JP2016062531A - 制御装置及びプログラム - Google Patents

Abstract

【課題】情報の出力実績を示す出力実績情報に基づいて、情報の取得及び出力の少なくとも一方の可否を制御する制御装置及びプログラムを提供する。【解決手段】出力実績情報取得部４２は、情報の出力実績を示す出力実績情報を取得する。情報取得出力可否制御部６０は、出力実績情報に基づいて、情報の取得及び出力の少なくとも一方の可否を制御する。【選択図】図６

Description

本発明は、制御装置及びプログラムに関する。

近年、社内で管理されている情報の社外への流出が問題となってきている。このような情報流出の危険に対処する技術の一例として、特許文献１には、端末に記憶されているウィルス定義ファイルに基づいて判断されるセキュリティレベルが充分でない場合に当該端末のアクセス許可範囲を制限する技術が開示されている。また特許文献２には、端末にインストールされているソフトウェアの情報、ウィルス定義ファイルの情報、ＯＳに対するセキュリティパッチの情報に基づいて当該端末によるネットワークへのアクセスを制御する技術が開示されている。

特開２００４−２３４３７８号公報 特開２００６−２６００２７号公報

ところで、一般的に、端末に記憶されているウィルス定義ファイル等に基づいて判断されるセキュリティレベルが充分と判断される場合であっても、当該端末の使用の仕方によっては、情報流出のリスクの高い使われ方をする場合も存在する。例えば、電子メール送信の際に、電子メールソフトウエアに予め登録された送信先のアドレスを用いることなく、手入力でアドレスを入力して送信することが頻繁に行われるような場合には、手入力の祭に誤ったアドレスを入力してしまい、本来意図しないアドレスへ情報を送信してしまう恐れがある。

本発明の目的の一つは、情報の出力実績を示す出力実績情報に基づいて、情報の取得及び出力の少なくとも一方の可否を制御する制御装置及びプログラムを提供することにある。

請求項１に記載の発明は、制御装置であって、情報の出力実績を示す出力実績情報を取得する出力実績情報取得手段と、前記出力実績情報に基づいて、情報の取得及び出力の少なくとも一方の可否を制御する制御手段と、を含むこととしたものである。

請求項２に記載の発明は、請求項１に記載の制御装置であって、前記出力実績情報は、利用者による操作履歴であることとしたものである。

請求項３に記載の発明は、請求項１又は２に記載の制御装置であって、前記制御手段は、情報の出力回数に基づいて、前記可否を制御することとしたものである。

請求項４に記載の発明は、請求項１から３のいずれか一項に記載の制御装置であって、前記制御手段は、情報の出力先に基づいて、前記可否を制御することとしたものである。

請求項５に記載の発明は、請求項１から４のいずれか一項に記載の制御装置であって、前記制御手段は、出力された情報の量に基づいて、前記可否を制御することとしたものである。

請求項６に記載の発明は、請求項１から５のいずれか一項に記載の制御装置であって、前記制御手段は、出力された情報に設定されている機密度に基づいて、前記可否を制御することとしたものである。

請求項７に記載の発明は、請求項１から６のいずれか一項に記載の制御装置であって、前記制御手段は、複数種類の前記出力実績のそれぞれについて決定される値の合計に基づいて、前記可否を制御することとしたものである。

請求項８に記載の発明は、プログラムであって、情報の出力実績を示す情報を取得する出力実績情報取得手段、前記出力実績情報に基づいて、情報の取得及び出力の少なくとも一方の可否を制御する制御手段、としてコンピュータを機能させることとしたものである。

請求項１，８に記載の発明によれば、情報の出力実績を示す出力実績情報に基づいて、情報の取得及び出力の少なくとも一方の可否が制御される。

請求項２に記載の発明によれば、利用者による操作履歴に基づいて情報の取得及び出力の少なくとも一方の可否が制御される。

請求項３に記載の発明によれば、情報の出力回数に基づいて情報の取得及び出力の少なくとも一方の可否が制御される。

請求項４に記載の発明によれば、情報の出力先に基づいて情報の取得及び出力の少なくとも一方の可否が制御される。

請求項５に記載の発明によれば、出力された情報の量に基づいて情報の取得及び出力の少なくとも一方の可否が制御される。

請求項６に記載の発明によれば、出力された情報に設定されている機密度に基づいて情報の取得及び出力の少なくとも一方の可否が制御される。

請求項７に記載の発明によれば、複数種類の情報の出力実績のそれぞれについて決定される値に基づいて情報の取得及び出力の少なくとも一方の可否が制御される。

本発明の一実施形態の全体構成の一例を示す図である。 機密度管理情報の一例を示す図である。 評価規則情報の一例を示す図である。 アクセス管理情報の一例を示す図である。 一覧画面の一例を示す図である。 一覧画面の別の一例を示す図である。 一覧画面のさらに別の一例を示す図である。 本発明の一実施形態に係る検疫サーバ及び利用者端末で実装される機能の一例を示す機能ブロック図である。 本発明の一実施形態に係る検疫サーバ及び利用者端末により行われる処理の流れの一例を示すフロー図である。

