(57)【要約】【課題】本発明の課題は、情報ネットワークの利用者の行動を把握して、情報漏洩の予防対策に役立つ情報ファイル漏洩を検知するための効果的な表示方法、システムを提供することである。【解決手段】携帯記憶媒体に記録された利用者識別情報と、コンピュータ資源を利用したコンピュータ処理実行の履歴結果と、から、利用者端末装置のネットワークアドレス情報と利用者識別情報とコンピュータ資源情報と利用日時情報とを含む利用履歴データを作成して、前記ファイル漏洩分析装置に、送信する利用者端末装置と、受信した利用履歴データから、所定の条件の利用履歴データを抽出して、利用者識別情報とコンピュータ資源情報と利用日時情報とを含む表示データを作成して、コンピュータ資源表示行と日時表示列の漏洩分析画面を表示するファイル漏洩分析装置と、がネットワーク接続されて構成されるファイル漏洩検知システムである。【選択図】図１
2007304943.tif 000002
【特許請求の範囲】
【請求項１】
コンピュータ資源表示行と日時表示列とに、画面セルを二次元配列する漏洩分析画面を表示するファイル漏洩分析装置と、利用者端末装置と、がネットワーク接続されて構成されるファイル漏洩検知システムであって、
前記利用者端末装置は、
利用者端末装置のネットワークアドレス情報と利用者識別情報とコンピュータ資源情報と利用日時情報とを含む利用履歴データを記憶する記憶手段と、
携帯記憶媒体に記録された利用者識別情報を読み取る携帯記憶媒体読取手段と、
コンピュータ資源を利用したコンピュータ処理実行の履歴結果から、利用履歴データを作成して、前記記憶手段に、記録する利用履歴記録手段と、
利用履歴データを前記ファイル漏洩分析装置に、送信する利用履歴送信手段と、
を備えた端末装置であって、
前記ファイル漏洩分析装置は、
利用履歴データを前記利用者端末装置から受信する利用履歴受信手段と、
受信した利用履歴データから、所定の条件の利用履歴データを抽出する利用履歴抽出手段と、
前記抽出された利用履歴データから、利用者識別情報とコンピュータ資源情報と利用日時情報とを含む表示データを作成する表示データ作成手段と、
前記表示データを用いて、コンピュータ資源表示行情報と日時表示列情報とを含む画面セルデータを、作成する画面セルデータ作成手段と、
前記画面セルデータのコンピュータ資源表示行情報と日時表示列情報とを読み取って、漏洩分析画面のコンピュータ資源表示行と日時表示列とに対応付けて、前記画面セルデータを配列して、ファイル漏洩分析画面を作成して表示する分析画面表示手段と、
を備えた分析装置である、
ことを特徴とするファイル漏洩検知システム。
【請求項２】
前記ファイル漏洩分析装置は、
前記抽出された利用履歴データから、画面セルデータのコンピュータ資源表示行情報と日時表示列情報とに対応させたコンピュータ資源情報と加工日時情報とを含むセル加工データを作成するセル加工データ作成手段と、
前記セル加工データのコンピュータ資源情報と加工日時情報とを読み取って、漏洩分析画面のコンピュータ資源表示行と日時表示列とを参照して、対応した画面セルを選択して、前記セル加工データの指示に従って、この画面セルを加工する分析画面加工手段と、
を備えた分析装置である、
ことを特徴とする請求項１に記載のファイル漏洩検知システム。
【請求項３】
前記ファイル漏洩分析装置は、
前記セル加工データが、
コンピュータ資源情報と加工日時情報とセル記号表記情報とセル着色情報とを含むデータであって、
前記分析画面加工手段が
前記セル加工データのコンピュータ資源情報と加工日時情報とセル着色情報とを読み取って、漏洩分析画面のコンピュータ資源表示行と日時表示列とを参照して、対応する画面セルを選択して、セル着色情報の指示に従って、この画面セルに、着色をする分析画面着色加工手段と、
前記セル加工データのコンピュータ資源情報と加工日時情報とセル記号表記情報とを読み取って、漏洩分析画面のコンピュータ資源表示行と日時表示列とを参照して、対応する画面セルを選択して、セル記号表記情報の指示に従って、この画面セルに、記号表記をする分析画面記号表記加工手段と、
を備えた分析装置である、
ことを特徴とする請求項２に記載のファイル漏洩検知システム。
【請求項４】
利用者端末装置のネットワークアドレス情報と利用者識別情報とコンピュータ資源情報と利用日時情報とを含む利用履歴データと、
利用者識別情報とコンピュータ資源情報と利用日時情報とを含む表示データと、
コンピュータ資源表示行情報と日時表示列情報とを含む画面セルデータと、
を用いるファイル漏洩検知方法であって、
携帯記憶媒体に記録された利用者識別情報を読み取る携帯記憶媒体読取ステップと、
コンピュータ資源を利用したコンピュータ処理実行の履歴結果から、利用履歴データを作成して、記録する利用履歴記録ステップと、
利用履歴データから、所定の条件の利用履歴データを抽出する利用履歴抽出ステップと、
前記抽出された利用履歴データから、表示データを作成する表示データ作成ステップと、
表示データを用いて、画面セルデータを作成する画面セルデータ作成ステップと、
画面セルデータのコンピュータ資源情報表示行と日時情報表示列とを読み取って、漏洩分析画面のコンピュータ資源表示行と日時表示列とに対応付けて、画面セルデータを配列して、ファイル漏洩分析画面を作成して表示する分析画面表示ステップと、
を含んだ手順でなされることを特徴とするファイル漏洩検知方法。
【請求項５】
画面セルデータのコンピュータ資源表示行情報と日時表示列情報とに対応させたコンピュータ資源情報と加工日時情報とを含むセル加工データを用いるファイル漏洩検知方法であって、
前記抽出された利用履歴データから、セル加工データを作成するセル加工データ作成ステップと、
セル加工データのコンピュータ資源情報と加工日時情報とを読み取って、漏洩分析画面のコンピュータ資源表示行と日時表示列とを参照して、対応した画面セルを選択して、セル加工データの指示に従って、この画面セルを加工する分析画面加工指示ステップと、
を含んだ手順でなされることを特徴とする請求項４に記載のファイル漏洩検知方法。
