JP4695388B2 - セキュリティ情報推定装置、セキュリティ情報推定方法、セキュリティ情報推定プログラム及び記録媒体 - Google Patents

Description

本発明は、セキュリティ情報推定装置、セキュリティ情報推定方法、セキュリティ情報推定プログラム及び記録媒体に関し、特に操作の対象とされる情報に適用させるセキュリティ情報を推定するセキュリティ情報推定装置、セキュリティ情報推定方法、セキュリティ情報推定プログラム及び記録媒体に関する。

以前は、セキュリティと言えばウィルス等の外部からの攻撃ばかりが強調されてきた。しかし、近年では顧客のデータやプライバシー情報の漏洩といったように、企業又は個人を問わず内部からの情報漏洩も注目されている。このような情報漏洩に対する対策としては、ファイアウォール等で出口を塞ぐといった方法等では不十分で、情報資産それぞれの価値や使われ方等に応じた対策をとる必要がある。

一般的に、企業では、その情報資産は文書という形で形成され、蓄積され、利用されている。この企業内文書の機密性を考慮し、その機密性応じて企業文書の取り扱いをコントロールすることは非常に重要だと言える。かかる背景より、企業文書の取扱いを制限するための様々な技術が既に存在する。

例えば、特許文献１に記載されている技術では、文書の取り扱いをコントロールするために、各文書に対して各ユーザがどのようなアクセスが許可されているかを示すリスト(ＡＣＬ（Access Control List）)を付与し、ＡＣＬに基づいてシステムが動作することで文書の機密性を確保している。但し、ＡＣＬに基づいて動作しているシステムの内部では機密性が確保され得るが、一旦文書がそのＡＣＬに基づいてアクセスが許可されているユーザによってシステムの外部に持ち出されてしまった場合では機密性は保たれないことになる。

また、特許文献２に記載されている技術では、ＸＭＬ（eXtensible Markup Language）文書の中に、タグの属性としてアクセス権限を持ったグループを記述したり、暗号化や有効期限の指定を行ったりすることで、ＸＭＬ文書がシステムを離れた場合であっても、当該ＸＭＬ文書に対するアクセス権限の保持を可能としている。

また、特許文献３に記載されている技術では、文書を印刷不可のデータと印刷データとに変換し、元の文書と関連付けて保存しておく。そして、クライアントからの閲覧要求に対しては印刷不可のデータを送信し、印刷要求に対しては印刷データをプリンタ等に送信する。すなわち、要求されるアクセスに応じた文書を予め用意しておくことで、要求されたアクセス権限以上の情報が漏れることを防止している。
特開平６−４５３０号公報 特開２００１−２７３２８５号公報 特開２００２−３４２０６０号公報

しかしながら、特許文献１、特許文献２、及び特許文献３等に記載されている技術は、いずれについてもユーザによってなんらかの情報が定義又は設定されることを必要とする。すなわち、特許文献１に記載されている技術では、予めＡＣＬを設定しなければアクセス制御を実現することはできない。また、特許文献２に記載されている技術では、文書の中にアクセス制御を行うための情報を付加しなければ制御することはできない。更に、特許文献３に記載されている技術では、アクセス権限に応じた専用のファイルを予め生成しておかなければ制御を行うことができない。

すなわち、従来の技術はいずれもユーザの判断によってそのアクセス権限等のセキュリティ情報が与えられることで初めて機能する。また、その機能もシステムの内部にあるときだけ有効であったり、システムが付加した情報があるときだけ有効だったりする。したがって、ユーザが判断していない文書(すなわち、未登録の文書等)や、判断されたという情報が欠落してしまった文書等についてはアクセスを制御できないという問題がある。

本発明は、上記の点に鑑みてなされたものであって、セキュリティ情報との関連付けがなされていない情報を適切に保護することのできるセキュリティ情報推定装置、セキュリティ情報推定方法、セキュリティ情報推定プログラム及び記録媒体の提供を目的とする。

そこで上記課題を解決するため、本発明は、請求項１に記載されるように、操作の対象とされる情報に適用させるセキュリティ情報を推定するセキュリティ情報推定装置であって、セキュリティ情報が設定されて蓄積されている蓄積情報を取得する蓄積情報取得手段と、前記操作の対象となる対象情報を取得する対象情報取得手段と、前記蓄積情報と前記対象情報との類似度を判定する類似度判定手段と、前記類似度に応じて、当該セキュリティ情報が前記対象情報に適用される蓄積情報を選択し、選択された前記蓄積情報に設定されているセキュリティ情報又は該セキュリティ情報を特定できる情報を出力するセキュリティ情報出力手段とを有することを特徴とする。

このようなセキュリティ情報推定装置では、操作の対象とされる情報にセキュリティ情報が設定されていない場合であっても、当該操作の対象とされる情報と同一又は類似する蓄積情報に設定されているセキュリティ情報を適用させることができる。

また、上記課題を解決するため、本発明は、上記セキュリティ情報推定装置におけるセキュリティ情報推定方法、前記セキュリティ情報推定方法を前記セキュリティ情報推定装置に実行させるためのセキュリティ情報推定プログラム、又は前記セキュリティ情報推定プログラムを記録した記録媒体としてもよい。

本発明によれば、セキュリティ情報との関連付けがなされていない情報を適切に保護することのできるセキュリティ情報推定装置、セキュリティ情報推定方法、セキュリティ情報推定プログラム及び記録媒体を提供することができる。

以下、図面に基づいて本発明の実施の形態を説明する。図１は、第一の実施の形態におけるセキュリティ管理システムの構成例を示す図である。図１において、セキュリティ管理システム１は、文書サーバ２０と、メールサーバ３０と、セキュリティ属性推定サーバ１０とが、ＬＡＮ等のネットワーク（有線又は無線の別は問わない）によって接続されることにより構成されている。なお、文書サーバ２０、メールサーバ３０、及びセキュリティ属性推定サーバ１０等は、同一の企業内又はオフィス内等、情報の機密性が保持されるべき空間内において構成されているものとする。

文書サーバ２０は、一台以上のクライアント（クライアント２２ａ及び２２ｂ等）とともにいわゆる文書管理システムを構成し、クライアント２２ａ等よりアップロードされる電子文書（以下、単に「文書」という。）に各種属性値を関連付けて管理する文書ＤＢ２１を有する。文書サーバ２０は、定期的又はクライアント２２ａ等より文書がアップロードされるたびに、文書とそのセキュリティ属性の属性値（以下「セキュリティ属性値」という。）とをセキュリティ属性推定サーバ１０に送信（アップロード）する。

ここで、セキュリティ属性とは、文書に関連付けられる属性のうち文書に対するアクセス制御の判定に用いられる属性等、セキュリティ管理において影響を及ぼす属性をいう。具体的には、運用上、どの属性に着目して文書を保護したいかに依存するが、例えば、所属(会社における部署すなわち管理責任者の管理範囲)、文書の種類(人事関連、経理関連、あるプロジェクト関連等)、関係者、関係グループ、秘密レベル(極秘、部外秘、社外秘、グループ外秘等)、秘密保持期限(秘密レベルを維持しなければならない期限)、有効期限(その文書が効力を持つ期限)、及び保存期限(法律で保存が義務付けられている文書の保存しなければならない期限)等がセキュリティ属性となり得る属性として挙げられる。

なお、セキュリティ属性に基づくアクセス制御については、特開２００４−０９４４０１号公報、特開２００４−０９４４０５号公報、特開２００４−１０２６３５号公報、及び特開２００４−１０２９０７号公報に詳しい。これらの公報からも明らかなように、セキュリティ属性値を、予め定められているセキュリティポリシーに適用することにより、文書に対するアクセス制御が判定される。したがって、本実施の形態において、セキュリティ属性値はセキュリティ情報を特定することができる情報に相当し、セキュリティポリシーは、セキュリティ情報に相当する。

メールサーバ３０は、いわゆるメールサーバであり、クライアント３１等に対してメールサービスを提供する。メールサーバ３０は、情報の漏洩を防止するため、クライアント３１等より送信が要求されたメールの本文と添付ファイルとをセキュリティ属性１０に転送し、セキュリティ属性推定サーバ１０から返信されるセキュリティ属性値の推定結果に応じてメールの送信の許否等を判定する。

セキュリティ属性推定サーバ１０は、文書サーバ２０より送信される文書より抽出したテキスト情報と、その文書のセキュリティ属性値とをテキスト情報ＤＢ１１に蓄積しておき、メールサーバ３０より送信されるメール本文及び添付ファイルと、テキスト情報ＤＢ１１に蓄積されている各文書のテキスト情報とを比較することにより、蓄積されているテキスト情報の中からメール本文及び添付ファイルと同一の又は類似するテキスト情報を特定し、そのテキスト情報に係る文書に対するセキュリティ属性値に基づいて、メール本文及び添付ファイルに適用するセキュリティ属性値を推定する。推定されたセキュリティ属性値は、推定結果としてメールサーバ３０に送信される。すなわち、メール本文及び添付ファイルと同一又は似ている文書に対して設定されているアクセス権限等のセキュリティ情報をメール本文及び添付ファイルに適用させ、それによってメール本文及び添付ファイルが無条件に送信されることによる情報の漏洩を防止しようというわけである。

