JP6511293B2 - ユーザ監視システム - Google Patents

Description

本発明は、コンピュータ端末を操作するユーザを監視するユーザ監視システムに関する。

従来、パソコン等のコンピュータ端末を操作しているユーザが、操作途中で不正な者に変わっていないかを確認する方法として、例えば、特許文献１のような方法が存在する。特許文献１に記載の方法では、まず、コンピュータ端末を利用する前に（正当な）ユーザの顔画像データを登録しておく。そして、この登録済みの顔画像データと、ユーザが端末を使用している間に所定周期ごとにカメラで撮像されるユーザの顔画像データとを、その都度、比較する。もし、これらの顔画像データが異なると判断される場合には、端末をロックして端末を使用できない状態にする。

特開２００８−９７６４７号公報

しかしながら、特許文献１のような方法では、以下のような場合は不正を検知できない。すなわち、例えば、Ｎ回目の撮像が行われた時には正当なユーザＡが端末を操作していたが、Ｎ＋１回目の撮像が行われるまでの間に、不正ユーザＢが端末を操作してから正当なユーザＡが戻って端末を操作したような場合である。つまり、Ｎ回目とＮ＋１回目の撮像が行われる時点において正当なユーザＡが端末を操作してさえいれば、その間に不正なユーザが操作を行っても、検知することができない。

本発明は、上記課題に鑑みてなされたものであり、所定周期のユーザ認証時以外に不正ユーザが端末の操作を行った場合であっても、これを検知可能とするユーザ監視システムを提供することを目的とする。

上記課題を解決するために、本発明の一態様は、端末を操作するユーザを監視するユーザ監視システムであって、ユーザが前記端末を操作する少なくとも一部の期間において、一定の周期で前記ユーザから前記ユーザの認証情報を取得する認証情報取得部と、前記認証情報取得部が前記一定の周期で前記ユーザの認証情報を取得するごとに、前記ユーザの認証情報が、正当なユーザの認証情報であるか判断する認証部と、前記端末におけるユーザの入力操作の状態の変化を検知する入力デバイス監視部と、前記入力デバイス監視部が前記ユーザの入力操作の状態の変化を検知した場合に、前記認証情報取得部において前記認証情報を取得する前記周期を変更するタイミング変更部と、を備えるユーザ監視システムである。

また、本発明の他の態様は、認証情報取得部と、認証部と、入力デバイス監視部と、タイミング変更部と、を備え、端末を操作するユーザを監視するユーザ監視システムが実行する方法であって、前記認証情報取得部が、ユーザが前記端末を操作する少なくとも一部の期間において、一定の周期で前記ユーザから前記ユーザの認証情報を取得するステップと、前記認証部が、前記認証情報取得部が前記一定の周期で前記ユーザの認証情報を取得するごとに、前記ユーザの認証情報が、正当なユーザの認証情報であるか判断するステップと、前記入力デバイス監視部が、前記端末におけるユーザの入力操作の状態の変化を検知するステップと、前記タイミング変更部が、前記入力デバイス監視部が前記ユーザの入力操作の状態の変化を検知した場合に、前記認証情報取得部において前記認証情報を取得する前記周期を変更するステップと、を含む方法である。

また、本発明の他の態様は、上記の方法を前記ユーザ監視システムに実行させるためのコンピュータプログラムである。

本発明の上記態様によれば、ユーザの認証を実行する基本的な周期の間において不正なユーザが操作を行った場合であっても、これを検知することが可能である。

本発明の一実施形態に係るユーザ監視システムの構成の一例を示す図である。 「プロセス管理ログ」ファイルの一例を示す図である。 「作業内容ログ」ファイルの一例を示す図である。 「入力情報ログ」ファイルの一例を示す図である。 「ユーザＩＤ対応テーブル」の一例を示す図である。 本発明の一実施形態に係るユーザ監視システムにおける処理の一例を示すメインフロー図である。 入力デバイス監視処理の一例を示すフロー図である。 オペレーション内容復元用データ取得処理の一例を示すフロー図である。 関連作業ログ抽出処理の一例を示すフロー図である。 各ログの関連性の判断方法の一例を示す図である。 回復処理の一例を示すフロー図である。 本発明の一実施形態に係る端末および管理用装置のハードウェア構成の一例を示す図である。

