JP5155909B2 - 操作監視システム及び操作監視プログラム - Google Patents

Description

本発明は、コンピュータ端末におけるユーザの操作を監視する技術に関する。特に通常の操作と異なる操作が行われているかを監視する技術に関する。

多くの企業等では、業務に用いる機密情報をコンピュータシステムで管理している。そして、企業の従業員は、業務を行う際にコンピュータ端末を用いて機密情報にアクセスし利用している。この機密情報は、企業にとってきわめて重要であるため、情報漏洩が発生する事が無いようコンピュータ端末から機密情報へのアクセスに対してさまざまな対策を講じている。

企業において機密情報の漏洩事故が発生する原因は、多種多様である。たとえば、企業内のネットワークに対して外部ネットワークからの不正侵入が原因となって発生する情報漏洩や、企業内のコンピュータ端末の操作が原因となって発生する情報漏洩などがある。特に企業内のコンピュータ端末の操作によって情報漏洩が発生するケースでは、情報漏洩を発生させるおそれのあるコンピュータ端末の操作に様々なものが考えられるため、一つの操作に絞って対策を立てることができないということもあり、きわめて対策が難しく深刻な問題となっている。例えば、正規の利用者による操作ではなくスパイウェア、ウィルスソフトウェア、又はファイル共有ソフトウェアなどの不正なソフトウェアによって操作が行われる場合や、悪意の有る利用者がコンピュータ端末を不正に使用して機密情報にアクセスする操作が行われる場合などが考えられる。このような情報漏洩に係る操作は、日常的な操作とは異なる操作によって行われる場合が多い。

このような企業内のコンピュータ端末の不正な操作が原因となって発生する機密情報の漏洩を防止するために、コンピュータ端末の操作を監視するシステムや装置が考えられている。例えば、特許文献１のようにソフトウェアに対する動作のポリシー情報を記憶しておき、そのポリシー情報と監視対象ソフトウェアの動作とを比較する事で、正常動作からの乖離の有無を判定する技術が開示されている。

また、特許文献２には、機器の操作履歴を用いて頻出操作パターンを抽出し、その頻出操作パターンとその後に行われた操作とを比較し、正常な操作であるか否かを判定する事ができる。

特開２００６−５３７８８ 特開２００５−２５９１６０

上述の特許文献１では、正常と判定するために予めポリシー情報の設定を行う作業や正常動作が保障された環境を用いて動作モデルを生成する必要があり、管理者にとって煩雑な作業が必要となっている。さらに、コンピュータ端末の利用者毎に操作方法が異なる場合に的確に監視することができない。また、システムリソースへのアクセス規則が決定した後では、アクセスが許可されている場合では操作に変化があっても検出することができない。

また、上述の特許文献２も同様に、頻出操作パターンに一致する限りは正常とみなされるため、過去に行われた操作のパターン変化には対応できるが、それ以外の操作にかかる変化を検出する事ができない。

本発明は、上記従来技術の問題点を解消し、コンピュータ端末に対する操作の変化から利用者が不正操作を行っていないかを判定することを課題とする。具体的には、コンピュータ端末の操作履歴を用いて許容できる操作範囲を生成し、更に生成した操作範囲を用いて、利用者が行うコンピュータ端末の操作について不正操作か否かを判定する技術を提供することを課題とする。

本発明は、端末の操作の履歴を示す操作ログ情報を記憶する操作ログ情報記憶部と、前記操作ログ情報記憶部の操作ログ情報に基づいて、前記端末における標準的な操作を示す許容操作範囲情報を生成する許容操作範囲生成部と、前記操作ログ情報記憶部から前記端末の特定期間における操作ログ情報を抽出し、当該抽出した操作ログ情報に従って前記端末の操作状況を示す操作状況情報を生成する操作状況生成部と、前記許容操作範囲情報と前記操作状況情報とに基づいて、不正操作の可能性を判定する不正操作判定部とを備え、
前記不正操作判定部は、不正操作の可能性の度合いを積算し、判定ポイントとして判定のタイミングを示す情報と共に判定ポイント記憶部に記憶する手段と、判定ポイント記憶部に記憶された情報に基づいて、単位時間ごとの判定ポイントを集計し、不正操作の発生傾向を算出する発生傾向算出手段と、前記算出した発生傾向に応じて不正操作の可能性を判定する手段と、を有することを特徴とする操作監視システムである。

本発明のように構成する事により、端末で行われた操作から許容できる操作範囲を生成することができ、その許容できる操作範囲から外れた操作に対して不正操作の可能性を判定することができるようになる。これによって、端末の日常的な操作に合わせて不正操作の判定を行うことができる。

許容操作範囲情報とは、端末の標準的な操作としての許容できる範囲を示す情報のことである。

操作状況情報とは、特定の期間内の端末の操作を示す情報のことである。

本発明の操作監視システムにおける前記操作状況生成部は、前記操作ログ情報記憶部に記憶される前記特定期間の操作ログ情報のうち、特定の操作を示す操作ログ情報の操作日時を基準とする所定期間における操作状況を示す操作状況情報を生成する操作監視システムと構成することもできる。

本発明を上述のように構成する事により、特定の操作（リスクの高い操作など）に関連する操作を判定対象とする事ができるようになるため、特定の操作に関連する不正操作の可能性を判定できるようになる。

上述の発明は、本発明のプログラムをコンピュータ端末に読み込ませて実行することで実現することもできる。すなわち端末の動作の履歴を示す操作ログ情報を記憶する操作ログ情報記憶部を備える操作監視システムのための操作監視プログラムであって、前記操作ログ情報記憶部の操作ログ情報に基づいて、前記端末における標準的な操作を示す許容操作範囲情報を生成する許容操作範囲生成機能と、前記操作ログ情報記憶部から前記端末の特定期間における操作ログ情報を抽出し、当該抽出した操作ログ情報に従って前記端末の操作状況を示す操作状況情報を生成する操作状況生成機能と、前記許容操作範囲情報と前記操作状況情報とに基づいて、不正操作の可能性を判定する不正操作判定機能とを備え、
前記不正操作判定機能は、不正操作の可能性の度合いを積算し、判定ポイントとして判定のタイミングを示す情報と共に判定ポイント記憶部に記憶する手段と、判定ポイント記憶部に記憶された情報に基づいて、単位時間ごとの判定ポイントを集計し、不正操作の発生傾向を算出する発生傾向算出手段と、前記算出した発生傾向に応じて不正操作の可能性を判定する手段と、をコンピュータに実現させる操作監視プログラムとして構成してもよい。

この操作監視プログラムも、上述の操作監視プログラムと同様の作用効果を伴うものであり、上述した種々の特徴構成を備えることもできる。

上述のように構成された本発明によれば、端末の操作履歴から許容できる操作範囲を生成し、そして端末の操作が許容できる範囲内であるか否かを判定する。そして、端末に対する操作の変化を把握し、不正操作が行われている可能性を判定する事ができ、情報漏洩を軽減する効果を得ることができる。

本発明のシステム構成の概念を模式的に示す図。 本発明のハードウェア構成の概念を模式的に示す図。 本発明のシステムの機能ブロックを模式的に示す図。 本発明の処理プロセスを模式的に示すフローチャート。 操作ログ情報の一例を模式的に示す図。 操作ログ情報を集計した結果（許容操作範囲情報用）を模式的に示す図。 許容範囲設定値記憶部を模式的に示す図。 許容範囲設定値記憶部を模式的に示す図。 許容操作範囲情報を模式的に示す図。 操作ログ情報を集計した結果（操作状況情報用）を模式的に示す図。 不正操作判定の結果と制御内容を模式的に示す図。 表示装置の表示を模式的に示す図。 操作ログ情報を集計した結果（許容操作範囲情報用）を模式的に示す図。 操作ログ情報の一例を模式的に示す図。 環境情報を模式的に示す図。 環境情報とリスクポイントとの関係を模式的に示す図。 操作ポイントの集計した結果を模式的に示す図。 基準操作ログ情報と関連操作取得期間の関係を模式的に示す図。 基準操作ログ情報の条件と関連操作取得期間の内容を模式的に示す図。 操作内容とポイントを模式的に示す図。 表示装置の部署毎のレポート表示を模式的に示す図。 表示装置の端末毎のレポート表示を模式的に示す図。

〔実施例１−構成〕
以下、図面を用いて本発明の実施形態を説明する。図１は、本発明の操作監視システムの全体の構成図を示す。本発明は図１に示すように、管理サーバＡが、通信ネットワークＮ（以下、「ネットワークＮ」という）を介して、複数のクライアント端末Ｂ（以下、「端末Ｂ」という）と接続されるという形で構成されている。

ネットワークＮは、企業や学校等の限られた施設内において情報を物理的に送るケーブルと、ＬＡＮスイッチやハブ等でなる中継機器を備えたＣＳＭＡ／ＣＤ（Carrier Sense Multiple Access with Collision Detection）方式のイーサネット（Ethernet）（商標）型のＬＡＮとして構成されたものであるが、このネットワークＮとしてイーサネット型のＬＡＮ以外に、インターネットの技術を用いたイントラネットで構築されたものや、ＷＡＮ（Wide Area Network）の技術によって構築されるものでも良い。

