JP2009176131A - クライアント端末監視システム - Google Patents

Abstract

【課題】
クライアント端末での操作状況を監視するクライアント端末監視システムを提供することを目的とする。
【解決手段】
クライアント端末の操作ログ情報を記憶する操作ログ情報記憶部と、操作ログ情報記憶部に記憶する操作ログ情報を用いて、クライアント端末で業務外ファイルが使用されていないかを判定する判定部と、を有しており、判定部は、操作ログ情報記憶部に記憶する操作ログ情報を用いて、現在、クライアント端末で起動しているファイルの各ウィンドウの座標情報を取得し、取得した各ウィンドウの座標情報に基づいて、各ウィンドウの重なり割合及び／または各ウィンドウの面積の比率を算出し、重なり割合及び／または面積の比率が所定の条件を充足した場合に、業務外ファイルが使用されている可能性があると判定する、クライアント端末監視システムである。
【選択図】 図１

Description

本発明はクライアント端末での操作状況を監視するクライアント端末監視システムに関する。更に詳細には、クライアント端末の操作画面情報における各ウィンドウの表示状況により、業務外の作業を行っているかを判定するクライアント端末監視システムに関する。

企業などの組織においては多数のクライアント端末が使用されている。しかしそのクライアント端末において、過失により不適切な操作が行われたり、あるいは悪意のユーザが故意に不適切な操作を行うことによって、情報漏洩などの危険性が生じる。また業務時間中に、業務とは関係のない操作を行うことで、業務効率の低下を招く場合もある。

そこで近年では各クライアント端末においてどのような操作を行っているのか、を所定の管理者が監視している。このようなクライアント端末を監視するシステムの一例を下記特許文献１乃至特許文献６に示す。

これらの各特許文献に記載の発明では、クライアント端末の表示装置で表示している画面情報を記録し、それを管理者が確認することによって確認を行っている。例えば管理者のコンピュータ端末（管理者端末）において、１５台のクライアント端末の表示装置で表示している画面を表示する。そしてその中から更に一つのクライアント端末を選択することによって、管理者はその画面を拡大して確認することもできる。

これらのシステムを用いることによって各クライアント端末の操作状況の監視を実現することはできるが、監視対象のクライアント端末が増えると、管理者による監視も大変になる。特に管理者は監視作業に専念しているのではなく、ほかの日常業務を行いながら監視作業を行っていることが多いので、クライアント端末が増えた場合には監視漏れが生じる可能性も高い。

特開２００６−１４６３１１号公報 特開２００５−２０４１８３号公報 特開２００５−１４９２６７号公報 特開２００４−５２３３号公報 特開２００３−４４３２０号公報 特開２００３−６０６２号公報 特開平９−８１１０７号公報

またクライアント端末のユーザはたとえば業務時間中にゲームなど、業務外のアプリケーションプログラムなどを実行することもある。その場合には管理者の監視の目を避けながらそのアプリケーションプログラムを実行することが多いので、業務外のアプリケーションプログラムのウィンドウと、業務に用いているアプリケーションプログラム（たとえばワープロプログラム、表計算プログラムなど）のウィンドウを同時に表示装置で表示し、業務に用いるアプリケーションプログラムのウィンドウの背面に業務外のアプリケーションプログラムのウィンドウを表示させたり、あるいは業務外のアプリケーションプログラムのウィンドウを表示装置の端に表示させることで、管理者の目につかないように対処することが多い。特に操作画面情報が記録されていることを知っている場合にはその傾向が高まる。

そのため操作画面情報に依存せずに、操作ログ情報を用いて、クライアント端末でどのようなアプリケーションプログラムが起動しているのかを判定するシステムもある。たとえば操作ログ情報に業務外のアプリケーションプログラムのアプリケーション名があった場合には、業務外のアプリケーションプログラムを起動させているとして、警告が行われる。しかしこのシステムの場合、アプリケーション名が変更されてしまうと、操作ログ情報だけに基づいて上記状態を判定することが難しくなる。

このようなことからも操作画面情報による判定は重要である。そのため、たとえば特許文献７に記載のように、ウィンドウが重なっている場合に、見えないウィンドウの表示位置を変更することによって、ウィンドウの内容を確認できるようにするシステムも存在する。

しかしこのシステムの場合には、ウィンドウの切り替えが必要となるので、ウィンドウの前後関係（レイヤの階層など）ごとの画面データ、つまりクライアント端末で表示している画面データと同一の画面データを管理者が利用するコンピュータ端末（管理者端末）で表示させなければならない。しかし一般的なクライアント端末の操作画面の監視システムでは、クライアント端末の表示装置で表示している操作画面情報をキャプチャして、画像形式で送信しているに過ぎない。

そのため監視のための操作画面情報は一枚の画像データとして認識されているので、そもそもウィンドウの切り替えなどの処理が行えない。つまり特許文献７に代表されるようなウィンドウの切り替えを行うシステムを、クライアント端末の監視のシステムに用いることが出来ない。

そこでクライアント端末の操作画面情報が画像形式のデータであったとしても、また、仮にアプリケーションプログラム名が変更されていたとしても、クライアント端末のユーザが業務外のアプリケーションプログラムを使用している可能性があるかを判定し、その可能性がある場合には管理者に通知することで、管理者が当該クライアント端末をより注意深く監視せしめる、管理者の監視支援を行えるシステムが望まれている。

本発明者は上記課題に鑑み、後述するクライアント端末監視システムを発明した。

第１の発明は、クライアント端末で業務外ファイルが使用されていないかを監視するクライアント端末監視システムであって、前記クライアント端末監視システムは、クライアント端末の操作ログ情報を記憶する操作ログ情報記憶部と、前記操作ログ情報記憶部に記憶する操作ログ情報を用いて、前記クライアント端末で業務外ファイルが使用されていないかを判定する判定部と、を有しており、前記判定部は、現在、クライアント端末で起動しているファイルの各ウィンドウの座標情報を用いて、前記クライアント端末で業務外ファイルが使用されていないかを判定する、クライアント端末監視システムである。

