JP2017107512A - リスク算定方法、リスク算定プログラムおよびリスク算定装置 - Google Patents

Abstract

【課題】アラートの精度を高めることを可能とする。
【解決手段】実施形態のリスク算定方法は、ユーザに特徴的な心理特性を示す心理特性情報と、ユーザの行動履歴が記録された履歴情報のうち所定期間における行動履歴から求めた所定期間においてユーザに特徴的な行動特性を示す行動特性情報とに基づいて、リスク値を計算する処理をコンピュータが実行する。また、リスク算定方法は、計算したリスク値が所定の基準値を超過したユーザについてアラートを出力する処理をコンピュータが実行する。
【選択図】図２

Description

本発明の実施形態は、リスク算定方法、リスク算定プログラムおよびリスク算定装置に関する。

従来、各種サービスをユーザに提供する業務用又は商用のシステムにおいては、ユーザがクラッキングの被害を受けないように、ユーザに対してアラートを出力することで、システムのセキュリティを向上させている。ユーザに対してアラートの出力を行う技術としては、ユーザの自信度（自己評価）に基づいた支援情報を提供する技術が知られている。なお、クラッキングの被害については、例えば標準型攻撃メールによるものがあり、以下の説明ではＩＴ被害と呼ぶものとする。

特開平２−２０８７１０号公報 特開２００９−１３４４９６号公報 特開２０１５−１７６３７５号公報

しかしながら、上述した従来技術では、ユーザの自信度（自己評価）という時間的に変化のない静的なファクター（要因）をもとにアラートの出力を行うため、アラートの精度が低いという問題がある。

例えば、ＩＴ被害に対するリスクには、昼過ぎの眠くなる時間帯などの時間帯で異なる個人の行動や、午前または午後で変化する業務内容など、時間によって動的に変化する要因がある。しかしながら、時間的に変化のない静的な要因によってアラートを出力する場合には、時間帯に関係なくアラートが出続けることがあり、時間によって動的に変化するリスクに対応することが困難である。

１つの側面では、アラートの精度を高めることを可能とするリスク算定方法、リスク算定プログラムおよびリスク算定装置を提供することを目的とする。

第１の案では、リスク算定方法は、ユーザに特徴的な心理特性を示す心理特性情報と、ユーザの行動履歴が記録された履歴情報のうち所定期間における行動履歴から求めた所定期間においてユーザに特徴的な行動特性を示す行動特性情報とに基づいて、リスク値を計算する処理をコンピュータが実行する。また、リスク算定方法は、計算したリスク値が所定の基準値を超過したユーザについてアラートを出力する処理をコンピュータが実行する。

本発明の１実施態様によれば、アラートの精度を高めることができる。

図１は、実施形態にかかるシステムの構成例を示すブロック図である。 図２は、実施形態にかかるシステムの動作例を示すフローチャートである。 図３は、リスク値の時間的変化を説明する説明図である。 図４は、リスク値の時間的変化を説明する説明図である。 図５は、リスク値の度数分布を説明する説明図である。 図６は、リスク値のデータテーブルの一例を示す説明図である。 図７は、リスク値のデータテーブルの一例を示す説明図である。 図８は、リスク値のデータテーブルの一例を示す説明図である。 図９は、リスク値のデータテーブルの一例を示す説明図である。 図１０は、変形例にかかるシステムの動作例を示すフローチャートである。 図１１は、情報処理装置のハードウエア構成を例示するブロック図である。

以下、図面を参照して、実施形態にかかるリスク算定方法、リスク算定プログラムおよびリスク算定装置を説明する。実施形態において同一の機能を有する構成には同一の符号を付し、重複する説明は省略する。なお、以下の実施形態で説明するリスク算定方法、リスク算定プログラムおよびリスク算定装置は、一例を示すに過ぎず、実施形態を限定するものではない。また、以下の各実施形態は、矛盾しない範囲内で適宜組みあわせてもよい。

図１は、実施形態にかかるシステム１の構成例を示すブロック図である。図１に示すように、システム１は、端末装置２と、ＬＡＮ（Local Area Network）などの通信ネットワーク（図示しない）を介して端末装置２と接続されたサーバ装置３とを有する。

端末装置２は、例えば、ＰＣ（パーソナルコンピュータ）やスマートフォンなどのユーザが使用する情報処理装置（コンピュータ）である。サーバ装置３は、端末装置２をクライアント（Ｃ）として収容するシステム１の情報処理装置であり、いわゆるサーバ（Ｓ）である。一実施形態として、サーバ装置３には、ＰＣやＷＳ（ワークステーション）などの装置を採用できる。

