WO2015186216A1 - 業務システム監視装置及び業務システム監視方法 - Google Patents

業務システム監視装置及び業務システム監視方法 Download PDF

Info

Publication number
WO2015186216A1
WO2015186216A1 PCT/JP2014/064916 JP2014064916W WO2015186216A1 WO 2015186216 A1 WO2015186216 A1 WO 2015186216A1 JP 2014064916 W JP2014064916 W JP 2014064916W WO 2015186216 A1 WO2015186216 A1 WO 2015186216A1
Authority
WO
WIPO (PCT)
Prior art keywords
information
user
business
coincidence
degree
Prior art date
Application number
PCT/JP2014/064916
Other languages
English (en)
French (fr)
Inventor
結 渡邊
吉田　功
Original Assignee
株式会社 日立製作所
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社 日立製作所 filed Critical 株式会社 日立製作所
Priority to JP2016524990A priority Critical patent/JPWO2015186216A1/ja
Priority to PCT/JP2014/064916 priority patent/WO2015186216A1/ja
Publication of WO2015186216A1 publication Critical patent/WO2015186216A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data

Definitions

  • the present invention relates to a business system monitoring apparatus and a business system monitoring method, and more specifically, to a security management technique for preventing information theft and tampering by a computer system user.
  • an object of the present invention is to provide a technique capable of improving the determination accuracy regarding risk in information security in response to the fact that a legitimate operation tendency in a business system can change depending on the business situation. .
  • the business system monitoring apparatus of the present invention that solves the above problems includes a communication device that communicates with a business system to be monitored, and normal user operations and corresponding user operations performed in a past predetermined period in the business system.
  • a storage device for storing feature information including each information related to the business process, and verification information including each information of the progress status of the user operation and business process currently being executed or most recently in the business system is received from the business system, The verification information is collated with the feature information, the degree of coincidence is specified for each of the user operation and the business process in which the user operation is performed, and the combination of the identified degree of coincidence is compared with a predetermined standard, Judge the risk of information security that increases according to the low degree of coincidence, and output the judgment result to the output device or communication device
  • An arithmetic unit for executing that process characterized in that it comprises a.
  • the business system monitoring method of the present invention relates to a communication device that communicates with a business system to be monitored, and a normal user operation performed in a predetermined period in the past and a business process in which the user operation has been performed in the business system.
  • a storage device that stores characteristic information including each information, and the verification information including each information of the progress status of the user operation and the business process currently being executed or the latest in the business system, The verification information is received from the system, the verification information is collated with the feature information, the degree of coincidence is specified for each of the user operation and the business process in which the corresponding user operation is performed, and the combination of the specified degree of coincidence and a predetermined reference To determine the risk of information security that increases according to the low degree of coincidence. Executing a process of outputting to the device, characterized in that.
  • the present invention it is possible to improve the determination accuracy regarding the risk in information security in response to the fact that the legitimate operation tendency in the business system can change depending on the business situation.
  • FIG. 1 It is a figure which shows the structural example of the business system monitoring apparatus in this embodiment. It is a flowchart which shows the example of a process sequence of the business system monitoring method in this embodiment. It is a figure which shows the example of the operation log which the business system in this embodiment hold
  • FIG. 1 is a diagram illustrating a network configuration example including a business system monitoring apparatus 100 according to the present embodiment.
  • the business system monitoring apparatus 100 shown in FIG. 1 relates to information security risks such as information leakage from the business system 50 in response to the fact that a legitimate operation tendency in the business system 50 may change depending on the status of the business. It is a computer system for enabling determination accuracy to be improved.
  • Such a business system monitoring apparatus 100 is connected to the business system 50 to be monitored via the network 15 so as to be communicable. Further, the business system 50 is connected to an access terminal 60 that accesses the business system 50 and executes a work process via a predetermined network 10 such as an in-house LAN (Local Area Network). .
  • a predetermined network 10 such as an in-house LAN (Local Area Network).
  • the hardware configuration of the business system monitoring apparatus 100 is as follows.
  • the business system monitoring apparatus 100 is held in a storage device 101 composed of appropriate nonvolatile storage elements such as SSD (Solid State Drive) and a hard disk drive, a memory 103 composed of volatile storage elements such as RAM, and a memory 103.
  • a CPU 104 (arithmetic unit) that executes programs 110 to 112 and performs overall control of the apparatus itself, performs various determinations, computations and control processes, an input unit 105 such as a keyboard and a mouse that accepts instructions from an administrator, and outputs processing results
  • An output device 106 such as a display, and a communication interface 107 (communication device) connected to the network 15 and responsible for communication processing with the business system 50.
  • the memory 103 stores programs 110 to 112 for implementing functions necessary for the business system monitoring apparatus 100 of the present embodiment.
  • the storage device 101 stores data 125 to 131 necessary for various processes. Details of these data types 125 to 131 will be described later. --- Examples of functions --- Next, functions provided in the business system monitoring apparatus 100 according to the present embodiment will be described. As described above, the functions described below can be said to be functions implemented by, for example, executing the programs 110 to 112 included in the memory 103 in the business system monitoring apparatus 100, for example.
  • the risk determination definition 127 predetermined standard
  • the degree of coincidence is high according to the degree of coincidence regarding the user operation and the business process in which the user operation is performed, and the degree of coincidence.
  • the feature information data 129 includes information related to a normal user operation performed in a past predetermined period in the business system 50 and a business process in which the user operation has been performed, and a determination level selection
  • the standard 130 is a table that defines the strictness of risk determination according to the progress status of the business process.
  • the business system monitoring apparatus 100 receives verification information from the business system 50 via the network 15 and the communication interface 107 including information on the user operations currently being executed in the business system 50 or the latest user operation and the progress status of the business process.
  • the verification information received here is shaped into the format of the above-described feature information data 129, and a function for generating a record in the process and operation history data 125 is provided. This function is implemented in the business system monitoring apparatus 100 by executing the operation / process matching program 110 described above.
  • the business system monitoring apparatus 100 compares the verification information after the above-described shaping, that is, a predetermined record of the process and operation history data 125 with a record stored in the feature information data 129, and performs the user operation and the corresponding user.
  • the degree of coincidence is specified for each business process that has been operated, and the combination of the identified degree of coincidence is compared with the risk determination definition 127 to determine the risk in information security that increases with the low degree of coincidence. It has a function of determining and outputting the determination result to the output device 106 or the communication interface 107. This function is a function implemented in the business system monitoring apparatus 100 by executing the above-described risk determination program 111.
  • the business system monitoring apparatus 100 collates a predetermined record of the above-described verification information, that is, the process and operation history data 125 with a record in the feature information data 129, and the user attribute, which is the above-described user operation information, Identifies the degree of coincidence related to the operation contents and operation target data, and the degree of coincidence related to each information of the business process in which the user performs the user operation and the business process in which the operation target data is normally handled, which is the above-described business process information.
  • the combination of the identified degrees of coincidence and the risk judgment definition 127 are compared to determine the risk in information security that increases according to the low degree of coincidence, and the determination result is output to the output device 106 or the communication A function of outputting to the interface 107 is provided.
  • the business system monitoring apparatus 100 collates the progress information of the business process indicated by the above-described verification information process and the predetermined record of the operation history data 125 with the above-described determination level selection criterion 130 to obtain the corresponding progress status.
  • the corresponding severity is specified, the risk determination table 131 corresponding to the severity is selected (the table defining the information security risk value according to the above-mentioned degree of coincidence), and the risk determination table 131 is selected.
  • 1 includes a function for specifying a risk value corresponding to the above-described degree of coincidence.
  • the business system monitoring apparatus 100 collates a predetermined record of the above-described verification information process and operation history data 125 with a record in the feature information data 129, and the user attribute, which is the above-described user operation information, The degree of coincidence regarding the operation content and operation target data, and the above-described business process information, the business process performed by the user and the business process in which the operation target data is normally handled, and the attribute of the user who performed the operation.
  • FIG. 2 is a flowchart showing an example of a processing procedure of the business system monitoring method in the present embodiment.
  • the business system monitoring apparatus 100 stores an operation log 2001 that is information on a user operation currently being executed or the latest user operation in the business system 50 and process management data 2011 that is information on the progress status of the business process. 50 through the network 15 (S1000).
  • the above-mentioned operation log 2001 is a collection of records generated for each session started from the time when the user access terminal 60 logs in the business system 50. As illustrated in FIG. 3, each record has a log ID (“Lid” in the figure) as a key, the ID of the user who performed the user operation, the connection source IP that is the IP address of the access terminal 60, and the access terminal 60 is associated with a value such as the login time to the business system 50.
  • each record is integrally associated with a sub-table 2002 in which the contents of a series of user operations constituting the corresponding session are described.
  • the sub-table 2002 is an operation such as “LOGIN”, “Open”, “Move”, “Save”, and the like, using the record number (“#” in the figure) in the sub-table 2002 and the corresponding log ID as a key.
  • the above-described process management data 2011 includes a record number (“#” in the figure) and a business project ID (“PJid” in the figure) in the process management data 2011 as keys.
  • the operation target data handled by the user in charge (“affiliation data” in the figure)
  • the business process currently being handled by the user in charge (“current process in the figure”)
  • a progress record (“progress rate” in the figure) and reference information related to the project (“PJ history” in the figure) are associated with records.
  • the business system monitoring apparatus 100 merges the operation log 2001 and the process management data 2011 obtained in step S1000 described above to generate process and operation history data 125 (S1010).
  • the business system monitoring apparatus 100 extracts the records of the sub-table 2002 of the operation log 2001 in the order of time, the log ID of the corresponding record, the user ID (value given to the corresponding record of the operation log 2001), the operation Then, each value of the target data and time is read, a record is generated in the process and operation history data 125, and a value corresponding to the operation history column 1251 is stored.
  • the record in which the value is stored in this way as shown by the process and operation history data 125 in FIG. 5, the record number “1”, the log ID “0”, the user ID “A”, the operation “Open”, the target This is a record in which data “.. ⁇ crr ⁇ fo1.dwg” and time “2013/04/05 10:28:26” are set.
  • the business system monitoring apparatus 100 specifies the user name by collating the user ID in the record generated as described above with the user ID definition 126.
  • the user ID definition 126 includes the record number (“#” in the figure) and the user ID (“operation user ID” in the figure) in the user ID definition 126, and the user of the corresponding user. It is a collection of records in which names (“user in charge” in the figure) are associated. For example, when the user ID “A” is collated with the user ID definition 126 illustrated in FIG. 6, the user name “UserA” can be specified.
  • the business system monitoring apparatus 100 that has identified the user name searches the above-described process management data 2011 using the user name as a key, and identifies the business process that the user is currently corresponding to, that is, the process that is currently supported. For example, when the process management data 2011 illustrated in FIG. 4 is searched using the user name “UserA” as a key, the value of the corresponding process “request definition” is specified in the record with the record number “0” and PJid “0”. I can do it. The business system monitoring apparatus 100 stores the value of the process in process identified in this way in the corresponding field in the process attribute field 1252 in the corresponding record of the process and operation history data 125.
  • Target data “.. ⁇ crr ⁇ fo1.dwg” and time “2013/04/05 10:28:26” are set in the corresponding process column of the process attribute column 1252, The value of “Requirement definition” is set.
  • the business system monitoring apparatus 100 searches the process management data 2011 using the value of the target data stored in the record of the process and operation history data 125 as described above, and the value of the target data is “affiliation data”.
  • the record included in the column is specified, and the value of the corresponding process in this record is acquired. For example, when the affiliation data column in each record of the process management data 2011 illustrated in FIG. 4 is searched using the target data value “.. ⁇ crr ⁇ fo1.dwg” as a key, the record number “0” and PJid “0” are retrieved. , And the value of “required definition” corresponding process in this record can be specified.
