JP7052370B2 - 評価プログラム、評価方法及び情報処理装置 - Google Patents

Description

本発明は、評価プログラム、評価方法及び情報処理装置に関する。

情報漏えい対策として、組織等に所属するエンドユーザによって利用されるコンピュータの操作ログが記録される。このように操作ログを採取することによって、コンピュータの監視、情報漏えいが起こった場合の検証、情報漏えいのリスクを管理するための分析などが可能になる。例えば、コンピュータ上でファイルの持ち出し操作を行ったユーザにより行われた操作を操作ログから検索し、ファイルの持ち出し操作を行ったユーザの操作全体に基づいて持ち出し操作の危険度が評価される。

特開２００８－１５８９５９号公報 特開２０１１－２８６６１２号公報

しかしながら、上記の技術では、持ち出し操作の危険度の評価精度を高めることができない。

すなわち、上記の技術は、あくまでファイルの持ち出し操作を行ったユーザを軸に操作ログを分析するものに過ぎない。このため、組織内部のコンピュータから外部へ持ち出されたファイルに変名等の偽装が行われていた場合、当該ファイルが秘密情報に対応する重要度が高いものであるのかそうでないのかを識別できない。それ故、企業等の組織にとって重要度が高いファイルの持ち出し操作とそうでない持ち出し操作との間で評価を変えることが困難である。したがって、上記の技術では、持ち出し操作の危険度の評価精度を高めることができない場合がある。

１つの側面では、本発明は、持ち出し操作の危険度の評価精度を高めることができる評価プログラム、評価方法及び情報処理装置を提供することを目的とする。

一態様では、評価プログラムは、ファイルの持ち出し操作を検出すると、前記ファイルに対する過去の操作の操作元を記憶する記憶部を参照して、前記ファイルに対する過去の操作の操作元のうち、検出した前記持ち出し操作の操作元以外の操作元を特定し、特定した前記操作元の属性に基づき、前記ファイルに関する評価を行う、処理をコンピュータに実行させる。

持ち出し操作の危険度の評価精度を高めることができる。

図１は、実施例１に係るログ分析システムの構成例を示す図である。 図２は、操作ログの分析方法の一例を示す模式図である。 図３は、実施例１に係るログ分析装置の機能的構成の一例を示すブロック図である。 図４は、採点基準データの一例を示す図である。 図５は、属性データの一例を示す図である。 図６は、採点基準データの一例を示す図である。 図７は、採点基準データの一例を示す図である。 図８は、採点基準データの一例を示す図である。 図９は、操作ログデータの一例を示す図である。 図１０は、操作ログデータの一例を示す図である。 図１１は、操作ログデータの一例を示す図である。 図１２は、操作ログデータの一例を示す図である。 図１３は、操作ログデータの一例を示す図である。 図１４は、操作ログデータの一例を示す図である。 図１５は、操作ログデータの一例を示す図である。 図１６は、操作ログデータの一例を示す図である。 図１７は、実施例１に係るログ分析処理の手順を示すフローチャートである。 図１８は、実施例１及び実施例２に係る評価プログラムを実行するコンピュータのハードウェア構成例を示す図である。

以下に添付図面を参照して本願に係る評価プログラム、評価方法及び情報処理装置について説明する。なお、この実施例は開示の技術を限定するものではない。そして、各実施例は、処理内容を矛盾させない範囲で適宜組み合わせることが可能である。

［システム構成］
図１は、実施例１に係るログ分析システムの構成例を示す図である。図１に示すログ分析システム１は、クライアント端末３０Ａ～３０Ｃ上で動作するログ収集用のソフトウェア３Ａ～３Ｃを介して収集される操作ログを分析するログ分析サービスを提供するものである。

以下では、ユースケースのあくまで一例として、ログ分析装置１０を運営するサービス提供者が管理対象システム５を運営するサービス加入者に上記のログ分析サービスをアウトソーシングにより提供する例を説明するが、ユースケースはこれに限定されない。例えば、上記のログ分析サービスに対応する機能を実現するログ分析プログラムを提供することにより、操作ログの収集から分析までの一連の機能がサービス加入者側の管理対象システム５でオンプレミスに実現されることとしてもかまわない。

図１に示すように、ログ分析システム１には、ログ分析装置１０と、企業システム等の管理対象システム５とが含まれる。さらに、管理対象システム５には、複数のクライアント端末３０Ａ～３０Ｃと、管理サーバ５０と、管理コンソール７０とが含まれる。なお、図１には、管理対象システム５が収容するコンピュータの一例として、クライアント端末３０を例示したが、これに限定されない。例えば、企業等の組織が有する情報システムに含まれる他のコンピュータ、例えばファイルサーバやメールサーバ、ファイヤウォール、ロードバランサなどが管理対象システム５に含まれることを妨げない。

以下では、クライアント端末３０Ａ～３０Ｃの各装置および各装置上でそれぞれ動作するログ収集用のソフトウェア３Ａ～３Ｃを総称する場合、各々を「クライアント端末３０」および「ログ収集用ソフトウェア３」と記載する場合がある。

これらクライアント端末３０、管理サーバ５０及び管理コンソール７０の間は、有線または無線を問わず、ＬＡＮ（Local Area Network）やＶＬＡＮ（Virtual LAN）などの構内通信網等を介して接続することができる。また、ログ分析装置１０および管理サーバ５０の間も、有線または無線を問わず、任意のネットワークＮＷを介して接続することができる。このようなネットワークＮＷの例として、３Ｇ（Generation）、ＬＴＥ（Long Term Evolution）、４Ｇや５Ｇなどに対応するモバイルネットワークの他、ＬＡＮなどの構内通信網、インターネットなどが挙げられる。

クライアント端末３０は、組織等に所属するエンドユーザによって利用されるコンピュータである。例えば、クライアント端末３０には、パーソナルコンピュータなどのデスクトップ型のコンピュータなどが対応する。このようなデスクトップ型のコンピュータに限定されず、ラックトップ型のコンピュータや携帯端末装置、ウェアラブル端末などの任意のコンピュータであってかまわない。

例えば、クライアント端末３０のプロセッサ上では、クライアント端末３０で行われる各種の操作ログを収集するログ収集用ソフトウェア３が動作する。このログ収集用ソフトウェア３は、クライアント端末３０上でＯＳ（Operating System）の起動とともに自動的に起動される。例えば、操作ログの例として、参照や作成、更新、削除、複写、移動、変名などの各種のファイル操作を始め、クライアント端末３０のログオンログオフのログやメール送信のログ、ＷＥＢアクセスのログを採取する。このようにクライアント端末３０から採取された操作ログは、管理サーバ５０により収集された上で保存される。例えば、操作ログには、操作が行われた時間、操作を行うユーザの識別情報、操作の内容の種別および操作が行われたファイル名などの項目を含めることができる。

