(57)【要約】【課題】  クライアント端末からの電子メールを経由した情報漏洩を防止する電子メール監視システムを提供することを目的とする。【解決手段】  操作ログ情報取得部と、操作ログ情報記憶部と、電子メールの本文を抽出する電子メール処理部と、電子メールの送信処理検出から所定のタイミング前までのクライアント端末における操作ログ情報を抽出することで、そのクライアント端末がアクセスしたファイルを特定するファイル特定部と、ファイル毎のキーワードを抽出するキーワード抽出部と、電子メールの本文と、特定したファイルに対応する抽出したキーワードとを用いることで不正メールであるか否かを判定する不正メール判定部と、不正メール判定部において不正メールであることを判定した場合に所定の制御指示を送信する制御処理部と、を有する電子メール監視システムである。【選択図】  図１
2009116616.tif 000002
【特許請求の範囲】
【請求項１】
クライアント端末から送信する電子メールを監視する電子メール監視システムであって、
前記電子メール監視システムは、
クライアント端末の操作ログ情報を取得する操作ログ情報取得部と、
前記クライアント端末の操作ログ情報を記憶する操作ログ情報記憶部と、
クライアント端末から送信する電子メールの本文を抽出する電子メール処理部と、
前記電子メールの送信処理検出から所定のタイミング前までのクライアント端末における操作ログ情報を前記操作ログ情報記憶部から抽出し、その操作ログ情報に基づいて、そのクライアント端末がアクセスしたファイルを特定するファイル特定部と、
ファイル毎のキーワードを抽出するキーワード抽出部と、
前記電子メール抽出部で抽出した電子メールの本文に、前記ファイル特定部で特定したファイルに対応する、前記キーワード抽出部で抽出したキーワードが含まれているかを判定することで不正メールであるか否かを判定する不正メール判定部と、
前記不正メール判定部において不正メールであることを判定した場合に所定の制御指示を行う制御処理部と、
を有することを特徴とする電子メール監視システム。
【請求項２】
前記電子メール監視システムは、更に、
各クライアント端末の操作画面情報を取得する操作画面情報取得部、
を有しており、
前記電子メール処理部は、
前記各クライアント端末における電子メールの送信処理を監視しており、電子メールの送信処理を検出すると、前記クライアント端末または電子メールサーバに対して、その電子メールの送信処理の一時中止の制御指示を行い、
前記送信処理の検出後、対応する操作画面情報から前記電子メールの本文を文字認識処理により抽出することで、電子メールの本文を抽出し、
前記不正メール判定部において不正メールではないと判定した場合に、前記制御処理部は、前記一時中止した電子メールの送信処理を再開させる制御指示を、前記クライアント端末または電子メールサーバに対して送信する、
ことを特徴とする請求項１に記載の電子メール監視システム。
【請求項３】
前記電子メール処理部は、
前記クライアント端末における電子メールの送信処理を監視しており、電子メールの送信処理を検出すると、前記クライアント端末または電子メールサーバに対して、その電子メールの送信処理の一時中止の制御指示を行い、
前記送信処理の検出後、前記クライアント端末または電子メールサーバからその電子メールデータを取得することで、電子メールの本文を抽出し、
前記不正メール判定部において不正メールではないと判定した場合に、前記制御処理部は、前記一時中止した電子メールの送信処理を再開させる制御指示を、前記クライアント端末または電子メールサーバに対して送信する、
ことを特徴とする請求項１に記載の電子メール監視システム。
【請求項４】
前記キーワード抽出部は、
ファイルのうち、予め定められた配列条件を充足する文字情報を前記ファイルのキーワードとして抽出する、
ことを特徴とする請求項１から請求項３のいずれかに記載の電子メール監視システム。
【請求項５】
前記電子メール監視システムは、更に、
ファイル毎のキーワードを記憶するキーワード記憶部と、を有しており、
前記電子メール処理部は、
前記クライアント端末における電子メールの送信処理を前記操作ログ情報取得部で取得した操作ログ情報に基づいて監視し、電子メールの送信処理を検出すると、前記クライアント端末または電子メールサーバからその電子メールデータを取得することで、電子メールの本文を抽出し、
前記キーワード抽出部は、
前記電子メールの送信処理検出の前に、ファイル毎のキーワードを抽出して前記キーワード記憶部に記憶させておき、前記電子メールの送信処理検出後、前記ファイル特定部で特定したファイルのファイル識別情報に基づいて、前記キーワード記憶部に記憶したキーワードを抽出する、
ことを特徴とする請求項１に記載の電子メール監視システム。
【請求項６】
クライアント端末の操作ログ情報を記憶装置に記憶するコンピュータ端末を、
クライアント端末の操作ログ情報を取得する操作ログ情報取得部、
クライアント端末から送信する電子メールの本文を抽出する電子メール処理部、
前記電子メールの送信処理検出から所定のタイミング前までのクライアント端末における操作ログ情報を前記操作ログ情報記憶部から抽出し、その操作ログ情報に基づいて、そのクライアント端末がアクセスしたファイルを特定するファイル特定部、
ファイル毎のキーワードを抽出するキーワード抽出部、
