係者であっても、端末画面に表示されている内容に対して照会権限を与えられていない場合には、情報セキュリティ上の問題となり、証跡として残す必要がある。

さらに、限られたシステム資源を有効に活用するために、状況に応じて、過不足のない証跡データを残す必要がある。

そこで、本発明では、情報セキュリティ上の問題発生を監視するにあたり、システム資源を好適に活用しつつ、発生した情報セキュリティ上の問題の内容を確認できるようにすることを目的とする。

上記課題を解決するための第１の発明は、情報処理装置での情報閲覧状況を追跡するための証跡データを記録するサーバと通信可能に接続され、表示部の前方を撮像した画像を取得可能な情報処理装置であって、前記取得された画像内の人物を特定する人物特定手段と、前記表示部の前方を撮像した画像内の前記人物特定手段により特定された人物の変化に従って、前記表示部の前方を撮像した画像内の前記情報処理装置の利用者本人および／または該利用者本人以外の人物の状況変化があるか否か判定する状況変化判定手段と、前記状況変化判定手段により、前記状況変化があると判定された場合の、前記表示部の前方を撮像した画像内の前記情報処理装置の利用者本人および／または該利用者本人以外の人物の状況変化を示す画像データと、前記表示部に表示されていた内容を一意に対応付けた証跡データを取得する証跡データ取得制御手段と、前記証跡データ取得制御手段にて取得された証跡データを、前記サーバにて登録すべく前記サーバに送信する証跡データ送信手段と、を備え、前記証跡データ取得制御手段は、前記表示部に表示されているウィンドウがアクティブウィンドウか非アクティブウィンドウかに応じて証跡データとして取得するデータの種類を決定することを特徴とする情報処理装置である。

上記課題を解決するための第２の発明は、表示部の前方を撮像した画像を取得可能な情報処理装置と、情報処理装置での情報閲覧状況を追跡するための証跡データを記録するサーバとが通信可能に接続された情報処理システムであって、前記取得された画像内の人物を特定する人物特定手段と、前記表示部の前方を撮像した画像内の前記人物特定手段により特定された人物の変化に従って、前記表示部の前方を撮像した画像内の前記情報処理装置の利用者本人および／または該利用者本人以外の人物の状況変化があるか否か判定する状況変化判定手段と、前記状況変化判定手段により、前記状況変化があると判定された場合の、前記表示部の前方を撮像した画像内の前記情報処理装置の利用者本人および／または該利用者本人以外の人物の状況変化を示す画像データと、前記表示部に表示されていた内容を一意に対応付けた証跡データを取得する証跡データ取得制御手段と、前記証跡データ取得制御手段にて取得された証跡データを、証跡データ記憶部に登録する証跡データ登録手段と、を備え、前記証跡データ取得制御手段は、前記表示部に表示されているウィンドウがアクティブウィンドウか非アクティブウィンドウかに応じて証跡データとして取得するデータの種類を決定することを特徴とする情報処理システムである。

上記課題を解決するための第３の発明は、情報処理装置での情報閲覧状況を追跡するための証跡データを記録するサーバと通信可能に接続され、表示部の前方を撮像した画像を取得可能な情報処理装置の制御方法であって、人物特定手段が、前記取得された画像内の人物を特定する人物特定ステップと、状況変化判定手段が、前記表示部の前方を撮像した画像内の前記人物特定手段により特定された人物の変化に従って、前記表示部の前方を撮像した画像内の前記情報処理装置の利用者本人および／または該利用者本人以外の人物の状況変化があるか否か判定する状況変化判定ステップと、証跡データ取得制御手段が、前記状況変化判定手段により、前記状況変化があると判定された場合の、前記表示部の前方を撮像した画像内の前記情報処理装置の利用者本人および／または該利用者本人以外の人物の状況変化を示す画像データと、前記表示部に表示されていた内容を一意に対応付けた証跡データを取得する証跡データ取得制御ステップと、証跡データ送信手段が、前記証跡データ取得制御手段にて取得された証跡データを、前記サーバにて登録すべく前記サーバに送信する証跡データ送信ステップと、を備え、前記証跡データ取得制御ステップは、前記表示部に表示されているウィンドウがアクティブウィンドウか非アクティブウィンドウかに応じて証跡データとして取得するデータの種類を決定することを特徴とする情報処理装置の制御方法である。

上記課題を解決するための第４の発明は、情報処理装置での情報閲覧状況を追跡するための証跡データを記録するサーバと通信可能に接続され、表示部の前方を撮像した画像を取得可能な情報処理装置において読取実行可能なプログラムであって、前記情報処理装置を、前記取得された画像内の人物を特定する人物特定手段と、前記表示部の前方を撮像した画像内の前記人物特定手段により特定された人物の変化に従って、前記表示部の前方を撮像した画像内の前記情報処理装置の利用者本人および／または該利用者本人以外の人物の状況変化があるか否か判定する状況変化判定手段と、前記状況変化判定手段により、前記状況変化があると判定された場合の、前記表示部の前方を撮像した画像内の前記情報処理装置の利用者本人および／または該利用者本人以外の人物の状況変化を示す画像データと、前記表示部に表示されていた内容を一意に対応付けた証跡データを取得する証跡データ取得制御手段と、前記証跡データ取得制御手段にて取得された証跡データを、前記サーバにて登録すべく前記サーバに送信する証跡データ送信手段と、として機能させ、前記証跡データ取得制御手段は、前記表示部に表示されているウィンドウがアクティブウィンドウか非アクティブウィンドウかに応じて証跡データとして取得するデータの種類を決定することを特徴とするプログラムである。

本発明によれば、情報セキュリティに関連するイベントが発生したタイミングに随時証跡を残すことにより、システム資源を好適に活用しつつ、発生した情報セキュリティ上の問題の内容を確認できるようになるという効果を奏する。

本発明の実施形態に係るテレワーク管理支援システムの構成の一例を示すシステム構成図である。 本発明の実施形態に係る管理サーバ、データベースサーバ、テレワーカ用ＰＣ、及び管理者用ＰＣに適用可能な情報処理装置のハードウェア構成を示すブロック図である。 本発明の実施形態に係るテレワーク管理支援システムにおける、管理サーバ、データベースサーバ、テレワーカ用ＰＣ、及び管理用ＰＣの機能ブロック図である。 本発明の第１の実施形態に係るテレワーク管理支援システムにおける、監視手順の一例を示すフローチャートである。 本発明の実施形態に係るテレワーク管理支援システムにおける、端末画面変化検出手順の一例を示すフローチャートである。 本発明の実施形態に係るテレワーク管理支援システムにおける、端末画面変化の一例（アクティブウィンドウの遷移−ウィンドウ切替のケース）を説明するための説明図である。 本発明の実施形態に係るテレワーク管理支援システムにおける、端末画面変化の一例（アクティブウィンドウの遷移−アプリケーションの新規起動のケース）を説明するための説明図である。 本発明の実施形態に係るテレワーク管理支援システムにおける、端末画面変化の一例（ウィンドウ数の増減−増加のケース）を説明するための説明図である。 本発明の実施形態に係るテレワーク管理支援システムにおける、端末画面変化の一例（ウィンドウ数の増減−減少のケース）を説明するための説明図である。 本発明の実施形態に係るテレワーク管理支援システムにおける、端末画面変化の一例（ウィンドウサイズの変更−縮小のケース）を説明するための説明図である。 本発明の実施形態に係るテレワーク管理支援システムにおける、端末画面変化の一例（ウィンドウサイズの変更−拡大のケース）を説明するための説明図である。 本発明の実施形態に係るテレワーク管理支援システムにおける、端末画面変化の一例（ウィンドウ位置の変更）を説明するための説明図である。 本発明の第１の実施形態に係るテレワーク管理支援システムにおける、証跡データの一例を示すデータ構成図である。 本発明の実施形態に係るテレワーク管理支援システムにおける、ユーザ情報の一例を示すデータ構成図である。 本発明の実施形態に係るテレワーク管理支援システムにおける、管理者用画面の一例である。 本発明の第２の実施形態に係るテレワーク管理支援システムにおける、監視手順の一例を示すフローチャートである。 本発明の第２の実施形態に係るテレワーク管理支援システムにおける、端末画面の表示状況の一例を説明するための説明図である。 本発明の第２の実施形態に係るテレワーク管理支援システムにおける、証跡データの一例を示すデータ構成図である。 本発明の第３の実施形態に係るテレワーク管理支援システムにおける、監視手順の一例を示すフローチャートである。

