(57)【特許請求の範囲】
【請求項１】
メールを利用する端末の操作履歴情報に基づいて、前記端末が受信したメールが他の宛先へ自動的に転送される処理である自動転送を検出するための分析を行なう情報分析装置であって、
前記端末のメールの操作履歴情報を入力する操作履歴情報入力手段と、
メールの自動転送を検出するための条件を入力する条件入力手段と、
前記操作履歴情報入力手段によって入力された操作履歴情報を、前記条件入力手段にて入力された条件に従って分析する分析手段と、
前記分析手段による分析結果を出力する出力手段と、
前記端末の端末装置名、件名、操作日時を結合してグループ化した複合キーを管理するテーブルを記憶する管理手段とを備え、
前記分析手段は、前記テーブルを参照して、前記条件入力手段にて入力された条件に従って、前記操作履歴情報入力手段によって入力された操作履歴情報を分析する
ことを特徴とする情報分析装置。
【請求項２】
前記管理手段は、処理対象のメールの操作履歴情報から得られる、前記端末の端末装置名、件名、操作日時を結合してグループ化した第１複合キーと同一の第２複合キーが前記テーブルに管理されている場合、その数をカウントアップするとともに前記第１複合キーを前記テーブルに記録し、前記第１複合キーと同一の前記第２複合キーが前記テーブルに管理されていない場合、前記第１複合キーを前記テーブルに登録する
ことを特徴とする請求項１に記載の情報分析装置。
【請求項３】
前記分析手段は、前記条件入力手段にて入力された条件に満足する、２つ以上の同一複合キーが前記テーブルに存在する場合、前記２つ以上の同一複合キーに対応する、メールの操作履歴情報を、自動転送メールの操作履歴情報として抽出する
ことを特徴とする請求項２に記載の情報分析装置。
【請求項４】
前記分析手段は、前記条件入力手段にて入力された条件に満足し、かつ同一の端末の複合キー群であって、その複合キーを構成する件名及び操作日時の少なくとも一方の内容の誤差が同一複合キーであると認識できる内容的な誤差範囲内である、複合キー群は、同一複合キーと判定する
ことを特徴とする請求項３に記載の情報分析装置。
【請求項５】
前記端末とはネットワークを介して接続されており、
前記操作履歴情報入力手段は、前記ネットワークを介して前記メールの操作履歴情報を受信する
ことを特徴とする請求項１に記載の情報分析装置。
【請求項６】
前記端末とはネットワークを介して接続されており、
前記出力手段は、前記分析結果をネットワークを介して前記端末へ送信する
ことを特徴とする請求項１に記載の情報分析装置。
【請求項７】
前記出力手段は、前記分析結果を点数化して出力する
ことを特徴とする請求項１に記載の情報分析装置。
【請求項８】
メールを利用する端末の操作履歴情報に基づいて、前記端末が受信したメールが他の宛先へ自動的に転送される処理である自動転送を検出するための分析を行なう情報分析装置の制御方法であって、
前記端末のメールの操作履歴情報を入力する操作履歴情報入力工程と、
メールの自動転送を検出するための条件を入力する条件入力工程と、
前記操作履歴情報入力工程によって入力された操作履歴情報を、前記条件入力工程にて入力された条件に従って分析する分析工程と、
前記分析工程による分析結果を出力する出力工程と
前記端末の端末装置名、件名、操作日時を結合してグループ化した複合キーを管理するテーブルを記憶する管理工程とを備え、
前記分析工程は、前記テーブルを参照して、前記条件入力工程にて入力された条件に従って、前記操作履歴情報入力工程によって入力された操作履歴情報を分析する
ことを特徴とする情報分析装置の制御方法。
【請求項９】
コンピュータを、請求項１乃至７の何れか１項に記載の情報分析装置が有する各手段として機能させるためのコンピュータプログラム。
【請求項１０】
請求項９に記載のプログラムを格納したコンピュータ可読記憶媒体。
【請求項１１】
メールを利用する少なくとも１つの端末と、前記メールを利用する端末の操作履歴情報を収集する管理サーバと、前記端末が受信したメールが他の宛先へ自動的に転送される処理である自動転送を検出するための分析を行なう情報分析装置とを備える情報処理システムであって、
前記管理サーバは、
前記端末の操作履歴情報を収集する収集手段と、
前記操作履歴情報を管理する管理手段とを備え、
前記情報分析装置は、
前記端末のメールの操作履歴情報を入力する操作履歴情報入力手段と、
メールの自動転送を検出するための条件を入力する条件入力手段と、
