JP7158357B2 - インセンティブ付与装置、方法及びプログラム - Google Patents

Description

本発明は、セキュリティ対策行動を促進させるための装置、方法及びプログラムに関する。

従来、ある種の行動を促進させるための施策として、大きく分けて、インセンティブ付与型の手法と、ペナルティ付与型の手法とが考えられている。
インセンティブ付与型の手法は、例えば、安全な自動車運転の特性を検出することで自動車保険料の割引又はキャッシュバックを行ったり、健康診断の受診又はスポーツイベントへの参加等の健康増進につながる行動に対して各種保険料の割引を行ったりといった施策が挙げられる。
これに対して、ペナルティ付与型の手法は、例えば、家庭ごとの電力使用量が近隣の平均電力使用量よりも多い場合に警告し、より良い行動へと促す施策が挙げられる。

ところで、インターネットに接続されたユーザの端末及び利用するウェブサービス等は、様々な攻撃からの脅威に晒されており、ユーザ自身が適切なセキュリティ対策を施すことが重要となっている。このようなセキュリティ対策行動を促進させるためには、通常、ペナルティ付与型の手法が多く実施されている。
例えば、容易に推測されるパスワードが設定されている等、サイバー攻撃に悪用されるおそれのあるＩｏＴ機器の調査及び当該機器の利用者への注意喚起を行う取り組みが実施されている（非特許文献１参照）。また、端末上のウィルス等を検出し、駆除すると共に警告を出力するウィルス対策のソフトウェアも知られている。

ＮＯＴＩＣＥ（Ｎａｔｉｏｎａｌ Ｏｐｅｒａｔｉｏｎ Ｔｏｗａｒｄｓ ＩｏＴ Ｃｌｅａｎ Ｅｎｖｉｒｏｎｍｅｎｔ）、総務省、国立研究開発法人情報通信研究機構（ＮＩＣＴ）、インターネット＜ｈｔｔｐｓ：／／ｗｗｗ．ｎｉｃｔ．ｇｏ．ｊｐ／ｐｒｅｓｓ／２０１９／０２／０１－１．ｈｔｍｌ＞

しかしながら、端末又はサービスのセキュリティ対策を促したい場合に、ペナルティ付与型の施策を実施した場合、危険又は不適切な行動に対してアラートを示すため、ユーザの不安感を煽り、サービス自体にネガティブな印象を持たせるおそれがある。すると、ユーザ自身が端末又はサービスの利用自体に拒否反応を示し、利用者の減少、すなわち市場の萎縮につながる可能性があった。

また、ウィルス対策ソフトウェアのように、セキュリティ上の問題があった場合にのみユーザに通知する場合、適切な行動をとっている時には、そもそも対策ソフトウェア自体が動作しているかどうかに気付き難いため、セキュリティ対策の重要性を意識しなくなるおそれがあり、結果的に対策をやめてしまうことも考えられる。

一方、セキュリティの分野において、このようなペナルティ付与型ではなく、ユーザが安全な行動を取る度にインセンティブを付与することでセキュリティ対策行動を促進するインセンティブ付与型の施策の実現手法は、これまで提案されていなかった。

本発明は、ユーザによるセキュリティ対策行動を大きく促進できるインセンティブ付与装置、方法及びプログラムを提供することを目的とする。

本発明に係るインセンティブ付与装置は、ユーザの機器で実施されたセキュリティ設定に関する設定情報を取得する情報取得部と、前記セキュリティ設定の項目毎に定義された最適状態を示す目標値を保持する記憶部と、前記設定情報に基づいて、前記目標値からの乖離度に応じた前記セキュリティ設定の適切度を総合評価する評価部と、前記適切度に応じた前記ユーザに対するインセンティブの量を決定するインセンティブ決定部と、決定された前記インセンティブの量を前記ユーザに通知するインセンティブ通知部と、を備える。

前記セキュリティ設定の項目は、所定の対策ソフトウェアの導入の有無、当該対策ソフトウェア及び他のアプリケーションソフトウェアの更新状況、ＯＳの更新状況、パスワードの設定状況のいずれかを含んでもよい。

前記インセンティブは、金銭、ポイント、前記適切度の提示のいずれかを含んでもよい。

前記評価部は、前記セキュリティ設定の実施された日時までの、前記目標値としての日時からの期間に基づいて、前記適切度を評価してもよい。

前記インセンティブ決定部は、前記ユーザの所持する複数の機器に対してそれぞれ前記適切度が評価された場合に、当該複数の機器に対する前記適切度の統計量に基づいて、前記インセンティブの量を決定してもよい。

