JP6992593B2

JP6992593B2 - ファイル状態確認装置、ファイル状態確認方法、及びファイル状態確認プログラム

Info

Publication number: JP6992593B2
Application number: JP2018032811A
Authority: JP
Inventors: 博崇小久保; 孝一伊藤; 宏津田; 悟鳥居
Original assignee: Fujitsu Ltd
Current assignee: Fujitsu Ltd
Priority date: 2018-02-27
Filing date: 2018-02-27
Publication date: 2022-01-13
Anticipated expiration: 2038-02-27
Also published as: JP2019148953A

Description

本件は、ファイル状態確認装置、ファイル状態確認方法、及びファイル状態確認プログラムに関する。

機密情報を含む文書を適切に管理する重要性に鑑み、文書管理に関する種々の技術が提案されている。例えば、少なくとも１つの端末とサーバとを含む企業文書管理システムが知られている（例えば、特許文献１参照）。この企業文書管理システムは、企業ネットワーク内の文書を管理し、機密情報の漏洩を防止する。

特表２００８－５４１２７３号公報

ところで、企業文書管理システムを管理する管理者は企業文書管理システムと併せて上述した端末を管理することがある。管理者は端末を利用する従業員が離職すると、機密情報を含む電子ファイル（以下、単にファイルという。）が端末内に残存しないように、その端末を初期の状態に戻す操作を行う場合がある。

しかしながら、管理者が上記操作を失念したままその端末を管理し忘れて放置されると、管理されていない端末内にファイルが残存し、仮にそのファイルに対するアクセスが制限されていないと、どの端末からもそのファイルを閲覧できる公開状態になっているおそれがある。このように、管理されていない端末に存在し、意図せずに公開状態になっているファイルは発見し難いという問題がある。

そこで、１つの側面では、ファイルの管理状態を確認できるファイル状態確認装置、ファイル状態確認方法、及びファイル状態確認プログラムを提供することを目的とする。

１つの実施態様では、ファイル状態確認装置は、異なる複数の第１端末装置の各々が生成したＩＰアドレスに基づいて試行した第２端末装置に対するアクセスが成功した際に前記第１端末装置の各々が第２端末装置から収集したファイルの識別情報を前記第１端末装置から取得する取得部と、前記第１端末装置間で共通する識別情報の数に基づいて、前記共通する識別情報を有するファイルの機密性を推定する処理部と、を備え、前記アクセスが成功した際に行われる動作は、前記第１端末装置の各々が前記ファイルの識別情報を収集する動作である、ことを特徴とする。

ファイルの管理状態を確認することができる。

図１は管理システムの一例を説明するための図である。図２は管理サーバのハードウェア構成の一例である。図３は管理端末及び管理サーバのブロック図の一例である。図４は管理端末の動作の一例を示すフローチャートである。図５は管理サーバの動作の一例を示すフローチャートである。図６は処理対象情報の一例である。図７は第１推定処理の動作の一例を示すフローチャートである。図８は機密漏洩確認画面の一例である。図９（ａ）は管理サーバの動作の一部を例示するフローチャートである。図９（ｂ）は第２推定処理の一例を示すフローチャートである。図１０はアクセス制限推定画面の一例である。図１１（ａ）は管理サーバの動作の一部を例示するフローチャートである。図１１（ｂ）は分布判別処理の一例を示すフローチャートである。図１２は機密ファイル分布画面の一例である。

以下、本件を実施するための形態について図面を参照して説明する。

（第１実施形態）
図１は管理システムＳの一例を説明するための図である。管理システムＳは複数の端末装置１１０，１２０とファイル状態確認装置としての管理サーバ２００とを含んでいる。複数の端末装置１１０，１２０と管理サーバ２００は通信ネットワークＮＷによって互いに接続されている。通信ネットワークＮＷとしては、例えばLocal Area Network（ＬＡＮ）などがある。通信ネットワークＮＷの通信形式は特に限定されず、有線通信であってもよいし、無線通信であってもよい。複数の端末装置１１０，１２０はいくつかの部署に分けられて設置されている。本実施形態では、複数の端末装置１１０，１２０が営業部、開発部、研究部、及び総務部の４つの部署に分けられて設置されている。例えば、営業部には１台の端末装置１１０と１台の端末装置１２０が設置されている。総務部には２台の端末装置１１０が設置されている。尚、端末装置１１０，１２０には例えばPersonal Computer（ＰＣ）が利用される。

端末装置１１０は管理者によって管理されている。以下、端末装置１１０を管理端末１１０と呼ぶ。一方、端末装置１２０は管理者によって管理されずに放置されている。以下、端末装置１２０を非管理端末１２０と呼ぶ。尚、管理者としては、例えば管理システムＳを管理する者などが該当する。