前記操作履歴情報入力手段によって入力された操作履歴情報を、前記条件入力手段にて入力された条件に従って分析する分析手段と、
前記分析手段による分析結果を出力する出力手段と
前記端末の端末装置名、件名、操作日時を結合してグループ化した複合キーを管理するテーブルを記憶する管理手段とを備え、
前記分析手段は、前記テーブルを参照して、前記条件入力手段にて入力された条件に従って、前記操作履歴情報入力手段によって入力された操作履歴情報を分析する
ことを特徴とする情報処理システム。
【請求項１２】
前記端末は、
当該端末の操作履歴情報を取得する監視手段と、
前記操作履歴情報を前記管理サーバへ送信する送信手段とを備え、
前記管理サーバの前記収集手段は、前記端末から前記操作履歴情報を収集する
ことを特徴とする請求項１１に記載の情報処理システム。
【請求項１３】
前記端末の操作履歴情報として、メールの操作履歴情報を取得し、前記管理サーバへ送信するメールサーバを更に備え、
前記管理サーバの前記収集手段は、前記メールサーバから前記操作履歴情報を収集する
ことを特徴とする請求項１１に記載の情報処理システム。
【請求項１４】
前記管理サーバと、前記情報分析装置は、同一の情報分析装置で実現されている
ことを特徴とする請求項１１に記載の情報処理システム。
【請求項１５】
メールを利用する端末の操作履歴情報に基づいて、前記端末が受信したメールが他の宛先へ自動的に転送される処理である自動転送を検出するための分析を行なう情報分析装置であって、
前記端末にて監視された該端末の利用者の識別情報であるユーザ名を含むメールの操作履歴情報を入力する操作履歴情報入力手段と、
メールの自動転送を検出するための条件を入力する条件入力手段と、
前記操作履歴情報入力手段によって入力された操作履歴情報を、前記条件入力手段にて入力された条件に従って分析する分析手段と、
前記分析手段による分析結果を出力する出力手段とを備え、
前記分析手段は、前記端末の利用者の識別情報であるユーザ名、件名、操作日時を結合して管理されたテーブルを参照して、前記条件入力手段にて入力された条件に従って、前記操作履歴情報入力手段によって入力された操作履歴情報を分析する
ことを特徴とする情報分析装置。
【請求項１６】
メールを利用する端末の操作履歴情報に基づいて、前記端末が受信したメールが他の宛先へ自動的に転送される処理である自動転送を検出するための分析を行なう情報分析装置の制御方法であって、
前記端末にて監視された該端末の利用者の識別情報であるユーザ名を含むメールの操作履歴情報を入力する操作履歴情報入力工程と、
メールの自動転送を検出するための条件を入力する条件入力工程と、
前記操作履歴情報入力工程によって入力された操作履歴情報を、前記条件入力工程にて入力された条件に従って分析する分析工程と、
前記分析工程による分析結果を出力する出力工程とを備え、
前記分析工程は、前記端末の利用者の識別情報であるユーザ名、件名、操作日時を結合して管理されたテーブルを参照して、前記条件入力工程にて入力された条件に従って、前記操作履歴情報入力手段によって入力された操作履歴情報を分析する
ことを特徴とする情報分析装置の制御方法。
【請求項１７】
メールを利用する少なくとも１つの端末と、前記メールを利用する端末の操作履歴情報を収集する管理サーバと、前記端末が受信したメールが他の宛先へ自動的に転送される処理である自動転送を検出するための分析を行なう情報分析装置とを備える情報処理システムであって、
前記管理サーバは、
前記端末の操作履歴情報を収集する収集手段と、
前記操作履歴情報を管理する管理手段とを備え、
前記情報分析装置は、
前記端末にて監視された該端末の利用者の識別情報であるユーザ名を含むメールの操作履歴情報を入力する操作履歴情報入力手段と、
メールの自動転送を検出するための条件を入力する条件入力手段と、
前記操作履歴情報入力手段によって入力された操作履歴情報を、前記条件入力手段にて入力された条件に従って分析する分析手段と、
前記分析手段による分析結果を出力する出力手段とを備え、
前記分析手段は、前記端末の利用者の識別情報であるユーザ名、件名、操作日時を結合して管理されたテーブルを参照して、前記条件入力手段にて入力された条件に従って、前記操作履歴情報入力手段によって入力された操作履歴情報を分析する
