特許 7352345 情報処理装置およびその制御方法、情報処理システム、並びにプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2023-09-20

(45)【発行日】2023-09-28

(54)【発明の名称】情報処理装置およびその制御方法、情報処理システム、並びにプログラム

(51)【国際特許分類】

   G06F 21/62 20130101AFI20230921BHJP

   G06F 21/50 20130101ALI20230921BHJP

【ＦＩ】

G06F21/62

G06F21/50

【請求項の数】 11

(21)【出願番号】P 2018222523

(22)【出願日】2018-11-28

(65)【公開番号】P2020087119

(43)【公開日】2020-06-04

【審査請求日】2021-11-16

(73)【特許権者】

【識別番号】000104652

【氏名又は名称】キヤノン電子株式会社

(74)【代理人】

【識別番号】110003281

【氏名又は名称】弁理士法人大塚国際特許事務所

(74)【代理人】

【識別番号】100076428

【弁理士】

【氏名又は名称】大塚 康徳

(74)【代理人】

【識別番号】100115071

【弁理士】

【氏名又は名称】大塚 康弘

(74)【代理人】

【識別番号】100112508

【弁理士】

【氏名又は名称】高柳 司郎

(74)【代理人】

【識別番号】100116894

【弁理士】

【氏名又は名称】木村 秀二

(74)【代理人】

【識別番号】100130409

【弁理士】

【氏名又は名称】下山 治

(74)【代理人】

【識別番号】100134175

【弁理士】

【氏名又は名称】永川 行光

(72)【発明者】

【氏名】▲高▼橋 知大

(72)【発明者】

【氏名】藤本 敬雄

【審査官】吉田 歩

(56)【参考文献】

【文献】特開２００８－１９１８５７（ＪＰ，Ａ）

【文献】特開２０１８－００５６０７（ＪＰ，Ａ）

【文献】特開２００９－０２０８１２（ＪＰ，Ａ）

【文献】特開２０１０－２１１２５７（ＪＰ，Ａ）

【文献】特開２００８－２６２４６４（ＪＰ，Ａ）

【文献】特開２００４－０３８２３２（ＪＰ，Ａ）

【文献】特開２０１１－０２２９０３（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／６２

Ｇ０６Ｆ ２１／５０

(57)【特許請求の範囲】

【請求項1】

ユーザーによりアクセスされた情報資産の操作のログを取得する取得手段と、
前記情報資産に対する一連の操作の内容とその操作の順序の組み合わせごとに予め定義された危険度に基づいて、前記取得手段にて取得した前記ログにて示される操作に応じたユーザーのセキュリティリスクを前記ユーザーが含まれる単位で合算して判定する判定手段と、
前記判定手段にて判定したセキュリティリスクを出力する出力手段と
を有することを特徴とする情報処理装置。

【請求項2】

前記出力手段は、さらに、前記セキュリティリスクを可視化することを特徴とする請求項１に記載の情報処理装置。

【請求項3】

前記判定手段は、前記情報資産に対する一連の操作の内容とその操作の順序に対して予め定義された危険度に加えて、前記情報資産に対する操作内容、前記情報資産のサイズ、前記情報資産の数、及び前記操作の操作時間の少なくとも１つに対応して定義された危険度に基づいて、前記ユーザーのセキュリティリスクを判定することを特徴とする請求項１又は２に記載の情報処理装置。

【請求項4】

前記判定手段にて判定したセキュリティリスクが所定の閾値を超える場合、前記ログに対応するユーザーが使用している端末に対して、当該セキュリティリスクに応じた処理を実行するように指示する制御手段を更に有することを特徴とする請求項１乃至３の何れか１項に記載の情報処理装置。

【請求項5】

前記セキュリティリスクに応じた処理は、アラート表示、前記端末を使用しているユーザーのユーザーアカウントのロック、当該端末のロック、及び、前記情報資産へのアクセスの制限のいずれかであることを特徴とする請求項４に記載の情報処理装置。

