(57)【要約】柔軟性があり、効果的で、使い易い、コンピュータセキュリティ管理システムは、多種多様のコンピューティングプラットフォーム上、また急速に変化するネットワーク環境において、効果的に情報のリスクを審査し、それに応答する。個々のコンピュータシステムは、ネットワークの接続性に関わらず、リスクスコアを計算し、エンドユーザの行動が企業情報またはその他の資産をリスクにさらしていないことを確実にするために、エンドユーザを動的に監視する。そのようなリスクおよび応答に関するデータは、リアルタイムで分析および保存される。
2008507757.tif 000002
【特許請求の範囲】
【請求項１】
エンドユーザが電子的に利用可能な情報に対してもたらすリスクを評価する方法であって、
該エンドユーザがアクセスできる電子的に利用可能な情報の各々の資産価値を見積もるステップと、
該エンドユーザのコンピュータシステムとの相互作用を監視するステップであって、該エンドユーザは、該コンピュータシステムを介することにより、該電子的に利用可能な情報にアクセスする、ステップと、
該資産価値および該エンドユーザの相互作用に基づいて、該エンドユーザに対するリスクスコアを決定するステップであって、該リスクスコアは、該エンドユーザが該電子的に利用可能な情報に対してもたらすリスクを示す、ステップと
を含む、方法。
【請求項２】
前記エンドユーザが前記電子的に利用可能な情報にもたらすリスクを確認するために、前記リスクスコアを使用するステップをさらに含む、請求項１に記載の方法。
【請求項３】
前記エンドユーザのリスクスコアが閾値を超える場合に、前記電子的に利用可能な情報へのアクセスを制限するステップをさらに含む、請求項２に記載の方法。
【請求項４】
前記エンドユーザに自身のリスクスコアを報告するステップをさらに含む、請求項１に記載の方法。
【請求項５】
前記エンドユーザが、前記コンピュータシステムとの自身の相互作用を変更することによって、自身のリスクスコアを改変することを可能にするステップをさらに含む、請求項４に記載の方法。
【請求項６】
前記エンドユーザのリスクスコアを下げることに対し、該エンドユーザに報酬を提供するステップをさらに含む、請求項５に記載の方法。
【請求項７】
前記エンドユーザは、前記コンピュータシステムと遠隔的に相互作用する、請求項１に記載の方法。
【請求項８】
例外的な事象の発生に応じて、前記リスクスコアを調整するステップをさらに含む、請求項１に記載の方法。
【請求項９】
エンドユーザのリスク管理システムであって、
コンピュータシステムと、
二つ以上のデータ要素を記録するように構成された、該コンピュータシステムと通信するデータベースであって、該データ要素の各々は、該コンピュータシステムとのエンドユーザの相互作用に関する情報を含む、データベースと、
該データ要素のうちの第一の要素と該データ要素のうちの第二の要素との比較に基づいて該エンドユーザに対するリスクスコアを決定するために、該コンピュータシステムで実行し、該比較を行なうように構成された、第一のセキュリティエージェントと
を備え、該リスクスコアは、該エンドユーザが該コンピュータシステムを介してアクセスできる電子的に利用可能な情報に対してもたらすリスクを示す、システム。
【請求項１０】
各データ要素は、前記コンピュータシステムまたは該コンピュータシステム上で実行するアプリケーションとの前記エンドユーザの相互作用を記述する一時的情報を含む、請求項９に記載のシステム。
【請求項１１】
前記一時的情報は、
前記エンドユーザに対してダイアログボックスに表示される情報、
オペレーティングシステムによって習慣的にログされない情報、
アプリケーションによって習慣的にログされない情報、
該エンドユーザの電子メールアクティビティに関する情報、
該エンドユーザのファイル転送アクティビティに関する情報、または、
信頼できないもしくは外部のウェブサイトまたはコンピュータシステムサーバーとの、該エンドユーザの相互作用に関する情報、
のうちの一つ以上を含む、請求項１０に記載のシステム。
【請求項１２】
前記リスクスコアは、機密情報にアクセスするための前記エンドユーザの能力に基づいて決定される、請求項９に記載のシステム。
【請求項１３】
前記リスクスコアは、前記エンドユーザの一時的情報を評価することによって決定される、請求項１２に記載のシステム。
【請求項１４】
前記リスクスコアが既定の閾値を超える場合に、前記コンピュータシステムが、該コンピュータシステムへの前記エンドユーザのアクセスを制限する、請求項１３に記載のシステム。
【請求項１５】
前記コンピュータシステムの制限は、
前記エンドユーザが、機密情報を別のコンピュータシステムに伝送することを防ぐこと、
該エンドユーザが、信頼できないもしくは外部のウェブサイトまたはコンピュータサーバーにアクセスすることを防ぐこと、
該エンドユーザが、機密情報にアクセスすることを防ぐこと、
該エンドユーザに、潜在的セキュリティリスクについて警告すること、
該エンドユーザが続行したいことの確認を、該エンドユーザから要求すること、または、
該エンドユーザからの全てのコマンドまたは命令を実行することを拒否すること
のうちの一つ以上を備える、請求項１４に記載のシステム。
【請求項１６】
第二のセキュリティエージェントはリモートホスト上で実行する、請求項９に記載のシステム。
【請求項１７】
前記リスクスコアは、一つ以上の例外的な事象の発生に応じて調整される、請求項９に記載のシステム。
【請求項１８】
前記第一のセキュリティエージェントは、前記第二のセキュリティエージェントに前記エンドユーザのリスクスコアを通知する、請求項１６に記載のシステム。
【請求項１９】
前記第二のセキュリティエージェントは、前記第一のセキュリティエージェントへの応答を生成し送信する、請求項１８に記載のシステム。
【請求項２０】
前記応答は、前記コンピュータシステムへの前記エンドユーザのアクセスを制限することに関連する前記第一のセキュリティエージェントへの命令を含む、請求項１９に記載のシステム。
【請求項２１】
前記第一のセキュリティエージェントは、前記エンドユーザのリスクスコアを管理者に通知する、請求項９に記載のシステム。
【請求項２２】
前記第一のセキュリティエージェントは、リモートホスト上で実行するサーバーに、前記エンドユーザのリスクスコアを通知する、請求項９に記載のシステム。
【請求項２３】
前記エンドユーザのリスクスコアが特定のレベルを超える場合、前記サーバーは管理者に通知する、請求項２２に記載のシステム。
【請求項２４】
前記エンドユーザのリスクスコアが特定のレベルを超える場合、前記サーバーは、前記第一のセキュリティエージェントに、前記コンピュータシステムへの該エンドユーザのアクセスを制限するように命令する、請求項２２に記載のシステム。
【請求項２５】
前記リスクスコアは、
前記エンドユーザがアクセスできる各ドキュメントに含まれる情報の機密度を測るデータリスク、
該エンドユーザのコンピュータシステムで実行するプログラムの脆弱性、利用状況、アクセス、および安定性を測るアプリケーションリスク、
該エンドユーザが、該コンピュータシステムとの自身の相互作用を隠蔽することが可能な程度を測る隠蔽リスク、
該エンドユーザによって用いられるパスワードの安全性を測るパスワードリスク、
該エンドユーザがどのように企業および外部の電子メールシステムを利用しているかを測る電子メールリスク、
各企業資産の脆弱性を測る資産リスク、
該エンドユーザがどのようにインターネットにアクセスするかを測るインターネットリスク、または、
該エンドユーザがどのように携帯情報端末を利用しているかを測るＰＤＡリスク
のうちの一つ以上に基づく、請求項９に記載のシステム。
【請求項２６】
前記エンドユーザは自身のリスクスコアを報告される、請求項９に記載のシステム。
【請求項２７】
前記エンドユーザは、自身のリスクスコアを変更するために自身の行動を変更することができる、請求項２６に記載のシステム。
【請求項２８】
前記エンドユーザは、自身のリスクスコアを下げることに対する報酬を受ける、請求項２７に記載のシステム。
【請求項２９】
前記エンドユーザは、前記コンピュータシステムと遠隔的に相互作用する、請求項９に記載のシステム。
【請求項３０】
エンドユーザのリスク管理方法であって、
二つ以上のデータ要素をデータベースに記録するステップであって、前記データ要素の各々は、コンピュータシステムとのエンドユーザの相互作用に関する情報を含む、ステップと、
該データ要素のうちの第一の要素と該データ要素のうちの第二の要素との比較に基づいて該エンドユーザに対するリスクスコアを決定するために、第一のセキュリティエージェントを実行することによって該比較を行なうステップであって、該リスクスコアは、該エンドユーザが該コンピュータシステムを介してアクセスできる電子的に利用可能な情報に対してもたらすリスクを示す、ステップと
を含む、方法。
【請求項３１】
各データ要素は、前記コンピュータシステムまたは該コンピュータシステム上で実行するアプリケーションとの前記エンドユーザの相互作用を記述する一時的情報を含む、請求項３０に記載の方法。
【請求項３２】
前記一時的情報は、
前記エンドユーザに対してダイアログボックスに表示される情報、
オペレーティングシステムによって習慣的にログされない情報、
アプリケーションによって習慣的にログされない情報、
該エンドユーザの電子メールアクティビティに関する情報、
該エンドユーザのファイル転送アクティビティに関する情報、または、
信頼できないもしくは外部のウェブサイトまたはコンピュータサーバーとの、該エンドユーザの相互作用に関する情報
のうちの一つ以上を含む、請求項３１に記載の方法。
【請求項３３】
機密情報にアクセスするための前記エンドユーザの能力に基づいて、前記リスクスコアを決定するステップをさらに含む、請求項３０に記載の方法。
【請求項３４】
前記エンドユーザの一時的情報を評価することによって、前記リスクスコアを決定するステップをさらに含む、請求項３３に記載の方法。
【請求項３５】
前記リスクスコアが既定の閾値を超える場合に、前記コンピュータシステムへの前記エンドユーザのアクセスを制限するステップをさらに含む、請求項３４に記載の方法。
【請求項３６】
前記コンピュータシステムへの前記エンドユーザのアクセスを制限するステップは、
該エンドユーザが、機密情報を別のコンピュータシステムに伝送することを防ぐステップ、
該エンドユーザが、信頼できないもしくは外部のウェブサイトまたはコンピュータサーバーにアクセスすることを防ぐステップ、
該エンドユーザが、機密情報にアクセスすることを防ぐステップ、
該エンドユーザに、潜在的セキュリティリスクについて警告するステップ、
該エンドユーザが続行したいことの確認を、該エンドユーザから要求するステップ、または、
該エンドユーザからの全てのコマンドまたは命令を実行することを拒否するステップ
のうちの一つ以上を含む、請求項３５に記載の方法。
【請求項３７】
前記コンピュータシステムと通信するために、リモートホスト上で実行する第二のセキュリティエージェントを使用するステップをさらに含む、請求項３０に記載の方法。
【請求項３８】
前記第一のセキュリティエージェントが、前記第二のセキュリティエージェントに前記エンドユーザのリスクスコアを通知するステップをさらに含む、請求項３９に記載の方法。
【請求項３９】
前記第二のセキュリティエージェントが、前記第一のセキュリティエージェントに応答を生成し送信するステップをさらに含む、請求項３８に記載の方法、
【請求項４０】
前記応答は、前記コンピュータシステムへの前記エンドユーザのアクセスを制限することに関連する前記第一のセキュリティエージェントへの命令を含む、請求項３９に記載の方法。
【請求項４１】