【請求項６】
コンピュータ資源情報と加工日時情報とセル記号表記情報とセル着色情報とを含むセル加工データを利用する、
セル加工データのコンピュータ資源情報と加工日時情報とセル着色情報とを読み取って、漏洩分析画面のコンピュータ資源表示行と日時表示列とを参照して、対応する画面セルを選択して、セル着色情報の指示に従って、この画面セルに、着色をする分析画面着色加工ステップと、
セル加工データのコンピュータ資源情報と加工日時情報とセル記号表記情報とを読み取って、漏洩分析画面のコンピュータ資源表示行と日時表示列とを参照して、対応する画面セルを選択して、セル記号表記情報の指示に従って、この画面セルに、記号表記をする分析画面記号表記加工ステップと、
を含んだ手順でなされることを特徴とする請求項５に記載のファイル漏洩検知方法。
【請求項７】
コンピュータに組込むことによって、コンピュータを請求項１から、請求項４のいずれか１項に記載のファイル漏洩検知システムとして動作させるコンピュータプログラム。
【請求項８】
請求項７に記載のコンピュータプログラムを記録したコンピュータ読取り可能な記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報ファイルの利用履歴から、利用者による、情報漏洩を検知するための効果的な表示方法、及び、システムに関するものである。
【背景技術】
【０００２】
従来から、コンピュータネットワークの情報管理のために、利用履歴を分析して、情報漏洩を予防する取り組みが行われている。
【０００３】
たとえば、特許文献１には、ネットワーク利用者の利用履歴から、そのネットワーク利用者の通常の行動形態を分析しておき、通常の行動形態とは異なる行動形態を執ると、その変化を捉えて、情報管理者に利用者の異常行動を通知して、注意を喚起させる技術が開示されている。（従来技術１）
【特許文献１】特開２００５−３３２３４５号公報（１９〜２０頁、図７，８）
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかし、従来技術１では、ネットワーク利用者の利用履歴には、ファイル操作を追跡調査するための情報が含まれていないので、不正なファイル操作があったか調査することが困難であるという欠点があった。また、ファイルを操作したソフトウエアが特定できないので、どのような操作を行ったかの推定が不可能であるという問題点があった。
【０００５】
本発明はこのような従来技術を考慮してなされたものであって、本発明の課題は、情報ネットワークの利用者の行動を把握して、情報漏洩の予防対策に役立つ情報ファイル漏洩を検知するための効果的な表示方法、システムを提供することである。
【課題を解決するための手段】
【０００６】
本発明は、以下のような解決手段により、前記課題を解決する。すなわち、請求項１の発明は、コンピュータ資源表示行と日時表示列とに、画面セルを二次元配列する漏洩分析画面を表示するファイル漏洩分析装置と、利用者端末装置と、がネットワーク接続されて構成されるファイル漏洩検知システムであって、前記利用者端末装置は、利用者端末装置のネットワークアドレス情報と利用者識別情報とコンピュータ資源情報と利用日時情報とを含む利用履歴データを記憶する記憶手段と、携帯記憶媒体に記録された利用者識別情報を読み取る携帯記憶媒体読取手段と、コンピュータ資源を利用したコンピュータ処理実行の履歴結果から、利用履歴データを作成して、前記記憶手段に、記録する利用履歴記録手段と、利用履歴データを前記ファイル漏洩分析装置に、送信する利用履歴送信手段と、を備えた端末装置であって、前記ファイル漏洩分析装置は、利用履歴データを前記利用者端末装置から受信する利用履歴受信手段と、受信した利用履歴データから、所定の条件の利用履歴データを抽出する利用履歴抽出手段と、前記抽出された利用履歴データから、利用者識別情報とコンピュータ資源情報と利用日時情報とを含む表示データを作成する表示データ作成手段と、前記表示データを用いて、コンピュータ資源表示行情報と日時表示列情報とを含む画面セルデータを、作成する画面セルデータ作成手段と、前記画面セルデータのコンピュータ資源表示行情報と日時表示列情報とを読み取って、漏洩分析画面のコンピュータ資源表示行と日時表示列とに対応付けて、前記画面セルデータを配列して、ファイル漏洩分析画面を作成して表示する分析画面表示手段と、を備えた分析装置である、ことを特徴とするファイル漏洩検知システムである。
【０００７】
ここで、利用者識別情報は、利用者を特定する情報である。コンピュータ資源情報は、利用者が使用したファイル名称情報やソフトウエア名称情報である。
【０００８】
つまり、ファイル漏洩検知管理者は、利用者端末装置の利用履歴データから作成された分析画面を分析して、利用者によるファイル漏洩を検知することができる。
【０００９】
請求項２の発明は、前記ファイル漏洩分析装置は、前記抽出された利用履歴データから、画面セルデータのコンピュータ資源表示行情報と日時表示列情報とに対応させたコンピュータ資源情報と加工日時情報とを含むセル加工データを作成するセル加工データ作成手段と、前記セル加工データのコンピュータ資源情報と加工日時情報とを読み取って、漏洩分析画面のコンピュータ資源表示行と日時表示列とを参照して、対応した画面セルを選択して、前記セル加工データの指示に従って、この画面セルを加工する分析画面加工手段と、を備えた分析装置である、ことを特徴とする請求項１に記載のファイル漏洩検知システムである。
【００１０】
このように、セル加工データを用いて、ファイル漏洩分析画面１００ａを見やすいように表示加工する。
【００１１】
