(57)【特許請求の範囲】
【請求項１】
ファイル取得対象装置から所定の閲覧対象ファイルを取得し、所定の加工処理を行って閲覧装置に出力する情報処理装置であって、
前記ファイル取得対象装置から取得可能な閲覧対象ファイルを示す情報と、当該閲覧対象ファイルに関する所定の統制レベル情報を記述した閲覧対象ファイル定義情報を記憶する記憶手段と、
前記閲覧対象ファイル定義情報に基づいて、前記ファイル取得対象装置から取得した閲覧対象ファイルに対して、統制レベルに応じた所定の加工処理を行い、加工後の閲覧対象ファイルを前記閲覧装置に出力する閲覧対象ファイル制御手段と、
を備え、
前記閲覧対象ファイル制御手段は、
前記閲覧対象ファイルに機密データが含まれない場合には、
前記加工処理を行うことなく、当該閲覧対象ファイルを前記閲覧装置に出力し、
前記閲覧対象ファイルに所定のカラム単位で機密データが含まれる場合には、
機密データが含まれないデータ部分をカラム単位で抽出し、それ以外のデータ部分を全てカラム単位で閲覧不能とする加工処理を行い、前記機密データが含まれないデータ部分のみを閲覧可能とした閲覧対象ファイルを前記閲覧装置に出力するとともに、
前記カラム単位で閲覧不能とする加工処理が行われた機密データについて、前記閲覧不能とされたデータ部分に含まれる機密データが、所定の単語単位で含まれる場合には、
当該機密データを前記単語単位の加工処理によって閲覧不能とし、前記機密データを閲覧不能とした閲覧対象ファイルを前記閲覧装置に出力する
ことを特徴とする統制レベル付与データ表示制御装置。
【請求項２】
前記閲覧対象ファイル制御手段は、
前記閲覧対象ファイルに所定の単語単位で機密データが含まれる場合には、
当該機密データを前記単語単位の加工処理によって閲覧不能とし、前記機密データを閲覧不能とした閲覧対象ファイルを前記閲覧装置に出力する
ことを特徴とする請求項１記載の統制レベル付与データ表示制御装置。
【請求項３】
前記閲覧対象ファイル制御手段は、
前記機密データを閲覧不能とした閲覧対象ファイルを、所定の承認処理が行われた後に、前記閲覧装置に出力する
ことを特徴とする請求項１又は２記載の統制レベル付与データ表示制御装置。
【請求項４】
前記統制レベル情報が、
前記閲覧対象ファイルに機密データが含まれるか否かを示す機密レベル情報と、
機密データが含まれるカラムの識別情報と、当該機密データが前記単語単位の加工処理が可能か否かを示す情報とを含む機密データ情報と、を有し、
前記機密レベル情報が、
前記閲覧対象ファイルに、機密データが含まれない場合、所定のカラム単位で機密データが含まれる場合、又は、所定の単語単位で機密データが含まれる場合、のレベルで設定され、
前記機密レベル情報のレベルに応じて、前記所定の承認処理が行われる
ことを特徴とする請求項３記載の統制レベル付与データ表示制御装置。
【請求項５】
前記機密データ情報が、
前記単語単位の加工処理が可能な対象文字列及び対象加工方法を記述した辞書ファイルを有し、
前記閲覧対象ファイル制御手段は、
前記辞書ファイルに基づいて、前記対象文字列からなる機密データを前記対象加工方法によって閲覧不能に加工する
ことを特徴とする請求項４記載の統制レベル付与データ表示制御装置。
【請求項６】
ファイル取得対象装置から所定の閲覧対象ファイルを取得し、所定の加工処理を行って閲覧装置に出力する情報処理装置を構成するコンピュータを、
前記ファイル取得対象装置から取得可能な閲覧対象ファイルを示す情報と、当該閲覧対象ファイルに関する所定の統制レベル情報を記述した閲覧対象ファイル定義情報を記憶する記憶手段、
前記閲覧対象ファイル定義情報に基づいて、前記ファイル取得対象装置から取得した閲覧対象ファイルに対して、統制レベルに応じた所定の加工処理を行い、加工後の閲覧対象ファイルを前記閲覧装置に出力する閲覧対象ファイル制御手段、
として機能させるとともに、
前記閲覧対象ファイル制御手段に、
前記閲覧対象ファイルに機密データが含まれない場合には、
前記加工処理を行うことなく、当該閲覧対象ファイルを前記閲覧装置に出力させ、
前記閲覧対象ファイルに所定のカラム単位で機密データが含まれる場合には、
機密データが含まれないデータ部分をカラム単位で抽出させ、それ以外のデータ部分を全てカラム単位で閲覧不能とする加工処理を行わせ、前記機密データが含まれないデータ部分のみを閲覧可能とした閲覧対象ファイルを前記閲覧装置に出力させるとともに、
前記カラム単位で閲覧不能とする加工処理が行われた機密データについて、前記閲覧不能とされたデータ部分に含まれる機密データが、所定の単語単位で含まれる場合には、
当該機密データを前記単語単位の加工処理によって閲覧不能とし、前記機密データを閲覧不能とした閲覧対象ファイルを前記閲覧装置に出力させる
ことを特徴とする統制レベル付与データ表示制御プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、企業や官公庁，公共団体などの業務運営に用いられるデータシステムから、機密情報が流出・漏洩しない形で情報を出力させる統制レベル付与データ表示制御装置に関し、特に、顧客の個人情報やシステムのセキュリティ情報等の重要な機密情報を含むファイルが大量に取り扱われる金融業や小売・流通業等の業務に使用されるデータシステムに好適な統制レベル付与データ表示制御装置と、それに用いられるプログラム及び方法に関する。
【背景技術】
【０００２】
一般に、企業や官公庁，公共団体などの多くの組織・団体では、業務の運営に必要となる膨大な情報を電子データとして保有しており、その電子データを業務の運営に使用するためのデータシステムが運用されている。
このようなデータシステムは、個々の企業等が自己で所有するコンピュータシステムによって運営・運用される場合もあり、また、複数の企業等のデータシステムの運用を業務として請け負う、所謂システム・インテグレーターと呼ばれる情報システム企業が所有する巨大なサーバシステム群によって管理・運用される場合もある。
【０００３】
いずれの場合にも、データシステムで管理・運用される膨大なデータには、重要な機密情報が含まれることがある。ここで、重要な機密情報としては、例えば、個人を特定する氏名や住所，銀行の口座番号，クレジットカード番号等の個人情報や、データシステムの運用により生成・出力されるログファイルに含まれる、「どのＩＰアドレスから何番ポートで待ち受けているか」といったセキュリティ情報などが挙げられる。
このため、データシステムの運用にあたっては、管理・運用されるデータ中に含まれる個人情報やセキュリティ情報等の機密情報を外部に流出・漏洩させないように厳重に保護・管理する必要がある。
【０００４】
一方で、データシステムの運用中に障害やトラブル等が発生した場合には、その対応・復旧のために、データシステムで運用されているアプリケーションログや基盤のログ等のログファイルをコピーして出力・参照することにより、障害の発生原因等を突き止めて、障害の除去・復旧等の措置を可能な限り迅速に行う必要がある。
ところが、このようなログファイルには、上述した個人情報やセキュリティ情報等の機密情報も含まれており、障害復旧のためにログファイルのコピー・出力を行えば、データシステムが保有している全ての情報が出力されることになり、当然ながらそこに含まれる機密情報も外部に出力されることになる。
【０００５】
このため、このような障害発生時等におけるログファイルの迅速な出力・参照と、そこに含まれる機密情報の保護という、相反する要請の両立を図ることがきわめて重要かつ困難な課題となっている。
このような課題に対して、例えば、出力・参照の対象となるファイル等のデータに対して、機密情報に対応したＮＧワードを羅列した辞書とマッチングすることで、見せてはいけない箇所を意味のない文字列にマスキングすることが考えられる。
