JP2017010258A - 不正操作監視装置、不正操作監視方法および不正操作監視システム - Google Patents

Abstract

【課題】正常な操作を不正操作と誤って検出することを防ぐ。
【解決手段】不正操作監視装置１０１は、業務において行われたいずれかの操作を示す情報１１１を取得し、操作を示す情報１１１から、業務における各操作が行われた頻度１１３を算出する。この後、不正操作監視装置１０１は、業務における各操作が行われた頻度１１３を、業務における各操作に応じて設定された閾値１１４と比較し、比較した結果に基づいて、業務において不正操作が行われたか否かを判断する。
【選択図】図１

Description

本発明は、不正操作監視装置、不正操作監視方法および不正操作監視システムに関する。

近年、企業における業務用ＰＣ（パーソナル・コンピュータ）に、ウィルスやトロイの木馬等のマルウェアが感染することがある。マルウェアに感染すると、悪意のあるユーザが、業務用ＰＣを不正に遠隔操作して、社内システムやサーバにある重要情報を盗み出す場合がある。

例えば、マルウェアに感染すると、業務用ＰＣ内にバックドアが設置され、外部から業務用ＰＣを操作されるため、ＩＤ（Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ）とパスワードによるユーザ認証で不正操作を防ぐことができない。このため、業務用ＰＣによる不正操作が行われたか否かを検出することが行われる。

関連する先行技術としては、例えば、作業申請情報を受信し、システム操作の内容が申請された作業申請情報内にあるか否かで不正操作を判定する技術がある。また、例えば、操作項目毎の重み値の偏差を平均値および標準偏差から求め、偏差が許容範囲外であると不正操作と判定する技術がある。また、例えば、業務名、ユーザ名、ファイルアクセスの許可時間等を関連付けたアクセス許可ポリシーを生成し、アクセス時間外のときは、不正アクセスを見つけ、ファイルへのアクセスを拒否する技術がある。また、例えば、使用者に対して所定のポイント値を付与し、所定の条件で、ポイント値から所定値を減算し、ポイント値が予め設定される閾値以下となった際に、使用者に関する情報を削除する技術がある。また、例えば、新たなイベントについて、前回イベントで設定された不審値と前回イベントとの時間差を反映した不正スコアを算出することで、不正操作を検知する技術がある。

特開２００８−１１７００７号公報 特開２０１１−２１００６０号公報 特開２００５−２３４７２９号公報 特開２００９−８０６９８号公報 国際公開２００７／０７７６２４号

しかしながら、従来技術では、正常な操作を不正操作と誤って判断する場合がある。例えば、ユーザは、業務において毎回全く同じ動作をするとは限らない。このため、業務における操作に対して、不正操作である可能性を示す値を算出し、算出した値が許容範囲内に収まっていない場合を不正操作と判断すると、正常な操作を不正操作と誤って判断する場合がある。

一つの側面では、本発明は、正常な操作を不正操作と誤って判断することを防ぐ不正操作監視装置、不正操作監視方法および不正操作監視システムを提供することを目的とする。

本発明の一側面によれば、業務において行われたいずれかの操作を示す情報を取得したことに応じて、取得した前記操作を示す情報から、業務における各操作が行われた頻度を算出し、算出した業務における各操作が行われた頻度と、業務における各操作に応じて設定された閾値とをそれぞれ比較し、比較した結果に基づいて、業務において不正操作が行われたか否かを判断する不正操作監視装置、不正操作監視方法および不正操作監視システムが提案される。

本発明の一態様によれば、正常な操作を不正操作と誤って検出することを防ぐという効果を奏する。

図１は、実施の形態にかかる不正操作監視方法の一実施例を示す説明図である。 図２は、不正操作監視システム２００のシステム構成例を示す説明図である。 図３は、不正操作監視装置１０１のハードウェア構成例を示すブロック図である。 図４は、スケジュールプロファイルテーブル２２０の記憶内容の一例を示す説明図である。 図５は、業務プロファイルテーブル２３０の記憶内容の一例を示す説明図である。 図６は、操作プロファイルテーブル２４０の記憶内容の一例を示す説明図である。 図７は、操作履歴テーブル２５０の記憶内容の一例を示す説明図である。 図８は、実操作テーブル２６０の記憶内容の一例を示す説明図である。 図９は、適用プロファイルテーブル２７０の記憶内容の一例を示す説明図である。 図１０は、スコアテーブル２８０の記憶内容の一例を示す説明図である。 図１１は、操作ログ２９０の記憶内容の一例を示す説明図である。 図１２は、業務プロファイル登録画面１２００の一例を示す説明図である。 図１３は、操作プロファイル登録画面１３００の一例を示す説明図である。 図１４は、操作履歴表示画面１４００の一例を示す説明図である。 図１５は、スケジュールプロファイル登録画面１５００の一例を示す説明図である。 図１６は、ブロック閾値登録画面１６００の一例を示す説明図である。 図１７は、不正操作監視装置１０１の機能的構成例を示すブロック図である。 図１８は、不正操作監視装置１０１の操作履歴テーブル作成処理手順の一例を示すフローチャートである。 図１９は、不正操作監視装置１０１のプロファイル作成処理手順の一例を示すフローチャートである。 図２０は、不正操作監視装置１０１の不正操作判断処理手順の一例を示すフローチャートである。 図２１は、操作ログ２９０の記憶内容の他の一例を示す説明図である。 図２２は、実操作テーブル２６０の記憶内容の他の一例を示す説明図である。 図２３は、スコアテーブル２８０の記憶内容の他の一例を示す説明図である。

以下に図面を参照して、本発明にかかる不正操作監視装置、不正操作監視方法および不正操作監視システムの実施の形態を詳細に説明する。

（実施の形態）
図１は、実施の形態にかかる不正操作監視方法の一実施例を示す説明図である。不正操作監視装置１０１は、端末装置１０２が不正操作を行っているかを監視するコンピュータである。

ここで、不正操作とは、端末装置１０２を使用する権限のあるユーザ以外のユーザによる端末装置１０２の操作である。例えば、不正操作は、不当に取得したＩＤとパスワードによりログインしたユーザによる操作である。また、例えば、不正操作は、端末装置１０２に設置されたバックドアから侵入したユーザによる操作である。また、操作とは、端末装置１０２を動かして、作用させること、または、端末装置１０２からの指示によりサーバ１０３を動かして、作用させることである。例えば、操作は、ユーザが端末装置１０２上でキーボード、マウス等で入力すること、または、端末装置１０２に接続されたサーバ１０３のファイルにアクセスすることである。

近年、端末装置１０２がマルウェアに感染し、マルウェアにより設置されたバックドアから侵入したユーザが社内システムやサーバにある重要情報を盗み出す場合がある。端末装置１０２がマルウェアに感染すると、ＩＤやパスワードで外部からのユーザの侵入を防ぐことができないため、端末装置１０２で不正操作が行われているか否かを検出することが行われる。

例えば、端末装置１０２で行われる操作に対して、不正操作である可能性を示す値を算出し、算出された値が許容範囲に収まっているか否かで操作を不正操作と判定する技術がある。しかしながら、ユーザは、業務において毎回全く同じ動作をするとは限らない。このため、業務における一つの操作が、過去の操作と異なる場合があり、操作に対して、算出された値が、許容範囲内に収まらない場合がある。この場合、ユーザの正常な操作にも関わらず、不正操作と判定されてしまう。

そこで、実施の形態では、不正操作監視装置１０１は、業務で行われた各操作が行われた頻度を、操作に応じて設定された閾値と比較した結果に基づき、業務において不正操作が行われたかを判断する。これにより、不正操作監視装置１０１は、業務内の複数の操作により不正操作を判断できる。このため、不正操作監視装置１０１は、正常な操作を不正操作と誤って判断することを防ぐことができる。

以下、実施の形態にかかる不正操作監視装置１０１の一実施例について説明する。図１の例では、端末装置１０２がサーバ１０３に対して行った操作に基づき、端末装置１０２の操作が不正操作であるか否かを判断する例である。また、サーバ１０３は、サーバＡおよびシステムＡを有し、これ以降の記載で、サーバ１０３を、サーバＡまたはシステムＡと称することもある。

（１）不正操作監視装置１０１は、業務において行われたいずれかの操作を示す情報１１１を取得する。ここで、操作を示す情報１１１とは、端末装置１０２が行った操作の内容と時刻を特定できる情報である。例えば、操作を示す情報１１１は、操作時刻、操作対象および操作種別を含む。また、例えば、不正操作監視装置１０１は、業務と時間を対応付けた情報より、操作を行った業務を特定することができる。また、操作を示す情報１１１が、業務を特定できる情報を含み、不正操作監視装置１０１が、業務を特定できる情報から操作を行った業務を特定することもできる。

図１の例では、不正操作監視装置１０１が、端末装置１０２で行われた操作を示す情報１１１を取得した例である。操作を示す情報１１１には、サーバＡ、システムＡに対して行われた操作の操作時刻、操作対象および操作種別を含む。また、例えば、不正操作監視装置１０１は、業務名と時間帯を対応付ける情報１１２から、操作を示す情報１１１に含まれる操作は、業務名「見積もり」で行われたと特定することができる。

（２）不正操作監視装置１０１は、操作を示す情報１１１から、業務における各操作が行われた頻度１１３を作成する。ここで、各操作が行われた頻度１１３とは、業務において操作が行われた頻度を操作ごとに示す情報である。例えば、各操作が行われた頻度１１４は、業務において操作が行われた累計回数および操作が行われた累計時間である。

図１の例では、業務名「見積もり」で端末装置１０２は、システムＡに４回アクセスし、サーバＡに２回アクセスしている。不正操作監視装置１０１は、業務名「見積もり」でシステムＡアクセス回数を４回とし、サーバＡアクセス回数を２回とした各操作が行われた頻度１１３を作成する。

