(57)【要約】      （修正有）【課題】監視システムより得た既知のログデータを活用し、利用者の業態に応じて効率的にユーザ端末装置の監視処理を実現する履歴監視システムを提供する。【解決手段】履歴監視システム１は、ユーザ端末装置３Ａを監視する監視システム（５０、５１）にて検出対象として判断された既知の検出ログデータを用いて、監視処理装置２が、監視処理を行い、検出ログデータに基づいて、操作ユーザに関する情報並びに操作ファイル又はディレクトリのパス及び操作内容を有する履歴データを、操作履歴データとして取得する。判断処理は、ユーザ及び当該ユーザが利用するコンピュータの対応関係と、ファイル又はディレクトリの操作権限並びにユーザとの対応関係と、顧客及びユーザの対応関係との１又は複数並びに操作履歴データを用いた判断を含む。判断処理は、取得した履歴データを用いて、通知対象か否かの判断処理を行う為の判断データに基づく。【選択図】図１
2020095459.tif 000002
【特許請求の範囲】
【請求項１】
クライアントコンピュータを監視する監視システムにて検出対象として判断された既知の検出ログデータを用いて、監視処理を行う為の履歴監視方法であって、
監視処理装置が、前記検出ログデータに基づいて、操作を行うユーザに関する情報並びに、操作されたファイル又はディレクトリのパス、操作内容を有する履歴データを、操作履歴データとして取得するステップと、
取得した履歴データを用いて、通知対象か否かの判断処理を行う為の判断データを格納するステップと、
前記判断データに基づいて判断処理を行うステップと、を備え、
前記判断処理は、ユーザ及び当該ユーザが利用するコンピュータの対応関係と、
ファイル又はディレクトリの操作権限並びにユーザとの対応関係と、
顧客及びユーザの対応関係と、の１又は複数並びに前記操作履歴データを用いた判断を含むことを特徴とする履歴監視方法。
【請求項２】
前記判断処理は、前記操作履歴データについて、特定のキーワードがファイル名、ディレクトリ名またはパス中に含まれるか否か及び、操作を行ったユーザの権限を用いた判断を含むことを特徴とする請求項１に記載の履歴監視方法。
【請求項３】
前記監視処理装置が、監視対象組織ごとの検出ログデータの格納先情報を用いて格納先を巡回処理し、前記履歴データを取得するステップと、
監視対象組織ごとの前記対応関係を定義するための情報の格納先情報を用いて格納先を巡回処理し、前記対応関係を判断するための情報を収集するステップと、を備え、
前記巡回処理によって取得した前記履歴データ及び対応関係を用いて、判断処理を行うことを特徴とする請求項１又は請求項２に記載の履歴監視方法。
【請求項４】
前記監視処理装置が、前記判断処理結果に基づいて、通知先への通知処理を行うステップを備え、
前記判断処理は、前記監視システムにおいて検出対象として判断された検出ログデータのうち、前記判断データに基いて、所定の条件に該当する履歴について通知判断を行うことを特徴とする請求項１〜３の何れかに記載の履歴監視方法。
【請求項５】
前記判断データは、前記ユーザ及びその権限についての対応並びに前記履歴データに含まれるタイムスタンプに基づいて判断処理を行う為の判断条件を含むことを特徴とする請求項１〜４の何れかに記載の履歴監視方法。
【請求項６】
前記操作履歴データは、前記操作内容として、操作が行われたドライブの種別及び動作を有し、
前記判断処理は、前記ファイル又はディレクトリのパスに基づいて、複数の顧客に関するデータが外部記憶装置に移動、複製または生成された場合に、通知判断を行うことを特徴とする請求項１〜５の何れかに記載の履歴監視方法。
【請求項７】
前記監視処理装置が、前記検出ログデータに基づいて、クライアントコンピュータによってアクセスされたウェブサイトのＵＲＬ並びに、アクセスしたユーザに関する情報を有する履歴データを、アクセス履歴データとして取得するステップを備え、
前記判断処理は、前記ユーザ及びウェブサイトへのアクセス権限についての対応関係並びに前記アクセス履歴データに含まれるＵＲＬを用いた判断を含むことを特徴とする請求項１〜６の何れかに記載の履歴監視方法。
【請求項８】
前記監視処理装置が、前記検出ログデータに基づいて、クライアントコンピュータでの入力内容並びに、入力が行われたアプリケーションに関する情報を有する履歴データを、入力履歴データとして取得するステップを備え、
前記判断処理は、前記顧客及びユーザの対応関係及び前記入力履歴データに含まれる入力内容を用いた判断を含むことを特徴とする請求項１〜７の何れかに記載の履歴監視方法。
【請求項９】
クライアントコンピュータを監視する監視システムにて検出対象として判断された既知の検出ログデータを用いて、監視処理を行う為の監視処理装置であって、
前記検出ログデータに基づいて、操作を行うユーザに関する情報並びに、操作されたファイル又はディレクトリのパス、操作内容を有する履歴データを、操作履歴データとして取得する手段と、
取得した履歴データを用いて、通知対象か否かの判断処理を行う為の判断データを格納する手段と、
前記判断データに基づいて判断処理を行う手段と、を備え、
前記判断処理は、ユーザ及び当該ユーザが利用するコンピュータの対応関係と、
ファイル又はディレクトリの操作権限並びにユーザとの対応関係と、
顧客及びユーザの対応関係と、の１又は複数並びに前記操作履歴データを用いた判断を含むことを特徴とする監視処理装置。
【請求項１０】
クライアントコンピュータを監視する監視システムにて検出対象として判断された既知の検出ログデータを用いて、監視処理を行う為の監視処理プログラムであって、
コンピュータを、前記検出ログデータに基づいて、操作を行うユーザに関する情報並びに、操作されたファイル又はディレクトリのパス、操作内容を有する履歴データを、操作履歴データとして取得する手段と、
取得した履歴データを用いて、通知対象か否かの判断処理を行う為の判断データを格納する手段と、
前記判断データに基づいて判断処理を行う手段と、として機能させ、
前記判断処理は、ユーザ及び当該ユーザが利用するコンピュータの対応関係と、
ファイル又はディレクトリの操作権限並びにユーザとの対応関係と、
顧客及びユーザの対応関係と、の１又は複数並びに前記操作履歴データを用いた判断を含むことを特徴とする監視処理プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、クライアントコンピュータの操作履歴を監視する為の履歴監視方法、監視処理装置および監視処理プログラムに関する。
