(57)【要約】【課題】不正操作の検出精度の向上を図ること。【解決手段】不正操作監視装置１０１は、情報処理システムに対する操作の種類を示す操作種類と操作時刻とを含む操作履歴情報を取得する。不正操作監視装置１０１は、スケジュール情報１２０に基づいて、取得した操作履歴情報の操作時刻に対応する操作グループに、操作時刻に対応する操作種類が含まれているか否かを判断する。スケジュール情報１２０は、操作の種類を示す操作種類の１以上の組み合わせである操作グループと時間との対応を示す情報である。不正操作監視装置１０１は、操作グループに操作時刻に対応する操作種類が含まれていない場合、特定の時間のスケジュール情報１２０に含まれる、操作履歴情報の操作種類の頻度に応じて増減する不正操作可能性の高さを示す値に基づいて、不正操作が行われたか否かを判断する。【選択図】図１
2018081655.tif 000002
【特許請求の範囲】
【請求項１】
情報処理システムに対する操作の種類を示す操作種類と操作時刻とを含む操作履歴情報を取得する取得部と、
前記操作種類の１以上の組み合わせである操作グループと時間との対応を示すスケジュール情報を記憶する記憶部と、
前記操作履歴情報の操作時刻に対応する操作グループに、前記操作時刻に対応する操作種類が含まれていない場合、特定の時間の前記スケジュール情報に含まれる前記操作種類の頻度に応じて増減する不正操作可能性の高さを示す値に基づいて、不正操作が行われたか否かを判断する制御部と、
を有することを特徴とする不正操作監視装置。
【請求項２】
前記不正操作可能性の高さを示す値は、前記操作時刻に対応する操作グループとは異なる他の操作グループと前記操作履歴情報の操作種類との組合せに応じて設定される重みに応じてさらに増減する、ことを特徴とする請求項１に記載の不正操作監視装置。
【請求項３】
前記制御部は、
前記操作時刻に対応する操作グループに、前記操作時刻に対応する操作種類が含まれる場合には、前記操作種類の操作が前記操作グループに対応する時間において行われた頻度を算出し、
算出した前記頻度が閾値を超える場合に、前記操作グループと前記操作種類との組合せに応じて設定される第２の不正操作可能性の高さを示す値に基づいて、不正操作が行われたか否かを判断する、
ことを特徴とする請求項１または２に記載の不正操作監視装置。
【請求項４】
前記制御部は、
前記不正操作可能性の高さを示す値と、前記第２の不正操作可能性の高さを示す値とを累計した累計値が、前記操作グループに応じて設定される閾値を超える場合に、不正操作が行われたと判断する、
ことを特徴とする請求項３に記載の不正操作監視装置。
【請求項５】
情報処理システムに対する操作の種類を示す操作種類と操作時刻とを含む操作履歴情報を取得し、
前記操作種類の１以上の組み合わせである操作グループと時間との対応を示すスケジュール情報を記憶する記憶部を参照して、前記操作履歴情報の操作時刻に対応する操作グループに、前記操作時刻に対応する操作種類が含まれていない場合に、特定の時間の前記スケジュール情報に含まれる前記操作種類の頻度に応じて増減する不正操作可能性の高さを示す値に基づいて、不正操作が行われたか否かを判断する、
処理をコンピュータが実行することを特徴とする不正操作監視方法。
【請求項６】
情報処理システムに対する操作の種類を示す操作種類と操作時刻とを含む操作履歴情報を取得し、
前記操作種類の１以上の組み合わせである操作グループと時間との対応を示すスケジュール情報を記憶する記憶部を参照して、前記操作履歴情報の操作時刻に対応する操作グループに、前記操作時刻に対応する操作種類が含まれていない場合に、特定の時間の前記スケジュール情報に含まれる前記操作種類の頻度に応じて増減する不正操作可能性の高さを示す値に基づいて、不正操作が行われたか否かを判断する、
処理をコンピュータに実行させることを特徴とする不正操作監視プログラム。
【請求項７】
端末装置と、
情報処理システムに対する前記端末装置上の操作の種類を示す操作種類と操作時刻とを含む操作履歴情報を取得し、前記操作種類の１以上の組み合わせである操作グループと時間との対応を示すスケジュール情報を記憶する記憶部を参照して、前記操作履歴情報の操作時刻に対応する操作グループに、前記操作時刻に対応する操作種類が含まれていない場合に、特定の時間の前記スケジュール情報に含まれる前記操作種類の頻度に応じて増減する不正操作可能性の高さを示す値に基づいて、不正操作が行われたか否かを判断する不正操作監視装置と、
を含むことを特徴とする不正操作監視システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、不正操作監視装置、不正操作監視方法、不正操作監視プログラム、および不正操作監視システムに関する。
【背景技術】
【０００２】
近年、企業における業務用ＰＣ（Ｐｅｒｓｏｎａｌ  Ｃｏｍｐｕｔｅｒ）のマルウェア感染による被害が増加している。マルウェアに感染すると、外部の悪意のあるユーザから、不正に業務用ＰＣが遠隔操作され、社内システムやサーバにある重要情報が盗み出される場合がある。
【０００３】
また、マルウェアに感染すると、業務用ＰＣ内にバックドアが設置され、外部から業務用ＰＣを容易に操作することが可能となるため、ＩＤ（Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ）とパスワードによるユーザ認証で不正操作を防ぐことは難しい。したがって、このような状況を想定して、マルウェアに感染した業務用ＰＣにおける不正操作を検出する技術が望まれる。
【０００４】
関連する先行技術としては、例えば、操作の項目の重み値の偏差を対応する平均値および標準偏差から求め、重み値の偏差が許容範囲外であれば、アラート情報を出力する技術がある。また、監視対象装置から受信した各々のログを関連づけた各シナリオ候補に対して重要度を算出し、ユーザ関連度および操作関連度によってユーザごとに各シナリオ候補の重要度を再算出する技術がある。また、自己の存在を知らせることなく自己宛の通信を検出するパッシブホストセンサから通知されたアクセスログに基づいて検知ルールを自動生成する技術がある。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２０１１−２１００６０号公報
【特許文献２】特開２０１３−０６１７９４号公報
【特許文献３】特開２００５−３１６７７９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかしながら、従来技術では、正常な操作が不正な操作であると誤って判断されて、不正操作の検出精度の低下を招くという問題がある。
【０００７】
一つの側面では、本発明は、不正操作の検出精度の向上を図ることを目的とする。
【課題を解決するための手段】
【０００８】
１つの実施態様では、情報処理システムに対する操作の種類を示す操作種類と操作時刻とを含む操作履歴情報を取得し、前記操作種類の１以上の組み合わせである操作グループと時間との対応を示すスケジュール情報を記憶する記憶部を参照して、前記操作履歴情報の操作時刻に対応する操作グループに、前記操作時刻に対応する操作種類が含まれていない場合に、特定の時間の前記スケジュール情報に含まれる前記操作種類の頻度に応じて増減する不正操作可能性の高さを示す値に基づいて、不正操作が行われたか否かを判断する不正操作監視装置が提供される。
【発明の効果】
【０００９】
本発明の一側面によれば、不正操作の検出精度の向上を図ることができる。
【図面の簡単な説明】
【００１０】
【図１】図１は、実施の形態にかかる不正操作監視方法の一実施例を示す説明図である。
【図２】図２は、不正操作監視システム２００のシステム構成例を示す説明図である。
【図３】図３は、不正操作監視装置１０１のハードウェア構成例を示すブロック図である。
【図４】図４は、業務プロファイルテーブル２２０の記憶内容の一例を示す説明図である。
【図５】図５は、操作プロファイルテーブル２３０の記憶内容の一例を示す説明図である。
【図６】図６は、定義外操作テーブル２４０の記憶内容の一例を示す説明図である。
【図７】図７は、スケジュールプロファイルテーブル２５０の記憶内容の一例を示す説明図である。
【図８】図８は、適用プロファイルテーブル２６０の記憶内容の一例を示す説明図である。
【図９】図９は、実操作テーブル２７０の記憶内容の一例を示す説明図である。
【図１０】図１０は、操作履歴テーブル２８０の記憶内容の一例を示す説明図である。
【図１１】図１１は、スコアテーブル２９０の記憶内容の一例を示す説明図である。
【図１２】図１２は、定義外操作確認画面１２００の画面例を示す説明図である。
【図１３】図１３は、不正操作監視装置１０１の機能的構成例を示すブロック図である。
【図１４】図１４は、不正操作の判断例を示す説明図（その１）である。
【図１５】図１５は、不正操作の判断例を示す説明図（その２）である。
【図１６】図１６は、不正操作監視装置１０１のプロファイル作成処理手順の一例を示すフローチャート（その１）である。
【図１７】図１７は、不正操作監視装置１０１のプロファイル作成処理手順の一例を示すフローチャート（その２）である。
【図１８】図１８は、不正操作監視装置１０１の不正操作監視処理手順の一例を示すフローチャート（その１）である。
【図１９】図１９は、不正操作監視装置１０１の不正操作監視処理手順の一例を示すフローチャート（その２）である。
【図２０】図２０は、操作履歴更新処理の具体的処理手順の一例を示すフローチャートである。
【発明を実施するための形態】
【００１１】
