JP2009116812A - 不正利用検出装置及びそのプログラム - Google Patents

Abstract

【課題】組織内部で発生する不正利用に対して不正利用リスクを検出する不正利用検出装置に関し、高精度且つ低コストで不正利用リスクを検出する不正利用検出装置を提供する。
【解決手段】就業システムの就業管理ＤＢ１３ａを参照して社員の在席状況を確認する在席確認手段１３と、人事システムの人事管理ＤＢ１２ａを参照して社員の上司又は同僚又は又は隣席者を特定する関係社員特定手段１２より、取引の取り扱いを行った社員の上司及び／又は同僚及び／又は隣席者が社内に不在の場合に、この社員を不正利用リスクのある社員と判断する不正利用リスク検出手段１４と、この不正利用リスクが検出された場合に警告電子メールを社員の上司宛に送信して送信メールログＤＢ１５ａにログ記録を行う電子メール警告手段１５からなり、不正利用リスクの原因特定及び再発防止に効果を発揮する。
【選択図】図１

Description

本発明は、組織内部における不正利用を検出する不正利用検出装置に関し、特に心理的に不正が発生し易い状況を判断することにより、不正利用リスクを検出する不正利用検出装置に関する。

背景技術となる不正利用検出装置は、特開２００５−２８５０１３号公報（第１の背景技術）、特開平１１−２５９５７１号公報（第２の背景技術）に開示されるものがある。この各背景技術を図１１及び図１２に従来の不正利用検出装置の概略構成断面図として示す。

図１１における、この第１の背景技術に係る不正利用検出装置としての、取引監視方法、取引監視プログラム、および取引監視装置は、金融機関の各支店（営業店）に設置された営業店端末１０１と、勘定系ホスト１００との通信を統括する営業店サーバ１０２上に、アラーム表示端末１０４への警告の対象となる取引のパターン（類型）を定義したアラーム条件テーブルを用意しておく。そして、勘定系ホスト１００から営業店端末１０１への取引可応答の中継時に、当該取引を上記各パターンと比較して、一致する場合にアラーム表示端末１０４への警告を行う構成である。

また、図１２における、この第２の背景技術に係る不正利用検出装置としての、電子商取引システム不正利用検出方法及び装置は、データ蓄積手段２０２により蓄積された個人別モデル及び一般モデルに組み込まれた複数のデータを、新たなアクセスが実行されるごとに、当該アクセスが不正利用によるものであるか否かを判定するための判定基準として供与する判定基準供与手段２０６と、この判定基準供与手段２０６により供与される個人別モデル及び一般モデルに組み込まれた複数のデータと、当該アクセスに伴ってアクセスデータ抽出手段２０１により抽出される新たな複数のデータとを比較して、当該アクセスが不正利用によるものであるか否かを判定する不正利用判定手段２０７とを有する構成である。
特開２００５−２８５０１３号公報 特開平１１−２５９５７１号公報

前記第１の背景技術に係る不正利用検出装置は以上のように構成されていたことから、不正利用を検出する基準として物理的観点は含まれていないため、例えば上司や同僚や隣席者が不在という場合や他人の座席に移動して他人のＰＣ端末にログオンして作業を行う場合等の物理的観点から不正利用のリスクが存在する場合には、前記アラーム条件テーブルに登録される警告の対象となる取引のパターン（類型）のみでは物理的観点からの不正利用リスクが検出できないために、不正利用リスクの検出率が低下するという課題を有する。

さらに、前記警告の対象となる取引のパターン（類型）は外部から主に経験に基づいて人手で前記アラーム条件テーブルに設定されるために、不正利用リスクの有無を判断する基準の精度にばらつきが生じ易く、また前記アラーム条件テーブルへの警告の対象となる取引のパターン（類型）のみで不正利用リスクの有無判断を行うために、この基準の精度が低い場合には、不正利用された取引にも関わらず前記警告の対象となる取引のパターン（類型）と合致しない状況が発生しやすくなり、不正利用リスクの検出率が低下するという課題を有する。

また、前記第２の背景技術に係る不正利用検出装置は以上のように構成されていたことから、前記アクセスに対する不正利用リスクの有無判断は、あくまでネットワーク上の情報からの判断のみであって物理的観点からの判断は含まれないため、例えば上司や同僚や隣席者が不在という場合や他人の座席に移動して他人のＰＣ端末にログオンして作業を行うという場合等の物理的観点からの不正利用リスクが存在する状況下では、前記判定基準供与手段２０６及び前記不正利用判定手段２０７のみでは物理的観点からの不正利用リスクが検出できないために、不正利用リスクの検出率が低下するという課題を有する。

さらに、前記判定基準供与手段２０６及び前記不正利用判定手段２０７における不正利用の判定基準が主に経験に基づいて人手で外部から設定されるために、この判定基準の精度にばらつきが生じ易く、また前記判定基準供与手段２０６及び前記不正利用判定手段２０７のみで不正利用リスクの有無判断を行うために、この判定基準の精度が低い場合には、不正利用された取引にも関わらず不正利用リスクを検出できないという状況が発生しやすくなり、不正利用リスクの検出率が低下するという課題を有する。

