特開 2023-172259 セキュリティ監視プログラム、セキュリティ監視方法およびセキュリティ監視装置

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2023172259

(43)【公開日】2023-12-06

(54)【発明の名称】セキュリティ監視プログラム、セキュリティ監視方法およびセキュリティ監視装置

(51)【国際特許分類】

   G06F 21/57 20130101AFI20231129BHJP

【ＦＩ】

G06F21/57 370

【審査請求】未請求

【請求項の数】7

【出願形態】ＯＬ

(21)【出願番号】P 2022083934

(22)【出願日】2022-05-23

(71)【出願人】

【識別番号】000005223

【氏名又は名称】富士通株式会社

(74)【代理人】

【識別番号】100104190

【弁理士】

【氏名又は名称】酒井 昭徳

(72)【発明者】

【氏名】原田 将治

(57)【要約】

【課題】監視対象に対するユーザの行為と、監視対象の状態とを組み合わせて規則の遵守の実態に応じた有効な改善案を提示できること。
【解決手段】セキュリティ監視装置１００は、例えば、情報機器等の監視対象に対するユーザの行為の情報を収集し、予め定めた規則に対する行為による違反の有無を監査する。また監視対象の状態の情報を収集し、規則に対する状態による違反の有無を監査する。そして、セキュリティ監視装置１００は、行為の監査結果と、状態の監査結果との組み合わせに基づき、情報機器の複数の実態に対応して記憶部に予め設定された規則遵守の複数の改善案のなかから情報機器の実態に対応する改善案を選出し、選出した改善案を提示する。行為の監査結果である規則順守の有無と、状態の監査結果である規則順守の有無とを組み合わせは複数の実態に対応し、実態に応じた適切な改善策となる。
【選択図】図１

【特許請求の範囲】

【請求項1】

監視対象に対するユーザの行為の情報を収集し、予め定めた規則に対する前記行為による違反の有無を監査し、
前記監視対象の状態の情報を収集し、前記規則に対する前記状態による違反の有無を監査し、
前記行為の監査結果と、前記状態の監査結果との組み合わせに基づき、前記監視対象の複数の実態に対応して記憶部に予め設定された規則遵守の複数の改善案のなかから前記監視対象の実態に対応する改善案を選出し、
選出した前記改善案を提示する、
処理をコンピュータに実行させることを特徴とするセキュリティ監視プログラム。

【請求項2】

前記状態の情報の収集は、前記監視対象としての情報機器の現在の設定の状態の情報を収集し、
前記ユーザの行為の情報の収集は、前記情報機器に対し直近にユーザが行った設定操作の情報を収集する、
ことを特徴とする請求項１に記載のセキュリティ監視プログラム。

【請求項3】

前記ユーザの行為の情報の収集は、前記監視対象としての情報機器の操作ログの取得により行う、
ことを特徴とする請求項１に記載のセキュリティ監視プログラム。

【請求項4】

前記記憶部には、複数の改善案に対応するユーザあるいは管理部門を含む提示先が設定され、
前記提示は、前記記憶部に予め設定された前記提示先に前記改善案を提示する、
ことを特徴とする請求項１に記載のセキュリティ監視プログラム。

【請求項5】

前記行為による違反の有無の監査は、前記監視対象に対し過去の第１期間でユーザが行った行為の情報を複数収集し、前記第１期間で行われた行為の回数と、行為の違反の回数とに基づき、前記第１期間における行為の違反の割合を算出し、
前記状態による違反の有無の監査は、前記監視対象の現在を含む過去の第２期間での状態の情報を複数収集し、前記第２期間で収集した回数と、状態の違反の回数とに基づき、前記第２期間における状態の違反の割合を算出し、
前記改善案の選出は、前記行為の違反の割合と、前記状態の違反の割合との組み合わせに基づき、前記監視対象の複数の実態に対応して前記記憶部に予め設定された規則遵守の複数の改善案のなかから前記監視対象の実態に対応する改善案を選出する、
ことを特徴とする請求項１に記載のセキュリティ監視プログラム。

【請求項6】

監視対象に対するユーザの行為の情報を収集し、予め定めた規則に対する前記行為による違反の有無を監査し、
前記監視対象の状態の情報を収集し、前記規則に対する前記状態による違反の有無を監査し、
前記行為の監査結果と、前記状態の監査結果との組み合わせに基づき、前記監視対象の複数の実態に対応して記憶部に予め設定された規則遵守の複数の改善案のなかから前記監視対象の実態に対応する改善案を選出し、
選出した前記改善案を提示する、
処理をコンピュータに実行させることを特徴とするセキュリティ監視方法。

【請求項7】

監視対象に対するユーザの行為の情報を収集し、予め定めた規則に対する前記行為による違反の有無を監査し、
前記監視対象の状態の情報を収集し、前記規則に対する前記状態による違反の有無を監査し、
前記行為の監査結果と、前記状態の監査結果との組み合わせに基づき、前記監視対象の複数の実態に対応して記憶部に予め設定された規則遵守の複数の改善案のなかから前記監視対象の実態に対応する改善案を選出し、
選出した前記改善案を提示する、
制御部を有することを特徴とするセキュリティ監視装置。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、セキュリティ監視プログラム、セキュリティ監視方法、およびセキュリティ監視装置に関する。

【背景技術】

【0002】

情報機器や情報システムのセキュリティを保つには、常に変化する技術や知識に応じた規則を遵守する必要がある。セキュリティレベルの向上には、セキュリティ監視の結果に基づいた適切な対応を継続して行うことが求められる。

【0003】

先行技術としては、例えば、ユーザが選択したポリシに対する設定情報について、同一の設定項目に対して異なった設定内容を抽出し、ユーザに適切な設定内容を選択するインタフェースを設ける技術がある。また、監査対象情報機器から定期的に収集したログに基づいて、違反内容に基づいたセキュリティ施策の改善案を提示する技術がある。また、製品やサービス毎のセキュリティ対策の重要度に基づいて、適合するソリューションを決定する技術がある。また、保守対象装置の監査ログと警報ログを取得し、保守対象装置が作業シナリオに従った保守作業が実施できているかを監査する技術がある。また、ユーザの複数種類のログを取得し、所定期間におけるユーザ操作のセキュリティ上の不正の回数に基づいて、ユーザのセキュリティに関する評価をスコア付けする技術がある。また、ユーザの操作ログや環境情報を収集し、セキュリティポリシ違反の件数や違反回数に応じて、ユーザにポリシ違反についての教育を実行し、教育によりポリシ違反が改善されたか監視する技術がある。また、システム内でのユーザ行動を電子情報に変換してデータ破壊などを阻止する行為を監視し、組織にセキュリティポリシを適用し、ユーザの意思や思考要因を推定する技術がある。また、ファイルシステムを集中監視し、ファイルにアクセスしたユーザのデータを収集してセキュリティポリシに違反するアクセスがあれば警報を発する技術がある。