以下に図面を参照して、本発明にかかる不正操作監視装置、不正操作監視方法、不正操作監視プログラム、および不正操作監視システムの実施の形態を詳細に説明する。
【００１２】
（実施の形態）
図１は、実施の形態にかかる不正操作監視方法の一実施例を示す説明図である。図１において、不正操作監視装置１０１は、端末装置１０２における不正操作を監視するコンピュータである。不正操作監視装置１０１は、例えば、サーバである。不正操作とは、利用権限のないコンピュータを不正に利用して操作することである。
【００１３】
不正操作としては、例えば、不当に取得したＩＤとパスワードによりログインしたユーザによる操作や、端末装置１０２に設置されたバックドアから侵入したユーザによる操作が挙げられる。操作とは、端末装置１０２を動かして何らかの作用を生じさせることであり、例えば、端末装置１０２を遠隔操作して社内システムやサーバにアクセスすることである。
【００１４】
ここで、企業における業務用ＰＣのマルウェア感染による被害は増加しており、不正に業務用ＰＣが遠隔操作されて、社内システムやサーバにある重要情報が盗み出されるおそれがある。マルウェアは、コンピュータウイルスやトロイの木馬等の有害なソフトウェアの総称である。
【００１５】
マルウェアに感染すると、ＩＤやパスワード等を用いたユーザ認証によって外部からの侵入を防ぐことが難しくなる。したがって、マルウェア感染への対策としては、マルウェアに感染して外部から不正に操作が可能となった業務用ＰＣにおける不正操作をどのように検出するのかが重要となる。
【００１６】
例えば、各業務で行われる操作をあらかじめ登録しておき、ある業務において未登録の操作が行われたら、その頻度に応じて不正操作が行われたか否かを判断することが考えられる。しかしながら、ユーザは、業務において毎回全く同じ操作をするとは限らないし、ある業務を実施中に、別の業務に係る操作を行う場合も考えられる。
【００１７】
例えば、ある業務を実施中のユーザが、直前に実施した業務に関して、データの入力漏れや入力ミスに気付いて、データの入力操作を行う場合がある。また、ある業務を実施中のユーザが、その後に実施予定の業務に関して、事前に情報収集するためにサーバ等にアクセスする場合がある。したがって、このような正常な操作が不正の可能性がある操作として扱われると、不正操作の誤検出を招くおそれがある。
【００１８】
そこで、本実施の形態では、業務横断数が多い操作、すなわち、様々な業務で行われる操作については、あらかじめ想定された業務とは異なる他の業務で行われたときの、不正操作であると判断される確度を低くすることで、不正操作の誤検出を防ぐ不正操作監視方法について説明する。以下、不正操作監視装置１０１の処理例について説明する。
【００１９】
（１）不正操作監視装置１０１は、情報処理システムに対する操作の種類を示す操作種類と操作時刻とを含む操作履歴情報を取得する。ここで、情報処理システムは、社内システムやサーバ等の操作対象１０３である。操作種類は、例えば、操作名である。操作履歴情報は、例えば、端末装置１０２から取得してもよく、また、操作対象１０３から取得してもよい。
【００２０】
図１の例では、業務Ｇにおいて行われた操作Ａの種類を示す操作種類と操作時刻とを含む操作履歴情報１１０が取得された場合を想定する。業務Ｇは、例えば、端末装置１０２のユーザが実施している業務であってもよく、また、実施済みの業務であってもよい。
【００２１】
（２）不正操作監視装置１０１は、スケジュール情報１２０に基づいて、取得した操作履歴情報の操作時刻に対応する操作グループに、操作時刻に対応する操作種類が含まれているか否かを判断する。スケジュール情報１２０は、操作の種類を示す操作種類の１以上の組み合わせである操作グループと時間との対応を示す情報である。
【００２２】
操作グループは、その操作グループに対応する時間に行われる予定の業務に対応する。したがって、操作履歴情報の操作時刻に対応する操作グループに、操作時刻に対応する操作種類が含まれているか否かを判断することにより、その操作種類の操作が、操作グループに対応する業務に対応する操作であるか否かを判断することができる。
【００２３】
図１の例では、操作履歴情報１１０の操作時刻に対応する操作グループに、操作履歴情報１１０が示す操作種類が含まれていない場合を想定する。すなわち、操作Ａが業務Ｇに対応する操作ではない場合を想定する。
【００２４】
（３）不正操作監視装置１０１は、操作グループに操作時刻に対応する操作種類が含まれていない場合、操作履歴情報の操作種類の操作が定義外操作として行われたときの不正操作可能性の高さを示す値に基づいて、不正操作が行われたか否かを判断する。ここで、定義外操作とは、ある業務において行われるとあらかじめ想定された操作とは異なる操作である。
【００２５】
不正操作可能性の高さを示す値は、操作が定義外操作として行われたときの不正である可能性の高さを示す。不正操作可能性の高さを示す値は、特定の時間のスケジュール情報１２０に含まれる、操作履歴情報の操作種類の頻度に応じて増減する。特定の時間は、例えば、一日のうちで端末装置１０２のユーザが行う全業務に対応する時間である。
【００２６】
より具体的には、不正操作可能性の高さを示す値は、特定の時間のスケジュール情報１２０に含まれる、操作履歴情報の操作種類の頻度が高いほど小さく、頻度が低いほど大きくなるように設定される。すなわち、不正操作可能性の高さを示す値は、業務横断数が多い操作ほど小さくなる。
【００２７】
図１の例では、特定の時間のスケジュール情報１２０に含まれる、操作履歴情報１１０の操作種類の頻度に応じて増減する不正操作可能性の高さを示す値に基づいて、不正操作が行われたか否かが判断される。換言すれば、一日のうちに端末装置１０２のユーザが行う複数の業務のうち、業務Ｇとは異なる他の業務で操作Ａが行われる頻度に応じて増減する不正操作可能性の高さを示す値に基づいて、業務Ｇにおいて不正操作が行われたか否かが判断される。
【００２８】
これにより、操作Ａが様々な業務で行われる業務横断数の多い操作であれば、業務Ｇにおいて定義外操作として行われたとしても正常な操作である可能性が高いとして、不正操作であると判断される確度を低くすることができる。換言すれば、正常な操作が不正の可能性がある操作として扱われるのを防いで、不正操作の検出精度の向上を図ることができる。
【００２９】
以下の説明では、ある時間に対応する操作グループを、その時間に行われる予定の「業務」として扱う場合がある。
【００３０】
（不正操作監視システム２００のシステム構成例）
つぎに、実施の形態にかかる不正操作監視システム２００のシステム構成例について説明する。
【００３１】
図２は、不正操作監視システム２００のシステム構成例を示す説明図である。図２において、不正操作監視システム２００は、不正操作監視装置１０１と、端末装置Ｔ１〜Ｔｎ（ｎ：２以上の自然数）と、サーバＳＶ１〜ＳＶｍ（ｍ：２以上の自然数）と、を含む。不正操作監視システム２００において、不正操作監視装置１０１、端末装置Ｔ１〜ＴｎおよびサーバＳＶ１〜ＳＶｍは、有線または無線のネットワーク２１０を介して接続される。ネットワーク２１０は、例えば、ＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）、ＷＡＮ（Ｗｉｄｅ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）、インターネットなどである。
【００３２】
以下の説明では、端末装置Ｔ１〜Ｔｎのうちの任意の端末装置を「端末装置Ｔｉ」と表記する場合がある（ｉ＝１，２，…，ｎ）。また、サーバＳＶ１〜ＳＶｍのうちの任意のサーバを「サーバＳＶｊ」と表記する場合がある（ｊ＝１，２，…，ｍ）。
【００３３】
ここで、不正操作監視装置１０１は、端末装置ＴｉにおいてサーバＳＶｊへの不正操作が行われたか否かを判断する。不正操作監視装置１０１は、業務プロファイルテーブル２２０、操作プロファイルテーブル２３０、定義外操作テーブル２４０およびスケジュールプロファイルテーブル２５０を有する。これら各種テーブル２２０，２３０，２４０，２５０は、例えば、不正操作監視装置１０１による不正操作監視処理の前に作成される。図１に示したスケジュール情報１２０は、例えば、操作プロファイルテーブル２３０およびスケジュールプロファイルテーブル２５０に相当する。
【００３４】
また、不正操作監視装置１０１は、適用プロファイルテーブル２６０、実操作テーブル２７０、操作履歴テーブル２８０およびスコアテーブル２９０を有する。これら各種テーブル２６０，２７０，２８０，２９０は、例えば、不正操作監視装置１０１による不正操作監視処理を実行中に作成・更新される。各種テーブルの記憶内容については、図４〜図１１を用いて後述する。
【００３５】
端末装置Ｔｉは、ユーザが業務において使用するコンピュータである。例えば、端末装置Ｔｉは、ＰＣ、タブレットＰＣ、スマートフォンなどである。ユーザは、例えば、企業の社員や自治体の職員などである。図１に示した端末装置１０２は、例えば、端末装置Ｔｉに相当する。
【００３６】
サーバＳＶｊは、ユーザが業務を行うためのサービスを提供するコンピュータである。例えば、サーバＳＶｊは、企業の業務システムに含まれるファイルサーバ、メールサーバ、アプリケーションサーバ等の業務サーバである。図１に示した操作対象１０３は、例えば、サーバＳＶｊに相当する。
【００３７】
（不正操作監視装置１０１のハードウェア構成例）
つぎに、不正操作監視装置１０１のハードウェア構成例について説明する。
【００３８】
