JP7288636B1 - 情報処理装置、情報処理方法およびプログラム - Google Patents

Abstract

【課題】利用されているシャドーＩＴの存在およびその利用状況を把握し、後続処理を行えるようにする。【解決手段】契約外サービスを検出し、管理する情報処理装置は、ユーザ端末からブラウザ履歴情報を受信して記憶部に格納するステップと、記憶部からブラウザ履歴情報を読み出して、読み出したブラウザ履歴情報のユーザＩＤおよびサービス識別子が記憶部に記憶されているユーザの契約サービス情報の対応するデータと一致するかどうかを判定するステップと、一致しないと判定されたブラウザ履歴情報に対して契約外サービスであることを示す第１の値をセットするステップと、第１の値がセットされたブラウザ履歴情報を使用して、ユーザに関連付けられる契約外サービスの利用状況を示すレポートを生成して、ユーザの管理者に送信するステップと、ユーザの管理者から契約外サービスの承認可否信号を受信するステップとを実行するように構成されている。【選択図】図１０

Description

特許法第３０条第２項適用 掲載年月日 令和４年１月６日 掲載アドレス（ＵＲＬ） ｈｔｔｐｓ：／／ｄｘｅｃｏ．ｆｒｅｓｈｄｅｓｋ．ｃｏｍ／ｓｕｐｐｏｒｔ／ｓｏｌｕｔｉｏｎｓ／ａｒｔｉｃｌｅｓ／７３０００５１７３４６－２０２２％Ｅ５％Ｂ９％Ｂ４１％Ｅ６％９Ｃ％８８６％Ｅ６％９７％Ａ５％Ｅ３％８１％ＡＥ％Ｅ３％８３％ＡＡ％Ｅ３％８３％ＡＡ％Ｅ３％８３％ＢＣ％Ｅ３％８２％Ｂ９ 掲載年月日 令和４年１月２１日 掲載アドレス（ＵＲＬ） ｈｔｔｐｓ：／／ｄｘｅｃｏ．ｆｒｅｓｈｄｅｓｋ．ｃｏｍ／ｓｕｐｐｏｒｔ／ｓｏｌｕｔｉｏｎｓ／ａｒｔｉｃｌｅｓ／７３０００５１７３４５－２０２２％Ｅ５％Ｂ９％Ｂ４１％Ｅ６％９Ｃ％８８２１％Ｅ６％９７％Ａ５％Ｅ３％８１％ＡＥ％Ｅ３％８３％ＡＡ％Ｅ３％８３％ＡＡ％Ｅ３％８３％ＢＣ％Ｅ３％８２％Ｂ９ 掲載年月日 令和４年５月３１日 掲載アドレス（ＵＲＬ） ｈｔｔｐｓ：／／ｄｘｅｃｏ．ｆｒｅｓｈｄｅｓｋ．ｃｏｍ／ｓｕｐｐｏｒｔ／ｓｏｌｕｔｉｏｎｓ／ａｒｔｉｃｌｅｓ／７３０００５５３７９０－２０２２％Ｅ５％Ｂ９％Ｂ４５％Ｅ６％９Ｃ％８８３１％Ｅ６％９７％Ａ５％Ｅ３％８１％ＡＥ％Ｅ３％８３％ＡＡ％Ｅ３％８３％ＡＡ％Ｅ３％８３％ＢＣ％Ｅ３％８２％Ｂ９－ｖ０－０－１６－ 掲載年月日 令和４年８月３１日 掲載アドレス（ＵＲＬ） ｈｔｔｐｓ：／／ｄｘｅｃｏ．ｆｒｅｓｈｄｅｓｋ．ｃｏｍ／ｓｕｐｐｏｒｔ／ｓｏｌｕｔｉｏｎｓ／ａｒｔｉｃｌｅｓ／７３０００５８５８３２－２０２２％Ｅ５％Ｂ９％Ｂ４８％Ｅ６％９Ｃ％８８３１％Ｅ６％９７％Ａ５％Ｅ３％８１％ＡＥ％Ｅ３％８３％ＡＡ％Ｅ３％８３％ＡＡ％Ｅ３％８３％ＢＣ％Ｅ３％８２％Ｂ９－ｖ０－０－１９－

本発明は、シャドーＩＴを検出し、シャドーＩＴを含むアプリケーションの利用を管理するための情報処理装置、情報処理方法およびプログラムに関する。

近年、各種クラウドサービスやＩＴ機器などが広まるにつれ、従来手作業や簡便なシステムで行っていた多くの仕事が効率化できるようになってきた。一方、従業員が所属企業に正式な許可を得ずに、クラウドサービスなどを用いて業務を行う「シャドーＩＴ」が問題視されるようになってきている。

