(57)【特許請求の範囲】
【請求項１】
機器のソフトウェア構成の変更を指示する変更指示に対する、前記機器の前記ソフトウェア構成を変更しない旨の申請を受け付ける受付部と、
前記変更指示に関連する時点及び前記受付部により受け付けられた前記申請の時点に基づき、前記申請を否認する処理部と
を有することを特徴とする管理装置。
【請求項２】
前記処理部は、前記申請を否認する場合に、通知又は前記機器のネットワークからの遮断を行う
ことを特徴とする請求項１記載の管理装置。
【請求項３】
前記処理部は、前記変更指示が行われた時点と前記申請が行われた前記時点との間の時間に基づき、前記申請を否認する
ことを特徴とする請求項１又は２に記載の管理装置。
【請求項４】
前記変更指示は、変更期限までの前記ソフトウェア構成の変更を指示するものであり、
前記処理部は、前記申請が行われた前記時点と前記変更期限との間の時間に基づき、前記申請を否認する
ことを特徴とする請求項１乃至３のいずれか１項に記載の管理装置。
【請求項５】
前記処理部は、前記申請のうちの理由が同じである前記申請の件数に基づき、前記申請を否認する
ことを特徴とする請求項１乃至４のいずれか１項に記載の管理装置。
【請求項６】
前記処理部は、前記変更指示に関連する時点と前記申請の時点との間の時間が第１の閾値を下回る場合に第１の通知又は前記機器のネットワークからの遮断を行い、前記時間が前記第１の閾値よりも小さな第２の閾値を下回る場合に第２の通知又は前記機器の前記ネットワークからの遮断を行う
ことを特徴とする請求項１乃至５のいずれか１項に記載の管理装置。
【請求項７】
機器のソフトウェア構成の変更を指示する変更指示に対する、前記機器の前記ソフトウェア構成を変更しない旨の申請を受け付け、
前記変更指示に関連する時点及び受け付けられた前記申請の時点に基づき、前記申請を否認する
ことを特徴とする管理方法。
【請求項８】
コンピュータに、
機器のソフトウェア構成の変更を指示する変更指示に対する、前記機器の前記ソフトウェア構成を変更しない旨の申請を受け付け、
前記変更指示に関連する時点及び受け付けられた前記申請の時点に基づき、前記申請を否認する
ことを実行させるプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、管理装置、管理方法及び記録媒体に関する。
【背景技術】
【０００２】
特許文献１には、コンピュータシステム管理装置が記載されている。特許文献１に記載のコンピュータシステム管理装置は、複数のコンピュータがネットワークにより接続されたコンピュータシステムのセキュリティに必須の対策が確実に講じられるよう管理するものである。【０００３】
上記特許文献１には、コンピュータシステム管理装置から送られた必須アプリの「インストール指示画面」がコンピュータ側で表示されることが記載されている。さらに、特許文献１には、「インストール指示画面」中の「インストールする」ボタンが利用者によりクリックされない場合、すなわち「インストールしない」ボタンがクリックされた場合、インストールしない理由の入力画面が表示されることが記載されている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特許第５７３０３４７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
特許文献１に記載のコンピュータシステム管理装置は、入力されたインストールしない理由を未インストール理由表に登録し、必須アプリがインストールされていないと判別した場合に正当な理由が登録されているか否かを判別する。しかしながら、特許文献１に記載のコンピュータ管理装置では、正当な理由が登録されているか否かを判定しているにすぎないため、その理由の入力について適否を判断することはできない。【０００６】
本発明の目的は、上述した課題に鑑み、機器のソフトウェア構成の変更をしない旨の申請を適切に否認することができる管理装置、管理方法及び記録媒体を提供することにある。
【課題を解決するための手段】
【０００７】
本発明の一観点によれば、機器のソフトウェア構成の変更を指示する変更指示に対する、前記機器の前記ソフトウェア構成を変更しない旨の申請を受け付ける受付部と、前記変更指示に関連する時点及び前記受付部により受け付けられた前記申請の時点に基づき、前記申請を否認する処理部とを有することを特徴とする管理装置が提供される。【０００８】
本発明の他の観点によれば、機器のソフトウェア構成の変更を指示する変更指示に対する、前記機器の前記ソフトウェア構成を変更しない旨の申請を受け付け、前記変更指示に関連する時点及び受け付けられた前記申請の時点に基づき、前記申請を否認することを特徴とする管理方法が提供される。【０００９】
本発明のさらに他の観点によれば、コンピュータに、機器のソフトウェア構成の変更を指示する変更指示に対する、前記機器の前記ソフトウェア構成を変更しない旨の申請を受け付け、前記変更指示に関連する時点及び受け付けられた前記申請の時点に基づき、前記申請を否認することを実行させるプログラムが記録された記録媒体が提供される。
【発明の効果】
【００１０】
本発明によれば、機器のソフトウェア構成の変更をしない旨の申請を適切に否認することができる。
【図面の簡単な説明】
【００１１】
【図１】図１は、本発明の第１実施形態による管理装置及びその管理対象の機器を含むシステムの全体構成の一例を示す概略図である。
【図２】図２は、本発明の第１実施形態による管理装置及びその管理対象の機器のハードウェア構成の一例を示すブロック図である。
【図３】図３は、本発明の第１実施形態による管理装置、機器及び情報配信サーバの処理を示すシーケンス図である。
【図４Ａ】図４Ａは、本発明の第１実施形態による管理装置による対策指示の機器における表示画面の例を示す概略図である。
【図４Ｂ】図４Ｂは、本発明の第１実施形態による管理装置による対策指示の機器における表示画面の例を示す概略図である。
【図５】図５は、本発明の第１実施形態による管理装置に対する例外申請の申請画面の例を示す概略図である。
【図６】図６は、本発明の第１実施形態による管理装置により実行される管理方法を示すフローチャートである。
【図７】図７は、本発明の第２実施形態による管理装置により実行される管理方法を示すフローチャートである。
【図８】図８は、本発明の第３実施形態による管理装置により実行される管理方法を示すフローチャートである。
【図９】図９は、本発明の第４実施形態による管理装置により実行される管理方法を示すフローチャートである。
【図１０】図１０は、本発明の第５実施形態による管理装置により実行される管理方法を示すフローチャートである。
【図１１】図１１は、本発明の第６実施形態による管理装置により実行される管理方法を示すフローチャートである。
【図１２】図１２は、本発明の第７実施形態による管理装置により実行される管理方法を示すフローチャートである。
【図１３】図１３は、本発明の第８実施形態による管理装置により実行される管理方法を示すフローチャートである。
【図１４】図１４は、本発明の第９実施形態による管理装置により実行される管理方法を示すフローチャートである。
【図１５】図１５は、本発明の第１０実施形態による管理装置により実行される管理方法を示すフローチャートである。
【図１６】図１６は、本発明の第１１実施形態による管理装置により実行される管理方法を示すフローチャートである。
【図１７】図１７は、本発明の他の実施形態による管理装置の機能構成を示すブロック図である。
【発明を実施するための形態】
【００１２】
［第１実施形態］
本発明の第１実施形態による管理装置及び管理方法について図１乃至図６を用いて説明する。
【００１３】
まず、本実施形態による管理装置及びその管理対象の機器を含むシステムの全体構成の一例について図１を用いて説明する。図１は、本実施形態による管理装置及びその管理対象の機器を含むシステムの全体構成の一例を示す概略図である。
【００１４】
図１に示すように、例えば企業等の組織１内において構築されたシステム２は、本実施形態による管理装置１０と、複数の機器１２と、管理端末１４と、ネットワーク遮断装置１６と、ファイアウォール／プロキシサーバ１８とを含んでいる。管理装置１０、複数の機器１２、管理端末１４、ネットワーク遮断装置１６及びファイアウォール／プロキシサーバ１８は、組織内ネットワーク２０に通信可能に接続されている。
【００１５】
組織１の内部ネットワークである組織内ネットワーク２０は、ファイアウォール／プロキシサーバ１８を介してインターネット２２に接続されている。組織内ネットワーク２０に対する外部ネットワークであるインターネット２２には、情報配信サーバ２４が接続されている。
【００１６】
本実施形態による管理装置１０は、組織１内において利用される複数の機器１２を管理対象とする情報処理装置である。管理装置１０は、管理対象とする複数の機器１２に潜む脆弱性の把握及び脆弱性に対する対策の実行を支援する。管理装置１０は、組織１の設備としてその組織１により管理、運用されるオンプレミス型のものであってもよいし、組織１とは別組織の企業等により管理、運用されるクラウド型のものであってもよい。
【００１７】
機器１２は、組織１内において利用者Ｕにより利用され又は管理される機器であり、例えば、クライアントＰＣ（Personal  Computer）、サーバ等の情報処理装置である。利用者Ｕには、機器１２を利用する者自体のほか、一又は複数の機器１２を管理する機器管理者が含まれうる。
【００１８】
複数の機器１２は、組織内ネットワーク２０において、同一のセグメントに接続されたものであってもよいし、互いに異なる複数のセグメントに接続されたものであってもよい。なお、機器１２は、必ずしもクライアントＰＣ、サーバ等の情報処理装置に限定されるものではなく、組織内ネットワーク２０に接続可能な機器であればよい。
【００１９】
管理端末１４は、組織１内においてシステム２のセキュリティを管理する管理者Ａにより利用される情報処理端末である。管理者Ａは、管理端末１４を介して、管理装置１０の設定及び操作を行い、また、管理装置１０による処理結果を確認することができる。また、管理者Ａは、管理端末１４を介して管理装置１０からの通知を受けることができる。
【００２０】
ネットワーク遮断装置１６は、管理装置１０による指示に従って特定の機器１２のネットワーク通信を遮断するネットワーク機器である。例えば、組織内ネットワーク２０において複数のセグメントが構成されている場合、ネットワーク遮断装置１６は、セグメントごとに設けることができる。ネットワーク遮断装置１６は、例えば、組織内ネットワーク２０への機器１２によるアクセスを遮断するように構成することできる。また、ネットワーク遮断装置１６は、例えば、組織内ネットワーク２０への機器１２によるアクセスを許可する一方で、インターネット２２等の組織１の外部ネットワークへの機器１２によるアクセスを遮断するように構成することもできる。
【００２１】
ファイアウォール／プロキシサーバ１８は、ファイアウォール機能及びプロキシ機能を有するネットワーク機器である。ファイアウォール機能は、インターネット２２を介した外部ネットワークから組織内ネットワーク２０へのアクセス、及びインターネット２２を介した組織内ネットワーク２０から外部ネットワークへのアクセスを制御する。プロキシ機能は、組織内ネットワーク２０とインターネット２２との接続を中継する。
【００２２】
組織内ネットワーク２０は、例えば、専用線又は仮想専用線で構築されたイントラネットである。組織内ネットワーク２０は、例えば、組織１の拠点ごとに構築された複数のセグメントを含んでいてもよい。
【００２３】
情報配信サーバ２４は、インターネット２２を介して、機器１２において実行されるソフトウェアに関する脆弱性情報を管理装置１０に定期又は不定期に配信するサーバである。脆弱性情報が配信されるソフトウェアには、例えば、オペレーティングシステム（Operating  System、ＯＳ）、ミドルウェア、アプリケーションソフトウェア等が含まれる。脆弱性情報には、例えば、脆弱性の内容、脆弱性の影響度、脆弱性の調査方法、脆弱性の対策方法等が含まれる。情報配信サーバ２４は、例えば、ＯＳベンダー、ソフトウェアベンダーにより公開される脆弱性情報や、脆弱性情報を発信する組織により発信される脆弱性情報を収集する。情報配信サーバ２４は、収集した脆弱性情報のうち、組織１におけるシステム２に必要な脆弱性情報を管理装置１０に配信する。なお、管理装置１０には、手動で脆弱性情報を入力することも可能である。
【００２４】
こうして、組織１において、管理装置１０と、その管理対象である複数の機器１２とを含むシステム２が構築されている。以下、管理装置１０及び機器１２についてさらに図２を用いて説明する。図２は、本実施形態による管理装置１０及びその管理対象の機器１２のハードウェア構成の一例を示すブロック図である。
【００２５】
管理装置１０は、図２に示すように、ＣＰＵ（Central  Processing  Unit）１０１と、ＲＯＭ（Read  Only  Memory）１０２と、ＲＡＭ（Random  Access  Memory）１０３と、記憶装置１０４と、通信部１０５とを有している。ＣＰＵ１０１、ＲＯＭ１０２、ＲＡＭ１０３、記憶装置１０４及び通信部１０５は、共通のバスライン１０６に接続されている。
【００２６】
ＣＰＵ１０１は、ＲＯＭ１０２、記憶装置１０４等に記憶されたプログラムに従って動作し、管理装置１０全体の動作を制御する制御部として機能する。ＲＡＭ１０３は、ＣＰＵ１０１の動作に必要なメモリ領域を提供する。特に、ＣＰＵ１０１は、例えば記憶装置１０４にインストールされたマネージャソフトウェアを実行することにより、以下の処理を実行する。
