(57)【要約】【課題】データ内容の転写によるデータ持出しの把握を支援すること。【解決手段】演算部１ｂは、アカウントにより第１の拡張子の第１のデータＤ１が開かれているときに当該アカウントにより開かれた第２の拡張子の第２のデータＤ２が保存された際の第２のデータＤ２のデータサイズを取得する。演算部１ｂは、第１のデータＤ１の内容を第２の拡張子の第３のデータとして保存する場合のデータサイズを算出する。演算部１ｂは、取得した第２のデータＤ２が保存された際の第２のデータＤ２のデータサイズと、算出した第３のデータのデータサイズとの比較結果に基づいて、第１のデータＤ１の第２のデータＤ２へのコピー操作の発生を推定する。【選択図】図１
2017151854.tif 000002
【特許請求の範囲】
【請求項１】
コンピュータに、
アカウントにより第１の拡張子の第１のデータが開かれているときに前記アカウントにより開かれた第２の拡張子の第２のデータが保存された際の前記第２のデータのデータサイズを取得し、
前記第１のデータの内容を前記第２の拡張子の第３のデータとして保存する場合のデータサイズを算出し、
取得した前記第２のデータが保存された際の前記第２のデータのデータサイズと、算出した前記第３のデータのデータサイズとの比較結果に基づいて、前記第１のデータの前記第２のデータへのコピー操作の発生を推定する、
処理を実行させることを特徴とするデータ管理プログラム。
【請求項２】
前記推定では、前記第２のデータのデータサイズと、前記第３のデータのデータサイズとの差に応じて前記コピー操作の発生の確度を決定し、決定した前記確度と前記第１のデータの識別情報と前記第２のデータの識別情報とを対応付けて操作ログに記録する、請求項１記載のデータ管理プログラム。
【請求項３】
前記推定では、複数の拡張子をデータの形式に応じて分類した分類情報を参照し、前記第１の拡張子と前記第２の拡張子とが同じ分類であるか否かの判定に応じて、前記確度を決定する、請求項２記載のデータ管理プログラム。
【請求項４】
前記推定では、前記第１のデータおよび前記第２のデータそれぞれを操作する装置が同じであるか否かの判定に応じて、前記確度を決定する、請求項２または３記載のデータ管理プログラム。
【請求項５】
前記推定では、前記第１のデータを操作する第１の装置および前記第２のデータを操作する第２の装置が同じネットワークに属しているか否かの判定に応じて、前記確度を決定する、請求項４記載のデータ管理プログラム。
【請求項６】
前記第１のデータまたは前記第２のデータの前記操作ログを表示部により表示する際に、前記確度に基づいて表示内容を制御する、請求項２乃至５の何れか１項に記載のデータ管理プログラム。
【請求項７】
複数のデータそれぞれのデータサイズの情報を記憶する記憶部と、
アカウントにより第１の拡張子の第１のデータが開かれているときに前記アカウントにより開かれた第２の拡張子の第２のデータが保存された際の前記第２のデータのデータサイズを取得し、前記第１のデータの内容を前記第２の拡張子の第３のデータとして保存する場合のデータサイズを算出し、取得した前記第２のデータが保存された際の前記第２のデータのデータサイズと、算出した前記第３のデータのデータサイズとの比較結果に基づいて、前記第１のデータの前記第２のデータへのコピー操作の発生を推定する演算部と、
を有することを特徴とするデータ管理装置。
【請求項８】
コンピュータが、
アカウントにより第１の拡張子の第１のデータが開かれているときに前記アカウントにより開かれた第２の拡張子の第２のデータが保存された際の前記第２のデータのデータサイズを取得し、
前記第１のデータの内容を前記第２の拡張子の第３のデータとして保存する場合のデータサイズを算出し、
取得した前記第２のデータが保存された際の前記第２のデータのデータサイズと、算出した前記第３のデータのデータサイズとの比較結果に基づいて、前記第１のデータの前記第２のデータへのコピー操作の発生を推定する、
ことを特徴とするデータ管理方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明はデータ管理プログラム、データ管理装置およびデータ管理方法に関する。
【背景技術】
【０００２】
組織内で扱われる情報は、電子的なデータとして記憶装置に保存されることが多い。データは、各種のアプリケーションで利用され得る。アプリケーションで利用可能なデータの形式はアプリケーションに応じて異なる。データの形式を識別する情報として、拡張子が用いられる。例えば、拡張子はデータの識別名の末尾に付加される。
【０００３】
ところで、近年、組織の内部不正による情報漏えい事故が多発しており、組織内の重要情報（例えば、顧客情報など）の組織外への流出が問題となっている。そこで、記憶装置に格納された情報の行方を追跡することが考えられている。
【０００４】
例えば、ファイル追跡装置がファイル操作ログを分析して、ファイルに対する操作をトレースする提案がある。この提案では、あるファイルをオープンし保存するまでの期間に別途開いていたファイルをコピー先の候補とし、トレース対象ファイルの情報と、候補としたファイルの情報との拡張子に応じて、コピー先の候補を更に絞り込む。候補の絞り込みでは、両ファイルの拡張子の同一性、または、両ファイルの拡張子が所定の組合せに合致するかを判断する。
【０００５】
また、例えば、収集装置と分析装置とを用いて、ネットワークに接続されたクライアントおよびサーバにおけるファイルの情報を追跡する提案もある。この提案では、収集装置は、クライアントおよびサーバ上のエージェントからファイル処理情報とネットワーク上のファイル移動情報とを収集する。分析装置は、収集されたファイル処理情報およびファイル移動情報を文書ごとに整理し、処理発生時刻を元に、クライアントやサーバ上でのファイル名変更およびファイル移動を関連付ける。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２０１２−１７４１５１号公報
【特許文献２】特開２００７−３０４８５３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
あるデータの内容が、コピーアンドペーストや手入力などで別のデータに転写して持ち出されることがある。このような転写の操作は、データの操作ログに記録されない。保存形式が同じ（すなわち、拡張子が同じ）ファイルであれば、同じ時間帯に開かれていた２つのデータのサイズが同じか否かにより、転写が行われたかを推測し得る。ところが、転写元のデータと、転写先のデータとでデータの保存形式が変更されることがある。そこで、転写元データの内容を転写元とは異なる拡張子のデータに転写して持出す行為の追跡が問題となる。
【０００８】
例えば、上記提案のように、あるデータと、当該データのコピー先候補のデータとの拡張子が所定の組合せに合致するかに応じて追跡対象を絞り込むことも考えられる。しかし、この方法では、所定の拡張子の組合せに該当するコピー先候補のデータが多く存在すると、コピー先候補を十分に絞り込めない。このため、追跡対象が膨大になり、ユーザによる確認作業の負担の増大や追跡調査の遅延を招くおそれがある。
【０００９】
１つの側面では、本発明は、データ内容の転写によるデータ持出しの把握を支援することを目的とする。
【課題を解決するための手段】
【００１０】
１つの態様では、データ管理プログラムが提供される。このデータ管理プログラムは、コンピュータに、アカウントにより第１の拡張子の第１のデータが開かれているときに当該アカウントにより開かれた第２の拡張子の第２のデータが保存された際の第２のデータのデータサイズを取得し、第１のデータの内容を第２の拡張子の第３のデータとして保存する場合のデータサイズを算出し、取得した第２のデータが保存された際の第２のデータのデータサイズと、算出した第３のデータのデータサイズとの比較結果に基づいて、第１のデータの第２のデータへのコピー操作の発生を推定する、処理を実行させる。
【発明の効果】
【００１１】
１つの側面では、データ内容の転写によるデータ持出しの把握を支援できる。
【図面の簡単な説明】
【００１２】
【図１】第１の実施の形態のデータ管理装置を示す図である。
【図２】第２の実施の形態の情報処理システムを示す図である。
【図３】管理サーバのハードウェア例を示す図である。
