JP6432321B2 - 情報処理システム、機密漏洩防止方法、及び機密漏洩防止プログラム - Google Patents

Description

本発明は、情報処理システム、機密漏洩防止方法、及び機密漏洩防止プログラムに関する。

印刷物における文書の情報が漏洩した際、セキュリティーソフトウェアにおいて、印刷日時、文書作成者、文書に含まれる文字列などの文字を検索キーにして、データベース中の保管情報を検索するものがあった。

しかし、検索キーによる検索では、文字・数字を含まない、画像のみのページが流出した場合は、漏洩文書の特定が困難であった。そして、文書に含まれる文字列を検索キーとして使えないため、漏洩文書の印刷日時や文書作成者を判定することが困難だった。

また、印刷物による文書の漏洩を防止するための別の対策として、非特許文献１では、文書を印刷する際、「誰がいつどこでこの文書を印刷したか」などの情報を文書に埋め込む「電子透かし」技術が既に知られている。この技術では、同一文書であっても、印刷日時、印刷者、プリンタなどが異なれば、埋め込む透かし情報も異なるものになっており、文書をスキャナーで読み取り、専用ソフトウェアで解析すると、埋め込まれた透かし情報を取り出せる。機密文書が万一外部に漏洩したときは、「誰がいつどこでこの文書を印刷したか」の情報を文書から取り出すことにより、文書の流出経路などを特定する。

しかし、電子透かし方法が複数存在しているとき、埋め込まれている透かし情報の読み取りに必要な処理コストと時間が大きくなる。この問題を解決するため、電子透かしに読み取りに必要な情報の一部を外部のデータベース（メタ情報データベース）に保管する技術が開示されている（特許文献１）。

ここで、電子透かしを用いると、コピーを繰り返すなどして印刷物における印刷画像が微妙に変わることで透かし情報が劣化し、埋め込んだ電子透かし情報を読み出せなくなることがあった。

そこで、本発明は上記事情に鑑み、文書に関連する属性情報が、印刷を繰り返しても劣化しない、情報処理システムを実現することを目的とする。

上記課題を解決するため、本発明の一態様においてサーバーと、印刷物が所定の領域から持ち出されることの可否を判定する可否判定装置と、を有する情報処理システムにおいて、
前記サーバーは、画像出力装置が前記印刷物を出力する際に使用する第１の画像と、前記印刷物の前記所定の領域の外への持ち出しの可否を含む属性情報とを対応付けて記憶する記憶手段と、前記印刷物の少なくとも一部である第２の画像を受信する画像受信部と、を有し、
前記可否判定装置は、前記印刷物を読み取り、前記第２の画像を取得する読取部と、前記読取部が取得した前記第２の画像を前記サーバーへ送信する送信部と、を有し、
前記サーバーは、前記第２の画像と一致する前記第１の画像を前記記憶手段から検索し、前記第２の画像に一致する前記第１の画像が存在しない場合、前記印刷物に書き込みがあると判断し前記印刷物の持ち出しを許可しない判断を行い、前記第２の画像と一致する前記第１の画像が存在し、前記第１の画像に対応する前記属性情報が、持ち出し不可である場合、前記印刷物の持ち出しを許可しない判断を行い、前記第２の画像と一致する前記第１の画像が存在し、前記第１の画像に対応する前記属性情報が、持ち出し可である場合、前記印刷物の持ち出しを許可する判断を行う。

一態様によれば情報処理システムにおいて、文書に関連する属性情報が印刷を繰り返しても劣化しない。

本発明の第１実施形態に係る機密漏洩防止システムに係るネットワーク構成の概略図である。 図１のサーバー、クライアントＰＣ、及び管理者ＰＣの機能構成の例の図である。 データベースに記録されたデータの説明図である。 本発明の第１実施形態における動作の例のシーケンス図である。 サーバーの図４Ａにおける動作の例の詳細シーケンス図である。 本発明の第１実施形態の第１の変形例に係る機密漏洩防止システムのネットワーク構成の概略図である。 本発明の第１実施形態の第２の変形例に係る機密漏洩防止システムのネットワーク構成の概略図である。 本発明の第２実施形態に係る、再印刷を禁止する機密漏洩防止システムのネットワーク構成の概略図である。 図７のサーバー及びクライアントＰＣの機能構成の例の図である。 第２実施形態における動作の例のシーケンス図である。 第２実施形態の第１の変形例に係る機密漏洩防止システムのネットワーク構成の概略図である。 第２実施形態の第２の変形例に係る機密漏洩防止システムのネットワーク構成の概略図である。 本発明の第３実施形態に係る、印刷物の持ち出しの可否を判定する機密漏洩防止システムが利用されるエリアについての概略説明図である。 第３実施形態に係る機密漏洩防止システムのネットワーク構成の概略図である。 第３実施形態における動作の例のシーケンス図である。 本発明の第４実施形態に係る、文書の置き忘れに対処する機密漏洩防止システムのネットワーク構成の概略図である。 第４実施形態における動作の例のシーケンス図である。

以下、図面を参照して本発明を実施するための形態について説明する。

＜＜第１実施形態＞＞
図１は、本発明の第１実施形態の機密漏洩防止システム（情報処理システム）１を示すネットワーク構成の概略図である。本実施形態の情報処理システム１は、印刷する全ての文書を印刷履歴と共に登録し、情報漏洩時に検索できる、本発明における基本的な情報漏洩防止システムである。

機密漏洩防止システム１において、画像出力装置（出力プリンタ）２０と接続されたクライアントＰＣ１０は、ネットワーク９０を介して、サーバー３０と接続されており、管理者ＰＣ（管理者用ＰＣ）４０によって管理されている。

クライアントＰＣ１０は、クライアント機器であって、サーバー３０が提供するプログラムやデータを活用するＰＣであって、例えば、企業内ネットワークで社員等が利用する情報処理装置（情報処理端末）である。クライアントＰＣ１０は、ユーザー（操作者、企業内メンバー）によって操作され、サーバー３０に対し、印刷の対象となる印刷対象データから変換した印刷画像を、送信する。

サーバー３０は、印刷物を画像として登録し、後で登録した画像から所定の画像を検索できる、イメージマッチング用サーバー３８として機能する。サーバー（情報管理サーバー）３０において、情報処理を行う処理部３４は、文書データを保持する記憶手段（データベース：Ｄａｔａ ｂａｓｅ ＤＢ）３３と接続されている。

記憶手段３３は、電源を切っても内部データを保持することができる不揮発性の半導体メモリ（ＲＯＭ等）である。また、記憶容量を確保するため、記憶手段３３はＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）などの外付けメモリであってもよい。

画像出力装置２０は、クライアントＰＣ１０からの情報を受け取る。本実施形態において、画像出力装置２０は、少なくともプリンタ機能等を備えたプリンタである。さらに、画像出力装置２０は、スキャナー機能、ファックス機能、プリンタ機能等を備えたデジタル複合機、これらの複数の機能を備える、複合機である多機能周辺装置（Multifunction Peripheral:ＭＦＰ）であってもよい。

管理者ＰＣ４０は、例えば、企業等におけるセキュリティー部門において、ネットワークに接続されたサーバー３０及びクライアントＰＣ１０における情報を管理、情報漏洩を監視するための情報処理装置である。

図２は、図１に示したサーバー３０、クライアントＰＣ１０、及び管理者ＰＣ４０の機能構成の例の図である。クライアントＰＣ１０は、印刷ジョブ受付部１１、プリンタドライバ１２、印刷画像・印刷履歴抽出部１３、及び印刷画像・印刷履歴送信部（通信部）１４を有する。

