JP5525048B2 - 不正操作検知方法、及び、不正操作を検知する計算機 - Google Patents

Description

本発明は、操作検知システムに関し、特に、情報漏えい事故につながるリスクの高いクライアント計算機上での操作を検知する不正操作検知システム及び不正操作検知方法に関する。

悪意のある操作、又は、疑わしい操作を検知する操作検知システムとして、特許文献１がある。特許文献１で示される技術では、あらかじめ管理者が悪意ある不正操作パターンを作成し、ログ分析サーバのデータベースに登録した上で、予め記録しておいたユーザの操作ログの内容のマッチング度により危険性を判断する。

特開２００９-２０８１２号公報

特許文献１記載の技術の操作パターンでは、クライアントＰＣ（Personal Computer）自体に格納されたファイルの情報漏えいの検知が可能であるが、クライアントＰＣ外部のサーバ計算機にアクセスを行った場合に、クライアントＰＣ管理者が意図した漏えい検知を容易に行うことが出来ない。

クライアント計算機（例えばクライアントＰＣ）が、データをサーバ又は記憶デバイスに送信するためのユーザ操作を検知し、検知したユーザ操作が不正操作であるか否かを、第１及び第２のポリシ情報を基に判断し、その判断の結果が肯定的の場合に、送信されるデータのセキュリティに関する処理であるセキュリティ処理を行う。上記データが、ユーザが所属するグループ内のデータであり、且つ、そのデータの送信先が、そのグループ外のサーバ又は記憶デバイスの場合、上記の判断の結果が肯定的である。

第１のポリシ情報は、下記（ｘ１）毎に下記（ｙ１）を有する情報である。
（ｘ１）クライアント計算機に接続されたサーバの識別子、又は、クライアント計算機に接続された記憶デバイスの種別を表す情報、
（ｙ１）前記クライアント計算機に接続されたサーバ又は記憶デバイスから取得されたデータを前記クライアント計算機の記憶資源に格納するためのユーザ操作を不正操作とするか否かを表す情報。

第２のポリシ情報は、下記（ｘ２）毎に下記（ｙ２）を有する情報である。
（ｘ２）クライアント計算機に接続されたサーバの識別子、又は、前記クライアント計算機に接続された記憶デバイスの種別を表す情報、
（ｙ２）クラアント計算機の記憶資源内のデータを前記クライアント計算機に接続されたサーバ又は記憶デバイスに送信するためのユーザ操作を不正操作とするか否かを表す情報。

本発明の実施例１に係る不正操作検知システムの構成を示す。 クライアントＰＣ１２１の構成の一例を示す。 実施例１に係るクライアントＰＣ１２１の機能ブロック図である。 ユーザがＷｅｂブラウザでファイルをダウンロードする際にブラウザ監視モジュール３３０とダイアログ操作監視モジュール３４０が実行する処理の流れを示す。 ユーザがＷｅｂブラウザでファイルをダウンロードする際にブラウザ監視モジュール３３０、ダイアログ操作監視モジュール３４０、およびファイル操作監視モジュール３５０が実行する処理の流れを示す。 ユーザが電子メールに添付されたファイルをメーラでローカルファイルシステム２０９に保存する際にＴＣＰ通信監視モジュール３６０及びダイアログ操作監視モジュール３４０が実行する処理の流れを示す。 ユーザがメールに添付されたファイルをメーラでローカルファイルシステム２０９に保存する際にＴＣＰ通信監視モジュール３６０及びファイル操作監視モジュール３５０が実行する処理の流れを示す。 ユーザがＷｅｂブラウザでファイルをアップロードする際にブラウザ監視モジュール３３０及びダイアログ操作監視モジュール３４０が実行する処理の流れを示す。 ユーザがメーラを用いて添付ファイル付きメールを送信する際にＴＣＰ通信監視モジュール３６０及びダイアログ操作監視モジュール３４０が実行する処理の流れを示す。 ユーザがメーラを用いて添付ファイル付きメールを送信する際にＴＣＰ通信監視モジュール３６０及びファイル操作監視モジュール３５０が実行する処理の流れを示す。 ユーザが印刷操作を行う際にダイアログ操作監視モジュール３４０が実行する処理の流れを示す。 図１２Ａは、ユーザがファイルエクスプローラを用いてファイルサーバ１１５内の情報をローカルファイルシステム２０９にコピーする際にファイル操作監視モジュール３５０が実行する処理の流れを示す。図１２Ｂは、ユーザがファイルエクスプローラを用いてファイルをリムーバブルメディアにコピーする際にファイル操作監視モジュール３５０が実行する処理の流れを示す。 図１３Ａは、入力元ＤＢ３９３の構成を示す。図１３Ｂは、入力元識別子１３１１の一例を示す。 ブラウザ監視モジュール３３０が実行する処理の流れを示す。 ダイアログ操作監視モジュール３４０が実行する処理の流れを示す。 図１５の処理において生成されたメーラチェックスレッドに従う処理の流れを示す。 図１５の処理において生成されたＷｅｂブラウザチェックスレッドに従う処理の流れを示す。 図１５の処理において生成された印刷チェックスレッドに従う処理の流れを示す。 ファイル操作監視モジュール３５０が実行する処理の流れを示す。 ＴＣＰ通信監視モジュール３６０が実行する処理の流れを示す。 ファイルを入力する際のＷｅｂブラウザ画面の一例を示す。 管理サーバ１１１の構成の一例を示す。 実施例２に係るクライアントＰＣの機能ブロック図である。 実施例２に係るエージェントが行う不正操作処理の流れを示す。 セキュリティポリシの一部分を示す。 セキュリティポリシの一部分を示す。 セキュリティポリシの一部分を示す。 セキュリティポリシに対する条件設定を行う画面の一例を示す。 操作ログ格納テーブルの構成を示す。 操作ログ一覧表示画面の一例を示す図である。 イベント一覧表示画面の一例を示す図である。 「操作種別」及び「操作種別サブコード」の組合せの例を示す。

以下、図面を参照して、本発明の幾つかの実施例を説明する。

なお、以下の説明では、「プログラム」を主語として処理を説明する場合があるが、プログラムは、プロセッサ（例えばＣＰＵ（Central Processing Unit））によって実行されることで、定められた処理を、適宜に記憶資源（例えばメモリ）及び／又は通信インタフェース装置（例えば通信ポート）を用いながら行うため、処理の主語がプロセッサとされてもよい。プログラムを主語として説明された処理は、クライアント計算機（例えば、実施例１のクライアントＰＣ（Personal Computer）１２１）が行う処理としても良い。また、プロセッサは、ＣＰＵそれ自体であっても良いし、プロセッサが行う処理の一部又は全部を行うハードウェア回路を含んでも良い。計算機プログラムは、プログラムソースから各計算機にインストールされても良い。プログラムソースは、例えば、プログラム配布サーバ又は記憶メディアであっても良い。

また、管理システム（例えば、実施例１の管理サーバ１１１）は、一以上の計算機で構成されて良い。具体的には、例えば、管理計算機が情報を表示する場合、或いは、管理計算機が表示用情報を遠隔の計算機に送信する場合、管理計算機が管理システムである。また、例えば、複数の計算機で管理計算機と同等の機能が実現されている場合は、当該複数の計算機（表示を表示用計算機が行う場合は表示用計算機を含んで良い）が、管理システムである。

また、以下の説明では、クライアントＰＣに入力される情報、及び／又は、クライアントＰＣから出力される情報であって、ユーザから操作される情報として、「ファイル」を例に採る。

図１は、本発明の実施例１に係る不正操作検知システムの構成を示す。

本実施例では、ユーザがクライアントＰＣ１２１に入力するファイルの入力元（例えば、ファイルのダウンロード元、又は、ファイルが添付された電子メールの送信元）、及び、クライアントＰＣ１２１から出力するファイルの出力先（例えば、ファイルのアップロード先、又は、ファイルが添付された電子メールの送信先）が検知される。

具体的には、本実施例では、エージェントプログラム１２２が、下記の処理、
（＊）クライアントＰＣ１２１で稼動するアプリケーションプログラムに対する操作（ユーザによる操作）を監視する、
（＊）アプリケーションプログラムに対して、クライアントＰＣ１２１でファイルを使用できるようにそのファイルをクライアントＰＣ１２１に入力する操作がユーザによって行われた場合、入力されるファイル（入力ファイル）の入力元を識別し、且つ、その入力元を示す識別子（入力元識別子）を入力ファイルに付与する、
（＊）アプリケーションプログラムに対して、ファイルをクライアントＰＣ１２１から出力する操作がユーザによって行われた場合、クライアントＰＣ１２１から出力されるファイル（出力ファイル）の出力先を識別し、且つ、出力ファイルに付与されている入力元識別子を特定する、
（＊）特定された出力先と、特定された入力識別子から識別される入力元とに応じた処理（以下、制御処理）を行う、
を行う。制御処理は、例えば、下記のうちの少なくとも１つである。
（＊）アラートを生成し、そのアラートを管理サーバ１１１に出力すること。
（＊）クライアントＰＣ１２１から出力ファイルを出力先に出力することを禁止すること。

図１に示すように、情報センタ１０１と、拠点１０２がある。なお、図１では、拠点１０２（クライアンPC１２１）が、単数であるが、複数でも良い。

情報センタ１０１内のLAN（Local Area Network）１１７と、拠点１０２内のLAN１２４とが広域ネットワーク１０３を介して接続されている。情報センタ１０１は、さらに広域ネットワーク１０４を介してインターネットに接続されていて良い。

不正操作検知システムは、情報センタ１０１内に設置された管理サーバ１１１と、拠点１０２内に設置されたクライアントＰＣ１２１により構成される。LAN１１７及び１２４のうちの少なくとも一方が、LAN以外の通信ネットワークでも良い。

情報センタ１０１内と拠点１０２内とで構成された領域を、本実施例において「管理領域」と言う。また、管理領域内に配置された機器、例えば、メールサーバ１１４、ファイルサーバ１１５、組織内Ｗｅｂサーバ１１６、クライアントＰＣ１２１、ネットワークプリンタ１２３などを、本実施例において「管理対象」と言う。管理サーバ１１１は、これら管理対象を管理する。なお、図１によれば、１つの拠点１０２に１つのクライアントＰＣ１２１が示されている、１つの拠点１０２に複数のクライアントＰＣ１２１が存在しても良い。

管理サーバ１１１は、マネージャプログラム１１２（以下、マネージャと呼ぶことがある）と、ディスク１１３を含む記憶資源と、LAN１１７を介した通信を行うための通信インターフェース装置（図示せず）と、記憶資源及び通信インターフェース装置に接続されマネージャプログラム１１２を実行するプロセッサ（図示せず）とを有する。記憶資源は、ディスク１１３に加えて又は代えて、メモリを含んでも良い。マネージャ１１２は、不正操作検知システムの全体を統括する。ディスク１１３には、マネージャ１１２が不正操作検知システム内のクライアントＰＣ１２１を管理するために使用するPC管理DB（Data Base）が格納されている。PC管理DBは、マネージャ１１２が参照可能な他の物理記憶デバイスに格納されても良い。

クライアントＰＣ１２１は、LAN１２４を介した通信をするための通信インタフェース装置と、記憶資源（例えばメモリ）と、通信インタフェース装置及び記憶資源に接続されたプロセッサとを有する。クライアントＰＣ１２１の記憶資源には、例えば、OS（Operating System）、アプリケーションプログラム、及びエージェントプログラム１２２（以下、エージェントと呼ぶことがある）が記憶されている。エージェント１２２は、そのエージェント１２２を有するクライアントＰＣ１２１に対する、ユーザによる操作を監視する。

クライアントＰＣ１２１を使用するユーザは、１以上のアプリケーションプログラム（例えば、電子メール、Ｗｅｂサーバ、及びファイルサーバ）を用いて業務を遂行する。このため、情報センタ１０１には、それら１以上のアプリケーションプログラムによって入出力される情報を送受信する１以上のサーバ、例えば、メールサーバ１１４と、ファイルサーバ１１５と、組織内Ｗｅｂサーバ１１６が設置されている。これらは、LAN１１７に接続されている。また、インターネットには、クライアントＰＣ１２１からアクセス可能な組織外Ｗｅｂサーバ１３１が接続されている。

ここで、例えば、複数のクライアントＰＣ１２１が同一の組織に属するか否かは、クライアントＰＣ１２１間に存在する中継機器の種別、又は、複数のクライアントＰＣ１２１のIPアドレスを基に、決定されて良い。例えば、第１のクライアントＰＣ１２１と第２のクライアントＰＣ１２１間にゲートウェイが存在しない場合、又は、第１のクライアントＰＣ１２１の第１のＩＰアドレス「aaa.bbb.ccc.ddd」と第２のクライアントＰＣ１２１の第２のＩＰアドレス「eee.fff.ggg.hhh」とのうち、ｎ番目の区切りまで同じ場合（例えばｎ＝１又は２）、第１のクライアントＰＣ１２１と第２のクライアントＰＣ１２１が同一の組織に属する。言い換えれば、例えば、第１のクライアントＰＣ１２１と第２のクライアントＰＣ１２１間にゲートウェイが存在する場合、又は、第１のＩＰアドレス「aaa.bbb.ccc.ddd」と第２のＩＰアドレス「eee. fff.ggg.hhh」とのうち、ｎ番目の区切りが異なっている場合（例えばｎ＝１又は２）、第１のクライアントＰＣ１２１と第２のクライアントＰＣ１２１が異なる組織に属する。