管理端末１１０は管理者によって管理されているため、管理者によって定期的又は非定期的に保守作業が行われる。これにより、管理端末１１０には種々のアプリケーションプログラム（以下、単にアプリという。）がインストールされる。例えば、管理端末１１０にはServer Message Block（ＳＭＢ）といったファイル共有アクセスを実行するアプリ（以下、エージェントという。）がインストールされる。エージェントの詳細については後述する。一方、非管理端末１２０は管理者によって管理されていないため、保守作業が行われない。この結果、非管理端末１２０にはエージェントがインストールされていない。

このように、管理システムＳにはエージェントがインストールされた管理端末１１０とエージェントがインストールされていない非管理端末１２０が混在する。図１では、管理端末１１０と非管理端末１２０の区別を容易にするために、管理端末１１０には目印「○」を付し、非管理端末１２０には目印「×」を付している。

エージェントがインストールされた各管理端末１１０は通信ネットワークＮＷを介して同じ部署に設置された別の管理端末１１０や非管理端末１２０にアクセスする。また、エージェントがインストールされた各管理端末１１０は通信ネットワークＮＷを介して別の部署に設置された管理端末１１０や非管理端末１２０にアクセスする。そして、管理端末１１０はエージェントによりアクセスが成功した非管理端末１２０などが保有するファイルの識別情報（以下、ファイル識別情報という。）を収集する。特に、管理端末１１０はエージェントにより機密情報を含むファイルのファイル名やハッシュ値、ファジーハッシュ値の少なくとも１つを識別情報として収集する。ファジーハッシュ値は２つのファイルの内容が大きく異なった場合にファイルを識別することができ、さほど異ならない場合にはファイルが同じであると識別する値である。各管理端末１１０は収集したファイル識別情報をその管理端末１１０自身に関する情報やファイル共有アクセスが成功したInternet Protocol（ＩＰ）アドレスなどとともに処理対象情報として管理サーバ２００に向けて送信する。

尚、管理端末１１０はファイルが機密情報を含んでいるか否かに関し公知技術を使用して判断する。かかる公知技術としては、例えばファイルに機密表示文字列（例えば「機密」や「社外秘」など）を埋め込み、この機密表示文字列をOptical Character Recognition（ＯＣＲ）で読み取る技術がある。例えば、ファイルのヘッダ部に機密情報であることを示すデータを埋め込み、当該データを検出する技術であってもよい。これにより、管理端末１１０や非管理端末１２０に機密情報を含むファイルだけでなく、機密情報を含まないファイルが混在していても、機密情報を含むファイルを特定することができる。

管理サーバ２００は各管理端末１１０から送信された処理対象情報を受信する。これにより、管理サーバ２００は処理対象情報を取得する。管理サーバ２００は処理対象情報を受信すると、ファイル共有アクセスが成功したＩＰアドレスに基づいて管理端末１１０や非管理端末１２０が設置された部署を判別し、判別した部署（以下、アクセス成功部署という。）を含めた処理対象情報を記憶する。管理サーバ２００は処理対象情報を記憶すると、定期的に又は非定期的に各種の処理を実行する。例えば、管理サーバ２００は処理対象情報に基づいて機密情報が漏洩する可能性の高さを推定する。その他、管理サーバ２００は処理対象情報に基づいて機密情報を含むファイルの分布を判別したり、ファイルに対するアクセス制限の状態を推定したりする。尚、管理サーバ２００が実行する処理の詳細については後述する。

次に、図２を参照して、管理サーバ２００の詳細を説明する。

図２は管理サーバ２００のハードウェア構成の一例である。尚、上述した管理端末１１０及び非管理端末１２０については基本的に管理サーバ２００と同様のハードウェア構成であるため、説明を省略する。図２に示すように、管理サーバ２００は、少なくともハードウェアプロセッサとしてのCentral Processing Unit（ＣＰＵ）２００Ａ、Random Access Memory（ＲＡＭ）２００Ｂ、Read Only Memory（ＲＯＭ）２００Ｃ及びネットワークＩ／Ｆ（インタフェース）２００Ｄを含んでいる。管理サーバ２００は、必要に応じて、Hard Disk Drive（ＨＤＤ）２００Ｅ、入力Ｉ／Ｆ２００Ｆ、出力Ｉ／Ｆ２００Ｇ、入出力Ｉ／Ｆ２００Ｈ、ドライブ装置２００Ｉの少なくとも１つを含んでいてもよい。ＣＰＵ２００Ａからドライブ装置２００Ｉまでは、内部バス２００Ｊによって互いに接続されている。すなわち、管理サーバ２００はコンピュータによって実現することができる。尚、ＣＰＵ２００Ａに代えてMicro Processing Unit（ＭＰＵ）をハードウェアプロセッサとして利用してもよい。