【図４】転写の例（その１）を示す図である。
【図５】転写の例（その２）を示す図である。
【図６】管理サーバの機能例を示す図である。
【図７】分類テーブルの例を示す図である。
【図８】第１信頼度テーブルの例を示す図である。
【図９】第２信頼度テーブルの例を示す図である。
【図１０】ファイル操作ログの例を示す図である。
【図１１】管理サーバの処理例を示すフローチャートである。
【図１２】信頼度分析の例を示すフローチャートである。
【図１３】ファイル追跡結果の表示例（その１）を示す図である。
【図１４】ファイル追跡結果の例（その１）を示す図である。
【図１５】ファイル追跡結果の表示例（その２）を示す図である。
【図１６】ファイル追跡結果の例（その２）を示す図である。
【図１７】サイズ比テーブルの例を示す図である。
【図１８】信頼度分析の他の例を示すフローチャートである。
【発明を実施するための形態】
【００１３】
以下、本実施の形態を図面を参照して説明する。
［第１の実施の形態］
図１は、第１の実施の形態のデータ管理装置を示す図である。データ管理装置１は、記憶装置２に接続されている。データ管理装置１は、記憶装置２へのデータの書き込み、記憶装置２に記憶されたデータの読み出し、および、記憶装置２に記憶されたデータの削除などの操作内容を記録した操作ログを作成する。データ管理装置１は、データに対する操作を行ったユーザのアカウントの情報や操作時刻などの情報を操作内容とともに操作ログに記録する。また、データ管理装置１は、あるデータに含まれるデータ内容の、コピーアンドペーストや手入力での他のデータへの転写を追跡する機能を提供する。データ管理装置１は、記憶部１ａおよび演算部１ｂを有する。
【００１４】
記憶部１ａは、ＲＡＭ（Random Access Memory）などの揮発性記憶装置でもよいし、ＨＤＤ（Hard Disk Drive）やフラッシュメモリなどの不揮発性記憶装置でもよい。演算部１ｂは、ＣＰＵ（Central Processing Unit）、ＤＳＰ（Digital Signal Processor）、ＡＳＩＣ（Application Specific Integrated Circuit）、ＦＰＧＡ（Field Programmable Gate Array）などを含み得る。演算部１ｂはプログラムを実行するプロセッサであってもよい。「プロセッサ」は、複数のプロセッサの集合（マルチプロセッサ）でもよい。
【００１５】
記憶部１ａは、複数のデータそれぞれのデータサイズの情報を記憶する。複数のデータは、記憶装置２に記憶されたデータを含む。複数のデータは、記憶装置２に記憶されたデータの拡張子を別の拡張子に変更した別のデータを含む。変更後の拡張子当該別のデータは、記憶装置２に記憶されていなくてもよい。以下の説明において、「拡張子の変更」は、あるデータのデータ形式を変更後の拡張子で示されるデータ形式に変更して保存することを意味するものとする。
【００１６】
演算部１ｂは、あるアカウントにより第１の拡張子の第１のデータＤ１が開かれているときに当該アカウントにより開かれた第２の拡張子の第２のデータＤ２が保存された際の第２のデータＤ２のデータサイズを取得する。例えば、第１のデータＤ１のデータ名は、“Ａ．ｄａｔ”である。“Ａ．ｄａｔ”のうち、“．ｄａｔ”の部分が第１の拡張子の一例に相当する。また、例えば、第２のデータＤ２のデータ名は“Ｂ．ｔｘｔ”である。“Ｂ．ｔｘｔ”のうち、“．ｔｘｔ”の部分が第２の拡張子の一例に相当する。各拡張子は、第１のデータＤ１および第２のデータＤ２の保存形式に対応している。
【００１７】
演算部１ｂは、第１のデータＤ１の内容（全内容）を第２の拡張子の第３のデータとして保存する場合のデータサイズを算出する。上記の例でいえば、演算部１ｂは、第１の拡張子“．ｄａｔ”に相当する保存形式で保存されている第１のデータＤ１の内容を、第２の拡張子“．ｔｘｔ”に相当する保存形式で保存する場合のデータサイズを算出する。演算部１ｂは、例えば、“．ｄａｔ”形式のデータを“．ｔｘｔ”形式に変えて記憶装置２に保存する処理を実際に実行して第３のデータを作成し、第３のデータのデータサイズを取得してもよい。あるいは、想定される拡張子の変更（すなわち、保存形式の変更）の前後でのデータサイズ比の情報を記憶部１ａが予め保持していてもよい。後者の場合、演算部１ｂは、記憶部１ａに記憶されたデータサイズ比の情報に基づいて、第３のデータのデータサイズを算出できる。
【００１８】
ここで、第１のデータＤ１の全内容を第２の拡張子“．ｔｘｔ”に相当する保存形式で保存する場合のデータサイズ（第３のデータのデータサイズ）をデータサイズＺ１とする。また、第２のデータＤ２が保存されたときのデータサイズをＺ２とする。
【００１９】
演算部１ｂは、取得した第２のデータＤ２が保存された際の第２のデータのデータサイズＺ２と、算出した第３のデータのデータサイズＺ１との比較結果に基づいて、第１のデータＤ１の第２のデータＤ２へのコピー操作の発生を推定する。
【００２０】
例えば、演算部１ｂは、データサイズＺ１とデータサイズＺ２との差が小さいほど、第１のデータＤ１のデータ内容が第２のデータＤ２へ転写されて保存された可能性が高いと判断する。第１のデータＤ１の内容を、第２の拡張子で保存したときのデータサイズＺ１が第２のデータＤ２のデータサイズＺ２に一致する度合いが高いほど、両データの内容が一致している可能性が高いからである。
【００２１】
一方、演算部１ｂは、データサイズＺ１とデータサイズＺ２との差が大きいほど、第１のデータＤ１のデータ内容が第２のデータＤ２へ転写されて保存された可能性が低いと判断する。第１のデータＤ１の内容を、第２の拡張子で保存したときのデータサイズＺ１が第２のデータＤ２のデータサイズＺ２に一致する度合いが低いほど、両データの内容が一致している可能性が低いからである。
【００２２】
例えば、演算部１ｂは、第１のデータＤ１から第２のデータＤ２へのコピー操作が行われた可能性が高いと判断すると、第２のデータＤ２の操作ログに、第２のデータＤ２に第１のデータＤ１の内容が転写された可能性が高い旨を記録する。また、演算部１ｂは、第１のデータＤ１から第２のデータＤ２へのコピー操作が行われた可能性が低いと判断すると、第２のデータＤ２の操作ログに、第２のデータＤ２に第１のデータＤ１の内容が転写された可能性が低い旨を記録する。例えば、演算部１ｂは、ユーザ（例えば、システム管理者）により第１のデータＤ１に対する操作の追跡を指示された場合に、操作ログに基づいて、第１のデータＤ１の内容が第２のデータＤ２に転写された可能性およびその確度を、ユーザに提示できる。あるいは、例えば、演算部１ｂは、ユーザにより、第２のデータＤ２に対する操作の追跡を指示された場合に、操作ログに基づいて、第２のデータＤ２が、第１のデータＤ１の内容を転写したものである可能性およびその確度を、ユーザに提示できる。
【００２３】
こうして、データ管理装置１は、あるデータに含まれるデータ内容の、コピーアンドペーストや手入力での他のデータへの転写を追跡することができる。これにより、データ内容の転写によるデータ持出しの把握を支援できる。特に、転写元と転写先とで拡張子が異なる場合に、転写元データの拡張子を転写先の拡張子に変更した場合のデータサイズを求めて、転写先データのデータサイズと比較することで、転写が行われた転写先データを適切に特定できる可能性が高まる。このため、例えば、転写先データの候補が複数存在していたとしても、転写先データの候補を適切に絞り込める。コピー先候補を適切に絞り込むことで、ユーザによる確認作業の負担や追跡調査の遅延を軽減することができる。
【００２４】
なお、記憶装置２は、データ管理装置１に外付けされてもよいし、データ管理装置１に内蔵されてもよい。記憶装置２は、データ管理装置１とネットワークを介して接続されてもよいし、データ管理装置１とネットワークを介して接続された情報処理装置（例えば、クライアントコンピュータやサーバコンピュータ）に内蔵されてもよい。記憶装置２を情報処理装置に内蔵したシステムでデータ管理装置１を用いる場合、データ管理装置１は、データに対する操作の情報（対象データ、操作日時、操作したユーザのアカウント情報、操作内容など）をネットワーク経由で当該情報処理装置から取得する。
【００２５】
