JP6528536B2 - 情報処理装置、プログラムおよび情報処理システム - Google Patents

Description

本発明は、情報処理装置に関し、より詳細には、利用履歴情報を生成する情報処理装置、プログラムおよび情報処理システムに関する。

複合機や共有端末など共同で利用される情報処理装置においては、通常操作に関するジョブログやアクセス管理のためのアクセスログが記録されている。このような利用履歴情報は、ログイン処理された利用者識別名とともに保存され、後日、監査権限を有する監査者により必要に応じて閲覧される。

企業、大学、官公庁などの組織のポリシーにも依存するが、上述した利用者識別名には、個人を特定可能な氏名や社員番号等が含まれている場合も多い。上記監査者が全面的に信頼されていることが前提とされているため、利用履歴情報の利用目的にかかわらず、プライバシ情報を含む可能性のある利用者の識別名も利用履歴情報中にそのまま含まれることとなる。

上述した情報処理装置を厳格なセキュリティ管理下、信頼された監査者の下でセキュリティ監査を目的として運用される場合はよい。しかしながら、通常外部からのセキュリティ脅威が少ない環境での運用、セキュリティ目的ではなく全体利用状況を把握するなどの目的であり必ずしも利用者を特定する必要がない運用、厳格な責任を負った監査者以外の一般的なシステム管理者などの下、あるいは管理者も不在の状況下で運用されることも考えられる。このような運用下では、プライバシ情報を含む可能性のある利用者識別名が利用履歴情報に含まれていると、万が一、管理不備により利用履歴情報が外部に流出した場合のリスクとなる。

個人情報の取り扱いに関連して、特開２０１４−２２９０３９号公報（特許文献１）が知られている。特許文献１には、個人情報を含むデータを収集してユーザ端末に配信する情報提供装置において、複数のパラメータを用いて個人が特定されないようなデータ変換処理を行うことで、個人のプライバシを保護する技術が開示されている。

しかしながら、上記特許文献１の従来技術は、データを二次的に利活用するためにプライバシに関する情報を匿名化する技術に関するものである。したがって、一次データとして個人情報を含むため、その情報が外部に流出した場合に、プライバシ情報を保護するという観点から充分なものではなかった。

本発明は、上記点に鑑みてなされたものであり、開示が許可されていない識別名が漏えいするリスクを低減しながら、利用者識別名による追跡が可能な形で利用履歴情報を格納することができる情報処理装置を提供することを目的とする。

上記課題を解決するために、本発明は、下記特徴を有する情報処理装置を提供する。情報処理装置は、情報処理装置を利用可能な利用者の登録識別名と、該登録識別名の開示許否について定義した開示情報とを記憶した記憶手段と、上記開示情報で開示が許可されている登録識別名および上記開示情報で登録識別名の開示が許可されていない場合の匿名化された識別名のいずれかを利用者識別名とした利用履歴情報を生成する生成手段と、生成された利用履歴情報を格納する格納手段とを有する。

上記構成により、開示が許可されていない識別名が漏えいするリスクを低減しながら、利用者識別名による追跡が可能な形で利用履歴情報を格納することができる。

本実施形態によるログ管理システムを示す概略図。 第１の実施形態による複合機の機能ブロック図。 第１の実施形態による複合機の操作部に表示される利用者情報登録画面を例示する図。 第１の実施形態における複合機が実行する利用者情報登録／変更処理を示すフローチャート。 図３に示した利用者情報登録画面を介した操作に応じて登録された利用者情報テーブルのデータ構造を例示する図。 第１の実施形態による複合機が実行するログイン認証時およびジョブ実行時のログ生成処理を示すシーケンス図。 第１の実施形態によるログ開示許否設定に基づくログ生成処理によってログ格納部に格納されるログのデータ構造を説明する図。 第２の実施形態における複合機が実行する利用者情報登録／変更処理を示すフローチャート。 第２の実施形態によるログ開示許否設定に基づくログ生成処理によってログ格納部に格納されるログのデータ構造を説明する図。 第３の実施形態による複合機の機能ブロック図。 第３の実施形態における複合機が実行するログイン処理を示すフローチャート。 本実施形態による情報機器のハードウェア構成図。

以下、本実施形態について説明するが、以下に説明する実施形態に限定されるものではない。なお、以下に説明する実施形態では、情報処理装置および情報処理システムとして、情報機器およびログ管理システム１００を一例として説明する。

図１は、本実施形態によるログ管理システム１００を示す概略図である。図１に示すログ管理システム１００は、利用者が操作を行う対象であり、利用者の利用履歴情報（以下、単にログと参照する。）を記録する情報機器として、複合機１１０および情報端末１１２を含み構成される。

複合機１１０は、利用者に対し、プリント、スキャン、コピー、ファクシミリなど各種画像サービスを提供する情報機器である。情報端末１１２は、利用者に対し、行政サービスを提供したり、映画やコンサートのチケットを販売するサービスを提供したりする情報機器である。

なお、図１には、利用者が利用する対象となる情報機器として、複合機１１０および情報端末１１２を例示するが、利用者が利用する対象となる情報機器は、特に限定されるものではない。他の実施形態では、情報機器としては、レーザプリンタなどの画像形成装置、スキャナなどの画像読取装置、ファクシミリなどの画像通信装置、プロジェクタなどの映像投影装置、映像表示装置、サーバ装置、電子会議端末、電子黒板、携帯情報端末、撮像装置、自動販売機、医療機器、電源装置、空調システム、ガスや水道や電気などの計量装置、冷蔵庫や洗濯機といったネットワーク家庭用電化製品など、複数の利用者によって共用されるような如何なる情報機器を挙げることができる。

図１には、複合機１１０および情報端末１１２などの情報機器を監査する監査者が操作する監査者端末１９０がさらに示されている。監査者端末１９０は、典型的には、デスクトップ・コンピュータ、ラップトップ・コンピュータ、タブレット・コンピュータなどの汎用コンピュータや携帯情報端末として構成される。