  • the business system monitoring apparatus 100 stores the value of the process in progress identified in this way in the data belonging process column of the process attribute column 1252 in the corresponding record of the process and operation history data 125.
  • the record in which the value of the corresponding process is stored in the data belonging process column as described above for example, as indicated by the process and history data 125, the record number “1”, the log ID “0”, the user ID “A” ”, Operation“ Open ”, target data“ .. ⁇ crr ⁇ fo1.dwg ”, time“ 2013/04/05 10:28:26 ”, corresponding process“ required definition ”
  • the value of “requirement definition” is set in the data belonging process column.
  • the business system monitoring apparatus 100 that has generated the process and operation history data 125 includes each of the user ID, operation, and target data indicated by the predetermined record (hereinafter referred to as verification record) of the process and operation history data 125 described above.
  • the value (user operation information) and each value of the corresponding process and data belonging process (business process information) are collated with each record of the above-described feature information data 129 (S1020).
  • the business system monitoring apparatus 100 identifies the degree of coincidence between the verification record related to each verification target value and the record of the feature information data 129 as a result of the above-described verification process (S1020) (S1030).
  • the business system monitoring apparatus 100 has a level 0: “the user ID and the operation are completely matched and the target data is completely matched” with respect to each value of the user ID, the operation, and the target data.
  • Level 2 “ User ID and operation group match, storage location of target data and data type (extension) match ”
  • the mitigation rule definition 128 (FIG. 8) that defines the degree of coincidence criterion is held in the storage device 101.
  • the above-mentioned operation groups are grouped by an operation (for example, deletion or editing) that changes the operation target data, an operation that does not change (for example, file open or file close), or by application. Assume an operation and a group for each predetermined operation menu on the WEB screen.
  • the business system monitoring apparatus 100 applies the above-described user operation information, that is, the result of collation regarding each value of the user ID, operation, and target data to the above-described relaxation rule definition 128 in step S1021 described above,
  • the corresponding level relating to the degree of coincidence regarding the operation is specified.
  • the business system monitoring apparatus 100 uses the matching rate “100”: “affiliation of the process being processed and the data for each value of the process being handled and the process to which the data belongs as the relaxation rule definition 128 regarding the degree of matching of the work process. “Processes match”, match rate “75”: “corresponding process matches and data belonging process is similar”, match rate “50”: “corresponding process matches and data belonging process does not match”, match Rate “0”: “Definition of the corresponding matching rate regarding the degree of matching, such as“ when all processes in correspondence do not match ”,... Are stored in the storage device 101.
  • the business system monitoring apparatus 100 applies the above-described business process information, that is, the result of collation regarding each value of the corresponding process and the data belonging process to the above-described relaxation rule definition 128 in the above-described step S1021.
  • the matching rate regarding the matching level for the business process is specified.
  • the business system monitoring apparatus 100 collates the risk determination table 131 with the combination of the level according to the degree of coincidence related to the user operation and the coincidence rate according to the degree of coincidence related to the business process specified as described above.
  • the risk on information security is determined (S1040).
  • FIG. 9 is a diagram showing an example of the risk determination table 131 in the present embodiment.
  • the risk determination table 131 is a matrix that defines information security risks for combinations of the degree of coincidence regarding user operations and the degree of coincidence regarding business processes.
  • the lower the degree of coincidence related to the user operation that is, the larger the value of the level in the risk determination table 131 of FIG. 9, and the lower the degree of coincidence related to the business process, ie, the degree of coincidence in the risk determination table 131 of FIG.
  • the business system monitoring apparatus 100 applies a combination of values such as “level 0” and “match rate 75” to the risk determination table 131 and identifies the corresponding risk value as “15” or the like. To do.
  • the business system monitoring apparatus 100 outputs the determination result determined in step S1040 described above, that is, the risk value to the output device 106 or the communication device 107 (S1050). Until the process is performed (S1060: no ⁇ S1000), the processes after step S1000 are repeatedly executed. On the other hand, if the logout operation of the user is performed in the business system 50 (S1060: yes), the feature information data 129 is updated (S1070), and the business system monitoring apparatus 100 ends this flow.
  • the update process (S1070) of the feature information data 129 described above is performed when the system administrator or the like relates to the normal operation among the records of the process and operation history data 125 processed in steps S1000 to S1060.
  • the business system monitoring apparatus 100 adds the information specified in 105 as a record of the feature information data 129. In this way, the feature information data 129 is continuously updated.
  • Example of extended handling information A situation can be assumed in which the amount of information of the process management data 51 managed by the business system 50 is larger than that in the above-described form.
  • An example of the process and operation history data 125 in that case is shown in FIG. As shown in the example of FIG. 10, the differences from the process and operation history data 125 of FIG.
  • the user role is a value indicating the position of the user who performed the operation.
  • the progress rate of the process being handled is a value indicating the progress rate of the work related to the process being handled.
  • the data progress is a value indicating the progress of the work on the target data (for example, edit: editing, fix: complete).
  • the data items in the record of the feature information data 129 also increase with respect to each value of the user role, the progress rate of the corresponding process, and the data progress, as shown in FIG.
  • FIG. 12 is a flowchart showing another processing procedure example of the business system monitoring method in the present embodiment. Note that the description of the processing from steps S1000 to S1030, which is processing common to the processing flow of FIG. 2, is omitted.
  • the business system monitoring apparatus 100 continues to the step S1030 described above, and among the values of the process attribute 1252 indicated by the verification record, at least the values of the “progress rate of the corresponding process” and the “data progress rate” are displayed.
  • the risk determination table 131 for each severity according to the progress status of the business process is specified in comparison with the determination level selection criterion 130 (strictness criterion information) (S1031).
  • FIG. 13 shows an example of the determination level selection criterion 130.
  • the determination level selection standard 130 illustrated in FIG. 13 adds to the standard the progress status of the corresponding process, the data belonging process, and the role of the user. For example, when the progress rate of the process being handled is “less than 20%” and the progress rate of the data is “less than 20%”, the determination level of the risk determination table 131 to be selected is not limited to the role of the user. Strict, that is, “judgment level strict” is specified. As described above, the determination level selection criterion 130 is configured to select the risk determination table 131 according to the progress status in the business process. Therefore, the business system monitoring apparatus 100 in this case holds a risk determination table 131 for each determination level defined by the determination level selection criterion 130 as shown in FIG.
  • the business system monitoring apparatus 100 stores the level according to the degree of coincidence related to the user operation specified in the above-described step S1030 in the risk determination table 131 corresponding to the determination level specified in the above-described step S1031.
  • the combination with the matching rate according to the matching degree regarding the business process is collated, and the risk on information security is determined (S1040).
  • the processing after determining the risk is the same as the flow of FIG.
  • the monitoring range is expanded even in situations where it cannot be detected, and the accuracy of determining information security risks such as information leaks and tampering is improved.
  • the storage device stores, as information related to the normal user operation in the feature information, the attribute of the user who performed the operation, the operation content, and operation target data, As the information regarding the business process, each information of the business process in which the user has performed the user operation and the business process in which the operation target data is normally handled is stored, and the arithmetic device stores the verification information as the feature information.
  • the business process that the user performed the user operation and The degree of coincidence regarding each piece of information of the business process in which the operation target data is normally handled is identified, and the combination of the identified degree of coincidence And a predetermined standard, determine the risk on information security that increases according to the low degree of coincidence, and execute the process of outputting the determination result to the output device or communication device, Also good.
  • the storage device further stores strictness criterion information that defines the strictness of risk determination according to the progress status of the business process
  • the arithmetic device includes: The information on the progress status of the business process indicated by the verification information is checked against the strictness criteria information, the strictness corresponding to the progress status is specified, and the specified criteria to be compared with the combination of the matching scores are specified. It is also possible to further execute processing to be increased according to the degree of strictness.
  • the progress status of the business process for example, in the initial stage where the basic concept of the deliverable has just been determined, relevant operation target data (eg, a file describing the basic concept) is transmitted to the outside.
  • relevant operation target data eg, a file describing the basic concept
  • the user operations to be performed correspond to the actual situation such as the risk of information security is extremely high, and the above-mentioned coincidence is specified by a strict standard, and consequently, the coincidence is identified with higher accuracy. As a result, it is possible to further improve the accuracy of risk determination.
  • the storage device includes, as information related to the business process in the feature information, an attribute of a user who performed an operation, a progress status of the business process, and a work progress related to operation target data. At least one of each information of the situation, and the arithmetic device collates the verification information with the feature information, and is the user operation information, the user attribute, the operation content And the degree of coincidence regarding the operation target data, and the information on the business process, the business process in which the user performed the user operation, the business process in which the operation target data is normally handled, and the attribute of the user who performed the operation , Information on at least one of the information on the progress of the work process and the information on the work progress related to the operation target data.
  • the degree of coincidence is specified, the combination of the specified degree of coincidence is compared with a predetermined standard, the risk on information security that increases according to the low degree of coincidence is determined, and the determination result is output to the output device Or a process for outputting to a communication device, It is good.
  • the work related to the attribute of the user who performed the operation, the progress status of the business process, and the operation target data For each point of progress status information, identify the degree of coincidence between the user operation currently being executed and the normal operation in the past, identify the degree of coincidence with higher accuracy, and the associated risks Further improvement in the accuracy of sex determination can be realized.
  • the information processing apparatus uses the storage device as the information related to the normal user operation in the feature information as the attribute of the user who performed the operation, the operation content, and the operation target. Data is stored, and information on the business process in which the user has performed the user operation and business process in which the operation target data is normally handled are stored as information on the business process, and the verification information is stored in the feature information.
  • the information processing apparatus further stores strictness criterion information that defines the strictness of the risk determination according to the progress status of the business process in the storage device,
  • the information on the progress status of the business process indicated by the verification information is collated with the strictness criteria information, the strictness corresponding to the progress status is specified, and the predetermined criteria to be compared with the combination of the matching scores are specified. It is also possible to further execute a process for increasing according to the strictness.
  • the information processing apparatus uses the storage device as the information regarding the business process in the feature information, the attribute of the user who performed the operation, the progress status of the business process, and Further storing at least one of each of the work progress status regarding the operation target data, collating the verification information with the feature information, the user operation information, the user attribute, the operation content, And the degree of coincidence regarding the operation target data and the information on the business process, the business process in which the user performed the user operation, the business process in which the operation target data is normally handled, and the attribute of the user who performed the operation,
  • Each of at least one of the progress status of the work process and each information of the work progress status regarding the operation target data The degree of coincidence related to information is identified, the combination of each degree of coincidence identified is compared with a predetermined standard, the risk of information security that increases according to the low degree of coincidence is determined, and the determination result is output
  • a process of outputting to a device or a communication device may be executed.