以下、本発明の一実施形態について図面に基づき詳細に説明する。

図１は、本発明の一実施形態の全体構成の一例を示す図である。図１に示すように、本実施形態には、検疫サーバ１０、利用者端末１２（１２−１〜１２−ｎ）、業務サーバ１４、が含まれる。そして本実施形態では、検疫サーバ１０、利用者端末１２、業務サーバ１４は、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）等の通信手段１６に接続されている。そして検疫サーバ１０、利用者端末１２、業務サーバ１４は、通信手段１６を介して互いに通信されるようになっている。

本実施形態に係る検疫サーバ１０は、例えば、サーバ等のコンピュータである。本実施形態に係る検疫サーバ１０は、検疫サーバ１０にインストールされるプログラムに従って動作するＣＰＵ等のプログラム制御デバイスである制御部１０ａを含んでいる。また検疫サーバ１０は、ＲＯＭやＲＡＭ等の記憶素子やハードディスクドライブなどの記憶部１０ｂも含んでいる。記憶部１０ｂには、制御部１０ａによって実行されるプログラムなどが記憶される。また、検疫サーバ１０は、例えば、ネットワークボードなどの通信インタフェースである通信部１０ｃも含んでいる。通信部１０ｃは、通信手段１６を介して、利用者端末１２や業務サーバ１４との間で情報の送受信を行う。

本実施形態に係る利用者端末１２は、例えばパーソナルコンピュータ等のコンピュータである。本実施形態に係る利用者端末１２は、利用者端末１２にインストールされるプログラムに従って動作するＣＰＵ等のプログラム制御デバイスである制御部１２ａを含んでいる。また利用者端末１２は、ＲＯＭやＲＡＭ等の記憶素子やハードディスクドライブなどの記憶部１２ｂも含んでいる。記憶部１２ｂには、制御部１２ａによって実行されるプログラムなどが記憶される。また利用者端末１２は、例えば、ネットワークボードなどの通信インタフェースである通信部１２ｃも含んでいる。通信部１２ｃは、通信手段１６を介して、検疫サーバ１０や業務サーバ１４との間で情報の送受信を行う。また通信部１２ｃは、通信手段１６を経由して、インターネットに接続されたウェブサーバ等の各種サーバとの間でも情報の送受信を行う。また利用者端末１２は、例えば、ユーザインタフェース（ＵＩ）部１２ｄも含んでいる。ＵＩ部１２ｄは、マウス、キーボード、ディスプレイ、マイク、スピーカー、などであり、利用者が行った操作の内容や、利用者が入力した音声を制御部１２ａに出力する。また、このＵＩ部１２ｄは、制御部１２ａから入力される指示に従って情報を表示出力したり音声出力したりする。

本実施形態に係る業務サーバ１４は、例えば利用者端末１２の利用者が属する会社等の組織における業務に用いられるサーバ等のコンピュータである。本実施形態に係る業務サーバ１４は、ファイルサーバとしての役割を少なくとも担っており利用者端末１２の利用者が属する組織で管理されているファイルやフォルダ等の情報が記憶されている。

本実施形態では利用者端末１２には、業務サーバ１４に記憶されている情報の取得や業務サーバ１４への情報の出力を行うためのアクセスツールがインストールされている。そして利用者端末１２は、当該アクセスツールを介して業務サーバ１４に記憶されている情報の取得や業務サーバ１４への情報の出力を行う。

本実施形態に係る業務サーバ１４に記憶されている情報には、例えば外部に流出することによって利用者端末１２の利用者が属する組織が受けるダメージに応じた機密度が関連付けられている。図２は、本実施形態に係る業務サーバ１４に記憶されている情報のフルパスと当該情報の機密度とが関連付けられた機密度管理情報の一例を示す図である。図２に示すように、例えば当該ダメージが大きい情報には機密度「高」が、当該ダメージが中程度の情報には機密度「中」が、当該ダメージが小さい情報には機密度「低」が関連付けられている。

