(57)【特許請求の範囲】
【請求項１】
コンピュータシステムに対する操作の内容を示すログ情報をチェックするログチェック装置であって，
作業種別毎に，該作業種別の作業において実行される１以上の操作内容それぞれと重み値とを対応付ける重み値情報を記憶する第１記憶部と，
前記コンピュータシステムに対して実行された，作業の作業種別と，該作業における１以上の操作それぞれの操作内容を示すログ情報を記憶する第２記憶部と，
前記第２記憶部に記憶された前記ログ情報および前記第１記憶部に記憶された前記重み値情報にもとづいて，前記作業種別毎に，該作業種別の作業において実行された１以上の各操作それぞれについて計算された重み値を記憶する第３記憶部と，
実行予定の作業の申請内容を示す作業申請情報を取得する申請受理部と，
前記実行予定の作業が実行された際の作業のログ情報に含まれる１以上の操作内容について計算された重み値が，前記第３記憶部に記憶された，前記作業申請情報に基づき特定される作業の作業種別に対応する操作内容の重み値に基づき決定される所定の許容範囲内に含まれるか否かを判定し，前記実行予定の作業が実行された際の作業のログ情報に含まれる１以上の操作内容について計算された重み値が前記許容範囲内に含まれていないと判定した場合にアラート情報を出力する処理部と，を備える
ことを特徴とするログチェック装置。
【請求項２】
前記操作内容が，操作の要素となる項目を含み，
前記第１記憶部と前記第３記憶部のそれぞれは，前記操作内容の項目それぞれについて前記重み情報を記憶し，
前記処理部は，前記重み値が前記許容範囲内に含まれていないと判定した項目数に応じて異なるアラート情報を出力する
ことを特徴とする請求項１記載のログチェック装置。
【請求項３】
前記第３記憶部は，前記作業種別毎に，該作業種別の作業において実行された１以上の操作内容について計算された前記重み値の平均値および標準偏差を記憶する，
ことを特徴とする請求項１記載のログチェック装置。
【請求項４】
前記処理部によって前記アラート情報が発行されなかった前記作業申請にかかる作業のログ情報に含まれる１以上の操作内容または操作内容の項目それぞれについて計算された前記重み値を用いて，前記作業申請情報にかかる作業の作業種別について前記第３記憶部に記憶された前記重み値の平均値および標準偏差を更新する更新部を備える，
ことを特徴とする請求項３に記載のログチェック装置。
【請求項５】
前記処理部は，前記許容範囲内に含まれていないと判定した前記重み値の偏差の数に応じたアラートレベルを決定し，前記アラートレベルを含む前記アラート情報を出力する，
ことを特徴とする請求項３または請求項４記載のログチェック装置。
【請求項６】
コンピュータシステムに対する操作の内容を示すログ情報をチェックするために，
第１記憶部，第２記憶部および第３記憶部を備えるコンピュータに，
前記第１記憶部に記憶された，作業種別毎に，該作業種別の作業において実行される１以上の操作内容それぞれと重み値とを対応付ける重み値情報を取得する処理と，
前記第２記憶部に記憶された，前記コンピュータシステムに対して実行された，作業の作業種別と，該作業における１以上の操作それぞれの操作内容を示すログ情報を取得する処理と，
前記第３記憶部に記憶された，前記第２記憶部から取得したログ情報および前記第１記憶部から取得した前記重み値情報にもとづいて，前記作業種別毎に，該作業種別の作業において実行された１以上の操作それぞれについて計算された重み値を取得する処理と，
実行予定の作業の申請内容を示す作業申請情報を取得する処理と，
前記実行予定の作業が実行された際の作業のログ情報に含まれる１以上の操作内容について計算された重み値が，前記第３記憶部から取得した，前記作業申請情報に基づき特定される作業の作業種別に対応する操作内容の重み値に基づき決定される所定の許容範囲内に含まれるか否かを判定し，前記実行予定の作業が実行された際の作業のログ情報に含まれる１以上の操作内容について計算された重み値が前記許容範囲内に含まれていないと判定した場合にアラート情報を出力する処理と，を実行させる
ことを特徴とするログチェックプログラム。
【請求項７】
コンピュータが，コンピュータシステムに対する操作の内容を示すログ情報をチェックする処理方法であって，
第１記憶部，第２記憶部および第３記憶部を備えるコンピュータが，
前記第１記憶部に記憶された，作業種別毎に，該作業種別の作業において実行される１以上の操作内容それぞれと重み値とを対応付ける重み値情報を取得し，
前記第２記憶部に記憶された，前記コンピュータシステムに対して実行された，作業の作業種別と，該作業における１以上の操作それぞれの操作内容を示すログ情報を取得し，
前記第３記憶部に記憶された，前記第２記憶部から取得したログ情報および前記第１記憶部から取得した前記重み値情報にもとづいて，前記作業種別毎に，該作業種別の作業において実行された１以上の操作それぞれについて計算された重み値を取得し，
実行予定の作業の申請内容を示す作業申請情報を取得し，
前記実行予定の作業が実行された際の作業のログ情報に含まれる１以上の操作内容について計算された重み値が，前記第３記憶部から取得した，前記作業申請情報に基づき特定される作業の作業種別に対応する操作内容の重み値に基づき決定される所定の許容範囲内に含まれるか否かを判定し，前記実行予定の作業が実行された際の作業のログ情報に含まれる１以上の操作内容について計算された重み値が前記許容範囲内に含まれていないと判定した場合にアラート情報を出力する処理とを実行する，