セキュリティ属性推定サーバ１０について更に詳しく説明する。図２は、第一の実施の形態におけるセキュリティ属性推定サーバの機能構成例を示す図である。図２において、セキュリティ属性推定サーバ１０は、テキスト情報ＤＢ１１と、テキスト情報保存手段１２と、セキュリティ属性推定手段１３とより構成されている。

テキスト情報保存手段１２は、文書サーバ２０より送信される文書及びセキュリティ属性値をテキスト情報ＤＢ１１に蓄積するための機能であり、データ受信部１２１、テキスト情報抽出部１２２、データ保存部１２３、及びデータ送信部１２４等より構成される。

データ受信部１２１は、文書及びそのセキュリティ属性を受信する機能である。テキスト情報抽出部１２２は、文書よりテキスト情報を抽出する機能である。すなわち、一般の文書では、画像情報を含むこともあり、メールに添付されるファイルも画像情報を含んだ文書であることもある。本実施の形態では文書中の画像情報を除いたテキスト情報を利用して類似度の判定等を行うため、テキスト情報を抽出する必要があるというわけである。

テキスト情報の抽出は、既存のソフトウェアやツールを利用すればよい。例えば、ＭＳ Ｗｏｒｄの文書であればＭＳ Ｗｏｒｄでその文書を読み込み、保存するファイルタイプとしてテキスト文書を選択することで、テキスト情報を得ることができる。ＭＳ Ｐｏｗｅｒｐｏｉｎｔの文書であれば、読み込み後に一旦ＲＴＦ（Rich Text Format）フォーマットで保存し、さらにＭＳ Ｗｏｒｄを利用してテキストで保存すればよい。また、ＭＳ文書だけでなく一太郎文書やＰＤＦ文書等もそれぞれ対応するソフトウェアを利用すればテキスト情報を得ることができる。

データ保存部１２３は、テキスト情報抽出部１２２によって抽出された、文書のテキスト情報と、データ受信部１２１によって当該文書と共に受信されたセキュリティ属性値とを関連付けてテキスト情報ＤＢ１１に保存する機能である。データ送信部１２４は、処理結果を文書サーバ２０へ返信する機能である。

セキュリティ属性推定手段１３は、メールサーバ３０より転送されるメール本文及び添付ファイルに対するセキュリティ属性値をテキスト情報ＤＢ１１に蓄積されている情報に基づいて推定する手段であり、データ受信部１３１、テキスト情報抽出部１３２、類似度算出部１３３、データ読み出し部１３４、セキュリティ属性推定部１３５、及びデータ送信部１３６等より構成される。

データ受信部１３１は、メールサーバ３０よりメール本文及び添付ファイルを受信する機能である。テキスト情報抽出部１３２は、メール本文及び添付ファイルよりテキスト情報を抽出する機能である。類似度算出部１３３は、メール本文及び添付ファイルより抽出されたテキスト情報（以下「対象テキスト」という。）と、テキスト情報ＤＢ１１に保存されているテキスト情報（以下「保存テキスト」という。）とを比較し、両者の類似度を算出する機能である。

データ読み出し部１３４は、類似度算出部１３３からの要求に応じてテキスト情報ＤＢ１１より保存テキストを読み出したり、セキュリティ属性推定部１３５からの要求に応じてテキスト情報ＤＢ１３４よりセキュリティ属性値を読み出したりする機能である。セキュリティ属性推定部１３５は、類似度算出部１３３によって算出された類似度に応じて対象テキストに係るメール又は添付ファイルに適用させるセキュリティ属性値を推定する機能である。データ送信部１３６は、セキュリティ属性推定部１３５による推定結果、すなわち、メール本文及び添付ファイルに適用させるセキュリティ属性値をメールサーバ３０に返信する機能である。

なお、データ受信部１２１及びデータ受信部１３１と、データ送信部１２４及びデータ送信部１３６とはそれぞれ共通のものを利用してもよい。また、データ受信部１２１、データ送信部１２４、データ受信部１３１、及びデータ送信部１３６等によるデータの送受信、すなわち、セキュリティ属性推定サーバ１０と、文書サーバ２０及びメールサーバ３０との通信は、ＨＴＴＰ（HyperText Transfer Protocol）とＸＭＬとを利用したＳＯＡＰ（Simple Object Access Protocol）を利用してもよい。

図３は、本発明の実施の形態におけるセキュリティ属性推定サーバのハードウェア構成例を示す図である。図３のセキュリティ属性推定サーバ１０は、それぞれバスBで相互に接続されているドライブ装置１００と、補助記憶装置１０２と、メモリ装置１０３と、演算処理装置１０４と、インタフェース装置１０５とを有するように構成される。

セキュリティ属性推定サーバ１０での処理を実現するプログラムは、ＣＤ−ＲＯＭ等の記録媒体１０１によって提供される。プログラムが記録された記録媒体１０１がドライブ装置１００にセットされると、プログラムが記録媒体１０１からドライブ装置１００を介して補助記憶装置１０２にインストールされる。

補助記憶装置１０２は、インストールされたプログラムを格納すると共に、必要なファイルやデータ等を格納する。メモリ装置１０３は、プログラムの起動指示があった場合に、補助記憶装置１０２からプログラムを読み出して格納する。演算処理装置１０４は、メモリ装置１０３に格納されたプログラムに従ってセキュリティ属性推定サーバ１０に係る機能を実行する。インタフェース装置１０５はネットワークに接続するためのインタフェースとして用いられる。

以下、セキュリティ管理システム１の処理手順について説明する。図４は、第一の実施の形態における文書サーバからの文書及びセキュリティ属性値のアップロード時の処理を説明するためのシーケンス図である。

ステップＳ１０１において、文書サーバ２０は、文書及びそのセキュリティ属性値をセキュリティ属性推定サーバ１０に送信する。本ステップは、定期的、文書サーバ２０に文書がアップロードされた際、又は文書サーバ２０の文書ＤＢ２１に蓄積されている文書が更新された際等、必要に応じて実行される。また、必ずしも一の文書が対象であるとは限らず、複数の文書及びそのセキュリティ属性値が送信対象となり得る。

文書及びそのセキュリティ属性値を受信したセキュリティ属性推定サーバ１０のデータ受信部１２１は、文書については、テキスト情報抽出部１２２に出力し（Ｓ１０２）、セキュリティ属性値についてはデータ保存部１２３に出力する（Ｓ１０５）。文書を受け取ったテキスト情報抽出部１２２は、文書からテキスト情報を抽出し（Ｓ１０３）、抽出されたテキスト情報をデータ保存部１２３出力する（Ｓ１０４）。

データ保存部１２３は、テキスト情報抽出部１２２より受け取ったテキスト情報と、データ受信部１２１より受け取ったセキュリティ属性値とを関連付けてテキスト情報ＤＢ１１に保存し（Ｓ１０６、Ｓ１０７）、その処理結果を示す情報、例えば、正常終了又は異常終了の別等をデータ送信部１２４に出力する（Ｓ１０８）。データ送信部１２４は、処理結果を示す情報を文書サーバ２０に送信し、処理が終了する。

このように、予め文書サーバ２０における文書からテキスト情報を抽出し、抽出されたテキスト情報をセキュリティ属性値と関連付けてテキスト情報ＤＢ１１に蓄積しておくことで、後述するセキュリティ属性値の推定処理のたびに文書サーバ２０からの文書等の取得、及び当該文書からのテキスト情報の抽出等を行う必要がなく、セキュリティ属性値の推定処理を高速化することができる。

続いて、テキスト情報ＤＢ１１に蓄積されたテキスト情報（保存テキスト）及びセキュリティ属性値を利用して、セキュリティ属性推定サーバ１０が、メールサーバ３０より送信されるメール本文及び添付ファイルのセキュリティ属性値を推定する処理について説明する。図５は、第一の実施の形態における操作対象とされる情報に対するセキュリティ属性値の推定処理を説明するためのシーケンス図である。第一の実施の形態において、操作対象とされる情報とは、メールサーバ３０より転送されるメール本文及び添付ファイルが相当する。

ステップＳ１２１において、メールサーバ３０は、クライアント３１より送信が要求されたメールのメール本文及び添付ファイルと共に、当該メール本文及び添付ファイルのセキュリティ属性値の推定要求をセキュリティ属性推定サーバ１０に送信する。