そして本実施形態では、利用者端末１２からの情報の出力実績を示す出力実績情報に基づいて、当該利用者端末１２によって業務サーバ１４に記憶されている情報が流出する危険性の高低が評価される。ここで利用者端末１２からの情報の出力実績の一例としては、電子メールの送信回数や送信先、ウェブサイトへのページ送信要求の送信回数や送信経路、外部記憶媒体への情報の書き出し履歴、などが挙げられる。もちろん利用者端末１２からの情報の出力実績はこれらのものに限定されない。そして本実施形態では、当該危険性の高低の評価値として、情報が流出する危険性の低さを表す安全指数が用いられる。そして本実施形態では、当該安全指数は、図３に例示する、情報が流出する危険性の評価規則を示す評価規則情報に基づいて決定される。

図３に示すように本実施形態では評価規則情報では、評価項目、評価基準、及び、当該評価基準に該当した場合の安全指数の減少値が互いに関連付けられていいる。本実施形態では、初期値「１００」から利用者端末１２が該当する評価基準に関連付けられている減少値の合計を引いた値が安全指数として算出される。

本実施形態では、評価基準に該当するか否かは、例えば利用者端末１２の記憶部１２ｂに記憶されている、当該利用者端末１２に関する設定情報や、利用者による当該利用者端末１２の操作履歴等に基づいて判定される。

図３に示すように、本実施形態では例えば、検疫サーバ１０に予め登録されているホワイトリストに含まれていないメールアドレス宛の電子メールの送信１回あたり、安全指数が「２」減少する。ここで本実施形態におけるホワイトリストとは、例えば少なくとも１つのメールアドレスを含むリストであって、例えば当該リストに含まれているメールアドレス宛の電子メールが送信されても安全指数が減少しない。このようにして本実施形態では、利用者端末１２から送信された、ホワイトリストに含まれていないメールアドレス宛の電子メールが多いほど情報が流出する危険性が高く評価されることとなる。なおここでは電子メールの送信履歴が出力実績情報に相当することとなる。

また本実施形態では例えば、現在までの電子メール送信回数が１〜９回であれば安全指数が「２」減少する。また本実施形態では例えば、現在までの電子メール送信回数が１０〜２９回であれば安全指数が「４」減少する。また本実施形態では例えば、現在までの電子メール送信回数が３０〜４９回であれば安全指数が「６」減少する。また本実施形態では例えば、現在までの電子メール送信回数が５０〜９９回であれば安全指数が「８」減少する。また本実施形態では例えば、現在までの電子メール送信回数が１００回以上であれば安全指数が「１０」減少する。なお現在までの電子メール送信回数の代わりに、現在に至る予め定められた期間における電子メール送信回数に基づいて安全指数の減少値が決定されるようにしてもよい。このようにして本実施形態では、利用者端末１２による電子メールの送信回数が多いほど情報が流出する危険性が高く評価されることとなる。なおここでも電子メールの送信履歴が出力実績情報に相当することとなる。

また本実施形態では例えば、ブラウザからの、検疫サーバ１０に予め登録されているホワイトリストに含まれていないＦＱＤＮ（Ｆｕｌｌｙ Ｑｕａｌｉｆｉｅｄ Ｄｏｍａｉｎ Ｎａｍｅ）のウェブサイトへのアクセス１回あたり、安全指数が「１」減少する。ここで本実施形態におけるホワイトリストとは、上述のように、少なくとも１つのＦＱＤＮを含むリストであって、当該リストに含まれているＦＱＤＮのウェブサイトへのアクセスがあっても安全指数が減少しない。なお本実施形態におけるホワイトリストが、少なくとも１つのメールアドレス及び少なくとも１つのＦＱＤＮを含むリストであっても構わない。このようにして本実施形態では、利用者端末１２による、ホワイトリストに含まれていないＦＱＤＮのウェブサイトへのアクセスが多いほど情報が流出する危険性が高く評価されることとなる。なお、ウェブサイトのアクセス履歴は、ウェブサイトへのページ送信要求の出力履歴であると言えるので、ここではウェブサイトのアクセス履歴が出力実績情報に相当することとなる。

また本実施形態では例えば、プロキシサーバの設定が、利用者端末１２の管理者が指定した設定と異なっている場合に安全指数が「２」減少する。このようにして本実施形態では、指定されたプロキシサーバを経由しないで直接インターネットに情報の出力が行われた可能性がある場合に情報が流出する危険性が高く評価されることとなる。なお、プロキシサーバの設定は、ウェブサイトへのページ送信要求の出力経路の設定であると言えるので、ここではプロキシサーバの設定あるいは当該設定の変更履歴が出力実績情報に相当することとなる。

