JP2007172054A - 情報漏えい抑止ジョブ履歴管理システム - Google Patents

Abstract

【課題】 プリンタからの印刷ジョブとＭＦＰでのコピー／ＦＡＸ／Ｓｅｎｄなどの出力ジョブのジョブ追跡情報を蓄積・管理することで情報漏えいを抑止するシステムにおいて、印刷ジョブのジョブ追跡情報を蓄積しないで出力するような不正印刷を防止すること。
【解決手段】 プリンタドライバあるいはその付加機能に、ジョブ追跡情報取得の有無を印刷ジョブの属性として持ち、プリンタあるいはプリントサーバにおいて前記ジョブ追跡情報取得の有無に従って、印刷実行の可否を制御する。
【選択図】 図７

Description

本発明は、情報処理装置および情報処理方法に関し、詳しくはパーソナルコンピュータ等の情報処理装置とプリンタなどの印刷装置、およびＭＦＰなどのコピー、印刷、ＦＡＸ、Ｓｅｎｄなどのジョブ出力装置を有して構成されるシステムにおいて、特に前記ジョブ出力装置および印刷装置から出力されたジョブの内容を蓄積し追跡可能とすることで情報漏洩を抑止するジョブ履歴管理システムに関するものである。

近年、企業の顧客情報等の機密情報漏えい事件が頻発している。一度情報漏えい事件が公になると、情報漏えいを起した企業に対する信用を失うことに加え、損害賠償や対応に莫大な出費を強いられる事例が多発している。

従来の情報漏えい事件とは比べものにならないほど大規模な情報漏えい事件が発生しており、より適切な情報漏えい対策が情報を管理する側に求められている。

この背景には、情報のデジタル化、ネットワーク化、モバイル化が進展したことに伴い、一度に大量の情報にアクセスすることが可能になると共に、情報の可搬性が飛躍的に向上したことなどがあり、今後もこれらの傾向は加速していくことは必至である。

従来、情報漏えい対策として広く用いられている手法として、機密情報またはこれを格納するストレージサーバなどにアクセス権を設定することで機密情報にアクセスできる人を限定する方法がある。

しかしながら、近年の情報漏えい事件は機密情報へのアクセスを許可された人物の意図的な内部犯行が圧倒的に多い傾向にあり、もはやアクセス権を設定することによる情報漏えい抑止効果だけでは充分な情報漏えい対策とは言えない。

一方、情報漏えいから守るべき情報として、大企業の顧客情報に代表されるような量的に膨大な情報のみではなく、情報量は少ないが質的に重要な情報も考慮に入れる必要がある。このような情報は、プリンタからの印刷物、あるいはＭＦＰでのコピー、印刷、ＦＡＸ、Ｓｅｎｄ機能での出力結果として容易に持ち出すことが可能であり、これらの出力ジョブについても情報漏えい抑止を意識した対策が望まれている。

本発明は、このプリンタからの印刷あるいはＭＦＰでのコピー、印刷、ＦＡＸ、Ｓｅｎｄといった出力ジョブについて、実行されたジョブの出力内容を蓄積し情報追跡を可能にする情報漏えい抑止方法に関するものである。

本発明の技術分野の中で、プリンタからの印刷について情報漏洩抑止のための手段がいくつか発明されてきた。例えば、プリントサーバにより印刷データを再印刷可能な状態で保管すると共に、ジョブ名、クライアント名、ユーザ名などの情報を取得しタイムスタンプを付加したり、更には印刷データからビットマップを生成したりして印刷ログとして保管する方法（特許文献１参照）。

同様にプリントサーバはクライアントＰＣから印刷データを受信すると同時に、ユーザを一意に特定できる情報も受信し、この印刷データとユーザ情報を元に印刷ログを生成し検索、閲覧、再印刷を可能とする方法（特許文献２参照）である。

また、クライアントＰＣのプリンタドライバあるいはその付加機能として、印刷データから画像及びテキストを取得し、同時にジョブ名、クライアント名、ユーザ名などを合わせて、ジョブ追跡情報としてプリントサーバを経由してアーカイブサーバに蓄積する方法も考案されている（方法３）。
特開２００２−１４９３７１号公報 特開２００４−１１８２４３号公報

しかしながら、上記従来例（特許文献１、２）ではクライアントＰＣからプリントサーバを経由しないプリンタを選択して印刷することで、プリントサーバを経由しないためにジョブ追跡情報が蓄積されない状態で印刷できてしまう。また方法３においては、管理者に成りすましプリンタドライバの追加機能をＯＦＦにすることで、プリントサーバを経由してもジョブ追跡情報を蓄積しない状態で印刷できてしまうという抜け道があった。

