JP5094487B2 - 情報漏洩検査装置及びコンピュータプログラム及び情報漏洩検査方法 - Google Patents

Description

この発明は、情報の漏洩を検査する情報漏洩検査装置に関する。

秘密情報の漏洩は、金額的、技術的な損失のみならず、社会的信用の失墜をも招く重大な事件である。内部犯罪による意図的な漏洩のみならず、コンピュータウイルスの感染による意図せざる情報漏洩事件も多発している。特に、高速ＩＰネットワークの普及に伴い、意図せざる情報漏洩事件は増加の一途にある。
情報が漏洩した場合、この事実を速やかに把握する必要がある。また漏洩元を特定すること、高い証拠能力を確保することが必要である。漏洩発生時の事実の特定のみならず、疑いが無実である際にも、無実であることをいかに証明するかもまた重要である。
このため、あとでネットワークの状況を再現して、漏洩元の特定などができるよう、ネットワークを流れるすべてのデータを保存しておく装置（ネットワークフォレンジック装置）がある。
ネットワークフォレンジック装置が保存するデータは、膨大であり、そのなかから目的とするデータを探し出す必要がある。
特に、パケット通信などの通信方式では、一つのデータを複数のパケットに分割して送信する。このため、従来は、分割されたパケットから元のデータを再構成し、再構成したデータと、漏洩したデータを比較することにより、漏洩元の特定などをしている。
特開２００４−１２８７３３号公報 特開２００４−１８６８７８号公報 特開２００４−３１８５５２号公報 特開２００６−１８５１５３号公報 特開２００７−７４３３９号公報 特開平９−２６９９３０号公報 特開２００８−１５７７４号公報 Ｃ．Ｅ．Ｓｈａｎｎｏｎ「Ａ Ｍａｔｈｅｍａｔｉｃａｌ Ｔｈｅｏｒｙ ｏｆ Ｃｏｍｍｕｎｉｃａｔｉｏｎ」Ｔｈｅ Ｂｅｌｌ Ｓｙｓｔｅｍ Ｔｅｃｈｎｉｃａｌ Ｊｏｕｒｎａｌ，Ｖｏｌ．２７，３７９〜４２３ページ及び６２３〜６５６ページ、１９４８年。 持橋大地、隅田英一郎「Ｐｉｔｍａｎ−Ｙｏｒ過程に基づく可変長ｎ−ｇｒａｍ言語モデル」情報処理学会研究報告／自然言語処理研究会報告、Ｖｏｌ．２００７、Ｎｏ．３５、６３〜７０ページ、２００７年。

膨大なデータのなかから目的とするデータを探し出すことは困難である。特に、漏洩したデータの一部が改変されている場合など、漏洩したデータが正確にわからない場合は、目的とするデータを見つけることが更に困難になる。
また、膨大なパケットデータからもとのデータを再構成する処理には、多くの時間がかかる。
この発明は、例えば、上記のような課題を解決するためになされたものであり、漏洩した情報が複数のパケットに分割されている場合や、漏洩した正確なデータがわからない場合であっても、情報漏洩を検出することを目的とする。

この発明にかかる情報漏洩検査装置は、
データを処理する処理装置と、通信データ取得部と、類似度算出部と、漏洩判定部とを有し、
上記通信データ取得部は、上記処理装置を用いて、所定の通信路を介して通信される通信データを取得し、
上記類似度算出部は、上記処理装置を用いて、上記通信データ取得部が取得した通信データと、所定の比較データとの間の類似度を算出し、
上記漏洩判定部は、上記処理装置を用いて、上記類似度算出部が算出した類似度が所定の閾値より高い場合に、情報漏洩と判定することを特徴とする。

この発明にかかる情報漏洩検査装置によれば、通信データと比較データとの類似度を類似度算出部が算出し、算出した類似度に基づいて漏洩判定部が情報漏洩を判定するので、漏洩した情報が、複数の通信データに分割されている場合や、比較データと完全に一致しない場合であっても、情報漏洩を判定することができる。

実施の形態１．
実施の形態１について、図１〜図８を用いて説明する。

図１は、この実施の形態におけるネットワークシステム８００の全体構成の一例を示すシステム構成図である。
ネットワークシステム８００は、複数のコンピュータ装置８１１，８１２，８２１〜８２３がＬＡＮ８１０やインターネット８２０を介して互いに接続し、データを送受信するシステムである。

ＬＡＮ８１０は、社内のネットワークなど、閉じたネットワークの一例であり、ＬＡＮ８１０を介して送受信されるデータのなかには、社外に漏れては困る情報（以下「秘密情報」と呼ぶ。）を含むものがある。
コンピュータ装置８１１，８１２は、データを記憶し、ＬＡＮ８１０を介してデータを送受信する。コンピュータ装置８１１，８１２が記憶しているデータのなかには、秘密情報を含むデータ（以下「秘密データ」と呼ぶ。）がある。
インターネット８２０は、社外のネットワークなど、開いたネットワークの一例である。
コンピュータ装置８２１〜８２３は、データを記憶し、インターネット８２０を介してデータを送受信する。
ゲートウェイ装置８３０は、ＬＡＮ８１０及びインターネット８２０の双方に接続し、ＬＡＮ８１０に接続したコンピュータ装置８１１，８１２と、インターネット８２０に接続したインターネット８２０との間の通信を中継する。

フォレンジック装置８４０（情報漏洩検査装置１００の一部）は、ＬＡＮ８１０（所定の通信路）を介して通信されるデータ（以下「通信データ」と呼ぶ。）すべてを記憶する。
情報漏洩判定装置８５０（情報漏洩検査装置１００の一部）は、秘密情報の漏洩が発覚した場合において、フォレンジック装置８４０が記憶した通信データを検査することにより、その秘密情報がＬＡＮ８１０を介して漏洩したのか否か、あるいは、ＬＡＮ８１０を介して漏洩した場合には、その秘密情報を含む秘密データの漏洩経路（送信元や送信先）など、その秘密情報がどのようにして漏洩したかを判定する。

図２は、この実施の形態における情報漏洩判定装置８５０の外観の一例を示す図である。
情報漏洩判定装置８５０は、システムユニット９１０、ＣＲＴ（Ｃａｔｈｏｄｅ・Ｒａｙ・Ｔｕｂｅ）やＬＣＤ（液晶）の表示画面を有する表示装置９０１、キーボード９０２（Ｋｅｙ・Ｂｏａｒｄ：Ｋ／Ｂ）、マウス９０３、ＦＤＤ９０４（Ｆｌｅｘｉｂｌｅ・Ｄｉｓｋ・Ｄｒｉｖｅ）、コンパクトディスク装置９０５（ＣＤＤ）、プリンタ装置９０６、スキャナ装置９０７などのハードウェア資源を備え、これらはケーブルや信号線で接続されている。
システムユニット９１０は、コンピュータであり、ファクシミリ機９３２、電話器９３１とケーブルで接続され、また、ローカルエリアネットワーク９４２（ＬＡＮ）、ゲートウェイ９４１を介してインターネット９４０に接続されている。

図３は、この実施の形態における情報漏洩判定装置８５０のハードウェア資源の一例を示す図である。
情報漏洩判定装置８５０は、プログラムを実行するＣＰＵ９１１（Ｃｅｎｔｒａｌ・Ｐｒｏｃｅｓｓｉｎｇ・Ｕｎｉｔ、中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、プロセッサともいう）を備えている。ＣＰＵ９１１は、バス９１２を介してＲＯＭ９１３、ＲＡＭ９１４、通信装置９１５、表示装置９０１、キーボード９０２、マウス９０３、ＦＤＤ９０４、ＣＤＤ９０５、プリンタ装置９０６、スキャナ装置９０７、磁気ディスク装置９２０と接続され、これらのハードウェアデバイスを制御する。磁気ディスク装置９２０の代わりに、光ディスク装置、メモリカード読み書き装置などの記憶装置でもよい。
ＲＡＭ９１４は、揮発性メモリの一例である。ＲＯＭ９１３、ＦＤＤ９０４、ＣＤＤ９０５、磁気ディスク装置９２０の記憶媒体は、不揮発性メモリの一例である。これらは、記憶装置あるいは記憶部の一例である。
通信装置９１５、キーボード９０２、スキャナ装置９０７、ＦＤＤ９０４などは、入力部、入力装置の一例である。
また、通信装置９１５、表示装置９０１、プリンタ装置９０６などは、出力部、出力装置の一例である。

通信装置９１５は、ファクシミリ機９３２、電話器９３１、ＬＡＮ９４２等に接続されている。通信装置９１５は、ＬＡＮ９４２に限らず、インターネット９４０、ＩＳＤＮ等のＷＡＮ（ワイドエリアネットワーク）などに接続されていても構わない。インターネット９４０或いはＩＳＤＮ等のＷＡＮに接続されている場合、ゲートウェイ９４１は不用となる。
磁気ディスク装置９２０には、オペレーティングシステム９２１（ＯＳ）、ウィンドウシステム９２２、プログラム群９２３、ファイル群９２４が記憶されている。プログラム群９２３のプログラムは、ＣＰＵ９１１、オペレーティングシステム９２１、ウィンドウシステム９２２により実行される。