前記第一のセキュリティエージェントが、前記エンドユーザのリスクスコアを管理者に通知するステップをさらに含む、請求項３０に記載の方法。
【請求項４２】
前記第一のセキュリティエージェントが、リモートホスト上で実行するサーバーに、前記エンドユーザのリスクスコアを通知するステップをさらに含む、請求項３０に記載の方法。
【請求項４３】
前記エンドユーザのリスクスコアが特定のレベルを超える場合、前記サーバーは管理者に通知する、請求項３８に記載の方法。
【請求項４４】
前記エンドユーザのリスクスコアが特定のレベルを超える場合、前記サーバーは、前記第一のセキュリティエージェントに、前記コンピュータシステムへの該エンドユーザのアクセスを制限するように命令する、請求項３８に記載の方法。
【請求項４５】
前記リスクスコアは、
前記エンドユーザがアクセスできる各ドキュメントに含まれる情報の機密度を測るデータリスク、
該エンドユーザのコンピュータシステムで実行するプログラムの脆弱性、利用状況、アクセス、および安定性を測るアプリケーションリスク、
該エンドユーザが、該コンピュータシステムとの自身の相互作用を隠蔽することが可能な程度を測る隠蔽リスク、
該エンドユーザによって用いられるパスワードの安全性を測るパスワードリスク、
該エンドユーザがどのように企業および外部の電子メール方法を利用しているかを測る電子メールリスク、
各企業資産の脆弱性を測る資産リスク、
該エンドユーザがどのようにインターネットにアクセスするかを測るインターネットリスク、または
該エンドユーザがどのように携帯情報端末を利用しているかを測るＰＤＡリスク
のうちの一つ以上に基づく、請求項３０に記載の方法。
【請求項４６】
前記エンドユーザに、自身のリスクスコアを報告するステップをさらに含む、請求項３０に記載の方法。
【請求項４７】
前記エンドユーザが自身の行動を改変することによって、自身のリスクスコアを変更することを可能にするステップをさらに含む、請求項４６に記載の方法。
【請求項４８】
前記エンドユーザが自身のリスクスコアを下げる場合に、該エンドユーザに報酬を提供するステップをさらに含む、請求項４７に記載の方法。
【請求項４９】
エンドユーザが電子的に利用可能な情報に対してもたらすリスクを評価する方法であって、
（ａ）該エンドユーザがアクセスできる電子的に利用可能な情報の各々の資産価値を見積もるステップと、
（ｂ）該エンドユーザのコンピュータシステムとの相互作用を監視するステップであって、該エンドユーザは、該コンピュータシステムを介することにより、該電子的に利用可能な情報にアクセスする、ステップと、
（ｃ）該資産価値および該エンドユーザの相互作用に基づいて、該エンドユーザに対するリスクスコアをリアルタイムで決定するステップであって、該リスクスコアは、該エンドユーザが該電子的に利用可能な情報に対してもたらすリスクを示す、ステップと、
（ｄ）該リスクスコアを該エンドユーザに表示するステップと、
（ｅ）該エンドユーザが該コンピュータシステムとの相互作用を続ける間に、ステップ（ａ）に戻るステップと
を含む、方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、コンピュータのセキュリティに関し、特に、さまざまなコンピュータシステム上の機密情報のセキュリティ強化を容易にすることに関する。
【背景技術】
【０００２】
企業が成長するにしたがい、企業のコンピュータの必要性が増大し、その必要性に対応するコンピュータインフラストラクチャがサイズおよび複雑性の点で増強された。単一の組織内にでさえ、数千または数万のコンピュータが相互に接続され得る。多数のコンピュータユーザー、つまりエンドユーザが、各コンピュータにアクセスし得る。いずれの任意の時間にも、各コンピュータは、企業イントラネット、インターネット、別の通信ネットワークと接続する、または接続を切断することができる。さらに、各エンドユーザは、さまざまなネットワークコンピュータを介して、機密で、重要で、有益な企業情報にアクセスし得る。情報技術管理者は、多くの場合、この情報を権限非保持者に開示することを防ぎ、また同時に、権限保持者がその情報をユビキタスにアクセスできるようにする責任を負う。数人のエンドユーザに対しこれらの困難かつ相反することの多い目的を達成するのは難しいが、エンドユーザの数が増えるにつれ問題は急激に増える。
【０００３】
一般的な企業環境において、いくつかのホストコンピュータシステムは、個々のワークステーションおよびその他のネットワークリソースが接続されるイントラネット上で内部的に相互接続される。ローカルエリアネットワーク（ＬＡＮ）としても既知であるこれらのイントラネットは、レガシーデータベースおよび情報リソースを、組織全体を通して幅広くアクセスおよび利用できるようにする。これらの同一の企業リソースは、インターネット上に位置する遠隔コンピュータリソースに直接または広域ネットワーク（ＷＡＮ）を介して接続されることができる。インターネットを経由して、外部のエンドユーザは、制限されたトランサクションまたはデータ転送を達成する目的で、企業ホームページなどの企業リソースを選択する制限的なアクセスを与えられることができる。
【０００４】
ほとんどのネットワークは、Ｗ．Ｒ．Ｓｔｅｖｅｎｓ、「ＴＣＰ／ＩＰ  Ｉｌｌｕｓｔｒａｔｅｄ」Ｖｏｌ．１、Ｃｈ．１、Ａｄｄｉｓｏｎ―Ｗｅｓｌｅｙ（１９９４）において説明されるような、伝送制御プロトコル／インターネットプロトコル（ＴＣＰ／ＩＰ）のセットに基づいている。ＴＣＰ／ＩＰセットを用いるコンピュータシステムおよびネットワークデバイスは、階層的に構成されたプロトコルレイヤーのセットを備えるネットワークプロトコルスタックを実装する。加えて、その他のネットワーキングプロトコルおよびさまざまなネットワーク媒体がグローバルに実装され、多様で活力のあるバーチャルユニバースを生成する。
【０００５】
分散コンピューティング環境、特に、インターネットに接続される環境の増加は、コンピュータセキュリティ、特に、オペレーティングシステム、アプリケーションソフトウェアおよび格納データの保護の必要性を増大させた。一般的に、さまざまなセキュリティアプリケーションおよび技術が、効果的なセキュリティを確実にするために用いられる。例えば、ファイアウォールおよび侵入検知システムは、不審なネットワーク侵入者、いわゆるネットワーキング界の「ハッカー」に対抗するために必要である。同様に、アンチウイルススキャニングアプリケーションは、コンピュータウィルス、トロイの木馬、およびその他の形式の不正コンテンツを検知および根絶するために、定期的に実行され、また同じく重要なことであるが、更新されなければならない。ファイアウォール、侵入検知システム、アンチウイルスアプリケーションなどは共に、強固な一連のリアクティブセキュリティアプリケーションを生成する。
【０００６】
これらのリアクティブセキュリティアプリケーションに加え、ダイナミックセキュリティアプリケーションが外部の攻撃に対抗するためにますます用いられている。例えば、脆弱性スキャナは、社内ネットワーク内で、潜在的なセキュリティ上のリスクおよび懸念を探査および特定する。同様に、「ハニーポット」またはおとりホストシステムは、不審なハッカーを探知、追跡、および特定することが可能な、引き込まれ易く比較的無防備なバーチャルホストのネットワークの錯覚を生成する。
【０００７】
ダイナミックおよびリアクティブセキュリティアプリケーションが、防衛および攻撃のセキュリティツールからなる強力な兵器庫を形成する一方で、特に遠隔クライアントシステム上のセキュリティアプリケーションをインストール、設定、および保守することは、複雑でありかつ多大な時間を必要とする場合がある。一般的なセキュリティ管理アプリケーションは、通常、インストールされたハードウェア、オペレーティングシステムの種類およびパッチレベル、ならびにアプリケーションのセットおよびバージョンレベルが各クライアントシステムによって違うために役に立たない。結果的に、各クライアントシステムは、いずれの変化がもたらされる前に個別に評価されなければならず、それは既に面倒なプロセスにさらに時間をかけるタスクである。
【０００８】
セキュリティアプリケーションの使用に加え、組織は多くの場合、備えられているセキュリティアプリケーションの効果を最大限にするために、セキュリティポリシーを実装する。セキュリティポリシーには、個々のクライアントパスワードが毎月変更されること、またはそのパスワードが既定のセキュリティガイドラインに準じて設定されることを要求するものもある。またその他、機密文書がパスワードで保護または暗号化されることを義務付けるセキュリティポリシーもある。保護された情報へのアクセスも、極めて信頼できる個人だけが含まれるように制限されることもある。
【０００９】
一定のサイト内でさえ、セキュリティポリシーは、プラットフォームおよび組織的必要性に応じて大幅に変化し、異なる設定を必要とし得る。一定のセキュリティポリシーは、限られた情報のアクセスという点に関して従業員に多大な不便を引き起こし、また同時に経営幹部の上層部の極めて機密な情報を比較的無防備にさらす場合がある。さらに、一般的なセキュリティポリシーは、一端設定されると、自動自己設定のいかなる機構も提供されない。本質的にセキュリティポリシーは、「ワンサイズで全てを適合する」方法をとる。
【００１０】
多くの場合、ネットワークサイトを適切に設定および保守するために必要とされる時間は、各インストールされたプラットフォームと共に急激に増加する。ネットワークが拡大するにつれて、機密情報を追跡および保護、外部脆弱性を制限、およびユニバーサル情報のアクセスを権限保持者に提供する問題が、最も高度な情報技術部にでさえ急速に負担をかけ得る。
【００１１】
最後に、ネットワークを活用するネットワークユニバースおよびアプリケーションの使用が増加したため、セキュリティを確保する各エンドユーザの責任も増加した。ネットワークの利用が増加するにつれて、アプリケーションはさらに複雑になり、経験豊かなエンドユーザにさえ負担をかける場合がある。これらのエンドユーザは、自分達がそうしていることに気付かずに、不注意でネットワークおよび企業の知的財産をセキュリティ上のリスクにさらす可能性がある。また、コンピュータシステムの複雑性が増大すると、悪意のあるエンドユーザは、その行動をより簡単に隠蔽することができる。
【発明の開示】
【課題を解決するための手段】
【００１２】
（発明の概要）
したがって、多種多様のコンピューティングプラットフォーム上、また急速に変化するネットワーク環境において、効果的に情報のリスクを評価しそれに対応することができる、柔軟で効果的、かつ使い易い、リアルタイムのセキュリティ管理システムに対する必要性がある。また、個々のコンピュータシステムが、ネットワークに接続されているか否かに関わらず、エンドユーザの行動が企業情報またはその他の資産をリスクにさらしていないことを確実にするために、エンドユーザを動的に監視することが可能なソリューションが必要とされる。そのようなリスクに関するデータを分析および保存し、リアルタイムで応答する能力がさらに必要とされる。
【００１３】
本発明は概して、特にそれぞれのコンピュータシステムおよびアプリケーションとのエンドユーザの相互作用を監視および管理し、これらの相互作用に応じて各エンドユーザのための適切なリスクスコアおよび応答を決定することによって、これらの必要性に対応しこれを満足させる。
【００１４】