また、特許文献１に開示されているように、テーブル構造が確立されたデータベースファイルについて、テーブル単位で機密情報の有無を判定して、機密情報が含まれるテーブルがある場合には、データベースファイルのコピーデータから機密情報が含まれるテーブルのデータを全て削除してから、コピーデータを閲覧可能とする「ファイル編集装置」が提案されている。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２０１２−０１４７３６号公報
【発明の開示】
【発明が解決しようとする課題】
【０００７】
しかしながら、機密情報に対応するＮＧワードをマッチングしてマスキングする方法では、ＮＧワードが確実に機密情報をマスキングできるかどうかが不確定であり、例えば珍しい氏名のように、ＮＧワードとマッチングしない個人情報等が漏れてしまう可能性があり、特定の形式のファイルにしか対応できないという問題があった。
このため、障害対応のためにログファイルをコピー・転送する場合には、機密情報が含まれている可能性があるファイルについて、マスキングが正しく行われたか否かを確認できないことから、一律に転送を不可とするしかなかった。
【０００８】
また、特許文献１記載の技術についても、テーブル構造が確立されたデータベースファイルにしか対応できず、例えば非定形のアプリケーションログファイル等には対応することはできなかった。このため、上記のＮＧワードの場合と同様に、特定の形式のファイルにしか対応できないという問題があった。
また、テーブル構造が確立されたデータベースファイルについても、機密情報が含まれる場合には、テーブル単位で、そのテーブルに含まれる全ての情報が削除されてしまうため、機密情報以外のデータも一律に削除されて参照が不可能となってしまうという問題もあった。
【０００９】
データシステムから出力されるログファイルには、機密情報以外の多数の情報が含まれており、それらの情報が参照できれば障害等を解消・復旧できることも少なくない。
また、機密情報の中でも、機密レベルの高いものから低いものまで存在し、機密情報として一律に削除したり、機密情報を含むテーブル単位で全てのデータを参照不能とする必要がない場合もあり得る。
例えば、機密情報であっても、ＩＰアドレスやポート番号などのセキュリティ情報等は、管理者等の承認を経ることで出力・参照可能な場合もあり、その中には緊急の復旧時に有用となるデータもあり得る。したがって、機密保持の必要のないデータや機密レベルの低いデータから順次参照可能とすることで、障害復旧に対して漸進対応が可能となる場合もある。
【００１０】
しかしながら、特許文献１記載の技術では、機密情報が存在する場合には、その機密情報を含むテーブル単位で、機密情報もそれ以外の情報も一律に全て削除されてしまうため、機密情報以外の情報を活用した、より迅速な復旧作業を行うことも、機密レベルに応じて柔軟な対応を取ることも不可能であった。
障害が発生したデータシステムにおいては、１秒でも早く復旧することがきわめて重要である。これは例えば、銀行のＡＴＭシステムや証券会社の市場売買システム，コンビニエンスストア等の商品流通システムなど、大規模なシステムになればなるほど、復旧作業は一刻一秒を争うものとなり、障害発生によって運用不能となる時間が長引けば長引くほど、業務提供者や利用者に与える影響は甚大なものとなる。
【００１１】
したがって、システム復旧の場面では、機密情報が含まれていない情報であれば、可能な限り全ての情報を少しでも早く参照できることが有効かつ重要であり、また、機密情報が含まれている場合にも、その機密レベルに応じた柔軟な参照が可能となれば、それだけ早期の障害復旧に役立つことになる。
ところが、特許文献１の技術では、対象ファイルに機密情報が含まれるテーブルが存在していれば、そのテーブル単位で全てのデータが一律に参照不能とされてしまうため、機密情報以外のデータを有効活用することも、機密レベルに応じて段階的なデータ参照を行うことも不可能であった。
【００１２】
さらに、特許文献１の技術では、対象となるデータベースファイルを、機密情報を含んだままの状態で作業者等の外部端末に転送した後に、アクセス制限をかけて機密情報を含むテーブルを削除し、その後アクセス制限を解除するという方式を採用している。
このため、作業者等の端末という機密レベルの低い空間に機密情報が存在する期間が存在してしまい、セキュリティ上の問題もあった。
【００１３】
本発明は、以上のような従来の技術が有する課題を解決するために提案されたものであり、閲覧対象ファイルに機密情報が含まれる場合に、閲覧対象ファイルを機密レベルに応じて段階的に閲覧可能とすることにより、機密情報の秘密漏洩を確実に防止しつつ、障害発生に対して必要となるファイルを可能な限り迅速に閲覧・参照させることができる、特に重要な機密情報を含むファイルが大量に取り扱われる金融業や小売・流通業等の業務に使用されるデータシステムの障害対応等に好適な、統制レベル付与データ表示制御装置と、それに用いられるプログラム及び方法の提供を目的とする。
【課題を解決するための手段】
【００１４】
上記目的を達成するため、本発明の統制レベル付与データ表示制御装置は、ファイル取得対象装置から所定の閲覧対象ファイルを取得し、所定の加工処理を行って閲覧装置に出力する情報処理装置であって、前記ファイル取得対象装置から取得可能な閲覧対象ファイルを示す情報と、当該閲覧対象ファイルに関する所定の統制レベル情報を記述した閲覧対象ファイル定義情報を記憶する記憶手段と、前記閲覧対象ファイル定義情報に基づいて、前記ファイル取得対象装置から取得した閲覧対象ファイルに対して、統制レベルに応じた所定の加工処理を行い、加工後の閲覧対象ファイルを前記閲覧装置に出力する閲覧対象ファイル制御手段と、を備え、前記閲覧対象ファイル制御手段は、前記閲覧対象ファイルに機密データが含まれない場合には、前記加工処理を行うことなく、当該閲覧対象ファイルを前記閲覧装置に出力し、前記閲覧対象ファイルに所定のカラム単位で機密データが含まれる場合には、機密データが含まれないデータ部分をカラム単位で抽出し、それ以外のデータ部分を全てカラム単位で閲覧不能とする加工処理を行い、前記機密データが含まれないデータ部分のみを閲覧可能とした閲覧対象ファイルを前記閲覧装置に出力するとともに、
前記カラム単位で閲覧不能とする加工処理が行われた機密データについて、前記閲覧不能とされたデータ部分に含まれる機密データが、所定の単語単位で含まれる場合には、当該機密データを前記単語単位の加工処理によって閲覧不能とし、前記機密データを閲覧不能とした閲覧対象ファイルを前記閲覧装置に出力する構成としてある。
【００１５】
また、本発明は、上記のような本発明に統制レベル付与データ表示制御装置で実行される統制レベル付与データ表示制御プログラムとして構成することができる。
さらに、本発明は、上記のような本発明に係る統制レベル付与データ表示装置及びプログラムによって実施可能な統制レベル付与データ表示制御方法として構成することもできる。
【発明の効果】
【００１６】
本発明によれば、閲覧対象ファイルに機密情報が含まれる場合に、閲覧対象ファイルを機密レベルに応じて段階的に閲覧可能とすることができる。
これによって、重要な機密情報の秘密漏洩を確実に防止しつつ、障害発生に対して必要となるファイルを可能な限り迅速に閲覧・参照させることが可能となる。
したがって、例えば金融業や小売業・流通業等のように、大量の顧客情報を大規模システムで管理・運用するような場合にも、機密情報の漏洩防止を図りつつ、迅速・的確な障害対応が可能となるデータシステムを提供することができる。
【図面の簡単な説明】
【００１７】
