(57)【特許請求の範囲】
【請求項１】
ファイルを格納するシステムに格納されるファイルと、当該ファイルにアクセス可能なユーザまたは当該ファイルの内容をコピー可能な他のファイルと、前記ユーザまたは前記他のファイルから前記システムに格納されるファイルへのアクセス経路を表現したアクセス経路情報を記憶するアクセス経路情報格納手段と、
前記システムにおけるネットワーク構成、前記システムに格納されたファイルのファイル名および格納場所、前記システムに搭載されたオペレーティングシステムまたはアプリケーションを利用するユーザに関する情報を含む設定情報を記憶する設定情報格納手段と、
情報漏洩の可能性がある経路を表す情報漏洩経路情報と前記アクセス経路情報とを照合して、前記情報漏洩経路情報によって表される経路が前記アクセス経路情報内に表されているか否かを判定する経路判定手段と、
前記情報漏洩経路情報によって表される経路が前記アクセス経路情報内に表されていると判定された場合に、当該経路に対応付けられた設定情報を特定し、当該設定情報を前記設定情報格納手段から読み込む設定情報特定手段と、
前記設定情報を出力する結果出力手段と
を備えたことを特徴とする情報漏洩分析システム。
【請求項２】
情報漏洩の可能性がある経路を遮断する設定案を、設定情報の記載内容に対応付けて記憶する情報漏洩対策案格納手段と、
設定情報特定手段が特定した設定情報の内容に対応付けられた設定案を情報漏洩対策案格納手段から読み込んで出力する情報漏洩対策案提案手段とを備えた
請求項１に記載の情報漏洩分析システム。
【請求項３】
情報漏洩対策案提案手段が情報漏洩対策案格納手段から読み込んだ設定案に応じて、ファイルを格納するシステムの設定を変更する対策実行手段を備えた
請求項２に記載の情報漏洩分析システム。
【請求項４】
情報漏洩対策案提案手段が情報漏洩対策案格納手段から読み込んだ設定案を表示して、当該設定案に対する編集操作を促すユーザインタフェースを表示し、当該ユーザインタフェースで前記設定案に対する編集操作が行われた場合、前記編集操作に応じて前記設定案を更新する設定変更入力手段を備えた
請求項２に記載の情報漏洩分析システム。
【請求項５】
情報漏洩対策案提案手段が情報漏洩対策案格納手段から読み込んだ各設定案に対して、情報漏洩経路の流通元に近い順又は設定変更するノードまたはアークを共有するアクセス経路の少ない順に順位付けすることにより、各設定案に応じてシステムの設定を変更した場合におけるシステムへの影響が少ないと判定される順に順位を決定する情報漏洩対策案優先順位決定手段を備え、
情報漏洩対策案提案手段は、情報漏洩対策案優先順位決定手段に決定された順位に従って前記各設定案を表示する
請求項２に記載の情報漏洩分析システム。
【請求項６】
情報漏洩経路情報を入力する情報漏洩経路情報入力手段を備えた
請求項１に記載の情報漏洩分析システム。
【請求項７】
情報漏洩の可能性がある経路における流通元と流通先をファイルまたはユーザの属性によって表した属性利用情報漏洩経路情報を入力する属性利用情報漏洩経路情報入力手段と、
ファイルまたはユーザの属性と、当該属性を有するファイルまたはユーザの情報との対応関係を記憶する属性情報格納手段と、
前記対応関係を参照して、属性利用情報漏洩経路情報に含まれる属性をファイルまたはユーザの情報に置き換えることにより、属性利用情報漏洩経路情報を情報漏洩経路情報に変換する変換手段とを備えた
請求項１に記載の情報漏洩分析システム。
【請求項８】
ファイルを格納するシステムから設定情報を収集し、前記設定情報に記述された内容の属性を解析し、前記設定情報に記述された内容と、解析によって特定した属性との対応関係を属性情報格納手段に記憶させる属性情報解析手段を備えた
請求項７に記載の情報漏洩分析システム。
【請求項９】
ファイルを格納するシステムにおけるネットワーク構成、前記システムに格納されたファイルのファイル名および格納場所、前記システムに搭載されたオペレーティングシステムまたはアプリケーションを利用するユーザに関する情報を含む設定情報を前記システムから収集する設定情報収集手段と、
前記システムに格納されるファイルと、当該ファイルにアクセス可能なユーザまたは当該ファイルの内容をコピー可能な他のファイルと、前記ユーザまたは前記他のファイルから前記システムに格納されるファイルへのアクセス経路を表現したアクセス経路情報を、前記設定情報に基づいて生成するアクセス経路情報生成手段と、
情報漏洩の可能性がある経路を表す情報漏洩経路情報と前記アクセス経路情報とを照合して、前記情報漏洩経路情報によって表される経路が前記アクセス経路情報内に表されているか否かを判定する経路判定手段と、
前記情報漏洩経路情報によって表される経路が前記アクセス経路情報内に表されていると判定された場合に、当該経路の情報を出力する結果出力手段と
を備えたことを特徴とする情報漏洩分析システム。
【請求項１０】
アクセス経路情報生成手段がアクセス経路情報を生成する際に用いた設定情報を、前記アクセス経路情報との対応関係を示す情報とともに記憶する設定情報格納手段と、
情報漏洩経路情報によって表される経路が前記アクセス経路情報内に表されていると判定された場合に、当該経路に対応付けられた設定情報を特定し、当該設定情報を前記設定情報格納手段から読み込む設定情報特定手段とを備え、
前記結果出力手段は、前記設定情報特定手段が特定した設定情報を出力する
請求項９に記載の情報漏洩分析システム。
【請求項１１】
情報漏洩の可能性がある経路を遮断する設定案を、設定情報の記載内容に対応付けて記憶する情報漏洩対策案格納手段と、
設定情報特定手段が特定した設定情報の内容に対応付けられた設定案を情報漏洩対策案格納手段から読み込んで出力する情報漏洩対策案提案手段とを備えた
請求項１０に記載の情報漏洩分析システム。
【請求項１２】
情報漏洩対策案提案手段が情報漏洩対策案格納手段から読み込んだ設定案に応じて、ファイルを格納するシステムの設定を変更する対策実行手段を備えた
請求項１１に記載の情報漏洩分析システム。
【請求項１３】
情報漏洩対策案提案手段が情報漏洩対策案格納手段から読み込んだ設定案を表示して、当該設定案に対する編集操作を促すユーザインタフェースを表示し、当該ユーザインタフェースで前記設定案に対する編集操作が行われた場合、前記編集操作に応じて前記設定案を更新する設定変更入力手段を備えた
請求項１１に記載の情報漏洩分析システム。
【請求項１４】
情報漏洩対策案提案手段が情報漏洩対策案格納手段から読み込んだ各設定案に対して、情報漏洩経路の流通元に近い順又は設定変更するノードまたはアークを共有するアクセス経路の少ない順に順位付けすることにより、各設定案に応じてシステムの設定を変更した場合におけるシステムへの影響が少ないと判定される順に順位を決定する情報漏洩対策案優先順位決定手段を備え、
情報漏洩対策案提案手段は、情報漏洩対策案優先順位決定手段に決定された順位に従って前記各設定案を表示する
請求項１１に記載の情報漏洩分析システム。
【請求項１５】
情報漏洩経路情報を入力する情報漏洩経路情報入力手段を備えた
請求項９に記載の情報漏洩分析システム。
【請求項１６】
情報漏洩の可能性がある経路における流通元と流通先をファイルまたはユーザの属性によって表した属性利用情報漏洩経路情報を入力する属性利用情報漏洩経路情報入力手段と、
ファイルまたはユーザの属性と、当該属性を有するファイルまたはユーザの情報との対応関係を記憶する属性情報格納手段と、
前記対応関係を参照して、属性利用情報漏洩経路情報に含まれる属性をファイルまたはユーザの情報に置き換えることにより、属性利用情報漏洩経路情報を情報漏洩経路情報に変換する変換手段とを備えた
請求項９に記載の情報漏洩分析システム。
【請求項１７】
ファイルを格納するシステムから設定情報を収集し、前記設定情報に記述された内容の属性を解析し、前記設定情報に記述された内容と、解析によって特定した属性との対応関係を属性情報格納手段に記憶させる属性情報解析手段を備えた
請求項１６に記載の情報漏洩分析システム。
【請求項１８】
ファイルを格納するシステムに格納されるファイルと、当該ファイルにアクセス可能なユーザまたは当該ファイルの内容をコピー可能な他のファイルと、前記ユーザまたは前記他のファイルから前記システムに格納されるファイルへのアクセス経路を表現したアクセス経路情報を記憶するアクセス経路情報格納手段と、
アクセス経路情報に含まれる任意のファイルを流通元として指定し、アクセス経路情報に含まれる任意のユーザまたはファイルを流通先として指定する経路情報を作成する経路情報作成手段と、
前記経路情報作成手段によって作成された経路情報が指定する流通元から流通先への経路が前記アクセス経路情報に表されているか否かを判定する経路判定手段と、
前記アクセス経路情報に表されていると判定された経路情報が指定する流通元のファイルと、流通先のファイルまたはユーザと、前記流通元と前記流通先との間の経路を表示する表示手段とを備えた
ことを特徴とする情報漏洩分析システム。
【請求項１９】
ファイルを格納するシステムにおけるネットワーク構成、前記システムに格納されたファイルのファイル名および格納場所、前記システムに搭載されたオペレーティングシステムまたはアプリケーションを利用するユーザに関する情報を含む設定情報を記憶する設定情報格納手段と、
経路情報作成手段によって作成された経路情報が指定する流通元から流通先への経路がアクセス経路情報に表されていると判定された場合に、当該経路に対応付けられた設定情報を特定し、当該設定情報を前記設定情報格納手段から読み込む設定情報特定手段と、
前記設定情報を出力する結果出力手段とを備えた
請求項１８に記載の情報漏洩分析システム。
【請求項２０】
情報漏洩の可能性がある経路を遮断する設定案を、設定情報の記載内容に対応付けて記憶する情報漏洩対策案格納手段と、
設定情報特定手段が特定した設定情報の内容に対応付けられた設定案を情報漏洩対策案格納手段から読み込んで出力する情報漏洩対策案提案手段とを備えた
請求項１９に記載の情報漏洩分析システム。
【請求項２１】
情報漏洩対策案提案手段が情報漏洩対策案格納手段から読み込んだ設定案に応じて、ファイルを格納するシステムの設定を変更する対策実行手段を備えた
請求項２０に記載の情報漏洩分析システム。
【請求項２２】
情報漏洩対策案提案手段が情報漏洩対策案格納手段から読み込んだ設定案を表示して、当該設定案に対する編集操作を促すユーザインタフェースを表示し、当該ユーザインタフェースで前記設定案に対する編集操作が行われた場合、前記編集操作に応じて前記設定案を更新する設定変更入力手段を備えた
請求項２０に記載の情報漏洩分析システム。
【請求項２３】
情報漏洩対策案提案手段が情報漏洩対策案格納手段から読み込んだ各設定案に対して、情報漏洩経路の流通元に近い順又は設定変更するノードまたはアークを共有するアクセス経路の少ない順に順位付けすることにより、各設定案に応じてシステムの設定を変更した場合におけるシステムへの影響が少ないと判定される順に順位を決定する情報漏洩対策案優先順位決定手段を備え、
情報漏洩対策案提案手段は、情報漏洩対策案優先順位決定手段に決定された順位に従って前記各設定案を表示する
請求項２０に記載の情報漏洩分析システム。
【請求項２４】
アクセス経路情報格納手段が、ファイルを格納するシステムに格納されるファイルと、当該ファイルにアクセス可能なユーザまたは当該ファイルの内容をコピー可能な他のファイルと、前記ユーザまたは前記他のファイルから前記システムに格納されるファイルへのアクセス経路を表現したアクセス経路情報を記憶し、
設定情報格納手段が、前記システムにおけるネットワーク構成、前記システムに格納されたファイルのファイル名および格納場所、前記システムに搭載されたオペレーティングシステムまたはアプリケーションを利用するユーザに関する情報を含む設定情報を記憶し、
経路判定手段が、情報漏洩の可能性がある経路を表す情報漏洩経路情報と前記アクセス経路情報とを照合して、前記情報漏洩経路情報によって表される経路が前記アクセス経路情報内に表されているか否かを判定し、
設定情報特定手段が、前記情報漏洩経路情報によって表される経路が前記アクセス経路情報内に表されていると判定された場合に、当該経路に対応付けられた設定情報を特定し、当該設定情報を前記設定情報格納手段から読み込み、
結果出力手段が、前記設定情報を出力する
ことを特徴とする情報漏洩分析方法。
【請求項２５】
設定情報収集手段が、ファイルを格納するシステムにおけるネットワーク構成、前記システムに格納されたファイルのファイル名および格納場所、前記システムに搭載されたオペレーティングシステムまたはアプリケーションを利用するユーザに関する情報を含む設定情報を前記システムから収集し、
アクセス経路情報生成手段が、前記システムに格納されるファイルと、当該ファイルにアクセス可能なユーザまたは当該ファイルの内容をコピー可能な他のファイルと、前記ユーザまたは前記他のファイルから前記システムに格納されるファイルへのアクセス経路を表現したアクセス経路情報を、前記設定情報に基づいて生成し、
経路判定手段が、情報漏洩の可能性がある経路を表す情報漏洩経路情報と前記アクセス経路情報とを照合して、前記情報漏洩経路情報によって表される経路が前記アクセス経路情報内に表されているか否かを判定し、
結果出力手段が、前記情報漏洩経路情報によって表される経路が前記アクセス経路情報内に表されていると判定された場合に、当該経路の情報を出力する
ことを特徴とする情報漏洩分析方法。
【請求項２６】
アクセス経路情報格納手段が、ファイルを格納するシステムに格納されるファイルと、当該ファイルにアクセス可能なユーザまたは当該ファイルの内容をコピー可能な他のファイルと、前記ユーザまたは前記他のファイルから前記システムに格納されるファイルへのアクセス経路を表現したアクセス経路情報を記憶し、
経路情報作成手段が、アクセス経路情報に含まれる任意のファイルを流通元として指定し、アクセス経路情報に含まれる任意のユーザまたはファイルを流通先として指定する経路情報を作成し、
経路判定手段が、前記経路情報作成手段によって作成された経路情報が指定する流通元から流通先への経路が前記アクセス経路情報に表されているか否かを判定し、
表示手段が、前記アクセス経路情報に表されていると判定された経路情報が指定する流通元のファイルと、流通先のファイルまたはユーザと、前記流通元と前記流通先との間の経路を表示する
ことを特徴とする情報漏洩分析方法。
【請求項２７】
ファイルを格納するシステムに格納されるファイルと、当該ファイルにアクセス可能なユーザまたは当該ファイルの内容をコピー可能な他のファイルと、前記ユーザまたは前記他のファイルから前記システムに格納されるファイルへのアクセス経路を表現したアクセス経路情報を記憶するアクセス経路情報格納手段と、前記システムにおけるネットワーク構成、前記システムに格納されたファイルのファイル名および格納場所、前記システムに搭載されたオペレーティングシステムまたはアプリケーションを利用するユーザに関する情報を含む設定情報を記憶する設定情報格納手段とを備えたコンピュータに搭載される情報漏洩分析プログラムであって、
前記コンピュータに、
情報漏洩の可能性がある経路を表す情報漏洩経路情報と前記アクセス経路情報とを照合して、前記情報漏洩経路情報によって表される経路が前記アクセス経路情報内に表されているか否かを判定する経路判定処理、
前記情報漏洩経路情報によって表される経路が前記アクセス経路情報内に表されていると判定された場合に、当該経路に対応付けられた設定情報を特定し、当該設定情報を前記設定情報格納手段から読み込む設定情報特定処理、および
前記設定情報を出力する結果出力処理
を実行させるための情報漏洩分析プログラム。
【請求項２８】
コンピュータに、
ファイルを格納するシステムにおけるネットワーク構成、前記システムに格納されたファイルのファイル名および格納場所、前記システムに搭載されたオペレーティングシステムまたはアプリケーションを利用するユーザに関する情報を含む設定情報を前記システムから収集する設定情報収集処理、
前記システムに格納されるファイルと、当該ファイルにアクセス可能なユーザまたは当該ファイルの内容をコピー可能な他のファイルと、前記ユーザまたは前記他のファイルから前記システムに格納されるファイルへのアクセス経路を表現したアクセス経路情報を、前記設定情報に基づいて生成するアクセス経路情報生成処理、
情報漏洩の可能性がある経路を表す情報漏洩経路情報と前記アクセス経路情報とを照合して、前記情報漏洩経路情報によって表される経路が前記アクセス経路情報内に表されているか否かを判定する経路判定処理、および
前記情報漏洩経路情報によって表される経路が前記アクセス経路情報内に表されていると判定された場合に、当該経路の情報を出力する結果出力処理
を実行させるための情報漏洩分析プログラム。
【請求項２９】
ファイルを格納するシステムに格納されるファイルと、当該ファイルにアクセス可能なユーザまたは当該ファイルの内容をコピー可能な他のファイルと、前記ユーザまたは前記他のファイルから前記システムに格納されるファイルへのアクセス経路を表現したアクセス経路情報を記憶するアクセス経路情報格納手段を備えたコンピュータに搭載される情報漏洩分析プログラムであって、
