JP6434390B2

JP6434390B2 - 文書秘匿化システム

Info

Publication number: JP6434390B2
Application number: JP2015213939A
Authority: JP
Inventors: 淳志佐々木
Original assignee: Hitachi Solutions Ltd
Current assignee: Hitachi Solutions Ltd
Priority date: 2015-10-30
Filing date: 2015-10-30
Publication date: 2018-12-05
Anticipated expiration: 2035-10-30
Also published as: JP2017084219A

Description

本発明は、文書を秘匿化する技術に関する。

源泉徴収票などの法定調書にデータを印刷する際、マイナンバーや機微情報などのような個人情報も印刷される。これが第三者に流出すると個人情報の流出につながる。かかる情報流出を防止する手段として、個人情報を印刷する際に秘匿化処理が施される場合がある。

下記特許文献１は、ホスト装置から印刷装置に対して送信されるデータを保護する技術について記載している。同文献においては、秘匿すべきデータを暗号化した状態でプリンタへ送信し、プリンタはホストコンピュータから送信された帳票データが暗号化されている場合は復号を実施する。

特開２００９−２５９０１４号公報

ユーザの属性や帳票の種類によっては、個人情報であっても秘匿化する必要がない場合がある。あるいは特定のユーザに対してのみその個人情報を見せたい場合がある。かかる場合において、帳票データを一律に秘匿化すると、その帳票データを印刷した際に、印刷後の帳票は一律に秘匿化処理が施されたものとなっているので、ユーザは所望する情報を閲覧することができない可能性がある。

本発明は、上記のような課題に鑑みてなされたものであり、ユーザや文書種類に応じて秘匿化すべき情報を制御した上で文書データを印刷することができる技術を提供することを目的とする。

本発明に係る文書秘匿化システムは、文書データが記述している情報を仮情報に変換した上で、ユーザＩＤまたは文書タイプの少なくともいずれかに応じて、その仮情報を印刷する際の印刷方式を制御する。

本発明に係る文書秘匿化システムによれば、ユーザ属性や文書タイプに応じて、最適な印刷方法により文書データを印刷することができる。これにより、文書データの利便性とセキュリティを両立させることができる。

文書秘匿化システム１００の構成を示すブロック図である。文書ＤＢ１４０の構成とデータ例を示す図である。文書データ２１０の例として、文書データ２１０Ａと２１０Ｂを示す。秘匿化文書データ２２０の例として、秘匿化文書データ２２０Ａと２２０Ｂを示す。仮情報ＤＢ１５０の構成とデータ例を示す図である。ユーザＤＢ１６０が格納しているユーザ認証テーブル１６１の構成とデータ例を示す図である。ユーザＤＢ１６０が格納しているアクセス権限テーブル１６２の構成とデータ例を示す図である。ユーザＤＢ１６０が格納している印刷方式テーブル１６３の構成とデータ例を示す図である。透かしＤＢ１７０の構成とデータ例を示す図である。プリントサーバ１３０が秘匿化文書データ２２０を印刷する処理を説明するフローチャートである。プリントサーバ１３０が秘匿化項目をマスクする手順（Ｓ１００６）を説明するフローチャートである。プリントサーバ１３０が秘匿化項目を元情報に置き換える手順（Ｓ１００７）を説明するフローチャートである。プリントサーバ１３０が秘匿化項目を透かし画像に置き換える手順（Ｓ１００８）を説明するフローチャートである。管理サーバ１２０が表示端末５００から情報取得リクエストを受け取ったときの動作を説明するフローチャートである。

＜システム構成について＞
図１は、本発明に係る文書秘匿化システム１００の構成を示すブロック図である。文書秘匿化システム１００は、業務サーバ２００が送信する文書データ２１０を秘匿化した上で印刷するシステムである。文書秘匿化システム１００は、秘匿化サーバ１１０、管理サーバ１２０、プリントサーバ１３０、文書データベース（ＤＢ）１４０、仮情報ＤＢ１５０、ユーザＤＢ１６０、透かしＤＢ１７０を有する。各サーバと各データベースは、適当なネットワークにより相互接続されている。

秘匿化サーバ１１０は、文書データ２１０内に記述されている項目が表す情報を秘匿化することにより秘匿化文書データ２２０を生成する。クライアント３００は、秘匿化文書データ２２０を取得し、これを印刷するよう要求する印刷リクエストを文書秘匿化システム１００に対して発行する。

プリントサーバ１３０は、クライアント３００から印刷リクエストを受け取ると、同リクエストを発行したユーザと文書データ２１０のタイプ（以下では文書ＩＤとする）に応じて秘匿化処理を施したうえで、プリンタ４００に対して印刷イメージを出力する。プリンタ４００は、その印刷イメージにしたがって、マスク文書４１０、元情報文書４２０、透かし文書４３０のいずれかを印刷する。

