JP2023054869A - 情報処理システム - Google Patents

Abstract

【課題】従業員によるクラウドサービスを利用した不正行為の検知を支援する技術を提供する。【解決手段】不正検知装置２２は、クラウドサービスを利用するユーザ端末１２のセキュリティを維持するための複数種類のセキュリティサービス（例えば端末管理装置１６、ＣＡＳＢ装置１８、ＩＤＭ装置２０等）において記録された複数のログを取得する。不正検知装置２２は、取得した複数のログに記録されたユーザ端末１２に関する情報に基づいて、ユーザが不正な操作を行った可能性を検知する。【選択図】図１

Description

本開示は、データ処理技術に関し、特に情報処理システムに関する。

従来、企業の情報セキュリティ対策は、ファイアウォール等を用いた境界防衛が主であった。また、不正アクセスの有無は、主に、社内に設置されたファイルサーバやアプリケーションサーバ等のログを確認することにより判断されていた（例えば、特許文献１参照）。

特開２０１８－１２１２１８号公報

現在、企業の業務を支援する様々な情報処理サービスがインターネット上のサービス（以下「クラウドサービス」とも呼ぶ。）として提供されている。新型コロナウイルス感染症（ＣＯＶＩＤ－１９）の流行前は、クラウドサービスへのアクセスは主に社内ＬＡＮ経由で行われていた。

一方、ＣＯＶＩＤ－１９の流行後はリモートワークが増加し、従業員の自宅ＬＡＮから所定のセキュリティサービスを経由しつつ社内ＬＡＮを経由せずにクラウドサービスにアクセスすることが増加している。このような状況下、クラウドサービスを利用した従業員の不正行為を検知するための新たな仕組みが求められている。

本開示は、このような状況に鑑みなされたものであり、１つの目的は、従業員によるクラウドサービスを利用した不正行為の検知を支援する技術を提供することにある。

上記課題を解決するために、本開示のある態様の情報処理システムは、インターネット上のサービスを利用するユーザの端末のセキュリティを維持するための複数種類のセキュリティサービスにおいて記録された複数のログを取得するログ取得部と、複数のログに記録されたユーザの端末に関する情報に基づいて、ユーザが不正な操作を行った可能性を検知する検知部とを備える。

なお、以上の構成要素の任意の組合せ、本開示の表現を、装置、方法、コンピュータプログラム、コンピュータプログラムを格納した記録媒体などの間で変換したものもまた、本開示の態様として有効である。

本開示の技術によれば、従業員によるクラウドサービスを利用した不正行為の検知を支援することができる。

第１実施例における情報処理システムの構成を示す図である。 図１の不正検知装置の機能ブロックを示すブロック図である。 セキュリティサービスログの例を示す図である。 第１実施例におけるユーザ属性情報の項目を示す図である。 制限基準データの例を示す図である。 ダッシュボード画面の例を示す図である。 ダッシュボード画面の例を示す図である。 第２実施例におけるユーザ属性情報の項目を示す図である。 第２実施例における警告情報の例を示す図である。

本開示における装置または方法の主体は、コンピュータを備えている。このコンピュータがコンピュータプログラムを実行することによって、本開示における装置または方法の主体の機能が実現される。コンピュータは、コンピュータプログラムにしたがって動作するプロセッサを主なハードウェア構成として備える。プロセッサは、コンピュータプログラムを実行することによって機能を実現することができれば、その種類は問わない。プロセッサは、半導体集積回路（ＩＣ、ＬＳＩ等）を含む１つまたは複数の電子回路で構成される。コンピュータプログラムは、コンピュータが読み取り可能なＲＯＭ、光ディスク、ハードディスクドライブなどの非一時的な記録媒体に記録される。コンピュータプログラムは、記録媒体に予め格納されていてもよいし、インターネット等を含む広域通信網を介して記録媒体に供給されてもよい。

実施例では、所定の団体（以下、企業とする）における情報セキュリティの維持を支援する技術であり、特に、企業の従業員によるクラウドサービスを利用した不正行為の検知を支援する技術を提案する。具体的には、実施例の情報処理システムは、クラウドサービスを利用するユーザ端末のセキュリティを維持するための複数種類のセキュリティサービスにおいて記録された複数のログを収集する。そして、それら複数のログに亘って各ユーザに関する情報を横断的に見ることにより、各ユーザが不正な操作を行った可能性を精度よく検知する。

複数種類のセキュリティサービスは、ＣＡＳＢ（Cloud Access Security Broker）、ＩＤＭ（IDentity Management）、ＥＤＲ／ＵＥＭ（Endpoint Detection and Response／Unified Endpoint Management）を含む。ＣＡＳＢは、インターネットやクラウドサービスへのユーザのアクセスを管理および代行するサービスである。ＩＤＭは、ユーザの認証、クラウドサービスとのＩＤ連携、およびシングルサインオン（ＳＳＯ）を行うサービスである。ＥＤＲ／ＵＥＭは、ユーザが使用する情報端末の管理および保護を行うサービスである。

