JPWO2018078675A1 - 行動監視装置、システム、方法、及びプログラム - Google Patents

Abstract

行動指示情報（１２）は行動手順情報（１３）を含む。行動手順情報（１３）は、複数の行動段階を含む人の行動手順を定義する。ログ情報（１５）は、監視対象を監視するセキュリティ装置から取得された、監視対象に対するアクセスについての情報である。行動追跡部（１１）は、行動指示情報（１２）とログ情報（１５）とに基づいて、行動手順における行動段階の進行を追跡する。軌跡表示部（１４）は、ログ情報（１５）と、行動追跡部（１１）で追跡された行動段階の進行とに基づいて、行動段階の進行とセキュリティ装置へのアクセスとを関連付けて表示装置（２０）に表示する。

Description

本発明は、行動監視装置、システム、方法、及びプログラムに関し、更に詳しくは、作業者の行動を監視する行動監視装置、システム、方法、及びプログラムに関する。

近年、電気、ガス、及び水道などの社会インフラ事業、並びにそれらのシステムにおいて、セキュリティ犯罪が増加している。セキュリティ犯罪は、例えばメンテナンスを行う作業者などのインサイダーによって実施されることがある。例えば、作業者は、変電所などの施設にメンテナンスに行き、その施設内にある機材を盗み出し、それを売却して金銭を手に入れることがある。あるいは、作業者が、悪意のある第三者から依頼を受けて、施設内部で稼動するＰＣ（Personal Computer）やサーバから情報を盗み出し、又はＰＣやサーバに無線通信機能を有するＵＳＢ（Universal Serial Bus)メモリなどを無断で接続することがある。

上記犯罪を予防するために、作業者の入退室管理や、ＰＣ又はサーバへのログインＩＤ（Identifier）の管理など運用する各種セキュリティシステムが用いられる。セキュリティシステムは、フィジカルセキュリティシステムとサイバーセキュリティシステムとに大別される。フィジカルセキュリティシステムは、入退室管理を実施するシステム、及び監視カメラによる監視を実施するシステムなどを含む。サイバーセキュリティシステムは、ＰＣやサーバへのアクセス制御、又はそれらにおけるパケット解析などを用いた不正侵入検知システムなどを含む。社会インフラ事業者などは、それらの複数のセキュリティシステムを個別に管理し、運用（監視）している。

セキュリティシステムに関して、特許文献１は、フィジカルセキュリティシステムとサイバーセキュリティシステムの両面を鑑みたインサイダーによる犯行を検知する技術を開示する。ここで、インサイダーとは、特権を保有する社内人物を指す。悪意のあるインサイダーの犯罪は、サイバーセキュリティシステムのログだけを見ただけでは検知することができない。犯罪を検知するためには、フィジカルセキュリティシステムのログ、例えばＰＣなどに対するアクセスがあった場合におけるアクセスの場所も参照する必要がある。特許文献１に記載の技術は、機械学習を用いて、フィジカルセキュリティシステム及びサイバーセキュリティシステムの双方の怪しい行動、又は振る舞いを検知する。

また、特許文献２は、セキュリティシステムのイベントログと関連人物（作業者）とを自動的に紐付けする技術を開示する。特許文献２に記載の技術は、作業者のバッジとＩＤとを紐付け、全てのセキュリティシステムで発生し得るイベント及びアラーにそのＩＤを付与して管理する。また、特許文献２では、「本来入室不可のエリアに侵入した場合、ＰＣなどへのアクセスを不可にする」、或いは「本来ログイン不可のＰＣにアクセスがあった場合、その周辺のエリアに出入りするドアを開錠不可（ロック）にし、監視カメラを作動させる」といった制御ルールが用意され、その制御ルールを用いて監視が実施される。

米国特許第８７９３７９０号明細書 米国特許第７３８０２７９号明細書

しかしながら、上記特許文献１及び２には、以下に述べるように正規ＩＤを与えられた作業者の不審な行動を検知することができないという問題がある。ここで、作業者の不審な行動とは、例えば特定の部屋への入退室を繰り返しているなどのフィジカルセキュリティシステムを用いて検出可能な不審な行動と、例えば作業に不要なコマンドを実行しているなどのサイバーセキュリティシステムを用いて検出可能な不審の行動の何れか一方、又は双方を指す。

特許文献１に記載の技術では、機械学習を使用して作業者の突出した行動を検知することはできる。しかしながら、特許文献１では、フィジカルセキュリティシステムとサイバーセキュリティシステムとにまたがる作業者の一連の行動を追跡していない。このため、特許文献１に記載の技術において、作業者の行動が通常業務の範囲内であるか否かを管理者が正確に知ることは難しく、正規ＩＤを与えられた作業者の不審な行動を検知することができない。

一方、特許文献２に記載の技術では、フィジカルセキュリティシステムにおける行動とサイバーセキュリティシステムにおける行動とが混在するアクセス制御ルールを登録することで、双方のシステムにまたがる監視を実現できる。しかしながら、特許文献２では、特定の行動を条件としてルール登録できるだけであり、それ以外の行動を検知できない可能性がある。従って、特許文献２に記載の技術においても、正規ＩＤを与えられた作業者の不審な行動を検知することができない。

本発明は、上記事情に鑑み、作業者の不審な行動を検知可能な行動監視装置、システム、方法、及びプログラムを提供することを目的とする。

上記課題を解決するため、本発明は、複数の行動段階を含む人の行動手順を定義する行動手順情報を含む行動指示情報と、監視対象を監視するセキュリティ装置から取得された、前記監視対象に対するアクセスについてのログ情報とに基づいて、前記行動手順における行動段階の進行を追跡する行動追跡部と、前記ログ情報と、前記追跡された行動段階の進行とに基づいて、前記行動段階の進行と前記セキュリティ装置へのアクセスとを関連付けて表示装置に表示する軌跡表示部とを備える行動監視装置を提供する。

本発明は、また、監視対象を監視するセキュリティ装置と、前記セキュリティ装置から前記監視対象に対するアクセスについてのログ情報を取得するログ取得部と、前記ログ情報と、複数の行動段階を含む人の行動手順を定義する行動手順情報を含む行動指示情報とに基づいて、前記行動手順における行動段階の進行を追跡する行動追跡部と、前記行動段階の進行と、前記セキュリティ装置へのアクセスとを関連付けて表示装置に表示する軌跡表示部とを備える行動監視システムを提供する。

本発明は、更に、監視対象を監視するセキュリティ装置から前記監視対象に対するアクセスについてのログ情報を取得し、前記ログ情報と、複数の行動段階を含む人の行動手順を定義する行動手順情報を含む行動指示情報とに基づいて、前記行動手順における行動段階の進行を追跡し、及び、前記行動段階の進行と、前記セキュリティ装置へのアクセスとを関連付けて表示装置に表示することを有する行動監視方法を提供する。