請求項３の発明は、前記ファイル漏洩分析装置は、前記セル加工データが、コンピュータ資源情報と加工日時情報とセル記号表記情報とセル着色情報とを含むデータであって、前記分析画面加工手段が前記セル加工データのコンピュータ資源情報と加工日時情報とセル着色情報とを読み取って、漏洩分析画面のコンピュータ資源表示行と日時表示列とを参照して、対応する画面セルを選択して、セル着色情報の指示に従って、この画面セルに、着色をする分析画面着色加工手段と、前記セル加工データのコンピュータ資源情報と加工日時情報とセル記号表記情報とを読み取って、漏洩分析画面のコンピュータ資源表示行と日時表示列とを参照して、対応する画面セルを選択して、セル記号表記情報の指示に従って、この画面セルに、記号表記をする分析画面記号表記加工手段と、を備えた分析装置である、ことを特徴とする請求項２に記載のファイル漏洩検知システムである。
【００１２】
請求項４の発明は、利用者端末装置のネットワークアドレス情報と利用者識別情報とコンピュータ資源情報と利用日時情報とを含む利用履歴データと、利用者識別情報とコンピュータ資源情報と利用日時情報とを含む表示データと、コンピュータ資源表示行情報と日時表示列情報とを含む画面セルデータと、を用いるファイル漏洩検知方法であって、携帯記憶媒体に記録された利用者識別情報を読み取る携帯記憶媒体読取ステップと、コンピュータ資源を利用したコンピュータ処理実行の履歴結果から、利用履歴データを作成して、記録する利用履歴記録ステップと、利用履歴データから、所定の条件の利用履歴データを抽出する利用履歴抽出ステップと、前記抽出された利用履歴データから、表示データを作成する表示データ作成ステップと、表示データを用いて、画面セルデータを作成する画面セルデータ作成ステップと、画面セルデータのコンピュータ資源情報表示行と日時情報表示列とを読み取って、漏洩分析画面のコンピュータ資源表示行と日時表示列とに対応付けて、画面セルデータを配列して、ファイル漏洩分析画面を作成して表示する分析画面表示ステップと、を含んだ手順でなされることを特徴とするファイル漏洩検知方法である。
【００１３】
請求項５の発明は、画面セルデータのコンピュータ資源表示行情報と日時表示列情報とに対応させたコンピュータ資源情報と加工日時情報とを含むセル加工データを用いるファイル漏洩検知方法であって、前記抽出された利用履歴データから、セル加工データを作成するセル加工データ作成ステップと、セル加工データのコンピュータ資源情報と加工日時情報とを読み取って、漏洩分析画面のコンピュータ資源表示行と日時表示列とを参照して、対応した画面セルを選択して、セル加工データの指示に従って、この画面セルを加工する分析画面加工指示ステップと、を含んだ手順でなされることを特徴とする請求項４に記載のファイル漏洩検知方法である。
【００１４】
請求項６の発明は、コンピュータ資源情報と加工日時情報とセル記号表記情報とセル着色情報とを含むセル加工データを利用する、セル加工データのコンピュータ資源情報と加工日時情報とセル着色情報とを読み取って、漏洩分析画面のコンピュータ資源表示行と日時表示列とを参照して、対応する画面セルを選択して、セル着色情報の指示に従って、この画面セルに、着色をする分析画面着色加工ステップと、セル加工データのコンピュータ資源情報と加工日時情報とセル記号表記情報とを読み取って、漏洩分析画面のコンピュータ資源表示行と日時表示列とを参照して、対応する画面セルを選択して、セル記号表記情報の指示に従って、この画面セルに、記号表記をする分析画面記号表記加工ステップと、を含んだ手順でなされることを特徴とする請求項５に記載のファイル漏洩検知方法である。
【００１５】
請求項７の発明は、
コンピュータに組込むことによって、コンピュータを請求項１から、請求項４のいずれか１項に記載のファイル漏洩検知システムとして動作させるコンピュータプログラムである。
【００１６】
請求項８の発明は、
請求項７に記載のコンピュータプログラムを記録したコンピュータ読取り可能な記録媒体である。
【発明の効果】
【００１７】
本願発明によれば、利用者を特定して、不正なファイル操作があったか調査することが可能となる。また、ファイルを操作したソフトウエアを特定して、どのような操作を行ったかの推定が可能となる。
【発明を実施するための最良の形態】
【００１８】
以下、図面等を参照しながら、本発明の実施の形態について、更に詳しく説明する。図１は、利用者識別媒体を用いたファイル漏洩検知システム１の概要図である。利用者識別媒体を用いたファイル漏洩検知システム１は、利用者端末装置３００と、ファイル漏洩分析装置１００と、が、ネットワーク接続される。ここで、利用者識別媒体７００は、たとえば、ＩＣカードや、ＩＣタグである。
【００１９】
利用者端末装置３００は、コンピュータであって、記憶装置と、利用者識別媒体読取器（たとえば、ＩＣカードリーダ）と、を備える。記憶装置は、利用履歴データ３９９を記憶する。
【００２０】
利用履歴データ３９９は、利用者端末装置３００の利用者が、コンピュータ資源（コンピュータプログラムやファイルなど）を利用して、コンピュータ処理を実行した処理結果から、作成した記録データである。
【００２１】
ファイル漏洩分析装置１００は、コンピュータであって、記憶装置と、表示装置と、を備える。記憶装置は、表示データ１９５と、画面セルデータ１９９と、利用履歴データ３９９と、セル加工データ１９７と、を記憶する。表示装置は、ファイル漏洩分析画面１００ａを表示する。
【００２２】
漏洩分析画面１００ａは、コンピュータ資源表示行と日時表示列とに、画面セルを二次元配列した画面である。表示データ１９５は、画面セルデータ１９９やセル加工データ１９７を作成するために、履歴データ３９９から、選択されたデータである。画面セルデータ１９９は、漏洩分析画面１００ａに表示するデータであって、漏洩分析画面１００ａの画面セルを指定する情報と、画面セルに表示させる情報と、から構成されるデータである。セル加工データ１９７は、ファイル漏洩分析画面１００ａの画面セルを指定する情報と、画面セル見やすくするための加工情報（着色や記号表記など）から構成されるデータである。
【００２３】
図２は、利用者識別媒体を用いたファイル漏洩検知システム１１の大まかな処理の流れの説明図である。利用者端末装置３００は、ＩＣカード７００に格納されている利用者識別情報（たとえば、利用者ＩＤ）を受け付ける（図２（ア））。利用者端末装置３００は、利用者ＩＤを含んだ利用履歴データ３９９（＝利用履歴情報）を、記録する（同（イ））。利用者端末装置３００は、利用履歴データ３９９を、送信する。（同（ウ））。
