(57)【要約】【課題】セキュリティリスクの有無に応じて、適切且つ効率的に、通信制御すること。【解決手段】情報処置装置は、ユーザの操作、リモートコマンドの少なくともいずれかに基づいて、セキュリティリスクの有無に関する情報を受け付ける、外部入力部と、外部入力部が受け付けた、セキュリティリスクの有無に関する情報に基づいて、通信モードを判定する、通信モード判定部と、通信モード判定部が判定した通信モードに切り替え、通信モードに応じて、ポーリング間隔を変更する、通信モード切替部と、ポーリング間隔で、第１の情報処理装置と通信する、送受信部とを備える。【選択図】図１
2019176256.tif 000002
【特許請求の範囲】
【請求項１】
ユーザの操作、リモートコマンドの少なくともいずれかに基づいて、セキュリティリスクの有無に関する情報を受け付ける、外部入力部と、
前記外部入力部が受け付けた、前記セキュリティリスクの有無に関する情報に基づいて、通信モードを判定する、通信モード判定部と、
前記通信モード判定部が判定した前記通信モードに切り替え、前記通信モードに応じて、ポーリング間隔を変更する、通信モード切替部と、
前記ポーリング間隔で、第１の情報処理装置と通信する、送受信部と、
を備える、情報処理装置。
【請求項２】
セキュリティリスクの有無を判定する、リスク判定部をさらに備え、
前記通信モード判定部は、前記リスク判定部が判定した、前記セキュリティリスクの有無に基づいて、前記通信モードを判定する、請求項１に記載の情報処理装置。
【請求項３】
前記通信モード判定部は、前記セキュリティリスクがある、と前記リスク判定部が判定した場合、第１の通信モードを、前記通信モードとして決定し、前記セキュリティリスクがない、と前記リスク判定部が判定した場合、第２の通信モードを、前記通信モードとして決定し、
前記送受信部は、前記通信モードが前記第１の通信モードである場合、第１のポーリング間隔で、前記第１の情報処理装置と通信し、前記通信モードが前記第２の通信モードである場合、前記第１のポーリング間隔より長い、第２のポーリング間隔で、前記第１の情報処理装置と通信する、請求項２に記載の情報処理装置。
【請求項４】
前記外部入力部は、通信モードの変更要求を受け付け、
前記通信モード判定部は、前記変更要求に基づいて、前記通信モードを決定する、請求項１乃至３のいずれか一に記載の情報処理装置。
【請求項５】
調査対象端末と、
セキュリティリスクに関するアラートを出力する、第１の情報処理装置と、
を含み、
前記調査対象端末は、第２の情報処理装置を含んで構成され、
前記第２の情報処理装置は、前記第１の情報処理装置とネットワークを介して接続し、
前記第２の情報処理装置は、
前記調査対象端末の外部から、ユーザの操作、リモートコマンドの少なくともいずれかに基づいて、前記セキュリティリスクの有無に関する情報を受け付ける、外部入力部と、
前記外部入力部が受け付けた、前記セキュリティリスクの有無に関する情報に基づいて、通信モードを判定する、通信モード判定部と、
前記通信モード判定部が判定した、前記通信モードに切り替え、前記通信モードに応じて、前記第２の情報処理装置から前記第１の情報処理装置へのポーリング間隔を決定する、通信モード切替部と、
前記ポーリング間隔で、前記第１の情報処理装置と通信する、送受信部と、
を備える、通信システム。
【請求項６】
前記第１の情報処理装置は、
前記調査対象端末に関する機器情報を収集することを、前記第２の情報処理装置に指示する、機器情報収集指示部と、
リスク判定条件を記憶する、データ記憶領域と、
前記セキュリティリスクの有無を判定する、第１のリスク判定部と、
を備え、
前記第２の情報処理装置は、
前記機器情報収集指示部からの指示に基づいて、前記調査対象端末に関する機器情報を収集し、前記送受信部を介して、前記第１の情報処理装置に送信する、機器情報収集部を備え、
前記第１のリスク判定部は、第１のデータ記憶領域が記憶する前記リスク判定条件と、前記第２の情報処理装置から送信された前記機器情報とに基づいて、前記セキュリティリスクの有無を判定する、請求項５に記載の通信システム。
【請求項７】
前記第２の情報処理装置は、
前記セキュリティリスクの有無を判定する、第２のリスク判定部をさらに備え、
前記通信モード判定部は、前記第２のリスク判定部が判定した、前記セキュリティリスクの有無に基づいて、前記通信モードを判定し、
前記送受信部は、前記セキュリティリスクがある、と前記第２のリスク判定部が判定した場合、セキュリティリスクがあることを、前記第１の情報処理装置に通知する、請求項５又は６に記載の通信システム。
【請求項８】
前記通信モード判定部は、前記セキュリティリスクがある、と前記第２のリスク判定部が判定した場合、第１の通信モードを、前記通信モードとして決定し、前記セキュリティリスクがない、と前記第２のリスク判定部が判定した場合、第２の通信モードを、前記通信モードとして決定し、
前記送受信部は、前記通信モードが前記第１の通信モードである場合、第１のポーリング間隔で、前記第１の情報処理装置と通信し、前記通信モードが前記第２の通信モードである場合、前記第１のポーリング間隔より長い、第２のポーリング間隔で、前記第１の情報処理装置と通信する、請求項７に記載の通信システム。
【請求項９】
ユーザの操作、リモートコマンドの少なくともいずれかに基づいて、セキュリティリスクの有無に関する情報を受け付ける工程と、
受け付けられた前記セキュリティリスクの有無に関する情報に基づいて、通信モードを判定する工程と、
前記通信モードに切り替える工程と、
前記通信モードに応じて、ポーリング間隔を変更する工程と、
前記ポーリング間隔で、第１の情報処理装置と通信する工程と、
を含む、通信制御方法。
【請求項１０】
ユーザの操作、リモートコマンドの少なくともいずれかに基づいて、セキュリティリスクの有無に関する情報を受け付ける処理と、
受け付けられた前記セキュリティリスクの有無に関する情報に基づいて、通信モードを判定する処理と、
前記通信モードに切り替える処理と、
前記通信モードに応じて、ポーリング間隔を変更する処理と、
前記ポーリング間隔で、第１の情報処理装置と通信する処理と、
を情報処理装置を制御するコンピュータに実行させるプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理装置、通信システム、通信制御方法及びプログラムに関する。
【背景技術】
【０００２】
マルウェア感染等、セキュリティリスクが発覚した際、被害の拡大、感染の拡大を防ぐために、迅速な処置が求められている。
【０００３】
マルウェア感染、被害範囲を特定するためには、感染の疑いのあるＰＣ（Personal Computer）（以下、被疑端末と呼ぶ）等において動くプログラムの振る舞いを調べる場合がある。また、マルウェアに関係するプログラムに関して、当該プログラムが動作した痕跡を調べる場合もある。また、被疑端末から外部への通信（接続先、通信内容等）に基づいて、マルウェア感染、被害範囲を特定する場合がある。その場合、マルウェア感染、被害範囲を特定するためには、調査を行う者が、特定のＩＴ（Information Technology）スキルを有することが求められる。そのため、ＰＣ等の利用者が、セキュリティインシデントの発生（マルウェア感染等）を特定することは難しい。