入力Ｉ／Ｆ２００Ｆには、入力装置７１０が接続される。入力装置７１０としては、例えばキーボードやマウスなどがある。出力Ｉ／Ｆ２００Ｇには、表示装置７２０が接続される。表示装置７２０としては、例えば液晶ディスプレイがある。入出力Ｉ／Ｆ２００Ｈには、半導体メモリ７３０が接続される。半導体メモリ７３０としては、例えばUniversal Serial Bus（ＵＳＢ）メモリやフラッシュメモリなどがある。入出力Ｉ／Ｆ２００Ｈは、半導体メモリ７３０に記憶されたプログラムやデータを読み取る。入力Ｉ／Ｆ２００Ｆ及び入出力Ｉ／Ｆ２００Ｈは、例えばＵＳＢポートを備えている。出力Ｉ／Ｆ２００Ｇは、例えばディスプレイポートを備えている。

ドライブ装置２００Ｉには、可搬型記録媒体７４０が挿入される。可搬型記録媒体７４０としては、例えばCompact Disc（ＣＤ）－ＲＯＭ、Digital Versatile Disc（ＤＶＤ）といったリムーバブルディスクがある。ドライブ装置２００Ｉは、可搬型記録媒体７４０に記録されたプログラムやデータを読み込む。ネットワークＩ／Ｆ２００Ｄは、例えばＬＡＮポートを備えている。ネットワークＩ／Ｆ２００Ｄは上述した通信ネットワークＮＷと接続される。

上述したＲＡＭ２００Ｂには、ＲＯＭ２００ＣやＨＤＤ２００Ｅに記憶されたプログラムがＣＰＵ２００Ａによって格納される。ＲＡＭ２００Ｂには、可搬型記録媒体７４０に記録されたプログラムがＣＰＵ２００Ａによって格納される。格納されたプログラムをＣＰＵ２００Ａが実行することにより、ＣＰＵ２００Ａは後述する各種の機能を実現し、また、後述する各種の処理を実行する。尚、プログラムは後述するフローチャートに応じたものとすればよい。

次に、図３を参照して、管理端末１１０、非管理端末１２０、及び管理サーバ２００の機能について説明する。

図３は管理端末１１０及び管理サーバ２００のブロック図の一例である。特に、図３では、管理端末１１０及び管理サーバ２００が備える機能の要部が示されている。尚、非管理端末１２０は基本的に管理端末１１０と同様の機能を有するためで説明を省略する。

まず、管理端末１１０について説明する。管理端末１１０は記憶部１０１、入力部１０２、表示部１０３、通信部１０４、及び制御部１０５を含んでいる。尚、記憶部１０１は例えば上述したＨＤＤ２００Ｅによって実現することができる。入力部１０２は例えば上述したキーボードなどによって実現することができる。表示部１０３は例えば上述した液晶ディスプレイによって実現することができる。通信部１０４は例えば上述したネットワークＩ／Ｆ２００Ｄによって実現することができる。制御部１０５は例えば上述したＣＰＵ２００Ａ及びＲＡＭ２００Ｂによって実現することができる。

記憶部１０１は各種のプログラムやファイルを記憶する。プログラムとしては、上述したエージェントのほかOperating System（ＯＳ）などがある。ファイルとしては、機密情報を含むファイルや機密情報を含まないファイルなどがある。入力部１０２は管理端末１１０の利用者が行った操作に応じた入力を受け付けて制御部１０５に出力する。表示部１０３は制御部１０５から出力された映像信号に基づいて、映像信号に応じた各種の画面を表示する。通信部１０４は非管理端末１２０が保有するファイルのファイル識別情報を受信したり、制御部１０５から出力された処理対象情報を送信したりする。制御部１０５は管理端末１１０の動作全体を制御する。例えば、制御部１０５は入力部１０２から出力された入力に基づいて各種の映像信号を生成して表示部１０３に出力する。また、制御部１０５は記憶部１０１から定期的にエージェントを取得して実行する。その他、制御部１０５は種々の処理を実行するが、処理の詳細については後述する。

管理サーバ２００は通信部２０１、処理部２０２、及び情報記憶部２０３を含んでいる。尚、通信部２０１は例えば上述したネットワークＩ／Ｆ２００Ｄによって実現することができる。処理部２０２は例えば上述したＣＰＵ２００Ａ及びＲＡＭ２００Ｂによって実現することができる。情報記憶部２０３は例えば上述したＨＤＤ２００Ｅによって実現することができる。

通信部２０１は、取得部の一例として、管理端末１１０から送信されたファイル識別情報を含む処理対象情報を受信する。通信部２０１は受信した処理対象情報を処理部２０２に出力する。処理部２０２は通信部２０１から出力された処理対象情報を受け付け、受け付けた処理対象情報にアクセス成功部署を含めて情報記憶部２０３に登録する。また、処理部２０２は情報記憶部２０３から処理対象情報を取得し、種々の処理を実行する。尚、処理部２０２が実行する処理の詳細については後述する。