以下、図面を参照しながら、本発明の実施の形態について説明する。なお、以下の説明において参照する各図では、他の図と同等の部分は同一符号によって示される。

（ユーザ監視システムの構成）
図１は、本実施形態に係るユーザ監視システムの構成例を示す図である。図１に例示されるユーザ監視システム１は、ユーザが操作する端末１０と、システムの管理者が操作する管理者装置２０とを含む。

端末１０は、撮像部１０２と、入力受付部（入力デバイス）１０４と、認証部１０６と、記憶部１０８と、入力デバイス監視部１１０と、撮像タイミング変更部１１２と、関連作業ログ抽出部１１４と、送信部１１６と、受信部１１８と、回復処理部１２０と、を備える。また、管理用装置２０は、受信部２０２と、表示部２０４と、回復処理要否判断部２０６と、送信部２０８と、を備える。

（端末）
撮像部１０２は、ユーザが端末１０を操作する少なくとも一部の期間において、一定の周期でユーザの顔（一部または全体）を撮像して、ユーザの顔画像データ（生体的特徴）を取得する。また、撮像部１０２は、一定の周期において撮像を行うことに加えて、後述する入力デバイス監視部１１０がユーザの入力操作の状態の変化を検知した時点で、ユーザの生体情報を取得するようになっていてもよい。

入力受付部（入力デバイス）１０４は、端末１０に対するユーザの操作入力を受け付ける。入力受付部１０４は、具体的には例えば、キーボード、マウス、タッチパネル、タッチペン、等の様々な入力デバイスであってよい。また、入力受付部１０４は、音声による入力を受け付けるようになっていてもよい。

認証部１０６は、撮像部１０２が一定の周期でユーザの顔画像データを取得するごとに、取得されたユーザの顔画像データが、正当なユーザの顔画像データであるか判断する。そして、取得された顔画像データが正当なユーザの顔画像データではないと判断する場合には、認証ＮＧと判断する。また、本実施形態においては、認証部１０６における判断の結果、撮像部１０２で取得された顔画像データが正当なユーザの顔画像データではないと判断された場合には、ユーザの入力操作を制限する。なお、ユーザの入力操作を制限する方法としては、一部の入力操作のみを制限して、その他の入力操作は許容するようにしてもよい。

また、認証部１０６が、撮像部１０２で取得された顔画像データが正当なユーザの顔画像データであるか判断する方法としては、様々な方法が考えられる。例えば、顔画像全体のうち、一部のみを照合の対象としてもよいし、複数箇所（複数条件）を照合の対象としてもよい。また、これらの結果を組み合わせて照合結果を決定してもよい。また、照合対象箇所の一致率が所定の閾値を下回る場合に、認証ＮＧにする等、としてもよい。

記憶部１０８は、各種のデータを記憶する機能を有する。本実施形態においては少なくとも、以下に説明する「プロセス管理ログ」ファイル、「作業内容ログ」ファイル、「入力情報ログ」ファイル、「ユーザＩＤ対応テーブル」、「プロセス関連性ログ」ファイルが、記憶部１０８に記憶される。

図２は、「プロセス管理ログ」ファイルの一例を示す図である。図２に示されるプロセス管理ログは、各ユーザが端末１０への操作入力に基づいて実行されたプロセスを含む、端末１０で起動しているプロセスを記録するためのファイルである。プロセス管理ログには、例えば、実行ユーザ、ユーザが実行したプロセスを特定するためのプロセスＩＤ、親プロセスを特定するための親プロセスＩＤ、プロセス名、プロセスの起動時刻および終了時刻、等が記録される。

図３は、「作業内容ログ」ファイルの一例を示す図である。「作業内容ログ」ファイルは「プロセス管理ログ」ファイルと“プロセスＩＤ”によって紐付けられており、プロセス管理ログのプロセスＩＤで特定されるプロセスについてのより詳細な内容が記録されている。また、図４は、「入力情報ログ」ファイルの一例を示す図である。「入力情報ログ」ファイルには、ユーザに操作された端末１０の入力デバイスの詳細が記録される。図５は、「ユーザＩＤ対応テーブル」の一例を示す図である。ユーザＩＤ対応テーブルは、ユーザごとに、そのユーザが端末１０と連動して動作する他の機器に対して何らかの処理を行う際（例えば、端末１０を介して他の機器にアクセスする場合等が挙げられる）のユーザＩＤを記憶するテーブルである。

