(57)【要約】    【課題】  本人以外の者による不正な操作を防止することのできるファイル管理装置を提供する。    【解決手段】  記録部１０には、ファイル１２、１４・・・、操作履歴テーブル１６などが記録されている。ユーザ認証手段２は、ユーザの認証を行う。このシステムでは、認証されたユーザでなければ、記録部１０のファイルにアクセスできないようになっている。ユーザ操作内容取得手段４は、ユーザの操作内容を取得し、操作履歴テーブル１６に記録する。操作傾向抽出手段６は、各ユーザの操作履歴から操作傾向を抽出する。アクセス禁止手段８は、今回のユーザによるファイル操作が、上記抽出された当該ユーザの操作傾向と所定程度以上異なっている場合、当該ファイル操作を禁止する。【選択図】  図１
2016130875.tif 000002
【特許請求の範囲】
【請求項１】
ファイルと、ユーザの操作履歴を記録する操作履歴テーブルとを記録する記録部と、
ユーザを認証するユーザ認証手段と、
前記ファイルに関するユーザの操作内容を取得し、操作履歴テーブルに記録するユーザ操作内容取得手段と、
操作履歴テーブルに記録された各ユーザの操作履歴に基づいて操作傾向を抽出する操作傾向抽出手段と、
前記ユーザの操作内容が、前記抽出した主たる操作傾向と異なる場合、前記ファイルへのアクセスを禁止するアクセス禁止手段と、
を備えたファイル管理装置。
【請求項２】
ファイルと、ユーザの操作履歴を記録する操作履歴テーブルとを記録する記録部にアクセス可能なコンピュータによってファイル管理装置を実現するためのファイル管理プログラムであって、コンピュータを、
ユーザを認証するユーザ認証手段と、
前記ファイルに関するユーザの操作内容を取得し、操作内容テーブルに記録するユーザ操作内容取得手段と、
操作履歴テーブルに記録された当該ユーザの操作履歴に基づいて操作傾向を抽出する操作傾向抽出手段と、
前記ユーザの操作内容が、前記抽出した主たる操作傾向と異なる場合、前記ファイルへのアクセスを禁止するアクセス禁止手段として機能させるためのファイル管理プログラム。
【請求項３】
請求項１の装置または請求項２のプログラムにおいて、
前記操作傾向抽出手段は、当該ユーザのファイルの検索操作の履歴に基づいて、操作傾向を抽出するものであり、
前記アクセス禁止手段は、ファイルの検索操作が、主たる操作傾向と異なる場合に、前記ファイルへのアクセスを禁止するものであることを特徴とする装置またはプログラム。
【請求項４】
請求項１〜３のいずれかの装置またはプログラムにおいて、
前記操作傾向抽出手段は、複数のユーザの所定時間当たりの平均ファイル検索回数を操作傾向として取得するものであり、
前記アクセス禁止手段は、当該ユーザの所定時間当たりのファイル検索回数が、平均ファイル検索回数に対して所定以上大きい場合に、前記ファイルへのアクセスを禁止するものであることを特徴とする装置またはプログラム。
【請求項５】
請求項１〜４のいずれかの装置またはプログラムにおいて、
前記操作傾向抽出手段は、当該ユーザが過去に当該ファイルを閲覧した日における１日の閲覧平均回数を操作傾向として抽出するものであり、
前記アクセス禁止手段は、当該ユーザの本日の当該ファイルの閲覧回数が、前記閲覧平均回数に対して所定以上大きい場合に、前記ファイルへのアクセスを禁止するものであることを特徴とする装置またはプログラム。
【請求項６】
ファイルと、各ファイルとアクセス権限を有する部署との対応を示すアクセス権限テーブルと、各ユーザと各部署との業務関連度を示す業務関連度テーブルとを記録する記録部と、
ユーザを認証するユーザ認証手段と、
前記ファイルに関するユーザの操作内容を取得するユーザ操作内容取得手段と、
