(57)【要約】【課題】セキュリティレベルを維持しつつ、ＣＰＵ負荷を軽減できるようにする。【解決手段】仮想マシン３０１に対して利用端末で行なわれる操作を監視する監視処理を繰り返し行なう監視処理部３１と、プロセッサの使用率が基準を満たした場合に、このプロセッサが割り当てられた仮想マシン群に含まれる仮想マシン３０１のうち、少なくともいずれかの仮想マシン３０１に関する、監視処理部３１による監視処理の実行頻度を低下させる、監視頻度変更部３５１とを備える。【選択図】図４
2017182160.tif 000002
【特許請求の範囲】
【請求項１】
仮想マシンに対して利用端末で行なわれる操作を監視する監視処理を実行する監視制御プログラムにおいて、
プロセッサの使用率が基準を満たした場合に、当該プロセッサが割り当てられた仮想マシン群に含まれる仮想マシンのうち、少なくともいずれかの仮想マシンに関する前記監視処理の実行頻度を低下させる
処理をコンピュータに実行させる監視制御プログラム。
【請求項２】
情報セキュリティ上のリスクを数値で示すセキュリティリスク値を、前記仮想マシン群に含まれる各仮想マシンのそれぞれに設定し、
前記仮想マシン群に含まれる前記仮想マシンのうち、前記セキュリティリスク値が最も低い仮想マシンに関する、前記監視処理の実行頻度を低下させる
処理を前記コンピュータに実行させる、請求項１記載の監視制御プログラム。
【請求項３】
前記セキュリティリスク値が、前記利用端末から前記仮想マシンに対してデータアクセスを行なう際のアクセス範囲に応じたアクセス先リスク値を有する
ことを特徴とする、請求項２記載の監視制御プログラム。
【請求項４】
前記セキュリティリスク値が、前記利用端末の利用者のユーザ権限に応じたユーザ権限リスク値を有する
ことを特徴とする、請求項２または３記載の監視制御プログラム。
【請求項５】
前記セキュリティリスク値が、前記利用端末の利用者の操作実績に応じた操作実績リスク値を有する
ことを特徴とする、請求項２〜４のいずれか１項に記載の監視制御プログラム。
【請求項６】
前記利用端末で行なわれた操作内容に基づいて操作履歴を参照して、前記操作内容に相当する応答処理時間を取得し、
前記応答実績時間の間、前記監視処理の実行頻度を低下させる
処理を前記コンピュータに実行させる、請求項１〜５のいずれか１項に記載の監視制御プログラム。
【請求項７】
仮想マシンに対して利用端末で行なわれる操作を監視する監視処理を繰り返し行なう監視処理部と、
プロセッサの使用率が基準を満たした場合に、当該プロセッサが割り当てられた仮想マシン群に含まれる仮想マシンのうち、少なくともいずれかの仮想マシンに関する、前記監視処理部による前記監視処理の実行頻度を低下させる、監視頻度変更部と
を備える、監視制御装置。
【請求項８】
仮想マシンに割り当てられたプロセッサの識別情報を該仮想マシンに対応付けて記憶する記憶部を参照して、同一のプロセッサが割り当てられた仮想マシン群を特定する処理と、
前記同一のプロセッサの使用率が基準を満たした場合、特定した前記仮想マシン群に含まれる仮想マシンのうち、少なくともいずれかの仮想マシンについて、該仮想マシンの利用端末での操作を監視する監視処理の実行頻度を低下させる処理と
を備えることを特徴とする、監視制御方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、監視制御プログラム，監視制御装置および監視制御方法に関する。
【背景技術】
【０００２】
ＰＣ（Personal Computer）からの情報漏えいリスク対策として、組織内のユーザが各々のＰＣで行なった操作をログとして記録・保管・分析することが行なわれている。
【０００３】
ここで、ログの対象となる「ユーザがＰＣで行なった操作」とは、例えば、ＵＳＢ（Universal Serial Bus）ストレージへの書き込み，メール送信，ファイルサーバへのアクセス，ファイル更新等である。
【０００４】
また、ネットワーク機器の管理や監視を行なうミドルウェア製品において、情報漏えいを防止するために、ＰＣにエージェントを導入して、操作ログを自動で収集して記録し、また、特定操作の禁止等を行なうものがある。
【０００５】
このようなミドルウェア製品においては、例えば、エージェントが収集した情報をネットワークを通じて管理サーバに送信し、この管理サーバが、受信した情報をデータベースに格納することより、操作ログの一元管理機能を提供する。
【０００６】
例えば、ミドルウェア製品の運用管理ソフトウェアにおいては、定期的に（例えば、０．５秒間隔で）デスクトップ監視処理を実行して、ＰＣのデスクトップ上のアクティブウィンドウについての情報（例えば、タイトル，アプリケーション，ＵＲＬ：Uniform Resource Locator）を記録する。
【０００７】
このデスクトップ監視処理においては、具体的には、先ず、デスクトップ上における現在のアクティブなウィンドウを特定し、このアクティブウィンドウのタイトル、アプリケーション、ＵＲＬを取得する。そして、取得した情報が前回取得した情報と同じであるかを照合する。照合の結果、取得した情報が前回の取得時と異なる場合にはその情報を記録し、同じである場合には取得した情報を無視する。
【０００８】
なお、上述したデスクトップ監視処理を定期的に行なう理由は、アクティブウィンドウはユーザの操作（起動／切替／移動／終了）によって不定期に状態が変化するからである。
【０００９】
また、このようなデスクトップ監視処理には、１つのデスクトップあたり目安として常時３％程度のＣＰＵ使用率を消費する。
【先行技術文献】
【特許文献】
【００１０】
【特許文献１】特開２０１２−１０８９５６号公報
【特許文献２】特開２００２−２０２９５９号公報
【特許文献３】国際公開ＷＯ２０１２／１２０６３４号パンフレット
【発明の概要】
【発明が解決しようとする課題】
【００１１】
従来のコンピュータシステムにおいては、１人のユーザが１台の物理マシンを占有しており、このユーザが使用しているソフトウェアでＣＰＵを占有できる状態であったので、デスクトップ監視処理にＣＰＵの３％を常時使用しても影響は問題視されなかった。
【００１２】
しかしながら、近年では、仮想化技術の発展により、１台の物理マシンのリソースを複数の仮想マシンで共有する環境等が登場した。そのような環境において、従来のデスクトップ監視処理ではＣＰＵ枯渇による性能問題が発生する。
【００１３】
例えば、コア数が１０（１０コア）のサーバ上で８０台の仮想マシンが稼動しているシステムであって、１コアあたり８台の仮想マシンの処理を担当する場合を想定する。このようなシステムで仮想マシン１台のデスクトップ監視のためにＣＰＵの３％を常時使用すると、サーバ上の１コアあたりデスクトップ監視のためだけに、常時ＣＰＵの２４％が消費されることになる。その結果、通常の業務に割り当てられる共有ＣＰＵが圧迫される。
【００１４】
なお、デスクトップ監視処理によるＣＰＵ負荷を軽減するために、単純に監視間隔を長くすると、共有ＣＰＵの圧迫は軽減されるものの、アクティブウィンドウ情報を適切に記録できず、セキュリティリスクが増大する。
【００１５】
そのため、仮想マシンで行なわれる通常業務処理を妨害しないように共有ＣＰＵを圧迫しないデスクトップ監視処理を行なうことと、ユーザの操作・結果を効果的に記録することでセキュリティリスクに備えるという、相反する要件の両立が求められている。
【００１６】
１つの側面では、本発明は、セキュリティレベルを高く維持しつつ、ＣＰＵ負荷を軽減できるようにすることを目的とする。
【課題を解決するための手段】
【００１７】
このため、この監視制御プログラムは、仮想マシンに対して利用端末で行なわれる操作を監視する監視処理を実行する監視制御プログラムにおいて、プロセッサの使用率が基準を満たした場合に、当該プロセッサが割り当てられた仮想マシン群に含まれる仮想マシンのうち、少なくともいずれかの仮想マシンに関する前記監視処理の実行頻度を低下させる処理をコンピュータに実行させる。
【発明の効果】
【００１８】
一実施形態によれば、セキュリティレベルを高く維持しつつ、ＣＰＵ負荷を軽減できる。
【図面の簡単な説明】
【００１９】
【図１】実施形態の一例としてのコンピュータシステムの構成を模式的に示す図である。
【図２】実施形態の一例としてのコンピュータシステムのハードウェア構成図である。
【図３】実施形態の一例としてのコンピュータシステムの管理サーバの機能図である。
【図４】実施形態の一例としてのコンピュータシステムの仮想環境サーバの機能構成図である。
【図５】実施形態の一例としてのコンピュータシステムにおいて収集されるユーザ操作ログを例示する図である。
【図６】実施形態の一例としてのコンピュータシステムにおいて収集されるプロセス稼動監視ログを例示する図である。
【図７】実施形態の一例としてのコンピュータシステムにおいて収集されるウィンドウタイトル監視ログを例示する図である。
【図８】実施形態の一例としてのコンピュータシステムにおいて仮想マシンＣＰＵ情報を例示する図である。
【図９】実施形態の一例としてのコンピュータシステムにおける仮想マシングループ情報を例示する図である。
【図１０】実施形態の一例としてのコンピュータシステムにおける禁止操作実行履歴を例示する図である。
【図１１】実施形態の一例としてのコンピュータシステムにおける禁止操作リスク値情報を例示する図である。
【図１２】実施形態の一例としてのコンピュータシステムにおける仮想マシン利用者情報を例示する図である。
【図１３】実施形態の一例としてのコンピュータシステムにおける利用者情報に関するセキュリティポリシーを例示する図である。
【図１４】実施形態の一例としてのコンピュータシステムにおける操作に関するセキュリティポリシーを例示する図である。
【図１５】実施形態の一例としてのコンピュータシステムにおけるアクセス先に関するセキュリティポリシーを例示する図である。
【図１６】実施形態の一例としてのコンピュータシステムにおける監視間隔についての監視設定を例示する図である。
【図１７】実施形態の一例としてのコンピュータシステムにおけるＣＰＵ閾値についての監視設定を例示する図である。
【図１８】実施形態の一例としてのコンピュータシステムにおける操作履歴を例示する図である。
【図１９】実施形態の一例としてのコンピュータシステムにおけるグループ内順位情報を例示する図である。
【図２０】実施形態の一例としてのコンピュータシステムの第２監視間隔調整部による処理を説明するための図である。
【図２１】実施形態の一例としてのコンピュータシステムにおける負荷管理方法の概要を説明するための図である。
【図２２】実施形態の一例としてのコンピュータシステムにおけるユーザログオン時の処理の概要を説明するための図である。
【図２３】実施形態の一例としてのコンピュータシステムの管理サーバの処理の概要を説明するためのフローチャートである。
【図２４】実施形態の一例としてのコンピュータシステムの仮想環境サーバの仮想マシンにおけるエージェントの処理を説明するためのフローチャートである。
【図２５】実施形態の一例としてのコンピュータシステムの管理サーバにおける利用者評価部による処理を説明するためのフローチャートである。
【図２６】実施形態の一例としてのコンピュータシステムの仮想環境サーバにおける操作履歴作成部の処理を説明するためのフローチャートである。