マスク文書４１０は、秘匿化すべき項目が例えば塗り潰しによってマスクされた文書である。元情報文書４２０は、秘匿化が解除されて秘匿化前の情報が表示されている文書である。透かし文書４３０は、秘匿化すべき項目が透かし画像によって置き換えられた文書である。マスク文書４１０のマスク部分は完全に秘匿化されているが、透かし文書４３０の透かし部分が表す情報は以下に説明する表示端末５００を介して取得できる。

表示端末（例えばスマートフォン）５００は、透かし文書４３０の透かし部分に埋め込まれた透かしＩＤをキーにして、当該部分が表している情報を取得する情報取得リクエストを文書秘匿化システム１００に対して発行する。文書秘匿化システム１００は、後述する手順にしたがってその透かしＩＤに対応する情報を特定し、表示端末５００に対して返信する。表示端末５００は、その情報を画面表示する。

管理サーバ１２０は、（ａ）プリントサーバ１３０が印刷リクエストを発行したとき、（ｂ）表示端末５００が情報取得リクエストを発行したとき、のそれぞれにおいて、後述するユーザ認証を実施する。管理サーバ１２０は、仮情報生成部１２１、権限管理部１２２、透かし管理部１２３を備える。これら機能部の動作については後述する。

図２は、文書ＤＢ１４０の構成とデータ例を示す図である。文書ＤＢ１４０は、文書データ２１０のタイプを識別する文書ＩＤを特定するために必要なパラメータを定義するとともに、文書データ２１０内に記述されている項目のうち秘匿化すべきものを指定する、データテーブルである。文書ＤＢ１４０はデータフィールドとして、文書ＩＤ１４１、キーワード１４２、キーワード検索範囲１４３、秘匿化項目１４４を有する。

秘匿化サーバ１１０は、文書データ２１０のうちキーワード検索範囲１４３が指定する範囲内を探索し、その範囲内にキーワード１４２が含まれているか否かを判定する。含まれている場合、その文書データ２１０は文書ＩＤ１４１が指定する文書タイプを有するものとみなす。含まれていない場合は、次のレコードについて同様の処理を実施する。全てのレコードについて探索を実施してもキーワード１４２が見つからない場合、その文書データ２１０は秘匿化の対象としない。キーワード１４２、キーワード検索範囲１４３、秘匿化項目１４４は、それぞれ複数指定することもできる。

秘匿化サーバ１１０は、文書ＩＤ１４１を特定した文書データ２１０について、秘匿化項目１４４が指定する項目が表す情報を抽出し、管理サーバ１２０に対して送信する。管理サーバ１２０は、その情報を秘匿化された仮情報に置き換え、秘匿化サーバ１１０に対して送信する。秘匿化サーバ１１０は、管理サーバ１２０に対して送信した情報を、受け取った仮情報によって置き換えることにより、秘匿化文書データ２２０を生成する。

図３は、文書データ２１０の例として、文書データ２１０Ａと２１０Ｂを示す。文書データ２１０Ａは、座標（ｘ，ｙ）＝（１５０，０）から開始する（幅，高さ）＝（２００，８０）の矩形範囲内にキーワード「給与所得の源泉徴収票」が存在するので、図２の１行目のレコードに基づき、文書ＩＤ＝１０００であることが特定される。同様に文書データ２１０Ｂについては、図２の２行目のレコードに基づき、文書ＩＤ＝１００１であることが特定される。

図４は、秘匿化文書データ２２０の例として、秘匿化文書データ２２０Ａと２２０Ｂを示す。これらはそれぞれ文書データ２１０Ａと２１０Ｂを秘匿化したものである。文書データ２１０Ａについては、図２の１行目のレコードに基づき、項目２１２Ａが表す情報（ここでは文字列）「１２３４５６７８９０１２」を抽出して管理サーバ１２０へ送信し、管理サーバ１２０から取得した仮情報「ＨＺ４８ｃＥＬｕ６ＭｈＭ」へ置き換えることにより、秘匿化文書データ２２０Ａを作成する。

文書データ２１０Ｂについては、図２の２行目のレコード（秘匿化項目１４４が２つ指定されている）に基づき、項目２１２Ｂと２１３Ｂが表す情報「Ｃ」「Ｃ」をそれぞれ仮情報「２Ｃ７４ｎＰＲ６ｃｂｇ４」と「ＡＳｑ４ＢｘＩｇＮｓＹｇ」へ置き換えることにより、秘匿化文書データ２２０Ｂを作成する。

文書データ２１０Ｂについては、秘匿化前の２つの項目が表す情報は同一だが（いずれも「Ｃ」）、秘匿化項目１４４が指定する項目ごとに仮情報を生成することにより、秘匿化後のこれら２項目は互いに異なる仮情報を有することになる。仮に秘匿化後のこれら情報が同一であった場合、秘匿化前のこれら２項目が同じ情報を表していたことが容易に推測されるので、秘匿化前の情報が同一であるか否かによらず項目毎に仮情報を逐次生成することが望ましい。