【００２７】
ＣＰＵ１０１は、情報配信サーバ２４から配信される脆弱性情報を通信部１０５を介して受信する。ＣＰＵ１０１は、受信した脆弱性情報を記憶装置１０４のデータベースに格納して蓄積する。
【００２８】
また、ＣＰＵ１０１は、システム２における機器１２から送信される機器１２の構成情報を通信部１０５を介して受信する。ＣＰＵ１０１は、受信した構成情報を記憶装置１０４のデータベースに格納して蓄積する。構成情報のデータベースでは、機器１２の構成情報が、機器１２の識別情報と関連付けられて格納されている。
【００２９】
また、ＣＰＵ１０１は、脆弱性調査の指示を通信部１０５を介して機器１２に送信する。ＣＰＵ１０１は、記憶装置１０４のデータベースに格納された脆弱性情報及び構成情報に基づき、指示する脆弱性調査の内容を決定することができる。脆弱性調査の指示には、脆弱性を発見するための検索式等を含む脆弱性の発見方法が含まれている。なお、構成情報から脆弱性が明らかな場合等には、脆弱性調査の指示、並びにこれを受けた脆弱性調査の実施、その結果の送信及び集計は省略してもよい。
【００３０】
また、ＣＰＵ１０１は、脆弱性調査を行った複数の機器１２から送信される脆弱性調査の結果を通信部１０５を介して受信する。ＣＰＵ１０１は、受信した脆弱性調査の結果を記憶装置１０４のデータベースに格納する。脆弱性調査の結果のデータベースでは、機器１２についての脆弱性調査の結果が、機器１２の識別情報と関連付けられて格納されている。
【００３１】
また、ＣＰＵ１０１は、データベースに格納された脆弱性調査の結果を集計することができる。管理者Ａは、ＣＰＵ１０１により集計された脆弱性調査の結果を管理端末１４において確認することができる。
【００３２】
また、ＣＰＵ１０１は、脆弱性に対する対策指示を通信部１０５を介して機器１２に送信する。より具体的には、ＣＰＵ１０１は、脆弱性に対する対策指示として、機器１２におけるソフトウェア構成の変更を指示する変更指示を送信する。脆弱性に対する対策は、例えば、脆弱性調査の調査結果を分析した管理者Ａにより立案されたものである。また、脆弱性に対する対策は、例えば、脆弱性調査の調査結果に基づき、予め規定された対策ルールに従ってＣＰＵ１０１により自動的に生成されたものであってもよい。対策指示は、その対策を実施してソフトウェア構成を変更すべき期限である変更期限を設定したものであってもよい。また、ＣＰＵ１０１は、脆弱性に対する対策指示を、上述のように送信するとともに記憶装置１０４のデータベースに格納する。なお、ＣＰＵ１０１は、機器１２を対象とする対策指示を、その機器１２以外の端末へ送信することも可能である。例えば、機器１２がサーバである場合、ＣＰＵ１０１は、そのサーバである機器１２の管理者が使用する端末に対策指示を送信することが可能である。
【００３３】
機器１２のソフトウェア構成の変更としては、特に限定されるものではないが、例えば、ソフトウェアに対するパッチの適用、ソフトウェアのアップデート又はアップグレード、ソフトウェアのインストール又はアンインストールが挙げられる。また、機器１２のソフトウェア構成の変更として、例えば、サービスの実行又は停止、ソフトウェアの設定変更、ファイルの作成又は削除等が挙げられる。なお、ここにいうソフトウェアには、ＯＳ、ミドルウェア、アプリケーションソフトウェア及びその他のあらゆるソフトウェアが含まれる。
【００３４】
また、ＣＰＵ１０１は、受付部として機能し、脆弱性に対する対策指示を受けた機器１２から送信される例外申請を通信部１０５を介して受信して受け付ける。例外申請は、脆弱性に対する対策指示において指示されたソフトウェア構成の変更をしない旨の申請である。ＣＰＵ１０１は、受信した例外申請を記憶装置１０４のデータベースに格納する。
【００３５】
また、ＣＰＵ１０１は、処理部として機能し、記憶装置１０４のデータベースに格納された例外申請の特徴に基づき、後述するように例外申請を承認又は否認する。さらに、ＣＰＵ１０１は、処理部として機能し、後述するように例外申請を否認した場合において対応処理を実行する。対応処理は、例えば、利用者Ｕ及び／又は管理者Ａに対する通知、機器１２のネットワークからの遮断である。
【００３６】
記憶装置１０４には、例えば、管理装置１０においてＣＰＵ１０１により実行されるＯＳ、ミドルウェア、アプリケーションソフトウェア等のソフトウェアがインストールされている。アプリケーションソフトウェアには、上記マネージャソフトウェアのほか、管理装置１０において実現すべき機能に応じた種々のアプリケーションソフトウェアが含まれる。
【００３７】
また、記憶装置１０４には、上述した脆弱性情報、構成情報、脆弱性調査の結果及び例外申請が格納される各データベースが記憶されている。
【００３８】
通信部１０５は、組織内ネットワーク２０に接続され、ＣＰＵ１０１による制御に従って、組織内ネットワーク２０を介した情報の送受信を行う。
【００３９】
一方、機器１２は、図２に示すように、ＣＰＵ１２１と、ＲＯＭ１２２と、ＲＡＭ１２３と、記憶装置１２４と、通信部１２５と、入力装置１２６と、表示装置１２７とを有している。ＣＰＵ１２１、ＲＯＭ１２２、ＲＡＭ１２３、記憶装置１２４、通信部１２５、入力装置１２６及び表示装置１２７は、共通のバスライン１２８に接続されている。
【００４０】
ＣＰＵ１２１は、ＲＯＭ１２２、記憶装置１２４等に記憶されたプログラムに従って動作し、機器１２全体の動作を制御する制御部として機能する。ＲＡＭ１２３は、ＣＰＵ１２１の動作に必要なメモリ領域を提供する。特に、ＣＰＵ１２１は、例えば記憶装置１２４にインストールされたエージェントソフトウェアを実行することにより、以下の処理を実行する。
【００４１】
ＣＰＵ１２１は、機器１２の構成情報を定期又は不定期に収集する。構成情報には、例えば、ＯＳの種別、ＯＳのバージョン、ＣＰＵ名、ＩＰ（Internet  Protocol）アドレス、ＭＡＣ（Media  Access  Control）アドレス、サービスの起動状況、インストールされているソフトウェアに関する情報が含まれる。また、構成情報には、ＣＰＵ名以外の機器１２のハードウェアに関する情報が含まれていてもよい。また、ＣＰＵ１２１は、収集した構成情報を管理装置１０に定期又は不定期に通信部１２５を介して送信する。この際、ＣＰＵ１２１は、機器１２を特定するＩＤ（Identification）、機器名等の識別情報と関連付けて構成情報を送信する。
【００４２】
また、ＣＰＵ１２１は、管理装置１０から送信される脆弱性調査の指示を通信部１２５を介して受信する。また、ＣＰＵ１２１は、脆弱性調査の指示に含まれる脆弱性の発見方法を用いて機器１２の脆弱性調査を実施し、その機器１２における脆弱性の有無を調査する。
【００４３】
脆弱性調査において、ＣＰＵ１２１は、脆弱性の発見方法に従って、次の確認処理を実施する。ＣＰＵ１２１は、例えば、ファイル、フォルダ、レジストリを確認する。また、ＣＰＵ１２１は、例えば、ソフトウェアのバージョンを確認する。また、ＣＰＵ１２１は、例えば、コマンドの実行結果を確認する。また、ＣＰＵ１２１は、例えば、サービス又はプロセスの起動状況を確認する。また、ＣＰＵ１２１は、例えば、特定の入力に対する応答を確認する。また、ＣＰＵ１２１は、例えば、機器１２におけるシステム情報を取得して確認する。ＣＰＵ１２１は、これらの確認処理を実施することにより、機器１２における脆弱性の有無を調査することができる。
【００４４】
また、ＣＰＵ１２１は、上述のようにして行った脆弱性調査の結果を通信部１２５を介して管理装置１０に送信する。この際、ＣＰＵ１２１は、機器１２を特定するＩＤ、機器名等の識別情報と関連付けて脆弱性調査の結果を送信する。
【００４５】
また、ＣＰＵ１２１は、管理装置１０から送信される脆弱性に対する対策指示を通信部１２５を介して受信する。また、ＣＰＵ１２１は、受信した対策指示に含まれる対策の内容を示す通知画面を表示装置１２７に表示する。これにより、ＣＰＵ１２１は、機器１２の利用者Ｕに対して、管理装置１０から受信した対策指示を通知して、その指示に従った対策の実施を促す。
【００４６】
なお、管理装置１０から受信した対策指示は、自動で実施可能な対策の強制的な指示である場合がありうる。この場合、ＣＰＵ１２１は、管理装置１０から受信した対策の強制的な指示に従って、脆弱性に対する対策を自動で実施する。以下では、特に明示しないかぎり、管理装置１０から受信した対策指示が、利用者Ｕの手動による対策の実施を求める対策指示である場合について説明する。
【００４７】
また、脆弱性に対する対策を実施する場合、ＣＰＵ１２１は、入力装置１２６を介して入力される利用者Ｕの指示に従って、脆弱性に対する対策として、上述したソフトウェア構成の変更を実施する。利用者Ｕは、表示装置１２７に表示される対策の内容に従って、入力装置１２６を介して機器１２のソフトウェア構成を変更することができる。
【００４８】
一方、脆弱性に対する対策を実施しない場合、ＣＰＵ１２１は、例外申請を通信部１２５を介して管理装置１０に送信する。例外申請は、上述のように、脆弱性に対する対策指示において指示されたソフトウェア構成の変更を例外的に行わない旨の申請である。ＣＰＵ１２１は、入力装置１２６を介して入力される利用者Ｕの指示に従って例外申請を送信することができる。
【００４９】
また、ＣＰＵ１２１は、管理装置１０から送信される通知を通信部１２５を介して受信する。ＣＰＵ１２１は、受信した通知の内容を表示装置１２７にポップアップ表示等により表示することができる。
【００５０】
記憶装置１２４には、例えば、機器１２においてＣＰＵ１２１により実行されるＯＳ、ミドルウェア、アプリケーションソフトウェア等のソフトウェアがインストールされている。アプリケーションソフトウェアには、上記エージェントソフトウェアのほか、機器１２において実現すべき機能に応じた種々のアプリケーションソフトウェアが含まれる。
【００５１】
また、記憶装置１２４には、機器１２において作成されたデータ、機器１２における処理に必要なデータ等の各種のデータが記憶される。
【００５２】
通信部１２５は、組織内ネットワーク２０に接続され、ＣＰＵ１２１による制御に従って、組織内ネットワーク２０を介した情報の送受信を行う。
【００５３】
入力装置１２６は、機器１２に情報、指示等を入力するためのものである。入力装置１２６は、特に限定されるものではないが、キーボード、ポインティングデバイス等である。また、入力装置１２６は、表示装置１２７に組み込まれたタッチパネルであってもよい。
【００５４】
表示装置１２７は、機器１２からの出力を表示するためのものである。表示装置１２７は、特に限定されるものではないが、例えば、液晶ディスプレイ、有機ＥＬ（Electroluminescence）ディスプレイ等である。
【００５５】
次に、本実施形態による管理装置１０により実行される管理方法についてさらに図３乃至図６を用いて説明する。図３は、本実施形態による管理装置１０、機器１２及び情報配信サーバ２４の処理を示すシーケンス図である。図４Ａ、４Ｂは、本実施形態による管理装置１０による対策指示の通知画面の例を示す概略図である。図５は、本実施形態による管理装置１０に対する例外申請の申請画面の例を示す概略図である。図６は、本実施形態による管理装置１０により実行される管理方法を示すフローチャートである。
【００５６】
図３に示すように、情報配信サーバ２４は、インターネット２２を介して、脆弱性情報を管理装置１０に定期又は不定期に配信する（ステップＳ１０）。
【００５７】
システム２に含まれる管理装置１０において、ＣＰＵ１０１は、情報配信サーバ２４から配信された脆弱性情報をデータベースとして格納して蓄積する（ステップＳ１２）。こうして、システム２の脅威となりうる脆弱性に関する脆弱性情報が、管理装置１０において一元的に管理される。
【００５８】
また、システム２に含まれる各機器１２において、ＣＰＵ１２１は、その機器１２の構成情報を定期又は不定期に収集する（ステップＳ１４）。続いて、ＣＰＵ１２１は、収集した構成情報を管理装置１０に送信する（ステップＳ１６）。
【００５９】
管理装置１０において、ＣＰＵ１０１は、機器１２から送信された構成情報をデータベースに格納して蓄積する（ステップＳ１８）。
【００６０】
また、管理装置１０において、ＣＰＵ１０１は、脆弱性調査の指示を機器１２に送信する（ステップＳ２０）。ＣＰＵ１０１は、脆弱性情報及び構成情報に基づき脆弱性調査の内容を決定することができる。
【００６１】
各機器１２において、ＣＰＵ１２１は、管理装置１０から送信された脆弱性調査の指示を受けて、脆弱性調査を実施する（ステップＳ２２）。また、各機器１２において、ＣＰＵ１２１は、実施した脆弱性調査の結果を管理装置１０に送信する（ステップＳ２４）。
【００６２】
管理装置１０において、ＣＰＵ１０１は、各機器１２から送信された脆弱性調査の結果を集計する（ステップＳ２６）。
【００６３】
次いで、管理装置１０において、ＣＰＵ１０１は、脆弱性に対する対策指示を機器１２に送信する（ステップＳ２８）。
【００６４】
機器１２に対して送信された脆弱性に対する対策指示は、機器１２において表示装置１２７に表示させることができる。図４Ａ、４Ｂは、管理装置１０による対策指示の機器１２における表示画面の例を示す概略図である。図４Ａは、対策指示をリスト形式で表示するビューア画面の例を示している。図４Ｂは、対策の詳細を示す詳細画面の例を示している。
【００６５】