複合機１１０、情報端末１１２および監査者端末１９０は、それぞれ、ネットワーク１０２に接続され、ネットワーク１０２を介して互いに通信可能に構成されている。ネットワーク１０２は、特に限定されるものではないが、有線、無線あるいはこれらの混合のローカル・エリア・ネットワークおよびインターネット、またはこれらの少なくとも一方を含むことができる。

図１に示す複合機１１０や情報端末１１２などの情報機器においては、上述したように、その利用者による通常操作に関するジョブログやアクセス管理のためのアクセスログなどのログが記録される。監査者は、監査者端末１９０を操作して、複合機１１０や情報端末１１２などの情報機器にアクセスし、情報機器に蓄積されたログを閲覧することができる。

上述したログには、ログイン処理された利用者識別名とともに操作内容や実行内容が記録される。組織のポリシーにも依存するが、利用者識別名として、個人を特定可能な氏名や社員番号などを含むログイン名が用いられる可能性があり、利用者によっては、このような個人を特定可能な情報をログに含ませてほしくはないと望む場合がある。一方、利用者を識別できる情報を全く含まないと、後日、監査者が追跡することが困難となる。

そこで、本実施形態によるログ管理システム１００では、複合機１１０や情報端末１１２などの情報機器は、自身を利用可能な利用者の氏名などの登録識別名と、該登録識別名の開示許否について定義した開示情報とを予め記憶している。そして、ログを生成する際に、上記開示情報で開示が許可されている登録識別名および上記開示情報で登録識別名の開示が許可されていない場合の匿名化された識別名のいずれかを利用者識別名としたログを生成して格納する。

上記構成により、開示が許可されていない識別名が漏えいするリスクを低減しながら、利用者識別名による追跡が可能な形でログを格納することができる。

以下、図２〜図７を参照しながら、第１の実施形態によるログ管理システム１００において実現される登録識別名のログ開示許否設定およびログ開示許否設定に基づくログ生成機能について、より詳細に説明する。図２は、第１の実施形態による複合機１１０の機能ブロック２００を示す図である。なお、以下の説明では、情報機器として複合機１１０を代表して説明するが、複合機１１０以外の情報機器についても、適宜、図２に示した機能ブロック２００に対し機能部の追加または削除を行ったものとして実現することができる。

図２に示す複合機１１０の機能ブロック２００は、通信部２０２と、スキャナ部２０４と、プリント部２０６と、操作部２０８と、基本処理部２１０と、ログ生成処理部２２０と、利用者情報管理部２３０とを含み構成される。図２には、さらに、ログ格納部２２２と、利用者情報テーブル２３２とが示される。

通信部２０２は、ネットワーク・インタフェース・カード（ＮＩＣ）などを含み、複合機１１０をネットワーク１０２へと接続させる。説明する実施形態において、通信部２０２は、監査者端末１９０上のブラウザや管理ツールなどからのログの閲覧要求を受信し、これに対してログを応答する。スキャナ部２０４は、画像読取ユニットを含み、コピーやスキャナなどの画像処理サービスにおいて画像読取処理を実行する。プリント部２０６は、画像形成ユニットを含み、コピーやプリントなどの画像処理サービスにおいて画像形成処理を実行する。操作部２０８は、複合機１１０の利用者が操作するタッチパネルなどを含み、パネル上でのログイン操作、ジョブ実行指示、ログアウト操作など利用者からの各種操作入力を受け付けるユーザ・インタフェースを提供する。基本処理部２１０は、通信部２０２、スキャナ部２０４、プリント部２０６、操作部２０８などの複合機としての基本的な機能を含む全体の制御を行う。

なお、図２には、通信部２０２、スキャナ部２０４、プリント部２０６および操作部２０８を備えた複合機１１０を例示するが、情報機器が備える構成は、特に限定されるものではない。例えば、情報機器は、ファクシミリ部など他の機能部を備えていてもよいし、上述した機能部の一部を備えなくてもよいし、情報機器は、特定の用途、製品デザイン等に応じて適切な機能を備えればよい。

基本処理部２１０は、ログを記録すべき所定のイベントが発生した場合、ログ生成処理部２２０に対しログ生成要求を発行する。例えば、利用者からのログイン操作、ジョブ実行操作、ログアウト操作などが操作部２０８に対し行われた場合、基本処理部２１０は、ログイン、ジョブ実行、ログアウトに対応したログ生成要求を発行する。また、基本処理部２１０は、通信部２０２、スキャナ部２０４やプリント部２０６などでエラーが発生した場合、ログ生成処理部２２０に対し、発生したエラーに対応したログ生成要求を発行する。

ログ生成処理部２２０は、基本処理部２１０からのログ生成要求に応じて、ログインした利用者識別名に関連付けてログを生成し、ログ格納部２２２に保存する。ログ格納部２２２は、複合機１１０での各種操作やイベントに基づいて発生した各種ログを格納しており、ログ生成処理部２２０により生成されたログを格納する、本実施形態における格納手段を構成する。なお、関連付けられる利用者識別名については、詳細を後述する。

利用者情報管理部２３０は、ログ生成に関する利用者の情報を管理しており、利用者情報テーブル２３２に対し、利用者情報を書き込み、また利用者情報テーブル２３２から利用者情報を読み出す。利用者情報管理部２３０は、操作部２０８を介した利用者からの利用者情報登録および利用者情報変更の要求に応じて、利用者情報テーブル２３２の内容を書き換える。

利用者情報テーブル２３２は、利用者情報管理部２３０により管理され、ログ生成に関する利用者情報を保持する。説明する実施形態において、利用者情報登録および利用者情報変更の要求には、氏名や社員番号などの登録識別名の開示許否の選択が含まれる。利用者情報テーブル２３２は、当該複合機１１０を利用可能な１以上の利用者各々について、登録識別名と、当該登録識別名の開示許否について定義した開示情報とを記憶する。利用者情報テーブル２３２は、本実施形態における記憶手段を構成する。

なお、説明する実施形態では、登録識別名として氏名を用いるが、これに限定されるものではない。例えば、他の実施形態では、社員番号、会員番号、顧客識別子、アカウント識別子、電子メールアドレス、電話番号などの特定の利用者を識別可能な如何なる情報が登録識別名となり得る。