【図２７】実施形態の一例としてのコンピュータシステムの仮想環境サーバにおけるセキュリティリスク計算部の処理を説明するためのフローチャートである。
【図２８】実施形態の一例としてのコンピュータシステムの仮想環境サーバにおけるエージェント間通信部によるグループ内順位情報の作成方法を説明するためのフローチャートである。
【図２９】実施形態の一例としてのコンピュータシステムの仮想環境サーバにおける第１監視間隔調整部の処理を説明するためのフローチャートである。
【図３０】実施形態の一例としてのコンピュータシステムの仮想環境サーバにおける第２監視間隔調整部の処理を説明するためのフローチャートである。
【発明を実施するための形態】
【００２０】
以下、図面を参照して本監視制御プログラム，監視制御装置および監視制御方法に係る実施の形態を説明する。ただし、以下に示す実施形態はあくまでも例示に過ぎず、実施形態で明示しない種々の変形例や技術の適用を排除する意図はない。すなわち、本実施形態を、その趣旨を逸脱しない範囲で種々変形（実施形態及び各変形例を組み合わせる等）して実施することができる。又、各図は、図中に示す構成要素のみを備えるという趣旨ではなく、他の機能等を含むことができる。
【００２１】
（Ａ）構成
図１は実施形態の一例としてのコンピュータシステム１の構成を模式的に示す図、図２はそのハードウェア構成図である。
【００２２】
また、図３は実施形態の一例としてのコンピュータシステム１の管理サーバ２の機能図、図４は、その仮想環境サーバ３の機能構成図である。
【００２３】
なお、便宜上、図３中には、管理サーバ２の機能に加えて、仮想環境サーバ３の一部の機能も図示しており、図４中には仮想環境サーバ３の機能に加えて、管理サーバ２の一部の機能も図示している。
【００２４】
図１に示すコンピュータシステム１は、管理サーバ２，仮想環境サーバ３，管理者端末１０１および、１つ以上のユーザ端末１０２を、ネットワーク５０を介して相互に接続して構成されている。
【００２５】
本コンピュータシステム１は、仮想環境サーバ３が提供する仮想的な計算機環境、すなわち、仮想マシン３０１を、ユーザがユーザ端末１０２を介して利用する。
【００２６】
（ａ）管理者端末およびユーザ端末
管理者端末１０１は、システム管理者等が使用するコンピュータであり、図示しないプロセッサとメモリとを備え、プロセッサがプログラムを実行することで種々の機能を実現する。システム管理者は、この管理者端末１０１を用いて、管理サーバ２や仮想環境サーバ３に対する設定操作等を行なう。
【００２７】
例えば、システム管理者は、管理者端末１０１を介して、後述するセキュリティポリシー２０２や監視設定２０１を入力する。
【００２８】
ユーザ端末１０２は、ユーザが使用するコンピュータであり、図示しないプロセッサとメモリとを備え、プロセッサがプログラムを実行することで種々の機能を実現する。
【００２９】
ユーザ端末１０２は、ネットワーク５０を介して仮想環境サーバ３に接続し、この仮想環境サーバ３において提供される仮想マシン３０１にアクセスして、各種処理を実行する。すなわち、ユーザ端末１０２は仮想マシン３０１に対する操作を行なう利用端末に相当する。
【００３０】
ユーザ端末１０２は、デスクトップに同時に複数のウィンドウを表示できるマルチウィンドウ機能を有する。ユーザは、このユーザ端末１０２のデスクトップに表示されたウィンドウを介して、種々の入出力処理を行なう。
【００３１】
また、後述する仮想環境サーバ３のログ収集部３１（図４参照）は、デスクトップ監視処理等を実行し、このユーザ端末１０２のデスクトップを監視し、また、デスクトップ等において行なわれた処理等の記録を収集する。
【００３２】
（ｂ）管理サーバ
管理サーバ２は、サーバ機能を有するコンピュータ（サーバコンピュータ，情報処理装置）であり、仮想環境サーバ３の各種管理を行なう。
【００３３】
管理サーバ２は、図２に示すように、ＣＰＵ１３，メモリ１４および記憶装置１５を備える。
【００３４】
なお、図２に例示するコンピュータシステム１においては、便宜上、管理サーバ２，仮想環境サーバ３，管理者端末１０１およびユーザ端末１０２のそれぞれにおいて、マウスやキーボード等の入力装置や、表示装置の図示を省略している。また、コンピュータシステム１には、これら以外の装置を備えてもよい。
【００３５】
また、管理サーバ２，仮想環境サーバ３，管理者端末１０１およびユーザ端末１０２のそれぞれが、これら以外の機器を備えてもよい。
【００３６】
メモリ１４はＲＯＭ（Read Only Memory）及びＲＡＭ（Random Access Memory）を含む記憶メモリである。メモリ１４のＲＯＭには、ソフトウェアプログラム（監視制御プログラム）やこのプログラム用のデータ類が書き込まれている。メモリ１４上のソフトウェアプログラムは、ＣＰＵ１３に適宜読み込まれて実行される。又、メモリ１４のＲＡＭは、一次記憶メモリあるいはワーキングメモリとして利用される。
【００３７】
記憶装置１５は、ハードディスクドライブ（Hard disk drive：ＨＤＤ）、ＳＳＤ（Solid State Drive）、ストレージクラスメモリ（Storage Class Memory：ＳＣＭ）等の記憶装置であって、種々のデータを格納するものである。
【００３８】
また、記憶装置１５の記憶領域には、ログ２５，仮想マシンＣＰＵ情報２６，仮想マシングループ情報２７，禁止操作リスク値情報２８，仮想マシン利用者情報２９，セキュリティポリシー２０２，禁止操作実行履歴２５１および監視設定２０１が格納される（図３参照）。
【００３９】
ログ２５は、本コンピュータシステム１においてユーザがユーザ端末１０２を用いて行なった操作等に関するログ（履歴，記録）であり、例えば、ユーザ操作ログ２５ａやプロセス監視ログ２５ｂおよびデスクトップ監視ログ２５ｃ等が含まれる。
【００４０】
以下、仮想マシン３０１において、ユーザ端末１０２を用いて行なわれた操作等に関するログを収集することを、監視するという場合がある。
【００４１】
図５〜図７は実施形態の一例としてのコンピュータシステム１において収集されるログを例示する図であり、図５はユーザ操作ログ２５ａを例示する図、図６はプロセス稼動監視ログ２５ｂを例示する図、図７はウィンドウタイトル監視ログ２５ｃを例示する図である。
【００４２】
ユーザ操作ログ２５ａは、ユーザがユーザ端末１０２のマウスやキーボード等の図示しない入力デバイスを用いて行なった各種操作についてのログである。図５に示すように、ユーザ操作ログ２５ａは、例えば、操作時間，操作内容，操作対象および処理時間等を含む。
【００４３】
プロセス稼動監視ログ２５ｂは、仮想マシン３０１において実行されたプロセスについてのログである。図６に示すように、プロセス稼動監視ログ２５ｂは、例えば、操作日時，操作内容，操作対象，アプリケーションおよびプロセスＩＤ（identification）を含む。
【００４４】
ウィンドウタイトル監視ログ２５ｃは、ユーザ端末１０２のデスクトップに開かれたウィンドウ（図示省略）において実行された処理に関するログである。ウィンドウタイトル監視ログは、図７に示すように、操作日時，ウィンドウタイトルおよびプロセスＩＤを含む。
【００４５】
これらのログ２５ａ〜２５ｃは、後述する仮想環境サーバ３のエージェント３０のログ収集部３１によって各仮想マシン３０１において収集され、各仮想マシン３０１から後述する基本サーバ機能部２４がそれぞれ収集し、ログ２５として格納される。
【００４６】
本コンピュータシステム１においては、このログ２５として格納された各種情報が、保管／分析され、ユーザ端末１０２等からの情報漏えいリスク対策に役立てられる。
【００４７】
仮想マシンＣＰＵ情報２６は、後述する仮想環境サーバ３に備えられた各ＣＰＵ１０−１〜１０−４のＣＰＵ使用率である。これらのＣＰＵ使用率は、後述するＣＰＵ状況確認部２１によって収集される。
【００４８】
図８は実施形態の一例としてのコンピュータシステム１において仮想マシンＣＰＵ情報２６を例示する図である。この図８に示すように、仮想マシンＣＰＵ情報２６においては、ＣＰＵ１０−１〜１０−４を特定するための識別情報（ＣＰＵ  ＩＤ）に対して、ＣＰＵ使用率が対応付けられている。
【００４９】
以下、仮想環境サーバ３に備えられたＣＰＵを示す符号としては、複数のＣＰＵのうち１つを特定する必要があるときには符号１０−１〜１０−４を用いるが、任意のＣＰＵを指すときには符号１０を用いる。
【００５０】
仮想マシングループ情報２７は、仮想マシングループ（仮想マシン群）を管理する情報である。本コンピュータシステム１の仮想環境サーバ３において、一のＣＰＵ１０が複数の仮想マシン３０１を実現する場合に、この同じＣＰＵ１０によって実現される複数の仮想マシン３０１を仮想マシングループという。
【００５１】
図９は、実施形態の一例としてのコンピュータシステム１における仮想マシングループ情報２７を例示する図である。仮想マシングループ情報２７は、図９に示すように、マシン名，ＩＰ（Internet Protocol）アドレス，割当てＣＰＵおよびグループを相互に関連付けて構成されている。
【００５２】
ここで、マシン名は仮想マシン３０１を特定するための識別情報である。ＩＰアドレスは仮想マシン３０１にアクセスするためのＩＰアドレスである。割当てＣＰＵは、その仮想マシン３０１を実現するＣＰＵ１０のＣＰＵ  ＩＤである。また、グループは仮想マシングループを特定する識別情報である。
【００５３】
この図９に示す例においては、マシン名“ＶＭ００１”，“ＶＭ００２”および“ＶＭ００３”の３つの仮想マシン３０１が、ＣＰＵ  ＩＤ“ｃｐｕ００１”で特定されるＣＰＵ１０によって実現されている。
【００５４】
また、マシン名“ＶＭ００４”および“ＶＭ００５”の２つの仮想マシン３０１が、ＣＰＵ  ＩＤ“ｃｐｕ００２”で特定されるＣＰＵ１０によって実現されている。
【００５５】
本コンピュータシステム１においては、同じＣＰＵ１０によって実現される複数の仮想マシン３０１を同じ仮想マシングループとする。
【００５６】
例えば、図９に示す例において、ＣＰＵ  ＩＤ“ｃｐｕ００１”のＣＰＵ１０で実行される“ＶＭ００１”，“ＶＭ００２”および“ＶＭ００３”の３つの仮想マシン１０が、同じ仮想マシングループとして取り扱われ、共通の仮想マシングループＩＤ“１”が設定されている。
【００５７】
禁止操作実行履歴２５１は、個々のユーザについて、情報セキュリティの観点から禁止されている操作（禁止操作）を行なった日（禁止操作実行日）を管理する情報である。
【００５８】
図１０は実施形態の一例としてのコンピュータシステム１における禁止操作実行履歴２５１を例示する図である。
【００５９】
禁止操作実行履歴２５１は、図１０に示すように、ユーザＩＤに禁止操作実行日を対応付けて構成されている。
【００６０】
禁止操作実行履歴２５１は、後述する利用者評価部２３が、ログ２５から禁止操作が実行された履歴を抽出することにより作成される。
【００６１】
禁止操作リスク値情報２８は、個々のユーザについて、情報セキュリティの観点から設定されたリスクを示す情報である。
【００６２】
図１１は実施形態の一例としてのコンピュータシステム１における禁止操作リスク値情報２８を例示する図である。
【００６３】
禁止操作リスク値情報２８は、図１１に示すように、ユーザＩＤに禁止操作リスク値を対応付けて構成されている。
【００６４】