【図１】本発明の一実施形態に係る統制レベル付与データ表示制御装置を備えたシステム構成を模式的に示す説明図であり、（ａ）は本発明の統制レベル付与データ表示制御装置に接続される閲覧装置の一例を、（ｂ）は本発明の統制レベル付与データ表示制御装置から閲覧装置に閲覧対象ファイルがそのまま転送される場合の一例を、（ｃ）は同じく本発明の統制レベル付与データ表示制御装置から閲覧装置に閲覧対象ファイルが転送される場合に、閲覧対象ファイル中の機密データがマスキングされる場合の一例を示している。
【図２】本発明の一実施形態に係る統制レベル付与データ表示制御装置を備えたシステム構成において、閲覧対象ファイルが所定の加工処理を経て閲覧装置に転送される場合の動作を模式的に示す説明であり、マスキング処理された承認不要の閲覧対象ファイルが生成・転送される場合の一例である。
【図３】図２とともに本発明の一実施形態に係る統制レベル付与データ表示制御装置を備えたシステム構成において、閲覧対象ファイルが所定の加工処理を経て閲覧装置に転送される場合の動作を模式的に示す説明であり、マスキング処理された承認を要する閲覧対象ファイルが生成・転送される場合の一例で、（ａ）は承認者へのファイル取得依頼が通知される状態、（ｂ）は承認者からファイル取得承認が通知されて承認後の閲覧対象ファイルが転送された状態を示している。
【図４】本発明の一実施形態に係る統制レベル付与データ表示制御装置に備えられる閲覧対象ファイル定義のイメージを示す説明図であり、（ａ）は閲覧対象ファイル定義のテーブル構造イメージ、（ｂ）は（ａ）の閲覧対象ファイル定義のテーブル構造に含まれる機密データ情報ファイルの一例を示している。
【図５】本発明の一実施形態に係る統制レベル付与データ表示制御装置で生成・転送される閲覧対象ファイルのデータの一例を示す説明図であり、（ａ）は加工処理が行われる前の閲覧対象ファイルのデータを、（ｂ）は（ａ）に示すデータについて閲覧対象ファイル内の機密データが含まれる可能性のあるカラム中の全データがマスキング処理された状態を、（ｃ）は同じく機密データ情報に基づいて機密データが単語レベルでマスキング処理された状態を示している。
【図６】本発明の一実施形態に係る統制レベル付与データ表示制御装置を備えたシステムにおいて閲覧対象ファイルが加工・転送される場合の動作の一例を示すフローチャートである。
【発明を実施するための形態】
【００１８】
以下、本発明に係る統制レベル付与データ表示制御装置の実施形態について、図面を参照しつつ説明する。
ここで、以下に示す本発明の統制レベル付与データ表示制御装置は、プログラム（ソフトウェア）の命令によりコンピュータで実行される処理，手段，機能によって実現される。プログラムは、コンピュータの各構成要素に指令を送り、以下に示す本発明に係る所定の処理や機能等を行わせることができる。すなわち、本発明における各処理や手段，機能は、プログラムとコンピュータとが協働した具体的手段によって実現される。
なお、プログラムの全部又は一部は、例えば、磁気ディスク，光ディスク，半導体メモリ，その他任意のコンピュータで読取り可能な記録媒体により提供され、記録媒体から読み出されたプログラムがコンピュータにインストールされて実行される。また、プログラムは、記録媒体を介さず、通信回線を通じて直接にコンピュータにロードし実行することもできる。また、本発明に係る統制レベル付与データ表示制御装置は、単一の情報処理装置（例えば１台のパーソナルコンピュータ等）で構成することもでき、複数の情報処理装置（例えば複数台のサーバコンピュータ群等）で構成することもできる。
【００１９】
［システム構成］
図１〜３に、本発明の一実施形態に係る統制レベル付与データ表示制御装置を備えたシステム構成を模式的に示す。
これらの図に示す本発明の一実施形態に係る統制レベル付与データ表示制御装置は、中継サーバ２０として構成されており、この中継サーバ２０に、業務サーバ１０，閲覧サーバ３０，障害対応者端末４０，承認者装置５０等の情報処理装置が接続されて、本発明に係る統制レベル付与データ表示制御装置を備えたシステムが構成されている。
そして、これら業務サーバ１０，中継サーバ２０，閲覧サーバ３０，障害対応者端末４０は、不正アクセス防止のために、図１に示すように、隣り合う機器でのみ通信が許可されるようになっている。
具体的には、通信は以下の機器間に絞られている。
・業務サーバ１０−中継サーバ２０
・中継サーバ２０−閲覧サーバ３０
・中継サーバ２０−承認者装置５０
・閲覧サーバ３０−障害対応者端末４０
したがって、例えば、障害対応端末４０は、閲覧サーバ３０には通信・アクセスが可能であるが、業務サーバ１０や中継サーバ２０に直接アクセスすることはできないようになっている。
【００２０】
本発明の統制レベル付与データ表示制御装置となる中継サーバ２０は、例えばサーバコンピュータやパーソナルコンピュータ等の情報処理装置によって構成されている。
そして、中継サーバ２０は、まず、管理・運営の対象となるデータシステム（業務システム）が実装・運用される業務サーバ１０と通信可能に接続されている。
また、中継サーバ２０は、図１に示すように、閲覧サーバ３０と通信可能に接続され、閲覧サーバ３０を介して、業務サーバ１０を運営・管理する担当者が操作可能な情報処理装置である障害対応者端末４０が、中継サーバ２０に対して間接的に通信可能に接続されるようになっている。さらに、中継サーバ２０には、業務サーバ１０を運営・管理する管理者が操作可能な情報処理装置である承認者装置５０が通信可能に接続される。
【００２１】
具体的には、中継サーバ２０には、閲覧サーバ３０が通信可能に接続され、閲覧サーバ３０に対して、業務サーバ１０から出力されるファイル・データが、中継サーバ２０を経由して転送・出力されるようになっている。
また、この閲覧サーバ３０には、業務サーバ１０を保守・管理する担当者（開発担当者・運用担当者）が操作する障害対応者端末４０が通信可能に接続されている。
この障害対応者端末４０において、閲覧サーバ３０を経由して、業務サーバ１０・中継サーバ２０から出力・転送されるファイルやデータが表示され、担当者が閲覧・参照できるようになっている。
【００２２】
また、中継サーバ２０には、障害対応者端末４０の担当者の業務・作業に責任を持つ承認者（開発管理者・運用管理者）が操作する承認者装置５０が接続されるようになっている。
この承認者装置５０において、後述する中継サーバ２０で生成される加工処理（マスキング）されたファイル情報について、機密情報の漏洩・流出の有無がチェックされた上で承認されるようになる。
【００２３】
［業務サーバ］
業務サーバ１０は、本発明に係る統制レベル付与データ表示制御装置となる中継サーバ２０の管理対象となるデータシステム（業務システム）が実装・運用される情報処理装置からなり、本発明のファイル取得対象装置を構成している。
具体的には、業務サーバ１０は、例えば自社のデータシステムを運用する企業等が所有するコンピュータシステムや、複数の企業等のデータシステムの運用を業務として請け負う情報システム企業（システム・インテグレータ）が所有する大規模なサーバシステム群等によって構成される。
【００２４】
現実の業務サーバ１０としては、例えば、数台のコンピュータで構成される場合から、数百台〜数千台，数万台のサーバシステム群からなる情報処理装置によって構成される場合もあり、いずれの場合にも、企業等の業務・運営に必要とされるアプリケーション・システムや基盤システムなどのデータシステムが業務システムとして実装・運用されるものである。
そして、このような複数の情報処理装置からなる業務サーバ１０で運用されるデータシステム（業務システム）には、流出・漏洩させてはならない機密情報が含まれる可能性のあるシステムのログファイルが格納されている。
例えば、業務サーバ１０で生成・出力されるログファイルには、上述のとおり、個人情報やセキュリティ情報などの重要な機密情報が含まれている。したがって、そのような機密情報は、業務サーバ１０から外部に流出・漏洩させてはならず、厳重な管理・保護が必要となる。
