【事件の表示】
　特願２００９−　１５６５８「監査システム，外部監査装置，外部監査方法および外部監査プログラム」拒絶査定不服審判事件〔平成２１年１１月　５日出願公開，特開２００９−２５９２１４〕について，次のとおり審決する。
【結　論】
　本件審判の請求は，成り立たない。
【理　由】
１．手続の経緯
　本願は平成２１年１月２７日を出願日（国内優先権主張日：平成２０年３月１９日）とする出願であって，平成２５年２月７日付けの拒絶理由の通知に対し，平成２５年４月２２日付けで意見書が提出されるとともに手続補正がなされたが，平成２５年６月５日付けで拒絶査定がされ，これに対し，平成２５年９月１１日付けで拒絶査定不服審判の請求がなされたものである。
 　  
２．本願発明
　本願の請求項９に係る発明（以下「本願発明」という。）は，平成２５年４月２２日付けの手続補正書によって補正された明細書，特許請求の範囲及び図面の記載からみて，特許請求の範囲の請求項９に記載された事項により特定される，次のとおりのものである。　　 
「ユーザが入力を行う少なくとも１つの通信端末から，当該入力があったことを示す入力有データを通信ネットワークを介して受信する外部監査装置であって，
　前記通信ネットワークを介して前記通信端末から前記入力有データを受信し，当該入力有データを履歴情報として記録するログ収集手段と，
　予め規定された業務プロセスに対応した監査基準情報が記録されている監査基準情報格納手段と，
　前記履歴情報に基づいて，前記通信端末から送信された前記入力有データが前記監査基準情報に適合するか否かを分析するとともに，その分析結果を用いて監査レポートを生成し，当該生成された監査レポートを監査データベースに登録する監査処理手段と，
を備える外部監査装置。」
 　  
３．引用例について 
（３−１）原査定の拒絶の理由に引用された，本願出願前の平成１９年９月１３日に頒布された，特開２００７−２３３６６１号公報（以下，「引用例１」という。）には，図面とともに，次の事項が記載されている。（なお，下線は当審において付与したものである。）
（ａ）「【００１０】
　本発明は，このような課題に対応するためになされたものであり，
企業等の組織内において，物理的な行動も含めた構成員単位の行動や操作の履歴を時系列に沿って管理し，主として内部統制に有益な情報を提供することが可能な，ログ統合管理システム
を提供することを目的とするものである
（ｂ）「【００４４】
　本発明にかかる
ログ統合管理システム１０は，企業内のネットワークに接続されたコンピュータ
　【００４５】
　本発明にかかる
ログ統合管理システム１０は，社内ＬＡＮ等の企業内のネットワークを通じて，セキュリティ・ゲート管理サーバ３０，セキュリティ・キャビネット管理サーバ４０，認証システム５０，メールサーバ６０，ネットワーク監視サーバ７０，ＰＢＸシステム９０等の企業内の複数のシステムと接続されている。これらのシステムで収集されたログデータを入力ログフォーマット情報記憶部１１に指定されたフォーマットに合わせてログ受付部１４において受け付け，出力ログフォーマット情報記憶部１２に指定されたフォーマットに従って統合ログ作成部１５において社員毎の統合ログを作成し，統合ログ格納部１６の社員毎に設けられたテーブルに格納する。
（ｃ）「【００５０】
　次に，社員が業務に使用する業務用端末８０，８１を用いて行った操作に関するログについて説明する。
社員が使用する業務用端末８０，８１は，使用権限の無い者による不正使用を防止するために，認証システム５０と接続されている。社員が業務用端末８０，８１を使用する際には，認証システム５０からユーザＩＤとパスワードの入力や，生体認証のための生体情報の読み取り等によるユーザの本人認証を要求される。
　【００５１】
　
このようにして行われたユーザ認証の記録は，図６のログデータの例に示したように，本人認証に用いられた装置を識別する認証機器ＩＤ，社員コード，本人認証が行われた日付や時間等が記録される。かかる認証システム５０は，図２の例に示したように業務用端末８０，８１から社内ＬＡＮ等のネットワークを通じてアクセスするものであってもよいし，業務用端末８０，８１の内部に備えられていてもよい。特に後者の場合には，本人認証についてのログデータは，業務用端末８０，８１に記憶されることになる。
