WO2015159926A1 - 情報漏洩検知装置、情報漏洩検知方法、および情報漏洩検知プログラム - Google Patents

情報漏洩検知装置、情報漏洩検知方法、および情報漏洩検知プログラム Download PDF

Info

Publication number
WO2015159926A1
WO2015159926A1 PCT/JP2015/061637 JP2015061637W WO2015159926A1 WO 2015159926 A1 WO2015159926 A1 WO 2015159926A1 JP 2015061637 W JP2015061637 W JP 2015061637W WO 2015159926 A1 WO2015159926 A1 WO 2015159926A1
Authority
WO
WIPO (PCT)
Prior art keywords
series
information
unit
difference
leakage detection
Prior art date
Application number
PCT/JP2015/061637
Other languages
English (en)
French (fr)
Inventor
守本　正宏
喜勝 白井
秀樹 武田
周作 野崎
彰晃 花谷
健作 信櫻
拓一 小野里
Original Assignee
株式会社Ｕｂｉｃ
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社Ｕｂｉｃ filed Critical 株式会社Ｕｂｉｃ
Priority to JP2016513817A priority Critical patent/JP6247749B2/ja
Publication of WO2015159926A1 publication Critical patent/WO2015159926A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data

Definitions

  • the present invention relates to an information leakage detection device that detects information leakage by analyzing a user's behavior regarding the use of a computer.
  • Patent Document 1 discloses a security policy management system in which a consistent security policy is shared by the entire system, and access control accompanying policy change or the like can be changed.
  • Patent Document 2 discloses an access authority management system capable of dynamically setting / changing access authority to each data for a user.
  • Patent Document 3 discloses a display method for detecting information file leakage that is useful for information leakage prevention measures by grasping the behavior of an information network user.
  • JP 2012-194801 A released on October 11, 2012
  • JP 2013-214219 A released on October 17, 2013
  • JP 2007-304943 A published November 22, 2007
  • Patent Documents 1 and 2 are not techniques that can overcome this adverse effect.
  • the present invention has been made in view of the above-mentioned problems, and its purpose is to analyze information on behavioral history, and to detect information leakage that can detect a sign of leakage of confidential information without increasing management costs. It is to provide detection and the like.
  • an information leakage detection apparatus detects information leakage by sequentially storing user behaviors related to computer use in a predetermined storage unit and analyzing the behaviors.
  • An information leakage detection device that refers to a behavior stored in the predetermined storage unit, and includes a first series of behaviors included in a predetermined period and a behavior included in a latest period different from the predetermined period By comparing the second series, the extraction unit that extracts the difference between the first series and the second series, and the difference extracted by the extraction unit leaks confidential information that is secretly managed inside
  • a determination unit for determining whether or not a predetermined standard indicating that the risk has increased has been reached; and when the determination unit determines that the risk has been reached, the computer And a notification unit for notifying the danger to the administrator.
  • the “confidential information” is technical or business information useful for business activities.
  • personal information For example, personal information, technical information (design drawings, experimental data, research reports, manufacturing know-how), sales information (customers) Directory, sales manual, supplier list, financial data).
  • sales information customers
  • Directory sales manual
  • supplier list financial data
  • the “behavior” is any information related to the fact that the user has used the computer, and includes, for example, the fact that the user has accessed a predetermined directory or data, and / or the date and time of the access.
  • the information leakage detection device has an increased risk of leakage of the confidential information when the difference between the first sequence and the second sequence is a large difference exceeding the predetermined standard. This is notified to the administrator.
  • the information leakage detection device can detect that the risk of leakage of confidential information has increased without causing adverse effects such as reducing the efficiency of work or spending high management costs.
  • the extraction unit extracts a change in a time zone for accessing the confidential information as a difference between the first sequence and the second sequence, and the determination unit May use, as one of the predetermined criteria, whether or not the change in the time zone extracted by the extraction unit exceeds a predetermined time width.
  • the extraction unit extracts a change in the number of times the confidential information is accessed as a difference between the first sequence and the second sequence
  • the determination unit includes:
  • One of the predetermined criteria may be whether or not the change in the number of times extracted by the extracting unit exceeds a first threshold value.
  • the extraction unit extracts a change in the frequency of accessing the confidential information as a difference between the first sequence and the second sequence
  • the determination unit includes: One of the predetermined criteria may be whether or not the change in the frequency extracted by the extraction unit exceeds a second threshold value.
  • the extraction unit extracts a change in the type of confidential information to be accessed as a difference between the first sequence and the second sequence
  • the determination unit includes:
  • One of the predetermined criteria may be whether or not the type of change extracted by the extraction unit exceeds a third threshold value.
  • the extraction unit extracts a change in the number of times the confidential information has been moved as a difference between the first sequence and the second sequence, and the determination unit May use, as one of the predetermined criteria, whether or not the change in the number of times extracted by the extraction unit exceeds a fourth threshold value.
  • the extraction unit extracts a change in the number of transmitted and received emails as a difference between the first series and the second series
  • the determination unit includes: Whether the change in the number extracted by the extraction unit exceeds the fifth threshold value may be used as one of the predetermined criteria.
  • the determination unit is a classification code indicating whether or not the difference extracted by the extraction unit indicates that the risk is increased.
  • the classification code associated with the difference in advance it may be determined whether or not the newly extracted difference indicates that the risk is increased.
  • the notification unit may further notify identification information that can uniquely identify the computer.
  • an information leakage detection method detects information leakage by sequentially storing user behaviors related to computer use in a predetermined storage unit and analyzing the behaviors.
  • An information leakage detection method wherein a first series of behaviors included in a predetermined period and a behavior included in a latest period different from the predetermined period are referenced with reference to the behavior stored in the predetermined storage unit
  • the extraction step for extracting the difference between the first sequence and the second sequence by comparing the second sequence and the difference extracted in the extraction step may leak confidential information that is secretly managed inside
  • a determination step for determining whether or not a predetermined standard indicating that the performance has increased has been reached; , And a notification step of notifying the danger to the administrator of the computer.
  • the information leak detection method has the same effect as the information leak detection apparatus.
  • an information leakage detection program stores information on a user's behavior related to the use of a first computer in a predetermined storage unit, and analyzes the behavior.
  • An information leakage detection program for detecting leakage wherein a second computer refers to a behavior stored in the predetermined storage unit, a first series of behaviors included in a predetermined period, and the predetermined period.
  • the extraction function for extracting the difference between the first series and the second series by comparing with the second series of behaviors included in different latest periods, and the difference extracted by the extraction function is internally
  • a determination function for determining whether or not a predetermined standard indicating that there is an increased risk of leakage of confidential information that is secretly managed; and the determination function Therefore, when it is determined to have reached, to achieve a notification function for notifying the danger to the administrator of the first computer.
  • the information leakage detection device may be realized by a computer.
  • the computer by causing the computer to operate as each unit included in the information leakage detection device, an information leakage detection program for realizing the information leakage detection device in the computer, and a computer-readable recording medium on which the information leakage detection program is recorded are also within the scope of the present invention.
  • the information leakage detection program has the same effect as the information leakage detection device.
  • the information leakage detection apparatus, the information leakage detection method, and the information leakage detection program according to one aspect of the present invention are capable of storing confidential information without causing adverse effects such as reducing business efficiency and high management costs. There is an effect that it is possible to detect that the risk of leakage is increased.
  • FIG. 6 is a block diagram showing a main configuration of a server according to Embodiment 2. It is a flowchart which shows an example of the process which the said server performs.
  • (A), (b) is a graph which shows the example of a change of a user's behavior.
  • FIG. 1 is a block diagram illustrating a main configuration of the server 100.
  • the server (information leakage detection device) 100 is an information leakage detection device that sequentially stores user behaviors related to the use of a computer in the storage unit 30 and detects information leakage by analyzing the behaviors.
  • the server 100 includes a control unit 10 (acquisition unit 11, extraction unit 12, determination unit 13, notification unit 14, output unit 15), display unit 50, storage unit 30, and communication unit 20. (Receiving unit 21, transmitting unit 22).
  • the control unit 10 comprehensively controls various functions of the server 100.
  • the control unit 10 includes an acquisition unit 11, an extraction unit 12, a determination unit 13, a notification unit 14, and an output unit 15.
  • the acquisition unit 11 acquires the data 1 received by the reception unit 21 from the reception unit 21 and outputs the data 1 to the extraction unit 12 and the output unit 15. In addition, the acquisition unit 11 sequentially stores the user behavior regarding the use of the computer included in the data 1 in the storage unit 30.
  • the behavior is arbitrary information related to the fact that the user has used the computer, and includes, for example, the fact that a predetermined directory or data is accessed, and / or the date and time of the access.
  • the extraction unit 12 refers to the behavior stored in the storage unit 30, and obtains the first series of behaviors included in the predetermined period and the second series of behaviors included in the latest period different from the predetermined period. By comparing, the difference between the first series and the second series is extracted.
  • the extracting unit 12 (1) changes in the time zone for accessing confidential information, (2) changes in the number of accesses to confidential information, (3) changes in the frequency of accessing confidential information, (4) A change in the type of confidential information to be accessed, (5) a change in the number of times the confidential information has been moved, or (6) a change in the number of emails sent and received is extracted as a difference between the first series and the second series. be able to.
  • the extraction unit 12 outputs the difference between the extracted first series and second series as the difference information 2 to the determination unit 13.
  • the extraction unit 12 refers to the behavior history accumulated in the storage unit 30 by the acquisition unit 11 and performs the predetermined period (for example, from one year before the present to 11 months before the present.
  • the time period during which the user accesses the confidential information in one month) is compared with the time in which the user accessed the confidential information in the most recent period (for example, one month from the present one month to the present).
  • the time period when users access confidential information has changed from, for example, the normal business hours (for example, 9:00 to 18:00) to the time when there are few other users in the office (for example, midnight, weekends, etc.)
  • the extraction unit 12 can extract this as the difference.
  • the extraction unit 12 compares the number of times the user has accessed the confidential information in the predetermined period and the number of times the user has accessed the confidential information in the most recent period. Then, the extraction unit 12 indicates that the number of times that the user accesses confidential information has increased from, for example, a common-sense number that can be recognized as necessary for the user to perform business, to a number that cannot be recognized. Can be extracted as the above difference.
  • the extraction unit 12 continuously calculates a moving average regarding the number of times the user accesses confidential information, and calculates the difference between the moving average value at an arbitrary time point (for example, one year ago) and the most recent moving average value. It may be extracted.
  • the extraction unit 12 compares the frequency of accessing confidential information in the predetermined period (the number of accesses per unit time) with the frequency of accessing the confidential information in the most recent period.
  • the frequency with which a user accesses confidential information has increased from, for example, a common-sense frequency that can be recognized as necessary for the user to perform business, to a frequency that cannot be recognized (more in a short time).
  • the extraction unit 12 can extract the above-mentioned difference.
  • the extraction unit 12 compares the type of confidential information accessed during the predetermined period with the type of confidential information accessed during the most recent period. And, the type of confidential information accessed by the user exceeds, for example, the type assumed for the user to perform business, and is accessing many types of confidential information (that is, taking it out to the outside) The extraction unit 12 can extract the fact that the confidential information is sufficient) as the difference.
  • the extraction unit 12 counts the number of times that the user has moved the confidential information in the predetermined period (for example, the number of times data stored in a predetermined server is copied to a computer used by the user) And the number of times of movement in the most recent period.
  • the extraction unit 12 indicates that the number of times of movement has increased from, for example, a common-sense number that can be recognized as necessary for the user to perform business, to a number that cannot be recognized. Can be extracted as
  • the extraction unit 12 compares the number of e-mails transmitted and received by the user in the predetermined period with the number of e-mails transmitted and received in the most recent period. Then, for example, the extraction unit 12 can extract that the exchange of mail with an external person is increasing as the difference. Or the extraction part 12 can extract that the exchange of the mail with an internal person (for example, a user's supervisor) is reducing as the said difference.
  • the server 100 can extract the change observed as a sign of leakage of confidential information. Therefore, the server 100 can detect that the risk of leakage of confidential information has increased without causing adverse effects such as reducing the efficiency of business operations or spending high management costs.
  • the determination unit 13 determines whether or not the difference extracted by the extraction unit 12 has reached a predetermined standard that suggests that there is an increased risk of leakage of confidential information that is secretly managed inside. Specifically, the determination unit 13 determines (1) one of the predetermined criteria as to whether or not a change in a time zone for accessing confidential information exceeds a predetermined time width. Further, the determination unit 13 (2) changes in the number of times the confidential information is accessed, (3) changes in the frequency of accessing the confidential information, (4) changes in the type of confidential information to be accessed, and (5) moves the confidential information. (6) Whether the change in the number of sent and received e-mails exceeds a predetermined threshold value (first to fifth threshold values) is determined based on the predetermined standard. It can be determined as one. The determination unit 13 outputs the determined result (determination result 3) to the notification unit 14.
  • a predetermined threshold value first to fifth threshold values
  • the predetermined time width in the case (1) and the predetermined threshold value in the cases (2) to (6) detect the difference extracted by the extraction unit 12 as “abnormal change”. Each is set to be possible. Therefore, the server 100 can detect that the risk of leakage of confidential information has increased without causing adverse effects such as reducing the efficiency of business operations or spending high management costs.
  • the determination unit 13 is a classification code indicating whether or not the difference (difference information 2) extracted by the extraction unit 12 indicates that the risk is increased, and is associated with the difference in advance. Based on the obtained classification code, it may be determined whether or not the newly extracted difference indicates that the risk is increased.
  • the server 100 classifies the difference by accepting a classification code representing “risk is increased” or “hazard is not increased” from the outside (for example, the administrator inputs a predetermined input device).
  • the classification code can be given to the server 100 by inputting the classification code via the URL).
  • the newly extracted difference can be classified based on a classification code previously associated with the difference (that is, the difference increases the risk).
  • the server 100 is in a case where an unknown difference (for example, a change in which it is not possible to detect that the risk of information leakage is increased only by the criteria exemplified in the above (1) to (6)) is extracted.
  • an unknown difference for example, a change in which it is not possible to detect that the risk of information leakage is increased only by the criteria exemplified in the above (1) to (6)
  • reports a danger to the administrator of a computer, when it determines with the determination part 13 having reached.
  • the notification unit 14 can further notify identification information (for example, a host name, an IP address, a mail address, a user name, etc.) that can uniquely identify the computer.
  • the server 100 can allow the administrator to identify the subject that is trying to leak confidential information.
  • the notification unit 14 outputs the notification information 4 including the danger and / or the identification information to the display unit 50.
  • the output unit 15 transmits the data 1 input from the acquisition unit 11 to the transmission unit 22, thereby transmitting the data 1 to an external computer.
  • the display unit 50 is a display device (for example, a liquid crystal display) that can display information on the danger according to the notification information 4 input from the notification unit 14.
  • FIG. 1 shows a configuration example in which the server 100 includes the display unit 50.
  • the display unit 50 only needs to be able to present information related to the danger to the user.
  • the server 100 can communicate with the server 100. It may be a connected external display device.
  • the storage unit 30 is a storage device configured by an arbitrary recording medium such as a hard disk, an SSD (solid state drive), a semiconductor memory, or a DVD, for example, and various programs (information leakage detection program) that can control the server 100 and The data and the user behavior stored sequentially by the acquisition unit 11 are stored.
  • an arbitrary recording medium such as a hard disk, an SSD (solid state drive), a semiconductor memory, or a DVD, for example, and various programs (information leakage detection program) that can control the server 100 and The data and the user behavior stored sequentially by the acquisition unit 11 are stored.
  • the communication unit 20 communicates with the outside via a communication network according to a predetermined communication method. It is only necessary to have an essential function for realizing communication with an external device, and the communication line, the communication method, the communication medium, and the like are not limited.