【先行技術文献】

【特許文献】

【0004】

【特許文献1】特開２００２－２４７０３３号公報

【特許文献2】特開２００４－１８５４５５号公報

【特許文献3】特開２００６－２３５６９２号公報

【特許文献4】特開２０２１－１６２９７１号公報

【特許文献5】特開２０１９－２０４３８９号公報

【特許文献6】特開２００９－０９８９６８号公報

【特許文献7】米国特許出願公開第２０１９／０１２４１１８号明細書

【特許文献8】米国特許出願公開第２０２０／００６７９８８号明細書

【発明の概要】

【発明が解決しようとする課題】

【0005】

しかしながら、従来技術では、規則の違反に対する対処を行うが、違反の原因に対する対処が行えず、セキュリティ向上のための具体的対処を十分に行えなかった。例えば、従来技術では、情報機器の設定の状態に対する違反の有無のみを判断しており、ユーザによる設定操作等の行為や、行為と状態との関係を含めた規則の遵守の実態に対する有効な改善案を提示できなかった。

【0006】

一つの側面では、本発明は、監視対象に対するユーザの行為と、監視対象の状態とを組み合わせて規則の遵守の実態に応じた有効な改善案を提示できることを目的とする。

【課題を解決するための手段】

【0007】

一つの実施態様によれば、監視対象に対するユーザの行為の情報を収集し、予め定めた規則に対する前記行為による違反の有無を監査し、前記監視対象の状態の情報を収集し、前記規則に対する前記状態による違反の有無を監査し、前記行為の監査結果と、前記状態の監査結果との組み合わせに基づき、前記監視対象の複数の実態に対応して記憶部に予め設定された規則遵守の複数の改善案のなかから前記監視対象の実態に対応する改善案を選出し、選出した前記改善案を提示する、セキュリティ監視プログラム、セキュリティ監視方法、およびセキュリティ監視装置が提案される。

【発明の効果】

【0008】

一態様によれば、監視対象に対するユーザの行為と、監視対象の状態とを組み合わせて規則の遵守の実態に応じた有効な改善案を提示できるようになる。

【図面の簡単な説明】

【0009】

【図1】図１は、実施の形態にかかるセキュリティ監視方法の一実施例を示す説明図である。

【図2】図２は、セキュリティ監視システムの構成例を示す図である。

【図3】図３は、セキュリティ監視装置のハードウェア構成例を示すブロック図である。

【図4】図４は、セキュリティ監視装置の機能的構成例を示すブロック図である。

【図5】図５は、改善案データベースの記憶内容の一例を示す説明図である。

【図6】図６は、セキュリティ監視の処理手順の一例を示すフローチャートである。

【図7】図７は、改善案提示にかかる従来技術と実施の形態の比較例を示す図表である。

【図8】図８は、他の実施の形態にかかるセキュリティ監視方法の一実施例を示す説明図である。

【図9】図９は、他の実施の形態にかかる改善案データベースの記憶内容の一例を示す説明図である。

【図10】図１０は、他の実施の形態にかかるセキュリティ監視の処理手順の一例を示すフローチャートである。

【発明を実施するための形態】

【0010】

以下に、図面を参照して、本発明にかかるセキュリティ監視プログラム、セキュリティ監視方法、およびセキュリティ監視装置の実施の形態を詳細に説明する。

【0011】

（実施の形態にかかるセキュリティ監視方法の一実施例）
図１は、実施の形態にかかるセキュリティ監視方法の一実施例を示す説明図である。実施の形態のセキュリティ監視装置１００は、監視対象の例として、情報機器に対するユーザの操作等の行為と、情報機器の状態との組み合わせに基づいて、規則の遵守のための改善案を提示するコンピュータである。

【0012】

セキュリティ監視装置１００は、例えば、サーバ、または、ＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）などである。実施の形態のセキュリティ監視方法は、例えば、サーバが監視対象のＰＣ等の情報機器に接続され、ＰＣにおける規則の遵守を監視する。このほか、監視対象のＰＣ等の情報機器の記憶部にソフトウェアとして記憶し、ＰＣのプロセッサがプログラム実行することで、自ＰＣにおける規則の遵守を監視することもできる。

【0013】

従来、規則の遵守の監視は、情報機器に対し定めた規則、例えば、「○○の通信設定はＺ以内とする」に対する違反の有無を判断している。例えば、監視装置は、違反に対する改善案として「設定画面の通信をクリックし、詳細タブの○○の値にＺと入力しＯＫボタンをクリックする」と提示し、ユーザがこの提示に従った設定を行えば規則を遵守したと判断している。

【0014】

しかしながら、上記の監視方法では、実態に対応した違反の原因への対応ができず、原因への対処を適切に行えない。例えば、違反の原因として複数の事象（Ｃａｓｅ）がある。Ｃａｓｅ１では、違反の原因がソフトウェアやＯＳの場合、改善案に従って一時的に遵守できるが、ソフトウェアの継続的な利用や、ＯＳのアップデート等に伴って設定値が変わることがある。ここで、従来は、設定値の違反しか見ていないため、変化した設定値に基づき違反と判断してしまい、違反の実態である根本原因を判断できない。

【0015】

Ｃａｓｅ２では、ユーザに規則の遵守の意思がない、あるいはユーザが規則を誤解していることが原因である場合、ユーザが改善案を実施しない、あるいは異なる設定をすることで違反と判断することがある。この場合、設定値は正しかった場合でも、ユーザが正しい設定を認知していない場合があり、この状態を正しく判断できない。従来は、これらのように、ユーザの規則の遵守の実態に対応した有効かつ具体的な改善案を提示できず、セキュリティを向上することができなかった。

【0016】

そこで、本実施の形態のセキュリティ監視装置１００では、情報機器やシステムに対する設定状態のセキュリティの監視結果と、ユーザの直近の設定操作行為のセキュリティ監視結果とを組み合わせ、組み合わせのそれぞれに対応する改善案を提示する。

【0017】

セキュリティ監視装置１００は、情報機器の設定の状態を監視することで、情報機器やシステムが適切な状態になっていることを判断する。また、セキュリティ監視装置１００は、ユーザの設定操作の行為を監視することで、ユーザの遵守意思を推測する。そして、セキュリティ監視装置１００は、これら設定の状態とユーザの行為の監視結果を組み合わせることで、実態をより適切に判断し、実態に基づいた改善案を提示する。

【0018】

セキュリティ監視装置１００は、以下の処理を行う。

【0019】

（１）セキュリティ監視装置１００は、１．情報機器に対して所定のセキュリティの規則を設定する。例えば、「○○設定はＺ以内とする」を設定する。例えば、規則として、監視対象の情報機器に対する通信設定は固定値Ｚ、あるいは所定範囲Ｚである。