　【００５２】
　また，
業務用端末８０，８１において行われた操作に関するログ，例えばコンピュータへのログオンやログオフ，ファイルの更新，プリンタや外部ディスクへの出力などについて，業務用端末８０，８１に記憶されているログデータについても，ログ統合管理システム１０において社員コード毎に収集する
（ｄ）「【００５９】
　以上のように，セキュリティ・ゲート管理サーバ３０，セキュリティ・キャビネット管理サーバ４０，認証システム５０，メールサーバ６０，ネットワーク監視サーバ７０，
業務用端末８０，８１
等の企業内の複数のシステムにおいて収集されたログデータが，例えば１時間に１回，１日に１回といった，ユーザが任意に設定することが可能な所定のタイミングで，ログ統合管理システム１０のログ受付部１４において受け付けられる。
　【００６０】
　このように収集されるログデータは，
ログ受付部１４において入力ログフォーマット情報記憶部１１の指定に従ってフォーマットが統一され，統合ログ作成部１５において，社員毎にとりまとめた統合ログが作成される。統合ログ作成部１５においては，収集したログデータを統合するためのアプリケーションプログラム等が起動されて，出力ログフォーマット情報記憶部１２及びログ紐付情報記憶部１３を参照して，統合ログを作成する
（ｅ）「【００６７】
　このように
時系列に沿って整理された統合ログに対して，一般に不正が発生しやすい行動パターン等をルール化してルール記憶部１８に記憶させておくと，統合ログがルール記憶部１８に記憶されたルールに該当する場合には，何らかの不正行為が行われた可能性があると判定することが可能である。不正のルールは，一のログ毎に対比するためのルールであってもよいし，一連の行動を示す複数のログをまとめて対比するためのルールであってもよい。
　【００６８】
　
ログ統合管理システム１０の異常判定部１７においては，ルール記憶部１８とユーザプロファイル記憶部１９の一方又は双方を参照し，上記のように時系列に沿って整理された統合ログから把握される社員の行動履歴やコンピュータの操作履歴が異常である場合のパターンに該当するかの判定を行うことによって，統合ログから不正の可能性のある異常行為を検出することとしている。異常行為が検出された場合には，例えば，管理者端末２０に警告を表示することとしてもよいし，異常行為である可能性を判定した判定結果を，対象となったログデータのレコードに記録し，統合ログ格納部１６に格納することとしてもよい。
   
　以上の（ａ）乃至（ｅ）によると，引用例１には以下の発明（以下，「引用発明」という。）が記載されているものと認められる。
「企業等の組織内において，物理的な行動も含めた構成員単位の行動や操作の履歴を時系列に沿って管理し，主として内部統制に有益な情報を提供することが可能なログ統合管理システムであって，
　ログ統合管理システム１０は，
　社内ＬＡＮ等の企業内のネットワークに接続されたコンピュータであって，社内ＬＡＮ等の企業内のネットワークを通じて，収集されたログデータをログ受付部１４において受け付け，統合ログ作成部１５において社員毎の統合ログを作成し，統合ログ格納部１６の社員毎に設けられたテーブルに格納するものであり，
　社員が使用する業務用端末８０，８１は，
　社内ＬＡＮ等の企業内のネットワークに接続され，ユーザＩＤとパスワードの入力や，生体認証のための生体情報の読み取り等によるユーザの本人認証を要求され，このようにして行われたユーザ認証の記録は，本人認証に用いられた装置を識別する認証機器ＩＤ，社員コード，本人認証が行われた日付や時間等が記録され，本人認証についてのログデータは，業務用端末８０，８１に記憶され，また，業務用端末８０，８１において行われた操作に関するログ，例えばコンピュータへのログオンやログオフ，ファイルの更新，プリンタや外部ディスクへの出力などが，業務用端末８０，８１に記憶されるものであり，
　ログ統合管理システム１０では，
　業務用端末８０，８１において収集されたログデータを，例えば１時間に１回，１日に１回といった，ユーザが任意に設定することが可能な所定のタイミングで，ログ受付部１４において受け付け，統合ログ作成部１５において，社員毎にとりまとめた統合ログを作成し，統合ログ格納部１６の社員毎に設けられたテーブルに格納するものであり，
