(57)【要約】【課題】クライアントＰＣに特別なソフトウェアをインストールせずとも、ネットワークを経由してファイルおよび文字列データを送信する際の、機密情報データの漏えいを防止することができる情報管理システムを提供する。【解決手段】統合持ち出し制御サーバ１０４は、送信情報の持ち出しのポリシーを定義した持ち出しポリシー情報を記憶する記憶装置と、持ち出しポリシー情報をネットワーク装置に配布するポリシー配布手段とを有し、ネットワーク機器１０６は、持ち出しポリシー情報を受信すると、記憶装置に格納するポリシー受信手段と、持ち出しポリシー情報に基づいて、クライアントからの送信情報を持ち出してよいか否かを判定する持ち出し判定手段と、持ち出し判定手段により判定する際に、通信速度を変更する帯域制御手段とを有し、帯域制御手段により送信の帯域を制限するとともに、持ち出し判定手段により送信情報の持ち出しを判定する。【選択図】図１
2009258852.tif 000002
【特許請求の範囲】
【請求項１】
クライアントから送信される送信情報を外部ネットワークに送信するネットワーク装置と、前記ネットワーク装置を管理する管理サーバとを有し、前記送信情報の外部ネットワークへの持ち出しを管理する情報管理システムであって、
前記管理サーバは、
前記送信情報の持ち出しのポリシーを定義した持ち出しポリシー情報を記憶する第１の記憶装置と、
前記持ち出しポリシー情報を前記ネットワーク装置に配布するポリシー配布手段と、を有し、
前記ネットワーク装置は、
前記持ち出しポリシー情報を前記管理サーバから受信すると、第２の記憶装置に格納するポリシー受信手段と、
前記格納した持ち出しポリシー情報に基づいて、前記クライアントからの送信情報を持ち出してよいか否かを判定する持ち出し判定手段と、
前記持ち出し判定手段により判定する際に、通信速度を変更する帯域制御手段と、を有し、
前記帯域制御手段により送信の帯域を制限するとともに、当該帯域の制限中に前記持ち出し判定手段により前記送信情報の持ち出しを判定する
ことを特徴とする情報管理システム。
【請求項２】
前記持ち出しポリシー情報は、
ＩＰアドレス、ポート番号、管理者が定義したキーワード、持ち出しファイルのファイルサイズの少なくともひとつを含む分類項目の情報を含み、
前記分類項目は、持ち出しの重要度のレベルを識別する重要度レベル、持ち出しの許可または禁止の識別情報、持ち出しの開示範囲と関連付けて登録される
ことを特徴とする請求項１に記載の情報管理システム。
【請求項３】
前記ネットワーク装置は、
前記持ち出し判定手段により前記重要度レベルに応じて、前記ネットワーク装置のポートの遮断をするか、あるいは、前記管理サーバに持ち出しの警告をするアラームを送信する
ことを特徴とする請求項２に記載の情報管理システム。
【請求項４】
前記管理サーバは、さらに、
前記ネットワーク装置から圧縮／暗号された送信情報を受信すると、前記送信情報の圧縮／暗号を解除してファイルを作成し、前記第１の記憶装置に記憶された前記持ち出しポリシー情報に基づいて、前記ファイルの重要度レベルを決定し、決定された決定重要度レベルを前記ネットワーク装置に通知する持ち出しファイル判定手段を有し、
前記ネットワーク装置は、
前記持ち出し判定手段により、前記送信情報が圧縮／暗号された送信情報であるとき、前記管理サーバに前記送信情報を送信し、前記管理サーバから通知された前記決定重要度レベルに応じて、前記ネットワーク装置のポートの遮断をするか、あるいは、前記管理サーバに持ち出しの警告をするアラームを送信する
ことを特徴とする請求項２に記載の情報管理システム。
【請求項５】
前記管理サーバは、
前記第１の記憶装置に、組織名と、割り当てＩＰアドレスとを関連付けたＩＰアドレス割り当て情報を記憶し、
前記ポリシー配布手段は、
前記持ち出しのポリシー情報から開示範囲を取得し、
前記ＩＰアドレス割り当て情報から、前記組織名と、前記開示範囲が一致するポリシー配布対象のＩＰアドレス情報を取得し、
前記ポリシー配布対象のＩＰアドレスに該当するネットワーク装置に、前記開示範囲に対応する持ち出しポリシー情報を配布する
ことを特徴とする請求項２に記載の情報管理システム。
【請求項６】
前記ネットワーク装置は、ログ収集手段と、ログ送信手段とを有し、
前記持ち出し判定手段が、前記送信情報の持ち出し判定をした際に、
前記ログ収集手段は、前記第２の記憶装置に、
送信日時と、送信元ＩＰアドレスと、送信先ＩＰアドレスと、送信元ポート番号と、送信先ポート番号と、持ち出しファイルＩＤとを関連付けて通信ログ格納情報として登録し、
前記持ち出しファイルＩＤと、ファイル名と、ファイルサイズと、キーワードと、重要度レベルとを関連付けて持ち出しファイル格納情報として登録し、
前記ログ送信手段は、前記通信ログ格納情報と、前記持ち出しファイル格納情報とを、前記管理サーバに送信し、
前記管理サーバは、受信した前記通信ログ格納情報と、前記持ち出しファイル格納情報を受信すると、前記第１の記憶装置に格納するログ受信手段を有する
ことを特徴とする請求項１に記載の情報管理システム。
【請求項７】
前記管理サーバは、
前記第１の記憶装置に記憶されている前記持ち出しファイル格納情報に基づいて、
前記ファイルサイズを抽出し、持ち出しポリシー情報に登録するファイルサイズポリシー生成手段を有する
ことを特徴とする請求項６に記載の情報管理システム。
【請求項８】
クライアントから送信される送信情報を外部ネットワークに送信するネットワーク装置と、前記ネットワーク装置を管理する管理サーバとを有するシステムにおいて、前記送信情報の外部ネットワークへの持ち出しを管理する情報管理方法であって、
前記管理サーバは、
第１の記憶装置に、前記送信情報の持ち出しのポリシーを定義した持ち出しポリシー情報を記憶しており、
ポリシー配布手段は、前記持ち出しポリシー情報を前記ネットワーク装置に配布し、
前記ネットワーク装置は、
ポリシー受信手段は、前記持ち出しポリシー情報を前記管理サーバから受信すると、第２の記憶装置に格納し、
持ち出し判定手段は、前記格納した持ち出しポリシー情報に基づいて、前記クライアントからの送信情報を持ち出してよいか否かを判定し、
帯域制御手段は、前記持ち出し判定手段により判定する際に、通信速度を変更し、
前記帯域制御手段により送信の帯域を制限するとともに、当該帯域の制限中に前記持ち出し判定手段により前記送信情報の持ち出しを判定する
ことを特徴とする情報管理方法。
【請求項９】
管理サーバが送信情報の持ち出しのポリシーを定義した持ち出しポリシー情報を管理するとともに、クライアントから送信される前記送信情報を外部ネットワークに送信するネットワーク装置を管理するシステムにおいて、
前記送信情報の外部ネットワークへの持ち出しを制御するネットワーク装置であって、
前記持ち出しポリシー情報を前記管理サーバから受信すると、記憶装置に格納するポリシー受信手段と、
前記記憶装置に格納した持ち出しポリシー情報に基づいて、前記クライアントからの送信情報を持ち出してよいか否かを判定する持ち出し判定手段と、
前記持ち出し判定手段により判定する際に、通信速度を変更する帯域制御手段と、を有し、
前記帯域制御手段により送信の帯域を制限するとともに、
当該帯域の制限中に前記持ち出し判定手段により前記送信情報の持ち出しを判定し、
前記持ち出し判定手段により前記持ち出しポリシー情報に含まれる重要度レベルに応じて、前記ネットワーク装置のポートの遮断をするか、あるいは、前記管理サーバに持ち出しの警告をするアラームを送信する
ことを特徴とするネットワーク装置。
【請求項１０】
前記持ち出しポリシー情報は、
ＩＰアドレス、ポート番号、管理者が定義したキーワード、持ち出しファイルのファイルサイズの少なくともひとつを含む分類項目の情報を含み、
前記分類項目は、持ち出しの重要度のレベルを識別する重要度レベル、持ち出しの許可または禁止の識別情報、持ち出しの開示範囲と関連付けて登録される