【請求項6】

前記セキュリティリスクに応じた処理は、前記端末の機能に応じて異なることを特徴とする請求項４に記載の情報処理装置。

【請求項7】

前記出力手段は、前記判定手段にて判定されたセキュリティリスクを、前記ユーザーが含まれる単位として、ユーザーごと又はユーザーが属するグループ単位で出力を行うか、或いは、情報資産単位で出力を行うことを特徴とする請求項１乃至６のいずれか一項に記載の情報処理装置。

【請求項8】

ユーザーによりアクセスされた情報資産の操作のログを取得する取得工程と、
前記情報資産に対する一連の操作の内容とその操作の順序の組み合わせごとに予め定義された危険度に基づいて、前記取得工程にて取得した前記ログにて示される操作に応じたユーザーのセキュリティリスクを前記ユーザーが含まれる単位で合算して判定する判定工程と、
前記判定工程にて判定したセキュリティリスクを出力する出力工程と
を有することを特徴とする情報処理装置の制御方法。

【請求項9】

請求項１乃至７のいずれか一項に記載の情報処理装置と、端末を含んで構成される情報処理システムであって、
前記端末は、
ユーザーによる情報資産への操作を監視し、当該操作のログを前記情報処理装置に送信する送信手段を有することを特徴とする情報処理システム。

【請求項10】

前記端末は、前記情報処理装置からの指示に基づいて、前記ユーザーに対する処理を行う処理手段を更に有することを特徴とする請求項９に記載の情報処理システム。

【請求項11】

コンピュータを、
ユーザーによりアクセスされた情報資産の操作のログを取得する取得手段、
前記情報資産に対する一連の操作の内容とその操作の順序の組み合わせごとに予め定義された危険度に基づいて、前記取得手段にて取得した前記ログにて示される操作に応じたユーザーのセキュリティリスクを前記ユーザーが含まれる単位で合算して判定する判定手段、
前記判定手段にて判定したセキュリティリスクを出力する出力手段
として機能させるためのプログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、情報処理装置およびその制御方法、情報処理システム、並びにプログラムに関する。

【背景技術】

【0002】

昨今、企業の情報インフラが整備されるに従って、ユーザーがパーソナルコンピュータなどの情報処理装置を用いて、組織内で共有されている情報資産にアクセスし、必要な情報を得る機会が増加している。一方、情報資産へのアクセス機会が増加するにつれて情報漏洩の可能性も高まるため、情報資産の取り扱い行為について管理の重要性が高まっている。企業の情報システム部門が情報処理装置の操作履歴を確認し、情報資産の持ち出し行為が無いかを調査することは日常的に行われている。例えば、特許文献１では、情報漏洩の発生を未然に防止することができる技術が開示されている。

【先行技術文献】

【特許文献】

【0003】

【文献】特開２０１７－８３９６９号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

しかしながら、操作履歴からは情報資産へのアクセス判定は可能であるが、ユーザーの業務内容は部門ごとに異なるため、情報資産の重要性、機密性、妥当性を監査部門がいかに判断するか明確な基準はなく、効率的に確認業務を行うことが非常に困難である。また、特許文献１では、重要ファイルと判断された持出し行為が発生した場合において、その定点に対してのみ漏洩を防止する制御が行われ、予め情報漏洩を防止する対策を促すことができない。

【0005】

そこで、本発明は、情報漏洩につながる操作を未然に防止することを目的とする。

【課題を解決するための手段】

【0006】

上記課題を解決するために本発明は以下の構成を有する。すなわち、情報処理装置であって、
ユーザーによりアクセスされた情報資産の操作のログを取得する取得手段と、
前記情報資産に対する一連の操作の内容とその操作の順序の組み合わせごとに予め定義された危険度に基づいて、前記取得手段にて取得した前記ログにて示される操作に応じたユーザーのセキュリティリスクを前記ユーザーが含まれる単位で合算して判定する判定手段と、
前記判定手段にて判定したセキュリティリスクを出力する出力手段と
を有する。

