JP2008310417A - アクセス状況監視システム - Google Patents

Abstract

【課題】
個人情報など、重要情報にアクセスして操作している間に、不正な操作を行っているか否かを監視する。
【解決手段】
個人情報を管理するサーバ１０５と、利用者によって操作され、サーバへアクセスすることができる計算機１０８と、を含む情報処理システムにおいて、サーバは計算機からの個人情報に対するアクセス要求に関連して、計算機における利用者の操作に伴う履歴を収集することを管理する履歴管理機能２４９を有する。計算機は、履歴管理機能からの履歴取得要求に応じて、利用者の操作履歴を収集する履歴取得機能２２９を有する。
【選択図】図３

Description

本発明はアクセス状況監視システムに係り、特に情報処理システム内の重要情報にアクセスされた場合、その使用状況を記録するアクセス状況監視及びその方法に関する。

近年、デジタル化された顧客情報や経営情報などの重要情報の漏えいや改ざん等が問題となってきている。特に、顧客等の個人情報に関しては、個人情報保護法によって情報の利用者が個人情報を漏洩させないように取り扱うことが要求されている。

情報の主体であるユーザが自分の個人情報を提示する手段として、情報利用者のＷｅｂサイトに情報を送信する方法がある。従来、ユーザが情報利用者による個人情報の取扱い方法を確認するには、Ｗｅｂサイトに掲示されたプライバシーステートメントをよく読んで判断する必要があった。

これを機械的に行う方法として、Ｐ３Ｐ(Platform for Privacy Preferences)技術を利用する方法が提案されている。これは、Ｐ３Ｐで定義されたＸＭＬフォーマットで記述されたプライバシー・ポリシーをユーザ側のブラウザで取得して解釈し、ユーザがあらかじめ設定しておいた個人情報取扱い基準と照らし合わせた上で、情報提示の可否を制御する方法である。
しかし、プライバシーステートメントやＰ３Ｐのプライバシー・ポリシーは、宣言された通りの運用が、そのサイトで実際になされているか否かを、ユーザが確認するための手段となり得るわけではない。

そこで、特許文献１（特開２００４−１３５００４公報）には、個人情報の流通を情報主体の意思に従って制御できる個人情報保護流通システムが提案されている。即ち、情報主体は、個人情報の使用を要求する情報利用者に、暗号化された個人情報を送信する。また、情報主体は、個人情報を復号するために使う復号鍵と、利用目的、使用回数、期日、移動可能回数など、個人情報の利用条件を定めた情報を含めた個人情報使用ライセンスを作成し、ＤＲＭ（Digital Rights Management）認証技術を使って、情報利用者に送る。情報利用者は、情報主体が作成した個人情報使用ライセンスに記載された場合のみ、個人情報を使用することができるように制御するものである。

特開２００４−１３５００４公報

上記公知例は、ＤＲＭによるコンテンツ保護の拡張として考えられており、個人情報の使い方として以下の点しか想定していない。即ち、（１）個人情報単体での使用。（２）同一の利用条件（たとえばマイニング目的ならＯＫ）を持つ名簿データの作成。

また一般的に個人情報の利用目的は、以下のように分類される。
(a)情報主体の要求（たとえばクレーム）を受け付ける際に、情報主体を識別する（例えばサービスデスク）。
(b)情報やサービスを提供する際に、情報主体への連絡先を取得する（例えば営業担当者）。
(c)市場調査をする基礎データとして、情報主体の属性を使用する（例えば営業企画者）。

これらの目的に沿って個人情報を使用するには、個人情報全体ではなく、そのうちの一部のデータを取り出して処理を行うことになる。このため、上記公知例が想定しているコンテンツ保護的な方法では十分でない。

本発明の目的は、利用者が個人情報などの重要な情報にアクセスして操作している間に不正な操作を行っているかを監視することにある。

本発明に係るアクセス状況監視システムは、好ましくは、所定情報を管理するサーバと、利用者によって操作され、該サーバへアクセスすることができる計算機と、を含む情報処理システムにおいて、該サーバは、該計算機からの該所定情報に対するアクセス要求に関連して、該計算機における利用者の操作に伴う履歴を収集することを管理する履歴管理機能を有し、該計算機は、該履歴管理機能からの履歴取得要求に応じて、利用者の操作履歴を収集する履歴取得機能を有するアクセス状況監視システムとして構成される。

好ましい例では、前記サーバは、サービス提供先が所有する該所定情報を格納して管理する記憶装置と、前記履歴管理機能を実現するための履歴管理機構プログラムを格納するメモリと、該プログラムを実行するＣＰＵとを有し、
前記計算機は、利用者の操作のために用いられるインタフェースと、前記履歴取得機能を実現するための履歴取得機構プログラムを格納するメモリと、該プログラムを実行するＣＰＵとを有する。

