JP6910322B2 - セキュリティ管理サーバ、セキュリティ管理方法、及びセキュリティ管理プログラム - Google Patents

Description

本発明は、複数のクライアント端末を有するユーザシステムにおけるセキュリティを管理するための技術に関する。

複数のクライアント端末を有するユーザシステムにおいて、各ユーザによる情報漏洩等の不正や、外部からの不正等に対処するために、不正を検出したり、不正のリスクを解析したりすることが行われている。

例えば、セキュリティの解析等に関連する技術として、例えば、非特許文献１には、システムにおける各ユーザによるセキュリティのリスクを解析して表示するシステムが開示されている。

Ｅｘａｂｅａｍ Ｓｅｃｕｒｉｔｙ Ｉｎｔｅｌｌｉｇｅｎｃｅ Ｐｌａｔｆｏｒｍ、［平成３０年５月１５日検索］、インターネット（ＵＲＬ：ｈｔｔｐｓ：／／ｗｗｗ．ｅｘａｂｅａｍ．ｃｏｍ）

例えば、セキュリティ上の不正を検知したり、解析したりするために、例えば、ユーザシステムにおけるログが使用されることがある。ユーザシステムにおいては、種々の場所で各種ログが管理されているが、セキュリティ上の不正を検知、解析等する場合においては、これら各種ログが有効に利用されているとは言えない状態であり、これら各種ログを利用して、より効果的にユーザに関するセキュリティ上の不正に関する評価をすることが要請されている。

本発明は、上記事情に鑑みなされたものであり、その目的は、ユーザのセキュリティ上の不正に関する評価を容易且つ適切にできるようにする技術を提供することにある。

上記目的を達成するため、一観点に係るセキュリティ管理サーバは、複数のクライアント端末を有するユーザシステムにおけるセキュリティを管理するセキュリティ管理サーバであって、クライアント端末を利用した各ユーザの複数種類のログを取得するログ取得部と、複数種類のログに基づいて、各ユーザについての対象期間内の所定期間における複数種類の操作のそれぞれの操作の平均の操作回数であるユーザ毎平均操作回数を集計するとともに、所定期間におけるユーザに設定されたセキュリティポリシーに対応する複数のユーザについての複数種類の操作のそれぞれの平均の操作回数である種類別平均操作回数を算出し、種類別平均操作回数と、ユーザ毎平均操作回数とに基づいて、各ユーザのセキュリティ上の不正についての第１種スコアを解析する第１種スコア解析部と、複数種類のログに基づいて、対象期間における不正を判断するための所定のキーワードの出現回数に基づいて各ユーザのセキュリティ上の不正についての第２種スコアを解析する第２種スコア解析部と、各ユーザについての第１種スコアと、第２種スコアとに基づいて、各ユーザについてのセキュリティ上の不正に関するスコアを決定するスコア統合部と、決定されたスコアをユーザに対応付けて記憶する記憶制御部とを備える。

本発明によれば、ユーザのセキュリティ上の不正に関する評価を容易且つ適切にできるようにすることができる。

図１は、一実施形態に係る計算機システムの管理システムの構成図である。 図２は、一実施形態に係る計算機システムの顧客システムの構成図である。 図３は、一実施形態に係る顧客人事データテーブルの構成図である。 図４は、一実施形態に係る社員別スコアテーブルの構成図である。 図５は、一実施形態に係る社内・組織傾向テーブルの構成図である。 図６は、一実施形態に係る役職／雇用形態別傾向テーブルの構成図である。 図７は、一実施形態に係る社員別集計テーブルの構成図である。 図８は、一実施形態に係る平均値テーブルの構成図である。 図９は、一実施形態に係る重み付けルールテーブルの構成図である。 図１０は、一実施形態に係るテンポラリスコアテーブルの構成図である。 図１１は、一実施形態に係る統合スコアテーブルの構成図である。 図１２は、一実施形態に係るポリシールールテーブルの構成図である。 図１３は、一実施形態に係るベースラインテーブルの構成図である。 図１４は、一実施形態に係るログデータの第１の構成図である。 図１５は、一実施形態に係るログデータの第２の構成図である。 図１６は、一実施形態に係るセキュリティ管理処理のフローチャートである。 図１７は、一実施形態に係るポリシー構成ファイルの構成図である。 図１８は、一実施形態に係るセキュリティ情報表示処理のフローチャートである。 図１９は、一実施形態に係るセキュリティ情報画面を説明する図である。

実施形態について、図面を参照して説明する。なお、以下に説明する実施形態は特許請求の範囲に係る発明を限定するものではなく、また実施形態の中で説明されている諸要素及びその組み合わせの全てが発明の解決手段に必須であるとは限らない。

以下の説明では、「ＡＡＡテーブル」の表現にて情報を説明することがあるが、情報は、どのようなデータ構造で表現されていてもよい。すなわち、情報がデータ構造に依存しないことを示すために、「ＡＡＡテーブル」を「ＡＡＡ情報」と呼ぶことができる。

図１は、一実施形態に係る計算機システムの管理システムの構成図であり、図２は、一実施形態に係る計算機システムの顧客システムの構成図である。

一実施形態に係る計算機システム１は、管理システム２と、１以上の顧客システム３（ユーザシステム）とを備える。管理システム２と、顧客システム３とは、ネットワーク４０を介して接続される。ネットワーク４０は、例えば、インターネットであるが、他のネットワークであってもよい。

管理システム２は、セキュリティ管理サーバの一例としての管理サーバ１０と、ＤＢ（Ｄａｔａ Ｂａｓｅ）サーバ２０と、１以上のログ収集サーバ３０とを備える。管理サーバ１０と、ＤＢサーバ２０と、１以上のログ収集サーバ３０とは、内部ネットワーク３５を介して接続されている。内部ネットワーク３５は、有線ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）であっても、無線ＬＡＮであってもよい。

管理サーバ１０は、例えば、ＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）、汎用計算機等により構成され、入力部１１と、記憶部１２と、プロセッサ１３と、表示部１４と、通信部１５とを備える。

プロセッサ１３は、記憶部１２に格納されているプログラムに従って各種処理を実行する。本実施形態では、プロセッサ１３は、記憶部１２のプログラム１２ａを実行することにより、第１種スコア解析部の一例としての第１解析部１３ａ、第２種スコア解析部の一例としての第２解析部１３ｂ、判定部１３ｃ、及びデータ処理部１３ｄを構成する。判定部１３ｃは、スコア統合部、ポリシー要素設定決定部、及び閾値情報受付部の一例である。データ処理部１３ｄは、記憶制御部、ポリシールール記憶制御部、情報出力部、及びポリシー要素設定送信部の一例である。

第１解析部１３ａは、後述するビヘイビアアノマリ検出型解析処理により各社員（ユーザ）のスコア（第１種スコア）を決定する。第１解析部１３ａは、ＡＩ（Ａｒｔｉｆｉｃｉａｌ Ｉｎｔｅｌｌｉｇｅｎｃｅ）として機能する。第２解析部１３ｂは、後述する重み付け型解析処理により各社員のスコア（第２種スコア）を決定する。第２解析部１３ｂは、ＡＩとして機能する。判定部１３ｃは、第１種スコアと、第２種スコアとに基づいて、各社員のスコア（統合スコア）を決定する。データ処理部１３ｄは、ログデータの集計や、各種テーブルに基づいて画面を生成する処理等を実行する。なお、これら構成部の詳細については後述する。