【0020】

（２）セキュリティ監視装置１００は、２．上記規則に対する直近のユーザの設定操作に関わる行為の情報を収集する。セキュリティ監視装置１００は、監視処理を実行する時点を現在として、例えば、情報機器から過去（時期ｔａ）の操作ログ１０１を収集する。操作ログ１０１は、例えば、「○○設定の値をＸにした」とのユーザの設定操作の情報が含まれる。セキュリティ監視装置１００は、情報機器から取得した過去の行為による規則違反の有無を監査する。例えば、監査とは、情報の監視の処理と、監視した情報に基づく規則違反の有無の判断の処理とを含む。

【0021】

（３）セキュリティ監視装置１００は、３．上記規則に対する現在の情報機器の設定の状態の情報を取得する。セキュリティ監視装置１００は、現在（時期ｔｂ）の情報機器の設定値１０２を収集する。設定値１０２は、例えば、「○○設定値Ｙ」との情報機器の現在の設定の状態が含まれる。セキュリティ監視装置１００は、情報機器から取得した現在の状態の規則違反の有無を監査する。

【0022】

（４）セキュリティ監視装置１００は、４．行為の監査結果と状態の監査結果とに基づき、規則の遵守の実態を推測する。セキュリティ監視装置１００は、行為の判断結果と、設定の判断結果とを組み合わせ、組み合わせに基づき、遵守の実態を推測する。

【0023】

セキュリティ監視装置１００は、行為による規則違反の有無（○×の２通り）と、状態の規則違反の有無（○×の２通り）と、を組み合わせた４通りの実態を推測する。図１には、参考までに４通りの実態の推測結果を示す。ここで、セキュリティ監視装置１００は、実態の推測処理自体は行う必要がなく、セキュリティ監視装置１００は、推測した４通りの実態に対応した４通りの改善案を選出する処理を行う。これら４通りの実態、および４通りの改善案は、予めセキュリティ監視装置１００の記憶部にデータベースとして設定しておく。

【0024】

（５）セキュリティ監視装置１００は、５．上記の行為と状態の判断結果に基づきセキュリティ向上の改善案をユーザに提示する。セキュリティ監視装置１００は、例えば、上記４通りの実態の推測結果のそれぞれに対応する改善案をデータベースから選出して提示する。

【0025】

図１に示す例では、組み合わせ結果１は、行為と状態がいずれも規則違反がない場合であり、実態は「主体的に規則が遵守でき、状態も問題がない」。この組み合わせ結果１の場合、セキュリティ監視装置１００は、ユーザに対して改善案の通知は行わない、あるいはＯＫの旨や遵守の感謝の旨を通知する。

【0026】

また、組み合わせ結果２は、行為の違反があり、状態に違反がない場合であり、実態は「遵守意思はないが、状態は問題がない」。この組み合わせ結果２の場合、セキュリティ監視装置１００は、ユーザに対し規則の周知のために、規則の目的や所定の教育の実施の旨を通知する。

【0027】

また、組み合わせ結果３は、行為に違反がなく、状態に違反がある場合であり、実態は「遵守意思はあるが、状態は違反（システム側が問題）」である。この組み合わせ結果３では、システム側が問題であるため、セキュリティ監視装置１００は、システムの管理部門にソフトウェアやＯＳのシステム調査依頼の旨を通知する。

【0028】

また、組み合わせ結果４は、行為と、状態に違反がある場合であり、実態は「遵守意思もなく、状態も違反」である。この組み合わせ結果４の場合、セキュリティ監視装置１００は、セキュリティ管理の管理職に実態調査を依頼し、ユーザに状況説明を依頼する旨を通知する。このように、セキュリティ監視装置１００は、改善案の通知を実態別に、ユーザ本人、やシステム管理部門、セキュリティ部門の管理者等に適切に振り分ける。

【0029】

以上のように、実施の形態によれば、監視対象の情報機器について、情報機器に対して行ったユーザの行為と、情報機器の現在の状態との組み合わせに応じた実態に基づき、複数の改善案のうち適切な改善案を提示する。また、行為と状態の組み合わせることで、規則の遵守の実態別に違反がユーザの行為によるものであるか、あるいは情報機器の不具合等によるものであるかを判別できるようになり、改善案を実態別に適した通知先に通知できるようになる。これにより、情報機器に対する適切な改善案を実施でき、セキュリティ向上を図れるようになる。

【0030】

（セキュリティ監視システムの構成例）
図２は、セキュリティ監視システムの構成例を示す図である。図２（ａ）のシステム構成例は、監視対象が複数のユーザのＰＣ等の情報機器２００（２００ａ～２００ｎ）であり、各情報機器２００は、有線または無線のネットワーク２１０を介して図１に示したセキュリティ監視装置１００に接続される。ネットワーク２１０は、例えば、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）、インターネットなどである。セキュリティ監視装置１００は、汎用のサーバを用いて構成できる。

【0031】

例えば、セキュリティ監視装置１００は、各情報機器２００に対し、上記１．の規則を通知する。この規則の通知により、各情報機器２００のユーザは、情報機器２００に対し、設定の操作を行う。セキュリティ監視装置１００は、上記２．の規則に対する直近のユーザの設定操作に関わる行為の情報を操作ログ等により収集する。また、セキュリティ監視装置１００は、上記３．規則に対する現在の情報機器２００の設定の情報を取得する。

【0032】

そして、セキュリティ監視装置１００は、上記４．情報機器２００から取得した行為と状態の情報に基づき、既存の遵守の実態を判断し、上記５．行為と状態の判断結果に基づいたセキュリティ向上の改善案を各ユーザの情報機器２００に送信する。

【0033】

また、図２（ｂ）のシステム構成例に示すように、監視対象の情報機器２００にセキュリティ監視装置１００の機能を有してもよい。この場合、情報機器２００の記憶部２０１に上記１．～５．の監視処理プログラムを格納し、情報機器２００のプロセッサがプログラムを実行処理する。これにより、情報機器２００における行為と状態の判断結果に基づいたセキュリティ向上の改善案を自情報機器２００等に提示できる。

【0034】

（セキュリティ監視装置のハードウェア構成例）
次に、図３を用いて、セキュリティ監視装置１００のハードウェア構成例について説明する。

【0035】

図３は、セキュリティ監視装置のハードウェア構成例を示すブロック図である。図３において、セキュリティ監視装置１００は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）３０１と、メモリ３０２と、ネットワークＩ／Ｆ（Ｉｎｔｅｒｆａｃｅ）３０３と、記録媒体Ｉ／Ｆ３０４と、記録媒体３０５とを有する。また、各構成部は、バス３００によってそれぞれ接続される。

