JP2022181684A - プログラム及び情報処理装置 - Google Patents

Abstract

【課題】ウェブサイトの安全度を考慮したセキュリティポリシーにより通信を一律に制御する場合に比して、業務上の支障を低減する。【解決手段】コンピュータに、通信に用いる端末を操作するユーザのセキュリティ上の信用度を取得する機能と、通信先のウェブサイトに関するセキュリティ上の脅威度を取得する機能と、信用度と脅威度の組み合わせに応じたセキュリティポリシーにより、ユーザによるウェブサイトとの通信を制御する機能と、を実現させるためのプログラムを提供する。【選択図】図１０

Description

本発明は、プログラム及び情報処理装置に関する。

今日における企業の活動において、電子メールによる社外とのコミュニケーションやインターネット上のウェブサイトの閲覧は不可欠である。一方で、従業員が受け取る電子メールには、マルウェアの感染を引き起こすリスクが存在する。また、インターネット上のウェブサイトの安全度も同じではない。そこで、多くの企業では、従業員に訓練用のメールを送信し、セキュリティ意識の向上を図っている。また、ウェブサイトの脅威をＡＩ（＝Artificial Intelligence）で判定し、安全性がグレーなウェブサイト（以下「グレーサイト」という）への従業員のアクセスを制限することがある。

特開２０１９－１６００６６号公報

しかし、ＡＩによるグレーサイトの判定の精度には限界がある。このため、ＡＩの判定に基づいて生成されたセキュリティポリシーを一律にゲートウェイに適用すると、正当な通信までも制限する過剰防衛が発生し、通常の業務にまで影響が及ぶことがある。

本発明は、ウェブサイトの安全度を考慮したセキュリティポリシーにより通信を一律に制御する場合に比して、業務上の支障を低減することを目的とする。

請求項１に記載の発明は、コンピュータに、通信に用いる端末を操作するユーザのセキュリティ上の信用度を取得する機能と、通信先のウェブサイトに関するセキュリティ上の脅威度を取得する機能と、前記信用度と前記脅威度の組み合わせに応じたセキュリティポリシーにより、前記ユーザによる前記ウェブサイトとの通信を制御する機能と、を実現させるためのプログラムである。
請求項２に記載の発明は、前記ユーザのセキュリティ上の信用度として、予め定めた管理上の単位の信用度を使用する、請求項１に記載のプログラムである。
請求項３に記載の発明は、前記管理上の単位が個人の場合、前記ユーザに対して設定された信用度を使用する、請求項２に記載のプログラムである。
請求項４に記載の発明は、前記管理上の単位がグループの場合、前記ユーザが属するグループに対して設定された信用度を使用する、請求項２に記載のプログラムである。
請求項５に記載の発明は、前記管理上の単位が職務上の役職の場合、前記ユーザの役職に対して設定された信用度を使用する、請求項２に記載のプログラムである。
請求項６に記載の発明は、前記管理上の単位がＬＡＮ（＝Local Area Network）の場合、前記ユーザが操作する前記端末が接続するＬＡＮに対して設定された信用度を使用する、請求項２に記載のプログラムである。
請求項７に記載の発明は、前記ユーザのセキュリティ上の信用度として、前記通信先のウェブサイトが属する分類別に設定された信用度を使用する、請求項１～６のいずれか１項に記載のプログラムである。
請求項８に記載の発明は、前記セキュリティポリシーは、予め定めた項目別に用意される、請求項１に記載のプログラムである。
請求項９に記載の発明は、前記項目は、前記ウェブサイトの分類である、請求項８に記載のプログラムである。
請求項１０に記載の発明は、前記項目は、前記ウェブサイトにデータを登録する際に使用する通信方式である、請求項８に記載のプログラムである。
請求項１１に記載の発明は、前記項目は、前記ウェブサイトに対するアクションである、請求項８に記載のプログラムである。
請求項１２に記載の発明は、前記信用度は、前記ユーザが参加したセキュリティ訓練の結果、前記ユーザに関する過去の通信の履歴、前記ユーザについて過去に実施したセキュリティテストの結果の何れか１つ以上の要素を考慮して決まる、請求項１に記載のプログラムである。
請求項１３に記載の発明は、予め定められた期間に前記要素の更新がなかった場合、通信の制御に使用する前記セキュリティポリシーを、通信の安全性を高める方向に変化させる、請求項１２に記載のプログラムである。
請求項１４に記載の発明は、プロセッサを有し、前記プロセッサは、通信に使用する端末を操作するユーザのセキュリティ上の信用度と、通信先のウェブサイトに関するセキュリティ上の脅威度を取得し、前記信用度と前記脅威度の組み合わせに応じたセキュリティポリシーにより、前記ユーザによる前記ウェブサイトとの通信を制御する、情報処理装置である。

請求項１記載の発明によれば、ウェブサイトの安全度を判定した結果に応じて生成したセキュリティポリシーにより通信を一律に制御する場合に比して、業務上の支障を低減できる。
請求項２記載の発明によれば、管理上の単位で通信を制御できる。
請求項３記載の発明によれば、個人の通信を、個人の信用度とウェブサイトの脅威度に応じて制御できる。
請求項４記載の発明によれば、個人の通信を、グループの信用度とウェブサイトの脅威度に応じて制御できる。
請求項５記載の発明によれば、個人の通信を、職務上の役職の信用度とウェブサイトの脅威度に応じて制御できる。
請求項６記載の発明によれば、個人の通信を、接続するＬＡＮの信用度とウェブサイトの脅威度に応じて制御できる。
請求項７記載の発明によれば、個人の通信を、ウェブサイトの分類別に設定したユーザの信用度とウェブサイトの脅威度に応じて制御できる。
請求項８記載の発明によれば、信用度と脅威度の組み合わせが同じでも項目毎に異なる制御を実現できる。
請求項９記載の発明によれば、信用度と脅威度の組み合わせが同じでも通信先のウェブサイトの違いに応じた制御を実現できる。
請求項１０記載の発明によれば、信用度と脅威度の組み合わせが同じでも通信先のウェブサイトのデータを登録する際に使用する通信方式の違いに応じた制御を実現できる。
請求項１１記載の発明によれば、信用度と脅威度の組み合わせが同じでも通信先のウェブサイトに対するアクションの違いに応じた制御を実現できる。
請求項１２記載の発明によれば、ユーザ毎に収集された情報により信用度の精度を高めることができる。
請求項１３記載の発明によれば、定期的な信用度の評価が困難な場合には、一時的に通信の安全性を高めることができる。
請求項１４記載の発明によれば、ウェブサイトの安全度を判定した結果に応じて生成したセキュリティポリシーにより通信を一律に制御する場合に比して、業務上の支障を低減できる。