［第１の実施形態］

以下、図面を参照して、本発明の第１の実施形態を詳細に説明する。

図１は、本発明の情報セキュリティ監視処理を適用したテレワーク管理支援システムの構成の一例を示すシステム構成図である。

テレワーク管理支援システム１００は、１または複数の管理サーバ１０１、１または複数のデータベースサーバ１０２、１または複数のテレワーカ用ＰＣ１１１、１または複数の管理者用ＰＣ１２１がインターネット１３０を介して接続される構成となっている。

管理サーバ１０１は、テレワーカの離席状況、他者による覗き込み、あるいはなりすましの証跡データをテレワーク情報として一元管理するサーバであり、サービス環境ネットワーク１０４上に構築されている。

管理サーバ１０１へは、テレワーカ用ＰＣ１１１と管理者用ＰＣ１２１が、アカウントＩＤとパスワードを用いた認証処理により接続し、管理サーバ１０１は、テレワーカ用ＰＣ１１１からテレワーク情報を受信した場合は、データベースサーバ１０２に格納する。また、管理者用ＰＣ１２１からテレワーク情報の取得要求があった場合は、データベースサーバ１０２から必要なテレワーク情報を取り出す。

データベースサーバ１０２は、管理サーバ１０１の操作にもとづいてテレワーク情報を記憶するサーバであり、サービス環境ネットワーク１０４上に構築されており、データベースサーバ１０２は、テレワーク情報のほかに、管理サーバ１０１への接続用アカウントＩＤとパスワードも記憶する。なお、データベースサーバ１０２は、管理サーバ１０１からの接続のみ許可し、外部からは接続できない構成をとることが可能である。

テレワーカ用ＰＣ１１１は、テレワーク情報の基となる証跡データを作成する端末であり、自宅ネットワーク１１０上に存在し、証跡データは、専用アプリケーションにより作成され、ルータ１１２、インターネット１３０、及びルータ１０３を介して管理サーバ１０１へ送信される。本実施形態の情報セキュリティ監視処理は、この専用アプリケーション内の機能として動作する。

管理者用ＰＣ１２１は、テレワーク情報を確認するための端末であり、社内ネットワーク１２０上に存在し、テレワーク情報の確認には、ウェブ管理コンソール（ウェブブラウザ上で動作）を使用し、ルータ１２２、インターネット１３０、及びルータ１０３を介して管理サーバ１０１に接続する。

以下、図２を用いて図１に示した管理サーバ１０１、データベースサーバ１０２、テレワーカ用ＰＣ１１１、及び管理者用ＰＣ１２１に適用可能な情報処理装置のハードウェア構成について説明する。

図２は、図１に示した管理サーバ１０１、データベースサーバ１０２、テレワーカ用ＰＣ１１１、及び管理者用ＰＣ１２１に適用可能な情報処理装置のハードウェア構成を示すブロック図である。各装置ともに、同様な構成を備えるため、同一の符号を用いて説明を行う。

図２において、２０１はＣＰＵで、システムバス２０４に接続される各デバイスやコントローラを統括的に制御する。また、ＲＯＭ２０２あるいは外部メモリ２１２には、ＣＰＵ２０１の制御プログラムであるＢＩＯＳ（Ｂａｓｉｃ Ｉｎｐｕｔ ／ Ｏｕｔｐｕｔ Ｓｙｓｔｅｍ）やオペレーティングシステムプログラム（以下、ＯＳ）や、各サーバ或いは各ＰＣの実行する機能を実現するために必要な後述する各種プログラム等が記憶されている。

２０３はＲＡＭで、ＣＰＵ２０１の主メモリ、ワークエリア等として機能する。ＣＰＵ２０１は、処理の実行に際して必要なプログラム等をＲＯＭ２０２あるいは外部メモリ２１２からＲＡＭ２０３にロードして、該ロードしたプログラムを実行することで各種動作を実現するものである。

また、２０５は入力コントローラで、キーボード（ＫＢ）２０９、ウェブカメラ２１０や不図示のマウス等のポインティングデバイス等からの入力を制御する。２０６はビデオコントローラで、ＣＲＴディスプレイ（ＣＲＴ）２１１等の表示器への表示を制御する。なお、図２では、ＣＲＴ２１１と記載しているが、表示器はＣＲＴだけでなく、液晶ディスプレイ等の他の表示器であってもよい。これらは必要に応じて管理者が使用するものである。

２０７はメモリコントローラで、ブートプログラム、各種のアプリケーション、フォントデータ、ユーザファイル、編集ファイル、各種データ等を記憶する外部記憶装置（ハードディスク（ＨＤ））や、フレキシブルディスク（ＦＤ）、或いはＰＣＭＣＩＡカードスロットにアダプタを介して接続されるコンパクトフラッシュ（登録商標）メモリ等の外部メモリ２１２へのアクセスを制御する。

２０８は通信Ｉ／Ｆコントローラで、ネットワーク（例えば、図１に示したネットワーク１０４）を介して外部機器と接続・通信するものであり、ネットワークでの通信制御処理を実行する。例えば、ＴＣＰ／ＩＰを用いた通信等が可能である。

なお、ＣＰＵ２０１は、例えばＲＡＭ２０３内の表示情報用領域へアウトラインフォントの展開（ラスタライズ）処理を実行することにより、ＣＲＴ２１１上での表示を可能としている。また、ＣＰＵ２０１は、ＣＲＴ２１１上の不図示のマウスカーソル等でのユーザ指示を可能とする。

本発明を実現するための後述する各種プログラムは、外部メモリ２１２に記録されており、必要に応じてＲＡＭ２０３にロードされることによりＣＰＵ２０１によって実行されるものである。さらに、上記プログラムの実行時に用いられる設定ファイル等も外部メモリ２１２に格納されており、これらについての詳細な説明も後述する。

以下、図３を用いて、本発明の情報セキュリティ監視処理を適用したテレワーク管理支援システム１００における全体の流れを説明する。

テレワーク管理支援システム１００において、テレワーカ用ＰＣ１１１では本人認証処理による労務監視及び情報セキュリティ監視、管理サーバ１０１とデータベースサーバ１０２とでは、監視情報の管理、管理者用ＰＣ１２１では監視情報の表示をおこなう。

テレワーカ用ＰＣ１１１は、専用アプリケーションを用いて、ウェブカメラ２１０で撮影して得られたデータに基づく画像を用いて、本人認証処理を行う。専用アプリケーションでは、アカウントＩＤとパスワードを使用して、管理サーバ１０１と通信接続を確立する。

管理サーバ１０１と接続を確立後、本人認証処理によりテレワーカの労務監視及び情報セキュリティ監視をおこなう。監視中、離席や本人なりすまし、第三者覗きこみ等をイベントとして検出する。イベントが検出された場合は、テレワーカ用ＰＣ１１１は管理サーバ１０１へイベントの証跡データを送信する。

管理サーバ１０１は、テレワーカ用ＰＣ１１１からイベントの証跡データを受信すると、テレワーク情報としてデータベースサーバ１０２上のテレワーク情報を記憶するテーブルへ記憶する。また証跡データの受信時、管理サーバ１０１は管理者用ＰＣ１２１へ検出通知メールを送信する。

管理者用ＰＣ１２１では、ウェブ管理コンソールを用いて、管理サーバ上のテレワーカのイベントの証跡データを確認できる。ウェブ管理コンソールは、ウェブブラウザから専用ＵＲＬへアクセスすることで利用できる。ウェブ管理コンソールでは、イベントを検出した際の時刻や画像のほか、起動中のアプリケーションや照会中のファイル等を確認できる。

次に、図３を参照して、本実施形態におけるテレワーカ用ＰＣ１１１の各機能について説明する。なお、本システムには主に労務監視、情報セキュリティ監視の２つの目的があるが、以下では本発明の目的である情報セキュリティ監視に特化して説明する。