記憶部１２は、例えば、ＲＡＭ（ＲＡＮＤＯＭ ＡＣＣＥＳＳ ＭＥＭＯＲＹ）、ハードディスク、フラッシュメモリなどであり、プロセッサ１３で実行されるプログラムや、プロセッサ１３に利用されるデータを記憶する。本実施形態では、記憶部１２は、プロセッサ１３により実行されるプログラム（セキュリティ管理プログラム）１２ａを記憶する。

入力部１１は、例えば、マウス、キーボード等であり、管理サーバ１０の管理者による操作入力を受け付ける。表示部１４は、例えば、液晶ディスプレイ等のディスプレイ装置であり、各種情報を表示出力する。通信部１５は、例えば、有線ＬＡＮカードや無線ＬＡＮカードなどの通信インターフェースであり、内部ネットワーク３５、ネットワーク４０等を介して他の装置（例えば、ＤＢサーバ２０、ログ収集サーバ３０、顧客システム３側の装置等）と通信する。

ＤＢサーバ２０は、管理サーバ１０の処理によって使用されるテーブル等の情報を管理するサーバであり、例えば、プロセッサ、記憶デバイス等を備えるＰＣ、汎用計算機等により構成され、通信処理部２１と、分析用ＤＢ２２とを備える。

通信処理部２１は、分析用ＤＢ２２と、他の装置との間での情報を送受信する処理を行う。本実施形態では、通信処理部２１は、管理サーバ１０からの要求に応じて各種テーブルから情報を取り出して管理サーバ１０に送信したり、管理サーバ１０から情報を受け取り各種テーブルに格納したりする。

分析用ＤＢ２２は、社員別集計テーブル２２１と、顧客人事データテーブル２２２と、役職／雇用形態別傾向テーブル２２３と、社内・組織傾向テーブル２２４と、重み付けルールテーブル２２５と、ベースラインテーブル２２６と、テンポラリスコアテーブル２２７と、社員別スコアテーブル２２８と、平均値テーブル２２９と、ポリシールールテーブル２３０と、統合スコアテーブル２３１とを格納する。これらテーブルの構成については後述する。

ログ収集サーバ３０は、顧客システム３のログデータを収集するサーバであり、例えば、各顧客システム毎に１つずつ備えられている。ログ収集サーバ３０は、例えば、プロセッサ、記憶デバイス等を備えるＰＣ、汎用計算機等により構成され、通信処理部３１と、ログＤＢ３２とを備える。

通信処理部３１は、ログＤＢ３２と、他の装置との間での情報を送受信する処理を行う。本実施形態では、通信処理部３１は、担当する１つの顧客システム３のログ中継サーバ５０から顧客システム３における各種ログを取得して、ログＤＢ３２に格納する。また、通信処理部３１は、管理サーバ１０からの指示に従って、ログＤＢ３２からログデータを取得して、管理サーバ１０に送信する。

ログＤＢ３２は、顧客システム３から取得した各種ログデータ３３（ログデータ３３１，３３２等）を記憶する。

顧客システム３は、ログ中継サーバ５０と、セキュリティサーバ６０と、１以上のクライアント端末７０と、メールサーバ８１と、プロキシサーバ８４と、ファイアウォール（ＦＷ）８７と、ファイルサーバ９０とを備える。本実施形態では、内部ネットワーク４１と、内部ネットワーク４２とは、ファイアウォール８７を介してネットワーク４０に接続されている。ログ中継サーバ５０と、セキュリティサーバ６０と、１以上のクライアント端末７０と、ファイアウォール８７と、ファイルサーバ９０とは、内部ネットワーク４１を介して接続されている。また、メールサーバ８１と、プロキシサーバ８４と、ファイアウォール８７とは、内部ネットワーク４２を介して接続されている。

クライアント端末７０は、例えば、プロセッサ、記憶デバイス等を備えるＰＣで構成されており、セキュリティエージェント部７１と、記憶部７２とを備える。セキュリティエージェント部７１は、セキュリティサーバ６０のセキュリティサーバ部６１の指示に従って、クライアント端末７０のセキュリティに関する動作を設定する。また、セキュリティエージェント部７１は、ユーザによる操作内容を示すログデータを記憶部７２に格納し、セキュリティサーバ６０に送信する。

ファイアウォール８７は、ネットワーク４０と、内部ネットワーク４１と，内部ネットワーク４２とのそれぞれのネットワーク間の通信を制御する。

プロキシサーバ８４は、各クライアント端末７１のネットワーク４０を介しての通信を代理する処理を行う。本実施形態では、プロキシサーバ８４は、処理におけるログデータ８６を記憶部８５に格納する。

メールサーバ８１は、ネットワーク４０を介してのメール（電子メール）の送受信処理を行う。本実施形態では、メールサーバ８１は、メールの送受信処理におけるログデータ８３を記憶部８２に格納する。

ログ中継サーバ５０は、例えば、プロセッサ、記憶デバイス等を備えるＰＣ、汎用計算機等により構成され、ログ中継部５１と、記憶部５２とを有する。ログ中継部５１は、顧客システム３における各種ログデータ５３を収集し、記憶部５２に格納する。本実施形態では、ログ中継部５１は、セキュリティサーバ６０の記憶部６２に格納されているログデータ６３と、メールサーバ８１の記憶部８２に格納されているログデータ８３と、プロキシサーバ８４の記憶部８５に格納されているログデータ８６と、ファイアウォール８７の記憶部８８に格納されているログデータ８９を収集して格納する。また、ログ中継部５１は、記憶部５２に格納したログデータ５３を、所属する顧客システム３のログデータを管理するための管理システム２のログ収集サーバ３０に対して、ネットワーク４０を介して送信する。

ファイルサーバ９０は、例えば、プロセッサ、記憶デバイス等を備えるＰＣ、汎用計算機等により構成され、ファイルデータを記憶する記憶部９１を備える。

セキュリティサーバ６０は、例えば、プロセッサ、記憶デバイス等を備えるＰＣ、汎用計算機等により構成され、セキュリティサーバ部６１と、記憶部６２とを有する。記憶部６２は、クライアント端末７０から収集された各社員のログデータ６３と、ベースラインテーブル６４とを格納する。セキュリティサーバ部６１は、セキュリティエージェント部７１から社員のログイン要求（社員番号及びパスワード）を受け付け、認証できた場合には、ベースラインテーブル６４を参照し、この社員に対するポリシーの内容に従って、セキュリティエージェント部７１にセキュリティ設定を行わせる指示を送信する。また、セキュリティサーバ部６１は、セキュリティエージェント部７１に社員のログデータの送信を指示し、セキュリティエージェント部７１を介してログデータ７３を取得し、取得したログデータ７３を記憶部６２に格納する。ベースラインテーブル６４は、予めセキュリティサーバ６０の管理者により設定され、以降においては、管理サーバ１０から送信される内容に更新される。ベースラインテーブル６４は、後述するベースラインテーブル２２６と同じフィールド構成である。

次に、ＤＢサーバ２０に格納されている各種テーブルについて説明する。

図３は、一実施形態に係る顧客人事データテーブルの構成図である。

顧客人事データテーブル２２２は、各顧客システム３のそれぞれに対して設けられるテーブルであり、対応する顧客システム３における社員ごとのエントリを格納する。顧客人事データテーブル２２２は、例えば、顧客システム３からデータとして取得するか、又は顧客システム３の顧客からの情報に基づいて作成される。顧客人事データテーブル２２２のエントリは、社員番号２２２ａと、氏名２２２ｂと、役職２２２ｃと、所属２２２ｄと、適用ポリシー２２２ｅと、メールアドレス２２２ｆと、勤務シフト２２２ｇと、その他２２２ｈとのフィールドを含む。

