ログ統合管理システム及びログ統合管理方法
【課題】 企業等の組織内において、物理的な行動も含めた構成員単位の行動や操作の履歴を時系列に沿って管理し、主として内部統制に有益な情報を提供することが可能な、ログ統合管理システムを提供する。
【解決手段】 セキュリティ・ゲート、セキュリティ・キャビネット、認証システム、メールサーバ、ネットワーク管理サーバ、業務用端末、ＰＢＸ等の組織内のネットワークで接続された複数のシステムに記録されているログを収集して、組織の構成員単位でとりまとめた統合ログを作成する。統合したログデータをレポートとして出力したり、時系列に沿ってソートして通常の行動と対比したりすることによって、内部統制に有益な情報を提供することができる。
【解決手段】 セキュリティ・ゲート、セキュリティ・キャビネット、認証システム、メールサーバ、ネットワーク管理サーバ、業務用端末、ＰＢＸ等の組織内のネットワークで接続された複数のシステムに記録されているログを収集して、組織の構成員単位でとりまとめた統合ログを作成する。統合したログデータをレポートとして出力したり、時系列に沿ってソートして通常の行動と対比したりすることによって、内部統制に有益な情報を提供することができる。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、企業等の組織の主として内部統制に有益な情報を提供することが可能な、ログ統合管理システム及びログ統合管理方法に関するものである。
【背景技術】
【０００２】
コンピュータの使用においては、障害発生時の原因追跡等のために、コンピュータへの操作やコンピュータが実行した処理の記録として、ログの管理が行なわれることが一般的である。また、コンピュータをネットワークに接続して利用する場合には、外部からの不正アクセスの監視や、ネットワークを通じたデータの送受信が行われたことを記録するなどの目的で、ログの記録が重要となることが多い。
【０００３】
ネットワークを介してコンピュータを利用することが一般的になると、単に１台のコンピュータの操作記録としてログを管理するだけでなく、ネットワークを介して複数のコンピュータにアクセスして行われた一連の行為を、ログとして記録することが求められる場合もある。このようなニーズに対応して、複数のシステムにおいて個別に収集されたログを、一連の取引単位に統合する発明が開示されている（例えば、特許文献１参照。）。
【０００４】
【特許文献１】特開２００１−２２９０５２号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
特許文献１記載の発明は、オンラインショッピングにおいて、商品の注文から決済までに行なわれた顧客の一連の操作について、ＷｅｂサーバやＥＣサーバ、決済サーバ等の複数のシステムで記録されたログを、１レコードに１回の取引に関連するログを統合して管理しようとするものである。
【０００６】
特許文献１記載の発明によると、例えば、顧客から「注文した記憶がない」といった問い合わせに対応する際に、該顧客の取引にかかるログが１レコードとして管理されているため、一連の操作の追跡調査が容易となるという効果が生じる。この発明では、「Ｗｅｂサーバにアクセスした」、「注文画面からデータを入力した」、「決済サーバで承認番号が発行された」といった個々の操作や処理が実際に行われたことを記録するログが管理されているだけであって、どの操作や処理がいつ、どのような順序で行われたか、という一連の操作に関する時系列的な変化を把握することができない。
【０００７】
また、特許文献１記載の発明は、１回の取引毎のログを１レコードに統合し、取引単位での操作履歴を管理することを目的とするものであって、他の取引や、取引以外における顧客のコンピュータの操作履歴にかかるログを管理し得るものではない。さらに、特許文献１記載の発明は、顧客が一のコンピュータからＷｅｂサーバ、ＥＣサーバなどに順にアクセスしたコンピュータからの操作履歴を記録するものであって、顧客自身の物理的な行動記録までも管理し得るものではない。
【０００８】
一方、企業等の組織においては、組織内におけるコンプライアンスが重要な課題とされるようになりながらも、組織内における不正行為が発覚することが珍しくなく、効果的な内部統制のための体制作りが求められている。組織における内部統制のためには、個々の構成員の行動を的確に把握することが必要であり、各々が使用するコンピュータの操作履歴を記録したログも有力な情報の一つとなるが、コンピュータの操作は構成員の行動の一部に過ぎないため、該ログのみでは行動履歴を把握するためには不十分である。
【０００９】
このような内部統制において求められる事項に対して、特許文献１記載の発明を適用すると、構成員がコンピュータを用いて行った一連の操作単位での情報を収集することは可能になるものの、コンピュータを使用しない構成員の物理的な行動（例えばオフィスへの入退室）の履歴を把握できない、断続的に行われる同一の構成員による行為や操作を構成員単位で時系列に沿って把握することができない、といった限界が生じることになる。
【００１０】
本発明は、このような課題に対応するためになされたものであり、企業等の組織内において、物理的な行動も含めた構成員単位の行動や操作の履歴を時系列に沿って管理し、主として内部統制に有益な情報を提供することが可能な、ログ統合管理システム及びログ統合管理方法を提供することを目的とするものである。
【課題を解決するための手段】
【００１１】
このような課題を解決する本発明は、組織内における構成員の行為からログを収集して統合管理する内部統制のためのログ統合管理システムであって、オフィスの入退室のために設けられたセキュリティ・ゲートにおいて、一の構成員について第１の識別コードをキーに収集した第１のログデータを受け付ける第１の受付手段と、前記構成員が操作権限を有するコンピュータにおいて、前記構成員について第２の識別コードをキーに収集した第２のログデータを受け付ける第２の受付手段と、前記構成員が接続権限を有するコンピュータネットワークにおいて、前記構成員について第３の識別コードをキーに収集した第３のログデータを受け付ける第３の受付手段と、前記構成員を識別する統合用識別コードに、少なくとも前記第１の識別コード、前記第２の識別コード、前記第３の識別コードを関連付けて記憶する記憶手段と、前記第１のログデータ、前記第２のログデータ、前記第３のログデータを、前記記憶手段を参照して前記統合用識別コード毎に設けられたテーブルに、フォーマットを統一した統合ログとして格納する格納手段と、を備えることを特徴とするログ統合管理システムである。
【００１２】
また、本発明は、前記構成員の利用権限を確認して開閉が可能となるセキュリティ・キャビネットにおいて、前記構成員について第４の識別コードをキーに収集した第４のログデータを受け付ける第４の受付手段を備えていて、前記記憶手段には、前記統合用識別コードに、少なくとも前記第４の識別コードが関連付けて記憶されていて、前記格納手段は、前記第４のログデータを、前記記憶手段を参照して前記テーブルに、フォーマットを統一した統合ログとして格納すること、を特徴とすることもできる。
【００１３】
さらに、本発明は、前記構成員が送受信する電子メールを管理するメールサーバにおいて、前記構成員に割当てられたメールアドレスをキーに収集した第５のログデータを受け付ける第５の受付手段を備えていて、前記記憶手段には、前記統合用識別コードに、少なくとも前記メールアドレスが関連付けて記憶されていて、前記格納手段は、前記第５のログデータを、前記記憶手段を参照して前記テーブルに、フォーマットを統一した統合ログとして格納すること、を特徴としてもよい。
【００１４】
さらに、本発明は、前記構成員が発呼又は着呼する通話情報を管理する交換機から、前記構成員に割当てられた電話番号をキーに収集した第６のログデータを受け付ける第６の受付手段を備えていて、前記記憶手段には、前記統合用識別コードに、少なくとも前記電話番号が関連付けて記憶されていて、前記格納手段は、前記第６のログデータを、前記記憶手段を参照して前記テーブルに、フォーマットを統一した統合ログとして格納すること、を特徴としてもよい。
【００１５】
本発明によると、構成員のオフィスへの入退室記録、構成員のコンピュータの操作記録、構成員のＬＡＮ等への接続記録を、同一のフォーマットに統一して収集し、構成員毎のログとして統合することによって、構成員毎の内部統制に有益な情報を収集することが可能になる。さらに、セキュリティ・キャビネットの開閉記録、電子メールの送受信機録、電話の発着呼の記録を含めることによって、より精緻な情報を把握することが可能になる。
【００１６】
さらに、本発明は、前記格納手段のテーブルに格納された統合ログを、各々のログに含まれるログの記録時間をキーにソートして、前記構成員の行動及び操作の履歴を示す履歴データを作成する履歴データ作成手段と、前記履歴データに対応して、異常と判定すべき行動又は操作のパターンをルールとして記憶したルール記憶手段と、前記履歴データ作成手段が作成した履歴データと前記ルール記憶手段に記憶されたルールとを対比して、前記履歴データが前記ルールの少なくとも一つに合致する場合には、前記構成員の行動又は操作が異常であると判定する判定手段と、を備えることを特徴としてもよい。
【００１７】
さらに、本発明は、前記格納手段のテーブルに格納された統合ログを、各々のログに含まれるログの記録時間をキーにソートして、前記構成員の行動及び操作の履歴を示す履歴データを作成する履歴データ作成手段と、構成員毎に作成された過去の履歴データから、構成員毎の行動又は操作のパターンをユーザプロファイルとして記憶するプロファイル記憶手段と、前記履歴データ作成手段が作成した履歴データと前記プロファイル記憶手段に記憶された前記構成員についてのプロファイルとを対比して、前記履歴データが前記プロファイルに照らして所定のルールに合致しないと判断される場合には、前記構成員の行動又は操作が異常であると判定する判定手段と、を備えることを特徴としてもよい。
【００１８】
このように、本発明においては、構成員毎に統合された統合ログから把握される履歴を、異常と判定すべき一般的なルールや、構成員の過去の行動パターンと対比することによって、不正の可能性がある行為を速やかに検知することが可能になる。
【００１９】
さらに、本発明は、前記格納手段に格納された統合ログに対応して、異常と判定すべき行動又は操作のパターンをルールとして記憶したルール記憶手段と、前記格納手段に格納された統合ログと前記ルール記憶手段に記憶されたルールとを各々対比して、前記構成員の行動又は操作が異常であるかを判定する判定手段と、前記統合ログに、前記判定手段による判定結果を記録して、前記格納手段に格納された統合ログの少なくとも一部を更新する更新手段と、を備えることを特徴としてもよい。
【００２０】
さらに、本発明は、構成員毎に前記格納手段に格納された統合ログから、構成員毎の行動又は操作のパターンをユーザプロファイルとして記憶するプロファイル記憶手段と、前記格納手段に格納された統合ログと前記プロファイル記憶手段に記憶された前記構成員についてのプロファイルとを各々対比して、前記構成員の行動又は操作が異常であるかを判定する判定手段と、前記統合ログに、前記判定手段による判定結果を記録して、前記格納手段に格納された統合ログの少なくとも一部を更新する更新手段と、を備えることを特徴としてもよい。
【００２１】
このように、本発明においては、各々の統合ログを、異常と判定すべき一般的なルールや、構成員の過去の行動パターンと対比することによって、不正の可能性がある行為を統合ログの一部にスコアとして記録し、内部統制等のための情報として活用することが可能になる。尚、ここで記録されるスコアは、異常である可能性を把握するのに用いられるものであれば、数値で示されるスコアに限定されるものではない。
【００２２】
さらに、本発明は、ログ統合管理システムの各々の構成に対応して、各々の構成のログ統合管理システムによって実行されるログ統合管理方法として特定することもできる。
【００２３】