前記アクセス権限テーブルと前記業務関連度テーブルを参照し、前記ユーザが操作によって閲覧しようとしているファイルに対して権限が与えられている部署に対し、当該ユーザが有する業務関連度が所定値以上のものがない場合に、前記ファイルへのアクセスを禁止するアクセス禁止手段と、
を備えたファイル管理装置。
【請求項７】
ファイルと、各ファイルとアクセス権限を有する部署との対応を示すアクセス権限テーブルと、各ユーザと各部署との業務関連度を示す業務関連度テーブルとを記録する記録部にアクセス可能なコンピュータによってファイル管理装置を実現するためのファイル管理プログラムであって、コンピュータを、
ユーザを認証するユーザ認証手段と、
前記ファイルに関するユーザの操作内容を取得するユーザ操作内容取得手段と、
アクセス権限テーブルと業務関連度テーブルを参照し、前記ユーザが操作によって閲覧しようとしているファイルに対して権限が与えられている部署に対し、当該ユーザが有する業務関連度が所定値以上のものがない場合に、前記ファイルへのアクセスを禁止するアクセス禁止手段として機能させるためのファイル管理プログラム。
【請求項８】
請求項１〜７のいずれかの装置またはプログラムにおいて、
前記ファイル管理装置は、サーバ装置として構成されており、
前記ユーザの操作内容は、当該サーバ装置と通信可能な端末装置から送信されてくることを特徴とする装置またはプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、文書ファイルなどのセキュリティを管理するためのファイル管理装置に関するものである。
【背景技術】
【０００２】
機密文書などの漏洩を防止するため、各ファイルにアクセス権限を設定し、アクセス権限のある者しか閲覧などをできないようにすることが行われている。しかし、アクセス権限のある者が、ログインを行ったままの状態で、使用中のＰＣから離れた場合、アクセス権限のない者がファイルの操作をできてしまうという問題がある。
【０００３】
これを解決するため、たとえば、ログイン後に、所定時間継続してキーボードやマウスの操作が行われないと、自動的にログオフを行うシステムが提案されている。このシステムによれば、長時間席を離れていても、他人がＰＣを操作することを防止でき、セキュリティを保つことができる。
【０００４】
また、特許文献１では、タッチスクリーンのあるＰＣにおいて、タッチスクリーンを操作する指の指紋に基づいて、常に、操作者の本人確認を行うようにしている。このシステムによれば、本人以外の者がＰＣを操作して文書を取得することを防止することができる。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２０１０−９３６３５
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかしながら、ログイン後に所定時間継続して操作がない場合に、自動的にログオフを行うシステムでは、当該所定時間を長く設定すると安全性が低下するという問題があった。かといって、当該所定時間を短く設定すると、わずかな操作途切れであっても再ログイン処理が必要になって、操作者の負担が大きくなるという問題があった。
【０００７】
また、特許文献１の従来技術では、タッチスクリーンを用いたＰＣでないと適用できないという問題があった。
【０００８】
上記のような問題は、ログイン後に席を離れた場合だけでなく、本人以外の者が操作を行う場合一般に、起こりうる問題である。
【０００９】
この発明は上記のような問題点を解決して、本人以外の者による不正な操作を防止することのできるファイル管理装置を提供することを目的とする。
【課題を解決するための手段】
【００１０】
この発明においては、上記のいずれかの問題を解決するため、以下のような手段を採用している。なお、以下に示す特徴は、それぞれ独立して採用可能なものである。
