JP2020087119A

JP2020087119A - Information processing apparatus, control method thereof, information processing system, and program

Info

Publication number: JP2020087119A
Application number: JP2018222523A
Authority: JP
Inventors: 知大 ▲高▼橋; Tomohiro Takahashi; 敬雄藤本; Takao Fujimoto
Original assignee: Canon Electronics Inc
Current assignee: Canon Electronics Inc
Priority date: 2018-11-28
Filing date: 2018-11-28
Publication date: 2020-06-04
Anticipated expiration: 2038-11-28
Also published as: JP7352345B2

Abstract

To prevent operations which lead to information leak.SOLUTION: An information processing apparatus includes: acquisition means of acquiring a log of operations on an information asset accessed by a user; determination means of determining a security risk of the user in accordance with operations presented by the log acquired in the acquisition means, on the basis of security risks defined in advance for the contents of a series of operations on the information asset; and visualization means of visualizing the security risk determined in the determination means.SELECTED DRAWING: Figure 3

Description

本発明は、情報処理装置およびその制御方法、情報処理システム、並びにプログラムに関する。 The present invention relates to an information processing device, a control method thereof, an information processing system, and a program.

昨今、企業の情報インフラが整備されるに従って、ユーザーがパーソナルコンピュータなどの情報処理装置を用いて、組織内で共有されている情報資産にアクセスし、必要な情報を得る機会が増加している。一方、情報資産へのアクセス機会が増加するにつれて情報漏洩の可能性も高まるため、情報資産の取り扱い行為について管理の重要性が高まっている。企業の情報システム部門が情報処理装置の操作履歴を確認し、情報資産の持ち出し行為が無いかを調査することは日常的に行われている。例えば、特許文献１では、情報漏洩の発生を未然に防止することができる技術が開示されている。 As the information infrastructure of enterprises has been improved in recent years, there are increasing opportunities for users to access information assets shared within an organization and obtain necessary information by using information processing devices such as personal computers. On the other hand, since the possibility of information leakage increases as the number of opportunities to access information assets increases, the importance of managing the handling of information assets is increasing. It is routinely performed by an information system department of a company to check the operation history of an information processing device and investigate whether there is an act of taking out information assets. For example, Patent Document 1 discloses a technique capable of preventing occurrence of information leakage in advance.

特開２０１７−８３９６９号公報JP, 2017-83969, A

しかしながら、操作履歴からは情報資産へのアクセス判定は可能であるが、ユーザーの業務内容は部門ごとに異なるため、情報資産の重要性、機密性、妥当性を監査部門がいかに判断するか明確な基準はなく、効率的に確認業務を行うことが非常に困難である。また、特許文献１では、重要ファイルと判断された持出し行為が発生した場合において、その定点に対してのみ漏洩を防止する制御が行われ、予め情報漏洩を防止する対策を促すことができない。 However, although it is possible to judge access to information assets from the operation history, it is clear how the audit department judges the importance, confidentiality, and validity of information assets because the business contents of users differ from department to department. There are no standards and it is very difficult to carry out confirmation work efficiently. Further, in Patent Document 1, when a carry-out action determined to be an important file occurs, control is performed to prevent leakage only at the fixed point, and it is not possible to urge measures to prevent information leakage in advance.

そこで、本発明は、情報漏洩につながる操作を未然に防止することを目的とする。 Therefore, an object of the present invention is to prevent an operation leading to information leakage.

上記課題を解決するために本発明は以下の構成を有する。すなわち、情報処理装置であって、
ユーザーによりアクセスされた情報資産の操作のログを取得する取得手段と、
前記情報資産に対する一連の操作の内容に対して予め定義されたセキュリティリスクに基づいて、前記取得手段にて取得した前記ログにて示される操作に応じたユーザーのセキュリティリスクを判定する判定手段と、
前記判定手段にて判定したセキュリティリスクを可視化する可視化手段と
を有する。 In order to solve the above problems, the present invention has the following configurations. That is, the information processing device,
An acquisition means for acquiring a log of the operation of the information asset accessed by the user,
Based on a security risk defined in advance for the contents of a series of operations on the information assets, determination means for determining the security risk of the user according to the operation indicated by the log acquired by the acquisition means,
And a visualization unit that visualizes the security risk determined by the determination unit.

本発明により、情報漏洩につながる操作を未然に防止することが可能となる。 According to the present invention, it is possible to prevent an operation leading to information leakage.

本発明に係る情報処理システムの構成例を示す図。The figure which shows the structural example of the information processing system which concerns on this invention. 本発明に係る情報処理装置のハードウェア構成の例を示す図。The figure which shows the example of the hardware constitutions of the information processing apparatus which concerns on this invention. 本発明に係るログ管理サーバで実行される処理を示すフローチャート。6 is a flowchart showing processing executed by the log management server according to the present invention. 本発明に係るセキュリティリスク判定テーブルの一例を示す図。The figure which shows an example of the security risk determination table which concerns on this invention. 本発明に係るセキュリティリスク判定ルールの一例を示す図。The figure which shows an example of the security risk determination rule which concerns on this invention. 本発明に係るセキュリティリスク判定結果テーブルの一例を示す図。The figure which shows an example of the security risk determination result table which concerns on this invention.