管理サーバ５０は、管理対象システム５に収容されるクライアント端末３０などを管理するサーバ装置である。

一つの側面として、管理サーバ５０は、各クライアント端末３０から収集される操作ログを管理する機能を有する。例えば、管理サーバ５０は、管理対象システム５に収容されるクライアント端末３０にログ収集用ソフトウェア３をダウンロードさせた後にインストールさせる。これによって、各クライアント端末３０上でログ収集用ソフトウェア３を動作させる。このログ収集用ソフトウェア３から操作ログを収集する場合、クライアント端末３０で操作が行われる度にリアルタイムで実行することとしてもよいし、バッチ処理で実行することとしてもよい。そして、管理サーバ５０は、ログ収集用ソフトウェア３から収集される操作ログを記録する。このような操作ログの記録によって、管理サーバ５０は、管理コンソール７０により指定される条件、例えば曜日や時間帯などの時間、あるいはユーザやファイル、アプリケーション、ＵＲＬ（Uniform Resource Locator）などの項目に関する条件にしたがって、クライアント端末３０から収集された操作ログに対する検索を行うことができる。この他、管理サーバ５０は、上記のログ分析サービスを通じてログ分析装置１０から操作ログの分析結果として提供される分析レポートを管理コンソール７０に出力することもできる。

他の側面として、管理サーバ５０は、クライアント端末３０におけるリムーバブルメディアや印刷出力などの利用権限などの管理を行う機能も有する。例えば、管理サーバ５０は、クライアント端末３０に適用するポリシーの設定や更新を受け付けることができる。すなわち、管理サーバ５０は、クライアント端末３０もしくはそのグループの単位で、操作ログの収集の要否やリムーバブルメディアや印刷出力などの利用権限などが定義されたポリシーの設定の登録や更新を管理コンソール７０から受け付ける。

管理コンソール７０は、管理者権限を有する者によって使用されるコンピュータである。この管理者権限は、管理対象システム５のシステム管理者や企業等の組織における部門の管理者に付与される。このラベルはあくまで機能の一面からの分類であってコンピュータの種類やそのハードウェア構成が特定のものに限定される訳ではなく、上記のクライアント端末３０と同様、任意のコンピュータであってかまわない。

ログ分析装置１０は、上記のログ分析サービスを提供するコンピュータである。このログ分析装置１０は、情報処理装置の一例に対応する。

一実施形態として、ログ分析装置１０は、上記のログ分析サービスを提供するコンピュータである。例えば、ログ分析装置１０は、パッケージソフトウェア又はオンラインソフトウェアとして、上記のログ分析サービスに対応する機能を実現するログ分析プログラムを所望のコンピュータにインストールさせることによって実装できる。例えば、ログ分析装置１０は、上記のログ分析サービスを提供するＷｅｂサーバとして実装することとしてもよいし、アウトソーシングによって上記のログ分析サービスを提供するクラウドとして実装することとしてもかまわない。

例えば、ログ分析装置１０は、上記のログ分析サービスの一環として、ネットワークＮＷを介して管理サーバ５０から収集される管理対象システム５全体の操作ログを用いて、ファイルの持ち出し操作の危険度を評価するログ分析処理を実行してその分析結果を分析レポートとして出力するサービスを提供する。

ここで言う「持ち出し操作」とは、上記のファイル操作の中でも、ファイルを外部へ持ち出す操作全般を指す。例えば、「持ち出し操作」の例として、クライアント端末３０のローカルディスク、あるいは管理対象システム５上に存在するファイルサーバ等に保存されたファイルを可搬媒体へ複製する操作、ファイルを印刷する操作、ファイルをメールに添付して送信する操作、ファイルを外部ＵＲＬのサイトへアップロードする操作などが挙げられる。さらに、可搬媒体の例には、ＵＳＢ（Universal Serial Bus）メモリ、フレキシブルディスク、ＣＤ－ＲＯＭ、ＤＶＤディスク、光磁気ディスク、ＩＣカードなどが対応する。

ここで、上記の背景技術の欄でも説明した通り、ファイルの持ち出し操作を行ったユーザを軸に操作ログの分析を実行するのでは、管理対象システム５内部のコンピュータから外部へ持ち出されたファイルに変名等の偽装が行われていた場合、当該ファイルが秘密情報に対応する重要度が高いものであるのかそうでないのかを識別できない。それ故、企業等の組織にとって重要度が高いファイルの持ち出し操作とそうでない持ち出し操作との間で評価を変えることが困難である。このことから、持ち出し操作の危険度の評価精度を高めることができない場合がある。

そこで、本実施例に係るログ分析装置１０は、外部への持ち出し操作が行われたファイルに操作を行うユーザのうち持ち出し操作を行うユーザ以外の他のユーザを特定し、他のユーザの属性や他のユーザが行う操作の内容に基づいて持ち出し操作の危険度を評価する。

図２は、操作ログの分析方法の一例を示す模式図である。図２に示す操作ログの分析は、各クライアント端末３０の操作ログが収集された管理サーバ５０から取得される管理対象システム５全体の操作ログのうちファイルの持ち出し操作が記録された操作ログごとに実行される。以下では、管理対象システム５全体の操作ログのうちファイルの持ち出し操作が記録された操作ログのことを「持出操作ログ」と記載し、持ち出し操作が行われたファイルのことを「持出ファイル」と記載する場合がある。

図２に示すように、ログ分析装置１０は、持出操作ログを起点とし、そこから遡って当該ファイルに対する参照、作成、更新、削除、複写、移動、変名などのファイル操作が記録された操作ログをトレースする（ステップＳ１）。

このようなトレースによって持出操作ログ、すなわち図２に実線の太字で示された部分を含む一連の操作ログ２００が得られる。以下では、クライアント端末３０を利用するアカウントを有するユーザの中で持ち出し操作を行ったユーザのことを「持出ユーザ」と記載する場合がある。

そして、ログ分析装置１０は、一連の操作ログ２００のうち持出ユーザが持ち出し操作の事前に行ったファイル操作を記録する操作ログ、すなわち図２に破線の太字で示された部分を抽出する（ステップＳ２）。その上で、ログ分析装置１０は、ステップＳ２で抽出された持出ユーザの事前行動に関する操作ログごとに、当該操作ログに記録されたファイル操作の内容に応じて加点する（ステップＳ３）。このように操作の内容に応じて加点する場合、一例として、秘密情報を持ち出す際に行われやすいファイル操作、例えばファイルの変名やファイルの複写などに操作ログが該当するほど高い点数を与える採点が実行される。