ユーザＩＤはユーザを特定するための識別情報である。禁止操作リスク値は、ユーザの操作実績に基づいて情報セキュリティの観点から設定されたリスクを数値で表す評価値である。図１１に示す例においては、禁止操作リスク値として１〜３のいずれかの整数が用いられ、数値が大きいほど、情報セキュリティの観点から禁止されている操作（禁止操作）を行なうリスクが高いことを示す。すなわち、禁止操作リスク値の１が低リスクを、２が中リスクを、３が高リスクを、それぞれ示す。
【００６５】
この禁止操作リスク値情報２８は、後述する利用者評価部２３によって設定、更新される。
【００６６】
仮想マシン利用者情報２９は、仮想マシン３０１を利用しているユーザを管理する情報である。
【００６７】
図１２は実施形態の一例としてのコンピュータシステム１における仮想マシン利用者情報２９を例示する図である。
【００６８】
仮想マシン利用者情報２９は、図１２に示すように、マシン名にユーザＩＤを対応付けて構成されている。
【００６９】
マシン名は仮想マシン３０１を特定するための情報であり、このマシン名によって特定される仮想マシン３０１を利用しているユーザのユーザＩＤが、このマシン名に対応付けて登録される。
【００７０】
本コンピュータシステム１においては、ユーザがユーザ端末１０２を用いて仮想環境サーバ３にログインを行なうことで、一つの仮想マシン３０１が新たに形成される。すなわち、ユーザと仮想マシン３０１とが１対１で対応しており、一つの仮想マシン３０１を複数のユーザが使用することは想定していないものとする。
【００７１】
セキュリティポリシー２０２は、本コンピュータシステム１における情報セキュリティに関する基本方針を規定した情報である。
【００７２】
このセキュリティポリシー２０２には、利用者情報に関するセキュリティポリシー２０２ａ，操作に関するセキュリティポリシー２０２ｂおよびアクセス先に関するセキュリティポリシー２０２ｃが含まれる。
【００７３】
図１３〜図１５は、それぞれ実施形態の一例としてのコンピュータシステム１におけるセキュリティポリシー２０２を例示する図である。なお、図１３は利用者情報に関するセキュリティポリシー２０２ａを、図１４は操作に関するセキュリティポリシー２０２ｂを、図１５はアクセス先に関するセキュリティポリシー２０２ｃを、それぞれ示す。
【００７４】
利用者情報に関するセキュリティポリシー２０２ａは、ユーザに対してその所属や権限（利用者情報）に基づいて情報セキュリティの観点から設定されたリスクを示す。
【００７５】
このセキュリティポリシー２０２ａは、図１３に示すように、ユーザＩＤに対して、所属，役職および役職リスク値を対応付けて構成されている。
【００７６】
ここで役職リスク値は、ユーザの所属や役職等に基づいて情報セキュリティの観点から設定されたリスクを数値で表す評価値である。すなわち、役職リスク値はユーザ端末１０２のユーザのユーザ権限に応じて設定される。
【００７７】
システム管理者等は、ユーザの業務内容や役職、扱うデータ等を鑑み、ユーザ毎に予めリスク値（役職リスク値，ユーザ権限リスク値）をセキュリティポリシー２０２ａとして設定しておく。すなわち、ユーザ毎に、ユーザの役職等の利用者情報に応じた役職リスク値が予め設定されている。
【００７８】
図１３に示す例においては、役職リスク値として１〜３の整数が用いられ、数値が大きいほど、情報セキュリティの観点から取り扱う情報の重要度や機密性が高くリスクが高いことを示す。すなわち、役職リスク値の１が低リスクを、２が中リスクを、３が高リスクを、それぞれ示す。
【００７９】
操作に関するセキュリティポリシー２０２ｂは、ユーザによって行なわれる各種操作についての実行の可否等を所属や役職に応じて設定した情報である。
【００８０】
このセキュリティポリシー２０２ｂは、図１４に示すように、操作内容（操作）に対して、禁止，所属および役職の各項目を対応付けて構成されている。
【００８１】
項目“禁止”には禁止または注意のいずれかが登録されており、当該セキュリティポリシー２０２ｂに設定された所属と役職との組合せのユーザに、その操作が禁止されている、もしくは、その操作が行なされる際に何らかの注意（警告）が出力されることを示す。
【００８２】
アクセス先に関するセキュリティポリシー２０２ｃは、ユーザがユーザ端末１０２を用いて仮想マシン３０１に対してデータアクセスを行なう際のアクセス先に対して、情報セキュリティの観点から設定されたリスクを示す。
【００８３】
このセキュリティポリシー２０２ｃは、図１５に示すように、アクセス先に対して、アクセス先リスク値を対応付けて構成されている。
【００８４】
図１５に示す例においては、アクセス先として外部インターネット，企業内イントラネットおよび自端末内が示されている。アクセス先リスク値は、アクセス先について情報セキュリティの観点から設定されたリスクを数値で表す評価値である。
【００８５】
図１５に示す例においては、アクセス先リスク値として１〜３の整数が用いられ、数値が大きいほど、情報セキュリティの観点からデータアクセスを行なう際のリスクが高いことを示す。すなわち、アクセス先リスク値の１が低リスクを、２が中リスクを、３が高リスクを、それぞれ示す。
【００８６】
なお、セキュリティポリシー２０２ｃはこの図１５に例示したものに限定されるものではなく、適宜変更して実施することができる。例えば、アクセス対象のデータが自端末にあっても取り扱いに注意が必要なファイルがあるので、このような場合にはより詳細な設定を行なってもよい。例えば、マイナンバーのような機密情報に関するデータについては、アクセス先が企業内イントラネット内であってもアクセス先リスク値を３としてもよい。
【００８７】
監視設定２０１は、本コンピュータシステム１のユーザ端末１０２において行なわれる操作等のログ収集、すなわち、監視を行なうための各種設定である。
【００８８】
本コンピュータシステム１においては、仮想マシン３０１のエージェント３０のログ収集部３１が監視設定２０１に従ってログ収集（監視）を行なう。
【００８９】
この監視設定２０１には、監視間隔についての監視設定２０１ａとＣＰＵ閾値についての監視設定２０１ｂとが含まれる。
【００９０】
図１６および図１７は、それぞれ実施形態の一例としてのコンピュータシステム１における監視設定２０１を例示する図である。なお、図１６は監視間隔についての監視設定２０１ａを、図１７はＣＰＵ閾値についての監視設定２０１ｂを、それぞれ示す。
【００９１】
監視間隔についての監視設定２０１ａは、後述する仮想環境サーバ３の仮想マシン３０１において、ログ収集部３１がユーザ端末１０２において行なわれる操作等のログ収集（監視）を行なう間隔を規定する。
【００９２】
この監視設定２０１ａは、図１６に示すように、監視間隔に対して時間（秒）を対応付けて構成されている。
【００９３】
図１６に示す例においては、監視間隔には最大値（監視間隔最大値）と最小値（監視間隔最小値）とがあり、最大値が１０秒、最小値が０．５秒である。
【００９４】
本コンピュータシステム１においては、ログ収集部３１は、基本的に、監視設定２０１ａの最小値の間隔（０．５秒間隔）で、ログ収集を行なう。また、ログ収集部３１は、後述する監視間隔再設定指示部２２により、仮想マシン３０１のエージェントにログ収集間隔を変更するように指示を受けると、この最小値の間隔よりも長い間隔でログ収集を行なう。
【００９５】
ログ収集部３１による監視間隔（ログ収集間隔）は、例えば段階的に長くしてもよいが、最大値の間隔（１０秒間隔）を超えることがないものとする。
【００９６】
ログ収集間隔を長くすることで、仮想マシン３０１におけるログ収集回数を減少させ、ログ収集にかかる負荷を軽減することができるのである。
【００９７】
なお、監視間隔についての監視設定２０１ａは、図１６に例示したものに限定されず、種々変形して実施することができる。例えば、図１６に示す例において、監視間隔の最小値と最大値とは、０．５秒と１０秒に限定されるものではなく、それぞれ他の値であってもよい。
【００９８】
また、例えば、ユーザのリスク度に応じて監視間隔に幅を持たせてもよい。例えば、高リスクなユーザに対しては０．５〜２．０秒の範囲で監視間隔を設定し、中リスクなユーザに対しては、０．５〜１０．０秒の、また、低リスクなユーザに対しては０．５〜１５秒の範囲で監視間隔をそれぞれ設定してもよい。
【００９９】
また、管理サーバ２のＣＰＵ使用状況確認部２１は、上述した監視間隔（監視間隔最小値）で仮想環境管理マシン３０２に対してＣＰＵ使用率および仮想マシングループ情報２７を問い合わせる。
【０１００】
ＣＰＵ閾値についての監視設定２０１ｂは、後述する監視間隔再設定指示部２２がＣＰＵ１０の過負荷が切迫していることを判断するために用いられる閾値（ＣＰＵ閾値）を規定する。
この監視設定２０１ｂは、ＣＰＵ閾値としてＣＰＵの使用率が規定されており、図１７に示す例においては、７０％のＣＰＵ使用率が設定されている。
【０１０１】
なお、ＣＰＵ閾値についての監視設定２０１ｂは、図１７に例示したものに限定されず、種々変形して実施することができる。例えば、ＣＰＵ閾値として、何段階かに分けた複数の値を設定することで、仮想マシン３０１の稼動状況に即した運用を行なうことができる。
【０１０２】
ＣＰＵ１３は、種々の制御や演算を行なう処理装置であり、メモリ１４に格納されたＯＳ（Operating System）やプログラムを実行することにより、種々の機能を実現する。
【０１０３】
そして、ＣＰＵ１３が、制御プログラムを実行することにより、図３に示すように、ＣＰＵ使用状況確認部２１，監視間隔再設定指示部２２，利用者評価部２３および基本サーバ機能部２４として機能する。
【０１０４】
なお、これらのＣＰＵ使用状況確認部２１，監視間隔再設定指示部２２，利用者評価部２３および基本サーバ機能部２４としての機能を実現するためのプログラム（監視制御プログラム）は、例えばフレキシブルディスク，ＣＤ（ＣＤ−ＲＯＭ，ＣＤ−Ｒ，ＣＤ−ＲＷ等），ＤＶＤ（ＤＶＤ−ＲＯＭ，ＤＶＤ−ＲＡＭ，ＤＶＤ−Ｒ，ＤＶＤ＋Ｒ，ＤＶＤ−ＲＷ，ＤＶＤ＋ＲＷ，ＨＤ  ＤＶＤ等），ブルーレイディスク，磁気ディスク，光ディスク，光磁気ディスク等の、コンピュータ読取可能な記録媒体に記録された形態で提供される。そして、コンピュータはその記録媒体からプログラムを読み取って内部記憶装置または外部記憶装置に転送し格納して用いる。又、そのプログラムを、例えば磁気ディスク，光ディスク，光磁気ディスク等の記憶装置（記録媒体）に記録しておき、その記憶装置から通信経路を介してコンピュータに提供するようにしてもよい。
【０１０５】
ＣＰＵ使用状況確認部２１は、仮想環境サーバ３の仮想環境管理マシン３０２に、仮想環境サーバ３の各ＣＰＵ１０のＣＰＵ負荷を問い合わせて取得する。
【０１０６】
ＣＰＵ使用状況確認部２１は、取得した各ＣＰＵ１０のＣＰＵ負荷の値を、そのＣＰＵ１０のＣＰＵ  ＩＤに対応づけて、仮想マシンＣＰＵ情報２６に格納する。
【０１０７】
また、ＣＰＵ使用状況確認部２１は、取得した各ＣＰＵ１０のＣＰＵ負荷の値を、監視設定２０１ｂに登録されたＣＰＵ閾値と比較する。この比較の結果、ＣＰＵ１０のＣＰＵ負荷がＣＰＵ閾値よりも高い場合に、ＣＰＵ使用状況確認部２１は、このＣＰＵ１０の過負荷が切迫していると判断して、監視間隔再設定指示部２２に対して過負荷が発生している旨の通知を行なう。
【０１０８】