ことを特徴とする情報処理システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、メールを利用する端末の操作履歴情報に基づいて、前記端末が受信したメールが他の宛先へ自動的に転送される処理である自動転送を検出するための分析を行なう情報分析に関するものである。
【背景技術】
【０００２】
電子メールが普及して多くの人が利用するようになった。このような状況の中、企業内においても電子メールは必要不可欠なものになっている。その利用は簡単なものであり、また、電子的であるがゆえ他人に知られないように業務以外の使用を多く見かけるようになった。
【０００３】
そこで、端末からメール利用状況を受信して、メール利用状況情報に基づいてメールを業務、業務外に区分けするシステムが開示されている（特許文献１）。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００３−３３３１００号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
昨今では、電子メールからの情報漏洩が問題となっており、いかに情報の流出、漏洩から保護するかが企業の重要な課題となっている。
【０００６】
その中でも、企業内のＰＣ（パーソナルコンピュータ）で受信した電子メールを自動的に個人のフリーメール、携帯メール等に転送する行為（以下、「自動転送メール」という）は、情報漏洩の危険性が高く、問題であると考えられている。
【０００７】
しかしながら、特許文献１では、メールの業務・業務外の使用を把握することは可能だが、そのメールの利用実態の把握をすることはできず、このような自動転送メールを簡便な方法で把握することはできなかった。
【０００８】
本発明は以上の課題に鑑みてなされたものであり、自動転送メールを簡便に把握可能にする技術を提供することを目的とする。
【課題を解決するための手段】
【０００９】
上記の目的を達成するための本発明による情報分析装置は以下の構成を備える。即ち、  メールを利用する端末の操作履歴情報に基づいて、前記端末が受信したメールが他の宛先へ自動的に転送される処理である自動転送を検出するための分析を行なう情報分析装置であって、
前記端末のメールの操作履歴情報を入力する操作履歴情報入力手段と、
メールの自動転送を検出するための条件を入力する条件入力手段と、
前記操作履歴情報入力手段によって入力された操作履歴情報を、前記条件入力手段にて入力された条件に従って分析する分析手段と、
前記分析手段による分析結果を出力する出力手段と、
前記端末の端末装置名、件名、操作日時を結合してグループ化した複合キーを管理するテーブルを記憶する管理手段とを備え、
前記分析手段は、前記テーブルを参照して、前記条件入力手段にて入力された条件に従って、前記操作履歴情報入力手段によって入力された操作履歴情報を分析する。
【発明の効果】
【００１０】
本発明によれば、自動転送メールをより簡便に把握可能にする技術を提供することができる。
【図面の簡単な説明】
【００１１】
【図１】本発明の第一実施形態における情報処理システムの構成を示す図である。
【図２】本発明の第一実施形態のユーザ端末装置１１、ログ管理サーバ１２及び情報分析装置１８に適用可能なコンピュータのハードウェア構成例を示すブロック図である。
【図３】本発明の第一実施形態のログ管理ＤＢ１４の記録内容例を示す図である。
【図４】本発明の第一実施形態の情報分析装置１８が実行する処理の流れを示すフローチャートである。
【図５】本発明の第一実施形態の、図３の操作ログから分析結果の一例を示す図である。
【図６】本発明の第一実施形態の、図３の操作ログから、端末名（ＰＣ名）、件名、日時情報を結合しグループ化した複合キーの一例を示す図である。
【図７】本発明の第一実施形態の情報漏洩の危険度を示す危険度管理テーブルの一例を示す図である。
【図８】本発明の第二実施形態における情報処理システムの構成を示す図である。
【発明を実施するための形態】
【００１２】
以下、添付図面を参照して本発明に係る実施の形態の詳細を説明する。但し、この実施形態に記載されている構成要素はあくまでも例外であり、本発明の範囲をそれらのみに限定する趣旨のものではない。また、本実施形態で説明されている特徴の組み合わせの全てが発明の解決手段に必須のものとは限らない。
【００１３】
＜第一実施形態＞
