盗難状態判定システム及び盗難状態判定プログラム
【課題】
コンピュータ端末の盗難等による情報漏洩を防止するために、端末が使用されている状況の変化に応じて端末が盗難状態にあるかを自動的に判定し、情報漏洩防止処理を実行するシステムを提供することを目的とする。
【解決手段】
本発明の盗難状態判定システムにおける処理装置は、ネットワークに接続されている端末の稼働環境に関する情報と、ユーザによって操作された操作情報とを取得する。次に、判定対象として特定した端末の操作状態と、特定端末と同一の稼働環境で動作している端末の操作状態とを比較し、標準的なの操作状態と異なる異常な操作が行われていないかを検出する。そして、検出結果に基づいて端末が盗難状態にあるかどうかを自動判定することにより、盗難による情報漏洩防止を実現する。
コンピュータ端末の盗難等による情報漏洩を防止するために、端末が使用されている状況の変化に応じて端末が盗難状態にあるかを自動的に判定し、情報漏洩防止処理を実行するシステムを提供することを目的とする。
【解決手段】
本発明の盗難状態判定システムにおける処理装置は、ネットワークに接続されている端末の稼働環境に関する情報と、ユーザによって操作された操作情報とを取得する。次に、判定対象として特定した端末の操作状態と、特定端末と同一の稼働環境で動作している端末の操作状態とを比較し、標準的なの操作状態と異なる異常な操作が行われていないかを検出する。そして、検出結果に基づいて端末が盗難状態にあるかどうかを自動判定することにより、盗難による情報漏洩防止を実現する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、コンピュータ端末に記憶した情報の漏洩防止に関し、特にコンピュータ端末自体が盗難されることによって発生する情報漏洩を防止する技術に関する。
【背景技術】
【０００２】
企業や学校等において、コンピュータ端末を用いて作業を行うことは一般的である。その際、作成した情報ファイルや参照資料等の各種データを、端末に内蔵されているハードディスク等の記憶装置に保存して管理するという方法がよく用いられる。この方法は、適宜必要な資料を容易に取り出して活用できるという利便性がある反面、保存している情報が外部に漏洩する可能性が高いという問題点もある。具体的には、ノートパソコン等の持ち運びしやすい端末を使用する際に、盗難や置き忘れ等によって端末自体を紛失した場合に発生する情報漏洩の問題である。
【０００３】
上記の問題を解決する手段として、端末の盗難等による情報漏洩を防止する分野において、端末の起動時にサーバと通信し、サーバが認証を行って盗難状態ではないと判定した場合、サーバはその端末に対して、事前に暗号化していた保存データの復号回路を送信するという技術がある。この技術において、予めサーバ側に盗難状態にある端末リストを登録しておき、受信した端末の識別情報と盗難端末リストとを比較照合して、その端末が盗難状態にあるか否かの判定を行うという手段が用いられている。これにより、端末内に保存された機密情報が第三者によって漏洩する危険性を低減することができる。（特許文献１参照）
【０００４】
また、同様の分野において、端末の起動時にサーバと通信を行い、サーバがその端末のユーザ認証を行って使用不可と判定した場合、端末内保存データの消去指示を出すという技術がある。この技術において、予めサーバ内に端末使用可能なユーザリストを保存しておき、端末起動時に、実際にログインしているユーザ情報とサーバ内の使用可能ユーザリストとを比較することによって、端末が盗難状態か否かの判定を行うという手段が用いられている。これにより、予め端末の状態に関する情報を登録しておかなくても、自動的に端末が盗難状態にあるか否かを判定することができる。（特許文献２参照）
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００６−２９３５９４号公報
【特許文献２】特開２００６−１６３８４７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
特許文献１の技術を用いると、起動された端末が盗難状態にあるか否かを判定することはできる。しかし、管理対象となる端末全ての現在状態をリスト化してサーバに登録する必要がある。このため、リアルタイムに変化する状況に対応するためには、サーバに登録しているリストを随時更新しなければならず、手間が発生してしまう。
【０００７】
特許文献２の技術を用いると、予めサーバ内に端末の現在状態リストを登録しておかなくても、端末が盗難状態にあるか否かを判定することができる。しかし、使用可能ユーザとして登録されている者が不正行為を行っている可能性までは判定することができない。
【０００８】
本発明は、上記従来技術の問題点を解消することを課題とする。具体的には、端末の盗難等による情報漏洩を防止する分野において、端末が使用されている状況の変化に応じて端末が盗難状態であるかを判定し、判定結果に応じた情報漏洩防止処理を実行することを課題とする。
【課題を解決するための手段】
【０００９】
上記の課題を解決するために、本発明の盗難状態判定システムは、通信ネットワークを介して接続した端末が、盗難状態であるかを判定する処理装置を備える管理サーバを有しており、管理サーバの処理装置は、端末の稼働環境に関する情報を環境情報として取得する環境情報取得部と、端末に対してユーザが実行した操作情報を取得する操作情報取得部と、特定の端末の環境情報及び操作情報から、使用状態に関する情報を特定状態情報として生成する特定状態生成部と、特定端末と同一の環境情報を有する端末の環境情報及び操作情報から、使用状態に関する情報を標準状態情報として生成する標準状態情報生成部と、特定状態情報と標準状態情報とを比較し、特定端末の盗難危険性を判定する盗難状態判定部と、判定結果に応じて機密情報の情報漏洩防止処理を実行する制御部と、を備えることを特徴としている。
【００１０】
本発明の構成を採用することにより、特定の端末が動作する様々な稼働環境毎に使用状態を把握することができる。さらに、同一の稼働環境にある端末の使用状態と比較することで、稼働環境が類似する状況にある端末間で使用状態の差異を検出することができる。これにより、端末が使用される様々な状況に応じて、その端末が盗難状態であるかを判定することが可能となる。
【００１１】
また、本発明の盗難状態判定システムは、機密情報を記憶する記憶装置を有する端末と、端末が盗難状態であるかを判定する処理装置を備える管理サーバと、を有しており、そのうちの端末は、稼働環境に関する情報を環境情報として生成する環境情報生成部と、ユーザが実行した操作情報を生成する操作情報生成部と、環境情報及び操作情報から、端末自身の使用状態に関する情報を使用状態情報として生成し、管理サーバに送信する使用状態情報生成部と、を備え、管理サーバの処理装置は、特定の端末から取得した使用状態情報を特定状態情報として生成する特定状態情報取得部と、特定端末と同一の環境情報を有する端末の使用状態情報を取得して標準的な使用状態情報を生成する標準状態情報生成部と、特定状態情報と標準状態情報とを比較し、特定端末の盗難危険性を判定する盗難状態判定部と、判定結果に応じて機密情報の情報漏洩防止処理を実行する制御部と、を備えるという構成にしてもよい。
【００１２】
本発明の構成を採用することにより、端末において自身の使用状態に関する情報を生成することができる。これにより、管理サーバにおいて端末毎の使用状態に関する情報を生成する必要がなくなるため、管理サーバの処理負荷を軽減することが可能となる。
【００１３】
本発明における管理サーバの処理装置に含まれる盗難状態判定部は、特定状態情報と標準状態情報との差分を算出する差分算出手段と、算出した差分に基づき端末が盗難状態にある危険性を示す危険度を判定する危険度判定手段と、を有するという構成としてもよい。
【００１４】
本発明の構成を採用することにより、端末が盗難状態にある危険性を判定し、状況に応じた情報漏洩防止処理を実行することができる。これにより、ユーザの損害も最小限に抑えることが可能となる。
【００１５】
本発明における管理サーバの処理装置はさらに、端末の記憶装置に記憶されている機密情報のデータ量を取得するデータ量取得部を備え、盗難状態判定部は、データ量に基づき端末が盗難状態にある危険性を示す危険度を変更する危険度変更手段を有するという構成としてもよい。
【００１６】
本発明のように構成することにより、端末内に保存されているデータ量の情報も利用して、端末が盗難状態にある危険性を変更することができる。これにより、端末盗難によって漏洩する情報量やそれに伴う被害の大きさを考慮した盗難状態の判定、及び盗難による情報漏洩防止処理を実行することが可能となる。
【００１７】
なお、本発明のプログラムを端末に読み込ませて実行することで、上述の特徴を実現させることも可能である。つまり、盗難状態判定システムに用いるプログラムであって、端末の稼働環境に関する情報を環境情報として取得する環境情報取得機能と、端末に対してユーザが実行した操作情報を取得する操作情報取得機能と、特定の端末の環境情報及び操作情報から、使用状態に関する情報を特定状態情報として生成する特定状態生成機能と、特定端末と同一の環境情報を有する端末の環境情報及び操作情報から、使用状態に関する情報を標準状態情報として生成する標準状態情報生成機能と、特定状態情報と前記標準状態情報とを比較し、特定端末の盗難危険性を判定する盗難状態判定機能と、判定結果に応じて機密情報の情報漏洩防止処理を実行する制御機能を管理サーバの処理装置に実現させるプログラム、として本発明を構成してもよい。
【００１８】
また、本発明の別形態プログラムを端末に読み込ませて実行することで、上述の特徴を実現させることも可能である。つまり、稼働環境に関する情報を環境情報として生成する環境情報生成機能と、ユーザが実行した操作情報を生成する操作情報生成機能と、環境情報及び操作情報から、端末自身の使用状態に関する情報を使用状態情報として生成し、管理サーバに送信する使用状態情報生成機能を端末に実現させ、特定した端末から取得した使用状態情報を特定状態情報として生成する特定状態情報取得機能と、特定端末と同一の環境情報を有する端末の使用状態情報を取得して標準的な使用状態情報を生成する標準状態情報生成機能と、特定状態情報と標準状態情報とを比較し、特定端末の盗難危険性を判定する盗難状態判定機能と、判定結果に応じて機密情報の情報漏洩防止処理を実行する制御機能を管理サーバの処理装置に実現させるプログラム、として本発明を構成してもよい。
【００１９】
これらの情報漏洩防止プログラムも、上述の情報漏洩防止端末と同様の作用効果を伴うものである。
【００２０】
本発明における機密情報とは、ユーザが端末内に保存した情報ファイルやプログラム及びデータ等のことをいう。具体的には、各種情報が保存されたドキュメントファイルや表計算ファイル、及び特定のアプリケーションで利用可能なデータ等が一例として考えられる。また、機密情報は、端末内に保存された各種情報全てを指すのではなく、予め機密情報として定められたものとしてもよい。具体的には、保存されたドキュメントファイルのうち、予めファイル名に「機密情報」である旨指定されたもののみを限定して秘密情報として取り扱うという形式が一例として考えられる。また、予め定められたキーワードや内容を含むファイルを機密情報として取り扱うという形式も考えられる。具体的には、端末内のファイルを検索してキーワードを含むファイルを抽出する方法や、操作情報に含まれるファイル名にキーワードを含んでいるファイルを抽出する方法などが考えられる。
【００２１】
本発明における稼働環境とは、端末が稼動開始する際における端末自身及び周囲の状況のことをいう。具体的には、端末自身のハードウェア構成を示すハードウェア情報、端末を管理している部署等を示す所属情報、端末にログインしているユーザのログインユーザ識別情報、ネットワーク接続の有無、端末が接続しているネットワークや機器等に関する接続先情報、端末が使用されている時刻を示す時刻情報・時間帯、ソフトウェアやアプリケーションの起動状態、特定ソフトウェア又はＷｅｂサイトへの認証状態や閲覧状態などが一例として考えられる。
【００２２】
さらに、上記のユーザ識別情報とは、ユーザ毎に一義的に設定されたログインＩＤやユーザＩＤ等がその一例として考えられる。
【００２３】