社員番号２２２ａには、エントリに対応する社員の社員番号（識別情報）が格納される。氏名２２２ｂには、エントリに対応する社員の氏名が格納される。役職２２２ｃには、エントリに対応する社員の役職名が格納される。所属２２２ｄには、エントリに対応する社員の所属（部署）名が格納される。適用ポリシー２２２ｅには、エントリに対応する社員に対して適用されるセキュリティのポリシー（セキュリティポリシー）の名前が格納される。メールアドレス２２２ｆには、エントリに対応する社員のメールアドレスが格納される。勤務シフト２２２ｇには、エントリに対応する社員の勤務シフトが格納される。その他２２２ｈには、エントリに対応する社員についての特記事項が格納される。特記事項としては、例えば、社員が退社する予定日等がある。

図４は、一実施形態に係る社員別スコアテーブルの構成図である。

社員別スコアテーブル２２８は、各顧客システム３のそれぞれに対して設けられるテーブルであり、対応する顧客システム３における社員ごとのエントリを格納する。社員別スコアテーブル２２８のエントリは、社員番号２２８ａと、持ち出し回数２２８ｂと、禁止行為回数２２８ｃと、整合性アンマッチ２２８ｄと、監視フォルダへの操作２２８ｅと、監視フラグ２２８ｆと、スコア２２８ｇとのフィールドを含む。

社員番号２２８ａには、エントリに対応する社員の社員番号が格納される。持ち出し回数２２８ｂには、エントリに対応する社員が所定の判定対象期間（対象期間：例えば、１か月、３か月等）において所定期間（集計単位：例えば、１日、１週間等）に行ったデータの持ち出し回数（又は、その平均値）が格納される。禁止行為回数２２８ｃには、エントリに対応する社員が所定の対象期間内の所定期間に行った禁止行為の回数（又は、その平均値）が格納される。整合性アンマッチ２２８ｄには、エントリに対応する社員が所定の対象期間において所定期間に行った操作について整合性がマッチしなかった回数（又は、その平均値）が格納される。整合性がマッチしない操作としては、例えば、社員がログアウトしていたのに、ログアウト時には通常起こりえないファイルの参照の操作がされていること等がある。監視フォルダへの操作２２８ｅには、エントリに対応する社員が所定の対象期間において所定期間に監視対象として設定されているフォルダ（監視フォルダ）への操作を行った回数（又は、その平均値）が格納される。監視フラグ２２８ｆには、エントリに対応する社員がセキュリティ上の監視が必要な要監視対象であるか否かを示すフラグ（監視フラグ）が格納される。監視フラグは、例えば、社員が要監視対象である場合には、“１”に設定され、社員が要監視対象でない場合には、“０”に設定される。スコア２２８ｇには、エントリに対応する社員に対するセキュリティ上の不正に関するスコアが格納される。本実施形態では、スコアは、セキュリティ上の不正の可能性が高いほど、高い値となる。

図５は、一実施形態に係る社内・組織傾向テーブルの構成図である。

社内・組織傾向テーブル２２４は、各顧客システム３のそれぞれに対して設けられるテーブルであり、対応する顧客システム３における顧客の部署（所属）ごとのエントリを格納する。社内・組織傾向テーブル２２４のエントリは、所属２２４ａと、要監視対象人数２２４ｂと、傾向人数Ｃｈａｏｓ２２４ｃと、傾向人数Ｎｅｕｔｒａｌ２２４ｄと、傾向人数Ｌａｗ２２４ｅと、監視常連人数２２４ｆとのフィールドを含む。

所属２２４ａには、エントリに対応する部署名が格納される。要監視対象人数２２４ｂには、エントリに対応する部署における要監視対象の人数が格納される。傾向人数Ｃｈａｏｓ２２４ｃには、エントリに対応する部署におけるセキュリティに関して無秩序な傾向のある社員の人数が格納される。傾向人数Ｎｅｕｔｒａｌ２２４ｄには、エントリに対応する部署におけるセキュリティに関して中立的な傾向のある社員の人数が格納される。傾向人数Ｌａｗ２２４ｅには、エントリに対応する部署におけるセキュリティに関して秩序傾向のある社員の人数が格納される。監視常連人数２２４ｆには、エントリに対応する部署における、過去の所定期間（例えば、１年）に複数回にわたって要監視対象となった人数が格納される。

図６は、一実施形態に係る役職／雇用形態別傾向テーブルの構成図である。

役職／雇用形態別傾向テーブル２２３は、各顧客システム３のそれぞれに対して設けられるテーブルであり、対応する顧客システム３における役職又は雇用形態ごとのエントリを格納する。役職／雇用形態別傾向テーブル２２３のエントリは、役職ｏｒ雇用形態２２３ａと、要監視対象人数２２３ｂと、傾向人数Ｃｈａｏｓ２２３ｃと、傾向人数Ｎｅｕｔｒａｌ２２３ｄと、傾向人数Ｌａｗ２２３ｅと、監査常連人数２２３ｆとのフィールドを含む。

役職ｏｒ雇用形態２２３ａには、エントリに対応する役職又は雇用形態の名称が格納される。要監視対象人数２２３ｂには、エントリに対応する役職又は雇用形態における要監視対象の人数が格納される。傾向人数Ｃｈａｏｓ２２３ｃには、エントリに対応する役職又は雇用形態におけるセキュリティに関して無秩序な傾向のある社員の人数が格納される。傾向人数Ｎｅｕｔｒａｌ２２３ｄには、エントリに対応する役職又は雇用形態におけるセキュリティに関して中立的な傾向のある社員の人数が格納される。傾向人数Ｌａｗ２２３ｅには、エントリに対応する役職又は雇用形態におけるセキュリティに関して秩序傾向のある社員の人数が格納される。監視常連人数２２３ｆには、エントリに対応する役職又は雇用形態における、過去の所定期間（例えば、１年）に複数回にわたって要監視対象となった人数が格納される。

図７は、一実施形態に係る社員別集計テーブルの構成図である。

社員別集計テーブル２２１は、各顧客システム３のそれぞれに対して設けられるテーブルであり、対応する顧客システム３における社員ごとのエントリを格納する。社員別集計テーブル２２１のエントリは、社員番号２２１ａと、ポリシー２２１ｂと、印刷−成功２２１ｃと、印刷−失敗２２１ｄと、リムーバブル持ち出し−成功２２１ｅと、リムーバブル持ち出し−失敗２２１ｆと、ＰＣ操作−行動時間内２２１ｇと、ＰＣ操作−行動時間外２２１ｈとのフィールドを含む。