その後、ログ分析装置１０は、持出ファイルにファイル操作を行うユーザのうち持出ユーザ以外の他のユーザによりファイル操作が行われた操作ログ、すなわち図２に一点鎖線の太字で示された部分を特定する（ステップＳ４）。その上で、ログ分析装置１０は、ステップＳ４で特定された操作ログごとに他のユーザの属性および他のユーザにより行われたファイル操作の内容に応じて加点する（ステップＳ５ＡおよびステップＳ５Ｂ）。このように属性に応じて加点する場合、一例として、秘密情報に触れる機会が多い部門に他のユーザが所属する場合ほど操作ログに高い点数を与え、また、他のユーザの組織における階級が高い場合ほど高い点数を与える採点が実行される。また、操作の内容に応じて加点する場合、一例として、秘密情報を持ち出す際に行われやすいファイル操作、例えばファイルの変名やファイルの複写などが行われる場合ほど高い点数を与える採点が実行される。

このように、持ち出し操作の危険度を評価する基準として、外部への持ち出し操作が行われたファイルに持出ユーザ以外のどのような人物が関わっていたのかという属性、さらには、他のユーザによりどのような操作がファイルに行われていたのかという操作の内容が活用される。これら属性および操作の内容は、持出ユーザ以外の他のユーザにより行われた操作ログに由来するので、持出ユーザが悪意をもってファイルを持ち出すケースでもファイルの変名等のような偽装が困難である。さらに、属性および操作の内容は、組織における持出ファイルの重要性とも関連がある。このような属性および操作の内容を持ち出し操作の危険度の評価に組み入れることで、企業等の組織にとって重要度が高いファイルの持ち出し操作とそうでない持ち出し操作との間で評価を変えることができる。したがって、持ち出し操作の危険度の評価精度を高めることができる。

これらステップＳ３、ステップＳ５Ａ及びステップＳ５Ｂの処理をファイルの持ち出し操作ごとに実行することで、持ち出し操作ごとに当該持ち出し操作の危険度が評価されたスコアを算出できる。

その後、ログ分析装置１０は、持ち出し操作ごとに算出されたスコアの降順、すなわちスコアが高い順に持ち出し操作がソートされたリストを分析レポート３００として管理コンソール７０へ出力する（ステップＳ６）。

このような分析レポート３００の出力により、次のような効果が得られる。例えば、システム管理者やコンプライアンス部門の担当者等が行う情報漏えいの検証作業、例えば持ち出し操作が不正行為に該当するかどうかを判断するヒアリング等を持出ユーザに総当たりで行わずともよくなる。すなわち、危険度のスコアが高い順にソートされた持ち出し操作のリストが出力されることにより持ち出し操作に危険度に基づく優先順位を設定することができるので、検証作業の効率化を実現できる。

［ログ分析装置１０の構成］
図３は、実施例１に係るログ分析装置１０の機能的構成の一例を示すブロック図である。図３に示すように、ログ分析装置１０は、通信Ｉ／Ｆ（InterFace）部１１と、記憶部１３と、制御部１５とを有する。図３には、データの授受の関係を表す実線が示されているが、説明の便宜上、最小限の部分について示されているに過ぎない。すなわち、各処理部に関するデータの入出力は、図示の例に限定されず、図示以外のデータの入出力、例えば処理部及び処理部の間、処理部及びデータの間、並びに、処理部及び外部装置の間のデータの入出力が行われることとしてもかまわない。

通信Ｉ／Ｆ部１１は、他の装置、例えば管理サーバ５０や管理コンソール７０等との間で通信制御を行うインタフェースである。

一実施形態として、通信Ｉ／Ｆ部１１には、ＬＡＮカードなどのネットワークインタフェースカードなどが対応する。例えば、通信Ｉ／Ｆ部１１は、管理サーバ５０から操作ログを受信したり、操作ログの分析結果を分析レポートとして管理コンソール７０へ送信したりすることができる。

記憶部１３は、制御部１５で実行されるＯＳを始め、上記のログ分析プログラム、例えばアプリケーションプログラムやミドルウェアなどの各種プログラムに用いられるデータを記憶する記憶デバイスである。

一実施形態として、記憶部１３は、ログ分析装置１０における補助記憶装置として実装することができる。例えば、記憶部１３には、ＨＤＤ（Hard Disk Drive）、光ディスクやＳＳＤ（Solid State Drive）などを採用できる。なお、記憶部１３は、必ずしも補助記憶装置として実装されずともよく、ログ分析装置１０における主記憶装置として実装することもできる。この場合、記憶部１３には、各種の半導体メモリ素子、例えばＲＡＭ（Random Access Memory)やフラッシュメモリを採用できる。

記憶部１３は、制御部１５で実行されるプログラムに用いられるデータの一例として、操作ログデータ１３ａと、属性データ１３ｂと、採点基準データ１３ｃとを記憶する。これらのデータ以外にも、記憶部１３には、他の電子データが記憶されることとしてもかまわない。例えば、記憶部１３は、クライアント端末３０を使用するユーザに付与されたアカウント情報なども併せて記憶することもできる。なお、操作ログデータ１３ａ、属性データ１３ｂ及び採点基準データ１３ｃの説明は、各データの登録または参照が行われる制御部１５の説明と合わせて行うこととする。

制御部１５は、ログ分析装置１０の全体制御を行う処理部である。

一実施形態として、制御部１５は、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）などのハードウェアプロセッサにより実装することができる。ここでは、プロセッサの一例として、ＣＰＵやＭＰＵを例示したが、汎用型および特化型を問わず、任意のプロセッサ、例えばＧＰＵ（Graphics Processing Unit）やＤＳＰ（Digital Signal Processor）の他、ＧＰＧＰＵ（General-purpose computing on graphics processing units）により実装することができる。この他、制御部１５は、ＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）などのハードワイヤードロジックによって実現されることとしてもかまわない。

制御部１５は、図示しない主記憶装置として実装されるＲＡＭ（Random Access Memory）のワークエリア上に、上記のログ分析プログラムを展開することにより、下記の処理部を仮想的に実現する。

図３に示すように、制御部１５は、取得部１５ａと、抽出部１５ｂと、特定部１５ｃと、評価部１５ｄと、出力部１５ｅとを有する。

取得部１５ａは、操作ログを取得する処理部である。

一実施形態として、取得部１５ａは、管理サーバ５０からネットワークＮＷを経由して管理対象システム５全体の操作ログを取得することができる。このとき、取得部１５ａは管理サーバ５０から操作ログが送信されるまで待機することとしてもよいし、操作ログのリクエストを管理サーバ５０に発行することにより操作ログを管理サーバ５０に送信させることもできる。また、操作ログは、所定の期間、例えば日次、週次、月次、四半期、半期ごとにバッチ処理で取得することもできるし、クライアント端末３０から管理サーバ５０へ操作ログが収集される度にリアルタイムで取得することとしてもかまわない。このように取得部１５ａにより取得された操作ログが操作ログデータ１３ａとして記憶部１３へ保存される。

