不審行動検出システム，不審行動検出方法及び不審行動検出プログラム
【課題】電子機器に対する操作の多様性や操作傾向の変化による影響を受けることなく、電子機器に対するユーザの不審行動を有効に検出する不審行動検出システム，不審行動検出方法及び不審行動検出用プログラムを提供する。
【解決手段】周辺人物検知手段１が電子機器の周辺に設定した領域内の人物の有無を検知し、操作検出手段２が電子機器に対する操作を検出し、不審行動検出手段３が、設定した領域内に前記ユーザ以外の他の人物がいる場合といない場合とで当該ユーザの操作内容に差異があるか否かを判定し、この判定結果に基づいて当該ユーザの不審行動を検出する。
【解決手段】周辺人物検知手段１が電子機器の周辺に設定した領域内の人物の有無を検知し、操作検出手段２が電子機器に対する操作を検出し、不審行動検出手段３が、設定した領域内に前記ユーザ以外の他の人物がいる場合といない場合とで当該ユーザの操作内容に差異があるか否かを判定し、この判定結果に基づいて当該ユーザの不審行動を検出する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報システムにおけるユーザの不審な操作を検出する不審行動検出システム，不審行動検出方法及び不審行動検出プログラムに関する。
【背景技術】
【０００２】
情報システムにおいて情報漏洩対策は重要な課題であり、機密情報や個人情報の流出を防止する高性能な技術が広く求められている。これを鑑みて、非特許文献１には、監査ログを分析することでユーザの不審な行為を検出し端末の不正使用を抑止する技術が開示されている。
【０００３】
非特許文献１に開示された技術は、情報システムのデータベース監査ログを定期的に分析し、一定条件に合致したログを不審行動として抽出して管理者宛てに通知するというものである。非特許文献１に記載の「表２」に示された各事例によると、早朝、夜間、休日などの就業時間外に大量の顧客情報にアクセスする行為を不審な行為と定義している。
【０００４】
また、これに関連して、様々な場における不審な行為を検知する技術が、特許文献１乃至３に開示されている。特許文献１に開示された技術は、遊戯台と、センサユニットと、警告ランプとから構成された監視装置であり、営業時間後に遊戯台の電源が落とされるとセンサユニットが監視モードとなり、その状態で不審者が遊戯台に接近するとセンサユニットに感知履歴が残り、翌日遊戯台に電源を投入する際に感知履歴が残っていれば警告を発する。この監視装置では、遊戯台に対する不審な行為は営業時間外に行われることが前提となっている。
【０００５】
特許文献２に開示された技術は、ログデータ取得手段と、ログファイル保存手段と、ログファイル検索手段と、ログデータ比較手段と、監視カメラ制御手段とから構成されたＡＴＭ監視システムである。このような構成を有するシステムでは、ログデータ取得手段がＡＴＭを操作している顧客の操作内容をログデータとして取得し、ログデータ検索手段が同顧客の過去のログデータをログファイル保存手段から読み出し、両データをログデータ比較手段が比較し、両データの差が閾値以上大きなものである場合に注意信号を出力し、さらに、監視カメラ制御手段が監視カメラをその顧客に向け、顔の画像を取得する。この監視システムは、顧客の操作状態から不審行動を検出することと、監視カメラとの連動に特徴がある。
【０００６】
特許文献３に開示された技術は、監視カメラと、店舗ＰＣと、監視テーブルとから構成された監視システムである。このような構成を有する監視システムでは、店舗ＰＣが監視カメラに撮影された画像から顧客の特徴を認識して監視対象者を特定し、監視対象者の滞在時間が監視テーブルに設定されている時間を経過したか否かを判別し、経過していれば管理者に通知する。この特許文献３の監視システムは、監視対象者の行動を滞在時間に変換して不審行動を判定するところに特徴がある。
【０００７】
【非特許文献１】吉田晃、「中級 情報漏洩を防ぐＤＢセキュリティ 第３回」、［online］、２００６年５月１５日、日経ＢＰ社、インターネット〈URL:http://itpro.nikkeibp.co.jp/article/COLUMN/20060512/237709/〉
【特許文献１】特開２００６−２９６４８９号公報
【特許文献２】特開２００３−１６４９８号公報
【特許文献３】特開２００７−７４３３０号公報
【発明の開示】
【発明が解決しようとする課題】
【０００８】
しかしながら、上述した従来技術では、不審行動とみなす条件を画一的に定義しているため、システムユーザの操作内容の多様性と変化に対応できず、情報システムに対するユーザの不審な行為を正確に検出できないという問題があった。
【０００９】
例えば、非特許文献１に開示された技術は、早朝、夜間、休日などの就業時間外に端末の不正使用が行われることを前提としているが、企業情報システムにおいては、就業時間内でもオフィス内にユーザ以外の第三者がいない場合は端末の不正使用が行われる可能性がある。また、オフィス内にユーザ以外の第三者がいる場合もユーザの近くに第三者がいなければ不正使用を行う可能性がある。ユーザの背後に第三者がいなければ端末の画面に秘密情報を表示させることは可能であり、プリンタの近辺に第三者がいなければ秘密情報を印刷することは可能である。よって、非特許文献１の技術では、勤務時間内の不正な行為を検知できない。
【００１０】
また、非特許文献１の技術では、アクセス情報の容量やログインの失敗回数から不審行動を判断し、特許文献１の技術では遊戯台への接近具合から判断し、特許文献２の技術ではＡＴＭへのキー入力のスピードや暗証番号不一致回数から判断し、特許文献３の技術では滞在時間の期待値で判断しているなど、上述した従来技術では、ユーザの行動内容から不審行動と判断する条件を画一的に定義している。しかし、情報システムにおいては、端末に対して様々な種類の操作が行われ、各部門や各社員の担当業務で異なる種類の操作が行われ、時間の経過と共に操作の傾向が変化するため、不審行動とみなす条件を操作内容から画一的に定義して実際に不審行為を検出するとなると、膨大な数の条件を設定してそれを定期的に更新する必要があり、システムへの負担が増加してしまう。
【００１１】
［目的］
そこで、本発明は、上記従来技術の不都合を改善し、電子機器に対する操作の多様性や操作傾向の変化による影響を受けることなく、電子機器に対するユーザの不審行動を有効に検出する不審行動検出システム，不審行動検出方法及び不審行動検出用プログラムを提供することを、その目的とする。
【課題を解決するための手段】
【００１２】
上記目的を達成するため、本発明の不審行動検出システムは、電子機器の周辺に設定した領域内の人物の有無を検知する周辺人物検知手段と、電子機器に対するユーザの操作を検出する操作検出手段とを備え、周辺人物検知手段による検知結果と前記操作検出手段による検出結果とを照合して、電子機器の周辺に前記ユーザ以外の他の人物がいる場合といない場合とで当該ユーザの操作内容に差異があるか否かを判定し、この判定結果に基づいて当該ユーザの不審行動を検出する不審行動検出手段を備えたことを特徴とする。
【００１３】
次に、本発明の不審行動検出方法は、電子機器の周辺に設定した領域内の人物の有無を順次検知する周辺人物検知工程と、電子機器に対するユーザの操作を検出する操作検出工程とを設け、電子機器の周辺に前記ユーザ以外の他の人物がいる場合といない場合との当該ユーザの操作内容を比較して差異があるか否かを判定しこの判定結果に基づいてユーザの不審行動の有無を検出する不審行動検出工程を設けたことを特徴とする。
【００１４】
さらに、本発明の不審行動検出用プログラムは、電子機器の周辺に設定した領域内の人物の有無を検知する周辺人物検知機能と、電子機器に対する操作を検出する操作検出機能と、電子機器の周辺領域内に人物がいる場合といない場合とで当該電子機器に対する操作の内容に差異があるか否かを判定しこの判定結果に基づいてユーザの不審行動を検出する不審行動検出機能とをコンピュータに実行させることを特徴とする。
【発明の効果】
【００１５】
本発明は以上のように構成され機能するため、これにより、電子機器の周辺にユーザ以外の第三者がいる場合といない場合とでの操作内容の差異に基づいてユーザの不審行動の有無を判断するので、電子機器に対する操作内容の多様性や操作傾向の変化による影響を受けることなく、電子機器に対するユーザの不審行動を有効に検出して、機器の不正使用を効果的に抑止することができる。
【発明を実施するための最良の形態】
【００１６】
以下、本発明における一実施形態を、図面を参照して説明する。
【００１７】
図１は、本実施形態の不審行動検出システムの構成を示す機能ブロック図である。図１に示すように、本実施形態の不審行動検出システムは、情報処理端末，プリンタ，複合機，又は遊技台などの電子機器の周辺に設定した領域内の人物の有無を検知する周辺人物検知手段１と、この電子機器に対するユーザの操作を検出する操作検出手段２と、周辺人物検知手段１による検知結果と操作検出手段２による検出結果とを照合して電子機器の周辺にユーザ以外の他の人物がいる場合といない場合とでユーザの操作内容に差異があるか否かを判定しこの判定結果に基づいてユーザの不審行動を検出する不審行動検出手段３とを備えている。
【００１８】
周辺人物検知手段１は、電子機器を操作しているユーザの動作を他の人物が視認できる範囲の領域を設定し、この設定した領域内に他の人物がいるかいないかを検知する機能を備えている。例えば、電子機器の設置位置を中心とした円形領域のユーザの操作位置を除く領域を設定すれば、電子機器の周辺にユーザ以外の第三者がいるか否かを検知することができる。
【００１９】