前記コンピュータに、
アクセス経路情報に含まれる任意のファイルを流通元として指定し、アクセス経路情報に含まれる任意のユーザまたはファイルを流通先として指定する経路情報を作成する経路情報作成処理、
前記経路情報作成処理で作成された経路情報が指定する流通元から流通先への経路が前記アクセス経路情報に表されているか否かを判定する経路判定処理、および
前記アクセス経路情報に表されていると判定された経路情報が指定する流通元のファイルと、流通先のファイルまたはユーザと、前記流通元と前記流通先との間の経路を表示する表示処理
を実行させるための情報漏洩分析プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ファイル等の情報の漏洩の可能性を分析する情報漏洩分析システム、情報漏洩分析方法、および情報漏洩分析プログラムに関する。
【背景技術】
【０００２】
情報漏洩の可能性のあるファイルを発見し、情報漏洩を未然に防止するためのシステムが種々提案されている（例えば、特許文献１，非特許文献１参照。）。図５３は、特許文献１に記載のシステムを示す説明図である。図５３に示すように、特許文献１に記載されたシステムは、ファイル位置検出手段と、ファイル属性設定手段と、ファイル位置比較手段と、プログラム実行手段とを含んでいて、以下のように動作する。ファイル属性設定手段は、ファイルの存在位置として許される位置を設定する。次に、ファイル位置検出手段がファイルの存在位置を検出する。ファイル位置比較手段は、ファイル属性設定手段によって設定されたファイルの存在位置と、ファイル位置検出手段によって検出されたファイルの存在位置とを比較する。ファイル属性設定手段によって設定された存在位置の範囲外にファイルが存在するならば、情報漏洩ファイルであると判断し、プログラム実行手段が、そのファイルを削除したり、暗号化したりする。以上の動作により、情報漏洩の可能性のあるファイルを発見し、情報漏洩を防止できる。【０００３】
また、非特許文献２には、以下のような動作が示されている。まず、情報漏洩させてはいけないファイルに含まれる文字列をキーワードとして登録する。次に、流通しているファイルを解析し、ファイル中に含まれる文字列を抜き出す。そして、ファイルから抜き出された文字列が、登録された文字列群に含まれているかどうかを判定する。ファイルから抜き出された文字列が登録されているときには、そのファイルを情報漏洩の可能性のあるファイルであると判定し、そのファイルの流通の中断を指令する。以上の動作により、ファイルによる情報漏洩の可能性を判断し、情報漏洩を防止できる。【０００４】
【特許文献１】特開２００３−３６２０８号公報（第５−１０ページ、図１）
【０００５】
【非特許文献１】“ｅＴｒｕｓｔ  Ｓｅｃｕｒｅ  Ｃｏｎｔｅｎｔ  Ｍａｎａｇｅｒ  ｒ１．１”、［online］、平成１６年９月、コンピュータ・アソシエイツ株式会社、［平成１６年１１月２５日検索］、インターネット＜URL: http://www.caj.co.jp/etrust/scm/pdf/pd.pdf ＞
【発明の開示】
【発明が解決しようとする課題】
【０００６】
従来のシステムでは、ファイルを格納するシステムの設定状況（例えば、ファイルへのアクセス権の設定や、そのシステムに搭載されたアプリケーションの設定の状況等）に応じて、情報漏洩の可能性を判定することはできなかった。その理由は、従来技術では、ファイルの内容やファイルの存在位置を基準として、情報漏洩の可能性を判定していたためである。【０００７】
また、漏洩したファイルがどこに格納されていたファイルであるのか、あるいは、そのファイルの漏洩の起因となった設定等を特定することができなかった。従来技術では、ファイルの内容の解析を通信経路途中で行い、漏洩してはならないファイルであると判定された場合にその通信を遮断して、情報漏洩を防止している。そのため、通信を遮断してファイルの漏洩を防いだとしても、そのファイルがどこに格納されていたか等については判定できなかった。【０００８】
また、ファイルが流通している場合、そのファイルの流通先を判定できることが好ましい。【０００９】
本発明は、ファイルを格納するシステムの設定状況に応じて、情報漏洩の可能性を判定できるようにすることを目的とする。また、ファイルが漏洩することを未然に防げるようにすることを目的とする。また、本発明は、漏洩する可能性のあるファイルがどこに格納されているファイルであるのか、あるいは、そのファイルの漏洩の起因となる設定等を特定できるようにすることを目的とする。
【課題を解決するための手段】
【００１０】
本発明による情報漏洩分析システムは、ファイルを格納するシステムに格納されるファイルと、当該ファイルにアクセス可能なユーザまたは当該ファイルの内容をコピー可能な他のファイルと、ユーザまたは他のファイルからシステムに格納されるファイルへのアクセス経路を表現したアクセス経路情報を記憶するアクセス経路情報格納手段と、システムにおけるネットワーク構成、システムに格納されたファイルのファイル名および格納場所、システムに搭載されたオペレーティングシステムまたはアプリケーションを利用するユーザに関する情報を含む設定情報を記憶する設定情報格納手段と、情報漏洩の可能性がある経路を表す情報漏洩経路情報とアクセス経路情報とを照合して、情報漏洩経路情報によって表される経路がアクセス経路情報内に表されているか否かを判定する経路判定手段と、情報漏洩経路情報によって表される経路がアクセス経路情報内に表されていると判定された場合に、当該経路に対応付けられた設定情報を特定し、当該設定情報を設定情報格納手段から読み込む設定情報特定手段と、設定情報を出力する結果出力手段とを備えたことを特徴とする。【００１１】
そのような構成によれば、経路判定手段が、情報漏洩の可能性がある経路を表す情報漏洩経路情報とアクセス経路情報とを照合して、情報漏洩経路情報によって表される経路がアクセス経路情報内に表されているか否かを判定し、設定情報特定手段が、情報漏洩経路情報によって表される経路がアクセス経路情報内に表されていると判定された場合に、当該経路に対応付けられた設定情報を特定し、結果出力手段が、その設定情報を出力する。従って、設定情報が出力されたことにより、情報漏洩の可能性を判定できる。また、情報漏洩の可能性がある経路に対応する設定情報が出力されるので、情報漏洩の起因となる設定を特定することができる。【００１２】
本発明による情報漏洩分析システムは、ファイルを格納するシステムにおけるネットワーク構成、システムに格納されたファイルのファイル名および格納場所、システムに搭載されたオペレーティングシステムまたはアプリケーションを利用するユーザに関する情報を含む設定情報をシステムから収集する設定情報収集手段と、システムに格納されるファイルと、当該ファイルにアクセス可能なユーザまたは当該ファイルの内容をコピー可能な他のファイルと、ユーザまたは他のファイルからシステムに格納されるファイルへのアクセス経路を表現したアクセス経路情報を、設定情報に基づいて生成するアクセス経路情報生成手段と、情報漏洩の可能性がある経路を表す情報漏洩経路情報とアクセス経路情報とを照合して、情報漏洩経路情報によって表される経路がアクセス経路情報内に表されているか否かを判定する経路判定手段と、情報漏洩経路情報によって表される経路がアクセス経路情報内に表されていると判定された場合に、当該経路の情報を出力する結果出力手段とを備えたことを特徴とする。【００１３】
そのような構成によれば、経路判定手段が、情報漏洩の可能性がある経路を表す情報漏洩経路情報とアクセス経路情報とを照合して、情報漏洩経路情報によって表される経路がアクセス経路情報内に表されているか否かを判定し、結果出力手段が、情報漏洩経路情報によって表される経路がアクセス経路情報内に表されていると判定された場合に、当該経路の情報を出力する。従って、その経路が出力されたことにより、情報漏洩の可能性を判定できる。また、出力された経路により、漏洩する可能性のあるファイルがどこに格納されているファイルであるのかを判定することができる。また、アクセス経路情報生成手段が、設定情報に基づいてアクセス経路情報を生成するので、ファイルを格納するシステムの設定状況に応じた情報漏洩の可能性を判定することができる。【００１４】
アクセス経路情報生成手段がアクセス経路情報を生成する際に用いた設定情報を、アクセス経路情報との対応関係を示す情報とともに記憶する設定情報格納手段と、情報漏洩経路情報によって表される経路がアクセス経路情報内に表されていると判定された場合に、当該経路に対応付けられた設定情報を特定し、当該設定情報を設定情報格納手段から読み込む設定情報特定手段とを備え、結果出力手段が、設定情報特定手段が特定した設定情報を出力する構成であってもよい。そのような構成によれば、情報漏洩の可能性がある経路に対応する設定情報が出力されるので、情報漏洩の起因となる設定を特定することができる。【００１５】
情報漏洩の可能性がある経路を遮断する設定案を、設定情報の記載内容に対応付けて記憶する情報漏洩対策案格納手段と、設定情報特定手段が特定した設定情報の内容に対応付けられた設定案を情報漏洩対策案格納手段から読み込んで出力する情報漏洩対策案提案手段とを備えた構成であってもよい。そのような構成によれば、情報漏洩の可能性がある経路を遮断する設定案をオペレータに提示することができるので、その結果、ファイル漏洩を未然に防ぐことができる。【００１６】
情報漏洩対策案提案手段が情報漏洩対策案格納手段から読み込んだ設定案に応じて、ファイルを格納するシステムの設定を変更する対策実行手段を備えた構成であってもよい。そのような構成によれば、対策実行手段が、情報漏洩の可能性がある経路を遮断する設定案に応じてシステムの設定を変更するので、ファイル漏洩を未然に防ぐことができる。【００１７】
情報漏洩対策案提案手段が情報漏洩対策案格納手段から読み込んだ設定案を表示して、当該設定案に対する編集操作を促すユーザインタフェースを表示し、当該ユーザインタフェースで設定案に対する編集操作が行われた場合、編集操作に応じて設定案を更新する設定変更入力手段を備えた構成であってもよい。そのような構成によれば、オペレータが設定案を編集することができる。【００１８】
情報漏洩対策案提案手段が情報漏洩対策案格納手段から読み込んだ各設定案に対して、情報漏洩経路の流通元に近い順又は設定変更するノードまたはアークを共有するアクセス経路の少ない順に順位付けすることにより、各設定案に応じてシステムの設定を変更した場合におけるシステムへの影響が少ないと判定される順に順位を決定する情報漏洩対策案優先順位決定手段を備え、情報漏洩対策案提案手段が、情報漏洩対策案優先順位決定手段に決定された順位に従って各設定案を表示する構成であってもよい。そのような構成によれば、システムへの影響が少ない設定案から順にオペレータに提示することができる。
【００１９】
情報漏洩経路情報を入力する情報漏洩経路情報入力手段を備えた構成であってもよい。そのような構成によれば、オペレータが情報漏洩経路情報を指定することができる。【００２０】
情報漏洩の可能性がある経路における流通元と流通先をファイルまたはユーザの属性によって表した属性利用情報漏洩経路情報を入力する属性利用情報漏洩経路情報入力手段と、ファイルまたはユーザの属性と、当該属性を有するファイルまたはユーザの情報との対応関係を記憶する属性情報格納手段と、対応関係を参照して、属性利用情報漏洩経路情報に含まれる属性をファイルまたはユーザの情報に置き換えることにより、属性利用情報漏洩経路情報を情報漏洩経路情報に変換する変換手段とを備えた構成であってもよい。ファイルやユーザの属性情報は、オペレータにとって把握しやすい情報である。従って、そのような構成によれば、情報漏洩の可能性がある経路をオペレータがより簡単に指定することができる。【００２１】
ファイルを格納するシステムから設定情報を収集し、前記設定情報に記述された内容の属性を解析し、前記設定情報に記述された内容と、解析によって特定した属性との対応関係を属性情報格納手段に記憶させる属性情報解析手段を備えた構成であってもよい。【００２２】
本発明による情報漏洩分析システムは、ファイルを格納するシステムに格納されるファイルと、当該ファイルにアクセス可能なユーザまたは当該ファイルの内容をコピー可能な他のファイルと、ユーザまたは他のファイルからシステムに格納されるファイルへのアクセス経路を表現したアクセス経路情報を記憶するアクセス経路情報格納手段と、アクセス経路情報に含まれる任意のファイルを流通元として指定し、アクセス経路情報に含まれる任意のユーザまたはファイルを流通先として指定する経路情報を作成する経路情報作成手段と、経路情報作成手段によって作成された経路情報が指定する流通元から流通先への経路がアクセス経路情報に表されているか否かを判定する経路判定手段と、アクセス経路情報に表されていると判定された経路情報が指定する流通元のファイルと、流通先のファイルまたはユーザと、流通元と流通先との間の経路を表示する表示手段とを備えたことを特徴とする。【００２３】
そのような構成によれば、経路情報作成手段が、アクセス経路情報に含まれる任意のファイルを流通元として指定し、アクセス経路情報に含まれる任意のユーザまたはファイルを流通先として指定する経路情報を作成し、経路判定手段が、経路情報作成手段によって作成された経路情報が指定する流通元から流通先への経路がアクセス経路情報に表されているか否かを判定し、表示手段が、アクセス経路情報に表されていると判定された経路情報が指定する流通元のファイルと、流通先のファイルまたはユーザと、流通元と流通先との間の経路を表示する。従って、アクセス経路情報に含まれる流通元、流通先、およびその間の経路をそれぞれオペレータに提示することができ、オペレータは、アクセス経路情報に含まれる各流通元、流通先、およびその間の経路を参照して、情報漏洩の可能性があるか否かを判定することができる。【００２４】
ファイルを格納するシステムにおけるネットワーク構成、システムに格納されたファイルのファイル名および格納場所、システムに搭載されたオペレーティングシステムまたはアプリケーションを利用するユーザに関する情報を含む設定情報を記憶する設定情報格納手段と、経路情報作成手段によって作成された経路情報が指定する流通元から流通先への経路がアクセス経路情報に表されていると判定された場合に、当該経路に対応付けられた設定情報を特定し、当該設定情報を設定情報格納手段から読み込む設定情報特定手段と、設定情報を出力する結果出力手段とを備えた構成であってもよい。【００２５】
そのような構成によれば、設定情報特定手段が、経路情報作成手段によって作成された経路情報が指定する流通元から流通先への経路がアクセス経路情報に表されていると判定された場合に、当該経路に対応付けられた設定情報を特定し、結果出力手段は、その設定情報を出力する。従って、オペレータが、アクセス経路情報に含まれる各流通元、流通先、およびその間の経路を参照して、情報漏洩の可能性があるか否かを判定する際に、設定情報も出力されるので、オペレータは、情報漏洩の起因となる設定を特定することができる。【００２６】
情報漏洩の可能性がある経路を遮断する設定案を、設定情報の記載内容に対応付けて記憶する情報漏洩対策案格納手段と、設定情報特定手段が特定した設定情報の内容に対応付けられた設定案を情報漏洩対策案格納手段から読み込んで出力する情報漏洩対策案提案手段とを備えた構成であってもよい。そのような構成によれば、情報漏洩の可能性がある経路を遮断する設定案をオペレータに提示することができるので、その結果、ファイル漏洩を未然に防ぐことができる。【００２７】
情報漏洩対策案提案手段が情報漏洩対策案格納手段から読み込んだ設定案に応じて、ファイルを格納するシステムの設定を変更する対策実行手段を備えた構成であってもよい。そのような構成によれば、対策実行手段が、情報漏洩の可能性がある経路を遮断する設定案に応じてシステムの設定を変更するので、ファイル漏洩を未然に防ぐことができる。【００２８】
情報漏洩対策案提案手段が情報漏洩対策案格納手段から読み込んだ設定案を表示して、当該設定案に対する編集操作を促すユーザインタフェースを表示し、当該ユーザインタフェースで設定案に対する編集操作が行われた場合、編集操作に応じて設定案を更新する設定変更入力手段を備えた構成であってもよい。そのような構成によれば、オペレータが設定案を編集することができる。【００２９】
情報漏洩対策案提案手段が情報漏洩対策案格納手段から読み込んだ各設定案に対して、情報漏洩経路の流通元に近い順又は設定変更するノードまたはアークを共有するアクセス経路の少ない順に順位付けすることにより、各設定案に応じてシステムの設定を変更した場合におけるシステムへの影響が少ないと判定される順に順位を決定する情報漏洩対策案優先順位決定手段を備え、情報漏洩対策案提案手段が、情報漏洩対策案優先順位決定手段に決定された順位に従って各設定案を表示する構成であってもよい。そのような構成によれば、システムへの影響が少ない設定案から順にオペレータに提示することができる。
【００３０】