【0036】

ここで、ＣＰＵ３０１は、セキュリティ監視装置１００の全体の制御を司る制御部である。メモリ３０２は、例えば、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）およびフラッシュＲＯＭなどを有する。具体的には、例えば、フラッシュＲＯＭやＲＯＭが各種プログラムを記憶し、ＲＡＭがＣＰＵ３０１のワークエリアとして使用される。メモリ３０２に記憶されるプログラムは、ＣＰＵ３０１にロードされることにより、コーディングされている処理をＣＰＵ３０１に実行させる。

【0037】

ネットワークＩ／Ｆ３０３は、通信回線を通じてネットワーク３１０に接続され、ネットワーク２１０を介して他のコンピュータに接続される。そして、ネットワークＩ／Ｆ３０３は、ネットワーク２１０と内部のインタフェースを司り、他のコンピュータからのデータの入出力を制御する。ネットワークＩ／Ｆ３０３は、例えば、モデムやＬＡＮアダプタなどである。

【0038】

記録媒体Ｉ／Ｆ３０４は、ＣＰＵ３０１の制御に従って記録媒体３０５に対するデータのリード／ライトを制御する。記録媒体Ｉ／Ｆ３０４は、例えば、ディスクドライブ、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）ポートなどである。記録媒体３０５は、記録媒体Ｉ／Ｆ３０４の制御で書込まれたデータを記憶する不揮発メモリである。記録媒体３０５は、例えば、ディスク、半導体メモリ、ＵＳＢメモリなどである。記録媒体３０５は、セキュリティ監視装置１００から着脱可能であってもよい。

【0039】

セキュリティ監視装置１００は、上述した構成部の他、例えば、キーボード、マウス、ディスプレイ、プリンタ、スキャナ、マイク、スピーカーなどを有してもよい。また、セキュリティ監視装置１００は、記録媒体Ｉ／Ｆ３０４や記録媒体３０５を複数有していてもよい。また、セキュリティ監視装置１００は、記録媒体Ｉ／Ｆ３０４や記録媒体３０５を有していなくてもよい。

【0040】

図２に示した情報機器２００のハードウェア構成例は、具体的には、図３に示したセキュリティ監視装置１００のハードウェア構成例と同様であるため、説明を省略する。

【0041】

（セキュリティ監視装置の機能的構成例）
次に、図４を用いて、セキュリティ監視装置１００の機能的構成例について説明する。

【0042】

図４は、セキュリティ監視装置の機能的構成例を示すブロック図である。セキュリティ監視装置１００は、行為監査部４０１と、状態監査部４０２と、改善案選出部４０３と、改善案データベース４０４と、改善案出力部４０５とを含む。

【0043】

行為監査部４０１は、監視対象の情報機器に対してユーザが行った設定の行為の情報を取得する。行為監査部４０１は、情報機器に対してユーザが行った設定の操作を含む操作ログを取得する。行為監査部４０１は、取得した操作ログ等に基づき、情報機器に対してユーザが過去に行った設定の行為が規則を遵守したものであるか、あるいは規則違反であるかを監査する。

【0044】

例えば、行為監査部４０１は、情報機器の操作ログ等に基づき、規則に対する直近（すなわち現在以前の過去）のユーザの設定操作に関わる行為が規則に対する遵守（１）であるか違反（０）であるかを示す２値の情報（１／０）を改善案選出部４０３に出力する。

【0045】

状態監査部４０２は、監視対象の情報機器の設定の状態の情報を取得する。状態監査部４０２は、情報機器の設定の状態の情報を取得する。状態監査部４０２は、情報機器の設定の状態の情報を取得し、現在の情報機器の設定の状態が規則を遵守したものであるか、あるいは規則違反であるかを監査する。

【0046】

例えば、状態監査部４０２は、情報機器の現在の設定の状態が規則に対する遵守（１）であるか違反（０）であるかを示す２値の情報（１／０）を改善案選出部４０３に出力する。

【0047】

改善案選出部４０３は、入力された行為と、状態に関する監査の結果に基づき、改善案データベース４０４を参照して、行為と状態の組み合わせに対応する改善案を選出し、改善案出力部４０５に出力する。

【0048】

改善案データベース４０４には、行為と、状態の組み合わせに対応して推測した実態に対応する複数の改善案が設定されている。また、改善案データベース４０４には、行為と、状態の組み合わせ毎に、改善案を通知する通知先が設定されている。改善案選出部４０３は、行為の遵守の有無と、状態の遵守の有無との組み合わせに対応した一つの改善案を選出する。

【0049】

改善案出力部４０５は、改善案選出部４０４が選出した改善案を該当する通知先に提示する。改善案に適した通知先は、改善案データベース４０４に予め設定されており、改善案毎に適した通知先に通知できる。

【0050】

図４に示した行為監査部４０１、状態監査部４０２、改善案選出部４０３、改善案出力部４０５は、図３に示したメモリ３０２や記録媒体３０５に格納されたプログラムをＣＰＵ３０１が実行することで機能実現できる。図４に示した改善案データベース４０４は、図３に示した記録媒体３０４を用いて機能実現できる。

【0051】

次に、セキュリティ監視装置１００のデータベースについて説明する。

【0052】

（改善案データベースの記憶内容）
図５は、改善案データベースの記憶内容の一例を示す説明図である。図５に示すように、改善案データベース４０４は、行為の監査結果と、状態の監査結果の組み合わせ別に改善案の通知対象者（改善案の通知先）と、改善案の各情報のフィールドを有する。改善案データベース４０４は、行為の監査結果と、状態の監査結果との組み合わせ毎に各フィールドに情報を設定したレコード４０４－ａとして記憶される。ａは、任意の整数である。

【0053】

図５において、行為と状態の〇／×は、規則に対する遵守（１）であるか違反（０）であるかを示す２値の情報（１／０）に対応しているため、改善案データベース４０４は、４つのレコード４０４－１～４０４－４を有する。

【0054】

図５に示すように、レコード４０４－１は、上記の組み合わせ結果１に対応し、行為と状態がいずれも規則違反がない場合の設定である。セキュリティ監視装置１００は、行為の監査結果と、状態の監査結果がレコード４０４－１に相当する場合、ユーザ（本人）を通知先とし、改善案自体は、なしまたは「ＯＫ」の旨を通知する。また、ユーザに対し遵守の感謝の旨を通知する。

【0055】

また、レコード４０４－２は、上記の組み合わせ結果２に対応し、行為の違反があり、状態に違反がない場合の設定である。セキュリティ監視装置１００は、行為の監査結果と、状態の監査結果がレコード４０４－２に相当する場合、ユーザ（本人）を通知先とし、規則の周知、および規則の目的や所定の教育の実施の旨を通知する。

