(57)【要約】      （修正有）【課題】不正監視システムにおいて、クライアント端末に適切なタイミングでアラートを出力する。【解決手段】不正監視システム１において、クライアント端末２０ａ〜２０ｎにおける操作又は動作の情報を第１のネットワーク３０を介して不正監視装置１０に送信し、クライアント端末２０ａ〜２０ｎにおけるアラート通知機能を活性化する条件を満たすことを操作又は動作の情報に基づいて検出した不正監視装置１０から、アラート通知機能の活性化の指示を受信すると、特定のイベントの検知に応じてアラートを出力する。【選択図】図１
2019159550.tif 000002
【特許請求の範囲】
【請求項１】
コンピュータにおける操作又は動作の情報を第１のネットワークを介して管理装置に送信し、
前記コンピュータにおけるアラート通知機能を活性化する条件を満たすことを前記情報に基づいて検出した前記管理装置から前記アラート通知機能の活性化の指示を受信すると、特定のイベントの検知に応じてアラートを出力する、
処理を前記コンピュータに実行させることを特徴とする不正監視プログラム。
【請求項２】
前記特定のイベントは、前記第１のネットワークからの切断、又は、前記第１のネットワークから切断された後におけるデータ送信イベント、又は、前記コンピュータと第２のネットワークへの接続イベント、又は外部装置との接続イベントである、
ことを特徴とする、請求項１に記載の不正監視プログラム。
【請求項３】
前記コンピュータにおいて、前記アラート通知機能の活性化の指示を少なくとも前記第１のネットワークを介して受信する、
処理を前記コンピュータに実行させることを特徴とする請求項１に記載の不正監視プログラム。
【請求項４】
前記コンピュータにおけるアラート通知機能を活性化する条件を満たす操作又は動作と、前記コンピュータにおける特定のイベントとは、異なる操作又は動作である、
ことを特徴とする、請求項１に記載の不正監視プログラム。
【請求項５】
コンピュータにおける操作又は動作の情報を第１のネットワークを介して管理装置に送信し、
前記コンピュータにおけるアラート通知機能を活性化する条件を満たすことを前記情報に基づいて検出した前記管理装置から前記アラート通知機能の活性化の指示を受信すると、特定のイベントの検知に応じてアラートを出力する、
ことを特徴とする不正監視方法。
【請求項６】
操作又は動作の情報を第１のネットワークを介して管理装置に送信する情報送信部と、
アラート通知機能を活性化する条件を満たすことを前記情報に基づいて検出した前記管理装置から前記アラート通知機能の活性化の指示を受信すると、特定のイベントの検知に応じてアラートを出力するアラート出力部と、
を備える、
ことを特徴とする情報処理装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、不正監視プログラム、不正監視方法、及び情報処理装置に関する。
【背景技術】
【０００２】
企業等の組織における情報漏えいの原因の代表的なものに、内部不正がある。そこで、組織内に内部不正を監視する不正監視装置を設置し、当該不正監視装置において内部不正の対象となる操作又は動作（単に、不正操作ともいう）を検知すると、当該内部不正を行なったクライアント（端末）を特定し、アラートの表示（警告）を行なう。これにより、内部不正に至る機会を減少させ、組織の情報が外部に漏えいすることを回避している。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０１０−２１１２５７号公報
【特許文献２】特開２００７−２４１３３７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
このような従来の不正監視手法では、アラート表示を行なわせるクライアント端末が所定のネットワークに接続されている間、不正監視装置が当該クライアント端末に対してアラート表示等の制御を行なう。そのため、アラート表示を行なわせるクライアント端末が所定のネットワークに接続されなくなると、当該クライアント端末を制御することが難しくなる。
【０００５】
また、従来の不正監視手法では、不正監視装置により内部不正に至る機会（例えば、ＵＳＢ(Universal Serial Bus)メモリをスロットに挿入する行為）が検知される度に、アラートが表示されることになり、このアラート自体が形骸化されるおそれがある。
【０００６】
１つの側面では、クライアント端末に適切なタイミングでアラートを表示することを目的とする。
【課題を解決するための手段】
【０００７】
この不正監視プログラムは、コンピュータにおける操作又は動作の情報を第１のネットワークを介して管理装置に送信し、前記コンピュータにおけるアラート通知機能を活性化する条件を満たすことを前記情報に基づいて検出した前記管理装置から前記アラート通知機能の活性化の指示を受信すると、特定のイベントの検知に応じてアラートを出力する、処理をコンピュータに実行させる。
【発明の効果】
【０００８】
一実施形態によれば、不正監視システムにおいて、クライアント端末に適切なタイミングでアラートを表示することができる。
【図面の簡単な説明】
【０００９】
【図１】実施形態の一例としての不正監視システムのハードウェア構成を例示する図である。
【図２】実施形態の一例としての不正監視システムにおける不正監視装置のハードウェア構成を例示する図である。
【図３】実施形態の一例としての不正監視システムにおけるクライアント端末のハードウェア構成を例示する図である。
【図４】実施形態の一例としての不正監視システムにおける不正監視装置の機能構成を例示する図である。
【図５】実施形態の一例としての不正監視システムにおけるクライアント端末の機能構成を例示する図である。
【図６】実施形態の一例としての不正監視システムにおける内部不正の検知とアラート出力の処理とを例示するフローチャートである。
【図７】実施形態の一例としての不正監視システムにおける内部不正ポイントの再計算とアラート出力の制御処理とを例示するフローチャートである。
【図８】変形例としての不正監視システムにおける例外処理を例示するフローチャートである。
【図９】変形例としての不正監視システムにおける不正監視装置の機能構成を例示する図である。