図２は、管理サーバＡのハードウェア構成の一例を模式的に示す。管理サーバＡは、プログラムの演算処理を実行するＣＰＵ等の演算装置１と、情報を記憶するＲＡＭやハードディスク等の記憶装置２と、演算装置１の処理結果や記憶装置２に記憶する情報をインターネットやＬＡＮ等のネットワークを介して送受信する通信装置５と、ディスプレイ（操作画面）等の表示装置３と、キーボードやマウスやテンキー等の入力装置４と、を少なくとも有している。端末上で実現する各機能（各手段）は、その処理を実行する手段（プログラムやモジュール等）が演算装置１に読み込まれることでその処理が実行される。各機能は、記憶装置２に記憶した情報をその処理において使用する場合には、該当する情報を当該記憶装置２から読み出し、読み出した情報を適宜、演算装置１における処理に用いる。また、管理サーバＡは、複数の端末に、その機能が分散配置されていても良い。

端末Ｂのハードウェア構成は管理サーバＡとほぼ同様で、図２に示したとおり、演算装置１と、記憶装置２と、表示装置３と、入力装置４と、通信装置５とを有している。

図３は、本発明のファイル管理システムを構成する管理サーバＡと端末Ｂの機能ブロック図を示す。本発明における各構成部及び各手段は、その機能が論理的に区別されているのみであって、物理上あるいは事実上同一の領域を為していても良い。

管理サーバＡの内部には、ネットワークＮを介して端末Ｂと様々な情報の送受信するためのネットワークＩ／Ｆ１０、端末Ｂで行われた動作・制御を示す操作ログ情報を取得する操作ログ情報取得部１１、取得した端末Ｂの操作ログ情報を記憶する操作ログ情報記憶部１２、操作ログ情報から端末Ｂの標準的な操作の許容範囲を示す許容操作範囲情報を生成する許容操作範囲生成部１３、特定期間における端末Ｂの操作状況を示す操作状況情報を生成する操作状況生成部１４、許容操作範囲情報と操作状況情報とに基づいて不正操作の可能性を判定する不正操作判定部１５、判定結果に基づいて各種制御を行う制御部１６を備えている。

端末Ｂの内部には、ネットワークＮを介して管理サーバＡと様々な情報を送受信するためのネットワークＩ／Ｆ２０、端末Ｂにおける各種動作・制御を実行させる端末制御部２１、端末Ｂにおいて実行された動作・制御の履歴を示す操作ログ情報を生成する操作ログ情報生成部２２、生成された操作ログ情報を管理サーバＡに送信する操作ログ情報送信部２３、端末Ｂに対する各種の制御指示を受信する端末指示受信部２４を備えている。

通常、管理サーバＡ、端末Ｂの内部にある各構成部は、その処理を実行する手段（プログラムやモジュール等）がハードウェアに読み込まれることでその処理が実行されるが、これらをハードウェアとの組み合わせにより構成しても良いし、ロジック等を組み合わせたハードウェアのみで構成しても構わない。

以下、図３に記載した本発明を構成する機能ブロック図に基づいて、各構成部の動作について説明する。

端末制御部２１は、端末Ｂにおける各種のハードウェア及びソフトウェアの動作・制御を行う。本実施例において端末の動作・制御とは、アプリケーション、ＯＳ、ミドルウェア、ファームウェアなどで実行されるあらゆる動作をさすものとする。

操作ログ情報生成部２２は、端末Ｂにおいて行われた動作・制御の履歴を示す操作ログ情報（後述）を生成する。操作ログ情報は、端末制御部２１で行われた制御に基づいて生成される。

操作ログ情報送信部２３は、操作ログ情報生成部２２で生成した操作ログ情報を管理サーバＡに送信する。つまり、操作ログ情報はネットワークＩ／Ｆ２０を介して管理サーバＡに送信される。通常、操作ログ情報送信部２３は、端末制御部２１において動作や制御が実行される毎に生成される操作ログ情報を管理サーバＡに送信する。また、前述の方法に限らず、所定のタイミングもしくは一定周期で管理サーバへ操作ログ情報の送信を行っても良く、操作ログ情報の生成と管理サーバＡへの送信が同一タイミングで実行されなくても良い。

操作ログ情報とは、端末Ｂにおいて、入力装置４を用いたユーザの操作やアプリケーション等の指示による発生した通知・要求に従って動作・制御が実行された履歴を示す情報である。具体的には、端末識別情報、ユーザ識別情報、操作日時、操作内容、操作対象情報、付加情報、等を含むものをいう。これら操作ログ情報に含まれる情報は一例であって限定されるものではなく、本発明の目的を達する限りにおいて、一部の情報のみを用いても良い。操作ログ情報の例を図５に模式的に示す。

上述の操作日時には、本実施例では動作・制御が実行された日時が含まれるが、操作ログ情報が生成された日時でも良いし、管理サーバＡに送信した日時でも良い。また、日時を数値化した値としてもかまわない。

上述の操作内容とは、端末Ｂにおいて実行された内容であって、ミドルウェアまたはＯＳ等において実行されるソフトウェアやハードウェア等の動作・制御の内容のことをいる。より具体的には、キー入力、ポインティングデバイスの操作（ボタン押下、移動など）、外部記憶媒体の着脱（検出・削除または接続・切断など）、外部出力機器（プリンタなど）との接続、ファイル操作（作成、削除、複製、移動、ファイル名変更、ファイル読み込み、ファイル書込み等）、フォルダ操作（作成、削除、複製、移動、フォルダ名変更等）、メール送信・受信、アプリケーション操作（起動、終了等）、ドライブの追加・削除・検知、ネットワークの接続・切断、ＩＰアドレス変更、コンピュータ名変更、記憶媒体の書き込み、印刷、メディア作成（ＣＤ−Ｒ、ＤＶＤ−Ｒ等の作成）、クリップボードへの複製、Ｗｅｂページアクセス、ファイルダウンロード、ファイルアップロード、端末起動・端末終了等を示す情報がある。なお、これらは一例であって限定されるものではない。

上述の操作対象情報とは、操作内容に応じて実行される対象のことをいう。本実施例においては、端末Ｂによって操作または制御されたアプリケーションの識別情報（アプリケーション識別情報）、ファイルの識別情報（ファイル識別情報）、フォルダ情報、Ｗｅｂページアドレス、メールアドレス（送信先、送信元）、ネットワークの識別情報（ネットワークドメイン名などのネットワークを一義的に識別する情報）などが含まれる。前述の例以外であっても目的を達する限りにおいていかなる情報で有ってもかまわない。

上述のアプリケーション識別情報とは、アプリケーションを一義的に識別可能な情報のことをいう。上述のファイル識別情報とは、ファイルを一義的に識別可能な情報のことをいう。上述のフォルダ情報とは、フォルダを一義的に識別可能な情報のことをいう。上述のＷｅｂページアドレスとは、一般的にＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒの略）であり、ネットワーク上の情報資源、文書や画像などの場所を指し示す情報のことをいう。

上述の付加情報とは、操作内容・操作対象情報にしたがって付加的に取得される情報のことをいい、操作内容によって、付加情報として取得される情報の内容が変わる。より具体的には、データ量、印刷ページ数、ファイル容量、ファイル数などがある。例えば、操作内容がファイルダウンロードであれば、ダウンロードを行ったデータ量などである。なお、これらは一例であって限定されるものではない。

制御指示受信部２４は、管理サーバＡの制御部１６によって決定された制御指示をネットワークＩ／Ｆ２０を介して受信する。受信した制御指示は端末制御部２１に通知される。

操作ログ情報取得部１１は、端末Ｂから送られてくる操作ログ情報をネットワークＩ／Ｆ１０を介して取得する。

操作ログ情報記憶部１２は、操作ログ情報取得部１１で取得した操作ログ情報を記憶する。操作ログ情報の記憶は、端末識別情報毎またはユーザ識別情報毎に記憶しても良い。さらに、操作ログ情報のをデータベース等を用いて記憶・管理するようにしても良い。

許容操作範囲生成部１３は、操作ログ情報記憶部１２に記憶されている操作ログ情報から端末Ｂの標準的な操作の範囲を示す許容操作範囲情報を生成する。そして、生成した許容操作範囲情報を不正操作判定部１５に通知する。なお、生成した結果を許容操作範囲情報記憶部（図示せず）に記憶させ、適時読み出して使用できるようにすると好適である。

上述の許容操作範囲情報とは、操作ログ情報に基づいて端末Ｂの標準的な操作の範囲を数値化した値（許容範囲値）を含む情報のことをいう。この標準的な操作とは、端末使用者の日常的な範例となる操作のことをいう。許容操作範囲情報には、端末識別情報、許容範囲値などが含まれる。許容範囲値には、操作内容、操作対象情報、付加情報の平均実行回数、平均実行時刻、平均実行周期などが含まれる。許容操作範囲情報の具体的な例としては、操作ログ情報が示す任意の操作が実行された回数の範囲、実行された時刻の範囲、または実行された時間間隔の範囲などが挙げられる。ここでいう範囲には、少なくとも最大値または最小値を示す値が含まれているものとする。