実施の形態１で想定するネットワークシステムの構成例を説明する図である。 信用度算出装置のハードウェア構成の一例を説明する図である。 信用度算出装置の機能構成の一例を説明する図である。 ユーザＤＢのデータ例を説明する図である。 訓練メールテンプレートＤＢのデータ例を説明する図である。 訓練ＩＤの指定例を説明する図である。（Ａ）は全てのカテゴリで訓練レベルが共通する例を示し、（Ｂ）は訓練メールのカテゴリ毎に訓練レベルを指定する例を示す。 訓練結果ＤＢのデータ例を説明する図である。（Ａ）はユーザと訓練結果とを紐付けたテーブルであり、（Ｂ）は訓練結果の詳細データである。 ユーザＡについての信用度の算出の流れを説明する図である。（Ａ）は信用度の算出に使用する訓練結果の期間を示し、（Ｂ）はユーザＡの訓練結果を示し、（Ｃ）は算出された信用度の例を示す。 遮断ポリシー装置のハードウェア構成の一例を説明する図である。 遮断ポリシー装置の機能構成の一例を説明する図である。 脅威度学習装置と学習済みモデルの関係を説明する図である。（Ａ）は脅威度学習装置の構成例であり、（Ｂ）は学習済みモデルを内蔵するドメイン脅威度判定部の構成例である。 脅威度の例を説明する図である。 信用度別閾値テーブルのデータ例を説明する図である。（Ａ）は信用度と脅威度に応じたセキュリティポリシーの関係を示し、（Ｂ）は通信が許可される例を示し、（Ｃ）は通信が遮断される例を示す。 セキュリティ訓練部による訓練処理の一例を説明するフローチャートである。 セキュリティ訓練部による信用度の算出又は更新処理の一例を説明するフローチャートである。 遮断ポリシー装置による通信の制御例を説明するフローチャートである。 実施の形態２で使用する信用度の更新の手法を説明するフローチャートである。 役職単位で通信の制御に用いる信用度を管理する例を説明する図である。 ユーザが操作する端末が接続するＬＡＮ単位で通信の制御に用いる信用度を管理する例を説明する図である。 カテゴリ別にユーザの信用度を管理する例を説明する図である。 ユーザの属するグループ単位の信用度を管理する例を説明する図である。 ウェブサイトのカテゴリ別に用意する信用度別閾値テーブルの一例を説明する図である。（Ａ）はショッピングサイト用の信用度別閾値テーブルを示し、（Ｂ）はゲームサイト用の信用度別閾値テーブルを示す。 入力データの引き渡し方法の違いに応じて異なる信用度別閾値テーブルを用意する例を説明する図である。（Ａ）はＰＯＳＴ用の信用度別閾値テーブルを示し、（Ｂ）はＧＥＴ用の信用度別閾値テーブルを示す。 通信先のウェブサイトへのアクションの違いに応じて異なる信用度別閾値テーブルを用意する例を説明する図である。（Ａ）はログイン用の信用度別閾値テーブルを示し、（Ｂ）は投稿用の信用度別閾値テーブルを示す。

以下、図面を参照して、本発明の実施の形態を説明する。
＜実施の形態１＞
＜システム例＞
図１は、実施の形態１で想定するネットワークシステム１の構成例を説明する図である。

図１に示すネットワークシステム１は、インターネット１０と、ウェブサーバ２０Ａ、２０Ｂ及び２０Ｃと、事業者側のＬＡＮ（＝Local Area Network）システム３０とで構成されている。
もっとも、ウェブサーバ２０Ａ、２０Ｂ及び２０ＣとＬＡＮシステム３０との間で実行される通信に、４Ｇや５Ｇ等の移動通信システムを使用してもよい。

以下では、複数のウェブサーバ２０Ａ、２０Ｂ及び２０Ｃを区別しない場合、ウェブサーバ２０という。
図１では、説明の都合上、ＬＡＮシステム３０を１つのみ表しているが、実際のネットワークシステム１には、複数のＬＡＮシステム３０が接続されている。

本実施の形態の場合、複数のウェブサーバ２０Ａ、２０Ｂ及び２０Ｃは、それぞれ異なる事業者により運用される。例えばウェブサーバ２０Ａは事業者Ａにより運用され、ウェブサーバ２０Ｂは事業者Ｂにより運用され、ウェブサーバ２０Ｃは事業者Ｃにより運用される。
もっとも、単一の事業者が複数のウェブサーバ２０を運用してもよい。ここでの事業者は、法人に限らず、自然人である個人も含まれる。
ただし、ウェブサーバ２０の運用者は、事業者に限らず、悪意を有する個人が運用する可能性もある。

図１では、ウェブサーバ２０Ａが提供するウェブサイトを「ウェブサイトＡ」と表記し、ウェブサーバ２０Ｂが提供するウェブサイトを「ウェブサイトＢ」と表記し、ウェブサーバ２０Ｃが提供するウェブサイトを「ウェブサイトＣ」と表記する。
ここでのウェブサイトは、１又は複数のページの集合である。従って、ウェブサーバ２０にアクセスしたユーザは、１又は複数のページの閲覧が可能である。

ところで、ウェブサイトの閲覧に伴うセキュリティ上の脅威の度合い（以下「脅威度」という）は同じではない。
図１の例では、説明の都合上、ウェブサイトＡの脅威度が低く、ウェブサイトＢの脅威度が中程度であり、ウェブサイトＣの脅威度は高い場合を想定している。
本実施形態における「脅威度」は、ウェブページへのアクセスに関するセキュリティ上の安全の度合い（以下「安全度」ともいう）と反対の関係にある。

例えば脅威度が低いウェブサイトＡは、図１に示す３つのウェブサイトのうち安全度が最も高く、脅威度が高いウェブサイトＣは、図１に示す３つのウェブサイトのうち安全度が最も低い。
脅威度が高いウェブサイトには、例えばリンクスパムへの感染やマルウェアへの感染の可能性があるウェブサイト、詐欺サイト、不審なサイトがある。

ＬＡＮシステム３０は、ＬＡＮ３１と、ユーザが操作する端末３２と、ユーザのセキュリティに関する信用の度合い（以下「信用度」という）を算出する信用度算出装置３３と、通信の実行者であるユーザの信用度と通信先であるウェブサイトの脅威度とに基づいて通信を制御する遮断ポリシー装置３４とを有している。
図１には、ユーザＡが操作する端末３２Ａと、ユーザＢが操作する端末３２Ｂと、ユーザＣが操作する端末３２Ｃが配置されている。
説明の都合上、ユーザＡの信用度は高く、ユーザＢの信用度は中程度であり、ユーザＣの信用度は低い。

ここでの信用度の高低は、ユーザ毎に収集されるセキュリティの意識（以下「セキュリティ意識」という）の高低を意味する。
ユーザ毎の信用度は、例えば攻撃型メールを模倣した無害なメール（以下「訓練メール」という）に対する対処又は対応の結果の履歴に応じて算出される。訓練メールを用いる訓練は、攻撃型メールへの対応力を身につけるための訓練（以下「セキュリティ訓練」という）の一例である。

本実施の形態の場合、訓練メールとして、無害化された標的型のマルウェアを含むファイルが添付されるメールと、無害な訓練用のウェブサイトのＵＲＬ（＝Uniform Resource Locator）へのリンクを含むメールの両方又は一方を使用する。本実施の形態では、前者を添付ファイル型の訓練メールと呼び、後者をＵＲＬ型の訓練メールと呼ぶ。
添付ファイル型の訓練メールの場合、ユーザの対処又は対応には、訓練メールを「開かない」、「開いた」、「開いたが管理者等に報告した」がある。一方、リンク型の場合、ユーザの対処又は対応には、リンク先に「アクセスしなかった」、「アクセスした」、「アクセスしたが管理者等に報告した」がある。

添付ファイル型の訓練メールに添付されたファイルには、訓練の対象であるユーザに紐付けられたキーが仕込まれている。また、同ファイルには、自己の開封を、信用度算出装置３３に報告する機能が設けられている。このため、開封の報告を受信した信用度算出装置３３は、開封者であるユーザの特定が可能である。
一方、ＵＲＬ型の訓練メールの場合、リンク先のＵＲＬには、例えば訓練の対象であるユーザに紐付けられたアクセスキーが含まれている。

リンク先のＵＲＬは、例えば「http://xxxxxxxx/assecc-key-id」の形式で記述される。この例の場合、「assecc-key-id」の部分がアクセスキーである。
もっとも、プロキシ認証を使用する場合、リンク先のＵＲＬにアクセスキーを含めない運用も可能である。この場合、プロキシサーバのアクセスログを通じ、訓練用のウェブサイトにアクセスしたユーザの情報を収集する。