【発明を実施するための形態】
【００１０】
以下、図面を参照して本発明の実施の形態を説明する。ただし、以下に説明する実施形態は、あくまでも例示あり、以下に明示しない種々の変形や技術の適用を排除する意図等はない。例えば、本実施形態を、その趣旨を逸脱しない範囲で種々変形して実施することができる。なお、以下の実施形態で用いる図面において、同一符号を付した部分は、特に断らない限り、同一若しくは同様の部分を表す。
【００１１】
〔１〕一実施形態
〔１−１〕一実施形態に係る不正監視システムのハードウェア構成例
図１は、実施形態の一例としての不正監視システム１のハードウェア構成を例示する図である。
【００１２】
この図１に示すように、不正監視システム１は、不正監視装置（サーバ）１０と、クライアントユーザによって利用される１つ以上のクライアント端末２０ａ，２０ｂ，２０ｃ，・・・，２０ｎとを備える。以下、クライアント端末を示す符号としては、複数のクライアント端末のうち１つを特定する必要があるときには符号２０ａ，２０ｂ，２０ｃ，・・・，２０ｎを用いるが、任意のクライアント端末を指すときには符号２０を用いる。不正監視装置１０と、クライアント端末２０とは、イントラネット等の内部ネットワーク３０を介して接続される。
【００１３】
また、クライアントユーザは、内部ネットワーク３０を切断してクライアント端末２０を外部ネットワーク３１に接続させることもできる。
【００１４】
また、不正監視装置１０も外部ネットワーク３１に接続し、例えば、図示しない管理者の管理端末と通信することができる。
【００１５】
なお、図１には、不正監視システム１が、１つの不正監視装置１０を備えることを図示したが、複数の不正監視装置１０を備えてよい。
【００１６】
〔１−２〕一実施形態に係る不正監視システムにおける不正監視装置の構成例
図２は、実施形態の一例としての不正監視システム１における不正監視装置１０のハードウェア構成を例示する図である。
【００１７】
この図２に示すように、不正監視装置（サーバ）１０は、ＣＰＵ（Central Processing Unit）１１、記憶部１２、メモリ１３、ＩＦ（Interface）部１４、及び、Ｉ／Ｏ（Input / Output）部１５を備えてよい。
【００１８】
ＣＰＵ１１は、後述する記憶部１２に格納されるＯＳ（Operating System）やプログラムを実行し、図示しない外部装置、例えば、管理者の管理端末から入力された要求に応じ、クライアント端末２０を制御する。本実施形態では、ＣＰＵ１１は、後述するサーバ用監視プログラム１００を実行する。
【００１９】
記憶部１２は、種々のデータやプログラム等を格納するハードウェアの一例である。例えば、記憶部１２は、不正監視装置１０の二次記憶装置として使用されてよく、ＯＳやファームウェア、アプリケーション等のプログラム、及び各種データが格納されてよい。記憶部１２としては、例えば、ＨＤＤ（Hard Disk Drive）等の磁気ディスク装置の他、ＳＳＤ(Solid State Drive)やＳＣＭ(Storage Class Memories)が挙げられる。記憶部１２は、不正監視装置１０の各種機能の全部若しくは一部を実現するプログラム（サーバ用監視プログラム１００）を格納してもよい
【００２０】
メモリ１３は、種々のデータやプログラムを格納するハードウェアの一例である。メモリ１３としては、揮発性メモリ、例えば、ＤＲＡＭ（Dynamic RAM）等のＲＡＭが挙げられる。なお、ＲＡＭはRandom Access Memoryの略称である。
【００２１】
ＩＦ部１４は、内部ネットワーク３０を介して、クライアント端末２０との間の接続及び通信の制御等を行なう通信インタフェースの一例である。なお、不正監視装置１０は、図示しない管理者の管理端末と、外部ネットワーク３１を介して通信等を行なう通信インタフェースをそなえてもよい。また、当該通信インタフェースを用いて、プログラム等をダウンロードしてもよい。
【００２２】
Ｉ／Ｏ部１５は、例えば、マウスやキーボード等の入力装置、並びに、ディスプレイや
スピーカ等の出力装置の少なくとも一方を含んでよい。
【００２３】
〔１−３〕一実施形態に係る不正監視システムにおけるクライアント端末の構成例
図３は、実施形態の一例としての不正監視システム１におけるクライアント端末２０のハードウェア構成を例示する図である。
【００２４】
この図３に示すように、クライアント端末２０は、ＣＰＵ２１、記憶部２２、メモリ２３、ＩＦ部２４、及び、Ｉ／Ｏ部２５を備えてよい。
【００２５】
ＣＰＵ２１は、後述する記憶部２２に格納されるＯＳやプログラムを実行する。本実施形態では、ＣＰＵ２１は、後述するクライアント端末用監視プログラム２００を実行する。
【００２６】
記憶部２２は、種々のデータやプログラム等を格納するハードウェアの一例である。例えば、記憶部２２は、クライアント端末２０の二次記憶装置として使用されてよく、ＯＳやファームウェア、アプリケーション等のプログラム、及び各種データが格納されてよい。記憶部２２としては、例えば、ＨＤＤ等の磁気ディスク装置の他、ＳＳＤやＳＣＭが挙げられる。記憶部２２は、後述するクライアント端末用監視プログラム２００の全部若しくは一部を格納してもよい
【００２７】
メモリ２３は、種々のデータやプログラムを格納するハードウェアの一例である。メモリ２３としては、揮発性メモリ、例えば、ＤＲＡＭ等のＲＡＭが挙げられる。
【００２８】
ＩＦ部２４は、内部ネットワーク３０を介して、不正監視装置１０との間の接続を行なう通信インタフェースの一例である。なお、クライアント端末２０は、インターネット等の外部ネットワーク３１を介して通信等を行なう通信インタフェースをそなえてもよい。
【００２９】
Ｉ／Ｏ部２５は、例えば、マウスやキーボード等の入力装置、並びに、ディスプレイや
スピーカ等の出力装置の少なくとも一方を含んでよい。
【００３０】
〔１−４〕一実施形態に係る不正監視システムの不正監視装置における機能構成例
図４は、図２に示す実施形態の一例としての不正監視システム１における不正監視装置１０の機能構成を例示する図である。
【００３１】
この図４に示すように、不正監視装置１０は、例示的に、内部不正ポイント算出部４０、内部不正ポイント表示部４１、アラート要否判断部４２、及びアラート指示部４３を備えてよい。