【００１１】
(1)(2)この発明に係るファイル管理装置は、ファイルと、ユーザの操作履歴を記録する操作履歴テーブルとを記録する記録部と、ユーザを認証するユーザ認証手段と、前記ファイルに関するユーザの操作内容を取得し、操作履歴テーブルに記録するユーザ操作内容取得手段と、操作履歴テーブルに記録された各ユーザの操作履歴に基づいて操作傾向を抽出する操作傾向抽出手段と、前記ユーザの操作内容が、前記抽出した主たる操作傾向と異なる場合、前記ファイルへのアクセスを禁止するアクセス禁止手段とを備えている。
【００１２】
したがって、ユーザの過去の操作傾向に応じて、ファイルへのアクセス拒否を判断することができる。
【００１３】
(3)この発明に係るファイル管理装置は、操作傾向抽出手段は、当該ユーザのファイルの検索操作の履歴に基づいて、操作傾向を抽出するものであり、アクセス禁止手段は、ファイルの検索操作が、主たる操作傾向と異なる場合に、前記ファイルへのアクセスを禁止するものであることを特徴としている。
【００１４】
したがって、異常なファイルの検索が行われた場合には、ファイルへのアクセスを禁止することができる。
【００１５】
(4)この発明に係るファイル管理装置は、操作傾向抽出手段は、複数のユーザの所定時間当たりの平均ファイル検索回数を操作傾向として取得するものであり、アクセス禁止手段は、当該ユーザの所定時間当たりのファイル検索回数が、平均ファイル検索回数に対して所定以上大きい場合に、前記ファイルへのアクセスを禁止するものであることを特徴としている。
【００１６】
したがって、異常なファイル検索が行われた場合には、ファイルへのアクセスを禁止することができる。
【００１７】
(5)この発明に係るファイル管理装置は、操作傾向抽出手段は、当該ユーザが過去に当該ファイルを閲覧した日における１日の閲覧平均回数を操作傾向として抽出するものであり、アクセス禁止手段は、当該ユーザの本日の当該ファイルの閲覧回数が、前記閲覧平均回数に対して所定以上大きい場合に、前記ファイルへのアクセスを禁止するものであることを特徴としている。
【００１８】
したがって、ファイル閲覧回数が異常であれば、ファイルへのアクセスを禁止することができる。
【００１９】
(6)(7)この発明に係るファイル管理装置は、ファイルと、各ファイルとアクセス権限を有する部署との対応を示すアクセス権限テーブルと、各ユーザと各部署との業務関連度を示す業務関連度テーブルとを記録する記録部と、ユーザを認証するユーザ認証手段と、前記ファイルに関するユーザの操作内容を取得するユーザ操作内容取得手段と、前記アクセス権限テーブルと前記業務関連度テーブルを参照し、前記ユーザが操作によって閲覧しようとしているファイルに対して権限が与えられている部署に対し、当該ユーザが有する業務関連度が所定値以上のものがない場合に、前記ファイルへのアクセスを禁止するアクセス禁止手段とを備ている。
【００２０】
したがって、当該ユーザに関連が小さいと思われるファイルへのアクセスを禁止することができる。
【００２１】
(8)この発明に係るファイル管理装置は、ファイル管理装置が、サーバ装置として構成されており、ユーザの操作内容は、当該サーバ装置と通信可能な端末装置から送信されてくることを特徴としている。
【００２２】
したがって、サーバ・クライアント方式のシステムにおいて、この発明を適用することができる。
【００２３】
「ユーザ認証手段」は、実施形態においては、ステップＳ３がこれに対応する。
【００２４】
「ユーザ操作内容取得手段」は、実施形態においては、ステップＳ１、Ｓ４、Ｓ７、Ｓ１３、Ｓ２４、Ｓ２９、Ｓ３２、Ｓ３５などがこれに対応する。
【００２５】
「操作傾向抽出手段」は、実施形態においては、ステップＳ２５、Ｓ２９、Ｓ３２、Ｓ３５などがこれに対応する。