本発明の一側面にしたがい、エンドユーザが電子的に利用可能な情報に対してもたらすリスクを評価するための方法が提供される。前記方法のステップは、前記エンドユーザがアクセスできる電子的に利用可能な情報の各々の資産価値を見積もるステップと、前記エンドユーザが前記電子的に利用可能な情報にアクセスするコンピュータとの前記エンドユーザの相互作用を監視するステップと、前記資産価値および前記監視される相互作用に基づいて、前記エンドユーザに対するリスクスコアを決定するステップであって、前記リスクスコアは、前記エンドユーザが前記電子的に利用可能な情報に対してもたらすリスクを示す、ステップとを含む。前記リスクスコアは、エンドユーザが前記電子的に利用可能な情報に対してもたらすリスクを確認するため、および、前記エンドユーザのリスクスコアが既定の閾値を超える場合に、前記電子的に利用可能な情報へのアクセスを制限するために、使用され得る。
【００１５】
本発明の別の側面にしたがい、エンドユーザのリスク管理システムが提供される。前記システムは、コンピュータシステムと、二つ以上のデータ要素を記録するように構成されたデータベースであって、前記データ要素の各々は、前記コンピュータとのエンドユーザの相互作用に関する情報を含む、データベースを備える。前記システムは、前記コンピュータで実行するセキュリティエージェントであって、前記エージェントは、第一のデータ要素と第二のデータ要素との比較に基づいて、前記エンドユーザに対するリスクスコアを決定するために、前記比較を行なうように構成される、セキュリティエージェントをさらに備える。各データ要素は、前記コンピュータまたは前記コンピュータシステムで実行するアプリケーションとの前記エンドユーザの相互作用を記述する一時的情報を含むことができる。このシステムにおいて、前記リスクスコアは、前記エンドユーザが、前記エンドユーザによってアクセスできる電子的に利用可能な情報に対してもたらすリスクを示す。
【００１６】
本発明のさらに別の側面にしたがい、エンドユーザのリスク管理の方法が提供される。前記方法のステップは、二つ以上のデータ要素をコンピュータデータベースに記録するステップであって、前記データ要素の各々は、前記コンピュータとのエンドユーザの相互作用に関する情報を含む、ステップを含む。したがって、第一のセキュリティエージェントは、第一のデータ要素および第二のデータ要素との比較に基づいて、前記エンドユーザに対するリスクスコアを決定するために、前記比較を行なう。前記リスクスコアは、前記エンドユーザによってアクセスできる電子的に利用可能な情報に対してもたらすリスクを示す。各データ要素は、前記コンピュータまたは前記コンピュータで実行するアプリリケーションとの前記エンドユーザの相互作用を記述する一時的情報を含み得る。
【００１７】
本発明のさらに別の側面にしたがい、エンドユーザが電子的に利用可能な情報に対してもたらすリスクを評価する方法が提供される。前記方法は、（ａ）前記エンドユーザがアクセスできる電子的に利用可能な情報の各々の資産価値を見積もるステップと、（ｂ）前記エンドユーザが前記電子的に利用可能な情報にアクセスするコンピュータシステムとの前記エンドユーザの相互作用を監視するステップと、（ｃ）前記資産価値および前記エンドユーザの相互作用に基づいて、前記エンドユーザに対するリスクスコアをリアルタイムで決定するステップであって、前記リスクスコアは、前記エンドユーザが前記電子的に利用可能な情報に対してもたらすリスクを示す、ステップと、（ｄ）前記リスクスコアを前記エンドユーザに表示するステップと、（ｅ）前記エンドユーザが前記コンピュータシステムとの相互作用を続ける間に、ステップ（ａ）に戻るステップとを含む。
【発明を実施するための最良の形態】
【００１８】
それぞれのコンピュータとのエンドユーザの相互作用を監視および管理するため、およびこれらの相互作用に応じて各エンドユーザのための適切なリスクスコアおよび応答を決定するための方法およびシステムは、ここで、本発明の特定の実施形態に関して説明される。本明細書で説明される方法およびシステムは、単に典型的なものであり、本発明の精神および範囲から逸脱することなく改変がなされ得る。本発明は、添付の図面を併用して読まれるべきである以下の詳細な説明によって、さらに十分に理解される。
【００１９】
典型的な企業のコンピュータ環境において、多くのエンドユーザは、さまざまなネットワーク化されたコンピュータシステムを介して、機密の企業情報にアクセスすることができる。これらのコンピュータシステムは、ネットワークに接続されている場合またはそうでない場合にエンドユーザによって使用される、ラップトップコンピュータ、デスクトップコンピュータ、携帯情報端末、およびその他のそのような装置を含み得る。多くの場合、エンドユーザは、仕事を実行するために日常的にコンピュータシステムを使用する。例えば、営業担当者は、多くの場合、企業の顧客についての情報を含むクライアントのデータベースを共有する。同様に、ソフトウェア開発者は、多くの場合、さまざまなファイルやライブラリにアクセスする多数の開発者と共有されるコードにアクセスする。重役は、多くの場合、最も機密性が高い極秘の企業情報に関与しており、その情報の開示は企業にとって大きな影響をもつ場合がある。このように、いずれの一定の組織におけるさまざまなエンドユーザは、さまざまなレベルの機密度の情報またはデータにアクセスすることができる。
【００２０】
エンドユーザが、機密情報にアクセスするためにコンピュータシステムを用いる場合、エンドユーザは、機密性およびプライバシーが保護されるべきその情報に対して、そしてそれにより、企業および顧客にリスクを提示する。これらのリスクは、機密情報が不正な当事者に開示され、破損され、紛失され、または、破壊され得る可能性を含む。リスクは、故意または故意ではないものを含み、また悪意によりもたらされたものであったり不注意による結果であったりする。多くの場合、従業員は、従業員のコンピュータシステムとの相互作用によって、または、相互作用を介することによって、情報をリスクにさらすことを知りさえしない可能性がある。さらに、自身の行動が情報のセキュリティ全体に作用する影響を従業員が認識できるような、組織でのフィードバックは、通常ほとんど存在しない。最後に、そのフィードバックは本質的に、各エンドユーザにリアルタイムで配信されるものでは決してない。
【００２１】
本発明は、各エンドユーザのコンピュータシステムとの自身の相互作用、および各エンドユーザがアクセスできる情報に基づき、各エンドユーザに対する個別的なリスクスコアを計算する方法を提供することによって、これらの問題とさらなる問題とに対処する。エンドユーザの行動を監視することによって、本発明にしたがうシステムは、リアルタイムでリスクスコアを更新することができる。リスクスコアが更新されると、システムは、エンドユーザが不注意または不正なリスクを冒すことを阻止することができる。加えて、システムは、フィードバックをエンドユーザに提供し、エンドユーザが自身のリスクスコアまたはその変数をリアルタイムで確かめることを可能にする。いくつかの実施形態において、システムは、企業の機密情報に対する全リスクを減少させる目的で、エンドユーザの行動を改善するために、エンドユーザを報奨で奨励しさえもする。このようなシステムの詳細は、以下に記述される。
【００２２】
（Ａ．ネットワークトポロジー）
図１は、本発明の一実施形態にしたがう、典型的な企業コンピュータ環境１００を示す。企業コンピュータ環境１００は、一般的に、一つ以上のネットワークを介して相互接続される複数のコンピュータシステムを備える。図１には一つのみの実施形態が示されるが、企業コンピュータ環境１００は、さまざまな方法で相互接続され、さまざまなソフトウェアプリケーションを起動するさまざまな異種のコンピュータシステムおよびネットワークを備え得る。
【００２３】
一つ以上のローカルエリアネットワーク、つまりＬＡＮ１０４は、企業コンピュータ環境１００に含まれ得る。ＬＡＮ１０４は、通常、比較的短距離間を範囲とするネットワークである。一般的に、ＬＡＮ１０４は、単一のビルまたはビルのグループの範囲内にある。ＬＡＮ１０４に接続される個々のコンピュータシステムまたは装置は、好ましくは、プログラムを実行するそれ自身の中央演算処理装置、つまりプロセッサを有し、各コンピュータシステムは、ＬＡＮ１０４上のどこにあるデータおよび装置にもアクセスできる。したがって、ＬＡＮ１０４は、多数のユーザーが、プリンタまたはその他の装置ならびに一つ以上のファイルサーバー１２４に保存されるデータを共有することを可能にする。ＬＡＮ１０４は、さまざまなネットワークトポロジー（すなわち、ネットワーク上の装置の幾何学的配置）、プロトコル（すなわち、データの送信のためのルールおよびコード化規格、およびネットワークがピアツーピアまたはクライアント／サーバーアーキテクチャを使用するか否か）、およびメディア（例えば、ツイストペアワイア、同軸ケーブル、光ファイバーケーブル、電波）のうちのいずれによっても特徴付けられ得る。図１に示されるように、企業コンピュータ環境１００は、一つのＬＡＮ１０４を含む。しかしながら、代替の実施形態において、企業コンピュータ環境１００は、広域ネットワーク、つまりＷＡＮ１０２を介して相互に接続される複数のＬＡＮ１０４を備え得る。ＷＡＮ１０２は、通常、比較的広い地理的地域を範囲にするネットワークであり、非常に遠く離れた個々のコンピュータまたはＬＡＮ全体を接続し得る。
【００２４】
各ＬＡＮ１０４は、例えば、一つ以上のワークステーション１１０ａ、一つ以上のパーソナルコンピュータ１１２ａ、一つ以上のラップトップまたはノート型コンピュータシステム１１４、一つ以上のサーバーコンピュータシステム（サーバー）１１６、および一つ以上の小型の携帯機器（例えば、ＰＤＡまたは携帯電話）を含む、複数の相互接続されたコンピュータシステムおよびその他のそのような装置を備える。図１に示されるように、ＬＡＮ１０４は、コンピュータシステム１１０ａ、１１２ａ、１１４、および１１６の各々のうちの一つ、ならびに一つのプリンタ１１８を備える。ＬＡＮ１０４は、ＷＡＮ１０２を介してその他のコンピュータシステム、装置、またはＬＡＮに接続され得る。
【００２５】
上述のように、一つ以上のワークステーション１１０ａは、ＬＡＮ１０４を介するか否かに関わらず、企業コンピュータ環境１００の一部であり得る。各ワークステーション１１０ａは、好ましくは、不揮発性メモリソース（図２に示されるハードドライブ２２０など）に保存されるかネットワークを介して前記ワークステーション１１０ａにアクセス可能であるコンピュータプログラムを備える。各ワークステーション１１０ａは、一般的に、関連する記憶媒体を搭載するＩｎｔｅｌ  ＣｏｒｐｏｒａｔｉｏｎのＰｅｎｔｉｕｍ４（登録商標）プロセッサなどのＣＰＵを備える。メモリ媒体は、コンピュータプログラムのプログラム命令を保存し、プログラム命令は、ＣＰＵによって実行可能である。メモリ媒体は、好ましくは、ＲＡＭ２０４などのシステムメモリ、ハードディスク２２０などの不揮発性メモリを備える。好適な実施形態において、各ワークステーション１１０ａは、ディスプレイ２０８、キーボード２１４、およびマウス２１８をさらに備える。ワークステーション１１０ａは、コンピュータプログラムを実行するように機能する。
【００２６】
一つ以上のメインフレームコンピュータシステム１２０は、企業コンピュータ環境１００の一部であり得る。図１に示されるように、メインフレーム１２０は、ＷＡＮ１０２を介して企業コンピュータ環境１００に接続されるが、代替的に、一つ以上のメインフレーム１２０は、一つ以上のＬＡＮ１０４を介して接続され得る。図示されるように、メインフレーム１２０は、記憶装置またはファイルサーバー１２４、およびメインフレーム端末１２２ａ、１２２ｂ、および１２２ｃに接続され得る。メインフレーム端末１２２ａ、１２２ｂ、および１２２ｃは、メインフレームコンピュータシステム１２０に接続される、またはそれに備えられる記憶装置またはファイルサーバー１２４に保存されるデータにアクセスする。
【００２７】
企業コンピュータ環境１００は、例えば、ワークステーション１１０ｂおよびパーソナルコンピュータ１１２ｂを含むＷＡＮ１０２を介して接続される一つ以上のコンピュータシステムを有し得る。すなわち、企業コンピュータ環境１００は、ＬＡＮ１０４を介して企業コンピュータ環境１００に接続されていない一つ以上のコンピュータシステムを選択的に含み得る。