続いて、図４から図６を参照して、管理システムＳの動作について説明する。図４は管理端末１１０の動作の一例を示すフローチャートである。より詳しくは、記憶部１０１が記憶するエージェントを制御部１０５が実行した場合の動作を示すフローチャートである。図５は管理サーバ２００の動作の一例を示すフローチャートである。より詳しくは、情報記憶部２０３が記憶するプログラムを処理部２０２が実行した場合の動作を示すフローチャートである。図６は処理対象情報の一例である。

尚、制御部１０５は図４に示すフローチャートの処理を定期的に実行する。例えば、制御部１０５は予め定められた設定日又は設定時刻に基づいて処理を実行する。また、処理部２０２は図６に示すフローチャートの処理を定期的に実行する。例えば、処理部２０２は予め定められた設定日又は設定時刻に基づいて処理を実行する。

まず、管理端末１１０の動作について説明する。管理端末１１０の制御部１０５は例えば現在時刻と設定時刻との一致を検出すると、図４に示すように、ＩＰアドレスをランダムに生成する（ステップＳ１０１）。より詳しくは、制御部１０５は管理システムＳに含まれる管理端末１１０及び非管理端末１２０にそれぞれ割り当てられた複数のＩＰアドレスの中から１つのＩＰアドレスをランダムに生成する。尚、制御部１０５はＩＰアドレスを生成する際、管理端末１１０に割り当てられたＩＰアドレスを除いた残りのＩＰアドレスの中から１つのＩＰアドレスをランダムに生成することが望ましい。これにより、非管理端末１２０に割り当てられたＩＰアドレスを特定することができる。

ステップＳ１０１の処理が完了すると、制御部１０５は生成したＩＰアドレスに対してファイル共有アクセスを実行し（ステップＳ１０２）、ファイル共有アクセスが成功したか否かを判断する（ステップＳ１０３）。制御部１０５はファイル共有アクセスが失敗した場合（ステップＳ１０３：ＮＯ）、ステップＳ１０１の処理に戻る。したがって、制御部１０５は改めて別のＩＰアドレスをランダムに生成して、ファイル共有アクセスを実行する。ＩＰアドレスは部署毎に固定のセグメントを持つので、固定のセグメントを除いた残りのセグメントを乱数等に基づいてランダムに生成することにより、アクセス先の部署のＩＰアドレスを効率良く生成できる。

一方、制御部１０５はファイル共有アクセスが成功した場合（ステップＳ１０３：ＹＥＳ）、ファイル識別情報を収集する（ステップＳ１０４）。より詳しくは、制御部１０５はファイル共有アクセスが成功したＩＰアドレス（以下、ファイル共有アクセスＩＰアドレスという。）の管理端末１１０又は非管理端末１２０が記憶するファイルのファイル識別情報を収集する。特に、制御部１０５は上述した公知技術を利用して機密情報を含むファイルのファイル識別情報を収集する。ステップＳ１０４の処理が完了すると、制御部１０５は処理対象情報を通信部１０４に出力する（ステップＳ１０５）。これにより、通信部１０４は処理対象情報を管理サーバ２００に向けて送信する。

ここで、処理対象情報はステップＳ１０４の処理で収集したファイル識別情報のほか、ファイル共有アクセスＩＰアドレス、その管理端末１１０が所属する部署（以下、エージェント所属部署という。）、その管理端末１１０に割り当てられたＩＰアドレス（以下、エージェントＩＰアドレスという。）を含んでいる。すなわち、制御部１０５はエージェント所属部署、エージェントＩＰアドレス、ファイル共有アクセスＩＰアドレス、及びファイル識別情報を含む処理対象情報を管理サーバ２００に送信する。このように、どの管理端末１１０も定期的に処理対象情報を管理サーバ２００に送信する。

次に、管理サーバ２００の動作について説明する。管理サーバ２００の通信部２０１は管理端末１１０から送信された処理対象情報を受信すると、受信した処理対象情報を処理部２０２に出力する。これにより、図５に示すように、処理部２０２は処理対象情報を受け付ける（ステップＳ２０１）。ステップＳ２０１の処理が完了すると、処理部２０２は処理対象情報に基づいて、ファイル識別情報が付与されたファイルを記憶する管理端末１１０又は非管理端末１２０の所属部署を判別する（ステップＳ２０２）。