Abstract

【課題】業務システムでの正当な操作傾向が業務の状況によって変化しうることに対応して、情報セキュリティ上の危険性に関する判定精度を向上可能とする。 【解決手段】業務システム監視装置１００において、業務システム５０において現在実行中または直近のユーザ操作及び業務工程の進捗状況の各情報を含む検証情報を、業務システム５０から受信し、検証情報１２５を特徴情報１２９に照合して、ユーザ操作及び該当ユーザ操作がなされた業務工程のそれぞれについて一致度を特定し、当該特定した一致度の組み合わせと所定基準１２７とを比較して、一致度の低さに応じて高まる情報セキュリティ上の危険性を判定し、当該判定結果を出力装置１０６または通信装置１０７に出力する処理を実行する演算装置１０４を備える構成とする。

Description

業務システム監視装置及び業務システム監視方法
　本発明は、業務システム監視装置及び業務システム監視方法に関し、具体的には、コンピュータシステムの利用者による情報の盗難や改竄を防止するためのセキュリティ管理技術に関する。
　業務上の機密情報を含む各種情報を取り扱う業務システムにおいては、当該業務システムでの情報漏洩や改竄を防止する必要がある。そこで、業務システムにおいて行われる操作のうち不正操作である可能性が高い既知の操作パターンと、現在実行中の操作とを照合して、現在実行中の操作が不正操作である可能性を判定する方法が提案されている。また他にも、過去の操作履歴から操作のパターンを分析し、現在の操作を過去の操作履歴上の操作のパターンと比較して不正操作である可能性を判定する方法なども提案されている。
　例えば上述の操作履歴を用いた判定技術として、以下の技術が提案されている。すなわち、コンピュータ等を不正に操作しているユーザを検知するために、グループに属する一のユーザが行った操作が、同一のグループに属するユーザの一般的な操作の傾向に比較して特異な操作に当たらないかを判定する技術（特許文献１参照）などが提案されている。
特開２００８－１９２０９１号公報
　従来技術によれば、企業や部署などのグループ内において相対的に怪しい操作を行っているユーザを検出することが可能になる。しかしながら、グループ内では一般的な操作であって問題とみなされない操作であっても、操作を行う状況によっては情報セキュリティ上の問題となる場合もありうる。
　例えば、製品の設計業務において、回路設計を担当するユーザが、回路設計工程で完成した回路図ファイルを、次工程で部品設計を行う外注先に送信する事は、業務上の当然の操作であって問題無い。一方、このユーザが同様の操作を部品設計工程完了後に実施する、或いは未完成の回路図ファイルを外部に送信する、といった操作は業務上では不自然であり、情報漏洩を意図して行われている可能性が多分にある。
　ところが従来技術においては、過去に正しいとされた操作内容、或いはグループ内の操作傾向と同様でありさえすれば、業務上は不自然な工程で操作が行われる事態を正常と判定してしまう。従って、悪意のユーザが業務システムにおいてごく一般的な操作を用いて情報漏洩や改竄等の不正行為を行う状況に対し、確実な対処が出来ないこととなっていた。
　そこで本発明の目的は、業務システムでの正当な操作傾向が業務の状況によって変化しうることに対応して、情報セキュリティ上の危険性に関する判定精度を向上可能とする技術を提供することにある。
　上記課題を解決する本発明の業務システム監視装置は、監視対象である業務システムと通信する通信装置と、前記業務システムにおいて過去の所定期間に行われた通常のユーザ操作及び該当ユーザ操作がなされた業務工程に関する各情報を含む特徴情報を格納する記憶装置と、前記業務システムにおいて現在実行中または直近のユーザ操作及び業務工程の進捗状況の各情報を含む検証情報を、前記業務システムから受信し、前記検証情報を前記特徴情報に照合して、前記ユーザ操作及び該当ユーザ操作がなされた前記業務工程のそれぞれについて一致度を特定し、当該特定した一致度の組み合わせと所定基準とを比較して、一致度の低さに応じて高まる情報セキュリティ上の危険性を判定し、当該判定結果を出力装置または通信装置に出力する処理を実行する演算装置と、を備えることを特徴とする。
　また、本発明の業務システム監視方法は、監視対象である業務システムと通信する通信装置と、前記業務システムにおいて過去の所定期間に行われた通常のユーザ操作及び該当ユーザ操作がなされた業務工程に関する各情報を含む特徴情報を格納する記憶装置と、を備えた情報処理装置が、前記業務システムにおいて現在実行中または直近のユーザ操作及び業務工程の進捗状況の各情報を含む検証情報を、前記業務システムから受信し、前記検証情報を前記特徴情報に照合して、前記ユーザ操作及び該当ユーザ操作がなされた前記業務工程のそれぞれについて一致度を特定し、当該特定した一致度の組み合わせと所定基準とを比較して、一致度の低さに応じて高まる情報セキュリティ上の危険性を判定し、当該判定結果を出力装置または通信装置に出力する処理を実行する、ことを特徴とする。
　本発明によれば、業務システムでの正当な操作傾向が業務の状況によって変化しうることに対応して、情報セキュリティ上の危険性に関する判定精度を向上可能となる。
本実施形態における業務システム監視装置の構成例を示す図である。 本実施形態における業務システム監視方法の処理手順例を示すフロー図である。 本実施形態における業務システムが保持する操作ログ例を示す図である。 本実施形態における業務システムが保持する工程管理データ例を示す図である。 本実施形態における工程及び操作履歴データの例を示す図である。 本実施形態におけるユーザＩＤ定義の例を示す図である。 本実施形態における特徴情報データの例を示す図である。 本実施形態における緩和ルール定義の例を示す図である。 本実施形態における危険性判定表の例を示す図である。 本実施形態における工程及び操作履歴データの他の例を示す図である。 本実施形態における特徴情報データの他の例を示す図である。 本実施形態における業務システム監視方法の他の処理手順例を示すフロー図である。 本実施形態における危険性判定定義が含む判定レベル選択基準の例を示す図である。 本実施形態における危険性判定表の他の例を示す図である。
－－－システム構成の例－－－
　以下に本発明の実施形態について図面を用いて詳細に説明する。図１は本実施形態の業務システム監視装置１００を含むネットワーク構成例を示す図である。図１に示す業務システム監視装置１００は、業務システム５０での正当な操作傾向が業務の状況によって変化しうることに対応して、業務システム５０からの情報漏洩等、情報セキュリティ上の危険性に関する判定精度を向上可能とするためのコンピュータシステムである。
　こうした業務システム監視装置１００は、監視対象である業務システム５０とネットワーク１５を介して通信可能に結ばれている。また、業務システム５０は、社内ＬＡＮ（Ｌｏｃａｌ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）などの所定のネットワーク１０を介して、当該業務システム５０にアクセスして業務工程の作業を実行するアクセス端末６０と通信可能に結ばれている。
　また、業務システム監視装置１００のハードウェア構成は以下の如くとなる。業務システム監視装置１００は、ＳＳＤ（Ｓｏｌｉｄ　Ｓｔａｔｅ　Ｄｒｉｖｅ）やハードディスクドライブなど適宜な不揮発性記憶素子で構成される記憶装置１０１、ＲＡＭなど揮発性記憶素子で構成されるメモリ１０３、メモリ１０３に保持されるプログラム１１０～１１２を実行し装置自体の統括制御を行なうとともに各種判定、演算及び制御処理を行なうＣＰＵ１０４（演算装置）、管理者等の指示を受け付けるキーボードやマウス等の入力装置１０５、処理結果を出力するディスプレイ等の出力装置１０６、および、ネットワーク１５と接続し業務システム５０との通信処理を担う通信インターフェイス１０７（通信装置）を備える。
　なお、メモリ１０３内には、本実施形態の業務システム監視装置１００として必要な機能を実装する為のプログラム１１０～１１２が記憶されている。また、記憶装置１０１内には、各種処理に必要なデータ類１２５～１３１が記憶されている。これらデータ類１２５～１３１の詳細については後述する。
－－－機能の例－－－