図６は、メール本文及び添付ファイルのセキュリティ属性値の推定要求として送信される情報を示す図である。図６においては、メールサーバ３０とデータ受信部１３１との通信がＳＯＡＰである場合を想定している。したがって、セキュリティ属性値の推定要求に含まれる情報がＸＭＬによって表現されている。なお、図６は、ＳＯＡＰメッセージそのものではなく、ＳＯＡＰメッセージから抜粋された情報を示す。

図６において、推定要求情報３１０は、＜Ａｂｏｕｔ＞タグで囲まれたＡｂｏｕｔ要素３１１と、＜ＭｅｓｓａｇｅＨｅａｄｅｒ＞タグで囲まれたＭｅｓｓａｇｅＨｅａｄｅｒ要素３１２と、＜ＭｅｓｓａｇｅＢｏｄｙ＞タグで囲まれたＭｅｓｓａｇｅＢｏｄｙ要素３１３と、＜ＡｔｔａｃｈｅｄＤｏｃｕｍｅｎｔｓ＞タグで囲まれたＡｔｔａｃｈｅｄＤｏｃｕｍｅｎｔｓ要素３１４とから構成されている。

Ａｂｏｕｔ要素３１１は、推定要求の概要が記述されている要素である。すなわち、＜Ｉｄ＞タグに囲まれて推定要求のＩＤが、＜Ｎａｍｅ＞タグに囲まれて推定要求の名前（「セキュリティ属性推定要求」）が、＜Ｃｒｅａｔｏｒ＞タグに囲まれて推定要求の作成者の名前、すなわち、メールサーバ３０のホスト名が、＜ＤａｔｅＴｉｍｅ＞タグに囲まれて推定要求が行われた日時が、＜Ｄｅｓｃｒｉｐｔｉｏｎ＞タグに囲まれて推定要求の説明がそれぞれ記述されている。

ＭｅｓｓａｇｅＨｅａｄｅｒ要素３１２は、メールのヘッダ情報に関する情報が記述されている要素である。すなわち、＜Ｆｒｏｍ＞タグに囲まれてメールの送信者のアドレスが、＜Ｓｕｂｊｅｃｔ＞タグに囲まれてメールの件名がそれぞれ記述されている。

ＭｅｓｓａｇｅＢｏｄｙ要素３１３は、メール本文に関する情報が記述されている要素である。すなわち、＜ＥｎｃｏｄｅＴｙｐｅ＞タグに囲まれてメール本文のエンコードの種別が、＜ｌｅｎｇｔｈ＞タグに囲まれてメール本文の長さが、＜ｂｏｄｙ＞タグに囲まれてエンコードされたメール本文がそれぞれ記述されている。

ＡｔｔａｃｈｅｄＤｏｃｕｍｅｎｔｓ要素３１４は、添付ファイルに関する情報が記述されている要素である。すなわち、＜ＴｏｔａｌＣｏｕｎｔｓ＞タグに囲まれて添付ファイルの数が、添付ファイルごとに＜ＡｔｔａｃｈｅｄＤｏｃｕｍｅｎｔ＞タグに囲まれたＡｔｔａｃｈｅｄＤｏｃｕｍｅｎｔ要素３１４２が記述されている。

ＡｔｔａｃｈｅｄＤｏｃｕｍｅｎｔ要素３１４２には、＜ＤｏｃｕｍｅｎｔＴｙｐｅ＞タグに囲まれて添付ファイルの種類が、＜ＤｏｃｕｍｅｎｔＮａｍｅ＞タグに囲まれて添付ファイルのファイル名が、＜Ｃｒｅａｔｅｄ＞タグに囲まれて添付ファイルの作成日時が、＜Ｍｏｄｉｆｉｅｄ＞タグに囲まれて添付ファイルの更新日時が、＜ＥｎｃｏｄｅＴｙｐｅ＞タグに囲まれて添付ファイルのエンコードの種別が、＜ｌｅｎｇｔｈ＞タグに囲まれて添付ファイルの長さが、＜ｂｏｄｙ＞タグに囲まれてエンコードされた添付ファイルの内容がそれぞれ記述されている。

ステップＳ１２１に続いてステップＳ１２２に進み、セキュリティ属性推定サーバ１０のデータ受信部１３１は、受信したメール本文及び添付ファイルをテキスト情報抽出部１３２に出力する。テキスト情報抽出部１３２は、メール本文及び添付ファイルよりテキスト情報を抽出し（Ｓ１２３）、抽出されたテキスト情報（対象テキスト）を類似度算出部１３３に出力する（Ｓ１２４）。類似度算出部１３３が、データ読み出し部１３４に保存テキストの読み出しを要求すると（Ｓ１２５）、データ読み出し部１３４は、テキスト情報ＤＢ１１より蓄積されている一部又は全ての保存テキストを読み出し（Ｓ１２６）、類似度算出部１３３に出力する（Ｓ１２７）。

類似度算出部１３３は、対象テキストと各保存テキストとの類似度を算出し（Ｓ１２８）、算出された類似度をデータ読み出し部１３４に出力する（Ｓ１２９）。セキュリティ属性推定部１３５は、類似度に基づいて、保存テキストの中から対象テキストのセキュリティ属性値を推定するために参考にするもの（以下「参考保存テキスト」という。）を特定し、参考保存テキストのセキュリティ属性値の読み出しをデータ読み出し部１３４に要求する（Ｓ１３０）。なお、後述するように参考保存テキストは一つとは限らない。

データ読み出し部１３４は、テキスト情報ＤＢ１１より参考保存テキストに関連付けられているセキュリティ属性値を読み出し（Ｓ１３１）、セキュリティ属性推定部１３５に出力する（Ｓ１３２）。セキュリティ属性推定部１３５は、所定の方法（以下「推定方法」という。）にしたがって、読み出されたセキュリティ属性に基づいて対象テキストに適用するセキュリティ属性値を推定し（Ｓ１３３）、推定結果として対象テキストに適用するセキュリティ属性値をデータ送信部１３６に出力する（Ｓ１３４）。データ送信部１３６は、推定されたセキュリティ属性値をメールサーバ３０に送信し（Ｓ１３５）、処理が終了する。

図７は、セキュリティ属性値の推定結果として送信される情報を示す図である。図７も、ＳＯＡＰメッセージそのものではなく、ＳＯＡＰメッセージから抜粋された情報を示すのは図６と同様である。

図７において、推定結果情報３２０は、＜Ａｂｏｕｔ＞タグで囲まれたＡｂｏｕｔ要素３２１と、＜ＳｅｃｕｒｉｔｙＡｔｔｒｉｂｕｔｅｓ＞タグで囲まれたＳｅｃｕｒｉｔｙＡｔｔｒｉｂｕｔｅｓ要素３２２とから構成されている。Ａｂｏｕｔ要素３２１は、推定結果の概要が記述されている要素であり、その内容は、Ａｂｏｕｔ要素３１１（図６）と同様であるのでここでの説明は省略する。

ＳｅｃｕｒｉｔｙＡｔｔｒｉｂｕｔｅｓ要素３２２は、推定されたセキュリティ属性値に関する情報が記述されている要素である。すなわち、＜ＴｏｔａｌＣｏｕｎｔｓ＞タグに囲まれて、後述するＳｅｃｕｒｉｔｙＡｔｔｒｉｂｕｔｅ要素の数が記述され（３２２１）、続いて＜ＳｅｃｕｒｉｔｙＡｔｔｒｉｂｕｔｅ＞タグに囲まれてＳｅｃｕｒｉｔｙＡｔｔｒｉｂｕｔｅ要素が一つ以上記述されている（３２２２、３２２３）。

ＳｅｃｕｒｉｔｙＡｔｔｒｉｂｕｔｅ要素３２２２及び３２２３は、それぞれ一つの参考保存テキストに関連づけられていたセキュリティ属性値が記述されている要素である。すなわち、＜ＤｏｃＣａｔｅｇｏｒｙ＞タグに囲まれて参考保存テキストの文書カテゴリが、＜ＤｏｃＬｅｖｅｌ＞タグに囲まれて参考保存テキストの秘密レベルが、＜ｍａｎＰｏｓｔ＞タグに囲まれて参考保存テキストの所属が、＜ｒｅｌＰｅｒｓｏｎｓ＞タグに囲まれて参考保存テキストの関係者や関係グループのユーザＩＤやグループＩＤが、＜ｅｘｈｉｂｉｔｉｏｎＤａｔｅ＞タグに囲まれて参考保存テキストの秘密保持期限が、＜ｅｌｉｍｉｎａｔｉｏｎＤａｔｅ＞タグに囲まれて参考保存テキストの保存期限が、＜ｅｘｐｉｒａｔｉｏｎＤａｔｅ＞タグに囲まれて参考保存テキストの有効期限がそれぞれ記述されている。