また、好ましくは、前記履歴管理機能は、該利用者が該所定情報にコンタクト可能な間に行った操作の履歴を収集し、
前記履歴取得機能は、該利用者が該所定情報を入手する時点で操作履歴の収集を開始して、該所定情報が該利用者の手元で消去された時点までに収集した操作履歴を該履歴管理機能へ送信する。

また、好ましくは、前記サーバはＷｅｂサーバであり、前記計算機は該Ｗｅｂサーバに接続され、アプリケーションの実行を行う計算機モジュールと、該計算機モジュールに接続され、ユーザとのＧＵＩを担当する複数のシンクライアント端末を有し、
該計算機モジュールが有する前記履歴取得機能によって、該シンクライアント端末を操作する利用者の操作履歴を取得する。

本発明に係る監視方法は、好ましくは、利用者が操作することができる計算機からの要求に従って、所定情報を管理するサーバへアクセスすることができる情報処理システムにおいて、利用者による該計算機の操作を監視する方法であって、該サーバにおけるプログラムの実行によって、該計算機からの該所定情報に対するアクセス要求に関連して、該計算機における利用者の操作に伴う履歴を収集することを管理する履歴管理ステップと、
該計算機におけるプログラムの実行によって、該サーバの該履歴管理処理からの履歴取得要求に応じて、利用者の操作履歴を収集する履歴取得ステップと、を有するアクセス状況監視方法として構成される。

また、本発明に係るプログラムは、好ましくは、利用者が操作することができる計算機からの要求に従って、所定情報を管理するサーバへアクセスすることができる情報処理システムにおいて、利用者による該計算機の操作を監視するための、コンピュータ上で実行可能なプログラムであって、
該サーバにおいて、該計算機からの該所定情報に対するアクセス要求に関連して、該計算機における利用者の操作に伴う履歴を収集することを管理する履歴管理機能と、
該計算機において、該サーバの該履歴管理処理機能からの履歴取得要求に応じて、利用者の操作履歴を収集する履歴取得機能と、を有することを特徴とするアクセス状況管理プログラムとして構成される。

本発明によれば、利用者が個人情報などの重要な情報にアクセスして操作している間に、不正な操作を行っているかを監視することができる。

以下、本発明の実施例を、図面に基づいて説明する。
図１は、本実施形態に係るアクセス状況監視システムの概略構成を示す。このシステムは、ファイアウォール１０３により接続されたインターネット１０１と、ＤＭＺ（DeMilitarized Zone）ネットワーク１０４と、組織ネットワーク１０６により構成される。更に、インターネット１０１には、情報主体が使用する情報所有者端末１０２が接続される。ＤＭＺネットワーク１０４には、情報主体が提示した個人情報を受理し、情報利用者が参照するための機能を有するＷｅｂサーバ１０５が接続される。
組織ネットワーク１０６には、情報利用者が使用する複数のシンクライアント端末１０７が接続され、また内部セグメント１０９を介して、計算機モジュール１０８と業務サーバ群１１０が接続されている。

具体的な例で言えば、組織ネットワーク１０６に接続される側は、サービスを提供する組織（会社）であり、要求に応じて複数の業務サーバ１１０でサービスの処理を行う。一般のユーザ（顧客）は、情報所有者端末１０２からインターネット１０１を介してＷｅｂサーバ１０５を通してサービス要求を送信して必要なサービスの提供を受ける。
顧客は個人情報の情報主体であり、サービスの提供を受ける際に、自分の個人情報をサービス提供組織へ送る。サービス提供組織で受信した個人情報はＷｅｂサーバ１０５で保持される。組織内の担当者（情報利用者）は、サービス提供に伴う顧客情報の管理のために、シンクライアント端末１０７を用いて顧客の個人情報を扱うが、時として不正に個人情報へアクセスする可能性がある。そこで、担当者によるクライアント端末１０７の操作を監視することが重要となる。

図２は、システムの構成装置である、アクセス状況監視システムを構成するシンクライアント端末１０７と、計算機モジュール１０８と、Ｗｅｂサーバ１０５の詳細な構成を示す。
シンクライアント端末１０７は、利用者のＧＵＩ操作のインタフェースを担当するモジュールとして機能し、ＣＰＵ２０１と、メモリ２０３と、外部記憶装置２０４と、ネットワークインタフェース２０５と、ＵＳＢなどの外部デバイスインタフェース２１０が、バス２０２に接続して構成される。メモリ２０３には、オペレーティングシステム（ＯＳ）２０６と、リモート描画クライアントプログラム２０７がロードして記憶されている。これらのプログラムがＣＰＵ２０１で実行されて所定の機能を実現する。