【背景技術】
【０００２】
従業員によっては、業務時間や休憩時間等に、業務用に貸与されたクライアントパソコンを使用し、下記に示す様な行為を行う。
・アダルト動画サイトにアクセスして不適切な動画を閲覧する。
・オンラインゲームをプレイする。
・掲示板やＳＮＳ等にアクセスして、書き込みを行う。
・ファイル交換ソフトを使って不正にファイルをやり取りする。
・顧客情報等の社外秘の機密データを、電子メールやクラウドストレージ等で外部に送信する。
・機密データを、ＣＤ／ＤＶＤ−ＲＯＭやフラッシュメモリ等の補助記憶装置に保存して持ち出す。
・営業時間外にクライアントコンピュータを使用する。
【０００３】
この様な不正な行為を見つけ出すための技術を下記に示す。例えば、監視者コンピュータが、通信接続されている各クライアントコンピュータから音出力情報を受信する音出力情報受信手段と、前記受信した音出力情報を保存する音出力情報記憶手段と、前記音出力情報を参照し、通常業務における音出力形態との比較により、業務外のコンピュータ操作の可能性の有無を判定する判定手段とを備え、前記クライアントコンピュータが、音の出力に関する音出力情報を前記監視者コンピュータに対して送信する音出力情報送信手段を備え、業務外操作を検知でき、警告通知等を行うことが可能なコンピュータ操作監視技術を提供する為の技術が知られている（特許文献１）。
【０００４】
また、端末からキャプチャされた操作画面情報を取得するキャプチャ画像取得部と、端末から操作ログ情報を取得する操作ログ情報取得部と、操作ログ情報に含まれている操作イベントの操作評価値を算定する操作イベント評価部と、操作評価値に基づいて明示が必要であると判定された要明示操作イベントを明示する強調イメージを生成する操作イベント特殊画像化部と、操作画面情報に強調イメージを合成して監視画面として表示する監視画像表示部とを備える端末監視装置に関する技術が知られている（特許文献２）。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特許第３９６３２７８号
【特許文献２】特開２００８−１９１８５８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
従来技術では、監視装置を利用し、事前定義された判断条件に基づいて、クライアントコンピュータでの操作に対する許可／不可を判断し、不可時には操作自体をできなくしたり、管理者への通知を行う等することで、不正な操作を監視していた。
【０００７】
しかしながら、監視システムにて、不可の判断条件を緩めすぎると、不正なデータの利用や操作を見逃してしまうリスクがあり、不可の判断条件を厳しく設定しすぎた場合、実際には許可されるべき操作が頻発してしまい、担当者が意図した作業ができなくなったり、ログデータのチェック等、管理者側の運用のコストが増大してしまう。
【０００８】
そのため、従来技術のような既存の監視システムでは、クライアントの種別や事業形態の異なる各社が、自社の実情に合わせて細やかな設定を行い運用できるものではない。
【０００９】
また、業務効率化の観点から、顧客情報を既存のＣＲＭ（Customer Relationship Management）サービスやクラウドストレージサービスの業務上での利用が求められている。例えば、士業事務所のように、１の顧客に対して複数の担当者が作業をする業態であっても、関係者間での情報、データの共有によって、大幅に業務効率化を行うことができる。
【００１０】
一方で、このようなサービスの利用に際して、ネットワーク経由でデータに自由にアクセス可能となるため、顧客情報の持ち出しなど、データの不正な利用を発見できないリスクが生じると共に、不正なデータ持ち出しが行われた場合に、罰則規定を適用できるだけの十分な証拠を保全できないという課題がある。
【００１１】
以上から、各企業の業務手順に則って、個別にチューニングされた監視処理装置、業務効率化のシステムを利用することが理想ではあるが、開発などのコストの点から現実的ではない。そのため、既存のシステムを利用する等して開発コストを抑えながら、実運用が可能な履歴の監視方法が求められていた。
【００１２】
本発明は、上記のような実状に鑑みてなされたものであり、監視システムより得た既知のログデータデータを活用し、利用者の業態に応じて効率的に監視処理を実現するための履歴監視方法を提供することを解決すべき課題とする。
【課題を解決するための手段】
【００１３】
上記課題を解決するために、本発明は、クライアントコンピュータを監視する監視システムにて検出対象として判断された既知の検出ログデータを用いて、監視処理を行う為の履歴監視方法であって、
監視処理装置が、前記検出ログデータに基づいて、操作を行うユーザに関する情報並びに、操作されたファイル又はディレクトリのパス、操作内容を有する履歴データを、操作履歴データとして取得するステップと、
取得した履歴データを用いて、通知対象か否かの判断処理を行う為の判断データを格納するステップと、
前記判断データに基づいて判断処理を行うステップと、を備え、
前記判断処理は、ユーザ及び当該ユーザが利用するコンピュータの対応関係と、
ファイル又はディレクトリの操作権限並びにユーザとの対応関係と、
顧客及びユーザの対応関係と、の１又は複数並びに前記操作履歴データを用いた判断を含むことを特徴とする。
【００１４】
また、本発明は、クライアントコンピュータを監視する監視システムにて検出対象として判断された既知の検出ログデータを用いて、監視処理を行う為の監視処理装置であって、
前記検出ログデータに基づいて、操作を行うユーザに関する情報並びに、操作されたファイル又はディレクトリのパス、操作内容を有する履歴データを、操作履歴データとして取得する手段と、
取得した履歴データを用いて、通知対象か否かの判断処理を行う為の判断データを格納する手段と、
前記判断データに基づいて判断処理を行う手段と、を備え、
前記判断処理は、ユーザ及び当該ユーザが利用するコンピュータの対応関係と、
ファイル又はディレクトリの操作権限並びにユーザとの対応関係と、
顧客及びユーザの対応関係と、の１又は複数並びに前記操作履歴データを用いた判断を含むことを特徴とする。
【００１５】
また、本発明は、クライアントコンピュータを監視する監視システムにて検出対象として判断された既知の検出ログデータを用いて、監視処理を行う為の監視処理プログラムであって、