また、周辺人物検知手段１は、例えば、設定領域内に設置されている他の機器と接続して各機器の稼働状況を監視することで他の人物の有無を検知するように構成してもよいし、監視カメラ等で設定領域内を撮影した映像を入力して画像認識し人物の有無とその位置座標を算出するように構成してもよい。また、設定した領域内に在る椅子などに設置された圧力センサの測定値の変化から人物の有無を検知するように構成してもよいし、設定した領域内の赤外線の波長分布をセンシングして人物の有無を検知するように構成してもよい。
【００２０】
操作検出手段２は、電子機器に関する操作ログ情報を検出し蓄積する機能を備えている。不審行動検出手段３は、電子機器周辺に設定された領域内に他の人物がいる場合といない場合とで電子機器に関するログ情報の内容に差異があるか否かを統計処理で判定する機能を備えている。
【００２１】
図２は、周辺人物検知手段１の内部構成を示す機能ブロック図である。図２に示すように、本実施形態における周辺人物検知手段１は、電子機器の設置位置を基準に設定した領域内の人物の有無を時刻と共に示す情報を格納する人物有無情報格納手段１１と、設定領域内の人物の有無を一定時間間隔で検知して人物有無情報格納手段１１に格納されている情報を更新する人物有無情報更新手段１２と、特定の電子機器周辺の特定の期間での人物の有無を人物有無情報格納手段１１に格納された情報の中から検索する人物有無情報検索手段１３とから構成されている。
【００２２】
人物有無情報格納手段１１は、電子機器の周辺に設定した領域内のユーザ以外の他の人物の有無をその時間帯と共に示した情報を格納する機能を備えている。人物有無情報更新手段１２は、電子機器周辺に設定した領域内に在る他の機器の稼働状況や、監視カメラ映像や、設定領域内に設置された圧力センサの測定値や、設定領域内の赤外線の波長分布などを基に、電子機器周辺に設定した領域内の人物の有無を判定し、判定結果に基づいて人物有無情報格納手段１１に格納されている情報を更新する機能を備えている。
【００２３】
人物有無情報検索手段１３は、不審行動検出手段３からの指示に従って、指定の期間での設定領域内の他の人物の有無を人物有無情報格納手段１１に格納された情報から検索し、該当する情報を不審行動検出手段３へ出力する機能を備えている。
【００２４】
図３は、操作検出手段２の内部構成を示す機能ブロック図である。図３に示すように、本実施形態における操作検出手段２は、電子機器に関する操作ログ情報を格納する操作ログ格納手段２１と、電子機器に関する操作ログ情報を収集し操作ログ格納手段２１に格納されている情報を更新する操作ログ更新手段２２と、特定の期間の操作ログ情報を操作ログ格納手段２１に格納された情報の中から検索する操作ログ検索手段２３とから構成されている。
【００２５】
操作ログ格納手段２１は、電子機器に対する操作の内容とその操作が行われた時刻とを含む操作ログ情報を格納する機能を備えている。操作ログ更新手段２２は、電子機器に係る操作ログ情報を該電子機器などから定期的に収集して操作ログ格納手段２１へ出力する機能を備えている。操作ログ検索手段２３は、不審行動検出手段３からの指示に従って、指定の期間の操作ログ情報を操作ログ格納手段２１に格納された情報から検索し、該当する情報を不審行動検出手段３へ出力する機能を備えている。
【００２６】
図４は、本実施形態における不審行動検出手段３の内部構成を示す機能ブロック図である。図４に示すように、本実施形態における不審行動検出手段３は、外部入力により不審行動検出の指令を受け付ける指示入力手段３１と、指令に従って指定の電子機器に係るログ情報の内容について電子機器の周辺に他の人物がいる場合といない場合とで差異があるか否かを分析し不審行動の有無を検出する不審行動分析手段３２と、不審行動の有無の検出結果を表示する検出結果表示手段３３とから構成されている。
【００２７】
不審行動分析手段３２は、指定の電子機器に係る指定の期間の操作ログ情報を操作検出手段２から取得すると共に、指定の期間における指定の電子機器の周辺の人物の有無を示す情報を周辺人物検知手段１から取得し、指定の電子機器の周辺に他の人物がいるときの操作ログ情報の内容といないときの内容とについて統計処理を実行し、両内容に差異かあるか否かを判定し、判定結果に基づいて指定の電子機器に対するユーザの不審な操作を検出する機能を備えている。
【００２８】
次に、本実施形態の動作について説明する。ここで、以下の動作説明は、本発明の不審行動検出方法の実施形態となるので、不審行動検出方法の各工程を対応する動作の記述と共に記す。
【００２９】
まず、周辺人物検知手段１における人物有無情報更新手段１２が、電子機器の周辺に設定した領域内に当該電子機器を操作するユーザ以外の他の人物がいるかいないかを、領域内の他の機器の稼働状況や設定領域内に設置した圧力センサ，設定領域内を撮影するカメラなどのいずれかを用いて、一定時間ごとに判定して（周辺人物検知工程）、判定結果に基づいて人物状態格納手段１１に格納されている情報を更新する（人物有無情報蓄積工程）。
【００３０】
また、操作検出手段２における操作ログ更新手段２２が、電子機器に係る操作ログ情報を収集し（操作検出工程）、操作ログ格納手段２１に格納されているログ情報を更新する（操作情報蓄積工程）。
【００３１】
そして、不審行動検出手段３における不審行動分析手段３２が、指示入力手段３１に入力された指令に従って、指定の電子機器に係る指定期間の操作ログ情報を操作検出手段２から取得すると共に、指定期間内の指定の電子機器の周辺の人物の有無を示す情報を周辺人物検知手段１から取得し、取得した操作ログ情報を設定領域内に他の人物がいた時といない時との２つの集合に分けて、集合間で分布に差異があるか否かを統計処理で判定し、判定結果に基づいて指定の電子機器に対するユーザの不審な操作を検出する（不審行動検出工程）。
【００３２】
このような本実施形態の不審行動検出システムによれば、電子機器に対する操作内容によって不審な行為を検出するのではなく、電子機器周辺に他の人物がいる場合といない場合とでの操作内容の差異から不審行動を検出するので、不審行動とみなす操作内容を定義する必要が無く、安定した不審行動検出が可能となる。また、電子機器とそれを操作するユーザとが紐付けされていれば、特定のユーザの不審行動を検出することができる。
【００３３】
［適用例１］
次に、本実施形態の一例として、情報処理端末に対するユーザの不審行動を検出する場合について説明する。
【００３４】
図５は、情報システムを導入したオフィスのレイアウトの一例を示す平面図である。図５に示す複数の矩形は、オフィス内の机を示しており、この各机の上には情報システムにかかる端末機器の情報処理端末やプリンタなどが設置されている。図５においては、説明の便宜上、不審行動検出の対象となるユーザが操作する情報処理端末の設置されている机ａを黒い矩形で示している。
【００３５】
机ａ上に設置された情報処理端末に対するユーザの不審行動を検出する場合、本実施形態における周辺人物検知手段１は、図５に示すように、机ａ上に設置されている情報処理端末を中心とした円形の領域Ａを対象領域に設定し、領域Ａ内に対象ユーザ以外の他の人物がいるか否かを検知する。
【００３６】
周辺人物検知手段１は、領域Ａ内に設置されている他の情報処理端末に対してキーボードやマウスからの入力があるかを基に領域Ａ内の他の人物の有無を検知する構成であってよい。またこれに限らず、領域Ａ内にある椅子に加わる圧力や椅子付近の赤外線の波長分布をセンシングして他の人物の有無を検出するように構成してもよく、複数のカメラでオフィス内を撮影し画像認識して人物の有無とその座標を算出し領域Ａ内の人物有無状態を特定する構成でもよい。
【００３７】
図５は、不審行動検出対象のユーザが操作する情報処理端末の位置を中心に一定半径の円領域Ａを設定した例を示しており、例えば、ユーザがＵＳＢメモリなどの小型の外部記憶媒体を用いて不正なファイルコピーを行う場合、情報処理端末へのＵＳＢメモリの抜き差し行為は一定程度離れた位置からでは観察し難いので、図５に示すような対象領域設定が有効となる。
【００３８】
他の人物がユーザの操作を視認できる位置にいるか否かを検知できればよいので、周辺人物検知手段１が設定する領域は、円形の領域に限らず、オフィス内における機器の配置具合に依存した形状に設定してもよい。例えば、机ａの隣に大きなサーバ装置や柱などがある場合は、そのサーバ装置等を介して机ａの反対側にいる人物はユーザの操作を見ることはできないので、このサーバ装置等を介して机ａの反対側に位置する領域を対象領域外に設定するように構成してもよい。
【００３９】
また、ユーザが情報処理端末を操作して秘密ファイルを同端末の表示画面に表示する場合を想定して、机ａ上にある情報処理端末の表示画面を他の人物が視認できる範囲を人物の検知を行う領域に設定してもよい。この場合の設定領域の一例を図６に領域Ｂとして示す。図６においては、机ａ上にある情報処理端末の表示画面が図面下を向いているものとする。
【００４０】
図７は、周辺人物検知手段１における人物有無情報格納手段１１に格納されている情報を示す図である。図７に示すように、人物有無情報格納手段１１には、特定の情報処理端末に紐付けされたユーザを一意的に示すユーザＩＤと、その特定の情報処理端末の周辺領域内に他の人物が検知されなかった時間帯の開始時刻及び終了時刻とを示す情報が格納されている。図７に示す情報は、ユーザＩＤが１０番のユーザについて、９月２０日の１７時１５分から翌日８時３０分までと、９月２１日の１２時から１３時までと、９月２１日の１７時１５分以降は対象領域に他の人物がいなかったこと示している。
【００４１】