端末装置２およびサーバ装置３の各々には、クライアント（Ｃ）またはサーバ（Ｓ）にかかるプログラムがインストールされる。かかるプログラムを端末装置２およびサーバ装置３のプロセッサ上で動作させることによって、端末装置２およびサーバ装置３の各々は、クライアント（Ｃ）またはサーバ（Ｓ）における各種機能を実現できる。

端末装置２は、プログラムをプロセッサ上で動作させることによって、行動検出部１０、動的リスク算出部１１、通信部１２、ユーザ検知部１４、過剰アラート防止部１５および出力部１６の機能を有する。同様に、サーバ装置３は、プログラムをプロセッサ上で動作させることによって、閾値算出部１３の機能を有する。

行動検出部１０は、キーボード、マウスなどの入力装置を介してユーザＵが行った行動を検出する。行動検出部１０は、検出した行動内容を検出時刻とともに行動ログ２０に記録する。具体的には、行動検出部１０は、ログイン認証などで認証されたユーザＵを示す識別情報（例えばユーザＩＤ）とともに、検出した行動内容および検出時刻を行動ログ２０に記録する。行動ログ２０は、ユーザＵごとの行動履歴、すなわちユーザＵの行動内容を時系列で記録したデータである。

動的リスク算出部１１は、行動ログ２０より所定期間内のユーザＵの行動履歴を抽出し、抽出した行動履歴から期間内においてユーザＵに特徴的な行動特性を示す行動特性値を求める。動的リスク算出部１１がユーザＵの行動履歴を抽出する期間は、１時間、１日といった時間単位である。例えば、動的リスク算出部１１は、直近から１時間前または１日前までのユーザＵの行動履歴を行動ログ２０より抽出する。次いで、動的リスク算出部１１は、ユーザＵへのアンケート結果などにより事前に得られた、ユーザＵに特徴的な心理特性を示す心理特性値２１と、所定期間における行動特性値とをもとに、ユーザＵがＩＴ被害にあうリスクを示すリスク値２２を算出する。

例えば、動的リスク算出部１１は、ＲＳ（リスク値）＝ｆ（Ｐｓ）＋ｇ（Ｂ，Ｔ）とするリスク計算式よりリスク値２２を算出する。このリスク計算式において、Ｐｓは心理特性、Ｂは行動特性、Ｔは期間（時間）を示す。また、ｆはＰｓの関数、ｇはＢ、Ｔの関数であることを示す。このリスク計算式より算出されるリスク値（ＲＳ）は、アンケートを行った時から時間的に変化のない静的な心理特性値２１だけでなく、昼過ぎの眠くなる時間帯や午前または午後で変化する業務内容など、時間帯で異なるユーザＵの行動特性値を反映する値となる。したがって、動的リスク算出部１１より算出されるリスク値（ＲＳ）は、ユーザＵの行動特性値を求めた期間（Ｔ）ごとに変化する動的な値となる。

なお、動的リスク算出部１１は、ログイン認証などで認証されたユーザＵを示す識別情報（例えばユーザＩＤ）に基づくユーザＵごとに、各期間におけるリスク値２２を算出する。期間ごとに算出した各ユーザＵのリスク値２２は、データテーブルなどに格納される。

通信部１２は、ＬＡＮ（Local Area Network）等の通信ネットワーク（図示しない）を介して外部装置（例えばサーバ装置３）との通信を行う。具体的には、通信部１２は、動的リスク算出部１１により算出されたリスク値２２をサーバ装置３へ送信する。また、通信部１２は、ＩＴ被害についてのアラートを出力する基準のリスク値（閾値）となるアラート基準値２３をサーバ装置３より受信する。通信部１２は、サーバ装置３より受信したアラート基準値２３をユーザ検知部１４へ出力する。

閾値算出部１３は、１または複数の端末装置２より受信した複数名のユーザＵのリスク値（複数名）２２ａを集計してアラート基準値２３を算出する。具体的には、各ユーザＵについて算出されたリスク値２２は、通信部１２を介してサーバ装置３に送られて、リスク値（複数名）２２ａに蓄積される。閾値算出部１３は、このリスク値（複数名）２２ａを集計して平均値、度数分布などの統計データを求め、ＩＴ被害のリスクの高いユーザＵを検出するための目安となるアラート基準値２３を算出する。閾値算出部１３は、算出したアラート基準値２３を通信ネットワークを介して端末装置２へ送信する。