また、本発明による情報漏洩分析方法は、アクセス経路情報格納手段が、ファイルを格納するシステムに格納されるファイルと、当該ファイルにアクセス可能なユーザまたは当該ファイルの内容をコピー可能な他のファイルと、ユーザまたは他のファイルからシステムに格納されるファイルへのアクセス経路を表現したアクセス経路情報を記憶し、設定情報格納手段が、システムにおけるネットワーク構成、システムに格納されたファイルのファイル名および格納場所、システムに搭載されたオペレーティングシステムまたはアプリケーションを利用するユーザに関する情報を含む設定情報を記憶し、経路判定手段が、情報漏洩の可能性がある経路を表す情報漏洩経路情報とアクセス経路情報とを照合して、情報漏洩経路情報によって表される経路がアクセス経路情報内に表されているか否かを判定し、設定情報特定手段が、情報漏洩経路情報によって表される経路がアクセス経路情報内に表されていると判定された場合に、当該経路に対応付けられた設定情報を特定し、当該設定情報を設定情報格納手段から読み込み、結果出力手段が、設定情報を出力することを特徴とする。【００３１】
そのような方法によれば、経路判定手段が、情報漏洩の可能性がある経路を表す情報漏洩経路情報とアクセス経路情報とを照合して、情報漏洩経路情報によって表される経路がアクセス経路情報内に表されているか否かを判定し、設定情報特定手段が、情報漏洩経路情報によって表される経路がアクセス経路情報内に表されていると判定された場合に、当該経路に対応付けられた設定情報を特定し、結果出力手段が、その設定情報を出力する。従って、設定情報が出力されたことにより、情報漏洩の可能性を判定できる。また、情報漏洩の可能性がある経路に対応する設定情報が出力されるので、情報漏洩の起因となる設定を特定することができる。【００３２】
また、本発明による情報漏洩分析方法は、設定情報収集手段が、ファイルを格納するシステムにおけるネットワーク構成、システムに格納されたファイルのファイル名および格納場所、システムに搭載されたオペレーティングシステムまたはアプリケーションを利用するユーザに関する情報を含む設定情報をシステムから収集し、アクセス経路情報生成手段が、システムに格納されるファイルと、当該ファイルにアクセス可能なユーザまたは当該ファイルの内容をコピー可能な他のファイルと、ユーザまたは他のファイルからシステムに格納されるファイルへのアクセス経路を表現したアクセス経路情報を、設定情報に基づいて生成し、経路判定手段が、情報漏洩の可能性がある経路を表す情報漏洩経路情報とアクセス経路情報とを照合して、情報漏洩経路情報によって表される経路がアクセス経路情報内に表されているか否かを判定し、結果出力手段が、情報漏洩経路情報によって表される経路がアクセス経路情報内に表されていると判定された場合に、当該経路の情報を出力することを特徴とする。【００３３】
そのような方法によれば、経路判定手段が、情報漏洩の可能性がある経路を表す情報漏洩経路情報とアクセス経路情報とを照合して、情報漏洩経路情報によって表される経路がアクセス経路情報内に表されているか否かを判定し、結果出力手段が、情報漏洩経路情報によって表される経路がアクセス経路情報内に表されていると判定された場合に、当該経路の情報を出力する。従って、その経路が出力されたことにより、情報漏洩の可能性を判定できる。また、出力された経路により、漏洩する可能性のあるファイルがどこに格納されているファイルであるのかを判定することができる。また、アクセス経路情報生成手段が、設定情報に基づいてアクセス経路情報を生成するので、ファイルを格納するシステムの設定状況に応じた情報漏洩の可能性を判定することができる。【００３４】
また、本発明による情報漏洩分析方法は、アクセス経路情報格納手段が、ファイルを格納するシステムに格納されるファイルと、当該ファイルにアクセス可能なユーザまたは当該ファイルの内容をコピー可能な他のファイルと、ユーザまたは他のファイルからシステムに格納されるファイルへのアクセス経路を表現したアクセス経路情報を記憶し、経路情報作成手段が、アクセス経路情報に含まれる任意のファイルを流通元として指定し、アクセス経路情報に含まれる任意のユーザまたはファイルを流通先として指定する経路情報を作成し、経路判定手段が、経路情報作成手段によって作成された経路情報が指定する流通元から流通先への経路がアクセス経路情報に表されているか否かを判定し、表示手段が、アクセス経路情報に表されていると判定された経路情報が指定する流通元のファイルと、流通先のファイルまたはユーザと、流通元と流通先との間の経路を表示することを特徴とする。【００３５】
そのような方法によれば、経路情報作成手段が、アクセス経路情報に含まれる任意のファイルを流通元として指定し、アクセス経路情報に含まれる任意のユーザまたはファイルを流通先として指定する経路情報を作成し、経路判定手段が、経路情報作成手段によって作成された経路情報が指定する流通元から流通先への経路がアクセス経路情報に表されているか否かを判定し、表示手段が、アクセス経路情報に表されていると判定された経路情報が指定する流通元のファイルと、流通先のファイルまたはユーザと、流通元と流通先との間の経路を表示する。従って、アクセス経路情報に含まれる流通元、流通先、およびその間の経路をそれぞれオペレータに提示することができ、オペレータは、アクセス経路情報に含まれる各流通元、流通先、およびその間の経路を参照して、情報漏洩の可能性があるか否かを判定することができる。【００３６】
また、本発明による情報漏洩分析プログラムは、ファイルを格納するシステムに格納されるファイルと、当該ファイルにアクセス可能なユーザまたは当該ファイルの内容をコピー可能な他のファイルと、ユーザまたは他のファイルからシステムに格納されるファイルへのアクセス経路を表現したアクセス経路情報を記憶するアクセス経路情報格納手段と、システムにおけるネットワーク構成、システムに格納されたファイルのファイル名および格納場所、システムに搭載されたオペレーティングシステムまたはアプリケーションを利用するユーザに関する情報を含む設定情報を記憶する設定情報格納手段とを備えたコンピュータに搭載される情報漏洩分析プログラムであって、コンピュータに、情報漏洩の可能性がある経路を表す情報漏洩経路情報とアクセス経路情報とを照合して、情報漏洩経路情報によって表される経路がアクセス経路情報内に表されているか否かを判定する経路判定処理、情報漏洩経路情報によって表される経路がアクセス経路情報内に表されていると判定された場合に、当該経路に対応付けられた設定情報を特定し、当該設定情報を設定情報格納手段から読み込む設定情報特定処理、および設定情報を出力する結果出力処理を実行させることを特徴とする。そのようなプログラムによれば、設定情報が出力されたことにより、情報漏洩の可能性を判定できる。また、情報漏洩の可能性がある経路に対応する設定情報が出力されるので、情報漏洩の起因となる設定を特定することができる。【００３７】
また、本発明による情報漏洩分析プログラムは、コンピュータに、ファイルを格納するシステムにおけるネットワーク構成、システムに格納されたファイルのファイル名および格納場所、システムに搭載されたオペレーティングシステムまたはアプリケーションを利用するユーザに関する情報を含む設定情報をシステムから収集する設定情報収集処理、システムに格納されるファイルと、当該ファイルにアクセス可能なユーザまたは当該ファイルの内容をコピー可能な他のファイルと、ユーザまたは他のファイルからシステムに格納されるファイルへのアクセス経路を表現したアクセス経路情報を、設定情報に基づいて生成するアクセス経路情報生成処理、情報漏洩の可能性がある経路を表す情報漏洩経路情報とアクセス経路情報とを照合して、情報漏洩経路情報によって表される経路がアクセス経路情報内に表されているか否かを判定する経路判定処理、および情報漏洩経路情報によって表される経路がアクセス経路情報内に表されていると判定された場合に、当該経路の情報を出力する結果出力処理を実行させることを特徴とする。【００３８】
そのようなプログラムによれば、コンピュータに、情報漏洩の可能性がある経路を表す情報漏洩経路情報とアクセス経路情報とを照合して、情報漏洩経路情報によって表される経路がアクセス経路情報内に表されているか否かを判定する経路判定処理、および情報漏洩経路情報によって表される経路がアクセス経路情報内に表されていると判定された場合に、当該経路の情報を出力する結果出力処理を実行させる。従って、その経路が出力されたことにより、情報漏洩の可能性を判定できる。また、出力された経路により、漏洩する可能性のあるファイルがどこに格納されているファイルであるのかを判定することができる。また、コンピュータに、設定情報に基づいてアクセス経路情報を生成するアクセス経路情報生成処理を実行させるので、ファイルを格納するシステムの設定状況に応じた情報漏洩の可能性を判定することができる。【００３９】
また、本発明による情報漏洩分析プログラムは、ファイルを格納するシステムに格納されるファイルと、当該ファイルにアクセス可能なユーザまたは当該ファイルの内容をコピー可能な他のファイルと、ユーザまたは他のファイルからシステムに格納されるファイルへのアクセス経路を表現したアクセス経路情報を記憶するアクセス経路情報格納手段を備えたコンピュータに搭載される情報漏洩分析プログラムであって、コンピュータに、アクセス経路情報に含まれる任意のファイルを流通元として指定し、アクセス経路情報に含まれる任意のユーザまたはファイルを流通先として指定する経路情報を作成する経路情報作成処理、経路情報作成処理で作成された経路情報が指定する流通元から流通先への経路がアクセス経路情報に表されているか否かを判定する経路判定処理、およびアクセス経路情報に表されていると判定された経路情報が指定する流通元のファイルと、流通先のファイルまたはユーザと、流通元と流通先との間の経路を表示する表示処理を実行させることを特徴とする。従って、アクセス経路情報に含まれる流通元、流通先、およびその間の経路をそれぞれオペレータに提示することができ、オペレータは、アクセス経路情報に含まれる各流通元、流通先、およびその間の経路を参照して、情報漏洩の可能性があるか否かを判定することができる。
【図面の簡単な説明】
【００４０】
【図１】本発明の第１の実施の形態を示すブロック図である。
【図２】第１の実施の形態における情報漏洩分析システムの動作を示すフローチャートである。
【図３】本発明の第２の実施の形態を示すブロック図である。
【図４】第２の実施の形態における情報漏洩分析システムの動作を示すフローチャートである。
【図５】本発明の第３の実施の形態を示すブロック図である。
【図６】第３の実施の形態における情報漏洩分析システムの動作を示すフローチャートである。
【図７】アクセス経路モデル生成処理の処理経過を示すフローチャートである。
【図８】アクセス経路モデル生成処理の処理経過を示すフローチャートである。
【図９】アクセス経路モデル生成処理の処理経過を示すフローチャートである。
【図１０】本発明の第４の実施の形態を示すブロック図である。
【図１１】第４の実施の形態における情報漏洩分析システムの動作を示すフローチャートである。
【図１２】本発明の第５の実施の形態を示すブロック図である。
【図１３】第５の実施の形態における情報漏洩分析システムの動作を示すフローチャートである。
【図１４】本発明の第６の実施の形態を示すブロック図である。
【図１５】第６の実施の形態における情報漏洩分析システムの動作を示すフローチャートである。
【図１６】本発明の第７の実施の形態を示すブロック図である。
【図１７】第７の実施の形態における情報漏洩分析システムの動作を示すフローチャートである。
【図１８】本発明の第８の実施の形態を示すブロック図である。
【図１９】第８の実施の形態における情報漏洩分析システムの動作を示すフローチャートである。
【図２０】本発明の第９の実施の形態を示すブロック図である。
【図２１】第９の実施の形態における情報漏洩分析システムの動作を示すフローチャートである。
【図２２】本発明の第１０の実施の形態を示すブロック図である。
【図２３】第９の実施の形態における情報漏洩分析システムの動作を示すフローチャートである。
【図２４】属性利用分析対象アクセス経路を入力して、分析対象アクセス経路に変換する処理を示すフローチャートである。
【図２５】ネットワーク構成情報に基づいて作成したアクセス経路モデルを示す説明図である。
【図２６】ネットワーク構成情報の例を示す説明図である。
【図２７】ユーザ情報の例を示す説明図である。
【図２８】ユーザ情報を反映したアクセス経路モデルを示す説明図である。
【図２９】ファイル情報とアクセス権情報の例を示す説明図である。
【図３０】ファイル情報とアクセス権情報を反映したアクセス経路モデルを示す説明図である。
【図３１】ウェブクライアントの設定情報を反映したアクセス経路モデルを示す説明図である。
【図３２】別名定義を反映したアクセス経路モデルを示す説明図である。
【図３３】ユーザ情報の例を示す説明図である。
【図３４】ユーザ情報を反映したアクセス経路モデルを示す説明図である。
【図３５】ファイル情報とアクセス権情報の例を示す説明図である。
【図３６】ファイル情報とアクセス権情報を反映したアクセス経路モデルを示す説明図である。
【図３７】アパッチの設定情報の例を示す説明図である。
【図３８】アパッチの設定情報を反映したアクセス経路モデルを示す説明図である。
【図３９】ファイアウォールのアクセス権情報の例を示す説明図である。
【図４０】フィルタリング設定を反映したアクセス経路モデルを示す説明図である。
【図４１】アクセス経路モデル格納手段に格納されたアクセス経路モデルの例を示す説明図である。
【図４２】アクセスモデル全体の記述例を示す説明図である。
【図４３】分析対象アクセス経路の例を示す説明図である。
【図４４】情報漏洩の可能性のある経路として判定された判定結果の例を示す説明図である。
【図４５】アクセス経路モデルに設定情報を付加した情報の例を示す説明図である。
【図４６】アクセス経路モデルに設定情報を付加した情報の例を示す説明図である。
【図４７】報漏洩対策案を表示するためのユーザインタフェースの例を示す説明図である。
【図４８】編集画面の例を示す説明図である。
【図４９】報漏洩対策案を表示するためのユーザインタフェースの例を示す説明図である。
【図５０】書き換えられたａｐａｃｈｅ設定ファイルの例を示す説明図である。
【図５１】順位に従って、変更候補を表示した画面の例を示す説明図である。
【図５２】設定情報を記述した設定ファイル名も表示するＵＩの例を示す説明図である。
【図５３】従来技術の例を示すブロック図である。
【符号の説明】
【００４１】
１１０  アクセス経路モデル入力手段
１３０  設定情報入力手段
１０１０  検証対象システム
１０４０  アクセス経路モデル格納手段
１０５０  分析対象アクセス経路入力手段
１０６０  アクセス経路判定手段
２０１０  設定情報格納手段
２０２０  設定情報特定手段
３０１０  情報漏洩対策案格納手段
３０３０  設定変更入力手段
３０４０  情報漏洩対策案提案手段
３０５０  対策実行手段
【発明を実施するための最良の形態】
【００４２】
以下、本発明を実施するための最良の形態を図面を参照して説明する。【００４３】
〈実施の形態１〉
図１は、本発明の第１の実施の形態を示すブロック図である。本実施の形態において、情報漏洩分析システムは、アクセス経路モデル入力手段１１０と、アクセス経路モデル格納手段１０４０と、分析対象アクセス経路入力手段１０５０と、アクセス経路判定手段１０６０と、設定情報入力手段１３０と、設定情報格納手段２０１０と、設定情報特定手段２０２０と、情報漏洩対策案格納手段３０１０と、情報漏洩対策案提案手段３０４０と、設定変更入力手段３０３０と、対策実行手段３０５０と、検証対象システム１０１０とを含む。【００４４】
ここで、本発明の説明に用いる語について説明する。
アクセス経路モデルとは、ユーザがどのようなファイルにアクセス可能かを表現し、そのアクセス経路を表現するモデルである。アクセス経路モデルは、ファイルがどのようなファイルにアクセス可能かを表現し、そのアクセス経路を表現していてもよい。ファイルからファイルへのアクセスとは、一方のファイルが、他方のファイルの内容をコピーする態様である。アクセス経路モデルは、設定情報を元に作成される。【００４５】
設定情報とは、検証対象システムのシステム設定と、ネットワーク構成とを含む情報である。【００４６】
システム設定とは、ＯＳ（オペレーティングシステム）や、アプリケーションの振る舞いを規定する設定を表す情報である。システム設定は、ユーザ構成、ファイル構成、アクセス権情報を含む。また、システム設定は、フィルタリング構成、別名定義情報、フィルタリング情報、ユーザ集合情報、権限獲得情報のうち一つ以上を含んでいてもよい。ユーザ構成とは、各アプリケーションや、ＯＳ、ユーザ管理サーバで規定されるユーザＩＤを含むユーザ管理情報であり、ユーザＩＤとそのユーザＩＤの存在位置の情報を含む。すなわち、ユーザ構成は、検証対象システムに搭載されたＯＳやオペレーティングシステムを利用するユーザに関する情報である。ユーザ構成を、ユーザ情報と記す場合もある。ファイル構成とは、ファイル名と、その格納位置を表わす情報であり、ファイル名のほかディレクトリなどの情報を含んでいてもよい。ファイルアクセス権情報とは、ファイルに対するユーザのアクセス権を表わす情報であり、読み込み権、書き込み権を表す。フィルタリング構成とは、ＩＰアドレスや、ポート番号によるネットワークフィルタリング設定を示す情報である。【００４７】