つまり、本発明にかかるログ統合管理方法は、組織内における構成員の行為からログを収集して統合管理する内部統制のためのログ統合管理方法であって、ログの統合管理を行うコンピュータシステムが、オフィスの入退室のために設けられたセキュリティ・ゲートにおいて、一の構成員について第１の識別コードをキーに収集した第１のログデータを受け付ける第１の受付ステップと、前記コンピュータシステムが、前記構成員が操作権限を有するコンピュータにおいて、前記構成員について第２の識別コードをキーに収集した第２のログデータを受け付ける第２の受付ステップと、前記コンピュータシステムが、前記構成員が接続権限を有するコンピュータネットワークにおいて、前記構成員について第３の識別コードをキーに収集した第３のログデータを受け付ける第３の受付ステップと、前記コンピュータシステムが、前記第１のログデータ、前記第２のログデータ、前記第３のログデータを、前記構成員を識別する統合用識別コードに、少なくとも前記第１の識別コード、前記第２の識別コード、前記第３の識別コードを関連付けて記憶した記憶部を参照して、前記統合用識別コード毎に設けられたテーブルに、フォーマットを統一した統合ログとして格納する格納ステップと、を有することを特徴とするログ統合管理方法である。
【００２４】
また、本発明にかかるログ統合管理方法は、前記コンピュータシステムが、前記構成員の利用権限を確認して開閉が可能となるセキュリティ・キャビネットにおいて、前記構成員について第４の識別コードをキーに収集した第４のログデータを受け付ける第４の受付ステップを有していて、前記記憶部には、前記統合用識別コードに、少なくとも前記第４の識別コードが関連付けて記憶されていて、前記格納ステップにおいては、前記第４のログデータを、前記記憶部を参照して前記テーブルに、フォーマットを統一した統合ログとして格納すること、を特徴とすることもできる。
【００２５】
さらに、本発明にかかるログ統合管理方法は、前記コンピュータシステムが、前記構成員が送受信する電子メールを管理するメールサーバにおいて、前記構成員に割当てられたメールアドレスをキーに収集した第５のログデータを受け付ける第５の受付ステップを有していて、前記記憶部には、前記統合用識別コードに、少なくとも前記メールアドレスが関連付けて記憶されていて、前記格納ステップにおいては、前記第５のログデータを、前記記憶部を参照して前記テーブルに、フォーマットを統一した統合ログとして格納すること、を特徴としてもよい。
【００２６】
さらに、本発明にかかるログ統合管理方法は、前記コンピュータシステムが、前記構成員が発呼又は着呼する通話情報を管理する交換機から、前記構成員に割当てられた電話番号をキーに収集した第６のログデータを受け付ける第６の受付ステップを有していて、前記記憶部には、前記統合用識別コードに、少なくとも前記電話番号が関連付けて記憶されていて、前記格納ステップにおいては、前記第６のログデータを、前記記憶部を参照して前記テーブルに、フォーマットを統一した統合ログとして格納すること、を特徴としてもよい。
【００２７】
さらに、本発明にかかるログ統合管理方法は、前記コンピュータシステムが、前記格納ステップでテーブルに格納された統合ログを、各々のログに含まれるログの記録時間をキーにソートして、前記構成員の行動及び操作の履歴を示す履歴データを作成する履歴データ作成ステップと、前記コンピュータシステムが、前記履歴データ作成ステップで作成した履歴データと、前記履歴データに対応して、異常と判定すべき行動又は操作のパターンをルールとして記憶したルール記憶部に記憶されたルールとを対比して、前記履歴データ作成ステップで作成した履歴データが前記ルールの少なくとも一つに合致する場合には、前記構成員の行動又は操作が異常であると判定する判定ステップと、を有することを特徴としてもよい。
【００２８】
さらに、本発明にかかるログ統合管理方法は、前記コンピュータシステムが、前記格納ステップでテーブルに格納された統合ログを、各々のログに含まれるログの記録時間をキーにソートして、前記構成員の行動及び操作の履歴を示す履歴データを作成する履歴データ作成ステップと、前記コンピュータシステムが、前記履歴データ作成ステップで作成した履歴データと、構成員毎に作成された過去の履歴データから、構成員毎の行動又は操作のパターンをユーザプロファイルとして記憶するプロファイル記憶部に記憶された前記構成員についてのプロファイルとを対比して、前記履歴データ作成ステップで作成した履歴データが前記プロファイルに照らして所定のルールに合致しないと判断される場合には、前記構成員の行動又は操作が異常であると判定する判定ステップと、を有することを特徴としてもよい。
【００２９】
さらに、本発明にかかるログ統合管理方法は、前記コンピュータシステムが、前記格納部に格納された統合ログと、異常と判定すべき行動又は操作のパターンをルールとして記憶したルール記憶部に記憶されたルールとを各々対比して、前記構成員の行動又は操作が異常であるかを判定する判定ステップと、前記コンピュータシステムが、前記統合ログに、前記ステップにおいて判定した判定結果を記録して、前記格納部に格納された統合ログの少なくとも一部を更新する更新ステップと、を有することを特徴としてもよい。
【００３０】
さらに、本発明にかかるログ統合管理方法は、前記コンピュータシステムが、前記格納部に格納された統合ログと、構成員毎に前記格納部に格納された統合ログから、構成員毎の行動又は操作のパターンをユーザプロファイルとして記憶するプロファイル記憶部に記憶された前記構成員についてのプロファイルとを各々対比して、前記構成員の行動又は操作が異常であるかを判定する判定ステップと、前記コンピュータシステムが、前記統合ログに、前記ステップにおいて判定した判定結果を記録して、前記格納部に格納された統合ログの少なくとも一部を更新する更新ステップと、を有することを特徴としてもよい。
【発明の効果】
【００３１】
本発明によって、異なるシステムにおいて各々収集されていたログデータを統合し、物理的な行動も含めた構成員単位の行動や操作の履歴を時系列に沿って管理することによって、各構成員の詳細な行動や操作を容易に把握することが可能になり、主として内部統制のために有益な情報を得ることができる。
【発明を実施するための最良の形態】
【００３２】
本発明を実施するための最良の形態について、図面を用いて以下に詳細に説明する。尚、以下の説明におけるログのフォーマット、ログを収集する対象となるシステムなどの実施形態については、本発明を実施する場合の一例であって、本発明はかかる実施形態に限定されるものではない。また、以下においては、本発明にかかるログ統合管理システムを企業において導入する例について説明するが、本発明の実施は企業内に限定されるものではなく、企業以外の組織においても用いることができる。
【００３３】
図１は、本発明にかかるログ統合管理システムの実施形態の概要を示す図である。図２は、本発明にかかるログ統合管理システムの構成を示すブロック図である。図３は、本発明にかかるログ統合管理システムにおけるログ紐付情報テーブルの一例を示す図である。図４は、本発明にかかるログ統合管理システムにおいて、セキュリティ・ゲート管理サーバで収集されるログデータの一例を示す図である。図５は、本発明にかかるログ統合管理システムにおいて、キュリティ・キャビネット管理サーバで収集されるログデータの一例を示す図である。図６は、本発明にかかるログ統合管理システムにおいて、認証システムで作成されるログデータの一例を示す図である。図７は、本発明にかかるログ統合管理システムにおいて、メールサーバで収集されるログデータの一例を示す図である。図８は、本発明にかかるログ統合管理システムにおいて、情報漏洩防止ツールで収集されるログデータの一例を示す図である。図９は、本発明にかかるログ統合管理システムにおいて、ＰＢＸから収集したログデータの一例を示す図である。図１０は、本発明にかかるログ統合管理システムによって作成される統合ログの一例を示す図である。
【００３４】
図１を用いて、本発明にかかるログ統合管理システムの概要と運用形態について説明する。本発明にかかるログ統合管理システムは、図１に示したように、オフィスへの入退室を管理するセキュリティ・ゲート、秘密資料等を収納するセキュリティ・キャビネット、社員が業務で使用する業務用端末、社内ＬＡＮへの接続状況や共有サーバへのアクセス状況などを管理するネットワーク管理サーバ、電子メールの送受信を行うメールサーバ、オフィス内への電話機を統括するＰＢＸ、社内ＬＡＮとインターネットを接続するゲートウェイを監視するゲートウェイ監視サーバ等の複数の異なるシステムにおいて収集されたログデータを、ログ統合サーバにおいて社員毎に統合して管理するよう構成されている。
【００３５】
オフィスに入退室する社員には、入退室の権限があることを証明し、かつ各々の社員を識別するための社員コードが記憶されたＩＤカードが配布されている。入退室の管理が必要なオフィスへの入口にはセキュリティ・ゲートが設けられていて、セキュリティ・ゲートを通過する際には、ＩＤカードにより入退室の権限を認証することによって、オフィスへの入退室を制限することが可能になっている。社員がセキュリティ・ゲートを通過する際には、ＩＤカードからセンサー等で社員コードを読み取らせることによって、セキュリティ・ゲートの管理システムには、セキュリティ・ゲートの通過時刻等が社員を識別する社員コード等と合わせてログとして記録される。
【００３６】
尚、ＩＤカードにおいて社員コードを記憶させる媒体は特に制限されるものではなく、例えば、磁気ストライプやＩＣチップ等を用いることができる。また、社員コードを読み取るシステムについても、接触型・非接触型のいずれであってもよく、読取方式ではなく社員が社員コードを入力するものであってもよい。また、セキュリティ・ゲートの設置場所についても、ビルへの入退館を管理するものであってもよいし、オフィスフロアやオフィスの特定のエリアへの入退室を管理するものであってもよく、特に限定されるものではない。
【００３７】
セキュリティ・ゲートを通過した社員が、自らのデスクに着席すると、業務用端末や電話を利用して業務を行うことになる。電話を使用する場合であれば、電話の発呼と着呼はいずれもＰＢＸを経由するので、ＰＢＸと接続されたＰＢＸから送られるデータからログデータを生成して保存するためのサーバにおいて電話機に割当てられた番号毎に発着呼の記録が行われる。また、社員が外出時において、予め登録された番号の携帯電話を使用してオフィスに発呼した場合には、ＰＢＸと接続されたサーバにおいて所定の携帯電話からの着呼があったことが記録される。
【００３８】
社員がパーソナルコンピュータ等の業務用端末を使用する場合には、ログオンから始まって、ユーザの認証結果、ファイルの閲覧や更新、プリンタへの出力などの操作、情報漏洩防止ツールによる監視結果、ログオフなど記録が、業務用端末に社員コード毎のログとして記録される。また、社内ＬＡＮに接続して、共有サーバへのアクセスなどの操作を行った場合には、このような操作にかかるログが、業務用端末やネットワーク監視サーバに社員コード毎にログとして記録される。業務用端末に記録するログについては、ネットワーク監視サーバにおいて社員コード毎に記録することとしてもよい。
【００３９】
さらに、社員が業務用端末を使用して、インターネットを通じて情報を収集したり、電子メールを送受信したりした場合には、ゲートウェイ監視サーバには社員コードやＩＰアドレス毎のインターネットへの接続情報が、メールサーバにはメールアドレス毎の電子メールの送受信情報が、それぞれ記録される。
【００４０】
社員がデスクで業務を行いながら、関連する資料の閲覧が必要になったとする。その資料が、社外秘の機密文書等であって、セキュリティ・キャビネットに収納されている場合には、ＩＤカードの社員コードや暗証番号の入力等によって開閉権限の認証が行われ、セキュリティ・キャビネットの開閉が行われる。セキュリティ・キャビネットの開閉記録は、セキュリティ・ゲートの管理システムに、社員を識別する社員コード等と合わせてログとして記録される。尚、ここで記録するログには、開閉の記録だけでなく、文書ファイル等にも識別コードを付与しておくことによって、使用した文書ファイルもログの一部として記録することとしてもよい。
【００４１】
このように、各々異なるシステムにおいて管理されるログデータは、社内ＬＡＮ等のネットワークを通じてログ統合サーバに収集される。収集されたログデータは、それぞれ操作者等を識別するためのコードが、社員コード、電話番号、メールアドレスのように異なることがあるため、ログ統合サーバでは同一の社員に関するログデータを一のテーブルに統合するための処理が行われる。社員毎に設けられたテーブルにまとめられたログデータを、各々のログに含まれる受付時間等の時間に関するデータをキーに時系列に沿ってソートすることによって、一の社員がオフィスに入室してから退出するまでの一連の行動や操作を把握することが可能になる。
【００４２】
尚、図１にはログを統合する対象となるシステムを例示しているが、対象となるシステムはここに示したものに限られるものではない。例えば、キャビネット以外のオフィスファニチャー、監視カメラ、侵入検知システム（ＩＤＳ）等で収集したログデータを対象にすることもできる。
