JP6437667B2 - ログ収集システム及びログ収集方法 - Google Patents

Description

本発明はログ収集システム及びログ収集方法に関し、ＢＹＯＤ（Bring Your Own Device）やＢＹＣＤ（Bring Your Company’s Device）と呼ばれる業務形態が導入された企業等の情報処理システムにおいて操作ログを収集するログ収集システム及びログ収集方法に適用して好適なものである。

近年、ユーザが使用するクライアント端末において生成された操作ログを収集し、収集された操作ログに基づいて、そのクライアント端末で行われた操作を把握する機能を有する管理ソフトウェアが開発され、広く用いられている。

かかる管理ソフトウェアが導入された情報処理システムでは、各クライアント端末にそれぞれエージェントと呼ばれる情報収集用のソフトウェアが実装される。そして各エージェントは、実装先のクライアント端末で生成された操作ログを管理ソフトウェアが実装された管理サーバに送信する。また管理ソフトウェアは、各エージェントから送信される操作ログを記憶管理し、ユーザからの要求に応じてこれらの操作ログを一覧表示する。

このような情報処理システムによれば、管理サーバに表示された操作ログを分析することで、ファイルの持ち込みや持ち出しを追跡したり、その操作を行ったクライアント端末を特定することができ、かくして情報漏えいの調査や、情報漏えい対策を行うことができる。

特開２０１４−９９０２０号公報

ところで、近年、業務環境の多様化により、社員が自己のタブレット端末やスマートフォンなどの情報処理装置を業務利用するＢＹＯＤと呼ばれる業務形態や、会社が個人利用可能な情報処理装置を貸与するＢＹＣＤと呼ばれる業務形態を導入する企業が増えてきている。

このような状況のもと、例えば、ＢＹＯＤやＢＹＣＤと、上述の管理ソフトウェアとを併せて導入した場合、業務とは関係のない社員の個人的なファイル操作等に関する操作ログまでもが管理サーバに送信されるため、社員の個人情報保護の観点から見て好ましくないという問題があった。

かかる問題を解決するための手段として、例えば、特許文献１には、ＢＹＯＤで使用する情報処理装置の動作モードとして、家庭等で個人使用されることを前提としたポリシー制御を行う第１のポリシーと、オフィスで業務のために使用されることを前提とした第２のポリシーとを設け、第１のポリシーが採用されている期間に発生したイベントのイベントログがイベントログ管理サーバに送信されるのを抑制し、第２のポリシーが採用されている期間に発生したイベントのイベントログのみをイベントログ管理サーバに送信する発明が開示されている。

しかしながら、この引用文献１では、接続されたネットワークや、ＧＰＳ（Global Positioning System）により特定される位置等に基づいて情報処理装置の動作モード（第１又は第２のポリシー）の切替え制御が行われる。このため、この引用文献１に開示された発明によると、昼休み中や就業時間の終了後にユーザがオフィスで行ったプライベートなファイル操作等のイベントログが管理サーバに送信されたり、その情報処理装置を用いてユーザがオフィス以外の場所で行った業務用のファイル（以下、これを業務ファイルと呼ぶ）に対する操作のイベントログがイベントログ管理サーバに送信されないといった問題があった。

また、例えば、業務ファイルや業務で使用するフォルダ、サイト及びメールアドレスなどを予め情報処理装置に登録できるようにし、これらに関する操作が行われた場合にのみその操作ログを管理サーバに送信するよう情報処理装置を構築する方法も考えられる。しかしながら、この方法によると、事前に登録されていない、例えば新規に作成された業務ファイルの操作に関する操作ログを管理サーバが収集できないという問題がある。

本発明は以上の点を考慮してなされたもので、個人情報を保護しながら必要な操作ログを確実に収集し得る操作ログ収集システム及び操作ログ収集方法を提案しようとするものである。

かかる課題を解決するため本発明においては、操作ログ収集サーバと、１又は複数のクライアント端末とを有し、前記操作ログ収集サーバが各前記クライアント端末において生成された操作ログを収集する操作ログ収集システムにおいて、前記操作ログ収集サーバは、定期的又は不定期に、各前記クライアント端末から収集した一定期間内の前記操作ログに基づいて、当該一定期間内に操作された業務ファイルをすべて検出し、検出した前記業務ファイルごとに、当該業務ファイルのファイルオープン期間のプロセスと起動時間が重複するプロセスであって、当該業務ファイルのファイルオープン期間中のプロセスとの間で連続した操作が行われたプロセスの対象となるファイル及びサイトを当該業務ファイルの業務関連要素としてすべて検出し、前記業務ファイルごとに、当該業務ファイルの操作時に利用される回数が多い上位所定数の前記業務関連要素の組合せを業務ファイル判別条件として決定し、決定した前記業務ファイルごとの前記業務ファイル判別条件を各前記クライアント端末にそれぞれ配布し、前記クライアント端末は、新規ファイルの作成時に生成した前記操作ログに基づいて、当該新規ファイルのファイルオープン期間のプロセスと起動時間が重複するプロセスであって、当該新規ファイルのファイルオープン期間中のプロセスとの間で連続した操作が行われたプロセスの対象となるファイル及びサイトを当該新規ファイルの業務関連要素としてすべて検出し、前記新規ファイルの前記業務関連要素の組合せが、前記操作ログ収集サーバから配布されたいずれの前記業務ファイル判別条件を構成する前記業務関連要素の組合せをも含まない場合には、前記操作ログ収集サーバに前記操作ログを送信せず、前記新規ファイルの前記業務関連要素の組合せが、前記操作ログ収集サーバから配布されたいずれかの前記業務ファイル判別条件を構成する前記業務関連要素の組合せを含む場合に、新規ファイルに関する前記操作ログと、当該新規ファイルの各前記業務関連要素に関する前記操作ログとを前記操作ログ収集サーバに送信するようにした。

また本発明においては、操作ログ収集サーバと、１又は複数のクライアント端末とを有し、前記操作ログ収集サーバが各前記クライアント端末において生成された操作ログを収集する操作ログ収集システムにおいて実行される操作ログ収集方法であって、前記操作ログ収集サーバが、定期的又は不定期に、各前記クライアント端末から収集した一定期間内の前記操作ログに基づいて、当該一定期間内に操作された業務ファイルをすべて検出する第１のステップと、前記操作ログ収集サーバが、検出した前記業務ファイルごとに、当該業務ファイルのファイルオープン期間のプロセスと起動時間が重複するプロセスであって、当該業務ファイルのファイルオープン期間中のプロセスとの間で連続した操作が行われたプロセスの対象となるファイル及びサイトを当該業務ファイルの業務関連要素としてすべて検出する第２のステップと、前記操作ログ収集サーバが、前記業務ファイルごとに、当該業務ファイルの操作時に利用される回数が多い上位所定数の前記業務関連要素の組合せを業務ファイル判別条件として決定し、決定した前記業務ファイルごとの前記業務ファイル判別条件を各前記クライアント端末にそれぞれ配布する第３のステップと、前記クライアント端末が、新規ファイルの作成時に生成した前記操作ログに基づいて、当該新規ファイルのファイルオープン期間のプロセスと起動時間が重複するプロセスであって、当該新規ファイルのファイルオープン期間中のプロセスとの間で連続した操作が行われたプロセスの対象となるファイル及びサイトを当該新規ファイルの業務関連要素としてすべて検出する第４のステップと、前記クライアント端末が、前記新規ファイルの前記業務関連要素の組合せが、前記操作ログ収集サーバから配布されたいずれの前記業務ファイル判別条件を構成する前記業務関連要素の組合せをも含まない場合には、前記操作ログ収集サーバに前記操作ログを送信せず、前記新規ファイルの前記業務関連要素の組合せが、前記操作ログ収集サーバから配布されたいずれかの前記業務ファイル判別条件を構成する前記業務関連要素の組合せを含む場合に、新規ファイルに関する前記操作ログと、当該新規ファイルの各前記業務関連要素に関する前記操作ログとを前記操作ログ収集サーバに送信する第５のステップとを設けるようにした。

本発明の操作ログ収集システム及び操作ログ収集方法によれば、新規ファイルが業務ファイルであるか否かをクライアント端末が一定の精度で判別することができ、業務ファイル及びその業務関連要素に関する操作ログのみを操作ログ収集サーバが適切に収集することができる。