さらに、本発明は、監視対象を監視するセキュリティ装置から前記監視対象に対するアクセスについてのログ情報を取得するステップと、前記ログ情報と、複数の行動段階を含む人の行動手順を定義する行動手順情報を含む行動指示情報とに基づいて、前記行動手順における行動段階の進行を追跡するステップと、前記行動段階の進行と、前記セキュリティ装置へのアクセスとを関連付けて表示装置に表示するステップとをコンピュータに実行させるためのプログラムを提供する。

本発明の行動監視装置、システム、方法、及びプログラムは、作業者の不審な行動を検知することができる。

本発明の行動監視装置を示すブロック図。 本発明の一実施形態に係る行動監視装置を含む行動監視システムを示すブロック図。 行動手順情報の具体例を示す図。 アクセス制御情報の具体例を示す図。 行動手順とアクセス制御との関係を示す図。 情報の生成及び編集の際に表示される編集画面の一例を示す図。 行動段階の進行に伴ってログ記憶部に記憶されるログを示す図。 作業者の行動監視における動作手順を示すフローチャート。 監視画面の一例を示す図。 監視画面における第１の画面表示例を示す図。 監視画面における第２の画面表示例を示す図。 監視画面における第３の画面表示例を示す図。

本発明の実施の形態の説明に先立って、本発明の概要を説明する。図１は、本発明の行動監視装置を示す。行動監視装置１０は、行動追跡部１１及び軌跡表示部１４を有する。行動監視装置１０は、例えばコンピュータ装置を用いて構成される。行動監視装置１０は、典型的にはプロセッサ及びメモリを有している。行動追跡部１１及び軌跡表示部１４の機能は、プロセッサがメモリから読み出したプログラムに従って処理を実行することで実現できる。

行動追跡部１１は、行動指示情報１２とログ情報１５とを参照する。行動指示情報１２は行動手順情報１３を含む。行動手順情報１３は、複数の行動段階（行動フェーズ）を含む人の行動手順を定義する。ログ情報１５は、監視対象を監視するセキュリティ装置から取得される。ログ情報１５は、監視対象の装置やシステムに対するアクセスについてのログを含む。行動指示情報１２及びログ情報１５は、それぞれ例えばハードディスク装置などの補助記憶装置又はメモリに記憶される。行動追跡部１１は、行動指示情報１２とログ情報１５とに基づいて、行動手順情報１３で定義される行動手順における行動段階の進行を追跡する。

軌跡表示部１４は、ログ情報１５と行動追跡部１１で追跡された行動段階の進行とに基づいて、行動段階の進行とセキュリティ装置へのアクセスとを関連付けて表示装置２０に表示する。表示装置２０に作業者の行動段階とセキュリティ装置へのアクセスが表示されることで、管理者は、行動手順情報１３に定義された行動手順のなかで、作業者がどんな行動を実施したかを確認することが可能である。このため、管理者は、作業者の行動が通常業務の範囲内であるか否かを判断することができ、正規ＩＤを持つ作業者の不審な行動を検知することが可能である。

以下、図面を参照しつつ、本発明の実施の形態を詳細に説明する。図２は、本発明の一実施形態に係る行動監視装置を含む行動監視システムを示す。行動監視システム１００は、行動監視装置１１０、サイバーセキュリティ装置１２０、及びフィジカルセキュリティ装置１３０を有する。行動監視装置１１０は、図１の行動監視装置１０に対応する。

サイバーセキュリティ装置１２０は、例えば、監視対象である電子計算機に対する不正な活動を防止するための措置を講じるように構成された装置（システム）である。サイバーセキュリティ装置１２０は、サイバーセキュリティに関する装置及びソフトウェアを含む。サイバーセキュリティ装置１２０は、例えば、ファイヤーウォール、不正侵入検知システム、及び不正侵入防御システムの少なくとも１つを含む。

フィジカルセキュリティ装置１３０は、監視対象である施設や情報への物理的アクセスや、損傷及び妨害を防ぐために構成された装置（システム）である。フィジカルセキュリティ装置１３０は、フィジカルセキュリティに関する装置及びソフトウェアを含む。フィジカルセキュリティ装置１３０は、例えば、ドア管理のためのシステム、及び監視カメラシステムの少なくとも１つを含む。より詳細には、フィジカルセキュリティ装置１３０は、例えば、部屋の出入り口に設けられたカードリーダと、認証結果に応じてドアの施錠及び開錠を制御するための機構とを含む。また、フィジカルセキュリティ装置１３０は、監視カメラと、監視カメラにより撮影された映像を記憶する映像サーバと、監視カメラの撮影方向を制御するための機構とを含む。

行動監視装置１１０は、行動追跡部１１４、軌跡表示部１１５、アクセス制御部１１６、ログ収集部１１７、及びログ記憶部１１８を有する。行動監視装置１１０は、例えばコンピュータ装置を用いて構成される。行動監視装置１１０は、典型的にはプロセッサ及びメモリを有している。行動監視装置１１０内の各部の機能は、プロセッサがメモリから読み出したプログラムに従って処理を実行することで実現できる。

行動指示情報１１１は、行動手順情報１１２とアクセス制御情報１１３とを含む。行動手順情報１１２は、作業を実施する人（作業者）の行動順序が記載された情報である。行動手順情報１１２は、複数の行動段階を含む作業者の行動手順を定義する。アクセス制御情報１１３は、サイバーセキュリティ装置１２０及びフィジカルセキュリティ装置１３０に対するアクセス制御が記載された情報である。行動指示情報１１１は、図示しない記憶装置に記憶される。行動手順情報１１２とアクセス制御情報１１３とは、同じファイルに記憶されていてもよいし、個別のファイルに記憶されてもよい。行動指示情報１１１及び行動手順情報１１２は、図１に示される行動指示情報１２及び行動手順情報１３にそれぞれ対応する。

ログ収集部１１７は、サイバーセキュリティ装置１２０及びフィジカルセキュリティ装置１３０から記監視対象に対するアクセスについてのログを取得する。ログ収集部１１７は、取得したログを、ログ情報としてログ記憶部１１８に記憶する。ログ記憶部１１８には、例えばハードディスク装置などの補助記憶装置として構成される。ログ記憶部１１８に記憶されるログ情報は、例えばアクセスが許可された旨を示すログと、アクセスが拒否された旨を示すとを含む。ログ記憶部１１８に記憶されるログ情報は、図１に示されるログ情報１５に対応する。