【００２４】
ファイル漏洩分析装置 １００は、利用履歴データ３９９を、受信する（同（カ））。ファイル漏洩分析装置 １００は、利用履歴データ３９９から、所定の条件の利用履歴データ３９９を抽出する（同（キ））。（詳細は後述する。）ファイル漏洩分析装置 １００は、抽出した利用履歴データ３９９から、表示データ１９５を作成する（同（ク））。表示データ１９５から、画面セルデータ１９９を作成して、ファイル漏洩分析画面１００ａに表示する（同（ケ））。
【００２５】
このとき、セル加工データ１９７を用いて、ファイル漏洩分析画面１００ａを見やすいように表示加工しても良い。
【００２６】
ファイル漏洩検知者は、ファイル漏洩分析画面１００ａを分析して、利用者５００によるファイルの漏洩を検知する（同（サ））。
【００２７】
図３は、ファイル漏洩分析装置１００の利用履歴データ３９９の例である。利用履歴データ３９９は、データ番号と、ネットワークアドレス情報と、利用者識別情報と、日時情報と、イベント操作情報と、コンピュータ資源情報と、から構成される。
【００２８】
データ番号は、連続番号である。ネットワークアドレス情報は、ＩＰアドレスである。利用者識別情報は、社員ＩＤである。日時情報は、日付、時刻である。イベント操作種類は、[COPY]、または、[DEL] 、または、[READ]、または、[WRITE]、または、[ログアウト]などである。コンピュータ資源情報は、ファイル名称情報、あるいは、プログラム名称情報の一方の情報である。
【００２９】
図３には、データ番号が「３」には、「社員ＩＤが「ID123456」の者が、「user」でログインする」利用履歴データが例示されている。また、データ番号が「５」には、「サーバからファイルをコピーする」利用履歴データが、例示されている。さらに、データ番号が「１３」には、「サーバからコピーしたファイルを、さらにコピーする」利用履歴データが、例示されている。
【００３０】
それ以外にも、データ番号が「２１」には、「ファイルを削除する」利用履歴データや、データ番号が「３４」と「３５」には、「コピーしたファイルをWINWORD（マイクロソフト（登録商標）製プログラム）で開く」利用履歴データや、データ番号が「４６」と「４７」と「４８」には、「  123.txtというファイルをNOTEPAD（マイクロソフト（登録商標）製プログラム）で開き、上書き保存する。」利用履歴データや、データ番号が「６９」には、「ログアウトする」利用履歴データや、データ番号＝７３と７４には、「日を改め、社員ＩＤ＝ID123456の者が、「user」でログインし、フロッピー（登録商標）に123.txtを書き込む。」利用履歴データが、例示されている。
【００３１】
図４は、表示データ１９５の形式と例である。表示データ１９５は、データ番号と、ＩＰアドレスと、利用者識別情報（＝社員ＩＤ）と、イベント操作種類と、日時情報と、コンピュータ資源情報と、から構成される。
【００３２】
データ番号と、ＩＰアドレスと、社員ＩＤと、イベント操作種類と、日時情報と、は、図３のデータ番号と、ＩＰアドレスと、社員ＩＤと、イベント操作種類と、日時情報と、同じである。コンピュータ資源情報は、複写元ファイル名、または、プログラム名を記載する項と、イベント操作種類が[COPY]の場合の複写先ファイル名を記載する項と、から構成される。
【００３３】
図４には、データ番号が「13」、ＩＰアドレスが「10.100.1.3」、社員ＩＤが「ID123456」、イベント操作種類が[COPY]、日時情報が「2005/3/22 9:18」、コンピュータ資源名称の複写元ファイル名が「//server/重要.doc」、コンピュータ資源名称の複写先ファイル名が「C:\重要.doc」である表示データが、例示されている。また、データ番号が「34」」、ＩＰアドレスが「10.100.1.3」、社員ＩＤが「ID123456」、イベント操作種類が[READ]、日時情報が「2005/3/22 12:12」、コンピュータ資源情報のプログラム名称が「WINWORD.EXE（マイクロソフト（登録商標）製プログラム）」である表示データが、例示されている。
【００３４】
図５は、セル加工データ１９７の形式と例である。セル加工データ１９７は、ＩＰアドレスとコンピュータ資源情報と加工日時情報とから構成される。
【００３５】
コンピュータ資源情報は、コンピュータ資源名称と機密レベルとを含んでいる。ＩＰアドレスとコンピュータ資源名称は、図３のＩＰアドレスとコンピュータ資源情報と、同じである。機密レベルは、コンピュータ資源情報の機密レベルを示す。加工日時情報は、セル着色用日時情報とセル記号用日時情報とを含んでいる。セル着色用日時情報は、セル着色用日時情報の開始１、セル着色用日時情報の終了１、セル着色用日時情報の開始２、等々を含んでいる。セル記号用日時情報は、セル記号用日時情報の開始１、セル記号用日時情報の終了１、等々を含んでいる。
【００３６】
図５には、ＩＰアドレスが「10.100.1.3」、機密レベルが「機密」、コンピュータ資源情報のコンピュータ資源名称が「C:\重要.doc」、セル着色用日時情報の開始１2005/3/22 9:01」、セル着色用日時情報の終了１2005/3/22 10:10」であるセル加工データ１９７が、例示されている。また、ＩＰアドレスが「10.100.1.3」、機密レベルが「一般」、コンピュータ資源情報のコンピュータ資源名称が「WINWORD.EXE（マイクロソフト（登録商標）製プログラム）」、コンピュータ資源情報のセル記号用日時情報の開始１が「2005/3/22 12:12」、コンピュータ資源情報のセル記号用日時情報の終了１が「2005/3/22 21:04」であるセル加工データ１９７が、例示されている。
【００３７】
図６は、画面セルデータ１９９の形式と例である。画面セルデータ１９９は、ＩＰアドレスとコンピュータ資源機密レベルとコンピュータ資源表示行名称と日時表示列情報とセル表示情報から構成される。