ことを特徴とする請求項９に記載のネットワーク装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークを経由してファイルおよび文字列データを送信する際の、機密情報データの漏えいを防止することができる情報漏えい防止技術に関する。
【背景技術】
【０００２】
従来の情報漏えい対策ソフトウェアでは、クライアントＰＣ(Personal Computer)に持ち出し制御を行うソフトウェアをあらかじめインストールすることで、持ち出し制御を行っている（例えば、特許文献１参照）。
【特許文献１】特開２００４−２２７０５６号公報
【発明の開示】
【発明が解決しようとする課題】
【０００３】
特許文献１では、クライアントＰＣに情報漏えい対策ソフトウェアがインストールされていない場合、データの持ち出し制御ができないという課題があった。また、電子データは大量の機密情報を送信した場合でも、送信処理が短時間で終了するため、機密情報の持ち出しをリアルタイムで検知し、持ち出しを抑止することが難しいという課題がある。さらに、圧縮／暗号化されたファイルについては持ち出し制御を行えないという課題もある。
【０００４】
本発明は、前記の課題を解決するための発明であって、ネットワークを経由してファイルおよび文字列データを送信する際の、機密情報データの漏えいを防止することができる情報管理システム、情報管理方法、およびネットワーク装置を提供することを目的とする。
【課題を解決するための手段】
【０００５】
前記目的を達成するために、クライアントから送信される送信情報を外部ネットワークに送信するネットワーク装置（例えば、ネットワーク機器１０６）と、ネットワーク装置を管理する管理サーバ（例えば、統合持ち出し制御サーバ１０４）とを有し、送信情報の外部ネットワークへの持ち出しを管理する情報管理システムであって、
管理サーバは、送信情報の持ち出しのポリシーを定義した持ち出しポリシー情報を記憶する第１の記憶装置（例えば、記憶装置１０７Ｂ）と、持ち出しポリシー情報をネットワーク装置に配布するポリシー配布手段（例えば、持ち出しポリシー配布処理部３４３）と、を有し、
ネットワーク装置は、持ち出しポリシー情報を管理サーバから受信すると、第２の記憶装置（例えば、記憶装置１０７Ｃ）に格納するポリシー受信手段（例えば、持ち出しポリシー受信処理部３４４）と、格納した持ち出しポリシー情報に基づいて、クライアントからの送信情報を持ち出してよいか否かを判定する持ち出し判定手段（例えば、持ち出し判定処理部３７１）と、持ち出し判定手段により判定する際に、通信速度を変更する帯域制御手段（例えば、帯域制御処理部３８３）と、を有し、
帯域制御手段により送信の帯域を制限するとともに、当該帯域の制限中に持ち出し判定手段により送信情報の持ち出しを判定することを特徴とする。
【発明の効果】
【０００６】
本発明によれば、クライアントＰＣに持ち出し制御を行う情報漏えい対策ソフトウェアがインストールされていない場合でも、機密情報データの漏えいを防止することができる。
【発明を実施するための最良の形態】
【０００７】
以下、本発明を実施するための最良の形態を図面に基づいて詳細に説明する。
（第１の実施形態）
図１は、第１の実施形態である持ち出し制御システムの構成を示す図である。図１に示すように、持ち出し制御システム（情報管理システム）は、社内ネットワークとしてＬＡＮ（Local Area Network）のネットワーク１０２に接続された、統合ネットワーク管理サーバ１０３と、統合持ち出し制御サーバ１０４と、ネットワーク機器１０６と、クライアントＰＣ１０５とを有する構成を示す。ネットワーク機器１０６は、インターネット１０１に接続されている。本実施形態の社内ネットワークには、２つのサブネットワーク（サブネットワーク１、サブネットワーク２）が存在する図と規定しているが、サブネットワークは３つ以上存在してもよいし、また１つの場合でもよい。また、クライアントＰＣ１０５は、直接、有線でネットワーク１０２に接続されていてもよいし、無線ＬＡＮにより接続されていてもよい。
【０００８】
統合ネットワーク管理サーバ１０３（図２参照）は、例えば、ＳＮＭＰ（Simple Network Management Protocol）といったプロトコルを用いて管理対象のネットワーク上に存在するクライアントＰＣ１０５やネットワーク機器１０６の起動状態やシステム情報などの収集・管理を行っている。
【０００９】
統合持ち出し制御サーバ１０４（図３参照）は、機密情報を定義した持ち出し制御ポリシーを記憶し、各ネットワーク機器１０６に配布する機能を有し、各ネットワーク機器１０６からログを収集するといった役割を担う。
【００１０】
ネットワーク機器１０６（図４参照）は、クライアントＰＣ１０５によって社内ネットワークから持ち出される通信情報について、持ち出し判定、セキュリティ対策処理、アラーム処理、ログ処理（ログの収集処理、ログの送信処理）などを行う役割を担う。なお、統合ネットワーク管理サーバ１０３、統合持ち出し制御サーバ１０４、およびネットワーク機器１０６の詳細は後述する。
【００１１】
図２は、統合ネットワーク管理サーバのハードウェア構成および機能ブロック構成を示す図である。統合ネットワーク管理サーバ１０３のハードウェアは、ＣＰＵ（Central Processing Unit）１０８Ａ、メモリ１０９Ａ、ハードディスクなどの記憶装置１０７Ａ、通信インタフェース１１０Ａから構成される。記憶装置１０７Ａには、図７に詳細を示す、ＩＰアドレス割り当てテーブル２４１、ネットワーク構成情報テーブル２５１、ネットワーク機器情報テーブル２６１が記憶されている。なお、図２において、記憶装置１０７Ａは、外付けの記憶装置として図示されているが、統合ネットワーク管理サーバ１０３の一部としている。図３および図４においても同様である。
【００１２】
ＣＰＵ１０８Ａは、記憶装置１０７Ａに格納されている各種プログラムやデータを読み出して所定の機能を実現する。メモリ１０９Ａは、ＣＰＵ１０８Ａが使用する作業領域であり、記憶装置１０７Ａに保存されているデータやプログラムが確保される。ＣＰＵ１０８Ａ、メモリ１０９Ａ、記憶装置１０７Ａにおけるデータのやり取りは、バスを経由して行われる。また、統合ネットワーク管理サーバ１０３は、通信インタフェース１１０Ａを介してネットワーク１０２に接続されているが、直接、有線でネットワーク１０２に接続されていてもよいし、無線ＬＡＮにより接続されていてもよい。
【００１３】
統合ネットワーク管理サーバ１０３は、管理対象のネットワーク上に存在するネットワーク機器１０６やクライアントＰＣ１０５の起動状態やシステム情報などの管理を行っており、これらの情報をネットワーク構成情報テーブル２５１やネットワーク機器情報テーブル２６１に保存している。ＩＰアドレス割り当てテーブル２４１は、システム管理者によりエディタを使用して手動で設定されていてもよく、プログラムにより自動で生成されたデータを使用してもよい。
【００１４】
図３は、統合持ち出し制御サーバのハードウェア構成および機能ブロック構成を示す図である。統合持ち出し制御サーバ１０４のハードウェアは、ＣＰＵ１０８Ｂ、メモリ１０９Ｂ、ハードディスクなどの記憶装置１０７Ｂ、通信インタフェース１１０Ｂから構成される。ＣＰＵ１０８Ｂ、メモリ１０９Ｂ、記憶装置１０７Ｂ、通信インタフェース１１０Ｂは、図２に示したＣＰＵ１０８Ａ、メモリ１０９Ａ、記憶装置１０７Ａ、通信インタフェース１１０Ａと同じ機能を有するので、重複する説明を省略する。第１の記憶装置である記憶装置１０７Ｂには、持ち出しポリシー情報である持ち出しポリシーテーブル２０１Ｂ（２０１）（図５参照）、持ち出しファイル格納テーブル２１１Ｂ（２１１）（図５参照）、通信ログ格納テーブル２２１Ｂ（２２１）（図６参照）が記憶されている。
【００１５】
