(57)【要約】【課題】  履歴情報に含まれる機密情報のマスク状況と、履歴情報を参照するユーザーの情報に基づいて、履歴情報に含まれる機密情報を適切に制限することを目的とする。【解決手段】  履歴情報取得要求に対し、取得対象の履歴情報に含まれるユーザー情報がマスクされているかどうかを判定する手段と、ユーザー情報がマスクされていなかった場合、前記履歴情報を保有する組織と、要求元ユーザーが属する組織とが異なる場合に前記履歴情報に含まれるユーザー情報をマスクして返却手段と、を有する。【選択図】  図１４
2020135576.tif 000002
【特許請求の範囲】
【請求項１】
少なくとも設定処理が記述された設定データを管理するサーバーと、前記サーバーとネットワークで接続され設定データに従って自動で設定処理を行う画像処理装置とで構成される自動設定システムにあって、
前記サーバーは、設定データを操作した際に履歴情報として時刻やユーザー情報を記録する機能を有し、
前記履歴情報記録機能は、設定データを保有する組織以外のユーザーが前記設定データを操作した場合に履歴情報の一部をマスクして記録する機能を有し、
前記設定データに対する履歴情報取得要求に対し、前記履歴情報に含まれるユーザー情報がマスクされているかどうかを判断する履歴情報マスク判定手段（Ｓ１４０４）と、前記履歴情報マスク判定手段によって、履歴情報に含まれるユーザー情報がマスクされていないと判断した場合に、前記履歴情報を保有する組織と履歴取得要求元ユーザーが属する組織とが異なる場合に履歴情報の一部をマスクする機密情報制御手段（Ｓ１４０７）と、
を有することを特徴とする自動設定システム。
【請求項２】
前記サーバーはさらに、
前記設定データを保有する組織以外のユーザーが前記設定データを操作した場合に履歴情報の一部をマスクして記録するとともに、前記設定データを保有する組織以外のユーザーの組織のデータとして、マスク処理に関する履歴情報を記録する機密情報制御履歴記録手段（Ｓ１７０１）と、
前記設定データに対する履歴情報取得要求に対して応答する際に、前記機密情報制御履歴を参照することで、前記履歴情報に含まれるマスクされた履歴情報を復元する機密情報復元手段（Ｓ１７０２）と、
を有することを特徴とする請求項１に記載の自動設定システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理装置、管理サーバー、情報処理方法及びプログラムに関する。
【背景技術】
【０００２】
情報処理装置（例えばデジタル複合機）を導入するにあたっては、導入先の顧客の要望に応じた適切な設定作業が必要である。設定作業には、例えばファームウェアのアップデートや各種設定値の変更、アプリケーションのインストールなどがあるが、作業項目数が多いと時間がかかるうえに人為的なミスが発生しやすい。また、大規模な導入などでは、同じ設定作業を複数の情報処理装置に対して実施することもあり、効率がよくない。そこで、あらかじめ設定作業内容を定義した設定データを作成しておき、設定作業時には設定データに基づき自動的に設定値の変更やアプリケーションのインストールを行うことで設定作業の効率化を図る自動設定システムがある。
【０００３】
自動設定システムの主な利用方法として、顧客の要望を聞き取る営業担当者がオフィスで設定データを作成し、設定担当者が設定データを使用して設定作業を行うことが考えられる。
【０００４】
自動設定システムでは、設定データの作成を行ったあと、その設定データを使用した設定作業を異なる組織に委託することがある。また、設定を委託された組織は、設定データに不備があった場合や、設定作業の進捗管理のため、委託された設定データを編集することがある。そのため自動設定システムは、一つの設定データを複数の組織で共有するための機能を有する。
【０００５】
また自動設定システムは、設定作業の証跡として、設定データの編集や設定作業を実行した履歴を記録する機能を有する。このとき、前述の設定データを共有している場合には、不用意に機密情報や個人情報が他の組織に開示されないよう、履歴情報を記録する際に外部の組織のユーザー情報などをマスクする機能を有する。
【０００６】
個人情報保護の観点では、履歴情報を参照する場合に他のユーザーの履歴情報をマスクして表示することが考えられる（特許文献１）。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２００７−８７００２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００８】
