(57)【要約】【課題】  画像形成装置のログ監査システムにおいて、画像ログからの情報漏洩を防ぎつつ、監査業務への支障を軽減すること。【解決手段】  画像ログ内の秘匿すべき箇所を設定された秘匿条件によって特定し、その箇所を暗号化した上で画像ログを保存する。秘匿箇所の閲覧権限がある監査者が画像ログを閲覧する場合には、暗号化された秘匿箇所を復号化して元通り表示する。秘匿箇所の閲覧権限がない監査者が画像ログを閲覧する場合には、暗号化された秘匿箇所をマスクして表示する。【選択図】  図３
2014013474.tif 000002
【特許請求の範囲】
【請求項１】
画像形成装置（１０２）と、画像形成装置で処理された文書の画像ログを監査するためのログ監査サーバー（１０１）と、からなるログ監査システムであって、
前記ログ監査サーバーは、
監査者の認証情報および権限を設定する監査者情報設定手段（３０１）と、
画像ログ内の秘匿すべき箇所を特定する条件を設定する秘匿条件設定手段（３０２）と、
画像ログから、画像ログ内のテキストとそのテキストの位置情報を関連付けて抽出するテキスト情報抽出手段（３１２）と、
前記秘匿条件設定手段によって設定された条件に従って、前記テキスト情報抽出手段によって抽出されたテキスト情報から、画像ログ内の秘匿箇所を特定する秘匿箇所特定手段（３１３）と、
前記秘匿箇所特定手段によって特定された秘匿箇所を暗号化して画像ログを保存する暗号化手段（３１４）と、
監査者を認証する認証手段（３２１）と、
前記暗号化手段によって暗号化された秘匿箇所を、前記認証手段によって認証された監査者の権限に応じて復号化する復号化手段（３１５）と、
監査者からの要求を受け付けて画像ログを検索し、画像ログを表示する際、前記復号化手段によって復号化されずに暗号化されたままの秘匿箇所をマスクして表示する監査手段（３２２）と、
を備えることを特徴とするログ監査システム。
【請求項２】
前記秘匿条件設定手段（３０２）は、条件毎にセキュリティレベルを更に設定することができ、
前記秘匿箇所特定手段は、特定した秘匿箇所毎に、対応する条件に応じたセキュリティレベルを関連付け（３１３、Ｓ１２０１）、
前記暗号化手段は、前記セキュリティレベルに応じて異なる鍵を用いて前記秘匿箇所を暗号化し（３１４、Ｓ１２０２）、
前記復号化手段は、前記監査者の権限に応じて、前記セキュリティレベルに応じて異なる鍵を用いて暗号化された秘匿箇所を復号化する（３１５、Ｓ１４０２）、
ことを特徴とする請求項１に記載のログ監査システム。
【請求項３】
前記秘匿条件設定手段（３０２）は、画像形成装置の利用者毎に、秘匿条件および条件毎のセキュリティレベルを更に設定でき、
前記秘匿箇所特定手段（３１３）は、画像ログに関わる利用者に応じた秘匿条件を用いて画像ログ内の秘匿箇所を特定する（Ｓ１７０１、Ｓ１７０２、Ｓ７０３）、
ことを特徴とする請求項２に記載のログ監査システム。
【請求項４】
前記監査手段（３２２）は、前記秘匿箇所特定手段によって特定された秘匿箇所の数に関する情報を表示すること（２１１１、２１１２、２１１３、２１１４）を特徴とする請求項１乃至請求項３の何れか１項に記載のログ監査システム。
【請求項５】
所定の監査者への監査依頼通知を行う通知手段（２２０１）を更に備え、
前記監査手段（３２２）は、監査を行っている監査者から、特定の画像ログについて他の監査者への監査依頼の要求を受け付けて、前記通知手段に通知を指示することを特徴とする請求項１乃至請求項４の何れか１項に記載のログ監査システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、画像形成装置で実行されたジョブのログを監査するためのシステムに関する。
【背景技術】
【０００２】
従来、情報漏洩の抑止や、情報漏洩者を追跡する目的で、プリンターやＭＦＰ（Ｍｕｌｔｉ  Ｆｕｎｃｔｉｏｎ  Ｐｅｒｉｐｈｅｒａｌ、以下、ＭＦＰとする）が行ったジョブに関するログ（以下、ジョブログとする）を監査するためのシステムが開発されている。このようなシステムのジョブログには、ジョブの実行日時などの属性情報に加えて、ジョブで扱われた文書の画像データ（以下、画像ログとする）を含め、監査をより厳密に行うことができるようにしているものがある。
【０００３】
しかし、そのようなシステムでは、画像ログにアクセス可能な監査者が、本来は知り得ない情報を画像ログから得てしまうことや、更にその情報を外部に漏洩してしまうことが懸念される。このため、監査者に対する情報の秘匿を目的として、画像ログを加工もしくは暗号化すると共に、ジョブを実行したユーザー毎にジョブログの格納先を変える技術（例えば、特許文献１、２参照）が提案されている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００７−２１４６１１号公報
【特許文献２】特開２００７−１２８３５９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、閲覧可能な監査者を制限するために、画像ログ全体を複数の保存先に振り分けたり暗号化したりすると、文書の内容の確認や漏洩した文書と画像ログとの比較といったことができず、監査業務に支障が生じてしまう。一方で、画像ログの中には、監査権限の低い監査者には秘匿にすべき情報も含まれており、画像ログの内容を全ての監査者に全く秘匿せずに公開することも問題である。
【０００６】
本発明は、上記の課題を解決するためになされたもので、本発明の目的は、画像ログからの情報漏洩を防ぎつつ、監査業務への支障を軽減することができる、ログ監査システムを提供することである。