社員番号２２１ａには、エントリに対応する社員の社員番号が格納される。ポリシー２２１ｂには、エントリに対応する社員に割り当てられたポリシーの名前が格納される。印刷−成功２２１ｃには、エントリに対応する社員が所定の対象期間の所定期間に印刷を実行して成功した回数（又は、その平均値）が格納される。印刷−失敗２２１ｄには、エントリに対応する社員が所定の対象期間の所定期間に印刷を実行して失敗した回数（又は、その平均値）が格納される。リムーバブル持ち出し−成功２２１ｅには、エントリに対応する社員が所定の対象期間の所定期間にリムーバルメディア（可搬型記憶媒体）へデータを格納することが成功した回数（又は、その平均値）が格納される。リムーバブル持ち出し−失敗２２１ｆには、エントリに対応する社員が所定の対象期間の所定期間にリムーバルメディアへデータを格納することが失敗した回数（又は、その平均値）が格納される。ＰＣ操作−行動時間内２２１ｇには、エントリに対応する社員が所定の対象期間の所定期間に、行動時間内にＰＣ操作を行った回数（又は、その平均値）が格納される。ＰＣ操作−行動時間外２２１ｈには、エントリに対応する社員が所定の対象期間の所定期間に、行動時間外にＰＣ操作を行った回数（又は、その平均値）が格納される。

図８は、一実施形態に係る平均値テーブルの構成図である。

平均値テーブル２２９は、各顧客システム３のそれぞれに対して設けられるテーブルであり、対応する顧客システム３における各ポリシーごとのエントリを格納する。平均値テーブル２２９のエントリは、ポリシー２２９ａと、印刷−成功２２９ｂと、印刷−失敗２２９ｃと、リムーバブル持ち出し−成功２２９ｄと、リムーバブル持ち出し−失敗２２９ｅと、ＰＣ操作−行動時間内２２９ｆと、ＰＣ操作−行動時間外２２９ｇとのフィールドを含む。

ポリシー２２９ａには、エントリに対応するポリシーの名前が格納される。印刷−成功２２９ｂには、エントリに対応するポリシーが設定された社員についての所定期間（集計単位）に印刷を実行して成功した回数の平均値が格納される。なお、平均値をとる対象の期間としては、任意の期間であってよく、例えば、対象期間であってもよい。以下の他の平均値についても同様。印刷−失敗２２９ｃには、エントリに対応するポリシーが設定された社員についての所定期間に印刷を実行して失敗した回数の平均値が格納される。リムーバブル持ち出し−成功２２９ｄには、エントリに対応するポリシーが設定された社員についての所定期間にリムーバルメディアへデータを格納することが成功した回数の平均値が格納される。リムーバブル持ち出し−失敗２２９ｅには、エントリに対応するポリシーが設定された社員についての所定期間にリムーバルメディアへデータを格納することが失敗した回数の平均値が格納される。ＰＣ操作−行動時間内２２９ｆには、エントリに対応するポリシーが設定された社員についての、所定期間に、行動時間内にＰＣ操作を行った回数の平均値が格納される。ＰＣ操作−行動時間外２２９ｇには、エントリに対応するポリシーが設定された社員についての、所定期間に、行動時間外にＰＣ操作を行った回数の平均値が格納される。

図９は、一実施形態に係る重み付けルールテーブルの構成図である。

重み付けルールテーブル２２５は、後述する重み付け型解析処理を実行する際におけるルールごとのエントリを格納する。重み付けルールテーブル２２５のエントリは、ルールタイプ２２５ａと、ログタイプ２２５ｂと、キーワード２２５ｃと、説明２２５ｄと、重みスコア２２５ｅとを含む。

ルールタイプ２２５ａには、エントリに対応するルールのタイプ（ルールタイプ）が格納される。ルールタイプとしては、ＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）へのアクセスに関するルールを示す「ＵＲＬ」、共有フォルダに関するルールを示す「ＳＨＡＲＥＦＯＬＤ」、ファイルに関するルールを示す「ＦＩＬＥＴＹＰＥ」、タイムレンジに関するルールを示す「ＴＩＭＥ＿ＲＡＮＧＥ」、メールの送信先に関するルールを示す「ＭＡＩＬ＿ＤＯＭ」等がある。ログタイプ２２５ｂには、エントリに対応するルールを適用するログデータのタイプ（ログタイプ）が格納される。ログタイプとしては、プロキシサーバ８４のログデータであることを示す「ＰＲＯＸＹ」、ファイル等のアクセスのログデータであることを示す「ＡＣＣＥＳＳ」、ログデータのすべてを対象とする「ＡＬＬ」、メールサーバ８１のログデータであることを示す「ＭＡＩＬ」等がある。キーワード２２５ｃには、エントリに対応するルールにおいてスコアを加算する対象とするキーワードが格納される。説明２２５ｄには、エントリに対応するルールについての説明が格納される。重みスコア２２５ｅには、エントリに対応するルールに１つのログが対応する場合に加算されるスコアの値（重みスコア）が格納される。なお、処理対象のログデータの量は、大量となる性質があるので、１つのログデータ毎に加算される重みスコアは、小さい値とすることが好ましい。

この重み付けルールテーブル２２５の各エントリの内容については、例えば、Ｗｅｂユーザインタフェースを介して（例えば、管理サーバ１０の入力部１１による操作により）管理者から受け付けるようにしてもよい。

図１０は、一実施形態に係るテンポラリスコアテーブルの構成図である。

テンポラリスコアテーブル２２７は、各顧客システム３のそれぞれに対して設けられ、所定の対象期間毎に一時的作成されるテーブルである。テンポラリスコアテーブル２２７は、対応する顧客システム３の顧客の各社員ごとのエントリを格納する。テンポラリスコアテーブル２２７のエントリは、社員番号２２７ａと、スコア２２７ｂとのエントリを含む。社員番号２２７ａには、エントリに対応する社員の社員番号が格納される。スコア２２７ｂには、エントリに対応する社員についての重み付け型解析処理によって集計されるスコアが格納される。ここで、処理対象のすべてのログデータに対して重み付け型解析処理を行った後におけるスコア２２７ｂのスコアが第２種スコアに該当する。テンポラリスコアテーブル２２７のスコア２２７ｂの値は、新たな対象期間となった場合に、０に初期化される。

図１１は、一実施形態に係る統合スコアテーブルの構成図である。

統合スコアテーブル２３１は、各顧客システム３のそれぞれに対して設けられ、所定の対象期間における対応する顧客システム３の顧客の各社員についてのビヘイビアアノマリ検出型解析処理及び重み付け型解析処理に基づくスコア（統合スコア）を管理するテーブルである。統合スコアテーブル２３１は、対応する顧客システム３の顧客の各社員ごとのエントリを格納する。統合スコアテーブル２３１のエントリは、社員番号２３１ａと、スコア２３１ｂとのエントリを含む。社員番号２３１ａには、エントリに対応する社員の社員番号が格納される。スコア２３１ｂには、エントリに対応する社員についてのビヘイビアアノマリ検出型解析処理によるスコア（第１種スコア）と、重み付け型解析処理によるスコア（第２種スコア）とを統合したスコア（統合スコア）が格納される

図１２は、一実施形態に係るポリシールールテーブルの構成図である。

ポリシールールテーブル２３０は、各顧客システム３のそれぞれに対して設けられ、ポリシーを構成するポリシー要素についての設定内容を決定するルールを管理するテーブルである。ポリシールールテーブル２３０は、各顧客システム３のセキュリティサーバ６０におけるポリシーに含まれるポリシー要素に対応するエントリを格納する。ポリシールールテーブル２３０のエントリは、ポリシー要素２３０ａと、ルール２３０ｂと、設定内容２３０ｃとを含む。