ファイルの入力元（及び、ファイルの出力先）が組織内か組織外であるかは、例えば、メールの送信元の電子メールアドレスに含まれるドメイン名、入力元装置（例えばサーバ）のURLのドメイン名、入力元装置（例えばクライアントＰＣ）のIPアドレスを基に決定されて良い。

また、拠点１０２内のLAN１２４には、印刷に使用するネットワークプリンタ１２３が接続されている。なお、クライアントＰＣ１２１（及び／又は、組織外Ｗｅｂサーバ１３１）に接続されるリムーバブルメディア１２５は、管理サーバ１１１の管理対象ではない（例えば、検査対象である）。

図２２は、管理サーバ１１１の構成の一例を示す。

管理サーバ１１１は、ＣＰＵ２２０１、バス２２０２、メモリ２２０３、ディスク１１３、ネットワークI/F２２０５、デバイスI/F２２０６、表示デバイス２２０８、及び入力デバイス２２０９を有する。ディスク１１３が、PC管理DB２２０４を記憶する。デバイスI/F５２０６は、例えば、ＵＳＢ（Universal Serial Bus）インタフェースで構成される。メモリ２２０３上には、ＯＳ（Operating System）２２０７がロードされ、このＯＳ２２０７上で、マネージャプログラム１１２が動作する。ＯＳ２２７及びマネージャプログラム１１２は、ＣＰＵ２２０１で実行される。

図２は、クライアントＰＣ１２１の構成の一例を示す。

クライアントＰＣ１２１は、ＣＰＵ２０１、バス２０２、メモリ２０３、ローカルファイルシステム２０９、ネットワークI/F２０５、デバイスI/F２０６、入力デバイス２１０、及び、表示デバイス２１１を有する。入力デバイス２１０は、例えば、キーボード及びポインティングデバイス（例えばマウス）であって良い。表示デバイス２１１に、アプリケーションプログラム２０８が表示する画面（例えばGUI）、及び、エージェント１２２が表示する画面（例えばGUI）が表示される。入力デバイス２１０及び表示デバイス２１１が一体であっても良い（例えば、タッチパネル型の表示デバイスが備えられていても良い）。

デバイスI/F２０６は、例えば、USBインタフェースで構成される。メモリ２０３上には、ＯＳ２０７がロードされ、その上で、エージェント１２２、及び、１以上のアプリケーションプログラム（例えば、ファイルエクスプローラ、Ｗｅｂブラウザ、メーラ、ワードプロセッサ、表計算ソフトウェア）２０８が動作する。ＯＳ２０７、エージェント１２２及びアプリケーションプログラム２０８は、ＣＰＵ２０１で実行される。

ローカルファイルシステム２０９（物理記憶デバイス）には、システムポリシ３９１と、セキュリティポリシ（例えばＸＭＬ（eXtensible Markup Language）形式のデータ）３９２と、入力元ＤＢ３９３が記憶されている。セキュリティポリシ３９２は、例えば、アプリケーション毎に存在し、システムポリシ３９１は、全てのセキュリティポリシ３９２に共通であって良い。セキュリティポリシ３９２は、アラートを送信する処理等のセキュリティ処理を行うべき条件を表す情報（例えば、アプリケーションに固有の条件を表す情報）を有する。システムポリシ３９１は、アプリケーションに依存しない動作定義情報（例えば、マネージャ１１２と通信する際に管理サーバ１１１のどのポートにアクセスすれば良いかを表す情報）を有する。これら、システムポリシ３９１、セキュリティポリシ３９２及び入力元ＤＢ３９３については、後述する。なお、本実施例において、「アプリケーション」とは、以下の（Ａ）及び（Ｂ）、
（Ａ）一つ以上のアプリケーションプログラム、
（Ｂ）（ｂ１）当該プログラムの設定情報、（ｂ２）当該プログラムが受信する処理要求の内容、及び（ｂ３）当該プログラムが処理要求を受信する頻度、のうちの少なくとも１つ、
によって定められる、クライアントＰＣ１２１が行う一連のオペレーションであって良い。

また、「セキュリティ処理」とは、出力（送信）されるファイルのセキュリティに関する処理である。セキュリティ処理は、例えば、アラートを送信する処理に代えて又は加えて、ファイルを出力しない（ファイルの出力を禁止する）という処理でも良い。

ユーザは、ローカルファイルシステム２０９に保存されたファイル２０４を、アプリケーションプログラム２０８を用いて、クライアントＰＣ１２１の外部に出力することがある。出力の種類として、例えば、下記の４つがある。
（＊）ユーザが、ファイルエクスプローラを用いて、デバイスI/F２０６に接続されたリムーバブルメディア１２５にファイル２０４をコピーする。
（＊）ユーザが、ワードプロセッサや表計算ソフト等の特定のアプリケーションプログラムが有する印刷機能を用いて、ネットワークプリンタ１２３等のプリンタからファイル２０４が有する情報を印刷する。
（＊）ユーザが、メーラ（電子メールソフトウェア）で作成したメール本文にファイル２０４を添付して組織内および組織外のクライアントＰＣ１２１に送信する。
（＊）ユーザが、ファイル２０４を、ファイルサーバ１１５、組織内Ｗｅｂサーバ１１６又は組織外Ｗｅｂサーバ１３１にアップロードする。

また、ユーザは、アプリケーションプログラム２０８を用いて、クライアントＰＣ１２１の外部からローカルファイルシステム２０９にファイル２０４を入力することがある。入力の種類として、例えば、下記の３つがある。
（＊）ユーザが、ファイルエクスプローラを用いて、デバイスI/F２０６に接続されたリムーバブルメディア１２５内のファイル２０４を、ローカルファイルシステム２０９にコピーする。
（＊）ユーザが、メーラを用いて、メールサーバ１１４に到着した自分宛の電子メールに添付されているファイル２０４を、ローカルファイルシステム２０９にコピーする。
（＊）ユーザが、ファイル２０４を、ファイルサーバ１１５、組織内Ｗｅｂサーバ１１６又は組織外Ｗｅｂサーバ１３１からローカルファイルシステム２０９にダウンロードする。

図２１は、ユーザがクライアントＰＣ１２１でアプリケーションを操作して、ファイルを入力する際のＷｅｂブラウザ画面の一例を示す。

Ｗｅｂブラウザ画面（表示デバイス２１１に表示される画面）２１０１上には、いわゆるリンクと呼ばれるエリア（例えば、マウス等のポインティングデバイス（クライアントＰＣ１２１に接続される入力装置）を用いてクリックすると、画面遷移等を起こすエリア）が存在する。図２１によれば、そのエリアに、リンク文字列２１０２が表示されている。

リンク文字列２１０２上にマウスカーソルを置き、左ボタンをクリックした場合、次の画面（ページとも言う）に遷移するか、もしくは、ダウンロードダイアログ２１１１が表示される。ダウンロードダイアログ２１１１は、クリックしたリンク先にある対象をダウンロードするためのダイアログである。

また、リンク文字列２１０２上にマウスカーソルを置き、右ボタンをクリックした場合、いわゆるコンテキストメニュー２１０３と呼ばれるポップアップウィンドウが表示される。ここで表示されたコンテキストメニュー２１０３には、「対象をファイルに保存（A）…」という項目があり、この項目を左クリックすることにより、対象をダウンロードするためのダウンロードダイアログ２１１１が表示される。

ダウンロードダイアログ２１１１には、ダウンロードしたファイルを保存する場所を示すフィールド２１１２と、保存するフォルダの選択肢を表示するフィールド２１１３と、保存するファイル名を示すフィールド２１１４とがある。保存するファイル名は書き換えることが可能である。ユーザは、フィールド２１１２および２１１３を操作してファイルを保存するフォルダを選択し、必要に応じてフィールド２１１４で保存ファイル名を変更し、保存ボタン２１１５をクリックすることにより、Ｗｅｂブラウザを用いてファイルをダウンロードし、任意のフォルダにファイルを保存することができる。

図３は、実施例１に係るクライアントＰＣ１２１の機能ブロック図である。

エージェント１２２は、マネージャ１１２との通信を担当するマネージャ通信機能モジュール３０１と、クライアントＰＣ１２１に対するユーザ操作を監視する複数の監視モジュールを統括する監視モジュール制御機能３０２とを有する。

監視モジュールとして、例えば、プロセス監視モジュール３１０と、プリンタ監視モジュール３２０と、ブラウザ監視モジュール３３０と、ダイアログ操作監視モジュール３４０と、ファイル操作監視モジュール３５０と、ＴＣＰ通信監視モジュール３６０とがある。詳細は、下記の通りである。
（＊）プロセス監視モジュール３１０は、クライアントＰＣ１２１上で稼動するアプリケーションプログラム２０８の稼働状況を監視対象とする。
（＊）プリンタ監視モジュール３２０は、ネットワークプリンタ１２３を含むプリンタ３０４への出力操作を監視対象とする。
（＊）ブラウザ監視モジュール３３０は、Ｗｅｂブラウザ３０５に対するユーザ操作を監視対象とする。
（＊）ダイアログ操作監視モジュール３４０は、クライアントＰＣ１２１の画面上に表示される各種ダイアログ３０６に対するユーザ操作（例えば、ファイルを選択してダウンロード或いはアップロードするための操作）を監視対象とする。
（＊）ファイル操作監視モジュール３５０は、アプリケーションプログラム２０８に対する操作（例えば、ボタンのクリックやアプリケーションウィンドウ内に表示されたオブジェクトのドラッグ＆ドロップなど）を監視対象とする。
（＊）ＴＣＰ通信監視モジュール３６０は、メーラなど、ネットワークを介してデータを送受信するアプリケーションプログラムが、ユーザの操作によりTCP/IP（Transmission Control Protocol/ Internet Protocol）のソケット３０８等を用いてデータストリームを送信もしくは受信している状況を監視対象とする。

また、エージェント１２２は、各種モジュールの動作を制御するための設定ファイルであるシステムポリシ３９１と、特にセキュリティに関連する制御を行うための設定ファイルであるセキュリティポリシ３９２を使用する。また、エージェント１２２は、入力されたファイルに関する情報とその入力元の識別子との組合せが登録される入力元ＤＢ３９３も使用する。入力元ＤＢ３９３の構成、システムポリシ３９１及びセキュリティポリシ３９２の役割については後述する。

プロセス監視モジュール３１０は、起動検知機能３１１と、抑止機能３１２と、ユーザ通知機能３１３とを有する。

起動検知機能３１１は、クライアントＰＣ１２１上でアプリケーションプログラム２０８の起動が要求されたことを検知する。抑止機能３１２は、起動されるアプリケーションプログラム２０８がセキュリティポリシ３９２に抵触するものである場合に、起動を抑止する。ユーザ通知機能３１３は、ユーザに起動を抑止したことを通知する。

プリンタ監視モジュール３２０は、印刷検知機能３２１と、抑止機能３２２と、ユーザ通知機能３２３とを有する。

印刷検知機能３２１は、クライアントＰＣ１２１上でプリンタ３０４を用いた印刷がユーザから要求されたことを検知する。抑止機能３２２は、印刷される情報を有するファイルがセキュリティポリシ３９２に抵触するものである場合に、印刷を抑止する。ユーザ通知機能３２３は、ユーザに印刷を抑止したことを通知する。

ブラウザ監視モジュール３３０は、アクセス検知機能３３１と、検知内容保持機能３３２とを有する。

アクセス検知機能３３１は、クライアントＰＣ１２１がＷｅｂサーバ１１６又は１３１にアクセスしたことを検知する。検知内容保持機能３３２は、アクセス先のＷｅｂサーバ１１６又は１３１のURL（Uniform Resource Name）、受信したHTML（Hypertext Markup Language）ファイル等を一時的に保持する。

ダイアログ操作監視モジュール３４０は、ダイアログ検知機能３４１と、入力元情報付与・検査機能３４２とを有する。

ダイアログ検知機能３４１は、ユーザがクライアントＰＣ１２１上のアプリケーションプログラム２０８を操作することによりダイアログ（例えば、ファイル選択用ダイアログ、もしくは印刷用ダイアログ）が表示されたことを検知する。入力元情報付与・検査機能３４２は、ダイアログ３０６を用いて操作されたファイルに対し、そのファイルの入力元の識別情報の付与、および、付与された入力元識別子の検査を実行する。

