JP6780326B2 - 情報処理装置及びプログラム - Google Patents

Description

本発明は、情報処理装置及びプログラムに関する。

ネットワークシステムが発展している現今、企業では、様々な方法を駆使して情報の漏洩を阻止できるようセキュリティ環境を構築している。ただ、企業努力だけでなく、システムを利用する従業員等のセキュリティに対する意識を向上させる必要もある。例えば、特許文献１では、文書のアクセス経路の経路リスク及び文書の価値から各文書のリスクを統合的に評価し、各文書の統合リスク評価を表示する技術が提案されている。また、特許文献２では、端末上で文書に対する操作リスクを判定し、リスクが閾値を超えた場合に拡大表示する技術が提案されている。

特許第４８２１９７７号明細書 特許第４１６４１１４号明細書 特開２００６−２５１９３２号公報

本発明は、情報に対する操作及び情報の操作に用いる機器の状態の各履歴情報を統合した分析を行うことで、セキュリティ上、ユーザーのリスクのある行動を検知することを目的とする。

本発明に係る情報処理装置は、ユーザーによる情報管理システムの操作及び当該操作の対象となった情報を示す操作情報を取得する操作情報取得手段と、機器管理システムが管理対象とする機器であって前記情報管理システムの操作に利用された機器の状態を示す機器情報を取得する機器情報取得手段と、情報セキュリティのリスクの発生する条件を定義する情報を記憶する記憶手段と、前記操作情報及び前記機器情報を参照して、前記定義に合致するユーザーの行動に関するリスク行動情報であって当該ユーザーの行動が検知された機器、当該ユーザーの行動の内容を示す操作及び当該操作の対象となった情報を含むリスク行動情報を生成する生成手段と、前記リスク行動情報の集計結果に応じて、前記情報管理システムが管理対象とする情報毎、前記機器管理システムが管理対象とする機器毎、並びに前記情報及び前記機器を統合したシステム全体における各セキュリティリスクレベルを決定する決定手段と、前記決定手段により決定されたセキュリティリスクレベルに対応したメッセージ情報を出力する出力手段と、有することを特徴とする。

また、前記リスク行動情報には、ユーザーが操作した情報、当該情報に対する操作の内容、当該情報への操作に使用した機器を特定する情報、及び当該機器の状態が含まれることを特徴とする。

また、前記出力手段は、情報毎のセキュリティリスクレベルに対応したメッセージ情報が生成された場合、そのメッセージ情報を前記情報管理システムに提供し、機器毎のセキュリティリスクレベルに対応したメッセージ情報が生成された場合、そのメッセージ情報を、前記機器の情報を管理する機器情報管理システムに提供することを特徴とする。

また、前記出力手段は、セキュリティリスクレベルの推移に基づき、出力するメッセージを異ならせることを特徴とする。

本発明に係るプログラムは、情報セキュリティのリスクの発生する条件を定義する情報を記憶する記憶手段にアクセス可能なコンピュータを、ユーザーによる情報管理システムの操作及び当該操作の対象となった情報を示す操作情報を取得する操作情報取得手段、機器管理システムが管理対象とする機器であって前記情報管理システムの操作に利用された機器の状態を示す機器情報を取得する機器情報取得手段、前記操作情報及び前記機器情報を参照して、前記定義に合致するユーザーの行動に関するリスク行動情報であって当該ユーザーの行動が検知された機器、当該ユーザーの行動の内容を示す操作及び当該操作の対象となった情報を含むリスク行動情報を生成する生成手段、前記リスク行動情報の集計結果に応じて、前記情報管理システムが管理対象とする情報毎、前記機器管理システムが管理対象とする機器毎、並びに前記情報及び前記機器を統合したシステム全体における各セキュリティリスクレベルを決定する決定手段、前記決定手段により決定されたセキュリティリスクレベルに対応したメッセージ情報を出力する出力手段、として機能させる。