上記プログラム群９２３には、以下に述べる実施の形態の説明において「〜部」として説明する機能を実行するプログラムが記憶されている。プログラムは、ＣＰＵ９１１により読み出され実行される。
ファイル群９２４には、以下に述べる実施の形態の説明において、「〜の判定結果」、「〜の計算結果」、「〜の処理結果」として説明する情報やデータや信号値や変数値やパラメータが、「〜ファイル」や「〜データベース」の各項目として記憶されている。「〜ファイル」や「〜データベース」は、ディスクやメモリなどの記録媒体に記憶される。ディスクやメモリになどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ９１１によりメインメモリやキャッシュメモリに読み出され、抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示などのＣＰＵの動作に用いられる。抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示のＣＰＵの動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリやキャッシュメモリやバッファメモリに一時的に記憶される。
また、以下に述べる実施の形態の説明において説明するフローチャートの矢印の部分は主としてデータや信号の入出力を示し、データや信号値は、ＲＡＭ９１４のメモリ、ＦＤＤ９０４のフレキシブルディスク、ＣＤＤ９０５のコンパクトディスク、磁気ディスク装置９２０の磁気ディスク、その他光ディスク、ミニディスク、ＤＶＤ（Ｄｉｇｉｔａｌ・Ｖｅｒｓａｔｉｌｅ・Ｄｉｓｋ）等の記録媒体に記録される。また、データや信号は、バス９１２や信号線やケーブルその他の伝送媒体によりオンライン伝送される。

また、以下に述べる実施の形態の説明において「〜部」として説明するものは、「〜回路」、「〜装置」、「〜機器」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。すなわち、「〜部」として説明するものは、ＲＯＭ９１３に記憶されたファームウェアで実現されていても構わない。或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。ファームウェアとソフトウェアは、プログラムとして、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ミニディスク、ＤＶＤ等の記録媒体に記憶される。プログラムはＣＰＵ９１１により読み出され、ＣＰＵ９１１により実行される。すなわち、プログラムは、以下に述べる「〜部」としてコンピュータを機能させるものである。あるいは、以下に述べる「〜部」の手順や方法をコンピュータに実行させるものである。

なお、コンピュータ装置８１１，８１２、ゲートウェイ装置８３０、フォレンジック装置８４０など、ネットワークシステム８００を構成する他の装置の外観及びハードウェア構成も、情報漏洩判定装置８５０と同様なので、ここでは説明を省略する。

図４は、この実施の形態におけるフォレンジック装置８４０及び情報漏洩判定装置８５０（情報漏洩検査装置１００）の機能ブロックの構成の一例を示すブロック構成図である。
フォレンジック装置８４０は、通信データ取得部１１１、通信データ記憶部１１２を有する。
情報漏洩判定装置８５０は、比較データ入力部１２１、比較データ記憶部１２２、単語リスト生成部１２３、単語リスト記憶部１２４、通信単語リスト生成部１３１、類似度算出部１３２、漏洩判定部１３３、判定結果出力部１４０を有する。

通信データ取得部１１１は、通信装置９１５を用いて、ＬＡＮ８１０を介して送受信される通信データをすべて取得する。
ＬＡＮ８１０に接続したコンピュータ装置８１１，８１２は、通信装置９１５を用いて、ＬＡＮ８１０を流れている通信データをすべて受信し、ＣＰＵ９１１を用いて、受信した通信データの宛先を判定し、自分宛でない通信データを破棄し、自分宛の通信データだけを取得する。また、ゲートウェイ装置８３０は、通信装置９１５を用いて、ＬＡＮ８１０を流れている通信データをすべて受信し、ＣＰＵ９１１を用いて、受信した通信データの宛先を判定し、宛先がＬＡＮ８１０内である通信データを破棄し、宛先がＬＡＮ８１０外である通信データだけを取得して転送する。
これに対し、フォレンジック装置８４０の通信データ取得部１１１は、通信装置９１５を用いて、ＬＡＮ８１０を流れている通信データをすべて受信し、通信データの宛先に関わらず、受信したすべての通信データを取得する。

通信データ記憶部１１２は、磁気ディスク装置９２０を用いて、通信データ取得部１１１が取得したすべての通信データを記憶する。フォレンジック装置８４０の磁気ディスク装置９２０は、非常に大容量であり、多数の通信データを記憶できる。また、磁気ディスク装置９２０の記憶容量が一杯になった場合、通信データ記憶部１１２は、磁気ディスク装置９２０を用いて記憶した通信データの一部または全部を、取り外し可能な外部記憶装置に移し、磁気ディスク装置９２０の記憶容量に空きを作ることにより、通信データ取得部１１１が取得したすべての通信データを記憶する。

このように、フォレンジック装置８４０は、ＬＡＮ８１０を流れるすべての通信データを記憶し、秘密漏洩が発覚した場合など必要が生じた場合に、ＬＡＮ８１０の状況（ＬＡＮ８１０を流れていた通信データ）を再現できるようにしておく。

比較データ入力部１２１は、ＣＰＵ９１１を用いて、比較データを入力する。比較データとは、通信データ記憶部１１２が記憶した通信データのなかから探し出したいデータであり、例えば、漏洩が発覚した秘密情報を含む秘密データである。

比較データ記憶部１２２は、磁気ディスク装置９２０を用いて、比較データ入力部１２１が入力した比較データを記憶する。

単語リスト生成部１２３は、ＣＰＵ９１１を用いて、比較データ記憶部１２２が記憶した比較データに基づいて、単語リストを生成する。単語リストとは、例えば、Ｎ−ｇｒａｍ方式における単語のリストである。Ｎ−ｇｒａｍ方式では、あらかじめ定められたバイト数Ｍを１文字とみなし、あらかじめ定められた文字数Ｎを１単語とみなす。単語リスト生成部１２３は、ＣＰＵ９１１を用いて、入力した比較データに含まれるすべての単語（すなわち、Ｍ×Ｎバイトのバイト列）を抽出し、単語リスト（以下「比較単語リスト」と呼ぶ。）を生成する。
例えば、Ｍ＝１、Ｎ＝３の場合において、比較データが「ＡＢＣＤＥＦＧ」であれば、単語リスト生成部１２３は、五つの単語「ＡＢＣ」「ＢＣＤ」「ＣＤＥ」「ＤＥＦ」「ＥＦＧ」からなる比較単語リストを生成する。

単語リスト記憶部１２４は、磁気ディスク装置９２０を用いて、単語リスト生成部１２３が生成した単語リストを記憶する。

通信単語リスト生成部１３１は、ＣＰＵ９１１を用いて、通信データ記憶部１１２が記憶したすべての通信データに基づいて、それぞれの通信データについての単語リスト（以下「通信単語リスト」と呼ぶ。）を生成する。通信単語リスト生成部１３１が生成する通信単語リストは、もととなるデータが異なる点を除き、単語リスト生成部１２３が生成する比較単語リストと同様である。

類似度算出部１３２は、ＣＰＵ９１１を用いて、通信単語リスト生成部１３１がそれぞれの通信データについて生成した通信単語リストと、単語リスト記憶部１２４が記憶した比較単語リストとに基づいて、それぞれの通信データについて、それぞれの通信データと比較データとの間の類似度を算出する。類似度とは、通信データと比較データとがどの程度似ているかを表わす数値である。類似度算出部１３２は、例えば、ＣＰＵ９１１を用いて、通信単語リストに含まれる単語のうち、比較単語リストにも含まれる単語の割合を算出して、類似度とする。

漏洩判定部１３３は、ＣＰＵ９１１を用いて、類似度算出部１３２がそれぞれの通信データについて算出した類似度に基づいて、それぞれの通信データについて、情報漏洩か否かを判定する。例えば、漏洩判定部１３３は、ＣＰＵ９１１を用いて、類似度算出部１３２が算出した類似度を、所定の閾値（以下「漏洩判定基準閾値」と呼ぶ。）と比較し、類似度が漏洩判定基準閾値よりも高い場合に、情報漏洩と判定する。

判定結果出力部１４０は、ＣＰＵ９１１を用いて、漏洩判定部１３３が判定した判定結果に基づいて、情報漏洩と判定された通信データの送信元や宛先など、情報漏洩の原因を究明するために役立つ情報を出力する。例えば、判定結果出力部１４０は、表示装置９０１を用いて、これらの情報を表示し、利用者に通知する。

ＬＡＮ８１０における通信方式が、例えば、パケット通信方式である場合、一つのデータが複数のパケットに分割され、分割したパケットが送受信される。ＬＡＮ８１０において、一つのデータを分割した複数のパケットは、他のデータを分割したパケットと混在しつつ、順不同で送受信される。パケットには、もとのデータを復元するために必要な情報（例えば、パケットの順序に関する情報など）が含まれ、データの宛先であるコンピュータ装置などは、複数のパケットを受信して、そこに含まれる情報に基づいて、もとのデータを復元する。

したがって、ＬＡＮ８１０を介して比較データが漏洩した場合、通信データ記憶部１１２が記憶した通信データのなかには、比較データを分割したパケットが存在する。すなわち、通信データに含まれる情報を用いて、通信データからもとのデータを復元すれば、そのなかに比較データと一致するデータが存在する。
しかし、通信データ記憶部１１２が記憶した通信データは膨大である場合があり、すべての通信データからもとのデータを復元した上で比較データと比較するには、多くの時間が必要となる。

そこで、この実施の形態における情報漏洩判定装置８５０は、通信データからもとのデータを復元せず、通信データのままで比較データと比較して、類似度を算出する。情報漏洩判定装置８５０は、算出した類似度に基づいて、情報漏洩か否かを判定する。もとのデータを復元する処理の必要がないので、情報漏洩か否かを判定する処理にかかる時間を大幅に短縮することができる。

図５は、この実施の形態における情報漏洩判定装置８５０が情報漏洩を判定する情報漏洩判定処理の流れの一例を示すフローチャート図である。

比較データ入力工程Ｓ７１１において、比較データ入力部１２１は、ＣＰＵ９１１を用いて、比較データを入力する。比較データ入力部１２１は、ＣＰＵ９１１を用いて、入力した比較データを出力する。

