(57)【要約】【課題】  ユーザが印刷出力を行なった際に記録された操作ログから漏洩した機密情報の流出元を特定する機能を持つシステム上で、データがバックアップまたは削除される際に、機密度が高いと判断された操作ログの検索インデックスを検索機能を持つ監査サーバ上に残すことで操作ログが検索不能な外部バックアップメディアに格納された場合でも監査サーバ上で追跡することが可能になる。【解決手段】  原稿を印刷出力する原稿出力手段を持つ複合機と、前記原稿出力手段を用いた操作の内容を記録する操作ログ記録手段と、前記操作ログ記憶手段を検索可能とする検索インデックスとを備える。【選択図】  図７
2007041945.tif 000002
【特許請求の範囲】
【請求項１】
電子文書を記憶する電子文書記憶手段と、前記電子文書記憶手段に含まれる電子文書を電子画像に変換する電子画像作成手段と、前記電子画像作成手段により作成された電子画像を原稿に出力する画像出力手段と、前記画像出力手段を用いた操作の内容を記録する操作ログ記憶手段と、前記操作ログ記憶手段を検索可能とする検索インデックスとを備え、前記操作ログが移動またはバックアップされた際に前記検索インデックスを残し検索を可能とすることを特徴とする情報処理装置。
【請求項２】
さらに機密性を示すスコアを計算する機密性スコア計算手段と、前記機密性スコア計算手段により計算されたスコアを元に前記検索インデックスの有効期限を決定する有効期限決定手段とを備え、前記検索インデックスを残すか否かの判断に前記有効期限を基準として用いることを特徴とする請求項１記載の情報処理装置。
【請求項３】
前記機密性スコア計算手段は、前記検索インデックスの機密性スコアが変化した際に再計算を行なう手段を有することを特徴とする請求項1〜２記載の情報処理装置。
【請求項４】
前記検索インデックスが削除される際に、ユーザにその旨を提示する手段を有することを特徴とする請求項１〜３記載の情報処理装置。
【請求項５】
原稿を読み取り画像に変換する画像入力手段と、前記画像入力手段によって入力された電子画像を原稿に出力する画像出力手段と、前記画像出力手段を用いた操作の内容を記録する操作ログ記憶手段と、前記操作ログ記憶手段を検索可能とする検索インデックスとを備え、前記操作ログが移動またはバックアップされた際に前記検索インデックスを残し検索を可能とすることを特徴とする情報処理装置。
【請求項６】
さらに機密性を示すスコアを計算する機密性スコア計算手段と、前記機密性スコア計算手段により計算されたスコアを元に前記検索インデックスの有効期限を決定する有効期限決定手段とを備え、前記検索インデックスを残すか否か判断する際に前記有効期限を基準として用いることを特徴とする請求項５記載の情報処理装置。
【請求項７】
前記機密性スコア計算手段は、前記検索インデックスの機密性スコアが変化した際に再計算を行なう手段を有することを特徴とする請求項５〜６記載の情報処理装置。
【請求項８】
前記検索インデックスが削除される際に、ユーザにその旨を提示する手段を有することを特徴とする請求項５〜７記載の情報処理装置。
【請求項９】
電子文書を記憶する電子文書記憶工程と、
前記電子文書記憶手段に含まれる電子文書を電子画像に変換する電子画像作成工程と、
前記電子画像作成手段により作成された電子画像を原稿に出力する画像出力工程と、
前記画像出力工程の操作の内容を記録する操作ログ記憶工程と、
前記操作ログ記憶手段を検索可能とする検索インデックスとを備え、前記操作ログが移動またはバックアップされた際に前記検索インデックスを残し検索を可能とすることを特徴とする情報処理方法。
【請求項１０】
原稿を読み取り画像に変換する画像入力工程と、
前記画像入力工程で入力された電子画像を原稿に出力する画像出力工程と、
前記画像出力工程を用いた操作の内容を記録する操作ログ記憶手段と、
前記操作ログ記憶手段を検索可能とする検索インデックスとを備え、前記操作ログが移動またはバックアップされた際に前記検索インデックスを残し検索を可能とすることを特徴とする情報処理方法。
【請求項１１】
前記請求項１〜８のいずれか１つに記載の情報処理装置または方法の各手段としてコンピュータを機能させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、機密情報の漏洩経路の追跡が可能な情報処理装置におけるバックアップに関する