本発明のように構成することで、クライアント端末において、仮に業務外ファイルをほかのウィンドウによって見えなくするようにして業務外ファイルを使用していたとしても、業務外ファイルが使用されている可能性が高いとして判定することが出来る。また操作ログ情報のファイル名などで業務外ファイルが使用されているかどうかを判定しているのではないので、業務外ファイルのファイル名などが変更されていたとしても、対応することが可能となる。

上述の発明において、業務外ファイルが使用されているかの判定については、以下のように構成することが出来る。すなわち、前記判定部は、前記操作ログ情報記憶部に記憶する操作ログ情報を用いて、現在、クライアント端末で起動しているファイルの各ウィンドウの座標情報を取得し、前記取得した各ウィンドウの座標情報に基づいて、前記クライアント端末で業務外ファイルが使用されているかを判定する、クライアント端末監視システムのように構成することが出来る。

また業務外ファイルが使用されているかの判定については、以下のように構成しても良い。すなわち、前記判定部は、更に、前記操作ログ情報記憶部に記憶する操作ログ情報を用いて、現在、クライアント端末で起動しているファイルの各ウィンドウの座標情報を取得し、前記取得した各ウィンドウの座標情報に基づいて、各ウィンドウの重なり量及び／または各ウィンドウの面積を算出し、前記重なり量及び／または面積を用いて、所定の条件と比較することにより、業務外ファイルが使用されているかを判定する、クライアント端末監視システムのように構成しても良い。

操作ログ情報にウィンドウの座標情報を加えなくても、本発明のようにウィンドウマネージャーからそれらを取得することで対応することが出来る。すなわち、前記判定部は、前記操作ログ情報記憶部に記憶する操作ログ情報を用いて、現在、クライアント端末で起動しているファイルを判定し、前記クライアント端末のウィンドウマネージャーから、前記ファイルのウィンドウの矩形情報、前後関係情報を取得することで、各ウィンドウの重なり量及び／または各ウィンドウの面積を算出し、前記重なり量及び／または面積を用いて、所定の条件と比較することにより、業務外ファイルが使用されているかを判定する、クライアント端末監視システムのように構成することも出来る。

本発明のように構成しても上述と同様の技術的効果を得ることが出来る。

更に操作ログ情報と操作画面情報の双方を用いて、以下のように構成してもよい。すなわち、クライアント端末で業務外ファイルが使用されていないかを監視するクライアント端末監視システムであって、前記クライアント端末監視システムは、クライアント端末の操作ログ情報を記憶する操作ログ情報記憶部と、クライアント端末の操作画面情報を記憶する操作画面情報記憶部と、前記操作ログ情報記憶部に記憶する操作ログ情報と、前記操作画面情報記憶部に記憶する操作画面情報とを用いて、前記クライアント端末で業務外ファイルが使用されている可能性があるかを判定する判定部と、を有するクライアント端末監視システムのように構成することも出来る。

クライアント端末で表示している操作画面情報を用いることによって、より的確に判定することが可能となる。

上述の発明は、本発明のプログラムをコンピュータ端末に読み込ませることで実行できる。クライアント端末の操作ログ情報を記憶装置に記憶するコンピュータ端末を、前記記憶装置に記憶する操作ログ情報を用いて、前記クライアント端末で業務外ファイルが使用されていないかを判定する判定部、として機能させるクライアント端末監視プログラムであって、前記判定部は、現在、クライアント端末で起動しているファイルの各ウィンドウの座標情報を用いて、前記クライアント端末で業務外ファイルが使用されていないかを判定する、クライアント端末監視プログラムである。

更に操作ログ情報に加えて操作画面情報を用いる場合には、本発明のように構成してもよい。クライアント端末の操作ログ情報を操作ログ情報記憶部として、クライアント端末の操作画面情報を操作画面情報記憶部として、記憶装置に備えるコンピュータ端末を、前記操作ログ情報記憶部に記憶する操作ログ情報と、前記操作画面情報記憶部に記憶する操作画面情報とを用いて、前記クライアント端末で業務外ファイルが使用されている可能性があるかを判定する判定部、として機能させるクライアント端末監視プログラムのように構成しても良い。

本発明のクライアント端末監視システムにより、クライアント端末の操作画面情報が画像形式のデータであったとしても、クライアント端末のユーザが業務外のアプリケーションプログラムを使用していないかを判定可能とし、それを管理者に通知することが出来る。これによって管理者によるユーザの操作画面情報の監視がおろそかになる場合であっても、管理者の監視作業の支援を行うことが可能となり、業務時間中の業務外の行為を発見することが可能となる。

本発明の全体の概念図を図１に示す。また本発明のクライアント端末監視システム１のシステム構成の概念図を図２に示す。なお本明細書では、「ファイル」との記載には「アプリケーションプログラム」も含まれている。

本発明のクライアント端末監視システム１は、各クライアント端末４を監視する管理者が利用するコンピュータ端末またはサーバ（以下、「管理サーバ２」という）において、所定のプログラムやモジュールが処理されることにより実現される。管理サーバ２は、複数のクライアント端末４においてどのようなプログラムが実行されているか、どのような画面が表示されているかを記録、監視することが好ましい。そのため、各クライアント端末４には、当該クライアント端末４において実行されているプログラム名、ファイル名などの情報を定期的に、あるいは新たなプログラムやファイルが実行された場合または終了した場合などの所定のタイミングで、クライアント端末４から管理サーバ２にそのプログラム名やファイル名の情報を送信する機能、クライアント端末４の表示装置２２に表示する画面をキャプチャして、定期的にまたは不定期に管理サーバ２に送信する機能を備えていることが好ましい。プログラム名やファイル名の情報を送信する機能は、クライアント端末４の演算装置２０で実行しているプログラム名やファイル名を抽出したり、メモリ内のプログラム名やファイル名を抽出して送信すればよい。つまりいわゆる操作ログ情報をクライアント端末４から管理サーバ２に送信すればよい。また表示装置２２で表示している操作画面をキャプチャするには、例えばＶＲＡＭなどの表示装置２２に表示する情報を記憶する表示情報記憶装置から、表示している操作画面情報を読み取り、それを操作画面情報として送信すればよい。