　続いて、本実施形態の業務システム監視装置１００が備える機能について説明する。上述したように、以下に説明する機能は、例えば業務システム監視装置１００がメモリ１０３で備えるプログラム１１０～１１２をそれぞれ実行することで実装される機能と言える。なお、記憶装置１０１のデータ類のうち、危険性判定定義１２７（所定基準）は、ユーザ操作及び当該ユーザ操作がなされた業務工程に関する各一致度と、この各一致度の低さに応じて高くなる情報セキュリティ上の危険性の値との対応関係を定めたテーブルである。また、特徴情報データ１２９（特徴情報）は、業務システム５０において過去の所定期間に行われた通常のユーザ操作及び該当ユーザ操作がなされた業務工程に関する各情報を含むものであり、また判定レベル選択基準１３０（厳格度基準情報）は、業務工程の進捗状況に応じた危険性判定の厳格度を定めたテーブルである。
　こうした業務システム監視装置１００は、業務システム５０において現在実行中または直近のユーザ操作及び業務工程の進捗状況の各情報を含む検証情報を、ネットワーク１５および通信インターフェイス１０７を介して業務システム５０から受信し、ここで受信した検証情報を上述の特徴情報データ１２９のフォーマットに整形し、工程及び操作履歴データ１２５におけるレコードを生成する機能を備えている。この機能は、上述の操作・工程整合プログラム１１０を実行することで業務システム監視装置１００に実装される機能である。
　また、業務システム監視装置１００は、上述の整形後の検証情報、すなわち工程及び操作履歴データ１２５の所定レコードを、特徴情報データ１２９中に格納されているレコードに照合して、ユーザ操作及び該当ユーザ操作がなされた業務工程のそれぞれについて一致度を特定し、当該特定した一致度の組み合わせと危険性判定定義１２７とを比較して、一致度の低さに応じて高まる情報セキュリティ上の危険性を判定し、当該判定結果を出力装置１０６または通信インターフェイス１０７に出力する機能を備えている。この機能は、上述の危険判定プログラム１１１を実行することで業務システム監視装置１００に実装される機能である。
　また、業務システム監視装置１００は、上述の検証情報すなわち工程及び操作履歴データ１２５の所定レコードを、特徴情報データ１２９中のレコードに照合して、上述のユーザ操作の情報である、ユーザの属性、操作内容、及び操作対象データに関する一致度と、上述の業務工程の情報である、ユーザが該当ユーザ操作を行った業務工程及び操作対象データが通常取り扱われる業務工程の各情報に関する一致度とを特定し、当該特定した各一致度の組み合わせと危険性判定義１２７とを比較して、一致度の低さに応じて高まる情報セキュリティ上の危険性を判定し、当該判定結果を出力装置１０６または通信インターフェイス１０７に出力する機能を備えている。
　また、業務システム監視装置１００は、上述の検証情報たる工程及び操作履歴データ１２５の所定レコードが示す業務工程の進捗状況の情報を、上述の判定レベル選択基準１３０に照合して、該当進捗状況に対応する厳格度を特定し、この厳格度に応じた危険性判定表１３１（上述の一致度に応じた情報セキュリティ上の危険度の値を定めた表）を選択し、この危険性判定表１３１において、上述の一致度と対応する危険度の値を特定する機能を備えている。
　また、業務システム監視装置１００は、上述の検証情報たる工程及び操作履歴データ１２５の所定レコードを、特徴情報データ１２９中のレコードに照合して、上述のユーザ操作の情報である、ユーザの属性、操作内容、及び操作対象データに関する一致度と、上述の業務工程の情報である、該当ユーザがユーザ操作を行った業務工程及び操作対象データが通常取り扱われる業務工程と、操作を行ったユーザの属性、業務工程の進捗状況、および操作対象データに関する作業進捗状況の各情報のうち少なくともいずれかとの各情報に関する一致度とを特定し、当該特定した各一致度の組み合わせと、上述の危険性判定定義１２７とを比較して、一致度の低さに応じて高まる情報セキュリティ上の危険性を判定し、当該判定結果を出力装置１０６または通信インターフェイス１０７に出力する機能を備えている。
－－－処理フローの例－－－
　以下、本実施形態における業務システム監視方法の実際手順について図に基づき説明する。以下で説明する業務システム監視方法に対応する各種動作は、業務システム監視装置１００がメモリ１０２における各プログラム１１０～１１２を実行することで実現される。そして、これらのプログラム１１０～１１２は、以下に説明される各種の動作を行うためのコードから構成されている。
　図２は、本実施形態における業務システム監視方法の処理手順例を示すフロー図である。ここでまず、業務システム監視装置１００は、業務システム５０において現在実行中または直近のユーザ操作の情報である操作ログ２００１と、業務工程の進捗状況に関する情報である工程管理データ２０１１とを、業務システム５０からネットワーク１５を介して取得する（Ｓ１０００）。
　上述の操作ログ２００１は、ユーザのアクセス端末６０が業務システム５０にログインした時点から開始されるセッション毎に生成されたレコードの集合体となっている。各レコードは、図３に例示するように、ログＩＤ（図中では“Ｌｉｄ”）をキーとして、ユーザ操作を行ったユーザのＩＤ、アクセス端末６０のＩＰアドレスである接続元ＩＰ、およびアクセス端末６０による業務システム５０へのログイン時刻といった値が対応付けされている。
　また上述の操作ログ２００１は入れ子構造となっており、各レコードには、該当セッションを構成する一連のユーザ操作の内容が記載されたサブテーブル２００２が一体に紐付いている。このサブテーブル２００２は、当該サブテーブル２００２におけるレコード番号（図中では“＃”）および対応するログＩＤをキーとして、“ＬＯＧＩＮ”、“Ｏｐｅｎ”、“Ｍｏｖｅ”、“Ｓａｖｅ”といった操作、この操作の対象データ（該当ファイルの格納先の情報含む）、および実施時刻といった値が対応付けされたレコードの集合体となっている。
　また、上述の工程管理データ２０１１は、図４にて例示するように、当該工程管理データ２０１１におけるレコード番号（図中では“＃”）および業務プロジェクトのＩＤ（図中では“ＰＪｉｄ”）をキーとして、該当業務プロジェクトの担当ユーザ、この担当ユーザが扱っている操作対象データ（図中では“所属データ”）、該当担当ユーザらが現在対応中の業務工程（図中では“対応中工程”）、その進捗状況（図中では“進捗率”）、および、該当プロジェクトに関する参考情報（図中では“ＰＪ履歴”）といった値が対応付けされたレコードの集合体となっている。
　次に業務システム監視装置１００は、上述のステップＳ１０００で得た操作ログ２００１および工程管理データ２０１１をマージして、工程及び操作履歴データ１２５を生成する（Ｓ１０１０）。
　この場合、業務システム監視装置１００は、操作ログ２００１のサブテーブル２００２のレコードを時刻の順に抽出し、該当レコードのログＩＤ、ユーザＩＤ（操作ログ２００１の対応レコードに付与されている値）、操作、対象データ、および時刻の各値を読み出して、工程及び操作履歴データ１２５にレコードを生成し、操作履歴欄１２５１に対応する値を格納する。こうして値を格納したレコードの具体例としては、図５の工程及び操作履歴データ１２５で示すように、レコード番号“１”、ログＩＤ“０”、ユーザＩＤ“Ａ”、操作“Ｏｐｅｎ”、対象データ“．．￥ｃｒｒ￥ｆｏ１．ｄｗｇ”、および時刻“２０１３／０４／０５　１０：２８：２６”の各値が設定されたレコードとなる。
　また、業務システム監視装置１００は、上述のように生成したレコードにおけるユーザＩＤを、ユーザＩＤ定義１２６に照合してユーザ名を特定する。ユーザＩＤ定義１２６は、図６にて例示するように、当該ユーザＩＤ定義１２６におけるレコード番号（図中では“＃”）およびユーザＩＤ（図中では“操作ユーザＩＤ”）と、該当ユーザのユーザ名（図中では“担当ユーザ”）とを対応付けたレコードの集合体となっている。例えば、ユーザＩＤ“Ａ”を、図６に例示するユーザＩＤ定義１２６に照合した場合、ユーザ名“ＵｓｅｒＡ”を特定できる。
　こうしてユーザ名を特定した業務システム監視装置１００は、ユーザ名をキーにして上述の工程管理データ２０１１を検索し、該当ユーザが現在対応中の業務工程すなわち対応中工程を特定する。例えば、ユーザ名“ＵｓｅｒＡ”をキーに、図４に例示した工程管理データ２０１１を検索すると、レコード番号“０”、ＰＪｉｄ“０”、のレコードにおいて、対応中工程“要求定義”の値を特定出来る。業務システム監視装置１００は、こうして特定した対応中工程の値を、工程及び操作履歴データ１２５の該当レコードにおける工程属性欄１２５２での該当欄に格納する。このように対応中工程の値が格納されたレコードとしては、例えば、工程及び履歴データ１２５で示すように、レコード番号“１”、ログＩＤ“０”、ユーザＩＤ“Ａ”、操作“Ｏｐｅｎ”、対象データ“．．￥ｃｒｒ￥ｆｏ１．ｄｗｇ”、および時刻“２０１３／０４／０５　１０：２８：２６”の各値が設定されたレコードにおいて、工程属性欄１２５２の対応中工程欄に、“要求定義”の値が設定されたものとなる。