本発明における操作情報とは、ユーザが端末に対して各種操作を実行した際に生成される情報のことをいう。具体的には、操作が実行された日時を示す日時情報、実行された操作の内容を示す処理内容及び処理対象（ファイル、フォルダ、アプリケーション等）、当該端末を使用しているユーザを一義的に特定するユーザ識別情報を少なくとも含む一連の情報などが一例として考えられる。
【００２４】
本発明における使用状態とは、ユーザが管理対象端末に対して実行した各種操作の内容に基づいて導きだされる、管理対象端末の使われ方やその傾向に関する情報のことをいう。
【００２５】
本発明におけるデータ量とは、端末内に保存されている機密情報の量のことをいう。具体的には、保存されている情報ファイルの数を示すファイル数情報、保存されている情報全体の大きさを示すビット数やバイト数などが一例として考えられる。
【発明の効果】
【００２６】
上述のように構成された本発明によれば、端末が使用されている様々な状況に応じて、標準的な状態と大きく異なる使われ方をしている端末を検出し、その端末の盗難危険性を判定することができる。これにより、端末盗難による情報漏洩を防止する処理を素早く実行することが可能となる。
【図面の簡単な説明】
【００２７】
【図１】本発明のシステム構成の一例を示す概念図。
【図２】本発明の盗難状態判定システムのハードウェア構成の一例を示す概念図。
【図３】実施例１におけるシステム構成の一例を示す機能ブロック図。
【図４】実施例１における処理プロセスの一例を示すフローチャート。
【図５】操作情報記憶部２１に記憶される操作情報の一例を示す図。
【図６】環境情報生成部３２で生成される環境情報の一例を示す図。
【図７】環境情報記憶部２２に記憶される環境情報の一例を示す図。
【図８】実施例１の状態判定手段１６ｂ内部にある基準値テーブルの一例を示す図。
【図９】実施例１の端末表示装置４ｂで表示される警告表示の一例を示す図。
【図１０】実施例１の管理端末表示装置４ｃで表示される警告表示の一例を示す図。
【図１１】実施例２におけるシステム構成の一例を示す機能ブロック図。
【図１２】実施例２における処理プロセスの一例を示すフローチャート。
【図１３】操作情報記憶部３５に記憶される操作情報の一例を示す図。
【図１４】特定環境情報抽出部３６が送信する特定環境情報の一例を示す図。
【図１５】使用状態情報生成部３７が抽出する操作情報の一例を示す図。
【図１６】使用状態情報記憶部２２に記憶される使用状態情報の一例を示す図。
【図１７】実施例２の状態判定手段１６ｂ内部にある基準値テーブルの一例を示す図。
【図１８】実施例３におけるシステム構成の一例を示す機能ブロック図。
【図１９】実施例３における処理プロセスの一例を示すフローチャート。
【図２０】危険度判定手段１６ｃ内部にある危険度テーブルの一例を示す図。
【図２１】制御部１７内部にある処理内容テーブルの一例を示す図。
【図２２】実施例４におけるシステム構成の一例を示す機能ブロック図。
【図２３】実施例４における処理プロセスの一例を示すフローチャート。
【図２４】危険度変更手段１６ｄ内部にある危険度変更テーブルの一例を示す図。
【発明を実施するための形態】
【００２８】
以下、図面を用いて本発明の実施形態を説明する。本発明はクライアントサーバ形式にて実施される。図１に本発明の情報漏洩防止システムの全体構成の一例を概念的に示す。実施形態は図１に示すように、操作状況管理サーバＡ（以下、「管理サーバＡ」という）が、複数の管理対象クライアント端末Ｂ（以下、「端末Ｂ」という）及び管理者用クライアント端末Ｃ（以下、「管理端末Ｃ」という）と、通信ネットワークＮ（以下、「ネットワークＮ」という）を介して接続されるという形で構成されている。
【００２９】
図２に、管理サーバＡ、端末Ｂ又は管理端末Ｃのハードウェア構成の一例を概念的に示す。
【００３０】
管理サーバＡは、プログラムの演算処理を実行する演算装置６と、演算結果に基づいて各装置に対する制御指示を出力する制御装置７とを有するＣＰＵ等の処理装置１と、情報を記憶するＲＡＭやハードディスク等の記憶装置２と、処理装置１の処理結果や記憶装置２に記憶する情報をインターネットやＬＡＮ等のネットワークを介して送受信する通信装置５とを少なくとも有している。管理サーバＡが実行する各機能（各手段）は、その処理を実行するプログラムが処理装置１に読み込まれることで実現される。
【００３１】
管理サーバＡは、必要に応じてキーボード、マウス又はテンキー等の入力装置３と、ディスプレイ（画面）等の表示装置４を備えた構成としてもよい。また、管理サーバＡは、複数の端末又はサーバにその機能が分散配置されていてもよい。
【００３２】
以下、説明の便宜上、管理サーバＡを構成する処理装置１を「サーバ処理装置１ａ」、記憶装置２を「サーバ記憶装置２ａ」、入力装置３を「サーバ入力装置３ａ」、表示装置４を「サーバ表示装置４ａ」、通信装置５を「サーバ通信装置５ａ」と称することとする。
【００３３】
端末Ｂ及び管理端末Ｃのハードウェア構成も管理サーバＡと同様で、図２に示したとおり、処理装置１、記憶装置２、入力装置３、表示装置４及び通信装置５を有している。
【００３４】
以下、説明の便宜上、端末Ｂを構成する処理装置１を「端末処理装置１ｂ」、記憶装置２を「端末記憶装置２ｂ」、入力装置３を「端末入力装置３ｂ」、表示装置４を「端末表示装置４ｂ」、通信装置５を「端末通信装置５ｂ」と称することとする。また、管理端末Ｃを構成する処理装置１を「管理端末処理装置１ｃ」、記憶装置２を「管理端末記憶装置２ｃ」、入力装置３を「管理端末入力装置３ｃ」、表示装置４を「管理端末表示装置４ｃ」、通信装置５を「管理端末通信装置５ｃ」と称することとする。
【００３５】
ネットワークＮは、企業や学校等の限られた施設内において情報を物理的に送信するケーブルと、ＬＡＮスイッチやハブ等でなる中継機器を備えたＣＳＭＡ／ＣＤ（Ｃａｒｒｉｅｒ Ｓｅｎｓｅ Ｍｕｌｔｉｐｌｅ Ａｃｃｅｓｓ Ｗｉｔｈ Ｃｏｌｌｉｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ）方式のＬＡＮとして構成されたものであるが、このネットワークＮとしてＬＡＮ以外に、インターネットの技術を用いたイントラネットで構成されたものや、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）の技術によって構築されるものでもよい。
【実施例１】
【００３６】
〔実施例１−構成〕
以下、図面を用いて本発明の第一実施例について説明する。図３に、本発明の情報漏洩防止システムを構成する管理サーバＡ、端末Ｂ及び管理端末Ｃの機能ブロック図を示す。本発明における各構成部及び各手段は、その機能が論理的に区別されているのみであって、物理上あるいは事実上同一の領域を為していてもよい。
【００３７】
また、図３は、本発明において必要となる最小限度の機器、構成部及び手段等のみを記載しており、その他の機器、構成部及び手段等についてはその記載を省略する。
【００３８】
管理サーバＡは、サーバ入力装置３ａ、サーバ表示装置４ａ又はサーバ通信装置５ａと様々な情報を送受信するためのサーバ制御インタフェース１０を有している。さらに、サーバ通信装置５ａは、ネットワークＮを介して端末Ｂ及び管理端末Ｃと様々な情報を送受信することができる機能を有する。
【００３９】
管理サーバＡのサーバ処理装置１ａは、端末Ａから出力された操作情報を取得する操作情報取得部１１、端末Ｂから出力される環境情報を取得する環境情報取得部１２、操作情報から特定の端末Ｂに関する使用状態に関する情報を生成する特定状態情報生成部１３、特定の端末Ｂに関する環境情報を抽出する特定環境情報抽出部１４、操作情報から端末Ｂの標準的な使用状態に関する情報を生成する標準状態情報生成部１５、生成した特定状態情報と標準状態情報とを用いて端末Ｂの盗難危険性を判定する盗難状態判定部１６、端末Ｂ内に記憶されている機密情報の情報漏洩防止処理を実行する制御部１７を備えている。
【００４０】
さらに、サーバ処理装置１ａにおける盗難状態判定部１６は、特定状態情報生成部１３にて生成された特定状態情報と、標準状態情報生成部１５にて生成された標準状態情報とを比較し、その差分を算出する差分算出手段１６ａと、算出した差分に基づいて端末Ｂの盗難危険性を判定する状態判定手段１６ｂとを有している。
【００４１】
管理サーバＡのサーバ記憶装置２ａは、操作情報取得部１１で取得した端末Ｂの操作情報を記憶する操作情報記憶部２１、環境情報取得部１２で取得した端末Ｂの環境情報を記憶する環境情報記憶部２２を備えている。
【００４２】
端末Ｂは、端末入力装置３ｂ、端末表示装置４ｂ又は端末通信装置５ｂと様々な情報を送受信するための端末制御インタフェース３０を有している。さらに、端末通信装置５ｂは、ネットワークＮを介して管理サーバＡ及び管理端末Ｃと様々な情報を送受信することができる機能を有する。
【００４３】
端末Ｂの端末処理装置１ｂは、端末Ｂにおいて実行された各種操作の情報を生成する操作情報生成部３１、端末Ｂの稼働環境に関する情報を生成する環境情報生成部３２、端末制御インタフェース３０を介して取得した各種制御情報に基づいて制御処理を実行する端末制御部３３を備えている。
【００４４】
端末Ｂの端末記憶装置２ｂは、ユーザによって端末Ｂ内への保存指示が実行された機密情報を記憶する機密情報記憶部３４を備えている。
【００４５】
管理端末Ｃは、管理端末入力装置３ｃ、管理端末表示装置４ｃ又は管理端末通信装置５ｃと様々な情報を送受信するための管理端末制御インタフェース４０を有している。さらに、管理端末通信装置５ｃは、ネットワークＮを介して管理サーバＡ及び端末Ｂと様々な情報を送受信することができる機能を有する。
【００４６】
管理端末Ｃの管理端末処理装置１ｃは、管理端末制御インタフェース４０を介して取得した各種制御情報に基づいて制御処理を実行する管理端末制御部４１を備えている。
【００４７】
以下、図３に記載した本発明を構成する機能ブロック図に基づいて、各構成部の動作について説明する。はじめに、本発明の情報漏洩防止システムを構成する、管理サーバＡの構成部について説明する。
【００４８】
操作情報取得部１１は、ネットワークＮに接続されている端末Ｂの操作情報をサーバ通信装置５ａ及びサーバ制御インタフェース１０を介して取得する。そして、取得した操作情報を操作情報記憶部２１に送信する。取得する操作情報の形式は、端末Ｂのユーザが実行した操作内容が把握できるものであればどのような形式のものでもよい。なお、操作情報に後述の環境情報を含める形式としても構わない。
【００４９】
上記の操作情報について、本実施例では、端末Ｂの入力装置３を用いてユーザにより実行された制御処理の内容を示す情報のことをいう。具体的には、端末Ｂを一義的に特定する端末識別情報、制御処理の内容を示す処理内容、処理を実行したユーザを一義的に特定するユーザ識別情報、及び処理が実行された日時を示す日時情報を含む一連の情報などが一例として考えられる。
【００５０】
さらに、上記の処理内容とは、端末Ｂにおいて実行された操作の内容を示す情報であって、ミドルウェアまたはＯＳ等において処理されるアプリケーションやハードウェア等による制御を示す情報のことをいう。より具体的には、キー入力、ポインティングデバイスの操作（ボタン押下、移動など）、外部記憶媒体の着脱、外部機器（プリンタなど）との接続、ファイル操作（作成、削除、コピー、移動、フォルダ名変更等）、アプリケーション操作（起動、終了等）、ドライブの追加・削除・検知、ＩＰアドレス変更、ネットワーク接続の切断、ネットワークドメインの変更、記憶媒体の書き込み、印刷、クリップボードへのコピー等を示す情報がある。なお、これらは一例であって限定されるものではない。
【００５１】
操作情報記憶部２１には、操作情報取得部１１が取得した操作情報が記憶される。その際の記憶形式は、操作情報に含まれる端末識別情報及び日時情報を利用して、端末毎に分類し、さらに時系列的に記憶するという形式にすると好適である。なお、操作情報に環境情報が含まれる場合は、後述の環境情報記憶部２２を兼ねることができる。
【００５２】
環境情報取得部１２は、ネットワークＮに接続されている端末Ｂの環境情報を、サーバ通信装置５ａ及びサーバ制御インタフェース１０を介して取得する。そして、取得した環境情報を環境情報記憶部２２に送信する。
【００５３】
環境情報記憶部２２には、環境情報取得部１２が取得した環境情報が記憶される。その際の記憶形式は、環境情報が出力された端末毎に分類して記憶するという形式にすると好適である。具体的には、環境情報に含まれる端末識別情報に分類して記憶するという形式が考えられる。また、その記憶形式は、端末Ｂが稼働している現在の環境情報が把握できる形式であればよい。例えば、記憶部に記憶されている既存の環境情報に対して新規に生成した環境情報上書きして記憶するという形式でもよいし、生成した環境情報を時系列的に記憶するという形式でもよい。また、環境情報を記憶する領域は、一時的な記憶領域としてもよい。本実施例では、上書きして記憶する形式を用いることとする。
