(57)【要約】【課題】漏洩情報源の定量的な候補特定と漏洩候補者の特定を行う。【解決手段】社内ネットワーク２０を介して接続された技術文書データサーバ３０および技術情報管理システム４０から保有データをそれぞれ収集し、テキストデータ化して知識データとして登録する知識データ収集・登録部１１２と、知識データが登録される知識データベース１１１と、外部入力された検索条件に基づいて知識データベース１１１を検索し、検索ユーザの識別情報を含むアクセスログを出力する知識データベース検索部１１３と、アクセスログを格納するアクセスログ格納部１１４と、漏洩情報のテキストデータにより知識データベース１１１を参照し、漏洩元候補情報を特定する漏洩元候補情報特定部１２１と、特定された漏洩元候補情報に基づいてアクセスログを追跡し、情報漏洩の可能性のあるユーザを抽出するアクセスログ追跡部１２３とを備える。【選択図】図１
2011086156.tif 000002
【特許請求の範囲】
【請求項１】
技術情報の文書データを保有する技術文書データサーバおよび前記技術情報をデータベース内で保有する技術情報管理システムに社内ネットワークを介して接続され、前記技術文書データサーバおよび前記技術情報管理システムから前記文書データおよび前記データベースの保有データをそれぞれ収集し、これらをテキストデータ化した知識データを登録する知識データ収集・登録部と、
前記知識データが登録される知識データベースと、
外部入力された検索条件に基づいて前記知識データベースを検索すると共に、その検索に係るユーザの識別情報および操作区分を含むアクセスログを出力する知識データベース検索部と、
前記出力されたアクセスログを格納するアクセスログ格納部と、
前記社内ネットワーク外に公開された漏洩情報のテキストデータに基づいて前記知識データベース内の知識データを参照し、前記漏洩情報の元となる漏洩元候補情報を特定する漏洩元候補情報特定部と、
前記特定された漏洩元候補情報に基づいて前記アクセスログ格納部のアクセスログを追跡し、情報漏洩の可能性を有するユーザを抽出するアクセスログ追跡部と、
を備えることを特徴とする漏洩情報追跡システム。
【請求項２】
前記漏洩元候補情報特定部は、
前記漏洩情報よりテキストデータを抽出するテキスト抽出部と、
前記抽出されたテキストデータに対して形態素解析、構文解析および意味解析を行い、漏洩元候補情報に係る検索キーを生成するテキスト解析部と、
前記生成された検索キーに基づいて前記知識データベースを参照して前記知識データ毎に前記検索キーのヒット回数をカウントし、このヒット回数に基づいて前記漏洩元候補情報を抽出する漏洩元候補情報抽出部と、
を備えることを特徴とする請求項１記載の漏洩情報追跡システム。
【請求項３】
前記アクセスログ追跡部は、
前記漏洩元候補情報抽出部において抽出された漏洩元候補情報毎に前記アクセスログを追跡し、アクセス者およびアクセス回数を求める追跡処理部と、
前記漏洩元候補情報毎に前記アクセス者のアクセス回数を集計し、前記アクセス回数が上位のアクセス者の抽出を行うアクセス者抽出処理部と、
を備えることを特徴とする請求項２記載の漏洩情報追跡システム。
【請求項４】
前記知識データベース検索部は、前記知識データベースに対して行われた操作を少なくとも閲覧、印刷およびダウンロードの操作区分に分類し、この操作区分を前記アクセスログに含めて出力することを特徴とする請求項１乃至請求項３のいずれか一項記載の漏洩情報追跡システム。
【請求項５】
技術情報の文書データを保有する技術文書データサーバおよび前記技術情報をデータベース内で保有する技術情報管理システムに社内ネットワークを介して接続されており、前記技術情報をテキスト形式の知識データとして管理する知識データベースを備えるコンピュータに、
前記技術文書データサーバおよび前記技術情報管理システムから前記文書データおよび前記データベースの保有データをそれぞれ収集し、これらをテキストデータ化して前記知識データベースに登録する知識データ収集・登録ステップと、
外部入力された検索条件に基づいて前記知識データベースを検索すると共に、その検索に係るユーザの識別情報および操作区分を含むアクセスログを出力する知識データベース検索ステップと、
前記社内ネットワーク外に公開された漏洩情報のテキストデータに基づいて前記知識データベース内の知識データを参照し、前記漏洩情報の元となる漏洩元候補情報を特定する漏洩元候補情報特定ステップと、