ポリシー要素２３０ａには、エントリに対応するポリシー要素の名前が格納される。ルール２３０ｂには、ポリシー要素の設定内容を決定するためのスコア（統合スコア）についての閾値の条件が格納される。設定内容２３０ｃには、エントリに対応する閾値の条件を満たしている場合にポリシー要素として設定する設定内容が格納されている。例えば、或る社員に対する統合スコアが、９０である場合には、２つ目のエントリのルール（１２０未満：ここでは、８０（同一のポリシー要素に関する直前のエントリのルールの閾値）以上１２０未満を意味している）に適合するので、ログ取得レベルについては、「Ｎｏｒｍａｌ」が設定されることとなる。

このポリシールールテーブル２３０のルールと設定内容とについては、例えば、Ｗｅｂユーザインタフェースを介して（例えば、入力画面を管理サーバ１０の表示装置１４に表示させ、管理サーバ１０の入力部１１による操作を受け付けることにより）管理者から受け付けるようにしてもよい。

図１３は、一実施形態に係るベースラインテーブルの構成図である。

ベースラインテーブル２２６は、各顧客システム３のそれぞれに対して設けられ、顧客システム３の顧客の各社員についてのポリシーの設定内容を管理するテーブルである。このベースラインテーブル２２６は、ベースラインテーブル６４と同じフィールド構成となっており、このベースラインテーブル２２６が更新された後には、テーブルの全体又はテーブルの内容がセキュリティサーバ６０に送信されて、セキュリティサーバ６０において、ベースラインテーブル６４の各内容がこのベールサインテーブル２２６と同じ状態に更新されることとなる。

ベースラインテーブル２２６は、各顧客システム３の顧客の各社員ごとのエントリを格納する。ベースラインテーブル２２６のエントリは、社員番号２２６ａと、スコア２２６ｂと、ログ取得レベル２２６ｃと、行動傾向２２６ｄと、不正行動時のエージェント通知２２６ｅと、監視フラグ２２６ｆと、ミラーリング２２６ｇとのエントリを含む。

社員番号２２６ａには、エントリに対応する社員の社員番号が格納される。スコア２２６ｂには、エントリに対応する社員に対するスコア（統合スコア）が格納される。ログ取得レベル２２６ｃには、ログデータの収集に関するレベルが格納される。本実施形態では、レベルが高いほど、取得するログデータの内容を詳細にすることを意味する。行動傾向２２６ｄには、エントリに対応する社員のセキュリティに関する行動傾向が格納される。行動傾向としては、無秩序な傾向を示す「Ｃｈａｏｓ」、秩序的な傾向を示す「Ｌａｗ」、中立的な傾向を示す「Ｎｕｔｒａｌ」がある。不正行動時のエージェント通知２２６ｅには、エントリに対応する社員の不正行動時にエージェント（セキュリティエージェント部７１）によりセキュリティサーバ６０に通知を行うか否かの設定が格納される。設定としては、不正行動時にエージェントにより通知を行うことを示す「ＴＲＵＥ」と、通知を行わないことを示す「ＦＡＬＳＥ」とがある。監視フラグ２２６ｆには、エントリに対応する社員が要監視対象か否かを示すフラグ（監視フラグ）が格納される。監視フラグは、例えば、社員が要監視対象である場合には、“１”に設定され、社員が要監視対象でない場合には、“０”に設定される。ミラーリング２２６ｇには、エントリに対応する社員が要監視対象である場合において、持ち出したデータをファイルサーバ９０にミラーリングするか否かを示す設定が格納される。例えば、ミラーリング２２６ｇには、ミラーリングする場合には、「ＴＲＵＥ」が設定され、ミラーリングしない場合には、「ＦＡＬＳＥ」が設定される。

次に、顧客システム３で収集され、管理システム２に集約されるログデータについて説明する。なお、ログデータについては、ログデータを出力する装置等によりログ形式が異なっており、顧客システム３では、種々のログデータが存在する。以下、複数のログデータの中の一部のログデータについて説明する。

図１４は、一実施形態に係るログデータの第１の構成図である。図１４では、１つのログデータが図示するテーブルの1つのエントリに対応する。なお、1つのログデータは、テーブルのエントリの形式に限られず、要素同士をデリミタ（区切り文字）で切り分けたテキスト形式（例えば、ＣＳＶ形式）としてもよい。

ログデータ３３１は、クライアント端末７０を用いた操作に関するログデータであり、日時３３１ａと、社員番号３３１ｂと、利用端末３３１ｃと、ポリシー３３１ｄと、行動３３１ｅと、結果３３１ｆとのフィールドを含む。日時３３１ａには、ログデータに対応する操作（行動）が発生した日時が格納される。社員番号３３１ｂには、ログデータに対応する行動を行った社員の社員番号が格納される。利用端末３３１ｃには、ログデータに対応する行動に利用したクライアント端末７０の識別番号が格納される。ポリシー３３１ｄには、ログデータに対応する行動を行った社員に設定されているセキュリティ上のポリシーの名前が格納される。行動３３１ｅには、ログデータに対応する行動の内容が格納される。結果３３１ｆには、ログデータに対応する行動を行った結果（例えば、成功、失敗等）が格納される。

次に、別の種類のログデータについて説明する。

図１５は、一実施形態に係るログデータの第２の構成図である。

ログデータ３３２は、ファイルやフォルダに対する操作に関するログデータであり、日時３３２ａと、社員番号３３２ｂと、利用端末３３２ｃと、操作３３２ｄと、操作対象３３２ｅと、属性３３２ｆとのフィールドを含む。日時３３２ａには、ログデータに対応する操作（行動）が発生した日時が格納される。社員番号３３２ｂには、ログデータに対応する操作を行った社員の社員番号が格納される。利用端末３３２ｃには、ログデータに対応する操作に利用したクライアント端末７０の識別番号が格納される。行動３３２ｄには、ログデータに対応する行動の内容が格納される。操作対象３３２ｅには、ログデータに対応する行動の対象（操作対象）を示す情報が格納される。属性３３２ｆには、操作対象についての属性が格納される。属性としては、操作対象が秘密であることを示す「ＳＥＣＲＥＴ」や、操作対象が自由であることを示す「ＲＥＬＥＡＳＥ」等がある。

次に、管理システム２の管理サーバ１０のプロセッサ１３により構成される各部について詳細に説明する。

データ処理部１３ｄは、所定の判定対象期間（例えば、１週間、１か月、３か月等）におけるログデータ（処理対象ログデータ）に基づいて、社員別スコアテーブル２２８を作成する。具体的には、社員別スコアテーブル２２８（エントリなし）を用意し、顧客人事データテーブル２２２の各社員に対応するエントリを追加する。次いで、データ処理部１３ｄは、処理対象ログデータの内容を参照し、処理対象ログデータにおいて、データの持ち出し、禁止行為、整合性アンマッチ、監視フォルダへの操作等についてのログデータがあれば、ログデータに対応する社員のエントリにおける対応するフィールドの値を加算していく集計処理を行う。例えば、ログデータがデータの持ち出しに関するログデータである場合には、データ処理部１３ｄは、ログデータに対応する社員についてのエントリの持ち出し回数２２８ｂの値に１を加算する。また、ログデータにデータの持ち出しがあり、その操作がＮＧであった内容が含まれていれば、データ処理部１３ｄは、エントリの禁止行為の回数２２８ｃの値に１を加算する。

このようにして、判定対象期間における所定期間（集計単位）の全ての処理対象ログデータに対して集計処理を実行することにより、その集計単位における各社員についての各操作についての集計値が集計されることとなる。データ処理部１３ｄは、このような処理を複数の集計単位のそれぞれに行って、それらの値の平均値を社員別スコアテーブル２２８の対応するフィールドに格納する。また、データ処理部１３ｄは、フィールド２２８ｂ〜２２８ｅの値を加算した値を、エントリにおけるスコア２２８ｇに格納する。また、データ処理部１３ｄは、スコア２２８ｇの値が所定の閾値以上である場合には、監視フラグを監視対象とすることを意味する「１」に設定する。