本発明によれば、個人情報を保護しながら必要な操作ログを確実に収集し得る操作ログ収集システム及び操作ログ収集方法を実現できる。

本実施の形態による操作ログ収集システムの概略構成を示すブロック図である。 操作ログ関連定義テーブルの構成例を示す概念図である。 操作ログデータベースの構成例を示す概念図である。 業務ファイル一覧の構成例を示す概念図である。 本実施の形態による操作ログ収集方式における操作ログ収集サーバ側の処理内容の説明に供する概念図である。 出現回数カウンタテーブルの構成例を示す概念図である。 業務ファイル判別条件一覧の構成例を示す概念図である。 本実施の形態による操作ログ収集方式におけるクライアント端末側の処理内容の説明に供する概念図である。 業務環境管理テーブルの構成例を示す概念図である。 業務ファイル判別条件除外要素管理テーブルの構成例を示す概念図である。 業務環境登録画面の構成例を略線的に示す略線図である。 業務環境表示画面の構成例を略線的に示す略線図である。 業務ファイル判別理由表示画面の構成例を略線的に示す略線図である。 業務ファイル判別条件除外要素登録画面の構成例を略線的に示す略線図である。 警告画面の構成例を略線的に示す略線図である。 業務ファイル判別条件一覧配布処理の処理手順を示すフローチャートである。 業務ファイル判別処理の処理手順を示すフローチャートである。

以下図面について、本発明の一実施の形態を詳述する。

（１）ログ収集システムの構成
図１において、１は全体として本実施の形態による操作ログ収集システム１を示す。この操作ログ収集システム１は、ＢＹＯＤやＢＹＣＤが導入された企業等に設置された情報処理システムの一部を構成するものであり、管理コンソール２、操作ログ収集サーバ３及び複数のクライアント端末４を備えて構成される。

管理コンソール２及び操作ログ収集サーバ３はＬＡＮ（Local Area Network）やインターネットなどから構成される第１のネットワーク５に接続されており、各クライアント端末４はＬＡＮ、無線ＬＡＮなどから構成される第２のネットワーク６に接続されている。そして第１及び第２のネットワーク５，６は、ルータ７を介して接続されている。

管理コンソール２は、システム管理者が操作ログ収集サーバ３を管理するために利用するコンピュータ装置であり、例えば、パーソナルコンピュータ、ワークステーション又はメインフレームなどから構成される。システム管理者は、この管理コンソール２を用いて操作ログ収集サーバ３に対する各種設定を行うことができる。

操作ログ収集サーバ３は、各クライアント端末４においてユーザが行った各種操作の操作ログを収集する機能を有する汎用のサーバ装置であり、ＣＰＵ（Central Processing Unit）１０、メモリ１１、補助記憶装置１２及び通信装置１３などの情報処理資源を備えて構成される。

ＣＰＵ１０は、操作ログ収集サーバ３全体の動作制御を司るプロセッサである。またメモリ１１は、例えば不揮発性の半導体メモリから構成され、主としてプログラムやデータを一時的に記憶するために利用される。後述するマネージャ２０は、このメモリ１１に格納されて保持される。

補助記憶装置１２は、例えばハードディスク装置やＳＳＤ（Solid State Drive）などの大容量かつ不揮発性の記憶装置から構成され、各種プログラムや各種データを長期間保持するために利用される。本実施の形態の場合、この補助記憶装置１２には、操作ログ関連定義テーブル２１、業務環境管理テーブル２２、業務ファイル一覧２３、業務ファイル判別条件除外要素管理テーブル２４及び操作ログデータベース２５が格納される。

通信装置１３は、例えば、ＮＩＣ（Network Interface Card）などから構成され、操作ログ収集サーバ３が第１のネットワーク５、ルータ７及び第２のネットワーク６を介して各クライアント端末４と通信する際のプロトコル制御を行う。

クライアント端末４は、社員等のユーザの所有物であって業務利用されるコンピュータ端末、若しくは、会社から支給され個人利用が許可されたコンピュータ端末、又は、社内専用のコンピュータ端末であり、例えば、タブレット端末やノート型パーソナルコンピュータなどから構成される。このクライアント端末４は、操作ログ収集サーバ３と同様に、ＣＰＵ３０、メモリ３１、補助記憶装置３２及び通信装置３３等の情報処理資源を備えて構成される。

ＣＰＵ３０は、クライアント端末４全体の動作制御を司るプロセッサである。またメモリ３１は、例えば不揮発性の半導体メモリから構成され、主としてプログラムやデータを一時的に記憶するために利用される。後述するエージェント４０は、このメモリ３１に格納されて保持される。

補助記憶装置３２は、例えばハードディスク装置やＳＳＤなどから構成され、各種プログラムや各種データを長期間保持するために利用される。後述する操作ログ関連定義テーブル２１、業務ファイル一覧２３及び業務ファイル判別条件一覧４１は、この補助記憶装置３２に格納されて保持される。また通信装置３３は、ＮＩＣ等から構成され、クライアント端末４が第２のネットワーク６、ルータ７及び第１のネットワーク５を介して操作ログ収集サーバ３と通信する際のプロトコル制御を行う。

本操作ログ収集システム１において、クライアント端末４は、ログイン／ログアウト及びファイルのオープン／保存といった特定の操作が行われた場合、その操作を行ったユーザのユーザ名やその日時及びそのとき行われた操作の種別（操作種別）などの情報を含む所定フォーマットの操作ログを生成し、生成した操作ログのうち、後述のように所定の操作種別の操作ログを操作ログ収集サーバ３に送信する。そして操作ログ収集サーバ３は、各クライアント端末４から送信されるこれら操作ログを補助記憶装置１２に保持した操作ログデータベース２５に格納して管理する。

このように各クライアント端末４において特定の操作に対する操作ログを生成するための手段として、各クライアント端末４は、図２に示すような操作ログ関連定義テーブル２１を補助記憶装置３２（図１）において保持している。この操作ログ関連定義テーブル２１は、クライアント端末４で操作ログを生成すべき操作種別と、その操作種別について操作ログに格納すべき各種情報（入力情報、出力情報及びコンテキスト情報）とが予め定義されたテーブルであり、図２に示すように、操作種別欄２１Ａ、入力情報欄２１Ｂ、出力情報欄２１Ｃ及びコンテキスト情報欄２１Ｄを備えて構成される。

そして操作種別欄２１Ａには、クライアント端末４の起動や停止、ログオン、ログオフ、ファイルコピー又はファイル作成といった、クライアント端末４が操作ログを生成すべき操作の種別が格納される。また入力情報欄２１Ｂには、対応する操作が何らかの情報の入力を伴う場合の当該情報の入力元を表す情報（入力情報）が格納され、出力情報欄２１Ｃには、対応する操作が何らかの情報の出力を伴う場合の当該情報の出力先を表す情報（出力情報）が格納される。さらにコンテキスト情報欄２１Ｄには、対応する操作の操作対象に関する情報（コンテキスト情報）が格納される。

なお各クライアント端末４が生成する操作ログには、上述の操作種別、入力情報、出力情報及びコンテキスト情報に加え、その操作が行われた日時（操作日時）、その操作が行われたクライアント端末の端末名、その操作を行ったユーザ（正確にはそのときログインしているユーザ）のユーザ名、その操作に関するプロセスのプロセス名、当該プロセスに付与されたプロセスＩＤなどの情報も格納される。

一方、図３は、操作ログ収集サーバ３の補助記憶装置１２に格納される操作ログデータベース２５の構成例を示す。操作ログデータベース２５は、操作ログ収集サーバ３が各クライアント端末４からそれぞれ送信される操作ログを保持及び管理するために利用されるデータベースであり、この図３に示すように、操作日時欄２５Ａ、操作種別欄２５Ｂ、マシン名欄２５Ｃ、ユーザ名欄２５Ｄ、プロセスＩＤ欄２５Ｅ、プロセス名欄２５Ｆ、入力情報欄２５Ｇ、出力情報欄２５Ｈ及びコンテキスト情報欄２５Ｉを備えて構成される。

