JP2019012353A - 情報処理装置、プログラム、情報処理システム及び判定方法 - Google Patents

Abstract

【課題】 画像形成装置の利用状況等を用いて画像形成装置の利用者の行動を判定する。【解決手段】 画像形成装置において実行されたジョブの利用状況を示す第１の情報と、前記ジョブを実行した利用者の属性を示す第２の情報と、前記ジョブの実行対象であるデータに関する第３の情報と、を用いて、前記ジョブに応じた第１の値を算出する算出手段と、所定期間内で実行されたジョブそれぞれの前記第１の値を用いて前記利用者ごとに算出された第２の値に応じて、前記利用者ごとの行動判定を行う判定手段とを有する。【選択図】図１

Description

本発明は、情報処理装置、プログラム、情報処理システム及び判定方法に関する。

近年、企業や団体等が保有する情報資産を、内部の従業員や職員（以下、従業員等と称す）が流出させる情報漏洩が問題になっている。このような内部不正に起因する情報漏洩等のインシデントとして、電子データの配信による情報資産の流出や、画像形成装置を利用して出力した紙媒体の持ち出しによる情報資産の流出等が考えられ、その対策が求められている。

これに対して、例えば、特許文献１には、電子データの配信による情報資産の流出を防ぐために電子メールの送受信を監視し、その宛先や本文の内容から電子メールによる情報漏洩のリスクを予測する方法が開示されている。

しかしながら、例えば、画像形成装置を利用して出力した紙媒体の持ち出し行為自体を検出することは困難である。

本発明は上記課題に鑑みてなされたものであり、画像形成装置の利用状況等を用いて画像形成装置を利用する利用者の行動を判定することを目的とする。

本発明の各実施形態に係る情報処理システムは、以下のような構成を有する。すなわち、
画像形成装置において実行されたジョブの利用状況を示す第１の情報と、前記ジョブを実行した利用者の属性を示す第２の情報と、前記ジョブの実行対象であるデータに関する第３の情報とを用いて、前記ジョブに応じた第１の値を算出する算出手段と、
所定期間内で実行されたジョブそれぞれの前記第１の値を用いて前記利用者ごとに算出された第２の値に基づいて、前記利用者ごとの行動判定を行う判定手段とを有する。

本発明によれば、画像形成装置の利用状況等を用いて画像形成装置の利用者の行動を判定できる。

情報漏洩リスク判定システムのシステム構成の一例を示す図である。 サーバ装置のハードウェア構成の一例を示す図である。 管理データ格納部に格納されるデータの一例を示す図である。 ジョブデータ格納部に格納されるデータの一例を示す図である。 情報漏洩リスク判定サービス部の機能構成の一例を示す図である。 スコアリング指標格納部に格納される人物属性スコアリング指標の一例を示す図である。 スコアリング指標格納部に格納される利用状況スコアリング指標の一例を示す図である。 スコアリング指標格納部に格納される情報内容スコアリング指標の一例を示す図である。 ジョブデータの各ジョブに含まれる情報を定量化することで出力されたスコアの一例を示す図である。 監視対象となる人ごとに、スコアを重み付け加算した加算結果の一例を示す図である。 監視対象となる人ごとに、スコアを重み付け加算した加算結果の一例を示す図である。 監視対象となる人ごとに、スコアを重み付け加算した加算結果の一例を示す図である。 情報漏洩リスクを判定する判定パラメータの算出結果の一例を示す図である。 判定パラメータと情報漏洩リスクとの関係を示す判定指標の一例を示す図である。 情報漏洩リスクの判定結果の一例を示す図である。 レポートの一例を示す図である。 情報漏洩リスク判定システムにおける、情報漏洩リスク判定サービス提供処理の流れを示すシーケンス図である。 サーバ装置による情報漏洩リスク判定処理の流れを示すフローチャートである。

以下、各実施形態の詳細について添付の図面を参照しながら説明する。なお、各実施形態に係る明細書及び図面の記載に際して、実質的に同一の機能構成を有する構成要素については、同一の符号を付することにより重複した説明を省く。

［第１の実施形態］
＜１．情報漏洩リスク判定システムのシステム構成＞
はじめに、情報処理システムの一例である情報漏洩リスク判定システムのシステム構成について説明する。図１は、情報漏洩リスク判定システムのシステム構成の一例を示す図である。図１に示すように、情報漏洩リスク判定システム１００は、情報漏洩リスク判定サービスを提供するサーバ装置１１０と、サービス提供対象の企業が有する各機器とを有し、サーバ装置１１０と各機器とはネットワーク１３０を介して接続される。

サーバ装置１１０は、情報処理装置の一例である。サーバ装置１１０には、情報漏洩リスク判定プログラムがインストールされている。サーバ装置１１０は、当該プログラムを実行することで、情報漏洩リスク判定サービス部１１１として機能する。

情報漏洩リスク判定サービス部１１１は、サービス提供対象の企業から送信され、管理データ格納部１１２及びジョブデータ格納部１１３にそれぞれ格納される管理データ及びジョブデータを処理する。これにより、情報漏洩リスク判定サービス部１１１は、サービス提供対象の企業からの要求に応じて、監視対象となる人の情報漏洩リスクを判定し、判定結果に応じたレポートを出力する。

図１に示すように、サービス提供対象の企業が有する各機器には、管理装置１２１と、ＭＦＰ（Multi-Function Peripheral）１２２＿１〜１２２＿ｍとが含まれる。更に、サービス提供対象の企業が有する各機器には、ＰＣ（Personal Computer）１２３＿１〜１２３＿ｎが含まれる。なお、各機器は、ＬＡＮ（Local Area Network）１２４を介して相互に接続されている。

管理装置１２１は、サービス提供対象の企業に従事する従業員の人物属性データを管理する。また、管理装置１２１は、サービス提供対象の企業が有する各機器のうち、ＭＦＰ１２２＿１〜１２２＿ｍの機器属性データを管理する。更に、管理装置１２１は、サービス提供対象の企業が有する情報資産（電子データ）の情報属性データを管理する。

管理装置１２１は、サーバ装置１１０に対して、管理データとして、人物属性データ、機器属性データ、情報属性データを送信する。これにより、サーバ装置１１０は、人物属性データに基づいて監視対象となる人を特定し、機器属性データに基づいて監視対象となる機器を特定し、情報属性データに基づいて、監視対象となる電子データまたは紙媒体を特定することができる。

また、管理装置１２１は、管理データを送信後に、サーバ装置１１０に対して、情報漏洩リスク判定サービスの提供を要求する。これにより、管理装置１２１は、サーバ装置１１０より、情報漏洩リスクの判定結果に応じたレポートを取得することができる。

ＭＦＰ１２２＿１〜１２２＿ｍは、印刷装置の一例である。ＭＦＰ１２２＿１〜１２２＿ｍは、サービス提供対象の企業に従事する従業員がログインすることで動作し、各種ジョブ（印刷ジョブ、コピージョブ、ファクシミリ（ＦＡＸ）ジョブ等）を実行する。ＭＦＰ１２２＿１〜１２２＿ｍは、各種ジョブを実行するごとに、ジョブデータを、サーバ装置１１０に送信する。

ＰＣ１２３＿１〜１２３＿ｎは、サービス提供対象の企業に従事する従業員がログインすることで動作し、各種処理（例えば、所定のフォルダに格納された電子データを読み出し、ＭＦＰ１２２＿１〜１２２＿ｍを介して印刷する処理等）を実行する。