信用度算出装置３３は、訓練メールに対する対処又は対応の結果の履歴に基づいて、予め定めた管理上の単位で信用度を算出する。管理上の最小単位は、個人である。もっとも、管理上の単位には、グループ、職務上の役職、ユーザが操作する端末３２が接続される特定のＬＡＮを使用することも可能である。

グループには、例えば取締役会、部、課、室、局、班、チームがある。信用度の単位に「グループ」を用いる場合、グループを構成するメンバーについて個別に算出された信用度を用いて算出される値を使用する。この値には、例えばメンバー毎に算出された信用度の平均値、最小値、最大値を用いてもよい。もっとも、グループ毎に個別に管理上の値を、管理者が設定してもよい。

職務上の役職には、例えば取締役、役員、執行役、責任者、部長、グループ長、サブグループ長、社員、アルバイト、派遣、インターンがある。
信用度の単位に「役職」を用いる場合、役職を構成するメンバーについて個別に算出された信用度を用いて算出される値を使用する。この値には、例えばメンバー毎に算出された信用度の平均値、最小値、最大値を用いてもよい。もっとも、役職毎に個別に管理上の値を、管理者が設定してもよい。

ユーザが操作する端末３２が接続する特定のＬＡＮの例には、例えば特定のフロア、特定の部屋に敷設されたネットワークの他、ルータで管理されるネットワークがある。
信用度の単位に「ＬＡＮ」を用いる場合、管理の対象であるネットワークに接続される端末３２を使用するユーザ毎に算出された信用度の平均値、最小値、最大値を用いてもよい。もっとも、ＬＡＮ毎に個別に管理上の値を、管理者が設定してもよい。

この他、ユーザの信用度は、ユーザに関する過去の通信の履歴により算出してもよいし、ユーザについて過去に実施したセキュリティに関する意識の高低を問うテスト（以下「セキュリティテスト」という）の結果に応じて算出してもよい。
なお、算出された信用度が複数存在する場合、複数の信用度を用いて、総合的な信用度を再計算してもよい。この際、算出された時刻が現在時刻に近いほど重みを大きくし、総合的な信用度を再計算してもよい。

なお、重みの割当は、信用度の算出に用いたイベントが発生した時刻から現在時刻までの経過した時間について線形ではなく非線形でもよい。具体的には、経過時間が長くなるほど、重みを非線形に小さくしてもよい。
ユーザの信用度は、例示した複数の情報の組み合わせにより与えてもよい。その際、複数の情報には重みを付してもよい。例えば訓練メールに対する対処又は対応の結果に基づいて算出された信用度とセキュリティテストの結果に基づいて算出された信用度の重みを、通信の履歴に基づいて算出された信用度よりも重くしてもよい。
本実施の形態では、信用度の単位として、最小単位であるユーザを使用する。

遮断ポリシー装置３４は、端末３２を操作するユーザのセキュリティ上の信用度と、通信先であるウェブサイトの脅威度との組み合わせに応じたセキュリティ上のポリシー（以下「セキュリティポリシー」という）により、各ユーザによる特定のウェブサイトとの通信の可否を制御する。すなわち、通信の可否は、ユーザの信用度だけでもなく、通信先のウェブサイトの脅威度だけでもなく、ユーザの信用度と通信先のウェブサイトの脅威度との組み合わせに基づいて決定される。従って、信用度が低いユーザでも、安全性の高いウェブサイトの閲覧等は許可される。

ただし、信用度が低いユーザによる閲覧等が許可されるウェブサイトの範囲は、信用度が高いユーザによる閲覧等が許可されるウェブサイトの範囲に比して狭くなる。
閲覧等が許可されないウェブサイトとの通信は遮断される。
ここで、ウェブサイトの脅威度は、遮断ポリシー装置３４が生成してもよいし、外部の装置から取得してもよい。本実施の形態では、いずれの場合も「脅威度」を取得するという。

＜ハードウェア構成＞
＜信用度算出装置の構成＞
図２は、信用度算出装置３３のハードウェア構成の一例を説明する図である。
図２に示す信用度算出装置３３は、制御ユニット３３１と、ハードディスク装置３３２と、通信モジュール３３３とを有している。ここでの制御ユニット３３１は、いわゆるコンピュータである。この他、信用度算出装置３３には、ディスプレイ、キーボード、マウスが接続されてもよい。

制御ユニット３３１は、プロセッサ３３１Ａと、ＲＯＭ３３１Ｂと、ＲＡＭ３３１Ｃとを有している。
プロセッサ３３１Ａは、例えばＣＰＵで構成される。プロセッサ３３１Ａは、プログラムの実行を通じて各種の機能を実現する。
ＲＯＭ３３１Ｂには、ＢＩＯＳ等が記憶される。また、主記憶装置であるＲＡＭ３３１Ｃは、プログラムの作業領域として使用される。

ハードディスク装置３３２は、補助記憶装置であり、オペレーションシステムやアプリケーションプログラムを記憶する。以下では、オペレーションシステム等を、単に「プログラム」ともいう。
本実施の形態の場合、ハードディスク装置３３２には、信用度を算出するプログラムが記憶されている。
本実施の形態では、ハードディスク装置３３２を使用するが、ハードディスク装置３３２に代えて半導体メモリを使用してもよい。
通信モジュール３３３は、外部との通信に使用されるデバイスであり、有線通信用のデバイスでも、無線通信用のデバイスでもよい。

図３は、信用度算出装置３３（図１参照）の機能構成の一例を説明する図である。
図３に示す機能構成は、制御ユニット３３１によるプログラムの実行を通じて実現される。
本実施の形態における制御ユニット３３１は、訓練メールを用いた訓練を実行するセキュリティ訓練部３３１１と、訓練の結果を用いてセキュリティ意識に対するユーザの信用度を更新するセキュリティ信用度更新部３３１２として機能する。

セキュリティ訓練部３３１１は、訓練メールの送信に際し、ユーザＤＢ（＝DataBase）３５からユーザのメールアドレスを取得し、訓練メールテンプレートＤＢ３６から訓練メールのテンプレートを取得する。
訓練メールには、添付ファイル型とＵＲＬ型の２種類があり、そのいずれかが、訓練の対象であるユーザに対して送信される。いずれの種類の訓練メールを送信するかは、事前にスケジュールしてもよいし、送信の都度、ランダムに決定してもよい。

図４は、ユーザＤＢ３５のデータ例を説明する図である。ユーザＤＢ３５には、ＬＡＮシステム３０（図１参照）に接続される端末３２（図１参照）を操作する全てのユーザの情報が記憶されている。
図４には、ユーザＤＢ３５に記憶されている情報のうちユーザＡのデータ例を示している。図４の場合、ユーザＡについては、メールアドレス、ＩＰアドレス、ＭＡＣアドレス、アカウント、年齢、役職、所属グループ、操作する端末３２が接続しているＬＡＮ（以下「接続ＬＡＮ」という）が記憶されている。
もっとも、本実施の形態の場合、信用度の読み出しに使用するメールアドレスが記憶されていればよい。

図５は、訓練メールテンプレートＤＢ３６のデータ例を説明する図である。訓練メールテンプレートＤＢ３６には、複数のテンプレートが記憶されている。図５の場合、複数のテンプレートは、訓練レベル１～５に対応している。訓練レベルの違いは、要求されるセキュリティ意識のレベルの違いに対応する。