前記電子メール抽出部で抽出した電子メールの本文に、前記ファイル特定部で特定したファイルに対応する、前記キーワード抽出部で抽出したキーワードが含まれているかを判定することで不正メールであるか否かを判定する不正メール判定部、
前記不正メール判定部において不正メールであることを判定した場合に所定の制御指示を行う制御処理部、
として機能させることを特徴とする電子メール監視プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、クライアント端末からの電子メールを経由した情報漏洩を防止する電子メール監視システムに関する。
【背景技術】
【０００２】
近年、企業などの組織からの個人情報や企業秘密の漏洩などが相次いだことから、情報管理の徹底が求められている。そして情報漏洩が発生する原因の一つとして、故意または過失で個人情報や企業秘密などの機密情報を電子メールの本文に貼り付けたり、添付ファイルとして添付してしまい、それを本来ならば、かかる機密情報にアクセスできない送信先に送信してしまうことによるものがある。
【０００３】
このようなことを防止するために様々な対策が採られており、例えば下記特許文献１乃至特許文献３に記載のシステムがある。これらは電子メールの送信先によって、添付ファイルの添付を許可・不許可とする発明である。
【０００４】
また上述のほかにも電子メールの本文自体を解析して機密キーワードに関する用語を含む電子メールは送信できないようにする技術も存在している。
【０００５】
【特許文献１】特開２００５−２６７０８７号公報
【特許文献２】特開２００２−１４９５７４号公報
【特許文献３】特開平１１−２１２８８４号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
特許文献１乃至特許文献３に記載のようなシステムを用いた場合、電子メールの送信先のユーザが、電子メールに添付するファイルに対してアクセス権限を有しているか、を判定することによって電子メールの送信制限処理を実行している。しかしこれらの発明を用いた場合、添付ファイルの許可・不許可は判定できたとしても、機密ファイルを参照しながら、クライアント端末のユーザ自らが電子メールの本文に、機密ファイルのデータを入力して送信する場合には、対応することができない問題点がある。
【０００７】
そこで電子メール本文に対する文字解析を行うことで機密キーワードに該当する用語を含む電子メールを送信できないようにするシステムも存在するが、このような従来の電子メール本文の解析システムの場合、比較対象となる機密キーワードは予めデーターベースに登録されている用語との一致を検索することとなる。
【０００８】
しかしこのシステムではデータベースに登録されている用語が電子メール本文に含まれているかを単に検索しているに過ぎず、電子メール送信のたびにデータベースのすべての用語との検索を行う必要がある。そのためデータベースに著しい負荷がかかると共に電子メールの送信も遅延しがちとなる。
【０００９】
そこで電子メールの本文自体に解析を行う場合であっても、効率よく検索を行うシステムが待望されている。
【課題を解決するための手段】
【００１０】
そこで本発明者は上記課題に鑑み、機密ファイルの情報が、クライアント端末のユーザにより電子メールの本文に直接入力された場合でもそれを判定して、機密ファイルの情報の漏洩を防止する電子メール監視システムを発明した。
【００１１】
請求項１の発明は、クライアント端末から送信する電子メールを監視する電子メール監視システムであって、前記電子メール監視システムは、クライアント端末の操作ログ情報を取得する操作ログ情報取得部と、前記クライアント端末の操作ログ情報を記憶する操作ログ情報記憶部と、クライアント端末から送信する電子メールの本文を抽出する電子メール処理部と、前記電子メールの送信処理検出から所定のタイミング前までのクライアント端末における操作ログ情報を前記操作ログ情報記憶部から抽出し、その操作ログ情報に基づいて、そのクライアント端末がアクセスしたファイルを特定するファイル特定部と、ファイル毎のキーワードを抽出するキーワード抽出部と、前記電子メール抽出部で抽出した電子メールの本文に、前記ファイル特定部で特定したファイルに対応する、前記キーワード抽出部で抽出したキーワードが含まれているかを判定することで不正メールであるか否かを判定する不正メール判定部と、前記不正メール判定部において不正メールであることを判定した場合に所定の制御指示を行う制御処理部と、を有する電子メール監視システムである。
【００１２】
従来、電子メールの本文に対する解析処理を実行するシステムの場合には、すべてのキーワードとその一致性を検索することにより、情報漏洩等がないかを判定していた。しかし電子メールの本文による情報漏洩の場合には、一般的には何らかのファイルを参照しながらユーザが電子メールの本文に個人情報などを入力したり、あるいは貼り付けるなどにより行うことが多いと考えられる。そのためすべてのキーワードと一致性を検索しなくても、電子メールの送信前に使用されていたファイルに関するキーワードのみを検索することで、十分に対応することが可能と考えられる。そこで本発明のように電子メールの送信処理を検出してから所定のタイミング前までに、ユーザが使用していたファイルを操作ログ情報に基づいて特定して、それに対応するキーワードを用いて判定することで、従来よりも負荷を軽減して、電子メールの本文に対する解析処理を実行することが可能となる。更にこれによって検索するキーワードが少なくなるので、電子メールの送信処理の遅延も防止できる。