（３）不正操作監視装置１０１は、業務における各操作が行われた頻度１１３を、業務における各操作に応じて設定された閾値１１４と比較する。例えば、不正操作監視装置１０１は、業務における操作ごとに操作が行われた累計および操作が行われた時間を閾値と比較する。ここで、閾値は、ユーザが過去に行った操作に基づき設定されることができる。

図１の例では、不正操作監視装置１０１は、業務名「見積もり」におけるシステムＡアクセス回数およびサーバＡアクセス回数をそれぞれの閾値と比較する。

（４）不正操作監視装置１０１は、比較した結果に基づいて、業務において不正操作が行われたか否かを判断する。例えば、不正操作監視装置１０１は、累計が閾値を超えた場合、操作に対応した重みを決定し、操作ごとに決定した重みを、業務に対応した閾値１１５を超えたか否かで不正操作が行われたか否かを判断する。ここで、業務に対応した閾値１１５は、ユーザが業務内で過去に行った操作に基づき設定されることができる。

また、例えば、不正操作監視装置１０１は、累計が閾値を超えた数が、所定の数を超えたか否かで不正操作が行われたか否かを判断することができる。

図１の例では、システムＡアクセス回数の累計は４回であり、閾値の３回を超えている。このため、不正操作監視装置１０１は、システムＡアクセス回数に対応した重みとして、例えば、１を決定する。また、サーバＡアクセス回数の累計は２回であり、閾値の０回を超えている。このため、不正操作監視装置１０１は、サーバＡアクセス回数に対応した重みとして、例えば、２を決定する。

重みの１と２を加算した３は、業務名「見積もり」に対応した閾値１１５の１を超えている。このため、不正操作監視装置１０１は、業務名「見積もり」において不正操作が行われたと判断する。

以上説明したように、不正操作監視装置１０１は、業務において行われたいずれかの操作を示す情報１１１を取得し、操作を示す情報１１１から、業務における各操作が行われた頻度１１３を算出する。この後、不正操作監視装置１０１は、業務における各操作が行われた頻度１１３を、業務における各操作に応じて設定された閾値１１４と比較し、比較した結果に基づいて、業務において不正操作が行われたか否かを判断する。

これにより、不正操作監視装置１０１は、業務内の複数の操作に基づいて、端末装置１０２において不正操作が行われたか否かを判断できる。例えば、業務における正常な操作では、ある操作の回数が多くなり、ある操作で閾値を超えることはあり得る。この場合、他の操作を行う時間が無くなるため、他の操作では閾値を超えることが少ない。このため、例えば、業務内のある操作が閾値を超え、他の操作が閾値を超えない場合、不正操作監視装置１０１は、正常な操作と判断する。一方、不正操作では、ある操作で閾値を超えるだけでなく、他の操作でも閾値を超えることが多い。この場合、不正操作監視装置１０１は、不正操作と判断する。このため、不正操作監視装置１０１は、正常な操作を不正操作と誤って判断することを防ぐことができる。

（不正操作監視システム２００のシステム構成例）
図２は、不正操作監視システム２００のシステム構成例を示す説明図である。図２において、不正操作監視システム２００は、不正操作監視装置１０１と、端末装置１０２と、サーバ１０３と、を含む。不正操作監視装置１０１と、端末装置１０２と、サーバ１０３は、有線または無線のネットワーク２１０を介して接続される。ネットワーク２１０は、例えば、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）、インターネットなどである。

不正操作監視装置１０１は、端末装置１０２がサーバ１０３に対して行った操作が不正操作であるか否かを判断する装置である。具体的には、例えば、不正操作監視装置１０１はサーバ等のコンピュータである。

また、不正操作監視装置１０１は、スケジュールプロファイルテーブル２２０、業務プロファイルテーブル２３０、操作プロファイルテーブル２４０、操作履歴テーブル２５０、実操作テーブル２６０、適用プロファイルテーブル２７０、スコアテーブル２８０および操作ログ２９０を有する。これらの記憶内容については、図４〜図１１を用いて後述する。

ここで、スケジュールプロファイルテーブル２２０、業務プロファイルテーブル２３０、操作プロファイルテーブル２４０は、端末装置１０２を使用するユーザが、不正操作監視装置１０１が不正を監視する前に作成しておくテーブルである。これ以降の記載で、スケジュールプロファイルテーブル２２０、業務プロファイルテーブル２３０および操作プロファイルテーブル２４０を、プロファイルテーブルと称することもある。例えば、端末装置１０２を使用するユーザは、業務を開始する前にスケジュールプロファイルテーブル２２０、業務プロファイルテーブル２３０、操作プロファイルテーブル２４０を作成する。

また、操作履歴テーブル２５０、実操作テーブル２６０、適用プロファイルテーブル２７０およびスコアテーブル２８０は、不正操作監視装置１０１が不正を監視する際に、作成および更新されるテーブルである。また、操作ログ２９０は、端末装置１０２がサーバ１０３に対する操作を行うことにより、作成および更新されるテーブルである。

ここで、業務プロファイルテーブル２３０は、図１の業務に対応した閾値１１５に対応し、操作プロファイルテーブル２４０は、図１の業務における各操作に応じて設定された閾値１１４に対応する。また、実操作テーブル２６０は、図１の業務における各操作が行われた頻度１１３に対応し、操作ログ２９０は、図１の操作を示す情報１１１に対応する。

端末装置１０２は、ユーザがサーバ１０３を操作することにより業務を実行するコンピュータである。具体的に、端末装置１０２は、ＰＣ、タブレット端末等のコンピュータである。

サーバ１０３は、ユーザが業務を行うためのサービスを提供するコンピュータである。例えば、サーバ１０３は、ユーザが業務で使用するファイルを保存するファイルサーバであり、ユーザが業務で使用するメールを送受信するメールサーバである。

（不正操作監視装置１０１のハードウェア構成例）
図３は、不正操作監視装置１０１のハードウェア構成例を示すブロック図である。図３において、不正操作監視装置１０１は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）３０１と、メモリ３０２と、Ｉ／Ｆ（Ｉｎｔｅｒｆａｃｅ）３０３と、ディスクドライブ３０４と、ディスク３０５と、を有する。また、各構成部は、バス３００によってそれぞれ接続される。

ここで、ＣＰＵ３０１は、不正操作監視装置１０１の全体の制御を司る。メモリ３０２は、例えば、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）およびフラッシュＲＯＭなどを有する。具体的には、例えば、フラッシュＲＯＭやＲＯＭが各種プログラムを記憶し、ＲＡＭは記憶部としてＣＰＵ３０１のワークエリアとして使用される。メモリ３０２に記憶されるプログラムは、ＣＰＵ３０１にロードされることで、コーディングされている処理をＣＰＵ３０１に実行させる。

Ｉ／Ｆ３０３は、通信回線を通じてＬＡＮ、ＷＡＮ、インターネットなどのネットワーク２１０に接続され、ネットワーク２１０を介して他のコンピュータ（例えば、図２に記載の端末装置１０２およびサーバ１０３）に接続される。そして、Ｉ／Ｆ３０３は、ネットワーク２１０と内部のインターフェースを司り、他のコンピュータからのデータの入出力を制御する。Ｉ／Ｆ３０３には、例えば、モデムやＬＡＮアダプタなどを採用することができる。

ディスクドライブ３０４は、ＣＰＵ３０１の制御に従ってディスク３０５に対するデータのリード／ライトを制御する。ディスク３０５は、ディスクドライブ３０４の制御で書き込まれたデータを記憶する。ディスク３０５としては、例えば、磁気ディスク、光ディスクなどが挙げられる。

なお、不正操作監視装置１０１は、上述した構成部のほか、例えば、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）、キーボード、マウス、プリンタ、ディスプレイなどを有することにしてもよい。また、図２に示した端末装置１０２およびサーバ１０３についても、不正操作監視装置１０１と同様のハードウェア構成例により実現することができる。

（スケジュールプロファイルテーブル２２０の一例）
図４は、スケジュールプロファイルテーブル２２０の記憶内容の一例を示す説明図である。図４において、スケジュールプロファイルテーブル２２０は、例えば、不正操作監視装置１０１によって作成、更新され、不正操作監視装置１０１のメモリ３０２またはディスク３０５に記憶される。

スケジュールプロファイルテーブル２２０は、例えば、端末装置１０２を使用するユーザごとに、ユーザの業務日ごとに作成される。また、例えば、スケジュールプロファイルテーブル２２０は、ユーザが業務を開始する前に、ユーザによって作成される。

スケジュールプロファイルテーブル２２０は、業務名、開始時刻および終了時刻の項目を有する。スケジュールプロファイルテーブル２２０は、各項目に情報を設定することで、スケジュール情報を１レコードとして記憶する。例えば、図４に示すスケジュールプロファイルテーブル２２０は、スケジュール情報４００−１〜４００−７を各レコードとして記憶する。

ここで、業務名は、ユーザが行う業務の名称を示す。ここで、業務には、昼休み等の休憩時間を含めることもできる。また、開始時刻は、業務名の業務を開始する時刻を示す。また、終了時刻は、業務名の業務を終了する時刻を示す。例えば、開始時刻および終了時刻は、時分で示される。

図４の例では、レコード４００−２は、業務名「資料作成」が、８時５０分に開始され、１１時００分に終了することを示す。

（業務プロファイルテーブル２３０の一例）
図５は、業務プロファイルテーブル２３０の記憶内容の一例を示す説明図である。図５において、業務プロファイルテーブル２３０は、例えば、不正操作監視装置１０１によって作成、更新され、不正操作監視装置１０１のメモリ３０２またはディスク３０５に記憶される。

業務プロファイルテーブル２３０は、例えば、端末装置１０２を使用するユーザごとに作成される。また、例えば、業務プロファイルテーブル２３０は、ユーザに新たな業務が追加された時に更新される。

業務プロファイルテーブル２３０は、業務名およびブロック閾値の項目を有する。業務プロファイルテーブル２３０は、各項目に情報を設定することで、業務情報を１レコードとして記憶する。例えば、図５に示す業務プロファイルテーブル２３０は、業務情報５００−１〜５００−６を各レコードとして記憶する。