別名定義情報とは、ファイルの別名定義を示す情報である。アプリケーションソフトウェアやＯＳが、同一のファイルをそれぞれ別名で表している場合、そのファイルは、別名定義されているという。例えば、ＯＳで「/var/www/htdoc/index.html 」という名称がつけられたファイルと、ウェブサーバ上で「http://example.com/index.html」という名称がつけられたファイルとが同一のファイルを指しているときに、この２つのファイルは、別名定義されているという。このように異なるＯＳやアプリケーションソフトウェアが、同一のファイルを異なる名称で表していることを示す情報が、別名定義情報である。例えば、ウェブサーバの設定によるalias設定や、ＯＳのシンボリックリンクなどが別名定義情報となる。【００４８】
フィルタリング情報とは、フィルタリング構成で定義されたネットワークフィルタリングの設定が、どのアクセス経路に有効であるかを定義した情報であり、特定のユーザがアクセスしたときに有効なフィルタリング構成があれば、該当するユーザ構成とフィルタリング構成との組が定義された情報となる。ユーザ構成とフィルタリング構成との組以外に、ネットワーク構成同士、ネットワーク構成と、ファイル構成などの組であってもよい。ユーザ集合情報とは、ユーザを複数まとめグループとして扱うことを表す情報である。権限獲得情報とは、ユーザ認証や、アプリケーションの実行ユーザなどの設定によって、ユーザが他のユーザの権限を獲得し、そのユーザとして振舞うことを表す情報である。【００４９】
ネットワーク構成とは、ネットワークインタフェースの接続状況を表す情報である。より具体的には、コンピュータ同士のネットワークでの接続関係を表す情報である。【００５０】
アクセス経路は、例えばノードとアークから構成されるグラフ構造を用いて表現される。ノードには、ユーザ構成をモデル化したユーザノード、ファイル構成をノード化したファイルノード、フィルタリング構成をノード化したネットワークノードがある。アークには、別名定義情報をモデル化した別名定義アーク、アクセス権情報をモデル化したデータ移動関係アーク、フィルタリング情報をモデル化したネットワークアーク、ユーザ集合情報をモデル化した所属アーク、権限獲得関係をモデル化した権限獲得アークがある。アクセス経路モデルにより、ファイルアクセス権によるファイルへのアクセスの可否および、ネットワークフィルタリングによるアクセスの可否が判定でき、そのアクセス経路をユーザノードや、ネットワークノード、ファイルノードを少なくとも一つ以上含む列（ノードの並び）で表現することができる。また、ノードだけでなく、アークを含めた列（ノードやアークの並び）としてもよい。【００５１】
次に、情報漏洩分析システムの各構成部について説明する。アクセス経路モデル入力手段１１０は、検査対象のアクセス経路モデルを入力する。アクセス経路モデル格納手段１０４０は、アクセス経路モデル入力手段１１０によって入力されたアクセス経路モデルを格納し、アクセス経路判定手段１０６０の要求に従いアクセス経路モデルを出力する。【００５２】
分析対象アクセス経路入力手段１０５０は、情報漏洩の判断基準として、分析対象アクセス経路を入力する。情報漏洩の判断基準となる分析対象アクセス経路とは、情報漏洩の判定対象となる流通元ファイルと、その流通先のファイルまたは、ユーザを指定したものである。また、ファイルが通過する途中経路を指定してもよく、アクセス経路モデルの一部をそのまま指定してもよい。分析対象アクセス経路は、アクセス経路モデルの中に、分析対象アクセス経路と合致するファイルからユーザまたはファイルへの経路が存在する場合、その経路による情報漏洩の可能性があることを示している。すなわち、分析対象アクセス経路は、情報漏洩の可能性があり、本来存在してはならない経路（ファイルからユーザまたはファイルへの経路）を表している。分析対象アクセス経路では、ファイルの流通元として、ファイルが指定され、流通先としてファイルまたはユーザが指定される。ファイルの流通先として、例えば、情報漏洩の判定対象ファイルにアクセスするユーザＩＤや、判定対象ファイルを書き込むファイル（コピー先となるファイル）が指定される。ファイルを指定する場合、そのファイルを含むディレクトリ名や、ホスト名や、セグメント名で指定してもよい。分析対象アクセス経路において途中経路を指定する場合、途中経路は、例えば、ネットワークアドレスや、ポート番号、または、それらを含む機器の名前、セグメント名で指定すればよい。【００５３】
アクセス経路判定手段１０６０は、アクセス経路モデル格納手段１０４０からアクセス経路モデルを取り出し、分析対象アクセス経路入力手段１０５０によって入力された分析対象アクセス経路とのマッチングを行うことで、分析対象アクセス経路がアクセス経路モデル上にあるか否かを判定する。分析対象アクセス経路がアクセス経路モデルにあると判定した場合、アクセス経路判定手段１０６０は、分析対象アクセス経路の流通元のファイルを情報漏洩の可能性のあるファイルと定める。さらに、アクセス経路判定手段１０６０は、アクセス経路モデルのうち、分析対象アクセス経路とマッチした部分を情報漏洩経路と定める。【００５４】
設定情報入力手段１３０は、アクセス経路モデルの各要素に対応する設定情報と、検証対象システム１０１０におけるその設定情報の格納場所を示す情報とを入力する。そして、設定情報、およびその設定情報の格納場所を示す情報を、設定情報格納手段２０１０に格納させる（記憶させる）。検証対象システム１０１０における各設定情報の格納場所は、ホスト名、ファイル名、ファイル内で記述位置を示す行数、変数名等で表す。また、設定情報入力手段１３０は、アクセス経路モデルの各要素と、各設定情報との対応関係を示す対応情報も入力し、設定情報格納手段２０１０に格納させる。対応情報は、例えば、オペレータによって作成される。【００５５】
アクセス経路モデル入力手段１１０、分析対象アクセス経路入力手段１０５０、および設定情報入力手段１３０は、例えば、オペレータの操作に応じて、オペレータから情報を入力すればよい。【００５６】
設定情報格納手段２０１０は、設定情報入力手段１３０によって入力された情報（設定情報、対応情報等）を格納し、設定情報特定手段２０２０からの要求に従って、その情報を出力する。【００５７】
設定情報特定手段２０２０は、アクセス経路判定手段１０６０によって分析対象アクセス経路にマッチすると判定されたアクセス経路と、設定情報格納手段２０１０に格納された対応情報とから、そのアクセス経路を生成する原因となった設定情報（アクセス経路を定める元となった設定情報）を特定し、その設定情報を読み込む。【００５８】
情報漏洩対策案提案手段３０４０は、アクセス経路判定手段１０６０によって分析対象アクセス経路にマッチすると判定されたアクセス経路と、設定情報特定手段２０２０によって特定された設定情報とをもとに、マッチしたアクセス経路を遮断する典型的な設定例を情報漏洩対策案格納手段３０１０から取り出し、提示する。また、情報漏洩対策案提案手段３０４０は、情報漏洩対策案格納手段３０１０から対策案を取り出すかわりに、設定変更入力手段３０３０によって対策案を入力してもよく、情報漏洩対策案格納手段３０１０から取り出された対策案の一部もしくは、その全てを変更してもよい。【００５９】
情報漏洩対策案格納手段３０１０は、情報漏洩対策を行うための変更内容と方法と、変更有効化方法を、設定情報ごとに格納する（記憶する）。変更内容としては、現在の設定のテキストのパターンと、変更候補のテキストのパターンを格納する。現在の設定および変更候補のパターンは、例えば、正規表現によって記述される。具体例を挙げると、ＯＳのファイルアクセス権に対する情報漏洩対策案では、例えば、現在の設定として「(.+? +){8}(.*)」、変更候補として「chmod 700 $9」が記述される。また、パケットフィルタリングのルールに関する対策案では、例えば、現在の設定として「(.*)accept」、変更候補として「iptables ?A $1drop」が記述される。なお、ここで示した情報漏洩対策案は、例示であり、上記のものに限定されない。方法（設定の変更方法）については、コマンド実行またはテキスト書き換えがある。コマンド実行とは、設定を行うためのコマンド（例えば、アプリケーションに付属の設定ツールまたは、設定変更用に作成されたアプリケーションの実行コマンド）を実行することである。変更方法がコマンド実行であれば、そのコマンドが情報漏洩対策案の情報の中に記述される。テキスト書き換えとは、アプリケーションの設定がテキストファイルで行われているときに、そのテキストを変更することで設定を変更する態様を意味する。設定有効化方法とは、設定を有効にする方法であり、設定を有効にするコマンドの実行により設定を有効にする態様や、アプリケーションを再起動することで設定を有効にする態様などがある。これらの態様が、情報漏洩対策案の情報の中に記述される。なお、情報漏洩対策案格納手段３０１０は、各情報漏洩対策案を、各種設定情報およびその記載内容に対応させて記憶する。【００６０】
情報漏洩対策案提案手段３０４０は、設定情報特定手段２０２０によって特定された設定情報と、情報漏洩対策案格納手段３０１０から取り出した変更候補となる設定情報を提示（例えば、表示出力）する。このとき、情報漏洩対策案格納手段３０１０が備えられていない場合もしくは、該当する設定変更案が情報漏洩対策案格納手段３０１０に格納されていない場合は、変更候補となる設定情報は、空欄としてもよい。あるいは、現在の設定と同一内容を表示してもよい。【００６１】
設定変更入力手段３０３０は、情報漏洩対策案提案手段３０４０によって提示された情報漏洩対策案の変更、新たな情報漏洩対策案の入力、および、情報漏洩対策案の選択を、オペレータの操作に応じて行う。【００６２】
対策実行手段３０５０は、設定変更入力手段３０３０によって選択された情報漏洩対策を検証対象システムに反映させる。すなわち、選択された設定を検証対象システムに反映させる。【００６３】
次に、動作について説明する。図２は、第１の実施の形態における情報漏洩分析システムの動作を示すフローチャートである。まず、アクセス経路モデル入力手段１１０は、アクセス経路モデルを入力し、アクセス経路モデル格納手段１０４０に格納する（ステップＳ１１）。次に、設定情報入力手段１３０は、入力したアクセス経路モデルに対応する設定情報、検証対象システム１０１０におけるその設定情報の格納場所を示す情報、およびアクセス経路モデルと設定情報との対応関係を示す対応情報を入力し、設定情報格納手段２０１０に格納する（ステップＳ１２）。次に、分析対象アクセス経路入力手段１０５０は、分析対象アクセス経路を入力する。（ステップＳ１３）。【００６４】
続いて、アクセス経路判定手段１０６０は、アクセス経路モデル格納手段１０４０からアクセス経路モデルを取り出し、そのアクセス経路モデルと分析対象アクセス経路とを照合する（ステップＳ１４）。アクセス経路判定手段１０６０（設定情報特定手段２０２０でもよい。）は、ステップＳ１４の照合処理の結果、分析対象アクセス経路とマッチするアクセス経路が存在したか否かを判定する（ステップＳ１４ａ）。分析対象アクセス経路とマッチするアクセス経路があれば（ステップＳ１４ａにおけるＹＥＳ）、設定情報特定手段２０２０は、設定情報格納手段２０１０に格納された対応情報を参照して、マッチしたアクセス経路を生成する原因となった設定情報（アクセス経路を定める元となった設定情報）を取り出す(ステップＳ１５)。【００６５】
次に、情報漏洩対策案提案手段３０４０は、ステップＳ１５で取り出された設定情報を元に、情報漏洩対策案格納手段３０１０に格納された情報漏洩対策案を取り出す(ステップＳ１６)。情報漏洩対策案格納手段３０１０は、各情報漏洩対策案を、各種設定情報およびその記載内容に対応させて記憶しているので、ステップＳ１６では、設定情報に応じた情報漏洩対策案を取り出すことができる。続いて、情報漏洩対策案提案手段３０４０は、アクセス経路の設定情報と、それに対応する情報漏洩対策案の設定情報（変更候補）を表示し、オペレータの操作に応じて、変更候補を修正する(ステップＳ１７)。次に、情報漏洩対策案提案手段３０４０は、表示した各変更候補のうち、検証対象システム１０１０に反映すべき変更候補の選択をオペレータに促し、オペレータの操作に応じて検証対象システム１０１０に反映すべき変更候補を決定する（ステップＳ１８）。対策実行手段３０５０は、決定された変更候補が示す設定内容に従って、検証対象システム１０１０の設定を変更する（ステップＳ１９）。この結果、分析対象アクセス経路に相当するアクセス経路が除外されることとなり、情報漏洩が防止される。【００６６】
次に、第１の実施の形態の効果について説明する。本実施の形態では、検証対象システムを表現したモデルと、モデルとの対応付けを行った設定情報、および情報漏洩の判断基準となる分析対象アクセス経路を入力する。そして、入力した情報に基づいて情報漏洩経路を発見し、修正する構成となっている。よって、ファイルのアクセス経路をモデル上で把握することができ、情報漏洩の可能性があるファイルとそのアクセス経路を特定することができる。また、モデルと対応付けた設定情報に対応する変更候補を提示し、設定を変更するというように構成されているために、情報漏洩の可能性のあるファイルが漏洩しないように容易に設定変更することができる。この結果、情報漏洩を防止することができる。【００６７】
また、情報漏洩対策案提案手段３０４０は、設定情報特定手段によって特定された設定情報を出力する結果出力手段にも相当する。【００６８】
〈実施の形態２〉
図３は、本発明の第２の実施の形態を示すブロック図である。本実施の形態において、情報漏洩分析システムは、第１の実施の形態の構成に加えて、情報漏洩対策優先順位決定手段２１０を備える。既に説明した実施の形態と同様の構成部については、既に説明した構成部と同一の符号を付し、説明を省略する。【００６９】
情報漏洩対策優先順位決定手段２１０は、情報漏洩対策案提案手段３０４０によって提案された複数の設定変更案（設定情報の変更候補）を、変更することが適切な順に順位付けする。順位付けでは、情報漏洩防止のための設定変更による検証対象システム１０１０への影響が小さいものから順に順位付けを行う。設定変更による影響の小さい順に並べる方法として、経路上の位置を用いて決定する方法がある。例えば、情報漏洩経路の流通元に近い順、すなわち流通ファイルの格納場所に関する変更候補、情報漏洩経路のアクセス権に関する変更候補等の順に並べる。これによって、流通ファイルにだけ影響する設定変更から流通ファイル以外への影響が大きな設定変更まで順に並べることができる。また、設定情報変更の影響を、モデルを使って計算してもよい。例えば、情報漏洩対策優先順位決定手段２１０は、設定変更するノードまたはアークを共有するすべての経路をアクセス経路判定手段１０６０に判定させる。そして、情報漏洩対策優先順位決定手段２１０は、設定変更するノードまたはアークを共有するアクセス経路の少ない順に、変更候補を順位付けしてもよい。【００７０】
図４は、第２の実施の形態における情報漏洩分析システムの動作を示すフローチャートである。図４に示すステップＳ１１〜Ｓ１６までの動作は、第１の実施の形態で説明したステップＳ１１〜Ｓ１６の動作と同様である。ステップＳ１６の後、情報漏洩対策優先順位決定手段２１０は、ステップＳ１６で取り出した設定情報の変更候補を、設定変更に伴う検証対象システム１０１０への影響が少ない順に並び替え、その順序を、情報漏洩対策案提案手段３０４０による設定情報の変更候補を含む情報漏洩対策案の表示順とする（ステップＳ２１）。ステップＳ２１の後、ステップＳ１７以降の動作を行う。ステップＳ１７以降の動作は、第１の実施の形態で説明したステップＳ１７以降の動作と同様である。【００７１】
第２の実施の形態では、第１の実施の形態と同様の効果を得ることができる。さらに、さらに、設定情報の変更候補を含む情報漏洩対策案を、設定変更に伴う検証対象システム１０１０への影響が少ない順に並び替えて表示する構成であるので、オペレータ（検証者）は、できるだけ検証対象システムへの影響が少ない対策を容易に選択できる。【００７２】
〈実施の形態３〉
図５は、本発明の第３の実施の形態を示すブロック図である。既に説明した実施の形態と同様の構成部については、既に説明した構成部と同一の符号を付し、詳細な説明を省略する。【００７３】
本実施の形態において、情報漏洩分析システムは、検査対象となるコンピュータやネットワークを含む検証対象システム１０１０と、設定情報収集手段１０２０と、アクセス経路モデル生成手段１０３０と、アクセス経路モデル格納手段１０４０と、分析対象アクセス経路入力手段１０５０と、アクセス経路判定手段１０６０と、結果出力手段１０７０とを備える。【００７４】
検証対象システム１０１０は、検査対象ネットワーク１０１１と、検査対象コンピュータ１０１２と、検査対象コンピュータの設定を格納するシステム情報格納手段１０１３と、ネットワーク構成の設定を格納するネットワーク構成格納手段１０１４とを含む。この点は、既に説明した第１の実施の形態および第２の実施の形態でも同様である。【００７５】