監視間隔再設定指示部２２は、仮想環境サーバ３の仮想マシン３０１の監視間隔調整部３５に、ログ収集部３１によるログ収集間隔（監視間隔）の変更を指示する監視間隔変更指示を送信する。
【０１０９】
また、監視間隔再設定指示部２２は、監視間隔変更指示とともに、監視間隔を示す情報（監視間隔情報）を通知する。
【０１１０】
監視間隔情報としては、例えば、監視間隔を長くさせる監視間隔延長指示や、監視間隔を短くさせる監視間隔短縮指示であってもよい。また、監視間隔情報として、監視間隔を監視設定２０１ａ（図１６参照）の最小値とさせる監視間隔最小指示や、監視設定２０１ａ（図１６参照）の最大値とさせる監視間隔最大指示であってもよい。
【０１１１】
また、監視間隔延長指示や監視間隔短縮指示においては、例えば、“−１０％”や“＋２０％”のような短縮量や延長量を示す値を送信してもよい。
【０１１２】
後述する監視間隔調整部３５（第１監視間隔調整部３５１）は、監視間隔変更指示および監視間隔情報を受信すると、監視間隔情報に従って、ログ収集部３１による監視間隔を変更する。
【０１１３】
監視間隔再設定指示部２２は、ＣＰＵ使用状況確認部２１における確認の結果、ＣＰＵ１０使用率が閾値以下である場合、すなわち、ＣＰＵ１０において過負荷が発生している場合に、仮想マシン３０１（監視間隔調整部２５）に、監視間隔を長くさせる監視間隔延長指示や監視間隔最大指示を送信する。これにより、仮想マシン３０１を実現するＣＰＵ１０の負荷を軽減することができる。
【０１１４】
ただし、監視間隔再設定指示部２２は、仮想マシン３０１が高リスクの状態である場合には、上記にかかわらず、監視間隔最小指示を通知する。これにより、高リスクの状態にある仮想マシン３０１のログの取得頻度を高くして、セキュリティリスクに備えることができる。
【０１１５】
基本サーバ機能部２４は、仮想環境サーバ３の仮想マシン３０１のエージェント３０から、そのログ収集部３１によって収集されたログを収集し、ログ２５に格納する。
【０１１６】
また、基本サーバ機能部２４は、セキュリティポリシー２０２や監視設定２０１を各仮想マシン３０１に通知する。
【０１１７】
なお、これらの基本サーバ機能部２４としての機能は、既知の手法を用いて実現することができ、その説明は省略する。
【０１１８】
利用者評価部２３は、基本サーバ機能部２４によって収集されたログ２５に基づいて、ユーザについての禁止操作リスク値を決定する。
【０１１９】
この利用者評価部２３は、ログ２５から禁止操作が実行された履歴を抽出し、禁止操作実行履歴２５１を作成する。
【０１２０】
そして、利用者評価部２３は、作成した禁止操作実行履歴２５１に基づいて、各ユーザが禁止操作を実行した回数（禁止操作実行回数）をそれぞれ計数する。
【０１２１】
利用者評価部２３は、ユーザが行なった禁止操作実行回数に基づいて、禁止操作リスク値を決定する。例えば、利用者評価部２３は、所定期間（例えば、直近１か月間）における禁止操作実行回数が多い順に全ユーザを並べ、それらの上位１／３を高リスク（禁止操作リスク値＝３）とし、それらの下位１／３を低リスク（禁止操作リスク値＝１）とする。また、これら以外の中間順位の１／３を中リスク（禁止操作リスク値＝２）とする。
【０１２２】
従って、禁止操作リスク値は、ユーザの操作履歴（操作実績）に基づいて設定されるセキュリティリスク値である。
【０１２３】
また、利用者評価部２３は、決定したユーザの禁止操作リスク値を禁止操作リスク値情報２８に登録する。
【０１２４】
上述の如く、本コンピュータシステム１においては、ユーザと仮想マシン３０１とが１対１で対応するので、ユーザ（ユーザＩＤ）に対して設定された禁止操作リスク値は、当該ユーザが利用する仮想マシン３０１の禁止操作リスク値に相当する。
【０１２５】
なお、利用者評価部２３による禁止操作リスク値の決定方法の詳細は、図２５を用いて後述する。
【０１２６】
（ｃ）仮想環境サーバ
仮想環境サーバ３は、サーバ機能を有するコンピュータ（サーバコンピュータ，情報処理装置）であって、そのハードウェアリソースを論理的に分割することによって、１つ以上の仮想マシン３０１を提供する。
【０１２７】
本実施形態においては、仮想環境サーバ３は複数の仮想マシン３０１を提供する。
【０１２８】
仮想環境サーバ３は、例えば、ハイパーバイザと呼ばれる制御プログラム（仮想化ＯＳ）を実行することで、仮想マシン３０１を実現する。これにより、仮想環境サーバ３は、複数の仮想マシン３０１を作成する仮想マシン作成部としての機能を備える。
【０１２９】
なお、ハイパーバイザによる仮想マシン３０１の構築方法等は既知であり、その説明は省略する。
【０１３０】
仮想環境サーバ３は、図２に示すように、複数（図２に示す例では４つ）のＣＰＵ１０１０−１〜１０−４，メモリ１１および記憶装置１２を備える。
【０１３１】
また、図２に示す例においては、仮想環境サーバ３が４つのＣＰＵ１０−１〜１０−４を備えているが、これに限定されるものではなく、３つ以下、または５つ以上のＣＰＵ１０を備えてもよい。
【０１３２】
メモリ１１はＲＯＭ及びＲＡＭを含む記憶メモリである。メモリ１１のＲＯＭには、ソフトウェアプログラム（制御プログラム）やこのプログラム用のデータ類が書き込まれている。メモリ１１上のソフトウェアプログラムは、ＣＰＵ１０−１〜１０−４に適宜読み込まれて実行される。又、メモリ１１のＲＡＭは、一次記憶メモリあるいはワーキングメモリとして利用される。
【０１３３】
記憶装置１２は、ＨＤＤ、ＳＳＤ、ＳＣＭ等の記憶装置であって、種々のデータを格納するものである。
【０１３４】
また、記憶装置１２の記憶領域には、ログ３６，操作履歴３７，グループ内順位情報３８およびセキュリティリスク値情報３９が格納される（図４参照）。
【０１３５】
ログ３６は、前述したログ２５と同様に、本コンピュータシステム１においてユーザがユーザ端末１０２を用いて行なった操作等に関するログ（記録）であり、例えば、ユーザ操作ログやプロセス監視ログ、デスクトップ監視ログ等が含まれる。
【０１３６】
なお、ログ３６として格納される情報は前述したログ２５と同様であるので、その説明は省略する。
【０１３７】
このログ収集部３６は、ログ収集部３１が、自身が実行される仮想マシン３０１（以下、自仮想マシン３０１という）において検出された、ユーザ操作ログ，プロセス監視ログおよびデスクトップ監視ログである。
【０１３８】
操作履歴３７は、自仮想マシン３０１において、ユーザがユーザ端末１０２を用いて行なった操作の履歴である。
【０１３９】
図１８は実施形態の一例としてのコンピュータシステム１における操作履歴３７を例示する図である。
【０１４０】
図１８に示す例においては、操作履歴３７は、操作日時，操作内容，操作対象，アプリケーションおよび時間（秒）の各項目を相互に関連付けて構成されている。ここで、項目“時間”は、操作対象に対して行なわれた操作について、その操作の結果が応答されるまでに要する時間（操作処理時間）を示す。
【０１４１】
同一の操作対象に対して同一の操作が行なわれた場合には、ほぼ同一の操作処理時間がかかると考えられる。従って、本コンピュータシステム１においては、操作履歴３７を参照することで、同じ操作対象に対して同じ操作が行なわれた場合に要する時間を予測することができる。
【０１４２】
なお、この操作履歴３７は、操作履歴作成部３３によって作成される
セキュリティリスク値情報３９は、後述するセキュリティリスク計算部３２によって算出される、仮想マシン３０１毎のセキュリティリスク値を管理する。
【０１４３】
セキュリティリスク値は、情報セキュリティの観点から設定されたリスクを数値で表す評価値であり、例えば、数値が大きいほど情報セキュリティ上のリスクが高いことを示す。
【０１４４】
セキュリティリスク値情報３９には、自仮想マシン３０１のセキュリティリスク計算部３２（後述）が算出した自仮想マシン３０１のセキュリティリスク値と、他の仮想マシン３０１のセキュリティリスク値とが含まれる。
【０１４５】
なお、他の仮想マシン３０１のセキュリティリスク値は、後述するエージェント間通信部３４が他の仮想マシン３０１からそれぞれ受信したものである。
【０１４６】
グループ内順位情報３８は、仮想環境サーバ３において実行される複数の仮想マシン３０１を、各仮想マシン３０１に対して決定されたセキュリティリスク値に従って降順に並べ変えることで順位付けした情報である。
【０１４７】
図１９は実施形態の一例としてのコンピュータシステム１におけるグループ内順位情報３８を例示する図である。
【０１４８】
図１９に示す例においては、グループ内順位情報３８は、マシン名，順位およびセキュリティリスク値を相互に関連付けて構成されている。
【０１４９】
このグループ内順位情報３８は、同じ仮想マシングループに属する複数の仮想マシン３０１を、セキュリティリスク値が大きいものから順に降順に並べることで順位が設定されている。
【０１５０】
すなわち、グループ内順位情報３８は、同じ仮想マシングループに属する複数の仮想マシン３０１をセキュリティリスク値の値が大きいものから順に並べて示している。
【０１５１】
ＣＰＵ１０−１〜１０−４は、種々の制御や演算を行なう処理装置であり、メモリ１１に格納されたＯＳ（Operating System）やプログラムを実行することにより、種々の機能を実現する。これらのＣＰＵ１０−１〜１０−４は互いに同様の構成を有する。
【０１５２】
本コンピュータシステム１は、複数のＣＰＵ１０−１〜１０−４を備えるマルチプロセッシングシステムである。
【０１５３】
以下、ＣＰＵを示す符号としては、複数のＣＰＵのうち１つを特定する必要があるときには符号１０−１〜１０−４を用いるが、任意のＣＰＵを指すときには符号１０を用いる。
【０１５４】
そして、ＣＰＵ１０が、仮想マシン制御プログラムを実行することにより、図４に示すように、仮想環境管理マシン３０２や仮想マシン３０１のエージェント３０（ログ収集部３１，セキュリティリスク計算部３２，操作履歴作成部３３およびエージェント間通信部３４）として機能する。
【０１５５】
なお、これらの仮想環境管理マシン３０２および仮想マシン３０１（エージェント３０）としての機能を実現するためのプログラム（監視制御プログラム）は、例えばフレキシブルディスク，ＣＤ（ＣＤ−ＲＯＭ，ＣＤ−Ｒ，ＣＤ−ＲＷ等），ＤＶＤ（ＤＶＤ−ＲＯＭ，ＤＶＤ−ＲＡＭ，ＤＶＤ−Ｒ，ＤＶＤ＋Ｒ，ＤＶＤ−ＲＷ，ＤＶＤ＋ＲＷ，ＨＤ  ＤＶＤ等），ブルーレイディスク，磁気ディスク，光ディスク，光磁気ディスク等の、コンピュータ読取可能な記録媒体に記録された形態で提供される。そして、コンピュータはその記録媒体からプログラムを読み取って内部記憶装置または外部記憶装置に転送し格納して用いる。又、そのプログラムを、例えば磁気ディスク，光ディスク，光磁気ディスク等の記憶装置（記録媒体）に記録しておき、その記憶装置から通信経路を介してコンピュータに提供するようにしてもよい。
【０１５６】
仮想環境管理マシン３０２は、仮想環境サーバ３において、各仮想マシン３０１の管理を行なう。例えば仮想環境管理マシン３０２は、各仮想マシン３０１の稼動状況を監視したり、これらの仮想マシン３０１を実現するＣＰＵ１０等のハードウェアリソースの監視を行なう。
【０１５７】
仮想環境管理マシン３０２は、このような仮想環境サーバ３におけるハードウェアリソースの管理の一つとして、各ＣＰＵ１０のＣＰＵ使用率（ＣＰＵ負荷）を監視する。仮想環境管理マシン３０２は、管理サーバ２（ＣＰＵ使用状況確認部２１）からＣＰＵ使用率の問合せが行なわれると、管理サーバ２に対して、ＣＰＵ使用率を応答する。