請求項１に記載の発明によれば、情報に対する操作及び情報の操作に用いる機器の状態の各履歴情報を統合した分析を行うことで、セキュリティ上、ユーザーのリスクのある行動を検知することができる。

請求項２に記載の発明によれば、ユーザーが操作した情報、当該情報に対する操作の内容、当該情報への操作に使用した機器を特定する情報、及び当該機器の状態を解析の対象としてセキュリティ上、ユーザーのリスクのある行動を検知することができる。

請求項３に記載の発明によれば、情報毎のセキュリティリスクレベルに応じたメッセージ情報は情報管理システムに、機器毎のセキュリティリスクレベルに応じたメッセージ情報は機器管理システムに、それぞれフィードバックすることができる。

請求項４に記載の発明によれば、メッセージ情報を提供してもセキュリティリスクレベルが改善されていないことが推測できる場合、提供するメッセージの内容を変更することができる。

請求項５に記載の発明によれば、情報に対する操作及び情報の操作に用いる機器の状態の各履歴情報を統合した分析を行うことで、セキュリティ上、ユーザーのリスクのある行動を検知することができる。

本発明に係る情報処理装置の一実施の形態であるセキュリティ監視装置を示したブロック構成図である。 本実施の形態におけるセキュリティ監視装置を形成するコンピュータのハードウェア構成図である。 本実施の形態におけるメッセージ提供処理を示したフローチャートである。 本実施の形態における情報操作ログ情報記憶部に蓄積される情報操作ログ情報のデータ構成の一例を示した図である。 本実施の形態における機器状態ログ情報記憶部に蓄積される機器状態ログ情報のデータ構成の一例を示した図である。 本実施の形態において予め設定するリスク行動検知条件のデータ構成の一例を示した図である。 本実施の形態においてリスク行動検知条件のリスク検知設定に設定される各パターンの設定内容例を示した図である。 本実施の形態におけるリスク行動情報記憶部に登録されるリスク行動情報のデータ構成の一例を示した図である。 本実施の形態において予め設定するセキュリティリスクレベル設定条件のデータ構成の一例を示した図である。 本実施の形態において予め設定するメッセージ設定情報のデータ構成の一例を示した図である。 本実施の形態において予め設定するメッセージ表示情報のデータ構成の一例を示した図である。 本実施の形態において管理者にお客様セキュリティレポートとして提供されるメッセージ情報の表示例を示した図である。 本実施の形態においてメッセージ情報の他の表示例を示した図である。 図１３に示した表示内容から選択されることによって表示される詳細情報の例を示した図である。 本実施の形態において得られたリスクレベルの推移をグラフ形式にて示した図である。

以下、図面に基づいて、本発明の好適な実施の形態について説明する。

図１は、本実施の形態におけるセキュリティ監視装置１０を示したブロック構成図である。本実施の形態におけるセキュリティ監視装置１０は従前からあるパーソナルコンピュータ（ＰＣ）等汎用的な情報処理装置（コンピュータ）で実現できる。そして、図１には、管理対象の情報を管理する情報管理システム１及び管理対象の機器の管理を行う機器管理システム２とネットワーク３を介して接続された構成が示されている。本実施の形態では、管理対象の情報として文書を想定して説明する。また、管理対象の機器としては、ユーザーが文書の利用に用いるＰＣを想定して説明する。

図２は、本実施の形態におけるセキュリティ監視装置１０を形成するコンピュータのハードウェア構成図である。セキュリティ監視装置１０は、図２に示したようにＣＰＵ３１、ＲＯＭ３２、ＲＡＭ３３、ハードディスクドライブ（ＨＤＤ）３４、入力手段として設けられたマウス３５とキーボード３６、及び表示装置として設けられたディスプレイ３７をそれぞれ接続する入出力コントローラ３８、通信手段として設けられたネットワークコントローラ３９を内部バス４０に接続して構成される。