以下、図面を参照して本発明の好適な実施形態を詳細に説明する。なお、以下の各実施形態は例示であり、本発明を各実施形態の内容に限定するものではない。また、以下の各図においては、実施形態の説明に必須ではない構成要素については図から省略する。 Hereinafter, preferred embodiments of the present invention will be described in detail with reference to the drawings. Each of the following embodiments is an example, and the present invention is not limited to the content of each embodiment. Further, in each of the following drawings, components that are not essential to the description of the embodiment are omitted from the drawings.

＜第１の実施形態＞
［システム構成］
図１は、本発明の第１の実施形態に係る情報処理システムの構成例を示す図である。本実施形態において、複数のクライアントとログ管理サーバ１２がネットワーク１３を介して通信可能に接続される。ここでは、複数のクライアントのうち、クライアント１１を例に挙げて説明し、それ以外のクライアントも同様の機能を備えるものとする。なお、本実施形態において、ログ管理サーバ１２は１つのみを示しているが、これに限定するものではなく、複数の装置にて負荷分散するように構成されてもよい。また、ここでは、本発明に係る機能部のみを示しており、他の部位（例えば、モジュールや機能）が更に備えられていてよい。 <First Embodiment>
[System configuration]
FIG. 1 is a diagram showing a configuration example of an information processing system according to the first embodiment of the present invention. In this embodiment, a plurality of clients and the log management server 12 are communicably connected via the network 13. Here, of the plurality of clients, the client 11 will be described as an example, and the other clients also have the same function. Although only one log management server 12 is shown in the present embodiment, the present invention is not limited to this, and the load management may be performed by a plurality of devices. Further, here, only the functional part according to the present invention is shown, and other parts (for example, modules and functions) may be further provided.

クライアント１１は、情報処理端末であり、ログ管理サーバ１２が提供する機能やデータを利用可能に構成される。ここでの情報処理端末は特に限定するものでは無く、例えば、ＰＣ（ＰｅｒｓｏｎａｌＣｏｍｐｕｔｅｒ）、スマートフォン、タブレット端末などログ管理サーバ１２と通信可能であり、外部装置のリソースにアクセス可能な端末であればよい。クライアント１１は、ファイルアクセスログ監視部１１１、およびクライアント制御部１１２を含んで構成される。ファイルアクセスログ監視部１１１は、自身がアクセスした情報資産のアクセス状況（操作状況）に関する情報を取得、管理する。クライアント制御部１１２は、アラート表示や端末を使用しているユーザーのユーザーアカウントのロック、端末のロック、情報資産へのアクセスの制限等のクライアント１１の制御を行う。本実施形態に係る情報処理システムにて管理対象とする情報資産としては、例えばサーバ内に保持され、組織内で共有される各種データ、ファイル、フォルダなど様々なものが該当するが、特に限定するものではない。 The client 11 is an information processing terminal and is configured to be able to use the functions and data provided by the log management server 12. The information processing terminal here is not particularly limited, and may be a terminal that can communicate with the log management server 12 such as a PC (Personal Computer), a smartphone, or a tablet terminal and can access the resources of the external device. .. The client 11 includes a file access log monitoring unit 111 and a client control unit 112. The file access log monitoring unit 111 acquires and manages information regarding the access status (operation status) of the information asset accessed by itself. The client control unit 112 controls the client 11 such as displaying an alert, locking a user account of a user who is using the terminal, locking the terminal, and limiting access to information assets. The information assets to be managed by the information processing system according to the present embodiment include, for example, various data such as various data, files and folders held in the server and shared in the organization, but are not particularly limited. Not a thing.

ファイルアクセスログ監視部１１１は、クライアント１１がアクセスした情報資産へのアクセス状況（参照、上書き、削除、移動、コピー、名前変更等）を監視し、それをファイルアクセスログデータ（操作履歴）として、蓄積する。ファイルアクセスログデータとしては、例えば以下のものが含まれる。なお、以下に示す項目は一例であり、これに限定するものではない。また、アクセスする情報資産に応じて、監視する項目は変動してもよい。 The file access log monitoring unit 111 monitors the access status (reference, overwrite, delete, move, copy, rename, etc.) to the information asset accessed by the client 11, and uses it as file access log data (operation history). accumulate. The file access log data includes, for example, the following. The items shown below are examples, and the present invention is not limited to these. Also, the items to be monitored may vary depending on the information assets to be accessed.