【０００４】
そこで、特定のＩＴスキルを有する者が、遠方にあるＰＣ等であっても、マルウェアに感染した被疑端末を調査し、必要な対処を行うことができるシステムが求められている。
【０００５】
さらに、ＰＣ（Personal Computer）等において、セキュリティインシデントが発生した場合、セキュリティインシデントが発生したことを、当該セキュリティインシデントに対処可能な者（例えば、特定のＩＴスキルを有する者）に対して、速やかに通知することが望ましい。
【０００６】
特許文献１においては、予め設定されたスケジュールが規定する時刻に、情報処理装置が所定の秘密処理を実行したか否かに基づいて、情報処理装置においてセキュリティインシデントが発生したか否かを判断する技術が記載されている。
【０００７】
特許文献２においては、予め設定されたスケジュールに応じて、クライアントとサーバ間でのポーリング間隔を変更する技術が記載されている。
【０００８】
特許文献３においては、親局装置が複数の子局装置をポーリングし、子局装置の情報を収集する技術が記載されている。特許文献３に記載された技術においては、子局装置が、親局装置へ送信する情報を分析し、重要情報あるいは即時性の高い情報の継続発生が見込まれる場合、親局装置に対して、自局へのポーリング周期の短縮を指示する。
【先行技術文献】
【特許文献】
【０００９】
【特許文献１】特開２０１６−１３９２３２号公報
【特許文献２】特開２００６−３１９７０７号公報
【特許文献３】特開平０６−２０５４６６号公報
【発明の概要】
【発明が解決しようとする課題】
【００１０】
なお、上記先行技術文献の開示を、本書に引用をもって繰り込むものとする。以下の分析は、本発明の観点からなされたものである。
【００１１】
上記の通り、ＰＣ（Personal Computer）等において、セキュリティインシデントが発生した場合、セキュリティインシデントが発生したことを、当該セキュリティインシデントに対処可能な者（例えば、特定のＩＴスキルを有する者）に対して、速やかに通知することが望ましい。
【００１２】
特許文献１に記載された技術では、予め設定されたスケジュールが規定する時刻に、情報処理装置が所定の秘密処理を実行しない場合に、異常検知サーバが異常実行を検知する。換言すると、特許文献１に記載された技術では、予め設定されたスケジュールが規定する時刻になるまで、異常検知サーバは異常実行を検知できない。そのため、特許文献１に記載された技術では、ＰＣ等においてセキュリティインシデントが発生した場合に、迅速に対応できない可能性がある。
【００１３】
特許文献２に記載された技術では、予め登録されたスケジュールに応じて、クライアントとサーバ間でのポーリング間隔を変更する。しかし、セキュリティインシデントが発生するタイミングを、予め把握することはできない。そのため、特許文献２に記載された技術では、ＰＣ等におけるセキュリティリスクの有無に応じて、当該ＰＣ等とサーバ間のポーリング間隔を変更することはできない。換言すると、特許文献２に記載された技術では、セキュリティリスクの有無に応じて、適切且つ効率的に、通信制御できない可能性がある。
【００１４】
また、被疑端末において検知できない、セキュリティインシデントが発生した場合、当該被疑端末は、セキュリティインシデントの発生を示す情報を検出できない。しかし、被疑端末において検知できない、セキュリティインシデントが発生した場合であっても、被疑端末とは異なる機器が、当該セキュリティインシデントを検知できる場合がある。または、人的な気づきにより、被疑端末において検知できない、セキュリティインシデントを検知できる場合がある。特許文献３に記載された技術では、被疑端末において検知できない、セキュリティインシデントが発生した場合、セキュリティインシデントの発生を示す情報を検出できないため、迅速に対応できない可能性がある。換言すると、被疑端末において検知できない、セキュリティインシデントが発生した場合、特許文献３に記載された技術では、適切に、通信制御できない可能性がある。
【００１５】
そこで、本発明は、セキュリティリスクの有無に応じて、適切且つ効率的に、通信制御することに貢献する情報処理装置、通信システム、通信制御方法及びプログラムを提供することを目的とする。
【課題を解決するための手段】
【００１６】
本発明の第１の視点によれば、情報処理装置が提供される。前記情報処理装置は、ユーザの操作、リモートコマンドの少なくともいずれかに基づいて、セキュリティリスクの有無に関する情報を受け付ける、外部入力部を備える。さらに、前記情報処理装置は、前記外部入力部が受け付けた、前記セキュリティリスクの有無に関する情報に基づいて、通信モードを判定する、通信モード判定部を備える。さらに、前記情報処理装置は、前記通信モード判定部が判定した前記通信モードに切り替え、前記通信モードに応じて、ポーリング間隔を変更する、通信モード切替部を備える。さらに、前記情報処理装置は、前記ポーリング間隔で、前記第１の情報処理装置と通信する。
【００１７】
本発明の第２の視点によれば、通信システムが提供される。前記通信システムは、調査対象端末を含む。さらに、前記通信システムは、操作端末を含む。さらに、前記通信システムは、第１の情報処理装置を含む。前記第１の情報処理装置は、セキュリティリスクに関するアラートを、前記操作端末に通知する。前記調査対象端末は、第２の情報処理装置を含んで構成される。前記第２の情報処理装置は、前記第１の情報処理装置とネットワークを介して接続する。さらに、前記第２の情報処理装置は、前記調査対象端末の外部から、ユーザの操作、リモートコマンドの少なくともいずれかに基づいて、前記セキュリティリスクの有無に関する情報を受け付ける、外部入力部を備える。さらに、前記第２の情報処理装置は、前記外部入力部が受け付けた、前記セキュリティリスクの有無に関する情報に基づいて、通信モードを判定する、通信モード判定部を備える。さらに、前記第２の情報処理装置は、前記通信モード判定部が判定した、前記通信モードに切り替え、前記通信モードに応じて、前記第２の情報処理装置から前記第１の情報処理装置へのポーリング間隔を決定する、通信モード切替部を備える。さらに、前記第２の情報処理装置は、前記ポーリング間隔で、前記第１の情報処理装置と通信する、送受信部を備える。
【００１８】
本発明の第３の視点によれば、通信制御方法が提供される。前記通信制御方法は、ユーザの操作、リモートコマンドの少なくともいずれかに基づいて、セキュリティリスクの有無に関する情報を受け付ける工程を含む。さらに、前記通信制御方法は、受け付けられた前記セキュリティリスクの有無に関する情報に基づいて、通信モードを判定する工程を含む。さらに、前記通信制御方法は、前記通信モードに切り替える工程を含む。さらに、前記通信制御方法は、前記通信モードに応じて、ポーリング間隔を変更する工程を含む。さらに、前記通信制御方法は、前記ポーリング間隔で、第１の情報処理装置と通信する工程を含む。
なお、本方法は、ネットワークに接続する情報処理装置という、特定の機械に結び付けられている。
【００１９】
