JP2009151827A - データ監視方法、情報処理装置、プログラム及び記録媒体、並びに情報処理システム - Google Patents

Abstract

【課題】外部への持ち出しを禁止された機密情報などのデータ又はファイルなどの情報をネットワーク経由で使用する際の情報漏洩を防止する。
【解決手段】ユーザコンピュータ１００は、送受信データのプロトコルを解析するプロトコル解析部１１６と、その解析結果及びステータス情報を参照して送受信データの通信を監視する通信監視部１１５と、アプリケーションプログラムＡＰ１２０の指令によりアクセスされるファイルを監視するファイル監視部１１４とを有する。ステータス情報は、監視対象となるデータへの通信又はアクセス指令を出したＡＰ１２０のプロセスＩＤ及び監視対象データの送信元アドレスなどからなる。通信監視部１１５は。ステータス情報が登録されたデータの送信元以外への送信を禁止し、ファイル監視部１１４は、ステータス情報が登録されたデータの外部記憶装置へのファイル書込指令を無効にする。
【選択図】図１

Description

本発明は、監視対象サーバが保有する監視対象データを受信して使用することが可能な情報処理装置からの監視対象データの漏洩を防止すべく、監視対象データを監視するためのデータ監視方法、データ監視処理機能を有する情報処理装置、データ監視処理を実行させるためのプログラム及び記録媒体、並びに情報処理装置及び監視対象サーバからなる情報処理システムに関する。

企業等の組織内にある電子化された機密情報が、過失又は故意により、組織外に流出することは企業に多大な損失を招く。このような機密情報の漏洩を防止するための技術が各種開発されており、例えば機密ファイルへのアクセス権限を有する人間の故意の情報の持ち出しを防止し、かつ機密ファイルあるいは機密でないファイルの作成、編集作業を妨げない方式の一例が、特許文献１に記載されている。この特許文献１に記載の機密ファイル持ち出し禁止方法においては、システム管理者が、コンピュータ内の補助記憶装置に特定の機密ファイルを保存するための機密ファイルフォルダを設定し、他のフォルダと区別し、ユーザが業務で使用する機密ファイルを機密ファイルフォルダに保存する。ユーザＰＣの複数のアプリケーションプログラムのいずれかが、ファイルを開く要求をした場合、Ｉ／Ｏ監視プログラム及びフィルタプログラムにより、機密フォルダ内のファイルへのアクセスを監視する。すなわち、要求があったファイルが機密ファイルであるか否かを判別し、機密ファイルであった場合には、機密ファイルフォルダ以外に出力されて機密情報ファイルが他の一般のフォルダにコピーされることを禁止している。

また、特許文献２には、Ｗｅｂサーバ上のデータベースに格納された機密情報が、Ｗｅｂサーバを閲覧したユーザによって第三者に漏洩されることを防止する情報提供システム及び方法が記載されている。この特許文献２に記載の技術においては、Ｗｅｂサーバへのアクセス制御をするプロキシサーバ、及びそのプロキシサーバと通信して得た情報を一般のフォルダに保存するような操作ができない専用のビューアを有するクライアント端末との間において、機密情報の漏洩を防止している。

また、特許文献３には、コンテンツ自体に暗号化という特別な改変を行わずにその著作権管理の実行を図ったコンテンツ管理システムが記載されている。この特許文献３に記載の技術においては、コンテンツサーバにはコンテンツと共にそのコンテンツをダウンロードしたクライアント端末が当該コンテンツを外部に転送することを許諾するか否かの転送可否属性情報を有し、クライアント端末はコンテンツをダウンロードした際に、この転送可否属性情報を取得する。そしてクライアント端末のファイルシステムは、コンテンツの転送要求があった場合には、転送可否属性情報をチェックし、不可であればコンテンツの転送を停止するようなされている。

特開２００２−２８８０３０号公報 特開２００２−４１３４７号公報 特開２００３−３４５６６１号公報

しかしながら、特許文献１に記載の技術においては、機密情報がファイルの形式で置かれていることを前提としており、サーバ上でデータベースなどの形で蓄積された情報などファイル以外の情報をネットワークを経由して転送する行為については考慮されていないという問題点がある。また、フィルタプログラムをアプリケーション毎に用意する必要があり、フィルタプログラムが用意されていないアプリケーションプログラムを使用して意図的に情報を外部メディアにコピーすることによりデータの外部持ち出しが容易であるという問題点がある。

また、特許文献２に記載の技術においては、クライアント側で利用可能なアプリケーションが専用ビューアに限られてしまうと共に、サーバ側に新たにプロキシサーバを導入する必要があるという問題点がある。

更に、特許文献３に記載の技術においては、ファイルシステム内の格納ルーチン、読み出しルーチンが特定のダウンロード手段、再生手段、外部転送手段の元でのみ動作をする構成となっており、通常のファイルＩ／Ｏとは異なるインターフェースを利用する必要があり、このファイルＩ／Ｏにあわせたアプリケーションでの動作にのみしか対応することができない。また、このように転送を許可するか否かのみの情報に基づき転送の可否をチェックする場合、所定のコンテンツに関して転送を全く禁止するのではなく転送先によっては転送を許可するなど転送を制限することができないという問題点がある。

以上をまとめると、上述の従来技術には、下記のような問題点がある。すなわち、第１の問題点としては、データベース内に蓄えられた顧客情報などをＷｅｂブラウザを使用して検索後ダウンロードするような業務システムへ適応するためには、従来の業務システムに大きな変更を加える必要があることが挙げられる。その理由は、利用の都度データがサーバにおいて生成され、あらかじめファイルとしてフォルダ内に存在しないので、例えば特許文献１では対処できず、また、特許文献２及び特許文献３を適用するには、既存のクライアントソフトウェアから専用ビューアへの移行が必要となるためである。