計算機モジュール１０８は、利用者が利用するアプリケーションプログラムの実行を担当するモジュールであり、ＣＰＵ２２１と、メモリ２２３と、外部記憶装置２２４と、ネットワークインタフェース２２５が、バス２２２に接続して構成される。メモリ２２３には、ＯＳ２２６と、リモート描画サーバプログラム２２７と、Ｗｅｂクライアントプログラム２２８と、履歴取得機構プログラム２２９と、アプリケーションプログラム２３０がロードして記憶されている。これらのプログラムがＣＰＵ２２１で実行されて所定の機能を実現する。

Ｗｅｂサーバ１０５は、情報所有者端末１０２から送信された個人情報の受信と、情報利用者の計算機モジュール１０８に個人情報を送信するためのモジュールとして機能し、ＣＰＵ２４１と、メモリ２４３と、外部記憶装置２４４と、ネットワークインタフェース２４５が、バス２４２に接続して構成される。メモリ２４３には、ＯＳ２４６と、Ｗｅｂサーバプログラム２４７と、Ｗｅｂアプリケーションプログラム２４８と、履歴管理機構プログラム２４９がロードして記憶されている。これらのプログラムがＣＰＵ２４１で実行されて所定の機能を実現する。また、外部記憶装置２４４には顧客の個人情報が格納される。

次に、図３を参照して、情報利用者が個人情報にアクセスする際のシステムの動作について説明する。
情報利用者がシンクライアント端末１０７を用いて計算機モジュール１０８を利用する場合、以下の処理が行われる。
まず、リモート描画クライアントプログラム２０７が情報利用者からの入力情報（キーボードおよびマウスの操作など）を処理し、リモート描画サーバプログラム２２７に転送する。リモート描画サーバプログラム２２７は、リモート描画クライアントプログラム２０７より受け取った入力情報を、ＯＳ２２６を介してＷｅｂクライアント２２８およびアプリケーションプログラム２３０に渡し、Ｗｅｂクライアント２２８およびアプリケーションプログラム２３０が返す情報利用者への出力情報をリモート描画クライアントプログラム２０７に転送する。リモート描画クライアントプログラム２０７は、リモート描画サーバプログラム２２７から受け取った情報利用者への出力情報（ディスプレイ出力或いはスピーカ出力など）を処理する。

ここで、情報利用者が計算機モジュール１０８のＷｅｂクライアントプログラム２２８を用いて、Ｗｅｂサーバ１０５で稼動するＷｅｂサーバプログラム２４７にアクセスすると、以下の処理が行われる。
まず、Ｗｅｂサーバプログラム２４７は、Ｗｅｂアプリケーションプログラム２４８を起動する。Ｗｅｂアプリケーションプログラム２４８は、アクセスされたＵＲＬに応じて、外部記憶装置２２４内の個人情報使用ライセンス３１１および、情報主体の名前、住所、電話番号などを含む個人情報ＤＢファイル３１３を参照し、履歴管理機構プログラム２４９によって、計算機モジュール１０８上で稼動する履歴取得機構プログラム２２９に操作履歴の取得処理の開始もしくは終了を指示する。取得した操作履歴は、計算機モジュール１０８の外部記憶装置２２４に操作履歴ログ３１２として保存される。

履歴取得機構プログラム２２９は、操作履歴の取得処理が終了した後、履歴管理機構プログラム２４９に取得した操作履歴を送信する。履歴管理機構プログラム２４９は、例えば計算機モジュール１０８の識別子をファイル名として、入手した操作履歴を外部記憶装置２４４内の操作履歴ログ３１２として保存する。同じファイル名の操作履歴ログ３１２が存在する場合には、入手した操作履歴を既存ファイルに追記する。

ここで、履歴取得機構プログラム２２９は、計算機モジュール１０８のＯＳ２２６が管理するキーボードドライバおよび、カットアンドペーストバッファの内容を監視する、いわゆるキーロガーとして実現することができる。また、その他の実現方法として、ＯＳ２２６のディスプレイドライバの出力を監視する、いわゆる画面キャプチャとして実現することもできる。

また、他の実現方法として、ＯＳ２２６のネットワークドライバの入出力を監視する、いわゆるパケットキャプチャとして実現することもできる。クライアント計算機がシンクライアント端末１０７と計算機モジュール１０８の組み合わせにより構成されている場合には、リモート描画クライアント２０７とリモート描画サーバ２２７の間で送受信されるＩＰパケットより、キーロガーと同様に利用者のキー操作の履歴を取得することと、転送される画面データの履歴を取得することが可能である。
また、計算機モジュール１０８上のアプリケーションプログラム２３０が、業務サーバ１１０などと通信したＩＰパケットより、情報利用者が重要情報を操作した履歴を取得することが可能である。