なお操作ログ情報と操作画面情報とは同一時点で対応づけられていても良いし、対応づけられていなくても良い。また操作ログ情報と操作画面情報は、同じタイミングでクライアント端末４から管理サーバ２に送信されても良いし、異なるタイミングで送信されても良い。

管理サーバ２、管理者端末３、クライアント端末４は、プログラムの演算処理を実行するＣＰＵなどの演算装置２０と、情報を記憶するＲＡＭやハードディスクなどの記憶装置２１と、演算装置２０の処理結果や記憶装置２１に記憶する情報をインターネットやＬＡＮなどのネットワークを介して送受信する通信装置２４とを有している。また管理者端末３、クライアント端末４では、更に、ディスプレイなどの表示装置２２を有している。コンピュータ上で実現する各機能（各手段）は、その処理を実行する手段（プログラムやモジュールなど）が演算装置２０に読み込まれることでその処理が実行される。各機能は、記憶装置２１に記憶した情報をその処理において使用する場合には、該当する情報を当該記憶装置２１から読み出し、読み出した情報を適宜、演算装置２０における処理に用いる。当該管理サーバ２、管理者端末３、クライアント端末４には、キーボードやマウスやテンキーなどの入力装置２３を有していても良い。図３に管理サーバ２のハードウェア構成の一例を模式的に示す。また、管理サーバ２は、複数のコンピュータ端末またはサーバに、その機能が分散配置されていても良い。

本発明における各手段は、その機能が論理的に区別されているのみであって、物理上あるいは事実上は同一の領域を為していても良い。

管理者端末３は、管理者が使用するコンピュータ端末であって、管理サーバ２が各クライアント端末４から取得した操作画面情報や操作ログ情報を管理サーバ２から取得し、管理者端末３の表示装置２２で表示する。この表示によって、各クライアント端末４でどのような操作が行われているのかを確認することができる。図６に、管理者端末３の表示装置２２で、各クライアント端末４の操作画面情報を表示する表示画面の一例を示す。また図７に、図６で表示した各クライアント端末４の操作画面情報から一つのクライアント端末４の操作画面情報を選択して表示した場合の画面の一例を示す。なお図６，図７に示すように、クライアント端末４の操作画面情報を監視するための画面を本明細書では「表示画面」と呼ぶ。

なお各管理者端末３は管理サーバ２とは一体的に設けられていても良いし、別のコンピュータ端末として設けられていても良い。

またクライアント端末４で使用される「業務用のファイル（プログラムも含まれる）」を「業務ファイル（プログラムも含まれる）」とし、「業務用ではないファイル（プログラムも含まれる）」を「業務外ファイル（プログラムも含まれる）」とする。業務ファイルは任意に設定することが出来、たとえばワープロプログラム、表計算プログラム、データベースプログラム、電子メールプログラム、ウェブブラウザプログラムなど業務に関係するファイル（プログラムも含まれる）である。また業務外ファイルとは、業務ファイル以外のファイルであって、たとえばゲームプログラム、ファイル交換プログラム、動画再生プログラム、音楽再生プログラムなどがある。ただしこれらは任意に設定可能である。

管理サーバ２は、操作画面情報取得部５と操作画面情報記憶部６と操作ログ情報取得部７と操作ログ情報記憶部８と判定部９と警告処理部１０とを有する。

操作画面情報取得部５は、管理サーバ２が監視対象としている各クライアント端末４から、当該各クライアント端末４の表示装置２２で表示している操作画面情報を取得する。例えば図８に示すような操作画面情報を画像形式で受け取る。操作画面情報取得部５は、定期的にまたは所定のタイミングで各クライアント端末４から操作画面情報を取得すると、それを後述する操作画面情報記憶部６に記憶させる。この際に、クライアント端末４を識別する情報、日時または日時を数値化した情報などを対応づけて記憶させる。ここで取得した操作画面情報が管理者端末３に送信され、管理者端末３の表示装置２２でクライアント端末４を識別する情報と共に表示されることとなる。

操作画面情報記憶部６は、操作画面情報取得部５で取得した、各クライアント端末４からの操作画面情報を、クライアント端末４を識別する情報、日時などと対応づけて記憶している。

操作ログ情報取得部７は、各クライアント端末４から定期的にまたは不定期に、当該クライアント端末４における操作ログ情報を取得する。取得した操作ログ情報は、後述する操作ログ情報記憶部８に、その日時、どのクライアント端末４における操作ログ情報であるかを識別する情報と共に、記憶させる。なお操作ログ情報としては、各クライアント端末４における操作内容やそのクライアント端末４における処理内容などを示す情報であればよく、例えば「ファイルコピー」、「ファイル選択」、「ドライブ追加」、「ポインティングデバイス操作」、「画面制御（ウィンドウのサイズ変更、スクロールなど）」、「アプリケーションソフトウェアの起動」、「アプリケーションソフトウェアの終了」など、当該クライアント端末４の操作者の操作を示す情報が該当する。また、管理サーバ２が各クライアント端末４から操作ログ情報を取得する際にはネットワークを介して受け取っても良いし、操作ログ情報がクライアント端末４や管理者端末３においてＤＶＤなどの記録媒体に記録され、その記録媒体が管理サーバ２に読み取られ、そこから操作ログ情報を読み込むことによって受け取っても良い。

