JP6780478B2 - 管理プログラム、管理方法および管理装置 - Google Patents

Description

本発明は、管理プログラム、管理方法および管理装置に関する。

近年、自治体等において、行政文書等の開示請求に対応したり、情報漏洩リスクを管理したりするために、業務システムにおける証跡情報の管理が行われている。また、証跡情報の管理では、証跡情報が適切に管理されているか否かを監査することが行われている。証跡情報の監査では、例えば、業務端末における外部記録媒体に関するファイル操作や印刷枚数のログのチェック等が行われている。

特願昭６３−１４５０７７号公報

しかしながら、端末における各種ファイル操作や印刷等のログについて、どの様なログが存在すると情報漏洩リスクが高い場合であるかを判断することは難しい。このため、例えば、出力済みの証明書のファイルが端末内に残存していたとしても、ファイル操作のログから当該ファイルが端末内に残存し、かつ、削除されるべきファイルであることを検出することは困難である。

一つの側面では、情報処理端末に記憶されてから保存されたままとなっているデータの存在を認識することができる管理プログラム、管理方法および管理装置を提供することにある。

一つの態様では、管理プログラムは、情報処理端末から該情報処理端末が記憶しているファイルと、該情報処理端末における操作ログとを取得する処理をコンピュータに実行させる。管理プログラムは、取得した前記操作ログに基づいて特定した、取得した前記ファイルの記憶タイミングからの経過時間に応じて、アラートを出力する処理をコンピュータに実行させる。

情報処理端末に記憶されてから保存されたままとなっているデータの存在を認識することができる。

図１は、実施例のデータ管理システムの構成の一例を示すブロック図である。 図２は、ホワイトリスト記憶部の一例を示す図である。 図３は、アラート出力の一覧画面の一例を示す図である。 図４は、ユーザごとの履歴表示画面の一例を示す図である。 図５は、実施例のデータ管理処理の一例を示すフローチャートである。 図６は、データ管理プログラムを実行するコンピュータの一例を示す図である。

以下、図面に基づいて、本願の開示する管理プログラム、管理方法および管理装置の実施例を詳細に説明する。なお、本実施例により、開示技術が限定されるものではない。また、以下の実施例は、矛盾しない範囲で適宜組みあわせてもよい。

図１は、実施例のデータ管理システムの構成の一例を示すブロック図である。図１に示すデータ管理システム１は、業務端末１０と、業務サーバ３０と、セキュリティサーバ５０と、監査端末７０と、データ管理装置１００とを有する。なお、業務端末１０の数は限定されず、任意の数の業務端末１０を有してもよい。業務端末１０と、業務サーバ３０と、セキュリティサーバ５０と、監査端末７０と、データ管理装置１００との間は、ネットワークＮを介して相互に通信可能に接続される。かかるネットワークＮには、有線または無線を問わず、インターネットを始め、ＬＡＮ（Local Area Network）やＶＰＮ（Virtual Private Network）などの任意の種類の通信網を採用できる。

業務端末１０は、例えば、役所の窓口において、ユーザである職員が操作する情報処理装置であり、据置型や可搬型のパーソナルコンピュータ等を用いることができる。また、業務端末１０には、タブレット端末やスマートフォン等の移動体通信端末等を用いるようにしてもよい。なお、業務端末１０は、情報処理端末の一例である。業務端末１０では、例えば、ユーザが業務システムの窓口業務を行う。業務端末１０は、ユーザの各種操作に応じて業務サーバ３０と各種情報をやりとりする。窓口業務は、例えば、住民票や印鑑証明書等に関する処理、税金等に関する処理、年金に関する処理等が挙げられる。また、業務端末１０は、ユーザによるファイル操作や印刷等のログを取得し、取得したログをセキュリティサーバ５０に送信する。ログには、例えば、業務端末１０で生成されたデータの名称、例えばファイル名や、データの生成日時または更新日時や、データのサイズ等が記録される。また、ログは、業務端末１０における操作を記録した操作ログを含む。

業務サーバ３０は、例えば、役所の業務システムが稼働する情報処理装置である。業務サーバ３０は、業務端末１０との間で、業務に関する各種情報をやりとりする。業務サーバ３０は、例えば、業務端末１０から住民票の発行依頼を受け付けると、図示しない住民登録に関するデータベースを参照し、発行依頼に対応する住民票データを業務端末１０に送信する。また、業務サーバ３０は、業務システムにおける各種処理のログを取得する。業務サーバ３０は、データ管理装置１００からログ取得指示を受信すると、取得したログをデータ管理装置１００に送信する。ログには、例えば、住民票の発行部数等の情報が記録される。

セキュリティサーバ５０は、業務端末１０からログを受信して収集する情報処理装置である。セキュリティサーバ５０は、業務端末１０からログを取得すると、例えば、部署ごとやユーザごとにログを集約する。セキュリティサーバ５０は、データ管理装置１００からログ取得指示を受信すると、集約したログをデータ管理装置１００に送信する。