図５は、仮情報ＤＢ１５０の構成とデータ例を示す図である。仮情報ＤＢ１５０は、文書データ２１０内の秘匿化項目ごとに、秘匿化前の文書データ２１０が有している情報と秘匿化後の秘匿化文書データ２２０が有している仮情報との間の対応関係を記録するデータテーブルである。仮情報ＤＢ１５０はデータフィールドとして、文書ＩＤ１５１、秘匿化項目１５２、元情報１５３、仮情報１５４、生成日時１５５を有する。

秘匿化サーバ１１０は、管理サーバ１２０に対して秘匿化前の情報を送信する際に、その情報を表している文書ＩＤ１４１の値と秘匿化項目１４４が記述している秘匿化前の情報（元情報）を併せて送信する。仮情報生成部１２１は、例えば暗号論的にランダムな文字列を生成することにより仮情報を生成し、これらの対応関係と生成日時を仮情報ＤＢ１５０のレコードとして記録するとともに、生成した仮情報を秘匿化サーバ１１０へ送信する。

図６は、ユーザＤＢ１６０が格納しているユーザ認証テーブル１６１の構成とデータ例を示す図である。ユーザ認証テーブル１６１は、文書秘匿化システム１００を利用するユーザを認証するための認証情報を格納したデータテーブルである。ユーザ認証テーブル１６１はデータフィールドとして、ユーザＩＤ１６１１、認証情報１６１２を有する。これらフィールドはそれぞれ、ユーザＩＤとこれに対応する認証情報（例えばパスワード）を保持する。権限管理部１２２は、ユーザ認証テーブル１６１にしたがってユーザ認証を実施する。

図７は、ユーザＤＢ１６０が格納しているアクセス権限テーブル１６２の構成とデータ例を示す図である。アクセス権限テーブル１６２は、文書データ２１０内に記述されている秘匿化項目ごとに、アクセスすることを許可するユーザを指定する、データテーブルである。アクセス権限テーブル１６２はデータフィールドとして、文書ＩＤ１６２１、秘匿化項目１６２２、許可ユーザ１６２３、有効期限１６２４を有する。

文書ＩＤ１６２１と秘匿化項目１６２２は、それぞれ文書ＩＤ１５１と秘匿化項目１５２に対応する。許可ユーザ１６２３は、当該秘匿化項目に対してアクセスすることを許可されたユーザのユーザＩＤ１６１１を列挙する（図面上では記載を省略した）。有効期限１６２４は、当該レコードが定義するアクセス権限が有効である期限を指定する。

図８は、ユーザＤＢ１６０が格納している印刷方式テーブル１６３の構成とデータ例を示す図である。印刷方式テーブル１６３は、秘匿化文書データ２２０内の秘匿化項目を印刷する際の態様を指定する印刷方式を、ユーザＩＤと文書ＩＤの組み合わせごとに指定する、データテーブルである。印刷方式テーブル１６３はデータフィールドとして、ユーザＩＤ１６３１、文書ＩＤ１６３２、印刷方式１６３３を有する。

ユーザＩＤ１６３１と文書ＩＤ１６３２は、それぞれユーザＩＤ１６１１と文書ＩＤ１５１に対応する。印刷方式１６３３は、ユーザＩＤ１６１１によって指定されるユーザが文書ＩＤ１６３２によって指定される秘匿化文書データ２２０を印刷する際に、秘匿化項目をどのような態様で印刷するかを指定する。プリンタ４００は、印刷方式１６３３が指定する方式にしたがって、マスク文書４１０、元情報文書４２０、透かし文書４３０のいずれかを印刷する。

クライアント３００は、秘匿化サーバ１１０から秘匿化文書データ２２０を取得する。クライアント３００のユーザは、自身のユーザＩＤ１６１１／認証情報１６１２／秘匿化文書データ２２０と併せて、秘匿化文書データ２２０を印刷するよう要求する印刷リクエストを文書秘匿化システム１００に対して発行する。

プリントサーバ１３０は、クライアント３００から印刷リクエストを受け取ると、権限管理部１２２に対してユーザ認証を実施するよう依頼する。権限管理部１２２は、ユーザ認証テーブル１６１にしたがってその印刷リクエストを発行したユーザを認証する。認証成功した場合、プリントサーバ１３０は以下の動作を実施する。認証失敗した場合はその旨を応答する。