以下、図３に示すグラフィカル・ユーザ・インタフェース（ＧＵＩ）、図５に示すフローチャート、および、図５に示す利用者情報テーブルのデータ構造を参照しながら、利用者情報管理部２３０が実行する利用者情報登録／変更処理について説明する。

図３は、第１の実施形態による複合機１１０の操作部２０８に表示される利用者情報登録画面を例示する。なお、図３には、利用者を新規に登録するための利用者情報登録画面を例示するが、利用者の登録内容を変更するための利用者情報変更画面も同様な構成とすることができる。

図３に示す利用者情報登録画面３００は、利用者が自身の氏名を入力するためのテキストボックス３０２と、利用者が自身のハンドルネームを入力するためのテキストボックス３０４と、利用者がログにいずれの情報を開示するかを選択するためのラジオボタン３０６と、登録ボタン３０８と、キャンセル・ボタン３１０とを含み構成される。図３に示すラジオボタン３０６には、ログに氏名を開示することを選択する「氏名」ラジオボタン３０６ａと、ログにハンドルネームを開示することを選択する「ハンドルネーム」ラジオボタン３０６ｂと、ログに氏名もハンドルネームも開示しないことを選択する「開示不可」ラジオボタン３０６ｃとが含まれる。

テキストボックス３０２，３０４に情報を入力して、「氏名」ラジオボタン３０６ａが選択された状態で、登録ボタン３０８が押下されると、当該利用者については、利用者識別名として氏名の開示が許可されたものとして設定が行われる。一方、「ハンドルネーム」ラジオボタン３０６ｂが選択された状態で登録ボタン３０８が押下されると、当該利用者については、氏名の開示が非許可であり、利用者識別名としてハンドルネームの開示が許可されたものとして設定が行われる。さらに、開示不可ラジオボタン３０６ｃが選択された状態で登録ボタン３０８が押下されると、当該利用者については、氏名もハンドルネームも開示が非許可であるものとして設定が行われる。この場合、利用者識別名としては、氏名もハンドルネームも用いられず、「Ａｎｏｎｙｍｏｕｓ」などの匿名であることを表す文字列が設定される。

なお、説明する実施形態において、氏名は、第１に開示が許されるか否かが制御される登録識別名である。ハンドルネームは、氏名の非開示が選択された場合に、第２に開示が許されるか否かが制御される偽名である。偽名は、非連結性は満足されないが、一意に個人を特定することができないため、匿名性を有し、本明細書において匿名化された識別名に含まれる。「Ａｎｏｎｙｍｏｕｓ」などの匿名を表す文字列は、不特定多数に同じ識別名が付与されることから、高い匿名性を有し、本明細書において、匿名化された識別名に含まれる。

図４は、第１の実施形態における複合機１１０が実行する利用者情報登録／変更処理を示すフローチャートである。図４に示す処理は、図３に示すような利用者情報登録画面３００において登録ボタン３０８が押下されたことに応じて、ステップＳ１００から開始される。ステップＳ１０１では、複合機１１０は、利用者情報管理部２３０により利用者情報登録／更新処理を実行する。ステップＳ１０１においては、図３に示したような利用者情報登録画面３００の内容により、ログネーム以外の利用者情報が利用者情報テーブル２３２に書き込まれる。

図５は、図３に示した利用者情報登録画面３００を介した操作に応じて登録された利用者情報テーブル２３２のデータ構造を例示する。図５に示すように、利用者情報テーブル２３２は、利用者コードと、ログネームと、氏名と、ハンドルネームと、開示情報との各項目を含む１以上のレコードを含み構成される。

利用者コードは、利用者に割り当てられている固有のコードである。当該複合機１１０の内部では、この利用者コードにより利用者プロセスが管理される。図２に示した基本処理部２１０は、プリント、スキャナなどの各ジョブを利用者コードで管理しており、この利用者コードをパラメータの１つとして指定してログ生成要求をログ生成処理部２２０に発行する。

ログネームは、ログ上に記録される利用者識別名である。氏名は、上記利用者情報登録画面３００のテキストボックス３０２に入力された登録識別名としての氏名を保持する項目である。ハンドルネームは、上記利用者情報登録画面３００のテキストボックス３０４に入力された偽名としてのハンドルネームを保持する項目である。開示情報は、上記利用者情報登録画面３００のラジオボタン３０６での選択に応じた値を保持する。ログネームは、開示情報の項目の値に従って変更され得る。

再び図４を参照すると、ステップＳ１０２では、複合機１１０は、入力された開示情報が「氏名」であるか否かに応じて処理を分岐させる。ステップＳ１０２で、開示情報が「氏名」ではないと判定された場合（ＮＯ）は、ステップＳ１０３へ処理が分岐される。ステップＳ１０３では、複合機１１０は、さらに、開示情報が「ハンドルネーム」であるか否かに応じて処理を分岐させる。

ステップＳ１０３で、開示情報が「ハンドルネーム」ではないと判定された場合（ＮＯ）は、ステップＳ１０４へ処理が分岐される。ステップＳ１０４では、複合機１１０は、利用者情報管理部２３０により、利用者情報テーブル２３２の対応する利用者のログネームに、匿名であることを表す文字列「Ａｎｏｎｙｍｏｕｓ」を設定し、ステップＳ１０７で本処理を終了する。

一方、ステップＳ１０３で、開示情報が「ハンドルネーム」であると判定された場合（ＹＥＳ）は、ステップＳ１０５へ処理が分岐される。ステップＳ１０５では、複合機１１０は、利用者情報管理部２３０により、利用者情報テーブル２３２の対応する利用者のログネームに、ハンドルネームの項目に保持されている値を設定し、ステップＳ１０７で本処理を終了する。

一方、ステップＳ１０２で、開示情報が「氏名」であると判定された場合（ＹＥＳ）は、ステップＳ１０６へ処理が分岐される。ステップＳ１０６では、複合機１１０は、利用者情報管理部２３０により、利用者情報テーブル２３２の対応する利用者のログネームに、氏名の項目に保持されている値を設定し、ステップＳ１０７で本処理を終了する。