さらに、前記個人別モデルにはある程度の量の蓄積データが必要であるが、このシステムの導入後初期や取引の絶対量が少ない場合には、蓄積データの絶対量が少ないために前記個人別モデルは不正利用判定の基準として使用可能なレベルに到達しておらず、不正利用リスクの検出精度の低い期間が存在するという課題を有する。また、このシステムの導入から十分な時間が経過した後や取引の絶対量が多い場合や不正利用の監視対象者が多い場合には、大量のデータを蓄積及び管理する必要があるために、バックアップシステムまで考慮すると膨大なシステムリソースを必要とし、これに伴いこのシステムのリソース管理及び定常保守運用の作業負担も大きくなり、このシステムの総所有コスト（ＴＣＯ）が膨大になるという課題を有する。

本発明は前記課題を解消するためになされたもので、組織内部で発生する不正利用に対して、物理的観点を考慮して心理的に不正利用が発生し易い要素を判断基準に含めることにより、不正利用リスクの検出精度及び費用対効果に優れた不正利用検出装置を提供することを目的とする。

本発明に係る不正利用検出装置は、会社等の組織内部における不正利用を検出する不正利用検出装置であって、社員の出勤及び退勤の状況を確認して不在社員情報を生成する在席確認手段と、社内組織情報から社員の上司及び／又は同僚及び／又は隣席者等の関係社員を特定して関係社員一覧情報を生成する関係社員特定手段と、会計業務等の所定の勘定科目に関する入出金取引について、取引の取り扱いを行った社員、日時及び勘定科目より取引一覧情報を生成する取引特定手段と、当該不在社員情報、当該関係社員一覧情報及び当該取引一覧情報を参照して、入出金取引の取り扱いを行った社員の前記関係社員に対して社内に不在か否かを判断し、当該社員の前記関係社員が社内に不在の場合に当該社員を不正利用の疑いを有する不正利用リスク社員と判断する不正利用リスク検出手段とを備えるものである。

このように本発明によれば、会社等の組織内部における不正利用を検出する不正利用検出装置であって、社員の出勤及び退勤の状況を確認して不在社員情報を生成する在席確認手段と、社内組織情報から社員の上司及び／又は同僚及び／又は隣席者等の関係社員を特定して関係社員一覧情報を生成する関係社員特定手段と、会計業務等の所定の勘定科目に関する入出金取引について、取引の取り扱いを行った社員、日時及び勘定科目より取引一覧情報を生成する取引特定手段と、当該不在社員情報、当該関係社員一覧情報及び当該取引一覧情報を参照して、入出金取引の取り扱いを行った社員の前記関係社員に対して社内に不在か否かを判断し、当該社員の前記関係社員が社内に不在の場合に当該社員を不正利用の疑いを有する不正利用リスク社員と判断する不正利用リスク検出手段とを備えることから、不正利用リスクの発生を物理的な観点から判断し、心理的に不正利用が発生し易い周囲の状況を不正利用リスク発生の判断基準とするために、この判断基準確立のための特別なデータ蓄積を必要としないこととなり、データ蓄積による行動パターンを判断基準とする場合と比較して、データ蓄積量が少なくて済むためにシステムコストを低下させることができ、またデータ蓄積量が少ないことが原因で不正利用リスクの検出精度が低下する期間が発生しないために一定品質の検出精度を常に確保することができる。さらに、前記判断基準が人手による外部からの設定に依存しないために、前記判断基準の品質にシステムユーザーによるばらつきが発生しないこととなり、導入されるシステムの種類や規模を問わず不正利用リスクに対する一定品質の検出精度を常に確保することができる。

また、本発明に係る不正利用検出装置は必要に応じて、前記不正利用リスク検出手段が、入出金取引の取り扱いを行った名義人に該当する社員に対して社内に不在か否かを判断し、当該社員が社内に不在の場合に前記不正利用リスク社員をなりすましによる不正利用の疑いを有する社員と判断するものである。このように本発明によれば、前記不正利用リスク検出手段が、入出金取引の取り扱いを行った名義人に該当する社員に対して社内に不在か否かを判断し、当該社員が社内に不在の場合に前記不正利用リスク社員をなりすましによる不正利用の疑いを有する社員と判断することから、なりすましの発生検知のみならずなりすまし実行者の限定も行えることとなり、なりすまし発生を検知する場合のみと比較して特に再発防止に高い効果が得られる。

また、本発明に係る不正利用検出装置は必要に応じて、前記不正利用リスク検出手段が、取引に対して新規取引か否かを判断し、当該取引が新規取引の場合に当該取引の取り扱いを行った社員の前記関係社員に対して社内に不在か否かを判断し、当該社員の前記関係社員が社内に不在の場合に当該社員を前記不正利用リスク社員と判断するものである。このように本発明によれば、前記不正利用リスク検出手段が、取引に対して新規取引か否かを判断し、当該取引が新規取引の場合に当該取引の取り扱いを行った社員の前記関係社員に対して社内に不在か否かを判断し、当該社員の前記関係社員が社内に不在の場合に当該社員を前記不正利用リスク社員と判断するために、過去に取り扱い実績の無い新規取引の発生時にこの新規取引が例外的でイレギュラーな取引であり不正利用リスクが高いと判断されるため、不正利用リスク検出の契機がより一層増えることとなり、不正利用リスクの検出精度をさらに向上させることができる。

