(57)【要約】      （修正有）【課題】人間の対話はほとんどなしに、データ損失事象を検出することができるデータ損失防止モデルを開発するための方法を提供する。【解決手段】処理デバイスは、コンピュータデバイスが実行した動作に対応する事象記録を受信するステップ７４を含み、その事象記録は、事象タイプおよび事象データを含む。処理デバイスはさらに、事象タイプを事象タイプに対応する事象番号に変換するステップ７６、事象データを事象データの数値表現に変換するステップ７８、事象タイプおよびその事象データがデータ損失事象に対応するかどうかの徴候を事象番号および数値表現に関連付けるステップ８４、徴候、事象番号、および数値表現を使用し、そのデータ損失防止モデルを決定するステップ８６を含む。【選択図】図３
2015018557.tif 000002
【特許請求の範囲】
【請求項１】
データ損失防止モデルを開発するための方法であって、
処理デバイスで、コンピュータデバイスが実行した動作に対応する事象記録を受信するステップであって、前記事象記録が事象タイプおよび事象データを備える、ステップと、
前記処理デバイスを使用し、前記事象タイプを前記事象タイプに対応する事象番号に変換するステップと、
前記処理デバイスを使用し、前記事象データを前記事象データの数値表現に変換するステップと、
前記事象タイプおよび前記事象データがデータ損失事象に対応するかどうかの徴候を前記事象番号および前記数値表現に関連付けるステップと、
前記徴候、前記事象番号、および前記数値表現を使用し、前記データ損失防止モデルを決定するステップと
を含む、方法。
【請求項２】
前記データ損失防止モデルを決定するステップが、前記数値表現の閾値を決定するステップを含む、請求項１に記載の方法。
【請求項３】
前記数値表現が前記閾値よりも大きい場合、前記事象記録が前記データ損失事象に対応する、請求項２に記載の方法。
【請求項４】
前記処理デバイスで、１つまたは複数のコンピュータデバイスが実行した複数の動作に対応する複数の事象記録を受信するステップであって、前記複数の事象記録のうちの各事象記録が前記事象タイプおよび前記事象データを備えるステップを含む、請求項１に記載の方法。
【請求項５】
前記処理デバイスを使用し、前記事象記録各々の前記事象タイプをそれぞれの事象番号に変換するステップと、前記処理デバイスを使用して、前記事象記録各々の前記事象データをそれぞれの数値表現に変換するステップとを含む、請求項４に記載の方法。
【請求項６】
前記事象タイプ各々および前記事象データ各々がそれぞれのデータ損失事象と対応するかどうかを判定するステップを含む、請求項５に記載の方法。
【請求項７】
前記事象タイプ各々および前記事象データ各々がそれぞれのデータ損失事象と対応するかどうかの複数の徴候を前記事象番号各々および前記数値表現各々に関連付けるステップを含む、請求項５に記載の方法。
【請求項８】
前記複数の徴候、前記事象番号および前記数値表現を使用して、前記データ損失防止モデルを決定するステップを含む、請求項７に記載の方法。
【請求項９】
前記事象データの前記数値表現を正規化するステップを含む、請求項１に記載の方法。
【請求項１０】
前記徴候がオペレータによって判定される、請求項１に記載の方法。
【請求項１１】
前記処理デバイスで、第２の動作に対応する第２の事象記録を受信するステップであって、前記第２の事象記録が第２の事象タイプおよび第２の事象データを備える、ステップと、
前記処理デバイスを使用し、前記第２の事象タイプを前記第２の事象タイプに対応する第２の事象番号に変換するステップと、
前記処理デバイスを使用し、前記第２の事象データを前記第２の事象データの第２の数値表現に変換するステップと、
前記第２の事象タイプおよび前記第２の事象データが第２のデータ損失事象に対応するかどうかの第２の徴候を前記第２の事象番号および前記第２の数値表現に関連付けるステップと
を含む、請求項１に記載の方法。
【請求項１２】
前記第２の徴候、前記第２の事象番号、および前記第２の数値表現を使用して、前記データ損失防止モデルの妥当性を確認するステップを含む、請求項１１に記載の方法。
【請求項１３】
データ損失防止モデルを使用するための方法であって、
処理デバイスで、コンピュータデバイスが実行した動作に対応する事象記録を受信するステップであって、前記事象記録が事象タイプおよび事象データを備える、ステップと、
前記処理デバイスを使用し、前記事象タイプを前記事象タイプに対応する事象番号に変換するステップと、
前記処理デバイスを使用し、前記事象データを前記事象データの数値表現に変換するステップと、
前記処理デバイスを使用し、前記データ損失防止モデルを前記事象番号に対応する前記数値表現に適用して結果を得るステップと、
前記処理デバイスを使用し、前記結果を前記事象番号の閾値と比較するステップと、
前記結果と前記閾値の前記比較に基づいて、データ損失事象が発生したかどうかのリスクを判定するステップと
を含む、方法。
【請求項１４】
前記閾値が、前記データ損失防止モデルの一部である、請求項１３に記載の方法。
【請求項１５】
前記事象データの前記数値表現を正規化するステップを含む、請求項１３に記載の方法。
【請求項１６】
前記データ損失事象が発生したかどうかに対応する徴候を与えるステップを含む、請求項１３に記載の方法。