図１に戻り、入力デバイス監視部１１０は、端末１０におけるユーザの入力操作の状態の変化を検知する。入力デバイス監視部１１０は、ユーザに操作された端末１０の入力デバイスに関する情報を統計処理することによって、ユーザの入力操作の状態の変化を検知してもよい。また、入力デバイス監視部１１０は、入力受付部１０４がユーザの操作入力を受け付けると、ユーザに操作された入力デバイスに関する情報を記憶部１０８の「入力情報ログ」ファイル等に記憶する。

撮像タイミング変更部１１２は、入力デバイス監視部１１０がユーザの入力操作の状態の変化を検知した場合に、撮像部１０２において顔画像データを取得する周期を変更する（より短い周期にする）。ここで、撮像タイミングを変更する方法は、複数考えられる。例えば、入力デバイス監視部１１０で操作入力の変化を検知した後に到来する撮像処理の後に始まる撮像周期から短くする、操作入力の変化を検知した時点で顔画像の撮像を行い、その後に始まる撮像周期から短くする、操作入力の変化を検知した時点を含む撮像周期そのものを短くする（操作入力の変化の検出後に到来する撮像タイミングが早くなる）、等が考えられる。

また、撮像タイミング変更部１１２は、撮像タイミングを短く変更した後、所定の条件成立をトリガーとして撮像周期を元の長さに戻すようになっていてもよい。例えば、ユーザが端末１０からログオフしたことを検知して、撮像周期を元の長さに戻すようになっていてもよい。またその際、段階的に撮像周期を長くしつつ、元の長さに戻していくようになっていてもよい。

関連作業ログ抽出部１１４は、認証部１０６における判断の結果、撮像部１０２で取得された顔画像データが正当なユーザの顔画像データではないと判断された場合には、記憶部１０８からこの判断された時点から一定期間前までの間に実行された端末１０に対するユーザの入力操作の一部または全てを抽出する。

送信部１１６は、管理用装置２０へ各種のデータを送信する機能を有する。

受信部１１８は、管理用装置２０から各種のデータを受信する機能を有する。端末１０と管理用装置２０との間の通信は、有線通信であっても無線通信であってもよい。

回復処理部１２０は、認証部１０６における判断の結果、撮像部１０２で取得された顔画像データが正当なユーザの顔画像データではないと判断された場合には、この判断された時点から一定期間前までの間に実行された端末１０に対するユーザの入力操作の一部または全てについて、入力操作の前の状態に戻す（ロールバックする）。

（ユーザ監視システムの処理フロー）
以下、本実施形態に係るユーザ監視システムにおける処理例について説明する。図６は、本実施形態に係るユーザ監視システム１における処理を示すメインフロー図である。

まず、ユーザが端末１０を操作し始める際、ユーザ監視システム１からのログイン要求に応じて、ユーザＩＤとパスワードとを入力する等のログイン操作を行う（入力受付部１０４にてユーザ入力を受け付ける）。この時、端末１０は、撮像部１０２によって端末を操作しているユーザの顔を撮像して顔画像データを取得し、これをユーザの正当な顔画像データとして記憶部１０８に記憶して登録する（ステップＳ１０１）。

その後、ユーザが端末１０を操作している間、所定時間（撮像周期）が経過すると（ステップＳ１０３：Ｙｅｓ）、ステップＳ１０９に移行し、撮像部１０２はユーザの顔を撮像して顔画像データを取得する。そして、ユーザ監視システム１は、この顔画像データと、ステップＳ１０１で記憶部１０８に記憶された顔画像データとを比較して、この時点で端末１０を操作しているユーザが正当なユーザ（ログイン時のユーザと同一）であるかをチェックする（ステップＳ１０９）。そして、認証結果がＯＫ（操作しているユーザは正当なユーザ）である間は、ステップＳ１０３に戻る。