なお、ここでは、あくまで一例として、ログ分析装置１０及び管理サーバ５０間の通信により操作ログを取得する例を挙げたが、取得部１５ａが操作ログを取得するソースは任意であってかまわない。例えば、取得部１５ａは、管理サーバ５０以外の外部装置からネットワークＮＷを介して受信することによって操作ログを取得することもできる。この他、取得部１５ａは、ＵＳＢメモリや外付けのＨＤＤ、メモリカードなどのリムーバブルメディアから読み出すことにより操作ログを取得することもできる。

抽出部１５ｂは、持出操作ログを抽出する処理部である。

一実施形態として、抽出部１５ｂは、管理コンソール７０から分析レポートのリクエストを受け付けた場合、分析レポートの出力が設定された日時になった場合、前回に分析レポートを出力してから所定の期間が経過する場合などに処理を起動する。すなわち、抽出部１５ｂは、記憶部１３に操作ログデータ１３ａとして記憶された管理対象システム５全体の操作ログのうちファイルの持ち出し操作が記録された操作ログ、すなわち上記の持出操作ログを抽出する。

特定部１５ｃは、持出ファイルにファイル操作を行うユーザのうち持出ユーザ以外の他のユーザを特定する処理部である。

一実施形態として、特定部１５ｃは、抽出部１５ｂにより抽出された持出操作ログごとに次のような処理を実行する。すなわち、特定部１５ｃは、抽出部１５ｂにより抽出された持出操作ログのうち１つの持出操作ログを選択する。続いて、特定部１５ｃは、管理対象システム５全体の操作ログを参照して、選択中の持出操作ログを起点とし、そこから遡って持出ファイルに対する参照、作成、更新、削除、複写、移動、変名などのファイル操作が記録された操作ログをトレースする。そして、特定部１５ｃは、上記のトレースにより得られた一連の操作ログのうち、持出ユーザが持ち出し操作の事前に行ったファイル操作を記録する操作ログを特定する。さらに、特定部１５ｃは、上記のトレースにより得られた一連の操作ログのうち持出ユーザの識別情報が含まれない操作ログが記録するユーザ識別情報を参照することにより、持出ファイルにファイル操作を行うユーザのうち持出ユーザ以外の他のユーザを特定する。

評価部１５ｄは、ファイルの持ち出し操作の危険度を評価する処理部である。

一実施形態として、評価部１５ｄは、（イ）持出ユーザが持ち出し操作の前に行った事前行動、（ロ）他のユーザが持ち出し操作の前に行った事前行動、および、（ハ）他のユーザの属性の分布の３つの側面から加点される点数を総合することにより、持ち出し操作の危険度を評価する。

（イ）持出ユーザの事前行動
一側面として、評価部１５ｄは、特定部１５ｃにより持出ユーザの事前行動として特定された操作ログごとに、当該操作ログに含まれるファイル操作の内容に応じて加点する採点を実行する。この採点には、一例として、ファイル操作ごとに点数が対応付けられた採点基準データ１３ｃ１が参照される。図４は、採点基準データの一例を示す図である。図４に示す採点基準データ１３ｃ１の例で言えば、ファイルの新規作成、ファイルの参照、ファイルの編集といったファイル操作には、点数「１」が対応付けられている。これらのファイル操作は、ファイルが持ち出されようと持ち出されまいと実行される汎用の操作であるので、他の種類のファイル操作よりも低い点数が設定されている。これに比べて、ファイルの変名やファイルサーバからのコピーといったファイル操作は、他の種類のファイル操作に比べて秘密情報を持ち出す際に行われやすい事前行動であるので、他の種類のファイル操作よりも高い点数が設定されている。例えば、ファイルの変名は、ファイル名の偽装に使用されやすいので、点数には「５」が設定されている。また、ファイルサーバからローカルへのコピーは、必ずしもファイルの編集に必要でなく、ファイルの持ち出し時には前提条件となるファイル操作であるので、点数には「１０」が設定されている。このような採点基準データ１３ｃ１にしたがって採点を行うことで、秘密情報を持ち出す際に行われやすいファイル操作に該当する操作ログほど高い点数を与えることができる。

（ロ）他のユーザの事前行動
他の側面として、評価部１５ｄは、特定部１５ｃにより持出ユーザ以外の他のユーザの事前行動として特定された操作ログごとに、他のユーザの属性に応じて付与される点数と、他のユーザにより行われたファイル操作の内容に応じて付与される点数とを乗算することにより、他のユーザの事前行動を採点する。

例えば、評価部１５ｄは、ユーザごとに所属および役職が対応付けられた属性データ１３ｂから、他のユーザに対応する所属および役職を属性として検索する。図５は、属性データ１３ｂの一例を示す図である。図５に示す属性データ１３ｂには、あくまで一例として、ユーザＡ、ユーザＢ、ユーザＣ、ユーザＤ、ユーザＥおよびユーザＦの７人のユーザ、営業、開発および人事の３つの所属、さらには、一般社員、課長および部長の３つの役職が抜粋して示されている。このように属性データ１３ｂを参照することにより、次のような属性の検索を実行できる。例えば、ユーザ名「ユーザＡ」が検索条件として指定された場合、属性データ１３ｂの上から１行目のレコードにヒットするので、所属が「営業」であり、かつ役職が「一般社員」であると検索できる。この他のユーザ名が検索条件として指定された場合も、ユーザ名がヒットする属性データ１３ｂのレコードからユーザの所属および役職を属性として検索できる。

このように他のユーザの所属および役職が検索された後、評価部１５ｄは、他のユーザの所属に応じて付与される所属点に当該他のユーザにより行われたファイル操作の内容に応じて付与される操作点を乗算することにより所属操作点を算出する。なお、操作点については、上記（イ）と同様、図４に示した採点基準データ１３ｃ１に含まれる点数のうち他のユーザにより行われたファイル操作の内容に対応する点数を付与することとすればよい。

例えば、他のユーザの所属に応じて所属点を付与する場合、所属の部門ごとに点数が対応付けられた採点基準データ１３ｃ２が参照される。図６は、採点基準データ１３ｃ２の一例を示す図である。図６に示す採点基準データ１３ｃ２の例で言えば、営業部には、点数「１」が設定されている。このように営業部に他の部門に比べて低い点数が設定されるのは、営業部ではパンフレットやカタログなどの外部向けのファイルが業務に用いられるケースが多い一方で、業務上で社外秘のファイルに触れる機会が少ないからである。また、開発部には、営業部の点数「１」よりも高い点数「５」が設定されている。その理由は、開発部では設計や製造などの内部向けのファイルが業務に用いられるケースが多いからである。さらに、人事部には、開発部の点数「５」よりも高い点数「１０」が設定されている。これは、人事部ではマイナンバー、給与、年金等の個人情報が業務に用いられるケースがあるからである。このような採点基準データ１３ｃ２にしたがって点数を付与することで、他のユーザが業務で秘密情報に触れやすい部門であるほど高い点数を与えることができる。