テレワーカ用ＰＣ１１１は、撮像部３０３、カメラ画像取得部３０４を備えており、撮像部３０３は、被写体となるテレワーカを撮影するためのカメラを示しており、前述したウェブカメラ２１０に該当し、カメラ画像取得部３０４は、撮像部３０３で撮影して得られた画像（以下、カメラ画像と呼ぶ）をデータとして取得する。カメラ画像を取得するタイミングは、事前に設定された時間間隔ごとに取得することにしてもよいし、繰り返し処理の中で前回の処理が終了次第取得することにしてもよい。

また、テレワーカ用ＰＣ１１１は、ユーザ情報記憶部３０１、人物特定部３０５、及び端末前方状況変化検出部３０６を備えている。

ユーザ情報記憶部３０１は、顔認識に必要な顔写真データを含む、本システムにより管理されるユーザに関する情報を記憶している。本実施形態ではユーザ情報を直接テレワーカ用ＰＣ１１１の外部メモリ２１２（例えば、ハードディスク）に保存しているが、データベースサーバ１０２にユーザ情報を保存しておき、本システム起動時等のイベント発生時や、予め決められた時刻にデータベースサーバ１０２からユーザ情報の差分データをテレワーカ用ＰＣ１１１に配信する形態でもよい。

人物特定部３０５は、カメラ画像取得部３０４により取得されたカメラ画像に写っている人の顔を認識し、ユーザ情報記憶部３０１に記憶されている顔写真データをもとに人物を特定する。これらは、既知の顔検出技術、顔認識技術を用いることによって実現できる。

さらに人物特定部３０５は、特定された人物により、端末前方状態を区分する。

端末前方状態とは、カメラ画像にテレワーカ本人のみが写っている場合は「本人のみ」、テレワーカ本人と、ユーザ情報記憶部３０１に記憶されている他のユーザ（以下、他ユーザと呼ぶ）とが共に写っている場合や、他ユーザのみが写っている場合は「他ユーザ写り込み」、テレワーカ本人と、人物特定部３０５によりユーザ情報記憶部３０１に記憶されているユーザとは特定されなかった人物（以下、第三者と呼ぶ）とが共に写っている場合や、第三者のみが写っている場合は「第三者写り込み」、カメラ画像に一人も人が写っていない場合は「離席」と区分する。

端末前方状況変化検出部３０６は、人物特定部３０５により特定されたカメラ画像内の人物と、前回処理でのカメラ画像内の人物とを比較することにより、端末前方状況に変化があったかどうかを検出する。

例えば、カメラ画像内の人物が本人のみの状況から、カメラ画像内の人物が本人と第三者の状況に変化した場合や、カメラ画像内の人物が本人と他ユーザの状況から、カメラ画像内の人物が他ユーザのみの状況に変化した場合などに「端末前方状況変化あり」と判定する。逆に、カメラ画像内の人物に変化がない場合は「端末前方状況変化なし」と判定する。

また、テレワーカ用ＰＣ１１１は、端末画面情報取得部３０７、端末画面変化検出部３０８、及び権限チェック部３０９を備えている。

端末画面情報取得部３０７は、端末画面に表示されているウィンドウに関する情報を取得する。

ここで取得する情報は、端末画面に表示されているウィンドウの数、アクティブとなっている（通常最前面にある）ウィンドウのウィンドウＩＤ、各ウィンドウについてのウィンドウＩＤ、ウィンドウサイズ（縦横のピクセル数）、ウィンドウ位置（画面内座標）、起動されているアプリケーションの種類、開かれているファイルのＩＤ（ファイルパスやファイル名称）など、である。これらは起動しているＯＳ（オペレーティングシステム）から取得することができる。

端末画面変化検出部３０８は、端末画面情報取得部３０７により取得された端末画面情報と、前回処理での端末画面情報とを比較することにより、端末画面に変化があったかどうかを判定する。

比較する項目としては、アクティブウィンドウのＩＤ、ウィンドウの数、各ウィンドウのウィンドウサイズ、ウィンドウ位置である。

なお、本実施形態では端末画面に表示されているウィンドウに関する情報を基に端末画面の変化の有無を判定しているが、端末画面のキャプチャ画像を画素ごとに前後比較することにより端末画面の変化の有無を判定してもよい。

この判定方法により、より厳密に端末画面の変化の有無を捉えることができるが、反面、画面上の１画素でも変化すると「端末画面変化あり」と判定されるため、後述する証跡データの送信が頻繁となる可能性がある。

そのため、基本はウィンドウに関する情報を基に画面変化を判定し、さらに、一定時間間隔で端末画面のキャプチャ画像を取得して比較することにより画面変化を判定する、といった両者併用の形態を取ってもよい。

権限チェック部３０９は、端末画面情報取得部３０７により取得された端末画面情報のうち、各ウィンドウで起動されているアプリケーションの種類および開かれているファイルのＩＤに対し、カメラ画像内の人物が実行権限およびアクセス権限を所有しているかどうかをチェックする。

これらの権限情報はＯＳにより管理されており、ＯＳから権限情報を取得し、チェックすることができる。

ただし、ＯＳ標準の権限情報ではなく、独自の権限情報を設定し権限チェックに利用してもよい。

チェック例として、カメラ画像内に他ユーザが存在する場合、ユーザ情報記憶部３０１に記憶されている他ユーザのシステムユーザＩＤ（ＯＳのユーザＩＤ）に対して、画面内の各ウィンドウで起動されているアプリケーションおよび開かれているファイルに対する実行およびアクセス権限を所有しているかどうかを、ＯＳ管理の権限情報をもとにチェックし、権限を有していない場合には「権限上問題あり」、権限を有している場合には「権限上問題なし」と判定する。

カメラ画像内に第三者が存在する場合、第三者が端末画面を見ている状態にあること自体がセキュリティ上の問題となり、常に「権限上問題あり」となるため、本実施形態では第三者に対して権限チェックは不要としている。

ただし、アプリケーションやファイルに、第三者（匿名ユーザ）に対する実行権限やアクセス権限が設定されている場合には、第三者に対する権限チェックを実施してもよい。

また、画面内の各ウィンドウで起動されているアプリケーションおよび開かれているファイルは、ＯＳにて認証済みである本人の権限にて実行およびアクセスされているため、本実施形態では本人に対して権限チェックは不要としている。

ただし、本人が不正な方法でアプリケーション実行やファイルアクセスする可能性があることを考慮し、本人に対する権限チェックを実施してもよい。

また、テレワーカ用ＰＣ１１１は、証跡データ送信制御部３１０、端末画面画像取得部３１１を備えている。

証跡データ送信制御部３１０は、端末前方状況変化検出部３０６による判定結果、端末画面変化検出部３０８による判定結果、及び権限チェック部３０９による判定結果を基に、管理サーバ１０１に証跡データを送信するかどうかを判断し、送信すると判断した場合には、カメラ画像取得部３０４により取得されたカメラ画像、後述する端末画面画像取得部３１１により取得された端末画面画像、及び端末画面情報取得部３０７により取得された端末画面情報を合わせて証跡データを作成し、管理サーバ１０１に送信する。

端末画面画像取得部３１１は、証跡データ送信制御部３１０により証跡データを管理サーバ１０１に送信すると判断した場合に、端末画面画像を取得（キャプチャ）する。

以下、図４を参照して、本実施形態のテレワーク管理支援システム１００における情報セキュリティ監視処理のフローについて説明する。

図４で説明する情報セキュリティ監視処理は、テレワーク管理支援システム１００において、テレワーカ用ＰＣ１１１上で専用アプリケーションが起動されている間、繰り返し実行される。

ステップＳ４０１では、撮像部３０３により端末前方を撮影することにより得られたカメラ画像を、カメラ画像取得部３０４が取得する。

ステップＳ４０２では、人物特定部３０５が、ステップＳ４０１にて取得されたカメラ画像に対し、人の顔を認識し、ユーザ情報記憶部３０１に記憶されたユーザごとの顔写真データを基に人物を特定する。人物を特定できなかった場合は「第三者」とする。