【0056】

また、レコード４０４－３は、上記の組み合わせ結果３に対応し、行為に違反がなく、状態に違反がある場合の設定である。セキュリティ監視装置１００は、行為の監査結果と、状態の監査結果がレコード４０４－３に相当する場合、システム管理部門にソフトウェアやＯＳのシステム調査依頼の旨を通知する。

【0057】

また、レコード４０４－４は、上記の組み合わせ結果４に対応し、行為と、状態に違反がある場合の設定である。セキュリティ監視装置１００は、行為の監査結果と、状態の監査結果がレコード４０４－４に相当する場合、管理職に実態確認を依頼する旨を通知する。

【0058】

（セキュリティ監視装置の処理例）
次に、セキュリティ監視装置１００による処理例について説明する。

【0059】

図６は、セキュリティ監視の処理手順の一例を示すフローチャートである。図６は、セキュリティ監視装置１００の制御部であるＣＰＵ３０１が実行する処理を示す。

【0060】

はじめに、セキュリティ監視装置１００は、監査対象である情報機器に対する直近のユーザの行為による規則違反の有無を監査する（ステップＳ６０１）。例えば、セキュリティ監視装置１００は、情報機器から収集した操作ログ１０１に含まれ、過去にユーザが行った操作の行為による違反の有無を判断する。

【0061】

次に、セキュリティ監視装置１００は、監査対象である情報機器の状態の規則違反の有無を監査する（ステップＳ６０２）。例えば、セキュリティ監視装置１００は、情報機器から現在の設定値１０２を取得し、現在の情報機器の設定の状態の違反の有無を判断する。

【0062】

次に、セキュリティ監視装置１００は、行為の監査結果と状態の監査結果とに基づき、事前に定義された改善案を選出する（ステップＳ６０３）。例えば、セキュリティ監視装置１００は、行為の監査結果が示す違反の有無と、状態の監査結果が示す違反の有無との組み合わせに対応する改善案を改善案データベース４０４から選出する。

【0063】

次に、セキュリティ監視装置１００は、選出した改善案を通知対象者に提示し（ステップＳ６０４）、以上の処理を終了する。例えば、セキュリティ監視装置１００は、改善案データベース４０４から選出した改善案に対応する通知先に改善案を送信する。

【0064】

（従来技術と実施の形態の比較例）
図７は、改善案提示にかかる従来技術と実施の形態の比較例を示す図表である。図７（ａ）は従来技術による改善案の提示例、図７（ｂ）は実施の形態による改善案の提示例を示す。

【0065】

図７（ａ）に示すように、従来技術では、情報機器の設定値に対する違反の有無しか監査していない。このため、従来技術では、情報機器の設定が遵守されていれば改善案は問題なし」とし、情報機器の設定値に設定違反があれば、違反と判断して「△△を□□にする」との改善案を出力している。

【0066】

このような従来技術では、上述したＣａｓｅ１，Ｃａｓｅ２に対応した適切な改善案を提示できない。Ｃａｓｅ１では、違反の原因がソフトウェアやＯＳの場合、ソフトウェアの継続的な利用や、ＯＳのアップデート等に伴って設定値が変わる。従来技術では、設定値の違反しか見ていないため、変化した設定値に基づき違反と判断してしまい違反の根本原因を判断できない。

【0067】

また、Ｃａｓｅ２では、ユーザに規則の遵守の意思がない、あるいはユーザが規則を誤解していることが原因である場合、ユーザが改善案を実施しない、あるいは異なる設定をすることで違反と判断してしまう。従来技術では、設定値は正しかった場合でも、ユーザが正しい設定を認知していない場合があっても、この状態を正しく判断できない。このように、従来技術では、ユーザの規則の遵守の実態を適切に判断できないため、実態に基づいた有効かつ具体的な改善案を提示できず、セキュリティ向上できなかった。

【0068】

これに対し、図７（ｂ）に示す実施の形態のセキュリティ監視装置１００は、ユーザの行為に対する監査を行い、情報機器の状態に対する監査を行う。そして、セキュリティ監視装置１００は、行為の監査結果と、状態の監査結果との組み合わせに対する複数通りの実態に対応して、複数通りそれぞれの改善案を提示する。図７（ｂ）に示すように、行為に対する違反の有無と、状態に対する違反の有無との組み合わせは４通りあり（符号７０１～７０４）、４通りでそれぞれ異なる実態が推測される。セキュリティ監視装置１００は、この４通りの実態に対応してそれぞれ異なる複数の改善案を提示することができる。

【0069】

例えば、行為に違反がなく状態が違反の場合（符号７０３）は、上記Ｃａｓｅ１で説明したソフトウェアの継続的な利用や、ＯＳのアップデート等に伴って設定値が変わった場合の実態に対応している。この場合、実態としてユーザに遵守意思があるが情報機器の状態が違反であると推測し、セキュリティ監視装置１００は、改善案をユーザではなく、提示先として適切なシステム管理部門に通知できる。

【0070】

また、行為に違反があり状態に違反がない場合（符号７０２）は、上記Ｃａｓｅ２で説明したユーザに規則の遵守の意思がない、あるいはユーザが規則を誤解していることが原因である場合の実態に対応している。この場合、実態としてユーザに遵守意思がないが情報機器の状態は問題ないと推測し、セキュリティ監視装置１００は、改善案をユーザ本人に対し通知できる。また、行為に違反があり状態も違反している場合（符号７０４）にも対応できる。この場合、セキュリティ部門に通知し、また、ユーザ本人に対しても通知を行う。このように、実施の形態によれば、従来技術に対して実態をより細かく正確に推測した結果に対応して判断し、実態別の改善案を適切な通知先に提示できる。

【0071】

（他の実施の形態）
次に、本発明のセキュリティ監視装置の他の実施の形態について説明する。上述した実施の形態では、状態について現在の通信機器の状態を監査したが、他の実施の形態では過去を含め複数の状態を監査する。

【0072】

図８は、他の実施の形態にかかるセキュリティ監視方法の一実施例を示す説明図である。セキュリティ監視装置１００は、上記の実施の形態で説明したハードウェア構成（図３）および機能ブロック（図４）を有し、下記１．～５．の処理を実施する。

【0073】

（１）セキュリティ監視装置１００は、１．情報機器に対して所定のセキュリティの規則を設定する。例えば、「○○設定はＺ以内とする」を設定する。例えば、規則として、監視対象の情報機器に対する通信設定は固定値Ｚ、あるいは所定範囲Ｚである。

【0074】

（２）セキュリティ監視装置１００は、２．上記規則に対する所定の期間Ｔ１内のユーザの設定操作に関わる行為の情報を収集する。セキュリティ監視装置１００は、監視処理を実行する時点を現在として、例えば、現在から過去の所定期間Ｔ１内のユーザの操作ログ１０１を収集する。操作ログ１０１は、例えば、「○○設定の値をＸにした」とのユーザの設定操作の情報が含まれる。図１の例では、セキュリティ監視装置１００は、時期ｔａ１～ｔａ３でそれぞれ操作ログ１０１を収集している。