【００４３】
図２は、本発明にかかるログ統合管理システムの構成を示している。図２と、図３〜１０に示したログデータの例を用いて、本発明によって企業内における社員毎のログデータを収集し、統合管理する方法について説明する。
【００４４】
本発明にかかるログ統合管理システム１０は、企業内のネットワークに接続されたコンピュータであって、ＣＰＵ、ＲＡＭ、ＲＯＭ、ＨＤＤが少なくとも備えられている。ＨＤＤには、統合ログ作成や異常判定などを行うためのアプリケーションプログラム等が記憶されていて、これらのアプリケーションプログラムによって所定の処理を実行するには、ＲＯＭに記憶された入力制御や出力制御などのハードウェア制御のための基本的な各種プログラムを起動し、ＲＡＭをアプリケーションプログラムのワークエリアとして機能させながら、ＣＰＵにより演算処理が行われる。
【００４５】
本発明にかかるログ統合管理システム１０は、社内ＬＡＮ等の企業内のネットワークを通じて、セキュリティ・ゲート管理サーバ３０、セキュリティ・キャビネット管理サーバ４０、認証システム５０、メールサーバ６０、ネットワーク監視サーバ７０、ＰＢＸシステム９０等の企業内の複数のシステムと接続されている。これらのシステムで収集されたログデータを入力ログフォーマット情報記憶部１１に指定されたフォーマットに合わせてログ受付部１４において受け付け、出力ログフォーマット情報記憶部１２に指定されたフォーマットに従って統合ログ作成部１５において社員毎の統合ログを作成し、統合ログ格納部１６の社員毎に設けられたテーブルに格納する。各々のシステムで収集されるログデータについて、以下に順を追って説明する。
【００４６】
セキュリティ・ゲート管理サーバ３０は、ビルへの入退館やオフィススペースへの入退室を管理するセキュリティ・ゲート３１、３２等において、社員の入退館又は入退室に関する情報を受け付けて、社内の全てのセキュリティ・ゲートにおける入退館又は入退室に関する情報をセキュリティ・ゲート管理サーバ３０において収集し、ログデータとして保存している。社員は、セキュリティ・ゲート３１、３２等を通過する際には、ＩＤカードの社員コードを読取装置等に読み取らせたり、社員コードを入力させたりすることによって、セキュリティ・ゲートを通過した社員と通過時刻等のログが、セキュリティ・ゲート管理サーバ３０に記録される。
【００４７】
図４は、セキュリティ・ゲート管理サーバ３０において収集されたログデータの一例を示すものであるが、セキュリティ・ゲートの通過毎に、ゲートＮｏ．、社員コード、アクション、日付、時間等のログが記録されている。例えば、Ｎｏ．１のログであれば、社員コード「００１」の社員が「０１」のゲートを「２００５年１月１９日」の「８時５０分３０秒」に通過して、オフィスに入室した際の記録となっている。これらのログデータによって、誰が、いつ、オフィスに入退室したかを把握することが可能になる。
【００４８】
セキュリティ・キャビネット管理サーバ４０は、機密文書等の重要文書を保管しておくセキュリティ・キャビネット４１、４２等を管理するものである。セキュリティ・キャビネット４１、４２の開閉時には、ＩＤカードの社員コードを読み取ったり、社員に社員コードを入力させたりすることによって、セキュリティ・キャビネットを利用した社員とキャビネットの開閉時刻等のログが、セキュリティ・キャビネット管理サーバ４０に記録される。
【００４９】
図５は、セキュリティ・キャビネット管理サーバ４０において収集されたログデータの一例を示すものであるが、セキュリティ・キャビネットを開閉する毎に、キャビネットＮｏ．、社員コード、アクション、日付、時間等のログが記録されている。例えば、Ｎｏ．１のログであれば、社員コード「００１」の社員が「１００１」のキャビネットを「２００５年１月１９日」の「９時１５分４８秒」に開けた際の記録となっている。これらのログデータによって、誰が、いつ、セキュリティ・キャビネットを開閉したかを把握することが可能になる。
【００５０】
次に、社員が業務に使用する業務用端末８０、８１を用いて行った操作に関するログについて説明する。社員が使用する業務用端末８０、８１は、使用権限の無い者による不正使用を防止するために、認証システム５０と接続されている。社員が業務用端末８０、８１を使用する際には、認証システム５０からユーザＩＤとパスワードの入力や、生体認証のための生体情報の読み取り等によるユーザの本人認証を要求される。
【００５１】
このようにして行われたユーザ認証の記録は、図６のログデータの例に示したように、本人認証に用いられた装置を識別する認証機器ＩＤ、社員コード、本人認証が行われた日付や時間等が記録される。かかる認証システム５０は、図２の例に示したように業務用端末８０、８１から社内ＬＡＮ等のネットワークを通じてアクセスするものであってもよいし、業務用端末８０、８１の内部に備えられていてもよい。特に後者の場合には、本人認証についてのログデータは、業務用端末８０、８１に記憶されることになる。
【００５２】
また、業務用端末８０、８１において行われた操作に関するログ、例えばコンピュータへのログオンやログオフ、ファイルの更新、プリンタや外部ディスクへの出力などについて、業務用端末８０、８１に記憶されているログデータについても、ログ統合管理システム１０において社員コード毎に収集することが好ましい。これらのログデータとして、業務用端末８０、８１のＯＳが管理するシステムログを用いることとしてもよい。
【００５３】
この他に、社員は業務用端末８０、８１に備えられたメーラを使用して、社内外に対して電子メールの送受信を行う場合がある。電子メールの送受信は、メールサーバ６０に設けられたメールアカウントを利用して行われるので、メールサーバ６０では、図７の例に示したように、送信又は受信に用いられた社員毎に割り当てられたメールアドレス、送受信の別、送信の場合は宛先アドレス、受信の場合には送信元アドレス、送受信の日付や時間等のログが記録される。例えば、Ｎｏ．１のログであれば、メールアドレス「ｘｘｘ＠ｙｙｙ．ｃｏｍ」が割り振られた社員から、「ｃｃｃ＠ｙｙｙ．ｃｏｍ」宛に、「２００５年１月１９日」の「１０時４５分２３秒」にメールが送信されたこと、メールアドレス「ｙｙｙ＠ｙｙｙ．ｃｏｍ」の社員が「ｚｚｚ＠ｘｙｚ．ｃｏｍ」の送信者から「２００５年１月１９日」の「１１時３７分４６秒」にメールを受信した際の記録となっている。これらのログデータによって、誰が、いつ、誰と、メールの送受信を行ったかを把握することが可能になる。
【００５４】
また、業務用端末８０、８１は、社内ＬＡＮ等の企業内のネットワークに接続されていて、社内や各部署で共有するファイルサーバやアプリケーションサーバへのアクセスや、ネットワークプリンタからの出力、その他の社内システムへのアクセスを行うことが可能になっている。ネットワーク監視サーバ７０は、これらのネットワークを介して行われた操作を監視しており、ネットワーク監視サーバ７０による監視結果に基づいて、所定の条件に合致すると動作の停止やネットワークとの遮断等を実行する情報漏洩防止ツールが設けられている場合がある。
【００５５】
図８は、ネットワーク監視サーバ７０に設けられた情報漏洩防止ツールにおいて収集されたログデータの一例を示すものであるが、ネットワークを介して実行された動作毎に、使用されたノードのＩＤ、アクション、日付、時間等のログが記録されている。例えば、Ｎｏ．１のログであれば、組織「Ａ」に設置されたノードＩＤ「１２」のノードを用いて、ユーザ名「ｔａｎａｋａ」が「２００５年１月１９日」の「１０時１２分４６秒」に、コンピュータにログオンしてネットワークに接続した際の記録となっている。これらのログデータによって、誰が、いつ、どのノードを用いてどのような操作を行ったかを把握することが可能になる。
【００５６】
業務用端末８０、８１による操作の他に、社員は電話によって業務連絡を行うことも少なくない。この場合、ＰＢＸと、ＰＢＸから収集したデータにより生成された電話のログを保存するサーバを含んで構成されるＰＢＸシステム９０において収集された電話の発呼や着呼を記録したログも、ログ統合管理システム１０において収集するログデータの対象になる。
【００５７】
図９の例に示したように、発呼又は着呼における社員毎に割り当てられた電話番号、発呼又は着呼の別、相手先の電話番号、日付、時間等のログが記録される。例えば、Ｎｏ．１のログであれば、電話番号「０３−１１１１−０１２３」から「０３−１２３４−５６７８」に向けて「２００５年１月１９日」「１３時３２分２秒」に発呼された際の記録となっている。これらのログデータによって、誰が、いつ、電話を用いて連絡をとったかを把握することが可能になる。
【００５８】
尚、ここで社員による通話として把握すべき電話番号は、社内で用いられた電話番号に限られるものではない。発呼や着呼の相手方の番号であっても、それが予め登録してある社員の自宅や携帯電話の電話番号等である場合には、それらを含む情報から社員の行動を把握できる場合もある。例えば、図９のＮｏ．３のログについて、電話番号「０３−１１１１−０１２３」に対して「０９０−１２３４−５６７８」から「２００５年１月１９日」「１５時８分２４秒」に発呼された記録について、「０９０−１２３４−５６７８」が社員の登録した携帯電話の番号である場合には、社外から会社に業務報告等を行った記録と把握することもできる。
【００５９】
以上のように、セキュリティ・ゲート管理サーバ３０、セキュリティ・キャビネット管理サーバ４０、認証システム５０、メールサーバ６０、ネットワーク監視サーバ７０、業務用端末８０、８１、ＰＢＸシステム９０等の企業内の複数のシステムにおいて収集されたログデータが、例えば１時間に１回、１日に１回といった、ユーザが任意に設定することが可能な所定のタイミングで、ログ統合管理システム１０のログ受付部１４において受け付けられる。
【００６０】
このように収集されるログデータは、ログ受付部１４において入力ログフォーマット情報記憶部１１の指定に従ってフォーマットが統一され、統合ログ作成部１５において、社員毎にとりまとめた統合ログが作成される。統合ログ作成部１５においては、収集したログデータを統合するためのアプリケーションプログラム等が起動されて、出力ログフォーマット情報記憶部１２及びログ紐付情報記憶部１３を参照して、統合ログを作成する。
【００６１】
出力ログフォーマット情報記憶部１２には、統合ログに含まれる項目等のフォーマットが記憶されている。ログ紐付情報記憶部１３には、項目が異なるログデータを社員毎に統合するために、キーとなる項目のデータの紐付け情報が記憶されている。出力ログフォーマット情報記憶部１２には、例えば、図１０の例に示したような項目が、フォーマットとして定義されている。ログ紐付情報記憶部１３には、例えば、図３の例に示したように、社員を特定するためのキーとなるデータを紐付けるための仮想ＩＤが設定され、仮想ＩＤ毎に設けられたレコードに、各々の項目において社員に付与されたコードやアドレスを記録することによって、ログを社員毎に紐付けるための情報が定義されている。
【００６２】
図３の例において、例えば、仮想ＩＤ「ａ０００１」に対応する社員を特定する情報として、社員コード「００１」、ユーザ名「ｔａｎａｋａ」、メールアドレス「ｘｘｘ＠ｙｙｙ．ｃｏｍ」、電話番号「０３−１１１１−０１２３」が定義されている。このようなログを紐付けるための情報は、統合ログのフォーマット情報と合わせて、システム管理者等によって、管理者端末２０から入力されることとなる。
【００６３】
統合ログ作成部１５では、出力ログフォーマット情報記憶部１２に記憶されたフォーマットに基づく社員毎に付与された仮想ＩＤ単位のテーブルとログ単位のレコードを設けて、ログ紐付情報記憶部１３に記憶された社員コード等の紐付情報を参照しながら、対応する仮想ＩＤについて設けられたテーブルに、ログ毎にレコードにデータを記録して統合ログを作成していく。
【００６４】
尚、出力ログフォーマット情報記憶部１２に記憶させる統合ログのフォーマットと、ログ紐付情報記憶部１３に記憶させる紐付情報については、管理者端末２０よりシステム管理者等が入力して設定することができる。入力ログフォーマット情報記憶部１１についても、システム管理者等が入力可能であることは同様である。
【００６５】