【００３２】
内部不正ポイント算出部４０は、不正監視装置１０の記憶部１２に格納される内部不正ポイント対応情報６０（後述）を参照して、内部不正の対象となる操作又は動作に対する内部不正ポイントを算出する。本実施形態では、この内部不正の対象となる操作又は動作を、単に動作、又は第１内部不正ともいい、この内部不正の対象となる操作又は動作の情報を、第１内部不正情報ともいう。
【００３３】
本実施形態において、内部不正ポイントとは、内部不正の対象となる動作（第１内部不正）毎に割り当てられるポイント（値）であり、情報漏えいのリスクが高い動作ほど、高い内部不正ポイントが割り当てられるものとする。
【００３４】
内部不正ポイント表示部４１は、クライアントユーザ毎の内部不正ポイントを、当該不正監視装置１０のディスプレイ上に、例えばダッシュボード機能によって表示する。内部不正ポイント表示部４１は、各クライアント端末２０において、内部不正の対象となる動作が複数検知された場合には、これらの動作毎に内部不正ポイントを表示してもよいし、又は、内部不正ポイントの累計を表示してもよい。
【００３５】
アラート要否判断部４２は、クライアントユーザの保有する内部不正ポイントの累計（合計）が、所定の閾値を超えているか否かを判断する。アラート要否判断部４２は、この判断の結果、内部不正ポイントが所定の閾値を超えている場合にアラートの出力が必要と判断する。
【００３６】
なお、この閾値は、例えば、管理者によって予め設定されてもよく、当該システム稼働中においても変更が可能なものとする。
【００３７】
アラート指示部４３は、クライアント端末２０に対して、アラートの出力指示（アラート指令）を発信する。
【００３８】
これらの内部不正ポイント算出部４０、内部不正ポイント表示部４１、アラート要否判断部４２、及びアラート指示部４３の処理は、本実施形態において、ＣＰＵ１１がサーバ用監視プログラム１００を実行することによって実現されるものとする。
【００３９】
また、不正監視装置１０の備える記憶部１２には、内部不正ポイント対応情報６０、及びクライアントログ６１が格納される。
【００４０】
内部不正ポイント対応情報６０は、内部不正の対象となる操作又は動作の情報（後述する第１内部不正情報）と、当該情報に対する内部不正ポイントとを対応付けて格納するものである。本実施形態において、この内部不正ポイント対応情報６０に格納される、操作又は動作の情報毎の内部不正ポイントは、管理者によって設定されるものとする。
【００４１】
クライアントログ６１は、クライアントユーザ毎に内部不正ポイントの情報を格納するものである。本実施形態において、各クライアントユーザにおいて、内部不正の対象となる操作又は動作が複数検知された場合には、操作又は動作の情報毎に内部不正ポイントを格納してもよいし、又は、内部不正ポイントの累計を格納してもよい。
【００４２】
〔１−５〕一実施形態に係る不正監視システムのクライアント端末における機能構成例
図５は、図３に示す実施形態の一例としての不正監視システム１におけるクライアント端末２０の機能構成を例示する図である。
【００４３】
この図５に示すように、本実施形態に係るクライアント端末２０は、例示的に、第１内部不正検知部５０、アラート指示保留部５１、第２内部不正検知部５２、アラート出力部５３、及び接続先判断部５４を備えてよい。
【００４４】
第１内部不正検知部５０は、クライアント端末２０において、内部不正の対象となる動作を検知する。そして、第１内部不正検知部５０は、この検知した動作の情報（第１内部不正情報）を内部ネットワーク３０を介して不正監視装置１０に通知する。
【００４５】
アラート指示保留部５１は、不正監視装置１０から送信された、アラートの出力指示を保留する。すなわち、アラート指示保留部５１は、不正監視装置１０からアラートの出力指示を受信しても、すぐにクライアント端末２０にアラートを出力せずに保留（抑止）する（待機させる）。
【００４６】
第２内部不正検知部５２は、クライアント端末２０において、特定のイベント（後述する第２内部不正）を検知する。なお、この特定のイベントについては後述する。
【００４７】
アラート出力部５３は、クライアント端末２０に対してアラートを出力する。このアラート出力の具体例については後述する。また、アラート出力部５３は、クライアント端末２０に対するアラート出力を継続する制御も行なう。
【００４８】
接続先判断部５４は、クライアント端末２０が内部ネットワーク３０に接続しているか否かを判断する。また、接続先判断部５４は、クライアント端末２０の接続先が、内部ネットワーク３０であるか、又は、外部ネットワーク３１であるかを判断してもよい。
【００４９】
これらの第１内部不正検知部５０、アラート指示保留部５１、第２内部不正検知部５２、アラート出力部５３、及び接続先判断部５４の処理は、本実施形態において、ＣＰＵ２１がクライアント端末用監視プログラム２００によって実現されるものとする。
【００５０】
〔１−６〕一実施形態に係る不正監視システムにおける制御の処理
上述の如く構成された実施形態の一例として、不正監視システム１における制御の処理を図６及び図７に示すフローチャート（ステップＳ１〜Ｓ１７）に従って説明する。
【００５１】
なお、図６は、一実施形態に係る不正監視システム１における内部不正の検知とアラート出力の処理とを説明するためのフローチャートである。また、図７は、一実施形態に係る不正監視システム１における内部不正ポイントの再計算とアラート出力の制御処理とを説明するためのフローチャートである。
【００５２】
まず、図６に示すフローチャート（ステップＳ１〜Ｓ９）に従い、一実施形態に係る不正監視システム１における、クライアント端末２０における内部不正の検知とアラート出力の処理とを説明する。
【００５３】
なお、本処理を開始するにあたり、不正監視装置１０の記憶部１２には、サーバ用監視プログラム１００が格納（インストール）されているものとし、不正監視装置１０のＣＰＵ１１が、当該サーバ用監視プログラム１００を実行しているものとする。
【００５４】
そして、各クライアント端末２０の記憶部２２には、クライアント端末用監視プログラム２００が格納（インストール）されているものとし、クライアント端末２０のＣＰＵ２１が、当該クライアント端末用監視プログラム２００を実行しているものとする。