  • the communication unit 20 can be configured by a device such as an Ethernet (registered trademark) adapter.
  • the communication unit 20 can use a communication method or a communication medium such as IEEE802.11 wireless communication or Bluetooth (registered trademark).
  • the communication unit 20 includes a reception unit 21 and a transmission unit 22.
  • the receiving unit 21 receives data 1 from any computer included in the intranet by communication via the communication network.
  • the transmission unit 22 transmits the data 1 input from the output unit 15 to an arbitrary computer that is communicably connected to the Internet by communication via a communication network.
  • FIG. 2 is a flowchart illustrating an example of processing executed by the server 100.
  • parenthesized “ ⁇ steps” represent steps included in the information leakage detection method.
  • the acquisition unit 11 acquires the data 1 received by the reception unit 21 from the reception unit 21 (step 1, hereinafter “step” is abbreviated as “S”).
  • the extraction unit 12 refers to the behavior stored in the storage unit 30, and obtains the first series of behaviors included in the predetermined period and the second series of behaviors included in the latest period different from the predetermined period. By comparing, the difference between the first series and the second series is extracted (S2, extraction step).
  • the determination unit 13 determines whether or not a predetermined standard that suggests that the risk of leakage of confidential information has increased (S3, determination step). When it is determined that the predetermined standard has been reached (YES in S3), the notification unit 14 notifies the computer administrator of the danger (S4, notification step).
  • the server 100 can detect the risk of information leakage in advance by focusing on whether or not there is a change in the dynamics of the user (for example, an increase in the number of accesses to confidential information). In other words, the server 100 can detect that the risk of leaking confidential information has increased without causing adverse effects such as reducing the efficiency of business operations or spending high management costs.
  • the control block (particularly the control unit 10) of the server 100 may be realized by a logic circuit (hardware) formed in an integrated circuit (IC chip) or the like, or by software using a CPU (Central Processing Unit). It may be realized.
  • the server 100 includes a CPU that executes instructions of a program (information leakage detection program) that is software that implements each function, and a ROM (in which the program and various data are recorded so as to be readable by the computer (or CPU)).
  • a Read Only Memory or a storage device (these are referred to as “recording media”), a RAM (Random Access Memory) for expanding the program, and the like are provided.
  • a computer reads the said program from the said recording medium and runs it.
  • a “non-temporary tangible medium” such as a tape, a disk, a card, a semiconductor memory, a programmable logic circuit, or the like can be used.
  • the program may be supplied to the computer via an arbitrary transmission medium (such as a communication network or a broadcast wave) that can transmit the program.
  • the present invention can also be realized in the form of a data signal embedded in a carrier wave in which the program is embodied by electronic transmission.
  • the server 100 sequentially stores user behaviors related to the use of the first computer in a predetermined storage unit, and detects information leakage by analyzing the behaviors.
  • An information leakage detection apparatus that causes a second computer to implement an extraction function, a determination function, and a notification function.
  • the extraction function, determination function, and notification function can be realized by the extraction unit 12, the determination unit 13, and the notification unit 14, respectively. Details are as described above.
  • FIG. 3 is a block diagram illustrating a main configuration of the server 300 according to the second embodiment.
  • the server 300 includes a storage unit 30, a control unit 40, a display unit 50, and a communication unit 60.
  • the storage unit 30 further stores a keyword weight value for evaluating an outgoing mail transmitted by the user as a program or data required for the operation of the server 300.
  • the keyword may be specified by an administrator, or a morpheme or expression that frequently appears from a plurality of emails determined to have a risk of leakage of confidential information and emails determined not to have the risk.
  • the sentence may be automatically extracted.
  • the weight value of the keyword is the evaluation value (score) of the transmitted mail that the administrator determines that there is a risk of leakage of confidential information when the transmitted mail is evaluated based on the weight value of the keyword. Then, it is set so as to be higher than the score of the outgoing mail determined that there is no risk of leakage of confidential information. Therefore, the weight value may be calculated using, for example, the following mathematical formula by iterative learning.
  • wgt i, 0 is the weight value (initial value) of the i-th keyword before learning
  • wgt i, L is the weight value of the i-th keyword after the L-th learning. is there.
  • ⁇ L is a learning parameter in the L-th learning
  • ⁇ is a learning effect threshold.
  • the server 300 can determine whether or not the user's transmission mail is related to leakage of confidential information.
  • the control unit 40 includes an acquisition unit 41, an output unit 15, an extraction unit 42, a determination unit 43, a notification unit 14, and a classification unit 45.
  • the acquisition unit 41 has a function of acquiring a user's transmission mail via the reception unit 21 in addition to the function of the acquisition unit 11.
  • the acquisition unit 41 has a function of transmitting the acquired transmission mail to the extraction unit 42.
  • the extraction unit 42 has a function of extracting a keyword from the transmission mail transmitted from the acquisition unit 41 in addition to the function of the extraction unit 12.
  • the keyword to be extracted is a keyword stored in the storage unit 30.
  • the extraction unit 42 transmits the extracted keyword and the extracted outgoing mail to the classification unit 45.
  • the determination unit 43 has a function of calculating a ratio of outgoing mail classified as related to leakage of confidential information transmitted from the classification unit 45 to all outgoing mail used for classification. . And the determination part 43 determines whether the calculated ratio exceeds a predetermined threshold value (for example, 50%). When the determination unit 43 determines that the behavioral difference between the first series and the second series exceeds a predetermined threshold and the calculated ratio exceeds the predetermined threshold, a notification is made. Section 14 is notified that there is a risk of leakage of confidential information. In this example, the ratio of outgoing mail classified as related to leakage of confidential information is determined based on the ratio of all outgoing mail. However, whether there are more than a certain number of outgoing mail classified as related to leakage of confidential information. It is good also as judging by.
  • a predetermined threshold value for example, 50%
  • the classification unit 45 has a function of classifying whether the transmission mail from which the extraction unit 42 has extracted the keyword is related to leakage of confidential information, using the keyword transmitted from the extraction unit 42. Specifically, the classification unit 45 uses the weight value associated with the keyword extracted by the extraction unit 42 to calculate the score S of the outgoing mail from which the keyword is extracted.
  • the score S can be calculated by, for example, the following formula (2).
  • w i is a weight value of the i-th keyword
  • s (i) is an existence function as to whether or not the i-th keyword exists, and the i-th keyword is included in the outgoing mail. 1 if the keyword exists, 0 if it does not exist.
  • the classification unit 45 determines whether or not the calculated score S exceeds a predetermined threshold value. When the predetermined threshold value is exceeded, the classification unit 45 classifies that the transmission mail corresponding to the score S is related to leakage of confidential information, and when it does not exceed, the transmission mail corresponding to the score S Is classified as not related to leakage of confidential information. The classification unit 45 classifies the plurality of outgoing mails and transmits the classification result 5 to the determination unit 43.
  • the notification unit 14 When notified by the determination unit 43 that there is a risk of leakage of confidential information, the notification unit 14 generates display information indicating that there is a risk of leakage of confidential information, and the display unit 50 displays the display information. By displaying information, the administrator is notified that there is a risk of leakage of confidential information.
  • the communication unit 60 includes a transmission unit 22 and a reception unit 61.
  • the receiving unit 61 has a function of receiving a plurality of user's outgoing mails in addition to the function of the receiving unit 21, and transmits the received plural outgoing mails to the acquiring unit 41.
  • the above is the configuration of the server 300 according to the second embodiment.
  • FIG. 4 is a flowchart showing the determination operation of the server 300 in the second embodiment.
  • the flowchart shown in FIG. 4 is obtained by adding a process of analyzing the outgoing mail to the flowchart shown in FIG.
  • step S3 when the determination unit 43 determines that the difference has reached a predetermined reference (YES in step S3), the acquisition unit 41 of the server 300 determines that the determination unit 43 has a predetermined difference.
  • the transmission mail of the user who has taken the behavior determined to have reached is acquired (step S5).
  • the server 300 uses the keyword weight value stored in the storage unit 30 for the acquired mail to classify the acquired user's multiple outgoing mails as to whether or not they are related to leakage of confidential information ( Step S6).
  • step S7 it is determined whether or not the ratio of the transmission mail determined to be related to the leakage of confidential information to the total transmission mail exceeds a predetermined threshold.
  • step S7 If it is determined that the ratio of outgoing mail determined to be related to leakage of confidential information exceeds a predetermined threshold (YES in step S7), the notification unit 14 informs the computer administrator of the confidential information. Is generated and displayed on the display unit 50 (step S8). If the ratio of outgoing mail determined to be related to leakage of confidential information is equal to or less than a predetermined threshold value (NO in step S7), the process is terminated assuming that the risk of leakage of confidential information is low. In this case, information indicating that the risk of leakage of confidential information is low for the user may be notified.
  • FIG. 5 is a graph showing an example of a temporal change in the user's behavior in one day.
  • FIG. 5A is a graph showing an example of a temporal change in the past of the user's behavior in a day
  • FIG. 5B is an example of a temporal change that can be placed on the user's recent behavior in a day. It is a graph which shows. Here, it is a day, but this is the average value of a certain period in the past (for example, one week before one year) or the most recent period (for example, one week within one month from the present). May be. Further, the analysis target is not limited to one day, but may be another unit such as weekly or monthly.
  • a change in the amount of access by which the user has accessed the confidential information and a change in the number of transmissions transmitted by the mail are shown.
  • FIG. 5 (a) shows an example of a user's behavior when there is a low risk of leaking confidential information without complaints or dissatisfaction with the organization to which the user still belongs in the past.
  • FIG. 5B shows an example of the behavior of a recent user who has been complaining or dissatisfied with the organization and whose risk of leaking confidential information is increasing.
  • FIGS. 5A and 5B are both graphs in which the vertical axis represents the number of mail transmissions or the number of accesses to confidential information, and the horizontal axis represents time.
  • the server 300 analyzes a plurality of mails transmitted by the user, and regarding each of the transmitted mails, a transmission mail related to “leakage of confidential information” and a transmission mail that does not By classifying and determining whether the ratio exceeds a certain ratio, it is possible to detect that there is a risk of leakage of confidential information. Then, the risk of leakage of confidential information can be further reduced by the administrator of the server 300 reading the contents of the outgoing mail classified as related to “leak of confidential information”.
  • the determination unit 43 determines that the ratio of the transmitted mail classified as related to “leakage of confidential information” to the entire transmitted mail exceeds a predetermined threshold, the user is classified as confidential.
  • the administrator of the server 300 may determine by checking the user's outgoing mail.
  • the server 300 is classified according to whether or not it is related to leakage of confidential information, but this may be classified according to whether or not it is related to “complaint / dissatisfaction”. This is because complaints and dissatisfaction often weaken the loyalty of the organization and tend to cause leakage of confidential information. Alternatively, it may be classified according to whether or not it relates to a specific topic.
  • keywords related to “leakage of confidential information” and their weight values are stored in advance.
  • the administrator may determine whether or not it is related to leakage and classify it, register words that frequently appear from the classified outgoing mail as keywords, and calculate the weight value.
  • the server 300 sets the confidentiality according to the content of the information accessed by the user, or the confidential information leakage degree for the action taken by the user, and at least one of the confidentiality and the leakage degree is predetermined. It may be notified that there is a risk of leakage of confidential information on condition that the threshold is exceeded.
  • the storage unit 30 stores confidentiality for various data that can be accessed in the organization.
  • the confidentiality is information indicating the level of confidentiality of the data, and may be indicated by numerical values set by the administrator or expressions such as “high”, “medium”, and “low”.
  • the storage unit 30 stores the degree of leakage indicated by numerical values and expressions in the same manner as the sensitivity for the predetermined action taken by the user. In the case of expressing “high”, “medium”, “low”, and the like, it is only necessary to have an algorithm for conversion to a numerical value.
  • confidentiality for example, highly confidential information (for example, planning information on new products, customer information, transaction cost information, etc.) is evaluated with a high numerical value (for example, between 0 and 100). If so, 90 and the like) are stored in association with each other. Further, information with low confidentiality (for example, information on products already sold) is stored in association with a low numerical value (for example, 20). And the confidentiality at the time of accessing information is specified with reference to the memory
  • a predetermined threshold value reference
  • a user's specific action for example, “send an email with some data and send it to the outside”, “a user can access a specific website (site that may lead to leakage of confidential information)
  • the administrator stores the site information in advance in the storage unit 30.
  • the website for example, access to a job placement site or a homepage of another company in the same industry
  • “30” and “20” are stored in association with each other.
  • the server 300 monitors whether or not a user in the organization takes the specific action described above.
  • a monitoring method for mail, information can be acquired from a mail server, and for an accessed website, information can be acquired from the web server.
  • the control unit 40 stores the degree of leakage in the storage unit 30 corresponding to the action taken by the user in association with the user information indicating the user each time the user takes the specific action. Then, the determination unit 43 determines that there is a risk of leakage of confidential information when the total value of the leakage levels associated with the user exceeds a predetermined threshold (reference).
  • the server 300 further includes a specifying unit that identifies a user who has a risk of leaking confidential information, and information indicating the user specified by the specifying unit has a risk of leaking confidential information. It is good also as notifying with the information to show.
  • the identification unit may acquire an email attached with confidential information and identify a user corresponding to the transmission source, or loyalty to an organization to which a specific site (for example, a job change information site belongs) You may identify users who have visited a site that can be estimated to be in a degraded state), or users who have contacted (for example, sent an email) with a specific external organization (for example, another company in the same industry) It may be specified.
  • a specific site for example, a job change information site belongs
  • the storage unit 30 stores keywords and their weight values in advance, but the server 300 may have a function for determining the keywords and weight values. That is, the server 300 receives a classification code indicating whether or not it is related to leakage of confidential information about mail, a data element extraction unit that extracts data elements that can be keywords from the received mail, and the extracted data A determination unit that determines a keyword from the elements; a weighting unit that calculates a weight value of the determined keyword; and a storage unit that stores the calculated weight value in the storage unit 30 in association with the keyword. Also good. What is necessary is just to calculate a weighting part using the above-mentioned Formula (1), for example.
  • the determination unit may determine, as a keyword, a data element that appears frequently among data elements extracted from a user's designation or transmitted mail. Since the server 300 has a function of determining a keyword and its weight value, for example, it is possible to analyze a mail specialized for a specific user, so that the risk of leakage of confidential information about the user is detected. Accuracy can be improved.
  • the server 100 and the server 300 may include a correction unit for correcting the difference value.
  • a coefficient based on the increase or decrease of the user's income may be multiplied.
  • a coefficient that increases the difference value may be multiplied.
  • the coefficient is multiplied, but a constant value may be added or subtracted.
  • the determination part 13 (43) may perform determination based on the difference value after correction
  • correction based on response time for mail time from receipt of mail to reply to the mail
  • the weighting value may be set for a file or folder related to confidential information.
  • the weighting value set for the file or folder actually accessed by the user may be added to the difference between the calculated first and second series of behaviors.
  • the weighting value may be set according to the number of years the user has belonged to the organization. For example, if the user belongs to an organization and is less than x years, weighting is performed to increase the difference value, and if the number of years belonging to the organization is y years or more, weighting is performed to decrease the difference value. May be. This is because loyalty to the organization is low while the number of years belonging to the organization is short, and loyalty increases when the number of years belonging to the organization is long.
  • the server 300 analyzes and classifies the user's outgoing mail, but it goes without saying that the user's received mail may also be the target.
  • the server 300 analyzes the user's sent mail in accordance with the user's behavior (behavior), so that it is possible to detect the risk of leakage of confidential information with higher accuracy. Therefore, for example, when users increase the number of emails in the middle of the night and the content is not classified as content other than work, the loyalty to the organization is weakened because the work is not related to work. In other words, it can be said that the risk of leakage of confidential information is increasing, and the server 300 can detect such a situation. Needless to say, in the second embodiment, the above-described implementation example using software can be applied.
  • the present invention can be widely applied to arbitrary computers such as personal computers, workstations, and mainframes.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Storage Device Security (AREA)