　また、業務システム監視装置１００は、上述のように工程及び操作履歴データ１２５のレコードに格納した対象データの値をキーに、工程管理データ２０１１を検索し、該当対象データの値が“所属データ”欄に含まれるレコードを特定し、このレコードにおける対応中工程の値を取得する。例えば、対象データの値“．．￥ｃｒｒ￥ｆｏ１．ｄｗｇ”をキーに、図４に例示した工程管理データ２０１１の各レコードにおける所属データ欄を検索すると、レコード番号“０”、ＰＪｉｄ“０”、のレコードを特定し、このレコードにおける対応中工程“要求定義”の値を特定出来る。業務システム監視装置１００は、こうして特定した対応中工程の値を、工程及び操作履歴データ１２５の該当レコードにおける工程属性欄１２５２でのデータの所属工程欄に格納する。このようにデータの所属工程欄に対応中工程の値が格納されたレコードとしては、例えば、工程及び履歴データ１２５で示すように、レコード番号“１”、ログＩＤ“０”、ユーザＩＤ“Ａ”、操作“Ｏｐｅｎ”、対象データ“．．￥ｃｒｒ￥ｆｏ１．ｄｗｇ”、時刻“２０１３／０４／０５　１０：２８：２６”、対応中工程“要求定義”の各値が設定されたレコードにおいて、データの所属工程欄に、“要求定義”の値が設定されたものとなる。
　以上のように工程及び操作履歴データ１２５を生成した業務システム監視装置１００は、上述の工程及び操作履歴データ１２５の所定レコード（以後、検証レコード）が示す、ユーザＩＤ、操作、及び対象データの各値（ユーザ操作の情報）、及び、対応中工程およびデータの所属工程の各値（業務工程の情報）について、上述の特徴情報データ１２９の各レコードに照合する（Ｓ１０２０）。例えば、図５の工程及び操作履歴データ１２５のレコードのうち、レコード番号“１”、ログＩＤ“０”のレコードにおける、ユーザＩＤ“Ａ”、操作“Ｏｐｅｎ”、対象データ“．．￥ｃｒｒ￥ｆｏ１．ｄｗｇ”の各値（以上、ユーザ操作の情報）と、対応中工程“要求定義”およびデータの所属工程“要求定義”の各値（以上、業務工程の情報）を、図７の特徴情報データ１２９の各レコードの該当欄の値と照合する。
　また、業務システム監視装置１００は、上述の照合処理（Ｓ１０２０）の結果、各照合対象の値に関する検証レコードと特徴情報データ１２９のレコードとの一致度を特定する（Ｓ１０３０）。
　なお、業務システム監視装置１００は、ユーザＩＤ、操作、対象データの各値に関して、レベル０：「ユーザＩＤ及び操作が完全一致し、対象データも完全一致」、レベル１：「ユーザＩＤ及び操作が完全一致し、対象データの格納場所とデータ種別（拡張子）が一致」、レベル２：「ユーザＩＤ及び操作グループが一致し、対象データの格納場所とデータ種別（拡張子）が一致」・・・、といった一致度の基準を定めた緩和ルール定義１２８（図８）を記憶装置１０１に保持している。上述の操作グループとは、操作対象のデータに変更が生じる操作（例：削除や編集）のグループと、変更が生じない操作（例：ファイル開やファイル閉）のグループ、或いはアプリケーション別にグルーピングされた操作、ＷＥＢ画面上の所定の操作メニュー毎のグループ、といったものを想定する。
　そこで業務システム監視装置１００は、上述のステップＳ１０２１において、上述のユーザ操作の情報、すなわちユーザＩＤ、操作、対象データの各値に関する照合の結果を、上述の緩和ルール定義１２８に適用して、ユーザ操作（ユーザＩＤ、操作、対象データ）に関する一致度に関する該当レベルを特定する。
　また同様に、業務システム監視装置１００は、業務工程の一致度に関する緩和ルール定義１２８として、対応中工程およびデータの所属工程の各値に関して、一致率“１００”：「対応中工程およびデータの所属工程が一致」、一致率“７５”：「対応中工程は一致し、データの所属工程は類似」、一致率“５０”：「対応中工程は一致し、データの所属工程は不一致」、一致率“０”：「対応中工程が不一致の全ての場合」、・・・、といった一致度に関する該当一致率の基準を定めた定義を記憶装置１０１に保持している。
　そこで業務システム監視装置１００は、上述のステップＳ１０２１において、上述の業務工程の情報、すなわち対応中工程およびデータの所属工程の各値に関する照合の結果を、上述の緩和ルール定義１２８に適用して、業務工程（対応中工程およびデータの所属工程）に関する一致度に関する該当一致率を特定する。
　次に業務システム監視装置１００は、上述のように特定した、ユーザ操作に関する一致度に応じたレベルと、業務工程に関する一致度に応じた一致率との組み合わせを、危険性判定表１３１に照合し、情報セキュリティ上の危険性を判定する（Ｓ１０４０）。
　図９は本実施形態における危険性判定表１３１の例を示す図である。危険性判定表１３１は、ユーザ操作に関する一致度と業務工程に関する一致度との組み合わせに対し、情報セキュリティ上の危険性を定めたマトリクスである。ユーザ操作に関する一致度が低いほど、すなわち図９の危険性判定表１３１におけるレベルの値が大きいほど、また、業務工程に関する一致度が低いほど、すなわち図９の危険性判定表１３１における一致率の値が小さいほど、イレギュラーなユーザ操作がなされており、情報漏洩等の情報セキュリティ上の危険性が高いと認定するデータ構成となっている。
　業務システム監視装置１００は、こうした危険性判定表１３１に対し、“レベル０”、“一致率７５”といった値の組みあわせを適用して、対応する危険性の値を、“１５”などと特定する。
　また業務システム監視装置１００は、上述のステップＳ１０４０で判定した判定結果、すなわち危険性の値を、出力装置１０６または通信装置１０７に出力し（Ｓ１０５０）、その後、業務システム５０において該当ユーザのログアウト操作が行われるまで、（Ｓ１０６０：ｎｏ→Ｓ１０００）、上述のステップＳ１０００以降の処理を繰り返し実行する。他方、業務システム５０において該当ユーザのログアウト操作が行われたならば（Ｓ１０６０：ｙｅｓ）、特徴情報データ１２９の更新処理を行い（Ｓ１０７０）、業務システム監視装置１００は、本フローを終了する。
　なお、上述した特徴情報データ１２９の更新処理（Ｓ１０７０）は、ステップＳ１０００～Ｓ１０６０で処理対象とした工程及び操作履歴データ１２５のレコードのうち、システム管理者等が通常操作に関するものであると入力装置１０５にて指定したものについて、業務システム監視装置１００が、特徴情報データ１２９のレコードとして追加する処理となる。こうして特徴情報データ１２９は継続的に更新されることとなる。
－－－取扱情報を拡張した場合の例－－－
　業務システム５０で管理される工程管理データ５１の情報量が上述してきた形態の場合よりも多い状況が想定できる。その場合の工程及び操作履歴データ１２５の例を図１０にて示す。図４の工程及び操作履歴データ１２５との相違点は、図１０の例に示すように、工程属性１５２５のうち、ユーザのロール、対応中工程の進捗率、およびデータの進捗の各値である。このうちユーザのロールは、該当操作を行ったユーザの職位を示す値である。また、対応中工程の進捗率は、対応中工程に関する作業の進捗率を示す値である。また、データの進捗は、対象データに対する作業の進捗状況（例えば、edit：編集中、fix：完了）を示す値である。この場合、当然ながら特徴情報データ１２９のレコードにおけるデータ項目も、図１１に示すように、ユーザのロール、対応中工程の進捗率、およびデータの進捗の各値に関して増えることになる。
　上述のような工程及び操作履歴データ１２５、および特徴情報データ１２９を、業務システム監視装置１００が保持する場合の業務システム監視方法の処理手順について説明する。図１２は、本実施形態における業務システム監視方法の他の処理手順例を示すフロー図である。なお、図２の処理フローと共通する処理であるステップＳ１０００～Ｓ１０３０までの処理については説明を省略する。
　この場合、業務システム監視装置１００は、上述のステップＳ１０３０に引き続き、上述の検証レコードが示す工程属性１２５２の各値うち、少なくとも「対応中工程の進捗率」および「データの進捗率」の各値を、判定レベル選択基準１３０（厳格度基準情報）に照合して、業務工程の進捗状況に応じた厳格度別の危険性判定表１３１を特定する（Ｓ１０３１）。図１３に判定レベル選択基準１３０の例を示す。