前記特定された漏洩元候補情報に基づいて前記アクセスログを追跡し、情報漏洩の可能性を有するユーザを抽出するアクセスログ追跡ステップと、
を実行させることを特徴とする漏洩情報追跡プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報の漏洩が発生した際に、漏洩元情報および情報漏洩者の絞込み・特定を行う漏洩情報追跡システムおよび漏洩情報追跡プログラムに関する。
【背景技術】
【０００２】
従来、技術情報の漏洩が発生し、その情報が公開されてしまった場合には以下のような手順で追跡調査を人手によって行っていた。  
（１）漏洩（公開）情報の内容確認
（２）漏洩元と思われる情報源の人手による探索と漏洩情報との照合、真偽確認
（３）漏洩元候補情報のアクセスログの追跡
（４）情報漏洩者の絞込みと特定
したがって、漏洩元と思われる情報と、公開された漏洩情報との一致の度合いを定量的に把握できないため、漏洩元情報の絞込み・特定には人間の目視判断に頼らざるを得ず、手間隙がかかっていた。  
このような漏洩元情報の絞込み・特定作業を支援するための技術として、特許文献１には、電子帳票システムの内容を漏洩情報の特徴データに基づいて、漏洩元候補情報を特定すると共に、アクセスログから不審者の追跡を行うように構成された漏洩データ追跡装置が開示されている。この漏洩データ追跡装置では、漏洩情報の特徴と一致する電子帳票データ候補を特定し、そのアクセスログを追跡して漏洩元となった可能性のある不審者の候補を特定することが行われる。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００８−１６５５１１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、上記従来技術においては以下のような問題点があった。  
（１）漏洩元情報の形態の多様性の問題
上記特許文献１は、電子帳票システムに作用を限定しているため、電子帳票システム以外のシステムや、システム化されていないワープロ・表計算等の文書データについては追跡することが出来ない。すなわち、情報が文書データ（ワープロ、表計算等）やシステムデータ等の様々な形で管理されている場合には、漏洩元と思われる情報源の探索において、人間がシステム毎あるいは文書単位で目視判断をせざるを得ず、情報源の絞込みには、どうしても時間がかかっていた。  
（２）アクセスログに関する問題
絞り込んだ漏洩元候補情報のアクセスログは膨大であり、しかも追跡はシステム毎に行う必要があるため、時間がかかっていた。また、文書データ（ワープロ・表計算等）についてはアクセスログが無いケースが通常であり、情報漏洩者の絞込みや特定には決め手を欠いていた。  
そこで、本発明は、上記従来技術の問題に鑑み、漏洩情報源の定量的な候補特定とアクセスログからの漏洩候補者の特定を行える漏洩情報追跡システムおよび漏洩情報追跡プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００５】
本発明に係る漏洩情報追跡システムは、技術情報の文書データを保有する技術文書データサーバおよび前記技術情報をデータベース内で保有する技術情報管理システムに社内ネットワークを介して接続され、前記技術文書データサーバおよび前記技術情報管理システムから前記文書データおよび前記データベースの保有データをそれぞれ収集し、これらをテキストデータ化した知識データを登録する知識データ収集・登録部と、前記知識データが登録される知識データベースと、外部入力された検索条件に基づいて前記知識データベースを検索すると共に、その検索に係るユーザの識別情報および操作区分を含むアクセスログを出力する知識データベース検索部と、前記出力されたアクセスログを格納するアクセスログ格納部と、前記社内ネットワーク外に公開された漏洩情報のテキストデータに基づいて前記知識データベース内の知識データを参照し、前記漏洩情報の元となる漏洩元候補情報を特定する漏洩元候補情報特定部と、前記特定された漏洩元候補情報に基づいて前記アクセスログ格納部のアクセスログを追跡し、情報漏洩の可能性を有するユーザを抽出するアクセスログ追跡部と、を備えることを特徴とする。