＜第１実施例＞
図１は、第１実施例における情報処理システム１０の構成を示す。情報処理システム１０は、複数のユーザ端末１２、複数のクラウドサービス１４、端末管理装置１６、ＣＡＳＢ装置１８、ＩＤＭ装置２０、不正検知装置２２、管理者端末２４を備える。情報処理システム１０の各構成要素は、ＬＡＮ・ＷＡＮ・インターネット等を含む通信網を介して接続される。

複数のユーザ端末１２は、或る企業に所属する複数の従業員（以下「ユーザ」と呼ぶ。）により操作される情報端末である。複数のユーザ端末１２は、異なるユーザにより操作されるユーザ端末１２ａ、ユーザ端末１２ｂ、ユーザ端末１２ｃを含む。複数のユーザ端末１２のそれぞれは、企業のオフィスに設置されてもよく、オフィス以外の様々なワーキングスペース（ユーザの自宅等）に設置されてもよい。また、複数のユーザ端末１２のそれぞれは、ＰＣ、スマートフォン、タブレット端末等であってもよい。

複数のクラウドサービス１４は、不図示のサーバがＳａａＳ（Software as a Service）として提供するインターネット上のサービス（コンテンツとも言える）であり、典型的には、企業の業務を支援する情報処理サービスである。複数のクラウドサービス１４は、クラウドストレージサービス１４ａ（言い換えればオンラインストレージサービス）、コラボレーションサービス１４ｂ（例えばチャット、ウェブ会議等）、ワークフローサービス１４ｃ（例えば申請・承認支援サービス等）を含む。

複数のクラウドサービス１４のそれぞれは、ユーザ端末１２からのアクセスに関する情報を記録したログ（以下「ＳａａＳログ」とも呼ぶ。）を生成する。例えば、クラウドストレージサービス１４ａにおいて生成されるＳａａＳログは、複数のユーザ端末１２（もしくはユーザ）のそれぞれに対応付けて記録された、クラウドストレージに対する各ユーザの操作を示す情報や、クラウドストレージからダウンロードされたファイルに関する情報を含む。

端末管理装置１６は、ユーザ端末１２を管理および保護するためのＥＤＲ／ＵＥＭ機能を提供する情報処理装置である。端末管理装置１６は、公知のＥＤＲ製品である「ＣＲＯＷＤＳＴＲＩＫＥ（商標または登録商標）」を実行することにより、ＥＤＲ／ＵＥＭ機能を発揮してもよい。端末管理装置１６は、ユーザ端末１２の操作に関する情報を記録したログ（以下「ＥＤＲログ」とも呼ぶ。）を生成する。ＥＤＲログは、複数のユーザ端末１２（もしくはユーザ）のそれぞれに対応付けて記録された、各ユーザ端末１２に入力された操作を示す情報を含む。

ＣＡＳＢ装置１８は、ユーザ端末１２からクラウドサービス１４へのアクセスを管理および代行するＣＡＳＢ機能を提供する情報処理装置である。ＣＡＳＢ装置１８は、通信管理装置とも言える。ＣＡＳＢ装置１８は、公知のＣＡＳＢ製品である「ｎｅｔｓｋｏｐｅ（商標または登録商標）」を実行することにより、ＣＡＳＢ機能を発揮してもよい。ＣＡＳＢ装置１８は、ユーザ端末１２の通信に関する情報を記録したログ（以下「ＣＡＳＢログ」とも呼ぶ。）を生成する。ＣＡＳＢログは、複数のユーザ端末１２（もしくはユーザ）のそれぞれに対応付けて記録された、各ユーザ端末１２がアクセスしたクラウドサービスを示す情報や、クラウドサービスと送受されたデータ量を示す情報を含む。

ＩＤＭ装置２０は、ＩＤＭ機能を提供する情報処理装置であり、ＩＤ管理装置とも言える。ＩＤＭ装置２０は、ユーザの認証および各種サービスへのＳＳＯ処理を実行する。ＩＤＭ装置２０は、公知のＩＤＭ製品である「Ａｚｕｒｅ Ａｃｔｉｖｅ Ｄｉｒｅｃｔｏｒｙ（商標または登録商標）」を実行することにより、ＩＤＭ機能を発揮してもよい。ＩＤＭ装置２０は、ユーザ端末１２のＩＤ使用に関するログ（以下「ＩＤＭログ」とも呼ぶ。）を生成する。ＩＤＭログは、複数のユーザ端末１２（もしくはユーザ）のそれぞれに対応付けて記録された、ユーザ認証の時刻および成否を示す情報や、ＳＳＯによるログイン先を示す情報を含む。