【０１５８】
なお、仮想環境管理マシン３０２は、管理サーバ２（ＣＰＵ使用状況確認部２１）に対して測定したＣＰＵ使用率等を定期的もしくは不定期に通知してもよい。例えば、測定したＣＰＵ使用率が所定の閾値を超えたことを検知すると、管理サーバ２（ＣＰＵ使用状況確認部２１）に対して通知を行なってもよい。
【０１５９】
エージェント３０は、各仮想マシン３０１において、各種機能を実現する。図４に示すように、エージェント３０は、ログ収集部３１，セキュリティリスク計算部３２，操作履歴作成部３３およびエージェント間通信部３４としての機能を備える。
【０１６０】
ログ収集部３１は、ユーザがユーザ端末１０２を用いて行なった、自仮想マシン３０１における操作等に関するログを収集する。
【０１６１】
ログ収集部３１は、ＣＰＵ１０の負荷（ＣＰＵ使用量）が所定の閾値（例えば、７０％）を超えていない低負荷状態においては、第１の間隔（例えば、０．５秒間隔）でログ収集を繰り返し行なう。
【０１６２】
すなわち、ログ収集部３１は、仮想マシン３０１に対してユーザ端末１０２で行なわれる操作を監視する監視処理を繰り返し行なう監視処理部に相当する。
【０１６３】
ログ収集部３１が収集するログには、例えば、ユーザ操作ログやプロセス監視ログ、デスクトップ監視ログ等が含まれる。
【０１６４】
ログ収集部３１によって収集されたログは、ログ３６として記憶装置１２やメモリ１１のＲＡＭに格納される。
【０１６５】
セキュリティリスク計算部３２は、仮想マシン３０１に関してユーザ端末１０２から行なわれた操作に基づき、各仮想マシン３０１についてセキュリティリスク値を算出する。
【０１６６】
例えば、セキュリティリスク計算部３２は、アクセス範囲に基づくセキュリティリスク値（ＳＲ１），ユーザ権限に基づくセキュリティリスク値（ＳＲ２）および禁止操作回数に基づくセキュリティリスク値（ＳＲ３）、をそれぞれ求め、これらのＳＲ１，ＳＲ２およびＳＲ３を合計することでセキュリティリスク値を算出する。
【０１６７】
（i）アクセス範囲に基づくセキュリティリスク値（ＳＲ１）
セキュリティリスク計算部３２は、上述したセキュリティポリシー２０２ｃ（図１５）を参照して、ユーザがユーザ端末１０２を用いて仮想マシン３０１に対してデータアクセスを行なう際のアクセス先に応じたセキュリティリスク値（アクセス先リスク値）を決定する。
【０１６８】
例えば、ローカルドライブのファイルオープン操作を行なう場合のように、アクセス対象が自端末内にとどまる場合は低リスクであり、セキュリティリスク値（ＳＲ１）＝１とする。
【０１６９】
また、例えば、社内のウェブサーバやファイルサーバのような、アクセス対象が企業イントラネット内にある場合は中リスクであり、セキュリティリスク値（ＳＲ１）＝２とする。
【０１７０】
また、社外のウェブサーバやファイルサーバのような、アクセス対象が外部インターネットにある場合は高リスクであり、セキュリティリスク値（ＳＲ１）＝３とする。
【０１７１】
（ii）ユーザ権限に基づくセキュリティリスク値（ＳＲ２）
セキュリティリスク計算部３２は、上述したセキュリティポリシー２０２ａ（図１３）を参照して、ユーザ端末１０２を用いてデータアクセスを行なうユーザに対して予め設定されているセキュリティリスク値（役職リスク値）を決定する。
【０１７２】
セキュリティポリシー２０２ａにおいては、例えば、役職が高いほど高リスクとなり、また取り扱うデータの機密性が高くなるほど高リスクとなるよう役職リスク値が設定されている。
【０１７３】
（iii）禁止操作回数に基づくセキュリティリスク値（ＳＲ３）
セキュリティリスク計算部３２は、上述した禁止操作リスク値情報２８（図１１）と仮想マシン利用者情報２９（図１２）とを参照して、仮想マシン３０１を利用するユーザに設定された禁止操作リスク値を取得する。すなわち、禁止操作リスク値は、ユーザ端末１０２のユーザが行なった操作実績に応じた操作実績リスク値である。
【０１７４】
そして、セキュリティリスク計算部３２は、このユーザに設定された禁止操作リスク値を仮想マシン３０１のセキュリティリスク値（ＳＲ３）とみなす。
【０１７５】
なお、本実施形態においては、仮想マシン３０１を１人のユーザが用いる例を示しているが、仮想マシン３０１を複数のユーザが用いる場合には、これらの複数のユーザのうち最も禁止操作リスク値が高いユーザの禁止操作リスク値を用いることが望ましい。
【０１７６】
（iv）セキュリティリスク値の算出
セキュリティリスク計算部３２は、上述の如く決定したセキュリティリスク値ＳＲ１，ＳＲ２，ＳＲ３を合計することで、仮想マシン３０１毎にセキュリティリスク値をそれぞれ算出する。
【０１７７】
本コンピュータシステム１においては、このセキュリティリスク値の値が最も小さい仮想マシン３０１が最もセキュリティリスクが低い仮想マシン３０１であると考えることができる。
【０１７８】
そして、上述したセキュリティリスク計算部３２が、情報セキュリティ上のリスクを数値で示すセキュリティリスク値を、仮想マシングループに含まれる各仮想マシン３０１のそれぞれに設定するセキュリティリスク値設定部に相当する。
【０１７９】
操作履歴作成部３３は、操作履歴３７を作成する。操作履歴作成部３３は、例えば、ログ収集部３１によって収集されたログ３６から、ユーザによって行なわれた操作に関するユーザ操作ログを抽出することにより操作履歴３７を作成する。
【０１８０】
エージェント間通信部３４は、他の仮想マシン３０１のエージェント３０との間で通信しデータの送受信を実現する。例えば、エージェント間通信部３４は、自仮想マシン３０１のセキュリティリスク計算部３２が算出したセキュリティリスク値を、同じ仮想マシングループに属する他の各仮想マシン３０１に送信する。
【０１８１】
なお、エージェント間通信部３４は、例えば、管理サーバ２の仮想マシングループ情報２７を参照することで、同じ仮想マシングループに属する他の各仮想マシン３０１を知ることができる。
【０１８２】
エージェント間通信部３４は、同じ仮想マシングループに属する他の仮想マシン３０１からそれぞれ送信される各セキュリティリスク値を受信し、セキュリティリスク値情報３９に格納する。
【０１８３】
また、エージェント間通信部３４は、同一仮想マシングループ内の他の仮想マシン３０１のエージェント３０からそれぞれ受信したセキュリティリスク値を用いて、グループ内順位情報３８のセキュリティリスク値の値を更新する。また、エージェント間通信部３４は、グループ内順位情報３８における仮想マシン３０１の順位を、更新後のセキュリティリスク値に応じて変更する。
【０１８４】
監視間隔調整部３５は、ログ収集部３１によって行なわれるログ収集の間隔を変更する。
【０１８５】
監視間隔調整部３５は、第１監視間隔調整部３５１および第２監視間隔調整部３５２を備える。
【０１８６】
第１監視間隔調整部３５１は、管理サーバ２の監視間隔再設定指示部２２から監視間隔変更指示を受信すると、ログ収集部３１による監視間隔を変更する。
【０１８７】
例えば、第１監視間隔調整部３５１は、監視間隔再設定指示部２２から、監視間隔変更指示とともに監視間隔最小指示を受信した場合には、ログ収集部３１に対して、監視設定２０１ａの最小値（図１６に示す例では０．５秒）毎に監視を行なわせる。
【０１８８】
また、第１監視間隔調整部３５１は、監視間隔再設定指示部２２から、監視間隔変更指示とともに監視間隔最大指示を受信した場合には、ログ収集部３１に対して、監視設定２０１ａの最大値（図１６に示す例では１０秒）毎に監視を行なわせる。すなわち、監視間隔を疎にする。
【０１８９】
さらに、第１監視間隔調整部３５１は、例えば、監視間隔再設定指示部２２から監視間隔短縮指示として監視間隔を１０％短縮させる（−１０％）指示を受信すると、監視間隔が１０％短縮されるよう監視間隔を変更する。すなわち、監視間隔を密にする。
【０１９０】
また、第１監視間隔調整部３５１は、例えば、監視間隔再設定指示部２２から監視間隔短縮指示として監視間隔を１０％短縮させる指示を受信すると、この指示に従い、監視間隔を１０％短縮させる。すなわち、監視間隔を密にする。
【０１９１】
このように、第１監視間隔調整部３５１は、ＣＰＵ１０の使用率が閾値を超えて基準を満たした場合に、このＣＰＵ１０が割り当てられた仮想マシングループに含まれる仮想マシン３０１のうち、少なくともいずれかの仮想マシン３０１に関する、ログ収集部３１による前記監視処理の実行頻度を低下させる、監視頻度変更部に相当する。
【０１９２】
また、第１監視間隔調整部３５１は、例えば、監視間隔再設定指示部２２から監視間隔短縮指示として監視間隔を伸ばす指示を受信すると、監視間隔を段階的に変化させてもよい。
【０１９３】
例えば、第１監視間隔調整部３５１は、図１６に示す監視設定２０１ａの最大値と最小値との間を複数段階（例えば５段階）に分割する。
【０１９４】
すなわち、第１監視間隔調整部３５１は、監視間隔の変更量（監視間隔変更量）を以下の式（１）により算出し、この算出された監視間隔変更量だけ監視間隔を変更させる。
【０１９５】
監視間隔変更量＝｛（監視間隔最小値）−（監視間隔最大値）｝÷５  ・・・（１）
例えば、監視間隔を上記式（１）により算出した監視間隔変更量だけ伸長させることは、で、監視間隔が疎となり、監視に要するＣＰＵ負荷を軽減することができる。また、監視間隔を上記式（１）により算出した監視間隔変更量だけ短縮させることで、監視間隔が密となり、監視回数を増加させることで信頼性を向上させることができる。
【０１９６】
第２監視間隔調整部３５２は、ユーザがユーザ端末１０２を介して特定の入力操作を行なった場合に、その入力操作に対して応答がされるまでの時間（応答予測時間）を予測／推定し、この応答予測時間が経過するまでの間、監視を疎にする制御を行なう。
【０１９７】
図２０は実施形態の一例としてのコンピュータシステム１の第２監視間隔調整部３５２による処理説明するための図である。
【０１９８】
図２０において、符号（Ａ）はＣＰＵ使用率の遷移を示す。符号（Ｂ）はユーザ端末１０２における処理を示す。符号（Ｃ）はログ収集部３１による監視処理の実行タイミングを示す。
【０１９９】
ユーザはユーザ端末１０２において入力操作を行ない（図２０の符号Ｐ１参照）、この入力操作に対する応答があるまで待機する。
【０２００】
第２監視間隔調整部３５２は、ユーザ端末１０２におけるユーザの一定時間の無操作を検出すると、ユーザから入力された入力操作の内容に基づき、ログ３６のユーザ操作ログ（操作履歴３７）を確認する。すなわち、何らかの入力操作を行なった後の応答待ちであるかを確認する。
【０２０１】
確認の結果、応答待ちである場合に、ユーザ操作ログにおいて、過去に同一操作、且つ、同一操作対象の記録がある場合には、応答時間も同じであると予測することができる（図２０の符号Ｐ２参照）。
【０２０２】
そこで、第２監視間隔調整部３５２は、ユーザ操作ログに記録された、過去の同一操作、且つ、同一操作対象の処理における処理時間（実績処理時間）を取得し、この実績処理時間の間ログ収集部３１による監視間隔を広くする（図２０の符号Ｐ３参照）。
【０２０３】
すなわち、第２監視間隔調整部３５２は、ユーザ端末において入力操作が行なわれてから、実績処理時間が経過するまでの間、監視間隔を疎にさせる。