周辺人物検知手段１における人物有無情報更新手段１２は、不審行動検出対象のユーザが操作する情報処理端末の周辺として設定された領域内にこのユーザ以外の他の人物がいるかいないかを一定時間毎に検知する。例えば、設定した領域内に設置されている別の機器の稼働状況や、設定した領域内に在る椅子に加わる圧力やこの椅子付近の赤外線の波長分布や、複数のカメラによるオフィス内の撮影画像などに基づいて、一定時間毎に領域内に他の人物がいるか否かを判定し、人物有無情報格納手段１１に格納されている情報を更新する。また、情報処理端末の周辺として設定する領域としては、例えば、図５に示す円領域Ａや図６に示す領域Ｂがある。
【００４２】
周辺人物検知手段１における人物有無情報検索手段１３は、不審行動検出手段３からの指令に従って、指定された期間の指定されたユーザＩＤに関する情報を人物有無情報格納手段１１に格納された情報の中から検索し、該当する情報を不審行動検出手段３へ送信する機能を備えている。
【００４３】
操作検出手段２は、情報処理端末の操作ログや、ファイルサーバのファイルアクセスログや、プロキシサーバのＷｅｂ閲覧ログや、メールサーバのメール送受信ログや、プリンタサーバの印刷ログから定期的にログを収集することで、情報処理端末に対するユーザの操作を検出する機能を備えている。
【００４４】
操作検出手段２における操作ログ更新手段２２は、情報処理端末の端末操作ログや、ファイルサーバのファイルアクセスログや、プロキシサーバのＷｅｂ閲覧ログや、メールサーバのメール送受信ログや、プリンタサーバの印刷ログなどから定期的にログを収集し、操作ログ格納手段２１へ出力する。
【００４５】
操作ログ格納手段２１は、システムユーザ毎のログ情報を格納する。ログ情報の１レコードは、ユーザを一意に定めるユーザＩＤと、このユーザが行った操作の種類および操作の関連情報とからなる。
【００４６】
図８は、操作ログ格納手段２１に格納されているログ情報の一例を示す図である。図８に示すログ情報は、ファイルアクセスに関する操作の内容を示す情報であり、ユーザＩＤ、操作時刻、操作種類、ファイル種別、ファイル所有者、アクセス権限、ファイルサイズの各カラム（列）からなる情報である。図８に示す図は、ユーザＩＤが１０番のユーザについて、自分自身、管理者、チームリーダそれぞれが所有するファイルを編集した履歴を示している。ここで、ファイル種別としては、画像ファイル、文書ファイル、暗号化ファイル、などがある。
【００４７】
これらのカラムのうち、ユーザＩＤと操作時刻は必須で、他のカラムも１つ以上は必要である。また、２次的に算出できる情報として、単位時間当たりの操作回数、単位時間当たりに操作したファイルサイズの総量などがある。
【００４８】
また、操作ログ格納手段２１に格納されるログ情報が、メールサーバのメール送受信ログから得られる、メール送受信に関する操作の内容を示す情報の場合は、ユーザＩＤ、操作時刻、送信メール宛先、送信メールサイズ、送信添付ファイル個数、送信添付ファイルのファイルサイズの各カラムからなる情報となる。これらのカラムのうち、人物ＩＤと操作時刻は必須、他のカラムも１つ以上は必要である。２次的に算出できるカラムとして、単位時間当たりの操作回数、単位時間当たりに送受信したメールサイズの総量などがある。このような情報により、ユーザによる不審な電子メール送受信操作を検出することができる。
【００４９】
また、操作ログ格納手段２１に格納されるログ情報が、プロキシサーバのＷｅｂ閲覧ログから得られる、Ｗｅｂサイト閲覧に関する操作の内容を示す情報の場合は、ユーザＩＤ，操作時刻，リクエスト種別，閲覧ページのＵＲＬ，転送データサイズ，ステータスコードの各カラムからなる情報となる。これらのカラムのうち、ユーザＩＤと操作時刻は必須、他のカラムも１つ以上は必要である。２次的に算出できるカラムとして、単位時間当たりの操作回数、単位時間当たりに転送データサイズの総量などがあげられる。このような情報により、ユーザによる不審なＷｅｂサイト閲覧操作を検出することができる。
【００５０】
操作検出手段２における操作ログ検索手段２３は、不審行動検出手段３からの指令に従って、指定時間帯の指定ユーザＩＤに対応するログ情報を操作ログ格納手段２１から検索し、該当する情報を不審行動検出手段３へ送信する。
【００５１】
不審行動検出手段３は、設定領域内に人物がいる場合といない場合とで操作検出手段２に検出された操作の内容に差異があるか否かを統計処理で判定する。
【００５２】
不審行動検出手段３における指示入力手段３１は、外部入力により不審行動検出の指令を受け付ける。不審行動分析手段３２は、指令に応じて、操作検出手段３の操作ログ検索手段３３に対して不審行動検出の対象となる操作ログを問合せて該当するユーザＩＤの該当する期間のログ情報を取得すると共に、この得られた情報の各レコードについて周辺人物検知手段１の人物有無情報検索手段１３に対して該当する時間帯の該当する領域内の人物の有無を問合せて、他の人物がいなかった時間帯を示す情報を取得し、他の人物がいた場合といなかった場合とでログ情報を２つの集合に分離し、集合間で分布に差異があるかを比較する。
【００５３】
不審行動分析手段３２による分析処理について、ログ情報におけるアクセスファイルサイズを分析対象とした場合を説明する。
【００５４】
図９は、不審行動検出対象のユーザが操作する情報処理端末の周辺に設定した領域内に、このユーザ以外の他の人物がいたときにこのユーザが情報処理端末を操作してアクセスしたファイルのファイルサイズ分布を示すグラフ１０１と、いなかったときにアクセスしたファイルのファイルサイズ分布を示すグラフ１０２とを示している。
【００５５】
図９によれば、設定領域内に他の人物がいる場合は比較的小さいサイズのファイルを操作することが多く、設定領域内に他の人物がいない場合は比較的大きいサイズのファイルを操作することが多いことが明らかで、明らかに操作内容に差異が見られることから、この操作ログを残したユーザは不審行動を行っていると判断できる。
【００５６】
具体的に不審行動分析手段３２は、グラフ１０１及び１０２に示す２つの分布の分布間距離をヘリンガ距離として算出して操作内容の差異を定量的に分析し、算出された２分布間距離を閾値と比較し、比較結果に基づいてユーザの不審行動を検出する。ここでは、ファイルサイズという一つのカラムを対象としているが、これを複数カラムについて分析しても一般性は失われない。
【００５７】
図１０は、不審行動検出手段３の動作を表すフローチャートである。まず、指示入力手段３１が、キーボードやマウスなどの入力手段から不審行動検出の指示を受け付ける（図１０のステップＡ１）。その際、特定のユーザに関しての検出指示を受ける場合や、特にユーザの指定を受けることなくシステムユーザ全員に関しての検出指示を受ける場合とがある。また、特定の期間に関しての検出指示を受ける場合や、特に期間の指定を受けることなく操作ログ格納手段２１に格納された全データを対象に分析を行うように指示を受ける場合とがある。
【００５８】
続いて、不審行動分析手段３２が、操作ログ検索手段２３に対して分析対象となるログ情報を問合せて、指定のユーザＩＤの指定期間のログ情報を得る（図１０のステップＡ２）。そして、得られたログ情報の各レコードについて該当する時間帯に指定のユーザの周辺に設定された領域内に他の人物がいたかいなかったかを人物有無情報検索手段１３に対して問合せる（図１０のステップＡ３）。
【００５９】
設定領域に他の人物がいた場合といなかった場合とでログ情報の各レコードを２つの集合に分離し、集合間に差異があるか否かを統計処理で判定する（図１０のステップＡ４）。差異があると判定された場合、このユーザは不審行動を行っていると判定し、その旨を不審行動検出結果表示手段３３に表示する（図１０のステップＡ５）。指定された全てのユーザについて分析が終わったら全体のフローを終了し、そうでなかったら別の指定ユーザについての分析を行う（図１０のステップＡ６）。
【００６０】
このように、本実施形態の不審検出システムによれば、就業時間内でも端末への不審行動を検出できる。また、オフィス内に人がいるが端末の近くに第三者がいないときに行われる不審行動を検出できる。例えば、操作者が、背後に第三者がいない隙に端末の画面に秘密情報を表示させて閲覧する行動や、端末の周囲に第三者がいない隙に端末からシステムにアクセスして秘密情報をダウンロードし外部記憶媒体にコピーする行動などが検出可能である。
【００６１】
［適用例２］
次に、本実施形態の他の例として、プリンタに対するユーザの不審行動を検出する場合について説明する。
【００６２】
プリンタを操作するユーザの不審行動を検出する場合、本実施形態における周辺人物検知手段１は、図１１に示すように、プリンタの置かれた机ｂと情報処理端末を介してプリンタを操作するユーザの机ａとを含む領域Ｃを設定する。これは、秘密ファイルを印刷するといった不正行為を検出するために設定する領域であり、領域Ｃ内に他の人物がいなければ、ユーザより先に他の人物がプリンタの印刷物をピックアップすることがないような大きさの領域を領域Ｃとして設定することが適切である。
【００６３】
人物有無情報格納手段１１には、特定のユーザを一意に示すユーザＩＤと、この特定のユーザに対して設定されたプリンタの周辺領域である領域Ｃに他の人物が検知されなかった時間帯の開始時刻及び終了時刻とが対応付けられた情報が格納されている。
【００６４】
操作検出手段２は、プリンタ本体の動作ログやプリンタサーバの印刷ログから定期的にログを収集する。操作検出手段２における操作ログ格納手段２１は、印刷ログ情報を格納する。印刷ログ情報の１レコードは、プリンタを識別する機器ＩＤと、プリンタへの操作指令の発信元である情報処理端末に紐付けされたユーザを識別するユーザＩＤ、操作の種類および操作の関連情報とからなる。
【００６５】