【００２６】
「アクセス禁止手段」は、実施形態においては、ステップＳ９、Ｓ２６、Ｓ３０、Ｓ３３、Ｓ３６などがこれに対応する。
【００２７】
「プログラム」とは、ＣＰＵにより直接実行可能なプログラムだけでなく、ソース形式のプログラム、圧縮処理がされたプログラム、暗号化されたプログラム等を含む概念である。
【図面の簡単な説明】
【００２８】
【図１】この発明の一実施形態によるファイル管理装置の機能ブロック図である。
【図２】ファイル管理装置を用いたシステムの構成である。
【図３】サーバ装置のハードウエア構成である。
【図４】操作管理プログラム４４のフローチャートである。
【図５】操作管理プログラム４４のフローチャートである。
【図６】操作履歴テーブル１６の例である。
【図７】操作管理プログラム４４のフローチャートである。
【図８】操作管理プログラム４４のフローチャートである。
【図９】傾向分析テーブルの例である。
【図１０】アクセス権限テーブルの例である。
【図１１】業務関連テーブルの例である。
【発明を実施するための形態】
【００２９】
１．ファイル管理装置の機能ブロック図
図１に、この発明の一実施形態によるファイル管理装置の機能ブロック図を示す。記録部１０には、ファイル１２、１４・・・、操作履歴テーブル１６などが記録されている。
【００３０】
ユーザ認証手段２は、ユーザの認証を行う。このシステムでは、認証されたユーザでなければ、記録部１０のファイルにアクセスできないようになっている。ユーザ操作内容取得手段４は、ユーザの操作内容を取得し、操作履歴テーブル１６に記録する。操作傾向抽出手段６は、各ユーザの操作履歴から操作傾向を抽出する。
【００３１】
アクセス禁止手段８は、今回のユーザによるファイル操作が、上記抽出された当該ユーザの操作傾向と所定程度以上異なっている場合、当該ファイル操作を禁止する。
【００３２】
２．ハードウエア構成
図２に、ファイル管理装置をサーバ装置６０として用いた場合のシステム構成を示す。サーバ装置６０には、データベース４０が接続されている。データベース４０には、ファイル１２、１４・・・が記録されている。また、操作履歴テーブル１６も記録されている。
【００３３】
サーバ装置６０には、ネットワークを介して、端末装置５０が接続されている。ユーザは、端末装置５０を操作して、サーバ装置６０を介してデータベース４０にアクセスする。
【００３４】
図３に、サーバ装置６０のハードウエア構成を示す。ＣＰＵ３０には、メモリ３２、通信回路３４、ハードディスク３６、ＤＶＤ−ＲＯＭドライブ３８、データベース４０が接続されている。
【００３５】
通信回路３４は、ネットワークを介して端末装置５０と通信を行うためのものである。ハードディスク３６には、オペレーティングシステム４２、ファイル管理プログラム４４が記録されている。ファイル管理プログラム４４は、オペレーティングシステム４２と協働してその機能を発揮するものである。これらプログラムは、ＤＶＤ−ＲＯＭ４８に記録されていたものを、ＤＶＤ−ＲＯＭドライブ３８を介して、ハードディスク３６にインストールしたものである。
【００３６】
端末装置５０のハードウエア構成も、サーバ装置６０と同様である。ただし、端末装置５０においては、キーボード／マウスやディスプレイが接続されている。また、ハードディスク３６には、ファイル管理プログラム４４ではなく、端末用プログラムが記録されている。
【００３７】
３．ファイル管理プログラムの処理
図４、図５に、ファイル管理プログラムのフローチャートを示す。ＣＰＵ３０は、端末装置５０において行われた操作を受信する（ステップＳ１）。次に、ＣＰＵ３０は、受信した操作内容が、ログイン要求であるかどうかを判断する（ステップＳ２）。
【００３８】