データ管理装置１は、複数の情報処理装置からデータに対する操作の情報を収集し、情報処理システムにおけるデータの操作ログを一元管理することもできる。以下では、このような情報処理システムを例示して、データ管理装置１の機能を詳細に説明する。
【００２６】
［第２の実施の形態］
図２は、第２の実施の形態の情報処理システムを示す図である。第２の実施の形態の情報処理システムは、管理サーバ１００およびクライアント２００，２００ａ，２００ｂ，３００を有する。管理サーバ１００およびクライアント２００，２００ａ，２００ｂ，３００は、ネットワーク１０に接続されている。ネットワーク１０は、例えば、組織内に設けられたＬＡＮ（Local Area Network）である。
【００２７】
管理サーバ１００は、クライアント２００，２００ａ，２００ｂにおけるファイルへの操作内容を収集するサーバコンピュータである。管理サーバ１００は、ファイルの作成、更新、変名（rename）、削除、複製（複写ということもある）などのファイル操作ログを、操作を行ったユーザのアカウントの情報（例えば、ユーザＩＤ（IDentifier））や操作日時に対応付けて記録する。
【００２８】
管理サーバ１００により取得されたファイル操作ログは、組織の内部統制の取り組みに利用される。具体的には、組織の内部不正による情報流出の追跡である。ここで、内部不正による情報流出の追跡には次の点が重要である。例えば、ファイルの操作内容として、ファイルシステムによるファイル操作（例えば、ｏｐｅｎ、ｒｅａｄ、ｗｒｉｔｅおよびｃｌｏｓｅなどの命令によるもの）のみをファイル操作ログに記録しているだけでは、コピーアンドペーストや手入力による転写といったアプリケーション上の操作でファイルの内容をコピーされたときに追跡できない。また、情報を不正に持ち出すという目的以外の通常の内容のコピーでは、内容の一部をコピーして使用することがほとんどであり、内容を丸ごとコピーすることは比較的考えられにくい。このため、内部不正による情報流出を追跡するためには、あるデータの内容を転写により丸ごとコピーしたデータの行方を追跡することが求められる。
【００２９】
そこで、管理サーバ１００は、上記の操作（ファイルの作成、更新、変名、削除、複製）に加えて、転写の操作を、ファイル操作ログから追跡できるようにする。管理サーバ１００は、第１の実施の形態のデータ管理装置１の一例である。
【００３０】
クライアント２００，２００ａ，２００ｂは、ユーザが利用するクライアントコンピュータである。クライアント２００，２００ａ，２００ｂは、ユーザによるログインを受け付ける。クライアント２００，２００ａ，２００ｂは、ログイン時に、ユーザにより入力されたアカウントの情報を取得し、当該アカウントの情報が適正であるか否かを判断する。クライアント２００は、ファイル操作を監視するエージェント機能を有する。クライアント２００，２００ａ，２００ｂの当該エージェント機能は、ログインに成功したユーザのアカウントと、ログイン後に発生したファイルへの操作とを対応付けて、管理サーバ１００に送信する。なお、アカウントの情報を一元管理するサーバコンピュータを、クライアント２００，２００ａ，２００ｂとは別個に設けてもよい。
【００３１】
クライアント３００は、管理者が利用するクライアントコンピュータである。クライアント３００は、管理サーバ１００からファイル操作ログの内容を取得し、管理者に提示する。クライアント３００は、ファイル操作ログとして取得する内容を指定するポリシー情報を管理サーバ１００に送信することもできる。ポリシー情報は、管理サーバ１００からクライアント２００，２００ａ，２００ｂに配布される。ポリシー情報は、クライアント２００，２００ａ，２００ｂの各エージェント機能によるファイル操作の監視内容の決定に用いられる。
【００３２】
図３は、管理サーバのハードウェア例を示す図である。管理サーバ１００は、プロセッサ１０１、ＲＡＭ１０２、ＨＤＤ１０３、画像信号処理部１０４、入力信号処理部１０５、媒体リーダ１０６および通信インタフェース１０７を有する。各ユニットは管理サーバ１００のバスに接続されている。クライアント２００，２００ａ，２００ｂ，３００も管理サーバ１００と同様のハードウェアを用いて実現できる。
【００３３】
プロセッサ１０１は、管理サーバ１００の情報処理を制御する。プロセッサ１０１は、マルチプロセッサであってもよい。プロセッサ１０１は、例えばＣＰＵ、ＤＳＰ、ＡＳＩＣまたはＦＰＧＡなどである。プロセッサ１０１は、ＣＰＵ、ＤＳＰ、ＡＳＩＣ、ＦＰＧＡなどのうちの２以上の要素の組み合わせであってもよい。
【００３４】
ＲＡＭ１０２は、管理サーバ１００の主記憶装置である。ＲＡＭ１０２は、プロセッサ１０１に実行させるＯＳ（Operating System）のプログラムやアプリケーションプログラムの少なくとも一部を一時的に記憶する。また、ＲＡＭ１０２は、プロセッサ１０１による処理に用いる各種データを記憶する。
【００３５】
ＨＤＤ１０３は、管理サーバ１００の補助記憶装置である。ＨＤＤ１０３は、内蔵した磁気ディスクに対して、磁気的にデータの書き込みおよび読み出しを行う。ＨＤＤ１０３は、ＯＳのプログラム、アプリケーションプログラム、および各種データを記憶する。管理サーバ１００は、フラッシュメモリやＳＳＤ（Solid State Drive）などの他の種類の補助記憶装置を備えてもよく、複数の補助記憶装置を備えてもよい。
【００３６】
画像信号処理部１０４は、プロセッサ１０１からの命令に従って、管理サーバ１００に接続されたディスプレイ１１に画像を出力する。ディスプレイ１１としては、ＣＲＴ（Cathode Ray Tube）ディスプレイや液晶ディスプレイなどを用いることができる。ディスプレイ１１を、表示部と呼ぶこともできる。
【００３７】
入力信号処理部１０５は、管理サーバ１００に接続された入力デバイス１２から入力信号を取得し、プロセッサ１０１に出力する。入力デバイス１２としては、例えば、マウスやタッチパネルなどのポインティングデバイス、キーボードなどを用いることができる。
【００３８】
媒体リーダ１０６は、記録媒体１３に記録されたプログラムやデータを読み取る装置である。記録媒体１３として、例えば、フレキシブルディスク（ＦＤ：Flexible Disk）やＨＤＤなどの磁気ディスク、ＣＤ（Compact Disc）やＤＶＤ（Digital Versatile Disc）などの光ディスク、光磁気ディスク（ＭＯ：Magneto-Optical disk）を使用できる。また、記録媒体１３として、例えば、フラッシュメモリカードなどの不揮発性の半導体メモリを使用することもできる。媒体リーダ１０６は、例えば、プロセッサ１０１からの命令に従って、記録媒体１３から読み取ったプログラムやデータをＲＡＭ１０２またはＨＤＤ１０３に格納する。
【００３９】
通信インタフェース１０７は、ネットワーク１０を介して他の装置と通信を行う。通信インタフェース１０７は、有線通信インタフェースでもよいし、無線通信インタフェースでもよい。
【００４０】
図４は、転写の例（その１）を示す図である。ユーザは、クライアント２００を用いて、コピーアンドペーストと呼ばれる操作を行うことで、ファイル名“ａ．ｄｏｃ”のファイルの内容を、ファイル名“ｂ．ｔｘｔ”のファイルに転写できる。ここで、以下の説明では、ファイル名“ａ．ｄｏｃ”のファイルを、ファイル“ａ．ｄｏｃ”のように呼ぶことがある。また、ファイル“ａ．ｄｏｃ”の拡張子“．ｄｏｃ”は、文字列情報を扱うアプリケーションで利用される、あるデータ形式を示している。また、拡張子“．ｔｘｔ”は、テキスト形式のデータであることを示す。
【００４１】
図４（Ａ）は、コピーアンドペーストのうちのコピー操作を例示している。クライアント２００のディスプレイには、ファイル“ａ．ｄｏｃ”の内容を表示するウィンドウＷ１が表示されている。また、クライアント２００のディスプレイには、ファイル“ｂ．ｔｘｔ”の内容を表示するウィンドウＷ２が表示されている（図４（Ａ）の例では、ファイル“ｂ．ｔｘｔ”の内容は空である）。例えば、ユーザは、マウス２１を手Ｈ１により操作して、クライアント２００のディスプレイに表示されたポインタＰ１を操作し、ウィンドウＷ１内に表示されたファイル“ａ．ｄｏｃ”の全内容をコピー対象として選択する。例えば、クライアント２００は、コピー対象として選択された内容を、クライアント２００のＲＡＭ上に保持する（当該ＲＡＭ上の領域をクリップボードと称することもある）。