【発明の効果】

【0007】

本発明により、情報漏洩につながる操作を未然に防止することが可能となる。

【図面の簡単な説明】

【0008】

【図1】本発明に係る情報処理システムの構成例を示す図。

【図2】本発明に係る情報処理装置のハードウェア構成の例を示す図。

【図3】本発明に係るログ管理サーバで実行される処理を示すフローチャート。

【図4】本発明に係るセキュリティリスク判定テーブルの一例を示す図。

【図5】本発明に係るセキュリティリスク判定ルールの一例を示す図。

【図6】本発明に係るセキュリティリスク判定結果テーブルの一例を示す図。

【発明を実施するための形態】

【0009】

以下、図面を参照して本発明の好適な実施形態を詳細に説明する。なお、以下の各実施形態は例示であり、本発明を各実施形態の内容に限定するものではない。また、以下の各図においては、実施形態の説明に必須ではない構成要素については図から省略する。

【0010】

＜第１の実施形態＞
［システム構成］
図１は、本発明の第１の実施形態に係る情報処理システムの構成例を示す図である。本実施形態において、複数のクライアントとログ管理サーバ１２がネットワーク１３を介して通信可能に接続される。ここでは、複数のクライアントのうち、クライアント１１を例に挙げて説明し、それ以外のクライアントも同様の機能を備えるものとする。なお、本実施形態において、ログ管理サーバ１２は１つのみを示しているが、これに限定するものではなく、複数の装置にて負荷分散するように構成されてもよい。また、ここでは、本発明に係る機能部のみを示しており、他の部位（例えば、モジュールや機能）が更に備えられていてよい。

【0011】

クライアント１１は、情報処理端末であり、ログ管理サーバ１２が提供する機能やデータを利用可能に構成される。ここでの情報処理端末は特に限定するものでは無く、例えば、ＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）、スマートフォン、タブレット端末などログ管理サーバ１２と通信可能であり、外部装置のリソースにアクセス可能な端末であればよい。クライアント１１は、ファイルアクセスログ監視部１１１、およびクライアント制御部１１２を含んで構成される。ファイルアクセスログ監視部１１１は、自身がアクセスした情報資産のアクセス状況（操作状況）に関する情報を取得、管理する。クライアント制御部１１２は、アラート表示や端末を使用しているユーザーのユーザーアカウントのロック、端末のロック、情報資産へのアクセスの制限等のクライアント１１の制御を行う。本実施形態に係る情報処理システムにて管理対象とする情報資産としては、例えばサーバ内に保持され、組織内で共有される各種データ、ファイル、フォルダなど様々なものが該当するが、特に限定するものではない。

【0012】

ファイルアクセスログ監視部１１１は、クライアント１１がアクセスした情報資産へのアクセス状況（参照、上書き、削除、移動、コピー、名前変更等）を監視し、それをファイルアクセスログデータ（操作履歴）として、蓄積する。ファイルアクセスログデータとしては、例えば以下のものが含まれる。なお、以下に示す項目は一例であり、これに限定するものではない。また、アクセスする情報資産に応じて、監視する項目は変動してもよい。

【0013】

・アクセス日時
・マシン名（端末名）
・ユーザー名
・ファイル名
・操作種別（参照、上書き、削除、移動、コピー、名前変更等）
・操作元／操作先（参照元（パス名）／先、上書き元／先、移動元／先、コピー元／先、名前変更元／先）
・ファイルサイズ

【0014】

説明を簡単にするために、１のユーザーが１のクライアントを用いて情報資産にアクセスする場合を例に挙げて説明する。しかし、１のクライアントを複数のユーザーが共有して利用するような構成であってもよい。その場合には、ユーザーを一意に識別するためのユーザーアカウントが割り当てられており、そのユーザーアカウントごとに操作履歴（ログ）が取得されるものとする。