また、本発明に係る不正利用検出装置は必要に応じて、前記不正利用リスク検出手段が、前記電子メール送信毎に履歴情報を蓄積し、前記電子メール送信時に過去の判断情報と前記電子メールの判断情報との比較により生成される比較情報を参照して、不正利用の疑いを有する不正利用リスク社員を判断するものである。このように本発明によれば、前記不正利用リスク検出手段が、前記電子メール送信毎に履歴情報を蓄積し、前記電子メール送信時に過去の判断情報と前記電子メールの判断情報との比較により生成される比較情報を参照して、不正利用の疑いを有する不正利用リスク社員を判断することにより、不正利用リスクに応じた警告内容の電子メールが送信されることとなり、不正利用リスクの低い社員と不正利用リスクの高い社員とが同一に扱われることがなく、不正利用を繰り返す社員の特定や不正利用の再発防止に効果を発揮することができる。

また、本発明に係る不正利用検出装置は必要に応じて、前記不正利用リスク検出手段により不正利用の疑いがあると判断された場合に、当該判断情報を電子メールとして出力される電子メール警告手段を備えるものである。このように本発明によれば、前記不正利用リスク検出手段により不正利用の疑いがあると判断された場合に、当該判断情報を電子メールとして出力される電子メール警告手段を備えることにより、不正利用リスクを検知した場合に、例えば不正利用リスクを有する社員の上司に警告となる電子メールで報告を行うことにより、不正利用リスクの発生が迅速かつ的確に情報共有されることとなり、不正利用の原因特定及び再発防止に効果を発揮することができる。

（本発明の第１の実施形態）
以下、本発明の第１の実施形態に係る不正利用リスク検出システムを、図１から図７に基づいて説明する。この図１は本発明の第１の実施形態に係る不正利用リスク検出システムの構成を示すブロック図、図２は図１に記載された不正利用リスク検出システムの処理手順を示すフローチャート図、図３は図１に記載された不正利用リスク検出システムの全体構成を示す説明図、図４は図１に記載された不正利用リスク検出システムを構成する各機器のハードウェア構成を示す説明図、図５は図１に記載された不正利用リスク検出システムの不正利用リスク検知の全体手順を示す説明図、図６（Ａ）、（Ｂ）、（Ｃ）、（Ｄ）は図１に記載された不正利用リスク検出システムにおける取引ログＤＢ１１ａに登録された勘定系取引内容例、人事管理ＤＢ１２ａの登録内容例、就業管理ＤＢ１３ａの登録内容例、不正利用リスクの警告として送信される電子メール内容例を示す各説明図、図７は図１に記載された不正利用リスク検出システムにおける比較情報の内容に対する警告度の設定例を示す。

図１において、本発明の実施形態に係る不正利用リスク検出システムは、社員の出勤及び退勤の状況を管理する就業システムにおける就業管理ＤＢ１３ａを参照して社員の在席状況を確認する在席確認手段１３と、社内組織情報を管理する人事システムにおける人事管理ＤＢ１２ａを参照して社員の上司又は同僚又は又は隣席者を特定する関係社員特定手段１２と、会計業務等の所定の勘定科目に関する入出金取引についての業務システムにおける取引ログＤＢ１１ａを参照して取引の取り扱いを行った社員、日時及び勘定科目を取り出す取引ログ特定手段１１と、この取引ログ特定手段１１及びこの関係社員特定手段１２及びこの在席確認手段１３より、取引の取り扱いを行った社員の上司及び／又は同僚及び／又は隣席者が社内に不在の場合に、この社員を不正利用リスクのある社員と判断する不正利用リスク検出手段５とを備える構成である。

また、前記不正利用リスク検出手段１４により不正利用の疑いがあると判断された場合に、この判断情報を電子メールに記載して前記不正利用の疑いを有する社員の上司宛に送信し、送信メールログＤＢ１５ａに送信内容を出力する電子メール警告手段１５を備える構成とすることも可能である。

また、前記在席確認手段１３は、前記就業システムとして各社員に対して出勤時及び退勤時において端末にログイン及びログアウトを要求する仕組みも可能である。この場合、前記在席確認手段１３は各社員のログインログ及びログアウトログを取得し、このログインログ及びログアウトログの時刻情報から各社員の在席状況を確認するシステムとすることもできる。また、前記在席確認手段１３は、各社員が使用する端末に対するＫＥＥＰ ＡＬＩＶＥエコー送信等によるＩＰアドレス存在確認や端末電源のＯＮ／ＯＦＦ検知による電源管理や等の各端末の起動状況から判断を行うこともでき、さらに社員証等のＩＤカードを使用した入退室管理からも判断を行うことができる。また、前記就業システムとして赤外線スコープや小型監視カメラを用いた人検知システム等による物理的な監視システムを用いることも可能である。