ログイン要求であれば、端末装置５０から送られてきた「ユーザＩＤ」「パスワード」の組合せが、登録されているかどうかを判断する（ステップＳ３）。登録されていれば以後のアクセスを許可し、登録されていなければ以後のアクセスを拒否する（再度、ログイン画面を送信する）。
【００３９】
ＣＰＵ３０は、ログイン操作があった旨を、そのユーザＩＤとともに、操作履歴テーブル１６に記録する（ステップＳ４）。図６に、操作履歴テーブル１６の例を示す。ユーザＩＤ、操作内容、操作時間、操作間隔、操作対象などが記録されている。ログイン操作であれば、２行目に示されるように、ユーザＩＤとともに、操作した時間が操作時間として記録され、当該ユーザが前回のログイン操作を行ってからの時間が操作間隔として記録される。記録が終了すると、ＣＰＵ３０は、この操作に対する処理を終了し、次の操作を待つ。
【００４０】
ログイン要求でなければ、ＣＰＵ３０は、ログアウト要求であるかどうかを判断する（ステップＳ５）。ログアウト要求であれば、ＣＰＵ３０は、ログアウト処理を実行する（ステップＳ６）。さらに、ログアウト操作があった旨を、そのユーザＩＤとともに、操作履歴テーブル１６に記録する（ステップＳ７）。図６の例であれば、１行目のように記録が行われる。記録が終了すると、ＣＰＵ３０は、この操作に対する処理を終了し、次の操作を待つ。
【００４１】
端末装置５０からの操作内容が、ログインでも、ログアウトでもなければ、ＣＰＵ３０は、当該ユーザの前回の操作時刻（履歴に記録すべき何らかの操作を行った時刻）から、今回の操作時刻までに、どれだけの時間が経過しているかを算出する。この際、前回のログアウトから今回のログインまでの時間は対象としない。つまり、ログインしてからの操作について、前回の操作から今回の操作までの時間を算出する。これは、操作履歴テーブル１６を参照することで容易に行うことができる。
【００４２】
ＣＰＵ３０は、この経過時間が所定時間以上であるかどうかを判断する（ステップＳ８）。所定時間（たとえば、３０分など）以上であれば、当該ユーザについて、自動的にログアウト処理を行う（ステップＳ９）。さらに、当該端末装置に対して、ログイン画面を送信する（ステップＳ１０）。したがって、ユーザが離席していた場合には、再度ログインを行うことで使用することができ、第三者が不正に使用することを防止できる。
【００４３】
所定時間が経過していなければ、ＣＰＵ３０は、操作内容がファイル１２、１４・・・に対する検索処理であるかを判断する（ステップＳ１１）。ここで、検索処理とは、目的とするファイルにアクセスするための処理をいい、たとえば、ファイル名、ファイルに付された検索用キーワード、ファイルの内容などを文字列を用いて検索する処理や、フォルダツリー（ディレクトリツリー）をたどりながらファイルを探し出す処理や、直接的にＵＲＬを入力してファイルにたどり着く処理などをいう。
【００４４】
操作内容が検索処理であれば、ＣＰＵ３０は、その検索処理を実行する（ステップＳ１２）。さらに、この操作内容を、操作履歴テーブル１６に記録する（ステップＳ１３）。たとえば、図６の、３行目、５行目、７行目などのように記録が行われる。この際、ＣＵＰ３０は、操作対象の欄に、フォルダツリーによる検索の場合には、指示されたディレクトリを記録する。キーワード検索の場合には、そのキーワードを記録する。また、ＵＲＬによる検索の場合には、ＵＲＬを記録する。
【００４５】
操作内容が検索処理でなければ、ＣＰＵ３０は、閲覧処理であるかどうかを判断する（ステップＳ１４）。閲覧処理でなければ、ＣＰＵ３０は、要求された操作内容を実行する（ステップＳ１６）。たとえば、新規文書の登録であれば、セキュリティ上の問題が少ないので、操作を実行するようにしている。
【００４６】