【請求項１７】
前記徴候を分析して前記徴候が正確であるかどうかを判定するステップを含む、請求項１６に記載の方法。
【請求項１８】
前記徴候が正確ではない場合に、前記データ損失防止モデルを更新するステップを含む、請求項１７に記載の方法。
【請求項１９】
複数の事象記録のうちの各事象記録が事象タイプおよび事象データを備え、１つまたは複数のコンピュータデバイスが実行したそれぞれの動作に対応する前記複数の事象記録を受信し、
前記事象記録各々の前記事象タイプを前記事象タイプに対応するそれぞれの事象番号に変換し、
前記事象記録各々の前記事象データを前記事象データのそれぞれの数値表現に変換し、
前記事象タイプ各々および前記事象データ各々がそれぞれのデータ損失事象と対応するかどうかの徴候を前記事象番号各々および前記数値表現各々と関連付け、
前記事象記録の少なくとも一部の事象記録の前記徴候、前記事象番号、および前記数値表現を使用し、データ損失防止モデルを決定する
ように構成された、第１の処理デバイスと、
監視対象コンピュータデバイスが実行した監視対象動作に対応する監視対象事象記録であって、監視対象事象タイプおよび監視対象事象データを備える前記監視対象事象記録を受信し、
前記監視対象事象タイプを前記監視対象事象タイプに対応する監視対象事象番号に変換し、
前記監視対象事象データを前記監視対象事象データの監視対象数値表現に変換し、
前記データ損失防止モデルを使用し、監視対象データ損失事象が発生したかどうかのリスクを判定する
ように構成された、第２の処理デバイスと
を備える、システム。
【請求項２０】
前記データ損失防止モデルの使用が、前記監視対象事象番号に対応する前記監視対象数値表現と前記監視対象事象番号についての監視対象閾値との比較を含む、請求項１９に記載のシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本明細書で開示される主題は、データ損失防止に関し、より詳細には、データ損失防止モデルの判定および使用のためのシステムおよび方法に関する。
【背景技術】
【０００２】
内部データの損失は、従業員が会社のデータおよび／または知的財産をもって会社を出るときに生じ得る。たとえば、ある種のデータ損失事象は、データ持ち出しに関わり得る。データ持ち出しは、データが会社を出るまたは会社をもう少しで出る従業員によってその会社の外部に送られるまたは移動させられるときに生じる。ある種のデータ損失検出方式は、データ持ち出しをアウトライアー検出の問題とみなしており、ここで言うアウトライアーとはデータを持ち出そうとする従業員である。ある種のデータ損失検出方式では、データ持ち出し検出は、事象記録を調べて好ましくない事象を検出するオペレータによって、手動で実行される。多数の事象記録が存在することによって、各々の事象記録を分析することが難しくなることがある。さらに、各事象記録または事象記録の組合せの分析は、複雑で、手動で実行するのは難しいことがある。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】米国特許第８３２７４４３号公報
【発明の概要】
【０００４】
一実施形態で、データ損失防止モデルを開発するための方法は、処理デバイスで、コンピュータデバイスが実行した動作に対応する事象記録を受信するステップを含む。事象記録は、事象タイプおよび事象データを含む。方法はまた、処理デバイスを使用し、事象タイプを事象タイプに対応する事象番号に変換するステップを含む。方法は、処理デバイスを使用し、事象データを事象データの数値表現に変換するステップを含む。方法は、事象タイプおよび事象データがデータ損失事象に対応するかどうかの徴候を事象番号および数値表現に関連付けるステップを含む。方法はまた、徴候、事象番号、および数値表現を使用し、データ損失防止モデルを決定するステップを含む。
【０００５】
もう１つの実施形態で、データ損失防止モデルを使用するための方法は、処理デバイスで、コンピュータデバイスが実行し動作に対応する事象記録を受信するステップを含む。事象記録は、事象タイプおよび事象データを含む。方法はまた、処理デバイスを使用し、事象タイプを事象タイプに対応する事象番号に変換するステップを含む。方法は、処理デバイスを使用し、事象データを事象データの数値表現に変換するステップを含む。方法はまた、処理デバイスを使用し、データ損失防止モデルを事象番号に対応する数値表現に適用して結果を得るステップを含む。方法は、処理デバイスを使用し、結果を事象番号の閾値と比較するステップを含む。方法は、数値表現と閾値の比較に基づいて、データ損失事象が生じたかどうかのリスクを判定するステップを含む。
【０００６】