機器１２において、ＣＰＵ１２１は、管理装置１０から脆弱性に対する対策指示を受けると、例えば、図４Ａに示すビューア画面４０を表示装置１２７にポップアップ表示させて利用者Ｕに対して対策の実施を促すことができる。また、ＣＰＵ１２１は、ビューア画面４０における［ＧＯ］ボタン４０６がクリックされると、図４Ｂに示す詳細画面５０を表示装置１２７に表示させることができる。さらに、ＣＰＵ１２１は、詳細画面５０における［理由設定］ボタン５１０ｃがクリックされると、図５に示す理由設定画面６０を表示装置１２７に表示させることができる。
【００６６】
ビューア画面４０には、脆弱性に対する対策がリスト形式で表示された対策指示リスト欄４０２が設けられている。対策指示リスト欄４０２には、対策を特定する識別子である「ＩＤ」、対策の重要度の高低を示す「重要度」、対策が実施されているか否か示す「状態」、対策内容を説明する「説明」、及び例外申請の理由を示す「理由」が対策ごとに表示されている。
【００６７】
また、対策指示リスト欄４０２に表示された対策ごとに、対策を選択するためのチェックボックス４０４と、対策の詳細を示す詳細画面を表示するための［ＧＯ］ボタン４０６とが設けられている。［ＧＯ］ボタン４０６をクリックすることにより、その対策の詳細を表示する図４Ｂに示す詳細画面５０を表示させることができる。
【００６８】
また、ビューア画面４０には、対策の実施を指示するための［対策の実施］ボタン４０８が設けられている。対策が自動で実施可能な場合、その対策のチェックボックス４０４をチェックして［対策の実施］ボタン４０８をクリックすることにより、その対策を実施することができる。そのほか、ビューア画面４０には、脆弱性調査の再実施を指示するための［再調査］ボタン４１０等が設けられている。
【００６９】
詳細画面５０には、リスク表示欄５０２が設けられている。リスク表示欄５０２は、対策が対象とする脆弱性によるリスクに関する情報を表示する。リスク表示欄５０２には、リスクを特定する識別子である「リスクＩＤ」、対策を示す「タイトル」、脆弱性の概要を示す「概要」、対策の対象となる製品を示す「対象製品」、及び脆弱性によるリスクの詳細を示す「詳細」が表示されている。
【００７０】
また、詳細画面５０には、対策を選択する対策選択欄５０４が設けられている。対策選択欄５０４では、例えばプルダウンメニューにより、対策を実施する場合の一又は複数の対策、及び対策を実施しない場合の例外申請を選択することが可能になっている。
【００７１】
また、詳細画面５０には、対策選択欄５０４で選択された対策の詳細を示す対策詳細欄５０６が設けられている。対策詳細欄５０６には、対策の内容を説明する「対策内容説明」、対策の実施による影響点を示す「対策実施時の影響点」、及び関連情報を示す「関連情報」が表示されている。
【００７２】
また、詳細画面５０には、対策選択欄５０４における選択内容に応じて表示されるボタンが切り替わるボタン表示領域５０８が設けられている。選択された対策が自動的に実施可能な対策である場合、ボタン表示領域５０８には、［対策を実施］ボタン５１０ａが表示される。［対策を実施］ボタン５１０ａをクリックすることにより、機器１２において対策が自動的に実施される。また、選択された対策が手動で実施する必要がある対策である場合、ボタン表示領域５０８には、［対策状況を確認］ボタン５１０ｂが表示される。利用者Ｕが対策を手動で実施した後、［対策状況を確認］ボタン５１０ｂをクリックすることにより、対策の実施状況を確認することができる。一方、例外申請が選択された場合、［理由設定］ボタン５１０ｃが表示される。［理由設定］ボタン５１０ｃをクリックすることにより、例外申請の理由を設定するための図５に示す理由設定画面６０が表示装置１２７に表示される。
【００７３】
なお、管理装置１０は、機器１２の利用者Ｕを宛先とする電子メールにより、脆弱性に対する対策指示を送信することもできる。なお、上述した図４Ａ、４Ｂ及び図５に示す画面は一例であり、一部内容は省略されてもよいし、画面レイアウトや画面遷移はこれに限定されるものではない。また、脆弱性に対する対策指示は、エージェントソフトウェアやメール以外に、ウェブ等で実現されたユーザインターフェースにより利用者Ｕに対して伝達することもできる。
【００７４】
上述のようにして、脆弱性に対する対策指示を受けた利用者Ｕは、利用又は管理する機器１２についてその対策を実施するか否かを判断する（ステップＳ３０）。対策を実施すると判断した場合（ステップＳ３０、ＹＥＳ）、利用者Ｕは、対策指示に従って対策を実施する（ステップＳ３２）。
【００７５】
一方、対策を実施しないと判断した場合（ステップＳ３０、ＮＯ）、利用者Ｕは、機器１２から管理装置１０に対して例外申請を行う。この場合、利用者Ｕは、図４Ｂに示す詳細画面５０の対策選択欄５０４において、例外申請を選択して、ボタン表示領域５０８に表示される［理由設定］ボタン５１０ｃをクリックする。これにより、理由設定画面６０が表示装置１２７に表示される。
【００７６】
理由設定画面６０には、理由選択欄６０２が設けられている。理由選択欄６０２では、例えばプルダウンメニューにより、例外申請を行う理由として、定型の理由である「対策実施済み」、「開発環境のため」、「機器のスペック不足」、「その他」等の選択肢の中から選択することが可能になっている。また、理由設定画面６０には、理由選択欄６０２において「その他」を選択した場合に自由文で理由が入力可能な理由入力欄６０４が設けられている。利用者Ｕは、理由選択欄６０２又は理由入力欄６０４において例外申請の理由を設定することができる。
【００７７】
また、理由設定画面６０には、［登録］ボタン６０６と、［キャンセル］ボタン６０８とが設けられている。［登録］ボタン６０６は、理由選択欄６０２又は理由入力欄６０４において設定された例外申請の理由を管理装置１０に登録するためのボタンである。［キャンセル］ボタン６０８は、例外申請の理由の設定をキャンセルするためのボタンである。
【００７８】
機器１２において、ＣＰＵ１２１は、利用者Ｕにより［登録］ボタン６０６がクリックされると、設定された理由とともに例外申請を管理装置１０に送信する（ステップＳ３４）。
【００７９】
こうして、利用者Ｕは、管理装置１０から送信された対策指示に対して、例外申請を行うことができる。例外申請は、例えば、例外申請を行った日時、申請者である利用者Ｕの識別情報、例外申請の対象となる機器１２の識別情報、例外申請の対象となる対策の識別情報等を含むことができる。利用者Ｕの識別情報は、例えば、利用者Ｕの氏名、ＩＤ、電子メールアドレス等である。機器１２の識別情報は、例えば、機器１２の機器名、ＩＤ、ＩＰアドレス等である。対策の識別情報は、例えば、対策名、ＩＤ等である。
【００８０】
このように、管理装置１０と機器１２とを含むシステム２においては、ある機器１２について脆弱性に対する対策を何らかの理由により実施しない場合に、管理装置１０に対して例外申請を行うことが可能になっている。申請者である利用者Ｕは、自己が利用又は管理する機器１２に応じて、例えば、機器１２が開発環境を提供するものであること、機器１２のスペック不足等を理由に、脆弱性に対する対策としてのソフトウェア構成の変更を行わない旨の例外申請を行うことができる。利用者Ｕは、一又は複数の機器１２について例外申請を行うことができる。
【００８１】
しかしながら、利用者Ｕによっては、脆弱性に対する対策として指示された機器１２のソフトウェア構成の変更を行いうるにもかかわらず、その変更作業を怠ることを目的として例外申請を繰り返して行うことがある。例えば、ソフトウェア構成の変更方法が分からないために変更作業を行うことができない場合、業務等の都合により変更作業を行う時間を確保することができない場合等のように、利用者Ｕが変更作業を行わないことに正当な理由があるとはいえない場合がある。このような場合に、利用者Ｕは、変更作業を怠るとともに、変更作業を怠ったことに起因する管理者Ａからの通知、機器１２のネットワークからの遮断等を回避することを目的として例外申請を行うことがある。
【００８２】
特に、同一の利用者Ｕが行った例外申請の回数が過度に多い場合、その利用者Ｕが行った例外申請は、上記のようにソフトウェア構成の変更作業を怠ることを目的とした信憑性のない例外申請であると評価することができる。したがって、そのような例外申請は、否認することができる。
【００８３】
そこで、本実施形態による管理装置１０は、例外申請の特徴の一つである例外申請の回数に基づき、より具体的には、同一の利用者Ｕが行った例外申請の回数に基づき、例外申請の申請者である利用者Ｕ毎に例外申請を承認又は否認する。
【００８４】
以下、本実施形態による管理装置１０により実行される管理方法における例外申請に関する処理について図６を用いて説明する。
【００８５】
なお、管理装置１０が例外申請に関する処理を実行するタイミングは、特に限定されるものではない。管理装置１０は、例えば、週単位、月単位、四半期単位、半期単位、年単位等の一定期間毎に例外処理に関する処理を実行することができる。また、管理装置１０は、例えば、利用者Ｕからの例外申請を受信する毎に例外申請に関する処理を実行することもできる。
【００８６】
図６に示すように、まず、管理装置１０において、ＣＰＵ１０１は、記憶装置１０４に記憶された例外申請のデータベースを参照して、同一の利用者Ｕが行った例外申請の回数を計算する（ステップＳ１００）。例外申請の回数の計算に際して、ＣＰＵ１０１は、例えば、週単位、月単位、四半期単位、半期単位、年単位等の一定期間に行われた例外申請の回数を計算することができる。
【００８７】
次いで、ＣＰＵ１０１は、ステップＳ１００で計算した例外申請の回数を閾値と比較して、例外申請の回数が閾値以下であるか否かを判定する（ステップＳ１０２）。ここで用いる閾値は、一定期間において一の利用者Ｕが例外申請を行いうる上限回数であり、組織１において適宜設定される値である。また、閾値である上限回数は、利用者Ｕの権限等に応じて利用者Ｕ毎に個別の値を設定することもできるし、複数の利用者Ｕについて一律に同一の値を設定することもできる。また、上限回数は、ＣＰＵ１０１による参照が可能なように予め記憶装置１０４等に記憶されたデータベースに格納しておくことができる。
【００８８】
例外申請の回数が閾値以下であると判定すると（ステップＳ１０２、ＹＥＳ）、ＣＰＵ１０１は、同一の利用者Ｕにより一定期間に行われた例外申請を承認する（ステップＳ１０４）。このように同一の利用者Ｕにより行われた例外申請の回数が比較的少ない場合には、信憑性のある例外申請であると評価することができるため、例外申請を承認することができる。
【００８９】
一方、例外申請の回数が閾値を超えると判定すると（ステップＳ１０２、ＮＯ）、ＣＰＵ１０１は、同一の利用者Ｕにより一定期間に行われた例外申請を否認する（ステップＳ１０６）。このように同一の利用者Ｕにより行われた例外申請の回数が比較的多い場合には、信憑性のない例外申請であると評価することができるため、例外申請を否認することができる。
【００９０】
例外申請を否認すると、ＣＰＵ１０１は、例外申請の否認に関する対応処理を実行する（ステップＳ１０８）。ＣＰＵ１０１は、対応処理として、例えば、否認した例外申請を行った利用者Ｕに対する通知若しくは否認した例外申請が対象とする機器１２の利用者Ｕ、又は管理者Ａに対する通知を実行することができる。また、ＣＰＵ１０１は、対応処理として、例えば、否認した例外申請が対象とする機器１２のネットワークからの遮断を実行することができる。ＣＰＵ１０１は、利用者Ｕに対する通知、管理者Ａに対する通知及び機器１２のネットワークからの遮断のうち、いずれか１つを行うことができ、いずれか２つ又はすべてを組み合わせて実行することもできる。
【００９１】
通知は、例えば、例外申請が否認されたことを利用者Ｕ及び／又は管理者Ａに伝達することを内容とするものである。また、通知は、例えば、否認された例外申請が対象とする脆弱性に対する対策を実施することを利用者Ｕ及び／又は管理者Ａに促すことを内容とするものであってもよい。また、通知は、例えば、脆弱性に対する対策が未実施の場合に組織１において機器１２の利用制限等の処分が行われることを予告することを内容とするものであってもよい。
【００９２】
ＣＰＵ１０１は、否認した例外申請を行った利用者Ｕが利用する機器１２若しくは否認した例外申請が対象とする機器１２、又は管理者Ａが利用する管理端末１４に対して、組織内ネットワーク２０を介して上記通知を送信することができる。通知を受信した機器１２又は管理端末１４は、ポップアップ表示等により通知の内容を表示することができる。また、ＣＰＵ１０１は、否認した例外申請を行った利用者Ｕ及び／又は管理者Ａの電子メールアドレス宛に上記通知の内容を含む電子メールを送信することにより通知を行うことができる。
【００９３】
また、否認した例外申請が対象とする機器１２のネットワークからの遮断を実行する場合、ＣＰＵ１０１は、ネットワーク遮断装置１６に対して、その機器１２についてのネットワーク遮断の指示を組織内ネットワーク２０を介して送信する。ネットワーク遮断装置１６は、ネットワーク遮断の指示を受信すると、その指示に従って、機器１２の組織内ネットワーク２０又はインターネット２２へのアクセスを遮断する。
【００９４】
このように、本実施形態によれば、同一の利用者Ｕが行った例外申請の回数に基づき、申請者である利用者Ｕ毎に例外申請を承認又は否認するので、その利用者Ｕが行った例外申請を適切に承認又は否認することができる。また、本実施形態によれば、例外申請を適切に承認又は否認することができるため、ソフトウェア構成の変更作業を怠ることを目的とした例外申請を抑制することができる。
【００９５】
［第２実施形態］
本発明の第２実施形態による管理装置及び管理方法について図７を用いて説明する。なお、上記第１実施形態と同様の構成要素については同一の符号を付し説明を省略し又は簡略にする。