印刷ジョブ受付部１１は、ユーザーから入力された印刷ジョブを、受け取る。ここで、ユーザーから指示される印刷ジョブには、文書ファイルである印刷対象データとともに、属性情報としてファイル名が含まれる。また、情報処理装置であるクライアントＰＣ１０の機能により自動的に、パソコン名（クライアント機器の機器名）、ユーザー名（クライアントＰＣのログインＩＤ）、及び印刷時刻なども属性情報として含まれる。

プリンタドライバ１２は、印刷用データ生成部１２１及び印刷用データ送信部１２２を備える。プリンタドライバ１２は、印刷ジョブ受付部１１から受け取った印刷ジョブの印刷対象データを、プリンタが解釈可能な印刷用データに変換し、該印刷用データを画像出力装置２０へ送信して印刷物を出力させる。

詳しくは、印刷用データ生成部１２１は、指示された印刷対象データの電子ファイル（コマンド）のデータを、プリンタが解釈可能なページ記述言語（Ｐａｇｅ Ｄｅｓｃｒｉｐｔｉｏｎ Ｌａｎｇｕａｇｅ：ＰＤＬ）で記述された印刷用データへ変換する。

印刷対象データは、ファイル形式としては、ＨＰＧＬ（Ｈｅｗｌｅｔｔ−Ｐａｃｋａｒｄ Ｇｒａｐｈｉｃｓ Ｌａｎｇｕａｇｅ）、ＴＩＦＦ（Ｔａｇｇｅｄ Ｉｍａｇｅ Ｆｉｌｅ Ｆｏｒｍａｔ）、Ｃａｌｃｏｍｐ、ＪＰＥＧ（Ｊｏｉｎｔ Ｐｈｏｔｏｇｒａｐｈｉｃ Ｅｘｐｅｒｔｓ Ｇｒｏｕｐ）、ＤＷＧ（登録商標）、ワード（登録商標）、エクセル（登録商標）などがありえる。

また、ＰＤＬの例として、ＰＳ（Ｐｏｓｔ Ｓｃｒｉｐｔ）形式のデータなどがありえる。印刷対象データからＰＤＬを生成する際、印刷画像の中の文章や画像の大きさを印刷時のページに合わせて調整すること、及びプリントアウトする印刷物のフッター・ヘッダーなどにＵＲＬ、日付、タイトル、ページ数、印刷者名などを付与すること、などを実施してもよい。

印刷用データは、例えば印刷制御コマンドと描画コマンドを有していてもよく、ＰＤＬ生成後、あるいは作成時に、ラスタリングによるラスタ画像、或いはベクタ画像の生成などのプロセスが実施され、このプロセスが実施されたデータを印刷用データとしてもよい。

印刷用データ送信部１２２は、印刷用データ生成部１２１により得られた印刷用データを画像出力装置２０へ出力する。そして、画像出力装置２０において、印刷用データに基づいて画像を形成し、印刷物を出力する（プリントアウトする）。

印刷画像・印刷履歴抽出部１３は、印刷用データ生成部１２１より得られた印刷用データから、出力される印刷物のページ毎の画像を、印刷画像（第１の画像）として抽出する。

同時に、本実施形態において、印刷画像・印刷履歴抽出部１３は、ユーザーから入力されたファイル名と、クライアントＰＣ１０により付加される、パソコン名、及びユーザー名、印刷時刻などの属性情報を、「誰がいつどこで何を印刷したか」という印刷履歴として抽出する。なお、属性情報にはセキュリティーレベルを含むこともできる。

通信部である印刷画像・印刷履歴送信部１４は、印刷画像・属性情報抽出部１３から取得した印刷画像及び属性情報を、サーバー３０へ転送する。

サーバー３０は、ハードウエア構成として、処理部３４と記憶手段３３とを有する。処理部３４は、クライアントＰＣ１０及び管理者ＰＣ４０と通信する通信部３１、及び印刷画像内の画像検索に関連する検索制御部３２を有する。

通信部３１は、印刷画像・属性情報受信部３１１、読取画像受信部３１２、及び属性情報送信部３１３を備える。

印刷画像・属性情報受信部３１１は、クライアントＰＣ１０の印刷画像・印刷履歴送信部１４とネットワーク９０を介して接続され、印刷画像・属性情報を受け取る。印刷画像・属性情報受信部３１１は、印刷画像及び印刷履歴を特徴検出・インデックス生成部３５へ受け渡し、印刷履歴を含む属性情報は、印刷履歴アクセス部３６２へ受け渡す。

読取画像受信部３１２及び印刷履歴送信部３１３は、管理者ＰＣ４０とネットワーク９０により接続されており、情報漏洩時に、漏洩文書をスキャンした画像を受信し、特定した印刷履歴を送信する。

検索制御部３２は、特徴検出・インデックス生成部（生成手段）３５、データベースアクセス部（ＤＢアクセス部）３６、及びデータ検索部３７を備える。

特徴検出・インデックス生成部３５は、印刷画像から特徴量を抽出してインデックスを生成する。詳細は図３を用いて説明する。

ＤＢアクセス部３６は、印刷画像アクセス部３６１と、印刷履歴アクセス部３６２とを備えている。ＤＢアクセス部３６は、特徴検出・インデックス生成部３５、及びデータ検索部３７と、記憶手段３３に含まれる印刷画像データベース（ＤＢ）３３１、インデックスＤＢ３３２、及び印刷履歴ＤＢ３３３との送受信を行う。

データ検索部３７は、情報漏洩時に属性情報を検索する際、イメージマッチングにより、データベース３３１，３３２，３３３の検索を行う。データ検索部３７は、印刷画像検索指示部３７１、イメージマッチング部３７２、及び属性情報取得部３７３を備えて構成される。

印刷データ指示部３７１は、印刷画像の検索を指示するとともに、検索ポインター（図３参照）を受け取る。

イメージマッチング部３７２は、印刷画像アクセス部３６１を介して、印刷画像ＤＢ３３１とインデックスＤＢ３３２を検索し、イメージマッチングを行う。イメージマッチングでは、受け取った画像の特徴量を抽出し、該特徴量を用いて、登録された印刷画像の中で受け取った画像（読取画像）を検索する。即ち、受け取った第２の画像の特徴量を抽出し、該特徴量を用いてイメージマッチングを実施することで、登録された第１の画像の中から、受け取った第２の画像に一致する画像を検索する。

例えば、イメージマッチングの例としてとして、ＲＶＳ（Ricoh Visual Search）の概要は、以下のＷｅｂページ及び特開２０１０−１４０２５０号にて開示されている。
http://www.ricoh.co.jp/about/company/technology/tech/044.html

属性情報取得部３７３は、ポインターを用いて、印刷履歴ＤＢアクセス部３６２を介して、印刷履歴ＤＢ３３３を検索し、印刷履歴を含む属性情報を取得する。

記憶手段３３は印刷画像ＤＢ３３１、インデックスＤＢ３３２、及び印刷履歴（属性情報）ＤＢ３３３を備える。印刷される際に、記憶手段３３において、印刷画像（第１の画像）と属性情報を関連づけて登録することで、後の情報漏洩時にイメージマッチング要求を受けた際に、対応する画像を探索し属性情報を特定できるようになる。ここで、印刷される際とは、印刷指示から実際の印刷までのどこか（印刷と並列）であってもよいし、下記フローに示すように、実際の印刷が出力された後であってもよい。記憶手段３３については、下記、図３とともに詳述する。

なお、本構成において、情報漏洩時には、管理者ＰＣ４０の情報漏洩検索部、サーバー３０における、データ検索部３７、読取画像受取部３１２、属性情報送信部３１３が漏洩文書検索プログラムとなる。

管理者ＰＣ４０は漏洩文書検索プログラムを実行する漏洩文書検索指示部（漏洩文書検索部）４１を有している。漏洩文書検索指示部４１は、読取画像送受信部４１１、属性情報受信部４１２、ユーザーインテーフェース４１３を備えている。