操作内容が特定のファイルを指定（ファイルＩＤを指定）した閲覧処理であれば、ＣＰＵ３０は、セキュリティの問題が生じる可能性があると判断し、不正利用の検証を行った後、当該処理を実行するようにしている（ステップＳ１５）。
【００４７】
図７、図８に、不正利用検証のフローチャートを示す。まず、ＣＰＵ３０は、操作履歴テーブル１６から、当該ユーザの操作履歴を取得する（ステップＳ２１）。さらに、傾向分析テーブルから、当該ユーザの当該ファイルに対する操作傾向を取得する。この傾向分析テーブルは、操作履歴テーブル１６に基づいて操作傾向を分析したものであり、後述のように、不正利用検証を行うごとに更新されるものである。
【００４８】
図９に、傾向分析テーブルの例を示す。各ユーザＩＤごと、各ファイルＩＤ（文書ＩＤ）ごとに、過去の閲覧回数、閲覧頻度、検索方法が分析されて記録されている。ユーザＩＤが「ＵＩＤ００００１」であり、閲覧対象のファイルＩＤが「ＤＯＣ００００００３」であれば、ＣＰＵ３０は、３行目のデータを取得することになる。このデータにおいては、当該ファイルが当該ユーザによって１０回閲覧され、平均した閲覧頻度は１５日に１回であること、検索方法としてはフォルダツリーによるものが１０回であることが示されている。なお、図９には示されていないが、各ユーザごとの全ファイルを対象とした閲覧回数や、閲覧頻度、検索方法なども記録されている。
【００４９】
次に、ＣＰＵ３０は、今回の当該ユーザの当該ファイルに対する検索方法が、過去の傾向と大きく異なっているかどうかを判定する（ステップＳ２３）。たとえば、当該ユーザが、今回の操作で、閲覧対象のファイル（ファイルＩＤ＝「ＤＯＣ００００００３」とする）について、キーワードにて検索を行ったとする。前述のように、このユーザは当該ファイルについて、過去の検索方法は１０回とも全てフォルダツリーである。したがって、今回の操作は、過去の傾向と大きく異なっており、ＣＰＵ３０は異常の可能性があると判断する。そして、この閲覧要求操作を操作履歴テーブル１６に記録する（ステップＳ２４）。この際に、異常の可能性有りと判断した旨も併せて記録する。
【００５０】
次に、ＣＰＵ３０は、傾向分析テーブルの更新を行う（ステップＳ２５）。続いて、自動的にログアウトを行う（ステップＳ２６）。さらに、端末装置に対して、ログイン画面を送信する（ステップＳ２７）。このようにして、過去の操作履歴と大きく異なる検索方法が行われた場合には、閲覧処理を許可しないようにしている。
【００５１】
なお、当該ユーザ、当該ファイルについて、過去の操作履歴が所定回数より少ない場合（たとえば、１０回未満の場合）には、ステップＳ２３における検索方法の判定は行わない。サンプル数が少ないと、妥当な判断ができないからである。
【００５２】
また、過去の検索方法と大きく異なるかどうかは、たとえば、今回の検索方法が、過去の操作履歴において全検索方法の所定割合未満（たとえば５％未満）の回数であるかどうかによって判断することができる。
【００５３】
検索方法が正常であれば、ＣＰＵ３０は、次に閲覧頻度の判定を行う（ステップＳ２８）。つまり、今回閲覧要求が行なわれたファイルについて、当該ユーザが、過去に閲覧した頻度と、本日の閲覧頻度とを比較し、大きく異なっていれば異常であると判断する。
【００５４】
たとえば、過去の閲覧頻度が１５日に１回となっているにもかかわらず、本日の閲覧頻度が１０回もあれば、異常であると判断する。この判断は、たとえば、過去の閲覧頻度に基づいて、１日あたりの平均閲覧数を算出し（１５日に１回であれば、０．０６回／日となる）、この回数の所定倍以上（たとえば１００倍以上）の閲覧要求が本日にあれば異常であると判断する。
【００５５】
なお、当該ファイルに対して閲覧があった日における、１日あたりの平均閲覧回数を用いて判断するようにしてもよい。
【００５６】