図７に示される推定結果情報３２０を受信したメールサーバ３０は、推定されたセキュリティ属性値に基づいて、かかるセキュリティ属性値を有する文書に対するアクセス権情報を入手したり、自らアクセス権限を判定したり、又は、推定結果を文書管理責任者に通知し、その応答を利用してメールの送信要求に対する処理を制御する。例えば、メールを削除したり、管理者にメールのコピーを送ったり、メールのコピーをログに関連付けて保存したり、管理者に警告を送信したり、送信者に警告を送信したりしてもよい。これらは、それぞれを単独で行ってもよいし、複数を組み合わせて行うのでもよい。

ところで、図５において、類似度算出部１３３による対象テキストと各保存テキストとの類似度の算出（Ｓ１２８）は、公知の様々な技術を用いておこなってもよいが、例えば、以下のように行ってもよい
まず、対象テキストを一つ以上のブロック（以下「キーブロック」という。）に分割し、各キーブロックが保存テキストに含まれているかを判定する。キーブロックの単位は、例えば、以下のようなものが考えられる。
（１）対象テキスト全体をそのまま一つのキーブロックとし、そのキーブロックを構成する文字列、すなわち、対象テキストの全文が保存テキストに含まれているかどうかを判定する。
（２）改行コードをキーブロックの区切りとし、各キーブロックを構成する文字列が、保存テキストに含まれているかどうかを判定する。
（３）句点、読点、カンマ、ピリオド、引用符等の通常の文書で利用される記号をキーブロックの区切りとし、各キーブロックを構成する文字列が保存テキストに含まれているかどうかを判定する。
（４）タブ、スペースをキーブロックの区切りとして、各キーブロックを構成する文字列が保存テキストに含まれているかどうかを判定する。

上記（１）〜（４）のうちいずれか一つを行ってもよいし、二つ以上を組み合わせてもよい。また、（１）〜（４）に挙げたような単純な区切りではなく、形態素解析により名詞であることを判別し、その名詞をキーブロックとしてもよい。

上記のキーブロックごとの判定結果を利用して、以下の式で類似度を求める。

各変数の意味は以下の通りである。
S_i： i番目の保存テキストに対する類似度
BF：対象テキストから抽出されたキーブロック数
WBj：j番目のキーブロックの文字数
BA_ij： i番目の保存テキストに含まれているj番目のキーブロック数
WA_i： i番目の保存テキストの文字数
N：テキスト情報ＤＢ１１に蓄積されている保存テキストの数
なお、上記（１）を採用した場合、すなわち、対象テキスト全体を一つのキーブロックとした場合は、保存テキストに係る文書の内容全文がメール本文に転記されている場合や、添付ファイルとされている場合は、類似度は「１」となる。

また、図５において、セキュリティ属性推定部１３５によるセキュリティ属性値の推定の際（Ｓ１３３）の推定方法は、例えば、以下のようなものでもよい。
（１）類似度が一番大きい保存テキストのセキュリティ属性値をそのまま対象テキストのセキュリティ属性値として推定する。
（２）類似度の上位数件の保存テキストのセキュリティ属性値のうち、最もセキュリティ属性値として厳しいものを対象テキストのセキュリティ属性値として推定する。
（３）類似度の上位数件の保存テキストのセキュリティ属性値の平均値を対象テキストのセキュリティ属性値として推定する。
（４）類似度の上位数件の保存テキストのセキュリティ属性値の一覧を対象テキストのセキュリティ属性値として推定する。すなわち、複数のセキュリティ属性値の候補をそのまま次工程（ここでは、メールサーバ３０）に通知し、最終的にどのように利用するかは次工程に委ねる。なお、図７の推定結果情報３２０は、（４）のケースに該当する。

（１）〜（４）については、いずれか一つの方法を用いてもよいが、対象となるセキュリティ属性に応じて選択できるようにしてもよい。すなわち、秘密レベルが、例えば、レベル1、レベル2、レベル3、と線形に定義されているような場合は、（２）、（３）の方法が適当である場合が多いと考えられる。また、秘密保持期限、有効期限、保存期限のような場合は、（２）の方法が適当である場合が多いと考えられる。一方、所属、種類、関係者、関係グループ等では、（１）又は（４）の方法が適当である場合が多いと考えられる。

また、以下のようなＧＵＩ（Graphical User Interface）を提供することにより、セキュリティ属性値の推定方法をユーザに選択させるようにしてもよい。

図８は、セキュリティ属性推定方法設定画面の表示例を示す図である。図８のセキュリティ属性推定方法設定画面４１０は、列４１１において推定方法の設定対象とするセキュリティ属性をコンボボックスにより選択させ、列４１２において推定方法をコンボボックスにより選択させ、列４１３において「上位」の定義をコンボボックスにより選択させるようになっている。図８においては、コンボボックス４１１１において「秘密レベル」が選択され、コンボボックス４１２１において「１番の属性をそのまま利用」が選択されている。したがって、「秘密レベル」については、類似度が最も高い保存テキストの値をそのまま利用する旨が定義されていることとなる。

更に、別のセキュリティ属性についても推定方法を設定すべく、コンボボックス４１１２がクリックされると、セキュリティ属性推定方法設定画面４１０は、図９に示されるようになる。

図９は、セキュリティ属性推定方法設定画面において推定方法の設定対象とするセキュリティ属性を選択させる様子を示す図である。図９に示されるように、コンボボックス４１１２がクリックされるとプルダウンリスト４１１２ａが表示される。プルダウンリスト４１１２ａには、セキュリティ属性の属性名の一覧が表示され、その一覧の中から推定方法の設定対象とするセキュリティ属性を選択させるようになっている。例えば、プルダウンリスト４１１２ａにおいて「秘密保持期限」が選択され、更に、コンボボックス４１２２がクリックされると、セキュリティ属性推定方法設定画面４１０は、図１０に示されるようになる。

図１０は、セキュリティ属性推定方法設定画面において推定方法を選択させる様子を示す図である。図１０に示されるように、コンボボックス４１２２がクリックされるとプルダウンリスト４１２２ａが表示される。プルダウンリスト４１２２ａには、推定方法の一覧が表示され、その一覧のなかから推定方法を選択させるようになっている。例えば、プルダウンリスト４１２２ａにおいて「上位の属性の最高値」が選択され、更に、コンボボックス４１３２がクリックされると、セキュリティ属性推定方法設定画面４１０は、図１１に示されるようになる。

図１１は、セキュリティ属性推定方法設定画面において「上位」の定義を選択させる様子を示す図である。図１１に示されるように、コンボボックス４１３２がクリックされるとプルダウンリスト４１３２ａが表示される。プルダウンリスト４１３２ａには、「上位」の定義の一覧が表示され、その一覧のなかから「上位」の定義を選択させるようになっている。例えば、プルダウンリスト４１３２ａにおいて「上位１０件」が選択されると、「秘密保持期限」に関しては、類似度が上位１０件の保存テキストの中の最高値を採用する旨が定義されたこととなる。

上述したように、第一の実施の形態におけるセキュリティ管理システム１によれば、アクセス権限等のセキュリティ情報が設定されていないメール本文や添付ファイルに対しても、それらと同一又は似ている蓄積文書に対して設定されているセキュリティ情報を適用させることができる。したがって、例えば、蓄積文書が、そのままメール本文に転記されたり、メールの添付ファイルとされたりしたような場合はもとより、蓄積文書に記述されている内容に類似している情報が記述されているメールが送信されようとしたような場合に、その蓄積文書に設定されているセキュリティ情報に基づいて、適切な制御を行うことができる。

次に、第二の実施の形態として、共有文書に対するセキュリティ属性値を推定する例について説明する。ここで、共有文書とは、情報共有を目的として複数人から参照可能な環境に公開されている情報をいう。

図１２は、第二の実施の形態におけるセキュリティ管理システムの構成例を示す図である。図１２中、図１と同一部分には同一符号を付し、その説明は省略する。図１２のセキュリティ管理システム２においては、共有サーバ４０が新たに構成要素となっている。共有サーバ４０は、クライント４１等よりアップロードされる文書等を共有文書としてネットワーク上に公開するコンピュータである。共有サーバ４０は、例えば、共有文書を共有フォルダに配置することによって公開する。

図１３は、第二の実施の形態におけるセキュリティ属性推定サーバの機能構成例を示す図である。図１３中、図２と同一部分には同一符号を付し、その説明は省略する。図２と図１３とを比較すると、図１３のセキュリティ属性推定サーバ１０においては、データ受信部１３１の代わりにデータ収集部１３７が、セキュリティ属性推定手段１３の構成要素となっている。

データ収集部１３７は、共有文書をセキュリティ属性推定サーバ１０に収集する機能である。なお、第二の実施の形態において、テキスト情報保存手段１２は、図２に示されるものと異なる点がないため、図１３においては省略されている。

以下、セキュリティ管理システム２の処理手順について説明する。第二の実施の形態において、文書サーバ２０からの文書及びセキュリティ情報のアップロード時の処理は、第一の実施の形態（図４）と同様でよいため、セキュリティ属性値の推定処理について説明する。

