特許 5701096 ファイル追跡装置及びファイル追跡方法及びファイル追跡プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】5701096

(24)【登録日】2015年2月27日

(45)【発行日】2015年4月15日

(54)【発明の名称】ファイル追跡装置及びファイル追跡方法及びファイル追跡プログラム

(51)【国際特許分類】

   G06F 12/00 20060101AFI20150326BHJP

【ＦＩ】

   G06F12/00 520E

   G06F12/00 537Z

【請求項の数】19

【全頁数】53

(21)【出願番号】特願2011-37818(P2011-37818)

(22)【出願日】2011年2月24日

(65)【公開番号】特開2012-174151(P2012-174151A)

(43)【公開日】2012年9月10日

【審査請求日】2013年10月9日

(73)【特許権者】

【識別番号】000006013

【氏名又は名称】三菱電機株式会社

(73)【特許権者】

【識別番号】394013002

【氏名又は名称】三菱電機インフォメーションシステムズ株式会社

(74)【代理人】

【識別番号】100099461

【弁理士】

【氏名又は名称】溝井 章司

(72)【発明者】

【氏名】榊原 裕之

(72)【発明者】

【氏名】桜井 鐘治

(72)【発明者】

【氏名】安西 宏司

【審査官】 菊池 智紀

(56)【参考文献】

【文献】 特開２００３−３０８２３６（ＪＰ，Ａ）

【文献】 特開２０１０−１６０６９８（ＪＰ，Ａ）

【文献】 特開２００８−１４６１９２（ＪＰ，Ａ）

【文献】 特表２００６−５１６７７５（ＪＰ，Ａ）

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｇ０６Ｆ １２／００，１７／３０，２１／６０

(57)【特許請求の範囲】

【請求項1】

処理対象ファイルを生成した元のファイルを、複数のログエントリを追跡して推定するファイル追跡装置において、
操作コマンドと、操作したファイルのファイル名を含む操作内容と、操作が行われた日時を表すタイムスタンプとを有するログエントリを複数記憶した操作ログ記憶部と、
上記処理対象ファイルの処理対象ファイル名を入力し、上記操作ログ記憶部に記憶された複数のログエントリからログエントリが有する操作コマンドと操作内容とを用いて、上記処理対象ファイルを保存する操作を行ったことを表すログエントリを抽出し、抽出したログエントリが有するタイムスタンプを保存日時として取得するとともに、取得した保存日時までに、上記処理対象ファイルを開く操作を行ったことを表すログエントリを抽出し、抽出したログエントリが有するタイムスタンプをオープン日時として取得し、取得したオープン日時と上記保存日時とを有するしぼり込み期間を出力するしぼり込み期間取得部と、
上記しぼり込み期間取得部が出力したしぼり込み期間を入力し、上記操作ログ記憶部が記憶した複数のログエントリからログエントリが有するタイムスタンプと操作コマンドと操作内容とを用いて、入力したしぼり込み期間に、上記処理対象ファイル名と類似する類似ファイル名のファイルを開く操作と閉じる操作とのいずれかの操作を行ったことを表すログエントリを１つ以上抽出し、抽出した１つ以上の各ログエントリを追跡候補ログとして記憶装置に記憶する追跡候補生成部と、
上記追跡候補生成部が記憶装置に記憶した追跡候補ログを順次入力し、入力した追跡候補ログが有する操作内容に含まれた類似ファイル名が表すファイルに記憶された情報を追跡候補情報として入力し、上記類似ファイル名の類似ファイルを生成した元のファイルを複数のログエントリを追跡して推定するか否かを、入力した追跡候補情報を用いて判定し、推定することを判定した追跡候補ログを出力する追加追跡ログ判定部と、
上記追加追跡ログ判定部が出力した追跡候補ログを、追加追跡ログとして記憶する追加追跡ログ記憶部と、
上記追加追跡ログ記憶部に記憶された追加追跡ログが有する操作内容に含まれた上記類似ファイル名を入力し、入力した類似ファイル名の類似ファイルを生成した元のファイルを、上記処理対象ファイルを生成した元のファイルとして、複数のログエントリを追跡して推定する追跡部と
を備えたことを特徴とするファイル追跡装置。

【請求項2】

処理対象ファイルを元のファイルとして生成した別の新たなファイルを、複数のログエントリを追跡して推定するファイル追跡装置において、
操作コマンドと、操作したファイルのファイル名を含む操作内容と、操作が行われた日時を表すタイムスタンプとを有するログエントリを複数記憶した操作ログ記憶部と、
上記処理対象ファイルの処理対象ファイル名を入力し、上記操作ログ記憶部に記憶された複数のログエントリからログエントリが有する操作コマンドと操作内容とを用いて、上記処理対象ファイルを開く操作を行ったことを表すログエントリを抽出し、抽出したログエントリが有するタイムスタンプをオープン日時として取得するとともに、取得したオープン日時以降に、上記処理対象ファイルを閉じる操作を行ったことを表すログエントリを抽出し、抽出したログエントリが有するタイムスタンプをクローズ日時として取得し、取得したオープン日時と上記クローズ日時とを有するしぼり込み期間を出力するしぼり込み期間取得部と、
上記しぼり込み期間取得部が出力したしぼり込み期間を入力し、上記操作ログ記憶部が記憶した複数のログエントリからログエントリが有するタイムスタンプと操作コマンドと操作内容とを用いて、入力したしぼり込み期間に、上記処理対象ファイル名と類似する類似ファイル名のファイルを記憶するとの操作を行ったことを表すログエントリを１つ以上抽出し、抽出した１つ以上の各ログエントリを追跡候補ログとして記憶装置に記憶する追跡候補生成部と、
上記追跡候補生成部が記憶装置に記憶した追跡候補ログを順次入力し、入力した追跡候補ログが有する操作内容に含まれた類似ファイル名が表すファイルに記憶された情報を追跡候補情報として入力し、上記処理対象ファイルから生成した別の新たなファイルである上記類似ファイル名の類似ファイルを、複数のログエントリを追跡して推定するか否かを、入力した追跡候補情報を用いて判定し、推定することを判定した追跡候補ログを出力する追加追跡ログ判定部と、
上記追加追跡ログ判定部が出力した追跡候補ログを、追加追跡ログとして記憶する追加追跡ログ記憶部と、
上記追加追跡ログ記憶部に記憶された追加追跡ログが有する操作内容に含まれた上記類似ファイル名を入力し、入力した類似ファイル名の類似ファイルから生成した別の新たなファイルを、上記処理対象ファイルを元のファイルとして生成した別の新たなファイルとして、複数のログエントリを追跡して推定する追跡部
を備えたことを特徴とするファイル追跡装置。

【請求項3】

上記ファイル追跡装置は、さらに、
処理対象とする期間を指定する開始日時と終了日時とを有する処理対象期間を入力する期間入力部を備え、
上記操作ログ記憶部は、上記複数のログエントリとして、ログエントリが有するタイムスタンプが上記処理対象期間内である複数のログエントリを記憶し、
上記しぼり込み期間取得部は、上記処理対象ファイルを生成した日時を表す処理対象日時を入力し、上記操作ログ記憶部に記憶された複数のログエントリから、上記期間入力部が入力した開始日時から上記処理対象日時までの期間に含まれるタイムスタンプを有し、かつ、ファイルを保存する操作を表す操作コマンドを有し、かつ、上記処理対象ファイル名を含む操作内容を有するログエントリを１つ以上抽出し、抽出した１つ以上のログエントリから、上記終了日時に最も近いタイムスタンプを有するログエントリを選択し、選択したログエントリが有するタイムスタンプを上記保存日時として取得し、上記操作ログ記憶部が記憶した複数のログエントリから、上記開始日時から上記保存日時までの期間に含まれるタイムスタンプを有し、かつ、ファイルを開く操作を表す操作コマンドを有し、かつ、上記処理対象ファイル名を含む操作内容を有するログエントリを１つ以上抽出し、抽出した１つ以上のログエントリから、上記終了日時に最も近いタイムスタンプを有するログエントリを選択し、選択したログエントリが有するタイムスタンプを上記オープン日時として取得し、
上記追跡候補生成部は、上記操作ログ記憶部に記憶された複数のログエントリから、上記しぼり込み期間に含まれるタイムスタンプを有し、かつ、ファイルを開く操作とファイルを閉じる操作とのいずれかの操作を表す操作コマンドを有し、かつ、上記処理対象ファイル名と類似する類似ファイル名を含む操作内容を有するログエントリを１つ以上抽出し、抽出した１つ以上の各ログエントリを上記追跡候補ログとして記憶装置に記憶する
ことを特徴とする請求項１記載のファイル追跡装置。

【請求項4】

上記ファイル追跡装置は、さらに、
処理対象とする期間を指定する開始日時と終了日時とを有する処理対象期間を入力する期間入力部を備え、
上記操作ログ記憶部は、上記複数のログエントリとして、ログエントリが有するタイムスタンプが上記処理対象期間内である複数のログエントリを記憶し、
上記しぼり込み期間取得部は、上記処理対象ファイルを生成した日時を表す処理対象日時を入力し、上記操作ログ記憶部に記憶された複数のログエントリから、上記処理対象日時から上記期間入力部が入力した終了日時までの期間に含まれるタイムスタンプを有し、かつ、ファイルを開く操作を表す操作コマンドを有し、かつ、上記処理対象ファイル名を含む操作内容を有するログエントリを１つ以上抽出し、抽出した１つ以上のログエントリから、上記開始日時に最も近いタイムスタンプを有するログエントリを選択し、選択したログエントリが有するタイムスタンプを上記オープン日時として取得し、上記操作ログ記憶部が記憶した複数のログエントリから、上記オープン日時から上記終了日時までの期間に含まれるタイムスタンプを有し、かつ、ファイルを閉じる操作を表す操作コマンドを有し、かつ、上記処理対象ファイル名を含む操作内容を有するログエントリを１つ以上抽出し、抽出した１つ以上のログエントリから、上記開始日時に最も近いタイムスタンプを有するログエントリを選択し、選択したログエントリが有するタイムスタンプを上記クローズ日時として取得し、
上記追跡候補生成部は、上記操作ログ記憶部に記憶された複数のログエントリから、上記しぼり込み期間に含まれるタイムスタンプを有し、かつ、ファイルを記憶する操作を表す操作コマンドを有し、かつ、上記処理対象ファイル名と類似する類似ファイル名を含む操作内容を有するログエントリを１つ以上抽出し、抽出した１つ以上の各ログエントリを上記追跡候補ログとして記憶装置に記憶する
ことを特徴とする請求項２記載のファイル追跡装置。

【請求項5】

上記追加追跡ログ判定部は、上記しぼり込み期間取得部が入力した処理対象ファイル名が表す処理対象ファイルに記憶された情報を生成元情報として入力し、上記追跡候補情報と生成元情報とを比較して追跡候補情報の生成元情報に対する類似度を求め、求めた類似度が予め設定した類似度閾値より大きいか否か判定し、大きいことを判定した追跡候補ログを出力する
ことを特徴とする請求項１から４のいずれかに記載のファイル追跡装置。

【請求項6】

上記追加追跡ログ判定部は、予め設定された用語が上記追跡候補情報に含まれているか否か判定し、含まれていることを判定した追跡候補ログを出力する
ことを特徴とする請求項１から４のいずれかに記載のファイル追跡装置。

【請求項7】

上記操作ログ記憶部は、各ログエントリが有する上記操作内容が含むファイル名として、ファイルの種類を表すログ拡張子を含むファイル名を記憶し、
上記追跡候補生成部は、上記処理対象ファイル名として、ファイルの種類を表す処理対象拡張子を含むファイル名を入力し、上記ログ拡張子と上記処理対象拡張子とが一致するか否か判定し、一致することを判定したログ拡張子を含むファイル名を上記類似ファイル名とする
ことを特徴とする請求項１から４のいずれかに記載のファイル追跡装置。

【請求項8】

上記ファイル追跡装置は、さらに、ファイルの種類を表す複数の拡張子の各拡張子を組み合わせた複数の組み合わせ拡張子の各組み合わせ拡張子と点数とを対応させた拡張子点数を予め記憶した拡張子点数記憶部を備え、
上記操作ログ記憶部は、各ログエントリが有する上記操作内容が含むファイル名として、ファイルの種類を表すログ拡張子を含むファイル名を記憶し、
上記追跡候補生成部は、上記処理対象ファイル名として、ファイルの種類を表す処理対象拡張子を含むファイル名を入力し、上記拡張子点数記憶部が記憶した複数の拡張子点数から、上記ログ拡張子と上記処理対象拡張子との組み合わせに対応する点数を取得し、取得した点数と予め設定した点数閾値とを比較し、取得した点数が点数閾値より大きいことを判定した場合、上記ログ拡張子を含むファイル名を上記類似ファイル名とする
ことを特徴とする請求項１から４のいずれかに記載のファイル追跡装置。

【請求項9】

上記操作ログ記憶部は、上記複数のログエントリの各ログエントリとして、上記操作したファイルのサイズを表すファイルサイズを有するログエントリを記憶し、
上記しぼり込み期間取得部は、上記保存日時としたタイムスタンプを有するログエントリからファイルサイズを保存サイズとして取得し、上記オープン日時としたタイムスタンプを有するログエントリからファイルサイズをオープンサイズとして取得し、
上記追跡候補生成部は、上記追跡候補ログの抽出を行う前に、上記しぼり込み期間取得部が取得した保存サイズとオープンサイズとのサイズ差を求め、上記保存日時と上記オープン日時との日時差を求め、求めた日時差に対する上記サイズ差の比が予め設定した比閾値以上か否か判定し、比閾値以上であることを判定した場合、上記追跡候補ログの抽出を行う
ことを特徴とする請求項１または３記載のファイル追跡装置。

【請求項10】

上記操作ログ記憶部は、上記複数のログエントリの各ログエントリとして、上記操作したファイルのサイズを表すファイルサイズを有するログエントリを記憶し、
上記追跡候補生成部は、上記類似ファイル名を有するログエントリを類似ログエントリとし、当該類似ログエントリが有するファイルサイズを保存サイズとして取得するとともに、タイムスタンプを保存日時として取得し、取得した保存日時よりも古いタイムスタンプを有し、かつ、上記類似ファイル名のファイルを開くとの操作を行ったことを表すログエントリを、上記操作ログ記憶部が記憶した複数のログエントリからログエントリが有するタイムスタンプと操作コマンドと操作内容とを用いて抽出し、抽出したログエントリが有するファイルサイズを類似オープンサイズとして取得するとともに、タイムスタンプを類似オープン日時として取得し、上記保存サイズと上記類似オープンサイズとのサイズ差を求め、上記保存日時と上記類似オープン日時との日時差を求め、求めた日時差に対する上記サイズ差の比が予め設定した比閾値以上か否か判定し、比閾値以上であることを判定した場合、上記類似ログエントリを上記追跡候補ログとして記憶装置に記憶する
ことを特徴とする請求項２または４記載のファイル追跡装置。

【請求項11】

上記追跡候補生成部は、上記類似ファイル名を有するログエントリを類似ログエントリとし、上記操作ログ記憶部が記憶した複数のログエントリの中に、上記しぼり込み期間に、上記類似ファイル名のファイルを記憶するとの操作を行ったことを表すログエントリがあるか否か、ログエントリが有するタイムスタンプと操作コマンドと操作内容とを用いて判定し、ないことを判定した場合、上記類似ログエントリを上記追跡候補ログとして記憶装置に記憶する
ことを特徴とする請求項１または３記載のファイル追跡装置。

【請求項12】

上記追跡候補生成部は、上記追跡候補ログの抽出を行う前に、上記操作ログ記憶部が記憶した複数のログエントリの中に、上記しぼり込み期間に、上記処理対象ファイル名のファイルを記憶するとの操作を行ったことを表すログエントリがあるか否か、ログエントリが有するタイムスタンプと操作コマンドと操作内容とを用いて判定し、ないことを判定した場合、上記追跡候補ログの抽出を行う
ことを特徴とする請求項２または４記載のファイル追跡装置。

【請求項13】

上記追跡候補生成部は、上記類似ファイル名を有するログエントリを類似ログエントリとし、上記操作ログ記憶部が記憶した複数のログエントリの中に、上記保存日時の後に、上記類似ファイル名のファイルを削除するとの操作を行ったことを表すログエントリがあるか否か、ログエントリが有するタイムスタンプと操作コマンドと操作内容とを用いて判定し、あることを判定した場合、上記類似ログエントリを上記追跡候補ログとして記憶装置に記憶し、
上記追加追跡ログ判定部は、上記類似ファイルが削除されてアクセスできない場合、上記追跡候補ログを上記追加追跡ログとして上記追加追跡ログ記憶部に記憶する
ことを特徴とする請求項１または３記載のファイル追跡装置。

【請求項14】

上記追跡候補生成部は、上記類似ファイル名を有するログエントリを類似ログエントリとし、上記操作ログ記憶部が記憶した複数のログエントリの中に、上記クローズ日時の後に、上記処理対象ファイル名のファイルを削除するとの操作を行ったことを表すログエントリがあるか否か、ログエントリが有するタイムスタンプと操作コマンドと操作内容とを用いて判定し、あることを判定した場合、上記類似ログエントリを上記追跡候補ログとして記憶装置に記憶し、
上記追加追跡ログ判定部は、上記類似ファイルが削除されてアクセスできない場合、上記追跡候補ログを上記追加追跡ログとして上記追加追跡ログ記憶部に記憶する
ことを特徴とする請求項２または４記載のファイル追跡装置。

【請求項15】

上記操作ログ記憶部は、上記複数のログエントリの各ログエントリとして、上記操作したファイルのサイズを表すファイルサイズを有するログエントリを記憶し、
上記追跡候補生成部は、上記類似ファイル名を有するログエントリを類似ログエントリとし、当該類似ログエントリが有するファイルサイズを保存サイズとして取得し、取得した保存サイズが予め設定したサイズ閾値以上であるか否か判定し、サイズ閾値以上であることを判定した場合、上記類似ログエントリを上記追跡候補ログとして記憶装置に記憶する
ことを特徴とする請求項１から４いずれかに記載のファイル追跡装置。

【請求項16】

処理装置と、操作コマンドと、操作したファイルのファイル名を含む操作内容と、操作が行われた日時を表すタイムスタンプとを有するログエントリを複数記憶した操作ログ記憶部とを備え、処理対象ファイルを生成した元のファイルを、複数のログエントリを追跡して推定するファイル追跡装置におけるファイル追跡方法であって、
処理装置がしぼり込み期間取得部により、上記処理対象ファイルの処理対象ファイル名を入力し、上記操作ログ記憶部に記憶された複数のログエントリからログエントリが有する操作コマンドと操作内容とを用いて、上記処理対象ファイルを保存する操作を行ったことを表すログエントリを抽出し、抽出したログエントリが有するタイムスタンプを保存日時として取得するとともに、取得した保存日時までに、上記処理対象ファイルを開く操作を行ったことを表すログエントリを抽出し、抽出したログエントリが有するタイムスタンプをオープン日時として取得し、取得したオープン日時と上記保存日時とを有するしぼり込み期間を出力するしぼり込み期間取得工程と、
処理装置が追跡候生成部により、上記しぼり込み期間取得工程により出力したしぼり込み期間を入力し、上記操作ログ記憶部が記憶した複数のログエントリからログエントリが有するタイムスタンプと操作コマンドと操作内容とを用いて、入力したしぼり込み期間に、上記処理対象ファイル名と類似する類似ファイル名のファイルを開く操作と閉じる操作とのいずれかの操作を行ったことを表すログエントリを１つ以上抽出し、抽出した１つ以上の各ログエントリを追跡候補ログとして記憶装置に記憶する追跡候補生成工程と、
処理装置が追加追跡ログ判定部により、上記追跡候補生成工程により記憶装置に記憶した追跡候補ログを順次入力し、入力した追跡候補ログが有する操作内容に含まれた類似ファイル名が表すファイルに記憶された情報を追跡候補情報として入力し、上記類似ファイル名の類似ファイルを生成した元のファイルを複数のログエントリを追跡して推定するか否かを、入力した追跡候補情報を用いて判定し、推定することを判定した追跡候補ログを追加追跡ログとして出力する追加追跡ログ判定工程と、
処理装置が追跡部により、上記追加追跡ログ判定工程により出力された追加追跡ログが有する操作内容に含まれた上記類似ファイル名を入力し、入力した類似ファイル名の類似ファイルを生成した元のファイルを、上記処理対象ファイルを生成した元のファイルとして、複数のログエントリを追跡して推定する追跡工程と
を備えることを特徴とするファイル追跡方法。

【請求項17】

処理装置と、操作コマンドと、操作したファイルのファイル名を含む操作内容と、操作が行われた日時を表すタイムスタンプとを有するログエントリを複数記憶した操作ログ記憶部とを備え、処理対象ファイルを元のファイルとして生成した別の新たなファイルを、複数のログエントリを追跡して推定するファイル追跡装置におけるファイル追跡方法であって、
処理装置がしぼり込み期間取得部により、上記処理対象ファイルの処理対象ファイル名を入力し、上記操作ログ記憶部に記憶された複数のログエントリからログエントリが有する操作コマンドと操作内容とを用いて、上記処理対象ファイルを開く操作を行ったことを表すログエントリを抽出し、抽出したログエントリが有するタイムスタンプをオープン日時として取得するとともに、取得したオープン日時以降に、上記処理対象ファイルを閉じる操作を行ったことを表すログエントリを抽出し、抽出したログエントリが有するタイムスタンプをクローズ日時として取得し、取得したオープン日時と上記クローズ日時とを有するしぼり込み期間を出力するしぼり込み期間取得工程と、
処理装置が追跡候補生成部により、上記しぼり込み期間取得工程により出力したしぼり込み期間を入力し、上記操作ログ記憶部が記憶した複数のログエントリからログエントリが有するタイムスタンプと操作コマンドと操作内容とを用いて、入力したしぼり込み期間に、上記処理対象ファイル名と類似する類似ファイル名のファイルを記憶するとの操作を行ったことを表すログエントリを１つ以上抽出し、抽出した１つ以上の各ログエントリを追跡候補ログとして記憶装置に記憶する追跡候補生成工程と、
処理装置が追加追跡ログ判定部により、上記追跡候補生成工程により記憶装置に記憶した追跡候補ログを順次入力し、入力した追跡候補ログが有する操作内容に含まれた類似ファイル名が表すファイルに記憶された情報を追跡候補情報として入力し、上記処理対象ファイルから生成した別の新たなファイルである上記類似ファイル名の類似ファイルを、複数のログエントリを追跡して推定するか否かを、入力した追跡候補情報を用いて判定し、推定することを判定した追跡候補ログを追加候補ログとして出力する追加追跡ログ判定工程と、
処理装置が追跡部により、上記追加追跡ログ判定工程により出力された追加候補ログが有する操作内容に含まれた上記類似ファイル名を入力し、入力した類似ファイル名の類似ファイルから生成した別の新たなファイルを、上記処理対象ファイルを元のファイルとして生成した別の新たなファイルとして、複数のログエントリを追跡して推定する追跡工程と
を備えることを特徴とするファイル追跡方法。