ここで、ログ収集部１１７は、例えばサイバーセキュリティ装置１２０から、電子計算機においてデータがコピーされた旨を示すログ（イベントログ）を取得し、ログ記憶部１１８に記憶する。また、ログ収集部１１７は、例えばフィジカルセキュリティ装置１３０から、監視カメラに関して、侵入禁止エリアに人が入った旨を示すイベントログを取得し、ログ記憶部１１８に記憶する。本明細書においては、便宜上、イベントログのうち、所定動作が実施された旨を示すイベントログは、アクセスが許可された旨を示すログとみなされるものとする。また、例えば侵入禁止エリアへの人の侵入などの、異常事象の発生を示すイベントログは、アクセスが拒否された旨を示すログとみなされるものとする。

行動追跡部１１４は、ログ記憶部１１８に記憶されたログ情報と、行動指示情報１１１に含まれる行動手順情報１１２とに基づいて、行動手順情報１１２で定義される行動手順における行動段階の進行を追跡する。行動追跡部１１４は、例えば、ログ情報に、行動手順における一の行動段階から他の行動段階への遷移条件として定義された特定のアクセスを示すログが含まれる場合、行動段階を次の行動段階へ遷移させる。行動追跡部１１４は、図１に示される行動追跡部１１に対応する。

軌跡表示部１１５は、ログ情報と、行動追跡部１１４で追跡された作業者の行動段階の進行とに基づいて、行動段階の進行とサイバーセキュリティ装置１２０及びフィジカルセキュリティ装置１３０へのアクセスとを関連付けて表示装置１４０に表示する。軌跡表示部１１５は、例えば、行動段階の進行とサイバーセキュリティ装置１２０及びフィジカルセキュリティ装置１３０へのアクセスとを時系列に並べて行動軌跡として表示する。軌跡表示部１１５は、図１に示される軌跡表示部１４に対応する。

図３は、行動手順情報１１２の具体例を示す。行動手順情報１１２は、例えば作業開始時刻と作業終了時刻に関する情報を含む。図３の例では、作業者の行動手順は、６つの行動段階を含む。行動段階１は「部屋Ａに入る」であり、行動段階２は「部屋Ｂ」に入るである。行動段階３は「機器Ｘへ管理用ＰＣを接続する」であり、行動段階４は「機器Ｘからデータを収集する」である。行動段階５は「部屋Ｂを出る」であり、行動段階６は「部屋Ａを出る」である。作業者は、このような一連の行動段階を含む行動手順に従って作業を実施する。

図４は、アクセス制御情報１１３の具体例を示す。アクセス制御情報１１３は、例えば人（作業者）の行動に対するアクセス制御Ａ〜Ｄと、機器に対するアクセス制御Ｅ及びＦとを含む。アクセス制御Ａは、「０００１」のＩＤが付与された作業者Ａに対して部屋Ａ及びＢに対する入退場を許可するであり、アクセス制御Ｂは、作業者Ａに対して機器Ｘのポート１をｅｎａｂｌｅにするである。アクセス制御Ｃは、作業者Ａに対して機器ＸにおいてコマンドＹの実行を許可するであり、アクセス制御Ｄは、作業者Ａに対して機器Ｘのポート１をｄｉｓａｂｌｅにするである。

また、アクセス制御Ｅは、部屋Ｂの入室時にカメラを機器Ｘに向けるであり、アクセス制御Ｆは、部屋Ｂの退室時にカメラを出入り口に向けるである。アクセス制御Ａ、Ｅ、及びＦは、フィジカルセキュリティ装置１３０に対するアクセス制御の内容を定義するものであり、アクセス制御Ｂ〜Ｄは、サイバーセキュリティ装置１２０に対するアクセス制御の内容を定義するものである。なお、作業者の行動に対するアクセス制御では、アクセス制御の内容が適用される作業者のＩＤとして、ＩＤを１つだけ指定してもよいし、複数の作業者に対応した複数のＩＤを指定してもよい。さらには、アクセス制御において、アクセス制御の内容が適用される作業者のＩＤとしてＡｌｌを指定し、全ての作業者に対して当該アクセス制御が適用されるようにしてもよい。

図５は、行動手順情報１１２で定義される行動手順とアクセス制御情報１１３で定義されるアクセス制御との関係を示す。図５に示される行動段階１５１〜１５６は、図３に示される行動手順情報１１２の行動段階１〜６に対応する。また、図５に示されるアクセス制御１６１〜１６６は、図４に示されるアクセス制御情報１１３のアクセス制御Ａ〜Ｆに対応する。

アクセス制御情報１１３は、アクセス制御の内容と、そのアクセス制御の内容が適用される行動段階とを対応付けた情報を含む。図５の例では、アクセス制御１６１は、行動段階１５１から行動段階１５６までの間に適用され、アクセス制御１６２は、行動段階１５２から行動段階１５４までの間に適用される。アクセス制御１６３及び１６５は、行動段階１５３及び行動段階１５４においてそれぞれ適用され、アクセス制御１６４は行動段階１５５において適用され、アクセス制御１６６は行動段階１５５及び行動段階１５６において適用される。

行動手順情報１１２及びアクセス制御情報１１３は、行動監視装置１１０内に設けられた図示しない情報生成部を用いて生成され、又は編集されてもよい。図６は、行動手順情報１１２及びアクセス制御情報１１３の生成及び編集の際に表示装置１４０に表示される画面（編集画面）の一例を示す。図６に示される編集画面２００は、大きく分けて４つのエリア２１０、２２０、２３０、及び２４０を有する。

エリア２１０は、機器の配置などが表示されるエリアである。エリア２１０には、サイバーセキュリティ装置１２０及びフィジカルセキュリティ装置１３０の監視対象の機器などがマップ表示される。図６において、エリア２１０に描かれる部屋３２１は「部屋Ａ」に対応しており、部屋３２２は「部屋Ｂ」に対応しているとする。部屋３２１には、２つの出入り口（ドア）があり、各ドアの内側及び外側にはそれぞれカードリーダ３０１及び３０２が配置されている。部屋３２２には、出入り口（ドア）が１つあり、そのドアの内側及び外側にはそれぞれカードリーダ３０３が配置されている。

また、図６において、部屋３２１には、３台の監視カメラ３１１〜３１３が配置されている。部屋３２２には、監視カメラ３１４及び機器３１５が配置されている。機器３１５は「機器Ｘ」に対応する機器である。機器３１５の情報セキュリティは、サイバーセキュリティ装置１２０を用いて保護される。

なお、カードリーダ３０１〜３０３、及び監視カメラ３１１〜３１４は、フィジカルセキュリティ装置１３０の一部を構成する。作業者は、部屋３２１への入室時及び退室時にカードリーダ３０１又は３０２に、自身が保有するＩＤカードなどを通す。フィジカルセキュリティ装置１３０は、カードリーダ３０１及び３０２からＩＤを取得して認証を行う。フィジカルセキュリティ装置１３０は、作業者に対して部屋３２１への入室及び部屋３２１からの退室の許可が与えられている場合はドアを開錠する。フィジカルセキュリティ装置１３０は、許可が与えられていない場合は、ドアを施錠した状態を維持する。フィジカルセキュリティ装置１３０は、カードリーダ３０１及び３０２が読み取ったＩＤ及び認証結果などをのログを、ログ収集部１１７（図２を参照）に出力する。