コンピュータを、前記検出ログデータに基づいて、操作を行うユーザに関する情報並びに、操作されたファイル又はディレクトリのパス、操作内容を有する履歴データを、操作履歴データとして取得する手段と、
取得した履歴データを用いて、通知対象か否かの判断処理を行う為の判断データを格納する手段と、
前記判断データに基づいて判断処理を行う手段と、として機能させ、
前記判断処理は、ユーザ及び当該ユーザが利用するコンピュータの対応関係と、
ファイル又はディレクトリの操作権限並びにユーザとの対応関係と、
顧客及びユーザの対応関係と、の１又は複数並びに前記操作履歴データを用いた判断を含むことを特徴とする。
【００１６】
このような構成とすることで、既存の監視システムによって提供されるログを、監視対象組織の業務手順に則ってより細かく通知対象か否かの判断処理を行うことができ、監視者に対するこれまでのような不必要な通知を排除すると共に、監視対象組織ごとのオーダーを満たした監視処理を、より低コストにて実現することができる。
【００１７】
本発明の好ましい形態では、前記判断処理は、前記操作履歴データについて、特定のキーワードがファイル名、ディレクトリ名またはパス中に含まれるか否か及び、操作を行ったユーザの権限を用いた判断を含むことを特徴とする。
このような構成とすることで、クライアントコンピュータで業務に使用するファイル名、ディレクトリ名を所定のルールに則って設定する運用とするのみで、効果の高い監視処理を実現することができる。例えば、ファイル名等に、顧客の名称や顧客の識別番号を付与したり、持ち出し不可のデータに対して「社内秘」といった名称を設定して、管理ができる。
【００１８】
本発明の好ましい形態では、前記監視処理装置が、監視対象組織ごとの検出ログデータの格納先情報を用いて格納先を巡回処理し、前記履歴データを取得するステップと、
監視対象組織ごとの前記対応関係を定義するための情報の格納先情報を用いて格納先を巡回処理し、前記対応関係を判断するための情報を収集するステップと、を備え、
前記巡回処理によって取得した前記履歴データ及び対応関係を用いて、判断処理を行うことを特徴とする。
特定のユーザしか業務上操作し得ない顧客情報について、他のユーザによるコピー操作を検出する場合、特定のユーザによるコピー操作をホワイトリストによって許可したり、他のユーザをブラックリストで排除したりするが、担当者が変更になった際や、新たな関係者が発生した場合に、それらの定義を都度見直すことは煩雑であり、そのような事態が頻発する業態の組織では、監視自体が現実的ではない。このような構成とすることで、顧客データの管理やファイル権限の管理、ユーザの権限の管理等を、既存のクラウドサービス等を用いて実施できると共に、そこで設定した情報を監視処理に利用することができ、効率的な監視処理が実現できる。
【００１９】
本発明の好ましい形態では、前記監視処理装置が、前記判断処理結果に基づいて、通知先への通知処理を行うステップを備え、
前記判断処理は、前記監視処理システムにおいて検出対象として判断された検出ログデータのうち、前記判断データに基いて、所定の条件に該当する履歴について通知判断を行うことを特徴とする。
このような構成とすることで、通知処理を実行することができる。
【００２０】
本発明の好ましい形態では、前記判断データは、前記ユーザ及びその権限についての対応並びに前記履歴データに含まれるタイムスタンプに基づいて判断処理を行う為の判断条件を含むことを特徴とする。
このような構成とすることで、ユーザの権限並びに履歴データに含まれるタイムスタンプを用いた判断処理が可能となる。
【００２１】
本発明の好ましい形態では、前記操作履歴データは、前記操作内容として、操作が行われたドライブの種別及び動作を有し、
前記判断処理は、前記ファイル又はディレクトリのパスに基づいて、複数の顧客に関するデータが外部記憶装置に移動、複製または生成された場合に、通知判断を行うことを特徴とする。
このような構成とすることで、特に、会計事務所等では通常行われない、複数顧客に関するデータの外部記憶装置への操作に対して、監視処理が可能となる。
【００２２】
本発明の好ましい形態では、前記監視処理装置が、前記検出ログデータに基づいて、クライアントコンピュータによってアクセスされたウェブサイトのＵＲＬ並びに、アクセスしたユーザに関する情報を有する履歴データを、アクセス履歴データとして取得するステップを備え、
前記判断処理は、前記ユーザ及びウェブサイトへのアクセス権限についての対応関係並びに前記アクセス履歴データに含まれるＵＲＬを用いた判断を含むことを特徴とする。
このような構成とすることで、アクセス履歴に基づく判断処理が可能となる。
【００２３】
本発明の好ましい形態では、前記監視処理装置が、前記検出ログデータに基づいて、クライアントコンピュータでの入力内容並びに、入力が行われたアプリケーションに関する情報を有する履歴データを、入力履歴データとして取得するステップを備え、
前記判断処理は、前記顧客及びユーザの対応関係及び前記入力履歴データに含まれる入力内容を用いた判断を含むことを特徴とする。
このような構成とすることで、担当でないユーザによる顧客データの持ち出しなど、クライアントコンピュータにおいて、所定のアプリケーションに対して行われた入力内容に基づいて、判断処理を行うことができる。
【発明の効果】
【００２４】
本発明によれば、監視システムより得た既知のログデータを活用し、利用者の業態に応じて効率的に監視処理を実現するための履歴監視方法を提供することができる。
【図面の簡単な説明】
【００２５】
【図１】本発明の実施形態に係る履歴監視システム構成を示す図である。
【図２】本発明の実施形態に係る端末装置のハードウェア構成図である。
【図３】本発明の実施形態に係る監視処理装置のハードウェア構成図である。
【図４】本発明の実施形態に係る監視システムおよび監視処理装置における判断処理の概念図である。
【図５】本発明の実施形態に係る対応関係を示す情報の一例である。
【図６】本発明の実施形態に係る対応関係を示す情報の収集処理に関する処理フローチャートである。
【図７】本発明の実施形態に係る履歴データの一例である。
【図８】本発明の実施形態に係る判断データの一例である。
【図９】本発明の実施形態に係る検出ログデータを用いて、クライアントコンピュータの監視処理を行う際の処理フローチャートである。
【発明を実施するための形態】
【００２６】