本実施形態では、第三者を個人として特定していないが、複数の第三者が存在する場合を考慮し、一度カメラ画像に写り込んだ第三者の顔写真を顔認識に使用し、第三者を個人として特定してもよい。

また、人物特定部３０５が、特定された人物を基に、端末前方状態を区分する。ここで区分する端末前方状態は、前述の通り「本人のみ」、「第三者写り込み」、「他ユーザ写り込み」、「離席」の４種類である。

ステップＳ４０４では、端末前方状況変化検出部３０６が、ステップＳ４０２にて特定されたカメラ画像内の人物と、前回処理でのカメラ画像内の人物とを比較することにより、端末前方状況に変化があったかどうかを検出し、変化があった場合には「端末前方状況変化あり」、変化がなかった場合には「端末前方状況変化なし」とする。

ステップＳ４０４において「端末前方状況変化あり」と判定された場合は、後述するステップＳ４０６およびステップＳ４０７により証跡データ送信制御部３１０が証跡データを作成し、管理サーバ１０１に証跡データを送信する。

ステップＳ４０４において「端末前方状況変化なし」と判定された場合は、ステップＳ４０９以降を実行する。

ステップＳ４０９において、端末前方状態ごとに以降の処理を分岐する。

端末前方状態が「本人のみ」または「離席」の場合、情報セキュリティ上の問題点はないため何もせず、ステップＳ４０８にて終了判断を実行する。

ステップＳ４０９において端末前方状態が「第三者写り込み」の場合、まず、ステップＳ４１０において端末画面情報取得部３０７が、端末画面に表示されているウィンドウに関する情報を取得する。

ここで取得する情報は、端末画面に表示されているウィンドウの数、アクティブとなっている（通常最前面にある）ウィンドウのウィンドウＩＤ、各ウィンドウについてのウィンドウＩＤ、ウィンドウサイズ（縦横のピクセル数）、ウィンドウ位置（画面内座標）、起動されているアプリケーションの種類、開かれているファイルのＩＤ（ファイルパスやファイル名称）など、である。

次にステップＳ４１１において、端末画面変化検出部３０８が、ステップＳ４１０にて取得された端末画面情報と、前回処理での端末画面情報とを比較することにより、端末画面に変化があったかどうかを判定する。端末画面変化検出処理の詳細については後述する。

続いてステップＳ４１２において、ステップＳ４１１での判定結果が「端末画面変化あり」の場合、後述するステップＳ４０６およびステップＳ４０７により証跡データ送信制御部３１０が証跡データを作成し、管理サーバ１０１に証跡データを送信する。また、ステップＳ４１１での判定結果が「端末画面変化なし」の場合、何もせず、ステップＳ４０８にて終了判断を実行する。

ステップＳ４０９において端末前方状態が「他ユーザ写り込み」の場合、まず、ステップＳ４１３において、端末画面情報取得部３０７が、端末画面に表示されているウィンドウに関する情報を取得する。取得する情報は前述の通りである。

次にステップＳ４１４において、端末画面変化検出部３０８が、ステップＳ４１３にて取得された端末画面情報と、前回処理での端末画面情報とを比較することにより、端末画面に変化があったかどうかを判定する。端末画面変化検出処理の詳細については後述する。

続いてＳ４１５において、ステップＳ４１４での判定結果が「端末画面変化あり」の場合、後述するステップＳ４１６により他ユーザが正当な権限を有しているかどうかをチェックする。また、ステップＳ４１４での判定結果が「端末画面変化なし」の場合、何もせず、ステップＳ４０８にて終了判断を実行する。

ステップＳ４１６では、権限チェック部３０９が、端末画面情報取得部３０７により取得された端末画面情報のうち、各ウィンドウで起動されているアプリケーションの種類および開かれているファイルのＩＤに対し、カメラ画像内の人物が実行権限およびアクセス権限を所有しているかどうかをチェックする。これらの権限情報はＯＳにより管理されており、ＯＳから権限情報を取得し、チェックすることができる。

他ユーザが各ウィンドウで起動されているアプリケーションの種類および開かれているファイルのＩＤに対し、実行およびアクセス権限を有している場合は「権限上問題なし」、有していない場合は「権限上問題あり」と判定する。

ステップＳ４１７では、前回または今回のステップＳ４１６での判定結果が「権限上問題あり」の場合、後述するステップＳ４０６およびステップＳ４０７により証跡データを作成し、管理サーバ１０１に証跡データを送信する。

今回の権限チェック結果だけではなく、前回の権限チェック結果が「権限上問題あり」の場合にも証跡データを送信するのは、どの時点で権限上の問題が解消したかを確認できるようにするためである。つまり、前回の権限チェック結果が「権限上問題あり」で、かつ、今回の権限チェック結果が「権限上問題なし」であれば、今回の時点で権限上の問題が解消したと判断できる。

ステップＳ４０６では、証跡データ送信制御部３１０が、管理サーバ１０１に証跡データを送信するかどうかを判断し、送信すると判断した場合に、端末画面画像取得部３１１が端末画面画像を取得（キャプチャ）する。

ここで、本実施形態における証跡データを送信する条件を整理すると、端末前方状況変化検出部３０６による判定結果が「端末前方状況変化あり」の場合、または、端末前方状態が「第三者写り込み」かつ端末画面変化検出部３０８による判定結果が「端末画面変化あり」の場合、または、端末前方状態が「他ユーザ写り込み」かつ端末画面変化検出部３０８による判定結果が「端末画面変化あり」かつ権限チェック部３０９による前回または今回の判定結果が「権限上問題あり」の場合である。

ステップＳ４０７では、証跡データ送信制御部３１０が、ステップＳ４０１にて取得された端末前方のカメラ画像、ステップＳ４０６にて取得された端末画面画像、及びステップＳ４１０またはステップＳ４１３により取得された端末画面情報を合わせて証跡データを作成し、管理サーバ１０１に送信する。証跡データの詳細については後述する。

ステップＳ４０８では、情報セキュリティ監視処理を終了するかどうかを判断し、終了判断がなされない場合は、ステップＳ４０１のカメラ画像取得から繰り返す。通常、情報セキュリティ監視処理は、テレワーカ用ＰＣ１１１にてテレワーク管理支援システムの専用アプリケーションが起動されている間は常に繰り返し実行され、処理終了の判断がなされるのは、ＯＳのシャットダウンに伴う専用アプリケーションの終了処理時や、専用アプリケーション更新時、システムメンテナンス実施時などの場合である。

以下、図５を参照して、前記ステップＳ４１１およびステップ４１４の端末画面変化検出処理の詳細フローについて説明する。

さらに、図６〜図１１にて端末画面変化の各種ケースについて説明する。図６〜図１１の見方については、各図面において、上部と下部に分けて図示を行っており、上部に変更前（前回）の端末画面状態、下部に変更後（今回）の端末画面状態を示し、端末画面全体６０１の中に１または複数のウィンドウの表示状況を図示している。

ステップＳ５０１では、システム起動直後かどうかを判断し、システム起動直後であればステップＳ５０７にて「端末画面変化あり」と判定する。

つまり、システム起動直後には前回端末画面情報がまだ記録されていないか、または、前回端末画面情報が前回システム終了直前の端末画面情報となるため、常に「端末画面変化あり」とする。

ステップＳ５０２では、アクティブウィンドウのＩＤの変化があったかどうかを判断し、変化があった場合には「アクティブウィンドウ遷移あり」と判定する。

図６、図７において、ステップＳ５０２にて「アクティブウィンドウ遷移あり」と判定されるケースを例示している。

図６で示されるのはウィンドウ切替のケースであり、変更前に「ウィンドウＡ」６０２がアクティブであったが、変更後に「ウィンドウＡ」６０２が非アクティブとなり、かつ、「ウィンドウＢ」６０３がアクティブになることにより、変更前にほぼ隠れていた「ウィンドウＢ」６０３の表示内容が見えるようになる。