さらに管理者ＰＣ４０は、セキュリティーレベルを、印刷画像を登録した後に変更可能な、セキュリティーレベル設定部４２を備えていてもよい。例えば、未公開の製品が製品発表されたり、販売されたりして公知になった場合、登録された文書のセキュリティーレベルを、管理者がセキュリティーレベル設定部４２を操作して、後から記憶手段３３の印刷履歴ＤＢ３３３のデータを変更することも可能である。

図３はデータベースに記録されたデータの説明図である。印刷画像ＤＢ３３１には、印刷画像データ３３４と、ページデータ３３５と、が含まれている。

印刷画像データ３３４の印刷画像のデータ領域３３４ａは、クライアントＰＣ１０において印刷物のページ毎に抽出された印刷画像（第１の画像）を、通信により、サーバー３０の印刷画像・印刷履歴受信部３１１が取得した場合に記録される。

印刷画像データ３３４の印刷画像識別子のデータ領域３３４ｂは、特徴抽出・インデックス生成部３５において、印刷画像から特徴量を抽出してインデックスを生成した場合に記録される。詳しくは、印刷画像識別子のデータ領域３３４ｂには、取得した印刷画像のページ（情報漏洩ページ）を特定するための識別子に関するデータが記録される。本発明の複数の実施形態においては、特徴抽出・インデックス生成部３５が印刷画像の特徴量を抽出したデータが、印刷画像識別子として記録される。

ページデータ３３５は、ページ識別子、印刷画像識別子、予備領域を含んで構成される。このページデータ３３５は、特徴抽出・インデックス生成部３５において、印刷画像から特徴量を抽出してインデックスを生成した場合に記録される。

ページ識別子のデータ領域３３５ａには、各印刷画像の各ページに含まれる各要素（紙面を構成する文章、図面等）を特定するための識別子に関するデータが記録される。

印刷画像識別子のデータ領域３３５ｂには、上述の印刷画像データ３３４に対応付けられた、印刷画像のページを特定するための識別子に関するデータが記録される。

予備領域３３５ｃは、例えば、各ページにおいての要素（紙面を構成する文章、図面）が配置された領域を特定するための座標など、関連するデータを含んで構成されてもよく、あるいは次に送られてくる印刷画像の準備のための予備的な領域にもなる。

このように記録するので、印刷画像ＤＢ３３１に記録されるデータは、印刷画像３３４ｂと印刷画像識別子３３４ａ、３３５ｂとを対応づけることで、識別子付き印刷画像とみなすことができる。

インデックスＤＢ３３２には、印刷画像のページを特定する索引となる、インデックスデータ３３６が含まれている。インデックスデータ３３６は、上位インデックス、下位インデックス、ページ識別子、印刷履歴ポインター（属性情報ポインター）他座標に関するデータなどを含んで構成される。インデックスデータ３３６は、属性インデックスを除き、特徴抽出・インデックス生成部３５において、印刷画像から特徴量を抽出してインデックスを生成した場合に記録される。

上位インデックス、下位インデックスデータ領域３３６ａ、３３６ｂには、米国特許７，７０２，６７３号に開示されたミックスド・メディア・リアリティの技術を用いて算出された特徴量によって付与されたインデックスが記録される。

本実施形態では、ツリー構造を備えており、代表的な上位インデックスに関連付けられた詳細な下位インデックスに展開されている。

ページ識別子のデータ領域３３６ｃには、最下層の下位インデックスに対して、この特徴量が算出された紙面のページ特定するための識別子が記録される。また、その位置を特定するための座標に関するデータが記録される座標データ領域を含んでもよい。

図３に示すように、ページ識別子は、印刷画像ＤＢ３３１及びインデックスＤＢ３３２の両方に含まれているため、印刷画像データ３３４とインデックスデータ３３６と対応付けることができる。即ち、印刷画像（第１の画像）に索引用のインデックスを付すことができる。

また、印刷履歴ポインターのデータ領域３３６ｄは、インデックスＤＢ３３２と印刷履歴ＤＢ３３３との対応付けをするためのものであって、印刷履歴ポインターは所望の印刷履歴がインデックスＤＢ３３２の中でどこにあるのかを指し示す索引となる。

印刷履歴ＤＢ３３３には、本実施形態ではユーザー名（ログイン名）を含む印刷履歴データ（属性情報データ）３３７が含まれている。

印刷履歴データ３３７の印刷履歴のデータ領域３３７ａは、クライアントＰＣ１０において印刷ジョブから抽出された印刷履歴を、通信により、サーバー３０の印刷画像・印刷履歴受信部３１１が取得した場合に記録される。本実施形態において、印刷履歴は、印刷を指示したユーザー名、印刷日時、ドキュメント名、プリンタ名、クライアントＰＣのコンピューター名を含む。本実施形態では、情報漏洩時に、漏洩文書のスキャン画像から印刷履歴を取得できる。

なお、属性情報は、本実施形態では印刷したユーザー名を含む印刷履歴であるが、第２実施形態では再印刷の可否のチェック状況、第３実施形態では、所定の機密管理領域外への持ち出しの可否、第４実施形態では印刷したユーザー名を、含みうる。

また、インデックスポインターのデータ領域３３７ｂは、インデックスＤＢ３３２と印刷履歴ＤＢ３３３との対応付けをするものであって、インデックスポインターは所望のインデックスが印刷履歴ＤＢ３３３の中でどこにあるのかを指し示す索引となる。

このように、インデックスＤＢ３３２の印刷履歴ポインター３３６ｄ、印刷履歴ＤＢ３３３のインデックスポインター３３７ｂによって、インデックスＤＢ３３２と印刷履歴ＤＢ３３３は相互に対応づけられる。これにより、印刷画像データ３３４と印刷履歴データ３３７とが対応づけられ、登録された印刷画像から印刷履歴が検索できるようになる。

図４Ａは、本発明の第１実施形態における動作の例のシーケンス図である。図４Ｂはサーバーの図４Ａにおける動作の例の詳細シーケンス図である。図４Ａ及び図４Ｂを参照して、情報漏洩の登録時及び情報漏洩時の流れについて説明する。

（（印刷開始時））
図４ＡのＳ１０１において、ユーザーがクライアントＰＣ１０上で、印刷ジョブを入力する。

Ｓ１０２において、クライアントＰＣ１０は、印刷用データを生成する。より詳しくは、印刷用データ生成部１２１は、印刷対象データをＰＤＬ形式等の印刷用データへデータを変換する。

Ｓ１０３において、生成された印刷用データは印刷用データ送信部１２２にて画像出力装置２０へ転送される。そして、画像出力装置２０において、印刷用データに基づいて画像を形成し、印刷物を出力する（プリントアウトする）（Ｓ１０４）。

このプリントアウト動作と並行して又はプリントアウト動作後に、クライアントＰＣ１０内で、生成された印刷用データは印刷画像・印刷履歴抽出部１３へと送られる。

Ｓ１０５において、印刷画像・印刷履歴抽出部１３が、印刷用データから、ページ毎に印刷画像（第１の画像）を抽出するとともに、クライアントＰＣ１０の機能により属性情報を抽出する。

印刷画像は、抽出された属性情報（本実施形態では印刷履歴）と一緒に、印刷画像・属性情報送信部１４により、サーバー３０へ転送される（Ｓ１０６）。

より詳しくは、図４ＢのＳ１において、サーバー３０はクライアントＰＣ１０と双方向通信を行い、通信部３１の印刷画像・属性情報取得部３１１が、上記印刷画像と属性情報とを取得する（Ｓ１）。そして、印刷画像・属性情報取得部３１１は、該印刷画像と属性情報を特徴抽出・インデックス生成部３５へ送信し（Ｓ２）、属性情報を検索制御部３２の印刷履歴アクセス部３６２へと送信する（Ｓ３）。