＜２．情報漏洩リスク判定システムが有する各装置のハードウェア構成＞
次に、情報漏洩リスク判定システム１００が有する各装置のうち、サーバ装置１１０のハードウェア構成について説明する。図２は、サーバ装置のハードウェア構成の一例を示す図である。

図２に示すように、サーバ装置１１０は、ＣＰＵ（Central Processing Unit）２０１、ＲＯＭ（Read Only Memory）２０２、ＲＡＭ（Random Access Memory）２０３を有する。ＣＰＵ２０１、ＲＯＭ２０２、ＲＡＭ２０３は、いわゆるコンピュータを形成する。

また、サーバ装置１１０は、補助記憶部２０４、入力部２０５、表示部２０６、通信部２０７を備える。なお、サーバ装置１１０の各部は、バス２０８を介して相互に接続されている。

ＣＰＵ２０１は、補助記憶部２０４に格納された各種プログラム（例えば、情報漏洩リスク判定プログラム）を実行する。

ＲＯＭ２０２は不揮発性メモリである。ＲＯＭ２０２は、補助記憶部２０４に格納された各種プログラムを、ＣＰＵ２０１が実行するために必要な各種プログラム、データ等を格納する、主記憶デバイスとして機能する。具体的には、ＢＩＯＳ（Basic Input/Output System）やＥＦＩ（Extensible Firmware Interface）等のブートプログラムなどを格納する。

ＲＡＭ２０３は、ＤＲＡＭ（Dynamic Random Access Memory）やＳＲＡＭ（Static Random Access Memory）等の揮発性メモリである。ＲＡＭ２０３は、補助記憶部２０４に格納された各種プログラムがＣＰＵ２０１によって実行される際に展開される作業領域を提供する、主記憶デバイスとして機能する。

補助記憶部２０４は、ＣＰＵ２０１により実行される各種プログラム及び各種プログラムがＣＰＵ２０１により実行される際に利用される各種データを格納する補助記憶デバイスである。なお、管理データ格納部１１２、ジョブデータ格納部１１３は、補助記憶部２０４において実現される。

入力部２０５は、サーバ装置１１０の管理者が各種指示を入力するための入力デバイスである。表示部２０６は、サーバ装置１１０が有する各種情報を表示するための表示デバイスである。

通信部２０７は、ネットワーク１３０を介して、管理装置１２１及びＭＦＰ１２２＿１〜１２２＿ｍと通信を行うための通信デバイスである。

なお、管理装置１２１及びＰＣ１２３＿１〜ＰＣ１２３＿ｎのハードウェア構成も、サーバ装置１１０のハードウェア構成（図２）と概ね同じである。また、ＭＦＰ１２２＿１〜１２２＿ｍは、一般的なＭＦＰ（画像形成装置）と同様のハードウェア構成を有する。このため、ここでは、これらのハードウェア構成についての説明は割愛する。

＜３．サーバ装置の格納部に格納されるデータの説明＞
次に、サーバ装置１１０の管理データ格納部１１２に格納される管理データ及びジョブデータ格納部１１３に格納されるジョブデータについて説明する。

（１）管理データの説明
はじめに、管理データ格納部１１２に格納される管理データについて説明する。図３は、管理データ格納部に格納される管理データの一例を示す図である。このうち、図３（ａ）は、人物属性データ３１０の一例を示す図である。

図３（ａ）に示すように、人物属性データ３１０には、情報の項目として、"人物ＩＤ"、"名前"、"所属"、"所属部署ＰＣ"、"所属部署ＭＦＰ"が含まれる。また、人物属性データ３１０には、情報の項目として、"正社員／派遣社員"、"勤続年数"、"退職予定"、"降格履歴"、"インシデント履歴"、"その他人事情報"が含まれる。

"人物ＩＤ"には、サービス提供対象の企業に従事する従業員のうち、監視対象となる人を識別するための識別子が格納される。"名前"には、対応する人物ＩＤにより識別される人の名前が格納される。

"所属"には、対応する人物ＩＤにより識別される人が所属する部署名が格納される。"所属部署ＰＣ"には、対応する人物ＩＤにより識別される人が所属する所属部署に割り当てられたＰＣの機器ＩＤが格納される。"所属部署ＭＦＰ"には、対応する人物ＩＤにより識別される人が所属する所属部署に割り当てられたＭＦＰの機器ＩＤが格納される。

"正社員／派遣社員"には、対応する人物ＩＤにより識別される人の雇用形態が格納される。"勤続年数"には、対応する人物ＩＤにより識別される人が、サービス提供対象の企業に勤務した年数が格納される。

"退職予定"には、対応する人物ＩＤにより識別される人の退職予定の有無を示す情報、または、退職の予兆の有無を示す情報が格納される。"降格履歴"には、対応する人物ＩＤにより識別される人の、人事上の降格処分の有無を示す情報が格納される。"インシデント履歴"には、対応する人物ＩＤにより識別される人の、情報漏洩インシデントに関わった前歴の有無を示す情報が格納される。"その他人事情報"には、対応する人物ＩＤにより識別される人についての、人事に関する他の情報が格納される。

図３（ｂ）は、機器属性データ３２０の一例を示す図である。図３（ｂ）に示すように、機器属性データ３２０には、情報の項目として、"機器ＩＤ"、"機種"、"配置"が含まれる。

"機器ＩＤ"には、サービス提供対象の企業が有する各機器のうち、監視対象となるＭＦＰを識別するための機器ＩＤが格納される。"機種"には、対応する機器ＩＤにより識別されるＭＦＰの種類が格納される。"配置"には、対応する機器ＩＤにより識別されるＭＦＰの配置場所に関する情報（エリア名、目立たない場所にあるのか目立つ場所にあるのかを示す情報）が格納される。

図３（ｃ）は、情報属性データ３３０の一例を示す図である。図３（ｃ）に示すように、情報属性データ３３０には、情報の項目として、"印刷ファイル名"、"ＵＲＬ"、"書類内検出キーワード"が含まれる。

"印刷ファイル名"には、サービス提供対象の企業が有する情報資産のうち、監視対象となる電子データのファイル名に含まれる特定のワードが格納される。"ＵＲＬ"には、監視対象となる機器を介して印刷されるサイトの格納先を示すＵＲＬ（Uniform Resource Locator）であって、私的利用によりアクセスされた蓋然性の高いサイトのＵＲＬに含まれる、特定のワードが格納される。"書類内検出キーワード"には、サービス提供対象の企業が有する情報資産のうち、監視対象となる電子データまたは紙媒体に含まれる特定のワードが格納される。

（２）ジョブデータの説明
次に、ジョブデータ格納部１１３に格納されるジョブデータについて説明する。図４は、ジョブデータ格納部に格納されるジョブデータの一例を示す図である。ここでは、機器ＩＤ＝"ＭＦＰ００１"により識別されるＭＦＰ１２２＿１から送信され、ジョブデータ格納部１１３に格納されるジョブデータ４００の例を示す。

図４に示すように、ジョブデータ４００には、情報の項目として、"時間"、"曜日"、"ジョブ指示者"が含まれる。これらの項目は、ジョブの種類によらない共通項目である。

"時間"、"曜日"には、それぞれ、ジョブの実行日時、曜日を示す情報が格納される。"ジョブ指示者"には、ジョブの実行指示をした人を識別する人物ＩＤが格納される。

また、図４に示すように、ジョブデータ４００には、情報の項目として、"利用ＰＣ"、"印刷ファイル名"、"印刷枚数"、"実行／キャンセル"が含まれる。これらの項目は、印刷ジョブ関連の項目である。