操作ログ情報記憶部８は、操作ログ情報取得部７で各クライアント端末４から取得した操作ログ情報を記憶する。操作ログ情報には、クライアント端末４を識別する情報、操作内容を示す情報、操作内容の操作対象となったファイルの名称、当該ファイルの所在位置を示す情報、日時または日時を数値化した情報、その操作を行ったファイルのウィンドウの位置を示す座標情報などが含まれている。図９に操作ログ情報の一例を示す。なお操作ログ情報は、各クライアント端末４またはそのユーザ（ログイン名など）ごとに記憶することが好ましい。なお操作内容を示す情報を日時などに対応づける場合には、クライアント端末４で行っても良いし、操作ログ情報を管理サーバ２で取得した際に行っても良いし、或いは操作ログ情報記憶部８で記憶した際に行っても良い。操作ログ情報記憶部８の一例を模式的に図１０に示す。

なお操作画面情報取得部５、操作ログ情報取得部７は、管理者端末３からも操作画面情報、操作ログ情報を取得するように構成してもよいし、取得しないように構成してあってもよい。

判定部９は、各クライアント端末４において、業務外ファイルが使用されているかを、操作ログ情報、操作画面情報を用いて判定する。これは以下のように判定すればよい。

まず判定部９は、当該ユーザがクライアント端末４にログインしてから現在までの操作ログ情報を操作ログ情報記憶部８から抽出し、現在、クライアント端末４で起動しているファイルの数を判定する。これは操作ログ情報の操作内容において、「ファイルオープン（またはアプリケーションオープン）」を含む操作ログ情報の数をカウントし、そこから「ファイルクローズ（またはアプリケーションクローズ）」を含む操作ログ情報の数を減算したものが、現在、クライアント端末４で起動しているファイルの数である。またそれと同時に、「ファイルオープン（またはアプリケーションオープン）」を含む操作ログ情報以降であって、当該操作ログ情報と同一のファイル名などの識別情報（アプリケーション名などの識別情報）を有する操作ログ情報であり、「ファイルクローズ（またはアプリケーションクローズ）」の操作内容を含む操作ログ情報が存在しないもの、つまりファイルオープンの操作ログ情報に対応するファイルクローズの操作ログ情報が存在しない操作ログ情報が、現在、クライアント端末４で起動しているファイルの操作ログ情報であることから、それらの各ウィンドウの座標情報を取得する。なお各ウィンドウの座標情報は、後述するように、操作ログ情報から判定したウィンドウの数と操作画面情報から判定したウィンドウの数とが同一ではないと判定した場合に、取得するように構成してもよい。

これの処理を図１１に示す。図１１の場合、「ファイルＡ」は「ファイルオープン」の操作内容を含む操作ログ情報があるが、その後、「ファイルクローズ」の操作内容を含む操作ログ情報があるので、「ファイルＡ」はすでにクローズされており、そのウィンドウは存在していない。また、「アプリケーションＢ」、「ファイルＣ」は「ファイルオープン（またはアプリケーションオープン）」の操作内容を含む操作ログ情報があるが、「ファイルクローズ（またはアプリケーションクローズ）」の操作内容を含む操作ログ情報がないので、これらのウィンドウが存在していることが判定できる。つまり当該クライアント端末４で開かれているウィンドウの数は「２」であり、「アプリケーションＢ」のウィンドウの座標位置情報として「（２００，２５０）、縦４５０ドット、横７００ドット」、「ファイルＣのウィンドウの座標位置情報として「（５０，１００）、縦５００ドット、横８００ドット」であることを取得する。このようにして操作ログ情報に基づいて認識したウィンドウは、図１２のようになる。

なお座標位置情報として、各ウィンドウの原点から縦方向、横方向のドット数を取得しているが、各頂点の座標であってもよい。また操作ログ情報に座標位置が含まれていない場合には、操作ログ情報に対応づけられて、各ウィンドウの座標位置情報を、各クライアント端末４から取得してもよい。

更に、クライアント端末４から座標位置情報を取得しない場合には、当該操作ログ情報（ファイルオープン（またはアプリケーションオープンの操作内容を含む操作ログ情報）に対応する操作画面情報（日時などが対応する操作画面情報）を操作画面情報記憶部６から抽出し、その操作画面情報から、その矩形領域などを検出することで、座標位置情報を認識してもよい。これは、ファイルオープンの場合には、かならずその時点でアクティブウィンドウになっているので、アクティブウィンドウを認識し（たとえばタイトルバーの濃度、明度、色度がほかのウィンドウよりも高い矩形領域を認識）、その座標位置を認識すればよい。またウィンドウの位置が変更された場合には、操作ログ情報の「ウィンドウ移動」などの操作内容が含まれているので、それに対応する操作画面情報（日時などが対応する操作画面情報）を操作画面情報記憶部６から抽出し、その操作画面情報に基づいて、上述と同様にアクティブウィンドウの座標位置を認識すればよい。

また上述と同様に、判定時またはもっとも新しい当該クライアント端末４の操作画面情報を操作画面情報記憶部６から抽出し、そこに表示されているウィンドウの数及びその領域を判定する。操作画面情報からそこに表示されているウィンドウの数を判定するには様々な方法がある。たとえばウィンドウの形状は矩形であることから、矩形領域を認識することでウィンドウとして判定可能である。またウィンドウがほかのウィンドウに隠れている場合もあるので、ある一点から垂直方向、水平方向への線分があり、それらの線分の終点から更に垂直方向、水平方向への線分がある場合には、それを一つのウィンドウとして判定することも可能である。

また判定のほかの方法としては、ウィンドウに独特のアイコン、たとえばウィンドウクローズのアイコン、最小化のアイコンなどを認識し、その数及びそれを含む矩形領域を判定することで、ウィンドウの数及びその領域が判定可能である。

このようにして判定部９は、当該クライアント端末４の操作画面情報に表示されているウィンドウの数を判定する。

なお以上の処理は順不同で行える。

次に判定部９は、現在、起動しているウィンドウの領域の座標情報に基づいて各ウィンドウの面積を算出することで、各ウィンドウ同士の重なり割合を算出する。そして算出したウィンドウの割合があらかじめ定められた条件を充足している場合には、たとえばウィンドウの領域の９割以上が重畳している場合には、業務外ファイルである可能性があると判定する。この条件は任意に設定可能である。