Ｓ１０７（図４Ｂ、Ｓ４）において、特徴抽出・インデックス生成部３５は、取得した印刷画像の特徴量を抽出し、この抽出した特徴量と取得した属性情報を基にして、夫々ファイル毎に索引用のインデックスを付する（図３参照）。これにより、識別子付き印刷画像、及びインデックス、及びページ識別子、ポインター（属性情報ポインター、インデックスポインター）が生成され、これらが記憶手段３３へ送られる（図４Ｂ、Ｓ５）。

Ｓ１０８（図４Ｂ、Ｓ６）において、識別子付き印刷画像、インデックス、ページ識別子、及びポインターと、別途取得した属性情報（印刷履歴）が、印刷画像ＤＢ３３１、インデックスＤＢ３３２、及び印刷履歴ＤＢ（属性情報ＤＢ）３３３へ登録される。このように、記憶手段３３に保管することで、後のイメージマッチング要求を受けた際に、登録された印刷画像内で読取画像に対応する画像を探索できるようになる。

（（情報漏洩時））
Ｓ２００において、情報漏洩が発生したとする。Ｓ２０１において、管理者が、情報が漏洩した印刷物（ページ）をスキャナー５０でスキャンする。スキャナー５０は読取画像を管理者ＰＣ４０へ送信する（Ｓ２０２）。

管理者は、管理者ＰＣ４０上で、漏洩文書検索プログラムを起動する。なお、予め設定により、スキャナー５０から読取画像の受信に応じて、管理者ＰＣ４０において、漏洩文書検索プログラムが自動的に起動するように設定していてもよい。

Ｓ２０３（図４Ｂ、Ｓ７）において、管理者ＰＣ４０はサーバー３０と双方向通信を行い、管理者ＰＣ４０の読取画像送受信部４１１は、サーバー３０の通信部３１の読取データ受信部３１２へ、スキャンされた画像（第２の画像）を送信する。また、登録された印刷画像から捜索するように、イメージマッチングの要求も一緒に送信する。

サーバー３０において、スキャンした画像（読取画像、第２の画像）を受け取った読取画像受信部３１２は、データ検索部３７へ、読取画像、及びイメージマッチングの要求を送信する（図４Ｂ、Ｓ８）。

上述のように印刷が指示され、印刷対象となる全ての文書（印刷対象データ）の印刷画像は、記憶手段３３に、ページ毎、及び印刷ジョブ（文書）毎に、登録されている。

検索において、データ検索部３７は、ＤＢアクセス部３６の印刷画像アクセス部３６１を介して、記憶手段３３へ、印刷画像を読み出すように、要求する（図４Ｂ、Ｓ９）。そして、記憶手段３３から、識別子付き印刷画像、インデックス、を取得する（Ｓ１０）。

そして、イメージマッチング技術を用いて、スキャンされた画像に一致する印刷画像を印刷画像ＤＢ３３１内で探索して、印刷画像データ３３４を特定する（Ｓ２０４，Ｓ１１）。

スキャンされたページの画像（情報が漏洩した画像）に一致する印刷画像を特定すると、データ検索部３７は、図４Ｂ、Ｓ１２，Ｓ１３において記憶手段３３を読み出して、属性情報（印刷履歴）を取得する。

そして、Ｓ２０５においては、データ検索部３７は、特定した印刷画像データ（画像）３３４の属性情報（本実施形態では、ユーザー名、印刷日時「誰がいつ情報を印刷したか」）を、ページ識別子、ポインターを用いて特定する（Ｓ２０５，図４Ｂ、Ｓ１４）。

その後、Ｓ２０６においてその判定した属性情報（ユーザー名、印刷日時）のデータを送信元である、管理者ＰＣ４０の漏洩文書検索指示部（プログラム）４１へ送信する（図４Ｂ、Ｓ１５，Ｓ１６）。

上述のＳ１０５〜Ｓ１０８、Ｓ２０２〜Ｓ２０６のプロセスは、機密漏洩防止プログラムによって実行される。

このように、本発明の実施形態による機密漏洩防止システム１を用いることにより、スキャンした画像を用いて、漏洩文書を特定することができる。

以上により、本発明の実施形態において、「誰がいつどこでこの文書を印刷したか」の情報と対応付けて印刷対象となる文書の印刷画像もサーバーに保管し、漏洩文書のスキャン画像から、イメージマッチング技術によってサーバー上の文書の印刷画像を特定する。よって、この文書に対応する「誰がいつどのプリンタでこの文書を印刷したか」の情報を取得できる。

なお、サーバー３０に登録される印刷対象となる文書の印刷画像は必ずしも全ページでなくてもよい。例えば、記憶手段へ印刷画像を登録する際、機密のレベルが高い文書を選択的に記憶してもよい。詳しくは、汎用性のある公知のインターネット画面を印刷するときは、サーバーにおいて、印刷対象となる文書の印刷画像を記憶せず、社内ネットワーク内でのみ開示された社外秘情報を印刷する際には、印刷画像を記憶するように設定してもよい。このような選択的な登録は、例えば、第１実施形態、第２実施形態において適用できる。

さらに、本発明の実施形態では、スキャン画像をもとに、オリジナルの文書の印刷画像を自動的に見つけ出し、印刷履歴情報を取得できるので、文字列の検索キーを用いないので、画像のみのページが流出した場合にも漏洩文書を特定することができる。

＜変形例１＞
図５は、本発明の第１実施形態の第１の変形例に係る機密漏洩防止システムのネットワーク構成の概略図である。上述の実施形態において、プリンタドライバはクライアントＰＣに設けられていたが、プリンタドライバはサーバーに設けられていてもよい。

プリンタドライバ３９Ａがサーバー側に設置される場合、印刷画像・印刷履歴抽出部３９Ｂもサーバー側へ設置されるので、図４ＡにおけるプロセスＳ１０２〜Ｓ１０５の動作は、サーバー３０Ａが指示する。

この場合、クライアントＰＣ１０Ａの印刷ジョブ送受信部１５は、印刷画像に変換する前の印刷ジョブをサーバー３０Ａへ送信する。

また管理者ＰＣ４０Ａは、撮影手段としてカメラ４３を備える、例えば、スマートフォンやタブレット端末、ノートＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）、及び事業用無線端末等の携帯端末（情報処理端末）４０Ａであってもよい。

なお、さらに別のシステムでは、プリンタドライバ３９Ａが設置されたサーバー３０Ａを、スキャナーを用いる第１実施形態の情報処理装置からなる管理者ＰＣ４０と組み合わせてもよい。

その他の動作、構成は、上述の実施形態と同様であるので、説明は割愛する。

＜変形例２＞
図６は、本発明の第１実施形態の第２の変形例に係る機密漏洩防止システムのネットワーク構成の概略図である。

上述の実施形態において、クライアントＰＣ１０Ｂに設けられたプリンタドライバは、印刷を実行する際に、サーバーに印刷文書を送信していたが、ＰＤＦ作成部１６においてＰＤＦを作成する際にＰＤＦ化した文書をサーバーへ送信してもよい。

ＰＤＦ作成部１６はプリンタドライバ１２の指示で動作する、あるいは、プリンタドライバ１２内に設置されている、例えば、ダウンロード又はパッケージにより設定される各種ＰＤＦクリエイター（ＰＤＦ作成ソフト）、等である。

この構成では、各種ワード、エクセル、パワーポイント（登録商標）などの文書をＰＤＦする際に、ＰＤＦ画像がサーバー３０に送信され、ＰＤＦにより機密文書が流出することを防止する。