図１に戻り、本実施の形態におけるセキュリティ監視装置１０は、情報操作ログ情報取得部１１、機器状態ログ情報取得部１２、リスク行動検知部１３、リスクレベル決定部１４、メッセージ情報生成部１５、通知部１６、メッセージ情報提供部１７、メッセージ更新部１８、情報操作ログ情報記憶部２１、機器状態ログ情報記憶部２２、リスク行動情報記憶部２３、メッセージマスタ２４、メッセージ情報記憶部２５及びアクセスログ情報記憶部２６を有している。なお、本実施の形態の説明に用いない構成要素については図から省略している。

情報操作ログ情報取得部１１は、情報管理システム１により生成される情報操作履歴情報（以下、「情報操作ログ情報」）であって、ユーザーによる情報の操作が記録される情報操作ログ情報を、ユーザーによる情報管理システム１の操作を示す操作情報として取得し、情報操作ログ情報記憶部２１に保存する。機器状態ログ情報取得部１２は、機器管理システム２により生成される機器状態履歴情報（以下、「機器状態ログ情報」）であって、ユーザーによる情報の操作に利用された機器の状態が記録される機器状態ログ情報を、情報管理システム１の操作に利用された機器の状態を示す機器情報として取得し、機器状態ログ情報記憶部２２に保存する。リスク行動検知部１３は、情報操作ログ情報記憶部２１に保存されている情報操作ログ情報及び機器状態ログ情報記憶部２２に保存されている機器状態ログ情報を関連付けた分析を行うことによってセキュリティ上、ユーザーのリスクのある行動を検知し、その検知した行動に関する情報をリスク行動情報記憶部２３に登録する。リスクレベル決定部１４は、リスク行動検知部１３により検知されたリスクのある行動を行動の内容毎に集計し、その集計結果に応じて情報管理システム１及び機器管理システム２それぞれにおいて管理対象とする情報及び機器全体（以下、「システム全体」と称する）におけるセキュリティリスクレベル（単に「リスクレベル」ともいう）、情報毎及び機器毎のセキュリティリスクレベルを決定する。メッセージ情報生成部１５は、メッセージ情報の提供に必要な情報を収集してメッセージ情報記憶部２５に保存する。通知部１６は、メッセージ情報の提供の準備ができたことを管理者等に通知する。メッセージ情報提供部１７は、リスク行動検知部１３により検知されたリスクのある行動に関するメッセージ情報を情報セキュリティのリスクに関する情報として出力することで監理者等に提供する。メッセージ更新部１８は、セキュリティリスクレベルの推移に基づき、メッセージマスタ２４に記憶されている、セキュリティリスクレベルが改善されないリスクのある行動に対応するメッセージを更新する。なお、各記憶手段２１〜２６については、動作の説明と合わせて説明する。

セキュリティ監視装置１０における各構成要素１１〜１８は、セキュリティ監視装置１０を形成するコンピュータと、コンピュータに搭載されたＣＰＵ３１で動作するプログラムとの協調動作により実現される。また、各記憶手段２１〜２６は、セキュリティ監視装置１０に搭載されたＨＤＤ３４にて実現される。あるいは、ＲＡＭ３３又は外部にある記憶手段をネットワーク経由で利用してもよい。

また、本実施の形態で用いるプログラムは、通信手段により提供することはもちろん、ＣＤ−ＲＯＭやＵＳＢメモリ等のコンピュータ読み取り可能な記録媒体に格納して提供することも可能である。通信手段や記録媒体から提供されたプログラムはコンピュータにインストールされ、コンピュータのＣＰＵがプログラムを順次実行することで各種処理が実現される。