上述の許容操作範囲情報の生成方法について詳細に説明する。許容操作範囲生成部１３は、操作ログ情報記憶部１２から特定の端末Ｂの操作ログ情報を抽出し、端末Ｂにおける操作の基準値（操作基準値）を算出する操作基準値算出手段と、操作基準値に基づいて操作の許容範囲を示す許容範囲値を算出し、その許容範囲値を許容操作範囲情報とする許容範囲値生成手段と、を備える。

上述の操作基準値算出手段は、まず、操作ログ情報記憶部１２から特定の端末Ｂから出力された、標準的な操作を判定するための所定期間内における操作ログ情報を抽出する。標準的な操作を判定するための所定期間内は、当該端末Ｂの標準的な操作を判定することができるとユーザが判断した任意の期間としても良いし、予め定められた固定値で有っても良い。または、操作ログ情報記憶部１２内に保存されている端末Ｂのすべての操作ログ情報を抜き出すことができるような期間であっても良い。さらに、所定期間を設定する方法以外にも、予め２つの特定の操作ログ情報を定めておき、その２つの操作ログ情報にはさまれた期間を、操作ログ情報抽出を行う所定期間とするという方法も考えられる。

次に、操作基準算出手段は、抽出した操作ログ情報に応じて操作基準値を算出する。この算出する操作基準値としては、（１）単位時間における任意の操作の実行回数の平均値（平均実行回数）、（２）任意の操作の実行時刻の平均値（平均実行時刻）、（３）任意の操作の実行の時間間隔の平均値（平均実行周期）などがある。以下、それぞれについて説明する。

〔操作基準値１（平均実行回数）〕
平均実行回数とは、抽出した操作ログ情報を用いて、同じ操作内容に関して単位時間においてに実行された実行回数の平均値を算出して求める操作基準値のことをいう。例えば、図６（ａ）のように同じ操作内容について１日毎の実行回数を算出していたとする。操作内容「複製」の場合、１日目から１０日目までの各日の実行回数として、「５」、「４」、「４」、「５」、「６」、「７」、「６」、「４」、「５」、「４」が取得できる。そして、この取得した１０日間の実行回数から１日間の平均実行回数「５」を算出する。

〔操作基準値２（平均実行時刻）〕
平均実行時刻とは、抽出した操作ログ情報を用いて、同じ操作内容に関してその操作内容が実行された操作日時から実行時刻の平均値を算出して求める操作基準値のことをいう。例えば、図６（ｂ）のように操作内容「端末起動」の１日目から１０日目までの各日の実行時刻（「時：分」）を、「８：５９」、「８：５５」、「９：０６」、「８：５６」、「９：０２」、「９：０４」、「８：５８」、「９：０１」、「９：０５」、「９：０５」と取得していたとする。そして、この取得した１０日間の実行時刻から平均実行時刻「９：０１」を算出する。

〔操作基準値３（平均実行周期）〕
平均実行周期とは、抽出した操作ログ情報を用いて、同じ操作内容が実行される時間間隔の平均を算出して求める操作基準値のことをいう。本実施例では、端末の動作時間において実行された実行回数に基づいてその操作内容の実行周期を算出し、実行周期の平均値を算出する。例えば、図６（ａ）（ｂ）のように、単位時間を端末Ｂの動作時間（起動〜終了までの時間）とした場合における同じ操作内容の実行回数から実行周期を算出する。つまり、１日目から１０日目までの１０日間の実行周期（「時間：分」）は、「１：３５」、「２：０１」、「１：５４」、「１：３６」、「１：１９」、「１：０８」、「１：２３」、「１：５９」、「１：３６」、「２：００」と取得できる。そして、この取得した実行周期から平均実行周期「１：３９」を算出する。

上述に操作基準値の算出内容について記載したが、これに限らず、本発明の目的を達する限りにおいて、いかなる方法および情報を用いても良い。また、上述の同じ操作内容の算出において、特定の操作を予め決定しておき、その操作内容を含む操作ログ情報に対して算出するようにしてもかまわない。

続いて、算出された操作基準値は、許容範囲値生成手段に通知される。

許容範囲値生成手段は、取得した操作基準値を使用し許容範囲値を生成する。そして、生成された許容範囲値を許容操作範囲情報として不正操作判定部１６に通知する。

許容範囲値の生成方法として、（１）操作基準値から固定の許容範囲値を取得する方法、（２）操作基準値から許容範囲値を算出する方法、（３）操作基準値に対する割合から許容範囲値を算出方法、などがある。以降にそれぞれについて詳細に説明する。

〔許容範囲値算出方法１〕
操作基準値から固定の許容範囲値を取得する方法とは、予め操作基準値にかかる許容範囲値を許容範囲設定値記憶部（図示せず）に記憶させ、取得した操作基準値に応じた許容範囲値を取得するという方法のことをいう。例えば、図７（ａ）が許容範囲設定値記憶部に記憶されている場合に、操作基準値が操作内容における平均実行回数「５」とすると、許容範囲値は、最大値「１５」、最小値「０」が取得される。

〔許容範囲値算出方法２〕
操作基準値から許容範囲値を算出する方法とは、予め操作基準値にかかる範囲加算値と範囲減算値とを許容範囲設定値記憶部に記憶させ、取得した操作基準値に範囲加算値の加算を行った値を許容範囲値の最大値とし、範囲減算値の減算を行った値を許容範囲値の最小値として算出する方法のことをいう。例えば、図８（ｂ）が許容範囲設定値記憶部に記憶されている場合に、操作基準値が操作内容「端末起動」における平均実行時刻（「時：分」）「９：０１」とすると、許容範囲値は、最大値「９：１１」、最小値「８：５１」が取得される。

〔許容範囲値算出方法３〕
操作基準値に対する割合から許容範囲値を算出方法とは、予め許容割合を用いて、取得した操作基準値に許容割合を乗じて許容範囲値を取得する方法のことをいう。許容割合とは、操作基準値に対して許容できる範囲の最大値・最小値を示す割合である。例えば、予め操作基準値に対して６０％〜１２０％が許容範囲となる許容割合が定義されている場合に、操作基準値が操作内容における平均実行回数「５」とすると、許容範囲値は、最大値「６」、最小値「３」が取得される。

上述のように算出された許容範囲値は、許容操作範囲情報として不正操作判定部１５に通知される。また、通知とともに許容操作範囲情報記憶部（図示せず）に記憶すると良い。

なお、上述では平均実行回数と平均実行時刻に対する例を説明したがこれに限らず、他の情報として、例えば、平均実行周期、平均終了時刻、平均動作時間などを用いることもできる。

さらに、２以上の許容操作範囲情報を算出し、不正操作判定部１５に通知するようにしてもかまわない。

操作状況生成部１４は、操作ログ情報記憶部１２内の特定期間における端末Ｂの操作ログ情報を抽出し、抽出した操作ログ情報から端末Ｂの操作状況を示す操作状況情報を生成する。そして、生成した操作状況情報を不正操作判定部１５に通知する。

上述の操作状況情報とは、特定の期間内の操作ログ情報に基づいて端末Ｂの操作を数値化した値（操作状況値）を含む情報のことである。操作状況情報には、端末識別情報、操作状況値などが含まれる。操作状況値には、操作内容、操作対象情報、付加情報の実行回数、実行時刻、実行周期などが含まれる。

上述の特定期間は、端末Ｂの操作の傾向や状況を判断するために必要な期間である。具体的には、１日、または１時間などといった期間が設定される。また、さらに企業などにおいて業務時間（例えば、９時〜１７時の８時間）、休日（例えば、土曜日、日曜日の２日）といった期間を用いても良い。通常、特定期間は許容操作範囲情報を生成するための期間より短い期間となる。また、特定期間は、許容操作範囲情報を生成するための期間に含まれない期間が好適であるが、特定期間を含んでもかまわない。

操作状況生成部１４において生成する操作状況値には、（１）特定期間の実行回数、（２）特定期間の実行時刻、（３）特定期間の実行周期、などがある。

〔操作状況値１（実行回数）〕
特定期間の実行回数は、抽出した操作ログ情報を用いて、特定期間内に同じ操作内容が単位時間当たりに実行された回数を算出し、操作状況値として生成する。一例として、図１０（ａ）のように１１日目の１日間の操作ログ情報が抽出された場合、操作内容「複製」の操作状況値（実行回数）「１０」が生成される。

〔操作状況値２（実行時刻）〕
特定期間の実効時刻は、抽出した操作ログ情報を用いて、特定期間内に所定の操作内容が実行された操作日時を抽出し、操作状況値として生成する。一例として、図１０（ｂ）のように１１日目の１日間の操作ログ情報が抽出された場合、操作内容「端末起動」の操作状況値（実行時刻）「１０：３０」が生成される。なお、特定期間内に所定の操作内容を含む操作ログ情報が抽出された場合は、平均の実行時刻としてもかまわない。