なお、このようなＰＤＦによる操作者の特定を、上述のようにプリントアウトによる印刷による印刷者との特定を組み合わせて、情報漏洩時に検索できるようにしてもよい。

本実施形態においても、情報漏洩時はイメージマッチングにより、スキャンした画像と、ＰＤＦ化した画像、又は/及び印刷画像の中から、読取画像に一致する画像を特定することができる。

＜＜第２実施形態＞＞
図７は、第２実施形態に係る機密漏洩防止システム（情報処理システム）２のネットワーク構成の概略図である。

本実施形態において、情報処理システム２は一度印刷した文書の再印刷、複写、スキャンを禁止するシステムである。管理者ＰＣ４０Ｃは、再印刷可否設定部４４を備える。なお、管理者ＰＣ４０Ｃは、上記第１実施形態のように、漏洩文書検索指示部４１を備えていてもよい。

本実施形態において、属性情報に、さらに再印刷の可否の情報を含む。具体的に、プリンタドライバの設定項目に、以下のチェックボックスが追加する。
□ この文書の再印刷、コピー、スキャンを禁止する ・・・（Ａ）
図８は、図７のサーバー３０Ｃ、クライアントＰＣ１０Ｃ、及び管理者ＰＣ４０Ｃの機能構成の例の図である。第１実施形態と異なる点のみ説明する。

クライアントＰＣ１０Ｃは、チェックボックスの選択を行うためにユーザーインターフェース１８を備えており、ユーザーインターフェースで選択されたチェック状況と、印刷ジョブは印刷ジョブ送受信部１５によりサーバー３０Ｃへ送信される。

本実施形態では、図５の変形例のように、サーバー３０Ｃ側にプリンタドライバ３９Ａと印刷画像・印刷履歴抽出部３９Ｂとが設けられている。よって、クライアントＰＣ１０Ｃは、印刷時に、印刷データを作成する前に、通信を行い、印刷ジョブ送受信部１５によりサーバー３０Ｃへ印刷ジョブを送信する。

サーバー３０Ｃに設けられたプリンタドライバ３９Ａは、印刷用データ生成部３９１、印刷用データ送信部３９２の他に、印刷用データ一時記憶領域３９３を備えている。本実施形態においては、印刷用データが生成されても、印刷が許可されないこともあるため、印刷用データ生成部３９１で生成された印刷用データは作成後、一時的に印刷用データ一時記憶領域３９３へ保存される。下記フローにより、プリントアウトが許可される場合は、印刷用データ一時記憶領域３９３は印刷用データ送信部３９２へ印刷用データを送信して、画像出力装置２０により印刷が実行される。

また、クライアントＰＣ１０Ｃは、印刷が不可の場合に印刷不可指示を受け取る印刷不可受信部１７を備えており、印刷不可の旨はユーザーインターフェース１８に表示する。

図９は、第２実施形態における動作の例のシーケンス図である。
まず、ユーザーがクライアントＰＣ１０Ｃで文書の印刷操作を行ったとする（Ｓ３０１）。
ユーザーは通常の印刷の指示を行う際に、上記（Ａ）の「この文書の再印刷、コピー、スキャンを禁止する」のチェックボックスにチェックを入れるかどうか選択する（Ｓ３０２）。

印刷ジョブ、チェックボックスの選択状況はＳ３０３でクライアントＰＣ１０Ｃとサーバー３０Ｃとが通信することで転送される。その後、サーバー３０Ｃにおいて、印刷用データの生成（Ｓ３０４）、印刷画像・属性情報抽出部３９Ｂにより、印刷画像の抽出が行われる（Ｓ３０５）。

なお、本実施形態では、印刷用データの生成、印刷画像の抽出は、プリントアウト前にチェックさせる必要があるので、サーバー３０Ｃ側にあることが通信回数を多くしないのでより好ましい。しかし、印刷用データを送信する機能がイメージマッチングを行うデータ検索部３７と接続されていれば、クライアントＰＣ１０Ｃ内に、印刷用データの生成機能および印刷画像の抽出機能を設けてもよい。

なお、プリンタドライバ３９Ａにおいて、印刷用データ生成部３９１で生成された印刷用データを、印刷用データ一時記憶領域３９３内で一時的に保存しておく（Ｓ３０４）。

そして、データ検索部３７において、今回印刷対象となる画像（第２の画像）と、前回以前に印刷され、データベースに登録されている印刷画像（第１の画像）内で一致を検索する、イメージマッチングを実施する（Ｓ３０６）。

イメージマッチングにおいて、サーバー３０Ｃの印刷画像ＤＢ３３１に登録された過去の印刷画像に、今回印刷の対象となる画像と、一致する印刷画像がなければ（Ｓ３０７）、即ち今回印刷を希望する文書を過去に印刷したことがなければ、印刷は許可される。よって印刷画像は画像出力装置２０へ送信される（Ｓ３０８）。

記憶手段３３に登録された過去の印刷画像に一致する文書の印刷画像が少なくとも１つ存在する場合であって、Ｓ３０９へ進む。その印刷画像に対応する履歴が、上記（Ａ）のチェックボックスがオンであるような印刷履歴情報が１つでも存在していたら、印刷は許可されない。印刷が許可されない再印刷不可の場合は、サーバー３０Ｃは、印刷が許可されない旨（再をクライアントＰＣ１０Ｃへ通知する（Ｓ３１０）。

クライアントＰＣ１０Ｃは、ユーザーインターフェース部において、「この文書の印刷は禁止されています」と表示する（Ｓ３１１）。

Ｓ３０９において、その印刷画像に対応する履歴が、印刷履歴データベース３３３における過去のすべての印刷履歴内で、上記（Ａ）のチェックボックスがオフであれば、再印刷は許可される。よって印刷画像は画像出力装置２０へ送信される（Ｓ３１２）。

Ｓ３０８，Ｓ３１２において、印刷（再印刷）が許可されたときは、一時保存領域３９３上に保管された印刷用データを画像出力装置２０へ送信し、プリントアウトを実行する（Ｓ３１３）。

なお、管理者ＰＣ４０Ｃの再印刷可否設定部４４からの操作により、記憶手段３３において、文書が印刷後に機密になったときに、記憶手段３３に登録された機密文書に後からチェックを入れたり、所定期間経過後などにチェックを外したりすることもできる。

また、Ｓ３０８又はＳ３１２を経てプリントアウトした場合（Ｓ３１３）は、特徴抽出・インデックス生成部３５は、取得した印刷画像の特徴量を抽出し、この抽出した特徴量と取得した属性情報を基にして、夫々ファイル毎に索引用のインデックスを付する。そして、記憶手段３３は、識別子付き印刷画像、インデックス、ページ識別子、及びポインターと、別途取得した属性情報（印刷履歴）を登録する（Ｓ３１４，Ｓ３１５）。

このように、印刷を実際に印刷したときに、記憶手段３３に保管することで、後にイメージマッチング要求を受けた際に、登録された印刷画像内で今回印刷を希望する画像に対応する画像を探索できるようになる。

なお、この再印刷の禁止は、同じユーザーによる再印刷、複数のユーザーにまたがる印刷の双方を抑止することができる。

従って、機密文書のプリントアウト後の再印刷を規制することにより、機密文書の漏洩を防止することができるとともに、機密文書が漏洩した場合は、最初に漏洩した人がより特定しやすくなる。

このように再印刷禁止にする本実施形態の制御は、下記の変形例にも応用することができる。

＜変形例１＞
図１０は、第２実施形態の第１の変形例に係る機密漏洩防止システム２−１のネットワーク構成の概略図である。

本変形例において、第２実施形態に加えて、ネットワーク９０は複写機６０に接続されている。複写機６０は、複写機能を有しているものであればよく、他の機能（プリンタ、スキャナ、ＦＡＸ等）も備えるＭＦＰ等の複合機において複写機として動作させてもよい。他の構成は同様である。