【請求項18】

処理装置と、操作コマンドと、操作したファイルのファイル名を含む操作内容と、操作が行われた日時を表すタイムスタンプとを有するログエントリを複数記憶した操作ログ記憶部とを備え、処理対象ファイルを生成した元のファイルを、複数のログエントリを追跡して推定する処理をコンピュータに実行させるファイル追跡プログラムであって、
処理装置が、上記処理対象ファイルの処理対象ファイル名を入力し、上記操作ログ記憶部に記憶された複数のログエントリからログエントリが有する操作コマンドと操作内容とを用いて、上記処理対象ファイルを保存する操作を行ったことを表すログエントリを抽出し、抽出したログエントリが有するタイムスタンプを保存日時として取得するとともに、取得した保存日時までに、上記処理対象ファイルを開く操作を行ったことを表すログエントリを抽出し、抽出したログエントリが有するタイムスタンプをオープン日時として取得し、取得したオープン日時と上記保存日時とを有するしぼり込み期間を出力するしぼり込み期間取得処理と、
処理装置が、上記しぼり込み期間取得処理により出力したしぼり込み期間を入力し、上記操作ログ記憶部が記憶した複数のログエントリからログエントリが有するタイムスタンプと操作コマンドと操作内容とを用いて、入力したしぼり込み期間に、上記処理対象ファイル名と類似する類似ファイル名のファイルを開く操作と閉じる操作とのいずれかの操作を行ったことを表すログエントリを１つ以上抽出し、抽出した１つ以上の各ログエントリを追跡候補ログとして記憶装置に記憶する追跡候補生成処理と、
処理装置が、上記追跡候補生成処理により記憶装置に記憶した追跡候補ログを順次入力し、入力した追跡候補ログが有する操作内容に含まれた類似ファイル名が表すファイルに記憶された情報を追跡候補情報として入力し、上記類似ファイル名の類似ファイルを生成した元のファイルを複数のログエントリを追跡して推定するか否かを、入力した追跡候補情報を用いて判定し、推定することを判定した追跡候補ログを追加追跡ログとして出力する追加追跡ログ判定処理と、
処理装置が、上記追加追跡ログ判定処理により出力された追加追跡ログが有する操作内容に含まれた上記類似ファイル名を、上記処理対象ファイル名として入力し、入力した類似ファイル名の類似ファイルを作成した元のファイルを、上記処理対象ファイルを生成した元のファイルとして、複数のログエントリを追跡して推定する追跡処理と
をコンピュータに実行させることを特徴とするファイル追跡プログラム。

【請求項19】

処理装置と、操作コマンドと、操作したファイルのファイル名を含む操作内容と、操作が行われた日時を表すタイムスタンプとを有するログエントリを複数記憶した操作ログ記憶部とを備え、処理対象ファイルを元のファイルとして生成した別の新たなファイルを、複数のログエントリを追跡して推定する処理をコンピュータに実行させるファイル追跡プログラムであって、
処理装置が、上記処理対象ファイルの処理対象ファイル名を入力し、上記操作ログ記憶部に記憶された複数のログエントリからログエントリが有する操作コマンドと操作内容とを用いて、上記処理対象ファイルを開く操作を行ったことを表すログエントリを抽出し、抽出したログエントリが有するタイムスタンプをオープン日時として取得するとともに、取得したオープン日時以降に、上記処理対象ファイルを閉じる操作を行ったことを表すログエントリを抽出し、抽出したログエントリが有するタイムスタンプをクローズ日時として取得し、取得したオープン日時と上記クローズ日時とを有するしぼり込み期間を出力するしぼり込み期間取得処理と、
処理装置が、上記しぼり込み期間取得処理により出力したしぼり込み期間を入力し、上記操作ログ記憶部が記憶した複数のログエントリからログエントリが有するタイムスタンプと操作コマンドと操作内容とを用いて、入力したしぼり込み期間に、上記処理対象ファイル名と類似する類似ファイル名のファイルを記憶するとの操作を行ったことを表すログエントリを１つ以上抽出し、抽出した１つ以上の各ログエントリを追跡候補ログとして記憶装置に記憶する追跡候補生成処理と、
処理装置が、上記追跡候補生成処理により記憶装置に記憶した追跡候補ログを順次入力し、入力した追跡候補ログが有する操作内容に含まれた類似ファイル名が表すファイルに記憶された情報を追跡候補情報として入力し、上記処理対象ファイルから生成した別の新たなファイルである上記類似ファイル名の類似ファイルを、複数のログエントリを追跡して推定するか否かを、入力した追跡候補情報を用いて判定し、推定することを判定した追跡候補ログを追加候補ログとして出力する追加追跡ログ判定処理と、
処理装置が、上記追加追跡ログ判定処理により出力された追加候補ログが有する操作内容に含まれた上記類似ファイル名を入力し、入力した類似ファイル名の類似ファイルから生成した別の新たなファイルを、上記処理対象ファイルから生成した別の新たなファイルとして、複数のログエントリを追跡して推定する追跡処理と
をコンピュータに実行させることを特徴とするファイル追跡プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

この発明は、所定のファイルである処理対象ファイルを作成した元のファイルを、複数のログエントリを追跡して推定するファイル追跡装置に関する。また、処理対象ファイルから生成された他のファイルを複数のログエントリを追跡して推定するファイル追跡装置に関する。特に、処理対象ファイルが元のファイルに記憶された一部の情報から生成されたか推定する、或いは、処理対象ファイルに記憶された一部の情報から生成された他のファイルを推定することに関する。

【背景技術】

【0002】

例えば、従来どのような場合に、処理対象ファイルを作成した元のファイルを推定するか、説明する。組織の従業員が組織内のファイルサーバ装置に機密ファイルとして管理記憶されているファイルをメールに添付し、添付ファイルとして組織外部に送出した場合がある。メール送信後、メールに添付されたファイルが機密ファイルに由来するか否か調査することがある。例えば、機密ファイルが格納されたファイルサーバ装置から取得したファイルを、リネームして、リネームしたファイルをメールに添付して添付ファイルとして送信した場合、添付ファイルはファイルサーバに記憶された機密ファイルが由来である。この様な調査により、組織の機密ファイル管理者は機密ファイルが送出されたことが分かると、当該メールの送信先に添付ファイルの削除を依頼するなどの対応を行なう。
メールに添付されて送信されたファイルを生成する元となった元ファイル（添付されたファイルの由来）を調べる方法として、添付されたファイルが操作された際のファイルの操作履歴（ログエントリ）を追跡（トレース）することで、添付されたファイルの元となった元ファイルを追跡調査する方法がある。

【0003】

また、処理対象ファイルが、元ファイルに記憶された情報の一部を用いて生成されたかを、クリップボードに記憶された情報を追跡して判定するものがあった。

【先行技術文献】

【特許文献】

【0004】

【特許文献1】特開２００９−０２６２９４号公報

【発明の概要】

【発明が解決しようとする課題】

【0005】

特開２００９−２６２９４号公報に記載された発明では、クリップボードを監視することでコピー操作・ペースト操作を把握している。しかし、この様な方式ではクリップボードを監視する機能が必要であり、方式によってはクリップボード操作ログを分析する必要があるため、分析対象ログ種類が増え、ログ量も増大する課題がある。

【0006】

また、ファイル操作ログには、ファイルの生成、ファイルの保存、ファイルの削除、ファイルのリネーム、ファイルの移動、表計算ソフトウエアなどのアプリケーションによるファイルのオープン／クローズなどが記憶されている。この様な動作が履歴として記憶されたファイル操作ログから、ファイルのトレースを行なうことができる。しかし、処理対象ファイルを元のファイルに記憶された一部の情報から生成する複写及び貼付操作（元のファイルの一部を複写（コピー）する操作を行い、コピーしたファイルの一部を処理対象ファイルに貼り付ける（ペースト）操作を行うことにより元のファイルの一部から処理対象ファイルを生成する、ファイルのコピーアンドペースト）、或いは、処理対象ファイルに記憶された一部の情報から生成された他のファイルを生成する複写及び貼付操作（処理対象ファイルの一部を複写（コピー）する操作を行い、コピーしたファイルの一部を他のファイルに貼り付ける（ペースト）操作を行うことにより処理対象ファイルの一部から他のファイルを生成する、ファイルのコピーアンドペースト）では、ファイル間のデータのコピーアンドペーストの記録が操作ログに残らない。このため、ファイル操作ログしか採取できない運用環境の場合、ファイルのコピーアンドペーストによって生成されたファイルであるのか、ファイルのコピーアンドペーストによって別のファイルを生成する元のファイルであるのか、操作ログから推定することができない。

【0007】

この発明は、ファイル操作ログしか採取できない運用環境において、操作ログのみからでもファイルのコピーアンドペーストを判断することを可能にする。
また、処理対象ファイルを生成した元ファイルを追跡する方法（トレースバック）、或いは、処理対象ファイルから生成した他のファイルを追跡する方法（トレースフォワード）を利用して複数の操作ログから、ファイル間のデータのコピーアンドペーストの操作を推定し、当該操作を行ったファイルを追跡する。

【課題を解決するための手段】

【0008】

この発明に係るファイル追跡装置であって、処理対象ファイルを生成した元のファイルを、複数のログエントリを追跡して推定するファイル追跡装置は、
操作コマンドと、操作したファイルのファイル名を含む操作内容と、操作が行われた日時を表すタイムスタンプとを有するログエントリを複数記憶した操作ログ記憶部と、
上記処理対象ファイルの処理対象ファイル名を入力し、上記操作ログ記憶部に記憶された複数のログエントリからログエントリが有する操作コマンドと操作内容とを用いて、上記処理対象ファイルを保存する操作を行ったことを表すログエントリを抽出し、抽出したログエントリが有するタイムスタンプを保存日時として取得するとともに、取得した保存日時までに、上記処理対象ファイルを開く操作を行ったことを表すログエントリを抽出し、抽出したログエントリが有するタイムスタンプをオープン日時として取得し、取得したオープン日時と上記保存日時とを有するしぼり込み期間を出力するしぼり込み期間取得部と、
上記しぼり込み期間取得部が出力したしぼり込み期間を入力し、上記操作ログ記憶部が記憶した複数のログエントリからログエントリが有するタイムスタンプと操作コマンドと操作内容とを用いて、入力したしぼり込み期間に、上記処理対象ファイル名と類似する類似ファイル名のファイルを開く操作と閉じる操作とのいずれかの操作を行ったことを表すログエントリを１つ以上抽出し、抽出した１つ以上の各ログエントリを追跡候補ログとして記憶装置に記憶する追跡候補生成部と、
上記追跡候補生成部が記憶装置に記憶した追跡候補ログを順次入力し、入力した追跡候補ログが有する操作内容に含まれた類似ファイル名が表すファイルに記憶された情報を追跡候補情報として入力し、上記類似ファイル名の類似ファイルを生成した元のファイルを複数のログエントリを追跡して推定するか否かを、入力した追跡候補情報を用いて判定し、推定することを判定した追跡候補ログを出力する追加追跡ログ判定部と、
上記追加追跡ログ判定部が出力した追跡候補ログを、追加追跡ログとして記憶する追加追跡ログ記憶部と、
上記追加追跡ログ記憶部に記憶された追加追跡ログが有する操作内容に含まれた上記類似ファイル名を入力し、入力した類似ファイル名の類似ファイルを生成した元のファイルを、上記処理対象ファイルを生成した元のファイルとして、複数のログエントリを追跡して推定する追跡部と
を備えたことを特徴とする。

【発明の効果】

【0009】

本願発明のファイル追跡装置によれば、従来、複数のログエントリだけでは追跡（トレース）できなかった複写及び貼り付けの操作により生成したファイルの元ファイルを推定できる効果がある。さらに、元ファイルの候補の特定においては、元ファイルの候補としたファイルに記憶された情報とトレース対象ファイルに記憶された情報との類似度に基づいて元ファイルを推定することができる。

【図面の簡単な説明】

【0010】

【図1】ファイルに対する操作を追跡（トレース）する一例を示す図。

【図2】ファイル追跡装置が動作するファイル追跡システムの構成を説明するブロック図。

【図3】ファイル追跡システム及びファイル追跡装置の外観の一例を示す図。

【図4】ファイル追跡システム１及びファイル追跡装置のハードウェア資源の一例を示す図。

【図5】実施の形態１のファイル追跡システムで使用する各種期間を説明する図。

【図6】実施の形態１のトレース部及びコピーアンドペーストファイル特定部のブロック図。

【図7】実施の形態１のトレース部の動作を説明するフローチャート。

【図8】実施の形態１のコピーアンドペーストファイル特定部１１０６及び追加トレース判断部１１０７の動作を示すフローチャート。

【図9】実施の形態１のコピーアンドペーストファイル特定部１１０６のしぼり込み期間取得部１１１６の動作を示すフローチャート。

【図10】実施の形態１のコピーアンドペーストファイル特定部１１０６の追跡候補生成部１１２６の動作を示すフローチャート。

【図11】実施の形態１のファイル追跡システム１が使用する各種期間を説明する図。

【図12】実施の形態２のトレース部の動作を示すフローチャート。

【図13】実施の形態２のコピーアンドペーストファイル特定部１１０６、追加トレース判断部１１０７の動作を示すフローチャート。

【図14】実施の形態２のコピーアンドペーストファイル特定部１１０６のしぼり込み期間取得部の動作を示すフローチャート。

【図15】実施の形態２のコピーアンドペーストファイル特定部１１０６の追跡候補生成部１１２６の動作を示すフローチャート。

【図16】実施の形態４のペースト先とコピー元の拡張子の組み合わせとスコアを示した表を示す図。

【図17】トレース部及びコピーアンドペーストファイル特定部、追加トレース判断部の処理の概要を表すフローチャート。

【図18】ログエントリの一例を示す図。

【発明を実施するための形態】

【0011】

以下に説明する実施の形態では、操作ログをログエントリとする。ファイルに対して複写及び貼り付け操作を行うことをコピーアンドペーストと呼ぶ。複数のログエントリを追跡することをトレースと呼ぶ。あるファイルを元にして作成されたファイルを複数のログエントリをトレースして推定する処理をトレースバックと呼ぶ。トレースバックにおいて、上記あるファイルを処理対象ファイル、或いは、トレース対象ファイル、最終トレース対象ファイルと呼び、特に、以下に説明するトレース部においては処理対象ファイル、或いは、トレース対象ファイルと呼び、コピーアンドペーストファイル特定部と追加トレース判断部においては最終トレース対象ファイルと呼ぶ。あるファイルを元にして生成されたファイルを複数のログエントリをトレースして推定する処理をトレースフォワードと呼ぶ。トレースフォワードにおいて、元にしたあるファイルを処理対象ファイル、或いは、トレース対象ファイル、最終トレース対象ファイルと呼び、特に、以下に説明するトレース部においては処理対象ファイル、或いは、トレース対象ファイルと呼び、コピーアンドペーストファイル特定部と追加トレース判断部においては、最終トレース対象ファイルと呼ぶ。電子メールを、単にメールと呼ぶ。
最初の実施の形態で、トレースバックにおいて、トレース対象ファイルをオープンし保存するまでの期間に別途開いていたファイルを推定し、推定したファイルをコピー元の候補とし、トレース対象ファイルに記憶された情報と、候補とした該ファイルに記憶された情報との類似度を調べることで、該ファイルをコピー元であることを特定するファイル追跡装置の一例を説明する。
別の実施の形態で、トレースフォワードにおいて、トレース対象ファイルをオープンしクローズするまでの期間に別途保存したファイルを推定し、推定したファイルをコピー先の候補とし、トレース対象ファイルに記憶された情報と候補とした該ファイルに記憶された情報との類似度を調べることで、該ファイルをコピー先であることを特定するファイル追跡装置の一例を説明する。
まず、トレースバック或いはトレースフォワードを行う運用環境を説明する。

【0012】

図１は、ファイルに対する操作を追跡（トレース）する一例を示す図である。
図１において、機密ファイル９１がファイルサーバ９０に記憶されている。機密ファイル９１のファイル名はａａａ．ｃｓｖである。社員Ａが端末Ａからファイル名ｂｂｂ．ｃｓｖであるファイルを電子メールに添付して、社員Ａが所属する組織以外の別の組織にメールサーバ９４を介してインターネット９４０経由で送信する（１）。
（１）の操作を行うと、メールログ（メールを生成、送信する等のメール編集操作の履歴情報）に「社員Ａのメールアドレスからファイル ｂｂｂ．ｃｓｖ をメール添付・送信」という記録がされる。
ファイルサーバの管理者は、（１）の操作で記録されたメールログを確認して、ファイル名ｂｂｂ．ｃｓｖであるファイルが電子メールに添付されて他の組織に送信されたことを把握する（２）。
ファイルサーバの管理者は、（２）で把握した電子メールが送信された日時を含む一定の期間内にファイルサーバから端末Ａにダウンロードされたファイルを、ファイルサーバの操作ログを確認して把握する（３）。
ファイルサーバから端末Ａにファイルがダウンロードされた際、ファイルサーバログに「ファイルサーバから端末Ａへａａａ．ｃｓｖをダウンロード」という操作ログの記録がされる。（３）ではファイルサーバの管理者は、記録された操作ログを確認する。
ファイルサーバの管理者は、ダウンロードされたファイルのファイル名と、添付されたファイルのファイル名とが異なるため、社員Ａの使用端末である端末Ａのファイル操作ログを確認して、ダウンロードされたファイルに対してファイル名を変更するリネーム操作が行われていないか確認する（４）。
社員Ａの使用端末である端末Ａにおいて、ダウンロードされたファイルに対してファイル名を変更するリネーム操作が行われた際、端末Ａの操作ログに「ファイルａａａ．ｃｓｖをファイルｂｂｂ．ｃｓｖにリネーム」という操作ログの記録がされる。
これらの記録を（１）のメール送信の記録から遡って追跡すると、社員Ａがメールに添付して送信した添付ファイルｂｂｂ．ｃｓｖはａａａ．ｃｓｖが由来であることが分かる。この様に時間的に遡って、送信したファイルの取り扱いを調査する方法をトレースバックという。図１では、メールに添付されたｂｂｂ．ｃｓｖをトレース対象ファイルとする。各操作ログ９７はログ分析サーバ９６に集められトレースバックされる。

【0013】

また、ファイルサーバからダウンロードされたファイルが、ダウンロード後どのように取り扱われ、最終的に組織外部へ送出されたか、複数の操作ログを分析して調査するトレースフォワードがある。トレースフォワードは、トレースバックとは逆の手順で複数のログを分析して調査する。具体的には、トレースフォワードは、ファイルサーバからダウンロードされたファイルをトレース対象ファイルとし、トレース対象ファイルから生成されたファイルを操作ログを追跡して推定する。

【0014】

実施の形態１．
この実施の形態１では、トレースバックを行うファイル追跡装置であって、コピーアンドペーストの操作を行ったファイルを複数のログエントリから推定するファイル追跡装置の一例を説明する。

【0015】

本実施の形態では、組織の従業員が使用する計算機を「端末」と呼ぶ。「端末」は、その端末を使用して端末外部からファイルを入力するファイル操作を表すファイル操作情報や、端末の記憶装置に記憶されたファイルに対して行ったファイル操作を表すファイル操作情報を履歴によって記録した操作ログファイルを記憶した記憶装置を有する。
ファイル追跡装置は、端末とは別の計算機であるファイル追跡サーバであるファイル追跡システムにより動作する。ファイル追跡システムは、端末から操作ログファイルを定期的に取り込む。その方法の例として、端末にあらかじめインストールした自動ファイル転送プログラムが、操作ログファイルを定期的にファイル追跡システムへ転送して実現する方法がある。操作ログファイルのファイル追跡システムへの転送方法は当例に限定せず他の方法であってもよい。

【0016】

ファイル追跡装置の構成を説明する。
図２は、ファイル追跡装置が動作するファイル追跡システムの構成を説明するブロック図である。
なお、ファイル追跡システム１はトレースバック、とその逆のトレースである、トレースフォワードの両方を処理するが、本実施の形態では、トレースバックの処理について説明する。
図２を用いて本発明のファイル追跡システムの構成説明を行う。
ファイル追跡システム１は、トレース部１１０４、トレース結果判断部１１０５、コピーアンドペーストファイル特定部１１０６、追加トレース判断部１１０７、期間入力部１１０８、操作ログファイル取り込み部１１０３、外部入力ログファイル取り込み部１１０１ａ、外部入力ファイル特定部１１０２ａ、外部出力ログファイル取り込み部１１０１ｂ、外部出力ファイル特定部１１０２ｂを備える。

【0017】

以下に、ファイル追跡システムが備える各要素について概要を説明する。
・外部入力ログファイル取り込み部１１０１ａ
外部入力ログファイル取り込み部１１０１ａは、ファイル追跡システム１の外部から外部入力ログファイル２１０１ａを入力する。外部入力ログファイル取り込み部１１０１ａは、入力した該ファイルに記憶された操作ログを表す外部入力ログ２２０１ａを当該ログのフォーマットに従い取り出し出力する。例えば、ファイル追跡システム１は、あらかじめ外部入力ログファイル２１０１ａのファイル名と該ファイルが記憶する操作ログのフォーマットを定義したフォーマット定義情報を記憶装置に記憶する。外部入力ログファイル取り込み部１１０１ａは、入力した外部入力ログファイル２１０１ａのファイル名と一致するファイル名を記憶装置から検索し、検索したファイル名に対応するフォーマット定義情報に基づいて外部入力ログファイル２１０１ａから外部入力ログ２２０１ａを取得する。
外部入力ログファイル２１０１ａは、端末外部から端末へファイルの入力操作が行なわれたことが記録されている操作ログを記憶したログファイルである。本実施の形態では、外部入力ログファイル２１０１ａを、ファイルサーバからファイルを端末にダウンロードしたことを記録している操作ログを記憶したファイルサーバログファイルとする。外部入力ログ２２０１ａは、ファイルサーバログファイルに記憶されたファイルサーバログである。ファイルサーバログには、ファイルサーバから端末にファイルをダウンロードしたダウンロード日時、ダウンロードした端末の識別子、ダウンロードの操作を表す操作コマンド、ダウンロードファイル名などを有するログエントリが複数記録されている。