【０００６】
本発明に係る漏洩情報追跡プログラムは、技術情報の文書データを保有する技術文書データサーバおよび前記技術情報をデータベース内で保有する技術情報管理システムに社内ネットワークを介して接続されており、前記技術情報をテキスト形式の知識データとして管理する知識データベースを備えるコンピュータに、前記技術文書データサーバおよび前記技術情報管理システムから前記文書データおよび前記データベースの保有データをそれぞれ収集し、これらをテキストデータ化して前記知識データベースに登録する知識データ収集・登録ステップと、外部入力された検索条件に基づいて前記知識データベースを検索すると共に、その検索に係るユーザの識別情報および操作区分を含むアクセスログを出力する知識データベース検索ステップと、前記社内ネットワーク外に公開された漏洩情報のテキストデータに基づいて前記知識データベース内の知識データを参照し、前記漏洩情報の元となる漏洩元候補情報を特定する漏洩元候補情報特定ステップと、前記特定された漏洩元候補情報に基づいて前記アクセスログを追跡し、情報漏洩の可能性を有するユーザを抽出するアクセスログ追跡ステップと、を実行させることを特徴とする。
【発明の効果】
【０００７】
本発明によれば、漏洩情報源の定量的な候補特定とアクセスログからの漏洩候補者の特定を行える漏洩情報追跡システムおよび漏洩情報追跡プログラムが提供される。
【図面の簡単な説明】
【０００８】
【図１】本発明の一実施形態に係る漏洩情報追跡システムの全体構成例を示す図。
【図２】図１に示す漏洩情報追跡装置のハードウェア構成例を示すブロック図。
【図３】図１に示す知識共有サーバおよび漏洩情報追跡装置の各部の関係を示すブロック図。
【図４】図１に示す知識共有サーバ内における処理の具体例を示すフローチャート。
【図５】図１に示す漏洩元候補情報特定部内における処理の具体例を示すフローチャート。
【図６】漏洩元候補情報検索結果の出力フォーマットの具体例を示す図。
【図７】図１に示す漏洩情報追跡装置のアクセスログ追跡部における処理の具体例を示すフローチャート
【図８】アクセスログ追跡条件設定画面の具体例を示す図。
【図９】アクセスログの具体例を示す図。
【図１０】ワークファイルの具体例を示す図。
【図１１】アクセスログ追跡結果の表示例を示す図。
【図１２】漏洩情報追跡結果レポートの具体例を示す図。
【発明を実施するための形態】
【０００９】
以下、本発明の実施形態について図面を用いて説明する。図１は、本発明の一実施形態に係る漏洩情報追跡システム１０の全体構成例を示す図である。同図に示されるように、本実施形態に係る漏洩情報追跡システム１０は、知識共有サーバ１１と漏洩情報追跡装置１２が社内ネットワーク２０を介して接続されたコンピュータシステムである。
【００１０】
知識共有サーバ１１は、社内各所に点在する技術文書データサーバ３０、技術情報管理システム４０にＬＡＮなどの社内ネットワーク（イントラネット）２０を介して接続されており、技術情報をＸＭＬ（eXtensible Markup Language）形式の知識データとして管理する知識データベース１１１と、技術文書データサーバ３０および技術情報管理システム４０から技術情報を抽出して収集し、知識データベース１１１への登録を行う知識データ収集・登録部１１２と、収集した技術情報の検索サービス機能と操作履歴を含むアクセスログの出力機能を提供する知識データベース検索部１１３と、このアクセスログを格納するアクセスログ格納部１１４とを備えたサーバである。この知識共有サーバ１１は、例えば、本出願人が提供するＴＸ１（登録商標）などのＸＭＬデータベースとナレッジマネジメント支援ソフトウェアであるＫｎｏｗｌｅｄｇｅＭｅｉｓｔｅｒ（登録商標）を組み合わせることにより実装できる。
【００１１】
漏洩情報追跡装置１２は、社内ネットワーク２０にファイアーウォール５０を介して接続された社外ネットワーク６０（インターネット）上の社外Ｗｅｂサーバ７０から取得される漏洩情報に基づいて知識共有サーバ１１内の知識データベース１１１を検索し、漏洩元情報の候補の絞込みおよび特定、並びにアクセスログの追跡によって情報漏洩候補となる不審な社員の絞込みおよび特定を行う装置である。
【００１２】