本発明の第４の視点によれば、プログラムが提供される。前記プログラムは、ユーザの操作、リモートコマンドの少なくともいずれかに基づいて、セキュリティリスクの有無に関する情報を受け付ける処理を、情報処理装置を制御するコンピュータに実行させる。さらに、前記プログラムは、受け付けられた前記セキュリティリスクの有無に関する情報に基づいて、通信モードを判定する処理を、前記コンピュータに実行させる。さらに、前記プログラムは、前記通信モードに切り替える処理を、前記コンピュータに実行させる。さらに、前記プログラムは、前記通信モードに切り替える処理を、前記コンピュータに実行させる。さらに、前記プログラムは、前記通信モードに応じて、ポーリング間隔を変更する処理を、前記コンピュータに実行させる。さらに、前記プログラムは、前記ポーリング間隔で、第１の情報処理装置と通信する処理を、前記コンピュータに実行させる。
なお、これらのプログラムは、コンピュータが読み取り可能な記憶媒体に記録することができる。記憶媒体は、半導体メモリ、ハードディスク、磁気記録媒体、光記録媒体等の非トランジェント（non-transient）なものとすることができる。本発明は、コンピュータプログラム製品として具現することも可能である。
【発明の効果】
【００２０】
本発明の各視点によれば、セキュリティリスクの有無に応じて、適切且つ効率的に、通信制御することに貢献する情報処理装置、通信システム、通信制御方法及びプログラムが提供される。
【図面の簡単な説明】
【００２１】
【図１】一実施形態の概要を説明するための図である。
【図２】第１の実施形態に係る通信システム１の全体構成の一例を示すブロック図である。
【図３】通信モードの設定画面の一例を示す図である。
【図４】リスク判定部２０７の動作の一例を示すフローチャートである。
【図５】通信モード判定部２１０の動作の一例を示すフローチャートである。
【図６】通信モード切替部２０９の動作の一例を示すフローチャートである。
【図７】外部入力部２１１の動作の一例を示すフローチャートである。
【図８】通信モード切替部２０９の動作の一例を示すフローチャートである。
【図９】第２の実施形態に係る通信システム１ａの全体構成の一例を示すブロック図である。
【発明を実施するための形態】
【００２２】
初めに、図１を用いて一実施形態の概要について説明する。なお、この概要に付記した図面参照符号は、理解を助けるための一例として各要素に便宜上付記したものであり、この概要の記載はなんらの限定を意図するものではない。また、各ブロック図のブロック間の接続線は、双方向及び単方向の双方を含む。一方向矢印については、主たる信号（データ）の流れを模式的に示すものであり、双方向性を排除するものではない。さらに、本願開示に示す回路図、ブロック図、内部構成図、接続図などにおいて、明示は省略するが、入力ポート及び出力ポートが各接続線の入力端及び出力端のそれぞれに存在する。入出力インターフェイスも同様である。
【００２３】
上記の通り、セキュリティリスクの有無に応じて、適切且つ効率的に、通信制御することに貢献する情報処理装置が望まれる。
【００２４】
そこで、一例として、図１に示す情報処理装置１０００を提供する。情報処理装置１０００は、外部入力部１００１と、通信モード判定部１００２と、通信モード切替部１００３と、送受信部１００４とを備える。
【００２５】
外部入力部１００１は、ユーザの操作、リモートコマンドの少なくともいずれかに基づいて、セキュリティリスクの有無に関する情報を受け付ける。通信モード判定部１００２は、外部入力部１００１が受け付けた、セキュリティリスクの有無に関する情報に基づいて、通信モードを判定する。通信モード切替部１００３は、通信モード判定部１００２が判定した通信モードに切り替える。そして、通信モード切替部１００３は、通信モードに応じて、ポーリング間隔を変更する。送受信部１００４は、当該ポーリング間隔で、情報処理装置１０００とは異なる装置（第１の情報処理装置）と通信する。
【００２６】
例えば、被疑端末において検知できない、セキュリティインシデントが発生した場合であっても、被疑端末とは異なる機器が、当該セキュリティインシデントを検知できる場合がある。または、人的な気づきにより、被疑端末において検知できない、セキュリティインシデントを検知できる場合がある。
【００２７】
ここで、情報処理装置１０００は、ユーザの操作、リモートコマンドの少なくともいずれかに基づいて、セキュリティリスクの有無に関する情報を受け付ける、そのため、被疑端末において検知できない、セキュリティインシデントが発生した場合であっても、情報処理装置１０００は、ユーザの操作、リモートコマンドの少なくともいずれかに基づいて、セキュリティリスクがあることを示す情報を受け付けることができる。そして、情報処理装置１０００は、セキュリティリスクがあることを示す情報を受け付けた場合、ポーリング間隔を変更する。そして、情報処理装置１０００は、当該ポーリング間隔で、情報処理装置１０００とは異なる装置（第１の情報処理装置）と通信する。
【００２８】
例えば、セキュリティリスクがある場合には被疑端末の外部（例えば、リスク対応者が使用する端末等）に、迅速に、セキュリティリスクがあることを通知することが望ましい。情報処理装置１０００は、被疑端末において検知できない、セキュリティインシデントが発生した場合であっても、外部入力部１００１が受け付けた情報に基づいて、セキュリティリスクがあることを認識できる。そして、情報処理装置１０００は、セキュリティリスクがあることを認識した場合には、セキュリティリスクがない場合より、ポーリング間隔を短くするように、ポーリング間隔を変更してもよい。
【００２９】
一方、セキュリティリスクがない場合には、情報処理装置１０００は、通信頻度を抑制することで、ネットワークに対する負荷を軽減できる。そこで、情報処理装置１０００は、セキュリティリスクがない場合には、セキュリティリスクがあることを認識した場合より、ポーリング間隔を長くするように、ポーリング間隔を変更してもよい。
【００３０】
以上より、情報処理装置１０００は、セキュリティリスクの有無に応じて、適切且つ効率的に、通信制御することに貢献する。
【００３１】
［第１の実施形態］
第１の実施形態について、図面を用いて詳細に説明する。
【００３２】
図２は、本実施形態に係る通信システム１の全体構成の一例を示すブロック図である。通信システム１は、第１の情報処理装置１００と、調査対象端末２００と、操作端末３００とを含んで構成される。さらに、調査対象端末２００は、第２の情報処理装置２０１を含んで構成される。
【００３３】
第１の情報処理装置１００は、サーバ側の情報処理装置（コンピュータ）である。
【００３４】
第２の情報処理装置２０１は、クライアント側の情報処理装置（コンピュータ）であって、ネットワークを介して、第１の情報処理装置１００と接続する。ネットワークは、インターネット、イントラネット、ＬＡＮ（Local Area Network）等であってもよく、その詳細は問わない。
【００３５】