「シャドーＩＴ」とは、企業のシステム系管理部門の正式な許可を得ずに使うクラウドサービスやソフトウェア、デバイスなどのことを指す。シャドーＩＴが利用されると、企業は予期せぬセキュリティリスクを抱えたり、システム資源に対して不要な負荷がかかったりする。

特許文献１には、企業が正式に導入しているアプリケーションのアカウント削除や一時停止、権限変更などを、日時指定して一括して行える技術が開示されている。しかしながら、特許文献１に記載されている技術は、企業が正式に導入しているアプリケーションのアカウント管理を前提とした仕組みであり、シャドーＩＴを検出して管理することはできない。

特許第７１１８３０５号公報

企業としては、予期せぬセキュリティリスクやシステム資源に対する不要な負荷は避けたい。仮に、シャドーＩＴが業務効率を向上させ、既存のシステム資源よりも使い勝手が良いものだとしても、個人や一部の部門でのみ利用している場合には会社としては管理がしづらい。従業員にシャドーＩＴの利用を自己申告させたとしても全容を把握するには限界があり、その従業員が何らかの理由でシャドーIＴの利用を中止した場合には、不必要なアカウントが存在したままになってしまう恐れがある。また、あるアプリケーションを正式導入したものの、社内のどの部門の誰がどのように利用しているのかが分からず、システム資源が有効に配分されているかどうか分かりにくかった。

本発明は、このような課題を解決するためになされたものであり、利用されているシャドーＩＴを検出し、企業側に通知するとともに、企業側にとって有用と判定されるシャドーＩＴについては正式に導入手続きをとり、一方、企業側にとって不要と判定されるシャドーＩＴについてはそのサービスを利用しているアカウント整理までを行うことが可能な情報処理装置、情報処理方法およびプログラムを提供することを目的とする。また、本発明は、シャドーＩＴを含む様々なアプリケーションの利用状況を把握することが可能な情報処理装置、情報処理方法およびプログラムを提供することを目的とする。

本発明の一態様である情報処理装置は、契約外サービスを検出し、管理する情報処理装置であって、
外部ネットワークと通信するための通信部、記憶部、および制御部を備え、
前記制御部は、
前記通信部を介してユーザ端末からブラウザ履歴情報を受信して前記記憶部に格納するステップと、
前記記憶部から前記ブラウザ履歴情報を読み出して、読み出した前記ブラウザ履歴情報のユーザＩＤおよびサービス識別子が前記記憶部に記憶されているユーザの契約サービス情報の対応するデータと一致するかどうかを判定するステップと、
一致しないと判定された前記ブラウザ履歴情報に対して契約外サービスであることを示す第１の値をセットするステップと、
前記第１の値がセットされた前記ブラウザ履歴情報を使用して、前記ユーザに関連付けられる前記契約外サービスの利用状況を示すレポートを生成して、前記通信部を介して前記ユーザの管理者に送信するステップと、
前記通信部を介して前記ユーザの管理者から前記契約外サービスの承認可否信号を受信するステップと
を実行するように構成されている。

本発明によれば、企業は、利用されているシャドーＩＴの存在を把握し、シャドーＩＴを含む様々なアプリケーションの利用状況を把握することができるようになる。また、本発明によれば、企業は、企業側にとって有用と判定されるシャドーＩＴについては正式に導入手続きをとり、一方、企業側にとって不要と判定されるシャドーＩＴについてはそのサービスを利用しているアカウント整理までを行うことが可能となる。

本明細書において開示される実施形態の詳細な理解は、添付図面に関連して例示される以下の説明から得ることができる。
本発明の実施形態に係るシステム全体の構成図である。 本発明の実施形態に係る情報処理装置１０のシステム構成図である。 本発明の実施形態に係るカタログ情報１０６のデータ構造の一例を示す図である。 本発明の実施形態に係るユーザマスタ１０７のデータ構造の一例を示す図である。 本発明の実施形態に係る契約サービス情報１０８のデータ構造の一例を示す図である。 本発明の実施形態に係る履歴情報１０９のデータ構造の一例を示す図である。 本発明の実施形態に係るブラウザ履歴情報からシャドーＩＴの存在を検出する処理を説明するフロー図である。 本発明の一実施形態に係るレポート８００の一例を示す図である。 本発明の一実施形態に係るサブレポート９００の一例を示す図である。 本発明の実施形態に係る契約外サービス検出後の後続処理を説明するフロー図である。