導入されているプリンタがすべて、デバイスでジョブ追跡情報を取得することのできるＭＦＰであれば、上記のようなプリントサーバを経由しない印刷、あるいはプリンタドライバの付加機能がＯＦＦの状態での印刷のケースでも、プリンタでジョブ追跡情報を取得しアーカイブサーバに蓄積することができる。しかしながら、ジョブ追跡情報取得機能を持たないレガシーのＭＦＰ、あるいはジョブ追跡情報を搭載するだけの十分なディスクドライブなどのリソースを持たないプリンタでは、大きなコストをかけてまでジョブ追跡機能を搭載することは避けたいところである。

従って比較的コストのかからない方法で、このジョブ追跡情報取得の抜け道を塞ぐことが急務となっている。

本発明では、上記従来例の課題である、プリンタからの印刷についてのジョブ追跡情報取得の抜け道を塞ぐために、以下の手段をもつ
・ プリンタドライバあるいはその付加機能に、ジョブ追跡情報取得の有無を印刷ジョブの属性として持つ。

・ プリンタあるいはプリントサーバにおいて前記ジョブ追跡情報取得の有無に従って、印刷実行の可否を制御する。

・ プリンタあるいはプリントサーバにおいて前記ジョブ追跡情報取得の有無に従って印刷実行を拒否された場合に、その印刷ジョブの追跡情報を取得する。

以上の説明のとおり、本発明ではクライアントＰＣでのジョブ追跡情報取得機能をＯＦＦにするあるいは外すといった方法で、ユーザが不正印刷を行おうとしたときに、印刷ジョブの属性に含まれるジョブ追跡情報取得の有無をチェックすることで、ジョブ追跡情報が取得されていない印刷ジョブは印刷させないという制御を可能とした。

さらに、上記のような不正な印刷ジョブの追跡情報を蓄積しておくことにより、事前に管理者に不正印刷を行おうとしたユーザを通知したり、情報漏えい時の絞込みの一要因として、不正印刷を行おうとしたユーザのユーザ名を使用することも可能となる。

以下、図面を参照して本発明の実施例を説明する。

なお、ドライバエージェントあるいはＭＦＰエージェントからのジョブ追跡情報のアーカイブサーバへの送信はネットワークを介して行われるものとする。

図１は、本発明の実施例のシステム構成を示すブロック図である。図中、１０は各構成要素を接続するＬＡＮのようなネットワーク、１１は印刷データを出力するプリンタ、１２はプリントサーバ機能を持ちドライバエージェントが動作するプリントサーバ、１３および１４はユーザの操作によりアプリケーションから印刷指示を出すクライアントPC−ＡおよびクライアントＰＣ−Ｂ、１５はユーザ操作によりコピー、印刷、ＦＡＸ、Ｓｅｎｄなどの各ジョブを出力し、ＭＦＰエージェントが動作するＭＦＰ、１６はジョブ追跡情報を蓄積・管理するアーカイブサーバ、１７はアーカイブサーバ上の印刷ログ情報を管理・検索するための管理クライアントである。

プリントサーバ１２には対象となるプリンタ１１用のプリンタドライバおよび印刷ログ取得のためのＡｄｄ−ｉｎモジュールがインストールされており、いわゆるポイント・アンド・プリント機能によりクライアントPC−Ａ１３にも同等のプリンタドライバおよびＡｄｄ−ｉｎモジュールがインストールされる。印刷時には印刷データはクライアントPC１３からプリントサーバ１２経由でプリンタ１１に送られ、出力され、同時にジョブ追跡情報がクライアントＰＣ１３のＡｄｄ−ｉｎモジュールからプリントサーバ１２のドライバエージェントに送られる。なお、クライアントＰＣ−Ｂ１４はユーザが独自にプリンタドライバをインストールし、直接プリンタ１１に印刷できてしまい、ジョブ追跡情報の取得もされない。

またプリントサーバ上のＡｄｄ−ｉｎでは、ジョブ追跡情報取得のＯＮ／ＯＦＦの設定ができ、それがポイント・アンド・プリント機能によりクライアントＰＣ−Ａ１３のＡｄｄ−ｉｎにも伝わる。

図２は、図１のプリントサーバ１２、クライアントＰＣ―Ａ１３、クライアントＰＣ−Ｂ１４、アーカイブサーバ１５あるいは管理クライアント１６のハードウェア構成を示すブロック図である。いずれもＩＢＭ−ＰＣ／ＡＴ互換機などの汎用ＰＣなので同じブロック図としている。図中、２１は内部バスで接続される各デバイス（後述のＲＯＭ、ＲＡＭ他）を直接或いは間接的に制御し、本発明を実現するためのプログラムを実行するＣＰＵである。２２はＢＩＯＳなどの基本ソフトウェアを格納してあるＲＯＭ。２３はＣＰＵ２１のワーク領域として利用されたり、本発明を実現するためのプログラム（プリンタドライバおよびＡｄｄ−ｉｎ、ドライバエージェントの特に第７図に示すようなジョブ追跡情報送信、アーカイブサーバ１５の特に図８に示すようなジョブ追跡情報受信、あるいはジョブ追跡情報の蓄積機能を実現するもの）をロードするための一時記憶として利用されるＲＡＭ、２４は前記プログラムをファイルとして格納してあるＨＤＤ（ハードディスクドライブ）、２５は前記プログラムの中で操作画面を持つものを操作するための入力装置、２６は前記操作の確認のためのモニタ、２７はネットワークに接続するためのＩ／Ｆである。