ここで、業務名は、ユーザが行う業務の名称を示す。また、ブロック閾値は、業務名の業務で行われた操作が不正操作であるか否かを判断するための閾値を示す。例えば、不正操作監視装置１０１は、ブロック閾値を後述する図１０のスコアと比較することにより、不正操作であるか否かを判断できる。ここで、ブロック閾値は、例えば、ユーザが過去に行った正常な業務が不正と判断されない値とすることができる。また、ブロック閾値は、不正操作監視システム２００のシステム管理者またはセキュリティ管理者等がデフォルトの規定値を提示して、提示された値とすることができる。

また、業務プロファイルテーブル２３０は、業務全体で行われた操作が不正操作であるか否かを判断するため、業務名として業務全体のレコードを有することができる。ここで、業務全体とは、一日で行われた業務全てのことである。この際、不正操作監視装置１０１は、ブロック閾値をすべての業務のブロック閾値を加算した値より小さい値とすることができる。例えば、不正操作監視装置１０１は、すべての業務のブロック閾値を加算した値の７割から８割の値とすることができる。

また、業務プロファイルテーブル２３０は、時間的に連続して行われる複数の業務で行われた操作が不正操作であるか否かを判断するため、業務名として時間的に連続して行われる複数の業務のレコードを有することができる。ここで、時間的に連続して行われる複数の業務とは、業務の終了時刻と開始時刻が同一の業務のことである。また、不正操作監視装置１０１は、時間的に連続して行われる複数の業務のブロック閾値を、複数の業務のブロック閾値を加算した値または加算した値より小さい値とすることができる。

図５の例では、レコード５００−２は、業務名「打合せ」のブロック閾値が「３０」であることを示す。

（操作プロファイルテーブル２４０の一例）
図６は、操作プロファイルテーブル２４０の記憶内容の一例を示す説明図である。図６において、操作プロファイルテーブル２４０は、例えば、不正操作監視装置１０１によって作成、更新され、不正操作監視装置１０１のメモリ３０２またはディスク３０５に記憶される。

操作プロファイルテーブル２４０は、例えば、端末装置１０２を使用するユーザごとに、作成される。また、例えば、操作プロファイルテーブル２４０は、ユーザに新たな業務または新たな操作が追加された時に更新される。

操作プロファイルテーブル２４０は、業務名、操作名、閾値および重みの項目を有する。操作プロファイルテーブル２４０は、各項目に情報を設定することで、操作情報を１レコードとして記憶する。例えば、図６に示す操作プロファイルテーブル２４０は、操作情報６００−１〜６００−５を各レコードとして記憶する。

ここで、業務名は、ユーザが行う業務の名称を示す。また、操作名は、業務名の業務で行われる操作の名称を示す。また、閾値は、操作名の操作が正常な操作の範囲内であるか否かを判断するための閾値を示す。例えば、不正操作監視装置１０１は、閾値を後述する図８の累計と比較することにより、正常な操作の範囲内であるか否かを判断できる。

ここで、閾値は、例えば、ユーザが過去に行った正常な業務における操作が不正と判断されない値とすることができる。また、閾値は、後述する図７の操作ごとの平均に基づいた値とすることができる。例えば、不正操作監視装置１０１は、閾値を、後述する図７の平均を含む範囲とすることができる。また、平均の他に操作ごとの標準偏差が算出された場合、不正操作監視装置１０１は、閾値の範囲を標準偏差に基づいて設定することができる。

また、重みは、操作名の操作が正常な操作の範囲内でないと判断された際に、操作ごとに算出される値を示す。例えば、操作名の操作が、日によって代わることのない決まった動作である場合、正常な操作の範囲内でないことは異常であるため、重みを大きくすることができる。逆に、操作名の操作が、日によって代わる非定型の業務の操作である場合、正常な操作の範囲内でなくても、それほど異常な状態でないため、重みを小さくすることができる。

図６の例では、レコード６００−１は、業務名「見積もり」において操作名「システムＡ操作時間」は、５分から２０分の間である場合、操作が正常な操作の範囲内であると判断され、正常な操作の範囲内でない場合の重みは、「１」であることを示す。ここで、操作時間とは、システムＡにログインして、システムＡからログアウトするまでの時間である。

（操作履歴テーブル２５０の一例）
図７は、操作履歴テーブル２５０の記憶内容の一例を示す説明図である。図７において、操作履歴テーブル２５０は、例えば、不正操作監視装置１０１によって作成、更新され、不正操作監視装置１０１のメモリ３０２またはディスク３０５に記憶される。

操作履歴テーブル２５０は、例えば、端末装置１０２を使用するユーザごとに、作成される。また、例えば、操作履歴テーブル２５０は、ユーザが過去に行った操作に基づき、作成される。また、例えば、操作履歴テーブル２５０は、ユーザからの指示により作成される。また、例えば、操作履歴テーブル２５０は、後述する図１３の操作プロファイル登録画面１３００の表示ボタン１３６０を押下することにより作成される。また、後述する図１４の操作履歴表示画面１４００の更新ボタン１４４０を押下することにより作成される。

操作履歴テーブル２５０は、業務名、操作名および平均の項目を有する。操作履歴テーブル２５０は、各項目に情報を設定することで、操作履歴情報を１レコードとして記憶する。例えば、図７に示す操作履歴テーブル２５０は、操作履歴情報７００−１〜７００−３を各レコードとして記憶する。

ここで、業務名は、ユーザが行う業務の名称を示す。また、操作名は、業務名の業務で行われる操作の名称を示す。また、平均は、過去の一定期間での操作の平均を示す。例えば、操作名に操作時間が含まれるとき、ユーザが過去の一定期間で行った操作の一日の平均時間を示す。また、例えば、操作名にアクセス回数が含まれるとき、ユーザが過去の一定期間で行ったアクセスの一日の平均回数を示す。また、例えば、一定期間として１ヶ月とすることができる。また、例えば、一定期間は、操作履歴表示画面１４００の期間入力項目１４３０で入力することができる。

また、操作履歴テーブル２５０は、平均の他に標準偏差の項目をさらに有することとしてもよい。この場合、平均と標準偏差に基づいて、操作プロファイルテーブル２４０の閾値を決定することができる。

図７の例では、レコード７００−１は、業務名「見積もり」において操作名「システムＡ操作時間」の平均が「１０分」であることを示す。

（実操作テーブル２６０の一例）
図８は、実操作テーブル２６０の記憶内容の一例を示す説明図である。図８において、実操作テーブル２６０は、例えば、不正操作監視装置１０１によって作成、更新され、不正操作監視装置１０１のメモリ３０２またはディスク３０５に記憶される。

実操作テーブル２６０は、例えば、端末装置１０２を使用するユーザごとに、作成される。また、例えば、実操作テーブル２６０は、スケジュールプロファイルテーブル２２０の最も早い開始時刻から現在時刻までの操作に基づき作成される。また、例えば、操作履歴テーブル２５０は、ユーザが操作を行うごとに更新されることができる。例えば、操作履歴テーブル２５０は、ユーザの業務が変更するごとに更新されることができる。

実操作テーブル２６０は、業務名、操作名および累計の項目を有する。実操作テーブル２６０は、各項目に情報を設定することで、実操作情報を１レコードとして記憶する。例えば、図８に示す実操作テーブル２６０は、実操作情報８００−１〜８００−４を各レコードとして記憶する。

ここで、業務名は、ユーザが行う業務の名称を示す。また、操作名は、業務名の業務で行われる操作の名称を示す。また、累計は、スケジュールプロファイルテーブル２２０の最も早い開始時刻から現在時刻までの操作の累計を示す。例えば、操作名に操作時間を含むとき、累計は累計時間を示す。また、例えば、操作名にアクセス回数を含むとき、累計は累計回数を示す。

図８の例では、レコード８００−１は、業務名「見積もり」において操作名「システムＡ操作時間」の累計が「３３分」であることを示す。

（適用プロファイルテーブル２７０の一例）
図９は、適用プロファイルテーブル２７０の記憶内容の一例を示す説明図である。図９において、適用プロファイルテーブル２７０は、例えば、不正操作監視装置１０１によって作成、更新され、不正操作監視装置１０１のメモリ３０２またはディスク３０５に記憶される。

適用プロファイルテーブル２７０は、例えば、端末装置１０２を使用するユーザごとに、作成される。また、例えば、適用プロファイルテーブル２７０は、ユーザが行う業務が変更した際に更新される。

適用プロファイルテーブル２７０は、適用業務名の項目を有する。適用プロファイルテーブル２７０は、各項目に情報を設定することで、適用業務情報を１レコードとして記憶する。例えば、図９に示す適用プロファイルテーブル２７０は、適用業務情報９００−１をレコードとして記憶する。

ここで、適用業務名は、ユーザが現在行っている業務の名称を示す。例えば、適用業務名は、ユーザが操作を行った際の時刻を取得し、当該時刻がスケジュールプロファイルテーブル２２０の開始時刻と終了時刻の間にある業務名から取得することができる。

図９の例では、レコード９００−１は、ユーザが現在行っている業務は、「見積もり」であることを示す。

（スコアテーブル２８０の一例）
図１０は、スコアテーブル２８０の記憶内容の一例を示す説明図である。図１０において、スコアテーブル２８０は、例えば、不正操作監視装置１０１によって作成、更新され、不正操作監視装置１０１のメモリ３０２またはディスク３０５に記憶される。

スコアテーブル２８０は、例えば、端末装置１０２を使用するユーザごとに、作成される。また、例えば、スコアテーブル２８０は、実操作テーブル２６０が更新されるごとに更新される。

スコアテーブル２８０は、業務名およびスコアの項目を有する。スコアテーブル２８０は、各項目に情報を設定することで、スコア情報を１レコードとして記憶する。例えば、図１０に示すスコアテーブル２８０は、スコア情報１０００−１〜１０００−６を各レコードとして記憶する。