以上のようにして、当該クライアント端末４で業務外ファイルが使用されている可能性があるかを判定部９は判定する。また各ウィンドウの座標位置を管理しているので、アクティブになっているウィンドウ（もっとも前面に位置するウィンドウ）がどのファイルであるのかを判定できる。従って隠れているウィンドウのファイル名などのファイル識別情報も操作ログ情報などを用いて判定する。

また、判定部９におけるほかの判定処理として、次のような処理がある。まず、操作ログ情報に基づいて、現在起動しているファイルの中でアクティブになっているものと、そうでないものを特定する。これは、操作ログ情報で最後に記憶しているファイルがアクティブ、それ以外がアクティブでないとして特定できる。このようにして特定した情報を用いて、ウィンドウの重なり割合を算出してもよい。

更に別の方法として次のような処理もある。これはクライアント端末４におけるウィンドウマネージャーによるウィンドウの矩形情報（ウィンドウの頂点の座標情報など）、ウィンドウの前後関係を示す情報、起動しているウィンドウのアプリケーション名などの情報をクライアント端末４から管理サーバ２の判定部９が取得し、それを用いて各ウィンドウの面積を算出することで、各ウィンドウ同士の重なり割合を算出してもよい。

警告処理部１０は、判定部９において、業務外ファイルが使用されている可能性があるクライアント端末４があることを判定すると、そのクライアント端末識別情報とファイル識別情報と警告通知とを管理者端末３に送信する。管理者端末３では、警告処理部１０からの警告通知とクライアント端末識別情報とを受け取ると、たとえばメッセージ画面として、そのクライアント端末識別情報で業務外ファイルが使用されている可能性があることを表示したり、上述の図６の表示画面において、当該クライアント端末識別情報のクライアント端末４の操作画面情報を強調表示、たとえば枠で囲う、点滅させる、その操作画面情報を拡大表示する、などの警告表示を行う。図１４に、業務外ファイルを使用している可能性があると判定したクライアント端末４の操作画面情報を強調表示している表示画面の一例を示す。

また上述のメッセージ画面にファイル識別情報を表示させたりしてもよい。

また警告処理部１０は、判定部９において隠れていると判定したウィンドウが起動した時点の操作画面情報を操作画面情報記憶部６から抽出して、それを管理者端末３に送信して表示画面で表示させてもよい。これは、隠れていると判定したウィンドウのファイル識別情報が判定できるので、判定したファイル識別情報に基づいて、操作ログ情報記憶部８から当該ファイル識別情報と「ファイルオープン」の操作内容とを含む操作ログ情報を特定し、その特定した操作ログ情報の日時情報を用いて、その日時情報に対応する当該クライアント端末４の操作画面情報を、操作画面情報記憶部６から抽出する。そして抽出した操作画面情報を、管理者端末３に送信すればよい。

次に本発明のクライアント端末監視システム１の処理プロセスの一例を図４、図５のフローチャート、図２の概念図を用いて説明する。

各クライアント端末４から管理サーバ２に、当該クライアント端末４の操作ログ情報、当該クライアント端末４の表示装置２２で表示している操作画面情報が、定期的にまたは所定のタイミングで送信されている。この情報は、操作画面情報については、操作画面情報取得部５で取得し（Ｓ１００）、また操作ログ情報については操作ログ情報取得部７で取得する（Ｓ１００）。

操作画面情報取得部５で取得した操作画面情報は、当該操作画面情報を送信したクライアント端末４を識別する情報、日時や日時を数値化した情報とあわせて、操作画面情報記憶部６に記憶させる。図８が操作画面情報の一例である。

操作ログ情報取得部７で取得した操作ログ情報は、操作ログ情報記憶部８に記憶させる。操作ログ情報には、当該クライアント端末４を識別する情報、日時の情報などが含まれていることが一般的ではあるが、含まれていない場合には、それらの情報をあわせて取得することによって、対応づけて操作ログ情報記憶部８に記憶させる。

このようにして操作画面情報記憶部６に記憶した操作画面情報、操作ログ情報記憶部８に記憶した操作ログ情報については、定期的にまたは所定のタイミングで管理者端末３に送信され、管理者端末３がそれらの表示画面を表示装置２２で表示する。この際の表示の一例が図１５である（図６も同様）。

図１５の表示例の場合、画面右側領域において、各クライアント端末４の操作画面情報が、当該クライアント端末４を識別する情報と共に表示されている。この領域においては操作画面情報が縮小して表示されているので、例えばこの縮小した操作画面情報を管理者が選択することによって、図１６に示すような操作画面情報の通常サイズでの表示が行われる（図７も同様）。また図１５の表示例における画面左側領域においては、管理サーバ２が監視対象とする各クライアント端末４の部署ごとの一覧、操作画面情報を取得しているユーザの一覧が表示されている。

このような図１５、図１６のような表示画面が管理者端末３の表示装置２２で表示され、それを管理者が閲覧することによって、各クライアント端末４における操作などを監視することができる。

そして判定部９は、定期的にまたは所定のタイミングで、各管理者端末３が表示するクライアント端末４ごとに、当該管理者端末３が監視する各クライアント端末４において、業務外ファイルが使用されていないかを判定する処理を実行する（Ｓ１１０）。なお各管理者端末３が管理するクライアント端末４は、あらかじめ各管理者端末３の識別情報または各管理者の識別情報ごとに、クライアント端末４の識別情報が対応づけられており、それに基づいて特定する（操作画面情報、操作ログ情報の管理者端末３への送信もこの対応づけに基づいて行える）。

この判定部９における判定処理は以下のように行えるが、これに限定されず、ほかの方法で行ってもよい。なおこの処理は各クライアント端末４ごとに行うことがよい。

まず判定部９は、クライアント端末４にユーザがログインしてから判定時までの操作ログ情報を操作ログ情報記憶部８から抽出し、現在、クライアント端末４で起動しているファイルの数及びそのウィンドウの座標情報を判定する（Ｓ２００）。