図５には、４名の利用者情報を保持する利用者情報テーブル２３２が例示されている。図５の例では、利用者は、「鈴○一郎」さん、「太◇次郎」さん、「山▽三郎」さん、「船■四朗」さんの４名が登録されている。この中で、「鈴○」さんは、氏名を開示してよいと考えたためログ開示ラジオボタン３０６で氏名３０６ａを選択して利用者登録を行っている。このため、開示情報は、「氏名」の値を保持する。「太◇」さんと「船■」さんは、氏名もハンドルネームも開示したくないと考えたため開示不可３０６ｃを選択して利用者登録を行っている。このため、２人の開示情報は、「開示不可」の値を保持する。「山▽」さんは、ハンドルネームであれば開示してよいと考えたためログ開示ラジオボタン３０６でハンドルネーム３０６ｂを選択して利用者登録を行っている。このため、開示情報は、「ハンドルネーム」の値を保持する。

この場合、図５に示すように、「鈴○」さんは、氏名の開示を選択しているためログネームには氏名の欄の値「鈴○一郎」がコピーされる。「太◇」さんと「船■」さんは開示不可のため「匿名」を意味する「Ａｎｏｎｙｍｏｕｓ」が設定され、「山▽」さんは、偽名であるハンドルネームの値「ヤマサン」がコピーされる。

上述したようにして、利用者情報登録時または変更時の処理により、開示を許可する場合の登録識別名（氏名）と、開示を許可する場合の偽名（ハンドルネーム）と、登録識別名の開示許否および偽名の開示許否について定義した開示情報とが利用者情報テーブル２３２に記憶される。登録識別名および偽名の両方で開示を許可しない利用者については、匿名であること示す文字列「Ａｎｏｎｙｍｏｕｓ」が、利用者に対する利用者識別名として設定され、利用者情報テーブル２３２に記憶される。

以下、図６を参照しながら、登録識別名のログ開示許否設定に基づくログ生成処理について、より詳細に説明する。図６は、第１の実施形態による複合機１１０が実行するログイン認証時およびジョブ実行時のログ生成処理を示すシーケンス図である。ステップＳ２０１〜ステップＳ２０７に示す処理は、ログイン認証時のログ生成処理を示す。ステップＳ３０１〜ステップＳ３０６に示す処理は、ログイン認証後のジョブ実行時のログ生成処理を示す。

図６に示す処理は、例えば、利用者が操作部２０８に対してログイン操作を行ったことに応じて、ステップＳ２０１から開始される。ステップＳ２０１では、基本処理部２１０は、操作部２０８を介した利用者からのログイン操作を受け付ける。ステップＳ２０２では、基本処理部２１０は、ログイン操作で入力されたログイン名およびパスワードなどの認証情報に基づき利用者の認証を実行する。ここでは、利用者の認証が成功したものとする。

ステップＳ２０３では、基本処理部２１０は、利用者情報テーブル２３２に対し、ログイン処理にかかる利用者コードの取得要求を発行し、利用者コードを取得する。取得された利用者コードは、以降、ログアウトされるまでの間、利用者プロセスを管理するために用いられる。ステップＳ２０４では、基本処理部２１０は、本ログイン操作のログを記録するために、ログ生成処理部２２０に対し、利用者コードと共にログ生成要求を発行する。

ステップＳ２０５では、ログ生成処理部２２０は、利用者情報テーブル２３２に対し、利用者コードに対応するログネームの取得要求を発行し、ログネームを取得する。ステップＳ２０６では、ログ生成処理部２２０は、取得したログネームを用いてログを生成し、ステップＳ２０７で、ログ格納部２２２に対し生成したログを保存する。

図６には、ログイン後のジョブ実行操作に対応する処理も示されている。図６に示す処理は、例えば、利用者が複合機１１０の操作部２０８に対しコピーなどのジョブ実行操作を行ったことに応じて、ステップＳ３０１から開始される。ステップＳ３０１では、基本処理部２１０は、操作部２０８を介した利用者からのジョブ実行操作を受け付ける。ステップＳ３０２では、基本処理部２１０は、要求されたジョブを実行する。ここでは、要求されたジョブは、成功裏に完了したものとする。ステップＳ３０３では、基本処理部２１０は、本ジョブ実行が成功裏に完了したことを示すログを記録するため、ログ生成処理部２２０に対し、利用者コードと共にログ生成要求を発行する。

ステップＳ３０４では、ログ生成処理部２２０は、利用者情報テーブル２３２に対し利用者コードに対応するログネームの取得要求を発行し、ログネームを取得する。ステップＳ３０５では、ログ生成処理部２２０は、取得したログネームを用いて、ログを生成し、ステップＳ３０６で、ログ格納部２２２に対し生成したログを保存する。

図７は、第１の実施形態によるログ開示許否設定に基づくログ生成処理によってログ格納部２２２に格納されるログのデータ構造を説明する図である。図７（Ａ）は、仮にすべての利用者が自身の氏名の開示を許可した場合（つまり、ログ開示許否設定を行わない場合に相当する。）のログを例示する。これに対して、図７（Ｂ）は、図４に示す利用者情報テーブル２３２の下、生成されるログを例示する。

ログは、ログが発生した日時、操作者のログネーム、事象および結果を含む１以上のレコードを含んで構成される。図７（Ａ）および図７（Ｂ）を比較すると明らかなように、「鈴○一郎」さんは、通常のログと同じであるためプロセスのトレースが可能である。「山▽三郎」さんは、ハンドルネームによりプロセスのトレースが可能である。

上述したように、ログ生成処理部２２０により、開示情報で開示が許可されている登録識別名（氏名）および開示情報で登録識別名の開示が許可されていない場合の匿名化された識別名（ハンドルネームまたは文字列「ａｎｏｎｙｍｏｕｓ」）のいずれかを利用者識別名としたログが生成される。