【課題を解決するための手段】
【０００７】
上記目的を達成するために、本発明は、画像形成装置（１０２）と、画像形成装置で処理された文書の画像ログを監査するためのログ監査サーバー（１０１）と、からなるログ監査システムであって、
前記ログ監査サーバーは、
監査者の認証情報および権限を設定する監査者情報設定手段（３０１）と、
画像ログ内の秘匿すべき箇所を特定する条件を設定する秘匿条件設定手段（３０２）と、
画像ログから、画像ログ内のテキストとそのテキストの位置情報を関連付けて抽出するテキスト情報抽出手段（３１２）と、
前記秘匿条件設定手段によって設定された条件に従って、前記テキスト情報抽出手段によって抽出されたテキスト情報から、画像ログ内の秘匿箇所を特定する秘匿箇所特定手段（３１３）と、
前記秘匿箇所特定手段によって特定された秘匿箇所を暗号化して画像ログを保存する暗号化手段（３１４）と、
監査者を認証する認証手段（３２１）と、
前記暗号化手段によって暗号化された秘匿箇所を、前記認証手段によって認証された監査者の権限に応じて復号化する復号化手段（３１５）と、
監査者からの要求を受け付けて画像ログを検索し、画像ログを表示する際、前記復号化手段によって復号化されずに暗号化されたままの秘匿箇所をマスクして表示する監査手段（３２２）と、を備えることを特徴とする。
【発明の効果】
【０００８】
本発明によれば、画像ログ内の重要な情報のみを暗号化して秘匿し、それ以外の部分はどういう内容かをある程度分かるように監査者に開示することで、画像ログから情報漏洩を防止しつつ、画像ログの監査業務への支障を軽減できる。
【図面の簡単な説明】
【０００９】
【図１】本発明のログ監査システムの構成例を示す図である。
【図２】ログ監査サーバーのハードウェア構成例を示すブロック図である。
【図３】ログ監査サーバーのソフトウェア構成例を示す図である。
【図４】監査者情報の例である。
【図５】秘匿条件の例である。
【図６】秘匿箇所情報の例である。
【図７】ログ監査サーバーにおけるジョブログ保存処理の処理手順を示すフローチャートである。
【図８】ログ監査サーバーにおける画像ログ表示処理の処理手順を示すフローチャートである。
【図９（Ａ）】文書および秘匿箇所閲覧権限のある監査者に対する画像ログの表示例を示す図である。
【図９（Ｂ）】秘匿箇所閲覧権限のない監査者に対する画像ログの表示例を示す図である。
【図１０（Ａ）】監査者情報の例である。
【図１０（Ｂ）】監査レベルの権限設定の例である。
【図１１】秘匿条件の例である。
【図１２】ログ監査サーバーにおけるジョブログ保存処理の処理手順を示すフローチャートである。
【図１３】秘匿箇所情報の例である。
【図１４】ログ監査サーバーにおける画像ログ表示処理の処理手順を示すフローチャートである。
【図１５（Ａ）】監査者に対する画像ログの表示例を示す図である。
【図１５（Ｂ）】監査者に対する画像ログの表示例を示す図である。
【図１６】秘匿条件の例である。
【図１７】ログ監査サーバーにおけるジョブログ保存処理の処理手順を示すフローチャートである。
【図１８】秘匿箇所情報の例である。
【図１９】ログ監査サーバーにおける画像ログ表示処理の処理手順を示すフローチャートである。
【図２０】監査者に対する画像ログの表示例を示す図である。
【図２１】監査画面の例を示す図である。
【図２２】ログ監査サーバーのソフトウェア構成例を示す図である。
【発明を実施するための形態】
【００１０】
以下、本発明を実施するための最良の形態について図面を用いて説明する。
【００１１】
（実施例１）
まず、本発明の第１の実施例について説明する。
【００１２】
図１は、本発明におけるログ監査システムの構成例を示す図である。本実施例におけるログ監査システムは、ログ監査サーバー１０１と、ＭＦＰ１０２とが、ネットワーク１５０で接続されている。なお、ＭＦＰ１０２は複数あっても良い。ログ監査サーバー１０１は、ＭＦＰ１０２で実行されたジョブ（コピーやプリントなど）の実行記録であるジョブログを保存し、監査者からの要求に応じて保存したジョブログを検索・表示するものである。ジョブログの内容としては、ジョブの属性情報（実行ユーザー名、実行日時など）に加えて、処理された文書の画像ログを含む。
【００１３】
図２は、ログ監査サーバー１０１の内部構成例を表すブロック図である。
【００１４】
ＣＰＵ２１１を含む制御部２１０は、ログ監査サーバー１０１の動作を制御する。ＣＰＵ２１１は、ＲＯＭ２１２やＨＤＤ２１４に記憶された制御プログラムを読み出して、入力や出力といった各種制御処理や、演算処理を実行する。ＲＡＭ２１３は、ＣＰＵ２１１の主メモリー、ワークエリアなどの一時記憶領域として用いられる。ＨＤＤ２１４は、収集したジョブログデータや各種プログラムなどを記憶する。
【００１５】
操作入力Ｉ／Ｆ２１５は、接続されたキーボードやマウスなどの操作デバイスからの信号入力を受け付ける。
【００１６】
表示出力Ｉ／Ｆ２１６は、画面表示用のディスプレイ等への信号出力を行う。
【００１７】
ネットワークＩ／Ｆ２１７は、制御部２１０をネットワークに接続し、ネットワーク上の別の装置との情報の送受信を行う。
【００１８】
なお、２２０は、制御部２１０内の各ブロックを接続するバスである。
【００１９】
図３は、ログ監査サーバー１０１のソフトウェア構成例を示す図である。
【００２０】
監査者情報設定部３０１は、ログ監査システムを管理するシステム管理者から、ログ監査システムの監査者の登録およびその監査権限設定指示を受け付け、それら監査者に関する情報を監査者情報記憶部３５１に保存する。図４に、監査者情報設定部３０１によって、監査者情報記憶部３５１に保存される監査者情報の例を示す。図４の例は、例えば、監査者「ａｕｄｉｔｏｒ＿ａ」、「ａｕｄｉｔｏｒ＿ｂ」は秘匿箇所閲覧権限なし、監査者「ａｕｄｉｔｏｒ＿ｃ」は秘匿箇所閲覧権限ありが設定されていることを示している。