　図１３に例示する判定レベル選択基準１３０は、対応中工程、データの所属工程の各進捗状況と、更にはユーザのロールについても基準に加えている。例えば、対応中工程の進捗率が“２０％未満”、データの進捗率が“２０％未満”、である場合、ユーザのロールは問わず、選択する危険性判定表１３１としては、判定レベルが厳しいすなわち“判定レベル厳”のものを特定することとなる。このように判定レベル選択基準１３０は、業務工程における進捗状況に応じて危険性判定表１３１を選択する構成となっている。従って、この場合の業務システム監視装置１００は、図１４にて示すように、判定レベル選択基準１３０が規定する判定レベル別に危険性判定表１３１を保持している。
　次に業務システム監視装置１００は、上述のステップＳ１０３１において特定した判定レベルに応じた危険性判定表１３１に、上述のステップＳ１０３０にて特定してある、ユーザ操作に関する一致度に応じたレベルと、業務工程に関する一致度に応じた一致率との組み合わせを照合し、情報セキュリティ上の危険性を判定する（Ｓ１０４０）。危険性を判定した以降の処理については、図２のフローと同様である。
　以上、本発明を実施するための最良の形態などについて具体的に説明したが、本発明はこれに限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能である。
　こうした本実施形態によれば、工程など業務の各状況によって変化しうる正当な操作傾向に対し、これに反する操作とその状況における危険性を判別することが可能となるため、従来では不正行為を検出出来なかった状況にも監視範囲が拡大し、情報漏洩や改竄など情報セキュリティ上の危険性の判定精度が従来よりも向上する。
　従って、業務システムでの正当な操作傾向が業務の状況によって変化しうることに対応して、情報セキュリティ上の危険性に関する判定精度を向上可能となる。
　本明細書の記載により、少なくとも次のことが明らかにされる。すなわち、本実施形態の業務システム監視装置において、前記記憶装置は、前記特徴情報における前記通常のユーザ操作に関する情報として、操作を行ったユーザの属性、操作内容、及び操作対象データを格納し、前記業務工程に関する情報として、前記ユーザが前記ユーザ操作を行った業務工程及び前記操作対象データが通常取り扱われる業務工程の各情報を格納するものであり、前記演算装置は、前記検証情報を前記特徴情報に照合して、前記ユーザ操作の情報である、前記ユーザの属性、操作内容、及び操作対象データに関する一致度と、前記業務工程の情報である、前記ユーザが前記ユーザ操作を行った業務工程及び前記操作対象データが通常取り扱われる業務工程の各情報に関する一致度とを特定し、当該特定した各一致度の組み合わせと所定基準とを比較して、一致度の低さに応じて高まる情報セキュリティ上の危険性を判定し、当該判定結果を出力装置または通信装置に出力する処理を実行するものである、としてもよい。
　これによれば、例えばユーザ操作に関して、職位や担当等のユーザ属性、操作内容、及び操作対象データ、業務工程に関して、ユーザ操作を行った業務工程及び操作対象データが通常取り扱われる業務工程、の各点について現在実行中のユーザ操作と過去における通常の操作との一致度を特定し、業務工程の情報に関する一致度も含めて、より高精度な一致度の特定と、それに伴う危険性判定の精度の向上が実現出来る。
　また、本実施形態の業務システム監視装置において、前記記憶装置は、業務工程の進捗状況に応じた危険性判定の厳格度を定めた厳格度基準情報を更に格納するものであり、前記演算装置は、前記検証情報が示す業務工程の進捗状況の情報を前記厳格度基準情報に照合して、前記進捗状況に対応する厳格度を特定し、前記一致度の組み合わせと比較する前記所定基準を前記特定した厳格度に応じて高める処理を更に実行するものである、としてもよい。
　これによれば、業務工程の進捗状況が、例えば、成果物の基本構想が決定されたばかりの初期段階において、関係する操作対象データ（例：その基本構想が記載されたファイル等）を外部に送信するユーザ操作は、情報セキュリティ上の危険性が非常に高い、などといった現実の状況に確実に対応して、上述の一致度を厳格な基準で特定し、ひいては、更に高精度な一致度の特定と、それに伴う危険性判定の精度の更なる向上が実現出来る。
　また、本実施形態の業務システム監視装置において、前記記憶装置は、前記特徴情報における前記業務工程に関する情報として、操作を行ったユーザの属性、前記業務工程の進捗状況、および操作対象データに関する作業進捗状況、の各情報のうち少なくともいずれかを更に格納するものであり、前記演算装置は、前記検証情報を前記特徴情報に照合して、前記ユーザ操作の情報である、前記ユーザの属性、操作内容、及び操作対象データに関する一致度と、前記業務工程の情報である、前記ユーザが前記ユーザ操作を行った業務工程及び前記操作対象データが通常取り扱われる業務工程と、前記操作を行ったユーザの属性、前記業務工程の進捗状況、および操作対象データに関する作業進捗状況の各情報のうち少なくともいずれかとの各情報に関する一致度とを特定し、当該特定した各一致度の組み合わせと所定基準とを比較して、一致度の低さに応じて高まる情報セキュリティ上の危険性を判定し、当該判定結果を出力装置または通信装置に出力する処理を実行するものである、
としてもよい。
　これによれば、業務工程に関して、ユーザ操作を行った業務工程及び操作対象データが通常取り扱われる業務工程に加えて、操作を行ったユーザの属性、業務工程の進捗状況、および操作対象データに関する作業進捗状況、の各情報のうち少なくともいずれかの各点についても、現在実行中のユーザ操作と過去における通常の操作との一致度を特定し、より高精度な一致度の特定と、それに伴う危険性判定の更なる精度の向上が実現出来る。
　また、本実施形態の業務システム監視方法において、前記情報処理装置が、前記記憶装置において、前記特徴情報における前記通常のユーザ操作に関する情報として、操作を行ったユーザの属性、操作内容、及び操作対象データを格納し、前記業務工程に関する情報として、前記ユーザが前記ユーザ操作を行った業務工程及び前記操作対象データが通常取り扱われる業務工程の各情報を格納して、前記検証情報を前記特徴情報に照合して、前記ユーザ操作の情報である、前記ユーザの属性、操作内容、及び操作対象データに関する一致度と、前記業務工程の情報である、前記ユーザが前記ユーザ操作を行った業務工程及び前記操作対象データが通常取り扱われる業務工程の各情報に関する一致度とを特定し、当該特定した各一致度の組み合わせと所定基準とを比較して、一致度の低さに応じて高まる情報セキュリティ上の危険性を判定し、当該判定結果を出力装置または通信装置に出力する処理を実行する、としてもよい。
　また、本実施形態の業務システム監視方法において、前記情報処理装置が、前記記憶装置において、業務工程の進捗状況に応じた危険性判定の厳格度を定めた厳格度基準情報を更に格納して、前記検証情報が示す業務工程の進捗状況の情報を前記厳格度基準情報に照合して、前記進捗状況に対応する厳格度を特定し、前記一致度の組み合わせと比較する前記所定基準を前記特定した厳格度に応じて高める処理を更に実行する、としてもよい。
　また、本実施形態の業務システム監視方法において、前記情報処理装置が、前記記憶装置において、前記特徴情報における前記業務工程に関する情報として、操作を行ったユーザの属性、前記業務工程の進捗状況、および操作対象データに関する作業進捗状況、の各情報のうち少なくともいずれかを更に格納して、前記検証情報を前記特徴情報に照合して、前記ユーザ操作の情報である、前記ユーザの属性、操作内容、及び操作対象データに関する一致度と、前記業務工程の情報である、前記ユーザが前記ユーザ操作を行った業務工程及び前記操作対象データが通常取り扱われる業務工程と、前記操作を行ったユーザの属性、前記業務工程の進捗状況、および操作対象データに関する作業進捗状況の各情報のうち少なくともいずれかとの各情報に関する一致度とを特定し、当該特定した各一致度の組み合わせと所定基準とを比較して、一致度の低さに応じて高まる情報セキュリティ上の危険性を判定し、当該判定結果を出力装置または通信装置に出力する処理を実行する、としてもよい。
１０、１５　ネットワーク
５０　業務システム
５１　工程管理データ
５２　モニタリングプログラム
５３　操作ログ
６０　アクセス端末
１００　業務システム監視装置
１０１　記憶装置
１０２　プログラム
１０３　メモリ
１０４　演算装置
１０５　入力装置
１０６　出力装置
１０７　通信インターフェイス（通信装置）
１１０　操作・工程整合プログラム
１１１　危険性判定プログラム
１１２　特徴抽出プログラム
１２５　工程及び操作履歴データ
１２６　ユーザＩＤ定義
１２７　危険性判定定義（所定基準）
１２８　緩和ルール定義
１２９　特徴情報データ（特徴情報）
１３０　判定レベル選択基準（厳格度基準情報）
１３１　危険性判定表（所定基準）