また、所定時間（撮像周期）が経過していなくても（ステップＳ１０３：Ｎｏ）、入力デバイス監視処理によって端末１０の操作者が変わった可能性があると判断された場合は（ステップＳ１０５：Ｙｅｓ）、顔画像の撮像周期をより短い周期に変更する（ステップＳ１０７）。ここで、入力デバイス監視処理とは、本メインフローとは別プロセスで実行される処理であり、端末１０における操作者からの入力に基づいて端末１０を操作している者が変わった可能性があることを検知するための処理である（入力デバイス監視処理については後に詳述する）。

操作者が変わった可能性があると判断された場合は（ステップＳ１０５：Ｙｅｓ）、さらに、撮像部１０２でその時点で端末１０を操作している者の顔画像を取得して顔画像の照合を行う（ステップＳ１０９）。

ステップＳ１０９における認証処理の結果が、記憶部１０８に記憶されているユーザの顔画像と、この時点で操作を行っているユーザの顔画像が異なる（認証ＮＧ）との結果だった場合には、端末１０をロックしてユーザが操作できない状態にする（ステップＳ１１１）。そして、関連作業ログ抽出処理を実行する（ステップＳ１１３）。「関連作業ログ抽出処理」は、端末１０の操作者が変わった可能性があることを検知した場合に、その操作者が行った可能性のある操作をキャンセルして操作前の状態に戻す（回復処理）ために、その操作者の行った操作を抽出する処理である（詳細は後述する）。

そして、ステップＳ１１３にて抽出したログを、管理用装置２０の表示部２０４に表示させる。管理用装置２０を使用している管理者は、表示部２０４に表示されたログを確認して、端末１０で回復処理を行うか否かを判断し、判断結果を管理用装置２０に入力する（ステップＳ１１５）。判断結果は端末１０に送信される。端末１０では、管理用装置２０から、回復処理が必要との判断結果を受信した場合には、回復処理を実行する（ステップＳ１１７）。

なお、上記においては、ログイン時（ステップＳ１０１）において撮像したユーザの画像を正当なユーザの顔画像として記憶部１０８に登録したが、端末１０の操作開始前に、あらかじめユーザの顔画像を記憶部１０８に登録させておき、これをユーザの正当な顔画像データとしてもよい。そして、操作開始時（ステップＳ１０１）および顔画像の照合時（ステップＳ１０９）において、この操作開始前に登録させた顔画像と、撮像部１０２が撮像した顔画像とを比較するようになっていてもよい。また、ステップＳ１０３〜Ｓ１０７の処理については、所定時間が経過するか、入力デバイス監視処理からの通知結果をイベントとして受ける（それまではイベント待ち）ことによって、ステップＳ１０７以降の処理を行ってもよい。

（入力デバイス監視処理）
図７は、入力デバイス監視処理（図６のステップＳ１０５）の一例を示すフロー図である。

入力待ち状態（ステップＳ１０５１）から、端末１０の入力受付部（入力デバイス）１０４を介してユーザの操作入力を検知すると、オペレーション内容復元用データ取得処理を実行する（ステップＳ１０５３）。ここで、図８は、ステップＳ１０５３のオペレーション内容復元用データ取得処理の一例を示すフロー図である。

ユーザの操作入力を検知すると、そのユーザの操作内容をデータに反映させる前に、操作内容を記憶部１０８に保持されている「作業内容ログ」ファイル（図３）に記録する。作業内容ログには、時刻ＹＹＹＹ／ＭＭ／ＤＤ ｈｈ：ｍｍ：ｓｓにプロセスＡがデータｘをＣｒｅａｔｅ（作成）／Ｒｅａｄ（読出し）／Ｄｅｌｅｔｅ（削除）、プロセスＡがデータｘをデータｙにＵｐｄａｔｅ（更新）、等の情報が記録される（ステップＳ２０１）。

次に、検知したユーザ操作の操作種別がＵｐｄａｔｅ（更新）またはＤｅｌｅｔｅ（削除）である場合には（ステップＳ２０３）、元データのバックアップを取得してから（ステップＳ２０５）、検知したユーザ操作に応じた処理を実行する（ステップＳ２０７）。

図７に戻り、オペレーション内容復元用データ取得処理（ステップＳ１０５３）を実行した後は、入力情報記録処理を実行する（ステップＳ１０５５）。入力情報記録処理では、ユーザに操作された入力デバイスの詳細が、記憶部１０８に保持されている「入力情報ログ」ファイル（図４）に記録される。具体的には、例えば、入力時刻、入力デバイスの種類（キーボード、マウス、等）、入力内容（押下されたキー種別）、カナ入力／ローマ字入力、等の情報が入力情報ログに記録される。