【００２１】
秘匿条件設定部３０２は、システム管理者から、画像ログ内の秘匿すべき箇所についての条件設定を受け付け、その秘匿条件を秘匿条件記憶部３５２に保存する。条件としては、キーワードだけでなく、氏名や電話番号などの個人情報を指定できるようにしても良い。図５に、秘匿条件の例を示す。図５の例は、キーワードの条件として、「ＸＸＸ」と「ＹＹＹ」が設定されており、更に、個人情報の条件として「人名」と「住所」が設定されていることを示している。
【００２２】
ジョブログ受信部３１１は、ＭＦＰから送信される画像ログを含むジョブログを受信する。
【００２３】
画像ログ処理部３１２は、ジョブログ受信部３１１が受信したジョブログに含まれる画像ログに対し、ＯＣＲ（Ｏｐｔｉｃａｌ  Ｃｈａｒａｃｔｅｒ  Ｒｅａｄｅｒ）を行い、テキスト情報とテキストの各文字の位置情報とを抽出する。また、必要に応じて画像フォーマット変換、解像度変換などを行っても良い。
【００２４】
秘匿箇所特定部３１３は、秘匿条件記憶部３５２に保存されている秘匿条件に従って、画像ログ処理部３１２によって抽出されたテキスト情報における秘匿箇所の特定を行う。そして、秘匿箇所特定部３１３は、特定したテキストに対応する画像ログ内の秘匿箇所情報を、画像ログと関連付けて秘匿箇所記憶部３５３に保存する。また、秘匿箇所特定部３１３は、テキスト中の個人情報を、特定の文字列パターンや人名辞書などによって識別するエンジンを備えており、秘匿条件に応じて個人情報を検出できるものとする。図６に、秘匿箇所記憶部３５３に保存される秘匿箇所情報の例を示す。図６の例で、「画像ログＩＤ」列は、画像ログを識別するためのＩＤである。「暗号化位置」列は、画像ログのデータ内の暗号化する範囲を表し、本実施例では、何バイト目から何バイト目までを暗号化するかの情報を持つものとする。なお、暗号化の範囲は、連続しているとは限らず、複数の範囲を持つ場合もある。図６の例は、画像ログＩＤ００１の画像ログには、暗号化する秘匿箇所が４か所あることを示している。
【００２５】
暗号化部３１４は、秘匿箇所記憶部３５３に保存された秘匿箇所情報に従い、画像ログの該当箇所を暗号化し、ジョブログ記憶部３５４に記憶する。なお、暗号化部３１４は、復号化部３１５が暗号化された箇所を判別できるように、暗号化した箇所を示すタグを暗号化した箇所の前後に埋め込むものとする。このタグには、図６に示す秘匿箇所情報に対応する暗号化位置が含まれる。
【００２６】
復号化部３１５は、後述する監査部３２２によって検索された画像ログをジョブログ記憶部３５４から読み出し、検索を行った監査者の権限に応じて、その画像ログの暗号化された秘匿箇所を復号化する。
【００２７】
監査者認証部３２１は、監査者情報記憶部３５１に登録されている情報に基づき、監査者の認証を行う。
【００２８】
監査部３２２は、監査者が指定する検索条件を受け付け、その条件に従ってジョブログを検索してその属性情報を表示し、更に指定されたジョブログの画像ログを表示する。画像ログ表示の際、監査部３２２は、暗号化されたままの秘匿箇所については、矩形で塗りつぶすなどのマスク処理を行った上で表示する。
【００２９】
次に、ログ監査サーバー１０１におけるジョブログ保存処理の処理手順について、図７のフローチャートを用いて説明する。図７のフローチャートに示す各ステップは、ログ監査サーバー１０１のＣＰＵ２１１がＲＯＭ２１２またはＨＤＤ２１４に記憶されている、図３に示す各機能部を実現するプログラムを実行することで実現される。また、ＣＰＵ２１１は、必要に応じて記憶領域としてＲＡＭ２１３やＨＤＤ２１４を利用する。
【００３０】
ステップＳ７０１において、画像ログ処理部３１２は、画像ログに対してＯＣＲを行ってテキストを抽出すると共に、そのテキストの画像内における位置情報も併せて抽出する。
【００３１】
ステップＳ７０２において、秘匿箇所特定部３１３は、秘匿条件記憶部３５２に保存されている全秘匿条件に対する繰り返し処理の終了条件を判定する。秘匿条件記憶部３５２に保存されている全秘匿条件について、繰り返し処理内のステップが処理済みとして記録されていれば、秘匿箇所特定部３１３は、処理をステップＳ７０６に進める。そうでない場合、秘匿箇所特定部３１３は、繰り返し処理内のステップが行われていない秘匿条件の一つを選択して、処理をステップＳ７０３に進める。
【００３２】
ステップＳ７０３において、秘匿箇所特定部３１３は、ステップＳ７０１で抽出されたテキストから、選択した秘匿条件に合致する箇所を検出する。合致する箇所が一つでも検出された場合には、秘匿箇所特定部３１３は、処理をステップＳ７０４に進める。一つも検出されなかった場合には、秘匿箇所特定部３１３は、処理をステップＳ７０５に進める。
【００３３】
ステップＳ７０４において、秘匿箇所特定部３１３は、ステップＳ７０３で検出した全ての箇所の画像ログ内の位置情報を、画像ログと関連付けて秘匿箇所記憶部３５３に保存する。
【００３４】
ステップＳ７０５において、秘匿箇所特定部３１３は、選択していた秘匿条件を処理済みとして記録し、処理をステップＳ７０２に戻す。
【００３５】
ステップＳ７０６において、暗号化部３１４は、秘匿箇所記憶部３５３に保存されている処理対象の画像ログの全秘匿箇所に対する繰り返し処理の終了条件を判定する。秘匿箇所記憶部３５３に保存されている処理対象の画像ログの全秘匿箇所に対して、繰り返し処理内のステップが処理済みとして記録されていれば、暗号化部３１４は、処理をステップＳ７０９に進める。そうでない場合、暗号化部３１４は、繰り返し処理内のステップが行われていない秘匿箇所を一つ選択して、処理をステップＳ７０７に進める。