しかしながら、上記の特許文献１に開示された従来技術では、履歴情報記録時の機密情報のマスクを考慮していないため、履歴情報の記録内容に応じた柔軟な機密情報の制御ができない。
【０００９】
そこで、本発明は、履歴情報に含まれる機密情報のマスク状況と、履歴情報を参照するユーザーの情報に基づいて、履歴情報に含まれる機密情報を適切に制限することができる自動設定システムの提供することを目的とする。
【課題を解決するための手段】
【００１０】
上記の目的を達成するために、本発明に係る自動設定システムは、
少なくとも設定処理が記述された設定データを管理するサーバーと、前記サーバーとネットワークで接続され設定データに従って自動で設定処理を行う画像処理装置とで構成される自動設定システムにあって、
前記サーバーは、設定データを操作した際に履歴情報として時刻やユーザー情報を記録する機能を有し、
前記履歴情報記録機能は、設定データを保有する組織以外のユーザーが前記設定データを操作した場合に履歴情報の一部をマスクして記録する機能を有し、
前記設定データに対する履歴情報取得要求に対し、前記履歴情報に含まれるユーザー情報がマスクされているかどうかを判断する履歴情報マスク判定手段（Ｓ１４０４）と、前記履歴情報マスク判定手段によって、履歴情報に含まれるユーザー情報がマスクされていないと判断した場合に、前記履歴情報を保有する組織と履歴取得要求元ユーザーが属する組織とが異なる場合に履歴情報の一部をマスクする機密情報制御手段（Ｓ１４０７）と、
を有することを特徴とする。
【発明の効果】
【００１１】
本発明に係る自動設定システムによれば、履歴情報記録時に条件に応じて機密情報をマスクするシステムにおいて履歴情報を取得する際に、履歴情報のマスク状況および履歴情報にアクセスするユーザー情報に基づいて、履歴情報に含まれる機密情報を適切に制限することができる。
【図面の簡単な説明】
【００１２】
【図１】自動設定システムのシステム構成の一例を示す図である。
【図２】管理サーバーのハードウェア構成の一例を示す図である。
【図３】デバイスのハードウェア構成の一例を示す説明図である。
【図４】管理サーバー、ＰＣ及びデバイスのソフトウェア構成の一例を示す図である。
【図５】設定データの一例を示す図である。
【図６】スクリプトの一例を示す説明図である。
【図７】設定データを管理するための画面の一例を示す図である。
【図８】設定データを編集するための画面の一例を示す図である。
【図９】エイリアス情報の一例を示す図である。
【図１０】履歴情報の一例を示す図である。
【図１１】管理サーバーの設定データ操作処理の一例を示すフローチャートである。
【図１２】履歴情報の一覧を確認する画面の一例を示す図である。
【図１３】設定データ管理画面および履歴情報表示画面の一例を示す図である。
【図１４】管理サーバーの履歴情報取得処理の一例を示すフローチャートである。
【図１５】管理サーバーの設定データ操作処理の一例を示すフローチャートである。
【図１６】機密情報制御履歴の一例を示す図である。
【図１７】管理サーバーの履歴情報取得処理の一例を示すフローチャートである。
【図１８】設定データ管理画面および履歴情報表示画面の一例を示す図である。
【発明を実施するための形態】
【００１３】
以下、本発明を実施するための形態について、図面を参照しながら説明する。
【００１４】
［第１の実施形態］
図１は、自動設定システムのシステム構成の一例を示す図である。
【００１５】
通信回線１００は、ＰＣ１０２が接続されているＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）である。管理サーバー１０１は、デバイス１０４の自動設定処理を行うための設定データを管理するインターネット１０６上のサーバーである。ＰＣ１０２は、管理サーバー１０１に接続して設定データの作成や編集を行う。通信回線１０３は、通信回線１００と同様のＬＡＮであり、デバイス１０４及びＰＣ１０５が接続されている。デバイス１０４は、管理サーバー１０１に接続して設定データを取得し、設定作業を自動実行するデジタル複合機に代表される情報処理装置である。ＰＣ１０５はＰＣ１０２と同様に、管理サーバー１０１に接続して設定データの操作を行う。通信回線１００、１０３、及び管理サーバー１０１は、インターネット１０６を介して通信可能に接続されている。