ここで、業務名は、ユーザが行う業務の名称を示す。また、スコアは、業務名の業務の中の操作で、正常の範囲内でないと判断された操作に基づいて加算される値を示す。例えば、実操作テーブル２６０の累計が、操作プロファイルテーブル２４０の閾値を超えた場合、操作プロファイルテーブル２４０の重みが、スコアに加算される。また、実操作テーブル２６０の累計が、操作プロファイルテーブル２４０の閾値の上限のｎ倍（ここで、ｎは正の整数）を超えた場合、操作プロファイルテーブル２４０の重みのｎ倍が、スコアに加算されることができる。

図１０の例では、レコード１０００−２は、業務名「打合せ」においてスコアが「２２」であることを示す。

（操作ログ２９０の記憶内容の一例）
図１１は、操作ログ２９０の記憶内容の一例を示す説明図である。図１１において、操作ログ２９０は、例えば、不正操作監視装置１０１によって作成、更新され、不正操作監視装置１０１のメモリ３０２またはディスク３０５に記憶される。

操作ログ２９０は、例えば、端末装置１０２を使用するユーザごとに、作成される。また、例えば、操作ログ２９０は、ユーザが端末装置１０２でサーバ１０３を操作するごとに更新される。

操作ログ２９０は、時刻、対象および操作の項目を有する。操作ログ２９０は、各項目に情報を設定することで、操作情報を１レコードとして記憶する。例えば、図１１に示す操作ログ２９０は、操作情報１１００−１〜１１００−１１を各レコードとして記憶する。

ここで、時刻は、ユーザが端末装置１０２でサーバ１０３を操作した時刻を示す。例えば、時刻は、時分で示される。対象は、ユーザが端末装置１０２で操作した対象を示す。例えば、対象は、サーバ１０３の名称またはサーバ１０３に記憶されたファイル名を示す。操作は、ユーザが端末装置１０２で対象に行った操作を示す。

図１１の例では、レコード１１００−１は１３時００分に、ユーザが端末装置１０２からシステムＡにログインしたことを示す。

（業務プロファイル登録画面１２００の一例）
図１２は、業務プロファイル登録画面１２００の一例を示す説明図である。図１２において、業務プロファイル登録画面１２００は、ユーザが業務プロファイルテーブル２３０に業務名を登録するための画面である。また、例えば、業務プロファイル登録画面１２００は、不正操作監視装置１０１によって作成され、端末装置１０２のディスプレイに表示される。

業務プロファイル登録画面１２００は、ユーザ項目１２１０、業務入力項目１２２０、続けて入力ボタン１２３０および入力終了ボタン１２４０を有する。

ここで、ユーザ項目１２１０は、業務名を入力するユーザが表示される項目である。例えば、ユーザ項目１２１０は、ユーザの氏名を表示する。また、業務入力項目１２２０は、ユーザが端末装置１０２で行う業務名を入力する項目である。また、続けて入力ボタン１２３０は、業務入力項目１２２０に入力された業務名を業務プロファイルテーブル２３０の業務名に登録し、再度、業務入力項目１２２０に業務名を入力するためのボタンである。また、入力終了ボタン１２４０は、業務入力項目１２２０に入力された業務名を業務プロファイルテーブル２３０の業務名に登録し、業務名の入力を終了するためのボタンである。

図１２の例は、ユーザ○○が、端末装置１０２で行う業務名として、「見積もり」を入力した例である。

（操作プロファイル登録画面１３００の一例）
図１３は、操作プロファイル登録画面１３００の一例を示す説明図である。図１３において、操作プロファイル登録画面１３００は、ユーザが操作プロファイルテーブル２４０に操作名、閾値および重みを登録するための画面である。例えば、操作プロファイル登録画面１３００は、業務プロファイル登録画面１２００で業務名を入力した後に表示される。また、例えば、操作プロファイル登録画面１３００は、不正操作監視装置１０１によって作成され、端末装置１０２のディスプレイに表示される。

操作プロファイル登録画面１３００は、ユーザ項目１３１０、業務選択項目１３２０、操作入力項目１３３０、閾値項目１３４０、重み項目１３５０、表示ボタン１３６０、続けて入力ボタン１３７０および入力終了ボタン１３８０を有する。

ここで、ユーザ項目１３１０は、操作名、閾値および重みを入力するユーザが表示される項目である。また、業務選択項目１３２０は、業務を選択する項目である。例えば、業務選択項目１３２０には、業務プロファイルテーブル２３０に登録された業務名が表示される。また、例えば、ユーザは、マウス等のポインティングデバイスを使用して、業務選択項目１３２０に表示された業務名を選択することができる。

また、操作入力項目１３３０は、業務選択項目１３２０に表示された業務名の業務で行う操作をユーザが入力する項目である。また、閾値項目１３４０は、操作に対する閾値を入力する項目である。閾値は、下限と上限を入力することができる。重み項目１３５０は、操作に対する重みを入力する項目である。

また、表示ボタン１３６０は、図１４で後述する操作履歴表示画面１４００を表示するボタンである。例えば、操作履歴表示画面１４００により、ユーザは、ユーザが過去に行った操作の平均を知ることができ、閾値を入力する際の参考にすることができる。

また、続けて入力ボタン１３７０は、入力された操作名、閾値および重みを、それぞれ操作プロファイルテーブル２４０の操作名、閾値および重みに登録し、再度、操作名、閾値および重みを入力するためのボタンである。また、入力終了ボタン１３８０は、入力された操作名、閾値および重みを、それぞれ操作プロファイルテーブル２４０の操作名、閾値および重みに登録し、操作名、閾値および重みの入力を終了するためのボタンである。

図１３の例は、ユーザ○○が、業務名「見積もり」で行う操作として、操作名として「システムＡ操作時間」、閾値の下限として「５分」、閾値の上限として「２０分」、重みとして「１」を入力した例である。

（操作履歴表示画面１４００の一例）
図１４は、操作履歴表示画面１４００の一例を示す説明図である。図１４において、操作履歴表示画面１４００は、操作履歴テーブル２５０に記憶されたレコードを表示するための画面である。例えば、操作履歴表示画面１４００は、操作プロファイル登録画面１３００の表示ボタン１３６０を押下することにより表示される。また、例えば、操作履歴表示画面１４００は、不正操作監視装置１０１によって作成され、端末装置１０２のディスプレイに表示される。

操作履歴表示画面１４００は、ユーザ項目１４１０、履歴表示項目１４２０、期間入力項目１４３０、更新ボタン１４４０および終了ボタン１４５０を有する。

ここで、ユーザ項目１４１０は、操作履歴を表示するユーザが表示される項目である。履歴表示項目１４２０は、操作履歴テーブル２５０に記憶されたレコードを表示する項目である。期間入力項目１４３０は、平均を計算する期間を入力する項目である。例えば、期間は、開始時期と終了時期とで指定することができる。

また、更新ボタン１４４０は、履歴表示項目１４２０を更新するためのボタンである。例えば、不正操作監視装置１０１は、期間入力項目１４３０に入力された期間に基づいて、操作履歴テーブル２５０の平均を計算し、履歴表示項目１４２０に計算した平均を表示する。終了ボタン１４５０は、操作履歴表示画面１４００の表示を終了するための画面である。

図１４の例は、ユーザ○○の４月〜５月の操作履歴が表示された例である。

（スケジュールプロファイル登録画面１５００の一例）
図１５は、スケジュールプロファイル登録画面１５００の一例を示す説明図である。図１５において、スケジュールプロファイル登録画面１５００は、ユーザの業務スケジュールを入力するための画面である。例えば、スケジュールプロファイル登録画面１５００は、不正操作監視装置１０１によって作成され、端末装置１０２のディスプレイに表示される。

スケジュールプロファイル登録画面１５００は、ユーザ項目１５１０、スケジュールプロファイル入力項目１５２０および入力完了ボタン１５３０を有する。

ここで、ユーザ項目１５１０は、スケジュールプロファイルを入力するユーザが表示される項目である。また、スケジュールプロファイル入力項目１５２０は、ユーザがスケジュールプロファイルを入力する項目である。例えば、不正操作監視装置１０１は、スケジュールプロファイル入力項目１５２０の業務名に業務プロファイル登録画面１２００で登録された業務名を表示する。ユーザは、業務名ごとに開始時刻および終了時刻をスケジュールプロファイル入力項目１５２０に入力する。

また、入力完了ボタン１５３０は、スケジュールプロファイル入力項目１５２０への入力を終了するためのボタンである。例えば、不正操作監視装置１０１は、スケジュールプロファイル入力項目１５２０に入力された内容に基づき、スケジュールプロファイルテーブル２２０を作成する。

図１５の例は、業務名として、出勤、資料作成、打合せ、昼休み、見積もり、検証および退勤が表示され、ユーザ○○がそれぞれの開始時刻と終了時刻を入力した例である。

（ブロック閾値登録画面１６００の一例）
図１６は、ブロック閾値登録画面１６００の一例を示す説明図である。図１６において、ブロック閾値登録画面１６００は、業務プロファイルテーブル２３０の業務名に対応するブロック閾値を入力するための画面である。例えば、ブロック閾値登録画面１６００は、不正操作監視装置１０１によって作成され、端末装置１０２のディスプレイに表示される。

ブロック閾値登録画面１６００は、ユーザ項目１６１０、ブロック閾値入力項目１６２０、業務追加ボタン１６３０および入力完了ボタン１６４０を有する。

ここで、ユーザ項目１６１０は、ブロック閾値を入力するユーザが表示される項目である。ブロック閾値入力項目１６２０は、ユーザがブロック閾値を入力する項目である。例えば、不正操作監視装置１０１は、ブロック閾値入力項目１６２０の業務名に業務プロファイル登録画面１２００で登録された業務名を表示する。