【００１３】
請求項２の発明において、前記電子メール監視システムは、更に、各クライアント端末の操作画面情報を取得する操作画面情報取得部、を有しており、前記電子メール処理部は、前記各クライアント端末における電子メールの送信処理を監視しており、電子メールの送信処理を検出すると、前記クライアント端末または電子メールサーバに対して、その電子メールの送信処理の一時中止の制御指示を行い、前記送信処理の検出後、対応する操作画面情報から前記電子メールの本文を文字認識処理により抽出することで、電子メールの本文を抽出し、前記不正メール判定部において不正メールではないと判定した場合に、前記制御処理部は、前記一時中止した電子メールの送信処理を再開させる制御指示を、前記クライアント端末または電子メールサーバに対して送信する、電子メール監視システムである。
【００１４】
請求項３の発明において、前記電子メール処理部は、前記クライアント端末における電子メールの送信処理を監視しており、電子メールの送信処理を検出すると、前記クライアント端末または電子メールサーバに対して、その電子メールの送信処理の一時中止の制御指示を行い、前記送信処理の検出後、前記クライアント端末または電子メールサーバからその電子メールデータを取得することで、電子メールの本文を抽出し、前記不正メール判定部において不正メールではないと判定した場合に、前記制御処理部は、前記一時中止した電子メールの送信処理を再開させる制御指示を、前記クライアント端末または電子メールサーバに対して送信する、電子メール監視システムである。
【００１５】
電子メールの本文を抽出するには、これらの発明の処理を実行することで対応できる。また電子メールの送信処理の検出後、実際に電子メールが相手先に送信されるのを防ぐために、本発明における処理が完了するまでその送信処理を一時中止させ、不正メールではないことを判定したら、その処理を再開することが良い。
【００１６】
請求項４の発明において、前記キーワード抽出部は、ファイルのうち、予め定められた配列条件を充足する文字情報を前記ファイルのキーワードとして抽出する、電子メール監視システムである。
【００１７】
ファイルのキーワードは本発明の処理を実行することで抽出できる。
【００１８】
請求項５の発明は、前記電子メール監視システムは、更に、ファイル毎のキーワードを記憶するキーワード記憶部と、を有しており、前記電子メール処理部は、前記クライアント端末における電子メールの送信処理を前記操作ログ情報取得部で取得した操作ログ情報に基づいて監視し、電子メールの送信処理を検出すると、前記クライアント端末または電子メールサーバからその電子メールデータを取得することで、電子メールの本文を抽出し、前記キーワード抽出部は、前記電子メールの送信処理検出の前に、ファイル毎のキーワードを抽出して前記キーワード記憶部に記憶させておき、前記電子メールの送信処理検出後、前記ファイル特定部で特定したファイルのファイル識別情報に基づいて、前記キーワード記憶部に記憶したキーワードを抽出する、電子メール監視システムである。
【００１９】
請求項１の発明は、これらの発明のように構成することも可能である。またこのように構成しても同様の技術的効果を得られる。
【００２０】
請求項６の発明は、クライアント端末の操作ログ情報を記憶装置に記憶するコンピュータ端末を、クライアント端末の操作ログ情報を取得する操作ログ情報取得部、クライアント端末から送信する電子メールの本文を抽出する電子メール処理部、前記電子メールの送信処理検出から所定のタイミング前までのクライアント端末における操作ログ情報を前記操作ログ情報記憶部から抽出し、その操作ログ情報に基づいて、そのクライアント端末がアクセスしたファイルを特定するファイル特定部、ファイル毎のキーワードを抽出するキーワード抽出部、前記電子メール抽出部で抽出した電子メールの本文に、前記ファイル特定部で特定したファイルに対応する、前記キーワード抽出部で抽出したキーワードが含まれているかを判定することで不正メールであるか否かを判定する不正メール判定部、前記不正メール判定部において不正メールであることを判定した場合に所定の制御指示を行う制御処理部、として機能させる電子メール監視プログラムである。
【００２１】
本発明のプログラムを所定のコンピュータ端末に読み込ませることで、本発明の電子メール監視システムを構成することができる。
【発明の効果】
【００２２】
本発明によって、従来では対応することができなかった、ユーザによる電子メールへの本文への情報の直接入力による場合にも、機密ファイルの情報の漏洩を防止することができる電子メール監視システムが可能となる。
【００２３】
また本発明の場合、従来の電子メールの本文の解析システムにおけるデータベースのすべての用語との検索を行う必要がない。つまり電子メールを送信する前の所定のタイミングにおいて使用されていたファイルを操作ログ情報を用いることで特定し、そのファイルに関するキーワードのみを検索対象とするため、従来よりも検索対象とするキーワードを著しく減らすことができ、そのため検索の際の負荷を減らすと共に、電子メールの送信遅延の防止にもなる。