プリントサーバ１３０は、印刷リクエストに対するユーザ認証が成功した場合、図２〜図３で説明したものと同様の手順により、秘匿化文書データ２２０の文書ＩＤを特定する（あるいは印刷リクエスト発行時にクライアント３００が指定してもよい）。プリントサーバ１３０は、特定した文書ＩＤとクライアント３００から受け取ったユーザＩＤを管理サーバ１２０に対して送信する（処理簡易化のためユーザ認証時に併せて送信してもよい）。権限管理部１２２は、受け取った文書ＩＤとユーザＩＤに対応する印刷方式１６３３を特定し、その印刷方式１６３３を用いて秘匿化文書データ２２０を印刷するよう、プリントサーバ１３０に対して指示する。

印刷方式１６３３が「マスク」である場合、プリントサーバ１３０は秘匿化項目を塗り潰すなどによりマスクした上で印刷する。塗り潰すべき個所は、仮情報ＤＢ１５０が格納している当該文書ＩＤに対応するレコードから取得できる。

印刷方式１６３３が「元情報」である場合、権限管理部１２２は、仮情報ＤＢ１５０が格納している当該文書ＩＤに対応するレコードに基づき秘匿化前の元情報１５３を取得してこれをプリントサーバ１３０へ送信する。プリントサーバ１３０は、秘匿化項目をその元情報１５３に置き換えた上で秘匿化文書データ２２０を印刷する。

印刷方式１６３３が「透かし」である場合、透かし管理部１２３は、当該文書ＩＤの秘匿化項目に対応する透かしＩＤを生成し、後述する透かしＤＢ１７０に格納するとともにその透かしＩＤをプリントサーバ１３０へ送信する。プリントサーバ１３０は、その透かしＩＤを埋め込んだ透かし画像によって秘匿化項目を置き換えた上で秘匿化文書データ２２０を印刷する。あるいは透かしＩＤと仮情報との間の対応関係を、あらかじめ後述する透かしＤＢ１７０に格納しておき、その対応関係にしたがって透かしＩＤを特定することもできる。いずれの場合であっても、透かしＩＤと仮情報との間の対応関係は透かしＤＢ１７０にしたがって特定することができる。

図９は、透かしＤＢ１７０の構成とデータ例を示す図である。透かしＤＢ１７０は、透かし管理部１２３が透かしＩＤを生成する際に、その透かしＩＤと仮情報との間の対応関係を記録するためのデータテーブルである。透かしＤＢ１７０はデータフィールドとして、透かしＩＤ１７１、仮情報１７２を有する。

透かしＩＤ１７１は、透かし管理部１２３が生成した透かしＩＤである。仮情報１７２は、透かしＩＤ１７１に対応する仮情報である。透かし管理部１２３は、仮情報ＤＢ１５０が格納している当該文書ＩＤに対応するレコードから透かし画像に置き換えるべき秘匿化項目１５２および当該秘匿化項目１５２に対応する仮情報１５４を取得し、生成した透かしＩＤと対応付けて透かしＤＢ１７０のレコードとして格納する。

透かし画像によって置き換えられた秘匿化項目は、表示端末５００を介して閲覧することができる。表示端末５００のユーザは、透かし文書４３０の透かし画像部分を表示端末５００が備えるカメラによって撮影する。表示端末５００は、公知の透かし技術によりその透かし画像内に埋め込まれた透かしＩＤを抽出し、表示端末５００を使用するユーザのユーザＩＤ／認証情報と併せて、透かしＩＤに対応する元情報を取得するよう要求する情報取得リクエストを文書秘匿化システム１００に対して発行する。

権限管理部１２２は、受け取った情報取得リクエストに対してユーザ認証を実施する。透かし管理部１２３は、情報取得リクエストに対するユーザ認証が成功した場合、透かしＩＤに対応する仮情報を透かしＤＢ１７０から取得し、さらにその仮情報に対応する元情報１５３を仮情報ＤＢ１５０から取得する。透かし管理部１２３は取得した元情報１５３を表示端末５００に対して送信し、表示端末５００はその元情報１５３を表示する。

以上の説明において、権限管理部１２２は印刷リクエストと情報取得リクエストに対してユーザ認証を実施することを説明したが、ユーザ認証に加えて、各秘匿化項目に対してユーザがアクセスを許可されているか否かをアクセス権限テーブル１６２にしたがって判定し、許可されている場合に限り印刷や情報取得を認めることもできる。具体的な処理手順については後述する。

＜システム動作について＞
図１０は、プリントサーバ１３０が秘匿化文書データ２２０を印刷する処理を説明するフローチャートである。以下図１０の各ステップについて説明する。

（図１０：ステップＳ１００１）
プリントサーバ１３０は、クライアント３００から印刷リクエストを受け取ると本フローチャートを開始する。プリントサーバ１３０は印刷リクエストと併せて、クライアント３００から秘匿化文書データ２２０／ユーザＩＤ／認証情報を受け取る。