また、業務追加ボタン１６３０は、ユーザが業務を追加するためのボタンである。例えば、業務追加ボタン１６３０が押下されると、不正操作監視装置１０１は、業務プロファイル登録画面１２００を表示して、ユーザが業務を追加することを可能にする。

また、入力完了ボタン１６４０は、ブロック閾値入力項目１６２０への入力を終了するためのボタンである。例えば、不正操作監視装置１０１は、ブロック閾値入力項目１６２０に入力された内容に基づき、業務プロファイルテーブル２３０を更新する。

図１６の例は、ユーザ○○が、業務名、打合せ、資料作成、検証および見積もりのそれぞれに対してブロック閾値を入力した例である。

（不正操作監視装置１０１の機能的構成例）
図１７は、不正操作監視装置１０１の機能的構成例を示すブロック図である。図１７において、不正操作監視装置１０１は、取得部１７０１と、算出部１７０２と、比較部１７０３と、判断部１７０４と、を含む構成である。取得部１７０１と、算出部１７０２と、比較部１７０３と、判断部１７０４と、を含む制御部は、具体的には、例えば、図３に示したメモリ３０２などの記憶装置に記憶されたプログラムをＣＰＵ３０１に実行させることにより、その機能を実現する。各機能部の処理結果は、例えば、図３に示したメモリ３０２などの記憶装置に記憶される。

取得部１７０１は、業務のいずれかにおいて行われた操作を示す情報を取得する機能を有する。例えば、取得部１７０１は、操作を示す情報として、時刻と、操作対象と、操作の詳細とを取得して、操作ログ２９０に蓄積する。

ここで、取得部１７０１は、端末装置１０２がサーバ１０３に行った操作ごとに、操作を示す情報を取得し、操作ログ２９０にレコードを蓄積することができる。また、例えば、取得部１７０１は、一定期間ごとに、操作を示す情報を取得し、操作ログ２９０にレコードをまとめて蓄積することができる。

また、取得部１７０１は、端末装置１０２を使用するユーザから、スケジュールプロファイルテーブル２２０、業務プロファイルテーブル２３０および操作プロファイルテーブル２４０に設定する情報を取得する。

例えば、取得部１７０１は、業務プロファイル登録画面１２００およびブロック閾値登録画面１６００を、端末装置１０２に表示して、業務プロファイルテーブル２３０に設定する情報を取得する。また、例えば、取得部１７０１は、操作プロファイル登録画面１３００および操作履歴表示画面１４００を、端末装置１０２に表示して、操作プロファイルテーブル２４０に設定する情報を取得する。また、例えば、取得部１７０１は、スケジュールプロファイル登録画面１５００を、端末装置１０２に表示して、スケジュールプロファイルテーブル２２０に設定する情報を取得する。

算出部１７０２は、取得部１７０１が取得した操作を示す情報から、業務における各操作が行われた頻度を算出する機能を有する。例えば、算出部１７０２は、スケジュールプロファイルテーブル２２０を参照し、操作を示す情報に含まれる時刻から、業務名を抽出する。算出部１７０２は、抽出した業務名が、適用プロファイルテーブル２７０の適用業務と異なる場合、適用プロファイルテーブル２７０の適用業務を更新する。

また、算出部１７０２は、業務における各操作が行われた頻度を算出して、実操作テーブル２６０を作成する。ここで、例えば、算出部１７０２は、適用プロファイルテーブル２７０の適用業務を更新するごとに、実操作テーブル２６０を作成する。また、算出部１７０２は、操作を示す情報を取得するごとに実操作テーブル２６０を作成することもできる。

また、算出部１７０２は、取得部１７０１が取得した情報に基づき、スケジュールプロファイルテーブル２２０、業務プロファイルテーブル２３０、操作プロファイルテーブル２４０を作成する。

また、算出部１７０２は、取得部１７０１が取得した操作を示す情報から、操作履歴テーブル２５０を作成する。例えば、算出部１７０２は、操作履歴表示画面１４００の期間入力項目１４３０に入力された開始時期と終了時期とで指定された期間を受け付け、該当期間の操作ログ２９０から操作ごとに期間内における平均値を算出し、操作履歴テーブル２５０の平均に設定する。

比較部１７０３は、業務における各操作が行われた頻度を、業務における各操作に応じて設定された閾値と比較する機能を有する。例えば、比較部１７０３は、業務名と操作名が同一の操作プロファイルテーブル２４０のレコードの閾値と実操作テーブル２６０のレコードの累計を比較する。

また、比較部１７０３は、実操作テーブル２６０の累計が、操作プロファイルテーブル２４０の閾値を超える場合、操作プロファイルテーブル２４０の重みを抽出する。また、比較部１７０３は、操作名ごとに抽出した重みを加算することでスコアを業務名ごとに算出する。また、比較部１７０３は、業務名ごとに算出したスコアを、対応する業務名のスコアテーブル２８０のレコードのスコアに加算する。

判断部１７０４は、比較した結果に基づいて、業務において不正操作が行われたか否かを判断する機能を有する。例えば、判断部１７０４は、業務プロファイルテーブル２３０のブロック閾値とスコアテーブル２８０のスコアとを業務名ごとに比較する。判断部１７０４は、少なくとも１つの業務名でスコアテーブル２８０のスコアが、業務プロファイルテーブル２３０のブロック閾値を超える場合、業務において不正操作が行われたと判断する。

また、判断部１７０４は、業務において不正操作が行われたと判断すると、制御処理を実行することができる。

（操作履歴テーブル作成処理手順の一例）
図１８は、不正操作監視装置１０１の操作履歴テーブル作成処理手順の一例を示すフローチャートである。図１８において、まず、不正操作監視装置１０１は、ユーザから作成する期間を取得する（ステップＳ１８０１）。例えば、不正操作監視装置１０１は、操作履歴表示画面１４００の期間入力項目１４３０に入力された開始時期と終了時期とで指定された期間を取得する。

不正操作監視装置１０１は、該当期間の操作ログ２９０が存在するか否かを判断する（ステップＳ１８０２）。該当期間の操作ログ２９０が存在しないと判断した場合（ステップＳ１８０２：Ｎｏ）、不正操作監視装置１０１は、操作履歴テーブル作成処理を終了する。

該当期間の操作ログ２９０が存在すると判断した場合（ステップＳ１８０２：Ｙｅｓ）、不正操作監視装置１０１は、操作ログ２９０とスケジュールプロファイルテーブル２２０から操作ログ２９０の各操作の業務名を特定する（ステップＳ１８０３）。例えば、不正操作監視装置１０１は、操作ログ２９０の時刻がスケジュールプロファイルテーブル２２０の開始時刻と終了時刻との間にあるレコードの業務名を特定する。

不正操作監視装置１０１は、操作ごとに期間内における平均値を算出する（ステップＳ１８０４）。例えば、不正操作監視装置１０１は、操作がシステムに対するアクセスである場合、期間内のアクセス回数の累計を求め、求めた累計を期間内の業務日数で割ることによりアクセス回数の平均を算出する。また、例えば、不正操作監視装置１０１は、期間内の操作時間の累計を求め、求めた累計を期間内の業務日数で割ることにより操作時間の平均を算出する。

不正操作監視装置１０１は、算出した平均値を操作履歴テーブル２５０に設定する（ステップＳ１８０５）。例えば、不正操作監視装置１０１は、操作がシステムに対するアクセスである場合、操作名をシステム操作時間として、算出した操作時間の平均値を操作履歴テーブル２５０の平均に設定する。また、例えば、不正操作監視装置１０１は、操作名をシステムアクセス回数として、算出したアクセス回数の平均値を操作履歴テーブル２５０の平均に設定する。

不正操作監視装置１０１は、操作履歴テーブル２５０を表示する（ステップＳ１８０６）。例えば、不正操作監視装置１０１は、操作履歴表示画面１４００の履歴表示項目１４２０に操作履歴テーブル２５０を表示する。

これにより、本フローチャートにおける一連の処理は終了する。本フローチャートを実行することで、不正操作監視装置１０１は、操作履歴テーブル２５０を作成、表示することができる。

（プロファイル作成処理手順の一例）
図１９は、不正操作監視装置１０１のプロファイル作成処理手順の一例を示すフローチャートである。図１９において、まず、不正操作監視装置１０１は、ユーザから業務名を取得する（ステップＳ１９０１）。例えば、不正操作監視装置１０１は、業務プロファイル登録画面１２００の業務入力項目１２２０から業務名を取得する。ここで、不正操作監視装置１０１は、ユーザから複数の業務名を取得することもできる。

不正操作監視装置１０１は、取得した業務名を業務プロファイルテーブル２３０に登録する（ステップＳ１９０２）。例えば、不正操作監視装置１０１は、業務プロファイルテーブル２３０の業務名に取得した業務名を登録する。また、ここで、不正操作監視装置１０１は、業務全体のレコードを業務プロファイルテーブル２３０に追加することができる。

不正操作監視装置１０１は、操作履歴テーブル２５０を表示する（ステップＳ１９０３）。例えば、不正操作監視装置１０１は、操作プロファイル登録画面１３００において、操作ごとに閾値と重みをユーザが入力する際の情報として操作履歴テーブル２５０を表示する。具体的には、操作プロファイル登録画面１３００の表示ボタン１３６０の押下により、不正操作監視装置１０１は操作履歴テーブル２５０を表示する。また、例えば、不正操作監視装置１０１は、操作履歴表示画面１４００の履歴表示項目１４２０に操作履歴テーブル２５０を表示する。

不正操作監視装置１０１は、業務ごとに操作、閾値、重みを取得する（ステップＳ１９０４）。例えば、不正操作監視装置１０１は、操作プロファイル登録画面１３００の操作入力項目１３３０、閾値項目１３４０、重み項目１３５０から業務ごとの操作、閾値、重みを取得する。