図４は、個人情報の操作中における操作履歴を取得する動作のシーケンスを示す。
情報利用者がシンクライアント端末１０７を用いて計算機モジュール１０８を操作している間、リモート描画クライアントプログラム２０７とリモート描画サーバプログラム２２７の間で、利用者がキーボードおよびマウスを操作したイベントと、その結果変更された画面表示用データの送受信が発生する（ステップ４０１）。（なお、以下、ステップをＳと略す。）
情報利用者が、計算機モジュール１０８でＷｅｂクライアントプログラム２２８を起動し、Ｗｅｂサーバ１０５で稼動するＷｅｂサーバプログラム２４７にアクセスすると（Ｓ４１１）、Ｗｅｂサーバプログラム２４７がＷｅｂアプリケーションプログラム２４８を起動する。

Ｗｅｂアプリケーションプログラム２４８は、Ｗｅｂクライアントプログラム２２８にログオンを要求するフォームウィンドウを返送する（Ｓ４１２）。Ｗｅｂクライアントプログラム２２８は、情報利用者が入力した自身の情報利用者ＩＤと，パスワードをＷｅｂアプリケーションプログラム２４８に返送すると（Ｓ４１３）、Ｗｅｂアプリケーションプログラム２４８はセッション管理を開始する。
セッション管理開始後に，情報利用者がＷｅｂアプリケーションプログラム２４８にアクセスすると（Ｓ４１４）、Ｗｅｂアプリケーションプログラム２４８は、アクセスされたＵＲＬに応じ、処理に必要な個人情報にアクセスするとともに、履歴管理機構プログラム２４９にＷｅｂクライアントプログラム２２８より入手した情報利用者の計算機モジュール１０８に対する識別子を渡す（Ｓ４４１）。

履歴管理機構プログラム２４９は、渡された計算機モジュール１０８の識別子（たとえばＩＰアドレス）を用いて、計算機モジュール１０８上で稼動する履歴取得機構プログラム２２９に、履歴取得要求を送信する（Ｓ４２１）。履歴取得機構プログラム２２９は、キーロガーや画面キャプチャなど、計算機モジュールに対する利用者の操作内容を操作履歴として、記録処理を開始すると、履歴管理機構プログラム２４９にその旨通知する（Ｓ４２２）。履歴管理機構プログラム２４９は、Ｓ４２２の通知を受信すると、Ｗｅｂアプリケーションプログラム２４８に個人情報をＷｅｂクライアントに送信可能であることを通知する（Ｓ４４２）。Ｗｅｂアプリケーションプログラム２４８は、ステップＳ４４２の通知を受信すると、Ｗｅｂサーバプログラム２４７を介してＷｅｂクライアントプログラム２２８に個人情報を含むデータを送信する（Ｓ４１５）。

情報利用者がＷｅｂクライアントプログラム２２８上でＷｅｂアプリケーションプログラム２４８を表示し、操作をしている間に、計算機モジュール１０８上で稼動するアプリケーションプログラム２３０を用いてネットワーク上のその他のサーバ３２１（例えばファイルサーバ）にアクセスすると（Ｓ４３１）、履歴取得機構プログラム２２９がネットワーク上のＩＰパケットをキャプチャすることにより、その操作も操作履歴として記録することができる。

個人情報を必要とする処理が終了する際に、情報利用者は、計算機モジュール１０８で起動したＷｅｂクライアントプログラム２２８で、Ｗｅｂアプリケーションプログラム２４８にアクセスし、ログアウト処理を実施する（Ｓ４１６）。Ｗｅｂアプリケーションプログラム２２８は、アクセスされたＵＲＬに応じ、Ｗｅｂクライアントプログラム２２８の画面をリフレッシュさせた上で、セッション管理を終了する。さらにＷｅｂアプリケーションプログラム２４８は、履歴管理機構プログラム２４９に操作終了を通知する（Ｓ４４３）。

履歴管理機構プログラム２４９は、Ｓ４４３の通知を受信すると、履歴取得機構プログラム２２９に操作履歴取得の停止要求を送信する（Ｓ４２３)。履歴取得機構プログラム２２９は、Ｓ４２２で開始した利用者の操作の記録を停止するとともに、履歴管理機構プログラム２２９にＳ４２２以降の利用者の操作履歴を送信する（Ｓ４２４）。Ｓ４２４以降に計算機モジュール１０８上で稼動するアプリケーションプログラム２３０を用いてネットワーク上のその他のサーバ３２１（たとえばファイルサーバ）にアクセスしても（Ｓ４３２)、履歴取得機構プログラム２２９による操作履歴の取得は行われない。