Abstract

　記憶部に格納されたビヘイビアを参照し、所定の期間に含まれるビヘイビアの第１系列と、直近の期間に含まれるビヘイビアの第２系列とを比較することによって、当該第１系列と第２系列との差異を抽出する抽出部と、抽出された差異が、機密情報が漏洩する危険性が高まったことを示唆する所定の基準に達したか否かを判定する判定部と、達したと判定された場合、コンピュータの管理者に危険性を報知する報知部とを備えている。

Description

情報漏洩検知装置、情報漏洩検知方法、および情報漏洩検知プログラム
　本発明は、コンピュータの使用に関するユーザのビヘイビアを解析することによって情報漏洩を検知する情報漏洩検知装置等に関するものである。
　アクセス制御を管理することによって、ネットワークの内部から機密情報が漏洩することを防止するシステムは、従来から提案されていた。例えば、下記の特許文献１には、システム全体に一貫したセキュリティポリシーを共有させて、ポリシー変更などに伴うアクセス制御を変更できるセキュリティポリシー管理システムが開示されている。また、下記の特許文献２には、ユーザに対する各データへのアクセス権限を動的に設定・変更することができるアクセス権限管理システムが開示されている。
　一方、コンピュータ利用に関するビヘイビア（どのファイルにアクセスしたかなど）を記録する技術も、従来から提案されていた。例えば、下記の特許文献３には、情報ネットワークの利用者の行動を把握して、情報漏洩の予防対策に役立つ情報ファイル漏洩を検知するための表示方法が開示されている。
特開２０１２－１９４８０１号公報（２０１２年１０月１１日公開） 特開２０１３－２１４２１９号公報（２０１３年１０月１７日公開） 特開２００７－３０４９４３号公報（２００７年１１月２２日公開）
　ネットワークの内部ユーザによる情報漏洩を防止するために、セキュリティポリシーを厳格に適用することによって情報が漏洩し得る経路を制限すれば、業務の効率が落ち、管理コストが高くつくという弊害が生じる。上記の特許文献１および２に記載の従来技術は、この弊害を克服可能な技術ではない。
　一方、上記の特許文献３に記載の表示方法のように、上記内部ユーザのビヘイビアを記録し、問題視される所定のビヘイビアが発見された場合、管理者に警告を出すシステムでは、（ａ）上記所定のビヘイビアが発見された時点では、すでに機密情報が漏洩した後であることが多い、および（ｂ）漏洩を事前に検知するために警告の要件を緩めるほど警告が頻発し、十分に監視が及ばないという問題が生じる。
　本発明は、上記の問題点に鑑みてなされたものであり、その目的は、ビヘイビアの履歴を解析することによって、管理コストを増大させることなく、機密情報が漏洩する予兆を検知可能な情報漏洩検知等を提供することである。
　上記課題を解決するために、本発明の一態様に係る情報漏洩検知装置は、コンピュータの使用に関するユーザのビヘイビアを、所定の記憶部に逐次格納し、当該ビヘイビアを解析することによって情報漏洩を検知する情報漏洩検知装置であって、前記所定の記憶部に格納されたビヘイビアを参照し、所定の期間に含まれるビヘイビアの第１系列と、前記所定の期間とは異なる直近の期間に含まれるビヘイビアの第２系列とを比較することによって、当該第１系列と第２系列との差異を抽出する抽出部と、前記抽出部によって抽出された差異が、内部において秘密管理される機密情報が漏洩する危険性が高まったことを示唆する所定の基準に達したか否かを判定する判定部と、前記判定部によって達したと判定された場合、前記コンピュータの管理者に前記危険性を報知する報知部とを備えている。
　ここで、上記「機密情報」は、事業活動に有用な技術上または営業上の情報であり、例えば、個人情報、技術情報（設計図、実験データ、研究レポート、製造ノウハウ）、営業情報（顧客名簿、販売マニュアル、仕入先リスト、財務データ）などが含まれる。また、上記「ビヘイビア」は、ユーザがコンピュータを使用した事実に関連する任意の情報であり、例えば、所定のディレクトリまたはデータにアクセスした事実、および／または当該アクセスの日時を含む。
　上記構成によれば、上記情報漏洩検知装置は、上記第１系列と第２系列との差異が、上記所定の基準を超える程度の大きな差異である場合、上記機密情報が漏洩する危険性が高まったことを上記管理者に報知する。すなわち、上記情報漏洩検知装置は、業務の効率を落としたり、高い管理コストを費やしたりするなどの弊害を生じることなく、機密情報が漏洩する危険性が高まったことを検知することができる。
　また、本発明の一態様に係る情報漏洩検知装置において、前記抽出部は、前記機密情報にアクセスする時間帯の変化を、前記第１系列と第２系列との差異として抽出し、前記判定部は、前記抽出部によって抽出された時間帯の変化が、所定の時間幅を超過しているか否かを、前記所定の基準の１つとして用いてよい。
　また、本発明の一態様に係る情報漏洩検知装置において、前記抽出部は、前記機密情報にアクセスする回数の変化を、前記第１系列と第２系列との差異として抽出し、前記判定部は、前記抽出部によって抽出された回数の変化が、第１のしきい値を超過しているか否かを、前記所定の基準の１つとして用いてよい。
　また、本発明の一態様に係る情報漏洩検知装置において、前記抽出部は、前記機密情報にアクセスする頻度の変化を、前記第１系列と第２系列との差異として抽出し、前記判定部は、前記抽出部によって抽出された頻度の変化が、第２のしきい値を超過しているか否かを、前記所定の基準の１つとして用いてよい。
　また、本発明の一態様に係る情報漏洩検知装置において、前記抽出部は、アクセスする前記機密情報の種類の変化を、前記第１系列と第２系列との差異として抽出し、前記判定部は、前記抽出部によって抽出された種類の変化が、第３のしきい値を超過しているか否かを、前記所定の基準の１つとして用いてよい。
　また、本発明の一態様に係る情報漏洩検知装置において、前記抽出部は、前記機密情報を移動させた回数の変化を、前記第１系列と第２系列との差異として抽出し、前記判定部は、前記抽出部によって抽出された回数の変化が、第４のしきい値を超過しているか否かを、前記所定の基準の１つとして用いてよい。
　また、本発明の一態様に係る情報漏洩検知装置において、前記抽出部は、送受信した電子メールの数の変化を、前記第１系列と第２系列との差異として抽出し、前記判定部は、前記抽出部によって抽出された数の変化が、第５のしきい値を超過しているか否かを、前記所定の基準の１つとして用いてよい。
　また、本発明の一態様に係る情報漏洩検知装置において、前記判定部は、前記抽出部によって抽出された差異が、前記危険性が高まっていることを示しているか否かを表す分別符号であって、当該差異にあらかじめ対応付けられた分別符号に基づいて、新たに抽出された差異が、前記危険性が高まっていることを示すか否かを判定してよい。
　また、本発明の一態様に係る情報漏洩検知装置において、前記報知部は、前記コンピュータを一意に識別可能な識別情報をさらに報知してよい。
　上記課題を解決するために、本発明の一態様に係る情報漏洩検知方法は、コンピュータの使用に関するユーザのビヘイビアを、所定の記憶部に逐次格納し、当該ビヘイビアを解析することによって情報漏洩を検知する情報漏洩検知方法であって、前記所定の記憶部に格納されたビヘイビアを参照し、所定の期間に含まれるビヘイビアの第１系列と、前記所定の期間とは異なる直近の期間に含まれるビヘイビアの第２系列とを比較することによって、当該第１系列と第２系列との差異を抽出する抽出ステップと、前記抽出ステップにおいて抽出した差異が、内部において秘密管理される機密情報が漏洩する危険性が高まったことを示唆する所定の基準に達したか否かを判定する判定ステップと、前記判定ステップにおいて達したと判定した場合、前記コンピュータの管理者に前記危険性を報知する報知ステップとを含んでいる。
　したがって、上記情報漏洩検知方法は、上記情報漏洩検知装置と同じ効果を奏する。
　上記課題を解決するために、本発明の一態様に係る情報漏洩検知プログラムは、第１のコンピュータの使用に関するユーザのビヘイビアを、所定の記憶部に逐次格納し、当該ビヘイビアを解析することによって情報漏洩を検知する情報漏洩検知プログラムであって、第２のコンピュータに、前記所定の記憶部に格納されたビヘイビアを参照し、所定の期間に含まれるビヘイビアの第１系列と、前記所定の期間とは異なる直近の期間に含まれるビヘイビアの第２系列とを比較することによって、当該第１系列と第２系列との差異を抽出する抽出機能と、前記抽出機能によって抽出された差異が、内部において秘密管理される機密情報が漏洩する危険性が高まったことを示唆する所定の基準に達したか否かを判定する判定機能と、前記判定機能によって達したと判定された場合、前記第１のコンピュータの管理者に前記危険性を報知する報知機能とを実現させる。
　すなわち、本発明の各態様に係る情報漏洩検知装置は、コンピュータによって実現されてもよい。この場合、コンピュータを上記情報漏洩検知装置が備えた各部として動作させることによって、上記情報漏洩検知装置をコンピュータにおいて実現させる情報漏洩検知プログラム、および当該情報漏洩検知プログラムを記録したコンピュータ読み取り可能な記録媒体も、本発明の範疇に入る。
　したがって、上記情報漏洩検知プログラムは、上記情報漏洩検知装置と同じ効果を奏する。
　本発明の一態様に係る情報漏洩検知装置、情報漏洩検知方法、および、情報漏洩検知プログラムは、業務の効率を落としたり、高い管理コストを費やしたりするなどの弊害を生じることなく、機密情報が漏洩する危険性が高まったことを検知することができるという効果を奏する。
本発明の実施の形態に係るサーバの要部構成を示すブロック図である。 上記サーバが実行する処理の一例を示すフローチャートである。 実施の形態２に係るサーバの要部構成を示すブロック図である。 上記サーバが実行する処理の一例を示すフローチャートである。 （ａ）、（ｂ）は、ユーザのビヘイビアの変化の例を示すグラフである。
　〔実施の形態１〕
　図１～図２に基づいて、本発明の実施の形態を説明する。
　〔サーバ１００の構成〕
　図１は、サーバ１００の要部構成を示すブロック図である。サーバ（情報漏洩検知装置）１００は、コンピュータの使用に関するユーザのビヘイビアを、記憶部３０に逐次格納し、当該ビヘイビアを解析することによって情報漏洩を検知する情報漏洩検知装置である。図１に示されるように、サーバ１００は、制御部１０（取得部１１、抽出部１２、判定部１３、報知部１４、出力部１５）、表示部５０、記憶部３０、および、通信部２０（受信部２１、送信部２２）、を備えている。
　制御部１０は、サーバ１００が有する各種機能を統括的に制御する。制御部１０は、取得部１１、抽出部１２、判定部１３、報知部１４、および、出力部１５を含む。