例えば訓練レベル１は、要求されるセキュリティ意識が最も低く、反対に訓練レベル５は、要求されるセキュリティ意識が最も高い。セキュリティ意識が高いユーザほど、開封やリンク先へのアクセスによりマルウェアに感染するリスクが少なく、セキュリティ意識が低いユーザほど、開封やリンク先へのアクセスによりマルウェアに感染するリスクが多い。
なお、訓練テンプレートは、１つの訓練レベルに対して１つに限らず、複数用意されてもよい。例えば訓練レベル１に対して、複数のテンプレートが用意されてもよい。

また、訓練レベルは５段階に限らない。例えば３段階でも１０段階でもよい。
また、送信される訓練メールの文面は、別途指定されるカテゴリに応じてカスタマイズされることが望ましい。本実施の形態の場合、カテゴリとして、ショッピング、メディア共有、ゲーム、ＳＮＳ、テクノロジー、ビジネスを想定する。
ここでのカテゴリは、通信先のウェブサイトが属する分類の一例である。

図５に示す訓練テンプレートは、送信元、訓練テーマ、訓練ＩＤ、件名、本文、ＵＲＬタイプ、添付ファイルタイプ等の項目で構成される。
送信元のメールアドレスは、訓練メールの送信元として表示される。なお、ＵＲＬタイプと添付ファイルタイプには、それぞれ「０」又は「１」の値が用いられる。「０」は対応する機能を使用しないことを意味し、「１」は対応する機能を使用することを意味する。少なくとも一方は「１」である。なお、ＵＲＬタイプと添付ファイルタイプの両方が「１」でもよい。

図３の説明に戻る。
セキュリティ訓練部３３１１は、テンプレートに従って生成された訓練メールを訓練の対象であるユーザに送信する。具体的には、訓練の対象であるユーザのメールアドレスに宛てて、訓練メールが送信される。
訓練メールの送信時、セキュリティ訓練部３３１１は、管理者が指定する訓練ＩＤやランダムに指定される訓練ＩＤに対応する訓練テンプレートを用い、訓練メールを生成する。

図６は、訓練ＩＤの指定例を説明する図である。（Ａ）は全てのカテゴリで訓練レベルが共通する例を示し、（Ｂ）は訓練メールのカテゴリ毎に訓練レベルを指定する例を示す。
図６（Ｂ）の場合、ゲームとＳＮＳ（＝Social networking service）は訓練レベル１、ショッピングは訓練レベル２、メディア共有は訓練レベル３、ビジネスは訓練レベル４、テクノロジーは訓練レベル５である。

なお、図６に示す例は、送信する訓練メールのカテゴリに応じて訓練レベルを指定しているが、ユーザとカテゴリの組み合わせ毎に訓練レベルを指定してもよい。同じユーザでも全てのカテゴリでセキュリティ意識が同じとは限らないためである。ユーザのカテゴリ別のセキュリティ意識の違いを訓練メールに反映することにより、訓練の効果を高めることが可能になる。

セキュリティ訓練部３３１１には、２つのＡＰＩ（＝Application Programming Interface）が設けられている。一方は、訓練メールに添付されていたファイルの開封や訓練メールに記載されたＵＲＬへのアクセスの通知を受けるためのＡＰＩ１であり、他方は、セキュリティ事故の報告を受け取るためのＡＰＩ２である。

セキュリティ訓練部３３１１は、開封や事故の報告を受け付けた場合、各事象の発生を訓練結果ＤＢ３７に登録する。
図７は、訓練結果ＤＢ３７のデータ例を説明する図である。（Ａ）はユーザと訓練結果とを紐付けたテーブルであり、（Ｂ）は訓練結果の詳細データである。
訓練結果ＤＢ３７には、ユーザに紐づけて、訓練メールを送信した日付、時刻、訓練ＩＤ、開封の有無、事故報告の有無が記録される。図７の場合、開封の欄の「１」は開封があったことを意味し、事故報告の欄の「０」はユーザからセキュリティ事故の報告がなかったことを意味する。

図３の説明に戻る。
セキュリティ信用度更新部３３１２は、訓練結果ＤＢ３７を参照し、ユーザ毎の信用度を定期的に算出し、信用度ＤＢ３８に登録する。本実施の形態の場合、算出された信用度は、ユーザによる外部のウェブサイトとの通信を許可するか否かの判定に使用される。
信用度の算出に使用する期間は、例えば初期値として与えられる。例えば１月単位、３ヶ月単、６ヶ月単位で与えられる。もっとも、システムの管理者が自由に指定することも可能である。

セキュリティ信用度更新部３３１２は、指定された期間内にユーザに対して送付された訓練メールの数、開封された数、事故報告の数を計数し、ユーザ毎の信用度を算出する。
具体的には、セキュリティ信用度更新部３３１２は、添付ファイルを開いたユーザやセキュリティ事故を報告しなかったユーザの信用度として低い数値を算出する。信用度の算出には、予め定めた計算式等を使用する。

信用度の算出には、訓練メール毎の訓練レベル、訓練の結果どうしの新旧、訓練メールの送信時刻と現在時刻との近さ、事故報告漏れを考慮してもよい。また、これらの情報に重みを付けて信用度を算出してもよい。
例えば訓練メールの開封を報告しなかった事例が直近に多いほど、又は、セキュリティ事故となった訓練レベルの重要度が高いほど、信用度の数値やレベルが下がる計算式や規則を適用する。

なお、ユーザの年齢等の情報を加味して信用度を算出してもよい。その場合、例えば年齢が若いほど重みを重くし、年齢が高いほど重みを軽くしてもよいし、反対に、年齢が若いほど重みを軽くし、年齢が高いほど重みを重くしてもよい。

図８は、ユーザＡについての信用度の算出の流れを説明する図である。（Ａ）は信用度の算出に使用する訓練結果の期間を示し、（Ｂ）はユーザＡの訓練結果を示し、（Ｃ）は算出された信用度の例を示す。
図８の場合、信用度の算出に使用する期間は、２０２１年の３月から５月の３ヶ月であり、ユーザＡのメールアドレスは、「ｘｘｘ＠ＡＢＣＤ．ｃｏｍ」である。このメールアドレスに紐付けられている送信数は１０件、そのうちで開封されたのは２回、事故報告は１回である。すなわち、開封された２回のうちの１回はユーザＡからの報告が記録されていない。このため、信用度は「６０」と算出されている。なお、本実施の形態における信用度は、０～１００までの数値として与えられる。

＜遮断ポリシー装置の構成＞
図９は、遮断ポリシー装置３４のハードウェア構成の一例を説明する図である。
図９に示す遮断ポリシー装置３４は、制御ユニット３４１と、ハードディスク装置３４２と、通信モジュール３４３とを有している。ここでの制御ユニット３４１は、いわゆるコンピュータである。この他、遮断ポリシー装置３４には、ディスプレイ、キーボード、マウスが接続されてもよい。
遮断ポリシー装置３４は、情報処理装置の一例である。

制御ユニット３４１は、プロセッサ３４１Ａと、ＲＯＭ３４１Ｂと、ＲＡＭ３４１Ｃとを有している。
プロセッサ３４１Ａは、例えばＣＰＵで構成される。プロセッサ３４１Ａは、プログラムの実行を通じて各種の機能を実現する。
ＲＯＭ３４１Ｂには、ＢＩＯＳ等が記憶される。また、主記憶装置であるＲＡＭ３４１Ｃは、プログラムの作業領域として使用される。

ハードディスク装置３４２は、補助記憶装置であり、オペレーションシステムやアプリケーションプログラムを記憶する。
本実施の形態の場合、ハードディスク装置３４２には、ユーザ毎に外部のウェブサイトとの通信の可否を制御するアプリケーションプログラムが記憶されている。
本実施の形態では、ハードディスク装置３４２を使用するが、ハードディスク装置３４２に代えて半導体メモリを使用してもよい。
通信モジュール３４３は、外部との通信に使用されるデバイスであり、有線通信用のデバイスでも、無線通信用のデバイスでもよい。