・アクセス日時
・マシン名（端末名）
・ユーザー名
・ファイル名
・操作種別（参照、上書き、削除、移動、コピー、名前変更等）
・操作元／操作先（参照元（パス名）／先、上書き元／先、移動元／先、コピー元／先、名前変更元／先）
・ファイルサイズ・Access date and time ・Machine name (terminal name)
-User name-File name-Operation type (reference, overwrite, delete, move, copy, rename, etc.)
-Operation source/operation destination (reference source (path name)/destination, overwrite source/destination, move source/destination, copy source/destination, rename source/destination)
·file size

説明を簡単にするために、１のユーザーが１のクライアントを用いて情報資産にアクセスする場合を例に挙げて説明する。しかし、１のクライアントを複数のユーザーが共有して利用するような構成であってもよい。その場合には、ユーザーを一意に識別するためのユーザーアカウントが割り当てられており、そのユーザーアカウントごとに操作履歴（ログ）が取得されるものとする。 To simplify the description, a case where one user accesses information assets using one client will be described as an example. However, the configuration may be such that one client is shared and used by a plurality of users. In that case, a user account for uniquely identifying the user is assigned, and an operation history (log) is acquired for each user account.

また、ファイルアクセスログ監視部１１１は、蓄積したファイルアクセスログデータをログ管理サーバ１２へ送信する。ファイルアクセスログデータをログ管理サーバ１２へ送信するタイミングは、所定時間単位（例えば、４時間ごと）で行ってもよいし、所定のイベントが発生した場合に行ってもよい。所定のイベントとしては、例えば、所定量以上のログデータが蓄積された場合、クライアント１１が再起動された場合、ログ管理サーバ１２からの要求を受けた場合等が設定されてよい。ここでのタイミングの設定に関しては、ログ管理サーバ１２側で設定してよい。 Further, the file access log monitoring unit 111 sends the accumulated file access log data to the log management server 12. The file access log data may be transmitted to the log management server 12 at a predetermined time unit (for example, every 4 hours) or when a predetermined event occurs. The predetermined event may be set, for example, when a predetermined amount or more of log data is accumulated, when the client 11 is restarted, when a request is received from the log management server 12, or the like. The timing setting here may be set on the log management server 12 side.

ログ管理サーバ１２は、情報処理装置であり、ネットワーク１３を介して、各クライアントからファイルアクセスログデータを受信して、それらの保持、管理を行う。ログ管理サーバ１２は、ログ管理データベース１２１、セキュリティリスク判定テーブル１２２、セキュリティリスク判定ルール１２３、セキュリティリスク判定結果テーブル１２４、セキュリティリスク可視化部１２５、セキュリティリスク処置部１２６、及び、セキュリティリスク判定部１２７を含んで構成される。 The log management server 12 is an information processing device, receives file access log data from each client via the network 13, and holds and manages them. The log management server 12 includes a log management database 121, a security risk determination table 122, a security risk determination rule 123, a security risk determination result table 124, a security risk visualization unit 125, a security risk treatment unit 126, and a security risk determination unit 127. It is configured to include.

ログ管理データベース１２１は、各クライアントから収集したファイルアクセスログデータを登録して管理する。セキュリティリスク判定部１２７は、ファイルアクセスログデータにおけるセキュリティリスクの判定を行う。この判定は、セキュリティリスク判定テーブル１２２に規定された情報、および／または、セキュリティリスク判定ルール１２３に基づいて行われる。セキュリティリスク判定テーブル１２２は、操作種別とファイルサイズ、ファイル名（出現回数）、キーワード、部門属性、操作時間帯とそのランク（評価値）などを対応づけて管理している。セキュリティリスク判定テーブル１２２の詳細については図４を用いて後述する。セキュリティリスク判定ルール１２３の詳細については、図５を用いて後述する。 The log management database 121 registers and manages the file access log data collected from each client. The security risk determination unit 127 determines the security risk in the file access log data. This determination is performed based on the information defined in the security risk determination table 122 and/or the security risk determination rule 123. The security risk determination table 122 manages operation types and file sizes, file names (number of appearances), keywords, department attributes, operation time zones and their ranks (evaluation values) in association with each other. Details of the security risk determination table 122 will be described later with reference to FIG. Details of the security risk determination rule 123 will be described later with reference to FIG.

セキュリティリスク判定部１２７は、ファイルアクセスログデータについてのセキュリティリスクの数値をそれぞれ算出し、その結果をセキュリティリスク判定結果テーブル１２４に追加する。セキュリティリスク判定結果テーブル１２４は、クライアント単位（もしくは、ユーザー単位）で数値化されたセキュリティリスクを管理するために用いられ、これまで各クライアントが情報資産にアクセスを行った際のセキュリティリスクの評価点を保持する。セキュリティリスク判定結果テーブル１２４の詳細については、図６を用いて後述する。 The security risk determination unit 127 calculates the numerical value of the security risk for the file access log data, and adds the result to the security risk determination result table 124. The security risk determination result table 124 is used to manage the security risk quantified in client units (or user units), and the security risk evaluation points when each client has accessed information assets so far. Hold. Details of the security risk determination result table 124 will be described later with reference to FIG.

尚、セキュリティリスク判定テーブル１２２、および／または、セキュリティリスク判定ルール１２３は、情報資産へのアクセスを行った際のセキュリティリスクの評価とその評価点を管理するために用いられる。この評価点は、その企業や組織内での重要性等に応じて決定されるものである。そのため、業種や職種によって、同一ファイルにアクセスを行った場合においても、セキュリティリスクの評価は必ずしも一致するものではなく、異なる評価点になる場合もある。 The security risk judgment table 122 and/or the security risk judgment rule 123 are used to manage the security risk evaluation and its evaluation points when the information asset is accessed. This evaluation point is determined according to the importance within the company or organization. Therefore, even if the same file is accessed, the security risk evaluations do not necessarily match, and may have different evaluation points, depending on the type of business and job type.