【００５４】
特定状態情報生成部１３は、まず、操作情報記憶部２１に記憶されている全ての端末Ｂの操作情報から、盗難状態か否かを判定する対象となる特定端末Ｂの、予め指定された操作に関する操作情報を所定時間分検索して抽出する。次に、抽出した操作情報から特定端末Ｂにおける使用状態に関する情報を特定状態情報として算出する。そして、算出した特定状態情報を判定部１６に送信する。生成される特定状態情報には様々なものが考えられるが、本実施例では、指定した操作の実行回数、実行間隔、又は実行時間帯などの所定の使用形態に関する集計値を特定状態情報として算出することとする。
【００５５】
特定環境情報抽出部１４は、自身の内部に、盗難状態か否かを判定する対象となる、予め指定された特定端末Ｂの端末識別情報を有している。そして、環境情報取得部１２が取得した環境情報のうち、特定端末Ｂの環境情報を特定環境として抽出する。
【００５６】
標準状態情報生成部１５は、まず、特定環境情報抽出部１４から特定環境を取得する。そして、環境情報記憶部２２から特定環境を有する端末Ｂの端末識別情報を抽出する。この処理を行うことにより、標準状態情報を生成する際に操作情報を参照する端末Ｂを、特定端末Ｂに近い操作環境を有する端末Ｂに限定することができる。
【００５７】
次に、標準状態情報生成部１５は、操作情報記憶部２１に記憶されている操作情報のうち、上記において抽出した特定環境を有する端末Ｂの操作情報を検索する。さらに、その検索した操作情報の中から指定した操作に関する操作情報を所定時間分抽出する。次に、抽出した操作情報から標準的な使用状態に関する情報を標準状態情報として算出する。生成される標準状態情報には様々なものが考えられるが、本実施例では、指定した操作の実行回数、実行間隔、又は実行時間帯などの集計値を用いて、標準状態情報を算出することとする。具体的には、最大値、最小値、平均値などの統計的な値から標準状態情報を算出するという方法が考えられる。なお、指定した操作及び集計値の要素は、特定状態情報と標準状態情報において、同一のものを用いることとする。
【００５８】
盗難状態判定部１６は、まず、特定状態情報生成部１３が生成した特定状態情報を取得する。次に、標準状態情報生成部１５が生成した標準状態情報を取得し、特定状態情報と標準状態情報とを比較する。そして、その比較結果から特定端末Ｂが盗難状態であるかを判定する。この判定処理を行うために、盗難状態判定部１６の内部には、差分算出手段１６ａと状態判定手段１６ｂが備えられている。
【００５９】
盗難状態判定部１６の差分算出手段１６ａは、特定状態情報と標準状態情報とを比較し、両者の差分を算出する。そして、算出した差分を状態判定手段１６ｂに送信する。
【００６０】
盗難状態判定部１６の状態判定手段１６ｂは、差分算出手段１６ａが算出した差分を取得し、その差分の内容に基づき特定端末Ｂが盗難状態であるかを判定する。盗難状態か否かの判定方法には様々なものが考えられるが、本実施例では、状態判定手段１６ｂの内部に予め定められた基準値を設定しておき、差分算出手段１６ａから取得した差分と基準値とを比較することにより、盗難危険性を判定するという方法を用いることとする。結果、「盗難状態である」と判定された場合は、制御部１５に内を送信する。
【００６１】
制御部１７は、盗難状態判定部１６の状態判定手段１６ｂから取得した判定結果通知に応じて、特定端末Ｂに保存された機密情報が漏洩するのを防止するための制御情報を生成し、サーバ制御インタフェース１０に対して送信する。そして、サーバ通信装置５ａは、サーバ制御インタフェース１０から取得した制御情報を、ネットワークＮを介して当該特定端末Ｂに対して送信する。
【００６２】
また、制御部１７は、盗難状態判定部１６の状態判定手段１６ｂから取得した判定結果通知に応じて、「盗難状態である」と判定された端末をリストアップし、そのリストアップした情報を特定端末Ｂに保存された機密情報が漏洩するのを防止するための制御情報として、サーバ制御インタフェース１０に対して送信するとしてもよい。なお、制御部１７の内部に盗難状態端末記憶手段（図示せず）を別途設け、そこにリストアップした情報を記憶するとしてもよい。その場合、盗難状態端末記憶手段に記憶されている情報を、所定のタイミングで制御情報として生成し、適宜管理端末Ｃに対して送信するという形式にすると好適である。
【００６３】
次に、本発明の盗難状態判定システムを構成する、端末Ｂの構成部について説明する。
【００６４】
操作情報生成部３１は、まず、ユーザが端末Ｂに対して実行した操作に関する情報を端末制御インタフェース３０を介して取得し、自身の端末識別情報と組み合わせた情報を操作情報として生成する。次に、生成した操作情報を端末制御インタフェース３０に対して送信する。そして、端末通信装置５ｂは、端末制御インタフェース３０から取得した操作情報をネットワークＮを介して管理サーバＡに対して送信する。
【００６５】
端末Ｂの環境情報生成部３２は、端末制御インタフェース３０及び端末Ｂ内に記憶されている各種情報から、端末Ｂの稼働環境に関する情報を抽出し、自身の端末識別情報と組み合わせた情報を環境情報として生成する。そして、生成した環境情報を端末制御インタフェース３０及び端末通信装置５ｂを介して管理サーバＡに送信する。環境情報は、予め定められた所定のタイミング毎に生成するとしてもよいし、稼働環境に変化が発生したタイミングで都度生成するとしてもよい。本実施例では、所定のタイミング毎に環境情報を生成する形式を用いることとする。
【００６６】
上記の操作情報及び環境情報を管理サーバＡに対して送信する送信形式は、操作情報及び環境情報が生成される都度送信する形式としてもよいし、予め定められた所定時間毎に、その所定時間までに生成された操作情報及び環境情報をまとめて送信するという形式としてもよい。また、端末制御インタフェース３０は、端末通信装置５ｂが現在ネットワークＮに接続されているかどうかを監視する機能を有しており、端末Ｂがネットワークから切断されている際の操作情報及び環境情報は端末Ｂ内に保持しており、ネットワークＮに接続された時点で切断中の操作情報及び環境情報をまとめて送信するという形式を採用してもよい。
【００６７】
端末制御部３３は、端末通信装置５ｂにおいて受信した管理サーバＡから送信された制御情報を、端末制御インタフェース３０を介して取得し、その制御情報に従って端末Ｂにおける各種制御処理を実行する。特に、管理サーバＡから機密情報に対する制御指示を受信した場合は、その制御指示の内容に従って、端末記憶装置２ｂの機密情報記憶部３４に記憶している機密情報に対する情報漏洩防止処理を実行する。
【００６８】
機密情報記憶部３４には、ユーザによって保存指示された機密情報が記憶される。記憶されている機密情報は、端末制御部３３によって、適宜、情報漏洩防止処理が実行される。
【００６９】
次に、本発明の盗難状態判定システムを構成する、管理端末Ｃの構成部について説明する。
【００７０】
管理端末制御装置１ｃの管理端末制御部４１は、管理端末通信装置５ｃにおいて受信した管理サーバＡから送信された制御情報を、管理端末制御インタフェース４０を介して取得し、その制御情報に従って管理端末Ｃにおける各種制御処理を実行する。
【００７１】
管理端末制御部４１が実施する各種制御処理の一例として、管理サーバＡから取得した制御情報に従い、「盗難状態である」と判定された端末のリストを管理端末表示装置４ｃ上に表示するという処理が考えられる。このような警告通知を管理端末Ｃが実行することにより、管理端末Ｃを操作するネットワーク管理者に対して、端末Ｂの盗難可能性をいち早く通知し、機密情報漏洩防止対策の早期実行を促すことができる。これにより、端末Ｂに記憶されている機密情報の漏洩を間接的に防止することが可能となる。
【００７２】
上述の構成とすることにより、特定端末Ｂの使用状態と、特定端末Ｂと同一の環境情報を有する端末Ｂの標準的な使用状態とを用いて比較判定を実行することができる。これは、同一の環境情報下で使用される端末同士であれば、その使用状態は似通ってくるであろうという予測の下に、端末が盗難状態であるかを判定しようとするものである。こうすることで、同一用途で用いられている可能性が高いにもかかわらず、使用状態に所定値以上の差が生じている場合には、盗難状態であると判断し、情報漏洩防止処理を迅速に実行することが可能となる。
【００７３】
〔実施例１−処理プロセス〕
次に、本発明の情報漏洩防止システムにおける処理プロセスの一例を、図３の機能ブロック図及び図４のフローチャート等を用いて説明する。
【００７４】
端末Ｂの操作情報生成部３１は、端末Ｂの操作情報を生成し、生成した操作情報を、端末制御インタフェース３０を介して端末通信装置５ｂに送信する。端末通信装置５ｂは、ネットワークＮを介して、操作情報を管理サーバＡに送信する（Ｓ１０１）。なお、本処理プロセスにおける操作情報の送信タイミングは、操作情報生成部３１において操作情報を生成した時点で、その都度、管理サーバＡに対して送信されることとする。
【００７５】
管理サーバＡのサーバ通信装置５ａは、ネットワークＮを介して端末Ｂから出力された操作情報を受信する。次に、操作情報取得部１１は、サーバ制御インタフェース１０を介して、サーバ通信装置５ａが受信した端末Ｂの操作情報を取得する。そして、取得した操作情報を操作情報記憶部２１に記憶する（Ｓ１０２）。
【００７６】
図５に、操作情報記憶部２１に記憶される操作情報の一例を示す。この図に示すとおり、本実施例で取得する操作情報は、「端末識別情報」・「ユーザ識別情報」・「日時情報」・「処理内容」・「アプリケーション名」・「ファイル名」・「保存場所」・「デバイス名」の８項目に関する情報を取得することとする。さらに、本処理プロセスにおける操作情報記憶部２１の記憶形式は、端末識別情報別に分割し、さらに処理が実行された日時を示す日時情報順に記憶するという形式を採用することとする。
【００７７】
端末Ｂの環境情報生成部３２は、端末Ｂの環境情報を生成し、生成した環境情報を端末制御インタフェース３０及び端末通信装置５ｂを介して管理サーバＡに送信する。（Ｓ１０３）。なお、本処理プロセスにおける環境情報の送信タイミングは、予め定められた所定のタイミングで管理サーバＡに対して送信されることとする。
【００７８】
図６に、環境情報生成部３２で生成される環境情報の一例を示す。この図に示すとおり、環境情報はユーザ識別情報と関連付けて生成され、本実施例で生成する環境情報は、「端末識別情報」・「ユーザ識別情報」・「所属」・「ハードウェア」・「ネットワーク接続」・「起動時間帯」の５項目に関する情報が生成されることとする。本処理プロセスでは、所定の環境情報として「起動時間帯」中の「時間帯」を用いて判定する場合を例に説明することとする。
【００７９】
管理サーバＡのサーバ通信装置５ａは、ネットワークＮを介して端末Ｂから出力された環境情報を受信する。次に、環境情報取得部１７は、サーバ制御インタフェース１０を介して、サーバ通信装置５ａが受信した端末Ｂの環境情報を取得する。そして、取得した環境情報を環境情報記憶部２２に記憶する（Ｓ１０４）。
【００８０】
図７に、環境情報記憶部２２に記憶される環境情報の一例を示す。この図に示すとおり、本処理プロセスでは特定の環境情報別に分けて記憶するという形式を採用することとする。
【００８１】
特定状態情報生成部１３は、予め指定された所定時間帯の操作情報を抽出し、所定の使用形態に関する集計値を特定状態情報として算出する。本処理プロセスでは、所定時間帯を「２０１０年１０月７日１８時」から「２０１０年１０月７日２０時」までと設定することとし、また、所定の使用形態に関する集計値（特定状態情報）については、ネットワークＮに接続されていない時間帯を算出することとする。
【００８２】
特定状態情報生成部１３は、操作情報記憶部２１に記憶されている操作情報の中から、特定端末Ｂ（端末識別情報「ＣＬＡ００５」）における「２０１０年１０月７日１８時」から「２０１０年１０月７日２０時」までの操作情報を抽出する。本処理プロセスにおいて、操作情報記憶部２１から抽出された特定端末「ＣＬＡ００５」の操作情報は、図５の通りであったとする。
【００８３】