例えば、図１０に示した例であれば、ログ紐付情報記憶部１３に記憶されている紐付情報から、仮想ＩＤ「ａ０００１」によって紐付けられている社員コード「００１」、ユーザ名「ｔａｎａｋａ」、メールアドレス「ｘｘｘ＠ｙｙｙ．ｃｏｍ」、電話番号「０３−１１１１−０１２３」を含むログデータを同一の社員にかかるものであると特定する。その結果、図４に示したセキュリティ・ゲート管理サーバ３０におけるログＮｏ．「１」のレコード、図５に示したセキュリティ・キャビネット管理サーバ４０におけるログＮｏ．「１」のレコード、図６に示した認証システム５０におけるログＮｏ．「１」のレコード、図７に示したメールサーバ６０におけるログＮｏ．「１」のレコード、図８に示した情報漏洩ツールにおけるログＮｏ．「１」のレコード、図９に示したＰＢＸシステムにおけるログＮｏ．「１」及び「３」のレコードが特定され、これらのレコードの情報を仮想ＩＤ「ａ０００１」について設けられたテーブルに統合ログとして記録し、統合ログ格納部１６に格納する。
【００６６】
このようにして作成された統合ログを、時間をキーにソートすると、社員毎の行動履歴やコンピュータの操作履歴を、時系列に沿って把握することが可能になる。例えば、図１０の例であれば、仮想ＩＤ「ａ０００１」によって特定される社員が、
１．「２００５年１月１９日」「０８時５０分３０秒」に「ゲート０１」を通過し、
２．「２００５年１月１９日」「０９時１５分４８秒」に「キャビネット１００１」を開けて、
３．「２００５年１月１９日」「０９時２４分４５秒」に「認証システム」により認証され、
４．「２００５年１月１９日」「１０時１２分４６秒」に「情報漏洩防止ツール」が管理するシステムに「ログイン」し、
５．「２００５年１月１９日」「１０時４５分２３秒」に「ｘｘｘ＠ｙｙｙ.ｃｏｍ」から「ｃｃｃ＠ｙｙｙ.ｃｏｍ」宛にメールを「送信」し、
６．「２００５年１月１９日」「１３時３２分０２秒」に「０３−１１１１−０１２３」から「０３−１２３４−５６７８」に電話を「発呼」し、・・・
といった、出社から退社までの行動や操作を把握することが可能になる。このような情報は、組織内における内部統制の他、セキュリティ検診、ビジネス・コンプライアンス、フォレンジック、証跡管理などにおいて、有益な情報として活用することができるので、これらのデータをレポート形式で定期的に出力することとしてもよい。
【００６７】
このように時系列に沿って整理された統合ログに対して、一般に不正が発生しやすい行動パターン等をルール化してルール記憶部１８に記憶させておくと、統合ログがルール記憶部１８に記憶されたルールに該当する場合には、何らかの不正行為が行われた可能性があると判定することが可能である。不正のルールは、一のログ毎に対比するためのルールであってもよいし、一連の行動を示す複数のログをまとめて対比するためのルールであってもよい。また、社員毎の通常の行動パターンをユーザプロファイル記憶部１９に記憶させておくと、統合ログがユーザプロファイル記憶部１９に記憶されたプロファイルと乖離している場合には、何らかの不正行為が行われた可能性があると判定することも可能である。判定に用いるプロファイルは、一のログ毎の判定に用いてもよいし、一連の行動を示す複数のログをまとめて判定することに用いてもよい。
【００６８】
ログ統合管理システム１０の異常判定部１７においては、ルール記憶部１８とユーザプロファイル記憶部１９の一方又は双方を参照し、上記のように時系列に沿って整理された統合ログから把握される社員の行動履歴やコンピュータの操作履歴が異常である場合のパターンに該当するかの判定を行うことによって、統合ログから不正の可能性のある異常行為を検出することとしている。異常行為が検出された場合には、例えば、管理者端末２０に警告を表示することとしてもよいし、異常行為である可能性を判定した判定結果を、対象となったログデータのレコードに記録し、統合ログ格納部１６に格納することとしてもよい。判定結果の形式については、異常行為である可能性をスコアとして算出し、算出されたスコアを記録することとしてもよいし、文字や記号によって異常行為の可能性をランク分けし、各々のログデータに対応するランクを記録することとしてもよく、特に限定されるものではない。
【００６９】
上記の異常判定部１４における判定は、二以上の統合ログの履歴について異常の判定を行うことに限られるものではなく、各々のレコード毎にルールやプロファイルと対比して異常の可能性について判定し、判定結果をログデータ毎に設けられたレコードに各々記録し、統合ログ格納部１６に格納することとしてもよい。記録される判定結果の形式については、スコアやランクなど特に限定されないことについては、一の統合ログについて判定する場合と同様である。
【図面の簡単な説明】
【００７０】
【図１】本発明にかかるログ統合管理システムの実施形態の概要を示す図である。
【図２】本発明にかかるログ統合管理システムの構成を示すブロック図である。
【図３】本発明にかかるログ統合管理システムにおけるログ紐付情報テーブルの一例を示す図である。
【図４】本発明にかかるログ統合管理システムにおいて、セキュリティ・ゲート管理サーバで収集されるログデータの一例を示す図である。
【図５】本発明にかかるログ統合管理システムにおいて、キュリティ・キャビネット管理サーバで収集されるログデータの一例を示す図である。
【図６】本発明にかかるログ統合管理システムにおいて、認証システムで作成されるログデータの一例を示す図である。
【図７】本発明にかかるログ統合管理システムにおいて、メールサーバで収集されるログデータの一例を示す図である。
【図８】本発明にかかるログ統合管理システムにおいて、情報漏洩防止ツールで収集されるログデータの一例を示す図である。
【図９】本発明にかかるログ統合管理システムにおいて、ＰＢＸから収集したログデータの一例を示す図である。
【図１０】本発明にかかるログ統合管理システムによって作成される統合ログの一例を示す図である。
【符号の説明】
【００７１】
１０ ログ統合管理システム
１１ 入力ログフォーマット情報記憶部
１２ 出力ログフォーマット情報記憶部
１３ ログ紐付情報記憶部
１４ ログ受付部
１５ 統合ログ作成部
１６ 統合ログ格納部
１７ 異常判定部
１８ ルール記憶部
１９ ユーザプロファイル記憶部
２０ 管理者端末
３０ セキュリティ・ゲート管理サーバ
３１ セキュリティ・ゲート
３２ セキュリティ・ゲート
４０ セキュリティ・キャビネット管理サーバ
４１ セキュリティ・キャビネット
４２ セキュリティ・キャビネット
５０ 認証システム
６０ メールサーバ
７０ ネットワーク監視サーバ
８０ 業務用端末
８１ 業務用端末
９０ ＰＢＸシステム
【技術分野】
【０００１】
本発明は、企業等の組織の主として内部統制に有益な情報を提供することが可能な、ログ統合管理システム及びログ統合管理方法に関するものである。
【背景技術】
【０００２】
コンピュータの使用においては、障害発生時の原因追跡等のために、コンピュータへの操作やコンピュータが実行した処理の記録として、ログの管理が行なわれることが一般的である。また、コンピュータをネットワークに接続して利用する場合には、外部からの不正アクセスの監視や、ネットワークを通じたデータの送受信が行われたことを記録するなどの目的で、ログの記録が重要となることが多い。
【０００３】
ネットワークを介してコンピュータを利用することが一般的になると、単に１台のコンピュータの操作記録としてログを管理するだけでなく、ネットワークを介して複数のコンピュータにアクセスして行われた一連の行為を、ログとして記録することが求められる場合もある。このようなニーズに対応して、複数のシステムにおいて個別に収集されたログを、一連の取引単位に統合する発明が開示されている（例えば、特許文献１参照。）。
【０００４】
【特許文献１】特開２００１−２２９０５２号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
特許文献１記載の発明は、オンラインショッピングにおいて、商品の注文から決済までに行なわれた顧客の一連の操作について、ＷｅｂサーバやＥＣサーバ、決済サーバ等の複数のシステムで記録されたログを、１レコードに１回の取引に関連するログを統合して管理しようとするものである。
【０００６】
特許文献１記載の発明によると、例えば、顧客から「注文した記憶がない」といった問い合わせに対応する際に、該顧客の取引にかかるログが１レコードとして管理されているため、一連の操作の追跡調査が容易となるという効果が生じる。この発明では、「Ｗｅｂサーバにアクセスした」、「注文画面からデータを入力した」、「決済サーバで承認番号が発行された」といった個々の操作や処理が実際に行われたことを記録するログが管理されているだけであって、どの操作や処理がいつ、どのような順序で行われたか、という一連の操作に関する時系列的な変化を把握することができない。
【０００７】
また、特許文献１記載の発明は、１回の取引毎のログを１レコードに統合し、取引単位での操作履歴を管理することを目的とするものであって、他の取引や、取引以外における顧客のコンピュータの操作履歴にかかるログを管理し得るものではない。さらに、特許文献１記載の発明は、顧客が一のコンピュータからＷｅｂサーバ、ＥＣサーバなどに順にアクセスしたコンピュータからの操作履歴を記録するものであって、顧客自身の物理的な行動記録までも管理し得るものではない。
【０００８】
一方、企業等の組織においては、組織内におけるコンプライアンスが重要な課題とされるようになりながらも、組織内における不正行為が発覚することが珍しくなく、効果的な内部統制のための体制作りが求められている。組織における内部統制のためには、個々の構成員の行動を的確に把握することが必要であり、各々が使用するコンピュータの操作履歴を記録したログも有力な情報の一つとなるが、コンピュータの操作は構成員の行動の一部に過ぎないため、該ログのみでは行動履歴を把握するためには不十分である。
【０００９】
このような内部統制において求められる事項に対して、特許文献１記載の発明を適用すると、構成員がコンピュータを用いて行った一連の操作単位での情報を収集することは可能になるものの、コンピュータを使用しない構成員の物理的な行動（例えばオフィスへの入退室）の履歴を把握できない、断続的に行われる同一の構成員による行為や操作を構成員単位で時系列に沿って把握することができない、といった限界が生じることになる。
【００１０】
本発明は、このような課題に対応するためになされたものであり、企業等の組織内において、物理的な行動も含めた構成員単位の行動や操作の履歴を時系列に沿って管理し、主として内部統制に有益な情報を提供することが可能な、ログ統合管理システム及びログ統合管理方法を提供することを目的とするものである。
【課題を解決するための手段】
【００１１】
このような課題を解決する本発明は、組織内における構成員の行為からログを収集して統合管理する内部統制のためのログ統合管理システムであって、オフィスの入退室のために設けられたセキュリティ・ゲートにおいて、一の構成員について第１の識別コードをキーに収集した第１のログデータを受け付ける第１の受付手段と、前記構成員が操作権限を有するコンピュータにおいて、前記構成員について第２の識別コードをキーに収集した第２のログデータを受け付ける第２の受付手段と、前記構成員が接続権限を有するコンピュータネットワークにおいて、前記構成員について第３の識別コードをキーに収集した第３のログデータを受け付ける第３の受付手段と、前記構成員を識別する統合用識別コードに、少なくとも前記第１の識別コード、前記第２の識別コード、前記第３の識別コードを関連付けて記憶する記憶手段と、前記第１のログデータ、前記第２のログデータ、前記第３のログデータを、前記記憶手段を参照して前記統合用識別コード毎に設けられたテーブルに、フォーマットを統一した統合ログとして格納する格納手段と、を備えることを特徴とするログ統合管理システムである。
【００１２】
また、本発明は、前記構成員の利用権限を確認して開閉が可能となるセキュリティ・キャビネットにおいて、前記構成員について第４の識別コードをキーに収集した第４のログデータを受け付ける第４の受付手段を備えていて、前記記憶手段には、前記統合用識別コードに、少なくとも前記第４の識別コードが関連付けて記憶されていて、前記格納手段は、前記第４のログデータを、前記記憶手段を参照して前記テーブルに、フォーマットを統一した統合ログとして格納すること、を特徴とすることもできる。
【００１３】
さらに、本発明は、前記構成員が送受信する電子メールを管理するメールサーバにおいて、前記構成員に割当てられたメールアドレスをキーに収集した第５のログデータを受け付ける第５の受付手段を備えていて、前記記憶手段には、前記統合用識別コードに、少なくとも前記メールアドレスが関連付けて記憶されていて、前記格納手段は、前記第５のログデータを、前記記憶手段を参照して前記テーブルに、フォーマットを統一した統合ログとして格納すること、を特徴としてもよい。