Claims (8)

  1. 　監視対象である業務システムと通信する通信装置と、
    　前記業務システムにおいて過去の所定期間に行われた通常のユーザ操作及び該当ユーザ操作がなされた業務工程に関する各情報を含む特徴情報を格納する記憶装置と、
    　前記業務システムにおいて現在実行中または直近のユーザ操作及び業務工程の進捗状況の各情報を含む検証情報を、前記業務システムから受信し、前記検証情報を前記特徴情報に照合して、前記ユーザ操作及び該当ユーザ操作がなされた前記業務工程のそれぞれについて一致度を特定し、当該特定した一致度の組み合わせと所定基準とを比較して、一致度の低さに応じて高まる情報セキュリティ上の危険性を判定し、当該判定結果を出力装置または通信装置に出力する処理を実行する演算装置と、
    　を備えることを特徴とする業務システム監視装置。
  2. 　前記記憶装置は、
    　前記特徴情報における前記通常のユーザ操作に関する情報として、操作を行ったユーザの属性、操作内容、及び操作対象データを格納し、前記業務工程に関する情報として、前記ユーザが前記ユーザ操作を行った業務工程及び前記操作対象データが通常取り扱われる業務工程の各情報を格納するものであり、
    　前記演算装置は、
    　前記検証情報を前記特徴情報に照合して、前記ユーザ操作の情報である、前記ユーザの属性、操作内容、及び操作対象データに関する一致度と、前記業務工程の情報である、前記ユーザが前記ユーザ操作を行った業務工程及び前記操作対象データが通常取り扱われる業務工程の各情報に関する一致度とを特定し、当該特定した各一致度の組み合わせと所定基準とを比較して、一致度の低さに応じて高まる情報セキュリティ上の危険性を判定し、当該判定結果を出力装置または通信装置に出力する処理を実行するものである、
    　ことを特徴とする請求項１に記載の業務システム監視装置。
  3. 　前記記憶装置は、
    　業務工程の進捗状況に応じた危険性判定の厳格度を定めた厳格度基準情報を更に格納するものであり、
    　前記演算装置は、
    　前記検証情報が示す業務工程の進捗状況の情報を前記厳格度基準情報に照合して、前記進捗状況に対応する厳格度を特定し、前記一致度の組み合わせと比較する前記所定基準を前記特定した厳格度に応じて高める処理を更に実行するものである、
    　ことを特徴とする請求項１に記載の業務システム監視装置。
  4. 　前記記憶装置は、
    　前記特徴情報における前記業務工程に関する情報として、操作を行ったユーザの属性、前記業務工程の進捗状況、および操作対象データに関する作業進捗状況、の各情報のうち少なくともいずれかを更に格納するものであり、
    　前記演算装置は、
    　前記検証情報を前記特徴情報に照合して、前記ユーザ操作の情報である、前記ユーザの属性、操作内容、及び操作対象データに関する一致度と、前記業務工程の情報である、前記ユーザが前記ユーザ操作を行った業務工程及び前記操作対象データが通常取り扱われる業務工程と、前記操作を行ったユーザの属性、前記業務工程の進捗状況、および操作対象データに関する作業進捗状況の各情報のうち少なくともいずれかとの各情報に関する一致度とを特定し、当該特定した各一致度の組み合わせと所定基準とを比較して、一致度の低さに応じて高まる情報セキュリティ上の危険性を判定し、当該判定結果を出力装置または通信装置に出力する処理を実行するものである、
    　ことを特徴とする請求項２に記載の業務システム監視装置。
  5. 　監視対象である業務システムと通信する通信装置と、前記業務システムにおいて過去の所定期間に行われた通常のユーザ操作及び該当ユーザ操作がなされた業務工程に関する各情報を含む特徴情報を格納する記憶装置と、を備えた情報処理装置が、
    　前記業務システムにおいて現在実行中または直近のユーザ操作及び業務工程の進捗状況の各情報を含む検証情報を、前記業務システムから受信し、前記検証情報を前記特徴情報に照合して、前記ユーザ操作及び該当ユーザ操作がなされた前記業務工程のそれぞれについて一致度を特定し、当該特定した一致度の組み合わせと所定基準とを比較して、一致度の低さに応じて高まる情報セキュリティ上の危険性を判定し、当該判定結果を出力装置または通信装置に出力する処理を実行する、
    　ことを特徴とする業務システム監視方法。
  6. 　前記情報処理装置が、
    　前記記憶装置において、前記特徴情報における前記通常のユーザ操作に関する情報として、操作を行ったユーザの属性、操作内容、及び操作対象データを格納し、前記業務工程に関する情報として、前記ユーザが前記ユーザ操作を行った業務工程及び前記操作対象データが通常取り扱われる業務工程の各情報を格納して、
    　前記検証情報を前記特徴情報に照合して、前記ユーザ操作の情報である、前記ユーザの属性、操作内容、及び操作対象データに関する一致度と、前記業務工程の情報である、前記ユーザが前記ユーザ操作を行った業務工程及び前記操作対象データが通常取り扱われる業務工程の各情報に関する一致度とを特定し、当該特定した各一致度の組み合わせと所定基準とを比較して、一致度の低さに応じて高まる情報セキュリティ上の危険性を判定し、当該判定結果を出力装置または通信装置に出力する処理を実行する、
    　ことを特徴とする請求項５に記載の業務システム監視方法。
  7. 　前記情報処理装置が、
    　前記記憶装置において、業務工程の進捗状況に応じた危険性判定の厳格度を定めた厳格度基準情報を更に格納して、
    　前記検証情報が示す業務工程の進捗状況の情報を前記厳格度基準情報に照合して、前記進捗状況に対応する厳格度を特定し、前記一致度の組み合わせと比較する前記所定基準を前記特定した厳格度に応じて高める処理を更に実行する、
    　ことを特徴とする請求項５に記載の業務システム監視方法。
  8. 　前記情報処理装置が、
    　前記記憶装置において、前記特徴情報における前記業務工程に関する情報として、操作を行ったユーザの属性、前記業務工程の進捗状況、および操作対象データに関する作業進捗状況、の各情報のうち少なくともいずれかを更に格納して、
    　前記検証情報を前記特徴情報に照合して、前記ユーザ操作の情報である、前記ユーザの属性、操作内容、及び操作対象データに関する一致度と、前記業務工程の情報である、前記ユーザが前記ユーザ操作を行った業務工程及び前記操作対象データが通常取り扱われる業務工程と、前記操作を行ったユーザの属性、前記業務工程の進捗状況、および操作対象データに関する作業進捗状況の各情報のうち少なくともいずれかとの各情報に関する一致度とを特定し、当該特定した各一致度の組み合わせと所定基準とを比較して、一致度の低さに応じて高まる情報セキュリティ上の危険性を判定し、当該判定結果を出力装置または通信装置に出力する処理を実行する、
    　ことを特徴とする請求項６に記載の業務システム監視方法。
PCT/JP2014/064916 2014-06-05 2014-06-05 業務システム監視装置及び業務システム監視方法 WO2015186216A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2016524990A JPWO2015186216A1 (ja) 2014-06-05 2014-06-05 業務システム監視装置及び業務システム監視方法
PCT/JP2014/064916 WO2015186216A1 (ja) 2014-06-05 2014-06-05 業務システム監視装置及び業務システム監視方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2014/064916 WO2015186216A1 (ja) 2014-06-05 2014-06-05 業務システム監視装置及び業務システム監視方法