【００２４】
なぜならば本発明のように、電子メールの本文に機密情報が含まれる場合には、機密情報が含まれたファイルをユーザが参照しながら、電子メールの本文に入力して電子メールを送信する可能性が最も高く、その場合には、電子メールの送信の所定のタイミング前に開いていたファイルを確認すればよいからである。
【発明を実施するための最良の形態】
【００２５】
本発明の電子メール監視システム１の全体の概念図を図１に、システム構成の概念図を図３に示す。
【００２６】
本発明の電子メール監視システム１は、管理サーバ２において、機密情報保護システムを実現するプログラムやモジュールが実行されることで実現される。管理サーバ２は、複数のクライアント端末４においてどのようなプログラムや操作が実行されているのかを保存、監視する。従って、各クライアント端末４には、当該クライアント端末４において実行されているプログラム名、ファイル名などのファイル識別情報や、当該クライアント端末４の入力装置２３で入力された情報、クライアント端末４における処理や操作などがリアルタイムで、或いは定期的に、あるいは新たなプログラムやファイルが起動された場合または終了した場合などの所定のタイミングで、クライアント端末４から管理サーバ２にその操作ログの情報を送信する機能を備えている。また各クライアント端末４には、当該クライアント端末４の表示装置２２で表示している画面をキャプチャして、定期的にまたは不定期に管理サーバ２に送信する機能を備えている。
【００２７】
操作ログ情報を送信する機能は、クライアント端末４の演算装置２０で実行しているプログラム名やファイル名を抽出したり、メモリ内のプログラム名やファイル名を抽出したり、当該クライアント端末４の入力装置２３で入力された、あるいは操作された情報などを送信すればよい。また、表示装置２２で表示している画面（操作画面情報）をキャプチャするには、例えばＶＲＡＭなどの表示装置２２に表示する情報を記憶する表示情報記憶装置から、表示装置２２で表示している画面情報を読み取り、それを操作画面情報として送信すればよい。
【００２８】
管理サーバ２、管理者端末３、クライアント端末４には、プログラムの演算処理を実行するＣＰＵなどの演算装置２０と、情報を記憶するＲＡＭやハードディスクなどの記憶装置２１と、演算装置２０の処理結果や記憶装置２１に記憶する情報をインターネットやＬＡＮなどのネットワークを介して送受信する通信装置２４とを少なくとも有している。コンピュータ上で実現する各機能（各手段）は、その処理を実行する手段（プログラムやモジュールなど）が演算装置２０に読み込まれることでその処理が実行される。各機能は、記憶装置２１に記憶した情報をその処理において使用する場合には、該当する情報を当該記憶装置２１から読み出し、読み出した情報を適宜、演算装置２０における処理に用いる。当該コンピュータには、キーボードやマウスやテンキーなどの入力装置２３、ディスプレイ（画面）などの表示装置２２を有していても良い。図４に管理サーバ２、管理者端末３、クライアント端末４のハードウェア構成の一例を模式的に示す。
【００２９】
本発明における各手段は、その機能が論理的に区別されているのみであって、物理上あるいは事実上は同一の領域を為していても良い。また管理サーバ２は一台のサーバによって構成されていても良いし、複数のサーバにその機能が分散されていても良い。
【００３０】
管理サーバ２は、操作ログ情報取得部５と操作ログ情報記憶部６と操作画面情報取得部７と電子メール処理部８とファイル特定部９とキーワード抽出部１０と不正メール判定部１１と制御処理部１２とを有する。
【００３１】
操作ログ情報取得部５は、各クライアント端末４から定期的にまたは不定期（所定のタイミングで）に、当該クライアント端末４における操作ログ情報を取得する。取得した操作ログ情報は、後述する操作ログ情報記憶部６に、その日時、どのクライアント端末４における操作ログ情報であるかを識別する情報と共に、記憶させる。なお操作ログ情報としては、各クライアント端末４における操作内容やそのクライアント端末４における処理内容などを示す情報であればよく、例えば「ファイルコピー」、「ファイル選択」、「ドライブ追加」、「ポインティングデバイス操作」、「画面制御（ウィンドウのサイズ変更など）」など、当該クライアント端末４の操作者の操作を示す情報が該当する。図６に操作ログ情報の一例を模式的に示す。
【００３２】
操作ログ情報記憶部６は、操作ログ情報取得部５で各クライアント端末４から取得した操作ログ情報を記憶する。操作ログ情報としては、クライアント端末４を識別する情報、操作内容を示す情報、操作内容の操作対象となったファイルの名称、当該ファイルの所在位置を示す情報（保存場所など）、日時または日時を数値化した情報などが含まれている。この所在位置を示す情報に基づいて、該当するファイルサーバやそのディレクトリが特定できる。なお操作ログ情報は、各クライアント端末４またはユーザ（ログイン名など）ごとに記憶させることが好ましい。また操作内容を示す情報を日時などに対応づける場合には、クライアント端末４で行っても良いし、操作ログ情報を管理サーバ２で受け取った際に行っても良いし、或いは操作ログ情報記憶部６で記憶した際に行っても良い。図７に操作ログ情報記憶部６の一例を模式的に示す。
【００３３】