また、セキュリティリスク判定テーブル１２２、および／または、セキュリティリスク判定ルール１２３は、更に詳細な分析を行うために、操作時間帯やファイル名の出現回数が多い場合の調整用としての重み係数等を更に対応付けて管理してもよい。例えば、情報漏洩をするユーザーは、ファイルサイズやファイル容量が増加する可能性が高いため、ファイル容量や総ファイル数などから情報漏洩の判断基準としてもよい。また、情報漏洩をする人は夜中に操作する可能性が高いものと想定し、操作する時間から情報漏洩の判断基準としてもよい。 In addition, the security risk determination table 122 and/or the security risk determination rule 123 further include a weighting coefficient for adjustment when the operation time period or the number of times a file name appears is large in order to perform more detailed analysis. It may be associated and managed. For example, since a user who leaks information is likely to increase the file size and the file capacity, the information leakage may be determined based on the file capacity and the total number of files. It is also possible to assume that a person who leaks information is likely to operate in the middle of the night, and the information leakage may be used as a criterion for judging information leakage from the operation time.

また、セキュリティリスク判定テーブル１２２、および／または、セキュリティリスク判定ルール１２３は、予め定義された行動パターンに一致したファイルアクセスログが検出された場合に、セキュリティリスクを数値化する判定ルール等を更に対応付けて管理してもよい。これにより、更に詳細な分析を行い、セキュリティリスクを総合的に判定するようにしてよい。 In addition, the security risk determination table 122 and/or the security risk determination rule 123 further correspond to a determination rule or the like that digitizes the security risk when a file access log that matches a predefined behavior pattern is detected. You may attach and manage. Thereby, more detailed analysis may be performed to comprehensively determine the security risk.

また、上記の例では、ファイル単位のアクセス（操作）ログを例に挙げたが、これに限定するものではない。例えば、１または複数のファイルを含むフォルダ単位でアクセスログを取得、管理してもよい。また、ファイルの属性（例えば、機密度やアクセス権限）を基準としてログを分類してもよい。 Further, in the above example, the access (operation) log in units of files has been described as an example, but the present invention is not limited to this. For example, the access log may be acquired and managed for each folder including one or a plurality of files. Further, the logs may be classified on the basis of file attributes (for example, confidentiality level or access authority).

セキュリティリスク可視化部１２５は、セキュリティリスク判定結果テーブル１２４を参照し、数値化されたセキュリティリスクをクライアント毎にレポート表示する。レポート表示（可視化）の方法は、特に限定するものではなく、一覧表示であってもよいし、グラフ化した表示であってもよい。そのほか、ユーザーの指定に応じて、表示方法や表示対象が切り替えられてもよい。可視化においては、例えば、セキュリティリスクの高いユーザーを要注意人物として表示してもよい。可視化は、ログ管理サーバ１２が備える表示部で行われてもよいし、別の装置により示されてもよい。 The security risk visualization unit 125 refers to the security risk determination result table 124 and displays the quantified security risk as a report for each client. The report display (visualization) method is not particularly limited, and may be a list display or a graph display. In addition, the display method and the display target may be switched according to the designation of the user. In the visualization, for example, a user with a high security risk may be displayed as a person requiring attention. The visualization may be performed on the display unit included in the log management server 12 or may be displayed by another device.

セキュリティリスク処置部１２６は、数値化されたセキュリティリスクと予め定義された閾値に基づいて、クライアント１１に対して処置を指示する。処置の内容としては、アラート表示、ユーザーアカウントのロック、端末のロック、情報資産へのアクセス制限などが挙げられ、クライアント１１の機能に応じて決定してよい。また、処理の内容は、セキュリティリスクと閾値の乖離度に基づいて決定してもよい。また、セキュリティリスク処置部１２６は、単一のクライアントのみならず、他のクライアントに対しても、何かしらのセキュリティリスクが生じていることを通知するような構成であってもよい。他のクライアントとしては、組織の管理者などが挙げられ、予め通知先を登録しておいてもよい。 The security risk processing unit 126 instructs the client 11 to perform the processing based on the numericalized security risk and the threshold value defined in advance. The content of the procedure includes alert display, user account lock, terminal lock, access restriction to information assets, and the like, which may be determined according to the function of the client 11. Further, the content of the processing may be determined based on the degree of deviation between the security risk and the threshold. Further, the security risk treatment unit 126 may be configured to notify not only a single client but also other clients that some security risk has occurred. The other client may be an administrator of the organization, and the notification destination may be registered in advance.