比較データ記憶工程Ｓ７１２において、比較データ記憶部１２２は、ＣＰＵ９１１を用いて、比較データ入力工程Ｓ７１１で比較データ入力部１２１が出力した比較データを入力する。比較データ記憶部１２２は、磁気ディスク装置９２０を用いて、入力した比較データを記憶する。

比較単語リスト生成工程Ｓ７１３において、単語リスト生成部１２３は、ＣＰＵ９１１を用いて、比較データ記憶工程Ｓ７１２で比較データ記憶部１２２が記憶した比較データを入力する。単語リスト生成部１２３は、ＣＰＵ９１１を用いて、入力した比較データに基づいて、比較単語リストを生成する。単語リスト生成部１２３は、ＣＰＵ９１１を用いて、生成した比較単語リストを表わすデータを出力する。

比較単語リスト記憶工程Ｓ７１４において、単語リスト記憶部１２４は、ＣＰＵ９１１を用いて、比較単語リスト生成工程Ｓ７１３で単語リスト生成部１２３が出力した比較単語リストを表わすデータを入力する。単語リスト記憶部１２４は、磁気ディスク装置９２０を用いて、入力した比較単語リストを表わすデータを記憶する。

通信データ入力工程Ｓ７１５において、通信単語リスト生成部１３１は、ＣＰＵ９１１を用いて、通信データ記憶部１１２が記憶した通信データのなかから、通信データを一つずつ入力する。

通信単語リスト生成工程Ｓ７１６において、通信単語リスト生成部１３１は、ＣＰＵ９１１を用いて、通信データ入力工程Ｓ７１５で入力した通信データに基づいて、通信単語リストを生成する。通信単語リスト生成部１３１は、ＣＰＵ９１１を用いて、生成した通信単語リストを表わすデータを出力する。

類似度算出工程Ｓ７１７において、類似度算出部１３２は、ＣＰＵ９１１を用いて、比較単語リスト記憶工程Ｓ７１４で単語リスト記憶部１２４が記憶した比較単語リストを表わすデータと、通信単語リスト生成工程Ｓ７１６で通信単語リスト生成部１３１が出力した通信単語リストを表わすデータとを入力する。類似度算出部１３２は、ＣＰＵ９１１を用いて、入力したデータが表わす比較単語リストと通信単語リストとに基づいて、比較データと通信データとの類似度を算出する。類似度算出部１３２は、ＣＰＵ９１１を用いて、算出した類似度を表わすデータを出力する。

漏洩判定工程Ｓ７１８において、漏洩判定部１３３は、ＣＰＵ９１１を用いて、類似度算出工程Ｓ７１７で類似度算出部１３２が出力した類似度を表わすデータを入力する。漏洩判定部１３３は、ＣＰＵ９１１を用いて、入力したデータが表わす類似度に基づいて、類似度と漏洩判定基準閾値とを比較する。
類似度が漏洩判定基準閾値より高い場合、漏洩判定部１３３は情報漏洩と判定し、判定結果出力工程Ｓ７１９へ進む。
類似度が漏洩判定基準閾値以下である場合、漏洩判定部１３３は情報漏洩でないと判定し、繰り返し工程Ｓ７２０へ進む。

判定結果出力工程Ｓ７１９において、判定結果出力部１４０は、ＣＰＵ９１１を用いて、通信データ入力工程Ｓ７１５で通信単語リスト生成部１３１が入力した通信データを入力する。判定結果出力部１４０は、ＣＰＵ９１１を用いて、入力した通信データに基づいて、送信元や宛先などの情報を取得する。判定結果出力部１４０は、表示装置９０１などの出力装置を用いて、取得した情報を表示するなどして出力する。

繰り返し工程Ｓ７２０において、通信単語リスト生成部１３１は、ＣＰＵ９１１を用いて、通信データ記憶部１１２が記憶したすべての通信データについて処理が終了したか判定する。
未処理の通信データがあると判定した場合、通信データ入力工程Ｓ７１５に戻る。
すべての通信データについて処理が終了したと判定した場合、情報漏洩判定処理を終了する。

図６は、この実施の形態における類似度算出部１３２が算出する類似度の一例を示す図である。
比較データ６１１は、比較データ入力部１２１が入力し、比較データ記憶部１２２が記憶した比較データである。
比較単語リスト６２１は、比較データ６１１に基づいて単語リスト生成部１２３が生成し、単語リスト記憶部１２４が記憶したデータが表わす比較単語リストである。
元のデータ６３１は、ＬＡＮ８１０を介して通信されたデータである。元のデータ６３１は、二つのパケットに分割されたため、通信データ取得部１１１が取得し、通信データ記憶部１１２が記憶した複数の通信データ６４０のなかには、元のデータ６３１に対応する二つの通信データ６４１，６４２が存在する。
通信単語リスト６５１は、通信データ６４１に基づいて通信単語リスト生成部１３１が生成した通信単語リストである。
類似度６６１は、通信単語リスト６５１と比較単語リスト６２１とに基づいて、類似度算出部１３２が算出した類似度である。この例において、通信単語リスト６５１に含まれる七つの単語のうち、すべての単語が比較単語リスト６２１に含まれるので、類似度６６１は「１００％」となる。
通信単語リスト６５２は、通信データ６４２に基づいて通信単語リスト生成部１３１が生成した通信単語リストである。
類似度６６２は、通信単語リスト６５２と比較単語リスト６２１とに基づいて、類似度算出部１３２が算出した類似度である。この例において、通信単語リスト６５２に含まれる八つの単語のうち、すべての単語が比較単語リスト６２１に含まれるので、類似度６６２も「１００％」となる。
このように、漏洩したデータと比較データとが完全に一致する場合、類似度算出部１３２が算出する類似度は１００％になり、情報漏洩を判定できる。

図７は、この実施の形態における類似度算出部１３２が算出する類似度の別の例を示す図である。
比較データ６１１及び比較単語リスト６２１は、図６と同じである。
元のデータ６３３は、ＬＡＮ８１０を介して通信されたデータである。元のデータ６３３は、二つのパケットに分割されたため、通信データ取得部１１１が取得し、通信データ記憶部１１２が記憶した複数の通信データ６４０のなかには、元のデータ６３３に対応する二つの通信データ６４３，６４４が存在する。
この例において、比較データ６１１と元のデータ６３３とは、わずかに異なっている。例えば、秘密データが毎日少しずつ更新されるものである場合、秘密データが漏洩したことがわかっていても、何月何日の版が漏洩したのかはわからない場合がある。また、バックアップ用の記憶装置の記憶容量の制限により、すべての版をバックアップせず、大きな更新があった場合や、所定の期間（例えば一週間）に一回などの頻度でしかバックアップを取っていないため、漏洩したデータと完全に一致するデータが保存されていない場合がある。
通信単語リスト６５３は、通信データ６４３に基づいて通信単語リスト生成部１３１が生成した通信単語リストである。
類似度６６３は、通信単語リスト６５３と比較単語リスト６２１とに基づいて、類似度算出部１３２が算出した類似度である。この例において、通信単語リスト６５３に含まれる十個の単語のうち、六つの単語が比較単語リスト６２１に含まれるので、類似度６６３は「６０．０％」となる。
通信単語リスト６５４は、通信データ６４４に基づいて通信単語リスト生成部１３１が生成した通信単語リストである。
類似度６６４は、通信単語リスト６５４と比較単語リスト６２１とに基づいて、類似度算出部１３２が算出した類似度である。この例において、通信単語リスト６５４に含まれる九つの単語のうち、六つの単語が比較単語リスト６２１に含まれるので、類似度６６４は「６６．７％」となる。
このように、漏洩したデータと比較データとが完全には一致しない場合、類似度算出部１３２が算出する類似度は１００％にはならないが、高い値となる。

図８は、この実施の形態における類似度算出部１３２が算出する類似度の更に別の例を示す図である。
比較データ６１１及び比較単語リスト６２１は、図６と同じである。
元のデータ６３５は、ＬＡＮ８１０を介して通信されたデータである。元のデータ６３５は、二つのパケットに分割されたため、通信データ取得部１１１が取得し、通信データ記憶部１１２が記憶した複数の通信データ６４０のなかには、元のデータ６３５に対応する二つの通信データ６４５，６４６が存在する。
この例において、元のデータ６３５は、漏洩した秘密データとはまったく関係のないデータである。
通信単語リスト６５５は、通信データ６４５に基づいて通信単語リスト生成部１３１が生成した通信単語リストである。
類似度６６５は、通信単語リスト６５５と比較単語リスト６２１とに基づいて、類似度算出部１３２が算出した類似度である。この例において、通信単語リスト６５５に含まれる七つの単語のうち、二つの単語が比較単語リスト６２１に含まれるので、類似度６６５は「２８．６％」となる。
通信単語リスト６５６は、通信データ６４６に基づいて通信単語リスト生成部１３１が生成した通信単語リストである。
類似度６６６は、通信単語リスト６５６と比較単語リスト６２１とに基づいて、類似度算出部１３２が算出した類似度である。この例において、通信単語リスト６５６に含まれる八つの単語のうち、二つの単語が比較単語リスト６２１に含まれるので、類似度６６６は「２５．０％」となる。
このように、元のデータ６３５がまったく関係のないデータである場合であっても、偶然一致する単語が少なからず存在するので、類似度は０％にはならないが、低い値となる。

したがって、漏洩判定基準閾値を、例えば５０％に設定するなど、適切な値に設定しておけば、漏洩判定部１３３が情報漏洩を正しく判定することができる。

なお、情報漏洩判定装置８５０は、漏洩判定部１３３が情報漏洩であると判定した通信データについて、分割したパケットから元のデータを復元し、復元した元のデータに基づいて、情報漏洩があったかをもっと精密に判定することとしてもよい。元のデータを復元する処理は、漏洩判定部１３３が情報漏洩があると判定した通信データについてのみ実行されるので、すべての通信データについて元のデータを復元する場合と比較して、処理時間を短縮することができる。
その場合、二段目の判定でゴミを取り除くことができるので、漏洩判定部１３３では漏洩判定基準閾値を低め（例えば３０％）に設定することができる。これにより、情報漏洩を見逃す可能性が低くなる。