【００４２】
図４（Ｂ）は、コピーアンドペーストのうちのペースト操作を例示している。例えば、ユーザは、マウス２１を操作して、ポインタＰ１によりウィンドウＷ２を選択し、コピー対象として選択した内容をウィンドウＷ２内に写す（クライアント２００は、クリップボードに保持された内容をウィンドウＷ２内にも表示する）。この状態で、ユーザは、ファイル“ｂ．ｔｘｔ”を保存する操作を行う。すると、クライアント２００は、ファイル“ｂ．ｔｘｔ”に“ａ．ｄｏｃ”内の文書情報を含めて、ファイル“ｂ．ｔｘｔ”を所定の記憶装置（例えば、クライアント２００に内蔵されたＨＤＤ、ファイルサーバのＨＤＤ、および、外部記録媒体など）に保存する。
【００４３】
なお、図４の例では、入力デバイスとして、マウス２１を用いたコピーアンドペーストを説明したが、キーボードやタッチパッドなどの他の入力デバイスを用いてコピーアンドペーストが行われることもある。
【００４４】
図５は、転写の例（その２）を示す図である。例えば、ユーザは、クライアント２００により表示されたファイル（例えば、“ｃ．ｄｏｃ”）の内容を見ながら、当該ファイルの内容を、別の拡張子のファイル（例えば、“ｄ．ｔｘｔ”）にキーボードなどを用いて手入力で転写することも考えられる。図５では、ユーザが２台のクライアント２００，２００ａを用いて当該転写を行う場合を例示している。ウィンドウＷ３は、クライアント２００のディスプレイに表示されたウィンドウであり、ファイル“ｃ．ｄｏｃ”の内容を表示している。ウィンドウＷ４は、クライアント２００ａのディスプレイに表示されたウィンドウであり、ファイル“ｄ．ｔｘｔ”の内容を表示している。ユーザは、クライアント２００ａのキーボードを手Ｈ１，Ｈ２により操作して、ファイル“ｃ．ｄｏｃ”の内容を、ファイル“ｄ．ｔｘｔ”内に写し、ファイル“ｄ．ｔｘｔ”を保存する操作を行える。すると、クライアント２００ａは、ファイル“ｄ．ｔｘｔ”に“ｃ．ｄｏｃ”内の文書情報を含めて、ファイル“ｄ．ｔｘｔ”を所定の記憶装置に保存する。
【００４５】
図６は、管理サーバの機能例を示す図である。管理サーバ１００は、記憶部１１０、ログ収集部１２０および分析部１３０を有する。記憶部１１０は、ＲＡＭ１０２やＨＤＤ１０３に確保された記憶領域として実現される。ログ収集部１２０および分析部１３０は、ＲＡＭ１０２に記憶されたプログラムをプロセッサ１０１が実行することで実現される。
【００４６】
記憶部１１０は、分類テーブル、第１信頼度テーブル、第２信頼度テーブルおよびファイル操作ログを記憶する。分類テーブルは、データの分類に応じた拡張子のグループ分けを定義するための情報である。データの分類としては、文字データ、表データおよび図形データなどの分類が考えられる。
【００４７】
第１信頼度テーブルは、第１の拡張子の第１のファイルから、第２の拡張子の第２のファイルへデータ内容が転写された可能性の高さ（信頼度）を、両ファイルのサイズによって判定するために用いられる情報である。
【００４８】
第２信頼度テーブルは、ユーザが操作するクライアント（操作端末）のネットワークへの所属状況（例えば、あるユーザが２台のクラアントを使用しているとき、両方が同じネットワークに属するか否か）により、上記信頼度を判定するための情報である。
【００４９】
ファイル操作ログは、システムで扱われる各ファイルに対する操作ログを一元的に記録した情報である。
ログ収集部１２０は、クライアント２００，２００ａ，２００ｂからファイルの操作ログを収集し、記憶部１１０に記憶されたファイル操作ログに登録する。例えば、ログ収集部１２０は、クライアント２００，２００ａ，２００ｂから取得された、あるファイルに対する１つの操作ログを、１つのレコードとしてファイル操作ログに登録する。ログ収集部１２０は、操作ログとして、操作対象のファイルのパス、操作を行ったユーザのアカウント情報、操作日時、操作内容、該当のクライアントのＩＰ（Internet Protocol）アドレスなどをクライアント２００，２００ａ，２００ｂそれぞれから収集する。
【００５０】
分析部１３０は、ログ収集部１２０により収集された操作ログに基づいて、第１の拡張子の第１のファイルから、第２の拡張子の第２のファイルへのデータ内容の転写の可能性を分析する。具体的には、分析部１３０は、あるアカウントにより第１のファイルが開かれているときに同アカウントにより開かれた第２のファイルが保存された際に、第１のファイルのサイズを取得する。また、分析部１３０は、第２のファイルの内容を第１の拡張子の別のファイルとして保存する場合のサイズを算出する。そして、分析部１３０は、第１のファイルのサイズと、算出した当該別のファイルのサイズとの比較結果に基づいて、第１のファイルの第２のファイルへのコピー操作の発生を推定する。分析部１３０は、コピー操作の発生の分析結果を、第２のファイルの保存に相当するファイル操作ログのレコードに記録する。
【００５１】
分析部１３０は、記憶部１１０に記憶されたファイル操作ログに基づいて、あるファイルの追跡結果を、ディスプレイ１１またはクライアント３００に出力し、管理者に提供する。
【００５２】
クライアント２００は、記憶部２１０およびログ送信部２２０を有する。記憶部２１０は、クライアント２００が備えるＲＡＭやＨＤＤに確保された記憶領域として実現される。ログ送信部２２０は、クライアント２００が備えるＲＡＭに記憶されたプログラムを、クライアント２００が備えるプロセッサが実行することで実現される。
【００５３】
記憶部２１０は、クライアント２００で動作するアプリケーションによるファイルの操作ログを記憶する。例えば、クライアント２００で動作するアプリケーションは、クライアント２００が備えるＨＤＤや、ネットワーク１０に接続されたファイルサーバ（図２では図示を省略している）に記憶されたファイルに対する操作を行う。
【００５４】
ログ送信部２２０は、記憶部２１０に記憶された操作ログを管理サーバ１００に送信する。ログ送信部２２０は、管理サーバ１００に送信済の操作ログを記憶部２１０から削除してもよい。なお、クライアント２００で動作するアプリケーションによる操作ログは、クライアント２００で動作する所定のエージェント機能により生成される。ログ送信部２２０を、当該エージェント機能のうちの一部と考えてもよい。
【００５５】
図７は、分類テーブルの例を示す図である。分類テーブル１１１は、記憶部１１０に予め格納される。分類テーブル１１１は、複数の拡張子を、文字、表および図形などのデータの形式に応じて分類した分類情報であるともいえる。分類テーブル１１１は、分類および拡張子の項目を含む。
【００５６】
分類の項目には、データの分類が登録される。拡張子の項目には、当該分類に属する拡張子群が登録される。
例えば、分類テーブル１１１には、分類が“文字データ”、拡張子が“ｄｏｃ、ｄｏｃｘ、ｔｘｔ、ｐｄｆ”という情報が登録される。これは、分類“文字データ”のグループに属する拡張子が“ｄｏｃ”、“ｄｏｃｘ”、“ｔｘｔ”、“ｐｄｆ”であることを示す。
【００５７】
また、分類テーブル１１１には、分類が“表データ”、拡張子が“ｘｌｓ、ｘｌｓｘ、ｃｓｖ、ｐｄｆ”という情報が登録される。これは、分類“表データ”のグループに属する拡張子が“ｘｌｓ”、“ｘｌｓｘ”、“ｃｓｖ”、“ｐｄｆ”であることを示す。
【００５８】
また、分類テーブル１１１には、分類が“図形データ”、拡張子が“ｐｎｇ、ｊｐｇ、ｂｍｐ、ｐｄｆ”という情報が登録される。これは、分類“図形データ”のグループに属する拡張子が“ｐｎｇ”、“ｊｐｇ”、“ｂｍｐ”、“ｐｄｆ”であることを示す。
【００５９】
図８は、第１信頼度テーブルの例を示す図である。第１信頼度テーブル１１２は、記憶部１１０に予め格納される。第１信頼度テーブル１１２は、拡張子を考慮したサイズの差および信頼度の項目を含む。
【００６０】
拡張子を考慮したサイズの差の項目には、同じ分類に属する拡張子の異なる２つのファイルについて、一方のファイルの拡張子を他方のファイルの拡張子に合わせたときの両ファイルのサイズの差が登録される。当該サイズの差は、他方のファイルのサイズに対する割合で表される。拡張子を考慮したサイズの差の項目には、例外的に、「拡張子の分類が異なる」という条件も登録される。信頼度の項目には、今回保存されたファイルに、同じアカウントにより保存時に開かれていた別のファイルの内容が転写された可能性の高さを表す信頼度が登録される。信頼度は、例えば、百分率で表される。信頼度は、拡張子を考慮したサイズの差が小さいほど高く、拡張子を考慮したサイズの差が大きいほど低い。