【００３８】
ＩＰアドレスとコンピュータ資源の機密レベルとは、図５のＩＰアドレスとコンピュータ資源機密レベルと、同じである。コンピュータ資源表示行名称は、コンピュータ資源名称である。日時表示列情報は、日時情報である。セル表示情報は、所定の記号と時刻と利用者識別情報（＝社員ＩＤ）である。
【００３９】
図６には、ＩＰアドレスが「10.100.1.3」、機密レベルが「機密」、コンピュータ資源表示行名称が「//server/重要.doc」、日時表示列情報が「2005/3/22 9時」、セル表示情報が「《↓》09:01
ID123456」である画面セルデータ１９９が例示されている。
【００４０】
ここで、所定の記号とは、たとえば、≪↓≫、≪◆≫、≪×≫、〔Ｒ〕、〔Ｗ〕、⇒、などである。
【００４１】
≪↓≫は、コンピュータ資源表示行のファイルが複製元ファイルであることを示す。≪◆≫は、コンピュータ資源表示行のファイルが複製先ファイルであることを示す。≪×≫コンピュータ資源表示行のファイルが、削除されたことを示す。〔Ｒ〕は、コンピュータ資源表示行のファイル、あるいは、プログラムが、ファイルを読み出したことを示す。〔Ｗ〕は、コンピュータ資源表示行に記述されているファイル、あるいは、プログラムが、ファイルを、書き出したことを示す。⇒は、プログラムが、起動中であることを示す。
【００４２】
図７は、画面セルデータ１９９によるファイル漏洩分析画面表示例（ＩＰ＝10.100.1.3）である。
ファイル漏洩分析画面１００ａは、日時表示列とコンピュータ資源表示行とに対応した画面セルを二次元配列する。日時表示列の上端は、１時間単位の時刻を表示する。コンピュータ資源表示行の左端は、コンピュータ資源情報のファイル名、あるいは、コンピュータ資源情報のプログラム名称を表示する。
【００４３】
日時表示列とコンピュータ資源表示行との交差する位置には、対応する画面セルを配置する。各画面セルは、画面セルデータ１９９から生成した所定の記号と時刻と社員ＩＤとを表記して、指示された色に着色されている。
【００４４】
図７には、ＩＰアドレスが「10.100.1.3」のときのファイル漏洩分析画面が例示されている。
【００４５】
ファイル漏洩分析画面上端の日時表示列には、「3/22/9時」や「 3/22/10時」などが表示されている。
【００４６】
ファイル漏洩分析画面左端のコンピュータ資源表示行には、機密ファイルの「//server/重要.doc 」と、機密ファイルの「コピーのC: /重要.doc 」、「 C: /使用.doc 」と、一般ファイルの「C: /123.txt」、「Ａ: /123.txt」などが表示されている。また、プログラムの「 WINWORD.EXE（マイクロソフト（登録商標）製プログラム） 」や、「 NOTEPAD.EXE（マイクロソフト（登録商標）製プログラム） 」などが例示されている。
【００４７】
ここで、分析方法について、説明する。
【００４８】
まず、コンピュータ資源表示行の「 //server/重要.doc 」と、日時表示列の「3/22/9時」との画面セルには、「《↓》09:01 ID123456」が、表記されて、コンピュータ資源表示行の「 C: /重要.doc 」と、日時表示列の「3/22/9時」との画面セルには、「《◆》09:01 ID123456 《↓》09:18 ID123456 」が、表記されていることに、着目する。
【００４９】
このことから、「社員ＩＤ＝ID123456」の社員が、09:01に、機密ファイル「 //server/重要.doc 」を「 C: /重要.doc 」に複写したことがわかる。
【００５０】
次に、コンピュータ資源表示行の「 C: /私用.doc 」と、日時表示列の「 3/22/9時」との画面セルには、「《◆》09:18 ID123456 」が、表記されていることに、着目する。
【００５１】
このことから、同様にして、「社員ＩＤ＝ID123456」の社員が、09:18に、機密ファイルのコピー「 C: /重要.doc 」を「 C: /私用.doc 」に複写したことがわかる。
【００５２】
さらに、コンピュータ資源表示行の「 C: /重要.doc 」と、日時表示列の「 3/22/10時」との画面セルには、「「《×》10:10 ID123456 」が表記されていることに、着目する。
【００５３】
このことから、「社員ＩＤ＝ID123456」の社員が、10:10に、機密ファイルのコピー「 C: /重要.doc 」を削除したことがわかる。このとき、コンピュータ資源表示行の「 C: /重要.doc 」と、日時表示列の「 3/22/9時」と「 3/22/10時」との画面セルが着色されているので、この期間は、ファイルが存在したことがわかる。
【００５４】
なお、コンピュータ資源表示行の「 C: /重要.doc 」と日時表示列の「 3/22/9時」との画面セルには、「《◆》09:01 ID123456 《↓》09:18 ID123456 」が表示されている。これは、図６の画面セルデータ１９９ａと画面セルデータ１９９ｂの２つの画面セルデータを、同一の画面セルにまとめて、表示したものである。
【００５５】
さらには、別の分析について説明する。コンピュータ資源表示行の「 C: /私用.doc 」と、日時表示列の「 3/22/12時」との画面セルには、「〔Ｒ〕 12:12 ID123456」が表記されていることに、着目する。さらに、コンピュータ資源表示行の「 WINWORD.EXE（マイクロソフト（登録商標）製プログラム） 」と、日時表示列の「3/22/12時」との画面セルには、「〔Ｒ〕 12:12 ID123456」が表記されていることに、着目する。
【００５６】
このことから、「 WINWORD.EXE（マイクロソフト（登録商標）製プログラム） 」が、機密ファイルのコピー「 C: /私用.doc 」を読み取ったことが想定される。
【００５７】