"利用ＰＣ"には、ＭＦＰ１２２＿１が印刷ジョブを実行する際に、印刷データを送信するＰＣ（ジョブの実行指示に用いられた装置）を識別する機器ＩＤが格納される。"印刷ファイル名"には、ＭＦＰ１２２＿１が印刷ジョブを実行した際に印刷出力した、印刷データのファイル名が格納される。

"印刷枚数"には、ＭＦＰ１２２＿１が印刷ジョブを実行した際に印刷出力した、紙媒体の枚数が格納される。"実行／キャンセル"には、ＭＦＰ１２２＿１が印刷ジョブの実行を完了したか、途中で中断したかを示す情報が格納される。

また、図４に示すように、ジョブデータ４００には、情報の項目として、"書類内検出キーワード"、"コピー枚数"、"両面／片面"が含まれる。これらの項目は、コピージョブ関連の項目である。

"書類内検出キーワード"には、ＭＦＰ１２２＿１がコピージョブを実行した際に、スキャン対象の紙媒体から検出したキーワードが格納される。"コピー枚数"には、ＭＦＰ１２２＿１がコピージョブを実行した際に印刷出力した、紙媒体の枚数が格納される。"両面／片面"には、ＭＦＰ１２２＿１のコピージョブ実行時の設定内容（両面印刷の設定、または片面印刷の設定を示す情報）が格納される。

また、図４に示すように、ジョブデータ４００には、情報の項目として、"ＦＡＸ枚数"、"ＦＡＸ送信先"、"ＦＡＸ送信元"が含まれる。これらの項目は、ＦＡＸジョブ関連の項目である。

"ＦＡＸ枚数"には、ＭＦＰ１２２＿１がＦＡＸ送信した際にスキャンした、紙媒体の枚数が格納される。"ＦＡＸ送信先"には、ＭＦＰ１２２＿１がＦＡＸ送信した送信先のＦＡＸ番号が格納される。"ＦＡＸ送信元"には、ＭＦＰ１２２＿１がＦＡＸ受信した場合の、当該ＦＡＸの送信元のＦＡＸ番号が格納される。

＜４．サーバ装置の機能構成＞
次に、サーバ装置１１０の情報漏洩リスク判定サービス部１１１の機能構成について説明する。図５は、情報漏洩リスク判定サービス部の機能構成の一例を示す図である。

図５に示すように、情報漏洩リスク判定サービス部１１１は、スコアリング部５００（人物属性スコアリング部５０１、利用状況スコアリング部５０２、情報内容スコアリング部５０３）を有する。また、情報漏洩リスク判定サービス部１１１は、人物別スコア算出部５０４、判定パラメータ算出部５０５、行動判定部５０６、判定結果出力部５０７を有する。以下、情報漏洩リスク判定サービス部１１１の各部の処理について、図６から図１６を参照しながら説明する。

（１）人物属性スコアリング部の処理
人物属性スコアリング部５０１は、管理データ格納部１１２に格納された人物属性データ３１０を読み出し、サービス提供対象の企業に従事する従業員のうち、監視対象となる人を特定する。

また、人物属性スコアリング部５０１は、ジョブデータ格納部１１３からジョブデータ４００を読み出すとともに、スコアリング指標格納部５１１から、情報漏洩に関する指標の１つである人物属性スコアリング指標を読み出す。

更に、人物属性スコアリング部５０１は、人物属性データ３１０を参照しながら、ジョブデータ４００と人物属性スコアリング指標とを対比することで、ジョブデータ４００の各ジョブの情報を定量化し、人物属性スコア（第２の情報の一例）を出力する。

図６は、スコアリング指標格納部に格納された人物属性スコアリング指標の一例を示す図である。図６に示すように、人物属性スコアリング指標６００には、情報の項目として、"スコアリング項目"、"スコア"が含まれる。

"スコアリング項目"には、監視対象となる人の属性を、情報漏洩の観点から定量化するための評価項目が格納される。図６の例では、スコアリング項目として、「退職予定」、「降格履歴」、「インシデント履歴」が格納されている。

"スコア"には、対応するスコアリング項目について、監視対象となる人の属性を定量化する場合の点数が格納される。

人物属性スコアリング部５０１は、ジョブデータ４００の各ジョブの"ジョブ指示者"に格納された人物ＩＤにより識別される人の人物属性スコアを出力するにあたり、人物属性データ３１０を参照し、スコアリング項目に対応する項目の情報を取得する。図６の場合、スコアリング項目には、「退職予定」、「降格履歴」、「インシデント履歴」が格納されている。このため、人物属性スコアリング部５０１は、人物属性データ３１０を参照することで、当該スコアリング項目（"退職予定"、"降格履歴"、"インシデント履歴"）に対応する項目の情報を取得する。

人物属性データ３１０において、「退職予定」に対応する項目に、退職予定があること、または、退職の予兆があること、を示す情報が格納されていたとする。この場合、人物属性スコアリング部５０１は、当該人物ＩＤにより識別される人の人物属性スコアとして「５点」を出力する。

一方、人物属性データ３１０において、「退職予定」に対応する項目に、情報が格納されていなかった場合、人物属性スコアリング部５０１は、当該人物ＩＤにより識別される人の人物属性スコアとして「０点」を出力する。

また、人物属性データ３１０において、「降格履歴」に対応する項目に、人事上の降格処分を受けていることを示す情報が格納されていたとする。この場合、人物属性スコアリング部５０１は、当該人物ＩＤにより識別される人の人物属性スコアとして「５点」を出力する。

一方、人物属性データ３１０において、「降格履歴」に対応する項目に、情報が格納されていなかった場合、人物属性スコアリング部５０１は、人物属性スコアとして「０点」を出力する。

また、人物属性データ３１０において、「インシデント履歴」に対応する項目に、情報漏洩インシデントに関わった前歴があることを示す情報が格納されていたとする。この場合、人物属性スコアリング部５０１は、当該人物ＩＤにより識別される人の人物属性スコアとして「５点」を出力する。

一方、人物属性データ３１０において、「降格履歴」に対応する項目に、情報が格納されていなかった場合、人物属性スコアリング部５０１は、人物属性スコアとして「０点」を出力する。

（２）利用状況スコアリング部の処理
利用状況スコアリング部５０２は、管理データ格納部１１２に格納された機器属性データ３２０を読み出し、サービス提供対象の企業が有する各機器のうち、監視対象となるＭＦＰを特定する。

また、利用状況スコアリング部５０２は、ジョブデータ格納部１１３に格納されたジョブデータ４００を読み出すとともに、スコアリング指標格納部５１１から、情報漏洩に関する指標の１つである利用状況スコアリング指標を読み出す。

更に、利用状況スコアリング部５０２は、人物属性データ３１０及び機器属性データ３２０を参照しながら、ジョブデータ４００と利用状況スコアリング指標とを対比することで、ジョブデータの各ジョブの情報を定量化する。これにより、利用状況スコアリング部５０２は、利用状況スコア（第１の情報の一例）を出力する。

図７は、スコアリング指標格納部に格納された利用状況スコアリング指標の一例を示す図である。図７に示すように、利用状況スコアリング指標７００には、情報の項目として、"スコアリング項目"、"スコア"が含まれる。

"スコアリング項目"には、監視対象となるＭＦＰについての利用状況を、情報漏洩の観点から定量化するための評価項目が格納される。図７の例では、スコアリング項目として、「利用ＭＦＰ」、「利用ＰＣ」、「曜日」、「時間」、「印刷枚数」、「ＦＡＸ送信先」が格納されている。