不正検知装置２２は、複数のユーザの中から不正な操作（内部不正とも言える）を行った可能性のあるユーザを検知する情報処理装置である。不正検知装置２２の詳細な構成は後述する。

管理者端末２４は、企業の管理者（典型的にはユーザが所属する部署の上司）により操作される情報端末である。後述するように、不正検知装置２２は、企業におけるクラウドサービスの利用状況を示す管理情報を生成し、その管理情報を含むダッシュボード画面を管理者端末２４に提供する。

図２は、図１の不正検知装置２２の機能ブロックを示すブロック図である。本明細書のブロック図で示す各ブロックは、ハードウェア的には、コンピュータのプロセッサ（ＣＰＵ等）、メモリをはじめとする素子や電子回路、機械装置で実現でき、ソフトウェア的にはコンピュータプログラム等によって実現されるが、ここでは、それらの連携によって実現される機能ブロックを描いている。したがって、これらの機能ブロックはハードウェア、ソフトウェアの組合せによっていろいろなかたちで実現できることは、当業者には理解されるところである。

不正検知装置２２は、制御部３０、記憶部３２、通信部３４を備える。制御部３０は、各種データ処理を実行する。記憶部３２は、制御部３０により参照または更新されるデータを記憶する。通信部３４は、所定の通信プロトコルにしたがって外部装置と通信する。例えば、制御部３０は、通信部３４を介して、クラウドサービス１４、端末管理装置１６、ＣＡＳＢ装置１８、ＩＤＭ装置２０、管理者端末２４とデータを送受信する。

記憶部３２は、ログ記憶部３６、ユーザ属性記憶部３８、管理情報記憶部４０、制限基準記憶部４２を含む。ログ記憶部３６は、複数種類のセキュリティサービスにおいて記録された複数のログを記憶する。ログ記憶部３６に記憶される複数のログは、デバイスのログ（実施例ではＥＤＲログ）、ネットワークのログ（実施例ではＣＡＳＢログ）、ＩＤのログ（実施例ではＩＤＭログ）、コンテンツのログ（実施例ではＳａａＳログ）を含む。

ＥＤＲログ、ＣＡＳＢログ、ＩＤＭログ、ＳａａＳログは、いずれも非定型のテキストデータであり、総称して「セキュリティサービスログ」とも呼ぶ。図３は、セキュリティサービスログの例を示す。セキュリティサービスログは、複数のログデータ間で名寄せする（すなわち各ユーザのレコードを識別する）ための第１キーと、データ量の計算やエラー抽出に使用する第２キーを含む。第１キーは、例えば、ユーザＩＤ、ホスト名またはＩＰアドレスであってもよい。第２キーは、例えば、操作情報、リクエストタイプまたはエラーコードであってもよい。図３のキーワード６２は第１キーであり、図３のキーワード６０は第２キーである。

ユーザ属性記憶部３８は、複数のユーザのそれぞれに関する属性情報（以下「ユーザ属性情報」とも呼ぶ。）を記憶する。図４は、第１実施例におけるユーザ属性情報の項目を示す。第１実施例におけるユーザ属性情報は、ユーザＩＤ（認証用のＩＤ）、（ユーザ端末１２の）ホスト名、（ユーザ端末１２の）ＩＰアドレス、ユーザが所属する部署名（例えば営業部、開発部、企画部等）を含む。

管理情報記憶部４０は、後述の管理情報生成部４８により生成された、企業におけるクラウドサービスの利用状況を示す管理情報を記憶する。制限基準記憶部４２は、ユーザ端末１２によるクラウドサービスの利用を制限する基準となるデータ（以下「制限基準データ」とも呼ぶ。）を記憶する。図５は、制限基準データの例を示す。制限基準データは、閾値を含む条件と、その条件が満たされた場合のアクション（言い換えれば制限の内容）とを対応付けたデータである。

制御部３０は、ログ取得部４４、不正検知部４６、管理情報生成部４８、ダッシュボード提供部５０、利用制限部５２を含む。これら複数の機能ブロックの機能が実装されたコンピュータプログラムが不正検知装置２２のストレージ（記憶部３２等）にインストールされてもよい。制御部３０は、不正検知装置２２のプロセッサ（ＣＰＵ等）により実現されてもよい。不正検知装置２２のプロセッサは、上記コンピュータプログラムをメインメモリに読み出して実行することにより、これら複数の機能ブロックの機能を発揮してもよい。なお、図２に示す複数の機能ブロックの機能は、１台のコンピュータに実装されてもよく、複数台のコンピュータに分散して実装されてもよい。

ログ取得部４４は、複数種類のセキュリティサービスにおいて記録された複数のセキュリティサービスログのデータを定期的に（例えば１日１回）取得する。ログ取得部４４は、複数種類のセキュリティサービスから取得した複数のセキュリティサービスログのデータをログ記憶部３６に格納する。