【００９６】
本実施形態による管理装置１０と機器１２とを含むシステム２の構成は、図１及び図２に示す第１実施形態による構成と同様である。本実施形態は、管理装置１０により実行される管理方法における例外申請に関する処理が第１実施形態とは異なっている。
【００９７】
同一の利用者Ｕが例外申請を行った機器１２の台数が過度に多い場合も、その利用者Ｕが行った例外申請は、上記のようにソフトウェア構成の変更作業を怠ることを目的とした信憑性のない例外申請であると評価することができる。したがって、そのような例外申請は、否認することができる。
【００９８】
そこで、本実施形態による管理装置１０は、例外申請の特徴の一つである例外申請の回数に基づき、より具体的には、同一の利用者Ｕにより例外申請が行なわれた機器１２の台数に基づき、例外申請の申請者である利用者Ｕ毎に例外申請を承認又は否認する。すなわち、本実施形態による管理装置１０は、同一の利用者Ｕにより複数の機器１２を対象として行われた例外申請の回数に基づき、利用者Ｕ毎に例外申請を承認又は否認する。
【００９９】
以下、本実施形態による管理装置１０により実行される管理方法における例外申請に関する処理について図７を用いて説明する。図７は、本実施形態による管理装置１０により実行される管理方法を示すフローチャートである。なお、本実施形態でも、管理装置１０が例外申請に関する処理を実行するタイミングは、第１実施形態と同様に特に限定されるものではない。
【０１００】
図７に示すように、まず、管理装置１０において、ＣＰＵ１０１は、記憶装置１０４に記憶された例外申請のデータベースを参照して、同一の利用者Ｕにより例外申請が行われた機器１２の台数を計算する（ステップＳ２００）。機器１２の台数の計算に際して、ＣＰＵ１０１は、例えば、週単位、月単位、四半期単位、半期単位、年単位等の一定期間に同一の利用者Ｕにより例外申請が行われた機器１２の台数を計算することができる。
【０１０１】
計算する機器１２の台数は、複数回の例外申請が行われた１台の機器１２を例外申請の回数に応じて複数台として計算する延べ台数であってもよいし、複数回の例外申請が行われた１台の機器１２を１台として計算する実台数であってもよい。
【０１０２】
次いで、ＣＰＵ１０１は、ステップＳ２００で計算した機器１２の台数を閾値と比較して、機器１２の台数が閾値以下であるか否かを判定する（ステップＳ２０２）。ここで用いる閾値は、一定期間において一の利用者Ｕが例外申請を行いうる機器１２の上限台数であり、組織１において適宜設定される値である。閾値である上限台数は、利用者Ｕの権限等に応じて利用者Ｕ毎に個別の値を設定することもできるし、複数の利用者Ｕについて一律に同一の値を設定することもできる。また、上限台数は、ＣＰＵ１０１による参照が可能なように予め記憶装置１０４等に記憶されたデータベースに格納しておくことができる。
【０１０３】
機器１２の台数が閾値以下であると判定すると（ステップＳ２０２、ＹＥＳ）、ＣＰＵ１０１は、同一の利用者Ｕにより一定期間に一又は複数の機器１２について行われた例外申請を承認する（ステップＳ２０４）。このように同一の利用者Ｕにより例外申請が行われた機器１２の台数が比較的少ない場合には、信憑性のある例外申請であると評価することができるため、例外申請を承認することができる。
【０１０４】
一方、機器１２の台数が閾値を超えると判定すると（ステップＳ２０２、ＮＯ）、ＣＰＵ１０１は、同一の利用者Ｕにより一定期間に複数の機器１２について行われた例外申請を否認する（ステップＳ２０６）。このように同一の利用者Ｕにより例外申請が行われた機器１２の台数が比較的多い場合には、信憑性のない例外申請であると評価することができるため、例外申請を否認することができる。
【０１０５】
例外申請を否認すると、ＣＰＵ１０１は、例外申請の否認に関する対応処理を実行する（ステップＳ２０８）。ＣＰＵ１０１は、第１実施形態と同様の対応処理を実行することができる。
【０１０６】
このように、本実施形態によれば、同一の利用者Ｕにより例外申請が行われた機器１２の台数に基づき、申請者である利用者Ｕ毎に例外申請を承認又は否認するので、その利用者Ｕが行った例外申請を適切に承認又は否認することができる。また、本実施形態によれば、例外申請を適切に承認又は否認することができるため、ソフトウェア構成の変更作業を怠ることを目的とした例外申請を抑制することができる。
【０１０７】
［第３実施形態］
本発明の第３実施形態による管理装置及び管理方法について図８を用いて説明する。なお、上記第１及び第２実施形態と同様の構成要素については同一の符号を付し説明を省略し又は簡略にする。
【０１０８】
本実施形態による管理装置１０と機器１２とを含むシステム２の構成は、図１及び図２に示す第１実施形態による構成と同様である。本実施形態は、管理装置１０により実行される管理方法における例外申請に関する処理が第１実施形態とは異なっている。
【０１０９】
同一の機器１２を対象として行われた例外申請の回数が過度に多い場合、その機器１２を対象として行われた例外申請は、上記のようにソフトウェア構成の変更作業を怠ることを目的とした信憑性のない例外申請であると評価することができる。したがって、そのような例外申請は、否認することができる。
【０１１０】
そこで、本実施形態による管理装置１０は、例外申請の特徴の一つである例外申請の回数に基づき、より具体的には、同一の機器１２を対象として行われた例外申請の回数に基づき、例外申請の対象である機器１２毎に例外申請を承認又は否認する。
【０１１１】
以下、本実施形態による管理装置１０により実行される管理方法における例外申請に関する処理について図８を用いて説明する。図８は、本実施形態による管理装置１０により実行される管理方法を示すフローチャートである。なお、本実施形態でも、管理装置１０が例外申請に関する処理を実行するタイミングは、第１実施形態と同様に特に限定されるものではない。
【０１１２】
図８に示すように、まず、管理装置１０において、ＣＰＵ１０１は、記憶装置１０４に記憶された例外申請のデータベースを参照して、同一の機器１２を対象として行われた例外申請の回数を計算する（ステップＳ３００）。例外申請の回数の計算に際して、ＣＰＵ１０１は、例えば、週単位、月単位、四半期単位、半期単位、年単位等の一定期間に同一の機器１２を対象として行われた例外申請の回数を計算することができる。
【０１１３】
同一の機器１２を対象として行われた複数の例外申請は、同一の利用者Ｕにより行われたものであってもよいし、異なる複数の利用者Ｕにより行われたものであってもよい。
【０１１４】
次いで、ＣＰＵ１０１は、ステップＳ３００で計算した例外申請の回数を閾値と比較して、例外申請の回数が閾値以下であるか否かを判定する（ステップＳ３０２）。ここで用いる閾値は、一定期間において一の機器１２を対象として行いうる例外申請の上限回数であり、組織１において適宜設定される値である。閾値である上限回数は、機器１２の種別等に応じて機器１２毎に個別の値を設定することもできるし、複数の機器１２について一律に同一の値を設定することもできる。また、上限回数は、ＣＰＵ１０１による参照が可能なように予め記憶装置１０４等に記憶されたデータベースに格納しておくことができる。
【０１１５】
例外申請の回数が閾値以下であると判定すると（ステップＳ３０２、ＹＥＳ）、ＣＰＵ１０１は、一定期間に同一の機器１２を対象として行われた例外申請を承認する（ステップＳ３０４）。このように同一の機器１２を対象として行われた例外申請の回数が比較的少ない場合には、信憑性のある例外申請であると評価することができるため、例外申請を承認することができる。
【０１１６】
一方、例外申請の回数が閾値を超えると判定すると（ステップＳ３０２、ＮＯ）、ＣＰＵ１０１は、一定期間に同一の機器１２を対象として行われた例外申請を否認する（ステップＳ３０６）。このように同一の機器１２を対象として行われた例外申請の回数が比較的多い場合には、信憑性のない例外申請であると評価することができるため、例外申請を否認することができる。
【０１１７】
例外申請を否認すると、ＣＰＵ１０１は、例外申請の否認に関する対応処理を実行する（ステップＳ３０８）。ＣＰＵ１０１は、第１実施形態と同様の対応処理を実行することができる。
【０１１８】
このように、本実施形態によれば、同一の機器１２を対象として行われた例外申請の回数に基づき、例外申請の対象である機器１２毎に例外申請を承認又は否認するので、その機器１２を対象として行われた例外申請を適切に承認又は否認することができる。また、本実施形態によれば、例外申請を適切に承認又は否認することができるため、ソフトウェア構成の変更作業を怠ることを目的とした例外申請を抑制することができる。
【０１１９】
［第４実施形態］
本発明の第４実施形態による管理装置及び管理方法について図９を用いて説明する。なお、上記第１乃至第３実施形態と同様の構成要素については同一の符号を付し説明を省略し又は簡略にする。
【０１２０】
本実施形態による管理装置１０と機器１２とを含むシステム２の構成は、図１及び図２に示す第１実施形態による構成と同様である。本実施形態は、管理装置１０により実行される管理方法における例外申請に関する処理が第１実施形態とは異なっている。
【０１２１】
互いに構成が類似する複数の機器１２のうち、特定の機器１２を対象とする例外申請の回数が他の機器１２を対象とする例外申請の回数と比較して過度に多い場合がある。そのような場合、その特定の機器１２を対象とする例外申請は、上記のようにソフトウェア構成の変更作業を怠ることを目的とした信憑性のない例外申請であると評価することができる。したがって、そのような例外申請は、否認することができる。
【０１２２】
そこで、本実施形態による管理装置１０は、例外申請の特徴の一つである例外申請の回数に基づき、より具体的には、互いに構成が類似する特定の機器１２と他の機器１２との例外申請の差分回数に基づき、特定の機器１２を対象とする例外申請を承認又は否認する。
【０１２３】
以下、本実施形態による管理装置１０により実行される管理方法における例外申請に関する処理について図９を用いて説明する。図９は、本実施形態による管理装置１０により実行される管理方法を示すフローチャートである。なお、本実施形態でも、管理装置１０が例外申請に関する処理を実行するタイミングは、第１実施形態と同様に特に限定されるものではない。また、本実施形態では、複数の機器１２のうち、対象とする例外申請の承認又は否認を行う機器１２を「特定の機器１２」と表記し、「特定の機器１２」以外の機器１２を「他の機器１２」と表記する。
【０１２４】
図９に示すように、まず、管理装置１０において、ＣＰＵ１０１は、記憶装置１０４に記憶された機器１２の構成情報のデータベースを参照して、組織１全体又は組織１の一部における特定の機器１２の構成情報を取得する（ステップＳ４００）。
【０１２５】
次いで、ＣＰＵ１０１は、特定の機器１２の場合と同様にして、組織１全体又は組織１の一部における他の機器１２の構成情報を取得する（ステップＳ４０２）。なお、ステップＳ４０２は、ステップＳ４００の前に実行されてもよく、ステップＳ４００と同時に実行されてもよい。
【０１２６】
次いで、ＣＰＵ１０１は、ステップＳ４００、Ｓ４０２でそれぞれ取得した構成情報に基づき、特定の機器１２と他の機器１２との構成の一致率を計算する。続いて、ＣＰＵ１０１は、計算した一致率が閾値以上であるか否かを判定する（ステップＳ４０４）。ここで用いる閾値は、特定の機器１２と他の機器１２との構成の類似度を判定する基準となるものであり、適宜設定することができるが、例えば、好ましくは９０％、より好ましくは９５％に設定することができる。構成の一致率が閾値以上であると判定された場合、特定の機器１２と他の機器１２とは、互いに構成が類似する機器１２である。構成の一致率に関する閾値は、ＣＰＵ１０１による参照が可能なように予め記憶装置１０４等に記憶されたデータベースに格納しておくことができる。
【０１２７】
構成の一致率は、特定の機器１２及び他の機器１２の一方の構成情報に含まれる特定の情報のうち、他方の構成情報に含まれる特定の情報と一致する情報の割合として計算することができる。例えば、構成の一致率は、特定の機器１２にインストールされているソフトウェアのうち、他の機器１２にインストールされているソフトウェアと一致するソフトウェアの割合として計算することができる。また、構成の一致率は、例えば、ハードウェアに関する情報の一致する割合、ネットワーク設定に関する情報の一致する割合として計算することができる。また、構成の一致率は、これらのような複数の情報の一致する割合として計算することができる。
【０１２８】
構成の一致率が閾値未満であると判定すると（ステップＳ４０４、ＮＯ）、ＣＰＵ１０１は、機器１２の構成情報のデータベースを参照して、組織１全体又は組織１の一部において、別の他の機器１２があるか否かを判定する（ステップＳ４０６）。
【０１２９】
別の他の機器１２があると判定した場合（ステップＳ４０６、ＹＥＳ）、ＣＰＵ１０１は、上記ステップＳ４０２の処理に移行する。一方、別の他の機器１２がないと判定した場合（ステップＳ４０６、ＮＯ）、ＣＰＵ１０１は、ステップＳ４０８の処理に移行する。特に、特定の機器１２と構成が類似する他の機器１２が組織１全体又は組織１の一部において１台もないと判定した場合（初回のステップＳ４０４、ＮＯに続くステップＳ４０６、ＮＯ）、ＣＰＵ１０１は、例外申請を承認することができる（ステップＳ４０８）。
【０１３０】