（図１０：ステップＳ１００２）
プリントサーバ１３０は、受け取ったユーザＩＤと認証情報を用いて、ユーザ認証を実施するよう管理サーバ１２０へ依頼する。権限管理部１２２はそのユーザＩＤと認証情報をユーザ認証テーブル１６１と照合することによりユーザ認証を実施し、その結果をプリントサーバ１３０へ返信する。認証成功した場合はステップＳ１００３へ進む。失敗した場合、プリントサーバ１３０はその旨をクライアント３００へ返信した上で本フローチャートを終了する。

（図１０：ステップＳ１００３〜Ｓ１００４）
プリントサーバ１３０は、先に説明した手順により秘匿化文書データ２２０の文書ＩＤを取得する（Ｓ１００３）。プリントサーバ１３０は、権限管理部１２２を介して、取得した文書ＩＤとユーザＩＤをキーにして印刷方式テーブル１６３を参照することにより、印刷方式を特定する（Ｓ１００４）。

（図１０：ステップＳ１００５〜Ｓ１００９）
プリントサーバ１３０は、取得した印刷方式に応じて、先に説明した手順により秘匿化項目を置き換える（Ｓ１００５〜Ｓ１００８）。プリントサーバ１３０は、秘匿化項目を置き換えた印刷イメージをプリンタ４００に対して送信する（Ｓ１００９）。

図１１は、プリントサーバ１３０が秘匿化項目をマスクする手順（Ｓ１００６）を説明するフローチャートである。プリントサーバ１３０は、仮情報ＤＢ１５０にしたがって、文書ＩＤに対応する秘匿化項目を取得する（Ｓ１１０１）。プリントサーバ１３０は、その秘匿化項目を例えば黒塗り／空白／マスク画像などによって置き換えて見えないようにする（Ｓ１１０２）。

図１２は、プリントサーバ１３０が秘匿化項目を元情報に置き換える手順（Ｓ１００７）を説明するフローチャートである。プリントサーバ１３０は秘匿化文書データ２２０の文書ＩＤを取得し、権限管理部１２２を介してその文書ＩＤとユーザＩＤをキーにしてアクセス権限テーブル１６２を照会することにより、当該ユーザが各秘匿化項目に対するアクセス権限を有するか否かを判定する（Ｓ１２０１）。アクセス権限を有する場合は仮情報ＤＢ１５０から各秘匿化項目に対応する元情報１５３を取得してこれに置き換え（Ｓ１２０２）、有さない場合はエラーメッセージを返信する（Ｓ１２０３）。秘匿化項目ごとに異なるアクセス権限がセットされている場合は、個別に判定／エラー通知を実施することができる。後述する透かし画像生成においても同様である。

図１３は、プリントサーバ１３０が秘匿化項目を透かし画像に置き換える手順（Ｓ１００８）を説明するフローチャートである。以下図１３の各ステップについて説明する。

（図１３：ステップＳ１３０１〜Ｓ１３０２）
プリントサーバ１３０は、秘匿化文書データ２２０の文書ＩＤを取得し、権限管理部１２２を介してその文書ＩＤとユーザＩＤをキーにしてアクセス権限テーブル１６２を照会することにより、当該ユーザが各秘匿化項目に対するアクセス権限を有するか否かを判定する。アクセス権限を有する場合はステップＳ１３０３へ進み、有さない場合はエラーメッセージを返信する（Ｓ１３０２）。

（図１３：ステップＳ１３０３〜Ｓ１３０５）
プリントサーバ１３０は、透かし管理部１２３を介して、秘匿化項目に対応する透かしＩＤを取得する（Ｓ１３０３）。プリントサーバ１３０は、取得した透かしＩＤを埋め込んだ透かし画像を生成する（Ｓ１３０４）。プリントサーバ１３０は、生成した透かし画像によって秘匿化項目を置き換える（Ｓ１３０５）。

図１４は、管理サーバ１２０が表示端末５００から情報取得リクエストを受け取ったときの動作を説明するフローチャートである。以下図１４の各ステップについて説明する。

（図１４：ステップＳ１４０１〜Ｓ１４０２）
権限管理部１２２は、情報取得リクエストと併せて受け取ったユーザＩＤと認証情報を用いてユーザ認証テーブル１６１を照会することにより、ユーザ認証を実施する。ユーザ認証に成功した場合はステップＳ１４０３へ進み、失敗した場合はエラーメッセージを返信する（Ｓ１４０２）。

（図１４：ステップＳ１４０３）
透かし管理部１２３は、情報取得リクエストと併せて受け取った透かしＩＤをキーにして透かしＤＢ１７０を参照することにより、対応する仮情報１７２を取得する。対応する仮情報１７２を取得できた場合はステップＳ１４０４へ進み、取得できなかった場合はステップＳ１４０２へ進んでエラーメッセージを返信する。