【００２８】
（Ｂ．システムアーキテクチャ）
（１．ハードウェア）
好適な実施形態において、さまざまなコンピュータシステムは、ＬＡＮ、ＷＡＮ、またはその他のネットワークを介して定期的または継続的に相互に通信することができる。さまざまな実施形態において、これらのコンピュータシステムは、パーソナルコンピュータ１１２ａ、ラップトップ１１４、サーバー１１６、メインフレーム１２０、携帯情報端末（ＰＤＡ）、携帯電話、ワークステーション１１０ａ、または同様のものを備え得る。しかしながら、当業者は、本明細書で説明される原理が、これらおよびさまざまなその他の種類のコンピュータシステムにも同様に当てはまることを認識し得る。
【００２９】
図２を参照すると、典型的なコンピュータシステム２００は、プロセッサ２０２、プログラムおよびデータを保存するための主記憶装置２０４、入力／出力（Ｉ／Ｏ）制御装置２０６、ディスプレイ装置２０８、およびこれらのユニット間の通信を可能にするためにこれらの構成要素を接続するデータバス２１０を含む。メモリ２０４は、ランダムアクセスメモリ（ＲＡＭ）および読み出し専用メモリ（ＲＯＭ）を含み得る。コンピュータシステム２００は、一般的に、キーボード２１４（例えば、英数字キーボードおよび／または音楽キーボード）、マウス２１８、および、いくつかの実施形態において、ジョイスティック２１６などの一つ以上の入力装置２１２をも備える。加えて、コンピュータシステム２００は、通常、例えば、Ｅｔｈｅｒｎｅｔ（登録商標）またはＷｉＦｉの通信ハードウェアを含むネットワークインターフェース２１９を介することにより、その他のコンピュータおよび装置と通信できる。
【００３０】
コンピュータシステム２００は、一般的に、ハードディスクドライブ２２０および３．５インチディスクなどのフロッピー（登録商標）ディスクを受けるためのフロッピー（登録商標）ディスクドライブ２２２を有する。その他の装置２２４もまた、出力装置（例えば、プリンタ）および／またはＣＤ-ＲＯＭ、ＤＶＤ、またはその他の媒体上のデジタルデータを受信および読み込む光ディスクドライブなど、コンピュータシステム２００の一部であり得る。好適な実施形態において、一つ以上のコンピュータのアプリケーションまたはプログラムは、コンピュータシステム２００の動作能力を定める。これらのプログラムは、ハードドライブ２２０にロードされ得、および／または、フロッピー（登録商標）ドライブ２２２を介してコンピュータシステム２００のメモリ２０４にロードされ得る。アプリケーションは、ディスプレイ装置２０８に表示される関連するアイコンを、マウス２１８を使用して、またはさまざまな他の手段を介してダブルクリックすることによって実行され得る。
【００３１】
図３は、本発明のさまざまな実施形態に基づき、エンドユーザとコンピュータシステムとの関係を示す。図示されるように、エンドユーザ３０２は、企業情報にアクセスするために、自身のコンピュータシステム３０４と相互作用する。上述のように、コンピュータシステム３０４は、例えば、デスクトップコンピュータ、ラップトップコンピュータ、ワークステーション、ＰＤＡ、携帯電話、またはエンドユーザによる使用を目的とするその他のコンピュータ装置であり得る。セキュリティエージェントは、コンピュータシステム３０４で実行し、セキュリティエージェントデータベース３０６にアクセスする。説明されるように、セキュリティエージェントはエンドユーザ３０２、コンピュータシステム３０４、および、コンピュータシステム３０４上で起動するアプリケーションの間での相互作用を監視し、好ましくは、エンドユーザ３０２に対するリスクスコアを生成する。
【００３２】
また、第二のコンピュータシステム３１４と相互作用する第二のエンドユーザ３１２が示される。セキュリティエージェントソフトウェアは、そのシステムとの第二のエンドユーザの相互作用を監視する目的で、第二のコンピュータシステム３１４で実行される。前述のように、第二のコンピュータシステム３１４は、好ましくは、第二のエンドユーザ３１２に関する第二のリスクスコアを生成する。第二のコンピュータシステム３１４も、好ましくは、第二のセキュリティエージェントデータベース３１６に情報を保存し、そこにある情報にアクセスする。
【００３３】
二つのコンピュータシステム３０４、３１４の各々は、有線または無線ネットワークの使用によって、セントラルサーバー３０８と通信し得る。サーバー３０８と各コンピュータシステム３０４、３１４の間のそれぞれの通信チャンネルは、各コンピュータシステム３０４、３１４がサーバー３０８に接続されない場合に、テザー無し（ｔｅｔｈｅｒｌｅｓｓ）の動作が可能になり得るため、永続的である必要はない。
【００３４】
サーバー３０８はまた、自身のサーバーデータベース３１０を保持し、上記サーバーデータベースに、各エンドユーザ３０２、３１２および各コンピュータシステム３０４、３１４に関連する情報を保存することが好ましい。
【００３５】
（２．ソフトウェア）
図４は、本発明の典型的な実施形態にしたがう、コンピュータシステム３０４で実行するさまざまなソフトウェアの構成要素を示すブロック図である。図示されるように、コンピュータシステム３０４で実行するアプリケーションは、オペレーティングシステム４０２、セキュリティエージェント４０４、ウェブブラウザ４０６、電子メールアプリケーション４０８、ワードプロセッサ４１０、およびドキュメント管理システム４１２を含む。加えて、セキュリティエージェントデータベース３０６も、コンピュータシステム３０４によって保持およびアクセスされる。図４に示され、コンピュータシステム３０４に関連して説明されるソフトウェア構成要素は、第二のコンピュータシステム３１４および図１の企業コンピュータ環境１００におけるいかなるその他のエンドユーザの装置の上でも実行可能である。
【００３６】
オペレーティングシステム４０２は、キーボードからの入力を認識、ディスプレイ画面へ出力を送信、ハードドライブ上のファイルおよびディレクトリの追跡、およびスキャナやプリンタなどの周辺機器を制御するなどの、基本タスクの実行に関与する。オペレーティングシステム４０２は、セキュリティエージェント４０４、ウェブブラウザ４０６、電子メールアプリケーション４０８、ワードプロセッサ４１０、ドキュメント管理システム４１２、およびセキュリティエージェントのデータベース３０６を含むが、それだけに限定されないその他のプログラム実行の管理にも関与する。Ｍｉｃｒｏｓｏｆｔ  ＣｏｒｐｏｒａｔｉｏｎのＷｉｎｄｏｗｓ（登録商標）ＸＰは、許容可能なオペレーティングシステム４０２の一例である。オペレーティングシステム４０２は、システムセキュリティ、メモリ利用状況、物理的装置、現在実行中のプロセス、ネットワーク通信、ＣＰＵ利用状況、および同様のものに関する情報も保存する。
【００３７】
ウェブブラウザ４０６は、コンピュータシステム３０４上で、ウェブページまたはその他の情報を検索して表示するために一般的に使用されるソフトウェアアプリケーションである。ウェブブラウザ４０６は、一般的に、ユーザーのお気に入りのウェブページのリストを保持し、さまざまなウェブサイトおよびインターネットポータルとの通信を容易にする。加えて、ウェブブラウザ４０６は、アクセスと要求の間の時間、頻繁にアクセスされるウェブサイト、プライバシーおよびセキュリティ情報、および所定のウェブサイトについての記述的情報を含む、ウェブサイトのアクセスに関する情報を追跡することもできる。許容可能なウェブブラウザ４０６の一般的な例は、Ｎｅｔｓｃａｐｅ  Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ  ＣｏｒｐｏｒａｔｉｏｎのＮｅｔｓｃａｐｅ  ＮａｖｉｇａｔｏｒおよびＭｉｃｒｏｓｏｆｔ  ＣｏｒｐｏｒａｔｉｏｎのＩｎｔｅｒｎｅｔ  Ｅｘｐｌｏｒｅｒを含む。
【００３８】
いくつかの実施形態において、ウェブブラウザ４０６は、電子メールを送信および受信するためにさらに使用される。代替の実施形態において、電子メールは、Ｍｉｃｒｏｓｏｆｔ  Ｏｕｔｌｏｏｋなどのスタンドアロンの電子メールアプリケーション４０８を介して送信および受信される。
【００３９】
ワードプロセッサ４１０は、ドキュメントを作成、修正、表示、および印刷するために一般的に使用される、ソフトウェアアプリケーションである。ワードプロセッサ４１０は、ユーザーが、ローカル（例えば、コンピュータシステム３０４の内部のハードディスク）またはリモート（例えば、ファイルサーバー１２４）の保存位置から、前記ドキュメントを保存および受信することも可能にする。加えて、ワードプロセッサは、一般的に、最近アクセスされたドキュメント、ドキュメントのプロパティ（例えば、作成日、修正日、またはアクセス日）、ドキュメントのバージョン、および同様のものを追跡する。一般的なワードプロセッサ４１０は、Ｍｉｃｒｏｓｏｆｔ  ＣｏｒｐｏｒａｔｉｏｎのＭｉｃｒｏｓｏｆｔ（登録商標）のＷｏｒｄおよびＣｏｒｅｌ  ＣｏｒｐｏｒａｔｉｏｎのＷｏｒｄＰｅｒｆｅｃｔを含む。
【００４０】
好ましくは、ワードプロセッサ４１０は、ドキュメントを追跡、保存、確保、およびパスワード保護する目的で、ドキュメント管理システム４１２と相互作用する。ドキュメント管理システム４１２は、中央データベースまたはその他のレポジトリでドキュメントの保存を調整し得る。一般的なドキュメント管理システムは、ｉＭａｎａｇｅ、Ｉｎｃ．のｉＭａｎａｇｅ  ＤｅｓｋＳｉｔｅおよびＨｕｍｍｉｎｇｂｉｒｄ  Ｌｔｄ．のＤＯＣＳ  Ｏｐｅｎを含む。
【００４１】
好適な実施形態において、ウェブブラウザ４０６およびワードプロセッサ４１０などのソフトウェアアプリケーションがコンピュータシステム３０４で実行される場合、セキュリティエージェント４０４は、これらのアプリケーションならびにコンピュータシステム３０４のリソースおよび事象を監視、分析、および制御するように機能する。コンピュータシステム３０４のリソースおよび事象は、
・コンピュータシステム３０４で実行するプロセスおよびアプリケーション
・さまざまな物理的装置とのカーネル相互作用の状態
・エンドユーザの入力（例えば、テキスト入力、ダイアログボックスへの応答、アプリケーション利用状況）
・システムリソース（例えば、ＣＰＵ利用状況、メモリ利用状況、およびページファイル利用状況）
・アプリケーションの事象およびエラー（例えば、決定的例外およびダイアログボックス）
・共有ネットワークリソース（例えば、ネットワークアダプタ、リンクスピード、レイテンシ、およびネットワーク利用）
・共有ネットワークシステム（例えば、ファイルサーバー１２４およびプリンタ１１８）
・オペレーティングシステム４０２によって容易にされるその他の事象
を含むが、それだけに限定されない。
【００４２】
上述のように、コンピュータシステム３０４は、複数のソフトウェアアプリケーションまたはプロセスを実行または起動する。各ソフトウェアアプリケーションまたはプロセスは、コンピュータシステム３０４および／またはネットワークのリソースの一部分を消費する。例えば、ＣＰＵの時間、メモリ利用状況、ハードディスク利用状況、ネットワーク帯域幅、および入力／出力（Ｉ／Ｏ）などである。好適な実施形態において、セキュリティエージェント４０４を含むソフトウェアは、ワークステーションのリソースおよび事象を継続的に監視し、前記リソースおよび事象についての情報を、セキュリティエージェントのデータベース３０６に定期的に記録する。
【００４３】