このような採点基準データ１３ｃ２を用いて付与された他のユーザの所属点に採点基準データ１３ｃ１を用いて付与された他のユーザの操作点を乗算することにより、所属操作点が算出される。

この所属操作点の算出と並行して、評価部１５ｄは、他のユーザの役職に応じて付与される役職点に当該他のユーザにより行われたファイル操作の内容に応じて付与される操作点を乗算することにより役職操作点を算出する。なお、操作点については、上記（イ）と同様、図４に示した採点基準データ１３ｃ１に含まれる点数のうち他のユーザにより行われたファイル操作の内容に対応する点数を付与することとすればよい。

例えば、他のユーザの所属に応じて所属点を付与する場合、役職ごとに点数が対応付けられた採点基準データ１３ｃ３が参照される。図７は、採点基準データ１３ｃ３の一例を示す図である。図７に示す採点基準データ１３ｃ３の例で言えば、一般社員には点数「５」が設定され、課長には点数「１０」が設定されると共に、部長には点数「１５」が設定されている。このように役職が高くなるにつれて高い点数が設定されるのは、役職が高いほど業務で秘密情報に触れる機会が多いからである。このような採点基準データ１３ｃ３にしたがって点数を付与することで、他のユーザが業務で秘密情報に触れやすい役職であるほど高い点数を与えることができる。

このような採点基準データ１３ｃ３を用いて付与された他のユーザの役職点に採点基準データ１３ｃ１を用いて付与された他のユーザの操作点を乗算することにより、役職操作点が算出される。

（ハ）他のユーザの属性の分布
更なる側面として、評価部１５ｄは、特定部１５ｃにより特定された持出ユーザ以外の他のユーザの属性の分布の広がり度合いに応じて点数を付与する採点を実行する。例えば、評価部１５ｄは、持出ファイルに対するファイル操作を行った他のユーザの部門の数が少ないほど高い点数を付与する一方で、持出ファイルに対するファイル操作を行った他のユーザの部門の数が多いほど低い点数を付与する採点を実行する。なぜなら、持出ファイルが多くの部署に跨がって流通しているほど秘密情報である可能性が低く、また、持出ファイルの流通範囲が狭まるほど秘密情報である可能性が高い傾向にあるからである。さらに、評価部１５ｄは、持出ファイルに対するファイル操作を行った他のユーザの役職に一般社員が含まれるか否かに応じて点数を付与する採点を実行する。これは、幹部社員に比べて秘密情報に触れる権限が与えられにくい一般社員にも公開された情報であれば課長や部長などの幹部社員にだけ公開された情報に比べて重要度が低いと推定できるからである。

これら部門数および役職レベルを組み合わせた一例として、下記の（あ）、（い）、（う）の３ケースを例に挙げる。すなわち、（あ）持出ファイルに対するファイル操作を行った他のユーザの部門の数が複数でなく、かつ他のユーザの中に一般社員が含まれない場合、（い）持出ファイルに対するファイル操作を行った他のユーザの部門の数が複数であり、かつ複数の部門の中のいずれかの部門で一般社員が含まれない場合、（う）持出ファイルに対するファイル操作を行った他のユーザの部門の数が単数であっても複数であっても、各部門に一般社員が含まれる場合が挙げられる。これらの３ケースの場合、評価部１５ｄは、（あ）に最も高い点数を付与し、（い）に次に高い点数を付与し、（う）には最も低い点数を付与する。

このような採点には、一例として、流通範囲ごとに点数が対応付けられた採点基準データ１３ｃ４が参照される。図８は、採点基準データ１３ｃ４の一例を示す図である。図８に示す採点基準データ１３ｃ４の例で言えば、持出ファイルに対するファイル操作を行った他のユーザの部門の数が１つに閉じており、かつ持出ファイルが幹部社員にしか利用していないという流通範囲には、点数「３０」が設定されている。このような流通範囲の場合、持出ファイルが部外秘であり、かつ幹部社員以外に明かせない極秘の情報である可能性があるからである。また、持出ファイルに対するファイル操作を行った他のユーザの部門の数が複数であっても、課長や部長などの幹部社員にしか利用されていない部門が存在するという流通範囲には、点数「２０」が設定されている。このような流通範囲の場合、持出ファイルが部外秘である可能性があるからである。また、持出ファイルに対するファイル操作を行った他のユーザの部門の数が複数であり、かつ各部門で一般社員にも利用されているという流通範囲には、点数「１」が設定されている。このような流通範囲の場合、持出ファイルが部外秘である可能性が低いからである。このような採点基準データ１３ｃ４にしたがって採点を行うことで、持出ファイルの流通範囲が狭いほど高い点数を与えることができる。

以上のように上記（イ）～上記（ハ）で採点された点数が総合される。例えば、評価部１５ｄは、上記（イ）で採点された点数と、上記（ロ）で採点された所属操作点および役職操作点と、上記（ハ）で採点された点数とを合計することにより、持ち出し操作の危険度が評価されたスコアを算出する。

出力部１５ｅは、分析レポートを出力する処理部である。

一実施形態として、出力部１５ｅは、評価部１５ｄにより持ち出し操作ごとに危険度のスコアが算出された場合、スコアの降順、すなわちスコアが高い順に持ち出し操作をソートする。その上で、出力部１５ｅは、スコアが降順にソートされた持ち出し操作のリストを分析レポートとして管理コンソール７０へ出力する。当然のことながら、分析レポートでは、各持ち出し操作に危険度のスコアを関連付けて出力することができるのは言うまでもない。

［スコアの計算例］
次に、図９～図１６を用いて、持ち出し操作の危険度のスコア計算についての具体例を説明する。図９～図１６は、操作ログデータの一例を示す図である。図９～図１６には、一例として、２０１ｘ年１０月１日の１７時００分から２０１ｘ年１０月３日の１５時３０分までに収集された管理対象システム５全体の操作ログが時系列に並べられた操作ログデータ１３ａが模式的に示されている。

図９に示す操作ログデータ１３ａに含まれる操作ログの中から持出操作ログが抽出される。この持出操作ログの抽出結果を模式的に強調表示した状態、例えば太字＋下線で図１０に示す。図１０に示すように、２０１ｘ年１０月３日の１５時３０分にユーザＡにより持ち出し操作「メールでの持出」が行われた操作ログが持出操作ログＡとして抽出されると共に、２０１ｘ年１０月２日の１７時２５分にユーザＣにより持ち出し操作「メールでの持出」が行われた操作ログが持出操作ログＢとして抽出される。