そして、これら操作日時欄２５Ａ、操作種別欄２５Ｂ、マシン名欄２５Ｃ、ユーザ名欄２５Ｄ、プロセスＩＤ欄２５Ｅ、プロセス名欄２５Ｆ、入力情報欄２５Ｇ、出力情報欄２５Ｈ及びコンテキスト情報欄２５Ｉには、それぞれ上述のように操作ログに格納された操作日時、操作種別、クライアント端末名、ユーザ名、プロセスＩＤ、プロセス名、入力情報、出力情報及びコンテキスト情報のうちの対応する情報がそれぞれ格納される。

（２）本実施の形態による操作ログ収集方式
次に、本操作ログ収集システム１において、操作ログ収集サーバ３が各クライアント端末４から操作ログを収集する際の操作ログ収集方式について説明する。この操作ログ収集方式は、各クライアント端末４において生成される操作ログのうち、業務ファイルの操作に関する操作ログと、その業務ファイルに関連して、その業務ファイルの操作中に他のファイル又はサイトなどにアクセス等した場合のそのアクセス等に関する操作ログとのみを操作ログ収集サーバ３が収集するための方式である。なお以下においては、「業務ファイルの操作」とは、（図２の入力情報欄２１Ｂ、出力情報欄２１Ｃ及びコンテキスト情報欄２１Ｄのいずれかに業務ファイルのファイルパスを含む操作であり、具体的には、図２の「ファイルコピー」から「クリップボード貼付け」までの操作種別のうちの「Ｗｅｂアクセス」を除くすべての操作がこれに該当する。このように操作ログの収集対象を業務ファイル関連の操作に限定したのは、業務ファイル関連操作がほとんどの情報漏えいの原因となり、操作ログで追跡が可能な操作だからである。

実際上、本操作ログ収集システム１の場合、システム管理者は、管理コンソール２（図１）を用いて業務環境を操作ログ収集サーバ３に登録することができる。ここで、「業務環境」とは、社内、部署内又は社内の業務グループ内でのみ使用される社内の業務用ファイル共有フォルダの社内ＩＰ（Internet Protocol）アドレスや、社内のファイル共有サイトのＵＲＬ（Uniform Resource Locator）又は業務用のメールアドレスなどであって、基本的に私用で用いられることがなく、業務でのみ使用されるＩＰアドレスやサイトのＵＲＬ及びメールアドレスなどを指す。

一方、操作ログ収集サーバは、定期的に（例えば１〜３か月ごとに）、上述のように登録された業務環境に基づいて、操作ログデータベース２５に登録されている直近の一定期間（例えば１年）分の操作ログを参照して、その期間内に操作された業務ファイルをすべて検出する。本実施の形態においては、業務環境からダウンロードされたファイル、業務環境にアップロードされたファイル、業務環境として登録されたメールアドレスに添付されたファイル、又は、社内専用のクライアント端末４で作成されたファイルを業務ファイルと定義する。従って、操作ログ収集サーバ３は、そのようなファイルを業務ファイルとしてすべて検出する。

具体的に、操作ログ収集サーバ３は、図３について上述した操作ログデータベース２５の入力情報欄２５Ｇ及び出力情報欄２５Ｈに格納されている各操作ログの入力情報、出力情報及びコンテキスト情報を参照して、業務環境として登録された社内ＩＰアドレスの業務用ファイル共有フォルダに格納若しくは当該業務用ファイル共有フォルダから読み出されたファイルや、業務環境として登録されたＵＲＬの社内ファイル共有サイトからダウンロード若しくは当該サイトにアップロードされたファイル、又は、上述の業務環境として設定された業務用のメールアドレスを送信先若しくは送信元とする電子メールに添付されたファイルを業務ファイルとしてすべて検出する。また操作ログ収集サーバ３は、操作ログデータベース２５のマシン名欄２５Ｃ（図３）を参照して、社内専用のクライアント端末４で作成されたファイルについても業務ファイルとして検出する。

そして操作ログ収集サーバ３は、検出したこれらの業務ファイルをすべて登録した図４に示すような業務ファイル一覧２３を作成する。この業務ファイル一覧２３は、業務ファイルＩＤ欄２３Ａ、業務環境名欄２３Ｂ及びファイル名欄２３Ｃを備えて構成されるもので、業務ファイルＩＤ欄２３Ａには、対応する業務ファイルに付与されたその業務ファイルに固有の識別子（業務ファイルＩＤ）が格納される。また業務環境名欄２３Ｂには、対応する業務ファイルがダウンロード又はアップロード等された業務環境の業務環境名が格納され、ファイル名欄２３Ｃには、その業務ファイルのファイル名が格納される。

続いて、操作ログ収集サーバ３は、業務ファイル一覧２３に登録された業務ファイルの中から１つの業務ファイルを選択し、その業務ファイルのファイルオープン期間（そのファイルがオープンされてからクローズされるまでの期間）と起動期間が重複しているプロセスの操作ログ（図５の左側）のうち、ファイル名及びサイトＵＲＬを含む操作ログを関連操作ログとして操作ログデータベース２５からすべて取得する。

また操作ログ収集サーバ３は、このようにして取得したその業務ファイルの関連操作ログを、同じプロセスＩＤ同士のグループ（以下、これを関連操作ロググループと呼ぶ）ＲＧに分け（図５の右側参照）、関連操作ロググループＲＧごとに、対応するプロセスの対象となるファイルやサイト等をそれぞれ検出する。このようにして操作ログ収集サーバ３は、その業務ファイルの操作中にアクセス等されたファイル及び又はサイト等をすべて検出する。

さらに操作ログ収集サーバ３は、このようにして検出したファイルやサイト等のうち、そのとき選択されている業務ファイルのファイルオープン期間中のプロセスとの間で連続した操作（業務ファイルとの間での画面の切替えなど、プロセス相互間で一定時間内に続けて行われた操作）が行われたプロセスの対象となるファイルやサイトを業務関連要素として検出する。

ここで、図５は、業務環境である「https://hatachi.com」というＵＲＬの社内用ファイル共有サイトにアップロードされた、「ＦＳ.doc」という業務ファイルが作成されたときの操作ログの一例を示している。なお図５において、「exces.exe」は表計算ソフトウェア（「exces」）のＥＸＥファイルを表し、「world.exe」は文書作成ソフトウェア（「world」）のＥＸＥファイルを表し、「explo.exe」はインターネット閲覧ソフトウェア（「explo」）のＥＸＥファイルを表す。

この例では、ユーザは、ログイン後、かかる「ＦＳ.doc」という業務ファイルを作成するため、以前作成した「ＦＳ資料.xls」というファイルを参照すると共に、「https://msdn.micro.com」というＵＲＬのＷｅｂサイトとを閲覧している。またユーザは、「ＦＳ.doc」という業務ファイルを作成後、趣味のＷｅｂサイトを閲覧し、その後ログオフしている。

この場合、「ＦＳ.doc」という業務ファイルのファイルオープン期間と起動期間が重複するプロセスは「ＦＳ資料.xls」というファイルをオープンしたときのプロセスと、「https://msdn.micro.com」というＵＲＬのＷｅｂサイトを閲覧したときのプロセスとだけであるため、これら２つのプロセスの操作ログが取得され、これら２つの操作ログがそれぞれ関連操作ロググループＲＧとして分けられることになる。また「ＦＳ資料.xls」というファイルをファイルオープンしたときのプロセスと、「https://msdn.micro.com」というＵＲＬのＷｅｂサイトを閲覧したときのプロセスは、いずれも「ＦＳ.doc」という業務ファイルのプロセスとの間で画面の切り替えが発生しており、業務ファイルのプロセスとの間で連続した操作が行われている。従って、この例では、「ＦＳ.doc」という業務ファイルの業務関連要素として、「ＦＳ資料.xls」というファイルと、「https://msdn.micro.com」というＵＲＬのＷｅｂサイトとが検出されることになる。

操作ログ収集サーバ３は、以上の処理を業務ファイル一覧２３に登録されたすべての業務ファイルについて実行する。この際、操作ログ収集サーバ３は、業務ファイルごとに、例えば図６に示すような出現回数カウンタテーブルＣＴを作成して、そのとき抽出した各業務関連要素の出現回数をそれぞれカウントする。

そして操作ログ収集サーバ３は、業務ファイル一覧２３に登録されたすべての業務ファイルについて上述の処理を実行し終えると、業務ファイルごとに、それぞれ出現回数が多い上位所定数（以下、２つとする）の業務関連要素の組合せをその業務ファイルの業務ファイル判別条件として決定する。