ことを特徴とするログチェック方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は，申請された作業のログ情報をもとに，作業中の特異な操作を検知する作業ログチェック処理技術に関する。
【背景技術】
【０００２】
近年，業務として実行されるデータ処理作業について，重要な情報に対する改ざん，漏洩等のリスク軽減のため，作業内容をモニタリングする仕組み，作業の正当性を保障する仕組み等が求められている。正当性の確認を要する作業として，例えば「金融商品取引法」における「内部統制報告書」に必要な監査等がある。
【０００３】
作業の正当性をチェックする従来手法として，コンピュータ単位またはユーザ単位で過去に実施された操作を「プロファイル」として記録しておき，新たに実施された操作と，そのユーザまたはコンピュータのプロファイルに記録された操作との乖離を計算して，実施された操作から，過去の操作において出現していない操作を検知するシステム等がある。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】国際公開公報  ＷＯ  ２００５／０４８１１９
【特許文献２】特開平５−９４２１２号公報
【特許文献３】特開２００１−１７５７２４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
従来手法では，「プロファイル」のようなログ情報から，作業中の「特異な行動」を検知する場合に，その操作記録をコンピュータ単位，ユーザ単位等の広い範囲を対象として扱っている。したがって，従来手法では，チェック対象となる作業の正当性を確認することができない場合がある。
【０００６】
例えば，申請されたチェック対象となる作業（以下，申請作業という）と同一作業のログを単に比較して，申請作業の正当性を確認する場合には，以下の問題が生じる。
【０００７】
例えば，申請作業での操作対象ファイルの情報を読み出す操作の合間に，不正にそのファイル内容の一部を変更する操作をしたケース，または，特定ファイルの情報の変更作業中に，不正に他のファイルの情報を変更する操作をしたケース等である。すなわち，正当な作業の間に不正な操作が実行され，その不正な操作自体は，別途正しい手続き（申請）によれば正当な作業として判断される操作に該当する場合には，正当な作業中に実行された不正な作業を検知することは困難である。
【０００８】
図１１は，チェック対象となる申請作業のログ情報例を示す図である。
【０００９】
図１１（Ａ）に示すログ情報は，「重要ファイルｆｉｌｅＡの内容を変更する」という作業Ｐ１のログ情報の一部を表す。
【００１０】
図１１（Ｂ）に示すログ情報は，「一般ファイルｆｉｌｅＢの内容を変更した上で，一般ファイルｆｉｌｅＤと内容の比較を行う」という申請された作業Ｐ２の中で，「重要ファイルｆｉｌｅＡの内容を変更する」操作をした作業のログ情報の一部を表す。
【００１１】
ここで，図１１（Ｂ）に示すログ情報がチェック対象であり，その時点で，図１１（Ａ）に示すログ情報は，既に正当性が確認されているものであるとする。
【００１２】
図１１（Ｂ）に示すログ情報において，０５行〜０７行の操作ステップ（open fileA; write fileA; close fileA）は，申請された作業での対象外のファイルｆｉｌｅＡに対する操作を示す。この０５行〜０７行の操作ステップは，「重要ファイルｆｉｌｅＡの内容を変更する」という作業に該当する操作であり，申請作業Ｐ２で許容される範囲外の操作である。したがって，申請作業Ｐ２を行った作業者は，「重要ファイルｆｉｌｅＡの内容を変更する」という作業を申請せずに，重要ファイルｆｉｌｅＡを改変している可能性がある。
【００１３】
しかし，同一コンピュータで同一作業者が過去に作業Ｐ１を正当に実行していた場合には，過去に正当性が確認された操作に相当する図１１（Ｂ）に示すログ情報の０５行〜０７行の操作を，問題のない操作と判断される可能性がある。そのため，申請作業Ｐ２の作業中に行われた不正の可能性がある操作（０５行〜０７行の操作）を正しく検知することができない。
【００１４】
さらに，本願発明者は，作業の正当性を保証するために，申請された作業で使用可能なコマンド，作業の対象となるデータ（ファイル名）を限定しておき，限定されたコマンドやファイル名以外のものが操作で使用されている部分をログ情報から抽出することによって，不正の可能性がある操作を検知する手法を検討した。
【００１５】
しかし，検討した手法の場合には，以下の問題がある。例えば図１１（Ｂ）に示すログ情報では，作業者は，「ファイルｆｉｌｅＢの内容を変更する」という申請作業Ｐ２の実施上の工夫として，「ファイルｆｉｌｅＢの内容を，ファイルｆｉｌｅＣに一時的にバックアップする」という操作をしている（０２行および０９行参照）。
【００１６】
しかし，「複写（ｃｏｐｙ）コマンド」，「削除（ｄｅｌｅｔｅ）コマンド」，「ファイルｆｉｌｅＣ」等が，この申請作業Ｐ２で使用可能なコマンド，ファイル等として特定されていない場合には，０２行，０９行は不正な操作として検知される。一方で，「複写（ｃｏｐｙ）コマンド」，「削除（ｄｅｌｅｔｅ）コマンド」等は不正操作で使用されやすいコマンドであり，このようなコマンドを使用可能なコマンドが特定されていると，本来検知されるべき不正な操作が検知できない可能性もある。
【００１７】