さらなる実施形態で、システムは、１つまたは複数のコンピュータデバイスが実行したそれぞれの動作に対応する事象記録を受信するように構成された第１の処理デバイスを含む。各事象記録は、事象タイプおよび事象データを含む。第１の処理デバイスはまた、各々の事象記録の事象タイプを事象タイプに対応するそれぞれの事象番号に変換して、各々の事象記録の事象データをその事象データのそれぞれの数値表現に変換するように構成される。さらに、第１の処理デバイスは、各々の事象タイプおよび各々の事象データがそれぞれのデータ損失事象と対応するかどうかの徴候を各々の事象番号および各々の数値表現に関連付けるように構成される。第１の処理デバイスは、事象記録の少なくとも一部の事象記録の徴候、事象番号、および数値表現を使用し、データ損失防止モデルを決定するように構成される。システムはまた、監視対象コンピュータデバイスが実行する監視対象動作に対応する監視対象事象記録を受信するように構成された第２の処理デバイスを含む。監視対象事象記録は、監視対象事象タイプおよび監視対象事象データを含む。第２の処理デバイスはまた、監視対象事象タイプを監視対象事象タイプに対応する監視対象事象番号に変換する、監視対象事象データを監視対象事象データの監視対象数値表現に変換する、および、データ損失防止モデルを使用し、監視対象データ損失事象が発生したかどうかのリスクを判定するように構成される。
【０００７】
本発明のこれらのおよび他の特徴、態様、および利点は、以下のような、同様の文字がこれらの図面をとおして同様の部分を表す、添付の図面を参照して、以下の詳細な説明を読むときに、よりよく理解されることになろう。
【図面の簡単な説明】
【０００８】
【図１】本開示による、データ損失防止のためのシステムの一実施形態のブロック図である。
【図２】本開示による、データ損失防止のためのシステムの一実施形態のプロセス流れ図である。
【図３】本開示による、データ損失防止モデルを開発するための方法の一実施形態の流れ図である。
【図４】本開示による、データ損失防止モデルを使用するための方法の一実施形態の流れ図である。
【発明を実施するための形態】
【０００９】
ここで開示される主題の１つまたは複数の具体的な実施形態が、以下に説明される。これらの実施形態を簡潔に説明することを目的として、実際の実装形態のすべての特徴は、本明細書に記載され得ない。エンジニアリングまたは設計プロジェクトにおいてなど、任意のそのような実際の実装形態の開発では、ある実装形態と別の実装形態とでは変化し得る、システム関連およびビジネス関連の制約の順守などの開発者の具体的な目的を達成するために、多数の実装形態特有の決定が行われる必要があることを理解されたい。さらに、そのような開発の取り組みは、複雑で時間を要することがあるが、それでもなお、本開示の利益を有する当業者にとって設計、製作および製造の通常業務であろうことを理解されたい。本技法の様々な実施形態の要素を紹介するとき、「１つの」（「ａ」、「ａｎ」）、「その」、および「前記」という冠詞は、それらの要素のうちの１つまたは複数が存在することを意味するものである。「備える」、「含む」および「有する」という用語は、包括的なものであり、記載された要素以外の追加の要素が存在し得ることを意味する。
【００１０】
図示するように、図１は、データ損失防止のためのシステム１０の一実施形態のブロック図である。システム１０は、インターネット、ワイドエリアネットワーク（ＷＡＮ）、ローカルエリアネットワーク（ＬＡＮ）などのネットワーク１６によって結合され得るコンピュータデバイス１２および１４を含む。コンピュータデバイス１２および１４は、有線および／または無線通信を使用し、ネットワーク１６を介して通信することができる。コンピュータデバイス１２および１４が２つのみ図示されているが、任意の数のコンピュータデバイス１２および１４がシステム１０の構成要素になり得ることは理解されよう。
【００１１】
各々のコンピュータデバイス１２および１４は、１つまたは複数のプロセッサ１８、メモリデバイス２０、および記憶装置２２を含む。プロセッサ（複数可）１８は、事象ロギングソフトウェア、データ損失モデリングソフトウェア、データ損失トレーニングソフトウェア、データ損失検出ソフトウェアなどのソフトウェアを実行するために使用され得る。さらに、プロセッサ（複数可）１８は、１つまたは複数の「汎用」マイクロプロセッサ、１つまたは複数の専用マイクロプロセッサおよび／または特定用途向け集積回路（ＡＳＩＣ）、あるいは、それらの何らかの組合せなど、１つまたは複数のマイクロプロセッサを含み得る。たとえば、プロセッサ（複数可）１８は、１つまたは複数の縮小命令セット（ＲＩＳＣ）プロセッサを含み得る。
【００１２】
メモリデバイス（複数可）２０は、ランダムアクセスメモリ（ＲＡＭ）などの揮発性メモリ、および／または、読取り専用メモリ（ＲＯＭ）などの不揮発性メモリを含み得る。メモリデバイス（複数可）２０は、様々な情報を記憶することができ、様々な目的で使用することができる。たとえば、メモリデバイス（複数可）２０は、事象ロギングソフトウェア、データ損失モデリングソフトウェア、データ損失トレーニングソフトウェア、データ損失検出ソフトウェアなどのための命令など、プロセッサ（複数可）１８が実行するプロセッサ実行可能命令（たとえば、ファームウェアまたはソフトウェア）を記憶することができる。
【００１３】
記憶装置（複数可）２２（たとえば、不揮発性ストレージ）は、ＲＯＭ、フラッシュメモリ、ハードドライブ、または任意の他の適切な光学、磁気、またはソリッドステート記憶媒体、あるいはそれらの組合せを含み得る。記憶装置（複数可）２２は、データ（たとえば、事象記録、データ損失モデルなど）、命令（たとえば、事象ロギング、データ損失モデリング、データ損失トレーニング、データ損失検出などのためのソフトウェアまたはファームウェア）、および／または、任意の他の適切なデータを記憶することができる。