"スコア"には、対応するスコアリング項目について、監視対象となるＭＦＰの利用状況を定量化する場合の点数が格納される。

利用状況スコアリング部５０２は、ジョブデータ４００より、スコアリング項目に対応する項目の情報を取得する。図７の場合、スコアリング項目には、「利用ＭＦＰ」、「利用ＰＣ」、「曜日」、「時間」、「印刷枚数」、「ＦＡＸ送信先」が格納されている。このため、利用状況スコアリング部５０２は、ジョブデータ４００より、当該スコアリング項目に対応する項目の情報を取得する。

例えば、利用状況スコアリング部５０２は、ジョブデータ４００より、「利用ＭＦＰ」に格納された機器ＩＤを取得する。そして、利用状況スコアリング部５０２は、機器属性データ３２０を参照し、取得した機器ＩＤの"配置"に格納された情報を取得する。

機器属性データ３２０の"配置"に、目立たない場所であることを示す情報が格納されていた場合、利用状況スコアリング部５０２は、「利用ＭＦＰ」についての利用状況スコアとして「５点」を出力する。

一方、機器属性データ３２０の"配置"に、目立つ場所であることを示す情報が格納されていた場合、利用状況スコアリング部５０２は、「利用ＭＦＰ」についての利用状況スコアとして「０点」を出力する。

また、利用状況スコアリング部５０２は、ジョブデータ４００より、「利用ＰＣ」に格納された機器ＩＤを取得する。このとき、利用状況スコアリング部５０２は、ジョブデータ４００より、"ジョブ指示者"に格納された人物ＩＤもあわせて取得する。

そして、利用状況スコアリング部５０２は、人物属性データ３１０において、当該人物ＩＤに対応する"所属部署ＰＣ"の機器ＩＤを参照し、ジョブデータ４００より取得した機器ＩＤと一致するか否かを判定する。判定の結果、一致しなかった場合（所属部署のＰＣでないと判定した場合）、利用状況スコアリング部５０２は、「利用ＰＣ」についての利用状況スコアとして「５点」を出力する。

一方、判定の結果、一致した場合（所属部署のＰＣであると判定した場合）、利用状況スコアリング部５０２は、「利用ＰＣ」についての利用状況スコアとして「０点」を出力する。

また、利用状況スコアリング部５０２は、ジョブデータ４００より、「曜日」に格納された情報を取得する。取得した情報が、日曜日または祝日であることを示す情報であった場合、利用状況スコアリング部５０２は、「曜日」についての利用状況スコアとして「５点」を出力する。

一方、取得した情報が、平日であることを示す情報であった場合、利用状況スコアリング部５０２は、「曜日」についての利用状況スコアとして「０点」を出力する。

また、利用状況スコアリング部５０２は、ジョブデータ４００より、「時間」に格納された情報を取得する。取得した情報が、午後１０時〜午前６時であることを示す情報であった場合、利用状況スコアリング部５０２は、「時間」についての利用状況スコアとして「５点」を出力する。

一方、取得した情報が、午前６時〜午後１０時であることを示す情報であった場合、利用状況スコアリング部５０２は、「時間」についての利用状況スコアとして「０点」を出力する。

また、利用状況スコアリング部５０２は、ジョブデータ４００より、「印刷枚数」に格納された印刷枚数をする。このとき、利用状況スコアリング部５０２は、ジョブデータ４００より、ジョブ指示者が同じである他のジョブの印刷枚数もあわせて取得する。

そして、利用状況スコアリング部５０２は、当該ジョブの印刷枚数と、他のジョブの印刷枚数との差が所定の閾値以上であるか否かを判定する。判定の結果、所定の閾値以上であった場合、利用状況スコアリング部５０２は、「印刷枚数」についての利用状況スコアとして「５点」を出力する。

一方、判定の結果、所定の閾値未満であった場合、利用状況スコアリング部５０２は、「印刷枚数」についての利用状況スコアとして「０点」を出力する。

また、利用状況スコアリング部５０２は、ジョブデータ４００より、「ＦＡＸ送信先」に格納されたＦＡＸ番号を取得する。取得したＦＡＸ番号が、特定のＦＡＸ番号（例えば、名簿業者のＦＡＸ番号）であった場合、利用状況スコアリング部５０２は、「ＦＡＸ送信先」についての利用状況スコアとして「３００点」を出力する。

一方、取得したＦＡＸ番号が、特定のＦＡＸ番号以外のＦＡＸ番号であった場合、利用状況スコアリング部５０２は、「ＦＡＸ送信先」についての利用状況スコアとして「０点」を出力する。

（３）情報内容スコアリング部の処理
情報内容スコアリング部５０３は、管理データ格納部１１２に格納された情報属性データ３３０を読み出し、サービス提供対象の企業が有する情報資産のうち、監視対象となる情報資産を特定する。

また、情報内容スコアリング部５０３は、ジョブデータ格納部１１３からジョブデータ４００を読み出すとともに、スコアリング指標格納部５１１から、情報漏洩に関する指標の１つである情報内容スコアリング指標を読み出す。

更に、情報内容スコアリング部５０３は、管理データ格納部１１２に格納された情報属性データを参照しながら、ジョブデータ４００と情報内容スコアリング指標とを対比する。これにより、情報内容スコアリング部５０３は、監視対象となる人が監視対象となるＭＦＰを介して取り扱った情報内容（ジョブの実行対象であるデータ）について定量化し、情報内容スコア（第３の情報の一例）を出力する。

図８は、スコアリング指標格納部に格納された情報内容スコアリング指標の一例を示す図である。図８に示すように、情報内容スコアリング指標８００には、情報の項目として、"スコアリング項目"、"スコア"が含まれる。

"スコアリング項目"には、監視対象となるＭＦＰを介して取り扱った情報内容を、情報漏洩の観点から定量化するための評価項目が格納される。図８の例では、スコアリング項目として、「印刷ファイル名（電子データ）」、「印刷ファイル名（ＵＲＬ）」、「書類内検出キーワード」が格納されている。

"スコア"には、対応するスコアリング項目について、情報内容を定量化する場合の点数が格納される。

情報内容スコアリング部５０３は、ジョブデータ４００より、スコアリング項目に対応する項目の情報を取得する。図８の場合、スコアリング項目には、「印刷ファイル名（電子データ）」、「印刷ファイル名（ＵＲＬ）」、「書類内検出キーワード」が格納されている。このため、情報内容スコアリング部５０３は、ジョブデータ４００より、当該スコアリング項目に対応する項目の情報を取得する。

例えば、情報内容スコアリング部５０３は、ジョブデータ４００より、「印刷ファイル名」に格納された印刷ファイル名を取得する。また、情報内容スコアリング部５０３は、情報属性データ３３０の"印刷ファイル名"に対応付けて格納された特定ワードを参照する。そして、情報内容スコアリング部５０３は、取得した印刷ファイル名の中に、特定ワードが含まれるか否かを判定する。判定の結果、特定ワードが含まれていた場合、情報内容スコアリング部５０３は、「印刷ファイル名」についての情報内容スコアとして「１０点」を出力する。