操作ログ格納手段２１に格納されているログ情報は、機器ＩＤ、ユーザＩＤ、操作時刻、印刷ファイル所有者、印刷ファイルサイズの各カラムからなる情報である。これらのカラムのうち、機器ＩＤとユーザＩＤ，操作時刻は必須で、他のカラムも１つ以上は必要である。また、２次的に算出できる情報として、単位時間当たりの操作回数、単位時間当たりに印刷したファイルサイズの総量などがある。
【００６６】
不審行動検出手段３は、領域Ｃ内に人物がいる場合といない場合とで操作検出手段２に検出された操作の内容に差異のあることを統計処理で判定する。不審行動分析手段３２は、外部からの指令に応じて、操作検出手段３の操作ログ検索手段３３に対して不審行動検出の対象となるプリンタの操作ログを問合せて指定ユーザＩＤの指定期間の該当機器ＩＤに関するログ情報を取得すると共に、この得られた情報の各レコードについて周辺人物検知手段１の人物有無情報検索手段１３に対して該当する時間帯の該当する領域Ｃ内の他の人物の有無を問合せて、他の人物がいなかった時間帯を示す情報を取得し、他の人物がいた場合といなかった場合とでログ情報を２つの集合に分離し、集合間で分布に差異があるかを比較し、差異を検出したらプリンタに対してユーザの不審な操作があったと判定する。
【００６７】
このように、本実施形態の不審検出システムは、不審操作検出の対象の電子機器が、ユーザによる遠隔操作に従って動作する構成であっても、電子機器の位置とこれに接続された情報処理端末を操作しているユーザの位置とを含む範囲に領域を設定することで、不審な操作を検出することができる。これにより、プリンタを利用した秘密ファイルのプリントアウトなどを抑止することができる。
【００６８】
ここで、本実施形態における周辺人物検知手段１，操作検出手段２，不審行動検出手段３については、その機能内容をプログラム化してコンピュータに実行させるように構成してもよい。
【００６９】
以上のように、本実施形態の不審行動検出システムによれば、電子機器の周辺にユーザ以外の他の人物がいるかいないかを木目細やかに判断し、周辺に他の人物がいない場合にユーザが通常とは異なった行動をとった場合、それを不審行動として検出するので、操作内容がユーザ毎に異なることや時期によって異なることの影響を受けることなく、ユーザの不審行動を安定的に検出することができ、電子機器の不正使用を効果的に抑止することができる。
【００７０】
また、本実施形態の不審行動検出システムは、端末を扱う従業員の操作ログを分析することで、近くに人がいないときに通常の業務と異なる操作を行っているといった従業員の行為を検出できるので、従業員の勤怠管理にも適用可能である。
【図面の簡単な説明】
【００７１】
【図１】本発明にかかる一実施形態の不審行動検出システムの構成を示す機能ブロック図である。
【図２】図１に開示した実施形態における周辺人物検知手段の構成を示す機能ブロック図である。
【図３】図１に開示した実施形態における操作検出手段の構成を示す機能ブロック図である。
【図４】図１に開示した実施形態における不審行動検出手段の構成を示す機能ブロック図である。
【図５】図１に開示した実施形態における周辺人物検知手段に設定される人物検知対象の領域の一例を示す図である。
【図６】図１に開示した実施形態における周辺人物検知手段に設定される人物検知対象の領域の他の例を示す図である。
【図７】図１に開示した実施形態における周辺人物検知手段の検知結果を示す情報の一例を示す図である。
【図８】図１に開示した実施形態における操作検出手段に蓄積された操作情報の一例を示す図である。
【図９】図１に開示した実施形態における不審行動検出手段の不審行動検出処理を説明するための図である。
【図１０】図１に開示した実施形態における不審行動検出手段の動作を示すフローチャートである。
【図１１】図１に開示した実施形態における周辺人物検知手段に設定される人物検知対象の領域の他の例を示す図である。
【符号の説明】
【００７２】
１ 周辺人物検知手段
２ 操作検出手段
３ 不審行動検出手段
１１ 人物有無情報格納手段
１２ 人物有無情報更新手段
１３ 人物有無情報検索手段
２１ 操作ログ格納手段
２２ 操作ログ更新手段
２３ 操作ログ検索手段
３１ 指示入力手段
３２ 不審行動分析手段
３３ 検出結果表示手段
【技術分野】
【０００１】
本発明は、情報システムにおけるユーザの不審な操作を検出する不審行動検出システム，不審行動検出方法及び不審行動検出プログラムに関する。
【背景技術】
【０００２】
情報システムにおいて情報漏洩対策は重要な課題であり、機密情報や個人情報の流出を防止する高性能な技術が広く求められている。これを鑑みて、非特許文献１には、監査ログを分析することでユーザの不審な行為を検出し端末の不正使用を抑止する技術が開示されている。
【０００３】
非特許文献１に開示された技術は、情報システムのデータベース監査ログを定期的に分析し、一定条件に合致したログを不審行動として抽出して管理者宛てに通知するというものである。非特許文献１に記載の「表２」に示された各事例によると、早朝、夜間、休日などの就業時間外に大量の顧客情報にアクセスする行為を不審な行為と定義している。
【０００４】
また、これに関連して、様々な場における不審な行為を検知する技術が、特許文献１乃至３に開示されている。特許文献１に開示された技術は、遊戯台と、センサユニットと、警告ランプとから構成された監視装置であり、営業時間後に遊戯台の電源が落とされるとセンサユニットが監視モードとなり、その状態で不審者が遊戯台に接近するとセンサユニットに感知履歴が残り、翌日遊戯台に電源を投入する際に感知履歴が残っていれば警告を発する。この監視装置では、遊戯台に対する不審な行為は営業時間外に行われることが前提となっている。
【０００５】
特許文献２に開示された技術は、ログデータ取得手段と、ログファイル保存手段と、ログファイル検索手段と、ログデータ比較手段と、監視カメラ制御手段とから構成されたＡＴＭ監視システムである。このような構成を有するシステムでは、ログデータ取得手段がＡＴＭを操作している顧客の操作内容をログデータとして取得し、ログデータ検索手段が同顧客の過去のログデータをログファイル保存手段から読み出し、両データをログデータ比較手段が比較し、両データの差が閾値以上大きなものである場合に注意信号を出力し、さらに、監視カメラ制御手段が監視カメラをその顧客に向け、顔の画像を取得する。この監視システムは、顧客の操作状態から不審行動を検出することと、監視カメラとの連動に特徴がある。
【０００６】
特許文献３に開示された技術は、監視カメラと、店舗ＰＣと、監視テーブルとから構成された監視システムである。このような構成を有する監視システムでは、店舗ＰＣが監視カメラに撮影された画像から顧客の特徴を認識して監視対象者を特定し、監視対象者の滞在時間が監視テーブルに設定されている時間を経過したか否かを判別し、経過していれば管理者に通知する。この特許文献３の監視システムは、監視対象者の行動を滞在時間に変換して不審行動を判定するところに特徴がある。
【０００７】
【非特許文献１】吉田晃、「中級 情報漏洩を防ぐＤＢセキュリティ 第３回」、［online］、２００６年５月１５日、日経ＢＰ社、インターネット〈URL:http://itpro.nikkeibp.co.jp/article/COLUMN/20060512/237709/〉
【特許文献１】特開２００６−２９６４８９号公報
【特許文献２】特開２００３−１６４９８号公報
【特許文献３】特開２００７−７４３３０号公報
【発明の開示】
【発明が解決しようとする課題】
【０００８】
しかしながら、上述した従来技術では、不審行動とみなす条件を画一的に定義しているため、システムユーザの操作内容の多様性と変化に対応できず、情報システムに対するユーザの不審な行為を正確に検出できないという問題があった。
【０００９】
例えば、非特許文献１に開示された技術は、早朝、夜間、休日などの就業時間外に端末の不正使用が行われることを前提としているが、企業情報システムにおいては、就業時間内でもオフィス内にユーザ以外の第三者がいない場合は端末の不正使用が行われる可能性がある。また、オフィス内にユーザ以外の第三者がいる場合もユーザの近くに第三者がいなければ不正使用を行う可能性がある。ユーザの背後に第三者がいなければ端末の画面に秘密情報を表示させることは可能であり、プリンタの近辺に第三者がいなければ秘密情報を印刷することは可能である。よって、非特許文献１の技術では、勤務時間内の不正な行為を検知できない。
【００１０】
また、非特許文献１の技術では、アクセス情報の容量やログインの失敗回数から不審行動を判断し、特許文献１の技術では遊戯台への接近具合から判断し、特許文献２の技術ではＡＴＭへのキー入力のスピードや暗証番号不一致回数から判断し、特許文献３の技術では滞在時間の期待値で判断しているなど、上述した従来技術では、ユーザの行動内容から不審行動と判断する条件を画一的に定義している。しかし、情報システムにおいては、端末に対して様々な種類の操作が行われ、各部門や各社員の担当業務で異なる種類の操作が行われ、時間の経過と共に操作の傾向が変化するため、不審行動とみなす条件を操作内容から画一的に定義して実際に不審行為を検出するとなると、膨大な数の条件を設定してそれを定期的に更新する必要があり、システムへの負担が増加してしまう。
【００１１】
［目的］
そこで、本発明は、上記従来技術の不都合を改善し、電子機器に対する操作の多様性や操作傾向の変化による影響を受けることなく、電子機器に対するユーザの不審行動を有効に検出する不審行動検出システム，不審行動検出方法及び不審行動検出用プログラムを提供することを、その目的とする。
【課題を解決するための手段】
【００１２】