図１０は、遮断ポリシー装置３４（図１参照）の機能構成の一例を説明する図である。
図１０に示す機能構成は、制御ユニット３４１によるプログラムの実行を通じて実現される。
本実施の形態における制御ユニット３４１は、インターネット１０との通信を監視する通信監視部３４１１と、通信の実行者であるユーザを特定するユーザ特定部３４１２と、特定されたユーザの信用度を取得する信用度取得部３４１３と、通信先であるウェブサイトのドメインの脅威度を判定するドメイン脅威度判定部３４１４と、ユーザの信用度とドメインの脅威度との組み合わせに応じて通信の可否を決定する通信可否決定部３４１５と、通信データの通過又は遮断の制御を実行する通信遮断部３４１６として機能する。

通信監視部３４１１は、インターネット１０との通信データを監視し、ＩＰ（＝Internet Protocol）アドレス等をユーザ特定部３４１２に与える。また、通信監視部３４１１は、通信データから通信先であるウェブサイトのドメイン、ＦＱＤＮ（＝Fully Qualified Domain Name）、ＵＲＬ等（以下「ドメイン等」という）を取得し、ドメイン脅威度判定部３４１４に与える。
また、通信監視部３４１１は、通信先であるウェブサイトから受信した通信データを通信遮断部３４１６に与える。

ユーザ特定部３４１２は、通信監視部３４１１から与えられたＩＰアドレス等によりユーザＤＢ３５を参照し、対応するメールアドレスを取得する。ここでのメールアドレスは、ユーザに紐付けられている信用度の読み出しに使用される。従って、信用度の読み出しが可能であれば、ユーザＤＢ３５から読み出す情報は、メールアドレスに限らない。例えばメールアドレスに代えて、アカウント、ＭＡＣアドレスをユーザＤＢ３５から読み出してもよい。なお、ＩＰアドレスからユーザの特定が可能な場合、ユーザ特定部３４１２は不要である。

信用度取得部３４１３は、ユーザ特定部３４１２から与えられるメールアドレスを用い、信用度ＤＢ３８から通信を実行しているユーザの信用度を取得する。信用度取得部３４１３は、取得された信用度を通信可否決定部３４１５に与える。ここでの信用度は、前述した信用度算出装置３３（図１参照）により算出され、信用度ＤＢ３８に登録されている。

ドメイン脅威度判定部３４１４は、通信監視部３４１１から与えられたドメイン等に基づいてウェブサイトの脅威度を通信可否決定部３４１５に与える。
本実施の形態で使用するドメイン脅威度判定部３４１４は、ドメイン等と脅威度の関係を学習した学習済みモデルに対する入力として「ドメイン等」の情報を与え、出力として「脅威度」を出力する。
学習済みモデルの生成は、遮断ポリシー装置３４（図１参照）の機能の一部として実行してもよいし、ＬＡＮ３１（図１参照）に接続された専用の装置の機能として実行してもよいし、インターネット１０（図１参照）に接続された専用の装置の機能として実行してもよい。

図１１は、脅威度学習装置３４１７と学習済みモデル３４１８の関係を説明する図である。（Ａ）は脅威度学習装置３４１７の構成例であり、（Ｂ）は学習済みモデル３４１８を内蔵するドメイン脅威度判定部３４１４の構成例である。
図１１に示す脅威度学習装置３４１７は、いわゆる人工知能であり、深層学習や機械学習等により、ドメイン等と脅威度との関係を学習する。学習により生成されるモデルが学習済みモデル３４１８である。

本実施の形態では、教師データとして、脅威が確認されたＦＱＤＮのリストと安全が確認されたＦＱＤＮのリストを与える。脅威度学習装置３４１７は、入力されたＦＱＤＮをＩＰアドレス、国情報、ネットネームに展開して学習し、接続先の脅威度を与える数値を算出する。本実施の形態の場合、脅威度は、０以上１以下の数値として算出される。
本実施の形態におけるドメイン脅威度判定部３４１４は、この学習済みモデル３４１８を用いて、入力されたドメイン等に対応する脅威度を出力する。
もっとも、ドメイン脅威度判定部３４１４は、学習済みモデル３４１８を有する外部の装置にドメインを与え、対応する脅威度を取得してもよい。

図１２は、脅威度の例を説明する図である。図１２に示すテーブルは、脅威度の範囲、ドメイン等、脅威度、脅威の種類及びカテゴリの例等である。
図１２の場合、脅威度が「０．９９５～１．０」に含まれるドメインは「download．drp．su」のみである。脅威の種類はマルウェアであり、カテゴリはインフォメーションテクノロジーである。
また、脅威度が「０．９９～０．９９５」に含まれるドメインは「yamabito．main．jp」のみである。脅威の種類はフィッシングであり、カテゴリは不法なフィッシングである。

また、脅威度が「０．９５～０．９９」に含まれるドメインは４つである。図１２の場合、いずれも脅威の種類はマルウェアである。カテゴリは、ショッピング、メディア共有、インフォメーションテクノロジーである。
また、脅威度が「０．９～０．９５」に含まれるドメインは３つである。図１２の場合、脅威の種類はマルウェアとフィッシングであり、カテゴリはアダルトとメディア共有である。

図１０の説明に戻る。
通信可否決定部３４１５は、制御の対象である通信に対して信用度と脅威度を受け取ると、信用度別閾値テーブル３９を参照して通信の可否を決定する。
図１３は、信用度別閾値テーブル３９のデータ例を説明する図である。（Ａ）は信用度と脅威度に応じたセキュリティポリシーの関係を示し、（Ｂ）は通信が許可される例を示し、（Ｃ）は通信が遮断される例を示す。ここでの信用度別閾値テーブル３９は、セキュリティポリシーの一例である。

図１３の例では、信用度が「０～５０」のユーザは、脅威度が０．８５未満のドメインとの通信は許可されるが、０．８５以上のドメインとの通信は遮断される。
また、信用度が「５０～６０」のユーザは、脅威度が０．９未満のドメインとの通信は許可されるが、０．９以上のドメインとの通信は遮断される。
また、信用度が「６０～７０」のユーザは、脅威度が０．９５未満のドメインとの通信は許可されるが、０．９５以上のドメインとの通信は遮断される。

また、信用度が「７０～８０」のユーザは、脅威度が０．９９未満のドメインとの通信は許可されるが、０．９９以上のドメインとの通信は遮断される。
また、信用度が「８０～９０」のユーザは、脅威度が０．９９５未満のドメインとの通信は許可されるが、０．９９５以上のドメインとの通信は遮断される。
また、信用度が「９０～１００」のユーザは、脅威度が０．９９９未満のドメインとの通信は許可されるが、０．９９９以上のドメインとの通信は遮断される。

従って、信用度「５７」のユーザによる脅威度「０．８５」のドメインとの通信は許可され、信用度「５７」のユーザによる脅威度「０．９６」のドメインとの通信は遮断される。
すなわち、通信可否決定部３４１５は、信用度が高いユーザのグレーサイトへのアクセスを許可する一方、信用度が低いユーザのグレーサイトへのアクセスを遮断する。