統合持ち出し制御サーバ１０４の機能ブロック構成としては、メモリ１０９Ｂ内に、ネットワーク１０２を経由して送信されるファイルの持ち出し判定を行う持ち出しファイル判定処理部３１１、ネットワーク機器１０６から送信されるアラームを受信するアラーム処理部３２１（図２７参照）、ネットワーク機器１０６から送信されるログを受信するログ受信処理部３３２、持ち出しポリシーに関する処理を行う持ち出しポリシー処理部３４１Ｂを有する。なお、持ち出しポリシー処理部３４１Ｂは、ファイルサイズに関するポリシーを生成するファイルサイズポリシー生成処理部３４２、生成されたポリシーを配布するポリシー配布手段である持ち出しポリシー配布処理部３４３を有する。
【００１６】
図４は、ネットワーク機器のハードウェア構成および機能ブロック構成を示す図である。ネットワーク機器１０６のハードウェアは、ＣＰＵ１０８Ｃ、メモリ１０９Ｃ、ハードディスクなどの記憶装置１０７Ｃ、通信インタフェース１１０Ｃから構成される。ＣＰＵ１０８Ｃ、メモリ１０９Ｃ、記憶装置１０７Ｃ、通信インタフェース１１０Ｃは、図２に示したＣＰＵ１０８Ａ、メモリ１０９Ａ、記憶装置１０７Ａ、通信インタフェース１１０Ａと同じ機能を有するので、重複する説明を省略する。第２の記憶装置である記憶装置１０７Ｃには、持ち出しポリシーテーブル２０１Ｃ（２０１）（図５参照）、持ち出しファイル格納テーブル２１１Ｃ（２１１）（図５参照）、通信ログ格納テーブル２２１Ｃ（２２１）（図６参照）、ＩＰアドレス変換テーブル２３１（図６参照）が記憶されている。
【００１７】
また、ネットワーク機器１０６のプログラム構成としては、メモリ１０９Ｃ内に、クライアントＰＣ１０５からネットワークを経由して送信されるデータの持ち出し判定を行う持ち出し判定手段である持ち出し判定処理部３７１Ｃ（３７１）、持ち出し判定時および判定後にセキュリティ対策を行うセキュリティ対策処理部３８１Ｃ、統合持ち出し制御サーバ１０４にアラームを送信するアラーム処理部３９１Ｃ（３９１）（図２６参照）、持ち出し判定の結果を記憶したログに関する処理を行うログ処理部３３１Ｃ（３３１）、統合持ち出し制御サーバ１０４から配布された持ち出し制御ポリシーを処理する持ち出しポリシー処理部３４１Ｃ、クライアントＰＣ１０５から送信されるパケットのＩＰアドレスを変換するＩＰアドレス変換処理部４０１Ｃ（４０１）を有する。
【００１８】
持ち出し判定処理部３７１は、パケットのＩＰアドレスをもとに持ち出し判定を行うＩＰアドレス判定処理部３７２、パケットのポート番号をもとに持ち出し判定を行うポート番号判定処理部３７３、パケットに含まれるキーワードをもとに持ち出し判定を行うキーワード判定処理部３７４Ｃ（３７４）、ファイルのサイズをもとに持ち出し判定を行うファイルサイズ判定処理部３７５Ｃ（３７５）を有する。
【００１９】
セキュリティ対策処理部３８１Ｃは、持ち出し判定処理部３７１Ｃにおいてデータの持ち出し判定時にネットワークの帯域を制御する帯域制御手段である帯域制御処理部３８３、持ち出し判定処理部３７１の結果持ち出し不可となった場合に対象通信のポートを遮断するポート遮断処理部３８２を有する。
【００２０】
ログ処理部３３１Ｃは、持ち出し判定の結果を通信ログ格納テーブル２２１や持ち出しファイル格納テーブル２１１に格納するログ収集処理部３３３Ｃ（３３３）、通信ログ格納テーブル２２１や持ち出しファイル格納テーブル２１１を統合持ち出し制御サーバ１０４に送信するログ送信処理部３３４Ｃ（３３４）を有する。
【００２１】
持ち出しポリシー処理部３４１Ｃは、統合持ち出し制御サーバ１０４から配布された持ち出し制御ポリシーを受信して、記憶装置１０７Ｃに格納するポリシー受信手段である持ち出しポリシー受信処理部３４４を有する。
【００２２】
図５は、持ち出しポリシーテーブルおよび持ち出しファイル格納テーブルの詳細を示す図である。持ち出しポリシーテーブル２０１および持ち出しファイル格納テーブル２１１は、統合持ち出し制御サーバ１０４やネットワーク機器１０６に保存される。
【００２３】
図５（ａ）に示すように、持ち出しポリシーテーブル２０１は、持ち出し制御の判定に使用する項目の分類２０２、持ち出し判定に使用するチェック条件２０３、各チェック項目の重要度２０４、持ち出し許可／禁止を定義した許可／禁止ポリシー２０５、キーワードの開示範囲を定義した開示範囲２０６といったエントリから構成される。分類２０２には、ＩＰアドレス、ポート番号、キーワード、サイズなどがある。分類２０２がＩＰアドレスやポート番号、キーワードの場合は、システム管理者によりエディタなどで編集されるが、分類２０２がサイズのエントリについては、統合持ち出し制御サーバ１０４が自動的に生成し更新するようになっている。また、開示範囲２０６は、システム管理者によって分類２０２がキーワードの場合のみ定義される。例えば、分類２０２が「キーワード」、チェック条件２０３が「社外秘」の場合、開示範囲２０６は「社内」として定義される。ここで、分類２０２は、「ＩＰアドレス、ポート番号、管理者が定義したキーワード、持ち出しファイルのファイルサイズの少なくともひとつを含むもの」であり、「分類項目は、持ち出しの重要度のレベルを識別する重要度レベル、持ち出しの許可または禁止の識別情報、持ち出しの開示範囲と関連付けて登録されるもの」である。
【００２４】
図５（ｂ）に示すように、持ち出しファイル格納テーブル２１１は、エントリのＩＤ２１２、持ち出しが行われたファイル名２１３、ファイル名２１３に対応したファイルサイズ２１４、該当エントリが登録された登録日時２１５、ファイルに含まれるキーワード２１６、持ち出しポリシーテーブル２０１に定義されたキーワードのうちファイルに含まれる最も高い重要度２１７、ファイル２１８といったエントリから構成される。これらのエントリは、ネットワーク機器１０６や統合持ち出し制御サーバ１０４において持ち出し判定の結果、自動で生成される。
【００２５】
図６は、通信ログ格納テーブルおよびＩＰアドレス変換テーブルの詳細を示す図である。図６（ａ）に示すように、通信ログ格納テーブル２２１は、ログを保存した日時２２２、持ち出し判定の結果、禁止となったパケットの送信元ＩＰアドレス２２３、送信先ＩＰアドレス２２４、送信元ポート番号２２５、送信先ポート番号２２６、持ち出しファイルＩＤ２２７から構成される。持ち出しファイルＩＤ２２７は、持ち出しポリシーテーブル２０１に定義されているキーワードを含むファイルを判定した場合に、持ち出しファイル格納テーブル２１１（図５参照）のＩＤ２１２と対応付けされ記憶される。
【００２６】
図６（ｂ）に示すように、ＩＰアドレス変換テーブル２３１は、パケットの送信元ＩＰアドレス２３２、送信先ＩＰアドレス２３３、送信元ポート番号２３４、送信先ポート番号２３５、変換後送信元ＩＰアドレス２３６、プロトコル２３７から構成される。変換後送信元ＩＰアドレス２３６は、ネットワーク機器１０６において、クライアントＰＣ１０５から送信されたパケットの送信元ＩＰアドレスをネットワーク機器１０６のＩＰアドレスに変換する際に使用される。詳細は図９において説明する。
【００２７】
図７は、ＩＰアドレス割り当てテーブル、ネットワーク構成情報テーブル、およびネットワーク機器情報テーブルの詳細を示す図である。図７（ａ）に示すように、ＩＰアドレス割り当てテーブル２４１は、組織名２４２、組織名２４２に割り当てた割り当てＩＰアドレス２４３、サブネットマスク２４４から構成される。
【００２８】
図７（ｂ）に示すように、ネットワーク構成情報テーブル２５１は、ＩＰアドレス２５２、ネットワークインタフェースに対応したインタフェース番号２５３、ネットワーク名を示すネットワーク２５４、上位セグメント２５５などのネットワーク構成情報を保持している。
【００２９】
