JP2005190066A - 情報管理システム、情報管理サーバ、情報管理システムの制御方法、及び、プログラム - Google Patents

Abstract

【課題】 情報の資産価値及び情報へのアクセスの両方に基づいてリスク値を計算、情報資産のリスク管理を容易にする。
【解決手段】 資産価値を有する情報を記憶するストレージ装置と、前記ストレージ装置に記憶された情報へのアクセスを監視するファイルアクセス情報通知部と、前記ストレージ装置に記憶された情報の属性情報を管理するファイル属性情報管理部と、前記ファイルアクセス情報通知部による監視結果、及び、前記ファイル属性情報管理部によって管理されている属性情報に基づいて当該情報のリスク値を計算するリスク値計算部と、前記リスク値計算部による計算結果に基づいて、当該情報の漏洩に対する対策措置を行う対策措置発動部と、を備える。
【選択図】 図１

Description

本発明は、資産価値を有する情報を記憶管理する情報管理システムに関し、特に、情報のリスク評価に関する。

対策充足率算出手段は候補対策名と各候補対策のリスク低減率と各候補対策が対応付けられた評価項目名とが記載された対策定義ファイルと、入力された適用対策名データとから、各評価項目のリスク低減率の和を求め、この和に対して、この評価項目に対応する対策の内の適用対策のリスク低減率の和を求め、この２つの和の比を対策充足率として算出することによって、情報資産をセキュリティ事故から保護する対策を高速に評価、選択する技術が提案されている（例えば、特許文献１参照。）。

また、火災などの災害でダメージを受ける危険性の分析結果に基づくリスク管理情報を管理する情報処理システムが提案されている。（例えば、特許文献２参照。）。

さらに、機密情報の重要度や保管場所の安全度などの初期パラメータを入力し、リスク値に相当する値を計算する情報処理システムが提案されている。（例えば、特許文献３参照。）。
特開２００２−２４５２６号公報 米国特許出願公開第２００３／０１６０８１８号明細書 米国特許出願公開第２００１／００４４７３７号明細書

このような情報管理システムでは、情報の漏洩リスクを数値化して管理することが有効となる。しかし、前述した従来技術では、リスク値を変動させる要因として一つの種類の事象しか考慮されておらず、様々な要因による情報の漏洩リスクを一つのリスク値によって管理することができなかった。また、情報の価値が時間の経過と共に変動することも考慮されておらず、適切なリスク値の評価がなされていない。また、リスク値の初期値を管理者が定めなければならず、システムの運用が煩雑であった。また、過去のリスク値を参照することができなかった。

すなわち、情報の資産価値及び情報へのアクセスの両方に基づいてリスク値を計算、情報資産のリスク管理を容易にする情報管理システムが求められている。

本発明は、資産価値を有する情報を記憶するストレージ装置と、前記ストレージ装置に記憶された情報へのアクセスを監視するファイルアクセス情報通知部と、前記ストレージ装置に記憶された情報の属性情報を管理するファイル属性情報管理部と、前記ファイルアクセス情報通知部による監視結果、及び、前記ファイル属性情報管理部によって管理されている属性情報に基づいて当該情報のリスク値を計算するリスク値計算部と、前記リスク値計算部による計算結果に基づいて、当該情報の漏洩に対する対策措置を行う対策措置発動部と、を備えることを特徴とする。

本発明では、資産価値を有する情報へのアクセスによる資産価値の変動、及び、時間の経過による前記情報の資産価値の変動によってリスクを評価をするので、様々な形態の情報へのアクセスに対応してリスクを評価することができる。

以下、本発明の実施の形態を図面を用いて説明する。

（システム構成）
図１は、本発明の第１の実施の形態の情報処理システムの構成を示すブロック図である。

第１の実施の形態の情報処理システムは、ユーザ端末４からのファイルアクセスを管理する管理サーバ１、管理サーバ１に対する指示を入力する管理用端末２、ユーザ端末４に提供する情報を記憶・管理するファイルサーバ３、ファイルサーバ３に記憶されている情報を参照する複数のユーザ端末４、及び、ファイルサーバ３に記憶されている情報をユーザ端末４からの指示によって印刷するプリンタ５によって構成されている。

そして、管理サーバ１、ファイルサーバ３、ユーザ端末４、及びプリンタ５は、内部ネットワーク６を介して接続されている。なお、本実施の形態では管理用端末２は、管理サーバ１に直接接続されているが、管理用端末２を内部ネットワークを介して管理サーバ１に接続してもよい。管理用端末２を内部ネットワークを介して管理サーバ１に接続することによって、管理用端末２を管理サーバ１の近くに設置する必要がなく、遠隔地に設置された管理用端末２から管理サーバ１の操作や監視をすることができる。

管理サーバ１は、サーバ計算機１１及び管理用ストレージ装置１２から構成されている。サーバ計算機１１は、ＣＰＵ、メモリ及びインターフェースを有し、各種ソフトウェアが動作することによって、ファイルアクセス情報収集部１１１、リスク値計算部１１２、管理情報処理部１１３、及び対策措置発動部１１４を構成している。