前記インセンティブ付与装置は、前記ユーザに対して、前記セキュリティ設定を更新した場合に得られる前記インセンティブの量を提示する提案部を備えてもよい。

前記インセンティブ決定部は、前記セキュリティ設定の項目毎に予め設定された重要度に応じて、前記インセンティブの量を調整してもよい。

前記情報取得部は、複数のサービス毎に収集された前記設定情報を取得してもよい。

本発明に係るインセンティブ付与システムは、前記のインセンティブ付与装置と、前記設定情報を収集する監視装置と、を備え、前記監視装置は、前記機器にインストールされた収集プログラムにより送信された前記設定情報を受信する。

本発明に係るインセンティブ付与システムは、前記インセンティブ付与装置と、前記設定情報を収集する監視装置と、を備え、前記監視装置は、前記機器のネットワーク上の通信履歴から前記設定情報を取得する。

本発明に係るインセンティブ付与方法は、ユーザの機器で実施されたセキュリティ設定に関する設定情報を取得する情報取得ステップと、前記設定情報に基づいて、前記セキュリティ設定の項目毎に定義された最適状態を示す目標値からの乖離度に応じた前記セキュリティ設定の適切度を総合評価する評価ステップと、前記適切度に応じた前記ユーザに対するインセンティブの量を決定するインセンティブ決定ステップと、決定された前記インセンティブの量を前記ユーザに通知するインセンティブ通知ステップと、をコンピュータが実行する。

本発明に係るインセンティブ付与プログラムは、前記インセンティブ付与装置としてコンピュータを機能させるためのものである。

本発明によれば、ユーザによるセキュリティ対策行動を大きく促進できる。

実施形態におけるインセンティブ付与システムの全体構成を示す図である。 実施形態におけるインセンティブ付与装置の機能構成を示す図である。 実施形態におけるインセンティブ付与方法を示すフローチャートである。

以下、本発明の実施形態の一例について説明する。
本実施形態では、ユーザの所持する機器（端末）で実施されたセキュリティ設定の内容を、ネットワーク上に設けられた装置が収集し、収集した設定情報の適切さに応じて、ユーザに対してインセンティブが付与される。

ここで、セキュリティ設定の項目は、例えば、所定の対策ソフトウェア（例えば、ウィルス対策ソフトウェア）の導入の有無、ウィルス検知ルールを含む当該ソフトウェアの更新状況（バージョン及び更新時期等）、その他のアプリケーションソフトウェアの更新状況、ＯＳの更新状況、アプリケーションソフトウェア及びウェブサービスにおけるプライバシ設定及びパスワードの設定状況（文字種、長さ、更新時期等）を含む。

図１は、本実施形態におけるインセンティブ付与システム１の全体構成を示す図である。
インセンティブ付与システム１は、ユーザの所有する機器１０と、監視装置２０と、インセンティブ付与装置３０とを備える。

機器１０は、パーソナルコンピュータ（ＰＣ）又はモバイル端末等、ユーザが所持し、インターネットに接続された情報処理装置である。
機器１０には、セキュリティ設定に関する設定情報を収集するための収集プログラムが予めインストールされ、定期的に又は設定変更のタイミングで監視装置２０に対して、収集された設定情報が送信される。
なお、収集プログラムは、設定情報を収集するための専用のソフトウェアであってもよいが、セキュリティ設定を監視する対象のソフトウェア、例えばウィルス対策ソフトウェア等の機能として設けられてもよい。

監視装置２０は、機器１０を監視し、機器１０におけるセキュリティ設定を収集するサーバ装置であり、機器１０から送信された設定情報を受信する。
あるいは、監視装置２０は、機器１０のネットワーク上の通信履歴から設定情報を取得してもよい。この場合、監視装置２０は、送受信されるパケットの情報から、例えば、機器１０で動作しているブラウザのバージョン、及びバージョンアップの時期等の情報を取得する。
また、監視装置２０は、ウェブサービスにおける設定情報を、サービス事業者の管理サーバから取得してもよいし、管理サーバが監視装置２０として機能してもよい。

ここで、監視装置２０は、例えば、機器１０で利用されるアプリケーションソフトウェアの提供者、又は通信ネットワークを提供するＩＳＰ事業者等毎に設けられる。このように複数の監視装置２０が設けられる場合、それぞれが個別に特定項目の設定情報を収集し、インセンティブ付与装置３０において、設定情報が機器１０毎に統合される。

図２は、本実施形態におけるインセンティブ付与装置３０の機能構成を示す図である。
インセンティブ付与装置３０は、監視装置２０により収集された設定情報を取得し、ユーザに対してインセンティブを付与するための処理を実行する制御部３１及び記憶部３２を備えたサーバ装置である。