また本実施形態では、ＵＳＢメモリへの情報の書き込み１回あたり安全指数が「２」減少する。またライティングソフトによるＣＤ−ＲＯＭ等への書き込み１回あたり安全指数が「２」減少する。またライティングソフトを使用しない、ＵＳＢメモリ以外の外部記憶装置、例えば他のパーソナルコンピュータへの情報の書き込み１回あたり安全指数が「１０」減少する。このようにして本実施形態では、外部記憶装置への情報の書き込みが多いほど情報が流出する危険性が高く評価されることとなる。また例えば他のパーソナルコンピュータに書き込まれる情報の情報量は、ＵＳＢメモリやＣＤ−ＲＯＭ等に書き込まれる情報の情報量より大きいものと推測される。そのため本実施形態では、ＵＳＢ以外の外部記憶装置への情報の書き込みはＵＳＢメモリへの情報の書き込みやライティングソフトによる情報の書き込みよりも情報が流出する危険性がより高く評価されるようになっている。なおここでは外部記憶装置への情報の書込履歴が出力実績情報に相当することとなる。

なお、図３の評価規則情報に示した評価項目や評価基準は一例であり、これらの評価項目の一部に基づいて安全指数が算出されたり、これら以外の評価項目に基づいて安全指数が算出されたりしてももちろん構わない。また安全指数の減少値についても図３に示したものに限定されない。

そして本実施形態では、図３に示す評価規則情報に基づいて決定された安全指数と図４に例示するアクセス管理情報に基づいて、利用者端末１２による業務サーバ１４に記憶されている情報の取得や業務サーバ１４への情報の出力が制御されることとなる。本実施形態では、図４に示すように、安全指数に応じた安全度が決定される。例えば安全指数が８０以上である場合は、安全度は「高」と決定される。また例えば安全指数が６０以上７９以下である場合は、安全度は「中」と決定される。また例えば安全指数が５９以下である場合は、安全度は「低」と決定される。そして本実施形態では例えば、決定された安全度に応じて、利用者端末１２による情報の取得や出力の可否が制御されることとなる。

図５Ａ、図５Ｂ、及び、図５Ｃのそれぞれは、業務サーバ１４の特定のフォルダ、ここでは例えば「\\server\file」に格納されている情報の一覧を示す一覧画面の一例を示す図である。当該一覧画面は、利用者端末１２がアクセスツールを介して業務サーバ１４の当該フォルダにアクセスすることにより、利用者端末１２のディスプレイに表示される。図２に示すように当該フォルダには、関連付けられている機密度が「高」である２つのファイルと関連付けられている機密度が「中」である１つのファイルが格納されている。

図５Ａには、安全度が「高」と決定された場合に表示される一覧画面の一例が示されている。図４に例示するように、安全度が「高」と決定された場合は、利用者端末１２は関連付けられている機密度によらず業務サーバ１４に記憶されている情報はダウンロード可となる。そのため図５Ａに例示する一覧画面には、３つのファイルそれぞれに対応付けられる、当該ファイルの名称を含むインデックス情報Ｉｎが３つ配置されている。なおインデックス（Ｉｎｄｅｘ）の語頭の２文字が「Ｉｎ」であることから、本実施形態ではインデックス情報の符号をＩｎとした。そして本実施形態では、これら３つのインデックス情報Ｉｎのそれぞれには、当該インデックス情報Ｉｎに対応するファイルがダウンロード可であることを示す画像Ｉｍが含まれている。なお画像（Ｉｍａｇｅ）の語頭の２文字が「Ｉｍ」であることから、本実施形態では当該画像の符号をＩｍとした。本実施形態ではインデックス情報Ｉｎはリンクとなっており、利用者がインデックス情報Ｉｎをクリックすることで、当該インデックス情報Ｉｎに対応するファイルが利用者端末１２のディスプレイに表示される。ここで利用者がダウンロード操作を行うと、本実施形態では、当該ファイルが業務サーバ１４から利用者端末１２にダウンロードされて利用者端末１２に保存されることとなる。

図５Ｂには、安全度が「中」と決定された場合に表示される一覧画面の一例が示されている。図４に例示するように、安全度が「中」と決定された場合は、利用者端末１２は関連付けられている機密度が「中」又は「低」である情報はダウンロード可である。一方この場合は、本実施形態では、利用者端末１２は関連付けられている機密度が「高」である情報はダウンロード不可で参照可となる。そのため図５Ｂに示す一覧画面には、３つのファイルそれぞれに対応付けられる、当該ファイルの名称を含むインデックス情報Ｉｎが３つ配置されている。そして本実施形態では、関連付けられている機密度が「中」であるファイルに対応付けられるインデックス情報Ｉｎについてのみ画像Ｉｍが含まれている。ここで利用者がインデックス情報Ｉｎをクリックすると、本実施形態では、当該インデックス情報Ｉｎに対応するファイルが利用者端末１２のディスプレイに表示される。そして画像Ｉｍが含まれるインデックス情報Ｉｎに対応するファイルについてのみ、利用者がダウンロード操作を行うと当該ファイルがダウンロードされて利用者端末１２に保存されることとなる。