この実施の形態における情報漏洩検査装置１００（フォレンジック装置８４０及び情報漏洩判定装置８５０）は、データを処理する処理装置（ＣＰＵ９１１）と、通信データ取得部１１１と、類似度算出部１３２と、漏洩判定部１３３とを有する。
上記通信データ取得部１１１は、上記処理装置（ＣＰＵ９１１）を用いて、所定の通信路（ＬＡＮ８１０）を介して通信される通信データを取得する。
上記類似度算出部１３２は、上記処理装置（ＣＰＵ９１１）を用いて、上記通信データ取得部１１１が取得した通信データと、所定の比較データとの間の類似度を算出する。
上記漏洩判定部１３３は、上記処理装置（ＣＰＵ９１１）を用いて、上記類似度算出部１３２が算出した類似度が所定の閾値（漏洩判定基準閾値）より高い場合に、情報漏洩と判定する。

この実施の形態における情報漏洩検査装置１００によれば、通信データと比較データとの類似度を類似度算出部１３２が算出し、算出した類似度に基づいて漏洩判定部１３３が情報漏洩を判定するので、漏洩した情報が、複数の通信データに分割されている場合や、比較データと完全に一致しない場合であっても、情報漏洩を判定することができる。

この実施の形態における情報漏洩検査装置１００は、コンピュータを上記情報漏洩検査装置１００として機能されるコンピュータプログラムを、コンピュータが実行することにより実現できる。

この実施の形態における情報漏洩検査装置１００としてコンピュータを機能させるコンピュータプログラムによれば、通信データと比較データとの類似度を類似度算出部１３２が算出し、算出した類似度に基づいて漏洩判定部１３３が情報漏洩を判定するので、漏洩した情報が、複数の通信データに分割されている場合や、比較データと完全に一致しない場合であっても、情報漏洩を判定することができる情報漏洩検査装置１００を実現することができる。

この実施の形態における情報漏洩検査装置１００が、情報の漏洩を検査する情報漏洩検査方法は、以下の工程を有する。
上記処理装置（ＣＰＵ９１１）が、所定の通信路（ＬＡＮ８１０）を介して通信される通信データを取得する。
上記処理装置（ＣＰＵ９１１）が、取得した通信データと、所定の比較データとの間の類似度を算出する。
上記処理装置（ＣＰＵ９１１）が、算出した類似度が所定の閾値より高い場合に、情報漏洩と判定する。

この実施の形態における情報漏洩検査方法によれば、通信データと比較データとの類似度を算出し、算出した類似度に基づいて情報漏洩を判定するので、漏洩した情報が、複数の通信データに分割されている場合や、比較データと完全に一致しない場合であっても、情報漏洩を判定することができる。

なお、この実施の形態では、類似度の算出方式として、Ｎ−ｇｒａｍ方式について説明したが、類似度の算出方式は、Ｎ−ｇｒａｍ方式に限らず、例えば、可変長Ｎ−ｇｒａｍ方式やその他の方式であってもよい。

例えば、Ｎ−ｇｒａｍ方式であっても、類似度の算出方式として、次のようなバリエーションもあり得る。
まず、上記説明した方式と同様、比較データに基づいて比較単語リストを作成し、通信データに基づいて通信単語リストを作成する。
次に、１単語と見なすバイト長（＝Ｍ×Ｎバイト）の区間に対して、一致する比率を類似度とみなす。
例えば、比較データ「ＡＢＣＤＥＦ・・・ＸＹＺ」と通信データ「ＤＥＦＧＨＩ」とを比較する場合、類似度算出部１３２は、比較単語リストの最初の単語「ＡＢＣ」と通信単語リストの最初の単語「ＤＥＦ」を比較し、一致する文字がないので、最初の単語の類似度を０とする。次に、類似度算出部１３２は、比較単語リストの二番目の単語「ＢＣＤ」と通信単語リストの二番目の単語「ＥＦＧ」とを比較し、やはり一致する文字がないので、二番目の単語の類似度も０とする。これを、通信単語リストの最後の単語「ＧＨＩ」まで繰り返したのち、類似度算出部１３２は、各単語の類似度を平均して、比較データの一番目のインデックスにおける通信データとの類似度を算出する。
次に、類似度算出部１３２は、比較対象を一つずつずらし、比較単語リストの二番目の単語「ＢＣＤ」と通信単語リストの最初の単語「ＤＥＦ」とを比較する。一致する文字が三文字中一文字あるので、類似度算出部１３２は、最初の単語の類似度を１／３とする。以下同様に、類似度算出部１３２は、比較単語リストの三番目の単語「ＣＤＥ」と通信単語リストの二番目の単語「ＥＦＧ」とを比較し、二番目の単語の類似度を１／３とする。類似度算出部１３２は、各単語の類似度を平均して、比較データの二番目のインデックスにおける類似度を１／３と算出する。
類似度算出部１３２は、これを比較データのすべてのインデックスについて繰り返す。この例において、類似度算出部１３２は、三番目のインデックスにおける類似度を２／３、四番目のインデックスにおける類似度を１、五番目のインデックスにおける類似度を２／３、六番目のインデックスにおける類似度を１／３、七番目以降のインデックスにおける類似度を０と算出する。
すなわち、この例における類似度は、比較データと通信データとの相関を計算する。
最後に、類似度算出部１３２は、算出した類似度のうち、最も大きい類似度を、比較データと通信データとの類似度とする。この例において、比較データと通信データとの類似度は１である。
この類似度計算方式を用いると、類似度だけでなく、比較データのうちどの部分と、通信データとが類似しているかも求めることができる。この例では、比較データの四番目のデータ区間と、通信データとが類似していることがわかる。
なお、この場合、漏洩判定基準閾値は、（Ｎ−１）／Ｎと１との間程度に設定することが好ましい。

以上説明した情報漏洩検査装置１００（ネットワークフォレンジック装置）は、類似度計算技術を用いて秘密情報が漏洩しているかどうかを検査する。
類似度計算技術とは、予め定めた比較データと入力データ（通信データ）との類似度を計算する技術である。フォレンジック装置８４０のデータを検索する部分に類似度計算を用いることで、検索の効率化を実現できる。

以上説明した情報漏洩検査方式は、秘密情報が複数のパケットに分割されている場合においても、パケットを組み立てることなく、秘密情報の漏洩を判断することができる。
データ再構築を要することなく秘密情報が含まれているかどうかを判断できるので、秘密情報が含まれていると判断されたパケットデータについてのみデータの再構築を行なえば済み、効率的である。

以上説明した情報漏洩検査方式は、漏洩したデータが、元の秘密情報の一部を改変したものであっても検出可能である。
通常、秘密情報は、作業を行なう部署により日々改定される。しかしながら企業が管理対象として保持する秘密情報は、期日の節目や改定版番号の節目などである場合が多い。情報の漏洩が生じるのは作業を行なう部署からである場合が多く、したがって、漏洩する秘密データと、漏洩の検査に用いられる秘密データの間には若干の改定の差異が生じると想定される。そのような場合であっても、以上説明した情報漏洩検査方式によれば、情報漏洩を検出可能である。
したがって、幾度かの改変された経緯のある秘密情報を特定するために、漏洩する可能性のある全ての版の秘密情報をマッチング用データ（比較データ）として用意する必要がなく、更に、どのマッチング用データよりも新しい版が流出しても、漏洩を検出することができる。
パターンマッチングではなく類似度に基づく検索であるため、漏洩したファイルが改変されていた場合でも、漏洩を検出することが可能となる。

類似度に基づいて重要文書の漏洩を判断するため、改定された文書が漏洩した場合であっても検出することが可能である。
この実施の形態で説明したように、分割された通信データを再構築せず、そのまま比較する場合だけでなく、保存したパケットをＴＣＰ／ＩＰプロトコルにしたがってデータを再構築する構成であっても、この利点は存在する。すなわち、文書が改定されて漏洩した場合でも漏洩の事実を検出できる。

実施の形態２．
実施の形態２について、図９を用いて説明する。

この実施の形態におけるネットワークシステム８００の全体構成、フォレンジック装置８４０及び情報漏洩判定装置８５０（情報漏洩検査装置１００）の機能ブロックの構成は、実施の形態１で説明したものと同様なので、ここでは説明を省略する。

図９は、この実施の形態における類似度算出部１３２が生成する類似度の一例を示す図である。

単語リスト生成部１２３は、ＣＰＵ９１１を用いて、比較データ記憶部１２２が記憶した比較データ６１２に基づいて、比較単語リスト６２２を生成する。この実施の形態における単語リスト生成部１２３が生成する比較単語リスト６２２は、比較データ６１２に含まれる単語６２９と、その単語が比較データ６１２のなかに表れる位置を表わすインデックス６２８との組のリストである。また、検索を速くするため、単語リスト生成部１２３は、ＣＰＵ９１１を用いて、比較単語リスト６２２を、単語６２９のコード順に並べ替える。なお、単語リスト生成部１２３は、ＣＰＵ９１１を用いて、同じ単語６２９が複数の箇所に表れる場合、単語６２９を一つにまとめ、一つの単語６２９に複数のインデックス６２８を対応させる。