制御部３１は、記憶部３２に記憶された所定のソフトウェア（インセンティブ付与プログラム）を実行することにより、情報取得部３１１、評価部３１２、インセンティブ決定部３１３、インセンティブ通知部３１４、及び提案部３１５として機能する。

記憶部３２は、インセンティブ付与プログラムの他、機器１０の識別情報及び機器１０を所有するユーザの情報、セキュリティ設定の項目毎に定義された最適状態を示す目標値等を記憶する。

情報取得部３１１は、監視装置２０から、ユーザの機器１０で実施されたセキュリティ設定に関する設定情報を取得する。
このとき、情報取得部３１１は、複数のサービス（アプリケーションソフトウェア、ウェブサービス等）毎に収集された設定情報を、それぞれ対応する監視装置２０から、セキュリティの目標値と共に取得してもよい。

評価部３１２は、取得した機器１０毎の設定情報に基づいて、目標値からの乖離度に応じたセキュリティ設定の適切度、すなわちセキュリティ対策が適切に、かつ、迅速に行われているかを総合評価する。

ここで、セキュリティ対策が適切であることは、例えば、ソフトウェア及びＯＳ等のバージョンが最新であること、パスワードの文字種が推奨に従っていること等で評価される。
また、セキュリティ対策が迅速に行われていることについて、評価部３１２は、セキュリティ設定の実施された日時までの、目標値としての日時からの期間に基づいて、適切度を評価する。例えば、ソフトウェア又は定義データ等のアップデートが提供されてから、実際に適用された時までの期間の短さで迅速さの適切度が評価される。
そして、評価部３１２は、これらのセキュリティ設定の項目毎の適切度を、合計又は平均等の統計処理によって総合評価する。

インセンティブ決定部３１３は、機器１０毎に評価された適切度に応じたユーザに対するインセンティブの量を決定する。なお、インセンティブは、金銭の他、商品若しくはサービスに充当できるポイント、又は適切度の提示等であってもよい。

このとき、インセンティブ決定部３１３は、ユーザの所持する複数の機器１０に対してそれぞれ適切度が評価された場合に、これら複数の機器１０に対する適切度の統計量に基づいて、インセンティブの量を決定する。
具体的には、例えば、最も低い適切度に基づいて、又は平均値に基づいてインセンティブの量が決定されてよい。あるいは、機器１０の使用頻度の情報が取得可能な場合、この使用頻度に応じて重み付けした加重平均値に基づいて決定されてもよい。

また、インセンティブ決定部３１３は、セキュリティ設定の項目毎に予め設定された重要度に応じて、インセンティブの量を調整してもよい。すなわち、特に導入を促したいセキュリティ対策の項目については、インセンティブの量を高く設定する等の調整がされてもよい。

なお、実際にユーザに対して付与する金銭又はポイント等のインセンティブの量は、例えば、前回までに付与した量からの差分、すなわち設定変更分に対応する量であってよい。あるいは、定期的に決定された絶対量が毎回付与されてもよい。

インセンティブ通知部３１４は、決定されたインセンティブの量を、メール又はアプリケーションプログラムでの表示等の方法によりユーザに通知する。
なお、インセンティブは、例えば第三者のポイントサイトと連携し、このサイトのポイントに換算されてもよい。この場合、インセンティブの量は、連携先のサイトを経由して通知されてもよい。

提案部３１５は、セキュリティ設定の項目を仮に変更した場合の設定情報を評価部３１２に提供することで、インセンティブ決定部３１３からインセンティブの量の期待値を取得し、ユーザに対して、セキュリティ設定を更新した場合に得られるインセンティブの量を提示する。

図３は、本実施形態におけるインセンティブ付与方法を示すフローチャートである。
ここでは、ユーザが所持する複数の機器１０にいずれかにおいて、セキュリティ対策に関する設定が変更されたことを監視装置２０が検知した場合の、インセンティブ付与装置３０における処理を例示している。

ステップＳ１において、情報取得部３１１は、監視装置２０から機器１０におけるセキュリティ対策の設定情報を取得する。

ステップＳ２において、評価部３１２は、取得した設定情報に基づいて、機器１０におけるセキュリティ設定の適切度を評価する。

ステップＳ３において、インセンティブ決定部３１３は、複数の機器１０それぞれに対して算出された適切度の中の最小値が上昇したか否かを判定する。この判定がＹＥＳの場合、処理はステップＳ４に移り、判定がＮＯの場合、処理はステップＳ６に移る。