図１４は、第二の実施の形態における操作対象とされる情報に対するセキュリティ属性値の推定処理を説明するためのシーケンス図である。第二の実施の形態において、操作対象とされる情報とは、共有サーバ４０より収集される共有文書が相当する。

ステップＳ２０１において、セキュリティ属性推定サーバ１０のデータ収集部１３７は、共有サーバ４０の共有フォルダへアクセスすることにより、共有文書を取得する（Ｓ２０２）。共有文書の取得処理は、クライアント４１から共有サーバ４０への共有文書のアップロードを検知して随時行ってもよいし、定期的に行うようにしてもよい。後者の場合、公開すべきでない文書が共有文書とされてしまう期間をなるべく短期間とするためにも頻繁に行われることが望ましい。

データ収集部１３７は、取得した共有文書をテキスト情報抽出部１３２に出力する（Ｓ２０３）。以降、ステップＳ２０４からＳ２１５においては、第一の実施の形態におけるステップＳ１２３からＳ１３５までと同様の処理手順によって、共有文書からのテキスト情報の抽出、抽出されたテキスト情報（対象テキスト）と各保存テキストとの類似度の算出、及び共有文書に対するセキュリティ属性値の推定等が行われ、推定結果がメールサーバ３０に送信される（Ｓ２１６）。

推定結果を受信したメールサーバ３０は、例えば、管理者に推定結果を含むメールを送信することにより、管理者に共有文書の取扱いを委ねてもよい。この場合、管理者は共有文書を共有サーバ４０より削除したりすることができる。

また、ステップＳ２１７に示されるように、推定結果が共有サーバ４０に送信されるようにしてもよい。この場合、共有サーバ４０は、推定されたセキュリティ属性値に基づいて、かかるセキュリティ属性値を有する文書に対するアクセス権情報を入手したり、自らアクセス権限を判定したりする。更に、その判定結果に基づいて、共有文書を自動的に削除したり、共有文書にログを関連付けて保存したりしてもよい。これらは、それぞれを単独で行ってもよいし、複数を組み合わせて行うのでもよい。

なお、データ収集部１３７として共有フォルダへのアクセスを行うプロセスは、ステップＳ２０１以前に共有サーバ４０へのログオンを行っておく必要がある。正確には、共有サーバ４０へのアクセス権限のあるユーザあるいは、ドメインユーザとしてログオンしておけばよい。実際には、ドメイン管理されているオフィスのネットワーク等で、そのドメイン管理者の権限でログオンすることが一般的な方法である。

また、共有サーバ４０が複数ある場合等、共有サーバ４０が予め特定できない場合は、セキュリティ属性推定サーバ１０は、共有フォルダの存在を検知するためネットワーク上にブロードキャストを発行することで共有サーバ４０のリストを取得し、更にそれぞれの共有サーバ４０に共有フォルダ(正確にはアクセス権限のあるフォルダ)のリストを要求すればよい。その後で、アクセス権限のあるフォルダを監視し、フォルダの作成されたことや、共有文書がアップロード等により作成されたことを検知し、共有文書が作成された場合は、そのコピーを取得すればよい。

上述したように、第二の実施の形態におけるセキュリティ管理システム２によれば、アクセス権限等のセキュリティ情報が設定されていない共有文書に対しても、それらと同一又は似ている蓄積文書に対して設定されているセキュリティ情報を適用させることができる。したがって、例えば、蓄積文書が、そのまま共有文書として公開されたような場合はもとより、蓄積文書に記述されている情報が記述されている内容に類似している情報が記述された文書が共有文書にされようとした場合に、その蓄積文書に設定されているセキュリティ情報に基づいて、適切な制御を行うことができる。

なお、共有サーバ４０については、単なるファイルサーバでなく、例えば、インターネット上に情報を公開するＦＴＰ（File Transfer Protocol）サーバや、Ｗｅｂサーバ等を想定してもよい。この場合、インターネットを介して世界中に情報が漏洩してしまう危険性を効果的に防止できる可能性を高めることができる。

次に、第三の実施の形態として、スキャナ、コピー機、又は複合機等でスキャンされた画像データに対するセキュリティ属性値を推定する例について説明する。

図１５は、第三の実施の形態におけるセキュリティ管理システムの構成例を示す図である。図１５中、図１と同一部分には同一符号を付し、その説明は省略する。図１と図１５とを比較すると、図１５のセキュリティ管理システム３においては、メールサーバ３０の代わりに複合機５０が構成要素となっている。複合機５０は、プリンタ、ＦＡＸ、コピー、スキャナ等の機能が一つの筐体内に実装されている機器である。但し、必ずしも、複合機である必要はなく、いずれか一つの機能を有する機器であってもよい。

図１６は、第三の実施の形態におけるセキュリティ属性推定サーバの機能構成例を示す図である。図１６中、図２と同一部分には同一符号を付し、その説明は省略する。図１６における構成は、図２と同様である。但し、第三の実施の形態におけるデータ受信部１３１が受信するデータは、画像データである点が第一の実施の形態とは異なる。なお、第三の実施の形態において、テキスト情報保存手段１２については、図２に示されるものと異なる点がないため、図１３においては省略されている。

以下、セキュリティ管理システム３の処理手順について説明する。第三の実施の形態において、文書サーバ２０からの文書及びセキュリティ情報のアップロード時の処理は、第一の実施の形態（図４）と同様でよいため、セキュリティ属性値の推定処理について説明する。

図１７は、第三の実施の形態における操作対象とされる情報に対するセキュリティ属性値の推定処理を説明するためのシーケンス図である。第三の実施の形態において、操作対象とされる情報とは、複合機５０より送信される画像データが相当する。

ステップＳ３０１において、複合機５０は、スキャンされた画像データと共に当該画像データのセキュリティ属性値の推定要求をセキュリティ属性推定サーバ１０に送信する。画像データの送信は、スキャナ又はコピー機能によってスキャンが実行されるタイミングで随時行ってもよいし、スキャンされた画像データがある程度蓄積されたタイミングや定期的に複数の画像データについてまとめて行ってもよい。

データ受信部１３１は、受信した画像データをテキスト情報抽出部１３２に出力する（Ｓ３０２）。以降、ステップＳ３０３からＳ３１５においては、第一の実施の形態におけるステップＳ１２３からＳ１３５と同様の処理手順によって、画像データからのテキスト情報の抽出、抽出されたテキスト情報（対象テキスト）と各保存テキストとの類似度の算出、及び画像データに対するセキュリティ属性値の推定等が行われ、推定結果が複合機５０に送信される。

推定結果を受信した複合機５０は、推定されたセキュリティ属性値に基づいて、かかるセキュリティ属性値を有する文書に対するアクセス権情報を入手したり、自らアクセス権限を判定したり、又は、推定結果を文書管理責任者に通知し、その応答を利用してコピーやスキャン要求に対する処理を制御する。例えば、スキャンされた画像データを削除したり、コピーを中止したり、管理者にスキャンデータを送信したり、スキャンデータをログに関連付けて保存したり、管理者に警告を送信したり、操作パネルに警告を表示したりしてもよい。これらは、それぞれを単独で行ってもよいし、複数を組み合わせて行うのでもよい。

なお、ステップＳ３０３における、画像データからのテキスト情報の抽出は、一般的に利用されているＯＣＲ（Optical Character Recognition）技術を利用すればよい。但し、ＯＣＲには誤認識の可能性がある。したがって、ＯＣＲによって抽出された対象テキストと、ワープロソフト等から抽出され保存されている保存テキストとを比較することにより算出される類似度は誤差が生じやすいことが考えられる。かかる問題に対処すべく、第三の実施の形態における文書サーバ２０からの文書及びセキュリティ情報のアップロード時の処理手順を図１８のようにしてもよい。

図１８は、第三の実施の形態における文書サーバからの文書及びセキュリティ属性値のアップロード時の第二の処理を説明するためのシーケンス図である。図１８中、図４と同一ステップには同一符号を付し、その説明は省略する。

図１８においては、ステップＳ１０３−１及びＳ１０３−２が追加されている。すなわち、テキスト情報抽出部１２２は、データ送信部１２４より受け取った文書に基づいて擬似プリントデータ（ラスタデータ）を生成し（Ｓ１０３−１）、その擬似プリントデータからＯＣＲを利用してテキスト情報を抽出する（Ｓ１０３−２）。

この場合、ステップＳ１０３において抽出されたものと、ステップＳ１０３−２において抽出されたものとの二つのテキスト情報が発生することになるが、両者共セキュリティ属性値と関連付けてテキスト情報ＤＢ１１に保存しておけばよい。