ここで、図６に示すように、処理部２０２はアクセス成功部署を除いた処理対象情報を受け付けるため、例えば処理対象情報に含まれるファイル共有アクセス成功ＩＰアドレスを利用して所属部署を判別する。より詳しくは、ファイル共有アクセス成功ＩＰアドレスにおける第２セグメントには部署を判別できるセグメント「１０」やセグメント「２０」などが出現するため、処理部２０２は第２セグメントを利用して所属部署を判別する。ここで、エージェント所属部署とエージェントＩＰアドレスとの対応関係を参照すると、営業部とセグメント「１０」が関連付けられている。開発部、研究部、及び総務部は、それぞれセグメント「２０」、「３０」、及び「４０」が関連付けられている。したがって、処理部２０２はこのような対応関係を利用して第２セグメントが特定する部署を判別する。尚、図６において、ファイル共有アクセス成功ＩＰアドレス「１２３．２０．０．５」は開発部に設置された非管理端末１２０のＩＰアドレスを表している。ファイル共有アクセス成功ＩＰアドレス「１２３．１０．０．８」は営業部に設置された非管理端末１２０のＩＰアドレスを表している。ファイル共有アクセス成功ＩＰアドレス「１２３．３０．０．９」は研究部に設置された非管理端末１２０のＩＰアドレスを表している。

ステップＳ２０２の処理が完了すると、次いで、処理部２０２はアクセス成功部署を含む処理対象情報を情報記憶部２０３に登録する（ステップＳ２０３）。すなわち、処理部２０２は図６を参照して説明した処理対象情報を情報記憶部２０３に登録する。ステップＳ２０３の処理が完了すると、処理部２０２は第１推定処理を実行する（ステップＳ２０４）。第１推定処理は、ファイルが意図せずに公開されている公開状態になっている可能性を推定する処理である。特に、第１推定処理は、ファイルが公開されていることにより、そのファイルから機密が漏洩する可能性を推定する処理である。尚、第１推定処理については以下に詳述する。

図７は第１推定処理の動作の一例を示すフローチャートである。図８は機密漏洩確認画面の一例である。上述したステップＳ２０３の処理が完了すると、処理部２０２は情報記憶部２０３からファイル識別情報を取得する（ステップＳ３０１）。より詳しくは、処理部２０２はエージェント所属部署のいずれか１つを指定し、指定したエージェント所属と関連付けられたファイル識別情報を取得する。次に、処理部２０２は先に指定したエージェント所属と異なる別のいずれか１つを指定し、指定した別のエージェント所属と関連付けられたファイル識別情報を取得する。例えば、図６に示す処理対象情報において、処理部２０２が最初にエージェント所属部署として「開発部」を指定した場合、処理部２０２は４つのファイル識別情報「製品設計図」、「開発進捗管理」、「製品企画書」、及び「研究レポート」を取得する。次に、処理部２０２がエージェント所属部署として「総務部」を指定した場合、処理部２０２は５つのファイル識別情報「製品設計図」、「開発進捗管理」、「製品企画書」、「顧客リスト」、及び「クレーム対応事例」を取得する。

ステップＳ３０１の処理が完了すると、次いで、処理部２０２は共通するファイル識別情報の種類数ＣＮＴ_ＡＢを計数する（ステップＳ３０２）。ここで、Ａは先に指定したエージェント所属を表し、Ｂは別のエージェント所属を表している。上述したように、処理部２０２は異なるエージェント部署に基づいて４つのファイル識別情報「製品設計図」、「開発進捗管理」、「製品企画書」、及び「研究レポート」と５つのファイル識別情報「製品設計図」、「開発進捗管理」、「製品企画書」、「顧客リスト」、及び「クレーム対応事例」を取得した場合、共通するファイル識別情報の種類数ＣＮＴ_ＡＢとして種類数ＣＮＴ_ＡＢ「３」を計数する。すなわち、処理部２０２は種類数ＣＮＴ_ＡＢによりファイルの共有状況を判定している。

ステップＳ３０２の処理が完了すると、次いで、処理部２０２は種類数ＣＮＴ_ＡＢが第１判定閾値θ_１以上であるか否かを判断する（ステップＳ３０３）。処理部２０２は種類数ＣＮＴ_ＡＢが第１判定閾値θ_１以上であると判断した場合（ステップＳ３０３：ＹＥＳ）、機密漏洩リスクが低いと推定する（ステップＳ３０４）。例えば、第１判定閾値としてθ_１「３」が設定されている場合に、処理部２０２がステップＳ３０２の処理で種類数ＣＮＴ_ＡＢ「３」を計数すると、開発部と総務部は日常的にファイルを共有していると判定し、意図しない公開が起きている可能性は低く、部署間以外に機密が漏洩するリスクが低いと推定する。