以下、図面を用いて、本発明の実施形態に関する履歴監視システムについて説明する。なお、以下に示す実施形態は本発明の一例であり、本発明を以下の実施形態に限定するものではなく、様々な構成を採用することもできる。
【００２７】
本実施形態では、例えば、会計事務所において、従業員（ユーザ）が利用するクライアントコンピュータを監視対象とし、監視処理装置を利用して履歴の監視を行う場合について説明する。本発明は、種々の事業形態の組織が利用可能なものであり、利用する組織には特に制限はない。
【００２８】
本実施形態では監視処理装置を含む履歴監視システムの構成、動作等について説明するが、同様の構成の方法、コンピュータプログラム、記録媒体等も、同様の作用効果を奏することができる。また、プログラムは、記録媒体に記憶させてもよい。この記録媒体を用いれば、例えばコンピュータに前記プログラムをインストールすることができる。ここで、前記プログラムを記憶した記録媒体は、例えばＣＤ−ＲＯＭ等の非一過性の記録媒体であっても良い。
【００２９】
一実施の形態におけるシステム構成を示す図１を参照すると、履歴監視システムは履歴監視システム１として具体化されている。
【００３０】
この履歴監視システム１は、監視処理装置２、複数の端末装置３、通信ネットワーク４、監視システム５、クラウドストレージシステム６及び顧客情報管理システム７を備える。監視処理装置２は、複数の端末装置３（３Ａ，３Ｂ）、監視システム５、クラウドストレージシステム６及び顧客情報管理システム７と通信ネットワーク４を介して連携する。
【００３１】
通信ネットワーク４は、インターネットなどのＩＰ（Internet Protocol）網などとから構成される。なお、以下の説明では、不明確にならない限り通信ネットワーク４の介在を省略する。
【００３２】
複数の端末装置３は、ユーザ端末装置３Ａ及び監視者端末装置３Ｂを含む。ユーザ端末装置３Ａ及び監視者端末装置３Ｂは、データ通信機能を有する構成であれば、コンピュータ端末（パーソナルコンピュータ、タブレット端末及びスマートフォン端末を含む）の少なくとも１つを含む単独構成または複合構成をそれぞれ採り得る。
【００３３】
ユーザ端末装置３Ａ及び監視者端末装置３Ｂは、通信ネットワーク４を介してデータ通信を行うためのＩＰアドレスを割り当てられている。ユーザ端末装置３Ａは、少なくとも、後述する監視システム５、クラウドストレージシステム６及び顧客情報管理システム７とデータ通信を行う。また、監視者端末装置３Ｂは、少なくとも、監視処理装置２とデータ通信を行う。
【００３４】
更に詳述すると、履歴監視システム１における複数の端末装置３（３Ａ，３Ｂ）は、図２に例示するように、ハードウェア及び機能の構成要素を含んでいる。つまり、各端末装置３は、ハードウェア構成要素として、演算装置（ＣＰＵ（Central Processing Unit））１１と、作業用メモリとしての主記憶装置（ＲＡＭ（Random Access Memory））１２とを備える。
【００３５】
各端末装置３は、ＯＳ（Operating System）、アプリケーションプログラム、及び各種情報（データを含む）を書換え可能に格納するＨＤＤやＳＳＤ、フラッシュメモリ等の補助記憶装置１３と、通信制御部１４と、ＮＩＣ（Network Interface Card）などの通信インタフェース（ＩＦ）部１５と、表示制御部１６と、表示部１７と、情報入力・指定部１８などとを、更に備える。
【００３６】
各端末装置３において、後に詳述する機能を論理的に実現するには、補助記憶装置１３にウェブブラウザ、電子メールソフトウェア、及び端末制御プログラムなどをアプリケーションプログラムとしてインストールしておく。そして、各端末装置３においては、電源投入または利用者（ユーザ）による指示を契機に、演算装置（ＣＰＵ）１１がアプリケーションプログラムを主記憶装置（ＲＡＭ）１２に展開して実行する。
【００３７】
また、ユーザ端末装置３Ａについては、監視システム５において、クライアントコンピュータの監視を実施するための監視ソフトウェアと、クラウドストレージシステム６及び顧客情報管理システム７以外に、作業ファイルや顧客情報（例えば、顧客の売り上げや、顧客の財務管理）を管理するための業務利用ソフトウェアが、アプリケーションプログラムとしてインストールされているものとする。
【００３８】
監視処理装置２は、データ通信機能を有し、図３に例示するように、ハードウェア及び機能の構成要素を含んでいる。すなわち、監視処理装置２は、ハードウェア構成要素として、演算装置（ＣＰＵ（Central Processing Unit））２１と、作業用メモリとしての主記憶装置（ＲＡＭ（Random Access Memory））２２とを備える。
【００３９】
監視処理装置２は、ＯＳ（Operating System）、アプリケーションプログラム、及び各種情報（データを含む）を書換え可能に格納するＨＤＤやＳＳＤ、フラッシュメモリ等の補助記憶装置２３と、通信制御部２４と、ＮＩＣ（Network Interface Card）などの通信インタフェース（ＩＦ）部２５などとを、更に備える。
【００４０】
監視処理装置２は、後に詳述する機能構成要素として、巡回処理手段２０１、取得処理手段２０２、格納処理手段２０３、判断処理手段２０４、通知処理手段２０５及びデータベースＤＢを備える。
【００４１】
監視処理装置２において上述した機能構成要素（２０１−２０５）を論理的に実現するには、補助記憶装置２３に監視処理プログラムをアプリケーションプログラムとしてインストールしておく。そして、監視処理装置２においては、電源投入を契機に、演算装置（ＣＰＵ）２１がこの処理プログラムを主記憶装置（ＲＡＭ）２２に展開して実行する。
【００４２】
次に、図１及び関連図（図４〜図９）を参照して、履歴監視システム１における処理ついて更に詳述する。
【００４３】
本実施形態では、第３者によって、ウェブサービスの態様にて提供される監視システム５、クラウドストレージシステム６及び顧客情報管理システム７を利用して、履歴監視システム１を実現する。
【００４４】
監視システム５は、データベース５０と、監視装置５１と、を備える。ユーザ端末装置３Ａは、監視対象となるユーザ（従業員）が利用する端末装置３であり、ユーザ端末装置３Ａにインストールされた既存の監視ソフトウェアおよび既存の監視システム５によって、そのログデータが収集される。
【００４５】