図７（ｃ）に示すように、ネットワーク機器情報テーブル２６１は，ＩＰアドレス２６２ごとにエントリを保持しており、管理対象のネットワーク機器１０６やクライアントＰＣ１０５のシステム情報２６３、ネットワーク機器の種別２６４などを保持している。なお、ネットワーク構成情報テーブル２５１やネットワーク機器情報テーブル２６１の各情報は、統合ネットワーク管理サーバ１０３により、自動で収集し更新される。
【００３０】
次に、各処理部の処理について、図８〜図１６を参照して詳細に説明する。
図８は、ネットワーク機器の持ち出し判定処理部の処理フローを示す図である。ネットワーク機器１０６において実行される持ち出し判定処理部３７１Ｃ（３７１）では、パケットを受信し（Ｓ５０１）、パケットの送信元ＩＰアドレスおよび送信先ＩＰアドレスを取得し、送信元ＩＰアドレスが内部ネットワークのＩＰアドレス、かつ送信先ＩＰアドレスが外部ネットワークのＩＰアドレスか否かを判定する（Ｓ５０２）。この判定によりパケットの送信元ＩＰアドレスが内部ネットワークのＩＰアドレス、かつ送信先ＩＰアドレスが外部ネットワークのＩＰアドレスと判断された場合には（Ｓ５０２，Ｙｅｓ）、内部ネットワークから外部ネットワークへデータの持ち出しが発生していると判断し、持ち出しポリシーテーブル２０１の分類２０２のＩＰアドレスのエントリと照らし合わせ、送信先ＩＰアドレスが許可／禁止かを判定する（Ｓ５０３）。具体的には、図５に示す持ち出しポリシーテーブル２０１の分類２０２のＩＰアドレスのレコードを参照して、チェック条件２０３が「送信先ＩＰアドレスがＡ．Ｂ．Ｃ．Ｄ」の場合、許可／禁止ポリシー２０５から「禁止」と判定され、「送信先ＩＰアドレスがＶ．Ｗ．Ｘ．Ａ〜Ｖ．Ｗ．Ｘ．Ｚ」の場合、「許可」と判定される。
【００３１】
判定の結果、持ち出し禁止となった場合は（Ｓ５０３，Ｎｏ）、ポート遮断処理部３８２を呼び出し、持ち出し禁止となった通信を遮断する（Ｓ５０７）。許可されているＩＰアドレスの場合は（Ｓ５０３，Ｙｅｓ）、持ち出しポリシーテーブル２０１の分類２０２のポート番号のエントリと照らし合わせ、送信先ポート番号が許可／禁止かを判定する（Ｓ５０４）。具体的には、図５に示す持ち出しポリシーテーブル２０１の分類２０２のポート番号を参照して、チェック条件２０３が「８０」の場合、許可／禁止ポリシー２０５から「許可」と判定され、「２３」の場合、「禁止」と判定される。禁止されたポート番号の場合は（Ｓ５０４，Ｎｏ）、ポート遮断処理部３８２を呼び出し、該当の通信を遮断する（Ｓ５０７）。送信先ポート番号が、持ち出しポリシーテーブル２０１において許可されている場合は（Ｓ５０４，Ｙｅｓ）、ＩＰアドレス変換処理部４０１を呼び出す（Ｓ５０５）。
【００３２】
Ｓ５０２において、パケットの送信元ＩＰアドレスが内部ネットワーク、かつ、送信先ＩＰアドレスが外部ネットワークのＩＰアドレスと判定されない場合は（Ｓ５０２，Ｎｏ）、ＩＰアドレス変換処理３（図１１参照）を呼び出す（Ｓ５０６）。なお、ＩＰアドレス変換処理（図９参照）、ＩＰアドレス変換処理で呼び出されるＩＰアドレス変換処理２（図１０参照）、ＩＰアドレス変換処理３（図１１参照）は、次に説明する。
【００３３】
図９は、ネットワーク機器のＩＰアドレス変換処理部の処理フローを示す図である。ネットワーク機器１０６において実行されるＩＰアドレス変換処理部４０１Ｃ（４０１）では、統合ネットワーク管理サーバ１０３が保持するネットワーク機器情報テーブル２６１から送信元ＩＰアドレスに一致するＩＰアドレスを有するエントリを取得する（Ｓ５１１）。次に、取得したエントリの機器の種別が「クライアント」に一致するか否かを判定し（Ｓ５１２）、「クライアント」の場合は（Ｓ５１２，Ｙｅｓ）、ＩＰアドレス変換処理２を呼び出す（Ｓ５１３）。ＩＰアドレス変換処理２については図１０で詳細に説明する。ここで、ＩＰアドレス変換処理２については、別スレッドで実行するなどし、以降の処理を同時に実行できるように構成する。
【００３４】
ＩＰアドレス変換処理２を実行後、パケットの内部を解析し、ＨＴＴＰ（Hyper Text Transfer Protocol）やＦＴＰ（File Transfer Protocol）などのプロトコルに応じてパケットに含まれるファイルデータを抽出する（Ｓ５１４）。
【００３５】
ファイルデータの終端まで全て受信したか否かを判定し（Ｓ５１５）、ファイルデータを全て受信している場合には（Ｓ５１５，Ｙｅｓ）、キーワード判定処理を呼び出す（Ｓ５１６）。ファイルデータを全て受信していない場合は（Ｓ５１５，Ｎｏ）、処理を終了する。なお、キーワード判定処理については、図１２で詳細に説明する。
【００３６】
キーワード判定処理を実行後、ＩＰアドレス変換処理２（図１０参照）に持ち出し制御済みのシグナルを通知する（Ｓ５１７）。
【００３７】
Ｓ５１２において、受信したパケットの送信元ＩＰアドレスに対応した機器の種別が「クライアント」ではない場合（Ｓ５１２，Ｎｏ）、送信先ＩＰアドレスにパケットを送信する（Ｓ５１８）。
【００３８】
このようにパケットの送信元ＩＰアドレスが「クライアント」の通信にのみ持ち出し判定を行うことにより、ネットワーク機器１０６が多段で接続されている環境では、持ち出し判定処理中のパケットについては、送信元ＩＰアドレスがネットワーク機器１０６のＩＰアドレスに変更されているため、送信元ＩＰアドレスがクライアントＰＣ１０５の通信のみ持ち出し判定を行えばよく、複数のネットワーク機器１０６での持ち出し判定を行うことを抑止することができる。
【００３９】
図１０は、ＩＰアドレス変換処理２の処理フローを示す図である。ＩＰアドレス変換処理部４０１のＩＰアドレス変換処理２では、受信したパケットの送信元ＩＰアドレス、送信先ＩＰアドレス、送信元ポート番号、送信先ポート番号がＩＰアドレス変換テーブル２３１に登録されているか否かを判定する。すなわち、ＩＰアドレス変換テーブル２３１に一致するものがあるか否かを検索する（Ｓ５２１）。一致するエントリがない場合（Ｓ５２１，Ｎｏ）、受信したパケットがクライアントＰＣ１０５から送信された通信開始のためのパケット（ＳＹＮパケット）であると判断し、送信元ＩＰアドレス、送信先ＩＰアドレス、送信元ポート番号、送信先ポート番号をＩＰアドレス変換テーブル２３１に登録し（Ｓ５２２）、Ｓ５２３に進む。一方、一致するエントリがある場合（Ｓ５２１，Ｙｅｓ）、Ｓ５２３に進む。
【００４０】
次に、パケットの送信元ＩＰアドレスをネットワーク機器１０６のＩＰアドレスに変更する（Ｓ５２３）。そして、受信したパケットのサイズがネットワークに送出可能な最小のパケットサイズより大きいか否かを判定する（Ｓ５２４）。受信したパケットのサイズがネットワークに送出可能な最小のパケットサイズよりも大きい場合は（Ｓ５２４，Ｙｅｓ）、持ち出し制御済みシグナルを受信したか否かを判定する（Ｓ５２５）。持ち出し制御済みシグナルを未受信の場合は（Ｓ５２５，Ｎｏ）、パケットをネットワークに送出可能な最小のパケットサイズに分割する（Ｓ５２６）。以降、ＩＰアドレス変換処理２は、パケットの送信先ＩＰアドレスのＰＣに対し、受信したパケットのサイズと処理５２６により分割したパケットの送信サイズが一致するまで、パケットの送信処理（Ｓ５２７、Ｓ５２８）を行う。
【００４１】
なお、Ｓ５２４において、受信したパケットのサイズがネットワークの最小パケットサイズ以下の場合（Ｓ５２４，Ｎｏ）、前記分割処理は行わずに送信先ＩＰアドレスに対してパケットを送信する（Ｓ５２９）。また、Ｓ５２５において、持ち出し制御済みシグナルを受信の場合は（Ｓ５２５，Ｙｅｓ）、Ｓ５２９に進む。
【００４２】
このようにパケットを分割して送信することにより、ネットワーク機器１０６と送信先ＩＰアドレスを有する通信先コンピュータの通信速度が低下するため、ネットワーク機器１０６における持ち出し制御処理のための時間および持ち出しを検知するための時間を確保することが期待できる。
【００４３】