第２の問題点としては、メールやＦＴＰ（File Transfer Protocol：ファイル転送プロトコル）などの、ファイルシステムによらない方法によって、ファイル転送を行う一般のアプリケーションへの対処が困難な点である。その理由は、上記特許文献１では、アプリケーションプログラム毎に作りが異なるイベント処理を分析するフィルタプログラムを各アプリケーションプログラム向けに用意する必要があるためであり、特許文献２ではクライアントソフトが専用ビューアに限定され、特許文献３においても専用のファイルＩ／Ｏが必要となるため、一般のアプリケーションを利用できない。

本発明は、このような従来の実情に鑑みて提案されたものであり、外部への持ち出しを禁止された機密情報などのデータ又はファイルなどの情報をネットワーク経由で使用する際の情報漏洩を防止することができるデータ監視方法、情報処理装置、プログラム及び記録媒体、並びに情報処理システムを提供することを目的とする。

本発明に係るデータ監視方法は、監視対象となるデータを保有する監視対象サーバとネットワークを介してデータの送受信が可能なデータ監視方法において、任意のアプリケーションプログラムからの送信又は受信指令が出されると、前記監視対象となるデータに関するステータス情報が登録されたステータス情報記憶手段を参照して前記送受信データの通信を監視する通信監視工程と、任意のアプリケーションプログラムからの書込又は読出指令が出されると、前記ステータス情報記憶手段を参照して書き込み又は読み出しデータを有するファイルへのアクセスを監視するファイル監視工程とを有し、前記通信監視工程では、データ送信指令が出された場合、当該データ送信指令を出したアプリケーションプログラムを示すプログラム識別情報が前記ステータス情報として登録されているか否かを確認し、登録されている場合に当該データ送信指令を制限し、前記ファイル監視工程では、データ書込指令が出された場合、当該データ書込指令を出したアプリケーションプログラムを示すプログラム識別情報が前記ステータス情報として登録されているか否かを確認し、登録されている場合には当該データ書込指令を制限することを特徴とする。

本発明においては、監視対象となるデータに関するステータス情報を登録しておくことで、ネットワークを介したデータの送受信の際、及び例えば外部記憶装置等へのデータの書き込み又は自身の記憶手段からのデータの読み出しの際には、ステータス情報を参照し、送受信しようとしているデータ、又は書き込み・読み出ししようとしているデータが監視対象のデータである場合には、その送信を制限し、又は書き込みを制限することができる。

また、任意のアプリケーションプログラムの指令により外部から受信又は外部に送信される送受信データのプロトコルを解析するプロトコル解析工程を有し、通信監視工程では、前記プロトコル解析工程にて解析された解析結果及び前記ステータス情報を参照して前記送受信データの通信を監視することができ、決められた固定のプロトコルではなく所望のプロトコルを利用してデータの送受信が可能である。

更に、前記通信監視工程では、送信元が前記監視対象サーバであるデータ受信指令が出された場合、前記データ受信指令を出したアプリケーションプログラムのプログラム識別情報と共に当該監視対象サーバを識別するサーバ識別情報を有する付加情報を前記ステータス情報として登録することができ、監視対象サーバからのデータを受信した場合にステータス情報を登録することができる。

更にまた、前記通信監視工程では、前記データ送信指令を出したアプリケーションプログラムの前記プログラム識別情報が前記ステータス情報として登録されている場合であって、当該データ送信指令が当該プログラム識別情報に対応した前記サーバ識別情報が示す監視対象サーバ以外へデータを送信する指令である場合には、当該データ送信指令を無効にすることができ、データ転送を制限することができる。

また、前記ファイル監視工程では、外部記憶装置に対するデータ書込指令が出された場合であって、当該データ書込指令を出したアプリケーションプログラムの前記プログラム識別情報が前記ステータス情報として登録されている場合には、当該データ書き込み指令を無効にすることができ、監視対象となるデータの外部記憶装置に対する書き込みを禁止することができる。

また、前記ファイル監視工程では、前記情報処理装置が有するデータ記憶手段に対するデータ書込指令が出された場合であって、当該データ書込指令を出したアプリケーションプログラムの前記プログラム識別情報が前記ステータス情報として登録されている場合には、当該データと共に当該プログラム識別情報に対応する前記サーバ識別情報を有する付加情報を書き込むことができ、これにより、以降、このファイルにアクセスした場合には付加情報により監視対象データであることを認識することができる。

更に、前記ファイル監視工程では、前記付加情報を有するデータに対するデータ読出指令が出された場合、当該付加情報と共に前記データ読出指令を出したアプリケーションプログラムを示すプログラム識別情報を前記ステータス情報として登録し、当該データを読み出すことができ、これにより、ファイルにアクセスしたアプリケーションプログラムを識別する識別情報をステータス情報として登録しておくことができる。

本発明に係る情報処理装置は、監視対象となるデータを保有する監視対象サーバとネットワークを介してデータの送受信が可能な情報処理装置において、前記監視対象となるデータに関するステータス情報が登録されたステータス情報記憶手段と、任意のアプリケーションプログラムからの送信又は受信指令を受け取ると、前記ステータス情報記憶手段を参照して送受信データの通信を監視する通信監視手段と、任意のアプリケーションプログラムからの書込又は読出指令を受け取ると、前記ステータス情報記憶手段を参照してファイルのアクセスを監視するファイル監視工程とを有し、前記通信監視手段は、データ送信指令が出された場合に当該データ送信指令を出したアプリケーションプログラムを示すプログラム識別情報が前記ステータス情報として登録されているか否かを確認し、登録されている場合に当該データ送信指令を制限し、前記ファイル監視手段では、データ書込指令が出された場合に当該ファイル書込指令を出したアプリケーションプログラムを示すプログラム識別情報が前記ステータス情報として登録されているか否かを確認し、登録されている場合に当該データ書込指令を制限することを特徴とする。