操作画面情報取得部７は、管理サーバ２が監視対象としている各クライアント端末４から、当該各クライアント端末４の表示装置２２で表示している操作画面情報を取得する。例えば図８に示すような操作画面情報を画像形式で取得する。操作画面情報取得部７は、定期的にまたは所定のタイミング（例えばクライアント端末４で電子メールの送信処理を検出した場合など）で各クライアント端末４から操作画面情報を取得する。この際に、クライアント端末４を識別する情報、日時などを対応づけて操作画面情報記憶部（図示せず）に記憶させても良い。
【００３４】
電子メール処理部８は、クライアント端末４の操作を監視しており、クライアント端末４において電子メールの送信処理を行った場合に、それを検出する。そして電子メールの送信処理を検出した場合、当該クライアント端末４またはその電子メールサーバ（ＳＭＴＰによる電子メールサーバ、ＩＭＡＰによる電子メールサーバなど）に対して、電子メール送信処理を一時中止する制御指示を送信する。なお電子メールの送信処理の検出は、クライアント端末４から管理サーバ２に対して電子メールの送信処理が行われた通知を送信し、それを受け取ることによって検出しても良い。また、操作ログ情報取得部５で取得した操作ログ情報の操作内容を監視し、その操作内容が「メール送信」など電子メールの送信処理を示す操作内容であった場合に電子メールの送信処理を検出しても良いし、あるいはクライアント端末４を直接監視し、その電子メールの送信コマンドなどの入力を検出するなどによってもよい。
【００３５】
電子メール処理部８は、電子メールの送信処理を検出すると、操作画面情報取得部７で当該クライアント端末４から取得した操作画面情報（あるいは操作画面情報記憶部に記憶した当該クライアント端末４の操作画面情報のうち、電子メールの送信処理を検出した時点あるいはその直前の操作画面情報）に基づいて、文字認識処理を実行することにより、電子メールの本文を抽出する。この際の操作画面情報は、電子メールの送信処理直前或いはそのタイミングにおけるクライアント端末４の表示装置２２で表示している操作画面情報に基づいて処理を実行することが好ましい。操作画面情報記憶部に逐次、クライアント端末４の操作画面情報を記憶している場合にはその操作画面情報を用い、そうでない場合には電子メールの送信処理を検出した場合に、操作画面情報取得部７が当該クライアント端末４に取得要求を送り、それに基づいて操作画面情報を取得する。
【００３６】
また操作画面情報に基づいて電子メールの本文に記載された文字情報を認識することが好ましいが、電子メール処理部８は、電子メールそのものを当該クライアント端末４または電子メールサーバなどから取得することによって、その本文の文字情報を取得しても良い。これは当該電子メールの送信処理が一時中止されているので、それを当該クライアント端末４または電子メールサーバなどからコピーする、などにより取得できる。
【００３７】
以上のような処理を電子メール処理部８が実行することによって、例えば操作画面情報が図８の場合、電子メールの本文として、「株式会社ＢＢＢＢ」、「●●●●  様：」、「お世話になっております。」、「先日御連絡いただいたミーティング日程の件ですが、」、「・１０月１５日１５時〜」、「・１０月１６日１４時〜」、「のいずれかではいかがでしょうか。」、「−−−−−−−−−−−」、「ＡＡＡＡ株式会社」、「知的財産部  ○○○○」を電子メールの本文として抽出することとなる。
【００３８】
ファイル特定部９は、電子メール処理部８において電子メールの送信処理を検出すると、操作ログ情報記憶部６に記憶した当該クライアント端末４の操作ログ情報に基づいて、メール送信から所定のタイミング前（所定の操作、例えば電子メールの新規作成など、や所定時間）までの操作ログ情報を抽出し、当該クライアント端末４でアクセスしたファイルを特定する。これを模式的に図９に示す。
【００３９】
図９の場合、電子メールの送信処理を検出した操作ログ情報から、電子メールの新規作成処理が行われた間の当該クライアント端末４における操作ログ情報を抽出し、これらの操作ログ情報のうち、操作内容としてファイルへのアクセスを示す情報が含まれている操作ログ情報を特定する。そして特定した操作ログ情報からそのファイル名を特定する。従って、「電子メールの新規作成」から「電子メールの送信」までの間に、ファイル「ＡＡＡＡＡＡＡ」、ファイル「ＢＢＢＢＢＢＢ」、ファイル「ＣＣＣＣＣＣＣ」、ファイル「ＤＤＤＤＤＤＤ」に当該ユーザがアクセスしたことが特定できる。
【００４０】
キーワード抽出部１０は、ファイル特定部９で特定したファイルに対応するキーワードを抽出する。例えば上述の場合ではファイル「ＡＡＡＡＡＡＡ」、ファイル「ＢＢＢＢＢＢＢ」、ファイル「ＣＣＣＣＣＣＣ」、ファイル「ＤＤＤＤＤＤＤ」にアクセスして、それら各ファイルからキーワードを抽出する。このキーワードを抽出する処理としては、様々な方法があるが、例えば以下のような処理により実現できる。
【００４１】
まずファイル特定部９で特定したファイルの保存場所を、その操作ログ情報に基づいて抽出し、その保存場所に対してキーワード抽出部１０がアクセスすることで、ユーザがアクセスしたファイルに同様にアクセスする。そしてそのファイルのうち、所定条件を充足する情報、例えば文字情報などをキーワードとして抽出する。この際の所定条件としては、予め定められた配列条件などがある。この配列条件は個人情報などに特有の配列条件であることが好ましく、例えば住所、電話番号、電子メールアドレス、生年月日などがある。