図１１は、ネットワーク機器におけるＩＰアドレス変換処理３の処理フローを示す図である。ＩＰアドレス変換処理部４０１のＩＰアドレス変換処理３が実行された場合は、送信元ＩＰアドレスが外部ネットワークのＩＰアドレスであるため、受信したパケットの送信元ＩＰアドレス、送信先ＩＰアドレス、送信元ポート番号、送信先ポート番号を抽出し、ＩＰアドレス変換テーブル２３１に登録されているか否かを判定する（Ｓ５３１）。
【００４４】
ここでは、具体的には、受信したパケットの送信元ＩＰアドレスがＩＰアドレス変換テーブル２３１の送信先ＩＰアドレス２３３と一致するか、受信したパケットの送信先ＩＰアドレスがＩＰアドレス変換テーブル２３１の変換後の送信元ＩＰアドレス２３６と一致するか、受信したパケットの送信元ポート番号がＩＰアドレス変換テーブル２３１の送信先ポート番号２３５と一致するか、受信したパケットの送信先ポート番号がＩＰアドレス変換テーブル２３１の送信元ポート番号２３４と一致するかを判定する。全ての項目が一致したエントリがある場合は（Ｓ５３１，Ｙｅｓ）、パケットの送信先ＩＰアドレスをＩＰアドレス変換テーブル２３１の送信元ＩＰアドレスの値に変更し（Ｓ５３２）、パケットを送信する（Ｓ５３３）。一致するエントリがない場合は（Ｓ５３１，Ｎｏ）、送信先ＩＰアドレスに対してパケットを送信する（Ｓ５３４）。
【００４５】
図１２は、ネットワーク機器のキーワード判定処理部の処理フローを示す図である。ネットワーク機器１０６のキーワード判定処理部３７４が実行されると、帯域制御処理部３８３の呼び出しが行われる（Ｓ５４１）。帯域制御処理部３８３については、図１３で詳細に説明する。帯域制御処理部３８３の呼び出し後、ファイルデータに持ち出しポリシーテーブル２０１のキーワードが含まれるか否かを判定する（Ｓ５４２）。複数のキーワードが含まれる場合は、最も高い重要度を判定し（Ｓ５４３）、重要度に応じた持ち出し制御を行う。
【００４６】
本実施形態では、持ち出しポリシーテーブル２０１を参照して、最も高い重要度が「高」の場合は（Ｓ５４３，高）、ポート遮断処理の呼び出し（Ｓ５４４）、アラーム送信処理の呼び出し（Ｓ５４５）、ログ収集処理の呼び出し（Ｓ５４６）を行う。最も高い重要度が「中」の場合は（Ｓ５４３，中）、アラーム送信処理の呼び出し（Ｓ５４５）、ログ収集処理の呼び出し（Ｓ５４６）を行う。最も高い重要度が「低」の場合は（Ｓ５４３，低）、ログ収集処理の呼び出し（Ｓ５４６）を行う。なお、図１２において、重要度に応じて前記の対策を行うよう規定しているが、前記以外の対策が行われるよう処理が構成されていてもよい。
【００４７】
重要度に応じて対策を行った場合、持ち出し制御が終了しているため、該当通信の帯域制御を解除する必要があり、設定可能な最大値として帯域制御コマンドを実行する（Ｓ５４７）。なお、Ｓ５４２において、持ち出しポリシーテーブルのキーワードが含まれない場合は（Ｓ５４２，Ｎｏ）、圧縮／暗号化されたファイルの可能性があるため、ファイルサイズ判定処理部３７５の呼び出しを行う（Ｓ５４８）。
【００４８】
図１３は、帯域制御処理部の処理フローを示す図である。帯域制御処理部３８３が実行されると、パケットの送信元ＩＰアドレスを取得し（Ｓ５５１）、帯域制御コマンドで設定可能な最小帯域値を取得する（Ｓ５５２）。このとき、現在設定されている帯域値を取得し（Ｓ５５３）、帯域制御コマンドで設定可能な最小帯域値と現在設定されている帯域値の比較を行い、現在設定されている帯域値が帯域制御コマンドで設定可能な最小帯域値より大きいか否かを判定する（Ｓ５５４）。帯域制御コマンドで設定可能な最小帯域値よりも現在設定されている帯域値の方が大きい場合（Ｓ５５４，Ｙｅｓ）、設定可能な最小帯域値をパラメータとして、送信元ＩＰアドレスの通信に対し、帯域制御コマンドを実行し（Ｓ５５５）、設定可能な最小帯域値に変更し、処理を終了する。現在の帯域値が帯域制御コマンドで設定可能な最小帯域値よりも小さい場合（Ｓ５５４，Ｎｏ）、帯域値の変更は行わないで処理を終了する。
【００４９】
図１４は、ファイルサイズ判定処理部の処理フローを示す図である。ネットワーク機器１０６において実行されるファイルサイズ判定処理部３７５では、持ち出しファイルのファイルサイズと、持ち出しポリシーテーブル２０１に登録されているファイルサイズとが一致するか否かの判定が行われる（Ｓ５６１）。一致するレコードが存在した場合（Ｓ５６１，Ｙｅｓ）、ファイルデータを統合持ち出し制御サーバ１０４に送信し、持ち出しファイル判定処理部３１１を実行する（Ｓ５６２）。なお、ファイルデータを統合持ち出し制御サーバ１０４に送信する場合は任意のプロトコルでよい。統合持ち出し制御サーバ１０４から持ち出しファイル判定処理部３１１の判定結果を受信し（Ｓ５６３）、重要度が設定されている場合は、重要度に応じて対策を行う。
【００５０】
ファイルサイズ判定処理部３７５は、判定結果に重要度が設定されているか判定し（Ｓ５６４）、重要度が設定されている場合（Ｓ５６４，Ｙｅｓ）、重要度を判定する（Ｓ５６５）。重要度が「高」の場合は（Ｓ５６５，高）、ポート遮断処理の呼び出し（Ｓ５６６）、アラーム送信処理の呼び出し（Ｓ５６７）、ログ収集処理の呼び出し（Ｓ５６８）を行う。最も高い重要度が「中」の場合は（Ｓ５６５，中）、アラーム送信処理の呼び出し（Ｓ５６７）、ログ収集処理の呼び出し（Ｓ５６８）を行う。最も高い重要度が「低」の場合は（Ｓ５６５，低）、ログ収集処理の呼び出し（Ｓ５６８）を行う。
【００５１】
なお、本実施形態では、重要度に応じて前記の対策を行うよう規定しているが、前記以外の対策が行われるよう処理が構成されていてもよい。処理Ｓ５６１において持ち出しポリシーテーブルに一致するファイルサイズが登録されていない場合（Ｓ５６１，Ｎｏ）や、処理Ｓ５６４において、判定結果に重要度が設定されていない場合は（Ｓ５６４，Ｎｏ）、持ち出し許可と判断し処理を終了する。
【００５２】
図１５は、持ち出しファイル判定処理部の処理フローを示す図である。統合持ち出し制御サーバ１０４において実行される持ち出しファイル判定処理部３１１では、ネットワーク機器１０６から受信したファイルの拡張子が圧縮ファイルまたは暗号ファイルの拡張子か否かを判定する（Ｓ５７１）。圧縮ファイルもしくは暗号ファイルの場合（Ｓ５７１，Ｙｅｓ）、各圧縮ファイル、暗号ファイルの解除（復元）を行う（Ｓ５７２）。正常に解除ができたか否かを判定し（Ｓ５７３）、解除ができた場合は（Ｓ５７３，Ｙｅｓ）、解除後のファイルと持ち出しファイル格納テーブル２１１に登録されているファイルとのバイナリコンペアが一致するか判定を行う（Ｓ５７４）。
【００５３】
バイナリコンペアの結果一致するファイルが登録されている場合は（Ｓ５７４，Ｙｅｓ）、持ち出しファイル格納テーブル２１１の一致したレコードに登録されている最も高い重要度をネットワーク機器１０６にリターンし（Ｓ５７５）、処理を終了する。バイナリコンペアが一致しない場合（Ｓ５７４，Ｎｏ）、持ち出しポリシーテーブル２０１に登録されているキーワードが含まれるか否かを判定する（Ｓ５７６）。キーワードが含まれる場合は（Ｓ５７６，Ｙｅｓ）、ひとつまたは複数のキーワードのうち最も高い重要度を決定し（Ｓ５７７）、そして、ネットワーク機器１０６に最も高い重要度をリターンし（Ｓ５７５）、処理を終了する。なお、リターンとは、重要度の判定結果をネットワーク機器１０６に送信することを意味する。
【００５４】
処理Ｓ５７１において圧縮／暗号ファイルの拡張子ではない場合（Ｓ５７１，Ｎｏ）や、処理Ｓ５７３で正常に圧縮／暗号が解除できないと判定した場合（Ｓ５７３，Ｎｏ）、処理Ｓ５７６において持ち出しポリシーテーブル２０１に登録されているキーワードが含まれなかった場合は（Ｓ５７６，Ｎｏ）、ネットワーク機器１０６に重要度なしをリターンし（Ｓ５７８）、処理を終了する。
【００５５】