また、コンピュータ資源表示行「 C: /私用.doc 」と日時表示列「3/22/21時」との画面セルには、「〔logout〕 21:04 ID123456 」が表記されて、その間の画面セルには、記号「 ⇒ 」が、表記されていることに、着目する。しかしながら、「〔logout〕」の後も、画面セルは着色されていることに、着目する。
【００５８】
このことから、機密ファイルのコピー「 C: /私用.doc 」が削除されずに、記憶装置（たとえば、ハードディスク）上に、存在していることがわかる。
【００５９】
図８は、利用者識別媒体を用いたファイル漏洩検知システム１１の詳細な構成図である。
利用者識別媒体を用いたファイル漏洩検知システム１１は、利用者端末装置３００とファイル漏洩分析装置１００とがネットワーク接続されて構成される。前記利用者端末装置３００は、利用者識別媒体読取手段３１０と、利用履歴記録手段３３０と、利用履歴送信手段３７０と、記憶手段３９０と、を備える。記憶手段３９０は、利用履歴データ３９９を記憶する。
【００６０】
利用履歴データ３９９は、ネットワークアドレス情報と利用者識別情報（たとえば、利用者ＩＤ）とコンピュータ資源情報（たとえば、ファイル名称情報、あるいは、プログラム名称情報の一方の情報）と日時情報とイベント操作情報（たとえば、[COPY]、または、[DEL] 、または、[READ]、または、[WRITE]、または、[ログアウト]）を含むデータである。
【００６１】
利用者識別媒体読取手段３１０は、利用者識別媒体（ＩＣカード、ＩＣタグ、携帯電話）に記録された利用者識別情報を読み取る。利用履歴記録手段３３０は、コンピュータ資源を利用したコンピュータ処理実行の履歴結果から、利用履歴データを作成して、記憶手段に、記録する。利用履歴送信手段３７０は、利用履歴データ３９９を送信する。
【００６２】
ファイル漏洩分析装置は、利用履歴抽出手段１１０と、表示データ作成手段１２０と、セル加工データ作成手段１２５と、画面セルデータ作成手段１３０と、分析画面表示手段１４０と、分析画面加工手段１５５と、利用履歴受信手段１７０と、記憶手段１９０と、を備える。分析画面加工手段１５５は、分析画面着色手段１５０と、分析画面記号表記手段１６０と、から構成される。記憶手段１９０は、表示データ１９５と、セル加工データ１９７と、画面セルデータ１９９と、利用履歴データ３９９と、を記憶する。
【００６３】
表示データ１９５は、利用者識別情報とコンピュータ資源情報と日時情報とを含むデータである。セル加工データ１９７は、画面セルデータ１９９のコンピュータ資源表示行情報と日時表示列情報とコンピュータ資源情報と加工日時情報とを対応させて、セル記号表記情報とセル着色情報とを含むータである。画面セルデータ１９９は、コンピュータ資源情報と日時情報がそれぞれに対応付けられたコンピュータ資源表示行情報と日時表示列情報とを持つ画面セルのデータである。
【００６４】
利用履歴受信手段１７０は、利用履歴データ３９９を受信する。
【００６５】
利用履歴抽出手段１１０は、利用履歴データから、所定の条件を満たす利用履歴データ３９９を抽出する。所定の条件とは、たとえば、イベント操作情報（たとえば、[COPY]、[DEL] 、[READ]、[WRITE]、[ログアウト]など）を指定したものである。
【００６６】
表示データ作成手段１２０は、抽出した利用履歴データ３９９から、利用者識別情報を含み、コンピュータ資源情報と日時情報とを対応づけた表示データ１９５を作成する。セル加工データ作成手段１２５は、前記抽出された利用履歴データ３９９から、セル記号表記情報と、セル着色情報とを含むセル加工データ１９７を作成する。
【００６７】
画面セルデータ作成手段１３０は、表示データ１９５を用いて、画面セルデータ１９９を、作成する。
【００６８】
分析画面表示手段１４０は、画面セルデータ１９９から生成した画面セルを、コンピュータ資源表示行と日時情報表示列とに二次元配列したファイル漏洩分析画面１００ａに配置して、表示する。画面セルデータ１９９を読み取って、画面セルデータ１９９のコンピュータ資源表示行情報と日時表示列情報とを漏洩分析画面１００ａのコンピュータ資源表示行と日時表示列とに対応付けて、画面セルデータ１９９を配列して、ファイル漏洩分析画面１００ａを作成して表示する。
【００６９】
分析画面加工手段１５５は、セル加工データ１９７のコンピュータ資源情報と加工日時情報とを読み取って、漏洩分析画面１００ａのコンピュータ資源表示行と日時表示列とを参照して、対応した画面セルを選択して、セル加工データの指示に従って、この画面セルを加工する。
【００７０】
分析画面着色手段１５０は、セル加工データ１９７のコンピュータ資源情報と加工日時情報とセル着色情報とを読み取って、漏洩分析画面１００ａのコンピュータ資源表示行と日時表示列とを参照して、対応する画面セルを選択して、セル着色情報の指示に従って、この画面セルに、着色をする。分析画面記号表記手段１６０は、セル加工データ１９７のコンピュータ資源情報と加工日時情報とセル記号表記情報とを読み取って、漏洩分析画面１００ａのコンピュータ資源表示行と日時表示列とを参照して、これに対応する画面セルを選択して、セル記号表記情報の指示に従って、この画面セルに、記号表記をする。
【００７１】
利用履歴抽出手段１１０と、表示データ作成手段１２０と、セル加工データ作成手段１２５と、画面セルデータ作成手段１３０と、分析画面表示手段１４０と、分析画面加工手段１５５と、利用履歴受信手段１７０と、分析画面加工手段１５５と、分析画面着色手段１５０と、分析画面記号表記手段１６０と、利用者識別媒体読取手段３１０と、利用履歴記録手段３３０と、利用履歴送信手段３７０と、は、コンピュータプログラムである。記憶手段１９０と、記憶手段３９０と、は、メモリーである。表示データ１９５と、セル加工データ１９７と、画面セルデータ１９９と、利用履歴データ３９９と、は、コンピュータ可読なデータの集合体である。
【００７２】
図９は、ファイル漏洩分析処理のフローチャートである。