上記構成により、開示が許可されていない識別名が漏えいするリスクを低減しながら、利用者識別名による追跡が一定程度可能な形でログを格納することができる。氏名などの登録識別名を開示することなく、ログとして人物と対応したプロセスのトレースが可能となる。さらに、生成されるログ自体が、開示が許可されていない識別名を含んでいないので、他の手段によりログのバックアップやレプリカが作成されていたりしたとしても、これらの管理不備等により、開示が許可されていない識別名が漏えいしてしまうリスクを生じさせない。

上述した第１の実施形態では、登録識別名および偽名の両方を非開示とした利用者は、ログ上同一の文字列で記録される。例えば、図７に示す、「太◇二郎」さんと「船■四郎」さんは、文字列「Ａｎｏｎｙｍｏｕｓ」で記録されており、例えば、１０時１２分のデータ削除、１０時２０分のデータ登録、１０時２１分のデータ転送が一連の操作であるか否かが判定できない可能性がある。

そこで、登録識別名および偽名の両方を非開示とした利用者が行った一連の操作を正確にトレースすることを可能とする第２の実施形態について、以下、図８および図９を参照しながら説明する。なお、第２の実施形態は、第１の実施形態と共通する部分があるため、以下、相違点を中心に説明する。

図８は、第２の実施形態における複合機１１０が実行する利用者情報登録／変更処理を示すフローチャートである。図８に示す処理は、第１の実施形態と同様に、図３に示すような利用者情報登録画面３００において登録ボタン３０８が押下されたことに応じて、ステップＳ４００から開始される。

ステップＳ４０１では、複合機１１０は、利用者情報登録／更新処理を実行する。ステップＳ４０２では、複合機１１０は、入力された開示情報が「氏名」であるか否かに応じて処理を分岐させる。ステップＳ４０２で、開示情報が「氏名」ではないと判定された場合（ＮＯ）は、ステップＳ４０３へ処理が分岐される。ステップＳ４０３では、複合機１１０は、さらに、開示情報が「ハンドルネーム」であるか否かに応じて処理を分岐させる。ステップＳ４０３で、開示情報が「ハンドルネーム」ではないと判定された場合（ＮＯ）は、ステップＳ４０４へ処理が分岐される。

ステップＳ４０４では、複合機１１０は、利用者情報管理部２３０により、疑似乱数発生器などにより発生させた乱数符号を取得する。ステップＳ４０５では、複合機１１０は、利用者情報管理部２３０により、匿名であることを表す文字列「Ａｎｏｎｙｍｏｕｓ」に対し、無作為に発生させた乱数符号を付加し、利用者に対するログネームを生成する。ステップＳ４０６では、複合機１１０は、利用者情報テーブル２３２を参照して、同一ログネームが既に存在しているか否かを判定する。ステップＳ４０６で、同一ログネームが存在すると判定された場合（ＹＥＳ）は、ステップＳ４０４へループさせて、未登録のログネームが生成されるまで、乱数によるログネームの生成を繰り返し行わせる。なお、利用者情報管理部２３０は、本実施形態における識別名生成手段を構成する。

これに対して、ステップＳ４０６で、同一ログネームが存在しないと判定された場合（ＮＯ）は、ステップＳ４０７へ処理が進められる。ステップＳ４０７では、複合機１１０は、利用者情報管理部２３０により、利用者情報テーブル２３２の対応する利用者のログネームに、生成した文字列「Ａｎｏｎｙｍｏｕｓ」＋「乱数符号」を設定し、ステップＳ４１０で本処理を終了する。

一方、ステップＳ４０３で、開示情報が「ハンドルネーム」であると判定された場合（ＹＥＳ）は、ステップＳ４０８で、対応する利用者のログネームに、ハンドルネームの項目に保持されている値が設定されて、ステップＳ４１０で本処理を終了する。一方、ステップＳ４０２で、開示情報が「氏名」であると判定された場合（ＹＥＳ）は、ステップＳ４０９で、対応する利用者のログネームに、氏名の項目に保持されている値が設定され、ステップＳ４１０で本処理を終了する。

図９は、第２の実施形態によるログ開示許否設定に基づくログ生成処理によってログ格納部２２２に格納されるログのデータ構造を説明する図である。第１の実施形態では、氏名およびハンドルネームを共に非開示としてる利用者は、不特定多数の一人として記録されるため、ログとしてトレースが難しかった。これに対して、第２の実施形態によれば、図７（Ａ）および図９を比較すると明らかなように、氏名およびハンドルネームを共に非開示としてる利用者であっても、操作プロセスの区別が可能な形でログが保存される。

例えば、「太▽二郎」さんのログネームは、発生させた乱数が「１２６５」であった場合、「Ａｎｏｎｙｍｏｕｓ１２６５」となっている。これに対し、「船■四郎」さんのログネームは、例えば「Ａｎｏｎｙｍｏｕｓ３７２１」となっている。これにより１０時１２分のデータ削除と１０時２０分のデータ登録は一連のプロセスであり、１０時２１分のデータ転送は、別のプロセスであることが判別でき、正確なトレースが可能となる。

第２の実施形態によれば、ログネームと人物とが１対１に対応しているため、氏名を開示することなく、ハンドルネームと同様な位置づけで、かつハンドルネームよりは個人を特定されない形で、プロセスのトレースが可能となる。

上述した第２の実施形態では、登録識別名および偽名の両方を非開示とした利用者であっても、利用者を一意に識別できる文字列がログネームとして生成される。これにより、正確なプロセスのトレースが可能になるが、長期的には、ログネームと利用者との結びつきが類推される可能性がある。例えば、「太▽二郎」さんがアクションすると必ず「Ａｎｏｎｙｍｏｕｓ１２６５」が利用者識別名のログが記録されるなどにより、「Ａｎｏｎｙｍｏｕｓ１２６５」と「太▽二郎」さんとの関連が類推される可能性がある。

そこで、ログインからログアウトまでの間のトレースを可能としつつ、ログイン間でのトレースを困難とする第３の実施形態について、以下、図１０および図１１を参照しながら説明する。なお、第３の実施形態は、第１の実施形態と共通する部分があるため、以下、相違点を中心に説明する。