【００２５】
一方で、業務サーバ１０において運用中のデータシステムに障害が発生した場合には、障害の発生原因等を突き止めて、障害の除去・システム復旧等の措置をできる限り迅速・早急に行う必要がある。そして、障害の除去・復旧等には、データシステムで運用されているアプリケーションログや基盤のログ等のログファイルを出力・参照する必要がある。
このため、本実施形態では、運用中のデータシステムに障害が発生した場合には、業務ファイル１０からは必要となるログファイル（閲覧対象ファイル）をそのまま出力させるとともに、その閲覧対象ファイルに機密情報を示すデータ（機密データ）が含まれる場合には、中継サーバ２０において所定の加工処理を行うことで、機密情報の流出・漏洩のおそれのない形にした上で、加工したファイルを閲覧サーバ３０等に順次出力させるようにしてある。
これによって、業務データ１０から障害発生時に必要となるログファイルを迅速に出力させつつ、機密情報の流出・漏洩を防止できるようにするものである。
【００２６】
［中継サーバ］
中継サーバ２０は、上述したファイル取得対象装置となる業務サーバ１０から所定の閲覧対象ファイルとなるログファイルを取得して、所定の加工処理を行って閲覧装置となる閲覧サーバ３０や障害対応者端末４０に出力・参照させる情報処理装置であり、本発明に係る統制レベル付与データ表示制御装置を構成している。
【００２７】
中継サーバ２０は、所定のネットワークを介して、隣接する機器、具体的には、データシステムが運用されている業務サーバ１０、及びデータシステムを保守・管理等する担当者がアクセス可能な閲覧サーバ３０と通信可能に接続されている。また、中継サーバ２０には、担当者を管理する管理者等がアクセス可能な承認者装置５０が通信可能に接続されている。ここで、データシステムを保守・管理等する担当者が実際に操作する障害担当者端末４０は、中継サーバ２０とは直接接続されていない。したがって、中継サーバ２０から障害担当者端末４０にデータが直接転送されることはなく、セキュリティ確保の万全化が図られている。
そして、中継サーバ２０は、管理対象となる業務サーバ１０に障害が発生すると、業務サーバ１０から出力されるアプリケーションログや基盤のログ等のログファイルを一時的にコピーして受信・入力するとともに、そのログファイルに所定の機密データが含まれているか否かを判定し、機密データが含まれる場合には、所定の加工処理を行った上で、その加工済みのログファイルを、閲覧サーバ３０に転送するようになっている。
【００２８】
具体的には、本実施形態に係る中継サーバ２０は、図２に示すように、記憶手段２１及び閲覧対象ファイル制御手段２２として機能するように構成・制御される。
記憶手段２１は、業務サーバ１０から取得可能な閲覧対象ファイルを示す情報と、当該閲覧対象ファイルに関する所定の統制レベル情報を記述した閲覧対象ファイル定義情報を記憶する手段であり、本発明に係る記憶手段を構成している。
この記憶手段２１に記憶される閲覧対象ファイル定義情報の詳細については、図４，５を参照しつつ後述する。
【００２９】
閲覧対象ファイル制御手段２２は、記憶手段２１に記憶される上述した閲覧対象ファイル定義情報に基づいて、業務サーバ１０から取得した閲覧対象ファイルに対して、後述する統制レベルに応じた所定の加工処理を行い、加工後の閲覧対象ファイルを閲覧サーバ３０（及び障害担当者端末４０）に出力する手段であり、本発明に係る表示制御手段を構成している。
より具体的には、閲覧対象ファイル制御手段２２は、閲覧対象ファイルとなる業務サーバ１０のログファイルに機密データが含まれない場合には、図１（ｂ）に示すように、加工処理を行うことなく当該ログファイルを閲覧サーバ３０に出力させる。
【００３０】
一方、閲覧対象ファイル制御手段２２は、業務サーバ１０のログファイルに機密データが含まれる場合には、図１（ｂ）及び図２に示すように、機密データが含まれないデータ部分を抽出して、それ以外のデータ部分を全て閲覧不能とする加工処理を行い、機密データが含まれないデータ部分のみを閲覧可能としログファイル（図５（ｂ）参照）を閲覧サーバ３０に出力する（カラムマスク）。
この場合には、機密データが含まれるカラム単位でマスク処理が行われるため、承認者装置５０を介した所定の承認処理は不要となる。
【００３１】
さらに、閲覧対象ファイル制御手段２２は、上記のように閲覧不能とされたデータ部分に含まれる機密データが、特定の形式で含まれる場合には、図１（ｃ）及び図３（ａ），（ｂ）に示すように、当該機密データを特定の加工処理によって閲覧不能とし、機密データを閲覧不能としたログファイル（図５（ｃ）参照）を閲覧サーバ３０に出力する（単語レベルマスク）。
具体的には、閲覧対象ファイル制御手段２２は、図３（ａ）に示すように、記憶手段２１に記憶される機密データ情報に含まれる辞書ファイル（図４参照）に基づいて、所定の対象文字列からなる機密データを所定の対象加工方法によって閲覧不能に加工する。
この場合には、閲覧対象ファイル制御手段２２は、機密データを対象文字列の単語レベルで閲覧不能としたログファイルは、図１（ｃ）及び図３（ｂ）に示すように、承認者装置５０を介して実行される所定の承認処理が行われた後に、閲覧サーバ３０に出力するようにする。
【００３２】
このように、閲覧対象ファイル制御手段２２の制御により、業務サーバ１０から中継サーバ２０に転送されたログファイルは、機密データの有無や機密データの種類・形式等に応じて、機密レベルに応じた加工処理が実行された上で、段階的に出力されるようになる。
これによって、機密レベルに応じて順次、機密データについての所定の加工処理が完了したファイルから段階的にログファイルが閲覧可能となり、機密データの秘密漏洩を防止しつつ、可能な限り早期・迅速にログファイルを担当者に参照させることができるようになる。
この中継サーバ２０の閲覧対象ファイル制御手段２２によって実行されるログファイルの段階的な加工・転送処理の詳細については、図６を参照しつつ後述する。
【００３３】
［閲覧サーバ・障害対応者端末］
閲覧サーバ３０は、上述した中継サーバ２０から、加工済みのログファイル（閲覧対象ファイル）を受信して装置上に保持し、ＷＥＢ等の技術によって他の端末装置等において閲覧・参照可能に表示させる情報処理装置であり、例えばパーソナルコンピュータやサーバ装置等によって構成される。
本実施形態では、閲覧サーバ３０は、後述するように、機密データの内容・レベルに応じて中継サーバ２０から転送される複数の閲覧対象ファイルを、順次受信して上書きして保存するようになっており、最新・最終の加工済みのログファイルが閲覧可能に保持・出力されるようになっている。
【００３４】
障害対応者端末４０は、閲覧サーバ３０に対してアクセス可能な情報処理装置からなり、例えばパーソナルコンピュータや携帯電話，スマートフォン，タブレット等によって構成することができる。
この障害対応者端末４０を操作する担当者は、業務サーバ１０で稼働するシステムに障害が発生した際に、閲覧サーバ３０・中継サーバ２０を介して業務サーバ１０から情報を収集して対応を判断、実施する開発担当者や運用担当者である。
【００３５】
このような閲覧サーバ３０及び障害対応者端末４０を備えることによって、業務サーバ１０における障害発生時に、上述した中継サーバ２０によって生成・転送される加工済みのログファイルが、閲覧サーバ３０に配置・記憶され、障害担当者端末４０において表示・出力できるようになり、業務サーバ１０で発生したシステム障害等を解消・復旧する担当者が、障害原因究明等のためにログファイルを閲覧・参照できるようになる。