第一実施形態におけるメールに関する操作ログの分析について説明する。第一実施形態における分析は、ログ管理サーバ側で操作ログを集計し、集計した操作ログを情報分析装置に入力する。これにより、メールの現実の利用態様をより簡便に情報分析装置で分析することを実現するものである。
（システム構成）
図１は本発明の第一実施形態における情報処理システムの構成を示す図である。
【００１４】
第一実施形態に係るシステム（情報処理システム）は、複数のユーザ端末装置１１と、ユーザ端末装置１１の操作履歴を管理するログ管理サーバ１２と、情報分析装置１８で構成されている。これらの装置は、ＬＡＮ（Local Area Network）等のネットワークを介して接続されている。
【００１５】
尚、ログ管理サーバ１２と、情報分析装置１８は、同一企業内で管理されても良いし、別企業で管理されても良い。また、ユーザ端末装置１１にメールを提供するメールサーバ（不図示）が、ネットワークを介して接続されている。
【００１６】
ユーザ端末装置１１は、メールの利用状況を監視し、操作ログ（操作履歴情報）を取得する監視部１３を備えている。操作ログには、例えば、以下のものが含まれる。
【００１７】
・端末装置名（ＰＣ名、ユーザ名等）
・操作日時
・件名
ユーザ端末装置１１は、自己の操作内容を示す操作ログを定期的（例えば、１分毎）に取得して、ログ管理サーバ１２に送信する。尚、ログ管理サーバ１２に操作ログを送信するタイミングは、所定時間単位（例えば、２時間毎）、所定量以上の操作ログが蓄積された場合、ユーザ端末装置１１が起動した場合、ログ管理サーバ１２からの要求を受けた場合等、様々な条件を設定可能である。
【００１８】
ログ管理サーバ１２は、ユーザ端末装置１１の動作を管理する情報処理装置である。図１のように、ログ管理サーバ１２は、ログ管理ＤＢ（データベース）１４を備える。ログ管理サーバ１２は、ユーザ端末装置１１から受信した操作ログに基づいて、ログ管理ＤＢ１４に、ユーザ端末装置毎（または利用者毎）に操作ログを記録する。
【００１９】
情報分析装置１８は、メール判定部１５、メール結合テーブル１６、分析結果ＤＢ１７を備える。情報分析装置１８は、ログ管理サーバ１２からネットワークを介して受信した操作ログに基づいて、分析（例えば、メールの利用状況）を行う。
【００２０】
尚、ログ管理サーバ１２で収集されたユーザ端末装置群の操作ログの情報分析装置１８への受け渡し（操作履歴情報入力部）は、外部記憶媒体（ＦＤ、ＭＯ、ＵＳＢ、ＣＤ−Ｒ、ＤＶＤ−ＲＡＭ等）等の操作ログを授受可能な媒体でも可能である。
【００２１】
メール判定部１５は、入力された操作ログから端末装置名・操作日時・件名を結合し、メール結合テーブル１６に存在するかどうかのメールの判定、分析を行い、その分析結果を分析結果ＤＢ１７に記録する。また、メール判定部１５は、分析結果ＤＢ１７に記録された分析結果を、ログ管理サーバ１２へネットワークを介して送信する。
【００２２】
メール結合テーブル１６は、メールが自動転送メールであるか否かを判定するための情報を管理するテーブルである。つまり、受信した電子メールが自動的に他の宛先（個人のフリーメール、携帯メール等）に転送される「自動転送メール」であるか否かを判定する。
【００２３】
尚、分析結果のログ管理サーバ１２への受け渡しは、ネットワークを利用する以外にも、外部記憶媒体（ＦＤ、ＭＯ、ＵＳＢ、ＣＤ−Ｒ、ＤＶＤ−ＲＡＭ等）等の操作履歴情報を授受可能な媒体でも可能である。また、分析結果は、情報分析装置１８の表示部（不図示）にて、グラフ・表等の画像にして出力することも可能である。
（ハードウェア構成）
図２は本発明の第一実施形態のユーザ端末装置１１、ログ管理サーバ１２及び情報分析装置１８に適用可能なコンピュータのハードウェア構成例を示すブロック図である。ユーザ端末装置１１、ログ管理サーバ１２及び情報分析装置１８は、パーソナルコンピュータ（ＰＣ）やワークステーション（ＷＳ）等の情報処理装置により実現することができる。
【００２４】
ＣＰＵ２１は中央演算処理装置であり、ＲＯＭ２２やＲＡＭ２３に格納されているコンピュータプログラムやデータを用いてコンピュータ全体の制御を行う。本コンピュータをログ管理サーバ１２に適用した場合、ＣＰＵ２１は、ログ管理サーバ１２が行う後述の各処理を実行する。また、本コンピュータをユーザ端末装置１１に適用した場合には、ＣＰＵ２１は、ユーザ端末装置１１が行う後述の各処理を実行する。また、本コンピュータを情報分析装置１８に適用した場合には、ＣＰＵ２１は、情報分析装置１８が行う後述の各処理を実行する。
