(57)【特許請求の範囲】
【請求項１】
オペレーティングシステムと、アプリケーションソフトと、デバイスドライバとが搭載され、所定の機密データを監視する情報処理装置であって、
所定の機密データの作成および編集が可能な機密データ作成編集手段と、
前記機密データ作成編集手段により作成または編集された機密データが保存される時に該機密データを暗号化し、所定の認証に成功した場合にのみ該機密データを復号化する機密データ管理手段と、
ユーザの操作により前記アプリケーションソフトウェアで発生するイベントを監視する監視手段と、
前記監視手段の監視結果に基づいて、前記機密データの現在の利用状況を判定する機密度判定手段と、
前記機密度判定手段の判定結果に基づいて、前記監視手段で監視すべきイベントを変更する監視方法設定手段と、
を備えたことを特徴とする情報処理装置。
【請求項２】
前記監視方法設定手段は、
前記機密度判定手段による判定の結果、前記機密データの現在の利用状況が、前記機密データが前記アプリケーションソフトウェアで利用されている場合、前記機密データが前記アプリケーションソフトウェアで起動されているが利用されていない場合、前記機密データが前記アプリケーションソフトウェアで起動されていない場合のいずれかに応じて、前記監視手段で監視すべきイベントを変更することを特徴とする請求項１記載の情報処理装置。
【請求項３】
前記監視方法設定手段は、
前記機密データの現在の利用状況が、前記機密データが前記アプリケーションソフトウェアで利用されている場合は、前記監視手段で監視すべきイベントが最も多くなるように変更し、
前記機密データの現在の利用状況が、前記機密データが前記アプリケーションソフトウェアで起動されていない場合は、前記監視手段で監視すべきイベントが最も少なくなるように変更することを特徴とする請求項２記載の情報処理装置。
【請求項４】
前記機密度判定手段は、
前記監視手段の監視結果をデータとして一時的に蓄積しておく監視結果一時記憶手段と、
前記監視手段で監視されうる内容毎に、前記機密データの利用状況がどのようであるかが対応付けられて予め定義されたデータであるアプリケーション知識と、
前記監視結果一時記憶手段に蓄積されたデータと、前記アプリケーション知識とに基づいて、前記機密データを前記機密データ作成編集手段で起動中であるかどうかを判定する機密情報起動中判定手段と、
前記監視結果一時記憶手段に蓄積されたデータと、前記アプリケーション知識とに基づいて、前記機密データを前記機密データ作成編集手段で現在フォアグランドの処理としてユーザが利用しているかどうかを判定するカレントデータ機密度判定手段と、
前記監視結果一時記憶手段に蓄積されたデータと、前記アプリケーション知識とに基づいて、前記機密データを前記機密データ作成編集手段で通常データへ変更したかどうかを判定する非カプセル化データ起動判定手段と、
前記機密情報起動中判定手段、前記カレントデータ機密度判定手段、および前記非カプセル化データ起動判定手段の各判定結果を記憶する機密度状態記憶手段と、
を備えたことを特徴とする請求項１から３のいずれか1項に記載の情報処理装置。
【請求項５】
前記アプリケーション知識は、
前記監視手段で監視されうる内容として、どのようなアプリケーションがどのようなデータに対してどのようなイベントを発生させたかを含んでいることを特徴とする請求項４記載の情報処理装置。
【請求項６】
オペレーティングシステムと、アプリケーションソフトと、デバイスドライバとが搭載された情報処理装置が所定の機密データを監視する機密データ監視方法であって、
所定の機密データの作成および編集が可能な機密データ作成編集ステップと、
前記機密データ作成編集ステップにより作成または編集された機密データが保存される時に該機密データを暗号化する機密データ暗号化ステップと、
ユーザの操作により前記アプリケーションソフトウェアで発生するイベントを監視する監視ステップと、
前記監視ステップの監視結果に基づいて、前記機密データの現在の利用状況を判定する機密度判定ステップと、
前記機密度判定ステップの判定結果に基づいて、前記監視ステップで監視すべきイベントを変更する監視方法設定ステップと、
を備えたことを特徴とする機密データ監視方法。
【請求項７】
オペレーティングシステムと、アプリケーションソフトと、デバイスドライバとが搭載された情報処理装置に所定の機密データを監視する機密データ監視方法を実行させるためのプログラムであって、
所定の機密データの作成および編集が可能な機密データ作成編集処理と、
前記機密データ作成編集処理により作成または編集された機密データが保存される時に該機密データを暗号化する機密データ暗号化処理と、
ユーザの操作により前記アプリケーションソフトウェアで発生するイベントを監視する監視処理と、
前記監視処理の監視結果に基づいて、前記機密データの現在の利用状況を判定する機密度判定処理と、
前記機密度判定処理の判定結果に基づいて、前記監視処理で監視すべきイベントを変更する監視方法設定処理と、
を前記情報処理装置に実行させることを特徴とするプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理装置、機密データ監視方法およびプログラムに関し、特に、ワープロや表計算ソフトで作成した機密データを社内で共有する場合に、この機密データへ正当にアクセス権がある者による情報漏洩を抑止することができる情報処理装置、機密データ監視方法およびプログラムに関する。