また、入力待ち状態（ステップＳ１０５１）から、一定時間が経過すると、ユーザ操作の統計処理を実行する（ステップＳ１０５７）（なお、この「一定時間」は撮像周期とは無関係であってよい。）統計処理は、現在時刻（統計処理を実行する時刻）から一定時間前までの入力情報ログの記録に基づいて、例えば以下について計算する。
・入力数
・入力間隔の平均および／または中央値
・入力デバイスごとの操作割合（キーボードでxx％、マウスでyy％の入力があった、等）
・特定の操作キーの数および／または割合（backspace、delete、tab、alt、カーソルキー、home、end、等の操作キー）
・ローマ字入力による操作時間とカナ入力による操作時間の割合

例えば、図４に示される入力情報の例の場合、上記の各データは以下のように算出することができる。すなわち、「入力数」は“１３”である。また、「入力間隔の平均」は、入力ＩＤ“１”と“２”の時間差、入力ＩＤ“２”と“３”の時間差、・・・、入力ＩＤ“１２”と“１３”の時間差の平均である。また、「入力間隔の中央値」は、これらの中央値である。また、「入力デバイスごとの操作割合」は、キーボード：１２／１３、マウス：１／１３、等と算出できる。また、「特定の操作キーの数」は、backspace：１である。また、「特定の操作キーの割合」は、backspace：１／１３である。また、「ローマ字入力の操作時間とカナ入力の操作時間の割合」は、ローマ字入力の割合が、（入力ＩＤ“６”の時刻−入力ＩＤ“１”の時刻）／（入力ＩＤ“１３”の時刻−入力ＩＤ“１”の時刻）、カナ入力の割合が、（入力ＩＤ“１２”の時刻−入力ＩＤ“８”の時刻）／（入力ＩＤ“１３”の時刻−入力ＩＤ“１”の時刻）、と算出することができる。なお、以上に説明した各データおよびその算出方法は、あくまで一例であり、端末１０のユーザの入力操作の特徴を示しうるものであれば他のデータであってもよい。また、ステップＳ１０５７においては、入力待ち状態（ステップＳ１０５１）から、一定時間が経過すると、ユーザ操作の統計処理を実行することとしているが、これに限定されるものではない。統計処理を行うのに十分なユーザ操作に関するデータが蓄積されていれば、統計処理を行うことができる。例えば、入力受付部（入力デバイス）１０４において１文字の入力を受け付けるごとに、統計処理を行うようになっていてもよい。

図７に戻り、ステップＳ１０５７において算出した統計情報を記憶部１０８に記憶する（ステップＳ１０５９）。前回の統計処理時の値と、今回の統計処理時の値とを比較する（ステップＳ１０６１）。その差があらかじめ定められた閾値未満である場合（すなわち、端末１０の操作者は変わっていないと判断される場合）は、ステップＳ１０５１に戻り、処理を継続する。また、差があらかじめ定められた閾値以上である場合（すなわち、端末１０の操作者が変わったと判断される場合）は、その旨の通知を行い（ステップＳ１０６３）、図６のステップＳ１０７およびＳ１０９に移行して、撮像周期の変更および認証処理を実行する。なお、端末１０の操作者は変わったか否かの判断をするための閾値を段階的に複数設け、前回の統計処理時の値と今回の統計処理時の値との差がいずれの閾値の間に位置するかに基づいて、撮像周期も段階的に短くしたり長くしたり（戻したり）するようになっていてもよい。

（関連作業ログ抽出処理）
次に、関連作業ログ抽出処理（図６のステップＳ１１３）について詳述する。図９は、関連作業ログ抽出処理の一例を示すフロー図である。

まず、関連作業ログ抽出の対象となるユーザのプロセスＩＤを取得する（ステップＳ１１３１）。ここで、関連作業ログ抽出の対象となるユーザとは、本実施形態においては、図６のステップＳ１０１にてログインを行ったユーザ（ユーザＩＤで特定される。本説明では、対象ユーザまたは対象ユーザＩＤという。）である。プロセスＩＤは、例えば、記憶部１０８に保持されている「プロセス管理ログ」ファイル（図２）を参照して、「実行ユーザ」＝“対象ユーザＩＤ”であるプロセスＩＤを検索することで取得することができる。