この漏洩情報追跡装置１２は、知識共有サーバ１１から漏洩元情報の候補を探索して漏洩元候補情報を生成する漏洩元候補情報特定部１２１と、この漏洩元候補情報を格納する漏洩元候補情報格納部１２２と、漏洩元候補情報に基づいて、アクセスログを追跡してアクセスログ追跡結果として情報漏洩の可能性の有る不審な社員のリストアップを行うアクセスログ追跡部１２３と、アクセスログ追跡結果を格納するアクセスログ追跡結果格納部１２４とを機能として備えている。
【００１３】
技術文書データサーバ３０は、ワープロ文書、表計算等の様々な文書データを保管するサーバであり、いわゆるファイルサーバであっても良いし、文書管理システムであっても良い。また、技術情報管理システム４０は、技術情報を管理するアプリケーションシステムであって良いし、データベースシステムであっても良い。ここでは、社内ネットワーク２０はファイアーウォール５０を介して社外ネットワーク６０に接続され、ネットワーク間の通信は制限されているものとする。
【００１４】
社外Ｗｅｂサーバ７０は、社外ネットワーク６０を介して接続されたクライアント端末（図示省略する）からの要求に応じてＨＴＭＬ文書（Hyper Text Markup Language）を作成し、クライアント端末へ出力するサーバである。ＨＴＭＬ文書の具体例としては、掲示板、ニュース、ブログ等が挙げられる。
【００１５】
図２は、図１に示す漏洩情報追跡装置１２のハードウェア構成例を示すブロック図である。ＣＰＵ（Central Processing Unit）１３１は、システムバスに接続される各デバイスを統括的に制御する中央制御装置である。ＲＡＭ（Random Access Memory）１３２は、ＣＰＵ１３１の主メモリとして使用し、ＯＳ用エリア、プログラムエリア、ワークエリア、一時退避領域等として機能する記憶装置である。
【００１６】
ＲＯＭ（Read Only Memory）１３３は、ＣＰＵ１３１の制御プログラムであるオペレーティングシステム（ＯＳ）や漏洩情報追跡装置１２の各種機能を実現するためのプログラムを記憶する読み取り専用の記憶装置である。  
ＬＡＮアダプタ１３４は、ＬＡＮ（社内ネットワーク２０）を介して外部機器（知識共有サーバ１１）との通信を制御するネットワーク接続制御機構である。ビデオアダプタ１３５は表示装置との接続機構である。
【００１７】
キーボード１３６およびマウス１３７は、ユーザの操作に応じた入力情報をＣＰＵ１３１に入力する入力装置である。  
補助記憶装置１３８は、プログラムやデータを蓄積する大容量の記憶装置であり、例えばハードディスクやSSD（Solid State Drive）などである。  
記憶媒体ドライブ１３９は、フレキシブルディスク、光ディスク、光磁気ディスク、ＣＤ‐ＲＯＭ、ＣＤ‐Ｒ、磁気テープ、不揮発性のメモリカード、ＤＶＤ‐Ｒ等の記憶媒体に対するデータの読み書きを行う装置である。なお、上述した漏洩情報追跡装置１２の各種機能を実現するためのプログラムは、これらの記憶媒体から取得し、ＣＰＵ１３１に供給するようにしても良いし、インターネットなどの通信媒体を介して他の通信装置から取得し、ＣＰＵ１３１に供給するようにしても良い。
【００１８】
尚、知識共有サーバ１１のハードウェア構成は漏洩情報追跡装置１２と同様である。即ち、知識共有サーバ１１の補助記憶装置１３８等に知識共有サーバ１１のＣＰＵ１３１が後述する各種機能を実現するためのプログラムが格納される。このプログラムは、補助記憶装置１３８の他に、記憶媒体ドライブ１３９からＣＰＵ１３１に供給しても良いし、インターネット等の通信媒体を介して供給されても良い。
【００１９】
図３は、図１に示す知識共有サーバ１１および漏洩情報追跡装置１２の各部の関係を示すブロック図である。先ず、知識共有サーバ１１について詳述する。同図に示されるように、知識共有サーバ１１の知識データ収集・登録部１１２は、社内ネットワーク２０（ＬＡＮ）に接続された技術文書データサーバ３０および技術情報管理システム４０から、技術情報をテキストとして抽出し、知識データベース１１１にＸＭＬ形式で情報を登録、蓄積するプログラムである。柔軟なデータ構造が採れるＸＭＬ形式で技術情報の登録を行うため、非定型データの管理にも有効であり、項目の変更やシステムの拡張があった場合でも対応が容易である。尚、文書データの場合に抽出されるテキストの具体例としては、文書ファイルの作成日付、更新日付、作成者名などの属性情報や文書ファイル内のテキスト（本文）が挙げられる。また、抽出したテキストと共に文書コンテンツ自体の登録も行う。また、技術文書データサーバ３０が、アクセスログが存在する文書管理システムの場合には、これを一旦知識データベース１１１に登録した上で、アクセスログを所定の形式に変換して登録を行う。技術情報管理システム４０に関しても、アクセスログがある場合は同様である。