【0015】

また、ファイルアクセスログ監視部１１１は、蓄積したファイルアクセスログデータをログ管理サーバ１２へ送信する。ファイルアクセスログデータをログ管理サーバ１２へ送信するタイミングは、所定時間単位（例えば、４時間ごと）で行ってもよいし、所定のイベントが発生した場合に行ってもよい。所定のイベントとしては、例えば、所定量以上のログデータが蓄積された場合、クライアント１１が再起動された場合、ログ管理サーバ１２からの要求を受けた場合等が設定されてよい。ここでのタイミングの設定に関しては、ログ管理サーバ１２側で設定してよい。

【0016】

ログ管理サーバ１２は、情報処理装置であり、ネットワーク１３を介して、各クライアントからファイルアクセスログデータを受信して、それらの保持、管理を行う。ログ管理サーバ１２は、ログ管理データベース１２１、セキュリティリスク判定テーブル１２２、セキュリティリスク判定ルール１２３、セキュリティリスク判定結果テーブル１２４、セキュリティリスク可視化部１２５、セキュリティリスク処置部１２６、及び、セキュリティリスク判定部１２７を含んで構成される。

【0017】

ログ管理データベース１２１は、各クライアントから収集したファイルアクセスログデータを登録して管理する。セキュリティリスク判定部１２７は、ファイルアクセスログデータにおけるセキュリティリスクの判定を行う。この判定は、セキュリティリスク判定テーブル１２２に規定された情報、および／または、セキュリティリスク判定ルール１２３に基づいて行われる。セキュリティリスク判定テーブル１２２は、操作種別とファイルサイズ、ファイル名（出現回数）、キーワード、部門属性、操作時間帯とそのランク（評価値）などを対応づけて管理している。セキュリティリスク判定テーブル１２２の詳細については図４を用いて後述する。セキュリティリスク判定ルール１２３の詳細については、図５を用いて後述する。

【0018】

セキュリティリスク判定部１２７は、ファイルアクセスログデータについてのセキュリティリスクの数値をそれぞれ算出し、その結果をセキュリティリスク判定結果テーブル１２４に追加する。セキュリティリスク判定結果テーブル１２４は、クライアント単位（もしくは、ユーザー単位）で数値化されたセキュリティリスクを管理するために用いられ、これまで各クライアントが情報資産にアクセスを行った際のセキュリティリスクの評価点を保持する。セキュリティリスク判定結果テーブル１２４の詳細については、図６を用いて後述する。

【0019】

尚、セキュリティリスク判定テーブル１２２、および／または、セキュリティリスク判定ルール１２３は、情報資産へのアクセスを行った際のセキュリティリスクの評価とその評価点を管理するために用いられる。この評価点は、その企業や組織内での重要性等に応じて決定されるものである。そのため、業種や職種によって、同一ファイルにアクセスを行った場合においても、セキュリティリスクの評価は必ずしも一致するものではなく、異なる評価点になる場合もある。

【0020】

また、セキュリティリスク判定テーブル１２２、および／または、セキュリティリスク判定ルール１２３は、更に詳細な分析を行うために、操作時間帯やファイル名の出現回数が多い場合の調整用としての重み係数等を更に対応付けて管理してもよい。例えば、情報漏洩をするユーザーは、ファイルサイズやファイル容量が増加する可能性が高いため、ファイル容量や総ファイル数などから情報漏洩の判断基準としてもよい。また、情報漏洩をする人は夜中に操作する可能性が高いものと想定し、操作する時間から情報漏洩の判断基準としてもよい。

【0021】

また、セキュリティリスク判定テーブル１２２、および／または、セキュリティリスク判定ルール１２３は、予め定義された行動パターンに一致したファイルアクセスログが検出された場合に、セキュリティリスクを数値化する判定ルール等を更に対応付けて管理してもよい。これにより、更に詳細な分析を行い、セキュリティリスクを総合的に判定するようにしてよい。

【0022】

また、上記の例では、ファイル単位のアクセス（操作）ログを例に挙げたが、これに限定するものではない。例えば、１または複数のファイルを含むフォルダ単位でアクセスログを取得、管理してもよい。また、ファイルの属性（例えば、機密度やアクセス権限）を基準としてログを分類してもよい。