また、図１の構成における処理の流れは、図２のフローチャート図で示すように、まず入出金取引情報Ａと入出金取引情報Ａを入力した社員情報Ａ１を会計システムの前記取引ログＤＢ１１ａから抽出する（ステップＳ１）。ここで、前記取引ログＤＢ１１ａへのアクセスタイミングは、取引発生の都度実行されるオンライン処理や、１日１回夜間バッチにより実行されるバッチ処理等のいずれでも可能である。また、休日や深夜や早朝という不正利用リスクが発生し易い時間帯のみオンライン処理で対応してその他の時間帯はバッチ処理で対応するということも可能であり、この場合にはシステムリソースを有効利用することが可能となる。さらに、過去に１度も取り扱いが無いために前記取引ログＤＢ１１ａにログが記録されていない新規取引が発生した場合には、イレギュラーな取引である可能性があるために、前記取引ログＤＢ１１ａから不正利用リスクのある取引として抽出することにより不正利用リスクの検出精度を向上させることができる。

次に、社員情報Ａ１の上司Ｂ１及び同僚Ｂ２及び隣席者Ｂ３を含む上司同僚情報Ｂを人事システムの前記人事管理ＤＢ１２ａから抽出し（ステップＳ２）、上司同僚情報Ｂの在席情報Ｃを就業システムの就業管理ＤＢ１３ａから抽出し（ステップＳ３）、在席情報Ｃより上司Ｂ１及び同僚Ｂ２及び隣席者Ｂ３の在席状況を確認し（ステップＳ４）、不在の場合には、不正利用リスク有りと判定し（ステップＳ５）、上司Ｂ１に電子メール送信により警告を行い（ステップＳ７）、上司Ｂ１が在席の場合には、不正利用リスク無しと判定する（ステップＳ６）。

次に、図３に示すように、上記を基に構成された不正利用リスク検出システムは、社員が業務で使用するオペレータ端末２７と、不正利用リスク発生を監視する不正利用リスク検出装置１０と、会計システムを構築する勘定系ホスト２４及び業務用サーバ２１と、人事システムを構築する人事管理系ホスト２５及び人事管理用サーバ２２と、就業システムを構築する就業管理系ホスト２６及び就業管理用サーバ２３から構成される。

次に、図４に示すように、不正利用リスク検知システムを構成する各機器（ただし前記勘定系ホスト２４、前記人事管理系ホスト２５、前記就業管理系ホスト２６を除く）のハードウエア構成は、装置全体の制御を司るＣＰＵ３１と、このＣＰＵ３１のワークエリアとして使用されてブートプログラムなどの記憶等にも使用されるメモリ３２と、このＣＰＵ３１の制御により書き込まれたデータを記憶する大容量記憶装置３８と、カーソル、ウィンドウ、アイコン等をはじめ、文書や画像などの各種データを表示するディスプレイ３６と、図３ に示したＬＡＮ／ＷＡＮに接続され、当該ネットワークと装置内部とのデータの送受信を司る通信装置３７と、文字、数値、各種指示などの入力のための複数のキーを備えて押下されたキーに対応するデータを電気的信号に変換するキーボード３４と、本体下部のボールの回転量と回転方向および本体上部の各ボタンのＯＮ／ＯＦＦを電気的信号に変換するマウス３５と、このキーボード３４及びこのマウス３５からの電気的信号を随時装置内部へ入力する入力装置３３と、上記各部を接続するバス３９からなる。なお、各機器はいずれも同一のハードウエア構成を有するものとする。

以下、前記構成に基づく本実施形態の具体的な装置を用いた不正利用リスク検出システムの使用方法について説明する。
図５に示すように、まず社員が前記オペレータ端末２７から入出金取引を起票することを契機として、会計システムに対するトランザクションが発生する。即ち、前記オペレータ端末２７からＬＡＮ／ＷＡＮを経由して前記業務用サーバ２１へ取引要求が送信され（ステップＳ２１）、前記業務用サーバ２１から前記勘定系ホスト２４へこの取引要求が送信され（ステップＳ３１）、前記勘定系ホスト２４でこの取引に対する取引可否判定が行われ（ステップＳ４１）、前記勘定系ホスト２４から前記業務用サーバ２１へこの取引可否応答が送信され（ステップＳ４２）、前記業務用サーバ２１から前記オペレータ端末２７へこの取引可否応答が送信され（ステップＳ３２）、ＬＡＮ／ＷＡＮを経由して前記オペレータ端末２７がこの取引可否応答を受信し（ステップＳ２２）、このトランザクション処理が完了する。

このトランザクションにおける取引内容は、例えば図６（Ａ）で示すようなレコードレイアウトで前記業務用サーバ２１内の前記取引ログＤＢ１１ａにログ記録され、この取引が入出金取引もしくは前記取引ログＤＢ１１ａ内に存在しない新規取引であるか判定を行い（ステップＳ３３）、この取引が入出金取引もしくは前記取引ログＤＢ１１ａ内に存在しない新規取引である場合に、この取引ログのレコード情報が前記不正利用リスク検出装置１０の前記取引ログ特定手段１１に取り込まれる。