本実施の形態において特徴的なことは、ある情報にどういう機器を用いてアクセスしたかという観点からセキュリティ上、ユーザーのリスクのある行動（以下、単に「リスク行動」）を検知するようにしたことである。具体的には、情報、機器のみならずこれらを統合したシステム全体という観点からリスク行動を検知する。そのために、本実施の形態では、情報操作ログ情報及び機器状態ログ情報を関連付けることによってシステム全体として統合的に分析するようにした。

このようにリスク行動を検知すると、そのリスク行動を評価し、その評価結果をメッセージの表示等によってシステムの管理者やユーザーに通知することで監理者及びユーザーのセキュリティ意識を向上させるようにすることも目的の１つとしている。以下、本実施の形態において、セキュリティ上、リスクのあるユーザー行動を検知して、その検知したユーザー行動に関する情報を提供する処理について図３に示したフローチャートを用いて説明する。

情報操作ログ情報取得部１１は、情報管理システム１から情報操作ログ情報を取得し、情報操作ログ情報記憶部２１に書き込み保存する（ステップ１０１）。例えば、１日１回など定周期的に取得する。本実施の形態では、１つの情報管理システム１のみ示しているが、複数の情報管理システム１から取得する場合、システムによってログの形式が異なる場合もあり得るので、情報操作ログ情報取得部１１は、情報操作ログ情報記憶部２１に保存する際、必要によりリスク行動検知部１３の分析に適合した形式に変換する。

図４は、本実施の形態における情報操作ログ情報記憶部２１に蓄積される情報操作ログ情報のデータ構成の一例を示した図である。情報操作ログ情報には、情報に対する操作内容が確認された「日時」、情報操作が行われた機器を特定する「ＩＰアドレス」、情報操作をしたユーザーの「ユーザーＩＤ」及び「ユーザー名」、操作対象の情報（文書）の「文書ＩＤ」及び「文書名」、確認された操作内容を示す「操作」などが含まれる。

また、機器状態ログ情報取得部１２は、機器管理システム２から機器状態作ログ情報を取得し、機器状態ログ情報記憶部２２に書き込み保存する（ステップ１０２）。機器状態ログ情報取得部１２は、情報操作ログ情報取得部１１と取り扱うログ情報が異なるだけで、動作自体は同様に動作すればよいので詳細な説明は省略する。

図５は、本実施の形態における機器状態ログ情報記憶部２２に蓄積される機器状態ログ情報のデータ構成の一例を示した図である。機器状態ログ情報には、機器の状態を取得した「日時」、機器の「ホスト名」、「ＩＰアドレス」及び「ＭＡＣアドレス」、機器を利用したユーザーの「ユーザー名」、機器に適用されてないパッチの識別番号としての「未適用パッチ」、機器に搭載されている「ウィルス対策ソフト」及びその「ＤＡＴバージョン」などが含まれる。

なお、図３のフローチャートでは、情報操作ログ情報取得部１１におけるログの取得を先に図示したが、機器状態ログ情報取得部１２を先に実行してもよいし、同時並行して処理してもよい。実際には、各取得部１１，１２は、予め決められた時刻に取得する。

情報操作ログ情報及び機器状態ログ情報が取得されると、リスク行動検知部１３は、情報操作ログ情報及び機器状態ログ情報の各ログ情報を分析することによってリスク行動を検知し、その検知したリスク行動に関するリスク行動情報を生成する（ステップ１０３）。すなわち、リスク行動検知部１３は、機器一台に注目して時系列で機器状態ログ情報及び情報操作ログ情報を参照し、予め設定されているリスク行動検知条件に合致するユーザーの行動が検知されれば、そのユーザー行動をリスク行動として抽出する。この処理を全機器に対して実施するが、抽出対象の期間を適宜設定してもよい。なお、機器状態ログ情報及び情報操作ログ情報は、ＩＰアドレスやユーザー名により関連付け可能である。