【００１４】
さらに、本発明は、前記構成員が発呼又は着呼する通話情報を管理する交換機から、前記構成員に割当てられた電話番号をキーに収集した第６のログデータを受け付ける第６の受付手段を備えていて、前記記憶手段には、前記統合用識別コードに、少なくとも前記電話番号が関連付けて記憶されていて、前記格納手段は、前記第６のログデータを、前記記憶手段を参照して前記テーブルに、フォーマットを統一した統合ログとして格納すること、を特徴としてもよい。
【００１５】
本発明によると、構成員のオフィスへの入退室記録、構成員のコンピュータの操作記録、構成員のＬＡＮ等への接続記録を、同一のフォーマットに統一して収集し、構成員毎のログとして統合することによって、構成員毎の内部統制に有益な情報を収集することが可能になる。さらに、セキュリティ・キャビネットの開閉記録、電子メールの送受信機録、電話の発着呼の記録を含めることによって、より精緻な情報を把握することが可能になる。
【００１６】
さらに、本発明は、前記格納手段のテーブルに格納された統合ログを、各々のログに含まれるログの記録時間をキーにソートして、前記構成員の行動及び操作の履歴を示す履歴データを作成する履歴データ作成手段と、前記履歴データに対応して、異常と判定すべき行動又は操作のパターンをルールとして記憶したルール記憶手段と、前記履歴データ作成手段が作成した履歴データと前記ルール記憶手段に記憶されたルールとを対比して、前記履歴データが前記ルールの少なくとも一つに合致する場合には、前記構成員の行動又は操作が異常であると判定する判定手段と、を備えることを特徴としてもよい。
【００１７】
さらに、本発明は、前記格納手段のテーブルに格納された統合ログを、各々のログに含まれるログの記録時間をキーにソートして、前記構成員の行動及び操作の履歴を示す履歴データを作成する履歴データ作成手段と、構成員毎に作成された過去の履歴データから、構成員毎の行動又は操作のパターンをユーザプロファイルとして記憶するプロファイル記憶手段と、前記履歴データ作成手段が作成した履歴データと前記プロファイル記憶手段に記憶された前記構成員についてのプロファイルとを対比して、前記履歴データが前記プロファイルに照らして所定のルールに合致しないと判断される場合には、前記構成員の行動又は操作が異常であると判定する判定手段と、を備えることを特徴としてもよい。
【００１８】
このように、本発明においては、構成員毎に統合された統合ログから把握される履歴を、異常と判定すべき一般的なルールや、構成員の過去の行動パターンと対比することによって、不正の可能性がある行為を速やかに検知することが可能になる。
【００１９】
さらに、本発明は、前記格納手段に格納された統合ログに対応して、異常と判定すべき行動又は操作のパターンをルールとして記憶したルール記憶手段と、前記格納手段に格納された統合ログと前記ルール記憶手段に記憶されたルールとを各々対比して、前記構成員の行動又は操作が異常であるかを判定する判定手段と、前記統合ログに、前記判定手段による判定結果を記録して、前記格納手段に格納された統合ログの少なくとも一部を更新する更新手段と、を備えることを特徴としてもよい。
【００２０】
さらに、本発明は、構成員毎に前記格納手段に格納された統合ログから、構成員毎の行動又は操作のパターンをユーザプロファイルとして記憶するプロファイル記憶手段と、前記格納手段に格納された統合ログと前記プロファイル記憶手段に記憶された前記構成員についてのプロファイルとを各々対比して、前記構成員の行動又は操作が異常であるかを判定する判定手段と、前記統合ログに、前記判定手段による判定結果を記録して、前記格納手段に格納された統合ログの少なくとも一部を更新する更新手段と、を備えることを特徴としてもよい。
【００２１】
このように、本発明においては、各々の統合ログを、異常と判定すべき一般的なルールや、構成員の過去の行動パターンと対比することによって、不正の可能性がある行為を統合ログの一部にスコアとして記録し、内部統制等のための情報として活用することが可能になる。尚、ここで記録されるスコアは、異常である可能性を把握するのに用いられるものであれば、数値で示されるスコアに限定されるものではない。
【００２２】
さらに、本発明は、ログ統合管理システムの各々の構成に対応して、各々の構成のログ統合管理システムによって実行されるログ統合管理方法として特定することもできる。
【００２３】
つまり、本発明にかかるログ統合管理方法は、組織内における構成員の行為からログを収集して統合管理する内部統制のためのログ統合管理方法であって、ログの統合管理を行うコンピュータシステムが、オフィスの入退室のために設けられたセキュリティ・ゲートにおいて、一の構成員について第１の識別コードをキーに収集した第１のログデータを受け付ける第１の受付ステップと、前記コンピュータシステムが、前記構成員が操作権限を有するコンピュータにおいて、前記構成員について第２の識別コードをキーに収集した第２のログデータを受け付ける第２の受付ステップと、前記コンピュータシステムが、前記構成員が接続権限を有するコンピュータネットワークにおいて、前記構成員について第３の識別コードをキーに収集した第３のログデータを受け付ける第３の受付ステップと、前記コンピュータシステムが、前記第１のログデータ、前記第２のログデータ、前記第３のログデータを、前記構成員を識別する統合用識別コードに、少なくとも前記第１の識別コード、前記第２の識別コード、前記第３の識別コードを関連付けて記憶した記憶部を参照して、前記統合用識別コード毎に設けられたテーブルに、フォーマットを統一した統合ログとして格納する格納ステップと、を有することを特徴とするログ統合管理方法である。
【００２４】
また、本発明にかかるログ統合管理方法は、前記コンピュータシステムが、前記構成員の利用権限を確認して開閉が可能となるセキュリティ・キャビネットにおいて、前記構成員について第４の識別コードをキーに収集した第４のログデータを受け付ける第４の受付ステップを有していて、前記記憶部には、前記統合用識別コードに、少なくとも前記第４の識別コードが関連付けて記憶されていて、前記格納ステップにおいては、前記第４のログデータを、前記記憶部を参照して前記テーブルに、フォーマットを統一した統合ログとして格納すること、を特徴とすることもできる。
【００２５】
さらに、本発明にかかるログ統合管理方法は、前記コンピュータシステムが、前記構成員が送受信する電子メールを管理するメールサーバにおいて、前記構成員に割当てられたメールアドレスをキーに収集した第５のログデータを受け付ける第５の受付ステップを有していて、前記記憶部には、前記統合用識別コードに、少なくとも前記メールアドレスが関連付けて記憶されていて、前記格納ステップにおいては、前記第５のログデータを、前記記憶部を参照して前記テーブルに、フォーマットを統一した統合ログとして格納すること、を特徴としてもよい。
【００２６】
さらに、本発明にかかるログ統合管理方法は、前記コンピュータシステムが、前記構成員が発呼又は着呼する通話情報を管理する交換機から、前記構成員に割当てられた電話番号をキーに収集した第６のログデータを受け付ける第６の受付ステップを有していて、前記記憶部には、前記統合用識別コードに、少なくとも前記電話番号が関連付けて記憶されていて、前記格納ステップにおいては、前記第６のログデータを、前記記憶部を参照して前記テーブルに、フォーマットを統一した統合ログとして格納すること、を特徴としてもよい。
【００２７】
さらに、本発明にかかるログ統合管理方法は、前記コンピュータシステムが、前記格納ステップでテーブルに格納された統合ログを、各々のログに含まれるログの記録時間をキーにソートして、前記構成員の行動及び操作の履歴を示す履歴データを作成する履歴データ作成ステップと、前記コンピュータシステムが、前記履歴データ作成ステップで作成した履歴データと、前記履歴データに対応して、異常と判定すべき行動又は操作のパターンをルールとして記憶したルール記憶部に記憶されたルールとを対比して、前記履歴データ作成ステップで作成した履歴データが前記ルールの少なくとも一つに合致する場合には、前記構成員の行動又は操作が異常であると判定する判定ステップと、を有することを特徴としてもよい。
【００２８】
さらに、本発明にかかるログ統合管理方法は、前記コンピュータシステムが、前記格納ステップでテーブルに格納された統合ログを、各々のログに含まれるログの記録時間をキーにソートして、前記構成員の行動及び操作の履歴を示す履歴データを作成する履歴データ作成ステップと、前記コンピュータシステムが、前記履歴データ作成ステップで作成した履歴データと、構成員毎に作成された過去の履歴データから、構成員毎の行動又は操作のパターンをユーザプロファイルとして記憶するプロファイル記憶部に記憶された前記構成員についてのプロファイルとを対比して、前記履歴データ作成ステップで作成した履歴データが前記プロファイルに照らして所定のルールに合致しないと判断される場合には、前記構成員の行動又は操作が異常であると判定する判定ステップと、を有することを特徴としてもよい。
【００２９】
さらに、本発明にかかるログ統合管理方法は、前記コンピュータシステムが、前記格納部に格納された統合ログと、異常と判定すべき行動又は操作のパターンをルールとして記憶したルール記憶部に記憶されたルールとを各々対比して、前記構成員の行動又は操作が異常であるかを判定する判定ステップと、前記コンピュータシステムが、前記統合ログに、前記ステップにおいて判定した判定結果を記録して、前記格納部に格納された統合ログの少なくとも一部を更新する更新ステップと、を有することを特徴としてもよい。
【００３０】
さらに、本発明にかかるログ統合管理方法は、前記コンピュータシステムが、前記格納部に格納された統合ログと、構成員毎に前記格納部に格納された統合ログから、構成員毎の行動又は操作のパターンをユーザプロファイルとして記憶するプロファイル記憶部に記憶された前記構成員についてのプロファイルとを各々対比して、前記構成員の行動又は操作が異常であるかを判定する判定ステップと、前記コンピュータシステムが、前記統合ログに、前記ステップにおいて判定した判定結果を記録して、前記格納部に格納された統合ログの少なくとも一部を更新する更新ステップと、を有することを特徴としてもよい。
【発明の効果】
【００３１】
本発明によって、異なるシステムにおいて各々収集されていたログデータを統合し、物理的な行動も含めた構成員単位の行動や操作の履歴を時系列に沿って管理することによって、各構成員の詳細な行動や操作を容易に把握することが可能になり、主として内部統制のために有益な情報を得ることができる。
【発明を実施するための最良の形態】
【００３２】
本発明を実施するための最良の形態について、図面を用いて以下に詳細に説明する。尚、以下の説明におけるログのフォーマット、ログを収集する対象となるシステムなどの実施形態については、本発明を実施する場合の一例であって、本発明はかかる実施形態に限定されるものではない。また、以下においては、本発明にかかるログ統合管理システムを企業において導入する例について説明するが、本発明の実施は企業内に限定されるものではなく、企業以外の組織においても用いることができる。
【００３３】
図１は、本発明にかかるログ統合管理システムの実施形態の概要を示す図である。図２は、本発明にかかるログ統合管理システムの構成を示すブロック図である。図３は、本発明にかかるログ統合管理システムにおけるログ紐付情報テーブルの一例を示す図である。図４は、本発明にかかるログ統合管理システムにおいて、セキュリティ・ゲート管理サーバで収集されるログデータの一例を示す図である。図５は、本発明にかかるログ統合管理システムにおいて、キュリティ・キャビネット管理サーバで収集されるログデータの一例を示す図である。図６は、本発明にかかるログ統合管理システムにおいて、認証システムで作成されるログデータの一例を示す図である。図７は、本発明にかかるログ統合管理システムにおいて、メールサーバで収集されるログデータの一例を示す図である。図８は、本発明にかかるログ統合管理システムにおいて、情報漏洩防止ツールで収集されるログデータの一例を示す図である。図９は、本発明にかかるログ統合管理システムにおいて、ＰＢＸから収集したログデータの一例を示す図である。図１０は、本発明にかかるログ統合管理システムによって作成される統合ログの一例を示す図である。
【００３４】