不正検知部４６は、ログ記憶部３６に記憶された複数のセキュリティサービスログに記録された、各ユーザ端末１２に関する情報または各ユーザに関する情報に基づいて、複数のユーザのそれぞれが不正な操作を行った可能性を検知する。言い換えれば、不正検知部４６は、複数のユーザの中から不正な操作を行った可能性のあるユーザを検知する。

管理情報生成部４８は、企業における部署単位、および、不正検知部４６により検知された不正な操作を行った可能性のあるユーザ単位にクラウドサービスの利用状況を示す管理情報を生成する。管理情報生成部４８は、生成した管理情報を管理情報記憶部４０に格納する。

ダッシュボード提供部５０は、管理情報記憶部４０に記憶された管理情報を含むダッシュボード画面のデータを管理者端末２４へ送信することによりダッシュボード画面を管理者に提供する。

利用制限部５２は、複数種類のセキュリティサービスの少なくとも１つと連携して、不正検知部４６により検知された不正な操作を行った可能性のあるユーザ（もしくはユーザ端末１２）によるクラウドサービスの利用を制限する。

以上の構成による情報処理システム１０の動作を説明する。
まず、ユーザがクラウドサービスを利用する際の動作を説明する。ユーザは、オフィスや自宅等に設置されたユーザ端末１２（ここではユーザ端末１２ａとする）を用いてクラウドサービス１４を利用する。ユーザ端末１２ａは、ユーザの操作に応じて、クラウドサービス１４と通信する。ＣＡＳＢ装置１８は、ユーザ端末１２ａとクラウドサービス１４間での通信データを中継し、監視する。ＩＤＭ装置２０は、ユーザ端末１２ａから認証要求を受け付ける。ＩＤＭ装置２０は、ユーザの認証に成功すると、ＣＡＳＢ装置１８およびクラウドサービス１４へのＳＳＯ処理を実行する。

ＣＡＳＢ装置１８は、ユーザ端末１２ａとクラウドサービス１４との通信に関する情報を記録したＣＡＳＢログを生成する。ＩＤＭ装置２０は、ユーザ認証の成否や、クラウドサービス１４へのログイン状況等を記録したＩＤＭログを生成する。端末管理装置１６は、ユーザ端末１２ａに予め導入されたＥＤＲ／ＵＥＭエージェントと通信して、ユーザ端末１２ａに入力されたユーザ操作を検出する。端末管理装置１６は、ユーザ端末１２ａに入力されたユーザ操作を記録したＥＤＲログを生成する。他のユーザが他のユーザ端末１２（例えばユーザ端末１２ｂまたはユーザ端末１２ｃ）を用いてクラウドサービス１４を利用する場合の動作も同様である。

次に、不正検知装置２２の動作を説明する。不正検知装置２２のログ取得部４４は、端末管理装置１６からＥＤＲログを取得し、ＣＡＳＢ装置１８からＣＡＳＢログを取得し、ＩＤＭ装置２０からＩＤＭログを取得し、クラウドサービス１４からＳａａＳログを取得する。ログ取得部４４は、これら複数種類のログをログ記憶部３６に格納する。

不正検知装置２２の不正検知部４６は、ログ記憶部３６に記憶された複数種類のログに基づいて、企業に所属する複数のユーザのそれぞれが不正な操作（内部不正とも言える）を行った可能性を検知する。不正検知部４６は、ユーザの数だけ、以下の処理を繰り返し実行する。以下では、不正な操作を行った可能性を検知する対象のユーザを「対象ユーザ」と呼び、また、不正な操作を行った可能性があるユーザを「疑義ユーザ」と呼ぶ。

不正検知部４６は、ユーザ属性記憶部３８に記憶された対象ユーザの識別情報（例えばユーザＩＤ、ホスト名、ＩＰアドレス等）を用いて、対象ユーザの操作を特定する。具体的には、不正検知部４６は、ＥＤＲログ、ＣＡＳＢログ、ＩＤＭログ、ＳａａＳログのそれぞれに記録された、予め定められた期間（例えば直近１か月）における対象ユーザ（もしくは対象ユーザのユーザ端末１２）に関する情報を、図３で説明した第１キー（すなわち対象ユーザの識別情報）を用いて抽出する。不正検知部４６は、抽出した対象ユーザに関する情報と、図３で説明した第２キー（例えば「ダウンロード」等のキーワード）とに基づいて、上記期間における対象ユーザの操作内容を検知する。対象ユーザの操作内容は、クラウドサービス１４の利用状況とも言える。

不正検知部４６は、上記期間における対象ユーザの操作内容であり、複数種類のログに亘る対象ユーザの操作内容の組み合わせが所定の条件を満たす場合、対象ユーザを疑義ユーザとして判定する。