例えば、閾値算出部１３は、リスク値（複数名）２２ａを集計した平均値をアラート基準値２３とする。この場合、算出されたアラート基準値２３をもとに、ＩＴ被害についてのリスクが複数のユーザＵの平均よりも高いユーザＵを検知できる。また、閾値算出部１３は、リスク値（複数名）２２ａを集計した度数分布をもとに、上位の所定範囲（例えば上位数％）に属するリスク値の境界値をアラート基準値２３とする。この場合、算出されたアラート基準値２３をもとに、ＩＴ被害についてのリスクが上位の所定範囲に属するユーザＵを検知できる。

ユーザ検知部１４は、サーバ装置３より取得したアラート基準値２３と、各ユーザＵのリスク値２２とを比較し、アラート基準値２３よりもリスク値２２が超過するユーザＵを検知する。ユーザ検知部１４は、検知結果を過剰アラート防止部１５を介して出力部１６へ出力する。出力部１６は、ディスプレイへの表示や、音声出力などにより、アラート基準値２３よりもリスク値２２が超過するユーザＵについてＩＴ被害が生じうる危険があることを示すアラートを出力する。

過剰アラート防止部１５は、ユーザ検知部１４により検知されたアラート基準値２３よりもリスク値２２が超過するユーザＵについて、短期間のうちにアラートが連続して出力され、アラートの出力が過剰となることを防止する。具体的には、過剰アラート防止部１５は、ユーザＩＤなどの識別情報が同じユーザＵについて、直近にアラートを出力してからの経過時間が所定時間内である場合にはアラートの出力を抑制する。

また、過剰アラート防止部１５は、ユーザＩＤなどの識別情報が同じユーザＵについて、複数の期間にわたるリスク値２２の度数分布を求める。そして、過剰アラート防止部１５は、求めた度数分布において今回のリスク値２２が上位の所定範囲（例えば上位数％）に属する場合には、アラートの出力を抑制することなく、出力部１６よりアラートを出力させる。

これにより、複数の期間にわたるリスク値２２の度数分布において、今回のリスク値２２が上位に属する場合、すなわち、ＩＴ被害を受けやすい状態である場合には、ユーザＵに対してアラートを出力することができる。また、リスク値２２が度数分布の上位２％に属する場合にアラートを出力するものとすると、ユーザＵの行動特性値を求める期間が１時間単位ならば１００時間に２回程度の頻度、１日単位ならば１００日に２日程度の頻度にアラートの出力を抑えることができる。

図２は、実施形態にかかるシステム１の動作例を示すフローチャートである。図２に示すように、システム１では、特徴的な心理特性を得るためのアンケートをユーザＵに対して予め行い、アンケート回答を得る（Ｓ１）。そして、得られたアンケート回答をもとに、ユーザＵの特徴的な心理特性を示す心理特性値２１を計算し（Ｓ２）、求めておく。この心理特性値２１は、例えば半年に１回などの間隔で実行されるアンケートより回答が得られる度に更新される。

ユーザＵに対して行うアンケートは、心理状態に関する質問項目を含むものである。質問項目の一例としては、標準型攻撃メールについての訓練メールでの開封経験（プログラムの実行経験）、ウイルスの感染経験、自信過剰度を評価する質問項目、目先の利益の優先度を評価する質問項目、クラッキングの被害に遭う可能性を問う質問項目などがある。自信過剰度を評価する質問項目、目先の利益の優先度を評価する質問項目などの心理状態に関する質問項目については、例えば、ユーザの回答を数値化した（段階別に評価した）ものなどであってよい。また、アンケートには、心理状態に関する質問項目だけでなく、訓練メールでの開封経験、ウイルスの感染経験など、セキュリティに対する意識の低い人か否かを判定するための質問項目を含めてもよい。

心理特性値２１は、これらの質問項目への回答をもとに、自信過剰（Ｐｓ１）、面倒くさがり（Ｐｓ２）、目先の利益を優先（Ｐｓ３）、せっかち（Ｐｓ４）…などの心理特性（Ｐｓ）を数値化したものである。

行動検出部１０では、ユーザＵが行った行動を検出し、検出した行動内容を時刻とともに行動ログ２０に記録する（Ｓ３）。行動ログ２０に記録される行動内容には、例えば、マウス、キーボードの操作の他、画面の切り替え操作、メールの送受信操作、各種画面（例えば警告画面）の表示時間などがある。