図１０の説明に戻る。
通信遮断部３４１６は、通信可否決定部３４１５から通知される許可又は遮断の情報に基づいて、ユーザが操作する端末３２への通信データの送信を許可又は遮断する。
結果的に、ユーザは、自身の信用度との関係で許可される脅威度のウェブサイトの閲覧や通信が許可されるが、自身の信用度との関係では許容されない脅威度のウェブサイトの閲覧や通信が遮断される。
なお、通信の制御は、ウェブサイトから端末３２への通信データだけでなく、端末３２からウェブサイトへの通信データに対しても実行される。

＜処理動作＞
以下では、ＬＡＮシステム３０（図１参照）を構成する信用度算出装置３３（図１参照）と遮断ポリシー装置３４（図１参照）による処理動作について説明する。

＜訓練の実行及び信用度の算出＞
図１４及び図１５を用いて信用度算出装置３３による信用度の算出及び更新について説明する。
図１４は、セキュリティ訓練部３３１１（図３参照）による訓練処理の一例を説明するフローチャートである。図１４に示す処理動作は、セキュリティ訓練部３３１１の制御ユニット３３１（図２参照）によるプログラムの実行により実現される。なお、図中に示す記号のＳはステップを意味する。

予めスケジュールされた訓練のタイミングが到来すると、制御ユニット３３１は、訓練の対象であるユーザのメールアドレスの一覧をユーザＤＢ３５（図１０参照）から取得する（ステップ１）。訓練の対象とするユーザは、訓練のたびに異なってもよい。訓練のたびに訓練メールを送信するユーザが異なる場合、訓練メールの送信先となるユーザの名簿が用意される。また、訓練の担当者が特定のメールアドレスを指定してもよい。

次に、制御ユニット３３１は、訓練レベルを設定する（ステップ２）。訓練レベルは、訓練の担当者や管理者により指定してもよいし、プログラムによりランダムに指定してもよい。訓練レベルは、訓練の対象である全てのユーザに対して共通でもよいし、ユーザ毎に異なってもよい。
訓練レベルが設定されると、制御ユニット３３１は、対応する訓練テンプレートを取得する（ステップ３）。

次に、制御ユニット３３１は、訓練テンプレートを加工して訓練メールを生成し（ステップ４）、生成された訓練メールを訓練の対象であるユーザに送信する（ステップ５）。
この後、制御ユニット３３１は、ユーザが添付ファイルを開封又は訓練用のＵＲＬにアクセスしたか否かを判定する（ステップ６）。この判定は、訓練の対象である全てのユーザについて実行される。
ステップ６で肯定結果が得られると、制御ユニット３３１は、ユーザが事故を報告したか否かを判定する（ステップ７）。

ステップ７でも肯定結果が得られると、制御ユニット３３１は、訓練結果ＤＢ３７に開封と報告を記録する（ステップ８）。この記録は、該当するユーザの全員について実行される。また、訓練結果ＤＢ３７には、訓練メールの送信の日時や訓練レベルの特定が可能な情報も記録される。
因みに、ステップ６で否定結果が得られた場合、制御ユニット３３１は、訓練結果ＤＢ３７に未開封を記録する（ステップ９）。
また、ステップ７で否定結果が得られた場合、制御ユニット３３１は、訓練結果ＤＢ３７に開封と未報告を記録する（ステップ１０）。

図１５は、セキュリティ訓練部３３１１（図３参照）による信用度の算出又は更新処理の一例を説明するフローチャートである。図１５に示す処理動作も、セキュリティ訓練部３３１１の制御ユニット３３１（図２参照）によるプログラムの実行により実現される。
信用度を算出するタイミングが到来すると、制御ユニット３３１は、信用度を算出するユーザのメールアドレスと期間を指定する（ステップ１１）。信用度を算出するユーザの範囲は、毎回異なってもよい。信用度を算出するユーザの範囲が算出回毎に異なる場合、算出回毎にユーザの名簿が用意される。また、訓練の担当者が信用度を算出するユーザを指定してもよい。

次に、制御ユニット３３１は、項目別に出現数をカウントする（ステップ１２）。ここでのカウントは、ユーザ毎に実行される。なお、カウントの対象である項目は、該当する期間内に送付された訓練メールの送付数、開封数、事故の報告数である。
出現数のカウントが終了すると、制御ユニット３３１は、ユーザの信用度を算出する（ステップ１３）。

信用度は、重み付けにより算出してもよい。例えば訓練レベルの違いにより重みを付してもよい。また、カテゴリの違いにより重みをつけてもよい。また、訓練日の直近度合いに応じて重みを付してもよい。また、ユーザの年齢に応じて重みを付してもよい。
信用度が算出されると、制御ユニット３３１は、信用度ＤＢ３８（図３参照）を更新する（ステップ１４）。
以上の処理動作を通じ、ユーザの信用度が定期的に更新される。

＜通信の制御＞
図１６は、遮断ポリシー装置３４による通信の制御例を説明するフローチャートである。
図１６に示す処理動作は、制御ユニット３４１（図９参照）によるプログラムの実行により実現される。
図１６に示す処理動作は、端末３２（図１参照）と外部のウェブサーバ２０との通信毎に実行される。

制御ユニット３４１は、通信を実行するユーザの信用度と通信先のウェブサイトの脅威度を取得する（ステップ２１）。なお、制御ユニット３４１は、通信を実行するユーザを、通信データの宛先である端末３２のＩＰアドレス等により特定する。また、制御ユニット３４１は、ユーザの信用度を、信用度ＤＢ３８（図１０参照）から取得する。また、制御ユニット３４１は、ウェブサイトの脅威度を通信データの送信元であるウェブサイトのドメイン等により取得する。

次に、制御ユニット３４１は、信用度別閾値テーブル３９（図１０参照）を参照して通信の可否を決定する（ステップ２２）。本実施の形態の場合、通信の可否は、ユーザの信用度と通信先であるウェブサイトの脅威度とに応じて決定される。
続いて、制御ユニット３４１は、通信を許可するか否かを判定する（ステップ２３）。
ステップ２３で肯定結果が得られた場合、制御ユニット３４１は、対象とする端末３２（図１０参照）に通信データを通過させる（ステップ２４）。
一方、ステップ２３で否定結果が得られた場合、制御ユニット３４１は、対象とする端末３２への通信データを遮断する（ステップ２５）。

すなわち、本実施の形態では、ユーザの信用度と通信先であるウェブサイトの脅威度の組み合わせに応じて通信が制御される。このため、セキュリティに関する業務に従事するセキュリティ意識が高いユーザが、業務上の必要性から、脅威度の高いウェブサイトにアクセスしたい場合でも、該当するウェブサイトへのアクセスが可能となる。換言すると、信用度の範囲内であれば、セキュリティに関する業務に従事するユーザは、信用度が低いユーザよりも多くのウェブサイトに自由にアクセス可能になる。これにより、業務上の支障が低減される。
一方で、信用度が低いユーザは、自身の信用度の範囲内でしかウェブサイトへのアクセスが許容されない。このため、信用度が低いユーザを通じてマルウェアがＬＡＮシステム３０に侵入する危険性が低減される。

＜実施の形態２＞
本実施の形態では、前回の訓練から経過した時間が長いユーザの信用度を更新する他の手法について説明する。
前述した実施の形態１の場合にも、ステップ１３（図１５参照）における重み付けとして訓練日の直近の度合いを用いてユーザの信用度を算出する。このため、経過時間が長いほど、訓練の結果に対する重みは小さくなる。すなわち、相対的に新しい訓練の結果が、信用度に反映され易くなる。

一方で、最後の訓練日からの経過時間が長くなると、重みによる調整だけでは、算出された信用度がユーザの現在の信用度を正確に反映しない可能性が高くなる。
それでも、ユーザの現在時刻における信用度に変動がなければ、前回算出された信用度をそのまま使用しても通信を制御することに何らの問題はない。
しかし、セキュリティ意識が仮に低下していた場合、前回算出された信用度をそのまま使用したのでは、現在のユーザには脅威度が高いウェブサイトへのアクセスが許容されることになってしまう。