ここで、ステップＳ１０３−２において利用されるＯＣＲエンジンは、複合機５０より受信した画像データからのテキスト情報の抽出時（図１７：Ｓ３０３）に利用されるＯＣＲエンジンと同じものであることが望ましい。両者が同じであれば、誤認識の結果得られるテキスト情報も同一又は類似する可能性が高く、それぞれから得られるテキスト情報の類似度の算出において妥当性のある値を得られる可能性が高いからである。

上述したように、第三の実施の形態におけるセキュリティ管理システム３によれば、アクセス権限等のセキュリティ情報が設定されていない、スキャンされた画像データに対しても、それらと同一又は似ている蓄積文書に対して設定されているセキュリティ情報を適用させることができる。したがって、例えば、プリントアウトされた蓄積文書が、そのままコピーされたり、スキャナでスキャンされたりしたような場合はもとより、蓄積文書に記述されている内容に類似している情報が記述されている原稿がスキャンされようとしたような場合に、その蓄積文書に設定されているセキュリティ情報に基づいて、適切な制御を行うことができる。

ところで、上記第一から第三の実施の形態のセキュリティ属性推定サーバ１０においては、文書サーバ１０より送信される文書は、テキスト情報として蓄積されていたが、これを画像情報として蓄積するようにしてもよい。以下、かかる場合について説明する。

図１９は、第四の実施の形態におけるセキュリティ管理システムの構成例を示す図である。第四の実施の形態は、第三の実施の形態に対応している。図１９中、図１５と同一部分には同一符号を付し、その説明は省略する。図１５と図１９とを比較すると、図１９のセキュリティ管理システム４においては、セキュリティ属性推定サーバ１０は、テキスト情報ＤＢ１１の代わりに画像情報ＤＢ１４を有している。画像情報ＤＢ１４は、文書サーバ２０より送信される文書に基づいて生成された画像情報と、その文書のセキュリティ属性値とが関連付けられて蓄積されるデータベースである。

図２０は、第四の実施の形態におけるセキュリティ属性推定サーバの機能構成例を示す図である。図２０中、図１６と同一部分には同一符号を付し、その説明は省略する。図２０のセキュリティ属性推定サーバ１０は、画像情報保存手段１５を有している。画像情報保存手段１５は、第一から第三の実施の形態におけるテキスト情報保存手段１２（図２）に対応する機能であり、データ受信部１５１、画像情報形成部１５２、データ保存部１５３、及びデータ送信部１５４等より構成される。

データ受信部１５１、データ保存部１５３、データ送信部１５４は、それぞれテキスト情報保存手段１２におけるデータ受信部１２１、データ保存部１２３、データ送信部１２と同様の機能である。

画像情報形成部１５２は、文書に基づいて画像情報を生成する機能である。具体的には、画像情報形成部１５２は、プリンタ装置等と同様の画像情報（イメージ情報）の形成処理を行う.すなわち、その文書が出力されると想定できるプリンタ装置に対してすべて用意することが理想であるが、例えば、プリンタの種別(レーザやインクジェットなど)やメーカなどである程度典型的なものを用意すればよい。

一方、図２０におけるセキュリティ属性推定手段１３は、図１６におけるセキュリティ属性推定手段１３と比較した場合、テキスト情報抽出部１３２を有していない。第四の実施の形態では、画像情報どうしを比較するため、複合機５０より送信される画像データからテキスト情報を抽出する必要はないからである。

以下、セキュリティ管理システム４の処理手順について説明する。図２１は、第四の実施の形態における文書サーバからの文書及びセキュリティ属性値のアップロード時の処理を説明するためのシーケンス図である。

ステップＳ４０１、Ｓ４０２、及びＳ４０５は、図４におけるステップＳ１０１、Ｓ１０２、及びＳ１０５とほぼ同様である。すなわち、文書サーバ２０から送信される文書及びそのセキュリティ属性値がデータ受信部１５１によって受信され、文書については画像情報形成部１５２に（Ｓ４０２）、セキュリティ属性値についてはデータ保存部１５３に（Ｓ４０５）それぞれ出力される。

文書を受け取った画像情報形成部１５２は、文書に基づいて当該文書の画像情報を生成し（Ｓ４０３）、生成された画像情報をデータ保存部１５３に出力する（Ｓ４０４）。

データ保存部１５３は、画像情報形成部１５２より受け取った画像情報と、データ受信部１５１より受け取ったセキュリティ属性値とを関連付けて画像情報ＤＢ１４に保存し（Ｓ４０６、Ｓ４０７）、その処理結果を示す情報、例えば、正常終了又は異常終了の別等をデータ送信部１５４に出力する（Ｓ４０８）。データ送信部１５４は、処理結果を示す情報を文書サーバ２０に送信し、処理が終了する。

続いて、このように画像情報ＤＢ１４に蓄積される画像情報（以下「保存画像」という。）及びセキュリティ属性値を利用して、セキュリティ属性推定サーバ１０が、複合機５０より送信される画像データのセキュリティ属性値を推定する処理について説明する。図２２は、第四の実施の形態における操作対象とされる情報に対するセキュリティ属性値の推定処理を説明するためのシーケンス図である。第四の実施の形態において、操作対象とされる情報とは、複合機５０より送信される画像データが相当する。

ステップＳ４２１において、複合機５０は、スキャンされた画像データと共に当該画像データのセキュリティ属性値の推定要求をセキュリティ属性推定サーバ１０に送信する。画像データの送信は、スキャナ又はコピー機能によってスキャンが実行されるタイミングで随時行ってもよいし、スキャンされた画像データがある程度蓄積されたタイミングや定期的に複数の画像データについてまとめて行ってもよい。

図２３は、画像データのセキュリティ属性値の推定要求として送信される情報を示す図である。図２３においては、複合機５０とデータ受信部１３１との通信がＳＯＡＰである場合を想定している。したがって、セキュリティ属性値の推定要求に含まれる情報がＸＭＬによって表現されている。なお、図２３は、ＳＯＡＰメッセージそのものではなく、ＳＯＡＰメッセージから抜粋された情報を示す。

図２３において、推定要求情報３３０は、＜Ａｂｏｕｔ＞タグで囲まれたＡｂｏｕｔ要素３３１と、＜ＩｍａｇｅＴｙｐｅ＞タグで囲まれたＩｍａｇｅＴｙｐｅ要素３３２と、＜ＩｍａｇｅＢｏｄｙ＞タグで囲まれたＩｍａｇｅＢｏｄｙ要素３３３とから構成されている。Ａｂｏｕｔ要素３３１は、推定結果の概要が記述されている要素であり、その内容は、Ａｂｏｕｔ要素３１１（図６）と同様であるのでここでの説明は省略する。

ＩｍａｇｅＴｙｐｅ要素３３２は、画像データの種別（ＴＩＦＦ）が記述されている要素である。ＩｍａｇｅＢｏｄｙ要素３３３は、画像データの内容に関する情報が記述されている要素である。すなわち、＜ＥｎｃｏｄｅＴｙｐｅ＞タグに囲まれて画像データのエンコードの種別が、＜ｌｅｎｇｔｈ＞タグに囲まれて画像データの長さが、＜ｂｏｄｙ＞タグに囲まれてエンコードされた画像データがそれぞれ記述されている。

ステップＳ４２１に続いてステップＳ４２２に進み、セキュリティ属性推定サーバ１０のデータ受信部１３１は、受信した画像データ（以下「対象画像」という。）を類似度算出部１３３に出力する。類似度算出部１３３が、データ読み出し部１３４に保存画像の読み出しを要求すると（Ｓ４２３）、データ読み出し部１３４は、画像情報ＤＢ１４より蓄積されている一部又は全ての保存画像を読み出し（Ｓ４２４）、類似度算出部１３３に出力する（Ｓ４２５）。

類似度算出部１３３は、対象画像と各保存画像との類似度を算出し（Ｓ４２６）、算出された類似度をデータ読み出し部１３４に出力する（Ｓ４２７）。セキュリティ属性推定部１３５は、類似度に基づいて、保存画像の中から対象画像のセキュリティ属性値を推定するために参考にするもの（以下「参考保存画像」という。）を特定し、参考保存画像のセキュリティ属性値の読み出しをデータ読み出し部１３４に要求する（Ｓ４２８）。なお、参考保存画像は一つとは限らない。

データ読み出し部１３４は、画像情報ＤＢ１４より参考保存画像に関連付けられているセキュリティ属性値を読み出し（Ｓ４２９）、セキュリティ属性推定部１３５に出力する（Ｓ４３０）。セキュリティ属性推定部１３５は、第一の実施の形態において説明した推定方法にしたがって、読み出されたセキュリティ属性値に基づいて対象画像に適用するセキュリティ属性値を推定し（Ｓ４３１）、推定結果として対象画像に適用するセキュリティ属性値をデータ送信部１３６に出力する（Ｓ４３２）。データ送信部１３６は、推定されたセキュリティ属性値を複合機５０に送信し（Ｓ４３３）、処理が終了する。