図１０は、第３の実施形態による複合機１１０の機能ブロック４００を示す図である。図１０に示す複合機１１０の機能ブロック４００は、通信部４０２と、スキャナ部４０４と、プリント部４０６と、操作部４０８と、基本処理部４１０と、ログ生成処理部４２０と、利用者情報管理部４３０と、ログイン処理部４３４とを含み構成される。図１０には、さらに、ログ格納部４２２と、利用者情報テーブル４３２とが示される。

第３の実施形態による利用者情報管理部４３０は、利用者情報登録および利用者情報変更の要求時に、登録識別名および偽名の両方の非開示が選択された場合に、利用者情報テーブル４３２におけるログネームは、空白のままとする。

ログイン処理部４３４は、ログイン要求に対する利用者の認証を制御する。利用者の認証自体は、これまで知られた如何なる技術を採用することができる。ログイン処理部４３４は、ログイン処理を完了すると、利用者情報テーブル４３２を読出し、そのログイン処理にかかる利用者の開示情報を確認する。登録識別名および偽名の両方が非開示とされていた場合、ログイン処理部４３４は、疑似乱数発生器などにより発生させた乱数符号を用いて、匿名であることを表す文字列を生成し、利用者情報テーブル４３２におけるログネームを更新する。ログイン処理部４３４は、利用者のログイン処理毎に匿名であることを表す文字列を生成する、本実施形態における識別名生成手段を構成する。

図１１は、第３の実施形態における複合機１１０が実行するログイン処理を示すフローチャートである。図１１に示す処理は、利用者からの操作部４０８を介したログイン操作が行われたことに応答して、ステップＳ５００から開始される。ステップＳ５０１では、複合機１１０は、ログイン処理部４３４により、通常の利用者ログイン処理を実行する。ステップＳ５０１では、複合機１１０は、ログイン処理部４３４により、利用者情報テーブル４３２を読み出す。ステップＳ５０３では、ログイン処理部４３４により、ログイン処理にかかる利用者の開示情報が「開示不可」であるか否かを判定する。ステップＳ５０３で、「開示不可」であると判定された場合（ＹＥＳ）は、ステップＳ５０４へ処理を進める。

ステップＳ５０４では、複合機１１０は、ログイン処理部４３４により、疑似乱数発生器などにより発生させた乱数符号を取得する。ステップＳ５０５では、複合機１１０は、ログイン処理部４３４により、匿名であることを表す文字列「Ａｎｏｎｙｍｏｕｓ」に対し、無作為に発生された乱数符号を付加し、利用者に対するログネームを生成する。

ステップＳ５０６では、複合機１１０は、利用者情報テーブル４３２を参照して、同一ログネームが存在するか否かを判定する。ステップＳ５０６で、同一ログネームが存在すると判定された場合（ＹＥＳ）は、ステップＳ５０４へループさせて、未登録のログネームが生成されるまで、乱数によるログネームの生成を繰り返し行わせる。これに対して、ステップＳ５０６で、同一ログネームが存在しないと判定された場合（ＮＯ）は、ステップＳ５０７へ処理が進められる。ステップＳ５０７では、複合機１１０は、ログイン処理部４３４により、対応する利用者のログネームに、生成した文字列「Ａｎｏｎｙｍｏｕｓ」＋「乱数符号」を設定する。ステップＳ５０８では、設定した利用者情報テーブル４３２を書き出し、ステップＳ５０９で本処理を終了する。これに対して、ステップＳ５０３で、開示情報が「開示不可」ではないと判定された場合（ＮＯ）は、そのままステップＳ５０９へ直接分岐させて、ステップＳ５０９で本処理を終了する。

第３の実施形態によれば、ログネームと人物とが１対１に対応しているため、氏名を開示することなく、ハンドルネームと同様な位置づけで、かつハンドルネームよりは個人を特定されない形で、プロセスのトレースが可能となる。一方で、ログイン処理毎に、利用者識別名が変更されるので、プロセスのトレースが可能な期間は、プロセスが有効な期間だけ、つまりログイン中のみに限定される。ログに記録される名称が動的に変更されるため、個人操作そのものが監視された場合でも、長期的に氏名と対応がついてしまう可能性を低減することができる。

なお、上述した第１〜第３の実施形態では、ログの閲覧は、監査者端末１９０から情報機器１１０，１１２に直接アクセスすることで行われている。しかしながら、他の実施形態では、１以上の情報機器１１０，１１２からログを収集するサーバを設けて、監査者端末１９０からサーバにアクセスすることでログの閲覧を行うよう構成してもよい。図１、図２および図１０においては、破線枠により、このような他の実施形態で用いられる構成が示されている。

図１には、破線枠で、他の実施形態において用いられるログ管理サーバ１５０が示されている。複合機１１０や情報端末１１２などの情報機器は、適時に自身のログを、ログ情報を一元管理するログ管理サーバ１５０に転送する。図２および図１０には、ログの転送を担当するログ転送部２２４，４２４が示されている。ログ転送部２２４，４２４は、一定時間毎、一定量のログが蓄積される毎などの所定のタイミングで、ログ格納部２２２，４２２に格納されたログを、事前定義されたログ管理サーバ１５０に対し転送する。ログ転送部２２４，４２４は、開示情報で開示が許可されていない場合の匿名化された識別名を利用者識別名として含むログを外部のログ管理サーバ１５０へ転送する転送手段を構成する。

以下、図１２を参照しながら、本実施形態における複合機１１０のハードウェア構成について説明する。図１２は、複合機１１０のハードウェア構成の実施形態を示す。複合機１１０は、コントローラ５２と、オペレーションパネル８２と、ＦＣＵ（ファクシミリ・コントロール・ユニット）８４と、エンジン部８６とを含み構成される。コントローラ５２は、ＣＰＵ５４と、ＮＢ（ノースブリッジ）５８と、ＮＢ５８を介してＣＰＵ５４と接続するＡＳＩＣ６０と、システムメモリ５６とを含み構成される。ＡＳＩＣ６０は、各種画像処理を実行し、ＡＧＰ（Accelerated Graphic Port）８８を介してＮＢ５８と接続される。システムメモリ５６は、描画用メモリなどとして用いられる。