したがって，単純なコマンドやファイル名による判定では，正当な操作が誤認されたり，不正操作が検知漏れとなる可能性が高い。
【００１８】
本発明の目的は，申請作業のログ情報から，作業中の操作が申請作業として許容されるものであるかをチェックし，その作業において許容範囲を逸脱しているような操作を検知できる技術を提供することである。
【課題を解決するための手段】
【００１９】
本願において開示されるログチェック装置は，１）作業種別毎に，該作業種別の作業において実行される１以上の操作内容それぞれと重み値とを対応付ける重み値情報を記憶する第１記憶部と，２）前記コンピュータシステムに対して実行された，作業の作業種別と，該作業における１以上の操作それぞれの操作内容を示すログ情報を記憶する第２記憶部と，３）前記第２記憶部に記憶された前記ログ情報および前記第１記憶部に記憶された前記重み値情報にもとづいて，前記作業種別毎に，該作業種別の作業において実行された１以上の各操作それぞれについて計算された重み値を記憶する第３記憶部と，４）実行予定の作業の申請内容を示す作業申請情報を取得する申請受理部と，５）前記実行予定の作業が実行された際の作業のログ情報に含まれる１以上の操作内容について計算された重み値が，前記第３記憶部に記憶された，前記作業申請情報に基づき特定される作業の作業種別に対応する操作内容の重み値に基づき決定される所定の許容範囲内に含まれるか否かを判定し，前記実行予定の作業が実行された際の作業のログ情報に含まれる１以上の操作内容について計算された重み値が前記許容範囲内に含まれていないと判定した場合にアラート情報を出力する処理部とを備える。
【発明の効果】
【００２０】
上記したログチェック装置によれば，データ処理を伴う作業の実施を事前に申請させ，作業中に実行された操作の内容が，過去の同一作業における正当操作の範囲から逸脱する範囲（非許容範囲）であるかを，作業中の各操作の項目毎に判定して，作業中の通常の操作に紛れて実行された「特異な操作」を特定することができる。よって，不正操作をより正確に検知することができる。
【図面の簡単な説明】
【００２１】
【図１】本発明の一実施の形態として開示するログチェック装置の構成例を示す図である。
【図２】本発明の一実施の形態における重み値記憶部の重み値情報の例を示す図である。
【図３】本発明の一実施の形態における標準偏差記憶部の標準偏差情報の例を示す図である。
【図４】本発明の一実施の形態における作業申請の例を示す図である。
【図５】本発明の一実施の形態におけるアラート情報の出力例を示す図である。
【図６】本発明の一実施の形態における，ログチェック装置の処理の流れ（１）を示す図である。
【図７】本発明の一実施の形態における，ログチェック装置の処理の流れ（２）を示す図である。
【図８】本発明の一実施の形態における，重み値の別の算出例を説明する図である。
【図９】本発明の一実施の形態における，重み値のさらに別の算出例を説明する図である。
【図１０】本発明の一実施の形態におけるログチェック装置のハードウェア構成例を示す図である。
【図１１】チェック対象となる申請作業のログ情報例を示す図である。
【発明を実施するための形態】
【００２２】
図１は，本発明の一実施の形態として開示するログチェック装置の構成例を示す図である。
【００２３】
ログチェック装置１は，作業用システム５において実行される作業であって，事前申請された作業の正当性をチェックするための情報を出力する装置である。
【００２４】
なお，作業用システム５は，１または複数のシステム（システム５Ａ〜５Ｃ）であってよい。ログチェック装置１は，任意のネットワークまたはデータ媒体を介して，作業用システム５からログ情報を取得することができる。
【００２５】
ログ情報は，申請された作業において実行された操作ステップの内容を記録する情報である。本実施の形態において，ログ情報の１行は，作業において実行された１つの操作ステップを表すものとする。
【００２６】
ログチェック装置１は，重み値記憶部１０，標準偏差記憶部１１，ユーザインタフェース部１２，申請受理部１３，ログ情報取得部１４，ログ情報記憶部１５，比較処理部１６，および更新部１７を備える。
【００２７】
重み値記憶部１０は，作業において実行される各操作について，その操作の項目の内容と重み値との対応付けを示す重み値情報を記憶する記憶部である。
【００２８】
操作の項目とは，操作内容を特定する要素（操作内容）であり，例えば，操作において実行されたコマンド種別，操作の対象となったデータまたはデータの属性，操作対象となったデータが格納された場所などである。
【００２９】
重み値情報には，操作の各項目の内容毎に重み値が定義される。
【００３０】
セキュリティに影響を及ぼさないような操作内容，不正な操作で使用される可能性が低い操作内容に対して，低い重み値が設定される。セキュリティへの影響が重大である操作内容，不正な操作に出現する可能性が高い操作内容に対しては，高い重み値が設定される。また，同一項目内の各操作要素に対応する重み値は，それぞれが十分な差を有するような値，例えば，桁数が異なる値，指数による値等が用いられて設定される。
【００３１】
図２は，重み値記憶部１０の重み値情報の例を示す図である。
【００３２】
図２に示す重み値情報では，所定の作業種別毎に，操作されたコマンドの種別を示す「コマンド種別」，操作されたファイルの属性を示す「対象ファイルの重要度」，操作されたファイルの格納場所を示す「ファイルの場所」等の項目について，各項目の要素毎に重み値が定義されている。