（全体構成）
図１は、本発明の実施形態に係る情報処理装置１０、ユーザ端末１１、およびサービス提供システム１２を含むシステム全体の構成図である。情報処理装置１０は、ネットワーク１３を介してユーザ端末１１およびサービス提供システム１２と相互に通信可能に接続される。図１では、ユーザ端末１１およびサービス提供システム１２は１つずつしか示されていないが、複数存在し得る。

情報処理装置１０は、本発明に係るブラウザ拡張機能をユーザ端末１１に提供する。ブラウザ拡張機能は、Ｗｅｂブラウザの機能を拡張するプログラムであり、プラグインやアドオンと呼ぶこともできる。本明細書では、後に詳細に説明されるようなブラウザ拡張機能がユーザ端末１１にインストールされているものとして本発明を説明する。

情報処理装置１０は、予め定められた周期で、あるいはユーザ端末１１からのリクエストに応じて、本発明に係るカタログ情報をユーザ端末１１に配信する。カタログ情報は、企業に正式に導入されているかどうかに関わらず、情報処理装置１０にその存在が知られているクラウドサービス（例えば、Ｓａａｓサービス）の情報を含む。カタログ情報は、シャドーＩＴに分類され得る各種サービス、ソフトウェア、ＩＴ機器などの情報を含むことができる。カタログ情報が更新されると、情報処理装置１０は、既にカタログ情報を保持しているユーザ端末１１にカタログ情報のアップデートを送信する。

情報処理装置１０は、ユーザ端末１１に関連付けられる企業の社内ネットワークに設置されても構わないし、クラウドサービスとして社外ネットワークに設置されていても構わず、特に限定されない。

情報処理装置１０は、本発明に係るブラウザ拡張機能を介してユーザ端末１１が取得したブラウザ履歴情報を、ユーザ端末１１から受信する。情報処理装置１０は、受信したブラウザ履歴情報に基づいてシャドーＩＴを含む様々なアプリケーションの利用状況データを生成する。

情報処理装置１０は、シャドーＩＴの利用状況データをユーザである企業のシステム管理者などに送信（通知）し、シャドーＩＴの今後の取り扱いについて問い合わせを行うことができる。問い合わせは、例えば、シャドーＩＴの内容や利用状況を検討して企業として正式に導入するかどうかの判断を促すものであってよい。また、情報処理装置１０は、シャドーＩＴ以外のアプリケーションの利用状況データをユーザである企業のシステム管理者などに提供することができる。

情報処理装置１０は、当該シャドーＩＴを企業に正式に導入する旨の通知を受信したことに応答して、当該ユーザ企業の契約サービス情報に当該シャドーＩＴの情報を追加する処理を行うことができる。一方、情報処理装置１０は、当該シャドーＩＴを企業に導入したくない旨の通知を受信したことに応答して、当該シャドーＩＴのアカウントを使用不可にする処理を行うことができる。

ユーザ端末１１は、ユーザ企業などに所属する従業員によって利用されるデバイスであって、有線または無線環境において動作可能な任意のタイプのデバイスである。ユーザ端末１１は、本発明に係るブラウザ拡張機能をインストール済のデバイスである。ユーザ端末１１は、情報処理装置１０からカタログ情報を受信し、ブラウザ拡張機能を介して、ブラウザ履歴情報に含まれる所定のキーワード、ＵＲＬとカタログ情報に含まれるキーワード、ＵＲＬとを照合する。情報処理装置１０は、ブラウザ履歴情報に含まれる所定のキーワード、ＵＲＬがカタログ情報の対応する情報と一致すると判定した場合には、当該キーワードやＵＲＬの履歴情報を情報処理装置１０に送信する。照合処理は、キーワードのみで行っても構わないし、キーワードおよびＵＲＬの両方で行ってもよい。

サービス提供システム１２は、クラウドサービスをユーザ端末１１に提供することができる。本明細書では、これらのサービスの一例として、Ｓａａｓ（Software as a Service）サービスを説明するが、Ｓａａｓ以外のサービスが対象であってもよい。

（システム構成）
図２は、本発明の実施形態に係る情報処理装置１０のシステム構成図である。図２に示すように、情報処理装置１０は、一般的なコンピュータと同様に、バス１２０などによって相互に接続された制御部１０１、主記憶部１０２、補助記憶部１０３、インターフェース（ＩＦ）部１０４、および出力部１０５を備える。情報処理装置１０は、ファイル／データベースなどの形式で、カタログ情報１０６、ユーザマスタ１０７、契約サービス情報１０８、および履歴情報１０９を備える。