一方、図７で示されるのは、アプリケーションの新規起動のケースであり、変更前に「ウィンドウＡ」７０２がアクティブであったが、変更後に「ウィンドウＡ」７０２で起動されていたアプリケーションとは異なるアプリケーションが「ウィンドウＢ」７０３で新規起動され、「ウィンドウＢ」７０３がアクティブになることにより、変更前に存在しなかった「ウィンドウＢ」７０３の表示内容が見えるようになる。

但し、アプリケーションが異なる旨を記載したが、同一のアプリケーションで、それぞれ別のウィンドウが起動される態様も同様である。

ステップＳ５０３では、表示されているウィンドウ数の変化があったかどうかを判断し、変化があった場合には「ウィンドウ数増減あり」と判定する。

図８、図９において、ステップＳ５０３にて「ウィンドウ数増減あり」と判定されるケースを例示している。

図８で示されるのはウィンドウ数増加のケースであり、変更前のウィンドウ数は２、変更後のウィンドウ数は３となっており、変更前に存在しなかった「ウィンドウＣ」８０４の表示内容が見えるようになる。

図８では、新たに起動された「ウィンドウＣ」８０４が変更後に非アクティブとなっているが、「ウィンドウＣ」８０４を起動した直後に「ウィンドウＡ」８０２をアクティブ化することにより、この状態が発生する。

一方、図９で示されるのはウィンドウ数減少のケースであり、変更前のウィンドウ数は３、変更後のウィンドウ数は２となっており、変更前にほぼ隠れていた「ウィンドウＣ」９０４の表示内容が見えるようになる。

図９では、非アクティブであった「ウィンドウＢ」９０３が終了されているが、「ウィンドウＢ」９０３をアクティブ化した直後に終了することにより、この状態が発生する。

ステップＳ５０４では、各ウィンドウの縦および横のピクセル数の変化があったかどうかを判断し、変化があった場合には「ウィンドウサイズ変化あり」と判定する。単なるウィンドウサイズの変更だけではなく、ウィンドウの最大化、および、ウィンドウのアイコン化の場合も含まれる。

図１０、図１１において、ステップＳ５０４にて「ウィンドウサイズ変化あり」と判定されるケースを例示している。

図１０で示されるのはウィンドウサイズ縮小のケースであり、「ウィンドウＡ」１００２のウィンドウサイズを縮小することにより、変更前にほぼ隠れていた「ウィンドウＢ」１００３の表示内容が見えるようになる。

一方、図１１で示されるのはウィンドウサイズ拡大のケースであり、「ウィンドウＢ」１１０３のウィンドウサイズを拡大することにより、変更前にほぼ隠れていた「ウィンドウＢ」１１０３の表示内容が見えるようになる。

図１１では、変更前後で非アクティブな「ウィンドウＢ」１１０３のウィンドウサイズが拡大されているが、「ウィンドウＢ］１１０３をアクティブ化しウィンドウサイズを拡大した直後に、「ウィンドウＡ」１１０２をアクティブ化することにより、この状態が発生する。

Ｓ５０５では、各ウィンドウの画面内での表示位置（左上角の座標）の変化があったかどうかを判断し、変化があった場合には「ウィンドウ位置変化あり」と判定する。

図１２において、ステップＳ５０５にて「ウィンドウ位置変化あり」と判定されるケースを例示している。図１２では、「ウィンドウＡ」１２０２を左上方向に移動することにより、変更前にほぼ隠れていた「ウィンドウＢ」１１０３の表示内容が見えるようになる。

上記の通り、端末画面の表示状況が変化することにより、変更前には見えなかったウィンドウ内の表示内容が、変更後には見えるようになる場合があり、端末画面前方で画面を見ている人物によってはセキュリティ上の大きな問題となる。

上記のように端末画面の表示状況が変化するごとに、情報セキュリティ上の危険度が変化するため、端末画面変化検出処理では、端末画面の変化を捉え、証跡データを送信するかどうかの判断に使用する。

端末画面変化検出処理の結果として、ステップＳ５０６では、上記のどの条件も満たさなかった場合には「端末画面変化なし」と判定し、ステップＳ５０７では、上記いずれかの条件を満たした場合に「端末画面変化あり」と判定する。

なお、本実施形態では、端末画面に表示されているウィンドウに関する情報を基に端末画面の変化の有無を判定しているが、端末画面変化検出部３０８の説明で記述したように端末画面のキャプチャ画像を画素ごとに前後比較することにより端末画面の変化の有無を判定してもよい。また、両者併用の形態を取ってもよい。

図１３は、本実施形態のテレワーク管理支援システムにおける証跡データの一例を示すデータ構成図である。

図１３に示すように、証跡データは、証跡ＩＤ欄１３０１、端末ＩＤ欄１３０２、日時欄１３０３、端末前方状態欄１３０４、ユーザＩＤ欄１３０５、カメラ画像欄１３０６、端末画面画像欄１３０７、起動アプリケーション欄１３０８、表示ファイル欄１３０９から構成される。

証跡ＩＤ欄１３０１に設定されるデータは、証跡データを特定するため、各証跡データに一意に設定された英数字列である。

端末ＩＤ欄１３０２に設定されるデータは、どのテレワーカ用ＰＣ１１１から送信された証跡データかを特定するための、各テレワーカ用ＰＣ１１１に割り振られた英数字列である。

日時欄１３０３に設定されるデータは、いつ証跡データが取得されたかを表す、日付および時刻である。

端末前方状態欄１３０４に設定されるデータは、人物特定部３０５にて区分された端末前方状態であり、「本人のみ」、「他ユーザ写り込み」、「第三者写り込み」、「離席」のいずれかが設定される。

ユーザＩＤ欄１３０５に設定されるデータは、人物特定部３０５にて特定された、カメラ画像に写っているユーザのＩＤであり、複数のユーザが特定された場合には、該当するユーザＩＤが羅列される。

また、人物特定部３０５にてユーザが特定できなかった場合、つまり第三者の場合は、「？？？？」が設定される。

ただし、人物特定部３０５が第三者を個人として特定する場合には、「第三者Ａ」、「第三者Ｂ」等を設定すればよい。

カメラ画像欄１３０６に設定されるデータは、カメラ画像取得部３０４にて取得されたカメラ画像に対するリンク先、つまり、フォルダパス名およびファイル名を表しており、リンク先で指定される場所に実際のカメラ画像が格納されている。

端末画面画像欄１３０７に設定されるデータは、端末画面画像取得部３１１にて取得された端末画面画像に対するリンク先、つまり、フォルダパス名およびファイル名を表しており、リンク先で指定される場所に実際の端末画面画像が格納されている。

起動アプリケーション欄１３０８に設定されるデータは、端末画面情報取得部３０７にて取得された、各ウィンドウにて起動されているアプリケーションの名称であり、複数のアプリケーションが起動されている場合には、該当するアプリケーション名称が羅列される。

また、端末画面上にウィンドウが１つも表示されていない場合、つまりアプリケーションがウィンドウ上で１つも起動されていない場合は「−」が設定される。

また、起動されているアプリケーションに対し、特定された他ユーザが実行権限を有していない場合には、権限違反を意味する「★」がアプリケーション名称の後に設定される。（本例では対象なし。）

本実施形態では権限チェック部３０９が他ユーザに対してのみ権限チェックを実施しているため、端末前方状態が「他ユーザ写り込み」の場合のみにチェック結果「★」を設定しているが、第三者や本人に対しても権限チェックを実施する場合は、端末前方状態が「第三者写り込み」や「本人のみ」の場合にもチェック結果を表示し、さらに、人物ごとに印を変えてもよい。例えば、本人の場合は「☆」、第三者の場合は「◇」など。

表示ファイル欄１３０９に設定されるデータは、端末画面情報取得部３０７にて取得された、各ウィンドウにて開かれているファイルの名称であり、複数のファイルが開かれている場合には、該当するファイル名称が羅列される。

また、端末画面上にウィンドウが１つも表示されていない場合、つまりファイルがウィンドウ上で１つも開かれていない場合は「−」が設定される。

また、開かれているファイルに対し、特定された他ユーザがアクセス権限を有していない場合には、権限違反を意味する「★」がファイル名称の後に設定される。

本実施形態では権限チェック部３０９が他ユーザに対してのみ権限チェックを実施しているため、端末前方状態が「他ユーザ写り込み」の場合のみにチェック結果「★」を設定しているが、第三者や本人に対しても権限チェックを実施する場合は、端末前方状態が「第三者写り込み」や「本人のみ」の場合にもチェック結果を表示し、さらに、人物ごとに印を変えてもよい。例えば、本人の場合は「☆」、第三者の場合は「◇」など。