【００１４】
図示するように、各々のコンピュータデバイス１２および１４は、ユーザインターフェース２４を含む。ユーザインターフェース２４によって、オペレータは、それぞれのコンピュータデバイス１２および１４にデータを入力することおよび／またはそれぞれのコンピュータデバイス１２および１４からの出力データを見ることが可能になる。たとえば、ユーザインターフェース２４によって、監視、記録、および／または分析され得るコンピュータデバイス１２および１４上の様々なタスクをオペレータが実行することが可能になる。ユーザインターフェース２４は、キーボード、マウス、あるいは、データを入力する、選択を行う、および／またはコンピュータデバイス１２および１４を操作するための任意の適切なデバイスを含み得ることが、理解されよう。さらに、ユーザインターフェース２４は、事象記録、データ損失事象などのデータを示すためのディスプレイを含み得る。ユーザインターフェース２４はまた、事象記録、データ損失事象などを印刷するためなど、データを印刷するためのプリンタを含み得る。
【００１５】
各々のコンピュータデバイス１２および１４は、動作（オペレータによって実行されるある種の動作の事象記録においてデータを保存することなどによって、オペレータによって実行される動作）を追跡するように構成されたソフトウェアを含み得る。そのソフトウェアは、ファイル転送（たとえば、あるコンピュータデバイスから別のコンピュータデバイスに転送されるファイル、コンピュータデバイス１２および１４から取外し可能記憶装置に転送されるファイル、電子メールを使用して転送されるファイルなど）、ファイルダウンロード、ファイルアップロード（たとえば、インターネットへの）、ファイル名が変更したファイルなどの特定の動作を追跡するように構成することができる。ある種の実施形態で、ソフトウェアは、任意のタイプの動作を追跡するように構成することができる。コンピュータデバイス１２および１４はまた、データ損失モデルを作り出す、データ損失モデルをトレーニングする、データ損失事象に対応するデータを検出するなどを行うように構成されたソフトウェアを含み得る。したがって、コンピュータデバイス１２および１４は、データ損失事象が発生したことの効率的な検出を容易にすることができる。
【００１６】
図２を参照すると、データ損失防止のためのシステム１０の一実施形態のプロセス流れ図が示される。前準備として、１セットの事象記録（たとえば、履歴時系列データ）は、以下のように表すことができる：
【００１７】
【数１】
2015018557.tif 000003
【００１８】
、但し、ｔはタイムスタンプを表し、
【００１９】
【数２】
2015018557.tif 000004
【００２０】
は１セットの事象記録を表し、ｎは事象記録の数を表し、そして、ｄは事象記録の特徴空間の次元（たとえば、事象記録の特徴の数）を表す。さらに、タイムスタンプｔでの特定の１セットの事象記録は、以下のように表すことができる：
【００２１】
【数３】
2015018557.tif 000005
【００２２】
、但し、ｉはタイムスタンプｔでの事象記録の数であり、そして、ｊはその事象記録の特徴の数である。同様に、タイムスタンプｔでの特定の事象記録ｉは、以下のように表すことができる：
【００２３】
【数４】
2015018557.tif 000006
【００２４】
さらに、そのセットの事象記録に関連するリスク（たとえば、メタデータ）は、以下のように表すことができる：Ｙ(ｔ)∈（０，１）。ある種の実施形態で、Y（ｔ）の値は、事象記録のリスクレベルを表し、値が大きいほどリスクレベルが高いことを示している。さらに、タイムスタンプｔでの特定の事象記録ｉのリスクは、以下のように表すことができる：ｙi（ｔ）。以下に詳しく説明するように、関数ｆは、１セットの事象記録Ｘ（τ）のリスクＹ（τ）を予測するために決定され得る。たとえば、リスクＹ（τ）が閾値θを超える場合、警報がトリガされ得る。
【００２５】
システム１０は、３つのフェーズを含む：データモデリングフェーズ３４、トレーニングおよび妥当性確認フェーズ３６、および検出フェーズ３８。データモデリングフェーズ３４は、トレーニング事象記録を処理し、各時系列データを表すための参考になる特徴を抽出し、それらの特徴を正規化された数値的空間にマッピングする。その数値的特徴は、対応するリスクと関連付けられる。トレーニングおよび妥当性確認フェーズ３６は、その数値的特徴および関連するリスクをトレーニング例として使用し、それによって、決定モデル内のパラメータを最適化する。さらに、トレーニングおよび妥当性確認フェーズ３６は、決定モデルのパフォーマンスにおける分散を使用することによって、その決定モデルの妥当性を確認して、その決定モデルを修正する。検出フェーズ３８は、その決定モデルを使用して、監視される事象記録に関連するリスクを判定する。
【００２６】