次に、前記不正利用リスク検出装置１０の前記在席確認手段１３において、前記取引ログの起票社員番号の情報を用いて、前記取引を起票した社員の上司Ｂ１及び同僚Ｂ２及び隣席者Ｂ３を特定するために、前記人事管理用サーバ２２へ関係社員確認要求を送信する（ステップＳ１１）。前期関係社員確認要求を受信した前記人事管理用サーバ２２は、前記人事管理ＤＢ１２ａの情報を基にして前期関係社員確認要求に対する応答を前記不正利用リスク検出装置１０に送信する（ステップＳ５１）。なお、本実施例においては、前記人事管理系ホスト２５の負荷軽減の目的で、前記人事管理ＤＢ１２ａに関して前記人事管理用サーバ２２の情報が前記人事管理系ホスト２５の情報と逐次同期することにより、前期関係社員確認要求に対して前記人事管理系ホスト２５までアクセスを行う必要が無く前記人事管理用サーバ２２が応答を行う構成としている。

次に、前記不正利用リスク検出装置１０の前記において、上記で特定された、前記取引を起票した社員の上司Ｂ１及び同僚Ｂ２及び隣席者Ｂ３の情報を用いて、前記取引を起票した社員の上司Ｂ１及び同僚Ｂ２及び隣席者Ｂ３の在席状況を確認するために、前記就業管理用サーバ２３へ在席確認要求を送信する（ステップＳ１２）。前記在席確認要求を受信した前記就業管理用サーバ２３は、前記就業管理ＤＢ１３ａの情報を基にして前記在席確認要求に対する応答を前記不正利用リスク検出装置１０に送信する（ステップＳ６１）。なお、本実施例においては、前記就業管理系ホスト２６の負荷軽減の目的で、前記就業管理ＤＢ１３ａに関して前記就業管理用サーバ２３の情報が前記就業管理系ホスト２６の情報と逐次同期することにより、前記在席確認要求に対して前記就業管理系ホスト２６までアクセスを行う必要が無く前記就業管理用サーバ２３が応答を行う構成としている。

次に、前記不正利用リスク検出装置１０の前記不正利用リスク検出手段５において、上記で特定された、前記取引を起票した社員の上司Ｂ１及び同僚Ｂ２及び隣席者Ｂ３の在席状況から、不正利用リスクの判定を行い（ステップＳ１３）、不正利用リスク有りと判断された場合には、前記不正利用リスク検出装置１０の前記電子メール警告手段１５において、前記取引を起票した社員の上司Ｂ１の前記オペレータ端末２７に警告となる電子メールが送信される。この電子メールは例えば図６（Ｄ）のようなメール本文の内容で送信することができる。

また、前記取引ログＤＢ１１ａを参照して、起票された取引に関する時刻、勘定科目及び金額等について各社員毎に取得された履歴情報を利用することで、不正利用リスク社員が検出された場合に、この履歴情報から各社員の通常利用パターンと同類の場合には不正利用リスクは低いとみなされ、この各社員の通常利用パターンと隔離している場合には不正利用リスクは高いと判断することが可能となる。この不正利用リスクの高低の度合いを例えば警告度という数値で具体化することにより前記電子メールに添付することも可能である。例えば、特定社員Ａの１４時に起票した取引に対して不正利用リスクが検出された場合、蓄積された前記履歴情報から特定社員Ａが日常業務において９時から１１時までに取引を起票していることが情報として得られている場合には、この取引は前記通常利用パターンから隔離しているために、特定社員Ａの不正利用リスクは高いと判断される。また、この履歴情報はデータ蓄積が進むにつれて各社員の特性が顕在化するために不正利用リスクの判断精度が向上して信頼性が高まるという特性を有する。

また、図７では、各社員毎に起票した直近３世代前までの取引を前記履歴情報として取得している場合に、前記通常利用パターンとの比較に基づき設定される警告度の基準例を示している。前記通常利用パターンとの比較によりイレギュラー取引か否かを判断された比較情報を基に、直近３世代前までの取引に関して比較情報の組み合せから得られるパターンａからパターンｇまでの各パターンに対して前記警告度を設定しており、前記警告度はどのような表現でもよいが、本例では４段階及び７段階の数値での一例を示している。

比較情報の対象が、例えば取引が起票された時刻の場合には、前記特定社員Ａが日常業務において９時から１１時までに取引を起票していることがデータ蓄積により前記通常利用パターンの情報として得られるため、前記特定社員Ａが１０時に取引を起票した場合には通常取引（×で図示）と判断され、前記特定社員Ａが１７時に取引を起票した場合にはイレギュラー取引（○で図示）と判断される。前記特定社員Ａが前々回に１０時に取引を起票し、前回も１０時に取引を起票し、最も直近では１７時に取引を起票した場合には、パターンｆとなり、警告度（７段階）に関しては、警告度６となる。また、前記特定社員Ａが前々回に１７時に取引を起票し、前回も１５時に取引を起票し、最も直近では１０時に取引を起票した場合には、パターンｄとなり、警告度（７段階）に関しては、警告度４となる。このように、警告度に幅を持たせることにより発生した不正利用リスクの度合いを具体的な数値で容易に理解することができ、不正利用リスク検出後の対応への有用な補助ツールとなる。