図５Ｃには、安全度が「低」と決定された場合に表示される一覧画面の一例が示されている。図４に例示するように、安全度が「低」と決定された場合は、利用者端末１２は関連付けられている機密度が「低」である情報はダウンロード可である。そしてこの場合は、本実施形態では、利用者端末１２は関連付けられている機密度が「中」である情報はダウンロード不可で参照可となる。また本実施形態では、関連付けられている機密度が「高」である情報は非表示となる。そのため図５Ｃに例示する一覧画面には、関連付けられている機密度が「中」であるファイルに対応付けられるインデックス情報Ｉｎだけが配置されている。ここで利用者がインデックス情報Ｉｎをクリックすることで、本実施形態では、当該インデックス情報Ｉｎに対応するファイルが利用者端末１２のディスプレイに表示される。

なお以上、出力実績情報に基づいて、情報の取得の可否が制御されることについて説明したが、同様にして本実施形態において、例えば、出力実績情報に基づいて、情報の出力の可否が制御されてもよい。例えば、安全度が「高」と決定された場合に、利用者端末１２から業務サーバ１４への情報のアップロードが許可され、安全度が「中」又は「低」と決定された場合に、利用者端末１２から業務サーバ１４への情報のアップロードが許可されないようにしてもよい。

以上のようにして本実施形態では、利用者端末１２からの情報の出力実績に基づいて当該利用者端末１２による情報の取得及び出力の少なくとも一方の可否が制御される。

以下、本実施形態の機能及び本実施形態で実行される処理についてさらに説明する。

図６は、本実施形態に係る検疫サーバ１０及び利用者端末１２で実装される機能の一例を示す機能ブロック図である。なお、本実施形態に係る検疫サーバ１０及び利用者端末１２で、図６に示す機能のすべてが実装される必要はなく、また、図６に示す機能以外の機能が実装されていても構わない。

本実施形態に係る検疫サーバ１０は、図６に示すように、機能的には例えば、出力実績情報取得部２０、出力実績情報記憶部２２、評価規則情報記憶部２４、ホワイトリスト記憶部２６、安全指数決定部２８、安全指数送信部３０、を含んでいる。出力実績情報取得部２０、安全指数送信部３０は、通信部１０ｃを主として実装される。出力実績情報記憶部２２、評価規則情報記憶部２４、ホワイトリスト記憶部２６は、記憶部１０ｂを主として実装される。安全指数決定部２８は制御部１０ａを主として実装される。

これらの機能は、コンピュータである検疫サーバ１０にインストールされた、以上の機能に対応する指令を含むプログラムを、制御部１０ａで実行することにより実装されている。このプログラムは、例えば、光ディスク、磁気ディスク、磁気テープ、光磁気ディスク、フラッシュメモリ等のコンピュータ可読な情報記憶媒体を介して、あるいは、インターネットなどの通信手段を介して制御部１０ａに供給される。

本実施形態に係る利用者端末１２は、図６に示すように、機能的には例えば、設定情報・履歴記憶部４０、出力実績情報取得部４２、出力実績情報記憶部４４、出力実績情報送信部４６、安全指数受信部４８、安全指数記憶部５０、機密度管理情報要求部５２、機密度管理情報受信部５４、機密度管理情報記憶部５６、アクセス管理情報記憶部５８、情報取得出力可否制御部６０、を含んでいる。設定情報・履歴記憶部４０、出力実績情報記憶部４４、安全指数記憶部５０、機密度管理情報記憶部５６、アクセス管理情報記憶部５８は、記憶部１２ｂを主として実装される。出力実績情報取得部４２は、制御部１２ａを主として実装される。出力実績情報送信部４６、安全指数受信部４８、機密度管理情報要求部５２、機密度管理情報受信部５４は、通信部１２ｃを主として実装される。情報取得出力可否制御部６０は、制御部１２ａ及びＵＩ部１２ｄを主として実装される。

これらの機能は、コンピュータである利用者端末１２にインストールされた、以上の機能に対応する指令を含むプログラムを、制御部１２ａで実行することにより実装されている。このプログラムは、例えば、光ディスク、磁気ディスク、磁気テープ、光磁気ディスク、フラッシュメモリ等のコンピュータ可読な情報記憶媒体を介して、あるいは、インターネットなどの通信手段を介して制御部１２ａに供給される。当該プログラムは本実施形態では例えば、上述のアクセスツールに相当する。