【背景技術】
【０００２】
近年、コピー、印刷、ＦＡＸ等の機能を搭載した複合機などの機器の普及により、一般のユーザが簡単に原稿の複写や電子文書の印刷を行うことができるようになった。それに伴い、機密性の高い情報を簡単に出力して外部に持ち出すことができてしまうことが大きな問題となっている。
【０００３】
このような場合に対応するために、情報の出力結果を管理し情報漏洩後に流出元を追跡するための技術が提案されている。複写機により読み込まれた画像データと、利用者名、利用日時、コピー枚数、コピー世代数などの操作ログ情報を関連付けて保存し、これらのログ情報から流出経路を追跡する手法などである（例えば、[特許文献１]参照）。このような手法では、ユーザが複写機を用いて印刷出力を行なう度にログ情報を登録するため、ログを管理する監査サーバには非常に大きな記憶領域を必要とする。例え大きな記憶領域を使用していたとしても、ユーザ操作の度に増えつづけるログによっていつかはあふれてしまう。
【０００４】
したがって、一般にこのようなシステムでは、ある時間の期限を設けて、その期限が終了した時点で全ての操作ログ情報を他のメディアにバックアップすることが行なわれている。
【特許文献１】特開平６−２０１２２号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかしながら、上記従来の技術では、不正な印刷出力が行なわれたログが既にテープドライブなどの検索不能なバックアップメディアにバックアップされていた場合には、バックアップメディアを一旦リストアして検索を行い、どのメディアに該当するログが含まれているのか調べる必要がある。
【課題を解決するための手段】
【０００６】
上記課題を解決するために、請求項１の情報処理装置では、電子文書を記憶する電子文書記憶手段と、前記電子文書記憶手段に含まれる電子文書を電子画像に変換する電子画像作成手段と、前記電子画像作成手段により作成された電子画像を原稿に出力する画像出力手段と、前記画像出力手段を用いた操作の内容を記録する操作ログ記憶手段と、前記操作ログ記憶手段を検索可能とする検索インデックスとを備え、前記操作ログが移動またはバックアップされた際に前記検索インデックスを残し検索を可能とすることを特徴とする。
【０００７】
請求項５の情報処理装置では、原稿を読み取り画像に変換する画像入力手段と、前記画像入力手段によって入力された電子画像を原稿に出力する画像出力手段と、前記画像出力手段を用いた操作の内容を記録する操作ログ記憶手段と、前記操作ログ記憶手段を検索可能とする検索インデックスとを備え、前記操作ログが移動またはバックアップされた際に前記検索インデックスを残し検索を可能とすることを特徴とする。
【０００８】
前記請求項１〜８のいずれか１つに記載の情報処理装置または方法の各手段としてコンピュータを機能させるためのプログラムを提供する。
【発明の効果】
【０００９】
以上詳述したように、本発明に係る情報処理装置によれば、ユーザが印刷出力を行なった操作ログから漏洩した機密情報の流出元を特定するチェーシング機能を持つシステム上で、機密度が高いと判定された操作ログの検索インデックスの有効期限を延ばし、監査サーバ上に残すことで、操作ログと操作ログの検索インデックスがテープドライブなどの検索不能な外部のバックアップメディアに追い出された場合でも監査サーバ上で追跡作業をすることが可能になる。
【発明を実施するための最良の形態】
【００１０】
＜実施形態１＞
本願発明の実施の形態について説明する。図１は本願発明にかかる画像処理システム構成例を示すブロック図である。この画像処理システムは、オフィス10とオフィス20とをインターネット104で接続された環境で実現する。オフィス10内に構築されたLAN107には、MFP100、MFP100を制御するマネージメントPC101、クライアントPC（外部記憶手段）102、文書管理サーバ106、そのデータベース105およびプロキシサーバ103が接続されている。LAN107及びオフィス20内のLAN108はプロキシサーバ13を介してインターネット104に接続される。MFP100は本発明において紙文書の画像読み取り部と読み取った画像信号に対する画像処理の一部を担当し、画像信号はLAN109を用いてマネージメントPC101に入力する。マネージメントPCは通常のPCであり、内部に画像記憶手段、画像処理手段、表示手段、入力手段を有するが、その一部をMFP100に一体化して構成されている。