また、閲覧サーバ３０と、それにアクセス可能な障害対応者端末４０とを分離・独立した情報処理装置によって構成することで、例えば障害対応者端末４０は、担当者が所有するスマートフォンやノートＰＣなどの携帯可能な小型の端末装置等によって構成することができ、担当者がいつどこにいても、業務サーバ１０から出力されるログファイルを閲覧・参照できるようになる。
【００３６】
なお、閲覧サーバ３０及び障害対応者端末４０は、中継サーバ２０から転送される加工済みのログファイルを閲覧可能に出力・表示できる限り、単一の装置（例えば一台のＰＣ）によって構成することもでき、また、３台以上の装置（例えば一台の閲覧サーバ３０と複数台の障害対応者端末４０）によって構成することも可能である。
これら閲覧サーバ３０及び障害対応者端末４０におけるログファイルの受信・表示処理の詳細についても、図６を参照しつつ後述する。
【００３７】
［承認者装置］
承認者装置５０は、中継サーバ２０に対してアクセス可能な情報処理装置からなり、例えばパーソナルコンピュータ等によって構成される。この承認者装置５０を操作する承認者は、業務サーバ１０の維持管理を実施する開発管理者や運用管理者等であり、上述した障害対応者端末４０を操作する担当者の業務サーバ１０からの情報取得に対して責任を持つ責任者である。
【００３８】
具体的には、承認者装置５０では、業務サーバ１０から機密データを含むログファイルが中継サーバ２０に転送されると、図１（ｃ）及び図３（ｂ）に示すように、中継サーバ２０においてログファイルに含まれる機密データについて所定の加工処理が行われた後、中継サーバ２０に承認者装置５０からアクセスされて、加工済みのログファイルが承認者によって確認される。そして、機密データが流出しない形に加工処理（マスキング）が行われていることが承認者によって確認されると、承認者装置５０から中継サーバ２０に対して承認処理が実行・通知される。
また、承認者装置５０での承認処理が実行されると、対応する障害対応者端末４０に対して、承認処理が完了したことが電子メール等によって通知される（図１（ｃ）及び図３（ｂ）参照）。
【００３９】
これによって、中継サーバ２０において加工処理されたログファイルについては、機密データが流出・漏洩のない状態に加工されたことが承認者によって承認され、その後、承認された加工済みのログファイルが、閲覧サーバ３０・障害担当者端末４０に転送されるようになる。
なお、以上のような承認者は、データの機密レベルによって設定が可能であり、複数の承認者を設定することもでき、また、機密レベルが低いような場合には承認者を省略することも可能である。したがって、承認者装置５０は、承認者の数に応じて複数台備えられることもあり、承認者装置５０が備えられない場合もあり得る。
【００４０】
このような承認者装置５０を備えることによって、中継サーバ２０で加工処理されたログファイルは、機密データの流出がない形で生成・加工されことが承認者によって保証された状態で、障害対応を行う担当者に開示されることになり、機密データの流出・漏洩がより万全な形で防止されることになる。
また、承認者装置５０を介した承認処理を経て機密データの公開の可否を決定することで、対象データの機密レベルに応じた柔軟な対応が可能となる。
この承認者装置５０による加工済みログファイルの承認処理の詳細についても、図６を参照しつつ後述する。
【００４１】
［統制レベルの設定］
次に、上述した中継サーバ２０の記憶手段２１に設定・記憶される、データの特性に応じた統制レベルについて図４，５を参照しつつ説明する。
ここで、統制レベルとは、業務サーバ１０で生成・出力されるデータについて、データに含まれる機密情報の有無や、所定の加工処理（マスキング）の可否などに応じて、異なる統制（規制）を行うための複数の分類・段階であり、本実施形態では、「機密レベル０，１，２」の三段階の統制レベルを付与している。
具体的には、本実施形態では、中継サーバ２０において業務サーバ１０から転送・取得されるデータ（ログファイル）について、ファイル単位でそのファイルに含まれる機密情報の内容に応じて以下のように分類し、それに応じて異なる統制レベル（機密レベル０，１，２）を付与している。
【００４２】
ここで、以下に示すような統制レベルの付与・設定については、予めログファイルを閲覧する可能性のある担当者が、閲覧対象となるログファイルについて事前に判断して、設定すべき統制レベル情報（機密レベル・機密データ情報）を付与・決定し、例えば手動でタグ付けをすることができる。そして、設定された統制レベル情報の内容の妥当性については、承認者の承認を得るようにする。
その上で、中継サーバの２０の記憶手段２１に、設定すべき所定の統制レベル情報として、後述する閲覧対象ファイル定義（閲覧対象ファイル情報および機密レベル・機密データ情報）を記憶させるようにする（図４参照）。
【００４３】
（１）機密情報無し：機密レベル０
ログファイルに機密データが含まれない場合であり、いつでもどこからでも参照できることを予め承認者から承認されているものである。
このようなファイルについては、業務サーバ１０から中継サーバ２０に転送されると、中継サーバ２０における加工処理を行うことなく、そのままのファイル・データを閲覧サーバ３０に転送することができる。転送された情報内容については、アクセスログに証跡が保存される。
【００４４】
（２）機密情報有り：機密レベル１
ログファイルに機密データが含まれる場合に、機密データが当該ファイルのデータ中の特定の箇所（カラム）に含まれる場合であって、後述する機密データを単語レベルでマスク処理する前に、カラム単位でカラム中の全データを一括マスク処理する場合である。このようなカラム単位の一括マスク処理は、単語レベルでのマスク処理と比較して処理を迅速に行うことができ、また、カラム単位で全てのデータがマスク処理されることから、秘密漏洩のリスクが低く、承認者による承認プロセスを省略することが可能となる。このため、マスク処理されたファイル・データをより迅速に出力することが可能となる。
このようなファイルについては、業務サーバ１０から中継サーバ２０に転送されると、中継サーバ２０において該当するカラムが加工処理され、加工済みのファイル・データを閲覧サーバ３０に転送することができる。転送された情報内容については、アクセスログに証跡が保存される。
【００４５】
（３）機密情報有り：機密レベル２
ログファイルに機密データが含まれる場合に、機密データが当該ファイルのデータ中のどこかに含まれ、その出力箇所が不特定であるが、辞書データに基づく単語レベルでのマスク処理が可能な場合である。このような単語レベルでのマスク処理は、処理に時間がかかり、また、秘密漏洩の防止に万全を期すために、承認者による承認プロセスを経る必要があるため、上述した機密レベル１のカラム単位の一括マスク処理と比較して、マスク処理されたファイル・データの出力に時間がかかることになる。しかしながら、単語レベルでマスク処理されたデータは、閲覧・参照可能な情報量が多く、障害対応時により有用なデータとして活用することが可能となる。
このようなファイルについては、業務サーバ１０から中継サーバ２０に転送されると、中継サーバ２０においてファイルに含まれるデータが単語レベルで加工処理され、承認者による承認を経た上で、加工済みのファイル・データを閲覧サーバ３０に転送することができる。
【００４６】
ここで、「機密レベル１」の場合と「機密レベル２」の場合のマスク処理の概要について、以下に説明する。
「機密レベル１」のデータについては、カラム単位でのマスク処理と、単語単位でのマスク処理の二段階の処理が行われ、二段階目の処理でマスク時に辞書データが使用される。
まず、業務サーバ１０から、マスク処理が行われていない生ファイルが転送されると、第一段階の処理として、カラム単位のマスク処理が行われる。
具体的には、生ファイルに対して、カラム単位で一括マスクの要否が判断され、一括マスク処理が実行される。なお、この一括マスク要否の「判断」と「マスク処理」は、いずれも、設定に基づいて自動で実行される。