推定結果を受信した複合機５０は、推定されたセキュリティ属性値に基づいて、かかるセキュリティ属性値を有する文書に対するアクセス権情報を入手したり、自らアクセス権限を判定したり、又は、推定結果を文書管理責任者に通知し、その応答を利用してコピーやスキャン要求に対する処理を制御する。例えば、スキャンされた画像データを削除したり、コピーを中止したり、管理者にスキャンデータを送信したり、スキャンデータをログに関連付けて保存したり、管理者に警告を送信したり、操作パネルに警告を表示したりしてもよい。これらは、それぞれを単独で行ってもよいし、複数を組み合わせて行うのでもよい。

なお、ステップＳ４２６における類似度算出部１３３による類似度の算出は、実空間における特徴量を比較する製品（例えば、VISMeister(http://www.ricoh.co.p/vismeister/)）を利用してもよい。また、それぞれの画像情報を離散フーリエ変換、離散コサイン変換などの直交変換を利用して周波数成分とし、それぞれの平均自乗誤差(0〜1)を1から減じたものを類似度としてもよい。その他、公知の様々な方法を利用してもよい。

上述したように、第四の実施の形態におけるセキュリティ管理システム４によれば、文書サーバ２０における文書を、セキュリティ属性推定サーバ１０において画像情報として保存する場合でも、第三の実施の形態におけるセキュリティ管理システム３と同様の効果を得ることができる。

次に、第五の実施の形態を説明する。図２４は、第五の実施の形態におけるセキュリティ管理システムの構成例を示す図である。図２４中、図１２又は図１９と同一部分には同一符号を付し、その説明は省略する。図１２と図２４とを比較すると、図２４のセキュリティ管理システム５においては、セキュリティ属性推定サーバ１０は、テキスト情報ＤＢ１１の代わりに画像情報ＤＢ１４を有している。

図２５は、第五の実施の形態におけるセキュリティ属性推定サーバの機能構成例を示す図である。図２５中、図１３と同一部分には同一符号を付し、その説明は省略する。図２５のセキュリティ属性推定サーバ１０のセキュリティ属性推定手段１３は、画像情報形成部１３８を更に有している。画像情報形成部１３８は、画像情報保存手段１５における画像情報形成部１５２と同様の機能であり、共有サーバ４０より取得された文書に基づいて画像情報を生成する。なお、第五の実施の形態におけるセキュリティ属性推定サーバ１０は、画像情報保存手段１５も有しているが、画像情報保存手段１５は、図２０に示されるものと異なる点がないため、図２５においては省略されている。

以下、セキュリティ管理システム５の処理手順について説明する。第五の実施の形態において、文書サーバ２０からの文書及びセキュリティ情報のアップロード時の処理は、第四の実施の形態（図２１）と同様でよいため、セキュリティ属性値の推定処理について説明する。

図２６は、第五の実施の形態における操作対象とされる情報に対するセキュリティ属性値の推定処理を説明するためのシーケンス図である。第五の実施の形態において、操作対象とされる情報とは、第五の実施の形態と同様共有サーバ４０より収集される共有文書が相当する。

図２６のステップＳ５０１及びＳ５０２においては、図１４におけるステップＳ２０１及びＳ２０２と同様に、データ収集部１３７によって共有サーバ４０より共有文書が取得される。データ収集部１３７は、取得した共有文書を画像情報形成部１３８に出力する（Ｓ５０３）。共有文書を受け取った画像情報形成部１３８は、共有文書に基づいて当該共有文書の画像情報を生成し（Ｓ５０４）、生成された画像情報を類似度算出部１３３に出力する（Ｓ５０５）。

以降、ステップＳ５０６からＳ５１５においては、図２２におけるステップＳ４２３からＳ４３２までと同様の処理手順によって、対象画像と保存画像との類似度の算出、及び共有文書に対するセキュリティ属性値の推定等が行われ、推定結果がデータ送信部１３７に出力される。データ送信部１３７は、推定結果をメールサーバ３０や共有サーバ３０に送信する（Ｓ５１６、Ｓ５１７）。

推定結果を受信したメールサーバ３０や共有サーバ４０は、第二の実施の形態において説明した処理と同様の処理によって共有文書の操作を制御することができる。

上述したように、第五の実施の形態におけるセキュリティ管理システム５によれば、文書サーバ２０における文書を、セキュリティ属性推定サーバ１０において画像情報として保存する場合でも、第二の実施の形態におけるセキュリティ管理システム２と同様の効果を得ることができる。

なお、第五の実施の形態において、共有サーバ４０における共有ファイルではなく、メールサーバ３０より転送されるメール本文及び添付ファイルを対象としてもよい。この場合は第一の実施の形態と同様に、セキュリティ属性推定サーバ１０は、メールサーバ３０よりメール本文及び添付ファイルを受信する点が異なるのみで、後の処理は図２６において説明した通りである。

また、第四及び第五の実施の形態において、文書サーバ２０より送信される文書は、ワープロソフト等によって生成されたアプリケーションデータであることを前提として説明したが、当該文書は、ＴＩＦＦやＪＰＥＧ等の画像データであってもよい。この場合、セキュリティ属性推定サーバ１０は、画像情報保存手段１５における画像情報形成部１５２を利用する必要はなく、受信した画像データをそのまま画像情報ＤＢ１４に保存すればよい。

ところで、第一から第三の実施の形態におけるテキスト情報ＤＢ１１と、第四及び第五の実施の形態における画像情報ＤＢ１４とは、排他的又は択一的な関係ではなく、両者を同時に（一緒に）セキュリティ属性推定サーバ１０に実装してもよい。この場合、文書サーバ２０より受信する文書ごとにテキスト情報と画像情報との両者を保存してもよいし、各文書の性質に応じていずれか一方を保存するようにしてもよい。例えば、まず、文書よりテキスト情報を抽出し、文書中におけるテキスト情報の割合が所定の閾値（予め定めておけばよい。）以上である場合は、抽出されたテキスト情報をテキスト情報ＤＢ１１に保存しておけばよい。また、文書中におけるテキスト情報の割合が所定の閾値より低い場合は、当該文書に基づいて画像情報を生成し、その画像情報を画像情報ＤＢ１４に保存しておけばよい。

なお、以上、第一から第五の実施の形態においては、セキュリティ属性推定サーバ１０、文書サーバ２０、メールサーバ２０、共有サーバ４０、及び複合機５０等が別個のハードウェアによって構成されている場合を例としたが、これらの構成要素を一つの筐体によって構成される装置において実装してもよい。この場合、各構成要素間の通信をＳＯＡＰ等のネットワーク通信によるのではなく、当該装置内のデータのやりとりによって実現すればよい。当該装置は、汎用的なコンピュータでもよいし、スキャナ、コピー機又は複合機等でもよい。最近のスキャナ、コピー機、及び複合機等は、汎用のＣＰＵを備え、ソフトウェアによって機能を実現しているものが増えてきているため、ベンダより提供されている開発キット等を利用することで容易に実現可能と言える（参考：RICOH Developer Support Program(RIDSP) http://www.ricoh.co.jp/dspinfo/rdsp/）。

なお、本実施の形態においては、セキュリティ属性値を、セキュリティ情報を特定できる情報として説明したが、例えば、セキュリティ情報を特定できる情報は、文書ＩＤであってもよい。文書ＩＤに基づいて当該文書に対するセキュリティ情報を入手することが可能であるからである。セキュリティ属性推定サーバ１０は、操作の対象とされる情報に適用させるセキュリティ属性値だけではなく、操作の許否についてまで判定し、その判定結果を返信するようにしてもよい。