上記目的を達成するため、本発明の不審行動検出システムは、電子機器の周辺に設定した領域内の人物の有無を検知する周辺人物検知手段と、電子機器に対するユーザの操作を検出する操作検出手段とを備え、周辺人物検知手段による検知結果と前記操作検出手段による検出結果とを照合して、電子機器の周辺に前記ユーザ以外の他の人物がいる場合といない場合とで当該ユーザの操作内容に差異があるか否かを判定し、この判定結果に基づいて当該ユーザの不審行動を検出する不審行動検出手段を備えたことを特徴とする。
【００１３】
次に、本発明の不審行動検出方法は、電子機器の周辺に設定した領域内の人物の有無を順次検知する周辺人物検知工程と、電子機器に対するユーザの操作を検出する操作検出工程とを設け、電子機器の周辺に前記ユーザ以外の他の人物がいる場合といない場合との当該ユーザの操作内容を比較して差異があるか否かを判定しこの判定結果に基づいてユーザの不審行動の有無を検出する不審行動検出工程を設けたことを特徴とする。
【００１４】
さらに、本発明の不審行動検出用プログラムは、電子機器の周辺に設定した領域内の人物の有無を検知する周辺人物検知機能と、電子機器に対する操作を検出する操作検出機能と、電子機器の周辺領域内に人物がいる場合といない場合とで当該電子機器に対する操作の内容に差異があるか否かを判定しこの判定結果に基づいてユーザの不審行動を検出する不審行動検出機能とをコンピュータに実行させることを特徴とする。
【発明の効果】
【００１５】
本発明は以上のように構成され機能するため、これにより、電子機器の周辺にユーザ以外の第三者がいる場合といない場合とでの操作内容の差異に基づいてユーザの不審行動の有無を判断するので、電子機器に対する操作内容の多様性や操作傾向の変化による影響を受けることなく、電子機器に対するユーザの不審行動を有効に検出して、機器の不正使用を効果的に抑止することができる。
【発明を実施するための最良の形態】
【００１６】
以下、本発明における一実施形態を、図面を参照して説明する。
【００１７】
図１は、本実施形態の不審行動検出システムの構成を示す機能ブロック図である。図１に示すように、本実施形態の不審行動検出システムは、情報処理端末，プリンタ，複合機，又は遊技台などの電子機器の周辺に設定した領域内の人物の有無を検知する周辺人物検知手段１と、この電子機器に対するユーザの操作を検出する操作検出手段２と、周辺人物検知手段１による検知結果と操作検出手段２による検出結果とを照合して電子機器の周辺にユーザ以外の他の人物がいる場合といない場合とでユーザの操作内容に差異があるか否かを判定しこの判定結果に基づいてユーザの不審行動を検出する不審行動検出手段３とを備えている。
【００１８】
周辺人物検知手段１は、電子機器を操作しているユーザの動作を他の人物が視認できる範囲の領域を設定し、この設定した領域内に他の人物がいるかいないかを検知する機能を備えている。例えば、電子機器の設置位置を中心とした円形領域のユーザの操作位置を除く領域を設定すれば、電子機器の周辺にユーザ以外の第三者がいるか否かを検知することができる。
【００１９】
また、周辺人物検知手段１は、例えば、設定領域内に設置されている他の機器と接続して各機器の稼働状況を監視することで他の人物の有無を検知するように構成してもよいし、監視カメラ等で設定領域内を撮影した映像を入力して画像認識し人物の有無とその位置座標を算出するように構成してもよい。また、設定した領域内に在る椅子などに設置された圧力センサの測定値の変化から人物の有無を検知するように構成してもよいし、設定した領域内の赤外線の波長分布をセンシングして人物の有無を検知するように構成してもよい。
【００２０】
操作検出手段２は、電子機器に関する操作ログ情報を検出し蓄積する機能を備えている。不審行動検出手段３は、電子機器周辺に設定された領域内に他の人物がいる場合といない場合とで電子機器に関するログ情報の内容に差異があるか否かを統計処理で判定する機能を備えている。
【００２１】
図２は、周辺人物検知手段１の内部構成を示す機能ブロック図である。図２に示すように、本実施形態における周辺人物検知手段１は、電子機器の設置位置を基準に設定した領域内の人物の有無を時刻と共に示す情報を格納する人物有無情報格納手段１１と、設定領域内の人物の有無を一定時間間隔で検知して人物有無情報格納手段１１に格納されている情報を更新する人物有無情報更新手段１２と、特定の電子機器周辺の特定の期間での人物の有無を人物有無情報格納手段１１に格納された情報の中から検索する人物有無情報検索手段１３とから構成されている。
【００２２】
人物有無情報格納手段１１は、電子機器の周辺に設定した領域内のユーザ以外の他の人物の有無をその時間帯と共に示した情報を格納する機能を備えている。人物有無情報更新手段１２は、電子機器周辺に設定した領域内に在る他の機器の稼働状況や、監視カメラ映像や、設定領域内に設置された圧力センサの測定値や、設定領域内の赤外線の波長分布などを基に、電子機器周辺に設定した領域内の人物の有無を判定し、判定結果に基づいて人物有無情報格納手段１１に格納されている情報を更新する機能を備えている。
【００２３】
人物有無情報検索手段１３は、不審行動検出手段３からの指示に従って、指定の期間での設定領域内の他の人物の有無を人物有無情報格納手段１１に格納された情報から検索し、該当する情報を不審行動検出手段３へ出力する機能を備えている。
【００２４】
図３は、操作検出手段２の内部構成を示す機能ブロック図である。図３に示すように、本実施形態における操作検出手段２は、電子機器に関する操作ログ情報を格納する操作ログ格納手段２１と、電子機器に関する操作ログ情報を収集し操作ログ格納手段２１に格納されている情報を更新する操作ログ更新手段２２と、特定の期間の操作ログ情報を操作ログ格納手段２１に格納された情報の中から検索する操作ログ検索手段２３とから構成されている。
【００２５】
操作ログ格納手段２１は、電子機器に対する操作の内容とその操作が行われた時刻とを含む操作ログ情報を格納する機能を備えている。操作ログ更新手段２２は、電子機器に係る操作ログ情報を該電子機器などから定期的に収集して操作ログ格納手段２１へ出力する機能を備えている。操作ログ検索手段２３は、不審行動検出手段３からの指示に従って、指定の期間の操作ログ情報を操作ログ格納手段２１に格納された情報から検索し、該当する情報を不審行動検出手段３へ出力する機能を備えている。
【００２６】
図４は、本実施形態における不審行動検出手段３の内部構成を示す機能ブロック図である。図４に示すように、本実施形態における不審行動検出手段３は、外部入力により不審行動検出の指令を受け付ける指示入力手段３１と、指令に従って指定の電子機器に係るログ情報の内容について電子機器の周辺に他の人物がいる場合といない場合とで差異があるか否かを分析し不審行動の有無を検出する不審行動分析手段３２と、不審行動の有無の検出結果を表示する検出結果表示手段３３とから構成されている。
【００２７】
不審行動分析手段３２は、指定の電子機器に係る指定の期間の操作ログ情報を操作検出手段２から取得すると共に、指定の期間における指定の電子機器の周辺の人物の有無を示す情報を周辺人物検知手段１から取得し、指定の電子機器の周辺に他の人物がいるときの操作ログ情報の内容といないときの内容とについて統計処理を実行し、両内容に差異かあるか否かを判定し、判定結果に基づいて指定の電子機器に対するユーザの不審な操作を検出する機能を備えている。
【００２８】
次に、本実施形態の動作について説明する。ここで、以下の動作説明は、本発明の不審行動検出方法の実施形態となるので、不審行動検出方法の各工程を対応する動作の記述と共に記す。
【００２９】
まず、周辺人物検知手段１における人物有無情報更新手段１２が、電子機器の周辺に設定した領域内に当該電子機器を操作するユーザ以外の他の人物がいるかいないかを、領域内の他の機器の稼働状況や設定領域内に設置した圧力センサ，設定領域内を撮影するカメラなどのいずれかを用いて、一定時間ごとに判定して（周辺人物検知工程）、判定結果に基づいて人物状態格納手段１１に格納されている情報を更新する（人物有無情報蓄積工程）。
【００３０】
また、操作検出手段２における操作ログ更新手段２２が、電子機器に係る操作ログ情報を収集し（操作検出工程）、操作ログ格納手段２１に格納されているログ情報を更新する（操作情報蓄積工程）。
【００３１】
そして、不審行動検出手段３における不審行動分析手段３２が、指示入力手段３１に入力された指令に従って、指定の電子機器に係る指定期間の操作ログ情報を操作検出手段２から取得すると共に、指定期間内の指定の電子機器の周辺の人物の有無を示す情報を周辺人物検知手段１から取得し、取得した操作ログ情報を設定領域内に他の人物がいた時といない時との２つの集合に分けて、集合間で分布に差異があるか否かを統計処理で判定し、判定結果に基づいて指定の電子機器に対するユーザの不審な操作を検出する（不審行動検出工程）。
【００３２】
このような本実施形態の不審行動検出システムによれば、電子機器に対する操作内容によって不審な行為を検出するのではなく、電子機器周辺に他の人物がいる場合といない場合とでの操作内容の差異から不審行動を検出するので、不審行動とみなす操作内容を定義する必要が無く、安定した不審行動検出が可能となる。また、電子機器とそれを操作するユーザとが紐付けされていれば、特定のユーザの不審行動を検出することができる。
【００３３】
［適用例１］
次に、本実施形態の一例として、情報処理端末に対するユーザの不審行動を検出する場合について説明する。
【００３４】
図５は、情報システムを導入したオフィスのレイアウトの一例を示す平面図である。図５に示す複数の矩形は、オフィス内の机を示しており、この各机の上には情報システムにかかる端末機器の情報処理端末やプリンタなどが設置されている。図５においては、説明の便宜上、不審行動検出の対象となるユーザが操作する情報処理端末の設置されている机ａを黒い矩形で示している。