同様に、作業者は、部屋３２２への入室時及び退室時にカードリーダ３０３に、自身が保有するＩＤカードなどを通す。フィジカルセキュリティ装置１３０は、カードリーダ３０３からＩＤを取得して認証を行う。フィジカルセキュリティ装置１３０は、作業者に対して部屋３２２への入室及び部屋３２２からの退室の許可が与えられている場合はドアを開錠する。フィジカルセキュリティ装置１３０は、許可が与えられていない場合は、ドアを施錠した状態を維持する。フィジカルセキュリティ装置１３０は、カードリーダ３０３が読み取ったＩＤ及び認証結果などをのログを、ログ収集部１１７に出力する。

監視カメラ３１１〜３１４は、例えば天井などに配置されている。フィジカルセキュリティ装置１３０は、監視カメラ３１１〜３１４を制御し、映像の撮影の開始及び停止を制御する。監視カメラ３１１〜３１４のうちの少なくとも１つは、モータなどを用いて撮影方向の制御が可能に構成されていてもよい。その場合、フィジカルセキュリティ装置１３０は、撮影方向の制御を実施してもよい。監視カメラ３１１〜３１４を用いて撮影された映像は、図示しない映像サーバなどに設けられた記憶装置に記憶される。あるいは、撮影された映像は、ログ収集部１１７を通じてログ記憶部１１８に記憶されてもよい。

エリア２２０、２３０及び２４０は、行動手順情報１１２及びアクセス制御情報１１３の生成及び編集に関わるエリアである。エリア２２０は、作業の開始時刻及び終了時刻と、作業者名とを入力する部分を有している。また、エリア２２０は、行動手順情報１１２で定義される行動手順の行動段階を追加するボタン２２１と、アクセス制御情報１１３で定義されるアクセス制御を追加するボタン２２２とを有する。

エリア２３０は、作成中又は編集中の行動手順情報１１２及びアクセス制御情報１１３がグラフィカルに表示されるエリアである。管理者などがエリア２２０においてボタン２２１を選択すると、エリア２３０に新たな行動段階１５０が追加される。また、管理者などがボタン２２２を選択すると、エリア２３０に新たなアクセス制御１６０が追加される。行動段階１５０及びアクセス制御１６０の内容は、エリア２４０において指定することが可能である。管理者は、このような編集画面２００を通じて、行動手順情報１１２及びアクセス制御情報１１３を含む行動指示情報１１１を生成することが可能である。

図７は、行動段階の進行に伴ってログ記憶部１１８に記憶されるログを示す。作業者が、例えばカードリーダ３０１（図６も参照）が配置されたドアから部屋Ａに入室した場合、ログ収集部１１７（図２を参照）は、フィジカルセキュリティ装置１３０から出力された、作業者が部屋Ａに入室した旨を示すログを取得し、ログ記憶部１１８に記憶する。次いで、作業者がカードリーダ３０３が配置されたドアから部屋Ｂに入室すると、ログ収集部１１７は、フィジカルセキュリティ装置１３０から出力されたその旨を示すログを取得し、ログ記憶部１１８に記憶する。

作業者は、部屋Ｂへの入室後、管理用ＰＣ３１６を機器（機器Ｘ）３１５に接続する。サイバーセキュリティ装置１２０は、アクセス制御１６２（図５を参照）に従ってｅｎａｂｌｅにされたポート１に管理用ＰＣ３１６が接続された場合は、ポート１に管理用ＰＣが接続され、かつその接続が許可された旨を示すログを出力する。ログ収集部１１７は、そのログを取得し、ログ記憶部１１８に記憶する。作業者がポート１以外のポートに管理用ＰＣ３１６又は別のＰＣを接続した場合、サイバーセキュリティ装置１２０は、ポート１以外のポートにＰＣが接続されたが、その接続は拒否された旨を示すログを出力する。その場合、ログ収集部１１７は、接続が拒否された旨を示すログを、ログ記憶部１１８に記憶する。

作業者は、管理用ＰＣ３１６を用いて、コマンドＹを実行し、機器３１５からデータの収集を行う。このとき、サイバーセキュリティ装置１２０は、アクセス制御１６３に従ってコマンドＹの実行を許可しており、コマンドＹが実行された旨を示すログを出力する。ログ収集部１１７は、そのログを取得し、ログ記憶部１１８に記憶する。作業者が、コマンドＹ以外のコマンドを実行しようとした場合、サイバーセキュリティ装置１２０は、その実行を許可せず、コマンドの実行が拒否された旨を示すログを出力する。その場合、ログ収集部１１７は、コマンドの実行が拒否された旨を示すログを、ログ記憶部１１８に記憶する。

データ収集後、作業者がカードリーダ３０３が配置されたドアを通って部屋Ｂから退室すると、ログ収集部１１７は、フィジカルセキュリティ装置１３０から出力されたその旨を示すログを取得し、ログ記憶部１１８に記憶する。その後、作業者が、例えばカードリーダ３０１が配置されたドアを通って部屋Ａから退室した場合、ログ収集部１１７は、フィジカルセキュリティ装置１３０から出力されたその旨を示すログを取得し、ログ記憶部１１８に記憶する。

続いて、動作手順を説明する。図８は、作業者の行動監視における動作手順を示す。管理者などは、作業者が作業する場所、及びその内容に従って、行動手順情報１１２を生成する（ステップＳ１）。また、管理者は、サイバーセキュリティ装置１２０及びフィジカルセキュリティ装置１３０に対するアクセス制御情報１１３を生成する（ステップＳ２）。管理者は、例えば、上記した編集画面２００を通じて、行動手順情報１１２及びアクセス制御情報１１３を生成する。

作業開始時刻となり、作業者が作業を開始すると（ステップＳ３）、サイバーセキュリティ装置１２０及びフィジカルセキュリティ装置１３０は、作業者の行動に従ってログを出力する。なお、アクセス制御部１１１６は、作業開始予定時刻になると、図５に示されるアクセス制御１６１をフィジカルセキュリティ装置１３０に実施させるものとする。ログ収集部１１７は、サイバーセキュリティ装置１２０及びフィジカルセキュリティ装置１３０からログを収集し、ログ記憶部１１８に記憶する（ステップＳ４）。行動追跡部１１４は、行動手順情報１１２と、ログ記憶部１１８に記憶されたログ情報とに基づいて、作業者の行動段階を追跡する（ステップＳ５）。アクセス制御部１１６は、追跡された行動段階に従って、アクセス制御情報１１３で定義されるアクセス制御を実施する（ステップＳ６）。