例えば、不正検知部４６は、複数種類のログから、対象ユーザの操作内容として以下のことを検知してもよい、
（１）ＣＡＳＢログまたはＳａａＳログから、所定期間（例えば直近１か月等）におけるクラウドストレージサービス１４ａからのダウンロード量が所定の閾値以上であることを検知する。
（２）ＣＡＳＢログから、許可されていないクラウドストレージサービスへアクセスしたことを検知する。
（３）ＥＤＲログから、所定期間内に対象ユーザのユーザ端末１２にＵＳＢメモリが接続されたことを検知する。
（４）ＥＤＲログから、所定期間内に対象ユーザのユーザ端末１２でｚｉｐファイルが作成されたことを検知する。
（５）ＩＤＭログから、対象ユーザのユーザ端末１２以外のユーザ端末１２からの要求に基づき対象ユーザの認証（例えばＩＤ・パスワード認証）が行われたことを検知する。

上記（１）～（５）の中で所定の組み合わせが成立した場合、不正検知部４６は、対象ユーザを疑義ユーザとして判定してもよい。この組み合わせは、例えば、（１）と（３）であってもよく、（１）と（４）であってもよく、（２）と（５）であってもよい。

上記では、検知条件の例として、（１）、（２）、（３）、（４）、（５）を示したが、変形例として、他の種類のログを用いる検知条件を設定してもよい。また、各部署の管理職に一から検知条件を設定させることは使い勝手が良いとは言えない。そのため、予め定められた候補としての複数の検知条件を指定可能に表示する設定画面を各部署の管理者端末２４に提供し、各部署の管理職が自己の部署の特性や部下の職制を踏まえ、不正を検知可能な検知条件を選択して指定可能な構成であってもよい。また、複数の検知条件を選択可能に一覧表示した場合に、これまでの実績として実際に不正検知につながった件数又は不正内容情報を関連付けて表示させてもよい。さらに、情報セキュリティ部門又は会社として、各部署の管理職に必ずモニタリングして欲しい検知条件に関しては必須の検知条件とする構成（例えば選択の解除を不可とした画面構成）であってもよい。

単一サービスのログからの検知内容（例えば上記（１）～（５）の単体）は、それほど疑わしいものではなく、また、業務上必要な操作であった可能性もある。第１実施例の不正検知装置２２によると、複数種類のセキュリティサービスにおいて記録されたユーザの情報を組み合わせることで、不正な操作を行った可能性があるユーザ（すなわち疑義ユーザ）を精度よく検知することができる。

例えば、クラウドストレージサービス１４ａからの機密情報の不正ダウンロードが複数日に亘って少しずつ行われたとしても、１か月等の期間内におけるダウンロードデータ量は大量になるため、検知の漏れを低減することができる。また、ダウンロードされた機密情報が、ＵＳＢメモリやメール、無許可のクラウドストレージ等に分けて格納された場合であっても、クラウドストレージサービス１４ａからの大量ダウンロードがあれば、当該ユーザに関するＥＤＲログを名寄せにより抽出することで、当該ユーザの不正行為を漏れなく検知することができる。

動作の説明に戻る。不正検知装置２２の管理情報生成部４８は、ログ記憶部３６に記憶された複数種類のログに基づいて、予め定められた集計期間（例えば直近７日間）における複数のユーザそれぞれのクラウドサービス１４の利用状況を集計する。また、管理情報生成部４８は、企業に設けられた複数の部署のそれぞれについて、各部署に所属する１人以上のユーザそれぞれのクラウドサービス１４の利用状況を集計する。管理情報生成部４８は、ユーザ単位の集計結果および部署単位の集計結果を含む管理情報のデータを管理情報記憶部４０に格納する。

クラウドサービス１４の利用状況は、集計期間における各種統計情報を含んでもよい。例えば、（１）クラウドストレージサービス１４ａからのダウンロード数（例えばダウンロードされたファイル数の合計値）、（２）クラウドストレージサービス１４ａからダウンロードされたデータサイズ（例えば複数のファイルの合計サイズ）、（３）クラウドストレージサービス１４ａにおいて集計されたリスクスコアやアラート数、（４）クラウドストレージサービス１４ａで実行された各アクションの回数、（５）ＣＡＳＢの利用履歴（例えば接続先のクラウドサービス１４の比率）、（６）ＩＤＭの利用履歴（例えばユーザ認証の成功回数と失敗回数）を含んでもよい。

不正検知装置２２のダッシュボード提供部５０は、管理者端末２４からの要求に応じて、管理情報記憶部４０に記憶された管理情報を設定したダッシュボード画面のデータを管理者端末２４へ送信する。管理者端末２４は、不正検知装置２２から提供されたダッシュボード画面を表示部に表示させる。ダッシュボード画面は、企業の各部署の管理者に提供され、各部署の情報セキュリティのセルフサービス化を支援する管理画面である。