図１６は、ファイルサイズポリシー生成処理部の処理フローを示す図である。統合持ち出し制御サーバ１０４において実行されるファイルサイズポリシー生成処理部３４２では、持ち出しファイル格納テーブル２１１に登録されている全てのエントリに対して、処理Ｓ５８２〜処理５８５を行う（Ｓ５８１）。すなわち、持ち出しファイル格納テーブル２１１に登録されている全てのエントリに対して、持ち出しファイルの圧縮／暗号を行い（Ｓ５８２）、圧縮／暗号後のファイルサイズを取得する（Ｓ５８３）。取得したファイルサイズが、持ち出しポリシーテーブル２０１に一致するファイルサイズがあるか否かを判定し（Ｓ５８４）、取得したファイルサイズが、持ち出しポリシーテーブル２０１に登録されていない場合は（Ｓ５８４，Ｎｏ）、持ち出しポリシーテーブル２０１に登録を行う（Ｓ５８５）。取得したファイルサイズが、持ち出しポリシーテーブル２０１に登録されている場合は（Ｓ５８４，Ｙｅｓ）、処理Ｓ５８２に戻る。なお、本処理は一定時間間隔で定期的に実行されるよう構成されていてもよいし、持ち出しファイル格納テーブル２１１にエントリが登録されたタイミングで実行されるよう構成されていてもよい。
【００５６】
図２６は、ネットワーク機器におけるアラーム処理部の処理フローを示す図である。ネットワーク機器１０６のキーワード判定処理部３７４において、持ち出しファイル全てのデータの判定処理が終了していない段階でも、アラーム処理部３９１は、持ち出しポリシーテーブル２０１の重要度２０４が「中」以上のキーワードが含まれている場合に、アラームを統合持ち出し制御サーバに送信する（Ｓ６５１）。なお、本実施形態では、重要度２０４が「中」以上のキーワードが含まれる場合に、アラームを送信するように規定しているが、アラームを送信する重要度はシステム管理者によって変更可能であるとする。
【００５７】
アラーム送信後、統合持ち出し制御サーバからアラームに対する判定結果を受信する（Ｓ６５２）と、判定結果をチェックする（Ｓ６５３）。判定結果が「持ち出し禁止」の場合は（Ｓ６５３，持ち出し禁止）、システム管理者が持ち出しを禁止したと判断したととらえ、ポート遮断処理の呼び出しをして（Ｓ６５４）、ポート遮断処理を実行し、重要度を高に設定した（Ｓ６５５）後、ログ収集処理の呼び出しを行い（Ｓ６５６）、アラーム処理を終了する。判定結果が「持ち出し許可」の場合は（Ｓ６５３，持ち出し許可）、設定可能な最大帯域をパラメータとして帯域制御コマンドを実行し（Ｓ６５７）、通信を許可し、アラーム処理を終了する。判定結果が「タイムアウト」の場合は（Ｓ６５３，タイムアウト）、システム管理者が重要度を判定できなかったと判断し、判定結果の重要度を「中」に設定し（Ｓ６５８）、アラーム処理を終了（キーワード判定処理を継続）する。
【００５８】
図２７は、統合持ち出し制御サーバにおけるアラーム処理部の処理フローを示す図である。統合持ち出し制御サーバ１０４のアラーム処理部３２１では、ネットワーク機器からアラームを受信する（Ｓ６６１）と、タイムアウト値を設定する（Ｓ６６２）。タイムアウト値設定後、アラームに含まれるキーワード、ファイル名、重要度をダイアログとして表示する（Ｓ６６３）。
【００５９】
システム管理者は、ダイアログボックスに表示されたファイル名、キーワード、重要度から、持ち出しを許可すべきか判定し、ダイアログ上の「持ち出し禁止」「持ち出し許可」ボタンを押下する。アラーム処理部３２１では、ダイアログ上のボタンの押下の有無を判定し（Ｓ６６４）、ボタンの押下があった場合は、押下されたボタンの種類を判定する（Ｓ６６５）。「持ち出し禁止」ボタンが押下された場合は（Ｓ６６５，持ち出し禁止ボタンを押下）、ネットワーク機器１０６に「持ち出し禁止」を送信し（Ｓ６６６）、処理を終了する。「持ち出し許可」ボタンが押下された場合は（Ｓ６６５，持ち出し許可ボタンを押下）、ネットワーク機器１０６に「持ち出し許可」を送信し（Ｓ６６７）、処理を終了する。ボタンの押下がない場合（Ｓ６６４，ボタンの押下なし）、設定したタイムアウト時間が経過したあとに、ネットワーク機器１０６に「タイムアウト」を送信し（Ｓ６６８）、処理を終了する。
【００６０】
図１７は、ネットワーク機器と統合持ち出し制御サーバとがデータ送受信の様子を示す概念図である。ネットワーク機器１０６において実行されるアラーム処理部３９１（図２６参照）は、統合持ち出し制御サーバ１０４で実行されるアラーム処理部３２１にアラーム４５１を送信する。アラームは、例えばＳＮＭＰトラップであってもよいし、各種プログラムで使用している通知機能であってもよい。
【００６１】
また、ネットワーク機器１０６において実行されるログ送信処理部３３４は、統合持ち出し制御サーバ１０４で実行されるログ受信処理部３３２に対し、通信ログ４３１を送信する。通信ログ４３１は、通信ログ格納テーブル２２１に保存されている各エントリを指す。
【００６２】
統合持ち出し制御サーバ１０４において実行される持ち出しポリシー配布処理部３４３は、ネットワーク機器１０６において実行される持ち出しポリシー受信処理部３４４に対し、持ち出しポリシー４４１を送信する。持ち出しポリシー４４１は、持ち出しポリシーテーブル２０１に登録されている各エントリを指す。なお、統合持ち出し制御サーバ１０４が持ち出しポリシー４４１に応じて配布対象のネットワーク機器１０６を特定する方法は、図１８において説明する。
【００６３】
図１８は、持ち出しポリシー配布処理部の処理フローを示す図である。統合持ち出し制御サーバ１０４が持ち出しポリシー４４１を配布するネットワーク機器１０６を特定する、持ち出しポリシー配布処理部３４３では、持ち出しポリシーテーブル２０１の全てのエントリに対して、処理Ｓ５９２〜処理Ｓ５９８を繰り返す（Ｓ５９１）。すなわち、持ち出しポリシーテーブル２０１に登録されている分類がキーワードのエントリから、開示範囲を取得する（Ｓ５９２）。取得した開示範囲は、統合ネットワーク管理サーバ１０３に格納されているＩＰアドレス割り当てテーブル２４１と比較され、開示範囲と組織名が一致するテーブルの「割り当てＩＰアドレス」が取得される（Ｓ５９３）。
【００６４】
持ち出しポリシー配布処理部３４３では、「割り当てＩＰアドレス」と同じネットワークＩＤを持つネットワーク機器情報テーブル２６１に対して、処理Ｓ５９５〜処理Ｓ５９８を繰り返す（Ｓ５９４）。すなわち、「割り当てＩＰアドレス」と同じネットワークＩＤを持つネットワーク機器情報テーブル２６１のエントリを検索し、１つのテーブルを取得する（Ｓ５９５）。機器の種別が「ネットワーク機器」と一致するか否かを判定する（Ｓ５９６）。判定の結果、一致する場合（Ｓ５９６，Ｙｅｓ）ネットワーク機器と一致するエントリからＩＰアドレスを取得する（Ｓ５９７）。取得したＩＰアドレスのネットワーク機器１０６に対し、持ち出しポリシー４４１を送信する（Ｓ５９８）。処理Ｓ５９６において、一致しない場合（Ｓ５９６，Ｎｏ）、処理Ｓ５９４に戻る。
【００６５】
このように、持ち出しポリシーを配布するネットワーク機器をキーワードの開示範囲に応じて決定することにより、例えば、ある事業部Ａでは使用されないキーワードを事業部Ａのネットワークでは検査しないようにすることができる。これにより、持ち出し制御の効率を上げる効果が期待できる。
【００６６】
図１９は、ログ収集処理部３３３の処理フローを示す図である。ネットワーク機器１０６において実行されるログ収集処理部３３３では、日時を取得し（Ｓ６０１）、受信したパケットから送信元ＩＰアドレス、送信先ＩＰアドレスを取得し（Ｓ６０２）、送信元ポート番号、送信先ポート番号を取得する（Ｓ６０３）。
【００６７】
持ち出し判定処理部３７１において求められた重要度が高または中であるかを判定し（Ｓ６０４）、重要度が高または中の場合は（Ｓ６０４，Ｙｅｓ）、ファイル名、ファイルサイズ、一致したキーワード、日時、ファイルを持ち出しファイル格納テーブル２１１に保存する（Ｓ６０５）。持ち出しファイル格納テーブル２１１に保存した際に付与されたＩＤおよび、通信ログ格納テーブルに日時、送信元ＩＰアドレス、送信先ＩＰアドレス、送信元ポート番号、送信先ポート番号を登録し（Ｓ６０６）、処理を終了する。処理Ｓ６０４において、重要度が高または中でない場合は（Ｓ６０４，Ｎｏ）、処理Ｓ６０６に進む。なお、本実施形態では重要度が高または中の場合にのみ、持ち出しファイルを取得するように規定しているが、全ての重要度で取得してもよい。