【００２０】
知識データベース検索部１１３は、知識データベース１１１に一元化された技術情報の検索サービスを社内向けに一元的に提供するプログラムであり、技術情報を検索する担当者は、必ずこの検索機能により技術情報の検索を行うものとする。知識データベース検索部１１３においては、自然文もしくはキーワードを用いた検索が行なわれ、ヒットした文書のタイトルなどを検索結果として一覧表示する。そして、検索者はヒットした文書のタイトルを一覧から選択することで、その文書のテキスト、もしくはコンテンツを閲覧したり、印刷したり、ダウンロードしたりすることが可能である。この際、知識データベース検索部１１３は、アクセスログ格納部１１４に、“誰が”、“いつ”、“何を”、“どうしたか（閲覧／印刷／ダウンロード）”を含むアクセスログを出力する。
【００２１】
次に、漏洩情報追跡装置１２について詳述する。この漏洩情報追跡装置１２は、情報漏洩が発生し、その情報の公開が明らかになった場合の漏洩情報の追跡を行う際に使用される。本実施形態における漏洩情報は、インターネット上のＷｅｂサイト、掲示板サイトなどのネットワーク上に公開された情報であるが、広く公衆に公開された社外秘情報を示す。例えば、ＣＤ−Ｒなどに格納された電子ファイルや印刷された文書などであってもテキストデータとして読込むことで漏洩元の追跡が可能である。
【００２２】
図３に示されるように、漏洩情報追跡装置１２の漏洩元候補情報特定部１２１の機能は、テキスト抽出部１２１ａ、テキスト解析部１２１ｂ、漏洩元候補情報抽出部１２１ｃおよび漏洩元候補情報出力部１２１ｄに分類される。  
テキスト抽出部１２１ａは、公開されている漏洩情報から漏洩内容をテキストとして抽出して取込むプログラムである。このテキスト抽出部１２１ａは、特定のアプリケーションの形式に従うファイルをテキスト形式に変換する機能を有する。即ち、文書編集プログラム（ワープロ文書）、表計算プログラム等のアプリケーションで使用される書式のファイルや、ＨＴＭＬ書式のファイル等のデータを特定の書式を含まない形式（テキスト形式）のファイルに変換する。そして、この時取込まれた漏洩内容のテキストが漏洩元情報の検索条件として用いられる。
【００２３】
テキスト解析部１２１ｂは、テキスト抽出部１２１ａで取込まれたテキストの形態素解析、構文解析および意味解析を行い、知識データベース１１１を実際に検索する検索キーワードを生成するプログラムである。「形態素解析」とは、文章を形態素に分割し、形態素の品詞分けを行うことである。「構文解析」とは、文の構造を解析し、係り・受けの関係を明らかにすることである。「意味解析」とは、シソーラス辞書に基づいて関連語を検索し、文の意味を派生的に捉えることで検索キーワードの精度を高める役割を果たす。テキスト解析部１２１ｂは、これらの解析結果により、入力テキストから検索キーワードを生成し、漏洩元候補情報抽出部１２１ｃへ出力する。
【００２４】
漏洩元候補情報抽出部１２１ｃは、テキスト解析部１２１ｂで生成・出力された検索キーワードに基づいて、知識データベース１１１を検索するプログラムである。  
漏洩元候補情報出力部１２１ｄは、検索の結果をマッチングの度合いの高い順にソートして漏洩元候補情報格納部１２２に出力するプログラムである。
【００２５】
また、図３に示されるように、漏洩情報追跡装置１２のアクセスログ追跡部１２３の機能は、追跡条件入力部１２３ａ、追跡処理部１２３ｂ、アクセス者抽出処理部１２３ｃおよびアクセスログ追跡結果出力部１２３ｄに分類される。  
条件入力部１２３ａは、知識共有サーバ１１のアクセスログ格納部１１４に格納されているアクセスログを追跡する条件を入力させる画面を出力すると共に、画面上からマウスやキーボード等を用いて入力された情報を取得するプログラムである。
【００２６】