【0018】

・外部出力ログファイル取り込み部１１０１ｂ
外部出力ログファイル２１０１ｂを入力し、該ファイルからログの内容である外部出力ログ２２０１ｂをログのフォーマットに従い取り出し出力する。
外部出力ログファイル２１０１ｂは、端末から端末外部へファイルを出力したことが記録されている操作ログを記憶したログファイルである。本実施の形態では、外部出力ログファイル２１０１ｂをメールログファイルとする。その場合、外部出力ログ２２０１ｂはメールログファイルに記憶されたログエントリ（メールログ）である。メールログには、送信日時、送信元メールアドレス、あて先メールアドレス、メールに添付されて送信した操作を表す操作コマンド、添付ファイル名などを有するログエントリが複数記録されている。

【0019】

・外部入力ファイル特定部１１０２ａ
外部入力ログ２２０１ａを入力し、外部入力ファイル特定条件２１０２ａに従い、端末外部から端末へ入力されたファイルである外部入力ファイルを特定し、外部入力ファイル名２２０２ａとファイル入力日時２２０３ａを出力する。
外部入力ログ２２０１ａがファイルサーバログの場合は、外部入力ファイル名２２０２ａはファイルサーバからダウンロードされたファイル名（ダウンロードファイル名）であり、ファイル入力日時２２０３ａはダウンロードされた日時（ダウンロード日時）である。
外部入力ファイル特定条件２１０２ａは、外部入力ファイルを特定する条件を指定する。該条件として、機密ファイルを特定する条件を指定する。本実施の形態では、「ファイルサーバからダウンロードされたファイル」という条件とする。

【0020】

・外部出力ファイル特定部１１０２ｂ
外部出力ログ２２０１ｂを入力し、外部出力ファイル特定条件２１０２ｂに従い、端末から端末外部へ出力されたファイルである外部出力ファイルを特定し、外部出力ファイル名２２０２ｂとファイル出力日時２２０３ｂを出力する。
例えば、外部出力ログ２２０１ｂがメールログの場合は、外部出力ファイル名２２０２ｂはメールに添付された添付ファイル名（添付ファイル名）であり、ファイル出力日時２２０３ｂは添付ファイルがメールに添付されて送信された日時（送信日時）である。
外部出力ファイル特定条件２１０２ｂは、外部出力ファイルを特定するための条件を指定する。該条件として、情報漏洩を疑う条件を指定する。本実施の形態では、「送信されたメールの添付ファイルサイズが閾値を越えた場合」という条件とする。この条件の指定の理由は、情報漏洩が行なわれる場合、まとまったデータを漏洩させることがあるため、ある大きさ以上の添付ファイルが送信された場合を条件とするためである。該条件に指定した閾値は、数値、或いは、数値を記憶したファイルのファイル名を指定する。

【0021】

・期間入力部１１０８（期間入力部の一例）
期間入力部１１０８は、ファイル追跡システム１で使用する各種期間を入力して記憶装置に記憶する。例えば、開始日時及び終了日時を有する処理対象期間２１０８を、入力装置から入力し記憶装置に記憶する。或いは、外部入力ファイル特定部１１０２ａが出力したファイル入力日時２２０３ａを開始日時として入力し、外部出力ファイル特定部１１０２ｂが出力したファイル出力日時２２０３ｂを終了日時として入力し、記憶装置に記憶する。

【0022】

・操作ログファイル取り込み部１１０３（操作ログ抽出部の一例）
操作ログファイル２１０３を入力し、期間入力部１１０８が記憶装置に記憶した処理対象期間に操作が行われたログエントリを表す操作ログ２２０４（ログエントリの一例）をログのフォーマットに従い取り出し、処理対象ログ記憶部１１０９（操作ログ記憶部の一例）に記憶する。例えば、ファイル追跡システム１は、あらかじめ操作ログファイル２１０３のファイル名と該ファイルが記憶するログのフォーマットを定義したフォーマット定義情報を記憶装置に記憶する。操作ログファイル取り込み部１１０３は、入力した操作ログファイル２１０３のファイル名と一致するファイル名を記憶装置から検索し、検索したファイル名に対応するフォーマット定義情報に基づいて操作ログファイル２１０３から操作ログ２２０４を取得する。本実施の形態では、“タイムスタンプ、ユーザ識別子、端末識別子、ファイル名、ファイル操作内容、アプリケーション名”というフォーマットで出力する。

【0023】

・処理対象ログ記憶部１１０９
処理対象ログ記憶部１１０９は、操作ログファイル取り込み部１１０３が取得した操作ログ２２０４を記憶するファイルであって、当該ファイルは記憶装置に記憶されている。

【0024】

・トレース部１１０４（追跡部の一例）
外部入力ファイル名２２０２ａ、ファイル入力日時２２０３ａ、外部出力ファイル名２２０２ｂ、ファイル出力日時２２０３ｂ、操作ログ２２０４、トレース開始条件２１０４、トレース条件２１０５、トレース終了条件２１０６を入力し、最終変遷日時２２０５ａ、トレース開始日時２２０５ｂ、トレース終了日時２２０５ｃ、最終トレース対象ファイル名２２０６、また、トレースした結果を判定結果２２０７として出力する。

【0025】

トレース開始条件２１０４はトレースモードの指定であり、トレースバックを行うか、トレースフォワードを行うかを指定する。本実施の形態では、トレースバックを指定する。
トレース条件２１０５はトレースを行う際の条件であり、本実施の形態では、コピーアンドペーストファイル特定部１１０６によってログエントリを検索する条件として、外部出力ファイル名２２０２ｂで特定されるファイルの拡張子と同じ拡張子のファイルが記録されたログエントリを検索する、という条件が定義された情報である。トレース終了条件２１０６はトレースを終了するための条件であり、本実施の形態はトレースバックであるので「外部出力ファイルをトレースした結果、ファイルサーバ由来である場合に終了する」という条件を定義した情報である。

【0026】

最終変遷日時２２０５ａとは、本実施の形態はトレースバックであるので、トレースの過程で判明した一番古くファイルを変遷させた日時である。ファイルの変遷とは、ファイルのリネーム、コピー、移動の操作である。すなわち、ファイルの変遷とは、元のファイルに記憶された情報をそのまま新たなファイルの情報として、新たなファイルを生成するファイル操作を表す。最終トレース対象ファイル名２２０６は、本実施の形態はトレースバックであるので、トレースの過程で、最も古くに変遷したファイルのファイル名である。
トレース開始日時２２０５ｂ（開始日時の一例）は、トレースを開始する日時である。トレース終了日時２２０５ｃ（終了日時の一例）は、トレースを終了する日時である。トレース開始日時２２０５ｂ及びトレース終了日時２２０５ｃは、期間入力部１１０８が記憶装置に記憶した処理対象期間２１０８のことである。

【0027】

・トレース結果判断部１１０５
トレース部１１０４が出力した判定結果２２０７を入力し、判定結果２２０７に基づき、トレースの結果であるトレース結果２１０７を出力する。具体的には、ファイル追跡システム１が備える表示装置にトレース結果２１０７を表示する、或いは、ファイル追跡システム１が備えるプリンタ装置にトレース結果２１０７を印刷する、或いは、ブザーや表示灯などの警告装置にトレース結果２１０７を出力する。
本実施の形態はトレースバックであるので、外部出力ファイルをトレースした結果ファイルサーバ由来であると判断できなかった場合、ファイルサーバ由来のファイルのデータをコピーしトレース対象のファイルへペーストしていないか判断するために、コピーアンドペースト調査指示２２０８を出力する。

【0028】

・コピーアンドペーストファイル特定部１１０６（しぼり込み期間取得部、追跡候補生成部の一例）
コピーアンドペースト調査指示２２０８を入力し、操作ログ２２０４、最終変遷日時２２０５ａ、トレース開始日時２２０５ｂ、最終トレース対象ファイル名２２０６、トレース開始条件２１０４、トレース条件２１０５、トレース終了条件２１０６を入力する。本実施の形態はトレースバックであるので、ファイルサーバ由来のファイルからコピーアンドペーストがトレース対象ファイルに対して発生していないか調査する。その結果は特定結果２２０９、及び、追加でトレースを行う候補ファイルのリストであるトレース対象候補ファイルリスト２２１１（追跡候補ログの一例）として出力する。

【0029】

・追加トレース判断部１１０７（追加追跡ログ判定部の一例）
コピーアンドペーストファイル特定部１１０６から出力された特定結果２２０９と、トレース対象候補ファイルリスト２２１１から、追加でトレースを実施するか判定し、追加でトレースを実施する場合は、トレース対象候補ファイルリスト２２１１に含まれるトレース対象候補ファイル名を追加トレース対象ファイル名２２１０ｂとして、追加トレース対象ファイルリスト２２１０ａに記憶する。トレース部１１０４は、追加トレース対象ファイルリスト２２１０ａに記憶された追加トレース対象ファイル名２２１０ｂを、新たな処理対象ファイルのファイルとして入力し、新たな処理対象ファイル名について追跡を行う。

【0030】

図３は、ファイル追跡システム及びファイル追跡装置の外観の一例を示す図である。
図３において、ファイル追跡システム１及びファイル追跡装置は、システムユニット９１０、ＣＲＴ（Ｃａｔｈｏｄｅ・Ｒａｙ・Ｔｕｂｅ）やＬＣＤ（液晶）の表示画面を有する表示装置９０１、キーボード９０２（Ｋｅｙ・Ｂｏａｒｄ：Ｋ／Ｂ）、マウス９０３、ＦＤＤ９０４（Ｆｌｅｘｉｂｌｅ・Ｄｉｓｋ・ Ｄｒｉｖｅ）、コンパクトディスク装置９０５（ＣＤＤ）、プリンタ装置９０６、スキャナ装置９０７などのハードウェア資源を備え、これらはケーブルや信号線で接続されている。
システムユニット９１０は、コンピュータであり、ファクシミリ機９３２、電話器９３１とケーブルで接続され、また、ローカルエリアネットワーク９４２（ＬＡＮ）、ゲートウェイ９４１を介してインターネット９４０に接続されている。

【0031】

図４は、ファイル追跡システム１及びファイル追跡装置のハードウェア資源の一例を示す図である。
図４において、ファイル追跡システム１及びファイル追跡装置は、プログラムを実行するＣＰＵ９１１（Ｃｅｎｔｒａｌ・Ｐｒｏｃｅｓｓｉｎｇ・Ｕｎｉｔ、中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、プロセッサともいう）を備えている。ＣＰＵ９１１は、バス９１２を介してＲＯＭ９１３、ＲＡＭ９１４、通信ボード９１５、表示装置９０１、キーボード９０２、マウス９０３、ＦＤＤ９０４、ＣＤＤ９０５、プリンタ装置９０６、スキャナ装置９０７、磁気ディスク装置９２０と接続され、これらのハードウェアデバイスを制御する。磁気ディスク装置９２０の代わりに、光ディスク装置、メモリカード読み書き装置などの記憶装置でもよい。
ＲＡＭ９１４は、揮発性メモリの一例である。ＲＯＭ９１３、ＦＤＤ９０４、ＣＤＤ９０５、磁気ディスク装置９２０の記憶媒体は、不揮発性メモリの一例である。これらは、記憶装置あるいは記憶部の一例である。
通信ボード９１５、キーボード９０２、スキャナ装置９０７、ＦＤＤ９０４などは、入力部、入力装置の一例である。
また、通信ボード９１５、表示装置９０１、プリンタ装置９０６などは、出力部、出力装置の一例である。

【0032】

通信ボード９１５は、ファクシミリ機９３２、電話器９３１、ＬＡＮ９４２等に接続されている。通信ボード９１５は、ＬＡＮ９４２に限らず、インターネット９４０、ＩＳＤＮ等のＷＡＮ（ワイドエリアネットワーク）などに接続されていても構わない。インターネット９４０或いはＩＳＤＮ等のＷＡＮに接続されている場合、ゲートウェイ９４１は不用となる。
磁気ディスク装置９２０には、オペレーティングシステム９２１（ＯＳ）、ウィンドウシステム９２２、プログラム群９２３、ファイル群９２４が記憶されている。プログラム群９２３のプログラムは、ＣＰＵ９１１、オペレーティングシステム９２１、ウィンドウシステム９２２により実行される。

【0033】

上記プログラム群９２３には、ファイル追跡システム１及びファイル追跡装置において動作する「〜部」として説明する動作を実行するプログラムが記憶されている。プログラムは、ＣＰＵ９１１により読み出され実行される。
ファイル群９２４には、以下に述べる実施の形態の説明において、「〜の判定結果」、「〜の計算結果」、「〜の処理結果」、「〜追跡結果」、「〜特定結果」、「〜指示」として説明する情報やデータや信号値や変数値やパラメータが、「〜ファイル」や「〜データベース」の各項目として記憶されている。「〜ファイル」や「〜データベース」は、ディスクやメモリなどの記録媒体に記憶される。ディスクやメモリになどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ９１１によりメインメモリやキャッシュメモリに読み出され、抽出・検索・参照・比較・演算・計算・処理・入力・出力・印刷・表示・判定・取り込み・取り出しなどのＣＰＵの動作に用いられる。抽出・検索・参照・比較・演算・計算・処理・出力・入力・印刷・表示・抽出・判定のＣＰＵの動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリやキャッシュメモリやバッファメモリに一時的に記憶される。
また、以下に述べる実施の形態の説明において説明するフローチャートの矢印の部分は主としてデータや信号の入出力を示し、データや信号値は、ＲＡＭ９１４のメモリ、ＦＤＤ９０４のフレキシブルディスク、ＣＤＤ９０５のコンパクトディスク、磁気ディスク装置９２０の磁気ディスク、その他光ディスク、ミニディスク、ＤＶＤ（Ｄｉｇｉｔａｌ・Ｖｅｒｓａｔｉｌｅ・Ｄｉｓｋ）等の記録媒体に記録される。また、データや信号は、バス９１２や信号線やケーブルその他の伝送媒体によりオンライン伝送される。

【0034】

また、以下に述べる実施の形態の説明において「〜部」」として説明するものは、「〜回路」、「〜装置」、「〜機器」、「手段」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。すなわち、「〜部」として説明するものは、ＲＯＭ９１３に記憶されたファームウェアで実現されていても構わない。或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。ファームウェアとソフトウェアは、プログラムとして、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ミニディスク、ＤＶＤ等の記録媒体に記憶される。プログラムはＣＰＵ９１１により読み出され、ＣＰＵ９１１により実行される。すなわち、プログラムは、以下に述べる「〜部」としてコンピュータを機能させるものである。あるいは、以下に述べる「〜部」の手順や方法をコンピュータに実行させるものである。

【0035】

図２のファイル追跡システム１のトレースバックの動作について説明する。
本実施の形態では、ある端末“Ａ”（以降、端末Ａ）において、ファイルサーバ由来のファイルを添付ファイルとしてメールで送信（外部出力）したかトレースバックする例を示す。

【0036】

外部入力ログファイル取り込み部１１０１ａは、外部入力ログファイル２１０１ａとしてファイルサーバログファイルに記憶されたファイルサーバログを読み込む。ファイルサーバログファイルは、例えば、ファイル追跡システム１を搭載しているファイル追跡サーバにおいて、ＦＴＰコマンドでファイルサーバから取得すればよい。
ファイル追跡システム１及びファイル追跡装置が使用するログエントリを図１８に示す。図１８は、ファイル追跡システム１及びファイル追跡装置が使用するログエントリの一例を示す図である。図１８において、ログエントリ２１０は、タイムスタンプ２１１、端末名２１２、プロセス名２１３、操作コマンド２１４、操作内容２１５、アプリケーション名２１６を有する。タイムスタンプ２１１は、当該ログエントリが生成された日時、すなわち、ファイルに対して操作が行われた日時を記憶し、例えば、２０１０／１２／０１ ０９：００：００との日時情報を有する。端末名２１２は、ファイルを操作した端末を識別する端末名を記憶する。例えば、端末Ａとの端末名を記憶する。プロセス名２１３は、ファイルに対する操作が行われた時に端末Ａにおいて実行されていたプロセスを識別するプロセス名を記憶する。例えば、プロセスＡとのプロセス名を記憶する。操作コマンド２１４は、ファイルに対して行われた操作を表すコマンドが記憶される。例えば、ファイルを開く操作を行った場合は、オープンとの操作コマンドが記憶される。操作内容２１５は、ファイルに対して行った操作の内容を表す情報を記憶する。例えば、ファイルＡをダウンロードした場合、ファイルＡをダウンロードしたとの操作内容が記憶される。アプリケーション名２１６は、ファイルに対する操作が行われた時に端末Ａにおいて実行されていたアプリケーションを識別するアプリケーション名を記憶する。例えば、ファイルに対して行われた操作が表計算プログラムを実行することにより行われた操作である場合、表計算プログラムとのアプリケーション名が記憶される。
外部入力ログファイル取り込み部１１０１ａは、ＦＴＰコマンドでファイルサーバログファイルを取得し、さらに、取得したファイルサーバログファイルから、ファイルサーバログを読み込んで、操作コマンドがダウンロードを表す操作コマンドを記憶し、かつ、端末名が端末Ａを記憶する（条件１）ファイルサーバログを抽出する。
ファイル追跡システム１は、外部入力ログファイル２１０１ａに記憶されたファイルサーバログがどのようなフォーマットで、どのような項目の情報を記憶しているかを表すフォーマット定義情報を、ファイルサーバログファイルのファイル名に対応させて、ファイル追跡システム１が備える記憶装置に記憶しておく。外部入力ログファイル取り込み部１１０１ａは、記憶装置に記憶されたフォーマット定義情報を入力し、入力したフォーマット定義情報に基づいて操作コマンドと端末名との各項目に対応する情報を取得する。外部入力ログファイル取り込み部１１０１ａは、上記した条件１を満たすファイルサーバログを抽出し、外部入力ログ２２０１ａとして外部入力ファイル特定部１１０２ａへ出力する。本実施の形態では、外部入力ログファイル取り込み部１１０１ａは、ファイルサーバログから“ダウンロード日時、ダウンロードした端末の識別子、ダウンロードファイル名”という項目を有する外部入力ログ２２０１ａを出力する。外部入力ログ２２０１ａは、図１８のログエントリ２１０の一例であり、外部入力ログ２２０１ａは、ログエントリ２１０が有する項目と同じ項目を有してもよいし、ログエントリ２１０が有する項目のうち一部の項目を有してもよい。具体的には、“ダウンロード日時”は、タイムスタンプ２１１の一例であり、“ダウンロードした端末の識別子”は端末名２１２の一例であり、“ダウンロードファイル名”は、操作内容２１５の一例である。

【0037】

外部入力ファイル特定部１１０２ａは、外部入力ログ２２０１ａに対して、外部入力ファイル特定条件２１０２ａに基づき外部入力ファイル名２２０２ａとファイル入力日時２２０３ａを特定する。本実施の形態では、外部入力ファイル特定条件２１０２ａとして「外部入力ログ検索期間において、端末Ａが、ファイルサーバから、ファイルをダウンロードした場合」を指定する。外部入力ファイル特定部１１０２ａは、この外部入力ファイル特定条件２１０２ａを入力した場合、端末Ａがファイルサーバからファイルをダウンロードした記録に該当するログエントリを抽出し、ダウンロード日時とダウンロードファイル名を外部入力ログ２２０１ａから取り出す。外部入力ファイル名２２０２ａに、取り出したダウンロードファイル名を設定する。ファイル入力日時２２０３ａに、取り出したダウンロード日時を設定する。外部入力ログ２２０１ａが有する端末名２１２（“ダウンロードした端末の識別子”）は端末Ａを示している。外部入力ファイル特定条件２１０２ａに指定した“外部入力ログ検索期間”とは、後に示す「外部出力ファイル特定条件２１０２ｂにおける「疑義期間の最後」から過去に遡って、外部入力ログ２２０１ａを検索する期間を指定するものである。本実施の形態では、過去に遡る日数を「３１日」とする。外部入力ファイル特定部１１０２ａは、ファイル追跡システム１の記憶装置に記憶された“過去に遡る日数”を入力する。例えば、外部出力ファイル特定条件２１０２ｂにおける疑義期間の最後の日時を２０１０／１２／０１ １７：００：００とすると、２０１０／１２／０１ １７：００：００から３１日遡った日時は、２０１０／１０／３１ １７：００：００である。これにより“外部入力ログ検索期間”は、２０１０／１０／３１ １７：００：００を開始日時とし、２０１０／１２／０１ １７：００：００を終了日時として有する期間になる。
外部入力ファイル特定部１１０２ａは、外部入力ログ２２０１ａから、外部入力ログ検索期間のタイムスタンプ２１１を有し、端末Ａがファイルサーバからファイルをダウンロードしたとの操作内容を表す操作内容２１５を有する外部入力ログ２２０１ａを抽出する。なお、外部入力ログ検索期間は、後述するトレース対象期間（「トレース対象期間」は処理対象期間の一例である）以上、すなわち、トレース対象期間を含む期間を設定する。

【0038】

外部出力ログファイル取り込み部１１０１ｂは、外部出力ログファイル２１０１ｂとしてメールログファイルに記憶されたメールログを取り込む。
ファイル追跡システム１は、外部出力ログファイル２１０１ｂに記憶されたメールログがどのようなフォーマットで、どのような項目の情報を記憶しているかを表すフォーマット定義情報を、メールログファイルのファイル名に対応させて、ファイル追跡システム１が備える記憶装置に記憶しておく。外部出力ログファイル取り込み部１１０１ｂは、記憶装置に記憶されたフォーマット定義情報を入力し、入力したフォーマット定義情報に基づいて、外部出力ログファイル２１０１ｂから、操作コマンドと端末名との各項目に対応する情報を取得する。取得したメールログを外部出力ログ２２０１ｂとして外部出力ファイル特定部１１０２ｂへ出力する。本実施の形態では、メールログ及び外部出力ログ２２０１ｂは、“送信日時、送信元メールアドレス、あて先メールアドレス、添付ファイル名、添付ファイルサイズ”という項目を有する。外部出力ログ２２０１ｂは、図１８のログエントリ２１０の一例であり、外部入力ログ２２０１ａは、ログエントリ２１０が有する項目と同じ項目を有してもよいし、ログエントリ２１０が有する項目のうち一部の項目を有してもよい。具体的には、“送信日時”は、タイムスタンプ２１１の一例であり、“送信元メールアドレス、あて先メールアドレス、添付ファイル名、添付ファイルサイズ”は操作内容２１５に含まれた情報の一部である。