【００４２】
住所であれば都道府県名、市町村名などの順番で配置されているので、それらの名称を記憶する保存部（図示せず）を管理サーバ２または所定のサーバ上に記憶しておき、キーワード抽出部１０がアクセスしたファイルの文字情報と、その保存部に記憶する情報との一致性を判定することで行える。また電話番号は数字が所定の桁数で並んでいれば（記号「−」が所定の桁に位置していることを判定しても良い。また記憶されている市外局番などが先頭の所定桁数に含まれているかを判定しても良い）、電話番号であると判定でき、また電子メールアドレスは英数字と「＠」「．」を含み、その最後が「co.jp」、「com」、「ac.jp」などの所定の英数字列になっていれば電子メールアドレスであると判定でき、更に生年月日は元号の後に所定桁数の数字または２桁か４桁の数字があり、その後、「年」、所定桁数の数字、「月」、所定桁数の数字、「日」と並んでいれば生年月日であると判定できる。
【００４３】
また配列条件によらずとも、アクセスしたファイルが表計算ソフトのような場合には、項目毎に各情報が存在している場合がある。その場合には、その各項目と個人情報を意味する用語「氏名」、「住所」、「電話番号」、「電子メールアドレス」、「生年月日」などを比較し、一致した項目に対応する情報をまとめてキーワードとして抽出しても良い。
【００４４】
更にキーワード抽出部１０は、ファイル特定部９でファイルを特定した後に上記キーワードの抽出処理を、特定したファイルに対して実行しても良いが、所定のタイミング、例えばファイルの新規作成、更新などが行われた段階で逐次キーワードを抽出しておき、それをキーワード抽出部１０で各ファイル名に対応づけて記憶しておくことが良い（キーワード記憶部１３（後述））。つまり事前にファイル毎に含まれるキーワードを記憶しておくことによって、ファイル特定時における処理を迅速に実行することができる。
【００４５】
不正メール判定部１１は、キーワード抽出部１０で抽出した各ファイルのキーワードと、電子メール処理部８で判定した電子メールの本文とを比較し、電子メールの本文に上記キーワードが含まれているかを判定する。これを模式的に示すのが図１０である。
【００４６】
この際に抽出したキーワードが一つでも電子メールの本文に含まれていたら不正メールであると判定しても良いし、一致するキーワードが所定数以上の場合に不正メールと判定しても良いし、更に、当該電子メールにおける全文字数のうち、一致したキーワードの文字数が所定数以上の場合に不正メールと判定しても良い。この不正メールであるか否かの条件は適宜設定可能である。
【００４７】
制御処理部１２は、不正メール判定部１１で当該クライアント端末４が送信しようとした電子メールが不正メールであると判定した場合には、当該クライアント端末４または電子メールサーバに対して、所定の制御指示を送信する。例えば当該電子メールの削除処理や無効化の処理、当該クライアント端末４、管理者端末３に対して不正メールが送信されていることを通知するなどがある。また不正メール判定部１１において不正メールではないと判定した場合には、制御処理部１２は、送信を一時中止した制御を解除する指示を当該クライアント端末４または電子メールサーバに送信することで、当該電子メールが送信先に送信される。
【実施例１】
【００４８】
次に本発明の電子メール監視システム１の処理プロセスを図２の処理の概念図、図５のフローチャートを用いて説明する。
【００４９】
クライアント端末４は、好ましくはリアルタイムで操作ログ情報を管理サーバ２に送信しており、管理サーバ２の操作ログ情報取得部５は、各クライアント端末４からの操作ログ情報を操作ログ情報取得部５で取得する（Ｓ１００）。またこの際にあわせてクライアント端末４における操作画面情報を各クライアント端末４から操作画面情報取得部７が取得していても良い（Ｓ１００）。
【００５０】
操作ログ情報取得部５が取得した操作ログ情報は操作ログ情報記憶部６に記憶される。
【００５１】
電子メール処理部８は、クライアント端末４の操作を監視しており、クライアント端末４からの操作ログ情報のうち、その操作内容として「メール送信」などの操作路情報があった場合に、それを検出する（Ｓ１１０）。あるいはクライアント端末４の「メール送信」などのコマンドを受け取ることによって検出しても良い。
【００５２】
このようにして電子メールの送信処理を検出すると、電子メール処理部８は、当該クライアント端末４またはその電子メールサーバに対して、電子メール送信処理を一時中止する制御指示を送信する（Ｓ１２０）。この制御指示を受け取ったクライアント端末４または電子メールサーバは、当該電子メールの送信処理を一時中止する。
【００５３】
そして電子メール処理部８は、操作画面情報取得部７で取得した操作画面情報に対して文字認識処理を実行することで、電子メールの本文を抽出する（Ｓ１３０）。操作画面情報からは多数の文字情報が抽出できるが、まず操作画面情報のうち、矩形領域や閉鎖領域などを検出することで、ウィンドウを認識し、その後、そのウィンドウに、電子メール特有の文字やアイコン等が含まれているかを認識する。例えば「電子メール」、「送信」、「メッセージ」といった文字情報やそれらを意味するアイコンなどが含まれているかを判定することで、電子メールのウィンドウを認識し、そこから電子メールの本文の文字情報を認識できる。