監査端末７０は、例えば、ログを分析する分析センターの監査者が用いる情報処理装置であり、データ管理装置１００から監査に関する情報を表示する表示画面を受信して表示する。監査端末７０は、例えば、監査者の操作に基づく操作情報をデータ管理装置１００に送信する。監査端末７０は、データ管理装置１００から操作情報に応じた表示画面を受信して表示する。

データ管理装置１００は、業務サーバ３０およびセキュリティサーバ５０から取得したログを分析する情報処理装置である。データ管理装置１００は、例えば、所定の時間間隔で業務サーバ３０およびセキュリティサーバ５０に対してログ取得指示を送信する。データ管理装置１００は、業務サーバ３０およびセキュリティサーバ５０からログ取得指示に応じたログを取得する。すなわち、データ管理装置１００は、業務端末１０で生成されたデータの生成日時または更新日時を記録したログを取得する。データ管理装置１００は、取得したログに記録された生成日時または更新日時に基づいて、データの記録期間を特定して、特定した記録期間が所定の期間以上であるか否かを判定する。データ管理装置１００は、記録期間が所定の期間以上である場合に、データに対するアラートを出力する。アラートの出力は、例えば、アラート出力の一覧画面が監査端末７０に送信され、監査端末７０においてアラート出力の一覧画面が表示される。これにより、データ管理装置１００は、残存ファイルの漏洩リスクを低減できる。

言い換えると、データ管理装置１００は、業務端末１０から該業務端末１０が記憶しているファイルと、該業務端末１０における操作ログとを取得する。データ管理装置１００は、取得した操作ログに基づいて特定した、取得したファイルの記憶タイミングからの経過時間に応じて、アラートを出力する。これにより、データ管理装置１００は、業務端末１０に記憶されてから保存されたままとなっているデータの存在を認識することができる。

また、データ管理装置１００は、業務端末１０で生成されたデータの名称およびサイズを記録したログを取得する。データ管理装置１００は、取得したログに記録されたデータの名称およびサイズと、記憶部に記憶された名称および該名称に対応するサイズとを比較して、比較結果に応じてデータが不正であるか否かを判定する。データ管理装置１００は、データが不正であると判定した場合に、データに対するアラートを出力する。アラートの出力は、例えば、アラート出力の一覧画面が監査端末７０に送信され、監査端末７０においてアラート出力の一覧画面が表示される。これにより、データ管理装置１００は、不正操作による漏洩リスクを低減できる。

次に、データ管理装置１００の構成について説明する。図１に示すように、データ管理装置１００は、通信部１１０と、表示部１１１と、操作部１１２と、記憶部１２０と、制御部１３０とを有する。なお、データ管理装置１００は、図１に示す機能部以外にも既知のコンピュータが有する各種の機能部、例えば各種の入力デバイスや音声出力デバイス等の機能部を有することとしてもかまわない。

通信部１１０は、例えば、ＮＩＣ（Network Interface Card）等によって実現される。通信部１１０は、ネットワークＮを介して業務サーバ３０、セキュリティサーバ５０および監査端末７０と有線または無線で接続され、業務サーバ３０、セキュリティサーバ５０および監査端末７０との間で情報の通信を司る通信インタフェースである。通信部１１０は、制御部１３０から入力されたログ取得指示を業務サーバ３０およびセキュリティサーバ５０に送信する。また、通信部１１０は、業務サーバ３０およびセキュリティサーバ５０から受信したログを制御部１３０に出力する。さらに、通信部１１０は、制御部１３０から入力された各種の表示画面を監査端末７０に送信する。

表示部１１１は、データ管理装置１００の管理者に対して各種情報を表示するための表示デバイスである。表示部１１１は、例えば、表示デバイスとして液晶ディスプレイ等によって実現される。表示部１１１は、制御部１３０から入力された表示画面等の各種画面を表示する。

操作部１１２は、データ管理装置１００の管理者から各種操作を受け付ける入力デバイスである。操作部１１２は、例えば、入力デバイスとして、キーボードやマウス等によって実現される。操作部１１２は、管理者によって入力された操作を操作情報として制御部１３０に出力する。なお、操作部１１２は、入力デバイスとして、タッチパネル等によって実現されるようにしてもよく、表示部１１１の表示デバイスと、操作部１１２の入力デバイスとは、一体化されるようにしてもよい。

記憶部１２０は、例えば、ＲＡＭ（Random Access Memory）、フラッシュメモリ（Flash Memory）等の半導体メモリ素子、ハードディスクや光ディスク等の記憶装置によって実現される。記憶部１２０は、ホワイトリスト記憶部１２１を有する。また、記憶部１２０は、制御部１３０での処理に用いる情報を記憶する。

ホワイトリスト記憶部１２１は、業務端末１０に記憶されるデータが所定の要件に則っているか否かの判定に用いるホワイトリストを記憶する。図２は、ホワイトリスト記憶部の一例を示す図である。図２に示すように、ホワイトリスト記憶部１２１は、「項番」、「部」、「課」、「係」、「端末ＩＤ（Identifier）」、「ファイル名」、「下限サイズ」、「上限サイズ」、「残存日数」、「優先順位」といった項目を有する。ホワイトリスト記憶部１２１は、例えば、ファイル名ごとに１レコードとして記憶する。