図６は、リスク行動検知条件のデータ構成の一例を示した図である。リスク行動検知条件は、情報セキュリティのリスクの発生する条件が定義された情報である。リスク行動検知条件は、リスク行動検知部１３の内部に予め記憶されていることを想定しているが、図示しない記憶手段に設定登録しておき、リスク行動検知部１３が必要なときに参照するよう構成してもよい。リスク行動検知条件には、それぞれ検知番号（Ｎｏ）が割り振られており、それぞれ検知ルール名、リスク定義及びリスク検知設定が設定される。検知ルール名は、当該検知条件の名称である。リスク定義には、機器状態、対象情報及び対象操作が設定される。リスク検知設定には、リスク定義に設定される機器状態、対象情報及び対象操作の関係に基づき、ユーザー行動がリスク行動に該当するかどうかの判断基準が設定される。本実施の形態では、その判断基準として複数のパターンを設定している。その各パターンの設定例を図７に示す。本実施の形態では、パターンＡとパターンＢの２種類の設定例を示しているが、これに限る必要はない。

例えば、リスク行動検知条件の番号１の条件に該当するかどうかについて、リスク行動検知部１３は、リスク定義とリスク検知設定に設定されているパターンＡの内容に基づき、機器に未適用パッチがない状態で文書が操作されていれば問題ないが、未適用パッチがある状態でいずれかの文書に何らかの操作がされた場合、その操作をしたユーザー行動をリスク行動と検知する。ただ、機器の状態は、リアルタイムに取得されているわけではないので、機器へのパッチの適用時刻と文書の操作時刻の前後関係によってリスク行動に該当するかどうかを明確にできない場合がある。この場合、リスク行動検知部１３は、不明な場合をリスク行動に該当するかどうかを事前に決めておく。

リスク行動検知部１３は、以上のようにしてリスク行動を検知すると、そのリスク行動に対するリスク行動情報を生成し、リスク行動情報記憶部２３に登録する。リスク行動情報記憶部２３に登録されるリスク行動情報のデータ構成の一例を図８に示す。リスク行動情報は、リスク行動が検知された「日時」、リスク行動対象の「文書」及びその格納先情報である「ＵＲＬ」、リスク行動が検知された機器の「ホスト名」及び「ＩＰアドレス」、検知されたリスク行動の内容を示す「状態」及び「操作」などの項目が、機器状態ログ情報又は情報操作ログ情報から抽出されて形成される。

以上のようにして生成されたリスク行動情報を、管理者にそのまま提示するようにしてもよいが、本実施の形態では、リスクレベル決定部１４などを設けてリスク行動を分析して、その結果を監理者等に提供するようにした。

そのために、リスクレベル決定部１４は、リスク行動情報記憶部２３に登録されたリスク行動情報を集計するなどして情報毎、機器毎、更に情報及び機器を統合したシステム全体のリスクレベルを決定する（ステップ１０４）。

図９は、セキュリティリスクレベル設定条件のデータ構成の一例を示した図である。セキュリティリスクレベル設定条件は、リスクレベル決定部１４の内部に予め設定されていることを想定しているが、図示しない記憶手段に設定登録しておき、リスクレベル決定部１４が必要なときに参照するように構成してもよい。セキュリティリスクレベル設定条件は、前述したように情報、機器及びシステム全体毎に設定され、それぞれに３段階のセキュリティリスクレベルが設定されている。もちろん、セキュリティリスクレベルは３段階と限定する必要はない。また、本実施の形態では、セキュリティリスクレベルの数値が大きいほどセキュリティ上、深刻な問題となるように設定したが、逆としてもよい。なお、機器毎などいくつかのセキュリティリスクレベル設定条件の設定内容は図から省略している。また、詳細は後述するが、各セキュリティリスクレベルに対応させて異なる形態の表示アイコンが設定される。