図３は、不正操作監視装置１０１のハードウェア構成例を示すブロック図である。図３において、不正操作監視装置１０１は、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）３０１と、メモリ３０２と、Ｉ／Ｆ（Ｉｎｔｅｒｆａｃｅ）３０３と、ディスクドライブ３０４と、ディスク３０５と、を有する。また、各構成部は、バス３００によってそれぞれ接続される。
【００３９】
ここで、ＣＰＵ３０１は、不正操作監視装置１０１の全体の制御を司る。メモリ３０２は、例えば、ＲＯＭ（Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）、ＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）およびフラッシュＲＯＭなどを有する。具体的には、例えば、フラッシュＲＯＭやＲＯＭが各種プログラムを記憶し、ＲＡＭがＣＰＵ３０１のワークエリアとして使用される。メモリ３０２に記憶されるプログラムは、ＣＰＵ３０１にロードされることで、コーディングされている処理をＣＰＵ３０１に実行させる。
【００４０】
Ｉ／Ｆ３０３は、通信回線を通じてネットワーク２１０に接続され、ネットワーク２１０を介して外部のコンピュータ（例えば、図２に示した端末装置Ｔ１〜ＴｎやサーバＳＶ１〜ＳＶｍ）に接続される。そして、Ｉ／Ｆ３０３は、ネットワーク２１０と装置内部とのインターフェースを司り、外部のコンピュータからのデータの入出力を制御する。Ｉ／Ｆ３０３には、例えば、モデムやＬＡＮアダプタなどを採用することができる。
【００４１】
ディスクドライブ３０４は、ＣＰＵ３０１の制御に従ってディスク３０５に対するデータのリード／ライトを制御する。ディスク３０５は、ディスクドライブ３０４の制御で書き込まれたデータを記憶する。ディスク３０５としては、例えば、磁気ディスク、光ディスクなどが挙げられる。
【００４２】
なお、不正操作監視装置１０１は、上述した構成部のほかに、例えば、ＳＳＤ（Ｓｏｌｉｄ  Ｓｔａｔｅ  Ｄｒｉｖｅ）、入力装置、ディスプレイ等を有することにしてもよい。また、端末装置ＴｉやサーバＳＶｊについても、不正操作監視装置１０１と同様のハードウェア構成により実現することができる。ただし、端末装置Ｔｉは、上述した構成部のほかに、例えば、入力装置、ディスプレイ等を有する。
【００４３】
（各種テーブルの記憶内容）
つぎに、図２に示した不正操作監視装置１０１が有する各種テーブルの記憶内容について説明する。各種テーブルは、例えば、端末装置Ｔｉを使用するユーザごとに作成される。各種テーブルは、例えば、図３に示したメモリ３０２、ディスク３０５などの記憶装置により実現される。
【００４４】
図４は、業務プロファイルテーブル２２０の記憶内容の一例を示す説明図である。図４において、業務プロファイルテーブル２２０は、業務名およびブロック閾値のフィールドを有し、各フィールドに情報を設定することで、業務プロファイル情報（例えば、業務プロファイル情報４００−１〜４００−６）をレコードとして記憶する。
【００４５】
ここで、業務名は、ユーザが行う業務の名称を示す。業務名は、図１で説明した操作グループを識別する情報に相当する。ブロック閾値は、業務名の業務において不正操作が行われたか否かを判断する際に用いられる閾値を示す。ブロック閾値は、例えば、正常な業務における操作が不正と判断されない値に設定される。業務名として、複数の業務をまとめたものを設定することにしてもよい。
【００４６】
例えば、一日の業務全体で不正操作が行われたか否かを判断するために、業務名として、一日で行われる全ての業務を表す「業務全体」を設定することにしてもよい。この際、ブロック閾値として、全ての業務のブロック閾値を合計した値を用いることにしてもよく、また、全ての業務のブロック閾値を合計した値よりも小さい値（例えば、７〜８割程度の値）を用いることにしてもよい。
【００４７】
図５は、操作プロファイルテーブル２３０の記憶内容の一例を示す説明図である。図５において、操作プロファイルテーブル２３０は、業務名、操作名、閾値および重みのフィールドを有し、各フィールドに情報を設定することで、操作プロファイル情報（例えば、操作プロファイル情報５００−１〜５００−４）をレコードとして記憶する。
【００４８】
ここで、業務名は、ユーザが行う業務の名称を示す。操作名は、業務名の業務において行われる操作の名称を示す。操作名は、図１で説明した操作種類に相当する。すなわち、同一の業務名の操作を組み合わせたものが、図１で説明した操作グループに相当する。閾値は、業務名の業務において、操作名の操作が正常な範囲で行われたか否かを判断する際に用いられる閾値を示す。閾値は、例えば、正常な業務における操作が不正と判断されない値や範囲に設定される。
【００４９】
重みは、操作名の操作が正常な範囲で行われていないと判断された際に、業務名の業務において不正操作が行われた可能性の高さを示すスコアに加算される値である。例えば、重みは、操作名の操作についての不正が行われた際の影響度合いが大きいほど、大きい値に設定される。また、重みは、業務名の業務において操作名の操作が正常な範囲で行われていないときに不正であるといえる妥当性が高いほど、大きい値に設定される。
【００５０】
例えば、操作プロファイル情報５００−１は、業務名「見積もり」の業務において行われる操作名「システムＡ操作時間」の閾値「５分〜２０分」および重み「１」を示す。
【００５１】
図６は、定義外操作テーブル２４０の記憶内容の一例を示す説明図である。図６において、定義外操作テーブル２４０は、定義外操作名、出現頻度、重み平均および定義外スコアのフィールドを有し、各フィールドに情報を設定することで、定義外操作情報（例えば、定義外操作情報６００−１〜６００−４，６００−ｘ）をレコードとして記憶する。
【００５２】
ここで、定義外操作名は、ユーザがいずれかの業務において行う操作の名称を示す。定義外操作名としては、例えば、操作プロファイルテーブル２３０に設定された操作名のうち、「回数」と表記のある操作名から、「回数」を除いた残余の文字列が用いられる。出現頻度は、ユーザが行う全業務において定義外操作名の操作が出現する頻度を示す。例えば、出現頻度は、操作プロファイルテーブル２３０（例えば、図５参照）において定義外操作名を、操作名に含む操作が出現する回数（レコード数）である。
【００５３】
重み平均は、操作プロファイルテーブル２３０における定義外操作名の操作の重みの平均値である。定義外スコアは、定義外操作名の操作が定義外操作として行われた際に不正操作である可能性の高さを示す。なお、定義外操作とは、業務において行われるとあらかじめ想定された操作とは異なる操作である。
【００５４】
図７は、スケジュールプロファイルテーブル２５０の記憶内容の一例を示す説明図である。図７において、スケジュールプロファイルテーブル２５０は、業務名と開始時刻と終了時刻とを対応付けて記憶する。スケジュールプロファイルテーブル２５０には、例えば、一日のうちにユーザが行う予定の各業務についての業務名、開始時刻および終了時刻が記憶される。
【００５５】
ここで、業務名は、ユーザが行う予定の業務の名称を示す。業務には、昼休み等の休憩時間を含めることにしてもよい。開始時刻は、業務名の業務を開始する時刻を示す。終了時刻は、業務名の業務を終了する時刻を示す。スケジュールプロファイルテーブル２５０は、例えば、業務日ごとに作成される。
【００５６】
図８は、適用プロファイルテーブル２６０の記憶内容の一例を示す説明図である。図８において、適用プロファイルテーブル２６０は、適用業務のフィールドを有する。ここで、適用業務は、端末装置Ｔｉにおいて操作が行われたときに、ユーザが実施している業務の名称を示す。
【００５７】
図９は、実操作テーブル２７０の記憶内容の一例を示す説明図である。図９において、実操作テーブル２７０は、業務名、操作名および累計のフィールドを有し、各フィールドに情報を設定することで、実操作情報（例えば、実操作情報９００−１〜９００−３）をレコードとして記憶する。
【００５８】
業務名は、ユーザが行った業務の名称を示す。操作名は、業務名の業務においてユーザが行った操作の名称を示す。累計は、業務名の業務において、ユーザが操作名の操作を行った累計回数あるいは累計時間を示すものであり、業務中にユーザが行う操作内容に応じて逐次更新される。累計回数とは、ユーザが操作を行った回数である。累計時間とは、ユーザが操作を開始してから終了するまでの操作時間の累計である。
【００５９】
なお、ここでは、操作名に「操作時間」が含まれるとき、累計は累計時間を示す。また、操作名に「アクセス回数」が含まれるとき、累計は累計回数を示す。実操作テーブル２７０は、例えば、一日の業務を開始あるいは終了する際にリセットされる。
【００６０】
図１０は、操作履歴テーブル２８０の記憶内容の一例を示す説明図である。図１０において、操作履歴テーブル２８０は、業務名、操作名および平均のフィールドを有し、各フィールドに情報を設定することで、操作履歴情報（操作履歴情報１０００−１〜１０００−３）をレコードとして記憶する。
【００６１】
業務名は、ユーザが行った業務の名称を示す。操作名は、業務名の業務においてユーザが行った操作の名称を示す。平均は、過去の一定期間Ｔにおける業務名の業務においてユーザが行った操作名の操作の平均を示す。一定期間Ｔは、任意に設定可能であり、例えば、１週間や１ヶ月の期間に設定される。
【００６２】
例えば、操作名に「操作時間」が含まれるとき、平均は、過去の一定期間Ｔにおいてユーザが行った操作の一日の累計時間の平均を示す。また、操作名に「アクセス回数」が含まれるとき、平均は、過去の一定期間Ｔにおいてユーザが行った操作の一日の累計回数の平均を示す。