【背景技術】
【０００２】
機密情報（機密データ）の漏洩対策の技術として、（１）機密情報の暗号による保護技術と、（２）パソコンの利用を監視する技術と、が広く知られている。
【０００３】
（１）機密情報の暗号による保護技術
電子機器上のコンテンツの無制限な利用を防ぐための技術として、デジタル著作権管理技術（Digital Rights Management：以下、ＤＲＭという。また、従来技術１という）がよく利用される。ＤＲＭは、オリジナルのデータを秘密の符合方式によって暗号化する。この暗号化されたデータをカプセルと呼び、カプセルは復号しない限り利用できない。すなわち、このデータの利用には、カプセルを復号する復号キーが必要となる。利用権限が与えられた者は、何らかの方法で認証し復号キーを得て、利用する直前に通常のデータへ戻すことでこのデータを利用することが可能になる。ＤＲＭは、一般には映画や音楽などのマルチメディア情報の不法な複製防止のために利用されるが、ワープロや表計算ソフトで作成した、いわゆるオフィス文章などにも有効であり、企業などでも使われ始めている。例えば、幹部のみが利用可能な経理情報のファイルをＤＲＭでカプセル化し、幹部のみにこのカプセルを復号する復号キーを与えることで、機密情報を他の社員や、社外の者から守ることが可能になる。
【０００４】
（２）パソコンの利用を監視する技術
パソコンの利用を監視する技術が使われている一例が、製品InfoTrace（株式会社ソリトンシステムズ製：以下、従来技術２という）に記載されている。カタログの動作環境の記述から非特許文献１の構成は図９のようになる。パーソナルコンピュータのＯＳ（Opereting System）であるWindows（マイクロソフト社制：登録商標）と、このWindows（登録商標）が発生させるファイルアクセスのイベントを収集するWindows（登録商標） Agentと、このWindows（登録商標） Agentが収集したファイルアクセスのイベントをログとしてサーバにアップロードするログアップロード手段と、アップロードされた前記ログを蓄積するLog Serverと、このLog Serverのログからファイルの流れを表示するTrace Browserとから構成されている。
このような構成を有する従来技術２は、Trace Browserを利用して、ユーザのパソコンの操作を監視することができる。
【０００５】
また、機密情報の漏洩対策の従来技術例として、ＯＳのイベントメッセージに基づいてアプリケーションソフトウェアの実行状態を推定し、文書へのアクセスを検出した場合に、アプリケーションソフトウェアの実行状態の推定結果に基づいて、文書を暗号化するか否か、または、復号化するか否かを判断することにより、外部に機密文書を公開するアプリケーション操作をユーザが行った場合には自動的に機密文書が暗号化されるので、正規ユーザが操作ミスをした場合であっても、機密情報の漏洩を防止することができる「機密文書管理装置、機密文書管理方法および機密文書管理プログラム」がある（例えば、特許文献１参照）。
【特許文献１】特開２００５−２２２１５５号公報
【非特許文献１】InfoTrace（株式会社ソリトンシステムズ）カタログ，Ｐ２
【発明の開示】
【発明が解決しようとする課題】
【０００６】
従来技術１のＤＲＭでは、機密情報へ正当にアクセス権がある者からの情報漏洩を防止することは不可能な点が問題である。正当にアクセス権がある者は、カプセルを復号するためのキーを持っているため、復号されたデータをコピーしたり、印刷したり、画面をキャプチャするといった情報漏洩につながる操作を自由にできてしまう。つまり、ＤＲＭではうっかり、宛先を謝って機密情報を社外へ電子メールで送ってしまったといった過失による情報漏洩に対する対策としては、復号キーを相手先が知らないために有効であるが、機密情報へアクセス権がある者が、悪意を持って故意に情報を漏洩させることはたやすくできてしまう点が問題である。情報漏洩事件の７割以上は内部の共犯者が原因であるという報告もあるので、内部からの情報漏洩を防止できないＤＲＭには問題がある。
【０００７】
一方、従来技術２は、内部からの情報漏洩に対する対策と考えられる。すなわち、パソコンでのユーザの操作が監視されているために、社員のモラルが向上し、内部からの情報漏洩を抑止する効果が期待できる。しかしながら、従来技術２は、以下の２つの問題点があり、広く普及していないのが実情である。
【０００８】
（１）監視ログの量が膨大になってしまう問題：一般にパーソナルコンピュータのＯＳからのイベントの量は膨大であり、これをログに残す監視システムは膨大なログを吐くことになる。例えば、画面の変化、ユーザのメニュー操作、ファイルアクセス、ネットワークアクセスなどを監視すると、常に監視結果がログに吐かれている状態になる。このため、一般的な運用では、ログは一定期間しか保存せず、古いログは捨ててしまうことが多い。過去の情報漏洩事件を見てみると、ログがすでに捨てられているために解明できなかった例も多く、この点が問題となっている。さらに、たとえログをすべて保存できたとしても、その解析には非常に時間がかかってしまう点が問題である。正常な状態と不正な状態を区別するためには、ユーザの操作に関する仮説を立てながら、いろいろな角度から分析する必要がある。ログの量が膨大な場合、その解析には非常に時間を要することになるので問題である。