【００３５】
机ａ上に設置された情報処理端末に対するユーザの不審行動を検出する場合、本実施形態における周辺人物検知手段１は、図５に示すように、机ａ上に設置されている情報処理端末を中心とした円形の領域Ａを対象領域に設定し、領域Ａ内に対象ユーザ以外の他の人物がいるか否かを検知する。
【００３６】
周辺人物検知手段１は、領域Ａ内に設置されている他の情報処理端末に対してキーボードやマウスからの入力があるかを基に領域Ａ内の他の人物の有無を検知する構成であってよい。またこれに限らず、領域Ａ内にある椅子に加わる圧力や椅子付近の赤外線の波長分布をセンシングして他の人物の有無を検出するように構成してもよく、複数のカメラでオフィス内を撮影し画像認識して人物の有無とその座標を算出し領域Ａ内の人物有無状態を特定する構成でもよい。
【００３７】
図５は、不審行動検出対象のユーザが操作する情報処理端末の位置を中心に一定半径の円領域Ａを設定した例を示しており、例えば、ユーザがＵＳＢメモリなどの小型の外部記憶媒体を用いて不正なファイルコピーを行う場合、情報処理端末へのＵＳＢメモリの抜き差し行為は一定程度離れた位置からでは観察し難いので、図５に示すような対象領域設定が有効となる。
【００３８】
他の人物がユーザの操作を視認できる位置にいるか否かを検知できればよいので、周辺人物検知手段１が設定する領域は、円形の領域に限らず、オフィス内における機器の配置具合に依存した形状に設定してもよい。例えば、机ａの隣に大きなサーバ装置や柱などがある場合は、そのサーバ装置等を介して机ａの反対側にいる人物はユーザの操作を見ることはできないので、このサーバ装置等を介して机ａの反対側に位置する領域を対象領域外に設定するように構成してもよい。
【００３９】
また、ユーザが情報処理端末を操作して秘密ファイルを同端末の表示画面に表示する場合を想定して、机ａ上にある情報処理端末の表示画面を他の人物が視認できる範囲を人物の検知を行う領域に設定してもよい。この場合の設定領域の一例を図６に領域Ｂとして示す。図６においては、机ａ上にある情報処理端末の表示画面が図面下を向いているものとする。
【００４０】
図７は、周辺人物検知手段１における人物有無情報格納手段１１に格納されている情報を示す図である。図７に示すように、人物有無情報格納手段１１には、特定の情報処理端末に紐付けされたユーザを一意的に示すユーザＩＤと、その特定の情報処理端末の周辺領域内に他の人物が検知されなかった時間帯の開始時刻及び終了時刻とを示す情報が格納されている。図７に示す情報は、ユーザＩＤが１０番のユーザについて、９月２０日の１７時１５分から翌日８時３０分までと、９月２１日の１２時から１３時までと、９月２１日の１７時１５分以降は対象領域に他の人物がいなかったこと示している。
【００４１】
周辺人物検知手段１における人物有無情報更新手段１２は、不審行動検出対象のユーザが操作する情報処理端末の周辺として設定された領域内にこのユーザ以外の他の人物がいるかいないかを一定時間毎に検知する。例えば、設定した領域内に設置されている別の機器の稼働状況や、設定した領域内に在る椅子に加わる圧力やこの椅子付近の赤外線の波長分布や、複数のカメラによるオフィス内の撮影画像などに基づいて、一定時間毎に領域内に他の人物がいるか否かを判定し、人物有無情報格納手段１１に格納されている情報を更新する。また、情報処理端末の周辺として設定する領域としては、例えば、図５に示す円領域Ａや図６に示す領域Ｂがある。
【００４２】
周辺人物検知手段１における人物有無情報検索手段１３は、不審行動検出手段３からの指令に従って、指定された期間の指定されたユーザＩＤに関する情報を人物有無情報格納手段１１に格納された情報の中から検索し、該当する情報を不審行動検出手段３へ送信する機能を備えている。
【００４３】
操作検出手段２は、情報処理端末の操作ログや、ファイルサーバのファイルアクセスログや、プロキシサーバのＷｅｂ閲覧ログや、メールサーバのメール送受信ログや、プリンタサーバの印刷ログから定期的にログを収集することで、情報処理端末に対するユーザの操作を検出する機能を備えている。
【００４４】
操作検出手段２における操作ログ更新手段２２は、情報処理端末の端末操作ログや、ファイルサーバのファイルアクセスログや、プロキシサーバのＷｅｂ閲覧ログや、メールサーバのメール送受信ログや、プリンタサーバの印刷ログなどから定期的にログを収集し、操作ログ格納手段２１へ出力する。
【００４５】
操作ログ格納手段２１は、システムユーザ毎のログ情報を格納する。ログ情報の１レコードは、ユーザを一意に定めるユーザＩＤと、このユーザが行った操作の種類および操作の関連情報とからなる。
【００４６】
図８は、操作ログ格納手段２１に格納されているログ情報の一例を示す図である。図８に示すログ情報は、ファイルアクセスに関する操作の内容を示す情報であり、ユーザＩＤ、操作時刻、操作種類、ファイル種別、ファイル所有者、アクセス権限、ファイルサイズの各カラム（列）からなる情報である。図８に示す図は、ユーザＩＤが１０番のユーザについて、自分自身、管理者、チームリーダそれぞれが所有するファイルを編集した履歴を示している。ここで、ファイル種別としては、画像ファイル、文書ファイル、暗号化ファイル、などがある。
【００４７】
これらのカラムのうち、ユーザＩＤと操作時刻は必須で、他のカラムも１つ以上は必要である。また、２次的に算出できる情報として、単位時間当たりの操作回数、単位時間当たりに操作したファイルサイズの総量などがある。
【００４８】
また、操作ログ格納手段２１に格納されるログ情報が、メールサーバのメール送受信ログから得られる、メール送受信に関する操作の内容を示す情報の場合は、ユーザＩＤ、操作時刻、送信メール宛先、送信メールサイズ、送信添付ファイル個数、送信添付ファイルのファイルサイズの各カラムからなる情報となる。これらのカラムのうち、人物ＩＤと操作時刻は必須、他のカラムも１つ以上は必要である。２次的に算出できるカラムとして、単位時間当たりの操作回数、単位時間当たりに送受信したメールサイズの総量などがある。このような情報により、ユーザによる不審な電子メール送受信操作を検出することができる。
【００４９】
また、操作ログ格納手段２１に格納されるログ情報が、プロキシサーバのＷｅｂ閲覧ログから得られる、Ｗｅｂサイト閲覧に関する操作の内容を示す情報の場合は、ユーザＩＤ，操作時刻，リクエスト種別，閲覧ページのＵＲＬ，転送データサイズ，ステータスコードの各カラムからなる情報となる。これらのカラムのうち、ユーザＩＤと操作時刻は必須、他のカラムも１つ以上は必要である。２次的に算出できるカラムとして、単位時間当たりの操作回数、単位時間当たりに転送データサイズの総量などがあげられる。このような情報により、ユーザによる不審なＷｅｂサイト閲覧操作を検出することができる。
【００５０】
操作検出手段２における操作ログ検索手段２３は、不審行動検出手段３からの指令に従って、指定時間帯の指定ユーザＩＤに対応するログ情報を操作ログ格納手段２１から検索し、該当する情報を不審行動検出手段３へ送信する。
【００５１】
不審行動検出手段３は、設定領域内に人物がいる場合といない場合とで操作検出手段２に検出された操作の内容に差異があるか否かを統計処理で判定する。
【００５２】
不審行動検出手段３における指示入力手段３１は、外部入力により不審行動検出の指令を受け付ける。不審行動分析手段３２は、指令に応じて、操作検出手段３の操作ログ検索手段３３に対して不審行動検出の対象となる操作ログを問合せて該当するユーザＩＤの該当する期間のログ情報を取得すると共に、この得られた情報の各レコードについて周辺人物検知手段１の人物有無情報検索手段１３に対して該当する時間帯の該当する領域内の人物の有無を問合せて、他の人物がいなかった時間帯を示す情報を取得し、他の人物がいた場合といなかった場合とでログ情報を２つの集合に分離し、集合間で分布に差異があるかを比較する。
【００５３】
不審行動分析手段３２による分析処理について、ログ情報におけるアクセスファイルサイズを分析対象とした場合を説明する。
【００５４】
図９は、不審行動検出対象のユーザが操作する情報処理端末の周辺に設定した領域内に、このユーザ以外の他の人物がいたときにこのユーザが情報処理端末を操作してアクセスしたファイルのファイルサイズ分布を示すグラフ１０１と、いなかったときにアクセスしたファイルのファイルサイズ分布を示すグラフ１０２とを示している。
【００５５】
図９によれば、設定領域内に他の人物がいる場合は比較的小さいサイズのファイルを操作することが多く、設定領域内に他の人物がいない場合は比較的大きいサイズのファイルを操作することが多いことが明らかで、明らかに操作内容に差異が見られることから、この操作ログを残したユーザは不審行動を行っていると判断できる。
【００５６】
具体的に不審行動分析手段３２は、グラフ１０１及び１０２に示す２つの分布の分布間距離をヘリンガ距離として算出して操作内容の差異を定量的に分析し、算出された２分布間距離を閾値と比較し、比較結果に基づいてユーザの不審行動を検出する。ここでは、ファイルサイズという一つのカラムを対象としているが、これを複数カラムについて分析しても一般性は失われない。
【００５７】
図１０は、不審行動検出手段３の動作を表すフローチャートである。まず、指示入力手段３１が、キーボードやマウスなどの入力手段から不審行動検出の指示を受け付ける（図１０のステップＡ１）。その際、特定のユーザに関しての検出指示を受ける場合や、特にユーザの指定を受けることなくシステムユーザ全員に関しての検出指示を受ける場合とがある。また、特定の期間に関しての検出指示を受ける場合や、特に期間の指定を受けることなく操作ログ格納手段２１に格納された全データを対象に分析を行うように指示を受ける場合とがある。