【００６８】
これまでに示した手法によりネットワークを介して機密情報を含むデータを送信しようとした場合に、クライアントＰＣ１０５に情報漏えい対策ソフトウェアがインストールされていない場合でも、機密情報を含むデータの持ち出し制御を行い、持ち出し制御を行う際の文字列検査処理の時間を確保することにより、機密情報の持ち出しを検知し、また、圧縮／暗号化されたファイルについても持ち出し制御を行うことが可能となる。
【００６９】
なお、プロキシサーバを介してＷＷＷ（World Wide Web）にアクセスする環境においては、ネットワーク機器１０６において実行されるキーワード判定処理部３７４およびファイルサイズ判定処理部３７５を前記プロキシサーバで行うことで、本発明における持ち出し制御が可能となる。これについて、図２０〜図２６を参照して説明する。
【００７０】
（第２の実施形態）
図２０は、第２の実施形態である持ち出し制御システムの構成を示す図である。第２の実施形態では、ネットワーク機器１０６で行われているキーワード判定処理部３７４およびファイルサイズ判定処理部３７５を持ち出し制御サーバ１１１で行うようにした。持ち出し制御サーバ１１１は、前記プロキシサーバであってもよく、また、統合持ち出し制御サーバ１０４であってもよい。
【００７１】
図２１は、図２０における統合ネットワーク管理サーバのハードウェア構成と機能ブロック構成を示す図である。統合ネットワーク管理サーバ１０３の記憶装置１０７Ａには、図中に符号を四角で囲んである、ネットワーク機器１０６の帯域制御コマンドを一覧として保存した帯域制御コマンドファイル２７１と、ネットワーク機器１０６のポート遮断コマンドを一覧として保存したポート遮断コマンドファイル２８１とを保存している。なお、帯域制御コマンドファイル２７１とポート遮断コマンドファイル２８１以外の機能ブロックに関しては図２と同等の機能を有するので、説明は省略する。
【００７２】
図２２は、図２０における持ち出し制御サーバのハードウェア構成図と機能ブロック構成を示す図である。持ち出し制御サーバ１１１のハードウェアは、ＣＰＵ１０８Ｄ、メモリ１０９Ｄ、ハードディスクなどの記憶装置１０７Ｄ、通信インタフェース１１０Ｄから構成される。ＣＰＵ１０８Ｄ、メモリ１０９Ｄ、記憶装置１０７Ｄ、通信インタフェース１１０Ｄは、図２に示したＣＰＵ１０８Ａ、メモリ１０９Ａ、記憶装置１０７Ａ、通信インタフェース１１０Ａと同じ機能を有するので、重複する説明を省略する。
【００７３】
記憶装置１０７Ｄには、持ち出しポリシーテーブル２０１Ｄ（２０１）（図５参照）、持ち出しファイル格納テーブル２１１Ｄ（２１１）（図５参照）、通信ログ格納テーブル２２１Ｄ（２２１）（図６参照）が記憶されている。
【００７４】
持ち出し制御サーバ１１１の機能ブロック構成としては、メモリ１０９Ｄ内に、持ち出し判定処理部３７１Ｄ（３７１）、セキュリティ対策処理部３８１Ｄ、アラーム処理部３９１Ｄ（３９１）、ログ処理部３３１Ｄ（３３１）、持ち出しポリシー処理部３４１Ｄ、ＩＰアドレス変換処理部４０１Ｄを有する。持ち出し判定処理部３７１Ｄには、キーワード判定処理部３７４Ｄ（３７４）、ファイルサイズ判定処理部３７５Ｄ（３７５）を有する。
【００７５】
セキュリティ対策処理部３８１Ｄには、ネットワーク機器１０６に対して帯域制御コマンドを送信する帯域制御コマンド送信処理部３８４（図２４参照）と、ネットワーク機器１０６に対してポート遮断コマンドを送信するポート遮断コマンド送信処理部３８５（図２５参照）を有する。
【００７６】
図４における帯域制御処理部３８３を帯域制御コマンド送信処理部３８４に変更し、また、ポート遮断処理部３８２をポート遮断コマンド送信処理部３８５に変更することで、図２０における持ち出し制御サーバ１１１でのキーワード判定処理部３７４およびファイルサイズ判定処理部３７５での処理中に帯域制御およびポート遮断処理が可能となる。
【００７７】
なお、帯域制御コマンド送信処理部３８４とポート遮断コマンド送信処理部３８５の機能ブロックに関しては図４の対応構成と同等の機能を有するものとする。
【００７８】
図２３は、帯域制御コマンドファイルおよびポート遮断コマンドファイルの詳細を示す図である。帯域制御コマンドファイル２７１とポート遮断コマンドファイル２８１は、統合ネットワーク管理サーバ１０３に保存されている。図２３(ａ)に示すように、帯域制御コマンドファイル２７１は、ネットワークに配置されているネットワーク機器１０６の製造ベンダ２７２、製造ベンダ２７２ごとの帯域制御コマンド２７３、帯域制御コマンドにパラメータとして設定可能最小帯域値２７４および設定可能最大帯域値２７５を保持している。図２３（ｂ）に示すように、ポート遮断コマンドファイル２８１は、ネットワークに配置されているネットワーク機器１０６の製造ベンダ２８２と、製造ベンダに対応したポート遮断コマンド２８３を保持している。
【００７９】
図２４は、帯域制御コマンド送信処理部の処理フローを示す図である。持ち出し制御サーバ１１１でキーワード判定処理部３７４が実行されると、帯域制御コマンド送信処理部３８４は、パケットの送信元ＩＰアドレスを取得する（Ｓ６１１）。取得したパケットの送信元ＩＰアドレスと同じネットワークＩＤを持つネットワーク機器情報テーブル２６１に対して、処理Ｓ６１３〜処理Ｓ６２０を繰り返す（Ｓ６１２）。取得したパケットの送信元ＩＰアドレスと同じネットワークＩＤを持つネットワーク機器情報テーブル２６１のエントリから、１つのテーブルを取得する（Ｓ６１３）。機器の種別が「ネットワーク機器」のエントリを検索する（Ｓ６１４）。機器の種別が「ネットワーク機器」のエントリが見つかった場合は（Ｓ６１４，Ｙｅｓ）、ネットワーク機器情報テーブル２６１に登録されているシステム情報から製造ベンダを抽出し、帯域制御コマンドファイル２７１に帯域制御コマンドがあるか検索を行う（Ｓ６１５）。
【００８０】
対応する帯域制御コマンドが存在した場合は（Ｓ６１５，Ｙｅｓ）、帯域制限コマンドで設定可能な最小帯域値を取得し（Ｓ６１６）、ネットワーク機器情報テーブル２６１に登録されているＩＰアドレスを取得する（Ｓ６１７）。次に、現在の帯域値を取得し（Ｓ６１８）、帯域制御コマンドファイルに登録されている設定可能最小帯域値２７４と現在の帯域値を比較し判定する（Ｓ６１９）。設定可能最小帯域値２７４よりも現在の帯域値が大きい場合は（Ｓ６１９，Ｙｅｓ）、設定可能な最小帯域値をパラメータとして、送信元ＩＰアドレスの通信に対し、すなわち、取得したＩＰアドレスを有するネットワーク機器１０６に帯域制御コマンドを送信する（Ｓ６２０）。設定可能最小帯域値２７４よりも現在の帯域値が大きくない場合は（Ｓ６１９，Ｎｏ）、帯域制御コマンドは送信しないでループ終端に進む。なお、処理Ｓ６１４において、機器の種別が「ネットワーク機器」でない場合（Ｓ６１４，Ｎｏ）、または、処理Ｓ６１５において、特定したネットワーク機器に対する帯域制御コマンドがない場合（Ｓ６１４，Ｎｏ）、ループ終端に進む。
【００８１】
図２５は、ポート遮断コマンド送信処理部の処理フローを示す図である。持ち出し制御サーバ１１１でキーワード判定処理部３７４が実行されると、ポート遮断コマンド送信処理部３８５は、パケットの送信元ＩＰアドレスを取得する（Ｓ６３１）。取得したパケットの送信元ＩＰアドレスと同じネットワークＩＤを持つネットワーク機器情報テーブル２６１に対して処理Ｓ６３３〜処理Ｓ６３７を繰り返す（Ｓ６３２）。取得したパケットの送信元ＩＰアドレスと同じネットワークＩＤを持つネットワーク機器情報テーブル２６１のエントリから、１つのテーブルを取得し（Ｓ６３３）、機器の種別が「ネットワーク機器」のエントリを検索する（Ｓ６３４）。機器の種別が「ネットワーク機器」のエントリが見つかった場合は（Ｓ６３４，Ｙｅｓ）、ネットワーク機器情報テーブル２６１に登録されているＩＰアドレスを取得する（Ｓ６３５）。