【００１６】
なお、通信回線１００、１０３とインターネット１０６との間には、一般的にはプロキシサーバーやファイアーウォールが構成されるが、図１では省略している。
【００１７】
通信回線１００と通信回線１０３とを分けずに、ＰＣ１０２とデバイス１０４、ＰＣ１０５とが同一のＬＡＮに接続されていてもよい。
【００１８】
図２は、管理サーバー１０１のハードウェア構成の一例を示す図である。
【００１９】
管理サーバー１０１においてハードディスク（ＨＤＤ）２１２には、自動設定ソフトウェアのプログラムが格納される。
【００２０】
ＣＰＵ２０１は、管理サーバー１０１の全体の制御を司る。ＣＰＵ２０１が、ＨＤＤ２１２に記録されたデバイス管理プログラムをＲＡＭ２０３等に読み出して実行することにより、図４に示す管理サーバー１０１のソフトウェア構成の処理が実現される。
【００２１】
ＲＯＭ２０２には、ＢＩＯＳのプログラムやブートプログラムが格納されている。
【００２２】
ＲＡＭ２０３は、ＣＰＵ２０１の主メモリー、ワークエリア等として機能する。
【００２３】
キーボードコントローラ（ＫＢＣ）２０５は、キーボード（ＫＢ）２０９やポインティングデバイス（ＰＤ）２１０等からの指示入力を制御する。
【００２４】
ディスプレイコントローラ（ＤＳＰＣ）２０６は、ディスプレイ（ＤＳＰ）２１１の表示を制御する。
【００２５】
ディスクコントローラ（ＤＫＣ）２０７は、ハードディスク（ＨＤＤ）２１２やＣＤＲＯＭ（ＣＤ）２１３等の記憶装置へのアクセスを制御する。ＨＤＤ２１２及びＣＤ−ＲＯＭ（ＣＤ）２１３等には、ブートプログラム、オペレーティングシステムのプログラム、データベース、自動設定プログラム及びデータ等が記憶されている。
【００２６】
インタフェースコントローラ（ＩＦＣ）２０８は、インターネット１０６を介してＰＣ１０２、１０５やデバイス１０４とのデータ通信を行う。
【００２７】
これらの各構成要素は、システムバス２０４上に配置される。
【００２８】
本実施形態に係る自動設定プログラムは、ＣＤ−ＲＯＭ等の記憶媒体に格納された形で供給されてもよい。その場合には図２に示すＣＤ２１３等によって記憶媒体からプログラムが読み取られ、ＨＤＤ２１２にインストールされる。
【００２９】
また、ＰＣ１０２、ＰＣ１０５のハードウェア構成も図２に示す通りである。各装置のＣＰＵが各装置のＨＤＤ等に記憶されたプログラムに基づき処理を実行することによって各装置の機能等が実現される。
【００３０】
図３は、デバイス１０４のハードウェア構成の一例を示す説明図である。
【００３１】
図３においてデバイス１０４は、情報処理装置の一例としての、印刷機能やスキャン機能、ネットワーク通信機能等を備える画像形成装置である。
【００３２】
ＣＰＵ４０１は、画像形成装置全体の制御を司る。
【００３３】
ＲＯＭ４０２は、ＣＰＵ４０１が実行する印刷処理プログラムやフォントデータを格納する。
【００３４】
ＲＡＭ４０３は、ＣＰＵ４０１のワークエリア、受信バッファ、画像描画に使用される。
【００３５】
ハードディスク（ＨＤＤ）４０４は、プログラムや画像形成装置４００の設定値等を記録する。
【００３６】
操作パネル４０５は、各種スイッチやボタン、並びに、タッチパネル、メッセージ表示用の液晶表示部で構成される操作パネルである。ＣＰＵ４０１は、操作パネル４０５を介したユーザーの操作に応じて、ＨＤＤ４０４等に記憶されている画像形成装置４００の設定値を変更することができる。
【００３７】
ネットワークインタフェース（ネットワークＩ／Ｆ）４０６は、ネットワークに接続するためのネットワークインタフェースである。
【００３８】
プリントエンジン４０７は、記録紙に印刷を行うプリンタのエンジンである。
【００３９】
スキャナー４０８は、原稿を読み取るためのスキャナーである。
【００４０】
ファクシミリ通信部４０９は、ファクシミリの送受信を行うための通信部である。
【００４１】
ＣＰＵ４０１がＲＯＭ４０２又はＨＤＤ４０４に記憶されたプログラムに基づき処理を実行することにより、図４に示すデバイス１０４のソフトウェア構成の処理が実現される。
【００４２】
図４は、管理サーバー１０１、ＰＣ１０２および１０５、デバイス１０４のソフトウェア構成の一例を示す説明図である。
【００４３】