Publications (1)

Publication Number Publication Date
WO2015186216A1 true WO2015186216A1 (ja) 2015-12-10

Family

ID=54766312

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2014/064916 WO2015186216A1 (ja) 2014-06-05 2014-06-05 業務システム監視装置及び業務システム監視方法

Country Status (2)

Country Link
JP (1) JPWO2015186216A1 (ja)
WO (1) WO2015186216A1 (ja)

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2005048119A1 (ja) * 2003-11-17 2005-05-26 Intelligent Wave Inc, 不正操作判定システム、不正操作判定方法及び不正操作判定プログラム
JP2007109182A (ja) * 2005-10-17 2007-04-26 Canon Inc ワークフローシステムおよびオブジェクト生成装置
JP2009157422A (ja) * 2007-12-25 2009-07-16 Fuji Xerox Co Ltd 操作制限情報管理システムおよびプログラム
JP2009223390A (ja) * 2008-03-13 2009-10-01 Fuji Xerox Co Ltd 画像処理監視システム及びプログラム

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2005048119A1 (ja) * 2003-11-17 2005-05-26 Intelligent Wave Inc, 不正操作判定システム、不正操作判定方法及び不正操作判定プログラム
JP2007109182A (ja) * 2005-10-17 2007-04-26 Canon Inc ワークフローシステムおよびオブジェクト生成装置
JP2009157422A (ja) * 2007-12-25 2009-07-16 Fuji Xerox Co Ltd 操作制限情報管理システムおよびプログラム
JP2009223390A (ja) * 2008-03-13 2009-10-01 Fuji Xerox Co Ltd 画像処理監視システム及びプログラム

Also Published As

Publication number Publication date
JPWO2015186216A1 (ja) 2017-04-20

Similar Documents

Publication Publication Date Title
US10237295B2 (en) Automated event ID field analysis on heterogeneous logs
US20220006828A1 (en) System and user context in enterprise threat detection
US20170154188A1 (en) Context-sensitive copy and paste block
WO2017065070A1 (ja) 不審行動検知システム、情報処理装置、方法およびプログラム
US11716349B2 (en) Machine learning detection of database injection attacks
US10901996B2 (en) Optimized subset processing for de-duplication
US20150207811A1 (en) Vulnerability vector information analysis
US20170242868A1 (en) Bulk deduplication detection
US20150213272A1 (en) Conjoint vulnerability identifiers
US11960590B2 (en) Enforcing trusted application settings for shared code libraries
JP6282217B2 (ja) 不正プログラム対策システムおよび不正プログラム対策方法
US10650028B2 (en) Relational database instruction validation
CN105825137A (zh) 一种确定敏感数据扩散行为的方法及装置
CN111222181B (zh) Ai模型的监管方法、系统、服务器及存储介质
CN112799722A (zh) 命令识别方法、装置、设备和存储介质
Vahedi et al. Cloud based malware detection through behavioral entropy
WO2015186216A1 (ja) 業務システム監視装置及び業務システム監視方法
CN116185785A (zh) 文件异常变更的预警方法及装置
KR20200073824A (ko) 악성코드 프로파일링 방법 및 그 장치
US9998495B2 (en) Apparatus and method for verifying detection rule
US20220092086A1 (en) Order Independent Data Categorization, Indication, and Remediation Across Realtime Datasets of Live Service Environments
CN114969819A (zh) 数据资产风险发现方法和装置
CN112699372A (zh) 漏洞处理方法、装置和计算机可读存储介质
CN106293897B (zh) 组件自动化调度系统
TWI813326B (zh) 設備指紋推論系統及方法

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 14893700

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2016524990

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 14893700

Country of ref document: EP

Kind code of ref document: A1