ユーザ端末装置３Ａにインストールされた監視ソフトウェアは、事前設定された条件基づいて、ユーザ端末装置３Ａでの操作を監視する。事前設定された条件とは、不可条件、検出条件、ホワイトリスト及びブラックリストを含み、これらに基づいて監視システム５による監視処理が行われる。
【００４６】
従来の監視ソフトウェア（監視システム５）では、事前設定された不可条件、ホワイトリスト及びブラックリストに基づいて、ユーザ端末装置３Ａの監視処理を行う。図４（ａ）は、監視システム５でのログデータに対する判断処理の概念図である。監視システム５は、ユーザ（クライアントコンピュータ）に禁止された操作（不可条件又はブラックリストに該当する場合）と、許可された操作（ホワイトリスト、通知条件に該当する場合、禁止された操作を除くそれ以外の操作）とを判断する。
【００４７】
ここで、不可条件とは、例えば、ｅｘｅファイル等の実行であったり、特定のＵＲＬやドメインに対するアクセスの制限などである。監視処理の結果、不可条件に該当すると判断された操作については、ユーザ端末装置３Ａにおける操作が抑止される。
【００４８】
不可条件は、実施されることで業務上重大な支障をきたす恐れのある操作であって、全て又は大多数のクライアントコンピュータにおいて抑止されるべき操作が設定され得る。例えば、業務運用上、ごく一部のユーザのみが行う操作については、不可条件を設定しつつ、ホワイトリストでごく一部のユーザのみ例外的に操作を許可するような条件設定が行われる。
【００４９】
なお、本実施形態では、不可条件、ブラックリスト及びホワイトリストの判断条件は、ユーザ端末装置３Ａにインストールされた監視ソフトウェアに保存されており、監視装置５１によってその定義ファイルが更新される。
【００５０】
検出条件とは、クライアントコンピュータにおいて操作自体が抑止されるわけではないが、監視者に対して通知を行い、確認が必要となるような操作（検出対象）が設定され得る。検出条件に該当するログデータが監視装置５１によって発見された場合、通常、監視装置５１は、監視者端末装置３Ｂに通知処理を行うが、後述の監視処理装置２による通知処理と重複するため、通知処理をオフにする等して、監視者端末装置３Ｂへの監視装置５１で通知条件に該当する場合の通知を、抑止する設定とすることが好ましい。
【００５１】
ログデータが、検出対象に該当する場合（許可された操作）、監視処理装置２において後述する判断処理を経て、監視者に対して通知を行うべきか否かの判断を行う。なお、検出条件の判断処理についても、監視ソフトウェア側で実行されてよい。
【００５２】
監視装置５１は、ログデータを受け取り、収集したログデータが検出対象に該当する場合、検出ログデータとして格納する。検出ログデータは、データベース５０に格納され、監視処理装置２での判断処理に利用される。ここで、不可条件の判断を行った動作に係るログデータについても、格納する構成であっても構わない。
【００５３】
ログデータ及び検出ログデータは、クライアントコンピュータにおけるユーザの操作履歴に関するログデータ（以下、操作ログデータと呼称する）と、クライアントコンピュータによるネットワークを介したアクセス履歴に関するログデータ（以下、アクセスログデータと呼称する）と、クライアントコンピュータによるキーワードの入力履歴に関するログデータ（以下、入力ログデータと呼称する）と、を含む。
【００５４】
一方、本願における監視処理装置２は、監視システム５において検出条件として判断されたログデータに対して、判断データにより設定される通知条件、ホワイトリスト及びブラックリストを用いて、より細かな条件での判断処理を行い、ユーザ端末装置３Ａの監視処理を行う。なお、ここでのホワイトリスト及びブラックリストは、監視システム５におけるホワイトリスト及びブラックリストとは別のリストである。
【００５５】
図４（ｂ）は、監視処理装置２での履歴データに対する判断処理の概念図である。監視処理装置２は、監視システム５において検出対象として判断されたログデータに対して、監視者端末装置３Ｂに対する通知処理がされるログ（通知条件又はブラックリストに該当する場合）と、通知処理がされないログ（ホワイトリスト、通知条件に該当する場合、ブラックリストに該当するログを除くそれ以外の操作）とを判断する。
【００５６】
クラウドストレージシステム６は、データベース６０と、ストレージ管理装置６１と、を備える。データベース６０は、監視対象組織が業務で使用する作業ファイル、ユーザデータ及び操作権限データを格納している。
【００５７】
図５（ａ）は、ユーザデータの一例を示す図である。ユーザデータは、ユーザ個人を特定するための従業員ＩＤ及び氏名と、当該ユーザが利用するコンピュータを特定するためのコンピュータ名及びコンピュータにログオンする為のユーザ名とを、ユーザ及び当該ユーザが利用するコンピュータの対応関係を示すユーザ情報として含む。また、ユーザの役職を、役職に基づくユーザと権限の対応関係を示す権限情報（役職権限情報）として含む。
【００５８】
図５（ｂ）は、操作権限データの一例を示す図である。操作権限データは、データベース６０に格納された作業ファイルを特定するためのファイルＩＤと、当該作業ファイルに対して操作権限を有するユーザを特定するための従業員ＩＤとを、ユーザ及び当該ユーザが操作権限を有するファイル又はディレクトリの対応関係を示す権限情報（操作権限情報）として含む。
【００５９】
顧客情報管理システム７は、データベース７０と、顧客情報管理装置７１と、を備える。データベース７０は、顧客データを格納している。
【００６０】
図５（ｃ）は、顧客データの一例を示す図である。顧客データは、顧客を特定するための顧客ＩＤ及び顧客名と、当該顧客の担当として設定されたユーザを特定するための従業員ＩＤとを、ユーザ及び当該ユーザが担当する顧客の対応関係を示す顧客情報として含む。
【００６１】
巡回処理手段２０１は、格納先情報を用いて、監視システム５、クラウドストレージシステム６及び顧客情報管理システム７を巡回し、データを取得する。格納先情報は、１又は複数の監視対象組織ごとにデータの格納先を有し、巡回処理手段２０１は、格納先にアクセスして必要なデータを取得する。例えば、監視システム５、クラウドストレージシステム６及び顧客情報管理システム７等で提供されるＡＰＩ（Application Programming Interface）を利用して、データを取得する。
【００６２】