そこで、本実施の形態では、ユーザが参加したセキュリティ訓練からの経過時間に応じて信用度を更新する場合について説明する。
図１７は、実施の形態２で使用する信用度の更新の手法を説明するフローチャートである。
図１７に示す処理動作は、制御ユニット３３１（図２参照）がプログラムの実行を通じて実現する。

制御ユニット３３１は、新たな通信が検出されたタイミングで、ユーザが参加した前回のセキュリティ訓練からの経過時間を取得する（ステップ３１）。
次に、制御ユニット３３１は、経過時間が閾値を超過するか否かを判定する（ステップ３２）。閾値は、セキュリティ訓練の担当者や管理者が指定する。例えば３ヶ月や６ヶ月に設定する。もっとも、閾値は、１ヶ月でもよい。
ステップ３２で否定結果が得られた場合、信用度の使用に問題はない。そこで、制御ユニット３３１は、そのまま処理を終了する。

一方、ステップ３２で肯定結果が得られた場合、制御ユニット３３１は、超過が確認されたユーザの信用度の数値を低下させる（ステップ３３）。信用度の数値を低下させることで、現在のユーザには事故が生じる可能性があるウェブサイトへのアクセスが遮断され易くなる。換言すると通信の安全性を高める方向にセキュリティポリシーが変化される。

なお、数値の低下の幅は固定値でもよいし、経過時間に応じて可変してもよい。例えば経過時間が長いほど、低下の幅を大きくしてもよい。
因みに、ユーザの真の信用度との関係で問題があるウェブサイトへのアクセスを遮断することが目的であるので、低下の幅は、信用度別閾値テーブル３９（図１０参照）の刻み幅よりも大きくすることが望ましい。

本実施の形態で説明する処理動作は、基本的に、実施の形態１で説明した信用度の算出処理とは独立に実行されるが、ステップ１３（図１５参照）で算出された信用度の補正に用いてもよい。
また、本実施の形態では、ステップ３１において、ユーザが参加したセキュリティ訓練からの経過時間を取得しているが、出向や休暇等のために長期に通信がなかったユーザについては最後の通信からの経過時間を取得してもよい。また、訓練メールではなく、最後のセキュリティテストからの経過時間を取得してもよい。

また、これら３種類の経過時間の１つだけを取得するのではなく、３種類の経過時間を全て取得し、いずれか１つでも閾値を超えた場合には、信用度の数値を低下させてもよい。
なお、本実施の形態では、信用度の数値を低下させているが、信用度別閾値テーブル３９（図１０参照）に応じて、ユーザの現在の信用度が属する区分よりも下の区分に切り替えてもよい。

＜実施の形態３＞
本実施の形態では、通信の実行者であるユーザと予め定めた関係が認められる単位について設定されている信用度を用いて、脅威度が異なるウェブサイトへのアクセスを制御する場合について説明する。
事業者によっては、ユーザ単位とは別の単位で、脅威度が異なるウェブサイトへのアクセスを管理したい場合がある。

図１８は、役職単位で通信の制御に用いる信用度を管理する例を説明する図である。
図１８では、役職の例として、取締役、執行役員、部長、グループ長、サブグループ長、その他の社員、「アルバイト、派遣、インターン」等を例示している。
図１８の場合、役職が上位であるほど、高い信用度が機械的に割り振られている。この設定例は、役職が上位であるほど、アクセスの自由度が高い例である。
もっとも、役職や職域単位で、対応するユーザの信用度の平均値等を算出し、算出された平均値を役職や職域の代表値として用いてもよい。

図１９は、ユーザが操作する端末３２が接続するＬＡＮ単位で通信の制御に用いる信用度を管理する例を説明する図である。
図１９の場合、管理の対象とするネットワークは３つであり、ＬＡＮ＿Ａの信用度は９５、ＬＡＮ＿Ｂの信用度は８０、ＬＡＮ＿Ｃの信用度は５５である。
この場合も、ＬＡＮ単位で、対応するユーザの信用度の平均値等を算出し、算出された平均値を各ＬＡＮの代表値として用いてもよい。

図２０は、カテゴリ別にユーザの信用度を管理する例を説明する図である。
図２０の場合、カテゴリの例として、ショッピング、メディア共有、ゲーム、ＳＮＳ、テクノロジー、ビジネスが示されており、それぞれについて、個別の信用度が記録されている。ここでの信用度も、セキュリティ訓練の結果等に基づいて算出される。
ユーザのセキュリティ意識は、カテゴリにより異なることがある。

例えば図２０の場合、メディア共有、ＳＮＳ、テクノロジー、ビジネスについては、セキュリティ意識が相対的に高いため、信用度も高い数値が設定されている。一方、ショッピングやゲームについては、セキュリティ意識が相対的に低いため、信用度も低い数値が設定されている。
カテゴリ単位で信用度が設定される場合、通信可否決定部３４１５（図１０参照）の機能として、例えばドメイン脅威度判定部３４１４（図１０参照）から通信先であるウェブサイトのカテゴリを表す情報を取得し、取得したカテゴリに対応する信用度を用いて通信の可否を制御する。

図２１は、ユーザの属するグループ単位の信用度を管理する例を説明する図である。
図２１の場合、役職ではなく、ユーザが属するグループを単位とする。ここでのグループには、例えば部、課、チーム等を想定する。
図２１の場合、グループＡの信用度は７５であり、グループＢの信用度は６０であり、グループＣの信用度は８０である。
この場合も、各グループに属するユーザについて算出された信用度の平均値等を算出し、算出された平均値をグループの代表値として用いてもよい。

＜実施の形態４＞
本実施の形態では、通信先であるウェブサイトのカテゴリ別に信用度別閾値テーブル３９（図１０参照）を用意する場合について説明する。
図２２は、ウェブサイトのカテゴリ別に用意する信用度別閾値テーブル３９の一例を説明する図である。（Ａ）はショッピングサイト用の信用度別閾値テーブル３９Ａを示し、（Ｂ）はゲームサイト用の信用度別閾値テーブル３９Ｂを示す。

図２２の場合、信用度の区切りの単位は同じであるが、脅威度に応じたセキュリティポリシーの内容が異なっている。
例えばショッピングサイト用の信用度別閾値テーブル３９Ａでは、信用度が「０～５０」のユーザは、脅威度が０．８５未満のドメインとの通信は許可されるが、０．８５以上のドメインとの通信は遮断される。

一方、ゲームサイト用の信用度別閾値テーブル３９Ｂでは、信用度が「０～５０」のユーザは、脅威度が０．７５未満のドメインとの通信は許可されるが、０．７５以上のドメインとの通信は遮断される。
すなわち、ユーザの信用度は同じでも、通信先のドメインのカテゴリに応じて通信の可否の結果が異なる。

なお、図２２に示す信用度別閾値テーブル３９Ａと信用度別閾値テーブル３９Ｂでは、脅威度に応じたセキュリティポリシーに対応付ける信用度の区切りが共通であるが、テーブル単位で信用度の区切りを変更してもよい。
また、図２２には例示していないが、他のカテゴリについても、それぞれ専用の信用度別閾値テーブル３９が用意される。

＜実施の形態５＞
本実施の形態では、通信先のドメインに対する端末３２（図１参照）からのリクエストの通信方式の違いに応じて異なる信用度別閾値テーブル３９（図１０参照）を用意する場合について説明する。
図２３は、入力データの引き渡し方法の違いに応じて異なる信用度別閾値テーブル３９を用意する例を説明する図である。（Ａ）はＰＯＳＴ用の信用度別閾値テーブル３９Ｃを示し、（Ｂ）はＧＥＴ用の信用度別閾値テーブル３９Ｄを示す。