図６と図７は、ダッシュボード画面の例を示す。図６は、第１のダッシュボード画面であるログサマリ画面７０を示している。ログサマリ画面７０は、直近７日間におけるクラウドストレージサービス１４ａからのダウンロード回数（部署単位およびユーザ単位）を示す。ログサマリ画面７０は、ダウンロード回数以外の統計情報を含んでもよく、例えば、直近７日間におけるクラウドストレージサービス１４ａからのダウンロードデータ量（部署単位およびユーザ単位）を示す情報を含んでもよい。ログサマリ画面７０は、問題行動を起こした可能性があるユーザを一覧で示すグレーリストとも言え、典型的には、不正検知部４６により検知された疑義ユーザが個人別ランキングの上位に並ぶ。

変形例として、管理情報生成部４８は、不正検知部４６により検知された疑義ユーザそれぞれのクラウドサービス１４の利用状況を集計してもよい。ダッシュボード提供部５０は、疑義ユーザそれぞれのクラウドサービス１４の利用状況（例えばダウンロード回数やダウンロードデータ量のランキング）のみを示す、疑義ユーザに特化した区画（ペイン）を含むダッシュボード画面のデータを管理者端末２４へ提供してもよい。

図７は、第２のダッシュボード画面であるログ詳細画面７２を示している。ログ詳細画面７２は、ログサマリ画面７０で選択されたユーザ（典型的には疑義ユーザ）について、直近７日間においてクラウドストレージサービス１４ａに入力された各アクション数と、クラウドストレージサービス１４ａからダウンロードされたデータサイズを示す。アクション数は、例えば、ダウンロード操作回数（実線のグラフ）、プレビュー操作回数（破線のグラフ）、コンテンツアクセス操作回数（一点鎖線のグラフ）を含む。不図示だが、ログ詳細画面７２は、ログサマリ画面７０で選択されたユーザに関するＣＡＳＢ利用履歴およびＩＤＭ利用履歴をさらに含んでもよい。

従来のシステムでは、セキュリティ部門の担当者が、ユーザの問題行動をチェックしていた。しかし、リモートワークが浸透し、またクラウドサービスの業務利用が普及した現在、チェック範囲が不特定の対象（多数のサーバやクラウドサービス）に拡大し、セキュリティ部門だけではチェックが量的に困難になっている。第１実施例の不正検知装置２２は、複数のセキュリティサービスログに基づく管理情報・ダッシュボードを各部署の管理者に提供することにより、各部署の管理者がユーザ（典型的には自部署の従業員）の問題行動をチェックできるよう支援できる。言い換えれば、各部署の情報セキュリティ対策のセルフサービス化を支援でき、各部署の状況に即した運用管理を支援できる。

動作の説明に戻る。不正検知部４６は、複数種類のセキュリティログをもとに検知した疑義ユーザの行為（例えば上記（１）～（５）の行為）を示す情報を利用制限部５２に渡す。利用制限部５２は、疑義ユーザの行為が、制限基準記憶部４２に記憶された制限基準データが示す条件を満たす場合、１つまたは複数のセキュリティサービスと連携して、制限基準データが示すアクションを実行する。

図５に示した制限基準データを用いた例を説明する。疑義ユーザの行為が、クラウドストレージサービス１４ａからのダウンロードデータ量が１週間で１４０Ｍバイト以上を満たす場合、利用制限部５２は、疑義ユーザのユーザ端末１２からクラウドストレージサービス１４ａへのアクセスを禁止（言い換えれば通信を遮断）するよう指示する制御データをＣＡＳＢ装置１８へ送信することにより、疑義ユーザによるクラウドストレージサービス１４ａの利用を停止させてもよい。別の方法として、利用制限部５２は、疑義ユーザの認証またはクラウドストレージサービス１４ａへの疑義ユーザのＳＳＯを禁止するよう指示する制御データをＩＤＭ装置２０へ送信することにより、疑義ユーザによるクラウドストレージサービス１４ａの利用を停止させてもよい。

また、疑義ユーザの行為が、電子メールでの送信データ量が１週間で１４０Ｍバイト以上を満たす場合、利用制限部５２は、疑義ユーザのユーザ端末１２から送信された、ファイル添付の電子メールの中継を保留するよう指示する制御データをＣＡＳＢ装置１８へ送信することにより、疑義ユーザによるファイル添付の電子メールの送信を保留させてもよい。第１実施例の不正検知装置２２によると、問題行動が疑われるユーザのシステム利用を自動的に制限することで、情報セキュリティ維持のためのシステム運用を効率化することができる。

以上、本開示を第１実施例をもとに説明した。第１実施例に記載の内容は例示であり、第１実施例の構成要素や処理プロセスの組合せにいろいろな変形例が可能なこと、またそうした変形例も本開示の範囲にあることは当業者に理解されるところである。