次に、特定状態情報生成部１３は、上記抽出した操作情報のうち、「ネットワーク切断」及び「ネットワーク接続」を示す操作情報を特定し、それぞれが出力された日時情報を用いて、特定端末「ＣＬＡ００５」がネットワークＮに接続されていない時間を算出する。その結果、ネットワークＮに接続されていない時間は「７５分」と算出される。特定状態情報生成部１３は、その算出した値を特定状態情報として生成し、盗難状態判定部１６に送信する（Ｓ１０５）。
【００８４】
特定環境情報抽出部１４は、環境情報取得部１２が取得した環境情報のうち、特定端末「ＣＬＡ００５」の環境情報を特定環境として抽出する（Ｓ１０６）。本処理プロセスでは、特定環境として、特定端末「ＣＬＡ００５」の起動時間帯に関する情報を示す「業務時間後」が特定環境として抽出されることとする。
【００８５】
標準状態情報生成部１５は、まず、特定環境情報抽出部１４から、特定環境「業務時間後」を取得する。そして、環境情報記憶部２２を参照し、環境情報「業務時間後」を有する端末Ｂの端末識別情報を抽出して取得する。環境情報記憶部２２に記憶されている情報が図７の通りであった場合、取得される端末識別情報は、「ＣＬＡ００４」・「ＣＬＡ００５」・「ＣＬＡ００６」・「ＣＬＡ００７」の４種類となる。
【００８６】
次に、標準状態情報生成部１５は、操作情報記憶部に記憶されている操作情報のうち、端末識別情報「ＣＬＡ００４」・「ＣＬＡ００５」・「ＣＬＡ００６」・「ＣＬＡ００７」の操作情報を特定し、所定時間帯（「２０１０年１０月７日１８時」から「２０１０年１０月７日２０時」まで）における操作情報を抽出する。そして、上記抽出した操作情報のうち、「ネットワーク切断」及び「ネットワーク接続」を示す操作情報を特定し、それぞれが出力された日時情報を用いて、端末ＢがネットワークＮに接続されていない時間を算出し、端末Ｂ一台当たりの平均値を算出し、標準状態情報を生成する。本処理プロセスにおいて、算出された平均値は「１０分」であったとする。
【００８７】
そして、標準状態情報生成部１５は、上記算出した平均値「１０分」を標準状態情報として生成し、盗難状態判定部１６に送信する（Ｓ１０７）。
【００８８】
盗難状態判定部１６の差分算出手段１６ａは、特定状態情報生成部１３が生成した特定状態情報と、標準状態情報生成部１５が生成した標準状態情報との差分を算出する（Ｓ１０８）。本処理プロセスにおいて両者の差分は「６５」と算出される。そして、差分算出手段１６ａは、算出した差分値を状態判定手段１６ｂに送信する。
【００８９】
判定部１６の状態判定手段１６ｂは、その内部に、予め定められた判定基準を記憶する判定基準テーブルを有しており、差分算出手段１６ａによって算出された差分値に基づいて盗難状態か否かの判定を行う（Ｓ１０９）。「盗難状態である」と判定された場合、その判定結果と該当する端末Ｂの端末識別情報とを含めた判定結果情報を生成し、制御部１７に送信する（Ｓ１１０）。図８に判定基準テーブルの一例を示す。この場合、差分値が「６０以上」の場合に盗難状態であると判定されるため、特定端末「ＣＬＡ００５」は盗難状態であると判定され、その判定結果と端末識別情報「ＣＬＳ００５」が、判定結果情報として制御部１７に送信される。
【００９０】
制御部１７は、状態判定手段１６ｂから受信した判定結果情報に基づき、その判定結果情報に含まれる端末識別情報を有する端末Ｂに対して、所定の機密情報漏洩防止処理を実行させる制御情報を生成し、サーバ制御インタフェース１０を介してサーバ通信装置５ａに送信する（Ｓ１１１）。本処理プロセスにおいて、サーバ通信装置５ａは、受信した制御情報を指定された端末識別情報「ＣＬＡ００５」を有する端末Ｂに対して、ネットワークＮを介して送信する。
【００９１】
端末Ｂの端末制御部３３は、端末制御インタフェース３０を介して取得した管理サーバＡからの制御情報の内容に従い、端末Ｂ内の各構成要素に対して各種情報漏洩防止処理を実行する（Ｓ１１２）。
【００９２】
上記の制御情報に含まれる情報漏洩防止処理の内容について具体的に説明すると、例えば、端末Ｂの機密情報記憶部３４に対しては、その内部に記憶されている機密情報の消去指示、機密情報に対するアクセス制限指示や暗号化指示、また、端末Ｂの記憶装置２を構成するハードディスクに記憶されているデータの全消去指示などが考えられる。
【００９３】
また、上記の情報漏洩防止処理について、端末Ｂの端末制御インタフェース３０に対しては、端末入力装置３ｂからの全制御指示を実行不可とする操作ロック指示、端末表示装置４ｂで表示している内容の消去指示（ディスプレイのブラックアウト指示）、または、端末表示装置４ｂに端末盗難の警告文を表示させる指示を送信するといった制御処理が考えられる。この警告表示の一例を、図９に示す。
【００９４】
上記管理サーバＡの制御部１７は、状態判定手段１６ｂから受信した判定結果情報に基づき、所定の機密情報漏洩防止処理を実行させる制御情報を生成し、サーバ制御インタフェース１０を介して管理者端末Ｃに送信してもよい。
【００９５】
管理端末Ｃの管理端末制御部４１は、管理端末制御インタフェース４０を介して取得した管理サーバＡからの制御情報の内容に従い、管理端末Ｃ内の各構成要素に対して各種情報漏洩防止処理を実行する。
【００９６】
上記の制御情報に含まれる情報漏洩防止処理の内容について具体的に説明すると、例えば、管理端末表示装置４ｃに端末盗難の警告文を表示させる指示を送信するといった制御処理が考えられる。この警告表示の一例を、図１０に示す。
【００９７】
なお、上述の処理プロセスでは環境情報として同一の環境情報（「起動時間帯情報」中の「業務時間外」）を含む特定状態情報と標準状態情報とを用いて判定したが、異なる環境情報を用いて判定することもできる。ここでの異なる環境情報とは、環境情報の項目は同じだが状態が異なるもの（例えば「起動時間帯情報」中の「業務時間外」と「業務時間内」など）とする。具体的には、取得した特定状態情報から環境情報の項目を抽出し、その環境情報の項目と一致する標準操作特徴を取得する。そして、それらの環境情報中の状態が異なる場合は、予め設定されている基準値を補正し新たな基準値を設定する基準値補正手段（図示せず）を設け、特定状態情報と標準状態情報との差と新たな基準値とを用いて盗難の危険性を判定する方法である。なお、環境情報中の状態が異なる場合の補正値を予め登録されているものとする。補正値は、環境情報中の状態が異なる場合は基準値をより大きい値に設定すると好適である。
【実施例２】
【００９８】
〔実施例２−構成〕
以下、図面を用いて本発明の第二実施例について説明する。図１１に、本発明の情報漏洩防止システムを構成する管理サーバＡ、端末Ｂ及び管理端末Ｃの機能ブロック図を示す。本発明における各構成部及び各手段は、その機能が論理的に区別されているのみであって、物理上あるいは事実上同一の領域を為していてもよい。
【００９９】
また、図１１は、本発明において必要となる最小限度の機器、構成部及び手段等のみを記載しており、その他の機器、構成部及び手段等についてはその記載を省略する。なお、〔実施例１−構成〕と同一の構成部等には同一の符号を付しており、同じ動作をする場合にはその詳細な説明は省略する。
【０１００】
本実施例は、端末Ｂの内部に、操作情報生成部３１で生成した操作情報を記憶する操作情報記憶部３５と、環境情報生成部３２で生成した環境情報を記憶する特定環境情報抽出部３６と、操作情報及び環境情報を利用して自身の使用状態に関する情報を生成する使用状態情報生成部３７とを備えているという点、また、管理サーバＡの内部に、端末Ｂから出力される使用状態情報を取得する使用状態情報取得部１８と、取得した端末Ｂの使用状態情報を記憶する使用状態情報記憶部２３とを備えているという点において、〔実施例１−構成〕と異なっている。
【０１０１】
以下、図１１に記載した本発明を構成する機能ブロック図に基づいて、各構成部の動作について説明する。なお、〔実施例１−構成〕と同様の構成部又は同様の動作については、その詳細な説明を省略する。
【０１０２】
端末Ｂの操作情報記憶部３４には、操作情報生成部３１が生成した操作情報が記憶される。その際の記憶形式は、操作情報が生成された日時に応じて時系列的に記憶するという形式にすると好適である。具体的には、操作情報生成部３１で生成する操作情報が操作情報形式であった場合、操作情報に含まれる日時情報順に記憶するという形式が考えられる。
【０１０３】
特定環境情報抽出部３６は、その内部に、盗難危険性を判定する基準となる特定の環境情報を抽出するための、予め指定された項目情報を有している。そして、環境情報生成部３２が生成した環境情報のうち、特定の項目に該当する環境情報を特定環境として抽出する。さらに、特定環境情報抽出部３６は、端末Ｂが特定環境にある日時情報もあわせて抽出し、特定環境情報として使用状態情報生成部３７に送信する。
【０１０４】
使用状態情報生成部３７は、特定環境情報抽出部３６から取得した特定環境の時間帯において出力された操作情報を、操作情報記憶部３５から抽出する。さらに抽出した操作情報に基づいて、端末Ｂの特定環境における使用状態情報を生成する。そして、生成した使用状態情報を端末制御インタフェース３０及び端末通信装置５ｂを介して管理サーバＡに送信する。
【０１０５】
管理サーバＡの使用状態情報取得部１８は、ネットワークＮに接続されている端末Ｂの使用状態情報を、サーバ通信装置５ａ及びサーバ制御インタフェース１０を介して取得する。そして、取得した使用状態情報を使用状態情報記憶部２３に送信する。
【０１０６】
使用状態情報記憶部２３には、使用状態情報取得部１８が取得した使用状態情報が記憶される。その際の記憶形式は、使用状態情報が出力された端末毎に分類して記憶するという形式にすると好適である。具体的には、使用状態情報に含まれる端末識別情報別に分類して記憶するという形式が考えられる。
【０１０７】
上述の構成とすることにより、操作情報及び環境情報の生成から使用状態情報の生成までを行うことが可能となる。このため、管理サーバＡにおける演算処理の負荷を軽減することができるという効果がある。
【０１０８】
〔実施例２−処理プロセス〕
次に、本発明の情報漏洩防止システムにおける処理プロセスの一例を、図１１の機能ブロック図及び図１２のフローチャート等を用いて説明する。なお、図１２のフローチャートにおける（Ｓ２１１）及び（Ｓ２１２）の動作については、〔実施例１−処理プロセス〕と同様のため、その詳細を省略する。
【０１０９】
端末Ｂの操作情報生成部３１は、端末Ｂの操作情報を生成し、生成した操作情報を操作情報記憶部３５に記憶する（Ｓ２０１）。図１３に操作情報記憶部３５に記憶される操作情報の一例を示す。操作情報の構成及び記憶形式については、〔実施例１−処理プロセス〕の場合と同様とする。
【０１１０】
端末Ｂの環境情報生成部３２は、端末Ｂの環境情報を生成し、自身の記憶領域内に保持する。（Ｓ２０２）。
【０１１１】
特定環境情報抽出部３６は、環境情報取得部３２が取得した環境情報が予め定められた条件に該当するか否かを判定する。本実施例では、予め定められた条件として、端末ＢがネットワークＮに接続されていない場合を特定環境として判定することとする。さらに、特定環境情報抽出部３６は、端末Ｂが特定環境にある時刻情報もあわせて抽出し、特定環境情報として使用状態情報生成部３７に送信する（Ｓ２０３）。図１４に、送信される特定環境情報の一例を示す。
【０１１２】
使用状態情報生成部３７は、特定環境情報抽出部３６から取得した特定環境情報に基づき、ネットワーク切断中の端末Ｂの操作情報を操作情報記憶部３５から抽出する。抽出した操作情報の一例を図１５に示す。本処理プロセスでは、ネットワーク切断が行われた「２０１０年１０月７日１８時４５分」からネットワーク接続が行われた「２０１０年１０月７日２０時」までの操作情報が抽出されることとなる。
【０１１３】
次に、使用状態情報生成部３７は、抽出した操作情報から使用状態情報を生成する（Ｓ２０４）。本処理プロセスでは、「ファイル名」に「機密」という文字を含んでいるファイル（以下、「機密ファイル」という。）に対する処理が実行された回数を抽出を使用状態情報として抽出することとする。この場合、図１５に示すとおり、抽出された操作情報において機密ファイルに対する処理実行回数は「１４回」と算出されるため、その「１４回」というと端末識別情報とを組み合わせて使用状態情報を生成し、端末制御インタフェース３０及び端末通信装置５ｂを介して管理サーバＮに送信する。
【０１１４】