第１の情報処理装置１００は、セキュリティリスク（以下、単に、リスクとも呼ぶ）の有無を判断する。例えば、第１の情報処理装置１００は、セキュリティインシデントが発生したことを認識した場合、セキュリティリスクがあると判断する。さらに、第２の情報処理装置２０１もセキュリティリスクの有無を判断する。さらに、第２の情報処理装置２０１は、ユーザの操作、リモートコマンドの少なくともいずれかに基づいて、セキュリティリスクの有無に関する情報を受け付ける。本実施形態に係る通信システム１においては、第１の情報処理装置１００（サーバ側）がセキュリティリスクの有無を判断してもよく、第２の情報処理装置２０１（クライアント側）でセキュリティリスクの有無を判断してもよい。さらに、本実施形態に係る通信システム１においては、第１の情報処理装置１００（サーバ側）及び第２の情報処理装置２０１（クライアント側）が検知できないセキュリティインシデントが発生した場合であっても、第２の情報処理装置２０１は、ユーザの操作、リモートコマンドの少なくともいずれかに基づいて、セキュリティリスクの有無を認識する。
【００３６】
操作端末３００は、セキュリティリスクに対応する者が操作する情報処理装置（コンピュータ）である。操作端末３００は、据え置き型のＰＣ、ノート型ＰＣ、タブレット端末等である。なお、以下の説明では、セキュリティリスクに対応する者を、リスク対応者と呼ぶ。
【００３７】
以下、第１の情報処理装置１００について詳細に説明する。
【００３８】
第１の情報処理装置１００は、送受信部１０１と、アラート通知部１０２と、機器情報収集指示部１０３と、リスク判定部（第１のリスク判定部）１０４と、対策指示部１０５と、リスク管理情報登録・更新部１０６と、データ格納領域１０７とを含んで構成される。第１の情報処理装置１００は、ＣＰＵ（Central Processing Unit）、メモリ（ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory））、通信手段（例えば、ＮＩＣ（Network Interface Card））等を含んで構成される。
【００３９】
第１の情報処理装置１００の各モジュールは、第１の情報処理装置１００に搭載されたコンピュータに、そのハードウェアを用いて、第１の情報処理装置１００に動作を実行させるコンピュータプログラムより実現してもよい。
【００４０】
送受信部１０１は、ネットワークと接続し、第２の情報処理装置２０１及び操作端末３００と通信する。
【００４１】
データ格納領域１０７は、収集済み機器情報１０８と、リスク管理情報１０９と、アラート通知管理情報１１０とを格納する。データ格納領域１０７は、磁気ディスク装置や光ディスク装置、半導体メモリ等を用いて実現される。
【００４２】
リスク管理情報１０９は、リスクを管理するための情報である。具体的には、リスク管理情報１０９は、リスクの有無を判定するための条件と、リスクに対する対処方法を示す情報とを含む。以下の説明では、リスクの有無を判定するための条件を、リスク判定条件と呼ぶ。また、以下の説明では、リスクに対する対処方法を示す情報を、リスク対処情報と呼ぶ。また、以下の説明では、セキュリティリスクがあることを、“リスクあり”と表現する。また、以下の説明では、セキュリティリスクがないことを、“リスクなし”と表現する。
【００４３】
リスク判定条件は、例えば、マルウェア感染の痕跡の有無を判定する条件であってもよい。リスク対処情報は、例えば、マルウェアに対する対処方法を示す情報であってもよい。
【００４４】
アラート通知管理情報１１０は、リスクに関して通知する、アラートに関する情報である。具体的には、アラート通知管理情報１１０は、アラートの通知方法に関する情報、アラートの通知先に関する情報等を含む。例えば、アラート通知先は、操作端末３００であってもよい。
【００４５】
機器情報収集指示部１０３は、リスク管理情報１０９から、リスク判定条件を抽出する。さらに、機器情報収集指示部１０３は、調査対象端末２００に関する情報を収集することを、第２の情報処理装置２０１に、送受信部１０１を介して指示する。第２の情報処理装置２０１は、第１の情報処理装置１００からの指示に応じて、調査対象端末２００に関する情報を収集する。そして、第２の情報処理装置２０１は、調査対象端末２００に関する情報を、第１の情報処理装置１００に送信する。そして、第１の情報処理装置１００が、調査対象端末２００に関する情報を、第２の情報処理装置２０１から受信する。その場合、機器情報収集指示部１０３は、受信した調査対象端末２００に関する情報を、収集済み機器情報１０８として、データ格納領域１０７に記憶させる。
【００４６】
リスク判定部１０４は、データ格納領域１０７から、リスク管理情報１０９を取得する。そして、リスク判定部１０４は、リスク管理情報１０９から、リスク判定条件を抽出する。さらに、リスク判定部１０４は、データ格納領域１０７から、収集済み機器情報１０８を取得する。そして、リスク判定部１０４は、リスク管理情報１０９から抽出したリスク判定条件と、収集済み機器情報１０８とに基づいて、リスクの有無を判定する。リスク判定部１０４は、“リスクあり”と判断した場合、アラート通知部１０２に、セキュリティリスクに関する、アラートの通知を要求する。
【００４７】
対策指示部１０５は、リスク管理情報１０９から、リスク対処情報を取得する。具体的には、対策指示部１０５は、リスク判定部１０４が判定した、リスクの内容に基づいて、リスク管理情報１０９から、リスク対処情報を取得する。例えば、対策指示部１０５は、セキュリティインシデントの内容に基づいて、リスク管理情報１０９から、リスク対処情報を取得する。
【００４８】
リスク管理情報登録・更新部１０６は、第１の情報処理装置１００の外部からの入力に基づいて、リスク判定条件とリスク対処情報とを、リスク管理情報１０９に登録する。例えば、送受信部１０１が、リスク判定条件と、リスク対処情報と、リスク管理情報１０９の登録要求とを受信した場合、リスク管理情報登録・更新部１０６は、受信したリスク判定条件とリスク対処情報とを、新たに、リスク管理情報１０９に登録する。
【００４９】
さらに、リスク管理情報登録・更新部１０６は、第１の情報処理装置１００の外部からの入力に基づいて、リスク管理情報を更新する。例えば、送受信部１０１が、リスク判定条件と、リスク対処情報と、リスク管理情報１０９の更新要求とを受信したとする。その場合、リスク管理情報登録・更新部１０６は、データ格納領域１０７に記憶されるリスク判定条件とリスク対処情報とを、受信したリスク判定条件とリスク対処情報とに置換して、リスク管理情報１０９を更新する。
【００５０】
アラート通知部１０２は、アラート通知管理情報１１０に基づいて、送受信部１０１を介して、セキュリティリスクに関する、アラートを通知（出力）する。具体的には、アラート通知部１０２は、“リスクあり”を通知する信号、メッセージ等を、指定された宛先にアラートとして送信する。
【００５１】
より具体的には、アラート通知部１０２は、アラート通知管理情報１１０に含まれる、アラートの通知方法に関する情報と、アラートの通知先に関する情報とに基づいて、送受信部１０１を介して、アラートを通知する。ここで、アラート通知部１０２は、対策指示部１０５が取得したリスク対処情報を、アラートと共に通知してもよい。アラートの通知先が操作端末３００である場合、アラート通知部１０２は、送受信部１０１を介して、操作端末３００にアラートを通知する。
【００５２】
以上より、第１の情報処理装置１００（サーバ側）は、セキュリティインシデントの発生を認識できる。そして、第１の情報処理装置１００（サーバ側）は、操作端末３００に、セキュリティリスクに関する、アラートを通知する。それにより、操作端末３００のユーザ（例えば、リスク対応者）は、セキュリティインシデントの発生を認識できる。
【００５３】