これらのうち、持出操作ログＡが選択された場合、選択中の持出操作ログＡを起点とし、そこから遡って持出ファイルに対する参照、作成、更新、削除、複写、移動、変名などのファイル操作が記録された操作ログをトレースする。このトレースにより得られた一連の操作ログを強調表示した状態、例えば太字＋下線で図１１に示す。

その後、図１１に示す一連の操作ログのうち、持出ユーザであるユーザＡの事前行動として特定された操作ログごとに、当該操作ログに含まれるファイル操作の内容に応じて点数が付与される。この持出ユーザであるユーザＡの事前行動に対応する操作ログを強調表示した状態、例えば太字＋下線で図１２に示す。図１２に示すように、２０１ｘ年１０月３日の１５時２５分にユーザＡによりファイルの変名が行われた操作ログ、２０１ｘ年１０月２日の１７時３０分にユーザＡによりファイルサーバからのコピーが行われた操作ログ、２０１ｘ年１０月２日の１７時２５分にユーザＡによりファイルの参照が行われた操作ログが持出ユーザであるユーザＡの事前行動に対応する。このユーザＡの事前行動は、図４に示す採点基準データ１３ｃ１にしたがって採点される。例えば、ファイルの変名で５点が加算され、ファイルサーバからのコピーで１０点が加算され、さらに、ファイルの参照で１点が加算される。これらを小計することにより、持出ユーザであるユーザＡの事前行動の危険度が１６点と評価される。

その後、図１２に示す一連の操作ログの中から、持出ユーザ以外の他のユーザとして、ユーザＤおよびユーザＢが特定される。このように持出ユーザであるユーザＡ以外の他のユーザとして特定されたユーザＤおよびユーザＢを枠線で囲んだ状態で図１３に示す。続いて、ユーザＤおよびユーザＢに対応する所属および役職を図５に示した属性データ１３ｂから検索することにより、ユーザＤが人事部の部長であり、ユーザＢが人事部の課長であることを識別できる。

そして、他のユーザであるユーザＤの事前行動、並びに、他のユーザであるユーザＢの事前行動が図１４に示す要領で採点される。例えば、ユーザＤの事前行動を採点する場合、所属操作点は、次のようにして計算される。すなわち、ユーザＤは、所属する部門が「人事部」であり、事前行動で行われたファイル操作がファイルの参照であるので、図６に示した採点基準データ１３ｃ２を用いて人事部に付与される点数「１５点」に、図４に示した採点基準データ１３ｃ１を用いてファイルの参照に付与される点数「１」を乗算することにより、所属操作点を１５点と算出できる。また、役職操作点は、次のようにして計算される。すなわち、ユーザＤは、役職が「部長」であり、事前行動で行われたファイル操作がファイルの参照であるので、図７に示した採点基準データ１３ｃ３を用いて部長に付与される点数「１５点」に、図４に示した採点基準データ１３ｃ１を用いてファイルの参照に付与される点数「１」を乗算することにより、役職操作点を１５点と算出できる。また、ユーザＢの事前行動を採点する場合も、ユーザＤの事前行動を採点する場合と同様にして、所属操作点を「１５点」、役職操作点を「１０点」と算出できる。

さらに、持出ユーザ以外の他のユーザの属性の分布の広がり度合いに応じて点数が採点される。他のユーザであるユーザＤの属性および他のユーザであるユーザＢの属性の分布の広がり度合いに応じて付与される点数が図１５に記入されている。これらユーザＤおよびユーザＢが所属する部門はいずれも人事部であるので、持出ファイルに対するファイル操作を行った他のユーザの部門の数は「１」と識別される。さらに、ユーザＤおよびユーザＢは、いずれも部長職および課長職の幹部社員である。そして、一般社員に該当するユーザは他のユーザとして特定されていない。このため、図８に示す採点基準データ１３ｃ４のうち上から１番目の流通範囲に該当する。したがって、流通範囲の危険度が３０点と評価される。

その上で、持出ユーザＡの事前行動から採点された点数「１６点」と、他のユーザＤの事前行動から採点された所属操作点と役職操作点の合計「３０点」および他のユーザＢの事前行動から採点された所属操作点と役職操作点の合計「２５点」と、他のユーザＤ及び他のユーザＢから識別される流通範囲から採点された点数「３０」とを合計することにより、持ち出し操作Ａの危険度のスコアを「１０１点」と算出することができる。

一方、持ち出し操作Ｂの危険度のスコアも同様に算出できる。この持ち出し操作Ｂの危険度のスコアの算出過程を図１６に示す。図１６に示すように、持出ユーザＣの事前行動から採点された点数「１点」と、他のユーザＦの事前行動から採点された所属操作点と役職操作点の合計「１０点」および他のユーザＥの事前行動から採点された所属操作点と役職操作点の合計「１５点」と、他のユーザＦ及び他のユーザＥから識別される流通範囲から採点された点数「１」とを合計することにより、持ち出し操作Ｂの危険度のスコアを「２７点」と算出することができる。

以上のように、持ち出し操作Ａの危険度のスコアを「１０１点」と算出すると共に、持ち出し操作Ｂの危険度のスコアを「２７点」と算出するので、持ち出し操作がスコアの降順にソートされた場合、持ち出し操作のリストでは、持ち出し操作Ａ及び持ち出し操作Ｂが持ち出し操作Ａ、持ち出し操作Ｂの順に並んだ状態で分析レポートを出力することができる。

これによって、情報漏えいの検証作業を効率化できる。なぜなら、上記の分析レポートの出力により、持ち出し操作Ｂに関する検証よりも持ち出し操作Ａに関する検証を優先するように促すことができるからである。すなわち、持ち出し操作Ａは、人事部門の幹部社員（ユーザＢおよびユーザＤ）で作成し管理されている個人情報を、営業担当であるユーザＡがファイルサーバから取り出して、ファイル名を当たり障りのないものに変名した上で外部に送付したという事例である。一方、持ち出し操作Ｂは、開発部門のユーザＥが作成し、他の営業担当であるユーザＦも利用している製品紹介資料を営業担当であるユーザＣがお客様に送付したという事例である。

これら持ち出し操作Ａの事例および持ち出し操作Ｂの事例のうち、持ち出し操作Ａの事例の方が情報漏えいの可能性が高い。このような実状に沿って優先順位が設定された持ち出し操作のリストを分析レポートとして自動的に出力できる。ここでは、説明の便宜上、持ち出し操作Ａおよび持ち出し操作Ｂの２つの持ち出し操作を例示したが、リスト化される持ち出し操作の数が増加するほど分析レポートが発揮する効果はより大きくなる。