そして本実施形態では、検疫サーバ１０と利用者端末１２とが全体として利用者端末１２からの情報の出力実績に基づいて当該利用者端末１２による情報の取得及び出力の少なくとも一方の可否を制御する制御装置としての役割を担っていることとなる。

出力実績情報取得部２０は、本実施形態では、利用者端末１２による情報の出力実績を示す上述の出力実績情報を取得する。出力実績情報取得部２０は、本実施形態では例えば、利用者端末１２から送信される出力実績情報を受信する。

出力実績情報記憶部２２は、本実施形態では、出力実績情報取得部２０が取得する出力実績情報を記憶する。

評価規則情報記憶部２４は、本実施形態では、図３に例示する評価規則情報を記憶する。

ホワイトリスト記憶部２６は、本実施形態では、上述した、少なくとも１つのメールアドレス及び少なくとも１つのＦＱＤＮを含むホワイトリストを記憶する。本実施形態では、当該ホワイトリストに含まれているメールアドレス宛の電子メールが利用者端末１２から送信されても上述の安全指数は減少しない。また本実施形態では、当該ホワイトリストに含まれているＦＱＤＮのウェブサイトに利用者端末１２がアクセスしても上述の安全指数は減少しない。

安全指数決定部２８は、本実施形態では、上述したようにして、評価規則情報記憶部２４に記憶されている評価規則情報と出力実績情報記憶部２２に記憶されている出力実績情報とに基づいて、安全指数を決定する。

安全指数送信部３０は、本実施形態では、安全指数決定部２８が決定する安全指数を利用者端末１２に送信する。

設定情報・履歴記憶部４０は、本実施形態では、利用者端末１２の設定情報や利用者による利用者端末１２の操作履歴を記憶する。設定情報・履歴記憶部４０は、本実施形態では例えば、電子メールへの送信履歴、ウェブサイトへのアクセス履歴、プロキシサーバの設定、ＵＳＢメモリ等の外部記憶装置への情報の書き込み履歴、ライティングソフトの利用履歴、などを記憶する。

出力実績情報取得部４２は、本実施形態では、出力実績情報を取得する。出力実績情報取得部４２は、本実施形態では例えば、設定情報・履歴記憶部４０に記憶されている情報のなかから、安全指数の算出に用いられる情報を出力実績情報として選択的に収集して、出力実績情報記憶部４４に記憶させる。なお出力実績情報取得部４２が定期的に出力実績情報を収集するようにしてもよい。

出力実績情報記憶部４４は、本実施形態では、出力実績情報取得部４２が取得する出力実績情報を記憶する。

出力実績情報送信部４６は、本実施形態では、出力実績情報記憶部４４に記憶されている出力実績情報を検疫サーバ１０に送信する。

安全指数受信部４８は、本実施形態では、検疫サーバ１０の安全指数送信部３０が送信する安全指数を受信して、安全指数記憶部５０に記憶させる。

安全指数記憶部５０は、本実施形態では、安全指数受信部４８が受信する安全指数を記憶する。

機密度管理情報要求部５２は、本実施形態では、業務サーバ１４に、図２に例示する機密度管理情報の送信を要求する。

機密度管理情報受信部５４は、本実施形態では、業務サーバ１４から送信される機密度管理情報を受信して、機密度管理情報記憶部５６に記憶させる。

機密度管理情報記憶部５６は、本実施形態では、機密度管理情報受信部５４が受信する機密度管理情報を記憶する。

アクセス管理情報記憶部５８は、本実施形態では、図４に例示するアクセス管理情報を記憶する。

情報取得出力可否制御部６０は、本実施形態では、上述したようにして、出力実績情報に基づいて、利用者端末１２による情報の取得及び出力の少なくとも一方の可否を制御する。当該制御は、本実施形態では例えば、機密度管理情報記憶部５６に記憶されている機密度管理情報、安全指数記憶部５０に記憶されている安全指数、及び、アクセス管理情報記憶部５８に記憶されているアクセス管理情報に基づいて行われる。また情報取得出力可否制御部６０は、本実施形態では、図５Ａ、図５Ｂ、及び、図５Ｃに例示する一覧画面を生成して利用者端末１２のディスプレイに表示させる。

情報取得出力可否制御部６０は、本実施形態では、上述のように、電子メールの送信履歴やウェブサイトへのアクセス履歴などといった利用者による操作履歴に基づいて、利用者端末１２による情報の取得及び出力の少なくとも一方の可否を制御する。このように上述の出力実績情報は、利用者による操作履歴であってもよい。そのため本実施形態によれば、利用者による操作履歴を踏まえた情報流出の危険性の評価に基づいて情報の取得や出力が制御されることとなる。