一方、特定ワードが含まれていなかった場合、情報内容スコアリング部５０３は、「印刷ファイル名」についての情報内容スコアとして「０点」を出力する。

また、情報内容スコアリング部５０３は、ジョブデータ４００より、「印刷ファイル名」に格納されたＵＲＬを取得する。更に、情報内容スコアリング部５０３は、情報属性データ３３０の"ＵＲＬ"に対応付けて格納された特定ワードを参照する。そして、情報内容スコアリング部５０３は、取得したＵＲＬの中に、特定ワードが含まれるか否かを判定する。判定の結果、特定ワードが含まれていた場合、情報内容スコアリング部５０３は、「印刷ファイル名」についての情報内容スコアとして「１点」を出力する。

一方、特定ワードが含まれていなかった場合、情報内容スコアリング部５０３は、「印刷ファイル名」についての情報内容スコアとして「０点」を出力する。

また、情報内容スコアリング部５０３は、ジョブデータ４００より、「書類内検出キーワード」に格納された情報を取得する。更に、情報内容スコアリング部５０３は、情報属性データ３３０の"書類内検出キーワード"に対応付けて格納された特定ワードを参照する。そして、情報内容スコアリング部５０３は、取得した情報の中に、特定ワードが含まれるか否かを判定する。判定の結果、特定ワードが含まれていた場合、情報内容スコアリング部５０３は、「書類内検出キーワード」についての情報内容スコアとして「２０点」を出力する。

一方、特定のワードが含まれていなかった場合、情報内容スコアリング部５０３は、「書類内検出キーワード」についての情報内容スコアとして「０点」を出力する。

（４）人物別スコア算出部の説明
人物別スコア算出部５０４は算出手段の一例である。人物別スコア算出部５０４は、人物属性スコアリング部５０１より出力された人物属性スコアと、利用状況スコアリング部５０２より出力された利用状況スコアと、情報内容スコアリング部５０３より出力された情報内容スコアと、をジョブデータごとに取得する。

図９は、ジョブデータごとに取得したスコアの一例を示す図であり、機器ＩＤ＝"ＭＦＰ００１"により識別されるＭＦＰ１２２＿１より送信されたジョブデータ４００に対して、スコアリング部５００より取得したスコアを重ねて記載した様子を示している。

図９の例は、ジョブデータ４００の１番目のジョブの「日時」の中に、利用状況スコアとして、利用状況スコアリング部５０２によって「５点」が出力される情報が格納されていたことを示している。

また、図９の例は、ジョブデータ４００の２番目のジョブの「曜日」の中に、利用状況スコアとして、利用状況スコアリング部５０２によって「５点」が出力される情報が格納されていたことを示している。

また、図９の例は、ジョブデータ４００の４番目のジョブの「ジョブ指示者」の中に、人物属性スコアとして、人物属性スコアリング部５０１によって「５点」が出力される情報が格納されていたことを示している。

また、図９の例は、ジョブデータ４００の８番目のジョブの「利用ＰＣ」の中に、利用状況スコアとして、利用状況スコアリング部５０２によって「５点」が出力される情報が格納されていたことを示している。

また、図９の例は、ジョブデータ４００の７番目のジョブの「印刷ファイル名」の中に、情報内容スコアとして、情報内容スコアリング部５０３によって「１点」が出力される情報が格納されていたことを示している。

また、図９の例は、ジョブデータ４００の６番目のジョブの「印刷枚数」の中に、利用状況スコアとして、利用状況スコアリング部５０２によって「５点」が出力される情報が格納されていたことを示している。

また、図９の例は、ジョブデータ４００の５番目のジョブの「書類内検出キーワード」の中に、情報内容スコアとして、情報内容スコアリング部５０３によって「１０点」が出力される情報が格納されていたことを示している。

更に、図９の例は、ジョブデータ４００の３番目のジョブの「ＦＡＸ送信先」の中に、利用状況スコアとして、利用状況スコアリング部５０２によって「３００点」が出力される情報が格納されていたことを示している。

人物別スコア算出部５０４は、監視対象となるＭＦＰによりそれぞれ送信された全てのジョブデータのジョブについて出力された、人物属性スコア、利用状況スコア、情報内容スコアを取得すると、当該スコアを監視対象となる人ごと、ジョブごとに分類する。また、人物別スコア算出部５０４は、監視対象となるそれぞれの人について、ジョブごとに、人物属性スコアと、利用状況スコアと、情報内容スコアとを重み付け加算する。

図１０〜図１２は、監視対象となる人ごとに、各ジョブのスコアを重み付け加算した加算結果の一例を示す図である。このうち、図１０のジョブデータ１０００は、人物ＩＤ＝Ｐ００１により識別される人のジョブデータを示している。

人物別スコア算出部５０４は、取得した人物属性スコアと、利用状況スコアと、情報内容スコアとを、下式に基づいて重み付け加算することで、加算結果（第１の値の一例）を得る。

ジョブデータ１０００の場合、人物属性スコアは０点である。また、ジョブ１００１の利用状況スコアが５点、情報内容スコアが１０点であることから、ジョブ１００１の加算結果は５０点となる。また、ジョブ１００２の利用状況スコアが３００点、情報内容スコアが１点であることから、ジョブ１００２の加算結果は３００点となる。

なお、重み付け加算において、情報内容スコアにはデフォルト値として「１」が入力されているものとする。

このようにして、人物別スコア算出部５０４は、人物ＩＤ＝Ｐ００１により識別される人の各ジョブの人物属性スコアと利用状況スコアと情報内容スコアの加算結果を得る。

図１１のジョブデータ１１００は、人物ＩＤ＝Ｐ００２により識別される人のジョブデータを示している。ジョブデータ１１００の場合、人物属性スコアは０点である。また、ジョブ１１０１の利用状況スコアが１０点（５点＋５点）、情報内容スコアが１０点であることから、ジョブ１１０１の加算結果は１００点となる。

このようにして、人物別スコア算出部５０４は、人物ＩＤ＝Ｐ００２により識別される人の各ジョブの人物属性スコアと利用状況スコアと情報内容スコアの加算結果を得る。

図１２のジョブデータ１２００は、人物ＩＤ＝Ｐ００３により識別される人のジョブデータを示している。ジョブデータ１２００の場合、人物属性スコアは０点である。また、ジョブ１２０１の利用状況スコアが１点、情報内容スコアが１点であることから、ジョブ１２０１の加算結果は１点となる。

また、ジョブ１２０２〜ジョブ１２２０の利用状況スコアがそれぞれ１点、情報内容スコアがそれぞれ１点であることから、ジョブ１２０１〜１２２０の加算結果はいずれも１点となる。

更に、ジョブ１２２１の利用状況スコアが５点、情報内容スコアが２０点であることから、ジョブ１２２１の加算結果は１００点となる。

このようにして、人物別スコア算出部５０４は、人物ＩＤ＝Ｐ００３により識別される人の各ジョブの人物属性スコアと利用状況スコアと情報内容スコアの加算結果を得る。

（５）判定パラメータ算出部の処理
判定パラメータ算出部５０５は、人物別スコア算出部５０４より、監視対象となる人ごとの各ジョブのスコアの加算結果を取得する。また、判定パラメータ算出部５０５は、監視対象となる人ごとの各ジョブのスコアの加算結果を集計して、情報漏洩のリスクを判定するための判定パラメータ（第２の値の一例）を算出する。

本実施形態において、判定パラメータ算出部５０５は、監視対象となる人ごとに、各ジョブのスコアの加算結果を合計し、合計値を算出する。また、判定パラメータ算出部５０５は、監視対象となる人ごとに、各ジョブのスコアの加算結果を合計し、ジョブ数で割ることで、平均値を算出する。