【００３６】
ステップＳ７０７において、暗号化部３１４は、選択した秘匿箇所に対応する画像ログの該当箇所について、暗号化を行う。
【００３７】
ステップＳ７０８において、暗号化部３１４は、選択していた秘匿箇所を処理済みとして記録し、処理をステップＳ７０６に戻す。
【００３８】
ステップＳ７０９において、暗号化部３１４は、画像ログを対応するジョブの属性情報と関連付けて、ジョブログ記憶部３５４に保存する。
【００３９】
次に、ログ監査サーバー１０１における画像ログ表示処理の処理手順について、図８のフローチャートを用いて説明する。図８のフローチャートに示す各ステップは、ログ監査サーバー１０１のＣＰＵ２１１がＲＯＭ２１２またはＨＤＤ２１４に記憶されている、図３に示す各機能部を実現するプログラムを実行することで実現される。また、ＣＰＵ２１１は、必要に応じて記憶領域としてＲＡＭ２１３やＨＤＤ２１４を利用する。
【００４０】
なお、この動作の前には、監査者認証部３２１において監査者が認証されており、また、監査部３２２において、認証された監査者によってジョブログが検索され、特定のジョブログにおける画像ログの表示が指示されたものとする。
【００４１】
ステップＳ８０１において、復号化部３１５は、監査部３２２において指示された画像ログをジョブログ記憶部３５４から取得する。
【００４２】
ステップＳ８０２において、復号化部３１５は、ステップＳ８０１において取得した画像ログの暗号化されている秘匿箇所情報を、秘匿箇所記憶部３５３から取得する。
【００４３】
ステップＳ８０３において、復号化部３１５は、監査者認証部３２１において認証され、現在監査の指示を行っている監査者の権限情報を、監査者情報記憶部３５１から取得する。
【００４４】
ステップＳ８０４において、復号化部３１５は、ステップＳ８０２において取得した全秘匿箇所に対する繰り返し処理の終了条件を判定する。取得した全秘匿箇所について、繰り返し処理内のステップが処理済みとして記録されていれば、復号化部３１５は、処理をステップＳ８０８に進める。そうでない場合、復号化部３１５は、繰り返し処理内のステップが行われていない秘匿箇所の一つを選択して、処理をステップＳ８０５に進める。
【００４５】
ステップＳ８０５において、復号化部３１５は、ステップＳ８０４で選択した秘匿箇所について、ステップＳ８０３で取得した監査者の権限情報に基づいて、閲覧権限があるかどうかを判定する。閲覧権限がある場合には、復号化部３１５は、処理をステップＳ８０６に進める。閲覧権限がない場合には、復号化部３１５は、処理をステップＳ８０７に進める。
【００４６】
ステップＳ８０６において、復号化部３１５は、ステップＳ８０４で選択した秘匿箇所に対応する画像ログの該当箇所を、暗号化部３１４によって埋め込まれたタグを検出することで復号化する。
【００４７】
ステップＳ８０７において、復号化部３１５は、選択していた秘匿箇所を処理済みとして記録し、処理をステップＳ８０４に戻す。
【００４８】
ステップＳ８０８において、監査部３２２は、復号化部３１５で復号化されずに暗号化されたままの全秘匿箇所に対する繰り返し処理の終了条件を判定する。暗号化されたままの全秘匿箇所について、繰り返し処理内のステップが処理済みとして記録されていれば、監査部３２２は、処理をステップＳ８１１に進める。そうでない場合、監査部３２２は、繰り返し処理内のステップが行われていない暗号化されたままの秘匿箇所の一つを選択して、処理をステップＳ８０９に進める。
【００４９】
ステップＳ８０９において、監査部３２２は、ステップ５０８で選択した暗号化されたままの秘匿箇所に対応する画像ログの該当箇所を矩形で塗りつぶすマスク処理を行う。
【００５０】
ステップＳ８１０において、監査部３２２は、選択していた暗号化されたままの秘匿箇所を処理済みとして記録し、処理をステップＳ８０８に戻す。
【００５１】
ステップＳ８１１において、監査部３２２は、画像ログを表示する。例えば、図９（Ａ）に示す文書の画像ログに対し、秘匿条件が図５に示すものであったとすると、秘匿箇所の閲覧権限がない監査者には、図９（Ｂ）のように秘匿箇所をマスクした画像を表示することになる。一方、秘匿箇所の閲覧権限がある監査者には、秘匿箇所をマスクしていない図９（Ａ）の画像ログを表示することになる。
【００５２】
以上のように、実施例１では、画像ログ内の重要な情報についてのみ、監査者の権限に応じて秘匿することができる。これによって、監査者への情報漏洩を防止しつつ、監査業務への支障を軽減できる。
【００５３】
（実施例２）
次に、本発明の第２の実施例について説明する。
【００５４】
第１の実施例では、秘匿条件に合致した秘匿箇所を等しく暗号化しており、監査者によって全て閲覧させるか、もしくは、全てマスクするかの制御しかしていなかった。しかしながら、秘匿すべき情報の重要度は一律であるとは限らない。例えば、企業内で共通的に用いられる用語などは、社外秘であったとしても、社内の監査者であれば誰が閲覧できても良い。そこで、第２の実施例では、秘匿条件毎に秘匿性の高さを示すセキュリティレベルを設ける。また、監査者には閲覧可能なセキュリティレベルに応じた監査レベルを設ける。これらにより、秘匿箇所を、監査者の監査レベルに応じて、より適切に秘匿することができる。
【００５５】