例えば、図６は、「ＦＳ.doc」という業務ファイルについて、「Agent1」、「Agent2」、……というエージェント４０がそれぞれ実装された各クライアント端末４により「https://msdn.micro.com」というＵＲＬのサイトと、「File.txt」というファイルと、「ＦＳ資料.xls」というファイルと、「発表.ppt」というファイルとが業務関連要素として検出された例を示す。この場合、かかる４つの業務関連要素のうちの出現回数が最も多い「https://msdn.micro.com」というＵＲＬのＷｅｂサイト（出現回数は「10」回）と、次に出現回数が多い「ＦＳ資料.xls」というファイル名のファイル（出現回数は「５」回）との組合せが「ＦＳ.doc」という業務ファイルの業務ファイル判別条件として決定されることになる。このようにして決定された業務ファイル判別条件を構成する２つの業務関連要素は、その業務ファイルの操作時に利用される回数が多い上位２つの業務関連要素ということができる。

そして操作ログ収集サーバ３は、このようにして決定した業務ファイルごとの業務ファイル判定条件をすべて登録した図７に示すような業務ファイル判別条件一覧４１を作成する。この業務ファイル判別条件一覧４１は、図７に示すように、業務ファイル判別条件ＩＤ欄４１Ａ及び業務ファイル判別条件欄４１Ｂを備えて構成される。そして業務ファイル判別条件ＩＤ欄４１Ａには、対応する業務ファイル判別条件に対して付与されたその業務ファイル判別条件に固有の識別子（業務ファイル判別条件ＩＤ）が格納される。また業務ファイル判別条件欄４１Ｂには、対応する業務ファイル判別条件を構成する業務関連要素の組合せが格納される。

そして操作ログ収集サーバ３は、この後、このようにして作成した業務ファイル判別条件一覧４１と、上述の業務ファイル一覧２３（図４）とを各クライアント端末４にそれぞれ送信する。

一方、クライアント端末４は、既存のファイルに対する操作が行われるごとに業務ファイル一覧２３を参照して、そのファイルが業務ファイルであるか否か（そのファイルのファイル名が業務ファイル一覧２３に登録されているか否か）を判断する。そしてクライアント端末４は、そのファイルが業務ファイルであると判断した場合にのみ、その業務ファイルに関する操作ログと、その業務ファイルの操作中に操作された当該業務ファイルの業務関連要素に関する操作ログとを操作ログ収集サーバ３に送信する。

またクライアント端末４は、新たなファイル（新規ファイル）が作成された場合には、図５について上述した方法と同様にして、その新規ファイルの作成中にアクセス等されたファイル又はサイト（以下、これを新規ファイル関連要素と呼ぶ）を検出する。具体的に、クライアント端末４は、その新規ファイルのファイルオープン期間と起動期間が重複しているプロセスの操作ログであって、ファイル名及びサイトＵＲＬを含む操作ログを、同じプロセスＩＤ同士のグループ（関連操作ロググループ）ＲＧに分け、関連操作ロググループＲＧごとに、そのプロセスの対象となるファイルやサイト等をそれぞれ検出する。そしてクライアント端末４は、このようにして検出したファイルやサイト等のうち、そのとき選択されている新規ファイルのファイルオープン期間中のプロセスとの間で連続した操作が行われたプロセスに対応するファイルやサイトをその新規ファイルの新規ファイル関連要素として検出する。

例えば、図８は、クライアント端末４上で、「ＦＳ資料.xls」というファイルと、「https://msdn.micro.com」というＵＲＬのＷｅｂサイトとを参照しながら「検討.doc」というファイル名の新規ファイルを作成したときの操作ログの一例を示している。この図８では、図５と同様に、「exces.exe」は表計算ソフトウェア（「exces」）のＥＸＥファイルを表し、「world.exe」は文書作成ソフトウェア（「world」）のＥＸＥファイルを表し、「explo.exe」はインターネット閲覧ソフトウェア（「explo」）のＥＸＥファイルを表すものとする。

この場合、「検討.doc」という新規ファイルのファイルオープン期間と起動期間が重複するプロセスは「ＦＳ資料.xls」というファイルをオープンしたときのプロセスと、「https://msdn.micro.com」というＵＲＬのＷｅｂサイトを閲覧したときのプロセスとだけであるため、これら２つのプロセスの操作ログが取得され、これら２つの操作ログがそれぞれ関連操作ロググループＲＧとして分けられることになる。また「ＦＳ資料.xls」というファイルをファイルオープンしたときのプロセスと、「https://msdn.micro.com」というＵＲＬのＷｅｂサイトを閲覧したときのプロセスは、いずれも「検討.doc」という業務ファイルのプロセスとの間で画面の切り替えが発生しており、業務ファイルのプロセスとの間で連続した操作が行われている。従って、この例では、「検討.doc」という新規ファイルの新規ファイル関連要素として、「ＦＳ資料.xls」というファイルと、「https://msdn.micro.com」というＵＲＬのＷｅｂサイトとが検出されることになる。

そしてクライアント端末４は、このようにして検出したその新規ファイルの新規ファイル関連要素の組合せが、業務ファイル判別条件一覧４１に登録されたいずれかの業務ファイル判別条件を構成する２つの業務関連要素の組合せを含むときに、その新規ファイルが業務ファイルであると判断し、その新規ファイルの作成時に得られたその新規ファイルに関する操作ログと、その新規ファイルの作成中にアクセスなどしたすべての新規ファイル関連要素にそれぞれ関する操作ログとをそれぞれ操作ログ収集サーバ３に送信する。

さらにクライアント端末４は、自己が保持する業務ファイル一覧にその新規ファイルを業務ファイルとして登録すると共に、その新規ファイルが業務ファイルであることを操作ログ収集サーバ３に通知する。かくして操作ログ収集サーバ３は、かかる通知に基づいて、自己が保持する業務ファイル一覧２３（図４）にかかる新規ファイルを業務ファイルとして登録すると共に、かかる新規ファイルが業務ファイルである旨を各クライアント端末４にそれぞれ通知する。そして、この通知を受けた各クライアント端末４は、自己が保持する業務ファイル一覧２３にかかる新規ファイルを業務ファイルとして登録する。

これに対してクライアント端末４は、上述のようにして検出したその新規ファイルの新規ファイル関連要素の組合せが、業務ファイル判別条件一覧４１に登録されたいずれかの業務ファイル判別条件を構成する２つの業務関連要素の組合せをも含まないときには、その新規ファイルが業務ファイルでないと判断する。従って、クライアント端末４は、この段階ではその新規ファイルの作成時に得られたその新規ファイルに関する操作ログ等を操作ログ収集サーバ３に送信しない。ただし、クライアント端末４は、この後もその新規ファイルに関する操作ログの監視を同様に行い、その新規ファイルが業務ファイルであると判断した段階で、その新規ファイルの作成時に得られたその新規ファイルに関する操作ログと、その新規ファイルの作成中にアクセスなどしたすべての新規ファイル関連要素にそれぞれ関する操作ログとをそれぞれ操作ログ収集サーバ３に送信する。

なお、上述のような本実施の形態による操作ログ収集方式では、操作ログ収集サーバ３において作成される業務ファイル判別条件を構成する業務関連要素の１つとして、例えば検索エンジンのホームページやポータルサイトなどのように、業務ファイルの操作時だけでなく通常時に頻繁に用いられるファイルやサイトが含まれていると、クライアント端末４における業務ファイルの検出精度が低下するおそれがある。

これは、本操作ログ収集方式が、業務ファイルの操作時に利用される回数が特に多い幾つかの業務関連要素の組合せを業務ファイル判別条件として抽出し、新規ファイルの作成時にその業務ファイル判別条件を構成するすべての業務関連要素にアクセス等した場合に、その新たなファイルを業務ファイルと推定する方式であるからである。

従って、業務ファイルの操作時でなくても頻繁に利用される業務関連要素が業務ファイル判定条件に含まれている場合、その業務関連要素を利用したことをもって新たなファイルが業務ファイルであると特定することが難しく、結果的に、業務ファイル判定条件を構成する残りの業務関連要素に基づいて新たなファイルが業務ファイルであるか否かを判別するのと同等の推定精度となるおそれがある。