リスクレベル決定部１４は、リスク行動情報記憶部２３に登録された所定期間内におけるリスク行動情報をセキュリティリスクレベル設定条件に設定された項目毎に集計し、その集計結果を各セキュリティリスクリスクレベルに設定された閾値と比較することによって当該情報、当該機器及びシステム全体のセキュリティリスクリスクレベルを決定する。なお、例えば、ある情報に対して「パッチ未適用でアクセス」が３回以上あった場合、全てのセキュリティリスクレベル１，２，３に該当することになるが、この場合は、最上位のセキュリティリスクレベルを採用する。

以上のようにして、情報、機器及びシステム全体に対するセキュリティリスクレベルが決定すると、メッセージ情報生成部１５は、管理者からの表示要求に応じて即座に応答できるようにするために、表示に必要な情報をメッセージマスタ２４、情報操作ログ情報記憶部２１、機器状態ログ情報記憶部２２及びリスク行動情報記憶部２３から収集して、メッセージ情報記憶部２５に保存しておく（ステップ１０５）。

通知部１６は、以上のようにしてメッセージ情報の提供の準備が完了した旨の通知を受けると、メッセージ情報の提供可能であることを監理者やユーザーに通知する（ステップ１０６）。具体的には、メッセージ情報の格納先を示すＵＲＬを電子メール等に含めて送信する。なお、セキュリティ監視装置１０が通知せずに、参照したい者が適当なタイミングでセキュリティ監視装置１０に表示要求を出すようにしてもよい。

セキュリティ監視装置１０からの通知を受けた後、管理者は、前述したＵＲＬをクリックするなどして端末（以下、「管理者端末」）から表示要求を送信する。セキュリティ監視装置１０におけるメッセージ情報提供部１７は、その表示要求を受信すると（ステップ１０７）、その表示要求に応じてメッセージ情報をメッセージ情報記憶部２５から取り出し管理者端末へ送信するメッセージを完成させてから送信することで表示させる（ステップ１０８）。

図１０は、メッセージ設定情報のデータ構成の一例を示した図である。メッセージ設定情報は、メッセージ情報提供部１７の内部に予め設定されていることを想定しているが、図示しない記憶手段に設定登録しておき、メッセージ情報提供部１７が必要なときに参照するように構成してもよい。メッセージ設定情報は、メッセージとして何を表示させるかという設定内容が情報、機器及びシステム全体毎に設定され、かつセキュリティリスクレベル毎に設定される。

図１１は、メッセージ表示情報のデータ構成の一例を示した図である。メッセージ表示情報は、メッセージ情報提供部１７の内部に予め設定されていることを想定しているが、図示しない記憶手段に設定登録しておき、メッセージ情報提供部１７が必要なときに参照するように構成してもよい。メッセージ表示情報は、提供先に何をどのように表示させるかという内容が情報、機器及びシステム全体毎に設定され、かつセキュリティリスクレベル毎に設定される。

メッセージ情報提供部１７は、メッセージ設定情報及びメッセージ表示情報を参照して、提供する情報のセキュリティリスクレベルに応じた情報をメッセージ情報記憶部２５から抽出し、表示要求元である管理者に適合したメッセージ情報を生成して提供する。以下に、管理者端末に表示されるメッセージ情報の表示内容の例を示す。

図１２には、メッセージ情報がお客様セキュリティレポートとして提供され表示される例が示されている。このレポートには、システム全体、情報（文書）及び機器それぞれにおけるリスク行動に関する情報４１，４２，４３が総括的に示されている。また、図１２において、“詳細表示”、“文書ＸＸＸ”あるいは“ｎ回”など下線の付いた文字列をクリック選択すると、選択された項目に対して更に詳細な情報が表示される。例えば、“文書ＸＸＸ”がクリック選択されると、文書ＸＸＸに対してリスク行動を行ったユーザーに関する情報、リスク行動が行われた日時等が表示される。また、“ｎ回” がクリック選択されると、文書ＸＸＸに対して行われたｎ回のリスク行動の内容が表示される。