【００１１】
図２はＭＦＰ１００の構成図である。図２においてオートドキュメントフィーダー（以降ＡＤＦと記す）を含む画像読み取り部１１０は束状の或いは１枚の原稿画像を図示しない光源で照射し、原稿反射像をレンズで固体撮像素子上に結像し、固体撮像素子からラスター状の画像読み取り信号をイメージ情報として得る。通常の複写機能はこの画像信号をデータ処理部１１５で記録信号へ画像処理し、複数毎複写の場合は記録部１１１に一旦一ページ分の記録データを記憶保持した後、記録部１１２に順次出力して紙上に画像を形成する。
【００１２】
一方クライアントＰＣ１０２から出力されるプリントデータはＬＡＮ１０７からネットワークＩＦ１１４を経てデータ処理部１１５で記録可能なラスターデータに変換した後、前記記録部で紙上に記録画像として形成される。
【００１３】
ＭＦＰ１００への操作者の指示はＭＦＰに装備されたキー操作部とマネージメントＰＣに入力されるキーボード及びマウスからなる入力部１１３から行われ、これら一連の動作はデータ処理部１１５内の図示しない制御部で制御される。
【００１４】
一方、操作入力の状態表示及び処理中の画像データの表示は表示部１１６で行われる。なお記憶部１１１はマネージメントＰＣからも制御され、これらＭＦＰとマネージメントＰＣとのデータの授受及び制御はネットワークＩＦ１１７および直結したＬＡＮ１０９を用いて行われる。
【００１５】
ここで、本発明に係るシステムにより提供されるチェーシング機能について説明する。
【００１６】
〔チェーシング機能〕
チェーシング機能とは、不正なコピー/印刷が判明した後で不正操作者を追跡するための機能である。ユーザがコピー/印刷操作を行なった際に、操作者や操作内容などをログに格納しておく。後に機密情報の流出が明らかになった時に流出した文書或いはキーワードを用いて管理者が操作ログの検索を行い流出元を明らかにする。
【００１７】
図３は、本発明による情報処理装置を実現するための構成図である。
2001は、一般のユーザであり、複合機2003を利用して原稿2002をコピー出力する指示を行なう。
【００１８】
複合機2003は、スキャナ、コピー、印刷などの複数の機能を持つデバイスであって、ユーザインタフェース上でユーザ2001が指定した依頼内容に基づいてそれぞれの処理を行なう。複合機2003は、原稿入力部2004を備え、原稿2002を光学的手法で読み取り電子画像データとして保存する。
【００１９】
2006は、チェーシング機能を実現するために複合機2003の利用状況を監視する監査サーバであり、ネットワーク2005を介して複合機2003と接続している。
【００２０】
ネットワーク2007を介して監査サーバ2006と接続されている操作ログ2008は、監査サーバ2006によって収集された複合機2003の操作履歴を格納するための記憶装置である。操作ログに格納される内容は、操作内容、ユーザ名、操作時刻、など管理者が不正操作を行なったユーザを特定するための情報を含む。また、操作ログ2008は、不正操作追跡時にログの中身の検索を可能にするための検索インデックス2009を備える。
【００２１】
2010は、機密情報データベースであり、管理者があらかじめ機密文書や機密キーワードなどを格納しておく。ここで、機密キーワードとは、電話番号や住所などの個人情報、開発中の製品の内部名などを含むキーワードである。
【００２２】
図４は、本発明による情報処理装置の一実施例における処理の流れを示すフローチャートである。
【００２３】
一般に、コピー/印刷/スキャン/Faxなどの機能を備える複合機では、あらかじめ操作の権限があるユーザを登録しておき、操作時にユーザ認証を行なうことにより権限のないユーザがデバイスを使用することが不可能になっている。ステップS2101は、図３の一般ユーザ2001が原稿2002をコピー/印刷するために複合機2003に備えられているユーザインタフェース上でユーザ認証を行ない、複合機2003の使用許可を得るステップである。
【００２４】