図５は、本実施例が使用する個人情報使用ライセンス３１１と、操作履歴ログ３１２のフォーマットを示す。
個人情報使用ライセンス３１１は、各個人情報に割り付けられたＩＤを記述する情報主体ＩＤ記述フィールド５０１と、その情報主体ＩＤの利用条件（操作履歴取得が必要/不要）を記述する利用条件フィールド５０２により構成される。利用条件フィールド５０２は、例えば、“flag=on”もしくは“flag=off”と記載し、操作履歴ログ３１２は“flag=on”のレコードであれば生成が必要で、“flag=off”であれば生成不要であるといった使い方を行う。また、利用条件フィールド５０２に個人情報の利用目的を記述する手段として、目的ごとに情報にアクセスするＷｅｂアプリケーションプログラムを準備し、利用可能なＷｅｂアプリケーションの識別子（例えばＷｅｂアプリケーションのＵＲＬ）のみ前記フィールドに記載する方法もある。

操作履歴ログ３１２として、キーロガーにより取得した情報の例を示す。例えばWindows（登録商標）のようなウィンドウシステムの場合、各アプリケーションは、ウィンドウシステムが管理するタイトルメニューが付いている。ウィンドウを切り替えると、そのタイミングで新しいログのエントリを作成する。このエントリは、ウィンドウを切り替えた時刻を記述する時刻フィールド５１１と、切り替えられてアクティブになったウィンドウのタイトルメニューを記述するフィールド５１２と、前記ウィンドウに切り替えてから、他のウィンドウに切り替えられるまでの間に入力された文字を記述するフィールド５１３により構成される。

また、操作履歴ログ３１２は、クリップボードにコピーした情報も記録する。ウィンドウ上で選択され、例えばCtrl-Cを押下して文字列をクリップボードにコピーすると、そのタイミングで新しいログのエントリを作成する。このエントリでは、フィールド５１２が示す対象"Clip Board?"にコピーされた文字を記述するフィールド５１３により構成される。

図６は、本システムにおいて実行されるＷｅｂサーバプログラム２４７とＷｅｂアプリケーションプログラム２４８の動作フローを示す。
まず、Ｗｅｂサーバプログラム２４７は、Ｗｅｂクライアントプログラム２２８からの接続要求を待ち受け（Ｓ６０１）、httpのputコマンドもしくはpostコマンドとしてフォーマットされた接続要求を受信する（Ｓ６０２）。この接続要求には、一連の操作を開始する際に送信されるログイン操作要求と、実際に個人情報を使用する際に送信される個人情報送信要求と、操作終了時に送信されるログアウト操作要求が含まれる。

次に、受信した接続要求がログイン操作要求かどうかを判断する（Ｓ６０３）。その結果、接続要求がログイン操作要求であった場合には、セッション管理を開始する（Ｓ６２１）。一方、ログイン操作要求でなかった場合には、次に、受信した接続要求がログアウト操作要求かどうかを判断する（Ｓ６０４）。その判断の結果、ログアウト操作でなかった場合には、次に、受信した接続要求が個人情報送信要求かどうかを判断する（Ｓ６０５）。その結果、個人情報送信要求であった場合にはＳ６０６〜Ｓ６１０の処理を実行する。一方、Ｓ６０４においてログアウト操作要求であった場合にはＳ６３１〜Ｓ６３３の処理を実行する。

接続要求がログイン操作要求であった場合、要求コマンド中には、Ｗｅｂクライアントプログラム２２８を利用する情報利用者を識別する情報利用者ＩＤと、Ｗｅｂクライアントプログラム２２８もしくは前記プログラムが動作する計算機モジュール１０８を識別するホストＩＤが含まれている。情報利用者のなりすましをふせぐため、パスワードなどを用いて情報利用者を認証したのち、たとえばCookieなどを用いてセッションＩＤを生成し、その後の一連の要求を関連付けるためのセッション管理を開始する（Ｓ６１０）。

接続要求が個人情報送信要求であった場合、要求コマンド中にはセッションＩＤと、個人情報を利用したい情報主体ＩＤが含まれている。情報利用者ＩＤと、ホストＩＤと、セッションＩＤと、情報主体ＩＤとを組み合わせて、履歴取得開始要求として履歴管理機構プログラム２４９に送信し（Ｓ６０６）、履歴取得開始が正常に実行されたかどうかを示す情報を含む返答を受信する（Ｓ６０７）。そして処理Ｓ６０７で取得した履歴管理機構プログラム２４９の返答が開示ＯＫか否かを判別する（Ｓ６０８）。その結果、開示ＯＫである場合には個人情報が含まれる情報をＷｅｂクライアントプログラム２２８に個人情報を含むページを返送し（Ｓ６１０）、一方、開示否である場合には要求を受理しなかったことを示すページを返送する（Ｓ６０９）。