【００２５】
ＲＯＭ２２は読出専用メモリであり、本コンピュータの設定データや、ブートプログラム等が格納されている。
【００２６】
ＲＡＭ２３は書込可能メモリであり、ＨＤＤ（ハードディスクドライブ）２４からロードされたコンピュータプログラムやデータ、インタフェース２７を介して外部から受信したデータ等を一時的に記憶するためのエリアを有する。更に、ＲＡＭ２３は、ＣＰＵ２１が各種の処理を実行する際に用いるワークエリアを有する。即ち、ＲＡＭ２３は、各種のエリアを適宜提供することができる。
【００２７】
ＨＤＤ（ハードディスクドライブ）２４には、ＯＳ（オペレーティングシステム）や、本コンピュータを適用した装置が行う各種の処理をＣＰＵ２１に実行させるためのコンピュータプログラムやデータが保存されている。尚、ＨＤＤは大容量記憶装置の一例であり、ＳＤＤ（フラッシュメモリドライブ）でも可能である。
【００２８】
本コンピュータを情報分析装置１８に適用した場合、ＨＤＤ２４に格納されたコンピュータプログラムには、情報分析装置１８が行う各処理をＣＰＵ２１に実行させるためのコンピュータプログラムが含まれる。また、分析結果ＤＢ１７、後述する情報漏洩の危険度を示す危険度管理テーブル（図７）もこのＨＤＤ２４内に設けられる。
【００２９】
また、本コンピュータをログ管理サーバ１２に適用した場合、ＨＤＤ２４に格納されたコンピュータプログラムには、ログ管理サーバ１２が行う各処理をＣＰＵ２１に実行させるためのコンピュータプログラムが含まれる。また、ログ管理ＤＢ１４もこのＨＤＤ２４内に設けられる。
【００３０】
ＨＤＤ２４に保存されているコンピュータプログラムやデータは、ＣＰＵ２１による制御に従って適宜ＲＡＭ２３にロードされ、ＣＰＵ２１による処理対象となる。
【００３１】
入力装置２５は、ユーザがコンピュータに対して指示を入力するための装置であり、キーボードやポインティングデバイス（例えば、マウス）等により構成されている。本コンピュータの操作者は、この入力装置２５を操作することで、各種の指示をＣＰＵ２１に対して入力することができる。
【００３２】
表示装置２６は、ＣＲＴや液晶画面等により構成されており、ＣＰＵ２１による処理結果を画像や文字等でもって表示することができる。
【００３３】
インタフェース２７は、コンピュータ装置をネットワークに接続するためのネットワークインタフェースである。例えば、本コンピュータをユーザ端末装置１１に適用した場合、インタフェース２７は、本コンピュータをネットワークに接続するためのネットワークインタフェースを含む。また、本コンピュータをログ管理サーバ１２に適用した場合、インタフェース２７は、本コンピュータをネットワークに接続するためのネットワークインタフェースにより構成されている。
【００３４】
２８は、コンピュータを構成する上述の各種構成要素を繋ぐバスである。
【００３５】
第一実施形態では、説明を簡単にするために、ユーザ端末装置１１、ログ管理サーバ１２及び情報分析装置１８の何れも図２に示す構成を有するコンピュータであるものとして説明するが、コンピュータの構成については係る構成に限定するものではない。また、ユーザ端末装置１１、ログ管理サーバ１２及び情報分析装置１８とで異なる構成を有するコンピュータを適用しても良い。
（ログ管理データベース）
ユーザ端末装置１１からログ管理サーバ１２へ送信された操作ログの情報は、ログ管理サーバ１２のログ管理ＤＢ１４に記録される。ログ管理ＤＢ１４の記録内容について、図３を参照して説明する。図３は本発明の第一実施形態のログ管理ＤＢ１４の記録内容例を示す図である。特に、図３では、ユーザ端末装置１１から受信した、メールに関する操作ログの一例を示している。
【００３６】
図３において、３１はユーザ端末装置１１の端末の識別情報、例えば、ＰＣ名である。３２はユーザ端末装置１１の利用者の識別情報、例えば、ユーザ名である。３３は操作名であり、これには、例えば、送信（ｓｎｄ）、受信（ｒｃｖ）等がある。電子メールを送信した場合は「ｓｎｄ」、電子メールを受信した場合は「ｒｃｖ」と記録される。
【００３７】
３４は操作日時である。３５は送信元名（メールアドレス）、３６は送信先名（メールアドレス）である。３７は添付ファイル名であり、添付ファイルがある場合、その添付ファイル名が記録される。３８はメールの件名である。
【００３８】
尚、この操作ログは、１操作につき１レコード単位で、操作が発生した順に時系列に沿って記録されるものとする。