（図１４：ステップＳ１４０４）
権限管理部１２２は、透かしＩＤに基づき取得した仮情報をキーにして仮情報ＤＢ１５０とアクセス権限テーブル１６２を照会することにより、当該ユーザが各秘匿化項目に対するアクセス権限を有するか否かを判定する。アクセス権限を有する場合はステップＳ１４０５へ進み、有していない場合はステップＳ１４０２へ進んでエラーメッセージを返信する。

（図１４：ステップＳ１４０５）
透かし管理部１２３は、透かしＩＤに基づき取得した仮情報に対応する元情報１５３を仮情報ＤＢ１５０から取得し、これを表示端末５００に対して返信する。

＜本発明の変形例について＞
本発明は上記した実施形態の形態に限定されるものではなく、様々な変形例が含まれる。上記実施形態は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。

上記実施形態において、ユーザＩＤ１６３１と文書ＩＤ１６３２の組み合わせに対応する印刷方式１６３３を特定することを説明したが、これらのうちいずれか一方のみを用いて印刷方式１６３３を指定するようにしてもよい。

上記実施形態において、文書データ２１０内の秘匿化項目を指定する書式として、文書データ２１０を画面表示した際の座標範囲を用いることを説明したが、秘匿化項目を特定できるのであればその他書式を用いてもよい。例えば自然言語解析などの技術を用いて文書データ２１０内の秘匿化項目を特定するとともに、その特定した秘匿化項目に対して固有ＩＤを割り当てることが考えられる。キーワード検索範囲１４３も同様である。いずれの場合であっても、秘匿化項目を特定するために用いる情報は、その秘匿化項目を識別する項目ＩＤとみなすことができる。

上記実施形態において、帳票形式で定型化されている文書データ２１０の例を説明したが、定型化されている文書データであればその他形式の文書データであっても同様に本発明を適用することができる。文書データ２１０内の秘匿化項目を特定できるのであれば、秘匿化項目は必ずしも文字列に限るものではなく、例えば画像であってもよい。文書データ２１０本体も同様に、例えば帳票などの定型化された文書をスキャンして取り込んだ画像によって構成されているものであってもよい。

上記実施形態において、秘匿化項目に対するアクセス権限の有効条件として有効期限１６２４を例示したが、その他適当な有効条件を用いてもよい。例えば文書ＩＤ単位で有効期限をセットすることが考えられる。

上記実施形態において、キーワード検索範囲１４３とキーワード１４２を用いて文書ＩＤを特定することを説明したが、例えば業務サーバ２００やクライアント３００が文書ＩＤを指定することもできる。その他適当な手法により文書ＩＤを特定してもよい。

上記実施形態において、透かしＩＤ１７１ごとに有効期限１６２４と同様の有効条件を設けることもできる。さらには透かしＩＤ１７１ごとにアクセスを許可するユーザＩＤを指定することもできる。

上記実施形態において、秘匿化サーバ１１０、管理サーバ１２０、プリントサーバ１３０を個別のサーバコンピュータとして構成したが、これらを同一のサーバ上構成することもできる。さらに各サーバまたは各サーバの機能を実装した機能部は、回路デバイスなどのハードウェアを用いて実現することもできるし、これらの機能を実装したソフトウェアをＣＰＵ（ＣｅｎｔｒａｌＰｒｏｃｅｓｓｉｎｇＵｎｉｔ）などの演算装置が実行することにより実現することもできる。

１００：文書秘匿化システム、１１０：秘匿化サーバ、１２０：管理サーバ、１２１：仮情報生成部、１２２：権限管理部、１２３：透かし管理部、１３０：プリントサーバ、１４０：文書ＤＢ、１５０：仮情報ＤＢ、１６０：ユーザＤＢ、１７０：透かしＤＢ、２００：業務サーバ、３００：クライアント、４００：プリンタ、５００：表示端末。