制御部１０１は、中央処理装置（ＣＰＵ）とも呼ばれ、情報処理装置１０の各構成要素の制御やデータの演算を行い、また、補助記憶部１０３に格納されている各種プログラムを主記憶部１０２に読み出して実行する。主記憶部１０２は、メインメモリとも呼ばれ、受信した各種データ、コンピュータ実行可能な命令および当該命令による演算処理後のデータなどを記憶する。補助記憶部１０３は、ハードディスク（ＨＤＤ）などに代表される記憶装置であり、データやプログラムを長期的に保存する。

図２の実施形態は、制御部１０１、主記憶部１０２および補助記憶部１０３を同一のコンピュータの内部に設ける実施形態について説明するが、他の実施形態として、情報処理装置１０は、制御部１０１、主記憶部１０２および補助記憶部１０３を複数個使用することにより、複数のコンピュータによる並列分散処理を実現するように構成することもできる。また、他の実施形態として、情報処理装置１０のための複数のサーバを設置し、複数サーバが一つの補助記憶部１０３を共有する実施形態にすることも可能である。

ＩＦ部１０４は、他のシステムや装置との間でデータを送受信する際のインターフェースの役割を果たし、また、システムオペレータから各種コマンドや入力データ（各種マスタ、テーブルなど）を受け付けるインターフェースを提供する。出力部１０５は、処理されたデータを表示する表示画面や当該データを印刷するための印刷手段などを提供する。

カタログ情報１０６は、情報処理装置１０にその存在が知られているクラウドサービスに関する情報を格納する。図３は、本発明の実施形態に係るカタログ情報１０６のデータ構造の一例を示す図である。カタログ情報１０６は、サービス識別子３０１、サービス関連情報３０２、キーワード３０３、およびＵＲＬ３０４を含むことができるが、これらのデータ項目に限定されることはなく他のデータ項目も含むことができる。

サービス識別子３０１は、クラウドサービスを識別する識別子である。サービス関連情報３０２は、クラウドサービスの名称、サービス内容、料金情報などのクラウドサービスに関連する情報を含む。キーワード３０３は、クラウドサービスを利用する際にブラウザの閲覧履歴に表示されるキーワードを示す。ＵＲＬ３０４は、クラウドサービスのＵＲＬを示す。

図２に戻って説明すると、ユーザマスタ１０７は、本発明に係るシャドーＩＴの検出および管理サービスを利用するユーザの情報を格納する。ユーザの概念には、企業などの法人、自治体などの行政組織などが含まれ得るが、特に限定されることはない。図４は、本発明の実施形態に係るユーザマスタ１０７のデータ構造の一例を示す図である。ユーザマスタ１０７は、ユーザＩＤ４０１、ユーザ情報４０２、および承認者連絡先４０３を含むことができるが、これらのデータ項目に限定されることはなく他のデータ項目も含むことができる。

ユーザＩＤ４０１は、情報処理装置１０によって提供される、本発明に係るシャドーＩＴの検出および管理サービスを利用するユーザを識別する識別子である。ユーザ情報４０２は、ユーザに関連付けられる情報、例えば、ユーザの名称、所在地、連絡先などの情報を含むが、本明細書に示した情報に限定されることはない。承認者連絡先４０３は、シャドーＩＴを含むアプリケーションの利用状況データの通知先の情報（例えば、情報システム管理者などの電子メールアドレス）を示す。

図２に戻って説明すると、契約サービス情報１０８は、ユーザが正式に導入し、利用しているクラウドサービスに関する情報を格納する。図５は、本発明の実施形態に係る契約サービス情報１０８のデータ構造の一例を示す図である。契約サービス情報１０８は、ユーザＩＤ４０１、サービス識別子３０１、アカウント情報５０１、および契約情報５０２を含むことができるが、これらのデータ項目に限定されることはなく他のデータ項目も含むことができる。

ユーザＩＤ４０１およびサービス識別子３０１は、図３および図４を参照しながら上記で説明したので再度の説明は省略する。アカウント情報５０１は、クラウドサービスを利用する１人以上の従業員などのアカウントの情報を示す。契約情報５０２は、ユーザがクラウドサービスを契約した際の契約条件（金額、期間、利用者など）の情報を示す。

図２に戻って説明すると、履歴情報１０９は、ユーザ端末１１から受信したブラウザ履歴情報と当該履歴情報に関連付けられる情報を格納する。図６は、本発明の実施形態に係る履歴情報１０９のデータ構造の一例を示す図である。履歴情報１０９は、ユーザＩＤ４０１、サービス識別子３０１、キーワード３０３、ＵＲＬ３０４、利用者アカウント情報６０１、利用日時６０２、およびシャドーＩＴフラグ６０３を含むことができるが、これらのデータ項目に限定されることはなく他のデータ項目も含むことができる。