また、判定パラメータ算出部５０５は、監視対象となる人ごとに算出した合計値に基づいて、監視対象となる人ごとに、合計値の偏差値を算出する。更に、判定パラメータ算出部５０５は、監視対象となる人ごとに算出した平均値に基づいて、監視対象となる人ごとに、平均値の偏差値を算出する。

図１３は、情報漏洩リスクを判定する判定パラメータの算出結果の一例を示す図である。図１３に示すように、判定パラメータ算出結果１３００には、情報の項目として、"人物ＩＤ"、"リスク合計値"、"リスク平均値"、"リスク合計値の偏差値"、"リスク平均値の偏差値"が含まれる。

"人物ＩＤ"には、監視対象となる人の人物ＩＤが格納される。"リスク合計値"には、人物別スコア算出部５０４より取得した、監視対象となる人の各ジョブのスコアの加算結果の合計値が格納される。"リスク平均値"には、判定パラメータ算出部５０５より取得した、監視対象となる人の各ジョブのスコアの加算結果の平均値が格納される。

"リスク合計値の偏差値"には、判定パラメータ算出部５０５より取得した、監視対象となる人の各ジョブのスコアの加算結果の合計値の偏差値が格納される。"リスク平均値の偏差値"には、判定パラメータ算出部５０５より取得した、監視対象となる人の各ジョブのスコアの加算結果の平均値の偏差値が格納される。

判定パラメータ算出部５０５は、監視対象となる人ごとに各ジョブのスコアの加算結果を集計することで得た上記値のうち、リスク合計値の偏差値と、リスク平均値の偏差値とを、判定パラメータとして行動判定部５０６に通知する。

（６）行動判定部の処理
行動判定部５０６は判定手段の一例である。行動判定部５０６は、判定パラメータ算出部５０５より通知された判定パラメータと、判定指標格納部５１２に格納された判定指標とを対比することで、監視対象となる人ごとに、行動判定を行う。具体的には、行動判定部５０６は、情報漏洩のリスクを示すランクを判定する。

図１４は、判定パラメータと情報漏洩リスクとの関係を示す判定指標の一例を示す図である。図１４（ａ）に示すように、判定指標は、横軸（第２の軸の一例）を「リスク平均値の偏差値」、縦軸（第１の軸の一例）を「リスク合計値の偏差値」とした座標空間内を、複数の領域（ランクの領域）に分割することで規定されている。判定指標に用いる座標空間は、リスク平均値とリスク合計値の分布をあらわしている。

図１４（ａ）の例では、リスク平均値の偏差値が７０以上で、かつ、リスク合計値の偏差値が７０以上の領域を、情報漏洩リスクを示すランク＝「ランクＡ」の領域としている。また、リスク平均値の偏差値が７０以上で、リスク合計値の偏差値が５０以上７０未満の領域を、情報漏洩リスクを示すランク＝「ランクＢ」の領域としている。

更に、リスク平均値の偏差値が７０以上で、リスク合計値の偏差値が５０未満の領域、あるいは、リスク平均値の偏差値が５０以上７０未満で、リスク合計値の偏差値が７０以上の領域を、情報漏洩リスクを示すランク＝「ランクＣ」の領域としている。

図１４（ｂ）は、ランクＡ〜ランクＣと判定される人の特徴を定義したテーブルである。例えば、ランクＡと判定される人は、"情報漏洩の意図が強く伺える、リスクの高い人物"と定義される。また、ランクＢと判定される人は、"情報漏洩に繋がりやすい行動や予兆があり、中程度のリスクがある人物"と定義される。更に、ランクＣと判定される人は、"うっかり書類紛失などの過失による情報漏洩や、私的印刷が多いなど、情報セキュリティ上のモラルに緩みがみられる人物"といったように、軽度のリスクがある人物と定義される。

図１５は、情報漏洩リスクの判定結果の一例を示す図である。図１５に示すように、行動判定部５０６は、判定パラメータ算出部５０５より通知された判定パラメータを、判定指標（図１４（ａ））に当てはめることで、監視対象となる人の情報漏洩リスクを示すランクを判定することができる。

図１５の例において、黒丸１５０１は、人物ＩＤ＝Ｐ００１により識別される人の判定パラメータである。図１５の例によれば、行動判定部５０６は、人物ＩＤ＝Ｐ００１により識別される人は、情報漏洩リスクを示すランクが「ランクＡ」であると判定する。

同様に、図１５の例において、黒丸１５０２は、人物ＩＤ＝Ｐ００２により識別される人の判定パラメータである。図１５の例によれば、行動判定部５０６は、人物ＩＤ＝Ｐ００２により識別される人は、情報漏洩リスクを示すランクが「ランクＢ」であると判定する。

同様に、図１５の例において、黒丸１５０３は、人物ＩＤ＝Ｐ００３により識別される人の判定パラメータである。図１５の例によれば、行動判定部５０６は、人物ＩＤ＝Ｐ００３により識別される人は、情報漏洩リスクを示すランクが「ランクＣ」であると判定する。

（７）判定結果出力部の処理
判定結果出力部５０７は、行動判定部５０６により、判定結果一覧を取得する。また、判定結果出力部５０７は、情報漏洩リスクを示すランクが「ランクＡ」〜「ランクＣ」のいずれかであると判定された人の、ジョブデータを取得する。また、判定結果出力部５０７は、取得したジョブデータを表示する。これにより、サーバ装置１１０の管理者は、「ランクＡ」〜「ランクＣ」と判定されたそれぞれの人を、表示されたジョブデータに基づいて分析する。

サーバ装置１１０の管理者が分析結果を入力すると、判定結果出力部５０７は、分析結果を受け付け、受け付けた分析結果を含むレポートを生成する。また、判定結果出力部５０７は、サービス提供対象の企業に、生成したレポートを送信する。

図１６は、レポートの一例を示す図である。図１６に示すように、レポート１６００には、情報の項目として、"ランク"、"人物ＩＤ"、"主な判定理由"が含まれる。"ランク"には、行動判定部５０６により判定されたランクが格納される。"人物ＩＤ"には、対応するランクであると判定された人の人物ＩＤが格納される。

"主な判定理由"には、サーバ装置１１０の管理者が、ジョブデータに基づいて分析した分析結果が格納される。なお、サーバ装置１１０の管理者によるジョブデータの分析は、スコアリング指標格納部５１１に格納された各スコアリング指標のスコアリング項目以外の評価項目についても行うものとする。

なお、レポートの内容は、図１６に示したものに限定されず、例えば、"主な判定理由"の代わりに、判定パラメータを記載してもよい。また、"主な判定理由"に記載される内容は、例えば、ランクごとに予め用意されたテンプレートであってもよい。

＜５．情報漏洩リスク判定サービス提供処理＞
次に、情報漏洩リスク判定システム１００における、情報漏洩リスク判定サービス提供処理の流れについて説明する。図１７は、情報漏洩リスク判定システムにおける、情報漏洩リスク判定サービス提供処理の流れを示すシーケンス図である。

ステップＳ１７１１において、従業員１７０１は、ＰＣ１２３＿１に対して人物ＩＤを入力することで、ＰＣ１２３＿１にログインする。

ステップＳ１７１２において、ＰＣ１２３＿１は、入力された人物ＩＤに基づいて認証処理を行う。ＰＣ１２３＿１による認証処理が成功すると、ステップＳ１７１３に進む。

ステップＳ１７１３において、従業員１７０１は、ＰＣ１２３＿１に対して、ファイル名を指定して、所定の電子データの読み出しを指示する。

ステップＳ１７１４において、ＰＣ１２３＿１は、指定されたファイル名を有する電子データを読み出して表示する。

ステップＳ１７１５において、従業員１７０１は、印刷枚数等の各種印刷設定を入力した後、印刷指示を入力する。これにより、ステップＳ１７１６において、ＰＣ１２３＿１は、読み出した電子データに基づいて、印刷データを生成する。