そこで本実施の形態の操作ログ収集システムでは、業務ファイルの操作中に利用される回数が多い場合であっても、業務ファイル判別条件を構成する業務関連要素とすべきでない業務関連要素（以下、これを業務ファイル判別条件除外要素と呼ぶ）をシステム管理者が予め操作ログ収集サーバ３に登録できるようになされている。これにより本操作ログ収集システム１では、新規ファイルが業務ファイルであるか否かをクライアント端末４が判別する際の精度が劣化するのを未然に防止し得るようになされている。

以上のような本実施の形態によるログ収集方式を実現するための手段として、図１に示すように、操作ログ収集サーバ３のメモリ１１には、マネージャ２０が格納され、操作ログ収集サーバ３の補助記憶装置１２には、上述の操作ログ関連定義テーブル２１（図２）及び業務ファイル一覧２３（図４）に加えて、業務環境管理テーブル２２及び業務ファイル判別条件除外要素管理テーブル２４が格納されている。また各クライアント端末４のメモリ３１には、エージェント４０が格納され、各クライアント端末４の補助記憶装置３２には、操作ログ関連定義テーブル２１及び業務ファイル一覧２３に加えて、業務ファイル判別条件一覧４１が格納されている。

マネージャ２０は、かかる本実施の形態による操作ログ収集方式に関連する操作ログ収集サーバ３側の各種処理を実行する機能を有するプログラムである。

また業務環境管理テーブル２２は、上述のようにシステム管理者により登録された業務環境を管理するために利用されるテーブルである。この業務環境管理テーブル２２は、図９に示すように、業務環境ＩＤ欄２２Ａ、業務環境名欄２２Ｂ、業務環境内容欄２２Ｃ、登録ユーザ欄２２Ｄ及び登録日時欄２２Ｅを備えて構成される。

そして業務環境ＩＤ欄２２Ａには、登録された対応する業務環境に対して付与されたその業務環境に固有の識別子（業務環境ＩＤ）が格納される。なお、この業務環境ＩＤは、対応する業務環境を登録したシステム管理者が付与するものであっても、また操作ログ収集サーバ３が自動的に付与するものであっても良い。

また業務環境名欄２２Ｂには、対応する業務環境を登録する際にシステム管理者により入力されたその業務環境の名称（業務環境名）が格納され、業務環境内容欄２２Ｃには、対応する業務環境の内容が格納される。具体的には、対応する業務環境が社内ＩＰアドレスである場合にはその社内ＩＰアドレスが業務環境内容欄２２Ｃに格納され、対応する業務環境が社内ファイル共有サイトのＵＲＬである場合にはそのＵＲＬが業務環境内容欄２２Ｃに格納され、対応する業務環境が業務用のメールアドレスである場合にはそのメールアドレスが業務環境内容欄２２Ｃに格納される。

さらに登録ユーザ欄２２Ｄには、対応する業務環境を登録したシステム管理者のユーザ名が格納され、登録日時欄２２Ｅには、その業務環境が登録された日時が格納される。

従って、図９の例の場合、「UserB」というシステム管理者が「2015/07/01 10:15:00」に登録した業務環境ＩＤが「４」の業務環境は、業務環境名が「業務用ファイル共有サイト」であり、業務環境内容（ここではそのサイトのＵＲＬ）が「https://sharesite.co.jp」であることが示されている。

業務ファイル判別条件除外要素管理テーブル２４は、上述のようにシステム管理者により登録された業務ファイル判別条件除外要素を管理するために利用されるテーブルであり、図１０に示すように、業務関連要素ＩＤ欄２４Ａ、業務関連要素名欄２４Ｂ、内容欄２４Ｃ、登録ユーザ欄２４Ｄ及び登録日時欄２４Ｅを備えて構成される。

そして業務関連要素ＩＤ欄２４Ａには、業務ファイル判別条件除外要素とすべき対応する業務関連要素に付与されたその業務関連要素に固有の識別子（業務関連要素ＩＤ）が格納され、業務関連要素名欄２４Ｂには、その業務関連要素の名称（業務関連要素名）が格納される。

また内容欄２４Ｃには、対応する業務関連要素の内容（ファイル名やサイトのＵＲＬ）が格納され、登録ユーザ欄２４Ｄには、その業務ファイル判別条件除外要素を登録したシステム管理者のユーザ名が登録される。さらに登録日時欄２４Ｅには、その業務ファイル判別条件除外要素が登録された日時が格納される。

従って、図１０の例の場合、業務関連要素ＩＤが「６」の「http://yaho.com」という「Ｗｅｂサイト」が「2015/07/01 10:15:00」に「UserB」というユーザにより業務ファイル判別条件除外要素として登録されたことが示されている。

エージェント４０は、上述した本実施の形態による操作ログ収集方式に関連するクライアント端末４側の各種処理を実行する機能を有するプログラムである。

（３）各種表示画面の構成
（３−１）業務環境登録画面
図１１は、管理コンソール２（図１）を所定操作することにより当該管理コンソール２に表示させ得る業務環境登録画面５０の構成例を示す。システム管理者は、この業務環境登録画面５０を用いて上述の業務環境を操作ログ収集サーバ３に登録することができる。

実際上、この業務環境登録画面５０では、業務環境として登録すべき内容である業務環境ＩＤ、業務環境名、業務環境内容及び登録ユーザ名（図９参照）にそれぞれ対応させて、「業務環境ＩＤ」、「業務環境名」、「業務環境内容」及び「登録ユーザ」の各文字列５１Ａ〜５１Ｄと、テキストボックス５２Ａ〜５２Ｄとがそれぞれ表示される。また業務環境登録画面５０の画面下側には、登録ボタン５３及びキャンセルボタン５４が表示される。

そしてシステム管理者は、業務環境ＩＤ、業務環境名、業務環境内容及び登録ユーザ名にそれぞれ対応するテキストボックス５２Ａ〜５２Ｄ内に、そのとき登録しようとする業務環境の業務環境ＩＤ、業務環境名及び業務環境内容と自己のユーザ名とのうちの対応する情報をそれぞれ入力し、この後、登録ボタン５３をクリックすることにより、その業務環境を登録することができる。このとき登録された業務環境に関する情報は、管理コンソール２から操作ログ収集サーバ３に送信され、当該操作ログ収集サーバ３において、マネージャ２０により業務環境管理テーブル２２（図９）に格納されて管理される。

またシステム管理者は、キャンセルボタン５４をクリックすることにより、この業務環境登録画面５０を閉じることができる。この際、例えば、各テキストボックス５２Ａ〜５２Ｄに情報が入力されていた場合には、その情報が破棄される。

（３−２）業務環境表示画面
一方、図１２は、管理コンソール２（図１）を所定操作することにより当該管理コンソール２に表示させ得る業務環境表示画面６０の構成例を示す。この業務環境表示画面６０は、それまでに登録されている業務環境を確認したり、登録されている業務環境を必要に応じて変更又は削除するための画面である。

実際上、この業務環境表示画面６０は、業務環境一覧６１を備えて構成される。そして業務環境一覧６１には、操作ログ収集サーバ３が保持する業務環境管理テーブル２２に登録されているすべての業務環境の情報が表示される。なお、この情報は、管理コンソール２により操作ログ収集サーバ３から取得されたものである。

この業務環境一覧６１は、各行にチェック欄６１Ａが設けられている点を除いて図９について上述した業務環境管理テーブル２２と同様の構成を有する。そして各行のチェック欄６１Ａにはラジオボタン６２Ａ〜６２Ｃがそれぞれ表示されており、これらのラジオボタン６２Ａ〜６２Ｃの中から１つのラジオボタン６２Ａ〜６２Ｃをクリックして選択することにより、業務環境一覧６１内に各種情報が表示された業務環境の中からそのラジオボタン６２Ａ〜６２Ｃに対応する業務環境を選択することができる。このとき業務環境一覧６１内では、そのラジオボタン６２Ａ〜６２Ｃに対応する業務環境に関する情報（その業務環境の行）のみが有効表示され、他の業務環境に対応する情報（他の業務環境に対応する行）が無効表示される。

また業務環境表示画面６０の画面下側には、登録ボタン６３、変更ボタン６４、削除ボタン６５及びキャンセルボタン６６が表示される。そして業務環境表示画面６０では、業務環境一覧６１に情報が表示された業務環境の中から上述のようにして所望の業務環境を選択し、その状態で変更ボタン６４をクリックすることにより、業務環境一覧６１内のその業務環境に対応する情報を変更できる状態とすることができる。また業務環境表示画面６０では、業務環境一覧６１に情報が表示された業務環境の中から上述のようにして所望の業務環境を選択し、その状態で削除ボタン６５をクリックすることにより、業務環境一覧６１からその業務環境の情報を削除（その業務環境に対応する行を削除）することができる。