なお、当該ユーザ、当該ファイルについて、過去の閲覧履歴が所定回数より少ない場合（たとえば、１０回未満の場合）には、ステップＳ２８における閲覧方法の判定は行わない。サンプル数が少ないと、妥当な判断ができないからである。
【００５７】
異常であると判断した場合、ＣＰＵ３０は、異常のフラグと共に、この閲覧要求操作を操作履歴テーブル１６に記録する。さらに、傾向分析テーブルの更新を行う（ステップＳ２９）。続いて、自動的にログアウトを行い、端末装置に対して、ログイン画面を送信する（ステップＳ３０）。このようにして、異常な操作に対しては閲覧を許可しないようにしている。
【００５８】
閲覧頻度が正常であれば、ＣＰＵ３０は、次に検索頻度の判定を行う（ステップＳ３１）。つまり、当該ユーザが、過去にファイル検索を行った頻度と、本日の検索頻度とを比較し、大きく異なっていれば異常であると判断する。なお、この判断においては、ファイルを特定せず、全てのファイルを対象とした検索頻度を用いる。
【００５９】
たとえば、過去の検索頻度が１日平均１５回となっているにもかかわらず、本日の検索頻度が４０回もあれば、異常であると判断する。この判断は、たとえば、過去の１日平均の検索頻度の所定倍（たとえば２倍）を超える検索が本日にあれば、異常であると判断する。
【００６０】
なお、当該ユーザ、当該ファイルについて、過去の検索履歴が所定日数より少ない場合（たとえば、１０日未満の場合）には、ステップＳ３１における検索方法の判定は行わない。サンプル数が少ないと、妥当な判断ができないからである。
【００６１】
異常であると判断した場合、ＣＰＵ３０は、異常のフラグと共に、この閲覧要求操作を操作履歴テーブル１６に記録する。さらに、傾向分析テーブルの更新を行う（ステップＳ３２）。続いて、自動的にログアウトを行い、端末装置に対して、ログイン画面を送信する（ステップＳ３３）。このようにして、異常な操作に対しては閲覧を許可しないようにしている。
【００６２】
検索頻度が正常であれば、ＣＰＵ３０は、次に関連度の判定を行う（ステップＳ３４）。つまり、当該ユーザが、そのファイルに対して関連性があるかどうかを判断する。ここでは、まず、当該ユーザが、閲覧要求を行ったファイルに対して閲覧権限を持っているかどうかを判断する。この判断は、閲覧権限テーブルを参照して行う。
【００６３】
図１０に、閲覧権限テーブルの例を示す。各ファイルに対して、いずれの部署に属するユーザがアクセス権限を有しているかが記載されている。たとえば、ファイルＩＤ「ＤＯＣ００００００１」のファイルに対しては、部署ＩＤ「ＧＲＰ４０００１」「ＧＲＰ４０００２」の部署に属するユーザがアクセス権限を有していることが示されている。
【００６４】
ＣＰＵ３０は、ユーザテーブル（図示せず）から当該ユーザの所属部署を取得し、閲覧要求のあったファイルに対して、当該ユーザがアクセス権限を持っているかどうかを判断する。アクセス権限がなければ、異常であると判断する。
【００６５】
アクセス権限があれば、ＣＰＵ３０は、当該ユーザと当該ファイルとの間に関連性があるかどうかを判断する。この判断には、記録されている業務関連テーブルを用いる。業務関連テーブルの例を、図１１に示す。
【００６６】
各ユーザと、各部署の関連度が、「大」「中」「小」によって示されている。ＣＰＵ３０は、当該ユーザが閲覧要求を行ったファイルに対してアクセス権限を持つ各部署（図１０参照）と、当該ユーザとの関連度を、業務関連テーブルから取得する。ファイルに対して複数の部署がアクセス権限を持つ場合には、この関連度も複数取得されることになる。ＣＰＵ３０は、これらの関連度の少なくとも一つが、「中」以上であれば正常であると判断する。そうでなければ、異常であると判断する。
【００６７】