〔操作状況値３（実行周期）〕
特定期間の実行周期は、抽出した操作ログ情報を用いて、特定期間内に同じ操作内容が単位時間当たりに実行された回数から実行周期を算出し、操作状況値として生成する。一例として、図１０（ａ）のように１１日目の１日間の操作ログ情報が抽出された場合、操作内容「複製」の操作状況値（実行周期）「００：３９」が生成される。

本実施例では、特定期間と単位時間が等しいとして記載したが、特定期間と単位時間が異なる場合で有っても良い。操作状況生成部１６は、操作状況値を単位時間あたりに換算して算出する。

上述のように生成された操作状況値は、操作状況情報として不正操作判定部１５に通知される。また、生成された２以上の操作状況情報を不正操作判定部１５に通知するようにしてもかまわない。

不正操作判定部１５は、許容操作範囲生成部１３で生成された許容操作範囲情報を取得するとともに、操作状況生成部１４から操作状況情報を取得する。そして、取得した許容操作範囲情報と操作状況情報とを用い、操作状況情報が許容操作範囲内であるかを比較し不正操作の可能性を判定する。そして、その判定結果を制御部１６に通知する。

上述の処理を具体的に説明すると、取得した許容操作範囲情報から許容範囲値の最大値及び最小値を抽出し、取得した操作状況情報の操作状況値がその範囲内であるかを比較する。比較の結果、範囲内である場合は、判定結果を「問題なし」とし、範囲外である場合は、判定結果を「不正操作」とする。

また、不正操作判定部１５は、不正操作である可能性の判定を１つの情報の比較結果に基づいて行っても良いし、複数の情報に基づいて行っても良い。つまり、実行回数、実行周期、実行時刻などいずれかの１つのみで判定しても良いし、それぞれを組み合わせて判定するようにしてもかまわない。

たとえば、複数の情報で判定を行う場合には、各情報において「範囲内」もしくは「範囲外」であるかを比較し、「範囲内」の情報数と「範囲外」の情報数を用いて判定する。判定の方法として、「範囲内」の情報数が所定値より多い場合に判定結果を「問題なし」とする、「範囲外」の情報数が所定数以下の場合に判定結果を「問題なし」にする、「範囲内」「範囲外」のそれぞれの比率を算出し、「範囲内」が所定比率以上であった場合に判定結果を「問題なし」にする、などが考えられる。また、それぞれの情報数もしくは比率を判定結果として制御部１６に通知するようにしても良い。

また、許容操作範囲情報を許容操作範囲情報記憶部（図示せず）から取得するようにしてもかまわない。これによって、許容操作範囲生成部１３で予め生成されている許容操作範囲情報を活用する事ができるため、処理の軽減を行うことができるようになる。

制御部１６は、不正操作判定部１５から判定結果を取得し、その判定結果に応じて制御の内容を決定する。決定した制御内容は、端末Ｂに制御指示として送信する。具体的には、当該端末Ｂに対して、不正操作が行われた事を端末Ｂの表示装置３に表示する、端末Ｂの操作制限を行う、などの制御を指示する情報をネットワークＩ／Ｆ１０を介して送信する。

また、端末Ｂに対する制御指示ではなく、管理者端末（所定の端末Ｂ）へ通知する、管理サーバＡの表示装置に表示する、判定結果を操作判定結果記憶部（図示せず）に記憶する、レポート形式にして管理端末への表示もしくは印刷する、などの制御を実行しても良い。

〔実施例１−処理プロセス〕
次に本発明の操作監視システムの処理プロセスの一例を、図３の機能ブロック図、図４のフローチャート等を用いて説明する。なお、以下の説明では、判定対象の端末Ｂ「ＡＢＣ１２３４５」がネットワークＮを介して管理サーバＡと接続され、操作の判定には操作内容「複製」の実行回数および実行周期を用いることとする。

端末Ｂの操作ログ情報送信部２３は、操作ログ情報生成部２２で生成された端末において実行された操作を示す操作ログ情報を管理サーバＡに送信する。

管理サーバＡは、操作ログ情報取得部１１によって端末Ｂの操作ログ情報を取得し、操作ログ情報記憶部１２に記憶する（Ｓ１０１）。

許容操作範囲生成部１３は、操作ログ情報記憶部１２から判定対象である端末Ｂの操作ログ情報を抽出し、その操作ログ情報を用いて判定対象の端末Ｂの標準的な操作である許容操作範囲情報を生成する。そして、生成した許容操作範囲情報を不正操作判定部１５に通知する（Ｓ１０２）。

上述の動作について、操作ログ情報記憶部１２から標準的な操作を判定するための期間を１０日間とした場合を用いて具体的に説明する。

許容操作範囲生成部１３は、操作ログ情報から端末「ＡＢＣ１２３４５」の１０日分の操作ログ情報を抽出する。そして、抽出した操作ログ情報を用いて、日毎の実行回数と実行周期とに係る許容操作範囲値を算出する。

まず、日毎の実行回数に係る許容操作範囲値の算出について説明する。抽出した操作ログ情報から操作内容「複製」を示す操作ログ情報が日毎に何回実行されたのかを計数する。計数の結果、１日目から１０日目の日毎に操作内容「複製」が実行された回数は、「５」、「４」、「４」、「５」、「６」、「７」、「６」、「４」、「５」、「４」となる（図６（ａ）参照）。よって、１日の実行された平均実行回数（操作基準値）として５回が算出される。そして、操作基準値から固定の許容範囲値を取得する方法（許容範囲値算出方法２）を用いて許容範囲値を算出する（図８（ａ）参照）。詳細には、算出した平均実行回数が５回であり、図８（ａ）の実行回数が０〜１０の範囲であるため、範囲減算値「０」、範囲加算値「２」が決定され、平均実行回数および範囲減算値・範囲加算値を用いて許容範囲値を算出すると、最大値「７」・最小値「５」となる（図９（ａ）参照）。

次に、実行周期に係る許容操作範囲値の算出について説明する。抽出した操作ログ情報を用いて、日毎の端末「ＡＢＣ１２３４５」の動作時間（起動していた時間）を算出する。日毎の端末動作時間（「時間：分」）は、「７：５６」、「８：０７」、「７：３９」、「８：０３」、「７：５８」、「７：５６」、「８：１８」、「７：５７」、「８：００」、「８：００」となる（図６（ｂ）参照）。抽出した日毎の動作時間を上述で計数した日毎の実行回数で除算した値（実行周期）を算出すると、「１：３５」、「２：０１」、「１：５４」、「１：３６」、「１：１９」、「１：０８」、「１：２３」、「１：５９」、「１：３６」、「２：００」となる（図６（ａ）参照）。この結果から平均実行周期（操作基準値）として「１：３９」が算出される。そして、操作基準値から固定の許容範囲値を取得する方法（許容範囲値算出方法２）用いて許容範囲値を算出する（図８（ｃ）参照）。詳細には、平均実行周期「１：３９」であるため、図８（ｃ）の実行周期が１：００〜２：００の範囲にあたり、範囲減算値「０：２０」、範囲加算値「０：２０」が決定され、平均実行周期および範囲減算値・範囲加算値を用いて許容範囲値を算出すると、最大値「１：５９」、最小値「１：１９」となる（図９（ａ）参照）。

上述のように算出された平均実行回数と平均実行周期との許容操作値を許容操作範囲情報に設定し、その許容操作範囲情報を不正操作判定部１５に通知する。

操作状況生成部１３は、操作ログ情報記憶部１２から特定期間における判定対象の端末Ｂの操作ログ情報を抽出し、その操作ログ情報を用いて判定対象の端末Ｂの操作状況を示す操作状況情報を生成する。そして、生成した操作状況情報を不正操作判定部１５に通知する（Ｓ１０３）。

上述の動作について、特定期間を１１日目の１日間とした場合を用いて具体的に説明する。

操作状況生成部１３は、操作ログ情報から端末「ＡＢＣ１２３４５」の１１日目の操作ログ情報を抽出する。そして、抽出した操作ログ情報を用いて、１１日目の操作内容「複製」に関する実行回数と実行周期を算出する。算出は、許容操作範囲情報生成部１２と同様に算出を行う。よって、算出された操作状況値は、実行回数「１０」、実行周期「０：３９」となる（図１０（ａ）参照）。そして、算出された操作状況値を操作状況情報として不正操作判定部１５に通知する。

不正操作判定部１５は、操作状況情報と許容操作範囲情報とを比較し、操作状況が許容操作範囲内であるかによって不正操作の可能性を判定する（Ｓ１０４）。

上述の動作について具体的に説明する。不正操作判定部１５は、操作状況情報として、実行回数「１０」、実行周期「０：３９」を取得し、許容操作範囲情報として、実行回数の最大値「７」・最小値「５」と実行周期の最大値「１：５９」・最小値「１：１９」を取得する。そして、実行回数および実行周期のそれぞれについて比較を実行する。