　取得部１１は、受信部２１によって受信されたデータ１を当該受信部２１から取得し、当該データ１を抽出部１２および出力部１５に出力する。また、取得部１１は、上記データ１に含まれる、コンピュータの使用に関するユーザのビヘイビアを記憶部３０に逐次格納する。ここで、上記ビヘイビアは、ユーザがコンピュータを使用した事実に関連する任意の情報であり、例えば、所定のディレクトリまたはデータにアクセスした事実、および／または当該アクセスの日時を含む。
　抽出部１２は、記憶部３０に格納されたビヘイビアを参照し、所定の期間に含まれるビヘイビアの第１系列と、上記所定の期間とは異なる直近の期間に含まれるビヘイビアの第２系列とを比較することによって、当該第１系列と第２系列との差異を抽出する。
　具体的には、抽出部１２は、（１）機密情報にアクセスする時間帯の変化、（２）機密情報にアクセスする回数の変化、（３）機密情報にアクセスする頻度の変化、（４）アクセスする機密情報の種類の変化、（５）機密情報を移動させた回数の変化、または（６）送受信した電子メールの数の変化を、上記第１系列と第２系列との差異として抽出することができる。抽出部１２は、抽出した上記第１系列と第２系列との差異を、差異情報２として判定部１３に出力する。
　上記（１）の場合、抽出部１２は、取得部１１によって記憶部３０に蓄積されたビヘイビアの履歴を参照し、上記所定の期間（例えば、現在より１年前から現在より１１ヶ月前までの１月間）においてユーザが機密情報にアクセスした時間帯と、上記直近の期間（例えば、現在より１ヶ月前から現在までの１月間）において当該機密情報にアクセスした時間とを比較する。そして、ユーザが機密情報にアクセスする時間帯が、例えば、通常の業務時間帯（例えば、９時～１８時）からオフィスに他のユーザが少ない時間帯（例えば、夜中・週末など）に変化したことを、抽出部１２は上記差異として抽出できる。
　上記（２）の場合、抽出部１２は、上記所定の期間においてユーザが機密情報にアクセスした回数と、上記直近の期間において当該機密情報にアクセスした回数とを比較する。そして、ユーザが機密情報にアクセスする回数が、例えば、当該ユーザが業務を遂行する上で必要と認められ得る常識的な回数から、認められ得ない回数まで増加していることを、抽出部１２は上記差異として抽出できる。なお、抽出部１２は、ユーザが機密情報にアクセスする回数に関する移動平均を連続的に計算し、任意の時点（例えば、１年前）における移動平均値と、直近における移動平均値との差異を抽出してもよい。
　上記（３）の場合、抽出部１２は、上記所定の期間において機密情報にアクセスした頻度（単位時間あたりのアクセス回数）と、上記直近の期間において当該機密情報にアクセスした頻度とを比較する。そして、ユーザが機密情報にアクセスする頻度が、例えば、当該ユーザが業務を遂行する上で必要と認められ得る常識的な頻度から、認められ得ない頻度まで増加していること（短い時間で多くの機密情報にアクセスしていること）を、抽出部１２は上記差異として抽出できる。
　上記（４）の場合、抽出部１２は、上記所定の期間においてアクセスした機密情報の種類と、上記直近の期間においてアクセスした当該機密情報の種類とを比較する。そして、ユーザがアクセスした機密情報の種類が、例えば、当該ユーザが業務を遂行する上で想定される種類を超えて、多くの種類の機密情報にアクセスしていること（すなわち、外部に持ち出すに足る機密情報を物色していること）を、抽出部１２は上記差異として抽出できる。
　上記（５）の場合、抽出部１２は、上記所定の期間においてユーザが機密情報を移動させた回数（例えば、所定のサーバに格納されているデータを、当該ユーザが使用するコンピュータにコピーした回数など）と、上記直近の期間において移動させた回数とを比較する。そして、上記移動させた回数が、例えば、当該ユーザが業務を遂行する上で必要と認められ得る常識的な回数から、認められ得ない回数まで増加していることを、抽出部１２は上記差異として抽出できる。
　上記（６）の場合、抽出部１２は、上記所定の期間においてユーザが送受信した電子メールの数と、上記直近の期間において送受信した電子メールの数とを比較する。そして、例えば、外部の人物とのメールのやりとりが増加していることを、抽出部１２は上記差異として抽出できる。あるいは、内部の人物（例えば、ユーザの上司）とのメールのやりとりが減少していることを、抽出部１２は上記差異として抽出できる。
　上記（１）～（６）に例示したように、サーバ１００は、機密情報が漏洩する予兆として観察される上記変化を抽出することができる。したがって、サーバ１００は、業務の効率を落としたり、高い管理コストを費やしたりするなどの弊害を生じることなく、機密情報が漏洩する危険性が高まったことを検知することができる。
　判定部１３は、抽出部１２によって抽出された差異が、内部において秘密管理される機密情報が漏洩する危険性が高まったことを示唆する所定の基準に達したか否かを判定する。具体的には、判定部１３は、（１）機密情報にアクセスする時間帯の変化が所定の時間幅を超過しているか否かを、上記所定の基準の１つとして判定する。また、判定部１３は、（２）機密情報にアクセスする回数の変化、（３）機密情報にアクセスする頻度の変化、（４）アクセスする機密情報の種類の変化、（５）機密情報を移動させた回数の変化、または（６）送受信した電子メールの数の変化が、それぞれ所定のしきい値（第１～５のしきい値）を超過しているか否かを、上記所定の基準の１つとして判定することができる。判定部１３は、判定した結果（判定結果３）を報知部１４に出力する。
　ここで、上記（１）の場合における所定の時間幅、および上記（２）～（６）の場合における所定のしきい値は、抽出部１２によって抽出された差異を「異常な変化」として検出可能となるように、それぞれ設定される。したがって、サーバ１００は、業務の効率を落としたり、高い管理コストを費やしたりするなどの弊害を生じることなく、機密情報が漏洩する危険性が高まったことを検知することができる。
　また、判定部１３は、抽出部１２によって抽出された差異（差異情報２）が、上記危険性が高まっていることを示しているか否かを表す分別符号であって、当該差異にあらかじめ対応付けられた分別符号に基づいて、新たに抽出された差異が、上記危険性が高まっていることを示すか否かを判定してよい。
　すなわち、上記（１）～（６）に例示される基準のみでは、情報漏洩に関するすべての予兆を検知できないおそれが考えられる。そこで、サーバ１００は、「危険性が高まっている」または「危険性が高まっていない」を表す分別符号を、外部から受け付けることによって、上記差異を分類する（例えば、管理者が所定の入力機器を介して上記分別符号を入力することによって、当該分別符号をサーバ１００に与えることができる）。そして、抽出部１２によって新たに差異が抽出された場合、上記差異にあらかじめ対応付けられた分類符号に基づいて、当該新たに抽出された差異を分類できる（すなわち、当該差異が、危険性が高まっていることを示すか否かを判定できる）。
　これにより、サーバ１００は、未知の差異（例えば、上記（１）～（６）に例示される基準だけでは情報漏洩の危険性が高まっていることを検知できない変化）が抽出された場合であっても、汎化能力を発揮して確実に上記危険性を検知することができる。
　報知部１４は、判定部１３によって達したと判定された場合、コンピュータの管理者に危険性を報知する。この場合、報知部１４は、上記コンピュータを一意に識別可能な識別情報（例えば、ホスト名、ＩＰアドレス、メールアドレス、ユーザ名など）をさらに報知することができる。これにより、サーバ１００は、機密情報を漏洩しようとする主体を上記管理者に特定させることができる。報知部１４は、上記危険性および／または上記識別情報を含む報知情報４を表示部５０に出力する。
　出力部１５は、取得部１１から入力されたデータ１を送信部２２に出力することによって、当該データ１を外部のコンピュータに送信する。
　表示部５０は、報知部１４から入力された報知情報４にしたがって、上記危険性に関する情報を表示可能な表示装置（例えば、液晶ディスプレイ）である。なお、図１は、サーバ１００が表示部５０を含む構成例を示すが、表示部５０は、上記危険性に関する情報をユーザに提示可能でありさえすればよく、例えば、サーバ１００に通信可能に接続された外部の表示装置であってもよい。
　記憶部３０は、例えば、ハードディスク、ＳＳＤ（solid state drive）、半導体メモリ、ＤＶＤなど、任意の記録媒体によって構成される記憶機器であり、サーバ１００を制御可能な各種プログラム（情報漏洩検知プログラム）およびデータと、取得部１１によって逐次格納されたユーザのビヘイビアとを記憶する。
　通信部２０は、所定の通信方式にしたがう通信網を介して外部と通信する。外部の機器との通信を実現する本質的な機能が備わってさえいればよく、通信回線、通信方式、または通信媒体などは限定されない。通信部２０は、例えばイーサネット（登録商標）アダプタなどの機器で構成できる。また、通信部２０は、例えばIEEE802.11無線通信、Bluetooth（登録商標）などの通信方式や通信媒体を利用できる。通信部２０は、受信部２１と送信部２２とを含む。
　受信部２１は、通信網を介した通信によって、イントラネットに含まれる任意のコンピュータからデータ１を受信する。
　送信部２２は、通信網を介した通信によって、インターネットに通信可能に接続された任意のコンピュータに、出力部１５から入力されたデータ１を送信する。
　〔サーバ１００が実行する処理〕
　図２は、サーバ１００が実行する処理の一例を示すフローチャートである。なお、以下の説明において、カッコ書きの「～ステップ」は、情報漏洩検知方法に含まれる各ステップを表す。
　取得部１１は、受信部２１が受信したデータ１を当該受信部２１から取得する（ステップ１、以下「ステップ」を「Ｓ」と略記する）。抽出部１２は、記憶部３０に格納されたビヘイビアを参照し、所定の期間に含まれるビヘイビアの第１系列と、当該所定の期間とは異なる直近の期間に含まれるビヘイビアの第２系列とを比較することによって、当該第１系列と第２系列との差異を抽出する（Ｓ２、抽出ステップ）。
　判定部１３は、機密情報が漏洩する危険性が高まったことを示唆する所定の基準に達したか否かを判定する（Ｓ３、判定ステップ）。上記所定の基準に達したと判定された場合（Ｓ３においてＹＥＳ）、報知部１４は、コンピュータの管理者に上記危険性を報知する（Ｓ４、報知ステップ）。
　〔サーバ１００が奏する効果〕
　サーバ１００は、ユーザのダイナミクス変化（例えば、機密情報にアクセスする回数が増加したことなど）の有無に焦点を当て、事前に情報漏洩のリスクを察知することができる。すなわち、サーバ１００は、業務の効率を落としたり、高い管理コストを費やしたりするなどの弊害を生じることなく、機密情報が漏洩する危険性が高まったことを検知することができるという効果を奏する。
　〔ソフトウェアによる実現例〕