次に、顔画像の照合による認証がＮＧとなった時間および過去における直近で認証ＯＫとなった時間（両者の間の時間を、以下、不正処理時間という）を取得する（ステップＳ１１３３）。

次に、対象ユーザＩＤによって端末１０と連動して動作した他の機器における操作ログを特定する（ステップＳ１１３５）。具体的には、例えば、「ユーザＩＤ対応テーブル」（図５）を参照して、「ユーザＩＤ」＝“対象ユーザＩＤ”である、機器ＡでのユーザＩＤ、機器ＢでのユーザＩＤ、・・・（機器ＸＸでのユーザＩＤ）・・・を検索する。そして、機器Ａ、機器Ｂ、・・・（機器ＸＸ）・・・のそれぞれについてのプロセス管理ログ（図２と同様のもの）を参照して、「ユーザＩＤ対応テーブル」から検索された各機器におけるユーザＩＤ（ユーザ名）を検索キーとして、プロセスＩＤを抽出する。これにより、端末１０を経由して操作されていた他の機器における操作ログを特定することができる。

次に、ユーザのプロセスＩＤを基にして、再帰的にプロセスを検索し、対象ユーザの操作ログを抽出する（ステップＳ１１３７）。図１０は、各ログの関連性の判断方法の一例を示す図である。図１０に示される例では、「ログＡ」において、例えば、ユーザＩＤ＝“ｌｏｇＡ＿ｕｓｅｒ１”と関連付けられているＩＰアドレスは“１９２．１６８．１．１”である。次に、「ログＢ」を参照すると、このＩＰアドレス“１９２．１６８．１．１” と関連付けられているノード名は“ＳＶ０１”である。そして、「ログＣ」において、このノード“ＳＶ０１”と関連付けられているプロセスＩＤは“１１１１”である。このように辿っていくことで、あるユーザが関連しているプロセスを抽出することができる。図９に戻り、ステップＳ１１３７において抽出したログから不正処理時間に該当する処理抽出する（ステップＳ１１３９）。

次に、「作業内容ログ」ファイル（図３）を参照して、ステップＳ１１３１〜Ｓ１１３９の処理によって抽出されたログのプロセスＩＤをキーとして、不正処理時間に実行された処理を抽出する（ステップＳ１１４１）。

以上のような処理によって、不正処理時間において端末１０で実行された処理を抽出することができる。この抽出されたログは、管理者が操作する管理用装置２０へ送信され、管理者はこれを表示部２０４で確認することができる（図６のステップＳ１１５）。

（回復処理）
次に、回復処理（図６のステップＳ１１７）について詳述する。図１１は、回復処理の一例を示すフロー図である。本フロー図に示される処理は、管理用装置２０から回復処理が必要との判断結果を受信した場合に実行される。

図６のステップＳ１１３の関連作業ログ抽出処理により抽出されたログを読み切っていない場合は（ステップＳ１１７１：Ｎｏ）、関連作業ログ抽出処理により抽出されたログを１件取得する（ステップＳ１１７３）。

取得したログの操作種別がＣｒｅａｔｅ（作成）である場合には（ステップＳ１１７５：Ｙｅｓ）、作成の対象となったデータを削除する（ステップＳ１１７７）。一方、取得したログの操作種別がＣｒｅａｔｅ（作成）ではなく（ステップＳ１１７５：Ｎｏ）、Ｕｐｄａｔｅ（更新）またはＤｅｌｅｔｅ（削除）である場合には（ステップＳ１１７９：Ｙｅｓ）、操作対象となったデータをバックアップデータから復元する（ステップＳ１１８１）。以上のいずれにも該当しなければ（ステップＳ１１７９：Ｎｏ）、操作種別はＲｅａｄ（読出し）なので、ここでは何もしない。

以上に説明したステップＳ１１７３〜ステップＳ１１８１の処理は、図６のステップＳ１１３の関連作業ログ抽出処理により抽出されたログを読み切るまで（ステップＳ１１７１：Ｙｅｓ）、繰り返し実行される。