不正操作判定部１５は、操作状況情報の実行回数が許容操作範囲情報の実行回数の範囲内に含まれているかを比較する。比較の結果は、「範囲外」となる。次に、操作状況情報の実行周期が許容操作範囲情報の実行周期に含まれているかを比較する。比較の結果は、「範囲外」となる。

続いて、不正操作判定部１５は、比較結果が「範囲外」である比率を算出する。本実施例では比較結果が「範囲外」である比率は１００％である。よって、不正操作の可能性の判定結果は１００％となり、この判定結果を制御部１６に通知する。

制御部１６は、不正操作判定部１５の判定結果に基づいて制御を実行する（Ｓ１０５）。

制御部１６は、判定結果として不正操作である可能性を示す比率を取得し、その判定結果と予め設定されているしきい値とから判定される制御内容を実行する（図１１（ａ）参照）。また、制御を実行するとともに判定結果を操作判定記憶部（図示せず）に記憶する。

具体的には、制御部１６は、判定結果として１００％を不正操作判定部１５から取得したため、その判定結果に対応する制御内容が操作制限（操作禁止）の制御指示を端末「ＡＢＣ１２３４５」に通知する、管理者への通知として管理サーバＡに表示装置３に表示する、といった制御を実行することとなる。

そして、端末「ＡＢＣ１２３４５」の制御指示受信部２４は、管理サーバＡから操作制限（操作禁止）を受信すると、端末「ＡＢＣ１２３４５」に接続されている入力装置のキーボードやポインティングデバイスからの入力操作を禁止するように端末制御部２１に通知する。そして、端末制御部２１は、入力装置からの入力操作を禁止にする。

また、制御部１６は、管理サーバＡに表示装置３に通知画面を表示する（図１２参照）。管理サーバＡの表示装置３に表示された画面を確認した管理者は、表示画面の内容にしたがって所望の処理を実行させることができる。本実施例では、端末「ＡＢＣ１２３４５」の電源ＯＦＦ、操作制限の解除、警告画面の表示などを選択させ、それぞれに応じた制御を端末「ＡＢＣ１２３４５」に制御指示として送信させることができる。

本実施例のように構成する事により、端末Ｂ毎に行われている操作が異なる場合であったとしても、端末Ｂ毎の操作に合せて許容できる操作の範囲を変化させる事で、高い精度で不正操作の可能性の判定を行うことができる操作監視システムが可能となる。たとえば、定型的な操作のみが行われている端末Ｂでは、許容できる操作の範囲を狭くし、そうでない端末Ｂにおいては、許容できる操作の範囲を広くする、となり端末特有の操作に適応した判定が可能となる。

さらに、本実施例では、許容操作範囲情報、操作状況情報の生成において、操作内容を用いたがこれに限らず、操作ログ情報の操作対象や付加情報を用いてもかまわない。例えば、操作対象を用いた場合は、Ｗｅｂサイトの閲覧や閲覧時間、共有フォルダのアクセスやアクセス時間、アプリケーションの実行・実行時間などを用いて判定することができる（図６（ｃ）、図７（ｃ）、図８（ｃ）、図９（ｃ）、図１０（ｃ）参照）。また、例えば、付加情報を用いた場合は、データのダウンロード量、印刷ページ数、ファイル数、ファイルサイズなどを用いて判定することもできる（図６（ｄ）、図７（ｄ）、図８（ｄ）、図９（ｄ）、図１０（ｄ）参照）。

さらに、本実施例では、許容操作範囲情報、操作状況情報の生成において、操作内容のみを用いて一致する操作ログ情報の判定をしたがこれに限らず、操作ログ情報に含まれる操作内容、操作対象情報、付加情報を組み合わせて一致する操作ログ情報の抽出・判定を行うようにしてもかまわない。一致する操作ログ情報についていくつかの例を以降に示す。操作内容「複製」かつ操作対象情報「複製先フォルダが自端末」を含む操作ログ情報、操作内容「複製」かつ操作対象情報「複製元フォルダが共有フォルダ」を含む操作ログ情報、操作内容「複製」かつ操作対象情報「外部記憶媒体」を含む操作ログ情報、操作内容「メール送信」かつ操作対象情報「送信先メールアドレスが所定のドメイン以外」を含む操作ログ情報、などである。これらは、一例であって限定されるものではなく、いかなる組み合わせで有ってもかまわない。

さらに、本実施例では、操作内容「複製」のみを用いて判定するようにしたが、複数の操作内容を一致する操作とみなして処理を行ってもかまわない。つまり、二以上操作をグループ化させておき、当該操作グループに含まれる操作の実行回数や実行周期を用いるようにしてもかまわない。また、操作内容だけでなく、操作対象情報、付加情報を用いてグループ化することも当然に可能である。

さらに、本実施例では、許容操作範囲情報として最大値・最小値の両方を用いて説明をしたが、最大値もしくは最小値のいずれか一方が予め固定値として定められている場合には許容操作範囲情報として固定値で無い方のみを生成するようにしてもかまわない。つまり、たとえば実行回数を用いた場合に固定値として最小値「０」が予め設定されている場合には、最大値のみを生成し、最小値を生成しなくてもかまわない。

また、判定結果をレポート形式に表示もしくは印刷するともできる。例えば、図２１、図２２に示すように判定の対象となった端末の不正操作の可能性を「○」「△」「×」といった視覚的にわかりやすい表示もしくは印刷をさせるようにすることもできる。さらに図２１のように予め二以上の端末Ｂをグループ化（部署毎など）しておき、制御部１６は当該グループ内の端末Ｂの不正操作の可能性について自動的に集計してレポート形式で表示させることもできる。この場合は、予め端末識別情報と所属などを示す属性情報とを関連付けた端末情報を端末情報記憶部（図示せず）に記憶させておくこととする。

本実施例では、端末Ｂの標準的な操作を判定する所定期間における標準偏差を算出し、その標準偏差を用いて許容操作範囲情報を生成する場合について説明する。

以下、各構成部および処理プロセスについて説明する。なお、実施例１と同様の構成および動作については、説明を省略する。

許容操作範囲生成部１３は、操作ログ情報記憶部１２から特定の端末Ｂの操作ログ情報を抽出し、端末Ｂにおける操作の標準偏差および平均値を算出する標準偏差算出手段と、標準偏差に応じて操作の許容範囲（最大値・最小値）を示す許容範囲値を算出し、その許容範囲値を許容操作範囲情報とする許容範囲値生成手段と、を備える。

標準偏差算出手段は、まず、実施例１と同様に操作ログ情報を抽出し、単位時間毎の集計値を計数する。次に、この計数された情報を母集団とする標準偏差および平均値を算出する。例えば、図１３（ａ）の操作内容が「複製」とすると、１日目から１０日目までの１０日間の実行回数として、「５」、「４」、「４」、「５」、「６」、「７」、「６」、「４」、「５」、「４」を取得する。よって、この１０日間のデータを母集団とする標準偏差「１．０５４（小数点４桁以下四捨五入）」が算出される。また、１０日間の平均実行回数「５」が算出される。そして、算出した標準偏差と平均を許容範囲値生成手段に通知する。

許容範囲値生成手段は、標準偏差算出手段から標準偏差および平均値を取得する。そして、予め定められている上限偏差値から最大値、下限偏差値から最小値を算出する。

例えば、上述のとおり、標準偏差「１．０５４」、平均実行回数「５」が取得された場合において、予め、上限偏差値「７０」、下限偏差値「３０」が設定されているとする。まず、最大値の算出式として、最大値＝｛（上限偏差値−５０）×標準偏差｝÷１０＋平均値であるため、最大値＝７（小数点以下四捨五入）となる。同様に最小値＝｛（上限偏差値−５０）×標準偏差｝÷１０＋平均値であるため、最小値＝３（小数点以下四捨五入）となる。よって、許容操作範囲情報として、最大値「７」・最小値「３」が生成される。

本実施例のように構成する事により、操作のばらつきに応じた不正操作の判定を行うことができる操作監視システムが可能となる。つまり、操作がばらついている場合は、許容範囲が広く設定されるようになり、操作がばらついていない場合には、許容範囲が狭く設定されるようになる。

上述の実施例１においては、許容操作範囲情報を生成する際に操作基準値を生成し、その操作基準値に対応する最大値および最小値を許容範囲設定値記憶部から取得するようにしたが、本実施例では、端末Ｂの操作ログ情報を抽出した期間内における最大値および最小値を抽出し、その値を用いて許容操作範囲情報として生成する場合について説明する。

以下、各構成部および処理プロセスについて説明する。なお、実施例１と同様の構成および動作については、説明を省略する。

許容操作範囲生成部１３は、操作ログ情報記憶部１２から特定の端末Ｂの操作ログ情報を抽出し、端末Ｂにおける操作の最大値および最小値を抽出し、抽出した最大値および最小値を許容操作範囲情報とする許容範囲値抽出手段、を備える。