【０００９】
（２）パソコンの動作が遅くなってしまう：一般的にパソコンの利用を監視することは、パーソナルコンピュータのＯＳからのイベントを横取りする処理であり、ＯＳの動作を遅くしてしまう。従来技術２などでは、横取りするイベントの種類を選択できる機能があるが、監視対象を少なくすると、ログ解析時に、ユーザが何をしているか予測することができなくなってしまう。これでは本末転倒であり何の解決にもなっていない。こういった事情から現状のオフィスでは、監視ソフトウェアは広く普及しておらず、パソコンのパフォーマンスを低下させずに監視できる方法が望まれている。
【００１０】
また、上記特許文献１記載の発明においても、上記（１）のような監視ログの量が膨大になってしまう問題などがある。
【００１１】
本発明は、上記事情に鑑みてなされたものであり、ワープロや表計算ソフトなどオフィスアプリケーションで作成した機密情報を社内で共有する場合に、この情報へ正当にアクセス権がある者による情報漏洩を、従来技術よりも効率よく抑止することができる情報処理装置、機密データ監視方法およびプログラムを提供することを目的とする。
【課題を解決するための手段】
【００１２】
かかる目的を達成するために、本発明の情報処理装置は、オペレーティングシステムと、アプリケーションソフトと、デバイスドライバとが搭載され、所定の機密データを監視する情報処理装置であって、所定の機密データの作成および編集が可能な機密データ作成編集手段と、機密データ作成編集手段により作成または編集された機密データが保存される時に該機密データを暗号化し、所定の認証に成功した場合にのみ該機密データを復号化する機密データ管理手段と、ユーザの操作によりアプリケーションソフトウェアで発生するイベントを監視する監視手段と、監視手段の監視結果に基づいて、機密データの現在の利用状況を判定する機密度判定手段と、機密度判定手段の判定結果に基づいて、監視手段で監視すべきイベントを変更する監視方法設定手段と、を備えたことを特徴とする。
【００１３】
本発明の機密データ監視方法は、オペレーティングシステムと、アプリケーションソフトと、デバイスドライバとが搭載された情報処理装置が所定の機密データを監視する機密データ監視方法であって、所定の機密データの作成および編集が可能な機密データ作成編集ステップと、機密データ作成編集ステップにより作成または編集された機密データが保存される時に該機密データを暗号化する機密データ暗号化ステップと、ユーザの操作によりアプリケーションソフトウェアで発生するイベントを監視する監視ステップと、監視ステップの監視結果に基づいて、機密データの現在の利用状況を判定する機密度判定ステップと、機密度判定ステップの判定結果に基づいて、監視ステップで監視すべきイベントを変更する監視方法設定ステップと、を備えたことを特徴とする。
【００１４】
本発明のプログラムは、オペレーティングシステムと、アプリケーションソフトと、デバイスドライバとが搭載された情報処理装置に所定の機密データを監視する機密データ監視方法を実行させるためのプログラムであって、所定の機密データの作成および編集が可能な機密データ作成編集処理と、機密データ作成編集処理により作成または編集された機密データが保存される時に該機密データを暗号化する機密データ暗号化処理と、ユーザの操作によりアプリケーションソフトウェアで発生するイベントを監視する監視処理と、監視処理の監視結果に基づいて、機密データの現在の利用状況を判定する機密度判定処理と、機密度判定処理の判定結果に基づいて、監視処理で監視すべきイベントを変更する監視方法設定処理と、を情報処理装置に実行させることを特徴とする。
【発明の効果】
【００２８】
本発明によれば、以下の効果を奏することができる。
第１の効果は、必要最小限の監視結果がログとして記録される点である。これは、カプセル化された重要な文書を復号しアプリケーションで利用しているかどうかを機密度判定手段が判定し、この結果を基に、監視方法設定手段が監視すべき項目を変更するためである。つまり、機密情報を利用している場合には、監視を強化し、そうではない場合には大雑把に監視することで監視ログの量を減らすことが可能になる。以上のようにログは必要最小限であるために、ログを捨てることなく運用することができる。
【００２９】
第２の効果は、パソコンのパフォーマンスを下げることがないことである。これは、機密度判定手段と監視方法設定手段を構成に持つことで、不必要なＯＳのイベントを横取りする必要がなく、この結果、パフォーマンスを下げることが少なくなる。さらに、上記第１の効果で説明したとおりログの量も少なくなるために、ログをサーバにアップロードする処理などの負荷も小さくなる。これにより監視ソフトウェアの導入障壁が軽減される。
【００３０】
第３の効果は、動的に変化する文書の機密度に対応して監視できることである。通常、文章は、機密区分が変化する。例えば、広報文書は、広報が完了するまでは秘密事項であるが、いったん公開されるとこの文章は秘密にする必要はない。このように文章の秘密区分は変更になることは一般的である。しかしながら、文書の秘密区分の変更操作は情報漏洩につながる可能性がある。悪意をもった社員が秘密であるべき文章を通常文書に変更する可能性がある。機密度判定手段は、文章の機密区分の変化を検知し、適した監視レベルを設定するため動的に変化する文書の機密度に対応して監視可能である。