【0039】

外部出力ファイル特定部１１０２ｂは、外部出力ログ２２０１ｂから、外部出力ファイル特定条件２１０２ｂに基づき外部出力ファイル名２２０２ｂとファイル出力日時２２０３ｂを特定する。本実施の形態では、外部出力ファイル特定条件２１０２ｂに「疑義期間において、端末Ａのユーザが送信したメールの添付ファイルサイズが閾値を越えた場合」を指定する。“閾値”は数値であっても、数値を記憶したファイルのファイル名を指定してもよい。外部出力ファイル特定部１１０２ｂは、上記した指定がされた外部出力ファイル特定条件２１０２ｂを入力した場合、“送信日時が疑義期間であり、かつ、送信元メールアドレス＝端末Ａのユーザのメールアドレス、かつ、添付ファイルサイズが閾値を超えた”との条件を満たすメールログを抽出し、抽出したメールログから、添付ファイル名と送信日時（タイムスタンプ）を取り出す。外部出力ファイル特定部１１０２ｂは、外部出力ファイル名２２０２ｂに、取り出した添付ファイル名を設定する。外部出力ファイル特定部１１０２ｂは、ファイル出力日時２２０３ｂに、取り出した添付ファイルのメールによる送信日時（タイムスタンプ）を設定する。
“疑義期間”とは、端末Ａからの機密ファイルの外部送出が疑われる期間であり、本実施の形態では、２０１０／１２／１ ０９：００：００から２０１０／１２／１ １７：００：００の８時間を疑義期間とする。疑義期間は、ファイル追跡システム１が備える記憶装置にあらかじめ記憶されている。例えば、疑義期間は、端末Ａからメールによるファイル漏洩が疑われ、漏洩した期間が推測された場合にメールサーバの管理者やファイル追跡システム１の運用者によりファイル追跡システム１が備える記憶装置に記憶される。また、例えば、メールサーバの管理者は、機密ファイルがファイルサーバにより機密ファイルとして管理されているが、機密ファイルを本来アクセスすることができない外部組織へメールに添付されて送信されることが発生したか否か確認するために、定期的に、送信されたメールを確認する期間を疑義期間としてファイル追跡システム１が備える記憶装置に記憶する。外部出力ファイル特定条件２１０２ｂに指定される“疑義期間”は、ファイル追跡システム１の記憶装置に記憶された疑義期間を記憶したファイルのファイル名を指定する。
外部出力ファイル特定部１１０２ｂは、２０１０／１２／１ ０９：００：００から２０１０／１２／１ １７：００：００の疑義期間のタイムスタンプを有するメールログから、“送信元メールアドレス＝端末Ａのユーザのメールアドレス、かつ、添付ファイルサイズが閾値を超えた”との条件を満たすログエントリを抽出し、外部出力ファイル名２２０２ｂに添付ファイル名を設定し、ファイル出力日時２２０３ｂに送信日時を設定し、出力する。本実施の形態では、２０１０／１２／１ ０９：３０：００を記憶したタイムスタンプを有するメールログが発見されたとする。ファイル出力日時２２０３ｂは２０１０／１２／１ ０９：３０：００に設定される。

【0040】

操作ログファイル取り込み部１１０３は、端末Ａの操作ログファイル２１０３から、あらかじめ運用者により定義され、ファイル追跡システム１の記憶装置に記憶されたログエントリのファイルフォーマットに従いログエントリを取り出し、操作ログ２２０４として出力する。本実施の形態では、“タイムスタンプ、ユーザ識別子、端末識別子、ファイル名、ファイル操作内容、アプリケーション名”というフォーマットで出力する。操作ログファイル２１０３に記憶されたログエントリは、図１８の項目を有するものとする。“タイムスタンプ”はタイムスタンプ２１１、“端末識別子”は端末名２１２、“ファイル名”は操作内容２１５に記憶された情報の一部、“ファイル操作内容”は操作内容２１５、“アプリケーション名”はアプリケーション名２１６であり、“ユーザ識別名”は、図１８には図示していないが、操作内容２１５に含まれて記憶されているものとする。操作ログファイル取り込み部１１０３は、操作ログファイル２１０３からログエントリを取り出す際に、処理対象期間２１０８の期間に操作されたことを表すログエントリを操作ログ２２０４として抽出し、抽出した操作ログ２２０４を処理対象ログ記憶部１１０９に記憶する。処理対象期間は、期間入力部１１０８により入力されて、ファイル追跡システム１が備える記憶装置に記憶されている。処理対象期間及び期間入力部１１０８については、トレース部１１０４の説明において詳細を説明する。

【0041】

トレース部１１０４は、トレース開始条件２１０４、トレース条件２１０５、トレース終了条件２１０６、処理対象期間２１０８を入力する（図２では、処理対象期間２１０８とトレース部１１０４とを結ぶ線の記載を省略している）。
トレース開始条件２１０４は、本実施の形態ではトレースバックのモードで動くことを指示する情報を指定する。
トレース条件２１０５は、コピーアンドペーストファイル特定部１１０６により、「外部出力ファイル名２２０２ｂと同じ拡張子のファイルを追跡候補とする」という動作を行うことを指示する情報を指定する。例えば、外部出力ファイル名２２０２ｂがａｂｃ．ｃｓｖであれば、上記した情報がトレース条件２１０５として指示された場合、コピーアンドペーストファイル特定部１１０６は、拡張子が．ｃｓｖであるファイルを追跡候補とするよう動作する。
トレース終了条件２１０６は、本実施の形態では「外部出力ファイルをトレースした結果、ファイルサーバ由来である場合に終了する」という条件を、より具体的に、「外部出力ファイルをトレースした結果、ファイルサーバからダウンロードされたファイルに辿りついたら終了」という条件として指定する。

【0042】

処理対象期間２１０８は、期間入力部１１０８が入力装置により入力した開始期間及び終了期間を有する期間である。期間入力部１１０８は、ファイル追跡システム１の運用者がマウスやキーボード等の入力装置から入力した期間を処理対象期間として、ファイル追跡システム１が備える記憶装置に記憶する。トレース部１１０４は、ファイル追跡システム１が備える記憶装置に記憶された処理対処期間を、トレース終了条件の１つとして入力する。

【0043】

ここで、トレースを行う処理対象期間、疑義期間、外部入力ログ検索期間の関係を説明する。図５は、ファイル追跡システムで使用する各種期間を説明する図である。
図５において、疑義期間は、既に説明したように、例えば、端末Ａからメールによるファイル漏洩が疑われ、漏洩した期間が推測された場合にメールサーバの管理者やファイル追跡システム１の運用者によりファイル追跡システム１が備える入力装置により入力され、記憶装置に記憶される。疑義期間は、外部出力ファイル特定部１１０２ｂが抽出の対象とするメールログをしぼり込むための期間である。上記した例では、２０１０／１２／０１ ９：００：００から２０１０／１２／０１ １７：００：００を疑義期間とする。
外部入力ログ検索期間は、外部入力ファイル特定部１１０２ａが抽出の対象とするファイルサーバログをしぼり込むための期間である。外部入力ログ検索期間は、“疑義期間の最終日時”からファイル追跡システム１が備える記憶装置に予め記憶された“過去に遡る日数”を遡った日時を開始日時とし、“疑義期間の最終日時”を終了日時とする期間である。例えば、メールに添付されて送信された添付ファイルの生成元ファイルがどのファイルであるか追跡する場合、追跡するログエントリの範囲を指定するのが、処理対象期間であり、ダウンロードは処理対象期間の開始日時よりも前に行われていると考える。このため、処理対象期間の開始日時以前の日時を、外部入力ログ検索期間の開始日時とする。また、添付ファイルを送信する直前にダウンロードされるとも考える。このため、メール送信がされたと疑う疑義期間の終了日時を、外部入力ログ検索期間の終了日時とする。
外部入力ファイル特定部１１０２ａは、ファイル追跡システム１が備える記憶装置に予め記憶された疑義期間の最終日時からファイル追跡システム１が備える記憶装置に予め記憶された過去に遡る日数を遡った日時を算出し、外部入力ログ検索期間の開始日時とする。外部入力ファイル特定部１１０２ａは、ファイル追跡システム１が備える記憶装置に予め記憶された疑義期間の最終日時を入力し、外部入力ログ検索期間の終了日時とする。
処理対象期間は、トレース部１１０４がトレース対象（処理対象）とするログエントリをしぼり込むための期間である。ファイル追跡システム１の運用者は、処理対象期間２１０８を入力する際、外部入力ログ検索期間に含まれる期間を入力する。この実施の形態では、メールに添付された添付ファイル、すなわち、外部出力ファイル名２２０２ｂのファイルを生成した元ファイルを追跡するので、処理対象期間の終了日時は、添付ファイルが送信された日時であるファイル出力日時２２０３ｂとすればよい。期間入力部１１０８は、ファイル出力日時２２０３ｂを外部出力ファイル特定部１１０２ｂから入力し、入力したファイル出力日時２２０３ｂを処理対象期間２１０８の終了日時とする。運用者から入力された終了日時よりも優先して、ファイル出力日時２２０３ｂを処理対象期間２１０８の終了日時とする場合、運用者は終了日時として「００００／００／００」等の、日時としてあり得ない文字列を入力する。外部出力ファイル名２２０２ｂのファイルがファイルサーバからダウンロードされたファイルを元に生成されたファイルであれば、外部出力ファイル名２２０２ｂのファイルは、ファイル入力日時２２０３ａ以後に生成されたことが推測できる。期間入力部１１０８は、ファイル入力日時２２０３ａを外部入力ファイル特定部１１０２ａから入力し、入力したファイル入力日時２２０３ａを処理対象期間２１０８の開始日時とする。運用者から入力された開始日時よりも優先して、ファイル入力日時２２０３ａを処理対象期間２１０８の開始日時とする場合、運用者は開始日時として「００００／００／００」等の、日時としてあり得ない文字列を入力する。期間入力部１１０８は、日時としてあり得ない日時が入力装置から入力されたら、ファイル入力日時２２０３ａやファイル出力日時２２０３ｂを入力する。また、ファイル入力日時２２０３ａが複数入力された場合、最も日時が古いファイル入力日時２２０３ａを開始日時とする。
なお、疑似期間内に端末Ａから添付ファイルを送信したメールが複数あると、外部出力ファイル特定部１１０２ｂは、外部出力ファイル名２２０２ｂ、ファイル出力日時２２０３ｂを複数出力する。このように複数出力された場合は、例えば、ファイル外部出力ファイル名２２０２ｂ、ファイル出力日時２２０３ｂとの組のうちファイル出力日時２２０３ｂが最も古いものから順にトレース部１１０４に出力して、トレースを行わせる。１つの組についてトレースが終了したら、次にファイル出力日時２２０３ｂが古い組をトレース部１１０４に出力してトレースを行わせる。

【0044】

トレース部１１０４は、トレース対象期間のタイムスタンプを有するログエントリ２１０を記憶した処理対象ログ記憶部１１０９から、タイムスタンプの新しい順にログエントリ２１０を入力してトレースする。

【0045】

トレース部１１０４では、まず、外部出力ファイル特定部１１０２ｂの出力である外部出力ファイル名２２０２ｂを入力するが、これをトレース対象ファイル名として設定する（トレース対象ファイル名は処理対象ファイル名の一例である。すなわち、メールに添付された添付ファイルが処理対象ファイルの一例である）。トレース対象ファイル名は、トレース対象ファイル名で識別されるファイルのデータが機密ファイル由来か（機密ファイルを元に生成されたファイルであるか）調査する対象であり、本実施の形態では、ファイルサーバからダウンロードされたファイル（ファイルサーバで記憶及び管理されているファイルは機密ファイルであるとする）に由来するか、すなわち、ダウンロードされたファイルを元に生成されたか調査する対象である。次に、処理対象期間２１０８をトレース対象期間として入力し、処理対象期間２１０８が有する開始日時をトレース開始日時に設定し、処理対象期間２１０８が有する終了日時をトレース終了日時に設定する。本実施の形態では、ファイル入力日時２２０３ａ＝２０１０／１１／１ ０９：３０：００＝トレース開始日時となり、ファイル出力日時２２０３ｂ＝２０１０／１２／１ ０９：３０：００＝トレース終了日時となる。

【0046】

トレース部１１０４の動作の詳細を説明する。なお、以下の説明では、判定結果をアルファベット小文字のｙｅｓ、ｎｏと記載するが、フローチャート図では、アルファベット大文字のＹＥＳ，ＮＯとして記載する。他の実施の形態でも同様とする。以下の説明では、フローチャート図の説明において、各工程の番号を小文字のｓとして記載したものを、フローチャート図では、大文字のＳと記載した。
図６は、トレース部及びコピーアンドペーストファイル特定部のブロック図である。
図７はトレース部の動作を説明するフローチャートである。
図６に示すように、トレース部１１０４は、転送判定部１１１４と変遷判定部１１２４を備える。転送判定部１１１４は、外部出力ファイル名２２０２ｂのファイルが、外部入力ファイル名２２０２ａのファイルであるか否か判定する。すなわち、添付ファイルのファイル名がダウンロードファイルのファイル名と一致するか否か判定する。変遷判定部１１２４は、外部出力ファイル名２２０２ｂのファイルが、外部入力ファイル名２２０２ａのファイルが記憶する情報をそのまま変更せずに外部出力ファイル名２２０２ｂのファイルに引き継いで、外部出力ファイル名２２０２ｂのファイルを生成する変遷操作により生成されたか否か判定する。転送判定部１１１４と変遷判定部１１２４との各部動作の詳細は、図７のフローチャートの説明の中で述べる。

【0047】

初めに、トレース対象期間について説明する。トレース対象期間は、トレース開始日時からトレース終了日時の間の期間である。トレース終了日時＝２０１０／１２／１ ０９：３０：００、トレース開始日時＝２０１０／１１／１ ０９：３０：００である。つまり、トレース対象期間は、トレース開始日時＝２０１０／１１／１ ０９：３０：００からトレース終了日時＝２０１０／１２／１ ０９：３０：００の期間である。
以降、当フローチャートにおけるログとは、トレース対象期間のログエントリを示す。

【0048】

ｓ１０１を行う前に、トレース部１１０４は、後述するｓ１０６で設定する最終トレース対象ファイル名２２０６に初期値を設定する。トレース部１１０４は、最終トレース対象ファイル名２２０６に初期値として外部出力ファイル名２２０２ｂを設定する。すなわち、トレース部１１０４は、最終トレース対象ファイル名２２０６に初期値としてトレース対象ファイル名を設定する。また、トレース部１１０４は、後述するｓ１０７で設定する最終変遷日時２２０５ａに初期値を設定する。トレース部１１０４は、最終変遷日時２２０５ａに初期値としてファイル出力日時２２０３ｂを設定する。すなわち、トレース部１１０４は、最終変遷日時２２０５ａに初期値としてトレース対象ファイル名のファイルがメールに添付されて送信された日時を設定する。
ｓ１０１において、トレース部１１０４は、トレース対象ファイル名で識別されるファイルが、トレース終了条件２１０６に指定された「外部出力ファイルをトレースした結果、ファイルサーバからダウンロードされたファイルに辿りついたら終了」という条件に合うか調べる。この条件は、トレース対象ファイル名がファイルサーバからダウンロードされたファイルのファイル名であるか、という条件である。
既に、外部入力ファイル特定部１１０２ａにより、端末Ａが外部入力ログ検索期間にファイルサーバからダウンロードしたダウンロードファイルのダウンロードファイル名が外部入力ファイル名２２０２ａとして判明している。判明しているダウンロードファイル名とトレース対象ファイル名とが一致するか比較する。
一致した場合は、トレース部１１０４は、この時点で処理を終了する。トレース部１１０４は、終了する際、判定結果２２０７として、外部出力ファイルはファイルサーバ由来であることを示す結果を出力する。例えば、外部出力ファイルがファイルサーバ由来であることを示す数値コードやメッセージを出力する。
ｓ１０１の処理は、トレース部１１０４、特にトレース部１１０４の転送判定部１１１４が行う転送判定処理である。

【0049】

ｓ１０１において、トレース部１１０４は、トレース対象ファイル名が外部入力ファイル名２２０２ａと一致しない場合、ｓ１０３に進む。
ｓ１０３では、トレース部１１０４は、処理対象ログ記憶部１１０９から読み込むログエントリが残ってないか判定する。残ってない場合、トレース部１１０４は、判定結果２２０７として、外部出力ファイルはファイルサーバ由来であるか判定できなかったことを示す結果を出力し、ｓ１０９へ進む。残ってたらトレース部１１０４は、ｓ１０４へ進む。
ｓ１０４では、処理対象ログ記憶部１１０９に記憶されたログエントリを逆方向、すなわち、タイムスタンプの新しいものから古いものに向かって順に読む。通常、エントリログは、時系列に古いログエントリから新しいログエントリの順に記録されるが、本実施の形態はトレースバックであるため、ログを逆方向に辿ることになる。
ログエントリには、ファイル操作に関する記録があり、“タイムスタンプ、ユーザ識別子、端末識別子、ファイル名、ファイル操作内容、アプリケーション名”との項目を有する。図１８に示すログエントリ２１０が処理対象ログ記憶部１１０９に記憶されたログエントリのフォーマットである。なお、図１８にはユーザ識別子に対応するユーザ名の項目がないが、端末名２１２の後ろにあるものとする。また、図１８ファイル名に対応する項目はないが、ファイル名は操作内容２１５に含まれるものとする。

【0050】

ｓ１０５において、トレース部１１０４は、ログエントリが変遷操作を表すか否か判定する。変遷操作とは、ファイルのリネーム、ファイルのコピー、ファイルの移動、のいずれかのファイル操作により、元のファイルに記憶された情報をそのまま変更せずに全て別の新たなファイルに引き継いで、新たなファイルを生成する操作である。トレース部１１０４は、変遷操作が、読み込んだログエントリに記録されているか確認する。
変遷操作の判定は、ログエントリの操作内容に記録された変遷後のファイル名が、トレース対象ファイル名か判定する。リネーム、コピー、移動の変遷操作においては、変遷操作前のファイル名（パスを含む）と変遷操作後のファイル名（パスを含む）が操作内容２１５に記録される。トレース部１１０４は、トレース対象ファイル名がファイル名のみでパスを含まない場合は、変遷後のファイル名（パスを含む）に、トレース対象ファイル名が含まれるか判定する。具体的には、トレース対象ファイル名が、ａａａ．ｄｏｃであり、変遷後のファイル名がｃ：￥ｗｏｒｋ￥ａａａ．ｄｏｃであると、変遷後のファイル名にトレース対象ファイル名が含まれる。すなわち、変遷後のファイル名のパス名を除く部分のファイル名がトレース対象ファイル名と一致する。この場合、トレース部１１０４は、変遷後のファイル名とトレース対象ファイル名とが一致すると判定する。別の例として、トレース対象ファイル名が、ａａｂ．ｄｏｃであり、変遷後のファイル名がｃ：￥ｗｏｒｋ￥ａａａ．ｄｏｃであると、変遷後のファイル名にトレース対象ファイル名が含まれない。すなわち、変遷後のファイル名のパス名を除く部分のファイル名がトレース対象ファイル名と一致しない。この場合、トレース部１１０４は、変遷後のファイル名とトレース対象ファイル名とが一致しないと判定する。
トレース部１１１０４は、トレース対象ファイル名がファイルのパスを含む場合は、そのパスも含めて、ログエントリ上の変遷後のファイル名（パスを含む）との一致を判定する。具体的には、トレース対象ファイル名が、ｃ：￥ｗｏｒｋ￥ａａａ．ｄｏｃであり、変遷後のファイル名がｃ：￥ｗｏｒｋ￥ａａａ．ｄｏｃであると、変遷後のファイル名がレース対象ファイル名と一致する。この場合、トレース部１１０４は、変遷後のファイル名とトレース対象ファイル名とが一致すると判定する。別の例として、トレース対象ファイル名が、ｃ：￥ｔｅｓｔ￥ａａａ．ｄｏｃであり、変遷後のファイル名がｃ：￥ｗｏｒｋ￥ａａａ．ｄｏｃであると、パス名を含む変遷後のファイル名がパス名を含むレース対象ファイル名と一致しない。この場合、トレース部１１０４は、変遷後のファイル名とトレース対象ファイル名とが一致しないと判定する。
トレース部１１０４は、一致することを判定した場合、ｓ１０６へ進む。一致しないことを判定した場合、ｓ１０３へ戻る。

【0051】

変遷操作を表すログエントリの操作コマンドと操作内容２１５との一例は以下である。
・リネーム
操作コマンド ： リネーム
ファイル操作内容 ： リネーム リネーム前＝”ｃ：￥ｗｏｒｋ￥ｔｅｓｔ１．ｄｏｃ” リネーム後＝”ｃ：￥ｗｏｒｋ￥ｔｅｓｔ２．ｄｏｃ”
リネーム前が変遷前、リネーム後が変遷後である。
・コピー
操作コマンド ： コピー
ファイル操作内容 ： コピー コピー元＝”ｃ：￥ｗｏｒｋ￥ｔｅｓｔ１．ｄｏｃ” コピー先＝”ｃ：￥ｗｏｒｋ￥ｔｅｓｔ２．ｄｏｃ”
コピー元が変遷前、コピー後が変遷後である。
・移動
操作コマンド ： 移動
ファイル操作内容 ： 移動 移動前＝”ｃ：￥ｗｏｒｋ￥ｔｅｓｔ１．ｄｏｃ” 移動後＝”ｃ：￥ｗｏｒｋ２￥ｔｅｓｔ１．ｄｏｃ”
移動前が変遷前、移動後が変遷後である。
上記した変遷操作を表す操作コマンドが操作コマンド２１４に記憶され、かつ、ログエントリの操作内容に変遷後のファイル名が、トレース対象ファイル名で記憶され、かつ、上記したファイル名の判定において一致するとの判定がされていれば、トレース部１１０４は、ｓ１０５の判定において、ｙｅｓと判定する。
トレース部１１０４は、ｙｅｓの場合はｓ１０６に移行する。ｎｏの場合はｓ１０３に戻る。