本変形例において、第２実施形態と同様に、情報漏洩の目的で、属性情報に、さらに再印刷（再スキャン）の可否の情報を含む。具体的に、上述のようにプリンタドライバの設定項目に、以下のチェックボックスが追加されている。
□ この文書の再印刷、コピー、スキャンを禁止する ・・・（Ａ）
本変形例において、同一の又は別のユーザーが、複写機６０で，本発明における第２実施形態の方法で、サーバーに登録しながらプリントアウトした印刷物のコピーを試みたとする。

複写機６０は、原稿読取部６１において、いったん原稿をスキャン後、原稿画像（第２の画像）をサーバー３０Ｄに送信して、イメージマッチングの要求を出す。

ここからは、図９のフローのＳ３０７からＳ３１２と同様に、同一文書を過去にプリントアウトしたことがある場合であって、かつ印刷履歴情報中で（Ａ）のチェックボックスがオンであれば、サーバー３０Ｄは複写機６０の通信部６２に「コピー禁止」と送信する。

このとき、複写機６０は、操作パネル（表示部）６４に「この文書のコピーは禁止されています」と表示して、画像を形成する出力部６３での出力を行わず、コピーを中止する。

このように、機密文書の印刷物の複製を規制することにより、機密文書の漏洩を防ぐことができる。

＜変形例２＞
図１１は、第２実施形態の第２の変形例に係る機密漏洩防止システム２−２のネットワーク構成の概略図である。

本変形例において、第２の実施形態に加えて、ネットワーク９０は別の第２のクライアントＰＣ１０Ｄに接続されている。

別のユーザーが第２のクライアントＰＣ１０Ｄにおける、ＰＤＦクリエイター等のＰＤＦ作成部１６において文書のＰＤＦ化を試みたとする。

ＰＤＦ作成部１６は、いったん文書をＰＤＦ化した後、文書のＰＤＦ化画像（第２の画像）をサーバーに送信して、イメージマッチングの要求を出す。

ここからは、図９のフローのＳ３０７からＳ３１２と同様に、同一文書を過去にプリントアウトしたことがある場合であって、かつ印刷履歴情報中で（Ａ）のチェックボックスがオンであれば、サーバー３０Ｄは第２のクライアントＰＣ１０Ｄの通信部に「ＰＤＦ化禁止」と送信する。

このとき、第２のクライアントＰＣ２は、ディスプレイ（表示部）に「この文書のＰＤＦ化は禁止されています」と表示して、ＰＤＦ作成部１６での出力を行わず、ＰＤＦ化を中止する。

このように、機密文書のＰＤＦ化を規制することにより、機密文書の漏洩を防ぐことができる。

なお、本変形例において、パソコン内部の文書をＰＤＦ化する例を示したが、クライアントＰＣ２と接続されたスキャナーにおいて、すでにプリントアウトされた文書をスキャンする場合も同様の制御を行う。この例では、機密文書の印刷物のスキャンによる読み取りを規制することにより、機密文書の漏洩を防ぐことができる。

なお、第２実施形態とその変形例１，２における、プリントアウトによる再印刷、印刷物のコピーによる複製、ＰＣ内におけるデータのＰＤＦ化、プリントアウト後のスキャン、による情報漏洩防止策について、任意に組み合わせて対応してもよい。

＜＜第３実施形態＞＞
図１２は、第３実施形態に係る情報漏洩防止システム（情報処理システム）３が利用されるエリアについての概略説明図である。本実施形態の情報処理システム３は、印刷物の所定の機密管理領域からの持ち出しの可否を判定するシステムである。

本実施形態の機密漏洩防止システム３は、キュリティーレベルが高い、例えば銀行などの会議エリア（所定の機密管理領域）を想定している。一例として、個人情報や金額などの機密情報の漏洩を防止するため、会議エリア８０の入口８１において、会議の参加者は、鞄（鞄を含む全ての所持物等）を開催者に預け、出口８２を出た後に預けた鞄を受け取る。

また、会議エリア出口において、会議時に配られた配布物も機密として没収される傾向にあるが、配布物の機密レベル（セキュリティーレベル）は、さまざまであり、中には持ち帰ってかまわないものもあり、一律で持ち帰れないのは支障をきたすことも想定できる。

そこで、本実施形態では、セキュリティーレベルによって、印刷物の持ち出し可否を自動判定することが可能な機密漏洩防止システムを提供する。

図１３は、第３実施形態に係る機密漏洩防止システム３のネットワーク構成の概略図である。構成は上述の図１に係る第１実施形態と類似するが、クライアントＰＣ１０が開催者ＰＣ１０Ｅであり、管理者ＰＣ４０が出口側ＰＣ４０Ｅである点が異なる。図１の管理者ＰＣ４０の漏洩文書検索部４１が、図１３においては、出口側ＰＣ４０Ｅの持ち出し可否検索部４５として機能し、持ち出し可否検索部４５が検索する属性情報は領域外持ち出し可否情報である。

また、出口側ＰＣ４０Ｅは少なくともスキャナー５０に接続されており、文書振り分け器７１にも接続されていると好ましい。これらを合わせて持ち出し可否判定装置（領域外持ち出し可否判定装置）７０とする。例えば、ＡＤＦ機能を持ち、複数の排紙トレイを備えるＭＦＰを、上記スキャナー５０と文書振り分け器７１として機能させてもよい。
さらに、出口側ＰＣ４０Ｅ付近において、文書振り分け器７１で、機密と分別された文書をその場でシュレッダにかけてもよい。あるいは、出口８２付近に開催者の警備担当者を配置し、機密と判断された文書を手動で振り分け、回収してもよい。

図１４は、第３実施形態における動作の例のシーケンス図である。

（（開催者資料作成時））
まず、開催側の資料作成者が開催者ＰＣ１０Ｅで文書の印刷操作を行ったとする（Ｓ４０１）。なお、一例として、開催者ＰＣ１０Ｅのプリンタドライバ１２の設定項目に、以下のチェックボックスが追加されているものとする。
□ この文書の領域外持ち出しを許可する ・・・（Ｂ）
開催者である資料作成者は、印刷操作と同時に、上記のチェックボックス（Ｂ）にチェックを入れること及び入れないことを選択することで、この文書が会議エリア８０外への持ち出しの可否の情報を付与する（Ｓ４０２）。

開催者ＰＣ１０Ｅのプリンタドライバ１２では印刷ジョブから印刷用データを作成し、画像出力装置２０へ送信してプリントアウトさせる。（Ｓ４０３，Ｓ４０４，Ｓ４０５）
このプリントアウト動作と同時に、印刷用データから印刷画像（第１の画像）と領域外持ち出し可否情報を含む属性情報を抽出して、サーバー３０Ｅへ送信する（Ｓ４０６，Ｓ４０７）。なお、本実施形態において、図１３でプリンタドライバ１２は開催者ＰＣ１０Ｅ側に設けられているが、図５に示すように、プリンタドライバは、サーバー３０Ｅ側に設けられていてもよい。

サーバー３０Ｅにおいて、取得した印刷画像の特徴量を抽出し、この抽出した特徴量と取得した属性情報を基にして、夫々ファイル毎に索引用のインデックスを付する（図３参照）（Ｓ４０８）。

識別子付き印刷画像、インデックス、ページ識別子、及びポインターと、別途取得した属性情報の一部として、領域外持ち出し可否情報が、記憶手段３３へ登録（保管）される（Ｓ４０９）。

（（エリア出口））
図１２を参照して、会議の参加者が出口８２から会議エリア８０の外へ出るとき、プリントアウトされた配布物を、必ず持ち出し可否判定装置７０で配布物をスキャンさせるように、出口８２付近に警備員が立っている。あるいは、自動改札のように、配布物をスキャンさせないと、参加者が出口を通れないような専用ゲートが設置されていてもよい。

