JP2019121161A - 判定プログラム、判定方法、および判定装置 - Google Patents

Abstract

【課題】特定の操作に関する評価負担の低減化を図ること。【解決手段】判定装置１００は、記憶部を参照し、ユーザの属性ごとに特定の操作に関する評価基準を生成する。記憶部は、ユーザによる操作の履歴１１０をユーザの属性と対応付けて記憶する。判定装置１００は、いずれかのユーザの属性に基づいて、生成した評価基準のうち、いずれかのユーザによる特定の操作に関する評価基準を特定する。判定装置１００は、いずれかのユーザによる特定の操作を検出した場合、いずれかのユーザによる特定の操作が、特定した評価基準を満たすか否かを判定する。判定装置１００は、判定した結果を出力してもよい。【選択図】図１

Description

本発明は、判定プログラム、判定方法、および判定装置に関する。

従来、セキュリティ管理者は、従業員による不正な操作を監視し、不正な操作を発見すると、不正な操作について対策を実施する。例えば、セキュリティ管理者は、従業員がＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）上で行った操作の履歴を収集し、収集した操作の履歴に基づいて操作の正当性について評価し、不正な操作を発見すると対策を実施する。不正な操作は、例えば、機密情報の持ち出しである。

先行技術としては、例えば、ユーザの動作または操作から得られるデータに基づいて生成した個人情報の履歴に基づいてユーザの行動パターンあるいは思考パターンを示すユーザ特性を推定するものがある。また、例えば、セキュリティインベントリ情報や操作ログ情報が予め設定されているセキュリティポリシーに適合しているかを判定する技術がある。また、例えば、思考から行動に移行する間に第三者視点を想定した行動の思考内再構成が存在しない低浸食性の履歴情報を状態集合および遷移集合が含まれる観測された行動履歴記録より取得し、思考モデルを作成する技術がある。

特開２０１４−００２４４１号公報 特開２００８−３０４９６８号公報 特開２０１２−０５３７１６号公報

しかしながら、従来技術では、特定の操作に関する評価にかかるセキュリティ管理者の負担の増大化を招いてしまう。例えば、セキュリティ管理者は、業務形態や業務環境の多様化に伴って業務上正式に許可された操作についても正当性を評価することになり、従業員への聞き取り調査を実施することになる場合がある。

１つの側面では、本発明は、特定の操作に関する評価負担の低減化を図ることを目的とする。

１つの実施態様によれば、ユーザによる操作の履歴を前記ユーザの属性と対応付けて記憶する記憶部を参照し、ユーザの属性ごとに特定の操作に関する評価基準を生成し、いずれかのユーザの属性に基づいて、生成した前記評価基準のうち、前記いずれかのユーザによる前記特定の操作に関する評価基準を特定し、前記いずれかのユーザによる前記特定の操作を検出した場合、前記いずれかのユーザによる前記特定の操作が、特定した前記評価基準を満たすか否かを判定する判定プログラム、判定方法および判定装置が提案される。

一態様によれば、特定の操作に関する評価負担の低減化を図ることが可能になる。

図１は、実施の形態にかかる判定方法の一実施例を示す説明図である。 図２は、判定システム２００の一例を示す説明図である。 図３は、判定装置１００のハードウェア構成例を示すブロック図である。 図４は、人事情報ＤＢ４００の記憶内容の一例を示す説明図である。 図５は、職責に対する業務行動パターン情報ＤＢ５００の記憶内容の一例を示す説明図である。 図６は、所属に対する業務行動パターン情報ＤＢ６００の記憶内容の一例を示す説明図である。 図７は、勤務形態に対する業務行動パターン情報ＤＢ７００の記憶内容の一例を示す説明図である。 図８は、職種に対する業務行動パターン情報ＤＢ８００の記憶内容の一例を示す説明図である。 図９は、担当に対する業務行動パターン情報ＤＢ９００の記憶内容の一例を示す説明図である。 図１０は、資産情報ＤＢ１０００の記憶内容の一例を示す説明図である。 図１１は、所属に対する業務環境パターン情報ＤＢ１１００の記憶内容の一例を示す説明図である。 図１２は、勤務形態に対する業務環境パターン情報ＤＢ１２００の記憶内容の一例を示す説明図である。 図１３は、操作履歴１３００の記憶内容の一例を示す説明図である。 図１４は、端末装置２０１のハードウェア構成例を示すブロック図である。 図１５は、判定装置１００の機能的構成例を示すブロック図である。 図１６は、判定システム２００の実施例を示す説明図（その１）である。 図１７は、判定システム２００の実施例を示す説明図（その２）である。 図１８は、判定システム２００の実施例を示す説明図（その３）である。 図１９は、判定システム２００の実施例を示す説明図（その４）である。 図２０は、判定システム２００の実施例を示す説明図（その５）である。 図２１は、判定システム２００の実施例を示す説明図（その６）である。 図２２は、判定システム２００の実施例を示す説明図（その７）である。 図２３は、判定システム２００の実施例を示す説明図（その８）である。 図２４は、判定システム２００の実施例を示す説明図（その９）である。 図２５は、判定システム２００の実施例を示す説明図（その１０）である。 図２６は、判定システム２００の実施例を示す説明図（その１１）である。 図２７は、全体処理手順の一例を示すフローチャートである。 図２８は、業務行動判定処理手順の一例を示すフローチャートである。 図２９は、業務環境判定処理手順の一例を示すフローチャートである。

以下に、図面を参照して、本発明にかかる判定プログラム、判定方法、および判定装置の実施の形態を詳細に説明する。

（実施の形態にかかる判定方法の一実施例）
図１は、実施の形態にかかる判定方法の一実施例を示す説明図である。図１において、判定装置１００は、ユーザによる特定の操作が、ユーザによる特定の操作に関する評価基準を満たすか否かを判定するコンピュータである。ユーザは、判定装置１００とは異なる装置を利用する人間である。判定装置１００とは異なる装置は、例えば、ＰＣである。ユーザは、例えば、企業や役所などのような組織に所属する職員である。

特定の操作は、セキュリティ上監視することが好ましい操作である。特定の操作は、例えば、業務上不正な操作である場合がある。特定の操作は、具体的には、情報の持ち出しの操作である。特定の操作は、具体的には、暗号化された情報の復号化の操作であってもよい。特定の操作は、具体的には、ネットワークを介した情報に対するアクセスの操作、または、社外での情報の取り扱いの操作などであってもよい。評価基準は、特定の操作の正当性を評価するための基準である。評価基準は、例えば、特定の操作が、ユーザの業務上正当な操作であるか、または、不当な操作であるかを評価するための基準である。

ここで、組織に所属するユーザにより、機密情報の持ち出しの操作などのような特定の操作が業務上不正に行われると、組織の損害が発生したり、組織の信用が毀損したりする恐れがある。このため、業務上不正な特定の操作について、事前的または事後的に対策を実施し、セキュリティの向上を図ることが望まれる傾向がある。

これに対して、ユーザによる特定の操作を、根本的に禁止してしまう場合が考えられる。例えば、ユーザによるＰＣ上での特定の操作を、ソフトウェアを用いて禁止してしまい、セキュリティの向上を図る場合が考えられる。しかしながら、この場合、業務形態や業務環境の多様化に伴い、一部のユーザが業務上正式に特定の操作を行うことが望まれる状況については適用することができず、ユーザの利便性の低下を招いてしまう。

これに対して、基本的にユーザによる特定の操作を禁止し、例外的に一部のユーザによる特定の操作については一律で許可してしまう場合が考えられる。しかしながら、この場合、一部のユーザにより業務上不正に特定の操作が行われると、業務上不正な特定の操作について、事前的または事後的に対策を実施することが難しくなり、セキュリティの低下を招いてしまう。

このため、セキュリティ管理者が、ユーザがＰＣ上で行った操作の履歴を収集し、収集した操作の履歴に基づいて、ユーザによる特定の操作が業務上正当であるか否かを評価し、不正な特定の操作を発見すると対策を実施する場合が考えられる。評価は、例えば、ユーザへの聞き取り調査に基づいて行われる。しかしながら、この場合、セキュリティ管理者の負担の増大化を招いてしまう。

例えば、一部のユーザが業務上正式に特定の操作を行うことがあるため、収集した操作の履歴は、正式な特定の操作に関するレコードと、不正な特定の操作に関するレコードとを混在して含むことになる。そして、セキュリティ管理者は、正式な特定の操作についても評価することになり、ユーザへの聞き取り調査を実施することになり、セキュリティ管理者の負担の増大化を招いてしまう。また、聞き取り調査を実施されるユーザの負担の増大化も招いてしまう。

そこで、本実施の形態では、ユーザの操作履歴に基づきユーザの属性ごとに特定の操作に関する評価基準を生成し、特定のユーザによる特定の操作があると、特定のユーザの属性から特定される評価基準を満たすか判定することができる判定方法について説明する。これによれば、判定方法は、セキュリティ管理者による特定の操作に対する評価を支援することができ、特定の操作に関する評価負担の低減化を図ることができる。

（１−１）判定装置１００は、記憶部を参照し、ユーザの属性ごとに特定の操作に関する評価基準を生成する。属性は、例えば、職責、所属、および、勤務形態などである。特定の操作は、例えば、機密情報の持ち出しの操作などである。評価基準は、特定の操作の正当性を評価するための基準である。評価基準は、例えば、特定の操作が許可される時間帯を表す。

記憶部は、ユーザによる操作の履歴１１０をユーザの属性と対応付けて記憶する。操作の履歴は、操作ごとのレコードを集めたＤＢ（Ｄａｔａ Ｂａｓｅ）である。記憶部は、例えば、図１３に後述する操作履歴１３００を記憶する。レコードは、ユーザによる操作に関する情報が設定される。ユーザによる操作に関する情報は、例えば、ユーザによる操作が行われた時点を表す情報を含む。判定装置１００は、例えば、１以上の評価基準１２０を生成して記憶する。