ステップS2102は、ステップS2101でログインに成功したユーザがコピー/印刷出力のための条件を入力するステップである。S2012でユーザは操作内容や出力原稿の枚数、書式などの情報を指定することができる。
【００２５】
ステップS2103は、ユーザが原稿2002を複合機2003の所定の場所にセットし、複合機のスタートボタンを押下してステップS2102で入力した内容に基づいて原稿を出力するように2003に指示するステップである。
【００２６】
ステップS2103で原稿出力命令が入力されると、複合機2003では、原稿2002を光学的な手法で読み取り電子画像として保存する。読み取った電子画像はステップS2102で入力された書式に変換して印刷ページイメージとして保持する。
【００２７】
ステップS2105は、ステップS2104で作成された印刷ページイメージをステップS2102で指定された枚数だけ複合機2003の原稿出力部に出力するステップである。
【００２８】
この時点でユーザから見たコピー/印刷操作は完了する。以降はチェーシング機能を実現するための処理である。
【００２９】
ステップS2106は、機密情報の漏洩が明らかになった際に管理者によって流出経路を追跡できるように操作ログを保存するステップである。ここで登録するログの内容は、ステップS2101で認証を行なった際に得られるユーザ情報や、ステップS2102でユーザによって指定された操作内容の情報、操作時刻などを含む。
【００３０】
ステップS2107では、まずＯＣＲで得られた電子画像からレイアウト解析を行い画像部分、テキスト部分などの領域に分割する。次に、文字認識を行い、テキストブロック内の文字を抽出する。次に、画像領域の画像解析、テキスト領域の文書解析を行なって各領域に含まれる画像や文書の特徴量を抽出する。
【００３１】
ステップS2108では、ステップS2106で登録された操作ログ情報と、ステップS2107で解析された情報を利用して検索インデックスを作成する。検索インデックスは、例えば管理者がキーワードを入力して検索が可能となるように、文書と文書に含まれている単語や単語の数などを対応付けて格納しておく。
【００３２】
ステップS2109は、検索インデックスの有効期限を計算するステップである。操作ログと検索インデックスをバックアップする際に有効期限内の検索インデックスは監査サーバに残しておく。これにより、有効期限内の操作ログはバックアップメディアに格納されて監査サーバ上に存在しなくても管理者が検索することが可能になる。検索インデックスの有効期限を計算するステップの詳細については後に述べる。
【００３３】
図５は、図４のステップにおけるS2109検索インデックス有効期限の計算の詳細を示したフローチャートである。
【００３４】
本発明の情報処理装置の目的は、操作ログがバックアップされた後にも監査サーバ上で流出元のログを検索することを可能にするというものである。つまり、なるべく機密度の高い原稿が出力されたことを示す操作ログの検索インデックスが監査サーバ上にあることが望ましい。そこで、本発明の情報処理装置では、検索インデックスの有効期限という概念を導入する。機密性の高い文書を含む検索インデックスの有効期限を大きくして操作ログと操作ログ検索インデックスをバックアップする際に有効期限の小さなものから監査サーバ外に追い出していく。このようにして、機密情報の流出元を追跡するのに必要な機密度の高い文書を含む操作ログの検索インデックスが常に監査サーバ上に存在することになる。
【００３５】
ステップS2201で、各操作ログの検索インデックスの有効期限を０に初期化する。
【００３６】
ステップS2202では、機密情報DB2010に格納されている機密キーワードをクエリとして検索インデックス2009を検索するステップである。機密キーワードとは、例えば電話番号や住所などの個人情報のパターンを持つキーワードや、固有表現、製品発表前の製品開発コード名などの機密情報を表したキーワードであり、あらかじめ管理者が機密情報DB2010に格納しておく。それぞれの機密キーワードは、管理者によって有効期限を付与されている。例えば、製品開発コード名ならば製品発表が行なわれるまでの期間を有効期限とするなどである。
【００３７】