動的リスク算出部１１では、ユーザＵのリスク値（ＲＳ＿ｕ）をユーザＵの心理特性（Ｐｓ＿ｕ）および行動特性（Ｂ＿ｕ）の和または積により計算する動的リスク計算式２４の係数計算（Ｓ４、Ｓ５）を行う。

動的リスク計算式２４は、例えばユーザＵのリスク値（ＲＳ＿ｕ）を次の式（１）で計算する。式（１）において、αはＰｓ＿ｕの係数、βはＢ＿ｕの係数である。

リスクに関係するユーザＵの心理特性（Ｐｓ＿ｕ）および行動特性（Ｂ＿ｕ）が複数存在する場合、ユーザＵのそれぞれの値はＰｓ＿｛ｕ，ｉ｝（ｉ＝１，２，…，ｎ）、Ｂ＿｛ｕ，ｊ｝（ｊ＝１，２，…，ｍ）と表現でき、式（１）は次の式（２）のように表現できる。

式（２）では、和（Σ）としてるが、積（Π）としてもよい。α＿ｉ、β＿ｊは、各特性（ｉ、ｊ）における係数である。さらに、ある時刻におけるユーザＵのリスク値（ＲＳ＿ｕ）は、次の式（３）のように表現できる。

Ｓ４、Ｓ５では、ユーザＵの１ヶ月程度の過去の行動ログ２０ａを行動特性（Ｂ）における既知の値、Ｓ１におけるアンケート回答を心理特性（Ｐｓ）における既知の値として、動的リスク計算式２４の係数（α＿ｉ、β＿ｊ）の計算を行う。この係数計算は、例えば特開２０１５−１７６３７５号公報などにおいて公知の方法であり、従来の回帰分析手法を用いて計算される。なお、動的リスク計算式２４の係数（α＿ｉ、β＿ｊ）については、上述したようにユーザＵごとに求めたものを用いてもよいし、一般的なユーザＵをモデルとして予め計算しておいた係数値を用いてもよい。

動的リスク算出部１１では、行動ログ２０より所定期間内のユーザＵの行動履歴を抽出し、期間（Ｔ）内においてユーザＵに特徴的な行動特性を示す行動特性値２５（Ｂ｛ｕ，ｊ，Ｔ｝）を計算する（Ｓ６）。

具体的には、抽出された行動履歴をもとに、例えばマウス、キーボードの操作から、キー入力の時間間隔、一定時間内のマウスのクリック操作の回数、バックスペースなどの削除キーの操作の回数などの行動特性値Ｂ｛ｕ，１，Ｔ｝を計算する。この行動特性値Ｂ｛ｕ，１，Ｔ｝は、例えばユーザＵの注意力が落ちると時間間隔は遅くなり、操作回数は多くなる値である。

また、画面の切り替え操作からは、複数のウインドウ画面の中から操作対象とするアクティブウインドウ画面の切り替え回数などの行動特性値Ｂ｛ｕ，２，Ｔ｝を計算する。この行動特性値Ｂ｛ｕ，２，Ｔ｝は、例えば業務が多忙である時に多くなる値である。

また、各種画面の表示時間からは、注意喚起画面の表示時間などの行動特性値Ｂ｛ｕ，３，Ｔ｝を計算する。行動特性値Ｂ｛ｕ，３，Ｔ｝は、例えば業務が多忙である時に短くなる値である。このように、動的リスク算出部１１は、期間（Ｔ）内におけるユーザＵの行動特性ごとの行動特性値２５（Ｂ｛ｕ，１，Ｔ｝、Ｂ｛ｕ，２，Ｔ｝…Ｂ｛ｕ，ｊ，Ｔ｝）を計算する。

次いで、動的リスク算出部１１は、ユーザＵの心理特性値２１と、期間（Ｔ）内におけるユーザＵの行動特性値２５とを動的リスク計算式２４に代入し、ユーザＵの期間（Ｔ）におけるリスク値２２を計算する（Ｓ７）。

図３は、リスク値の時間的変化を説明する説明図である。図３において、ＴＨは、アラートを出力する基準のリスク値（閾値）であるアラート基準値２３を示す。ＲＳ１は、ユーザＡについて、心理特性値２１と、時間（ｔ）ごとの行動特性値２５とを動的リスク計算式２４に代入して求めたリスク値である。このＲＳ１に対し、ＲＳ１ａは、ユーザＡについて、時間（ｔ）ごとの行動特性値２５を用いずに、心理特性値２１をもとに求めたリスク値である。同様に、ＲＳ２は、ユーザＢについて、心理特性値２１と、時間（ｔ）ごとの行動特性値２５とを動的リスク計算式２４に代入して求めたリスク値である。また、ＲＳ２ａは、ユーザＢについて、時間（ｔ）ごとの行動特性値２５を用いずに、心理特性値２１をもとに求めたリスク値である。