設定情報収集手段１０２０は、検証対象システム１０１０から設定情報を収集する。アクセス経路モデル生成手段１０３０は、設定情報収集手段１０２０が収集した設定情報を元に、アクセス経路モデルを生成する。アクセス経路モデル格納手段１０４０は、アクセス経路モデル生成手段１０３０によって生成されたアクセス経路モデルを格納し、アクセス経路判定手段１０６０の要求により、アクセス経路モデルを出力する。【００７６】
分析対象アクセス経路入力手段１０５０は、情報漏洩の判断基準として、分析対象アクセス経路を入力する。アクセス経路判定手段１０６０は、アクセス経路モデル格納手段１０４０からアクセス経路モデルを取り出し、分析対象アクセス経路入力手段１０５０によって入力された分析対象アクセス経路が、アクセス経路モデルにあるかどうかを判定する。【００７７】
結果出力手段１０７０は、アクセス経路判定手段１０６０によって、分析対象アクセス経路と合致すると判定されたアクセス経路モデル内の経路と、その経路におけるファイルとを表示する。【００７８】
図６は、第３の実施の形態における情報漏洩分析システムの動作を示すフローチャートである。まず、設定情報収集手段１０２０は、検証対象システム１０１０の設定情報を収集する（ステップＳ１１０）。アクセス経路モデル生成手段１０３０は、収集された設定情報に基づき検証対象システム１０１０をモデル化し、アクセス経路モデルを生成する（ステップＳ１２０）。また、生成したアクセス経路モデルをアクセス経路モデル格納手段１０４０に格納する。次に、分析対象アクセス経路入力手段１０５０は、分析対象アクセス経路を入力する（ステップＳ１３０）。次に、アクセス経路判定手段１０６０は、アクセス経路モデル格納手段１０４０から、アクセス経路モデルを取り出し、アクセス経路モデルと、分析対象アクセス経路とのマッチングを取る。（ステップＳ１４０）。結果出力手段１０７０は、マッチングの結果（分析対象アクセス経路と合致すると判定されたアクセス経路モデル内の経路と、その経路におけるファイルの情報）を表示する（ステップＳ１５０）。具体的には、ファイルの情報とそのファイルへのアクセス経路を表示する。【００７９】
次に、アクセス経路モデル生成手段１０３０によるアクセス経路モデル生成処理（ステップＳ１２０、図６参照。）の処理を詳細に説明する。図７、図８および図９は、アクセス経路モデル生成処理の処理経過を示すフローチャートである。アクセス経路モデル生成手段１０３０は、ステップＳ１１０で収集された設定情報のうち、検証対象システム１０１０のネットワーク構成情報を入力する（ステップＳ７０１）。そして、ネットワーク構成情報に含まれるホストを一つ取り出し、検証対象コンピュータとする（ステップＳ７０２）。【００８０】
続いて、アクセス経路モデル生成手段１０３０は、収集された設定情報のうち、検証対象コンピュータの設定情報を読み込み（ステップＳ７０３）、また、その検証対象コンピュータに搭載されたアプリケーションの設定情報を読み込む（ステップＳ７０４）。アクセス経路モデル生成手段１０３０は、読み込んだ設定情報内のユーザ情報を解析し、ユーザノードを作成する（ステップＳ７０５）。続いて、ネットワーク情報を解析し、ネットワークノードを作成する（ステップＳ７０６）。さらに、アクセス経路モデル生成手段１０３０は、読み込んだ設定情報内のグループ情報（ユーザ集合情報）を解析し、グループノードを作成する（ステップＳ７０７）。【００８１】
ステップＳ７０７の後、アクセス経路モデル生成手段１０３０は、グループ情報とユーザ情報を解析し、所属アークを作成する（ステップＳ７０８、図８参照）。また、読み込んだ設定情報内のファイル情報を解析し、ファイルノードを作成する（ステップＳ７０９）。続いて、アクセス経路モデル生成手段１０３０は、ファイル情報とアクセス権情報を解析し、情報伝達アークを作成する（ステップＳ７１０）。また、ネットワーク情報からネットワークアークを作成する（ステップＳ７１１）。【００８２】
ステップＳ７１１の後、アクセス経路モデル生成手段１０３０は、他のアプリケーションの設定情報から作られたノードがあるか否かを判定する（ステップＳ７１２）。そのようなノードがなければ、後述のステップＳ７１７（図９参照。）に移行する。そのようなノードがあれば、アクセス経路モデル生成手段１０３０は、ファイル情報から別名定義アークを作成し（ステップＳ７１３）、ユーザ情報から権限獲得アークを作成する（ステップＳ７１４）。【００８３】
ステップＳ７１４の後、アクセス経路モデル生成手段１０３０は、ファイル情報から別名定義アークを作成し、ユーザ情報から権限獲得アークを作成する（ステップＳ７１６）。続いて、アクセス経路モデル生成手段１０３０は、モデルを作成していないアプリケーションの設定情報があるか否かを判定する（ステップＳ７１７）。そのようなアプリケーションの設定情報があれば、ステップＳ７０４以降の処理を繰り返す。また、そのようなアプリケーションの設定情報がなければ、ネットワーク構成情報に従い、検証対象コンピュータ間のネットワークノードを結ぶネットワークアークを作成する（ステップＳ７１８）。【００８４】
ステップＳ７１８の後、アクセス経路モデル生成手段１０３０は、モデルを作成していない検証対象コンピュータがあるか否かを判定する（ステップＳ７１９）。そのような検証対象コンピュータがあれば、ステップＳ７０２以降の処理を繰り返す。そのような検証対象コンピュータがなければ、アクセス経路モデル生成処理を終了する。【００８５】
次に、本実施の形態の効果について説明する。
本実施の形態では、検証対象システムの設定情報を収集し、設定情報からアクセス経路モデルを生成し、入力した分析対象アクセス経路がそのアクセス経路モデル上に存在するかどうかを分析する構成となっている。従って、ファイルのアクセス経路を把握することができ、情報漏洩の可能性があるかどうかを判断することができる。また、そのアクセス経路を生成する原因となった設定情報を分析することで、情報漏洩を引き起こす設定情報を容易に特定し、情報漏洩を未然に防止することができる。【００８６】
〈実施の形態４〉
図１０は、本発明の第４の実施の形態を示すブロック図である。既に説明した実施の形態と同様の構成部については、既に説明した構成部と同一の符号を付し、詳細な説明を省略する。【００８７】
本実施の形態において、情報漏洩分析システムは、検証対象システム１０１０と、設定情報収集手段１０２０と、アクセス経路モデル生成手段１０３０と、アクセス経路モデル格納手段１０４０と、分析対象アクセス経路入力手段１０５０と、アクセス経路判定手段１０６０と、設定情報格納手段２０１０と、設定情報特定手段２０２０と、結果出力手段２０３０とを備える。検証対象システム１０１０は、検査対象ネットワーク１０１１と、検査対象コンピュータ１０１２と、検査対象コンピュータの設定を格納するシステム設定格納手段１０１３と、ネットワーク構成の設定を格納するネットワーク構成格納手段１０１４とを含む。【００８８】
アクセス経路モデル生成手段１０３０は、設定情報収集手段１０２０によって収集された設定情報を元にアクセス経路モデルを生成する同時に、設定情報格納手段２０１０に、アクセス経路モデルを生成する原因となった設定情報とアクセス経路モデルとの対応情報を格納する（記憶させる）。本実施の形態では、アクセス経路モデル生成手段１０３０が対応情報を生成する。【００８９】
対応情報は、アクセス経路モデルの各要素と各設定情報との対応関係を示す情報である。より具体的には、対応情報は、アクセス経路モデルの構成要素と、その構成要素を作成する原因となった設定情報（その構成要素を定める元となった設定情報）の種類やその設定情報の格納場所との対応関係を示す。設定情報の種類とは、システム設定やネットワーク構成といった種類を表す。設定情報の格納場所とは、設定情報を特定する位置情報であり、例えば、設定情報の格納ホスト名、格納ファイル名、格納ファイル中の位置(行、列など)等で表される。また、アクセス経路モデル生成手段１０３０は、検証対象システム１０１０における設定情報の格納場所の情報を設定情報格納手段２０１０に格納する代わりに、設定情報を事前に収集し集中して設定情報格納手段２０１０に格納し、さらに設定情報格納手段２０１０における設定情報の格納場所の情報も設定情報格納手段２０１０に格納してもよい。また、アクセス経路モデル生成手段１０３０は、設定情報そのものを、その設定情報が本来あった位置とともに、アクセス経路モデルにあわせて設定情報格納手段２０１０に格納してもよい。【００９０】
設定情報特定手段２０２０は、アクセス経路判定手段１０６０によって分析対象アクセス経路にマッチすると判定されたアクセス経路と、設定情報格納手段２０１０に格納された対応情報とから、アクセス経路を生成する原因となった設定情報を特定する。【００９１】
結果出力手段１０７０は、分析対象アクセス経路とマッチしたアクセス経路とともに、設定情報特定手段２０２０によって特定された設定情報をあわせて表示する。【００９２】
図１１は、第４の実施の形態における情報漏洩分析システムの動作を示すフローチャートである。まず、設定情報収集手段１０２０は、検証対象システム１０１０の設定情報を収集する（ステップＳ２１０）。そして、アクセス経路モデル生成手段１０３０は、収集された設定情報に基づき検証対象システム１０１０をモデル化し、アクセス経路モデルを作成してアクセス経路モデルをアクセス経路モデル格納手段１０４０に格納する。また、アクセス経路モデル生成手段１０３０は、アクセス経路モデルを生成する原因となった設定情報とアクセス経路モデルとの対応情報を設定情報格納手段２０１０に格納する（ステップＳ２２０）。次に、分析対象アクセス経路入力手段１０５０は、分析対象アクセス経路を入力する（ステップＳ２３０）。次に、アクセス経路判定手段１０６０は、アクセス経路モデル格納手段１０４０から、アクセス経路モデルを取り出し、アクセス経路モデルと、分析対象アクセス経路とのマッチングを取る。（ステップＳ２４０）。アクセス経路判定手段１０６０（設定情報特定手段２０２０でもよい。）は、ステップＳ２４０の処理の結果、分析対象アクセス経路とマッチするアクセス経路が存在したか否かを判定する（ステップＳ２５０）。分析対象アクセス経路とマッチするアクセス経路があれば（ステップＳ２５０のＹＥＳ）、設定情報特定手段２０２０は、設定情報格納手段２０１０に格納された対応情報に含まれる格納場所の情報を参照し、マッチしたアクセス経路を生成する原因となった設定情報を取り出す（ステップＳ２６０）。続いて、結果出力手段１０７０は、マッチしたアクセス経路と設定情報を出力（例えば表示出力）する（ステップＳ２７０）。【００９３】
次に、本実施の形態の効果について説明する。本実施の形態では、アクセス経路モデルとともに、設定情報の格納場所を格納し、分析対象アクセス経路とマッチしたアクセス経路から、そのアクセス経路を生成する原因となった設定情報を特定する。従って、情報漏洩をおこす可能性のある設定を容易に見つけることができ、その結果、情報漏洩を未然に防止することができる。【００９４】
〈実施の形態５〉
図１２は、本発明の第５の実施の形態を示すブロック図である。既に説明した実施の形態と同様の構成部については、既に説明した構成部と同一の符号を付し、詳細な説明を省略する。【００９５】
本実施の形態において、情報漏洩分析システムは、検証対象システム１０１０と、設定情報収集手段１０２０と、アクセス経路モデル生成手段１０３０と、アクセス経路モデル格納手段１０４０と、分析対象アクセス経路入力手段１０５０と、アクセス経路判定手段１０６０と、設定情報格納手段２０１０と、設定情報特定手段２０２０と、情報漏洩対策案格納手段３０１０と、情報漏洩対策案提案手段３０４０と、設定変更入力手段３０３０と、対策実行手段３０５０とを備える。検証対象システム１０１０は、検査対象ネットワーク１０１１と、検査対象コンピュータ１０１２と、検査対象コンピュータの設定を格納するシステム設定格納手段１０１３と、ネットワーク構成の設定を格納するネットワーク構成格納手段１０１４とを含む。【００９６】
情報漏洩対策案提案手段３０４０は、アクセス経路判定手段１０６０によって分析対象アクセス経路にマッチすると判定されたアクセス経路と、設定情報特定手段２０２０によって特定された設定情報をもとに、マッチしたアクセス経路を遮断する典型的な設定例を情報漏洩対策案格納手段３０１０から取り出し、提示する。また、情報漏洩対策案格納手段３０１０から対策案を取り出すかわりに、設定変更入力手段３０３０によって対策案を入力してもよく、情報漏洩対策案格納手段３０１０から取り出された対策案の一部もしくは、その全てを変更してもよい。【００９７】
設定変更入力手段３０３０は、情報漏洩対策案提案手段３０４０によって提案された情報漏洩対策案の変更、新たな情報漏洩対策案の入力、および、情報漏洩対策案の選択を、オペレータの操作に応じて行う。対策実行手段３０５０は、設定変更入力手段３０３０によって選択された情報漏洩対策を検証対象システムに反映させる。【００９８】
図１３は、第５の実施の形態における情報漏洩分析システムの動作を示すフローチャートである。まず、設定情報手段１０２０は、検証対象システム１０１０から設定情報を収集する（ステップＳ３１０）。アクセス経路モデル生成手段１０３０は、収集された設定情報を元にモデル化を行い、アクセス経路モデルをアクセス経路モデル格納手段１０４０に格納する。また、アクセス経路モデルと設定情報との対応情報を設定情報格納手段２０１０に格納する（ステップＳ３２０）。次に、分析対象アクセス経路入力手段１０５０は、分析対象アクセス経路を入力する（ステップＳ３３０）。アクセス経路判定手段１０６０は、アクセス経路モデルと分析対象アクセス経路とのマッチングを行う（ステップＳ３４０）。【００９９】
アクセス経路判定手段１０６０（設定情報特定手段２０２０でもよい。）は、ステップＳ２４０の処理の結果、分析対象アクセス経路とマッチするアクセス経路が存在したか否かを判定する（ステップＳ３４５）。そのようなアクセス経路が存在しなければ処理を終了する。分析対象アクセス経路とマッチするアクセス経路があれば（ステップＳ３４５のＹＥＳ）、設定情報特定手段２０２０は、設定情報格納手段２０１０に格納された対応情報に含まれる格納場所の情報を参照し、マッチしたアクセス経路を生成する原因となった設定情報を取り出す（ステップＳ３５０）。【０１００】
次に、情報漏洩対策案提案手段３０４０は、取り出された設定情報を元に、情報漏洩対策案格納手段３０１０に格納された情報漏洩対策案を取り出す(ステップＳ３６０)。続いて、情報漏洩対策案提案手段３０４０は、アクセス経路の設定情報と、それに対応する情報漏洩対策案の設定情報を表示し、オペレータの操作に応じて、情報漏洩対策案の設定情報（設定情報の変更候補）を変更する(ステップＳ３７０)。次に、情報漏洩対策案提案手段３０４０は、表示した各変更候補のうち、検証対象システム１０１０に反映すべき変更候補の選択をオペレータに促し、オペレータの操作に応じて検証対象システム１０１０に反映すべき変更候補を決定する（ステップＳ３８０）。対策実行手段３０５０は、決定された変更候補が示す設定内容に従って、検証対象システム１０１０の設定を変更する（ステップＳ３９０）。【０１０１】
次に、本実施の形態の効果について説明する。本実施の形態では、検証対象システムのシステム情報を収集しモデル化を行い、分析対象アクセス経路を与えることで、情報漏洩の可能性のあるアクセス経路を判定する。そして、そのアクセス経路を作成する原因となった設定情報を特定し、設定情報の変更候補を提示し、オペレータに指定された変更候補に従って、検証対象システムの設定を変更する。従って、情報漏洩の可能性のあるアクセス経路を容易に特定できる。また、設定情報を簡単に修正できる構成としたため、情報漏洩を未然に防止することができる。【０１０２】
第５の実施の形態において、第２の実施の形態と同様に、情報漏洩対策優先順位決定手段２１０を備え、情報漏洩対策優先順位決定手段２１０が決定した順位に従って、情報漏洩対策案を表示してもよい。情報漏洩対策優先順位決定手段２１０の動作は、第２の実施の形態と同様である。【０１０３】
〈実施の形態６〉
図１４は、本発明の第６の実施の形態を示すブロック図である。既に説明した実施の形態と同様の構成部については、既に説明した構成部と同一の符号を付し、詳細な説明を省略する。本実施の形態において、情報漏洩分析システムは、アクセス経路入力手段１１０と、アクセス経路モデル格納手段１０４０と、アクセス経路判定手段１０６０と、アクセス経路分析手段５０１０と、文書一覧表示手段５０２０とを備える。【０１０４】
アクセス経路分析手段５０１０は、アクセス経路モデルに含まれる任意のファイルを流通元とし、アクセス経路モデルに含まれる任意のユーザまたはファイルを流通先として分析対象アクセス経路を作成する。ただし、本実施の形態では、分析対象アクセス経路において、流通元および流通先が指定されるが、その途中経路は指定されない。また、第１から第５の実施の形態では、アクセス経路モデルの中に分析対象アクセス経路と合致するファイルからユーザまたはファイルへの経路が存在する場合、その経路による情報漏洩の可能性があるものとした。第６の実施の形態では、アクセス経路分析手段５０１０によって作成された分析対象アクセス経路そのものが情報漏洩の可能性がある経路を示すわけではないものとする。【０１０５】