セキュリティエージェントのデ−タベース３０６は、コンピュータシステム３０４のリソースおよび事象に関する所望のデータを素早く分類、選択、保存、および検索できる上述の方法で組織された情報の収集である。市販されているデータベースは、Ｏｒａｃｌｅ  ＣｏｒｐｏｒａｔｉｏｎのＯｒａｃｌｅ  ９ｉ  Ｄａｔａｂａｓｅ、Ｉｎｔｅｒｎａｔｉｏｎａｌ  Ｂｕｓｉｎｅｓｓ  Ｍａｃｈｉｎｅｓ  ＣｏｒｐｏｒａｔｉｏｎのＤＢ２  Ｕｎｉｖｅｒｓａｌ  Ｄａｔａｂａｓｅ、またはＭｉｃｒｏｓｏｆｔ  ＣｏｒｐｏｒａｔｉｏｎのＭｉｒｃｏｓｏｆｔ  Ｊｅｔを含む。エージェントのデータベース３０６は、ＲＡＭ２０４またはハードディスク２２０に保存される。セキュリティエージェント４０４は、コンピュータシステム３０４のリソースおよび事象に関連する情報を保存および検索するために、そのエージェントのデータベース３０６を使用する。
【００４４】
（３．セキュリティエージェント）
図５は、セキュリティエージェント４０４のアーキテクチャおよびコンピュータシステム３０４で実行するアプリケーションとのその相互作用を示すブロック図である。図示されるように、セキュリティエージェント４０４は、好ましくは、マルチスレッド、マルチタスクのソフトウェアアプリケーションである。セキュリティエージェント４０４の主な目的は、エンドユーザのコンピュータシステム３０４とのエンドユーザ３０２の相互作用を監視すること、およびそのエンドユーザ３０２のための特定のリスクスコアを生成することである。まず、セキュリティエージェント４０４のアーキテクチャから記述し、続いて、その機能性を示す。
【００４５】
好適な実施形態において、三つの主なスレッドは、セキュリティエージェントの４０４のタスクの大部分に影響する。具体的に、これらの三つのスレッドは、スレッドを管理するキュー（「Ｑスレッド」）５０２、スレッドを監視するプロセス（「Ｐスレッド」）５０４、およびスレッドをスケジューリングする（「Ｓスレッド」）５０６を含む。これらのスレッドは、セキュリティエージェント４０４のその他の側面と共に、コンピュータシステム３０４のリソースおよび事象を監視および管理するために、連携して機能する。
【００４６】
（ａ．Ｑスレッド）
Ｑスレッド５０２は、好ましくは、キュー５０８とセキュリティエージェントのデータベース３０６の両方のインスタンス化に関与する。キュー５０８およびセキュリティエージェントのデータベース３０６の生成後、Ｑスレッド５０２は、好ましくは、キュー５０８に出入りするデータの流れを管理し、キュー５０８をまとめ、セキュリティエージェントデータベース３０６に出入りするデータの流れを管理する。
【００４７】
好ましくは、キュー５０８は、多数のプロセスデータ書き込みおよび単一のプロセスデータ読み出しを可能にする二重バッファ型のデータキューである。初期化後、セキュリティエージェント４０４は、既知のフッキング手法によって現在起動中の各アプリケーションにフックし、各アプリケーションとキュー５０８の間に、インターセプションモジュール（「Ｚインターセプション」）５１０、５１２、５１４を設定する。
【００４８】
好適な実施形態において、各Ｚインターセプションモジュール５１０、５１２、５１４は、継続的に一つのアプリケーションを監視し、ある特定の事象が発生すると、定期的にデータをキュー５０８に加える。キュー５０８に加えられたデータは、アプリケーションおよびコンテクスト特有である。例えば、図５において示される実施形態において、第一のＺインターセプション５１０は、オペレーティングシステム４０２を監視するように割り当てられる。第一のＺインターセプション５１０は、オペレーティングシステム４０２のプロセスおよび変数を観察し、コンピュータシステム３０４による実行中の各アプリケーションで使用されるＣＰＵ、メモリの利用状況、およびネットワーク利用状況の割合などのキュー情報に書き込む。この実施形態において、第二のＺインターセプション５１２は、ウェブブラウザ４０６を監視するように割り当てられる。ウェブブラウザ４０６が実行する場合、第二のＺインターセプション５１２は、ウェブブラウザ４０６が訪問したページ、ページ要求とページ表示の間のレイテンシ、各ページが一日に表示された回数、データが安全または暗号化された方法で伝送および受信されているか否か、に関する情報を、キュー５０８に書き込む。同様に、第三のＺインターセプション５１４は、ワードプロセッサ４１０を監視し、アクセスされたドキュメント、各アクセスされたドキュメントが特定のキーワードを含むか否か、ドキュメントを保存および検索するのに必要な時間の長さ、およびワードプロセッサ４１０の動作中に発生した任意のエラーまたは例外に関する情報をキュー５０８に書き込む。本実施形態において、Ｚインターセプション５１０、５１２、および５１４は、上述のとおり、アプリケーションおよび記録データを監視するように割り当てられたが、当業者は、いずれのアプリケーションからのいずれのデータも、実質上、同様に監視および記録され得ることを理解し得る。
【００４９】
初期化時に、セキュリティエージェント４０４は、既知のフッキング手法によって、オペレーティングシステムのカーネルにフックし、各物理的装置のためのカーネルレベルで、カーネルインターセプションモジュール（「Ｋインターセプション」）５１６、５１８を設定する。図示されるように、Ｋインターセプション５１６、５１８は、ハードドライブ２２０およびネットワークインターフェース２１９を監視する。当業者は、Ｋインターセプション５１６、５１８が、物理的装置およびカーネルの間の相互作用を監視し得ることを理解し得る。
【００５０】
Ｚインターセプション５１０、５１２、５１４と同様に、Ｋインターセプション５１６、５１８は、カーネルおよびコンピュータシステム３０４を備える物理的装置を観察する。定期的に、Ｋインターセプション５１６、５１８は、情報をキューに書き込む。本実施形態において、第一のＫインターセプション５１６は、ハードドライブ２２０を監視するように割り当てられる。ハードドライブ２２０がスプールする、またはカーネルの命令で起動される場合、Ｋインターセプションは、キュー５０８へのハードドライブのアクセスに関する情報をトラップし、書き込む。この情報は、どのファイルがアクセスされたか、ファイルが読み、書き、または書き直しされたか否か、およびコピー防止またはその他のフラグが設定されたか否か、の記述を含み得る。
【００５１】
第二のＫインターセプション５１８は、好ましくは、ネットワークインターフェース２１９を監視し、キュー５０８へのネットワークインターフェース２１９のネットワーク通信についての情報をトラップし、書き込む。この情報は、例えば、アクセスされるコンピュータのＩ．Ｐ．またはＭＡＣアドレス、および、ネットワークを介して伝送または受信されたデータを含み得る。
【００５２】
（ａ）エンドユーザのリスクスコアが一定の閾値を超える場合、（ｂ）セキュリティエージェント４０４がセキュリティ違反を検出する場合（例えば、ＫインターセプションまたはＺインターセプションのトラップを介して、または別の方法で）、または（ｃ）セキュリティエージェント４０４がインタラプト、エラー、またはその正常なオペレーティングパラメータ以外のその他の事象に直面する場合、事象は「例外的な事象」として指定される。セキュリティエージェント４０４は、次に、以下に説明されるように、適切に応答する目的で、そのデータベース３０６に保存される履歴情報と共にその例外的な事実を即座に分析する。
【００５３】
Ｚインターセプション５１０、５１２、および５１４、ならびにＫインターセプション５１６、５１８が、データをキュー５０８に加える際、Ｑスレッド５０２は、継続的にキュー５０８のコンテンツを監視および分析する。キュー５０８がその限度容量に近づく場合、Ｑスレッド５０２は、データをセキュリティエージェントのデータベース３０６に排出（ｆｌｕｓｈ）する。加えて、Ｑスレッド５０２が、キュー５０８内でいかなる緊急のシステム警告または事象を発見する場合も、Ｑスレッドは、それらをセキュリティエージェント４０４に即座に提供し、それらをセキュリティエージェントのデータベース３０６に記録し、好ましくは、セキュリティエージェント４０４内で緊急対応ルーチンを開始する。
【００５４】
（ｂ．Ｐスレッド）
好適な実施形態において、Ｐスレッド５０４は、コンピュータシステム３０４で起動するさまざまなプロセス、サービス、およびアプリケーションを継続的に監視する。好ましくは、Ｐスレッドは、コンピュータシステム３０４のプロセス、リソース、および事象の現状を決定するために、オペレーティングシステム４０２にクエリーを行なう。Ｐスレッド５０４は、好ましくは、このデータを再調査および分析し（キューの使用を介してか否かに関わらず）、それをセキュリティエージェントのデータベース３０６に保存される履歴情報と比較する。例えば、Ｐスレッド５０４は、起動しているプロセスのさまざまなオペレーティングパラメータ、それらが起動している順番、およびそれらが新規で実行されるプロセスか否かについての新規情報を受領し、この情報を、セキュリティエージェントのデータベース３０６に以前に保存された同じ種類の履歴情報と比較する。特定の環境（例えば、エンドユーザ３０２の行動が企業情報をリスクにさらす場合）において、Ｐスレッドは、セキュリティエージェント４０４内で緊急対応ルーチンを開始することも可能である。
【００５５】
（ｃ．Ｓスレッド）
好適な実施形態において、Ｓスレッド５０６は、軽量（ｌｉｇｈｔｗｅｉｇｈｔ）プロセス、または、ＣＰＵの最小限の使用でさまざまな有用な機能を実行するスケジュール項目を開始および保持する。好ましくは、スケジュール項目は、タスクまたは一組のタスクを定期的に実行する。例えば、５秒毎に、スケジュール項目は、コンピュータシステム３０４を使用するエンドユーザ３０２が待機状態であるか否かを判断するために、オペレーティングシステム４０２に確認をとることができる。エンドユーザ３０２が、実際に待機状態である場合、Ｓスレッド５０６は、好ましくは、例えば、セキュリティエージェントのデータベース３０６をコンパクトにする、または不必要な情報をＲＡＭ２０４またはハードディスク２２０から削除するなど、さまざまな有用かつプロセッサ集約的な機能を実行する。加えて、適時および必要時に、Ｓスレッド５０６は、エージェントのデータベースを集約および削除し、いずれの内部データ構造の整理にも関与する。
【００５６】
加えて、スケジュール項目は、さまざまなルーチン分析タスクを実行し、その必須データをセキュリティエージェントのデータベース３０６に記録する。例えば、好適な実施形態において、スケジュール項目は、特定のエンドユーザ３０２に割り当てられたリスクスコア、プロセスＣＰＵ利用状況、メモリ利用状況、および資産利用を含むがそれだけに限定されない、３秒毎にオペレーティングシステム４０２から一定の性能統計を要求し、検索する。この３秒データのスナップショットは、次に、セキュリティエージェント４０４によって分析され、さらにセキュリティエージェントのデータベース３０６に集計および／または保存され得る。
【００５７】
（４．サーバー）
一つ以上のセキュリティエージェント４０４が、一つ以上のコンピュータシステム３０４で実行している場合、クレームされている本発明の実施形態は、各セキュリティエージェント４０４によって生成されるデータを収集、追跡し、そのデータに応答する、ネットワーク管理者またはサーバー１１６に提供し得る。
【００５８】