【００３３】
「コマンド種別」について，例えば，書き込み（ｗｒｉｔｅ）系のコマンド，読み出し（ｒｅａｄ）系コマンド，その他のコマンド等の種別による区分と，そのコマンドにより処理されるデータの重要度（高，中，低）による区分との組み合わせに応じて，重み値が定義される。
【００３４】
セキュリティ上の影響が大きい操作，例えば，重要度が高いファイルへの書き込み（ｗｒｉｔｅ）系のコマンドによる操作の項目には，重み値＝１０００が設定される。セキュリティ上の影響が小さい操作，例えば，重要度が低いファイルに対するその他のコマンド（例えば，オープン（ｏｐｅｎ），クローズ（ｃｌｏｓｅ）等のコマンド）による操作の項目には，重み値＝１０が設定される。
【００３５】
また，「ファイルの重要度」について，要素である区分「高，中，低」に応じて重み値が設定される。なお，各ファイルの重要度の区分は，予め設定されているものとする。
【００３６】
また，「ファイルの場所」について，実際に操作されたファイルが格納されている場所と，申請された作業対象ファイルが格納されている場所との距離に応じて重み値が定義される。例えば，実際に操作されたファイルが申請された対象ファイルである場合には，重み値＝０が設定される。実際に操作されたファイルが申請された対象ファイルと同じフォルダ内のファイルである場合には，重み値＝１００が設定される。また，実際に操作されたファイルが申請された対象ファイルのフォルダから１階層上位または下位のフォルダ内のものである場合には，重み値＝２００が設定される。
【００３７】
標準偏差記憶部１１は，作業種別毎に，過去に実行された正当な作業のログ情報から計算された，各操作の項目毎に計算された重み値の平均値および標準偏差を示す標準偏差情報を記憶する記憶部である。
【００３８】
図３は，標準偏差記憶部１１の標準偏差情報の例を示す図である。
【００３９】
図３に示す標準偏差情報は，申請される各作業種別および申請された対象ファイルの重要度毎に，操作の項目毎の平均値および標準偏差，ログ情報のチェック回数，チェックしたログ情報が含む行の総数が記録されている。
【００４０】
なお，標準偏差情報は，正当と判定された作業のログ情報のみを用いて算出される。
【００４１】
ユーザインタフェース部１２は，入力装置（図示しない）を介して入力された情報をもとに，実施を予定する作業を示す作業申請を作成する処理と，比較処理部１６が発行したアラートにもとづいてアラート情報を生成し，出力装置（図示しない）を介して出力する処理とを行う処理部である。
【００４２】
作業申請は，申請される作業の種別，作業が予定される時間帯，作業が実行されるシステム（作業用システム）５，作業対象となるデータおよび格納場所等を含む情報である。
【００４３】
図４は，作業申請の例を示す図である。
【００４４】
図４に示す作業申請は，作業（作業種別），作業日時（時間帯），作業対象システム，作業者，作業ＩＤ，承認者，作業対象ファイル等のデータ項目を有する。
【００４５】
作業は，申請される作業の種別を示す情報であり，例えば「情報の読み出し作業」，「情報の修正」，「情報の削除」等である。
【００４６】
作業日時（時間帯）は，申請された作業の実施予定の日付，開始／終了時刻等を示す情報である。
【００４７】
作業対象システムは，申請された作業が実施されるシステムを示す情報であり，例えば，作業用システム５のシステムの識別情報（システム名，コンピュータ名等）である。
【００４８】
作業者は，申請された作業者の識別情報（作業者名，作業者ＩＤ等）である。
【００４９】
作業ＩＤは，申請された作業自体の識別情報である。
【００５０】
承認者は，申請された作業の承認者の識別情報（承認者名，承認者ＩＤ等）である。
【００５１】
作業対象ファイルは，申請された作業において処理対象となるデータの識別情報（ファイル名）およびそのデータが格納されている場所（パス名，フォルダ名等）を示す情報である。
【００５２】
また，ユーザインタフェース部１２は，比較処理部１６が発行したアラートをもとに，作業申請に対応するチェック対象のログ情報から，アラートが発行された行（操作ステップ）およびその操作の項目を特定し，特定した行および項目を示すアラート情報を生成する。さらに，ユーザインタフェース部１２は，比較処理部１６がアラートレベルを決定している場合に，アラートレベルを含むアラート情報を生成する。
【００５３】
アラート情報は，ログチェック装置１が備える出力装置（表示装置，プリンタ等）を介して出力される。なお，アラート情報の例は後述する。
【００５４】
申請受理部１３は，ユーザインタフェース部１２が作成した作業申請を取得して，保持する処理部である。
【００５５】
ログ情報取得部１４は，作業用システム５から，作業申請にかかる作業のログ情報を取得して，ログ情報記憶部１５に格納する処理部である。
【００５６】
ログ情報記憶部１５は，ログ情報を記憶する記憶部である。
【００５７】
比較処理部１６は，チェック対象とするログ情報を得て，そのログ情報の各行（操作ステップ）の操作の項目毎の重み値を，重み値情報をもとに算出する処理と，そのログ情報の各行の操作の項目毎の重み値が，標準偏差情報の平均値と標準偏差にもとづいて定まる許容範囲内に含まれているかを判定する処理と，判定の結果，重み値が許容範囲内に含まれていない場合に，その項目についてアラートを発行する処理とを行う処理部である。
【００５８】