接続要求がログアウト操作要求であった場合、要求コマンド中には、セッションＩＤが含まれている。セッションＩＤを履歴取得停止要求として履歴管理機構プログラム２４９に送信し（Ｓ６３１）、履歴取得停止が正常に実行されたかどうかを示す情報を含む返答を受信したうえで（Ｓ６３２)、セッションの終了処理を行う（Ｓ６３３）。このセッション終了処理では、Ｓ６１０で生成したセッションＩＤを破棄するとともに、Ｗｅｂクライアントプログラム２２８が保持するセッション中の画面情報をクリアし、個人情報を利用できないようにするページを送信する。

図７は履歴管理機構プログラム２４９の実行動作フローを示す。
Ｗｅｂアプリケーションプログラム２４８からの接続要求を待ち受け（Ｓ７０１）、Ｗｅｂアプリケーションプログラム２４８からの要求を受信する（Ｓ７０２）。この要求には、履歴取得開始要求と履歴取得停止要求が含まれる。

Ｓ７０４〜Ｓ７１０は、要求が履歴取得開始要求である場合に実行される処理ステップであり、まず、受信した要求中に含まれる情報利用者ＩＤと、ホストＩＤと、セッションＩＤと、情報主体ＩＤにより構成されるセッション関連情報を保管する（Ｓ７０４）。この処理Ｓ７０４により、保管されたセッション関連情報は、セッションＩＤをキーとして検索できるようにする。

次に、作業履歴の取得が必要か判断する（Ｓ７０５）。この判断の結果、セッション関連情報に含まれる情報主体ＩＤに対応する個人情報使用ライセンスを取得し、利用条件フィールド５０２の記載内容が“flag=on”であった場合は、ホストＩＤで示される計算機モジュール１０８上で稼動する履歴取得機構プログラム２２９に対して、操作履歴の取得開始を要求する（Ｓ７０６）。“flag=off”であった場合には、Ｗｅｂアプリケーションプログラム２４８に情報開示ＯＫであることを返答する。すると、履歴取得機構プログラム２２９からの返答を受信し（Ｓ７０７）、履歴取得機構プログラム２２９との接続ができなかった場合、もしくは、接続はできても返答が返って来ない場合はタイムアウトする。

次に、履歴取得機構プログラム２２９からの返答を開示ＯＫか否かを判断する（Ｓ７０８）。その結果、ＯＫならば、履歴取得が開始された場合には、Ｗｅｂアプリケーションプログラム２４８に情報開示ＯＫであることを返答する（Ｓ７１０）。一方、否の場合には、情報開示否であることを返答する（Ｓ７０９）。

Ｓ７１１〜Ｓ７１６は、要求が履歴取得停止要求である場合に実行される処理ステップであり、まず、保管されたセッション関連情報から、受信した要求中に含まれるセッションＩＤをキーとしてホストＩＤを取得する（Ｓ７１１）。
次に、ホストＩＤで示される計算機モジュール１０８上で稼動する履歴取得機構プログラム２２９に対して、操作履歴の取得停止を要求する（Ｓ７１２）。そして、履歴取得機構プログラム２２９からの返答を受信し（Ｓ７１３）、履歴取得機構プログラム２２９との接続ができなかった場合、もしくは、接続はできても返答が返って来ない場合はタイムアウトする。

履歴取得機構プログラム２２９からの返答を受信した場合、その返答から、履歴取得の停止ＯＫか否かを判断する（Ｓ７１４）。履歴取得が停止された場合には、Ｗｅｂアプリケーションプログラム２４８に停止完了したことを返答する（Ｓ７１６）。処理Ｓ７１３でタイムアウトした場合には、停止失敗したことを返答する（Ｓ７１５）。

Ｓ７１５が実行された場合、Ｗｅｂアプリケーションプログラム２４８は、Ｓ６３３のセッション終了処理中で、操作履歴の停止が行われていないことをＷｅｂアプリケーションプログラム２４８自身のログに出力する、もしくは、Ｗｅｂアプリケーションプログラム２４８の管理者に例えばメールなどで通知するようにしても良い。