ユーザＩＤ４０１、サービス識別子３０１、キーワード３０３、およびＵＲＬ３０４は、図３および図４を参照しながら上記で説明したので再度の説明は省略する。利用者アカウント情報６０１は、クラウドサービス利用者のアカウント情報（例えば、従業員の電子メールアドレス）を示す。利用日時６０２は、当該利用者がクラウドサービスを利用した日時を示す。シャドーＩＴフラグ６０３は、当該履歴情報がシャドーＩＴにアクセスしたことを示すか否かを表すフラグである。

以下、本発明の一実施形態について説明する。本実施形態では、情報処理装置１０からユーザ端末１１に対して本発明に係るブラウザ拡張機能が配信されてインストール済であり、また、本発明に係るカタログ情報が、ユーザのシステムを経由して情報処理装置１０からユーザ端末１１に対して配信されてユーザ端末１１に格納されているものとする。

（処理フロー：ブラウザ履歴情報からシャドーＩＴの存在を検出する処理）
図７は、本発明の実施形態に係るブラウザ履歴情報からシャドーＩＴの存在を検出する処理を説明するフロー図である。ユーザ端末１１がブラウザを介してクラウドサービスを利用すると、ブラウザ履歴情報、すなわちブラウザを介してアクセスしたサイトの情報、がユーザ端末１１に蓄積されている。本発明に係るブラウザ拡張機能は、ユーザ端末１１に、これらのブラウザ履歴情報を情報処理装置１０に送信させることができる。

Ｓ７０１にて、情報処理装置１０は、それぞれのユーザ端末１１からブラウザ履歴情報を取得し、履歴情報１０９に格納する。ブラウザ履歴情報は、クラウドサービスのサービス識別子、キーワード、利用者アカウント情報、利用日時などの情報を含むことができる。加えて、ブラウザ履歴情報は、ユーザＩＤ、ＵＲＬなどの情報も含むことができる。代替として、情報処理装置１０は、利用者アカウント情報（例えば、メールアドレス）に基づいてユーザＩＤを識別することもできる。

Ｓ７０２にて、情報処理装置１０は、格納したブラウザ履歴情報を１件ずつ読み出し、読み出したブラウザ履歴情報のユーザＩＤおよびサービス識別子が契約サービス情報１０８に格納されている対応するデータと一致するかどうかを判定する。一致する場合には、情報処理装置１０は、当該ブラウザ履歴情報のシャドーＩＴフラグ６０３にシャドーＩＴではないことを示す値をセットし、一方、一致しない場合には、情報処理装置は、当該ブラウザ履歴情報のシャドーＩＴフラグ６０３にシャドーＩＴであることを示す値をセットする。

Ｓ７０３にて、情報処理装置１０は、ユーザＩＤ４０１ごとにブラウザ履歴情報を読み出し、読み出したブラウザ履歴情報から、シャドーＩＴであることを示す値がシャドーＩＴフラグ６０３にセットされているデータを抽出する。情報処理装置１０は、抽出したデータに基づいて、図８に示すような、クラウドサービスごとの時系列の利用状況を示すグラフを含むレポート８００と、図９に示すような、特定のクラウドサービスの各アカウントの利用状況を示すグラフを含むサブレポート９００とを生成することができる。

ここで、図８を参照しながら、情報処理装置１０によって生成されるレポートの一例を説明する。図８は、本発明の一実施形態に係るレポート８００の一例を示す図である。レポート８００は、ユーザ名８０１および契約外サービス一覧８０２を含む。ユーザ名８０１は、レポートの対象となったユーザＩＤ４０１に関連付けられるユーザ情報４０２に含まれるユーザの名称を示す。契約外サービス一覧８０２は、当該ユーザの従業員などによって使用されている１つ以上の契約外サービス（いわゆる「シャドーＩＴ」）とその利用状況の概要を示す。

契約外サービス一覧８０２は、それぞれの契約外サービスについて、サービス名、詳細リンク、利用状況、傾向／規模、導入ボタン、および否認ボタンなどの情報を含む。サービス名は、クラウドサービスを識別する識別子（サービス識別子３０１）および／またはクラウドサービスの名称（サービス関連情報３０２）を表示する。詳細リンクは、ユーザ操作（例えば、クリック、タップなど）に応じて、個々の従業員毎の利用状況を表示するサブレポート９００を表示するためのリンクを示す。