　統合ログに対して，一般に不正が発生しやすい行動パターン等をルール化してルール記憶部１８に記憶させており，
　異常判定部１７は，ルール記憶部１８を参照し，統合ログから把握される社員の行動履歴やコンピュータの操作履歴が異常である場合のパターンに該当するかの判定を行うことによって，統合ログから不正の可能性のある異常行為を検出するものであり，
　異常行為が検出された場合には，管理者端末２０に警告を表示することとしてもよいし，異常行為である可能性を判定した判定結果を，対象となったログデータのレコードに記録し，統合ログ格納部１６に格納する，
　ログ統合管理システム１０。」
（３−２）原査定の拒絶の理由に周知文献として引用された，本願出願前の平成１９年１１月２２日に頒布された，特許第４０４１８４６号公報（以下，「周知文献１」という。）には，図面とともに，次の事項が記載されている。（なお，下線は当審において付与したものである。）
（ｆ）「【００７５】
　
比較手段２３は，環境情報受信手段２２によって受信・収集された各利用者端末１０における環境情報と予め設定されたセキュリティに関するポリシ定義とを比較することにより，そのポリシ定義に違反している利用者端末１０およびそのポリシ違反の内容を特定するものである。
いずれのポリシ定義の内容も，利用者端末１０においてそのポリシ定義が守られていない場合，セキュリティ上，若干の問題があるものとみなされる事項である。
　【００７６】
　(1)各利用者端末１０において保有や使用を禁止するアプリケーションの情報。例えば仮想ＶＰＮソフトウエア，Ｐ２Ｐソフトウエア，スパイウエア，ファイル交換ソフトウエア（Ｗｉｎｎｙ等）などが挙げられる。
　【００７７】
　(2)各利用者端末１０において保有されるべきアプリケーションの情報。例えばセキュリティパッチ更新ソフトウエア，各種セキュリティソフトウエア，個人情報探査プログラムなどが挙げられる。
　【００７８】
　(3)各利用者端末１０において設定されるべきセキュリティ設定状況。例えば，各種セキュリティソフトウエアがオン設定になっていることや，スクリーンセーバ・パスワードロックのタイムアウト時間が所定時間（例えば１０分）以内に設定することなどが挙げられる。
　【００７９】
　(4)各利用者端末１０において個人情報探査プログラムによる個人情報ファイルの定期探査を行なっていること。
　(5)プリンタの使用量が所定枚数（例えば１日１００枚）以内であること（使用量が多い利用者端末１０は，情報漏洩の可能性が高いものとみなす）。」
    　
４．対比
（１）本願発明と引用発明を対比する。
（ア）引用発明における「社員が使用する業務用端末８０，８１」は，社内ＬＡＮ等の企業内のネットワークに接続され，ユーザＩＤとパスワードの入力や，該端末から業務として，コンピュータへのログオンやログオフ，ファイルの更新，プリンタや外部ディスクへの出力などの各種操作が行われるものであるから，引用発明の「社員が使用する業務用端末８０，８１」は，本願発明の「ユーザが入力を行う少なくとも１つの通信端末」に相当するものである。
（イ）引用発明における「ログ統合管理システム１０」は，社内ＬＡＮ等の企業内のネットワークを介して，「業務用端末８０，８１」において収集されたログデータを「ログ受付部１４」で受け付けるものであり，このログデータは上記（ア）で示したような「業務用端末８０，８１」への入力があったことを示すデータであり，また，上記「ログ受付部１４」での受け付けは，ネットワークからの受信を意味することは明らかである。
　そうすると，本願発明と引用発明は，後記する点で相違するものの，
「ユーザが入力を行う少なくとも１つの通信端末から，当該入力があったことを示す入力有データを通信ネットワークを介して受信する装置」
である点で共通する。
（ウ）引用発明における「ログ統合管理システム１０」では，「ログ受付部１４」で受け付けたログデータから，「統合ログ作成部１５」において，社員毎にとりまとめた統合ログを作成し，「統合ログ格納部１６」に格納することが行われており，該統合ログは上記「業務用端末８０，８１」において行われた操作の履歴情報であることは明らかである。
　そうすると，本願発明と引用発明は，後記する点で相違するものの，