【００３１】
第４の効果は、さまざまなＤＲＭシステムと連携できることである。これは、機密度判定手段が、ある特定のＤＲＭシステムを前提としているのではないためである。機密度判定手段は、アプリケーション知識を構成に持つことで、アプリケーションのウインドウタイトルなどから間接的に機密度を判定する。すなわち、導入しているＤＲＭシステムに応じて、アプリケーション知識を書き換えるだけで対応可能となる。
【発明を実施するための最良の形態】
【００３２】
以下、本発明を実施するための最良の形態について添付図面を参照して詳細に説明する。
【実施例１】
【００３３】
〈構成の説明〉
次に、発明を実施するための最良の形態について図面を参照して詳細に説明する。
図１を参照すると、本発明の第１の実施の形態は、ワープロや表計算ソフトなどの機密情報（機密データ）を社内で共有する場合に、この情報へ正当にアクセスできる社員からの情報漏洩を抑止することができる機密文書監視装置（情報処理装置の一例）において、機密文章（機密データの一例）の保存時に暗号化し、利用時には認証に成功した場合にのみ復号することで、認証に成功したユーザのみ機密文章を利用可能にすることができるＤＲＭシステム０１（機密データ管理手段の一例）と、ワープロや表計算ソフトなどの機密情報を作成・編集し、さらにＤＲＭシステム０１と連動して、文章の秘密区分を設定できるオフィスアプリケーション０２（機密データ作成編集手段の一例）と、キーボードの入力、メニューの操作、ウインドウタイトルの文字列の変化、ファイルアクセス、ネットワークアクセス、外部メディアの利用、クリップボードの利用など情報漏洩につながる可能性のあるユーザのパソコンでの操作をＯＳからのイベントを横取りして監視する監視システム０３（監視手段の一例）と、監視システム０３の結果を分析することで、現在のユーザの機密情報の利用状況をリアルタイムに推定する機密度判定手段０４と、機密度判定手段０４の推定結果から、監視システム０３の監視項目の中のどの項目を監視すべきであるか判定し、監視システム０３の設定を更新する監視方法設定手段０５と、を有して構成される。この機密文書監視装置は、オペレーティングシステムと、アプリケーションソフトウェアと、デバイスドライバとが搭載された、パソコン等の情報処理装置である。
【００３４】
さらに、図２を参照すると、機密度判定手段０４は、監視システム０３の監視結果を一時的に蓄積しておく監視結果一時記憶手段０４０１と、監視システム０３の監視結果の意味を抽出することが目的で、監視したイベントの順や、各イベントのパラメータと、ＤＲＭシステム０１やオフィスアプリケーション０２での機密情報の取り扱い状態の関係を記述した知識であるアプリケーション知識０４０２と、監視結果一時記憶手段０４０１のデータを、アプリケーション知識０４０２を使って解析し、ＤＲＭシステム０１で暗号化した文章を現在、オフィスアプリケーション０２で起動しているかどうかを判定する機密情報起動中判定手段０４０３と、監視結果一時記憶手段０４０１のデータを、アプリケーション知識０４０２を使って解析し、ＤＲＭシステム０１で暗号化した文章を現在、オフィスアプリケーション０２で現在フォアグランドの処理としてユーザが利用しているかどうかは判定するカレント文章機密度判定手段０４０４と、監視結果一時記憶手段０４０１のデータを、アプリケーション知識０４０２を使って解析し、ＤＲＭシステム０１で暗号化した文章を現在、オフィスアプリケーション０２で機密文章から通常文章へ変更した文章の利用状況を推定する非カプセル化文章起動判定手段０４０５と、機密情報起動中判定手段０４０３と、カレント文章機密度判定手段０４０４と、非カプセル化文集起動判定手段０４０５の判定結果を記憶する機密度状態記憶手段０４０６と、を有して構成される。
【００３５】
また、図２を参照すると、監視方法設定手段０５は、現在のパソコンの機密情報の取り扱い状態と監視項目の関係とを記述した監視レベル設定ルール０５０２と、機密度状態記憶手段０４０６と監視レベル設定ルール０５０２とから監視システム０３の監視項目を設定する監視項目設定手段０５０１と、を有して構成される。
【００３６】
次に、上記各手段の実施の形態を以下に説明する。
本発明で考えるＤＲＭシステム０１は、ワープロや、表計算ソフトなどのオフィスアプリケーション０２のデータを対象に、以下の機能を有する。
【００３７】
［機密データをカプセル化する機能］カプセルは、機密データを暗号化した本文と、機密データの取り扱い情報を記述したヘッダからなる。暗号化された本文は同時に復号のためのキーが生成さえれ通常はサーバに蓄積される。ヘッダには、このカプセルのＩＤや、このデータの有効期限などの情報が記述されていいるのが一般的である。
【００３８】
［カプセルを利用する機能］カプセルを利用する前に、認証を行い、認証に成功したユーザへ復号のためのキーを発行する。ＤＲＭシステムはこの復号キーを使ってカプセルを復号し、アプリケーションへ平文で渡すことで、通常文章と同じように利用できるようになる。この方法でオフィスアプリケーションに読み込まれたカプセル化文章は、保存時には、再カプセル化が実行される。これにより、カプセル化された文章は、オフィスアプリケーション０２で利用した後も永続的にカプセル化されている。