【0052】

ｓ１０６では、変遷操作に応じてトレース対象ファイルを再設定し、さらに、最終トレース対象ファイル名２２０６を設定する。
・操作コマンドがリネームの場合
現在のトレース対象ファイル名はリネーム後のファイル名であるから、リネーム前のパスを含んだファイル名をトレース対象ファイル名に再設定し、リネーム前のパスを含んだファイル名を最終トレース対象ファイル名２２０６に設定する。
・操作コマンドがコピーの場合
現在のトレース対象ファイル名はコピー先のファイル名であるから、コピー元のパスを含んだファイル名をトレース対象ファイル名に再設定し、コピー元のパスを含んだファイル名を最終トレース対象ファイル名２２０６に設定する。
・操作コマンドが移動の場合
現在のトレース対象ファイル名は移動後のファイル名であるから、移動前のパスを含んだファイル名をトレース対象ファイル名に再設定し、移動前のパスを含んだファイル名を最終トレース対象ファイル名２２０６に設定する。

【0053】

最初にｓ１０６を処理する場合、トレース対象ファイル名は、ファイル名のみで、ファイルパスは無い場合がある。これは、メールログであれば、添付ファイル名はわかっても、端末Ａ上のどのパスのファイルかは記録されていないからである。変遷操作に関するログエントリには、ファイルのパスも含まれるため、変遷前のファイルについてはファイルのパスも取得することができる。従って、２回目以降のｓ１０６の処理では、トレース対象ファイル名はパスを含んだファイル名となる。

【0054】

次に、ｓ１０７において、トレース部１１０４は、変遷操作が発生した日時（ログエントリのタイムスタンプ）を最終変遷日時２２０５ａに設定する。具体的には、トレース部１１０４は、ｓ１０５でｙｅｓと判定したログエントリのタイムスタンプ２１１を、最終変遷日時２２０５ａに設定する。

【0055】

ｓ１０８において、トレース部１１０４は、現在のトレース対象ファイル名で識別されるファイルが、トレース終了条件２１０６に指定された「外部出力ファイルをトレースした結果、ファイルサーバからダウンロードされたファイルに辿りついたら終了」という条件に合うか調べる。その方法は、ｓ１０１と同じである。
ｓ１０８において、トレース部１１０４は、現在のトレース対象ファイル名で識別されるファイルがファイルサーバからダウンロードされたファイルであると判定した場合（ｙｅｓ）、処理を終了する。この場合、トレース部１１０４は、判定結果２２０７として、外部出力ファイルはファイルサーバ由来であることを示す結果を出力する。ｓ１０８において、トレース部１１０４は、トレース対象ファイル名で識別されるファイルがファイルサーバからダウンロードされたファイルであると判定できなかった場合（ｎｏ）、ｓ１０３に戻る。
トレース部１１０４の処理はここまでである。上記ｓ１０３からｓ１０８は、トレース部１１０４、特にトレース部１１０４の変遷判定部１１２４が行う変遷判定処理である。

【0056】

トレース部１１０４が、判定結果２２０７として、外部出力ファイルはファイルサーバ由来であるか判定できなかったことを示す結果を出力した場合、トレース結果判断部１１０５はこの判定結果２２０７を入力し、コピーアンドペーストファイル特定部１１０６に対して、コピーアンドペースト調査指示２２０８を出力する。外部出力ファイルはファイルサーバ由来であるか判定できなかったことを示す結果とは、すなわち、メールで送信された添付ファイルが、ファイルサーバからダウンロードされたファイルであるか判定できなかったが、いずれのファイルをコピー元ファイルとして生成されていることが推定できる候補ファイルがあることを表している。
また、トレース部１１０４が、判定結果２２０７として外部出力ファイルはファイルサーバ由来であることを示す結果を出力した場合、トレース結果判断部１１０５はこの判定結果２２０７を入力し、トレース結果２１０７として、「外部出力ファイルはファイルサーバ由来であった」という結果を表すメッセージを出力する。この結果は、表示装置のディスプレイにメッセージとして表示するなど、人間が見て分かる情報で表現する。

【0057】

ｓ１０９は、図７の変遷判定処理だけでは、外部出力ファイルがファイルサーバ由来であることを発見できなかった場合、さらにログエントリを追跡する処理である。ｓ１０９の処理は、コピーアンドペーストファイル特定部１１０６で処理される。ｓ１０９ではファイル操作ログには現れないコピーアンドペースト操作について判定し、メールで送信された添付ファイルが、ファイルサーバからダウンロードされたファイルであることを判定できなかったが、いずれのファイルをコピー元ファイルとして生成されていることが推定され、元ファイルとして推定されるファイルが複写及び貼り付け（コピーアンドペースト）操作によって生成されたか否か、さらに、ログエントリを追跡する処理である。
コピーアンドペーストファイル特定部１１０６は、コピーアンドペースト調査指示２２０８を受け、フローチャート図８，図９の処理を行う。コピーアンドペーストファイル特定部１１０６は、図６に示すようにしぼり込み期間取得部１１１６，追跡候補生成部１１２６を備える。しぼり込み期間取得部１１１６は、推定した元ファイルを追跡するために、ログエントリをしぼり込むための期間を求める。追跡候補生成部１１２６は、しぼり込み期間取得部１１１６が求めたしぼり込み期間に、最終トレース対象ファイル名２２０６ｂのファイルを生成した元ファイルを判定する。
図８は、コピーアンドペーストファイル特定部１１０６及び追加トレース判断部１１０７の動作を示すフローチャートである。図９は、コピーアンドペーストファイル特定部１１０６のしぼり込み期間取得部１１１６の動作を示すフローチャートである。

【0058】

コピーアンドペーストファイル特定部１１０６は、トレース結果判断部１１０５からコピーアンドペースト調査指示２２０８を入力すると、処理対象ログ記憶部１１０９から操作ログ２２０４を入力し、最終変遷日時２２０５ａ、トレース開始日時２２０５ｂ、トレース終了日時２２０５ｃ、最終トレース対象ファイル名２２０６を、トレース部１１０４から入力する。トレース開始日時２２０５ｂ、トレース終了日時２２０５ｃは、処理対象期間であるため、記憶装置に記憶された処理対象期間２１０８を入力しても良い。
最終トレース対象ファイル名２２０６は、しぼり込み期間取得部１１１６が入力する処理対象ファイル名の一例である。最終変遷日時２２０５ａは、しぼり込み期間取得部１１１６が入力する処理対象日時の一例である。

【0059】

図８において、まず、コピーアンドペーストファイル特定部１１０６は、最終トレース対象ファイル名２２０６で識別されるファイル（最終トレース対象ファイル）に対するオープン・保存日時の特定を行う（ｓ２０１）。具体的には、図９のフローチャートに従う。
図９において、コピーアンドペーストファイル特定部１１０６は、トレース対象ファイルオープン日時という変数をＮＵＬＬに設定する。また、トレース対象ファイル保存日時という変数をＮＵＬＬに設定する。（ｓ３０１）。

【0060】

次に、ｓ３０４において、コピーアンドペーストファイル特定部１１０６は、処理対象ログ記憶部１１０９から読み込むログエントリが残ってないか判定し、残ってる場合（ｎｏ）、ｓ３０３へ戻る。残ってない場合（ｙｅｓ）、処理を終了する。
ｓ３０３において、コピーアンドペーストファイル特定部１１０６は、処理対象ログ記憶部１１０９からログエントリを逆方向（タイムスタンプの新しいものから古いものの順）に一つ入力する。このとき、ログエントリ２１０のタイムスタンプがトレース開始日時２２０５ｂから最終変遷日時２２０５ａであるログエントリ２１０を入力する。

【0061】

次に、ｓ３０５において、コピーアンドペーストファイル特定部１１０６は、入力したログエントリの操作コマンド２１４が、ファイルを記憶する操作を記録し、操作内容２１５に、最終トレース対象ファイル名２２０６で識別されるファイルが保存された記録があるか判定する。あることを判定した場合（ｙｅｓ）、ｓ３０６に移行する。ｎｏであれば、ｓ３０４に戻る。

【0062】

ｓ３０６では、コピーアンドペーストファイル特定部１１０６は、ｓ３０５でｙｅｓと判定されたログエントリ２１０のタイムスタンプ２１１を、トレース対象ファイル保存日時（保存日時の一例）に設定する。
ｓ３０８において、コピーアンドペーストファイル特定部１１０６は、処理対象ログ記憶部１１０９から読みこむログエントリが残ってないか判定し、残ってる場合（ｎｏ）、ｓ３０７へ進む。残ってない場合（ｙｅｓ）、処理を終了する。
次に、ｓ３０７において、コピーアンドペーストファイル特定部１１０６は、ログを逆方向に一つ入力する。

【0063】

次に、ｓ３０９において、コピーアンドペーストファイル特定部１１０６は、入力したログエントリの操作コマンドにファイルを開く操作の操作コマンドが記録され、操作内容２１５に最終トレース対象ファイル名２２０６で識別されるファイルがオープンされたことが記録されているか判定する。記録されていれば（ｙｅｓ）、ｓ３１０に移行する。記録されていなければ（ｎｏ）、ｓ３０８に戻る。

【0064】

ｓ３１０では、コピーアンドペーストファイル特定部１１０６は、ｓ３０９でｙｅｓと判定されたログエントリ２１０のタイムスタンプ２１１を、トレース対象ファイルオープン日時（オープン日時の一例）に設定する。
上記したｓ２０１（ｓ３０１からｓ３１０）の処理は、コピーアンドペーストファイル特定部１１０６が行う。特に、コピーアンドペーストファイル特定部１１０６のしぼり込み期間取得部１１１６が行うしぼり込み期間取得処理である。

【0065】

このように図９のフローチャートに従うことで、トレース開始日時から最終変遷日時までの期間に、最終トレース対象ファイル名で識別されるファイルのオープン或いは保存の日時がわかる。両方とも発生していない場合は、トレース対象ファイルオープン日時もトレース対象ファイル保存日時も設定されず、初期値すなわちＮＵＬＬである。

【0066】

図８に戻る。次に、ｓ２０２において、コピーアンドペーストファイル特定部１１０６は、トレース対象候補ファイル名（追跡候補ログの一例）の特定を行う。トレース対象候補ファイル名とは、ファイルに記憶された情報をコピーし、コピーした情報を最終トレース対象ファイル名２２０６で識別されるファイルへペーストした、そのコピー元となったと推定されるファイルのファイル名である。
ｓ２０２の処理を、図１０を用いて説明する。図１０は、コピーアンドペーストファイル特定部１１０６の追跡候補生成部１１２６の動作を示すフローチャートである。

【0067】

まず、ｓ４０１において、コピーアンドペーストファイル特定部１１０６は、トレース対象ファイルオープン日時＝ＮＵＬＬ又はトレース対象ファイル保存日時＝ＮＵＬＬを判断する。これは、トレース開始日時から最終変遷日時までの期間に、最終トレース対象ファイル名で識別されるファイルのオープンと保存が発生したかの確認である。ｙｅｓの場合、コピーアンドペーストファイル特定部１１０６は、処理を終了する。ｎｏの場合、コピーアンドペーストファイル特定部１１０６はｓ４０２に移行する。

【0068】

ｓ４０２では、コピーアンドペーストファイル特定部１１０６は、トレース対象ファイルオープン日時からトレース対象ファイル保存日時までのしぼり込み期間のログエントリ２１０を処理対象ログ記憶部１１０９から順次入力する。具体的には、コピーアンドペーストファイル特定部１１０６は、ログエントリ２１０のタイムスタンプ２１１が、しぼり込み期間であるログエントリを順次入力する。

【0069】

次に、ｓ４０３では、コピーアンドペーストファイル特定部１１０６は、ｓ４０２で入力したログエントリ２１０が、以下の条件に合致することが判定し、合致することを判定したログエントリ２１０を追跡候補ログとしてトレース対象候補ファイルリスト２２１１（ファイル追跡システム１が備える記憶装置が記憶するファイルの一例）に記憶する。
・操作内容２１５に最終トレース対象ファイル名２２０６と拡張子が同じであるファイル名が記録されている（トレース条件２１０５を参照することによる）
・操作コマンド２１４に、ファイルを開く（オープンする）か、ファイルを閉じる（クローズ）のいずれかを行っている操作が記録されている
上記条件に合致するか判定することにより、コピーアンドペーストファイル特定部１１０６は、最終トレース対象ファイル名２２０６で識別されるファイルをオープンしてから保存する間に、別途オープンしていた別の同種類のファイルの有無を判定し、ファイルが有る場合は、判定できたログエントリを追跡候補ログとしてトレース対象候補ファイルリスト２２１１に追加する。追跡候補ログが有する操作内容２１５に含まれたファイル名であって、合致することが判定されたファイルのファイル名をトレース対象候補ファイル名（類似ファイル名の一例）とする。
最終トレース対象ファイル名２２０６で識別されるファイルをオープンしてから保存する間に、別途同種類のファイルをオープンしていた場合、その別ファイルから最終トレース対象ファイル名２２０６にコピーアンドペーストが発生した可能性があるため、それらをトレース対象の候補ファイルとして扱う。また、複数存在する可能性があるため、リスト化（ファイル化）する。
図８のｓ２０２は、コピーアンドペーストファイル特定部１１０６が行う。特に、コピーアンドペーストファイル特定部１１０６の追跡候補生成部１１２６が行う追跡候補生成処理である。

【0070】

図８に戻る。
ｓ２０３では、コピーアンドペーストファイル特定部１１０６は、トレース対象候補ファイルリスト２２１１が空か調べる。空の場合（ｙｅｓ）、コピーアンドペーストファイル特定部１１０６は、処理を終了する。この場合、コピーアンドペーストファイル特定部１１０６は、「コピー元ファイルの特定無しを示す結果」を特定結果２２０９として出力する。
追加トレース判断部１１０７（追加追跡ログ判定部の一例）は、特定結果２２０９を入力し、特定結果２２０９が「コピー元ファイルの特定無しを示す結果」を表す場合、処理を終了し、表さない場合、ｓ２０４に移行する。

【0071】

ｓ２０４では、追加トレース判断部１１０７（追加追跡ログ判定部の一例）が、トレース対象候補ファイルリスト２２１１の先頭から順に、追跡候補ログを入力する。

【0072】

次に、ｓ２０５において、追加トレース判断部１１０７は、トレース対象候補ファイル名で識別されるファイルがトレース対象として妥当か判定する。
判定する方法として、以下がある。
・「トレース対象候補ファイル名で識別されるファイル」と「最終トレース対象ファイル名２２０６で識別されるファイル」の類似性を調べる。類似していれば妥当と判断する。類似性の判定方法は公知のファイル類似性比較技術を用いればよい。
例えば、
・トレース対象候補ファイル名で識別されるファイルに、予め設定した機密ファイルを示す用語が含まれているか検索する。含まれていれば、妥当と判断する。機密ファイルを示す用語は、ファイルサーバのファイルに含まれる用語とする。
・「トレース対象候補ファイル名で識別されるファイル」の内容である追跡候補情報をトレース対象候補ファイル名で識別されるファイルから入力し、「最終トレース対象ファイル名２２０６で識別されるファイル」の内容である生成元情報を最終トレース対象ファイル名２２０６で識別されるファイルから入力する。生成元情報と追跡候補情報とがどのぐらい一致するか表す類似度を算出し、算出した類似度とあらかじめファイル追跡システム１の記憶装置に記憶された閾値（類似閾値）とを比較し、類似度が閾値より大きいことを判定した場合、妥当と判断する。具体的には、生成元情報が「ＡＢＣＤＥＦＧ」という７つの文字列であり、追跡候補情報が「ＸＹＺＡＢＣＤＥＦＧ１２３４５」という１５個の文字列であるとすると、追跡候補情報には生成元情報がすべて含まれ、追跡候補情報の１５個の文字列のうち７文字が生成元情報と一致するので、類似度は、７／１５×１００より約４７％と求められる。閾値が４０％であると、追加トレース判断部１１０７は妥当と判断する。閾値が６０％であると、追加トレース判断部１１０７は妥当でないと判断する。

【0073】

ｓ２０６において、追加トレース判断部１１０７は、トレース対象候補ファイル名で識別されるファイルがトレース対象として妥当と判断した場合は、ｓ２０７に移行する。妥当ではないと判断した場合は、ｓ２０８へ移行する。

【0074】

ｓ２０７では、追加トレース判断部１１０７は、妥当と判断したトレース対象候補ファイル名を含むログエントリ２１０を追加追跡ログとして追加トレース対象ファイルリスト２２１０ａ（追加追跡ログ記憶部の一例）に追加する。追加追跡ログが有する操作内容に含まれたファイル名であって、妥当と判断されたトレース対象候補ファイル名を追加トレース対象ファイル名２２１０ｂとする。

【0075】

ｓ２０８では、追加トレース判断部１１０７は、トレース対象候補ファイルリスト２２１１に記憶されたすべての追跡候補ログについて処理を行ったか判定する。すべての追跡候補ログについて処理を行ったと判定した場合、追加トレース判断部１１０７は、処理を終了する。
終了する際、追加トレース対象ファイルリストが空であれば、トレース結果２１０７としてコピー元ファイルの特定無しを示す結果を出力する。空でなければ、トレース結果２１０７としてコピー元ファイルの特定有りを示す結果を出力する。
追加トレース判断部１１０７は、すべての追跡候補ログについて処理を行っていないと判定した場合、ｓ２０４に戻る。

【0076】

このようにして、トレース対象候補ファイルリスト２２１１から、最終トレース対象ファイル名２２０６で識別されるファイルに対してコピーアンドペーストのコピー元となっている可能性のあるファイルを特定し、追加トレース対象ファイルリスト２２１０ａに加える。追加トレース対象ファイルリスト２２１０ａは、さらに追加でトレースを行う対象のファイル名のリストであり、ファイルサーバのファイルが由来であるか調べる対象である。
図８のｓ２０３は、コピーアンドペーストファイル特定部１１０６の処理であり、ｓ２０３の一部、ｓ２０４〜ｓ２０８は、追加トレース判断部１１０７の追加追跡ログ判定処理である。
追加トレース判断部１１０７は、トレース結果２１０７（コピー元ファイルの特定の有無）、追加トレース対象ファイルリスト２２１０ａを出力する。

【0077】

トレース部１１０４は、コピー元ファイルの特定が有る場合、すなわち、追加トレース対象ファイルリスト２２１０ａに１つ以上の追加追跡ログが記憶されている場合、追加トレース対象ファイルリスト２２１０ａから追加追跡ログを順次入力し、追加追跡ログが有する操作内容に含まれた追加トレース対象ファイル名２２１０ｂを取得し、追加トレース対象ファイル名２２１０ｂを新たなトレース対象ファイル名として、図８の追跡処理のトレースバックを行う。
コピー元ファイルの特定が無い場合、すなわち、追加トレース対象ファイルリスト２２１０ａに追加追跡ログが記憶されていない場合、トレース部１１０４は、処理を行わない。

【0078】

図７から図１０で説明したファイル追跡システム１の各処理の順序を説明する。
図１７は、トレース部及びコピーアンドペーストファイル特定部、追加トレース判断部の処理の概要を表すフローチャートである。
図１７において、ファイル追跡システム１は、Ｓ１において、転送判定部１１１４により転送判定処理を行う。転送判定処理は、図７のｓ１０１である。
Ｓ２において、変遷判定部１１２４により変遷判定処理を行う。変遷判定処理は、図７のｓ１０３からｓ１０８である。
Ｓ３において、トレース結果判断部１１０５により、トレース結果判定処理を行う。
Ｓ４において、トレース結果判断部１１０５により、結果出力処理を行う。結果出力処理は、ファイルサーバのファイル由来であることが確認できた場合、または、ファイルサーバのファイル由来でないことが確認できた場合、確認できた結果を出力する。
Ｓ５において、しぼり込み期間取得部１１１６により、しぼり込み期間取得処理を行う。しぼり込み期間取得処理は、図８のｓ２０１である。
Ｓ６において、追跡候補生成部１１２６により、追跡候補生成処理を行う。追跡候補生成処理は、図８のｓ２０２である。
Ｓ７において、追加トレース判断部１１０７により、追加追跡ログ判定処理を行う。追加追跡ログ判定処理は、図８のｓ２０３の一部、ｓ２０４からｓ２０８の処理である。追加追跡ログ判定処理では、追加追跡ログがある場合は、Ｓ１から処理を繰り返す。追加追跡ログがない場合は、処理を終了する。

【0079】

ファイル追跡システム１は、最終的に１つ以上のトレース対象ファイル名で識別されるファイルが、ファイルサーバのファイル由来であることが確認できた場合に、外部出力ファイルは、ファイルサーバのファイル由来であると判断する。

【0080】

追加トレース対象ファイル名２２１０ｂのトレースバックは、そのままトレース部１１０４に返すと、トレース対象期間を最初から調査することになる。トレース開始日時からトレース対象ファイル保存日時までの間の調査で十分であるため、以下の様に処理してもよい。
ｓ２０７においてトレース対象候補ファイル名を追加トレース対象ファイルリストに加える際に、トレース対象ファイル保存日時もトレース対象候補ファイル名の参考情報としてリストに加える。
追加トレース対象ファイル名２２１０ｂで識別されるファイルのトレースバック時には、トレース部１１０４において、該トレース対象ファイル保存日時をトレース終了日時として扱い、トレース開始日時〜トレース対象ファイル保存日時の期間をトレース対象期間としてトレースバックさせてもよい。

【0081】

本実施の形態では、外部入力ログファイルとしてファイルサーバログファイルを例としたが、他のログファイルでも良い。また、外部出力ログファイルとしてメールログファイルを例としたが、他のログファイルでも良い。