図８は履歴取得機構プログラム２２９の実行動作フローを示す。まず、履歴管理機構プログラム２４９からの接続要求を待ち受け（Ｓ８０１）、履歴管理機構プログラム２４９からの要求を受信する（Ｓ８０２）。この要求には、操作履歴の取得開始要求と、取得停止要求がある。

接続要求を受信すると、その要求が取得開始要求かを判断する（Ｓ８０３）。その結果、取得開始要求である場合には、処理Ｓ８０４〜Ｓ８０５を実行し、一方、取得停止要求である場合には、Ｓ８１０〜Ｓ８１１を実行する。
取得開始要求である場合、操作履歴の取得を開始する（Ｓ８０４）。例えば、キーロガーや画面キャプチャを用いて操作履歴ログ３１２を出力する処理を開始する。そして、操作履歴取得を開始したこと履歴管理機構プログラム２４９に返答する（Ｓ８０５）。
一方、取得停止要求の場合には、操作履歴ログ３１２の取得を停止し（Ｓ８１０）、操作履歴取得を停止したことを履歴管理機構プログラム２４９に返答する（Ｓ８１１）。

以上のように、本実施例によれば、個人情報のような重要情報を保持するＷｅｂサーバにアクセスして情報利用者が作業を実施する際に行った操作履歴を収集することが可能になる。なお、本実施例は個人情報に限らず、所定の情報に対するアクセスの監視に適用できる。

なお、上記実施例では、組織ネットワーク１０６に接続される計算機として、情報利用者（操作者）とのＧＵＩの役割を持つ複数のシンクライアント端末１０７と、アプリケーションプログラムを実行する複数の計算機モジュール１０８で構成しているが、他の例として、シンクライアント端末１０７と計算機モジュール１０８を、ＰＣ（パーソナルコンピュータ）の様な計算機で実現することも可能である。

また、上記実施例では、履歴取得機構２２９を計算機モジュール１０８内に有しているが、他の例として、内部セグメント１０９に接続した専用のホストに履歴取得機構を持たせ、パケットキャプチャを用いて操作履歴を取得することも可能である。この場合、計算機モジュール１０８は履歴取得機構を持つ必要がないので、その負荷を軽減することができる。

一実施例によるアクセス状況監視システムの概略を示す図。 アクセス状況監視システムの構成装置の詳細を示す図。 アクセス状況監視システムにおける情報利用者が個人情報にアクセスする時の動作の概要を示す図。 個人情報の操作中における操作履歴を取得する動作のシーケンスを示す図。 個人情報使用ライセンスと、操作履歴ログのフォーマットを示す図。 アクセス状況監視システムにおいて実行されるＷｅｂサーバプログラム２４７とＷｅｂアプリケーションプログラム２４８の実行動作フローを示す図。 履歴管理機構プログラムの実行動作フローを示す図。 履歴取得機構プログラムの実行動作フローを示す図。

符号の説明

１０１：インターネット、 １０２：情報所有者端末、 １０３：ファイアウォール、 １０４：ＤＭＺネットワーク、 １０５：Ｗｅｂサーバ、 １０６：組織ネットワーク、 １０７：シンクライアント端末、 １０８：計算機モジュール、 １０９：内部セグメント、 １１０：業務サーバ群、 ２０１：ＣＰＵ、 ２０２：バス、 ２０３：メモリ、 ２０４：外部記憶装置、 ２０５：ネットワークインタフェース、 ２０６：ＯＳ、 ２０７：リモート描画クライアントプログラム、 ２１０：外部デバイスインタフェース、 ２２１：ＣＰＵ、 ２２２：バス、 ２２３：メモリ、 ２２４：外部記憶装置、 ２２５：ネットワークインタフェース、 ２２６：ＯＳ、 ２２７：リモート描画サーバプログラム、 ２２８：Ｗｅｂクライアントプログラム、 ２２９：履歴取得機構プログラム、 ２３０：アプリケーションプログラム、 ２４１：ＣＰＵ、 ２４２：バス、 ２４３：メモリ、 ２４４：外部記憶装置、 ２４５：ネットワークインタフェース、 ２４６：ＯＳ、 ２４７：Ｗｅｂサーバプログラム、 ２４８：Ｗｅｂアプリケーションプログラム、 ２４９：履歴管理機構プログラム、 ３１１：個人情報使用ライセンス、 ３１２：操作履歴ログ、 ３１３：個人情報ＤＢファイル。

Claims (12)