サーバー１１６は、サーバーソフトウェアが実行するコンピュータシステムを備える。セキュリティエージェント４０４のように、サーバー１１６は、それ自身のデータベース（図６に示されるサーバーＤ．Ｂ．６１４）を保持する。好適な実施形態において、サーバー１１６は、本質的に、セキュリティエージェント４０４と同様であるが、セキュリティエージェント４０４にない追加の機能性も提供する。この追加の機能性は、サーバー１１６が、複数のエージェント４０４を管理することを可能にする。加えて、サーバー１１６は、各セキュリティエージェント４０４からソフトウェアをインストールまたは削除すること、各セキュリティエージェント４０４に命令を提供すること、および各セキュリティエージェント４０４からのクエリーに応答することが可能である。さらに、サーバー１１６は、各セキュリティエージェント４０４から受信した情報の分析に基づいて、複数のレポートを生成することができる。好ましくは、サーバー１１６は、それ自体のアプリケーション、リソース、および事象に関するレポートまたは分析も生成し得る。したがって、サーバー１１６は、それ自体と複数のセキュリティエージェント４０８の両方のアプリケーション、リソース、および事象を監視、分析、および管理するように機能する。
【００５９】
好ましくは、サーバー１１６は、各セキュリティエージェント４０４から、セキュリティエージェント４０４のリソースおよび事象についての情報を含むデータスナップショットを定期的に受信する。上に説明される三秒データスナップショットのように、このデータスナップショットは、エンドユーザのリスクスコア、プロセスＣＰＵ利用状況、メモリ利用状況、および資産利用などの項目を含み得る。しかしながら、当業者は、セキュリティエージェント４０４のアプリケーション、リソース、または事象に関する任意のデータが使用され得ることを理解する。上述の３秒データスナップショットとは対照的に、このデータスナップショットは、データが実際測定されるよりも頻繁には送信されない。好適な実施形態において、例えば、このデータスナップショットは、５分毎に一回取得され得る。このようにして、サーバー１１６は、各セキュリティエージェント４０４によって測定されるよりも大幅に少ない情報を受信する。ネットワークトラフィックは最小限にされるが、万が一電子情報の分析および診断のために必要とされる場合、３秒間隔の既存の細粒度データは、各セキュリティエージェントのデータベース３０６内で使用可能である。
【００６０】
セキュリティエージェント４０４が（上に定義されたような）例外的な事象を検出する場合、セキュリティエージェント４０４は、サーバー１１６にその例外的な事象を通知することを選択し得る。その場合、（ａ）サーバー１１６は、例外的事象にいかにして対処すべきかについての命令をセキュリティエージェント４０４に提供し得、（ｂ）サーバーは、その他のエージェント４０８で発生する同様の例外的な事象の可能性について警告され得、および、（ｃ）サーバー１１６を操作するネットワーク管理者または情報技術の専門家は、例外的な事象を鑑定し、エンドユーザの相互作用の詳細な追跡記録を調査するなどのさらなる行動を必要に応じてとり得る。
【００６１】
万が一セキュリティエージェント４０４が接続を切断する場合、あるいは、サーバー１１６と即座に通信できない場合、そのセキュリティエージェント４０４は、そのセキュリティエージェントのデータベース３０６に、全てのデータスナップショットに加え、切断中にそれが直面する全ての例外的な事象を保存することが可能であり、再度サーバー１１６と通信可能になる場合に、この情報を伝送することができる。
【００６２】
トラブルシューティングのツールおよび情報収集機器としてサーバー１１６を使用することに加え、サーバー１１６を操作するネットワーク管理者は、好ましくは、クエリーを行い、さまざまなセキュリティエージェント４０４のソフトウェア設定を管理する。例えば、ネットワーク管理者が、各エンドユーザ３０２のための平均のリスクスコアを決定することを望む場合、各ネットワーク化されたセキュリティエージェント４０４はポールされ得る。平均のリスクスコアが既定の閾値外である場合、サーバー１１６は、平均を超えるリスクスコアを有する全てのエンドユーザ３０２を、ネットワークから隔離し得る。
【００６３】
同様に、サーバー１１６は、ローカルハードドライブに保存されるライセンス付きウィルススキャニングソフトウェアを有するセキュリティエージェント４０４の数を数えるような機能をも実行し得る。このクエリーの受信後、各セキュリティエージェント４０４は、サーバー１１６に応答し、正確に数えることを容易にし得る。これを承知した上で、ネットワーク管理者は、次に、必要に応じソフトウェアのライセンスを購入し、ソフトウェアのコピーをインストールする。あるいは、管理者は、ライセンス付きウィルススキャニングソフトウェアを、そのソフトウェアを必要としないコンピュータシステム３０２から削除し得る。このような方法で、ネットワーク管理者は、効果的に、コンピュータシステム３０２上のセキュリティアプリケーションの種類とそのアプリケーションのライセンスを、企業コンピュータ環境１００全体にわたって監視することができる。
【００６４】
サーバー１１６は、企業コンピュータ環境１００の管理インフラストラクチャ内に含まれるのが好ましいが、クレームされている発明の代替の実施形態においては、サーバー１１６は必要でないことを留意することが重要である。例えば、任意のセキュリティエージェント４０４は、好ましくは、例外的な事象への応答において支援を要求するために、その他任意のセキュリティエージェント４０４と通信することができる。あるいは、任意のセキュリティエージェント４０４は、好ましくは、前記その他のエージェントに、共有リソース（例えば、プリンタ１１８またはローカルエリアネットワーク１０４）に関する問題についてまたはセキュリティ違反について通知するために、その他任意のセキュリティエージェント４０４と通信することができる。このように、エージェント間の通信は、さまざまな実施形態、特にピアツーピアのネットワークにおいて、多くの方法で、エージェントとサーバー間の通信の代わりとなり得る。
【００６５】
図６は、企業管理システム内のネットワーク化された環境のサンプルを示す。好適な実施形態において、一つ以上のエージェント４０４は、一つ以上のその他のエージェント４０４および一つ以上のサーバー１１６に接続される。図６に示されるように、エージェントＡ６０２、エージェントＢ６０４、およびサーバーＡ６０６は、インターネット６０８を介して全て相互に接続される。エージェントＡ６０２およびサーバーＡ６０６は、インターネット６０８を介して継続的に相互に接続され、一方、エージェントＢ６０４は、インターネット６０８にのみ時折接続される。したがって、エージェントＡ６０２とエージェントＢ６０４との間またはサーバーＡ６０６とエージェントＢ６０４との間の通信は、エージェントＢ６０４がインターネット６０８に接続される場合のみ発生する。
【００６６】
図示されるように、各サーバーおよびエージェントは、それ自体のデータベースに接続される。したがって、エージェントＡ６０２は、Ａのデータベース（Ｄ．Ｂ．）６１０に接続される。エージェントＢ６０４はＢのデータベース（Ｄ．Ｂ．）６１２に接続される。同様に、サーバーＡ６０６は、サーバーデータベース（Ｄ．Ｂ．）６１４に接続される。
【００６７】
（Ｃ．リスクスコアの計算）
上述のシステムの基本的なアーキテクチャを知った上で、次に、クレームされている発明の好適な実施形態が、一つ以上のエンドユーザに対する一つ以上のリスクスコアを計算する方法が記述される。
【００６８】
好適な実施形態において、リスクスコアは、コンピュータシステムを介して専有の企業データにアクセスする各エンドユーザに対して計算される。各リスクスコアは、好ましくは、エンドユーザがアクセスできる情報と、自身のコンピュータシステムとのエンドユーザの相互作用の両方に基づく。
【００６９】
さらに具体的に、各エンドユーザのためのリスクスコアは、多くの要因の加重平均に基づく。好ましくは、リスクスコアの一構成要素は、コンピュータまたはそのコンピュータで実行するアプリケーションとのエンドユーザの相互作用を説明する一時的情報からもたらされる。この一時的情報は、好ましくは、Ｚインターセプション５１０、５１２、５１４、またはＫインターセプション５１６、５１８によってトラップされ、その後のプロセスのためにキュー５０８に置かれる。一時的情報は、通常、コンピュータステムとのエンドユーザの相互作用に関するデータを含み、
・エンドユーザへのダイアログボックスに表示される情報（例えば、システムアラート）、
・オペレーティングシステムによって習慣的にログされない情報、
・アプリケーションによって習慣的にログされない情報（例えば、ダイアログボックステキスト）、
・エンドユーザの電子メールアクティビティに関する情報（例えば、電子メールの送信および受信）
・エンドユーザのファイル転送アクティビティに関する情報（例えば、ＦＴＰまたはファイルコピーログ）、または、
・信頼できないもしくは外部のウェブサイトまたはコンピュータサーバーとの、エンドユーザの相互作用に関する情報
を含み得る。
【００７０】
論理的に、一時的情報は、全エンドユーザのリスクスコアを生成するために組み合わされるさまざまなリスクカテゴリーの値に影響を与え得る。好ましくは、リスクカテゴリーは、
・データリスク
・アプリケーションリスク
・パスワードリスク
・隠蔽リスク、
・電子メールリスク、および、
・資産リスク
を含むが、それだけには限定されない。
【００７１】
データリスクは、ドキュメントまたはその他のデータソースにおける機密情報およびその開示、破損または削除のリスクの値を反映する。さまざまな実施形態において、データは、ワープロドキュメント、スプレッドシート、ソースコード、あるいは、データベースまたはイントラネットウェブサイトに存在し得るコンピュータ可読なその他の形式のデータであり得る。好ましくは、データリスクは、一定のエンドユーザがアクセスできる各ドキュメントまたはデータソースに対して評価される。データソースは、好ましくは、その属性に基づいてデータリスクスコアを割り当てられる。データリスクスコアは、次に、エンドユーザのリスクスコア、さらにエンドユーザのグループに対する総リスクスコアを決定するように使用され得る。
【００７２】
一実施形態において、データリスクを含む属性は、以下の表１に示される。属性は、右に記載される各属性に割り当て可能な、生じる可能性のある総ポイントと共に、左に記載される。本実施形態において、データが二人以上によって編集される場合、データリスクは最大１０ポイントずつ増加し得る。例えば、一人のみがデータソースにアクセスする場合、１ポイントのみが「二人以上による編集」の属性に評価される。反対に、５０人がこのデータソースにアクセスする場合、「二人以上による編集」の属性は、全１０ポイントを得点する。同様に、データが、信頼できるサーバーの安全な位置に保存される場合、「ネットワークの位置」の属性は、全割り当て可能な５ポイントを得点する。データが、会社のファイアウォール外の公的に利用可能なサーバーに保存される場合、「ネットワークの位置」の属性は、１ポイントのスコアのみ得る。
【００７３】
同様にして、表１に記載される全ての属性は、好ましくは、全データリスクを生成するために組み合わせられる。本実施形態において、データリスクスコア自体は、エンドユーザのリスクスコアに対して、最大１００の生じる可能性のある総リスクポイントをもたらす。当業者は、表１に記載の属性のスコアは、本明細書の残りの部分において単なる典型的なものであり、特定の実施形態によって変化し得ることを理解し得る。同様に、エンドユーザのリスクスコアは、どの種類の属性がエンドユーザの総スコアを生成するように組み合わされるかによって変化し得る。表１に示されるように、データリスクスコア自体は、複数のデータソースのための平均のリスクスコアを決定するために、組み合わされるか、または、平均化され得る。
【００７４】
【表１】
2008507757.tif 000003