行動追跡部１１４は、ステップＳ５では、ログ情報に基づいて、例えば図５に示される行動段階１５１〜１５６のうち、作業者がどの行動段階まで進んだかを追跡する。アクセス制御部１１６は、ステップＳ６では、例えば図５に示される行動段階とアクセス制御との関係に従って、現在の行動段階において適用されるアクセス制御を実施する。アクセス制御部１１６は、例えば行動段階の進行に合わせて、アクセス制御情報１１３に含まれるアクセス制御の内容を示すコマンドをサイバーセキュリティ装置１２０又はフィジカルセキュリティ装置１３０に発行することで、アクセス制御を実施させる。

軌跡表示部１１５は、ログ情報と、ステップＳ５で追跡された作業者の行動段階とに基づいて、行動段階とログとを関連付けて表示装置１４０に表示する（ステップＳ７）。軌跡表示部１１５は、ステップＳ７では、例えば、追跡された行動段階と、ログが発生した旨、つまりサイバーセキュリティ装置１２０又はフィジカルセキュリティ装置１３０にアクセスがあった旨を示すマークとをグラフィカルに表示する。その場合において、軌跡表示部１１５は、アクセス許可を示すログに対応するアクセスがあった旨を示すマークと、アクセス不許可を示すログに対応するアクセスがあった旨を示すマークとを、異なる表示態様で表示してもよい。

行動追跡部１１４は、作業者の作業が終了したか、つまり作業が一連の行動段階の最後まで到達したか否かを判断する（ステップＳ８）。ステップＳ８において作業が終了していないと判断された場合、処理はステップＳ４に戻り、ログの収集が継続される。作業が終了していると判断された場合は、処理終了となる。なお、ステップＳ５の行動の追跡及びステップＳ７の軌跡の表示を実施するタイミングは特に限定されない。ステップＳ５及びＳ７は、作業者の作業中にリアルタイムで実施されてもよいし、作業終了後に実施されてもよい。

例えば、作業開始時刻になると、図５に示されるアクセス制御１６１が実施され、作業者は部屋Ａ及び部屋Ｂに入室可能になる。作業者がカードリーダ３０１又は３０２を用いた認証を通じて部屋Ａに入室すると、フィジカルセキュリティ装置１３０は、対応するドアを開錠した旨のログを出力する。行動追跡部１１４は、ステップＳ５において、フィジカルセキュリティ装置１３０から取得された、ドアを開錠した旨を示すログに基づいて、行動段階を行動段階１５１に進行させる。

次いで、作業者が、カードリーダ３０３を用いた認証を通じて部屋Ｂに入出すると、フィジカルセキュリティ装置１３０は、対応するドアを開錠した旨のログを出力する。行動追跡部１１４は、部屋Ｂに通じるドアを開錠した旨を示すログに基づいて、行動段階を行動段階１５１から行動段階１５２に進行させる。

アクセス制御部１１６は、行動段階が行動段階１５２に進行すると、ステップＳ６において、「機器Ｘのポート１をｅｎａｂｌｅにする」というアクセス制御１６２をサイバーセキュリティ装置１２０に実施させる。サイバーセキュリティ装置１２０は、アクセス制御１６２を実施して、機器Ｘのポート１をｅｎａｂｌｅにする。作業者が作業用ＰＣを機器Ｘのポート１に接続すると、サイバーセキュリティ装置１２０は、機器Ｘのポート１に管理用ＰＣが接続された旨を示すログを出力する。軌跡表示部１１５は、ステップＳ７において、行動段階１５２の位置と関連付けて、サイバーセキュリティ装置１２０へのアクセスがあった旨を示すマークをグラフィカルに表示する。

行動追跡部１１４は、ステップＳ８において、作業が終了したか否かを判断する。現在の行動段階が行動段階１５２の場合は、作業が終了していないため処理はステップＳ４に戻り、ログが収集される。行動追跡部１１４は、ログ記憶部１１８に記憶された、機器Ｘのポート１に管理用ＰＣが接続された旨を示すログに基づいて、行動段階を行動段階１５２から行動段階１５３へ進行させる。

アクセス制御部１１６は、行動段階が行動段階１５３に進行すると、ステップＳ６において、「コマンドＹの実行を許可する」というアクセス制御１６３をサイバーセキュリティ装置１２０に実施させ、かつ「カメラを機器Ｘに向ける」というアクセス制御１６５をフィジカルセキュリティ装置１３０に実施させる。作業者がコマンドＹを実行して機器Ｘからデータを収集すると、サイバーセキュリティ装置１２０は、その旨を示すログを出力する。軌跡表示部１１５は、ステップＳ７において、行動段階１５３の位置と関連付けて、サイバーセキュリティ装置１２０へのアクセスがあった旨を示すマークをグラフィカルに表示する。以下同様に、ログに基づく行動段階の追跡と、それに伴うアクセス制御と、ログの発生を示すマークの表示とが、作業終了まで繰り返し実施される。

図９は、行動追跡（監視）を実施している際に表示装置１４０に表示される画面（監視画面）の一例を示す。図９に示される監視画面４００は、大きく分けて４つのエリア４１０、４２０、４３０、及び４４０を有する。エリア４１０は、図６に示される編集画面２００のエリア２１０と同様に、機器の配置などが表示されるエリアである。管理者は、例えばマウスなどのポインティングデバイスを用いて、エリア４１０において監視カメラ３１４を選択することができる。その場合、エリア４１０には、監視カメラ３１４を用いて撮影された映像４１１が表示される。

エリア４２０は、作業に関連する情報が表示されるエリアである。管理者は、「詳細表示」のボタン４２１を選択することで、作業者の一連の行動段階と、各行動段階において適用されるアクセス制御とを、グラフィカルに表示させることができる。

エリア４３０は、行動段階の進行と、実施されるアクセス制御とをグラフィカルに表示するエリアである。エリア４３０には、例えば現在時刻までの行動段階の進行と、それに伴って適用されるアクセス制御の内容と、サイバーセキュリティ装置１２０及びフィジカルセキュリティ装置１３０に対してアクセスがあった旨を示すマーク１７０とが、時系列に沿って表示される。ユーザは、エリア４３０において、作業中の任意の時刻を選択するができる。ユーザが任意の時刻を選択すると、選択された時刻に撮影された監視カメラの映像４１１がエリア４１０に表示される。

エリア４４０は、ログの内容が表示されるエリアである。管理者は、マウスなどのポインティングデバイスを使用して、エリア４３０に表示されるマーク１７０を選択することが可能である。軌跡表示部１１５は、管理者がマーク１７０を選択すると、選択されたマークのログの内容を表示する。管理者は、エリア４４０に表示される内容を参照することで、サイバーセキュリティ装置１２０及びフィジカルセキュリティ装置１３０に対してどのようなアクセスが発生したかを確認することができる。