【0082】

本実施の形態によれば、操作ログ（ログエントリ）のみの分析において、ファイルの変遷操作に基づくトレースバックを行い、ファイルサーバ由来のファイルか確認できなかった場合においても、最後のトレース対象ファイル（最終トレース対象ファイル）をオープン・保存した期間に、別途オープンしていた同種の他のファイルを、コピー元として特定し、新たなトレース対象ファイルに設定し、さらにトレースバックを行う。この結果、従来、操作ログだけでは、トレースできなかったファイルの内容のコピーアンドペーストにも対応したトレースバックを実現できる効果がある。さらに、コピー元候補のファイルの特定においては、コピー元候補のファイルとトレース対象ファイルとの類似性や、機密を表すキーワードを検索することにより、コピー元候補を確定することができる。

【0083】

本実施の形態では、機密情報として漏洩されたか調査したいファイルに対して、ファイル操作ログ等の複数のログから、ファイル間のデータのコピーアンドペーストを含んだ該ファイルに対する操作を追跡するファイル追跡装置の一例を説明した。ファイル追跡装置が行うトレースバックにおいて、トレース対象ファイルをオープンし保存するまでの期間に別途開いていたファイルをコピー元の候補とし、トレース対象ファイルと該ファイル間の類似を調べることで該ファイルをコピー元であることを特定する。
また、本実施の形態では、ファイル操作ログなどの複数ログを用いて、ファイルのトレースバックを行い、あるファイルが機密情報由来であるかトレースを行なうファイル追跡装置であって、
・ファイル操作ログから、トレース対象ファイルをオープンし、保存するまでの期間に、別途オープンしていたファイルをコピー元の候補ファイルとして選択する
・選択されたコピー元の候補ファイルに、機密ファイルに含まれるキーワードが含まれるか検査し、含まれていればコピー元の候補ファイルを新たなトレース対象ファイルとする
・選択されたコピー元の候補ファイルとトレース対象ファイルの類似性を検査し、類似していればコピー元の候補ファイルを新たなトレース対象ファイルとする
との処理を行うファイル追跡装置の一例を説明した。

【0084】

実施の形態２．
本実施の形態では、本発明のファイル追跡装置の一例としてファイル追跡システム１よる、コピーアンドペーストへ対応したファイル操作ログのトレースフォワードの実行について説明する。
実施の形態１と同じく、外部入力ログファイルはファイルサーバログファイルとし、外部出力ログファイルはメールログファイルとする。

【0085】

ファイル追跡システム１の構成の説明を行う。
システムの構成は図２及び図６と同じであるが、一部構成要素に対する入出力内容が異なるため差分について説明する。
・トレース部１１０４
判定結果２２０７は、外部入力ファイルが端末外部へ出力されたか判定した結果を出力する。
トレース開始条件２１０４は、本実施の形態ではトレースフォワードのモードで動くように指定する。
トレース終了条件２１０６はトレースを終了するための条件であり、「外部入力ファイルをトレースした結果、添付ファイルでメール送信された場合に終了する」、という条件を指定する。

【0086】

・トレース結果判断部１１０５
外部入力ファイルをトレースした結果、添付ファイルでメール送信されていないと判断した場合、外部入力ファイル、或いは外部入力ファイルが変遷したファイルのデータをコピーし、コピーしたデータを他のファイルへペーストしていないか判断するために、コピーアンドペースト調査指示２２０８を出力する。

【0087】

動作の説明を行う。
図２、図６のファイル追跡システム１のトレースフォワードの動作について説明する。本実施の形態では、ファイルサーバからのファイルのダウンロードを行った後、このファイルが、添付ファイルでメール送信されていないかトレースを行う場合の動作について説明する。

【0088】

外部入力ログファイル取り込み部１１０１ａは、外部入力ログファイル２１０１ａとしてファイルサーバログファイルを取り込む。外部入力ログファイル２１０１ａから、当ログファイルの指定のフォーマットに従い、ログを取り出し、外部入力ログ２２０１ａとして外部入力ファイル特定部１１０２ａへ出力する。本実施の形態では、“ダウンロード日時（タイムスタンプの一例）、ダウンロードした端末の識別子（端末名の一例）、ダウンロードファイル名（操作内容の一例）”という項目を有するフォーマットでログを出力する。

【0089】

外部入力ファイル特定部１１０２ａは、外部入力ログ２２０１ａに対して、外部入力ファイル特定条件２１０２ａに基づき外部入力ファイル名２２０２ａとファイル入力日時２２０３ａを特定する。本実施の形態では、外部入力ファイル特定条件２１０２ａに「指定期間に、端末Ａがファイルサーバからファイルをダウンロードした場合」を設定する。本実施の形態では、指定期間を“２０１０／１１／０１ ０９：００：００から２０１０／１１／０１ １７：００：００”の８時間とする。外部入力ファイル特定部１１０２ａは該指定期間に、端末Ａがファイルサーバからファイルをダウンロードした記録に該当するログエントリを抽出し、ダウンロード日時とダウンロードファイル名を取り出す。具体的には、外部入力ログ２２０１ａが有するダウンロード日時が指定期間に含まれ、かつ、ダウンロードした端末の識別子が端末Ａを表す外部入力ログ２２０１ａを抽出する。抽出した外部入力ログ２２０１ａからダウンロード日時、ダウンロードファイル名を取得する。本実施の形態では、２０１０／１１／０１ ０９：３０：００に端末Ａがファイルサーバからファイルをダウンロードしたとする。外部入力ファイル特定部１１０２ａは、外部入力ファイル名２２０２ａにダウンロードしたファイル名、ファイル入力日時２２０３ａにダウンロード日時２０１０／１１／０１ ０９：３０：００を設定する。
指定期間は、トレースフォワードを開始する時期としてあらかじめファイル追跡システム１の運用者により記憶装置に記憶され、外部入力ファイル特定部１１０２ａは、記憶装置から指定期間を入力する。なお、指定期間内に端末Ａがファイルサーバから複数回ファイルをダウンロードすると、外部入力ファイル特定部１１０２ａは、外部入力ファイル名２２０２ａとファイル入力日時２２０３ａを複数出力する。このように複数出力された場合は、例えば、外部入力ファイル名２２０２ａとファイル入力日時２２０３ａとの組のうちファイル入力日時２２０３ａが最も古いものから順にトレース部１１０４に出力して、トレースを行わせる。１つの組についてトレースが終了したら、次にファイル入力日時２２０３ａが古い組をトレース部１１０４に出力してトレースを行わせる。

【0090】

外部出力ログファイル取り込み部１１０１ｂは、外部出力ログファイル２１０１ｂとしてメールログファイルを取り込む。外部出力ログファイル２１０１ｂから、当ログファイルの指定のフォーマットに従い、ログを取り出し、外部出力ログ２２０１ｂとして外部出力ファイル特定部１１０２ｂへ出力する。本実施の形態では、“送信日時（タイムスタンプの一例）、送信元メールアドレス（操作内容の一例）、あて先メールアドレス（操作内容の一例）、添付ファイル名（操作内容の一例）、添付ファイルサイズ（操作内容の一例）”という項目を有するフォーマットでログを出力する。

【0091】

外部出力ファイル特定部１１０２ｂは、外部出力ログ２２０１ｂに対して、外部出力ファイル特定条件２１０２ｂに基づき外部出力ファイル名２２０２ｂとファイル出力日時２２０３ｂを特定する。外部出力ファイル特定条件２１０２ｂに「外部出力ログ検索期間において、端末Ａのユーザが添付ファイルをメールで送信した場合」を指定し、端末Ａのユーザのメールアドレスからの添付ファイルの送信に該当するログエントリを抽出し、その添付ファイル名と送信日時（タイムスタンプ）を取り出す。具体的には、外部出力ログ２２０１ｂが有する送信日時が外部出力ログ検索期間に含まれ、かつ、送信元メールアドレスが端末Ａを表す外部出力ログ２２０１ｂを取り出す。外部出力ファイル特定部１１０２ｂは、取り出した外部出力ログ２２０１ｂが有する添付ファイル名を取得し、外部出力ファイル名２２０２ｂに取得した添付ファイル名を設定する。外部出力ファイル特定部１１０２ｂは、取り出した外部出力ログ２２０１ｂが有する送信日時を取得し、ファイル出力日時２２０３ｂに取得した送信日時（タイムスタンプ）を設定する。なお、外部出力ログ２２０１ｂが複数ある場合は、最も新しい送信日時をファイル出力日時２２０３ｂに設定する。外部出力ログ検索期間とは、「外部入力ファイル特定条件２１０２ａにおける指定期間の最初の日時」から未来に向かって、外部出力ログ２２０１ｂを検索する期間を指定する。本実施の形態では、未来に向かう期間を「３１日」として、あらかじめファイル追跡システム１の運用者により記憶装置に記憶されているものとする。外部入力ファイル特定条件２１０２ａにおける指定期間の最初の日時を、端末Ａがファイルサーバから機密ファイルをダウンロードしたダウンロード日時２０１０／１１／０１ ０９：３０：００よりも前にする。ここでは、２０１０／１１／０１ ０９：００：００とすると、２０１０／１１／０１ ０９：００：００から３１日後は２０１０／１２／０２ ０９：００：００と求められる。外部出力ログ検索期間は、２０１０／１１／０１ ０９：００：００から２０１０／１２／０２ ０９：００：００までの期間になる。外部出力ファイル特定部１１０２ｂは、２０１０／１１／０１ ０９：００：００から２０１０／１２／０２ ０９：００：００までの外部出力ログ２２０１ｂの記録から、端末Ａのユーザのメールアドレスから添付ファイルを送信したログエントリを抽出する。具体的には、外部出力ログ２２０１ｂから、外部出力ログ２２０１ｂが有する送信日時が２０１０／１１／０１ ０９：００：００から２０１０／１２／０２ ０９：００：００までの期間に含まれ、かつ、送信元メールアドレスが端末Ａのユーザを表す外部出力ログ２２０１ｂを取り出す。ここでは、送信日時が２０１０／１２／０１ ０９：３０：００である外部出力ログ２２０１ｂが抽出されるものとする。
外部出力ログ検索期間は、後述するトレーストレース対象期間（「トレース対象期間」は処理対象期間の一例）以上、すなわち、トレース対象期間を含む期間を設定する。

【0092】

操作ログファイル取り込み部１１０３（操作ログ入力部の一例）は、操作ログファイル２１０３に記憶された情報のフォーマットに従い、端末Ａの操作ログファイル２１０３が記憶した操作ログをログエントリ２１０として取り出し、ログエントリ２１０が有するタイムスタンプが、期間入力部１１０８が記憶装置に記憶した処理対象期間２１０８に含まれることを判定したら、判定したログエントリ２１０を処理対象ログ記憶部１１０９（処理対象記憶部の一例）に記憶する。本実施の形態では、“タイムスタンプ（タイムスタンプ２１１の一例）、ユーザ識別子、端末識別子（端末名２１２の一例）、ファイル名、ファイル操作内容（操作内容２１５の一例）、アプリケーション名（アプリケーション名２１６の一例）”というフォーマットで出力する。図１８のログエントリ２１０は、処理対象ログ記憶部１１０９に記憶されたログエントリの一例である。図１８のログエントリ２１０には、ファイル名、ユーザ識別子がないが、ファイル名及びユーザ識別名は操作内容２１５に含まれるものとする。

【0093】

トレース部１１０４は、トレース開始条件２１０４、トレース条件２１０５、トレース終了条件２１０６を入力する。
トレース開始条件２１０４は、本実施の形態ではトレースフォワードのモードで動くことを指示する情報を指定する。
トレース条件２１０５は、コピーアンドペーストファイル特定部１１０６が動作する際に使用する「外部入力ファイル名２２０２ａと同じ拡張子のファイルをトレースする」という動作を行うことを指示する情報を指定する。例えば、コピーアンドペーストファイル特定部１１０６は、外部入力ファイル名２２０２ａがａｂｃ．ｃｓｖであれば、拡張子が．ｃｓｖのファイルを追跡候補とする。
トレース終了条件２１０６は、本実施の形態では、「トレース対象ファイルが添付ファイルでメール送信された場合に終了」を指定する。
トレース部１１０４は、期間入力部１１０８が記憶装置に記憶した処理対象期間２１０８を入力する。期間入力部１１０８は、実施の形態１と同じ動作を行う。ファイル入力日時２２０３ａには、２０１０／１１／０１ ０９：３０：００が設定されている。ファイル出力日時２２０３ｂには、２０１０／１２／０１ ０９：３０：００が設定されている。このため、期間入力部１１０８は、開始日時が２０１０／１１／０１ ０９：３０：００であり、終了日時が２０１０／１２／０１ ０９：３０：００である処理対象期間を記憶装置に記憶する。
図１１にファイル追跡システム１が使用する各種期間を説明する。指定期間は、ファイルサーバの管理者またはファイル追跡システム１の運用者が、あらかじめ入力装置を用いてファイル追跡システム１の記憶装置に記憶する。指定期間は、ファイルサーバから機密ファイルがダウンロードされたと推定される期間である。或いは、ダウンロードされた機密ファイルがメールに添付され、機密ファイルの使用が許可されていない端末に送信されたか否かを定期的に調査する環境では、管理者や運用者が任意の期間を指定期間として指定する。
外部出力ログ検索期間は、指定期間の開始日時以前の日時から、あらかじめ記憶装置に記憶された未来に向かう日数を加えた日数である。外部出力ログ検索期間は、メールに添付されて送信されたファイルを追跡する期間である。指定期間の開始日時以前の日時を期間の開始とするのは、機密ファイルが添付ファイルの元ファイルとなるのが、機密ファイルがダウンロードされた日時以後と考え、ダウンロード日時を含む期間とするためである。
処理対象期間（トレース対象期間）は、、開始日時をファイルサーバから機密ファイルがダウンロードされた日時とし、終了日時を添付ファイルを添付したメールが送信された日時とする。実施の形態１で説明したように、開始日時、終了日時は、運用者が任意の日時を指定することもできる。任意の日時を指定する場合は、処理対象期間が外部出力ログ検索期間に含まれる期間を指定する。

【0094】

トレース部１１０４では、まず、外部入力ファイル特定部１１０２ａが出力した外部入力ファイル名２２０２ａを入力するが、これをトレース対象ファイル名（処理対象ファイル名の一例）として設定する。該トレース対象ファイル名は、ファイルサーバからダウンロードしたファイルを識別するファイル名であり、ダウンロード後にメールに添付されて送信されたか追跡する対象である。本実施の形態では、添付ファイルでメール送信されたか追跡する対象である。
次に、期間入力部１１０８が記憶装置に記憶した処理対象期間２１０８をトレース対象期間として入力する。本実施の形態では。トレース対象期間は、開始日時＝２０１０／１１／０１ ０９：３０：００、終了日時＝２０１０／１２／０１ ０９：３０：００である。

【0095】

トレース部１１０４の動作の詳細を説明する。
図１２は、トレース部の動作を示すフローチャートである。
図１２のフローチャートに従いトレース部１１０４の動作を説明する。

【0096】

ｓ１０１’を行う前に、トレース部１１０４は、後述するｓ１０６’で設定する最終トレース対象ファイル名２２０６に初期値を設定する。トレース部１１０４は、最終トレース対象ファイル名２２０６に初期値として外部入力ファイル名２２０２ａを設定する。すなわち、トレース部１１０４は、最終トレース対象ファイル名２２０６に初期値としてトレース対象ファイル名を設定する。また、トレース部１１０４は、後述するｓ１０７’で設定する最終変遷日時２２０５ａに初期値を設定する。トレース部１１０４は、最終変遷日時２２０５ａに初期値としてファイル入力日時２２０３ａを設定する。すなわち、トレース部１１０４は、最終変遷日時２２０５ａに初期値としてトレース対象ファイル名のファイルがダウンロードされた日時を設定する。
まず、ｓ１０１’において、トレース対象ファイル名で識別されるファイルが、トレース終了条件２１０６に指定された「トレース対象ファイルが添付ファイルでメール送信された場合に終了」という条件に合うか調べる。トレース対象ファイルが添付ファイルでメール送信されたか否かは次の様に調べる。
外部出力ファイル特定部１１０２ｂにおいて、既に、端末Ａのユーザのメールアドレスからの添付ファイルの送信に該当するログエントリが抽出され、添付ファイル名が外部出力ファイル名２２０２ｂとして、添付ファイルのメールによる送信日時（タイムスタンプ）がファイル出力日時２２０３ｂに設定され、トレース部１１０４へ出力されている。

【0097】

従って、トレース対象ファイル名が、外部出力ファイル名２２０２ｂと一致するか確認すればよい。一致していれば、トレース対象ファイルがメール送信されていると判断する。このとき、外部出力ファイル名２２０２ｂに対応する送信日時であるファイル出力日時２２０３ｂは、トレース開始日時よりも後であることを条件とする。
また、外部出力ファイル名２２０２ｂがファイルのパスを含まずファイル名のみである場合は、トレース対象ファイル名（パスを含む）におけるファイル名部分との一致を確認する。ファイル名の一致の判定は、実施の形態１と同じである。

【0098】

一致した場合（ｓ１０１’でｙｅｓ）は、この時点でトレース部１１０４は、処理を終了する。この際、トレース部１１０４は、判定結果２２０７として、外部入力ファイルはメール送信されたという結果を出力する。

【0099】

次に、トレース対象ファイル名が、外部出力ファイル名２２０２ｂと一致しない場合（ｓ１０１’でｎｏ）の処理を説明する。
ｓ１０３’において、トレース部１１０４は、処理対象ログ記憶部１１０９から読み込むログエントリが残ってないか判定する。残ってないと判定した場合（ｙｅｓ）、ｓ１０９’に進む。残ってると判定した場合（ｎｏ）、ｓ１０４’へ進む。
ｓ１０４’において、トレース部１１０４は、処理対象ログ記憶部１１０９に記憶されたトレース対象期間に含まれるタイムスタンプを有するログエントリ２１０を入力する。
ログエントリは順方向、すなわち、タイムスタンプが古い方から新しい方へ順次入力する。
ログエントリには、ファイル操作に関する記録があり、以下のフォーマットである。
“タイムスタンプ（タイムスタンプ２１１の一例）、ユーザ識別子、端末識別子（端末名２１２の一例）、ファイル名（操作内容２１５の一例）、ファイル操作内容（操作内容２１５の一例）、アプリケーション名（アプリケーション名２１６の一例）”

【0100】

ｓ１０５’において、トレース部１１０４は、変遷操作があるか判定を行う。変遷操作は実施の形態１と同じ定義である。
トレース部１１０４は、入力したログエントリ２１０の変遷前のファイル名が、トレース対象ファイル名か確認する。リネーム、コピー、移動においては、操作内容２１５に変遷操作前のファイル名（パスを含む）と変遷操作後のファイル名（パスを含む）が記録される。トレース部１１０４は、トレース対象ファイル名がファイル名のみでパスを含まない場合は、変遷前のファイル名（パスを含む）のうちパスを除く部分の名前が、トレース対象ファイル名と一致するか判定する。トレース部１１０４は、トレース対象ファイル名がファイルのパスを含む場合は、変遷前のファイル名（パスを含む）がトレース対象ファイル名（パスを含む）と一致するか判定する。
変遷操作があり、ログエントリ上の変遷前のファイル名が、トレース対象ファイル名であれば、トレース部１１０４は、ｙｅｓと判定する。
ｙｅｓの場合、トレース部１１０４は、ｓ１０６’に移行する。ｎｏの場合、トレース部１１０４は、ｓ１０３’に戻る。

【0101】

ｓ１０６’では、トレース部１１０４は、変遷操作に応じてトレース対象ファイルを再設定し、さらに、最終トレース対象ファイル名２２０６を設定する。
・操作コマンドがリネームの場合
現在のトレース対象ファイル名はリネーム前のファイル名であるから、リネーム後のパスを含んだファイル名をトレース対象ファイル名に再設定し、リネーム後のパスを含んだファイル名を最終トレース対象ファイル名２２０６に設定する。
・操作コマンドがコピーの場合
現在のトレース対象ファイル名はコピー元のファイル名であるから、コピー先のパスを含んだファイル名をトレース対象ファイル名に再設定し、コピー先のパスを含んだファイル名を最終トレース対象ファイル名２２０６に設定する。
・操作コマンドが移動の場合
現在のトレース対象ファイル名は移動前のファイル名であるから、移動後のパスを含んだファイル名をトレース対象ファイル名に再設定し、移動後のパスを含んだファイル名を最終トレース対象ファイル名２２０６に設定する。
最初にｓ１０６’を処理する場合、トレース対象ファイル名は、ファイル名のみで、ファイルパスは無い場合がある。これは、ファイルサーバログであれば、ダウンロードファイル名はわかっても、端末Ａ上のどのパスのファイルかは記録されていないからである。変遷操作に関するログエントリには、ファイルのパスも含まれるため、変遷前後のファイルについてはファイルのパスも取得することができる。従って、２回目以降のｓ１０６’の処理では、トレース対象ファイル名はパスを含んだファイル名となる。

【0102】

次に、ｓ１０７’において、トレース部１１０４は、変遷操作が発生した日時（ログエントリ２１０のタイムスタンプ２１１）を最終変遷日時２２０５ａに設定する。

【0103】

次に、ｓ１０８’において、トレース部１１０４は、現在のトレース対象ファイル名で識別されるファイルが、「トレース対象ファイルが添付ファイルでメール送信された場合に終了」という条件に合うか判定する。その方法は、ｓ１０１’に示したものと同じである。
現在のトレース対象ファイル名で識別されるファイルがメール送信されていた場合（ｙｅｓ）トレース部１１０４は、処理を終了する。この際、判定結果２２０７において、外部入力ファイルはメール送信されたことを示す結果を出力する。送信されたことを判定できなかった場合（ｎｏ）、トレース部１１０４は、ｓ１０３’に戻る。
トレース部１１０４の処理はここまでである。
ｓ１０１’は、トレース部１１０４の処理であり、特に、トレース部１１０４が備える転送判定部１１１４の転送判定処理である。
ｓ１０３’からｓ１０８’は、トレース部１１０４の処理であり、特に、トレース部１１０４が備える変遷判定部１１２４の変遷判定処理である。