ステップＳ１７１７において、ＰＣ１２３＿１は、生成した印刷データと、人物ＩＤと、ＰＣ１２３＿１の機器ＩＤと、印刷ファイル名と、印刷枚数とをＭＦＰ１２２＿１に送信する。

ステップＳ１７１８において、ＭＦＰ１２２＿１は、ＰＣ１２３＿１より送信された印刷データを印刷する。また、ＭＦＰ１２２＿１は、機器ＩＤと、印刷した日時、曜日、ジョブ種類、利用ＰＣの機器ＩＤ、印刷ファイル名、印刷枚数等を含むジョブデータ４００を生成する。

ステップＳ１７１９において、ＭＦＰ１２２＿１は、生成したジョブデータ４００をサーバ装置１１０に送信する。

ステップＳ１７２０において、サーバ装置１１０は、受信したジョブデータ４００をジョブデータ格納部１１３に格納する。

なお、ステップＳ１７１１〜ステップＳ１７２０に示す処理は、サービス提供対象の企業に従事する任意の従業員によって実行される。また、各従業員がログインするＰＣ、各種ジョブを実行させるＭＦＰは、サービス提供対象の企業が有する全てのＰＣ１２３＿１〜ＰＣ１２３＿ｎ、全てのＭＦＰ１２２＿１〜ＭＦＰ１２２＿ｍが対象となる。

所定期間（例えば、１か月）、ステップＳ１７１１〜ステップＳ１７２０の処理が繰り返されることで、サーバ装置１１０のジョブデータ格納部１１３に、所定量のジョブデータが格納されると、ステップＳ１７２１に進む。

ステップＳ１７２１において、管理装置１２１は、情報漏洩リスク判定サービスの提供を要求する。管理装置１２１は、情報漏洩リスク判定サービスの提供を要求する際、最新の管理データ（人物属性データ、機器属性データ、情報属性データ）をサーバ装置１１０に送信する。

ステップＳ１７２２において、サーバ装置１１０は、管理装置１２１より送信された管理データを、管理データ格納部１１２に格納する。

ステップＳ１７２３において、サーバ装置１１０は、情報漏洩リスク判定処理を実行する。なお、情報漏洩リスク判定処理の流れは、図１８を用いて後述する。

ステップＳ１７２４において、サーバ装置１１０は、情報漏洩リスク判定処理を実行することで生成したレポート１６００を、管理装置１２１に送信する。

これにより、レポート１６００を受け取った企業では、紙媒体による情報漏洩インシデントの低減対策として有効な対策をとることができる。

＜６．情報漏洩リスク判定処理の流れ＞
次に、情報漏洩リスク判定処理（図１７のステップＳ１７２３）の詳細について説明する。図１８は、情報漏洩リスク判定処理の流れを示すフローチャートである。

ステップＳ１８０１において、人物属性スコアリング部５０１は、管理データ格納部１１２より、人物属性データ３１０を読み出す。また、利用状況スコアリング部５０２は、管理データ格納部１１２より、機器属性データ３２０を読み出す。更に、情報内容スコアリング部５０３は、管理データ格納部１１２より、情報属性データ３３０を読み出す。

ステップＳ１８０２において、人物属性スコアリング部５０１は、ジョブデータ格納部１１３よりジョブデータ４００を読み出す。また、利用状況スコアリング部５０２は、ジョブデータ格納部１１３よりジョブデータ４００を読み出す。更に、情報内容スコアリング部５０３は、ジョブデータ格納部１１３よりジョブデータ４００を読み出す。

ステップＳ１８０３において、人物属性スコアリング部５０１は、人物属性データ３１０を参照しながら、人物属性スコアリング指標６００に基づいて、ジョブデータ４００の各ジョブの情報の人物属性スコアを出力する。

同様に、利用状況スコアリング部５０２は、機器属性データ３２０を参照しながら、利用状況スコアリング指標７００に基づいて、ジョブデータ４００の各ジョブの情報の利用状況スコアを出力する。同様に、情報内容スコアリング部５０３は、情報属性データ３３０を参照しながら、情報内容スコアリング指標８００に基づいて、ジョブデータ４００の各ジョブの情報の情報内容スコアを出力する。

ステップＳ１８０４において、人物別スコア算出部５０４は、全てのジョブデータの人物属性スコア、利用状況スコア、情報内容スコアを取得し、監視対象となる人ごとに分類する。また、人物別スコア算出部５０４は、監視対象となる人それぞれについて、ジョブごとに、人物属性スコアと、利用状況スコアと、情報内容スコアとを重み付け加算し、加算結果を出力する。

ステップＳ１８０５において、判定パラメータ算出部５０５は、監視対象となる人ごとに各ジョブの加算結果を集計し、判定パラメータを算出する。

ステップＳ１８０６において、行動判定部５０６は、判定パラメータを判定指標と対比することで、監視対象となる人ごとに、情報漏洩のリスクを示すランクを判定する。

ステップＳ１８０７において、判定結果出力部５０７は、サーバ装置１１０の管理者による分析結果に基づいて、レポート１６００を生成する。

＜７．まとめ＞
以上の説明から明らかなように、本実施形態によれば、
・監視対象となるＭＦＰのジョブデータを取得し、情報漏洩に関する各指標（人物属性スコアリング指標、利用状況スコアリング指標、情報内容スコアリング指標）と対比する。これにより、各ジョブの情報を定量化し、人物属性スコア、利用状況スコア、情報内容スコアを出力する。
・出力した人物属性スコア、利用状況スコア、情報内容スコアを、ジョブごとに重み付け加算し、加算結果を、監視対象となる人ごとに集計して、判定パラメータを算出する。
・算出した判定パラメータを判定指標と対比することで、監視対象となる人の、情報漏洩リスクを判定し、判定結果を含むレポートを提供する。

このように、本実施形態におけるサーバ装置１１０は、ＭＦＰのジョブデータを介して、監視対象となる人の印刷行動（誰が、どのような情報内容について、印刷装置をどのように利用したのか）を監視する。

これにより、本実施形態によれば、ＭＦＰの利用状況等を用いてＭＦＰの利用者の行動を判定できる。

［第２の実施形態］
上記第１の実施形態では、人物別スコア算出部５０４が、人物属性スコアと、利用状況スコアと、情報内容スコアとを重み付け加算するにあたり、加算結果に対する情報内容スコアの影響が大きくなるように（式１）を規定した。具体的には、人物属性スコアと利用状況スコアとの和算値に、情報内容スコアをかけあわせることで、加算結果を算出した。これは、第１の実施形態の場合、情報漏洩インシデントの低減対策に有効な情報を提供することに主眼を置いていたためである。

しかしながら、情報漏洩インシデント以外のインシデントの低減対策に有効な情報を提供することに主眼を置く場合、重み付け加算の方法は、（式１）に限定されず、人物属性スコアや利用状況スコアの影響が大きくなるように規定してもよい。

具体的には、人物属性スコアと情報内容スコアとの和算値に、利用状況スコアをかけあわせることで、加算結果を算出してもよい。あるいは、利用状況スコアと情報内容スコアとの和算値に、人物属性スコアをかけあわせることで、加算結果を算出してもよい。これらの場合、情報漏洩リスクの高い印刷行動とは異なる印刷行動について行動判定が行われることになる。