異常であると判断した場合、ＣＰＵ３０は、異常のフラグと共に、この閲覧要求操作を操作履歴テーブル１６に記録する。さらに、傾向分析テーブルの更新を行う（ステップＳ３５）。続いて、自動的にログアウトを行い、端末装置に対して、ログイン画面を送信する（ステップＳ３６）。このようにして、異常な操作に対しては閲覧を許可しないようにしている。
【００６８】
正常であると判断した場合、ＣＰＵ３０は、この閲覧要求操作を操作履歴テーブル１６に記録する。さらに、傾向分析テーブルの更新を行う（ステップＳ３７）。その後、ユーザによって要求されたファイル閲覧操作を実行する（ステップＳ３８）。すなわち、データベース４０にアクセスして、要求されたファイルを取得し、端末装置に送信する。
【００６９】
４．その他
(1)上記実施形態においては、ステップＳ８において、前回のいずれかの操作からの時間を判定している。しかし、今回の動作と同じ動作について、前回の操作からの時間を判定するようにしてもよい。
【００７０】
(2)上記実施形態においては、ステップＳ８において、履歴に記録すべき操作を対象として判定をしている。しかし、履歴に記録すべき操作とは別に、当該ユーザに関して端末装置から送られてきたすべての操作を対象にしてもよい。
【００７１】
(3)上記実施形態においては、異常と判断したときには、自動ログアウトを行い、閲覧を許可しないようにしている。しかし、関連度判定（ステップＳ３４）を除いて、異常と判断したときに、パスワードの入力を求める画面を送信し、これに対して正しいパスワードが返送されてくれば、閲覧を許可するようにしてもよい。
【００７２】
また、あらかじめ特定の条件が整った閲覧要求に対しては、異常判定にかかわらず、閲覧を許可するようにしてもよい。たとえば、ユーザが意図的に今までとは異なる操作を行う場合に、システム管理者の許可をもらったことのフラグを当該操作内容に含ませておけば、無条件で閲覧を許可するようにしてもよい。あるいは、特定の文書に対しては、上記の異常判定にかかわらず、閲覧を許可するようにしてもよい。
【００７３】
(4)上記実施形態では、各異常の異常の判定を全て行っている。しかし、これらのうち、少なくとも一つを実行するようにしてもよい。また、上記実施形態では、各傾向に基づく異常判定はそれぞれ独立して行っているが、複数の傾向を組み合わせて、１つの異常判定を行うようにしてもよい。たておば、検索方法と検索頻度を組み合わせて、いずれか一方でも正常であれば「正常」と判断するようにしてもよい。
【００７４】
(5)上記実施形態では、操作間隔や操作頻度に基づいて判定を行っている。しかし、操作時刻（今までの操作時刻とは、時間帯が大きく異なるなど）や、操作に用いた入力装置（今まではマウスであったのに、今回はキーボードであるなど）などに基づいて判断を行うようにしてもよい。
【００７５】
(6)上記実施形態では、ファイルの閲覧について判断を行ったが、ファイルの印刷や複製などの処理についても、同様にして判断を行うことができる。
【００７６】
(7)上記実施形態では、ファイル管理装置をサーバ装置として構築した場合について説明した。しかし、ファイル管理装置を、スタンドアローンの装置として構築してもよい。
【図１】
2016130875.tif 000003
【図２】
2016130875.tif 000004
【図３】
2016130875.tif 000005
【図４】
2016130875.tif 000006
【図５】
2016130875.tif 000007
【図６】
2016130875.tif 000008
【図７】
2016130875.tif 000009
【図８】
2016130875.tif 000010
【図９】
2016130875.tif 000011
【図１０】
2016130875.tif 000012
【図１１】
2016130875.tif 000013