また、本発明に係るプログラムは、上述したデータ監視処理をコンピュータに実行させるものであり、本発明に係る記録媒体は、そのようなプログラムが記録されたコンピュータ読み取り可能なものである。

また、本発明に係る情報処理システムは、監視対象となるデータを保有する監視対象サーバと、前記監視対象サーバとネットワークを介してデータの送受信が可能な上述の情報処理装置とからなるものである。

本発明によれば、外部への持ち出しを禁止されるような機密情報などのデータ又はファイルなどの情報をネットワーク経由で使用する情報処理装置からの漏洩を防止することができる。

本発明の実施の形態におけるデータ不正持ち出し防止方法及びそのためのプログラムを実行するコンピュータシステムを示すブロック図である。 本発明の実施の形態におけるコンピュータシステムのステータス記憶部１１７に記憶されるステータス情報を示す図である。 本発明の実施の形態におけるコンピュータシステムのデータ監視方法のうち、ネットワークを介したデータ監視方法を示すフローチャートである。 本発明の実施の形態におけるコンピュータシステムのファイルの読み出し及び書き込み処理に対する監視方法を示すフローチャートである。

以下、本発明を適用した具体的な実施の形態について、図面を参照しながら詳細に説明する。この実施の形態は、本発明を、サーバからダウンロードしたファイルに対し、ダウンロード元のサーバ情報を付加して書き込むことにより、これ以降のファイルへのアクセス時にはこの付加情報を確認して、機密情報などのデータ漏洩（データ不正持ち出し）に繋がる外部メディアへのファイルのコピー又はネットワークを介したファイルの転送行為を防止した情報処理装置及びデータ監視方法に適用したものである。

図１は、本実施の形態におけるデータ監視方法及びそのためのプログラムを実行するコンピュータシステムを示すブロック図である。図１に示すように、本実施の形態におけるコンピュータシステム１は、プログラム制御により動作する例えばパーソナルコンピュータＰＣ等のユーザコンピュータ１００と、ネットワーク２００と、監視対象のデータである保護対象の機密情報を保有するサーバコンピュータ３００とを有する。ユーザコンピュータ１００は、オペレーティングシステム１１０、任意のアプリケーションプログラム１２０、ハードディスクなどの磁気ディスク装置１３０と、その他マウス及びキーボードなどの入力装置（図示せず）、モニタなどの表示装置（図示せず）、ＣＰＵ（図示せず）などがバスを介して接続されている。更に、このユーザコンピュータ１００は、例えばフレキシブルディスク等の磁気ディスク、ＣＤ−Ｒ等の光ディスクなどの記録媒体が取り外し可能な外部記憶装置１４０とも接続されている。

オペレーティングシステム１１０は、ディスクドライバ１１１、ネットワークドライバ１１２、及びフィルタドライバ１１３を有する。これらの構成及び動作については同業者には既知のものであり、例えばフィルタドライバ１１３については、特開２００３−３０４２６９等にその実装方法が記載されている。

このフィルタドライバ１１３は、階層化されたドライバ群の一部の動作を変更するために追加して挿入されるなどするプログラムであって、フィルタを行う主体であり、本実施の形態においては、監視対象となるデータ又はファイルを監視するために、以下の機能を有する。すなわち、本実施の形態におけるフィルタドライバ１１３は、監視対象となるデータ又はファイルに関するステータス情報を記憶するステータス情報記憶部１１７と、任意のアプリケーションプログラム１２０の指令により外部から受信又は外部に送信される送受信データのプロトコルを解析するプロトコル解析部１１６と、プロトコル解析部１１６の解析結果及びステータス情報記憶部１１７のステータス情報を参照して送受信データの通信を監視する通信監視部１１５と、任意のアプリケーションプログラム１２０の指令により書き込み又は読み出しされるファイルを監視するファイル監視部１１４とを有する。

ステータス情報記憶部１１７は、図２に示すステータス情報を記憶する。ステータス情報は、図２に示すように、例えばプロセスＩＤと、受信元サーバ及びファイル名などからなる付加情報とから構成される。

プロセスＩＤ欄に記録されるプロセスＩＤは、監視対象となるデータ又はファイルにアクセスするよう指示したアプリケーションプログラム１２０のプロセスＩＤを示し、例えば監視対象となるデータを受信した場合には、このデータ受信指令を出したアプリケーションプログラム１２０のプロセスＩＤを登録する。この際、プロトコル解析部１１６により監視対象となるデータの受信元（ダウンロード先）、すなわち監視対象のサーバ３００の例えばアドレスなどをサーバ識別情報とし、そのプロセスＩＤに対応する受信元サーバ欄に付加情報として登録する。また、受信した監視対象のデータを磁気ディスク装置１３０に書き戻す際に、その監視対象のデータを有するファイル名を、これを受信した際に登録したプロセスＩＤに対応するファイル名欄に付加情報として登録する。

このステータス記憶部１１７に記憶されるステータス情報は、これを管理するプログラムを用意し、各アプリケーションプログラム１２０が終了したタイミングでそのアプリケーションプログラムのプロセスＩＤを有するレコードを削除するようなされている。

このステータス情報を参照することにより、通信監視部１１５及びファイル監視部１１４は、監視対象となるそれぞれ通信データ及びファイルを認識し、外部記憶装置１４０に監視対象ファイルが書き込まれたり、外部の装置に監視対象データ又はファイルが転送されたりすることを防止するものである。

プロトコル解析部１１６は、通信監視部１１５から渡される通信パケットのプロトコルを解析し、その結果を通信監視部１１５に返す。このプロトコル解析部１１６では、当該通信が、例えば、World Wide Webでサーバへ接続するときに使用されるクライアント／サーバ・プロトコルであるＨＴＴＰ（ハイパーテキスト転送プロトコル：Hypertext Transfer Protocol）を使用したものであれば、ＨＴＴＰに定義されているメソッドのＧＥＴ又はＰＯＳＴなど、パケット中に現れるコマンドを解析し、サーバコンピュータ３００にデータを送信しようとしているか、あるいは受信しようとしているのかを判断する。更に、ＵＲＬで記述されている送信先から、どのサーバへデータを送信しようとしているかを判断する。また、受信の場合は、ＵＲＬから、そのサーバからのデータを受信しようとしているかを判断する。これらの解析結果は通信監視部１１５に渡される。