類似度算出部１３２は、ＣＰＵ９１１を用いて、通信単語リスト生成部１３１が生成した通信単語リスト６５１または通信単語リスト６５２と、単語リスト生成部１２３が生成した比較単語リスト６２２とに基づいて、通信単語リスト６５１または通信単語リスト６５２に含まれる単語のうち、比較単語リスト６２２にも含まれる単語の割合を算出して、類似度６６１，６６２とする。
更に、類似度算出部１３２は、ＣＰＵ９１１を用いて、通信単語リスト生成部１３１が生成した通信単語リスト６５１または通信単語リスト６５２と、単語リスト生成部１２３が生成した比較単語リスト６２２とに基づいて、通信単語リスト６５１または通信単語リスト６５２に含まれる単語が、比較データ６１２のなかに表れる位置のリスト６７１，６７２（以下「出現位置リスト」と呼ぶ。）を生成する。

判定結果出力部１４０は、ＣＰＵ９１１を用いて、漏洩判定部１３３が情報漏洩と判定した場合、類似度算出部１３２がその通信データについて生成した出現位置リスト６７１，６７２を含むデータを出力する。
これにより、利用者は、秘密データのうちどの部分が漏洩したかを知ることができる。

一つのデータのなかにも、特に重要な秘密情報が含まれる部分と、さほど重要でない部分とがある。利用者は、秘密データのどの部分が漏洩したかを知ることにより、特に重要な秘密情報の漏洩があったか否かを判断できる。

以上説明した情報漏洩検査方式は、秘密情報が複数のパケットに分割されたままであっても、どの秘密情報のどの部分が漏えいしたかを判別できる。
秘密情報は、通常、文書や画像データなど、機密情報を含むデータファイルとして存在する。データファイルの中でも、漏洩した部位によって重要度は異なる。ゆえに、秘密情報の漏洩が発生した場合、どの部位が漏洩したのかまで具体的に知ることが重要である。

以上説明したように、類似度計算方法を用いることにより、パケットの対応関係を辿ることなく、秘密文書ファイルに記載の秘密情報がパケット分割されて漏洩していないかどうかを検出することができる。

まず、単語リスト生成部１２３が、秘密文書ファイル（比較データ）の単語リスト（比較単語リスト）を生成する。
次に、通信単語リスト生成部１３１が、フォレンジックサーバ（フォレンジック装置８４０）に蓄積されたトラヒックデータ（通信データ）の１つからデータ部分を抜き出し、単語リスト（通信単語リスト）を生成する。
類似度算出部１３２は、両者の単語リストを用いて類似度計算を行う。
トラヒックデータ（通信データ）のすべてについて、同様の処理を順次行う。
他方、類似すると判断する基準として閾値（漏洩判定基準閾値）を定めておき、漏洩判定部１３３が、閾値を超えた場合について、秘密文書のどの部分が、どの程度漏洩したかを、データが断片のままで判断する。

類似度に基づいて判定するため、データの一部が改定されている場合でも検出することが可能である。閾値を超えない場合、そのデータは秘密情報を含むファイルの一部ではない、あるいは、既に同一の意味を有さないほど改変されたデータであるとみなすことができる。

以上説明したフォレンジック装置（情報漏洩検査装置１００）は、情報漏洩の検査方式に類似度計算技術を用いることで、データ構築を必要とせずにデータ検査が行うことができ、秘密情報を直接用いることなく秘密情報が含まれているかどうかを特定でき、改変されていても検出可能であり、どの秘密情報のどの部分が漏えいしたかをデータの断片から判断できる。

実施の形態３．
実施の形態３について、図１０〜図１２を用いて説明する。

図１０は、この実施の形態におけるネットワークシステム８００の全体構成の一例を示すシステム構成図である。
なお、実施の形態１で説明したネットワークシステム８００と共通する部分については、ここでは説明を省略する。

この実施の形態では、フォレンジック装置８４０が有する記憶装置の記憶容量が少ないなどの理由により、ＬＡＮ８１０を介して通信された通信データをすべて記憶しておくことができない場合について説明する。

情報漏洩検査装置１００は、フォレンジック装置８４０、情報漏洩判定装置８５０を有する。
情報漏洩判定装置８５０は、フォレンジック装置８４０が通信データを取得した場合、フォレンジック装置８４０が取得した通信データに基づいて、情報漏洩の可能性があるか否かを判定する。
フォレンジック装置８４０は、情報漏洩判定装置８５０が情報漏洩の可能性があると判定した通信データを記憶し、それ以外の通信データは記憶せず破棄する。

図１１は、この実施の形態におけるフォレンジック装置８４０及び情報漏洩判定装置８５０（情報漏洩検査装置１００）の機能ブロックの構成の一例を示すブロック構成図である。
なお、実施の形態１で説明したブロックと共通する部分については、同一の符号を付し、ここでは説明を省略する。

あらかじめ、比較データ入力部１２１は、ＣＰＵ９１１を用いて、情報漏洩を検査したい秘密データを、比較データとして入力する。
比較データ記憶部１２２は、ＲＡＭ９１４を用いて、比較データ入力部１２１が入力した比較データを記憶する。単語リスト生成部１２３が比較単語リストを生成したのち、比較データ記憶部１２２は、ＣＰＵ９１１を用いて、記憶した比較データを削除する。
すなわち、情報漏洩判定装置８５０は、比較データを保持せず、比較データから生成した比較単語リストのみを保持する。これにより、まだ漏洩していない秘密データが、情報漏洩判定装置８５０から漏洩するのを防ぐことができる。

なお、情報漏洩を検査したい秘密データが複数ある場合、比較データ入力部１２１は複数の秘密データを入力し、単語リスト生成部１２３は複数の比較単語リストを生成し、単語リスト記憶部１２４は複数の比較単語リストを記憶する。

通信単語リスト生成部１３１は、ＣＰＵ９１１を用いて、通信データ取得部１１１が取得した通信データに基づいて、通信単語リストを生成する。通信単語リスト生成部１３１が生成した通信単語リストと、単語リスト記憶部１２４が記憶した比較単語リストとに基づいて、類似度算出部１３２が類似度を算出する。

漏洩判定部１３３は、ＣＰＵ９１１を用いて、類似度算出部１３２が算出した類似度に基づいて、情報漏洩を判定する。この場合において、漏洩判定部１３３が情報漏洩を判定する漏洩判定基準閾値は、低めの値（例えば２５％）に設定する。すなわち、漏洩判定部１３３は、確実に情報漏洩であると判断できなくとも、情報漏洩の可能性がある場合には、情報漏洩であると判定する。これにより、その通信データをフォレンジック装置８４０が記憶するので、情報漏洩であるか否かをあとで詳しく調べることが可能となる。

通信データ記憶部１１２は、漏洩判定部１３３が情報漏洩であると判定した場合、磁気ディスク装置９２０を用いて、通信データ取得部１１１が取得した通信データを記憶する。

図１２は、この実施の形態におけるフォレンジック装置８４０が、通信データを記憶する通信データ記憶処理の流れの一例を示すフローチャート図である。
なお、実施の形態１で説明した情報漏洩判定処理と共通する部分については、同一の符号を付し、ここでは説明を省略する。

なお、実施の形態１で説明した情報漏洩判定処理における比較データ入力工程Ｓ７１１〜比較単語リスト記憶工程Ｓ７１４の処理は、通信データ記憶処理の開始前に実行され、単語リスト記憶部１２４は、磁気ディスク装置９２０を用いて、比較単語リストを記憶している。

通信データ取得工程Ｓ７１５’において、通信データ取得部１１１は、ＣＰＵ９１１を用いて、ＬＡＮ８１０を介して送受信された通信データを取得する。通信データ取得部１１１は、ＣＰＵ９１１を用いて、取得した通信データを出力する。
通信単語リスト生成工程Ｓ７１６において、通信単語リスト生成部１３１は、ＣＰＵ９１１を用いて、通信データ取得工程Ｓ７１５’で通信データ取得部１１１が出力した通信データを入力する。通信単語リスト生成部１３１は、ＣＰＵ９１１を用いて、入力した通信データに基づいて、通信単語リストを生成する。

漏洩判定工程Ｓ７１８において、漏洩判定部１３３が情報漏洩と判定した場合、通信データ記憶工程Ｓ７２１へ進む。漏洩判定部１３３が情報漏洩でないと判定した場合、通信データ記憶処理を終了する。
通信データ記憶工程Ｓ７２１において、通信データ記憶部１１２は、ＣＰＵ９１１を用いて、通信データ取得工程Ｓ７１５’で通信データ取得部１１１が出力した通信データを入力する。通信データ記憶部１１２は、磁気ディスク装置９２０を用いて、入力した通信データを記憶する。
その後、判定結果出力工程Ｓ７１９へ進む。

このように、情報漏洩判定装置８５０がリアルタイムで情報漏洩の可能性があるか否かを判定し、情報漏洩の可能性がある通信データだけをフォレンジック装置８４０が記憶することにより、フォレンジック装置８４０の記憶装置の記憶容量を節約することができる。また、情報漏洩判定装置８５０が情報漏洩であるかを判定する漏洩判定基準閾値を低めに設定することにより、情報漏洩の可能性がある通信データを、確実に、フォレンジック装置８４０に記憶させることができる。

この実施の形態における情報漏洩検査装置１００（フォレンジック装置８４０及び情報漏洩判定装置８５０）は、更に、データを記憶する記憶装置（磁気ディスク装置９２０）と、通信データ記憶部１１２とを有する。
上記通信データ記憶部１１２は、上記記憶装置（磁気ディスク装置９２０）を用いて、上記漏洩判定部１３３が情報漏洩と判定した場合に、上記通信データ取得部１１１が取得した通信データを記憶する。

この実施の形態における情報漏洩検査装置１００によれば、漏洩判定部１３３が情報漏洩と判定した通信データのみを、通信データ記憶部１１２が記憶するので、通信データ記憶部１１２が使用する記憶装置の記憶容量を節約することができる。