ステップＳ４において、インセンティブ決定部３１３は、適切度の最小値、あるいは以前の最小値からの上昇量に基づいて、ユーザに対して付与するインセンティブの量を決定する。

ステップＳ５において、インセンティブ通知部３１４は、決定されたインセンティブの量をユーザに通知する。

ステップＳ６において、インセンティブ通知部３１４は、今回の設定変更によって追加のインセンティブがないことをユーザに通知する。

本実施形態によれば、インセンティブ付与システム１は、機器１０で実施されたセキュリティ対策に関する設定情報を取得し、目標値と比較することにより、セキュリティ設定の適切度を評価する。
インセンティブ付与システム１は、この適切度に応じたインセンティブを決定することにより、ペナルティ付与型の手法では、セキュリティ対策に問題がない場合に対策の重要性を意識しなくなる問題を解決し、また、ユーザが経済的又は達成意欲的な利益を得られることから、ユーザによるセキュリティ対策行動を大きく促進できる。

さらに、インセンティブ付与システム１は、セキュリティ対策への関心が低い、あるいはリテラシの低いユーザに対しても対策行動への動機付けを行えるため、家族等の助けを借りてでも対策が実施されることが期待でき、結果として、セキュリティ対策を広めることができる。

この結果、ネットワーク全体のセキュリティレベルが向上し、例えば、一部の機器１０を踏み台にされるような攻撃に対しての耐性も向上するため、被害を受ける可能性を低減できる。

インセンティブ付与システム１は、セキュリティ設定の項目として、所定の対策ソフトウェアの導入の有無、対策ソフトウェア及び他のアプリケーションソフトウェアの更新状況、ＯＳの更新状況、パスワードの設定状況等を取得する。
これにより、インセンティブ付与システム１は、機器１０にインストールされるソフトウェア及びＯＳ等の設定、あるいは、機器１０から利用するウェブサービスにおけるパスワード設定及びプライバシ設定等のセキュリティ対策が十分であるかどうかを適切に評価できる。

インセンティブ付与システム１は、ユーザへ、金銭、ポイント、あるいはセキュリティ対策の適切度の提示といった具体的なインセンティブを付与することで達成感を与え、セキュリティ対策への意欲を向上させることができる。

インセンティブ付与システム１は、セキュリティ設定の実施された日時までの、目標値としての日時からの期間に基づいて適切度を評価することにより、日々新たに発見される脅威に対してユーザがセキュリティ対策を迅速に行っていることを評価し、適切にインセンティブを付与することができる。

インセンティブ付与システム１は、ユーザの所持する複数の機器１０に対してそれぞれ適切度が評価された場合に、これら複数の機器１０に対する適切度の統計量、例えば最小値、平均値、加重平均値等に基づいて、インセンティブの量を決定する。
これにより、インセンティブ付与システム１は、機器１０の数が増えることによって、個々の機器１０の適切度の高低に関わらずインセンティブが合計され増大してしまう問題を防ぐことができる。

インセンティブ付与システム１は、ユーザに対して、セキュリティ設定を更新した場合に得られるインセンティブの量を、メール又はアプリケーションプログラムを介して提示する。
これにより、インセンティブ付与システム１は、ユーザにセキュリティ対策の動機付けを行い、行動を促すことができる。

インセンティブ付与システム１は、セキュリティ設定の項目毎に予め設定された重要度に応じて、インセンティブの量を調整するので、導入を促したいセキュリティ対策に多くのインセンティブを付与することで、対策行動を促進できる。
また、特に導入を促したいセキュリティ対策については、インセンティブの量を明示しないことにより、口コミでの拡散が期待できる。

インセンティブを付与システム１は、複数のサービス毎に収集された設定情報を取得して統合管理することにより、個別に提供される複数のアプリケーション又はウェブサービス等のサービスのそれぞれで収集されるセキュリティ対策の設定情報に基づいて、統一的なインセンティブを付与することができる。

インセンティブを付与システム１は、機器１０にインストールされた収集プログラムにより送信された設定情報を受信することにより、機器１０における詳細な設定情報を取得し、インセンティブを適切に付与できる。
また、インセンティブを付与システム１は、機器１０のネットワーク上の通信履歴から設定情報を取得することにより、機器１０に設定情報を収集するための機能を付加することなく、容易に設定情報を取得できる。

以上、本発明の実施形態について説明したが、本発明は前述した実施形態に限るものではない。また、前述した実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、実施形態に記載されたものに限定されるものではない。

前述の実施形態における監視装置２０とインセンティブ付与装置３０とは、別組織（事業者）によりそれぞれ運用されてもよいし、同一組織により運用されてもよい。
また、監視装置２０とインセンティブ付与装置３０とは、単一のサーバとして構成されてもよい。