カラム単位でマスク処理されたデータは、承認者による承認不要で、閲覧サーバ３０に送信される。送信は、中継サーバ２０での自動処理完了を以て自動送信される。
【００４７】
次に、二段階目の処理として、業務サーバ１０から転送された生ファイルについて、カラム単位で単語マスクの要否が判断され、所定の辞書データに基づいて単語単位でのマスク処理が実行される。ここでの、単語マスク要否の「判断」及び「処理」についても、いずれも自動で実行される。
単語単位でマスク処理されたデータについては、承認者による承認プロセスを経た後に、閲覧サーバ３０に送信される。送信は、承認プロセスの完了後に自動送信される。
【００４８】
なお、以上のような「機密レベル１」のファイルについて実施される二段階処理は、一段階目のカラム単位でマスク処理されたデータをさらに単語マスクするのではなく、カラム単位で特定カラムの全部がマスク処理されたデータを、特定カラム中の特定の単語のみがマスクされたデータに置き換えることで行われる。
このようにすることで、カラム単位でマスクされたデータよりも、単語単位でマスク処理されたデータの方が、機密情報が含まれていないことの確実性は低下するものの、閲覧・参照できる情報量が増加し、障害対応時に活用できる可能性が上がることになる。このため、二段階の処理を踏むことのメリットは大きいものとなる。
【００４９】
「機密レベル２」のデータについては、上述した「機密レベル１」のデータについて行われる二段階目のマスク処理とほぼ同様に、単語単位でのマスク処理のみが行われる。
すなわち、業務サーバ１０から、マスク処理が行われていない生ファイルが転送されると、ファイル全体に対して、所定の辞書データに基づいて単語単位でのマスク処理が自動実行される。
また、ファイル全体について単語単位でマスク処理されたデータは、承認者による承認プロセスを経た上で、閲覧サーバ３０に送信される。送信は、承認プロセスの完了後に自動送信される。
これによって、上述した「機密レベル１」のデータの場合と同様に、単語単位でマスク処理されたデータは、閲覧・参照できる情報量が多く、障害対応時の参照データとして有効に活用できるようになる。
【００５０】
［閲覧対象ファイル定義テーブル］
以上のような異なる統制レベルについて、本実施形態に係る中継サーバ２０には、上述した記憶手段２１に、図４に示すような、業務サーバ１０から取得可能な閲覧対象ファイルとなるログファイルを示す情報と、当該ログファイル（閲覧対象ファイル）に関する所定の統制レベル情報（機密レベル及び機密データ情報）を記述した閲覧対象ファイル定義情報が設定・記憶されるようになっている。
図４は、本実施形態に係る閲覧対象ファイル定義のイメージを示す説明図である。
【００５１】
具体的には、中継サーバ２０の記憶手段２１には、閲覧対象ファイルを示す情報として、図４（ａ）に示すように、業務サーバ１０から出力されるログファイルのファイル構成データと、閲覧対象ファイルに関する統制レベル情報を示す「閲覧対象ファイル定義テーブル」が記憶される。
この「閲覧対象ファイル定義テーブル」に示される統制レベル情報としては、閲覧対象ファイルに機密情報を示す機密データが含まれるか否かを示す「機密レベル」と、機密データが含まれるカラムの識別情報と、当該機密データが前記特定の加工処理が可能か否かを示す情報とを含む「機密データ情報」とが記憶されるようになっている。
【００５２】
図４（ａ）に示す例では、「閲覧対象ファイル定義テーブル」には、閲覧対象ファイルについて、取得対象サーバ・格納パス・ファイル名・機密レベル・機密データ情報の各項目について情報が格納されている。
ここで、機密レベルとしては、上述したように、例えば「レベル０：機密情報が完全に含まれない」，「レベル１：機密情報が（特定の箇所（カラム）に）含まれる（カラム単位マスク可能）」，「レベル２：機密情報が（どこかに）含まれる（単語単位マスク可能）」というように、機密データの内容・構造等に応じたレベル設定がなされている。
【００５３】
［機密データ情報ファイル］
また、上述した「閲覧対象ファイル定義テーブル」に含まれる「機密データ情報」については、図４（ｂ）に示すように、それぞれ対応する「機密データ情報ファイル」が備えられる。この機密データ情報ファイルには、特定の加工処理が可能な対象文字列や対象加工方法等を記述した辞書ファイルが含まれる。
図４（ｂ）に示す例では、「機密データ情報ファイル」には、当該ファイルの区切り情報（例：ＴＡＢ区切り等）・各カラムの説明（例：ユーザーＩＤ・ユーザー氏名・ユーザー情報等）・機密情報有無（例：含まれない・含む（カラム単位マスク可能）・含む（単語単位マスク可能）等）・辞書定義ファイルの各項目について情報が格納されている。
ここで、辞書定義ファイルとしては、例えば、マスクする対象文字列やマスク方法等が記述された辞書ファイル名が示されており、どの文字列にはどの辞書ファイルを使用するか等が特定・抽出されるようになっている。
【００５４】
以上のような閲覧対象ファイル定義情報（閲覧対象ファイル定義テーブル・機密データ情報ファイル）を備えることにより、業務サーバ１０から転送・コピーされるログファイルについては、定義情報に基づく統制レベル（機密レベル）に応じて、段階的な加工（マスク）処理が実行され、その加工処理の有無・内容に応じて、同一のログファイルについて、加工済みのファイルが段階的に複数生成されて、閲覧サーバ３０に出力・転送されるようになる。
この点を、図５に示すデータ例を参照して説明する。
図５は、中継サーバ２０において閲覧対象ファイル定義情報に基づいて生成・加工されて閲覧サーバ３０に出力されるデータの一例で、（ａ）は加工処理が行われる前のデータ、（ｂ）は閲覧対象ファイル内の機密データが含まれる可能性のあるカラム中の全データをマスキング処理した場合を、（ｃ）は辞書定義ファイルに基づいて機密データを単語レベルでマスキング処理した場合を示している。
【００５５】
図５に示すデータでは、図５（ａ）の点線で囲った部分のデータが、単語レベルでのマスクが行われる機密データである場合である。
まず、対象となるログファイルに、図５（ａ）に示すような機密データが全く含まれていない場合には、中継サーバ２０は、そのファイルについては加工処理を施すことなく、当該ファイルを閲覧サーバ３０に転送することができる。
なお、その場合には、機密データが含まれていないので、閲覧サーバ３０へのファイル転送について、承認者による承認は自動承認又は承認不要とすることができる。
【００５６】
次に、図５（ａ）に示すような単語レベルでのマスクが可能な機密データが含まれている場合に、当該ファイルに「機密レベル１（カラム単位マスク可能）」の統制レベル情報が付与されており、上述した第一段階目のカラム単位の一括マスク処理が行われると、図５（ｂ）に示すような加工済みデータが生成される。
この場合には、当該ファイル中の機密データが含まれている可能性のあるカラムについて、当該カラム中の全データが閲覧不能となるように、カラム単位での一括マスク処理が実行される。図５（ｂ）の例では、該当するカラムの＜処理内容＞として示されるカラム中の全データがマスキング加工され、この状態で加工済みのファイルが閲覧サーバ３０に転送される。
なお、この場合には、機密データが含まる可能性のあるカラムの全データが、予め設定・承認された閲覧対象ファイル定義情報に基づいて加工処理されて閲覧不能となっているので、閲覧サーバ３０へのファイル転送に際して、承認者による承認は自動承認又は承認不要とすることができる。
【００５７】
次に、図５（ａ）に示すような単語レベルでのマスクが可能な機密データが含まれている場合に、当該ファイルに「機密レベル２（単語単位マスク可能）」の統制レベル情報が付与されている場合、又は「機密レベル１」のファイルに対して二段階目の単語マスク処理が行われる場合には、図５（ｃ）に示すような加工済みデータが生成される。