ＡＳＩＣ６０は、ローカルメモリ６２と、ハードディスクドライブ６４と、フラッシュメモリなどの不揮発性メモリ（以下、ＮＶ−ＲＡＭとして参照する。）６６と接続する。ローカルメモリ６２は、コピー用画像バッファや符号バッファとして用いられ、ＨＤＤ６４は、画像データ、文書データ、プログラム、フォントデータやフォームデータなどを蓄積するストレージである。本実施形態によるＨＤＤ６４は、ログを格納するログ格納部２２２，４２２の保存領域を提供することができる。ログを外部のログ管理サーバ１５０に転送する場合は、ＨＤＤ６４は、一時的な保存領域を提供する。ＮＶ−ＲＡＭ６６は、複合機１１０を制御するためのプログラムや各種システム情報や各種設定情報を格納する。

コントローラ５２は、さらにＳＢ（サウスブリッジ）６８と、ＮＩＣ（ネットワーク・インタフェース・カード）７０と、ＳＤ（Secure Digital）カード・スロット７２と、ＵＳＢインタフェース７４と、ＩＥＥＥ１３９４インタフェース７６と、セントロニクス・インタフェース７８とを含み構成され、これらはＰＣＩバス９０を介してＮＢ５８と接続される。ＳＢ６８は、図示しないＲＯＭやＰＣＩバス周辺デバイスなどとＮＢ５８とを接続するためのブリッジである。ＮＩＣ７０は、複合機１１０をインターネットやＬＡＮなどのネットワーク１０２に接続するインタフェース機器であり、ネットワークを介した指令を受付けている。ネットワークを介した指令としては、例えば、遠隔からのログイン要求が含まれる。ＳＤカード・スロット７２は、図示しないＳＤカードを着脱可能に装着する。ＵＳＢインタフェース７４、ＩＥＥＥ１３９４インタフェース７６およびセントロニクス・インタフェース７８は、それぞれの規格に準じたインタフェースであり、印刷ジョブなどを受付けている。

表示部であるオペレーションパネル８２は、コントローラ５２のＡＳＩＣ６０と接続され、オペレータからの各種指示の入力を受付けや、画面表示を行なうためのユーザ・インタフェースを提供する。オペレーションパネル８２は、ディスプレイ、キーボード、マウスを含んでいてもよく、タッチパネルにより構成されていてもよい。ＦＣＵ８４およびエンジン部８６は、ＰＣＩバス９２を介してＡＳＩＣ６０と接続する。ＦＣＵ８４は、Ｇ３またはＧ４といったファクシミリ通信規格に準じた通信方法を実行する。エンジン部８６は、アプリケーションが発行したプリント指令やスキャン指令を受け、画像形成処理や画像読取処理を実行する。エンジン部８６は、スキャナ部およびプリント部を構成する。本実施形態による複合機１１０は、ハードディスクドライブ６４やＮＶ−ＲＡＭ６６から制御プログラムを読み出し、システムメモリ５６やローカルメモリ６２が提供する作業空間に展開することにより、ＣＰＵ５４の制御の下、上述した各機能部および各処理を実現する。

以上説明したように、上述した本実施形態によれば、開示が許可されていない識別名が漏えいするリスクを低減しながら、利用者識別名による追跡が可能な形で利用履歴情報を格納することができる情報処理装置、プログラムおよび情報処理システムを提供することができる。

上記構成により、情報機器が利用されている環境に応じて、利用者は、決められた運用の下、利用者自身がログに記録されるプライバシ情報の開示範囲の設定が行えるようになる。そして、万が一ログ情報が漏えいしたとしても、利用者が開示を許可していない情報の漏えいするリスクを軽減することができる。

なお、上述した実施形態では、図２や図１０に示す各機能部がすべて複合機１１０に含まれるものとして説明した。しかしながら、特に限定されるものではなく、他の実施形態において、上述した機能部の一部を１以上のコンピュータ・システムに分散実装することを妨げるものではない。

なお、上記機能部は、アセンブラ、Ｃ、Ｃ＋＋、Ｃ＃、Ｊａｖａ（登録商標）などのレガシープログラミング言語やオブジェクト指向プログラミング言語などで記述されたコンピュータ実行可能なプログラムにより実現でき、ＲＯＭ、ＥＥＰＲＯＭ、ＥＰＲＯＭ、フラッシュメモリ、フレキシブルディスク、ＣＤ−ＲＯＭ、ＣＤ−ＲＷ、ＤＶＤ−ＲＯＭ、ＤＶＤ−ＲＡＭ、ＤＶＤ−ＲＷ、ブルーレイディスク、ＳＤカード、ＭＯなど装置可読な記録媒体に格納して、あるいは電気通信回線を通じて頒布することができる。

これまで本発明の実施形態について説明してきたが、本発明の実施形態は上述した実施形態に限定されるものではなく、他の実施形態、追加、変更、削除など、当業者が想到することができる範囲内で変更することができ、いずれの態様においても本発明の作用・効果を奏する限り、本発明の範囲に含まれるものである。

５０…複合機、５２…コントローラ、５４…ＣＰＵ、５６…システムメモリ、５８…ＮＢ、６０…ＡＳＩＣ、６２…ローカルメモリ、６４…ＨＤＤ、６８…ＳＢ、７０…ＮＩＣ、７２…ＳＤカード・スロット、７４…ＵＳＢインタフェース、７６…ＩＥＥＥ１３９４インタフェース、７８…セントロニクス・インタフェース、８２…オペレーションパネル、８４…ＦＣＵ、８６…エンジン部、８８…ＡＧＰ、９０…ＰＣＩバス、９２…ＰＣＩバス、１００…ログ管理システム、１０２…ネットワーク、１１０…複合機、１１２…情報端末、１５０…ログ管理サーバ、１９０…監査者端末、２００，４００…機能ブロック、２０２，４０２…通信部、２０４，４０４…スキャナ部、２０６，４０６…プリント部、２０８，４０８…操作部、２１０，４１０…基本処理部、２２０，４２０…ログ生成処理部、２２２，４２２…ログ格納部、２２４，４２４…ログ転送部、２３０，４３０…利用者情報管理部、２３２，４３２…利用者情報テーブル、４３４…ログイン処理部、３００…利用者情報登録画面、３０２…テキストボックス、３０４…テキストボックス、３０６…ラジオボタン、３０８…登録ボタン、３１０…キャンセル・ボタン