以下に、図１３のデータ例の場合の情報セキュリティ監視結果について説明する。

図１３のデータ例は、同一端末（端末ＩＤ＝３００１１）に対する連続した証跡データを示している。データ例の証跡データの取得日は全て２０１４年４月９日である。

証跡データ１３２１では、同日の最初の証跡データであることから、８時５０分１０秒にＰＣ起動と同時にテレワーク管理支援システムを起動したことを表している。ここでは、端末前方状態が「本人のみ」であり、情報セキュリティ上問題はない。

証跡データ１３２２では、１０時３５分２０秒に端末前方状態が「第三者写り込み」に変化しており、ユーザＩＤが本人の「０００１」と第三者を表す「？？？？」であることから、第三者による覗きこみが発生したことを表している。

その時にウィンドウにて起動していたアプリケーションは「表計算Ａ」と「文書編集Ｂ」、開いていたファイルは「開発計画０１」と「商品情報０２」であり、さらに、その時のカメラ画像および端末画面画像を確認することができる。

証跡データ取得時のカメラ画像および端末画面画像については、以下の証跡データでも同様に確認することができる。

証跡データ１３２３では、１０時３５分４５秒に端末前方状態が「本人のみ」に変化しており、第三者による覗きこみが終了したことを表している。

証跡データ１３２４では、１１時１０分１５秒に端末前方状態が「離席」に変化しており、本人が離席したことを表している。その時にウィンドウにて起動していたアプリケーションおよび開いていたファイルはなかったことを確認することができる。

証跡データ１３２５では、１１時１２分１０秒に端末前方状態が「本人のみ」に変化しており、本人が席に戻ってきたことを表している。

証跡データ１３２６では、１１時２０分３２秒に端末前方状態が「他ユーザ写り込み」に変化しており、ユーザＩＤが本人の「０００１」と他ユーザの「０００２」であることから、本人と他ユーザ「０００２」とが共に端末画面を見ていたことを表している。

その時に起動していたアプリケーションは「表計算Ａ」であり、開いていたファイルは「設計書０３」であることを確認できる

証跡データ１３２７では、１１時２２分５１秒に起動アプリケーションに「描画編集Ｃ」、表示ファイルに「提案書０４」が追加されていることから、新規でアプリケーション「描画編集Ｃ」を起動し、ファイル「提案書０４」を開いたことを表している。

また、ファイル名「提案書０４」の後に権限違反を表す「★」が設定されていることから、他ユーザ「０００２」が本ファイルに対するアクセス権限を有していないことを確認できる。

証跡データ１３２８では、１１時２５分４３秒に起動アプリケーションから「描画編集Ｃ」、表示ファイルから「提案書０４」が削除され、「★」が設定されていないことから、証跡データ１３２７での権限上の問題が解消されたことを表している。

証跡データ１３２９では、１１時３５分４５秒に端末前方状態が「本人のみ」に変化しており、証跡データ１３２８取得時以降は権限上の問題が発生せず、他ユーザが端末前方を離れたことを表している。

証跡データ１３３０では、１２時０１分１２秒端末前方状態が「離席」に変化しており、起動アプリケーションに「文書編集Ｂ」、表示ファイルに「作業報告０６」が設定されていることから、当ファイルを開いた状態で本人が離席したことを表している。

証跡データ１３３１では、１２時４５分２２秒に端末前方状態が「本人のみ」に変化しており、本人が席に戻ってきたことを表している。

また、証跡データ１３３０取得時から証跡データ１３３１取得時までの間の証跡データが存在していないことから、その間に情報セキュリティ上の問題は発生していないことを確認できる。

上記のように、証跡データにより、情報セキュリティ上の問題の発生時点、解消時点、さらに問題発生時の状況を確認することができる。問題発生時の状況とは、端末画面を見ていた人物、起動していたアプリケーション、開いていたファイル、権限違反の有無、端末前方のカメラ画像、端末画面画像、など、である。

図１４は、本実施形態のテレワーク管理支援システムにおけるユーザ情報の一例を示すデータ構成図である。本ユーザ情報は、ユーザ情報記憶部３０１にて記憶され、ステップＳ４０２の人物特定、及びステップＳ４１６の権限チェックにて使用される。

図１４に示すように、ユーザ情報は、ユーザＩＤ欄１４０１、システムユーザＩＤ欄１４０２、部門コード欄１４０３、登録顔写真欄１４０４から構成される。

ユーザＩＤ欄１４０１に設定されるデータは、本テレワーク管理支援システムを使用するユーザを特定する英数字列である。

システムユーザＩＤ欄１４０２に設定されるデータは、テレワーカ用ＰＣ１１１を使用するためのユーザを特定する英数字列であり、本実施形態ではＯＳのログインＩＤが設定される。また、アプリケーションおよびファイルに対する権限チェックの際には、基本的に本ＩＤに対して付与された権限情報を参照する。

部門コード欄１４０３に設定されるデータは、当ユーザが所属する部門を表す英数字列である。アプリケーションおよびファイルに対する権限が、個別ユーザに対してだけでなく、部門に対して設定されている場合には、本コードによる権限チェックも実施する。

登録顔写真欄１４０４に設定されるデータは、顔認識に使用される顔写真データに対するリンク先、つまり、フォルダパス名およびファイル名を表しており、リンク先で指定される場所に実際の顔写真データが格納されている。

以下、図１５を参照して、本実施形態の管理者用画面の一例について説明する。

管理者用画面１５０１は管理者用ＰＣ１２１のＣＲＴ２１１に表示され、証跡データ、証跡データに登録されたカメラ画像、端末画面画像を確認することができる。

管理者用画面１５０１は、選択条件設定部１５０２、証跡データ表示部１５０３、カメラ画像表示部１５０４、及び端末画面画像表示部１５０５より構成される。

選択条件設定部１５０２では、端末ＩＤ、日時、端末前方状態の値または値範囲が選択条件として設定される。

証跡データ表示部１５０３では、選択条件設定部１５０２にて設定された選択条件に適合する証跡データが一覧として表示される。

証跡データ表示部１５０３に表示される項目は、基本的に図１３にて示される証跡データの項目と同じであり、加えてデータ選択のためのデータ選択欄が表示される。

証跡データ表示部１５０３のデータ選択欄にて１つの証跡データを選択することにより、カメラ画像表示部１５０４、及び端末画面画像表示部１５０５に、選択された証跡データに登録されているカメラ画像、及び端末画面画像が表示される。

［第２の実施形態］

次に本発明の第２の実施形態について説明する。

なお、第１の実施形態に係る構成、及びフローチャートにおける処理については、同一のものについては、同一の符号を用いて説明し、その詳細については説明を省略するものとする。

図１６は第２の実施形態におけるテレワーク監視システム１００の情報セキュリティ監視処理フローを示している。

第２の実施形態では、図４に示した第１の実施形態の処理フローに対し、ステップＳ１６０１およびＳ１６０２が追加されている。

ステップＳ１６０１では、証跡データ送信制御部３１０によりテレワーカ用ＰＣ１１１から管理サーバ１０１に証跡データを送信すると判断された場合に、端末画面情報取得部３０７により取得された端末画面に表示されているウィンドウに関する情報に基づいて、アクティブウィンドウで開かれているファイルのＩＤを取得し、該ファイルのデータを既に証跡データとして取得したかどうかを判定する。

ここでアクティブウィンドウとは、キーボード（ＫＢ）２０９や、マウス（不図示）により操作可能なウィンドウであり、通常端末画面上で最前面に表示されている。

ただし、特殊なソフトウェアを使用することにより、最前面に表示されていないウィンドウでもスクロール操作等が可能である場合には、実際に操作されているウィンドウをアクティブウィンドウとする。