引き続き、作業者が不審な行動をした場合のエリア４３０の表示例を説明する。以下では、作業者は、本来であれば図５に示される行動手順に沿って行動するものとする。図１０は、第１の画面表示例を示す。図１０に示されるアクセスがあった旨を示すマーク１７０は、アクセスが許可された旨を示すマークであり、マーク１８０は、アクセスが拒否された旨を示すマークであるとする。図１０に示される例では、行動段階１５１及び行動段階１５２ではマーク１７０が表示されており、この画面を見た管理者は、作業者が正規の行動手順で行動していると判断できる。

しかしながら、行動段階１５３において、管理用ＰＣの接続後、本来であればアクセス制御１６３に従って許可されたコマンドＹが実行されるところ、それとは異なるコマンドの実行が試みられた場合、サイバーセキュリティ装置１２０は、アクセス拒否を示すログを出力する。作業者がコマンドＹ以外のコマンドを実行する理由としては、単にコマンドを間違えたか、或いは、悪意を持って不正なコマンドを実行しようとしたかの２つの理由が考えられる。作業者が、コマンドの実行が許可されないことで、そのコマンドの実行を複数回試みた場合、その回数分だけ、アクセス拒否を示すログが出力される。行動段階１５３において、本来であればコマンドＹが１回だけ実行され、従ってマーク１７０が１つだけ表示されるべきところ、別のコマンドの実行が試みられた場合はマーク１８０が複数個表示されることになる。

管理者は、行動段階１５３においてマーク１８０が連続して複数個表示された場合、作業者がコマンドＹ以外のコマンドを実行しようとしていると判断できる。特に、アクセスが拒否された旨を示すマーク１８０を、通常のマーク１７０とはマークの形状及び／又は表示色が異なるマークとすることで、管理者は、正規の作業が行われていないことを、容易に判断することができる。このような画面を参照することで、管理者は、行動段階１５３における作業者の不審な行動を検知することが可能である。

図１１は、第２の画面表示例を示す。この例では、行動段階１５１ではマーク１７０が表示されており、この画面を見た管理者は、作業者が正規の行動手順で行動していると判断できる。

しかしながら、行動段階１５２において、部屋Ｂへの入室後、本来であればアクセス制御１６２に従ってｅｎａｂｌｅにされたポート１に管理用ＰＣが接続されるところ、それとは異なるポートにＰＣが接続された場合、サイバーセキュリティ装置１２０は、アクセス拒否を示すログを出力する。作業者がポート１とは異なるポートにＰＣを接続する理由としては、単に接続するポートを間違えたか、或いは、悪意を持って不正なポートにＰＣを接続しようとしたかの２つの理由が考えられる。作業者が、ｄｉｓａｂｌｅのポートへのＰＣの接続を複数回試みた場合、その回数分だけ、アクセス拒否を示すログが出力される。行動段階１５２において、本来であればポート１への管理用ＰＣの接続が１回だけ実行され、従ってマーク１７０が１つだけ表示されるべきところ、別のポートにＰＣが接続された場合はマーク１８０が複数個表示されることになる。

管理者は、行動段階１５２においてマーク１８０が連続して複数個表示された場合、作業者が所定のポートとは異なるポートにＰＣを接続しようとしていると判断できる。つまり、管理者は、作業者が正規の行動手順で行動していないと判断できる。このように、図１１に示される画面を参照することで、管理者は、行動段階１５２における作業者の不審な行動を検知することが可能である。

図１２は、第３の画面表示例を示す。この例では、作業者は、アクセス制御１６１に従って許可される範囲で行動しているものの、行動段階が、行動手順情報１１２で定義された順序とは異なる順序で進行している。すなわち、作業者は、部屋Ａから部屋Ｂに入室した後、部屋Ｂ及び部屋Ａから退室し、再び部屋Ａ及び部屋Ｂに入室している。この場合、図１２に示されるように、行動段階１５１、行動段階１５２、行動段階１５５、行動段階１５６、行動段階１５１、及び行動段階１５２の順で行動段階が進行している旨が画面に表示される。管理者は、このような画面を参照することで、作業者が部屋Ｂにおいて本来の作業とは異なる行為をしていたのではないかという疑念を抱くことができ、作業者の不審な行動を検知することが可能である。

本実施形態では、管理者は、行動手順情報１１２とアクセス制御情報１１３とを含む行動指示情報を生成し、行動監視装置１１０に与える。作業者は、行動手順情報１１２に定義された行動手順に沿って、移動や作業を実施する。行動監視装置１１０は、サイバーセキュリティ装置１２０及びフィジカルセキュリティ装置１３０が出力するログを収集し、ログ記憶部１１８に記憶する。行動監視装置１１０は、ログ記憶部１１８に記憶されたログ情報と行動手順情報１１２及びアクセス制御情報１１３とを逐次照合し、その結果を、作業者の行動軌跡としてグラフィカルに表示する。

本実施形態では、行動監視装置１１０は、サイバーセキュリティ装置１２０とフィジカルセキュリティ装置１３０とにまたがる作業者の一連の行動を軌跡表示（可視化）する。このようにすることで、管理者（監視者）は、作業者のサイバーとフィジカルの双方にまたがる作業活動の一連の流れをグラフィカルな行動軌跡として参照することが可能である。特に、行動監視装置１１０は、作業者の行動段階の進行とセキュリティ装置へのアクセスとを、行動軌跡としてグラフィカルに表示する。管理者は、行動軌跡を参照し、行動段階の進行とセキュリティ装置へのアクセスとを確認することで、あらかじめ登録された作業者が本来実施すべき作業手順と実際の行動軌跡とを目視で比較することができる。このようにすることで、正規ＩＤを持つ作業者について、行動手順やアクセス制御から逸脱する行為を、不審行動として発見することが可能である。

また、本実施形態では、行動監視装置１１０のアクセス制御部１１６は、行動段階の進行に合わせて、アクセス制御情報１１３で定義されたアクセス制御をサイバーセキュリティ装置１２０及びフィジカルセキュリティ装置１３０にそれぞれ実施させる。このようにすることで、作業者の作業中、又は作業開始／終了時刻に従って、逐次アクセス制御を実施することができる。

なお、上記実施形態では、行動監視システム１００がサイバーセキュリティ装置１２０とフィジカルセキュリティ装置１３０の双方を含む例について説明したが、これには限定されない。行動監視システム１００が、サイバーセキュリティ装置１２０とフィジカルセキュリティ装置１３０の何れか一方を含む構成を採用することもできる。また、サイバーセキュリティ装置１２０及びフィジカルセキュリティ装置１３０は、必ずしも本システムの一部を構成する必要はなく、これらセキュリティ装置が別システムとして運用され、その別システムからログが収集されることとしてもよい。