利用状況は、所定の期間（例えば、直近１２カ月）の間の当該契約外サービスの利用時期、発生件数を視覚的に表示する。契約外サービスが発生した時期や件数は、線の太さ、色の濃淡、模様などの視覚効果技術によって表され得る。傾向／規模は、契約外サービスの利用傾向のグラフ（例えば、次第に増えてきている場合には漸増のグラフ、周期的に利用されている場合には周期的な発生を示すグラフ、利用が下火になっている場合には漸減のグラフ、など）や利用規模のグラフ（例えば、グラフの高さで示される）によって表され得る。情報処理装置１０は、利用状況および傾向／規模に表示される情報を、ブラウザ履歴情報のデータ件数、各データの利用日時などに基づいて生成することができる。

導入ボタンは、契約外サービスをユーザが正式に導入する処理を、情報処理装置１０が実行するためのボタンである。導入ボタンが押下された場合には、後述する全員導入ボタン９０４が押下された場合と同様に、現在利用している全てのアカウントが正式な利用者として承認され、契約サービス情報１０８に情報が登録されることとなる。

否認ボタンは、ユーザの従業員などに契約外サービスを使用させない処理を情報処理装置１０が実行するためのボタンである。否認ボタンが押下された場合には、後述する否認ボタン９０６が押下された場合と同様に、当該契約外サービスを従業員などに利用させない後続処理が実行される。

次に、図９を参照しながら、情報処理装置１０によって生成されるサブレポートの一例を説明する。図９は、本発明の一実施形態に係るサブレポート９００の一例を示す図である。サブレポート９００は、ユーザ名９０１、契約外サービス名９０２、利用者アカウント情報９０３、全員導入ボタン９０４、一部導入ボタン９０５、および否認ボタン９０６を含むことができる。

ユーザ名９０１は、ユーザ名８０１と同様に、レポートの対象となったユーザＩＤ４０１に関連付けられるユーザ情報４０２に含まれるユーザの名称を示す。契約外サービス名９０２は、レポート８００の画面上で「詳細リンク」を選択することにより指定された契約外サービスの識別子および／または名称を示す。

利用者アカウント情報９０３は、契約外サービスを利用している当該ユーザの従業員などのアカウント情報の一覧を示す。利用者アカウント情報９０３は、それぞれのアカウント情報ごとに、利用許可のためのチェックボックスを有し、また、当該契約外サービスの利用状況や傾向／規模を示す。例えば、利用者アカウント情報９０３は、それぞれのアカウントごとの所定の期間（例えば、直近１２カ月）の当該契約外サービスの利用時期、発生件数を視覚的に表示し、利用傾向のグラフや利用規模のグラフを示すことができる。

全員導入ボタン９０４は、利用者アカウント情報９０３に表示されている全員を正式な利用者として、当該契約外サービスを正式導入する後続処理を実行するためのボタンである。一部導入ボタン９０５は、利用者アカウント情報９０３に表示されている、チェックボックスにチェックが付いている者のみを正式な利用者として、当該契約外サービスを正式導入する後続処理を実行するためのボタンである。否認ボタン９０６は、当該契約外サービスを従業員などに利用させない後続処理を実行するためのボタンである。

Ｓ７０４にて、情報処理装置１０は、ユーザマスタ１０７から生成したレポートのユーザの承認者連絡先４０３（例えば、メールアドレス）を読み出し、Ｓ７０３にて生成したレポート８００およびサブレポート９００を送信する。

本処理フローによりレポート８００およびサブレポート９００を受信したユーザのシステム管理者などは、契約外のクラウドサービスが自社に必要なものかどうかを検討することができるようになる。例えば、ある契約外サービスの利用状況が多く、かつ漸増傾向のグラフを示している場合には、ユーザのシステム管理者などは、当該契約外サービスを正式に導入することを決定することができる。あるいは、ある契約外サービスの利用状況が散発的であり、かつ漸減傾向のグラフを示している場合には、ユーザのシステム管理者などは、当該契約外サービスを従業員などに使用させないようにすることを決定することができる。

これらの決定は、ユーザのシステム管理者などが、レポート８００の導入ボタンまたは否認ボタンを押下することによって、あるいはサブレポート９００の全員導入ボタン９０４、一部導入ボタン９０５、または否認ボタン９０６を押下することによって、情報処理装置１０に示すことができる。これらのボタンが押下されると、承認可否信号がユーザ端末１１から情報処理装置１０に送信されて、後述のような処理が実行される。

さらに、Ｓ７０３の変形例として、情報処理装置１０は、ユーザＩＤ４０１ごとにブラウザ履歴情報を読み出し、読み出したブラウザ履歴情報から、シャドーＩＴであることを示す値がシャドーＩＴフラグ６０３にセットされていないデータを抽出し、抽出したデータに基づいて、図８および図９に例示したのと類似するフォーマットのレポートを生成してユーザの承認者連絡先４０３宛に当該レポートを送信することもできる。このような処理により、情報処理装置１０は、シャドーＩＴ以外のアプリケーションの利用状況についてもユーザに提供することができ、ユーザは、それぞれのアプリケーションを、社内のどの部門の誰がどのように利用しているのかを把握できるようになる。