【００６１】
例えば、第１信頼度テーブル１１２には、拡張子を考慮したサイズの差が“５％未満”、信頼度が“１００”（％）という情報が登録される。これは、拡張子を考慮したサイズの差が“５％未満”である場合、転写が行われたという評価に対する信頼度を１００％とすることを示す。
【００６２】
また、例えば、第１信頼度テーブル１１２には、拡張子を考慮したサイズの差が“５％以上１０％未満”、信頼度が“８０”（％）という情報が登録される。これは、拡張子を考慮したサイズの差が“５％以上１０％未満”である場合、転写が行われたという評価に対する信頼度を８０％とすることを示す。
【００６３】
第１信頼度テーブル１１２には、拡張子を考慮したサイズの差の他の範囲についても、同様にして信頼度が登録される。また、第１信頼度テーブル１１２には、“拡張子の分類が異なる”場合に、信頼度を“５”（％）とする旨を示す情報も登録されている。なお、各条件および各条件に対する信頼度の値は、運用に応じて変更することができる。
【００６４】
図９は、第２信頼度テーブルの例を示す図である。第２信頼度テーブル１１３は、記憶部１１０に予め格納される。第２信頼度テーブル１１３は、ユーザの操作端末、ネットワーク接続情報および信頼度の項目を含む。
【００６５】
ユーザの操作端末の項目には、サイズの比較対象とする２つのファイルを操作しているクライアントが同じであるか、異なっているかを示す情報が登録される。ネットワーク接続情報の項目には、ユーザによる操作クライアントが異なる場合に、両クライアントが接続するネットワークが同じであるか否かを示す情報が登録される。信頼度の項目には、今回保存されたファイルに、同じアカウントにより保存時に開かれていた別のファイルの内容が転写された可能性の高さを表す信頼度が登録される。信頼度は、図８と同様に、百分率で表される。
【００６６】
例えば、第２信頼度テーブル１１３には、ユーザの操作端末が“同じ”、ネットワーク接続情報が設定なし（設定なしをハイフン記号“−”により表す）、信頼度が“１００”（％）という情報が登録される。これは、サイズの比較対象とする２つのファイルが１台のクライアントから操作されている場合に、転写が行われたという評価に対する信頼度を１００％とすることを示す。
【００６７】
また、例えば、第２信頼度テーブル１１３には、ユーザの操作端末が“異なる”、ネットワーク接続情報が“接続元不明”、信頼度が“９０”（％）という情報が登録される。これは、サイズの比較対象とする２つのファイルがそれぞれ別個のクライアントから操作されており、かつ、少なくとも何れか一方の接続元が不明な接続元である場合に、転写が行われたという評価に対する信頼度を９０％とすることを示す。
【００６８】
また、例えば、第２信頼度テーブル１１３には、ユーザの操作端末が“異なる”、ネットワーク接続情報が“同じネットワークに接続”、信頼度が“９０”（％）という情報が登録される。これは、サイズの比較対象とする２つのファイルがそれぞれ別個のクライアントから操作されており、かつ、両クライアントが同じネットワークに接続されている場合に、転写が行われたという評価に対する信頼度を９０％とすることを示す。
【００６９】
また、例えば、第２信頼度テーブル１１３には、ユーザの操作端末が“異なる”、ネットワーク接続情報が“異なるネットワークに接続”、信頼度が“１０”（％）という情報が登録される。これは、サイズの比較対象とする２つのファイルがそれぞれ別個のクライアントから操作されており、かつ、両クライアントが異なるネットワークに接続されている場合に、転写が行われたという評価に対する信頼度を１０％とすることを示す。
【００７０】
なお、分析部１３０は、２つのクライアントが同じネットワークに接続されているか否かを、例えば、各クライアントのＩＰアドレスにおけるサブネットアドレスが一致するか否かによって判断できる。分析部１３０は、サブネットアドレスが一致する場合は同じネットワークに接続されていると判断し、サブネットアドレスが異なる場合は異なるネットワークに接続されていると判断する。
【００７１】
こうして、分析部１３０は、第１信頼度テーブル１１２を用いて第１の種類の信頼度Ｒ１（％）を取得し、第２信頼度テーブル１１３を用いて第２の種類の信頼度Ｒ２（％）を取得する。分析部１３０は、第１および第２の種類の信頼度を用いて、転写が行われたという評価に対する信頼度Ｒ（％）を計算する。具体的には、分析部１３０は、次の式（１）を用いる。
【００７２】
Ｒ＝（Ｒ１／１００）×（Ｒ２／１００）×１００（％）・・・（１）
ここで、信頼度Ｒを、転写によるコピー操作が行われたことに対する「確度」と称することもできる。
【００７３】
図１０は、ファイル操作ログの例を示す図である。ファイル操作ログ１１４は、記憶部１１０に格納される。ファイル操作ログ１１４は、操作内容、端末名、ユーザ名、ＩＰアドレス、ファイルパス、発生日時、サイズ（ｄｏｃ）、サイズ（ｄｏｃｘ）、サイズ（ｔｘｔ）、・・・、追跡対象ファイル１、追跡対象ファイル２、・・・の項目を含む。
【００７４】
操作内容の項目には、ファイルの作成や更新などの操作内容が登録される。端末名の項目には、操作を行ったクライアントの端末名が登録される。ユーザ名の項目には、操作入力を行ったユーザのユーザ名（アカウントの情報）が登録される。ＩＰアドレスの項目には、操作を行ったクライアントのＩＰアドレスが登録される。ファイルパスの項目には、操作対象のファイルの格納場所を示すパスが登録される。発生日時の項目には、操作が発生した日時が登録される。
【００７５】
サイズ（ｄｏｃ）の項目には、該当のファイルをｄｏｃ形式で保存する場合のデータサイズが登録される。サイズ（ｄｏｃｘ）の項目には、該当のファイルをｄｏｃｘ形式で保存する場合のデータサイズが登録される。サイズ（ｔｘｔ）の項目には、該当のファイルをｔｘｔ形式で保存する場合のデータサイズが登録される。サイズの項目として、システムで扱われる可能性のあるデータ形式（拡張子）に対応する列が、ファイル操作ログ１１４に予め設けられる。操作対象のファイルと異なる分類におけるサイズの項目は、設定値なしとなる。例えば、ファイル操作ログ１１４は、サイズ（ｘｌｓ）やサイズ（ｊｐｇ）などの項目を有するが、この場合、分類“文字データ”に相当するファイルに対しては、サイズ（ｘｌｓ）やサイズ（ｊｐｇ）の項目の設定値はなしとなる。
【００７６】
追跡対象ファイル１、追跡対象ファイル２、・・・の項目には、データ内容の転写元の候補のファイルを示す情報が登録される。あるファイルを保存する際に、同じアカウントにより開かれているファイルが複数存在する可能性もあるため、追跡対象ファイル１、追跡対象ファイル２、・・・というように、ファイル操作ログ１１４には、追跡対象ファイルを複数登録できるようになっている。例えば、追跡対象ファイル１の項目は、端末名、ファイルパスおよび信頼度の項目を含む。端末名の項目には、転写元の候補のファイルを扱っているクライアントの端末名が登録される。ファイルパスの項目には、該当のクライアントにおいて開かれているファイルのパスが登録される。信頼度の項目には、転写が行われたという評価に対する信頼度（式（１）を用いて求められた信頼度Ｒ）が登録される。追跡対象ファイル２を含む他の追跡対象ファイルの項目についても、追跡対象ファイル１と同様の情報が登録される。
【００７７】
例えば、ファイル操作ログ１１４には、操作内容が“作成”、端末名が“ＰＣ１”、ユーザ名が“Ｕｓｅｒ１”、ＩＰアドレスが“ＩＰ１”、ファイルパスが“Ｃ：￥ａ．ｄｏｃ”、発生日時が“２０１６／２／１  １０：００：００”、サイズ（ｄｏｃ）が“３８４ＫＢ”、サイズ（ｄｏｃｘ）が“３１４ＫＢ”、サイズ（ｔｘｔ）が“１３ＫＢ”、・・・、追跡対象ファイル１の端末名が“ＰＣ１”、ファイルパスが“Ｄ：￥ｃ．ｄｏｃ”、信頼度が“８０”（％）、追跡対象ファイル２の端末名が“ＰＣ３”、ファイルパスが“Ｃ：￥ｄ．ｄｏｃｘ”、信頼度が“５４”（％）という情報が登録される。
【００７８】