通信監視部１１５は、任意のアプリケーションプログラム１２０がネットワーク２００を経由して行う外部との通信を全て監視し、必要によりステータス記憶部１１７の情報を更新する。また、ステータス記憶部１１７の内容を参照し、ネットワーク２００を経由して行われる外部との通信を許可又は拒否する。

具体的には、この通信監視部１１５は、データを受信する場合には、プロトコル解析部１１６から解析結果を受け取り、受信データがどのサーバからのデータであるかを認識し、受信元サーバが監視対象であるサーバ３００である場合には、その受信データが監視対象データであると判断し、そのサーバ３００のアドレスを、受信指令を出したアプリケーションプログラムのプロセスＩＤと共にステータス記憶部１１７に登録する。このことにより、以降、当該監視対象データを扱う際に、そのステータス情報を参照することで、その監視対象データが、どのアプリケーション１２０の要求で、どの監視対象サーバ３００から受信されたかを認識することができる。なお、監視対象サーバ３００からのデータを全て監視対象データとするのではなく、監視対象サーバからの特定のデータのみを監視対象データとして認識すべく、監視対象データにフラグ等の付加情報を付し、プロトコル解析部１１６又は通信監視部１１５にてそれを認識するようにしてもよい。

こうして通信監視部１１５は、監視対象サーバ３００から監視対象データを受信した場合に、ステータス情報としてプロセスＩＤ及び受信元サーバのアドレスを登録した後、受信データをネットワークドライバ１１２から受け取り、オペレーティングシステム１１０を介して、アプリケーションプログラム１２０へ渡す処理を行う。

また、データを送信する場合においても、まず送信するデータのプロトコル解析部１１６による解析結果を受け取り、またステータス記憶部１１７のステータス情報を参照することで、送信データが、監視対象データであるか、すなわち、ステータス情報に、当該送信データの送信指令を出したアプリケーションプログラム１２０のプロセスＩＤが登録されているか否かを認識する。監視対象データである場合には、そのステータス情報から送信元アドレスを取得し、プロトコル解析結果から得られる送信先アドレスと一致するか否かを確認して、一致しない場合、すなわち監視対象データの送信元である監視対象サーバ以外への送信である場合には、監視対象データの持ち出しであると判断してその送信指令を無効にする処理を行う。

こうして、通信監視部１１５により、全ての送受信データが管理され、いずれのアプリケーションプログラム１２０が機密情報を監視対象のサーバコンピュータ３００から受け取ったかを認識し、監視対象データが当該監視対象データの送信元以外へ送信されることを防止すると共に、監視対象データ以外のデータの送受信は通常通り行うことができるよう、送受信データを管理することができる。

ファイル監視部１１４は、任意のアプリケーションプログラム１２０が磁気ディスク装置１３０、及び取り外し可能な記録媒体にデータを書き込み可能な外部記憶装置１４０へアクセスするデータを全て監視し、必要に応じてステータス記憶部１１７の情報を更新する。また、ステータス記憶部１１７のステータス情報を参照し、磁気ディスク装置１３０及び外部記憶装置１４０への書き込みを許可又は拒否する。

具体的には、このファイル監視部１１４は、ファイルの書き込み指令があった場合には、ステータス記憶部１１７のステータス情報を参照し、そのファイルの書き込み指令を出したアプリケーションプログラム１２０のプロセスＩＤがステータス情報として登録されているか否かに基づき書き込み用ファイルが、監視対象ファイルであるか否かを確認する。ここで、プロセスＩＤ及びその受信元アドレスが登録されているものであって、ファイル名が未登録の場合は登録しておく。そして、書き込み先が外部記憶装置１４０である場合には、監視対象ファイルが外部へ持ち出しされる可能性があるとして当該書き込み指令を無効にし、また、ハードディスクなどの磁気ディスク装置１３０への書き込み指令である場合には、書き込みファイルに、ステータス情報に登録してある送信元アドレス及びファイル名を付加情報として付し、ファイルと共に書き込みを実行させる。

また、このファイル監視部１１４は、ファイルの読み出し指令があった場合には、そのファイルに付加情報が付されているか否かを確認し、付加情報が付加されている場合には、その受信元サーバのアドレス及びファイル名を、読み出し指令を出したアプリケーションプログラム１２０のプロセスＩＤと共にステータス記憶部１１７に登録する。そして、付加情報を除いたデータを通常通り読み込みアプリケーションプログラム１２０に渡す処理を行う。また、付加情報が付されていないデータは監視対象ファイルではないと判断でき、通常通り読み出し処理を実行させる。

こうしてファイル監視部１１４により、全ての書き込み又は読み出しファイルが監視され、ステータス情報及び付加情報により、ファイルが監視対象であるか否かを認識し、監視対象ファイルである場合には、それが外部に持ち出しされないよう適切な処理を実行することができる。

このように、管理対象データが受信されると、ダウンロード元のサーバ情報などと共にステータス情報として登録し、また、管理対象データを記録する場合には、そのファイルに監視対象データのファイルであることを示す付加情報を付して書き込むことにより、管理対象となるファイル又はデータの外部記憶装置１４０への書き込みや、ネットワーク２００を介した外部との通信を遮断することができる。