　サーバ１００の制御ブロック（特に、制御部１０）は、集積回路（ＩＣチップ）等に形成された論理回路（ハードウェア）によって実現してもよいし、ＣＰＵ（Central Processing Unit）を用いてソフトウェアによって実現してもよい。後者の場合、サーバ１００は、各機能を実現するソフトウェアであるプログラム（情報漏洩検知プログラム）の命令を実行するＣＰＵ、上記プログラムおよび各種データがコンピュータ（またはＣＰＵ）で読み取り可能に記録されたＲＯＭ（Read Only Memory）または記憶装置（これらを「記録媒体」と称する）、上記プログラムを展開するＲＡＭ（Random Access Memory）などを備えている。そして、コンピュータ（またはＣＰＵ）が上記プログラムを上記記録媒体から読み取って実行することにより、本発明の目的が達成される。上記記録媒体としては、「一時的でない有形の媒体」、例えば、テープ、ディスク、カード、半導体メモリ、プログラマブルな論理回路などを用いることができる。また、上記プログラムは、当該プログラムを伝送可能な任意の伝送媒体（通信ネットワークや放送波等）を介して上記コンピュータに供給されてもよい。本発明は、上記プログラムが電子的な伝送によって具現化された、搬送波に埋め込まれたデータ信号の形態でも実現され得る。
　具体的には、本発明の実施の形態に係るサーバ１００は、第１のコンピュータの使用に関するユーザのビヘイビアを、所定の記憶部に逐次格納し、当該ビヘイビアを解析することによって情報漏洩を検知する情報漏洩検知装置であって、第２のコンピュータに、抽出機能、判定機能、および報知機能を実現させる。
　上記抽出機能、判定機能、および報知機能は、上述した抽出部１２、判定部１３、および報知部１４よってそれぞれ実現されることができる。詳細については上述した通りである。
　〔実施の形態２〕
　上記実施の形態１では、ユーザのビヘイビアに基づいて機密情報が漏洩する危険性を検知する例を示したが、本実施の形態２においては、その確度を向上させる手法を開示する。すなわち、ユーザのビヘイビアに加えて、当該ユーザの送信メールの内容を解析することで、機密情報の漏洩の危険性を検知する。なお、本実施の形態２においては、実施の形態１と共通する内容については説明を割愛し、異なる点を中心に説明する。
　図３は、実施の形態２に係るサーバ３００の要部構成を示すブロック図である。図３に示すようにサーバ３００は、記憶部３０、制御部４０、表示部５０および通信部６０を備える。
　記憶部３０は、上記実施の形態１に示すようにサーバ３００が動作上必要とするプログラムやデータとして、さらに、ユーザが送信した送信メールを評価するためのキーワードの重み値を記憶する。当該キーワードは、管理者の指定によるものであってもよいし、機密情報の漏洩の危険性があると判定されたメールおよび当該危険性がないと判定されたメールそれぞれ複数から頻出する形態素あるいは表現、センテンスを自動的に抽出したものであってもよい。
　また、当該キーワードの重み値は、当該キーワードの重み値に基づいて、送信メールを評価した場合に、機密情報の漏洩の危険性があると管理者が判断した送信メールの評価値（スコア）が、機密情報の漏洩の危険性がないと判断した送信メールのスコアよりも高くなるように設定する。そのために、当該重み値は、繰り返し学習により、例えば、以下の数式を用いて算出することとしてもよい。
Figure JPOXMLDOC01-appb-M000001
　上記式（１）において、ｗｇｔｉ，０は、学習前のｉ番目のキーワードの重み値（初期値）であり、ｗｇｔｉ，Ｌは、Ｌ回目の学習後のｉ番目のキーワードの重み値である。そして、γＬはＬ回目学習における学習パラメータであり、θは学習効果の閾値である。
　記憶部３０が、キーワードと重み値を対応付けて記憶していることにより、サーバ３００は、ユーザの送信メールが機密情報の漏洩に関連するか否かを判定することができる。
　制御部４０は、取得部４１、出力部１５、抽出部４２、判定部４３、報知部１４及び分類部４５を備える。
　取得部４１は、取得部１１が有する機能に加え、ユーザの送信メールを受信部２１を介して取得する機能を有する。取得部４１は、取得した送信メールを抽出部４２に伝達する機能を有する。
　抽出部４２は、抽出部１２が有する機能に加え、取得部４１から伝達された送信メールからキーワードを抽出する機能を有する。抽出するキーワードは、記憶部３０に記憶されているキーワードである。抽出部４２は、抽出したキーワードと、抽出した送信メールとを分類部４５に伝達する。
　判定部４３は、判定部１３が有する機能に加え、分類部４５から伝達された機密情報の漏洩に関連すると分類された送信メールの、分類に用いた全送信メールに対する割合を算出する機能を有する。そして、判定部４３は、算出した割合が所定のしきい値（例えば、５割）を超えるか否かを判定する。判定部４３は、第１系列と第２系列とのビヘイビアの差分が所定のしきい値を超えており、かつ、算出した割合が所定のしきい値を超えていると判定した場合に、報知部１４に機密情報の漏洩の危険性がある旨を通知する。なお、ここでは、機密情報の漏洩に関すると分類された送信メールの全送信メールに対する割合を用いて判定することとしているが、機密情報の漏洩に関すると分類された送信メールが一定数以上あるか否かで判定することとしてもよい。
　分類部４５は、抽出部４２から伝達されたキーワードを用いて、抽出部４２がキーワードを抽出した送信メールを、機密情報の漏洩に関連するか否かを分類する機能を有する。具体的には、分類部４５は、抽出部４２が抽出したキーワードに対応付けられている重み値を用いて、当該キーワードを抽出した送信メールのスコアＳを算出する。当該スコアＳは、例えば、以下の式（２）により算出することができる。
Figure JPOXMLDOC01-appb-M000002
　上記式（２）において、ｗｉは、ｉ番目のキーワードの重み値であり、ｓ（ｉ）は、ｉ番目のキーワードが存在するか否かの存在関数であり、送信メール中にｉ番目のキーワードが存在する場合に１、存在しない場合に０となる。
　そして、分類部４５は、算出したスコアＳが所定のしきい値を超えるか否かを判定する。所定のしきい値を超えている場合に、分類部４５は、当該スコアＳに対応する送信メールが機密情報の漏洩に関連すると分類し、超えていない場合に、当該スコアＳに対応する送信メールが機密情報の漏洩に関連しないと分類する。分類部４５は、複数の送信メールを分類し、その分類結果５を判定部４３に伝達する。
　報知部１４は、判定部４３から機密情報の漏洩の危険性がある旨を通知されると、機密情報の漏洩の危険性があることを示す表示情報を生成し、表示部５０は、当該表示情報を表示することで、管理者に機密情報の漏洩の危険性があることを通知する。
　通信部６０は、送信部２２及び受信部６１を備える。
　受信部６１は、受信部２１が有する機能に加え、さらに、ユーザの送信メールを複数受信する機能を有し、受信した複数の送信メールを取得部４１に伝達する。
　以上が、実施の形態２に係るサーバ３００の構成である。
　図４は、本実施の形態２におけるサーバ３００の判定動作を示すフローチャートである。図４に示すフローチャートは、図２に示すフローチャートに、送信メールを分析する処理を加えたものである。
　したがって、図２に示すフローチャートと同じ処理には同じステップ番号を付し、説明を省略する。
　図４のフローチャートが図２のフローチャートと異なるのは、ステップＳ３以降の処理であるので、ステップＳ５以降のサーバ３００の動作を説明する。
　図４に示すように、差異が所定の基準に達していると判定部４３が判定した場合には（ステップＳ３のＹＥＳ）、サーバ３００の取得部４１は、判定部４３が差異が所定の基準に達していると判定したビヘイビアをとっていたユーザの送信メールを取得する（ステップＳ５）。
　サーバ３００は、取得したメールに対して、記憶部３０に記憶されているキーワードの重み値を用いて、取得したユーザの複数送信メールを、機密情報の漏洩に関連するか否かに分類する（ステップＳ６）。
　そして、機密情報の漏洩に関連すると判定された送信メールの全送信メールに対する割合が所定のしきい値を超えているか否かを判定する（ステップＳ７）。
　機密情報の漏洩に関連すると判定された送信メールの割合が所定のしきい値を超えていると判定した場合には（ステップＳ７のＹＥＳ）、報知部１４は、コンピュータの管理者に、機密情報の漏洩の危険性があることを示す情報を生成し、表示部５０に表示させる（ステップＳ８）。機密情報の漏洩に関連すると判定された送信メールの割合が所定のしきい値以下である場合には（ステップＳ７のＮＯ）、機密情報の漏洩の危険性は低いものとして、処理を終了する。この場合には、当該ユーザについて機密情報の漏洩の危険性が低いことを示す情報を報知することとしてもよい。
　図５は、ユーザのビヘイビアの一日における時間的変化の一例を示すグラフである。
　図５（ａ）は、過去のユーザのビヘイビアの一日における時間的変化の一例を示すグラフであり、図５（ｂ）は、最近の当該ユーザのビヘイビアの一日に置ける時間的変化の一例を示すグラフである。ここでは、一日としているが、これは過去の一定期間（例えば、一年前の一週間分）や最近の一定期間（例えば、現在から一か月以内の一週間分）の平均値であってもよい。また、分析対象は一日に限らず、週単位や月単位など別の単位であってもよい。ここでは、ユーザのビヘイビアの一例として、ユーザが機密情報にアクセスしたアクセス量の変化と、メールを送信した送信本数の変化を示す。
　図５（ａ）は、過去において、ユーザがまだ属している組織などに不平や不満を持っておらず機密情報が漏洩する危険性が低いころのユーザのビヘイビアの一例を示している。一方で、図５（ｂ）は、組織に不平や不満を持ち出しており機密情報が漏洩する危険性が高まってきている最近のユーザのビヘイビアの一例を示している。図５（ａ）、図５（ｂ）の縮尺は同じであるとする。図５（ａ）及び図５（ｂ）は共に、縦軸に、メールの送信件数または機密情報へのアクセス件数を、横軸に時間をとったグラフである。
　図５（ａ）に示されるように、機密情報の漏洩の危険性が低いうちは、ユーザのメールの送信時間に異常は見られず、機密情報へのアクセスの頻度も低い。一方で、ユーザが組織に対して何等かの理由で不平や不満を抱くようになると、機密情報を漏洩する危険性が高まる。そのような場合には、図５（ｂ）に示されるように、従来メールを送信していなかった時間帯でのメールその送信や、機密情報へのアクセス頻度が向上することが一般的に考えられる。例えば、図５（ｂ）の場合であれば、図５（ａ）と比較すればわかるように、夜の２３時や２４時におけるメール送信件数及び機密情報へのアクセス件数が増加している。このような時間にメールを送信したり機密情報にアクセスしたりするのは、何らかの怪しい行動をとっている可能性があるといえる。
　そのような行動の変化が見受けられる状態で、当該ユーザの送信する複数のメールについて、サーバ３００が分析を行い、それぞれの送信メールについて「機密情報の漏洩」に関する送信メールとそうでない送信メールとに分類して、その割合が一定割合を超えているかを判定することで、機密情報の漏洩の危険性があることを検知することができる。そして、「機密情報の漏洩」に関連すると分類された送信メールの内容をサーバ３００の管理者が読むことでより機密情報の漏洩の危険性を低減することができる。