「項番」は、ホワイトリストの各行を識別する識別子である。「部」は、業務端末１０が設置されている部署の情報のうち、部を示す情報である。「課」は、業務端末１０が設置されている部署の情報のうち、課を示す情報である。「係」は、業務端末１０が設置されている部署の情報のうち、係を示す情報である。「端末ＩＤ」は、業務端末１０を識別する識別子である。

「ファイル名」は、業務端末１０に記憶されるファイルのファイル名を示す情報である。「ファイル名」は、例えば、ファイル名のゆらぎを吸収するために、正規表現で表される。図２の項番「４」の例では、ファイル名が「住民票リスト＿［＊］．ｄｏｃｘ」で表されており、「＊」の部分は任意の文字であっても、当該ファイル名と一致するとして扱う。なお、ファイル名には、ディレクトリを含んでもよいが、上記の説明では省略している。

「下限サイズ」は、ファイルの下限サイズを示す情報である。「下限サイズ」は、例えばファイルの種類、つまりファイル名ごとに個別に設定することができる。「上限サイズ」は、ファイルの上限サイズを示す情報である。「上限サイズ」は、例えばファイルの種類、つまりファイル名ごとに個別に設定することができる。「残存日数」は、ファイルが業務端末１０において生成または更新されてから経過した日数に対して、アラートを出力するための閾値となる情報、つまり所定の期間である。「残存日数」は、例えば１０日に設定されている場合、ファイルが生成または更新されてから１０日を過ぎると、アラートが出力されることになる。なお、所定の期間は、データの種別に基づくデータのファイル名と対応付けて設定される。また、所定の期間は、例えば「￥．ｔｘｔ」や「￥．ｃｓｖ」といった記述を用いて、ファイル名の拡張子ごとに設定するようにしてもよい。さらに、「残存日数」は、端末ＩＤに応じて設定するようにしてもよい。「優先順位」は、ホワイトリストの各行の条件に複数当てはまる場合に、優先する行の順位を示す情報である。なお、図２の項番「１」から「３」および「５」のように、下限サイズ、上限サイズおよび残存日数が空欄である場合には、ＯＳ（Operating System）のシステムファイル等のチェック対象外のファイルであることを示す。

ここで、ホワイトリストの生成方法について説明する。業務端末１０で生成されるファイルは、業務に応じて生成されるファイルのサイズがある程度限定される。例えば、住民票のファイルは、一世帯あたりの人数が一人から数人程度であり、これらの人数に対応するサイズを超える場合には、何らかの不正操作があった可能性が高いと考えられる。また、別の種類の証明書、例えば印鑑証明書であれば、住民票とは書式が異なるため住民票とは異なるサイズを基準とし、基準としたサイズを超える場合に、不正操作があった可能性が高いと考えられる。このように、業務端末１０で生成されるファイルは、ファイルの種類、つまりファイル名と、サイズとの相関が高いため、例えば、過去の同種のファイルから正常とするサイズの範囲を決定することができる。従って、ホワイトリストには、このように求めたファイル名とサイズとの関係を記述することで、より精度の高いホワイトリストを生成することができる。

図１の説明に戻って、制御部１３０は、例えば、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）等によって、内部の記憶装置に記憶されているプログラムがＲＡＭを作業領域として実行されることにより実現される。また、制御部１３０は、例えば、ＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）等の集積回路により実現されるようにしてもよい。制御部１３０は、取得部１３１と、第１判定部１３２と、第２判定部１３３と、出力制御部１３４とを有し、以下に説明する情報処理の機能や作用を実現または実行する。なお、制御部１３０の内部構成は、図１に示した構成に限られず、後述する情報処理を行う構成であれば他の構成であってもよい。

取得部１３１は、業務サーバ３０およびセキュリティサーバ５０からログを取得する。取得部１３１は、例えば、所定の時間間隔、例えば、１日ごとに業務サーバ３０およびセキュリティサーバ５０に対してログ取得指示を送信する。取得部１３１は、業務サーバ３０およびセキュリティサーバ５０からログ取得指示に応じたログを取得する。なお、取得部１３１は、取得したログを記憶部１２０に記憶するようにしてもよい。ログには、各業務端末１０で生成されたデータの生成日時または更新日時、データの名称およびサイズが含まれる。つまり、ログには、各業務端末１０で生成されたファイルの生成日時または更新日時、ファイル名およびファイルのサイズが含まれる。

取得部１３１は、ログを取得すると、ホワイトリスト記憶部１２１を参照し、ホワイトリストにマッチしないファイル名がログに含まれるか否かを判定する。取得部１３１は、ホワイトリストにマッチしないファイル名がログに含まれる場合には、ホワイトリストにマッチしないファイルに対するファイル名不正情報を生成する。取得部１３１は、生成したファイル名不正情報を出力制御部１３４に出力し、ログを第１判定部１３２に出力する。取得部１３１は、ホワイトリストにマッチしないファイル名がログに含まれない場合には、ログを第１判定部１３２に出力する。