この実施の形態における情報漏洩検査装置１００は、更に、単語リスト生成部１２３を有する。
上記単語リスト生成部１２３は、上記処理装置（ＣＰＵ９１１）を用いて、上記所定の比較データに基づいて、上記所定の比較データに含まれる単語を抽出して、抽出した単語のリスト（比較単語リスト）を生成する。
上記類似度算出部１３２は、上記処理装置（ＣＰＵ９１１）を用いて、上記単語リスト生成部１２３が生成した単語のリスト（比較単語リスト）に基づいて、上記類似度を算出する。

この実施の形態における情報漏洩検査装置１００によれば、単語リスト生成部１２３が生成した比較単語リストに基づいて、類似度算出部１３２が類似度を算出するので、情報漏洩検査装置１００が比較データを保持する必要がなく、情報漏洩検査装置１００から比較データが漏洩するのを防ぐことができる。

以上説明した情報漏洩検査方式は、秘密情報が含まれているかどうかを、秘密情報を直接用いることなく特定することができる。
秘密情報が含まれていないかどうかを判断するための判断材料として、秘密情報そのものを用いないので、新たな漏洩の可能性を増やすことがない。

以上説明した情報漏洩検査方式は、ネットワーク上のデータ通信を監視する装置に実装することにより、フォレンジック装置８４０の前段にて蓄積すべきトラヒックデータ（通信データ）の分別を行なうことができる。
トラヒックデータ（通信データ）を保存するストレージ（記憶装置）の容量が問題となる場合、保存するトラヒックデータ（通信データ）を取捨選択する必要が生じる。類似度計算において、全く関係の無いデータを含むパケットは、どの部分とも類似しない。この性質を利用すれば、保存するトラヒックデータの取捨選択に類似度計算を用いることで、必要なデータのみを保存することが可能となる。

以上説明した情報漏洩検査方式は、フォレンジック装置８４０の前段に配置して、該装置が保存すべきトラヒックデータ（通信データ）を取捨選択することも可能である。
漏洩を検出すべき秘密情報が複数存在する場合であっても、１つの断片データ（通信データ）と、各々の秘密情報（比較データ）との類似度計算を並列に実施することができるので、高速な情報漏洩の検出が可能である。

実施の形態４．
実施の形態４について、図１３〜図１５を用いて説明する。

図１３は、この実施の形態におけるネットワークシステム８００の全体構成の一例を示すシステム構成図である。
なお、実施の形態１で説明したネットワークシステム８００と共通する部分については、同一の符号を付し、ここでは説明を省略する。

この実施の形態では、情報漏洩判定装置８５０の判定結果に基づいて、情報漏洩を未然に防ぐ構成について説明する。

情報漏洩検査装置１００は、ゲートウェイ装置８３０、情報漏洩判定装置８５０を有する。
情報漏洩判定装置８５０は、ゲートウェイ装置８３０がＬＡＮ８１０からインターネット８２０へ中継しようとしている通信データについて、情報漏洩か否かを判定する。
ゲートウェイ装置８３０は、情報漏洩判定装置８５０が情報漏洩でないと判定した通信データをＬＡＮ８１０からインターネット８２０へ中継し、情報漏洩判定装置８５０が情報漏洩であると判定した通信データは中継しない。

図１４は、この実施の形態におけるゲートウェイ装置８３０及び情報漏洩判定装置８５０（情報漏洩検査装置１００）の機能ブロックの一例を示すブロック構成図である。
なお、実施の形態１で説明したブロックと共通する部分については、同一の符号を付し、ここでは説明を省略する。

ゲートウェイ装置８３０は、通信データ受信部１１３、通信データ送信部１１４を有する。
通信データ受信部１１３は、通信装置９１５を用いて、ＬＡＮ８１０を流れている通信データをすべて受信する。通信データ受信部１１３は、ＣＰＵ９１１を用いて、受信した通信データの宛先がＬＡＮ８１０内であるかＬＡＮ８１０外であるかを判定する。通信データ受信部１１３は、ＣＰＵ９１１を用いて、通信データの宛先がＬＡＮ８１０外であると判定した場合、受信した通信データを取得し、通信データの宛先がＬＡＮ８１０内であると判定した場合、受信した通信データを破棄する。

通信単語リスト生成部１３１は、ＣＰＵ９１１を用いて、通信データ受信部１１３が取得した通信データに基づいて、通信単語リストを生成する。類似度算出部１３２は、ＣＰＵ９１１を用いて、通信単語リスト生成部１３１が生成した通信単語リストと、単語リスト記憶部１２４があらかじめ記憶している比較単語リストとに基づいて、類似度を算出する。漏洩判定部１３３は、ＣＰＵ９１１を用いて、類似度算出部１３２が算出した類似度に基づいて、情報漏洩か否かを判定する。

通信データ送信部１１４（通信遮断部）は、漏洩判定部１３３が情報漏洩でないと判定した場合、通信装置９１５を用いて、通信データ受信部１１３が取得した通信データを、インターネット８２０へ送信する。漏洩判定部１３３が情報漏洩であると判定した場合、通信データ送信部１１４は、通信データをインターネット８２０へ送信せず破棄する。

なお、通信データ送信部１１４は、漏洩判定部１３３が情報漏洩であると判定した通信データを中継しないだけでなく、漏洩判定部１３３が情報漏洩であると判定した通信データが属するセッションを切断してもよい。

図１５は、この実施の形態におけるゲートウェイ装置８３０が、通信データを中継する通信データ中継処理の流れの一例を示すフローチャート図である。
なお、実施の形態１で説明した情報漏洩判定処理と共通する部分については、同一の符号を付し、ここでは説明を省略する。

実施の形態３と同様、実施の形態１で説明した情報漏洩判定処理における比較データ入力工程Ｓ７１１〜比較単語リスト記憶工程Ｓ７１４の処理は、通信データ中継処理の開始前に実行され、単語リスト記憶部１２４は、磁気ディスク装置９２０を用いて、比較単語リストを記憶している。

通信データ受信工程Ｓ７１５”において、通信データ受信部１１３は、通信装置９１５を用いて、ＬＡＮ８１０を流れている通信データを受信する。通信データ受信部１１３は、ＣＰＵ９１１を用いて、受信した通信データがＬＡＮ８１０外へ中継すべきものであるか判定する。通信データ受信部１１３は、ＣＰＵ９１１を用いて、受信した通信データがＬＡＮ８１０外へ中継すべきものであると判定した場合、受信した通信データを出力する。

通信単語リスト生成工程Ｓ７１６において、通信単語リスト生成部１３１は、ＣＰＵ９１１を用いて、通信データ受信工程Ｓ７１５”で通信データ受信部１１３が出力した通信データを入力する。通信単語リスト生成部１３１は、ＣＰＵ９１１を用いて、入力した通信データに基づいて、通信単語リストを生成する。

漏洩判定工程Ｓ７１８において、漏洩判定部１３３が情報漏洩であると判定した場合、判定結果出力工程Ｓ７１９へ進む。漏洩判定部１３３が情報漏洩でないと判定した場合、通信データ送信工程Ｓ７２２へ進む。

通信データ送信工程Ｓ７２２において、通信データ送信部１１４は、ＣＰＵ９１１を用いて、通信データ受信工程Ｓ７１５”で通信データ受信部１１３が出力した通信データを入力する。通信データ送信部１１４は、通信装置９１５を用いて、インターネット８２０を介して、入力した通信データを送信する。

このように、情報漏洩判定装置８５０が情報漏洩でないと判定した通信データだけを、ゲートウェイ装置８３０が中継するので、情報漏洩を未然に防ぐことができる。
ここで、情報漏洩判定装置８５０は、秘密データが複数の通信データに分割されている場合であっても、元のデータを復元せずに、情報漏洩であるかを判定できるので、分割された通信データがすべて揃うのを待つ必要はない。このため、ゲートウェイ装置８３０が中継する通信の速度をあまり低下させずに、情報漏洩を防ぐことができる。

この実施の形態における情報漏洩検査装置１００（ゲートウェイ装置８３０及び情報漏洩判定装置８５０）は、更に、通信遮断部（通信データ送信部１１４）を有する。
上記通信遮断部（通信データ送信部１１４）は、上記処理装置（ＣＰＵ９１１）を用いて、上記漏洩判定部１３３が情報漏洩と判定した場合に、上記所定の通信路における通信（ＬＡＮ８１０からインターネット８２０への中継）を遮断する。

この実施の形態における情報漏洩検査装置１００によれば、漏洩判定部１３３が情報漏洩と判定した場合に、通信遮断部が通信を遮断するので、情報漏洩を未然に防ぐことができる。

以上説明した情報漏洩検査方式は、ネットワーク上のデータ通信を監視する装置に実装することにより、類似度に基づく情報漏洩の検査をオンラインで行い、漏洩を検出して瞬時に通信を遮断することができる。

このように、フォレンジック装置８４０に蓄積されたトラヒックデータ（通信データ）と秘密文書ファイル（比較データ）との類似度を計算するのではなく、トラヒックデータ（通信データ）をオンラインで検査することも可能である。
秘密文書ファイルは事前に用意されたものであるため、秘密文書ファイルに関する単語リストを事前に作成しておくことが可能である。そして、ネットワーク上の装置にて、パケットが到達するたびに、パケットのデータ部分から単語リスト（通信単語リスト）を作成し、秘密文書ファイル（比較データ）との類似度検索を行う。

以上説明した情報漏洩検査装置１００によれば、閾値を超えたデータを有するパケットを廃棄することにより、情報の漏洩を未然に防ぐことが可能となる。

ＴＣＰ／ＩＰプロトコルにしたがってデータを再構築して漏洩を検査する方式の場合、オンラインで用いると、ひとつの秘密情報ファイルを構成するパケットの個々がいつ到達するか不明なので、ひとつの秘密情報ファイルが揃うまで、パケット同士の対応関係を保持し続けなければならない。