ここで、ファイル選択用ダイアログを表示する操作とは、例えば、Ｗｅｂブラウザを用いてファイルをダウンロードもしくはアップロードする操作や、メーラを用いて受信メールから添付ファイルを保存する操作もしくは送信メールにファイルを添付する操作がある。また、印刷用ダイアログを表示する操作とは、例えば、ワードプロセッサや表計算ソフトで印刷機能を選択する操作が該当する。

ファイル操作監視モジュール３５０は、操作検知機能３５１と、入力元情報付与・検査機能３５２とを有する。

操作検知機能３５１は、ユーザがクライアントＰＣ１２１上の各種アプリのウィンドウ上での操作（マウスボタンのクリックや、ウィンドウ内に表示されたオブジェクトのドラッグ＆ドロップなど）が行われたことを検知する。入力元情報付与・検査機能３５２は、マウスを用いて操作されたファイルに対し、そのファイルの入力元に関する情報の付与、および、付与された入力元に関する情報の検査を実行する。

ここで、マウスボタンのクリックによるファイル操作とは、例えば、Ｗｅｂブラウザの画面上に表示されたリンクを右クリックし、表示されたメニューに、リンクが指し示すオブジェクトをファイルとして保存する操作や、メーラの受信メッセージ画面に添付されていたファイルをドラッグ＆ドロップし、デスクトップ上にコピーする操作が該当する。

ＴＣＰ通信監視モジュール３６０は、ソケット受信検知機能３６１と、プロトコル解析機能３６２と、登録・通知機能３６３とを有する。

ソケット受信検知機能３６１は、ユーザがクライアントＰＣ１２１
上のネットワークプリケーションで操作を行った結果、ネットワークを介してファイルの送受信が行われたことを検知する。プロトコル解析機能３６２は、ソケット３０８を介して送受信されたファイルを解析する。登録・通知機能３６３は、ソケット３０８を介してファイルがクライアントＰＣ１２１にダウンロードされた場合に、そのファイルの入力元識別情報を入力元ＤＢ３９３に登録するとともに、そのファイルの入力元識別情報を入力元情報付与・検査モジュール３４２又は３５２に通知する。

上記の各監視モジュールは、検知した事項に応じて、他の監視モジュール又は入力元ＤＢ３９３と通信する機能と、監視モジュール制御機能３０２およびマネージャ通信機能３０１を介してマネージャ１１２にアラートを送信する機能と、アラートやログ（検知した事項を表すログ）を生成する機能とを有する。

なお、以後の説明では、ファイルに関する情報などの表現にて情報を説明するが、これらの情報は、テーブル等のデータ構造以外で表現されてもよい。そのため、データ構造に依存しないことを示すために、「ファイルに関する情報」等について、単に「情報」と呼ぶことがある。同様に、ＤＢとして説明した部分についても必ずしもデータベースとしてのデータ構造を有することは必須ではないため、ＤＢとした説明についても単に「情報」と呼ぶことがある。

また、各情報を説明する際に、「識別情報」、「識別子」、「名」、「名前」、「ID」という表現を用いるが、これらについては互いに置換が可能である。

また、本実施例は、必ずしもスレッド機構を用いて実現する必要なく、マイクロスレッドやプロセス機構等ＯＳが提供するプログラムの実行を管理する機構によって実行できればどのような機構を用いても良い。

なお、管理サーバ１１１は入出力装置を有する。この入出力装置の例としては、ディスプレイとキーボードとポインタデバイスを挙げることができるが、これ以外の装置であってもよい。また、入出力装置の代替として、シリアルインターフェースやイーサーネットインターフェースを入出力装置とし、当該インタフェースにディスプレイ又はキーボード又はポインタデバイスを有する表示用計算機を接続し、表示用情報を表示用計算機で表示を行い、入力を受け付けることで入出力装置での入力及び表示を代替してもよい。

ユーザが、ファイルをクライアントＰＣ１２１に入力する操作を行った場合に行われる処理の幾つかの例を図４〜図７に従って説明する。

図４は、ユーザがＷｅｂブラウザでファイルをダウンロードする際にブラウザ監視モジュール３３０とダイアログ操作監視モジュール３４０が実行する処理の流れを示す。なお、図４において、入力の対象となるファイルを、便宜上、「ファイルＦ４」と記載する。

ユーザがＷｅｂブラウザに表示されたリンクの左クリック操作を行うと（ステップ４０１）、Ｗｅｂブラウザでは、ページ遷移のユーザ操作イベントが発生する。そして、ブラウザ監視モジュール３３０は、ページ遷移のユーザ操作イベントを検知する（ステップ４０２）。ブラウザ監視モジュール３３０は、遷移後のURL（すなわちクリックされたリンク先のオブジェクトのURL）を保存し、ダイアログ操作監視モジュール３４０からの情報提供リクエストを待つ（ステップ４０３）。

一方、左クリック操作により、リンク先のオブジェクトが、Ｗｅｂブラウザでインライン表示できないタイプの情報である場合には、ファイルダウンロードダイアログが表示される。この場合、ダイアログ操作監視モジュール３４０は、ファイルダウンロードダイアログが表示されたときに、ダイアログ操作イベントを検知し（ステップ４０４）する。ダイアログ操作監視モジュール３４０は、ブラウザ監視モジュール３３０に、遷移後URL情報（遷移後のURLを表す情報）をリクエストし、その後、ブラウザ監視モジュール３３０から遷移後URL情報を入力する（ステップ４０５）。

ファイルダウンロードダイアログで保存ボタンがクリックされると、ダイアログ操作監視モジュール３４０は、ダイアログに表示された情報（OS２０７の処理による情報）から保存先ファイル名を入力する。そして、ダイアログ操作監視モジュール３４０は、ファイルＦ４の保存先情報として、フルパス（ファイルＦ４のパス名）を取得する（ステップ４０６）。さらに、ダイアログ操作監視モジュール３４０は、ステップ４０５で入力した遷移後URL情報から特定されるサーバが、組織内Ｗｅｂサーバ１１６であった場合には、ファイルＦ４を監視対象として、ファイルＦ４にファイルＦ４の入力元を示す識別子を付与する（ステップ４０７）。また、ファイルＦ４の遷移後URL情報から特定されるサーバが、組織外Ｗｅｂサーバ１３１であった場合には、ダイアログ操作監視モジュール３４０は、以下の（ａ）又は（ｂ）、
（ａ）ファイルＦ４を監視対象でないとして、ファイルＦ４にファイルＦ４の入力元を示す識別子を付与する、
（ｂ）ファイルＦ４にファイルＦ４の入力元を示す識別子を付与しない、
を行う。

なお、ファイルＦ４の入力元（ダウンロード元）が組織内Ｗｅｂサーバ１１６の場合にファイルＦ４が監視対象とされ、ファイルＦ４の入力元が組織外Ｗｅｂサーバ１３１の場合にファイルＦ４が監視対象とされない理由の１つは、次の通りである。すなわち、ファイルＦ４の入力元が組織内であれば、ファイルＦ４がコンフィデンシャルであり、故に、ファイルＦ４が組織外に出力されたならばそれを検知すべきであると考えられる。一方、ファイルＦ４の入力元が組織外であれば、再びファイルＦ４が組織外に出力されても、組織にとって特に問題ではないと考えられる。

この識別子は、クライアントＰＣ１２１が利用するローカルファイルシステム２０９が、例えば、Microsoft社のNTFS（NT File System）であれば、「代替ストリーム」を用いて実現することができる。

図５は、ユーザがＷｅｂブラウザでファイルをダウンロードする際にブラウザ監視モジュール３３０、ダイアログ操作監視モジュール３４０、およびファイル操作監視モジュール３５０が実行する処理の流れを示す。なお、図５において、入力の対象となるファイルを、便宜上、「ファイルＦ５」と記載する。

ユーザがＷｅｂブラウザでページを表示すると、ブラウザ監視モジュール３３０は、ページ遷移のユーザ操作イベントを検知する（ステップ５０１）。この際、Ｗｅｂブラウザは、遷移後URL情報およびページソースを保持し、ブラウザ監視モジュール３３０の要求に応じてそれらを渡すことができるようになる。この状態で、Ｗｅｂブラウザに表示されているリンクに対して、ユーザが右クリック操作を行うと（ステップ５０３）、マウス操作イベントが発生し、ファイル操作監視モジュール３５０は、そのイベントを検知する（ステップ５０５）。

マウス操作イベントの発生を検知したファイル操作監視モジュール３５０は、Ｗｅｂブラウザ上でマウス操作イベントが発生した位置に関する情報を、オブジェクト関連情報として保存し、その情報を、ブラウザ監視モジュール３３０に送付する（ステップ５０６）。

ブラウザ監視モジュール３３０は、Ｗｅｂブラウザでページが表示されるたびに、遷移後のページのURL情報、および、ページのソースを、保存する（ステップ５０２）。

ユーザの右クリックにより、表示されたコンテキストメニューの中から、「ファイルの保存」に関する項目が選択されると（ステップ５０４）、ファイル保存ダイアログが表示される。

ダイアログ操作監視モジュール３４０は、上記のダイアログ表示イベントを検知すると（ステップ５０７）、ブラウザ監視モジュール３３０から、表示されたページのURL情報及びページソース（ページデータ）を取得する（ステップ５０８）。さらに、ダイアログ操作監視モジュール３４０は、ファイルＦ５の保存（ダウンロード）のためのファイルパスを取得し（ステップ５１０）する。ファイルＦ５についてのURL情報から特定されるに含まれるサーバが組織内Ｗｅｂサーバ１１６である場合、ダイアログ操作監視モジュール３４０は、ファイルＦ５を監視対象であるとして、ファイルＦ５にファイルＦ５の入力元識別子を付与する（ステップ５１１）。また、ファイルＦ５についてのURL情報から特定されるサーバが組織外Ｗｅｂサーバ１３１である場合、ダイアログ操作監視モジュール３４０は、以下の（ａ）又は（ｂ）、
（ａ）ファイルＦ５を監視対象でないとして、ファイルＦ５にファイルＦ５の入力元識別子を付与する、
（ｂ）ファイルＦ５にファイルＦ５の入力元識別子を付与しない、
を行う。なお、ファイルＦ５に付与された入力元識別子は、例えば、ファイルＦ５のメタデータに含まれても良い。

図６は、ユーザが電子メールに添付されたファイルをメーラでローカルファイルシステム２０９に保存する際にＴＣＰ通信監視モジュール３６０及びダイアログ操作監視モジュール３４０が実行する処理の流れを示す。なお、図６において、入力の対象となるファイルを、便宜上、「ファイルＦ６」と記載する。また、電子メールを単に「メール」と言う。

ユーザがメーラを起動したり、メールの表示操作を実行したりするなどのメッセージ受信操作を行うと（ステップ６０１）、POP（Post Office Protocol）３やIMAP（Internet Message Access Protocol ）４などのプロトコルに従い、メーラが、メールサーバ１１４からメール（メッセージ）を受信（ダウンロード）する。すると、ネットワークドライバやTCP/IPプロトコルスタックの中でソケットを監視するＴＣＰ通信監視モジュール３６０は、受信したメールの解析処理を実施し（ステップ６０３）、受信メールから送信者名および添付ファイル名を取得する（ステップ６０４）

さらに、ＴＣＰ通信監視モジュール３６０は、Base６４等でコード化された添付ファイルをデコードし、ハッシュ値を計算する（ステップ６０５）。

ステップ６０４およびステップ６０５により得られた添付ファイル名、ハッシュ値、および添付ファイルの送信者名は、入力元ＤＢ３９３に登録される（６０６）。入力元ＤＢ３９３は、図１３Ａに示すように、ファイル毎に、下記の情報、
（＊）ファイルの名称を表すファイル名１３０１、
（＊）そのファイルを添付ファイルとして有するメールの送信者の名前を表す送信者名１３０２、
（＊）ファイル（又は、ファイルのメタデータ以外であるファイル本体）のハッシュ値１３０３、
を有する。なお、図１３Ｂに示す参照１３１１が示す情報は、ファイルに付与される入力元識別子の一例である。

ユーザが、メーラを用いてメール本文を閲覧している最中に、添付ファイルＦ６をローカルファイルシステム２０９に保存する操作を実行しようとすることがある（この操作は、メールをダウンロードした直後ではなく、相当の時間をあけて実行されることがある）。

ユーザが、ファイル保存ダイアログを用いて添付ファイルＦ６を保存する操作を行うと（ステップ６０２）、ダイアログ操作監視モジュール３４０は、ダイアログ表示イベントを検知し（ステップ６０７）、ダイアログに表示された情報（例えばユーザから指定された情報）からファイル名を入力し（ステップ６０８）、ファイルＦ６の保存先のフルパスを入力する（ステップ６０９）。さらに、ダイアログ操作監視モジュール３４０は、上記ダイアログに表示されたファイル名をキーとして入力元ＤＢ３９３を検索し、入力元ＤＢ３９３から、そのファイル名に対応する送信者名及びハッシュ値を取得する（ステップ６１０）。