不正操作監視装置１０１は、取得した業務ごとの操作、閾値、重みを操作プロファイルテーブル２４０に登録する（ステップＳ１９０５）。例えば、不正操作監視装置１０１は、操作プロファイルテーブル２４０の業務名、操作名、閾値、重みに、操作登録画面１３００の業務選択項目１３２０で選択された業務、取得した操作、閾値、重みを登録する。

不正操作監視装置１０１は、スケジュールを取得する（ステップＳ１９０６）。例えば、不正操作監視装置１０１は、スケジュールプロファイル登録画面１５００のスケジュールプロファイル入力項目１５２０の業務名ごとの開始時刻と終了時刻を取得する。

不正操作監視装置１０１は、取得した業務名ごとの開始時刻と終了時刻をスケジュールプロファイルテーブル２２０に登録する（ステップＳ１９０７）。例えば、不正操作監視装置１０１は、業務名ごとにスケジュールプロファイルテーブル２２０の開始時刻と終了時刻に、取得した開始時刻と終了時刻を登録する。

不正操作監視装置１０１は、業務ごとにブロック閾値を取得する（ステップＳ１９０８）。例えば、不正操作監視装置１０１は、ブロック閾値登録画面１６００のブロック閾値入力項目１６２０の業務名ごとのブロック閾値を取得する。

不正操作監視装置１０１は、取得したブロック閾値を業務プロファイルテーブル２３０に登録する（ステップＳ１９０９）。例えば、不正操作監視装置１０１は、業務名ごとに業務プロファイルテーブル２３０のブロック閾値に受け付けたブロック閾値を登録する。

これにより、本フローチャートにおける一連の処理は終了する。本フローチャートを実行することで、不正操作監視装置１０１は、スケジュールプロファイルテーブル２２０、業務プロファイルテーブル２３０および操作プロファイルテーブル２４０を作成することができる。

（不正操作判断処理手順の一例）
図２０は、不正操作監視装置１０１の不正操作判断処理手順の一例を示すフローチャートである。図２０において、まず、不正操作監視装置１０１は、ユーザ操作情報を取得する（ステップＳ２００１）。例えば、不正操作監視装置１０１は、操作を行った時刻と、ユーザが操作した対象と、操作の詳細と、を受け付ける。例えば、不正操作監視装置１０１は、ユーザ操作情報を、端末装置１０２またはユーザが操作した対象から受け付けることができる。

不正操作監視装置１０１は、ユーザ操作ログ２９０に蓄積する（ステップＳ２００２）。例えば、不正操作監視装置１０１は、操作を行った時刻、ユーザが操作した対象、操作の詳細を、それぞれユーザ操作ログ２９０の時刻、対象、操作の項目に設定する。

不正操作監視装置１０１は、プロファイルテーブルが登録されているか否かを判断する（ステップＳ２００３）。例えば、不正操作監視装置１０１は、スケジュールプロファイルテーブル２２０、業務プロファイルテーブル２３０および操作プロファイルテーブル２４０のすべてが登録されているか否かを判断する。

プロファイルテーブルが登録されていない場合（ステップＳ２００３：Ｎｏ）、不正操作監視装置１０１は、プロファイルテーブル作成要求を行う（ステップＳ２０１３）。例えば、不正操作監視装置１０１は、ユーザが操作する端末装置１０２にスケジュールプロファイルテーブル２２０、業務プロファイルテーブル２３０および操作プロファイルテーブル２４０の作成要求を出力する。

この後、不正操作監視装置１０１の処理は、終了する。スケジュールプロファイルテーブル２２０、業務プロファイルテーブル２３０および操作プロファイルテーブル２４０のすべてが登録されていないと、業務において不正操作が存在するか否かを判断することができないためである。

プロファイルテーブルが登録されている場合（ステップＳ２００３：Ｙｅｓ）、不正操作監視装置１０１は、スケジュールプロファイルテーブル２２０から業務名を抽出可能か否かを判断する（ステップＳ２００４）。例えば、不正操作監視装置１０１は、ステップＳ２００１で取得したユーザ操作情報に含まれる時刻が、スケジュールプロファイルテーブル２２０のいずれかのレコードの開始時刻と終了時刻の間にあるか否かを判断する。

抽出不可能と判断する場合（ステップＳ２００４：Ｎｏ）、不正操作監視装置１０１の処理は、ステップＳ２０１２に移行する。この場合、不正操作監視装置１０１は、業務が行われる時間外で操作が行われたと判断し、ステップＳ２００１で取得したユーザ操作情報に含まれる操作を不正操作と判断する。

抽出可能と判断する場合（ステップＳ２００４：Ｙｅｓ）、不正操作監視装置１０１は、スケジュールプロファイルテーブル２２０から業務名を抽出する（ステップＳ２００５）。例えば、不正操作監視装置１０１は、ステップＳ２００１で取得したユーザ操作情報に含まれる時刻が、開始時刻と終了時刻の間にあるレコードの業務名を抽出する。

不正操作監視装置１０１は、ステップＳ２００５で抽出した業務名が、適用プロファイルテーブル２７０の適用業務と同一であるか否かを判断する（ステップＳ２００６）。同一でないと判断する場合（ステップＳ２００６：Ｎｏ）、不正操作監視装置１０１の処理は、ステップＳ２００１に戻る。

同一であると判断する場合（ステップＳ２００６：Ｙｅｓ）、不正操作監視装置１０１は、適用プロファイルテーブル２７０の適用業務に抽出した業務名を登録する（ステップＳ２００７）。不正操作監視装置１０１は、実操作テーブル２６０を作成する（ステップＳ２００８）。

例えば、ステップＳ２００１で取得したユーザ操作情報に含まれる対象が、実操作テーブル２６０の操作名に存在する場合、実操作テーブル２６０のレコードを更新する。例えば、不正操作監視装置１０１は、ステップＳ２００１で取得したユーザ操作情報に含まれる対象のアクセス回数の累計を１増加させる。また、不正操作監視装置１０１は、ステップＳ２００１で取得したユーザ操作情報に含まれる対象の操作時間の累計に、前回の操作から今回の操作までの時間を加算する。

また、例えば、ステップＳ２００１で取得したユーザ操作情報に含まれる対象が、実操作テーブル２６０の操作名に存在せず、操作プロファイルテーブル２４０の操作名に存在する場合、実操作テーブル２６０のレコードを作成する。例えば、不正操作監視装置１０１は、ステップＳ２００１で取得したユーザ操作情報に含まれる対象のアクセス回数の累計を１、ステップＳ２００１で取得したユーザ操作情報に含まれる対象の操作時間の累計を０分として、レコードを作成する。

また、例えば、ステップＳ２００１で取得したユーザ操作情報に含まれる対象が、実操作テーブル２６０の操作名に存在せず、操作プロファイルテーブル２４０の操作名に存在しない場合、実操作テーブル２６０の操作名が「定義外」のレコードを更新する。

図６と図８と図１１の例では、操作ログ２９０のレコード１１００−１〜１１００−５の対象は、システムＡであり、実操作テーブル２６０の操作名に存在する。このため、不正操作監視装置１０１は、実操作テーブル２６０のシステムＡ操作時間の累計を３３分に更新して、実操作テーブル２６０のシステムＡアクセス回数を５回に更新する。また、操作ログ２９０のレコード１１００−６〜１１００−１０の対象は、サーバＡであり、実操作テーブル２６０の操作名に存在する。このため、不正操作監視装置１０１は、実操作テーブル２６０のサーバＡアクセス回数を３回に更新する。また、操作ログ２９０のレコード１１００−１１の対象は、サーバＧであり、実操作テーブル２６０の操作名および操作プロファイルテーブル２４０の操作名に存在しない。このため、不正操作監視装置１０１は、実操作テーブル２６０の定義外操作を１回に更新する。

不正操作監視装置１０１は、操作プロファイルテーブル２４０と実操作テーブル２６０とを比較することにより業務名ごとにスコアを算出する（ステップＳ２００９）。例えば、不正操作監視装置１０１は、業務名と操作名が同一の操作プロファイルテーブル２４０のレコードの閾値と実操作テーブル２６０のレコードの累計を比較する。不正操作監視装置１０１は、実操作テーブル２６０の累計が、操作プロファイルテーブル２４０の閾値の範囲に含まれない場合、操作プロファイルテーブル２４０の重みを抽出する。

不正操作監視装置１０１は、業務名ごとに抽出した重みを加算することでスコアを算出する。実操作テーブル２６０の累計が、操作プロファイルテーブル２４０の閾値の上限のｎ倍（ここで、ｎは正の整数）を超えた場合、不正操作監視装置１０１は、操作プロファイルテーブル２４０の重みのｎ倍をスコアに加算することができる。

図６と図８の例では、不正操作監視装置１０１は、レコード６００−１〜レコード６００−４を、それぞれレコード８００−１〜レコード８００−４と比較する。レコード６００−１とレコード８００−１の比較では、累計は閾値を超えるため、重みとして１が抽出される。レコード６００−２とレコード８００−２の比較では、累計は閾値を超えないため、重みは抽出されない。レコード６００−３とレコード８００−３の比較では、累計は閾値を超えないため、重みは抽出されない。レコード６００−４とレコード８００−４の比較では、累計は閾値を超えないため、重みは抽出されない。この場合、不正操作監視装置１０１は、業務名「見積もり」に対してスコア「１」を算出する。

不正操作監視装置１０１は、スコアテーブル２８０を更新する（ステップＳ２０１０）。例えば、不正操作監視装置１０１は、業務名ごとに算出したスコアを、対応する業務名のスコアテーブル２８０のレコードのスコアに加算する。ここで、不正操作監視装置１０１は、業務名「業務全体」のレコードのスコアを、算出したスコアを全て加算した値とすることができる。また、不正操作監視装置１０１は、業務名に複数の業務名が存在する場合、それぞれの業務について算出されたスコアを加算する。

図１０の例では、不正操作監視装置１０１は、業務名「見積もり」に対してスコアテーブル２８０のスコアに「１」を加算する。また、不正操作監視装置１０１は、業務名「業務全体」および業務名「検証／見積もり」に対してスコアテーブル２８０のスコアに「１」を加算する。