本実施例のネットワーク構成やハードウェア構成、ソフトウェア構成は、実施例１の図１、図２、図３と同様である。ここでは、それらを除く、実施例１との差異部分についてのみ説明する。
【００５６】
監査者情報設定部３０１は、システム管理者から、監査者のアカウント情報の他に、監査者毎の監査レベルの設定を受け付ける。さらに、各監査レベルが、どのセキュリティレベルの秘匿箇所を閲覧可能かの権限設定を受け付ける。図１０（Ａ）および図１０（Ｂ）に、監査者情報設定部３０１によって、監査者情報記憶部３５１に保存される監査者情報および監査レベルの権限設定の例を示す。図１０（Ａ）は、監査者「ａｕｄｉｔｏｒ＿ａ」と「ａｕｄｉｔｏｒ＿ｂ」はセキュリティレベル１を、監査者「ａｕｄｉｔｏｒ＿ｃ」はセキュリティレベル３を持つことを示している。また、図１０（Ｂ）の例では、監査レベル１を持つ場合、セキュリティレベル１の秘匿箇所が閲覧可能、監査レベル４を持つ場合、セキュリティレベル１０以下の秘匿箇所が閲覧可能であることを示している。
【００５７】
秘匿条件設定部３０２は、秘匿条件の他に、秘匿条件毎のセキュリティレベルの設定を受け付ける。図１１に、秘匿条件設定部３０２によって秘匿条件記憶部３５２に保存される秘匿条件の例を示す。図１１では、例えばキーワード「ＸＸＸ」はセキュリティレベル１、個人情報「住所」はセキュリティレベル３であることを示している。
【００５８】
次に、実施例２のログ監査サーバー１０１におけるジョブログ保存処理の処理手順について、図１２のフローチャートを用いて説明する。図１２のフローチャートに示す各ステップは、ログ監査サーバー１０１のＣＰＵ２１１がＲＯＭ２１２またはＨＤＤ２１４に記憶されている、図３に示す各機能部を実現するプログラムを実行することで実現される。また、ＣＰＵ２１１は、必要に応じて記憶領域としてＲＡＭ２１３やＨＤＤ２１４を利用する。
【００５９】
なお、図１２の処理は、図７に示すフローチャートにおいて、ステップＳ７０４がステップＳ１２０１に、ステップＳ７０７がステップＳ１２０２にそれぞれ変更されたものである。それ以外の図７と同一のステップについては、図７と同一の番号を付し、その説明は省略する。
【００６０】
ステップＳ１２０１において、秘匿箇所特定部３１３は、ステップＳ７０３で検出した全ての箇所の画像ログ内の位置情報を、選択中の秘匿条件のセキュリティレベルと共に、画像ログと関連付けて秘匿箇所記憶部３５３に保存する。図１３に、秘匿箇所記憶部３５３に保存される秘匿箇所情報の例を示す。本実施例の秘匿箇所情報は、秘匿箇所毎にセキュリティレベルの情報を持ち、合致した秘匿条件のセキュリティレベルが入る。例えば、図１３で、画像ログＩＤ００１で暗号化位置が「ｇｇｇｇ〜ｈｈｈｈ」となっている秘匿箇所が、図１１に示すキーワード「ＹＹＹ」の秘匿条件によって特定されていた場合、セキュリティレベルは「４」となる。
【００６１】
ステップＳ１２０２において、暗号化部３１４は、秘匿箇所記憶部３５３に保存された秘匿箇所情報に従い、画像ログの該当箇所を暗号化する。ここで、本実施例の暗号化部３１４は、セキュリティレベル毎に異なる暗号鍵を持ち、秘匿箇所をそのセキュリティレベルに応じた暗号鍵を用いて暗号化する。
【００６２】
次に、実施例２のログ監査サーバー１０１における画像ログ表示処理の処理手順について、図１４のフローチャートを用いて説明する。図１４のフローチャートに示す各ステップは、ログ監査サーバー１０１のＣＰＵ２１１がＲＯＭ２１２またはＨＤＤ２１４に記憶されている、図３に示す各機能部を実現するプログラムを実行することで実現される。また、ＣＰＵ２１１は、必要に応じて記憶領域としてＲＡＭ２１３やＨＤＤ２１４を利用する。
【００６３】
なお、図１４の処理は、図８に示すフローチャートにおいて、ステップＳ８０５がステップＳ１４０１に、ステップＳ８０６がステップＳ１４０２にそれぞれ変更されたものである。それ以外の図８と同一のステップについては、図８と同一の番号を付し、その説明は省略する。
【００６４】
ステップＳ１４０１において、復号化部３１５は、ステップＳ８０４で選択した秘匿箇所について、ステップＳ８０３で取得した監査者の監査レベルと、その監査レベルで閲覧可能なセキュリティレベルの情報に基づいて、閲覧権限があるかどうかを判定する。閲覧権限がある場合には、復号化部３１５は、処理をステップＳ１４０２に進める。閲覧権限がない場合には、復号化部３１５は、処理をステップＳ８０７に進める。
【００６５】
ステップＳ１４０２において、復号化部３１５は、ステップＳ８０４で選択した秘匿箇所に対応する画像ログの該当箇所をステップＳ８０６と同様に復号化する。ここで、本実施例の復号化部３１５は、セキュリティレベル毎に異なる暗号鍵に対応する復号鍵を持ち、暗号化されている秘匿箇所を、そのセキュリティレベルに応じた復号鍵を用いて復号化する。
【００６６】
ここで、本実施例における画像ログ表示の動作例について説明する。図９（Ａ）に示す文書の画像ログに対して、図１１に示す秘匿条件で暗号化がなされていたとする。この場合、キーワード「ＸＸＸ」および「ＹＹＹ」と、個人情報の人名に該当する「山田・・・」および住所に該当する「神奈川県川崎市中原区・・・」の部分が秘匿箇所となる。
【００６７】
この画像ログを、図１０（Ａ）に示す監査者「ａｕｄｉｔｏｒ＿ａ」が監査する場合に表示する画像についてまず説明する。監査者「ａｕｄｉｔｏｒ＿ａ」は、監査レベルが１であり、図１０（Ｂ）によれば、閲覧可能なセキュリティレベルは１である。このため、監査者「ａｕｄｉｔｏｒ＿ａ」には、図１５（Ａ）のように、セキュリティレベル１のキーワード「ＸＸＸ」の部分を復号化して表示する。
【００６８】