【0075】

セキュリティ監視装置１００は、所定期間Ｔ１における、通信機器に対するユーザの設定行為の回数と、行為の規則違反の有無を監査する。

【0076】

（３）セキュリティ監視装置１００は、３．上記規則に対する所定の期間Ｔ２内の情報機器の設定の状態の情報を取得する。セキュリティ監視装置１００は、現在から過去の所定期間Ｔ２内の情報機器の設定値１０２を収集する。設定値１０２は、例えば、「○○設定値Ｙ」との情報機器の現在の設定の状態が含まれる。図１の例では、セキュリティ監視装置１００は、時期ｔｂ１～ｔｂ５でそれぞれ設定値１０２を収集している。

【0077】

所定の期間Ｔ１は、現在時点を含まない過去の期間であるのに対し、期間Ｔ２は、過去の時期ｔ０から現在までの期間である。例えば、セキュリティ監視装置１００は、所定の期間Ｔ１分の操作ログ１０１を収集することにより、この操作ログ１０１に含まれる複数の時期ｔａ（ｔａ１～ｔａ３）におけるユーザの設定の操作の行為を収集する。また、セキュリティ監視装置１００は、例えば、所定の期間Ｔ２として、過去の時期ｔ０から１時間に１回等の周期で定期的に情報機器から設定値１０２を収集する。セキュリティ監視装置１００は、期間Ｔ１内で収集する複数の操作ログ１０１を収集する時期ｔａ（ｔａ１～ｔａ３）と、期間Ｔ２内で収集する複数の設定値１０２を収集する時期ｔｂ（ｔｂ１～ｔｂ５）とは、互いに非同期に収集する。

【0078】

セキュリティ監視装置１００は、所定期間Ｔ２における、通信機器の状態を監査した回数と、ユーザの設定行為の回数と、状態の規則違反の有無を監査する。

【0079】

（４）セキュリティ監視装置１００は、４．行為の監査結果と状態の監査結果とに基づき、既存の遵守の実態を推測する。セキュリティ監視装置１００は、行為の判断結果と、設定の判断結果とを組み合わせ、組み合わせ別の遵守の実態を推測する。なお、上述した実施の形態同様に、この他の実施の形態においても、セキュリティ監視装置１００は、実態の推測処理自体は行わず、行為と設定の組み合わせが設定されたデータベース参照により、組み合わせ別の改善案を選出する。

【0080】

セキュリティ監視装置１００は、行為の適合率および状態の適合率をそれぞれ算出する。例えば、適合率は、規則に対する違反がない割合を示す。ここで、セキュリティ監視装置１００は、所定期間Ｔ１における規則違反がない行為の回数と、全体の行為の回数とに基づき行為の適合率を算出する。例えば、セキュリティ監視装置１００は、行為の適合率＝規則違反がない行為の回数／全体の行為の回数、により算出する。図１の例に示す全体で３回取得した操作ログ１０１が示す設定の行為の回数のうち規則違反がない行為の回数が２回であれば、行為の適合率は、約７割（６６％）となる。

【0081】

また、セキュリティ監視装置１００は、所定期間Ｔ２における規則違反がない状態の監査回数と、全体の監査回数とに基づき状態の適合率を算出する。例えば、セキュリティ監視装置１００は、状態の適合率＝規則違反がない状態の監査回数／全体の監査回数、により算出する。図１の例に示す５回取得した設定値１０２が示す状態の監査回数のうち規則違反がない状態の回数が４回であれば、行為の適合率は８割（８０％）となる。

【0082】

（５）セキュリティ監視装置１００は、５．上記の行為の監査結果の適合率と、行為の回数（頻度）と、状態の監査結果の適合率とに基づき、セキュリティ向上の改善案をユーザに提示する。セキュリティ監視装置１００は、これら行為の監査結果の適合率と、行為の回数（頻度）と、状態の監査結果の適合率との組み合わせ別の改善案を、予めセキュリティ監視装置１００のデータベースに設定しておく。セキュリティ監視装置１００は、実態の判断結果にそれぞれ対応する改善案を改善案データベースから選出して提示する。

【0083】

行為の監査結果の適合率と、行為の回数（頻度）と、状態の監査結果の適合率との関係について説明する。セキュリティ監視装置１００は、行為の監査結果の適合率については、所定期間Ｔ１における行為の適合、不適合を計測する。ここで、行為の適合率が高い場合において、状態の適合率が高ければユーザによる規則の遵守意識が高い実態を推定でき、状態の適合率が低ければ、通信機器のソフトウェア等の設定にミスがある実態等と推定できる。また、行為の適合率が半分程度の場合において、状態の適合率が高ければ、ユーザによる意図的な規則逃れの恐れがある実態と推定でき、状態の適合率が低ければ、通信機器に規則と相反する事象の発生がある等の実態と推定できる。また、行為の適合率が低い場合において、状態の適合率が高ければ、ユーザによる規則の遵守意識が低い実態を推定でき、状態の適合率が低ければ、ユーザによる規則の遵守意識がない実態と推定できる。

【0084】

また、セキュリティ監視装置１００は、状態の監査結果の適合率については、所定期間Ｔ２における状態の適合、不適合を計測する。ここで、行為の適合率が低くても、状態の適合率が高いものが多い場合には、セキュリティのリスクが少ない実態と推定できる。また、行為の適合率が高くても、不適合の状態が多い場合には、セキュリティのリスクが大きい実態と推定できる。

【0085】

他の実施の形態のセキュリティ監視装置１００は、上記推定の各実態に対応した複数の改善案を設定した改善案データベース９０４を設ける。

【0086】

図９は、他の実施の形態にかかる改善案データベースの記憶内容の一例を示す説明図である。図９に示す改善案データベース９０４は、時期ｔ０～現在までの期間を１カ月とした、この所定期間における行為の適合率と、行為の回数と、状態の適合率の組み合わせ別に改善案の通知対象者（改善案の通知先）と、改善案の各情報のフィールドを有する。改善案データベース９０４は、行為の適合率と、行為の回数と、情報機器の状態の適合率との組み合わせ毎に、各フィールドに情報を設定したレコード９０４－ａとして記憶される。ａは、任意の整数である。図９に示す例の改善案データベース９０４では、行為の適合率と、行為の回数と、状態の適合率の組み合わせは、８つのレコード９０４－１～９０４－８を有する。

【0087】

図９に示す改善案データベース９０４の設定例では、行為の適合率については８割を閾値とし、８割以上あるいは８割未満で異なる設定としている。また、状態の適合率については９割を閾値とし、９割以上あるいは９割未満で異なる設定としている。行為の回数については４回を閾値とし、４回以上あるいは４回未満で異なる設定としている。