アクセス経路分析手段５０１０は、任意のファイルやユーザの組み合わせて分析対象アクセス経路を作成するので、１つ以上の分析対象アクセス経路が作成される。【０１０６】
アクセス経路判定手段１０６０は、個々の分析対象アクセス経路毎に、分析対象アクセス経路における流通元および流通先間のアクセス経路がアクセス経路モデル内に存在するか否かを判定する。そして、アクセス経路判定手段１０６０は、流通元となったファイルごとに、流通先とそのアクセス経路を特定する。つまり、アクセス経路判定手段１０６０は、全ての流通元および流通先の組み合わせについて、そのアクセス経路の有無を判定し、アクセス経路があるものについて、流通元ごとに、流通先とそのアクセス経路を特定する。【０１０７】
文書一覧表示手段５０２０は、流通元となったファイルごとに、アクセス経路分析手段５０１０によって分析された流通先とそのアクセス経路を表示する。【０１０８】
図１５は、第６の実施の形態における情報漏洩分析システムの動作を示すフローチャートである。まず、アクセス経路モデル入力手段１１０が、アクセス経路モデルを入力する（ステップＳ１０１０）。次に、アクセス経路分析手段５０１０が、入力されたアクセス経路モデルに含まれる任意のファイルとユーザを用いて、流通元、流通先の組を分析対象アクセス経路として作成し、アクセス経路判定手段１０６０が、分析対象アクセス経路における流通元および流通先間のアクセス経路がアクセス経路モデル内に存在するか否かを判定する（ステップＳ１０２０）。分析対象アクセス経路における流通元および流通先間のアクセス経路がアクセス経路モデル内に存在するならば、その流通元および流通先間においてアクセス可能であることになる。ステップＳ１０２０の後、アクセス経路判定手段１０６０は、同じファイルを流通元とするアクセス経路をまとめる(ステップＳ１０３０)。すなわち、流通元となったファイルごとに、流通先とそのアクセス経路を特定する。次に、文書一覧表示手段５０２０は、流通元のファイルを流通先のユーザ、およびファイル、アクセス経路とともに表示する(ステップＳ１０４０)。オペレータは、ステップＳ１０４０における表示結果を確認して、情報漏洩の可能性がある経路があるかどうかを判断する。【０１０９】
第１から第５までの各実施の形態では、分析対象アクセス経路と合致するファイルからユーザまたはファイルへの経路があった場合、その経路は情報漏洩の可能性のある経路であると自動的に判定された。それに対し、本実施の形態では、分析対象アクセス経路そのものは、情報漏洩の可能性のある経路を意味するものではなく、情報漏洩の可能性のある経路の判断はオペレータに委ねられる。【０１１０】
次に、本実施の形態の効果について説明する。本実施の形態では、アクセス経路モデルを入力し、そのアクセス経路モデルに基づいて任意の流通元および流通先の組み合わせを定める。そして、その流通元および流通先間のアクセス経路がある場合には、流通元のファイル毎に、流通元ファイルの流通先となるファイルまたはユーザと、そのアクセス経路をあわせて提示する。従って、オペレータ（検証者）は、個々のファイルが適切に管理されているかを一目で確認することができ、適切に管理されておらず、情報漏洩の可能性のあるファイルを簡単に特定することができる。また、アクセス経路をあわせて表示する構成としたため、すべての設定情報を確認することなく、情報漏洩を引き起こしている場所を簡単に特定ができ、設定情報を修正し、情報漏洩を未然に防止することができる。【０１１１】
〈実施の形態７〉
図１６は、本発明の第７の実施の形態を示すブロック図である。既に説明した実施の形態と同様の構成部については、既に説明した構成部と同一の符号を付し、詳細な説明を省略する。本実施の形態において、情報漏洩分析システムは、第６の実施の形態の構成に加えて、設定情報入力手段１３０と、設定情報格納手段２０１０と、設定情報特定手段２０２０と、文書一覧表示手段５０２０と、情報漏洩対策提案手段３０４０と、情報漏洩対策案格納手段３０１０とを備える。【０１１２】
図１７は、第７の実施の形態における情報漏洩分析システムの動作を示すフローチャートである。まず、アクセス経路モデル入力手段１１０が、アクセス経路モデルを入力する（ステップＳ１０１０）。次に、設定情報入力手段１３０が、設定情報をアクセス経路モデルに対応付けて入力する(ステップＳ２０２０)。次に、アクセス経路分析手段５０１０が、入力されたアクセス経路モデルに含まれる任意のファイルとユーザを用いて、流通元、流通先の組を分析対象アクセス経路として作成し、アクセス経路判定手段１０６０が、分析対象アクセス経路における流通元および流通先間のアクセス経路がアクセス経路モデル内に存在するか否かを判定する（ステップＳ２０３０）。【０１１３】
ステップＳ２０３０の後、設定情報特定手段２０２０が、アクセス経路と判定された経路を作成する原因となった設定情報を特定する（ステップＳ２０４０）。次に、アクセス経路分析手段５０１０は、同じファイルを流通元とするアクセス経路をまとめる（ステップＳ２０５０）。また、情報漏洩対策案提案手段３０４０が、ステップＳ２０４０で特定された設定情報の情報漏洩対策案を取り出す（ステップＳ２０６０）。そして、文書一覧表示手段５０２０が、流通元のファイルを流通先のユーザ、およびファイル、アクセス経路および、情報漏洩対策案とともに提示する（ステップＳ２０７０）。【０１１４】
次に、本実施の形態の効果について説明する。本実施の形態では、アクセス経路モデルを入力し、そのアクセス経路モデルに基づいて任意の流通元および流通先の組み合わせを定める。そして、その流通元および流通先間のアクセス経路がある場合には、そのアクセス経路を生成する原因となった設定情報を特定して、情報漏洩対策案も特定する。そして、流通元のファイル毎に、流通元ファイルの流通先となるファイルまたはユーザ、そのアクセス経路、および情報漏洩対策案を提示する。従って、個々のファイルが適切に管理されているかを一目で確認することができ、適切に管理されておらず、情報漏洩の可能性のあるファイルを簡単に特定することができる。また、設定ファイルから特定の設定箇所を探し出す必要が無く、情報漏洩の可能性のあるファイルの流通を容易に防止することができる。【０１１５】
〈実施の形態８〉
図１８は、本発明の第８の実施の形態を示すブロック図である。既に説明した実施の形態と同様の構成部については、既に説明した構成部と同一の符号を付し、詳細な説明を省略する。本実施の形態において、情報漏洩分析システムは、第７の実施の形態の構成に加えて、設定変更入力手段３０３０と、対策実行手段３０５０とを備える。【０１１６】
図１９は、第８の実施の形態における情報漏洩分析システムの動作を示すフローチャートである。図１９に示すステップＳ３０１０〜Ｓ３０７０までの動作は、第７の実施の形態で説明したステップＳ２０１０〜Ｓ２０７０の動作と同様である。ステップＳ３０７０の後、情報漏洩対策案提案手段３０４０は、設定変更入力手段３０３０によって情報漏洩対策案（設定情報の変更候補）を修正するオペレータの操作の有無を判定する（ステップＳ３０７５）。修正操作が行われない場合、ステップＳ３０７０に移行する。修正操作が行われた場合、設定変更入力手段３０３０は、オペレータに指定された情報漏洩対策案を選択し、その情報漏洩対策案に対して、オペレータの操作に応じた修正を行う（ステップＳ３０８０）。次に、情報漏洩対策案提案手段３０４０は、オペレータに指定された情報漏洩対策案を選択し、対策実行手段３０５０は、選択された情報漏洩対策案を実行し、検証対象システム１０１０の設定を変更する（ステップＳ３０９０）。【０１１７】
次に、本実施の形態の効果について説明する。本実施の形態では、情報漏洩対策案を修正した後、その情報漏洩対策案を実行するので、情報漏洩対策を施す手段の詳細を知ることなく、容易に情報漏洩対策を実行することができ、情報漏洩の未然防止が容易になる。【０１１８】
〈実施の形態９〉
図２０は、本発明の第９の実施の形態を示すブロック図である。既に説明した実施の形態と同様の構成部については、既に説明した構成部と同一の符号を付し、詳細な説明を省略する。本実施の形態において、情報漏洩分析システムは、第８の実施の形態の構成に加えて、情報漏洩対策優先順位決定手段２１０を備える。【０１１９】
図２１は、第９の実施の形態における情報漏洩分析システムの動作を示すフローチャートである。図２１に示すステップＳ４０１０〜Ｓ４０６０までの動作は、第７の実施の形態で説明したステップＳ２０１０〜Ｓ２０６０の動作と同様である。ステップＳ２０６０の後、情報漏洩対策案優先順位決定手段２１０は、ステップＳ４０６０で取り出された情報漏洩対策案に優先順位をつける（ステップＳ４０７０）。この処理は、第２の実施の形態におけるステップＳ２１の処理と同様である。次に、文書一覧表示手段５０２０は、流通元のファイルを流通先のユーザ、およびファイル、アクセス経路および、情報漏洩対策案とともに表示する（ステップＳ４０８０）。このとき、情報漏洩対策案の優先順位に従って、流通元、流通先、アクセス経路、情報漏洩対策案の組を表示する。その後、ステップＳ４０８５〜Ｓ４１００の動作を行う。図１９に示すステップＳ４０８５〜Ｓ４１００の動作は、第８の実施の形態で説明したステップＳ３０７５〜Ｓ３０９０の動作と同様である。対策実行手段３０５０が情報漏洩対策案を実行する場合、情報漏洩対策案優先順位決定手段１２０が決定した順位に従い、優先順位の高い（例えば、優先順位が最も高い）情報漏洩対策案を自動的に実行してもよい。【０１２０】
次に、本実施の形態の効果について説明する。本実施の形態では、優先順位をつけて情報漏洩対策案を表示し、実行する形態としたため、設定変更による検証対象システム１０１０への影響が最も少ない情報漏洩対策案の適用が容易になる。また、優先順位が最も高い情報漏洩対策案を自動的に実行する構成とすることで、システム構成や、設定の影響に対する知識が無くても、情報漏洩の防止が容易になる。【０１２１】
また、第７の実施の形態から第８の実施の形態までの各実施の形態において、情報漏洩対策案提案手段３０４０は、設定情報特定手段によって特定された設定情報を出力する結果出力手段にも相当する。【０１２２】
〈実施の形態１０〉
図２２は、本発明の第１０の実施の形態を示すブロック図である。既に説明した実施の形態と同様の構成部については、既に説明した構成部と同一の符号を付し、詳細な説明を省略する。本実施の形態では、情報漏洩分析システムは、第３の実施の形態における分析対象アクセス経路入力手段１０５０の代わりに、属性情報解析手段４０１０と、属性情報格納手段４０２０と、属性利用分析対象アクセス経路入力手段４０３０と、分析対象アクセス経路変換手段４０４０とを備える。【０１２３】
属性情報解析手段４０１０は、検証対象システム１０１０に含まれる設定情報の属性を解析して、その設定情報の内容と属性とを対応づける。設定情報の属性とは、設定情報が示す内容の属性を表す情報である。例えば、設定情報にユーザ、ホスト、またはファイルが示されている場合、それらが配置されているネットワーク上の位置（例えば、セグメント名）等が、ユーザ、ホスト、ファイルの属性情報となり得る。また、例えば、設定情報にユーザが示されている場合、そのユーザの役割（例えば、部長や課長といった役職）等が、ユーザの属性情報となり得る。また、例えば、設定情報にファイルが示されている場合、そのファイルの機密度（例えば、マル秘文書、社外秘文書のような機密度を表すカテゴリ）や、そのファイルの役割（例えば、住所録、連絡網等）が、ファイルの属性情報となり得る。また、アクセス経路の属性情報として、例えば、非暗号化経路等の経路の種類が挙げられる。【０１２４】
属性情報解析手段４０１０は、例えば、検証対象システムから設定情報を入力する。そして、属性情報解析手段４０１０は、その設定情報内に記述されているファイル情報、ユーザ情報に基づいて、ファイルの属性や、ユーザの属性を特定し、ファイル情報とファイルの属性とを対応付け、また、ユーザ情報とユーザの属性とを対応付ける。同様に、属性情報解析手段４０１０は、設定情報内に記述されているポート番号、ＩＰアドレス、ホスト名等に基づいて、それらの情報が示す経路の属性を特定し、そのポート番号等と経路の属性とを対応付ける。属性情報解析手段４０１０は、検索対象システムの設定情報内のユーザ情報、ファイル情報、経路を示す情報と、ユーザの属性、ファイルの属性、経路の属性を対応付けた対応情報を属性情報格納手段４０２０に格納させる。【０１２５】
属性情報解析手段４０１０は、ファイルの属性を特定する場合、例えば、以下のような解析を行えばよい。まず、ファイル情報が示すファイル名およびその格納場所を参照して、そのファイルを読み込む。そして、そのファイルをヘッダ、本文、フッタ等の部分領域に分割する。そして、各部分領域に記述されている場合にファイルが特定の属性を有する可能性があることを示す語句（以下、特徴要素と記す。）を検出する。例えば、ヘッダ部分に「社外秘」という特徴要素が記載されている場合、そのファイルは「社外秘文書」という属性を有する可能性がある。そのような特徴要素を部分領域毎に予め定めておき、属性情報解析手段４０１０は、部分領域毎に特徴要素を検出し、その語句に基づいてファイルの属性の候補を特定する。そして、検出した特徴要素の部分領域内における配置状況に基づいて、候補とした属性が、ファイルの属性として適しているか否かを判定する。例えば、部分領域内において、検出した特徴要素のうち最初に現れる特徴要素から最後に現れる特徴要素までの語句の並びを参照する。属性情報解析手段４０１０は、その並びに含まれる語句の数に対する特徴要素数の割合（この値を密度と記すことにする。）が予め定められた閾値以下であれば、その特徴要素の検出に伴って候補とされた属性を候補から除外する。また、ある属性候補を導いた特徴要素によって定まる語句の並びと、他の属性候補を導いた特徴候補によって定まる語句の並びとが重複している場合、密度が低い方の候補を除外する。そして、残った方の属性候補を導いた特徴要素によって定まる語句の並びに対する重複部分の割合を算出し、１からその値を減算する（この減算結果を純度と記すことにする。）。純度が、予め定められた閾値以下であれば、その候補を除外する。また、部分領域に含まれる語句の数に対する属性候補を導いた特徴要素によって定まる語句の並び（検出した特徴要素のうち最初に現れる特徴要素から最後に現れる特徴要素までの語句の並び）に含まれる語句数の割合（この値を占度と記すことにする。）が、予め定められた閾値以下であれば、その候補を除外する。以上のようにして、除外されなかった候補を、ファイルの属性と定める。この処理を、各部分領域毎に行えばよい。また、ここでは、密度、純度、占度を用いてファイルの属性を解析する場合を示したが、密度、純度、占度のうちいずれか１つまたは２つを用いて同様の解析を行ってもよい。なお、各閾値は予め、不適切な候補が除外されるように実験などにより定めておけばよい。【０１２６】
このような解析の結果、ファイルの属性を適切に特定することができる。例えば、ファイルのヘッダ領域に「社外秘」という特徴要素のみが記載されている場合、密度、純度、占度とも１となり、属性情報解析手段４０１０は、そのファイルの属性を「社外秘文書」と特定することができる。そして、属性情報解析手段４０１０は、そのファイルのファイル情報と属性「社外秘」との対応情報を属性情報格納手段４０２０に格納する。また、例えば、ファイルのヘッダ部分に文書のタイトルとして「当社の社外秘文書に関する説明」という記載がされていたとする。そして、「社外秘」という語句は含むものの、そのファイル自体は社外秘ではなく、社外秘文書という属性を持たないとする。この場合、占度は低く、閾値以下になる。よって、属性情報解析手段４０１０は、このファイルの属性が「社外秘」であると特定することはない。【０１２７】
ここで示した属性の解析は一例であり、他の解析方法によって属性を特定してもよい。【０１２８】
また、属性情報解析手段４０１０は、ユーザの属性を特定する場合、以下のような処理を行えばよい。属性情報解析手段４０１０は、予めユーザ毎に役職等の各種属性の情報を記憶しておく。そして、属性情報解析手段４０１０は、検証対象システムから設定情報を入力すると、その設定情報に含まれているユーザ情報を参照し、そのユーザ情報に応じた属性を、予め記憶していた情報の中から抽出する。属性情報解析手段４０１０は、この属性を、設定情報に含まれているユーザ情報の属性として特定する。属性情報解析手段４０１０は、このユーザ情報と、特定した属性とを対応付けた対応情報を属性情報格納手段４０２０に格納する。同様に、属性情報解析手段４０１０は、経路の属性を特定する場合、以下のような処理を行えばよい。属性情報解析手段４０１０は、予めポート番号、ＩＰアドレス、ホスト名等の情報とともに、その情報が示す経路の属性（例えば、「非暗号化経路」等）を予め記憶しておく。そして、属性情報解析手段４０１０は、検証対象システムから設定情報を入力すると、その設定情報に含まれているポート番号、ＩＰアドレス、ホスト名等の情報を参照する。属性情報解析手段４０１０は、参照したポート番号等に応じた属性を、予め記憶していた情報の中から抽出する。属性情報解析手段４０１０は、この属性を経路の属性として特定し、設定情報に含まれているポート番号等と、特定した属性とを対応付けた対応情報を属性情報格納手段４０２０に格納する。【０１２９】