（１）利用履歴抽出手段１１０は、利用履歴データ３９９から、イベント操作情報が、[COPY], [DEL], [READ], [WRITE], [ログアウト] である利用履歴データ３９９を抽出する。（ステップＳ１００）
（２）表示データ作成手段１２０は、抽出した利用履歴データ３９９から、コンピュータ資源情報と日時情報とを対応づけた表示データ１９５を作成する。（ステップＳ１１０）
（３）セル加工データ作成処理をする。（詳細は後述する。）（ステップＳ１３０）
（４）画面セルデータ作成手段１３０は、表示データ１９５のコンピュータ資源情報と日時情報を読み取って、このコンピュータ資源情報をコンピュータ資源表示行情報として、この日時情報を日時表示列情報とする画面セルデータ１９９を、作成する。分析画面着色手段１５０は、セル加工データ１９７のコンピュータ資源情報と加工日時情報とセル着色情報とを読み取って、画面セルデータのコンピュータ資源表示行情報と日時表示列情報とを参照して、これに対応する画面セルを選択して、この画面セルに所定の着色をする。また、分析画面記号表記手段１６０は、セル加工データ１９７のコンピュータ資源情報と加工日時情報とセル記号表記情報とを読み取って、画面セルデータ１９９のコンピュータ資源表示行情報と日時表示列情報とを参照して、これに対応する画面セルを選択して、これに、所定の記号「⇒」を表示させる。終了する。（ステップＳ１５０）
【００７３】
図１０は、画面セルデータ作成処理のフローチャートである。
（１）表示データ１９５から、 １つのＩＰアドレスを選択する。（ステップＳ３００）
（２）同じＩＰアドレスの表示データ１９５をすべて読み取ったか判断する。
ＹＥＳならば、終了する。ＮＯならば、ステップＳ３２０に進む。（ステップＳ３１０）
（３）イベントの操作情報が[COPY]であるか判断する。ＹＥＳならば、ステップＳ３２５に進む。ＮＯならば、ステップＳ３３０に進む。（ステップＳ３２０）
（４）[COPY]処理をする。Ｓ３１０に戻る。（ステップＳ３２５）
（５）イベントの操作情報が[READ]であるか判断する。ＹＥＳならば、ステップＳ３３５に進む。ＮＯならば、ステップＳ３４０に進む。（ステップＳ３３０）
（６）[READ]処理をする。Ｓ３１０に戻る。（ステップＳ３３５）
（７）イベントの操作情報が[WRITE]であるか判断する。ＹＥＳならば、ステップＳ３４５に進む。ＮＯならば、ステップＳ３５０に進む。（ステップＳ３４０）
（８）[WRITE]処理をする。ステップＳ３１０に戻る。（（ステップＳ３４５）
（９）イベントの操作情報が[DEL]であるか判断する。ＹＥＳならば、ステップＳ３５５に進む。ＮＯＳならば、ステップ３６０に進む。（ステップＳ３５０）
（１０）[DEL]処理をする。ステップＳ３１０に戻る。（ステップＳ３５５）
（１１）イベントの操作情報が[ログアウト]であるか判断する。ＹＥＳならば、ステップＳ３６５に進む。ＮＯならば、ステップＳ３１０に戻る。（ステップＳ３６０）
（１２）[ログアウト]処理をする。ステップＳ３１０に戻る。（ステップＳ３６５）
【００７４】
図１１は、[COPY]処理のフローチャートである。
（１）表示データ１９５の複写元ファイル名とＩＰアドレスを持つセル加工データが存在するか判定する。存在すれば、ステップＳ４１６に進む。存在しなければ、ステップＳ４１３に進む。（ステップＳ４００）
（２）セル加工データ作成手段１２５は、表示データ１９５の複写元ファイル名とＩＰアドレスを持つセル加工データ１９７を作成する。ステップＳ４２０に進む。（ステップＳ４１３）
（３）セル加工データ作成手段１２５は、セル加工データ１９７を選択する。ステップＳ４２０に進む。（ステップＳ４１６ ）
（４）セル加工データ作成手段１２５は、セル加工データ１９７の所定のセル着色用日時情報「開始n」に、時刻を、記録する。（ステップＳ４２０）
（５）画面セルデータ作成手段１３０は、画面セルデータ１９９において、セル加工データのコンピュータ資源名称と日時に対応するコンピュータ資源名称と時間のセルに、「 ≪↓≫ 、時刻、社員ＩＤ 」を記録する。（ステップＳ４３０）
（６）表示データ１９５の複写先ファイル名とＩＰアドレスを持つセル加工データが存在するか判定する。存在しなければ、ステップＳ４５３に進む。存在すれば、ステップＳ４５６に進む。（ステップＳ４４０）
（７）セル加工データ作成手段１２５は、表示データ１９５の複写先ファイル名とＩＰアドレスを持つセル加工データ１９７を作成する。ステップＳ４６０に進む。（ステップＳ４５３）
（８）セル加工データ作成手段１２５は、表示データ１９５の複写先ファイル名とＩＰアドレスを持つセル加工データ１９７を選択する。ステップＳ４６０に進む。（ステップＳ４５６）
（９）セル加工データ作成手段１２５は、セル加工データ１９７の所定のセル着色用日時情報「開始n」に、時刻を、記録する。（ステップＳ４６０）
（１０）画面セルデータ作成手段１３０は、前記表示データ１９５のイベント操作種類と複写先ファイル名と日時情報と社員ＩＤとを読み取って、「 ≪◆≫ 、時刻、社員ＩＤ 」を含む画面セルデータ１９９とを作成する。終了する。（ステップＳ４７０）
【００７５】
図１２は、[DEL]処理のフローチャートである。
（１）表示データ１９５の複写元ファイル名とＩＰアドレスを持つセル加工データが存在するか判定する。存在すれば、ステップＳ５２０に進む。存在しなければ、ステップＳ５１０に進む。（ステップＳ５００）
（２）セル加工データ作成手段１２５は、前記表示データ１９５の複写元ファイル名とＩＰアドレスを持つセル加工データ１９７を作成する。ステップＳ５３０に進む。（ステップＳ５１０）
（３）セル加工データ作成手段１２５は、前記表示データ１９５の複写元ファイル名とＩＰアドレスを持つセル加工データ１９７を選択する。（ステップＳ５２０）
（４）セル加工データ作成手段１２５は、セル加工データ１９７の所定のセル着色用日時情報「終了n」に、時刻を記録する。（ステップＳ５３０）
（５）画面セルデータ作成手段１３０は、前記表示データ１９５を読み取って、「≪×≫ 、時刻、社員ＩＤ 」を含む画面セルデータ１９９を作成する。終了する。（ステップＳ５４０）