【００５４】
なお電子メールの本文の文字情報の認識方法としては、操作ログ情報（「電子メールの新規作成」、または「電子メール送信」などの操作内容の操作ログ情報）に、そのウィンドウの座標位置を含めておき、その座標位置内の文字情報を電子メールの本文の文字情報として認識することもできる。またそれらのウィンドウの座標位置を操作ログ情報のようにクライアント端末４から管理サーバ２に送信しておき、その座標位置に基づいて、上述のように電子メールのウィンドウを認識し、その座標位置内の文字情報を電子メールの本文の文字情報として認識することもできる。
【００５５】
電子メール処理部８で上述のように操作画面情報から電子メール本文の認識を行わない場合には、クライアント端末４または電子メールサーバから当該電子メールの本文のデータそのものを取得することにより、電子メールの本文の認識をしても良い。これは電子メールのデータのうち、「本文」を示すデータ領域からそのデータを取得することによって行える（Ｓ１３０）。
【００５６】
以上のようにして電子メール処理部８は、クライアント端末４のユーザが送信しようとした電子メールの本文を認識する。
【００５７】
また電子メール処理部８において電子メールの送信処理を検出すると、ファイル特定部９は、操作ログ情報記憶部６に記憶する当該クライアント端末４の操作ログ情報のうち、電子メールの送信処理から所定のタイミング前までの操作ログ情報を抽出する。そしてそれらの操作ログ情報のうち、その操作内容として「ファイルアクセス」など、ファイルへアクセスしたことを示す情報が含まれている操作ログ情報を特定する。これにより、ユーザが電子メールの送信処理前にアクセスしたファイルを特定できる（Ｓ１４０）。
【００５８】
そしてファイル特定部９によるファイルの特定後、キーワード抽出部１０は、当該特定したファイルの操作ログ情報に基づいて、それらのファイルのキーワードを抽出する（Ｓ１５０）。このキーワードは、情報漏洩を検出するためのキーワードであって、個人情報を示す文字情報や機密情報を示す文字情報などが該当する。
【００５９】
そして不正メール判定部１１が、電子メール処理部８で抽出した電子メールの本文に、キーワード抽出部１０が抽出したキーワードが含まれているかを判定することで、当該電子メールが不正な電子メールであるかを判定する（Ｓ１６０）。例えば電子メールの本文にキーワードが所定数以上含まれているなどの場合には不正メールであると判定でき、含まれていない場合には不正メールではないと判定できる。
【００６０】
不正メール判定部１１において不正メールではないと判定すると、制御処理部１２は、送信を一時中止した制御を解除する指示を当該クライアント端末４または電子メールサーバに送信する（Ｓ１７０）。この制御指示を受け取り、一時中止を解除することによって、当該電子メールが送信先に送信される。
【００６１】
一方、不正メール判定部１１において不正メールであると判定すると、制御処理部１２は、当該クライアント端末４または電子メールサーバに対して、例えば当該電子メールの削除処理や無効化の処理などの制御指示を送信する（Ｓ１８０）。この制御指示を受け取ることによって、送信処理が一時中止されていた電子メールが削除される、あるいは送信処理が無効化される。また当該クライアント端末４、管理者端末３に対して不正メールが送信されていることを通知することも好ましい。
【００６２】
以上のような処理を実行させることで、従来のように電子メールの本文に対する解析処理を実行する場合であっても、必要と思われる範囲内、つまり電子メールの送信処理から所定時間前までにユーザがアクセスしていたファイルに関するキーワードのみの解析処理となるので、負荷を著しく軽減すると共に、電子メールの遅延も防止できる。
【実施例２】
【００６３】
次に上述の実施例１のほかの実施態様を説明する。本実施例の電子メール監視システム１では、実施例１に加えて更にキーワード記憶部１３を有している場合である。
【００６４】
キーワード記憶部１３は、キーワード抽出部１０で抽出するファイル毎のキーワードを、ファイル識別情報に対応づけて記憶している。図１２にキーワード記憶部１３の一例を模式的に示す。なおキーワード記憶部１３ではファイル識別情報に対応づけてキーワードが記憶されている場合を示すが、キーワードにファイル識別情報が対応づけられていても良い。またその場合、一つのキーワードに複数のファイル識別情報が対応づけられていても良い。
【００６５】
本実施例の場合、キーワード抽出部１０は、電子メール処理部８において電子メールの送信処理を検出する前に、例えばクライアント端末４でファイルが新規作成された場合、更新された場合などに各ファイルに対するキーワードを事前に抽出し、そのキーワードをキーワード記憶部１３に記憶している。
【００６６】
そのためファイル特定部９で電子メールの送信処理から所定のタイミング前のファイルを特定すると、キーワード抽出部１０は当該ファイルのファイル名などのファイル識別情報に基づいてキーワード記憶部１３を検索することにより、それらのファイルのキーワードを抽出する。
【００６７】
そして不正メール判定部１１は、電子メール処理部８で抽出した電子メールの本文に、キーワード抽出部１０が抽出したキーワードが含まれているかを判定する処理を実行することとなる。