属性情報解析手段４０１０は、オペレータに属性の入力を促してもよい。すなわち、属性情報解析手段４０１０は、検証対象システムの設定情報を表示出力することにより、設定情報が示す内容の属性情報の入力をオペレータに促してもよい。オペレータによる属性情報入力操作により、属性情報解析手段４０１０は、設定情報に対応する属性情報を収集することができる。【０１３０】
属性情報格納手段４０２０は、設定情報と、属性情報解析手段４０１０が解析した属性情報との対応情報を格納する。【０１３１】
属性利用分析対象アクセス経路入力手段４０３０は、属性利用分析対象アクセス経路を入力する。属性利用分析対象アクセス経路とは、分析対象アクセス経路をユーザや、ファイルなどの個々の名前（例えば、ユーザＩＤやファイル名称などの識別情報）を用いる代わりに、属性情報を用いて流通元や、流通先や、途中経路を表したものである。属性利用分析対象アクセス経路では、例えば、流通元をファイル名等で指定するのではなく「個人情報」等の属性で表す。同様に、流通先もファイル名やユーザＩＤ等で指定するのではなく、ユーザやファイルの属するセグメント名や、「社外秘文書」等のファイルの種類で表す。また、同様に、途中経路も、「非暗号化経路」等の属性で表す。【０１３２】
分析対象アクセス経路変換手段４０４０は、属性利用分析対象アクセス経路を、アクセス経路判定手段１０６０によるアクセス経路モデルとのマッチングが取れる形に変換する。アクセス経路判定手段１０６０が、属性情報を用いて示された属性利用分析対象アクセス経路と、アクセス経路モデルとのマッチングを行える場合には、分析対象アクセス経路変換手段４０４０が備えられていなくてよい。【０１３３】
図２３は、第９の実施の形態における情報漏洩分析システムの動作を示すフローチャートである。まず、設定情報収集手段１０２０が、検証対象システム１０１０から設定情報を収集する（ステップＳ４１０）。アクセス経路モデル生成手段１０３０は、収集された設定情報を元にモデル化を行い、生成したアクセス経路モデルをアクセス経路モデル格納手段１０４０に格納する（ステップＳ４２０）。次に、属性情報解析手段４０１０は、検証対象システム１０１０の設定情報を収集し、設定情報に記述された内容に対応する属性を解析する。そして、属性情報解析手段４０１０は、設定情報の内容と、解析によって特定した属性情報との対応関係を示す対応情報を属性情報格納手段４０２０に格納する（ステップＳ４３０）。【０１３４】
次に、属性利用分析対象アクセス経路入力手段４０３０は、属性情報格納手段４０２０に保存された属性情報を利用して、属性利用分析対象アクセス経路を入力する（ステップＳ４４０）。なお、本実施の形態における分析対象アクセス経路は、第１の実施の形態等と同様に、情報漏洩の可能性がある経路を表す。従って、属性利用分析対象アクセス経路入力手段４０３０は、情報漏洩の可能性がある経路を属性情報によって表したデータとして、属性利用分析対象アクセス経路を入力する。【０１３５】
次に、分析対象アクセス経路変換手段４０４０は、属性情報格納手段４０２０に格納された設定情報と属性情報の対応情報を用いて属性利用分析対象アクセス経路を、設定情報を用いた分析対象アクセス経路に変換する（ステップＳ４５０）。その後、アクセス経路判定手段１０６０が、アクセス経路モデルと、分析対象アクセス経路とのマッチングを行い(ステップＳ４６０)、結果出力手段２０３０が結果を出力する(ステップＳ４７０)。ステップＳ４６０，Ｓ４７０の動作は、第３の実施の形態におけるステップＳ１４０，Ｓ１５０の動作と同様である。【０１３６】
図２４は、属性利用分析対象アクセス経路を入力して、分析対象アクセス経路に変換する処理を示すフローチャートである。図２４に示す処理は、図２３に示すステップＳ４３０〜Ｓ４５０を詳細に示したものである。【０１３７】
まず、属性情報解析手段４０１０は、検証対象システム１０１０の設定情報を収集する（ステップＤ１）。次に、属性情報解析手段４０１０は、設定情報に記述された内容に対応する属性を解析し、設定情報の内容と、解析によって特定した属性情報との対応関係を示す対応情報を属性情報格納手段４０２０に格納する（ステップＤ２）。ステップＤ２では、既に説明したように、例えば、ファイルから特徴要素を検出して特徴要素の配置状況に基づいてファイルの属性を特定する解析を行えばよい。また、ユーザや経路の属性は、既に説明した処理によって特定すればよい。ステップＤ１，Ｄ２の処理は、図２３に示すステップＳ４３０に相当する。【０１３８】
次に、属性利用分析対象アクセス経路入力手段４０３０は、属性情報格納手段４０２０に保存された属性情報を利用して、属性利用分析対象アクセス経路を入力する（ステップＤ３）。例えば、属性利用分析対象アクセス経路入力手段４０３０は、流通元の候補となる属性として、ファイルの属性を属性情報格納手段４０２０から読み出して、一覧表示し、オペレータにファイルの属性の選択を促す。そして、属性利用分析対象アクセス経路入力手段４０３０は、選択されたファイルの属性によって、属性利用分析対象アクセス経路の流通元を記述する。同様に、属性利用分析対象アクセス経路入力手段４０３０は、流通元の候補となる属性として、ファイルやユーザの属性を属性情報格納手段４０２０から読み出して、一覧表示し、オペレータにファイルまたはユーザの属性の選択を促す。そして、属性利用分析対象アクセス経路入力手段４０３０は、選択されたファイルまたはユーザの属性によって、属性利用分析対象アクセス経路の流通先を記述する。同様に、属性利用分析対象アクセス経路入力手段４０３０は、途中経路の候補となる属性を属性情報格納手段４０２０から読み出して、一覧表示し、オペレータにその属性の選択を促す。そして、属性利用分析対象アクセス経路入力手段４０３０は、選択された属性によって、属性利用分析対象アクセス経路の途中経路を記述する。属性利用分析対象アクセス経路は、途中経路を記述していなくてもよい。このステップＤ３の処理は、図２３に示すステップＳ４４０に相当する。【０１３９】
次に、分析対象アクセス経路変換手段４０４０は、属性利用分析対象アクセス経路において流通元として記述された属性に対応する設定情報の内容を、属性情報格納手段４０２０が記憶する対応情報（設定情報と属性情報との対応情報）から検索する（ステップＤ４）。【０１４０】
同様に、分析対象アクセス経路変換手段４０４０は、属性利用分析対象アクセス経路において流通先として記述された属性に対応する設定情報の内容を、属性情報格納手段４０２０が記憶する対応情報から検索する（ステップＤ５）。【０１４１】
次に、分析対象アクセス経路変換手段４０４０は、属性利用分析対象アクセス経路に途中経路が記述されているか否かを判定する（ステップＤ６）。途中経路が記述されていなければ、ステップＤ８に移行する。途中経路が記述されている場合、分析対象アクセス経路変換手段４０４０は、属性利用分析対象アクセス経路において途中経路として記述された属性に対応する設定情報の内容を、属性情報格納手段４０２０が記憶する対応情報から検索する（ステップＤ７）。ステップＤ７の後、ステップＤ８に移行する。【０１４２】
ステップＤ８では、分析対象アクセス経路変換手段４０４０は、属性によって記述された属性利用分析対象アクセス経路の流通元、流通先を、それぞれステップＤ４，Ｄ５での検索結果に置き換える。また、ステップＤ７の処理を行った場合、属性によいって記述された属性利用分析対象アクセス経路の途中経路を、ステップＤ７での検索結果に置き換える。この結果、属性利用分析対象アクセス経路は、分析対象アクセス経路に変換される。ステップＤ４〜Ｄ８の処理は、図２３に示すステップＳ４５０に相当する。【０１４３】
第１０の実施の形態では、第３の実施の形態と同様の効果が得られる。また、個別のファイル名やユーザＩＤなどを指定して分析対象アクセス経路を指定するよりも、ファイルやユーザ等の属性を指定する方が、オペレータにとって操作し易い。本実施の形態では、属性を用いて属性利用分析対象アクセス経路を入力し、分析対象アクセス経路に変換するので、オペレータによっての利便性が向上する。その結果、情報漏洩をより防止しやすくすることができる。【０１４４】
第１の実施の形態から第５の実施の形態までの各実施の形態においても、分析対象アクセス経路入力手段１０５０の代わりに、属性情報解析手段４０１０と、属性情報格納手段４０２０と、属性利用分析対象アクセス経路入力手段４０３０と、分析対象アクセス経路変換手段４０４０とを備える構成としてもよい。【０１４５】
上記の各実施の形態において、アクセス経路モデル入力手段１１０、設定情報入力手段１３０、分析対象アクセス経路入力手段１０５０は、例えば、キーボード等の入力デバイスと、プログラムに従って動作するＣＰＵとによって実現される。また、情報漏洩対策案提案手段３０４０、結果出力手段１０７０、文書一覧表示手段５０２０は、例えば、ディスプレイ装置と、プログラムに従って動作するＣＰＵとによって実現される。設定変更入力手段３０３０、属性利用分析対象アクセス経路入力手段４０３０は、例えば、ディスプレイ装置と、入力デバイスと、プログラムに従って動作するＣＰＵとによって実現される。アクセス経路モデル格納手段１０４０、設定情報格納手段２０１０、情報漏洩対策案格納手段３０１０、属性情報格納手段４０２０は、例えば、記憶装置によって実現される。アクセス経路判定手段１０６０、設定情報特定手段２０２０、情報漏洩対策優先順位決定手段２１０、アクセス経路分析手段５０１０は、プログラムに従って動作するＣＰＵによって実現される。対策実行手段３０５０、設定情報収集手段１０２０は、検証対象システム１０１０との通信のためのインタフェースと、プログラムに従って動作するＣＰＵとによって実現される。属性情報解析手段４０１０は、例えば、検証対象システム１０１０との通信のためのインタフェースと、プログラムに従って動作するＣＰＵとによって実現される。【０１４６】
また、各実施の形態において、各手段を実現するためのＣＰＵを共通とし、そのＣＰＵがプログラムに従って動作する構成としてもよい。【０１４７】
また、第１から第５までの各実施の形態および第１０の実施の形態において、検証対象アクセス経路は、情報漏洩の可能性がある経路を意味していたが、確立されていなければならないアクセス経路を検証対象アクセス経路として入力し、そのアクセス経路がアクセス経路モデル内に表されているか否かを確認する実施形態であってもよい。【０１４８】
なお、上記の各実施の形態において、特許請求の範囲に記載のアクセス経路情報格納手段は、アクセス経路モデル格納手段によって実現される。同様に、経路判定手段は、アクセス経路判定手段によって実現される。アクセス経路情報生成手段は、アクセス経路モデル生成手段によって実現される。経路情報作成手段は、アクセス経路分析手段によって実現される。表示手段は、文書一覧表示手段によって実現される。属性利用情報漏洩経路情報入力手段は、属性利用分析対象アクセス経路入力手段によって実現される。情報漏洩経路情報は、分析対象アクセス経路に相当する。属性利用情報漏洩経路情報は、属性利用分析対象アクセス経路に相当する。
【実施例１】
【０１４９】
次に、具体的な検証対象システムを例示して、本発明の実施例を説明する。図２５は、検証対象システムの例を示す説明図であり、ネットワーク構成情報に基づいて作成したアクセス経路モデルによって表している。図２５に示すように、本例での検証対象システムは、クライアントコンピュータＲＤ−Ｃと、部門サーバＲＤ−Ｗを備え、その間をファイアウォールＦＷで接続したネットワーク構成になっているものとする。また、クライアントコンピュータＲＤ−Ｃには、ウェブクライアント（図２５において図示せず。）が導入され、部門サーバＲＤ−Ｗには、ウェブサーバとして、Ａｐａｃｈｅ（図２５において図示せず。）が導入されているとする。【０１５０】
設定情報収集手段１０２０は、検証対象システムの設定情報を収集しモデル化する。まず、ネットワーク構成情報を収集する。検証対象システムから収集するネットワーク構成情報の例を図２６に示す。図２６に示すネットワーク構成情報から生成したアクセス経路モデルは、図２５に示すモデルとなる。このとき、アクセス経路モデル生成手段１０３０は、ネットワーク構成情報内の、ネットワークインタフェースを表す情報（図２６）を参照し、hostエレメントが３つあり、それぞれＦＷ，ＲＤ−Ｃ，ＲＤ−Ｗを示していると判定する。また、ＦＷを示すhostエレメントにはnic エレメントが２つ含まれていて、他の２つのhostエレメントにはnic エレメントがそれぞれ１つ含まれていることを判定する。アクセス経路モデル生成手段１０３０は、この情報からネットワークノードを作成する。次に、アクセス経路モデル生成手段１０３０は、ネットワークインタフェースの接続情報を表す情報（図２６）を参照する。なお、ネットワークインタフェースを表す情報内のnic エレメントでは、ＩＰアドレスとそのｉｄ番号が示され、ネットワークインタフェースの接続情報を表す情報では接続されるｎｉｃのｉｄ番号の組が示される。アクセス経路モデル生成手段１０３０は、ネットワークインタフェースの接続情報を表す情報から、どのネットワークノード同士が接続されているかを認識し、ネットワークノードを接続するアークを作成する。【０１５１】
図２７は、クライアントコンピュータＲＤ−Ｃから収集されるユーザ情報の例を示す。なお、図２７に示すユーザ情報は、ＯＳの設定情報である。アクセス経路モデル生成手段１０３０は、このユーザ情報から、「rdc-user-a」と「rdc-butyou」の２つのユーザＩＤがあることを認識する。そして、ＲＤ−Ｃのユーザ情報をアクセス経路モデルに反映させる。この結果、アクセス経路モデルは、図２８に示すようになる。なお、ここでは、アクセス経路モデルを図２５や図２８に示すように模式的に示すが、情報漏洩分析システムは、例えばＸＭＬ等によって記述された情報としてアクセス経路モデルを保持する。【０１５２】
図２９は、ＲＤ−Ｃから収集されるファイル情報とアクセス権情報の例を示す。この情報も、ＯＳの設定情報である。アクセス経路モデル生成手段１０３０は、ファイル情報から、ファイル/rdc-user-a-home/ と、ファイル/rdc-user-butyou-home/を認識する。また、アクセス経路モデル生成手段１０３０は、アクセス権情報から、ファイル/rdc-user-a-home/ について、その作成者であるユーザrdc-user-aにフルアクセスの権限(書き込み権限、読み込み権限)が与えられていることを認識する。同様に、ファイル/rdc-user-butyou-home/について、その作成者であるユーザuser-butyouにフルアクセスの権限(書き込み権限、読み込み権限)が与えられていることを認識する。そして、ファイル情報と、アクセス権情報をアクセス経路モデルに反映させる。図３０は、ファイル情報とアクセス権情報を反映したアクセス経路モデルの例を示す。図３０では、ユーザからファイルに向かう実線矢印が書き込み権限を表し、ファイルからユーザに向かう実線矢印が読み込み権限を表している。【０１５３】
次に、アクセス経路モデル生成手段１０３０は、ウェブクライアントの設定情報からアクセス経路モデルを作成する。ウェブクライアントは、一般にウェブサーバの80番ポートにアクセスできることから図３１に示すアクセス経路モデルを作成することができる。【０１５４】
さらに、アクセス経路モデル生成手段１０３０は、ウェブクライアントの設定情報から作成したアクセス経路モデルと、ＯＳの設定情報から作成したアクセス経路モデルのうち、対応する箇所を接続する。すると、アクセス経路モデルは、図３２に示すモデルとなる。図３２において、端部を菱形で表した実線は、別名定義を表している。【０１５５】
図３３は、部門サーバＲＤ−ＷのＯＳの設定情報であるユーザ情報の例を示す。アクセス経路モデル生成手段１０３０は、このユーザ情報から、ＲＤ−Ｗのユーザとしてユーザapacheを認識する。アクセス経路モデル生成手段１０３０は、このユーザ情報をモデル化し、アクセス経路モデルに追加する。すると、アクセス経路モデルは、図３４に示すモデルとなる。【０１５６】
図３５は、ＲＤ−Ｗのファイル情報とアクセス権情報の例を示す。図３５に示す情報は、ＯＳの設定情報である。アクセス経路モデル生成手段１０３０は、このファイル情報およびアクセス権情報をアクセス経路モデルに反映させる。この場合の、アクセス経路モデルの例を図３６に示す。ただし、図３６では、便宜上、図３５で示されたファイルの一部のみを示している。【０１５７】