許容操作範囲抽出手段は、まず、実施例１と同様に操作ログ情報を抽出し、単位時間毎の集計値を計数する。次に、この計数された情報から最大値および最小値を抽出する。例えば、図６（ａ）において操作内容「複製」の場合、１日目から１０日目までの１０日間の実行回数として、「５」、「４」、「４」、「５」、「６」、「７」、「６」、「４」、「５」、「４」が取得できる。よって、最大値「７」と最小値「４」が抽出される。この抽出された最大値および最小値を許容操作範囲情報とする。

本実施例のように構成する事により、操作基準値から許容操作範囲情報を求める手順が省略されるため、判定にかかる処理の負荷を軽減する効果も得ることができる。

本実施例では、操作状況情報の操作状況値において、特定期間内の最大値と最小値を抽出し、それぞれの最大値同士および最小値同士を比較する場合について説明する。

以下、各構成部および処理プロセスについて説明する。なお、実施例１と同様の構成および動作については、説明を省略する。

操作状況生成部１４は、特定期間における端末Ｂの操作ログ情報を抽出し、抽出した操作ログ情報から端末Ｂの操作状況を示す操作状況値として最大値・最小値を計数する。そして、生成された操作状況値を操作状況情報として不正操作状況判定部１５に通知する。

不正操作状況情報１５は、許容操作範囲生成部１３から許容操作情報を取得し、操作状況情報判定部１４から操作状況情報を取得する。そして、許容操作範囲情報の最大値・最小値と操作状況情報の最大値・最小値とを比較する。そして、比較結果を制御部１６に通知する。

上述の処理について、図９（ｃ）、図１０（ｃ）を用いて具体的に説明する。なお、特定期間は１１日目および１２日目の２日間、操作内容「Ｗｅｂページアクセス」かつ操作対象情報「ＷｅｂサイトＤ」のＷｅｂページ、の操作状況値は実行回数（操作状況値１）として判定を行うものとする。

許容操作範囲生成部１３は、操作対象「ＷｅｂサイトＤ」の許容操作範囲情報を実施例１と同様な方法を用いて生成し、許容操作範囲値の最大値「６」・最小値「４」を取得する（図９（ｃ）参照）。そして、生成した許容操作範囲値は、許容操作範囲情報として不正操作判定部１５に通知される。

次に、操作状況生成部１６は、特定期間１１日目と１２日目における操作対象「ＷｅｂサイトＤ」に対するアクセスの実行回数を計数し、１１日目の実行回数「１０」、１２日目の実行回数「１４」を取得する（図１０（ｃ）参照）。よって、操作状況値は、最大値「１４」・最小値「１０」となる。そして、生成した操作状況値を操作状況情報として不正操作判定部１５に通知する。

不正操作判定部１５は、許容操作範囲情報と操作状況情報とを取得する。続いて、許容操作範囲情報の最大値「６」と操作状況情報の最大値「１４」とを比較する。比較の結果、操作状況情報の最大値が許容操作範囲情報を超えていると判定される。次に、許容操作範囲情報の最小値「４」と操作状況情報の最小値「５」とを比較する。比較の結果、操作状況情報の最小値は、許容操作範囲情報の最小値よりも大きいため、許容範囲を超えていないと判定できる。

不正操作判定部１５は、上述の最大値・最小値の比較結果から不正操作の可能性は５０％と判定することができる。

本実施例のように構成する事により、許容操作範囲情報を算出する際に操作基準値を算出する必要が無くなり、処理の負荷を軽減する効果を得るとともに上述の実施例と同様に各端末の操作に基づいた判定を行うことができる。

本発明は、端末Ｂの環境情報を加味して判定を行うように構成することもできる。つまり、操作ログ情報を用いて、端末Ｂのハードウェア・ソフトウェアの環境に関する情報を判定し、端末Ｂの環境に合わせた許容操作範囲情報・操作状況情報を生成するように構成することもできる。

上述の環境情報とは、端末Ｂのハードウェアもしくはソフトウェアに関する情報のことをいい、具体的には、ネットワークの接続状況、外部機器の接続状況、ソフトウェアのインストール状況などに関する情報である。ネットワークの接続状況とは、例えば、有線ネットワーク接続中（ＬＡＮケーブルを用いた接続）、無線ネットワーク接続中、イントラネットへの接続中、インターネットへの接続中、未接続などといった情報である。外部機器の接続状況とは、外部記憶媒体、プリンタ、スキャナなどとの接続を示す情報である。ソフトウェアのインストール状況とは、端末Ｂ内に有る実行モジュール・実行プログラムなどのインストール情報である。

以下、各構成部および処理プロセスについて説明する。なお、実施例１と同様の構成および動作については、説明を省略する。

〔実施例５−構成〕
本発明の操作監視システムは、さらに環境情報生成部（図示せず）および環境情報記憶部（図示せず）を備えている。

環境情報生成部は、端末Ｂの操作ログ情報取得部１１から操作ログ情報を取得し、取得した操作ログ情報に基づいて環境情報を生成し、環境情報記憶部に記憶する。この環境情報は、操作ログ情報の操作内容、操作対象情報、付加情報等を用いて端末Ｂの環境に関する情報を判定して生成される。

操作ログ情報取得部１１は、端末Ｂから操作ログ情報を取得すると、環境情報記憶部に保存されている環境情報を操作ログ情報に関連付けて操作ログ情報記憶部１２に記憶する。

許容操作範囲生成部１３は、操作ログ情報記憶部１２から標準的な操作を判定するための期間の操作ログ情報を抽出し、各操作ログ情報に含まれる操作内容、操作対象情報、付加情報および環境情報を用いて許容操作範囲情報を生成する。具体的には、操作ログ情報毎に含まれる環境情報に応じて、予め環境情報毎に定義されているリスクポイントを判定する。そして、操作内容・操作対象情報・付加情報およびリスクポイントを用いて操作ログ情報の操作ポイントを算出し、その操作ポイントを集計した値を用いて許容操作範囲値を生成する。

操作状況生成部１４は、操作ログ情報記憶部１２から特定期間の操作ログ情報を抽出し、各操作ログ情報に含まれる操作内容、操作対象情報、付加情報および環境情報を用いて操作状況情報を生成する。具体的には、操作ログ情報毎に含まれる環境情報に応じて、予め環境毎に定義されているリスクポイントを判定する。そして、操作内容・操作対象情報・付加情報およびリスクポイントを用いて操作ログ情報の操作ポイントを算出し、その操作ポイントを集計した値を用いて操作状況値を生成する。

〔実施例５−処理プロセス〕
次に本実施例の処理プロセスの一例を、図３の機能ブロック図、図４のフローチャート等を用いて説明する。なお、以下の説明では、判定対象の端末Ｂ「ＡＢＣ１２３４５」がネットワークＮを介して管理サーバＡと接続され、本操作の判定に用いる操作内容は「複製」、操作状況値は実行回数（操作状況値１）を用いる。そして、環境情報はネットワーク接続状況を用いることとする。

操作ログ情報取得部１１は、端末Ｂから操作ログ情報を取得すると環境情報生成部に操作ログ情報を通知する。また、環境情報記憶部から環境情報を抽出し、取得した操作ログ情報と関連付けて操作ログ情報記憶部１２に記憶する（Ｓ１０１）。操作ログ情報記憶部１２に記憶された操作ログ情報を図１４に模式的に示す。

環境情報生成部は、操作ログ情報取得部１１から操作ログ情報を取得し、取得した操作ログ情報から抽出したネットワーク接続状況を環境情報として取得する。この環境情報の一つであるネットワーク接続状況について具体的に説明する。たとえば、操作内容「ネットワーク接続」、操作対象情報「有線接続」、付加情報「インターネット接続」を含む操作ログ情報を取得した場合、ネットワーク接続状況「有線ネットワーク接続中（インターネット）」と判定し、その内容を環境情報として生成する。また、操作内容「ネットワーク切断」、操作対象情報「有線接続」、付加情報「インターネット接続」を含む操作ログ情報を取得した場合、ネットワーク接続状況「有線ネットワーク未接続」と判定し、その内容を環境情報として生成する（図１５参照）。

許容操作範囲生成部１３は、標準的な操作を判定するための所定期間の操作ログ情報を抽出し、その操作ログ情報とそれに関連する環境情報とに応じて操作ポイントを算出する。そして、操作ポイントを用いて許容操作範囲情報を生成する（Ｓ１０２）。

上述の処理を具体的に説明すると、取得した操作ログ情報のうち、操作内容「複製」である操作ログ情報と環境情報（ネットワーク接続状況）とを抽出する。次に、環境情報（ネットワーク接続状況）の内容に応じてリスクポイントテーブル（図１６参照）からリスクポイントを取得し、そのリスクポイントをその操作ログ情報の操作ポイントとする。例えば、操作ログ情報が図１４（ａ）で有った場合、環境情報（ネットワーク接続）「有線ネットワーク接続中（インターネット）」であるため、リスクポイントは「２」となる（図１６参照）。よって、その操作ログ情報の操作ポイントは「２」となる。

続いて、操作ログ情報毎の操作ポイントの算出を行った後、単位時間あたりの操作ポイントを集計する（図１７参照）。そして、１０日間における１日の操作ポイントの平均値は、「６．４」算出される。そして、この操作ポイントを用いて許容操作範囲情報が算出される。