また，比較処理部１６は，１つの行（操作ステップ）内の項目に対して発行されたアラート数に対応するアラートレベルを設定しておき，ログ情報内の行（操作ステップ）において複数のアラートが発行された場合に，アラート数に応じたアラートレベルを決定する。
【００５９】
一例として，アラートレベル１〜３の３段階のレベルが設定されている場合に，アラート設定の項目数が１の場合にはアラートレベル＝１，項目数が２の場合にはアラートレベル＝２，項目数が３以上の場合にはアラートレベル＝３が設定される。
【００６０】
ユーザインタフェース部１２は，比較処理部１６が発行したアラートをもとにアラート情報を生成，出力する。
【００６１】
図５は，アラート情報の出力例を示す図である。
【００６２】
図５に示すアラート情報の出力例は，アラート情報が表示画面として出力される場合の例を示す。
【００６３】
アラート情報表示画面２００は，「対象ログ情報」２０１，「アラートサマリ」２０２および「アラート発生ログ詳細」２０３の表示項目，ならびに「確認終了」ボタン２１０および「対象ログの閲覧」ボタン２１１を表示する。
【００６４】
「対象ログ情報」２０１は，チェック対象のログ情報が対応する作業申請の内容が表示される表示領域である。
【００６５】
「アラートサマリ」２０２は，アラートレベルが設定されている場合の，各アラートレベルに該当する項目数または行（操作ステップ）数が表示される表示領域である。
【００６６】
「アラート発生ログ詳細」２０３は，アラートが発行された各行（操作ステップ）の内容が表示される表示領域である。「アラート発生ログ詳細」２０３には，例えば，行番号，ログ内容，アラートレベル，アラート内容等が表示される。
【００６７】
行番号は，ログ情報における行の識別情報である。例えば，「０５」は，ログ情報の０５行を示す。
【００６８】
ログ内容は，ログ情報の該当する行（操作ステップ）の操作内容を示す情報である。例えば，０５行の「ｏｐｅｎ／ｄａｔａ／ｓｅｃｔｉｏｎ３／ｆｉｌｅＢ」は，「操作コマンド＝オープン（ｏｐｅｎ），対象ファイル＝ファイルｆｉｌｅＢ，ファイルの場所＝フォルダｄａｔａ／ｓｅｃｔｉｏｎ３」の項目を有し，「ファイルｆｉｌｅＢをオープンする」操作であることを示している。
【００６９】
アラートレベルは，決定されたアラートレベルを示す情報である。例えば，０５行の「１」はアラートレベル＝１を示す。
【００７０】
アラート内容は，アラートが発行された行の操作の項目を示す情報である。例えば，０５行では，項目「ファイルの場所」に対してアラートが発行されたことを示す。また，０６行では，２つの項目「コマンド種別，ファイルの内容」に対してアラートが発行されたことを示す。
【００７１】
「確認終了」ボタン２１０は，表示画面の内容が確認されたことを示すための操作ボタンである。「確認終了」ボタン２１０の押下または選択により，ユーザインタフェース部１２は，図５に示すアラート情報表示画面から，他の画面，例えば，別の作業申請にかかるアラート情報表示画面に，表示画面を切り換える。
【００７２】
「対象ログの閲覧」ボタン２１１は，表示されたログ情報の詳細情報の閲覧を要求するための操作ボタンである。「対象ログの閲覧」ボタン２１１の押下または選択により，ユーザインタフェース部１２は，図５に示すアラート情報表示画面に表示中の対象ログ情報の詳細情報を示す表示画面を生成して表示する。
【００７３】
なお，ユーザインタフェース部１２は，アラート情報を，ファイル形式のデータとして出力するようにしてもよい。
【００７４】
更新部１７は，比較処理部１６の判定処理において，アラートが設定されなかったログ情報を取得して，取得したログ情報を用いて，同一の作業種別の標準偏差情報を更新する処理部である。
【００７５】
以下に，ログチェック装置１の処理の流れをより具体的に説明する。
【００７６】
図６および図７は，本実施形態における，ログチェック装置１の処理の流れを示す図である。
【００７７】
ステップＳ１：  ログチェック装置１のユーザインタフェース部１２は，作業者が入力装置および表示装置等を介して入力した情報をもとに，実施を予定する作業に関する作業申請を作成して申請受理部１３へ渡す。
【００７８】
ステップＳ２：  申請受理部１３は，ユーザインタフェース部１２から作業申請を受け付けて，ログチェック装置１内の記憶部（図示しない）に受理した作業申請を保持する。
【００７９】
ステップＳ３：  比較処理部１６は，申請受理部１３が受理した作業申請の作業項目の作業種別をもとに，重み値記憶部１０から，対応する作業種別の重み値情報を抽出する。
【００８０】
図４に示す作業申請が受理されているとする。この場合に，作業申請の作業「情報の読み出し」および作業対象ファイル「ファイルｆｉｌｅＡ」をもとに，比較処理部１６は，図２に示す重み値情報から，操作の「コマンド種別」，「ファイルの重要度」，「ファイルの場所」の各項目について，「作業種別」が「情報の読み出し」かつ「対象ファイルの需要度」が「高」の欄の重み値を抽出する。
【００８１】
ステップＳ４：  さらに，比較処理部１６は，標準偏差記憶部１１から，作業申請の作業種別に対応する標準偏差情報を抽出する。
【００８２】
比較処理部１６は，各項目について，「作業種別」が「情報の読み出し」かつ「対象ファイルの需要度」が「高」の欄の平均値および標準偏差を抽出する。
【００８３】
ステップＳ５：  作業者が作業用システム５で作業申請の作業を実施する。
【００８４】
ステップＳ６：  作業用システム５は，作業者が実施した作業中の操作の内容を記録したログ情報を出力する。