これに対し、類似度を用いた検査であれば、データを再構築せずにデータの断片から、秘密情報ファイルのどの部分が、どの程度漏えいしたかを知ることが可能なので、パケット同士の対応関係に依存せず、高速なデータ検査が可能となる。

更に、高速なデータ検査が可能となるのみならず、データを構築せず漏洩を検出できるため、秘密情報を含むパケットを１パケットも漏らさずに通信を廃棄することが可能となる。すなわち、高い類似度を示すデータを含むパケットを検出した場合、当該パケットを廃棄してネットワーク上を通過させず、さらに、ＴＣＰ通信のセッションを特定し、当該セッションの以降の通信を遮断することが可能である。

すなわち、オンラインで情報漏えいを検出する際、ＴＣＰデータを再構築せずとも、ＩＰパケットのデータで漏洩を検出できる。類似度計算回路が複数並列に存在する装置を用いれば、１つの類似度計算回路で１つのＩＰパケットを処理することで、複数のＩＰパケットを並列に処理することが可能である。このように、以上説明した情報漏洩検査方式は、優れた並列性を有するため、オンライン方法であっても高速な情報漏洩の検出が可能である。

漏えいを検出しなければならない秘密情報を有するファイル（比較データ）が複数存在する場合、各々のファイルに対して類似度を計算することで検出が可能である。

１つの断片データ（通信データ）と、ある秘密情報（比較データ）との類似度計算は、他の秘密情報（比較データ）との類似度計算から独立に行うことが可能である。そのため、１つの断片データ（通信データ）と複数の秘密情報（比較データ）との類似度計算を並列に行うことが可能である。ゆえに、秘密データが複数ある場合であっても、並列計算により高速化を図ることが可能である。

以上説明した情報漏洩検査方式は、データを再構築せず断片（通信データ）のみで情報漏洩を検出できるため、優れた並列性を有する。ゆえに、トラヒックデータ（通信データ）ログに対して情報漏洩の検査を行うためのみならず、ネットワーク上でオンラインに情報漏洩の検査を行い、トラヒックの遮断を実施する装置を構築することができる。

実施の形態５．
実施の形態５について、図１６〜図１７を用いて説明する。

図１６は、この実施の形態におけるネットワークシステム８００の全体構成の一例を示すシステム構成図である。
なお、実施の形態１で説明したネットワークシステム８００と共通する部分については、同一の符号を付し、ここでは説明を省略する。

この実施の形態では、情報漏洩判定装置８５０の判断結果に基づいて、情報漏洩を未然に防ぎつつ、万一情報漏洩が発生した場合に備えて、ゲートウェイ装置８３０が中継した通信データのうち、情報漏洩の可能性がある通信データをフォレンジック装置８４０が記憶しておく構成について説明する。

情報漏洩検査装置１００は、ゲートウェイ装置８３０、フォレンジック装置８４０、情報漏洩判定装置８５０を有する。
情報漏洩判定装置８５０は、ゲートウェイ装置８３０がＬＡＮ８１０からインターネット８２０へ中継しようとしている通信データについて、情報漏洩か否かを判定する。ゲートウェイ装置８３０は、情報漏洩判定装置８５０が情報漏洩でないと判定した場合、通信データを中継し、情報漏洩判定装置８５０が情報漏洩であると判定した場合、通信データを中継しない。
また、フォレンジック装置８４０は、情報漏洩の可能性があると情報漏洩判定装置８５０が判定した通信データを記憶する。なお、情報漏洩であると情報漏洩判定装置８５０が判定してゲートウェイ装置８３０が中継しなかった通信データについては、フォレンジック装置８４０が記憶してもよいし、記憶しなくてもよい。

図１７は、この実施の形態におけるゲートウェイ装置８３０、フォレンジック装置８４０、情報漏洩判定装置８５０（情報漏洩検査装置１００）の機能ブロックの構成の一例を示すブロック構成図である。
なお、実施の形態１及び実施の形態４で説明したブロックと共通する部分については、同一の符号を付し、ここでは説明を省略する。

漏洩判定部１３３は、ＣＰＵ９１１を用いて、類似度算出部１３２が算出した類似度に基づいて、情報漏洩か否かを判定する。漏洩判定部１３３は、二つの漏洩判定基準閾値を使用する。第一の漏洩判定基準閾値は、第二の漏洩判定基準閾値よりも高く、類似度が第一の漏洩判定基準閾値よりも高い場合、漏洩判定部１３３は、情報漏洩であると判定し、、類似度が第二の漏洩判定基準閾値よりも高い場合、漏洩判定部１３３は、情報漏洩の可能性があると判定する。

類似度が第一の漏洩判定基準閾値よりも高く、漏洩判定部１３３が情報漏洩であると判定した場合、通信データ送信部１１４は、ＣＰＵ９１１を用いて、その通信データを中継せず破棄する。

類似度が第二の漏洩判定基準閾値よりも高く、漏洩判定部１３３が情報漏洩の可能性があると判定した場合、通信データ記憶部１１２は、磁気ディスク装置９２０を用いて、その通信データを記憶する。

これにより、漏洩判定部１３３が情報漏洩であると判定した場合には、通信データ送信部１１４が通信を遮断するので、情報漏洩を未然に防ぐことができる。また、漏洩判定部１３３が情報漏洩の可能性があると判定した場合には、通信データ記憶部１１２が通信データを記憶するので、万一情報漏洩が発生した場合には、通信データ記憶部１１２が記憶した通信データを分析することにより、原因を特定することができる。また、漏洩判定部１３３が情報漏洩の可能性がないと判定した場合、通信データ記憶部１１２は、その通信データを記憶しないので、通信データ記憶部１１２が使用する記憶装置の記憶容量を節約することができる。

実施の形態６．
実施の形態６について、図１８を用いて説明する。
この実施の形態におけるネットワークシステム８００の全体構成は、実施の形態１で説明したものと同様なので、ここでは説明を省略する。

この実施の形態では、画像データや音声データなど、複数種類のデータ形式が存在するデータについて、情報漏洩を判定する場合について説明する。

図１８は、この実施の形態におけるフォレンジック装置８４０及び情報漏洩判定装置８５０（情報漏洩検査装置１００）の機能ブロックの構成の一例を示すブロック構成図である。
なお、実施の形態１で説明したブロックと共通する部分については、同一の符号を付し、ここでは説明を省略する。

情報漏洩判定装置８５０は、更に、比較データ形式変換部１２５、通信データ形式変換部１３５を有する。

比較データ形式変換部１２５は、ＣＰＵ９１１を用いて、比較データ記憶部１２２が記憶した比較データに基づいて、比較データのデータ形式を所定の形式に変換する。例えば、画像データの場合、ビットマップ形式、ＪＰＥＧ形式、ＰＮＧ形式、ＧＩＦ形式、ＴＩＦＦ形式など様々なデータ形式があるが、比較データ形式変換部１２５は、比較データのデータ形式がいずれのデータ形式である場合も、そのなかから選択した一つのデータ形式（例えばビットマップ形式）に変換する。
単語リスト生成部１２３は、ＣＰＵ９１１を用いて、比較データ形式変換部１２５がデータ形式を変換した比較データに基づいて、比較単語リストを生成する。

通信データ形式変換部１３５は、ＣＰＵ９１１を用いて、通信データ記憶部１１２が記憶した通信データに基づいて、通信データのデータ形式を、比較データ形式変換部１２５と同じ所定の形式に変換する。
通信単語リスト生成部１３１は、ＣＰＵ９１１を用いて、通信データ形式変換部１３５がデータ形式を変換した通信データに基づいて、通信単語リストを生成する。

例えば、比較データがＪＰＥＧ形式であり、情報が漏洩したときのデータ形式がＰＮＧ形式であった場合、単純に両者の類似度を算出したのでは、両者は類似しないので、漏洩判定部１３３は、情報漏洩はないと誤判定する。そこで、比較データを比較データ形式変換部１２５が所定のデータ形式に変換し、通信データを通信データ形式変換部１３５が同じデータ形式に変換した上で、両者の類似度を算出することにより、両者が類似し、漏洩判定部１３３が、正しく情報漏洩があると判定できる。

以上説明したように、画像データである場合は、ビットマップ形式など所定の形式に変換した上で類似度を計算することにより、画像データについても情報漏洩の検出することが可能となる。
動画データの場合も、同様に、動画データを構成する個々の静止画像を、ビットマップ形式など所定の形式に変換することにより、動画データであっても情報漏洩を検出することが可能となる。
また、音声データの場合も、同様に、ＲＡＷデータなど所定の形式に変換することにより、音声データであっても情報漏洩の検出が可能となる。