【0023】

セキュリティリスク可視化部１２５は、セキュリティリスク判定結果テーブル１２４を参照し、数値化されたセキュリティリスクをクライアント毎にレポート表示する。レポート表示（可視化）の方法は、特に限定するものではなく、一覧表示であってもよいし、グラフ化した表示であってもよい。そのほか、ユーザーの指定に応じて、表示方法や表示対象が切り替えられてもよい。可視化においては、例えば、セキュリティリスクの高いユーザーを要注意人物として表示してもよい。可視化は、ログ管理サーバ１２が備える表示部で行われてもよいし、別の装置により示されてもよい。

【0024】

セキュリティリスク処置部１２６は、数値化されたセキュリティリスクと予め定義された閾値に基づいて、クライアント１１に対して処置を指示する。処置の内容としては、アラート表示、ユーザーアカウントのロック、端末のロック、情報資産へのアクセス制限などが挙げられ、クライアント１１の機能に応じて決定してよい。また、処理の内容は、セキュリティリスクと閾値の乖離度に基づいて決定してもよい。また、セキュリティリスク処置部１２６は、単一のクライアントのみならず、他のクライアントに対しても、何かしらのセキュリティリスクが生じていることを通知するような構成であってもよい。他のクライアントとしては、組織の管理者などが挙げられ、予め通知先を登録しておいてもよい。

【0025】

［ハードウェア構成］
図２は、本実施形態に係る情報処理装置のハードウェア構成の例を示す図である。本実施形態に係るクライアント１１およびログ管理サーバ１２に適用可能な情報処理装置２００のハードウェア構成の例を示す。なお、ここでは同じ構成の情報処理装置２００を用いるものとして説明するが、各クライアントおよびログ管理サーバ１２はそれぞれ異なるハードウェア構成を備えていてもよい。

【0026】

情報処理装置２００は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）２０２、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）２０３、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）２０４、外部記憶装置２０５、操作部２０６、通信部２０７、および表示部２０８を含んで構成される。各部位は、内部バス２０１を介して互いに通信可能に接続される。ＣＰＵ２０２は、情報処理装置２００全体の制御を司り、外部記憶装置２０５等に格納されたプログラムを読み出して実行することにより、後述するような各種処理を実現する。ＲＯＭ２０３は、不揮発性の記憶部である。ＲＡＭ２０４は、揮発性の記憶部であり、プログラムの実行に伴うワークエリアとしても用いられる。外部記憶装置２０５は、不揮発性の記憶部であり、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）やプログラム、各種データが格納される。操作部２０６は、ユーザーからの操作を受け付けるためのインターフェースであり、例えば、マウスやキーボードなどが挙げられる。通信部２０７は、外部装置との通信を行うための部位である。表示部２０８は、各種情報を表示するための部位である。

【0027】

［処理フロー］
図３は、本実施形態に係るログ管理サーバ１２で実行される処理のフローチャートを示す。本処理フローは、例えば、ログ管理サーバ１２が備えるＣＰＵ２０２が外部記憶装置２０５等に格納されたプログラムを読み出して実行することにより実現される。また、本処理フローは、定期的に開始されるように制御されてもよいし、受信したファイルアクセスログデータが一定の量だけログ管理データベース１２１に蓄積された時点で開始されるように制御されてよい。

【0028】

Ｓ３０１にて、ログ管理サーバ１２は、ログ管理データベース１２１から各クライアントのファイルアクセスログデータを１つ読み出す。ここでは、ユーザー単位で処理を行う例を示すが、これに限定するものではない。例えば、組織単位、グループ単位、アクセス対象の情報資産単位、情報資産の機密度ごと、など様々な単位で処理を行うような構成であってよい。

【0029】

Ｓ３０２にて、ログ管理サーバ１２は、ファイルアクセスログデータを判定するための定義を記述したセキュリティリスク判定テーブル１２２、および／または、セキュリティリスク判定ルール１２３を読み込む。セキュリティリスク判定テーブル１２２およびセキュリティリスク判定ルール１２３は、例えば、ログ管理サーバ１２の外部記憶装置２０５等に保持されているものとする。