【００５５】
また、各クライアント端末２０と不正監視装置１０とは、内部ネットワーク３０を介して通信可能であるものとする。
【００５６】
ステップＳ１において、各クライアント端末２０の第１内部不正検知部５０は、当該クライアント端末２０において、内部不正の対象となる動作、すなわち、第１内部不正を検知する。そして、第１内部不正検知部５０は、この検知した１つ以上動作の情報、すなわち、第１内部不正情報を内部ネットワーク３０を介して不正監視装置１０に通知する。本実施形態では、予め定めた期間内に検知される１つ以上の第１内部不正情報をまとめて不正監視装置１０に送信するものとする。
【００５７】
この第１内部不正とは、管理者等によって、組織内で内部不正に至る動作として予め設定されるものとし、内部不正の蓋然性が高い動作を含んでもよい。このような内部不正の対象となる具体的な動作は公知であるため、ここではその説明を省略する。
【００５８】
このステップＳ１の処理において、各クライアント端末２０の第１内部不正検知部５０は、予め定めた期間内に検知される１つ以上の第１内部不正情報をまとめて不正監視装置１０に送信してもよい。または、各クライアント端末２０の第１内部不正検知部５０は、第１内部不正が検知される度に当該第１内部不正情報を不正監視装置１０に送信してもよい。
【００５９】
続くステップＳ２において、不正監視装置１０の内部不正ポイント算出部４０は、ステップＳ１において通知された第１内部不正情報に対する内部不正ポイントを算出する。
【００６０】
具体的に、まず、内部不正ポイント算出部４０は、不正監視装置１０の記憶部１２に格納される内部不正ポイント対応情報６０を参照し、ステップＳ１において通知された第１内部不正情報のそれぞれに対して内部不正ポイントを抽出する。そして、内部不正ポイント算出部４０は、抽出した内部不正ポイントをクライアントユーザ毎に合計する。
【００６１】
次に、内部不正ポイント算出部４０は、クライアントユーザ識別子に基づき、記憶部１２に格納されるクライアントログ６１から、当該クライアントユーザの内部不正ポイントを取り出す。そして、内部不正ポイント算出部４０は、取り出した当該クライアントユーザの内部不正ポイントに対して、ステップＳ２において算出した第１内部不正情報の内部不正ポイントをすべて加算する。
【００６２】
これにより、クライアントユーザが行なった内部不正の対象となる１つ以上の動作の情報に対する内部不正ポイントの累計が求められることになる。この累計の値が高い数値を示すほど、情報漏えいのリスクが高いといえる。
【００６３】
続くステップＳ３において、内部不正ポイント算出部４０は、内部不正ポイントをすべて加算した結果得られた内部不正ポイントを用いて、記憶部１２に格納されている当該クライアントユーザのクライアントログ６１を更新（記録）する。
【００６４】
続くステップＳ４では、不正監視装置１０の内部不正ポイント表示部４１が、ステップＳ３において算出されたクライアントユーザ毎の内部不正ポイント（の累計）を、当該不正監視装置１０のディスプレイ上に、例えばダッシュボード機能によって表示する。これにより、管理者は、クライアントユーザ毎の内部不正ポイント（の累計）を閲覧することができ、悪意をもつ可能性が高いクライアントユーザを特定することができる。
【００６５】
続くステップＳ５において、不正監視装置１０のアラート要否判断部４２は、ステップＳ１において第１内部不正が検知されたクライアントユーザの保有する内部不正ポイントの累計が、所定の閾値を超えているか否かを判断する。この閾値は、例えば、管理者によって予め設定されてもよく、当該システム稼働中においても変更が可能なものとする。
【００６６】
ステップＳ５において、当該クライアントユーザの内部不正ポイントの累計が所定の閾値を超えている場合（ステップＳ５のＹｅｓルート参照）、処理がステップＳ６に進む。一方、所定の閾値を超えていない場合（ステップＳ５のＮｏルート参照）、処理が図７のステップＳ１１に進む。
【００６７】
ステップＳ６において、不正監視装置１０のアラート指示部４３は、ステップＳ１において第１内部不正が検知されたクライアントユーザのクライアント端末２０に対して、アラートの出力指示（出力指令）を発信する。
【００６８】
続くステップＳ７において、クライアント端末２０のアラート指示保留部５１は、不正監視装置１０から送信されたアラートの出力指示を保留する。すなわち、アラート指示保留部５１は、不正監視装置１０からアラートの出力指示を受信しても、すぐに当該クライアント端末２０にはアラートを出力せず保留する（待機させる）。
【００６９】
すなわち、不正監視装置１０のアラート指示部４３によるアラートの出力指示とは、当該出力指示を受信したクライアント端末２０でアラートの出力を指示するものであるが、クライアント端末２０側で更なる条件を満たすまでアラートの出力が待機される。そこで、クライアント端末２０では、更なる条件を満たした場合にアラート通知が行なえるように、アラート通知に必要な機能（アラート通知機能）を準備しておく。例えば、アラート通知機能の準備として、オブジェクトのインスタンス化等を行なっておき、アラート通知機能を活性化する。したがって、アラート指示部４３によるアラートの出力指示とは、クライアント端末２０におけるアラート通知機能の活性化の指示ともいえる。
【００７０】
また、同様に、クライアント端末２０におけるアラート通知機能の活性化の指示は、第１内部不正の検知が契機となっていることから、第１内部不正の検知は、クライアント端末２０におけるアラート通知機能を活性化する条件でもある。
【００７１】
続くステップＳ８では、クライアント端末２０の第２内部不正検知部５２は、クライアント端末２０において特定のイベントを検知したかを確認する。この確認の結果、特定のイベントを検知した場合（ステップＳ８のＹｅｓルート参照）、処理がステップＳ９に進む。
【００７２】
本実施形態において、特定のイベントとは、第１内部不正とは異なるものであり、ステップＳ１において検知される第１内部不正よりも、より情報漏えいのリスクが高い操作又は動作であってもよい。本実施形態では、この特定のイベントを第２内部不正ともいう。