また、データ処理部１３ｄは、社員別スコアテーブル２２８の各社員のスコアに基づいて、各社員のセキュリティ上の操作傾向が、Ｃｈａｏｓ、Ｎｕｔｒａｌ、Ｌａｗのいずれであるかを判定し、顧客人事データテーブル２２２を参照して、部署別に集計することにより、社内・組織傾向テーブル２２４を生成し、また、役職別に集計することにより役職／雇用形態別傾向テーブル２２３を生成する。なお、データ処理部１３ｄは、生成した社内・組織傾向テーブル２２４、または、役職／雇用形態別傾向テーブル２２３に基づいて、部署別の傾向人数や、役職／雇用形態別の傾向人数を示す画面を作成し、セキュリティサーバ６０に表示させるようにしてもよい。

第１解析部１３ａは、ログデータからポリシー毎の複数種類の操作内容毎の所定期間（例えば、１日、１週間）における操作回数の平均値（種類別平均操作回数）を算出し、社員についての複数種類の操作内容についての所定期間における平均の操作回数（ユーザ毎平均操作回数）が、種類別平均操作回数から所定値以上逸脱しているものを検出し、所定値以上逸脱しているものを含むユーザのスコアを加算することにより、各社員のスコア（第１種スコア）を決定する処理（ビヘイビアアノマリ検出型解析処理）を実行する。

具体的には、第１解析部１３ａは、まず、ログデータからポリシー毎の複数種類の操作内容（例えば、印刷−成功と、印刷−失敗と、リムーバブル持ち出し−成功と、リムーバブル持ち出し−失敗と、ＰＣ操作−行動時間内と、ＰＣ操作−行動時間外）毎の所定期間（例えば、１日、１週間）における操作回数の平均値を特定し、これら操作回数の平均値を平均値テーブル２２９（図８参照）のポリシーに対応するエントリの操作内容に対応する各フィールドに格納する。なお、所定期間における平均値を特定するための対象とする期間は、判定対象期間としてもよいし、判定対象期間よりも長い期間としてもよい。

次いで、第１解析部１３ａは、複数のログデータから各社員についての複数種類の操作内容毎の所定期間における操作回数の平均値を算出し、これら操作回数の平均値を社員別集計テーブル２２１（図７参照）の社員に対応するエントリの操作内容に対応する各フィールドに格納する。

次いで、第１解析部１３ａは、社員別集計テーブル２２１の各社員のエントリを取得し、平均値テーブル２２９を参照し、エントリにおける各操作内容について、その平均値と、平均値テーブル２２９の対応する操作内容の平均値との差が所定値以上である場合には、この社員に対するスコアを加算（例えば、所定値、又は差に応じた値を加算）するものとし、全操作内容についての処理が終了した後のスコア（第１種スコア）を、例えば、社員別スコアテーブル２２８のスコア２２８ｇに格納する。

ここで、第１解析部１３ａによるスコアの決定方法によると、類似する働き方（ログデータの出方が近い働き方）をする複数の社員を対象として、種類別平均操作回数を算出するようにすると、より精度よくセキュリティ上のスコアを算出することができる。一方、働き方にばらつきがある、すなわち、日々の行動が大きく異なる複数の社員を対象として、種類別平均操作回数を算出すると、セキュリティ上のスコアの精度が低くなる虞がある。そこで、本実施形態では、第１解析部１３ａによるスコア（第１種スコア）だけでなく、後述する第２解析部１３ｂによるスコア（第２種スコア）を合わせて各社員のスコア（統合スコア）を決定するようにしている。

第２解析部１３ｂは、判定対象期間（対象期間）における複数のログデータについて、重み付けルールテーブル２２５に設定されている注目すべき操作内容（例えば、やってはいけない操作内容）が実行されたことにより、実行された内容に応じた重みスコアを、テンポラリスコアテーブル２２７において社員毎に集計していくことにより、社員毎のスコア（第２種スコア）を決定する処理（重み付け型解析処理）を実行する。なお、重み付けルールテーブル２２５に設定する内容を、顧客ごとに決定することができるので、顧客のセキュリティに対する考え方、運用に合わせて、適切なスコアの集計方法を設定することができる。

第２解析部１３ｂは、予め設定された重み付けルールテーブル２２５に従って、スコアを設定することとなるので、重み付けルールテーブル２２５に登録していない、例えば、未知の要素に対するアクセスに対するスコアリングを行うことができない。これに対して、例えば、第２解析部１３ｂが、不正の可能性の高い社員（例えば、スコアが高い社員）を特定し、特定した社員のログデータから、どの要素にアクセスしているかを分析し、問題があると疑わしい要素についてのエントリを、重み付けルールテーブル２２５に追加するようにしてもよい。

判定部１３ｃは、第１解析部１３ａによって決定された第１種スコアと、第２解析部１３ｂによって決定された第２種スコアとに基づいて、各社員の統合スコアを決定し、統合スコアを統合スコアテーブル２３１の各社員のエントリのスコア２３１ｂに格納する。本実施形態では、判定部１３ｃは、第１種スコアと、第２種スコアとを加算して統合スコアとしているが、本発明はこれに限られず、一方に重み付けを行って加算するようにしてもよい。

次に、管理システム２における処理動作について説明する。

図１６は、一実施形態に係るセキュリティ管理処理のフローチャートである。

ここで、セキュリティ管理処理が開始される前までにおいて、ログ収集サーバ３０は、ログ中継サーバ５０から各種ログデータを受信し、ログＤＢ３２に格納しており、以降においては、例えば、所定時間ごとに、ログ中継サーバ５０からログデータを受信して、ログＤＢ３２に格納する。

まず、管理サーバ１０のデータ処理部１３ｄは、所定の判定対象期間（例えば、１週間、１箇月等）におけるログデータ（処理対象ログデータ）に基づいて、社員別スコアテーブル２２８を作成する（Ｓ１１）。

次いで、第１判定部１３ａは、ビヘイビアアノマリ検出型解析処理を実行することにより、各社員の第１種スコアを決定し、第２判定部１３ｂは、重み付け型解析処理を実行することにより、各社員の第２種スコアを決定し、判定部１３ｃは、第１種スコアと、第２種スコアとに基づいて、各社員の統合スコアを決定し、統合スコアを統合スコアテーブル２３１の各社員のエントリのスコア２３１ｂに格納する（Ｓ１２）。

次いで、判定部１３ｃは、セキュリティサーバ６０からベースラインテーブル６４におけるポリシーの構成を示すポリシー構成ファイル２５０（図１７参照：ポリシー構成情報）を取得し、ポリシー構成ファイル２５０に基づいて、ポリシールールテーブル２３０の各エントリを作成する（Ｓ１３）。この時点では、ポリシールールテーブル２３０のエントリにおけるルール２３０ｂには、値が設定されていない。