次に、コンピュータシステム１の動作について説明する。上述したように、フィルタドライバ１１３における通信監視部１１５が、アプリケーションプログラム１２０がサーバコンピュータ３００からダウンロードしようとするデータを常時監視する。また、アプリケーションプログラム１２０が監視対象データのファイルへの書き込みをおこなった場合、このファイルが監視対象ファイルであることが認識可能なように、そのサーバコンピュータ３００からダウンロードしたデータであるかを表す付加情報を書き込む。そして、この付加情報が付いた監視対象ファイルにアクセスしたアプリケーションプログラム１２０があると、このアプリケーションプログラム１２０がネットワーク２００を介したファイル転送や別のファイルへの書き込みをおこなうかをファイル監視部１１４及び通信監視部１１５にて監視する。アプリケーションプログラム１２０がファイル転送を行おうとしている場合、接続先がダウンロード元のサーバコンピュータ３００であるか否かをチェックし、ダウンロード元のサーバコンピュータ３００と異なる場合は通信を行わずに、エラーをアプリケーションプログラム１２０に返す。また、ファイルの書き込みを行おうとしている場合、書き込む先が外部記憶装置１４０などの許可されていない装置であった場合、書き込みをおこなわずにエラーをアプリケーションプログラム１２０に返すことにより、機密情報などのデータの持ち出しを防止することができる。なお、ファイルの書き込みを禁止するのは、外部記憶装置１４０に限らず、ユーザコンピュータ１００において書き込み可能な専用領域などを設け、これ以外領域、又は外部機器からアクセス容易な領域などへの書き込みも禁止するようにしてもよい。

次に、図１に示すコンピュータシステムにおける動作について更に詳細に説明する。図１のシステム１は、保護対象の機密情報がサーバコンピュータ３００内に蓄えられており、この機密情報をユーザコンピュータ１００上のアプリケーションプログラム１２０からアクセスして作業をする際、サーバコンピュータ３００からダウンロードしたデータが、ユーザコンピュータ１００の外部に故意又は過失により漏洩することを防止することを目的としたシステムである。漏洩するルートとしては、例えば、外部記憶装置１４０へのダウンロードデータの書き込み、ネットワーク２００を介した社外・部外へのメール等によるファイルの転送が想定される。なお、サーバコンピュータ３００が機密情報を有する監視対象のサーバであることは、通信監視部１１５への管理者等により、予め設定されているものとする。

まず、ネットワーク２００を介した送受信データの監視方法について説明する。図３は、図１に示すコンピュータシステム１のデータ監視方法のうち、ネットワーク２００を介したデータ監視方法を示すフローチャートである。図３に示すように、まず、通信監視部１１５は、ユーザコンピュータ１００の起動後、任意のアプリケーションプログラム１２０からオペレーティングシステム１１０を介して命令される外部とのデータの送受信要求が送られるまで待機する（ステップＳ１）。通信要求を受けた場合、ネットワークドライバ１１２を経由して取り込まれたデータ、又はネットワークドライバ１１２を経由して外部へ送信要求されているデータをプロトコル解析部１１６に渡し、通信プロトコルの解析を行う（ステップＳ２）。

プロトコル解析部１１６では、上述したように、プロトコルがＨＴＴＰであれば、ＨＴＴＰに定義されているメソッドのＧＥＴ又はＰＯＳＴなど、パケット中に現れるコマンドを解析し、サーバコンピュータ３００にデータを送信しようとしているか、又は受信しようとしているのかを判断し、ＵＲＬで記述されている送受信先からどのサーバのどのデータを受信又は送信しようとしているかを通信監視部１１５に解析結果として出力する。このプロトコル解析部１１６の結果に基づき、通信監視部１１５は処理を振り分ける。

ステップＳ２における解析結果がデータの受信の開始であれば、ステップＳ５に進み、受信データのダウンロード元が監視対象のサーバコンピュータ３００であるか否かを判断する（ステップＳ５）。ここで、監視対象のサーバコンピュータ３００であった場合、ステータス記憶部１１７にあるステータス情報を更新する（ステップＳ６）。すなわち、受信指令を出したアプリケーションプログラム１２０のプロセスＩＤと、解析結果として受け取ったサーバコンピュータ３００のアドレス情報をステータス情報として登録する。

そして、ステップＳ６にて、ステータス情報にプロセスＩＤ及び受信元サーバを書き込んだ後、通信監視部１１５は受信データをネットワークドライバ１１２から引き上げ、データを、オペレーティングシステム１１０を介して、アプリケーションプログラム１２０へ渡す（ステップＳ７）。なお、ステップＳ５にて監視対象サーバコンピュータ３００ではないと判断された場合は、ステップＳ７の処理に進み、そのままデータを受信する。

また、ステップＳ３にてデータ受信開始ではないと判断されたデータは、ステップＳ４にてデータの送信の開始であるか否かを判断する。ここで、通信要求がデータの送信指令であった場合、指令を出したアプリケーションプログラム１２０のプロセスＩＤがステータス記憶部１１７のステータス情報として登録されているかを調べる（ステップＳ８）。ステータス記憶部１１７に登録されていた場合（ステップＳ８：Ｙｅｓ）、送信データが監視対象のデータであることを示し、今回の送信先がステータス記憶部１１７の該当レコードのステータス情報として登録されてある受信元サーバと同一であるか否かを判定する（ステップＳ１０）。送信先がステータス記憶部１１７に登録された受信元サーバと同一であった場合には、現在送信しようとしている監視対象の送信データを元々ダウンロードした送信元であるため、情報の漏洩には当たらないと判断でき、ステップＳ９の処理に進んでサーバコンピュータ３００に対してデータを送信する。

一方、ステップＳ１０において、送信先アドレスが、送信データを元々受信した監視対象データ（受信元サーバ）のアドレスとは異なると判断された場合（ステップＳ１０：Ｎｏ）には、ステップＳ１１の処理に進み、当該行為は情報漏洩行為にあたるため、送信ができない旨をエラー通知としてアプリケーションプログラム１２０に返す（ステップＳ１１）。