（処理フロー：契約外サービス検出後の後続処理）
図１０は、本発明の実施形態に係る契約外サービス検出後の後続処理を説明するフロー図である。レポート８００およびサブレポート９００を受信したユーザのシステム管理者などは、上述したように、契約外サービスを正式に導入するか、あるいは従業員などに使用させないかを決定して、ユーザ端末１１を介して情報処理装置１０に承認可否信号を送信することができる。

Ｓ１００１にて、情報処理装置１０は、ユーザ端末１１から承認可否信号を受信する。承認可否信号は、ユーザＩＤ４０１、契約外サービスのサービス識別子３０１、およびサービスの導入可否を示す値を含むことができる。承認可否信号は、サブレポート９００に表示されていた利用者アカウント情報のうち、ユーザによって指定されたアカウント情報を含むこともできる。

Ｓ１００２にて、情報処理装置１０は、承認可否信号のサービスの導入可否を示す値が導入可を示すのか、あるいは導入不可を示すのかを判定する。導入可を示している場合には、Ｓ１００３に処理が進み、一方、導入不可を示している場合には、Ｓ１００４に処理が進む。

Ｓ１００３にて、情報処理装置１０は、承認可否信号に含まれているユーザＩＤ４０１および契約外サービスのサービス識別子３０１を、契約サービス情報１０８に追加する処理を行う。承認可否信号に利用者アカウント情報が含まれている場合には、情報処理装置１０は、契約サービス情報１０８にそれらの利用者アカウント情報をアカウント情報５０１として追加する処理を行うこともできる。これにより、契約外サービスを利用していた従業員などのアカウントは、正式導入時から利用可能なアカウントとして利用することができる。

本発明の一実施形態では、情報処理装置１０は、ユーザ端末１１に管理画面（不図示）を表示し、ユーザのシステム管理者などに正式導入時から利用可能なアカウントの登録を別途行わせることもできる。この際に、情報処理装置１０は、参考情報として、サブレポート９００に表示されていた利用者アカウント情報をユーザ端末１１に表示して入力支援を行うこともできる。

Ｓ１００４にて、情報処理装置１０は、承認可否信号に含まれているユーザＩＤ４０１および契約外サービスのサービス識別子３０１を含む使用不可リストを生成する。

Ｓ１００５にて、情報処理装置１０は、ユーザに関連付けられるユーザ端末１１に使用不可リストを配信し、あるいは、ユーザのシステム内のゲートウェイサーバに使用不可リストを配信する。

ユーザ端末１１に使用不可リストが格納されている場合には、ユーザ端末１１にインストールされているブラウザ拡張機能により、使用を禁じられているクラウドサービスなどにアクセスが行われようとされている際、ユーザ端末１１は、当該クラウドサービスへのサイトへのアクセスを行わせず、ユーザのシステム管理者などに連絡するように注意喚起のメッセージをユーザ端末１１上に表示することができる。

ユーザのシステム内のゲートウェイサーバに使用不可リストが格納されている場合には、ユーザ端末１１が当該クラウドサービスにアクセスしようとする際、ゲートウェイサーバにおいてその後のアクセス操作が禁止され、ユーザのシステム管理者などに連絡するように注意喚起のメッセージをユーザ端末１１上に表示することができる。

このようにして、情報処理装置１０は、ユーザの判断に応じて、契約外サービスをユーザに正式に導入する処理、あるいは契約外サービスをユーザの従業員などに使用させない処理を実行することができるようになり、シャドーＩＴの管理を適切に行うことができるようになる。

以上、例示的な実施形態を参照しながら本発明の原理を説明したが、本発明の要旨を逸脱することなく、構成および細部において変更する様々な実施形態を実現可能であることを当業者は理解するだろう。すなわち、本発明は、例えば、システム、装置、方法、プログラムもしくは記憶媒体等としての実施態様をとることが可能である。

１０ 情報処理装置
１１ ユーザ端末
１２ サービス提供システム
１３ ネットワーク
１０１ 制御部
１０２ 主記憶部
１０３ 補助記憶部
１０４ インターフェース（ＩＦ）部
１０５ 出力部
１０６ カタログ情報
１０７ ユーザマスタ
１０８ 契約サービス情報
１０９ 履歴情報

Claims (9)