［ハードウェア構成］
図２は、本実施形態に係る情報処理装置のハードウェア構成の例を示す図である。本実施形態に係るクライアント１１およびログ管理サーバ１２に適用可能な情報処理装置２００のハードウェア構成の例を示す。なお、ここでは同じ構成の情報処理装置２００を用いるものとして説明するが、各クライアントおよびログ管理サーバ１２はそれぞれ異なるハードウェア構成を備えていてもよい。 [Hardware configuration]
FIG. 2 is a diagram showing an example of the hardware configuration of the information processing apparatus according to the present embodiment. An example of the hardware configuration of the information processing apparatus 200 applicable to the client 11 and the log management server 12 according to the present embodiment is shown. Although the information processing apparatus 200 having the same configuration is used here, each client and the log management server 12 may have different hardware configurations.

情報処理装置２００は、ＣＰＵ（ＣｅｎｔｒａｌＰｒｏｃｅｓｓｉｎｇＵｎｉｔ）２０２、ＲＯＭ（ＲｅａｄＯｎｌｙＭｅｍｏｒｙ）２０３、ＲＡＭ（ＲａｎｄｏｍＡｃｃｅｓｓＭｅｍｏｒｙ）２０４、外部記憶装置２０５、操作部２０６、通信部２０７、および表示部２０８を含んで構成される。各部位は、内部バス２０１を介して互いに通信可能に接続される。ＣＰＵ２０２は、情報処理装置２００全体の制御を司り、外部記憶装置２０５等に格納されたプログラムを読み出して実行することにより、後述するような各種処理を実現する。ＲＯＭ２０３は、不揮発性の記憶部である。ＲＡＭ２０４は、揮発性の記憶部であり、プログラムの実行に伴うワークエリアとしても用いられる。外部記憶装置２０５は、不揮発性の記憶部であり、ＯＳ（ＯｐｅｒａｔｉｎｇＳｙｓｔｅｍ）やプログラム、各種データが格納される。操作部２０６は、ユーザーからの操作を受け付けるためのインターフェースであり、例えば、マウスやキーボードなどが挙げられる。通信部２０７は、外部装置との通信を行うための部位である。表示部２０８は、各種情報を表示するための部位である。 The information processing apparatus 200 includes a CPU (Central Processing Unit) 202, a ROM (Read Only Memory) 203, a RAM (Random Access Memory) 204, an external storage device 205, an operation unit 206, a communication unit 207, and a display unit 208. Composed. The respective parts are communicatively connected to each other via an internal bus 201. The CPU 202 controls the entire information processing apparatus 200, and reads and executes a program stored in the external storage device 205 or the like to realize various processes described below. The ROM 203 is a non-volatile storage unit. The RAM 204 is a volatile storage unit and is also used as a work area associated with the execution of a program. The external storage device 205 is a non-volatile storage unit that stores an OS (Operating System), programs, and various data. The operation unit 206 is an interface for receiving an operation from a user, and examples thereof include a mouse and a keyboard. The communication unit 207 is a unit for communicating with an external device. The display unit 208 is a unit for displaying various information.

［処理フロー］
図３は、本実施形態に係るログ管理サーバ１２で実行される処理のフローチャートを示す。本処理フローは、例えば、ログ管理サーバ１２が備えるＣＰＵ２０２が外部記憶装置２０５等に格納されたプログラムを読み出して実行することにより実現される。また、本処理フローは、定期的に開始されるように制御されてもよいし、受信したファイルアクセスログデータが一定の量だけログ管理データベース１２１に蓄積された時点で開始されるように制御されてよい。 [Processing flow]
FIG. 3 shows a flowchart of processing executed by the log management server 12 according to this embodiment. This processing flow is realized, for example, by the CPU 202 included in the log management server 12 reading and executing a program stored in the external storage device 205 or the like. Further, this processing flow may be controlled to be started at regular intervals, or may be controlled to be started when the received file access log data is accumulated in the log management database 121 by a certain amount. You may.

Ｓ３０１にて、ログ管理サーバ１２は、ログ管理データベース１２１から各クライアントのファイルアクセスログデータを１つ読み出す。ここでは、ユーザー単位で処理を行う例を示すが、これに限定するものではない。例えば、組織単位、グループ単位、アクセス対象の情報資産単位、情報資産の機密度ごと、など様々な単位で処理を行うような構成であってよい。 In S301, the log management server 12 reads one file access log data of each client from the log management database 121. Here, an example in which processing is performed for each user is shown, but the present invention is not limited to this. For example, the processing may be performed in various units such as an organizational unit, a group unit, an information asset unit to be accessed, and a confidentiality level of information assets.

Ｓ３０２にて、ログ管理サーバ１２は、ファイルアクセスログデータを判定するための定義を記述したセキュリティリスク判定テーブル１２２、および／または、セキュリティリスク判定ルール１２３を読み込む。セキュリティリスク判定テーブル１２２およびセキュリティリスク判定ルール１２３は、例えば、ログ管理サーバ１２の外部記憶装置２０５等に保持されているものとする。 In S302, the log management server 12 reads the security risk determination table 122 and/or the security risk determination rule 123 describing the definition for determining the file access log data. The security risk determination table 122 and the security risk determination rule 123 are stored in, for example, the external storage device 205 of the log management server 12.