これは、端末名が“ＰＣ１”でありＩＰアドレスが“ＩＰ１”のクライアントで、ユーザ名“Ｕｓｅｒ１”のユーザが、ファイルパス“Ｃ：￥ａ．ｄｏｃ”で示されるファイルを２０１６年２月１日１０時００分００秒に作成し保存したことを示す。また、当該ファイルのサイズが３８４ＫＢ（キロバイト）であること、同ファイルをｄｏｃｘ形式としたときのサイズが３１４ＫＢであること、同ファイルをｔｘｔ形式としたときのサイズが１３ＫＢであることを示す。更に、ファイル“Ｃ：￥ａ．ｄｏｃ”を保存したときに、端末名“ＰＣ１”のクライアントにて、ファイルパス“Ｄ：￥ｃ．ｄｏｃ”で示されるファイルが開かれており、当該ファイル“Ｄ：￥ｃ．ｄｏｃ”からファイル“Ｃ：￥ａ．ｄｏｃ”へデータ内容の転写が行われたことに対する信頼度が８０％であることを示す。同様に、ファイル“Ｃ：￥ａ．ｄｏｃ”を保存したときに、端末名“ＰＣ３”のクライアントにて、ファイルパス“Ｃ：￥ｄ．ｄｏｃｘ”で示されるファイルが開かれており、当該ファイル“Ｃ：￥ｄ．ｄｏｃｘ”から端末名“ＰＣ１”におけるファイル“Ｃ：￥ａ．ｄｏｃ”へデータ内容の転写が行われたことに対する信頼度が５４％であることを示す。
【００７９】
次に、以上のような構成の管理サーバ１００の処理手順を説明する。
図１１は、管理サーバの処理例を示すフローチャートである。以下、図１１に示す処理をステップ番号に沿って説明する。
【００８０】
（Ｓ１）ログ収集部１２０は、クライアント２００から操作ログを受信する。操作ログは、送信元のクライアントのＩＰアドレス、ユーザのアカウントの情報、操作対象のファイル（ファイルＦ１とする）のパス、操作内容および操作の発生日時などの情報を含む。
【００８１】
（Ｓ２）ログ収集部１２０は、受信した操作ログが、ファイルの作成または更新のログであるか否かを判定する。ファイルの作成または更新のログである場合、処理をステップＳ３に進める。ファイルの作成または更新のログでない場合、処理をステップＳ８に進める。ここで、ファイルの作成または更新のログであるとは、ファイルに対する操作内容が書き込み（Ｗｒｉｔｅ）である場合である。一方、ファイルの作成または更新のログでない場合とは、ファイルに対する操作内容が、読み出し（Ｒｅａｄ）、変名（Ｒｅｎａｍｅ）または削除（Ｒｅｍｏｖｅ）である場合などが考えられる。
【００８２】
（Ｓ３）分析部１３０は、ステップＳ１で受信した操作ログに含まれるアカウントに対応するユーザと同じユーザが開いているファイル（今回作成または更新されたファイルＦ１とは別のファイル）があるか否かを判定する。同じユーザが開いている別のファイルがある場合、処理をステップＳ４に進める。同じユーザが開いている別のファイルがない場合、処理をステップＳ８に進める。分析部１３０は、今回操作ログを受信したクライアント２００だけでなく、クライアント２００ａ，２００ｂについても、同じユーザが開いている別のファイルがあるかを判定する。例えば、分析部１３０は、記憶部１１０に記憶されたファイル操作ログ１１４に記録されたファイルのオープン／クローズの記録に基づいて、同じユーザが開いている別のファイルがあるか否かを判定する。あるいは、分析部１３０は、クライアント２００，２００ａ，２００ｂに対して、該当のユーザのアカウントの情報を通知し、同ユーザが開いている別のファイルがあるか否かを問い合わせてもよい。
【００８３】
（Ｓ４）分析部１３０は、ステップＳ３で特定した同じユーザが開いているファイルを順番に１つ選択してステップＳ５，Ｓ６の処理を繰り返し実行する。ただし、今回作成または更新されたファイルＦ１とは別のファイルが１つしかない場合、分析部１３０は、ステップＳ５，Ｓ６を１回だけ実行することになる。ステップＳ４で選択されたファイルをファイルＦ２とする。
【００８４】
（Ｓ５）分析部１３０は、ファイルＦ１に対して、ファイルＦ２からデータ内容が転写されたという評価に対する信頼度を分析する。処理の詳細は後述される。
（Ｓ６）分析部１３０は、ステップＳ１で受信した操作ログに、ステップＳ５で求めた信頼度の情報を追加する。
【００８５】
（Ｓ７）分析部１３０は、ステップＳ３で特定した全てのファイルについて、ステップＳ５，Ｓ６の処理を実行すると、処理をステップＳ８に進める。
（Ｓ８）分析部１３０は、ファイル操作ログ１１４に、今回受信した操作ログを記録する。
【００８６】
図１２は、信頼度分析の例を示すフローチャートである。以下、図１２に示す処理をステップ番号に沿って説明する。以下に示す手順は、図１１のステップＳ５に相当する。
（Ｓ１１）分析部１３０は、記憶部１１０に記憶された分類テーブル１１１を参照して、ファイルＦ１，Ｆ２それぞれの拡張子が同じ分類であるか否かを判定する。同じ分類である場合、処理をステップＳ１２に進める。同じ分類でない場合、処理をステップＳ１４に進める。
【００８７】
（Ｓ１２）分析部１３０は、ファイルＦ１の拡張子を、開いているファイルＦ２の拡張子に変更した場合のサイズを調べる。具体的には、分析部１３０は、ファイルＦ１の拡張子を、ファイルＦ２の拡張子に変更して実際に保存してみて、ファイルＦ１をファイルＦ２の拡張子に変更した場合のサイズを得る。あるいは、後述するように、拡張子の変更前後のサイズ比の情報を記憶部１１０に予め格納しておくことも考えられる。この場合、分析部１３０は、実際に保存を試行しなくても、当該サイズ比の情報を基に、拡張子の変更後のサイズを求めることができる。分析部１３０は、求めたサイズを今回受信したファイルＦ１の操作ログに追加する。
【００８８】
（Ｓ１３）分析部１３０は、ステップＳ１２で求めたサイズと、ファイルＦ２のサイズとを比較する。分析部１３０は、比較に応じて、両者のサイズの差が、記憶部１１０に記憶された第１信頼度テーブル１１２の何れの条件に該当するかを確認する。
【００８９】
（Ｓ１４）分析部１３０は、ファイルＦ１，Ｆ２を操作している操作端末（クライアント）が同一であるか否かを判定する。同一である場合、処理をステップＳ１６に進める。同一でない場合、処理をステップＳ１５に進める。例えば、分析部１３０は、ファイル操作ログ１１４を参照して、ファイルＦ２のオープン操作を行ったクライアントを特定できる。分析部１３０は、ファイルＦ１の作成または更新を行ったクライアントを、図１１のステップＳ１で受信した操作ログから判断する。
【００９０】
（Ｓ１５）分析部１３０は、ファイルＦ１，Ｆ２それぞれを操作する異なるクライアントが属するネットワークが同じであるか否かを判定する。分析部１３０は、例えば、各クライアントのＩＰアドレスのサブネットアドレスにより、各クライアントが属するネットワークを特定する。分析部１３０は、両サブネットアドレスが同一であれば、両クライアントは同じネットワークに属していると判定し、両サブネットアドレスが異なっていれば、両クライアントは異なるネットワークに属していると判定する。また、分析部１３０は、何れかのクライアントのサブネットアドレスが、記憶部１１０に予め記憶されたサブネットアドレス（例えば、組織内のサブネットアドレスとして利用されるもの）と異なる場合、当該クライアントが属するネットワークを“不明”とする。分析部１３０は、判定結果に応じて、記憶部１１０に記憶された第２信頼度テーブル１１３の何れの条件に該当するかを確認する。
【００９１】
（Ｓ１６）分析部１３０は、ステップＳ１２〜Ｓ１５の確認結果と、第１信頼度テーブル１１２および第２信頼度テーブル１１３に登録された信頼度とを基に、式（１）を用いて信頼度Ｒを算出する。例えば、同じ分類の拡張子のファイルＦ２を開きながら作成されたファイルＦ１と、開かれているファイルＦ２の拡張子を考慮したサイズの差が７％のファイルが、同じクライアント上で操作されている場合を考える。この場合、分析部１３０は、信頼度Ｒ＝（０．８×１）×１００＝８０（％）と求めることができる。
【００９２】
なお、分析部１３０は、ステップＳ１２，Ｓ１３の例ではファイルＦ１の拡張子を、ファイルＦ２の拡張子に変更したときのサイズを算出し、ファイルＦ２のサイズと比較するものとした。一方、後述するように、分析部１３０は、ファイルＦ２の拡張子を、ファイルＦ１の拡張子に変更したときのサイズを算出し、ファイルＦ１のサイズと比較してもよい。この場合も、分析部１３０は、以降のステップＳ１４〜Ｓ１６を実行することで、信頼度Ｒを求めることができる。
【００９３】