【０２０４】
また、確認の結果、ユーザ操作ログにおいて、過去に同一操作、且つ、同一操作対象の記録がない場合には、第２監視間隔調整部３５２は、他のエージェント３０において、同一操作、且つ、同一操作対象の記録があるかを確認する。
【０２０５】
すなわち、第２監視間隔調整部３５２は、他のエージェント３０に対して、入力操作および操作対象を検索キーとして検索を依頼する。
【０２０６】
他のいずれかのエージェント３０において、ユーザ操作ログに、過去に同一操作、且つ、同一操作対象の記録が検出された場合には、検索依頼元の第２監視間隔調整部３５２に対してその実績処理時間が応答される。
【０２０７】
そして、第２監視間隔調整部３５２は、ユーザ端末において入力操作が行なわれてから、実績処理時間が経過するまでの間、監視間隔を疎にさせる。
【０２０８】
なお、検索依頼の結果、他のいずれのエージェント３０においても、ユーザ操作ログに、過去に同一操作、且つ、同一操作対象の記録が検出されない場合には、第２監視間隔調整部３５２は、監視間隔の変更を行なわない。
【０２０９】
（Ｂ）動作
先ず、図２１を参照しながら、実施形態の一例としてのコンピュータシステム１における負荷管理方法の概要を説明する。
【０２１０】
仮想環境サーバ３は、ＣＰＵ１０やメモリ１１等のハードウェアリソースを用いて、複数の仮想マシン３０１を実行させる。
【０２１１】
図２１に示す例においては、ＣＰＵ１０−１を用いて３つ仮想マシン３０１が実行されている。ＣＰＵ１０−１を用いて実行されたこれらの３つ仮想マシン３０１を、仮想マシン＃１〜＃３という場合がある。
【０２１２】
本コンピュータシステム１においては、同じＣＰＵ１０−１を用いて実行された仮想マシン＃１〜＃３は同じ仮想マシングループとして取り扱われる（図２１の符号Ｐ１参照）。
【０２１３】
なお、仮想マシングループについては、管理サーバ２が仮想マシングループ情報２７を用いて管理する。
【０２１４】
ユーザはユーザ端末１０２を用いて仮想マシン３０１にアクセスし、種々の処理を行なう（図２１の符号Ｐ２参照）
仮想環境サーバ３において、各仮想マシン３０１のエージェント３０のログ収集部３１は、ＣＰＵ１０のＣＰＵ負荷が所定の閾値（例えば、７５％）を超えた低負荷状態においては、第１の間隔（例えば、０．５秒間隔）でログ収集を行なう。
【０２１５】
管理サーバ２においては、ＣＰＵ使用状況確認部２１が、仮想環境サーバ３の仮想環境管理マシン３０２に、仮想マシン３０１を実行している仮想環境サーバ３の各ＣＰＵ１０のＣＰＵ使用量を問い合わせることで、ＣＰＵ１０の負荷を常時監視する（図２１の符号Ｐ３参照）。
【０２１６】
管理サーバ２において、ＣＰＵ使用状況確認部２１が、仮想環境サーバ３のいずれかのＣＰＵ１０のＣＰＵ使用量が所定の閾値（例えば、７５％）を超えた場合には、このＣＰＵ１０が過負荷状態であり切迫した状態であると判断する。このような場合には、以下の処理（ａ１），（ａ２）が実行される。
【０２１７】
（ａ１）監視間隔再設定指示部２２が、過負荷状態が検出されたＣＰＵ１０によって実行させる仮想マシングループに属する各仮想マシン３０１に対して監視間隔の再設定を指示する。
【０２１８】
具体的には、監視間隔再設定指示部２２は、過負荷状態であると判断されたＣＰＵ１０を用いた仮想マシングループに属する各仮想マシン３０１に、ログ収集間隔（監視間隔）を疎にするよう調整する。これにより、仮想マシン３０１のログ収集を行ないつつも過負荷状態のＣＰＵ１０の負荷を軽減することができる。
【０２１９】
（ａ２）仮想マシン３０１のエージェント３０は、ユーザの操作傾向、操作対象とユーザの権限（役割）等からセキュリティリスク値を計算する。仮想マシン３０１のエージェント３０は、仮想マシングループ内で協調しながら、仮想マシン３０１の監視間隔を調節する。
【０２２０】
監視間隔再設定指示部２２は、ＣＰＵ１０の負荷が閾値以下になるまで、同一の仮想マシングループの仮想マシン３０１の監視間隔を疎にする処理を繰り返し行なう。
【０２２１】
また、ＣＰＵ１０の負荷が前記閾値以下になった場合には、監視間隔再設定指示部２２は、疎にしていた仮想マシン３０１の監視間隔を密に戻す。これにより、仮想マシン３０１のログ収集が行なわれ、システムの信頼性を維持することができる。
【０２２２】
次に、図２２を参照しながら、実施形態の一例としてのコンピュータシステム１におけるユーザログオン時の処理の概要を説明する。
ユーザログオン時には、以下の処理（ｂ１）〜（ｂ４）が実行される。
【０２２３】
（ｂ１）ユーザがユーザ端末１０２を介して仮想環境サーバ３にログオンすると（図２２の符号Ｐ１参照）、仮想環境サーバ３に仮想マシン３０１（図２２に示す例では仮想マシン＃４）が新たに起動される（図２２の符号Ｐ２参照）。
【０２２４】
（ｂ２）新たに起動された仮想マシン＃４のエージェント３０から、管理サーバ２にマシン情報（例えば、ＩＰアドレスやＭＡＣアドレス）とログオンしたユーザのユーザ情報が通知される（図２２の符号Ｐ３参照）。
【０２２５】
（ｂ３）管理サーバ２は仮想環境管理マシン３０２に問い合わせて、仮想マシン＃４に割り当てられているＣＰＵ情報（識別番号；ＣＰＵ  ＩＤ）を取得する（図２２の符号Ｐ４参照）。管理サーバ２は、取得したＣＰＵ情報に基づいて仮想マシングループ情報２７を更新する（図２２の符号Ｐ５参照）。すなわち、新たに起動された仮想マシン３０１を、当該仮想マシン３０１を実行するＣＰＵのＣＰＵ  ＩＤに対応付けて仮想マシングループ情報２７に登録する。
【０２２６】
（ｂ４）管理サーバ２は、エージェント３０が所属する仮想マシングループに属する全ての仮想マシン３０１のエージェントのそれぞれに対して、新しく起動した仮想マシン３０１のマシン情報を通知する（図２２の符号Ｐ６参照）。
【０２２７】
次に、実施形態の一例としてのコンピュータシステム１におけるユーザログオフ時の処理の概要を説明する。
ユーザログオフ時には、以下の処理（ｃ１）〜（ｃ３）が実行される。
【０２２８】
（ｃ１）ユーザがユーザ端末１０２を介してログオフ操作を行なうと、エージェント３０は、ユーザがログオフしたことを管理サーバ２に通知する（図２２の符号Ｐ６参照）。
【０２２９】
（ｃ２）管理サーバ２は、仮想マシングループ情報２７を更新する。すなわち、ログオフしたユーザが用いていた仮想マシン３０１（以下、ログオフした仮想マシン３０１という）を、仮想マシングループ情報２７から削除する。
【０２３０】
（ｃ３）管理サーバ２は、ログオフした仮想マシン３０１が属していた仮想マシングループの各仮想マシン３０１に、ログオフした仮想マシン３０１のマシン情報を通知する。
【０２３１】
次に、実施形態の一例としてのコンピュータシステム１の管理サーバ２の処理の概要を、図２３に示すフローチャート（ステップＡ１〜Ａ５）に従って説明する。
【０２３２】
ステップＡ１において、本コンピュータシステム１のシステム管理者が、管理者端末１０１を用いてセキュリティポリシー２０２や監視設定２０１を入力する。これにより、セキュリティポリシー２０２ａ〜２０２ｃおよび監視設定２０１ａ，２０１ｂが設定される。
【０２３３】
ステップＡ２において、管理サーバ２（ＣＰＵ使用状況確認部２１）が、上述した監視間隔（監視間隔最小値）で仮想環境管理マシン３０２に対してＣＰＵ使用率および仮想マシングループ情報２７を問い合わせる。また、これらの問合せに対して行なわれた応答に従って、仮想マシンＣＰＵ情報２６および仮想マシングループ情報２７が更新される。
【０２３４】
ステップＡ３において、ユーザによる仮想マシン３０１へのログインが検出されると、仮想マシングループ情報２７が更新される。
【０２３５】
ステップＡ４において、新規にログが収集されたかを確認する。確認の結果、新規にログが収集された場合には（ステップＡ４の“された場合”ルート参照）、ステップＡ５において、利用者評価部２３が、禁止操作リスク値情報２８を更新する。また、ステップＡ４における確認の結果、新規にログが収集されていない場合は（ステップＡ４の“されていない”ルート参照）、ステップＡ５をスキップして処理を終了する。
【０２３６】
次に、実施形態の一例としてのコンピュータシステム１の仮想環境サーバ３の仮想マシン３０１におけるエージェント３０の処理を、図２４に示すフローチャート（ステップＢ１〜Ｂ１０）に従って説明する。
【０２３７】
ステップＢ１において、ユーザがユーザ端末１０２を用いて仮想マシン３０１にログインを行なう。
【０２３８】
ステップＢ２において、仮想マシン３０１（セキュリティリスク計算部３２）が、自仮想マシン３０１が所属する仮想マシン３０１に関する仮想マシングループ情報２７や、セキュリティポリシー２０２および監視設定２０１を取得する。
【０２３９】
ステップＢ３において、ユーザ端末１０２を介してユーザ操作入力が行なわれると、操作履歴作成部３３が操作履歴３７を作成する。なお、操作履歴作成部３３による処理の詳細は、図２６を用いて後述する。
【０２４０】
ステップＢ４において、ログ収集部３１が収集したログが、所定の間隔で定期的に管理サーバ２（基本サーバ機能部２４）に送信される。
【０２４１】
ステップＢ５において、アクテヒブウィンドウの変更を検知したかを確認する。アクティブウィンドウの変更が検知された場合には（ステップＢ５のＹＥＳルート参照）、ステップＢ６において、セキュリティリスク計算部３２が、セキュリティポリシー２０２を計算する。
【０２４２】
ステップＢ６において、セキュリティリスク計算部３２がセキュリティリスク値の計算を行なう。ステップＢ５における確認の結果、アクティブウィンドウの変更が検知されたかを確認する。
【０２４３】
ステップＢ５における確認の結果、アクティブウィンドウの変更が検知された場合には（ステップＢ５のＹＥＳルート参照）ステップＢ６に移行する。
【０２４４】
ステップＢ６において、セキュリティリスク計算部３２がセキュリティリスク値の値を算出する。なお、セキュリティリスク計算部３２によるセキュリティリスク値の算出方法の詳細は、図２７を用いて後述する。
【０２４５】
ステップＢ７において、エージェント間通信部３４が、グループ内順位情報３８における仮想マシン３０１の順位を更新する。なお、エージェント間通信部３４による処理の詳細は、図２８を用いて後述する。
【０２４６】
また、ステップＢ５おける確認の結果、アクティブウィンドウの変更が検知されない場合には（ステップＢ５のＮＯルート参照）、ステップＢ６をスキップして、ステップＢ７に移行する。
【０２４７】
ステップＢ８において、監視間隔調整部３５（第１監視間隔調整部３５１）が監視間隔の調整を行なう。なお、この第１監視間隔調整部３５１による監視間隔の調整方法の詳細は、図２９を用いて後述する。
【０２４８】
ステップＢ９において、監視間隔調整部３５（第２監視間隔調整部３５２）が監視間隔の調整を行なう。なお、この第２監視間隔調整部３５２による監視間隔の調整方法の詳細は、図３０を用いて後述する。
【０２４９】
ステップＢ１０において、ユーザがログアウトしたかが確認され、ユーザがログアウトしていない場合には（ステップＢ１０のＮＯルート参照）、ステップＢ３に戻る。また、ユーザがログアウトした場合には（ステップＢ１０のＹＥＳルート参照）、処理を終了する。
【０２５０】
次に、実施形態の一例としてのコンピュータシステム１の管理サーバ２における利用者評価部２３による処理を、図２５に示すフローチャート（ステップＣ１〜Ｃ９）に従って説明する。