Ｓ３０３にて、ログ管理サーバ１２は、読み出したファイルアクセスログデータに含まれるセキュリティリスクを判定する。この判定は、判定対象のファイルアクセスログデータをセキュリティリスク判定テーブル１２２、および／または、セキュリティリスク判定ルール１２３と参照することで行う。 In S303, the log management server 12 determines the security risk included in the read file access log data. This determination is performed by referring to the file access log data to be determined with the security risk determination table 122 and/or the security risk determination rule 123.

Ｓ３０４にて、ログ管理サーバ１２は、クライアント毎にセキュリティリスクを数値化してセキュリティリスク判定結果テーブル１２４に追加する。なお、判定対象のファイルアクセスログデータが、セキュリティリスク判定テーブル１２２やセキュリティリスク判定ルール１２３に定義された操作に該当しない場合には、その旨を示す情報をセキュリティリスク判定結果テーブル１２４に追加してもよい。もしくは、Ｓ３０４の処理をスキップするような構成であってもよい。 In S304, the log management server 12 digitizes the security risk for each client and adds it to the security risk determination result table 124. If the file access log data to be judged does not correspond to the operation defined in the security risk judgment table 122 or the security risk judgment rule 123, information indicating that is added to the security risk judgment result table 124. Good. Alternatively, the configuration may be such that the process of S304 is skipped.

Ｓ３０５にて、ログ管理サーバ１２は、セキュリティリスク判定結果テーブル１２４を参照し、ユーザー毎に数値化されたセキュリティリスクを表示部２０８にてレポート表示する。 In step S<b>305, the log management server 12 refers to the security risk determination result table 124 and causes the display unit 208 to display a report of the security risk quantified for each user.

Ｓ３０６にて、ログ管理サーバ１２は、セキュリティリスクが予め定義された閾値を超えているか否かを判定する。閾値を超えている場合（Ｓ３０６にてＹＥＳ）Ｓ３０７に進み、閾値を超えていない場合（Ｓ３０６にてＮＯ）Ｓ３０８に進む。 In S306, the log management server 12 determines whether the security risk exceeds a predefined threshold value. If the threshold is exceeded (YES in S306), the process proceeds to S307, and if the threshold is not exceeded (NO in S306), the process proceeds to S308.

Ｓ３０７にて、ログ管理サーバ１２は、判定されたセキュリティリスクに応じた処置を行う。例えば、ログ管理サーバ１２が、セキュリティリスクの高いクライアントのクライアント制御部１１２に対して、セキュリティリスクに応じた動作を行うように指示する。ここでの処置は、対象となるクライアントに対してアラート表示、アクセス遮断、装置の停止、ユーザーアカウントの停止などが挙げられるが、特に限定するものではない。例えば、閾値を超えたセキュリティリスクの中でもその値に応じて、実行する処置を切り替えてもよい。 In S307, the log management server 12 takes measures according to the determined security risk. For example, the log management server 12 instructs the client control unit 112 of a client having a high security risk to perform an operation according to the security risk. Examples of the procedure here include, but are not limited to, alert display, access blocking, device suspension, and user account suspension for the target client. For example, even if the security risk exceeds the threshold, the action to be executed may be switched according to the value.

Ｓ３０８にて、ログ管理サーバ１２は、すべてのファイルアクセスログデータのセキュリティリスク判定が完了したか否かを判定する。完了していない場合（Ｓ３０８にてＮＯ）Ｓ３０１に戻り、未判定のファイルアクセスログデータをログ管理データベース１２１から読み出し、処理を継続する。完了している場合（Ｓ３０８にてＹＥＳ）本処理フローを終了する。 In S308, the log management server 12 determines whether or not the security risk determination has been completed for all the file access log data. If not completed (NO in S308), the process returns to S301, the undetermined file access log data is read from the log management database 121, and the process is continued. If it has been completed (YES in S308), this processing flow ends.

［セキュリティリスク判定テーブル］
図４を用いて、本実施形態に係るセキュリティリスク判定テーブル１２２について説明する。本実施形態に係るセキュリティリスク判定テーブル１２２は、判定の分類として、操作内容、操作時間、操作対象のファイル数、キーワードに分けてそれぞれ危険度もしくはランクを付与している。これらの分類は一例であり、例えば、管理者等が情報資産等に応じて任意に設定してよい。また、テーブルの項目内容等についても管理者が任意に、管理者画面（不図示）から設定、追加、削除ができるようにしてもよい。 [Security risk judgment table]
The security risk determination table 122 according to this embodiment will be described with reference to FIG. In the security risk judgment table 122 according to the present embodiment, the classification of judgment is divided into operation contents, operation time, the number of files to be operated, and keywords, and a risk degree or rank is given to each. These classifications are examples, and for example, an administrator or the like may arbitrarily set them according to information assets or the like. Moreover, the administrator may arbitrarily set, add, and delete the table item contents and the like from an administrator screen (not shown).