図３は、クライアントＰＣ１３―Ａおよびプリントサーバ１２上で動作するソフトウェアモジュールの構成図を示している。プリントサーバ１２にはプリンタ１１用のプリンタドライバとジョブ追跡情報取得のためのＡｄｄ−ｉｎモジュール、およびＡｄｄ−ｉｎから渡されたジョブ追跡情報をアーカイブサーバ１５に送信するためのドライバエージェントが、ＢＩＯＳおよびＯＳといったプラットフォーム上で動作している。ドライバエージェントはＡｄｄ−ｉｎから渡されたジョブ追跡情報を一時保管フォルダにファイルとして保管しておく。

図４は、アーカイブサーバ１５のモジュール構成を示している。ＢＩＯＳおよびＯＳといったプラットフォーム上で、ドライバエージェントあるいはＭＦＰエージェントから送信されるジョブ追跡情報を受信し、バックエンドサーバに蓄積するためのサービスプロバイダが動作している。

なお、バックエンドサーバは文書管理システムあるいはデータベースなどを、プリンタおよびＭＦＰの台数、あるいは扱うジョブ数の規模によって、組み合わせることが出来るものとする。

図５は、プリンタドライバが印刷指示を受けて生成する印刷ジョブの構成を示している。ヘッダと各種の印刷命令を含むＰＤＬとからなり、ヘッダにはジョブの属性情報として、ジョブ名、クライアントＰＣを示すクライアント名、印刷指示を出したときにＯＳにログインしていたユーザのユーザ名、ジョブの生成日時、およびジョブ追跡情報取得のＯＮ／ＯＦＦ（有無）が含まれる。ジョブ追跡情報のＯＮ／ＯＦＦ（有無）はデフォルトではＯＦＦである。

図６は、本発明のジョブ履歴管理システムにおける印刷時のジョブ追跡情報の取得の流れを示している。クライアントＰＣ−Ａ１３で印刷ジョブが生成される際には必ずＡｄｄ−ｉｎでジョブ追跡情報が取得され、印刷ジョブはプリントサーバ１２経由でプリンタ１１に送られ、印刷される。一方ジョブ追跡情報はプリントサーバ１２で一時保管され、アーカイブサーバ１６に蓄積される。なお、クライアントＰＣ−Ｂ１４では印刷ジョブが生成される際にはジョブ追跡情報は取得されず、印刷ジョブは直接プリンタ１１から印刷されてしまう。従って、この印刷から情報が漏えいした場合には、後から追跡することはできなくなってしまう。

図７は、ジョブ追跡情報取得属性に対応したプリンタ１１を使用した際の、不正印刷の印刷拒否及び不正ジョブ追跡情報の取得の流れを示している。プリンタ１１では、ジョブ追跡情報取得属性のチェックを行い印刷可否の制御を行う機能を有するが、この機能のＯＮ／ＯＦＦを行うことができる。

図８は、クライアントＰＣ−Ａ１３上のＡｄｄ−ｉｎでのジョブ追跡情報取得属性をＯＮ（有り）にする手順を示したフローチャートである。この手順はＡｄｄ−ｉｎのプログラムとして図２のＨＤ２４に格納されており、ＲＡＭ２３にロードされてＣＰＵ２１の制御のもと実行される。

図９は、印刷ジョブに含まれるジョブ追跡情報取得属性のチェックをプリンタ１１で行い、この属性がＯＦＦ（無し）のときに印刷拒否する手順を示したフローチャートである。

次に、図８および図９のフローチャーに従って図７に示す動作を説明する。

まず図８のフローチャートにおいて、各ステップの動作を説明する。

クライアントＰＣ−Ａ１３でアプリケーションからプリンタドライバを開いて印刷指示が出されると、ステップＳ８１においてＡｄｄ−ｉｎでジョブ追跡情報取得がＯＮとなっているかどうかをチェックし、ＯＮになっていればステップＳ８２に進みジョブ追跡情報を取得する。またステップＳ８３では印刷ジョブの属性の中の、ジョブ追跡情報取得の有無を示す属性をＯＮ（有り）とする。そしてステップＳ８４で印刷ジョブを図２のＬＡＮ Ｉ／Ｆ２７を解して、図７のようにＬＡＮ１０経由でプリントサーバ１２に送信され、そこからプリンタ１１に送信される。一方ステップＳ８１においてジョブ追跡情報取得がＯＦＦとなっていれば、印刷ジョブの属性の中の、ジョブ追跡情報取得の有無がＯＦＦのままでステップＳ８４に進み、印刷ジョブはプリントサーバ１２経由でプリンタ１１に送信される。