（１−２）判定装置１００は、いずれかのユーザの属性に基づいて、生成した評価基準のうち、いずれかのユーザによる特定の操作に関する評価基準を特定する。判定装置１００は、例えば、いずれかのユーザによる特定の操作を検出した場合、いずれかのユーザの属性ごとに対応付けられた、特定の操作に関する評価基準を特定する。判定装置１００は、具体的には、評価基準１２０のうち、いずれかのユーザの属性に対応付けられた、特定の操作が許可された時間帯を表す評価基準を特定する。

（１−３）判定装置１００は、いずれかのユーザによる特定の操作を検出した場合、いずれかのユーザによる特定の操作が、特定した評価基準を満たすか否かを判定する。判定装置１００は、例えば、記憶部に記憶されたユーザによる特定の操作の履歴１３０を抽出する。そして、判定装置１００は、抽出したユーザによる特定の操作の履歴１３０から、いずれかのユーザによる特定の操作に関するレコードを検出した場合、いずれかのユーザによる特定の操作が評価基準を満たすか否かを判定する。

判定装置１００は、具体的には、ユーザ「Ｂさん」による特定の操作が行われた時点が、評価基準が表す特定の操作が許可された時間帯に含まれるか否かを判定する。図１の例では、判定装置１００は、ユーザ「Ｂさん」による特定の操作が行われた時点が、評価基準が表す特定の操作が許可された時間帯に含まれないと判定し、ユーザ「Ｂさん」による特定の操作が、業務上不正な操作であると判断する。

その後、判定装置１００は、判定した結果を出力してもよい。出力形式は、例えば、ディスプレイへの表示、プリンタへの印刷出力、外部装置への送信、または、記憶領域への記憶などである。判定装置１００は、例えば、判定した結果をユーザによる操作の履歴と対応付けてディスプレイに表示し、判定した結果をユーザによる操作の履歴と対応付けてセキュリティ管理者が把握可能にする。

これにより、判定装置１００は、特定の操作に関する評価負担の低減化を図ることができる。判定装置１００は、例えば、特定の操作の正当性を評価した結果を表す、特定の操作が評価基準を満たすか否かを判定した結果を、セキュリティ管理者が参照可能にすることができる。このため、セキュリティ管理者は、複数のユーザによる特定の操作のうち、いずれの特定の操作が、不正に行われた可能性が相対的に大きく、優先して調査して正当性を評価することが好ましいかを把握することができる。

結果として、セキュリティ管理者は、複数のユーザによる特定の操作についての評価負担の低減化を図ることができる。また、セキュリティ管理者は、業務上不正な特定の操作があれば、業務上不正な特定の操作について対策を実施し、効率よくセキュリティの向上を図ることができる。また、セキュリティ管理者は、複数のユーザによる特定の操作についての評価負担が低減されると、不正に行われた可能性が相対的に大きい特定の操作について、重点的に評価しやすくなり、評価精度の向上を図ることができ、不正な操作を見落としにくくできる。

また、判定装置１００は、業務形態や業務環境の多様化に伴い、一部のユーザが業務上正式に特定の操作を行うことが望まれる状況についても適用することができ、ユーザの利便性を維持することができる。また、判定装置１００は、業務上正式に特定の操作を行った一部のユーザに対して、セキュリティ管理者から聞き取り調査が実施される可能性の低減化を図ることができる。このため、判定装置１００は、聞き取り調査を実施されるユーザについても負担の低減化を図ることができる。

ここでは、判定装置１００が、ユーザの属性ごとに特定の操作に関する評価基準を生成する場合について説明したが、これに限らない。例えば、判定装置１００が、予め、ユーザの属性ごとの特定の操作に関する評価基準を記憶しておく場合があってもよい。具体的には、判定装置１００は、ユーザの属性ごとの特定の操作に関する評価基準の入力を受け付け、ユーザの属性ごとの特定の操作に関する評価基準を記憶しておく。また、判定装置１００が、生成した評価基準と予め記憶された評価基準とを両方とも用いる場合があってもよい。

ここでは、判定装置１００が、いずれかのユーザによる特定の操作を検出する前か後かに限らず、ユーザの属性ごとに特定の操作に関する評価基準を生成する場合について説明したが、これに限らない。例えば、判定装置１００が、いずれかのユーザによる特定の操作を検出した後、いずれかのユーザの属性ごとに特定の操作に関する評価基準を生成する場合があってもよい。

（判定システム２００の一例）
次に、図２を用いて、図１に示した判定装置１００を適用した、判定システム２００の一例について説明する。

図２は、判定システム２００の一例を示す説明図である。図２において、判定システム２００は、判定装置１００と、情報蓄積装置２０３と、セキュリティ管理者の端末装置２０１と、ユーザの端末装置２０２とを含む。

判定システム２００において、判定装置１００と情報蓄積装置２０３とセキュリティ管理者の端末装置２０１とユーザの端末装置２０２とは、有線または無線のネットワーク２１０を介して接続される。ネットワーク２１０は、例えば、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）、または、インターネットなどである。

判定装置１００は、情報蓄積装置２０３に蓄積されたユーザによる操作に関する情報を参照し、ユーザによる特定の操作が評価基準を満たすか否かを判定するコンピュータである。判定装置１００は、判定した結果を、セキュリティ管理者の端末装置２０１に出力する。判定装置１００は、例えば、サーバやＰＣなどである。

情報蓄積装置２０３は、端末装置２０２におけるユーザによる操作に関する情報を収集し、図１３に後述する操作履歴１３００を用いて蓄積するコンピュータである。情報蓄積装置２０３は、端末装置２０２におけるユーザによる操作に関する情報を、判定装置１００に参照可能にする。情報蓄積装置２０３は、例えば、サーバやＰＣなどである。

セキュリティ管理者の端末装置２０１は、判定システム２００のセキュリティ管理者により利用されるコンピュータである。セキュリティ管理者は、例えば、企業や役所などのような組織に所属する人間である。セキュリティ管理者の端末装置２０１は、判定装置１００が判定した結果を受け付け、判定装置１００が判定した結果をセキュリティ管理者が参照可能にする。セキュリティ管理者の端末装置２０１は、例えば、ＰＣ、タブレット端末、および、スマートフォンなどである。

ユーザの端末装置２０２は、ユーザの操作を受け付け、ユーザの操作に関する情報を情報蓄積装置２０３に出力するコンピュータである。ユーザは、例えば、企業や役所などのような組織に所属する人間である。ユーザは、具体的には、セキュリティ管理者と同じ組織に所属する。ユーザの端末装置２０２は、例えば、ＰＣ、タブレット端末、および、スマートフォンなどである。

ここでは、セキュリティ管理者とユーザとが同じ組織に所属する場合について説明したが、これに限らない。例えば、セキュリティ管理者が、ユーザとは異なる組織に所属し、組織から依頼を受けて、組織のセキュリティの向上を図る人間であってもよい。

ここでは、判定装置１００が、情報蓄積装置２０３、セキュリティ管理者の端末装置２０１、ユーザの端末装置２０２などとは異なる装置である場合について説明したが、これに限らない。例えば、判定装置１００が、情報蓄積装置２０３と一体である場合があってもよい。また、例えば、判定装置１００が、セキュリティ管理者の端末装置２０１と一体である場合があってもよい。また、例えば、判定装置１００が、ユーザの端末装置２０２と一体である場合があってもよい。

（判定装置１００のハードウェア構成例）
次に、図３を用いて、図２に示した判定システム２００に含まれる判定装置１００のハードウェア構成例について説明する。

図３は、判定装置１００のハードウェア構成例を示すブロック図である。図３において、判定装置１００は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）３０１と、メモリ３０２と、ネットワークＩ／Ｆ（Ｉｎｔｅｒｆａｃｅ）３０３と、記録媒体Ｉ／Ｆ３０４と、記録媒体３０５とを有する。また、各構成部は、バス３００によってそれぞれ接続される。

ここで、ＣＰＵ３０１は、判定装置１００の全体の制御を司る。メモリ３０２は、例えば、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）およびフラッシュＲＯＭなどを有する。具体的には、例えば、フラッシュＲＯＭやＲＯＭが各種プログラムを記憶し、ＲＡＭがＣＰＵ３０１のワークエリアとして使用される。メモリ３０２に記憶されるプログラムは、ＣＰＵ３０１にロードされることで、コーディングされている処理をＣＰＵ３０１に実行させる。メモリ３０２は、図４〜図１３に後述する各種テーブルを記憶する。

ネットワークＩ／Ｆ３０３は、通信回線を通じてネットワーク２１０に接続され、ネットワーク２１０を介して他のコンピュータに接続される。そして、ネットワークＩ／Ｆ３０３は、ネットワーク２１０と内部のインターフェースを司り、他のコンピュータからのデータの入出力を制御する。ネットワークＩ／Ｆ３０３には、例えば、モデムやＬＡＮアダプタなどを採用することができる。

記録媒体Ｉ／Ｆ３０４は、ＣＰＵ３０１の制御に従って記録媒体３０５に対するデータのリード／ライトを制御する。記録媒体Ｉ／Ｆ３０４は、例えば、ディスクドライブ、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）ポートなどである。記録媒体３０５は、記録媒体Ｉ／Ｆ３０４の制御で書き込まれたデータを記憶する不揮発メモリである。記録媒体３０５は、例えば、ディスク、半導体メモリ、ＵＳＢメモリなどである。記録媒体３０５は、判定装置１００から着脱可能であってもよい。記録媒体３０５は、図４〜図１３に後述する各種テーブルを記憶してもよい。

判定装置１００は、上述した構成部のほか、例えば、キーボード、マウス、ディスプレイ、プリンタ、スキャナ、マイク、スピーカーなどを有してもよい。また、判定装置１００は、記録媒体Ｉ／Ｆ３０４や記録媒体３０５を複数有していてもよい。また、判定装置１００は、記録媒体Ｉ／Ｆ３０４や記録媒体３０５を有していなくてもよい。