管理サーバー１０１において、認証部３００は、ＰＣ１０２および１０５やデバイス１０４からの認証要求に応じて認証を行い、ＰＣ１０２および１０５やデバイス１０４が自動設定システムを利用可能かどうかの判断を行う。認証部３００が管理するユーザーデータには、ユーザーＩＤやパスワード、およびユーザーが所属する組織といった情報を含む。アクセス制御部３０１は、認証部３００の認証結果および、後述のデータアクセス権編集部３１２で設定されたアクセス権に応じて、ＰＣ１０２および１０５やデバイス１０４からの設定データへのアクセスを制御する。設定データ管理部３０２は、ＰＣ１０２および１０５から送信された設定データやそれに付随するスクリプト、および設定データの操作履歴情報を管理する。機密情報制御部３０３は、設定データの履歴情報の記録時、および読み出し時に機密情報をマスクするかどうかを制御する。
【００４４】
ＰＣ１０２および１０５において、認証要求部３１０は、管理サーバー１０１に対して認証要求を送信する。このとき、管理サーバー１０１で設定データへのアクセス権を判定するため、認証要求部３１０はＩＤとパスワードを用いたユーザー認証を行う。設定データ編集部３１１は、管理サーバー１０１から設定データを取得し、ユーザーからの指示に従い設定データの更新や管理サーバー１０１への保存を行う。データアクセス権編集部３１２は、管理サーバー１０１で管理されている設定データへのアクセス権の設定を行う。アクセス権の設定は、設定データごとでも良いし、ユーザーごと、あるいは複数のユーザーをまとめたグループ（例えば組織）ごとに設定しても良い。
【００４５】
スクリプト生成部３１３は、設定データ編集部３１１が管理サーバー１０１に設定データを保存する際に、設定データの内容に基づきスクリプト（デバイス１０４が実行可能なコマンド群）を生成し、設定データと関連づけて管理サーバー１０１に保存する。本実施例では、ＰＣ１０２でスクリプトを生成しているが、管理サーバー１０１で生成しても良い。その場合、スクリプト生成部３１３は管理サーバー１０１上で動作し、ＰＣ１０２から設定データが保存された際に設定データ管理部３０２からスクリプト生成部３１３が呼び出されることによりスクリプトを生成する。いずれの場合も、設定データとスクリプトは１対１で保存される。
【００４６】
デバイス１０４において、認証要求部３２０は、管理サーバー１０１に対して認証要求を送信する。このとき、デバイス１０４は管理サーバー１０１が管理している設定データのスクリプトのみの取得であるため、ユーザー認証以外の認証（たとえばデバイス認証）でも良い。スクリプト取得部３２１は、管理サーバー１０１から、設定データのスクリプトを取得する。スクリプト実行部３２２は、スクリプト取得部３２１が取得したスクリプトを実行し、デバイス１０４の設定変更やファイルのダウンロードなどを行う。
【００４７】
ＰＣ１０２および１０５やデバイス１０４と管理サーバー１０１は、ＲＥＳＴ（Ｒｅｐｒｅｓｅｎｔａｔｉｏｎａｌ  Ｓｔａｔｅ  Ｔｒａｎｓｆｅｒ）やＳＯＡＰ（Ｓｉｍｐｌｅ  Ｏｂｊｅｃｔ  Ａｃｃｅｓｓ  Ｐｒｏｔｏｃｏｌ）などの公知の技術を用いて通信を行う。
【００４８】
図５は、管理サーバー１０１が管理する設定データの一例を示す説明図である。
【００４９】
設定データとして、設定データＩＤ、組織ＩＤ、設定データ名、設定値ファイル、アドレス帳、対象デバイスの情報を保持している。
【００５０】
設定データＩＤは、その設定データを一意に特定するための識別子である。デバイス１０４がスクリプトを特定する際にも使用する情報であり、デバイス１０４の操作パネル４０５から入力しやすく、かつ推測されにくいランダムな数字で構成されている。
【００５１】
組織ＩＤは、その設定データを保有している組織のＩＤである。
【００５２】
設定データ名は、ユーザーがその設定データを識別しやすくするための任意の文字列である。
【００５３】
設定値ファイルは、デバイス１０４に適用する各種設定値が記述されたファイルの識別子である。設定値ファイルには、デバイス１０４の各種設定項目に対する設定値が含まれている。
【００５４】
アドレス帳は、デバイス１０４に適用するアドレス帳の識別子である。
【００５５】
対象デバイスは、その設定データを適用する対象のデバイスの識別子である。対象デバイスが設定されている場合、それ以外のデバイスからはその設定データを使用することができない。
【００５６】
図６は、デバイス１０４で実行するスクリプトの一例を示す説明図である。具体的には、図５に示す「設定データＩＤ＝３１５２４８６１２８」の設定データに関連づけられたスクリプトの例であり、処理の順番、処理の内容、処理で使用するコンテンツの種類、および該コンテンツの識別子を保持している。