1. 所定情報を管理するサーバと、利用者によって操作され、該サーバへアクセスすることができる計算機と、を含む情報処理システムにおいて、
   該サーバは、該計算機からの該所定情報に対するアクセス要求に関連して、該計算機における利用者の操作に伴う履歴を収集することを管理する履歴管理機能を有し、
   該計算機は、該履歴管理機能からの履歴取得要求に応じて、利用者の操作履歴を収集する履歴取得機能を有すること、を特徴とするアクセス状況監視システム。
2. 前記サーバは、サービス提供先が所有する該所定情報を格納して管理する記憶装置と、前記履歴管理機能を実現するための履歴管理機構プログラムを格納するメモリと、該プログラムを実行するＣＰＵとを有し、
   前記計算機は、利用者の操作のために用いられるインタフェースと、前記履歴取得機能を実現するための履歴取得機構プログラムを格納するメモリと、該プログラムを実行するＣＰＵとを有することを特徴とする請求項１のアクセス状況監視システム。
3. 前記履歴管理機能は、該利用者が該所定情報にコンタクト可能な間に行った操作の履歴を収集し、
   前記履歴取得機能は、該利用者が該所定情報を入手する時点で操作履歴の収集を開始して、該所定情報が該利用者の手元で消去された時点までに収集した操作履歴を該履歴管理機能へ送信することを特徴とする請求項１又は２のアクセス状況監視システム。
4. 前記サーバはＷｅｂサーバであり、
   前記計算機は該Ｗｅｂサーバに接続され、アプリケーションの実行を行う計算機モジュールと、該計算機モジュールに接続され、ユーザとのＧＵＩを担当する複数のシンクライアント端末を有し、
   該計算機モジュールが有する前記履歴取得機能によって、該シンクライアント端末を操作する利用者の操作履歴を取得することを特徴とする請求項１乃至３のいずれかのアクセス状況監視システム。
5. 前記履歴取得機能は、キーロガーを用いることを特徴とする請求項１乃至４のいずれかのアクセス状況監視システム。
6. 前記履歴取得機能は、画面キャプチャを用いることを特徴とする請求項１乃至５のいずれかのアクセス状況監視システム。
7. 前記履歴取得機能は、ネットワークパケットを用いることを特徴とする請求項１乃至６のいずれかのアクセス状況監視システム。
8. 利用者が操作することができる計算機からの要求に従って、所定情報を管理するサーバへアクセスすることができる情報処理システムにおいて、利用者による該計算機の操作を監視する方法であって、
   該サーバにおけるプログラムの実行によって、該計算機からの該所定情報に対するアクセス要求に関連して、該計算機における利用者の操作に伴う履歴を収集することを管理する履歴管理ステップと、
   該計算機におけるプログラムの実行によって、該サーバの該履歴管理処理からの履歴取得要求に応じて、利用者の操作履歴を収集する履歴取得ステップと、を有することを特徴とするアクセス状況監視方法。
9. 該サーバは、該計算機からの要求が該所定情報を送信するため要求であるかを判定するステップを含み、
   該要求が該所定情報の送信要求であった場合、履歴取得開始要求として履歴管理機構プログラムに送信し、該履歴管理機構プログラムの返答に応じて、該所定情報が含まれる情報を含むページを該計算機へ送信することを特徴とする請求項８のアクセス状況監視方法。
10. 該サーバは、該計算機からの要求がログアウト操作要求であるかを判定するステップを含み、
    該要求がログアウト操作要求であった場合、履歴取得停止要求として履歴管理機構プログラムに送信し、該履歴取得停止が正常に実行されたかどうかを示す情報を含む返答を受信して、セッション中の画面情報をクリアし、該計算機において該所定情報を利用できないようにするページを送信する処理を含むセッションの終了処理を行うことを請求項８又は９のアクセス状況監視方法。
11. 利用者が操作することができる計算機からの要求に従って、所定情報を管理するサーバへアクセスすることができる情報処理システムにおいて、利用者による該計算機の操作を監視するための、コンピュータ上で実行可能なプログラムであって、
    該サーバにおいて、該計算機からの該所定情報に対するアクセス要求に関連して、該計算機における利用者の操作に伴う履歴を収集することを管理する履歴管理機能と、
    該計算機において、該サーバの該履歴管理処理機能からの履歴取得要求に応じて、利用者の操作履歴を収集する履歴取得機能と、を有することを特徴とするアクセス状況管理プログラム。
12. 前記履歴管理機能は、
    該要求が履歴取得開始要求であるか、又は履歴取得停止要求であるかを認識して、該要求が履歴取得開始要求である場合に、利用者の作業履歴の取得が必要か判断してそれが必要な場合、履歴取得機能に対して操作履歴の取得開始を要求し、
    該要求が履歴取得停止要求である場合に、該計算機上で稼動する該履歴取得機能に対して操作履歴の取得停止を要求する、ことを特徴とする請求項１１のアクセス状況管理プログラム。

Images