［処理の流れ］
図１７は、実施例１に係るログ分析処理の手順を示すフローチャートである。この処理は、あくまで例として、管理コンソール７０から分析レポートのリクエストを受け付けた場合、分析レポートの出力が設定された日時になった場合、前回に分析レポートを出力してから所定の期間が経過する場合などに実行される。

図１７に示すように、抽出部１５ｂは、記憶部１３に操作ログデータ１３ａとして記憶された管理対象システム５全体の操作ログのうちファイルの持ち出し操作が記録された操作ログ、すなわち上記の持出操作ログを抽出する（ステップＳ１０１）。

続いて、特定部１５ｃは、ステップＳ１０１で抽出された持出操作ログのうち１つの持出操作ログを選択する（ステップＳ１０２）。続いて、特定部１５ｃは、管理対象システム５全体の操作ログを参照して、持出ユーザが持ち出し操作の事前に行ったファイル操作を記録する操作ログを特定する（ステップＳ１０３）。さらに、特定部１５ｃは、持出ファイルにファイル操作を行うユーザのうち持出ユーザ以外の他のユーザを特定する（ステップＳ１０４）。

その後、評価部１５ｄは、ステップＳ１０３で持出ユーザの事前行動として特定された操作ログごとに当該操作ログに含まれるファイル操作の内容に応じて加点する。さらに、評価部１５ｄは、ステップＳ１０４で他のユーザの事前行動として特定された操作ログごとに、他のユーザの属性に応じて付与される点数と、他のユーザにより行われたファイル操作の内容に応じて付与される点数とを乗算することにより、他のユーザの事前行動に加点する（ステップＳ１０５）。さらに、評価部１５ｄは、ステップＳ１０４で特定された持出ユーザ以外の他のユーザの属性の分布の広がり度合いに応じて加点する（ステップＳ１０６）。

これら持出ユーザの事前行動から採点された点数と、ステップＳ１０５で他のユーザの事前行動から採点された点数と、ステップＳ１０６で他のユーザから識別される流通範囲から採点された点数とを合計することにより、持ち出し操作の危険度のスコアを得ることができる。

そして、ステップＳ１０１で抽出された全ての持出操作ログが選択されるまで（ステップＳ１０７Ｎｏ）、上記のステップＳ１０２～上記のステップＳ１０６までの処理が繰り返し実行される。

その後、ステップＳ１０１で抽出された全ての持出操作ログが選択された場合（ステップＳ１０７Ｙｅｓ）、出力部１５ｅは、スコアの降順、すなわちスコアが高い順に持ち出し操作をソートする（ステップＳ１０８）。その上で、出力部１５ｅは、スコアが降順にソートされた持ち出し操作のリストを分析レポートとして管理コンソール７０へ出力し（ステップＳ１０９）、処理を終了する。

［効果の一側面］
上述してきたように、本実施例に係るログ分析装置１０は、外部への持ち出し操作が行われたファイルに操作を行うユーザのうち持ち出し操作を行うユーザ以外の他のユーザを特定し、他のユーザの属性や他のユーザが行う操作の内容に基づいて持ち出し操作の危険度を評価する。したがって、本実施例に係るログ分析装置１０によれば、持ち出し操作の危険度の評価精度を高めることが可能になる。

さて、これまで開示の装置に関する実施例について説明したが、本発明は上述した実施例以外にも、種々の異なる形態にて実施されてよいものである。そこで、以下では、本発明に含まれる他の実施例を説明する。

［分散および統合］
図示した各装置の各構成要素は、必ずしも物理的に図示の如く構成されておらずともよい。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。例えば、取得部１５ａ、抽出部１５ｂ、特定部１５ｃ、評価部１５ｄまたは出力部１５ｅをログ分析装置１０の外部装置としてネットワーク経由で接続するようにしてもよい。また、取得部１５ａ、抽出部１５ｂ、特定部１５ｃ、評価部１５ｄまたは出力部１５ｅを別の装置がそれぞれ有し、ネットワーク接続されて協働することで、上記のログ分析装置１０の機能を実現するようにしてもよい。

［評価プログラム］
また、上記の実施例で説明した各種の処理は、予め用意されたプログラムをパーソナルコンピュータやワークステーションなどのコンピュータで実行することによって実現することができる。そこで、以下では、図１８を用いて、上記の実施例と同様の機能を有する評価プログラムを実行するコンピュータの一例について説明する。

図１８は、実施例１及び実施例２に係る評価プログラムを実行するコンピュータのハードウェア構成例を示す図である。図１８に示すように、コンピュータ１００は、操作部１１０ａと、スピーカ１１０ｂと、カメラ１１０ｃと、ディスプレイ１２０と、通信部１３０とを有する。さらに、このコンピュータ１００は、ＣＰＵ１５０と、ＲＯＭ１６０と、ＨＤＤ１７０と、ＲＡＭ１８０とを有する。これら１１０～１８０の各部はバス１４０を介して接続される。

ＨＤＤ１７０には、図１８に示すように、上記の実施例１で示した取得部１５ａ、抽出部１５ｂ、特定部１５ｃ、評価部１５ｄおよび出力部１５ｅと同様の機能を発揮する評価プログラム１７０ａが記憶される。この評価プログラム１７０ａは、図３に示した取得部１５ａ、抽出部１５ｂ、特定部１５ｃ、評価部１５ｄおよび出力部１５ｅの各構成要素と同様、統合又は分離してもかまわない。すなわち、ＨＤＤ１７０には、必ずしも上記の実施例１で示した全てのデータが格納されずともよく、処理に用いるデータがＨＤＤ１７０に格納されればよい。

このような環境の下、ＣＰＵ１５０は、ＨＤＤ１７０から評価プログラム１７０ａを読み出した上でＲＡＭ１８０へ展開する。この結果、評価プログラム１７０ａは、図１８に示すように、評価プロセス１８０ａとして機能する。この評価プロセス１８０ａは、ＲＡＭ１８０が有する記憶領域のうち評価プロセス１８０ａに割り当てられた領域にＨＤＤ１７０から読み出した各種データを展開し、この展開した各種データを用いて各種の処理を実行する。例えば、評価プロセス１８０ａが実行する処理の一例として、図１７に示す処理などが含まれる。なお、ＣＰＵ１５０では、必ずしも上記の実施例１で示した全ての処理部が動作せずともよく、実行対象とする処理に対応する処理部が仮想的に実現されればよい。