「前記通信ネットワークを介して前記通信端末から前記入力有データを受信し，当該入力有データを履歴情報として記録するログ収集手段」
を備える点で共通する。
（エ）引用発明における「ログ統合管理システム１０」では，統合ログに対して，一般に不正が発生しやすい行動パターン等をルール化して「ルール記憶部１８」に記憶させており，「異常判定部１７」では，該「ルール記憶部１８」を参照し，統合ログから把握される社員の行動履歴やコンピュータの操作履歴が異常である場合のパターンに該当するかの判定を行うことによって，統合ログから不正の可能性のある異常行為を検出する処理が行われることから，上記一般に不正が発生しやすい行動パターン等をルール化したものは，統合ログから不正の可能性のある異常行為を検出するための基準情報であるといえる。
　そうすると，本願発明と引用発明は，後記する点で相違するものの，
「基準情報が記録されている基準情報格納手段」
を備える点で共通する。
（オ）引用発明の「ログ統合管理システム１０」における「異常判定部１７」では，ルール記憶部１８を参照し，統合ログから把握される社員の行動履歴やコンピュータの操作履歴が異常である場合のパターンに該当するかの判定を行うことによって，統合ログから不正の可能性のある異常行為を検出すること，すなわち「ルール記憶部１８」に格納された基準情報に適合するか否かを分析することが行われているといえる。
　そうすると，本願発明と引用発明は，後記する点で相違するものの，
「前記履歴情報に基づいて，前記通信端末から送信された前記入力有データが前記基準情報に適合するか否かを分析する処理手段」
を備える点で共通する。
（カ）引用発明は，「企業等の組織内において，物理的な行動も含めた構成員単位の行動や操作の履歴を時系列に沿って管理し，主として内部統制に有益な情報を提供することが可能なログ統合管理システム」であって，上記（ア）乃至（オ）で示したように，「業務用端末８０，８１」において行われた操作に不正の可能性があるか否かを判定するものであることから，引用発明も内部統制を目的とした監査を行うものである。
　そうすると，引用発明の「ログ統合管理システム１０」も「監査装置」であるといえ，また，「基準情報」及び「基準情報格納手段」も「監査基準情報」及び「監査基準情報格納手段」であり，「処理手段」も「監査処理手段」であるといえる。
（２）以上のことから，本願発明と引用発明との一致点及び相違点は，次のとおりである。 
（一致点）  
　ユーザが入力を行う少なくとも１つの通信端末から，当該入力があったことを示す入力有データを通信ネットワークを介して受信する監査装置であって，
　前記通信ネットワークを介して前記通信端末から前記入力有データを受信し，当該入力有データを履歴情報として記録するログ収集手段と，
　監査基準情報が記録されている監査基準情報格納手段と，
　前記履歴情報に基づいて，前記通信端末から送信された前記入力有データが前記監査基準情報に適合するか否かを分析する監査処理手段と，
を備える監査装置。
　
（相違点） 
［相違点１］
　本願発明は「外部」「監査装置」であるのに対し，引用発明の「ログ統合管理システム１０」ではそのような記載がない点。
　　
［相違点２］
　本願発明の「監査基準情報」は，「予め規定された業務プロセスに対応した」ものであるのに対し，引用発明では「一般に不正が発生しやすい行動パターン等をルール化」したものである点。
　　
［相違点３］
　本願発明の「監査処理手段」では，「その分析結果を用いて監査レポートを生成し，当該生成された監査レポートを監査データベースに登録する」処理が行われるのに対し，引用発明では「異常行為が検出された場合には，管理者端末２０に警告を表示することとしてもよいし，異常行為である可能性を判定した判定結果を，対象となったログデータのレコードに記録し，統合ログ格納部１６に格納する」処理が行われる点。
　 
５．当審の判断 
（１）［相違点１］について
　本願発明の「外部監査装置」は，「通信端末」と「通信ネットワーク」を介して接続されるものであり，引用発明の「ログ統合管理システム１０」も「業務用端末」と「社内ＬＡＮ等の企業内のネットワーク」を介して接続されており，上記一致点でも示したように物理的なネットワーク構成として相違するものではない。