なお、取得部１３１は、ログに加えて、業務端末１０からファイルを取得して、取得したファイルからファイル名、更新日時およびサイズ等の情報を取得するようにしてもよい。言い換えると、取得部１３１は、業務端末１０から該業務端末１０が記憶しているファイルと、該業務端末１０における操作ログとを取得する。

第１判定部１３２は、取得部１３１からログが入力されると、ログに記録された各ファイルの生成または更新日時に基づいて、各ファイルの記録期間を特定する。第１判定部１３２は、ホワイトリスト記憶部１２１を参照し、特定した記録期間が所定の期間、つまり残存日数以上であるファイルがあるか否かを判定する。すなわち、第１判定部１３２は、ファイル名に基づいて、記録期間が所定の期間以上であるか否かを判定する。第１判定部１３２は、記録期間が所定の期間以上であるファイルがある場合には、記録期間が所定の期間以上のファイルに対する期間超過情報を生成する。第１判定部１３２は、生成した期間超過情報を出力制御部１３４に出力し、ログを第２判定部１３３に出力する。第１判定部１３２は、記録期間が所定の期間以上であるファイルがない場合には、ログを第２判定部１３３に出力する。

言い換えると、第１判定部１３２は、ファイル名に対応づけて時間を記憶するホワイトリスト記憶部１２１を参照して、取得したファイルに対応づけて記憶された時間を特定する。

第２判定部１３３は、第１判定部１３２からログが入力されると、ホワイトリスト記憶部１２１を参照し、ログに記録された各ファイルのファイル名およびサイズと、ホワイトリストのファイル名およびサイズとを比較する。図２の項番「４」のファイル名「住民票リスト＿［＊］．ｄｏｃｘ」の例では、第２判定部１３３は、ログに記録されたファイルのサイズと、下限サイズ「１０ｂｙｔｅｓ」および上限サイズ「１０２Ｋｂｙｔｅｓ」とを比較する。第２判定部１３３は、比較結果に基づいて、不正なサイズのファイルがあるか否かを判定する。すなわち、第２判定部１３３は、ファイル名「住民票リスト＿［＊］．ｄｏｃｘ」の条件に当てはまるファイルのサイズが、１０ｂｙｔｅｓ以下、または、１０２Ｋｂｙｔｅｓ以上であるか否かを判定する。

言い換えると、第２判定部１３３は、取得したログに記録されたデータの名称およびサイズと、ホワイトリスト記憶部１２１に記憶された名称および該名称に対応するサイズとを比較して、比較結果に応じてデータが不正であるか否かを判定する。すなわち、第２判定部１３３は、ログに記録されたデータのファイル名およびサイズと、ホワイトリスト記憶部１２１に記憶されたファイル名および該ファイル名に対応するサイズとを比較する。ここで、名称は、例えばデータの種別に基づくデータのファイル名である。

第２判定部１３３は、不正なサイズのファイルがある場合には、不正なサイズのファイルに対するサイズ不正情報を生成する。第２判定部１３３は、生成したサイズ不正情報を出力制御部１３４に出力する。第２判定部１３３は、不正なサイズのファイルがない場合には、チェック終了情報を出力制御部１３４に出力する。

出力制御部１３４には、取得部１３１からファイル名不正情報が入力され、第１判定部１３２から期間超過情報が入力される。また、出力制御部１３４には、第２判定部１３３からサイズ不正情報またはチェック終了情報が入力される。出力制御部１３４は、ファイル名不正情報、期間超過情報、および、サイズ不正情報またはチェック終了情報に基づいて、アラート出力の表示画面を生成する。出力制御部１３４は、通信部１１０およびネットワークＮを介して、生成したアラート出力の表示画面を監査端末７０に送信し、監査端末７０の図示しない表示部に表示させる。例えば、出力制御部１３４は、ユーザごとに１日ごとのアラート件数を纏めた一覧画面を生成する。出力制御部１３４は、通信部１１０およびネットワークＮを介して、生成した一覧画面を監査端末７０に送信し、監査端末７０の図示しない表示部に表示させる。

すなわち、出力制御部１３４は、記録期間が所定の期間以上である場合に、データが残存データであることを示すアラートを出力する。また、出力制御部１３４は、データが不正であると判定した場合に、不正であると判定したデータに対するアラートを出力する。すなわち、出力制御部１３４は、データが不正であると判定した場合に、データが不正取得であることを示すアラートを出力する。

また、出力制御部１３４は、データが不正であると判定した場合に、当該データの出力を不可とする情報を業務端末１０に出力するようにしてもよい。業務端末１０では、例えば、データの出力を不可とする情報を受信すると、当該情報に対応するデータのファイルに対して、アクセス制御を行って出力を不可とする処理が実行される。

言い換えると、第１判定部１３２および出力制御部１３４は、取得した操作ログに基づいて特定した、取得したファイルの記憶タイミングからの経過時間に応じて、アラートを出力する。また、アラートは、ファイルの記憶タイミングからの経過時間が所定時間を越える場合に出力される。また、アラートは、取得したファイルの記憶タイミングからの経過時間が特定した時間を越える場合に出力される。また、出力制御部１３４は、経過時間が特定した時間を越える場合に、ファイルが残存ファイルであることを示すアラートを出力する。