【００８５】
ステップＳ７：  ログチェック装置１のログ情報取得部１４は，作業用システム５が出力したログ情報を取得して，ログ情報記憶部１５に格納する。
【００８６】
ステップＳ８：  比較処理部１６は，申請受理部１３が受理した作業申請に対応するログ情報を，ログ情報記憶部１５から抽出する。
【００８７】
ステップＳ９：  比較処理部１６は，ログ情報の全ての行（操作ステップ）についてステップＳ１０以降の処理を行ったかを判定する。ログ情報の全行について処理していない場合は（ステップＳ９のＮＯ），ステップＳ１０の処理へ進み，ログ情報の全行について処理した場合は（ステップＳ９のＹＥＳ），ステップＳ１３の処理へ進む。
【００８８】
ステップＳ１０：  比較処理部１６は，重み値情報をもとに，抽出したログ情報の各行におけるコマンド種別，ファイルの重要度，ファイルの場所の各項目について，それぞれ重み値を計算する。さらに，比較処理部１６は，標準偏差情報における，計算した各項目の重み値に対応する平均値と標準偏差とを求める。
【００８９】
一例として，比較処理部１６は，以下のログ情報の行の内容（ログ内容）について，以下のように重み値を計算する。
【００９０】
（１）「作業対象ファイルの読み出し（read/data/section1/fileA）」の行の場合に，
コマンド種別（read）の重み値＝１００；
ファイルの重要度(fileA＝高)の重み値＝１００；
ファイルの場所(data/section1/)の重み値＝０
となる。
【００９１】
（２）「作業対象ファイルのデータの変更（write/data/section1/fileA）」の行の場合に，
コマンド種別（write）の重み値＝１０００；
ファイルの重要度(fileA＝高)の重み値＝１００；
ファイルの場所(data/section1/)の重み値＝０
となる。
【００９２】
（３）「作業対象外の低重要度ファイルの読み出し（read/data/section2/fileC）」の行の場合に，
コマンド種別（read）の重み値＝１００；
ファイルの重要度(fileC＝低)の重み値＝１；
ファイルの場所(data/section2/)の重み値＝５００
となる。
【００９３】
（４）「作業対象外の高重要度ファイルへの書き込み（write/data/section2/fileD）」の行の場合に，
コマンド種別（write）の重み値＝１０００；
ファイルの重要度(fileC＝低)の重み値＝１００；
ファイルの場所(data/section2/)の重み値＝５００
となる。
【００９４】
ステップＳ１１：  比較処理部１６は，計算した項目の重み値の偏差が，標準偏差情報にもとづく許容範囲内に含まれるかを判定する。
【００９５】
項目の重み値の偏差が，標準偏差情報にもとづく許容範囲内に含まれていない場合には（ステップＳ１１のＮＯ），ステップＳ１２の処理へ進み，標準偏差情報にもとづく許容範囲内に含まれている場合には（ステップＳ１１のＹＥＳ），ステップＳ９の処理へ戻る。
【００９６】
ここで，許容範囲は，ログ情報の処理対象の項目の偏差が，標準偏差情報の平均値と標準偏差にもとづく正規分布の９０％の範囲内，「平均値±２＊標準偏差」の範囲内等とする。
【００９７】
例えば，ステップＳ１０の処理で例示した各行の場合に，以下のように判定される。
【００９８】
（１）「作業対象ファイルの読み出し（read/data/section1/fileA）」の行の場合に，
コマンド種別：アラートなし（偏差が許容範囲内）；
ファイルの重要度：アラートなし；
ファイルの場所：アラートなし
となる。よって，この行について，アラートは発行されない。
【００９９】
（２）「作業対象ファイルのデータの変更（write/data/section1/fileA）」の行の場合に，
コマンド種別：アラートあり（偏差が許容範囲外）；
ファイルの重要度：アラートなし；
ファイルの場所：アラートなし
となる。よって，この行について，発行されたアラート数＝１であり，アラートレベル＝１が設定される。
【０１００】
（３）「作業対象外の低重要度ファイルの読み出し（read/data/section2/fileC）」の行の場合に，
コマンド種別：アラートなし；
ファイルの重要度：アラートなし；
ファイルの場所：アラートあり
となる。よって，この行について，発行されたアラート数＝１であり，アラートレベル＝１が設定される。
【０１０１】
（４）「作業対象外の高重要度ファイルへの書き込み（write/data/section2/fileD）」の行の場合に，
コマンド種別：アラートあり；
ファイルの重要度：アラートなし；
ファイルの場所：アラートあり
となる。よって，この行について，発行されたアラート数＝２であり，アラートレベル＝２が設定される。
【０１０２】
上述の（１）〜（４）の例において，（１）の行は，申請作業に沿った正常な操作を示す行であり，比較処理部１６の判定においてもアラートが発行されない。
【０１０３】
一方，（２）〜（４）の行については，不正操作の可能性がある操作を示す行である。
【０１０４】
ログチェック装置１は，ログ情報から，このような不正操作の可能性がある操作について，適切にアラートを発行することができる。
【０１０５】
ステップＳ１２：  比較処理部１６は，その行の項目について，アラートを発行する。また，比較処理部１６は，その行で発行したアラート数をもとに，アラートレベルを決定する。その後，ステップＳ９の処理へ戻る。
【０１０６】