【００５８】
続いて、不審行動分析手段３２が、操作ログ検索手段２３に対して分析対象となるログ情報を問合せて、指定のユーザＩＤの指定期間のログ情報を得る（図１０のステップＡ２）。そして、得られたログ情報の各レコードについて該当する時間帯に指定のユーザの周辺に設定された領域内に他の人物がいたかいなかったかを人物有無情報検索手段１３に対して問合せる（図１０のステップＡ３）。
【００５９】
設定領域に他の人物がいた場合といなかった場合とでログ情報の各レコードを２つの集合に分離し、集合間に差異があるか否かを統計処理で判定する（図１０のステップＡ４）。差異があると判定された場合、このユーザは不審行動を行っていると判定し、その旨を不審行動検出結果表示手段３３に表示する（図１０のステップＡ５）。指定された全てのユーザについて分析が終わったら全体のフローを終了し、そうでなかったら別の指定ユーザについての分析を行う（図１０のステップＡ６）。
【００６０】
このように、本実施形態の不審検出システムによれば、就業時間内でも端末への不審行動を検出できる。また、オフィス内に人がいるが端末の近くに第三者がいないときに行われる不審行動を検出できる。例えば、操作者が、背後に第三者がいない隙に端末の画面に秘密情報を表示させて閲覧する行動や、端末の周囲に第三者がいない隙に端末からシステムにアクセスして秘密情報をダウンロードし外部記憶媒体にコピーする行動などが検出可能である。
【００６１】
［適用例２］
次に、本実施形態の他の例として、プリンタに対するユーザの不審行動を検出する場合について説明する。
【００６２】
プリンタを操作するユーザの不審行動を検出する場合、本実施形態における周辺人物検知手段１は、図１１に示すように、プリンタの置かれた机ｂと情報処理端末を介してプリンタを操作するユーザの机ａとを含む領域Ｃを設定する。これは、秘密ファイルを印刷するといった不正行為を検出するために設定する領域であり、領域Ｃ内に他の人物がいなければ、ユーザより先に他の人物がプリンタの印刷物をピックアップすることがないような大きさの領域を領域Ｃとして設定することが適切である。
【００６３】
人物有無情報格納手段１１には、特定のユーザを一意に示すユーザＩＤと、この特定のユーザに対して設定されたプリンタの周辺領域である領域Ｃに他の人物が検知されなかった時間帯の開始時刻及び終了時刻とが対応付けられた情報が格納されている。
【００６４】
操作検出手段２は、プリンタ本体の動作ログやプリンタサーバの印刷ログから定期的にログを収集する。操作検出手段２における操作ログ格納手段２１は、印刷ログ情報を格納する。印刷ログ情報の１レコードは、プリンタを識別する機器ＩＤと、プリンタへの操作指令の発信元である情報処理端末に紐付けされたユーザを識別するユーザＩＤ、操作の種類および操作の関連情報とからなる。
【００６５】
操作ログ格納手段２１に格納されているログ情報は、機器ＩＤ、ユーザＩＤ、操作時刻、印刷ファイル所有者、印刷ファイルサイズの各カラムからなる情報である。これらのカラムのうち、機器ＩＤとユーザＩＤ，操作時刻は必須で、他のカラムも１つ以上は必要である。また、２次的に算出できる情報として、単位時間当たりの操作回数、単位時間当たりに印刷したファイルサイズの総量などがある。
【００６６】
不審行動検出手段３は、領域Ｃ内に人物がいる場合といない場合とで操作検出手段２に検出された操作の内容に差異のあることを統計処理で判定する。不審行動分析手段３２は、外部からの指令に応じて、操作検出手段３の操作ログ検索手段３３に対して不審行動検出の対象となるプリンタの操作ログを問合せて指定ユーザＩＤの指定期間の該当機器ＩＤに関するログ情報を取得すると共に、この得られた情報の各レコードについて周辺人物検知手段１の人物有無情報検索手段１３に対して該当する時間帯の該当する領域Ｃ内の他の人物の有無を問合せて、他の人物がいなかった時間帯を示す情報を取得し、他の人物がいた場合といなかった場合とでログ情報を２つの集合に分離し、集合間で分布に差異があるかを比較し、差異を検出したらプリンタに対してユーザの不審な操作があったと判定する。
【００６７】
このように、本実施形態の不審検出システムは、不審操作検出の対象の電子機器が、ユーザによる遠隔操作に従って動作する構成であっても、電子機器の位置とこれに接続された情報処理端末を操作しているユーザの位置とを含む範囲に領域を設定することで、不審な操作を検出することができる。これにより、プリンタを利用した秘密ファイルのプリントアウトなどを抑止することができる。
【００６８】
ここで、本実施形態における周辺人物検知手段１，操作検出手段２，不審行動検出手段３については、その機能内容をプログラム化してコンピュータに実行させるように構成してもよい。
【００６９】
以上のように、本実施形態の不審行動検出システムによれば、電子機器の周辺にユーザ以外の他の人物がいるかいないかを木目細やかに判断し、周辺に他の人物がいない場合にユーザが通常とは異なった行動をとった場合、それを不審行動として検出するので、操作内容がユーザ毎に異なることや時期によって異なることの影響を受けることなく、ユーザの不審行動を安定的に検出することができ、電子機器の不正使用を効果的に抑止することができる。
【００７０】
また、本実施形態の不審行動検出システムは、端末を扱う従業員の操作ログを分析することで、近くに人がいないときに通常の業務と異なる操作を行っているといった従業員の行為を検出できるので、従業員の勤怠管理にも適用可能である。
【図面の簡単な説明】
【００７１】
【図１】本発明にかかる一実施形態の不審行動検出システムの構成を示す機能ブロック図である。
【図２】図１に開示した実施形態における周辺人物検知手段の構成を示す機能ブロック図である。
【図３】図１に開示した実施形態における操作検出手段の構成を示す機能ブロック図である。
【図４】図１に開示した実施形態における不審行動検出手段の構成を示す機能ブロック図である。
【図５】図１に開示した実施形態における周辺人物検知手段に設定される人物検知対象の領域の一例を示す図である。
【図６】図１に開示した実施形態における周辺人物検知手段に設定される人物検知対象の領域の他の例を示す図である。
【図７】図１に開示した実施形態における周辺人物検知手段の検知結果を示す情報の一例を示す図である。
【図８】図１に開示した実施形態における操作検出手段に蓄積された操作情報の一例を示す図である。
【図９】図１に開示した実施形態における不審行動検出手段の不審行動検出処理を説明するための図である。
【図１０】図１に開示した実施形態における不審行動検出手段の動作を示すフローチャートである。
【図１１】図１に開示した実施形態における周辺人物検知手段に設定される人物検知対象の領域の他の例を示す図である。
【符号の説明】
【００７２】
１ 周辺人物検知手段
２ 操作検出手段
３ 不審行動検出手段
１１ 人物有無情報格納手段
１２ 人物有無情報更新手段
１３ 人物有無情報検索手段
２１ 操作ログ格納手段
２２ 操作ログ更新手段
２３ 操作ログ検索手段
３１ 指示入力手段
３２ 不審行動分析手段
３３ 検出結果表示手段
【特許請求の範囲】
【請求項１】
電子機器の周辺に設定した領域内の人物の有無を検知する周辺人物検知手段と、前記電子機器に対するユーザの操作を検出する操作検出手段とを備え、
前記周辺人物検知手段による検知結果と前記操作検出手段による検出結果とを照合して、前記電子機器の周辺に前記ユーザ以外の他の人物がいる場合といない場合とで当該ユーザの操作内容に差異があるか否かを判定し、この判定結果に基づいて当該ユーザの不審行動を検出する不審行動検出手段を備えたことを特徴とする不審行動検出システム。
【請求項２】
前記請求項１に記載の不審行動検出システムにおいて、
前記周辺人物検知手段は、検知時刻と検知結果である人物の有無とを示す情報を格納する機能を備えると共に、
前記操作検出手段は、検出した操作の内容とその操作時刻とを示す情報を格納する機能を備え、
前記不審行動検出手段は、前記ユーザの操作内容を前記設定した領域内に他の人物がいた時といない時との２つの集合に分けて、集合間で内容の分布に差異があるか否かを統計処理で判定する機能を備えたことを特徴とする不審行動検出システム。
【請求項３】
前記請求項２に記載の不審行動検出システムにおいて、
前記周辺人物検知手段は、前記電子機器に対する前記ユーザの行為を前記他の人物が視認できる範囲の領域を設定し、この領域内の人物の有無を検知することを特徴とする不審行動検出システム。
【請求項４】
前記請求項２に記載の不審行動検出システムにおいて、
前記周辺人物検知手段は、前記他の人物が前記電子機器の表示画面を視認できる範囲の領域を設定し、この領域内の人物の有無を検知することを特徴とする不審行動検出システム。
【請求項５】
前記請求項２に記載の不審行動検出システムにおいて、
前記電子機器が、ユーザに遠隔操作される構成であり、
前記周辺人物検知手段は、前記電子機器の位置と当該電子機器を遠隔操作しているユーザの位置とを含む１つの領域を設定し、この領域内の人物の有無を検知することを特徴とする不審行動検出システム。
【請求項６】
前記請求項２に記載の不審行動検出システムにおいて、
前記電子機器が、情報処理端末であり、
前記操作検出手段は、ファイルアクセスに関する操作を検出する機能を備え、
前記不審行動検出手段は、操作回数，操作対象ファイルの種別，操作対象ファイルの所有者，操作対象ファイルのアクセス権限，操作対象ファイルのファイルサイズのうちの少なくとも一つを前記対象領域内に他の人物がいた時といない時との２つの集合に分けて、分布に差異があるか否かを統計処理で判別する機能を備えたことを特徴とする不審行動検出システム。