特開２０１４−２２９０３９号公報

Claims (7)

1. 情報処理装置を利用可能な利用者の登録識別名と、該登録識別名の開示許否について定義した開示情報とを記憶した記憶手段と、
   前記開示情報で開示が許可されている登録識別名および前記開示情報で登録識別名の開示が許可されていない場合の匿名化された識別名のいずれかを利用者識別名とした利用履歴情報を生成する生成手段と、
   生成された前記利用履歴情報を格納する格納手段と
   を有する、情報処理装置であって、前記記憶手段は、少なくとも前記登録識別名の開示を許可しない利用者について、偽名の開示許否について定義した開示情報および前記偽名での開示を許可する場合の前記偽名を記憶し、前記匿名化された識別名は、前記偽名、または前記偽名の開示が許可されていない場合の匿名であることを表す文字列であり、前記情報処理装置は、さらに、
   前記偽名の開示が許可されていない場合に、無作為に発生された情報に基づいて前記匿名であることを表す文字列を生成する識別名生成手段
   を有し、生成された文字列が前記記憶手段に既に記憶されている場合には、前記匿名であることを表す文字列の生成が繰り返し行われる、情報処理装置。
2. 情報処理装置を利用可能な利用者の登録識別名と、該登録識別名の開示許否について定義した開示情報とを記憶した記憶手段と、
   前記開示情報で開示が許可されている登録識別名および前記開示情報で登録識別名の開示が許可されていない場合の匿名化された識別名のいずれかを利用者識別名とした利用履歴情報を生成する生成手段と、
   生成された前記利用履歴情報を格納する格納手段と
   を有する、情報処理装置であって、前記記憶手段は、少なくとも前記登録識別名の開示を許可しない利用者について、偽名の開示許否について定義した開示情報および前記偽名での開示を許可する場合の前記偽名を記憶し、前記匿名化された識別名は、前記偽名、または前記偽名の開示が許可されていない場合の匿名であることを表す文字列であり、前記情報処理装置は、さらに、
   前記偽名の開示が許可されていない場合に、無作為に発生された情報に基づいて前記匿名であることを表す文字列を生成する識別名生成手段
   を有し、前記識別名生成手段は、利用者情報が登録された場合または利用者情報が更新された場合であって、前記登録識別名および前記偽名の開示の非許可が選択されたとき、前記利用者に対する利用者識別名として、前記匿名であることを表す文字列を生成する、情報処理装置。
3. 前記識別名生成手段は、利用者の認証処理毎に、前記利用者に対する利用者識別名として、前記匿名であることを表す文字列を生成する、請求項１に記載の情報処理装置。
4. 前記情報処理装置は、
   利用者による前記登録識別名の開示許否の選択を受け付ける操作手段
   をさらに含む、請求項１〜３のいずれか１項に記載の情報処理装置。
5. 前記格納手段に格納された、前記開示情報で開示が許可されていない場合の前記匿名化された識別名を利用者識別名として含む利用履歴情報を外部装置へ転送する転送手段をさらに含む、請求項１〜４のいずれか１項に記載の情報処理装置。
6. コンピュータを、
   情報処理装置を利用可能な利用者の登録識別名と、該登録識別名の開示許否について定義した開示情報とを記憶した記憶手段と、
   前記開示情報で開示が許可されている登録識別名および前記開示情報で登録識別名の開示が許可されていない場合の匿名化された識別名のいずれかを利用者識別名とした利用履歴情報を生成する生成手段と、
   生成された前記利用履歴情報を格納する格納手段と
   を有する情報処理装置として機能させるためのプログラムであって、
   前記記憶手段は、少なくとも前記登録識別名の開示を許可しない利用者について、偽名の開示許否について定義した開示情報および前記偽名での開示を許可する場合の前記偽名を記憶し、前記匿名化された識別名は、前記偽名、または前記偽名の開示が許可されていない場合の匿名であることを表す文字列であり、前記プログラムは、前記コンピュータを、さらに、
   前記偽名の開示が許可されていない場合に、無作為に発生された情報に基づいて前記匿名であることを表す文字列を生成する識別名生成手段
   として機能させるものであり、生成された文字列が前記記憶手段に既に記憶されている場合には、前記匿名であることを表す文字列の生成が繰り返し行われる、プログラム。
7. 情報処理装置を含む情報処理システムであって、
   前記情報処理装置を利用可能な利用者の登録識別名と、該登録識別名の開示許否について定義した開示情報とを記憶した記憶手段と、
   前記開示情報で開示が許可されている登録識別名および前記開示情報で登録識別名の開示が許可されていない場合の匿名化された識別名のいずれかを利用者識別名とした利用履歴情報を生成する生成手段と、
   生成された前記利用履歴情報を格納する格納手段と
   を有する、情報処理システムであって、前記記憶手段は、少なくとも前記登録識別名の開示を許可しない利用者について、偽名の開示許否について定義した開示情報および前記偽名での開示を許可する場合の前記偽名を記憶し、前記匿名化された識別名は、前記偽名、または前記偽名の開示が許可されていない場合の匿名であることを表す文字列であり、前記情報処理システムは、さらに、
   前記偽名の開示が許可されていない場合に、無作為に発生された情報に基づいて前記匿名であることを表す文字列を生成する識別名生成手段
   を有し、生成された文字列が前記記憶手段に既に記憶されている場合には、前記匿名であることを表す文字列の生成が繰り返し行われる、情報処理システム。