【００６８】
以上のような処理によって、電子メールの送信処理のあとにファイルからキーワードを抽出しないので、よりいっそう負荷の軽減を図り、また電子メールの送信の遅延を防止することができる。
【実施例３】
【００６９】
上述の各実施例に加え、管理サーバ２における各機能をクライアント端末４や管理者端末３に適宜、分散配置するように構成しても良い。分散配置のバリエーションには様々なパターンがあり、例えばキーワード抽出部１０における処理を管理サーバ２で実行し、それ以外の機能をクライアント端末４で実行しても良い。
【００７０】
この場合、クライアント端末４では、その操作ログ情報において電子メールの送信処理を検出すると、その電子メールの送信処理を一時中止させ、当該クライアント端末の操作画面情報から、電子メールの本文の文字情報を認識する。そして当該クライアント端末４における操作ログ情報を検索することで、当該クライアント端末４においてアクセスされたファイルを特定する。特定したファイルのファイル名などのファイル識別情報をクライアント端末４は管理サーバ２に送信し、管理サーバ２でそのファイル識別情報に対応するキーワードをキーワード抽出部１０で抽出し、抽出したキーワードを管理サーバ２はクライアント端末４に送信する。クライアント端末４は、管理サーバ２から受信したキーワードが、電子メールの本文として認識した文字情報に含まれているかを判定することで不正メールであるかを判定し、不正メールであると判定した場合には所定の制御を当該クライアント端末４で実行する。また不正メールが送信されようとしたことを管理サーバ２、管理者端末３に通知するようにしても良い。また制御指示部１３における処理は、当該クライアント端末４において行えばよいので、そのクライアント端末４の演算装置２０などに制御指示を渡せばよい。なおこの場合、各クライアント端末４において制御判定が行われるので、その結果をその他のクライアント端末４に送信する処理などは不要となる。
【００７１】
なお分散配置のパターンは上記に限定されず、様々な分散配置をすることができる。これらの場合、各クライアント端末４における処理の際に、管理サーバ２の各機能を利用する場合にはその問い合わせを当該クライアント端末４から管理サーバ２に対して行い、その結果を当該クライアント端末４における処理に用いる。そしてその処理結果をクライアント端末４で実行することとなる。
【産業上の利用可能性】
【００７２】
本発明の電子メール監視システム１によって、従来では対応することができなかった、ユーザによる電子メールへの本文への情報の直接入力による場合にも、機密ファイルの情報の漏洩を防止することができる電子メール監視システム１が可能となる。
【００７３】
また本発明の場合、従来の電子メールの本文の解析システムにおけるデータベースのすべての用語との検索を行う必要がない。つまり電子メールを送信する前の所定のタイミングにおいて使用されていたファイルを操作ログ情報を用いることで特定し、そのファイルに関するキーワードのみを検索対象とするため、従来よりも検索対象とするキーワードを著しく減らすことができ、そのため検索の際の負荷を減らすと共に、電子メールの送信遅延の防止にもなる。
【図面の簡単な説明】
【００７４】
【図１】本発明の全体の概念図である。
【図２】本発明の処理プロセスを模式的に示す概念図である。
【図３】本発明のシステム構成の一例を模式的に示す概念図である。
【図４】ハードウェア構成の一例を模式的に示す概念図である。
【図５】本発明の処理プロセスの一例を模式的に示すフローチャートである。
【図６】操作ログ情報の一例である。
【図７】操作ログ情報記憶部の一例を模式的に示す図である。
【図８】操作画面情報の一例を模式的に示す図である。
【図９】操作ログ情報を用いて、電子メールの送信処理から所定のタイミング前にユーザがアクセスしたファイルを特定する処理を模式的に示す図である。
【図１０】不正メールであるかの判定処理を模式的に示す図である。
【図１１】実施例２のシステム構成の一例を模式的に示す図である。
【図１２】キーワード記憶部の一例を模式的に示す図である。
【符号の説明】
【００７５】
１：電子メール監視システム
２：管理サーバ
３：管理者端末
４：クライアント端末
５：操作ログ情報取得部
６：操作ログ情報記憶部
７：操作画面情報取得部
８：電子メール処理部
９：ファイル特定部
１０：キーワード抽出部
１１：不正メール判定部
１２：制御処理部
１３：キーワード記憶部
２０：演算装置
２１：記憶装置
２２：表示装置
２３：入力装置
２４：通信装置
【図１】
2009116616.tif 000003
【図２】
2009116616.tif 000004
【図３】
2009116616.tif 000005
【図４】
2009116616.tif 000006
【図５】
2009116616.tif 000007
【図６】
2009116616.tif 000008
【図７】
2009116616.tif 000009
【図８】
2009116616.tif 000010
【図９】
2009116616.tif 000011
【図１０】
2009116616.tif 000012
【図１１】
2009116616.tif 000013
【図１２】
2009116616.tif 000014