一方、構成の一致率が閾値以上であると判定すると（ステップＳ４０４、ＹＥＳ）、ＣＰＵ１０１は、記憶装置１０４に記憶された例外申請のデータベースを参照して、特定の機器１２を対象として行われた例外申請の回数を計算する（ステップＳ４１０）。例外申請の回数の計算に際して、ＣＰＵ１０１は、例えば、週単位、月単位、四半期単位、半期単位、年単位等の一定期間に特定の機器１２を対象として行われた例外申請の回数を計算することができる。
【０１３１】
特定の機器１２を対象として行われた複数の例外申請は、同一の利用者Ｕにより行われたものであってもよいし、異なる複数の利用者Ｕにより行われたものであってもよい。
【０１３２】
次いで、ＣＰＵ１０１は、特定の機器１２の場合と同様にして、他の機器１２を対象として行われた例外申請の回数を計算する（ステップＳ４１２）。なお、ステップＳ４１２は、ステップＳ４１０の前に実行されてもよいし、ステップＳ４１０と同時に実行されてもよい。
【０１３３】
他の機器１２を対象として行われた複数の例外申請は、同一の利用者Ｕにより行われたものであってもよいし、異なる複数の利用者Ｕにより行われたものであってもよい。
【０１３４】
次いで、ＣＰＵ１０１は、ステップＳ４１０、Ｓ４１２でそれぞれ計算した例外申請の回数に基づき、差分回数を計算する。差分回数は、特定の機器１２を対象として行われた例外申請の回数から、他の機器１２を対象として行われた例外申請の回数を差し引いた回数である。
【０１３５】
続いて、ＣＰＵ１０１は、計算した差分回数が閾値以下であるか否かを判定する（ステップＳ４１４）。ここで用いる閾値は、組織１において適宜設定することができ、例えば０に設定することもできる。差分回数に関する閾値は、ＣＰＵ１０１による参照が可能なように予め記憶装置１０４等に記憶されたデータベースに格納しておくことができる。
【０１３６】
差分回数が閾値以下であると判定すると（ステップＳ４１４、ＹＥＳ）、ＣＰＵ１０１は、ステップＳ４０６の処理に移行して、組織１全体又は組織１の一部において別の他の機器１２があるかないかを判定する。
【０１３７】
ステップＳ４１４の差分回数を計算した他の機器１２以外に別の他の機器１２がないと判定すると（ステップＳ４０６、ＮＯ）、ＣＰＵ１０１は、特定の機器１２を対象として行われた例外申請を承認する（ステップＳ４０８）。この場合、特定の機器１２は、組織１全体又は組織１の一部における、構成が類似するすべての他の機器１２に対して、差分回数が閾値以下である。したがって、特定の機器１２は、構成が類似するすべての他の機器１２と例外申請の回数に差がない又は差があってもわずかである。このため、特定の機器１２を対象として行われた例外申請は、信憑性のあると評価することができるため、承認することができる。
【０１３８】
一方、差分回数が閾値を超えると判定すると（ステップＳ４１４、ＮＯ）、ＣＰＵ１０１は、特定の機器１２を対象として行われた例外申請を否認する（ステップＳ４１６）。この場合、特定の機器１２は、組織１全体又は組織１の一部における、構成が類似する少なくとも１台の他の機器１２に対して、差分回数が閾値を超える。したがって、特定の機器１２は、構成が類似する少なくとも１台の他の機器１２と例外申請の回数に差がある。このため、特定の機器１２を対象として行われた例外申請は、信憑性のないと評価することができるため、否認することができる。
【０１３９】
例外申請を否認すると、ＣＰＵ１０１は、例外申請の否認に関する対応処理を実行する（ステップＳ４１８）。ＣＰＵ１０１は、第１実施形態と同様の対応処理を実行することができる。
【０１４０】
このように、本実施形態によれば、互いに構成が類似する特定の機器１２と他の機器１２との例外申請の差分回数に基づき、特定の機器１２を対象とする例外申請を承認又は否認する。したがって、本実施形態によれば、特定の機器１２を対象として行われた例外申請を適切に承認又は否認することができる。また、本実施形態によれば、例外申請を適切に承認又は否認することができるため、ソフトウェア構成の変更作業を怠ることを目的とした例外申請を抑制することができる。
【０１４１】
［第５実施形態］
本発明の第５実施形態による管理装置及び管理方法について図１０を用いて説明する。なお、上記第１乃至第４実施形態と同様の構成要素については同一の符号を付し説明を省略し又は簡略にする。
【０１４２】
本実施形態による管理装置１０と機器１２とを含むシステム２の構成は、図１及び図２に示す第１実施形態による構成と同様である。本実施形態は、管理装置１０により実行される管理方法における例外申請に関する処理が第１実施形態とは異なっている。
【０１４３】
互いに異なる２つの期間において、同一の機器１２を対象とする例外申請の申請率が過度に変動する場合がある。なお、例外申請の申請率は、当該期間における、脆弱性に対策に対する指示の回数に対する例外申請の回数の割合である。そのような場合、例外申請の申請率の高い一方の期間に行われた例外申請は、上記のようにソフトウェア構成の変更作業を怠ることを目的とした信憑性のない例外申請であると評価することができる。したがって、そのような例外申請は、否認することができる。
【０１４４】
そこで、本実施形態による管理装置１０は、より具体的には、互いに異なる２つの期間において同一の機器１２を対象として行われた例外申請の申請率の差分に基づき、その機器１２を対象として行われた例外申請を承認又は否認する。本実施形態においても、例外申請の特徴の一つである例外申請の回数に基づき例外申請が承認又は否認される。
【０１４５】
以下、本実施形態による管理装置１０により実行される管理方法における例外申請に関する処理について図１０を用いて説明する。図１０は、本実施形態による管理装置１０により実行される管理方法を示すフローチャートである。なお、本実施形態による管理装置１０は、互いに異なる２つの期間のうちの遅い期間が経過する毎に例外申請に関する処理を実行することができる。
【０１４６】
図１０に示すように、まず、管理装置１０において、ＣＰＵ１０１は、記憶装置１０４に記憶された例外申請のデータベースを参照して、第１の期間において同一の機器１２を対象として行われた例外申請の申請率を計算する（ステップＳ５００）。第１の期間としては、例えば、週単位、月単位、四半期単位、半期単位、年単位等の一定期間とすることができる。
【０１４７】
次いで、ＣＰＵ１０１は、第１の期間の場合と同様に、第１の期間とは異なる第２の期間において同一の機器１２を対象として行われた例外申請の申請率を計算する（ステップＳ５０２）。第２の期間は、第１の期間と同じ長さの期間とすることができる。また、第２の期間は、第１の期間よりも前の期間、例えば、第１の期間に対する前期、前年の同期、前々年の同期等とすることができる。例えば、第１の期間が第２四半期であれば、第２の期間は、第１の期間と同年の第１四半期、又は第１の期間の前年の第２四半期とすることができる。なお、ステップＳ５０２は、ステップＳ５００の前に実行してもよいし、ステップＳ５００と同時に実行してもよい。
【０１４８】
なお、同一の機器１２を対象として行われた複数の例外申請は、第２実施形態と同様に、同一の利用者Ｕにより行われたものであってもよいし、異なる複数の利用者Ｕにより行われたものであってもよい。
【０１４９】
次いで、ＣＰＵ１０１は、ステップＳ５００、Ｓ５０２で計算した例外申請の申請率に基づき、第１の期間と第２の期間との例外申請の申請率の差分の絶対値を計算する。続いて、ＣＰＵ１０１は、計算した申請率の差分の絶対値が閾値以下であるか否かを判定する（ステップＳ５０４）。ここで用いる閾値は、第１の期間と第２の期間とで例外申請の申請率が過度に変動したか否かを評価する基準となるものであり、組織１において適宜設定することができ、例えば５％に設定することができる。申請率の差分の絶対値に関する閾値は、ＣＰＵ１０１による参照が可能なように予め記憶装置１０４等に記憶されたデータベースに格納しておくことができる。なお、第１の期間と第２の期間との例外申請の申請率の差分の絶対値を閾値と比較することに代えて、第１の期間と第２の期間との例外申請の回数自体の差分の絶対値を適宜設定した閾値と比較することもできる。
【０１５０】
申請率の差分の絶対値が閾値以下であると判定すると（ステップＳ５０４、ＹＥＳ）、ＣＰＵ１０１は、第１の期間及び第２の期間において同一の機器１２を対象として行われた例外申請を承認する（ステップＳ５０６）。このように互いに異なる期間において行われた例外申請の申請率の変動が小さい場合、両期間において行われた例外申請は、信憑性があると評価することができるため、承認することができる。
【０１５１】
一方、申請率の差分の絶対値が閾値をこえると判定すると（ステップＳ５０４、ＮＯ）、ＣＰＵ１０１は、第１の期間及び第２の期間のうちの申請率の高い期間において同一の機器１２を対象として行われた例外申請を否認する（ステップＳ５０８）。このように互いに異なる期間において行われた例外申請の申請率の変動が大きい場合、申請率の高い期間において行われた例外申請は、信憑性がないと評価することができるため、否認することができる。
【０１５２】
例外申請を否認すると、ＣＰＵ１０１は、例外申請の否認に関する対応処理を実行する（ステップＳ５１０）。ＣＰＵ１０１は、第１実施形態と同様の対応処理を実行することができる。
【０１５３】
このように、本実施形態によれば、互いに異なる２つの期間において同一の機器１２を対象として行われた例外申請の申請率の差分に基づき、その機器１２を対象として行われた例外申請を承認又は否認する。したがって、本実施形態によれば、その機器１２を対象として行われた例外申請を適切に承認又は否認することができる。また、本実施形態によれば、例外申請を適切に承認又は否認することができるため、ソフトウェア構成の変更作業を怠ることを目的とした例外申請を抑制することができる。
【０１５４】
なお、上記では、同一の機器１２を対象として行われた例外申請を承認又は否認する場合について説明したが、同一の利用者Ｕが行った例外申請についても、上記と同様に例外申請の申請率の差分に基づいて承認又は否認することができる。
【０１５５】
［第６実施形態］
本発明の第６実施形態による管理装置及び管理方法について図１１を用いて説明する。なお、上記第１乃至第５実施形態と同様の構成要素については同一の符号を付し説明を省略し又は簡略にする。
【０１５６】
本実施形態による管理装置１０と機器１２とを含むシステム２の構成は、図１及び図２に示す第１実施形態による構成と同様である。本実施形態は、管理装置１０により実行される管理方法における例外申請に関する処理が第１実施形態とは異なっている。
【０１５７】
第１実施形態において説明したように、利用者Ｕによっては、脆弱性に対する対策として指示された機器１２のソフトウェア構成の変更作業を怠ることを目的として例外申請を繰り返して行うことがある。そのほか、利用者Ｕによっては、ソフトウェア構成の変更作業を怠ることを目的として、ソフトウェア構成の変更指示を受信すると、その変更の可否を十分検討せずに、指示の受信から短時間の経過時間で例外申請を行うことがある。
【０１５８】
ソフトウェア構成の変更指示から過度に短時間の経過時間で例外申請が行われた場合、そのような例外申請は、上記のようにソフトウェア構成の変更作業を怠ることを目的とした信憑性のない例外申請であると評価することができる。したがって、そのような例外申請は、否認することができる。
【０１５９】
そこで、本実施形態による管理装置１０は、ソフトウェア構成の変更指示に関連する時点と、例外申請の特徴の一つである例外申請が行われた時点とに基づき、例外申請を承認又は否認する。より具体的には、本実施形態による管理装置１０は、ソフトウェア構成の変更指示に関連する時点の一つであるソフトウェア構成の変更指示が行われた時点と例外申請が行われた時点との間の時間に基づき、例外申請を承認又は否認する。
【０１６０】
以下、本実施形態による管理装置１０により実行される管理方法における例外申請に関する処理について図１１を用いて説明する。図１１は、本実施形態による管理装置１０により実行される管理方法を示すフローチャートである。なお、本実施形態でも、管理装置１０が例外申請に関する処理を実行するタイミングは、第１実施形態と同様に特に限定されるものではない。
【０１６１】
図１１に示すように、まず、管理装置１０において、ＣＰＵ１０１は、記憶装置１０４に記憶された脆弱性に対する対策指示のデータベース及び例外申請のデータベースを参照する。これにより、ＣＰＵ１０１は、脆弱性に対する対策指示としてのソフトウェア構成の変更指示が行われた時点と例外申請が行われた時点との間の時間、すなわちソフトウェア構成の変更指示から例外申請までの経過時間を計算する（ステップＳ６００）。
【０１６２】
なお、経過時間は、同一の利用者Ｕにより行われた一の例外申請又は同一の機器１２を対象として行われた一の例外申請についての値を計算することができる。また、経過時間は、同一の利用者Ｕにより行われた複数の例外申請又は同一の機器１２を対象として行われた複数の例外申請についての平均値を計算することもできる。第１１実施形態において後述するように、本実施形態を第１乃至第５実施形態のいずれかと組み合わせる場合には、経過時間として平均値を用いることができる。
【０１６３】
次いで、ＣＰＵ１０１は、ステップＳ６００で計算した経過時間を閾値と比較して、経過時間が閾値以上であるか否かを判定する（ステップＳ６０２）。ここで用いる閾値は、ソフトウェア構成の変更指示から過度に短時間の経過時間で例外申請が行われたか否かを評価する基準となるものであり、組織１において適宜設定することができ、例えば１０分に設定することができる。経過時間に関する閾値は、ＣＰＵ１０１による参照が可能なように予め記憶装置１０４等に記憶されたデータベースに格納しておくことができる。
【０１６４】