（情報分析装置の処理）
情報分析装置１８において、メールの利用状況を分析する処理について、図４を参照して説明する。図４は本発明の第一実施形態の情報分析装置１８が実行する処理の流れを示すフローチャートである。
【００３９】
処理の実行が開始されると、まず、情報分析装置１８は、ログ管理ＤＢ１４に記録された操作ログをネットワークを介して読み出す（ステップＳ４１）。
【００４０】
尚、読出単位は、ユーザ単位、グループ単位、所定期間等、自由に設定できる。また、操作ログの読出は、ネットワークを利用する以外にも、外部記憶媒体（ＦＤ、ＭＯ、ＵＳＢ、ＣＤ−Ｒ、ＤＶＤ−ＲＡＭ等）等の操作ログを授受可能な媒体からでも可能である。
【００４１】
次に、操作ログの読出に成功した場合、情報分析装置１８は、操作ログに、未処理のレコードが存在するか否かを判定する（ステップＳ４２）。未処理のレコードが存在する場合（ステップＳ４２でＹＥＳ）、操作ログから未処理の１レコードを呼び出す。
【００４２】
未処理のレコードの読出に成功した場合、情報分析装置１８は、送信先のドメイン名を参照して、送信先が「社外」であるか否かを判定する（ステップＳ４３）。尚、「社外」であるか否かの判定は、予め登録しているアドレス（例えば、ドメイン名、社員全員のアドレス）以外の送信先の場合は、「社外」と判定することも可能である。
【００４３】
送信先名が「社外」である場合（ステップＳ４３でＹＥＳ）、情報分析装置１８は、操作ログ中のＰＣ名、件名、操作日時を結合してグループ化した複合キーを生成する（ステップＳ４４）。
【００４４】
尚、送信先名が社外以外（社内）の場合（ステップＳ４３でＮＯ）、次の未処理の１レコードを呼び出すにために、ステップＳ４２に戻る。
【００４５】
メール判定部１５にて、グループ化した複合キーがメール結合テーブル１６に存在しているか確認する（ステップＳ４５）。
【００４６】
尚、この判定は、例えば、予めメール結合テーブル１６のレコード毎の複合キー（第２複合キー）を名前順に並べ替えて記録させておき、同様に、判定対象のグループ化した複合キー（第１複合キー）も名前順に並べ替え、両者を比較することで行う。
【００４７】
複合キーがメール結合テーブル１６に存在している場合（ステップＳ４５でＹＥＳ）、その複合キーの総件数を１カウントアップ行うとともに、分析結果ＤＢ１７に記録し、処理を繰り返す（ステップＳ４７）。
【００４８】
一方、複合キーがメール結合テーブル１６に存在しない場合（ステップＳ４５でＮＯ）、メール結合テーブル１６に複合キーの登録を行い（ステップＳ４６）、登録した複合キーの件数を１とする（ステップＳ４７）。
【００４９】
一方、読み出した操作ログの全てのレコードの処理が終了（未処理のレコードが存在しない）場合（ステップＳ４２でＮＯ）、分析結果ＤＢ１７に集計された複合キーの内、同一複合キーの件数が２件以上存在するか否かを判定する（ステップＳ４８）。つまり、複合キーを構成するＰＣ名、件名、操作日時が同一である複合キー群が２件以上存在するか否かを判定する。
【００５０】
判定の結果、同一複合キーが２件以上存在しない場合（ステップＳ４８でＮＯ）、処理を終了する。一方、同一複合キーが２件以上存在する場合（ステップＳ４８でＹＥＳ）、その同一複合キーに対応する操作ログを取得する。そして、その操作ログの操作名に「受信（ｒｃｖ）」（受信メール）が存在するか否かを判定する（ステップＳ４９）。操作ログに受信メールが存在しない場合（ステップＳ４９でＮＯ）、処理を終了する。
【００５１】
一方、操作ログに「受信メール」が存在する場合（ステップＳ４９でＹＥＳ）、その操作ログの操作名に「送信（ｓｎｄ）」（送信メール）が存在するか否かを判定する（ステップＳ５０）。操作ログに送信メールが存在しない場合（ステップＳ５０でＮＯ）、処理を終了する。
【００５２】
送信メールが存在する場合（ステップＳ５０でＹＥＳ）、対象の操作ログを分析結果ＤＢ１７に記憶する。図５は、分析結果ＤＢ１７に記録されている分析結果の一例である。図５の例１において、レコード６２は、レコード６１と同一複合キーである（つまり、ＰＣ名、件名、操作日時が同一である）ことから、自動転送メールであると判定することができる。同様に、図５の例２及び例３も、自動転送メールであると判定することができる。
【００５３】