図３に示すように、時間（ｔ）ごとの行動特性値２５を用いずに、アンケートを行った時から時間的に変化のない静的な心理特性値２１をもとに求めたリスク値（ＲＳ１ａ、ＲＳ２ａ）は、時間で変化することがない。このため、例えばリスク値がＴＨを超過する場合（ＲＳ２ａの場合）は、時間（ｔ）に関係なくアラートが出力され続けることとなる。

これに対し、動的リスク算出部１１により算出されるリスク値２２（ＲＳ１またはＲＳ２）は、アンケートを行った時から時間的に変化のない静的な心理特性値２１だけでなく、時間（ｔ）で異なるユーザＵの行動特性値２５を反映した時間的に変化する値となる。具体的には、図３に示すように、ユーザＡのリスク値ＲＳ１またはユーザＢのリスク値ＲＳ２は、ユーザＡ、Ｂの時間ごとに変化する行動特性値２５を反映し、時間的に変化する値となる。この時間ごとに変化する行動特性値２５は、昼過ぎの眠くなる時間帯や午前または午後で変化する業務内容などを的確に反映したものである。よって、動的リスク算出部１１は、動的に変化するユーザＡ、Ｂのリスクに対応した、精度の高いリスク値（ＲＳ１、ＲＳ２）を求めることができる。

ユーザ検知部１４は、サーバ装置３より取得したアラート基準値２３と、各ユーザＵのリスク値２２とを比較し、アラート基準値２３よりもリスク値２２が超過するユーザＵを検知する（Ｓ８）。ユーザ検知部１４は、検知結果を過剰アラート防止部１５を介して出力部１６へ出力する。出力部１６では、ユーザ検知部１４からの検知結果をもとに、アラート基準値２３よりもリスク値２２が超過するユーザＵについてＩＴ被害が生じうる危険があることを示すアラートを出力する（Ｓ１１）。

過剰アラート防止部１５は、ユーザ検知部１４の検知結果をもとに、アラート基準値２３よりもリスク値２２が超過するユーザＵについて前回の検知からの経過時間が予め設定された時間（Ｄｕ）未満であるか否かを判定する（Ｓ９）。Ｄｕの値は、アラートの出力間隔を空けるように、例えば１日程度の値が適宜設定される。

前回の検知からの経過時間が予め設定された時間（Ｄｕ）未満である場合（Ｓ９：ＹＥＳ）、過剰アラート防止部１５は、出力部１６からのアラートの出力を抑制し、アラートの出力が過剰となることを防止する（Ｓ１０）。また、前回の検知からの経過時間が予め設定された時間（Ｄｕ）未満でない場合（Ｓ９：ＮＯ）、過剰アラート防止部１５は、出力部１６からのアラートの出力を抑制することなく、アラート基準値２３よりもリスク値２２が超過するユーザＵに対するアラートをそのまま出力部１６より出力させる。

また、過剰アラート防止部１５は、ユーザＩＤなどの識別情報が同じユーザＵについて、複数の期間にわたるリスク値２２の度数分布を求め、求めた度数分布と今回のリスク値２２とを比較して、アラートの抑制を行ってもよい。例えば、過剰アラート防止部１５は、求めた度数分布において今回のリスク値２２が上位の所定範囲（例えば上位数％）に属さない場合には、際立ってリスクの高い状態ではないことから、アラートの出力を抑制する。また、過剰アラート防止部１５は、今回のリスク値２２が度数分布の上位の所定範囲（例えば上位数％）に属する場合には、アラートの出力を抑制することなく、出力部１６よりアラートを出力させる。

図４は、リスク値の時間的変化を説明する説明図である。図４に示すように、ユーザＡ、ユーザＢにおけるリスク値（ＲＳ）は、期間（Ｔ）によって変化する。ここで、ユーザＡのリスク値は、２Ｔおよび４Ｔのところでアラート基準値２３を超過している。したがって、例えば１Ｔが１時間単位である場合には、２時間ごとにアラートが出力され、アラートが頻繁に出力されることとなる。このように、アラートが頻繁に出力されると、ユーザＵは、アラートに対して慣れてしまい、アラートに対する対処が遅れる場合がある。