この場合には、閲覧対象ファイル定義情報に基づいて、該当する機密データが抽出され、その機密データが閲覧不能となるように、単語単位でのマスク処理が実行される。図５（ｃ）に示す例では、＜処理内容＞の機密データ部分のみがマスキング加工され、他のデータ部分は閲覧・参照可能となる。その結果、図５（ｃ）の点線で示すように、カラム単位のマスク処理（図５（ｂ）参照）では閲覧不能となっていたエラー原因を示す「エラーコード」が閲覧可能な状態で出力されるようになる。
この場合には、機密データのみが加工されたファイルについて、必要な機密データが全て漏れなく閲覧不能となっているかどうかについて、所定の承認者によるチェック・承認処理が行われた上で、承認済みの加工ファイルが閲覧サーバ３０に転送される。
【００５８】
以上のように、本実施形態では、中継サーバ２０に格納される閲覧対象ファイル定義情報に基づいて、ログファイルに含まれる機密データの内容・レベルに応じて、同一のファイルについて複数の加工済みファイルが段階的に順次出力されることになる。
このように機密レベルに応じて加工方法を異ならせることで、マスキング処理に要する時間や承認者による承認処理の時間がかかっても、閲覧可能な部分から優先的に早期に閲覧・参照させることができるようになり、より迅速な障害対応が可能となる。
【００５９】
例えば、機密データが含まれていないファイルについては、担当者が障害対応者端末４０から対象ファイルの取得依頼を入力・送信すると、中継サーバ２０・閲覧サーバ３０を介して即時に閲覧・参照が可能となる。
その後も、機密データがマスキング処理されたファイルについても、機密レベルや承認者による承認の有無に応じて、順次、複数の加工済みファイルが出力・置換されて、漸次閲覧可能となっていく。
データシステムの障害対応には、機密レベルを含まないログファイルのみを参照することで解決できる場合もあり、また、機密データが閲覧不能であっても、他の閲覧可能な部分があれば対応可能となることも少なくない。
このため、閲覧可能なデータ部分から早急に障害対応を漸進的に開始することができる本実施形態のシステムでは、早期に対応作業を開始して、その後も効率的に順次作業を進行させることができるようになる。
【００６０】
［動作］
次に、以上のような構成からなる本実施形態に係る統制レベル付与データ表示制御装置を備えるシステムの具体的な動作（統制レベル付与データ表示制御方法）について、図６を参照しつつ説明する。
図６は、本実施形態における閲覧対象ファイルの加工・転送・承認・閲覧等の動作の一例を示すフローチャートである。
【００６１】
まず、閲覧対象ファイルの転送・閲覧等の処理に先立って、対象となるログファイルを閲覧する可能性のある担当者は、あらかじめ閲覧対象のログファイルについて機密レベルを含む閲覧対象ファイル定義情報（図４参照）を設定しておく。
閲覧対象ファイル定義情報の内容としては、上述のとおり、「ファイル自体」に機密データが「含まれる・含まれない」か、「機密データが含まれる定型フォーマットのファイル」であれば、「区切り文字で整形した各カラム」に対して機密データが「含まれる（マスク不可）・含まれる（マスク可能）・含まれない」などの情報を設定する。
また、設定した内容については、上述のとおり、承認者による確認が行われた上で、中継サーバ２０の閲覧対象ファイル定義（閲覧対象ファイル情報および機密データ情報）として格納される。
【００６２】
次に、ログファイルを閲覧する必要がある担当者は、図６に示すように、例えばＷＥＢシステム等を利用して、障害対応者端末４０から閲覧サーバ３０にアクセスし、閲覧する対象のファイルを指定して、閲覧のための申請処理、具体的には「カラムマスク済ファイル」の取得リクエストを閲覧サーバ３０に送信する（ステップ１）。
閲覧サーバ３０では、障害対応者端末４０から受信したリクエストに基づいて、対象ファイル取得依頼を中継サーバ２０に送信する（ステップ２）。
【００６３】
中継サーバ２０では、閲覧サーバ３０から受信したリクエストに基づいて、業務サーバ１０から取得対象ファイルを取得するとともに（ステップ３）、取得した対象ファイルに対して、閲覧対象ファイル定義情報に基づいて、機密データの有無を含む加工処理が行われる（ステップ４）。
ここで、中継サーバ２０で取得した対象ファイルについて、ファイル自体に機密データが全く含まれていない場合には、加工処理は不要であり、自動的に承認処理が行われ（又は承認不要で）、対象ファイルが閲覧サーバ３０を経由して障害対応者端末４０に転送される。したがって、障害対応を行う担当者は、対象ファイルの閲覧申請（リクエスト）とほぼ同時に、即時に対象ファイルを参照・閲覧できるようになる。
【００６４】
閲覧対象のファイルについて、ファイル自体に機密データが含まれる場合には、まず、閲覧対象ファイル定義情報に基づいて、当該ファイルの「機密レベル」が判定される。そして、当該ファイルが「機密レベル１」である場合には、二段階のマスク処理のうちの第一段階であるカラム単位で一括マスク処理を行う「カラムマスク処理」が実行される。
「カラムマスク処理」では、対象ファイル中の機密データが「含まれる」カラムが抽出され（図４（ｂ）参照）、該当するカラム中の全データがマスクされた「カラムマスク済ファイル」が生成されて、閲覧サーバ３０に転送される（ステップ４）。
閲覧サーバ３０では、「カラムマスク済ファイル」が受信・格納されるとともに、障害対応者端末４０に対してファイルが転送される（ステップ５）。
これによって、障害対応者端末４０での「カラムマスク済ファイル」の取得が完了し（ステップ６）、障害対応を行う担当者は、自己が操作する障害対応者端末４０において、特定カラムのみがマスクされたデータ（図５（ｂ）参照）を早期に参照できることになる。
【００６５】
「カラムマスク済ファイル」を取得・閲覧した障害対応者端末４０では、引き続き、閲覧対象ファイルについて、二段階目の単語単位のマスク処理による、よりマスク部分の少ない、閲覧可能部分の多いデータとして「辞書マスク済ファイル」の取得申請リクエストが閲覧サーバ３０に送信される（ステップ７）。
また、障害対応者端末４０から、最初に送信されるリクエストに係る閲覧対象ファイルが、「機密レベル２」が付与されたファイルの場合にも、当該リクエストは「辞書マスク済ファイル」として閲覧サーバ３０に送信される（ステップ７）。
閲覧サーバ３０では、障害対応者端末４０から受信したリクエストに基づいて、対象ファイル取得依頼を中継サーバ２０に送信する（ステップ８）。
【００６６】
中継サーバ２０では、閲覧サーバ３０から受信したリクエストに基づいて、業務サーバ１０から取得対象ファイルを取得するとともに（ステップ９）、取得した対象ファイルに対して、閲覧対象ファイル定義情報に基づいて、機密データのレベルに応じた加工処理、ここでは、当該ファイル全体や特定のカラムに含まれる機密データについて、単語単位でマスク処理を行う「辞書マスク処理」が実施される（ステップ１０）。
「辞書マスク処理」では、対象ファイル中に「特定の形式で含まれる」機密データの文字列が、単語単位で、ファイル全体又は特定カラムが抽出され、当該文字列について、閲覧対象ファイル定義で特定される辞書等により所定の方法によってマスク処理が実施される。例えば、特定の文字列のみが閲覧不能にマスクされた「辞書マスク済ファイル」が生成される。
【００６７】
次いで、生成された「辞書マスク済ファイル」は、承認者装置５０において閲覧可能に出力・表示され、マスク後の「辞書マスク済データ」において、必要な機密データが正しく除去されているか否かが管理者によって確認された上で（ステップ１１）、所定の承認処理（ファイル取得承認）が実行される（ステップ１２）。