尚、自動転送メールのみを抽出したい場合、受信メールの操作ログを削除し（ステップＳ５１）、次に、送信メールの操作ログ（自動転送メール）を抽出して、分析結果ＤＢ１７に記憶する（ステップＳ５２）構成とすることも可能である。
【００５４】
このように、情報分析装置１８では、所定の条件に従って、その条件に満足する、メールの利用状況（自動転送メール）を分析（検出）することができる。
【００５５】
尚、所定の条件には、上述した条件（ステップＳ４３、ステップＳ４８〜ステップＳ５０）に限定されず、例えば、添付ファイルが存在するか否か、件名に予め登録されているキーワードを含むか否か等がある。この条件は、例えば、情報分析装置１８の入力装置２５を用いて、様々な条件が設定可能である（条件入力部）。
【００５６】
また、自動転送メールであると判定された場合、管理者にその旨の通知を行ってもよいし、自動転送メールを送信しているＰＣ名のＰＣに、警告通知を行う構成としてもよい。
【００５７】
また、自動転送メールを送信しているＰＣ名のＰＣ（ユーザ）には、送信者であるそのユーザのユーザ端末装置１１のＣＰＵ２１により、メール送信を禁止する制御をおこなうことも可能である。
【００５８】
図６は本発明の第一実施形態の、図３の操作ログから、ＰＣ名、件名、操作日時を結合しグループ化した複合キーの一例を示す図である。
【００５９】
メール判定部１５は、図６の例１において、レコード５１とレコード５２の複合キーは、同一複合キーと認識するが、レコード５１とレコード５３は操作日時が異なるため、同一複合キーと認識しない。
【００６０】
従って、例えば、メール結合テーブル１６に、レコード５１の複合キーが存在する場合、レコード５２の複合キーは、メール結合テーブル１６に存在すると判定し、総件数を１カウントアップすることになる。
【００６１】
また、自動転送メールは、メーラーやサーバの機種により、同時刻や同件名で転送されない場合もある。そこで、予め作成された各メーラーや各サーバに対応する、内容的な誤差（例えば、誤差時刻１０分、件名にＦｗ：を含む等）ＤＢを構成して、これを参照することにより、誤差範囲内にあるものは、同一複合キーであると認識させることも可能である。
【００６２】
例えば、あるメーラーに対応する誤差範囲が１０分である場合、レコード５４とレコード５５は操作日時は異なっているが、誤差範囲は５分であるため、同一複合キーとして認識する。
【００６３】
尚、誤差範囲（複合キーを構成する件名及び操作日時の少なくとも一方の内容の誤差範囲）は、入力装置を用いてユーザの所望する設定とすることもできる。また、この誤差範囲を設けることで、ユーザ端末装置に搭載されるメーラーの設定による自動転送、あるいは、ユーザの手動操作によって転送の両方を自動転送として分析することも可能となる。
【００６４】
図７は本発明の第一実施形態の情報漏洩の危険度を示した危険度管理テーブルの一例である。
【００６５】
自動転送メールであると判定された分析結果ＤＢ１７に記録されている分析結果を、情報漏洩の危険度を示した危険度管理テーブルで点数化（重み付け）することも可能である。
【００６６】
例えば、Ａさん（ＰＣ名）が、フリーメール宛にファイルを添付して自動転送していた場合、６点（フリーメール宛：３点  ＋  添付ファイル有：３点）と点数化される。また、Ａさんのある特定期間（例えば、３日間）について点数化することも可能である。
【００６７】
従って、分析結果として得られる自動転送について点数化することにより、よりユーザに情報漏洩の危険度を、例えば、警告情報として管理者や当事者に示すことができる。
【００６８】
尚、漏洩キーワード、携帯メール、フリーメール、海外宛メール、同業他社宛メールか否かの判定は、メールアドレスに含まれるドメイン名やメールの標題やメール本文中の文字列に基づいて、別途予め登録されているテーブルを参照して判定を行う。
【００６９】
以上のように、第一実施形態では、メールの現実の利用態様をより正確に把握できるため、情報漏洩の状況を把握することが可能となる。
【００７０】
そして、例えば、携帯電話の紛失や送信先（フリーメール等）のセキュリティ状況による、情報漏洩の危険性（送信先がウィルス感染している場合等）、自動転送設定を未解除で社員が退職した場合、機密情報が引き続き転送される危険等を防止できる。
【００７１】
また、メールの現実の利用態様をより正確に把握できるためメールの無駄なトラフィックの発生を防ぐことが可能となる。
【００７２】
＜第二実施形態＞