ファイルアクセス情報収集部１１１は、ソフトウェアによって構成され、ファイルサーバ３からファイルアクセスの通知を受け付け（又は、ファイルサーバ３にアクセスして情報を取得して）、ファイルアクセスがリスク値が変動する要因となるものであるかを判定し、当該ファイルアクセスがリスク値が変動する要因となるものであれば、その内容をリスク値計算部１１２に送ると共に、管理用ストレージ装置１２に、ファイルアクセス履歴として記録する。また、管理用ストレージ装置１２に記録されたファイルアクセス履歴を取得し、必要に応じて管理情報処理部１１３に送る。

リスク値計算部１１２は、ソフトウェアによって構成され、ファイルサーバ３からファイルの属性情報の通知を受け、その内容からリスク値を計算する。また、ファイルアクセス情報収集部１１１からファイルアクセスの内容通知を受け、リスク値を更新する。更新されたリスク値が、予め設定された閾値を超えた場合には、対策措置発動部１１４に通知する。また、計算・更新したリスク値を、リスク値履歴として、管理用ストレージ装置１２に記録する。また、管理用ストレージ装置１２に記録されたリスク値の履歴を取得し、必要に応じて管理情報処理部１１３に送る。

管理情報処理部１１３は、ソフトウェアによって構成され、管理用端末２からの指示を受け、ファイルアクセス情報収集部１１１からファイルアクセスの履歴を取得し、また、リスク値計算部１１２からリスク値を取得し、指示された形式にて管理用端末２に表示する。

対策措置発動部１１４は、ソフトウェアによって構成され、リスク値計算部１１２から、リスク値が閾値を超えたことが通知されると、当該ファイルに対して予め規定された対策措置を講じる。このように対策処置発動部１１４では、複数の要因を反映した一つのリスク値に基づいて対策措置を発動するので、様々な形態の情報へのアクセスに対応して適切な対策措置を発動することができる。

この対策処置発動部１１４が発動する対策措置としては、管理用端末２の画面に警告を発して、管理者に注意を促すことによって、ファイルのアクセスを制限する。また、データ作成者のユーザ端末４の画面に警告を発して、データ作成者に注意を促し、対策措置（例えば、情報漏洩のリスクが小さくなるように情報を改変したり、情報漏洩リスクを再検討する等）を講じさせる。また、ユーザ端末４の画面に警告を発して、アクセス権を有するユーザに注意を促し、漏洩リスクが高くなっていることを報知する等の方法がある。

また、当該ファイルをストレージ装置３２の特定のフォルダに移動して、特定の権限を有する者以外によるアクセスを禁止したり、当該ファイルをストレージ装置３２から消去することもできる。また、当該ファイルへのアクセス（参照、コピー、印刷等）を禁止することもできる。また、当該ファイルへのアクセスを記録することもできる。例えば、日時、ファイル名、リスク値が変化した原因、変化前のリスク値、変化後のリスク値、アクセス元のアドレス、アクセス元のユーザ名を記録することができる。このようにリスクが閾値を超えたファイルに対して自動的にアクセス制限を加えることによって、迅速に対策措置を発動することができ、対策措置の遅れによる情報漏洩の危険性を低減することができる。また、リスクが閾値を超えたファイルに対するアクセス記録を取得することによって、その後情報が漏洩した場合に関係した者を特定することができる。

管理用ストレージ装置１２は、例えば、磁気ディスク装置から構成されており、リスク値やファイルアクセスの履歴情報が記憶される。

管理用端末２は、キーボードやマウスなどの入力装置、および表示装置を有し、管理サーバ１に対して、保管されている情報の出力の指示及び表示、管理サーバ１の設定作業に用いられる。管理サーバ１のサーバ計算機１１に、管理用端末２の入力装置と表示装置が直接接続されている場合と、管理用端末２とサーバ計算機１１とは別の計算機で構成されている場合とがある。

ファイルサーバ３は、サーバ計算機３１及びストレージ装置３２から構成されている。サーバ計算機３１は、ＣＰＵ、メモリによって構成されており、各種ソフトウェアが動作することによって、ファイル属性情報管理部３１１及びファイルアクセス通知部３１２を構成している。

ファイル属性情報管理部３１１は、ソフトウェアによって構成され、ストレージ装置３２に格納された全ファイルの属性情報（秘密レベル、資産価値、作成者、管理者、パーミッション情報等）の登録及び更新を受け付け、更新があれば管理サーバ１に通知する。例えば、時間の進行や作業の進捗によってファイルの秘密レベルを変更して、その変更を管理サーバ１に通知する。

ファイルアクセス通知部３１２は、ソフトウェアによって構成され、ファイルサーバ３に対する通信を監視しており、ストレージ装置３２に記憶されたファイルへのアクセスを検出すると、その通信相手とアクセスの種類を解析し、管理サーバ１に通知する。監視するファイルアクセスの種類として、ファイルの参照、ファイルサーバ３上へのファイルの複製、ユーザ端末４へのファイルの複製、記録媒体３４へのファイルの複製、プリンタ５によるファイルの印刷が考えられる。

なお、ファイル属性情報管理部３１１が管理する属性情報の更新の情報、及びファイルアクセス通知部３１２に係るファイルへのアクセスを検出した結果は、ファイルサーバ３から管理サーバ１に通知するのではなく、管理サーバ１がファイルサーバ３に問い合わせることによって、ファイル属性情報管理部３１１及びファイルアクセス通知部３１２に記憶されたこれらの情報を取得するように構成してもよい。