次に、この画像ログを、図１０（Ａ）に示す監査者「ａｕｄｉｔｏｒ＿ｃ」が監査する場合に表示する画像について説明する。監査者「ａｕｄｉｔｏｒ＿ｃ」は、監査レベルが１であり、図１０（Ｂ）によれば、閲覧可能なセキュリティレベルは３である。このため、監査者「ａｕｄｉｔｏｒ＿ｃ」には、図１５（Ｂ）のように、セキュリティレベル１のキーワード「ＸＸＸ」およびセキュリティレベル３の人名と住所の部分を復号化して表示する。
【００６９】
以上のように実施例２では、秘匿条件毎にセキュリティレベルと、監査者毎に監査レベルを持つようにし、画像ログ内の秘匿箇所の開示・秘匿を、監査者に対してより適切に制御できる。
【００７０】
（実施例３）
次に、本発明の第３の実施例について説明する。
【００７１】
本実施例は、実施例２の方式に加えて、ジョブの実行ユーザー毎に、秘匿条件と条件毎のセキュリティレベルを設定可能とするものである。これは、実行ユーザーの階級や職種に応じて、秘匿条件やその重要度が変わることがある点を考慮したことによる。例えば、役職の高い人は、一般的に重要な文書を扱う機会が多い。更に、さほど重要機密ではない文書であっても、役職の低い監査者にはあまり見られたくないような文書（例えば、重役や取引先とのゴルフコンペや接待の企画や予定を記した文書など）も多く扱うと考えられる。また、実施例１や２のように、文書の内容だけを判定して秘匿を行う方式では、秘匿箇所の誤判定によって秘匿が漏れる可能性も考えられる。このため、重要な文書をより多く扱うと考えられる高い役職のユーザーの画像ログについては、通常よりも高いセキュリティを掛けることで、秘匿漏れを軽減することもできる。
【００７２】
本実施例のネットワーク構成やハードウェア構成、ソフトウェア構成は、実施例２と同様である。ここでは、それらを除く、実施例２との差異部分についてのみ説明する。
【００７３】
秘匿条件設定部３０２は、システム管理者から、ジョブ実行ユーザー毎の秘匿条件とそのセキュリティレベルの設定を受け付け、秘匿条件記憶部３５２に保存する。図１６に、本実施例における秘匿条件の例を示す。図１６の例は、ジョブ実行ユーザー全員に対する秘匿条件に加えて、ユーザー「ｕｓｅｒ＿ａ」にはキーワードの条件として「ＺＺＺ」がセキュリティレベル１で設定されていることを示している。これは、ユーザー「ｕｓｅｒ＿ａ」が実行したジョブの場合、キーワード「ＺＺＺ」もセキュリティレベル１の秘匿対象にすることを意味している。さらに、ユーザー「ｕｓｅｒ＿ｂ」には画像ログ全体にセキュリティレベル２が設定されており、これは、画像ログ全体をセキュリティレベル２の秘匿対象にすることを意味している。
【００７４】
次に、実施例３のログ監査サーバー１０１におけるジョブログ保存処理の処理手順について、図１７のフローチャートを用いて説明する。図１７のフローチャートに示す各ステップは、ログ監査サーバー１０１のＣＰＵ２１１がＲＯＭ２１２またはＨＤＤ２１４に記憶されている、図３に示す各機能部を実現するプログラムを実行することで実現される。また、ＣＰＵ２１１は、必要に応じて記憶領域としてＲＡＭ２１３やＨＤＤ２１４を利用する。
【００７５】
なお、図１７の処理は、図１２に示すフローチャートにおいて、ステップＳ７０２がステップＳ１７０２に、ステップＳ７０５がステップＳ１７０３に、ステップＳ７０６がステップＳ１７０４に、ステップＳ７０８がステップＳ１７０５に変更されている。更に、図１７の処理は、図１２に示すフローチャートにおいて、ステップＳ１７０１、ステップＳ１７０６、ステップＳ１７０７が追加されている。それ以外の図１２と同一のステップについては、図１２と同一の番号を付し、その説明は省略する。
【００７６】
ステップＳ１７０１において、秘匿箇所特定部３１３は、ジョブログの属性情報からジョブの実行ユーザーを特定し、そのユーザーに対して適用される秘匿条件のみを、秘匿条件記憶部３５２から取得する。
【００７７】
ステップＳ１７０２において、秘匿箇所特定部３１３は、ステップＳ１７０１で取得した秘匿条件に対する繰り返し処理の終了条件を判定する。取得した全秘匿条件について、繰り返し処理内のステップが処理済みとして記録されていれば、秘匿箇所特定部３１３は、処理をステップＳ１７０４に進める。そうでない場合、秘匿箇所特定部３１３は、繰り返し処理内のステップが行われていない秘匿条件の一つを選択して、処理をステップＳ７０３に進める。
【００７８】
ステップＳ１７０３において、秘匿箇所特定部３１３は、選択していた秘匿条件を処理済みとして記録し、処理をステップＳ１７０２に戻す。
【００７９】
ステップＳ１７０４において、暗号化部３１４は、秘匿箇所記憶部３５３に保存されている処理対象の画像ログの、全体の秘匿以外の、全秘匿箇所に対する繰り返し処理の終了条件を判定する。秘匿箇所記憶部３５３に保存されている処理対象の画像ログの、全体の秘匿以外の、全秘匿箇所に対して、繰り返し処理内のステップが処理済みとして記録されていれば、暗号化部３１４は、処理をステップＳ１７０６に進める。全体の秘匿以外に処理済みでない秘匿箇所がある場合、暗号化部３１４は、繰り返し処理内のステップが行われていない秘匿箇所を一つ選択して、処理をステップＳ１２０２に進める。例えば、秘匿箇所記憶部３５３に保存されている秘匿箇所情報が図１８のようになっていて、処理対象の画像ログが画像ログＩＤ００１のものだとする。この場合、ステップＳ１７０４において繰り返し処理の対象となる秘匿箇所は、暗号化位置が「ａａａａ〜ｂｂｂｂ」の箇所と、「ｇｇｇｇ〜ｈｈｈｈ」の箇所となる。暗号化位置が「＜全体＞」となっている箇所については、画像ログ全体に対する暗号化を表しており、ステップＳ１７０４においては処理対象としない。