【請求項７】
前記請求項２に記載の不審行動検出システムにおいて、
前記電子機器が、情報処理端末であり、
前記操作検出手段は、メール送受信に関する操作を検出する機能を備え、
前記不審行動検出手段は、送信メール宛先，送信メールのメールサイズ，送信メールの添付ファイル個数，添付ファイルのファイルサイズのうちの少なくとも一つを前記対象領域内に他の人物がいた時といない時との２つの集合に分けて、分布に差異があるか否かを統計処理で判別する機能を備えたことを特徴とする不審行動検出システム。
【請求項８】
前記請求項２に記載の不審行動検出システムにおいて、
前記電子機器が、情報処理端末であり、
前記操作検出手段は、ウェブサイト閲覧に関する操作を検出する機能を備え、
前記不審行動検出手段は、操作回数，閲覧先ＵＲＬ，このＵＲＬからの転送データサイズのうちの少なくとも一つを前記対象領域内に他の人物がいた時といない時との２つの集合に分けて、分布に差異があるか否かを統計処理で判別する機能を備えたことを特徴とする不審行動検出システム。
【請求項９】
電子機器の周辺に設定した領域内の人物の有無を順次検知する周辺人物検知工程と、前記電子機器に対するユーザの操作を検出する操作検出工程とを設け、
前記電子機器の周辺に前記ユーザ以外の他の人物がいる場合といない場合との当該ユーザの操作内容を比較して差異があるか否かを判定しこの判定結果に基づいて前記ユーザの不審行動の有無を検出する不審行動検出工程を設けたことを特徴とする不審行動検出方法。
【請求項１０】
前記請求項９に記載の不審行動検出方法において、
前記周辺人物検知工程の検知結果である人物の有無と検知時刻とを示す情報を蓄積する人物有無情報蓄積工程を設けると共に、前記操作検出工程で検出された前記ユーザの操作内容とその操作時刻とを示す情報を蓄積する操作情報蓄積工程を設け、
前記不審行動検出工程では、前記ユーザの操作内容を前記設定領域内に他の人物がいた時といない時との２つの集合に分けて、集合間で内容の分布に差異があるか否かを統計処理で判定することを特徴とする不審行動検出方法。
【請求項１１】
電子機器の周辺に設定した領域内の人物の有無を検知する周辺人物検知機能と、前記電子機器に対する操作を検出する操作検出機能と、前記電子機器の周辺領域内に人物がいる場合といない場合とで当該電子機器に対する操作の内容に差異があるか否かを判定しこの判定結果に基づいてユーザの不審行動を検出する不審行動検出機能とをコンピュータに実行させることを特徴とする不審行動検出用プログラム。
【請求項１２】
前記請求項１１に記載の不審行動検出用プログラムにおいて、
前記周辺人物検知機能の検知結果である人物の有無と検知時刻とを示す情報をメモリに格納する機能と、前記操作検出機能に検出された前記ユーザの操作内容とその操作時刻とを示す情報をメモリに格納する機能と共に、
前記不審行動検出機能を、前記ユーザの操作内容を前記設定領域に他の人物がいた時といない時との２つの集合に分けて集合間で内容の分布に差異があるか否かを統計処理で判定する機能として前記コンピュータに実行させることを特徴とする不審行動検出用プログラム。
【請求項１】
電子機器の周辺に設定した領域内の人物の有無を検知する周辺人物検知手段と、前記電子機器に対するユーザの操作を検出する操作検出手段とを備え、
前記周辺人物検知手段による検知結果と前記操作検出手段による検出結果とを照合して、前記電子機器の周辺に前記ユーザ以外の他の人物がいる場合といない場合とで当該ユーザの操作内容に差異があるか否かを判定し、この判定結果に基づいて当該ユーザの不審行動を検出する不審行動検出手段を備えたことを特徴とする不審行動検出システム。
【請求項２】
前記請求項１に記載の不審行動検出システムにおいて、
前記周辺人物検知手段は、検知時刻と検知結果である人物の有無とを示す情報を格納する機能を備えると共に、
前記操作検出手段は、検出した操作の内容とその操作時刻とを示す情報を格納する機能を備え、
前記不審行動検出手段は、前記ユーザの操作内容を前記設定した領域内に他の人物がいた時といない時との２つの集合に分けて、集合間で内容の分布に差異があるか否かを統計処理で判定する機能を備えたことを特徴とする不審行動検出システム。
【請求項３】
前記請求項２に記載の不審行動検出システムにおいて、
前記周辺人物検知手段は、前記電子機器に対する前記ユーザの行為を前記他の人物が視認できる範囲の領域を設定し、この領域内の人物の有無を検知することを特徴とする不審行動検出システム。
【請求項４】
前記請求項２に記載の不審行動検出システムにおいて、
前記周辺人物検知手段は、前記他の人物が前記電子機器の表示画面を視認できる範囲の領域を設定し、この領域内の人物の有無を検知することを特徴とする不審行動検出システム。
【請求項５】
前記請求項２に記載の不審行動検出システムにおいて、
前記電子機器が、ユーザに遠隔操作される構成であり、
前記周辺人物検知手段は、前記電子機器の位置と当該電子機器を遠隔操作しているユーザの位置とを含む１つの領域を設定し、この領域内の人物の有無を検知することを特徴とする不審行動検出システム。
【請求項６】
前記請求項２に記載の不審行動検出システムにおいて、
前記電子機器が、情報処理端末であり、
前記操作検出手段は、ファイルアクセスに関する操作を検出する機能を備え、
前記不審行動検出手段は、操作回数，操作対象ファイルの種別，操作対象ファイルの所有者，操作対象ファイルのアクセス権限，操作対象ファイルのファイルサイズのうちの少なくとも一つを前記対象領域内に他の人物がいた時といない時との２つの集合に分けて、分布に差異があるか否かを統計処理で判別する機能を備えたことを特徴とする不審行動検出システム。
【請求項７】
前記請求項２に記載の不審行動検出システムにおいて、
前記電子機器が、情報処理端末であり、
前記操作検出手段は、メール送受信に関する操作を検出する機能を備え、
前記不審行動検出手段は、送信メール宛先，送信メールのメールサイズ，送信メールの添付ファイル個数，添付ファイルのファイルサイズのうちの少なくとも一つを前記対象領域内に他の人物がいた時といない時との２つの集合に分けて、分布に差異があるか否かを統計処理で判別する機能を備えたことを特徴とする不審行動検出システム。
【請求項８】
前記請求項２に記載の不審行動検出システムにおいて、
前記電子機器が、情報処理端末であり、
前記操作検出手段は、ウェブサイト閲覧に関する操作を検出する機能を備え、
前記不審行動検出手段は、操作回数，閲覧先ＵＲＬ，このＵＲＬからの転送データサイズのうちの少なくとも一つを前記対象領域内に他の人物がいた時といない時との２つの集合に分けて、分布に差異があるか否かを統計処理で判別する機能を備えたことを特徴とする不審行動検出システム。
【請求項９】
電子機器の周辺に設定した領域内の人物の有無を順次検知する周辺人物検知工程と、前記電子機器に対するユーザの操作を検出する操作検出工程とを設け、
前記電子機器の周辺に前記ユーザ以外の他の人物がいる場合といない場合との当該ユーザの操作内容を比較して差異があるか否かを判定しこの判定結果に基づいて前記ユーザの不審行動の有無を検出する不審行動検出工程を設けたことを特徴とする不審行動検出方法。
【請求項１０】
前記請求項９に記載の不審行動検出方法において、
前記周辺人物検知工程の検知結果である人物の有無と検知時刻とを示す情報を蓄積する人物有無情報蓄積工程を設けると共に、前記操作検出工程で検出された前記ユーザの操作内容とその操作時刻とを示す情報を蓄積する操作情報蓄積工程を設け、
前記不審行動検出工程では、前記ユーザの操作内容を前記設定領域内に他の人物がいた時といない時との２つの集合に分けて、集合間で内容の分布に差異があるか否かを統計処理で判定することを特徴とする不審行動検出方法。
【請求項１１】
電子機器の周辺に設定した領域内の人物の有無を検知する周辺人物検知機能と、前記電子機器に対する操作を検出する操作検出機能と、前記電子機器の周辺領域内に人物がいる場合といない場合とで当該電子機器に対する操作の内容に差異があるか否かを判定しこの判定結果に基づいてユーザの不審行動を検出する不審行動検出機能とをコンピュータに実行させることを特徴とする不審行動検出用プログラム。
【請求項１２】
前記請求項１１に記載の不審行動検出用プログラムにおいて、
前記周辺人物検知機能の検知結果である人物の有無と検知時刻とを示す情報をメモリに格納する機能と、前記操作検出機能に検出された前記ユーザの操作内容とその操作時刻とを示す情報をメモリに格納する機能と共に、
前記不審行動検出機能を、前記ユーザの操作内容を前記設定領域に他の人物がいた時といない時との２つの集合に分けて集合間で内容の分布に差異があるか否かを統計処理で判定する機能として前記コンピュータに実行させることを特徴とする不審行動検出用プログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【公開番号】特開２００９−１５１４８５（Ｐ２００９−１５１４８５Ａ）
【公開日】平成２１年７月９日（２００９．７．９）
【国際特許分類】
【出願番号】特願２００７−３２７８５７（Ｐ２００７−３２７８５７）
【出願日】平成１９年１２月１９日（２００７．１２．１９）
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
【公開日】平成２１年７月９日（２００９．７．９）
【国際特許分類】
【出願日】平成１９年１２月１９日（２００７．１２．１９）
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
[ Back to top ]