また、前記電子メール送信の都度、前記送信メールログＤＢ１５ａに送信メールログを記録することにより、過去の前記電子メールの送信回数や送信取引内容等の送信メールログの内容が前記警告度において考慮されることで、前記判断精度をさらに向上させることができる。また、前記警告度は、過去に取り扱い実績のない新規取引が起票された場合や、深夜、早朝、休日の時間帯に起票された場合等の不正利用リスクの高い状況下で不正利用リスクが検出された場合にはさらに警告度を上げる等の柔軟な設定が可能である。

（本発明の第２の実施形態）
以下、本発明の第２の実施形態に係る不正利用リスク検出システムを、図８から図１０に基づいて説明する。この図８は本発明の第２の実施形態に係る不正利用リスク検出システムの構成を示すブロック図、図９は図８に記載された不正利用リスク検出システムの処理手順を示すフローチャート図、図１０は図８に記載された不正利用リスク検出システムのなりすまし発生検知処理の処理手順を示すフローチャート図を示す。

図８において、本発明の第２の実施形態に係る不正利用リスク検出システムは、本発明の第１の実施形態と同様に、前記取引ログ特定手段１１、前記関係社員特定手段１２及び前記在席確認手段１３を備えており、前記不正利用リスク検出手段１４を異にする構成である。前記不正利用リスク検出手段１４は、前記取引ログ特定手段１１及び前記在席確認手段１３から各々出力される取引ログデータ及び在席確認データに基づき、在席が確認されない社員の名義で取引を実行した社員をなりすまし行為として検出するなりすまし発生検出部１４ａと、前記取引ログ特定手段１１及び前記関係社員特定手段１２及び前記在席確認手段１３から各々出力される取引ログデータ、在席確認データ及び関係社員データに基づき、入出金取引の取り扱い時に上司及び／又は同僚及び／又は隣席者が社内に不在の社員を、不正利用の疑いを有する社員と判断する不正利用リスク検出部１４ｂから構成される。

また、前記不正利用リスク検出手段１４により不正利用の疑いがあると判断された場合に、本発明の第１の実施形態と同じく前記電子メール警告手段１５を備え、電子メール送信を行う代替としてこの判断情報を１台の監視用ＰＣに表示することにより管理者が一元管理することができる。

また、図８の構成における処理の流れは、図９に示すように、第１の実施形態になりすまし発生検知処理（ステップＳ３０１）を追加するものであり、このなりすまし発生検知処理は、ステップＳ３とステップＳ４の処理の間に追加され、図１０に示すように、入出金取引情報ＡＡと入出金取引情報ＡＡを入力した社員情報ＡＡ１を会計システムの前記取引ログＤＢ１１ａから抽出し（ステップＳ１０１）、社員情報ＡＡ１の在席情報ＣＣを就業システムの就業管理ＤＢ１３ａから抽出し（ステップＳ１０２）、在席情報ＣＣから社員情報ＡＡ１の在席確認を行い（ステップＳ１０３）、在席情報ＣＣが不在の場合にはなりすまし発生有りと判定して処理が終了し（ステップＳ１０６）、在席情報ＣＣが在席の場合にはこのなりすまし発生検知を指定期間内の全ての対象となる入出金取引情報ＡＡに対して行い（ステップＳ１０４）、なりすまし発生が皆無の場合にはなりすまし発生無しと判定して処理が終了する（ステップＳ１０５）。

以下、前記構成に基づく本実施形態の具体的な装置を用いた不正利用リスク検出システムの使用方法について説明する。
本実施形態は、本発明の第１の実施形態になりすまし発生検知処理を追加したものであり、このなりすまし発生検知処理は、前記取引ログＤＢ１１ａにログ記録された入出金取引が前記不正利用リスク検出装置１０の前記取引ログ特定手段１１に取り込まれた後、この入出金取引を起票した社員に対して、前記不正利用リスク検出装置１０の前記在席確認手段１３における前期就業管理ＤＢ１３ａに記録された在席情報からこの社員の在席状況を確認することにより、この社員が不在の場合はなりすまし発生を検知することができる。

なお、一定期間内におけるなりすまし発生の有無を確認する場合には、一定期間内に前記取引ログＤＢ１１ａに記録された入出金取引を前記不正利用リスク検出装置１０の前記取引ログ特定手段１１により取り込み、この入出金取引の全件に対して前記なりすまし発生検知処理を実施することにより可能となる。このなりすまし発生検知処理によりなりすまし発生が検知され且つ不正利用リスクが検出された場合には、不正利用者がなりすましの犯人の可能性が高いために、前記監視用ＰＣに表示される警告度もしくは前記電子メールの警告度を上げることで、なりすましの発生検知のみならずなりすまし実行者の限定も行えることとなり、なりすまし発生を検知する場合のみと比較して特に再発防止に高い効果が得られる。

なお、上記第１及び第２の実施形態の適用範囲としては、例えば金融システム等の限られた業務に限定されることはなく、広く一般に日常的に会計業務を扱う業務への適用することができる。また、上記第１の実施形態及び第２の実施形態では前記取引ログＤＢ１１ａへのアクセスをオンライン処理と設定したが、前記取引ログＤＢ１１ａ及び就業管理ＤＢ１３ａのレコード情報に記録される時間情報を利用して、例えば１日１回夜間バッチにより実行されるバッチ処理と設定しても良い。