（人事情報ＤＢ４００の記憶内容）
次に、図４を用いて、人事情報ＤＢ４００の記憶内容の一例について説明する。人事情報ＤＢ４００は、例えば、図３に示した判定装置１００のメモリ３０２や記録媒体３０５などの記憶領域により実現される。

図４は、人事情報ＤＢ４００の記憶内容の一例を示す説明図である。図４に示すように、人事情報ＤＢ４００は、ユーザと、職責と、所属と、勤務形態とのフィールドを有する。人事情報ＤＢ４００は、各フィールドに情報を設定することにより、人事情報が記憶される。

ユーザのフィールドには、ユーザを識別する情報が設定される。職責のフィールドには、ユーザの属性である職責を表す情報が設定される。職責を表す情報は、例えば、部長、課長、一般などである。所属のフィールドには、ユーザの属性である所属を表す情報が設定される。所属を表す情報は、例えば、総務部、営業部、開発部などである。勤務形態のフィールドには、ユーザの属性である勤務形態を表す情報が設定される。

ここでは、人事情報ＤＢ４００が、ユーザと、職責と、所属と、勤務形態とのフィールドを有する場合について説明したが、これに限らない。例えば、人事情報ＤＢ４００が、さらに、職種や担当業務のフィールドを有する場合があってもよい。また、例えば、人事情報ＤＢ４００が、職責と、所属と、勤務形態と、職種と、担当業務との少なくともいずれかのフィールドを有さない場合があってもよい。

職種のフィールドには、ユーザの属性である職種を表す情報が設定される。職種を表す情報は、例えば、営業職、ＣＥ（Ｃｕｓｔｏｍｅｒ Ｅｎｇｉｎｅｅｒ）、開発職などである。担当業務のフィールドには、ユーザの担当業務を表す情報が設定される。担当業務を表す情報は、例えば、プロジェクトの名称である。担当業務を表す情報は、具体的には、製造業Ａ様Ｐｒｊ、海外Ｂ様Ｐｒｊ、官庁Ｃ様Ｐｒｊなどである。

（職責に対する業務行動パターン情報ＤＢ５００の記憶内容）
次に、図５を用いて、職責に対する業務行動パターン情報ＤＢ５００の記憶内容の一例について説明する。職責に対する業務行動パターン情報ＤＢ５００は、例えば、図３に示した判定装置１００のメモリ３０２や記録媒体３０５などの記憶領域により実現される。

図５は、職責に対する業務行動パターン情報ＤＢ５００の記憶内容の一例を示す説明図である。図５に示すように、職責に対する業務行動パターン情報ＤＢ５００は、職責と、業務時間外持ち出しとのフィールドを有する。職責に対する業務行動パターン情報ＤＢ５００は、各フィールドに情報を設定することにより、職責に対する業務行動パターン情報が記憶される。

職責のフィールドには、ユーザの職責を表す情報が設定される。職責を表す情報は、例えば、部長、課長、一般などである。業務時間外持ち出しのフィールドには、業務時間外における情報の持ち出しの操作の多さを表す情報が設定される。業務時間は、例えば、９：００〜１８：００である。業務時間外は、例えば、１８：００〜翌９：００である。持ち出しの操作の多さを表す情報は、例えば、多い、少ない、または、なしである。持ち出しの操作の多さを表す情報は、例えば、あり、または、なしであってもよい。

（所属に対する業務行動パターン情報ＤＢ６００の記憶内容）
次に、図６を用いて、所属に対する業務行動パターン情報ＤＢ６００の記憶内容の一例について説明する。所属に対する業務行動パターン情報ＤＢ６００は、例えば、図３に示した判定装置１００のメモリ３０２や記録媒体３０５などの記憶領域により実現される。

図６は、所属に対する業務行動パターン情報ＤＢ６００の記憶内容の一例を示す説明図である。図６に示すように、所属に対する業務行動パターン情報ＤＢ６００は、所属と、機密情報の持ち出しとのフィールドを有する。所属に対する業務行動パターン情報ＤＢ６００は、各フィールドに情報を設定することにより、所属に対する業務行動パターン情報が記憶される。

所属のフィールドには、ユーザの所属を表す情報が設定される。所属を表す情報は、例えば、総務部、営業部、開発部などである。機密情報の持ち出しのフィールドには、機密情報の持ち出しの操作の多さを表す情報が設定される。持ち出しの操作の多さを表す情報は、例えば、多い、少ない、または、なしである。持ち出しの操作の多さを表す情報は、例えば、あり、または、なしであってもよい。

（勤務形態に対する業務行動パターン情報ＤＢ７００の記憶内容）
次に、図７を用いて、勤務形態に対する業務行動パターン情報ＤＢ７００の記憶内容の一例について説明する。勤務形態に対する業務行動パターン情報ＤＢ７００は、例えば、図３に示した判定装置１００のメモリ３０２や記録媒体３０５などの記憶領域により実現される。

図７は、勤務形態に対する業務行動パターン情報ＤＢ７００の記憶内容の一例を示す説明図である。図７に示すように、勤務形態に対する業務行動パターン情報ＤＢ７００は、勤務形態と、アクセス許可とのフィールドを有する。勤務形態に対する業務行動パターン情報ＤＢ７００は、各フィールドに情報を設定することにより、勤務形態に対する業務行動パターン情報が記憶される。

勤務形態のフィールドには、ユーザの勤務形態を表す情報が設定される。勤務形態を表す情報は、例えば、通常勤務、社外常駐勤務、テレワーク勤務などである。アクセス許可のフィールドには、ユーザによるアクセスが許可された記憶領域を表す情報が設定される。記憶領域を表す情報は、例えば、全ファイルサーバ、常駐用ファイルサーバ、テレワーク用ファイルサーバなどである。

（職種に対する業務行動パターン情報ＤＢ８００の記憶内容）
次に、図８を用いて、職種に対する業務行動パターン情報ＤＢ８００の記憶内容の一例について説明する。職種に対する業務行動パターン情報ＤＢ８００は、例えば、図３に示した判定装置１００のメモリ３０２や記録媒体３０５などの記憶領域により実現される。

図８は、職種に対する業務行動パターン情報ＤＢ８００の記憶内容の一例を示す説明図である。図８に示すように、職種に対する業務行動パターン情報ＤＢ８００は、職種と、持ち出し手段とのフィールドを有する。職種に対する業務行動パターン情報ＤＢ８００は、各フィールドに情報を設定することにより、職種に対する業務行動パターン情報が記憶される。

職種のフィールドには、ユーザの職種を表す情報が設定される。職種を表す情報は、例えば、営業職、ＣＥ、開発職などである。持ち出し手段のフィールドには、情報の持ち出しの操作についての利用が許可された記録媒体を表す情報が設定される。記録媒体を表す情報は、例えば、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｃ）、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）、ＵＳＢメモリなどである。

（担当に対する業務行動パターン情報ＤＢ９００の記憶内容）
次に、図９を用いて、担当に対する業務行動パターン情報ＤＢ９００の記憶内容の一例について説明する。担当に対する業務行動パターン情報ＤＢ９００は、例えば、図３に示した判定装置１００のメモリ３０２や記録媒体３０５などの記憶領域により実現される。

図９は、担当に対する業務行動パターン情報ＤＢ９００の記憶内容の一例を示す説明図である。図９に示すように、担当に対する業務行動パターン情報ＤＢ９００は、担当業務と、持ち出し可能期間とのフィールドを有する。担当に対する業務行動パターン情報ＤＢ９００は、各フィールドに情報を設定することにより、担当に対する業務行動パターン情報が記憶される。

担当業務のフィールドには、ユーザの担当業務を表す情報が設定される。担当業務を表す情報は、例えば、プロジェクトの名称である。担当業務を表す情報は、具体的には、製造業Ａ様Ｐｒｊ、海外Ｂ様Ｐｒｊ、官庁Ｃ様Ｐｒｊなどである。持ち出し可能期間のフィールドには、担当業務に関する情報の持ち出しの操作を行うことが可能である期間を表す情報が設定される。

（資産情報ＤＢ１０００の記憶内容）
次に、図１０を用いて、資産情報ＤＢ１０００の記憶内容の一例について説明する。資産情報ＤＢ１０００は、例えば、図３に示した判定装置１００のメモリ３０２や記録媒体３０５などの記憶領域により実現される。

図１０は、資産情報ＤＢ１０００の記憶内容の一例を示す説明図である。図１０に示すように、資産情報ＤＢ１０００は、資産名と、設置箇所と、パッチ適用状態と、ＨＤＤ暗号化とのフィールドを有する。資産情報ＤＢ１０００は、各フィールドに情報を設定することにより、資産情報が記憶される。

資産名のフィールドには、資産である端末装置２０２を識別する情報が設定される。端末装置２０２を識別する情報は、例えば、ＰＣ００１などである。設置箇所は、端末装置２０２が設置された箇所を表す情報が設定される。箇所を表す情報は、例えば、自宅や事務所内などである。パッチ適用状態のフィールドには、端末装置２０２に対するセキュリティパッチの適用状態を表す情報が設定される。ＨＤＤ暗号化は、端末装置２０２が有するＨＤＤ内の情報が暗号化されているか否かを表す情報が設定される。

（所属に対する業務環境パターン情報ＤＢ１１００の記憶内容）
次に、図１１を用いて、所属に対する業務環境パターン情報ＤＢ１１００の記憶内容の一例について説明する。所属に対する業務環境パターン情報ＤＢ１１００は、例えば、図３に示した判定装置１００のメモリ３０２や記録媒体３０５などの記憶領域により実現される。

図１１は、所属に対する業務環境パターン情報ＤＢ１１００の記憶内容の一例を示す説明図である。図１１に示すように、所属に対する業務環境パターン情報ＤＢ１１００は、所属と、設置箇所とのフィールドを有する。所属に対する業務環境パターン情報ＤＢ１１００は、各フィールドに情報を設定することにより、所属に対する業務環境パターン情報が記憶される。