なお、ステータス情報記憶部１１７に、アプリケーションプログラムのプロセスＩＤが登録されてない場合（ステップＳＳ８：Ｎｏ）には、送信データは監視対象のデータではないと判断することができ、ステップＳ９の処理に進んでサーバコンピュータ３００に対してデータを送信する。

また、ステップＳ３において、通信監視部１１５が受けた通信要求が、ステップＳ３にてデータ受信ではないとされ、かつステップＳ４にてデータ送信ではないとされた場合は、ステップＳ２における解析結果がデータの送受信と無関係な命令であるか、又は今回の要求単独では判定不能であった場合などであり、このような場合は、ステップＳ１に戻り、次の通信要求を待つ。なお、データの送信か受信かの通信要求の判定は、いずれの順序で行ってもよく、並行して行ってもよい。

次に、ファイルの読み出し及び書き込み処理に対する監視方法について説明する。図４は、ファイルの読み出し及び書き込み処理に対する監視方法を示すフローチャートである。図４に示すように、ファイル監視部１１４はユーザコンピュータ１００の起動後、任意のアプリケーションプログラム１２０からオペレーティングシステム１１０を介して命令される磁気ディスク装置１３０又は外部記憶装置１４０へのファイルアクセス要求を待つ（ステップＳ２１）。アクセス要求があった場合はそのアクセス種別によって処理を振り分ける。

すなわち、ファイルのアクセス要求の種別が書き込みの命令であるか否かを判断し（ステップＳ２２）、書き込み命令である場合は、ステップＳ２７の処理に進み、書き込み指令を出したアプリケーションプログラム１２０のプロセスＩＤがステータス記憶部１１７のステータス情報として登録されているか否かを調べる。そして、ステータス情報として登録されている場合（ステップＳ２７：Ｙｅｓ）には、ステップ２８の処理に進み、ファイルの書き込み先が外部記憶装置１４０であるか否かを確認する。そして、ファイルの書き込み先が外部記憶装置１４０であった場合（ステップＳ２８：Ｙｅｓ）には、当該書き込み行為は情報漏洩行為にあたると判断し、アプリケーションプログラム１２０に書き込み不能である旨を示すエラーを返す（ステップ３０）。

一方、書き込み先が外部記憶装置１４０ではなく、磁気ディスク装置１３０であった場合はステップＳ２９の処理に進む。このステップＳ２９においては、ステータス記憶部１１７の該当レコードのステータス情報における受信元サーバ欄のアドレス情報を取り出し、書き込みの指示を受けたファイルの先頭に付加情報として付加する（ステップＳ２９）。ここで、書き込み対象となっているファイルのファイル名が該当レコードのステータス情報のファイル名の欄に登録されていない場合には、書き込み対象となっているファイルのファイル名を該当レコードに追加することでステータス情報を更新しておく。

このステップ２９にて監視対象ファイルに付加情報を付した後、ステップＳ３１の処理に進み、付加情報が付されたファイルを書き込む。なお、ステップＳ２７で書き込み要求を出したアプリケーションプログラムのプロセスＩＤがステータス情報として登録されていない場合には、書き込みファイルは監視対象ファイルではないため、ステップＳ３１に進み、通常通り書き込み処理を実行させればよい。

また、ステップＳ２２にて書き込み命令ではないと判断されたアクセス種別をステップＳ２３にて読み出し命令であるか否かを判断する。このステップＳ２３にてアクセス種別が読み込み命令であると判断された場合には、読み込むファイルの先頭に付加情報が書かれているか確認する（ステップＳ２４）。付加情報が書かれていた場合は、読み出し対象となっているファイルは監視対象ファイルである。この場合には、ステップＳ２５に進み、読み出し対象のファイル名、及び付加情報として付加されている受信元サーバのアドレスを、読み出し指令を出したアプリケーションプログラム１２０のプロセスＩＤと共にステータス記憶部１１７のステータス情報として登録する（ステップＳ２５）。その後、ステップＳ２６の処理に進み、付加情報を除いたデータを通常通り読み込みアプリケーションプログラム１２０に渡す。なお、ファイルに付加情報が付加されていない場合（ステップＳ２４：Ｎｏ）は、読み出ししようとしているファイルは監視対象ファイルではないため、通常通り読み出し処理を実行すればよい。

また、アクセス種別が書き込み命令でもなく（ステップＳ２２：Ｎｏ）、読み出し命令でもない場合（ステップＳ２３：Ｎｏ）、すなわち、アクセス種別がファイルの読み書き以外であった場合にはステップＳ２１の処理に戻り、次のアクセス要求がくるまで待機する。なお、読み出しか書き込みかのアクセス種別の判定は、いずれの順序で行ってもよく、並行して行ってもよい。

更に、ステップＳ２９において、単にファイルの例えば先頭などにサーバ情報を付加するだけでなく、ファイル本体を暗号化した上で付加情報を付加するようにしてもよい。このようにすることによって、付加部分を取り除いてファイルを漏洩させるといった悪意のある行為を防止することができる。

本実施の形態においては、サーバコンピュータ３００から取得した情報を通信監視部１１５及びファイル監視部１１４で監視することにより、監視対象のサーバコンピュータ３００からダウンロードした監視対象データが、その監視対象データの作業の過程で外部記憶装置１４０に記録されたり、ネットワーク２００を介して、サーバコンピュータ３００以外に送られたりすることを防止することができる。

すなわち、プロトコル解析部１１５により通信内容を解析した解析結果に基づき通信監視部１１５が外部との通信・ダウンロードした情報を全て管理し、更にその情報に付加情報を付けて保存し、以降付加情報のついたファイルに対しての外部記憶装置１４０への書き込みや、ネットワーク２００を介した外部との通信を遮断できるため、専用のサーバ、プロキシに依存せず、かつサーバの種類によらずサーバコンピュータ３００上の機密情報がユーザコンピュータ１００から故意又は過失により外部に漏洩することを防御できる。