以下、第２の情報処理装置２０１について詳細に説明する。
【００５４】
第２の情報処理装置２０１は、データ格納領域２０２と、機器情報収集部２０５と、対策実行部２０６と、リスク判定部（第２のリスク判定部）２０７と、送受信部２０８と、通信モード判定部２１０と、外部入力部２１１とを含んで構成される。送受信部２０８は、通信モード切替部２０９を含んで構成される。第２の情報処理装置２０１は、ＣＰＵ、メモリ（ＲＯＭ、ＲＡＭ）、通信手段（例えば、ＮＩＣ）等を含んで構成される。
【００５５】
第２の情報処理装置２０１の各モジュールは、第２の情報処理装置２０１に搭載されたコンピュータに、そのハードウェアを用いて、第２の情報処理装置２０１に動作を実行させるコンピュータプログラムより実現してもよい。
【００５６】
送受信部２０８は、ネットワークと接続し、第１の情報処理装置１００と通信する。さらに、送受信部２０８は、通信モードに応じたポーリング間隔で、第１の情報処理装置１００と通信する。例えば、送受信部２０８は、通信モードに応じたポーリング間隔で、調査対象端末２００におけるセキュリティリスクの有無を、第１の情報処理装置１００に通知する。
【００５７】
外部入力部２１１は、調査対象端末２００の外部から、リスクの有無に関する情報を受け付ける。さらに、外部入力部２１１は、通信モードの変更要求を受け付けてもよい。
【００５８】
例えば、外部入力部２１１は、第２の情報処理装置２０１の外部から、通信モードの変更の要求を、リモートコマンドとして受け付けてもよい。
【００５９】
また、外部入力部２１１は、調査対象端末２００のユーザが行う、ＧＵＩ（Graphical User Interface）操作、ＣＵＩ（Character User Interface）操作に基づいて、通信モードの変更要求を受け付けてもよい。
【００６０】
また、第２の情報処理装置２０１は、調査対象端末２００の表示装置（ディスプレイ（図示せず））に、通信モードの設定画面を表示させてもよい。
【００６１】
図３は、通信モードの設定画面の一例を示す図である。例えば、第２の情報処理装置２０１は、図３に示す設定画面を、調査対象端末２００の表示装置に表示させてもよい。その場合、調査対象端末２００のユーザは、通信モードの設定画面を用いて、通信モードを選択する。外部入力部２１１は、通信モードの選択操作を受け付けることで、当該通信モードへの変更要求を受け付ける。
【００６２】
データ格納領域２０２は、収集済み機器情報２０３と、リスク管理情報２０４とを格納する。データ格納領域２０２は、磁気ディスク装置や光ディスク装置、半導体メモリ等を用いて実現される。
【００６３】
収集済み機器情報２０３は、調査対象端末２００に関して、第２の情報処理装置２０１が収集した情報である。具体的には、収集済み機器情報２０３は、調査対象端末２００が保持するファイルに関する情報、調査対象端末２００内のレジストリに関する情報等を含む。
【００６４】
リスク管理情報２０４は、リスクを管理するための情報である。具体的には、リスク管理情報２０４は、リスク管理情報１０９と同様に、リスク判定条件と、リスク対処情報とを含む。
【００６５】
機器情報収集部２０５は、調査対象端末２００に関する情報を収集する。具体的には、調査対象端末２００が保持するファイルに関する情報、調査対象端末２００内のレジストリに関する情報等を収集し、収集済み機器情報２０３を生成する。そして、機器情報収集部２０５は、当該収集済み機器情報２０３を、データ格納領域２０２に記憶させる。
【００６６】
また、機器情報収集部２０５は、機器情報収集指示部１０３からの指示に基づいて、調査対象端末２００に関する機器情報を収集する。具体的には、機器情報収集部２０５は、調査対象端末２００に関する機器情報を収集することを、第１の情報処理装置１００から指示されたとする。その場合、機器情報収集部２０５は、調査対象端末２００が保持するファイルに関する情報、調査対象端末２００内のレジストリに関する情報等を収集し、収集済み機器情報２０３を生成する。そして、機器情報収集部２０５は、当該収集済み機器情報２０３を、第１の情報処理装置１００に送信する。
【００６７】
リスク判定部２０７は、リスクの有無を判定する。具体的には、リスク判定部２０７は、リスク判定条件と、収集済み機器情報２０３とに基づいて、リスクの有無を判定する。より具体的には、リスク判定部２０７は、データ格納領域２０２から、リスク管理情報２０４を取得する。そして、リスク判定部２０７は、リスク管理情報２０４から、リスク判定条件を抽出する。さらに、リスク判定部２０７は、データ格納領域２０２から、収集済み機器情報２０３を取得する。そして、リスク管理情報２０４から抽出したリスク判定条件と、収集済み機器情報２０３とに基づいて、リスクの有無を、リスク判定部２０７は判定する。
【００６８】
また、リスク判定部２０７は、外部入力部２１１が受け付けた、リスクの有無に関する情報に基づいて、リスクの有無を判定してもよい。
【００６９】
リスク判定部２０７は、“リスクあり”と判定した場合、通信モード判定部２１０に、“リスクあり”を通知する。一方、リスク判定部２０７は、“リスクなし”と判定した場合、通信モード切替部２０９に、“リスクなし”を通知する。
【００７０】
さらに、リスク判定部２０７が、リスク判定条件に基づいて、“リスクあり”と判定した場合、リスク管理情報２０４から、当該リスク判定情報に対応する、リスク対処情報を取得する。そして、リスク判定部２０７は、取得したリスク対処情報を、送受信部２０８に送信する。
【００７１】
第１の情報処理装置１００の送受信部１０１が、第２の情報処理装置２０１から、アラートの通知要求を受信した場合、アラート通知部１０２は、アラート通知管理情報１１０に基づいて、送受信部１０１を介して、アラートを通知する。
【００７２】
対策実行部２０６は、リスク判定部２０７が“リスクあり”と判定した場合であって、リスク管理情報２０４からリスク対処情報を取得した場合、当該リスク対処情報に基づいて、リスクに対処可能であるか否かを判断する。例えば、対策実行部２０６は、リスク判定部２０７が“リスクあり”と判定した場合であって、リスク管理情報２０４からリスク対処情報を取得した場合、当該リスク対処情報に基づいて、セキュリティインシデントに対処可能であるか否かを判断する。そして、第２の情報処理装置２０１自身が、リスク対処情報に基づいて、リスクに対して対処可能である場合、対策実行部２０６は、当該リスク対処情報に基づいて処理を実行する。
【００７３】
通信モード判定部２１０は、リスクの有無に基づいて、通信モードを判定する。具体的には、通信モード判定部２１０は、リスク判定部２０７が、“リスクあり”と判定した場合、緊急モード（第１の通信モード）を、通信モードとして決定する。一方、通信モード判定部２１０は、リスク判定部２０７が、“リスクなし”と判定した場合、通常モード（第２の通信モード）を、通信モードとして決定する。
【００７４】
また、外部入力部２１１が、リスクの有無に関する情報を受け付けた場合、通信モード判定部２１０は、外部入力部２１１が受け付けた、リスクの有無に関する情報に基づいて、通信モードを判定してもよい。
【００７５】
また、外部入力部２１１が、通信モードの変更要求を受け付けた場合、通信モード判定部２１０は、通信モードの変更要求に基づいて、通信モードを決定してもよい。