（操作内容による判定テーブル）
操作内容の項目では、ファイルアクセスログデータに含まれている操作元のパス名と、操作先のパス名とから、その操作内容を示す。例えば、操作内容がコピーである場合に、ローカルディレクトリからローカルディレクトリへの操作なのか、ローカルディレクトリ以外への操作なのかを示す。なお、同じ操作を複数回行っている場合、２回目以降は複数回を示している。また、ファイルアクセスログデータに含まれているファイル名が、予め記憶されたキーワードランクテーブルにある場合はそのランクを示し、ない場合はキーワードなし、を示している。 (Judgment table based on operation contents)
The operation content item indicates the operation content from the operation source path name and the operation destination path name included in the file access log data. For example, when the operation content is a copy, it indicates whether the operation is from a local directory to a local directory or an operation other than the local directory. When the same operation is performed a plurality of times, the second and subsequent times indicate a plurality of times. Further, if the file name included in the file access log data is in the keyword rank table stored in advance, the rank is shown, and if it is not, there is no keyword.

また、操作内容による判定テーブルにおいて、ファイルサイズの項目は、ファイルアクセスログデータにて示されている操作対象のファイルのファイルサイズを示す。ここでは、ファイルサイズに対して、ある閾値を設定しておき、その閾値以上のファイルサイズを有するファイルを「大」とし、閾値より小さいファイルサイズを有するファイルを「小」とする。 In the determination table based on the operation content, the file size item indicates the file size of the operation target file indicated by the file access log data. Here, a certain threshold is set for the file size, a file having a file size equal to or larger than the threshold is set as “large”, and a file having a file size smaller than the threshold is set as “small”.

（操作時間による判定テーブル）
操作内容の項目では、ファイルアクセスログデータにて示されている操作対象のファイルへのアクセス日時を示す。ここでは２つの時間帯に分けているが、更に詳細に分けてもよいし、曜日ごとに分けてもよい。 (Judgment table based on operation time)
The operation content item indicates the access date and time to the operation target file indicated by the file access log data. Although it is divided into two time zones here, it may be divided into more detailed ones or may be divided by each day of the week.

（ファイル数による判定テーブル）
ファイル数の項目では、ファイルアクセスログデータにて示されている操作対象としたファイルの数を示す。 (Judgment table based on the number of files)
The number of files item indicates the number of files to be operated, which is indicated by the file access log data.

［セキュリティリスク判定ルール］
図５を用いて、本実施形態に係るセキュリティリスク判定ルールについて説明する。セキュリティリスク判定ルール１２３は、ファイルアクセスログデータにて示される操作対象のファイルに対する操作した内容と順序に基づいて、危険度を判定するルールを示す。例えば、判定ルール１の場合、あるファイルについてリネーム操作を行い、ローカルディレクトリへコピーを行った後に、リムーバブルにてファイルを持ち出した場合、危険度は「１００」となる。 [Security Risk Judgment Rule]
The security risk determination rule according to this embodiment will be described with reference to FIG. The security risk determination rule 123 is a rule for determining the degree of risk, based on the operation content and the order of the operation target file indicated by the file access log data. For example, in the case of determination rule 1, if a file is renamed and copied to a local directory and then taken out as a removable file, the risk level is "100".

また、例えば、判定ルール２の場合、機密ファイルを少量印刷した後に、同じ操作を２度繰り返した場合、危険度は「２００」となる。これは、情報漏洩をする人は、機密ファイルを一度に印刷せずに、少量ずつ印刷する可能性が高いためである。 Further, for example, in the case of the determination rule 2, when the same operation is repeated twice after printing a small amount of confidential files, the risk level is “200”. This is because a person who leaks information is likely to print the confidential files little by little instead of printing them all at once.

セキュリティリスク判定ルール１２３も、セキュリティリスク判定テーブル１２２と同様、管理者等が情報資産等に応じて任意に設定してよい。また、テーブルの項目内容等についても管理者が任意に、管理者画面（不図示）から設定、追加、削除ができるようにしてもよい。また、セキュリティリスク判定テーブル１２２とセキュリティリスク判定ルール１２３は、必ずしも両方を用いる必要はなく、いずれか一方のみを用いて、セキュリティリスクを判定するような構成であってもよい。 As with the security risk determination table 122, the security risk determination rule 123 may be arbitrarily set by the administrator or the like according to the information assets or the like. Moreover, the administrator may arbitrarily set, add, and delete the table item contents and the like from an administrator screen (not shown). Further, both the security risk judgment table 122 and the security risk judgment rule 123 do not necessarily have to be used, and only one of them may be used to judge the security risk.

［セキュリティリスク判定結果テーブル］
図６は、本実施形態に係るセキュリティリスク判定結果テーブル１２４の構成例を示す。図６では、セキュリティリスク判定テーブル１２２およびセキュリティリスク判定ルール１２３に基づいて算出されたユーザー毎の操作に対する危険度を示している。例えば、ユーザー「Ａ６１」の危険度は算出された危険度「Ｋ１」〜「Ｋ６」の合計値となり、セキュリティリスク（漏洩リスク）は「５」として示されている。１回の操作にて危険度を判定し、その程度に応じてセキュリティリスクに対する処置を行ってもよいし、図６に示すようにある一定期間の危険度の合計値に基づいて、セキュリティリスクに対する処置を行ってもよい。 [Security risk judgment result table]
FIG. 6 shows a configuration example of the security risk determination result table 124 according to this embodiment. In FIG. 6, the risk level for the operation for each user calculated based on the security risk determination table 122 and the security risk determination rule 123 is shown. For example, the risk level of the user “A61” is the total value of the calculated risk levels “K1” to “K6”, and the security risk (leakage risk) is shown as “5”. The risk may be determined by one operation, and the security risk may be treated according to the degree, or the security risk may be determined based on the total value of the risk over a certain period as shown in FIG. Treatment may be performed.