つぎに判定部９は、判定時またはもっとも新しい当該クライアント端末４の操作画面情報を操作画面情報記憶部６から抽出し、そこに表示されているウィンドウの数及びその領域を判定する（Ｓ２１０）。

そして判定部９は、操作ログ情報から判定した、現在起動しているウィンドウの数と、操作画面情報から判定した、現在起動しているウィンドウの数とを比較する（Ｓ２２０）。これが同一の場合にはすべてのウィンドウが何らかの形で表示されており、そうではない場合には、表示されていないウィンドウがあることが判定できる。その場合、業務外ファイルが使用されている可能性があると判定できる（Ｓ２５０）。

操作ログ情報から判定したウィンドウの数と操作画面情報から判定したウィンドウの数が同一の場合、各ウィンドウ同士の重なり割合を算出する（Ｓ２３０）。これは上述で判定した操作画面情報または操作ログ情報で判定した、各ウィンドウの領域の座標情報を用いることで算出可能である。

このようにして算出したウィンドウの割合とあらかじめ設定された条件とを比較し（Ｓ２４０）、算出したウィンドウの割合が設定条件を充足している場合、たとえばウィンドウの領域の９割以上が重畳している場合には、業務外ファイルである可能性があると判定する（Ｓ２５０）。

判定部９はこのようにして業務外ファイルが使用されている可能性があるかを判定し、その可能性がある場合には、隠れているウィンドウのファイル名を操作ログ情報を用いて判定する。

以上のように判定部９で業務外ファイルが使用されている可能性があることを判定すると（Ｓ１２０）、警告処理部１０は、業務外ファイルが使用されている可能性があるクライアント端末４のクライアント端末識別情報とその業務外ファイル識別情報と警告通知とを管理者端末３に送信する（Ｓ１３０）。

この警告通知を管理者端末３で受け取ることによって、管理者端末３の表示装置２２では警告メッセージ画面が表示されたり、上述の表示画面において、業務外ファイルが使用されている可能性があるクライアント端末４の操作画面情報が強調表示されるなどの、警告表示が行われる。このように管理者端末３の表示装置２２に表示されたメッセージ画面や警告表示を管理者が閲覧することによって、管理者は当該クライアント端末４に対する監視を強めることが出来る。

また更に管理者の監視の支援とするために、警告処理部１０は、判定部９において隠れていると判定したウィンドウが起動した時点の操作画面情報を操作画面情報記憶部６から抽出して、それを管理者端末３に送信して表示画面で表示させてもよい。これによって隠れているウィンドウが起動された時点の操作画面情報を管理者は確認することが出来るので、表示されていないウィンドウが業務外ファイルであるかを容易に確認できる。

実施例１の判定部９において、ウィンドウ同士の重畳割合に応じて、業務外ファイルであるかどうかを判定したが、重畳割合のみならず、ウィンドウの大きさ（面積）の割合を用いて判定してもよい。これは前面に表示されているウィンドウの大きさに対して、背面に表示されているウィンドウの大きさが小さければ小さいほど、つまり前面のウィンドウの面積より、背面のウィンドウの面積が小さいほど、業務外ファイルである可能性が高いと判定する。たとえば、背面に表示されているウィンドウの面積が前面に表示されているウィンドウの面積の五分の一以下の場合には、業務外ファイルであると判定する。

またウィンドウ同士の重畳割合とウィンドウの大きさの割合の双方を用いて業務外ファイルであると判定してもよいし、またいずれか一方だけを用いてもよい。

なお実施例１及び実施例２では設定条件を充足している場合には業務外ファイルが使用されている可能性があると判定しているが、その重畳割合、面積の割合に応じて、複数のレベル（業務外ファイルが使用されている可能性の度合いを示す指標）が設定され、そのレベルに応じた警告通知が行われてもよい。たとえば重畳割合が１０割（すべて重畳している）場合には業務外レベル「５」、重畳割合が９．５割以上１０割未満の場合には業務外レベル「４」、重畳割合が９割以上９．５割未満の場合には業務外レベル「３」、重畳割合が７割以上９割未満の場合には業務外レベル「２」、重畳割合が７割未満の場合には業務外レベル「１」と判定し、それぞれ業務外レベルの数値に応じて、異なる警告通知が行われてもよい。たとえば業務外レベル「５」の場合、隠れているウィンドウが起動された時点の操作画面情報を管理者端末３に送信して表示させるとともに、メッセージ画面の表示、ビープ音などによる警告などが行われ、業務外レベル「３」のときには表示画面における、当該クライアント端末４の操作画面情報が強調表示される警告が行われ、業務外レベル「１」の場合には警告通知は行われない、といったようにしてもよい。また面積の割合に応じて判定する場合にも同様に、各面積の割合とその業務外レベルとを対応づけて、各業務外レベルに対応する警告通知が行われればよい。なお重畳割合、面積の割合の双方を同時に判定材料として、各業務外レベルに対応づけてもよい。

上述の実施例１乃至実施例３に加え、背面にあると判定した（表示されていない）ウィンドウのアプリケーションの使用時間を算出し、その使用時間が所定の条件を充足した場合に、警告通知が行われても良い。

すなわち所定時間以上、背面にウィンドウがある場合には警告通知を行うように構成しても良い。これは、背面にあると判定した（前面に表示されていないと判定された）ウィンドウのアプリケーションの操作ログ情報を、操作ログ情報記憶部８に基づいて特定し（アプリケーションの識別情報（アプリケーション名など）に基づいて操作ログ情報記憶部８を検索することで特定）、その特定した操作ログ情報から、アプリケーションを起動した日時情報を抽出する。そしてその日時情報を用いて現時点までの時間を算出することで、その総使用時間が算出できる。そしてその総使用時間から、前面にある時間を減算することで、背面にある時間を算出できる。そして背面にある時間と所定の条件とを比較すればよい。