【００７３】
ステップＳ８において検知される特定のイベントは、例えば、クライアントユーザが組織外に添付ファイルを付した電子メールを送信する操作や、ウェブブラウザ等のアプリケーションを介してデータのアップロードを行なう操作であってもよい。
【００７４】
また、特定のイベントは、例えば、クライアントユーザが、クライアント端末２０を所定のネットワーク（例えば、内部ネットワーク３０）から切断したり、この切断の後に再度所定のネットワークへの再接続やデータの送信を行なう操作であってもよい。
【００７５】
また、特定のイベントは、例えば、クライアントユーザがＷｉ−Ｆｉ等の無線ＬＡＮ（Local Area Network）を介して特定のネットワーク（例えば、外部ネットワーク３１）へ接続したり、当該特定のネットワークを介して外部装置に接続する操作であってもよい。
【００７６】
また、特定のイベントは、例えば、クライアントユーザが、クライアント端末２０にＵＳＢメモリを挿入したり、当該ＵＳＢメモリにデータをコピーする操作や、ＣＤやＤＶＤ等の磁気ディスクへデータを書き込む操作であってもよい。
【００７７】
一方、ステップＳ８にて、クライアント端末２０の第２内部不正検知部５２が、クライアント端末２０において上述のような特定のイベントを検知しない場合（ステップＳ８のＮｏルート参照）、ステップＳ９をスキップして、処理がステップＳ１０に進む。なお、本実施形態では、第２内部不正検知部５２は、予め定めた所定の期間内に、特定のイベントを検知するか否かを判断するものとする。
【００７８】
ステップＳ９において、クライアント端末２０のアラート出力部５３は、当該クライアント端末２０に対してアラートを出力する。例えば、アラート出力部５３は、クライアント端末２０の備えるディスプレイにおいて、内部不正となる動作を行なった旨のメッセージを表示したり、内部不正となる蓋然性が高い行為を検知した旨のメッセージを表示する。また、クライアント端末２０の備えるスピーカにおいて、アラートを音声で通知してもよい。
【００７９】
以上のように、図６に示すステップＳ７〜Ｓ９の処理を経ることにより、クライアント端末２０において、内部不正の対象となる動作が行なわれたとしても、すぐにクライアント端末２０へアラートが通知されることがない。そして、ステップＳ８にて特定のイベントが検知されてはじめてアラートが通知され、アラートの形骸化を回避し、適切なタイミングでのアラートを表示することが可能となる。
【００８０】
また、ステップＳ７〜Ｓ９の処理は、クライアント端末用監視プログラム２００によって実行されることから、クライアント端末２０が内部ネットワーク３０に接続されていない場合にも、当該クライアント端末２０にアラートを通知することができる。すなわち、クライアント端末２０が内部ネットワーク３０に接続されていない場合にも、当該クライアント端末２０を制御することができる。したがって、内部ネットワーク３０から切断されたクライアントユーザに対しても、監視されていることを感じさせることで、抑止効果を期待できる。
【００８１】
なお、本実施形態では、ステップＳ１において、第１内部不正検知部５０が、第１内部不正を複数検知した場合、これらをまとめて不正監視装置１０に通知するものとしたが、第１内部不正を検知する度に、不正監視装置１０に通知してもよい。その場合、ステップＳ１〜Ｓ９の処理を所定の期間内に繰り返し行なうようにしてもよい。
【００８２】
次に、図７に示すフローチャート（ステップＳ１０〜Ｓ１７）に従い、一実施形態に係る不正監視システム１における内部不正ポイントの再計算とアラート出力の制御処理とを説明する。
【００８３】
図６に示すステップＳ９にて、クライアント端末２０においてアラートを出力すると、処理が図７に示すステップＳ１０に進む。
【００８４】
図７に示すステップＳ１０において、クライアント端末２０の接続先判断部５４は、当該クライアント端末２０が内部ネットワーク３０に接続しているか否かを判断する。
【００８５】
このステップＳ１０において、内部ネットワーク３０に接続していると判断した場合（ステップＳ１０におけるＹｅｓルート参照）、処理がステップＳ１１に進む。そして、上述したステップＳ１と同様の処理を行なう。すなわち、各クライアント端末２０の第１内部不正検知部５０が、当該クライアント端末２０において検知した１つ以上の第１内部不正情報を、内部ネットワーク３０を介して不正監視装置１０に通知する。
【００８６】
なお、ステップＳ１０において、クライアント端末２０の第１内部不正検知部５０は、検知した第１内部不正情報と共に、クライアントユーザ識別子も不正監視装置１０に送信するものとする。
【００８７】
そして、不正監視装置１０の内部不正ポイント算出部４０は、上述したステップＳ２と同様の処理を行ない、当該クライアントユーザの内部不正ポイントを再計算する。
【００８８】
具体的に、内部不正ポイント算出部４０は、不正監視装置１０の記憶部１２に格納される内部不正ポイント対応情報６０を参照し、ステップＳ１０において第１内部不正検知部５０により検知された第１内部不正のそれぞれに対して内部不正ポイントを抽出する。そして、内部不正ポイント算出部４０は、抽出した内部不正ポイントをクライアントユーザ毎に合計する。
【００８９】
次に、内部不正ポイント算出部４０は、クライアントユーザ識別子に基づき、不正監視装置１０の記憶部１２に格納されるクライアントログ６１から、当該クライアントユーザの内部不正ポイントを取り出す。そして、内部不正ポイント算出部４０は、取り出した当該クライアントユーザの内部不正ポイントに対して、ステップＳ１１において算出した第１内部不正情報の内部不正ポイントをすべて加算することにより、再計算を行なう。
【００９０】
続くステップＳ１２において、内部不正ポイント算出部４０は、再計算した結果求められた内部不正ポイントを用いて、記憶部１２に格納されている当該クライアントユーザのクライアントログ６１を更新（記録）する。
【００９１】
続くステップＳ１３では、不正監視装置１０の内部不正ポイント表示部４１が、ステップＳ１２における再計算により求められたクライアントユーザ毎の内部不正ポイント（の累計）を、当該不正監視装置１０のディスプレイ上の例えばダッシュボードに表示する。
【００９２】