本処理プロセスにおける端末制御インタフェース３０は、端末通信装置５ｂが現在ネットワークＮに接続されているかどうかを監視する機能を有しており、端末ＢがネットワークＮから切断されている際の操作情報は端末Ｂ内に保持しており、ネットワークＮに接続された時点で生成された使用状態情報を管理サーバＡに送信する。このように構成することにより、ネットワークＮから切断されている際の操作内容に応じて、端末Ｂが盗難状態にあるか否かを判定することが可能となる。
【０１１５】
管理サーバＡのサーバ通信装置５ａは、ネットワークＮを介して端末Ｂから出力された使用状態情報を受信する。次に、使用状態情報取得部１８は、サーバ制御インタフェース１０を介して、サーバ通信装置５ａが取得した端末Ｂの使用状態情報を取得する。そして、取得した使用状態情報を使用状態情報記憶部２３に記憶する（Ｓ２０５）。
【０１１６】
図１６に、使用状態情報記憶部２２に記憶される使用状態情報の一例を示す。本実施例で使用する使用状態情報は、「端末識別情報」・「ユーザ識別情報」・「ネットワーク切断中における機密ファイルへの処理実行回数」の３項目に関する情報を取得することとする。
【０１１７】
特定状態情報生成部１３は、使用状態情報記憶部２３に記憶されている使用状態情報の中から、特定の端末Ｂにおける業務時間外にネットワークＮに接続されていない時間を抽出する。本処理プロセスにおいて、端末識別情報「ＣＬ００５」を有する端末を特定の端末とした場合、抽出される時間は「１４回」となる。そして、この「１回」を特定状態情報として生成し、盗難状態判定部１６に送信する（Ｓ２０６）。
【０１１８】
標準状態情報生成部１５は、使用状態情報記憶部２３に記憶されている全ての端末Ｂの使用状態を用いて、「ネットワーク切断中における機密ファイルへの処理実行回数」の、一台当たりの平均値を算出する。本処理プロセスにおいて算出された平均値は「３回」であったとする。そして、この平均値「３回」を標準状態情報として生成し、盗難状態判定部１６に送信する（Ｓ２０７）。
【０１１９】
盗難状態判定部１６の差分算出手段１６ａは、特定状態情報生成部１３が生成した特定状態情報と、標準状態情報生成部１５が生成した標準状態情報との差分を算出する（Ｓ２０８）。本処理プロセスにおいて両者の差分は「１１回」と算出される。そして、差分算出手段１６ａは、算出した差分値を状態判定手段１６ｂに送信する。
【０１２０】
盗難状態判定部１６の状態判定手段１６ｂは、その内部に、予め定められた判定基準を記憶する判定基準テーブルを有しており、差分算出手段１６ａによって算出された差分値に基づいて盗難状態か否かの判定を行う（Ｓ２０９）。「盗難状態である」と判定された場合、その判定結果と該当する端末Ｂの端末識別情報とを含めた判定結果情報を生成し、制御部１７に送信する（Ｓ２１０）。図１７に判定基準テーブルの一例を示す。この場合、差分値が「５以上」の場合に盗難状態であると判定されるため、特定端末「ＣＬＡ００５」は盗難状態であると判定され、その判定結果と端末識別情報「ＣＬＳ００５」が、判定結果情報として制御部１７に送信される。
【０１２１】
上述の処理プロセスでは、端末ＢがネットワークＮに接続されていない間における操作内容を用いて使用状態情報を生成するという内容であったが、それ以外にも、特定環境情報を所定のドメインのネットワークに接続中である状態とすることにより、特定のドメインのネットワークに接続中の操作内容を用いて使用状態情報を生成することも可能である。
【０１２２】
上述の構成とすることにより、端末Ｂの内部で使用状態情報の生成までを行うことができるため、端末Ｂが管理サーバＡとネットワークＮを介して常に接続されていなくても、一旦管理サーバＡとの接続状態が回復した時点で、ネットワーク切断中における端末Ｂ状態の操作内容に基づいて盗難状態か否かを判定することが可能となる。こうすることで、常に管理サーバＡと接続状態にはない端末Ｂに対しても、盗難状態か否かの判定を行うことができる。
【実施例３】
【０１２３】
〔実施例３−構成〕
以下、図面を用いて本発明の第三実施例について説明する。図１８に、本発明の情報漏洩防止システムを構成する管理サーバＡ、端末Ｂ及び管理端末Ｃの機能ブロック図を示す。本発明における各構成部及び各手段は、その機能が論理的に区別されているのみであって、物理上あるいは事実上同一の領域を為していてもよい。
【０１２４】
また、図１８は、本発明において必要となる最小限度の機器、構成部及び手段等のみを記載しており、その他の機器、構成部及び手段等についてはその記載を省略する。なお、〔実施例１−構成〕と同一の構成部等には同一の符号を付しており、同じ動作をする場合にはその詳細な説明は省略する。
【０１２５】
管理サーバＡのサーバ処理装置１ａは、盗難状態判定部１６の内部に、差分算出手段１４ａが算出した差分に基づいて、端末Ａが盗難状態にある危険性の程度を危険度として判定する危険度判定手段１４ｃを備えているという点において、〔実施例１−構成〕と異なっている。
【０１２６】
以下、図１８に記載した本発明を構成する機能ブロック図に基づいて、各構成部の動作について説明する。なお、〔実施例１−構成〕と同様の構成部又は同様の動作については、その詳細な説明を省略する。
【０１２７】
盗難状態判定部１６の危険度判定手段１６ｃは、差分算出手段１６ａが算出した差分を取得し、その差分の内容に基づき端末Ｂが盗難状態にあると予測される危険度を判定する。判定の結果、危険度が所定値以上の場合、危険度判定手段１６ａは、端末Ｂが「盗難状態にある」として、制御部１７に判定した危険度を送信する。危険度が所定値未満の場合は、端末Ｂは「盗難状態にはない」と判断する。
【０１２８】
上記の危険度判定手段１６ｃにおける、端末Ｂが盗難状態にあるか否かの判定処理について説明する。危険度判定手段１６ｃは、差分算出手段１４ａから取得した差分が大きければ大きいほど、端末Ｂが盗難されている危険性が高いとして危険度を判定する。危険度の判定方法には様々なものが考えられるが、本実施例では、危険度判定手段１６ａの内部に予め定められた基準値を設定しておき、取得した差分と基準値とを比較することにより危険度を判定するという方法を用いることとする。
【０１２９】
制御部１７は、危険度判定手段１６ｃから取得した危険度に応じて、端末Ｂに保存された機密情報の漏洩防止処理を、サーバ制御インタフェース１０を介して実行指示する。実行指示を受けた端末Ｂにおいて実行される情報漏洩防止処理は、危険度が高くなるに従って厳しい制御処理が実行されるという形式にすると好適である。
【０１３０】
上述の構成とすることにより、端末が盗難状態にある危険性考慮して、その危険性の大きさに応じて実行される制御を変化させて実行することが可能となる。これにより、情報漏洩事故を予測して、状況に応じた対応を行うことができる。
【０１３１】
〔実施例３−処理プロセス〕
次に、本発明の情報漏洩防止システムにおける処理プロセスの一例を、図１８の機能ブロック図及び図１９のフローチャート等を用いて説明する。なお、図１９のフローチャートにおける（Ｓ３０１）から（Ｓ３０８）、の動作については、〔実施例１−処理プロセス〕と同様のため、その詳細を省略する。また、本処理プロセスでは、実施例１と同様、端末ＢがネットワークＮに接続されていない時間を用いて盗難可能性を判定する場合を例に説明することとする。
【０１３２】
盗難状態判定部１６の危険度判定手段１６ｃは、その内部に予め定められた基準値と危険度とを対応させた危険度テーブルを有しており、差分算出手段１６ａによって算出された差分に対応している危険度を、端末Ｂが盗難状態にある危険性を示す危険度として判定する（Ｓ３０９）。図２０に危険度テーブル内に記憶される内容の一例を示す。本処理プロセスの場合、差分は「６５」なので、危険度は「１」と判定される。
【０１３３】
次に、危険度判定手段１６ｃは、判定した危険度が所定値以上であった場合、盗難状態であると判定する（Ｓ３１０）。本処理プロセスでは、危険度が「１」以上であった場合、端末Ｂは「盗難状態である」と判断することとする。
【０１３４】
そして、危険度判定手段１６ｃは、「盗難状態である」と判断した場合に、判定した危険度を制御部１７に送信する。本処理プロセスの場合、危険度は「１」であるため、盗難状態であると判断され、危険度「１」が制御部１７に送信されることとなる。
【０１３５】
制御部１７は、その内部に危険度と情報漏洩防止処理内容とを関連付けた処理内容テーブルを有しており、危険度判定手段１６ｃから受信した危険度に応じて、機密情報漏洩防止処理を実行する（Ｓ３１２）。図２１に処理内容テーブル内に記憶される内容の一例を示す。本処理プロセスの場合、危険度「１」なので、サーバ制御インタフェース１０に対して、端末Ｂの端末表示装置４ｂに警告通知を表示させる制御指示が送信される。
【０１３６】
上述の制御部１７による制御処理について、危険度レベルが２以上で判定された場合、判定されたレベル未満の情報漏洩防止処理も累積的に実行されるとすると好適である。例えば、判定された危険度「５」であった場合、制御部１７は、サーバ制御インタフェース１０を介して、端末Ｂの端末表示装置４ｂに警告通知を表示させる制御指示を送信し（危険度１の処理）、端末入力装置３ｂからの操作制御指示を無効とする操作ロック指示を送信し（危険度２の処理）、端末表示装置４ｂに表示された警告通知以外の部分をブラックアウトする制御指示を送信し（危険度３の処理）、機密情報記憶部３４に記憶されている情報の消去指示を送信し（危険度４の処理）、端末Ｂの電源を強制的にＯＦＦにする制御指示を送信する（危険度５の処理）という形で、累積的に情報漏洩防止処理を実行するという形式が考えられる。
【０１３７】
また、制御部１７は、その内部に管理端末Ｃに対する処理内容を規定した管理端末向け処理内容テーブル（図示せず）を有するという構成としてもよい。この処理内容テーブルも上述と同様、危険度判定手段１６ｃから受信した危険度に対応した機密情報漏洩防止処理が規定されているという形式にすると好適である。具体的には、管理端末表示装置４ｃに対し、危険度１の処理として盗難状態である端末Ｂのリストをメッセージ形式で通知し、危険度２の処理として前記メッセージ形式の通知を勧告通知として強調表示させ、危険度３の処理として前記勧告通知を拡大して警告通知として強調表示させ、危険度４の処理として前記警告通知とともに表示をフラッシュさせる形式で協調表示させ、危険度５の処理として前記警告通知とともに警告音を発生させる、という内容が考えられる。また、上述の端末Ｂに対する制御処理と同様、管理端末Ｃに対する制御処理も、危険度レベルに応じて累積的に実行するという形式にすると好適である。
【実施例４】
【０１３８】
〔実施例４−構成〕
以下、図面を用いて本発明の第四実施例について説明する。図２２に、本発明の情報漏洩防止システムを構成する管理サーバＡ、端末Ｂ及び管理端末Ｃの機能ブロック図を示す。本発明における各構成部及び各手段は、その機能が論理的に区別されているのみであって、物理上あるいは事実上同一の領域を為していてもよい。
【０１３９】
また、図２２は、本発明において必要となる最小限度の機器、構成部及び手段等のみを記載しており、その他の機器、構成部及び手段等についてはその記載を省略する。なお、〔実施例１−構成〕及び〔実施例３−構成〕と同一の構成部等には同一の符号を付しており、同じ動作をする場合にはその詳細な説明は省略する。
【０１４０】
本発明は、端末Ｂの内部に、機密情報記憶部３４に記憶されている機密情報のデータ量に関する情報を生成するデータ量生成部３８を備えているという点、また、管理サーバＡのサーバ処理装置１ａに、サーバ通信装置５ａが受信した端末Ｂに記憶されている機密情報のデータ量をサーバ制御インタフェース１０を介して取得するデータ量取得部１９と、盗難状態判定部１６の危険度判定手段１６ｃで判定した危険度を変更する危険度変更手段１６ｄを備えているという点において、〔実施例３−構成〕と異なっている。
【０１４１】
以下、図２２に記載した本発明を構成する機能ブロック図に基づいて、各構成部の動作について説明する。なお、〔実施例１−構成〕及び〔実施例３−構成〕と同様の構成部又は同様の動作については、その詳細な説明を省略する。
【０１４２】
端末Ｂのデータ量生成部３８は、機密情報記憶部３４の内部に記憶されているデータ量に関する情報を生成する。本実施例では、データ量に関する情報として機密情報記憶部３４内に記憶されている情報ファイル数を生成する場合について説明する。そして、データ量生成部３８は、生成したデータ量に自身の端末識別情報組み合わせたデータ量情報を生成し、端末制御インタフェース３０及び端末通信装置５ｂを介して管理サーバＡに送信する。その送信タイミングは、予め定められた所定のタイミング毎に送信するとしてもよいし、管理サーバＡからの要求を受信したタイミングで送信するとしてもよい。本実施例では、管理サーバＡからの要求を受信したタイミングで送信することとする。