【0104】

ｓ１０３’でｙｅｓに進む際、トレース部１１０４は、判定結果２２０７として、外部入力ファイルはメール送信されたか分からなかったことを示す結果を出力する。
トレース部１１０４が、判定結果２２０７として外部入力ファイルはメール送信されたか分からなかったことを示す結果を出力した場合、トレース結果判断部１１０５はこの判定結果２２０７を入力し、コピーアンドペーストファイル特定部１１０６に対して、コピーアンドペースト調査指示２２０８を出力する。
また、トレース部１１０４が、判定結果２２０７として外部入力ファイルはメール送信されたことを示す結果を出力した場合、トレース結果判断部１１０５はこの判定結果２２０７を入力し、トレース結果２１０７として、「外部入力ファイルはメール送信された」という結果を出力する。この結果は、表示装置等のディスプレイにメッセージとして表示するなど、人間が見て分かる情報で表現する。

【0105】

ｓ１０９’は、図１２のファイルの変遷操作の確認だけでは、トレース対象期間内に外部入力ファイルがメール送信されたことを発見できなかった場合の処理である。ｓ１０９’の処理は、コピーアンドペーストファイル特定部１１０６で処理される。ｓ１０９’では操作ログには現れない、コピーアンドペーストについて調査し、コピー先ファイルを特定する。
コピーアンドペーストファイル特定部１１０６は、コピーアンドペースト調査指示２２０８を受け、フローチャート図１３の処理を行う。
図１３は、コピーアンドペーストファイル特定部１１０６、追加トレース判断部１１０７の動作を示すフローチャートである。
図１３において、コピーアンドペーストファイル特定部１１０６は、トレース部１１０４から最終変遷日時２２０５ａ、トレース開始日時２２０５ｂ、トレース終了日時２２０５ｃ、最終トレース対象ファイル名２２０６を受ける。トレース開始日時２２０５ｂ、トレース終了日時２２０５ｃは、処理対象期間２１０８であるため、コピーアンドペーストファイル特定部１１０６は、記憶装置に記憶された処理対象期間２１０８を入力してもよい。
最終トレース対象ファイル名２２０６は、しぼり込み期間取得部１１１６が入力する処理対象ファイル名の一例である。最終変遷日時２２０５ａは、しぼり込み期間取得部１１１６が入力する処理対象期間の一例である。

【0106】

まず、ｓ２０１’において、コピーアンドペーストファイル特定部１１０６は、最終トレース対象ファイル名で識別されるファイル（最終トレース対象ファイル）に対するオープン・クローズ日時の特定を行う。具体的には、例えば、図１４のフローチャートに従う。図１４は、コピーアンドペーストファイル特定部１１０６のしぼり込み期間取得部１１１６の動作を示すフローチャートである。
図１４のｓ３０１’において、コピーアンドペーストファイル特定部１１０６は、トレース対象ファイルオープン日時という変数をＮＵＬＬに設定する。また、トレース対象ファイルクローズ日時という変数をＮＵＬＬに設定する。

【0107】

次に、ｓ３０３’において、コピーアンドペーストファイル特定部１１０６は、処理対象ログ記憶部１１０９から読み込むログエントリが残ってないか判定し、残ってる場合（ｎｏ）、ｓ３０４’へ進む。残ってない場合（ｙｅｓ）、処理を終了する。

【0108】

次に、ｓ３０４’において、コピーアンドペーストファイル特定部１１０６は、処理対象ログ記憶部１１０９に記憶されたログエントリ２１０から、ログエントリのタイムスタンプが最終変遷日時２２０５ａからトレース終了日時２２０５ｃまでの期間に含まれるログエントリ２１０を、順方向（古いログエントリから新しいログエントリに向かって読む）で読む。

【0109】

次に、ｓ３０５’において、コピーアンドペーストファイル特定部１１０６は、ログエントリ２１０の操作コマンド２１４が、ファイルをオープンする操作を記録し、操作内容２１５に、最終トレース対象ファイル名２２０６で識別されるファイルがオープンされた記録があるか判定する。コピーアンドペーストファイル特定部１１０６は、あることを判定した場合（ｙｅｓ）、ｓ３０６’に移行する。ｎｏであれば、ｓ３０３’に戻る。

【0110】

ｓ３０６’では、コピーアンドペーストファイル特定部１１０６は、最終トレース対象ファイル名で識別されるファイルがオープンされたことを表すログエントリのタイムスタンプを、トレース対象ファイルオープン日時（オープン日時の一例）に設定する。
ｓ３０７’において、コピーアンドペーストファイル特定部１１０６は、処理対象ログ記憶部１１０９から読み込むログエントリが残ってないか判定し、残ってる場合（ｎｏ）、ｓ３０８’へ進む。残ってない場合（ｙｅｓ）、処理を終了する。
次に、ｓ３０７’において、コピーアンドペーストファイル特定部１１０６は、ログを一つ読む。ここでは、順方向（古いエントリから新しいエントリに向かって読む）で読む。

【0111】

次に、ｓ３０９’において、コピーアンドペーストファイル特定部１１０６は、ログエントリ２１０の操作コマンドに、ファイルを閉じる操作の操作コマンドが記録され、操作内容２１５に最終トレース対象ファイル名２２０６で識別されるファイルがクローズされたことが記録されているか判定する。記録されていれば（ｙｅｓ）、ｓ３１０’に移行する。ｎｏであれば、ｓ３０７’に戻る。

【0112】

ｓ３１０’では、コピーアンドペーストファイル特定部１１０６は、ログエントリのタイムスタンプを、トレース対象ファイルクローズ日時（クローズ日時の一例）に設定する。
図１４は、コピーアンドペーストファイル特定部１１０６の処理であり、特に、コピーアンドペーストファイル特定部１１０６のしぼり込み期間取得部１１１６のしぼり込み期間取得処理である。

【0113】

このように図１４のフローチャートに従うことで、最終変遷日時２２０５ａからトレース終了日時２２０５ｃまでの期間に、最終トレース対象ファイル名２２０６で識別されるファイルのオープン或いはクローズの日時がわかる。両方とも発生していない場合は、トレース対象ファイルオープン日時もトレース対象ファイルクローズ日時も設定されず、ＮＵＬＬである。

【0114】

図１３に戻る。次に、コピーアンドペーストファイル特定部１１０６は、トレース対象候補ファイル名の特定を行う（ｓ２０２’）。トレース対象候補ファイル名とは、最終トレース対象ファイル名２２０６で識別されるファイルの内容をコピーしコピーした内容をペーストした、そのペースト先となったと考えられるファイルのファイル名である。
ｓ２０２’の処理を、図１５を用いて説明する。図１５は、コピーアンドペーストファイル特定部１１０６の追跡候補生成部１１２６の動作を示すフローチャートである。

【0115】

まず、ｓ４０１’において、コピーアンドペーストファイル特定部１１０６は、トレース対象ファイルオープン日時＝ＮＵＬＬかつトレース対象ファイルクローズ日時＝ＮＵＬＬか判断する。これは、最終変遷日時２２０５ａからトレース終了日時２２０５ｃまでの期間に、最終トレース対象ファイル名２２０６で識別されるファイルのオープンかクローズが発生したかの確認である。ｙｅｓの場合、コピーアンドペーストファイル特定部１１０６処理は、処理を終了する。ｎｏの場合、コピーアンドペーストファイル特定部１１０６は、ｓ４０２’に移行する。

【0116】

ｓ４０２’では、コピーアンドペーストファイル特定部１１０６は、トレース対象ファイルオープン日時からトレース対象ファイルクローズ日時までのしぼり込み期間のログエントリ２１０を処理対象ログ記憶部１１０９から順次入力する。具体的には、コピーアンドペーストファイル特定部１１０６は、ログエントリ２１０のタイムスタンプ２１１が、しぼり込み期間であるログエントリを順次入力する。

【0117】

次にｓ４０３’では、コピーアンドペーストファイル特定部１１０６は、入力したログエントリ２１０が、以下の条件に合致するか判定し、合致することを判定したログエントリ２１０を追跡候補ログとしてトレース対象候補ファイルリスト２２１１（ファイル追跡システム１が備える記憶装置が記憶するファイルの一例）に記憶する。
・最終トレース対象ファイル名２２０６と拡張子が同じである（トレース条件２１０５を参照することによる）
・操作コマンドにファイルを保存するとの操作が記憶されている
上記条件に合致する事を判定することにより、コピーアンドペーストファイル特定部１１０６は、最終トレース対象ファイル名２２０６で識別されるファイルをオープンしてからクローズする間に、別途保存した別の同種類のファイルの有無を確認し、ファイルが有る場合は、該当するファイル名をトレース対象候補ファイル名（類似ファイル名）をリスト化したトレース対象候補ファイルリスト２２１１に追加する。最終トレース対象ファイル名２２０６で識別されるファイルをオープンしてからクローズする間に、別途同種類のファイルを保存した場合、最終トレース対象ファイル名２２０６で識別されるファイルからその別ファイルへコピーアンドペーストが発生した可能性があるため、それらをトレース対象の候補ファイルとして扱う。また、複数存在する可能性があるため、リスト化（ファイル化）する。
図１３のｓ２０２’は、コピーアンドペーストファイル特定部１１０６が行う。特に、コピーアンドペーストファイル特定部１１０６の追跡候補生成部１１２６が行う追跡候補生成処理である。

【0118】

図１３に戻る。
ｓ２０３’では、コピーアンドペーストファイル特定部１１０６は、トレース対象候補ファイルリスト２２１１が空か調べる。空の場合（ｙｅｓ）、コピーアンドペーストファイル特定部１１０６は、処理を終了する。この場合、コピーアンドペーストファイル特定部１１０６は、特定結果２２０９として「コピー先ファイルの特定無しを示す結果」を出力する。
追加トレース判断部１１０７は、特定結果２２０９を入力し、特定結果２２０９が「コピー先ファイルの特定無しを示す結果」を表す場合（ｙｅｓ）、処理を終了する。ｎｏである場合、追加トレース判断部１１０７は、ｓ２０４’に移行する。

【0119】

ｓ２０４’では、追加トレース判断部１１０７（追加追跡ログ判定部の一例）がトレース対象候補ファイルリスト２２１１の先頭から順に、追跡候補ログを入力し、入力した追跡候補ログの操作内容２１５に含まれたトレース対象候補ファイル名を取得する。

【0120】

次に、ｓ２０５’において、追加トレース判断部１１０７は、トレース対象候補ファイル名で識別されるファイルがトレース対象として妥当か判定する。
判定する方法として、以下がある。
・「最終トレース対象ファイル名２２０６で識別されるファイル」の内容である生成元情報を最終トレース対象ファイル名２２０６で識別されるファイルから入力し、「トレース対象候補ファイル名で識別されるファイル」の内容である追跡情報をトレース対象候補ファイル名で識別されるファイルから入力し、追跡候補情報と生成元情報とがどのぐらい一致するか表す類似度を算出し、算出した類似度とあらかじめファイル追跡システム１の記憶装置に記憶された閾値（類似閾値）とを比較し、類似度が閾値より大きいことを判定した場合、妥当と判断する。具体例は、実施の形態１と同じである。また、類似性の判定方法は公知のファイル類似性比較技術を用いればよい。
・トレース対象候補ファイル名で識別されるファイルに、予め設定した機密ファイルを示す用語が含まれているか検索する。含まれていれば、妥当と判断する。機密ファイルを示す用語は、ファイルサーバのファイルに含まれる用語とする。
・「トレース対象候補ファイル名で識別されるファイル」の内容である追跡候補情報をトレース対象候補ファイル名で識別されるファイルから入力し、「外部入力ファイル名２２０２ａで識別されるファイル」の内容である生成元情報を外部入力ファイル名２２０２ａで識別されるファイルから入力し、追跡候補情報と生成元情報とがどのぐらい一致するか表す類似度を算出し、算出した類似度とあらかじめファイル追跡システム１の記憶装置に記憶された閾値とを比較し、類似度が閾値より大きいことを判定した場合、妥当と判断する。具体例は、実施の形態１と同じである。また、類似性の判定方法は公知のファイル類似性比較技術を用いればよい。

【0121】

ｓ２０６’において、トレース対象候補ファイル名で識別されるファイルがトレース対象として妥当と判断された場合は、追加トレース判断部１１０７は、ｓ２０７’に移行する。妥当ではないと判断された場合は、ｓ２０４’へ移行する。

【0122】

ｓ２０７’では、追加トレース判断部１１０７は、妥当と判断したトレース対象候補ファイル名を含むログエントリ２１０を追加追跡ログとして追加トレース対象ファイルリスト２２１０ａ（追加追跡ログ記憶部の一例）に追加する。追加追跡ログが有する操作内容に含まれたファイル名であって、妥当と判断されたトレース対象候補ファイル名を追加トレース対象ファイル名２２１０ｂとする。

【0123】

ｓ２０８’では、追加トレース判断部１１０７は、トレース対象候補ファイルリスト２２１１に記憶されたすべての追跡候補ログについて処理を行ったか判定する。すべての追跡候補ログについて処理を行ったと判定した場合、追加トレース判断部１１０７は、処理を終了する。
終了する際、追加トレース対象ファイルリストが空であれば、トレース結果２１０７としてコピー先ファイルの特定無しを示す結果を出力する。空でなければ、トレース結果２１０７としてコピー先ファイルの特定有りを示す結果を出力する。
追加トレース判断部１１０７は、すべての追跡候補ログについて処理を行っていないと判定した場合、ｓ２０４’に戻る。

【0124】

このようにして、トレース対象候補ファイルリスト２２１１から、最終トレース対象ファイル名２２０６で識別されるファイルに対してコピーアンドペーストのコピー先となっている可能性のあるファイルを特定し、追加トレース対象ファイルリスト２２１０ａに加える。追加トレース対象ファイルリスト２２１０ａはさらに追加でトレースを行うトレース対象ファイル名のリストであり、メール送信されたか調べる対象である。
図１３のｓ２０３’は、コピーアンドペーストファイル特定部１１０６と追加トレース判断部１１０７との処理であり、ｓ２０４’〜ｓ２０８’は、追加トレース判断部１１０７の追加追跡ログ判定処理である。
追加トレース判断部１１０７は、トレース結果２１０７（コピー元ファイルの特定の有無）、追加トレース対象ファイルリスト２２１０ａを出力する。

【0125】

図２のトレース部１１０４は、コピー元ファイルの特定が有る場合、すなわち、追加トレース対象ファイルリスト２２１０ａに１つ以上の追加追跡ログが記憶されている場合、追加トレース対象ファイルリスト２２１０ａから追加追跡ログを順次入力し、追加追跡ログが有する操作内容に含まれた追加トレース対象ファイル名２２１０ｂを取得し、追加トレース対象ファイル名２２１０ｂを新たなトレース対象ファイル名として、図１３の追跡処理のトレースフォワードを行う。
コピー先ファイルの特定が無い場合は、すなわち、追加トレース対象ファイルリスト２２１０ａに追加追跡ログが記憶されていない場合、トレース部１１０４は、処理を行わない。

【0126】

ファイル追跡システム１は、最終的に１つ以上のトレース対象ファイル名で識別されるファイルが、メール送信されたことが確認できた場合に、ファイルサーバからダウンロードしたファイルは、メール送信されたと判断する。

【0127】

追加トレース対象ファイル名２２１０ｂのトレースフォワードは、そのままトレース部１１０４に返すと、トレース対象期間を最初から調査することになる。トレース対象ファイルオープン日時或いはトレース対象ファイルクローズ日時からトレース終了日時までの間の調査で十分であるため、以下の様に処理してもよい。
ｓ２０７’においてトレース対象候補ファイル名を追加トレース対象ファイルリスト２２１０ａに加える際に、トレース対象ファイルオープン日時或いはトレース対象ファイルクローズ日時もトレース対象候補ファイル名の参考情報としてリストに加える。
追加トレース対象ファイル名２２１０ｂで識別されるファイルのトレースフォワード時には、トレース部１１０４において、トレース対象ファイルオープン日時或いはトレース対象ファイルクローズ日時をトレース開始日時として扱い、トレース対象ファイルオープン日時或いはトレース対象ファイルクローズ日時からトレース終了日時の期間をトレース対象期間としてトレースフォワードさせてもよい。

【0128】

本実施の形態では、外部入力ログファイルとしてファイルサーバログファイルを例としたが、他のログファイルでも良い。また、外部出力ログファイルとしてメールログファイルを例としたが、他のログファイルでも良い。

【0129】

本実施の形態では、機密情報として漏洩されたか調査したいファイルに対して、ファイル操作ログ等の複数のログから、ファイル間のデータのコピーアンドペーストを含んだ該ファイルに対する操作を追跡する。トレースフォワードにおいて、トレース対象ファイルをオープンしクローズするまでの期間に別途保存したファイルをコピー先の候補とし、トレース対象ファイルと該ファイル間の類似を調べることで該ファイルをコピー先であることを特定する。
また、本実施の形態では、端末操作ログなどの複数ログを用いて、ファイルのトレースフォワードを行い、機密情報由来のファイルがどのように扱われたかトレースを行なうファイル追跡装置であって、以下の動作を行うファイル追跡装置を説明した。
・ファイル操作ログから、トレース対象ファイルをオープンし、クローズするまでの期間に、別途保存していたファイルをペースト先の候補ファイルとして選択する。
・選択されたペースト先の候補ファイルが、機密情報由来のファイルと類似しているか検査し、類似していればペースト先の候補ファイルを新たなトレース対象ファイルとする。
・選択されたペースト先の候補ファイルとトレース対象ファイルの類似性を検査し、類似していればペースト先の候補ファイルを新たなトレース対象ファイルとする。
・選択されたペースト先の候補ファイルに、機密ファイルに含まれるキーワードが含まれるか検査し、含まれていればペースト先の候補ファイルを新たなトレース対象ファイルとする。

【0130】

本実施の形態によれば、ファイル操作ログのみの分析において、ファイルの変遷操作に基づくトレースフォワードを行い、ファイルの外部送出が確認できなかった場合においても、最後のトレース対象ファイルをオープン・クローズした期間に、別途オープンしていた同種の他のファイルを、コピー先として特定し、新たなトレース対象ファイルに設定しさらにトレースフォワードを行う。この結果、従来、ファイル操作ログだけでは、トレースできなかったファイルの内容のコピーアンドペーストにも対応したトレースフォワードを実現できる効果がある。さらに、コピー先候補のファイルの特定においては、コピー先候補のファイルとトレース対象ファイルとの類似性や、機密を表すキーワードを検索することにより、コピー先候補を確定することができる。

【0131】

実施の形態３．
本実施の形態では、実施の形態１における、最終トレース対象ファイル名で識別されるファイルへのペーストが発生したことを判断する方法として、トレース対象ファイル名で識別されるファイルをオープンした時のファイルサイズに対して、保存した時のファイルサイズが、オープンから保存までの時間に対して増加が大きい場合に、ペーストが発生していると判断する。

【0132】

コピーアンドペーストファイル特定部１１０６の動作として、トレースバックにおいては、図８のｓ２０１でトレース開始日時から最終変遷日時までの期間に最終トレース対象ファイル名で識別されるファイルをオープンした日時と、保存した日時を抽出している。本実施の形態では、しぼり込み期間取得部１１１６は、該ファイルをオープンした日時を取得する際に、ログエントリ２１０にファイルサイズが記録されている場合に、ファイルサイズを取得する。これを、オープン時ファイルサイズ（オープンサイズの一例）とする。さらに、しぼり込み期間取得部１１１６は、該ファイルを保存した日時を取得する際に、ログエントリにファイルサイズが記録されている場合に、ファイルサイズを取得する。これを、保存時ファイルサイズ（保存サイズの一例）とする。

【0133】

トレース対象ファイル保存日時とトレース対象ファイルオープン日時の日時差を△ｔとする。保存時ファイルサイズとオープン時ファイルサイズのサイズ差を△ｓとする。
この△ｔと△ｓを用いて、コピーアンドペーストファイル特定部１１０６は、△ｔに対する△ｓの比が一定以上の場合に、ペーストが発生したと判断する。例えば、最終トレース対象ファイル名で識別されるファイルがｃｓｖファイルで、△ｔが３０秒、△ｓが１ＭＢの場合は、ｃｓｖファイルを３０秒で１ＭＢ増加させるために、そのデータをキーボードで打ち込んだとは考えにくく、別のファイルからデータをコピーし、該ファイルにペーストしたと判断できる。ペーストが発生したと判断する△ｓと△ｔの比の基準値（比閾値）を予め決めておき、記憶装置に記憶し、追跡候補生成部１１２６は、記憶装置から基準値を入力し、基準値を△ｓ／△ｔが超えたか判定する。追跡候補生成部１１２６は、基準値を△ｓ／△ｔが超えたと判定した場合に、ペーストが発生したと判断すれば良い。例えば、基準値を１０Ｋバイト／秒と予め記憶した場合は、追跡候補生成部１１２６は、△ｓ／△ｔが１０Ｋバイト／秒を超えた場合にペーストが発生したと判断する。この処理は、実施の形態１のｓ４０３の条件に加える。この結果、△ｓ／△ｔが基準値を超えずペーストが発生していないと判断された場合は、常に、トレース対象候補ファイルリスト２２１１は空となる。或いは、べつの例として、図１０のｓ４０２の前に、基準値を△ｓ／△ｔが超えたか判定する処理を行い、基準値を△ｓ／△ｔが超えたと判定した場合、ｓ４０２へ進み、基準値を△ｓ／△ｔが超えたと判定しなかった場合、処理を終了するようにしてもよい。

【0134】

実施の形態２においても、同様に時間当たりのファイルの増加をペーストの判断に利用する。トレースフォワードにおけるコピーアンドペーストファイル特定部１１０６の追跡候補生成部１１２６は、処理であるｓ４０３’に以下の処理を加える。ｓ４０３’において、追跡候補生成部１１２６は、最終トレース対象ファイル名で識別されるファイルをオープンしてからクローズするまでの期間に、保存が発生した別ファイルを特定する。別ファイルの判定は、操作コマンド２１４に保存操作を表す操作コマンドが記録されているか判定することにより行う。ログエントリにおいて、特定した該ファイルの保存日時におけるファイルサイズ（保存時ファイルサイズ’）（保存サイズの一例）を取得し、さらに、該保存日時に対して時間を遡り、直近に該ファイルをオープンした日時を調べ、その時の該ファイルのファイルサイズ（オープン時ファイルサイズ’）（オープンサイズの一例）を取得する。追跡候補生成部１１２６は、保存時ファイルサイズ’とオープン時ファイルサイズ’のサイズ’差を△ｓ’、該保存時と該オープン時の日時差を△ｔ’とし、トレースバック時と同じ様に、△ｓ’／△ｔ’の基準値（比閾値）を記憶装置に記憶しておき、記憶装置から基準値を入力し、基準値を△ｓ／△ｔが超えたか判定する処理を行い、短期間でのファイルサイズの増加の有無を調べる。基準値を△ｓ／△ｔが超えたと判定したら、短期間に増加しているとし、ペーストが発生していると判断し、該ファイルのファイル名をトレース対象候補ファイルリスト２２１１に加える。そうでない場合は、トレース対象候補ファイルリスト２２１１にファイル名を加えない。