【００５７】
図６の例では、１番目の処理として設定値ファイルＳ００１をダウンロードし、２番目の処理としてその設定値ファイルＳ００１をデバイス１０４に適用する、という手順が記述されている。
【００５８】
図６に示すスクリプトは実際には、ＪＳＯＮ（ＪａｖａＳｃｒｉｐｔ（登録商標）  Ｏｂｊｅｃｔ  Ｎｏｔａｔｉｏｎ）などの構造化データとして表現され、デバイス１０４のスクリプト実行部３２２で解釈され実行される。
【００５９】
図７は、ＰＣ１０２および１０５で設定データを管理する際の画面例を示す説明図である。
【００６０】
図７の（ａ）は、最初に表示されるログイン画面である。ここでユーザー認証に成功すると、図７の（ｂ）が表示される。
【００６１】
図７の（ｂ）は、設定データの一覧画面である。ログインしたユーザーが参照可能な設定データだけが表示されていて、具体的には図５で例示した設定データのうち組織ＩＤ＝０００１が保有しているものだけが表示されている。この画面では設定データの作成や削除といった操作ができる。
【００６２】
更新者は、履歴情報（図１０）で最後にその設定データを更新したユーザーＩＤが表示されている。
【００６３】
図７に示す画面は、ＰＣ１０２および１０５上で動作するクライアントアプリケーションで表示しても良いし、管理サーバー１０１が提供するＷｅｂアプリケーションとして、ＰＣ１０２および１０５からＷｅｂブラウザーで管理サーバー１０１に接続することで表示しても良い。
【００６４】
図８は、ＰＣ１０２および１０５で設定データを編集する際の画面例を示す説明図である。
【００６５】
図８の（ａ）は、図７の（ｂ）で設定データＩＤ＝３１５２４８６１２８の設定データの編集ボタンを押下したときに表示される画面例を示している。設定データＩＤは管理サーバー１０１が自動的に決定するＩＤであるため変更はできない。それ以外の情報として、設定データ名や、設定値ファイル、アドレス帳の編集が可能である。また、該設定データを利用可能な組織として、委託先組織の指定が可能である。
【００６６】
図８の（ｂ）は、図８の（ａ）で委託先の選択ボタンを押下した際に表示される委託先選択画面である。必要に応じて、委託先の追加登録や削除が可能である。ここで選択した組織からは、図８の（ａ）に示す設定データの参照や編集が可能になる。
【００６７】
図９は、設定データ管理部３０２が管理している設定データのエイリアス情報の一例を示す説明図である。
【００６８】
エイリアスは、図８の（ｂ）で設定データに委託先を指定した際に、設定データ管理部３０２が発行する情報である。図９に示す通り、委託先設定データＩＤと委託先組織ＩＤの組み合わせごとにエイリアスを割り当てていて、エイリアスごとに有効か無効かを示すステータスを管理している。有効な場合にはエイリアスの有効期限を設定している。本実施例において有効期限は、所定の有効期限（たとえば委託開始から３か月）を設定データ管理部３０２が自動的に設定しているが、図８の画面においてユーザーに有効期限を指定させても良い。
【００６９】
図１０は、設定データ管理部３０２が管理している設定データの履歴情報の一例を示す説明図である。
【００７０】
履歴情報は、各設定データに対する操作が発生したときに設定データ管理部３０２が記録する情報であり、図１０の例では設定データＩＤ、履歴ＩＤ、操作、ユーザーＩＤ、時刻を保持している。
【００７１】
設定データＩＤは、図５に示す設定データのＩＤである。履歴ＩＤは、履歴情報ごとに固有の識別子である。操作は、その時に実行された操作の種別である。ユーザーＩＤは、その操作を実行したユーザーの識別子である。時刻は、その操作を実行した時刻である。
図１０における設定データＩＤ＝３１５２４８６１２８の設定データは、図５に示す通り組織ＩＤ＝０００１が保有するデータである。該設定データの履歴ＩＤ＝０００２のユーザーＩＤが「組織ＩＤ：０００２」となっているのは、組織ＩＤ＝０００１の設定データを組織ＩＤ＝０００２のユーザーが変更したことを示している。このように、図８に示す委託機能を使用して外部組織のユーザーが設定データを操作した場合には、設定データ管理部３０２および機密情報制御部３０３がユーザーＩＤを組織ＩＤに変換した上で履歴情報を記録する。
【００７２】
これは、ユーザーＩＤがメールアドレス等の個人情報である可能性があり、個人情報が他の組織の履歴情報として記録されることを防ぐためである。
【００７３】