（付記１）会社等の組織内部における不正利用を検出する不正利用検出装置であって、
社員の出勤及び退勤の状況を確認して不在社員情報を生成する在席確認手段と、社内組織情報から社員の上司及び／又は同僚及び／又は隣席者等の関係社員を特定して関係社員一覧情報を生成する関係社員特定手段と、会計業務等の所定の勘定科目に関する入出金取引について、取引の取り扱いを行った社員、日時及び勘定科目より取引一覧情報を生成する取引特定手段と、当該不在社員情報、当該関係社員一覧情報及び当該取引一覧情報を参照して、入出金取引の取り扱いを行った社員の前記関係社員に対して社内に不在か否かを判断し、当該社員の前記関係社員が社内に不在の場合に当該社員を不正利用の疑いを有する不正利用リスク社員と判断する不正利用リスク検出手段とを備えることを、特徴とする不正利用検出装置。

（付記２）前記不正利用リスク検出手段が、入出金取引の取り扱いを行った名義人に該当する社員に対して社内に不在か否かを判断し、当該社員が社内に不在の場合に前記不正利用リスク社員をなりすましによる不正利用の疑いを有する社員と判断することを、特徴とする付記１に記載の不正利用検出装置。

（付記３）前記不正利用リスク検出手段が、取引に対して新規取引か否かを判断し、当該取引が新規取引の場合に当該取引の取り扱いを行った社員の前記関係社員に対して社内に不在か否かを判断し、当該社員の前記関係社員が社内に不在の場合に当該社員を前記不正利用リスク社員と判断することを、特徴とする付記１又は付記２に記載の不正利用検出装置。

（付記４）前記不正利用リスク検出手段が、前記電子メール送信毎に履歴情報を蓄積し、前記電子メール送信時に過去の判断情報と前記電子メールの判断情報との比較により生成される比較情報を参照して、不正利用の疑いを有する不正利用リスク社員を判断することを、特徴とする付記１ないし付記３に記載の不正利用検出装置。

（付記５）前記不正利用リスク検出手段により不正利用の疑いがあると判断された場合に、当該判断情報を電子メールとして出力される電子メール警告手段を備えることを、特徴とする付記１ないし付記４に記載の不正利用検出装置。

（付記６）コンピュータを、社員の出勤及び退勤の状況を確認して不在社員情報を生成する在席確認手段、社内組織情報から社員の上司及び／又は同僚及び／又は隣席者等の関係社員を特定して当該関係社員に関する関係社員一覧情報を生成する関係社員特定手段、会計業務等の所定の勘定科目に関する入出金取引について、取引の取り扱いを行った社員、日時及び勘定科目より取引一覧情報を生成する取引特定手段、当該不在社員情報、当該関係社員一覧情報及び当該取引一覧情報を参照して、入出金取引の取り扱いを行った社員を特定し、当該社員の前記関係社員が社内に不在の場合に当該社員を不正利用の疑いを有する不正利用リスク社員と判断する不正利用リスク検出手段、として機能させるための不正利用検出プログラム。

（付記７）前記不正利用リスク検出手段が、入出金取引の取り扱いを行った名義人に該当する社員が社内に不在の場合に、前記不正利用リスク社員をなりすましによる不正利用の疑いを有する社員と判断することを特徴とする付記６に記載の不正利用検出プログラム。

（付記８）前記不正利用リスク検出手段が、前記取引一覧情報を参照して新規取引か否かを判断し、当該新規取引の場合に前記不在社員情報及び前記関係社員一覧情報を参照して当該新規取引の取り扱いを行った社員の前記関係社員が社内に不在か否かを判断し、当該社員の前記関係社員が社内に不在の場合に当該社員を前記不正利用リスク社員と判断することを特徴とする付記６又は付記７に記載の不正利用検出プログラム。

（付記９）前記不正利用リスク検出手段が、前記電子メール送信毎に履歴情報を蓄積し、前記電子メール送信時に過去の判断情報と前記電子メールの判断情報との比較により生成される比較情報を参照して、不正利用の疑いを有する不正利用リスク社員を判断することを、特徴とする付記６ないし付記８に記載の不正利用検出プログラム。

（付記１０）前記不正利用リスク検出手段により不正利用の疑いがあると判断された場合に、当該判断情報を電子メールとして出力される電子メール警告手段を備えることを、特徴とする付記９に記載の不正利用検出プログラム。