アプリケーションリスクは、特定のアプリケーションをエンドユーザが使用することによって、そのアプリケーションによってアクセスされる機密情報の開示、削除、または破損をもたらす可能性を反映する。さまざまな実施形態において、アプリケーションは、ウェブブラウザ４０６、電子メールアプリケーション４０８、ワードプロセッサ４１０、またはドキュメント管理システム４１２（図４参照）を含み得るが、それだけには限定されない。好ましくは、アプリケーションリスクは、一定のエンドユーザがアクセスできる各アプリケーションに対して評価される。アプリケーションリスクスコアは、エンドユーザの総リスクスコア、さらには、エンドユーザまたはアプリケーションのグループに対する総リスクスコアを決定するために使用され得る。本実施形態におけるアプリケーションリスクを含む属性は、以下の表２に示される。
【００７５】
【表２】
2008507757.tif 000004
パスワードリスクは、エンドユーザのパスワード情報が漏らされ、機密情報の不正な開示、削除、または破損がもたらされる可能性を反映する。さまざまな実施形態において、パスワードリスクは、エンドユーザの選択したパスワードの複雑性、パスワード変更の頻度、および、エンドユーザがそのパスワードをその他の個人またはさまざまなアプリケーションと共有するか否か、によって決定され得る。前述のように、パスワードリスクは、エンドユーザの総リスクスコアを決定するために、さらには、エンドユーザのグループの総リスクスコアを決定するために使用され得る。本実施形態におけるパスワードリスクを含む属性は、以下の表３に示される。
【００７６】
【表３】
2008507757.tif 000005
隠蔽リスクは、エンドユーザが意図的または故意に、安全または暗号化された通信チャンネルを使用して、不正な者に機密情報を伝送する可能性を反映する。エンドユーザが自身のコンピュータシステムから潜在的に内密または秘密の通信技術を用いる頻度が多くなるほど、このリスクレベルは上がる。前述のように、隠蔽リスクは、エンドユーザまたはエンドユーザのグループに対するリスクスコアを決定するために使用され得る。本実施形態における隠蔽リスクを含む属性は、以下の表４に示される。
【００７７】
【表４】
2008507757.tif 000006
エンドユーザの電子メールリスクは、電子メールの使用による機密情報の開示またはコンピュータシステムへの攻撃の可能性を特徴付ける。好ましくは、エンドユーザが受信する迷惑メール、つまりスパムの量が増えると、このリスクレベルは上がる可能性がある。一実施形態に関し、以下の表５に記載されるさまざまなその他の要因により、リスクレベルが上がり得る。前述のように、電子メールリスクは、エンドユーザまたはエンドユーザのグループに対するリスクスコアを決定するために使用され得る。
【００７８】
【表５】
2008507757.tif 000007
エンドユーザの資産リスクは、自身が使用するコンピュータシステムおよび自身がそれらを使用する方法が、機密の企業情報の不正な開示、破損、または削除をもたらす可能性である。以下の表６は、クレームされている本発明の一実施形態における特定の資産リスクを決定するために評価され得るさまざまな属性を示している。
【００７９】
図示されるように、エンドユーザの全資産リスクは、好ましくは、周辺機器リスク、構成リスク、アカウントリスク、および移動性リスクを含み得る。周辺機器リスクは、周辺機器装置（例えば、プリンタ、モデム、Ｚｉｐドライブなど）の使用を介して機密情報を印刷、コピー、および伝送する能力を反映する。構成リスクは、不正のユーザーが不正侵入、あるいはエンドユーザのコンピュータシステムにアクセスできる可能性を示す。アカウントリスクは、所定のコンピュータシステムが不正のユーザーによって情報を漏らされる可能性を示す。移動性リスクは、携帯情報端末、無線ラップトップコンピュータ、携帯電話、およびその他のモバイル機器における特定の脆弱性に関する。全てまとめて、これらのリスクは、同様に、所定のエンドユーザまたはエンドユーザのグループに対するリスクスコアを評価するのに役立つように使用され得る全資産リスクをもたらす。
【００８０】
【表６−１】
2008507757.tif 000008
【００８１】
【表６−２】
2008507757.tif 000009
（Ｄ．好適な実施形態の動作）
次に、請求される発明の好適な実施形態の動作を説明する。図７は、本発明の一実施形態の動作を示すフローチャートである。図示されるように、データ取得７０２、予備分析実施７０４、データ記録７０６、データの分析およびデータへの応答７０８、データの集約７１０、および分析、報告、および応答７１２の、少なくとも六つの段階が動作の好適な方法を含む。
【００８２】
データ取得７０２のステップは、外部の事象（例えば、サーバー１１６からの要求）に応じて、または、コンピュータシステム３０４とのエンドユーザ３０２の相互作用（例えば、ファイルオープン、アプリケーションの起動など）に応じて、定期的に（例えば、３秒毎に一回）トリガーされ得る。データ取得ステップ７０２がトリガーされると、Ｋインターセプション５１６、５１８、およびＺインターセプション５１０、５１２、５１４はアプリケーション、オペレーティングシステム、さらには物理的装置から、データをトラップする。データ取得７０２の間に、さまざまなリスク要因の属性を記述する情報が、キュー５０８に挿入される。この情報は、例えば、
・開いているファイルの位置。
・データがネットワークインターフェースにドライブされるか否か。
・エンドユーザが電子メールを送信することを試みているか否か。
・コンピュータシステムが前回ウィルス検索された時間。
・作業ドキュメントがキーワード（例えば「機密の」）を含むか否か。
・ユーザーが禁止行為（例えば、ファイルを外部装置にコピーする）に関与しているか否か。
を含み得る。
【００８３】
次に、予備分析７０４が行なわれる。予備分析７０４の間に、トラップされた情報は、エンドユーザの行動によってもたらされる差し迫ったセキュリティリスクが存在するか否か、または例外的な事象が発生したか否かを見積もるために評価される。一実施形態において、セキュリティエージェント４０４は、アプリケーション４１０がデータにアクセスするのを可能にする前に、エンドユーザがアクセスしようとしているデータを徹底的に調査し得る。データが特定のキーワード（例えば、「専用の」）を含む場合、またはエンドユーザ３０２が、データに不正にアクセスする場合、セキュリティエージェント４０４は、コンピュータシステム３０４が、エンドユーザ３０２にデータを表示することを防ぎ得る。
【００８４】
この時点で、エンドユーザのリスクスコアは、好ましくは、更新される。エンドユーザ３０２が取った行動次第で、エンドユーザの個人のリスクスコアは増加または減少し得る。いくつかの実施形態において、エンドユーザ３０２は、自身のリスクスコア、つまりその変数を示され得る。
【００８５】
予備分析７０４の間に、エンドユーザのリスクスコアが特定のレベルを超えない場合、および、エンドユーザの行動がいかなる緊急のセキュリティリスクまたは例外的な事象をも示さない場合、セキュリティエージェント４０４によって最終的に処理されるまで、データは単に、キュー５０８に進むことを許可される。
【００８６】
セキュリティエージェント４０４は、先入れ先出し（「ＦＩＦＯ」）方式でキュー５０８からデータを移動させる。一実施形態において、セキュリティエージェント４０４は、キュー５０８から移動されるデータをさらなる分析のために集約および合計する。その後、セキュリティエージェント４０４は、このデータをセキュリティエージェントのデータベース３０６に記録する（ステップ７０６）。
【００８７】
分析および応答段階７０８の間に、セキュリティエージェント４０４は、キューから受信したデータを分析し、任意でそれをセキュリティエージェントデータベース３０６に保存されるデータと比較する。所定の行動によってエンドユーザのリスクスコアが既定の閾値より増加するか否かを決定した後、セキュリティエージェントは、
・エンドユーザに、自身の行動によって生成された潜在的セキュリティリスクについて警告する。
・エンドユーザの行動を阻止する。
・リスクにも関わらず、エンドユーザが続行したい承認を要求する。
・システムを停止する。
・エンドユーザをシステムからログアウトさせる。
・コンピュータシステムをネットワークから切断する。
・エンドユーザの行動についてサーバーまたは管理者に警告する。
・リスクスコアをエンドユーザに示す。
ことを含む、一つ以上の行動を取り得る。
【００８８】
エンドユーザの行動が、コンピュータシステム３０４にセキュリティリスクをもたらさない場合、またはセキュリティリスクが、セキュリティエージェントの応答によって対処される場合、プロセスはループし、データ取得７０２のステップに戻る。あるいは、セキュリティエージェント４０４は、集約（ステップ７１０）し、また、随意的に、セキュリティエージェントに対して分析、報告、および応答（ステップ７１２）を行なうサーバー１１６に情報を転送することができる。
【００８９】
クレームされている本発明の好適な実施形態の動作は、仮想上のシナリオで、図１〜７を参照して、以下に説明される。
【００９０】
（１．コンピュータシステムにおける一般的なデータの取得、分析、および応答）
エンドユーザ３０２が、セキュリティエージェント４０４としての役割を果たすエージェントＡ６０２、つまりコンピュータシステム３０４を利用していると仮定する。エージェントＡ６０２はインターネットに接続される。この時点で、エンドユーザ３０２は、ドキュメントを編集するためにワードプロプログラムを使用している。ドキュメントは機密情報を含まず、エンドユーザ３０２は、許容可能な方法で、内部ネットワーク上でドキュメントにアクセスしている。
【００９１】
一定の間隔で（例えば、３秒毎）、エージェントＡ６０２内のスケジュール項目は、オペレーティングシステム４０２から、プロセス、資産、リソース、および事象の情報を記述するデータを取得する（ステップ７０２）ために、クエリーを開始する。Ｚインターセプション５１０は、要求されたリソースおよび利用状況の情報をオペレーティングシステム４０２からトラップし、キュー５０８に前記情報を入力する。同様に、Ｋインターセプション５１８は、ネットワークインターフェース２１９に関連するカーネル情報をトラップし、その情報をキューに入力する。Ｋインターセプション５１８、Ｚインターセプション５１０によってトラップされた情報およびオペレーティングシステム４０２からの情報は、正常なデータセットを生成する。
【００９２】
キュー５０８内の情報を継続的に読み込むＱスレッド５０２は、正常なデータセット上で予備分析（ステップ７０４）を実行する。この予備分析７０４の間に、正常なデータセットは、エンドユーザの行動が差し迫ったセキュリティ侵害をもたらすか否かを決定するように評価される。エンドユーザ３０２の使用が許容可能である場合、差し迫ったセキュリティ侵害は存在しない。加えて、予備分析７０４の間に、エージェントＡ６０２は、エンドユーザ３０２のその時点のリスクスコアが許容範囲内であることを確認する。
【００９３】
エンドユーザ３０２のリスクスコアが特定の範囲内にあることを確認し、正常なデータセットが例外的な事象を含まないことを決定した後、エージェントＡ６０２は、正常なデータセットが、その後のプロセスのためにキュー５０８内にとどまることを許可する。
【００９４】
前述のように、各セキュリティエージェント４０４は、ＦＩＦＯ方式で、キュー５０８から情報を移動させる。したがって、正常なデータセットは最終的に、エージェントＡ６０２によって取得および評価される。この時点で、エージェントＡ６０２は、好ましくは、データを記録する（ステップ７０６）。エージェントＡ６０２は、したがって、ＡのＤ．Ｂ．６１０内に以前に保存されたデータセットと、正常なデータセットとを比較する。正常なデータセットとＡのＤ．Ｂ．６１０内に以前に保存されたデータセット間の差異が許容限度内にある場合、エージェントＡ６０２は、正常なデータセットをＡのＤ．Ｂ．に保存する。
【００９５】