図１４において、会議エリア８０の出口８２において、会議の参加者が、あるいは、参加者から配布物を受け取った警備員が、配布物の全てのページをスキャナーで読み取る。なお、スキャナーの一例として、ＡＤＦにより、自動的に全ページ読み取らせてもよい（Ｓ５０１）。

持ち出し可否判定装置７０において、スキャンした画像を受け取った出口側ＰＣ４０Ｅは、サーバー３０Ｅへスキャンした画像を送るとともに、イメージマッチングを要求する（Ｓ５０２，Ｓ５０３）。

そして、サーバー３０Ｅにおいて、イメージマッチング技術を用いて、スキャンされた画像（第２の画像）に一致する印刷画像（第１の画像）を印刷画像ＤＢ３３１内で探索する（Ｓ５０４）。

ここで、検索の結果、サーバー３０Ｅの印刷画像ＤＢ３３１内に、スキャンした画像（と、一致する印刷画像がないとき（Ｓ５０５）、印刷物のそのページの会議エリア８０外の持ち出しの禁止を送信する（Ｓ５０６）。このとき、今回スキャンした画像が、登録された印刷物の印刷画像とは一致しないときは、何等かの書き込みがあると判断される。会議中の書き込みは会議で知り得た内容であることが多く、機密の内容であることが考えられるからである。

さらに、イメージマッチングにおいて、サーバー３０Ｅの印刷画像ＤＢ３３１内に、スキャンした画像と、一致する印刷画像がある場合（Ｓ５０５でＹｅｓ）、属性情報を読み出して（Ｓ５０７）、領域外の持ち出しの可否を確認する。

登録された印刷画像の中で、スキャンした画像と一致するものが存在し、かつその印刷画像に対応付けられた領域外持ち出し情報（属性情報）が不可の場合は（Ｓ５０７でＮｏ）、領域外の持ち出しを禁止するように送信する（Ｓ５０８）。

登録された印刷画像の中で、スキャンした画像と一致するものが存在し、かつその印刷画像に対応付けられた領域外持ち出し情報が可の場合は（Ｓ５０７でＹｅｓ）、領域外の持ち出しを許可するように送信する（Ｓ５０９）。

Ｓ５０６，Ｓ５０８，Ｓ５０９で領域外の持ち出しの禁止・許可が送信され、指示を受けた文書振り分け器７１は、配布物をページ毎に持ち出しの可否を振り分けるように、を持ち出し許可と不可とで違うトレイへ振り分ける（Ｓ５１０）。なお、サーバー３０Ｅから文書振り分け器７１へ直接振り分けを指示しているが、出口側ＰＣ４０Ｅを介して、情報をまとめてから、文書振り分け器７１へ指示してもよい。

持ち出し許可トレイにある配布物を参加者が受け取る。あるいは、警備員が持ち出し可の配布物を受け取り、参加者へ渡してもよい。

本実施形態において、プリントアウトされた配布物において、セキュリティーレベルに応じて、文書の持ち出しを判別できる。即ち、セキュリティーレベルが基準以上（機密である）か、または保管済み印刷画像を探し出せないときは、持ち出しが許可されず、セキュリティーレベルが問題ないと判断されたもののみ、持ち出しが許可される。従って、予め登録されたセキュリティーレベルの判別をするとともに、書き込みによる文書の漏洩が防止できる。

＜＜第４実施形態＞＞
図１５は、第４実施形態に係る機密漏洩防止システム（情報処理システム）４のネットワーク構成の概略図である。

本実施形態の情報処理システム４は、プリントアウトの置き忘れ、取り違えに対処する文書管理システムであって、ネットワーク構成は第１実施形態と類似する。

本実施形態において、情報漏洩時ではなく、プリントアウトした印刷物を印刷者が置き忘れ、あるいは取り違えることで、取得した文書発見者が、本来の印刷者に返却するために管理者に渡して、管理者が検索をする点が異なる。図１の漏洩文書検索部４１は、図１５においては、置き忘れ文書検索部４６として機能する。

図１６は、第４実施形態における動作の例のシーケンス図である。印刷時のフローＳ１０１〜Ｓ１０８は第１実施形態の図３と同様であるため、説明は割愛する。

Ｓ６００において、ユーザーＡが画像出力装置２０であるプリンタ上に置き忘れ（プリントアウトされ放置された印刷物）を発見した、或いは、間違って他人のプリントアウトした印刷物を取ってきてしまったとする。しかし、文書発見者であるユーザーＡは、取得した印刷物が誰のものかわからないので誰に渡せばよいのかわからない。

そこで、本来の印刷者を探すため、文書発見者であるユーザーＡは、置き忘れた印刷物をセキュリティー管理者へ持っていく。

セキュリティー管理者は、放置されていた印刷物をスキャンする（Ｓ６０１）。あるいは、文書発見者（ユーザーＡ）がセキュリティー管理者から離れている場合は、文書発見者が、プリントアウトされた印刷物をスキャンして、該スキャンした画像をセキュリティー管理者へ送付する。

セキュリティー管理者は、管理者ＰＣ４０Ｆから指示し（Ｓ６０３）、サーバー３０Ｆ上で、イメージマッチング技術により、登録された印刷画像（第１の画像）の中で、スキャンされた画像（第２の画像）の検索を実施する（Ｓ６０４）。なお、本実施形態のシステムにおいては、文書漏洩防止の観点から、セキュリティー管理者用の管理者ＰＣ４０Ｆのみでイメージマッチングにおける検索が実行可能であり、ユーザーである文書発見者自身はイメージマッチングによる検索を実行できないものとする。

そして、イメージマッチング技術を用いて、スキャンされた画像に一致する印刷画像を印刷画像ＤＢ３３１内で探索して、データ（画像）３３４を特定する（Ｓ６０４）。

スキャンされたページの画像（置き忘れ文書）に一致する印刷画像を特定すると、検索制御部３２内のデータ検索部３７は、記憶手段３３を読み出して、印刷画像を取得する。

そして、Ｓ６０５においては、データ検索部３７は、特定した印刷画像データ（画像）（３３４）の属性情報（本実施形態では、ユーザー名）を、ページ識別子を用いて判定する。

その後、Ｓ６０６においてその判定した属性情報（本実施形態においては、ユーザー名）のデータを送信元である、管理者ＰＣ４０Ｆの漏洩文書検索指示部（プログラム）４１へ送信する。

このように、管理者ＰＣ４０Ｆは、スキャンした画像を用いて、プリンタ上に文書を置き忘れた人（例えば、ユーザーＢ）を特定することができる。なお、同じプリンタに出力したことから、文書発見者（ユーザーＡ）と印刷者（ユーザーＢ）は近くの席である可能性が高い。

この検索結果を基に、セキュリティー管理者は、本来の印刷者であるユーザーＢへプリントアウトした印刷物を返却する。あるいは、管理者がユーザーＡ、Ｂから遠い場合などは、管理者は、文書発見者（ユーザーＡ）に「その文書はユーザーＢが印刷した」ことを通知し、文書発見者（ユーザーＡ）が、印刷者であるユーザーＢへプリントアウトした印刷物を返却する。

本実施形態において、スキャナーを用いて、置き忘れ、取り違えのプリントアウトされた印刷物が行方不明になる事態を防げるとともに、印刷を実行した印刷者（ユーザーＢ）へ前記印刷物を返却可能となる。

よって、プリンタ上に機密文書を含む文書が放置されることを防ぐことにより、文書による機密情報の漏洩を防ぐことができる。

このように、第１実施形態の情報漏洩システムの技術を適用することで、第２〜第４実施形態などに展開できる。いずれの実施形態においても、サーバー内に記憶手段を設け、イメージマッチングを実施でき、透かしのための追加のハードウエア等が不要なので、システム全体として安価に導入することができる。さらに、文書に関連する属性情報が印刷を繰り返しても劣化せず、印刷物自体に情報を埋め込まないので、文書に関連付ける情報の量に制限をなくすことができる。