本発明の第１の実施形態に係る不正利用リスク検出システムの構成を示すブロック図である。 本発明の第１の実施形態に係る不正利用リスク検出システムの処理手順を示すフローチャート図である。 本発明の第１の実施形態に係る不正利用リスク検出システムの全体構成を示す説明図である。 本発明の第１の実施形態に係る不正利用リスク検知システムを構成する各機器のハードウェア構成を示す説明図である。 本発明の第１の実施形態に係る不正利用リスク検出システムの不正利用リスク検知の全体手順を示す説明図である。 （Ａ）本発明の第１の実施形態に係る不正利用リスク検出システムにおける取引ログＤＢ１１ａに登録された勘定系取引内容例である。（Ｂ）本発明の第１の実施形態に係る不正利用リスク検出システムにおける人事管理ＤＢ１２ａの登録内容例である。（Ｃ）本発明の第１の実施形態に係る不正利用リスク検出システムにおける就業管理ＤＢ１３ａの登録内容例である。（Ｄ）本発明の第１の実施形態に係る不正利用リスク検出システムにおける不正利用リスクの警告として送信される電子メール内容例である。 本発明の第１の実施形態に係る不正利用検出システムにおける比較情報の内容に対する警告度の設定例である。 本発明の第２の実施形態に係る不正利用リスク検出システムの構成を示すブロック図である。 本発明の第２の実施形態に係る不正利用リスク検出システムの処理手順を示すフローチャート図である。 本発明の第２の実施形態に係る不正利用リスク検出システムにおけるなりすまし発生検知処理の処理手順を示すフローチャート図である。 従来の不正利用リスク検出システムの概略構成図である。 従来の不正利用リスク検出システムの概略構成図である。

符号の説明

１０ 不正利用リスク検出装置
１１ 取引ログ特定手段
１１ａ 取引ログＤＢ
１２ 関係社員特定手段
１２ａ 人事管理ＤＢ
１３ 在席確認手段
１３ａ 就業管理ＤＢ
１４ 不正利用リスク検出手段
１４ａ なりすまし発生検出部
１４ｂ 不正利用リスク検出部
１５ 電子メール警告手段
１５ａ 送信メールログＤＢ
２１ 業務用サーバ
２２ 人事管理用サーバ
２３ 就業管理用サーバ
２４ 勘定系ホスト
２５ 人事管理系ホスト
２６ 就業管理系ホスト
２７ オペレータ端末
３１ ＣＰＵ
３２ メモリ
３３ 入力装置
３４ キーボード
３５ マウス
３６ ディスプレイ
３７ 通信装置
３８ 大容量記憶装置
３９ バス

Claims (6)

1. 会社等の組織内部における不正利用を検出する不正利用検出装置であって、
   社員の出勤及び退勤の状況を確認して不在社員情報を生成する在席確認手段と、
   社内組織情報から社員の上司及び／又は同僚及び／又は隣席者等の関係社員を特定して関係社員一覧情報を生成する関係社員特定手段と、
   会計業務等の所定の勘定科目に関する入出金取引について、取引の取り扱いを行った社員、日時及び勘定科目より取引一覧情報を生成する取引特定手段と、
   当該不在社員情報、当該関係社員一覧情報及び当該取引一覧情報を参照して、入出金取引の取り扱いを行った社員の前記関係社員に対して社内に不在か否かを判断し、当該社員の前記関係社員が社内に不在の場合に当該社員を不正利用の疑いを有する不正利用リスク社員と判断する不正利用リスク検出手段とを備えることを、
   特徴とする不正利用検出装置。
2. 請求項１に記載の不正利用検出装置において、
   前記不正利用リスク検出手段が、入出金取引の取り扱いを行った名義人に該当する社員に対して社内に不在か否かを判断し、当該社員が社内に不在の場合に前記不正利用リスク社員をなりすましによる不正利用の疑いを有する社員と判断することを、
   特徴とする不正利用検出装置。
3. 請求項１又は請求項２に記載の不正利用検出装置において、
   前記不正利用リスク検出手段が、取引に対して新規取引か否かを判断し、当該取引が新規取引の場合に当該取引の取り扱いを行った社員の前記関係社員に対して社内に不在か否かを判断し、当該社員の前記関係社員が社内に不在の場合に当該社員を前記不正利用リスク社員と判断することを、
   特徴とする不正利用検出装置。
4. 請求項１ないし請求項３に不正利用検出装置において、
   前記不正利用リスク検出手段が、前記電子メール送信毎に履歴情報を蓄積し、前記電子メール送信時に過去の判断情報と前記電子メールの判断情報との比較により生成される比較情報を参照して、不正利用の疑いを有する不正利用リスク社員を判断することを、
   特徴とする不正利用検出装置。
5. 請求項１ないし請求項４に記載の不正利用検出装置において、
   前記不正利用リスク検出手段により不正利用の疑いがあると判断された場合に、当該判断情報を電子メールとして出力される電子メール警告手段を備えることを、
   特徴とする不正利用検出装置。
6. コンピュータを、
   社員の出勤及び退勤の状況を確認して不在社員情報を生成する在席確認手段、
   社内組織情報から社員の上司及び／又は同僚及び／又は隣席者等の関係社員を特定して当該関係社員に関する関係社員一覧情報を生成する関係社員特定手段、
   会計業務等の所定の勘定科目に関する入出金取引について、取引の取り扱いを行った社員、日時及び勘定科目より取引一覧情報を生成する取引特定手段、
   当該不在社員情報、当該関係社員一覧情報及び当該取引一覧情報を参照して、入出金取引の取り扱いを行った社員の前記関係社員に対して社内に不在か否かを判断し、当該社員の前記関係社員が社内に不在の場合に当該社員を不正利用の疑いを有する不正利用リスク社員と判断する不正利用リスク検出手段、
   として機能させるための不正利用検出プログラム。
   
   
   

Images