一方、処理部２０２は種類数ＣＮＴ_ＡＢが第１判定閾値θ_１未満であると判断した場合（ステップＳ３０３：ＮＯ）、次いで、処理部２０２は種類数ＣＮＴ_ＡＢが第１判定閾値θ_１より小さな第２判定閾値θ_２以上であるか否かを判断する（ステップＳ３０５）。処理部２０２は種類数ＣＮＴ_ＡＢが第２判定閾値θ_２以上であると判断した場合（ステップＳ３０５：ＹＥＳ）、機密漏洩リスクがあると推定する（ステップＳ３０６）。

例えば、ステップＳ３０１の処理で、処理部２０２が営業部と総務部を指定した場合、ファイル識別情報「顧客リスト」及び「クレーム対応事例」が共通するため、ステップＳ３０２の処理で、処理部２０２は共通するファイル識別情報の種類数ＣＮＴ_ＡＢとして種類数ＣＮＴ_ＡＢ「２」を計数する。したがって、第２判定閾値としてθ_２「２」が設定されている場合に、処理部２０２がステップＳ３０２の処理で種類数ＣＮＴ_ＡＢ「２」を計数すると、営業部と総務部がファイルを共有することは比較的珍しいケースであると判定し、意図しない公開が起きている可能性があり、部署間以外に機密が漏洩するリスクがあると推定する。

一方、処理部２０２は種類数ＣＮＴ_ＡＢが第２判定閾値θ_２未満であると判断した場合（ステップＳ３０５：ＮＯ）、機密漏洩リスクが高いと推定する（ステップＳ３０７）。例えば、ステップＳ３０１の処理で、処理部２０２が研究部と開発部を指定した場合、ファイル識別情報「研究レポート」が共通するため、ステップＳ３０２の処理で、処理部２０２は共通するファイル識別情報の種類数ＣＮＴ_ＡＢとして種類数ＣＮＴ_ＡＢ「１」を計数する。したがって、第２判定閾値としてθ_２「２」が設定されている場合に、処理部２０２がステップＳ３０２の処理で種類数ＣＮＴ_ＡＢ「１」を計数すると、研究部と開発部がファイルを共有することはめったにないと判定し、意図しない公開が起きている可能性が高く、部署間以外に機密が漏洩するリスクが高いと推定する。

処理部２０２はステップＳ３０１からＳ３０７までの処理を繰り返し、各部署の管理端末１１０や非管理端末１２０が有するファイルの機密漏洩リスクの可能性を推定し終えると、図８に示すように、機密漏洩確認画面を表示する（ステップＳ３０８）。機密漏洩確認画面により、機密漏洩リスクの高さ、ファイルを共有する部署名、及びファイル識別情報の関係性を視認することができる。尚、処理部２０２はステップＳ３０１からＳ３０７までの処理を実行してファイルが有する機密が漏洩するリスクを分類するまでに留め、ステップＳ３０８の処理を実行しなくてもよい。

以上、第１実施形態によれば、管理サーバ２００は通信部２０１と処理部２０２とを備えている。通信部２０１は異なる複数の管理端末１１０の各々が生成したＩＰアドレスに基づいて試行した非管理端末１２０に対するアクセスが成功した際に管理端末１１０の各々が非管理端末１２０から収集したファイル識別情報を管理端末１１０から取得する。そして、処理部２０２は管理端末１１０間で共通する識別情報の種類数に基づいて、共通する識別情報を有するファイルの機密性を推定する。これにより、ファイルの管理状態を確認することができる。特に、管理者などの管理下におかれていない非管理端末１２０に機密情報のファイルが存在する場合においても、そのファイルを発見し、そのファイルの公開状態を確認することができる。

（第２実施形態）
続いて、図９及び図１０を参照して、本件の第２実施形態について説明する。図９（ａ）は管理サーバ２００の動作の一部を例示するフローチャートである。図９（ｂ）は第２推定処理の一例を示すフローチャートである。図１０はアクセス制限推定画面の一例である。第１実施形態では、図５を参照して説明したように、処理部２０２は、ステップＳ２０３の処理を実行した後、第１推定処理を実行したが、第２実施形態では、図９（ａ）に示すように、第１推定処理に代えて第２推定処理を実行する（ステップＳ２０５）。第２推定処理は、ファイルに対するアクセス制限を推定する処理である。より詳しくは、どの部署がファイルにアクセスでき、どの部署がファイルにアクセスできないのかを推定する処理である。例えば、第２推定処理をファイルに対するアクセス制御情報の設定状況を推定する処理と言い換えてもよい。尚、第２推定処理については以下に詳述する。

上述したステップＳ２０３の処理が完了すると、処理部２０２は情報記憶部２０３からエージェント所属部署とファイル識別情報とを取得する（ステップＳ３１１）。ステップＳ３１１の処理が完了すると、次いで、処理部２０２はエージェント所属部署をファイル識別情報毎に分類し（ステップＳ３１２）、図１０に示すように、アクセス制限推定画面を表示する（ステップＳ３１３）。アクセス制限推定画面により、ファイル識別情報とそのファイル識別情報が付与されたファイルにアクセスできる部署の関係性を視認することができる。