【0088】

例えば、レコード９０４－１では、行為の適合率が閾値より低く（８割未満）、また状態の適合率も閾値より低く（９割未満）、行為の回数が閾値より少ない（４回未満）場合の組み合わせ結果の設定である。セキュリティ監視装置１００は、行為の適合率と、状態の適合率と、行為の回数がレコード９０４－１に相当する場合、監査対象者（ユーザ）の管理職を通知先とし、改善案自体は「優先的に対策が必要で、本人（ユーザ）の意識を確認することを推奨します。」とのメッセージを通知する。

【0089】

レコード９０４－２では、行為の適合率が閾値より低く（８割未満）、また、状態の適合率が閾値より高く（９割以上）、行為の回数が閾値より少ない（４回未満）場合の組み合わせ結果の設定である。セキュリティ監視装置１００は、行為の適合率と、状態の適合率と、行為の回数がレコード９０４－２に相当する場合、監査対象者（ユーザ）を通知先とし、改善案自体は「設定行為に違反がありました。規則をご確認ください。」とのメッセージを通知する。

【0090】

レコード９０４－５では、行為の適合率が閾値より高く（８割以上）、また、状態の適合率が閾値より低く（９割未満）、行為の回数が閾値より少ない（４回未満）場合の組み合わせ結果の設定である。セキュリティ監視装置１００は、行為の適合率と、状態の適合率と、行為の回数がレコード９０４－５に相当する場合、システム管理者を通知先とし、改善案自体は「本人（ユーザ）以外の原因を調査して対策をとりましょう。」とのメッセージを通知する。

【0091】

レコード９０４－８では、行為の適合率が閾値よりも高く（８割以上）、また、状態の適合率が閾値よりも高く（９割以上）、行為の回数が閾値よりも多い（４回以上）場合の組み合わせ結果の設定である。セキュリティ監視装置１００は、行為の適合率と、状態の適合率と、行為の回数がレコード９０４－８に相当する場合、システム管理者を通知先とし、改善案自体は「優先度は低いですが、違反状態になる原因は調査しておくことを推奨します。」とのメッセージを通知する。

【0092】

（他の実施の形態のセキュリティ監視装置の処理例）
次に、他の実施の形態のセキュリティ監視装置１００による処理例について説明する。

【0093】

図１０は、他の実施の形態にかかるセキュリティ監視の処理手順の一例を示すフローチャートである。図１０は、セキュリティ監視装置１００の制御部であるＣＰＵ３０１が実行する処理を示す。

【0094】

はじめに、セキュリティ監視装置１００は、所定期間Ｔ１における、監査対象である情報機器に対するユーザの設定行為の回数と、行為の規則違反の有無を監査する（ステップＳ１００１）。例えば、セキュリティ監視装置１００は、情報機器から過去の所定期間Ｔ１に相当する操作ログ１０１を収集し、操作ログ１０１に含まれるユーザが行った操作の回数と、行為毎の違反の有無を判断する。

【0095】

次に、セキュリティ監視装置１００は、所定期間Ｔ２における、監査対象である情報機器の状態を監査した回数と、規則違反の有無を監査する（ステップＳ１００２）。例えば、セキュリティ監視装置１００は、情報機器から現在の設定値１０２を含む過去の複数の時期の設定値１０２を取得し、各時期の設定値１０２が示す設定に対する違反の有無を判断する。

【0096】

次に、セキュリティ監視装置１００は、行為の監査結果の適合率と、行為の回数（頻度）とを算出する。また、セキュリティ監視装置１００は、状態の監査結果の適合率を算出する。そして、セキュリティ監視装置１００は、算出した行為の監査結果の適合率と、行為の回数（頻度）と、状態の監査結果の適合率とに基づき、事前に定義された改善案を選出する（ステップＳ１００３）。例えば、セキュリティ監視装置１００は、算出した行為の監査結果の適合率と、行為の回数（頻度）と、状態の監査結果の適合率との組み合わせに対応する改善案を改善案データベース９０４から選出する。

【0097】

次に、セキュリティ監視装置１００は、選出された改善案を通知対象者に提示し（ステップＳ１００４）、以上の処理を終了する。例えば、セキュリティ監視装置１００は、改善案データベース９０４から選出した改善案に対応する通知先に改善案を送信する。

【0098】

以上説明した他の実施形態のセキュリティ監視装置１００は、所定期間内におけるユーザが行った複数の行為の違反状態（適合率）と、行為の回数と、複数の通信機器の状態（適合率）との組み合わせに対応する改善案を選出する。これにより、改善案の提示数を増やすことができ、より実態に即し最適な改善案を提示できる。

【0099】

以上説明したように、セキュリティ監視装置１００によれば、監視対象に対するユーザの行為の情報を収集し、予め定めた規則に対する行為による違反の有無を監査する。また、監視対象の状態の情報を収集し、規則に対する状態による違反の有無を監査する。そして、行為の監査結果と、状態の監査結果との組み合わせに基づき、監視対象の複数の実態に対応して記憶部に予め設定された規則遵守の複数の改善案のなかから監視対象の実態に対応する改善案を選出し、選出した改善案を提示する。監視対象は、例えば、セキュリティの維持が必要な情報機器である。このように、行為と状態の組み合わせることで、規則の遵守の実態別に違反がユーザの行為によるものであるか、あるいは情報機器の不具合等によるものであるかを判別できるようになる。これにより、ユーザによる設定操作等の行為や、行為と状態との関係を含めた規則の遵守の実態に対応して、情報機器等の監視対象に対する適切な改善案を実施でき、セキュリティ向上を図れるようになる。また、監視対象は、情報機器に限らず、セキュリティの維持が必要な管理室の防犯ドア等を対象とすることとしてもよい。

【0100】

セキュリティ監視装置１００によれば、状態の情報の収集は、監視対象としての情報機器の現在の設定の状態の情報を収集し、ユーザの行為の情報の収集は、情報機器に対し直近にユーザが行った設定操作の情報を収集することができる。これにより、ユーザの設定操作の行為と、この行為に基づく状態とを関連付けることができ、行為と状態の違反をそれぞれ判別できるようになり、行為と状態を組み合わせた複数の実態に対応する複数の改善策を提示できるようになる。

【0101】

セキュリティ監視装置１００によれば、ユーザの行為の情報の収集は、監視対象としての情報機器の操作ログの取得により行うことができる。これにより、行為の情報を簡単に収集できる。

【0102】

また、セキュリティ監視装置１００によれば、記憶部に、複数の改善案に対応するユーザあるいは管理部門を含む提示先を設定しておくことで、提示は、記憶部に予め設定された提示先に改善案を提示することができる。これにより、行為と状態の組み合わせ別に、例えば、ユーザで対処すべき改善策の提示、あるいはシステム管理側で対処すべき等を振分け、適切な提示先に改善策を提示できるようになる。