ストレージ装置３２は、例えば磁気ディスク装置からなり、情報資産がファイルの形式で記録されている。

ファイルサーバ３には、補助記憶装置３３が接続されている場合もある。補助記憶装置３３は、フロッピーディスクや光ディスク等の、追記録又は書き換えが可能な記録媒体３４にファイルを記録するもので、ストレージ装置３２に格納されているデータのバックアップや持ち出しのために使用される。そして前述したように、ファイルアクセス通知部３１２は、補助記憶装置３３経由で記録媒体３４にデータを書き出したことを監視している。この監視によって、管理サーバは１、記録媒体３４へのデータの複写による当該情報のリスク値を更新することができる。

ユーザ端末４は、ＣＰＵ、メモリ及びインターフェースを有する計算機である。ユーザ端末４にファイルが保管される場合があり、その場合はファイルサーバ３と同様に、ファイル属性情報管理部３１１及びファイルアクセス通知部３１２を備える。

図２は、本発明の第２の実施の形態の情報処理システムの構成を示すブロック図である。

第２の実施の形態では、管理サーバ１ａが第１の実施の形態におけるファイルサーバ３の機能を含んでいる点で相違するが、その他の構成は前述した第１の実施の形態の構成と同一である。なお、前述した第１の実施の形態と同一の構成には同一の符号を付しその詳細な説明は省略する。

第２の実施の形態の情報処理システムは、ユーザ端末４からのファイルアクセスを管理し、ユーザ端末４に提供する情報を記憶・管理する管理サーバ１ａ、管理サーバ１ａに対する指示を入力する管理用端末２、管理サーバ１ａに記憶されている情報を参照する複数のユーザ端末４、及び、管理サーバ１ａに記憶されている情報をユーザ端末４からの指示によって印刷するプリンタ５によって構成されている。

そして、管理サーバ１ａ、ユーザ端末４、及びプリンタ５は、内部ネットワーク６を介して接続されている。なお、本実施の形態では管理用端末２は、管理サーバ１ａに直接接続されているが、管理用端末２を内部ネットワークを介して管理サーバ１ａに接続してもよい。

管理サーバ１ａは、サーバ計算機１１ａ、管理用ストレージ装置１２及びストレージ装置３２から構成されている。サーバ計算機１１ａは、ＣＰＵ、メモリ及びインターフェースを有し、各種ソフトウェアが動作することによって、ファイルアクセス情報収集部１１１、リスク値計算部１１２、管理情報処理部１１３、対策措置発動部１１４、ファイル属性情報管理部３１１、及びファイルアクセス情報通知部３１２を構成している。

このように本発明の第２の実施の形態では、管理サーバ１ａが第１の実施の形態におけるファイルサーバ３の機能を含んでいるので、情報処理システムにおける管理対象が減少し、保守・管理コストを低減することができる。また、ファイルアクセスがあったことの通知が、内部ネットワーク６を経由せずに、管理サーバ１の内部のみで処理されることから、ネットワークのトラフィックを低減することができる。

図３は、本発明の第３の実施の形態の情報処理システムの構成を示すブロック図である。

第３の実施の形態では、管理サーバ１ｂは、内部ネットワーク６に設けられたパケットモニタ７によってファイルサーバ３ｂへのアクセスを監視する点で相違するが、その他の構成は前述した第１の実施の形態の構成と同一である。なお、前述した第１の実施の形態と同一の構成には同一の符号を付しその詳細な説明は省略する。

第３の実施の形態の情報処理システムは、ユーザ端末４からのファイルアクセスを管理する管理サーバ１ｂ、管理サーバ１ｂに対する指示を入力する管理用端末２、ユーザ端末４に提供する情報を記憶・管理するファイルサーバ３ｂ、ファイルサーバ３ｂに記憶されている情報を参照する複数のユーザ端末４、ファイルサーバ３ｂに記憶されている情報をユーザ端末４からの指示によって印刷するプリンタ５、及び、ネットワークによって伝送されるパケットを監視するパケットモニタ７によって構成されている。

そして、管理サーバ１ｂ、ファイルサーバ３ｂ、ユーザ端末４、プリンタ５、及びパケットモニタ７は、内部ネットワーク６を介して接続されている。なお、本実施の形態では管理用端末２は、管理サーバ１ｂに直接接続されているが、管理用端末２を内部ネットワークを介して管理サーバ１ｂに接続してもよい。

管理サーバ１ｂは、サーバ計算機１１ｂ及び管理用ストレージ装置１２から構成されている。サーバ計算機１１ｂは、ＣＰＵ、メモリ及びインターフェースを有し、各種ソフトウェアが動作することによって、ファイルアクセス情報収集部１１１ｂ、リスク値計算部１１２、管理情報処理部１１３、対策措置発動部１１４、ファイル情報収集部１１５、パケット捕捉部１１６、及びパケット解析部１１７を構成している。

ファイル情報収集部１１５は、ソフトウェアにより構成され、所定のタイミングで（例えば、定期的に）ファイルサーバ３ｂやユーザ端末４から情報を取得して、ファイルサーバ３ｂやユーザ端末４に保管されているファイルのデータベースを構築し、その属性情報を収集し、管理する。例えば、時間の進行や作業の進捗によってファイルの属性情報としての秘密レベルを変更する。また、新規に生成されたファイルが見つかると、属性情報の入力を要求する。