【００７６】
図１３は、[READ]処理のフローチャートである。
（１）表示データ１９５の複写元ファイル名とＩＰアドレスを持つセル加工データが存在するか判定する。存在すれば、ステップＳ６２０に進む。存在しなければ、ステップＳ６１０に進む。（ステップＳ６００）
（２）セル加工データ作成手段１２５は、前記表示データ１９５の複写元ファイル名とＩＰアドレスを持つセル加工データ１９７を作成する。ステップＳ６３０に進む。（ステップＳ６１０）
（３）セル加工データ作成手段１２５は、前記表示データ１９５の複写元ファイル名とＩＰアドレスを持つセル加工データ１９７を選択する。（ステップＳ６２０）
（４）セル加工データ作成手段１２５は、セル加工データ１９７の所定のセル記号用日時情報「開始n」に、時刻を、記録する。 （ステップＳ６３０）
（５）画面セルデータ作成手段１３０は、前記表示データ１９５を読み取って、「〔Ｒ〕、時刻、社員ＩＤ 」を含む画面セルデータ１９９を作成する。（ステップＳ６４０）
【００７７】
図１４は、[WRITE]処理のフローチャートである。
（１）表示データ１９５の複写元ファイル名とＩＰアドレスを持つセル加工データが存在するか判定する。存在すれば、ステップＳ７２０に進む。存在しなければ、ステップＳ７１０に進む。（ステップＳ７００）
（２）セル加工データ作成手段１２５は、表示データ１９５の複写元ファイル名とＩＰアドレスを持つセル加工データ１９７を作成する。ステップＳ７２０に進む。（ステップＳ７１０）
（３）セル加工データ作成手段１２５は、表示データ１９５の複写元ファイル名とＩＰアドレスを持つセル加工データ１９７を選択する。（ステップＳ７２０）
（４）セル加工データ作成手段１２５は、セル加工データ１９７の所定のセル記号用日時情報「開始n」に、時刻を、記録する。（ステップＳ７３０）
（５）画面セルデータ作成手段１３０は、前記表示データ１９５を読み取って、「〔Ｗ〕 、時刻、社員ＩＤ」を含む画面セルデータ１９９を作成する。（ステップＳ７４０）
【００７８】
図１５は、[ログアウト]処理のフローチャートである。
（１）表示データ１９５の複写元ファイル名とＩＰアドレスを持つセル加工データが存在するか判定する。存在すれば、ステップＳ８２０に進む。存在しなければ、ステップＳ８１０に進む。（ステップＳ８００）
（２）セル加工データ作成手段１２５は、表示データ１９５の複写元ファイル名とＩＰアドレスを持つセル加工データ１９７を作成する。ステップＳ８３０に進む。（ステップＳ８１０）
（３）セル加工データ作成手段１２５は、表示データ１９５の複写元ファイル名とＩＰアドレスを持つセル加工データ１９７を選択する。（ステップＳ８２０）
（４）セル加工データ作成手段１２５は、各セル加工データ１９７のログアウトの日時以前で、前回ログアウト以降の日時の「開始n」を選択して、対応する「終了n」』に、時刻を記録する。（ステップＳ８３０）
（５）画面セルデータ作成手段１３０は、前記表示データ１９５を読み取って、「〔logout〕、時刻、社員ＩＤ 」を含む画面セルデータ１９９を作成する。（ステップＳ８４０）
【００７９】
以上詳しく説明したように、本発明によれば、利用者を特定して、不正なファイル操作があったか調査することが可能となった。また、ファイルを操作したソフトウエアを特定して、どのような操作を行ったかの推定が可能となった。
【図面の簡単な説明】
【００８０】
【図１】ファイル漏洩検知システムの全体構成
【図２】ファイル漏洩検知システム１の大まかな処理の流れ
【図３】ファイル漏洩分析装置１００の利用履歴データの一例
【図４】表示データ１９５の形式と例
【図５】セル加工データ１９７の形式と例
【図６】画面セルデータ１９９の形式と例
【図７】画面セルデータ１９９によるファイル漏洩分析画面表示例（ＩＰ＝10.100.1.3）
【図８】ファイル漏洩検知システム１の詳細な構成図
【図９】ファイル漏洩分析処理のフローチャート
【図１０】画面セルデータ作成処理のフローチャート
【図１１】[COPY]処理のフローチャート
【図１２】[DEL]処理のフローチャート
【図１３】[READ]処理のフローチャート
【図１４】[WRITE]処理のフローチャート
【図１５】[ログアウト]処理のフローチャート
【符号の説明】
【００８１】
１  利用者識別媒体を用いたファイル漏洩検知システム
１００  ファイル漏洩分析装置
１００ａ  ファイル漏洩分析画面
１１０  利用履歴抽出手段
１２０  表示データ作成手段
１２５  セル加工データ作成手段
１３０  画面セルデータ作成手段
１４０  分析画面表示手段
１５０  分析画面着色手段
１５５  分析画面加工手段
１６０  分析画面記号表記手段
１７０  利用履歴受信手段
１９０  記憶手段
１９５  表示データ
１９７  セル加工データ
１９９  画面セルデータ
３００  利用者端末装置
３１０  利用者識別媒体読取手段
３３０  利用履歴記録手段
３７０  利用履歴送信手段
３９０  記憶手段
３９９  利用履歴データ
５００  利用者
７００  利用者識別媒体
９００  ファイル漏洩管理者
【図１】
2007304943.tif 000003
【図２】
2007304943.tif 000004
【図３】
2007304943.tif 000005
【図４】
2007304943.tif 000006
【図５】
2007304943.tif 000007
【図６】
2007304943.tif 000008
【図７】
2007304943.tif 000009
【図８】
2007304943.tif 000010
【図９】
2007304943.tif 000011
【図１０】
2007304943.tif 000012
【図１１】
2007304943.tif 000013
【図１２】
2007304943.tif 000014
【図１３】
2007304943.tif 000015
【図１４】
2007304943.tif 000016
【図１５】
2007304943.tif 000017