ステップＳ１３：ログ情報の全行について処理された場合は（ステップＳ９のＹＥＳ），ユーザインタフェース部１２は，チェック対象のログ情報に対してアラートが発行されたかを調べる。ログ情報について１つでもアラートが発行されていれば（ステップＳ１３のＹＥＳ），ステップＳ１４の処理へ進み，アラートが発行されていなければ（ステップＳ１３のＮＯ），ステップＳ１６の処理へ進む。
【０１０７】
ステップＳ１４：  ユーザインタフェース部１２は，アラートが発行された行を特定して，アラートレベルを取得し，行の内容をログ情報から抽出する。
【０１０８】
さらに，ユーザインタフェース部１２は，申請受理部１３が保持する作業申請を取得して，アラートが発行された行の内容（ログ内容），アラートレベル，作業申請の情報等を含むアラート情報を生成・出力する。
【０１０９】
ステップＳ１５：  ユーザインタフェース部１２は，例えば，図５に示すアラート情報画面を監査者のコンピュータの表示装置へ表示させる。監査者は，出力された表示画面から，作業申請にかかる作業のログにおいて，アラートが発行された行とそのアラートレベルを確認し，作業内容を監査することができる。
【０１１０】
ステップＳ１６：  更新部１７は，アラートが発行されなかったログ情報の各行の重み値を用いて，標準偏差記憶部１１に記憶された，同一の作業種別の標準偏差情報の平均値と標準偏差を再計算して，更新する。
【０１１１】
例えば，更新部１７は，以下の手順で標準偏差情報の更新を行う。
【０１１２】
（ＳＴ１）  更新部１７は，１つの作業申請に対応する作業のログ情報における各行の項目の「重み値」の平均値を算出する。
【０１１３】
まず，更新部１７は，ログ情報の各行における「コマンド種別」，「ファイルの重要度」，「ファイルの場所」の各項目の「重み」の平均値を算出する。
【０１１４】
例えば，申請作業Ｐ３における，ログ情報の各行の「コマンド種別」，「ファイルの重要度」，「ファイルの場所」の値の平均を算出する。
【０１１５】
行「read/data/section1/fileA」の重み値が，
コマンド種別：１００；
ファイルの重要度：１００；
ファイルの場所：０
とする。
【０１１６】
行「write/data/section1/fileA」の重み値が，
コマンド種別：１０００；
ファイルの重要度：１００；
ファイルの場所：０
とする。
【０１１７】
行「read/data/section2/fileC」の重み値が，
コマンド種別：１００；
ファイルの重要度：１；
ファイルの場所：５００
とする。
【０１１８】
この場合に，各項目の重み値の平均は，
コマンド種別の重み値の平均：４００
ファイルの重要度の重み値の平均：６７；
ファイルの場所の重み値の平均：１６６．７
となる。
【０１１９】
（ＳＴ２）更新部１７は，その平均値を標準偏差情報に反映させる。
【０１２０】
更新部１７は，ログ情報から算出した重み値の平均値と，標準偏差記憶部１１に記憶されている，対応する標準偏差情報の重み値の平均値とから，標準偏差情報の重み値の平均値を更新する。
【０１２１】
例えば，上記（ＳＴ１）で求めた各項目の重み値の平均値と，図３に示す，対応する標準偏差情報の平均値，実施回数から，標準偏差記憶部１１に記憶されている標準偏差情報の平均値を更新する。
【０１２２】
ここで，申請作業Ｐ３のログ情報から求めた「コマンド種別」の重み値の平均値（４００）と，同一の作業種別（情報の読み出し，かつ，対象ファイルの重要度＝中）の標準偏差情報の「コマンド種別」の重み値の平均値（１５１）と実施回数（２６）から，更新部１７は，平均値を再計算する。すなわち，「(400＋151×26)÷27＝160.2」となり，更新部１７は，作業種別（情報の読み出し，かつ，対象ファイルの重要度＝中）の標準偏差情報のコマンド種別の平均値を「１５１」から「１６０．２」へ変更する。
【０１２３】
（ＳＴ３）更新部１７は，更新された平均値を用いてログ情報における重みの分散を算出する。
【０１２４】
更新部１７は，更新された平均値と，ログ情報の各行の重み値から，ログ情報の重み値の分散を，以下の式を用いて計算する。
【０１２５】
分散＝{Σ（ログの各行の値−更新された平均値）＾２}÷ログ行数
（ＳＴ４）更新部１７は，算出したログの分散の値から，標準偏差情報の標準偏差を更新する。
【０１２６】
更新部１７は，以下の式で標準偏差を求め，標準偏差情報の標準偏差を更新する。
【０１２７】
更新する標準偏差の値＝
｛（ログの分散×ログ行数＋データベースの標準偏差＾２×チェックしたログの行数）÷（ログ行数＋チェックしたログの行数）｝＾（１／２）
以上の（ＳＴ１）〜（ＳＴ４）の処理により，標準偏差記憶部１１に記憶されている標準偏差情報の値を更新し，重み値の分散度合いを更新する。
【０１２８】
図８は，重み値の別の算出例を説明する図である。
【０１２９】
比較処理部１６は，コマンド種別およびファイル重要度の項目の重み値算出について，コマンド種別を階層的に区分する。例えば，書き込み系のコマンド群を上位階層の区分，読み出し系のコマンド群を中位階層の区分，その他のコマンド群を下位階層の区分として定義する。
【０１３０】
そして，実際に操作されたコマンドが，作業申請の作業内容で使用されるコマンドの区分より，ｎ段階上の区分に属するものである場合に，「１００×１０＾（ｎ＋１）」の式により重み値が計算される。
【０１３１】
また，実際に操作されたコマンドが，作業申請の作業内容で使用されるコマンドの区分と一致する場合に，重み値＝１００とする。