【０１４３】
管理サーバＡのデータ量受信部１９は、ネットワークＮに接続されている端末Ｂのデータ量情報を取得する。そして、取得したデータ量情報を端末識別情報毎に保持しておく。その保持形式は、端末Ｂに記憶されている機密情報の現在のデータ量が把握できる形式であればよい。例えば、データ量情報を保持するために一次的な記憶領域を有する形式が考えられる。その際の記憶形式は、既に記憶されている既存のデータ量情報に対して新規に生成したデータ量情報上書きして記憶するという形式が好適である。
【０１４４】
盗難状態判定部１６の危険度判定手段１６ｃは、差分算出手段１６ａが算出した差分を取得し、その差分の内容に基づき端末Ａが盗難状態にあると予測される危険度を判定する。判定の結果、危険度が所定値以上の場合、危険度判定手段１６ｃは、端末Ｂが盗難状態にあるとして、危険度変更手段１６ｄに判定した危険度を送信する。危険度が所定値未満の場合は、端末Ｂは盗難状態にないと判断する。
【０１４５】
危険度変更手段１６ｄは、危険度判定手段１６ｃから危険度を受信すると、データ量取得部１９から機密情報のデータ量を取得する。そして、そのデータ量に基づき端末Ａの盗難に伴って発生する情報漏洩損害の大きさを考慮して危険度を変更する。危険度の変更方法には様々なものが考えられるが、本実施例では、危険度変更手段１６ｄの内部に予め定められた基準値を設定しておき、取得したデータ量と基準値とを比較することにより危険度を変更するという方法を用いることとする。変更した危険度は、制御部１７に送信される。
【０１４６】
上述の構成とすることにより、端末の盗難危険性だけでなく、盗難によって漏洩する危険性のある機密情報の予測量、及びそれに伴って発生する損害の大きさも考慮した盗難状態を判定し、その判定した盗難状態に応じた適切な制御を実行することが可能となる。
【０１４７】
〔実施例４−処理プロセス〕
次に、本発明の情報漏洩防止端末における処理プロセスの一例を、図２４の機能ブロック図及び図２５のフローチャート等を用いて説明する。なお、図２５のフローチャートにおける（Ｓ４０１）から（Ｓ４０８）、及び（Ｓ４１３）から（Ｓ４１４）の動作については、〔実施例１−処理プロセス〕及び〔実施例３−処理プロセス〕と同様のため、その詳細を省略する。また、本処理プロセスでは、実施例１と同様、端末ＢがネットワークＮに接続されていない時間を用いて盗難可能性を判定する場合を例に説明することとする。
【０１４８】
データ量生成部３８は、管理サーバＡからのデータ量送信要求を受信すると、機密情報記憶部３４内に記憶されている情報ファイルのファイル数をデータ量としてデータ量情報を生成し、管理サーバＡに対して送信する。本処理プロセスでは、機密情報記憶部３４内に記憶されている情報ファイルのファイル数（データ量）が「２０」であった場合を例に説明する。
【０１４９】
盗難状態判定部１４の危険度判定手段１６ｃは、その内部に予め定められた基準値と危険度とを対応させた危険度テーブルを有しており、差分算出手段１６ａによって算出された差分に対応している危険度を、端末Ｂが盗難状態にある危険性を示す危険度として判定する（Ｓ４０９）。図２０に危険度テーブル内に記憶される内容の一例を示す。本処理プロセスの場合、差分は「６５」なので、危険度は「１」と判定される。
【０１５０】
次に、危険度判定手段１６ｃは、判定した危険度が所定値以上であった場合、盗難状態であると判定する（Ｓ４１０）。本処理プロセスでは、危険度が「１」以上であった場合、端末Ａは盗難状態であると判断することとする。
【０１５１】
そして、危険度判定手段１６ｃは、盗難状態であると判断した場合に、判定した危険度を危険度変更手段１６ｄに送信する。本処理プロセスの場合、危険度は「１」であるため、盗難状態であると判断され、危険度「１」が危険度変更手段１６ｄに送信されることとなる。
【０１５２】
データ量取得部１９は、端末Ｂからデータ量情報として、データ量「２０」と端末識別情報を取得する。さらに自身内部の記憶領域に、端末識別情報と関連付けてデータ量「２０」を保持しておく（Ｓ４１１）。
【０１５３】
危険度変更手段１６ｄは、その内部に基準値と危険度変更値とを対応させた危険度変更テーブルを有している。危険度判定手段１６ｃから危険度を受信すると、データ量取得部１９から取得したデータ量に対応する危険度変更値に従って危険度を変更する（Ｓ４１２）。図２４に危険度変更テーブル内に記憶される内容の一例を示す。本処理プロセスの場合、ファイル数は「２０」なので、危険度変更値は「＋４」となるため、危険度は「５」に変更される。変更した危険度は制御部１７に送信される。
【符号の説明】
【０１５４】
Ａ：管理サーバ
Ｂ：端末
Ｃ：管理端末
Ｎ：ネットワーク
１：処理装置
１ａ：サーバ処理装置
１ｂ：端末処理装置
１ｃ：管理端末処理装置
２：記憶装置
２ａ：サーバ記憶装置
２ｂ：端末記憶装置
３：入力装置
３ａ：サーバ入力装置
３ｂ：端末入力装置
３ｃ：管理端末入力装置
４：表示装置
４ａ：サーバ表示装置
４ｂ：端末表示装置
４ｃ：管理端末表示装置
５：通信装置
５ａ：サーバ通信装置
５ｂ：端末通信装置
５ｃ：管理端末通信装置
６：演算装置
７：制御装置
１０：サーバ制御インタフェース
１１：操作情報取得部
１２：環境情報取得部
１３：特定状態情報生成部
１４：特定環境情報抽出部
１５：標準状態情報生成部
１６：盗難状態判定部
１６ａ：差分算出手段
１６ｂ：状態判定手段
１７：制御部
１８：使用状態情報取得部
２１：操作情報記憶部
２２：環境情報記憶部
２３：使用状態情報記憶部
３０：端末制御インタフェース
３１：操作情報生成部
３２：環境情報生成部
３３：端末制御部
３４：機密情報記憶部
３５：操作情報記憶部
３６：特定環境情報抽出部
３７：使用状態情報生成部
３８：データ量生成部
４０：管理端末制御インタフェース
４１：管理端末制御部
【技術分野】
【０００１】
本発明は、コンピュータ端末に記憶した情報の漏洩防止に関し、特にコンピュータ端末自体が盗難されることによって発生する情報漏洩を防止する技術に関する。
【背景技術】
【０００２】
企業や学校等において、コンピュータ端末を用いて作業を行うことは一般的である。その際、作成した情報ファイルや参照資料等の各種データを、端末に内蔵されているハードディスク等の記憶装置に保存して管理するという方法がよく用いられる。この方法は、適宜必要な資料を容易に取り出して活用できるという利便性がある反面、保存している情報が外部に漏洩する可能性が高いという問題点もある。具体的には、ノートパソコン等の持ち運びしやすい端末を使用する際に、盗難や置き忘れ等によって端末自体を紛失した場合に発生する情報漏洩の問題である。
【０００３】
上記の問題を解決する手段として、端末の盗難等による情報漏洩を防止する分野において、端末の起動時にサーバと通信し、サーバが認証を行って盗難状態ではないと判定した場合、サーバはその端末に対して、事前に暗号化していた保存データの復号回路を送信するという技術がある。この技術において、予めサーバ側に盗難状態にある端末リストを登録しておき、受信した端末の識別情報と盗難端末リストとを比較照合して、その端末が盗難状態にあるか否かの判定を行うという手段が用いられている。これにより、端末内に保存された機密情報が第三者によって漏洩する危険性を低減することができる。（特許文献１参照）
【０００４】
また、同様の分野において、端末の起動時にサーバと通信を行い、サーバがその端末のユーザ認証を行って使用不可と判定した場合、端末内保存データの消去指示を出すという技術がある。この技術において、予めサーバ内に端末使用可能なユーザリストを保存しておき、端末起動時に、実際にログインしているユーザ情報とサーバ内の使用可能ユーザリストとを比較することによって、端末が盗難状態か否かの判定を行うという手段が用いられている。これにより、予め端末の状態に関する情報を登録しておかなくても、自動的に端末が盗難状態にあるか否かを判定することができる。（特許文献２参照）
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００６−２９３５９４号公報
【特許文献２】特開２００６−１６３８４７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
特許文献１の技術を用いると、起動された端末が盗難状態にあるか否かを判定することはできる。しかし、管理対象となる端末全ての現在状態をリスト化してサーバに登録する必要がある。このため、リアルタイムに変化する状況に対応するためには、サーバに登録しているリストを随時更新しなければならず、手間が発生してしまう。
【０００７】
特許文献２の技術を用いると、予めサーバ内に端末の現在状態リストを登録しておかなくても、端末が盗難状態にあるか否かを判定することができる。しかし、使用可能ユーザとして登録されている者が不正行為を行っている可能性までは判定することができない。
【０００８】
本発明は、上記従来技術の問題点を解消することを課題とする。具体的には、端末の盗難等による情報漏洩を防止する分野において、端末が使用されている状況の変化に応じて端末が盗難状態であるかを判定し、判定結果に応じた情報漏洩防止処理を実行することを課題とする。
【課題を解決するための手段】
【０００９】
上記の課題を解決するために、本発明の盗難状態判定システムは、通信ネットワークを介して接続した端末が、盗難状態であるかを判定する処理装置を備える管理サーバを有しており、管理サーバの処理装置は、端末の稼働環境に関する情報を環境情報として取得する環境情報取得部と、端末に対してユーザが実行した操作情報を取得する操作情報取得部と、特定の端末の環境情報及び操作情報から、使用状態に関する情報を特定状態情報として生成する特定状態生成部と、特定端末と同一の環境情報を有する端末の環境情報及び操作情報から、使用状態に関する情報を標準状態情報として生成する標準状態情報生成部と、特定状態情報と標準状態情報とを比較し、特定端末の盗難危険性を判定する盗難状態判定部と、判定結果に応じて機密情報の情報漏洩防止処理を実行する制御部と、を備えることを特徴としている。
【００１０】
本発明の構成を採用することにより、特定の端末が動作する様々な稼働環境毎に使用状態を把握することができる。さらに、同一の稼働環境にある端末の使用状態と比較することで、稼働環境が類似する状況にある端末間で使用状態の差異を検出することができる。これにより、端末が使用される様々な状況に応じて、その端末が盗難状態であるかを判定することが可能となる。
【００１１】
また、本発明の盗難状態判定システムは、機密情報を記憶する記憶装置を有する端末と、端末が盗難状態であるかを判定する処理装置を備える管理サーバと、を有しており、そのうちの端末は、稼働環境に関する情報を環境情報として生成する環境情報生成部と、ユーザが実行した操作情報を生成する操作情報生成部と、環境情報及び操作情報から、端末自身の使用状態に関する情報を使用状態情報として生成し、管理サーバに送信する使用状態情報生成部と、を備え、管理サーバの処理装置は、特定の端末から取得した使用状態情報を特定状態情報として生成する特定状態情報取得部と、特定端末と同一の環境情報を有する端末の使用状態情報を取得して標準的な使用状態情報を生成する標準状態情報生成部と、特定状態情報と標準状態情報とを比較し、特定端末の盗難危険性を判定する盗難状態判定部と、判定結果に応じて機密情報の情報漏洩防止処理を実行する制御部と、を備えるという構成にしてもよい。
【００１２】
本発明の構成を採用することにより、端末において自身の使用状態に関する情報を生成することができる。これにより、管理サーバにおいて端末毎の使用状態に関する情報を生成する必要がなくなるため、管理サーバの処理負荷を軽減することが可能となる。
【００１３】
本発明における管理サーバの処理装置に含まれる盗難状態判定部は、特定状態情報と標準状態情報との差分を算出する差分算出手段と、算出した差分に基づき端末が盗難状態にある危険性を示す危険度を判定する危険度判定手段と、を有するという構成としてもよい。
【００１４】
本発明の構成を採用することにより、端末が盗難状態にある危険性を判定し、状況に応じた情報漏洩防止処理を実行することができる。これにより、ユーザの損害も最小限に抑えることが可能となる。
【００１５】