　また、ここでは、「機密情報の漏洩」に関連すると分類された送信メールが、送信メール全体に占める割合が所定のしきい値を超えると判定部４３により判定された場合に、当該ユーザが機密情報を漏洩する危険性があると判定することとしているが、これは、サーバ３００の管理者がユーザの送信メールを確認して判定することとしてもよい。なお、本実施の形態においては、サーバ３００は、機密情報の漏洩に関するか否かで分類しているが、これは、「不平・不満」に関するか否かに応じて分類することとしてもよい。不平や不満は往々にして組織に対する忠義心を薄れさせ、機密情報の漏洩に走る原因となりやすいからである。また、あるいは、特定の話題に関するか否かで分類することとしてもよい。ある時期から急に特定の話題（例えば、属している組織における新商品開発の話題）が出るようになった場合であって、ユーザのビヘイビアが常とは異なってきたとき（例えば夜中に機密情報にアクセスしているなど）には、機密情報の漏洩の危険性がある。今まで新商品についての話題がなかったのに、急に新商品について興味が湧くのはそのユーザの行動としては異常があると言え、そのビヘイビアと相まって、高確率で機密情報の漏洩の危険性があるといえ、サーバ３００はその検知を行うことができる。
　また、上記では、予め「機密情報の漏洩」に関連するキーワードとその重み値を記憶しておくこととしたが、ユーザの送信メールを分類する段階で、その一部に対して、機密情報の漏洩に関連するか否かを管理者が判断して分類し、分類した送信メールから頻出する単語をキーワードとして登録し、その重み値を算出することとしてもよい。
　また、図４に示すフローチャートでは、ユーザの過去と現在のビヘイビアにおいて差異が所定の基準に達していると判定してから、ユーザの送信メールが機密情報の漏洩に関するか否かを判定することとしているが、この判定はいずれが先であってもよい。
　また、サーバ３００は、ユーザがアクセスした情報の内容に応じた機密度、あるいは、ユーザがとった行動に対する機密情報の漏洩度を設定し、その機密度及び漏洩度の少なくとも一方が、所定のしきい値を超えたことを条件に、機密情報の漏洩の危険性があることを報知することとしてもよい。
　すなわち、記憶部３０は、組織内においてアクセスできる各種のデータについて機密度を記憶する。当該機密度は、そのデータの機密性の高低を示す情報であり、管理者が設定した数値や「高」「中」「低」というような表現で示されてよい。また、記憶部３０は、ユーザがとった所定の行動に対して機密度と同様に数値や表現で示される漏洩度を記憶する。なお、「高」「中」「低」などというように表現する場合には、数値に変換するためのアルゴリズムを備えていればよく、例えば、「高」の場合に「８０」、「中」の場合に「５０」、「低」の場合に「２０」、というように変換して、判定部４３が機密情報の漏洩の危険性があるか否かを判定できるようにするとよい。
　例えば、機密度としては、一例として、機密性の高い情報（例えば、新商品の企画情報、顧客情報、取引の費用情報など）に対しては、高い数値（例えば、０～１００の間で評価するのであれば、９０など）を対応付けて記憶する。また、機密性の低い情報（例えば、既に販売されている商品の情報など）は低い数値（例えば、２０など）を対応付けて記憶する。そして、組織内のユーザについて、情報にアクセスした際の機密度を記憶部３０を参照して特定し、その数値を当該ユーザに対応付けて記憶する。そして、判定部４３は、対応付けられた機密度（１以上）の合算値が予め定められた所定のしきい値（基準）を超えた場合に機密情報の漏洩の危険性があると判定する。
　また、漏洩度としても、ユーザの特定の行動、例えば、「電子メールに何らかのデータを添付して外部に送信する」、「ユーザが特定のウェブサイト（機密情報の漏洩につながる可能性のあるサイトであり、そのサイト情報を管理者が記憶部３０に予め記憶しておく。当該ウェブサイトとしては、例えば、就職斡旋サイトや同業他社のホームページなど）にアクセスする」といった行動に対して漏洩度として、それぞれ例えば、「３０」、「２０」というように対応付けて記憶する。そして、サーバ３００は、組織内のユーザが上述の特定の行動をとるか否かを監視する。監視手法としては、メールについては、メールサーバから情報を取得することができ、アクセスしたウェブサイトについてはウェブサーバから情報を取得することができる。
　制御部４０は、各ユーザ毎に上記特定の行動をとるごとに、当該ユーザを示すユーザ情報に対応付けて、ユーザがとった行動に対応して漏洩度を記憶部３０に記憶する。そして、判定部４３は、ユーザに対応付けられた漏洩度の合算値が所定のしきい値（基準）を超えた場合に、機密情報の漏洩の危険性があると判定する。
　そして、サーバ３００は、更に、機密情報を漏洩する危険性のあるユーザを特定する特定部を備えて、当該特定部が特定したユーザを示す情報を、機密情報が漏洩する危険性があることを示す情報ととともに、報知することとしてもよい。
　特定部は、例えば、機密情報を添付したメールを取得し、その送信元に対応するユーザを特定してもよいし、あるいは、特定のサイト（例えば、転職情報サイトなどの所属する組織に対する忠誠心が低下している状態が推測可能なサイト）にアクセスしたユーザを特定してもよいし、外部の特定組織（例えば、同業他社など）とコンタクトをとった（例えば、メールを送信した）ユーザを特定することとしてもよい。
　また、上述の条件には、例示していないが、その他にも機密情報の漏洩の危険性を検知するビヘイビアの変化としては、例えば、アクセス権のないデータへのアクセス頻度が高くなっている、機密情報へのアクセスが夜中に集中している、機密情報へのアクセスが網羅的になっている（機密情報をまとめてサーバからローカルにファイルをコピーしている可能性がある）、休日出勤が多くなったといった事例が考えられ、サーバ１００、３００は、これらのユーザのビヘイビアについての第１系列と第２系列のデータを取得して、比較を行い、機密情報の漏洩の危険性を検知することとしてもよい。
　また、上述では、記憶部３０は予めキーワードとその重み値を記憶しておくこととしていたが、サーバ３００は、そのキーワードと重み値を決定する機能を備えていてもよい。すなわち、サーバ３００は、メールについて機密情報の漏洩に関するものであるか否かの分別符号を受け付ける受付部と、受け付けたメールからキーワードになり得るデータ要素を抽出するデータ要素抽出部と、抽出したデータ要素の中からキーワードを決定する決定部と、決定されたキーワードの重み値を算出する重み付け部と、算出した重み値をキーワードに対応付けて記憶部３０に記憶する格納部とをさらに備えることとしてもよい。重み付け部は例えば、上述の式（１）を用いて算出すればよい。また、決定部は、ユーザの指定、あるいは、送信メールから抽出されたデータ要素のうち登場する頻度が高いものをキーワードとして決定することとしてもよい。サーバ３００が、キーワードとその重み値を決定する機能を有することで、例えば、特定のユーザに特化したメールの解析を行うことができるので、そのユーザについての機密情報の漏洩の危険性の検知の確度を向上させることができる。
　また、上記ビヘイビア解析においては、特定の条件下において、第１系列と第２系列との差分に対して、一定の係数（重み付け値）を乗じた上で、機密情報の漏洩の危険性があるか否かを判断するためのしきい値との比較を行ってもよい。そのために、サーバ１００やサーバ３００は、差分値を補正するための補正部を備えるとよい。例えば、あるユーザについてのビヘイビア解析を行う場合に、当該ユーザの所得の増減に基づく係数を乗じてもよい。すなわち、ユーザの給料が増加していた場合には組織に対する忠誠心が向上しやすいことから、差分値が減少する係数を乗じ、給料が減額されていた場合には組織に対する忠誠心が薄れやすくなることから、差分値が増加する係数を乗じてもよい。なお、ここでは係数を乗じることとしたが、一定値を加算または減算することとしてもよい。そして、判定部１３（４３）は、補正後の差分値に基づく判断を行ってもよい。また、給料の増減に換えて、メールに対するレスポンス時間（メールを受信してから当該メールに返信するまでの時間）に基づく補正を行ってもよい。すなわち、メールに対するレスポンス時間が短い場合には、機密情報の漏洩の危険性は低いと考えられることから、差分値を低減してからしきい値との比較を行い、メールに対するレスポンス時間が長い場合には、機密情報の漏洩の危険性が高まっていると考えられることから、差分値を増加させてからしきい値との比較を行って、機密情報の漏洩の危険性が高まっているかを判断することとしてもよい。
　また、さらには、重み付け値としては、機密情報に関連するファイルあるいはフォルダに対して、設定することとしてもよい。そして、ユーザが実際にアクセスしたファイルあるいはフォルダに対して設定されている重み付け値を、算出したビヘイビアの第１系列と第２系列との差分に対して、加味することとしてもよい。
　また、あるいは、ユーザが組織に属した年数に応じて重み付け値を設定することとしてもよい。例えば、ユーザが組織に属して、ｘ年未満である場合には、差分値が増加する重み付けを行い、組織に属した年数がｙ年以上である場合には、差分値が減少する重み付けを行ってもよい。組織に属した年数が短いうちは、組織に対する忠誠心は低く、組織に属した年数が長くなると、忠誠心が高まると言えるためである。
　上記においては、サーバ３００は、ユーザの送信メールを対象に解析・分類することとしているが、これは、ユーザの受信メールも対象としてもよいことは言うまでもない。
　このように、ユーザのビヘイビア（行動）に併せて、当該ユーザの送信メールをサーバ３００が分析することで、より確度の高い機密情報の漏洩の危険性を検知することができる。したがって、例えば、ユーザが夜中のメールが増え、その内容が仕事以外の内容に分類されないものである場合には、仕事と関係しない作業をしているので、組織に対する忠誠心が薄れていると言え、転じて、機密情報の漏洩の危険性が高まっているといえ、サーバ３００はそのような事態を検知することができる。なお、本実施の形態２において、上述のソフトウェアによる実現例を適用できることは言うまでもない。
　〔付記事項〕
　本発明は上述したそれぞれの実施の形態に限定されるものではなく、請求項に示した範囲で種々の変更が可能であり、異なる実施の形態にそれぞれ開示された技術的手段を適宜組み合わせて得られる実施の形態についても、本発明の技術的範囲に含まれる。さらに、各実施の形態にそれぞれ開示された技術的手段を組み合わせることにより、新しい技術的特徴を形成できる。
　本発明は、パーソナルコンピュータ、ワークステーション、メインフレームなど、任意のコンピュータに広く適用することができる。
　２：差異情報（差異）、１２：抽出部、１３：判定部、１４：報知部、３０：記憶部、１００：サーバ（情報漏洩検知装置）