上記判定の際、以前に対象ファイルのデータを取得している場合でも、前回取得した時点から該ファイルが更新されている場合には、取得されていないと判定する。

ステップＳ１６０２では、ステップＳ１６０１にて前記ファイルのデータが証跡データとして取得されていないと判定された場合に、該ファイルのデータを取得する。

ステップＳ１６０２にて取得されたファイルのデータを含む証跡データは、ステップＳ４０７にて管理サーバ１０２に送信される。

なお、証跡データを取得するごとに管理サーバ１０１に送信するのではなく、一定期間、一定容量等の条件で証跡データをテレワーカ用ＰＣ１１１に蓄積した後で一括して管理サーバ１０１に送信してもよい。

図１７を参照して、第２の実施形態による情報セキュリティ監視処理が有効となる状況について説明する。

図１７（ケースＡ）では、アクティブウィンドウである「ウィンドウＡ」１７０１の一部が端末画面６０１の中に表示されている。斜線部分は端末画面内におさまらず表示されていない部分を示している。

この場合、端末画面画像では、画像に表示された内容、つまり「ウィンドウＡ」１７０１の一部のみを確認することができる。

しかし、アクティブウィンドウについては、他のウィンドウとの前後関係変更や、ウィンドウの位置、ウィンドウサイズなどのウィンドウの表示状況を変化させることなく、全データコピーや、印刷処理等を実施することが可能である。

一方、非アクティブウィンドウ（アクティブウィンドウ以外のウィンドウ。以下同様）については、通常の操作では上記のような処理を実施することはできない。つまり、まずアクティブウィンドウに変更する操作が必要となる。

よって、アクティブウィンドウで開かれたファイルについては、端末画面画像に表示された内容以外に。ファイル全体の内容が漏洩した可能性がある。

さらに、情報が漏洩した後で、ファイルのデータそのものを削除されてしまうと、漏洩した情報を検証することが困難となる。

そこで、アクティブウィンドウで開かれたファイルのデータを証跡データとして取得し、管理サーバに送信することにより、管理者が漏洩した可能性のある情報を確認できるようにしている。

また、ファイルのデータを証跡データ送信の度に管理サーバ１０１に送信し、データベースサーバ１０２に蓄積していくと、データベースサーバ１０２の記憶領域を圧迫する可能性があるため、対象のファイルについて既に証跡データとして取得したかどうかを判定し、取得していない場合のみ、データ取得し、送信するようにしている。

図１７（ケースＢ）では、アクティブウィンドウである「ウィンドウＡ」１７０３の表示内容は複数のシートで構成されており、シートに付いたタブ１７０４を押下することにより、表示するシートを切り替えることができる。

上記のシート切り替え操作では、ウィンドウ内部の操作であるため、他のウィンドウとの前後関係変更や、ウィンドウの位置、ウィンドウサイズなどのウィンドウの表示状況を変化させることなく、複数のシートの内容を照会することができる。

シート切り替え操作だけでなく、スクロール操作や、ウィンドウ内部での画面遷移についても、ウィンドウの表示状況を変化させることなく、表示させる範囲を変更することができる。

そのため、第三者による覗き見などが発生した場合には、ウィンドウの表示状況の変化があった時点の端末画面画像に記録された内容以外に、ファイルの内容が漏洩した可能性がある。

一方、非アクティブウィンドウでは、シート切り替え操作やスクロール操作等はできないため、端末画面画像に記録された内容を確認すればよい。

そこで、ケースＡと同様に、アクティブウィンドウで開かれたファイルのデータを証跡データとして取得し、管理サーバに送信することにより、管理者が漏洩した可能性のある情報を確認することができる。

また、アクティブウィンドウにて新規にファイルが開かれた場合には、ファイルのＩＤ、つまり、ウィンドウに関する情報が変化しているため、例えば第三者写り込みの場合にはステップＳ４１２にて「端末画面変化あり」と判定され、端末画面画像とともに、ファイルのデータを取得し（未取得の場合）、管理サーバ１０１に送信することになる。

図１８は第２の実施形態における証跡データの一例を示している。

第２の実施形態では、図１３で示した第１の実施形態における証跡データに対し、アクティブファイル欄１８０１が追加されている。

アクティブファイル欄１８０１には、管理サーバ１０１に送信されたアクティブウィンドウで開かれていたファイルのデータの保存先であり、管理者用画面１５０１ではファイルへのリンク（非図示）として表示される。

前回までに同じファイルのデータが送信された場合には、該ファイルのデータは送信されず、本項目には前回と同一の保存先が設定される。

一方、同じファイルのＩＤであっても、前回送信時からファイルが更新されている場合には別の保存先が設定される。

なお、本例では、非アクティブウィンドウにて開かれていたファイルについては、表示ファイル欄１３０９にファイルのＩＤ（ファイルパスやファイル名称）のみが設定されているが、概要、作成者、更新者、作成日時、更新日時、重要度、などの書誌的情報を証跡データとして設定してもよい。

［第３の実施形態］

次に本発明の第３の実施形態について説明する。

なお、第１の実施形態に係る構成、及びフローチャートにおける処理については、同一のものについては、同一の符号を用いて説明し、その詳細については説明を省略するものとする。

図１９は第３の実施形態におけるテレワーク監視システム１００の情報セキュリティ監視処理フローを示している。

第３の実施形態では、図４に示した第１の実施形態の処理フローに対し、ステップＳ１９１およびＳ１９０２が追加されている。

ステップＳ１９０１では、証跡データ送信制御部３１０によりテレワーカ用ＰＣ１１１から管理サーバ１０１に証跡データを送信すると判断された場合に、端末画面情報取得部３０７により取得された端末画面に表示されているウィンドウに関する情報に基づいて、アクティブウィンドウの全てが端末画面に表示されているかどうかを判定する。

図１７（ケースＡ）のようにウィンドウの一部が非表示となっていれば、表示されていないと判定される。

ステップＳ１９０１にてアクティブウィンドウの全てが端末画面に表示されていないと判定された場合、ステップＳ１９０２にて該ウィンドウにて開かれているファイルの概要、作成更新者、作成日時、更新日時、重要度、などの書誌的情報を証跡データとして取得する。

これは、アクティブウィンドウの一部が非表示となっている場合、端末画面画像だけでは漏洩した可能性のある情報を検証できないため、該ファイルに関する諸情報を取得し証跡データとする。

また、書誌的情報の他に、第２の実施形態と同様に、ファイルデータそのものを証跡データとしてもよい。

上記にて取得された証跡データは、ステップＳ４０７にて管理サーバ１０１に送信される。

なお、証跡データを取得するごとに管理サーバ１０１に送信するのではなく、一定期間、一定容量等の条件で証跡データをテレワーカ用ＰＣ１１１に蓄積した後で一括して管理サーバ１０１に送信してもよい。

以上、実施形態例を詳述したが、本発明は、例えば、方法、プログラムもしくは記憶媒体等としての実施態様をとることが可能であり、具体的には、複数の機器から構成されるシステムに適用しても良いし、また、一つの機器からなる装置に適用しても良い。

また、本発明におけるプログラムは、各処理方法をコンピュータが実行可能（読み取り可能）なプログラムであり、本発明の記憶媒体は、各処理方法をコンピュータが実行可能なプログラムが記憶されている。

なお、本発明におけるプログラムは、各装置の処理方法ごとのプログラムであってもよい。

以上のように、前述した実施形態の機能を実現するプログラムを記録した記録媒体を、システムあるいは装置に供給し、そのシステムあるいは装置のコンピュータ（またはＣＰＵやＭＰＵ）が記録媒体に格納されたプログラムを読取り実行することによっても、本発明の目的が達成されることは言うまでもない。

この場合、記録媒体から読み出されたプログラム自体が本発明の新規な機能を実現することになり、そのプログラムを記憶した記録媒体は本発明を構成することになる。

プログラムを供給するための記録媒体としては、例えば、フレキシブルディスク、ハードディスク、光ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＣＤ−Ｒ、ＤＶＤ−ＲＯＭ、磁気テープ、不揮発性のメモリカード、ＲＯＭ、ＥＥＰＲＯＭ、シリコンディスク等を用いることができる。