経過時間が閾値以上であると判定すると（ステップＳ６０２、ＹＥＳ）、ＣＰＵ１０１は、経過時間を計算した例外申請を承認する（ステップＳ６０４）。このように対策指示から例外申請までの経過時間が十分である場合、信憑性のある例外申請であると評価することができるため、例外申請を承認することができる。
【０１６５】
一方、経過時間が閾値未満であると判定すると（ステップＳ６０２、ＮＯ）、ＣＰＵ１０１は、経過時間を計算した例外申請を否認する（ステップＳ６０６）。このように対策指示から例外申請までの経過時間が十分でない場合、信憑性のない例外申請であると評価することができるため、例外申請を否認することができる。
【０１６６】
例外申請を否認すると、ＣＰＵ１０１は、例外申請の否認に関する対応処理を実行する（ステップＳ６０８）。ＣＰＵ１０１は、第１実施形態と同様の対応処理を実行することができる。
【０１６７】
このように、本実施形態によれば、ソフトウェア構成の変更指示が行われた時点と例外申請が行われた時点との間の時間に基づき例外申請を承認又は否認するので、例外申請を適切に承認又は否認することができる。また、本実施形態によれば、例外申請を適切に承認又は否認することができるため、ソフトウェア構成の変更作業を怠ることを目的とした例外申請を抑制することができる。
【０１６８】
［第７実施形態］
本発明の第７実施形態による管理装置及び管理方法について図１２を用いて説明する。なお、上記第１乃至第６実施形態と同様の構成要素については同一の符号を付し説明を省略し又は簡略にする。
【０１６９】
本実施形態による管理装置１０と機器１２とを含むシステム２の構成は、図１及び図２に示す第１実施形態による構成と同様である。本実施形態は、管理装置１０により実行される管理方法における例外申請に関する処理が第１実施形態とは異なっている。
【０１７０】
利用者Ｕによっては、脆弱性に対する対策指示を受けたにもかかわらず、機器１２のソフトウェア構成の変更作業を怠り、対策指示で示されたソフトウェア構成の変更期限の直前になって、結局その変更作業を怠ることを目的として例外申請を行うことがある。
【０１７１】
ソフトウェア構成の変更期限まで過度に短時間の残り時間で例外申請が行われた場合、そのような例外申請は、上記のようにソフトウェア構成の変更作業を怠ることを目的とした信憑性のない例外申請であると評価することができる。したがって、そのような例外申請は、否認することができる。
【０１７２】
そこで、本実施形態による管理装置１０は、ソフトウェア構成の変更指示に関連する時点と、例外申請の特徴の一つである例外申請が行われた時点とに基づき、例外申請を承認又は否認する。より具体的には、本実施形態による管理装置１０は、ソフトウェア構成の変更指示に関連する時点の一つであるソフトウェア構成の変更期限と例外申請が行われた時点との間の時間に基づき、例外申請を承認又は否認する。
【０１７３】
以下、本実施形態による管理装置１０により実行される管理方法における例外申請に関する処理について図１２を用いて説明する。図１２は、本実施形態による管理装置１０により実行される管理方法を示すフローチャートである。なお、本実施形態でも、管理装置１０が例外申請に関する処理を実行するタイミングは、第１実施形態と同様に特に限定されるものではない。
【０１７４】
図１２に示すように、まず、管理装置１０において、ＣＰＵ１０１は、記憶装置１０４に記憶された脆弱性に対する対策指示のデータベース及び例外申請のデータベースを参照する。これにより、ＣＰＵ１０１は、脆弱性に対する対策指示としてのソフトウェア構成の変更期限と例外申請が行われた時点との間の時間、すなわち例外申請からソフトウェア構成の変更期限までの残り時間を計算する（ステップＳ７００）。
【０１７５】
なお、残り時間は、同一の利用者Ｕにより行われた一の例外申請又は同一の機器１２を対象として行われた一の例外申請についての値を計算することができる。また、残り時間は、同一の利用者Ｕにより行われた複数の例外申請又は同一の機器１２を対象として行われた複数の例外申請についての平均値を計算することもできる。第１１実施形態において後述するように、本実施形態を第１乃至第５実施形態のいずれかと組み合わせる場合には、残り時間として平均値を用いることができる。
【０１７６】
次いで、ＣＰＵ１０１は、ステップＳ７００で計算した残り時間を閾値と比較して、残り時間が閾値以上であるか否かを判定する（ステップＳ７０２）。ここで用いる閾値は、ソフトウェア構成の変更期限まで過度に短時間の残り時間で例外申請が行われたか否かを評価する基準となるものであり、組織１において適宜設定することができ、例えば６時間に設定することができる。残り時間に関する閾値は、ＣＰＵ１０１による参照が可能なように予め記憶装置１０４等に記憶されたデータベースに格納しておくことができる。
【０１７７】
残り時間が閾値以上であると（ステップＳ７０２、ＹＥＳ）、ＣＰＵ１０１は、残り時間を計算した例外申請を承認する（ステップＳ７０４）。このように例外申請から変更期限までの残り時間が十分である場合、信憑性のある例外申請であると評価することができるため、例外申請を承認することができる。
【０１７８】
一方、残り時間が閾値未満であると判定すると（ステップＳ７０２、ＮＯ）、ＣＰＵ１０１は、残り時間を計算した例外申請を否認する（ステップＳ７０６）。このように例外申請から変更期限までの残り時間が十分でない場合、信憑性のない例外申請であると評価することができるため、例外申請を否認することができる。
【０１７９】
例外申請を否認すると、ＣＰＵ１０１は、例外申請の否認に関する対応処理を実行する（ステップＳ７０８）。ＣＰＵ１０１は、第１実施形態と同様の対応処理を実行することができる。
【０１８０】
このように、本実施形態によれば、ソフトウェア構成の変更期限と例外申請が行われた時点との間の時間に基づき例外申請を承認又は否認するので、例外申請を適切に承認又は否認することができる。また、本実施形態によれば、例外申請を適切に承認又は否認することができるため、ソフトウェア構成の変更作業を怠ることを目的とした例外申請を抑制することができる。
【０１８１】
［第８実施形態］
本発明の第８実施形態による管理装置及び管理方法について図１３を用いて説明する。なお、上記第１乃至第７実施形態と同様の構成要素については同一の符号を付し説明を省略し又は簡略にする。
【０１８２】
本実施形態による管理装置１０と機器１２とを含むシステム２の構成は、図１及び図２に示す第１実施形態による構成と同様である。本実施形態は、管理装置１０により実行される管理方法における例外申請に関する処理が第１実施形態とは異なっている。
【０１８３】
利用者Ｕによっては、脆弱性に対する対策指示を受けると、機器１２のソフトウェア構成の変更の可否を十分に検討せずに、その変更作業を怠ることを目的として、一又は複数の機器１２を対象として同一の理由で例外申請を行うことがある。
【０１８４】
同一の利用者Ｕにより過度に多くの例外申請が同一の理由で行われた場合、その利用者Ｕが行った例外申請は、上記のようにソフトウェア構成の変更作業を怠ることを目的とした信憑性のない例外申請であると評価することができる。したがって、そのような例外申請は、否認することができる。
【０１８５】
そこで、本実施形態による管理装置１０は、例外申請の特徴の一つであるその理由に基づき、より具体的には、理由が同一である例外申請の件数に基づき、例外申請の申請者である利用者Ｕ毎に例外申請を承認又は否認する。
【０１８６】
以下、本実施形態による管理装置１０により実行される管理方法における例外申請に関する処理について図１３を用いて説明する。図１３は、本実施形態による管理装置１０により実行される管理方法を示すフローチャートである。なお、本実施形態でも、管理装置１０が例外申請に関する処理を実行するタイミングは、第１実施形態と同様に特に限定されるものではない。
【０１８７】
図１３に示すように、まず、管理装置１０において、ＣＰＵ１０１は、記憶装置１０４に記憶された例外申請のデータベースを参照して、同一の利用者Ｕにより一又は複数の機器１２を対象として行われた例外申請を特定する（ステップＳ８００）。例外申請の特定に際して、ＣＰＵ１０１は、例えば、週単位、月単位、四半期単位、半期単位、年単位等の一定期間に同一の利用者Ｕにより行われた例外申請を特定することができる。
【０１８８】
次いで、ＣＰＵ１０１は、ステップＳ８００で特定した例外申請のうち、理由が同一である例外申請の件数を計算する（ステップＳ８０２）。ＣＰＵ１０１は、例外申請の件数の計算に先立って、例外申請の理由が同一であるか否かを判定する。なお、同一か否かを判定する例外申請の理由は、例外申請を行う際に利用者Ｕが定型の理由の選択肢の中から選択したものであってもよいし、例外申請を行う際に利用者Ｕが自由文で入力した理由であってもよい。自由文で入力した理由については、理由の文言が互いに一致する場合のみならず、互いに文言上の相違があっても互いに理由の趣旨が一致する場合であれば、理由が同一であると判定することができる。
【０１８９】
計算する例外申請の件数は、２件以上理由が同一である例外申請の総数とすることができる。ここで、総数による例外申請の件数の計算方法について、ある利用者Ｕが、機器１２に含まれる５台の機器１２Ａ、機器１２Ｂ、機器１２Ｃ、機器１２Ｄ及び機器１２Ｅを対象として、「理由Ｒ１」又は「理由Ｒ２」で例外申請を行った場合を例に説明する。この場合、例外申請の件数は、１つの理由文について、その理由文に該当する機器のうちの１つから見て、その理由文に該当する他の機器の台数を計算し、異なる理由文について計算された他の機器の台数を合計した総数として計算することができる。
【０１９０】
例えば、利用者Ｕが、機器１２Ａについて「理由Ｒ１」で、機器１２Ｂについて「理由Ｒ１」で、機器１２Ｃについて「理由Ｒ１」で、機器１２Ｄについて「理由Ｒ１」で、機器１２Ｅについて「理由Ｒ１」で、それぞれ例外申請を行った第１の場合を考える。この場合、「理由Ｒ１」に該当する機器１２Ａから見て、他に「理由Ｒ１」に該当するのは、機器１２Ｂ、機器１２Ｃ、機器１２Ｄ及び機器１２Ｅの４台であり、よって「理由Ｒ１」で理由が同一である例外申請の件数は４件である。したがって、この第１の場合、理由が同一である例外申請の件数は４件である。
【０１９１】
また、例えば、利用者Ｕが、機器１２Ａについて「理由Ｒ１」で、機器１２Ｂについて「理由Ｒ１」で、機器１２Ｃについて「理由Ｒ２」で、機器１２Ｄについて「理由Ｒ２」で、機器１２Ｅについて「理由Ｒ１」で、それぞれ例外申請を行った第２の場合を考える。この場合、「理由Ｒ１」に該当する機器１２Ａから見て、他に「理由Ｒ１」に該当するのは、機器１２Ｂ、機器１２Ｅの２台であり、よって「理由Ｒ１」で理由が同一である例外申請の件数は２件である。また、「理由Ｒ２」に該当する機器１２Ｃから見て、他に「理由Ｒ２」に該当するのは、機器１２Ｄの１台であり、よって「理由Ｒ２」で理由が同一である例外申請の件数は１件である。したがって、この第２の場合、理由が同一である例外申請の件数は、２件と１件とを合計した総数の３件である。
【０１９２】
また、例えば、利用者Ｕが、機器１２Ａについて「理由Ｒ１」で、機器１２Ｂについて「理由Ｒ１」で、機器１２Ｃについて「理由Ｒ２」で、機器１２Ｄについて「理由Ｒ２」で、機器１２Ｅについて「理由Ｒ２」で、それぞれ例外申請を行った第３の場合を考える。この場合、「理由Ｒ１」に該当する機器１２Ａから見て、他に「理由Ｒ１」に該当するのは、機器１２Ｂの１台であり、よって「理由Ｒ１」で理由が同一である例外申請の件数は１件である。また、「理由Ｒ２」に該当する機器１２Ｃから見て、他に「理由Ｒ２」に該当するのは、機器１２Ｄ、機器１２Ｅの２台であり、よって「理由Ｒ２」で理由が同一である例外申請の件数は２件である。したがって、この第３の場合、理由が同一である例外申請の件数は、１件と２件とを合計した総数の３件である。
【０１９３】
なお、理由が同一である例外申請の件数の計算方法は、上記のように２件以上理由が同一である例外申請の総数とする方法に限定されるものではない。例えば、２件以上理由が同一である例外申請の件数のうちの最大件数をもって、理由が同一である例外申請の件数とすることもできる。この計算方法によれば、上記第１の場合、第２の場合及び第３の場合の理由が同一である例外申請の件数は、それぞれ４件、２件及び２件となる。
【０１９４】
次いで、ＣＰＵ１０１は、ステップＳ８００で特定した例外申請の件数に対する、ステップＳ８０２で計算した理由が同一である例外申請の件数の比率である同一理由の比率を計算する。続いて、ＣＰＵ１０１は、計算した同一理由の比率を閾値と比較して、同一理由の比率が閾値以下であるか否かを判定する（ステップＳ８０４）。ここで用いる閾値は、同一の利用者Ｕにより過度に多くの例外申請が同一の理由で行われたか否かを評価する基準となるものであり、組織１において適宜設定することができる。同一理由の比率に関する閾値は、ＣＰＵ１０１による参照が可能なように予め記憶装置１０４等に記憶されたデータベースに格納しておくことができる。なお、同一理由の比率を閾値と比較することに代えて、理由が同一である例外申請の件数自体を、適宜設定した閾値と比較することもできる。
【０１９５】
同一理由の比率が閾値以下であると判定すると（ステップＳ８０４、ＹＥＳ）、ＣＰＵ１０１は、同一の利用者Ｕにより一又は複数の機器１２を対象として行われた例外申請を承認する（ステップＳ８０６）。このように同一理由の比率が低い場合、その利用者Ｕにより行われた例外申請は、信憑性があると評価することができるため、承認することができる。
【０１９６】