ここで、図３および図４を用いて表示画面について説明する。図３は、アラート出力の一覧画面の一例を示す図である。図３に示す一覧画面２１は、職員、つまりユーザである○○太郎さん、○○二郎さん、○○花子さんのある月の１１日から１８日までのアラート出力の件数を示す画面である。すなわち、一覧画面２１は、アラートを業務端末１０のユーザおよび／または所定の期間（例えば、日）ごとに出力する画面の一例である。一覧画面２１では、○○花子さんについて、１２日にアラートが４件発生していることがわかる。監査端末７０では、監査者によって、例えば、一覧画面２１のうち、アラートが４件発生している○○花子さんの１２日の欄２２がクリックされると、当該欄２２の詳細を示す履歴表示画面が表示される。

図４は、ユーザごとの履歴表示画面の一例を示す図である。図４に示す履歴表示画面２３は、○○花子さんの１２日のアラート出力に関する履歴を表示する画面である。履歴表示画面２３は、日にち欄２４と、職員ＩＤ欄２５と、職員氏名欄２６と、操作履歴欄２７と、検出理由のチェックボックス２８とを有する。日にち欄２４は、アラートを検出した日付を示す。職員ＩＤ欄２５は、履歴を表示する対象の職員ＩＤを示す。職員氏名欄２６は、履歴を表示する対象の職員の氏名を示す。操作履歴欄２７は、対象の職員の業務端末１０の操作履歴を示す。チェックボックス２８は、検出理由ごとに選択することができ、選択された検出理由に該当する履歴が操作履歴欄２７に表示される。

履歴表示画面２３では、○○花子さんの１２日のアラート４件の履歴が操作履歴欄２７に表示されている。操作履歴欄２７の１行目は、検出理由「ファイルサイズ」であるので、ファイル名「ｒｅｎｋｅｉ＿ＸＸＸＸＸＸ０９．ｄａｔ」（Ｘは任意の文字）にマッチするファイルのサイズが、ホワイトリストの上限サイズ以上であることを示す。操作履歴欄２７の２行目および３行目は、検出理由「ファイル名」であるので、ファイル名「無題．ｐｎｇ」がホワイトリストにマッチしないことを示す。操作履歴欄２７の４行目は、検出理由「更新日時」であるので、ファイル名「メモ．ｔｘｔ」の更新日時から特定した記録期間が所定の期間以上であることを示す。すなわち、ファイル名「メモ．ｔｘｔ」のファイルの記録期間は、ホワイトリストに記録されたファイル名と対応する所定の期間以上であることになる。また、検出理由「更新日時」は、ファイルが残存データであることを示す。なお、上記の説明では、ファイル名のディレクトリは省略している。

次に、実施例のデータ管理装置１００の動作について説明する。図５は、実施例のデータ管理処理の一例を示すフローチャートである。

データ管理装置１００の取得部１３１は、業務サーバ３０およびセキュリティサーバ５０に対してログ取得指示を送信する。取得部１３１は、業務サーバ３０およびセキュリティサーバ５０からログ取得指示に応じたログを取得する（ステップＳ１）。

取得部１３１は、ログを取得すると、ホワイトリスト記憶部１２１を参照し、ホワイトリストにマッチしないファイル名がログに含まれるか否かを判定する（ステップＳ２）。取得部１３１は、ホワイトリストにマッチしないファイル名がログに含まれる場合には（ステップＳ２：肯定）、ホワイトリストにマッチしないファイルに対するファイル名不正情報を生成する（ステップＳ３）。取得部１３１は、生成したファイル名不正情報を出力制御部１３４に出力するとともに、ログを第１判定部１３２に出力し、ステップＳ４に進む。取得部１３１は、ホワイトリストにマッチしないファイル名がログに含まれない場合には（ステップＳ２：否定）、ログを第１判定部１３２に出力し、ステップＳ４に進む。

第１判定部１３２は、取得部１３１からログが入力されると、ログに記録された各ファイルの生成または更新日時に基づいて、各ファイルの記録期間を特定する（ステップＳ４）。第１判定部１３２は、ホワイトリスト記憶部１２１を参照し、特定した記録期間が所定の期間以上であるファイルがあるか否かを判定する（ステップＳ５）。第１判定部１３２は、記録期間が所定の期間以上であるファイルがある場合には（ステップＳ５：肯定）、記録期間が所定の期間以上のファイルに対する期間超過情報を生成する（ステップＳ６）。第１判定部１３２は、生成した期間超過情報を出力制御部１３４に出力するとともに、ログを第２判定部１３３に出力し、ステップＳ７に進む。第１判定部１３２は、記録期間が所定の期間以上であるファイルがない場合には（ステップＳ５：否定）、ログを第２判定部１３３に出力し、ステップＳ７に進む。