パケット捕捉部１１６は、ソフトウェアによって構成され、パケットモニタ７が監視した内部ネットワーク上のパケットを捕捉してパケット解析部１１７に送る。

パケット解析部１１７は、ソフトウェアによって構成され、パケット捕捉部１１６から送られたパケットの内容を解析して、リスク値を変動させる要因となるファイルアクセスであるか否かを判定する。捕捉されたパケットがリスク値を変動させる要因となるファイルアクセスであれば、その内容をファイルアクセス情報収集部１１１ｂに通知する。パケット解析部１１７が、監視するファイルアクセスの種類として、ファイルの参照、ファイルサーバ３ｂへのファイルコピー、ユーザ端末４へのファイルコピー、記録媒体３４へのファイルコピー、プリンタ５によるファイルの印刷がある。

ファイルアクセス情報収集部１１１ｂは、パケット解析部１１７から通知されたファイルアクセスの内容を管理用ストレージ装置１２に記録し、履歴に残す。また、管理用ストレージ装置１２に記録されたファイルアクセスの履歴を参照し、必要に応じて管理情報処理部１１３に送る。

リスク値計算部１１２、管理情報処理部１１３及び対策措置発動部１１４の機能は、前述した第１の実施の形態と同じである。

ファイルサーバ３ｂは、サーバ計算機３１ｂ及びストレージ装置３２から構成されている。サーバ計算機３１ｂは、ＣＰＵ、メモリによって構成されている。サーバ計算機３１ｂは、前述した第１の実施の形態と異なり、ファイル属性情報管理部３１１及びファイルアクセス通知部３１２を備えていない。

ファイルサーバ３ｂには、補助記憶装置３３が接続されている場合もある。補助記憶装置３３は、フロッピーディスクや光ディスク等の、追記録又は書き換えが可能な記録媒体３４にファイルを記録する。

ユーザ端末４は、ＣＰＵ、メモリ及びインターフェースを有する計算機である。ユーザ端末４にファイルが保管される場合であっても、前述した第１の実施の形態と異なり、ファイル属性情報管理部３１１及びファイルアクセス通知部３１２を備える必要がない。

このように本発明の第３の実施の形態では、ファイルサーバ３ｂやユーザ端末４が、ストレージ装置３２に格納されているデータへのアクセスを検出して、他の装置に通知する必要がない。よって、ファイルサーバ３ｂやユーザ端末４に新たな機能を追加する必要がなく、既存の情報処理システムに本発明を容易に適用することができる。

（リスク値の定義、算出１）
次に、本発明の実施の形態のリスク値の算出の第１の方法について説明する。

（１）まず、情報のリスク値の最小値を”０”とする。なお、公開が制限されていない（例えば、社内外を問わず公開してよい）情報のリスク値は”０”とする。

（２）次に、情報の最大リスク値を設定する。リスク値が最大値に達したとき、情報が漏洩したと判定される。

（３）そして、対策措置発動部１１４を動作させ対策を講じるためのリスク値の閾値を、最大リスク値より小さい値に設定する。なお、対策の種類に応じて複数段階の閾値（例えば、３段階の危険度「高」、「中」、「低」等）を設定することができる。複数段階の閾値を設定することによって、異なるレベルで異なる措置を設定することができる。例えば、ユーザや管理者への注意喚起の閾値をアクセス禁止などの強制措置の閾値より低く設定することができる。よって、情報漏洩の危険度が高まる前にその予兆を管理者やユーザに知らせて、早めに対策措置を講じさせることができる。

（４）さらに、情報資産の漏洩による損失金額などを評価し、先に定めた閾値より小さい初期資産価値を設定する。この初期資産価値は、例えば、図４に示すようなマッピング関数に情報の価値（損失金額）に適用することによって、ある上限（最大資産価値）までの値にマッピングして初期資産価値を定める。具体的には、図４（ａ）に示すように、最大資産価値までの初期資産価値を複数の段階に分け、損失金額の複数の区分と対応させる。また、図４（ｂ）に示すように、最大資産価値までの初期資産価値と損失金額とを比例させる。また、図４（ｃ）に示すように、最大資産価値までの初期資産価値と損失金額とを所定の関数（例えば、指数関数のように、損失金額が小さいときは最大資産価値の変化が大きく、損失金額が大きいときは最大資産価値の変化が小さくなる関数）によって対応させる。なお、いずれの場合にも、損失金額が大きくなっても、初期資産価値は最大資産価値を超えないようにする。また、損失金額の代わりに、情報の重要度（極秘、(秘)、社外秘などの秘密レベル）を用いることもできる。

（５）そして、情報資産の保管場所の危険度を評価し、”０”から”１”までの数値を設定する。この保管場所の危険度は、ファイルの保管場所にアクセス制限がされているか、暗号化されて保管されているか等の保管状況によって判断し、値が大きいほど危険度が大きいものとする。