【0030】

Ｓ３０３にて、ログ管理サーバ１２は、読み出したファイルアクセスログデータに含まれるセキュリティリスクを判定する。この判定は、判定対象のファイルアクセスログデータをセキュリティリスク判定テーブル１２２、および／または、セキュリティリスク判定ルール１２３と参照することで行う。

【0031】

Ｓ３０４にて、ログ管理サーバ１２は、クライアント毎にセキュリティリスクを数値化してセキュリティリスク判定結果テーブル１２４に追加する。なお、判定対象のファイルアクセスログデータが、セキュリティリスク判定テーブル１２２やセキュリティリスク判定ルール１２３に定義された操作に該当しない場合には、その旨を示す情報をセキュリティリスク判定結果テーブル１２４に追加してもよい。もしくは、Ｓ３０４の処理をスキップするような構成であってもよい。

【0032】

Ｓ３０５にて、ログ管理サーバ１２は、セキュリティリスク判定結果テーブル１２４を参照し、ユーザー毎に数値化されたセキュリティリスクを表示部２０８にてレポート表示する。

【0033】

Ｓ３０６にて、ログ管理サーバ１２は、セキュリティリスクが予め定義された閾値を超えているか否かを判定する。閾値を超えている場合（Ｓ３０６にてＹＥＳ）Ｓ３０７に進み、閾値を超えていない場合（Ｓ３０６にてＮＯ）Ｓ３０８に進む。

【0034】

Ｓ３０７にて、ログ管理サーバ１２は、判定されたセキュリティリスクに応じた処置を行う。例えば、ログ管理サーバ１２が、セキュリティリスクの高いクライアントのクライアント制御部１１２に対して、セキュリティリスクに応じた動作を行うように指示する。ここでの処置は、対象となるクライアントに対してアラート表示、アクセス遮断、装置の停止、ユーザーアカウントの停止などが挙げられるが、特に限定するものではない。例えば、閾値を超えたセキュリティリスクの中でもその値に応じて、実行する処置を切り替えてもよい。

【0035】

Ｓ３０８にて、ログ管理サーバ１２は、すべてのファイルアクセスログデータのセキュリティリスク判定が完了したか否かを判定する。完了していない場合（Ｓ３０８にてＮＯ）Ｓ３０１に戻り、未判定のファイルアクセスログデータをログ管理データベース１２１から読み出し、処理を継続する。完了している場合（Ｓ３０８にてＹＥＳ）本処理フローを終了する。

【0036】

［セキュリティリスク判定テーブル］
図４を用いて、本実施形態に係るセキュリティリスク判定テーブル１２２について説明する。本実施形態に係るセキュリティリスク判定テーブル１２２は、判定の分類として、操作内容、操作時間、操作対象のファイル数、キーワードに分けてそれぞれ危険度もしくはランクを付与している。これらの分類は一例であり、例えば、管理者等が情報資産等に応じて任意に設定してよい。また、テーブルの項目内容等についても管理者が任意に、管理者画面（不図示）から設定、追加、削除ができるようにしてもよい。

【0037】

（操作内容による判定テーブル）
操作内容の項目では、ファイルアクセスログデータに含まれている操作元のパス名と、操作先のパス名とから、その操作内容を示す。例えば、操作内容がコピーである場合に、ローカルディレクトリからローカルディレクトリへの操作なのか、ローカルディレクトリ以外への操作なのかを示す。なお、同じ操作を複数回行っている場合、２回目以降は複数回を示している。また、ファイルアクセスログデータに含まれているファイル名が、予め記憶されたキーワードランクテーブルにある場合はそのランクを示し、ない場合はキーワードなし、を示している。

【0038】

また、操作内容による判定テーブルにおいて、ファイルサイズの項目は、ファイルアクセスログデータにて示されている操作対象のファイルのファイルサイズを示す。ここでは、ファイルサイズに対して、ある閾値を設定しておき、その閾値以上のファイルサイズを有するファイルを「大」とし、閾値より小さいファイルサイズを有するファイルを「小」とする。