第２判定部１３３は、第１判定部１３２からログが入力されると、ホワイトリスト記憶部１２１を参照し、ログのファイル名およびサイズと、ホワイトリストのファイル名およびサイズとを比較する（ステップＳ７）。第２判定部１３３は、比較結果に基づいて、不正なサイズのファイルがあるか否かを判定する（ステップＳ８）。第２判定部１３３は、不正なサイズのファイルがある場合には（ステップＳ８：肯定）、不正なサイズのファイルに対するサイズ不正情報を生成する（ステップＳ９）。第２判定部１３３は、生成したサイズ不正情報を出力制御部１３４に出力し、ステップＳ１０に進む。第２判定部１３３は、不正なサイズのファイルがない場合には（ステップＳ８：否定）、チェック終了情報を出力制御部１３４に出力し、ステップＳ１０に進む。

出力制御部１３４は、ファイル名不正情報、期間超過情報、および、サイズ不正情報またはチェック終了情報が入力されると、ファイル名不正情報、期間超過情報およびサイズ不正情報に基づいて、アラート出力の表示画面を生成する（ステップＳ１０）。出力制御部１３４は、生成したアラート出力の表示画面を監査端末７０に送信し（ステップＳ１１）、監査端末７０の図示しない表示部に表示させる。これにより、データ管理装置１００は、所定の期間を経過したファイルに対するアラートを出力するので、残存ファイルの漏洩リスクを低減できる。また、データ管理装置１００は、ホワイトリストのファイル名に対応するサイズに基づいて、ログに記録されたファイルのサイズをチェックするので、不正操作による漏洩リスクを低減できる。

このように、データ管理装置１００は、業務端末１０から該業務端末１０が記憶しているファイルと、該業務端末１０における操作ログとを取得する。また、データ管理装置１００は、取得した操作ログに基づいて特定した、取得したファイルの記憶タイミングからの経過時間に応じて、アラートを出力する。その結果、データ管理装置１００は、業務端末１０に記憶されてから保存されたままとなっているデータの存在を認識することができる。

また、データ管理装置１００では、アラートは、ファイルの記憶タイミングからの経過時間が所定時間を越える場合に出力される。その結果、データ管理装置１００は、所定時間を越えて保存されたままとなっているデータの存在を認識することができる。

また、データ管理装置１００は、ファイル名に対応づけて時間を記憶するホワイトリスト記憶部１２１を参照して、取得したファイルに対応づけて記憶された時間を特定する。また、データ管理装置１００では、アラートは、取得したファイルの記憶タイミングからの経過時間が特定した時間を越える場合に出力される。その結果、データ管理装置１００は、ファイル名に対応した時間を越えて保存されたままとなっているデータの存在を認識することができる。

また、データ管理装置１００は、経過時間が特定した時間を越える場合に、ファイルが残存ファイルであることを示すアラートを出力する。その結果、データ管理装置１００は、残存ファイルが業務端末１０に残っていることを知らせることができる。

また、データ管理装置１００は、アラートを業務端末１０のユーザおよび／または所定の期間ごとに出力する。その結果、データ管理装置１００は、どのユーザのいつの操作がアラートとなっているかを容易に把握できる。

また、データ管理装置１００は、業務端末１０で生成されたデータの生成日時または更新日時を記録したログを取得する。また、データ管理装置１００は、取得したログに記録された生成日時または更新日時に基づいて、データの記録期間を特定して、特定した記録期間が所定の期間以上であるか否かを判定する。また、データ管理装置１００は、記録期間が所定の期間以上である場合に、データに対するアラートを出力する。その結果、データ管理装置１００は、残存ファイルの漏洩リスクを低減できる。

また、データ管理装置１００では、所定の期間は、データの種別に基づくデータのファイル名と対応付けて設定する。また、データ管理装置１００は、ファイル名に基づいて、記録期間が所定の期間以上であるか否かを判定する。その結果、データ管理装置１００は、データの種別を含むファイル名に基づく異なる所定の期間に基づいて、記録期間を判定することができる。

また、データ管理装置１００は、記録期間が所定の期間以上である場合に、データが残存データであることを示すアラートを出力する。その結果、データ管理装置１００は、残存データ、つまり残存ファイルが業務端末１０に残っていることを知らせることができる。

なお、上記実施例では、各業務端末１０から取得したログについてデータ管理処理、つまり監査を行う場合を説明したが、これに限定されない。例えば、業務サーバ３０から取得したログについてデータ管理処理、つまり監査を行うようにしてもよい。

また、上記実施例では、アラートを出力する判定にホワイトリストを用いたが、これに限定されない。例えば、ブラックリストを用いるようにしてもよい。

また、上記実施例では、ログの収集を所定の時間間隔で行ったが、これに限定されない。例えば、業務端末１０や業務サーバ３０側でログが生成される度に、逐次新たに生成された部分のログをセキュリティサーバ５０に送信するようにしてもよい。また、セキュリティサーバ５０も同様に、新たなログを受信する度にデータ管理装置１００にログを送信するようにしてもよい。すなわち、データ管理装置１００は、業務端末１０および業務サーバ３０からリアルタイムでログを取得し、取得したログを判定してアラートを出力するようにしてもよい。

また、上記実施例では、ファイルの記録期間が所定の期間以上であるか否かの判定と、不正なサイズのファイルがあるか否かの判定とを行ったが、これに限定されない。例えば、いずれか一方の判定を行ってアラートを出力してもよいし、双方の判定順序を入れ替えて判定を行ってアラートを出力するようにしてもよい。