図１３は、メッセージ情報の他の表示例を示した図である。図１３は、情報（文書）毎のセキュリティリスクに関する情報の表示例である。この例によると、フォルダＡに含まれるフォルダａ等に対するリスク行動が検知されたことがわかる。表示アイコン４４ａ，４４ｂは、図９に示したようにセキュリティリスクレベルに対応して設定されており、表示画面上から選択されることによってその詳細情報が表示される。この詳細情報の表示例を図１４に示す。図１４に示した表示例によると、文書Ａに対して、いつ誰がした操作（ユーザー行動）がリスク行動として判断されたかという理由が確認できる。

管理者は、以上例示したメッセージ情報を参照することで、管理対象の情報（文書）や機器がリスク行動の対象になっている、あるいはリスク行動を招いていることがわかる。これにより、管理者は、システム環境を自ら改善したり、機器にパッチを適用するようユーザーに指示したりするなどセキュリティ対策を講じる。このように、管理者にセキュリティに対する意識を向上させることによってセキュリティに対する啓蒙を図ることができる。

上記説明では、管理者に対してメッセージ情報を提供する場合で説明したが、管理者に限らずユーザーにもメッセージ情報を提供するようにしてもよい。ユーザーに対しては、管理者と同様に、集計により得られたシステム全体に関するメッセージ情報を提供してもよいし、各ユーザーに該当するリスク行動に絞り込んでメッセージ情報を提供するようにしてもよい。表示要求をするユーザーは、ＩＰアドレスやメールアドレス、あるいはログインが必要な場合はログインＩＤから当該ユーザーを特定しうる。

また、メッセージ情報の提供先は、管理者やユーザーに限定する必要はなく、システム全体及び情報毎のメッセージ情報を情報管理システム１に、システム全体及び機器毎のメッセージ情報を機器管理システム２に、それぞれフィードバックしてもよい。

ところで、前述したように検知されたリスク行動について提供することによってリスクレベルは徐々に改善されることが期待される。しかしながら、メッセージ情報は、基本的には管理者からの表示要求によって閲覧されるものである。また、閲覧したとしてもシステム環境の改善にまで及ばない場合も考えられる。後者の理由として、管理者に提供するメッセージの内容の訴求力が弱いことが理由の１つとして考えられる。そこで、本実施の形態では、この場合の対策として管理者に提示するメッセージを変更できるようにした。

すなわち、メッセージ情報提供部１７は、管理者からの表示要求に応じてメッセージ情報を提供した場合、その提供実績をアクセスログとしてアクセスログ情報記憶部２６に記録する。アクセスログには提供したメッセージ情報、提示日時及び提供先が少なくとも含まれている。

メッセージ更新部１８は、アクセスログを分析することでリスクレベルの変化及びメッセージの内容との関係を調べる。図１５は、リスクレベルの時系列変化をグラフ形式にて示した図である。メッセージ更新部１８は、図１５に示したアクセスログを分析することでシステム全体のリスクレベルの推移を確認する。そして、例えば「啓蒙メッセージの閲覧数がＸ以上あった週のみフィルタし、移動平均でＸ週以上リスクレベルが上昇傾向にある」という変更条件に合致した場合、別のメッセージに変更する。このように、本実施の形態においては、メッセージ情報の提供の効果の程度を推定し、好ましい効果が得られていないようであればメッセージの内容を変更する。このようにして、管理者に対してセキュリティ環境の改善するよう啓蒙を図り、リスク行動の削減が図れるようにしてもよい。

本実施の形態によれば、ログ情報をリアルタイムの分析しないため、リアルタイム性は劣るかもしれないが、情報操作ログ情報及び機器状態ログ情報を参照してメッセージを提供できるようにしたので、各ログ情報さえ取得できれば、情報管理システム１及び機器管理システム２から独立してセキュリティ監視装置１０を構築し、リスク行動に関する情報を提供することができる。