所属のフィールドには、ユーザの所属を表す情報が設定される。所属を表す情報は、例えば、総務部、営業部、開発部などである。設置箇所には、ユーザによる利用が許可された端末装置２０２が設置された箇所を表す情報が設定される。箇所を表す情報は、例えば、自宅や事務所内などである。

（勤務形態に対する業務環境パターン情報ＤＢ１２００の記憶内容）
次に、図１２を用いて、勤務形態に対する業務環境パターン情報ＤＢ１２００の記憶内容の一例について説明する。勤務形態に対する業務環境パターン情報ＤＢ１２００は、例えば、図３に示した判定装置１００のメモリ３０２や記録媒体３０５などの記憶領域により実現される。

図１２は、勤務形態に対する業務環境パターン情報ＤＢ１２００の記憶内容の一例を示す説明図である。図１２に示すように、勤務形態に対する業務環境パターン情報ＤＢ１２００は、勤務形態と、操作環境（パッチ適用状態）と、操作環境（ＨＤＤ暗号化）とのフィールドを有する。勤務形態に対する業務環境パターン情報ＤＢ１２００は、各フィールドに情報を設定することにより、勤務形態に対する業務環境パターン情報が記憶される。

勤務形態のフィールドには、ユーザの勤務形態を表す情報が設定される。勤務形態を表す情報は、例えば、通常勤務、社外常駐勤務、テレワーク勤務などである。操作環境（パッチ適用状態）のフィールドには、ユーザによる操作が許可される条件として、端末装置２０２に対するセキュリティパッチの適用状態を表す情報が設定される。操作環境（ＨＤＤ暗号化）のフィールドには、ユーザによる操作が許可される条件として、端末装置２０２が有するＨＤＤ内の情報の暗号化の有無を表す情報が設定される。

（操作履歴１３００の記憶内容）
次に、図１３を用いて、操作履歴１３００の記憶内容の一例について説明する。操作履歴１３００は、例えば、図３に示した判定装置１００のメモリ３０２や記録媒体３０５などの記憶領域により実現される。

図１３は、操作履歴１３００の記憶内容の一例を示す説明図である。図１３に示すように、操作履歴１３００は、ユーザ名と、資産名と、日時と、操作ログとのフィールドを有する。操作履歴１３００は、各フィールドに情報を設定することにより、操作情報が記憶される。

ユーザ名のフィールドには、ユーザを識別する情報としてユーザ名が設定される。資産名のフィールドには、資産である端末装置２０２を識別する情報として資産名が設定される。日時のフィールドには、ユーザにより端末装置２０２の操作が行われた日時が設定される。操作ログのフィールドには、ユーザにより行われた操作の内容が設定される。

（情報蓄積装置２０３のハードウェア構成例）
図２に示した判定システム２００に含まれる情報蓄積装置２０３のハードウェア構成例は、図３に示した判定装置１００のハードウェア構成例と同様であるため、説明を省略する。図１３に示した操作履歴１３００は、例えば、情報蓄積装置２０３により生成され、情報蓄積装置２０３から判定装置１００に送信され、判定装置１００に記憶される。

（端末装置２０１，２０２のハードウェア構成例）
次に、図１４を用いて、図２に示した教育システムに含まれる端末装置２０１，２０２のハードウェア構成例について説明する。図１４の例では、具体的には、端末装置２０１，２０２のうち、端末装置２０１を一例として説明する。

図１４は、端末装置２０１のハードウェア構成例を示すブロック図である。図１４において、端末装置２０１は、ＣＰＵ１４０１と、メモリ１４０２と、ネットワークＩ／Ｆ１４０３と、記録媒体Ｉ／Ｆ１４０４と、記録媒体１４０５と、ディスプレイ１４０６と、入力装置１４０７とを有する。また、各構成部は、バス１４００によってそれぞれ接続される。

ここで、ＣＰＵ１４０１は、端末装置２０１の全体の制御を司る。メモリ１４０２は、例えば、ＲＯＭ、ＲＡＭおよびフラッシュＲＯＭなどを有する。具体的には、例えば、フラッシュＲＯＭやＲＯＭが各種プログラムを記憶し、ＲＡＭがＣＰＵ１４０１のワークエリアとして使用される。メモリ１４０２に記憶されるプログラムは、ＣＰＵ１４０１にロードされることで、コーディングされている処理をＣＰＵ１４０１に実行させる。

ネットワークＩ／Ｆ１４０３は、通信回線を通じてネットワーク２１０に接続され、ネットワーク２１０を介して他のコンピュータに接続される。そして、ネットワークＩ／Ｆ１４０３は、ネットワーク２１０と内部のインターフェースを司り、他のコンピュータからのデータの入出力を制御する。ネットワークＩ／Ｆ１４０３には、例えば、モデムやＬＡＮアダプタなどを採用することができる。

記録媒体Ｉ／Ｆ１４０４は、ＣＰＵ１４０１の制御に従って記録媒体１４０５に対するデータのリード／ライトを制御する。記録媒体Ｉ／Ｆ１４０４は、例えば、ディスクドライブ、ＳＳＤ、ＵＳＢポートなどである。記録媒体１４０５は、記録媒体Ｉ／Ｆ１４０４の制御で書き込まれたデータを記憶する不揮発メモリである。記録媒体１４０５は、例えば、ディスク、半導体メモリ、ＵＳＢメモリなどである。記録媒体１４０５は、端末装置２０１から着脱可能であってもよい。

ディスプレイ１４０６は、カーソル、アイコンあるいはツールボックスをはじめ、文書、画像、機能情報などのデータを表示する。ディスプレイ１４０６は、例えば、ＣＲＴ（Ｃａｔｈｏｄｅ Ｒａｙ Ｔｕｂｅ）、液晶ディスプレイ、有機ＥＬ（Ｅｌｅｃｔｒｏｌｕｍｉｎｅｓｃｅｎｃｅ）ディスプレイなどを採用することができる。入力装置１４０７は、文字、数字、各種指示などの入力のためのキーを有し、データの入力を行う。入力装置１４０７は、キーボードやマウスなどであってもよく、また、タッチパネル式の入力パッドやテンキーなどであってもよい。

端末装置２０１は、上述した構成部のほか、例えば、プリンタ、スキャナ、マイク、スピーカーなどを有してもよい。また、端末装置２０１は、記録媒体Ｉ／Ｆ１４０４や記録媒体１４０５を複数有していてもよい。また、端末装置２０１は、記録媒体Ｉ／Ｆ１４０４や記録媒体１４０５を有していなくてもよい。

（判定装置１００の機能的構成例）
次に、図１５を用いて、判定装置１００の機能的構成例について説明する。

図１５は、判定装置１００の機能的構成例を示すブロック図である。判定装置１００は、記憶部１５００と、取得部１５０１と、生成部１５０２と、特定部１５０３と、判定部１５０４と、出力部１５０５とを含む。

記憶部１５００は、例えば、図３に示したメモリ３０２や記録媒体３０５などの記憶領域によって実現される。以下では、記憶部１５００が、判定装置１００に含まれる場合について説明するが、これに限らない。例えば、記憶部１５００が、判定装置１００とは異なる装置に含まれ、記憶部１５００の記憶内容が判定装置１００から参照可能である場合があってもよい。

取得部１５０１〜出力部１５０５は、制御部の一例として機能する。取得部１５０１〜出力部１５０５は、具体的には、例えば、図３に示したメモリ３０２や記録媒体３０５などの記憶領域に記憶されたプログラムをＣＰＵ３０１に実行させることにより、または、ネットワークＩ／Ｆ３０３により、その機能を実現する。各機能部の処理結果は、例えば、図３に示したメモリ３０２や記録媒体３０５などの記憶領域に記憶される。

記憶部１５００は、各機能部の処理において参照され、または更新される各種情報を記憶する。記憶部１５００は、例えば、ユーザによる操作の履歴をユーザの属性と対応付けて記憶する。操作の履歴は、操作ごとのレコードを集めたＤＢである。レコードは、ユーザによる操作に関する情報が設定される。ユーザによる操作に関する情報は、例えば、ユーザによる操作が行われた時点を表す情報を含む。ユーザは、それぞれ種別が異なる複数の属性を有してもよい。記憶部１５００は、具体的には、図１３に示した操作履歴１３００を記憶する。

記憶部１５００は、例えば、ユーザの属性を表す情報を記憶する。記憶部１５００は、例えば、特定の操作に関する評価基準を記憶する。評価基準は、特定の操作の正当性を評価するための基準である。評価基準は、例えば、特定の操作が、ユーザの業務上正当な操作であるか、または、不当な操作であるかを評価するための基準である。評価基準は、具体的には、生成部１５０２によって生成され、または、予め記憶される。記憶部１５００は、具体的には、図４〜図１２に示した各種テーブルを記憶する。

取得部１５０１は、各機能部の処理に用いられる各種情報を記憶部１５００から取得し、各機能部に出力する。取得部１５０１は、例えば、各機能部の処理に用いられる各種情報を記憶部１５００から取得し、各機能部に出力してもよい。取得部１５０１は、例えば、各機能部の処理に用いられる各種情報を、判定装置１００とは異なる装置から取得し、各機能部に出力してもよい。取得部１５０１は、具体的には、情報蓄積装置２０３から操作履歴１３００を取得し、記憶部１５００に記憶する。

生成部１５０２は、特定の操作に関する評価基準を生成する。生成部１５０２は、例えば、記憶部１５００を参照し、ユーザの属性ごとに特定の操作に関する評価基準を生成する。生成部１５０２は、具体的には、第１種別の属性ごとに特定の操作が許可される時間帯を表す評価基準を生成する。第１種別は、例えば、職責である。生成部１５０２は、具体的には、図１６に後述するように、職責に関する業務行動パターン情報ＤＢを生成する。