【0039】

（操作時間による判定テーブル）
操作内容の項目では、ファイルアクセスログデータにて示されている操作対象のファイルへのアクセス日時を示す。ここでは２つの時間帯に分けているが、更に詳細に分けてもよいし、曜日ごとに分けてもよい。

【0040】

（ファイル数による判定テーブル）
ファイル数の項目では、ファイルアクセスログデータにて示されている操作対象としたファイルの数を示す。

【0041】

［セキュリティリスク判定ルール］
図５を用いて、本実施形態に係るセキュリティリスク判定ルールについて説明する。セキュリティリスク判定ルール１２３は、ファイルアクセスログデータにて示される操作対象のファイルに対する操作した内容と順序に基づいて、危険度を判定するルールを示す。例えば、判定ルール１の場合、あるファイルについてリネーム操作を行い、ローカルディレクトリへコピーを行った後に、リムーバブルにてファイルを持ち出した場合、危険度は「１００」となる。

【0042】

また、例えば、判定ルール２の場合、機密ファイルを少量印刷した後に、同じ操作を２度繰り返した場合、危険度は「２００」となる。これは、情報漏洩をする人は、機密ファイルを一度に印刷せずに、少量ずつ印刷する可能性が高いためである。

【0043】

セキュリティリスク判定ルール１２３も、セキュリティリスク判定テーブル１２２と同様、管理者等が情報資産等に応じて任意に設定してよい。また、テーブルの項目内容等についても管理者が任意に、管理者画面（不図示）から設定、追加、削除ができるようにしてもよい。また、セキュリティリスク判定テーブル１２２とセキュリティリスク判定ルール１２３は、必ずしも両方を用いる必要はなく、いずれか一方のみを用いて、セキュリティリスクを判定するような構成であってもよい。

【0044】

［セキュリティリスク判定結果テーブル］
図６は、本実施形態に係るセキュリティリスク判定結果テーブル１２４の構成例を示す。図６では、セキュリティリスク判定テーブル１２２およびセキュリティリスク判定ルール１２３に基づいて算出されたユーザー毎の操作に対する危険度を示している。例えば、ユーザー「Ａ６１」の危険度は算出された危険度「Ｋ１」～「Ｋ６」の合計値となり、セキュリティリスク（漏洩リスク）は「５」として示されている。１回の操作にて危険度を判定し、その程度に応じてセキュリティリスクに対する処置を行ってもよいし、図６に示すようにある一定期間の危険度の合計値に基づいて、セキュリティリスクに対する処置を行ってもよい。

【0045】

また、上述したように、クライアント単位でセキュリティリスクに対する処置を行うことに限定するものではなく、クライアントが属するグループや組織単位で処置を行うような構成であってもよい。

【0046】

以上、本実施形態では、情報資産に対するユーザーの操作ログに着目し、ユーザーや部門属性、操作時間帯、ファイルサイズなどの判定条件を用いて、ファイル操作におけるセキュリティリスクを数値化し、セキュリティリスクを可視化、及び処置を行う。これにより、一連のユーザーの操作に基づいて、情報漏洩を未然に防止することが可能となる。

【0047】

＜その他の実施形態＞
本発明は上述の実施形態の１以上の機能を実現するプログラムをネットワーク又は記憶媒体を介してシステム又は装置に供給し、そのシステム又は装置のコンピュータにおける１つ以上のプロセッサがプログラムを読出し実行する処理でも実現可能である。また、１以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。

【符号の説明】

【0048】

１１…クライアント、１２…ログ管理サーバ、１１１…ファイルアクセスログ監視部、１１２…クライアント制御部、１２１…ログ管理データベース、１２２…セキュリティリスク判定テーブル、１２３…セキュリティリスク判定ルール、１２４…セキュリティリスク判定結果テーブル、１２５…セキュリティリスク可視化部、１２６…セキュリティリスク処置部、１２７…セキュリティリスク判定部

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】