また、上述したように、クライアント単位でセキュリティリスクに対する処置を行うことに限定するものではなく、クライアントが属するグループや組織単位で処置を行うような構成であってもよい。 Further, as described above, the security risk is not limited to be dealt with on a client-by-client basis, and the treatment may be carried out on a group or organization basis to which the client belongs.

以上、本実施形態では、情報資産に対するユーザーの操作ログに着目し、ユーザーや部門属性、操作時間帯、ファイルサイズなどの判定条件を用いて、ファイル操作におけるセキュリティリスクを数値化し、セキュリティリスクを可視化、及び処置を行う。これにより、一連のユーザーの操作に基づいて、情報漏洩を未然に防止することが可能となる。 As described above, in the present embodiment, focusing on the operation log of the user with respect to the information asset, the security risk in the file operation is quantified and the security risk is visualized by using the determination conditions such as the user, the department attribute, the operation time zone, and the file size. , And take action. This makes it possible to prevent information leakage in advance based on a series of user operations.

＜その他の実施形態＞
本発明は上述の実施形態の１以上の機能を実現するプログラムをネットワーク又は記憶媒体を介してシステム又は装置に供給し、そのシステム又は装置のコンピュータにおける１つ以上のプロセッサがプログラムを読出し実行する処理でも実現可能である。また、１以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。 <Other embodiments>
The present invention supplies a program that implements one or more functions of the above-described embodiment to a system or apparatus via a network or a storage medium, and one or more processors in a computer of the system or apparatus read and execute the program. But it is possible. It can also be realized by a circuit (for example, ASIC) that realizes one or more functions.

１１…クライアント、１２…ログ管理サーバ、１１１…ファイルアクセスログ監視部、１１２…クライアント制御部、１２１…ログ管理データベース、１２２…セキュリティリスク判定テーブル、１２３…セキュリティリスク判定ルール、１２４…セキュリティリスク判定結果テーブル、１２５…セキュリティリスク可視化部、１２６…セキュリティリスク処置部、１２７…セキュリティリスク判定部 11... Client, 12... Log management server, 111... File access log monitoring unit, 112... Client control unit, 121... Log management database, 122... Security risk determination table, 123... Security risk determination rule, 124... Security risk determination result Table, 125... Security risk visualization unit, 126... Security risk treatment unit, 127... Security risk determination unit

Claims

An acquisition means for acquiring a log of the operation of the information asset accessed by the user,
Based on a security risk defined in advance for the contents of a series of operations on the information assets, determination means for determining the security risk of the user according to the operation indicated by the log acquired by the acquisition means,
An information processing device comprising: a visualization unit that visualizes the security risk determined by the determination unit.

The security risk defined in advance for the content of a series of operations on the information asset is the size of the information asset, the number of the information assets, the operation time of the operation, the information asset name of the information asset, the series of operations. The information processing apparatus according to claim 1, wherein the information processing apparatus includes any one or a combination of the above.

When the security risk determined by the determination unit exceeds a predetermined threshold value, a control unit for instructing the terminal used by the user corresponding to the log to execute processing according to the security risk is provided. The information processing apparatus according to claim 1, further comprising:

The processing according to the security risk is any one of alert display, locking of a user account of a user who is using the terminal, locking of the terminal, and restriction of access to the information asset. The information processing device according to claim 3.

The information processing apparatus according to claim 3, wherein the processing according to the security risk differs depending on the function of the terminal.

The visualization unit visualizes the security risk determined by the determination unit for each user, for each group to which the user belongs, or for each information asset. Information processing apparatus given in any 1 paragraph.

An acquisition process for acquiring a log of operations of information assets accessed by users,
Based on a security risk predefined for the contents of a series of operations on the information assets, a determination step of determining the security risk of the user according to the operation indicated by the log acquired in the acquisition step,
And a visualization step of visualizing the security risk determined in the determination step.

An information processing system including the information processing apparatus according to any one of claims 1 to 6 and a terminal,
The terminal is
An information processing apparatus comprising: a transmission unit that monitors an operation on an information asset by a user and transmits a log of the operation to the information processing apparatus.

The information processing apparatus according to claim 8, wherein the terminal further includes a processing unit that performs processing for the user based on an instruction from the information processing apparatus.

Computer,
An acquisition method for acquiring a log of operations of information assets accessed by users,
Judgment means for judging the security risk of the user according to the operation indicated by the log acquired by the acquisition means, based on the security risk defined in advance for the contents of the series of operations on the information asset,
A program for functioning as a visualization unit that visualizes the security risk determined by the determination unit.