【００６３】
なお、図示は省略するが、操作履歴テーブル２８０には、例えば、過去の一定期間に端末装置Ｔｉのユーザが行った操作を示す操作情報（操作ログ）が蓄積される。
【００６４】
図１１は、スコアテーブル２９０の記憶内容の一例を示す説明図である。図１１において、スコアテーブル２９０は、業務名およびスコアのフィールドを有し、各フィールドに情報を設定することで、スコア情報（例えば、１１００−１〜１１００−６）をレコードとして記憶する。
【００６５】
ここで、業務名は、ユーザが行う業務の名称を示す。業務名としては、例えば、図４に示した業務プロファイルテーブル２２０に設定された業務名が設定される。スコアは、業務名の業務において不正操作が行われた可能性の高さを示す値であり、業務中にユーザが行う操作内容に応じて逐次更新される。
【００６６】
（定義外操作確認画面１２００の画面例）
つぎに、端末装置Ｔｉのディスプレイ（不図示）に表示される定義外操作確認画面１２００の画面例について説明する。
【００６７】
図１２は、定義外操作確認画面１２００の画面例を示す説明図である。図１２において、定義外操作確認画面１２００は、定義外操作テーブル２４０に登録する定義外操作を確認するための操作画面である。定義外操作確認画面１２００には、定義外操作として登録される操作の操作名、操作定義業務、昨日のスコア、本日のスコアおよび変更・設定が表示される。
【００６８】
ここで、操作定義業務は、操作名の操作が行われる業務を示す。なお、各操作がどの業務で行われるかは、例えば、図５に示した操作プロファイルテーブル２３０から特定される。昨日のスコアは、操作名の操作の昨日の定義外スコアである。本日のスコアは、操作名の操作の本日の定義外スコアである。本日のスコアとしては、例えば、各操作の出現頻度と重み平均とに基づく値が設定される。
【００６９】
定義外操作確認画面１２００によれば、ユーザは、例えば、各操作について、昨日のスコアを参照して、本日のスコアの妥当性を判断することができる。また、ユーザは、ある操作について本日のスコアを変更する場合は、変更後のスコアをその操作の変更・設定の項目に入力する。この結果、その操作について、本日のスコアが、変更後のスコアに更新される。変更・設定の項目が未入力の操作については、本日のスコアが定義外スコアとして設定される。
【００７０】
また、定義外操作確認画面１２００によれば、ユーザは、「その他操作」の本日のスコアを設定することができる。「その他操作」は、操作プロファイルテーブル２３０に登録されていない操作である。これにより、「その他操作」が行われた際に不正操作である可能性の高さを示す定義外スコアを任意に設定することができる。
【００７１】
また、定義外操作確認画面１２００において、端末装置Ｔｉの入力装置（不図示）を用いたユーザの操作入力により、ＯＫボタン１２０１を選択すると、定義外操作テーブル２４０に登録する定義外操作の確認を終了することができる。また、定義外操作確認画面１２００において、ユーザの操作入力により、キャンセルボタン１２０２を選択すると、各操作の変更・設定の項目を初期化することができる。
【００７２】
（不正操作監視装置１０１の機能的構成例）
つぎに、不正操作監視装置１０１の機能的構成例について説明する。
【００７３】
図１３は、不正操作監視装置１０１の機能的構成例を示すブロック図である。図１３において、不正操作監視装置１０１は、取得部１３０１と、判定部１３０２と、算出部１３０３と、設定部１３０４と、判断部１３０５と、制御処理部１３０６と、を含む構成である。取得部１３０１〜制御処理部１３０６は制御部となる機能であり、具体的には、例えば、図３に示したメモリ３０２、ディスク３０５などの記憶装置に記憶されたプログラムをＣＰＵ３０１に実行させることにより、または、Ｉ／Ｆ３０３により、その機能を実現する。各機能部の処理結果は、例えば、メモリ３０２、ディスク３０５などの記憶装置に記憶される。
【００７４】
取得部１３０１は、端末装置Ｔｉにおいて行われた操作を示す操作情報を取得する。ここで、操作情報は、例えば、操作時刻と、操作対象と、操作内容とを含む。操作時刻は、操作が行われた時刻である。操作対象は、操作の対象を示す。例えば、操作対象は、図２に示したサーバＳＶ１〜ＳＶｍのうちのいずれかのサーバＳＶｊである。操作内容は、操作の内容を示す。操作情報は、図１で説明した操作履歴情報に相当する。
【００７５】
具体的には、例えば、取得部１３０１は、端末装置ＴｉにおいてサーバＳＶｊへの操作が行われたことに応じて、その操作を示す操作情報をサーバＳＶｊ（あるいは、端末装置Ｔｉ）から受信することにより、その操作を示す操作情報を取得する。取得された操作情報は、操作ログとして、例えば、図１０に示した操作履歴テーブル２８０に記憶される。
【００７６】
判定部１３０２は、複数の業務について各業務と各業務で行う操作とを対応付けた情報に基づいて、取得した操作情報が示す操作が適用業務に対応する操作であるか否かを判定する。ここで、適用業務は、操作情報が示す操作が行われたときに、端末装置Ｔｉのユーザが実施している業務である。
【００７７】
具体的には、例えば、判定部１３０２は、図７に示したスケジュールプロファイルテーブル２５０を参照して、取得された操作情報に含まれる操作時刻が、開始時刻から終了時刻までの時間帯に含まれる業務名を、適用業務の業務名として特定する。これにより、操作情報が示す操作が行われた業務を特定することができる。
【００７８】
ただし、ユーザが実施している業務を特定可能な情報が、操作情報に含まれていてもよい。この場合、判定部１３０２は、取得された操作情報を参照して、操作情報が示す操作が行われた業務を特定することができる。
【００７９】
特定された適用業務の業務名は、例えば、図８に示した適用プロファイルテーブル２６０に記憶される。例えば、操作情報が取得されたことに応じて、その都度、判定部１３０２が適用プロファイルテーブル２６０を更新することにより、端末装置Ｔｉのユーザが現在行っている業務を管理することができる。
【００８０】
そして、判定部１３０２は、図５に示した操作プロファイルテーブル２３０を参照して、適用業務の業務名と対応付けて、操作情報が示す操作の操作名が設定されているか否かを判定する。ここで、操作名が設定されている場合、判定部１３０２は、操作情報が示す操作が適用業務に対応する操作であると判定する。一方、操作名が未設定の場合、判定部１３０２は、操作情報が示す操作が適用業務に対応する操作ではないと判定する。
【００８１】
なお、操作情報が示す操作の操作名は、例えば、操作情報に含まれる操作対象と操作内容とから特定される。例えば、操作対象であるサーバＳＶｊが「システムＡ」であり、操作内容が「ファイルのリード／ライト」の場合、操作名は「システムＡアクセス回数」となる。また、操作対象であるサーバＳＶｊが「システムＡ」であり、操作内容が「ログイン／ログアウト」の場合、操作名は「システムＡ操作時間」となる。
【００８２】
算出部１３０３は、取得された操作情報に基づいて、業務において操作が行われた頻度を算出する。具体的には、例えば、算出部１３０３は、操作情報が示す操作が適用業務に対応する操作である場合に、適用業務において操作が行われた頻度を算出する。頻度は、例えば、適用業務において操作が行われた累計回数や累計時間である。
【００８３】
例えば、取得された操作情報が、操作対象であるサーバＳＶｊへのアクセス（例えば、ファイルのリード／ライト等）を示す場合、算出部１３０３は、適用業務におけるサーバＳＶｊへのアクセス回数をインクリメントする。
【００８４】
また、取得された操作情報が、操作対象であるサーバＳＶｊへの操作の開始（例えば、ログイン）を示す場合、算出部１３０３は、適用業務におけるサーバＳＶｊへの操作の開始時刻（例えば、ログイン時刻）を記録する。そして、算出部１３０３は、サーバＳＶｊへの操作の終了（例えば、ログアウト）を示す操作情報が取得された場合に、適用業務におけるサーバＳＶｊへの操作時間を算出して累計していく。操作時間は、例えば、適用業務におけるサーバＳＶｊへの操作の開始時刻から終了時刻（例えば、ログアウト時刻）までの時間である。
【００８５】
算出された頻度は、例えば、適用業務の業務名と該当操作の操作名と対応付けて、図９に示した実操作テーブル２７０に「累計」として記憶される。該当操作は、操作情報が示す操作である。実操作テーブル２７０に、適用業務の業務名と該当操作の操作名との組合せに対応するレコードが既に存在する場合は、そのレコードの「累計」が更新される。
【００８６】
また、算出部１３０３は、取得された操作情報に基づいて、端末装置Ｔｉのユーザの操作履歴を更新する。具体的には、例えば、算出部１３０３は、操作履歴テーブル２８０から、過去の一定期間Ｔ分の操作情報を取得する。過去の一定期間Ｔ分の操作情報は、例えば、現在時刻から一定期間Ｔ遡った時点から現在時刻までの期間に、操作時刻が含まれる操作情報である。
【００８７】
そして、算出部１３０３は、取得した過去の一定期間Ｔ分の操作情報に基づいて、業務と操作との組合せごとに、業務においてユーザが行った操作の平均を算出する。操作の平均は、例えば、操作の操作名に操作時間が含まれるとき、該当業務においてユーザが行った該当操作の日ごとの累計時間の平均を示す。また、操作の平均は、操作の操作名にアクセス回数が含まれるとき、該当業務においてユーザが行った該当操作の日ごとの累計回数の平均を示す。
【００８８】