【００７６】
通信モード切替部２０９は、通信モード判定部２１０が判定した、通信モードに切り替える。そして、通信モード切替部２０９は、通信モードに応じて、第２の情報処理装置２０１から第１の情報処理装置１００へのポーリング間隔を決定する。
【００７７】
具体的には、通信モード切替部２０９は、通信モードが緊急モードである場合、第２の情報処理装置２０１から第１の情報処理装置１００へのポーリング間隔として、第１のポーリング間隔（例えば、１〜５秒）を決定する。一方、送受信部２０８は、通信モードが通常モードである場合、第２の情報処理装置２０１から第１の情報処理装置１００へのポーリング間隔として、第１のポーリング間隔より長い、第２のポーリング間隔（例えば、１時間）を決定する。なお、上記の第１のポーリング間隔、第２のポーリング間隔の値は、例示であり、第１のポーリング間隔、第２のポーリング間隔を、上記の値に限定する趣旨ではない。
【００７８】
そして、送受信部２０８は、通信モード切替部２０９が決定したポーリング間隔で、第１の情報処理装置１００と通信する。具体的には、通信モードが緊急モードである場合、送受信部２０８は、第１のポーリング間隔で、第１の情報処理装置１００と通信する。一方、送受信部２０８は、通信モードが通常モードである場合、第１のポーリング間隔より長い、第２のポーリング間隔で、第１の情報処理装置と通信する。つまり、送受信部２０８は、緊急モードの場合には、通信モードより、短いポーリング間隔で、第１の情報処理装置１００と通信する。
【００７９】
送受信部２０８は、通信モード切替部２０９が決定したポーリング間隔で、リスクの有無を、第１の情報処理装置１００に通知する。ここで、送受信部２０８は、“リスクあり”を通知する場合、アラートの通知要求を、第１の情報処理装置１００に送信する。また、送受信部２０８は、“リスクあり”を通知する場合、リスク判定部２０７が取得したリスク対処情報を、送受信部２０８に送信する。
【００８０】
次に、通信システム１の動作について詳細に説明する。
【００８１】
図４は、リスク判定部２０７の動作の一例を示すフローチャートである。
【００８２】
ステップＳ１１において、リスク判定部２０７は、収集済み機器情報２０３を取得する。具体的には、リスク判定部２０７は、データ格納領域２０２から、収集済み機器情報２０３を取得する。
【００８３】
ステップＳ１２において、リスク判定部２０７は、リスク判定条件を取得する。具体的には、リスク判定部２０７は、データ格納領域２０２を参照し、リスク管理情報２０４から、リスク判定条件を取得する。
【００８４】
ステップＳ１３において、リスク判定部２０７は、収集済み機器情報２０３とリスク判定条件からリスク判定を行う。具体的には、リスク判定部２０７は、収集済み機器情報２０３が、取得したリスク判定条件を満たすか否かを判断する。収集済み機器情報２０３が、取得したリスク判定条件を満たす場合には、“リスクあり”と判定する。一方、リスク判定部２０７は、収集済み機器情報２０３が、取得したリスク判定条件を満たさない場合には、“リスクなし”と判定する。以下の説明では、リスク判定部２０７が判定したリスクの有無を、リスク判定結果とも呼ぶ。
【００８５】
リスク判定部２０７は、リスク判定結果に基づいて、リスクの有無を判断する（ステップＳ１４）。リスク判定部２０７は、リスク判定結果が“リスクあり”である場合（ステップＳ１４の“リスクあり”分岐）には、リスク判定部２０７は、通信モード判定部２１０へ“リスクあり”を通知する（ステップＳ１５）。そして、リスク判定部２０７は、リスク判定結果を、送受信部２０８へ通知する（ステップＳ１６）。
【００８６】
一方、リスク判定結果が“リスクなし”である場合（ステップＳ１４の“リスクなし”分岐）には、リスク判定部２０７は、通信モード判定部２１０へ“リスクなし”を通知する（ステップＳ１７）。そして、リスク判定部２０７は、リスク判定結果を、送受信部２０８へ通知する（ステップＳ１６）。
【００８７】
図５は、通信モード判定部２１０の動作の一例を示すフローチャートである。
【００８８】
ステップＳ２１において、通信モード判定部２１０は、リスク判定部２０７からの受信内容を確認する。ステップＳ２２において、通信モード判定部２１０は、新規受信の有無を判断する。具体的には、通信モード判定部２１０は、リスク判定結果を、リスク判定部２０７から新たに受信したか否かを判断する。通信モード判定部２１０が、リスク判定結果を、リスク判定部２０７から新たに受信した場合（ステップＳ２２の“有”分岐）には、ステップＳ２３に遷移する。一方、通信モード判定部２１０は、リスク判定結果を、リスク判定部２０７から新たに受信していない場合（ステップＳ２２の“無”分岐）には、処理を終了する。
【００８９】
ステップＳ２３において、通信モード判定部２１０は、受信内容を判断する。具体的には、通信モード判定部２１０は、リスク判定部２０７から受信したリスク判定結果を判断する。リスク判定部２０７から受信したリスク判定結果が、“リスクあり”である場合（ステップＳ２３の“リスクあり”分岐）には、通信モード判定部２１０は、緊急モードへの変更を、通信モード切替部２０９へ通知する（ステップＳ２４）。そして、リスク判定部２０７は処理を終了する。
【００９０】
一方、リスク判定部２０７から受信したリスク判定結果が、“リスクなし”である場合（ステップＳ２３の“リスクなし”分岐）には、通信モード判定部２１０は、通常モードへの変更を、通信モード切替部２０９へ通知する（ステップＳ２５）。そして、リスク判定部２０７は処理を終了する。
【００９１】
図６は、通信モード判定部２１０からの通信モードの変更要求に応じて、通信モード切替部２０９が、通信モードを切り替える処理の一例を示すフローチャートである。
【００９２】
ステップＳ３１において、通信モード切替部２０９は、通信モード判定部２１０からの受信内容を確認する。ステップＳ３２において、通信モード切替部２０９は、新規受信の有無を判断する。具体的には、通信モード切替部２０９は、通信モードの変更の通知を、通信モード判定部２１０から新たに受信したか否かを判断する。通信モード切替部２０９が、通信モードの変更の通知を、通信モード判定部２１０から新たに受信した場合（ステップＳ３２の“有”分岐）には、ステップＳ３３に遷移する。一方、通信モード切替部２０９が、通信モードの変更の通知を、通信モード判定部２１０から新たに受信していない場合（ステップＳ３２の“無”分岐）には、通信モード切替部２０９は、処理を終了する。
【００９３】
ステップＳ３３において、通信モード切替部２０９は、受信内容を判断する。具体的には、通信モード切替部２０９は、いずれの通信モードへの変更の通知を、通信モード判定部２１０から受信したかを判断する。通信モード切替部２０９が、緊急モードへの変更の通信を受信した場合（ステップＳ３３の“緊急モードへの変更”分岐）には、ステップＳ３４に遷移する。
【００９４】
ステップＳ３４において、通信モード切替部２０９は、現在の通信モードを判断する。現在の通信モードが、通常モードである場合（ステップＳ３４の“通常モード”分岐）には、通信モード切替部２０９は、通信モードを、緊急モードに切り替え、送受信部２０８に通知する（ステップＳ３５）。そして、通信モード切替部２０９は処理を終了する。一方、通信モード切替部２０９は、現在の通信モードが、緊急モードである場合（ステップＳ３４の“緊急モード”分岐）には、通信モード切替部２０９は処理を終了する。