図１を用いて、本発明にかかるログ統合管理システムの概要と運用形態について説明する。本発明にかかるログ統合管理システムは、図１に示したように、オフィスへの入退室を管理するセキュリティ・ゲート、秘密資料等を収納するセキュリティ・キャビネット、社員が業務で使用する業務用端末、社内ＬＡＮへの接続状況や共有サーバへのアクセス状況などを管理するネットワーク管理サーバ、電子メールの送受信を行うメールサーバ、オフィス内への電話機を統括するＰＢＸ、社内ＬＡＮとインターネットを接続するゲートウェイを監視するゲートウェイ監視サーバ等の複数の異なるシステムにおいて収集されたログデータを、ログ統合サーバにおいて社員毎に統合して管理するよう構成されている。
【００３５】
オフィスに入退室する社員には、入退室の権限があることを証明し、かつ各々の社員を識別するための社員コードが記憶されたＩＤカードが配布されている。入退室の管理が必要なオフィスへの入口にはセキュリティ・ゲートが設けられていて、セキュリティ・ゲートを通過する際には、ＩＤカードにより入退室の権限を認証することによって、オフィスへの入退室を制限することが可能になっている。社員がセキュリティ・ゲートを通過する際には、ＩＤカードからセンサー等で社員コードを読み取らせることによって、セキュリティ・ゲートの管理システムには、セキュリティ・ゲートの通過時刻等が社員を識別する社員コード等と合わせてログとして記録される。
【００３６】
尚、ＩＤカードにおいて社員コードを記憶させる媒体は特に制限されるものではなく、例えば、磁気ストライプやＩＣチップ等を用いることができる。また、社員コードを読み取るシステムについても、接触型・非接触型のいずれであってもよく、読取方式ではなく社員が社員コードを入力するものであってもよい。また、セキュリティ・ゲートの設置場所についても、ビルへの入退館を管理するものであってもよいし、オフィスフロアやオフィスの特定のエリアへの入退室を管理するものであってもよく、特に限定されるものではない。
【００３７】
セキュリティ・ゲートを通過した社員が、自らのデスクに着席すると、業務用端末や電話を利用して業務を行うことになる。電話を使用する場合であれば、電話の発呼と着呼はいずれもＰＢＸを経由するので、ＰＢＸと接続されたＰＢＸから送られるデータからログデータを生成して保存するためのサーバにおいて電話機に割当てられた番号毎に発着呼の記録が行われる。また、社員が外出時において、予め登録された番号の携帯電話を使用してオフィスに発呼した場合には、ＰＢＸと接続されたサーバにおいて所定の携帯電話からの着呼があったことが記録される。
【００３８】
社員がパーソナルコンピュータ等の業務用端末を使用する場合には、ログオンから始まって、ユーザの認証結果、ファイルの閲覧や更新、プリンタへの出力などの操作、情報漏洩防止ツールによる監視結果、ログオフなど記録が、業務用端末に社員コード毎のログとして記録される。また、社内ＬＡＮに接続して、共有サーバへのアクセスなどの操作を行った場合には、このような操作にかかるログが、業務用端末やネットワーク監視サーバに社員コード毎にログとして記録される。業務用端末に記録するログについては、ネットワーク監視サーバにおいて社員コード毎に記録することとしてもよい。
【００３９】
さらに、社員が業務用端末を使用して、インターネットを通じて情報を収集したり、電子メールを送受信したりした場合には、ゲートウェイ監視サーバには社員コードやＩＰアドレス毎のインターネットへの接続情報が、メールサーバにはメールアドレス毎の電子メールの送受信情報が、それぞれ記録される。
【００４０】
社員がデスクで業務を行いながら、関連する資料の閲覧が必要になったとする。その資料が、社外秘の機密文書等であって、セキュリティ・キャビネットに収納されている場合には、ＩＤカードの社員コードや暗証番号の入力等によって開閉権限の認証が行われ、セキュリティ・キャビネットの開閉が行われる。セキュリティ・キャビネットの開閉記録は、セキュリティ・ゲートの管理システムに、社員を識別する社員コード等と合わせてログとして記録される。尚、ここで記録するログには、開閉の記録だけでなく、文書ファイル等にも識別コードを付与しておくことによって、使用した文書ファイルもログの一部として記録することとしてもよい。
【００４１】
このように、各々異なるシステムにおいて管理されるログデータは、社内ＬＡＮ等のネットワークを通じてログ統合サーバに収集される。収集されたログデータは、それぞれ操作者等を識別するためのコードが、社員コード、電話番号、メールアドレスのように異なることがあるため、ログ統合サーバでは同一の社員に関するログデータを一のテーブルに統合するための処理が行われる。社員毎に設けられたテーブルにまとめられたログデータを、各々のログに含まれる受付時間等の時間に関するデータをキーに時系列に沿ってソートすることによって、一の社員がオフィスに入室してから退出するまでの一連の行動や操作を把握することが可能になる。
【００４２】
尚、図１にはログを統合する対象となるシステムを例示しているが、対象となるシステムはここに示したものに限られるものではない。例えば、キャビネット以外のオフィスファニチャー、監視カメラ、侵入検知システム（ＩＤＳ）等で収集したログデータを対象にすることもできる。
【００４３】
図２は、本発明にかかるログ統合管理システムの構成を示している。図２と、図３〜１０に示したログデータの例を用いて、本発明によって企業内における社員毎のログデータを収集し、統合管理する方法について説明する。
【００４４】
本発明にかかるログ統合管理システム１０は、企業内のネットワークに接続されたコンピュータであって、ＣＰＵ、ＲＡＭ、ＲＯＭ、ＨＤＤが少なくとも備えられている。ＨＤＤには、統合ログ作成や異常判定などを行うためのアプリケーションプログラム等が記憶されていて、これらのアプリケーションプログラムによって所定の処理を実行するには、ＲＯＭに記憶された入力制御や出力制御などのハードウェア制御のための基本的な各種プログラムを起動し、ＲＡＭをアプリケーションプログラムのワークエリアとして機能させながら、ＣＰＵにより演算処理が行われる。
【００４５】
本発明にかかるログ統合管理システム１０は、社内ＬＡＮ等の企業内のネットワークを通じて、セキュリティ・ゲート管理サーバ３０、セキュリティ・キャビネット管理サーバ４０、認証システム５０、メールサーバ６０、ネットワーク監視サーバ７０、ＰＢＸシステム９０等の企業内の複数のシステムと接続されている。これらのシステムで収集されたログデータを入力ログフォーマット情報記憶部１１に指定されたフォーマットに合わせてログ受付部１４において受け付け、出力ログフォーマット情報記憶部１２に指定されたフォーマットに従って統合ログ作成部１５において社員毎の統合ログを作成し、統合ログ格納部１６の社員毎に設けられたテーブルに格納する。各々のシステムで収集されるログデータについて、以下に順を追って説明する。
【００４６】
セキュリティ・ゲート管理サーバ３０は、ビルへの入退館やオフィススペースへの入退室を管理するセキュリティ・ゲート３１、３２等において、社員の入退館又は入退室に関する情報を受け付けて、社内の全てのセキュリティ・ゲートにおける入退館又は入退室に関する情報をセキュリティ・ゲート管理サーバ３０において収集し、ログデータとして保存している。社員は、セキュリティ・ゲート３１、３２等を通過する際には、ＩＤカードの社員コードを読取装置等に読み取らせたり、社員コードを入力させたりすることによって、セキュリティ・ゲートを通過した社員と通過時刻等のログが、セキュリティ・ゲート管理サーバ３０に記録される。
【００４７】
図４は、セキュリティ・ゲート管理サーバ３０において収集されたログデータの一例を示すものであるが、セキュリティ・ゲートの通過毎に、ゲートＮｏ．、社員コード、アクション、日付、時間等のログが記録されている。例えば、Ｎｏ．１のログであれば、社員コード「００１」の社員が「０１」のゲートを「２００５年１月１９日」の「８時５０分３０秒」に通過して、オフィスに入室した際の記録となっている。これらのログデータによって、誰が、いつ、オフィスに入退室したかを把握することが可能になる。
【００４８】
セキュリティ・キャビネット管理サーバ４０は、機密文書等の重要文書を保管しておくセキュリティ・キャビネット４１、４２等を管理するものである。セキュリティ・キャビネット４１、４２の開閉時には、ＩＤカードの社員コードを読み取ったり、社員に社員コードを入力させたりすることによって、セキュリティ・キャビネットを利用した社員とキャビネットの開閉時刻等のログが、セキュリティ・キャビネット管理サーバ４０に記録される。
【００４９】
図５は、セキュリティ・キャビネット管理サーバ４０において収集されたログデータの一例を示すものであるが、セキュリティ・キャビネットを開閉する毎に、キャビネットＮｏ．、社員コード、アクション、日付、時間等のログが記録されている。例えば、Ｎｏ．１のログであれば、社員コード「００１」の社員が「１００１」のキャビネットを「２００５年１月１９日」の「９時１５分４８秒」に開けた際の記録となっている。これらのログデータによって、誰が、いつ、セキュリティ・キャビネットを開閉したかを把握することが可能になる。
【００５０】
次に、社員が業務に使用する業務用端末８０、８１を用いて行った操作に関するログについて説明する。社員が使用する業務用端末８０、８１は、使用権限の無い者による不正使用を防止するために、認証システム５０と接続されている。社員が業務用端末８０、８１を使用する際には、認証システム５０からユーザＩＤとパスワードの入力や、生体認証のための生体情報の読み取り等によるユーザの本人認証を要求される。
【００５１】
このようにして行われたユーザ認証の記録は、図６のログデータの例に示したように、本人認証に用いられた装置を識別する認証機器ＩＤ、社員コード、本人認証が行われた日付や時間等が記録される。かかる認証システム５０は、図２の例に示したように業務用端末８０、８１から社内ＬＡＮ等のネットワークを通じてアクセスするものであってもよいし、業務用端末８０、８１の内部に備えられていてもよい。特に後者の場合には、本人認証についてのログデータは、業務用端末８０、８１に記憶されることになる。
【００５２】
また、業務用端末８０、８１において行われた操作に関するログ、例えばコンピュータへのログオンやログオフ、ファイルの更新、プリンタや外部ディスクへの出力などについて、業務用端末８０、８１に記憶されているログデータについても、ログ統合管理システム１０において社員コード毎に収集することが好ましい。これらのログデータとして、業務用端末８０、８１のＯＳが管理するシステムログを用いることとしてもよい。
【００５３】
この他に、社員は業務用端末８０、８１に備えられたメーラを使用して、社内外に対して電子メールの送受信を行う場合がある。電子メールの送受信は、メールサーバ６０に設けられたメールアカウントを利用して行われるので、メールサーバ６０では、図７の例に示したように、送信又は受信に用いられた社員毎に割り当てられたメールアドレス、送受信の別、送信の場合は宛先アドレス、受信の場合には送信元アドレス、送受信の日付や時間等のログが記録される。例えば、Ｎｏ．１のログであれば、メールアドレス「ｘｘｘ＠ｙｙｙ．ｃｏｍ」が割り振られた社員から、「ｃｃｃ＠ｙｙｙ．ｃｏｍ」宛に、「２００５年１月１９日」の「１０時４５分２３秒」にメールが送信されたこと、メールアドレス「ｙｙｙ＠ｙｙｙ．ｃｏｍ」の社員が「ｚｚｚ＠ｘｙｚ．ｃｏｍ」の送信者から「２００５年１月１９日」の「１１時３７分４６秒」にメールを受信した際の記録となっている。これらのログデータによって、誰が、いつ、誰と、メールの送受信を行ったかを把握することが可能になる。
【００５４】
また、業務用端末８０、８１は、社内ＬＡＮ等の企業内のネットワークに接続されていて、社内や各部署で共有するファイルサーバやアプリケーションサーバへのアクセスや、ネットワークプリンタからの出力、その他の社内システムへのアクセスを行うことが可能になっている。ネットワーク監視サーバ７０は、これらのネットワークを介して行われた操作を監視しており、ネットワーク監視サーバ７０による監視結果に基づいて、所定の条件に合致すると動作の停止やネットワークとの遮断等を実行する情報漏洩防止ツールが設けられている場合がある。
【００５５】
図８は、ネットワーク監視サーバ７０に設けられた情報漏洩防止ツールにおいて収集されたログデータの一例を示すものであるが、ネットワークを介して実行された動作毎に、使用されたノードのＩＤ、アクション、日付、時間等のログが記録されている。例えば、Ｎｏ．１のログであれば、組織「Ａ」に設置されたノードＩＤ「１２」のノードを用いて、ユーザ名「ｔａｎａｋａ」が「２００５年１月１９日」の「１０時１２分４６秒」に、コンピュータにログオンしてネットワークに接続した際の記録となっている。これらのログデータによって、誰が、いつ、どのノードを用いてどのような操作を行ったかを把握することが可能になる。