また、上記第１の実施形態において、情報漏洩リスク判定プログラムは、サーバ装置１１０にインストールされるものとして説明したが、情報漏洩リスク判定プログラムは、例えば、管理装置１２１にインストールされてもよい。この場合、ジョブデータは、管理装置１２１に格納され、情報漏洩リスク判定サービスは、管理装置１２１により提供されることになる。

また、上記第１の実施形態では、情報漏洩リスク判定サービスの提供に対する対価について特に言及しなかったが、例えば、サーバ装置１１０の管理者は、サービス提供対象の企業に対して、月額の固定料金を設定するようにしてもよい。あるいは、サーバ装置１１０の管理者は、情報漏洩リスク判定サービスの提供要求を受信するごとに、課金するようにしてもよい。

また、上記第１の実施形態において示した各指標（人物属性スコアリング指標、利用状況スコアリング指標、情報内容スコアリング指標）のスコアリング項目は、一例にすぎず、他のスコアリング項目が含まれていてもよい。

また、上記第１の実施形態では、各指標のスコアとして、いずれのスコアリング項目に対しても２種類有するものとして説明した。しかしながら、スコアリング項目によっては、３種類以上のスコアを有していてもよいことはいうまでもない。また、スコアは、離散値でなく連続値であってもよい。

また、上記第１の実施形態の情報漏洩リスク判定システムでは、管理装置１２１や各ＭＦＰ１２２＿１〜１２２＿ｍから各種データ（管理データ、ジョブデータ）を送信する形態とした。しかしながら、各種データ（管理データ、ジョブデータ）の送信方法はこれに限定されない。例えば、管理装置１２１に各ＭＦＰ１２２＿１〜１２２＿ｍからジョブデータ等を送信し、一括して管理装置１２１からサーバ装置１１０に対して各種データを送信する形態としてもよい。更に、サーバ装置１１０は、クラウドサービスのほか、ＡＳＰ（Application Service Provider）、Ｗｅｂサービス等の、いわゆるネットワークを介したサービスとして、上記情報漏洩リスク判定サービスを提供してもよい。その場合、サーバ装置１１０は、各種機能（情報漏洩リスク判定サービス部１１１に含まれる各部の機能）ごとに分散したサーバ装置により構成されてもよい。

また、上記第１の実施形態では、サーバ装置１１０と接続する各機器の一例としてＭＦＰを挙げたが、ＭＦＰ以外の画像形成装置を接続してもよいことはいうまでもない。なお、ここでいうＭＦＰ以外の画像形成装置には、例えば、ＬＰ（レーザプリンタ）などの印刷装置や、ファクシミリ装置、スキャナ装置などが含まれる。

なお、上記実施形態に挙げた構成等に、その他の要素との組み合わせなど、ここで示した構成に本発明が限定されるものではない。これらの点に関しては、本発明の趣旨を逸脱しない範囲で変更することが可能であり、その応用形態に応じて適切に定めることができる。

１００ ：情報漏洩リスク判定システム
１１０ ：サーバ装置
１１１ ：情報漏洩リスク判定サービス部
１２１ ：管理装置
１２２＿１〜１２２＿ｍ ：ＭＦＰ
１２３＿１〜１２３＿ｎ ：ＰＣ
３１０ ：人物属性データ
３２０ ：機器属性データ
３３０ ：情報属性データ
４００ ：ジョブデータ
５００ ：スコアリング部
５０１ ：人物属性スコアリング部
５０２ ：利用状況スコアリング部
５０３ ：情報内容スコアリング部
５０４ ：人物別スコア算出部
５０５ ：判定パラメータ算出部
５０６ ：行動判定部
５０７ ：判定結果出力部
６００ ：人物属性スコアリング指標
７００ ：利用状況スコアリング指標
８００ ：情報内容スコアリング指標
１３００ ：判定パラメータ算出結果
１６００ ：レポート

特開２０１０−９２３９号公報

Claims (10)

1. 画像形成装置において実行されたジョブの利用状況を示す第１の情報と、前記ジョブを実行した利用者の属性を示す第２の情報と、前記ジョブの実行対象であるデータに関する第３の情報とを用いて、前記ジョブに応じた第１の値を算出する算出手段と、
   所定期間内で実行されたジョブそれぞれの前記第１の値を用いて前記利用者ごとに算出された第２の値に基づいて、前記利用者ごとの行動判定を行う判定手段と
   を有する情報処理システム。
2. 前記算出手段は、前記ジョブごとに、前記第１乃至第３の情報をそれぞれ定量化して重み付け加算することで、前記第１の値を算出する請求項１に記載の情報処理システム。
3. 前記判定手段は、前記第２の値として算出された、前記利用者ごとの前記第１の値の合計値と、前記利用者ごとの前記第１の値の平均値とに基づいて、前記利用者ごとの行動判定を行う請求項１または２に記載の情報処理システム。
4. 前記判定手段は、前記第１の値の合計値の分布を示す第１の軸と、前記第１の値の平均値の分布を示す第２の軸とにより形成される座標空間の各領域に、前記利用者の情報漏洩のリスクを示す情報が割り当てられた判定指標を参照することで、前記利用者ごとの行動判定を行う請求項３に記載の情報処理システム。
5. 前記第１の情報は、少なくとも、前記画像形成装置の配置、前記ジョブの実行指示に用いられた装置、前記ジョブの実行日時、前記ジョブの実行時の設定内容のいずれかを含む請求項１に記載の情報処理システム。
6. 前記第２の情報は、少なくとも、前記利用者の退職予定の有無、前記利用者の降格処分の有無、前記利用者の情報漏洩の前歴の有無のいずれかを含む請求項１に記載の情報処理システム。
7. 前記第３の情報は、少なくとも、前記ジョブの実行対象であるデータのファイル名、データの格納先、データに含まれるワードのいずれかを含む請求項１に記載の情報処理システム。
8. コンピュータに、
   画像形成装置において実行されたジョブの利用状況を示す第１の情報と、前記ジョブを実行した利用者の属性を示す第２の情報と、前記ジョブの実行対象であるデータに関する第３の情報とを用いて、前記ジョブに応じた第１の値を算出する算出工程と、
   所定期間内で実行されたジョブそれぞれの前記第１の値を用いて前記利用者ごとに算出された第２の値に基づいて、前記利用者ごとの行動判定を行う判定工程と
   を実行させるためのプログラム。
9. 画像形成装置において実行されたジョブの利用状況を示す第１の情報と、前記ジョブを実行した利用者の属性を示す第２の情報と、前記ジョブの実行対象であるデータに関する第３の情報とを用いて、前記ジョブに応じた第１の値を算出する算出手段と、
   所定期間内で実行されたジョブそれぞれの前記第１の値を用いて前記利用者ごとに算出された第２の値に基づいて、前記利用者ごとの行動判定を行う判定手段と
   を有する情報処理装置。
10. 画像形成装置において実行されたジョブの利用状況を示す第１の情報と、前記ジョブを実行した利用者の属性を示す第２の情報と、前記ジョブの実行対象であるデータに関する第３の情報とを用いて、前記ジョブに応じた第１の値を算出する算出工程と、
    所定期間内で実行されたジョブそれぞれの前記第１の値を用いて前記利用者ごとに算出された第２の値に基づいて、前記利用者ごとの行動判定を行う判定工程と
    を有する判定方法。

Images