本発明における管理サーバの処理装置はさらに、端末の記憶装置に記憶されている機密情報のデータ量を取得するデータ量取得部を備え、盗難状態判定部は、データ量に基づき端末が盗難状態にある危険性を示す危険度を変更する危険度変更手段を有するという構成としてもよい。
【００１６】
本発明のように構成することにより、端末内に保存されているデータ量の情報も利用して、端末が盗難状態にある危険性を変更することができる。これにより、端末盗難によって漏洩する情報量やそれに伴う被害の大きさを考慮した盗難状態の判定、及び盗難による情報漏洩防止処理を実行することが可能となる。
【００１７】
なお、本発明のプログラムを端末に読み込ませて実行することで、上述の特徴を実現させることも可能である。つまり、盗難状態判定システムに用いるプログラムであって、端末の稼働環境に関する情報を環境情報として取得する環境情報取得機能と、端末に対してユーザが実行した操作情報を取得する操作情報取得機能と、特定の端末の環境情報及び操作情報から、使用状態に関する情報を特定状態情報として生成する特定状態生成機能と、特定端末と同一の環境情報を有する端末の環境情報及び操作情報から、使用状態に関する情報を標準状態情報として生成する標準状態情報生成機能と、特定状態情報と前記標準状態情報とを比較し、特定端末の盗難危険性を判定する盗難状態判定機能と、判定結果に応じて機密情報の情報漏洩防止処理を実行する制御機能を管理サーバの処理装置に実現させるプログラム、として本発明を構成してもよい。
【００１８】
また、本発明の別形態プログラムを端末に読み込ませて実行することで、上述の特徴を実現させることも可能である。つまり、稼働環境に関する情報を環境情報として生成する環境情報生成機能と、ユーザが実行した操作情報を生成する操作情報生成機能と、環境情報及び操作情報から、端末自身の使用状態に関する情報を使用状態情報として生成し、管理サーバに送信する使用状態情報生成機能を端末に実現させ、特定した端末から取得した使用状態情報を特定状態情報として生成する特定状態情報取得機能と、特定端末と同一の環境情報を有する端末の使用状態情報を取得して標準的な使用状態情報を生成する標準状態情報生成機能と、特定状態情報と標準状態情報とを比較し、特定端末の盗難危険性を判定する盗難状態判定機能と、判定結果に応じて機密情報の情報漏洩防止処理を実行する制御機能を管理サーバの処理装置に実現させるプログラム、として本発明を構成してもよい。
【００１９】
これらの情報漏洩防止プログラムも、上述の情報漏洩防止端末と同様の作用効果を伴うものである。
【００２０】
本発明における機密情報とは、ユーザが端末内に保存した情報ファイルやプログラム及びデータ等のことをいう。具体的には、各種情報が保存されたドキュメントファイルや表計算ファイル、及び特定のアプリケーションで利用可能なデータ等が一例として考えられる。また、機密情報は、端末内に保存された各種情報全てを指すのではなく、予め機密情報として定められたものとしてもよい。具体的には、保存されたドキュメントファイルのうち、予めファイル名に「機密情報」である旨指定されたもののみを限定して秘密情報として取り扱うという形式が一例として考えられる。また、予め定められたキーワードや内容を含むファイルを機密情報として取り扱うという形式も考えられる。具体的には、端末内のファイルを検索してキーワードを含むファイルを抽出する方法や、操作情報に含まれるファイル名にキーワードを含んでいるファイルを抽出する方法などが考えられる。
【００２１】
本発明における稼働環境とは、端末が稼動開始する際における端末自身及び周囲の状況のことをいう。具体的には、端末自身のハードウェア構成を示すハードウェア情報、端末を管理している部署等を示す所属情報、端末にログインしているユーザのログインユーザ識別情報、ネットワーク接続の有無、端末が接続しているネットワークや機器等に関する接続先情報、端末が使用されている時刻を示す時刻情報・時間帯、ソフトウェアやアプリケーションの起動状態、特定ソフトウェア又はＷｅｂサイトへの認証状態や閲覧状態などが一例として考えられる。
【００２２】
さらに、上記のユーザ識別情報とは、ユーザ毎に一義的に設定されたログインＩＤやユーザＩＤ等がその一例として考えられる。
【００２３】
本発明における操作情報とは、ユーザが端末に対して各種操作を実行した際に生成される情報のことをいう。具体的には、操作が実行された日時を示す日時情報、実行された操作の内容を示す処理内容及び処理対象（ファイル、フォルダ、アプリケーション等）、当該端末を使用しているユーザを一義的に特定するユーザ識別情報を少なくとも含む一連の情報などが一例として考えられる。
【００２４】
本発明における使用状態とは、ユーザが管理対象端末に対して実行した各種操作の内容に基づいて導きだされる、管理対象端末の使われ方やその傾向に関する情報のことをいう。
【００２５】
本発明におけるデータ量とは、端末内に保存されている機密情報の量のことをいう。具体的には、保存されている情報ファイルの数を示すファイル数情報、保存されている情報全体の大きさを示すビット数やバイト数などが一例として考えられる。
【発明の効果】
【００２６】
上述のように構成された本発明によれば、端末が使用されている様々な状況に応じて、標準的な状態と大きく異なる使われ方をしている端末を検出し、その端末の盗難危険性を判定することができる。これにより、端末盗難による情報漏洩を防止する処理を素早く実行することが可能となる。
【図面の簡単な説明】
【００２７】
【図１】本発明のシステム構成の一例を示す概念図。
【図２】本発明の盗難状態判定システムのハードウェア構成の一例を示す概念図。
【図３】実施例１におけるシステム構成の一例を示す機能ブロック図。
【図４】実施例１における処理プロセスの一例を示すフローチャート。
【図５】操作情報記憶部２１に記憶される操作情報の一例を示す図。
【図６】環境情報生成部３２で生成される環境情報の一例を示す図。
【図７】環境情報記憶部２２に記憶される環境情報の一例を示す図。
【図８】実施例１の状態判定手段１６ｂ内部にある基準値テーブルの一例を示す図。
【図９】実施例１の端末表示装置４ｂで表示される警告表示の一例を示す図。
【図１０】実施例１の管理端末表示装置４ｃで表示される警告表示の一例を示す図。
【図１１】実施例２におけるシステム構成の一例を示す機能ブロック図。
【図１２】実施例２における処理プロセスの一例を示すフローチャート。
【図１３】操作情報記憶部３５に記憶される操作情報の一例を示す図。
【図１４】特定環境情報抽出部３６が送信する特定環境情報の一例を示す図。
【図１５】使用状態情報生成部３７が抽出する操作情報の一例を示す図。
【図１６】使用状態情報記憶部２２に記憶される使用状態情報の一例を示す図。
【図１７】実施例２の状態判定手段１６ｂ内部にある基準値テーブルの一例を示す図。
【図１８】実施例３におけるシステム構成の一例を示す機能ブロック図。
【図１９】実施例３における処理プロセスの一例を示すフローチャート。
【図２０】危険度判定手段１６ｃ内部にある危険度テーブルの一例を示す図。
【図２１】制御部１７内部にある処理内容テーブルの一例を示す図。
【図２２】実施例４におけるシステム構成の一例を示す機能ブロック図。
【図２３】実施例４における処理プロセスの一例を示すフローチャート。
【図２４】危険度変更手段１６ｄ内部にある危険度変更テーブルの一例を示す図。
【発明を実施するための形態】
【００２８】
以下、図面を用いて本発明の実施形態を説明する。本発明はクライアントサーバ形式にて実施される。図１に本発明の情報漏洩防止システムの全体構成の一例を概念的に示す。実施形態は図１に示すように、操作状況管理サーバＡ（以下、「管理サーバＡ」という）が、複数の管理対象クライアント端末Ｂ（以下、「端末Ｂ」という）及び管理者用クライアント端末Ｃ（以下、「管理端末Ｃ」という）と、通信ネットワークＮ（以下、「ネットワークＮ」という）を介して接続されるという形で構成されている。
【００２９】
図２に、管理サーバＡ、端末Ｂ又は管理端末Ｃのハードウェア構成の一例を概念的に示す。
【００３０】
管理サーバＡは、プログラムの演算処理を実行する演算装置６と、演算結果に基づいて各装置に対する制御指示を出力する制御装置７とを有するＣＰＵ等の処理装置１と、情報を記憶するＲＡＭやハードディスク等の記憶装置２と、処理装置１の処理結果や記憶装置２に記憶する情報をインターネットやＬＡＮ等のネットワークを介して送受信する通信装置５とを少なくとも有している。管理サーバＡが実行する各機能（各手段）は、その処理を実行するプログラムが処理装置１に読み込まれることで実現される。
【００３１】
管理サーバＡは、必要に応じてキーボード、マウス又はテンキー等の入力装置３と、ディスプレイ（画面）等の表示装置４を備えた構成としてもよい。また、管理サーバＡは、複数の端末又はサーバにその機能が分散配置されていてもよい。
【００３２】
以下、説明の便宜上、管理サーバＡを構成する処理装置１を「サーバ処理装置１ａ」、記憶装置２を「サーバ記憶装置２ａ」、入力装置３を「サーバ入力装置３ａ」、表示装置４を「サーバ表示装置４ａ」、通信装置５を「サーバ通信装置５ａ」と称することとする。
【００３３】
端末Ｂ及び管理端末Ｃのハードウェア構成も管理サーバＡと同様で、図２に示したとおり、処理装置１、記憶装置２、入力装置３、表示装置４及び通信装置５を有している。
【００３４】
以下、説明の便宜上、端末Ｂを構成する処理装置１を「端末処理装置１ｂ」、記憶装置２を「端末記憶装置２ｂ」、入力装置３を「端末入力装置３ｂ」、表示装置４を「端末表示装置４ｂ」、通信装置５を「端末通信装置５ｂ」と称することとする。また、管理端末Ｃを構成する処理装置１を「管理端末処理装置１ｃ」、記憶装置２を「管理端末記憶装置２ｃ」、入力装置３を「管理端末入力装置３ｃ」、表示装置４を「管理端末表示装置４ｃ」、通信装置５を「管理端末通信装置５ｃ」と称することとする。
【００３５】
ネットワークＮは、企業や学校等の限られた施設内において情報を物理的に送信するケーブルと、ＬＡＮスイッチやハブ等でなる中継機器を備えたＣＳＭＡ／ＣＤ（Ｃａｒｒｉｅｒ Ｓｅｎｓｅ Ｍｕｌｔｉｐｌｅ Ａｃｃｅｓｓ Ｗｉｔｈ Ｃｏｌｌｉｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ）方式のＬＡＮとして構成されたものであるが、このネットワークＮとしてＬＡＮ以外に、インターネットの技術を用いたイントラネットで構成されたものや、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）の技術によって構築されるものでもよい。
【実施例１】
【００３６】
〔実施例１−構成〕
以下、図面を用いて本発明の第一実施例について説明する。図３に、本発明の情報漏洩防止システムを構成する管理サーバＡ、端末Ｂ及び管理端末Ｃの機能ブロック図を示す。本発明における各構成部及び各手段は、その機能が論理的に区別されているのみであって、物理上あるいは事実上同一の領域を為していてもよい。
【００３７】
また、図３は、本発明において必要となる最小限度の機器、構成部及び手段等のみを記載しており、その他の機器、構成部及び手段等についてはその記載を省略する。
【００３８】
管理サーバＡは、サーバ入力装置３ａ、サーバ表示装置４ａ又はサーバ通信装置５ａと様々な情報を送受信するためのサーバ制御インタフェース１０を有している。さらに、サーバ通信装置５ａは、ネットワークＮを介して端末Ｂ及び管理端末Ｃと様々な情報を送受信することができる機能を有する。
【００３９】
管理サーバＡのサーバ処理装置１ａは、端末Ａから出力された操作情報を取得する操作情報取得部１１、端末Ｂから出力される環境情報を取得する環境情報取得部１２、操作情報から特定の端末Ｂに関する使用状態に関する情報を生成する特定状態情報生成部１３、特定の端末Ｂに関する環境情報を抽出する特定環境情報抽出部１４、操作情報から端末Ｂの標準的な使用状態に関する情報を生成する標準状態情報生成部１５、生成した特定状態情報と標準状態情報とを用いて端末Ｂの盗難危険性を判定する盗難状態判定部１６、端末Ｂ内に記憶されている機密情報の情報漏洩防止処理を実行する制御部１７を備えている。
【００４０】
さらに、サーバ処理装置１ａにおける盗難状態判定部１６は、特定状態情報生成部１３にて生成された特定状態情報と、標準状態情報生成部１５にて生成された標準状態情報とを比較し、その差分を算出する差分算出手段１６ａと、算出した差分に基づいて端末Ｂの盗難危険性を判定する状態判定手段１６ｂとを有している。