【０１３２】
また，実際に操作されたコマンドが，作業申請の作業内容で使用されるコマンドの区分より，ｎ段階下の区分に属するものである場合に，「１００×１０＾｛１／（ｎ＋１）｝」の式により重み値が計算される。
【０１３３】
図９は，重み値のさらに別の算出例を説明する図である。
【０１３４】
比較処理部１６は，ファイルの場所の重み値を，作業申請の作業対象ファイルの場所から，実際に操作されたファイルの場所までの距離にもとづいて算出する。ここで，距離とは，２つのファイルが存在するフォルダを隔てるフォルダ数として，例えば，「重み値＝距離×１００」とする。
【０１３５】
図９に示すように，「data/section1/wata/01.txt」と「data/section2/kaya/02.txt」との距離＝５，重み値＝５００となる。
【０１３６】
図１０に，ログチェック装置１のハードウェア構成例を示す。
【０１３７】
ログチェック装置１は，演算装置（ＣＰＵ）１０１，一時記憶装置（ＤＲＡＭ，フラッシュメモリ等）１０２，永続性記憶装置（ＨＤＤ，フラッシュメモリ等）１０３，およびネットワークＮとのネットワークインターフェース１０４を有するコンピュータ１００と，入力装置（キーボード，マウス等）１２０と出力装置（ディスプレイ，プリンタ等）１３０とによって実施することができる。
【０１３８】
また，ログチェック装置１は，コンピュータ１００が実行可能なプログラムによって実施することができる。この場合に，ログチェック装置１が有すべき機能の処理内容を記述したプログラムが提供される。提供されたプログラムをコンピュータ１００が実行することによって，上記説明したログチェック装置１の処理機能がコンピュータ１００上で実現される。
【０１３９】
すなわち，ログチェック装置１のユーザインタフェース部１２，申請受理部１３，ログ情報取得部１４，比較処理部１６，更新部１７等は，プログラムで構成することができ，これらのプログラムが一時記憶装置１０２にロードされて実行されることにより，各処理部の機能が実現される。また，重み値記憶部１０，標準偏差記憶部１１，およびログ情報記憶部１５等は永続性記憶装置１０３に格納される。
【０１４０】
なお，コンピュータ１００は，可搬型記録媒体から直接プログラムを読み取り，そのプログラムに従った処理を実行することもできる。また，コンピュータ１００は，サーバコンピュータからプログラムが転送されるごとに，逐次，受け取ったプログラムに従った処理を実行することもできる。
【０１４１】
さらに，このプログラムは，コンピュータ１００で読み取り可能な記録媒体に記録しておくことができる。
【０１４２】
以上説明したように，ログチェック装置１は，申請された作業が実施された場合に，そのログ情報から，作業中にセキュリティ上の問題を生じさせるような操作が実行されていないかをチェックすることができる。
【０１４３】
ログチェック装置１は，チェック対象となる作業のログ情報を，過去の正当性が確認された同一の作業種別のログ情報と比較している。そのため，単純に対応するコマンドセットと比較したり，漠然と過去の傾向と比較したりして，問題となる操作を検知するのではなく，チェック対象の作業に対応する作業種別のログ情報により比較する。そのため，申請された作業における特異な操作を抽出することができる。
【０１４４】
また，ログチェック装置１は，チェック対象となるログ情報を全体として比較するのではなく，ログ情報の各行すなわち各操作ステップについて，その操作の要素毎に比較して，特異な操作であるかを判定している。そのため，従来技術では判別が困難であった，正常な作業内に紛れて行われる特異な操作を検知することができる。
【０１４５】
さらに，ログチェック装置１は，特異な操作であるかの判定処理の条件として，チェック対象となる作業とログ情報の各操作の項目毎の重み値に対応する標準偏差を用いる。そのため，操作および操作の項目毎に判定条件となる許容範囲がばらつくという実際の状況にあわせて，操作および操作項目に対応させた許容範囲にもとづいてチェックを行うことができる。
【０１４６】
また，ログチェック装置１は，ログ情報の全体を通してアラートが発生しなかったものについては，正しい作業が実施されたものと判断し，正当性を確認したログ情報を用いて標準偏差情報を更新する。これにより，以降のチェック処理において，より正確な許容範囲にもとづいて判定することができる。よって，ログ情報のチェック処理を実施する度に，チェック処理の精度を自動的に向上させることができる。
【符号の説明】
【０１４７】
１  ログチェック装置
１０  重み値記憶部
１１  標準偏差記憶部
１２  ユーザインタフェース部
１３  申請受理部
１４  ログ情報取得部
１５  ログ情報記憶部
１６  比較処理部
１７  更新部
５  作業用システム
【図１】
0005515963.tif 000002
【図２】
0005515963.tif 000003
【図３】
0005515963.tif 000004
【図４】
0005515963.tif 000005
【図５】
0005515963.tif 000006
【図６】
0005515963.tif 000007
【図７】
0005515963.tif 000008
【図８】
0005515963.tif 000009
【図９】
0005515963.tif 000010
【図１０】
0005515963.tif 000011
【図１１】
0005515963.tif 000012