また情報取得出力可否制御部６０は、本実施形態では、例えば電子メールの送信回数などといった利用者端末１２による情報の出力回数に基づいて、利用者端末１２による情報の取得及び出力の少なくとも一方の可否を制御する。そのため本実施形態によれば、利用者端末１２による情報の出力回数を踏まえた情報流出の危険性の評価に基づいて情報の取得や出力が制御されることとなる。

また情報取得出力可否制御部６０は、本実施形態では、例えば電子メールの送信先のメールアドレスなどといった利用者端末１２による情報の出力先に基づいて、利用者端末１２による情報の取得及び出力の少なくとも一方の可否を制御する。そのため本実施形態によれば、利用者端末１２による情報の出力先を踏まえた情報流出の危険性の評価に基づいて情報の取得や出力が制御されることとなる。

また本実施形態では、ＵＳＢメモリへの情報の書き込み及びライティングソフトによる情報の書き込みよりも、ライティングソフトを使用しない、ＵＳＢメモリ以外の外部記憶装置への情報の書き込みの方が、安全指数の減少値が大きくなるように設定されている。これは上述のように、他のパーソナルコンピュータに書き込まれる情報の情報量は、ＵＳＢメモリやＣＤ−ＲＯＭ等に書き込まれる情報の情報量より大きいものと推測されるためである。例えばこのようにして、情報取得出力可否制御部６０が、出力された情報の量に基づいて、利用者端末１２による情報の取得及び出力の少なくとも一方の可否を制御してもよい。例えば、外部記憶装置に出力された情報の量が多いほど安全指数の減少値が大きくなるようにしてもよい。また例えば、送信された電子メールに添付されたファイルの総数や電子メールに添付されたファイルのサイズの平均値や合計値が大きい程、安全指数の減少値が大きくなるようにしてもよい。

また情報取得出力可否制御部６０は、例えば、利用者端末１２から出力された情報に設定されている機密度、例えば送信された電子メールに添付されたファイルの機密度に基づいて、情報の取得及び出力の少なくとも一方の可否を制御してもよい。例えば機密度が「高」であるファイルが添付された電子メールが送信された場合の方が、機密度が「低」であるファイルが添付された電子メールが送信された場合よりも、安全指数の減少値が大きくなるようにしてもよい。

情報取得出力可否制御部６０は、本実施形態では上述のように、複数種類の情報の出力実績のそれぞれについて決定される安全指数の合計に基づいて、利用者端末１２による情報の取得及び出力の少なくとも一方の可否を制御する。このようにして本実施形態では、複数種類の情報の出力実績を踏まえた情報流出の危険性の総合的な評価が安全指数に集約されることとなる。

ここで利用者が業務サーバ１４に記憶されている情報にアクセスする際に本実施形態に係る検疫サーバ１０及び利用者端末１２で行われる処理の流れの一例を、図７に例示するフロー図を参照しながら説明する。

まず利用者がユーザＩＤとパスワードを入力して上述のアクセスツールを起動すると、出力実績情報取得部４２が出力実績情報を収集する（Ｓ１０１）。そして出力実績情報送信部４６がＳ１０１に示す処理で収集した出力実績情報を検疫サーバ１０に送信する。すると検疫サーバ１０の出力実績情報取得部２０は当該出力実績情報を受信する（Ｓ１０２）。そして検疫サーバ１０の出力実績情報取得部２０は、受信した出力実績情報を出力実績情報記憶部２２に記憶させる（Ｓ１０３）。

すると安全指数決定部２８が、評価規則情報記憶部２４に記憶されている評価規則情報とＳ１０３に示す処理で記憶された出力実績情報とに基づいて安全指数を決定する（Ｓ１０４）。本実施形態では、Ｓ１０４に示す処理では、ホワイトリスト記憶部２６に記憶されているホワイトリストも用いられる。そして安全指数送信部３０は、Ｓ１０４に示す処理で決定された安全指数を利用者端末１２に送信する。すると、利用者端末１２の安全指数受信部４８は当該安全指数を受信する（Ｓ１０５）。そして安全指数受信部４８は、Ｓ１０５に示す処理で受信した安全指数を安全指数記憶部５０に記憶させる（Ｓ１０６）。