Claims

定型化された情報を記述する文書データを秘匿化する文書秘匿化システムであって、
前記文書データが記述している情報を秘匿化された仮情報に置き換えることにより秘匿化文書データを生成する秘匿化部、
前記秘匿化文書データを印刷する印刷部、
前記秘匿化文書データを印刷するよう前記印刷部に対して要求する印刷リクエストを発行するユーザを認証する権限管理部、
前記ユーザを識別するユーザＩＤと前記文書データを識別する文書ＩＤの少なくともいずれか、および前記仮情報を印刷する際の態様を指定する印刷方式の間の対応関係を記述した印刷方式データを格納する記憶装置、
を備え、
前記印刷部は、前記権限管理部が前記ユーザを認証する際に用いた前記ユーザＩＤと前記秘匿化文書データに対応する前記文書ＩＤの少なくともいずれかを用いて、前記秘匿化文書データを印刷する際に用いるべき前記印刷方式を特定し、
前記印刷部は、前記特定した印刷方式にしたがって前記秘匿化文書データを印刷し、
前記印刷方式データは、前記印刷方式として、透かしＩＤを埋め込んだ透かし画像に前記仮情報を置き換えた上で前記秘匿化文書データを印刷する旨を指定しており、
前記記憶装置はさらに、前記仮情報と前記透かしＩＤとの間の対応関係を記述する透かしＩＤデータを格納し、
前記文書秘匿化システムはさらに、前記透かしＩＤデータの記述にしたがって前記仮情報に対応する前記透かしＩＤを特定する透かし管理部を備え、
前記印刷部は、前記特定した透かしＩＤを埋め込んだ透かし画像に前記仮情報を置き換えた上で前記秘匿化文書データを印刷し、
前記記憶装置はさらに、前記情報と前記仮情報との間の対応関係を記述する仮情報データを格納し、
前記権限管理部は、前記透かしＩＤに対応する前記情報を取得するよう要求する情報取得リクエストを受け取ると、前記情報取得リクエストを発行したユーザに対する認証を実施し、
前記透かし管理部は、前記情報取得リクエストを発行したユーザに対する認証が成功した場合は、前記透かしＩＤデータの記述にしたがって前記透かしＩＤデータに対応する前記仮情報を取得するとともに、前記仮情報データの記述にしたがって前記取得した仮情報に対応する前記情報を取得し、その取得した情報を前記情報取得リクエストに対する返信として出力し、
前記記憶装置はさらに、前記文書ＩＤ、前記文書データが記述している項目を識別する項目ＩＤ、および前記項目に対してアクセスすることを許可されている前記ユーザの前記ユーザＩＤの間の対応関係を記述するアクセス権データを格納し、
前記仮情報データはさらに、前記情報、前記仮情報、前記文書ＩＤ、および前記項目ＩＤの間の対応関係を記述し、
前記権限管理部は、前記情報取得リクエストを受け取ると、前記仮情報データの記述と前記アクセス権データの記述にしたがって、前記情報取得リクエストを発行したユーザが前記透かしＩＤに対応する前記仮情報に対してアクセスすることを許可されているか否かを判定し、
前記透かし管理部は、前記情報取得リクエストを発行したユーザが前記透かしＩＤに対応する前記仮情報に対してアクセスすることを許可されている場合のみ、前記情報を前記情報取得リクエストに対する返信として出力する
ことを特徴とする文書秘匿化システム。
定型化された情報を記述する文書データを秘匿化する文書秘匿化システムであって、
前記文書データが記述している情報を秘匿化された仮情報に置き換えることにより秘匿化文書データを生成する秘匿化部、
前記秘匿化文書データを印刷する印刷部、
前記秘匿化文書データを印刷するよう前記印刷部に対して要求する印刷リクエストを発行するユーザを認証する権限管理部、
前記ユーザを識別するユーザＩＤと前記文書データを識別する文書ＩＤの少なくともいずれか、および前記仮情報を印刷する際の態様を指定する印刷方式の間の対応関係を記述した印刷方式データを格納する記憶装置、
を備え、
前記印刷部は、前記権限管理部が前記ユーザを認証する際に用いた前記ユーザＩＤと前記秘匿化文書データに対応する前記文書ＩＤの少なくともいずれかを用いて、前記秘匿化文書データを印刷する際に用いるべき前記印刷方式を特定し、
前記印刷部は、前記特定した印刷方式にしたがって前記秘匿化文書データを印刷し、
前記記憶装置はさらに、前記情報と前記仮情報との間の対応関係を記述する仮情報データを格納し、
前記記憶装置はさらに、前記文書ＩＤ、前記文書データが記述している項目を識別する項目ＩＤ、および前記項目に対してアクセスすることを許可されている前記ユーザの前記ユーザＩＤの間の対応関係を記述するアクセス権データを格納し、
前記権限管理部は、前記印刷リクエストを受け取ると、前記仮情報データの記述と前記アクセス権データの記述にしたがって、前記印刷リクエストを発行したユーザが前記仮情報に対してアクセスすることを許可されているか否かを判定し、
前記印刷部は、前記印刷リクエストを発行したユーザが前記仮情報に対してアクセスすることを許可されている場合のみ、前記秘匿化文書データを印刷する
ことを特徴とする文書秘匿化システム。