特に、図６を参照して説明したように、開発部に設置された非管理端末１２０はファイル識別情報「製品設計図」が付与された第１のファイル、ファイル識別情報「開発進捗管理」が付与された第２のファイル、及びファイル識別情報「製品企画書」が付与された第３のファイルを記憶する。図１０に示すように、第２のファイル及び第３のファイルには開発部に設置された管理端末１１０と総務部に設置された管理端末１１０がアクセスできるが、第１のファイルには開発部と総務部以外に営業部に設置された管理端末１１０と研究部に設置された管理端末１１０もアクセスできる。このため、第１のファイルには営業部と研究部に対するアクセス制限が設定されていないと推定することができる。

以上、第２実施形態によれば、処理部２０２は情報記憶部２０３が記憶する処理対象情報を利用して、非管理端末１２０が記憶するファイルに対するアクセス制限を推定することができる。尚、処理部２０２はステップＳ３１１及びＳ３１２の処理を実行するまでに留め、ステップＳ３１３の処理を実行しなくてもよい。

（第３実施形態）
続いて、図１１及び図１２を参照して、本件の第３実施形態について説明する。図１１（ａ）は管理サーバ２００の動作の一部を例示するフローチャートである。図１１（ｂ）は分布判別処理の一例を示すフローチャートである。図１２は機密ファイル分布画面の一例である。第１実施形態では、図５を参照して説明したように、処理部２０２は、ステップＳ２０３の処理を実行した後、第１推定処理を実行したが、第３実施形態では、図１１（ａ）に示すように、第１推定処理に代えて分布判別処理を実行する（ステップＳ２０６）。分布判別処理は、管理システムＳ内に分散するファイルの分布状況を判別する処理である。尚、分布判別処理については以下に詳述する。

上述したステップＳ２０３の処理が完了すると、処理部２０２は情報記憶部２０３からアクセス成功部署とファイル識別情報とを取得する（ステップＳ３２１）。ステップＳ３２１の処理が完了すると、次いで、処理部２０２はアクセス成功部署をファイル識別情報毎に分類し（ステップＳ３２２）、図１２に示すように、機密ファイル分布画面を表示する（ステップＳ３２３）。機密ファイル分布画面により、ファイル識別情報とそのファイル識別情報が付与されたファイルの所在を表す部署の関係性を視認することができる。

以上、第３実施形態によれば、処理部２０２は情報記憶部２０３が記憶する処理対象情報を利用して、非管理端末１２０が記憶するファイルの分布状況を判別することができる。尚、処理部２０２はステップＳ３２１及びＳ３２２の処理を実行するに留め、ステップＳ３２３の処理を実行しなくてもよい。

以上、本発明の好ましい実施形態について詳述したが、本発明に係る特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。例えば、ファイル識別情報としてファジーハッシュ値を利用する場合、ファジーハッシュ値の利点を活用するために、圧縮ファイルについては展開してからファイルの内容に対してファジーハッシュ値を取得することが望ましい。また、上述した第１実施形態では、種類数ＣＮＴ_ＡＢを利用したが、種類数に代えて取得したファイル識別情報の数を利用してもよい。さらに、処理部２０２は上述した第１推定処理、第２推定処理、及び分布判別処理を独立して実行せずに、並列して実行するようにしてもよい。