生成部１５０２は、具体的には、第２種別の属性ごとに特定の操作が許可される対象種別を表す情報を生成してもよい。第２種別は、例えば、所属である。生成部１５０２は、具体的には、図１６に後述するように、所属に関する業務行動パターン情報ＤＢを生成する。これにより、生成部１５０２は、ユーザによる特定の操作の正当性を評価可能にすることができる。

生成部１５０２は、例えば、いずれかのユーザによる特定の操作を監視し、いずれかのユーザによる特定の操作を検出してもよい。そして、生成部１５０２は、いずれかのユーザによる特定の操作を検出した場合、記憶部１５００を参照し、いずれかのユーザの属性ごとに特定の操作に関する評価基準を生成する。

生成部１５０２は、具体的には、いずれかのユーザによる特定の操作に関するレコードを記憶部１５００から検索することにより、いずれかのユーザによる特定の操作を検出する。そして、生成部１５０２は、いずれかのユーザによる特定の操作を検出したことに応じて、記憶部１５００を参照し、いずれかのユーザの属性ごとに特定の操作に関する評価基準を生成する。

これにより、生成部１５０２は、検出した特定の操作に関する評価基準を、判定システム２００の最新の状態に対応するようにし、判定部１５０４の判定精度の向上を図ることができる。また、生成部１５０２は、すべての属性について評価基準を生成しなくてもよいため、生成処理にかかる負担の低減化を図ることができる。

特定部１５０３は、いずれかのユーザの属性に基づいて、生成した評価基準のうち、いずれかのユーザによる特定の操作に関する評価基準を特定する。これにより、特定部１５０３は、特定の操作の正当性の判定に利用する評価基準を特定し、判定部１５０４に提供することができる。

判定部１５０４は、いずれかのユーザによる特定の操作が評価基準を満たすか否かを判定する。判定部１５０４は、例えば、いずれかのユーザによる特定の操作を検出した場合、いずれかのユーザによる特定の操作が、特定部１５０３が特定した評価基準を満たすか否かを判定する。

判定部１５０４は、具体的には、いずれかのユーザによる特定の操作に関するレコードを記憶部１５００から検索することにより、いずれかのユーザによる特定の操作を検出する。そして、判定部１５０４は、いずれかのユーザによる特定の操作を検出したことに応じて、検出した特定の操作のレコードが、いずれかのユーザの属性ごとの評価基準を満たすか否かを判定する。

これにより、判定部１５０４は、特定の操作に関する評価負担の低減化を図ることができる。判定部１５０４は、例えば、特定の操作の正当性を評価した結果を表す、特定の操作が評価基準を満たすか否かを判定した結果を、セキュリティ管理者が参照可能にすることができる。

判定部１５０４は、例えば、いずれかのユーザによる操作の履歴を参照し、いずれかのユーザによる特定の操作の前または後に行われた、いずれかのユーザによる他の操作に基づいて、評価基準を満たすか否かを判定してもよい。他の操作は、例えば、特定の操作が情報の持ち出しの操作であれば、持ち出される情報を記憶領域から読み出す操作である。他の操作は、例えば、持ち出す情報を改変する操作であってもよい。判定部１５０４は、具体的には、図２３に後述するように、評価基準を満たすか否かを判定する。これにより、判定部１５０４は、判定精度の向上を図ることができる。

出力部１５０５は、判定部１５０４が判定した結果を出力する。出力形式は、例えば、ディスプレイへの表示、プリンタへの印刷出力、ネットワークＩ／Ｆ３０３による外部装置への送信、または、メモリ３０２や記録媒体３０５などの記憶領域への記憶である。出力部１５０５は、例えば、判定部１５０４が判定した結果を、特定の端末に出力する。特定の端末は、例えば、セキュリティ管理者の端末装置２０１である。

出力部１５０５は、各機能部の処理結果を出力してもよい。出力部１５０５は、例えば、各機能部の処理結果を、特定の端末に出力する。これにより、出力部１５０５は、各機能部の処理結果を利用者に通知可能にし、判定装置１００の管理や運用、例えば、判定装置１００の設定値の更新などを支援することができ、判定装置１００の利便性の向上を図ることができる。

（判定システム２００の実施例）
次に、図１６〜図２６を用いて、判定システム２００の実施例について説明する。

図１６〜図２６は、判定システム２００の実施例を示す説明図である。図１６において、判定装置１００は、学習用の操作履歴１６００に基づいて、ユーザによる特定の操作の正当性を評価する評価基準を表す、職責に対する業務行動パターン情報ＤＢ５００と所属に対する業務行動パターン情報ＤＢ６００とを生成する。

学習用の操作履歴１６００は、情報の持ち出しの操作の正当性を評価する対象である操作履歴１３００と同様の情報である。学習用の操作履歴１６００は、例えば、セキュリティ管理者によって、不正な操作がないことが確認されたユーザａ〜ｆによる操作の履歴である。また、判定装置１００が、学習用の操作履歴１６００として、操作履歴１３００自体を用いる場合があってもよい。

判定装置１００は、例えば、人事情報ＤＢ４００を参照し、操作履歴１６００のうち、同一の職責であるユーザのレコードを抽出する。次に、判定装置１００は、抽出したレコードに基づいて、業務時間外持ち出しの多さを評価する。そして、判定装置１００は、評価した結果を、職責に対する業務行動パターン情報ＤＢ５００に記憶する。

図１６の例では、判定装置１００は、同じ職責「課長」であるユーザｃとユーザｅとのレコードを抽出する。判定装置１００は、抽出した職責「課長」であるユーザｃとユーザｅとのレコードのうち、業務時間外持ち出しの操作に関するレコードの比率が閾値以下であるため、業務時間外持ち出しの操作は「少ない」と評価する。そして、判定装置１００は、評価した結果を、職責に対する業務行動パターン情報ＤＢ５００に記憶する。

これにより、判定装置１００は、以降、職責「課長」であるユーザの情報持ち出しの操作についての正当性を評価することができる。判定装置１００は、例えば、職責「課長」であるいずれかのユーザのレコードのうち、業務時間外持ち出しの操作に関するレコードの比率が閾値より大きければ、業務時間外持ち出しの操作が「多い」と評価する。そして、判定装置１００は、業務時間外持ち出しの操作が「少ない」傾向があるユーザについて、業務時間外持ち出しの操作が「多い」と評価されたため、不正な操作である可能性が比較的大きいと評価することができる。

判定装置１００は、同様に、人事情報ＤＢ４００を参照し、操作履歴１６００のうち、同一の所属であるユーザのレコードを抽出する。次に、判定装置１００は、抽出したレコードに基づいて、機密情報の持ち出しの多さを評価する。判定装置１００は、評価した結果を、所属に対する業務行動パターン情報ＤＢ６００に記憶する。

判定装置１００は、職責に対する業務行動パターン情報ＤＢ５００や所属に対する業務行動パターン情報ＤＢ６００を生成する際、統計的処理により、業務時間外持ち出しの多さや機密情報の持ち出しの多さを評価してもよい。判定装置１００は、例えば、業務時間外持ち出しの操作が一定以上少ない場合は、業務時間外持ち出しの操作が「なし」と評価してもよい。

判定装置１００は、一定期間ごとに職責に対する業務行動パターン情報ＤＢ５００と所属に対する業務行動パターン情報ＤＢ６００とを更新してもよい。これにより、判定装置１００は、職責に対する業務行動パターン情報ＤＢ５００と所属に対する業務行動パターン情報ＤＢ６００とを最新の状態にすることができる。

また、判定装置１００は、同様に、職責に対する業務行動パターン情報ＤＢ５００と所属に対する業務行動パターン情報ＤＢ６００と以外の各種業務行動パターン情報ＤＢを生成してもよい。次に、図１７〜図２５の説明に移行し、判定装置１００が、ユーザによる特定の操作が評価基準を満たすか否かを判定する一例について説明する。以下では、判定装置１００は、具体的には、操作履歴１３００に基づき、ユーザａ〜ｆとは異なるユーザＡ〜Ｆによる特定の操作が評価基準を満たすか否かを判定する。

図１７において、判定装置１００は、操作履歴１３００から、情報の持ち出しの操作に関する操作履歴１７００を抽出する。以下では、例えば、操作履歴１７００のレコード１７０１〜１７０３が、不正な情報の持ち出しの操作である場合について説明する。これにより、判定装置１００は、ユーザにより情報の持ち出しの操作が行われたことを検出することができる。次に、図１８の説明に移行する。

図１８において、判定装置１００は、操作履歴１７００から、特定の操作を行ったユーザを表すユーザ名と、特定の操作が行われた端末装置２０２を表す資産名とを組み合わせた情報を記憶する組み合わせ一覧１８００を特定する。次に、図１９の説明に移行する。

図１９において、判定装置１００は、人事情報ＤＢ４００を参照し、組み合わせ一覧１８００にユーザ名が記憶されたユーザの属性を抽出し、属性一覧１９００を用いて記憶する。これにより、判定装置１００は、評価基準を特定するための情報を取得することができる。次に、図２０の説明に移行する。

図２０において、判定装置１００は、職責に対する業務行動パターン情報ＤＢ５００、所属に対する業務行動パターン情報ＤＢ６００、および、勤務形態に対する業務行動パターン情報ＤＢ７００を取得する。各種業務行動パターン情報ＤＢは、例えば、判定装置１００によって生成される。各種業務行動パターン情報ＤＢは、例えば、セキュリティ管理者によって予め作成され、判定装置１００に記憶されてもよい。

判定装置１００は、属性一覧１９００を参照し、取得した各種業務行動パターン情報ＤＢに、ユーザごとの属性に対応付けて記憶されている情報を纏めて、業務行動評価基準一覧２０００を用いて記憶する。これにより、判定装置１００は、情報の持ち出しの操作の正当性を評価するための、業務行動の観点からの評価基準を取得することができる。次に、図２１の説明に移行する。