（６）その後、リスク値の初期値を、
初期値＝初期資産価値×保管場所の危険度
によって定義する。ただし、公開が制限されていない情報の初期値は”０”とする。

（７）次に、時間経過に伴う資産価値変動率を算出する。資産価値変動率は、例えば、図５に示すような、情報資産が新規に生成された時の値を１とし、時間経過に伴って減少する時間の関数を定義する。具体的には、図５（ａ）に示すように、経過時間を複数の区分に分け、この経過時間の区分に対応して複数段階の資産価値変動率を規定する。また、図５（ｂ）に示すように、経過時間と資産価値変動率を所定の関数によって対応させる。なお、時間経過を考慮しない場合は、資産価値変動率は常に”１”となる。

（８）そして、ある時間が経過した時点での資産価値を、
資産価値＝初期資産価値×当該時点の資産価値変動率
によって算出する。

（９）さらに、情報資産に対する各種アクセスが情報漏洩につながる危険度を評価し、アクセスの種類は、アクセス元（社内からか、社外からか）、アクセスの目的（アクセスされたファイルの複写か、印刷か）等、によって”０”から”１”までの数値を設定する。このアクセスの危険度は、値が大きいほど危険度が大きいものとして設定されている。

（１０）そして、情報資産へのアクセスに伴うリスク値変動量を
リスク値変動量＝（資産価値／最大資産価値）×（最大リスク値−最大資産価値）×アクセスの危険度
によって算出する。ただし、公開が制限されていない情報へのアクセスに伴うリスク値変動量は”０”とする。なお、この（最大リスク値−最大資産価値）は固定の係数で、リスク値変動量を資産価値と最大資産価値とを変数とする関数としてスケーリングするためのものである。

（１１）その後、情報資産へのアクセスが発生した場合にリスク値変動量を算出し、算出された変動量分だけリスク値を増加させる。なお、ファイルの暗号化が不要となり、非暗号化ファイルに変更するようなアクセスにあっては、リスク値が減少することもある。

（１２）リスク値の更新値（増減する値、強制的に０にする等）を定義する。この更新値としては、時間経過による資産価値変動率の変化を用いる場合がある（図５参照）。

また、情報資産が関係する作業の進捗によって変化する資産価値変動率を用いる場合もある（図６（ａ）参照）。この場合、情報の種別に対応して、作業の進捗に応じた秘密レベルのパターンを予め作成する。例えば、図６（ａ）に示す製品仕様書の資産価値変化率では、開発作業が進行し、ステータス（作業状態）が「開発中」から「開発終了」に変わると、資産価値変動率が１．０から０．５に変化するので、リスク値が０．５倍の値になる。なお、ステータスが「開発中」から「開発終了」に変わる前に、資産価値変動率が時間経過によってすでに０．５より小さくなっていた場合には、作業の進捗に基づく資産価値変動率を変化（増加）させてもよく、作業の進捗によって資産価値変動率を変化させなくてもよい。

さらに、作業の進捗（出願公開）によって変化する秘密レベルを用いる場合もある（図６（ｂ）参照）。なお、出願公開は、原則として出願から１年６月後に行われるので、時間経過によって秘密レベルが変化する場合であるともいえる。また、作業の進捗に対応してリスク値を定義することもできる。

また、ステータスに対応する値と時間変化による値との双方によって（例えば、ステータスに対応する値と時間変化による値の積によって）、資産価値変動率を算出してもよい。具体的には、ステータスが「開発中」の情報資産の資産価値変動率が時間経過によって０．４になった時点で、ステータスが「開発終了」に変わった場合、新しい資産価値変動率は、０．２＝０．４×０．５とする。

（１３）そして、作業が進捗したことが入力されると、該当するリスク値を更新する。なお、作業の進捗を自動的に検出して、該当するリスク値を更新するように構成してもよい。例えば、特許出願から１年６月で行われる出願公開のように、時間の経過によって作業が進行する場合には、時間の経過を検出することによって、該当するリスク値を更新することができる。

（１４）なお、ファイルが複写された場合には、リスク値を規定量だけ増加させるとともに、複写された情報に対しても、増加させたリスク値を設定する。

このように第１の算出方法では、マッピング関数（初期資産価値マッピング関数（図４）、資産価値変化率（図５））を用いることによって、複数の要因を反映した一つのリスク値を容易に算出することができ、様々な形態の情報へのアクセスに対応して、情報のリスク値を的確かつ容易に管理することができる。

（リスク値の定義、算出２）
次に、本発明の実施の形態のリスク値の算出の第２の方法について説明する。

第２の算出方法では、前述した第１の算出方法のように損失金額や重要度からリスク値をマッピングするのではなく、損失金額又は重要度から閾値をマッピングする点で異なる。

（１）まず、情報のリスク値の最小値を”０”とする。なお、公開が制限されていない（例えば、社内外を問わず公開してよい）情報のリスク値は”０”とする。

（２）次に、情報の最大リスク値を設定する。リスク値が最大値に達したとき、情報が漏洩したと判定される。

（３）そして、全情報資産に共通する値の情報の初期資産価値を設定する。すなわち、初期リスク値は前述した第１の算出方法と異なり、金額や重要度の要素を含まない。なお、保管場所の危険度に従って初期資産価値を設定してもよい。