なお、上記の評価プログラム１７０ａは、必ずしも最初からＨＤＤ１７０やＲＯＭ１６０に記憶されておらずともかまわない。例えば、コンピュータ１００に挿入されるフレキシブルディスク、いわゆるＦＤ、ＣＤ－ＲＯＭ、ＤＶＤディスク、光磁気ディスク、ＩＣカードなどの「可搬用の物理媒体」に評価プログラム１７０ａを記憶させる。そして、コンピュータ１００がこれらの可搬用の物理媒体から評価プログラム１７０ａを取得して実行するようにしてもよい。また、公衆回線、インターネット、ＬＡＮ、ＷＡＮなどを介してコンピュータ１００に接続される他のコンピュータまたはサーバ装置などに評価プログラム１７０ａを記憶させておき、コンピュータ１００がこれらから評価プログラム１７０ａを取得して実行するようにしてもよい。

以上の実施例を含む実施形態に関し、さらに以下の付記を開示する。

（付記１）ファイルの持ち出し操作を検出すると、前記ファイルに対する過去の操作の操作元を記憶する記憶部を参照して、前記ファイルに対する過去の操作の操作元のうち、検出した前記持ち出し操作の操作元以外の操作元を特定し、
特定した前記操作元の属性に基づき、前記ファイルに関する評価を行う、
処理をコンピュータに実行させることを特徴とする評価プログラム。

（付記２）特定した前記操作元の属性の分布に基づき、前記ファイルに関する評価を行う、
ことを特徴とする付記１に記載の評価プログラム。

（付記３）前記操作元の属性は、前記操作元の所属または役職であることを特徴とする付記１に記載の評価プログラム。

（付記４）ファイルの持ち出し操作を検出すると、前記ファイルに対する過去の操作の内容を該操作の操作元に対応付けて記憶する記憶部を参照して、前記ファイルに対する過去の操作の内容のうち、検出した前記持ち出し操作の操作元以外の操作元による操作の内容を特定し、
特定した前記操作の内容に基づき、前記ファイルに関する評価を行う、
処理をコンピュータに実行させることを特徴とする評価プログラム。

（付記５）ファイルの持ち出し操作を検出すると、前記ファイルに対する過去の操作の操作元を記憶する記憶部を参照して、前記ファイルに対する過去の操作の操作元のうち、検出した前記持ち出し操作の操作元以外の操作元を特定し、
特定した前記操作元の属性に基づき、前記ファイルに関する評価を行う、
処理をコンピュータが実行することを特徴とする評価方法。

（付記６）特定した前記操作元の属性の分布に基づき、前記ファイルに関する評価を行う、
ことを特徴とする付記５に記載の評価方法。

（付記７）前記操作元の属性は、前記操作元の所属または役職であることを特徴とする付記５に記載の評価方法。

（付記８）ファイルの持ち出し操作を検出すると、前記ファイルに対する過去の操作の内容を該操作の操作元に対応付けて記憶する記憶部を参照して、前記ファイルに対する過去の操作の内容のうち、検出した前記持ち出し操作の操作元以外の操作元による操作の内容を特定し、
特定した前記操作の内容に基づき、前記ファイルに関する評価を行う、
処理をコンピュータが実行することを特徴とする評価方法。

（付記９）ファイルの持ち出し操作を検出すると、前記ファイルに対する過去の操作の操作元を記憶する記憶部を参照して、前記ファイルに対する過去の操作の操作元のうち、検出した前記持ち出し操作の操作元以外の操作元を特定する特定部と、
特定した前記操作元の属性に基づき、前記ファイルに関する評価を行う評価部と、
を有することを特徴とする情報処理装置。

（付記１０）前記評価部は、特定した前記操作元の属性の分布に基づき、前記ファイルに関する評価を行う、
ことを特徴とする付記９に記載の情報処理装置。

（付記１１）前記操作元の属性は、前記操作元の所属または役職であることを特徴とする付記９に記載の情報処理装置。

（付記１２）ファイルの持ち出し操作を検出すると、前記ファイルに対する過去の操作の内容を該操作の操作元に対応付けて記憶する記憶部を参照して、前記ファイルに対する過去の操作の内容のうち、検出した前記持ち出し操作の操作元以外の操作元による操作の内容を特定する特定部と、
特定した前記操作の内容に基づき、前記ファイルに関する評価を行う評価部と、
を有することを特徴とする情報処理装置。

１ ログ分析システム
３Ａ，３Ｂ，３Ｃ ログ収集用ソフトウェア
５ 管理対象システム
１０ ログ分析装置
１１ 通信Ｉ／Ｆ部
１３ 記憶部
１３ａ 操作ログデータ
１３ｂ 属性データ
１３ｃ 採点基準データ
１５ 制御部
１５ａ 取得部
１５ｂ 抽出部
１５ｃ 特定部
１５ｄ 評価部
１５ｅ 出力部
３０Ａ，３０Ｂ，３０Ｃ クライアント端末
５０ 管理サーバ
７０ 管理コンソール

Claims (6)

1. ファイルの持ち出し操作を検出すると、前記ファイルに対する過去の操作の操作元を記憶する記憶部を参照して、前記ファイルに対する過去の操作の操作元のうち、検出した前記持ち出し操作の第１の操作元以外の第２の操作元を特定し、
   特定した前記第２の操作元の属性に基づき、前記持ち出し操作の危険度を評価する、
   処理をコンピュータに実行させることを特徴とする評価プログラム。
2. 特定した前記第２の操作元の属性の分布に基づき、前記持ち出し操作の危険度を評価する、
   ことを特徴とする請求項１に記載の評価プログラム。
3. 前記第２の操作元の属性は、前記第２の操作元の所属または役職であることを特徴とする請求項１または請求項２に記載の評価プログラム。
4. ファイルの持ち出し操作を検出すると、前記ファイルに対する過去の操作の内容を該操作の操作元に対応付けて記憶する記憶部を参照して、前記ファイルに対する過去の操作の内容のうち、検出した前記持ち出し操作の第１の操作元以外の第２の操作元による操作の内容を特定し、
   特定した前記第２の操作元による操作の内容に基づき、前記持ち出し操作の危険度を評価する、
   処理をコンピュータに実行させることを特徴とする評価プログラム。
5. ファイルの持ち出し操作を検出すると、前記ファイルに対する過去の操作の操作元を記憶する記憶部を参照して、前記ファイルに対する過去の操作の操作元のうち、検出した前記持ち出し操作の第１の操作元以外の第２の操作元を特定し、
   特定した前記第２の操作元の属性に基づき、前記持ち出し操作の危険度を評価する、
   処理をコンピュータが実行することを特徴とする評価方法。
6. ファイルの持ち出し操作を検出すると、前記ファイルに対する過去の操作の操作元を記憶する記憶部を参照して、前記ファイルに対する過去の操作の操作元のうち、検出した前記持ち出し操作の第１の操作元以外の第２の操作元を特定する特定部と、
   特定した前記第２の操作元の属性に基づき、前記持ち出し操作の危険度を評価する評価部と、
   を有することを特徴とする情報処理装置。

Images