【００８２】
次に、ネットワーク機器情報テーブル２６１に登録されているシステム情報から製造ベンダを抽出し、ポート遮断コマンドファイル２８１に対応するポート遮断コマンドがあるか検索を行う（Ｓ６３６）。対応するポート遮断コマンドが存在した場合は（Ｓ６３６，Ｙｅｓ）、取得したＩＰアドレスを有するネットワーク機器１０６にポート遮断コマンドを送信する（Ｓ６３７）。なお、処理Ｓ６３４において、機器の種別が「ネットワーク機器」でない場合（Ｓ６３４，Ｎｏ）、または、処理Ｓ６３６において、特定したネットワーク機器に対するポート遮断処理コマンドでない場合（Ｓ６３６，Ｎｏ）、ループ終端に進む。
【００８３】
本発明によれば、機密情報を含むデータの持ち出し制御を行い、持ち出し制御を行う際の文字列検査処理の時間を確保することにより、機密情報の持ち出しを検知できる。また、圧縮／暗号化されたファイルについても持ち出し制御を行うことができる。さらに、本発明によれば、ネットワークを介して大量の機密情報を含む電子データを持ち出そうとした場合に、該当の持ち出し操作を検知することができる。
【００８４】
本発明によれば、クライアントＰＣと、ネットワーク機器と、ネットワークに点在する機器の情報を収集する統合ネットワーク管理サーバと、持ち出しを制御する統合持ち出し制御サーバと、を有したデータの持ち出し制御管理を行うシステムであり、ネットワーク機器において、クライアントＰＣが送信するデータの機密情報を検査し、また、機密情報を検査する際にネットワークの通信速度を動的に変更することができる。
【図面の簡単な説明】
【００８５】
【図１】第１の実施形態である持ち出し制御システムの構成を示す図である。
【図２】統合ネットワーク管理サーバのハードウェア構成および機能ブロック構成を示す図である。
【図３】統合持ち出し制御サーバのハードウェア構成および機能ブロック構成を示す図である。
【図４】ネットワーク機器のハードウェア構成および機能ブロック構成を示す図である。
【図５】持ち出しポリシーテーブルおよび持ち出しファイル格納テーブルの詳細を示す図である。
【図６】通信ログ格納テーブルおよびＩＰアドレス変換テーブルの詳細を示す図である。
【図７】ＩＰアドレス割り当てテーブル、ネットワーク構成情報テーブル、およびネットワーク機器情報テーブルの詳細を示す図である。
【図８】ネットワーク機器の持ち出し判定処理部の処理フローを示す図である。
【図９】ネットワーク機器のＩＰアドレス変換処理部の処理フローを示す図である。
【図１０】ＩＰアドレス変換処理２の処理フローを示す図である。
【図１１】ネットワーク機器におけるＩＰアドレス変換処理３の処理フローを示す図である。
【図１２】ネットワーク機器のキーワード判定処理部の処理フローを示す図である。
【図１３】帯域制御処理部の処理フローを示す図である。
【図１４】ファイルサイズ判定処理部の処理フローを示す図である。
【図１５】持ち出しファイル判定処理部の処理フローを示す図である。
【図１６】ファイルサイズポリシー生成処理部の処理フローを示す図である。
【図１７】ネットワーク機器と統合持ち出し制御サーバとがデータ送受信の様子を示す概念図である。
【図１８】持ち出しポリシー配布処理部の処理フローを示す図である。
【図１９】ログ収集処理部３３３の処理フローを示す図である。
【図２０】第２の実施形態である持ち出し制御システムの構成を示す図である。
【図２１】図２０における統合ネットワーク管理サーバのハードウェア構成と機能ブロック構成を示す図である。
【図２２】図２０における持ち出し制御サーバのハードウェア構成と機能ブロック構成を示す図である。
【図２３】帯域制御コマンドファイルおよびポート遮断コマンドファイルの詳細を示す図である。
【図２４】帯域制御コマンド送信処理部の処理フローを示す図である。
【図２５】ポート遮断コマンド送信処理部の処理フローを示す図である。
【図２６】ネットワーク機器におけるアラーム処理部の処理フローを示す図である。
【図２７】統合持ち出し制御サーバにおけるアラーム処理部の処理フローを示す図である。
【符号の説明】
【００８６】
１，２    サブネットワーク
１０１    インターネット
１０２    ネットワーク
１０３    統合ネットワーク管理サーバ
１０４    統合持ち出し制御サーバ（管理サーバ）
１０５    クライアントＰＣ
１０６    ネットワーク機器（ネットワーク装置）
１０７Ａ    記憶装置
１０７Ｂ    記憶装置（第１の記憶装置）
１０７Ｃ    記憶装置（第２の記憶装置）
１０８Ａ，１０８Ｂ，１０８Ｃ    ＣＰＵ
１０９Ａ，１０９Ｂ，１０９Ｃ    メモリ
１１０Ａ，１１０Ｂ，１１０Ｃ    通信インタフェース
２０１    持ち出しポリシーテーブル（持ち出しポリシー情報）
２１１    持ち出しファイル格納テーブル（持ち出しファイル格納情報）
２２１    通信ログ格納テーブル（通信ログ格納情報）
２３１    ＩＰアドレス変換テーブル
２４１    ＩＰアドレス割り当てテーブル
２５１    ネットワーク構成情報テーブル
２６１    ネットワーク機器情報テーブル
３１１    持ち出しファイル判定処理部（持ち出しファイル判定手段）
３２１    アラーム受信処理部
３３１    ログ処理部
３３２    ログ受信処理部（ログ受信手段）
３３３    ログ収集処理部（ログ収集手段）
３３４    ログ送信処理部（ログ送信手段）
３４１Ｂ，３４１Ｃ    持ち出しポリシー処理部
３４２    ファイルサイズポリシー生成処理部（ファイルサイズポリシー生成手段）
３４３    持ち出しポリシー配布処理部（ポリシー配布手段）
３４４    持ち出しポリシー受信処理部（ポリシー受信手段）
３７１    持ち出し判定処理部（持ち出し判定手段）
３８１    セキュリティ対策処理部
３８３    帯域制御処理部（帯域制御手段）
４０１    ＩＰアドレス変換処理部
【図１】
2009258852.tif 000003
【図２】
2009258852.tif 000004
【図３】
2009258852.tif 000005
【図４】
2009258852.tif 000006
【図５】
2009258852.tif 000007
【図６】
2009258852.tif 000008
【図７】
2009258852.tif 000009
【図８】
2009258852.tif 000010
【図９】
2009258852.tif 000011
【図１０】
2009258852.tif 000012
【図１１】
2009258852.tif 000013
【図１２】
2009258852.tif 000014
【図１３】
2009258852.tif 000015
【図１４】
2009258852.tif 000016
【図１５】
2009258852.tif 000017
【図１６】
2009258852.tif 000018
【図１７】
2009258852.tif 000019
【図１８】
2009258852.tif 000020
【図１９】
2009258852.tif 000021
【図２０】
2009258852.tif 000022
【図２１】
2009258852.tif 000023
【図２２】
2009258852.tif 000024
【図２３】
2009258852.tif 000025
【図２４】
2009258852.tif 000026
【図２５】
2009258852.tif 000027
【図２６】
2009258852.tif 000028
【図２７】
2009258852.tif 000029