データモデリングフェーズ３４で、コンピュータデバイス１２および１４のうちの１つまたは複数は、コンピュータデバイス１２および１４のうちの１つまたは複数で実行される動作に関連する事象記録４０（たとえば、履歴事象記録、データなど）を集める。各事象記録４０は、実行される１つまたは複数の動作に関連するタイムスタンプと、その１つまたは複数の動作に関連する詳細（たとえば、複数の特徴）とを含み得ることが、理解されよう。たとえば、１つの事象記録４０は、タイムスタンプと、プロセス名、ソースドライブ、宛先ドライブ、ファイル名、ファイル位置、ファイルサイズなどのうちの１つまたは複数とを含み得る。ある種の実施形態で、データ収集は、マサチューセッツ州ウェルサムのバーダシス株式会社（Ｖｅｒｄａｓｙｓ）によって製造されるＶｅｒｄａｓｙｓ（登録商標）デジタルガーディアン（ＤＧ）データ損失防止（ＤＬＰ）スーツなどのソフトウェア製品を使用し、実行することができる。そのデータ収集ソフトウェアは、ローカルエンドポイントのコンピュータレベルで様々なタイプのデータ移動を監視することができる。そのデータ移動の詳細（たとえば、事象記録４０）は、クライアント（たとえば、コンピュータデバイス１２および１４のうちの１つまたは複数）で収集され、処理および報告のために管理サーバインフラストラクチャ（たとえば、コンピュータデバイス１２および１４のうちの１つまたは複数）に提供され得る。データモデリングフェーズ３４で、事象記録４０は、データ損失事象のリスクが発生したことを検出することができるデータモデルを作るために変換される。
【００２７】
各事象記録４０は、データ損失事象が事象記録４０内で発生したと考えられるかどうかの徴候のラベルを付けられる４２。事象記録４０は、１人または複数のオペレータ４４（たとえば、データ分析者、専門家など）によってラベルを付けられる。ラベルを付けられた事象記録４０からのデータは、数値的変換および正規化ブロック４６で変換される。数値的変換および正規化ブロック４６は、正規化、数値割当て、雑音低減などを含み得る。
【００２８】
具体的には、参考になる動作（たとえば、特徴）は、事象記録４０から抽出することができる。その抽出プロセスは、領域知識（たとえば、オペレータによって識別される重要な特徴の知識）を使用することおよび／または数式によるランク付けプロセス（たとえば、１つまたは複数の数式、重み付けなどに基づいて数値を特徴に割り当てること）を含み得る。たとえば、領域知識を使用し、ある種の特徴は、データ損失防止に関連しないと判定され得る（たとえば、乱数値、意味論的意味を有さない値など）。そのような特徴は、事象記録４０から直接にフィルタをかけて除去することができる。さらに、それらの特徴は、エントロピーを使用し、重み付けすることができる。たとえば、ｎ個の記録の第ｊの特徴は、以下のように表すことができる：
【００２９】
【数５】
2015018557.tif 000007
【００３０】
さらに、第ｊの特徴のシャノンエントロピーは、以下の数式によって計算することができる：
【００３１】
【数６】
2015018557.tif 000008
【００３２】
、但し、
【００３３】
【数７】
2015018557.tif 000009
【００３４】
は、ｘが
【００３５】
【数８】
2015018557.tif 000010
【００３６】
の値を有する確率である。したがって、特徴がすべての記録にわたって一定である（たとえば、ｘが
【００３７】
【数９】
2015018557.tif 000011
【００３８】
の値を有する確率が１（たとえば、１００％））である場合、その特徴のエントロピーはゼロであり、その特徴は破棄される。さらに、特徴は、それらのエントロピーに基づいてランク付けされ得る。ある種の実施形態で、高いエントロピーを有する特徴は、データ損失事象に対応する事象を検出するために使用され得る。
【００３９】
それらの特徴は、数値的空間に変換され得る。たとえば、事象記録４０の各特徴は、事象タイプおよび事象データを含む。その事象タイプは、記述（たとえば、プロセス名などのテキスト）から事象番号（たとえば、特徴ＩＤ）に変換され得る。たとえば、事象タイプ「プロセス名」は、「プロセス名」に関連する事象番号「３」に変換され得る。もう１つの例として、事象タイプ「宛先ドライブタイプ」は、「宛先ドライブタイプ」に関連する事象番号「６７」に変換され得る。さらに、事象データは、テキストおよび／または数字からその事象データの正規化された数値表現に変換され得る。たとえば、「ｅｘｐｌｏｒｅｒ．ｅｘｅ」の事象データは、任意の適切な数（たとえば、１０、３０、５５、７５、８８など）の正規化された数値表現を有し得る。さらに、もう１つの例として、「２」の事象データは、任意の適切な数（たとえば、１５、２５、５６、６５、８９など）の正規化された数値表現を有し得る。
【００４０】
事象データの正規化された数値表現への変換は、非線形マッピングを使用するなど、任意の適切な方法を使用し、実行することができる。たとえば、ある種の実施形態で、各個別の特徴の領域は有限である。そのような実施形態で、辞書Ｄは、以下のように表すことができる：Ｄ＝[ｃ1，…，ｃm，…，ｃM]、但し、ｃmは特徴ｍの有限値である。その特徴の連続値は、以下の非線形マッピングを使用して生成することができる：
【００４１】
【数１０】
2015018557.tif 000012
【００４２】
但し、δm(ｘ)、ｍ＝１，…，Ｍは、辞書Ｄ全体で定義される指標関数であり（たとえば、ｘ＝ｃmの場合δm(ｘ)＝１、そして、ｘ≠ｃmの場合δm(ｘ)＝０）、そして、Ｒは、各２進コードを実数ベクトルに変換する実変換関数である。