エージェントＡ６０２が前にデータセットをサーバーＡ６０６に伝送してから５分後に、エージェントＡ６０２は、インターネット６０８を介して正常なデータセットをサーバーＡ６０６に伝送する。サーバーＡ６０６は、エージェントＡ６０２から正常なデータセットを受信し、それを不正かどうか分析する。不正が発見されなかった場合、サーバーＡ６０６は、正常なデータセットをそのサーバーＤ．Ｂ．６１４に記録する。エージェントＡ６０２が別の正常なデータセットを３秒毎に記録し、サーバーＡ６０６が正常なデータセットを５分毎に記録し、そのサイクルが繰り返される。
【００９６】
（２．安全セキュリティ侵害の対処）
第二のエンドユーザ３１２が、別のセキュリティエージェント４０４が実行しているコンピュータシステム３１４の使用によって、ウェブを閲覧中であると仮定する。このエンドユーザ３１２がウェブ内を検索している際に、そのエンドユーザは、機密ドキュメントを信頼できない当事者に電子メールで送信することを決定する。
【００９７】
上述のように、セキュリティエージェント４０４は、このコンピュータ３１４で実行中である。したがって、Ｚインターセプション５１２は、継続的にエンドユーザの電子メール４０８とワープロソフト４１０の両方を監視している。Ｚインターセプション５１２は、疑わしい電子メールの送信をもたらすエンドユーザ３１２のマウスのクリック行動でトラップし、即座に記述的情報をキュー５０８に置く（「例外的なデータセット」）。
【００９８】
キュー５０８内に継続的に情報を読み込むＱスレッドは、例外的なデータセットを読み込み、この重要性を認識してそれをキュー５０８から移動させ、それをさらなる評価のためにセキュリティエージェント４０４に直接パスする。セキュリティエージェント４０４は、その例外的なデータの受信後、エンドユーザ３１２が、許されない行動に関与しようと試みていることを認識し、直ちに例外的なデータセットをセキュリティエージェントのデータベース３０６に記録する。
【００９９】
同時に、セキュリティエージェント４０４は、この行動がエンドユーザ３１２のリスクスコアが自身の既定の閾値を超えて増加することを決定する。セキュリティエージェント４０４は、好ましくは、四つの異なるエラー対処ルーチンを開始する。第一に、セキュリティエージェント４０４は、エンドユーザ３１２に、機密ドキュメントを信頼できない受信者に電子メールで送信することによって、エンドユーザが機密の企業情報の開示を危険にさらしていることを通知し、エンドユーザに続行したいか否かを尋ねる。第二に、セキュリティエージェント４０４は、このエンドユーザ３１２が過去に同様の行動を試みたか否かを決定するために、そのデータベース３０６を検索する。セキュリティエージェント４０４は、そのデータベース３０６に保存される関連する過去の情報を発見しない。第三に、セキュリティエージェント４０４は、エンドユーザ３１２に自身のリスク増加を表示する。第四に、セキュリティエージェント４０４は、エンドユーザ３１２の行動について管理者に通知する。
【０１００】
管理者により承認および試行される電子メールがリスクにも関わらずまだ続行希望であることをエンドユーザ３１２により確認した後、コンピュータシステム３１４は、疑わしい電子メールを指定の受信者に転送し、エンドユーザによる行為が許容可能であり、管理者がその行動を承認したことを追跡記録目的で記録する。
【０１０１】
（３．その他のエージェントおよびサーバーの断続的接続）
別の例として、エージェントＢ６０４がラップトップコンピュータ１１４で実行し、エージェントＡ６０２とちょうど同じものを起動するように構成されていると仮定する。しかしながら、エージェントＢ６０４は移動性であるため、長時間の遅れの間の短時間に、インターネット６０８に接続することだけ可能である。それゆえに、エージェントＢ６０４は、継続的にエージェントＡ６０２またはサーバーＡ６０６と通信することができない。したがって、エージェントＢ６０４は、インターネット６０８から接続を切断されている間、自立的に動作しなければならない。
【０１０２】
エージェントＡ６０２のように、エージェントＢ６０４も、正常なデータセットを、ＢのＤ．Ｂ．６１２に３秒毎に記録する。また、エージェントＡ６０２のように、エージェントＢ６０４は、これらの正常なデータセットのコピーをサーバーＡ６０６に５分毎に送信する（それぞれ、「５分データセット」）。エージェントＢ６０４がインターネット６０８の接続を切断さられている間、エージェントＢ６０４は、その５分データセットをＤ．Ｂ．６１２に保存する。エージェントＢ６０４がインターネット６０８を介してサーバーＡ６０６に再接続される際に、エージェントＢ６０４は、５分データセットをサーバーＡ６０６と同期させ、サーバーＡ６０６に、前回の同期以後に生成されたこれらの５分データセットのみを提供する。
【０１０３】
同様に、エージェントＢ６０４がインターネット６０８の接続を切断され、例外的な事象に直面する場合、エージェントＢ６０４は、エージェントＡ６０２またはサーバーＡ６０６からの援助を求めることができない。したがって、エージェントＢ６０４は、接続が切断されている間に作用することが可能なこれらのエラー対処ルーチンのみを実行する。さらに、エージェントＢ６０４がインターネット６０８に再接続する際、必要に応じて、援助の要求とともに、エージェントＡ６０２およびサーバーＡに、任意の例外的な事象についての通知も転送することができるように、例外的な事象についての情報をＤ．Ｂ．６１２に保存する。
【０１０４】
この方法で、エージェントＢ６０４は動作可能であり、その他のセキュリティエージェント４０４またはサーバー１１６に接続されない場合でさえ、例外的な事象およびセキュリティ侵害を検出、分析、および対処する。
【０１０５】
（４．断続的なエラー検出）
エージェントＡ６０２が、上に説明されたように実行すると仮定する。上に説明されるように、一定の間隔で（例えば、３秒毎）、エージェントＡ６０２内のスケジュール項目は、プロセス、資産、リソース、および事象情報をオペレーティングシステム４０２から入手するためにクエリーを開始する。Ｚインターセプション５１０は、要求されたリソースおよび利用状況の情報をオペレーティリングシステム４０２からトラップし、前記情報（「異常なデータセット」）をキュー５０８に入力する。キュー５０８内で継続的に情報を読み込むＱスレッド５０２は、異常なデータセットを読み込み、例外的事象を検出せずにそのデータセットがキュー５０８内にとどまることを許可する。セキュリティエージェント４０４は、再び、ＦＩＦＯ方式でキュー５０８から情報を移動させる。したがって、異常なデータセットは、エージェントＡ６０２によって最終的に入手および評価される。エージェントＡ６０２は、異常なデータセットと、以前にＡのＤ．Ｂ．６１０内に保存された正常なデータセットとを比較し、異常なデータセットと正常なデータセットの間の差異が許容範囲にないことを見出す。具体的に言うと、エンドユーザ３０４は、通常よりも大幅に機密のドキュメントにアクセスし、それをコピーすることを試みる。個別では、個々のアクセスは、エンドユーザ３０４のリスクスコアを増加させない。しかしながら、まとめると、エージェントＡ６０２は、そのパターンがセキュリティリスクとなることを決定できる。
【０１０６】
エージェントＡ６０２は、好ましくは、エンドユーザ３０４の頻繁なアクセスの背後にある論理的根拠にさらにアクセスし、上に説明したとおり、セキュリティリスクを分析し、それに応答するために、さまざまな技術を用いる。この方法で、ネットワークの接続を切断されている場合でも、本システムの実施形態は、機密情報に対するリスクから保護できる。
【０１０７】
（Ｅ．利点）
本発明のシステムおよび方法のさまざまな実施形態によって、以前に利用可能のセキュリティ管理システムより優れたさまざまな利点が実現される。これらの利点には、以下のものが含まれる。
【０１０８】
（１．各エンドユーザのリスクスコアの決定）
本発明は、通常、各エンドユーザが機密情報にもたらすリスクを評価すること、ならびに各エンドユーザのリスクスコアをリアルタイムで計算および更新することを含む。エンドユーザ、エンドユーザのコンピュータ、エンドユーザがアクセスするデータおよびドキュメント、エンドユーザがアクセスするリソース、の間の相互作用を測定し、これらの測定を細粒度リスク測定基準に下げることによって、本発明に基づくセキュリティエージェントは、企業全体のコンピュータシステム内の異常行動を検出するための基礎を提供する。
【０１０９】
（２．セキュリティ対策のための焦点への洞察）
脆弱な要素が企業内のどこに存在するかを評価することによって、管理者は、即座にどこにセキュリティ対策を適用するべきか、およびどの対策を適用するべきかを決定できる。したがって、管理者は、対策が全システムに及ぶセキュリティを改善したか否かを決定するために、全システムに及ぶレベルのリスクを再評価できる。
【０１１０】
（３．従業員奨励金）
各エンドユーザに、自身のそれぞれのリスクスコアを示し、そのリスクスコアをリアルタイムで更新することによって、本発明は、自身のリスク、つまりは組織の全セキュリティリスクを下げるために、個人が自身の行動を改善することに役立つことができる。加えて、管理者またはその他の会社の代表者は、自身の個人リスクスコアを下げる従業員にボーナスまたは手当てを提供することもできる。同様に、管理者は、リスクスコアが増加しているまたは不満足である従業員に注意することができる。このように、本発明は、組織全体の組織的な行動変化に効果を与えるのに役立つことができる。
【０１１１】
（４．リアルタイムリスク分析および応答）
各セキュリティエージェント４０４が、そのエンドユーザ３０２に関する情報を迅速に受信し、その情報に応答する際、セキュリティエージェント４０４は、大幅な開示またはそのエンドユーザによってもたらされるセキュリティリスクを自立的に阻止する。通常信頼できる個人が、企業の機密情報のいくつかまたは全てを不正に入手し、伝送することがある日決定した場合、その個人のコンピュータシステム３０２は、その個人がそうすることを実際に防ぐ。システムの応答時間は、現在利用可能なシステムの時間よりも大幅に早い。
【０１１２】
さまざまな省略、追加、および修正が、本発明の精神または範囲から逸脱することなく、上に説明された方法およびシステムに加えられることが可能である。本明細書に記載される説明は実例のためのもので、本発明を限定するものではない。
【図面の簡単な説明】
【０１１３】
【図１】図１は、本発明の一実施形態に基づき、典型的な企業コンピュータ環境を示す。
【図２】図２は、典型的なコンピュータの側面を示すブロック図である。
【図３】図３は、本発明のさまざまな実施形態に基づき、エンドユーザとコンピュータシステムとの間の関係を示す。
【図４】図４は、本発明の典型的な実施形態に基づき、コンピュータシステムで実行するさまざまなソフトウェアの構成要素を示すブロック図である。
【図５】図５は、セキュリティエージェントとコンピュータシステムで実行するアプリケーションとのその相互作用のアーキテクチャを示すブロック図である。
【図６】図６は、企業管理システム内のネットワーク化された環境のサンプルを示す。
【図７】図７は、本発明の実施形態のオペレーションを示すフローチャートである。
【図１】
2008507757.tif 000010
【図２】
2008507757.tif 000011
【図３】
2008507757.tif 000012
【図４】
2008507757.tif 000013
【図５】
2008507757.tif 000014
【図６】
2008507757.tif 000015
【図７】
2008507757.tif 000016
【国際調査報告】
2008507757.tif 000017
2008507757.tif 000018