操作状況生成部１４は、特定期間における操作ログ情報を取得し、その操作ログ情報と環境情報とに応じて操作ポイントを算出する。そして、操作ポイントを用いて操作状況情報を生成する（Ｓ１０３）。特定期間である１１日目の操作ポイントは、１０と算出される。

本実施例のように構成する事によって、端末Ｂの環境に応じて不正操作であるかの判定をより厳密に行うことができるようになる。

本実施例では、許容操作範囲情報および操作状況情報に環境情報を反映させて操作ポイントを算出するように構成したが、許容操作範囲情報または操作状況情報のいずれか一方に対してのみ環境情報を反映させるように構成してもかまわない。

本実施例では、操作ログ情報を用いて環境情報を判定するとしたが、端末Ｂのハードウェア・ソフトウェアに関する情報を端末Ｂから取得し、その取得した情報に基づいて環境情報を生成するようにしてもかまわない。以下、具体的に説明する。

端末制御部２１は、端末Ｂのハードウェア構成およびインストールされているソフトウェアに関する情報を資産情報として取得する。そして、取得した資産情報をネットワークＩ／Ｆ２０を介して管理サーバＡに通知する。そして、管理サーバＡは、端末Ｂから資産情報を取得し、環境情報として環境情報記憶部に記憶する。

上述の処理について管理サーバＡは、資産情報の送信要求を端末Ｂに指示する事によって端末Ｂから資産情報を取得するように構成しても良いし、端末Ｂが定期的に管理サーバＡに資産情報を通知するように構成してもよい。

また、本実施例では、操作ログ情報を端末Ｂから取得する毎に環境情報を生成し、操作ログ情報に関連付けて記憶するようにしたが、許容操作範囲生成部１３および操作状況生成部１４において操作ログ情報記憶部１２から操作ログ情報を取得する毎に環境情報の生成しリスクポイントの取得を行うようにしてもかまわない。これによって、判定に使用する環境情報を予め関連付けて記憶する必要がなく、判定のために使用する環境情報を変更する事ができ、さまざまな環境情報に対する判定が可能となる。

上述の実施例では、許容操作範囲情報の生成を標準的な操作を判定するための任意の期間、操作状況情報の生成を任意の特定期間としたが、本実施例では、所定の操作ログ情報（基準操作ログ情報）の操作日時を基点とした一定の期間の操作ログ情報に基づいて許容操作範囲情報および操作状況情報を生成し、判定する場合について説明する。

上述の基準操作ログ情報とは、操作ログ情報を取得する期間を決定するための基準となる操作ログ情報である。この基準操作ログ情報は、予め定められた条件に一致する操作ログ情報であるものとする。

以下、各構成部および処理プロセスについて説明する。なお、実施例１と同様の構成部
または動作については、詳細な説明を省略する。

〔実施例６−構成〕
許容操作範囲情報生成部１３は、操作ログ情報記憶部１２から操作ログ情報を順次取得し、取得した操作ログ情報と基準操作ログ情報とを比較する。そして、比較の結果、基準操作ログ情報と判定された場合、関連操作取得期間を判定し、その期間内に含まれる操作ログ情報を操作ログ情報記憶部１２から抽出する。この一連の処理を標準的な操作を判定するための所定期間、繰り返し実行する。続いて、抽出した操作ログ情報に応じて集計を行い、許容操作範囲情報を生成する。

上述の関連操作取得期間とは、基準操作ログ情報の操作日時を基準とした期間または時間範囲のことをいう。つまり、基準操作ログ情報の操作日時から操作ログ情報の取得を開始する日時および操作ログ情報の取得を終了する日時で示される期間のことである（図１９参照）。なお、関連操作取得期間は、基準操作ログ情報の操作日時を基準として、それより以前・以後のいずれでも良い。さらに、関連操作取得期間には、特定の操作ログ情報の日時を含んでいても良いし、含まなくても良い。

例えば、基準操作ログ情報の操作内容が「外部記憶媒体の検出」であり、関連操作取得期間が「基準操作ログ情報の０分前〜基準操作ログ情報の１０分後」であったとする（図１９参照）と、操作ログ情報記憶部１２から取得した操作ログ情報の操作内容が「外部記憶媒体の検出」であるかを判定する。判定の結果、合致した場合は、その操作ログ情報以降の１０分間の操作ログ情報を抽出する。つまり、図１８の場合であれば、「開始Ａ〜終了Ａ］、「開始Ｂ〜終了Ｂ」の間の操作ログ情報が抽出されることとなる。そして、許容操作範囲情報生成部１３は、取得した操作ログ情報に応じて操作の集計を行い、許容操作範囲情報を生成する。

操作状況情報生成部１４は、操作ログ情報記憶部１２から操作ログ情報を取得し、その取得した操作ログ情報の操作内容と基準操作ログ情報の操作内容とを比較する。そして、比較の結果、基準操作ログ情報と判定された場合、予め定義されている関連操作取得期間に含まれる操作ログ情報を操作ログ情報記憶部１２から抽出する。そして、抽出した操作ログ情報に基づいて集計を行い、操作状況情報を生成する。

例えば、操作状況生成部１４は、操作ログ情報記憶部１２から順次取得した操作ログ情報の操作内容が「外部記憶媒体の検出」であるかを判定する。判定の結果、合致した場合は、その操作ログ情報以降の１０分間の操作ログ情報を抽出する。つまり、図１８の場合であれば、「開始Ｃ〜終了Ｃ］の間の操作ログ情報が抽出されることとなる。続いて、操作状況生成部１４は、取得した操作ログ情報に応じて操作の集計を行い、操作状況情報を生成する。

このように所定の操作ログ情報を基準とした一定の範囲に限定して操作ログ情報を抽出する事によって、所定の操作ログ情報と連動して行われる操作が不正操作であるかを判定することができるようになる。

さらに本実施例では、基準操作ログ情報は、許容操作範囲生成部１３および操作状況生成部１４において、許容操作範囲情報および操作状況情報を生成するための操作ログ情報を操作ログ情報記憶部１２から抽出するための期間を決定するための基準として用いていたが、基準操作ログ情報それ自体を用いて、その基準操作ログ情報が端末Ｂから出力された回数を用いて許容操作範囲情報および操作状況情報を生成するという構成としても構わない。

本実施例は、許容操作範囲情報と操作状況情報とを比較した結果から判定ポイントを生成し、その判定ポイントの累積を用いて制御を行う場合について説明する。

上述の判定ポイントとは、端末Ｂで行われた操作について不正操作の可能性の度合いを累積した値のことをいう。言い換えると、許容操作範囲情報と操作状況情報との比較の結果に応じて求められたポイントを積算した値のことである。本実施例では、判定ポイントの値が大きいほど不正操作の可能性が高いと判定する。

以下、各構成部および処理プロセスについて説明する。なお、実施例１と同様の構成部
または動作については、詳細な説明を省略する。

〔実施例７−構成〕
本実施例において、本発明の操作監視システムは判定ポイント記憶部（図示せず）をさらに備えるものとする。

操作ポイント記憶部は、不正操作判定部１５において許容操作情報と操作状況情報との比較の結果に応じたポイントを積算した判定ポイントを記憶する。

不正操作判定部１５は、許容操作範囲情報と操作状況情報とを比較する。その比較結果、操作状況情報が許容操作範囲外である場合、比較判定に用いた対象に応じてポイントを決定する（図２０参照）。そして、決定したポイントを判定ポイント記憶部から判定ポイントに加算する。ここで判定に用いた対象とは、操作ログ情報に含まれる操作内容、操作対象情報、付加情報などに対する実行回数、実行周期などを指す。

制御部１６は、判定ポイント記憶部から判定ポイントを取得する。取得した判定ポイントに応じて、端末Ｂに対する操作制御・警告通知や管理者端末に対する通知を行う（図１１（ｂ）参照）。

さらに、不正操作判定部１５は、判定ポイントを積算するだけでなく、所定のタイミングや周期的に判定ポイントを減算するようにすると好適である。つまり、不正操作判定部１５において、不正な操作であると判定すると判定ポイントを加算し、不正な操作で無い（操作状況情報が許容操作範囲内である）と判定された場合、判定に用いた対象に応じてポイントを決定し、決定したポイントを判定ポイントから減算するようにしてもかまわない。これによって、継続的に不正な操作を行っている端末に対してのみ制御を行うことができるようになる。

本実施例は、本システムを周期的に実行するようにすると好適である。また、それに限らず、管理者による指示や所定の操作ログ情報などの所定のタイミングで実行するようにしてもかまわない。

本実施例は、判定ポイントが大きいほど不正操作の可能性が高いとしたがこれに限らず、判定ポイントが小さいほど不正操作の可の正が高いとなるようにしてもかまわない。この場合は、正常値であるポイント（最高ポイント）が判定ポイント記憶部に記憶されており、不正操作判定部１６の結果に応じて記憶されている判定ポイントが減算され、減算された判定ポイントを用いて制御を行うように構成することも当然に可能である。