実施の形態１におけるネットワークシステム８００の全体構成の一例を示すシステム構成図。 実施の形態１における情報漏洩判定装置８５０の外観の一例を示す図。 実施の形態１における情報漏洩判定装置８５０のハードウェア資源の一例を示す図。 実施の形態１におけるフォレンジック装置８４０及び情報漏洩判定装置８５０（情報漏洩検査装置１００）の機能ブロックの構成の一例を示すブロック構成図。 実施の形態１における情報漏洩判定装置８５０が情報漏洩を判定する情報漏洩判定処理の流れの一例を示すフローチャート図。 実施の形態１における類似度算出部１３２が算出する類似度の一例を示す図。 実施の形態１における類似度算出部１３２が算出する類似度の別の例を示す図。 実施の形態１における類似度算出部１３２が算出する類似度の更に別の例を示す図。 実施の形態２における類似度算出部１３２が生成する類似度の一例を示す図。 実施の形態３におけるネットワークシステム８００の全体構成の一例を示すシステム構成図。 実施の形態３におけるフォレンジック装置８４０及び情報漏洩判定装置８５０（情報漏洩検査装置１００）の機能ブロックの構成の一例を示すブロック構成図。 実施の形態３におけるフォレンジック装置８４０が、通信データを記憶する通信データ記憶処理の流れの一例を示すフローチャート図。 実施の形態４におけるネットワークシステム８００の全体構成の一例を示すシステム構成図。 実施の形態４におけるゲートウェイ装置８３０及び情報漏洩判定装置８５０（情報漏洩検査装置１００）の機能ブロックの一例を示すブロック構成図。 実施の形態４におけるゲートウェイ装置８３０が、通信データを中継する通信データ中継処理の流れの一例を示すフローチャート図。 実施の形態５におけるネットワークシステム８００の全体構成の一例を示すシステム構成図。 実施の形態５におけるゲートウェイ装置８３０、フォレンジック装置８４０、情報漏洩判定装置８５０（情報漏洩検査装置１００）の機能ブロックの構成の一例を示すブロック構成図。 実施の形態６におけるフォレンジック装置８４０及び情報漏洩判定装置８５０（情報漏洩検査装置１００）の機能ブロックの構成の一例を示すブロック構成図。

符号の説明

１００ 情報漏洩検査装置、１１１ 通信データ取得部、１１２ 通信データ記憶部、１１３ 通信データ受信部、１１４ 通信データ送信部、１２１ 比較データ入力部、１２２ 比較データ記憶部、１２３ 単語リスト生成部、１２４ 単語リスト記憶部、１２５ 比較データ形式変換部、１３１ 通信単語リスト生成部、１３２ 類似度算出部、１３３ 漏洩判定部、１３５ 通信データ形式変換部、１４０ 判定結果出力部、６１１〜６１２ 比較データ、６２１〜６２２ 比較単語リスト、６２８ インデックス、６２９ 単語、６３１〜６３５ 元のデータ、６４０〜６４６ 通信データ、６５１〜６５６ 通信単語リスト、６６１〜６６６ 類似度、６７１〜６７２ 出現位置リスト、８００ ネットワークシステム、８１０ ＬＡＮ、８１１〜８１２，８２１〜８２３ コンピュータ装置、８２０ インターネット、８３０ ゲートウェイ装置、８４０ フォレンジック装置、８５０ 情報漏洩判定装置、９０１ 表示装置、９０２ キーボード、９０３ マウス、９０４ ＦＤＤ、９０５ ＣＤＤ、９０６ プリンタ装置、９０７ スキャナ装置、９１０ システムユニット、９１１ ＣＰＵ、９１２ バス、９１３ ＲＯＭ、９１４ ＲＡＭ、９１５ 通信装置、９２０ 磁気ディスク装置、９２１ ＯＳ、９２２ ウィンドウシステム、９２３ プログラム群、９２４ ファイル群、９３１ 電話器、９３２ ファクシミリ機、９４０ インターネット、９４１ ゲートウェイ、９４２ ＬＡＮ。

Claims (9)

1. データを処理する処理装置と、単語リスト生成部と、通信データ取得部と、通信単語リスト生成部と、類似度算出部と、漏洩判定部とを有し、
   上記単語リスト生成部は、上記処理装置を用いて、複数の開始位置から始まる所定の文字数Ｎの文字列を所定の比較データから抽出し、抽出した複数の文字列からなる比較単語リストを生成し、
   上記通信データ取得部は、上記処理装置を用いて、所定の通信路を介して通信される通信データを取得し、
   上記通信単語リスト生成部は、上記処理装置を用いて、複数の開始位置から始まる上記所定の文字数Ｎの文字列を、上記通信データ取得部が取得した通信データから抽出し、抽出した複数の文字列からなる通信単語リストを生成し、
   上記類似度算出部は、上記処理装置を用いて、上記通信単語リスト生成部が生成した通信単語リストに含まれる複数の文字列のうち、上記単語リスト生成部が生成した比較単語リストにも含まれる文字列の割合を算出して類似度とし、
   上記漏洩判定部は、上記処理装置を用いて、上記類似度算出部が算出した類似度が所定の閾値より高い場合に、情報漏洩と判定する
   ことを特徴とする情報漏洩検査装置。
2. データを処理する処理装置と、単語リスト生成部と、通信データ取得部と、通信単語リスト生成部と、類似度算出部と、漏洩判定部とを有し、
   上記単語リスト生成部は、上記処理装置を用いて、複数の開始位置から始まる所定の文字数Ｎの文字列を所定の比較データから抽出し、抽出した複数の文字列からなる比較単語リストを生成し、
   上記通信データ取得部は、上記処理装置を用いて、所定の通信路を介して通信される通信データを取得し、
   上記通信単語リスト生成部は、上記処理装置を用いて、複数の開始位置から始まる上記所定の文字数Ｎの文字列を、上記通信データ取得部が取得した通信データから抽出し、抽出した複数の文字列からなる通信単語リストを生成し、
   上記類似度算出部は、上記処理装置を用いて、上記通信単語リスト生成部が生成した通信単語リストに含まれる複数の文字列のそれぞれに対して、上記単語リスト生成部が生成した比較単語リストに含まれる複数の文字列のうち、上記通信単語リストに含まれる文字列の開始位置に対応する位置を開始位置とする文字列を対応づけ、上記通信単語リストに含まれる複数の文字列のそれぞれについて、上記文字列に含まれる文字のうち、上記文字列に対して対応づけた上記比較単語リストに含まれる文字列にも含まれる文字の割合を算出し、上記複数の文字列のそれぞれについて算出した割合の平均を算出して類似度とし、
   上記漏洩判定部は、上記処理装置を用いて、上記類似度算出部が算出した類似度が所定の閾値より高い場合に、情報漏洩と判定する
   ことを特徴とする情報漏洩検査装置。
3. 上記類似度算出部は、複数のインデックスのそれぞれについて、上記通信単語リストに含まれる複数の文字列のそれぞれに対して、上記単語リスト生成部が生成した比較単語リストに含まれる複数の文字列のうち、上記通信単語リストに含まれる文字列の開始位置に上記インデックスを加えた値を開始位置とする文字列を対応づけ、上記複数の文字列のそれぞれについて算出した割合の平均を、上記複数のインデックスのそれぞれについて算出し、上記複数のインデックスのそれぞれについて算出した平均のうちの最大値を類似度とすることを特徴とする請求項２に記載の情報漏洩検査装置。
4. 上記漏洩判定部は、上記閾値として、（Ｎ−１）／Ｎより大きく１より小さい値を用いることを特徴とする請求項３に記載の情報漏洩検査装置。
5. 上記情報漏洩検査装置は、更に、通信遮断部を有し、
   上記通信遮断部は、上記処理装置を用いて、上記漏洩判定部が情報漏洩と判定した場合に、上記所定の通信路における通信を遮断する
   ことを特徴とする請求項１乃至請求項４のいずれかに記載の情報漏洩検査装置。
6. 上記情報漏洩検査装置は、更に、データを記憶する記憶装置と、通信データ記憶部とを有し、
   上記通信データ記憶部は、上記記憶装置を用いて、上記漏洩判定部が情報漏洩と判定した場合に、上記通信データ取得部が取得した通信データを記憶する
   ことを特徴とする請求項１乃至請求項５のいずれかに記載の情報漏洩検査装置。
7. 請求項１乃至請求項６のいずれかに記載の情報漏洩検査装置としてコンピュータを機能させることを特徴とするコンピュータプログラム。
8. データを処理する処理装置を有する情報漏洩検査装置が、情報の漏洩を検査する情報漏洩検査方法において、
   上記処理装置が、複数の開始位置から始まる所定の文字数Ｎの文字列を所定の比較データから抽出し、抽出した複数の文字列からなる比較単語リストを生成し、
   上記処理装置が、所定の通信路を介して通信される通信データを取得し、
   上記処理装置が、複数の開始位置から始まる上記所定の文字数Ｎの文字列を、取得した上記通信データから抽出し、抽出した複数の文字列からなる通信単語リストを生成し、
   上記処理装置が、生成した上記通信単語リストに含まれる複数の文字列のうち、生成した上記比較単語リストにも含まれる文字列の割合を算出して類似度とし、
   上記処理装置が、算出した類似度が所定の閾値より高い場合に、情報漏洩と判定する
   ことを特徴とする情報漏洩検査方法。
9. データを処理する処理装置を有する情報漏洩検査装置が、情報の漏洩を検査する情報漏洩検査方法において、
   上記処理装置が、複数の開始位置から始まる所定の文字数Ｎの文字列を所定の比較データから抽出し、抽出した複数の文字列からなる比較単語リストを生成し、
   上記処理装置が、所定の通信路を介して通信される通信データを取得し、
   上記処理装置が、複数の開始位置から始まる上記所定の文字数Ｎの文字列を、取得した上記通信データから抽出し、抽出した複数の文字列からなる通信単語リストを生成し、
   上記処理装置が、生成した上記通信単語リストに含まれる複数の文字列のそれぞれに対して、生成した上記比較単語リストに含まれる文字列のうち、上記通信単語リストに含まれる文字列の開始位置に対応する位置を開始位置とする文字列を対応づけ、
   上記処理装置が、上記通信単語リストに含まれる複数の文字列のそれぞれについて、上記文字列に含まれる文字のうち、上記文字列に対して対応づけた文字列にも含まれる文字の割合を算出し、
   上記処理装置が、上記複数の文字列のそれぞれについて算出した割合の平均を算出して類似度とし、
   上記処理装置が、算出した類似度が所定の閾値より高い場合に、情報漏洩と判定する
   ことを特徴とする情報漏洩検査方法。

Images