ここで、添付ファイル名が一般的な名称、例えば「仕様書.doc」といったものである場合（図１３Ａ参照）、入力元ＤＢ３９３には、「仕様書.doc」というファイル名のファイルについて複数のレコードが登録されている場合も考えられる。そのような場合には、ダイアログ操作監視モジュール３４０は、ステップ６０８で入力したファイル名のファイルＦ６のハッシュ値を計算し、ファイル名に代えて又は加えて、そのハッシュ値をキーとして入力元ＤＢ３９３を検索することにより、ローカルファイルシステム２０９に保存される添付ファイルＦ６を有するメールの送信者名を取得することが可能である。ファイルのハッシュ値の計算は、ステップ６１０で必ず行われても良いし、ステップ６０８で取得されたファイル名が特定の条件に適合する（例えば、そのファイル名が一般的な名称である）場合に限り、行われても良い。

ステップ６１０では、ファイルＦ６のハッシュ値が計算される。ダイアログ操作監視モジュール３４０は、算出された第１のハッシュ値と、入力元ＤＢ３９３から取得された第２のハッシュ値１３０３とを比較する。第１及び第２のハッシュ値が互いに等しく、且つ、ファイルＦ６を有するメールの送信者が、組織内の別ユーザ（そのメールを受信したクライアントＰＣ１２１（ユーザ）が属する組織と同じ組織のユーザ）である場合、ダイアログ操作監視モジュール３４０は、ファイルＦ６を監視対象であるとして、ファイルＦ６にファイルＦ６の入力元識別子を付与する（ステップ６１１）。一方、第１及び第２のハッシュ値が互いに等しく、且つ、ファイルＦ６を有するメールの送信者が、組織外の別ユーザ（そのメールを受信したクライアントＰＣ１２１（ユーザ）が属する組織と異なる組織のユーザ）である場合、ダイアログ操作監視モジュール３４０は、以下の（ａ）又は（ｂ）、
（ａ）ファイルＦ６を監視対象で無いとして、ファイルＦ６に入力元識別子を付与する、
（ｂ）ファイルＦ６にファイルＦ６の入力元識別子を付与しない、
を行う。（ステップ６１１）。なお、第１及び第２のハッシュ値が互いに等しくない場合、ファイルＦ６が、メール以外の他の方法でクライアントＰＣ１２１に入力されたとして、ダイアログ操作監視モジュール３４０は、ファイルＦ６にファイルＦ６の入力識別子を付与する。

図７は、ユーザがメールに添付されたファイルをメーラでローカルファイルシステム２０９に保存する際にＴＣＰ通信監視モジュール３６０及びファイル操作監視モジュール３５０が実行する処理の流れを示す。なお、図７において、入力の対象となるファイルを、便宜上、「ファイルＦ７」と記載する。

ステップ７０１からステップ７０６までの処理は、図６におけるステップ６０１からステップ６０６と同じである。図７では、図６と比較して、添付ファイルをローカルファイルシステム２０９に保存する操作が異なる。

つまり、図７では、ユーザが、メーラを用いてメール本文を閲覧している最中に、添付ファイルをローカルファイルシステム２０９に保存する操作として、メーラ画面内に表示された添付ファイルＦ７を示すアイコンを、デスクトップやファイルエクスプローラにドラッグ＆ドロップする。

このような操作を行う場合、ファイル操作監視モジュール３５０は、メーラ画面からのマウスによるドラッグ＆ドロップイベントを検知する（ステップ７０７）。さらに、ファイル操作監視モジュール３５０は、ローカルファイルシステム２０９に対するファイル生成イベントを監視している。ファイル操作監視モジュール３５０は、マウスによるドラッグ＆ドロップ操作に応答して、ローカルファイルシステム２０９で生成されたファイルＦ７の名称とフルパスを取得し（ステップ７０８及び７０９）、ファイル名およびファイルのハッシュ値をキーとして、入力元ＤＢ３９３から、ファイルＦ７の送信者名を取得する（７１０）。

次に、ユーザがクライアントＰＣに対してファイルの出力操作を行った場合に行われる処理の幾つかの例を図８〜図１１に従って説明する。

図８は、ユーザがＷｅｂブラウザでファイルをアップロードする際にブラウザ監視モジュール３３０及びダイアログ操作監視モジュール３４０が実行する処理の流れを示す。なお、図８において、出力の対象となるファイルを、便宜上、「ファイルＦ８」と記載する。

Ｗｅｂブラウザに表示された、ファイルアップロードに使用するフォーム画面で、ユーザが、アップロード対象のファイルを追加するボタンをクリックする（ステップ８０１）。この場合、Ｗｅｂブラウザは、ファイル選択ダイアログを表示する。ダイアログ操作監視モジュール３４０は、ファイル選択ダイアログが表示されたイベントを検知し、選択されたファイルの名称を取得するとともに、ファイルオープンの監視を開始する（ステップ８０５）。

ユーザが、ファイル選択ダイアログを用いてファイルＦ８を選択し、上記フォーム画面においてファイル登録ボタンをクリックする（ステップ８０２）。この場合、フォーム画面がＷｅｂサーバ１１６又は１３１にサブミットされて、Ｗｅｂブラウザに表示された画面が遷移する。

ブラウザ監視モジュール３３０は、その結果として発生するページ遷移イベントを検知し（ステップ８０３）、遷移後のURLの情報を保存する（ステップ８０４）。

このとき、ファイルアップロードがＷｅｂサーバ１１６又は１３１にサブミットされた場合、ダイアログ操作監視モジュール３４０は、ファイルＦ８に対するファイルオープンを検知し（ステップ８０６）、ファイルＦ８のファイルパスをOS２０７から取得する（ステップ８０７）。

さらに、ダイアログ操作監視モジュール３４０は、ブラウザ監視モジュール３３０から、ページ遷移後のURL情報を取得する。ダイアログ操作監視モジュール３４０は、ファイルＦ８のアップロード先のＷｅｂサーバが組織外Ｗｅｂサーバ１３１の場合、ファイルＦ８の出力先が検査対象であるとして、ファイルＦ８の入力元識別子を取得する。そして、ダイアログ操作監視モジュール３４０は、ファイルＦ８のアップロードに関わるアプリケーションに対応したセキュリティポリシ（図２参照）３９２を基に、アラート処理を行う（ステップ８０９）。例えば、ファイルＦ８が、組織内入力ファイル（例えば、組織内のファイルサーバ１１５からコピーされたファイル、組織内Ｗｅｂサーバ１１６からダウンロードされたファイル、又は、組織内のクライアントＰＣ１２１から受信したメールに添付されていたファイル）である場合、アラート処理が実施されて良い。

アラート処理とは、クライアントＰＣ１２１から出力（エクスポート）されるファイルが不正操作によって入力（インポート）されたファイルであるとして、不正操作の条件に適合することを意味するアラート（正確には、アラートを表す情報）を生成し、生成したアラートを、管理サーバ１１１に送信する処理である。アラート処理は、下記の条件（ａ）〜（ｃ）の全てが満たされている場合に、行われて良い。この場合、条件（ａ）〜（ｃ）を表す情報が、セキュリティポリシ３９２に記述されていて良い。
（ａ）クライアントＰＣ１２１から出力されるファイルの出力先（例えば、ファイルＦ８のアップロード先のＷｅｂサーバ）が、組織外Ｗｅｂサーバ１３１（即ち、管理サーバ１１１の管理対象とは異なる検査対象）である。
（ｂ）クライアントＰＣ１２１から出力されるファイル（例えば、クライアントＰＣ１２１で処理されたファイル）が、組織内入力ファイル（例えば、組織内のファイルサーバ１１５からコピーされたファイル、組織内Ｗｅｂサーバ１１６からダウンロードされたファイル、又は、組織内のクライアントＰＣ１２１から受信したメールに添付されていたファイル）である。
（ｃ）ファイルの入力元識別子から特定された入力元が、管理サーバ１１１の管理対象である。

この場合、管理サーバ１１１内のマネージャ１１２は、クライアントＰＣ１２１からアラートを受信し、アラートを記憶資源（例えばディスク１１３）に格納して良い。マネージャ１１２は、情報漏えい事故につながるリスクの高い不正操作が検出されたとして、アラートを出力（例えば表示）して良い。管理者は、管理サーバ１１１に収集されたアラートを基に、情報漏えいを抑制するための対策を実行することができる。

アラート処理に代えて又は加えて、他種のセキュリティ処理（例えば、ファイルＦ８のアップロードを中止する（禁止する）処理、及び／または、ファイルＦ８のアップロードに関わるアプリケーションに対応したセキュリティポリシ３９２で規定されている処理）が行われて良い。また、ファイルＦ８の入力元識別子から特定される入力元とファイルＦ８のアップロード先との関係が、ファイルＦ８のアップロードに関わるアプリケーションに対応したセキュリティポリシ３９２が表す条件に適合する場合、ダイアログ操作監視モジュール８０９が、セキュリティ処理（例えばアラート処理）を行って良い。

図９は、ユーザがメーラを用いて添付ファイル付きメールを送信する際にＴＣＰ通信監視モジュール３６０及びダイアログ操作監視モジュール３４０が実行する処理の流れを示す。なお、図９において、出力の対象となるファイルを、便宜上、「ファイルＦ９」と記載する。

ユーザが、メーラで送信メールを作成中に、ファイル選択ダイアログを用いてファイルＦ９を添付する操作を行う（ステップ９０１）。この場合、ダイアログ操作監視モジュール３４０は、ファイル選択ダイアログの表示イベントを検知する（ステップ９０６）。そして、ダイアログ操作監視モジュール３４０は、選択されたファイルＦ９の名称およびフルパスを取得して（ステップ９０７）、メールが送信されるまで待機する。なお、ステップ９０１では、ダイアログ操作監視モジュール３４０は、添付ファイルＦ９のハッシュ値（第１のハッシュ値）を計算する。ダイアログ操作監視モジュール３４０は、第１のハッシュ値と、ファイルＦ９のファイル名と、送信先情報（例えば、宛先の電子メールアドレス）とのセットを、図示しない出力先管理情報（例えば、出力先DB（図示せず））に登録して良い。

この後、ユーザが、メーラでメール送信操作を実施すると（ステップ９０２）、ＴＣＰ通信監視モジュール３６０は、SMTP（Simple Mail Transfer Protocol）のプロトコルで送信されるデータを解析する（ステップ９０３）。ステップ９０３で、例えば、ＴＣＰ通信監視モジュール３６０は、そのメールの添付ファイルＦ９のハッシュ値を計算する。そして、ＴＣＰ通信監視モジュール３６０は、ステップ９０１で算出された第１のハッシュ値と、ステップ９０３で算出された第２のハッシュ値とを比較することにより、送信先情報および添付ファイル名を取得する（ステップ９０４）。ステップ９０４で取得された送信先情報及びファイル名は、例えば、第２のハッシュ値と一致する第１のハッシュ値に対応付けられている送信先情報及びファイル名であって、上記出力先管理情報から取得された情報である。なお、送信メールにファイルが添付されていない場合、ステップ９０３及び９０４は行われないで良い。

送信メールにファイルＦ９が添付されており、かつ、メール送信先が組織外である場合、ＴＣＰ通信監視モジュール３６０は、待機中のダイアログ操作監視モジュール３４０に、ファイルＦ９に関する属性情報（例えば、メールが組織外のあて先に送信される）ことを通知する（ステップ９０５）。

ダイアログ操作監視モジュール３４０は、送信メールに添付されたファイルＦ９の入力元識別子を取得する。そして、ダイアログ操作監視モジュール３４０は、ファイルＦ９を添付したメールの送信に関わるアプリケーションに対応したセキュリティポリシ（図２参照）３９２を基に、セキュリティ処理を行う（ステップ９０８）。例えば、ファイルＦ９が、組織内入力ファイル（例えば、組織内のクライアントＰＣ１２１から受信したメールに添付されていたファイル）である場合、アラート処理が実施されて良い。

図１０は、ユーザがメーラを用いて添付ファイル付きメールを送信する際にＴＣＰ通信監視モジュール３６０及びファイル操作監視モジュール３５０が実行する処理の流れを示す。なお、図１０において、出力の対象となるファイルを、便宜上、「ファイルＦ１０」と記載する。

ユーザが、メーラで送信メールを作成中に、ドラッグ＆ドロップでファイルＦ１０を添付する操作を行う（ステップ１００１）。ファイル操作監視モジュール３５０は、ファイルエクスプローラ等から、メーラのウィンドウにファイルがドラッグ＆ドロップされたことを検知する（ステップ１００６）。ファイル操作監視モジュール３５０は、選択されたファイルＦ１０の名称およびファイルのフルパスを取得して（ステップ１００７）、メールが送信されるまで待機する。ステップ１００１では、ステップ９０１と同様、ファイルＦ１０の第１のハッシュ値が算出される。