図５は、リスク値の度数分布を説明する説明図である。図５に示すように、過剰アラート防止部１５は、一定期間（例えば１００Ｔ程度）でのユーザＵ個人のリスク値（ＲＳ）の度数分布を作り、ユーザＵがめったに取らない上位の所定範囲を求める。例えば、過剰アラート防止部１５は、度数分布が正規分布に従うと仮定することで、平均値（μ）と標準偏差（σ）を求め、ユーザＵが１００回中２回（＝２％）取りうるリスク値（＝μ＋２σ）を求める。

このように、過剰アラート防止部１５は、各ユーザＵについて、リスク値（ＲＳ）の度数分布から上位の所定範囲となるリスク値を求めておき、今回のリスク値２２が上位の所定範囲に属するか否かを判定する。そして、過剰アラート防止部１５は、今回のリスク値２２が上位の所定範囲に属さない場合には、際立ってリスクの高い状態ではないことから、アラートの出力を抑制する。また、過剰アラート防止部１５は、今回のリスク値２２が上位の所定範囲に属する場合には、出力部１６よりアラートを出力させる。これにより、ユーザＵにとって煩わしくない頻度でのアラートが可能となる。

図６〜図９は、リスク値のデータテーブルの一例を示す説明図である。図６に示すように、各ユーザＵについて算出されたリスク値２２は、ユーザＵごと（ｕ＿１，ｕ＿２，…）のテーブルデータで管理される。

また、このテーブルデータで管理されるユーザＵごとのリスク値は、通信部１２よりサーバ装置３へ送信される。サーバ装置３の閾値算出部１３は、ユーザＵごとのリスク値を集計してアラート基準値２３を算出し、端末装置２へ送信する。ここで、アラート基準値２３の値は、９．０と算出されたものとする。

ユーザ検知部１４は、ユーザＵごと（ｕ＿１，ｕ＿２，…）のテーブルデータを参照し、アラート基準値２３（９．０）を超過するユーザＵを検知する。具体的には、図７に示すように、リスク値が９．０を超過するユーザｕ＿９、ｕ＿１２、ｕ＿１４、ｕ＿２０（黒丸参照）が検知される。

次いで、過剰アラート防止部１５は、図８に示すように、ユーザＵにおける時間（Ｔ＿｛１，ｕ｝、Ｔ＿｛２，ｕ｝…）ごとのリスク値を格納するテーブルデータを参照し、直近にアラートを出力してからの経過時間が所定時間内である場合にはアラートの出力を抑制する。

例えば、図８の例において、時刻ｔの１単位が１時間である場合には、２０時間でリスク値が９．０を超過する（黒丸参照）時刻が複数あり、頻繁にアラートを受けることとなる。したがって、直近にアラートを出力してからの経過時間が所定時間内である場合にはアラートの出力を抑制することで、ユーザＵがアラート慣れを起こすことを防止する。

また、過剰アラート防止部１５は、図９に示すように、ユーザＵにおける時間（Ｔ＿｛１，ｕ｝、Ｔ＿｛２，ｕ｝…）ごとのリスク値を格納するテーブルデータを参照し、リスク値の度数分布を求める。

具体的には、過剰アラート防止部１５は、ユーザＵのリスク値（ＲＳ＿｛ｕ，ｔ｝）の分布を正規分布とみなし、所定期間（例えばＴ＿｛１，ｕ｝〜Ｔ＿｛２０，ｕ｝）における平均（μ）と標準偏差（σ）を求める。そして、過剰アラート防止部１５は、ユーザＵがめったに取らない上位のリスク値（ＲＳ＿｛ｕ，ａｎｏｍａｌｙ｝）を求める。例えば、ユーザＵが約２％の確率で取りうるリスク値（＝μ＋２σ）を求め、過剰アラート防止部１５は、今回のリスク値２２が約２％の確率で取りうる高いリスク値である場合には、出力部１６よりアラートを出力させる。

図９の例では、時刻がＴ＿｛２０，ｕ｝である時に、約２％の確率で取りうる高いリスク値であることから、アラートが出力されることとなる。

（変形例）
図１０は、変形例にかかるシステム１ａの動作例を示すフローチャートである。図１０に示すように、変形例にかかるシステム１ａでは、端末装置２ａの行動検出部１０が検出した行動ログ２０を通信部１２を介してサーバ装置３ａに送る。そして、サーバ装置３ａにおいて、動的リスク算出部１１によるユーザＵのリスク値２２の算出、ユーザ検知部１４によるユーザＵの検知、過剰アラート防止部１５による過剰アラートの防止および出力部１６によるアラート出力を行う。このように、端末装置２ａより行動ログ２０をサーバ装置３ａが収集し、ユーザＵのリスク値２２の計算やアラートの出力などの処理については、サーバ装置３ａ側で行ってもよい。