上述のように、あるアプリケーションのウィンドウが背面にある時間とは、当該アプリケーションの総使用時間から当該アプリケーションのウィンドウが前面に表示されている時間を減算した時間である。ここで当該アプリケーションのウィンドウが前面に表示されている時間の算出は、当該アプリケーションが選択された日時情報からほかのアプリケーションが選択された日時情報までの時間である。つまり、当該アプリケーションが選択されたことによって、当該アプリケーションのウィンドウはアクティブウィンドウとなるので、前面に表示される。そしてほかのアプリケーションが選択されることによって、ほかのアプリケーションのウィンドウによって当該アプリケーションのウィンドウが前面から背面に切り替わる。従ってそれらの日時情報を操作ログ情報を用いて抽出することで、算出可能である。

具体的には操作ログ情報のうち、アプリケーション識別情報に基づいて、当該アプリケーションが選択された操作内容である操作ログ情報を特定し、その操作ログ情報から日時情報を抽出する。そしてそれ以降の操作ログ情報であって、当該アプリケーション以外のアプリケーションが選択された操作内容である操作ログ情報を特定し、その操作ログ情報から日時情報を抽出する。そしてほかのアプリケーションが選択された日時から当該アプリケーションが選択された日時を減算することによって、当該アプリケーションが背面にある時間を算出する。

そして背面にある時間が所定条件を充足する場合は、所定の警告通知を行うように構成しても良い。なお前面にある時間と所定条件とを比較し、所定の警告通知を行うように構成してもよい。

更に、背面になる時間と所定条件とを比較するのではなく、当該アプリケーションが前面に表示されている時間と背面に表示されている時間の比率を算出し、その比率が所定条件を充足する場合には、所定の警告通知を行うように構成することも出来る。前面に表示されている時間、背面に表示されている時間は上述のように算出することが出来る。

なおこの実施例の場合、操作ログ情報を用いずに、ウィンドウマネージャーによる情報を用いても同様に実現できる。すなわちウィンドウマネージャーから、ウィンドウの前後関係、位置情報、アプリケーション名などの情報が取得できるので、それらの情報に基づいて、アプリケーションごとに、前面または背面に表示されている時間を計時することで、操作ログ情報の場合と同様のことを実現可能である。

実施例１乃至実施例４の判定部９において、上記判定したウィンドウで、ウィンドウの表示領域をコンテンツ領域と情報領域に分割し、それぞれの領域に対する表示割合に応じて、業務外ファイルであるかを判定してもよい。ここで情報領域とはウィンドウ自体の表示に必要な領域、たとえばタイトルバー、メニューバー、ステータスバーなどである。またコンテンツ領域は当該ウィンドウで表示する内容の表示に必要な領域である。図１７にウィンドウを情報領域とコンテンツ領域とを模式的に示す。なお情報領域、コンテンツ領域の認識は、それぞれ特徴的な濃度、明度、色度など、あるいはその形状などに基づいて判定する。

このようにしてウィンドウを、情報領域とコンテンツ領域とに分割し、それぞれの表示割合に応じて業務外レベルを判定してもよい。図１８にコンテンツ領域、情報領域の表示割合と、業務外レベルとの対応関係を模式的に示す。

なおコンテンツ領域、情報領域の表示割合、面積などは上述の各実施例と同様にそれぞれの座標情報などに基づいて算出できる。

上述の各実施例では管理サーバ２においてその処理の一部または全部が実行される場合を説明したが、これらの機能がクライアント端末４、管理サーバ２、管理者端末３において適宜、分散配置していても良い。

なお分散配置のバリエーションには様々なパターンがあり、如何なる配置形態であっても良い。これらの場合、各クライアント端末４や管理者端末３における処理の際に、管理サーバ２の各機能を利用する場合にはその問い合わせを当該クライアント端末４や管理者端末３から管理サーバ２に対して行い、その結果を当該クライアント端末４や管理者端末３における処理に用いる。そしてその処理結果をクライアント端末４や管理者端末３で実行することとなる。

上述の発明において、各機能をクライアント端末４で備えていても良い。その場合、操作画面情報や操作ログ情報を取得する操作情報取得部、操作情報記憶部、判定部９、警告処理部１０をクライアント端末４で備えている。

この場合、クライアント端末４では操作画面情報や操作ログ情報を操作画面情報記憶部６、操作ログ情報記憶部８などで記憶している。そして判定部９は、記憶した操作画面情報、操作ログ情報などに基づいて、あるいはウィンドウマネージャーによるウィンドウの矩形情報などに基づいて、当該クライアント端末４で表示されているウィンドウの重畳状況を判定し、業務外のウィンドウがあると判定した場合には、警告処理部１０が警告処理を行う。

また、操作情報取得部、操作情報記憶部をクライアント端末４に備えておき、判定部９、警告処理部１０は管理サーバ２に備えていても良い。

この場合、クライアント端末４では操作画面情報や操作ログ情報を操作画面情報記憶部６、操作ログ情報記憶部８などで記憶している。そして管理サーバ２において、所定のタイミングで、判定部９は、各クライアント端末の操作画面情報、操作ログ情報などに基づいて、あるいはウィンドウマネージャーによるウィンドウの矩形情報などに基づいて、当該クライアント端末４で表示されているウィンドウの重畳状況を判定し、業務外のウィンドウがあると判定した場合には、警告処理部１０が警告処理を行う。なお判定部９における処理はリアルタイム処理のみならず、バッチ処理であっても良い。この場合、警告処理部１０の警告処理としては、業務外のウィンドウが存在していたクライアント端末４をリスト化して、それを紙媒体やファイルに出力するなど、バッチ処理に適した警告処理を行っても良い。