【０２５１】
ステップＣ１において、利用者評価部２３は、基本サーバ機能部２４によって仮想マシン３０１から新規に収集されたログに基づき、ユーザが行なった禁止操作実行回数を更新する。
【０２５２】
ステップＣ２において、利用者評価部２３は、ログ２５から禁止操作が実行された履歴を抽出し、禁止操作実行履歴２５１に登録（追記）する。
【０２５３】
ステップＣ３において、利用者評価部２３は、禁止操作実行履歴２５１における、現在の日時から所定期間（例えば３０日以前）の履歴を削除する。
【０２５４】
ステップＣ４において、利用者評価部２３は、仮想マシングループ情報２７を参照して、入力操作を行なったユーザ（仮想マシン３０１）と同一の仮想マシングループに属する他のユーザの一覧を取得する。
【０２５５】
ステップＣ５において、利用者評価部２３は、禁止操作実行履歴２５１を参照して、ステップＣ４において取得したユーザ一覧に登録されている各ユーザの禁止操作実行回数を取得する。
【０２５６】
ステップＣ６において、利用者評価部２３は、ユーザ一覧に登録されている全ユーザを、禁止操作の実行回数が多い順に並べる。そして、利用者評価部２３は、禁止操作の実行回数が多い順に並べられたユーザの上位１／３を高リスク（禁止操作リスク値＝３）とし（ステップＣ９）、それらの下位１／３を低リスク（禁止操作リスク値＝１）とする（ステップＣ７）。また、これら以外の中間順位の１／３を中リスク（禁止操作リスク値＝２）とする（ステップＣ８）。
【０２５７】
次に、実施形態の一例としてのコンピュータシステム１の仮想環境サーバ３における操作履歴作成部３３の処理を、図２６に示すフローチャート（ステップＤ１〜Ｄ５）に従って説明する。
【０２５８】
ステップＤ１において、ログ収集部３１によって収集されたログ３６に基づき、プロセス稼動監視ログが記録されている。
【０２５９】
ステップＤ２において、利用者評価部２３は、ユーザが操作を行なっているユーザ端末１０２におけるアクティブウィンドウの情報を取得する。
【０２６０】
ステップＤ３において、利用者評価部２３は、取得したアクティブウィンドウのタイトルに対応する記録がウィンドウタイトル監視ログ２５ｃに登録されているかを確認する。
【０２６１】
確認の結果、取得したアクティブウィンドウのタイトルに対応する記録がウィンドウタイトル監視ログ２５ｃに登録されている場合には（ステップＤ３のＹＥＳルート参照）、処理を終了する。
【０２６２】
また、確認の結果、取得したアクティブウィンドウのタイトルに対応する記録がウィンドウタイトル監視ログ２５ｃに登録されていない場合には（ステップＤ３のＮＯルート参照）、ステップＤ４に移行する。
【０２６３】
ステップＤ４において、利用者評価部２３は、アクティブウィンドウにおいて実行されているプロセスは、仮想環境サーバ３の起動後初めて操作されたものであると判断する。そして、その時点の時刻を、入力操作の結果が応答された時刻として、処理時間を算出してユーザ操作ログ２５ａに記録する。
【０２６４】
ステップＤ５において、利用者評価部２３は、アクティブウィンドウにおいて実行され操作に関して、プロセス稼動監視ログ２５ｂおよびウィンドウタイトル監視ログ２５ｃに記録し、処理を終了する。
【０２６５】
次に、実施形態の一例としてのコンピュータシステム１の仮想環境サーバ３におけるセキュリティリスク計算部３２の処理を、図２７に示すフローチャート（ステップＥ１〜Ｅ６）に従って説明する。
【０２６６】
ステップＥ１において、セキュリティリスク計算部３２は、ユーザがユーザ端末１０２において行なっている入力操作について、そのアクセス先を取得する。
【０２６７】
ステップＥ２において、セキュリティリスク計算部３２は、取得したアクセス先に基づいてセキュリティポリシー２０２ｃを参照して、当該アクセス先に対応するアクセス先リスク値（ＳＲ１）を取得する。
【０２６８】
ステップＥ３において、セキュリティリスク計算部３２は、セキュリティポリシー２０２ａを参照して、ユーザの所属と役職（権限情報）を取得する。
【０２６９】
ステップＥ４において、セキュリティリスク計算部３２は、セキュリティポリシー２０２ａを参照して、ユーザの役職リスク値（ＳＲ２）を取得する。
【０２７０】
ステップＥ５において、セキュリティリスク計算部３２は、ユーザＩＤに基づいて禁止操作リスク値情報２８を参照して、禁止操作リスク値（ＳＲ３）を取得する。
【０２７１】
ステップＥ６において、セキュリティリスク計算部３２は、アクセス先リスク値（ＳＲ１）と役職リスク値（ＳＲ２）と禁止操作リスク値（ＳＲ３）とを合計することで、仮想マシン３０１（エージェント３０）に対するセキュリティリスク値を算出し、処理を終了する。
【０２７２】
次に、実施形態の一例としてのコンピュータシステム１の仮想環境サーバ３におけるエージェント間通信部３４によるグループ内順位情報３８の作成方法を、図２８に示すフローチャート（ステップＦ１〜Ｆ３）に従って説明する。
【０２７３】
ステップＦ１において、エージェント間通信部３４は、仮想マシングループ情報２７を参照して、仮想マシングループに属する仮想マシン３０１のＩＰの一覧を取得する。
【０２７４】
ステップＦ２において、エージェント間通信部３４は、ＩＰの一覧に示された他の各仮想マシン３０１のエージェント３０から、それぞれのセキュリティリスク値を取得する。
【０２７５】
ステップＦ３において、エージェント間通信部３４は、ＩＰの一覧に示された他の各仮想マシン３０１を、セキュリティリスク値で降順にソートすることで、グループ内順位情報３８を作成し、処理を終了する。
【０２７６】
なお、上述した各仮想マシン３０１のセキュリティリスク値の取得方法は、これらのステップＦ１，Ｆ２に示された方法に限定されるものではなく、種々変形して実施することができる。例えば、各仮想マシン３０１のエージェント３０がエージェント間通信部３４により相互に自身のセキュリティリスク値を通知し合ってもよい。
【０２７７】
次に、実施形態の一例としてのコンピュータシステム１の仮想環境サーバ３における第１監視間隔調整部３５１の処理を、図２９に示すフローチャート（ステップＧ１〜Ｇ７）に従って説明する。
【０２７８】
ステップＧ１において、第１監視間隔調整部３５１は、ＣＰＵ使用率を閾値と比較する。比較の結果、ＣＰＵ使用率が閾値以下である場合には（ステップＧ１の“［ＣＰＵ使用率］が「閾値」以下”ルート参照）、ステップＧ２に移行する。
【０２７９】
ステップＧ２においては、第１監視間隔調整部３５１は、同じ仮想マシングループに属する各仮想マシン３０１の監視間隔を−１０％にすることで、監視間隔を密にし、処理を終了する。
【０２８０】
一方、ステップＧ１における比較の結果、ＣＰＵ使用率が閾値よりも高い場合には（ステップＧ１の“［ＣＰＵ使用率］が「閾値」よりも高い”ルート参照）、ステップＧ３に移行する。
【０２８１】
ステップＧ３においては、第１監視間隔調整部３５１は、グループ内順位情報３８を参照して、自仮想マシンの仮想マシングループ内における順位を確認する。
【０２８２】
自仮想マシンが同じ仮想マシングループにおける下位１／３に相当する場合には（ステップＧ３の“下位１／３の低リスクの場合”ルート参照）、ステップＧ４に移行する。
【０２８３】
ステップＧ４においては、第１監視間隔調整部３５１は、自仮想マシン３０１の監視間隔を確認する。確認の結果、監視間隔が監視間隔最大値より短い場合には（ステップＧ４の“監視間隔最大値より短い場合”ルート参照）、ステップＧ５に移行する。
【０２８４】
ステップＧ５において、第１監視間隔調整部３５１は、自仮想マシン３０１の監視間隔を監視間隔変更量だけ伸ばした後、処理を終了する。
【０２８５】
また、ステップＧ４における確認の結果、監視間隔が監視間隔最大値と等しい場合には（ステップＧ４の“監視間隔最大値と等しい場合”ルート参照）、ステップＧ６に移行する。
【０２８６】
ステップＧ６において、第１監視間隔調整部３５１は、エージェント間通信部３４により、同じ仮想マシングループ内における、中リスクの他の仮想マシン３０１に、それぞれ監視間隔を伸ばすよう通知を行なう。その後、処理を終了する。
【０２８７】
また、ステップＧ３における確認の結果、自仮想マシンが仮想マシングループにおける上位１／３に相当する場合には（ステップＧ３の“上位１／３の高リスクの場合”ルート参照）、ステップＧ７に移行する。
【０２８８】
ステップＧ７において、第１監視間隔調整部３５１は、自仮想マシン３０１の監視間隔を監視間隔最小値に設定した後、処理を終了する。
【０２８９】
また、ステップＧ３による確認の結果、自仮想マシンが仮想マシングループにおける上
位１／３および下位１／３のいずれにも相当しない場合には（ステップＧ３の“それ以外、中リスクの場合”ルート参照）、処理を終了する。
【０２９０】
次に、実施形態の一例としてのコンピュータシステム１の仮想環境サーバ３における第２監視間隔調整部３５２の処理を、図３０に示すフローチャート（ステップＨ１〜Ｈ６）に従って説明する。
【０２９１】
ステップＨ１において、第２監視間隔調整部３５２は、例えばログ収集部３１を介してユーザ端末１０２におけるユーザの操作を確認する。
【０２９２】
確認の結果、ユーザがユーザ端末１０２において、何らかの操作を行なっている場合には（ステップＨ１の“マウス操作中，ファイル選択中，文字入力中”ルート参照）、処理を終了する。
【０２９３】
ユーザがユーザ端末１０２の操作を行なっていない場合には（ステップＨ１の“操作していない”ルート参照）、ステップＨ２に移行する。
【０２９４】
ステップＨ２において、第２監視間隔調整部３５２は、自仮想マシン３０１における操作履歴３７を検索し、操作の結果待ちであるかを確認する。
【０２９５】
確認の結果、操作の結果待ちである場合には（ステップＨ２の“「操作の結果」待ちである”ルート参照）、ステップＨ３に移行する。
【０２９６】
ステップＨ３においては、第２監視間隔調整部３５２は、同様の操作の実施記録を操作履歴３７に対して検索する。この検索対象は、自仮想マシン３０１のみならず、仮想マシングループ内の他の仮想マシン３０１も含む。
【０２９７】
同様の操作の実施記録が操作履歴３７にある場合には、第２監視間隔調整部３５２は、その記録された処理時間（実績処理時間）に基づき、入力操作に対して応答がされる時刻を予測する。
【０２９８】
ステップＨ４において、第２監視間隔調整部３５２は、予測時刻までの時間を確認する。予測時刻までの時間が監視間隔最大値より長い場合には（ステップＨ４の“監視間隔最大値よりも長い”ルート参照）、ステップＨ５に移行する。
【０２９９】
ステップＨ５においては、第２監視間隔調整部３５２は、第１監視間隔調整部３５１が設定した監視間隔を伸ばす。例えば、第２監視間隔調整部３５２は監視間隔を監視間隔変更量だけ伸ばす。その後、処理を終了する。
【０３００】
また、ステップＨ４における確認の結果、予測時刻までの時間が監視間隔最大値以下の場合には（ステップＨ４の“監視間隔最大値以下の場合”ルート参照）、そのまま処理を終了する。
【０３０１】
また、ステップＨ２における確認の結果、操作の結果待ちでない場合（ステップＨ２の“「操作の結果」待ちでない”ルート参照、ステップＨ６に移行する。
【０３０２】
ステップＨ６においては、第２監視間隔調整部３５２は、第１監視間隔調整部３５１が設定した監視間隔を伸ばす。例えば、第２監視間隔調整部３５２は監視間隔を監視間隔変更量だけ伸ばす。その後、処理を終了する。