続くステップＳ１４において、不正監視装置１０のアラート要否判断部４２は、ステップＳ１０において第１内部不正が検知されたクライアントユーザの保有する内部不正ポイントの累計が、所定の閾値を超えているか否かを判断する。この閾値は、例えば、管理者によって予め設定されてもよく、当該システム稼働中において変更が可能なものとする。また、この閾値は、ステップＳ５において用いられる閾値とは異なる値が設定されてもよいものとする。
【００９３】
続くステップＳ１４において当該クライアントユーザの内部不正ポイントの累計が所定の閾値を超えている場合（ステップＳ１４のＹｅｓルート参照）、処理がステップＳ１５に進む。
【００９４】
そして、ステップＳ１５において、不正監視装置１０のアラート指示部４３は、ステップＳ１０において第１内部不正が検知されたクライアントユーザに対して、アラートの出力を継続させる指示を発信する。
【００９５】
クライアント端末２０のアラート出力部５３は、アラート指示部４３からアラートの出力を継続する指示を受け、当該クライアント端末２０におけるアラートの出力を継続する。例えば、ステップＳ９において、アラート出力部５３が、クライアント端末２０の備えるディスプレイにアラートを表示した場合、この表示を継続する。また、例えば、ステップＳ９において、アラート出力部５３は、クライアント端末２０の備えるスピーカにおいて、アラートを音声で通知した場合、この通知を継続するものとする。そして、処理を終了する。
【００９６】
一方、ステップＳ１４において当該クライアントユーザの内部不正ポイントの累計が所定の閾値を超えていない場合（ステップＳ１４のＮｏルート参照）、処理がステップＳ１６に進む。
【００９７】
そして、ステップＳ１６において、不正監視装置１０のアラート指示部４３は、ステップＳ１０において第１内部不正が検知されたクライアントユーザのクライアント端末２０に対し、アラートの出力を解除させる指示を発信する。
【００９８】
そして、クライアント端末２０のアラート出力部５３は、当該クライアント端末２０におけるアラートの出力を解除、すなわち、アラートの出力を停止する。
【００９９】
アラート出力部５３は、アラート指示部４３からアラートの出力を解除させる指示を受け、当該クライアント端末２０におけるアラートの出力を停止する制御を行なう。そして、処理を終了する。
【０１００】
一方、ステップＳ１０において、クライアント端末２０の接続先判断部５４は、クライアント端末２０が内部ネットワーク３０に接続していないと判断した場合（ステップＳ１０におけるＮｏルート参照）、処理がステップＳ１７に進む。
【０１０１】
ステップＳ１７では、クライアント端末２０のクライアント端末２０が、同様の第２内部不正を検知した場合、既に図６に示すステップＳ９においてアラートを出力している場合には、当該処理を継続する（アラートを出力し続ける）。そして、処理を終了する。
【０１０２】
また、ステップＳ１７では、クライアント端末２０のクライアント端末２０が、同様の第２内部不正を検知した場合、図６に示すステップＳ９においてアラートを出力していない場合には、アラートを出力する。そして、処理を終了する。
【０１０３】
なお、図７に示すステップＳ１１における再計算の具体的な処理内容は、図６に示すステップＳ２における処理と同様であるが、このステップＳ１１で再計算された内部不正ポイントは、ステップＳ２で算出された内部不正ポイントとは異なる場合がある。例えば、ステップＳ９におけるアラートの出力を契機として、クライアントユーザがこれまで行なっていた内部不正の対象となる動作を停止すれば、ステップＳ１１における再計算によって、当該停止した動作に対応する内部不正ポイント分が累計から差し引かれる。すなわち、これまで内部不正の対象となる動作を行なっていたクライアントユーザが行動を改めれば、ステップＳ１５において、アラートの表示を解除することが可能となる。
【０１０４】
また、図７に示すステップＳ１７の処理は、クライアント端末用監視プログラム２００によって実行される。そのため、内部ネットワーク３０から切断されたクライアント端末２０においても、これまでに検知したものと同様の動作を検知した場合、アラートの出力を繰り返す。これにより、内部ネットワーク３０から切断されたクライアントユーザに対しても監視されていることを感じさせることが可能となる。
【０１０５】
〔１−７〕効果
上述のように、本実施形態の不正監視システム１において、クライアント端末２０のアラート指示保留部５１は、内部不正の対象となる動作（第１内部不正）が検知されてもすぐにクライアントへアラートを出力せずに保留する。そして、クライアント端末２０のアラート出力部５３は、特定のイベント（第２内部不正）が検知されてはじめてアラートを通知する。これにより、アラートの形骸化を回避し、適切なタイミングでのアラート表示が可能となる。
【０１０６】
そして、本実施形態の不正監視システム１において、クライアント端末２０においてアラートが出力された後、不正監視装置１０の内部不正ポイント算出部４０は、クライアントユーザの内部不正ポイントを再計算する。そして、不正監視装置１０のアラート指示部４３は、この再計算した結果となる内部不正ポイントが所定の閾値を超えていなければ、アラートの出力を解除（停止）する。したがって、アラートの出力を契機として、クライアントユーザがこれまで行なっていた内部不正の対象となる動作を停止すれば、アラートの表示を停止することができ、適切なタイミングでのアラートの解除が可能となる。
【０１０７】
さらに、本実施形態の不正監視システム１においては、クライアント端末２０にクライアント端末用監視プログラム２００がインストールされ、当該プログラム２００により、第２内部不正検知部５２やアラート出力部５３が実行される。したがって、クライアント端末２０が内部ネットワーク３０に接続されていない場合にも、第２内部不正検知部５２により特定のイベント（第２内部不正）が検知されると、アラート出力部５３により、アラート表示（の継続）を実行することができる。これにより、クライアント端末２０が内部ネットワーク３０から切断されても、当該クライアント端末２０へのアラート表示の制御を継続することができると共に、当該クライアントユーザに対して監視されていることを感じさせることが可能となる。