また、上記実施例では、データ管理装置１００は、アラートが発生した場合に、アラート出力の表示画面を出力して監査端末７０に表示させたが、これに限定されない。例えば、データ管理装置１００は、アラート出力の一覧画面において、アラートが発生していない旨を判定した結果を示す画面、つまりアラート件数が０件である画面を出力するようにしてもよい。

また、図示した各部の各構成要素は、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各部の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。例えば、第１判定部１３２と第２判定部１３３とを統合してもよい。また、図示した各処理は、上記の順番に限定されるものではなく、処理内容を矛盾させない範囲において、同時に実施してもよく、順序を入れ替えて実施してもよい。

さらに、各装置で行われる各種処理機能は、ＣＰＵ（またはＭＰＵ、ＭＣＵ（Micro Controller Unit）等のマイクロ・コンピュータ）上で、その全部または任意の一部を実行するようにしてもよい。また、各種処理機能は、ＣＰＵ（またはＭＰＵ、ＭＣＵ等のマイクロ・コンピュータ）で解析実行されるプログラム上、またはワイヤードロジックによるハードウェア上で、その全部または任意の一部を実行するようにしてもよいことは言うまでもない。

ところで、上記の実施例で説明した各種の処理は、予め用意されたプログラムをコンピュータで実行することで実現できる。そこで、以下では、上記の実施例と同様の機能を有するプログラムを実行するコンピュータの一例を説明する。図６は、データ管理プログラムを実行するコンピュータの一例を示す図である。

図６に示すように、コンピュータ２００は、各種演算処理を実行するＣＰＵ２０１と、データ入力を受け付ける入力装置２０２と、モニタ２０３とを有する。また、コンピュータ２００は、記憶媒体からプログラム等を読み取る媒体読取装置２０４と、各種装置と接続するためのインタフェース装置２０５と、他の情報処理装置等と有線または無線により接続するための通信装置２０６とを有する。また、コンピュータ２００は、各種情報を一時記憶するＲＡＭ２０７と、ハードディスク装置２０８とを有する。また、各装置２０１〜２０８は、バス２０９に接続される。

ハードディスク装置２０８には、図１に示した取得部１３１、第１判定部１３２、第２判定部１３３および出力制御部１３４の各処理部と同様の機能を有するデータ管理プログラムが記憶される。また、ハードディスク装置２０８には、ホワイトリスト記憶部１２１、および、データ管理プログラムを実現するための各種データが記憶される。入力装置２０２は、例えば、図１に示した操作部１１２と同様の機能を有し、コンピュータ２００の管理者から操作情報等の各種情報の入力を受け付ける。モニタ２０３は、例えば、コンピュータ２００の管理者に対して表示画面等の各種画面を表示する。インタフェース装置２０５は、例えば印刷装置等が接続される。通信装置２０６は、例えば、図１に示した通信部１１０と同様の機能を有し業務端末１０、業務サーバ３０、セキュリティサーバ５０および監査端末７０と接続される。通信装置２０６は、業務端末１０、業務サーバ３０、セキュリティサーバ５０および監査端末７０と各種情報をやりとりする。

ＣＰＵ２０１は、ハードディスク装置２０８に記憶された各プログラムを読み出して、ＲＡＭ２０７に展開して実行することで、各種の処理を行う。また、これらのプログラムは、コンピュータ２００を図１に示した取得部１３１、第１判定部１３２、第２判定部１３３および出力制御部１３４として機能させることができる。

なお、上記のデータ管理プログラムは、必ずしもハードディスク装置２０８に記憶されている必要はない。例えば、コンピュータ２００が読み取り可能な記憶媒体に記憶されたプログラムを、コンピュータ２００が読み出して実行するようにしてもよい。コンピュータ２００が読み取り可能な記憶媒体は、例えば、ＣＤ−ＲＯＭやＤＶＤディスク、ＵＳＢ（Universal Serial Bus）メモリ等の可搬型記録媒体、フラッシュメモリ等の半導体メモリ、ハードディスクドライブ等が対応する。また、公衆回線、インターネット、ＬＡＮ等に接続された装置にこのデータ管理プログラムを記憶させておき、コンピュータ２００がこれらからデータ管理プログラムを読み出して実行するようにしてもよい。

１ データ管理システム
１０ 業務端末
３０ 業務サーバ
５０ セキュリティサーバ
７０ 監査端末
１００ データ管理装置
１１０ 通信部
１１１ 表示部
１１２ 操作部
１２０ 記憶部
１２１ ホワイトリスト記憶部
１３０ 制御部
１３１ 取得部
１３２ 第１判定部
１３３ 第２判定部
１３４ 出力制御部
Ｎ ネットワーク

Claims (6)