【0135】

トレースバック時の△ｓ／△ｔの基準値、トレースフォワード時の△ｓ’／△ｔ’の基準値はトレース条件２１０５で指定しても良い。

【0136】

本実施の形態によれば、トレースバック時にトレース対象ファイルのオープン〜保存の期間において、その期間に対するファイルサイズの増加率を調べ、短時間に増加していることが分かった場合に、ペーストによるファイルサイズの増加と判断し、短時間の増加が無かった場合にペーストが発生していないと判断することで、ペーストが発生していないと考えられるトレース対象ファイルをトレース対象から除外できるので、余分なトレースを行わなくてよい効果がある。
さらに、同様の方法で、トレースフォワード時に、トレース対象のファイルのオープン〜クローズの期間において保存が発生した別ファイルの短期間のファイルサイズの増加を確認し、ペーストの発生を判断することで、ペーストが発生していないと考えられるトレース対象ファイルをトレース対象から除外できるので、余分なトレースを行わなくてよい効果がある。

【0137】

この実施の形態では、ペースト先の候補ファイルが短時間に増加していた場合にペースト先のファイルとして確定するファイル追跡装置の一例を説明した。

【0138】

実施の形態４．
実施の形態１、２ではトレース条件２１０５として、コピーアンドペーストファイル特定部１１０６は、最終トレース対象ファイルと同じ拡張子のファイルについてトレースを行うこととしている。しかし、コピーアンドペーストは同種のファイル間のみで発生するとは限らない。本実施の形態では、コピーアンドペーストが発生しうる拡張子の組み合わせを予め定義し、さらに、スコアを付与することで不要なトレースを行わないファイル追跡システム１の一例を説明する。

【0139】

実施の形態１、２では、コピーアンドペーストファイル特定部１１０６の追跡候補生成部１１２６がトレースバック時のｓ４０３もしくは、トレースフォワード時のｓ４０３’において、トレース対象候補ファイルリスト２２１１に加えるファイル名の条件として最終トレース対象ファイル名と拡張子が同じであることを条件としているが、本実施の形態ではこの条件を次の様に変更する。

【0140】

図１６は、ペースト先とコピー元の拡張子の組み合わせとスコアを示した表を示す図である。例えば、ペースト先が．ｄｏｃの場合、コピー元が．ｔｘｔではスコア（拡張子点数の一例）を２と定義する。ペースト先が．ｄｏｃの場合、コピー元が．ｄｏｃではスコアを３と定義する。ペースト先が．ｄｏｃの場合、コピー元が．ｃｓｖではスコアを１と定義する。このスコアは次の様に処理される。該表は、コピーアンドペーストファイル特定部１１０６に埋め込まれていてもよく、トレース条件２１０５で与えても良い。
トレースバックの場合、トレース条件２１０５において拡張子の組み合わせのスコアが２以上のもの（点数閾値）を処理するという条件を指定する。コピーアンドペーストファイル特定部１１０６の追跡候補生成部１１２６の処理であるｓ４０３において、追跡候補生成部１１２６は、最終トレース対象ファイル名の拡張子が．ｄｏｃの場合、トレース対象候補ファイルリスト２２１１に加える条件として、スコアが２以上となる拡張子のファイルというトレース条件２１０５を参照する。最終トレース対象ファイル名で識別されるファイルはペースト先であるので、図１６においてペースト先の拡張子が．ｄｏｃの行を参照すると、スコアが２以上のコピー元の拡張子は、．ｄｏｃと．ｔｘｔである。追跡候補生成部１１２６は、最終トレース対象ファイル名で識別されるファイルをオープンしてから保存するまでの間に、オープンか、クローズ、或いは両方を行なっているファイルの拡張子が、．ｄｏｃ及び．ｔｘｔのファイルのファイル名をトレース対象候補ファイルリスト２２１１に加える。トレース条件２１０５において拡張子の組み合わせのスコアの閾値は２以外でも良い。

【0141】

トレースフォワードの場合、例えば、トレース条件２１０５において拡張子の組み合わせのスコアが３以上のもの（点数閾値）を処理するという条件を指定する。コピーアンドペーストファイル特定部１１０６の追跡候補生成部１１２６の処理である、ｓ４０３’において、追跡候補生成部１１２６は、最終トレース対象ファイル名の拡張子が．ｄｏｃの場合、トレース対象候補ファイルリスト２２１１に加える条件として、スコアが３以上というトレース条件２１０５を参照する。最終トレース対象ファイル名で識別されるファイルはコピー元であるので、図１６においてコピー元の拡張子が．ｄｏｃの列を参照すると、スコアが３以上のペースト先の拡張子は、．ｄｏｃである。追跡候補生成部１１２６は、最終トレース対象ファイル名で識別されるファイルをオープンしてからクローズするまでの間に、保存を行なっているファイルの拡張子が、．ｄｏｃのファイルのファイル名をトレース対象候補ファイルリスト２２１１に加える。トレース条件２１０５において拡張子の組み合わせのスコアの閾値は３以外でも良い。

【0142】

本実施の形態によれば、コピーアンドペーストが発生する可能性のあるファイルの拡張子間のスコアを予め定めておくことで、指定したスコアの閾値以上の拡張子の組み合わせについてトレースが可能となるため、全ての拡張子の組み合わせについてトレースする必要が無くなり、トレース処理が効率化される効果がある。

【0143】

この実施の形態では、トレースするファイルの拡張子の組み合わせに予めスコアをつけ一定のスコア以上の拡張子のファイルのみトレースするファイル追跡装置の一例を説明した。

【0144】

実施の形態５．
実施の形態１のトレースバックにおいて、ｓ４０２、ｓ４０３において、追跡候補生成部１１２６は、最終トレース対象ファイル名で識別されるファイルがオープン〜保存された期間に、別途オープン或いはクローズ或いは両方を行なっているファイルのファイル名をトレース対象候補ファイルリスト２２１１に加えたが、本実施の形態では、該期間に、別途オープン或いはクローズ或いは両方を行なっているファイルで、かつ、保存を行なったファイルについては、トレース対象候補ファイルリスト２２１１に加えない。コピー元としてファイルをオープンするのであれば、編集し保存することは少ないという予想に基づく。該保存の有無は、最終トレース対象ファイル名で識別されるファイルがオープン〜保存されたしぼり込み期間のログエントリを検索し、該ファイルの保存の有無を確認する。

【0145】

実施の形態２のトレースフォワードにおいては、ｓ４０２’において、追跡候補生成部１１２６は、トレース対象ファイルオープン日時からトレース対象ファイルクローズ日時までの間のログを切り出す、としているが、本実施の形態では、該オープン〜クローズを行った間に、最終トレース対象ファイル名で識別されるファイルが保存されていれば、切り出したログを破棄し、ｓ４０３’において、トレース対象候補ファイルリスト２２１１を空として終了する。これは、コピー元として最終トレース対象ファイル名で識別されるファイルをオープンするのであれば、編集し保存することは少ないという予想に基づく。該保存の有無は、該オープン〜クローズを行ったしぼり込み期間のログエントリ２１０の操作コマンド２１４を用いて検索する。操作コマンド２１４に保存操作を表す操作コマンドが記憶され、かつ、操作内容２１５に最終トレース対象ファイル名で識別されるファイルの保存を行ったことが記憶されているか判定する。

【0146】

本実施の形態によれば、コピーアンドペーストのコピー元としてファイルを参照する場合は、編集し保存することは少ないという予想に基づき、トレースバック、トレースフォワードの両方において、コピー元と考えられるファイルについて保存を行なっている場合は、コピー元の候補から除外することにより、コピー元ではない可能性のあるファイルをトレースする無駄を省く効果がある。

【0147】

この実施の形態では、コピー元の候補ファイルが保存されていた場合はコピー元の候補から除外する。ペースト先の候補ファイルの特定において、トレース対象のファイルが保存されていた場合は、該ペースト先の候補ファイルを候補ファイルから除外するとの動作を行うファイル追跡装置の一例を説明した。

【0148】

実施の形態６．
実施の形態１のトレースバックにおいて、ｓ４０３において、最終トレース対象ファイル名で識別されるファイルがオープン〜保存されたしぼり込み期間に、別途オープン或いはクローズ或いは両方を行なっているファイルをトレース対象候補ファイルリスト２２１１に加えるが、本実施の形態では、ｓ４０３において、追跡候補生成部１１２６は、該しぼり込み期間に別途オープン或いはクローズ或いは両方を行なっているファイルでかつ、該期間の直後に削除しているログエントリをトレース対象候補ファイルリスト２２１１に加える。これは、悪意をもってファイルの内容をコピーアンドペーストした場合、コピー元のファイルを削除して証拠を隠蔽することが考えられるためである。
該しぼり込み期間のログエントリのうち、別途オープン或いはクローズ或いは両方を行なっているログエントリについて、該しぼり込み期間の直後のログエントリを検索し、該ファイルの削除が記録されているか確認する。直後とは、例えば、１０分以内である。直後とする期間については、トレース条件２１０５で与えればよい。追跡候補生成部１１２６は、トレース条件２１０５を参照する。

【0149】

削除されたファイルのファイル名が追跡候補生成部１１２６で生成したトレース対象候補ファイルリスト２２１１に含まれていると、追加トレース判断部１１０７は、削除されたファイルをアクセスできないため、当該ファイルの情報を入力することができない。このため、追加トレース判断部１１０７は、ｓ２０５で、トレース対象候補ファイル名で識別されるファイルが削除されていてアクセスできない時は、実施の形態１で説明した類似度を比較する処理を行わずに、ｓ２０７に移行し、トレース対象候補ファイル名を含む操作内容２１５を有するログエントリ２１０を追加トレース対象ファイルリスト２２１０ａに追加する。

【0150】

実施の形態２のトレースフォワードにおいて、ｓ４０３’において、最終トレース対象ファイル名で識別されるファイルがオープン〜クローズされたしぼり込み期間に、別途保存されたファイルのファイル名をトレース対象候補ファイルリスト２２１１に加える。本実施の形態では、ｓ４０３’において、追跡候補生成部１１２６は、追加条件として、該しぼり込み期間の直後に最終トレース対象ファイル名で識別されるファイルを削除している場合は、該別途保存されたファイルをトレース対象候補ファイルリスト２２１１に加える。削除操作は、操作コマンド２１４に、削除操作を表す操作コマンドが記憶されている場合に削除が行われたと判定する。これは、悪意をもってファイルの内容をコピーアンドペーストした場合、コピー元のファイルを削除して証拠を隠蔽することが考えられるためである。
該しぼり込み期間のログエントリにおいて、該しぼり込み期間の直後のログを検索し、最終トレース対象ファイル名で識別されるファイルの削除が記録されているか確認する。直後とは、例えば、１０分以内である。直後とする期間については、トレース条件２１０５で与えればよい。追跡候補生成部１１２６は、トレース条件２１０５を参照する。

【0151】

削除されたファイルのファイル名が追跡候補生成部１１２６で生成したトレース対象候補ファイルリスト２２１１に含まれていると、追加トレース判断部１１０７は、削除されたファイルをアクセスできないため、当該ファイルの情報を入力することができない。このため、追加トレース判断部１１０７は、ｓ２０５’で、トレース対象候補ファイル名で識別されるファイルが削除されていてアクセスできない時は、実施の形態１で説明した類似度を比較する処理を行わずに、ｓ２０７’に移行し、トレース対象候補ファイル名を含む操作内容２１５を有するログエントリ２１０を追加トレース対象ファイルリスト２２１０ａに追加する。

【0152】

本実施の形態によれば、悪意を持ってファイルをコピーアンドペーストする場合、コピーアンドペースト後にコピー元ファイルを削除し証拠を隠蔽する可能性を鑑み、トレース対象候補ファイルリスト２２１１に加える条件として、トレースバックの場合は、最終トレース対象ファイル名で識別されるファイルがオープン〜保存された期間に別途オープン或いはクローズ或いは両方を行なっているファイルでかつ該期間の直後に削除しているものをトレース対象候補ファイルリスト２２１１に加えることにした。また、トレースフォワードの場合は、最終トレース対象ファイル名で識別されるファイルがオープン〜クローズされた期間の直後に該ファイルが削除されている場合は、該期間に保存した別ファイルのファイル名をトレース対象候補ファイルリスト２２１１に加えることにした。
この結果、トレース対象候補ファイルリスト２２１１に加えるファイル名を絞り込むことができるため、余分なトレースを行わなくてよい効果がある。

【0153】

この実施の形態では、コピー元の候補ファイルがクローズ直後に削除されている場合にコピー元のファイルとして確定する。ペースト先の候補ファイルに対するトレース対象ファイルが、クローズ直後に削除されていた場合は、ペースト先のファイルとして確定する動作を行うファイル追跡装置の一例を説明した。

【0154】

実施の形態７．
情報漏洩を鑑みた場合、組織の外部へ送出（漏洩）したファイルに多くのデータを含むほど漏洩時の被害が大きくなると考えられる。ファイル間でデータをコピーアンドペーストする場合において、コピー元ファイルが大きければ多くのデータをコピーできる可能性がある。また、ペースト先のファイルが大きければ多くのデータをペーストされた可能性がある。本実施の形態ではコピー元、ペースト先の候補とするファイルのファイルサイズに着目し、トレース対象の候補を絞り込むものである。

【0155】

実施の形態１のトレースバックにおいて、コピーアンドペーストファイル特定部１１０６の追跡候補生成部１１２６の動作を示すｓ４０３において、追跡候補生成部１１２６は、最終トレース対象ファイル名で識別されるファイルがオープン〜保存されたしぼり込み期間に、別途オープン或いはクローズ或いは両方を行なっているファイルをトレース対象候補ファイルリスト２２１１に加える。本実施の形態では、該しぼり込み期間に、別途オープン或いはクローズ或いは両方を行なっており、かつ、一定以上のファイルサイズのものをトレース対象候補ファイルリスト２２１１に加える。これは、コピー元とするファイルが一定以上のサイズ（サイズ閾値）であれば、データをコピーできる可能性があることに基づく。一定以上のファイルサイズとして、例えば、５００Ｋバイト以上などを指定する。このファイルサイズの条件は、トレース条件２１０５で指定すればよい。追跡候補生成部１１２６は、ファイルサイズを操作内容２１５から取得する。また、追跡候補生成部１１２６は、操作コマンド２１４にファイルを開く操作を表す操作コマンドが記憶されているか判定する。また、追跡候補生成部１１２６は、トレース条件２１０５を参照する。

【0156】

実施の形態２のトレースフォワードにおいて、コピーアンドペーストファイル特定部１１０６の追跡候補生成部１１２６動作を示すｓ４０３’において、追跡候補生成部１１２６は、最終トレース対象ファイル名で識別されるファイルがオープン〜クローズされたしぼり込み期間に、別途保存されたファイルをトレース対象候補ファイルリスト２２１１に加えている。本実施の形態では、該しぼり込み期間に、別途保存しており、かつ、一定以上のファイルサイズ（サイズ閾値）のものをトレース対象候補ファイルリスト２２１１に加える。これは、ペースト先とするファイルが一定以上のサイズであれば、データをペーストされている可能性があることに基づく。一定以上のファイルサイズとして、例えば、５００Ｋバイト以上などを指定する。このファイルサイズの条件は、トレース条件２１０５で指定すればよい。追跡候補生成部１１２６は、ファイルサイズを操作内容２１５から取得する。また、追跡候補生成部１１２６は、操作コマンド２１４にファイルを開く操作を表す操作コマンドが記憶されているか判定する。また、追跡候補生成部１１２６は、トレース条件２１０５を参照する。

【0157】

本実施の形態によれば、ファイル間でデータをコピーアンドペーストする場合は一定以上のデータ量をコピーアンドペーストすることを想定し、トレースバックではコピー元の候補のファイルサイズを一定以上のものに限定し、また、トレースフォワードではペースト先の候補のファイルをサイズを一定以上のものに限定することで、トレース対象候補ファイル名を絞り込むことができるため、余分なトレースを行わなくてよい効果がある。

【0158】

この実施の形態では、コピー元の候補ファイルが一定以上のサイズの場合にコピー元のファイルとして確定する。ペースト先の候補ファイルが一定以上のサイズの場合にペースト先のファイルとして確定する動作を行うファイル追跡装置の一例を説明した。

【0159】

実施の形態８．
コピーアンドペーストを行なう場合、コピー元ファイルをオープンし、内容をコピーし、直ぐにクローズしても、クリップボードと呼ばれるコピーデータの保存領域にコピーした内容が保存される。クローズした後、ペースト先ファイルへペーストすることが可能である。

【0160】

実施の形態１の様に、最終トレース対象ファイル名で識別されるファイルをオープン〜保存したしぼり込み期間に別途オープン或いはクローズ或いは両方を行なっているファイルのファイル名をトレース対象候補ファイル名とした場合、「コピー元ファイルでデータをコピー→直ぐクローズ→その後ペースト先ファイルをオープン→ペースト→保存」という操作を行なった場合にトレース対象候補ファイル名が見つからない。本実施の形態では、実施の形態１のトレースバックにおいて、コピーアンドペーストファイル特定部１１０６の追跡候補生成部１１２６の動作を示すｓ４０２を次の様に変更する。
ｓ４０２：トレース対象ファイル保存日時からｎ分遡りログを切り出す。

【0161】

この様に、切り出す対象のログの開始をトレース対象ファイルオープン日時とせず、トレース対象ファイル保存日時からｎ分遡った日時とすることで、追跡候補生成部１１２６は、トレース対象ファイルオープン日時よりも前の時間のログも含めて切り出す。従って、トレース対象ファイルオープン日時よりも前にオープン・コピー・クローズしたファイルについてもｓ４０３でトレース対象候補ファイルリスト２２１１に追加される。但し、トレース対象ファイル保存日時からｎ分遡った日時は、トレース対象ファイルオープン日時よりも前となるようにｎ分を設定する。

【0162】

トレース対象ファイル保存日時から遡る時間であるｎ分の指定によっては、トレース対象ファイルオープン日時よりも前にオープン・コピー・クローズしたファイルについてｓ４０３で抽出されない場合がある。例えば、「ファイルＡをオープン→データをコピー→クローズ」し、その２分後に「最終トレース対象ファイル名で識別されるファイルをオープン→ペースト→１０分後に保存」した場合を考える。ｎ＝１０分とした場合、トレース対象ファイル保存日時から１０分遡っても、ファイルＡのオープン〜クローズの期間はｓ４０２で切り出されるログには含まれない。
しかし、コピーしてからペーストせず長時間放置することは少ないと予想されるため、例えば、遡る時間は、
ｎ分＝「トレース対象ファイル保存日時−トレース対象ファイルオープン日時」＋△
において、△＝３０分などとすればよい。この様にすれば、トレース対象ファイルオープン日時よりも３０分前のログも切り出される。

【0163】

本実施の形態によれば、トレース対象ファイル保存日時から一定時間を遡ったログにおいて、別途オープン或いはクローズ或いはその両方を行なったファイルのファイル名をトレース対象候補ファイル名とするので、該ファイルの「オープン→データコピー→クローズ」後、「最終トレース対象ファイル名で識別されるファイルをオープン→ペースト→保存」するような場合においても、該ファイル名をトレース対象候補ファイル名として特定することが可能となる効果がある。

【符号の説明】

【0164】

１ ファイル追跡システム、９０ ファイルサーバ、９１ 機密ファイル、９４ メールサーバ、９６ ログ分析サーバ、９７ 操作ログ、２１０ ログエントリ、２１１ タイムスタンプ、２１２ 端末名、２１３ プロセス名、２１４ 操作コマンド、２１５ 操作内容、２１６ アプリケーション名、９０１ 表示装置、９０２ キーボード、９０３ マウス、９０４ ＦＤＤ、９０５ ＣＤＤ、９０６ プリンタ装置、９０７ スキャナ装置、９１０ システムユニット、９１１ ＣＰＵ、９１２ バス、９１３ ＲＯＭ、９１４ ＲＡＭ、９１５ 通信ボード、９２０ 磁気ディスク装置、９２１ ＯＳ、９２２ ウィンドウシステム、９２３ プログラム群、９２４ ファイル群、９３１ 電話器、９３２ ファクシミリ機、９４０ インターネット、９４１ ゲートウェイ、９４２ ＬＡＮ、１１０１ａ 外部入力ログファイル取り込み部、１１０１ｂ 外部出力ログファイル取り込み部、１１０２ａ 外部入力ファイル特定部、１１０２ｂ 外部出力ファイル特定部、１１０３ 操作ログファイル取り込み部、１１０４ トレース部、１１０５ トレース結果判断部、１１０６ コピーアンドペーストファイル特定部、１１０７ 追加トレース判断部、１１０８ 期間入力部、１１０９ 処理対象ログ記憶部、１１１４ 転送判定部、１１１６ しぼり込み期間取得部、１１２４ 変遷判定部、１１２６ 追跡候補生成部、２１０１ａ 外部入力ログファイル、２１０１ｂ 外部出力ログファイル、２１０３ 操作ログファイル、２２０１ａ 外部入力ログ、２２０１ｂ 外部出力ログ、２１０２ａ 外部入力ファイル特定条件、２１０２ｂ 外部出力ファイル特定条件、２１０４ トレース開始条件、２１０５ トレース条件、２１０６ トレース終了条件、２１０７ トレース結果、２１０８ 処理対象期間、２２０２ａ 外部入力ファイル名、２２０２ｂ 外部出力ファイル名、２２０３ａ ファイル入力日時、２２０３ｂ ファイル出力日時、２２０４ 操作ログ、２２０５ａ 最終変遷日時、２２０５ｂ トレース開始日時、２２０５ｃ トレース終了日時、２２０６ 最終トレース対象ファイル名、２２０７ 判定結果、２２０８ コピーアンドペースト調査指示、２２０９ 特定結果、２２１０ａ トレース対象ファイルリスト、２２１０ｂ 追加トレース対象ファイル名、２２１１ トレース対象候補ファイルリスト。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】

【図17】

【図18】