また、フィルタドライバ１１３におけるファイル監視部１１４、通信監視部１１５及びプロトコル解析部１１６は、一般のプロトコルの知識のみで実現することができ、アプリケーションプログラム１２０のファイルアクセス及びネットワークアクセスの実装方法に依存した処理を使用していないため、専用のクライアントアプリケーションに依存せず、かつアプリケーションプログラムに依存せず、任意のアプリケーションプログラム１２０に対して情報漏洩を防止することができる。

更に、ステータス記憶部１１７におけるステータス情報により、各アプリケーションプログラム１２０が機密情報をサーバコンピュータ３００又は磁気ディスク装置１３０から読み込んだか否かを管理しているため、監視対象のサーバコンピュータ３００からダウンロードしたファイル以外には全く影響を与えないため、その他のファイルに対しては任意の通信や外部記憶装置１４０へのファイルコピー等が可能なことである。

なお、本発明は上述した実施の形態のみに限定されるものではなく、本発明の要旨を逸脱しない範囲において種々の変更が可能であることは勿論である。例えば、図１に示す第１の実施の形態においては、監視対象のサーバコンピュータ３００上の全てのデータを監視対象としていたが、特定のフォルダやサーバグループなどを１つの監視対象として指定しておくことができる。また、監視対象は１つである必要はなく、複数のサーバ、フォルダ等を対象とすることができる。これは、ステータス情報やファイルの付加情報に、受信元として監視対象を識別可能なフォルダ名、ドメイン名等を追加して使用することで実現することができる。また、監視対象が複数存在するような場合、監視対象をまたがった情報のやり取りを禁止することができる。

また、サーバコンピュータ３００上の監視対象情報をあらかじめ暗号化しておいてもよい。この場合、ファイル監視部１１４及び通信監視部１１５が共通の暗号ライブラリを持ち、受信時及び付加情報のついたファイルの読み込み時に暗号化情報の複合化をして、送信時及び書き込み時に暗号化することで実現することができる。これにより、通信の傍受や、磁気ディスク装置１３０を別の装置につないで情報を盗み取るような漏洩事象を防止することができる。更に、サーバコンピュータ３００上の監視対象情報をあらかじめ暗号化しておく代わりに、ダウンロード要求の都度、サーバコンピュータ３００が暗号化して送信するようにしてもよい。この場合であっても、上述と同様の効果を奏する。

また、上述の情報漏洩防止のためのデータ監視処理の一部又は全部の処理を、ＣＰＵ（Central Processing Unit）にコンピュータプログラムを実行させることにより実現する場合、コンピュータプログラムは、記録媒体に記録して提供することも可能であり、また、インターネットその他の伝送媒体を介して伝送することにより提供することも可能である。

本発明によれば、ネットワーク経由でファイルやデータベースを使用する、一般のコンピュータからの機密情報漏洩を防止したり、情報持ち出しを防止するデータ監視方法、このデータ監視処理を実行するコンピュータプログラム、及びこれを記録した記録媒体、並びにデータ監視機能を有する情報処理装置、及びこの情報処理装置と監視対象データを保有する監視対象サーバとからなる情報処理システムを提供することができる。

１１７ ステータス情報記憶部 １２０ アプリケーションプログラム １３０ 磁気ディスク装置 １４０ 外部記憶装置 ２００ ネットワーク ３００ サーバコンピュータ

Claims (11)