追跡処理部１２３ｂは、追跡条件入力部１２３ａにおいて入力された追跡開始・終了日付条件と漏洩元候補情報検索結果の内容に基づいて知識共有サーバ１１（アクセスログ格納部１１４）内のアクセスログを参照し、追跡するプログラムである。
【００２７】
アクセス者抽出処理部１２３ｃは、追跡処理部１２３ｂが作成したワークファイル内のアクセス者ＩＤに基づいてアクセス者情報を抽出し、ワークファイルへの追記を行うプログラムである。  
アクセスログ追跡結果出力部１２３ｄは、アクセス者抽出処理部１２３ｃで更新したワークファイルの内容をアクセス者ＩＤ順にソートし、アクセス者ＩＤ毎にマッチングスコアの集計を行い、その集計結果を出力するプログラムである。
【００２８】
以下、本実施形態に係る漏洩情報追跡システム１０を構成する各装置の動作を図面に基づいて説明する。図４は、図１に示す知識共有サーバ１１内における処理の具体例を示すフローチャートである。
【００２９】
Ｓ４０１において、知識データ収集・登録部１１２は、社内ネットワーク２０（ＬＡＮ）に接続された技術文書データサーバ３０および技術情報管理システム４０から技術情報をテキストとして抽出する。
【００３０】
Ｓ４０２において、知識データ収集・登録部１１２は、抽出されたテキストデータを知識データベース１１１にＸＭＬ形式で情報を登録、蓄積する。この際、収集された技術情報が文書データの場合には、抽出したテキストと共に文書コンテンツ自体の登録を行う。技術情報の収集・登録処理は夜間バッチ処理で行っても良く、収集元における技術情報の登録・更新に合せてリアルタイムで行っても良い。
【００３１】
Ｓ４０３において、知識データ収集・登録部１１２は、技術情報の収集元のサーバまたはシステムにアクセスログが存在するか否かを判定する。ここで、収集元にアクセスログが存在すると判定された場合はＳ４０４へ進み、存在しないと判定された場合はＳ４０５へ進む。
【００３２】
Ｓ４０４において、知識データ収集・登録部１１２は、技術情報の収集元に存在するアクセスログを取得し、これを一旦知識データベース１１１に登録した上で、アクセスログを所定の形式に変換してアクセスログ格納部１１４への登録を行う。
【００３３】
Ｓ４０５において、知識データベース検索部１１３は、知識データベース１１１に一元化された技術情報の検索要求の有無を判定する。ここで、ユーザより知識データベース１１１の検索要求有りと判定された場合には、Ｓ４０６へ進む。これに対し、検索要求無しと判定された場合には、検索要求が有るまで待機状態となる。
【００３４】
Ｓ４０６において、知識データベース検索部１１３は、入力された自然文やキーワードなどの検索条件に基づいて知識データベース１１１を検索し、ヒットした文書のタイトルなど検索結果として表示する。  
Ｓ４０７において、知識データベース検索部１１３は、ユーザが画面上で選択した文書タイトルおよび操作区分を取得する。
【００３５】
Ｓ４０８において、知識データベース検索部１１３は、ユーザが選択した文書のタイトルおよび操作区分（閲覧／印刷／ダウンロード等）に応じた処理を行う。  
Ｓ４０９において、知識データベース検索部１１３は、Ｓ４０７の処理内容に基づいて“誰が”、“いつ”、“何を”、“どうしたか（閲覧／印刷／ダウンロード）”を含むアクセスログを作成すると共に、このアクセスログをアクセスログ格納部１１４へ出力し、処理を終了する。
【００３６】
図５は、図１に示す漏洩元候補情報特定部１２１内における処理の具体例を示すフローチャートである。  
Ｓ５０１において、テキスト抽出部１２１ａは、公開されている漏洩情報から漏洩内容をテキストとして抽出して取込む。この際、テキスト抽出部１２１ａは、特定のアプリケーションの形式に従うファイルをテキスト形式に変換する。即ち、文書編集プログラム（ワープロ文書）、表計算プログラム等のアプリケーションで使用される書式のファイルやＨＴＭＬ書式のファイル等のデータを特定の書式を含まない形式（テキスト形式）のファイルに変換し、この時取込んだ漏洩内容のテキストを漏洩元情報の検索条件として用いる。
【００３７】
Ｓ５０２において、テキスト解析部１２１ｂは、テキスト抽出部１２１ａで取込まれたテキストの形態素解析、構文解析および意味解析を行い、知識データベース１１１を実際に検索する検索キーワードを生成する。  