ここで、ＰＯＳＴは、例えば入力された値をＵＲＬに含めないデータの登録に使用され、ＧＥＴは、例えば入力された値をＵＲＬに含めるデータの登録に使用される。
図２３の場合、信用度の区切りの単位は同じであるが、脅威度に応じたセキュリティポリシーの内容が異なっている。
例えばＰＯＳＴ用の信用度別閾値テーブル３９Ｃでは、信用度が「０～５０」のユーザは、脅威度が０．８５未満のドメインとの通信は許可されるが、０．８５以上のドメインとの通信は遮断される。

一方、ＧＥＴ用の信用度別閾値テーブル３９Ｄでは、信用度が「０～５０」のユーザは、脅威度が０．７５未満のドメインとの通信は許可されるが、０．７５以上のドメインとの通信は遮断される。
すなわち、ユーザの信用度は同じでも、入力データの引き渡し方式の違いに応じて通信の可否の結果が異なる。
なお、図２３の場合も、２つのテーブル間で脅威度に応じたセキュリティポリシーに対応付ける信用度の区切りが共通であるが、テーブル単位で信用度の区切りを変更してもよい。

図２４は、通信先のウェブサイトへのアクションの違いに応じて異なる信用度別閾値テーブル３９を用意する例を説明する図である。（Ａ）はログイン用の信用度別閾値テーブル３９Ｅを示し、（Ｂ）は投稿用の信用度別閾値テーブル３９Ｆを示す。
図２４の場合、信用度の区切りの単位は同じであるが、脅威度に応じたセキュリティポリシーの内容が異なっている。
例えばログイン用の信用度別閾値テーブル３９Ｅでは、信用度が「０～５０」のユーザは、脅威度が０．８５未満のドメインとの通信は許可されるが、０．８５以上のドメインとの通信は遮断される。

一方、投稿用の信用度別閾値テーブル３９Ｆでは、信用度が「０～５０」のユーザは、脅威度が０．７５未満のドメインとの通信は許可されるが、０．７５以上のドメインとの通信は遮断される。
すなわち、ユーザの信用度は同じでも、アクションの違いに応じて通信の可否の結果が異なる。
なお、図２４の場合も、２つのテーブル間で脅威度に応じたセキュリティポリシーに対応付ける信用度の区切りが共通であるが、テーブル単位で信用度の区切りを変更してもよい。
また、図２４では、アクションの例として、ログインと投稿を例示したが、他にアップロード、認証、メッセージの送信等がある。

＜他の実施の形態＞
（１）以上、本発明の実施の形態について説明したが、本発明の技術的範囲は前述した実施の形態に記載の範囲に限定されない。前述した実施の形態に、種々の変更又は改良を加えたものも、本発明の技術的範囲に含まれることは、特許請求の範囲の記載から明らかである。

（２）前述した実施の形態の場合、信用度を算出する信用度算出装置３３（図１参照）とセキュリティポリシーにより通信を制御する遮断ポリシー装置３４とを別に設けているが、単一の装置内に両方の機能を設けてもよい。

（３）前述した各実施の形態におけるプロセッサは、広義的な意味でのプロセッサを指し、汎用的なプロセッサ（例えばＣＰＵ等）の他、専用的なプロセッサ（例えばＧＰＵ（＝Graphical Processing Unit）、ＡＳＩＣ（＝Application Specific Integrated Circuit）、ＦＰＧＡ（＝Field Programmable Gate Array）、プログラム論理デバイス等）を含む。
また、前述した各実施の形態におけるプロセッサの動作は、１つのプロセッサが単独で実行してもよいが、物理的に離れた位置に存在する複数のプロセッサが協働して実行してもよい。また、プロセッサにおける各動作の実行の順番は、前述した各実施の形態に記載した順番のみに限定されるものでなく、個別に変更してもよい。

１…ネットワークシステム、１０…インターネット、２０、２０Ａ、２０Ｂ、２０Ｃ…ウェブサーバ、３０…ＬＡＮシステム、３１…ＬＡＮ、３２、３２Ａ、３２Ｂ、３２Ｃ…端末、３３…信用度算出装置、３４…遮断ポリシー装置、３９、３９Ａ、３９Ｂ、３９Ｃ、３９Ｄ、３９Ｅ、３９Ｆ…信用度別閾値テーブル、３３１、３４１…制御ユニット、３３１Ａ、３４１Ａ…プロセッサ、３３１１…セキュリティ訓練部、３３１２…セキュリティ信用度更新部、３４１１…通信監視部、３４１２…ユーザ特定部、３４１３…信用度取得部、３４１４…ドメイン脅威度判定部、３４１５…通信可否決定部、３４１６…通信遮断部、３４１７…脅威度学習装置、３４１８…学習済みモデル

Claims (14)

1. コンピュータに、
   通信に用いる端末を操作するユーザのセキュリティ上の信用度を取得する機能と、
   通信先のウェブサイトに関するセキュリティ上の脅威度を取得する機能と、
   前記信用度と前記脅威度の組み合わせに応じたセキュリティポリシーにより、前記ユーザによる前記ウェブサイトとの通信を制御する機能と、
   を実現させるためのプログラム。
2. 前記ユーザのセキュリティ上の信用度として、予め定めた管理上の単位の信用度を使用する、
   請求項１に記載のプログラム。
3. 前記管理上の単位が個人の場合、前記ユーザに対して設定された信用度を使用する、
   請求項２に記載のプログラム。
4. 前記管理上の単位がグループの場合、前記ユーザが属するグループに対して設定された信用度を使用する、
   請求項２に記載のプログラム。
5. 前記管理上の単位が職務上の役職の場合、前記ユーザの役職に対して設定された信用度を使用する、
   請求項２に記載のプログラム。
6. 前記管理上の単位がＬＡＮ（＝Local Area Network）の場合、前記ユーザが操作する前記端末が接続するＬＡＮに対して設定された信用度を使用する、
   請求項２に記載のプログラム。
7. 前記ユーザのセキュリティ上の信用度として、前記通信先のウェブサイトが属する分類別に設定された信用度を使用する、
   請求項１～６のいずれか１項に記載のプログラム。
8. 前記セキュリティポリシーは、予め定めた項目別に用意される、
   請求項１に記載のプログラム。
9. 前記項目は、前記ウェブサイトの分類である、
   請求項８に記載のプログラム。
10. 前記項目は、前記ウェブサイトにデータを登録する際に使用する通信方式である、
    請求項８に記載のプログラム。
11. 前記項目は、前記ウェブサイトに対するアクションである、
    請求項８に記載のプログラム。
12. 前記信用度は、前記ユーザが参加したセキュリティ訓練の結果、前記ユーザに関する過去の通信の履歴、前記ユーザについて過去に実施したセキュリティテストの結果の何れか１つ以上の要素を考慮して決まる、
    請求項１に記載のプログラム。
13. 予め定められた期間に前記要素の更新がなかった場合、通信の制御に使用する前記セキュリティポリシーを、通信の安全性を高める方向に変化させる、
    請求項１２に記載のプログラム。
14. プロセッサを有し、
    前記プロセッサは、
    通信に使用する端末を操作するユーザのセキュリティ上の信用度と、通信先のウェブサイトに関するセキュリティ上の脅威度を取得し、
    前記信用度と前記脅威度の組み合わせに応じたセキュリティポリシーにより、前記ユーザによる前記ウェブサイトとの通信を制御する、
    情報処理装置。

Images