インセンティブ付与システム１によるインセンティブ付与方法は、ソフトウェアにより実現される。ソフトウェアによって実現される場合には、このソフトウェアを構成するプログラムが、情報処理装置（コンピュータ）にインストールされる。また、これらのプログラムは、ＣＤ－ＲＯＭのようなリムーバブルメディアに記録されてユーザに配布されてもよいし、ネットワークを介してユーザのコンピュータにダウンロードされることにより配布されてもよい。さらに、これらのプログラムは、ダウンロードされることなくネットワークを介したＷｅｂサービスとしてユーザのコンピュータに提供されてもよい。

１ インセンティブ付与システム
１０ 機器
２０ 監視装置
３０ インセンティブ付与装置
３１ 制御部
３２ 記憶部
３１１ 情報取得部
３１２ 評価部
３１３ インセンティブ決定部
３１４ インセンティブ通知部
３１５ 提案部

Claims (11)

1. ユーザの機器で実施されたセキュリティ設定に関する設定情報を取得する情報取得部と、
   前記セキュリティ設定の項目毎に定義された最適状態、及び当該最適状態に設定すべき日時を示す目標値を保持する記憶部と、
   前記設定情報に基づいて、前記目標値としての最適状態からの前記セキュリティ設定の実施された状態の乖離度、及び前記目標値としての日時から前記セキュリティ設定の実施された日時までの期間に応じた前記セキュリティ設定の適切度を総合評価する評価部と、
   前記適切度に応じた前記ユーザに対するインセンティブの量を決定するインセンティブ決定部と、
   決定された前記インセンティブの量を前記ユーザに通知するインセンティブ通知部と、を備えるインセンティブ付与装置。
2. 前記セキュリティ設定の項目は、所定の対策ソフトウェアの導入の有無、当該対策ソフトウェア及び他のアプリケーションソフトウェアの更新状況、ＯＳの更新状況、パスワードの設定状況のいずれかを含む請求項１に記載のインセンティブ付与装置。
3. 前記インセンティブは、金銭、ポイント、前記適切度の提示のいずれかを含む請求項１又は請求項２に記載のインセンティブ付与装置。
4. 前記インセンティブ決定部は、前記ユーザの所持する複数の機器に対してそれぞれ前記適切度が評価された場合に、当該複数の機器に対する前記適切度の統計量に基づいて、前記インセンティブの量を決定する請求項１から請求項３のいずれかに記載のインセンティブ付与装置。
5. 前記ユーザに対して、前記セキュリティ設定を更新した場合に得られる前記インセンティブの量を提示する提案部を備える請求項１から請求項４のいずれかに記載のインセンティブ付与装置。
6. 前記インセンティブ決定部は、前記セキュリティ設定の項目毎に予め設定された重要度に応じて、前記インセンティブの量を調整する請求項１から請求項５のいずれかに記載のインセンティブ付与装置。
7. 前記情報取得部は、複数のサービス毎に収集された前記設定情報を取得する請求項１から請求項６のいずれかに記載のインセンティブ付与装置。
8. 請求項１から請求項７のいずれかに記載のインセンティブ付与装置と、前記設定情報を収集する監視装置と、を備えるインセンティブ付与システムであって、
   前記監視装置は、前記機器にインストールされた収集プログラムにより送信された前記設定情報を受信するインセンティブ付与システム。
9. 請求項１から請求項７のいずれかに記載のインセンティブ付与装置と、前記設定情報を収集する監視装置と、を備えるインセンティブ付与システムであって、
   前記監視装置は、前記機器のネットワーク上の通信履歴から前記設定情報を取得するインセンティブ付与システム。
10. ユーザの機器で実施されたセキュリティ設定に関する設定情報を取得する情報取得ステップと、
    前記設定情報に基づいて、前記セキュリティ設定の項目毎に定義された目標値としての最適状態からの前記セキュリティ設定の実施された状態の乖離度、及び前記目標値としての前記最適状態に設定すべき日時から前記セキュリティ設定の実施された日時までの期間に応じた前記セキュリティ設定の適切度を総合評価する評価ステップと、
    前記適切度に応じた前記ユーザに対するインセンティブの量を決定するインセンティブ決定ステップと、
    決定された前記インセンティブの量を前記ユーザに通知するインセンティブ通知ステップと、をコンピュータが実行するインセンティブ付与方法。
11. 請求項１から請求項７のいずれかに記載のインセンティブ付与装置としてコンピュータを機能させるためのインセンティブ付与プログラム。

Images