【００４３】
その数値的特徴は、次いで、以下の数式を使用し、L2ボールに投射され得る：
【００４４】
【数１１】
2015018557.tif 000013
【００４５】
その投射の後、新しい特徴行列ｘは、
【００４６】
【数１２】
2015018557.tif 000014
【００４７】
で示され、
【００４８】
【数１３】
2015018557.tif 000015
【００４９】
である。数値的変換および正規化ブロック４６からの特徴データ出力
【００５０】
【数１４】
2015018557.tif 000016
【００５１】
は、トレーニングデータ４８（たとえば、
【００５２】
【数１５】
2015018557.tif 000017
【００５３】
）、および妥当性確認データ５０（たとえば、
【００５４】
【数１６】
2015018557.tif 000018
【００５５】
）に分けられる。たとえば、ある種の実施形態で、そのデータは、ランダム摂動および分割を使用して、分けることができる。トレーニングデータ４８は、検出モデルをトレーニングするために使用することができ、一方、妥当性確認データ５０は、そのモデルの妥当性を確認するために使用することができる。ある種の実施形態では、特徴データの約８０％がトレーニングデータ４８でもよく、同時に、特徴データの約２０％が妥当性確認データ５０でもよい。他の実施形態では、特徴データの任意の適切な量が、トレーニングデータ４８および／または妥当性確認データ５０でもよい。
【００５６】
トレーニングデータ４８は、データモデリングフェーズ３４からトレーニングおよび妥当性確認フェーズ３６に提供される。具体的には、トレーニングデータ４８は、トレーニングブロック５２に提供される。トレーニングブロック５２は、トレーニングデータ４８を使用してモデル５４を作り出す。前述のように、トレーニングデータ４８は、以下によって表すことができる：
【００５７】
【数１７】
2015018557.tif 000019
【００５８】
一方、その関連リスクデータは以下のように表すことができる：
【００５９】
【数１８】
2015018557.tif 000020
【００６０】
続く数式を簡略化するために、
【００６１】
【数１９】
2015018557.tif 000021
【００６２】
がトレーニングデータ４８からサンプリングされる。トレーニングおよび妥当性確認フェーズ３６は、直線回帰を実行するために、および同時に閾値ｂを最適化するために、使用される。本実施形態では直線回帰が記載されるが、任意の最適化技法が使用され得る（たとえば、非線形回帰、多項式回帰、サポートベクトルマシン（ＳＶＭ）回帰など）ことが、理解されよう。
【００６３】
たとえば、ある種の実施形態では、以下の数式が使用され得る：
ｍｉｎw,bΣi｜｜ｙi−ｇ（＜ｘi，ｗ＞−ｂ）｜｜2＋λ｜｜ｗ｜｜2、但し、ｇは、低次元の特徴を処理する能力を拡張するためのＹの範囲に関する任意の微分可能変換でもよい。さらに、その残余は、Ｄi＝ｙi−ｇ（＜ｘi，ｗ＞−ｂ）と定義することができ、
ｗに関する変換の勾配は、
【００６４】
【数２０】
2015018557.tif 000022
【００６５】
でもよく、バイアス（ｂ）に関する変換の勾配は
【００６６】
【数２１】
2015018557.tif 000023
【００６７】
でもよい。さらに、その勾配降下法からの主要な更新方程式は、以下の方程式によって定義することができ、但し、ηは学習率である。
【００６８】
【数２２】
2015018557.tif 000024
【００６９】
最適化モデルは、トレーニングデータ４８（たとえば、
【００７０】
【数２３】
2015018557.tif 000025
【００７１】
）およびリスクデータ（たとえば、
【００７２】
【数２４】
2015018557.tif 000026
【００７３】
）を使用する以下の論理シーケンスによって、要約することができる。さらに、その非線形関数ｇは微分可能であり、その変数は、以下のように初期化される：ｗ0＝０、ｗ1＝１、ｋ＝０、ε＝１０ｅ−６。
【００７４】
１：ｗｈｉｌｅ｜｜ｗk+1−ｗk｜｜＞ε  ｄｏ
２：残余を更新：
【００７５】
【数２５】
2015018557.tif 000027
【００７６】
、
３：勾配を更新：
【００７７】
【数２６】
2015018557.tif 000028
【００７８】
（ｗに関する勾配）、
【００７９】
【数２７】
2015018557.tif 000029
【００８０】
（ｂに関する勾配）、
４：決定モデルを更新：
【００８１】
【数２８】
2015018557.tif 000030
【００８２】
、
５：バイアスを更新：
【００８３】
【数２９】
2015018557.tif 000031
【００８４】
、
６：学習率を更新：
【００８５】
【数３０】
2015018557.tif 000032
【００８６】
、
７：ｅｎｄ  ｗｈｉｌｅ
８：決定関数
【００８７】
【数３１】
2015018557.tif 000033
【００８８】
を戻す、但し、ｗ*は収束時の値ｗである。
【００８９】