【００５６】
業務用端末８０、８１による操作の他に、社員は電話によって業務連絡を行うことも少なくない。この場合、ＰＢＸと、ＰＢＸから収集したデータにより生成された電話のログを保存するサーバを含んで構成されるＰＢＸシステム９０において収集された電話の発呼や着呼を記録したログも、ログ統合管理システム１０において収集するログデータの対象になる。
【００５７】
図９の例に示したように、発呼又は着呼における社員毎に割り当てられた電話番号、発呼又は着呼の別、相手先の電話番号、日付、時間等のログが記録される。例えば、Ｎｏ．１のログであれば、電話番号「０３−１１１１−０１２３」から「０３−１２３４−５６７８」に向けて「２００５年１月１９日」「１３時３２分２秒」に発呼された際の記録となっている。これらのログデータによって、誰が、いつ、電話を用いて連絡をとったかを把握することが可能になる。
【００５８】
尚、ここで社員による通話として把握すべき電話番号は、社内で用いられた電話番号に限られるものではない。発呼や着呼の相手方の番号であっても、それが予め登録してある社員の自宅や携帯電話の電話番号等である場合には、それらを含む情報から社員の行動を把握できる場合もある。例えば、図９のＮｏ．３のログについて、電話番号「０３−１１１１−０１２３」に対して「０９０−１２３４−５６７８」から「２００５年１月１９日」「１５時８分２４秒」に発呼された記録について、「０９０−１２３４−５６７８」が社員の登録した携帯電話の番号である場合には、社外から会社に業務報告等を行った記録と把握することもできる。
【００５９】
以上のように、セキュリティ・ゲート管理サーバ３０、セキュリティ・キャビネット管理サーバ４０、認証システム５０、メールサーバ６０、ネットワーク監視サーバ７０、業務用端末８０、８１、ＰＢＸシステム９０等の企業内の複数のシステムにおいて収集されたログデータが、例えば１時間に１回、１日に１回といった、ユーザが任意に設定することが可能な所定のタイミングで、ログ統合管理システム１０のログ受付部１４において受け付けられる。
【００６０】
このように収集されるログデータは、ログ受付部１４において入力ログフォーマット情報記憶部１１の指定に従ってフォーマットが統一され、統合ログ作成部１５において、社員毎にとりまとめた統合ログが作成される。統合ログ作成部１５においては、収集したログデータを統合するためのアプリケーションプログラム等が起動されて、出力ログフォーマット情報記憶部１２及びログ紐付情報記憶部１３を参照して、統合ログを作成する。
【００６１】
出力ログフォーマット情報記憶部１２には、統合ログに含まれる項目等のフォーマットが記憶されている。ログ紐付情報記憶部１３には、項目が異なるログデータを社員毎に統合するために、キーとなる項目のデータの紐付け情報が記憶されている。出力ログフォーマット情報記憶部１２には、例えば、図１０の例に示したような項目が、フォーマットとして定義されている。ログ紐付情報記憶部１３には、例えば、図３の例に示したように、社員を特定するためのキーとなるデータを紐付けるための仮想ＩＤが設定され、仮想ＩＤ毎に設けられたレコードに、各々の項目において社員に付与されたコードやアドレスを記録することによって、ログを社員毎に紐付けるための情報が定義されている。
【００６２】
図３の例において、例えば、仮想ＩＤ「ａ０００１」に対応する社員を特定する情報として、社員コード「００１」、ユーザ名「ｔａｎａｋａ」、メールアドレス「ｘｘｘ＠ｙｙｙ．ｃｏｍ」、電話番号「０３−１１１１−０１２３」が定義されている。このようなログを紐付けるための情報は、統合ログのフォーマット情報と合わせて、システム管理者等によって、管理者端末２０から入力されることとなる。
【００６３】
統合ログ作成部１５では、出力ログフォーマット情報記憶部１２に記憶されたフォーマットに基づく社員毎に付与された仮想ＩＤ単位のテーブルとログ単位のレコードを設けて、ログ紐付情報記憶部１３に記憶された社員コード等の紐付情報を参照しながら、対応する仮想ＩＤについて設けられたテーブルに、ログ毎にレコードにデータを記録して統合ログを作成していく。
【００６４】
尚、出力ログフォーマット情報記憶部１２に記憶させる統合ログのフォーマットと、ログ紐付情報記憶部１３に記憶させる紐付情報については、管理者端末２０よりシステム管理者等が入力して設定することができる。入力ログフォーマット情報記憶部１１についても、システム管理者等が入力可能であることは同様である。
【００６５】
例えば、図１０に示した例であれば、ログ紐付情報記憶部１３に記憶されている紐付情報から、仮想ＩＤ「ａ０００１」によって紐付けられている社員コード「００１」、ユーザ名「ｔａｎａｋａ」、メールアドレス「ｘｘｘ＠ｙｙｙ．ｃｏｍ」、電話番号「０３−１１１１−０１２３」を含むログデータを同一の社員にかかるものであると特定する。その結果、図４に示したセキュリティ・ゲート管理サーバ３０におけるログＮｏ．「１」のレコード、図５に示したセキュリティ・キャビネット管理サーバ４０におけるログＮｏ．「１」のレコード、図６に示した認証システム５０におけるログＮｏ．「１」のレコード、図７に示したメールサーバ６０におけるログＮｏ．「１」のレコード、図８に示した情報漏洩ツールにおけるログＮｏ．「１」のレコード、図９に示したＰＢＸシステムにおけるログＮｏ．「１」及び「３」のレコードが特定され、これらのレコードの情報を仮想ＩＤ「ａ０００１」について設けられたテーブルに統合ログとして記録し、統合ログ格納部１６に格納する。
【００６６】
このようにして作成された統合ログを、時間をキーにソートすると、社員毎の行動履歴やコンピュータの操作履歴を、時系列に沿って把握することが可能になる。例えば、図１０の例であれば、仮想ＩＤ「ａ０００１」によって特定される社員が、
１．「２００５年１月１９日」「０８時５０分３０秒」に「ゲート０１」を通過し、
２．「２００５年１月１９日」「０９時１５分４８秒」に「キャビネット１００１」を開けて、
３．「２００５年１月１９日」「０９時２４分４５秒」に「認証システム」により認証され、
４．「２００５年１月１９日」「１０時１２分４６秒」に「情報漏洩防止ツール」が管理するシステムに「ログイン」し、
５．「２００５年１月１９日」「１０時４５分２３秒」に「ｘｘｘ＠ｙｙｙ.ｃｏｍ」から「ｃｃｃ＠ｙｙｙ.ｃｏｍ」宛にメールを「送信」し、
６．「２００５年１月１９日」「１３時３２分０２秒」に「０３−１１１１−０１２３」から「０３−１２３４−５６７８」に電話を「発呼」し、・・・
といった、出社から退社までの行動や操作を把握することが可能になる。このような情報は、組織内における内部統制の他、セキュリティ検診、ビジネス・コンプライアンス、フォレンジック、証跡管理などにおいて、有益な情報として活用することができるので、これらのデータをレポート形式で定期的に出力することとしてもよい。
【００６７】
このように時系列に沿って整理された統合ログに対して、一般に不正が発生しやすい行動パターン等をルール化してルール記憶部１８に記憶させておくと、統合ログがルール記憶部１８に記憶されたルールに該当する場合には、何らかの不正行為が行われた可能性があると判定することが可能である。不正のルールは、一のログ毎に対比するためのルールであってもよいし、一連の行動を示す複数のログをまとめて対比するためのルールであってもよい。また、社員毎の通常の行動パターンをユーザプロファイル記憶部１９に記憶させておくと、統合ログがユーザプロファイル記憶部１９に記憶されたプロファイルと乖離している場合には、何らかの不正行為が行われた可能性があると判定することも可能である。判定に用いるプロファイルは、一のログ毎の判定に用いてもよいし、一連の行動を示す複数のログをまとめて判定することに用いてもよい。
【００６８】
ログ統合管理システム１０の異常判定部１７においては、ルール記憶部１８とユーザプロファイル記憶部１９の一方又は双方を参照し、上記のように時系列に沿って整理された統合ログから把握される社員の行動履歴やコンピュータの操作履歴が異常である場合のパターンに該当するかの判定を行うことによって、統合ログから不正の可能性のある異常行為を検出することとしている。異常行為が検出された場合には、例えば、管理者端末２０に警告を表示することとしてもよいし、異常行為である可能性を判定した判定結果を、対象となったログデータのレコードに記録し、統合ログ格納部１６に格納することとしてもよい。判定結果の形式については、異常行為である可能性をスコアとして算出し、算出されたスコアを記録することとしてもよいし、文字や記号によって異常行為の可能性をランク分けし、各々のログデータに対応するランクを記録することとしてもよく、特に限定されるものではない。
【００６９】
上記の異常判定部１４における判定は、二以上の統合ログの履歴について異常の判定を行うことに限られるものではなく、各々のレコード毎にルールやプロファイルと対比して異常の可能性について判定し、判定結果をログデータ毎に設けられたレコードに各々記録し、統合ログ格納部１６に格納することとしてもよい。記録される判定結果の形式については、スコアやランクなど特に限定されないことについては、一の統合ログについて判定する場合と同様である。
【図面の簡単な説明】
【００７０】
【図１】本発明にかかるログ統合管理システムの実施形態の概要を示す図である。
【図２】本発明にかかるログ統合管理システムの構成を示すブロック図である。
【図３】本発明にかかるログ統合管理システムにおけるログ紐付情報テーブルの一例を示す図である。
【図４】本発明にかかるログ統合管理システムにおいて、セキュリティ・ゲート管理サーバで収集されるログデータの一例を示す図である。
【図５】本発明にかかるログ統合管理システムにおいて、キュリティ・キャビネット管理サーバで収集されるログデータの一例を示す図である。
【図６】本発明にかかるログ統合管理システムにおいて、認証システムで作成されるログデータの一例を示す図である。
【図７】本発明にかかるログ統合管理システムにおいて、メールサーバで収集されるログデータの一例を示す図である。
【図８】本発明にかかるログ統合管理システムにおいて、情報漏洩防止ツールで収集されるログデータの一例を示す図である。
【図９】本発明にかかるログ統合管理システムにおいて、ＰＢＸから収集したログデータの一例を示す図である。
【図１０】本発明にかかるログ統合管理システムによって作成される統合ログの一例を示す図である。
【符号の説明】
【００７１】
１０ ログ統合管理システム
１１ 入力ログフォーマット情報記憶部
１２ 出力ログフォーマット情報記憶部
１３ ログ紐付情報記憶部
１４ ログ受付部
１５ 統合ログ作成部
１６ 統合ログ格納部
１７ 異常判定部
１８ ルール記憶部
１９ ユーザプロファイル記憶部
２０ 管理者端末
３０ セキュリティ・ゲート管理サーバ
３１ セキュリティ・ゲート
３２ セキュリティ・ゲート
４０ セキュリティ・キャビネット管理サーバ
４１ セキュリティ・キャビネット
４２ セキュリティ・キャビネット
５０ 認証システム
６０ メールサーバ
７０ ネットワーク監視サーバ
８０ 業務用端末
８１ 業務用端末
９０ ＰＢＸシステム
【特許請求の範囲】
【請求項１】
組織内における構成員の行為からログを収集して統合管理するログ統合管理システムであって、
オフィスの入退室のために設けられたセキュリティ・ゲートにおいて、一の構成員について第１の識別コードをキーに収集した第１のログデータを受け付ける第１の受付手段と、
前記構成員が操作権限を有するコンピュータにおいて、前記構成員について第２の識別コードをキーに収集した第２のログデータを受け付ける第２の受付手段と、
前記構成員が接続権限を有するコンピュータネットワークにおいて、前記構成員について第３の識別コードをキーに収集した第３のログデータを受け付ける第３の受付手段と、
前記構成員を識別する統合用識別コードに、少なくとも前記第１の識別コード、前記第２の識別コード、前記第３の識別コードを関連付けて記憶する記憶手段と、
前記第１のログデータ、前記第２のログデータ、前記第３のログデータを、前記記憶手段を参照して前記統合用識別コード毎に設けられたテーブルに、フォーマットを統一した統合ログとして格納する格納手段と、
を備えることを特徴とするログ統合管理システム。
【請求項２】
前記構成員の利用権限を確認して開閉が可能となるセキュリティ・キャビネットにおいて、前記構成員について第４の識別コードをキーに収集した第４のログデータを受け付ける第４の受付手段を備えていて、