ステップS2203で、各操作ログの検索インデックスがクエリの機密キーワードを含むか否かの判定を行い、機密キーワードを含むならステップS2204に、含まないならステップS2206に進む。
【００３８】
ステップS2204では、検索クエリとなっている機密キーワードの有効期限が操作ログの検索インデックスの有効期限より大きいか否かの判定を行なう。大きければステップS2205に進んで検索インデックスの有効期限を機密キーワードの有効期限とする。小さければステップS2206へ進む。
【００３９】
ステップS2206では、全ての機密キーワードについて検索が行われたかどうか判断を行い、行なわれていなければステップS2202へ戻って別の機密キーワードで検索を行う。全ての機密キーワードについて検索が終わると操作ログの検索インデックスの有効期限の計算が終了する。
【００４０】
なお、ここでは機密キーワードの有効期限を管理者が決定し、各検索インデックスが含む機密キーワードの有効期限のうち最も大きいものを検索インデックスの有効期限としたが、必ずしもそれに限定されるものではない。機密情報DBに含まれている機密情報と操作ログに格納されている検索インデックス内の情報の類似度を求めて類似度の高いものほど有効期限を大きくするという方法でもよい。機密性という観点によって検索インデックスの有効期限が定まる手法であれば、これらに限定されるものではない。
【００４１】
このようにしてチェーシング機能のうちユーザ操作から操作ログ登録までが行なわれる。
【００４２】
次に、チェーシング機能において情報漏洩時に流出文書から流出元を追跡する処理について図６を参照して説明する。
【００４３】
図６において、流出した文書、あるいはキーワードが判明した後、管理者3001は端末3002に流出文書3003から得られた検索クエリを入力し、監査サーバ2006に対してログの検索問い合わせを行なう。監査サーバはネットワーク2007を介して接続されている記憶装置上にある検索インデックス2009の検索を行なう。検索の手法は、流出したと思われるキーワードを入力してもよく、流出したとする文書に類似した文書を探すようにしても良い。検索の結果、操作ログ2008から流出した情報に近い文書を出力したユーザの一覧を作成、端末3002に結果を返す。管理者3001はこの結果に基づいて情報の流出元を特定する。
【００４４】
以上のように、ユーザが原稿を出力するたびに操作ログを保存し、情報漏洩時に管理者が検索を行なうことで情報の流出元の記録を追跡することができる。
【００４５】
以上で説明したチェーシング機能では、ユーザが複合機を使用して印刷出力を行なう度に操作ログが増加してゆき、いつかは記憶領域を使い果たしてしまう。したがって、ある一定期間、或いは記憶領域の使用量がある量を超えた時点で操作ログをバックアップするか、或いは削除する作業が必要になる。ここでは一定期間ごとに管理者が操作ログをバックアップするという状況を想定する。
【００４６】
図７と図８を利用して、本発明の情報処理装置において操作ログがバックアップされる際の流れを説明する。
【００４７】
図８のステップS4101は、バックアップのために設定された一定期間が過ぎ、図７のユーザ4001が端末4002を使用して監査サーバ4003にバックアップの指示を送るステップである。ここでは管理者がバックアップ指示を出しているが、一定期間後に自動的にバックアップ命令が出されるようにしてもよい。
【００４８】
ステップS4102は、機密情報DB2010が前回の操作ログ登録作業が終わった状態から更新されたかどうかを判定するステップである。機密情報DBに含まれる機密文書や機密キーワードの中には、時間が立てば機密で無くなる情報なども存在する。そのような場合には管理者が機密情報DBから削除したり、或いは新しく追加することもできるようにする。機密情報DBが更新されていればステップS4103に進んで検索インデックスの有効期限を再計算する必要がある。検索インデックスの再計算は、図５で示したフローと同様に行なわれる。機密情報DBが更新されていなければ、ステップS4104へ進む。
【００４９】
ステップS4104では、図７で示すように操作ログ4006を圧縮してバックアップメディア4008へ格納する。図６の操作ログ2008が存在していた記憶領域は解放され、新しい操作ログを書き込むことができる。