算出された操作の平均は、例えば、業務名と操作名と対応付けて、図１０に示した操作履歴テーブル２８０に記憶される。操作履歴テーブル２８０に、操作の平均が算出された業務名と操作名との組合せに対応するレコードが既に存在する場合は、そのレコードの「平均」が更新される。
【００８９】
なお、端末装置Ｔｉのユーザの操作履歴の更新処理は、操作情報が取得される度に実行されてもよく、また、１日や１週間ごとなど定期的に実行されることにしてもよい。
【００９０】
設定部１３０４は、端末装置Ｔｉにおいて行われる操作の定義外スコアを設定する。ここで、定義外スコアの設定対象となる操作は、例えば、操作プロファイルテーブル２３０に設定された操作名の操作である。定義外スコアは、操作が定義外操作として行われたときの不正である可能性の高さを示す値である。定義外操作は、業務において行われるとあらかじめ想定された操作とは異なる操作である。
【００９１】
操作の定義外スコアは、端末装置Ｔｉのユーザが実施する複数の業務において、その操作が行われる頻度に応じて増減する。換言すれば、ある業務において定義外操作として行われる操作の定義外スコアは、その操作が他の業務で行われる頻度に応じて増減する。したがって、ユーザが実施する複数の業務全体において、頻繁に行われる操作の定義外スコアは低くなる。
【００９２】
ユーザが実施する複数の業務全体における各操作の頻度は、例えば、操作プロファイルテーブル２３０における各操作の出現頻度に相当する。すなわち、ある操作名の操作の出現頻度は、操作プロファイルテーブル２３０において、その操作名の操作が出現する回数である。
【００９３】
また、操作の定義外スコアは、その操作が行われる業務と当該操作との組合せに応じて設定される重みに応じてさらに増減することにしてもよい。重みは、例えば、業務において、対応する操作についての不正が行われた際の影響度合いが大きいほど、高い値に設定される。例えば、操作の定義外スコアは、業務名と操作名との組合せに応じて操作プロファイルテーブル２３０に設定される重みに応じてさらに増減する。
【００９４】
より具体的には、例えば、設定部１３０４は、下記式（１）を用いて、各操作の定義外スコアを算出することにしてもよい。ただし、Ｎaは、操作プロファイルテーブル２３０における操作ａの出現頻度を示す。Ｗkaは、操作プロファイルテーブル２３０における業務ｋにおける操作ａの重みを示す。
【００９５】
【数１】
2018081655.tif 000003
【００９６】
算出された各操作の定義外スコアは、例えば、各操作の操作名（定義外操作名）、出現頻度Ｎaおよび重み平均と対応付けて、図６に示した定義外操作テーブル２４０に記憶される。重み平均は、上記式（１）の重みの平均値に相当する。これにより、端末装置Ｔｉにおいて行われる各操作の定義外スコアを設定することができる。
【００９７】
判断部１３０５は、業務において不正操作が行われたか否かを判断する。具体的には、例えば、判断部１３０５は、操作情報が示す操作が適用業務に対応する操作ではない場合、その操作の第１の不正操作可能性の高さを示す値に基づいて、適用業務において不正操作が行われたか否かを判断する。
【００９８】
ここで、第１の不正操作可能性の高さを示す値とは、端末装置Ｔｉのユーザが行う複数の操作のうちの適用業務とは異なる他の業務で、操作情報が示す操作が行われる頻度に応じて増減する値である。また、第１の不正操作可能性の高さを示す値は、操作情報が示す操作が行われる業務と当該操作との組合せに応じて設定される重みに応じてさらに増減することにしてもよい。
【００９９】
より詳細に説明すると、判断部１３０５は、例えば、定義外操作テーブル２４０から、操作情報が示す操作に対応する定義外スコアを取得する。操作情報が示す操作に対応する定義外スコアとは、操作情報が示す操作の操作名（例えば、操作名から「回数」を除いた残余の文字列）が、定義外操作名に設定された定義外操作情報の定義外スコアである。なお、「回数」の表記がない操作名の操作については、定義外スコアの取得対象外としてもよい。
【０１００】
ただし、操作情報が示す操作の操作名（例えば、操作名から「回数」を除いた残余の文字列）が、定義外操作名に設定された定義外操作情報が存在しない場合がある。この場合、判断部１３０５は、定義外操作テーブル２４０から、定義外操作名に「その他操作」が設定された定義外操作情報（例えば、定義外操作情報６００−ｘ）の定義外スコアを取得する。
【０１０１】
つぎに、判断部１３０５は、取得した定義外スコアを、図１１に示したスコアテーブル２９０内の適用業務に対応するスコア情報のスコアに加算する。ここで、適用業務に対応するスコア情報とは、適用業務の業務名が、業務名に設定されたスコア情報である。適用業務の業務名が設定されたスコア情報としては、複数の業務をまとめた業務の業務名の一部に、適用業務の業務名が含まれるものもある。また、適用業務に対応するスコア情報には、「業務全体」が業務名に設定されたスコア情報も含まれる。
【０１０２】
そして、判断部１３０５は、スコアテーブル２９０内の適用業務に対応するスコア情報のスコアが、業務プロファイルテーブル２２０内の対応するブロック閾値を超えているか否かを判断する。ブロック閾値は、不正操作が行われたか否かを判断するために業務に応じて設定される閾値である。なお、業務プロファイルテーブル２２０内の対応するブロック閾値とは、スコア情報と業務名が一致する業務プロファイル情報のブロック閾値である。
【０１０３】
ここで、適用業務に対応するスコア情報のスコアがブロック閾値を超える場合、判断部１３０５は、そのスコア情報の業務名の業務において不正操作が行われたと判断する。一方、適用業務に対応するスコア情報のスコアがブロック閾値以下の場合、判断部１３０５は、そのスコア情報の業務名の業務において不正操作が行われていないと判断する。
【０１０４】
また、判断部１３０５は、操作情報が示す操作が適用業務に対応する操作である場合、算出部１３０３によって算出された適用業務において該当操作が行われた頻度を、適用業務と該当操作との組合せに応じて設定される閾値と比較する。
【０１０５】
より詳細に説明すると、判断部１３０５は、例えば、実操作テーブル２７０を参照して、適用業務の業務名と該当操作の操作名とに対応する累計を特定する。つぎに、判断部１３０５は、操作プロファイルテーブル２３０を参照して、適用業務の業務名と該当操作の操作名とに対応する閾値を特定する。
【０１０６】
そして、判断部１３０５は、特定した累計が、特定した閾値を超えているか否かを判断する。なお、累計が閾値を超えるとは、例えば、累計が、閾値が示す値より大きい、あるいは、閾値が示す範囲外となることに相当する。ここで、累計が閾値を超えていない場合、判断部１３０５は、適用業務において不正操作が行われていないと判断することにしてもよい。
【０１０７】
一方、累計が閾値を超えている場合、判断部１３０５は、適用業務と該当操作との組合せに応じて設定される第２の不正操作可能性の高さを示す値に基づいて、適用業務において不正操作が行われたか否かを判断することにしてもよい。
【０１０８】
ここで、第２の不正操作可能性の高さを示す値は、適用業務において該当操作についての不正が行われた可能性の高さを示す値である。第２の不正操作可能性の高さを示す値は、例えば、該当操作についての不正が行われた際の影響度合いの大きさや、適用業務において該当操作が正常な範囲で行われていないときに不正であるといえる妥当性の高さに応じて設定される。
【０１０９】
具体的には、例えば、第２の不正操作可能性の高さを示す値は、操作プロファイルテーブル２３０内の適用業務と該当操作との組合せに対応する重みである。このため、判断部１３０５は、例えば、操作プロファイルテーブル２３０から、適用業務の業務名と該当操作の操作名との組合せに対応する重みを取得する。
【０１１０】
つぎに、判断部１３０５は、取得した重みを、スコアテーブル２９０内の適用業務に対応するスコア情報のスコアに加算する。すなわち、スコアテーブル２９０内の適用業務に対応するスコア情報のスコアは、上述した第１の不正操作可能性の高さを示す値（定義外スコア）と、第２の不正操作可能性の高さを示す値（重み）とを累計した累計値となる。
【０１１１】
そして、判断部１３０５は、スコアテーブル２９０内の適用業務に対応するスコア情報のスコアが、業務プロファイルテーブル２２０内の対応するブロック閾値を超えているか否かを判断する。ここで、適用業務に対応するスコア情報のスコアがブロック閾値を超える場合、判断部１３０５は、そのスコア情報の業務名の業務において不正操作が行われたと判断する。一方、適用業務に対応するスコア情報のスコアがブロック閾値以下の場合、判断部１３０５は、そのスコア情報の業務名の業務において不正操作が行われていないと判断する。
【０１１２】
制御処理部１３０６は、業務において不正操作が行われたと判断された場合、制御処理を実行する。制御処理の処理内容は、任意に設定可能である。具体的には、例えば、制御処理部１３０６は、適用業務において不正操作が行われたと判断された場合、端末装置Ｔｉにおける操作を制限するように制御することにしてもよい。端末装置Ｔｉにおける操作を制限するとは、例えば、端末装置ＴｉからのサーバＳＶ１〜ＳＶｍの一部または全部に対する操作を遮断することであってもよい。
【０１１３】
また、制御処理部１３０６は、適用業務において不正操作が行われたと判断された場合、アラートを出力することにしてもよい。アラートは、端末装置Ｔｉにおいて不正操作が行われた可能性が高いことを示す警告である。アラートには、端末装置Ｔｉを識別する情報や適用業務の業務名などが含まれる。アラートの出力先は、例えば、不正操作監視システム２００の管理者のコンピュータであってもよく、また、メモリ３０２、ディスク３０５などの記憶装置であってもよい。