【００８０】
ステップＳ１７０５において、暗号化部３１４は、選択していた秘匿箇所を処理済みとして記録し、処理をステップＳ１７０４に戻す。
【００８１】
ステップＳ１７０６において、暗号化部３１４は、秘匿箇所記憶部３５３に保存されている処理対象の画像ログの秘匿箇所について、画像ログ全体に対するものがあるかどうかを判定する。秘匿箇所が画像ログ全体となっているものがある場合、暗号化部３１４は、処理をステップＳ１７０７に進める。秘匿箇所が画像ログ全体となっているものがない場合、暗号化部３１４は、処理をステップＳ７０９に進める。例えば、図１８のように、画像ログＩＤ００１の暗号化位置として「＜全体＞」がある場合には、画像ログＩＤ００１の画像ログに対して、画像ログ全体を暗号化する設定がされていることになり、処理はステップＳ１７０７に遷移する。
【００８２】
ステップＳ１７０７において、暗号化部３１４は、秘匿箇所記憶部３５３に保存されている画像ログ全体に対するセキュリティレベルに応じた暗号鍵を用いて、画像ログを暗号化する。
【００８３】
次に、実施例３のログ監査サーバー１０１における画像ログ表示処理の処理手順について、図１９のフローチャートを用いて説明する。図１９のフローチャートに示す各ステップは、ログ監査サーバー１０１のＣＰＵ２１１がＲＯＭ２１２またはＨＤＤ２１４に記憶されている、図３に示す各機能部を実現するプログラムを実行することで実現される。また、ＣＰＵ２１１は、必要に応じて記憶領域としてＲＡＭ２１３やＨＤＤ２１４を利用する。
【００８４】
なお、図１９の処理は、図１４に示すフローチャートにおいて、ステップＳ１９０１からステップＳ１９０４が追加されたものである。それ以外の図１４と同一のステップについては、図１４と同一の番号を付し、その説明は省略する。
【００８５】
ステップＳ１９０１において、復号化部３１５は、ステップＳ８０２において取得した秘匿箇所情報から、表示対象の画像ログについて、画像ログ全体の暗号化がなされているかどうかを判定する。画像ログ全体の暗号化がなされている場合、復号化部３１５は、処理をステップＳ１９０２に進める。画像ログ全体の暗号化がなされていない場合、復号化部３１５は、処理をステップＳ８０４に進める。
【００８６】
ステップＳ１９０２において、復号化部３１５は、ステップＳ８０３で取得した監査者の権限情報に基づいて、画像ログ全体の暗号化を復号できるかどうかを判定する。復号できる場合、復号化部３１５は、処理をステップＳ１９０３に進める。復号できない場合、復号化部３１５は、処理をステップＳ１９０４に進める。
【００８７】
ステップＳ１９０３において、復号化部３１５は、画像ログ全体に設定されたセキュリティレベルに応じた復号鍵によって、画像ログ全体を復号化し、処理をステップＳ８０４に進める。
【００８８】
ステップＳ１９０４において、監査部３２２は、画像ログが暗号化されていて閲覧できない旨を監査者に表示し、画像ログ表示処理を終了する。
【００８９】
次に、本実施例における画像ログ表示の動作例について説明する。図９（Ａ）に示す文書の画像ログにおいて、秘匿条件が図１６に示すものであり、実行ユーザーが「ｕｓｅｒ＿ｂ」で、個人情報が誤判定によって暗号化されなかったとする。この画像ログを、図１０（Ａ）に示す監査者「ａｕｄｉｔｏｒ＿ａ」が監査するケースを考える。監査者「ａｕｄｉｔｏｒ＿ａ」は、監査レベルが１であり、図１０（Ｂ）によれば、閲覧可能なセキュリティレベルは１である。このため、図１６の「ｕｓｅｒ＿ｂ」の文書全体に対するセキュリティレベル２の秘匿条件がなかった場合には、本来、「ａｕｄｉｔｏｒ＿ａ」が見ることのできない個人情報が、図２０のように閲覧可能な状態で表示されることになる。しかし、実際には、「ｕｓｅｒ＿ｂ」の文書全体に対するセキュリティレベル２の秘匿条件があり、画像ログ全体がセキュリティレベル２で暗号化されている。このため、監査者「ａｕｄｉｔｏｒ＿ａ」には、画像ログを閲覧する権限がない旨が表示され、監査者「ａｕｄｉｔｏｒ＿ａ」に個人情報が漏洩することはない。
【００９０】
以上のように、実施例３では、実行ユーザー毎に秘匿条件を変えることができ、また、秘匿箇所の誤判定があった場合にも、実行ユーザーによって画像ログ全体を暗号化する秘匿条件設定をしておくことで、監査者に対する情報の秘匿を適切に行うことができる。
【００９１】
（実施例４）
次に、本発明の第４の実施例について説明する。
【００９２】
本実施例は、実施例２または実施例３のログ監査システムの監査部３２２における、監査者向けの表示画面に関するものであり、その部分についてのみ説明する。
【００９３】
図２１は、本実施例における監査部３２２が監査者に表示する監査画面の例である。この画面は、ジョブログの属性情報を一覧表示している画面である。属性情報として、ジョブログＩＤ、実行ユーザー、ジョブ種、実行日時を、それぞれ同名の列で表示している。また、画像列には、画像ログを表示するためのアイコン２１０１を表示している。これらに加えて、本実施例では、各ジョブログの画像ログについて、セキュリティレベル毎の秘匿箇所数を、監査者が認識できるように、秘匿箇所という列で表示する。
【００９４】
秘匿箇所列において、２１１１は、セキュリティレベル１の秘匿箇所数を示すアイコンである。同様に、２１１２、２１１３、２１１４は、それぞれ、セキュリティレベル２、３、４の秘匿箇所数を示すアイコンである。例えば、ジョブログＩＤ１０１の画像ログには、セキュリティレベル１の秘匿箇所数が２、セキュリティレベル２の秘匿箇所数が１、セキュリティレベル３の秘匿箇所数が１である。
【００９５】