＜第２実施例＞
本開示の第２実施例について、第１実施例と相違する点を中心に説明し、共通する点の説明を省略する。第２実施例の特徴は、第１実施例の特徴および変形例の特徴と任意の組合せが可能であることはもちろんである。第２実施例の構成要素のうち第１実施例の構成要素と同一または対応する構成要素には適宜、同一の符号を付して説明する。

第２実施例における情報処理システム１０の構成、および、不正検知装置２２が備える機能ブロックは、第１実施例と同様である。

不正検知装置２２のユーザ属性記憶部３８は、複数のユーザのそれぞれが業務において利用するクラウドサービス１４の情報を含む各ユーザに関する属性情報を記憶する。図８は、第２実施例におけるユーザ属性情報の項目を示す。第２実施例のユーザ属性情報は、第１実施例のユーザ属性情報の項目に加えて、職種、異動情報、利用クラウドサービス、利用理由、使用デバイス、セキュリティ対策状況を含む。

項目「職種」には、業務内容を示すデータが設定され、例えば、業務内容ごとに分類された職務名が設定される。項目「異動情報」には、他組織への異動や退職等の人事異動を示すデータが設定される。異動情報は人事情報注意事項とも言える。これらの項目のデータは、企業の人事管理システム（不図示）から定期的に取得され、ユーザ属性記憶部３８に格納されてもよい。

項目「利用クラウドサービス」には、ユーザが業務において利用するクラウドサービス１４を示すデータが設定される。項目「利用理由」には、クラウドサービス１４を利用する理由が設定される。項目「使用デバイス」には、ユーザ端末１２の種類が設定される。項目「セキュリティ対策状況」には、ユーザ端末１２に導入されたアプリケーションのバージョンや、セキュリティパッチの適用日（または適用予定日）が設定される。これらの項目のデータは、複数のユーザに対して実施される定期的なアンケート（例えばコラボレーションソフトウェアのアンケート機能等）により収集され、ユーザ属性記憶部３８に格納されてもよい。

不正検知装置２２の不正検知部４６は、ユーザ属性記憶部３８に記憶された各ユーザの属性情報を加味して、複数のユーザの中から不正な操作を行った可能性のあるユーザ（疑義ユーザ）を検知する。例えば、不正検知部４６は、ＣＡＳＢログにおける或るユーザのレコードに、ユーザ属性情報に未登録のクラウドサービス１４を利用したことが記録されていた場合、当該ユーザを疑義ユーザとして検知する。

第２実施例におけるダッシュボード画面は、表示対象とするユーザ（例えば疑義ユーザ）の絞り込みが可能に構成される。例えば、ダッシュボード画面は、絞り込み条件として、職種、人事情報注意事項（異動情報）の有無、利用デバイスのうち１つまたは複数の指定が可能に構成されてもよい。不正検知装置２２のダッシュボード提供部５０は、ダッシュボード画面において絞り込み条件が指定された場合、各ユーザの属性情報を参照して、指定された絞り込み条件に適合するユーザの情報（クラウドサービス１４の利用状況等）に絞り込んだ新たなダッシュボード画面を設定して、新たなダッシュボード画面を管理者端末２４に表示させる。

ダッシュボード画面は、ダウンロード回数や通信データ量等を用いてユーザを順位付けし、問題行動が疑われるユーザの発見を支援するものだが、業務においてクラウドサービス１４を高頻度に利用する開発者が上位になりやすい。そのため、クラウドサービス１４の利用頻度は低いが問題行動を起こしたユーザを見逃してしまう可能性がある。第２実施例の不正検知装置２２によると、ダッシュボード画面に表示するユーザの抽出条件としてユーザ属性情報を用いることで、ダッシュボード画面が示すグレーリストの精度を高めることができる。

また、不正検知装置２２の管理情報生成部４８は、管理情報の１つとして、企業における部署ごとに疑義ユーザを示す警告情報を生成する。図９は、第２実施例における警告情報の例を示す。例えば、コラボレーション用アプリケーション「Ｔｅａｍｓ」を登録済の社員Ａは警告の対象外だが、当該アプリケーションを未登録の社員Ｂは、疑義ユーザとして検知され、警告対象となっている。これにより、ユーザ端末１２に様々なアプリケーションが導入され得る状況下においても情報セキュリティを担保しやすくなる。

以上、本開示を第２実施例をもとに説明した。第２実施例に記載の内容は例示であり、第２実施例の構成要素や処理プロセスの組合せにいろいろな変形例が可能なこと、またそうした変形例も本開示の範囲にあることは当業者に理解されるところである。

第１変形例を説明する。第１変形例は第２実施例に関する。不正検知部４６は、ユーザ属性情報に近日中の異動（例えば１～２か月以内の退職予定等）が記録されているユーザを要注意ユーザと判定してもよい。不正検知部４６は、要注意ユーザ以外の通常ユーザを疑義ユーザと判定する第１基準と、要注意ユーザを疑義ユーザと判定する第２基準の両方を記憶してもよい。不正検知部４６は、対象ユーザが通常ユーザであれば第１基準を満たす場合に疑義ユーザと判定し、対象ユーザが要注意ユーザであれば第２基準を満たす場合に疑義ユーザと判定してもよい。