本発明は係る特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。

第一の実施の形態におけるセキュリティ管理システムの構成例を示す図である。 第一の実施の形態におけるセキュリティ属性推定サーバの機能構成例を示す図である。 本発明の実施の形態におけるセキュリティ属性推定サーバのハードウェア構成例を示す図である。 第一の実施の形態における文書サーバからの文書及びセキュリティ属性値のアップロード時の処理を説明するためのシーケンス図である。 第一の実施の形態における操作対象とされる情報に対するセキュリティ属性値の推定処理を説明するためのシーケンス図である。 メール本文及び添付ファイルのセキュリティ属性値の推定要求として送信される情報を示す図である。 セキュリティ属性値の推定結果として送信される情報を示す図である。 セキュリティ属性推定方法設定画面の表示例を示す図である。 セキュリティ属性推定方法設定画面において推定方法の設定対象とするセキュリティ属性を選択させる様子を示す図である。 セキュリティ属性推定方法設定画面において推定方法を選択させる様子を示す図である。 セキュリティ属性推定方法設定画面において「上位」の定義を選択させる様子を示す図である。 第二の実施の形態におけるセキュリティ管理システムの構成例を示す図である。 第二の実施の形態におけるセキュリティ属性推定サーバの機能構成例を示す図である。 第二の実施の形態における操作対象とされる情報に対するセキュリティ属性値の推定処理を説明するためのシーケンス図である。 第三の実施の形態におけるセキュリティ管理システムの構成例を示す図である。 第三の実施の形態におけるセキュリティ属性推定サーバの機能構成例を示す図である。 第三の実施の形態における操作対象とされる情報に対するセキュリティ属性値の推定処理を説明するためのシーケンス図である。 第三の実施の形態における文書サーバからの文書及びセキュリティ属性値のアップロード時の第二の処理を説明するためのシーケンス図である。 第四の実施の形態におけるセキュリティ管理システムの構成例を示す図である。 第四の実施の形態におけるセキュリティ属性推定サーバの機能構成例を示す図である。 第四の実施の形態における文書サーバからの文書及びセキュリティ属性値のアップロード時の処理を説明するためのシーケンス図である。 第四の実施の形態における操作対象とされる情報に対するセキュリティ属性値の推定処理を説明するためのシーケンス図である。 画像データのセキュリティ属性値の推定要求として送信される情報を示す図である。 第五の実施の形態におけるセキュリティ管理システムの構成例を示す図である。 第五の実施の形態におけるセキュリティ属性推定サーバの機能構成例を示す図である。 第五の実施の形態における操作対象とされる情報に対するセキュリティ属性値の推定処理を説明するためのシーケンス図である。

符号の説明

１、２、３、４、５ セキュリティ管理システム
１０ セキュリティ属性推定サーバ
１１ テキスト情報ＤＢ
１２ テキスト情報保存手段
１３ セキュリティ属性推定手段
１４ 画像情報ＤＢ
１５ 画像情報保存手段
２０ 文書サーバ
２１ 文書ＤＢ
３０ メールサーバ
４０ 共有サーバ
５０ 複合機
２１ａ、２１ｂ、３１、４１ クライアント
１００ ドライブ装置
１０１ 記録媒体
１０２ 補助記憶装置
１０３ メモリ装置
１０４ 演算処理装置
１０５ インタフェース装置
１２１ データ受信部
１２２ テキスト情報抽出部
１２３ データ保存部
１２４ データ送信部
１３１ データ受信部
１３２ テキスト情報抽出部
１３３ 類似度算出部
１３４ データ読み出し部
１３５ セキュリティ属性推定部
１３６ データ送信部
１３７ データ収集部
１３８ 画像情報形成部
１５１ データ受信部
１５２ 画像情報形成部
１５３ データ保存部
１５４ データ送信部
Ｂ バス

Claims (14)

1. 操作の対象とされる情報に適用させる、アクセス制御に用いられる属性値を推定するセキュリティ情報推定装置であって、
   前記属性値として少なくとも秘密レベルが設定されて蓄積されている蓄積情報を取得する蓄積情報取得手段と、
   前記操作の対象となる対象情報を取得する対象情報取得手段と、
   前記蓄積情報取得手段により取得される前記蓄積情報及び前記対象情報取得手段により取得される前記対象情報よりテキスト情報を抽出するテキスト情報抽出手段と、
   前記蓄積情報より抽出されるテキスト情報と前記対象情報より抽出されるテキスト情報との類似度を判定する類似度判定手段と、
   前記類似度に応じて、前記属性値が前記対象情報に適用される蓄積情報を複数選択し、選択された複数の前記蓄積情報に設定されている前記属性値の平均値又は該属性値のうち最もセキュリティが厳しい属性値を出力するセキュリティ情報出力手段とを有することを特徴とするセキュリティ情報推定装置。
2. 前記蓄積情報取得手段によって取得される前記蓄積情報より第一の画像情報を生成する画像情報生成手段を有し、
   前記対象情報取得手段は、第二の画像情報を前記対象情報として取得し、
   前記テキスト情報抽出手段は、前記第一の画像情報及び第二の画像情報に対して同一のＯＣＲエンジンを用いて、前記第一の画像情報及び前記第二の画像情報よりテキスト情報を抽出することを特徴とする請求項１記載のセキュリティ情報推定装置。
3. 前記属性値は、更に、前記蓄積情報の管理部署、前記蓄積情報としての文書の種類、前記蓄積情報の関係者、前記蓄積情報の関係グループ、前記蓄積情報の有効期限、及び前記蓄積情報の保存期限のうち少なくともいずれか一つを含むことを特徴とする請求項１又は２記載のセキュリティ情報推定装置。
4. 前記蓄積情報取得手段は、前記蓄積情報と共に該蓄積情報に設定されている前記属性値を取得し、
   前記蓄積情報に基づくテキスト情報と、当該蓄積情報に設定されている前記属性値とを関連付けて蓄積するテキスト情報蓄積手段を有することを特徴とする請求項１乃至３いずれか一項記載のセキュリティ情報推定装置。
5. 前記対象情報取得手段は、電子メールに含まれる情報を前記対象情報として取得することを特徴とする請求項１乃至４いずれか一項記載のセキュリティ情報推定装置。
6. 前記対象情報取得手段は、ネットワーク上において共有される情報を前記対象情報として取得することを特徴とする請求項１乃至４いずれか一項記載のセキュリティ情報推定装置。
7. 操作の対象とされる情報に適用させる、アクセス制御に用いられる属性値を推定するセキュリティ情報推定方法であって、
   前記属性値として少なくとも秘密レベルが設定されて蓄積されている蓄積情報を取得する蓄積情報取得手順と、
   前記操作の対象となる対象情報を取得する対象情報取得手順と、
   前記蓄積情報取得手順において取得される前記蓄積情報及び前記対象情報取得手順において取得される前記対象情報よりテキスト情報を抽出するテキスト情報抽出手順と、
   前記蓄積情報より抽出されるテキスト情報と前記対象情報より抽出されるテキスト情報との類似度を判定する類似度判定手順と、
   前記類似度に応じて、前記属性値が前記対象情報に適用される蓄積情報を複数選択し、選択された複数の前記蓄積情報に設定されている前記属性値の平均値又は該属性値のうち最もセキュリティが厳しい属性値を出力するセキュリティ情報出力手順とをコンピュータが実行することを特徴とするセキュリティ情報推定方法。
8. 前記蓄積情報取得手順において取得される前記蓄積情報より第一の画像情報を生成する画像情報生成手順を前記コンピュータが実行し、
   前記対象情報取得手順は、第二の画像情報を前記対象情報として取得し、
   前記テキスト情報抽出手順は、前記第一の画像情報及び第二の画像情報に対して同一のＯＣＲエンジンを用いて、前記第一の画像情報及び前記第二の画像情報よりテキスト情報を抽出することを特徴とする請求項７記載のセキュリティ情報推定方法。
9. 前記属性値は、更に、前記蓄積情報の管理部署、前記蓄積情報としての文書の種類、前記蓄積情報の関係者、前記蓄積情報の関係グループ、前記蓄積情報の有効期限、及び前記蓄積情報の保存期限のうち少なくともいずれか一つを含むことを特徴とする請求項７又は８記載のセキュリティ情報推定方法。
10. 前記蓄積情報取得手順は、前記蓄積情報と共に該蓄積情報に設定されている前記属性値を取得し、
    前記蓄積情報に基づくテキスト情報と、当該蓄積情報に設定されている前記属性値とを関連付けて蓄積する前記テキスト情報蓄積手順を前記コンピュータが実行することを特徴とする請求項７乃至９いずれか一項記載のセキュリティ情報推定方法。
11. 前記対象情報取得手順は、電子メールに含まれる情報を前記対象情報として取得することを特徴とする請求項７乃至１０いずれか一項記載のセキュリティ情報推定方法。
12. 前記対象情報取得手順は、ネットワーク上において共有される情報を前記対象情報として取得することを特徴とする請求項７乃至１０いずれか一項記載のセキュリティ情報推定方法。
13. コンピュータに、
    アクセス制御に用いられる属性値として少なくとも秘密レベルが設定されて蓄積されている蓄積情報を取得する蓄積情報取得手順と、
    操作の対象となる対象情報を取得する対象情報取得手順と、
    前記蓄積情報取得手順において取得される前記蓄積情報及び前記対象情報取得手順において取得される前記対象情報よりテキスト情報を抽出するテキスト情報抽出手順と、
    前記蓄積情報より抽出されるテキスト情報と前記対象情報より抽出されるテキスト情報との類似度を判定する類似度判定手順と、
    前記類似度に応じて、前記属性値が前記対象情報に適用される蓄積情報を複数選択し、選択された複数の前記蓄積情報に設定されている前記属性値の平均値又は該属性値のうち最もセキュリティが厳しい属性値を出力するセキュリティ情報出力手順とを実行させるためのセキュリティ情報推定プログラム。
14. 請求項１３記載のセキュリティ情報推定プログラムを記録したコンピュータ読み取り可能な記録媒体。

Images