【０１１４】
（不正操作の判断例）
つぎに、端末装置Ｔｉにおいて行われる不正操作の判断例について説明する。
【０１１５】
図１４および図１５は、不正操作の判断例を示す説明図である。図１４において、操作ログＬＧは、操作情報１４０１〜１４０３を含む。操作情報１４０１〜１４０３は、端末装置Ｔｉにおいて、業務名「見積もり」の業務で順次行われた操作を示す情報である。
【０１１６】
まず、操作情報１４０１が取得された場合、実操作テーブル２７０内に実操作情報１４１１が新たなレコードとして記憶される。ただし、この時点では、ログイン時刻のみが記録されるため、実操作情報１４１１の累計は「−」である。操作情報１４０１が示す操作は、操作名が「システムＡ操作時間」であり、適用業務（業務名：見積もり）に対応する操作である。
【０１１７】
この場合、判断部１３０５は、操作プロファイルテーブル２３０を参照して、実操作情報１４１１の累計「−」が、業務名「見積もり」と操作名「システムＡ操作時間」との組合せに対応する閾値「５〜２０分」を超えているか否かを判断する。ここでは、閾値「５〜２０分」を超えていないと判断される。したがって、スコアテーブル２９０内の適用業務に対応するスコア情報１４２１のスコアは「０」のままである。
【０１１８】
つぎに、操作情報１４０２が取得された場合、実操作テーブル２７０内に実操作情報１４１２が新たなレコードとして記憶される。この時点では、実操作情報１４１２の累計は「１回」である。操作情報１４０２が示す操作は、操作名が「システムＡアクセス回数」であり、適用業務（業務名：見積もり）に対応する操作である。
【０１１９】
この場合、判断部１３０５は、操作プロファイルテーブル２３０を参照して、実操作情報１４１２の累計「１回」が、業務名「見積もり」と操作名「システムＡアクセス回数」との組合せに対応する閾値「３〜１０回」を超えているか否かを判断する。ここでは、閾値「３〜１０回」を超えていないと判断される。したがって、スコアテーブル２９０内の適用業務に対応するスコア情報１４２１のスコアは「０」のままである。
【０１２０】
つぎに、操作情報１４０３が取得された場合、実操作テーブル２７０内の実操作情報１４１２の累計がインクリメントされる。この時点では、実操作情報１４１２の累計は「２回」である。操作情報１４０２が示す操作は、操作名が「システムＡアクセス回数」であり、適用業務（業務名：見積もり）に対応する操作である。
【０１２１】
この場合、判断部１３０５は、操作プロファイルテーブル２３０を参照して、実操作情報１４１２の累計「２回」が、業務名「見積もり」と操作名「システムＡアクセス回数」との組合せに対応する閾値「３〜１０回」を超えているか否かを判断する。ここでは、閾値「３〜１０回」を超えていないと判断される。したがって、スコアテーブル２９０内の適用業務に対応するスコア情報１４２１のスコアは「０」のままである。
【０１２２】
図１５において、操作ログＬＧに、操作情報１４０４〜１４０６が追加されている。操作情報１４０４〜１４０６は、端末装置Ｔｉにおいて、業務名「見積もり」の業務で順次行われた操作を示す情報である。
【０１２３】
まず、操作情報１４０４が取得された場合、実操作テーブル２７０内に実操作情報１４１３が新たなレコードとして記憶される。この時点では、実操作情報１４１３の累計は「１回」である。操作情報１４０４が示す操作は、操作名が「サーバＣアクセス回数」であり、適用業務（業務名：見積もり）に対応する操作ではない。
【０１２４】
この場合、判断部１３０５は、定義外操作テーブル２４０から、操作情報が示す操作の操作名「サーバＣアクセス回数」から「回数」を除いた残余の文字列「サーバＣアクセス」に対応する定義外スコア「３」を取得する。そして、判断部１３０５は、取得した定義外スコアを、スコアテーブル２９０内の適用名「見積もり」に対応するスコア情報１４２１のスコアに加算する。
【０１２５】
つぎに、判断部１３０５は、スコア情報１４２１のスコアが、業務プロファイルテーブル２２０内の業務名「見積もり」に対応するブロック閾値「８」を超えているか否かを判断する。この時点では、スコア情報１４２１のスコアは「３」である。したがって、判断部１３０５は、スコア情報１４２１のスコア「３」がブロック閾値「８」を超えていないと判断する。
【０１２６】
つぎに、操作情報１４０５が取得された場合、実操作テーブル２７０内の実操作情報１４１３の累計がインクリメントされる。この時点では、実操作情報１４１３の累計は「２回」である。操作情報１４０５が示す操作は、操作名が「サーバＣアクセス回数」であり、適用業務（業務名：見積もり）に対応する操作ではない。
【０１２７】
この場合、判断部１３０５は、定義外操作テーブル２４０から、操作情報が示す操作の操作名「サーバＣアクセス回数」から「回数」を除いた残余の文字列「サーバＣアクセス」に対応する定義外スコア「３」を取得する。そして、判断部１３０５は、取得した定義外スコアを、スコアテーブル２９０内の適用名「見積もり」に対応するスコア情報１４２１のスコアに加算する。
【０１２８】
つぎに、判断部１３０５は、スコア情報１４２１のスコアが、業務プロファイルテーブル２２０内の業務名「見積もり」に対応するブロック閾値「８」を超えているか否かを判断する。この時点では、スコア情報１４２１のスコアは「６」である。したがって、判断部１３０５は、スコア情報１４２１のスコア「３」がブロック閾値「８」を超えていないと判断する。
【０１２９】
つぎに、操作情報１４０６が取得された場合、実操作テーブル２７０内の実操作情報１４１３の累計がインクリメントされる。この時点では、実操作情報１４１３の累計は「３回」である。操作情報１４０６が示す操作は、操作名が「サーバＣアクセス回数」であり、適用業務（業務名：見積もり）に対応する操作ではない。
【０１３０】
この場合、判断部１３０５は、定義外操作テーブル２４０から、操作情報が示す操作の操作名「サーバＣアクセス回数」から「回数」を除いた残余の文字列「サーバＣアクセス」に対応する定義外スコア「３」を取得する。そして、判断部１３０５は、取得した定義外スコアを、スコアテーブル２９０内の適用名「見積もり」に対応するスコア情報１４２１のスコアに加算する。
【０１３１】
つぎに、判断部１３０５は、スコア情報１４２１のスコアが、業務プロファイルテーブル２２０内の業務名「見積もり」に対応するブロック閾値「８」を超えているか否かを判断する。この時点では、スコア情報１４２１のスコアは「９」である。判断部１３０５は、スコア情報１４２１のスコアが「９」であるので、ブロック閾値「８」を超えていると判断する。そして、判断部１３０５は、業務名「見積もり」の業務において不正操作が行われたと判断する。
【０１３２】
このように、新たな操作情報が取得されると、その都度、不正操作の可能性を判断してスコア情報のスコアを更新することができ、端末装置Ｔｉにおける不正操作をリアルタイムに検出することが可能となる。
【０１３３】
（不正操作監視装置１０１の各種処理手順）
つぎに、不正操作監視装置１０１の各種処理手順について説明する。まず、不正操作監視装置１０１のプロファイル作成処理手順について説明する。プロファイル作成処理は、例えば、端末装置Ｔｉのユーザの一日の業務開始前に実行される。
【０１３４】
図１６および図１７は、不正操作監視装置１０１のプロファイル作成処理手順の一例を示すフローチャートである。図１６のフローチャートにおいて、まず、不正操作監視装置１０１は、端末装置Ｔｉから業務プロファイル情報の入力を受け付けたか否かを判断する（ステップＳ１６０１）。業務プロファイル情報は、端末装置Ｔｉのユーザが担当する業務の業務名およびブロック閾値を含む。
【０１３５】
ここで、不正操作監視装置１０１は、業務プロファイル情報の入力を待つ（ステップＳ１６０１：Ｎｏ）。そして、不正操作監視装置１０１は、業務プロファイル情報の入力を受け付けた場合（ステップＳ１６０１：Ｙｅｓ）、入力された業務プロファイル情報を、業務プロファイルテーブル２２０に登録する（ステップＳ１６０２）。
【０１３６】
つぎに、不正操作監視装置１０１は、操作履歴テーブル２８０を参照して、端末装置Ｔｉのディスプレイ（不図示）に、端末装置Ｔｉのユーザの操作履歴を表示する（ステップＳ１６０３）。そして、不正操作監視装置１０１は、端末装置Ｔｉから操作プロファイル情報の入力を受け付けたか否かを判断する（ステップＳ１６０４）。操作プロファイル情報は、端末装置Ｔｉのユーザが担当する業務の業務名、その業務において行われる操作の操作名、閾値および重みを含む。
【０１３７】
ここで、不正操作監視装置１０１は、操作プロファイル情報の入力を待つ（ステップＳ１６０４：Ｎｏ）。そして、不正操作監視装置１０１は、操作プロファイル情報の入力を受け付けた場合（ステップＳ１６０４：Ｙｅｓ）、入力された操作プロファイル情報を、操作プロファイルテーブル２３０に登録する（ステップＳ１６０５）。
【０１３８】
つぎに、不正操作監視装置１０１は、操作プロファイルテーブル２３０を参照して、操作プロファイルテーブル２３０に設定された各操作の出現頻度および重み平均を算出する（ステップＳ１６０６）。そして、不正操作監視装置１０１は、算出した各操作の出現頻度および重み平均に基づいて、上記式（１）を用いて、各操作の定義外スコアを算出する（ステップＳ１６０７）。
【０１３９】