不正操作監視装置１０１は、スコアがブロック閾値を超えているか否かを判断する（ステップＳ２０１１）。例えば、不正操作監視装置１０１は、業務プロファイルテーブル２３０のブロック閾値とスコアテーブル２８０のスコアとを業務名ごとに比較する。不正操作監視装置１０１は、少なくとも１つの業務名でスコアテーブル２８０のスコアが、業務プロファイルテーブル２３０のブロック閾値を超える場合、スコアはブロック閾値を超えていると判断する。

図５と図１０の例では、不正操作監視装置１０１は、業務プロファイルテーブル２３０のレコード５００−１〜５００−６のブロック閾値と、スコアテーブル２８０のレコード１０００−１〜１０００−６のスコアとを比較する。

この場合、全ての比較において、スコアテーブル２８０のスコアが、業務プロファイルテーブル２３０のブロック閾値を超えないため、不正操作監視装置１０１は、スコアはブロック閾値を超えていないと判断する。

スコアがブロック閾値を超えていない場合（ステップＳ２０１１：Ｎｏ）、不正操作監視装置１０１の処理は、ステップＳ２００１に戻る。スコアがブロック閾値を超えている場合（ステップＳ２０１１：Ｙｅｓ）、不正操作監視装置１０１は端末装置１０２において不正操作が行われていると判断する。

このため、不正操作監視装置１０１は、制御処理を実行する（ステップＳ２０１２）。例えば、不正操作監視装置１０１は、制御処理として、端末装置１０２からサーバ１０３のアクセスをブロックする。また、例えば、不正操作監視装置１０１は、端末装置１０２から外部の装置へのアクセスをブロックすることができる。また、不正操作監視装置１０１は、端末装置１０２のユーザや端末装置１０２を管理する管理者に、端末装置１０２で不正操作が行われていることを通知することもできる。

これにより、本フローチャートにおける一連の処理は終了する。本フローチャートを実行することで、不正操作監視装置１０１は、端末装置１０２で行われた業務における操作に不正操作があるか判断でき、不正操作があると判断した場合、端末装置１０２に制御処理を実行することができる。

今まで説明した不正操作判断処理手順の説明では、不正操作監視装置１０１は、端末装置１０２で行われた業務における操作に不正操作がないと判断した。以下では、不正操作監視装置１０１が、端末装置１０２で行われた業務における操作に不正操作があると判断する場合を説明する。

図２１は、操作ログ２９０の記憶内容の他の一例を示す説明図である。本操作ログ２９０では、図２０のステップＳ２００８の実操作テーブル作成の処理は以下のようになる。

操作ログ２９０のレコード２１００−１〜２１００−３、２１００−９および２１００−１０の対象は、システムＡであり、実操作テーブル２６０の操作名に存在する。このため、不正操作監視装置１０１は、実操作テーブル２６０のシステムＡ操作時間の累計を３３分に更新して、実操作テーブル２６０のシステムＡアクセス回数を５回に更新する。

また、操作ログ２９０のレコード２１００−４〜２１００−８の対象は、サーバＣであり、実操作テーブル２６０の操作名および操作プロファイルテーブル２４０の操作名に存在しない。このため、不正操作監視装置１０１は、実操作テーブル２６０の定義外操作を５回に更新する。

また、操作ログ２９０のレコード２１００−１１、２１００−１２および２１００−１８〜２１００−２０の対象は、サーバＡであり、実操作テーブル２６０の操作名に存在する。このため、不正操作監視装置１０１は、実操作テーブル２６０のサーバＡアクセス回数を５回に更新する。

また、操作ログ２９０のレコード２１００−１３〜２１００−１５の対象は、システムＣであり、実操作テーブル２６０の操作名および操作プロファイルテーブル２４０の操作名に存在しない。このため、不正操作監視装置１０１は、実操作テーブル２６０の定義外操作を８回に更新する。また、操作ログ２９０のレコード２１００−１６、２１００−１７の対象は、システムＤであり、実操作テーブル２６０の操作名および操作プロファイルテーブル２４０の操作名に存在しない。このため、不正操作監視装置１０１は、実操作テーブル２６０の定義外操作を１０回に更新する。

図２２は、実操作テーブル２６０の記憶内容の他の一例を示す説明図である。図２２は、図２１の操作ログ２９０から作成された実操作テーブル２６０である。本実操作テーブル２６０では、図２０のステップＳ２０１０のスコアテーブル更新処理は、以下のようになる。

図６と図２２の例では、不正操作監視装置１０１は、レコード６００−１〜レコード６００−４を、それぞれレコード２２００−１〜レコード２２００−４と比較する。レコード６００−１とレコード２２００−１の比較では、累計は閾値を超えるため、重みとして１が抽出される。レコード６００−２とレコード２２００−２の比較では、累計は閾値を超えないため、重みは抽出されない。レコード６００−３とレコード２２００−３の比較では、累計は閾値を超えないため、重みは抽出されない。レコード６００−４とレコード２２００−４の比較では、累計は閾値の３倍を超えるため、重みとして９が抽出される。この場合、不正操作監視装置１０１は、業務名「見積もり」に対してスコア「１０」を算出する。

図２３は、スコアテーブル２８０の記憶内容の他の一例を示す説明図である。図２３は、図６の操作プロファイルテーブル２４０と図２２の実操作テーブル２６０との比較から作成されたスコアテーブル２８０である。本スコアテーブル２８０では、図２０のステップＳ２０１１の比較処理は以下のようになる。

図５と図２３の例では、不正操作監視装置１０１は、業務プロファイルテーブル２３０のレコード５００−１〜５００−６のブロック閾値と、スコアテーブル２８０のレコード２３００−１〜２３００−６のスコアとを比較する。

この場合、２３００−５のスコアがレコード５００−５のブロック閾値を超えているため、不正操作監視装置１０１は、スコアはブロック閾値を超えていると判断する。このため、不正操作監視装置１０１は、端末装置１０２において不正操作が行われていると判断し、ステップＳ２０１２の制御処理を実行する。

以上説明したように、不正操作監視装置１０１は、操作ログ２９０を取得し、操作ログ２９０から、実操作テーブル２６０を作成する。この後、不正操作監視装置１０１は、実操作テーブル２６０を、操作プロファイルテーブル２４０と比較することでスコアを算出し、算出したスコアに基づいてスコアテーブル２８０を更新する。不正操作監視装置１０１は、スコアテーブル２８０を業務プロファイルテーブル２３０と比較し、業務において不正操作が行われたか否かを判断する。

これにより、不正操作監視装置１０１は、業務内の複数操作に基づいて、端末装置１０２において不正操作が行われたか否かを判断できる。このため、不正操作監視装置１０１は、正常な操作を不正操作と誤って判断することを防ぐことができる。

また、不正操作監視装置１０１は、複数の業務についてスコアを算出し、算出したスコアを累積した値を、複数の業務に応じて設定されたブロック閾値と比較することができる。また、例えば、不正操作監視装置１０１は、複数の業務を一日で行われた業務全てとすることができる。

これにより、不正操作監視装置１０１は、ひとつひとつの業務単位では判断できない不正操作を検出することができる。例えば、マルウェアが、端末装置１０２を使用するユーザに気づかれないように、長い時間をかけて重要情報を盗み出す場合、ひとつひとつの業務ではブロック閾値を超えないが、複数の業務ではブロック閾値を超えることがある。不正操作監視装置１０１は、この場合でも不正操作を検出することができる。

また、不正操作監視装置１０１は、複数の業務を時間的に連続して行われる複数の業務とすることができる。

これにより、不正操作監視装置１０１は、時間的に連続して行われる複数の業務で行われた不正操作を検出することができる。例えば、１つの業務と次の業務に連続して不正操作が行われた場合、業務それぞれで判断すると不正操作を検出できない場合があるが、不正操作監視装置１０１は、１つの業務と次の業務とをあわせて判断することにより、不正操作を検出することができる。

また、不正操作監視装置１０１は、業務プロファイルテーブル２３０のブロック閾値および操作プロファイルテーブル２４０の閾値に、同一の業務を行っているユーザに対して、同一の値を設定することができる。

これにより、不正操作監視装置１０１は、同一の業務を行っているユーザの操作に対して、統一した閾値を設定でき、同じ基準で不正操作を判断することができる。また、ユーザごとに、業務プロファイルテーブル２３０のブロック閾値および操作プロファイルテーブル２４０の閾値を決定しなくてもよいため、ユーザの負担が軽減される。

また、不正操作監視装置１０１は、操作プロファイルテーブル２４０の閾値を、ユーザが過去に行った操作に基づき設定することができる。例えば、不正操作監視装置１０１は、操作プロファイルテーブル２４０の閾値を、ユーザが、端末装置１０２を使用してサーバ１０３に対して、過去に行った操作に基づき設定することができる。

これにより、不正操作監視装置１０１は、端末装置１０２において、過去に行われた操作と同様の操作が行われた場合、正常な操作と判断し、過去に行われた操作と異なる操作が行われた場合に、不正操作と判断することができる。

また、不正操作監視装置１０１は、スケジュールプロファイルテーブル２２０、業務プロファイルテーブル２３０のブロック閾値および操作プロファイルテーブル２４０の閾値を、いずれかのタイミングで更新することができる。

これにより、端末装置１０２を使用するユーザのスケジュールまたは業務内容が突然変更されることがあっても、ユーザは、変更されたスケジュールまたは変更された業務に対応する閾値を登録することができる。このため、不正操作監視装置１０１は、スケジュールまたは業務内容が突然変更された場合でも、ユーザの正常な操作を不正操作と判断することを防ぐことができる。

また、不正操作監視装置１０１は、業務プロファイルテーブル２３０に業務を記憶し、操作ログ２９０に含まれる時刻から特定した業務名が、適用プロファイルテーブル２７０の適用業務と同一でない場合、実操作テーブル２６０を更新することができる。