まず、巡回処理手段２０１は、格納先情報を用いて対応関係に関する情報を収集する。本実施形態では、巡回処理手段２０１は、クラウドストレージシステム６にアクセスし、監視対象組織について、ユーザ及び当該ユーザが利用するコンピュータの対応関係を示すユーザ情報、役職に基づくユーザと権限の対応関係を示す役職権限情報並びに、ユーザ及び当該ユーザが操作権限を有するファイル又はディレクトリの対応関係を示す操作権限情報を取得する。取得処理手段２０２は、取得した対応関係を示す情報をデータベースＤＢに格納する。
【００６３】
更に、巡回処理手段２０１は、格納先情報を用いて顧客情報管理システム７にアクセスし、監視対象組織について、ユーザ及び当該ユーザが担当する顧客の対応関係を示す顧客情報を取得する。取得処理手段２０２は、取得した対応関係を示す情報について、データベースＤＢに格納する。
【００６４】
図６は、対応関係を示す情報の収集処理に関する処理フローチャートである。対応関係の収集処理は、定期的に実行される。対応関係の収集処理を実施する場合（ステップＳ１１でＹＥＳ）、対応関係に関する情報の格納先情報に基づいて、各監視対象組織の対応関係に関する情報を、順次取得する。なお、本実施形態では、複数の対応関係に関する情報（ユーザ情報、役職権限情報、操作権限情報及び顧客情報）をまとめて一連の処理にて収集する場合について例示するが、情報や、情報の格納先ごとに個別の収集タイミングを設定し、個別処理にて収集する構成としてもよい。
【００６５】
格納先情報に設定された所定の順序に則って、監視対象組織０〜Ｎの対応関係を収集する。ステップＳ１２では、まず、巡回処理手段２０１が、監視対象組織０の対応関係に関する情報についての格納先情報を参照し、監視対象組織０の対応関係に関する情報を取得する（ステップＳ１３）。ステップＳ１４では、取得処理手段２０２が、取得した情報をデータベースＤＢに格納する。
【００６６】
情報を収集していない監視対象組織が存在する場合（ステップＳ１５でＮＯ）には、次の順番の監視対象組織ｉ＋１について、ステップＳ１３〜Ｓ１４の手順を実行し、情報の収集処理を実行する（ステップＳ１６）。すべての監視対象組織０〜Ｎについて、対応関係に関する情報を格納できた場合（ステップＳ１５でＹＥＳ）、処理を終了する。
【００６７】
なお、対応関係に関する情報の収集処理は、後述する履歴データの収集処理、判断処理と併せて実行されてもよい。その場合、履歴データの判断処理に先駆けて、対応関係に関する情報の収集処理が実施され、新たに収集された対応関係（更新された対応関係）に則って、履歴データに対する判断処理が実施される。
【００６８】
巡回処理手段２０１は、格納先情報を用いて監視システム５にアクセスし、監視対象組織について、検出ログデータについての収集処理を実行する。取得処理手段２０２は、検出ログデータを履歴データとして取得し、データベースＤＢに格納する。
【００６９】
図７は、履歴データの一例を示す図である。図７（ａ）は、操作履歴データの一例である。操作履歴データは、ユーザを示すコンピュータ名及びユーザ名と、操作の時間を示す日時と、操作を示すアクション（操作方法）及びドライブタイプ（操作場所）と、ファイル又はディレクトリのパスを示すソースファイル（操作対象）と、を有している。
【００７０】
図７（ｂ）は、アクセス履歴データの一例である。アクセス履歴データは、ユーザを示すコンピュータ名及びユーザ名と、操作の時間を示す日時と、操作を示すＵＲＬ（アクセス先）と、を有している。
【００７１】
図７（ｃ）は、入力履歴データの一例である。入力履歴データは、ユーザを示すコンピュータ名及びユーザ名と、操作の時間を示す日時と、操作を示すアクション（入力方法）、キーワード（入力内容）及びタイトル（入力先）と、を有している。
【００７２】
格納処理手段２０３は、監視者端末装置３Ｂより、取得した履歴データを用いて通知対象か否かの判断処理を行う為の判断データを受け取り、データベースＤＢに格納する。
【００７３】
図８は、判断データの一例を示す図である。本実施形態における判断データは、所定の条件が記載された文章ファイルであり、ファイルに関する条件、ユーザに関する条件、操作に関する条件、時間に関する条件、の１又は複数の組み合わせによって、条件が設定されている。
【００７４】
例えば、判断条件は、ユーザ及びその権限についての対応並びに履歴データに含まれるタイムスタンプに基づいて判断処理を行う条件を含んでよい。図示例では、権限を持っていないユーザによる営業時間外でのクライアントコンピュータの操作を検知する場合（図示例における「営業時間外使用」）、ユーザの役職が管理職など一定の条件に該当しておらず、かつ履歴データ（操作履歴データ、アクセス履歴データ及び入力履歴データの何れか）の受付時間が、所定の時間に受付られたものである場合に、通知条件に該当すると判断する。
【００７５】
操作履歴データについて、特定のキーワードがファイル名、ディレクトリ名またはパス中に含まれるか否か及び、操作を行ったユーザの権限を用いた判断が実施されてよい。図示例における「非顧客担当者によるデータ操作」は、顧客名がファイル名、ディレクトリ名またはパス中（ソースファイル）に含まれ、当該顧客の担当でないユーザ（コンピュータ名、ユーザ名）が、ファイルに対する一定の操作（アクション、ドライブタイプ）を行った場合に、通知条件に該当すると判断することができる。
【００７６】
また、判断データには、ホワイトリスト又はブラックリストを用いた通知判断が実施されてよい。許可されていないウェブサイトへのアクセス検知（図示例における「許可されていないサイトアクセス」）に関して、アクセス履歴データのＵＲＬと、ユーザ（コンピュータ名、ユーザ名）とが、ホワイトリストに許可されていない場合に、通知条件に該当すると判断することができる。
【００７７】
また、顧客担当者でない者による顧客データへのアクセス検知（図示例における「非顧客担当者によるデータアクセス」）については、入力履歴データにおけるアクション、キーワード及びタイトルに基づいて、所定のアプリケーション（タイトル）に対して、顧客ＩＤ（キーワード）を入力する操作（アクション）を、顧客担当者でないユーザ（コンピュータ名、ユーザ名）が行った場合に、条件に該当すると判断する。
【００７８】
判断処理手段２０４は、判断データ、対応関係及び履歴データを用いて、判断処理を行う。本実施形態では、対応関係は、データベースＤＢに格納したユーザ情報、役職権限情報、操作権限情報及び顧客情報によって設定され、履歴データは、データベースＤＢに格納した操作履歴データ、アクセス履歴データ及び入力履歴データが対象となる。
【００７９】