つぎに、不正操作監視装置１０１は、算出した各操作の定義外スコアを、各操作の操作名（定義外操作名）、出現頻度および重み平均と対応付けて、定義外操作テーブル２４０に登録して（ステップＳ１６０８）、図１７に示すステップＳ１７０１に移行する。
【０１４０】
図１７のフローチャートにおいて、まず、不正操作監視装置１０１は、定義外操作テーブル２４０を参照して、端末装置Ｔｉのディスプレイ（不図示）に定義外操作確認画面１２００を表示する（ステップＳ１７０１）。そして、不正操作監視装置１０１は、定義外操作確認画面１２００において定義外操作の内容が変更されたか否かを判断する（ステップＳ１７０２）。
【０１４１】
ここで、定義外操作の内容が変更されていない場合（ステップＳ１７０２：Ｎｏ）、不正操作監視装置１０１は、ステップＳ１７０４に移行する。一方、定義外操作の内容が変更された場合（ステップＳ１７０２：Ｙｅｓ）、不正操作監視装置１０１は、変更された定義外操作の内容に基づいて、定義外操作テーブル２４０を更新する（ステップＳ１７０３）。
【０１４２】
つぎに、不正操作監視装置１０１は、端末装置Ｔｉのユーザのスケジュールの入力を受け付けたか否かを判断する（ステップＳ１７０４）。スケジュールは、端末装置Ｔｉのユーザが行う各業務の業務名、開始時刻および終了時刻を含む。ここで、不正操作監視装置１０１は、スケジュールの入力を待つ（ステップＳ１７０４：Ｎｏ）。
【０１４３】
そして、不正操作監視装置１０１は、スケジュールの入力を受け付けた場合（ステップＳ１７０４：Ｙｅｓ）、入力されたスケジュールをスケジュールプロファイルテーブル２５０に登録して（ステップＳ１７０５）、本フローチャートによる一連の処理を終了する。これにより、端末装置Ｔｉのユーザの各種プロファイルを作成することができる。
【０１４４】
（不正操作監視装置１０１の不正操作監視処理手順）
つぎに、不正操作監視装置１０１の不正操作監視処理手順について説明する。
【０１４５】
図１８および図１９は、不正操作監視装置１０１の不正操作監視処理手順の一例を示すフローチャートである。図１８のフローチャートにおいて、まず、不正操作監視装置１０１は、端末装置Ｔｉにおいて行われた操作を示す操作情報を取得したか否かを判断する（ステップＳ１８０１）。
【０１４６】
ここで、不正操作監視装置１０１は、操作情報を取得するのを待つ（ステップＳ１８０１：Ｎｏ）。そして、不正操作監視装置１０１は、操作情報を取得した場合（ステップＳ１８０１：Ｙｅｓ）、スケジュールプロファイルテーブル２５０にスケジュールが登録済みか否かを判断する（ステップＳ１８０２）。
【０１４７】
ここで、スケジュールが未登録の場合（ステップＳ１８０２：Ｎｏ）、不正操作監視装置１０１は、端末装置Ｔｉのユーザにプロファイル作成要求を通知して（ステップＳ１８０３）、本フローチャートによる一連の処理を終了する。
【０１４８】
一方、スケジュールが登録済みの場合（ステップＳ１８０２：Ｙｅｓ）、不正操作監視装置１０１は、スケジュールプロファイルテーブル２５０を参照して、取得した操作情報に含まれる操作時刻が、開始時刻から終了時刻までの時間帯に含まれる適用業務の業務名を特定する（ステップＳ１８０４）。
【０１４９】
そして、不正操作監視装置１０１は、特定した適用業務の業務名を適用プロファイルテーブル２６０に設定する（ステップＳ１８０５）。つぎに、不正操作監視装置１０１は、操作履歴更新処理を実行して（ステップＳ１８０６）、図１９に示すステップＳ１９０１に移行する。なお、操作履歴更新処理の具体的な処理手順については、図２０を用いて後述する。
【０１５０】
図１９のフローチャートにおいて、まず、不正操作監視装置１０１は、操作プロファイルテーブル２３０を参照して、取得した操作情報が示す操作が適用業務に対応する操作であるか否かを判定する（ステップＳ１９０１）。
【０１５１】
ここで、適用業務に対応する操作である場合（ステップＳ１９０１：Ｙｅｓ）、不正操作監視装置１０１は、適用業務において操作情報が示す操作が行われた頻度（累計）を算出して実操作テーブル２７０を更新する（ステップＳ１９０２）。そして、不正操作監視装置１０１は、実操作テーブル２７０を参照して、適用業務の業務名と操作情報が示す操作の操作名とに対応する累計が、操作プロファイルテーブル２３０内の対応する閾値を超えているか否かを判断する（ステップＳ１９０３）。
【０１５２】
ここで、累計が閾値を超えていない場合（ステップＳ１９０３：Ｎｏ）、不正操作監視装置１０１は、本フローチャートによる一連の処理を終了する。一方、累計が閾値を超えている場合（ステップＳ１９０３：Ｙｅｓ）、不正操作監視装置１０１は、操作プロファイルテーブル２３０から、適用業務の業務名と操作情報が示す操作名との組合せに対応する重みを取得する（ステップＳ１９０４）。
【０１５３】
そして、不正操作監視装置１０１は、取得した重みを、スコアテーブル２９０内の適用業務に対応するスコア情報のスコアに加算して（ステップＳ１９０５）、ステップＳ１９０８に移行する。
【０１５４】
また、ステップＳ１９０１において、適用業務に対応する操作ではない場合（ステップＳ１９０１：Ｎｏ）、不正操作監視装置１０１は、定義外操作テーブル２４０から、操作情報が示す操作に対応する定義外スコアを取得する（ステップＳ１９０６）。そして、不正操作監視装置１０１は、取得した定義外スコアを、スコアテーブル２９０内の適用業務に対応するスコア情報のスコアに加算する（ステップＳ１９０７）。
【０１５５】
そして、不正操作監視装置１０１は、スコアテーブル２９０内の適用業務に対応するスコア情報のスコアが、業務プロファイルテーブル２２０内の対応するブロック閾値を超えているか否かを判断する（ステップＳ１９０８）。
【０１５６】
ここで、スコアがブロック閾値を超えていない場合（ステップＳ１９０８：Ｎｏ）、不正操作監視装置１０１は、本フローチャートによる一連の処理を終了する。一方、スコアがブロック閾値を超えている場合（ステップＳ１９０８：Ｙｅｓ）、不正操作監視装置１０１は、端末装置Ｔｉにおける操作を制限する制御処理を実行して（ステップＳ１９０９）、本フローチャートによる一連の処理を終了する。
【０１５７】
これにより、端末装置Ｔｉにおいて行われた操作をリアルタイムに監視して、端末装置Ｔｉにおいて不正操作が行われたと判断できる状態となったら、その時点で端末装置Ｔｉにおける操作を制限することができる。
【０１５８】
つぎに、図１８に示したステップＳ１８０６の操作履歴更新処理の具体的な処理手順について説明する。
【０１５９】
図２０は、操作履歴更新処理の具体的処理手順の一例を示すフローチャートである。図２０のフローチャートにおいて、まず、不正操作監視装置１０１は、適用業務の業務名と対応付けて、取得した操作情報を操作履歴テーブル２８０に保存する（ステップＳ２００１）。
【０１６０】
つぎに、不正操作監視装置１０１は、適用業務の業務名と、取得した操作情報が示す操作の操作名の組合せを特定する（ステップＳ２００２）。そして、不正操作監視装置１０１は、操作履歴テーブル２８０から、特定した業務名と操作名との組合せに対応する過去の一定期間Ｔ分の操作情報を取得する（ステップＳ２００３）。
【０１６１】
つぎに、不正操作監視装置１０１は、取得した操作情報に基づいて、適用業務における操作情報が示す操作の日ごとの累計時間または累計回数の平均を算出する（ステップＳ２００４）。そして、不正操作監視装置１０１は、適用業務の業務名と、操作情報が示す操作の操作名との組合せに対応付けて、算出した平均を操作履歴テーブル２８０に登録して（ステップＳ２００５）、本フローチャートによる一連の処理を終了する。
【０１６２】
これにより、端末装置Ｔｉにおいて行われた操作情報を取得する度に、操作履歴テーブル２８０の記憶内容を更新することができる。
【０１６３】
以上説明したように、実施の形態にかかる不正操作監視装置１０１によれば、端末装置Ｔｉにおいて行われた操作を示す操作情報を取得することができる。また、不正操作監視装置１０１によれば、スケジュールプロファイルテーブル２５０を参照して、取得した操作情報に含まれる操作時刻から、操作情報が示す操作が行われた適用業務を特定することができる。これにより、端末装置Ｔｉにおいて操作情報が示す操作が行われたときに、端末装置Ｔｉのユーザが実施していた業務（適用業務）を特定することができる。
【０１６４】
また、不正操作監視装置１０１によれば、操作プロファイルテーブル２３０を参照して、取得した操作情報が示す操作が適用業務に対応する操作であるか否かを判定することができる。これにより、端末装置Ｔｉにおいて行われた操作が、適用業務において行われると想定された操作とは異なる定義外操作であるか否かを判定することができる。
【０１６５】
また、不正操作監視装置１０１によれば、適用業務に対応する操作ではない場合、定義外操作テーブル２４０を参照して、操作情報が示す操作に対応する定義外スコアに基づいて、適用業務において不正操作が行われたか否かを判断することができる。定義外スコアは、端末装置Ｔｉのユーザが行う複数の業務のうちの適用業務とは異なる他の業務で操作情報が示す操作が行われる頻度に応じて増減する不正操作可能性の高さを示す値である。
【０１６６】
これにより、操作情報が示す操作が様々な業務で行われる業務横断数の多い操作であれば、適用業務において定義外操作として行われたとしても正常な操作である可能性が高いとして、不正操作であると判断される確度を低くすることができる。
【０１６７】