1. 情報処理端末から該情報処理端末が記憶しているファイルと、該情報処理端末における操作ログとを取得し、
   ファイル名に対応づけて時間を記憶する記憶部を参照して、前記操作ログに含まれる前記ファイルのファイル名が前記記憶部に含まれる場合、前記ファイルのファイル名に対応づけて記憶された時間を特定し、前記操作ログに含まれる前記ファイルのファイル名が前記記憶部に含まれない場合、前記ファイルに対するファイル名不正情報を生成し、
   取得した前記操作ログに基づいて特定した、取得した前記ファイルの記憶タイミングからの経過時間が特定した前記時間を越える場合に、前記ファイルが残存ファイルであることを示すアラートを出力し、前記ファイル名不正情報を生成した場合に、前記ファイルのファイル名が不正であることを示すアラートを出力する、
   処理をコンピュータに実行させることを特徴とする管理プログラム。
2. 情報処理端末から該情報処理端末が記憶しているファイルと、該情報処理端末における操作ログとを取得し、
   ファイル名に対応づけて時間を記憶する記憶部を参照して、前記操作ログに含まれる前記ファイルのファイル名が前記記憶部に含まれる場合、前記ファイルのファイル名に対応づけて記憶された時間を特定し、前記操作ログに含まれる前記ファイルのファイル名が前記記憶部に含まれない場合、前記ファイルに対するファイル名不正情報を生成し、
   取得した前記操作ログに基づいて特定した、取得した前記ファイルの記憶タイミングからの経過時間が特定した前記時間を越える場合に、前記ファイルが残存ファイルであることを示すアラートを出力し、前記ファイル名不正情報を生成した場合に、前記ファイルのファイル名が不正であることを示すアラートを出力する、
   処理をコンピュータが実行することを特徴とする管理方法。
3. 情報処理端末から該情報処理端末が記憶しているファイルと、該情報処理端末における操作ログとを取得する取得部と、
   ファイル名に対応づけて時間を記憶する記憶部を参照して、前記操作ログに含まれる前記ファイルのファイル名が前記記憶部に含まれる場合、前記ファイルのファイル名に対応づけて記憶された時間を特定し、前記操作ログに含まれる前記ファイルのファイル名が前記記憶部に含まれない場合、前記ファイルに対するファイル名不正情報を生成する判定部と、
   取得した前記操作ログに基づいて特定した、取得した前記ファイルの記憶タイミングからの経過時間が特定した前記時間を越える場合に、前記ファイルが残存ファイルであることを示すアラートを出力し、前記ファイル名不正情報を生成した場合に、前記ファイルのファイル名が不正であることを示すアラートを出力する出力制御部と、
   を有することを特徴とする管理装置。
4. 情報処理端末から該情報処理端末が記憶しているファイルと、該情報処理端末における操作ログとを取得し、
   ファイル名に対応づけて時間を記憶する記憶部を参照して、前記操作ログに含まれる前記ファイルのファイル名が前記記憶部に含まれる場合、前記ファイルのファイル名に対応づけて記憶された時間を特定し、前記操作ログに含まれる前記ファイルのファイル名が前記記憶部に含まれない場合、前記ファイルに対するファイル名不正情報を生成し、
   取得した前記操作ログに基づいて特定した、取得した前記ファイルの記憶タイミングからの経過時間が特定した前記時間を越える場合、および、前記ファイル名不正情報を生成した場合のうち、１つまたは複数の場合に、前記情報処理端末のユーザごとに所定の期間ごとのアラート件数を表形式で表すアラートを出力する、
   処理をコンピュータに実行させることを特徴とする管理プログラム。
5. 情報処理端末から該情報処理端末が記憶しているファイルと、該情報処理端末における操作ログとを取得し、
   ファイル名に対応づけて時間を記憶する記憶部を参照して、前記操作ログに含まれる前記ファイルのファイル名が前記記憶部に含まれる場合、前記ファイルのファイル名に対応づけて記憶された時間を特定し、前記操作ログに含まれる前記ファイルのファイル名が前記記憶部に含まれない場合、前記ファイルに対するファイル名不正情報を生成し、
   取得した前記操作ログに基づいて特定した、取得した前記ファイルの記憶タイミングからの経過時間が特定した前記時間を越える場合、および、前記ファイル名不正情報を生成した場合のうち、１つまたは複数の場合に、前記情報処理端末のユーザごとに所定の期間ごとのアラート件数を表形式で表すアラートを出力する、
   処理をコンピュータが実行することを特徴とする管理方法。
6. 情報処理端末から該情報処理端末が記憶しているファイルと、該情報処理端末における操作ログとを取得する取得部と、
   ファイル名に対応づけて時間を記憶する記憶部を参照して、前記操作ログに含まれる前記ファイルのファイル名が前記記憶部に含まれる場合、前記ファイルのファイル名に対応づけて記憶された時間を特定し、前記操作ログに含まれる前記ファイルのファイル名が前記記憶部に含まれない場合、前記ファイルに対するファイル名不正情報を生成する判定部と、
   取得した前記操作ログに基づいて特定した、取得した前記ファイルの記憶タイミングからの経過時間が特定した前記時間を越える場合、および、前記ファイル名不正情報を生成した場合のうち、１つまたは複数の場合に、前記情報処理端末のユーザごとに所定の期間ごとのアラート件数を表形式で表すアラートを出力する出力制御部と、
   を有することを特徴とする管理装置。

Images