高次元空間においてなど、ある種の実施形態で、前述の関数は、計算の複雑さを軽減するために省略することができる、および／または、線形変換ｇもまた省略することができる。したがって、前述の方法への解析解は、以下でもよい：高次元空間における実施形態について
【００９０】
【数３２】
2015018557.tif 000034
【００９１】
但し
【００９２】
【数３３】
2015018557.tif 000035
【００９３】
は
【００９４】
【数３４】
2015018557.tif 000036
【００９５】
の置換行列である。
【００９６】
妥当性確認はまた、トレーニングおよび妥当性確認フェーズ３６中に実行することができる。たとえば、妥当性確認データ５０は、妥当性確認ブロック５６に提供され得る。妥当性確認データ５０は、パフォーマンスの妥当性を確認するために、および／またはパラメータ（たとえば、正則化パラメータλ）を調節するために使用される。たとえば、ブロック５８で、モデルが妥当性確認中に正しく動作した場合、そのモデルに変更は行われない。しかし、そのモデルが正しく機能しない場合、追加の調整がトレーニングブロック５２で発生する。モデル５４は、単に、追加の事象記録４０をデータモデリングフェーズ３４に追加し、前述のステップを進めることによって、更新することができることが理解されよう。したがって、環境の変化が生じるとき、モデル５４は、単純な、効率的な、および／または費用効率の高い形で適用され得る。モデル５４は、データ損失事象が発生したリスクに関連する任意の適切なパラメータを探すように調節することができる。たとえば、モデル５４は、従業員アクセスレベル、従業員の職位、従業員の職務明細書、時刻、データ転送の頻度、転送されるデータの量などに基づいて、調節することができる。
【００９７】
モデル５４が生成された後、モデル５４は、事象記録に関連するリスクを検出するために使用されるコンピュータデバイスに提供され得る。検出フェーズ３８で、コンピュータデバイス１２および／または１４は、発生する事象を監視し、データ損失事象が発生したかどうかに関連するリスクを判定するためにテストすることができる監視される事象記録６０（たとえば、
【００９８】
【数３５】
2015018557.tif 000037
【００９９】
）を提供する。事象記録６０は、前述の数値的変換および正規化ブロック４６のように動作する数値的変換および正規化ブロック６２に提供される。事象記録６０が変換および正規化された後、ブロック６４で、データ損失事象が発生したかどうかに関連するリスクを判定するために、モデル５４を使用して、判定が行われる。
【０１００】
たとえば、監視される事象記録６０からのサンプルは、以下のように表すことができる：
【０１０１】
【数３６】
2015018557.tif 000038
【０１０２】
そして、そのサンプルに関連するリスクは、以下のように表すことができる：ｙte。したがって、その検出プロセスは、以下のように表すことができる：
【０１０３】
【数３７】
2015018557.tif 000039
【０１０４】
そうでない場合、ｙte＝０、但し、ｙte＝１は、そのサンプル事象記録がデータ損失事象のリスクを表すデータを含むことを意味し、そして、ｙte＝０は、そのサンプル事象記録が、データ損失事象のリスクを表すデータを含まないことを意味する。
【０１０５】
モデル５４は、複数の事象記録６０を同時に処理するために使用され得る（たとえば、バッチ処理、並列処理など）ことが理解されよう。たとえば、１セットの事象記録６０について、以下のように表される：
【０１０６】
【数３８】
2015018557.tif 000040
【０１０７】
但し、ｎ3は大きく、約
【０１０８】
【数３９】
2015018557.tif 000041
【０１０９】
の事象記録６０が各コンピュータデバイスで処理されるように、ｋ個のコンピュータデバイスが、事象記録６０を処理するために使用され得る。そのコンピュータデバイスからの結果は、単一のレポートに集約され得る。
【０１１０】
ブロック６４からの出力は、結果ブロック６６に提供される。さらに、結果ブロック６６からの結果は、その結果を分析し、モデル５４が事象記録６０を正しく識別したかを判定するために、１人または複数のオペレータ６８に提供され得る。事象記録６０のうちの１つまたは複数が、モデル５４によって正しく識別されなかった場合、データが、トレーニングブロック５２に提供されて、そのモデルをさらに精密にすることができる。本明細書に記載の３つのフェーズを使用することによって、モデル５４は、事象記録を使用し、生成、調節、および／または、更新することができる。さらに、モデル５４が妥当性を確認された後、モデル５４は、データ損失事象が発生したリスクを提示する事象記録を検出するために使用され得る。
【０１１１】
図３は、データ損失防止モデルを開発するための方法７２の一実施形態の流れ図である。本方法７２で、処理デバイス（たとえば、プロセッサ（複数可）１８）は、コンピュータデバイス（たとえば、コンピュータデバイス１２または１４）で実行される動作に対応する事象記録を受信する（ブロック７４）。事象記録は、事象タイプおよび事象データを含む。ある種の実施形態で、１つまたは複数の処理デバイスは、複数の事象記録を受信することができる。さらに、各々の事象記録は、事象タイプおよび事象データを含む。
【０１１２】