この後、ユーザが、メーラでメール送信操作を実施すると（ステップ１００２）、ＴＣＰ通信監視モジュール３６０は、SMTPのプロトコルで送信されるデータを解析し（ステップ１００３）、送信先情報および添付ファイル名を取得する（ステップ１００４）。ステップ１００３で、通信監視モジュール３６０が、添付ファイルＦ１０の第２のハッシュ値を算出する。第２のハッシュ値と一致する第１のハッシュ値に対応した送信先情報および添付ファイル名が取得される。

送信メールにファイルＦ１０が添付されており、かつ、メール送信先が組織外である場合、ＴＣＰ通信監視モジュール３６０は、待機中のダイアログ操作監視モジュール３４０に、ファイルＦ１０に関する属性情報（メールが組織外のあて先に送信されること）を通知する（ステップ１００５）。

ファイル操作監視モジュール３５０は、第１及び第２のハッシュ値が互いに一致している場合、送信メールに添付されているファイルＦ１０の入力元識別子を取得する。そして、ファイル操作監視モジュール３５０は、ファイルＦ１０を添付したメールの送信に関するアプリケーションに対応するセキュリティポリシ（図２参照）に基づき、セキュリティ処理を行う（ステップ１００８）。例えば、ファイルＦ１０が、組織内入力ファイルの場合、ファイル操作監視モジュール３５０は、アラート処理を実施して良い。

図１１は、ユーザが印刷操作を行う際にダイアログ操作監視モジュール３４０が実行する処理の流れを示す。なお、図１１において、出力の対象となるファイルを、便宜上、「ファイルＦ１１」と記載する。

ユーザが、アプリケーションプログラム（例えばワードプロセッサ）に対して印刷操作を行う（ステップ１１０１）。この場合、ダイアログ操作監視モジュール３４０は、印刷ダイアログの表示イベントを検知し（ステップ１１０３）、印刷を実施するアプリケーションプログラムのウィンドウタイトルを取得する（ステップ１１０４）。その後、アプリケーションプログラムがオープンし、ダイアログ操作監視モジュール３４０は、印刷を実行しようとしているファイルＦ１１のフルパスを取得する（ステップ１１０５）。

この後、ユーザが、印刷ダイアログにおいて印刷ボタンをクリックすると（ステップ１１０２）、ダイアログ操作監視モジュール３４０は、ダイアログがクローズされたことを検知する（ステップ１１０６）。ダイアログ操作監視モジュール３４０は、送信されたファイルＦ１１の入力元識別情報を取得する。そして、ダイアログ操作監視モジュール３４０は、ファイルＦ１１が有する情報の印刷に関するアプリケーションに対応するセキュリティポリシ（図２参照）に基づき、セキュリティ処理を行う（ステップ１１０７）。例えば、ファイルＦ１１が、組織内入力ファイルの場合、ダイアログ操作監視モジュール３４０は、アラート処理を実施する。

図１２Ａは、ユーザがファイルエクスプローラを用いてファイルサーバ１１５内の情報をローカルファイルシステム２０９にコピーする際にファイル操作監視モジュール３５０が実行する処理の流れを示す。なお、図１２Ａにおいて、入力の対象となるファイルを、便宜上、「ファイルＦ１２A」と記載する。

ユーザが、ファイルエクスプローラを用いたファイルのコピー、もしくは移動操作を行うと（ステップ１２０１）、ファイル操作監視モジュール３５０は、ファイルのコピー元とコピー先を特定する処理を行う（ステップ１２０２）。そして、ファイル操作監視モジュール３５０は、コピー元がファイルサーバ１１５で、コピー先がクライアントＰＣ１２１である場合、操作対象のファイルＦ１２Aに入力元識別子を付与する（ステップ１２０３）。

図１２Ｂは、ユーザがファイルエクスプローラを用いてファイルをリムーバブルメディアにコピーする際にファイル操作監視モジュール３５０が実行する処理の流れを示す。なお、図１２Ｂにおいて、出力の対象となるファイルを、便宜上、「ファイルＦ１２Ｂ」と記載する。

ユーザが、ファイルエクスプローラを用いてファイルのコピー、もしくは移動操作を行うと（ステップ１２１１）、ファイル操作監視モジュール３５０は、ファイルのコピー元とコピー先を特定する処理を行う（ステップ１２１２）。そして、ファイル操作監視モジュール３５０は、コピー元がクライアントＰＣ１２１のローカルファイルシステム２０９で、コピー先がリムーバブルメディア１２５である場合、操作対象のファイルＦ１２Bの入力元識別子を取得する。そして、ファイル操作監視モジュール３５０は、ファイルＦ１２Bのリムーバブルメディア１２５へのコピー或いは移動に関するアプリケーションに対応するセキュリティポリシ（図２参照）に基づき、セキュリティ処理を行う（ステップ１２１３）。例えば、ファイルＦ１２Bが、組織内入力ファイルの場合、ファイル操作監視モジュール３５０は、アラート処理を実施する。

図１３Ａは、入力元ＤＢ３９３の構成を示す。

入力元ＤＢ３９３は、前述したように、ファイル毎に、ファイル名１３０１、メールの送信者名１３０２、及び、ファイルのハッシュ値１３０３を有する。

図１３Ｂは、ローカルファイルシステム２０９に格納されたファイル２０４に付与される入力元識別子１３１１の一例を示す。

入力元識別子１３１１は、既に述べたように、Microsoft社のＮＴＦＳ（NT File System）であれば「代替ストリーム」を用いて、intファイル形式のデータとして実現することができる。ファイルが、メールサーバ１１４から入力したファイルであれば、そのファイルの入力元識別子１３１１において、From行に、送信者のメールアドレスが記載される。ファイルが、ファイルサーバ１１５から入力したファイルであれば、そのファイルの入力元識別子１３１１において、Server行に、ファイルサーバ１１５のサーバ名もしくはIPアドレスが記載される。ファイルが、組織内Ｗｅｂサーバから入力されたファイルであれば、そのファイルの入力元識別子１３１１において、URL行に、ファイルのダウンロード元のURLが記載される。未使用の行は、消去してあっても、イコール以降が空白であってもよい。

本実施例では、入力元識別子１３１１に含まれる情報が、アラートに含められて良い。また、ファイルがクライアントＰＣ１２１に入力された時刻を表す情報（入力時刻情報）が、入力元識別子１３１１に含まれて良い。これにより、出力されるファイルがどこから入力されたファイルであるかということ以外に、そのファイルがいつ入力されたかを表す情報（入力時刻情報）を、アラートに含めることができる。

上記を実現するために入力元ＤＢ３９３には、ファイル毎に、添付ファイルを有するメールを受信した時刻を表す情報（入力時刻情報）が登録されて良い。この場合、ＴＣＰ通信監視モジュール３６０が、ステップ６０６又は７０６において、メールヘッダに記載された受信時刻も入力元ＤＢ３９３に登録し、ファイル属性を取得するステップ６１０又は７１０において、入力元ＤＢ３９３内が表す入力時刻情報も入力元識別子１３１１に含めることができる。

図１４は、ブラウザ監視モジュール３３０が実行する処理の流れを示す。

ブラウザ監視モジュール３３０は、Ｗｅｂブラウザが起動されたタイミングで起動され、Ｗｅｂブラウザに対するユーザ操作イベントの監視を設定し（ステップ１４０１）、イベントが発生したかを判断するループに入る（ステップ１４０２）。

イベントの発生を検知した場合、ブラウザ監視モジュール３３０は、ユーザの左クリック操作でページが遷移したかどうかを判断する（ステップ１４０３）。

ユーザの左クリック操作でページが遷移した場合には、ブラウザ監視モジュール３３０は、遷移後のURL情報を取得し（ステップ１４０４）、その後、ダイアログ監視モジュール３４０にそのURL情報を送信する（ステップ１４０４）。

一方、ページが遷移しなかった場合には、ブラウザ監視モジュール３３０は、ファイル操作監視モジュール３５０よりマウスイベントのブラウザ上の座標情報を取得するステップ（ステップ１４０５）と、マウスカーソルの下に位置するＨＴＭＬのアンカータグを取得するステップ（ステップ１４０６）と、マウスカーソルで選択したURLを抽出するステップ（ステップ１４０７）とを実行した上で、ダイアログ監視モジュール３４０にURLを送信する（ステップ１４０４）。

図１５は、ダイアログ操作監視モジュール３４０が実行する処理の流れを示す。

ダイアログ操作監視モジュール３４０は、ユーザがクライアントＰＣ１２１にログオンしたタイミングで起動され、ダイアログ（図４等を参照して説明したダイアログ）を用いたファイル操作を監視する。ダイアログ操作監視モジュール３４０は、例えば、タイマー監視等のセットアップを行った後（ステップ１５０１）、ダイアログが表示されるイベントを監視する（ステップ１５０２）。

イベントが発生した場合、ダイアログ操作監視モジュール３４０は、アップロードダイアログ若しくはダウンロードダイアログが表示されているかをチェックする（ステップ１５０３）。ダイアログが表示されていた場合には、ダイアログ操作監視モジュール３４０は、ダイアログを表示させたアプリケーションプログラムの種別を判断する（ステップ１５０４）。その結果、アプリケーションプログラムがメーラである場合、ダイアログ操作監視モジュール３４０は、メーラチェックスレッドを生成する（ステップ１５０５）。また、アプリケーションプログラムがＷｅｂブラウザである場合、ダイアログ操作監視モジュール３４０は、Ｗｅｂブラウザチェックスレッドを生成する（ステップ１５０６）。

また、ステップ１５０３において、表示されているダイアログがアップロードダイアログもしくはダウンロードダイアログではない場合、ダイアログ操作監視モジュール３４０は、表示されているダイアログが印刷用ダイアログかどうか判断し（ステップ１５０７）、印刷チェックスレッドを生成する（ステップ１５０８）。

各スレッドを生成するステップを実施した後、ダイアログ操作監視モジュール３４０は、ダイアログが表示されるイベントを監視する（ステップ１５０２）。

図１６は、図１５の処理において生成されたメーラチェックスレッドに従う処理の流れを示す。

本スレッドでは、ダイアログ操作監視モジュール３４０は、アップロードダイアログかもしくはダウンロードダイアログが表示されているかをチェックする（ステップ１６０１）。そして、ダイアログが表示されている場合には、ダイアログ操作監視モジュール３４０は、ダイアログに表示されている文字列から、フォルダ名及びファイル名を取得する（ステップ１６０２及び１６０３）。ダイアログ操作監視モジュール３４０は、それらフォルダ名及びファイル名を用いて、アップロードもしくはダウンロード対象のファイルのフルパスを構成し（ステップ１６０４）、その後、ステップ１６０１を再度行う。

この後、ユーザが、ダイアログの保存ボタン等をクリックしてダイアログが非表示になると、ダイアログ操作監視モジュール３４０は、ステップ１６０５以降の処理を実行する。

まず、ダイアログ操作監視モジュール３４０は、ステップ１６０４を既に実行してフルパスが構成されており、かつフルパスで示されるファイル（図１６の説明において「対象ファイル」と言う）が存在するか判断する（ステップ１６０５）。そして、対象ファイルが存在する場合、ダイアログ操作監視モジュール３４０は、ステップ１６０６以降の処理を実行し、対象ファイルが存在しない場合には、ステップ１６０１を再度実行する。

対象ファイルが存在する場合、ダイアログ操作監視モジュール３４０は、表示されていたダイアログ（表示ダイアログ）がダウンロードダイアログか否かを判断する（ステップ１６０６）。表示ダイアログが、ダウンロードダイアログであった場合、ダイアログ操作監視モジュール３４０は、対象ファイルのハッシュ値を計算する（ステップ１６０７）。その後、ＴＣＰ通信監視モジュール３６０が、入力元ＤＢに登録した情報を検索し（ステップ１６０８）、入力元が組織内別ユーザであるなど条件に一致する場合、対象ファイルに入力元識別子を書き込む（ステップ１６０９）。

表示ダイアログがアップロードダイアログであった場合、ダイアログ操作監視モジュール３４０は、ＴＣＰ通信監視モジュール３６０からの通知を待つ（ステップ１６１０）。表示ダイアログで指定されたファイルがメールに添付されて送信された場合、ダイアログ操作監視モジュール３４０は、対象ファイルから入力元識別子を読み込む（ステップ１６１１）。ダイアログ操作監視モジュール３４０は、その入力元識別子から特定される入力元と対象ファイルの出力先が、セキュリティポリシ３９２が表すセキュリティ処理定義に適合する場合、セキュリティ処理（例えばアラート処理）を行う（ステップ１６１２）。

セキュリティポリシ３９２が有するセキュリティ処理定義は、例えば、以下の（ｘ）〜（ｚ）の情報、
（ｘ）入力元の条件、
（ｙ）出力先の条件、
（ｚ）実行すべきセキュリティ処理の種類、
を含んで良い。（ｘ）及び／又は（ｙ）は、組織内又は組織外のように大まかな条件でも良いし、詳細な条件（例えば、電子メールアドレス、URL或いはIPアドレス）であっても良い。また、（ｚ）は、例えば、アラート処理、出力の禁止（中止）のいずれかであって良い。