図２１において、判定装置１００は、所属に対する業務環境パターン情報ＤＢ１１００、および、勤務形態に対する業務環境パターン情報ＤＢ１２００を取得する。各種業務環境パターン情報ＤＢは、例えば、判定装置１００によって生成される。各種業務環境パターン情報ＤＢは、例えば、セキュリティ管理者によって予め作成され、判定装置１００に記憶されてもよい。

判定装置１００は、属性一覧１９００を参照し、取得した各種業務環境パターン情報ＤＢにユーザごとの属性に対応付けて記憶されている情報を纏めて、業務環境評価基準一覧２１００を用いて記憶する。これにより、判定装置１００は、情報の持ち出しの操作の正当性を評価するための、業務環境の観点からの評価基準を取得することができる。次に、図２２の説明に移行する。

図２２において、判定装置１００は、資産情報ＤＢ１０００を参照し、組み合わせ一覧１８００に資産名が記憶された端末装置２０２に関する情報を抽出し、業務環境一覧２２００を用いて記憶する。これにより、判定装置１００は、情報の持ち出しの操作が行われた業務環境を特定可能にすることができる。次に、図２３の説明に移行する。

図２３において、判定装置１００は、業務行動評価基準一覧２０００を参照し、操作履歴１７００のうち、業務行動の観点からの評価基準を満たさないレコードを特定する。ここで、例えば、ユーザＡの評価基準は、機密情報の持ち出し「なし」を表す。一方で、ユーザＡのレコード１７０１は、機密情報の持ち出しを表す。このため、判定装置１００は、評価基準を満たさない業務行動外での操作に関するレコードとして、ユーザＡのレコード１７０１を特定する。

また、判定装置１００は、例えば、操作履歴１３００から、ユーザＤによる情報の持ち出しの操作のレコード１７０３の直前および直後に、同一のユーザＤにより行われた操作のレコード２３０１，２３０２を取得する。ここで、ユーザＤの評価基準は、アクセスの許可対象として「テレワーク用ファイルサーバ」を表す。一方で、直前の操作のレコード２３０１は、持ち出した情報を読み出した際のアクセスの対象として「社内ファイルサーバ」を表す。このため、判定装置１００は、評価基準を満たさない業務行動外での操作に関するレコードとして、ユーザＤのレコード１７０３を特定する。

ここでは、直前の操作のレコードが、持ち出した情報を読み出した際のアクセスの対象として、アクセスが不許可の記憶領域を表しているため、評価基準を満たさないと判定される場合について説明したが、これに限らない。例えば、持ち出した情報が、ユーザによる変更が不許可の情報であるのに、直後の操作のレコードが、持ち出した情報を変更したことを表しているため、評価基準を満たさないと判定される場合などがあってもよい。

ここで、いずれかのユーザの評価基準は、機密情報の持ち出し「少ない」を表すが、同じユーザの複数のレコードのうち、機密情報の持ち出しを表すレコードの割合が、閾値以上である場合などが考えられる。このような場合に、判定装置１００は、評価基準を満たさないと判定してもよい。次に、図２４の説明に移行する。

図２４において、判定装置１００は、情報の持ち出しの操作に関する操作履歴１７００と、業務環境一覧２２００とを参照し、情報の持ち出しの操作ごとの業務環境を表す操作環境一覧２４００を生成する。次に、判定装置１００は、業務環境評価基準一覧２１００を参照し、操作環境一覧２４００のうち、業務環境の観点からの評価基準を満たさないレコードを特定する。

例えば、ユーザＡの評価基準は、端末装置２０２の設置箇所「社内のみ」を表す。一方で、ユーザＡのレコード１７０１が表す情報の持ち出しに対応する業務環境を表すレコード２４０１は、ユーザＡの利用した端末装置２０２の設置箇所「自宅」を表す。

また、ユーザＡの評価基準は、端末装置２０２のＨＤＤ暗号化「あり」を表す。一方で、レコード２４０１は、ユーザＡの利用した端末装置２０２のＨＤＤ暗号化「なし」を表す。このため、判定装置１００は、評価基準を満たさない業務環境外での操作に関するレコードとして、ユーザＡのレコード１７０１を特定する。

例えば、ユーザＣの評価基準は、端末装置２０２のパッチ適用状態「すべて適用」を表す。一方で、ユーザＣのレコード１７０２が表す情報の持ち出しに対応する業務環境を表すレコード２４０２は、ユーザＣの利用した端末装置２０２のパッチ適用状態「未適用あり」を表す。このため、判定装置１００は、評価基準を満たさない業務環境外での操作に関するレコードとして、ユーザＣのレコード１７０２を特定する。

例えば、ユーザＤの評価基準は、端末装置２０２のＨＤＤ暗号化「あり」を表す。一方で、ユーザＤのレコード１７０３が表す情報の持ち出しに対応する業務環境を表すレコード２４０３は、ユーザＤの利用した端末装置２０２のＨＤＤ暗号化「なし」を表す。このため、判定装置１００は、評価基準を満たさない業務環境外での操作に関するレコードとして、ユーザＤのレコード１７０３を特定する。次に、図２５の説明に移行する。

図２５において、判定装置１００は、図２３および図２４において特定した結果を纏め、特定結果一覧２５００を用いて記憶する。判定装置１００は、例えば、それぞれのユーザが、評価基準を満たさない業務行動外での操作を行ったか、および、評価基準を満たさない業務環境外での操作を行ったかを纏めて記憶する。これにより、判定装置１００は、いずれの情報の持ち出しの操作が、不正な操作である可能性が相対的に大きく、優先して調査して正当性を評価することが好ましいかを評価することができる。次に、図２６の説明に移行する。

図２６において、判定装置１００は、特定したレコード１７０１〜１７０３に「不審な持ち出し」のマークが付与された操作履歴１７００を含む通知画面２６００を、セキュリティ管理者の端末装置２０１のディスプレイ１４０６に表示させる。判定装置１００は、特定したレコード１７０１〜１７０３に、業務行動の観点からの評価基準を満たすか否か、および、業務環境の観点からの評価基準を満たすか否かの判定結果を付与して表示させてもよい。

これにより、判定装置１００は、セキュリティ管理者が見落としやすく、不正に行われた可能性が相対的に大きい操作があっても、様々な観点からの評価基準に基づき評価することができる。そして、判定装置１００は、様々な観点からの評価基準に基づき、不正に行われた可能性が相対的に大きい操作を、セキュリティ管理者が把握可能にすることができる。

このため、セキュリティ管理者は、複数のユーザによる情報の持ち出しの操作のうち、いずれの情報の持ち出しの操作が、不正に行われた可能性が相対的に大きく、優先して調査して正当性を評価することが好ましいかを把握することができる。また、セキュリティ管理者は、不正に行われた可能性が相対的に大きい操作を見落とす可能性を低減することができる。結果として、セキュリティ管理者は、効率よくセキュリティの向上を図ることができる。

（全体処理手順）
次に、図２７を用いて、判定装置１００が実行する、全体処理手順の一例について説明する。全体処理は、例えば、図３に示したＣＰＵ３０１と、メモリ３０２や記録媒体３０５などの記憶領域と、ネットワークＩ／Ｆ３０３とによって実現される。

図２７は、全体処理手順の一例を示すフローチャートである。図２７において、判定装置１００は、端末装置２０２の操作履歴１３００から情報の持ち出しに関する操作履歴１３００を抽出する（ステップＳ２７０１）。

次に、判定装置１００は、人事情報ＤＢ４００、業務行動パターン情報ＤＢ、業務環境パターン情報ＤＢ、資産情報ＤＢ１０００を取得する（ステップＳ２７０２）。そして、判定装置１００は、取得した各種ＤＢを参照し、情報の持ち出しの操作を行ったユーザの業務行動パターン評価基準、および、業務環境パターン評価基準を生成する（ステップＳ２７０３）。

次に、判定装置１００は、取得した情報の持ち出しに関する操作履歴１３００から、情報の持ち出しの操作のレコードを選択する（ステップＳ２７０４）。そして、判定装置１００は、選択したレコードが、生成した業務行動パターン評価基準、および、業務環境パターン評価基準を満たすか否かを判定する（ステップＳ２７０５）。

ここで、レコードが、業務行動パターン評価基準、または、業務環境パターン評価基準を満たさない場合（ステップＳ２７０５：Ｎｏ）、判定装置１００は、ステップＳ２７０６の処理に移行する。一方で、レコードが、業務行動パターン評価基準、および、業務環境パターン評価基準を満たす場合（ステップＳ２７０５：Ｙｅｓ）、判定装置１００は、ステップＳ２７０７の処理に移行する。

ステップＳ２７０６では、判定装置１００は、選択したレコードに、不正操作の可能性ありを表す情報を対応付けて記憶する（ステップＳ２７０６）。そして、判定装置１００は、ステップＳ２７０８の処理に移行する。

ステップＳ２７０７では、判定装置１００は、選択したレコードに、正常操作を表す情報を対応付けて記憶する（ステップＳ２７０７）。そして、判定装置１００は、ステップＳ２７０８の処理に移行する。

ステップＳ２７０８では、判定装置１００は、すべてのレコードを選択したか否かを判定する（ステップＳ２７０８）。ここで、未選択のレコードがある場合（ステップＳ２７０８：Ｎｏ）、判定装置１００は、ステップＳ２７０４の処理に戻る。一方で、すべてのレコードを選択している場合（ステップＳ２７０８：Ｙｅｓ）、判定装置１００は、ステップＳ２７０９の処理に移行する。

ステップＳ２７０９では、判定装置１００は、情報の持ち出しの操作のレコードと、情報の持ち出しの操作のレコードに対応付けて記憶した、不正操作の可能性ありを表す情報、または、正常操作を表す情報とを対応付けて表示する（ステップＳ２７０９）。そして、判定装置１００は、全体処理を終了する。