以上のように、システム１では、動的リスク算出部１１がユーザＵの行動履歴が記録された行動ログ２０をもとに、所定期間（Ｔ）における行動履歴から所定期間（Ｔ）においてユーザＵに特徴的な行動特性を示す行動特性値２５を求める。また、動的リスク算出部１１は、ユーザＵに特徴的な心理特性を示す心理特性値２１と、所定期間（Ｔ）においてユーザＵに特徴的な行動特性を示す行動特性値２５とに基づいて、ユーザＵがＩＴ被害にあうリスク値２２を計算する。また、システム１では、出力部１６が計算されたリスク値２２が所定の基準値を超過したユーザＵについてアラートを出力する。したがって、システム１では、時間によって動的に変化するリスクに対応することができ、リスクをもとに出力するアラートの精度を高めることができる。

なお、図示した各装置の各構成要素は、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。

例えば、本実施形態では端末装置２およびサーバ装置３を含むクライアント・サーバ（Ｃ／Ｓ）モデルのシステム１を例示したが、閾値算出部１３を自装置内で実現する端末装置２単体の装置構成であってもよい。また、Ｃ／Ｓモデルのサーバ装置３は、クラウドコンピューティングとしてもよい。

また、本実施形態では、動的リスク算出部１１はユーザＵごとのリスク値２２を求めているが、動的リスク算出部１１が求めるリスク値２２は、ユーザＵごとのものに限定しない。例えば、動的リスク算出部１１は、ユーザＵが属するグループ（例えば、企業における部門など）単位で集計し、グループ単位のリスク値２２を求めてもよい。このようにグループ単位のリスク値２２を求める場合には、業務内容、業務時間、昼休みの時刻、フレックス勤務の有無など、グループによって異なる行動特性をリスク計算（Ｓ７）に反映できる。

また、端末装置２およびサーバ装置３の情報処理装置で行われる各種処理機能は、ＣＰＵ（またはＭＰＵ、ＭＣＵ（Micro Controller Unit）等のマイクロ・コンピュータ）上で、その全部または任意の一部を実行するようにしてもよい。また、各種処理機能は、ＣＰＵ（またはＭＰＵ、ＭＣＵ等のマイクロ・コンピュータ）で解析実行されるプログラム上、またはワイヤードロジックによるハードウエア上で、その全部または任意の一部を実行するようにしてもよいことは言うまでもない。

ところで、上記の実施形態で説明した各種の処理は、予め用意されたプログラムをコンピュータで実行することで実現できる。そこで、以下では、上記の実施例と同様の機能を有するプログラムを実行するコンピュータ（ハードウエア）の一例を説明する。図１１は、情報処理装置１００のハードウエア構成を例示するブロック図である。

図１１が示すように、情報処理装置１００は、各種演算処理を実行するＣＰＵ１０１と、データ入力を受け付ける入力装置１０２と、モニタ１０３と、スピーカ１０４とを有する。また、情報処理装置１００は、記憶媒体からプログラム等を読み取る媒体読取装置１０５と、各種装置と接続するためのインタフェース装置１０６と、有線または無線により外部機器と通信接続するための通信装置１０７とを有する。また、情報処理装置１００は、各種情報を一時記憶するＲＡＭ１０８と、ハードディスク装置１０９とを有する。また、情報処理装置１００内の各部（１０１〜１０９）は、バス１１０に接続される。

ハードディスク装置１０９には、行動検出部１０、動的リスク算出部１１、通信部１２、閾値算出部１３、ユーザ検知部１４、過剰アラート防止部１５および出力部１６の各処理部と同様の機能を有するプログラムが記憶される。また、ハードディスク装置１０９には、プログラムを実現するための各種データが記憶される。入力装置１０２は、例えば情報処理装置１００の操作者から操作情報の入力を受け付ける。モニタ１０３は、例えば操作者が操作する各種画面を表示する。インタフェース装置１０６は、例えば印刷装置等が接続される。通信装置１０７は、ＬＡＮ（Local Area Network）等の通信ネットワークと接続され、通信ネットワークを介した外部機器との間で各種情報をやりとりする。