第二実施形態では、複数のユーザ端末装置１１が利用するメールサーバ１９から操作ログを取得し、ログ管理サーバ１２で収集を行い、情報分析装置１８で分析を行う構成を説明する。
【００７３】
尚、第二実施形態の動作の大部分は第一実施形態の動作と共通するため、第一実施形態と異なる動作についてのみ説明し、共通の動作については説明を省略する。
【００７４】
第一実施形態は、ユーザ端末装置１１のメールの利用状況を監視し、その操作ログをユーザ端末装置１１内の監視部１３で取得した後、情報分析装置１８でメールに関する分析を行う構成である。これに対して、第二実施形態では、メールサーバ１９から操作ログを取得した後、情報分析装置１８でメールに関する分析を行う構成である。
【００７５】
図８は本発明の第二実施形態における情報処理システムの構成を示す図である。
【００７６】
メールサーバ１９は、操作ログをユーザ端末装置１１毎にメールログＤＢ２０に記憶する。そのため、第二実施形態のユーザ端末装置１１には、監視部１３を必ずしも搭載しておく必要はない。
【００７７】
メールログＤＢ２０に蓄積された操作ログは、定期的にログ管理サーバ１２に送信する。尚、ログ管理サーバ１２に送信するタイミングは、所定時間単位（例えば、２時間毎）、所定量以上の操作ログが蓄積された場合、メールサーバ１９が起動した場合、ログ管理サーバ１２からの要求を受けた場合等、様々な条件を設定可能である。
【００７８】
ログ管理サーバ１２は、メールサーバ１９から受信した操作ログを、ログ管理ＤＢ１４に記録し、第一実施形態の図４の処理を実行する。
【００７９】
以上のように、第二実施形態では、ユーザ端末装置１１に、メールの利用状況を監視し、操作ログを取得するソフトウェアをインストールすることなく、メールの現実の利用態様をより正確に把握することが可能になる。そして、情報漏洩の状況を把握、メールの無駄なトラフィックの発生の防止をすることが可能となる。
【００８０】
＜第三実施形態＞
第三実施形態では、ログ管理サーバ１２と情報分析装置１８が同一のサーバ上で実現する構成を説明する。
【００８１】
第一及び第二実施形態は、ログ管理サーバ１２と情報分析装置１８が、ネットワークもしくは外部記憶媒体を介してデータ通信を行う構成である。これに対して、第三実施形態では、ログ管理サーバ１２と情報分析装置１８を同一の集中管理サーバ上で実現して、メールに関する分析を行う。
【００８２】
この場合、情報分析装置１８が、ログ管理ＤＢ１４、メール判定部１５、メール結合テーブル１６、分析結果ＤＢ１７を有している。そして、監視部１３によって、取得された操作ログはログ管理ＤＢ１４に記録され、第一実施形態の図４の処理を実行する。
【００８３】
以上のように、第三実施形態では、ログ管理サーバ１２と情報分析装置１８を同一のサーバ上で実現することで同一企業内での管理が可能となり、よりセキュリティを考慮した分析が可能となる。
【００８４】
尚、第二実施形態のメールサーバ１９と、第三実施形態の集中管理サーバからなる、メールに関する分析を行う構成を実現することも可能である。
【００８５】
以上、実施形態例を詳述したが、本発明は、例えば、システム、装置、方法、プログラムもしくは記憶媒体等としての実施態様をとることが可能である。具体的には、複数の機器から構成されるシステムに適用しても良いし、また、一つの機器からなる装置に適用しても良い。
【００８６】
また、本発明は、上記第一乃至第三実施形態と同等の処理を、コンピュータプログラムでも実現できる。この場合、図４をはじめとする構成要素の各々は関数、もしくはＣＰＵが実行するサブルーチンで機能させれば良い。また、通常、コンピュータプログラムは、ＣＤ−ＲＯＭ等のコンピュータ可読記憶媒体に格納されており、それを、コンピュータが有する読取装置（ＣＤ−ＲＯＭドライブ等）にセットし、システムにコピーもしくはインストールすることで実行可能になる。従って、かかるコンピュータ可読記憶媒体も本発明の範疇にあることは明らかである。
【図１】
0005536375.tif 000002
【図２】
0005536375.tif 000003
【図３】
0005536375.tif 000004
【図４】
0005536375.tif 000005
【図５】
0005536375.tif 000006
【図６】
0005536375.tif 000007
【図７】
0005536375.tif 000008
【図８】
0005536375.tif 000009