また、コンピュータが読み出したプログラムを実行することにより、前述した実施形態の機能が実現されるだけでなく、そのプログラムの指示に基づき、コンピュータで稼働しているＯＳ等が実際の処理の一部または全部を行い、その処理によって前述した実施形態の機能が実現される場合も含まれることは言うまでもない。

さらに、記録媒体から読み出されたプログラムが、コンピュータに挿入された機能拡張ボードやコンピュータに接続された機能拡張ユニットに備わるメモリに書き込まれた後、そのプログラムコードの指示に基づき、その機能拡張ボードや機能拡張ユニットに備わるＣＰＵ等が実際の処理の一部または全部を行い、その処理によって前述した実施形態の機能が実現される場合も含まれることは言うまでもない。

また、本発明は、複数の機器から構成されるシステムに適用しても、１つの機器からなる装置に適用してもよい。

また、本発明は、システムあるいは装置にプログラムを供給することによって達成される場合にも適応できることは言うまでもない。この場合、本発明を達成するためのプログラムを格納した記録媒体を該システムあるいは装置に読み出すことによって、そのシステムあるいは装置が、本発明の効果を享受することが可能となる。

さらに、本発明を達成するためのプログラムをネットワーク上のサーバ，データベース等から通信プログラムによりダウンロードして読み出すことによって、そのシステム、あるいは装置が、本発明の効果を享受することが可能となる。なお、上述した各実施形態およびその変形例を組み合わせた構成も全て本発明に含まれるものである。

１００ テレワーク管理支援システム
１０１ 管理サーバ
１０２ データベースサーバ
１０３ ルータ
１０４ サービス環境ネットワーク
１１０ 自宅ネットワーク
１１１ テレワーカ用ＰＣ
１１２ ルータ
１２０ 社内ネットワーク
１２１ 管理者用ＰＣ
１２２ ルータ
１３０ インターネット
２０１ ＣＰＵ
２０２ ＲＯＭ
２０３ ＲＡＭ
２０４ システムバス
２０５ 入力コントローラ
２０６ ビデオコントローラ
２０７ メモリコントローラ
２０８ 通信Ｉ／Ｆコントローラ
２０９ ＫＢ
２１０ ウェブカメラ
２１１ ＣＲＴ
２１２ 外部メモリ

Claims (7)

1. 情報処理装置での情報閲覧状況を追跡するための証跡データを記録するサーバと通信可能に接続され、表示部の前方を撮像した画像を取得可能な情報処理装置であって、
   前記取得された画像内の人物を特定する人物特定手段と、
   前記表示部の前方を撮像した画像内の前記人物特定手段により特定された人物の変化に従って、前記表示部の前方を撮像した画像内の前記情報処理装置の利用者本人および／または該利用者本人以外の人物の状況変化があるか否か判定する状況変化判定手段と、
   前記状況変化判定手段により、前記状況変化があると判定された場合の、前記表示部の前方を撮像した画像内の前記情報処理装置の利用者本人および／または該利用者本人以外の人物の状況変化を示す画像データと、前記表示部に表示されていた内容を一意に対応付けた証跡データを取得する証跡データ取得制御手段と、
   前記証跡データ取得制御手段にて取得された証跡データを、前記サーバにて登録すべく前記サーバに送信する証跡データ送信手段と、
   を備え、
   前記証跡データ取得制御手段は、前記表示部に表示されているウィンドウがアクティブウィンドウか非アクティブウィンドウかに応じて証跡データとして取得するデータの種類を決定することを特徴とする情報処理装置。
2. 前記証跡データ取得制御手段は、前記表示部に表示されているウィンドウがアクティブウィンドウの場合に、該アクティブウィンドウで開かれているファイルのデータを証跡データとして取得することを特徴とする請求項１に記載の情報処理装置。
3. 前記証跡データ取得制御手段は、前記表示部に表示されているウィンドウが非アクティブウィンドウの場合に、該非アクティブウィンドウで開かれているファイルのデータを証跡データとして取得しないことを特徴とする請求項１または２に記載の情報処理装置。
4. 前記証跡データ取得制御手段は、前記表示部に表示されているアクティブウィンドウの一部が表示されていない場合に、該ウィンドウで開かれているファイルのデータを証跡データとして取得することを特徴とする請求項１乃至３のいずれか１項に記載の情報処理装置。
5. 表示部の前方を撮像した画像を取得可能な情報処理装置と、情報処理装置での情報閲覧状況を追跡するための証跡データを記録するサーバとが通信可能に接続された情報処理システムであって、
   前記取得された画像内の人物を特定する人物特定手段と、
   前記表示部の前方を撮像した画像内の前記人物特定手段により特定された人物の変化に従って、前記表示部の前方を撮像した画像内の前記情報処理装置の利用者本人および／または該利用者本人以外の人物の状況変化があるか否か判定する状況変化判定手段と、
   前記状況変化判定手段により、前記状況変化があると判定された場合の、前記表示部の前方を撮像した画像内の前記情報処理装置の利用者本人および／または該利用者本人以外の人物の状況変化を示す画像データと、前記表示部に表示されていた内容を一意に対応付けた証跡データを取得する証跡データ取得制御手段と、
   前記証跡データ取得制御手段にて取得された証跡データを、証跡データ記憶部に登録する証跡データ登録手段と、
   を備え、
   前記証跡データ取得制御手段は、前記表示部に表示されているウィンドウがアクティブウィンドウか非アクティブウィンドウかに応じて証跡データとして取得するデータの種類を決定することを特徴とする情報処理システム。
6. 情報処理装置での情報閲覧状況を追跡するための証跡データを記録するサーバと通信可能に接続され、表示部の前方を撮像した画像を取得可能な情報処理装置の制御方法であって、
   人物特定手段が、前記取得された画像内の人物を特定する人物特定ステップと、
   状況変化判定手段が、前記表示部の前方を撮像した画像内の前記人物特定手段により特定された人物の変化に従って、前記表示部の前方を撮像した画像内の前記情報処理装置の利用者本人および／または該利用者本人以外の人物の状況変化があるか否か判定する状況変化判定ステップと、
   証跡データ取得制御手段が、前記状況変化判定手段により、前記状況変化があると判定された場合の、前記表示部の前方を撮像した画像内の前記情報処理装置の利用者本人および／または該利用者本人以外の人物の状況変化を示す画像データと、前記表示部に表示されていた内容を一意に対応付けた証跡データを取得する証跡データ取得制御ステップと、
   証跡データ送信手段が、前記証跡データ取得制御手段にて取得された証跡データを、前記サーバにて登録すべく前記サーバに送信する証跡データ送信ステップと、
   を備え、
   前記証跡データ取得制御ステップは、前記表示部に表示されているウィンドウがアクティブウィンドウか非アクティブウィンドウかに応じて証跡データとして取得するデータの種類を決定することを特徴とする情報処理装置の制御方法。
7. 情報処理装置での情報閲覧状況を追跡するための証跡データを記録するサーバと通信可能に接続され、表示部の前方を撮像した画像を取得可能な情報処理装置において読取実行可能なプログラムであって、
   前記情報処理装置を、
   前記取得された画像内の人物を特定する人物特定手段と、
   前記表示部の前方を撮像した画像内の前記人物特定手段により特定された人物の変化に従って、前記表示部の前方を撮像した画像内の前記情報処理装置の利用者本人および／または該利用者本人以外の人物の状況変化があるか否か判定する状況変化判定手段と、
   前記状況変化判定手段により、前記状況変化があると判定された場合の、前記表示部の前方を撮像した画像内の前記情報処理装置の利用者本人および／または該利用者本人以外の人物の状況変化を示す画像データと、前記表示部に表示されていた内容を一意に対応付けた証跡データを取得する証跡データ取得制御手段と、
   前記証跡データ取得制御手段にて取得された証跡データを、前記サーバにて登録すべく前記サーバに送信する証跡データ送信手段と、
   として機能させ、
   前記証跡データ取得制御手段は、前記表示部に表示されているウィンドウがアクティブウィンドウか非アクティブウィンドウかに応じて証跡データとして取得するデータの種類を決定することを特徴とするプログラム。
   

Images