１ 情報管理システム、２ 機器管理システム、３ ネットワーク、１０ セキュリティ監視装置、１１ 情報操作ログ情報取得部、１２ 機器状態ログ情報取得部、１３ リスク行動検知部、１４ リスクレベル決定部、１５ メッセージ情報生成部、１６ 通知部、１７ メッセージ情報提供部、１８ メッセージ更新部、２１ 情報操作ログ情報記憶部、２２ 機器状態ログ情報記憶部、２３ リスク行動情報記憶部、２４ メッセージマスタ、２５ メッセージ情報記憶部、２６ アクセスログ情報記憶部、３１ ＣＰＵ、３２ ＲＯＭ、３３ ＲＡＭ、３４ ハードディスクドライブ（ＨＤＤ）、３５ マウス、３６ キーボード、３７ ディスプレイ、３８ 入出力コントローラ、３９ ネットワークコントローラ、４０ 内部バス。

Claims (5)

1. ユーザーによる情報管理システムの操作及び当該操作の対象となった情報を示す操作情報を取得する操作情報取得手段と、
   機器管理システムが管理対象とする機器であって前記情報管理システムの操作に利用された機器の状態を示す機器情報を取得する機器情報取得手段と、
   情報セキュリティのリスクの発生する条件を定義する情報を記憶する記憶手段と、
   前記操作情報及び前記機器情報を参照して、前記定義に合致するユーザーの行動に関するリスク行動情報であって当該ユーザーの行動が検知された機器、当該ユーザーの行動の内容を示す操作及び当該操作の対象となった情報を含むリスク行動情報を生成する生成手段と、
   前記リスク行動情報の集計結果に応じて、前記情報管理システムが管理対象とする情報毎、前記機器管理システムが管理対象とする機器毎、並びに前記情報及び前記機器を統合したシステム全体における各セキュリティリスクレベルを決定する決定手段と、
   前記決定手段により決定されたセキュリティリスクレベルに対応したメッセージ情報を出力する出力手段と、
   有することを特徴とする情報処理装置。
2. 前記リスク行動情報には、ユーザーが操作した情報、当該情報に対する操作の内容、当該情報への操作に使用した機器を特定する情報、及び当該機器の状態が含まれることを特徴とする請求項１に記載の情報処理装置。
3. 前記出力手段は、
   情報毎のセキュリティリスクレベルに対応したメッセージ情報が生成された場合、そのメッセージ情報を前記情報管理システムに提供し、
   機器毎のセキュリティリスクレベルに対応したメッセージ情報が生成された場合、そのメッセージ情報を、前記機器管理システムに提供することを特徴とする請求項１に記載の情報処理装置。
4. 前記出力手段は、セキュリティリスクレベルの推移に基づき、出力するメッセージを異ならせることを特徴とする請求項１に記載の情報処理装置。
5. 情報セキュリティのリスクの発生する条件を定義する情報を記憶する記憶手段にアクセス可能なコンピュータを、
   ユーザーによる情報管理システムの操作及び当該操作の対象となった情報を示す操作情報を取得する操作情報取得手段、
   機器管理システムが管理対象とする機器であって前記情報管理システムの操作に利用された機器の状態を示す機器情報を取得する機器情報取得手段、
   前記操作情報及び前記機器情報を参照して、前記定義に合致するユーザーの行動に関するリスク行動情報であって当該ユーザーの行動が検知された機器、当該ユーザーの行動の内容を示す操作及び当該操作の対象となった情報を含むリスク行動情報を生成する生成手段、
   前記リスク行動情報の集計結果に応じて、前記情報管理システムが管理対象とする情報毎、前記機器管理システムが管理対象とする機器毎、並びに前記情報及び前記機器を統合したシステム全体における各セキュリティリスクレベルを決定する決定手段、
   前記決定手段により決定されたセキュリティリスクレベルに対応したメッセージ情報を出力する出力手段、
   として機能させるためのプログラム。