図１７は、図１５の処理において生成されたＷｅｂブラウザチェックスレッドに従う処理の流れを示す。

本スレッドでは、ダイアログ操作監視モジュール３４０は、アップロードダイアログ若しくはダウンロードダイアログが表示されているかをチェックする（ステップ１７０１）。ダイアログが表示されている場合には、ダイアログ操作監視モジュール３４０は、ダイアログに表示されている文字列からフォルダ名及びファイル名を取得する（ステップ１７０２及び１７０３）。ダイアログ操作監視モジュール３４０は、それらフォルダ名及びファイル名を用いて、アップロード若しくはダウンロード対象のファイルのフルパスを構成し（ステップ１７０４）、ステップ１７０１を実行する。この後、ユーザが、ダイアログの保存ボタン等をクリックしてダイアログが非表示になると、ダイアログ操作監視モジュール３４０は、ステップ１７０５以降の処理を実行する。

ダイアログ操作監視モジュール３４０は、ステップ１７０４を既に実行してフルパスが構成されており、かつフルパスから特定されるファイル（図１７の説明において「対象ファイル」と言う）が存在するか判断する（ステップ１７０５）。次に、ダイアログ操作監視モジュール３４０は、対象ファイルが存在する場合には、ステップ１７０６以降の処理を実行し、対象ファイルが存在しない場合には、ステップ１７０１を実行する。

対象ファイルが存在する場合、ダイアログ操作監視モジュール３４０は、表示されていたダイアログ（表示ダイアログ）がダウンロードダイアログか否かを判断する（ステップ１７０６）。そして、表示ダイアログがダウンロードダイアログであった場合、ダイアログ操作監視モジュール３４０は、ブラウザ監視モジュール３３０が保持するダウンロード元情報を入力する（ステップ１７０７）。そして、ダイアログ操作監視モジュール３４０は、入力元が組織内別ユーザであるなど条件に一致する場合、対象ファイルに入力元識別子を書き込む（ステップ１７０８）。

表示ダイアログがアップロードダイアログであった場合、ダイアログ操作監視モジュール３４０は、ブラウザ監視モジュール３３０が保持するアップロード先情報を、ブラウザ監視モジュール３３０から入力する（ステップ１７０９）。そして、ダイアログで指定された対象ファイルが送信された場合、ダイアログ操作監視モジュール３４０は、対象ファイルの入力元識別子を読み込む（ステップ１７１０）。ダイアログ操作監視モジュール３４０は、その入力元識別子から特定される入力元と対象ファイルの出力先が、セキュリティポリシ３９２が表すセキュリティ処理定義に適合する場合、セキュリティ処理（例えばアラート処理）を行う（ステップ１７１１）。

図１８は、図１５の処理において生成された印刷チェックスレッドに従う処理の流れを示す。

本スレッドでは、ダイアログ操作監視モジュール３４０は、印刷ダイアログが表示されているかをチェックする（ステップ１８０１）。そして、ダイアログが表示されている場合、ダイアログ操作監視モジュール３４０は、印刷を指示したアプリケーションプログラムのプロセスのＩＤを取得する（ステップ１８０２）。ダイアログ操作監視モジュール３４０は、そのプロセスがオープンしているファイル一覧からファイル名を取得し（ステップ１８０３）、印刷対象のファイルのフルパスを構成した上で（ステップ１８０４）、ステップ１８０１を実行する。

この後、ユーザが、ダイアログの印刷ボタン等をクリックしてダイアログが非表示になると、ダイアログ操作監視モジュール３４０は、印刷対象ファイルから入力元識別子を読み込む（ステップ１８０５）。ダイアログ操作監視モジュール３４０は、その入力元識別子から特定される入力元が、セキュリティポリシ３９２が表すセキュリティ処理定義に適合する場合、セキュリティ処理（例えばアラート処理）を行う（ステップ１８０６）。

図１９は、ファイル操作監視モジュール３５０が実行する処理の流れを示す。

ファイル操作監視モジュール３５０は、ユーザがクライアントＰＣ１２１にログオンしたタイミングで起動される。そして、ファイル操作監視モジュール３５０は、マウスイベントのフックを開始し（ステップ１９０１）、その後、ファイル操作監視モジュール３５０は、マウスを用いたファイル操作（ファイルに対するユーザ操作）を監視する。ファイル操作（イベント）を検知したときには、ファイル操作監視モジュール３５０は、検知したファイル操作が右クリックか否かを判断する（ステップ１９０２）。

ファイル操作が右クリックであった場合、ファイル操作監視モジュール３５０は、フォアグラウンドウィンドウでのマウスカーソル座標を取得し（ステップ１９０３）、ブラウザウィンドウの座標への変換処理を実行する（ステップ１９０４）。ファイル操作監視モジュール３５０は、ブラウザ監視モジュール３３０に、ステップ１９０４で取得した座標を通知し（ステップ１９０５）、再びイベント監視を行う。

一方、ステップ１９０２で、ファイル操作が右クリックでない場合、ファイル操作監視モジュール３５０は、ドラッグイベントか否かを判断する（ステップ１９０６）。ファイル操作がドラッグイベントでない場合、ファイル操作監視モジュール３５０は、再びイベント監視を行う。

ファイル操作がドラッグイベントである場合、ファイル操作監視モジュール３５０は、ドラッグされたファイルがドロップされるイベントを検出する。ファイル操作監視モジュール３５０は、ファイルがファイルエクスプローラ上でドラッグされメーラ上でドロップされたか否かを判断する（ステップ１９０７）。

ステップ１９０７の判断の結果が肯定的の場合（ステップ１９０７：Ｙｅｓ）、ファイル操作監視モジュール３５０は、そのファイルのフルパスを取得し（ステップ１９０８）、そのフルパスで示されるファイルの入力元識別子を読み込む（ステップ１９０９）。ファイル操作監視モジュール３５０は、その入力元識別子から特定される入力元が、セキュリティポリシ３９２が表すセキュリティ処理定義に適合する場合、セキュリティ処理（例えばアラート処理）を行う（ステップ１９１０）。

ステップ１９０７の判断の結果が否定的の場合（ステップ１９０７：Ｎｏ）、ファイル操作監視モジュール３５０は、ドラッグ＆ドロップイベントが、メーラ上でドラッグされ、ファイルエクスプローラ上でドロップされたイベントであるか否かを判断する（ステップ１９１１）。

ステップ１９１１の判断の結果が否定的の場合（ステップ１９１１：Ｎｏ）、ファイル操作監視モジュール３５０は、再びイベント監視を行う。ステップ１９１１の判断の結果が肯定的の場合（ステップ１９１１：Ｙｅｓ）、ファイル操作監視モジュール３５０は、ファイルのドロップ先のファイルパスを取得する（ステップ１９１２）。次に、ファイル操作監視モジュール３５０は、ステップ１９１２で取得したファイルパスが示すファイルのハッシュ値を計算し（ステップ１９１３）する。ファイル操作監視モジュール３５０は、そのハッシュ値と一致するハッシュ値に対応した送信者名を入力元ＤＢから特定し（ステップ１９１４）、特定された送信者名（入力元）が組織内別ユーザであるなどの条件に一致する場合、ステップ１９１２で取得したフルパスで示されるファイルに対し、入力元識別子を書き込む（ステップ１９１５）。

なお、図１２に示した処理において、ドラッグ元がファイルサーバ１１５でドロップ先がローカルファイルシステム２０９である場合、ファイル操作監視モジュール３５０は、ステップ１９１２とステップ１９１５と同様の処理を行えばよい。また、ドラッグ元がローカルファイルシステム２０９で、ドロップ先がリムーバブルメディアである場合、ファイル操作監視モジュール３５０は、ステップ１９０８とステップ１９１０と同様の処理を行えばよい。また、ドラッグ元がファイルサーバ１１５で、ドロップ先がリムーバブルメディアである場合、ファイル操作監視モジュール３５０は、ステップ１９１０と同様の処理を行えばよい。

図２０は、ＴＣＰ通信監視モジュール３６０が実行する処理の流れを示す。

ＴＣＰ通信監視モジュール３６０は、ユーザがクライアントＰＣ１２１にログオンしたタイミングで起動され、１以上の所定のプロトコル（例えば、SMTP、POP３、IMAP４）に従って通信されるデータを監視する。ＴＣＰ通信監視モジュール３６０は、ソケット通信の監視を開始し（ステップ２００１）、所定のプロトコルで通信されたデータかどうかを判断する（ステップ２００２）。

ステップ２００２の判断の結果が否定的の場合（ステップ２００２：Ｎｏ）、ＴＣＰ通信監視モジュール３６０は、ソケット通信の監視を再び行う。ステップ２００２の判断の結果が肯定的の場合（ステップ２００２：Ｙｅｓ）、ＴＣＰ通信監視モジュール３６０は、ステップ２００３以降の処理を実施する。

ステップ２００３では、ＴＣＰ通信監視モジュール３６０は、メールを解析する。これにより、ＴＣＰ通信監視モジュール３６０は、メールのヘッダ領域より、送信者および受信者を特定し、ＭＩＭＥ（Multipurpose Internet Mail Extension）パートより、添付ファイルの有無およびファイル名などを特定することができる。

次に、ＴＣＰ通信監視モジュール３６０は、メールに添付ファイルがあるかどうかを判断する（ステップ２００４）。

ステップ２００４の判断の結果が肯定的の場合（ステップ２００４：Ｙｅｓ）、ＴＣＰ通信監視モジュール３６０は、さらに、プロトコル種別がメール受信用のプロトコル（例えばPOP３もしくはIMAP４）であるか否かを判断する（ステップ２００５）。

ステップ２００５の判断の結果が肯定的の場合（ステップ２００５：Ｙｅｓ）、ＴＣＰ通信監視モジュール３６０は、送信者名及び添付ファイル名を受信メールから特定する（ステップ２００６）。ＴＣＰ通信監視モジュール３６０は、添付ファイルをデコードした後、ハッシュ値を計算し（ステップ２００７）、添付ファイル名及びハッシュ値を入力元ＤＢ３９３に登録する。その後、ＴＣＰ通信監視モジュール３６０は、ソケット通信の監視を再び行う。

一方、ステップ２００５の判断の結果が否定的の場合（プロトコル種別が、メール送信用のプロトコル（例えばSMTP）の場合）（ステップ２００５：Ｎｏ）、ＴＣＰ通信監視モジュール３６０は、送信先情報及び添付ファイル名を送信メールから取得する（ステップ２００９）。ＴＣＰ通信監視モジュール３６０は、ダイアログ監視モジュール３５０およびファイル監視モジュール３６０に、ステップ２００９で取得した情報を送付する。

以上の構成および処理により、本システムでは、監視対象とは異なる機器よりクライアントＰＣ１２１に入力されたファイルが、検査対象となる機器に出力されたことを識別することが可能となる。クライアントＰＣ１２１にファイルを入力する操作としては、例えば、下記の操作、
（１）Ｗｅｂブラウザを用いてファイルをダウンロードする操作、
（２）受信したメールに添付されているファイルをローカルファイルシステム２０９に保存する操作、
（３）ファイルエクスプローラを用いてファイルサーバからローカルファイルシステム２０９へファイルを保存（コピー又は移動）する操作、
がある。それらのいずれの操作でも、入力されたファイルには、入力元識別子が付与される。

クライアントＰＣ１２１のローカルファイルシステムに入力されたファイルが処理（例えば、コピー、名前変更、或いは、移動）されても、処理後のファイル（例えば、コピーされたファイル）に入力元識別子が付与される機能が備わっているファイルシステムプログラム（例えばMicrosoft社のNTFS）がある。ファイルの出力操作として、例えば、下記の操作、
（１）Ｗｅｂブラウザを用いてファイルをアップロードする操作、
（２）ファイルが添付されたメールを送信する操作、
（３）ファイルが有する情報を印刷するための操作、
（４）リムーバブルメディアへファイルを保存（コピー又は移動）する操作、
がある。出力操作が行われる際に、セキュリティ処理（例えばアラート処理）を行うことが可能である。

セキュリティ処理（例えばアラート処理）を行うことの条件（セキュリティポリシが有する情報が表す条件）は、入力元識別子が有する情報に関する条件であって良い。例えば、出力されるファイルが、Ｗｅｂブラウザを用いてダウンロードされたファイルである場合、上記条件は、出力されるファイルの入力元識別子が組織内Ｗｅｂサーバを表していることであって良い。また、例えば、エージェント１２２が、入力元識別情報が有する情報（例えばURL）を基に、重要なファイルが格納されているＷｅｂサーバを識別することができる場合、上記条件は、入力元識別子が、特定のＷｅｂサーバのURLを有することであっても良い。