【００３９】
［カプセルを取り除く機能］外部へ公開しても良い状態に変更になったカプセル化文章を通常の文章へ戻す機能。まずは、この機能の実行が許されたユーザであるか認証を行い、成功すると復号キーを発行して復号し通常の文章に戻す。前記のカプセルを利用する機能と異なり再カプセル化されることはない。
【００４０】
上記機能を持ったＤＲＭシステム０１は一般的なＤＲＭシステムであり、広く知られているものである。本願発明では、上記の機能を有しておれば良く、広く知られた市販のＤＲＭシステムを利用して実施すれば良い。
【００４１】
オフィスアプリケーション０２は、ワープロや、表計算ソフトなど機密情報を作成、閲覧、編集するソフトウェアであり、前記のＤＲＭシステム０１でカプセル化できることだけが条件である。すなわち、ファイルフォーマットや必要な機能の条件は特にない。例えば、マイクロソフト社のオフィスなどの市販のアプリケーションを利用すれば良い。
【００４２】
監視システム０３は、ＯＳのイベントをログに残すシステムである。通常ＯＳのイベントは非常に多くの種類のイベントが大量に発生しているが、特に情報漏洩に関連のある以下の機能を監視できる必要がある。
［１］ウインドウタイトルの変化を検知し、その文字列を取得する。
［２］ファイルの読み込み、書き込みのアクセスを検知し、そのファイル名を取得する。
［３］ウインドウのフォーカスの変化を検知し、トップにあるウインドウのＩＤを取得できる。
［４］アプリケーションの起動を検知し、起動したアプリケーションの名前を取得できる。
［５］クリップボードの変化を検知し、クリップボードで記憶しているデータを取得する。
［６］各アプリケーションのメニュー操作を検知し、そのメニューのラベルを取得する。
［７］ユーザのキーの入力を検知し、入力されたキーを取得する。
［８］スクリーンキャプチャ機能の起動を検知し、キャプチャしたデータを取得する。・外部メディアの利用を検知し、利用するメディアの名前を取得する。
［９］プリンタの利用を検知し、利用するプリンタの名前を取得する。
［１０］ネットワークの利用を検知し、利用するプロトコルや、ポート、ＩＰアドレスなどを検知する。
これらは一例であり、情報漏洩に関する状況証拠に有効であるのなら、他のイベントを監視しても構わない。
【００４３】
また、これらイベントの取得方法は「フック」と呼ばれる方式を利用すれば簡単に実現できる。「フック」とは、アプリケーション内で発生しているイベントを、外部のプログラムが横取りする仕組みであり、ＯＳに標準で備わっている機能である。Windows（登録商標）の場合は、ＧＵＩの操作を取得する、ＭＳＡＡ（Microsoft Active Accessibility）や、アプリケーション内部で発生しているイベントを取得するメッセージフックや、アプリケーションからＯＳへのシステムコールを取得するＡＰＩフックなどが開示されており、これらを利用すれば、上記監視機能の実現は簡単である。
【００４４】
また、上記従来技術２のような、市販の監視システムも同様の方法で実現されており、これらを使っても構わない。
【００４５】
監視結果一時記憶手段の例を図３に示す。
以下の４つのフィールドから構成される。
【００４６】
［１］日時（Ｔ−０４０１−０１）：イベントが発生した日時
【００４７】
［２］アプリケーション（Ｔ−０４０１−０２）：イベントが発生したアプリケーション名
【００４８】
［３］イベント（Ｔ−０４０１−０３）：イベントの名前。図３の例では以下の種類がある。
フォーカスチェンジ：トップにあるウインドウが変化した際に発生するイベント。例えば、ユーザがアイコン化されているウインドウを元に戻すと発生する。
タイトルチェンジ：ウインドウのタイトルが変化した際に発生するイベント。例えば、ファイルの名前を変更して保存した場合、ウインドウにファイル名が表示されているアプリケーションでは、このイベントが発生する。
ファイル読み込み：ディスクからファイルを読み込んだ際に発生する。ユーザがアプリケーションからファイルを開いたり、アプリケーションが管理用に作成した一時ファイル読み込んだりした場合などに発生する。
ファイル書き込み：ディスクへファイルを書き込んだ際に発生する。ユーザがアプリケーションで保存操作をしたり、アプリケーションが管理用に作成した一時ファイルを書き込んだりした場合などに発生する。
ダイアログ：アプリケーションでダイアログが開いた場合に発生する。
【００４９】
［４］パラメータ（Ｔ−０４０１−０４）：各イベント毎に取得したパラメータ。図３の場合、パラメータは以下のとおりである。
フォーカスチェンジ：フォーカスが当たっているウインドウのウインドウタイトルの文字列
タイトルチェンジ：変化があったウインドウタイトルの文字列
ファイル読み込み：読み込んでいるファイルのファイルパス
ファイル書き込み：書き込んでいるファイルのファイルパス
ダイアログ：開いたダイアログのウインドウタイトルの文字列
【００５０】
監視結果一時記憶手段０４０１は、上記フィールドからなるデータの集合を、リレーショナルデータベースや、ＣＳＶ（Comma Separated Values）形式のテキストデータで記憶すればよい。