図３７は、アパッチの設定情報の例を示す。図３７に示すように、アパッチの設定情報は、ネットワーク情報、ユーザ情報、ファイル情報、アクセス権情報を含む。アクセス経路モデル生成手段１０３０は、アパッチの設定情報をモデル化し、アクセス経路モデルに追加する。このとき、アクセス経路モデル生成手段１０３０は、図３７に示すネットワーク情報から、アパッチのネットワークノード「dstport:80」を作成する。また、図３７に示すユーザ情報から、アパッチの「user:apache 」を作成し、ＯＳの設定情報から作成した「user:apache 」との間のアークを作成する。また、図３７に示すファイル情報から、アパッチのファイルノードを作成し、ＯＳの設定情報から作成したファイルノードとの間のアークを作成する。また、図３７に示すアクセス権情報から、アパッチのユーザとファイルとの間のアークを作成する。この結果を、図３８に示す。なお、図３８において、apacheのアクセス経路モデル内にファイル「/index.html」、「/leader/index.html」が含まれている。「/index.html」は、図３７における行番号１０のファイル情報と、図３５における３行目のファイル情報とによって導出される。同様に、「/leader/index.html」は、図３７における行番号４０のファイル情報と、図３５における４行目および５行目のファイル情報とによって導出される。【０１５８】
図３９は、ファイアウォールのアクセス権情報の例を示す。３９に示すアクセス権情報は、ＩＰアドレス「10.56.2.5 」からＩＰアドレス「10.56.1.105
」への80番ポートへのアクセスが許可されていることを表している。フィルタリング設定を反映したアクセス経路モデルの例を図４０に示す。【０１５９】
アクセス経路モデル生成手段１０３０は、以上のようにモデル化したアクセス経路モデルをアクセス経路モデル格納手段１０３０に格納する。既に説明したように、アクセス経路モデルは、ＸＭＬ等で記述された情報として情報漏洩分析システムに保持される。図４１は、アクセス経路モデル格納手段１０３０に格納されたアクセス経路モデルの例を示している。ただし、図４１では、アクセス経路モデル全体を表すＸＭＬ形式の記述のうち一部を抜粋して示している。図４１に示すように、ノードには、ＩＰアドレスを格納したip属性と、個々のノードを区別するＩＤを格納したid属性が含まれる。図４１に示すアクセス経路モデルの記述は、ＦＷの設定から作成されたモデルに２つのネットワークノード（ip=”10.56.2.1”とip=”10.56.3.1”）があることを示している。また、アプリケーションの設定情報から作成されたモデルでは、２つのネットワークノードと、これらのネットワークノードの関係を表すアークを示している。アークは、type属性と、from属性と、to属性とを含む。type属性はアークの種類を表す。from属性は、アークの始点となるノードのＩＤを表す。to属性は、アークの終点となるノードのＩＤを表す。図４１では、アクセス経路モデルの一部の記述を示したが、アクセスモデル全体の記述は、例えば、図４２に示すような記述となる。【０１６０】
図４３は、分析対象アクセス経路入力手段１０５０が入力する分析対象アクセス経路の例を示す説明図である。図４３に示す分析対象アクセス経路は、ファイル「10.56.3.105/var/www/leader/index.html 」をホスト「10.56.2.5 」のユーザ「rdc-user-a」が80番ポートを使って読んではいけないことをあらわしている。【０１６１】
図４４は、アクセス経路判定手段１０６０が分析対象アクセス経路とアクセス経路モデルとに基づいて、情報漏洩の可能性のある経路として判定した判定結果を示す。図４４において、情報漏洩の可能性のある経路は、破線で示している。この破線で示した経路は、ホスト「10.56.3.105 」のファイル「/var/www/leader/index.html」をホスト「10.56.2.5 」のユーザ「rdc-user-a」が80番ポートを使って読むことができてしまい、情報漏洩の可能性があることを表している。つまり、ホスト「10.56.3.105 」のファイル「/var/www/leader/index.html」が漏洩する可能性があることを表している。【０１６２】
結果出力手段１０７０は、図４４に示すアクセス経路モデルを表示して、オペレータ（検証者）に提示する。検証者は、図４４に例示するようなアクセス経路モデルを見ることで、分析対象アクセス経路にマッチする経路（すなわち、情報漏洩の可能性のある経路）上のファイルを特定することができる。また、情報漏洩の可能性のある経路も表示されているため、検証者は、その経路に関する設定のうち、適当な設定を変更することができる。その結果、情報漏洩を未然に防止する設定変更を速やかに行うことができる。
【実施例２】
【０１６３】
実施例１で示した検証対象システムを用いて、実施例２を示す。また、検証対象システムから収集した設定情報に基づいて生成されるアクセス経路生成モデルも、実施例１と同様であるとする。本実施例では、生成したアクセス経路モデルを格納するとともに、設定情報も格納し、情報漏洩対策案を提示する場合について説明する。【０１６４】
図４５および図４６は、設定情報収集手段１０２０に収集された設定情報からモデル化されたアクセス経路モデルに設定情報を付加した情報の例を示す。図４５および図４６に例示する情報は、アクセス経路モデル生成手段１０３０によって設定情報格納手段２０１０に格納される。図４５および図４６に示す設定情報（アクセス経路モデルに付加された設定情報）は、その設定情報が格納されていた場所（ホスト名、ファイル名）や、ファイル中の位置等の情報を含む。【０１６５】
設定情報特定手段２０２０は、情報漏洩を引き起こすと判定された設定情報の特定を行う。すなわち、情報漏洩の可能性がある経路のアクセス経路モデルに対応付けられた設定情報を特定し、設定情報格納手段２０１０から抽出する。例えば、図４４に破線で示す経路のアクセス経路モデルに対応付けられた設定情報を設定情報格納手段２０１０から抽出する。具体例を挙げると、図４４において破線で示したアクセス経路モデルには、ファイル「/leader/index.html」とユーザａｐａｃｈｅとの間のアークが含まれる。このアークは、図４６に示すapacheのアクセス権情報から生成されたものである。設定情報特定手段２０２０は、このアークに対応する設定情報として、図４６に例示する設定情報を抽出する。図４４に破線で示したアクセス経路の場合、同様に、クライアントＲＤ−Ｃのユーザrdc-user-aと、ファイル/rdc-user-a-home/
と、その間のアーク(ファイルアクセス権)と、ウェブクライアント中の要素と、ファイアウォールＦＷのフィルタリングルール「10.56.2.5,*,10.56.3.105,* 」と、部門サーバＲＤ−Ｄのａｐａｃｈｅのネットワーク８０と、ファイル/leader/index.htmlなどについて、それぞれのモデルに対応する設定情報を抽出する。【０１６６】
情報漏洩対策案提案手段３０４０は、情報漏洩対策案格納手段３０１０から情報漏洩対策案（設定情報の変更候補）を取り出し、表示する。図４７は、情報漏洩対策案を表示するためのユーザインタフェース（以下、ＵＩと記す。）の例を示す。図４７に例示するＵＩでは、情報漏洩を引き起こすと判定された設定情報がそれぞれ「現在の設定」として表示される。そして、各設定情報に対応して、「修正」ボタン、「変更候補」の表示欄、「実行」ボタンが表示される。初期表示状態において、「変更候補」の表示欄に変更候補が表示されない場合があってもよい。特に、ユーザによる決定項目が多いと考えられる変更候補については、初期表示状態において表示しなくてもよい。各変更候補が、初期表示状態において表示されるか否かは、予め定めておけばよい。本実施例では、図４７に示すＵＩ上でオペレータが変更候補の編集を行うことはできないものとする。「修正」ボタンが選択（例えば、マウスクリック等による選択）されると、設定変更入力手段３０３０は、そのボタンに対応する変更候補の編集画面を表示する。図４７に示すＵＩにおいて、変更候補が表示されていなかった場合、設定変更入力手段３０３０は、選択された「修正」ボタンに対応する「現在の設定」に応じた変更候補を、情報漏洩対策案格納手段３０１０から取り出し、その変更候補を編集画面上に表示する。【０１６７】
図４８は、図４７において一番下に示した「修正」ボタンが選択されたときの表示画面の例を示す。設定変更入力手段３０３０は、「現在の設定」に応じた情報漏洩対策案を取り出し、「変更候補」の表示欄に表示する（図４８参照。）。設定変更入力手段３０３０は、例えば、この画面を表示するディスプレイ装置と、キーボード等の入力デバイスと、ＣＰＵによって実現される。そして、設定変更入力手段３０３０は、表示した変更候補の修正操作が行われた場合には、その操作に応じて、変更候補の表示を更新する。すなわち、オペレータは、キーボード等を用いて、表示された変更候補を編集することができる。図４８に示す画面において「キャンセル」ボタンが選択されると、情報漏洩対策案提案手段３０４０は、前画面（図４７参照。）を再度表示する。図４８に示す画面において「決定」ボタンが選択されると、情報漏洩対策案提案手段３０４０は、図４８において「変更候補」として表示した内容を反映させて、再度ＵＩを表示する。このＵＩの画面を図４９に示す。図４７に示すＵＩでは、一番下の「変更候補」の表示欄には何も表示されていない状態であったが、「修正」ボタンの選択により変更候補が表示され（図４８参照。）、図４８に示す決定ボタンが選択されることにより、図４９に示すように、一番下の「変更候補」の表示欄に変更候補が表示された状態になる。また、図４８に示す画面で、オペレータによる変更候補の編集が行われた場合、その編集結果が図４９に示すＵＩに表示される。【０１６８】
図４７，図４９に例示するＵＩにおいて、表示済みの変更候補に対応する「実行」ボタンが選択されると、対策実行手段３０５０は、情報漏洩対策案格納手段３０１０に格納された実行方法で、変更候補として示された設定を検証対象システムに施す。例えば、図４９に例示する表示状態で、一番下の「実行」ボタンが選択されたとする。この場合、対策実行手段３０５０は、一番下の「実行」ボタンとともに表示された「変更候補」を用いて、ａｐａｃｈｅ設定ファイルを部分的に書き換え、サーバを再起動する。図４９の一番下に表示された変更候補を用いて部分的に書き換えられたａｐａｃｈｅ設定ファイルの例を図５０に示す。図５０に示す行番号５１〜６０の部分が、書き換えられた箇所である。【０１６９】
このように、検証者は、分析対象アクセス経路を入力することで、情報漏洩を引き起こす可能性のあるファイルを容易に発見することができる。また、情報漏洩対策案提案手段３０４０により、情報漏洩を防止する方法を複数表示可能であるので、効果的と考えられる対策をすばやく、容易に実行することができる。このことにより、情報漏洩を未然に防止することができる。
【実施例３】
【０１７０】
実施例３では、実施例２と同様の検証対象システムを用いて説明する。また、アクセス経路モデルとともに設定情報を格納する態様も、実施例２と同様であるものとする。実施例３では、情報漏洩対策優先順位決定手段２１０が、情報漏洩対策案に対し順位付けを行う場合を示す。【０１７１】
図４４に示す情報漏洩の可能性のある経路（図４４において破線で示した経路）に関して、情報漏洩対策優先順位決定手段２１０は、例えば、情報漏洩の可能性のある情報漏洩ファイル５０１０（/var/www/leader/index.html）、情報漏洩ファイル５０１０へのアクセス権を示すアーク５０２０、情報漏洩ファイルへのアクセス権を有するユーザ５０３０（user:apache）、アパッチの実行ユーザ設定のuser:apache５０４０、アパッチのアクセス権設定５０５０の順に順位付けする。情報漏洩対策案提案手段３０４０は、順位付けられた各モデルに対応する設定情報を順位に従って「現在の設定」として表示し、その設定に対応する変更候補を表示する。実施例２と同様に、初期表示状態において表示されない変更候補があってもよい。情報漏洩対策優先順位決定手段２１０が決定した順位に従って、変更候補を表示した画面の例を図５１に示す。ただし、図５１では、「修正」ボタンが選択され編集などが行われて、各変更候補が表示されている状態を示している。この状態の後、「実行」ボタンが選択されたときの動作は、実施例２と同様である。【０１７２】
本実施例では、実施例２と同様の効果が得られる。特に、最も効果的と考えられる対策をすばやく、容易に実行することができる。
【実施例４】
【０１７３】
実施例４では、第９の実施の形態の動作の例を示す。本例では、実施例１〜３と同様のアクセス経路モデルがアクセス経路モデル格納手段１０４０に格納されているものとする。アクセス経路分析手段５０１０は、ファイル/var/www/leader/index.html（図４４参照。）を流通元または、途中のノードとし、すべてのユーザ、ファイルを流通元、流通先とする分析対象アクセス経路を作成する。次に、アクセス経路判定手段１０６０が全ての経路の有無を判定する。次に、情報漏洩対策優先順位決定手段２１０は、アクセス経路判定手段１０６０によって判定された経路の本数を数える。図４４に例示するモデルの場合、１４本となる。同様に、情報漏洩経路中のすべての要素について、経路を数える。このようにして数えた経路の少ない順に、設定変更案の順位とする。この後の手順は、実施例２と同様である。【０１７４】
なお、実施例２や実施例３等では、図４７に例示するＵＩを用いて説明した。変更候補を表示するＵＩにおいて、設定情報を記述した設定ファイル名を表示してもよい。図５２は、そのようなＵＩの例を示す。図５２に示すＵＩでは、「実行」ボタン、設定ファイル名、現在の設定、変更候補、「修正」ボタンを組にして表示している。【０１７５】
本発明によれば、ファイルを格納するシステムの設定状況に応じて、情報漏洩の可能性を判定することができる。また、ファイルが漏洩することを未然に防止することができる。また、漏洩する可能性のあるファイルがどこに格納されているファイルであるのか、あるいは、そのファイルの漏洩の起因となる設定等を特定することができる。
【産業上の利用可能性】
【０１７６】
本発明は、ファイル漏洩の可能性の検証に適用することができる。
【図１】
0004883315.tif 000002
【図２】
0004883315.tif 000003
【図３】
0004883315.tif 000004
【図４】
0004883315.tif 000005
【図５】
0004883315.tif 000006
【図６】
0004883315.tif 000007
【図７】
0004883315.tif 000008
【図８】
0004883315.tif 000009
【図９】
0004883315.tif 000010
【図１０】
0004883315.tif 000011
【図１１】
0004883315.tif 000012
【図１２】
0004883315.tif 000013
【図１３】
0004883315.tif 000014
【図１４】
0004883315.tif 000015
【図１５】
0004883315.tif 000016
【図１６】
0004883315.tif 000017
【図１７】
0004883315.tif 000018
【図１８】
0004883315.tif 000019
【図１９】
0004883315.tif 000020
【図２０】
0004883315.tif 000021
【図２１】
0004883315.tif 000022
【図２２】
0004883315.tif 000023
【図２３】
0004883315.tif 000024
【図２４】
0004883315.tif 000025
【図２５】
0004883315.tif 000026
【図２６】
0004883315.tif 000027
【図２７】
0004883315.tif 000028
【図２８】
0004883315.tif 000029
【図２９】
0004883315.tif 000030
【図３０】
0004883315.tif 000031
【図３１】
0004883315.tif 000032
【図３２】
0004883315.tif 000033
【図３３】
0004883315.tif 000034
【図３４】
0004883315.tif 000035
【図３５】
0004883315.tif 000036
【図３６】
0004883315.tif 000037
【図３７】
0004883315.tif 000038
【図３８】
0004883315.tif 000039
【図３９】
0004883315.tif 000040
【図４０】
0004883315.tif 000041
【図４１】
0004883315.tif 000042
【図４２】
0004883315.tif 000043
【図４３】
0004883315.tif 000044
【図４４】
0004883315.tif 000045
【図４５】
0004883315.tif 000046
【図４６】
0004883315.tif 000047
【図４７】
0004883315.tif 000048
【図４８】
0004883315.tif 000049
【図４９】
0004883315.tif 000050
【図５０】
0004883315.tif 000051
【図５１】
0004883315.tif 000052
【図５２】
0004883315.tif 000053
【図５３】
0004883315.tif 000054