（４）さらに、情報資産の漏洩による損失金額（又は、情報の重要度）を評価し、その結果をマッピング関数を用いてある範囲の数値にマッピングをする。マッピング関数としては、図７に示すように、損失金額を複数の区分に分け、各区分に複数段階のリスク値を設定する階段状の関数を用いることができる。そして、対策措置発動部１１４を動作させ対策を講じるためにリスク値の閾値を設定する。この閾値は、初期資産価値より大きく、最大リスク値より小さい値に設定される（初期資産価値＜閾値＜最大リスク値）。なお、対策の種類に応じて複数段階の閾値を設定することもできる。すなわち、この第２の方法では、価値ある情報（損失金額が大きかったり、重要度が高い情報）ほど、小さい閾値を定める。

その後、前述した第１の算出方法の（５）から（１４）と同一の処理を行う。すなわち、（５）情報資産の保管場所の危険度の評価、（６）リスク値の初期値の定義、（７）資産価値変動率の算出、（８）資産価値の算出、（９）アクセスの種類による危険度の設定、（１０）リスク値変動量の算出、（１１）リスク値の増減、（１２）リスクの更新値の算出、（１３）リスク値の更新、及び（１４）複写された情報のリスク値の設定を、前述した第１の算出方法と同一の処理をする。

このように第２の算出方法では、全情報資産に同一値の初期資産価値を設定し、リスク判定の閾値を情報の価値によって変えて情報漏洩リスクを判断するので、初期資産価値を設定するという繁雑な作業を行うことなく、情報漏洩リスクを管理することができる。

（リスク値の表示）
次に、本発明の実施の形態におけるリスク値の表示について説明する。

図８は、本発明の実施の形態のリスク値の表示の第１例の説明図である。

第１の表示例においては、アイコンを用いたフォルダ／ファイル一覧表示において、リスク値の範囲に応じてファイル／フォルダを区分し（例えば、「安全」「要注意」「危険」に区分し）、区分ごとに異なる模様や色を用いて、ファイル／フォルダがどの区分に属するかを識別可能に表示する。なお、フォルダの区分は、その中に含まれるファイルのうちリスク値が最も高いファイルに従って設定される。すなわち、フォルダの中に、リスク値が「危険」に分類されるファイルが一つでもあれば、そのファイルが属するフォルダは「危険」に区分され、「危険」である旨の表示がされる。

このように第１の表示例では、ファイル／フォルダがどの危険度の区分に属するかを識別可能に表示するので、情報漏洩の危険度を、直観的にわかりやすく一覧表示することができ、より管理者の注意を引くことができる。また、フォルダのリスク値を、その中に含まれるファイルのうちリスク値が最も高いファイルに従って設定して表示するので、管理者が情報漏洩の危険性の高いファイルの存在をより簡易かつ迅速に知ることができる。例えば、フォルダを開くことなく、リスク値が「危険」であるファイルが、当該フォルダに含まれていることを知ることができる。

また、例えば、リスク値が「危険」である１個のファイルと、リスク値が「安全」である１００個のファイルとが、フォルダに含まれている場合、当該フォルダに含まれているファイルの平均によってフォルダの区分を定めると、フォルダの区分は「安全」になってしまい、リスク値が「危険」であるファイルを見落とすことがあるが、第１の表示例によると、リスク値が「危険」であるファイルを見落とすことがない。

図９は、本発明の実施の形態のリスク値の表示の第２例の説明図である。

第２の表示例においては、指定された複数のファイル（一つのファイルでもよい）のリスク値を棒グラフでリアルタイムに表示する。このときリスク値は、具体的な数値による表示の他、値の範囲に応じて「安全」「要注意」「危険」など、閾値によって区分し、管理者に直観的に分かりやすい表示をするとよい。

また、現在のリスク値の状況のほか、過去の指定した日時、期間のリスク値の状況を表示することもできる。

また、第２の表示例においては、ファイル毎の表示の他、フォルダ毎（図１０）、ファイルサーバ毎、サブネット毎など、特定の管理単位における全ファイルのリスク値の平均値や、最大値や、標準偏差等の統計量を、棒グラフでリアルタイムに、又は折れ線グラフで履歴表示（図１１〜図１３参照）することもできる。

このように第２の表示例では、指定された複数のファイルのリスク値を棒グラフで表示するので、対策措置が発動されるレベルでないがリスク値の高いファイルがあったとしても、未然に対策をとることができ、情報管理の安全性をさらに高めることができる。また、グラフで表示することによって、単にリスク値を数値だけで表示するよりも、直観的にわかりやすい表示になり、より管理者の注意を引くことができる。

また、様々な階層の管理単位毎に表示することによって、リスク値を高める要因が多く発生する場所やファイル管理者が分かるため、重点的に情報漏洩対策を施すべき箇所（フォルダ、サーバなど）を管理者に提示することができる。これにより、システムの監査、ユーザ教育、情報漏洩対策の全体的な見直しの基礎となる情報を提示することができる。

図１１、図１２、図１３は、本発明の実施の形態のリスク値の表示の第３例の説明図である。図１１、図１２は、第１のリスク値の算出方法における表示例であり、全ファイルに共通のリスク値の閾値が設定されている。図１３は、第２のリスク値の算出方法における表示例であり、ファイル毎にリスク値の閾値が設定されている。