【００５１】
また、監視結果一時記憶手段０４０１は、あまり古い監視結果は意味がないため、パソコンを再起動する際にクリアすれば良い。
【００５２】
アプリケーション知識の例を図４に示す。
以下の４つのフィールドから構成される。
【００５３】
［１］意味（Ｔ−０４０２−０１）：監視したイベントの順や、各イベントのパラメータと、ＤＲＭシステムや、オフィスアプリケーションでの機密情報の取り扱いの関係を意味し、以下の種類からなる。
［カプセル化］：ＤＲＭシステムの機密データをカプセル化する機能を実行したことを意味する。すなわち、通常文集をカプセル化したことを意味する。
［非カプセル化］：ＤＲＭシステムのカプセルを取り除く機能を実行したことを意味する。すなわち、カプセル化された文章を通常文章へ戻したことを意味する。
カプセル開く：ＤＲＭシステムのカプセルを利用する機能を実行したことを意味する。すなわち、認証に成功し、カプセルを復号して、アプリケーションで利用できる状態になったことを意味する。
［カプセル終了］：利用中のカプセルを終了させたことを意味する。
カレント文書を秘文書へ切り替え：ウインドウの上下関係を切り替え、秘文書にフォーカスが当たっていることを意味する。
カレント文章を通常文章へ切り替え：ウインドウの上下関係を切り替え、通常文章にフォーカスが当たっていることを意味する。
【００５４】
［２］アプリケーション（Ｔ−０４０２−０２）：この意味を適用できるアプリケーションをカンマ区切りで列挙したフィールドである。
【００５５】
［３］イベント順（Ｔ−０４０２−０３）：この意味を、イベントの発生順で定義するフィールド。図４の第一レコードの場合、フォーカスチェンジ、ダイアログ、タイトルチェンジの順にイベントが発生した場合に、カプセル化が実行されたと判断する。なお、イベントは、実際のマルチタスクのＯＳでは、複数のアプリケーション間で非同期に発生するために、図４の例のように連続して発生するとは限らない。複数のアプリケーションからのイベントが交互に蓄積される可能性がある。本実施の形態では、説明を簡単にするためにアプリケーションで連続したイベントが発生している例を示している。実際にマルチタスクのＯＳで実現するためには、アプリケーション毎に分けてイベントを解析するといった工夫が必要である。
【００５６】
［４］パラメータ（Ｔ−０４０２−０４）：各イベントのパラメータである。図４の例では以下のフォーマットで記述している。
「イベントの種類．パラメータの属性名：条件」
【００５７】
イベントの種類は、イベント順フィールドに登録したイベントであり、このフィールの出現順に通し番号をうっている。
【００５８】
パラメータの属性名は、図４の例の場合、タイトルかファイル名である。これは、この実施の形態では各イベントのパラメータはこの２種類しかないからであり、扱うイベントとそのパラメータに応じて変更すればよい。例えば、ステータスバーのラベルの変化などをルールにしても構わない。
【００５９】
条件は、文字列を含んでいるか、含んでいないかを記述する。ただし、これも一例であり、別の条件を加えても構わない。例えば、あるＧＵＩの部品のＯＮ・ＯＦＦなどを条件に利用しても構わない。
【００６０】
図４の第一レコードの例では、「MS-EXCEL,MS-WORD,MS-PPTのいずれかのアプリケーションで、フォーカスチェンジ、ダイアログ、タイトルチェンジの順にイベントが発生し、発生したダイアログイベントのパラメータにカプセル化という文字列が含まれており、タイトルチェンジイベントのパラメータに秘密という文字列が含まれている場合は、カプセル化を行ったと判断しなさい」という知識である。
【００６１】
機密情報起動中判定手段０４０３、カレント文章機密度判定手段０４０４、非カプセル化文章起動判定手段０４０５は、監視結果一時記憶手段０４０１にデータが登録される毎に、アプリケーション知識０４０２を使って解析を始める。以下、その解析方法を説明する。
【００６２】
機密情報起動中判定手段０４０３：以下をカウントすることで機密情報が起動中であるかどうかを判定する。
「機密情報起動数＝（カプセル化の数＋カプセル開くの数）−（非カプセル化の数＋カプセル終了の数）」
【００６３】
従って、機密情報起動中判定手段０４０３は、上記数を記憶しておく４つのカウンタをメモリに記憶しておけばよい。
【００６４】
カレント文集機密度判定手段０４０４：アプリケーション知識０４０２の「カレント文章を秘文章へ切り替える」と「カレント文章を通常文章へ切り替える」の２つに注目し、監視結果一時記憶手段を解析した結果、最も最近のものが、どちらであるかから判断すれば良い。
【００６５】
非カプセル化文章起動判定手段０４０５：アプリケーション知識０４０２の「非カプセル化」に注目し、監視結果一時記憶手段０４０１を解析する。非カプセル化が行われたことのみを覚えておくメモリをひとつ用意すればよい。
【００６６】
機密度状態記憶手段０４０６：以下の情報を記憶する。
【００６７】
［１］フォアグランド（Ｔ−０４０６−０１）：現在フォーカスが当たっているウインドウのデータが機密情報かどうかを示す。図５では、１の場合、機密文書でであり、０の場合、通常文書であることを意味する。
【００６８】