　また，仮にこの「外部」が，監査対象とする企業とは異なる組織が運営するものであり，また，企業のネットワークの外に設置され，間接的に企業のネットワークに接続されることを意味するものであるとしても，それは企業の業務とは独立して行う監査業務の性質等を考慮して，当業者が適宜なし得る業務形態であることから，引用発明の「ログ統合管理システム１０」を外部監査装置としての業務形態とすることに，格別の技術的進歩性があるものではない。
（２）［相違点２］について
ア．相違点２に係る事項は，比較する「監査基準情報」が，本願発明では「予め規定された業務プロセスに対応した」もの，すなわち正しい業務プロセスを規定したのに対し，引用発明ではその逆に不正と判断する行動パターンを規定した点で相違するものである。
イ．一般に正否を判断するのに，正のパターン又は否のパターンのどちらを規定するかは，判断する対象の性質や，規定しなければならないパターンの数等を考慮して当業者が適宜決定しうるものであることが知られている。例えば，上記周知文献１の記載（ｆ）で示すように監査業務において正しい行為を比較基準として規定することが知られている。
ウ．そうすると，引用発明に上記周知技術を適用し，「監査基準情報」として正しい行動パターンを規定するようにして上記相違点２に係る構成とすることは，当業者であれば容易に想到し得たことである。
（３）［相違点３］について
ア．引用発明では「異常行為が検出された場合には，管理者端末２０に警告を表示することとしてもよいし，異常行為である可能性を判定した判定結果を，対象となったログデータのレコードに記録し，統合ログ格納部１６に格納する」処理が行われる。
イ．この「異常行為である可能性を判定した判定結果を，対象となったログデータのレコードに記録し，統合ログ格納部１６に格納する」処理がなされた統合ログは，上記「管理者端末２０」での閲覧を前提とするものであるのは技術常識からして自明である。
ウ．そうすると，この異常行為である可能性を判定した判定結果が付加された統合ログも，異常行為か否かを分析した分析結果を用いた監査レポートに相当するものである。
エ．ここで内部統制を目的とする監査において，ユーザが端末から行った操作をログとして記録し，正しい操作か否かを分析した結果を用いてレポートを作成すること自体は，例えば，「久保良太　外１名，データベースに対する管理者やユーザーの不正アクセスをシャットアウト，ＤＢ　Ｍａｇａｚｉｎｅ，株式会社翔泳社，２００７年１月１日，第１６巻，第１０号，ｐ．１８２−１８６（特に，ｐ．１８５，１８６の「●各機能の設定について　・・・例えば，あるコマンドルールを“失敗時に監査”に設定すると，それに違反して失敗した処理を監査ログとして記録できる。また，その監査結果をレポート形式で表示したものが，画面３である。ここには，違反した時刻と実行ユーザー，コマンドルール名，ＳＱＬ文などの情報が含まれている。・・・」等の記載を参照。）」，「須田堅一，アラート活用でよりセキュアになるログの監視＆分析実践マニュアル，ＤＢ　Ｍａｇａｚｉｎｅ，株式会社翔泳社，２００６年１１月１日，第１６巻，第７号，ｐ．６９−７９（特に，ｐ．７６の「
定期的に監視レポートを作成し監視ルールや監視運用の改善を図る
オ．また，作成したレポートを閲覧に供するために記憶手段に登録することも当然の処理である。
　してみれば，上記ア〜オのことから引用発明に上記周知技術を適用し，異常行為である可能性を分析した結果を用いた監査レポートを生成し，適宜の記憶手段に登録することにより，上記相違点３に係る構成とすることは，当業者であれば容易に想到し得たことである。
（４）まとめ
　以上のとおりであるから，本願発明は，引用発明及び周知技術に基づいて当業者が容易に発明をすることができたものであるから，特許法第２９条第２項の規定により特許を受けることができないものである。
　そして，本願発明の作用効果も，引用発明及び周知技術から当業者が予測できる範囲のものである。
 　  
６．むすび
　以上のとおり，本願の請求項９に係る発明は，引用発明及び周知技術に基づいて，当業者が容易に発明をすることができたものであり，特許法第２９条第２項の規定により特許を受けることができないから，本願は，他の請求項について検討するまでもなく，拒絶すべきものである。
　　
 　よって，結論のとおり審決する。