上述の実施例７では、判定ポイントを設け、判定ポイントの積算値に応じて制御を行う方法について説明したが、本実施例では、不正操作判定部１５において判定ポイントが算出される毎に、判定ポイント記憶部に順次記憶し、その値の経時的な変化に応じて不正操作の可能性を判定し、制御を行うという方法について説明する。

不正操作判定部１５は、許容操作範囲情報と操作状況情報とを比較する。その結果、操作状況情報が許容操作範囲外であると判定された場合、判定に用いた対象に応じてポイントを決定する（図２０参照）。そして、決定したポイントを判定ポイント記憶部に判定のタイミングを示す情報（例えば、○日目や操作日時など）とともに記憶する。

次に、不正操作判定部１５は、判定ポイント記憶部に判定のタイミングを示す情報毎に記憶されたポイントに基づいて、単位時間毎のポイントを集計し、不正操作の発生傾向を求め、その発生傾向に応じて不正操作の可能性の判定を行う。

上述の不正操作の発生傾向とは、不正操作が増加傾向に有るもしくは減少傾向に有るといった傾向のことをいう。

不正操作判定部１５は、不正操作の発生傾向を算出する発生傾向算出手段と、発生傾向に基づいて不正操作の可能性の判定を行う判定手段とを備える。

発生傾向算出手段は、判定ポイント記憶部からポイントを取得する。そして、取得したポイントから単位時間毎にポイントを集計する。そして、その集計されたポイントの変化の近似直線式を算出する。算出された近似直線式の傾き・切線を制御手段に通知する。つまり、例えば判定する期間が１０日間の場合に、日毎にポイントを集計し、その１０日間の日毎の集計されたポイントの近似直線式を算出する。そして、その近似直線式の傾き・切線を制御手段に通知する。

発生傾向に近似直線式によって、例えば、傾きがプラス値である場合は増加傾向にあり、傾きがマイナス値で有る場合は減少傾向と判定できる。さらに傾きの絶対値が大きい場合（プラス値／マイナス値のいずれの場合でも）は、操作が急激に変化している事を示すため、不正操作の可能性が高い傾向にあると判断するようにしても良い。さらに、切線の大きさを用いて、継続的に不正操作が行われているとすることもできる。

判定手段は、不正操作の発生傾向が増加傾向である、操作が急激に変化した、などの場合に不正操作の可能性が有るもしくは高いと判定し、などといった発生傾向に応じて不正操作の判定を行う。

上述の実施例では、操作ログ情報を用いて操作基準値を算出し、許容操作範囲情報および操作状況情報を求めていたが、取得した操作ログ情報が禁止操作であるかを判定し、その禁止操作の回数等を用いて操作基準値を算出し、許容操作範囲情報および操作状況情報を求めて、不正操作の判定を行うようにしてもかまわない。

上述の禁止操作とは、端末Ｂにおいて実行が禁止もしくは制限されている操作のことである。

具体的には、操作ログ情報取得部１１において取得した操作ログ情報が禁止操作であるかを判定し、判定の結果を操作ログ情報記憶部１２に記憶する。操作ログ情報記憶部１２に記憶する際に、禁止操作の情報を操作ログ情報に関連付けると好適である。そして、その禁止操作の情報に基づいて許容操作範囲情報、操作状況情報を生成し、不正操作の判定を行う（図６（ｅ）、図７（ｅ）、図９（ｅ）、図１０（ｅ）参照）。

なお、禁止操作となる条件については、予め禁止となる操作内容、操作対象情報および付随情報などを定義し、記憶部等に記憶しておくと好適である。

本実施例では、操作ログ情報に含まれる各種データ量を示す情報を用いて判定する場合について説明する。具体的には、操作ログ情報の付加情報に含まれるデータ量、印刷ページ数、およびファイル数等の各種データ量を示す情報を抽出し、単位時間あたりのデータ量の積算値を用いて許容操作範囲情報および操作状況情報を生成し、不正操作の判定を行う。

上述のデータ量を示す情報に関する例を以下に示す。操作ログ情報が操作内容「ファイルダウンロード」かつ付加情報「ダウンロードするデータ量」の場合のデータ量（図６（ｄ）、図７（ｄ）、図９（ｄ）、図１０（ｄ）参照）、操作ログ情報が操作内容「印刷」かつ付加情報「印刷ページ数」の場合の印刷ページ数、操作ログ情報が操作内容「印刷」かつ付加情報「ファイル数」の場合のファイル数、操作ログ情報が操作内容「メール送信」かつ付加情報「添付ファイル数」の場合のファイル数、操作ログ情報の操作内容「メール送信」かつ付加情報「添付ファイルのデータ量」の場合の添付ファイルのデータ量などがある。なお、これらは、一例であって限定されるものではなく、いかなるデータ量を示す情報を用いてもかまわない。

上述の実施例では、端末識別情報を用いて端末毎に判定するように説明したが、操作ログ情報に含まれるユーザ識別情報を用いて判定することも当然に可能である。これによって、ユーザが端末を特定せずに使用している場合の不正操作を判定することができる。

本発明の操作監視システムの各機能・各構成は、管理サーバＡ、端末Ｂにおいて適
宜、分散配置しても良い。

上述の構成の他、管理サーバＡを設けず、端末Ｂに必要な構成部を設けるようにしても良い。具体的には、端末Ｂは、端末制御部２１、操作ログ情報生成部２２、操作ログ情報取得部１１、操作ログ情報記憶部１２、許容操作範囲生成部１３、操作状況生成部１４、不正操作判定部１５、制御部１６、を設けるようにすることで、端末Ｂのみで操作監視を行うことも可能である。これによって、管理サーバＡに問い合わせる必要が無く、高速に処理を行うことができるようになる。

なお分散配置のバリエーションはさまざまなパターンがあり、いかなる配置形態で
も良い。このように、管理サーバＡ、端末Ｂにおける処理について、ほかの端末やサー
バの機能を利用する場合には情報の送受信を行う情報送受信部を適宜設け、問い合わせの
送信・問い合わせの結果の受信を行うようにすることで実現するようにすると良い。

Ａ：管理サーバ
Ｂ：端末
Ｃ：周辺機器
１：演算装置
２：記憶装置
３：表示装置
４：入力装置
５：通信装置
１１：操作ログ情報取得部
１２：操作ログ情報記憶部
１３：許容操作範囲生成部
１４：操作状況生成部
１５：不正操作判定部：
１６：制御部
２１：端末制御部
２２：操作ログ情報生成部
２３：操作ログ情報送信部
２４：制御指示受信部

Claims (3)

1. 端末の操作の履歴を示す操作ログ情報を記憶する操作ログ情報記憶部と、
   前記操作ログ情報記憶部の操作ログ情報に基づいて、前記端末における標準的な操作を示す許容操作範囲情報を生成する許容操作範囲生成部と、
   前記操作ログ情報記憶部から前記端末の特定期間における操作ログ情報を抽出し、当該抽出した操作ログ情報に従って前記端末の操作状況を示す操作状況情報を生成する操作状況生成部と、
   前記許容操作範囲情報と前記操作状況情報とに基づいて、不正操作の可能性を判定する不正操作判定部とを備え、
   前記不正操作判定部は、
   不正操作の可能性の度合いを積算し、判定ポイントとして判定のタイミングを示す情報と共に判定ポイント記憶部に記憶する手段と、
   判定ポイント記憶部に記憶された情報に基づいて、単位時間ごとの判定ポイントを集計し、不正操作の発生傾向を算出する発生傾向算出手段と、
   前記算出した発生傾向に応じて不正操作の可能性を判定する手段と、
   を有することを特徴とする操作監視システム。
2. 前記操作状況生成部は、
   前記操作ログ情報記憶部に記憶される前記特定期間の操作ログ情報のうち、特定の操作を示す操作ログ情報の操作日時を基準とする所定期間における操作状況を示す操作状況情報を生成する
   ことを特徴とする請求項１に記載の操作監視システム。
3. 端末の動作の履歴を示す操作ログ情報を記憶する操作ログ情報記憶部を備える操作監視システムのための操作監視プログラムであって、
   前記操作ログ情報記憶部の操作ログ情報に基づいて、前記端末における標準的な操作を示す許容操作範囲情報を生成する許容操作範囲生成機能と、
   前記操作ログ情報記憶部から前記端末の特定期間における操作ログ情報を抽出し、当該抽出した操作ログ情報に従って前記端末の操作状況を示す操作状況情報を生成する操作状況生成機能と、
   前記許容操作範囲情報と前記操作状況情報とに基づいて、不正操作の可能性を判定する不正操作判定機能とを備え、
   前記不正操作判定機能は、
   不正操作の可能性の度合いを積算し、判定ポイントとして判定のタイミングを示す情報と共に判定ポイント記憶部に記憶する手段と、
   判定ポイント記憶部に記憶された情報に基づいて、単位時間ごとの判定ポイントを集計し、不正操作の発生傾向を算出する発生傾向算出手段と、
   前記算出した発生傾向に応じて不正操作の可能性を判定する手段と、
   をコンピュータに実現させる操作監視プログラム。