図１３は、ファイル追跡結果の表示例（その１）を示す図である。例えば、分析部１３０は、クライアント３００から着目するファイルの指定を受け付ける。すると、分析部１３０は、記憶部１１０に記憶されたファイル操作ログ１１４に基づいて、着目するファイルがユーザによってどのように取り扱われたかを追跡し、ファイル追跡結果Ｇ１としてクライアント３００に提供する。クライアント３００は、クライアント３００が備えるディスプレイに、ファイル追跡結果Ｇ１の内容を表示する。例えば、ファイル追跡結果Ｇ１は、検索ルート、確度、発生日時、ユーザ名、操作および内容の項目を含む。
【００９４】
検索ルートは、追跡の起点となるファイルと、当該ファイルから複写や変名などによって派生して作成されたファイルの遷移をツリー形式で表す。例えば、あるファイルが、複写されていると、複写元ファイルおよび複写先ファイルというように２つのファイルに関する２つの系統を、「ファイル複写」というレコードの配下に追加する。
【００９５】
確度は、検索ルートの操作が行われたことに対する信頼度を表す。“０”は、確実に追える操作である。確度“０”以外では、“Ａ”、“Ｂ”、“Ｃ”、・・・のようにアルファベット記号で表し、アルファベット記号の中では“Ａ”が最も確度が高く、“Ｂ”、“Ｃ”、・・・の順番に確度が低くなっていく。
【００９６】
発生日時は、操作が発生した日時である。ユーザ名は、操作を行ったユーザのユーザＩＤである。操作は、操作の種別である。内容は、操作の対象となった具体的なファイルのパスである。
【００９７】
例えば、管理者は、クライアント３００が備える入力デバイスを用いて、ポインタＰ２により開閉式リストの開閉アイコン（プラス記号“＋”やマイナス記号“−”）を操作し、ファイル追跡結果Ｇ１の開閉式リストを開いたり閉じたりすることもできる。ファイル追跡結果の例では、「ファイル複写」のリストは開いた状態である（「ファイル複写」の開閉アイコンがマイナス記号）。「複写元ファイル」のリストは閉じた状態である（「複写元ファイル」の開閉アイコンがプラス記号）。「複写先ファイル」のリストは開いた状態である（「複写先ファイル」の開閉アイコンがマイナス記号）。
【００９８】
そして、ファイル追跡結果Ｇ１では、最下部の段に、「転写」の操作も表示されている。このように、分析部１３０は、ファイル操作ログ１１４に基づいて、特定のユーザによる転写の操作も追跡できる。その際、分析部１３０は、ファイル追跡結果Ｇ１として表示させる確度として、ファイル操作ログ１１４に記録された信頼度に応じたアルファベット記号を選択する。
【００９９】
図１４は、ファイル追跡結果の例（その１）を示す図である。図１４では、「顧客名簿．ｄｏｃ」というファイルの追跡結果を例示している。例えば、図１４では、２つの追跡ルートが例示されている。
【０１００】
１つ目の追跡ルートでは、「顧客名簿．ｄｏｃ」の複写（同名／同内容のファイルを別ディレクトリに作成）、複写先ファイルの変名（「顧客．ｄｏｃ」に変名）、変名後のファイルの持出という一連の操作の追跡結果が表されている。
【０１０１】
２つ目の追跡ルートでは、「顧客名簿．ｄｏｃ」の複写（同名／同内容ファイルを別ディレクトリに作成）、複写先のファイルの変名（「顧客．ｄｏｃ」に変名）、変名後のファイルの内容の「新規．ｔｘｔ」への転写という一連の操作の追跡結果が表されている。分析部１３０は、図１４のような画像を描画するための画像情報をファイル追跡結果として、クライアント３００に提供してもよい。
【０１０２】
図１５は、ファイル追跡結果の表示例（その２）を示す図である。図１３，図１４では、転写元のファイルに着目した表示例を説明したが、転写先のファイルに着目した表示方法も考えられる。例えば、「新規．ｔｘｔ」というファイルが更新されたときに、同じユーザによって同じ分類に属する複数のファイルが開かれていたというケースも起こり得る。その場合、分析部１３０は、ファイル操作ログ１１４に基づいて、着目するファイル「新規．ｔｘｔ」に対し、転写元ファイルの複数の候補と転写元としての確度の情報とをファイル追跡結果Ｇ２に含めて、クライアント３００に提供する。
【０１０３】
ファイル追跡結果Ｇ２の例では、ユーザ名“Ｕｓｅｒ１”のユーザにより、ファイル「新規．ｔｘｔ」が更新された際に、同ユーザによって２つのファイル「顧客．ｄｏｃ」および「見積．ｄｏｃｘ」が開かれていたことになる。なお、この例では、「見積．ｄｏｃｘ」は、パスが「￥￥ＦＳＶ￥ｎｅｔ￥見積．ｄｏｃｘ」であり、ファイルサーバ上のファイルである。例えば、分析部１３０は、ファイル操作ログ１１４に基づいて、転写元としての確度を、転写元ファイルの候補「顧客．ｄｏｃ」について“Ａ”、転写元ファイルの候補「見積．ｄｏｃｘ」について“Ｂ”とする。
【０１０４】
例えば、分析部１３０は、転写元ファイルの複数の候補それぞれの確度に応じて、ファイル追跡結果Ｇ２の出力方法を変更することもできる。具体的には、分析部１３０は、ファイル追跡結果Ｇ２において、当該複数の候補の表示行を所定の確度以上のものに絞り込む、確度の高い順に上側から下側へ（あるいは逆の順序で）並び変える、所定の確度以上の候補を強調表示する、などが考えられる。このように、管理サーバ１００は、決定した確度（信頼度）と第１のデータの識別情報（ファイル名）と第２のデータの識別情報とを対応付けてファイル操作ログ１１４に記録する。管理サーバ１００は、第１のデータまたは第２のデータの操作ログを表示部により表示する際に、当該確度に基づいて表示内容を制御する（例えば、表示内容の絞り込み、並び変え、強調表示など）。こうして、管理サーバ１００は、ユーザによる効率的なファイル追跡の確認作業を支援できる。
【０１０５】
図１６は、ファイル追跡結果の例（その２）を示す図である。図１５で例示したケースでは、ファイル「新規．ｔｘｔ」に対して、２つのファイル「顧客．ｄｏｃ」および「見積．ｄｏｃｘ」が転写元の候補となっている。そして、転写元としての確度は、「顧客．ｄｏｃ」の方が、「見積．ｄｏｃｘ」よりも高い。管理者は、クライアント３００のディスプレイに表示されたファイル追跡結果Ｇ２を確認することで、「新規．ｔｘｔ」に対して転写が行われた可能性があることを容易に把握できる。また、管理者は、転写元ファイルの複数の候補のうち、「顧客．ｄｏｃ」が転写元としての可能性が高いことも把握できる。分析部１３０は図１６のような画像を描画するための画像情報をファイル追跡結果として、クライアント３００に提供してもよい。
【０１０６】
なお、図１３〜図１６の例では、分析部１３０は、クライアント３００にファイル追跡結果を出力して、表示させるものとした。一方、分析部１３０は、ディスプレイ１１を用いて、ファイル追跡結果の内容を表示してもよい。
【０１０７】
次に、第２の実施の形態の管理サーバ１００の変形例を説明する。前述のように、図１２のステップＳ１２では、あるファイルの拡張子を別の拡張子に変更した場合（保存するデータ形式を変更した場合）の変更後のファイルのサイズを調べる際に、実際に変更を行ってみて調べるものとした。一方、拡張子間の変更に応じた、変更前後でのサイズ比を予め取得して記憶部１１０に格納しておくことも考えられる。例えば、記憶部１１０は、次に示すサイズ比テーブルを予め保持してもよい。
【０１０８】
図１７は、サイズ比テーブルの例を示す図である。サイズ比テーブル１１５は、変更前の拡張子、変更後の拡張子およびサイズ比の項目を含む。
変更前の拡張子の項目には、変更前の拡張子が登録される。変更後の拡張子の項目には、変更後の拡張子が登録される。サイズ比の項目には、拡張子の変更前後での、ファイルのサイズ比（＝変更後のサイズ／変更前のサイズ）が登録される。
【０１０９】
例えば、サイズ比テーブル１１５には、変更前の拡張子が“ｄｏｃ”、変更後の拡張子が“ｔｘｔ”、サイズ比が“Ｌ１”という情報が登録される。
分析部１３０は、図１２のステップＳ１２において、サイズ比テーブル１１５を用いて、拡張子を変更した後のファイルのサイズを見積もってもよい。例えば、分析部１３０は、“ｄｏｃ”の拡張子をもつファイルについて、“ｔｘｔ”の拡張子をもつファイルに変更する場合、元のファイルに、サイズ比Ｌ１を乗じることで、“ｔｘｔ”の拡張子をもつファイルに変更した後のファイルのサイズを見積もれる。このように、分析部１３０は、サイズ比テーブル１１５を用いて、拡張子変更後のファイルのサイズを見積もってもよい。
【０１１０】