図１１は、管理サーバー１０１が設定データの操作処理を実行する流れを示すフローチャートである。
【００７４】
図１１のフローチャートに示す処理は、管理サーバー１０１の設定データ管理部３０２および機密情報制御部３０３により実行される。すなわち図１１のフローチャートの処理は、ＣＰＵ２０１が、ＨＤＤ２１２に記録されたプログラムを読み出して実行することにより実現されるものである。
【００７５】
ステップＳ１１０１において、設定データ管理部３０２は、設定データに対する操作要求を受信する。操作とは具体的には、設定データの変更や、スクリプトを使用した設定の実行などが該当する。なお該操作要求は、ステップＳ１１０１よりも前に認証部３００やアクセス制御部３０１によって、要求元のユーザーが該設定データを操作可能かどうか判定され（不図示）、操作不可と判断された場合には管理サーバー１０１は操作共有に対する応答としてエラーを送信する。
【００７６】
ステップＳ１１０２において、機密情報制御部３０３は、操作対象の設定データを保有する組織と、ステップＳ１１０１で受信した操作要求元のユーザーが属する組織が同一かどうかを判定する。組織が同一である場合はステップＳ１１０３に進み、組織が異なる場合はステップＳ１１０４に進む。
【００７７】
ステップＳ１１０３において、設定データ管理部３０２は、ステップＳ１１０１で受信した操作要求元のユーザーＩＤをそのままで、該操作に関する履歴情報を生成して記録する。
【００７８】
ステップＳ１１０４において、設定データ管理部３０２は、ステップＳ１１０１で受信した操作要求元のユーザーＩＤを、該ユーザーが属する組織ＩＤに変換したうえで、該操作に関する履歴情報を生成して記録する。
【００７９】
ステップＳ１１０５において、設定データ管理部３０２は、ステップＳ１１０１で受信した操作要求で指示された各種操作を実行する。
【００８０】
なお、図１１の例ではステップＳ１１０４においてユーザーＩＤを組織ＩＤに変換しているが、ユーザーＩＤをそのまま記録しない方法であればよく、例えば空文字列に変換したり、ハッシュ値に変換したりしても良い。
【００８１】
図１２は、ＰＣ１０２および１０５で設定データの履歴情報を参照する際の画面例を示す説明図である。
【００８２】
図１２は、組織ＩＤ＝０００１に属するユーザーＩＤ＝Ｕｓｅｒ０１のユーザーが、図７の（ｂ）で設定データＩＤ＝３１５２４８６１２８の設定データの履歴ボタンを押下したときに表示される画面例を示していて、図１０に示す履歴情報のうち設定データＩＤが合致するものだけを表示している。
【００８３】
２番目の履歴情報は、組織ＩＤ＝０００１以外の組織のユーザーが操作した際のものであるため、ユーザーＩＤの部分が組織ＩＤに変換された状態で表示されている。
【００８４】
図１３は、委託先組織のユーザーに対して表示される、ＰＣ１０２およびＰＣ１０５における設定データ管理画面および履歴情報表示画面の一例を示す説明図である。具体的には組織ＩＤ＝０００２のユーザーに表示される画面を例示している。
【００８５】
図１３の（ａ）は、組織ＩＤ＝０００２のユーザーに表示される設定データ一覧画面である。図５の例に基づき、組織ＩＤ＝０００２が保有する設定データとして設定データＩＤ＝５８０７５１５７９８の設定データが表示されている。さらに、組織ＩＤ＝０００１から委託されている設定データも表示されている。ここで、組織ＩＤ＝０００１から委託されている設定データは、オリジナルの設定データＩＤ（３１５２４８６１２８）ではなく、図９に示す通り組織ＩＤ＝０００２に対するエイリアス（４８４８７６２１０８）を表示している。また、更新者のユーザーＩＤはＵｓｅｒ０００１ではなく、組織ＩＤ＝０００１に変換された状態で表示している。これは、組織ＩＤ＝０００２のユーザーに対して、組織ＩＤ＝０００１のユーザー情報をそのまま表示しないためである。なお図１３（ａ）に示す通り、委託されている設定データにはチェックボックスが無く、他の組織のユーザーは削除できないようになっている。
【００８６】
図１３の（ｂ）は、図１３の（ａ）において委託されている設定データの履歴ボタンを押下したときに表示される履歴情報表示画面である。ここでも、設定データＩＤはエイリアスを表示している。図１２との差異は、１番目および３番目の履歴情報のユーザーＩＤ部分が、組織ＩＤ＝０００１に変換されている点であり、理由は図１３の（ａ）と同様である。
【００８７】
図１４は、管理サーバー１０１が履歴情報の取得処理を実行する流れを示すフローチャートである。