［２］バックグランド（Ｔ−０４０６−０２）：現在、フォーカスが当たっていない（他のウインドウに隠れている、アイコン化されているなど）ウインドウのデータに機密情報が含まれているかどうかを示す。図５では、含まれている数を示している。０の場合は、機密情報を含んでいないことを意味する。
【００６９】
［３］非カプセル化（Ｔ−０４０６−０３）：非カプセル化の作業を行った回数を示す。０の場合は、行っていないことを示している。
【００７０】
監視レベル設定ルール０５０２の例を図６に示す。
以下の２つのフィールドからなる。
【００７１】
［１］重要度（Ｔ−０５０２−０１）：現在のパソコンの機密文書の扱いの状況を示している。図６の例では、「最重要」、「重要」、「通常」の３状態からなる。「最重要」は、非常に詳しく監視する必要がある状況であることを意味し、機密文章をオフィスアプリケーション０２で編集しているような状況を想定している。「重要」は、監視項目を絞り込んで良い状況を意味し、機密文章をオフィスアプリケーション０２で起動したが現在ユーザが操作している文章は、通常文章であるような状況を想定している。「通常」は、監視する必要がないような状況を意味しており、機密文章がオフィスアプリケーションで起動されていない状況を想定している。
【００７２】
［２］監視項目（Ｔ−０５０２−０２）：監視項目は、監視システム０３で監視可能な項目から構成される。図６の例の場合、クリップボード、アプリケーションの起動、メニュー操作、キー入力、スクリーンキャプチャ、外部メディアの利用、プリンタの利用、ネットワークの利用からなる。図６で、○は監視する必要があることを意味しており、×は監視する必要がないことを意味している。図６の例の場合、最重要場合には、すべての項目を監視し、重要な場合には、クリップボードとアプリケーションの起動、スクリーンキャプチャを監視し、通常の場合は何も監視しなくて良いことを意味している。ただし、この設定はあくまでも一例であり、別の設定をしても構わない。また、ウインドウタイトルの変化、ファイルの読み込み、書き込みのアクセスは、ウインドウのフォーカスの変化は、機密度判定手段が利用するため重要度の値によらず監視する。
【００７３】
監視項目設定手段０５０１は、機密度状態記憶手段０４０６の値と、監視レベル設定ルール０５０２から、監視項目を決定し監視システム０３に設定をする手段である。監視項目設定手段０５０１は、以下のルールで重要度を判定する。
［最重要］：フォアグランドの値が１の場合、あるいは、非カプセル化の値が１の場合。直感的には、機密情報が現在オフィスアプリケーションで利用中であるか、非カプセル化した文章が存在する状況であり、非常に詳しく監視する必要がある状況であることを意味する。
［重要］：フォアグランドの値、非カプセル化の値がいずれも０であり、バックグランドの値が正の場合。直感的には、機密情報はオフィスアプリケーションで起動されているが、今現在ユーザは利用していない状況であり、最小限の監視をする状況を意味する。
［通常］：フォアグランドの値、バックグランドの値、非カプセル化の値がいずれも０の場合。直感的には、機密文章が扱われていない状況を意味する。
【００７４】
以上のように、本発明は、ＤＲＭシステム０１によりカプセル化された機密文書の利用状況を、機密度判定手段０４が判定することで、機密情報をオフィスアプリケーション０２で編集しているような情報漏洩の可能性がある状況では監視を強化でき、機密情報を起動していないような、情報漏洩の可能性の少ない状況では監視を緩めることができる。これにより、必要最小限のログを収集することができ、内部からの犯行にも有効な情報漏洩対策が可能になる。
【００７５】
〈動作の説明〉
本発明はユーザから見ると、オフィスアプリケーション０２、ＤＲＭシステム０１を通常と変わらない方法で利用するだけである。この利用を監視システムが監視することで動作する。この動作を、図７のフローチャートを使って説明する。
【００７６】
ユーザによるオフィスアプリケーションの操作を監視するオフィスアプリケーション監視ステップＳ−０１と、監視結果が追加されたかどうかを判定する監視結果追加判定ステップＳ−０２と、監視結果追加判定ステップＳ−０２の結果ログが追加されていた場合に、監視結果の意味を推定し現在のパソコンの機密情報の取り扱いの状況を推定する監視結果分析ステップＳ−０３と、監視結果分析ステップＳ−０３の分析結果から現在の必要な監視レベルを決定する機密度判定ステップＳ−０４と、機密度判定ステップＳ−０４の値から、オフィスアプリケーションの監視項目を適切な値に変更する監視方法設定変更ステップＳ−０５と、から構成される。
【００７７】
なお、この処理の流れのスタートは、ユーザがパソコンを起動したときに自動起動すればよい。また、このフローは終了が存在しないが、これはユーザがパソコンを利用している間動作し続けることを意味する。実際には、パソコンの終了時に終了する。
【００７８】
図８を使って、監視結果分析ステップＳ−０３のさらに詳細な処理の流れを説明する。