【０３０３】
（Ｃ）効果
このように、実施形態の一例としてのコンピュータシステム１によれば、仮想環境サーバ３において、ＣＰＵ１０の高負荷時に、監視間隔調整部３５（第１監視間隔調整部３５１）が、ログ収集部３１によるログ収集処理（監視処理）の実行間隔（監視間隔）を長く設定する（疎にする）。これにより、ＣＰＵ１０の負荷を軽減することができる。また、ログ収集部３１によるログ収集処理は、回数は減るものの実行はされるので、セキュリティレベルの維持も実現できる。
【０３０４】
また、第１監視間隔調整部３５１は、自仮想マシン３０１と同じＣＰＵ１０によって実現される仮想マシングループに属する他の仮想マシン３０１の監視間隔を長くする。これにより、高負荷状態となっているＣＰＵ１０の負荷を効率的に低減させることができる。
【０３０５】
第２監視間隔調整部３５２は、ユーザがユーザ端末１０２を介して特定の入力操作を行なった場合に、その入力操作に対して応答がされるまでの応答予測時間を予測し、この応答予測時間が経過するまでの間、監視感覚を長くする制御を行なう。これにより、入力操作に対する応答待ちの間に、高負荷状態となっているＣＰＵ１０の負荷を効率的に低減させることができる。
【０３０６】
（Ｄ）その他
なお、上述した実施形態に関わらず、本実施形態の趣旨を逸脱しない範囲で種々変形して実施することができる。
【０３０７】
例えば、上述した実施形態では、コンピュータシステム１に管理サーバ２と仮想環境サーバ３とが備えられているが、これに限定されるものではない。例えば、これらの管理サーバ２としての機能と仮想環境サーバ３としての機能を、一つのコンピュータに備えてもよく、また、これらの機能を３台以上のコンピュータに分散して備えてもよい。
【０３０８】
また、上述した開示により本実施形態を当業者によって実施・製造することが可能である。
【０３０９】
（Ｅ）付記
【０３１０】
（付記１）
仮想マシンに対して利用端末で行なわれる操作を監視する監視処理を実行する監視制御プログラムにおいて、
プロセッサの使用率が基準を満たした場合に、当該プロセッサ割り当てられた仮想マシン群に含まれる仮想マシンのうち、少なくともいずれかの仮想マシンに関する前記監視処理の実行頻度を低下させる
処理をコンピュータに実行させる監視制御プログラム。
【０３１１】
（付記２）
情報セキュリティ上のリスクを数値で示すセキュリティリスク値を、前記仮想マシン群に含まれる各仮想マシンのそれぞれに設定し、
前記仮想マシン群に含まれる前記仮想マシンのうち、前記セキュリティリスク値が最も低い仮想マシンに関する、前記監視処理の実行頻度を低下させる
処理を前記コンピュータに実行させる、付記１記載の監視制御プログラム。
【０３１２】
（付記３）
前記セキュリティリスク値が、前記利用端末から前記仮想マシンに対してデータアクセスを行なう際のアクセス範囲に応じたアクセス先リスク値を有する
ことを特徴とする、付記２記載の監視制御プログラム。
【０３１３】
（付記４）
前記セキュリティリスク値が、前記利用端末の利用者のユーザ権限に応じたユーザ権限リスク値を有する
ことを特徴とする、付記２または３記載の監視制御プログラム。
【０３１４】
（付記５）
前記セキュリティリスク値が、前記利用端末の利用者の操作実績に応じた操作実績リスク値を有する
ことを特徴とする、付記２〜４のいずれか１項に記載の監視制御プログラム。
【０３１５】
（付記６）
前記利用端末で行なわれた操作内容に基づいて操作履歴を参照して、前記操作内容に相当する応答処理時間を取得し、
前記応答実績時間の間、前記監視処理の実行頻度を低下させる
処理を前記コンピュータに実行させる、付記１〜５のいずれか１項に記載の監視制御プログラム。
【０３１６】
（付記７）
仮想マシンに対して利用端末で行なわれる操作を監視する監視処理を繰り返し行なう監視処理部と、
プロセッサの使用率が基準を満たした場合に、当該プロセッサが割り当てられた仮想マシン群に含まれる仮想マシンのうち、少なくともいずれかの仮想マシンに関する、前記監視処理部による前記監視処理の実行頻度を低下させる、監視頻度変更部と
を備える、監視制御装置。
【０３１７】
（付記８）
情報セキュリティ上のリスクを数値で示すセキュリティリスク値を、前記仮想マシン群に含まれる各仮想マシンのそれぞれに設定するセキュリティリスク値設定部を備え、
前記監視頻度変更部が、前記仮想マシン群に含まれる前記仮想マシンのうち、前記セキュリティリスク値が最も低い仮想マシンに関する、前記監視処理部による前記監視処理の実行頻度を低下させる
ことを特徴とする、付記７記載の監視制御装置。
【０３１８】
（付記９）
前記セキュリティリスク値が、前記利用端末から前記仮想マシンに対してデータアクセスを行なう際のアクセス範囲に応じたアクセス先リスク値を有する
ことを特徴とする、付記８記載の監視制御装置。
【０３１９】
（付記１０）
前記セキュリティリスク値が、前記利用端末の利用者のユーザ権限に応じたユーザ権限リスク値を有する
ことを特徴とする、付記８または９記載の監視制御装置。
【０３２０】
（付記１１）
前記セキュリティリスク値が、前記利用端末の利用者の操作実績に応じた操作実績リスク値を有する
ことを特徴とする、付記８〜１０のいずれか１項に記載の監視制御装置。
【０３２１】
（付記１２）
前記利用端末で行なわれた操作内容に基づいて操作履歴を参照して、前記操作内容に相当する応答処理時間を取得し、
前記監視頻度変更部が、前記応答実績時間の間、前記監視処理部による前記監視処理の実行頻度を低下させる
ことを特徴とする、付記７〜１１のいずれか１項に記載の監視制御装置。
【０３２２】
（付記１３）
仮想マシンに割り当てられたプロセッサの識別情報を該仮想マシンに対応付けて記憶する記憶部を参照して、同一のプロセッサが割り当てられた仮想マシン群を特定する処理と、
前記同一のプロセッサの使用率が基準を満たした場合、特定した前記仮想マシン群に含まれる仮想マシンのうち、少なくともいずれかの仮想マシンについて、該仮想マシンの利用端末での操作を監視する監視処理の実行頻度を低下させる処理と
を備えることを特徴とする、監視制御方法。
【０３２３】
（付記１４）
情報セキュリティ上のリスクを数値で示すセキュリティリスク値を、前記仮想マシン群に含まれる各仮想マシンのそれぞれに設定する処理と、
前記仮想マシン群に含まれる前記仮想マシンのうち、前記セキュリティリスク値が最も低い仮想マシンに関する、前記監視処理の実行頻度を低下させる
処理と
を備えることを特徴とする、付記１３記載の監視制御方法。
【０３２４】
（付記１５）
前記セキュリティリスク値が、前記利用端末から前記仮想マシンに対してデータアクセスを行なう際のアクセス範囲に応じたアクセス先リスク値を有する
ことを特徴とする、付記１４記載の監視制御方法。
【０３２５】
（付記１６）
前記セキュリティリスク値が、前記利用端末の利用者のユーザ権限に応じたユーザ権限リスク値を有する
ことを特徴とする、付記１４または１５記載の監視制御方法。
【０３２６】
（付記１７）
前記セキュリティリスク値が、前記利用端末の利用者の操作実績に応じた操作実績リスク値を有する
ことを特徴とする、付記１４〜１６のいずれか１項に記載の監視制御方法。
【０３２７】
（付記１８）
前記利用端末で行なわれた操作内容に基づいて操作履歴を参照して、前記操作内容に相当する応答処理時間を取得する処理と、
前記応答実績時間の間、前記監視処理の実行頻度を低下させる
処理と
を備えることを特徴とする、付記１３〜１７のいずれか１項に記載の監視制御方法。
【０３２８】
（付記１９）
プロセッサに複数の仮想マシンを実行させる仮想環境装置を管理する管理装置であって、
前記仮想環境装置に対して、の前記プロセッサの使用率を問合せる使用率確認部と、
プロセッサの使用率が基準を満たした場合に、前記仮想環境装置に対して、当該プロセッサが割り当てられた仮想マシン群に含まれる仮想マシンのうち、少なくともいずれかの仮想マシンに関して繰り返し行なわれる監視処理の実行頻度を低下させる、監視頻度変更指示部と
を備える、管理装置。
【符号の説明】
【０３２９】
１    コンピュータシステム
２    管理サーバ
３    仮想環境サーバ
１０−１〜１０−４，１０，１３    ＣＰＵ
１１，１４    メモリ
１２，１５    記憶装置
２１    ＣＰＵ使用状況確認部
２２    監視間隔再設定指示部
２３    利用者評価部
２４    基本サーバ機能部
２５，３６    ログ
２５ａ    ユーザ操作ログ
２５ｂ    プロセス稼動監視ログ
２５ｃ    ウィンドウタイトル監視ログ
２６    仮想マシンＣＰＵ情報
２７    仮想マシングループ情報
２８    禁止操作リスク値情報
２９    仮想マシン利用者情報
３０    エージェント
３１    ログ収集部
３２    セキュリティリスク計算部
３３    操作履歴作成部
３４    エージェント間通信部
３５    監視間隔調整部
３５１    第１監視間隔調整部
３５２    第２監視間隔調整部
３７    操作履歴
３８    グループ内順位情報
３９    セキュリティリスク値情報
１０１    管理者端末
１０２    ユーザ端末
２０１，２０１ａ，２０１ｂ    監視設定
２０２，２０２ａ，２０２ｂ，２０２ｃ    セキュリティポリシー
２５１    禁止操作実行履歴
３０１    仮想マシン
３０２    仮想環境管理マシン
【図１】
2017182160.tif 000003
【図２】
2017182160.tif 000004
【図３】
2017182160.tif 000005
【図４】
2017182160.tif 000006
【図５】
2017182160.tif 000007
【図６】
2017182160.tif 000008
【図７】
2017182160.tif 000009
【図８】
2017182160.tif 000010
【図９】
2017182160.tif 000011
【図１０】
2017182160.tif 000012
【図１１】
2017182160.tif 000013
【図１２】
2017182160.tif 000014
【図１３】
2017182160.tif 000015
【図１４】
2017182160.tif 000016
【図１５】
2017182160.tif 000017
【図１６】
2017182160.tif 000018
【図１７】
2017182160.tif 000019
【図１８】
2017182160.tif 000020
【図１９】
2017182160.tif 000021
【図２０】
2017182160.tif 000022
【図２１】
2017182160.tif 000023
【図２２】
2017182160.tif 000024
【図２３】
2017182160.tif 000025
【図２４】
2017182160.tif 000026
【図２５】
2017182160.tif 000027
【図２６】
2017182160.tif 000028
【図２７】
2017182160.tif 000029
【図２８】
2017182160.tif 000030
【図２９】
2017182160.tif 000031
【図３０】
2017182160.tif 000032