また、既述の条件データにて記載したように、判断データ、対応関係及び履歴データに加えて、又はこれらの一部に代えて、ホワイトリスト及び／又はブラックリストを用いて行う判断処理を含んでもよい。更に、判断データ及び履歴データのみを用いて行う判断処理が含まれてもよい。例えば、全従業員に対して、営業時間外のクライアントコンピュータの操作を禁止する場合には、禁止された時間を定義した判断データ及び履歴データに含まれるタイムスタンプ（本実施形態における履歴データの日時）に基づいて判断処理を行う。
【００８０】
また、判断処理手段２０４によって通知対象として判断された履歴データについて、データベースＤＢに格納し、保管する構成としてもよい。
【００８１】
通知処理手段２０５は、判断処理結果に基づいて、通知先への通知処理を行う。判断処理の結果、条件に該当する履歴データが検出された場合には、通知処理手段２０５を用いて、事前に設定された通知先（監視者端末装置３Ｂ）に対して、通知を行う。通知は、通知先ととして設定された電子メールアドレスや電話番号等に、電子メールやＳＭＳへの送信、監視者端末装置３Ｂにインストールされたアプリケーションへの通知送信等、種々の方法にて行ってよい。
【００８２】
図９は、検出ログデータを用いて、クライアントコンピュータの監視処理を行う際の処理フローチャートである。履歴データの収集処理は、定期的に実行される。履歴データの収集処理を実施する場合（ステップＳ２１でＹＥＳ）、履歴データの格納先情報に基づいて、各監視対象組織の履歴データを順次取得する。
【００８３】
格納先情報に設定された所定の順序に則って、監視対象組織０〜Ｎの履歴データを収集する。ステップＳ２２では、まず、巡回処理手段２０１が、監視対象組織０の履歴データについての格納先情報を参照し、監視対象組織０の検出ログデータを参照する（ステップＳ２３）。ステップＳ２４では、取得処理手段２０２が、履歴データを取得し、データベースＤＢに格納する。
【００８４】
ステップＳ２５では、取得した複数の履歴データｉｊ（ｊ＝０、１、・・・、Ｍ）のうち、まず、履歴データｉ０を参照し、判断処理手段２０４が判断処理を実行する（ステップＳ２６）。判断処理は、判断データ及び履歴データと、必要に応じて、１又は複数の対応関係と、ホワイトリスト又はブラックリストと、を用いて実行される。判断処理した履歴データｉｊが通知対象に該当する場合（ステップＳ２７でＹＥＳ）、通知処理手段２０５は、通知処理を行う（ステップＳ２８）。
【００８５】
当該監視対象組織の履歴データのうち、判断処理が終了していない履歴データが存在する場合（ステップＳ２９でＮＯ）には、次の履歴データｉ（ｊ＋１）について、ステップＳ２６〜Ｓ２８の手順を実行し、判断処理を実行する（ステップＳ３０）。
【００８６】
当該監視対象組織の履歴データのうち、全ての履歴データに対して判断処理が完了した場合（ステップＳ２９でＹＥＳ）、履歴データを収集していない監視対象組織が存在する場合（ステップＳ３１でＮＯ）には、次の順番の監視対象組織ｉ＋１について、ステップＳ２３〜Ｓ３０の手順を実行し（ステップＳ３２）、各監視対象組織の履歴データに対する判断処理を実行する。すべての監視対象組織０〜Ｎについて、履歴データに対する判断処理が完了した場合（ステップＳ３２でＹＥＳ）、処理を終了する。
【００８７】
なお、既述の判断処理では、履歴データごとに判断処理を実行しているが、例えば、複数の履歴データを用いて、判断処理を実行してもよい。例えば、操作履歴データの有するファイル又はディレクトリのパス（ソースファイル）、操作場所（ドライブタイプ）に基づいて、複数の顧客に関するデータが外部記憶装置に移動、複製または生成された場合に、通知判断を行う構成としてよい。また、既述の判断条件以外に、ファイル、ユーザ、操作、時間を用いた判断条件を任意に設定し、実施してかまわない。更に、これら以外の項目を利用した判断条件についても、別途設定し、判断処理を実施してよい。
【符号の説明】
【００８８】
１  履歴監視システム
１１  演算装置（ＣＰＵ）
１２  主記憶装置（ＲＡＭ）
１３  補助記憶装置
１４  通信制御部
１５  通信インタフェース（ＩＦ）部
１６  表示制御部
１７  表示部
１８  情報入力・指定部
２  監視処理装置
２１  演算装置（ＣＰＵ）
２２  主記憶装置（ＲＡＭ）
２３  補助記憶装置
２４  通信制御部
２５  通信インタフェース（ＩＦ）部
２０１  巡回処理手段
２０２  取得処理手段
２０３  格納処理手段
２０４  判断処理手段
２０５  通知処理手段
ＤＢ  データベース
３  端末装置
３Ａ  ユーザ端末装置
３Ｂ  監視者端末装置
４  通信ネットワーク
５  監視システム
５０  データベース
５１  監視装置
６  クラウドストレージシステム
６０  データベース
６１  ストレージ管理装置
７  顧客情報管理システム
７０  データベース
７１  顧客情報管理装置
【図１】
2020095459.tif 000003
【図２】
2020095459.tif 000004
【図３】
2020095459.tif 000005
【図４】
2020095459.tif 000006
【図５】
2020095459.tif 000007
【図６】
2020095459.tif 000008
【図７】
2020095459.tif 000009
【図８】
2020095459.tif 000010
【図９】
2020095459.tif 000011
【手続補正書】
【提出日】令和1年9月2日(2019.9.2)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
クライアントコンピュータを監視し、前記クライアントコンピュータにおいて実行が許可された操作及び、前記クライアントコンピュータにおいて実行が禁止された操作を少なくとも判断する監視システムにおいて、前記実行が許可された操作に関して取得された既知のログデータを、判断処理することで前記クライアントコンピュータの監視処理を行う為の履歴監視方法であって、
監視処理装置が、ネットワークを介して前記監視システムより、操作を行うユーザに関する情報並びに、操作されたファイル又はディレクトリのパス、操作内容、を有する履歴データを、操作履歴データとして取得するステップと、
取得した前記履歴データが通知対象か否かの判断処理を行う為の条件が記載された判断データを格納するステップと、