ここでは、判定装置１００が、業務行動パターン評価基準、および、業務環境パターン評価基準を満たすか否かを判定する場合について説明した。この場合、ステップＳ２７０３〜Ｓ２７０８の処理は、具体的には、図２８に後述する業務行動判定処理、および、図２９に後述する業務環境判定処理を組み合わせることによって実現される。

一方で、例えば、判定装置１００が、業務行動パターン評価基準、および、業務環境パターン評価基準のいずれかを用いない場合があってもよい。この場合、ステップＳ２７０３〜Ｓ２７０８の処理は、具体的には、図２８に後述する業務行動判定処理、または、図２９に後述する業務環境判定処理によって実現される。

（業務行動判定処理手順）
次に、図２８を用いて、判定装置１００が実行する、業務行動判定処理手順の一例について説明する。業務行動判定処理は、例えば、図３に示したＣＰＵ３０１と、メモリ３０２や記録媒体３０５などの記憶領域と、ネットワークＩ／Ｆ３０３とによって実現される。

図２８は、業務行動判定処理手順の一例を示すフローチャートである。図２８において、判定装置１００は、人事情報ＤＢ４００から、情報の持ち出しの操作を行ったユーザごとの職責、所属、および、勤務形態を取得する（ステップＳ２８０１）。

次に、判定装置１００は、業務行動パターン情報ＤＢを参照し、情報の持ち出しの操作を行ったユーザごとに、取得した職責、所属、および、勤務形態に対応する業務行動パターン情報を取得する（ステップＳ２８０２）。そして、判定装置１００は、情報の持ち出しの操作を行ったユーザごとに取得した業務行動パターン情報に基づいて、業務行動パターン評価基準を生成する（ステップＳ２８０３）。

次に、判定装置１００は、情報の持ち出しに関する操作履歴１７００から、情報の持ち出しの操作のレコードを選択する（ステップＳ２８０４）。そして、判定装置１００は、選択したレコードが、選択したレコードに対応する業務行動パターン評価基準を満たすか否かを判定する（ステップＳ２８０５）。

ここで、業務行動パターン評価基準を満たさない場合（ステップＳ２８０５：Ｎｏ）、判定装置１００は、ステップＳ２８０６の処理に移行する。一方で、業務行動パターン評価基準を満たす場合（ステップＳ２８０５：Ｙｅｓ）、判定装置１００は、ステップＳ２８０７の処理に移行する。

ステップＳ２８０６では、判定装置１００は、選択したレコードに、不正操作の可能性ありを表す情報を対応付けて記憶する（ステップＳ２８０６）。そして、判定装置１００は、ステップＳ２８０８の処理に移行する。

ステップＳ２８０７では、判定装置１００は、選択したレコードに、正常操作を表す情報を対応付けて記憶する（ステップＳ２８０７）。そして、判定装置１００は、ステップＳ２８０８の処理に移行する。

ステップＳ２８０８では、判定装置１００は、すべてのレコードを選択したか否かを判定する（ステップＳ２８０８）。ここで、未選択のレコードがある場合（ステップＳ２８０８：Ｎｏ）、判定装置１００は、ステップＳ２８０４の処理に戻る。一方で、すべてのレコードを選択している場合（ステップＳ２８０８：Ｙｅｓ）、判定装置１００は、業務行動判定処理を終了する。

（業務環境判定処理手順）
次に、図２９を用いて、判定装置１００が実行する、業務環境判定処理手順の一例について説明する。業務環境判定処理は、例えば、図３に示したＣＰＵ３０１と、メモリ３０２や記録媒体３０５などの記憶領域と、ネットワークＩ／Ｆ３０３とによって実現される。

図２９は、業務環境判定処理手順の一例を示すフローチャートである。図２９において、判定装置１００は、人事情報ＤＢ４００から、情報の持ち出しの操作を行ったユーザごとの所属、および、勤務形態を取得する（ステップＳ２９０１）。

次に、判定装置１００は、資産情報ＤＢ１０００を参照し、情報の持ち出しの操作が行われた業務環境ごとに、資産情報を取得する（ステップＳ２９０２）。そして、判定装置１００は、業務環境パターン情報ＤＢを参照し、情報の持ち出しの操作を行ったユーザごとに、取得した所属、および、勤務形態に対応する業務環境パターン情報を取得する（ステップＳ２９０３）。

次に、判定装置１００は、情報の持ち出しの操作を行ったユーザごとに取得した業務行動パターン情報に基づいて、業務行動パターン評価基準を生成する（ステップＳ２９０４）。そして、判定装置１００は、情報の持ち出しに関する操作履歴１７００から、情報の持ち出しの操作のレコードを選択する（ステップＳ２９０５）。

次に、判定装置１００は、選択したレコードに対応する資産情報を参照し、選択したレコードが、選択したレコードに対応する業務環境パターン評価基準を満たすか否かを判定する（ステップＳ２９０６）。

ここで、業務環境パターン評価基準を満たさない場合（ステップＳ２９０６：Ｎｏ）、判定装置１００は、ステップＳ２９０７の処理に移行する。一方で、業務環境パターン評価基準を満たす場合（ステップＳ２９０６：Ｙｅｓ）、判定装置１００は、ステップＳ２９０８の処理に移行する。

ステップＳ２９０７では、判定装置１００は、選択したレコードに、不正操作の可能性ありを表す情報を対応付けて記憶する（ステップＳ２９０７）。そして、判定装置１００は、ステップＳ２９０９の処理に移行する。

ステップＳ２９０８では、判定装置１００は、選択したレコードに、正常操作を表す情報を対応付けて記憶する（ステップＳ２９０８）。そして、判定装置１００は、ステップＳ２９０９の処理に移行する。

ステップＳ２９０９では、判定装置１００は、すべてのレコードを選択したか否かを判定する（ステップＳ２９０９）。ここで、未選択のレコードがある場合（ステップＳ２９０９：Ｎｏ）、判定装置１００は、ステップＳ２９０５の処理に戻る。一方で、すべてのレコードを選択している場合（ステップＳ２９０９：Ｙｅｓ）、判定装置１００は、業務環境判定処理を終了する。

以上説明したように、判定装置１００によれば、ユーザによる操作の履歴をユーザの属性と対応付けて記憶する記憶部を参照し、ユーザの属性ごとに特定の操作に関する評価基準を生成することができる。判定装置１００によれば、いずれかのユーザの属性に基づいて、生成した評価基準のうち、いずれかのユーザによる特定の操作に関する評価基準を特定することができる。判定装置１００によれば、いずれかのユーザによる特定の操作を検出した場合、いずれかのユーザによる特定の操作が、特定した評価基準を満たすか否かを判定することができる。これにより、判定装置１００は、特定の操作に関する評価負担の低減化を図ることができる。判定装置１００は、例えば、特定の操作の正当性を評価した結果を表す、特定の操作が評価基準を満たすか否かを判定した結果を、セキュリティ管理者が参照可能にすることができる。

判定装置１００によれば、ユーザによる操作の履歴をユーザのそれぞれ種別が異なる複数の属性と対応付けて記憶する記憶部を参照し、ユーザの属性ごとに特定の操作に関する評価基準を生成することができる。これにより、判定装置１００は、それぞれ種別が異なる複数の属性のそれぞれの属性について評価基準を生成し、複数の観点から操作の正当性を評価可能にすることができる。

判定装置１００によれば、第１種別の属性ごとに特定の操作が許可される時間帯を表す評価基準を生成することができる。これにより、判定装置１００は、特定の操作が行われた時点から、特定の操作の正当性を評価可能にすることができる。

判定装置１００によれば、第２種別の属性ごとに特定の操作が許可される対象種別を表す情報を生成することができる。これにより、判定装置１００は、特定の操作が行われた対象種別から、特定の操作の正当性を評価可能にすることができる。

判定装置１００によれば、いずれかのユーザによる操作の履歴を参照し、いずれかのユーザによる特定の操作の前または後に行われた、いずれかのユーザによる他の操作に基づいて、評価基準を満たすか否かを判定することができる。これにより、判定装置１００は、特定の操作に関する他の操作を考慮し、特定の操作の正当性の評価精度の向上を図ることができる。

判定装置１００によれば、特定した評価基準を満たすか否かを判定した結果を特定の端末に出力することができる。これにより、判定装置１００は、セキュリティ管理者が判定装置１００以外で、特定の操作の正当性を評価した結果を参照可能にすることができる。

判定装置１００によれば、いずれかのユーザによる特定の操作を検出した場合、記憶部を参照し、いずれかのユーザの属性ごとに特定の操作に関する評価基準を生成することができる。これにより、判定装置１００は、検出した特定の操作に関する評価基準を、判定システム２００の最新の状態に対応するようにし、判定精度の向上を図ることができる。また、判定装置１００は、すべての属性について評価基準を生成しなくてもよいため、生成処理にかかる負担の低減化を図ることができる。

判定装置１００によれば、いずれかのユーザの属性に基づいて、ユーザの属性ごとに生成された特定の操作に関する評価基準のうち、いずれかのユーザによる特定の操作に関する評価基準を特定することができる。判定装置１００によれば、いずれかのユーザによる特定の操作を検出した場合、いずれかのユーザによる特定の操作が、特定した評価基準を満たすか否かを判定することができる。これにより、判定装置１００は、評価基準を生成しなくてもよく、処理量の低減化を図ることができる。

なお、本実施の形態で説明した判定方法は、予め用意されたプログラムをパーソナル・コンピュータやワークステーション等のコンピュータで実行することにより実現することができる。本実施の形態で説明した判定プログラムは、ハードディスク、フレキシブルディスク、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤ等のコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行される。また、本実施の形態で説明した判定プログラムは、インターネット等のネットワークを介して配布してもよい。