また、上記条件は、出力操作を行う時刻、出力操作を行う時間帯、出力されるファイルの種別、出力されるファイルのサイズのうちの少なくとも１つを含んでいても良い。

本実施例によれば、ユーザが、組織内別ユーザ（組織内の別のクライアントＰＣ１２１）によって作成されたファイルを自分のクライアントＰＣ１２１に入力した後、そのファイルを組織外に出力した操作を、不正操作として検出することが可能である。そのようなファイルは、機密情報である可能性がある。従って、機密情報が漏えいするリスクの高い操作を不正操作として検出することができる。そして、そのような不正操作を検出した場合、管理者にアラートを出力する（或いは、ファイルの出力を禁止する）ことができる。

以下、本発明の実施例２を説明する。その際、実施例１との相違点を主に説明し、実施例１との共通点については説明を省略或いは簡略する。

本実施例では、不正操作に該当する条件を、クライアントＰＣの管理者（以下、管理者）（例えば、情報センタ１０１にいる者）が柔軟に変更することができる。具体的には、例えば、管理者が、セキュリティポリシ３９２に記載する条件を変更することができる。前述したセキュリティポリシ３９２（及びシステムポリシ３９１）は、例えば、管理者によって作成され管理サーバ１１１内の記憶資源に格納されて良い。マネージャ１１２が、セキュリティポリシ３９２（及びシステムポリシ３９１）を、クライアントＰＣ１２１に送信して良い。エージェント１２２が、管理サーバ１１１からのセキュリティポリシ３９２（及びシステムポリシ３９１）を、ローカルファイルシステム２０９に格納して良い。

本実施例により、例えば、クライアントＰＣが、組織内Ｗｅｂサーバと組織外Ｗｅｂサーバにアクセス可能であるケースにおいて、組織内Ｗｅｂサーバからダウンロードしたファイルを組織外Ｗｅｂサーバに送信する場合のみ、エージェント１２２が、アラートを生成しそのアラートを管理サーバ１１１に送信することができる。また、クライアントＰＣが、組織外Ｗｅｂサーバからダウンロードしたファイルを組織内Ｗｅｂサーバに格納する場合は、エージェント１２２は、アラートを生成しないこともできる。つまり、利用状況（ファイルの入力元及び出力先）に応じて、セキュリティ処理を行うか否か（例えば、アラートを生成するか否か）を柔軟に変更することができる。

実施例２のような制御が行われない場合、多数のアラートが発生してしまい、それ故、管理者が、重要なアラートの把握が困難になってしまうことが考えられる。

以下、本実施例を詳細に説明する。

図２３は、実施例２に係るクライアントＰＣの機能ブロック図である。

不正操作検知フィルタ２３０１がある。不正操作検知フィルタ２３０１は、入力元および出力先と、クライアントの管理領域とを区分する。不正操作検知フィルタ２３０１の配置は、イメージであり、実際には、不正操作検知フィルタ２３０１は、実質的に、セキュリティポリシである。セキュリティポリシに記載する条件を変更することにより、アラートの対象とする不正操作の条件を変えることができる。

図２４は、実施例２に係るエージェントが行う不正操作処理の流れを示す。

ステップ２４０１で、エージェント１２２は、ユーザ操作を検知する。エージェント１２２は、検知したユーザ操作についてログを作成して良い。図２４の説明において、ステップ２４０１で検知されたユーザ操作を「対象ユーザ操作」と言い、対象ユーザ操作のログを「対象ログ」と言う。

次に、ステップ２４０２で、エージェント１２２は、対象ユーザ操作が、入力元から管理領域へファイルを入力する操作（例えば、組織外から組織内へファイルを入力する操作）であるか否かをチェックする。

ステップ２４０２の判断の結果が肯定的である場合（ステップ２４０２：Ｙｅｓ）、ステップ２４０３で、エージェント１２２は、対象ユーザ操作が不正操作条件（セキュリティポリシに記載の条件）に該当するか否かを判断する。

ステップ２４０３の判断の結果が肯定的である場合（ステップ２４０３：Ｙｅｓ）、ステップ２４０４で、エージェント１２２は、不正操作チェックフラグをONとする。その不正操作チェックフラグは、例えば、対象ログにある。対象ログは、エージェント１２２によって管理サーバ１１１に送信され、マネージャ１１２が、受信した対象ログを、図２９に示す操作ログ格納テーブル（例えば、管理サーバ１１１内の記憶資源に記憶されているテーブル）に、追加しても良い。

ステップ２４０２の判断の結果が否定的である場合（ステップ２４０２：Ｎｏ）、ステップ２４０３の判断の結果が否定的である場合（ステップ２４０３：Ｎｏ）、又は、ステップ２４０４が行われた場合、ステップ２４０５が行われる。ステップ２４０５で、エージェント１２２が、対象ユーザ操作が管理領域から出力先へファイルを出力する操作（例えば、組織内から組織外へファイルを出力する操作）であるか否かを判断する。

ステップ２４０５の判断の結果が肯定的である場合（ステップ２４０５：Ｙｅｓ）、ステップ２４０６で、エージェント１２２は、対象ユーザ操作が不正操作条件（セキュリティポリシに記載の条件）に該当するか否かを判断する。

ステップ２４０６の判断の結果が肯定的である場合（ステップ２４０６:Ｙｅｓ）、ステップ２４０７で、エージェント１２２は、対象ユーザ操作に対応する不正操作チェックフラグがONか否かを判断する。

ステップ２４０７の判断の結果が肯定的である場合（ステップ２４０７:Ｙｅｓ）、エージェント１２２は、ステップ２４０８で、アラートを生成し、生成したアラートを、管理サーバ１１１に送信する。この場合、管理サーバ１１１内のマネージャ１１２が、クライアントＰＣ１２１からアラートを受信し、受信したアラートを、表示デバイス２２０８に表示する、及び／又は、管理サーバ１１１内の記憶資源に格納する。

以上の流れによれば、下記の通りである。
（＊）対象ユーザ操作が、入力元から管理領域へファイルを入力する操作であるが、不正操作条件に該当しない場合、ステップ２４０３がＮｏ、且つ、ステップ２４０５がＮｏとなり、処理が終了する。
（＊）対象ユーザ操作が、管理領域から出力先へファイルを出力する操作である場合、ステップ２４０２がＮｏとなり、ステップ２４０５が行われる。
（＊）対象ユーザ操作が、管理領域から出力先へファイルを出力する操作であるが、不正操作条件に該当しない場合、ステップ２４０２がＮｏ、ステップ２４０５がＹｅｓ、且つ、ステップ２４０６がＮｏとなり、処理が終了する。
（＊）対象ユーザ操作が、管理領域から出力先へファイルを出力する操作であり、不正操作条件に該当するものの、そのファイルの入力操作に対応した不正操作チェックフラグがOFFになっている場合、ステップ２４０２がＮｏ、ステップ２４０５がＹｅｓ、ステップ２４０６がＹｅｓ、且つ、ステップ２４０７がＮｏとなり、処理が終了する。つまり、ファイルの出力操作が不正操作条件に該当しても、アラートが生成されない。

セキュリティポリシは、例えば、図２５乃至図２７に示す情報の組合せを含んだ情報である。

図２５によれば、セキュリティポリシに、ユーザ操作種別（操作ログ取得項目）が記載されている。操作ログ取得項目として、例えば、Ｗｅｂアップロード及びダウンロード、FTPを介したファイル送信及び受信、添付ファイル付メールの送信、受信及び保存などがある。なお、項目の内容は、管理者が自由に変更して良い。

図２６は、図２５に示す情報内のレコードＸ（ファイルコピー又はファイル移動に対応したレコード）に関連付けられている情報を示す。

図２６に示す情報は、入力元としての記憶デバイスの種類と、管理領域内の記憶デバイスの種類との関係を示す。図中の「○」が、不正操作に該当することを表している。従って、例えば、入力元としての記憶デバイスも管理領域内の記憶デバイスもローカルドライブ（例えば、クライアントＰＣに内臓のハードディスクドライブ）であるファイルコピーは、不正操作に該当しないと判断される。一方、例えば、入力元としての記憶デバイスがリモートドライブ（例えばネットワークドライブ）であり管理領域内の記憶デバイスがローカルドライブであるファイルコピーは、不正操作に該当すると判断される。

図２７は、図２５に示す情報内のレコードＹ（ファイルコピー又はファイル移動に対応したレコード）に関連付けられている情報を示す。

図２７に示す情報は、出力先としての記憶デバイスの種類と、管理領域内の記憶デバイスの種類との関係を示す。図中の「○」が、不正操作に該当することを表している。従って、例えば、出力先としての記憶デバイスも管理領域内の記憶デバイスもローカルドライブであるファイルコピーは、不正操作に該当しないと判断される。一方、例えば、出力先としての記憶デバイスがリムーバブルドライブ（例えばＵＳＢ接続のフラッシュメモリ）であり管理領域内の記憶デバイスがローカルドライブであるファイルコピーは、不正操作に該当すると判断される。

図２８は、セキュリティポリシに対する条件設定を行う画面の一例を示す。

画面２８０１は、入力元及び／又は出力先の電子メールアドレスの条件を設定するための画面である。

管理者が、アドレス設定欄２８０２に、電子メールアドレスの一部（例えばドメイン）（又は全部）である文字列（以下、メールアドレス文字列）を設定する。

例えば、ファイルが添付された電子メールの送信元の電子メールアドレスが、この画面２８０１を介して設定されたメールアドレス文字列を含む場合、不正操作チェックフラグがＯＮとされる。そして、ファイルが添付された電子メールの送信先の電子メールアドレスが、この画面２８０１を介して設定されたメールアドレス文字列を含む場合、そのファイルに対応する入力操作について不正操作チェックフラグがＯＮとなっていれば、その電子メールの送信が、不正操作であると判断される。

また、FTP送受信やＷｅｂアップロード／ダウンロードなどの監視設定を行う画面の場合には、プライベートなアドレスであるかグローバルなアドレスであるか否かを問わず、URLの一部分（例えばドメイン）（又は全部）が設定されて良い。以下、その設定された文字列を「ＵＲＬ文字列」と言う。入力元に対応するＵＲＬが、その設定されたＵＲＬ文字列を含んでいれば、例えば、不正操作チェックフラグがＯＮとされる。

方向設定欄２８０３には、チェックする方向を表す情報が設定される。ここで言う「方向」とは、ファイルの流れの方向である。具体的には、「入力元から管理領域」という方向と、「管理領域から出力先」という方向と、それらの両方との３種類がある

動作設定欄２８０４には、この設定でチェックされた場合にそれを不正操作として判断するかしないかが設定される。

上記の設定欄２８０２、２８０３及び２８０４に情報が設定され、ＯＫボタン２８０５が押されれば、その情報がセキュリティファイルに設定される。一方、キャンセルボタン２８０６が押されれば、設定欄２８０２、２８０３及び２８０４に設定された情報がキャンセルされる。

この画面２８０１に、下記のような情報が設定され、ＯＫボタン２８０５が押されたとする。
（＊）設定欄２８０２に、管理者任意の電子メールアドレスが設定される。
（＊）設定欄２８０３に、「入力元から管理領域」が設定される。
（＊）設定欄２８０４に、「不正操作とする」が設定される。

上述のように設定した場合、設定された電子メールアドレスを送信元としてクライアントＰＣに添付ファイル付きのメールの送信があった場合、不正操作の可能性があるとして、不正操作チェックフラグがONにされる。

図２９は、操作ログ格納テーブルの構成を示す。

操作ログ格納テーブルは、例えば、管理サーバ１１１の記憶資源に格納されている。操作ログ格納テーブルの１行は、１つの操作ログに対応する。管理サーバ１１１のマネージャ１１２が、操作ログを、管理サーバ１１１の管理対象の１以上のクライアントＰＣから受信し、その操作ログを、操作ログ格納テーブルに追加する。

操作ログは、例えば、図２９に示す通り、下記の情報、
（＊）ユーザ操作が検知された日時を表す「操作日時」、
（＊）ユーザ操作を検知したクライアントＰＣの識別子である「クライアント識別子」、
（＊）検知されたユーザ操作を表す「操作種別」及び「操作種別サブコード」
（＊）不正操作チェックフラグ、
を有する。不正操作チェックフラグは、「１」が、ＯＮを意味し、「ＮＵＬＬ」が、ＯＦＦを意味する。「操作種別」及び「操作種別サブコード」の組合せにより、検地されたユーザ操作を特定することができる。「操作種別」及び「操作種別サブコード」の組合せの例は、図３２に示す通りである。

取得された複数の操作ログが、図３０に示すように、管理サーバ１１１の表示デバイス２２０８に一覧表示される。この一覧表示される情報項目は、管理者が任意に選択できても良い。また、操作ログについて、不正操作と検知されアラートが発生している場合、マネージャ１１２が、操作ログと共にアラートも表示して良い。

また、図３０に示した画面に代えて又は加えて、マネージャ１１２は、図３１に示す画面を、表示しても良い。図３１に示す画面は、管理サーバ１１１の記憶資源に蓄積されている操作ログと、アラートとに基づいている。