一方、同一理由の比率が閾値を超えると判定すると（ステップＳ８０４、ＮＯ）、ＣＰＵ１０１は、同一の利用者Ｕにより一又は複数の機器１２を対象として行われた例外申請を否認する（ステップＳ８０８）。このように同一理由の比率が高い場合、その利用者Ｕにより行われた例外申請は、信憑性がないと評価することができるため、否認することができる。
【０１９７】
例外申請を否認すると、ＣＰＵ１０１は、例外申請の否認に関する対応処理を実行する（ステップＳ８１０）。ＣＰＵ１０１は、第１実施形態と同様の対応処理を実行することができる。
【０１９８】
このように、本実施形態によれば、理由が同一である例外申請の件数に基づき、例外申請の申請者である利用者Ｕ毎に例外申請を承認又は否認する。したがって、本実施形態によれば、その機器１２を対象として行われた例外申請を適切に承認又は否認することができる。また、本実施形態によれば、例外申請を適切に承認又は否認することができるため、ソフトウェア構成の変更作業を怠ることを目的とした例外申請を抑制することができる。
【０１９９】
［第９実施形態］
本発明の第９実施形態による管理装置及び管理方法について図１４を用いて説明する。なお、上記第１乃至第８実施形態と同様の構成要素については同一の符号を付し説明を省略し又は簡略にする。
【０２００】
本実施形態による管理装置１０と機器１２とを含むシステム２の構成は、図１及び図２に示す第１実施形態による構成と同様である。本実施形態は、管理装置１０により実行される管理方法における例外申請に関する処理が第１実施形態とは異なっている。
【０２０１】
上記第１乃至第８実施形態では、例外申請に関する処理において、例外申請の特徴に関連する回数、時間等の数量を一段の閾値と比較することにより、例外申請を否認又は承認する場合について説明した。しかしながら、閾値は、必ずしも一段に限定されるものではない。複数段の閾値を、例外申請の特徴に関連する数量との比較に用いることもできる。複数段の閾値を用いることにより、例外申請の否認に関する対応処理として、異なる処理を段階的に行うことができる。
【０２０２】
本実施形態では、第１実施形態において、例外申請の回数を複数段の閾値と比較する場合について図１４を用いて説明する。図１４は、本実施形態による管理装置１０により実行される管理方法を示すフローチャートである。
【０２０３】
図１４に示すように、まず、管理装置１０において、ＣＰＵ１０１は、第１実施形態と同様に、同一の利用者Ｕが行った例外申請の回数を計算する（ステップＳ９００）。
【０２０４】
次いで、ＣＰＵ１０１は、ステップＳ９００で計算した例外申請の回数を第１の閾値と比較して、例外申請の回数が第１の閾値以下であるか否かを判定する（ステップＳ９０２）。ここで用いる第１の閾値は、第１の上限回数であり、第１の実施形態の閾値と同様に設定して記憶装置１０４等に記憶されたデータベースに格納しておくことができる。
【０２０５】
例外申請の回数が第１の閾値以下であると判定すると（ステップＳ９０２、ＹＥＳ）、ＣＰＵ１０１は、第１実施形態と同様に例外申請を承認する（ステップＳ９０４）。
【０２０６】
一方、例外申請の回数が第１の閾値を超えると判定すると（ステップＳ９０２、ＮＯ）、ＣＰＵ１０１は、例外申請の回数を第２の閾値と比較して、例外申請の回数が第２の閾値以下であるか否かを判定する（ステップＳ９０６）。ここで用いる第２の閾値は、第１の閾値よりも大きな第２の上限回数であり、第１の実施形態の閾値と同様に設定して記憶装置１０４等に記憶されたデータベースに格納しておくことができる。
【０２０７】
例外申請の回数が第２の閾値以下であると判定すると（ステップＳ９０６、ＹＥＳ）、ＣＰＵ１０１は、第１実施形態と同様に例外申請を否認する（ステップＳ９０８）。次いで、ＣＰＵ１０１は、例外申請の否認に関する対応処理として、第１実施形態と同様に利用者Ｕに対する通知を実行する（ステップＳ９１０）。なお、この場合、利用者Ｕに対する通知に代えて又はその通知とともに、第１実施形態と同様に、管理者Ａに対する通知及び機器１２のネットワークからの遮断の少なくともいずれかを実行することもできる。
【０２０８】
一方、例外申請の回数が第２の閾値を超えると判定すると（ステップＳ９０６、ＮＯ）、ＣＰＵ１０１は、例外申請の回数を第３の閾値と比較して、例外申請の回数が第３の閾値以下であるか否かを判定する（ステップＳ９１２）。ここで用いる第３の閾値は、第２の閾値よりも大きな第３の上限回数であり、第１の実施形態の閾値と同様に設定して記憶装置１０４等に記憶されたデータベースに格納しておくことができる。
【０２０９】
例外申請の回数が第３の閾値以下であると判定すると（ステップＳ９１２、ＹＥＳ）、ＣＰＵ１０１は、第１実施形態と同様に例外申請を否認する（ステップＳ９１４）。次いで、ＣＰＵ１０１は、例外申請の否認に関する対応処理として、第１実施形態と同様に管理者Ａに対する通知を実行する（ステップＳ９１６）。なお、この場合、管理者Ａに対する通知に代えて又はその通知とともに、第１実施形態と同様に、利用者Ｕに対する通知及び機器１２のネットワークからの遮断の少なくともいずれかを実行することもできる。
【０２１０】
一方、例外申請の回数が第３の閾値を超えると判定すると（ステップＳ９１２、ＮＯ）、ＣＰＵ１０１は、第１実施形態と同様に例外申請を否認する（ステップＳ９１８）。次いで、ＣＰＵ１０１は、例外申請の否認に関する対応処理として、第１実施形態と同様に機器１２のネットワークからの遮断を実行する（ステップＳ９２０）。なお、この場合、機器１２のネットワークからの遮断に代えて又はその遮断とともに、第１実施形態と同様に、利用者Ｕに対する通知及び管理者Ａに対する通知の少なくともいずれかを実行することもできる。
【０２１１】
本実施形態のように、例外申請を否認する場合において、例外申請の回数の大小に応じて、例外申請の否認に関する対応処理を段階的に変更して実行することができる。なお、上記では、例外申請の否認に関する対応処理を３段階で行う場合を例に説明したが、同様に、２段階や４段階以上で対応処理を段階的に変更して実行することもできる。
【０２１２】
なお、第２乃至第８実施形態においても、本実施形態と同様に複数段の閾値を用いることにより、例外申請の否認に関する対応処理を段階的に変更して実行することができる。
【０２１３】
［第１０実施形態］
本発明の第１０実施形態による管理装置及び管理方法について図１５を用いて説明する。なお、上記第１乃至第９実施形態と同様の構成要素については同一の符号を付し説明を省略し又は簡略にする。
【０２１４】
本実施形態による管理装置１０と機器１２とを含むシステム２の構成は、図１及び図２に示す第１実施形態による構成と同様である。本実施形態は、管理装置１０により実行される管理方法における例外申請に関する処理が第１実施形態とは異なっている。
【０２１５】
上記第９実施形態において説明したように、複数段の閾値を用いることにより、例外申請の否認に関する対応処理として、異なる処理を段階的に行うことができる。本実施形態では、第６実施形態において、ソフトウェア構成の変更指示から例外申請までの経過時間を複数段の閾値と比較する場合について図１５を用いて説明する。図１５は、本実施形態による管理装置１０により実行される管理方法を示すフローチャートである。
【０２１６】
図１５に示すように、まず、管理装置１０において、ＣＰＵ１０１は、第６実施形態と同様に、ソフトウェア構成の変更指示から例外申請までの経過時間を計算する（ステップＳ１０００）。
【０２１７】
次いで、ＣＰＵ１０１は、ステップＳ１０００で計算した経過時間を第１の閾値と比較して、経過時間が第１の閾値以上であるか否かを判定する（ステップＳ１００２）。ここで用いる第１の閾値は、第６の実施形態の閾値と同様に設定して記憶装置１０４等に記憶されたデータベースに格納しておくことができる。
【０２１８】
経過時間が第１の閾値以上であると判定すると（ステップＳ１００２、ＹＥＳ）、ＣＰＵ１０１は、第６実施形態と同様に例外申請を承認する（ステップＳ１００４）。
【０２１９】
一方、経過時間が第１の閾値未満であると判定すると（ステップＳ１００２、ＮＯ）、ＣＰＵ１０１は、経過時間を第２の閾値と比較して、経過時間が第２の閾値以上であるか否かを判定する（ステップＳ１００６）。ここで用いる第２の閾値は、第１の閾値よりも小さな閾値であり、第６の実施形態の閾値と同様に設定して記憶装置１０４等に記憶されたデータベースに格納しておくことができる。
【０２２０】
経過時間が第２の閾値以上であると判定すると（ステップＳ１００６、ＹＥＳ）、ＣＰＵ１０１は、第６実施形態と同様に例外申請を否認する（ステップＳ１００８）。次いで、ＣＰＵ１０１は、例外申請の否認に関する対応処理として、第１実施形態と同様に利用者Ｕに対する通知を実行する（ステップＳ１０１０）。なお、この場合、利用者Ｕに対する通知に代えて又はその通知とともに、第１実施形態と同様に、管理者Ａに対する通知及び機器１２のネットワークからの遮断の少なくともいずれかを実行することもできる。
【０２２１】
一方、経過時間が第２の閾値未満であると判定すると（ステップＳ１００６、ＮＯ）、ＣＰＵ１０１は、経過時間を第３の閾値と比較して、経過時間が第３の閾値以上であるか否かを判定する（ステップＳ１０１２）。ここで用いる第３の閾値は、第２の閾値よりも小さな閾値であり、第６の実施形態の閾値と同様に設定して記憶装置１０４等に記憶されたデータベースに格納しておくことができる。
【０２２２】
経過時間が第３の閾値以上であると判定すると（ステップＳ１０１２、ＹＥＳ）、ＣＰＵ１０１は、第６実施形態と同様に例外申請を否認する（ステップＳ１０１４）。次いで、ＣＰＵ１０１は、例外申請の否認に関する対応処理として、第１実施形態と同様に管理者Ａに対する通知を実行する（ステップＳ１０１６）。なお、この場合、管理者Ａに対する通知に代えて又はその通知とともに、第１実施形態と同様に、利用者Ｕに対する通知及び機器１２のネットワークからの遮断の少なくともいずれかを実行することもできる。
【０２２３】
一方、経過時間が第３の閾値未満であると判定すると（ステップＳ１０１２、ＮＯ）、ＣＰＵ１０１は、第６実施形態と同様に例外申請を否認する（ステップＳ１０１８）。次いで、ＣＰＵ１０１は、例外申請の否認に関する対応処理として、第１実施形態と同様に機器１２のネットワークからの遮断を実行する（ステップＳ１０２０）。なお、この場合、機器１２のネットワークからの遮断に代えて又はその遮断とともに、第１実施形態と同様に、利用者Ｕに対する通知及び管理者Ａに対する通知の少なくともいずれかを実行することもできる。
【０２２４】
本実施形態のように、例外申請を否認する場合において、経過時間の大小に応じて、例外申請の否認に関する対応処理を段階的に変更して実行することができる。なお、上記では、例外申請の否認に関する対応処理を３段階で行う場合を例に説明したが、同様に、２段階や４段階以上で対応処理を段階的に変更して実行することもできる。
【０２２５】
なお、第１乃至第５、第７及び第８実施形態においても、本実施形態と同様に複数段の閾値を用いることにより、例外申請の否認に関する対応処理を段階的に変更して実行することができる。
【０２２６】
［第１１実施形態］
本発明の第１１実施形態による管理装置及び管理方法について図１６を用いて説明する。なお、上記第１乃至第１０実施形態と同様の構成要素については同一の符号を付し説明を省略し又は簡略にする。
【０２２７】
本実施形態による管理装置１０と機器１２とを含むシステム２の構成は、図１及び図２に示す第１実施形態による構成と同様である。本実施形態は、管理装置１０により実行される管理方法における例外申請に関する処理が第１実施形態とは異なっている。
【０２２８】
上記第１乃至第８実施形態による管理方法は、互いに組み合わせて実行し、組み合わせた管理方法による例外申請の承認又は否認の結果に基づき、最終的な例外申請の承認又は否認を行うことができる。以下、本実施形態では、第１乃至第５実施形態による管理方法のいずれかと、第６及び第７実施形態による管理方法のいずれかとを組み合わせて実行する場合について図１６を用いて説明する。図１６は、本実施形態による管理装置１０により実行される管理方法を示すフローチャートである。
【０２２９】
図１６に示すように、まず、管理装置１０において、ＣＰＵ１０１は、第１の管理方法を実行して例外申請を承認又は否認する（ステップＳ１１００）。ＣＰＵ１０１は、第１の管理方法として、第１乃至第５実施形態による管理方法のいずれかを用いる。
【０２３０】
第１の管理方法により例外申請を承認すると（ステップＳ１１００、承認）、ＣＰＵ１０１は、第２の管理方法を実行して例外申請を承認又は否認する（ステップＳ１１０２）。ＣＰＵ１０１は、第２の管理方法として、第６及び第７実施形態による管理方法のいずれかを用いる。
【０２３１】
第２の管理方法により例外申請を承認すると（ステップＳ１１０２、承認）、ＣＰＵ１０１は、最終的に例外申請を承認する（ステップＳ１１０４）。
【０２３２】
一方、第２の管理方法により例外申請を否認すると（ステップＳ１１０２、否認）、ＣＰＵ１０１は、最終的に例外申請を否認する（ステップＳ１１０６）。次いで、ＣＰＵ１０１は、例外申請の否認に関する対応処理として、第１実施形態と同様に利用者Ｕに対する通知を実行する（ステップＳ１１０８）。なお、この場合、利用者Ｕに対する通知に代えて又はその通知とともに、第１実施形態と同様に、管理者Ａに対する通知及び機器１２のネットワークからの遮断の少なくともいずれかを実行することもできる。
【０２３３】
また、第１の管理方法により例外申請を否認すると（ステップＳ１１００、否認）、ＣＰＵ１０１は、第２の管理方法を実行して例外申請を承認又は否認する（ステップＳ１１１０）。ＣＰＵ１０１は、ステップＳ１１０２と同様の第２の管理方法として、第６及び第７実施形態による管理方法のいずれかを用いる。