Claims (13)

  1. 　コンピュータの使用に関するユーザのビヘイビアを、所定の記憶部に逐次格納し、当該ビヘイビアを解析することによって情報漏洩を検知する情報漏洩検知装置であって、
    　前記所定の記憶部に格納されたビヘイビアを参照し、所定の期間に含まれるビヘイビアの第１系列と、前記所定の期間とは異なる直近の期間に含まれるビヘイビアの第２系列とを比較することによって、当該第１系列と第２系列との差異を抽出する抽出部と、
    　前記抽出部によって抽出された差異が、内部において秘密管理される機密情報が漏洩する危険性が高まったことを示唆する所定の基準に達したか否かを判定する判定部と、
    　前記判定部によって達したと判定された場合、前記コンピュータの管理者に前記危険性を報知する報知部とを備えたことを特徴とする情報漏洩検知装置。
  2. 　前記抽出部は、前記機密情報にアクセスする時間帯の変化を、前記第１系列と第２系列との差異として抽出し、
    　前記判定部は、前記抽出部によって抽出された時間帯の変化が、所定の時間幅を超過しているか否かを、前記所定の基準の１つとして用いることを特徴とする請求項１に記載の情報漏洩検知装置。
  3. 　前記抽出部は、前記機密情報にアクセスする回数の変化を、前記第１系列と第２系列との差異として抽出し、
    　前記判定部は、前記抽出部によって抽出された回数の変化が、第１のしきい値を超過しているか否かを、前記所定の基準の１つとして用いることを特徴とする請求項１または２に記載の情報漏洩検知装置。
  4. 　前記抽出部は、前記機密情報にアクセスする頻度の変化を、前記第１系列と第２系列との差異として抽出し、
    　前記判定部は、前記抽出部によって抽出された頻度の変化が、第２のしきい値を超過しているか否かを、前記所定の基準の１つとして用いることを特徴とする請求項１から３のいずれか１項に記載の情報漏洩検知装置。
  5. 　前記抽出部は、アクセスする前記機密情報の種類の変化を、前記第１系列と第２系列との差異として抽出し、
    　前記判定部は、前記抽出部によって抽出された種類の変化が、第３のしきい値を超過しているか否かを、前記所定の基準の１つとして用いることを特徴とする請求項１から４のいずれか１項に記載の情報漏洩検知装置。
  6. 　前記抽出部は、前記機密情報を移動させた回数の変化を、前記第１系列と第２系列との差異として抽出し、
    　前記判定部は、前記抽出部によって抽出された回数の変化が、第４のしきい値を超過しているか否かを、前記所定の基準の１つとして用いることを特徴とする請求項１から５のいずれか１項に記載の情報漏洩検知装置。
  7. 　前記抽出部は、送受信した電子メールの数の変化を、前記第１系列と第２系列との差異として抽出し、
    　前記判定部は、前記抽出部によって抽出された数の変化が、第５のしきい値を超過しているか否かを、前記所定の基準の１つとして用いることを特徴とする請求項１から６のいずれか１項に記載の情報漏洩検知装置。
  8. 　前記判定部は、前記抽出部によって抽出された差異が、前記危険性が高まっていることを示しているか否かを表す分別符号であって、当該差異にあらかじめ対応付けられた分別符号に基づいて、新たに抽出された差異が、前記危険性が高まっていることを示すか否かを判定することを特徴とする請求項１から７のいずれか１項に記載の情報漏洩検知装置。
  9. 　前記報知部は、前記コンピュータを一意に識別可能な識別情報をさらに報知することを特徴とする請求項１から８のいずれか１項に記載の情報漏洩検知装置。
  10. 　前記所定の記憶部は、キーワードと当該キーワードに対応する重み値との組み合わせをさらに記憶し、
    　前記情報漏洩検知装置は、
    　ユーザの送受信した電子メールを取得する取得部と、
    　前記電子メールに含まれるキーワードに対応する重み値に基づいて当該電子メールが情報漏洩に関するものであるか否かを示すスコアを算出する分類部とをさらに備え、
    　前記判定部は、前記分類部によって算出されたスコアに応じて、前記危険性が高まったか否かをさらに判定することを特徴とする請求項１から９のいずれか１項に記載の情報漏洩検知装置。
  11. 　前記所定の記憶部は、ネットワークの内部において秘密に管理される機密情報を、機密性の高低を示す機密度に対応付けて記憶し、
    　前記情報漏洩検知装置は、
    　前記所定の記憶部に記憶された機密度に基づいて、前記ネットワークの外部に対するアクセスによって前記機密情報が漏洩する危険性を示す漏洩度を算出する算出部をさらに備え、
    　前記判定部は、前記機密度および前記漏洩度のうちの少なくとも一方が、前記機密情報が漏洩する基準を示す所定の条件を満たすか否かをさらに判定し、
    　前記情報漏洩検知装置は、
    　前記判定部によって前記所定の条件を満たすと判定された場合、前記漏洩の主体を特定する特定部をさらに備えることを特徴とする請求項１から１０のいずれか１項に記載の情報漏洩検知装置。
  12. 　コンピュータの使用に関するユーザのビヘイビアを、所定の記憶部に逐次格納し、当該ビヘイビアを解析することによって情報漏洩を検知する情報漏洩検知方法であって、
    　前記所定の記憶部に格納されたビヘイビアを参照し、所定の期間に含まれるビヘイビアの第１系列と、前記所定の期間とは異なる直近の期間に含まれるビヘイビアの第２系列とを比較することによって、当該第１系列と第２系列との差異を抽出する抽出ステップと、
    　前記抽出ステップにおいて抽出した差異が、内部において秘密管理される機密情報が漏洩する危険性が高まったことを示唆する所定の基準に達したか否かを判定する判定ステップと、
    　前記判定ステップにおいて達したと判定した場合、前記コンピュータの管理者に前記危険性を報知する報知ステップとを含むことを特徴とする情報漏洩検知方法。
  13. 　第１のコンピュータの使用に関するユーザのビヘイビアを、所定の記憶部に逐次格納し、当該ビヘイビアを解析することによって情報漏洩を検知する情報漏洩検知プログラムであって、第２のコンピュータに、
    　前記所定の記憶部に格納されたビヘイビアを参照し、所定の期間に含まれるビヘイビアの第１系列と、前記所定の期間とは異なる直近の期間に含まれるビヘイビアの第２系列とを比較することによって、当該第１系列と第２系列との差異を抽出する抽出機能と、
    　前記抽出機能によって抽出された差異が、内部において秘密管理される機密情報が漏洩する危険性が高まったことを示唆する所定の基準に達したか否かを判定する判定機能と、
    　前記判定機能によって達したと判定された場合、前記第１のコンピュータの管理者に前記危険性を報知する報知機能とを実現させることを特徴とする情報漏洩検知プログラム。
PCT/JP2015/061637 2014-04-15 2015-04-15 情報漏洩検知装置、情報漏洩検知方法、および情報漏洩検知プログラム WO2015159926A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2016513817A JP6247749B2 (ja) 2014-04-15 2015-04-15 情報漏洩検知装置、情報漏洩検知方法、および情報漏洩検知プログラム