監視結果の中から通常文章をカプセル化したログを検索し、そのレコード数を数えるカプセル化数カウントステップＳ−０３−０１と、監視結果の中からカプセル化されている文章を通常の文章に戻したログを検索しそのレコード数を数える非カプセル化数カウントステップＳ−０３−０２と、監視結果の中からカプセル化されている文章をアプリケーションで読み込んだログを検索しそのレコード数を数えるカプセル開く数カウントステップＳ−０３−０３と、現在アプリケーションで起動している機密文章（アプリケーションで読み込まれたカプセル化されている機密文章あるいは、通常文章からカプセル化された機密文章）の終了を監視結果のログから検索し、そのレコード数を数えるカプセル終了数カウントステップＳ−０３−０４と、カプセル化数カウントステップＳ−０３−０１の結果とカプセル開く数カウントステップＳ−０３−０３の結果と、非カプセル化数カウントステップの結果Ｓ−０３−０２と、カプセル終了数ステップＳ−０３−０４の結果から現在ユーザが利用しているパソコンで機密情報が起動している数をカウントする機密情報起動数計算ステップＳ−０３−０５と、監視結果の中から最も最近に文章の切り替えを行ったログを検索し現在フォーカスが当たっている文章が機密文章であるか通常文章であるかを判定するカレント文章機密度判定ステップＳ−０３−０６と、カレント文章機密度判定ステップＳ−０３−０６の結果と、機密情報起動数計算ステップＳ−０３−０５の結果と、非カプセル化数カウントステップＳ−０３−０２の結果とからそれぞれ、フォアグランドの機密情報の数、バックグランドの機密情報の数、非カプセル化された文章の数を記憶する分析結果記憶ステップＳ−０３−０７と、から構成される。
【００７９】
なお、カプセル化数カウントステップＳ−０３−０１、非カプセル化数カウントステップＳ−０３−０２、カプセル開く数カウントステップＳ−０３−０３、カプセル終了数カウントステップＳ−０３−０４はこの順に実行する必要はなく、入れ替わっても構わない。さらに、カプセル化数カウントステップＳ−０３−０１から機密情報起動数計算ステップＳ−０３−０５までのフローと、カレント文章機密度判定ステップＳ−０３−０６もこの順に実行する必要はなく、入れ替わっても構わない。
【００８０】
図７において、機密度判定ステップＳ−０４は、監視項目設定手段の説明と同様のルールで、監視結果分析ステップＳ−０３の結果から判断する。
【００８１】
図７において、監視方法設定変更ステップＳ−０５は、機密度判定ステップＳ−０４の結果である重要度をキーに、監視レベル設定ルールをマッチングさせて監視すべき項目を決定する。
【００８２】
以上、本発明の実施の形態について説明したが、上記実施の形態に限定されるものではなく、その要旨を逸脱しない範囲において種々の変形が可能である。
【産業上の利用可能性】
【００８３】
本発明によれば、ワープロや表計算ソフトで作成した機密情報を社内で共有する場合に、この情報へ正当にアクセス権がある者からの情報漏洩を抑止することができる機密文書管理分野に適用できる。
【図面の簡単な説明】
【００８４】
【図１】本発明の第１の発明を実施するための最良の形態の構成を示すブロック図である。
【図２】本発明の第１の発明を実施するための最良の形態の構成を示すブロック図である。
【図３】第１の発明を実施するための最良の形態のデータの一例を示す図である。
【図４】第１の発明を実施するための最良の形態のデータの一例を示す図である。
【図５】第１の発明を実施するための最良の形態のデータの一例を示す図である。
【図６】第１の発明を実施するための最良の形態のデータの一例を示す図である。
【図７】第１の発明を実施するための最良の形態の処理フローを示す図である。
【図８】第１の発明を実施するための最良の形態の処理フローを示す図である。
【図９】従来技術２の構成を示すブロック図である。
【符号の説明】
【００８５】
０１    ＤＲＭシステム
０２    オフィスアプリケーション
０３    監視システム
０４    機密度判定手段
０５    監視方法設定手段
０４０１    監視結果一時記憶手段
０４０２    アプリケーション知識
０４０３    機密情報起動中判定手段
０４０４    カレント文章機密度判定手段
０４０５    非カプセル化文章起動判定手段
０４０６    機密状態記憶手段
０５０１    監視項目設定手段
０５０２    監視レベル設定ルール
Ｔ−０４０１−０１    日時フィ−ルド
Ｔ−０４０１−０２    アプリケ−ションフィ−ルド
Ｔ−０４０１−０３    イベントフィ−ルド
Ｔ−０４０１−０４    パラメ−タフィ−ルド
Ｔ−０４０２−０１    意味フィ−ルド
Ｔ−０４０２−０２    アプリケ−ションフィ−ルド
Ｔ−０４０２−０３    イベント順フィ−ルド
Ｔ−０４０２−０４    パラメ−タフィ−ルド
Ｔ−０４０６−０１    フォアグランドフィ−ルド
Ｔ−０４０６−０２    バックグランドフィ−ルド
Ｔ−０４０６−０３    非カプセル化フィ−ルド
Ｔ−０５０１−０１    重要度フィ−ルド
Ｔ−０５０１−０２    監視項目フィ−ルド
【図１】
0004690226.tif 000002
【図２】
0004690226.tif 000003
【図３】
0004690226.tif 000004
【図４】
0004690226.tif 000005
【図５】
0004690226.tif 000006
【図６】
0004690226.tif 000007
【図７】
0004690226.tif 000008
【図８】
0004690226.tif 000009
【図９】
0004690226.tif 000010