Ｓ５０３において、漏洩元候補情報抽出部１２１ｃは、テキスト解析部１２１ｂで生成・出力された検索キーワードに基づいて、知識データベース１１１を検索する。検索キーワードで知識データベース１１１の全文検索を行い、検索キーワードを含む技術情報を抽出する。検索は、入力テキストの形態素解析結果のキーワードだけでなく、意味解析の結果で生成された関連語や派生語も使用することでより精度の高い検索を行う。
【００３８】
Ｓ５０４において、漏洩元候補情報抽出部１２１ｃは、検索キーワードを含む知識データ（技術情報）の有無を判定する。ここで、該当する知識データ有りと判定された場合にはＳ５０５へ進む。これに対し、該当する知識データ無しと判定された場合には、処理を終了する。
【００３９】
Ｓ５０５において、漏洩元候補情報出力部１２１ｄは、検索キーワードにヒットした回数のカウントを行ってマッチングスコアとすると共に、マッチングの度合いの高い順にソートして漏洩元候補情報検索結果ファイルに出力し、処理を終了する。図６は、漏洩元候補情報検索結果の出力フォーマットの具体例を示す図である。図６に示される主キーは、検索結果のタイトルをユニークに識別可能な知識データベース１１１のタイトルキーである。タイトル名称は知識データベース１１１に登録されている技術情報の文書などのタイトル名称である。マッチングスコアは、漏洩元候補情報抽出部１２１ｃで検索を行った際のキーワードヒット回数の集計結果である。ここでは、漏洩元候補情報検索結果はマッチングスコアの高い順に降順にソートされ、漏洩元情報の可能性の高い順に出力されている。
【００４０】
図７は、図１に示す漏洩情報追跡装置１２のアクセスログ追跡部１２３における処理の具体例を示すフローチャートである。
【００４１】
Ｓ７０１において、追跡条件入力部１２３ａは、ユーザが画面上からマウスまたはキーボードを使って入力したアクセスログの追跡条件を取得する。図８は、アクセスログ追跡条件設定画面の具体例を示す図である。日付条件は、アクセスログを「どの時点」から「どの時点」までを追跡するか指定する。通常は、漏洩情報が掲載・公開されたと思われる日付を「追跡終了日」に指定し、情報漏洩が発生した可能性がある時期の始点の日付を「追跡開始日」に指定する。ユーザが画面の「開始」ボタンをマウスでクリックすると、アクセスログの追跡が開始される。また、「中止」ボタンをクリックすると、追跡条件の入力が中止され、プログラムは終了する。
【００４２】
Ｓ７０２において、追跡処理部１２３ｂは、漏洩元候補情報格納部１２２を参照し、漏洩元候補情報が存在するか否かを判定する。ここで、漏洩元候補情報が存在すると判定された場合には、Ｓ７０３へ進む。これに対し、漏洩元候補情報が存在しないと判定された場合には、漏洩者を特定すべき漏洩情報が存在していないので処理を終了する。
【００４３】
Ｓ７０３において、追跡処理部１２３ｂは、追跡条件入力部１２３ａにおいて入力された追跡開始・終了日付条件と漏洩元候補情報（文書ファイル名など）の内容に基づいて、知識共有サーバ１１（知識データベース１１１）に格納されているアクセスログを追跡する。具体的には、漏洩元候補情報検索結果の主キー・タイトル名称に基づいてアクセスログ内を検索し、追跡開始・終了日付の範囲内に該当するアクセスログレコードを抽出し、これをワークファイルに書き出す。図９は、アクセスログの具体例を示す図である。同図に示されるように、アクセスログレコードは知識データベース検索部１１３での情報閲覧／印刷／ダウンロード等の履歴を管理している。また、図９の操作区分はアクセス者が該当タイトルに対してどのような操作を行ったかを表す区分である。本実施形態において、追跡処理部１２３ｂは、この操作区分の内、タイトルの「閲覧：Ｂ」「印刷：Ｐ」「ダウンロード：Ｄ」を抽出対象としてアクセスログレコードの抽出を行い、他の操作区分については抽出対象とはしないものとするが、抽出対象は任意に変更可能である。
【００４４】
Ｓ７０４において、アクセス者抽出処理部１２３ｃは、追跡処理部１２３ｂが作成したワークファイル内のアクセス者ＩＤに基づいてユーザ情報からアクセス者情報を抽出し、ワークファイルへの追記を行う。図１０は、ワークファイルの具体例を示す図である。ワークファイル内のアクセス者ＩＤを検索キーとして知識共有サーバ１１で管理されているユーザ情報を検索する。ユーザ情報からアクセス者ＩＤで示される該当者の氏名、所属部署名称を抽出し、ワークファイルに追記を行う。この結果、ワークファイルには図１０の情報が管理されることになる。