第２基準は、第１基準よりも判定条件が緩くてもよく、すなわち、第１基準よりも疑義ユーザと判定し易い基準であってもよい。例えば、第１基準は、ＣＡＳＢログまたはＳａａＳログから、所定期間におけるクラウドストレージサービス１４ａからのダウンロード量が所定の閾値以上であることを検知し、かつ、ＥＤＲログから、所定期間内に対象ユーザのユーザ端末１２にＵＳＢメモリが接続されたことを検知したことでもよい。一方、第２基準は、ＣＡＳＢログまたはＳａａＳログから、所定期間（例えば直近１か月等）におけるクラウドストレージサービス１４ａからのダウンロード量が所定の閾値以上であることを検知したことでもよく、ＵＳＢメモリの接続有無は問わないことでもよい。

また、第１基準は、ＣＡＳＢログまたはＳａａＳログから、所定期間におけるクラウドストレージサービス１４ａからのダウンロード量が第１閾値（例えば１Ｇバイト）以上であることを検知し、かつ、ＥＤＲログから、所定期間内に対象ユーザのユーザ端末１２にＵＳＢメモリが接続されたことを検知することでもよい。一方、第２基準は、ＣＡＳＢログまたはＳａａＳログから、所定期間におけるクラウドストレージサービス１４ａからのダウンロード量が第１閾値より小さい第２閾値（例えば５１２Ｍバイト）以上であることを検知し、かつ、ＥＤＲログから、所定期間内に対象ユーザのユーザ端末１２にＵＳＢメモリが接続されたことを検知することでもよい。

第１変形例によると、異動が間近なユーザによる問題行動（例えば退職者による機密情報の不正持ち出し等）を検知しやすくなり、企業の情報セキュリティを一層高めることができる。

第１実施例と第２実施例の両方に適用可能な第２変形例を説明する。不正検知装置２２は、アラート通知部をさらに備えてもよい。アラート通知部は、不正検知部４６により疑義ユーザが検知された場合に、疑義ユーザに関する情報（属性情報やクラウドサービス１４の利用状況等）を含むアラート情報を企業のセキュリティ部門の端末へ送信してもよい。第２変形例によると、第１実施例と同様に、各部署の管理者により各部署の業務に合わせた運用監視を実現するとともに、セキュリティ部門の担当者により標準的なベースラインの運用監視を実現することができる。

上述した実施例および変形例の任意の組み合わせもまた本開示の実施の形態として有用である。組み合わせによって生じる新たな実施の形態は、組み合わされる実施例および変形例それぞれの効果をあわせもつ。また、請求項に記載の各構成要件が果たすべき機能は、実施例および変形例において示された各構成要素の単体もしくはそれらの連携によって実現されることも当業者には理解されるところである。

１０ 情報処理システム、 １２ ユーザ端末、 １４ クラウドサービス、 １６ 端末管理装置、 １８ ＣＡＳＢ装置、 ２０ ＩＤＭ装置、 ２２ 不正検知装置、 ２４ 管理者端末、 ３８ ユーザ属性記憶部、 ４４ ログ取得部、 ４６ 不正検知部、 ４８ 管理情報生成部、 ５２ 利用制限部。

Claims (4)

1. インターネット上のサービスを利用するユーザの端末のセキュリティを維持するための複数種類のセキュリティサービスにおいて記録された複数のログを取得するログ取得部と、
   前記複数のログに記録された前記ユーザの端末に関する情報に基づいて、前記ユーザが不正な操作を行った可能性を検知する検知部と、
   を備える情報処理システム。
2. 管理情報生成部をさらに備え、
   前記検知部は、所定の団体に所属する複数のユーザの中から不正な操作を行った可能性のあるユーザを検知し、
   前記管理情報生成部は、前記団体における部署単位、および、前記検知部により検知された不正な操作を行った可能性のあるユーザ単位に前記インターネット上のサービスの利用状況を示す管理情報を生成する、
   請求項１に記載の情報処理システム。
3. 前記複数種類のセキュリティサービスの少なくとも１つと連携して、前記検知部により検知された不正な操作を行った可能性のあるユーザの端末による前記インターネット上のサービスの利用を制限する利用制限部をさらに備える、
   請求項１または２に記載の情報処理システム。
4. 複数のユーザのそれぞれが業務において利用するインターネット上のサービスの情報を含む各ユーザに関する属性情報を記憶する記憶部をさらに備え、
   前記検知部は、前記各ユーザに関する属性情報を加味して、前記複数のユーザの中から不正な操作を行った可能性のあるユーザを検知する、
   請求項１から３のいずれかに記載の情報処理システム。

Images