なお、Ａｄｄ−ｉｎがインストールされていないクライアントＰＣ−Ｂ１４では、ジョブ追跡情報取得の有無がＯＦＦのままで、印刷ジョブは直接プリンタ１１に送信される。

まず図９のフローチャートにおいて、各ステップの動作を説明する。

ここでは、プリンタ１１ではジョブ追跡情報取得の有無を示す属性をチェックする設定となっている状態とする。

プリンタ１１で印刷ジョブを受信すると、ステップＳ９１においてジョブ追跡情報取得の有無を示す属性をチェックし、ＯＮ（取得済み）であればステップＳ９２に進み、その印刷ジョブの印刷を実行する。一方ステップＳ９１においてＯＦＦ（取得無し）であれば、図７に示すように、その印刷ジョブの印刷を行わず、印刷ジョブのヘッダに含まれるジョブ名、クライアント名、ユーザ名、生成日時といった情報を不正印刷のジョブ追跡情報として、ＬＡＮ１０を経由してアーカイブサーバ１６に送信し蓄積する。

本発明の他の実施例として、例えば直接クライアントＰＣから印刷できるプリンタが無い環境では、クライアントＰＣ−Ｂ１４のような不正印刷を行うクライアントＰＣからの印刷ジョブも必ずプリントサーバを経由するため、プリントサーバでジョブ追跡情報取得の有無をチェックし、印刷の可否を制御することも可能である。

本システムにおけるシステム構成を示すブロック図 本システムにおけるプリントサーバ、クライアントＰＣ―Ａ、クライアントＰＣ−Ｂ、アーカイブサーバ、管理クライアントのハードウェア構成を示すブロック図 クライアントPC-Aおよびプリントサーバで動作するソフトウェアのモジュール構成 アーカイブサーバ上で動作するソフトウェアのモジュール構成 印刷ジョブの構成 印刷ジョブの追跡情報取得 不正印刷の拒否およびジョブ追跡情報取得 Ａｄｄ−ｉｎでのログ取得属性ＯＮの手順を示すフローチャート プリンタでの印刷の可否制御の手順を示すフローチャート

符号の説明

１０ ＬＡＮ
１１ プリンタ
１２ プリントサーバ
１３ クライアントＰＣ―Ａ
１４ クライアントＰＣ−Ｂ
１５ ＭＦＰ
１６ アーカイブサーバ
１７ 管理クライアント

Claims (4)

1. プリンタに印刷した内容、およびＭＦＰから出力ジョブの出力内容を、ジョブ追跡情報として蓄積し追跡可能とすることで情報漏えいを抑止するジョブ履歴管理システムにおいて、
   クライアントＰＣ上で指示されたプリンタへの印刷内容からジョブ追跡情報を抽出・生成する抽出手段と、
   指示されたＭＦＰでの出力ジョブのジョブ追跡情報を抽出・生成する抽出手段と、
   前記抽出手段により抽出された情報を蓄積・管理する蓄積手段と、
   前記抽出手段が抽出したジョブ追跡情報を前記蓄積手段に送信する送信手段と、
   前記蓄積手段に蓄積された抽出情報を検索・閲覧することが可能な検索手段と、
   印刷を指示する第一の情報機器内にジョブ追跡情報の抽出手段を
   設けたことを特徴とするジョブ履歴管理システム。
2. 請求項１のジョブ履歴管理システムにおいて、
   前記の指示されたプリンタへの印刷内容から追跡対象情報を抽出・生成する抽出手段の一部として印刷内容の画像およびテキストを抽出する手段を設けたことを特徴とするジョブ履歴管理システム。
3. 請求項１のジョブ履歴管理システムにおいて、
   クライアントＰＣ上で印刷ジョブ生成の際に、ジョブ追跡情報を取得したかどうかを判別する手段と、その判別の結果に従って印刷ジョブの出力可否の制御手段を
   設けたことを特徴とするジョブ履歴管理システム。
4. 請求項３のジョブ履歴管理システムにおいて、
   クライアントＰＣ上でジョブ追跡情報を取得していない印刷ジョブの印刷指示が出された際に、その印刷ジョブのジョブ追跡情報を取得する手段を
   設けたことを特徴とするジョブ履歴管理システム。

Images