上述した実施の形態に関し、さらに以下の付記を開示する。

（付記１）コンピュータに、
ユーザによる操作の履歴を前記ユーザの属性と対応付けて記憶する記憶部を参照し、ユーザの属性ごとに特定の操作に関する評価基準を生成し、
いずれかのユーザの属性に基づいて、生成した前記評価基準のうち、前記いずれかのユーザによる前記特定の操作に関する評価基準を特定し、
前記いずれかのユーザによる前記特定の操作を検出した場合、前記いずれかのユーザによる前記特定の操作が、特定した前記評価基準を満たすか否かを判定する、
処理を実行させることを特徴とする判定プログラム。

（付記２）前記生成する処理は、ユーザによる操作の履歴を前記ユーザのそれぞれ種別が異なる複数の属性と対応付けて記憶する記憶部を参照し、ユーザの属性ごとに特定の操作に関する評価基準を生成する、ことを特徴とする付記１に記載の判定プログラム。

（付記３）前記生成する処理は、第１種別の属性ごとに前記特定の操作が許可される時間帯を表す評価基準を生成する、ことを特徴とする付記１または２に記載の判定プログラム。

（付記４）前記生成する処理は、第２種別の属性ごとに前記特定の操作が許可される対象種別を表す情報を生成する、ことを特徴とする付記１〜３のいずれか一つに記載の判定プログラム。

（付記５）前記判定する処理は、前記いずれかのユーザによる操作の履歴を参照し、前記いずれかのユーザによる前記特定の操作の前または後に行われた、前記いずれかのユーザによる他の操作に基づいて、前記評価基準を満たすか否かを判定する、ことを特徴とする付記１〜４のいずれか一つに記載の判定プログラム。

（付記６）前記コンピュータに、
特定した前記評価基準を満たすか否かを判定した結果を特定の端末に出力する、処理を実行させることを特徴とする付記１〜５のいずれか一つに記載の判定プログラム。

（付記７）前記生成する処理は、前記いずれかのユーザによる前記特定の操作を検出した場合、前記記憶部を参照し、前記いずれかのユーザの属性ごとに前記特定の操作に関する評価基準を生成する、ことを特徴とする付記１〜６のいずれか一つに記載の判定プログラム。

（付記８）コンピュータが、
ユーザによる操作の履歴を前記ユーザの属性と対応付けて記憶する記憶部を参照し、ユーザの属性ごとに特定の操作に関する評価基準を生成し、
いずれかのユーザの属性に基づいて、生成した前記評価基準のうち、前記いずれかのユーザによる前記特定の操作に関する評価基準を特定し、
前記いずれかのユーザによる前記特定の操作を検出した場合、前記いずれかのユーザによる前記特定の操作が、特定した前記評価基準を満たすか否かを判定する、
処理を実行することを特徴とする判定方法。

（付記９）ユーザによる操作の履歴を前記ユーザの属性と対応付けて記憶する記憶部を参照し、ユーザの属性ごとに特定の操作に関する評価基準を生成し、
いずれかのユーザの属性に基づいて、生成した前記評価基準のうち、前記いずれかのユーザによる前記特定の操作に関する評価基準を特定し、
前記いずれかのユーザによる前記特定の操作を検出した場合、前記いずれかのユーザによる前記特定の操作が、特定した前記評価基準を満たすか否かを判定する、
制御部を有することを特徴とする判定装置。

（付記１０）コンピュータに、
いずれかのユーザの属性に基づいて、ユーザの属性ごとに生成された特定の操作に関する評価基準のうち、前記いずれかのユーザによる前記特定の操作に関する評価基準を特定し、
前記いずれかのユーザによる前記特定の操作を検出した場合、前記いずれかのユーザによる前記特定の操作が、特定した前記評価基準を満たすか否かを判定する、
処理を実行させることを特徴とする判定プログラム。

（付記１１）コンピュータが、
いずれかのユーザの属性に基づいて、ユーザの属性ごとに生成された特定の操作に関する評価基準のうち、前記いずれかのユーザによる前記特定の操作に関する評価基準を特定し、
前記いずれかのユーザによる前記特定の操作を検出した場合、前記いずれかのユーザによる前記特定の操作が、特定した前記評価基準を満たすか否かを判定する、
処理を実行することを特徴とする判定方法。

（付記１２）いずれかのユーザの属性に基づいて、ユーザの属性ごとに生成された特定の操作に関する評価基準のうち、前記いずれかのユーザによる前記特定の操作に関する評価基準を特定し、
前記いずれかのユーザによる前記特定の操作を検出した場合、前記いずれかのユーザによる前記特定の操作が、特定した前記評価基準を満たすか否かを判定する、
制御部を有することを特徴とする判定装置。

１００ 判定装置
１１０，１３０ 履歴
１２０ 評価基準
２００ 判定システム
２０１，２０２ 端末装置
２０３ 情報蓄積装置
２１０ ネットワーク
３００，１４００ バス
３０１，１４０１ ＣＰＵ
３０２，１４０２ メモリ
３０３，１４０３ ネットワークＩ／Ｆ
３０４，１４０４ 記録媒体Ｉ／Ｆ
３０５，１４０５ 記録媒体
４００ 人事情報ＤＢ
５００，６００，７００，８００，９００ 業務行動パターン情報ＤＢ
１０００ 資産情報ＤＢ
１１００，１２００ 業務環境パターン情報ＤＢ
１３００，１６００，１７００ 操作履歴
１４０６ ディスプレイ
１４０７ 入力装置
１５００ 記憶部
１５０１ 取得部
１５０２ 生成部
１５０３ 特定部
１５０４ 判定部
１５０５ 出力部
１７０１〜１７０３，２３０１，２３０２，２４０１〜２４０３ レコード
１８００ 組み合わせ一覧
１９００ 属性一覧
２０００ 業務行動評価基準一覧
２１００ 業務環境評価基準一覧
２２００ 業務環境一覧
２４００ 操作環境一覧
２５００ 特定結果一覧
２６００ 通知画面

Claims (10)

1. コンピュータに、
   ユーザによる操作の履歴を前記ユーザの属性と対応付けて記憶する記憶部を参照し、ユーザの属性ごとに特定の操作に関する評価基準を生成し、
   いずれかのユーザの属性に基づいて、生成した前記評価基準のうち、前記いずれかのユーザによる前記特定の操作に関する評価基準を特定し、
   前記いずれかのユーザによる前記特定の操作を検出した場合、前記いずれかのユーザによる前記特定の操作が、特定した前記評価基準を満たすか否かを判定する、
   処理を実行させることを特徴とする判定プログラム。
2. 前記生成する処理は、ユーザによる操作の履歴を前記ユーザのそれぞれ種別が異なる複数の属性と対応付けて記憶する記憶部を参照し、ユーザの属性ごとに特定の操作に関する評価基準を生成する、ことを特徴とする請求項１に記載の判定プログラム。
3. 前記判定する処理は、前記いずれかのユーザによる操作の履歴を参照し、前記いずれかのユーザによる前記特定の操作の前または後に行われた、前記いずれかのユーザによる他の操作に基づいて、前記評価基準を満たすか否かを判定する、ことを特徴とする請求項１または２に記載の判定プログラム。
4. 前記コンピュータに、
   特定した前記評価基準を満たすか否かを判定した結果を特定の端末に出力する、処理を実行させることを特徴とする請求項１〜３のいずれか一つに記載の判定プログラム。
5. 前記生成する処理は、前記いずれかのユーザによる前記特定の操作を検出した場合、前記記憶部を参照し、前記いずれかのユーザの属性ごとに前記特定の操作に関する評価基準を生成する、ことを特徴とする請求項１〜４のいずれか一つに記載の判定プログラム。
6. コンピュータが、
   ユーザによる操作の履歴を前記ユーザの属性と対応付けて記憶する記憶部を参照し、ユーザの属性ごとに特定の操作に関する評価基準を生成し、
   いずれかのユーザの属性に基づいて、生成した前記評価基準のうち、前記いずれかのユーザによる前記特定の操作に関する評価基準を特定し、
   前記いずれかのユーザによる前記特定の操作を検出した場合、前記いずれかのユーザによる前記特定の操作が、特定した前記評価基準を満たすか否かを判定する、
   処理を実行することを特徴とする判定方法。
7. ユーザによる操作の履歴を前記ユーザの属性と対応付けて記憶する記憶部を参照し、ユーザの属性ごとに特定の操作に関する評価基準を生成し、
   いずれかのユーザの属性に基づいて、生成した前記評価基準のうち、前記いずれかのユーザによる前記特定の操作に関する評価基準を特定し、
   前記いずれかのユーザによる前記特定の操作を検出した場合、前記いずれかのユーザによる前記特定の操作が、特定した前記評価基準を満たすか否かを判定する、
   制御部を有することを特徴とする判定装置。
8. コンピュータに、
   いずれかのユーザの属性に基づいて、ユーザの属性ごとに生成された特定の操作に関する評価基準のうち、前記いずれかのユーザによる前記特定の操作に関する評価基準を特定し、
   前記いずれかのユーザによる前記特定の操作を検出した場合、前記いずれかのユーザによる前記特定の操作が、特定した前記評価基準を満たすか否かを判定する、
   処理を実行させることを特徴とする判定プログラム。
9. コンピュータが、
   いずれかのユーザの属性に基づいて、ユーザの属性ごとに生成された特定の操作に関する評価基準のうち、前記いずれかのユーザによる前記特定の操作に関する評価基準を特定し、
   前記いずれかのユーザによる前記特定の操作を検出した場合、前記いずれかのユーザによる前記特定の操作が、特定した前記評価基準を満たすか否かを判定する、
   処理を実行することを特徴とする判定方法。
10. いずれかのユーザの属性に基づいて、ユーザの属性ごとに生成された特定の操作に関する評価基準のうち、前記いずれかのユーザによる前記特定の操作に関する評価基準を特定し、
    前記いずれかのユーザによる前記特定の操作を検出した場合、前記いずれかのユーザによる前記特定の操作が、特定した前記評価基準を満たすか否かを判定する、
    制御部を有することを特徴とする判定装置。

Images