【０１０８】
また、本実施形態の不正監視システム１では、クライアント端末２０の第２内部不正検知部５２が第２内部不正を検知するが、この第２内部不正は、第１内部不正よりも情報漏えいのリスクが高い動作、例えば、外部ネットワーク３１に接続する操作である。このように、クライアント端末２０の第２内部不正検知部５２が第２内部不正を検知することにより、情報漏えいの蓋然性が高い動作、例えば、外部へ情報を持ち出す可能性が高い動作を行なったクライアントユーザを特定することができる。
【０１０９】
〔２〕実施形態の変形例
上記図６，図７では、不正監視システム１において、検知した第１内部不正又は第２内部不正に基づき、アラートを出力又は解除する処理について説明した。図６，図７に例示する一実施形態において、内部不正の対象となる動作（ステップＳ１）が、クライアントユーザによっては、自身の業務範囲に含まれたり、組織によって認可されている場合がある。そこで、本変形例において、上述のような場合に例外処理を設け、アラートの出力を回避するような制御を行なう。
【０１１０】
〔２−１〕変形例に係る不正監視システムにおける例外処理
図８は、変形例に係る不正監視システム１における例外処理を例示するフローチャートである。また、図９は、変形例に係る不正監視システム１における不正監視装置１０の機能構成を例示する図である。図８に示すフローチャート（ステップＴ１〜Ｔ５）に従って、変形例に係る不正監視システム１における例外処理を説明する。
【０１１１】
本処理を開始するにあたり、図９に示すように、不正監視装置１０の記憶部１２には、例外処理の対象者情報を登録するためのホワイトリスト６２をも格納するものとする。
【０１１２】
本実施形態では、クライアントユーザが自身の業務行為として、内部不正の対象となる操作又は動作を行なう可能性がある場合には、クライアントユーザが管理者等に連絡するものとする。そして、管理者等は、当該クライアントユーザが例外処理の対象者であるものとして、当該クライアントユーザの情報（例えば、クライアントユーザ識別子）と業務行為である操作又は動作とを対応付けてホワイトリスト６２に登録する。このホワイトリスト６２への登録にあたり、上長等から許可を得たり、業務行為として認可されているか否かの確認を行なう場合があるが、これに限られない。
【０１１３】
なお、図９において、既述の符号と同一の符号を付した構成は、同様の構成を示しているので、その具体的な説明は省略する。
【０１１４】
図８に示すステップＴ１において、業務行為として内部不正の対象となる動作を行なうクライアントユーザのクライアント端末２０において、第１内部不正検知部５０が第１内部不正を検知する。
【０１１５】
続くステップＴ２では、不正監視装置１０のアラート要否判断部４２は、記憶部１２に格納されるホワイトリスト６２を参照し、ステップＴ１にて第１内部不正が検知されたクライアントユーザの情報が、ホワイトリスト６２に格納されているかを判断する。
【０１１６】
具体的には、アラート要否判断部４２は、ステップＴ１にて検知された第１内部不正の情報と、当該クライアントの識別子とが、ホワイトリスト６２に対応付けて格納されているかを確認する。アラート要否判断部４２は、この確認の結果、ステップＴ１にて検知された第１内部不正と、当該クライアントの識別子とが、ホワイトリスト６２に対応付けて格納されている場合に、例外処理を実行する必要があると判断する。
【０１１７】
ステップＴ２において、アラート要否判断部４２が、例外処理の実行が必要であると判断した場合（ステップＴ２におけるＹｅｓルート参照）、処理がステップＴ３に進む。
【０１１８】
ステップＴ３において、不正監視装置１０のアラート指示部４３は、クライアント端末２０に対し、アラート出力の回避を指示する。
【０１１９】
続ステップＴ４において、アラート要否判断部４２は、アラートの出力を回避させる指示を発信したことを、記憶部１２に格納されるクライアントログ６１に記録する。
【０１２０】
続くステップＴ５において、クライアント端末２０のアラート出力部５３は、アラート指示部４３からアラート出力の回避指示を受け、当該クライアント端末２０においてアラートの出力を回避する（出力しない）ように制御し、処理を終了する。
【０１２１】
一方、ステップＴ２において、アラート要否判断部４２が、例外処理の実行が必要でないと判断した場合（ステップＴ２におけるＮｏルート参照）、図８のステップＴ３〜Ｔ５に示す処理は行なわず、処理が終了する。そして、通常のアラート通知処理（例えば、図６に示すステップＳ２又はＳ９の処理）に進む。
【０１２２】
〔２−２〕効果
上述のように、本変形例の不正監視システム１では、クライアントユーザの業務行為として、内部不正の対象となる動作を行なう可能性がある場合には、当該動作と当該クライアントユーザとをホワイトリスト６２に対応付けて登録する。これにより、悪意のないクライアントユーザのクライアント端末２０に対しアラートを出力することを回避することができ、適切なアラート表示を制御することが可能となる。
【０１２３】
〔３〕その他
上述した一実施形態及び変形例に係る技術は、以下のように変形、変更して実施することができる。
【０１２４】
上述した一実施形態では、クライアントユーザ毎に内部不正ポイントを算出するものとしたが、クライアント端末２０毎に内部不正ポイントを算出するものとしてもよい。その場合、クライアント端末２０の第１内部不正検知部５０は、第１内部不正情報と共に、当該クライアント端末２０を識別するための情報も送信するものとしてもよい。また、不正監視装置１０の記憶部１２には、クライアント端末２０毎のログを格納してもよい。
【０１２５】
上述した変形例では、クライアントユーザの業務行為として、内部不正の対象となる動作を行なう可能性がある場合には、アラートを出力しないものとしたが、このようなクライアントユーザに対しても図６，図７に示すアラートの制御処理を行なってもよい。その場合、記憶部１２に格納されるホワイトリスト６２も参照し、当該ホワイトリスト６２に登録されているクライアントユーザの場合には、ステップＳ５、及び、ステップＳ１４の処理において、他のクライアントユーザよりも高い値の閾値を設定してもよい。
【０１２６】
〔４〕付記