定型化された情報を記述する文書データを秘匿化する文書秘匿化システムであって、
前記文書データが記述している情報を秘匿化された仮情報に置き換えることにより秘匿化文書データを生成する秘匿化部、
前記秘匿化文書データを印刷する印刷部、
前記秘匿化文書データを印刷するよう前記印刷部に対して要求する印刷リクエストを発行するユーザを認証する権限管理部、
前記ユーザを識別するユーザＩＤと前記文書データを識別する文書ＩＤの少なくともいずれか、および前記仮情報を印刷する際の態様を指定する印刷方式の間の対応関係を記述した印刷方式データを格納する記憶装置、
を備え、
前記印刷部は、前記権限管理部が前記ユーザを認証する際に用いた前記ユーザＩＤと前記秘匿化文書データに対応する前記文書ＩＤの少なくともいずれかを用いて、前記秘匿化文書データを印刷する際に用いるべき前記印刷方式を特定し、
前記印刷部は、前記特定した印刷方式にしたがって前記秘匿化文書データを印刷し、
前記記憶装置はさらに、前記情報と前記仮情報との間の対応関係を記述する仮情報データを格納し、
前記記憶装置はさらに、前記文書ＩＤ、前記文書データが記述している項目を識別する項目ＩＤ、および前記項目に対してアクセスすることを許可されている前記ユーザの前記ユーザＩＤの間の対応関係を記述するアクセス権データを格納し、
前記印刷方式データは、前記印刷方式として、前記仮情報を前記情報に置き換えた上で前記秘匿化文書データを印刷する旨を指定しており、
前記権限管理部は、前記印刷リクエストを受け取ると、前記仮情報データの記述と前記アクセス権データの記述にしたがって、前記印刷リクエストを発行したユーザが前記仮情報に対してアクセスすることを許可されているか否かを判定し、
前記印刷部は、前記印刷リクエストを発行したユーザが前記仮情報に対してアクセスすることを許可されている場合のみ、前記印刷方式データの記述にしたがって、前記仮情報を前記情報に置き換えた上で前記秘匿化文書データを印刷する
ことを特徴とする文書秘匿化システム。
定型化された情報を記述する文書データを秘匿化する文書秘匿化システムであって、
前記文書データが記述している情報を秘匿化された仮情報に置き換えることにより秘匿化文書データを生成する秘匿化部、
前記秘匿化文書データを印刷する印刷部、
前記秘匿化文書データを印刷するよう前記印刷部に対して要求する印刷リクエストを発行するユーザを認証する権限管理部、
前記ユーザを識別するユーザＩＤと前記文書データを識別する文書ＩＤの少なくともいずれか、および前記仮情報を印刷する際の態様を指定する印刷方式の間の対応関係を記述した印刷方式データを格納する記憶装置、
を備え、
前記印刷部は、前記権限管理部が前記ユーザを認証する際に用いた前記ユーザＩＤと前記秘匿化文書データに対応する前記文書ＩＤの少なくともいずれかを用いて、前記秘匿化文書データを印刷する際に用いるべき前記印刷方式を特定し、
前記印刷部は、前記特定した印刷方式にしたがって前記秘匿化文書データを印刷し、
前記記憶装置はさらに、前記文書ＩＤ、前記文書ＩＤに対応するキーワード、および前記文書データのうち前記キーワードを探索すべき範囲を指定するキーワード指定データを格納し、
前記記憶装置はさらに、前記情報、前記仮情報、および前記文書ＩＤの間の対応関係を記述した仮情報データを格納し、
前記秘匿化部は、前記キーワード指定データの記述にしたがって、前記文書データのうち前記キーワードを記述している箇所を探索するとともに、探索により得られた前記キーワードに対応する前記文書ＩＤを特定し、
前記秘匿化部は、前記仮情報データの記述にしたがって、前記特定した文書ＩＤと前記情報に対応する前記仮情報を特定し、前記特定した仮情報に前記情報を置き換える
ことを特徴とする文書秘匿化システム。
前記印刷方式データは、前記印刷方式として、前記仮情報をマスクした上で前記秘匿化文書データを印刷する旨を指定しており、
前記印刷部は、前記印刷方式データの記述にしたがって、前記仮情報をマスクした上で前記秘匿化文書データを印刷する
ことを特徴とする請求項１から４のいずれか１項記載の文書秘匿化システム。
前記透かしＩＤデータはさらに、前記仮情報に対してアクセスすることを許可されている前記ユーザの前記ユーザＩＤを記述しており、
前記権限管理部は、前記情報取得リクエストを受け取ると、前記透かしＩＤデータの記述にしたがって、前記情報取得リクエストを発行したユーザが前記仮情報に対してアクセスすることを許可されているか否かを判定し、
前記透かし管理部は、前記情報取得リクエストを発行したユーザが前記仮情報に対してアクセスすることを許可されている場合は、前記透かしＩＤデータに対応する前記情報を前記情報取得リクエストに対する返信として出力する
ことを特徴とする請求項１記載の文書秘匿化システム。
前記記憶装置はさらに、前記文書データのうち前記仮情報に置き換えるべき範囲を指定する範囲指定データを格納し、
前記秘匿化部は、前記範囲指定データが指定する範囲内の前記情報を前記仮情報に置き換える
ことを特徴とする請求項１記載の文書秘匿化システム。