第３の表示例においては、指定された複数のファイル（一つのファイルでもよい）の、指定された期間におけるリスク値の変化の履歴を、折れ線グラフで表示する。

このとき、図１１に示すように、リスク値が変化した原因も、グラフと共に表示することができる。グラフに表示されているリスク値が変化した原因は、管理者の必要に応じて（例えば、管理者がその原因表示箇所を画面上で指定することによって）、詳細な情報を表示することができる。また、図１２に示すように、作業の進捗によるリスク値の更新が設定されている場合は、そのリスク値の更新原因も表示することができる。

また、現在までのリスク値の変化の履歴の他、過去の指定した期間のリスク値の変化の履歴を表示することもできる。

このように第３の表示例では、現在までの（過去の）リスク値の時間的な変化を、その原因と共に表示するので、情報漏洩の危険が高まった原因や、発生頻度の高い事象を調査し、適切な対策を講じるための情報を提供することができる。

また、第２のリスク値の算出方法においてリスク値の表示の第３例を用いると（図１３参照）、ファイル毎にリスク値の閾値を表示することができ、ファイル毎に情報漏洩の危険が高まった原因や、発生頻度の高い事象を調査することができ、ファイル毎に適切な対策を講じるための情報を提供することができる。

図１４は、本発明の実施の形態のリスク値の表示の第４例の説明図である。

第４の表示例においては、指定された期間におけるリスク値変動要因の発生件数を、リスク値変動要因の種類別に折線グラフで表示する。なお、折線グラフではなく棒グラフで表示してもよい。また、期間毎の発生件数ではなく、累積発生件数を表示してもよい。

このように第４の表示例では、現在までの（過去の）リスク値変動要因の発生件数を表示するので、情報漏洩の時期と原因を特定することができ、どの要因の発生を重点的に防止すべきかを判断するための情報を管理者に提示することもできる。また、各種要因の発生頻度に基づいて、当初設定されていたリスク値変動量を見直すことができる。例えば、発生頻度の低いリスク値変動要因は変動量を低くすることができる。

本発明は、資産価値を有する情報を管理する情報処理ステムに適用することができ、企業における秘密情報の漏洩リスクを評価して秘密管理をする情報処理システムに適用すると好適である。

本発明の第１の実施の形態の情報処理システムの構成を示すブロック図である。 本発明の第２の実施の形態の情報処理システムの構成を示すブロック図である。 本発明の第３の実施の形態の情報処理システムの構成を示すブロック図である。 本発明の実施の形態のリスク値の算出の第１の方法において初期資産価値を求める際に用いられるマッピング関数の説明図である。 本発明の実施の形態のリスク値の算出の第１の方法において資産価値変動率を求める際に用いられる関数の説明図である。 本発明の実施の形態のリスク値の算出の第１の方法においてリスク値の更新値を求める際に用いられる秘密レベルのパターンの説明図である。 本発明の実施の形態のリスク値の算出の第２の方法において損失金額を求める際に用いられるマッピング関数の説明図である。 本発明の実施の形態のリスク値の表示の第１例の説明図である。 本発明の実施の形態のリスク値の表示の第２例の説明図である。 本発明の実施の形態のリスク値の表示の第２例の説明図である。 本発明の実施の形態のリスク値の表示の第３例の説明図である。 本発明の実施の形態のリスク値の表示の第３例の説明図である。 本発明の実施の形態のリスク値の表示の第３例の説明図である。 本発明の実施の形態のリスク値の表示の第４例の説明図である。

符号の説明

１ 管理サーバ
１１ サーバ計算機
１１１ ファイルアクセス情報収集部
１１２ リスク計算部
１１３ 管理情報処理部
１１４ 対策措置発動部
１２ 管理用ストレージ装置
２ 管理用端末
３ ファイルサーバ
３１ サーバ計算機
３１１ ファイル属性情報管理部
３１２ ファイルアクセス情報通知部
３２ ストレージ装置
３３ 補助記憶装置
３４ 記憶媒体
４ ユーザ端末
５ プリンタ
６ 内部ネットワーク
７ パケットモニタ

Claims (11)