更に、分析部１３０は、ステップＳ１２，Ｓ１３の例ではファイルＦ１の拡張子を、ファイルＦ２の拡張子に変更したときのサイズを算出し、ファイルＦ２のサイズと比較するものとした。一方、分析部１３０は、ファイルＦ２の拡張子を、ファイルＦ１の拡張子に変更したときのサイズを算出し、ファイルＦ１のサイズと比較してもよい。そこで、以下では、信頼度分析の他の例の手順を説明する。
【０１１１】
図１８は、信頼度分析の他の例を示すフローチャートである。以下、図１８に示す処理をステップ番号に沿って説明する。ここで、図１８の手順は、図１２の手順におけるステップＳ１２に代えて、ステップＳ１２ａを実行する点が異なる。そこで、以下では、ステップＳ１２ａについて主に説明し、他のステップの説明を省略する。
【０１１２】
（Ｓ１２ａ）分析部１３０は、開いているファイルＦ２の拡張子を、今回作成または更新されたファイルＦ１の拡張子に変更した場合のサイズを調べる。具体的には、分析部１３０は、ファイルＦ２の拡張子を、ファイルＦ１の拡張子に変更して実際に保存してみて、ファイルＦ２をファイルＦ１の拡張子に変更した場合のサイズを得る。なお、分析部１３０は、前述のように、サイズ比テーブル１１５を用いて、拡張子を変更した後のサイズを見積もってもよい。分析部１３０は、求めたサイズをファイルＦ２に対応付けて、今回受信したファイルＦ１の操作ログに追加する。例えば、分析部１３０は、ファイル操作ログ１１４の追跡対象ファイル１，２，・・・などの項目の中に、ファイルＦ２の拡張子を、ファイルＦ１の拡張子に変更した場合のサイズを、ファイルＦ２に対応付けて記録してもよい（この場合、ファイルＦ１については、現拡張子におけるサイズのみを記録しておけばよい）。そして、処理をステップＳ１３に進める。
【０１１３】
分析部１３０は、ステップＳ１３以降の手順を実行することで、図１２の手順と同様に、ファイルＦ２からファイルＦ１への転写の操作に対する信頼度Ｒを求めることができる。
【０１１４】
ここで、近年は、情報処理システムの統合が進み、今までは別々に管理されていた情報が統合されることによって、情報の価値が高まっている。ファイル追跡機能は、例えば、情報漏えい事故が起こった際に、原因究明の手段として用いられている。ユーザは、ファイル追跡機能を用いることで、ファイルが今どこにあるのか追跡し、重要ファイルの複写状況やファイル名の変更の状況を確認できる。
【０１１５】
例えば、「顧客名簿．ｘｌｓ」に対してどのような操作が行われたか追跡する場合、ユーザは、追跡したいファイルのファイル操作を管理サーバ１００に対して指定する。管理サーバ１００は、指定されたファイル操作を起点に、同ファイル名が含まれる操作をファイル操作ログから検索することで、ファイルに対してどのような操作が行われたかを追跡する。管理サーバ１００は、ファイルの変名操作もファイル操作ログに記録するので、ファイルが変名された場合も変名後のファイルを同様にファイル名で追跡できる。
【０１１６】
しかし、このようにファイル名を検索する方法では、ファイルの中身をファイル名が異なるファイルにコピーまたは転写された場合に追跡できない。ファイル内容をコピーまたは転写された場合も追跡するにはファイルの中身も考慮した追跡を要する。この場合、人力で全てのファイルの中身を確認したり、中身のコピーを行ったアプリの動作を解析したりする作業をユーザに課すと、ユーザに対して多大な労力を強いることになる。
【０１１７】
また、追跡対象を絞り込む方法として、ファイルの中身を検索し、ファイルの中にクレジットカード番号や電話番号などの重要情報が含まれているか否かを判定することも考えられる。しかし、この方法では、事前に調べたい重要情報の特徴（例えば、クレジットカードの桁数など）を定義しておかねばならない。そのため、例えば、マイナンバー（登録商標）などの守るべき情報が増えると、当該情報の特徴を定義しなければファイルの中身から検索することができない。したがって、含まれている情報が多岐に渡る一般的な秘密文書などをファイルの中身を検索して秘密文書であるか否かを判断することは困難である。そのため、ファイルの中身に依らずに追跡対象を絞り込むことが求められる。
【０１１８】
特に、前述のように、悪意のあるユーザが情報の流出を目的とする場合、ファイルのコピーアンドペーストや手入力による転写により、ファイルの内容が丸ごとコピーされる可能性が高い。単なるファイルの複写では既存のファイル追跡機能によって追跡されるからである。よって、内部不正による情報流出を追跡するためには、内容の丸ごとの転写の追跡、絞り込みを行えることが重要となる。
【０１１９】
絞り込みを行う方法としては、拡張子の組合せ毎に点数を決めておき、閾値以上の点数の拡張子に追跡対象を絞り込むことも考えられる。しかし、比較的点数の高い拡張子の組合せしかない場合は、拡張子の組合せで絞り込んだとしても、追跡対象は膨大になってしまう。更なる絞り込みのために、サイズの差で絞り込むことも考えられる。この場合、同じ拡張子の場合は、単純にファイルのサイズの差で追跡対象を絞り込むことができる。しかし、拡張子が変更された場合、サイズも変わるので、単純なサイズの差の比較では正確に絞り込むことが難しい。
【０１２０】
そこで、管理サーバ１００は、転写元／転写先の候補となっている２つのファイルについて、両ファイルの拡張子が異なる場合、両ファイルの拡張子を一方の拡張子に合わせたサイズを求めて、他方のファイルのサイズと比較し、コピー操作の発生を推定する。
【０１２１】
こうして、管理サーバ１００は、あるファイルに含まれる内容の、コピーアンドペーストや手入力での他のファイルへの転写を追跡することができる。これにより、データ内容の転写によるデータ持出しの把握を支援できる。特に、転写元と転写先とで拡張子が異なる場合に、転写元ファイルの拡張子を転写先の拡張子に変更した場合のファイルサイズを求めて、転写先ファイルのファイルサイズと比較することで、転写が行われた転写先ファイルを適切に特定できる可能性が高まる。このため、例えば、転写先ファイルの候補が複数存在していたとしても、転写先ファイルの候補を適切に絞り込める。コピー先候補を適切に絞り込むことで、ユーザによる確認作業の負担や追跡調査の遅延を軽減することができる。その結果、管理サーバ１００は、内部不正による情報の持出管理を一層強化し、情報漏えいの抑止に貢献することができる。
【０１２２】
なお、第１の実施の形態の情報処理は、演算部１ｂにプログラムを実行させることで実現できる。また、第２の実施の形態の情報処理は、プロセッサ１０１にプログラムを実行させることで実現できる。プログラムは、コンピュータ読み取り可能な記録媒体１３に記録できる。
【０１２３】
例えば、プログラムを記録した記録媒体１３を配布することで、プログラムを流通させることができる。また、プログラムを他のコンピュータに格納しておき、ネットワーク経由でプログラムを配布してもよい。コンピュータは、例えば、記録媒体１３に記録されたプログラムまたは他のコンピュータから受信したプログラムを、ＲＡＭ１０２やＨＤＤ１０３などの記憶装置に格納し（インストールし）、当該記憶装置からプログラムを読み込んで実行してもよい。
【符号の説明】
【０１２４】
１  データ管理装置
１ａ  記憶部
１ｂ  演算部
２  記憶装置
Ｄ１  第１のデータ
Ｄ２  第２のデータ
【図１】
2017151854.tif 000003
【図２】
2017151854.tif 000004
【図３】
2017151854.tif 000005
【図４】
2017151854.tif 000006
【図５】
2017151854.tif 000007
【図６】
2017151854.tif 000008
【図７】
2017151854.tif 000009
【図８】
2017151854.tif 000010
【図９】
2017151854.tif 000011
【図１０】
2017151854.tif 000012
【図１１】
2017151854.tif 000013
【図１２】
2017151854.tif 000014
【図１３】
2017151854.tif 000015
【図１４】
2017151854.tif 000016
【図１５】
2017151854.tif 000017
【図１６】
2017151854.tif 000018
【図１７】
2017151854.tif 000019
【図１８】
2017151854.tif 000020