ここで、ポリシー構成ファイル２５０について説明する。

図１７は、一実施形態に係るポリシー構成ファイルの構成図である。

ポリシー構成ファイル２５０は、セキュリティサーバ６０で使用されるベースラインテーブル６４に含まれるポリシーの構成を示す情報である。具体的には、ポリシー構成ファイル２５０には、ベースラインテーブル６４に含まれているポリシーの要素（ポリシー要素）、すなわち、一部のエントリを構成する各ポリシー要素（ログ取得レベル、行動傾向、不正行動時のエージェント通知、監視フラグ、ミラーリング）と、各ポリシー要素に設定される複数の設定値との情報が含まれる。このポリシー構成ファイル２５０によると、ポリシー要素にはどのようなものがあり、どのような値が設定されるのかを特定することができる。図１７に示すポリシー構成ファイル２５０では、例えば、ポリシー要素の行動傾向は、Ｌａｗ、Ｎｕｔｒａｌ、Ｃｈａｏｓを設定値としてとることがわかる。

図１６の説明に戻り、判定部１３ｃは、ポリシールールテーブル２３０の各エントリのルール２３０ｂに対してスコアについての閾値を設定することにより、ポリシールールテーブル２３０を完全な状態に作成する（Ｓ１４）。なお、スコアの閾値については、予め決められたアルゴリズムにより決定してもよく、入力部１１を介して管理者からの入力を受け付けるようにしてもよい。

次いで、判定部１３ｃは、ポリシー構成ファイル２５０に基づいてベースラインテーブル２２６を作成する（Ｓ１５）。具体的には判定部１３ｃは、社員番号２２６ａと、スコア２２６ｂと、ポリシー構成ファイル２５０に含まれる各ポリシー要素のフィールド（２２６ｃ〜２２６ｇ）とを含むベースラインテーブル２２６を作成し、各社員についてのエントリを追加する。次いで、判定部１３ｃは、各エントリのスコア２２６ｂに、統合スコアテーブル２３１の各社員のスコア２３１ｂの値（統合スコア）を設定する。次いで、判定部１３ｃは、ポリシールールテーブル２３０を参照して、統合スコアに基づいて、各ポリシー要素の設定内容を決定し、決定した設定内容を、各ポリシー要素のフィールド（２２６ｃ〜２２６ｇ）に格納する。これにより、ベースラインテーブル２２６は、図１３に示すように、各社員に対して、スコアが設定されるとともに、各ポリシー要素に対する設定内容が設定されている状態となる。

次いで、データ処理部１３ｄは、作成されたベースラインテーブル２２６を構築可能な情報（ベースラインテーブル２２６のデータそのものであっても、テーブル内の各フィールドの値のデータであってもよい）をセキュリティサーバ６０にエクスポートする（Ｓ１６）。これにより、この時点におけるベースラインテーブル２２６と同じ状態のベースラインテーブル６４をセキュリティサーバ６０において保持することができるようになる。

次いで、データ処理部１３ｄは、一定時間（次の判定対象期間までの時間）が経過したか否かを判定し（Ｓ１７）、一定期間が経過していない場合（Ｓ１７：ＮＯ）には、処理をステップＳ１７に戻す。一方、一定期間が経過した場合（Ｓ１７：ＹＥＳ）には、次のセキュリティの判定をする時点であることを意味しているので、データ処理部１３ｄは、処理をステップＳ１８に進める。

ステップＳ１８では、第１判定部１３ａは、ビヘイビアアノマリ検出型解析処理を実行して、各社員の第１種スコアを決定し、第２判定部１３ｂは、重み付け型解析処理を実行して、各社員の第２種スコアを決定し、判定部１３ｃは、第１種スコアと、第２種スコアとに基づいて、各社員の統合スコアを決定し、統合スコアを統合スコアテーブル２３１の各社員のエントリのスコア２３１ｂに格納する。

次いで、判定部１３ｃは、ベースラインテーブル２２６の各エントリのスコア２２６ｂに、統合スコアテーブル２３１の各社員のスコア２３１ｂの値（統合スコア）を設定（反映）する（Ｓ１９）。次いで、判定部１３ｃは、ポリシールールテーブル２３０を参照して、各社員について、スコア２３１ｂの統合スコアに基づいて、各ポリシー要素の設定内容を決定し、決定した設定内容を、各ポリシー要素のフィールド（２２６ｃ〜２２６ｇ）に格納する（Ｓ２０）。これにより、ベースラインテーブル２２６は、新たに決定された統合スコアに対応する各ポリシー要素の設定内容に更新されることとなる。

次いで、データ処理部１３ｄは、作成されたベースラインテーブル２２６を構築可能な情報をセキュリティサーバ６０にエクスポートし（Ｓ２２）、処理をステップＳ１８に進める。これにより、この時点におけるベースラインテーブル２２６と同じ内容のベースラインテーブル６４をセキュリティサーバ６０において保持することができる。この結果、セキュリティサーバ６０においては、ベースラインテーブル６４の各ポリシー要素の新たな設定内容に従って、各クライアント端末７０におけるセキュリティ設定を適切に行うことができる。このため、セキュリティサーバ６０側で、セキュリティサーバ６０の管理者が、セキュリティ設定等を変更する処理等を行わずに済む。

図１８は、一実施形態に係るセキュリティ情報表示処理のフローチャートである。

セキュリティ情報表示処理は、例えば、管理サーバ１０のデータ処理部１３ｄがセキュリティサーバ６０からセキュリティ情報画面の表示要求を受信した場合に実行される。

データ処理部１３ｄがセキュリティ情報画面の表示要求を受信すると、データ処理部１３ｄは、統合スコアテーブル２３１を参照し、所定の閾値以上のスコアの社員を要監視対象者として特定する（Ｓ３１）。次いで、データ処理部１３ｄは、セキュリティサーバ６０から指示されている要監視対象者を特定する（Ｓ３２）。

次いで、データ処理部１３ｄは、社員別スコアテーブル２２８のスコア２２８ｇのスコアに基づいて、各社員の順位をソートし、その結果から上位者（例えば、上位５０名）について、順位（ランク）と、スコアと、社員番号とを含む上位者一覧表を作成するとともに、社員別スコアテーブル２２８の監視フラグ２２８ｆの監視フラグが「１」の社員を抽出し、抽出された社員について、順位（ランク）と、スコアと、社員番号とを含む監視対象者一覧表を作成し、これらを含むセキュリティ情報画面２５０（図１９参照）をセキュリティサーバ６０に送信する（Ｓ３３）。これにより、セキュリティサーバ６０においては、セキュリティ情報画面２５０が表示され、管理者は、要監視対象者のスコアや、スコアが上位の社員を特定することができる。

次に、セキュリティ情報画面について説明する。

図１９は、一実施形態に係るセキュリティ情報画面を説明する図である。

セキュリティ情報画面１００は、スコアが上位者一覧表を表示する上位者一覧表表示領域１１０と、要監視対象者の一覧表を表示するよう監視対象者一覧表表示領域１２０とを含む。上位者一覧表表示領域１１０の一覧表は、データ処理部１３ｄが、社員別スコアテーブル２２８のスコア２２８ｇのスコアに基づいて、各社員の順位をソートし、その結果から上位者（例えば、上位５０名）について、順位（ランク）と、スコアと、社員番号とを含ませることにより作成される。

監視者一覧表表示領域１２０の要監視者一覧表は、データ処理部１３ｄが、社員別スコアテーブル２２８の監視フラグ２２８ｆの監視フラグが「１」の社員を抽出し、抽出された社員について、順位（ランク）と、スコアと、社員番号とを含ませることにより作成される。