処理デバイスは、事象タイプを事象タイプに対応する事象番号に変換する（たとえば、数値的変換および正規化ブロック４６を使用して）（ブロック７６）。さらに、処理デバイスは、事象データを事象データの数値表現に変換する（たとえば、数値的変換および正規化ブロック４６を使用して）（ブロック７８）。ある種の実施形態で、処理デバイスは、事象データの数値表現を正規化することができる（たとえば、数値的変換および正規化ブロック４６を使用して）（ブロック８０）。処理デバイスは、事象タイプおよび事象データがデータ損失事象に対応するかどうかを判定することができる（ブロック８２）。たとえば、いくつかの実施形態で、事象記録を分析するオペレータ（たとえば、専門家）は、事象記録がデータ損失事象が発生したリスクを示しているかどうかを判定することができ、そのリスクの徴候を提供することができる。さらに、処理デバイスは、事象タイプおよび事象データがデータ損失事象に対応するかどうかの徴候を事象番号および数値表現に関連付ける（ブロック８４）。
【０１１３】
処理デバイスは、徴候、事象番号、および数値表現を使用して、データ損失防止モデルを決定する（ブロック８６）。ある種の実施形態で、データ損失防止モデルを決定するステップは、数値表現の閾値を決定するステップを含む。さらに、そのような実施形態で、数値表現が閾値よりも大きいとき、事象記録はデータ損失事象に対応する。対照的に、他の実施形態で、数値表現が閾値よりも小さいとき、事象記録はデータ損失事象に対応する。ブロック７６から８６の各々は、１つまたは複数の事象記録を使用して実行され得ることが、理解されよう。したがって、方法７２を使用することによって、データ損失防止モデルは、迅速におよび／または効率的に判定され得る。
【０１１４】
図４は、データ損失防止モデルを使用するための方法８８の一実施形態の流れ図である。本方法８８で、処理デバイス（たとえば、プロセッサ（複数可）１８）は、コンピュータデバイス（たとえば、コンピュータデバイス１２または１４）で実行される動作に対応する事象記録を受信する（ブロック９０）。事象記録は、事象タイプおよび事象データを含む。ある種の実施形態で、１つまたは複数の処理デバイスは、複数の事象記録を受信することができる。さらに、各々の事象記録は、事象タイプおよび事象データを含む。
【０１１５】
処理デバイスは、事象タイプを事象タイプに対応する事象番号に変換する（たとえば、数値的変換および正規化ブロック６２を使用して）（ブロック９２）。さらに、処理デバイスは、事象データを事象データの数値表現に変換する（たとえば、数値的変換および正規化ブロック６２を使用して）（ブロック９４）。ある種の実施形態で、処理デバイスは、事象データの数値表現を正規化することができる（たとえば、数値的変換および正規化ブロック６２を使用して）（ブロック９６）。処理デバイスは、データ損失防止モデル５４を事象番号に対応する数値表現に適用して結果を得て、そして、処理デバイスは、結果を閾値（たとえば、データ損失防止モデル５４の）と比較する（ブロック９８）。さらに、処理デバイスは、数値表現と閾値の比較に基づいて、データ損失事象が発生したかどうかのリスクを判定する（ブロック１００）。処理デバイスは、データ損失事象が発生したかどうかに対応する徴候を与える（ブロック１０２）。さらに、オペレータは、徴候を分析して、徴候が正確であるかどうかを判定する（ブロック１０４）。さらに、徴候が正確ではない場合、データ損失防止モデルは更新される（ブロック１０６）。
【０１１６】
データ損失防止モデルを生成および使用することによって、データ損失事象は、人間の対話はほとんどなしに、検出することができる。したがって、事象記録は、迅速に、効率的に、および／または低費用で検査することができ、それによって、データ損失事象が発生したことを示す事象記録を迅速に検出することが可能にする。したがって、会社は、データ持ち出しを減らすことおよび／またはデータ持ち出しに関与する従業員を識別することができ、それによって、会社のデータおよび／または知的財産を保護する。
【０１１７】
本発明のある種の特徴のみが本明細書では図示および説明されるが、多数の修正および変更が当業者には思い浮かぶことになろう。したがって、添付の特許請求の範囲は、本発明の真の趣旨内にあるすべてのそのような修正および変更を網羅するものであることを理解されたい。
【符号の説明】
【０１１８】
１０  システム
１２  コンピュータデバイス
１４  コンピュータデバイス
１６  ネットワーク
１８  プロセッサ
２０  メモリデバイス
２２  記憶装置
２４  ユーザインターフェース
３４  データモデリングフェーズ
３６  トレーニングおよび妥当性確認フェーズ
３８  検出フェーズ
４０  事象記録
４４  オペレータ
４６  数値的変換および正規化ブロック
４８  トレーニングデータ
５０  妥当性確認データ
５２  トレーニングブロック
５４  データ損失防止モデル
６０  事象記録
６２  数値変換および正規化ブロック
６６  結果ブロック
６８  オペレータ
【図１】
2015018557.tif 000042
【図２】
2015018557.tif 000043
【図３】
2015018557.tif 000044
【図４】
2015018557.tif 000045