そして業務環境表示画面６０では、上述のようにして業務環境一覧６１の内容を更新（変更又は削除）した後に、登録ボタン６３をクリックすることにより、操作ログ収集サーバ３が保持する業務環境管理テーブル２２の内容を同様に更新することができる。実際上、上述のようにして業務環境一覧６１が更新された後に登録ボタン６３がクリックされた場合、管理コンソール２は、更新後の業務環境一覧６１の内容を操作ログ収集サーバ３に通知する。そして操作ログ収集サーバ３のマネージャ２０は、かかる通知を受信すると、その内容に従って業務環境管理テーブル２２（図９）を更新する。

なおシステム管理者は、キャンセルボタン６６をクリックすることにより、操作ログ収集サーバ３が保持する業務環境管理テーブル２２の内容を更新することなく、この業務環境表示画面６０を閉じることができる。

（３−３）業務ファイル判別理由表示画面
他方、図１３は、管理コンソール２を所定操作することにより当該管理コンソール２に表示させ得る業務ファイル判別理由表示画面７０の構成例を示す。この業務ファイル判別理由表示画面７０は、ファイルが業務ファイルであると操作ログ収集サーバ３により判別された理由を表示し、これによりシステム管理者がその理由を確認できるようにするための画面である。

実際上、この業務ファイル判別理由表示画面７０は、対象とするファイル（業務ファイル）を指定するためのテキストボックス７１と、業務ファイル判別条件一覧７２とを備えて構成される。

そして業務ファイル判別理由表示画面７０では、テキストボックス７１内に所望するファイルのファイル名を入力することによって、そのファイルが業務ファイルとして判別されたときに適用されたすべての業務ファイル判別条件の情報を業務ファイル判別条件一覧７２内に表示させることができる。

具体的に、業務ファイル判別条件一覧７２には、そのファイルが業務ファイルとして判別されたときに利用された各業務ファイル判別条件について、その業務ファイル判別条件ＩＤ（「判別条件ＩＤ」）と、その業務ファイル判別条件を構成する業務関連要素の組合せ（「業務ファイル判別条件」）と、その業務ファイル判別条件を用いて判別を行った日時（「判別日時」）とが表示される。なお、これらの情報は、その業務ファイル判別理由表示画面７０を表示する際、管理コンソール２が操作ログ収集サーバ３から取得したものである。

この業務ファイル判別理由表示画面７０は、画面下側に表示された閉じるボタン７３をクリックすることにより閉じることができる。

（３−４）業務ファイル判別条件除外要素登録画面
図１４は、管理コンソール２（図１）を所定操作することにより表示させることができる業務ファイル判別条件除外要素登録画面８０の構成例を示す。この業務ファイル判別条件除外要素登録画面８０は、システム管理者が上述の業務ファイル判別条件除外要素を操作ログ収集サーバ３に登録するための画面である。

実際上、この業務ファイル判別条件除外要素登録画面８０では、そのとき登録すべき業務ファイル判別条件除外要素の識別子（業務ファイル判別条件除外要素ＩＤ）、その名称（業務ファイル判別条件除外要素名）、その内容（業務ファイル判別条件除外要素内容）及び登録ユーザ名（図１０参照）にそれぞれ対応させて、「業務ファイル判別条件除外ＩＤ」、「業務ファイル判別条件除外要素名」、「業務ファイル判別条件除外要素内容」及び「登録ユーザ」の文字列８１Ａ〜８１Ｄと、テキストボックス８２Ａ〜８２Ｄとがそれぞれ表示される。また業務ファイル判別条件除外要素登録画面８０の画面下側には、登録ボタン８３及びキャンセルボタン８４が表示される。

そしてシステム管理者は、業務ファイル判別条件除外要素ＩＤ、業務ファイル判別条件除外要素名、業務ファイル判別条件除外要素内容及び登録ユーザ名にそれぞれ対応するテキストボックス８２Ａ〜８２Ｄ内に、そのとき登録しようとする業務ファイル判別条件除外要素のＩＤ、名称及び内容と自己のユーザ名とのうちの対応する情報をそれぞれ入力し、この後、登録ボタン８３をクリックすることにより、その業務ファイル判別条件除外要素を登録することができる。このとき登録された業務ファイル判別条件除外要素に関する情報は、管理コンソール２から操作ログ収集サーバ３に送信され、当該操作ログ収集サーバ３において、マネージャ２０により業務ファイル判別条件除外要素管理テーブル２４（図１０）に格納されて管理される。

またシステム管理者は、キャンセルボタン８４をクリックすることにより、この業務ファイル判別条件除外要素登録画面８０を閉じることができる。この際、例えば、各テキストボックス８２Ａ〜８２Ｄに情報が入力されていた場合には、その情報が破棄される。

（３−５）警告画面
図１５は、業務用メールアドレス以外のメールアドレスを宛先とする電子メールに業務ファイルを添付して送信しようとしたとき、業務ファイルを業務環境以外のサイトやフォルダ等にアップロードしようとしたときなどにクライアント端末４に表示される警告画面９０の構成例を示す。この警告画面９０は、上述のような作業を行おうとしたユーザに対して、そのファイルが業務ファイルであり、場合によっては情報が漏えいする危険性がある旨の警告を与えるための画面である。

実際上、警告画面９０には、「該当ファイルは業務ファイルです。情報漏えいの危険性があります。」といった警告文９１が表示される。また警告画面９０にはＯＫボタン９２も表示される。そしてユーザは、このＯＫボタン９２をクリックすることにより警告画面９０閉じることができる。

（４）本操作ログ収集方式に関連する各種処理
次に、上述した本実施の形態による操作ログ収集方式に関連して実行される各種処理の具体的な処理内容について説明する。なお以下の説明では、各種処理の処理主体をマネージャ２０又はエージェント４０として説明するが、実際上は、その処理をそのマネージャ２０に基づき操作ログ収集サーバ３のＣＰＵ１０（図１）が実行し又はエージェント４０に基づきクライアント端末４のＣＰＵ３０（図１）が実行することは言うまでもない。

（４−１）業務ファイル判別条件一覧配布処理
図１６は、かかる本操作ログ収集方式に関連して操作ログ収集サーバ３のマネージャ２０により定期的に実行される業務ファイル判別条件一覧配布処理の処理手順を示す。マネージャ２０は、この図１６に示す処理手順に従って、上述した業務ファイル判別条件一覧４１（図７）を作成して各クライアント端末４に配布（送信）する。

実際上、マネージャ２０は、この業務ファイル判別条件一覧配布処理を開始すると、まず、業務環境管理テーブル２２（図９）及び操作ログデータベース２５（図１）を参照して、直近の一定期間内に操作されたすべての業務ファイルを登録した業務ファイル一覧２３（図４）を作成する（ＳＰ１）。

続いて、マネージャ２０は、業務ファイル一覧２３に登録された業務ファイルの中からステップＳＰ３以降の処理が未処理の業務ファイルを１つ選択すると共に、その業務ファイルに対する初期状態の図６について上述した出現回数カウンタテーブルＣＴを作成する（ＳＰ２）。

またマネージャ２０は、ステップＳＰ２で選択した業務ファイル（以下、これを選択業務ファイルと呼ぶ）のファイルオープン期間と起動期間が重複しているすべてのプロセスの操作ログであって、ファイル名及びサイトＵＲＬを含むすべての操作ログを関連操作ログとして操作ログデータベース２５から取得し（ＳＰ３）、取得した関連操作ログに基づいて、図５について上述した手順により、選択業務ファイルの業務関連要素をすべて検出する（ＳＰ４）。

次いで、マネージャ２０は、ステップＳＰ２で作成した出現回数カウンタテーブルＣＴにそのとき検出した業務関連要素が既に登録されている場合には当該業務関連要素に対応するカウント値を１つカウントアップ（インクリメント）し、出現回数カウンタテーブルＣＴにその業務関連要素が登録されていない場合には当該業務関連要素をその出現回数カウンタテーブルＣＴにカウント値を１として新規に登録する（ＳＰ５）。