承認者装置５０でファイル取得承認が実行されると、その承認が中継サーバ２０に送信・反映され、承認された「辞書マスク済ファイル」は、閲覧不能とすべき機密データが確実にマスクされたデータとして閲覧サーバ３０に転送される（ステップ１３）。
閲覧サーバ３０で受信された「辞書マスク済ファイル」は、当該閲覧サーバ３０に配置・格納される（ステップ１４）。このとき、先に「カラムマスク済ファイル」が格納されている場合には、その「カラムマスク済ファイル」と置換されて、「辞書マスク済ファイル」が、閲覧サーバ３０に配置・格納される。
また、承認者装置５０での承認処理が実行されると、対応する障害対応者端末４０に対して、承認処理が完了したことを電子メール等によって通知することができる（図１（ｃ）及び図３（ｂ）参照）。
【００６８】
この状態で、閲覧サーバ３０から障害対応者端末４０に「辞書マスク済ファイル」の受信通知が送信され（ステップ１５）、障害対応者端末４０からは、閲覧サーバ３０に対して「辞書マスク済ファイル」の取得リクエストが送信される（ステップ１６）。
閲覧サーバ３０では、障害対応者端末４０から受信したリクエストに基づいて、「辞書マスク済ファイル」を障害対応者端末４０に転送する（ステップ１７）。
これによって、障害対応者端末４０での「辞書マスク済ファイル」の取得が完了し（ステップ１８）、障害対応を行う担当者は、機密データが単語単位で閲覧不能とされた、より閲覧可能な部分が多いデータ（図５（ｃ）参照）を閲覧・参照することができ、より詳細かつ適切な障害対応作業を行えるようになる。
以上のようにして、本実施形態に係るシステムでは、障害対応時に必要となるログファイルを閲覧可能な部分から順次、スピーディに参照することができるようになり、障害対応の速度を大幅に向上させることができるようになる。
【００６９】
以上説明したように、本実施形態に係る統制レベル付与データ表示制御装置によれば、データシステムに障害が発生した場合に、システムのアプリケーションログや基盤のログを本番環境からコピーして参照する際に、内部統制の観点から本番環境から持ち出しが禁止される機密データを含む対象データについて、ファイル単位・カラム単位・単語単位で機密データが含まれるか否かを抽出・判定することができる。
そして、その機密レベルに応じて、機密データを閲覧不能な状態に加工して、順次公開・閲覧可能としていくことが可能となる。
これによって、機密データが含まれることのある閲覧対象データを、統制上の問題が発生しない形でスピーディに表示可能とすることができるようになる。
【００７０】
また、機密情報についても、機密レベルに応じて公開に必要な手順を切り替えることができるため、機密情報であってもレベルにあった承認を経ることで公開可能とすることができ、特に緊急時に必要となるデータの表示可否をワークフローで制御することが可能となる。
そして、機密レベルの低いものから参照可能データを順次公開させることで、システム障害の対応時に漸進対応を可能とすることできる。
【００７１】
また、本発明では、システム上のいずれの単位でもマスク処理の対象とすることができ、上述した特許文献１におけるようなデータベースのテーブル構造単位のデータのみに限定されず、機密情報をカラム単位やテーブル単位・単語単位といったきめ細かいレンジを設定して制御することが可能であり、また、マスクの完全性が担保できないような場合には、管理者・承認者によるチェック・承認等を挟むことで公開を可能とすることもできる。
これによって、特定のデータ構造、例えばテーブル構造が確立したデータベースのみに対象が限定されることなく、非定形のアプリケーションログファイル等であっても対象とすることができる。
【００７２】
このように、本発明では、閲覧対象ファイルに機密データが含まれる場合に、機密データの加工処理が完了したファイルから優先的に順次出力させることで、閲覧対象ファイルを機密レベルに応じて段階的に閲覧可能とすることができる。
これによって、機密データの秘密漏洩を確実に防止しつつ、障害発生に対して必要となるファイルを可能な限り早期に閲覧・参照させることで、システムの迅速・的確な復旧作業等が行えるようになる。
また、本発明では、対象となるデータシステム・データ構造に対して、柔軟性・汎用性・拡張性に富む、優れた障害対応システムを提供することができるようになる。
【００７３】
これによって、個人情報などの機密データを大量に含む膨大なファイルが取り扱われる金融業や小売・流通業等の業務で運用されるデータシステムのように、特に障害復旧の緊急性・迅速性が要求される一方で、機密データの流出・漏洩は絶対にあってはならないデータシステム・業務システムにおいても、障害発生時等におけるログファイルの迅速な出力・参照と、機密情報の保護という、相反する要請の両立を図ることが可能となる。
したがって、本発明によれば、例えば数百台〜数千台，数万台オーダーの管理対象装置を備える大企業のデータシステムや、複数企業等の異なるデータを大量に取り扱うデータシステムの運用を業務として請け負う情報システム企業が所有する巨大なサーバシステム群で運用・管理されるシステムにおいても、障害発生時の迅速かつ的確・適切な対応と、機密データの流出防止の万全化の両立が図られ、安定的なシステム運用を実現することができる。
【００７４】
以上、本発明について、好ましい実施形態を示して説明したが、本発明は、上述した実施形態に限定されるものではなく、本発明の範囲で種々の変更実施が可能であることは言うまでもない。
【００７５】
例えば、上述した実施形態では、本発明に係る「統制レベル情報」として、「機密レベル」と「機密データ情報」の二つの情報を生成・格納するようにしていたが、これ以外の情報を「統制レベル情報」として備えることもできる。例えば、対象ファイルに含まれる機密情報が「個人情報」に関するものであるのか、「セキュリティ情報」に関するものであるのか、それ以外の情報であるのかを示す機密情報の属性情報を、「統制レベル情報」として生成・記憶することもできる。
また、本発明が対象とする「機密情報」としては、「個人情報」と「セキュリティ情報」の二つに限定されるものではなく、それ以外の情報であっても、外部への流出・漏洩が防止されるべき情報であるかぎり、本発明の「機密情報」として保護の対象とすることができる。
また、上記実施形態では、「統制レベル情報」として設定される「機密レベル」について、三段階のレベル（機密レベル０，１，２）を設定していたが、本発明に係る「機密レベル」は、三段階に限定されるものではなく、例えば、二段階や、四段階以上とすることも勿論可能である。
【００７６】
また、上述した実施形態では、本発明に係る統制レベル付与データ表示制御装置が適用されるデータシステムとして、複数の管理対象装置において実装・運用される大規模データシステムを想定して説明したが、本発明が適用可能なデータシステムや管理対象装置は、その規模の大小やシステムの内容については特に限定されるものではない。
システムの障害発生時に、ログファイルを出力・参照した迅速な対応が必要であり、かつ、そのログファイルには外部に流出・漏洩させてはならない機密データが多数含まれるデータシステムや情報処理装置であれば、システムの規模や内容はどのようなものであっても本発明を適用・実施することができる。
【符号の説明】
【００７７】
１０  業務サーバ
２０  中継サーバ（統制レベル付与データ表示制御装置）
２１  記憶手段
２２  閲覧対象ファイル制御手段
３０  閲覧サーバ
４０  障害対応者端末
５０  承認者装置
【図１】
0006718688.tif 000002
【図２】
0006718688.tif 000003
【図３】
0006718688.tif 000004
【図４】
0006718688.tif 000005
【図５】
0006718688.tif 000006
【図６】
0006718688.tif 000007