前記操作履歴データに含まれた１又は複数の情報、前記判断データ並びに、対応関係を示す情報に基づいて、前記操作履歴データの判断処理を行うステップと、を備え、
前記対応関係を示す情報は、ユーザ及び当該ユーザが利用するコンピュータの対応関係、ファイル又はディレクトリの操作権限及びユーザとの対応関係並びに、ネットワークを介して顧客情報管理システムより取得した顧客及びユーザの対応関係のそれぞれを１又は複数を含み、
前記判断処理は、前記操作履歴データに含まれた前記ユーザに関する情報、操作されたファイル又はディレクトリのパス並びに、操作内容のうちの１又は複数の組み合わせに対して、前記対応関係及び前記条件を用いて特定される条件を用いて通知対象を判断する処理であることを特徴とする履歴監視方法。
【請求項２】
前記判断処理は、前記操作履歴データについて、特定のキーワードがファイル名、ディレクトリ名またはパス中に含まれるか否か及び、操作を行ったユーザの権限を用いた判断を含むことを特徴とする請求項１に記載の履歴監視方法。
【請求項３】
前記監視処理装置が、監視対象組織ごとのログデータの格納先情報を用いて格納先を巡回処理し、前記履歴データを取得するステップと、
監視対象組織ごとの前記対応関係を定義するための情報の格納先情報を用いて格納先を巡回処理し、前記対応関係を示す情報を収集するステップと、を備え、
前記巡回処理によって取得した前記履歴データ及び対応関係を用いて、監視対象組織毎の判断処理を行うことを特徴とする請求項１又は請求項２に記載の履歴監視方法。
【請求項４】
前記監視処理装置が、前記判断処理結果に基づいて、通知先への通知処理を行うステップを備え、
前記判断処理は、前記監視システムにおいて検出対象として判断されたログデータのうち、前記判断データに基いて、所定の条件に該当する履歴について通知判断を行うことを特徴とする請求項１〜３の何れかに記載の履歴監視方法。
【請求項５】
前記判断データは、前記ユーザ及びその権限についての対応並びに前記履歴データに含まれるタイムスタンプに基づいて判断処理を行う為の判断条件を含むことを特徴とする請求項１〜４の何れかに記載の履歴監視方法。
【請求項６】
前記操作履歴データは、前記操作内容として、操作が行われたドライブの種別及び動作を有し、
前記判断処理は、前記ファイル又はディレクトリのパスに基づいて、複数の顧客に関するデータが外部記憶装置に移動、複製または生成された場合に、通知判断を行うことを特徴とする請求項１〜５の何れかに記載の履歴監視方法。
【請求項７】
前記監視処理装置が、前記ログデータに基づいて、クライアントコンピュータによってアクセスされたウェブサイトのＵＲＬ並びに、アクセスしたユーザに関する情報を有する履歴データを、アクセス履歴データとして取得するステップを備え、
前記判断処理は、前記ユーザ及びウェブサイトへのアクセス権限についての対応関係並びに前記アクセス履歴データに含まれるＵＲＬを用いた判断を含むことを特徴とする請求項１〜６の何れかに記載の履歴監視方法。
【請求項８】
前記監視処理装置が、前記ログデータに基づいて、クライアントコンピュータでの入力内容並びに、入力が行われたアプリケーションに関する情報を有する履歴データを、入力履歴データとして取得するステップを備え、
前記判断処理は、前記顧客及びユーザの対応関係及び前記入力履歴データに含まれる入力内容を用いた判断を含むことを特徴とする請求項１〜７の何れかに記載の履歴監視方法。
【請求項９】
クライアントコンピュータを監視し、前記クライアントコンピュータにおいて実行が許可された操作及び、前記クライアントコンピュータにおいて実行が禁止された操作を少なくとも判断する監視システムにおいて、前記実行が許可された操作に関して取得された既知のログデータを、判断処理することで前記クライアントコンピュータの監視処理を行う為の監視処理装置であって、
ネットワークを介して前記監視システムより、操作を行うユーザに関する情報並びに、操作されたファイル又はディレクトリのパス、操作内容、を有する履歴データを、操作履歴データとして取得する手段と、
取得した前記履歴データが通知対象か否かの判断処理を行う為の条件が記載された判断データを格納する手段と、
前記操作履歴データに含まれた１又は複数の情報、前記判断データ並びに、対応関係を示す情報に基づいて、前記操作履歴データの判断処理を行う手段と、を備え、
前記対応関係を示す情報は、ユーザ及び当該ユーザが利用するコンピュータの対応関係、ファイル又はディレクトリの操作権限及びユーザとの対応関係並びに、ネットワークを介して顧客情報管理システムより取得した顧客及びユーザの対応関係のそれぞれを１又は複数を含み、
前記判断処理は、前記操作履歴データに含まれた前記ユーザに関する情報、操作されたファイル又はディレクトリのパス並びに、操作内容のうちの１又は複数の組み合わせに対して、前記対応関係及び前記条件を用いて特定される条件を用いて通知対象を判断する処理であることを特徴とする監視処理装置。
【請求項１０】
クライアントコンピュータを監視し、前記クライアントコンピュータにおいて実行が許可された操作及び、前記クライアントコンピュータにおいて実行が禁止された操作を少なくとも判断する監視システムにおいて、前記実行が許可された操作に関して取得された既知のログデータを、判断処理することで前記クライアントコンピュータの監視処理を行う為の監視処理プログラムであって、
コンピュータを、ネットワークを介して前記監視システムより、操作を行うユーザに関する情報並びに、操作されたファイル又はディレクトリのパス、操作内容、を有する履歴データを、操作履歴データとして取得する手段と、
取得した前記履歴データが通知対象か否かの判断処理を行う為の条件が記載された判断データを格納する手段と、
前記操作履歴データに含まれた１又は複数の情報、前記判断データ並びに、対応関係を示す情報に基づいて、前記操作履歴データの判断処理を行う手段と、として機能させ、
前記対応関係を示す情報は、ユーザ及び当該ユーザが利用するコンピュータの対応関係、ファイル又はディレクトリの操作権限及びユーザとの対応関係並びに、ネットワークを介して顧客情報管理システムより取得した顧客及びユーザの対応関係のそれぞれを１又は複数を含み、
前記判断処理は、前記操作履歴データに含まれた前記ユーザに関する情報、操作されたファイル又はディレクトリのパス並びに、操作内容のうちの１又は複数の組み合わせに対して、前記対応関係及び前記条件を用いて特定される条件を用いて通知対象を判断する処理であることを特徴とする監視処理プログラム。