以上の実施形態に関し、さらに以下の付記を開示する。
【０１２７】
（付記１）
コンピュータにおける操作又は動作の情報を第１のネットワークを介して管理装置に送信し、
前記コンピュータにおけるアラート通知機能を活性化する条件を満たすことを前記情報に基づいて検出した前記管理装置から前記アラート通知機能の活性化の指示を受信すると、特定のイベントの検知に応じてアラートを出力する、
処理を前記コンピュータに実行させることを特徴とする不正監視プログラム。
【０１２８】
（付記２）
前記特定のイベントは、前記第１のネットワークからの切断、又は、前記第１のネットワークから切断された後におけるデータ送信イベント、又は、前記コンピュータと第２のネットワークへの接続イベント、又は外部装置との接続イベントである、
ことを特徴とする、付記１に記載の不正監視プログラム。
【０１２９】
（付記３）
前記コンピュータにおいて、前記アラート通知機能の活性化の指示を少なくとも前記第１のネットワークを介して受信する、
処理を前記コンピュータに実行させることを特徴とする付記１に記載の不正監視プログラム。
【０１３０】
（付記４）
前記コンピュータにおけるアラート通知機能を活性化する条件を満たす操作又は動作と、前記コンピュータにおける特定のイベントとは、異なる操作又は動作である、
ことを特徴とする、付記１に記載の不正監視プログラム。
【０１３１】
（付記５）
コンピュータにおける操作又は動作の情報を第１のネットワークを介して管理装置に送信し、
前記コンピュータにおけるアラート通知機能を活性化する条件を満たすことを前記情報に基づいて検出した前記管理装置から前記アラート通知機能の活性化の指示を受信すると、特定のイベントの検知に応じてアラートを出力する、
ことを特徴とする不正監視方法。
【０１３２】
（付記６）
前記特定のイベントは、前記第１のネットワークからの切断、又は、前記第１のネットワークから切断された後におけるデータ送信イベント、又は、前記コンピュータと第２のネットワークへの接続イベント、又は外部装置との接続イベントである、
ことを特徴とする、付記５に記載の不正監視方法。
【０１３３】
（付記７）
前記コンピュータにおいて、前記アラート通知機能の活性化の指示を少なくとも前記第１のネットワークを介して受信する、
ことを特徴とする、付記５に記載の不正監視方法。
【０１３４】
（付記８）
前記コンピュータにおけるアラート通知機能を活性化する条件を満たす操作又は動作と、前記コンピュータにおける特定のイベントとは、異なる操作又は動作である、
ことを特徴とする、付記５に記載の不正監視方法。
【０１３５】
（付記９）
操作又は動作の情報を第１のネットワークを介して管理装置に送信する情報送信部と、
アラート通知機能を活性化する条件を満たすことを前記情報に基づいて検出した前記管理装置から前記アラート通知機能の活性化の指示を受信すると、特定のイベントの検知に応じてアラートを出力するアラート出力部と、
を備える、
ことを特徴とする情報処理装置。
【０１３６】
（付記１０）
前記特定のイベントは、前記第１のネットワークからの切断、又は、前記第１のネットワークから切断された後におけるデータ送信イベント、又は、第２のネットワークへの接続イベント、又は外部装置との接続イベントである、
ことを特徴とする、付記９に記載の情報処理装置。
【０１３７】
（付記１１）
前記アラート通知機能の活性化の指示を少なくとも前記第１のネットワークを介して受信するアラート活性化指示受信部、
をさらに備える、
ことを特徴とする、付記９に記載の情報処理装置。
【０１３８】
（付記１２）
前記アラート通知機能を活性化する条件を満たす操作又は動作と、前記特定のイベントとは、異なる操作又は動作である、
ことを特徴とする、付記９に記載の情報処理装置。
【０１３９】
（付記１３）
コンピュータにおける操作又は動作の情報を第１のネットワークを介して受信し、
前記コンピュータにおけるアラート通知機能を活性化する条件を満たすことを受信した前記情報に基づいて検出した場合、前記アラート通知機能の活性化の指示を送信する、
ことを特徴とする不正監視装置。
【０１４０】
（付記１４）
受信した前記情報のそれぞれに対応付けられた値の合計を算出し、算出した前記合計が所定の閾値以上となった場合に、前記アラート通知機能の活性化の指示を送信する、
ことを特徴とする、付記１３に記載の不正監視装置。
【０１４１】
（付記１５）
前記合計が所定の閾値未満となった場合に、前記コンピュータに対し、アラートの出力を解除させる指示を送信する、
ことを特徴とする、付記１４に記載の不正監視装置。
【符号の説明】
【０１４２】
１    不正監視システム
１０    不正監視装置（管理装置）
１１    ＣＰＵ
１２    記憶部
１３    メモリ
１４    ＩＦ部
１５    ＩＯ部
２０    クライアント端末（コンピュータ，情報処理装置）
２１    ＣＰＵ
２２    記憶部
２３    メモリ
２４    ＩＦ部
２５    ＩＯ部
３０    内部ネットワーク（第１のネットワーク）
３１    外部ネットワーク（第２のネットワーク）
４０    内部不正ポイント算出部
４１    内部不正ポイント表示部
４２    アラート要否判断部
４３    アラート指示部
５０    第１内部不正検知部（情報送信部）
５１    アラート指示保留部（アラート活性化指示受信部）
５２    第２内部不正検知部
５３    アラート出力部
５４    接続先判断部
６０    内部不正ポイント対応情報
６１    クライアントログ
６２    ホワイトリスト
１００  サーバ用監視プログラム
２００  クライアント端末用監視プログラム（不正監視プログラム）
【図１】
2019159550.tif 000003
【図２】
2019159550.tif 000004
【図３】
2019159550.tif 000005
【図４】
2019159550.tif 000006
【図５】
2019159550.tif 000007
【図６】
2019159550.tif 000008
【図７】
2019159550.tif 000009
【図８】
2019159550.tif 000010
【図９】
2019159550.tif 000011