この後、マネージャ２０は、業務ファイル一覧２３に登録されたすべての業務ファイルについてステップＳＰ３〜ステップＳＰ５の処理を実行し終えたか否かを判断する（ＳＰ６）。そしてマネージャ２０は、この判断で否定結果を得るとステップＳＰ２に戻り、この後ステップＳＰ２で選択業務ファイルを未処理の他の業務ファイルに順次切り替えながらステップＳＰ２〜ステップＳＰ６の処理を繰り返す。

そしてマネージャ２０は、やがて業務ファイル一覧２３に登録されたすべての業務ファイルについてステップＳＰ３〜ステップＳＰ６の処理を実行し終えることによりステップＳＰ６で肯定結果を得ると、各出現回数カウンタテーブルＣＴを参照して、業務ファイルごとの業務ファイル判別条件を決定する（ＳＰ７）。

具体的に、マネージャ２０は、個々の出現回数カウンタテーブルＣＴについて、業務ファイル判別条件除外要素管理テーブル２４（図１０）に登録されている業務関連要素以外の業務関連要素であって、出現回数カウンタテーブルＣＴ上でカウント値が最も大きい上位２つの業務関連要素を抽出し、その組合せを業務ファイル判別条件としてそれぞれ決定する。

そしてマネージャ２０は、上述のようにしてステップＳＰ７で決定したすべての業務ファイル判別条件を登録した業務ファイル判別条件一覧４１（図７）を作成し、作成した業務ファイル判別条件一覧４１をそのとき操作ログ収集サーバ３が保持する業務ファイル一覧２３と共に各クライアント端末４にそれぞれ配布した後（ＳＰ８）、この業務ファイル判別条件一覧配布処理を終了する。

（４−２）業務ファイル判別処理
一方、図１７は、本実施の形態による操作ログ収集方式に関連して、新規ファイルが作成されたときにクライアント端末４のエージェント４０（図１）により実行される業務ファイル判別処理の処理手順を示す。エージェント４０は、この図１７に示す処理手順に従って、そのとき作成された新規ファイルが業務ファイルであるか否かの判別を行い、業務ファイルであると判断した場合には必要な操作ログを操作ログ収集サーバ３に送信する。

実際上、エージェント４０は、新規ファイルが作成されると、この業務ファイル判定処理を開始し、まず、図８について上述した処理手順に従って、その新規ファイルの新規ファイル関連要素をすべて検出する（ＳＰ１０）。

続いて、エージェント４０は、ステップＳＰ１０で検出した新規ファイルの新規ファイル関連要素に基づいて新規ファイルが業務ファイルであるか否かを判断する。具体的に、エージェント４０は、ステップＳＰ１０で検出した新規ファイルの新規ファイル関連要素の組合せが、業務ファイル判別条件一覧４１に登録されたいずれかの業務ファイル判別条件を構成する２つの業務関連要素の組合せを含むか否かを判断する（ＳＰ１１）。

そしてエージェント４０は、この判断で否定結果を得るとこの業務ファイル判別処理を終了する。従って、この場合には、そのクライアント端末４から操作ログ収集サーバ３に操作ログが送信されない。

これに対して、エージェント４０は、ステップＳＰ１１で肯定結果を得ると、その新規ファイルを自クライアント端末４が保持する業務ファイル一覧２３に登録すると共に、その新規ファイルが業務ファイルである旨を操作ログ収集サーバ３に通知する（ＳＰ１２）。

そしてエージェント４０は、この後、その新規ファイルの作成時に生成したその新規ファイルについての操作ログと、その新規ファイルの業務関連要素についての操作ログとを操作ログ収集サーバ３に送信し（ＳＰ１３）、この後、この業務ファイル判別処理を終了する。

なおエージェント４０は、ステップＳＰ１１の判断で否定結果を得た場合、その後もその新規ファイルの監視を同様に行う。具体的に、エージェント４０は、その新規ファイルに対するファイル操作が行われるごとにこの図１７に示す業務ファイル判別処理を実行する。

（５）本実施の形態の効果
以上のように本実施の形態の操作ログ収集システム１では、操作ログ収集サーバ３が、操作ログに基づいて、直近一定期間内に使用された業務ファイルをすべて検出すると共に、これらの業務ファイルを登録した業務ファイル一覧２３を生成すると共に、業務ファイルの操作時に利用される回数が多い上位２つの業務関連要素の組合せを業務ファイル判別条件として業務ファイルごとに検出し、その一覧である業務ファイル判別条件一覧４１を作成して、業務ファイル一覧２３及び業務ファイル判別条件一覧４１を各クライアント端末４にそれぞれ配布する。またクライアント端末４は、業務ファイル一覧２３及び業務ファイル判別条件一覧４１を参照して、新規ファイルが作成されたときにそのファイルが業務ファイルであるか否かを判定し、業務ファイルであると判定した場合にはその新規ファイルに関する操作ログ及びその新規ファイルの業務関連要素に関する操作ログを操作ログ収集サーバに送信する。

従って、本実施の形態の操作ログ収集システム１によれば、新規ファイルが業務ファイルであるか否かをクライアント端末４が一定の精度で判別することができ、操作ログ収集サーバ３が業務ファイル及びその業務関連要素に関する操作ログのみを適切に収集することができる。かくするにつき、本操作ログ収集システム１によれば、個人情報を保護しながら必要な操作ログを確実に収集することができる。

また本実施の形態の操作ログ収集システム１によれば、操作ログ収集サーバ３が業務ファイル及びその業務関連要素に関する操作ログのみを選択的に収集するため、操作ログ収集サーバ３が収集すべき操作ログのログ数を格段的に低減することができ、操作ログ収集サーバ３が操作ログを収集及び保持するために必要なリソース（ネットワークの帯域及び操作ログ収集サーバ３において操作ログを保持するための記憶媒体など）のリソース量を低減させることができる。

（６）他の実施の形態
なお上述の実施の形態においては、クライアント端末４が業務ファイル及びその業務関連要素に関する操作ログのみを操作ログ収集サーバ３に送信するようにした場合について述べたが、本発明はこれに限らず、例えば、操作ログ収集サーバ３及びクライアント端末４とは別個に第１又は第２のネットワーク５，６上に記憶装置を設け、各クライアント端末４が、生成したすべての操作ログをその記憶装置に蓄積し、これらの操作ログの中から業務ファイル及びその業務関連要素に関する操作ログのみを必要時に記憶装置が操作ログ収集サーバ３に送信し又は操作ログ収集サーバ３が記憶装置から読み出すようにしても良い。

また上述の実施の形態においては、図１６について上述した業務ファイル判別条件一覧配布処理のステップＳＰ３において、選択業務ファイルのファイルオープン期間と起動期間が重複しているすべてのプロセスの操作ログであって、ファイル名及びサイトＵＲＬを含むすべての操作ログを関連操作ログとして操作ログデータベース２５から取得するようにした場合について述べたが、本発明はこれに限らず、関連操作ログを部署や業務グループ単位で取得するようにしても良い。このようにすることによって、この後作成される業務ファイル判別条件の精度を向上させることができる。

さらに上述の実施の形態においては、業務ファイル判別条件を２つの業務関連要素の組合せとするようにした場合について述べたが、本発明はこれに限らず、業務ファイル判別条件を３つ以上の業務関連要素の組合せとするようにしても良い。ただし、業務ファイル判別条件を構成する業務関連要素の数を３つ以上とした場合、新規ファイルの作成時にそれらすべての業務関連要素が利用されなければその新規ファイルが業務ファイルとして判別されないため、業務ファイルであるにも関わらず業務ファイルでないと判定される新規ファイルが多くなるおそれがある。従って、業務ファイル判別条件を２つの業務関連要素の組合せとすることによって、業務ファイルでないにも関わらす業務ファイルと判定される新規ファイルが増えるおそれはあるものの、業務ファイルであるにも関わらず業務ファイルでないと判定される新規ファイルの数をできる限り少なくすることができる。