（ハードウェア構成例）
端末１０および管理用装置２０は、一般的なコンピュータ装置と同様のハードウェア構成によって実現可能である。図１２は、端末１０および管理用装置２０のハードウェア構成の一例を示す図である。図１２に示されるコンピュータ装置３０は、一例として、プロセッサ３０１と、ＲＡＭ３０２と、ＲＯＭ３０３と、ハードディスク装置３０４と、リムーバブルメモリ３０５と、通信インタフェース３０６と、ディスプレイ／タッチパネル３０７と、スピーカ３０８と、入力デバイス（キーボード／マウス等）３０９と、を備える。上述した端末１０および管理用装置２０の各機能は、例えば、プロセッサ３０１が、ハードディスク装置３０４にあらかじめ格納されたプログラムをメモリに読み出して実行することで実現可能である。ただし、図１２に示される構成はあくまで一例であり、これに限定するものではない。

（まとめ）
上記説明したように、本実施形態に係るユーザ監視システムによれば、本発明によれば、ユーザの認証を実行する基本的な周期の間において不正なユーザが操作を行った場合であっても、これを検知することが可能である。また、例えば特許文献１においては、データ（アプリケーション）の重要性によってユーザ認証の周期を変更することが開示されている。しかしながら、先行文献１は（ユーザの入力の状況とは無関係である）データの重要性によってユーザ認証の周期を変更しているため、ユーザが操作途中で別の者に変わるような不正行為を検出するのは困難であり、また、このような不正行為の検出に資するものでもない。これに対し、本実施形態に係るユーザ監視システムによれば、ユーザの操作入力が変わったことをもってユーザが別の者に変わったと判断することで、例えば、操作開始時のユーザと別のユーザとが共謀して不正を行おうとした場合や、操作開始時のユーザが一時的に不在にした場合に別のユーザが不正を行おうとした場合等であっても、検知することが可能である。

なお、上述の実施形態においては、ユーザの顔画像によってユーザ認証を行うこととしているが、他の生体的特徴によってユーザ認証を行ってもよい。例えば、指紋や虹彩等の身体的特徴によってユーザ認証を行ってもよい。また、ユーザの入力操作が声などの音声によるものであれば、声のトーンや声紋などを用いてユーザ認証を行ってもよい。さらに、生体的特徴以外の、ユーザの認証が可能な他の認証情報によってユーザ認証を行うようになっていてもよい。例えば、上述の実施形態の撮像部１０２がユーザを撮像することに代えて、一定期間ごとに、ユーザにパスワードを入力させる等となっていてもよい。なお、認証情報が生体的特徴である場合には、ユーザが認証情報を恣意的に変更したり同一にすることは困難である（例えば、ユーザＡが自分の顔をユーザＢに似せて同一ユーザになりすますことは困難であるし、指紋や虹彩等は各ユーザで同じものを共有できるものではない）ので、より好適である。また、上述のようにユーザの顔を撮像することでユーザの認証を行う場合には、端末１０を操作しているユーザは正当なユーザであるが、背後から覗きこまれて情報を盗まれた場合（ショルダーハッキング）のトラブル等を検知して（撮像画像中で認識される顔の数で検知する等）、操作を一時停止させたり、ロールバックを行うことも可能である。

また、上述の実施形態においては、ユーザ監視システム１が端末１０と管理用装置２０とを備えるようになっていたが、このような構成に限定するものではない。上述した端末１０と管理用装置２０とが備える各機能は、他の形態によって複数の装置で分散的に処理するようになっていてよい。また、逆に、端末１０に管理者しかログインできない管理者用アプリケーションが備えられていれば、管理用端末２０を別途設けず、端末１０に管理用装置２０の機能を備えさせることもできる。

また、上述の実施形態においては、撮像タイミング変更部１１２は、撮像部１０２は一定の周期で撮像するようになっていたが、ランダムな時間間隔で撮像を行うようになっていてもよい。これにより、端末１０の操作者はいつ撮像が行われるかを予測することが困難となるため、その隙をついて不正ユーザが端末１０を操作することを難しくすることができる。

ここまで、本発明の一実施形態について説明したが、本発明は上述の実施形態に限定されず、その技術的思想の範囲内において種々異なる形態にて実施されてよいことは言うまでもない。