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2014-083816 2014-04-15
JP2014083816 2014-04-15

Publications (1)

Publication Number Publication Date
WO2015159926A1 true WO2015159926A1 (ja) 2015-10-22

Family

ID=54324128

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2015/061637 WO2015159926A1 (ja) 2014-04-15 2015-04-15 情報漏洩検知装置、情報漏洩検知方法、および情報漏洩検知プログラム

Country Status (3)

Country Link
JP (1) JP6247749B2 (ja)
TW (1) TW201606558A (ja)
WO (1) WO2015159926A1 (ja)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2018116510A (ja) * 2017-01-18 2018-07-26 トヨタ自動車株式会社 不正判定システム及び不正判定方法
WO2018216100A1 (ja) * 2017-05-23 2018-11-29 日本電気株式会社 行動分析システム、行動分析方法及び記録媒体
JP2019533851A (ja) * 2016-07-22 2019-11-21 アリババ グループ ホウルディング リミテッド 伝送及びリスク分析のためのサービスデータの集約
CN117332410A (zh) * 2023-10-25 2024-01-02 北京航空航天大学 一种基于信息熵特征的电磁泄漏红黑信号辨识方法

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004147067A (ja) * 2002-10-24 2004-05-20 Fuji Xerox Co Ltd 通信分析装置及びこれを用いた通信管理装置
JP2010009239A (ja) * 2008-06-25 2010-01-14 Kansai Electric Power Co Inc:The 情報漏洩予測方法
JP2010211257A (ja) * 2009-03-06 2010-09-24 Sky Co Ltd 操作監視システム及び操作監視プログラム

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004147067A (ja) * 2002-10-24 2004-05-20 Fuji Xerox Co Ltd 通信分析装置及びこれを用いた通信管理装置
JP2010009239A (ja) * 2008-06-25 2010-01-14 Kansai Electric Power Co Inc:The 情報漏洩予測方法
JP2010211257A (ja) * 2009-03-06 2010-09-24 Sky Co Ltd 操作監視システム及び操作監視プログラム

Cited By (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2019533851A (ja) * 2016-07-22 2019-11-21 アリババ グループ ホウルディング リミテッド 伝送及びリスク分析のためのサービスデータの集約
JP2018116510A (ja) * 2017-01-18 2018-07-26 トヨタ自動車株式会社 不正判定システム及び不正判定方法
CN108376226A (zh) * 2017-01-18 2018-08-07 丰田自动车株式会社 未授权确定系统和未授权确定方法
WO2018216100A1 (ja) * 2017-05-23 2018-11-29 日本電気株式会社 行動分析システム、行動分析方法及び記録媒体
JPWO2018216100A1 (ja) * 2017-05-23 2019-12-26 日本電気株式会社 行動分析システム、行動分析方法及び記録媒体
US11574210B2 (en) 2017-05-23 2023-02-07 Nec Corporation Behavior analysis system, behavior analysis method, and storage medium
CN117332410A (zh) * 2023-10-25 2024-01-02 北京航空航天大学 一种基于信息熵特征的电磁泄漏红黑信号辨识方法
CN117332410B (zh) * 2023-10-25 2024-04-12 北京航空航天大学 一种基于信息熵特征的电磁泄漏红黑信号辨识方法

Also Published As

Publication number Publication date
JPWO2015159926A1 (ja) 2017-04-13
JP6247749B2 (ja) 2017-12-13
TW201606558A (zh) 2016-02-16

Similar Documents

Publication Publication Date Title
US10404737B1 (en) Method for the continuous calculation of a cyber security risk index
US20200358826A1 (en) Methods and apparatus to assess compliance of a virtual computing environment
US10178116B2 (en) Automated computer behavioral analysis system and methods
US10496815B1 (en) System, method, and computer program for classifying monitored assets based on user labels and for detecting potential misuse of monitored assets based on the classifications
Zafar et al. The value of the CIO in the top management team on performance in the case of information security breaches
Shahbaznezhad et al. Employees’ behavior in phishing attacks: what individual, organizational, and technological factors matter?
US9832214B2 (en) Method and apparatus for classifying and combining computer attack information
US9800605B2 (en) Risk scoring for threat assessment
US9336388B2 (en) Method and system for thwarting insider attacks through informational network analysis
US8782209B2 (en) Insider threat correlation tool
WO2020142245A1 (en) Identification, prediction, and assessment of cyber security risk
US11238169B2 (en) Privacy score
JP6247749B2 (ja) 情報漏洩検知装置、情報漏洩検知方法、および情報漏洩検知プログラム
US8225407B1 (en) Incident prioritization and adaptive response recommendations
US20230153427A1 (en) System and method for automated sensitive information discovery, monitoring and remediation
US20220210163A1 (en) Techniques for deployment of deceptive decoy elements in computing environments
JP6145570B2 (ja) 情報漏洩検知装置、情報漏洩検知方法、および情報漏洩検知プログラム
von Skarczinski et al. Modelling maximum cyber incident losses of German organisations: an empirical study and modified extreme value distribution approach
Paul et al. Public Disclosure of Information Security Breach Incidents: Short-term Stock Market Reaction on Indian Listed Firms
JP7409978B2 (ja) リスク評価システムおよびリスク評価方法

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 15780062

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2016513817

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 15780062

Country of ref document: EP

Kind code of ref document: A1