1. 資産価値を有する情報を記憶するストレージ装置と、
   前記ストレージ装置に記憶された情報へのアクセスを監視するファイルアクセス情報通知部と、
   前記ストレージ装置に記憶された情報の属性情報を管理するファイル属性情報管理部と、
   前記ファイルアクセス情報通知部による監視結果、及び、前記ファイル属性情報管理部によって管理されている属性情報に基づいて当該情報のリスク値を計算するリスク値計算部と、
   前記リスク値計算部による計算結果に基づいて、当該情報の漏洩に対する対策措置を行う対策措置発動部と、を備えることを特徴とする情報管理システム。
2. 前記リスク値計算部は、前記ファイルアクセス情報通知部による監視結果に基づくリスク値の変動、及び、前記ファイル属性情報管理部によって管理されている属性情報である資産価値の時間の経過による変動に基づいて、当該情報のリスク値を算出し、
   前記対策措置発動部は、前記算出されたリスク値によってリスク評価をすることを特徴とする請求項１に記載の情報管理システム。
3. 資産価値を有する情報を記憶するストレージ装置と、
   前記ストレージ装置への入出力に係るパケットを捕捉するパケット捕捉部と、
   前記パケット捕捉部が捕捉したパケットを解析するパケット解析部と、
   前記ストレージ装置に記憶された情報の属性情報を管理するファイル情報収集部と、
   前記パケット解析部による解析結果、及び、前記ファイル情報収集部によって管理されている属性情報に基づいて当該情報のリスク値を計算するリスク値計算部と、
   前記リスク値計算部による計算結果に基づいて、当該情報の漏洩に対する対策措置を行う対策措置発動部と、を備えることを特徴とする情報管理システム。
4. 資産価値を有する情報を記憶するストレージ装置と、前記ストレージ装置に記憶された情報へのアクセスを監視するファイルアクセス情報通知部と、前記ストレージ装置に記憶された情報の属性情報を管理するファイル属性情報管理部とを備えるファイルサーバに接続される情報管理サーバであって、
   前記ファイルアクセス情報通知部による監視結果を収集するファイルアクセス情報収集部と、
   前記ファイルアクセス情報収集部により収集された監視結果、及び、前記ファイル属性情報管理部によって管理されている属性情報に基づいて当該情報のリスク値を計算するリスク値計算部と、
   前記リスク値計算部による計算結果に基づいて、当該情報の漏洩に対する対策措置を行う対策措置発動部と、を備えることを特徴とする情報管理サーバ。
5. 資産価値を有する情報を記憶するストレージ装置と、
   前記ストレージ装置に記憶された情報へのアクセスを監視するファイルアクセス情報通知部と、
   前記ストレージ装置に記憶された情報の属性情報を管理するファイル属性情報管理部と、
   前記ファイルアクセス情報通知部による監視結果を収集するファイルアクセス情報収集部と、
   前記ファイルアクセス情報通知部による監視結果、及び、前記ファイル属性情報管理部によって管理されている属性情報に基づいて当該情報のリスク値を計算するリスク値計算部と、
   前記リスク値計算部による計算結果に基づいて、当該情報の漏洩に対する対策措置を行う対策措置発動部と、を備えることを特徴とする情報管理サーバ。
6. 資産価値を有する情報を記憶するストレージ装置を備えるファイルサーバに接続される情報管理サーバであって、
   前記ストレージ装置への入出力に係るパケットを捕捉するパケット捕捉部と、
   前記パケット捕捉部が捕捉したパケットを解析するパケット解析部と、
   前記ストレージ装置に記憶された情報の属性情報を収集するファイル情報収集部と、
   前記パケット解析部による解析結果、及び、前記ファイル情報収集理部によって収集された属性情報に基づいて当該情報のリスク値を計算するリスク値計算部と、
   前記リスク値計算部による計算結果に基づいて、当該情報の漏洩に対する対策措置を行う対策措置発動部と、を備えることを特徴とする情報管理サーバ。
7. 前記リスク値計算部によって計算された情報のリスク値を記憶するリスク値履歴記憶部と、
   前記リスク値履歴記憶部から取得した過去の情報のリスク値を用いて、当該情報のリスク値の時間の経過に伴う変化を算出し、管理者に報知する管理情報処理部と、を備えることを特徴とする請求項４から６のいずれか一つに記載の情報管理サーバ。
8. 資産価値を有する情報を記憶するストレージ装置を備える情報管理システムの制御方法であって、
   前記ストレージ装置に記憶された情報へのアクセスを監視し、
   前記ストレージ装置に記憶された情報の属性情報を管理し、
   前記情報へのアクセスの監視結果、及び、前記管理されている属性情報に基づいて当該情報のリスク値を計算し、
   前記リスク値計算部による計算結果に基づいて、当該情報の漏洩に対する対策措置を行うことを特徴とする情報管理システムの制御方法。
9. 資産価値を有する情報を記憶するストレージ装置を備える情報管理システムの制御方法であって、
   前記ストレージ装置への入出力に係るパケットを解析し、
   前記ストレージ装置に記憶された情報の属性情報を管理し、
   前記パケットの解析結果、及び、前記管理されている属性情報に基づいて当該情報のリスク値を計算し、
   前記リスク値計算部による計算結果に基づいて、当該情報の漏洩に対する対策措置を行うことを特徴とする情報管理システムの制御方法。
10. 資産価値を有する情報を記憶するストレージ装置を備える情報管理システムを機能させるプログラムであって、
    前記ストレージ装置に記憶された情報へのアクセスを監視する手段と、
    前記ストレージ装置に記憶された情報の属性情報を管理する手段と、
    前記情報へのアクセスの監視結果、及び、前記管理されている属性情報に基づいて当該情報のリスク値を計算する手段と、
    前記リスク値計算部による計算結果に基づいて、当該情報の漏洩に対する対策措置を行う手段として機能させることを特徴とするプログラム。
11. 資産価値を有する情報を記憶するストレージ装置を備える情報管理システムを機能させるプログラムであって、
    前記ストレージ装置への入出力に係るパケットを解析する手段と、
    前記ストレージ装置に記憶された情報の属性情報を管理する手段と、
    前記パケットの解析結果、及び、前記管理されている属性情報に基づいて当該情報のリスク値を計算する手段と、
    前記リスク値計算部による計算結果に基づいて、当該情報の漏洩に対する対策措置を行う手段として機能させることを特徴とするプログラム。

Images