1. 監視対象となるデータを保有する監視対象サーバとネットワークを介してデータの送受信が可能な情報処理装置におけるデータ監視方法において、
   任意のアプリケーションプログラムからの送信又は受信指令が出されると、前記監視対象となるデータに関するステータス情報が登録されたステータス情報記憶手段を参照して前記送受信データの通信を監視する通信監視工程と、
   任意のアプリケーションプログラムからの書込又は読出指令が出されると、前記ステータス情報記憶手段を参照して書き込み又は読み出しデータを有するファイルへのアクセスを監視するファイル監視工程とを有し、
   前記ファイル監視工程では、データ書込指令が出された場合、当該データ書込指令を出したアプリケーションプログラムを示すプログラム識別情報が前記ステータス情報として登録されているか否かを確認し、登録されている場合には当該データ書込指令を制限し、前記情報処理装置が有するデータ記憶手段に対するデータ書込指令が出された場合であって、当該データ書込指令を出したアプリケーションプログラムの前記プログラム識別情報が前記ステータス情報として登録されている場合には、当該データと共に当該プログラム識別情報に対応する前記サーバ識別情報を有する付加情報を書き込む
   ことを特徴とするデータ監視方法。
2. 前記通信監視工程では、データ送信指令が出された場合、当該データ送信指令を出したアプリケーションプログラムを示すプログラム識別情報が前記ステータス情報として登録されているか否かを確認し、登録されている場合に当該データ送信指令を制限する
   ことを特徴とする請求項１記載のデータ監視方法。
3. 任意のアプリケーションプログラムの指令により外部から受信又は外部に送信される送受信データのプロトコルを解析するプロトコル解析工程を有し、
   通信監視工程では、前記プロトコル解析工程にて解析された解析結果及び前記ステータス情報を参照して前記送受信データの通信を監視する
   ことを特徴とする請求項２記載のデータ監視方法。
4. 前記通信監視工程では、送信元が前記監視対象サーバであるデータ受信指令が出された場合、前記データ受信指令を出したアプリケーションプログラムのプログラム識別情報と共に当該監視対象サーバを識別するサーバ識別情報を有する付加情報を前記ステータス情報として登録する
   ことを特徴とする請求項２記載のデータ監視方法。
5. 前記通信監視工程では、前記データ送信指令を出したアプリケーションプログラムの前記プログラム識別情報が前記ステータス情報として登録されている場合であって、当該データ送信指令が当該プログラム識別情報に対応した前記サーバ識別情報が示す監視対象サーバ以外へデータを送信する指令である場合には、当該データ送信指令を無効にする
   ことを特徴とする請求項４記載のデータ監視方法。
6. 前記ファイル監視工程では、外部記憶装置に対するデータ書込指令が出された場合であって、当該データ書込指令を出したアプリケーションプログラムの前記プログラム識別情報が前記ステータス情報として登録されている場合には、当該データ書き込み指令を無効にする
   ことを特徴とする請求項１記載のデータ監視方法。
7. 前記ファイル監視工程では、前記付加情報を有するデータに対するデータ読出指令が出された場合、当該付加情報と共に前記データ読出指令を出したアプリケーションプログラムを示すプログラム識別情報を前記ステータス情報として登録し、当該データを読み出す
   ことを特徴とする請求項１記載のデータ監視方法。
8. 監視対象となるデータを保有する監視対象サーバとネットワークを介してデータの送受信が可能な情報処理装置において、
   前記監視対象となるデータに関するステータス情報が登録されたステータス情報記憶手段と、
   任意のアプリケーションプログラムからの送信又は受信指令を受け取ると、前記ステータス情報記憶手段を参照して送受信データの通信を監視する通信監視手段と、
   任意のアプリケーションプログラムからの書込又は読出指令を受け取ると、前記ステータス情報記憶手段を参照してファイルのアクセスを監視するファイル監視工程とを有し、
   前記ファイル監視手段では、データ書込指令が出された場合に当該ファイル書込指令を出したアプリケーションプログラムを示すプログラム識別情報が前記ステータス情報として登録されているか否かを確認し、登録されている場合に当該データ書込指令を制限し、前記情報処理装置が有するデータ記憶手段に対するデータ書込指令が出された場合であって、当該データ書込指令を出したアプリケーションプログラムの前記プログラム識別情報が前記ステータス情報として登録されている場合には、当該データと共に当該プログラム識別情報に対応する前記サーバ識別情報を有する付加情報を書き込む
   ことを特徴とする情報処理装置。
9. 監視対象となるデータを保有する監視対象サーバとネットワークを介してデータの送受信が可能な情報処理装置におけるデータ監視処理をコンピュータに実行させるためのプログラムであって、
   任意のアプリケーションプログラムからの送信又は受信指令が出されると、前記監視対象データに関するステータス情報が登録されたステータス情報記憶手段を参照して前記送受信データの通信を監視する通信監視工程と、
   任意のアプリケーションプログラムからの書込又は読出指令が出されると、前記ステータス情報記憶手段を参照して書き込み又は読み出しデータを有するファイルへのアクセスを監視するファイル監視工程とを有し、
   前記ファイル監視工程では、データ書込指令が出された場合、当該データ書込指令を出したアプリケーションプログラムを示すプログラム識別情報が前記ステータス情報として登録されているか否かを確認し、登録されている場合には当該データ書込指令を制限し、前記情報処理装置が有するデータ記憶手段に対するデータ書込指令が出された場合であって、当該データ書込指令を出したアプリケーションプログラムの前記プログラム識別情報が前記ステータス情報として登録されている場合には、当該データと共に当該プログラム識別情報に対応する前記サーバ識別情報を有する付加情報を書き込む
   ことを特徴とするプログラム。
10. 監視対象となるデータを保有する監視対象サーバとネットワークを介してデータの送受信が可能な情報処理装置におけるデータ監視処理を実行させるためのプログラムが記録されたコンピュータ読み取り可能な記録媒体であって、
    任意のアプリケーションプログラムからの送信又は受信指令が出されると、前記監視対象データに関するステータス情報が登録されたステータス情報記憶手段を参照して前記送受信データの通信を監視する通信監視工程と、
    任意のアプリケーションプログラムからの書込又は読出指令が出されると、前記ステータス情報記憶手段を参照して書き込み又は読み出しデータを有するファイルへのアクセスを監視するファイル監視工程とを有し、
    前記ファイル監視工程では、データ書込指令が出された場合、当該データ書込指令を出したアプリケーションプログラムを示すプログラム識別情報が前記ステータス情報として登録されているか否かを確認し、登録されている場合には当該データ書込指令を制限し、前記情報処理装置が有するデータ記憶手段に対するデータ書込指令が出された場合であって、当該データ書込指令を出したアプリケーションプログラムの前記プログラム識別情報が前記ステータス情報として登録されている場合には、当該データと共に当該プログラム識別情報に対応する前記サーバ識別情報を有する付加情報を書き込む
    ことを特徴とするプログラムが記憶された記録媒体。
11. 監視対象となるデータを保有する監視対象サーバと、前記監視対象サーバとネットワークを介してデータの送受信が可能な情報処理装置とを有する情報処理システムにおいて、
    前記情報処理装置は、
    前記監視対象となるデータに関するステータス情報が登録されたステータス情報記憶手段と、
    任意のアプリケーションプログラムからの送信又は受信指令を受け取ると、前記ステータス情報記憶手段を参照して送受信データの通信を監視する通信監視手段と、
    任意のアプリケーションプログラムからの書込又は読出指令を受け取ると、前記ステータス情報記憶手段を参照してファイルのアクセスを監視するファイル監視工程とを有し、
    前記ファイル監視手段では、データ書込指令が出された場合に当該ファイル書込指令を出したアプリケーションプログラムを示すプログラム識別情報が前記ステータス情報として登録されているか否かを確認し、登録されている場合に当該データ書込指令を制限し、前記情報処理装置が有するデータ記憶手段に対するデータ書込指令が出された場合であって、当該データ書込指令を出したアプリケーションプログラムの前記プログラム識別情報が前記ステータス情報として登録されている場合には、当該データと共に当該プログラム識別情報に対応する前記サーバ識別情報を有する付加情報を書き込む
    ことを特徴とする情報処理システム。

Images