これにより、不正操作監視装置１０１は、ユーザの業務が変更するごとに業務における操作に不正操作が行われたか否かを判断することができる。

また、不正操作監視装置１０１は、スケジュールプロファイルテーブル２２０から操作を行った業務を特定できない場合、操作を不正操作と判断することができる。

これにより、不正操作監視装置１０１は、ユーザが業務を行う予定に無いときに行われた操作を不正操作と判断することができる。

なお、本実施の形態で説明した不正操作監視方法は、予め用意されたプログラムをパーソナル・コンピュータやワークステーション等のコンピュータで実行することにより実現することができる。本不正操作監視プログラムは、ハードディスク、フレキシブルディスク、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤ等のコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行される。また、本不正操作監視プログラムは、インターネット等のネットワークを介して配布してもよい。

上述した実施の形態に関し、さらに以下の付記を開示する。

（付記１）業務において行われたいずれかの操作を示す情報を取得したことに応じて、取得した前記操作を示す情報から、前記業務における各操作が行われた頻度を算出し、
算出した前記業務における各操作が行われた頻度と、前記業務における各操作に応じて設定された閾値とをそれぞれ比較し、
前記比較した結果に基づいて、前記業務において不正操作が行われたか否かを判断する
制御部を有することを特徴とする不正操作監視装置。

（付記２）前記制御部は、
前記比較した結果に基づいて、各操作で不正操作が行われた可能性を示す値を累積した累積値を算出し、
算出した前記累積値と、前記業務に応じて設定された閾値とを比較した結果に基づいて、前記業務において不正操作が行われたか否かを判断することを特徴とする付記１に記載の不正操作監視装置。

（付記３）前記制御部は、
複数の業務のそれぞれの業務について、前記業務における各操作が行われた頻度と、前記業務における各操作に応じて設定された閾値とをそれぞれ比較した結果に基づいて、前記業務に対応して各操作で不正操作が行われた可能性を示す値を累積した累積値を算出し、
算出した前記累積値を累積した値と、前記複数の業務に応じて設定された閾値とを比較した結果に基づいて、前記複数の業務において不正操作が行われたか否かを判断することを特徴とする付記２に記載の不正操作監視装置。

（付記４）前記複数の業務は、時間的に連続して行われる複数の業務であることを特徴とする付記３に記載の不正操作監視装置。

（付記５）前記業務における各操作に応じて設定された閾値および前記業務に応じて設定された閾値は、同一の業務を行っているユーザに対して、同一の値が設定されることを特徴とする付記２〜４のいずれか一つに記載の不正操作監視装置。

（付記６）前記業務における各操作に応じて設定された閾値は、前記業務において過去に行われた操作を示す情報に基づき設定されることを特徴とする付記１〜５のいずれか一つに記載の不正操作監視装置。

（付記７）前記操作を示す情報は、前記操作が行われた時刻を含み、
前記制御部は、
前記操作を示す情報を取得したことに応じて、業務と業務を行う時間帯とを対応付けたスケジュール情報を参照し、取得した前記操作を示す情報に含まれる前記操作が行われた時刻から、前記操作が行われた業務を特定し、
特定した前記業務における各操作が行われた頻度を算出することを特徴とする付記１〜６のいずれか一つに記載の不正操作監視装置。

（付記８）前記制御部は、
取得した前記操作を示す情報を蓄積し、
特定した前記業務が、蓄積した前記操作を示す情報から特定される業務と異なることを検出したことに応じて、蓄積した前記操作を示す情報から、蓄積した前記操作を示す情報から特定される業務における各操作が行われた頻度を算出することを特徴とする付記７に記載の不正操作監視装置。

（付記９）前記制御部は、
前記操作が行われた業務を特定できない場合、前記操作を不正操作と判断することを特徴とする付記７または８に記載の不正操作監視装置。

（付記１０）コンピュータが、
業務において行われたいずれかの操作を示す情報を取得したことに応じて、取得した前記操作を示す情報から、前記業務における各操作が行われた頻度を算出し、
算出した前記業務における各操作が行われた頻度と、前記業務における各操作に応じて設定された閾値とをそれぞれ比較し、
前記比較した結果に基づいて、前記業務において不正操作が行われたか否かを判断する
処理を実行することを特徴とする不正操作監視方法。

（付記１１）コンピュータに、
業務において行われたいずれかの操作を示す情報を取得したことに応じて、取得した前記操作を示す情報から、前記業務における各操作が行われた頻度を算出し、
算出した前記業務における各操作が行われた頻度と、前記業務における各操作に応じて設定された閾値とをそれぞれ比較し、
前記比較した結果に基づいて、前記業務において不正操作が行われたか否かを判断する
処理を実行させることを特徴とする不正操作監視プログラム。

（付記１２）業務において行われたいずれかの操作を示す情報を取得したことに応じて、取得した前記操作を示す情報から、前記業務における各操作が行われた頻度を算出し、
算出した前記業務における各操作が行われた頻度と、前記業務における各操作に応じて設定された閾値とをそれぞれ比較し、
前記比較した結果に基づいて、前記業務において不正操作が行われたか否かを判断する
処理をコンピュータに実行させる不正操作監視プログラムを記録したことを特徴とする前記コンピュータに読み取り可能な記録媒体。

（付記１３）業務においていずれかの操作が行われる端末装置と、
前記業務において行われたいずれかの操作を示す情報を前記端末装置から取得したことに応じて、取得した前記操作を示す情報から、前記業務における各操作が行われた頻度を算出し、算出した前記業務における各操作が行われた頻度と、前記業務における各操作に応じて設定された閾値とをそれぞれ比較し、前記比較した結果に基づいて、前記業務において不正操作が行われたか否かを判断する制御部を有する不正操作監視装置と、
を有することを特徴とする不正操作監視システム。

１０１ 不正操作監視装置
１０２ 端末装置
１０３ サーバ
１７０１ 取得部
１７０２ 算出部
１７０３ 比較部
１７０４ 判断部

Claims (11)

1. 業務において行われたいずれかの操作を示す情報を取得したことに応じて、取得した前記操作を示す情報から、前記業務における各操作が行われた頻度を算出し、
   算出した前記業務における各操作が行われた頻度と、前記業務における各操作に応じて設定された閾値とをそれぞれ比較し、
   前記比較した結果に基づいて、前記業務において不正操作が行われたか否かを判断する
   制御部を有することを特徴とする不正操作監視装置。
2. 前記制御部は、
   前記比較した結果に基づいて、各操作で不正操作が行われた可能性を示す値を累積した累積値を算出し、
   算出した前記累積値と、前記業務に応じて設定された閾値とを比較した結果に基づいて、前記業務において不正操作が行われたか否かを判断することを特徴とする請求項１に記載の不正操作監視装置。
3. 前記制御部は、
   複数の業務のそれぞれの業務について、前記業務における各操作が行われた頻度と、前記業務における各操作に応じて設定された閾値とをそれぞれ比較した結果に基づいて、前記業務に対応して各操作で不正操作が行われた可能性を示す値を累積した累積値を算出し、
   算出した前記累積値を累積した値と、前記複数の業務に応じて設定された閾値とを比較した結果に基づいて、前記複数の業務において不正操作が行われたか否かを判断することを特徴とする請求項２に記載の不正操作監視装置。
4. 前記複数の業務は、時間的に連続して行われる複数の業務であることを特徴とする請求項３に記載の不正操作監視装置。
5. 前記業務における各操作に応じて設定された閾値および前記業務に応じて設定された閾値は、同一の業務を行っているユーザに対して、同一の値が設定されることを特徴とする請求項２〜４のいずれか一つに記載の不正操作監視装置。
6. 前記業務における各操作に応じて設定された閾値は、前記業務において過去に行われた操作を示す情報に基づき設定されることを特徴とする請求項１〜５のいずれか一つに記載の不正操作監視装置。
7. 前記操作を示す情報は、前記操作が行われた時刻を含み、
   前記制御部は、
   前記操作を示す情報を取得したことに応じて、業務と業務を行う時間帯とを対応付けたスケジュール情報を参照し、取得した前記操作を示す情報に含まれる前記操作が行われた時刻から、前記操作が行われた業務を特定し、
   特定した前記業務における各操作が行われた頻度を算出することを特徴とする請求項１〜６のいずれか一つに記載の不正操作監視装置。
8. 前記制御部は、
   取得した前記操作を示す情報を蓄積し、
   特定した前記業務が、蓄積した前記操作を示す情報から特定される業務と異なることを検出したことに応じて、蓄積した前記操作を示す情報から、蓄積した前記操作を示す情報から特定される業務における各操作が行われた頻度を算出することを特徴とする請求項７に記載の不正操作監視装置。
9. 前記制御部は、
   前記操作が行われた業務を特定できない場合、前記操作を不正操作と判断することを特徴とする請求項７または８に記載の不正操作監視装置。
10. コンピュータが、
    業務において行われたいずれかの操作を示す情報を取得したことに応じて、取得した前記操作を示す情報から、前記業務における各操作が行われた頻度を算出し、
    算出した前記業務における各操作が行われた頻度と、前記業務における各操作に応じて設定された閾値とをそれぞれ比較し、
    前記比較した結果に基づいて、前記業務において不正操作が行われたか否かを判断する
    処理を実行することを特徴とする不正操作監視方法。
11. 業務においていずれかの操作が行われる端末装置と、
    前記業務において行われたいずれかの操作を示す情報を前記端末装置から取得したことに応じて、取得した前記操作を示す情報から、前記業務における各操作が行われた頻度を算出し、算出した前記業務における各操作が行われた頻度と、前記業務における各操作に応じて設定された閾値とをそれぞれ比較し、前記比較した結果に基づいて、前記業務において不正操作が行われたか否かを判断する制御部を有する不正操作監視装置と、
    を有することを特徴とする不正操作監視システム。

Images