なお、以上の説明に関して更に以下の付記を開示する。
（付記１）異なる複数の第１端末装置の各々が生成したＩＰアドレスに基づいて試行した第２端末装置に対するアクセスが成功した際に前記第１端末装置の各々が第２端末装置から収集したファイルの識別情報を前記第１端末装置から取得する取得部と、前記第１端末装置間で共通する識別情報の数に基づいて、前記共通する識別情報を有するファイルの機密性を推定する処理部と、を備えるファイル状態確認装置。
（付記２）前記処理部は、前記第１端末装置間で共通する識別情報の数に基づいて、前記共通する識別情報を有するファイルの共有状況を判定し、判定した共有状況に基づいて、前記共通する識別情報を有するファイルの機密性が確保されていない可能性を推定する、ことを特徴とする付記１に記載のファイル状態確認装置。
（付記３）前記処理部は、前記第１端末装置間で共通する識別情報の数が第１判定閾値以上である場合、前記共通する識別情報を有するファイルの機密性が確保されていない可能性が低いと推定する、ことを特徴とする付記１又は２に記載のファイル状態確認装置。
（付記４）前記処理部は、前記第１端末装置間で共通する識別情報の数が前記第１判定閾値より小さな第２判定閾値未満である場合、前記共通する識別情報を有するファイルの機密性が確保されていない可能性が高いと推定する、ことを特徴とする付記３に記載のファイル状態確認装置。
（付記５）異なる複数の第１端末装置の各々が生成したＩＰアドレスに基づいて試行した第２端末装置に対するアクセスが成功した際に前記第１端末装置の各々が第２端末装置から収集したファイルの識別情報を前記第１端末装置から取得し、前記第１端末装置間で共通する識別情報の数に基づいて、前記共通する識別情報を有するファイルの機密性を推定する、処理をコンピュータが実行するファイル状態確認方法。
（付記６）前記機密性を推定する処理は、前記第１端末装置間で共通する識別情報の数に基づいて、前記共通する識別情報を有するファイルの共有状況を判定し、判定した共有状況に基づいて、前記共通する識別情報を有するファイルの機密性が確保されていない可能性を推定する、ことを特徴とする付記５に記載のファイル状態確認方法。
（付記７）前記機密性を推定する処理は、前記第１端末装置間で共通する識別情報の数が第１判定閾値以上である場合、前記共通する識別情報を有するファイルの機密性が確保されていない可能性が低いと推定する、ことを特徴とする付記５又は６に記載のファイル状態確認方法。
（付記８）前記機密性を推定する処理は、前記第１端末装置間で共通する識別情報の数が前記第１判定閾値より小さな第２判定閾値未満である場合、前記共通する識別情報を有するファイルの機密性が確保されていない可能性が高いと推定する、ことを特徴とする付記７に記載のファイル状態確認方法。
（付記９）異なる複数の第１端末装置の各々が生成したＩＰアドレスに基づいて試行した第２端末装置に対するアクセスが成功した際に前記第１端末装置の各々が第２端末装置から収集したファイルの識別情報を前記第１端末装置から取得し、前記第１端末装置間で共通する識別情報の数に基づいて、前記共通する識別情報を有するファイルの機密性を推定する、処理をコンピュータに実行させるファイル状態確認プログラム。

Ｓ管理システム
１１０管理端末
１２０非管理端末
２００管理サーバ
２０１通信部
２０２処理部
２０３情報記憶部

Claims

異なる複数の第１端末装置の各々が生成したＩＰアドレスに基づいて試行した第２端末装置に対するアクセスが成功した際に前記第１端末装置の各々が第２端末装置から収集したファイルの識別情報を前記第１端末装置から取得する取得部と、
前記第１端末装置間で共通する識別情報の数に基づいて、前記共通する識別情報を有するファイルの機密性を推定する処理部と、を備え、
前記アクセスが成功した際に行われる動作は、前記第１端末装置の各々が前記ファイルの識別情報を収集する動作である、
ことを特徴とするファイル状態確認装置。
前記処理部は、前記第１端末装置間で共通する識別情報の数に基づいて、前記共通する識別情報を有するファイルの共有状況を判定し、判定した共有状況に基づいて、前記共通する識別情報を有するファイルの機密性が確保されていない可能性を推定する、
ことを特徴とする請求項１に記載のファイル状態確認装置。
前記処理部は、前記第１端末装置間で共通する識別情報の数が第１判定閾値以上である場合、前記共通する識別情報を有するファイルの機密性が確保されていない可能性が低いと推定する、
ことを特徴とする請求項１又は２に記載のファイル状態確認装置。
前記処理部は、前記第１端末装置間で共通する識別情報の数が前記第１判定閾値より小さな第２判定閾値未満である場合、前記共通する識別情報を有するファイルの機密性が確保されていない可能性が高いと推定する、
ことを特徴とする請求項３に記載のファイル状態確認装置。
異なる複数の第１端末装置の各々が生成したＩＰアドレスに基づいて試行した第２端末装置に対するアクセスが成功した際に前記第１端末装置の各々が第２端末装置から収集したファイルの識別情報を前記第１端末装置から取得し、
前記第１端末装置間で共通する識別情報の数に基づいて、前記共通する識別情報を有するファイルの機密性を推定する、処理をコンピュータが実行し、
前記アクセスが成功した際に行われる動作は、前記第１端末装置の各々が前記ファイルの識別情報を収集する動作である、
ことを特徴とするファイル状態確認方法。
異なる複数の第１端末装置の各々が生成したＩＰアドレスに基づいて試行した第２端末装置に対するアクセスが成功した際に前記第１端末装置の各々が第２端末装置から収集したファイルの識別情報を前記第１端末装置から取得し、
前記第１端末装置間で共通する識別情報の数に基づいて、前記共通する識別情報を有するファイルの機密性を推定する、処理をコンピュータに実行させ、
前記アクセスが成功した際に行われる動作は、前記第１端末装置の各々が前記ファイルの識別情報を収集する動作である、
ことを特徴とするファイル状態確認プログラム。