【0103】

セキュリティ監視装置１００によれば、行為による違反の有無の監査は、監視対象に対し過去の第１期間でユーザが行った行為の情報を複数収集し、第１期間で行われた行為の回数と、行為の違反の回数とに基づき、第１期間における行為の違反の割合を算出する。また、状態による違反の有無の監査は、監視対象の現在を含む過去の第２期間での状態の情報を複数収集し、第２期間で収集した回数と、状態の違反の回数とに基づき、第２期間における状態の違反の割合を算出する。そして、改善案の選出は、行為の違反の割合と、状態の違反の割合との組み合わせに基づき、監視対象の複数の実態に対応して記憶部に予め設定された規則遵守の複数の改善案のなかから監視対象の実態に対応する改善案を選出することができる。このように、過去に行った複数の行為による違反の割合と、現在および過去の複数の状態による違反の割合とにより、異なる割合別の組み合わせに対応するより多くの改善策を選出および提示できるようになる。

【0104】

セキュリティ監視装置１００によれば、ユーザの行為の情報の収集と、状態の情報の収集のタイミングは、非同期とすることができる。これにより、例えば、行為の情報は第１期間内でユーザが任意に行った設定操作毎に収集でき、状態の情報は第２期間内で定期的に収集できる。

【0105】

セキュリティ監視装置１００によれば、監視対象は、通信接続された複数の情報機器とするシステムに適用できる。このほか、情報機器内部に制御機能を実装することで、通信機器自体を監視対象とすることもできる。

【0106】

なお、本実施の形態で説明したセキュリティ監視方法は、予め用意されたプログラムをＰＣやワークステーションなどのコンピュータで実行することにより実現することができる。本実施の形態で説明したセキュリティ監視プログラムは、コンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行される。記録媒体は、ハードディスク、フレキシブルディスク、ＣＤ（Ｃｏｍｐａｃｔ Ｄｉｓｃ）－ＲＯＭ、ＭＯ（Ｍａｇｎｅｔｏ Ｏｐｔｉｃａｌ ｄｉｓｃ）、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｃ）などである。また、本実施の形態で説明したセキュリティ監視プログラムは、インターネットなどのネットワークを介して配布してもよい。

【0107】

上述した実施の形態に関し、さらに以下の付記を開示する。

【0108】

（付記１）監視対象に対するユーザの行為の情報を収集し、予め定めた規則に対する前記行為による違反の有無を監査し、
前記監視対象の状態の情報を収集し、前記規則に対する前記状態による違反の有無を監査し、
前記行為の監査結果と、前記状態の監査結果との組み合わせに基づき、前記監視対象の複数の実態に対応して記憶部に予め設定された規則遵守の複数の改善案のなかから前記監視対象の実態に対応する改善案を選出し、
選出した前記改善案を提示する、
処理をコンピュータに実行させることを特徴とするセキュリティ監視プログラム。

【0109】

（付記２）前記状態の情報の収集は、前記監視対象としての情報機器の現在の設定の状態の情報を収集し、
前記ユーザの行為の情報の収集は、前記情報機器に対し直近にユーザが行った設定操作の情報を収集する、
ことを特徴とする付記１に記載のセキュリティ監視プログラム。

【0110】

（付記３）前記ユーザの行為の情報の収集は、前記監視対象としての情報機器の操作ログの取得により行う、
ことを特徴とする付記１に記載のセキュリティ監視プログラム。

【0111】

（付記４）前記記憶部には、複数の改善案に対応するユーザあるいは管理部門を含む提示先が設定され、
前記提示は、前記記憶部に予め設定された前記提示先に前記改善案を提示する、
ことを特徴とする付記１に記載のセキュリティ監視プログラム。

【0112】

（付記５）前記行為による違反の有無の監査は、前記監視対象に対し過去の第１期間でユーザが行った行為の情報を複数収集し、前記第１期間で行われた行為の回数と、行為の違反の回数とに基づき、前記第１期間における行為の違反の割合を算出し、
前記状態による違反の有無の監査は、前記監視対象の現在を含む過去の第２期間での状態の情報を複数収集し、前記第２期間で収集した回数と、状態の違反の回数とに基づき、前記第２期間における状態の違反の割合を算出し、
前記改善案の選出は、前記行為の違反の割合と、前記状態の違反の割合との組み合わせに基づき、前記監視対象の複数の実態に対応して前記記憶部に予め設定された規則遵守の複数の改善案のなかから前記監視対象の実態に対応する改善案を選出する、
ことを特徴とする付記１に記載のセキュリティ監視プログラム。

【0113】

（付記６）前記行為の情報の収集と、前記状態の情報の収集のタイミングは、非同期であることを特徴とする付記５に記載のセキュリティ監視プログラム。

【0114】

（付記７）監視対象に対するユーザの行為の情報を収集し、予め定めた規則に対する前記行為による違反の有無を監査し、
前記監視対象の状態の情報を収集し、前記規則に対する前記状態による違反の有無を監査し、
前記行為の監査結果と、前記状態の監査結果との組み合わせに基づき、前記監視対象の複数の実態に対応して記憶部に予め設定された規則遵守の複数の改善案のなかから前記監視対象の実態に対応する改善案を選出し、
選出した前記改善案を提示する、
処理をコンピュータに実行させることを特徴とするセキュリティ監視方法。

【0115】

（付記８）監視対象に対するユーザの行為の情報を収集し、予め定めた規則に対する前記行為による違反の有無を監査し、
前記監視対象の状態の情報を収集し、前記規則に対する前記状態による違反の有無を監査し、
前記行為の監査結果と、前記状態の監査結果との組み合わせに基づき、前記監視対象の複数の実態に対応して記憶部に予め設定された規則遵守の複数の改善案のなかから前記監視対象の実態に対応する改善案を選出し、
選出した前記改善案を提示する、
制御部を有することを特徴とするセキュリティ監視装置。

【0116】

（付記９）通信接続された複数の情報機器を前記監視対象とすることを特徴とする付記８に記載のセキュリティ監視装置。

【0117】

（付記１０）情報機器内部に配置され、当該通信機器を前記監視対象とすることを特徴とする付記８に記載のセキュリティ監視装置。

【符号の説明】

【0118】

１００ セキュリティ監視装置
１０１ 操作ログ
１０２ 設定値
２００ 情報機器
２１０ ネットワーク
３０１ ＣＰＵ
３０２ メモリ
３０３ ネットワークＩ／Ｆ
３０４ 記録媒体Ｉ／Ｆ
３０５ 記録媒体
４０１ 行為監査部
４０２ 状態監査部
４０３ 改善案選出部
４０４，９０４ 改善案データベース
４０５ 改善案出力部

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】