【００８８】
図１４のフローチャートに示す処理は、管理サーバー１０１の設定データ管理部３０２および機密情報制御部３０３により実行される。すなわち図１４のフローチャートの処理は、ＣＰＵ２０１が、ＨＤＤ２１２に記録されたプログラムを読み出して実行することにより実現されるものである。
【００８９】
ステップＳ１４０１において、設定データ管理部３０２は、履歴情報の取得要求を受信する。なお該操作要求は、ステップＳ１４０１よりも前に認証部３００やアクセス制御部３０１によって、要求元のユーザーが該設定データを操作可能かどうか判定され（不図示）、操作不可と判断された場合には管理サーバー１０１は操作共有に対する応答としてエラーを送信する。
【００９０】
ステップＳ１４０２において、設定データ管理部３０２は、ステップＳ１４０１で受信した履歴情報取得要求で指定された設定データの履歴情報を取得する。
【００９１】
ステップＳ１４０３において、機密情報制御部３０３は、ステップＳ１４０２で取得した履歴情報それぞれについて、機密情報制御処理を実行したかどうかを判定する。すべての履歴情報について処理が完了している場合はステップＳ１４０８に進み、すべて完了していない場合はステップＳ１４０４に進む。
【００９２】
ステップＳ１４０４において、機密情報制御部３０３は、履歴情報に記録されているユーザーＩＤがマスクされているかどうか、すなわち履歴情報の記録時に図１１のステップＳ１１０４が実行されているかを判定する。ユーザーＩＤがマスクされている場合はステップＳ１４０７に進み、ユーザーＩＤがマスクされていない場合はステップＳ１４０５に進む。
【００９３】
ステップＳ１４０５において、機密情報制御部３０３は、履歴情報を保有する組織と、ステップＳ１４０１で受信した取得要求元のユーザーが属する組織が同一かどうかを判定する。組織が同一である場合はステップＳ１４０７に進み、組織が異なる場合はステップＳ１４０６に進む。
【００９４】
ステップＳ１４０６において、機密情報制御部３０３は、履歴情報に含まれるユーザーＩＤを、そのユーザーの属する組織の組織ＩＤに変換した上で、履歴情報返却リストに追加する。
【００９５】
ステップＳ１４０７において、機密情報制御部３０３は、履歴情報に含まれるユーザーＩＤをそのままで、履歴情報返却リストに追加する。
【００９６】
ステップＳ１４０８において、設定データ管理部３０２は、ステップＳ１４０１で受信した履歴情報取得要求の送信元に対して、履歴情報のリストを送信する。
【００９７】
上記図１４のステップＳ１４０６の処理によって、図１３（ｂ）に示す１番目や３番目の履歴情報において、ユーザーＩＤが組織ＩＤ＝０００１に変換される。
【００９８】
なお、図１４に示す履歴情報取得処理は、画面に履歴情報を表示する場合に限らず適用可能である。たとえば、図１３（ａ）において、委託されている設定データおよびそれに付随する履歴情報等を自分の組織のデータとして複製する機能を設けた場合に、履歴情報を複製する際に図１４に示す処理によって履歴情報に含まれるユーザーＩＤを変換しても良い。
【００９９】
また、本実施例において機密情報の例としてユーザーＩＤに対する処理を説明しているが、それ以外の情報に対して適用しても良い。
【０１００】
上記第１の実施形態によれば、履歴情報記録時に条件に応じて機密情報をマスクするシステムにおいて履歴情報を取得する際に、履歴情報のマスク状況および履歴情報にアクセスするユーザー情報に基づいて、履歴情報に含まれる機密情報を適切に制限することができる。
【０１０１】
［第２の実施形態］
実施形態２では、図１〜図１０、図１２に示す構成が第１の実施の形態と同じであり、第１の実施の形態と同様の部分については同一の符号を用いてその説明を省略する。以下、実施形態１と異なる点を主に説明する。
【０１０２】
図１５は、管理サーバー１０１が設定データの操作処理を実行する流れを示すフローチャートである。図１１と比較して、ステップＳ１５０１の処理が追加されている点が異なる。図１１と同一の処理は、同一の符号を用いることで説明を省略する。
【０１０３】
ステップＳ１５０１において、機密情報制御部３０３は、ステップＳ１１０４でユーザーＩＤを変換した履歴として、機密情報制御履歴（図１５）を、設定データの操作要求元ユーザーが属する組織（すなわち、操作対象の設定データを保有する組織とは異なる組織）のデータとして記録する。
【０１０４】
図１６は、設定データ管理部３０２が管理している設定データの機密情報制御履歴の一例を示す説明図である。