【００９５】
一方、通信モード切替部２０９が、通常モードへの変更の通信を受信した場合（ステップＳ３３の“通常モードへの変更”分岐）には、ステップＳ３６に遷移する。
【００９６】
ステップＳ３６において、通信モード切替部２０９は、現在の通信モードを判断する。通信モード切替部２０９は、現在の通信モードが、緊急モードである場合（ステップＳ３６の“緊急モード”分岐）には、通信モード切替部２０９は、通信モードを、通常モードに切り替え、送受信部２０８に通知する（ステップＳ３７）。そして、通信モード切替部２０９は処理を終了する。一方、現在の通信モードが、通常モードである場合（ステップＳ３６の“通常モード”分岐）には、通信モード切替部２０９は処理を終了する。
【００９７】
図７は、外部入力部２１１の動作の一例を示すフローチャートである。
【００９８】
ステップＳ４１において、外部入力部２１１は、入力内容を確認する。ステップＳ４２において、外部入力部２１１は、新規入力の有無を判断する。具体的には、外部入力部２２１１は、セキュリティリスクの有無に関する情報、又は通信モードの変更要求を、新たに受け付けたか否かを判断する。外部入力部２１１は、セキュリティリスクの有無に関する情報、又は通信モードの変更要求を、新たに受け付けた場合（ステップＳ４２の“有”分岐）には、ステップＳ４３に遷移する。一方、外部入力部２１１は、セキュリティリスクの有無に関する情報、又は通信モードの変更要求を、新たに受け付けていない場合（ステップＳ４２の“無”分岐）には、外部入力部２１１は処理を終了する。
【００９９】
ステップＳ４３において、外部入力部２１１は、入力内容を判断する。
【０１００】
ここで、外部入力部２１１は、セキュリティリスクの有無に関する情報を受け付けたとする。その場合、外部入力部２１１が受け付けた、セキュリティリスクの有無に関する情報が、“リスクあり”を示す場合には、外部入力部２１１は、緊急モードへの変更要求を受け付けた、と判断する。一方、外部入力部２１１が受け付けた、セキュリティリスクの有無に関する情報が、“リスクなし”を示す場合には、外部入力部２１１は、通常モードへの変更要求を受け付けた、と判断する。
【０１０１】
外部入力部２１１は、緊急モードへの変更要求を受け付けた場合（ステップＳ４３の“緊急モードへの変更要求”分岐）には、緊急モードへの変更を、通信モード切替部２０９へ通知する（ステップＳ４４）。そして、外部入力部２１１は処理を終了する。一方、外部入力部２１１は、通常モードへの変更要求を受け付けた場合（ステップＳ４３の“通常モードへの変更要求”分岐）には、通常モードへの変更を、通信モード切替部２０９へ通知する（ステップＳ４５）。そして、外部入力部２１１は処理を終了する。
【０１０２】
図８は、外部入力部２１１からの通信モードの変更要求に応じて、通信モード切替部２０９が、通信モードを切り替える処理の一例を示すフローチャートである。
【０１０３】
ステップＳ５１において、通信モード切替部２０９は、外部入力部２１１からの受信内容を確認する。ステップＳ５２において、通信モード切替部２０９は、新規受信の有無を判断する。具体的には、通信モード切替部２０９は、外部入力部２１１から、通信モードの変更要求を新たに受け付けたか否かを判断する。
【０１０４】
通信モード切替部２０９は、外部入力部２１１から、通信モードの変更要求を新たに受け付けていない場合（ステップＳ５２の“無”分岐）には、処理を終了する。一方、通信モード切替部２０９は、外部入力部２１１から、通信モードの変更要求を新たに受け付けた場合（ステップＳ５２の“有”分岐）には、ステップＳ５３に遷移する。ステップＳ５３〜Ｓ５７までの処理は、図６に示すステップＳ３３〜Ｓ３７までの処理と同じであるため、詳細な説明は省略する。
【０１０５】
以上のように、本実施形態に係る通信システム１においては、被疑端末（即ち、調査対象端末２００）が、“リスクあり”と判断した場合には、第１の情報処理装置１００（サーバ側）へのポーリング間隔を短くするように、ポーリング間隔を変更する。そして、被疑端末（即ち、調査対象端末２００）は、“リスクあり”と判断した場合には、第１の情報処理装置（サーバ側）に、“リスクあり”であることを通知する。そして、本実施形態に係る通信システム１においては、第１の情報処理装置１００（サーバ側）が、リスク対応者等に、アラートを通知する。それにより、本実施形態に係る通信システム１においては、リスク対応者に、セキュリティリスクに対して、早期に対応させることに貢献する。
【０１０６】
以上のように、本実施形態に係る通信システム１においては、被疑端末が、セキュリティインシデントの発生を検知し、自動的に、第１の情報処理装置１００（サーバ側）へのポーリング間隔を変更する。そのため、本実施形態に係る通信システム１においては、被疑端末のユーザのスキルに依存せずに、第１の情報処理装置１００（サーバ側）へのポーリング間隔を変更する。従って、本実施形態に係る通信システム１は、被疑端末のユーザのスキルに依存せずに、セキュリティリスクの有無に応じて、適切に通信制御することに貢献する。よって、本実施形態に係る通信システム１は、セキュリティリスクの有無に応じて、適切且つ効率的に、通信制御することに貢献する。
【０１０７】
また、本実施形態に係る通信システム１においては、第２の情報処理装置２０１は、外部から、リスクの有無に関する情報を受け付ける。そして、第２の情報処理装置２０１は、外部から、リスクの有無に関する情報を受け付けた場合、リスクの有無に応じて、第１の情報処理装置１００（サーバ側）へのポーリング間隔を変更する。そして、当該被疑端末は、受け付けた、リスクの有無に関する情報に応じて、第１の情報処理装置１００（サーバ側）へのポーリング間隔を変更する。そのため、本実施形態に係る通信システム１は、被疑端末（即ち、調査対象端末２００）が、セキュリティインシデントの発生を検知しない場合であっても、適切且つ効率的に、通信制御することに貢献する。
【０１０８】
本実施形態に係る通信システム１において、第２の情報処理装置２０１（クライアント側）は、緊急時には、通常時より、第１の情報処理装置１００（サーバ側）へのポーリング間隔を短くする。それにより本実施形態に係る通信システム１は、リスク対応者に、セキュリティインシデントに対して、早期に対応させることに貢献する。さらに、本実施形態に係る通信システム１において、第２の情報処理装置２０１（クライアント側）は、通常時には、緊急時より第１の情報処理装置１００（サーバ側）へのポーリング間隔を長くする。それにより、第２の情報処理装置２０１は、ネットワーク、及び第１の情報処理装置１００（サーバ側）への負荷を抑制することに貢献する。なお、“緊急時”とは、セキュリティインシデントが発生した場合等である。また、“通常時”とは、セキュリティインシデントが発生していない場合等である。
【０１０９】