本発明の範囲は、図示され記載された例示的な実施形態に限定されるものではなく、本発明が目的とするものと均等な効果をもたらすすべての実施形態をも含む。さらに、本発明の範囲は、各請求項により画される発明の特徴の組み合わせに限定されるものではなく、すべての開示されたそれぞれの特徴のうち特定の特徴のあらゆる所望する組み合わせによって画されうる。

１０ コンピュータ端末
２０ 管理用装置
１０２ 撮像部
１０４ 入力受付部（入力デバイス）
１０６ 認証部
１０８ 記憶部
１１０ 入力デバイス監視部
１１２ 撮像タイミング変更部
１１４ 関連作業ログ抽出部
１１６ 送信部
１１８ 受信部
１２０ 回復処理部
２０２ 受信部
２０４ 表示部
２０６ 回復処理要否判断部
２０８ 送信部

Claims (6)

1. 端末を操作するユーザを監視するユーザ監視システムであって、
   ユーザが前記端末を操作する少なくとも一部の期間において、一定の周期で前記ユーザから前記ユーザの認証情報を取得する認証情報取得部と、
   前記認証情報取得部が前記一定の周期で前記ユーザの認証情報を取得するごとに、前記ユーザの認証情報が、正当なユーザの認証情報であるか判断する認証部と、
   前記ユーザに操作された入力デバイスに関する情報を統計処理し、前記端末を操作しているユーザが他のユーザに変わったと判断するための段階的な閾値を複数有する、入力デバイス監視部と、
   前記入力デバイス監視部における前回の統計処理時の値と今回の統計処理時の値との差が前記複数の閾値のうちのいずれの閾値の間に位置するかに応じて、前記認証情報取得部において前記認証情報を取得する前記周期を段階的に変化させるタイミング変更部と、
   を備えるユーザ監視システム。
2. 前記入力デバイス監視部は、前記ユーザの前記端末に対する入力操作を検知すると、前記入力操作の操作種別がデータの更新または削除である場合には、当該データの更新または削除を実行する前に操作対象のデータのバックアップを取得し、
   前記認証部における前記判断の結果、前記認証情報取得部によって取得された前記ユーザの認証情報が正当なユーザの認証情報ではないと判断された場合には、前記判断された時点から一定期間前までの間に実行された前記端末に対する前記ユーザの入力操作の一部または全てについて、前記入力操作の前記操作種別がデータの更新または削除である場合には、前記操作対象となったデータの前記バックアップを用いて、前記入力操作の前の状態に戻すことを特徴とする請求項１に記載のユーザ監視システム。
3. 前記入力デバイス監視部は、前記端末におけるユーザの入力操作の状態の変化を検知し、
   前記認証情報取得部は、前記入力デバイス監視部が前記ユーザの入力操作の状態の変化を検知した場合に、前記ユーザの認証情報を取得することを特徴とする請求項１または２に記載のユーザ監視システム。
4. 前記認証部における前記判断の結果、前記認証情報取得部によって取得された前記ユーザの認証情報が正当なユーザの認証情報ではないと判断された場合には、前記ユーザの入力操作を制限する請求項１から３のいずれか一項に記載のユーザ監視システム。
5. 端末を操作するユーザを監視するユーザ監視システムが実行する方法であって、
   ユーザが前記端末を操作する少なくとも一部の期間において、一定の周期で前記ユーザから前記ユーザの認証情報を取得するステップと、
   前記ユーザの認証情報を取得するステップによって前記一定の周期で前記ユーザの認証情報を取得するごとに、前記ユーザの認証情報が、正当なユーザの認証情報であるか判断するステップと、を含み、
   前記ユーザに操作された入力デバイスに関する情報を統計処理するステップであって、前記端末を操作しているユーザが他のユーザに変わったと判断するための段階的な閾値を複数有する、ステップと、
   前記統計処理するステップによる前回の統計処理時の値と今回の統計処理時の値との差が前記複数の閾値のうちのいずれの閾値の間に位置するかに応じて、前記ユーザの認証情報を取得するステップにおいて前記認証情報を取得する前記周期を段階的に変化させるステップと、
   を含む方法。
6. 請求項５に記載の方法を前記ユーザ監視システムに実行させるためのコンピュータプログラム。

Images