本発明は、ＢＹＯＤやＢＹＣＤが導入された企業等の情報処理システムにおいて端末で生成された操作ログを収集する操作ログ収集システムに広く適用することができる。

１……操作ログ収集システム、２……管理コンソール、３……操作ログ収集サーバ、４……クライアント端末、１０，３０……ＣＰＵ、２０……マネージャ、２２……業務環境管理テーブル、２３……業務ファイル一覧、２４……業務ファイル判別条件除外要素管理テーブル、２５……操作ログデータベース、４０……エージェント、４１……業務ファイル判別条件一覧、５０……業務環境登録画面、８０……業務ファイル判別条件除外要素登録画面、９０……警告画面、ＣＴ……出現回数カウンタテーブル、ＲＧ……関連操作ロググループ。

Claims (10)

1. 操作ログ収集サーバと、１又は複数のクライアント端末とを有し、前記操作ログ収集サーバが各前記クライアント端末において生成された操作ログを収集する操作ログ収集システムにおいて、
   前記操作ログ収集サーバは、
   定期的又は不定期に、各前記クライアント端末から収集した一定期間内の前記操作ログに基づいて、当該一定期間内に操作された業務ファイルをすべて検出し、
   検出した前記業務ファイルごとに、当該業務ファイルのファイルオープン期間のプロセスと起動時間が重複するプロセスであって、当該業務ファイルのファイルオープン期間中のプロセスとの間で連続した操作が行われたプロセスの対象となるファイル及びサイトを当該業務ファイルの業務関連要素としてすべて検出し、
   前記業務ファイルごとに、当該業務ファイルの操作時に利用される回数が多い上位所定数の前記業務関連要素の組合せを業務ファイル判別条件として決定し、決定した前記業務ファイルごとの前記業務ファイル判別条件を各前記クライアント端末にそれぞれ配布し、
   前記クライアント端末は、
   新規ファイルの作成時に生成した前記操作ログに基づいて、当該新規ファイルのファイルオープン期間のプロセスと起動時間が重複するプロセスであって、当該新規ファイルのファイルオープン期間中のプロセスとの間で連続した操作が行われたプロセスの対象となるファイル及びサイトを当該新規ファイルの業務関連要素としてすべて検出し、
   前記新規ファイルの前記業務関連要素の組合せが、前記操作ログ収集サーバから配布されたいずれの前記業務ファイル判別条件を構成する前記業務関連要素の組合せをも含まない場合には、前記操作ログ収集サーバに前記操作ログを送信せず、前記新規ファイルの前記業務関連要素の組合せが、前記操作ログ収集サーバから配布されたいずれかの前記業務ファイル判別条件を構成する前記業務関連要素の組合せを含む場合に、新規ファイルに関する前記操作ログと、当該新規ファイルの各前記業務関連要素に関する前記操作ログとを前記操作ログ収集サーバに送信する
   ことを特徴とする操作ログ収集システム。
2. 前記操作ログ収集サーバには、
   業務で使用するフォルダのアドレス、業務で使用するサイトのＵＲＬ（Uniform Resource Locator）及び業務用のメールアドレスのうちの少なくとも１つを業務環境として登録でき、
   前記操作ログ収集サーバは、
   前記一定期間内の前記操作ログに基づいて、当該一定期間内に、前記業務環境として登録された前記アドレスのフォルダ若しくは前記ＵＲＬのサイトからダウンロードされた又は当該フォルダ若しくは当該ＵＲＬのサイトにアップロードされ、或いは、前記業務環境として登録された前記メールアドレスに添付されたファイルを前記業務ファイルとして検出する
   ことを特徴とする請求項１に記載の操作ログ収集システム。
3. 前記プロセス間の前記連続した操作は、前記プロセス相互間で一定時間内に続けて行われた操作である
   ことを特徴とする請求項１に記載の操作ログ収集システム。
4. 前記業務ファイル判別条件は、対応する前記業務ファイルの操作時に利用される回数が多い上位２つの前記業務関連要素の組合せである
   ことを特徴とする請求項１に記載の操作ログ収集システム。
5. 前記操作ログ収集サーバには、
   前記業務ファイル判別条件を構成する前記業務関連要素とすべきでない前記業務関連要素を業務ファイル判別条件除外要素として登録でき、
   前記操作ログ収集サーバは、
   前記業務ファイルごとに、当該業務ファイルの操作時に利用される回数が多く、かつ前記業務ファイル判別条件除外要素として登録されていない前記上位所定数の前記業務関連要素の組合せを業務ファイル判別条件として決定する
   ことを特徴とする請求項１に記載の操作ログ収集システム。
6. 操作ログ収集サーバと、１又は複数のクライアント端末とを有し、前記操作ログ収集サーバが各前記クライアント端末において生成された操作ログを収集する操作ログ収集システムにおいて実行される操作ログ収集方法であって、
   前記操作ログ収集サーバが、定期的又は不定期に、各前記クライアント端末から収集した一定期間内の前記操作ログに基づいて、当該一定期間内に操作された業務ファイルをすべて検出する第１のステップと、
   前記操作ログ収集サーバが、検出した前記業務ファイルごとに、当該業務ファイルのファイルオープン期間のプロセスと起動時間が重複するプロセスであって、当該業務ファイルのファイルオープン期間中のプロセスとの間で連続した操作が行われたプロセスの対象となるファイル及びサイトを当該業務ファイルの業務関連要素としてすべて検出する第２のステップと、
   前記操作ログ収集サーバが、前記業務ファイルごとに、当該業務ファイルの操作時に利用される回数が多い上位所定数の前記業務関連要素の組合せを業務ファイル判別条件として決定し、決定した前記業務ファイルごとの前記業務ファイル判別条件を各前記クライアント端末にそれぞれ配布する第３のステップと、
   前記クライアント端末が、新規ファイルの作成時に生成した前記操作ログに基づいて、当該新規ファイルのファイルオープン期間のプロセスと起動時間が重複するプロセスであって、当該新規ファイルのファイルオープン期間中のプロセスとの間で連続した操作が行われたプロセスの対象となるファイル及びサイトを当該新規ファイルの業務関連要素としてすべて検出する第４のステップと、
   前記クライアント端末が、前記新規ファイルの前記業務関連要素の組合せが、前記操作ログ収集サーバから配布されたいずれの前記業務ファイル判別条件を構成する前記業務関連要素の組合せをも含まない場合には、前記操作ログ収集サーバに前記操作ログを送信せず、前記新規ファイルの前記業務関連要素の組合せが、前記操作ログ収集サーバから配布されたいずれかの前記業務ファイル判別条件を構成する前記業務関連要素の組合せを含む場合に、新規ファイルに関する前記操作ログと、当該新規ファイルの各前記業務関連要素に関する前記操作ログとを前記操作ログ収集サーバに送信する第５のステップと
   を備えることを特徴とする操作ログ収集方法。
7. 前記操作ログ収集サーバには、
   業務で使用するフォルダのアドレス、業務で使用するサイトのＵＲＬ（Uniform Resource Locator）及び業務用のメールアドレスのうちの少なくとも１つを業務環境として登録でき、
   前記第１のステップにおいて、前記操作ログ収集サーバは、
   前記一定期間内の前記操作ログに基づいて、当該一定期間内に、前記業務環境として登録された前記アドレスのフォルダ若しくは前記ＵＲＬのサイトからダウンロードされた又は当該フォルダ若しくは当該ＵＲＬのサイトにアップロードされ、或いは、前記業務環境として登録された前記メールアドレスに添付されたファイルを前記業務ファイルとして検出する
   ことを特徴とする請求項６に記載の操作ログ収集方法。
8. 前記第４のステップにおいて、
   前記プロセス間の前記連続した操作は、前記プロセス相互間で一定時間内に続けて行われた操作である
   ことを特徴とする請求項６に記載の操作ログ収集方法。
9. 前記業務ファイル判別条件は、対応する前記業務ファイルの操作時に利用される回数が多い上位２つの前記業務関連要素の組合せである
   ことを特徴とする請求項６に記載の操作ログ収集方法。
10. 前記操作ログ収集サーバには、
    前記業務ファイル判別条件を構成する前記業務関連要素とすべきでない前記業務関連要素を業務ファイル判別条件除外要素として登録でき、
    前記第３のステップにおいて、前記操作ログ収集サーバは、
    前記業務ファイルごとに、当該業務ファイルの操作時に利用される回数が多く、かつ前記業務ファイル判別条件除外要素として登録されていない前記上位所定数の前記業務関連要素の組合せを業務ファイル判別条件として決定する
    ことを特徴とする請求項６に記載の操作ログ収集方法。

Images