【０１０５】
機密情報制御履歴は、ステップＳ１１０４で実行された機密情報制御処理の履歴情報である。ステップＳ１１０４で記録する履歴情報（図１０）が、操作対象の設定データを保有する組織のデータとして記録されるのに対し、ステップＳ１５０１で記録する機密情報制御履歴（図１６）は、設定データを操作したユーザーが属する組織のデータとして記録される。図１６の例では組織ＩＤ、設定データＩＤ、履歴ＩＤ、ユーザーＩＤを保持している。
【０１０６】
組織ＩＤは、図１５の設定データ操作を要求したユーザーが属する組織のＩＤである。
【０１０７】
設定データＩＤは、図１５で操作をした設定データのＩＤである。ただし、図１６の機密情報制御履歴を記録するのは、操作対象の設定データを保有する組織以外のユーザーが操作をした場合であるため、図１６の設定データＩＤはオリジナルの設定データＩＤではなく図９に示すエイリアスとなっている。
【０１０８】
履歴ＩＤは、ステップＳ１１０４で記録された（すなわち図１０に示す）履歴情報に記録される履歴ＩＤと同一である。
【０１０９】
ユーザーＩＤは、図１５に示す設定データ操作処理を要求したユーザーのＩＤである。
【０１１０】
図１７は、管理サーバー１０１が履歴情報の取得処理を実行する流れを示すフローチャートである。図１４と比較して、ステップＳ１７０１、Ｓ１７０２の処理が追加されている点が異なる。図１４と同一の処理は、同一の符号を用いることで説明を省略する。
【０１１１】
ステップＳ１７０１において、機密情報制御部３０３は、履歴情報取得の要求元ユーザーが属する組織の機密情報制御履歴の中に、ステップＳ１７０１で着目している履歴情報中の設定データＩＤ（より厳密にはそのエイリアス）および履歴ＩＤが合致するものがあるかどうかを判定する。合致する機密情報制御履歴が存在する場合はステップＳ１７０２に進み、合致しない場合はステップＳ１４０７に進む。
【０１１２】
ステップＳ１７０２において、機密情報制御部３０３は、履歴情報に含まれるマスク済みのユーザーＩＤを、ステップＳ１７０１で合致した機密情報制御履歴に記録されているユーザーＩＤに置き換えた上で、履歴情報返却リストに追加する。
【０１１３】
図１８は、委託先組織のユーザーに対して表示される、ＰＣ１０２およびＰＣ１０５における設定データ管理画面および履歴情報表示画面の一例を示す説明図である。具体的には組織ＩＤ＝０００２のユーザーに表示される画面を例示している。
【０１１４】
図１８の（ａ）は図１３の（ａ）と同一であるが、図１８の（ｂ）は図１３の（ｂ）と比較して、２番目の履歴情報のユーザーＩＤが、組織ＩＤにマスクされておらず具体的なユーザーＩＤになっている点が異なる。これは、図１７のステップＳ１７０２において、組織ＩＤにマスクされていたユーザーＩＤを、機密情報制御履歴に基づき具体的なユーザーＩＤに変換したためである。
【０１１５】
上記第２の実施形態によれば、履歴情報中のユーザーＩＤなど機密情報をマスクして記録した場合にそのマスク処理の履歴情報を別途記録することにより、履歴情報取得時に、マスクされたユーザーＩＤを復元することができ、機密情報を保護しつつユーザーの利便性を向上させることができる。
【符号の説明】
【０１１６】
１０１  管理サーバー、１０４  デバイス、２０１  ＣＰＵ、４０１  ＣＰＵ
【図１】
2020135576.tif 000003
【図２】
2020135576.tif 000004
【図３】
2020135576.tif 000005
【図４】
2020135576.tif 000006
【図５】
2020135576.tif 000007
【図６】
2020135576.tif 000008
【図７】
2020135576.tif 000009
【図８】
2020135576.tif 000010
【図９】
2020135576.tif 000011
【図１０】
2020135576.tif 000012
【図１１】
2020135576.tif 000013
【図１２】
2020135576.tif 000014
【図１３】
2020135576.tif 000015
【図１４】
2020135576.tif 000016
【図１５】
2020135576.tif 000017
【図１６】
2020135576.tif 000018
【図１７】
2020135576.tif 000019
【図１８】
2020135576.tif 000020