ここで利用者がアクセスしたいフォルダをアクセスツールにおいて指定する操作を行ったとする。ここでは例えば「\\server\file」フォルダを指定する操作を行ったとする。すると機密度管理情報要求部５２は、機密度管理情報の要求を業務サーバ１４に送信する。すると業務サーバ１４は、当該要求を受信する（Ｓ１０７）。すると業務サーバ１４は、業務サーバ１４に記憶されているファイルやフォルダ等の情報に基づいて機密度管理情報を生成して、利用者端末１２に送信する。すると利用者端末１２の機密度管理情報受信部５４は当該機密度管理情報を受信する（Ｓ１０８）。なおここで業務サーバ１４は、指定されたフォルダ配下、ここでは「\\server\file」フォルダ配下のファイルやフォルダについての機密度管理情報を生成して、送信するようにしてもよい。そして機密度管理情報受信部５４はＳ１０８に示す処理で受信した機密度管理情報を機密度管理情報記憶部５６に記憶させる（Ｓ１０９）。

そして、情報取得出力可否制御部６０が、図５Ａ、図５Ｂ、及び、図５Ｃに例示する一覧画面を生成して利用者端末１２のディスプレイに表示させる（Ｓ１１０）。本実施形態では、Ｓ１１０に示す処理では、一覧画面は、Ｓ１０９に示す処理で記憶された機密度管理情報、Ｓ１０６に示す処理で記憶された安全指数、及び、アクセス管理情報記憶部５８に記憶されているアクセス管理情報に基づいて、生成されることとなる。

そして以後、上述したようにして、ファイルの表示やダウンロードが行われることとなる。

なお、本発明は上述の実施形態に限定されるものではない。

例えば、検疫サーバ１０、利用者端末１２、業務サーバ１４の役割分担は上述のものに限定されない。例えば、検疫サーバ１０が業務サーバ１４に安全指数を送信してもよい。そしてアクセス管理情報が業務サーバ１４に記憶されていてもよい。そして業務サーバ１４が、当該アクセス管理情報と送信された安全指数とに基づいて、業務サーバ１４に記憶されているファイルやフォルダ等の情報を利用者端末１２に送信するか否かを制御してもよい。このように、利用者端末１２が情報の取得を制御する代わりに、業務サーバ１４が情報の出力を制御するようにしてもよい。

また例えば、本実施形態における検疫サーバ１０の機能を利用者端末１２が併せて担うようにしてもよい。

また、本実施形態における検疫サーバ１０や利用者端末１２が複数の筐体から構成されていてもよい。また、上記の具体的な文字列や数値、並びに、図面中の具体的な文字列や数値は例示であり、これらの文字列や数値には限定されない。

１０ 検疫サーバ、１０ａ 制御部、１０ｂ 記憶部、１０ｃ 通信部、１２ 利用者端末、１２ａ 制御部、１２ｂ 記憶部、１２ｃ 通信部、１２ｄ ユーザインタフェース（ＵＩ）部、１４ 業務サーバ、１６ 通信手段、２０ 出力実績情報取得部、２２ 出力実績情報記憶部、２４ 評価規則情報記憶部、２６ ホワイトリスト記憶部、２８ 安全指数決定部、３０ 安全指数送信部、４０ 設定情報・履歴記憶部、４２ 出力実績情報取得部、４４ 出力実績情報記憶部、４６ 出力実績情報送信部、４８ 安全指数受信部、５０ 安全指数記憶部、５２ 機密度管理情報要求部、５４ 機密度管理情報受信部、５６ 機密度管理情報記憶部、５８ アクセス管理情報記憶部、６０ 情報取得出力可否制御部。

Claims (8)

1. 情報の出力実績を示す出力実績情報を取得する出力実績情報取得手段と、
   前記出力実績情報に基づいて、情報の取得及び出力の少なくとも一方の可否を制御する制御手段と、
   を含むことを特徴とする制御装置。
2. 前記出力実績情報は、利用者による操作履歴である、
   ことを特徴とする請求項１に記載の制御装置。
3. 前記制御手段は、情報の出力回数に基づいて、前記可否を制御する、
   ことを特徴とする請求項１又は２に記載の制御装置。
4. 前記制御手段は、情報の出力先に基づいて、前記可否を制御する、
   ことを特徴とする請求項１から３のいずれか一項に記載の制御装置。
5. 前記制御手段は、出力された情報の量に基づいて、前記可否を制御する、
   ことを特徴とする請求項１から４のいずれか一項に記載の制御装置。
6. 前記制御手段は、出力された情報に設定されている機密度に基づいて、前記可否を制御する、
   ことを特徴とする請求項１から５のいずれか一項に記載の制御装置。
7. 前記制御手段は、複数種類の前記出力実績のそれぞれについて決定される値の合計に基づいて、前記可否を制御する、
   ことを特徴とする請求項１から６のいずれか一項に記載の制御装置。
8. 情報の出力実績を示す情報を取得する出力実績情報取得手段、
   前記出力実績情報に基づいて、情報の取得及び出力の少なくとも一方の可否を制御する制御手段、
   としてコンピュータを機能させることを特徴とするプログラム。

Images