1. 契約外サービスを検出し、前記契約外サービスを含むアプリケーションの利用を管理する情報処理装置であって、
   外部ネットワークと通信するための通信部、記憶部、および制御部を備え、
   前記制御部は、
   前記通信部を介してユーザ端末からブラウザ履歴情報を受信して前記記憶部に格納するステップと、
   前記記憶部から前記ブラウザ履歴情報を読み出して、読み出した前記ブラウザ履歴情報のユーザＩＤおよびサービス識別子が前記記憶部に記憶されているユーザの契約サービス情報の対応するデータと一致するかどうかを判定するステップと、
   一致しないと判定された前記ブラウザ履歴情報に対して契約外サービスであることを示す第１の値をセットするステップと、
   前記第１の値がセットされた前記ブラウザ履歴情報を使用して、前記ユーザに関連付けられる前記契約外サービスの利用状況を示すレポートを生成して、前記通信部を介して前記ユーザの管理者に送信するステップと、
   前記通信部を介して前記ユーザの管理者から前記契約外サービスの承認可否信号を受信するステップと
   を実行するように構成されている情報処理装置。
2. 前記契約外サービスの承認可否信号は、前記ユーザＩＤ、前記サービス識別子、およびサービスの導入可否を示す値を含んでおり、
   前記制御部は、
   前記サービスの導入可否を示す値が導入不可を示す場合、前記ユーザＩＤおよび前記サービス識別子を含む使用不可リストを生成するステップと、
   前記使用不可リストを前記ユーザに提供するステップと
   をさらに実行するように構成されている、請求項１に記載の情報処理装置。
3. 前記使用不可リストを前記ユーザに提供するステップは、
   前記ユーザに関連付けられるシステムのゲートウェイサーバに前記使用不可リストを配信すること、および
   前記ユーザ端末に前記使用不可リストを配信すること
   のうちの少なくとも１つを含む、請求項２の情報処理装置。
4. 前記契約外サービスの承認可否信号は、前記ユーザＩＤ、前記サービス識別子、前記ユーザによって指定されたアカウント情報、およびサービスの導入可否を示す値を含んでおり、
   前記制御部は、
   前記サービスの導入可否を示す値が導入可を示す場合、前記ユーザＩＤ、前記サービス識別子、および前記ユーザによって指定されたアカウント情報を、前記ユーザの契約サービス情報に追加するステップ
   をさらに実行するように構成されている、請求項１に記載の情報処理装置。
5. 前記レポートは、第１のレポートを含み、
   前記第１のレポートは、前記ユーザに関連付けられる前記契約外サービスのリストを有し、前記契約外サービスのリストは、前記契約外サービスのそれぞれの利用時期、発生件数、および利用傾向を視覚的に表示する、請求項１に記載の情報処理装置。
6. 前記レポートは、第２のレポートを含み、
   前記第２のレポートは、前記ユーザに関連付けられる前記契約外サービスを利用している従業員のリストを有し、前記従業員のリストは、前記契約外サービスの利用時期、発生件数、および利用傾向を視覚的に表示する、請求項５に記載の情報処理装置。
7. 前記第１の値がセットされていない前記ブラウザ履歴情報を使用して、前記ユーザに関連付けられる前記契約外サービス以外の前記アプリケーションの利用状況を示すレポートを生成して、前記通信部を介して前記ユーザの管理者に送信するステップ
   をさらに実行するように構成されている、請求項１に記載の情報処理装置。
8. 契約外サービスを検出し、前記契約外サービスを含むアプリケーションの利用を管理する情報処理装置によって実行される情報処理方法であって、
   前記情報処理装置は、外部ネットワークと通信するための通信部、記憶部、および制御部を備え、
   前記情報処理方法は、
   前記制御部が、前記通信部を介してユーザ端末からブラウザ履歴情報を受信して前記記憶部に格納するステップと、
   前記制御部が、前記記憶部から前記ブラウザ履歴情報を読み出して、読み出した前記ブラウザ履歴情報のユーザＩＤおよびサービス識別子が前記記憶部に記憶されているユーザの契約サービス情報の対応するデータと一致するかどうかを判定するステップと、
   前記制御部が、一致しないと判定された前記ブラウザ履歴情報に対して契約外サービスであることを示す第１の値をセットするステップと、
   前記制御部が、前記第１の値がセットされた前記ブラウザ履歴情報を使用して、前記ユーザに関連付けられる前記契約外サービスの利用状況を示すレポートを生成して、前記通信部を介して前記ユーザの管理者に送信するステップと、
   前記制御部が、前記通信部を介して前記ユーザの管理者から前記契約外サービスの承認可否信号を受信するステップと
   を備える情報処理方法。
9. 請求項８に記載された方法をコンピュータに実行させるプログラム。

Images