上記実施形態では、行動指示情報１１１が行動手順情報１１２とアクセス制御情報１１３を含む例について説明したが、行動指示情報１１１は、少なくとも行動手順情報１１２を含んでいればよく、アクセス制御情報１１３を含んでいなくてもよい。その場合、アクセス制御は、例えば他のシステムを用いて実施されることとしてもよい。

上記実施形態では、行動軌跡において、行動段階とセキュリティ装置へのアクセスとが時系列に並べられる例を説明したがこれには限定されない。行動段階とセキュリティ装置へのアクセスとが、何らかの因果関係に基づいて並べられていてもよいし、所定の順序列に基づいて並べられていてもよい。

上記実施形態では、軌跡表示部１１５が、管理者用の行動軌跡を表示する例を説明したが、軌跡表示部１１５は、作業者用の行動軌跡を表示してもよい。例えば、軌跡表示部１１５は、管理者用とは異なる画面構成の作業者用の行動軌跡を表示装置１４０に表示してもよい。例えば、作業者に対して、これまでの行動段階の履歴と、次の行動段階とを表示することで、作業者は、行動手順に沿った作業を円滑に実施することが可能である。

上述の例において、プログラムは、様々なタイプの非一時的なコンピュータ可読媒体（non-transitory computer readable medium）を用いて格納され、コンピュータに供給することができる。非一時的なコンピュータ可読媒体は、様々なタイプの実体のある記録媒体（tangible storage medium）を含む。非一時的なコンピュータ可読媒体の例は、磁気記録媒体（例えばフレキシブルディスク、磁気テープ、ハードディスクドライブ）、光磁気記録媒体（例えば光磁気ディスク）、ＣＤ−ＲＯＭ（Read Only Memory）、ＣＤ−Ｒ、ＣＤ−Ｒ／Ｗ、半導体メモリ（例えば、マスクＲＯＭ、ＰＲＯＭ（Programmable ROM）、ＥＰＲＯＭ（Erasable PROM）、フラッシュＲＯＭ、ＲＡＭ（Random Access Memory））を含む。また、プログラムは、様々なタイプの一時的なコンピュータ可読媒体（transitory computer readable medium）によってコンピュータに供給されてもよい。一時的なコンピュータ可読媒体の例は、電気信号、光信号、及び電磁波を含む。一時的なコンピュータ可読媒体は、電線及び光ファイバ等の有線通信路、又は無線通信路を介して、プログラムをコンピュータに供給できる。

なお、本発明は上記実施の形態に限られたものではなく、趣旨を逸脱しない範囲で適宜変更することが可能である。また、本発明は、それぞれの実施の形態を適宜組み合わせて実施されてもよい。

例えば、上記の実施形態の一部又は全部は、以下の付記のようにも記載され得るが、以下には限られない。

［付記１］
複数の行動段階を含む人の行動手順を定義する行動手順情報を含む行動指示情報と、監視対象を監視するセキュリティ装置から取得された、前記監視対象に対するアクセスについてのログ情報とに基づいて、前記行動手順における行動段階の進行を追跡する行動追跡部と、
前記ログ情報と、前記追跡された行動段階の進行とに基づいて、前記行動段階の進行と前記セキュリティ装置へのアクセスとを関連付けて表示装置に表示する軌跡表示部とを備える行動監視装置。

［付記２］
前記軌跡表示部は、前記行動段階の進行と前記セキュリティ装置へのアクセスとを時系列に並べて表示する付記１に記載の行動監視装置。

［付記３］
前記行動追跡部は、前記ログ情報に、前記行動手順における一の行動段階から他の行動段階への遷移条件として定義された特定のアクセスを示すログが含まれる場合、前記行動段階を次の行動段階へ遷移させる付記１又は２に記載の行動監視装置。

［付記４］
前記軌跡表示部は、前記行動段階と、前記アクセスがあった旨を示すマークとを表示する付記１から３何れか１つに記載の行動監視装置。

［付記５］
前記軌跡表示部は、前記マークが選択されると、該選択されたマークに対応するログの内容を表示する付記４に記載の行動監視装置。

［付記６］
前記ログ情報は、アクセス許可を示すログと、アクセス不許可を示すログとを含み、前記軌跡表示部は、前記アクセス許可を示すログに対応するアクセスがあった旨を示すマークと、前記アクセス不許可を示すログに対応するアクセスがあった旨を示すマークとを、異なる表示態様で表示する付記４又は５に記載の行動監視装置。

［付記７］
監視対象を監視するセキュリティ装置と、
前記セキュリティ装置から前記監視対象に対するアクセスについてのログ情報を取得するログ取得部と、
前記ログ情報と、複数の行動段階を含む人の行動手順を定義する行動手順情報を含む行動指示情報とに基づいて、前記行動手順における行動段階の進行を追跡する行動追跡部と、
前記行動段階の進行と、前記セキュリティ装置へのアクセスとを関連付けて表示装置に表示する軌跡表示部とを備える行動監視システム。

［付記８］
前記行動指示情報が、前記セキュリティ装置におけるアクセス制御を定義するアクセス制御情報を更に含んでおり、
前記行動段階の進行と前記アクセス制御情報とに基づいて前記アクセス制御を実施するアクセス制御部を更に備える付記７に記載の行動監視システム。

［付記９］
前記アクセス制御情報は、アクセス制御の内容と、該アクセス制御の内容が適用される行動段階とを対応付けた情報を含む付記８に記載の行動監視システム。

［付記１０］
前記アクセス制御部は、前記行動段階の進行に合わせて、前記アクセス制御情報に含まれるアクセス制御の内容を示すコマンドを前記セキュリティ装置に発行する付記９に記載の行動監視システム。

［付記１１］
前記セキュリティ装置は、サイバーセキュリティ装置及び物理セキュリティ装置の少なくとも一方を含む付記８から１０何れか１つに記載の行動監視システム。

［付記１２］
前記軌跡表示部は、前記行動段階の進行と前記セキュリティ装置へのアクセスとを時系列に並べて表示する付記８から１１何れか１つに記載の行動監視システム。

［付記１３］
前記行動追跡部は、前記ログ情報に、前記行動手順における一の行動段階から他の行動段階への遷移条件として定義された特定のアクセスを示すログが含まれる場合、前記行動段階を次の行動段階へ遷移させる付記８から１２何れか１つに記載の行動監視システム。