本発明のクライアント端末監視システム１により、クライアント端末４の操作画面情報が画像形式のデータであったとしても、クライアント端末４のユーザが業務外のアプリケーションプログラムを使用していないかを判定可能とし、それを管理者に通知することが出来る。これによって管理者によるユーザの操作画面情報の監視がおろそかになる場合であっても、管理者の監視作業の支援を行うことが可能となり、業務時間中の業務外の行為を発見することが可能となる。

本発明の全体の概念の一例を示す概念図である。 本発明のシステム構成の一例を示す概念図である。 ハードウェア構成の一例を示す概念図である。 本発明の全体処理の処理プロセスの一例を示すフローチャートである。 本発明の判定処理の処理プロセスの一例を示すフローチャートである。 管理者端末で表示する各クライアント端末の操作画面情報の表示画面の一例である。 管理者端末で表示する各クライアント端末の操作画面情報の表示画面において、特定のクライアント端末の操作画面情報を選択した場合に表示される画面の一例である。 操作画面情報の一例である。 操作ログ情報の一例である。 操作ログ情報記憶部の一例を模式的に示す図である。 操作ログ情報に基づいて、起動しているウィンドウの座標情報を取得する処理を模式的に示す図である。 操作ログ情報に基づいて判定したウィンドウを模式的に示す図である。 操作画面情報に基づいて、起動しているウィンドウを判定する処理を模式的に示す図である。 管理者端末で表示する各クライアント端末の操作画面情報の表示画面において強調表示を行った場合の一例である。 管理者端末で表示する各クライアント端末の操作画面情報の表示画面の一例である。 管理者端末で表示する各クライアント端末の操作画面情報において、特定のクライアント端末の操作画面情報を選択した場合に表示される表示画面の一例である。 ウィンドウを情報領域とコンテンツ領域とに分割して認識することを模式的に示す図である。 コンテンツ領域と情報領域の表示割合と、業務外レベルとの対応関係を模式的に示す図である。

符号の説明

１：クライアント端末監視システム
２：管理サーバ
３：管理者端末
４：クライアント端末
５：操作画面情報取得部
６：操作画面情報記憶部
７：操作ログ情報取得部
８：操作ログ情報記憶部
９：判定部
１０：警告処理部
２０：演算装置
２１：記憶装置
２２：表示装置
２３：入力装置
２４：通信装置

Claims (7)

1. クライアント端末で業務外ファイルが使用されていないかを監視するクライアント端末監視システムであって、
   前記クライアント端末監視システムは、
   クライアント端末の操作ログ情報を記憶する操作ログ情報記憶部と、
   前記操作ログ情報記憶部に記憶する操作ログ情報を用いて、前記クライアント端末で業務外ファイルが使用されていないかを判定する判定部と、を有しており、
   前記判定部は、
   現在、クライアント端末で起動しているファイルの各ウィンドウの座標情報を用いて、前記クライアント端末で業務外ファイルが使用されていないかを判定する、
   ことを特徴とするクライアント端末監視システム。
2. 前記判定部は、
   前記操作ログ情報記憶部に記憶する操作ログ情報を用いて、現在、クライアント端末で起動しているファイルの各ウィンドウの座標情報を取得し、
   前記取得した各ウィンドウの座標情報に基づいて、前記クライアント端末で業務外ファイルが使用されているかを判定する、
   ことを特徴とする請求項１に記載のクライアント端末監視システム。
3. 前記判定部は、更に、
   前記操作ログ情報記憶部に記憶する操作ログ情報を用いて、現在、クライアント端末で起動しているファイルの各ウィンドウの座標情報を取得し、
   前記取得した各ウィンドウの座標情報に基づいて、各ウィンドウの重なり量及び／または各ウィンドウの面積を算出し、
   前記重なり量及び／または面積を用いて、所定の条件と比較することにより、業務外ファイルが使用されているかを判定する、
   ことを特徴とする請求項１または請求項２に記載のクライアント端末監視システム。
4. 前記判定部は、
   前記操作ログ情報記憶部に記憶する操作ログ情報を用いて、現在、クライアント端末で起動しているファイルを判定し、
   前記クライアント端末のウィンドウマネージャーから、前記ファイルのウィンドウの矩形情報、前後関係情報を取得することで、各ウィンドウの重なり量及び／または各ウィンドウの面積を算出し、
   前記重なり量及び／または面積を用いて、所定の条件と比較することにより、業務外ファイルが使用されているかを判定する、
   ことを特徴とする請求項１に記載のクライアント端末監視システム。
5. クライアント端末で業務外ファイルが使用されていないかを監視するクライアント端末監視システムであって、
   前記クライアント端末監視システムは、
   クライアント端末の操作ログ情報を記憶する操作ログ情報記憶部と、
   クライアント端末の操作画面情報を記憶する操作画面情報記憶部と、
   前記操作ログ情報記憶部に記憶する操作ログ情報と、前記操作画面情報記憶部に記憶する操作画面情報とを用いて、前記クライアント端末で業務外ファイルが使用されている可能性があるかを判定する判定部と、
   を有することを特徴とするクライアント端末監視システム。
6. クライアント端末の操作ログ情報を記憶装置に記憶するコンピュータ端末を、
   前記記憶装置に記憶する操作ログ情報を用いて、前記クライアント端末で業務外ファイルが使用されていないかを判定する判定部、として機能させるクライアント端末監視プログラムであって、
   前記判定部は、
   現在、クライアント端末で起動しているファイルの各ウィンドウの座標情報を用いて、前記クライアント端末で業務外ファイルが使用されていないかを判定する、
   ことを特徴とするクライアント端末監視プログラム。
7. クライアント端末の操作ログ情報を操作ログ情報記憶部として、クライアント端末の操作画面情報を操作画面情報記憶部として、記憶装置に備えるコンピュータ端末を、
   前記操作ログ情報記憶部に記憶する操作ログ情報と、前記操作画面情報記憶部に記憶する操作画面情報とを用いて、前記クライアント端末で業務外ファイルが使用されている可能性があるかを判定する判定部、
   として機能させることを特徴とするクライアント端末監視プログラム。

Images