【００５０】
次に、ステップS4105は、バックアップ作業を行なっている現時点でステップS4103で付与した検索インデックスの有効期限が切れているか否かを判断するステップである。いまだ有効期限内であれば該当する操作ログの検索インデックスをコピーして新しい検索インデックスに追加する。このとき、追加された検索インデックスがどのバックアップメディアに格納されているかを示す情報を追加しても良い。このインデックスは図７の4005にある検索インデックスであり、この検索インデックスはバックアップ後も監査サーバ上に残る。有効期限が切れていれば何もせずにステップS4107へ進む。
【００５１】
ステップS4107は、全ての検索インデックスに対して有効期限が切れているかどうかを調べたか否かを判定するステップである。全てを調べたならばステップS4108へ進み、まだ調べていないインデックスが存在するならばステップS4015へ戻る。
【００５２】
ステップS4108では、図７のように検索インデックス4007をバックアップメディア4008に格納するステップである。
【００５３】
このような処理によって、有効期限の長いもの、つまり、機密度の高い文書の操作ログの検索インデックスが常に監査サーバ上に存在し、検索することが可能になる。
【００５４】
本発明の目的は前述した実施例の機能を実現するソフトウエアのプログラムコードを記録した記録媒体を、システムあるいは装置に供給し、そのシステムあるいは装置のコンピュータ（またはＣＰＵまたはＭＰＵ）が記録媒体に格納されたプログラムコードを読み出し実行することによっても、達成されることは言うまでもない。この場合、記憶媒体から読み出されたプログラムコード自体が前述した実施形態の機能を実現することとなり、そのプログラムコードを記憶した記憶媒体は本発明を構成することになる。
【００５５】
プログラムコードを供給するための記憶媒体としては、例えば、フレキシブルディスク、ハードディスク、光ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＣＤ−Ｒ、磁気テープ、不揮発性のメモリカード、ＲＯＭ、ＤＶＤなどを用いることができる。
【００５６】
また、コンピュータが読み出したプログラムコードを実行することにより、前述した実施例の機能が実現されるだけでなく、そのプログラムコードの指示に基づき、コンピュータ上で稼動しているOperating System（ＯＳ）などが実際の処理の一部または全部を行い、その処理によって前述した実施例の機能が実現される場合も含まれることは言うまでもない。
【００５７】
さらに、記憶媒体から読み出されたプログラムコードが、コンピュータに挿入された機能拡張ボードやコンピュータに接続された機能拡張ユニットに備わるメモリに書きこまれた後、そのプログラムコードの指示に基づき、その機能拡張ボードや機能拡張ユニットに備わるＣＰＵなどが実際の処理の一部または全部を行い、その処理によって前述した実施形態の機能が実現される場合も含まれることは言うまでもない。
【図面の簡単な説明】
【００５８】
【図１】本発明の実施形態に係るシステムの構成を示すブロック図である。
【図２】本発明の実施形態に係るMFPの構成を示すブロック図である。
【図３】本発明の実施形態に係る操作ログ登録時の構成を示す図である。
【図４】本発明の実施形態に係る操作ログ登録作業の手順を示すフローチャートである。
【図５】本発明の実施形態に係る検索インデックスの有効期限を計算する手順を示すフローチャートである。
【図６】本発明の実施形態に係る機密情報流出元を特定時の構成を示す図である。
【図７】本発明の実施形態に係る操作ログバックアップ時の構成を示す図である。
【図８】本発明の実施形態に係る操作ログバックアップ時の構成を示す図である。
【図１】
2007041945.tif 000003
【図２】
2007041945.tif 000004
【図３】
2007041945.tif 000005
【図４】
2007041945.tif 000006
【図５】
2007041945.tif 000007
【図６】
2007041945.tif 000008
【図７】
2007041945.tif 000009
【図８】
2007041945.tif 000010