本実施形態では、上位者一覧表又は監視対象者一覧表において、社員番号を押下されると、データ処理部１３ｄは、押下された社員番号に対応する社員に関する個人詳細情報を含む個人詳細ウインドウ１５０を表示する。個人詳細ウインドウ１５０には、例えば、その社員の個人情報、設定されているポリシーに関する情報、その社員の操作に関するログの一覧等が表示される。このセキュリティ情報画面１００によると、スコア上位者や、要監視対象者を容易に把握することができ、個人詳細ウインドウ１５０を表示させることにより、各社員の詳細な情報を把握することができる。

以上説明したように、本実施形態によると、ビヘイビアアノマリ検出型解析処理を実行して決定した第１種スコアと、重み付け型解析処理を実行して得られた第２種スコアとに基づいて、社員のセキュリティ上のリスクを示す統合スコアを決定するようにしたので、社員のセキュリティ上の不正に関する評価を適切にできる。

なお、本発明は、上述の実施形態に限定されるものではなく、本発明の趣旨を逸脱しない範囲で、適宜変形して実施することが可能である。

例えば、上記実施形態では、管理システム２において、管理サーバ１０と、ＤＢサーバ２０と、ログ収集サーバ３０とを別体として構成するようにしていたが、これらのいずれか複数を同一の装置上で構成するようにしてもよい。例えば、管理サーバ１０内に、ＤＢサーバ２０の機能を含めるようにしてもよい。また、ＤＢサーバ２０で管理しているテーブル等の情報の一部を別の装置、管理サーバ１０やログ収集サーバ３０で管理するようにしてもよい。

また、上記実施形態において、プロセッサが行っていた処理の一部又は全部を、ハードウェア回路で行うようにしてもよい。また、上記実施形態におけるプログラムは、プログラムソースからインストールされてよい。プログラムソースは、プログラム配布サーバ又は記憶メディア（例えば可搬型且つ不揮発性の記憶メディア）であってもよい。

１…計算機システム、２…管理システム、３…顧客システム、１０…管理サーバ、１１…入力部、１２…記憶部、１３…プロセッサ、１３ａ…第１解析部、１３ｂ…第２解析部、１３ｃ…判定部、１３ｄ…データ処理部、２０…ＤＢサーバ、３０…ログ収集サーバ、４０…ネットワーク、５０…ログ中継サーバ、６０…セキュリティサーバ、７０…クライアント端末

Claims (8)

1. 複数のクライアント端末を有するユーザシステムにおけるセキュリティを管理するセキュリティ管理サーバであって、
   前記クライアント端末を利用した各ユーザの複数種類のログを取得するログ取得部と、
   前記複数種類のログに基づいて、各ユーザについての対象期間内の所定期間における複数種類の操作のそれぞれの操作の平均の操作回数であるユーザ毎平均操作回数を集計するとともに、前記所定期間における前記ユーザに設定されたセキュリティポリシーに対応する複数のユーザについての複数種類の操作のそれぞれの平均の操作回数である種類別平均操作回数を算出し、前記種類別平均操作回数と、前記ユーザ毎平均操作回数とに基づいて、各ユーザのセキュリティ上の不正についての第１種スコアを解析する第１種スコア解析部と、
   前記複数種類のログに基づいて、前記対象期間における不正を判断するための所定のキーワードの出現回数に基づいて各ユーザのセキュリティ上の不正についての第２種スコアを解析する第２種スコア解析部と、
   前記各ユーザについての第１種スコアと、第２種スコアとに基づいて、各ユーザについてのセキュリティ上の不正に関するスコアを決定するスコア統合部と、
   前記決定されたスコアをユーザに対応付けて記憶する記憶制御部と
   を備えるセキュリティ管理サーバ
2. 前記ユーザに対応付けたスコアに関する情報を出力する情報出力部を
   さらに備える請求項１に記載のセキュリティ管理サーバ。
3. 前記スコアに基づいて、前記ユーザシステムにおけるセキュリティを管理するセキュリティサーバにおけるセキュリティポリシーに含まれるポリシー要素の設定を決定するポリシー要素設定決定部をさらに有する
   請求項１又は請求項２に記載のセキュリティ管理サーバ。
4. 決定した前記セキュリティポリシーに含まれるポリシー要素の設定を前記セキュリティサーバに送信するポリシー要素設定送信部をさらに有する
   請求項３に記載のセキュリティ管理サーバ。
5. 前記セキュリティポリシーに含まれるポリシー要素の設定を決定するためのスコアに関する閾値情報を記憶するポリシールール記憶制御部をさらに有し、
   前記ポリシー要素設定決定部は、前記閾値情報に基づいてポリシー要素の設定を決定する
   請求項３又は請求項４に記載のセキュリティ管理サーバ。
6. 前記スコアに関する閾値情報の入力を受け付ける閾値情報受付部をさらに有する
   請求項５に記載のセキュリティ管理サーバ。
7. 複数のクライアント端末を有するユーザシステムにおけるセキュリティを管理するセキュリティ管理サーバによるセキュリティ管理方法であって、
   前記クライアント端末を利用した各ユーザの複数種類のログであって、複数の装置に管理されている複数種類のログを取得し、
   前記複数種類のログに基づいて、各ユーザについての対象期間内の所定期間における複数種類の操作のそれぞれの操作の平均の操作回数であるユーザ毎平均操作回数を集計するとともに、前記所定期間における前記ユーザに設定されたセキュリティポリシーに対応する複数のユーザについての複数種類の操作のそれぞれの平均の操作回数である種類別平均操作回数を算出し、前記種類別平均操作回数と、前記ユーザ毎平均操作回数とに基づいて、各ユーザのセキュリティ上の不正についての第１種スコアを解析し、
   前記複数種類のログに基づいて、前記対象期間における不正を判断するための所定のキーワードの出現回数に基づいて各ユーザのセキュリティ上の不正についての第２種スコアを解析し、
   前記各ユーザについての第１種スコアと、第２種スコアとに基づいて、各ユーザについてのセキュリティ上の不正に関するスコアを決定し、
   前記決定されたスコアをユーザに対応付けて記憶部に記憶する
   セキュリティ管理方法。
8. 複数のクライアント端末を有するユーザシステムにおけるセキュリティを管理するセキュリティ管理サーバを構成するコンピュータに実行させるためのセキュリティ管理プログラムであって、
   前記コンピュータを、
   前記クライアント端末を利用した各ユーザの複数種類のログであって、複数の装置に管理されている複数種類のログを取得するログ取得部と、
   前記複数種類のログに基づいて、各ユーザについての対象期間内の所定期間における複数種類の操作のそれぞれの操作の平均の操作回数であるユーザ毎平均操作回数を集計するとともに、前記所定期間における前記ユーザに設定されたセキュリティポリシーに対応する複数のユーザについての複数種類の操作のそれぞれの平均の操作回数である種類別平均操作回数を算出し、前記種類別平均操作回数と、前記ユーザ毎平均操作回数とに基づいて、各ユーザのセキュリティ上の不正についての第１種スコアを解析する第１種スコア解析部と、
   前記複数種類のログに基づいて、前記対象期間における不正を判断するための所定のキーワードの出現回数に基づいて各ユーザのセキュリティ上の不正についての第２種スコアを解析する第２種スコア解析部と、
   前記各ユーザについての第１種スコアと、第２種スコアとに基づいて、各ユーザについてのセキュリティ上の不正に関するスコアを決定するスコア統合部と、
   前記決定されたスコアをユーザに対応付けて記憶する記憶制御部と
   して機能させるセキュリティ管理プログラム。
   
   
   
   
   

Images