以上のような表示により、実施例４では、監査者が、自分が閲覧できない秘匿箇所の有無と個数を、容易に把握することができる。これにより、画像ログ監査時に、監査者が、閲覧できない箇所について戸惑うことがなく、また、正確な監査が必要な場合に、どの監査レベルの監査者に監査を依頼すれば良いかの判断を速やかに行うことができるため、監査業務を効率的に行うことができる。
【００９６】
（実施例５）
次に本発明の第５の実施例について説明する。本実施例は実施例１から４のいずれかのログ監査システムにおいて、監査権限の低い監査者が、監査権限の高い監査者に、画像ログの監査を依頼する場合の利便性を高めるものである。
【００９７】
本実施例のログ監査システムのソフトウェア構成例を図２２に示す。図２２に示す各処理部及び各記憶部は、図３に示す各処理部及び各記憶部に、通知部２２０１が追加となったものである。このため、図３と同一の処理部及び記憶部については、図３と同一の番号を付し、機能的に差異がないものについてはその説明は省略する。
【００９８】
本実施例の監査部３２２は、監査者に表示している画像ログに関して、自分よりも上位の監査権限を持つ監査者に監査依頼を行うためのメニューを持つ。このメニューが監査者によって選択された場合、依頼を行うための指示が通知部２２０１になされる。
【００９９】
また、監査者情報記憶部３５１は、各監査者の通知先（本実施例ではメールアドレスとする）を更に持つ。
【０１００】
通知部２２０１は、監査部３２２の指示を受けて、対象の画像ログの秘匿箇所情報を秘匿箇所記憶部３５３から取得する。そして、対象の画像ログを制限なく閲覧できる監査者とその通知先のメールアドレスを、監査者情報記憶部３５１から取得し、対象の画像ログに対する監査の依頼をメールで送信する。
【０１０１】
以上のように、実施例５では、監査部３２２が表示する監査画面から直接、監査権限の高い監査者に監査依頼を行うことができるため、画像ログの監査業務をより効率的に行うことができる。
【０１０２】
なお、実施例５を実施例４と組み合わせる場合、通知先の監査者を閲覧制限のない監査者にするのではなく、自分より上位の監査権限を持つ監査者を一覧から選択させるようにしても良い。これにより、不必要に上位の監査者に依頼が行われることを軽減できる。また、実施例４では、通常は監査者が知ることのできない秘匿箇所のレベルと数を表示することになり、悪意を持つ監査者に悪用される可能性も考えられる。そこで、秘匿箇所列は、通常は非表示とし、表示する場合には、監査部３２２から通知部２２０１に対して、他の監査者に、その操作を行った監査者名と共に、秘匿箇所列を表示した旨を通知するようにさせても良い。
【０１０３】
（その他の実施例）
本発明のログ監査システムの監査部３２２は、全文検索機能を備えていても良い。このとき、全文検索機能が実行され、秘匿箇所に該当する文言が検索結果に含まれる場合、検索を実行した監査者が、その秘匿箇所を閲覧する権限を持たない場合、その秘匿箇所に該当する文言を検索結果から除外するようにしても良い。
【０１０４】
また、これまでの実施例では、秘匿の対象としてテキストを例に説明してきたが、図や表を秘匿対象としても良い。秘匿条件設定部３０２で図や表を秘匿条件として設定できるようにし、画像ログ処理部３１２で図や表を認識することで、後はテキストと同様な処理で図や表に対する秘匿を行うことができる。
【０１０５】
また、これまでの実施例では特に明記していなかったが、秘匿対象の文言と実際に秘匿する領域を別々に設定できるようにしても良い。例えば、秘匿条件としてあるキーワードを設定し、そのキーワードを含む段落全体を秘匿領域として設定できるようにしても良い。同様に、あるキーワードを含むページ全体を秘匿したり、個人情報を含む文書全体を秘匿したりすることができるようにしても良い。
【符号の説明】
【０１０６】
３０１  監査者情報設定部
３０２  秘匿条件設定部
３１２  画像ログ処理部
３１３  秘匿箇所特定部
３１４  暗号化部
３１５  復号化部
３２１  監査者認証部
３２２  監査部
【図１】
2014013474.tif 000003
【図２】
2014013474.tif 000004
【図３】
2014013474.tif 000005
【図４】
2014013474.tif 000006
【図５】
2014013474.tif 000007
【図６】
2014013474.tif 000008
【図７】
2014013474.tif 000009
【図８】
2014013474.tif 000010
【図９（Ａ）】
2014013474.tif 000011
【図９（Ｂ）】
2014013474.tif 000012
【図１０（Ａ）】
2014013474.tif 000013
【図１０（Ｂ）】
2014013474.tif 000014
【図１１】
2014013474.tif 000015
【図１２】
2014013474.tif 000016
【図１３】
2014013474.tif 000017
【図１４】
2014013474.tif 000018
【図１５（Ａ）】
2014013474.tif 000019
【図１５（Ｂ）】
2014013474.tif 000020
【図１６】
2014013474.tif 000021
【図１７】
2014013474.tif 000022
【図１８】
2014013474.tif 000023
【図１９】
2014013474.tif 000024
【図２０】
2014013474.tif 000025
【図２１】
2014013474.tif 000026
【図２２】
2014013474.tif 000027