【００４５】
Ｓ７０５において、アクセスログ追跡結果出力部１２３ｄは、アクセス者抽出処理部１２３ｃで更新した図１０のワークファイルの内容をアクセス者ＩＤ順にソートし、アクセス者ＩＤ毎にマッチングスコアの集計を行い、アクセスログ追跡結果として出力する。図１１は、アクセスログ追跡結果の表示例を示す図である。同図においては、ワークファイル内の全てのアクセス者ＩＤ毎のマッチングスコアの集計が完了した後、アクセスログ追跡結果の内容を、マッチングスコアの降順、アクセス者ＩＤの昇順でソートされることが示されている。
【００４６】
Ｓ７０６において、アクセスログ追跡結果出力部１２３ｄは、処理結果から漏洩情報追跡結果レポートを作成・出力し、処理を終了する。図１２は、漏洩情報追跡結果レポートの具体例を示す図である。同図に示されるように、漏洩情報追跡結果レポートには、漏洩元の候補情報の漏洩元情報検索結果の内容からタイトル名称とマッチングスコアが、マッチングスコアの降順（漏洩元の可能性の高い順）に表示されている。また、アクセスログを追跡した結果であるアクセスログ追跡結果から、漏洩元候補情報アクセス者のランキングトップ５名の氏名、所属部署、マッチングスコア合計が表示されている。更に、ランキングトップ５名のアクセスログ明細にはワークファイルの氏名、アクセス年月日・時刻、タイトル名称、操作区分が表示されている。
【００４７】
このように、漏洩情報追跡システム１０を設けることにより、以下の効果が期待できる。  
（１）技術情報を知識データベース１１１に一元化して検索することにより、技術情報へのアクセスログの採取とその追跡を確実に行える。  
（２）漏洩情報そのものを漏洩元候補情報の検索条件とすることで、精度の高い漏洩元情報の候補絞込み・特定を行える。  
（３）従来、人手に頼っていた漏洩元情報の特定とアクセスログの追跡をシステム化することによって、情報漏洩発生時の特定・追跡作業にかかる手間隙を大幅に削減することが可能となる。
【００４８】
尚、本発明は上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合わせにより、種々の発明を形成できる。例えば、知識共有サーバ１１と漏洩情報追跡装置１２が社内ネットワーク２０を介して接続される構成としたが、一体の装置として形成しても良い。また、漏洩情報の対象は技術情報に限られず、営業秘密などの業務情報が漏洩した際の追跡にも本システムは適用可能である。
【符号の説明】
【００４９】
１０…漏洩情報追跡システム
１１…知識共有サーバ
１２…漏洩情報追跡装置
２０…社内ネットワーク
３０…技術文書データサーバ
４０…技術情報管理システム
５０…ファイアーウォール
６０…社外ネットワーク
７０…社外Ｗｅｂサーバ
１１１…知識データベース
１１２…知識データ収集・登録部
１１３…知識データベース検索部
１１４…アクセスログ格納部
１２１…漏洩元候補情報特定部
１２１ａ…テキスト抽出部
１２１ｂ…テキスト解析部
１２１ｃ…漏洩元候補情報抽出部
１２１ｄ…漏洩元候補情報出力部
１２２…漏洩元候補情報格納部
１２３…アクセスログ追跡部
１２３ａ…追跡条件入力部
１２３ｂ…追跡処理部
１２３ｃ…アクセス者抽出処理部
１２３ｄ…アクセスログ追跡結果出力部
１２４…アクセスログ追跡結果格納部
１３１…ＣＰＵ
１３２…ＲＡＭ
１３３…ＲＯＭ
１３４…ＬＡＮアダプタ
１３５…ビデオアダプタ
１３６…キーボード
１３７…マウス
１３８…補助記憶装置
１３９…記憶媒体ドライブ
【図１】
2011086156.tif 000003
【図２】
2011086156.tif 000004
【図３】
2011086156.tif 000005
【図４】
2011086156.tif 000006
【図５】
2011086156.tif 000007
【図６】
2011086156.tif 000008
【図７】
2011086156.tif 000009
【図８】
2011086156.tif 000010
【図９】
2011086156.tif 000011
【図１０】
2011086156.tif 000012
【図１１】
2011086156.tif 000013
【図１２】
2011086156.tif 000014