また、本実施形態に係る通信システム１においては、第２の情報処理装置２０１は、ユーザの操作に基づいて、通信モードの変更要求を受け付ける。例えば、本実施形態に係る通信システム１においては、被疑端末（即ち、調査対象端末２００）のユーザがセキュリティインシデントの発生を認識した場合、当該被疑端末のユーザは、通信モードの変更を要求する操作を行う。第２の情報処理装置２０１は、ユーザの操作に基づいて、通信モードの変更要求を受け付けた場合、サーバ側（即ち、第１の情報処理装置１００）へのポーリング間隔を変更する。そのため、被疑端末（即ち、調査対象端末２００）が、セキュリティインシデントの発生を検知しない場合であっても、第１の情報処理装置１００（サーバ側）へのポーリング間隔を変更できる。従って、本実施形態に係る通信システム１は、被疑端末（即ち、調査対象端末２００）が、セキュリティインシデントの発生を検知しない場合であっても、ユーザの操作に基づいて、適切且つ効率的に、通信制御することに貢献する。
【０１１０】
［第２の実施形態］
第２の実施形態について、図面を用いて詳細に説明する。
【０１１１】
本実施形態は、調査対象端末の外部の装置が、セキュリティインシデントの発生を検知する形態である。なお、本実施形態における説明では、上記の実施形態と重複する部分の説明は省略する。さらに、本実施形態における説明では、上記の実施形態と同一の構成要素には、同一の符号を付し、その説明を省略する。また、本実施形態における説明では、上記の実施形態と同一の作用効果についても、その説明を省略する。
【０１１２】
図９は、本実施形態に係る通信システム１ａの全体構成の一例を示すブロック図である。図９に示す通信システム１ａと、図２に示す通信システム１との相違点は、図９に示す通信システム１ａは、セキュリティリスク検知装置４００を含んで構成される点である。
【０１１３】
セキュリティリスク検知装置４００は、セキュリティリスクを検知する装置である。具体的には、セキュリティリスク検知装置４００は、マルウェアの侵入、マルウェアの活動を検知する。セキュリティリスク検知装置４００は、調査対象端末２００を監視し、調査対象端末２００のセキュリティインシデントの発生を検知してもよい。
【０１１４】
セキュリティリスク検知装置４００は、サンドボックス（SandBox）ベースのマルウェア検知機器であってもよい。または、セキュリティリスク検知装置４００は、シグネチャベースのマルウェア検知機器であってもよい。または、セキュリティリスク検知装置４００は、ＳＩＥＭ（Security Information and Event Management）機器であってもよい。
【０１１５】
セキュリティリスク検知装置４００は、操作端末３００に接続する。本実施形態に係る操作端末３００は、第１の情報処理装置１００と、第２の情報処理装置２０１とに接続する。
【０１１６】
セキュリティリスク検知装置４００は、セキュリティリスクを検知した場合、セキュリティリスクがあることを、操作端末３００に通知する。そして、操作端末３００は、第２の情報処理装置２０１の外部入力部２１１に、セキュリティリスクがあることを通知する。第２の情報処理装置２０１は、外部入力部２１１が受け付けた情報に基づいて、通信モードを、緊急モードに切り替える。
【０１１７】
例えば、第２の情報処理装置２０１が、リスク管理情報２０４に含まれるリスク判定条件を利用して、マルウェアを検知できない場合がある。つまり、被疑端末（即ち、調査対象端末２００）が、当該被疑端末内（即ち、調査対象端末２００内）で、マルウェアを検知できない場合がある。しかし、本実施形態に係る通信システム１ａにおいては、セキュリティリスク検知装置４００が、当該マルウェアを検知できる場合には、当該マルウェアを検知し、操作端末３００に通知する。それにより、操作端末３００のユーザ（例えば、リスク対応者）は、セキュリティリスクがあることを認識できる。
【０１１８】
さらに、操作端末３００が、第２の情報処理装置２０１の外部入力部２１１に、セキュリティリスクがあることを通知すると、第２の情報処理装置２０１は、通信モードを変更する。そのため、本実施形態に係る通信システム１ａは、被疑端末（即ち、調査対象端末２００）が、当該被疑端末内（即ち、調査対象端末２００内）で、マルウェアを検知できない場合であっても、被疑端末の通信モードを変更できる。したがって、本実施形態に係る通信システム１ａは、被疑端末が、当該被疑端末内で、マルウェアを検知できない場合であっても、セキュリティリスクの有無に応じて、適切且つ効率的に、通信制御することに貢献する。
【０１１９】
なお、上記の説明では、第２の情報処理装置２０１が、２つの通信モード（緊急モード、通常モード）間で、通信モードを切り替える形態について説明した。しかし、これは、通信システム１、通信システム１ａが、２つの通信モードを利用することに限定する趣旨ではない。本実施形態に係る通信システムは、３以上の通信モードを利用してもよいことは勿論である。例えば、第２の情報処理装置２０１は、３以上の通信モードを管理し、リスクの内容（例えば、発生したセキュリティインシデントの内容）に応じて、３以上の通信モードのうち、いずれかの通信モードに切り替えてもよいことは勿論である。
【０１２０】
なお、上記の特許文献の開示を、本書に引用をもって繰り込むものとする。本発明の全開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態の変更・調整が可能である。また、本発明の全開示の枠内において種々の開示要素（各請求項の各要素、各実施形態の各要素、各図面の各要素等を含む）の多様な組み合わせ、ないし、選択が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。特に、本書に記載した数値範囲については、当該範囲内に含まれる任意の数値ないし小範囲が、別段の記載のない場合でも具体的に記載されているものと解釈されるべきである。本発明で、アルゴリズム、ソフトウエア、ないしフローチャート或いは自動化されたプロセスステップが示された場合、コンピュータが用いられることは自明であり、またコンピュータにはプロセッサ及びメモリないし記憶装置が付設されることも自明である。よってその明示を欠く場合にも、本願には、これらの要素が当然記載されているものと解される。
【符号の説明】
【０１２１】
１、１ａ  通信システム
１００  第１の情報処理装置
１０１、２０８、１００４  送受信部
１０２  アラート通知部
１０３  機器情報収集指示部
２０５  機器情報収集部
１０４、２０７  リスク判定部
１０５  対策指示部
１０６  リスク管理情報登録・更新部
１０７、２０２  データ格納領域
１０８、２０３  収集済み機器情報
１０９、２０４  リスク管理情報
１１０  アラート通知管理情報
２００  調査対象端末
２０１  第２の情報処理装置
２０６  対策実行部
２０９、１００３  通信モード切替部
２１０、１００２  通信モード判定部
２１１、１００１  外部入力部
３００  操作端末
４００  セキュリティリスク検知装置
１０００  情報処理装置
【図１】
2019176256.tif 000003
【図２】
2019176256.tif 000004
【図３】
2019176256.tif 000005
【図４】
2019176256.tif 000006
【図５】
2019176256.tif 000007
【図６】
2019176256.tif 000008
【図７】
2019176256.tif 000009
【図８】
2019176256.tif 000010
【図９】
2019176256.tif 000011