また、サーバーが情報を記憶するため、製品発表などにより、機密文書が機密であることが必要とされる期間を経過すると、機密指定の解除を行うことができる。

以上、各実施形態に基づき本発明の説明を行ってきたが、上記実施形態に示した要件に本発明が限定されるものではない。これらの点に関しては、本発明の主旨をそこなわない範囲で変更することができ、その応用形態に応じて適切に定めることができる。

１，１−１，１−２，２，２−１，２−２，３，４ 機密漏洩防止システム
１０，１０Ａ，１０Ｂ，１０Ｃ，１０Ｆ クライアントＰＣ（メンバーＰＣ）
２０ 画像出力装置
３０，３０Ａ，３０Ｂ，３０Ｃ，３０Ｆ サーバー（印刷サーバー）
４０，４０Ａ，４０Ｂ，４０Ｃ，４０Ｆ 管理者ＰＣ
５０ スキャナー
１１ 印刷ジョブ受付部
１２ プリンタドライバ
１３ 印刷画像・印刷履歴抽出部（印刷画像・属性情報抽出部）
１４ 印刷画像・印刷履歴送信部（通信部）
３１ 通信部
３２ 検索制御部
３３ 記憶手段
３４ 管理部
３８ イメージマッチング用サーバー
４１ 漏洩文書検索指示部（漏洩文書検索部）
４２ セキュリティーレベル設定部
３１１ 印刷画像・印刷履歴受信部
３１２ 読取画像受信部（受付手段）
３１３ 印刷履歴送信部
３５ 特徴抽出・インデックス生成部
３６ データベースアクセス部（ＤＢアクセス部）
３６１ 印刷画像アクセス部
３６２ 印刷履歴アクセス部（属性情報アクセス部）
３７ データ検索部
３７１ 印刷画像検索指示部
３７２ イメージマッチング部
３７３ 印刷履歴取得部
３３１ 印刷画像データベース
３３２ インデックスデータベース
３３３ 属性情報データベース（印刷履歴データベース）
３３４ 印刷画像データ（画像）
１５ 印刷ジョブ送受信部
１７ 印刷不可受信部
１８ ユーザーインターフェース
３９Ａ プリンタドライバ
３９３ 印刷用データ一時記憶領域
３９Ｂ 印刷画像・印刷履歴生成部
６０ 複写機
６１ 原稿読取部
６２ 通信部
６３ 出力部
６４ 表示部
１０Ｄ 第２のクライアントＰＣ
１１Ａ ＰＤＦジョブ受付部
１６ ＰＤＦ作成部
８０ 会議エリア（所定の機密管理領域）
８１ 入口
８２ 出口
１０Ｅ 開催者ＰＣ
３０Ｅ 開催者サーバー
７０ 持ち出し可否判定装置（領域外持ち出し可否判定装置）
４０Ｅ 出口側ＰＣ
４５ 持ち出し可否検索部
７１ 文書振り分け器
９０ ネットワーク

特開２００２−０１６７８１号公報

http://www.hitachi.co.jp/products/it/portal/info/magazine/uvalere/uvalue_seed/seed02/index03.html

Claims (4)

1. サーバーと、印刷物が所定の領域から持ち出されることの可否を判定する可否判定装置と、を有する情報処理システムにおいて、
   前記サーバーは、
   画像出力装置が前記印刷物を出力する際に使用する第１の画像と、前記印刷物の前記所定の領域の外への持ち出しの可否を含む属性情報とを対応付けて記憶する記憶手段と、
   前記印刷物の少なくとも一部である第２の画像を受信する画像受信部と、
   を有し、
   前記可否判定装置は、
   前記印刷物を読み取り、前記第２の画像を取得する読取部と、
   前記読取部が取得した前記第２の画像を前記サーバーへ送信する送信部と、
   を有し、
   前記サーバーは、
   前記第２の画像と一致する前記第１の画像を前記記憶手段から検索し、
   前記第２の画像に一致する前記第１の画像が存在しない場合、前記印刷物に書き込みがあると判断し前記印刷物の持ち出しを許可しない判断を行い、
   前記第２の画像と一致する前記第１の画像が存在し、前記第１の画像に対応する前記属性情報が、持ち出し不可である場合、前記印刷物の持ち出しを許可しない判断を行い、
   前記第２の画像と一致する前記第１の画像が存在し、前記第１の画像に対応する前記属性情報が、持ち出し可である場合、前記印刷物の持ち出しを許可する判断を行う
   ことを特徴とする情報処理システム。
2. 前記読取部は、前記印刷物のページごとに前記第２の画像を取得する
   ことを特徴とする請求項１に記載の情報処理システム。
3. サーバーと、印刷物が所定の領域から持ち出されることの可否を判定する可否判定装置と、を有する情報処理システムの機密漏洩防止方法であって、
   画像出力装置によって前記印刷物を出力する際に、前記サーバーにおいて、当該印刷物の印刷対象となる第１の画像を登録するとともに、前記印刷物の前記所定の領域の外への持ち出しの可否を含む属性情報を前記第１の画像に対応付けて、記憶手段に登録するステップと、
   前記可否判定装置の読取部によって、前記印刷物を読み取ることで、前記印刷物の少なくとも一部である第２の画像を取得し、該第２の画像を前記サーバーへ送信することで、前記サーバーにおいて前記第２の画像を受け取るステップと、
   前記サーバーにおいて、前記第２の画像と一致する前記第１の画像を前記記憶手段から検索するステップと、
   前記第２の画像に一致する前記第１の画像が存在しない場合、前記印刷物に書き込みがあると判断し前記印刷物の持ち出しを許可しない判断を行うステップと、
   前記第２の画像と一致する前記第１の画像が存在し、前記第１の画像に対応する前記属性情報が、持ち出し不可である場合、前記印刷物の持ち出しを許可しない判断を行うステップと、
   前記第２の画像と一致する前記第１の画像が存在し、前記第１の画像に対応する前記属性情報が、持ち出し可である場合、前記印刷物の持ち出しを許可する判断を行うステップと、を有する
   機密漏洩防止方法。
4. サーバーと、印刷物が所定の領域から持ち出されることの可否を判定する可否判定装置と、を有する情報処理システムの機密漏洩防止プログラムであって、
   画像出力装置によって前記印刷物を出力する際に、前記サーバーにおいて、当該印刷物の印刷対象となる第１の画像を登録するとともに、前記印刷物の前記所定の領域の外への持ち出しの可否を含む属性情報を前記第１の画像に対応付けて、記憶手段に登録する処理と、
   前記可否判定装置の読取部によって、前記印刷物を読み取ることで、前記印刷物の少なくとも一部である第２の画像を取得し、該第２の画像を前記サーバーへ送信することで、前記サーバーにおいて前記第２の画像を受け取る処理と、
   前記サーバーにおいて、前記第２の画像と一致する前記第１の画像を前記記憶手段から検索する処理と、
   前記第２の画像に一致する前記第１の画像が存在しない場合、前記印刷物に書き込みがあると判断し前記印刷物の持ち出しを許可しない判断を行う処理と、
   前記第２の画像と一致する前記第１の画像が存在し、前記第１の画像に対応する前記属性情報が、持ち出し不可である場合、前記印刷物の持ち出しを許可しない判断を行う処理と、
   前記第２の画像と一致する前記第１の画像が存在し、前記第１の画像に対応する前記属性情報が、持ち出し可である場合、前記印刷物の持ち出しを許可する判断を行う処理と、を有する
   機密漏洩防止プログラム。

Images