また、不正操作監視装置１０１によれば、適用業務とは異なる他の業務と操作情報が示す操作との組合せに応じて設定される重み（第２の不正操作可能性の高さを示す値）に応じてさらに増減する定義外スコアに基づいて、適用業務において不正操作が行われたか否かを判断することができる。これにより、例えば、他の業務において不正が行われた際の影響度合いが大きい操作が定義外操作として行われたときは、不正操作であると判断される確度を高くすることができる。
【０１６８】
また、不正操作監視装置１０１によれば、適用業務に対応する操作である場合には、操作情報が示す操作が適用業務において行われた頻度を算出することができる。また、不正操作監視装置１０１によれば、操作プロファイルテーブル２３０を参照して、算出した頻度が、適用業務と操作情報が示す操作との組合せに応じて設定される閾値を超えるか否かを判断することができる。そして、不正操作監視装置１０１によれば、算出した頻度が閾値を超える場合に、適用業務と操作情報が示す操作との組合せに応じて設定される重み（第２の不正操作可能性の高さを示す値）に基づいて、適用業務において不正操作が行われたか否かを判断することができる。
【０１６９】
これにより、適用業務において操作情報が示す操作が正常な範囲で行われていないとき、さらには、その操作の不正が行われた際の影響度合いが大きいときは、不正操作であると判断される確度を高くすることができる。
【０１７０】
また、不正操作監視装置１０１によれば、適用業務について、定義外スコアと重みとを累計した累計値が、適用業務に応じて設定されるブロック閾値を超える場合に、適用業務において不正操作が行われたと判断することができる。これにより、正常な操作が不正であると扱われるのを防ぎつつ、あらかじめ想定した範囲内で行われていない操作を検出して不正操作可能性を高めることができる。
【０１７１】
また、不正操作監視装置１０１によれば、適用業務において不正操作が行われたと判断した場合、操作情報が示す操作が行われた端末装置Ｔｉにおける操作を制限することができる。これにより、マルウェア感染して外部から容易に操作可能となった端末装置Ｔｉから社内システム等への操作を遮断して、情報漏洩等の被害を抑えることができる。
【０１７２】
また、不正操作監視装置１０１によれば、適用業務において不正操作が行われたと判断した場合、アラートを出力することができる。これにより、不正操作監視システム２００の管理者等に対して端末装置Ｔｉにおいて不正操作が行われた可能性が高いことを報知することができ、マルウェア感染した端末装置Ｔｉへの迅速な対応を可能にすることができる。
【０１７３】
これらのことから、実施の形態にかかる不正操作監視装置、不正操作監視方法、不正操作監視プログラム、および不正操作監視システムによれば、正常な操作が不正の可能性がある操作として扱われるのを防いで、不正操作の検出精度の向上を図ることができる。
【０１７４】
なお、本実施の形態で説明した不正操作監視方法は、あらかじめ用意されたプログラムをパーソナル・コンピュータやワークステーション等のコンピュータで実行することにより実現することができる。本不正操作監視プログラムは、ハードディスク、フレキシブルディスク、ＣＤ−ＲＯＭ、ＭＯ（Ｍａｇｎｅｔｏ−Ｏｐｔｉｃａｌ  ｄｉｓｋ）、ＤＶＤ（Ｄｉｇｉｔａｌ  Ｖｅｒｓａｔｉｌｅ  Ｄｉｓｋ）、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ  Ｓｅｒｉａｌ  Ｂｕｓ）メモリ等のコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行される。また、本不正操作監視プログラムは、インターネット等のネットワークを介して配布してもよい。
【０１７５】
上述した実施の形態に関し、さらに以下の付記を開示する。
【０１７６】
（付記１）情報処理システムに対する操作の種類を示す操作種類と操作時刻とを含む操作履歴情報を取得する取得部と、
前記操作種類の１以上の組み合わせである操作グループと時間との対応を示すスケジュール情報を記憶する記憶部と、
前記操作履歴情報の操作時刻に対応する操作グループに、前記操作時刻に対応する操作種類が含まれていない場合、特定の時間の前記スケジュール情報に含まれる前記操作種類の頻度に応じて増減する不正操作可能性の高さを示す値に基づいて、不正操作が行われたか否かを判断する制御部と、
を有することを特徴とする不正操作監視装置。
【０１７７】
（付記２）前記不正操作可能性の高さを示す値は、前記操作時刻に対応する操作グループとは異なる他の操作グループと前記操作履歴情報の操作種類との組合せに応じて設定される重みに応じてさらに増減する、ことを特徴とする付記１に記載の不正操作監視装置。
【０１７８】
（付記３）前記制御部は、
前記操作時刻に対応する操作グループに、前記操作時刻に対応する操作種類が含まれる場合には、前記操作種類の操作が前記操作グループに対応する時間において行われた頻度を算出し、
算出した前記頻度が閾値を超える場合に、前記操作グループと前記操作種類との組合せに応じて設定される第２の不正操作可能性の高さを示す値に基づいて、不正操作が行われたか否かを判断する、
ことを特徴とする付記１または２に記載の不正操作監視装置。
【０１７９】
（付記４）前記制御部は、
前記不正操作可能性の高さを示す値と、前記第２の不正操作可能性の高さを示す値とを累計した累計値が、前記操作グループに応じて設定される閾値を超える場合に、不正操作が行われたと判断する、
ことを特徴とする付記３に記載の不正操作監視装置。
【０１８０】
（付記５）前記制御部は、
不正操作が行われたと判断した場合、前記操作履歴情報の操作が行われた端末装置における操作を制限する、ことを特徴とする付記１〜４のいずれか一つに記載の不正操作監視装置。
【０１８１】
（付記６）不正操作が行われたと判断した場合、アラートを出力する、ことを特徴とする付記１〜５のいずれか一つに記載の不正操作監視装置。
【０１８２】
（付記７）情報処理システムに対する操作の種類を示す操作種類と操作時刻とを含む操作履歴情報を取得し、
前記操作種類の１以上の組み合わせである操作グループと時間との対応を示すスケジュール情報を記憶する記憶部を参照して、前記操作履歴情報の操作時刻に対応する操作グループに、前記操作時刻に対応する操作種類が含まれていない場合に、特定の時間の前記スケジュール情報に含まれる前記操作種類の頻度に応じて増減する不正操作可能性の高さを示す値に基づいて、不正操作が行われたか否かを判断する、
処理をコンピュータが実行することを特徴とする不正操作監視方法。
【０１８３】
（付記８）情報処理システムに対する操作の種類を示す操作種類と操作時刻とを含む操作履歴情報を取得し、
前記操作種類の１以上の組み合わせである操作グループと時間との対応を示すスケジュール情報を記憶する記憶部を参照して、前記操作履歴情報の操作時刻に対応する操作グループに、前記操作時刻に対応する操作種類が含まれていない場合に、特定の時間の前記スケジュール情報に含まれる前記操作種類の頻度に応じて増減する不正操作可能性の高さを示す値に基づいて、不正操作が行われたか否かを判断する、
処理をコンピュータに実行させることを特徴とする不正操作監視プログラム。
【０１８４】
（付記９）端末装置と、
情報処理システムに対する前記端末装置上の操作の種類を示す操作種類と操作時刻とを含む操作履歴情報を取得し、前記操作種類の１以上の組み合わせである操作グループと時間との対応を示すスケジュール情報を記憶する記憶部を参照して、前記操作履歴情報の操作時刻に対応する操作グループに、前記操作時刻に対応する操作種類が含まれていない場合に、特定の時間の前記スケジュール情報に含まれる前記操作種類の頻度に応じて増減する不正操作可能性の高さを示す値に基づいて、不正操作が行われたか否かを判断する不正操作監視装置と、
を含むことを特徴とする不正操作監視システム。
【符号の説明】
【０１８５】
１０１  不正操作監視装置
１０２  Ｔ１〜Ｔｎ，Ｔｉ  端末装置
１１０  操作情報
１２０  対応情報
２００  不正操作監視システム
２２０  業務プロファイルテーブル
２３０  操作プロファイルテーブル
２４０  定義外操作テーブル
２５０  スケジュールプロファイルテーブル
２６０  適用プロファイルテーブル
２７０  実操作テーブル
２８０  操作履歴テーブル
２９０  スコアテーブル
１２００  定義外操作確認画面
１３０１  取得部
１３０２  判定部
１３０３  算出部
１３０４  設定部
１３０５  判断部
１３０６  制御処理部
【図１】
2018081655.tif 000004
【図２】
2018081655.tif 000005
【図３】
2018081655.tif 000006
【図４】
2018081655.tif 000007
【図５】
2018081655.tif 000008
【図６】
2018081655.tif 000009
【図７】
2018081655.tif 000010
【図８】
2018081655.tif 000011
【図９】
2018081655.tif 000012
【図１０】
2018081655.tif 000013
【図１１】
2018081655.tif 000014
【図１２】
2018081655.tif 000015
【図１３】
2018081655.tif 000016
【図１４】
2018081655.tif 000017
【図１５】
2018081655.tif 000018
【図１６】
2018081655.tif 000019
【図１７】
2018081655.tif 000020
【図１８】
2018081655.tif 000021
【図１９】
2018081655.tif 000022
【図２０】
2018081655.tif 000023