ＣＰＵ１０１は、ハードディスク装置１０９に記憶された各プログラムを読み出して、ＲＡＭ１０８に展開して実行することで、各種の処理を行う。また、これらのプログラムは、情報処理装置１００を行動検出部１０、動的リスク算出部１１、通信部１２、閾値算出部１３、ユーザ検知部１４、過剰アラート防止部１５および出力部１６として機能させることができる。

なお、上記のプログラムは、必ずしもハードディスク装置１０９に記憶されている必要はない。例えば、情報処理装置１００が読み取り可能な記憶媒体に記憶されたプログラムを、情報処理装置１００が読み出して実行するようにしてもよい。情報処理装置１００が読み取り可能な記憶媒体は、例えば、ＣＤ−ＲＯＭやＤＶＤディスク、ＵＳＢ（Universal Serial Bus）メモリ等の可搬型記録媒体、フラッシュメモリ等の半導体メモリ、ハードディスクドライブ等が対応する。また、公衆回線、インターネット、ＬＡＮ（Local Area Network）等に接続された装置にこのプログラムを記憶させておき、情報処理装置１００がこれらからプログラムを読み出して実行するようにしてもよい。

１、１ａ…システム
２、２ａ…端末装置
３、３ａ…サーバ装置
１０…行動検出部
１１…動的リスク算出部
１２…通信部
１３…閾値算出部
１４…ユーザ検知部
１５…過剰アラート防止部
１６…出力部
２０…行動ログ
２１…心理特性値
２２…リスク値
２２ａ…リスク値（複数名）
２３…アラート基準値
２４…動的リスク計算式
２５…行動特性値
１００…情報処理装置
ＲＳ、ＲＳ１、ＲＳ１ａ、ＲＳ２、ＲＳ２ａ…リスク値
ＴＨ…アラート基準値
Ｕ…ユーザ

Claims (7)

1. ユーザに特徴的な心理特性を示す心理特性情報と、前記ユーザの行動履歴が記録された履歴情報のうち所定期間における行動履歴から求めた該所定期間において前記ユーザに特徴的な行動特性を示す行動特性情報とに基づいて、リスク値を計算し、
   計算した前記リスク値が所定の基準値を超過したユーザについてアラートを出力する
   処理をコンピュータが実行することを特徴とするリスク算定方法。
2. 前記アラートを出力する処理は、計算した前記リスク値が所定の基準値を超過したユーザについて、直近にアラートを出力してからの経過時間が所定時間内である場合にはアラートの出力を抑制する
   ことを特徴とする請求項１に記載のリスク算定方法。
3. 前記アラートを出力する処理は、計算した前記リスク値が前記ユーザの複数の期間について計算した前記リスク値の度数分布において上位の所定範囲に属する場合に前記アラートを出力する
   ことを特徴とする請求項１または２に記載のリスク算定方法。
4. 複数のユーザごとに計算したリスク値の集計結果をもとに前記基準値を算出する処理をコンピュータが更に実行し、
   前記アラートを出力する処理は、計算した前記リスク値が前記算出された基準値を超過したユーザについてアラートを出力する
   ことを特徴とする請求項１乃至３のいずれか一項に記載のリスク算定方法。
5. 前記計算する処理は、前記行動履歴に含まれる前記ユーザの入力間隔、削除キーの操作回数および操作対象とするウインドウ画面の切り替え回数のうちの少なくとも１つの値をもとに前記行動特性情報を求める
   ことを特徴とする請求項１乃至４のいずれか一項に記載のリスク算定方法。
6. ユーザに特徴的な心理特性を示す心理特性情報と、前記ユーザの行動履歴が記録された履歴情報のうち所定期間における行動履歴から求めた該所定期間において前記ユーザに特徴的な行動特性を示す行動特性情報とに基づいて、リスク値を計算し、
   計算した前記リスク値が所定値を超過したユーザについてアラートを出力する
   処理をコンピュータに実行させることを特徴とするリスク算定プログラム。
7. ユーザに特徴的な心理特性を示す心理特性情報と、前記ユーザの行動履歴が記録された履歴情報のうち所定期間における行動履歴から求めた該所定期間において前記ユーザに特徴的な行動特性を示す行動特性情報とに基づいて、リスク値を計算するリスク計算部と、
   計算した前記リスク値が所定値を超過したユーザについてアラートを出力する出力部と
   を有することを特徴とするリクス算定装置。

Images