本実施例によれば、管理者が設定したセキュリティポリシに基づいて、管理者にとって不正操作である可能性が高いユーザ操作のみが、不正操作と判断されるようにすることができる。このため、たくさんのアラートが発生したが故に管理者が重要なアラートを見落としてしまうといったことが生じないようにすることが期待できる。すなわち、情報漏えいのリスクを低減しつつ、特定の操作が行われた場合にのみ不正と判断することが可能な機能を実現することができる。

また、本実施例によれば、どのようなユーザ操作を不正操作とするかの条件を詳細に及び／又は柔軟に設定することができる。

また、本実施例によれば、入力元から管理領域へのファイル入力に関するフィルタ（条件）と、管理領域から出力先へのファイル出力に関するフィルタ（条件）を個別に設定することができる。このため、様々なユーザ操作についてエージェント１２１が不正操作か否かを判断することが可能となる。

例えば、入力元から管理領域へのファイル入力に関しては、特定のサイトからのダウンロードのみを監視対象とし、管理領域から出力先へのファイル出力に関しては、アップロードには制限を設けず添付メールの送受信に関してのみ組織の内外を問わず監視対象とする、というように設定することもできる。このように、設定の組み合わせにより監視対象とする操作にバリエーションを持たせることが可能となる。

以上、本発明の幾つかの実施例を説明したが、本発明は、この実施例に限定されるものでなく、その要旨を逸脱しない範囲で種々変更可能であることはいうまでもない。

例えば、検知されたユーザ操作が不正操作か否かに関わらず、検知されたユーザ操作の操作ログは必ず作成されても良い。

また、例えば、組織内のサーバには、プライベートアドレスが割り当てられ、組織外のサーバには、グローバルアドレスが割り当てられて良い。

また、例えば、組織内のサーバは、管理者から指定されたＩＰアドレス範囲内のＩＰアドレスが割り当てられたサーバであって、組織外のサーバは、管理者から指定されたＩＰアドレス範囲外のＩＰアドレスが割り当てられたサーバであって良い。

また、組織外のサーバは、第１サーバへのアクセス（例えばダウンロード）が許可されたユーザ以外のユーザがファイルのアップロード先とできる第２のサーバであって良い。また、別な言い方をすれば組織外のサーバは、第１サーバへのアクセス（例えばアップロード）が許可されたユーザ以外のユーザがファイルのダウンロード元とできる第２のサーバであっても良い。

また、例えば、エージェント１２１は、出力されるファイルに入力元識別子が付与されていない場合（つまり、入力元がわからない場合）、常に、セキュリティ処理を行っても良い。

また、例えば、セキュリティポリシは、入力元から管理領域へのファイル入力に対応した第１のポリシと、管理領域から出力先へのファイル出力に対応した第２のポリシとを含んでいても良い。

また、例えば、セキュリティポリシは、検知したユーザ操作の操作ログを取得するための条件を表す情報を含んでも良い。検知されたユーザ操作がその条件に該当する場合に、エージェント１２１が、そのユーザ操作の操作ログを作成しても良い。

また、図２６及び図２７に示した情報は、入力元、管理領域及び出力先を表す情報として、記憶デバイスの種別を表す情報に代えて又は加えて、クライアントＰＣ１２１がアクセス可能なサーバ（例えば、組織内Ｗｅｂサーバ、ファイルサーバ、メールサーバ、組織外Ｗｅｂサーバ）の識別子（例えば、ＩＰアドレス、ＵＲＬ、サーバ名）を含んでいても良い。

また、例えば、入力元から管理領域（例えばローカルファイルシステム２０９）へのファイル入力の場合、操作ログが作成されなくても良いし、入力元識別子が入力されたファイルに付与されなくても良い。

また、例えば、アラートは、そのアラートに対応するユーザ操作について、ファイルの入力元を表す情報と、ファイルの出力先を表す情報との少なくとも一方を含んで良い。

また、例えば、ハッシュ値を取得する方法とは別の方法で、添付されたファイルと、入力又は送信されたファイルとの対応関係が特定されて良い。また、添付されたファイルと、入力又は送信されたファイルとの類似度が所定値以上であれば、添付されたファイルと入力又は送信されたファイルとが同じであるとみなされても良い。

１１１…管理サーバ、１２１…クライアントＰＣ

Claims (15)

1. 所定のグループ内のユーザが使用し記憶資源を有し１以上のサーバ及び１以上の記憶デバイスの少なくとも１つが接続されている計算機であるクライアント計算機に対して前記クライアント計算機に接続されたサーバ又は記憶デバイスから前記クライアント計算機内の記憶資源にデータを入力するための入力操作も前記クラアント計算機の記憶資源内のデータを前記クライアント計算機に接続されたサーバ又は記憶デバイスに送信する送信操作も行うユーザの不正操作を検知する方法であって、
   （Ａ）ユーザ操作を検知し、
   （Ｂ）前記（Ａ）で検知したユーザ操作が前記入力操作である場合、前記入力操作が不正操作であるか否かを、前記入力操作を不正操作とするか否かを入力元となり得るサーバの識別子毎及び／又は記憶デバイスの種別毎に有する第１のポリシ情報を基に判断し、前記（Ａ）で検知したユーザ操作が前記送信操作である場合、前記送信操作が不正操作であるか否かを、前記送信操作を不正操作とするか否かを送信先となり得るサーバの識別子毎及び／又は記憶デバイスの種別毎に有する第２のポリシ情報を基に判断し、
   （Ｃ）前記（Ｂ）の判断の結果が肯定的の場合に、アラートを生成しそのアラートを管理サーバに送信する処理と前記検知したユーザ操作に従うデータ入力又はデータ送信を禁止する処理との少なくとも一方の処理であるセキュリティ処理を行う、
   不正操作検知方法。
2. 請求項１記載の不正操作検知方法であって、
   前記（Ａ）において、前記データが、前記グループ内のサーバ又は記憶デバイスから入力されたデータであり、且つ、前記データの送信先が、前記グループ内のサーバ又は記憶デバイスの場合、前記（Ｂ）の判断の結果が、否定的である、
   不正操作検知方法。
3. 請求項１記載の不正操作検知方法であって、
   前記（Ａ）において、前記データが、前記グループ外のサーバ又は記憶デバイスから入力されたデータである場合、前記（Ｂ）の判断の結果が、否定的である、
   不正操作検知方法。
4. 請求項１記載の不正操作検知方法であって、
   （Ｅ）前記第１又は第２のポリシ情報に設定すべき情報の入力を管理者から受け付ける設定画面を表示し、前記設定画面を介して設定された情報を前記第１又は第２のポリシ情報に含め、
   前記設定画面には、データ入力であるかデータ送信であるかを表すデータ方向情報と、前記サーバ又は記憶デバイスに関する情報とが前記管理者から入力され、
   前記（Ｅ）において、入力された前記データ方向情報がデータ入力を表す場合、前記設定画面を介して設定された情報を、前記第１のポリシ情報に含め、入力された前記データ方向情報がデータ送信を表す場合、前記設定画面を介して設定された情報を、前記第２のポリシ情報に含める、
   不正操作検知方法。
5. 請求項１記載の不正操作検知方法であって、
   前記アラートが、前記データの入力元及び送信先の少なくとも一方を表す情報を含んでいる、
   不正操作検知方法。
6. 請求項１記載の不正操作検知方法であって、
   前記データの入力元が不明の場合、前記（Ｃ）が行われる、
   不正操作検知方法。
7. 請求項１記載の不正操作検知方法であって、
   前記セキュリティ処理は、アラートを生成しそのアラートを管理サーバに送信する処理を含み、
   前記（Ａ）で検知したユーザ操作が前記送信操作であり前記（Ｂ）の判断の結果が肯定的であっても、前記送信操作の対象となる前記データの前記入力操作について前記（Ｂ）の判断の結果が否定的となった履歴があれば、前記（Ｃ）を行わない、
   不正操作検知方法。
8. 所定のグループ内のユーザが使用し１以上のサーバ及び１以上の記憶デバイスの少なくとも１つが接続された計算機であって、
   記憶資源と、
   前記記憶資源に接続され前記ユーザから入力操作も送信操作も受け付けるプロセッサと
   を有し、
   前記記憶資源が、前記入力操作を不正操作とするか否かを入力元となり得るサーバの識別子毎及び／又は記憶デバイスの種別毎に有する第１のポリシ情報と、前記送信操作を不正操作とするか否かを送信先となり得るサーバの識別子毎及び／又は記憶デバイスの種別毎に有する第２のポリシ情報を記憶し、
   前記入力操作は、前記計算機に接続されているサーバ又は記憶デバイスから前記記憶資源にデータを入力するためのユーザ操作であり、
   前記送信操作は、前記記憶資源内のデータを前記計算機に接続されているサーバ又は記憶デバイスに送信するユーザ操作であり、
   前記プロセッサが、
   （Ａ）ユーザ操作を検知し、
   （Ｂ）前記（Ａ）で検知したユーザ操作が前記入力操作である場合、前記入力操作が不正操作であるか否かを、前記第１のポリシ情報を基に判断し、前記（Ａ）で検知したユーザ操作が前記送信操作である場合、前記送信操作が不正操作であるか否かを、前記第２のポリシ情報を基に判断し、
   （Ｃ）前記（Ｂ）の判断の結果が肯定的の場合に、アラートを生成しそのアラートを管理サーバに送信する処理と前記検知したユーザ操作に従うデータ入力又はデータ送信を禁止する処理との少なくとも一方の処理であるセキュリティ処理を行う、
   計算機。
9. 請求項８記載の計算機であって、
   前記（Ａ）において、前記データが、前記グループ内のサーバ又は記憶デバイスから入力されたデータであり、且つ、前記データの送信先が、前記グループ内のサーバ又は記憶デバイスの場合、前記（Ｂ）の判断の結果が、否定的である、
   計算機。
10. 請求項８記載の計算機であって、
    前記（Ａ）において、前記データが、前記グループ外のサーバ又は記憶デバイスから入力されたデータである場合、前記（Ｂ）の判断の結果が、否定的である、
    計算機。
11. 請求項８記載の計算機であって、
    前記プロセッサが、
    （Ｅ）前記第１又は第２のポリシ情報に設定すべき情報の入力を管理者から受け付ける設定画面を表示し、前記設定画面を介して設定された情報を前記第１又は第２のポリシ情報に含め、
    前記設定画面には、データ入力であるかデータ送信であるかを表すデータ方向情報と、前記サーバ又は記憶デバイスに関する情報とが前記管理者から入力され、
    前記（Ｅ）において、入力された前記データ方向情報がデータ入力を表す場合、前記プロセッサは、前記設定画面を介して設定された情報を、前記第１のポリシ情報に含め、入力された前記データ方向情報がデータ送信を表す場合、前記設定画面を介して設定された情報を、前記第２のポリシ情報に含める、
    計算機。
12. 請求項８記載の計算機であって、
    前記アラートが、前記データの入力元及び送信先の少なくとも一方を表す情報を含んでいる、
    計算機。
13. 請求項８記載の計算機であって、
    前記データの入力元が不明の場合、前記プロセッサが、前記（Ｃ）を行う、
    計算機。
14. 請求項８記載の計算機であって、
    前記セキュリティ処理は、アラートを生成しそのアラートを管理サーバに送信する処理を含み、
    前記（Ａ）で検知したユーザ操作が前記送信操作であり前記（Ｂ）の判断の結果が肯定的であっても、前記送信操作の対象となる前記データの前記入力操作について前記（Ｂ）の判断の結果が否定的となった履歴があれば、前記プロセッサが、前記（Ｃ）を行わない、
    計算機。
15. 所定のグループ内のユーザが使用し記憶資源を有し１以上のサーバ及び１以上の記憶デバイスの少なくとも１つが接続され前記ユーザから入力操作も送信操作も受け付ける計算機で実行されるコンピュータプログラムであって、
    （Ａ）ユーザ操作を検知し、
    （Ｂ）前記（Ａ）で検知したユーザ操作が、前記計算機に接続されたサーバ又は記憶デバイスから前記記憶資源にデータを入力するための入力操作である場合、前記入力操作が不正操作であるか否かを、前記入力操作を不正操作とするか否かを入力元となり得るサーバの識別子毎及び／又は記憶デバイスの種別毎に有する第１のポリシ情報を基に判断し、前記（Ａ）で検知したユーザ操作が、前記記憶資源内のデータを前記計算機に接続されたサーバ又は記憶デバイスに送信する送信操作である場合、前記送信操作が不正操作であるか否かを、前記送信操作を不正操作とするか否かを送信先となり得るサーバの識別子毎及び／又は記憶デバイスの種別毎に有する第２のポリシ情報を基に判断し、
    （Ｃ）前記（Ｂ）の判断の結果が肯定的の場合に、アラートを生成しそのアラートを管理サーバに送信する処理と前記検知したユーザ操作に従うデータ入力又はデータ送信を禁止する処理との少なくとも一方の処理であるセキュリティ処理を行う、
    ことを前記計算機に実行させるコンピュータプログラム。

Images