【０２３４】
第２の管理方法により例外申請を承認すると（ステップＳ１１１０、承認）、ＣＰＵ１０１は、最終的に例外申請を否認する（ステップＳ１１０６）。次いで、ＣＰＵ１０１は、例外申請の否認に関する対応処理として、第１実施形態と同様に利用者Ｕに対する通知を実行する（ステップＳ１１０８）。なお、この場合、利用者Ｕに対する通知に代えて又はその通知とともに、第１実施形態と同様に、管理者Ａに対する通知及び機器１２のネットワークからの遮断の少なくともいずれかを実行することもできる。
【０２３５】
一方、第２の管理方法により例外申請を否認すると（ステップＳ１１１０、否認）、ＣＰＵ１０１は、最終的に例外申請を否認する（ステップＳ１１１２）。次いで、ＣＰＵ１０１は、例外申請の否認に関する対応処理として、第１実施形態と同様に管理者Ａに対する通知を実行する（ステップＳ１１１４）。なお、この場合、管理者Ａに対する通知に代えて又はその通知とともに、第１実施形態と同様に、利用者Ｕに対する通知及び機器１２のネットワークからの遮断の少なくともいずれかを実行することもできる。
【０２３６】
本実施形態のように、複数の管理方法を互いに組み合わせて実行し、組み合わせた管理方法による例外申請の承認又は否認の結果に基づき、最終的な例外申請の承認又は否認を行うことができる。
【０２３７】
なお、管理方法の組み合わせは、上記の場合に限定されるものではなく、ＣＰＵ１０１は、種々の組み合わせで管理方法を実行することができる。
【０２３８】
例えば、ＣＰＵ１０１は、上記第１の管理方法として第６及び第７実施形態による管理方法のいずれかを用い、上記第２の管理方法として第１乃至第５実施形態による管理方法のいずれかを用いることができる。
【０２３９】
また、例えば、ＣＰＵ１０１は、上記第１の管理方法として第１乃至第５実施形態による管理方法のいずれかを用い、上記第２の管理方法として第８実施形態による管理方法を用いることができる。また、例えば、ＣＰＵ１０１は、上記第１の管理方法として第８実施形態による管理方法を用い、上記第２の管理方法として第１乃至第５実施形態による管理方法のいずれかを用いることができる。
【０２４０】
また、例えば、ＣＰＵ１０１は、上記第１の管理方法として第６及び第７実施形態による管理方法のいずれかを用い、上記第２の管理方法として第８実施形態による管理方法を用いることができる。また、例えば、ＣＰＵ１０１は、上記第１の管理方法として第８実施形態による管理方法を用い、上記第２の管理方法として第６及び第７実施形態による管理方法のいずれかを用いることができる。
【０２４１】
また、例えば、ＣＰＵ１０１は、上記第１の管理方法として第１乃至第５実施形態による管理方法のいずれかを用い、上記第２の管理方法として第１乃至第５実施形態による管理方法の他のいずれかを用いることができる。より具体的には、例えば、ＣＰＵ１０１は、上記第１の管理方法として第１実施形態による管理方法を用い、上記第２の管理方法として第３実施形態による管理方法を用いることができる。また、例えば、ＣＰＵ１０１は、上記第１の管理方法として第３実施形態による管理方法を用い、上記第２の管理方法として第１実施形態による管理方法を用いることができる。
【０２４２】
また、例えば、ＣＰＵ１０１は、上記第１の管理方法として第６実施形態による管理方法を用い、上記第２の管理方法として第７実施形態による管理方法を用いることができる。また、例えば、ＣＰＵ１０１は、上記第１の管理方法として第７実施形態による管理方法を用い、上記第２の管理方法として第６実施形態による管理方法を用いることができる。
【０２４３】
また、例えば、ＣＰＵ１０１は、第１の管理方法の後に第２の管理方法を実行する必要は必ずしもなく、両方法の先後を問わず、両方法を同時に実行することもできる。ＣＰＵ１０１は、第１の管理方法による例外申請の承認又は否認の結果と、第２の管理方法による例外申請の承認又は否認の結果との組み合わせに応じて、例外申請の否認に関する対応処理を変更して実行することができる。
【０２４４】
また、例えば、ＣＰＵ１０１は、上記第１の管理方法及び第２の管理方法に対して、それぞれに重み付けを任意に設定して用いることができる。例えば、ＣＰＵ１０１は、第１の管理方法により例外申請が否認された場合、及び第２の管理方法により例外申請が否認された場合のそれぞれに、互いに異なる重みで重み付けされた重み付け値を付与するものとすることができる。この場合、ＣＰＵ１０１は、第１の管理方法による例外申請の承認又は否認を行った場合に付与した重み付け値と、第２の管理方法による例外申請の承認又は否認を行った場合に付与した重み付け値との合計値を計算する。次いで、ＣＰＵ１０１は、その合計値に応じて、例外申請の否認に関する対応処理を変更して実行することができる。
【０２４５】
また、上記では、第１の管理方法及び第２の管理方法の２つの管理方法を組み合わせて実行する場合について説明したが、これに限定されるものではない。ＣＰＵ１０１は、３つ以上の管理方法を組み合わせて実行することもできる。
【０２４６】
［他の実施形態］
上記各実施形態において説明した管理装置は、他の実施形態によれば、図１７に示すように構成することもできる。図１７は、他の実施形態による管理装置の機能構成を示すブロック図である。
【０２４７】
図１７に示すように、管理装置１０００は、機器のソフトウェア構成を変更しない旨の申請を申請者から受け付ける受付部１００２と、受付部１００２により受け付けられた申請の回数に基づき、申請を否認する処理部１００４とを有する。
【０２４８】
他の実施形態による管理装置１０００によれば、機器のソフトウェア構成の変更をしない旨の申請の回数に基づき申請を否認するので、申請を適切に否認することができる。
【０２４９】
［変形実施形態］
本発明は、上記実施形態に限らず、種々の変形が可能である。
【０２５０】
例えば、上記実施形態による管理装置１０は、単一の装置により構成されていてもよいし、有線又は無線で接続された２つ以上の物理的に分離された装置により構成されていてもよい。
【０２５１】
また、上記実施形態では、管理装置１０と、管理端末１４及びネットワーク遮断装置１６とが互いに別個の機器として構成されている場合を例に説明したが、これに限定されるものではない。例えば、管理装置１０と管理端末１４とは、同じ機器で構成されてもよい。また、例えば、管理装置１０とネットワーク遮断装置１６とも、同じ機器で構成されてもよい。
【０２５２】
また、上記実施形態では、機器１２を管理装置１０の管理対象とする場合を例に説明したが、管理端末１４、ファイアウォール／プロキシサーバ１８、ネットワーク遮断装置１６等も、機器１２として管理装置１０の管理対象としてもよい。
【０２５３】
また、上記実施形態では、管理装置１０は機器１２の脆弱性に対して対策指示を送信するよう構成したが、これに限定されるものではない。例えば、管理装置１０は、組織１のポリシーとしてインストールを禁止しているソフトウェアが機器１２にインストールされていたときに、当該ソフトウェアのアンインストールを求める対策指示を送信するよう、構成することもできる。あるいは、管理装置１０は、組織１のポリシーとしてインストールを必須としているソフトウェアが機器１２にインストールされていないときに、当該ソフトウェアのインストールを求める対策指示を送信するよう、構成することもできる。
【０２５４】
また、上記実施形態では、記憶装置１０４に、脆弱性情報、構成情報、脆弱性調査の結果及び例外申請が格納される各データベースが記憶されている場合について説明したが、これに限定されるものではない。例えば、これらのデータベースを記憶装置１０４に記憶することに代えて、これらのデータベースを記憶するデータベースサーバが管理装置１０とは別個に設置されていてもよい。
【０２５５】
また、上記実施形態では、例外申請の回数自体を計算する場合を例に説明したが、これに限定されるものではない。例えば、例外申請の回数は、その回数のソフトウェア構成の変更指示の回数に対する割合を示す相対的な回数として計算することもできる。
【０２５６】
また、上記の各実施形態の機能を実現するように該実施形態の構成を動作させるプログラムを記録媒体に記録させ、該記録媒体に記録されたプログラムをコードとして読み出し、コンピュータにおいて実行する処理方法も各実施形態の範疇に含まれる。すなわち、コンピュータ読取可能な記録媒体も各実施形態の範囲に含まれる。また、上述のコンピュータプログラムが記録された記録媒体はもちろん、そのコンピュータプログラム自体も各実施形態に含まれる。
【０２５７】
該記録媒体としては、例えばフロッピー（登録商標）ディスク、ハードディスク、光ディスク、光磁気ディスク、ＣＤ−ＲＯＭ（Compact  Disc-Read  Only  Memory）、磁気テープ、不揮発性メモリカード、ＲＯＭを用いることができる。また、該記録媒体に記録されたプログラム単体で処理を実行しているものに限らず、他のソフトウェア、拡張ボードの機能と共同して、ＯＳ（Operating  System）上で動作して処理を実行するものも各実施形態の範疇に含まれる。
【０２５８】
上記の各実施形態の機能により実現されるサービスは、ＳａａＳ（Software  as  a  Service）の形態でユーザに対して提供することもできる。
【０２５９】
上記実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。
【０２６０】
（付記１）
機器のソフトウェア構成の変更を指示する変更指示に対する、前記機器の前記ソフトウェア構成を変更しない旨の申請を受け付ける受付部と、
前記変更指示に関連する時点及び前記受付部により受け付けられた前記申請の時点に基づき、前記申請を否認する処理部と
を有することを特徴とする管理装置。
【０２６１】
（付記２）
前記処理部は、前記申請を否認する場合に、通知又は前記機器のネットワークからの遮断を行う
ことを特徴とする付記１記載の管理装置。
【０２６２】
（付記３）
前記処理部は、前記変更指示が行われた時点と前記申請が行われた前記時点との間の時間に基づき、前記申請を否認する
ことを特徴とする付記１又は２に記載の管理装置。
【０２６３】
（付記４）
前記変更指示は、変更期限までの前記ソフトウェア構成の変更を指示するものであり、
前記処理部は、前記申請が行われた前記時点と前記変更期限との間の時間に基づき、前記申請を否認する
ことを特徴とする付記１乃至３のいずれかに記載の管理装置。
【０２６４】
（付記５）
前記処理部は、前記申請のうちの理由が同じである前記申請の件数に基づき、前記申請を否認する
ことを特徴とする付記１乃至４のいずれかに記載の管理装置。
【０２６５】
（付記６）
前記処理部は、前記変更指示に関連する時点と前記申請の時点との間の時間が第１の閾値を下回る場合に第１の通知又は前記機器のネットワークからの遮断を行い、前記時間が前記第１の閾値よりも小さな第２の閾値を下回る場合に第２の通知又は前記機器の前記ネットワークからの遮断を行う
ことを特徴とする付記１乃至５のいずれかに記載の管理装置。
【０２６６】
（付記７）
機器のソフトウェア構成の変更を指示する変更指示に対する、前記機器の前記ソフトウェア構成を変更しない旨の申請を受け付け、
前記変更指示に関連する時点及び受け付けられた前記申請の時点に基づき、前記申請を否認する
ことを特徴とする管理方法。
【０２６７】
（付記８）
コンピュータに、
機器のソフトウェア構成の変更を指示する変更指示に対する、前記機器の前記ソフトウェア構成を変更しない旨の申請を受け付け、
前記変更指示に関連する時点及び受け付けられた前記申請の時点に基づき、前記申請を否認する
ことを実行させるプログラムが記録された記録媒体。
【０２６８】
以上、実施形態を参照して本発明を説明したが、本発明は上記実施形態に限定されものではない。本発明の構成や詳細には、本発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
【０２６９】
この出願は、２０１８年２月２８日に出願された日本出願特願２０１８−０３４７９１を基礎とする優先権を主張し、その開示の全てをここに取り込む。
【符号の説明】
【０２７０】
１…組織
２…システム
１０…管理装置
１２…機器
１４…管理端末
１６…ネットワーク遮断装置
１８…ファイアウォール／プロキシサーバ
２０…組織内ネットワーク
２２…インターネット
２４…情報配信サーバ
１０００…管理装置
１００２…受付部
１００４…処理部
Ａ…管理者
Ｕ…利用者
【図１】
0006897861.tif 000002
【図２】
0006897861.tif 000003
【図３】
0006897861.tif 000004
【図４Ａ】
0006897861.tif 000005
【図４Ｂ】
0006897861.tif 000006
【図５】
0006897861.tif 000007
【図６】
0006897861.tif 000008
【図７】
0006897861.tif 000009
【図８】
0006897861.tif 000010
【図９】
0006897861.tif 000011
【図１０】
0006897861.tif 000012
【図１１】
0006897861.tif 000013
【図１２】
0006897861.tif 000014
【図１３】
0006897861.tif 000015
【図１４】
0006897861.tif 000016
【図１５】
0006897861.tif 000017
【図１６】
0006897861.tif 000018
【図１７】
0006897861.tif 000019