［付記１４］
前記軌跡表示部は、前記行動段階と、前記アクセスがあった旨を示すマークとを表示する付記８から１３何れか１つに記載の行動監視システム。

［付記１５］
前記軌跡表示部は、前記マークが選択されると、該選択されたマークに対応するログの内容を表示する付記１４に記載の行動監視システム。

［付記１６］
監視対象を監視するセキュリティ装置から前記監視対象に対するアクセスについてのログ情報を取得し、
前記ログ情報と、複数の行動段階を含む人の行動手順を定義する行動手順情報を含む行動指示情報とに基づいて、前記行動手順における行動段階の進行を追跡し、及び、
前記行動段階の進行と、前記セキュリティ装置へのアクセスとを関連付けて表示装置に表示することを有する行動監視方法。

［付記１７］
監視対象を監視するセキュリティ装置から前記監視対象に対するアクセスについてのログ情報を取得するステップと、
前記ログ情報と、複数の行動段階を含む人の行動手順を定義する行動手順情報を含む行動指示情報とに基づいて、前記行動手順における行動段階の進行を追跡するステップと、
前記行動段階の進行と、前記セキュリティ装置へのアクセスとを関連付けて表示装置に表示するステップとをコンピュータに実行させるためのプログラム。

１０：行動監視装置
１１：行動追跡部
１２：行動手順情報
１３：行動手順情報
１４：軌跡表示部
１６：付記
１７：付記
２０：表示装置
１００：行動監視システム
１１０：行動監視装置
１１１：行動指示情報
１１２：行動手順情報
１１３：アクセス制御情報
１１４：行動追跡部
１１５：軌跡表示部
１１６：アクセス制御部
１１７：ログ収集部
１１８：ログ記憶部
１２０：サイバーセキュリティ装置
１３０：フィジカルセキュリティ装置
１４０：表示装置
１５０〜１５６：行動段階
１６０〜１６６：アクセス制御
１７０、１８０：マーク
２００：編集画面
２１０、２２０、２３０、２４０：エリア
２２１、２２２：ボタン
３０１〜３０３：カードリーダ
３１１〜３１４：監視カメラ
３１５：機器
３１６：管理用ＰＣ
３２１、３２２：部屋
４００：監視画面
４１０、４２０、４３０、４４０：エリア
４１１：映像
４２１：ボタン

Claims (17)

1. 複数の行動段階を含む人の行動手順を定義する行動手順情報を含む行動指示情報と、監視対象を監視するセキュリティ装置から取得された、前記監視対象に対するアクセスについてのログ情報とに基づいて、前記行動手順における行動段階の進行を追跡する行動追跡部と、
   前記ログ情報と、前記追跡された行動段階の進行とに基づいて、前記行動段階の進行と前記セキュリティ装置へのアクセスとを関連付けて表示装置に表示する軌跡表示部とを備える行動監視装置。
2. 前記軌跡表示部は、前記行動段階の進行と前記セキュリティ装置へのアクセスとを時系列に並べて表示する請求項１に記載の行動監視装置。
3. 前記行動追跡部は、前記ログ情報に、前記行動手順における一の行動段階から他の行動段階への遷移条件として定義された特定のアクセスを示すログが含まれる場合、前記行動段階を次の行動段階へ遷移させる請求項１又は２に記載の行動監視装置。
4. 前記軌跡表示部は、前記行動段階と、前記アクセスがあった旨を示すマークとを表示する請求項１から３何れか１項に記載の行動監視装置。
5. 前記軌跡表示部は、前記マークが選択されると、該選択されたマークに対応するログの内容を表示する請求項４に記載の行動監視装置。
6. 前記ログ情報は、アクセス許可を示すログと、アクセス不許可を示すログとを含み、前記軌跡表示部は、前記アクセス許可を示すログに対応するアクセスがあった旨を示すマークと、前記アクセス不許可を示すログに対応するアクセスがあった旨を示すマークとを、異なる表示態様で表示する請求項４又は５に記載の行動監視装置。
7. 監視対象を監視するセキュリティ装置と、
   前記セキュリティ装置から前記監視対象に対するアクセスについてのログ情報を取得するログ取得部と、
   前記ログ情報と、複数の行動段階を含む人の行動手順を定義する行動手順情報を含む行動指示情報とに基づいて、前記行動手順における行動段階の進行を追跡する行動追跡部と、
   前記行動段階の進行と、前記セキュリティ装置へのアクセスとを関連付けて表示装置に表示する軌跡表示部とを備える行動監視システム。
8. 前記行動指示情報が、前記セキュリティ装置におけるアクセス制御を定義するアクセス制御情報を更に含んでおり、
   前記行動段階の進行と前記アクセス制御情報とに基づいて前記アクセス制御を実施するアクセス制御部を更に備える請求項７に記載の行動監視システム。
9. 前記アクセス制御情報は、アクセス制御の内容と、該アクセス制御の内容が適用される行動段階とを対応付けた情報を含む請求項８に記載の行動監視システム。
10. 前記アクセス制御部は、前記行動段階の進行に合わせて、前記アクセス制御情報に含まれるアクセス制御の内容を示すコマンドを前記セキュリティ装置に発行する請求項９に記載の行動監視システム。
11. 前記セキュリティ装置は、サイバーセキュリティ装置及び物理セキュリティ装置の少なくとも一方を含む請求項７から１０何れか１項に記載の行動監視システム。
12. 前記軌跡表示部は、前記行動段階の進行と前記セキュリティ装置へのアクセスとを時系列に並べて表示する請求項７から１１何れか１項に記載の行動監視システム。
13. 前記行動追跡部は、前記ログ情報に、前記行動手順における一の行動段階から他の行動段階への遷移条件として定義された特定のアクセスを示すログが含まれる場合、前記行動段階を次の行動段階へ遷移させる請求項７から１２何れか１項に記載の行動監視システム。
14. 前記軌跡表示部は、前記行動段階と、前記アクセスがあった旨を示すマークとを表示する請求項７から１３何れか１項に記載の行動監視システム。
15. 前記軌跡表示部は、前記マークが選択されると、該選択されたマークに対応するログの内容を表示する請求項１４に記載の行動監視システム。
16. 監視対象を監視するセキュリティ装置から前記監視対象に対するアクセスについてのログ情報を取得し、
    前記ログ情報と、複数の行動段階を含む人の行動手順を定義する行動手順情報を含む行動指示情報とに基づいて、前記行動手順における行動段階の進行を追跡し、及び、
    前記行動段階の進行と、前記セキュリティ装置へのアクセスとを関連付けて表示装置に表示することを有する行動監視方法。
17. 監視対象を監視するセキュリティ装置から前記監視対象に対するアクセスについてのログ情報を取得するステップと、
    前記ログ情報と、複数の行動段階を含む人の行動手順を定義する行動手順情報を含む行動指示情報とに基づいて、前記行動手順における行動段階の進行を追跡するステップと、
    前記行動段階の進行と、前記セキュリティ装置へのアクセスとを関連付けて表示装置に表示するステップとをコンピュータに実行させるためのプログラム。

Images