前記記憶手段には、前記統合用識別コードに、少なくとも前記第４の識別コードが関連付けて記憶されていて、
前記格納手段は、前記第４のログデータを、前記記憶手段を参照して前記テーブルに、フォーマットを統一した統合ログとして格納すること
を特徴とする請求項１記載のログ統合管理システム。
【請求項３】
前記構成員が送受信する電子メールを管理するメールサーバにおいて、前記構成員に割当てられたメールアドレスをキーに収集した第５のログデータを受け付ける第５の受付手段を備えていて、
前記記憶手段には、前記統合用識別コードに、少なくとも前記メールアドレスが関連付けて記憶されていて、
前記格納手段は、前記第５のログデータを、前記記憶手段を参照して前記テーブルに、フォーマットを統一した統合ログとして格納すること
を特徴とする請求項１記載のログ統合管理システム。
【請求項４】
前記構成員が発呼又は着呼する通話情報を管理する交換機から、前記構成員に割当てられた電話番号をキーに収集した第６のログデータを受け付ける第６の受付手段を備えていて、
前記記憶手段には、前記統合用識別コードに、少なくとも前記電話番号が関連付けて記憶されていて、
前記格納手段は、前記第６のログデータを、前記記憶手段を参照して前記テーブルに、フォーマットを統一した統合ログとして格納すること
を特徴とする請求項１記載のログ統合管理システム。
【請求項５】
前記格納手段のテーブルに格納された統合ログを、各々のログに含まれるログの記録時間をキーにソートして、前記構成員の行動及び操作の履歴を示す履歴データを作成する履歴データ作成手段と、
前記履歴データに対応して、異常と判定すべき行動又は操作のパターンをルールとして記憶したルール記憶手段と、
前記履歴データ作成手段が作成した履歴データと前記ルール記憶手段に記憶されたルールとを対比して、前記履歴データが前記ルールの少なくとも一つに合致する場合には、前記構成員の行動又は操作が異常であると判定する判定手段と、
を備えることを特徴とする請求項１乃至４いずれかに記載のログ統合管理システム。
【請求項６】
前記格納手段のテーブルに格納された統合ログを、各々のログに含まれるログの記録時間をキーにソートして、前記構成員の行動及び操作の履歴を示す履歴データを作成する履歴データ作成手段と、
構成員毎に作成された過去の履歴データから、構成員毎の行動又は操作のパターンをユーザプロファイルとして記憶するプロファイル記憶手段と、
前記履歴データ作成手段が作成した履歴データと前記プロファイル記憶手段に記憶された前記構成員についてのプロファイルとを対比して、前記履歴データが前記プロファイルに照らして所定のルールに合致しないと判断される場合には、前記構成員の行動又は操作が異常であると判定する判定手段と、
を備えることを特徴とする請求項１乃至４いずれかに記載のログ統合管理システム。
【請求項７】
前記格納手段に格納された統合ログに対応して、異常と判定すべき行動又は操作のパターンをルールとして記憶したルール記憶手段と、
前記格納手段に格納された統合ログと前記ルール記憶手段に記憶されたルールとを各々対比して、前記構成員の行動又は操作が異常であるかを判定する判定手段と、
前記統合ログに、前記判定手段による判定結果を記録して、前記格納手段に格納された統合ログの少なくとも一部を更新する更新手段と、
を備えることを特徴とする請求項１乃至４いずれかに記載のログ統合管理システム。
【請求項８】
構成員毎に前記格納手段に格納された統合ログから、構成員毎の行動又は操作のパターンをユーザプロファイルとして記憶するプロファイル記憶手段と、
前記格納手段に格納された統合ログと前記プロファイル記憶手段に記憶された前記構成員についてのプロファイルとを各々対比して、前記構成員の行動又は操作が異常であるかを判定する判定手段と、
前記統合ログに、前記判定手段による判定結果を記録して、前記格納手段に格納された統合ログの少なくとも一部を更新する更新手段と、
を備えることを特徴とする請求項１乃至４いずれかに記載のログ統合管理システム。
【請求項９】
組織内における構成員の行為からログを収集して統合管理するログ統合管理方法であって、
ログの統合管理を行うコンピュータシステムが、オフィスの入退室のために設けられたセキュリティ・ゲートにおいて、一の構成員について第１の識別コードをキーに収集した第１のログデータを受け付ける第１の受付ステップと、
前記コンピュータシステムが、前記構成員が操作権限を有するコンピュータにおいて、前記構成員について第２の識別コードをキーに収集した第２のログデータを受け付ける第２の受付ステップと、
前記コンピュータシステムが、前記構成員が接続権限を有するコンピュータネットワークにおいて、前記構成員について第３の識別コードをキーに収集した第３のログデータを受け付ける第３の受付ステップと、
前記コンピュータシステムが、前記第１のログデータ、前記第２のログデータ、前記第３のログデータを、前記構成員を識別する統合用識別コードに、少なくとも前記第１の識別コード、前記第２の識別コード、前記第３の識別コードを関連付けて記憶した記憶部を参照して、前記統合用識別コード毎に設けられたテーブルに、フォーマットを統一した統合ログとして格納する格納ステップと、
を有することを特徴とするログ統合管理方法。
【請求項１】
組織内における構成員の行為からログを収集して統合管理するログ統合管理システムであって、
オフィスの入退室のために設けられたセキュリティ・ゲートにおいて、一の構成員について第１の識別コードをキーに収集した第１のログデータを受け付ける第１の受付手段と、
前記構成員が操作権限を有するコンピュータにおいて、前記構成員について第２の識別コードをキーに収集した第２のログデータを受け付ける第２の受付手段と、
前記構成員が接続権限を有するコンピュータネットワークにおいて、前記構成員について第３の識別コードをキーに収集した第３のログデータを受け付ける第３の受付手段と、
前記構成員を識別する統合用識別コードに、少なくとも前記第１の識別コード、前記第２の識別コード、前記第３の識別コードを関連付けて記憶する記憶手段と、
前記第１のログデータ、前記第２のログデータ、前記第３のログデータを、前記記憶手段を参照して前記統合用識別コード毎に設けられたテーブルに、フォーマットを統一した統合ログとして格納する格納手段と、
を備えることを特徴とするログ統合管理システム。
【請求項２】
前記構成員の利用権限を確認して開閉が可能となるセキュリティ・キャビネットにおいて、前記構成員について第４の識別コードをキーに収集した第４のログデータを受け付ける第４の受付手段を備えていて、
前記記憶手段には、前記統合用識別コードに、少なくとも前記第４の識別コードが関連付けて記憶されていて、
前記格納手段は、前記第４のログデータを、前記記憶手段を参照して前記テーブルに、フォーマットを統一した統合ログとして格納すること
を特徴とする請求項１記載のログ統合管理システム。
【請求項３】
前記構成員が送受信する電子メールを管理するメールサーバにおいて、前記構成員に割当てられたメールアドレスをキーに収集した第５のログデータを受け付ける第５の受付手段を備えていて、
前記記憶手段には、前記統合用識別コードに、少なくとも前記メールアドレスが関連付けて記憶されていて、
前記格納手段は、前記第５のログデータを、前記記憶手段を参照して前記テーブルに、フォーマットを統一した統合ログとして格納すること
を特徴とする請求項１記載のログ統合管理システム。
【請求項４】
前記構成員が発呼又は着呼する通話情報を管理する交換機から、前記構成員に割当てられた電話番号をキーに収集した第６のログデータを受け付ける第６の受付手段を備えていて、
前記記憶手段には、前記統合用識別コードに、少なくとも前記電話番号が関連付けて記憶されていて、
前記格納手段は、前記第６のログデータを、前記記憶手段を参照して前記テーブルに、フォーマットを統一した統合ログとして格納すること
を特徴とする請求項１記載のログ統合管理システム。
【請求項５】
前記格納手段のテーブルに格納された統合ログを、各々のログに含まれるログの記録時間をキーにソートして、前記構成員の行動及び操作の履歴を示す履歴データを作成する履歴データ作成手段と、
前記履歴データに対応して、異常と判定すべき行動又は操作のパターンをルールとして記憶したルール記憶手段と、
前記履歴データ作成手段が作成した履歴データと前記ルール記憶手段に記憶されたルールとを対比して、前記履歴データが前記ルールの少なくとも一つに合致する場合には、前記構成員の行動又は操作が異常であると判定する判定手段と、
を備えることを特徴とする請求項１乃至４いずれかに記載のログ統合管理システム。
【請求項６】
前記格納手段のテーブルに格納された統合ログを、各々のログに含まれるログの記録時間をキーにソートして、前記構成員の行動及び操作の履歴を示す履歴データを作成する履歴データ作成手段と、
構成員毎に作成された過去の履歴データから、構成員毎の行動又は操作のパターンをユーザプロファイルとして記憶するプロファイル記憶手段と、
前記履歴データ作成手段が作成した履歴データと前記プロファイル記憶手段に記憶された前記構成員についてのプロファイルとを対比して、前記履歴データが前記プロファイルに照らして所定のルールに合致しないと判断される場合には、前記構成員の行動又は操作が異常であると判定する判定手段と、
を備えることを特徴とする請求項１乃至４いずれかに記載のログ統合管理システム。
【請求項７】
前記格納手段に格納された統合ログに対応して、異常と判定すべき行動又は操作のパターンをルールとして記憶したルール記憶手段と、
前記格納手段に格納された統合ログと前記ルール記憶手段に記憶されたルールとを各々対比して、前記構成員の行動又は操作が異常であるかを判定する判定手段と、
前記統合ログに、前記判定手段による判定結果を記録して、前記格納手段に格納された統合ログの少なくとも一部を更新する更新手段と、
を備えることを特徴とする請求項１乃至４いずれかに記載のログ統合管理システム。
【請求項８】
構成員毎に前記格納手段に格納された統合ログから、構成員毎の行動又は操作のパターンをユーザプロファイルとして記憶するプロファイル記憶手段と、
前記格納手段に格納された統合ログと前記プロファイル記憶手段に記憶された前記構成員についてのプロファイルとを各々対比して、前記構成員の行動又は操作が異常であるかを判定する判定手段と、
前記統合ログに、前記判定手段による判定結果を記録して、前記格納手段に格納された統合ログの少なくとも一部を更新する更新手段と、
を備えることを特徴とする請求項１乃至４いずれかに記載のログ統合管理システム。
【請求項９】
組織内における構成員の行為からログを収集して統合管理するログ統合管理方法であって、
ログの統合管理を行うコンピュータシステムが、オフィスの入退室のために設けられたセキュリティ・ゲートにおいて、一の構成員について第１の識別コードをキーに収集した第１のログデータを受け付ける第１の受付ステップと、
前記コンピュータシステムが、前記構成員が操作権限を有するコンピュータにおいて、前記構成員について第２の識別コードをキーに収集した第２のログデータを受け付ける第２の受付ステップと、
前記コンピュータシステムが、前記構成員が接続権限を有するコンピュータネットワークにおいて、前記構成員について第３の識別コードをキーに収集した第３のログデータを受け付ける第３の受付ステップと、
前記コンピュータシステムが、前記第１のログデータ、前記第２のログデータ、前記第３のログデータを、前記構成員を識別する統合用識別コードに、少なくとも前記第１の識別コード、前記第２の識別コード、前記第３の識別コードを関連付けて記憶した記憶部を参照して、前記統合用識別コード毎に設けられたテーブルに、フォーマットを統一した統合ログとして格納する格納ステップと、
を有することを特徴とするログ統合管理方法。
【図２】
【図１】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【公開番号】特開２００７−２３３６６１（Ｐ２００７−２３３６６１Ａ）
【公開日】平成１９年９月１３日（２００７．９．１３）
【国際特許分類】
【出願番号】特願２００６−５４１７３（Ｐ２００６−５４１７３）
【出願日】平成１８年２月２８日（２００６．２．２８）
【出願人】（３９７０６７８５３）株式会社インテリジェントウェイブ (20)
【Ｆターム（参考）】
【公開日】平成１９年９月１３日（２００７．９．１３）
【国際特許分類】
【出願日】平成１８年２月２８日（２００６．２．２８）
【出願人】（３９７０６７８５３）株式会社インテリジェントウェイブ (20)
【Ｆターム（参考）】
[ Back to top ]