【００４１】
管理サーバＡのサーバ記憶装置２ａは、操作情報取得部１１で取得した端末Ｂの操作情報を記憶する操作情報記憶部２１、環境情報取得部１２で取得した端末Ｂの環境情報を記憶する環境情報記憶部２２を備えている。
【００４２】
端末Ｂは、端末入力装置３ｂ、端末表示装置４ｂ又は端末通信装置５ｂと様々な情報を送受信するための端末制御インタフェース３０を有している。さらに、端末通信装置５ｂは、ネットワークＮを介して管理サーバＡ及び管理端末Ｃと様々な情報を送受信することができる機能を有する。
【００４３】
端末Ｂの端末処理装置１ｂは、端末Ｂにおいて実行された各種操作の情報を生成する操作情報生成部３１、端末Ｂの稼働環境に関する情報を生成する環境情報生成部３２、端末制御インタフェース３０を介して取得した各種制御情報に基づいて制御処理を実行する端末制御部３３を備えている。
【００４４】
端末Ｂの端末記憶装置２ｂは、ユーザによって端末Ｂ内への保存指示が実行された機密情報を記憶する機密情報記憶部３４を備えている。
【００４５】
管理端末Ｃは、管理端末入力装置３ｃ、管理端末表示装置４ｃ又は管理端末通信装置５ｃと様々な情報を送受信するための管理端末制御インタフェース４０を有している。さらに、管理端末通信装置５ｃは、ネットワークＮを介して管理サーバＡ及び端末Ｂと様々な情報を送受信することができる機能を有する。
【００４６】
管理端末Ｃの管理端末処理装置１ｃは、管理端末制御インタフェース４０を介して取得した各種制御情報に基づいて制御処理を実行する管理端末制御部４１を備えている。
【００４７】
以下、図３に記載した本発明を構成する機能ブロック図に基づいて、各構成部の動作について説明する。はじめに、本発明の情報漏洩防止システムを構成する、管理サーバＡの構成部について説明する。
【００４８】
操作情報取得部１１は、ネットワークＮに接続されている端末Ｂの操作情報をサーバ通信装置５ａ及びサーバ制御インタフェース１０を介して取得する。そして、取得した操作情報を操作情報記憶部２１に送信する。取得する操作情報の形式は、端末Ｂのユーザが実行した操作内容が把握できるものであればどのような形式のものでもよい。なお、操作情報に後述の環境情報を含める形式としても構わない。
【００４９】
上記の操作情報について、本実施例では、端末Ｂの入力装置３を用いてユーザにより実行された制御処理の内容を示す情報のことをいう。具体的には、端末Ｂを一義的に特定する端末識別情報、制御処理の内容を示す処理内容、処理を実行したユーザを一義的に特定するユーザ識別情報、及び処理が実行された日時を示す日時情報を含む一連の情報などが一例として考えられる。
【００５０】
さらに、上記の処理内容とは、端末Ｂにおいて実行された操作の内容を示す情報であって、ミドルウェアまたはＯＳ等において処理されるアプリケーションやハードウェア等による制御を示す情報のことをいう。より具体的には、キー入力、ポインティングデバイスの操作（ボタン押下、移動など）、外部記憶媒体の着脱、外部機器（プリンタなど）との接続、ファイル操作（作成、削除、コピー、移動、フォルダ名変更等）、アプリケーション操作（起動、終了等）、ドライブの追加・削除・検知、ＩＰアドレス変更、ネットワーク接続の切断、ネットワークドメインの変更、記憶媒体の書き込み、印刷、クリップボードへのコピー等を示す情報がある。なお、これらは一例であって限定されるものではない。
【００５１】
操作情報記憶部２１には、操作情報取得部１１が取得した操作情報が記憶される。その際の記憶形式は、操作情報に含まれる端末識別情報及び日時情報を利用して、端末毎に分類し、さらに時系列的に記憶するという形式にすると好適である。なお、操作情報に環境情報が含まれる場合は、後述の環境情報記憶部２２を兼ねることができる。
【００５２】
環境情報取得部１２は、ネットワークＮに接続されている端末Ｂの環境情報を、サーバ通信装置５ａ及びサーバ制御インタフェース１０を介して取得する。そして、取得した環境情報を環境情報記憶部２２に送信する。
【００５３】
環境情報記憶部２２には、環境情報取得部１２が取得した環境情報が記憶される。その際の記憶形式は、環境情報が出力された端末毎に分類して記憶するという形式にすると好適である。具体的には、環境情報に含まれる端末識別情報に分類して記憶するという形式が考えられる。また、その記憶形式は、端末Ｂが稼働している現在の環境情報が把握できる形式であればよい。例えば、記憶部に記憶されている既存の環境情報に対して新規に生成した環境情報上書きして記憶するという形式でもよいし、生成した環境情報を時系列的に記憶するという形式でもよい。また、環境情報を記憶する領域は、一時的な記憶領域としてもよい。本実施例では、上書きして記憶する形式を用いることとする。
【００５４】
特定状態情報生成部１３は、まず、操作情報記憶部２１に記憶されている全ての端末Ｂの操作情報から、盗難状態か否かを判定する対象となる特定端末Ｂの、予め指定された操作に関する操作情報を所定時間分検索して抽出する。次に、抽出した操作情報から特定端末Ｂにおける使用状態に関する情報を特定状態情報として算出する。そして、算出した特定状態情報を判定部１６に送信する。生成される特定状態情報には様々なものが考えられるが、本実施例では、指定した操作の実行回数、実行間隔、又は実行時間帯などの所定の使用形態に関する集計値を特定状態情報として算出することとする。
【００５５】
特定環境情報抽出部１４は、自身の内部に、盗難状態か否かを判定する対象となる、予め指定された特定端末Ｂの端末識別情報を有している。そして、環境情報取得部１２が取得した環境情報のうち、特定端末Ｂの環境情報を特定環境として抽出する。
【００５６】
標準状態情報生成部１５は、まず、特定環境情報抽出部１４から特定環境を取得する。そして、環境情報記憶部２２から特定環境を有する端末Ｂの端末識別情報を抽出する。この処理を行うことにより、標準状態情報を生成する際に操作情報を参照する端末Ｂを、特定端末Ｂに近い操作環境を有する端末Ｂに限定することができる。
【００５７】
次に、標準状態情報生成部１５は、操作情報記憶部２１に記憶されている操作情報のうち、上記において抽出した特定環境を有する端末Ｂの操作情報を検索する。さらに、その検索した操作情報の中から指定した操作に関する操作情報を所定時間分抽出する。次に、抽出した操作情報から標準的な使用状態に関する情報を標準状態情報として算出する。生成される標準状態情報には様々なものが考えられるが、本実施例では、指定した操作の実行回数、実行間隔、又は実行時間帯などの集計値を用いて、標準状態情報を算出することとする。具体的には、最大値、最小値、平均値などの統計的な値から標準状態情報を算出するという方法が考えられる。なお、指定した操作及び集計値の要素は、特定状態情報と標準状態情報において、同一のものを用いることとする。
【００５８】
盗難状態判定部１６は、まず、特定状態情報生成部１３が生成した特定状態情報を取得する。次に、標準状態情報生成部１５が生成した標準状態情報を取得し、特定状態情報と標準状態情報とを比較する。そして、その比較結果から特定端末Ｂが盗難状態であるかを判定する。この判定処理を行うために、盗難状態判定部１６の内部には、差分算出手段１６ａと状態判定手段１６ｂが備えられている。
【００５９】
盗難状態判定部１６の差分算出手段１６ａは、特定状態情報と標準状態情報とを比較し、両者の差分を算出する。そして、算出した差分を状態判定手段１６ｂに送信する。
【００６０】
盗難状態判定部１６の状態判定手段１６ｂは、差分算出手段１６ａが算出した差分を取得し、その差分の内容に基づき特定端末Ｂが盗難状態であるかを判定する。盗難状態か否かの判定方法には様々なものが考えられるが、本実施例では、状態判定手段１６ｂの内部に予め定められた基準値を設定しておき、差分算出手段１６ａから取得した差分と基準値とを比較することにより、盗難危険性を判定するという方法を用いることとする。結果、「盗難状態である」と判定された場合は、制御部１５に内を送信する。
【００６１】
制御部１７は、盗難状態判定部１６の状態判定手段１６ｂから取得した判定結果通知に応じて、特定端末Ｂに保存された機密情報が漏洩するのを防止するための制御情報を生成し、サーバ制御インタフェース１０に対して送信する。そして、サーバ通信装置５ａは、サーバ制御インタフェース１０から取得した制御情報を、ネットワークＮを介して当該特定端末Ｂに対して送信する。
【００６２】
また、制御部１７は、盗難状態判定部１６の状態判定手段１６ｂから取得した判定結果通知に応じて、「盗難状態である」と判定された端末をリストアップし、そのリストアップした情報を特定端末Ｂに保存された機密情報が漏洩するのを防止するための制御情報として、サーバ制御インタフェース１０に対して送信するとしてもよい。なお、制御部１７の内部に盗難状態端末記憶手段（図示せず）を別途設け、そこにリストアップした情報を記憶するとしてもよい。その場合、盗難状態端末記憶手段に記憶されている情報を、所定のタイミングで制御情報として生成し、適宜管理端末Ｃに対して送信するという形式にすると好適である。
【００６３】
次に、本発明の盗難状態判定システムを構成する、端末Ｂの構成部について説明する。
【００６４】
操作情報生成部３１は、まず、ユーザが端末Ｂに対して実行した操作に関する情報を端末制御インタフェース３０を介して取得し、自身の端末識別情報と組み合わせた情報を操作情報として生成する。次に、生成した操作情報を端末制御インタフェース３０に対して送信する。そして、端末通信装置５ｂは、端末制御インタフェース３０から取得した操作情報をネットワークＮを介して管理サーバＡに対して送信する。
【００６５】
端末Ｂの環境情報生成部３２は、端末制御インタフェース３０及び端末Ｂ内に記憶されている各種情報から、端末Ｂの稼働環境に関する情報を抽出し、自身の端末識別情報と組み合わせた情報を環境情報として生成する。そして、生成した環境情報を端末制御インタフェース３０及び端末通信装置５ｂを介して管理サーバＡに送信する。環境情報は、予め定められた所定のタイミング毎に生成するとしてもよいし、稼働環境に変化が発生したタイミングで都度生成するとしてもよい。本実施例では、所定のタイミング毎に環境情報を生成する形式を用いることとする。
【００６６】
上記の操作情報及び環境情報を管理サーバＡに対して送信する送信形式は、操作情報及び環境情報が生成される都度送信する形式としてもよいし、予め定められた所定時間毎に、その所定時間までに生成された操作情報及び環境情報をまとめて送信するという形式としてもよい。また、端末制御インタフェース３０は、端末通信装置５ｂが現在ネットワークＮに接続されているかどうかを監視する機能を有しており、端末Ｂがネットワークから切断されている際の操作情報及び環境情報は端末Ｂ内に保持しており、ネットワークＮに接続された時点で切断中の操作情報及び環境情報をまとめて送信するという形式を採用してもよい。
【００６７】
端末制御部３３は、端末通信装置５ｂにおいて受信した管理サーバＡから送信された制御情報を、端末制御インタフェース３０を介して取得し、その制御情報に従って端末Ｂにおける各種制御処理を実行する。特に、管理サーバＡから機密情報に対する制御指示を受信した場合は、その制御指示の内容に従って、端末記憶装置２ｂの機密情報記憶部３４に記憶している機密情報に対する情報漏洩防止処理を実行する。
【００６８】
機密情報記憶部３４には、ユーザによって保存指示された機密情報が記憶される。記憶されている機密情報は、端末制御部３３によって、適宜、情報漏洩防止処理が実行される。
【００６９】
次に、本発明の盗難状態判定システムを構成する、管理端末Ｃの構成部について説明する。
【００７０】
管理端末制御装置１ｃの管理端末制御部４１は、管理端末通信装置５ｃにおいて受信した管理サーバＡから送信された制御情報を、管理端末制御インタフェース４０を介して取得し、その制御情報に従って管理端末Ｃにおける各種制御処理を実行する。
【００７１】
管理端末制御部４１が実施する各種制御処理の一例として、管理サーバＡから取得した制御情報に従い、「盗難状態である」と判定された端末のリストを管理端末表示装置４ｃ上に表示するという処理が考えられる。このような警告通知を管理端末Ｃが実行することにより、管理端末Ｃを操作するネットワーク管理者に対して、端末Ｂの盗難可能性をいち早く通知し、機密情報漏洩防止対策の早期実行を促すことができる。これにより、端末Ｂに記憶されている機密情報の漏洩を間接的に防止することが可能となる。
【００７２】
上述の構成とすることにより、特定端末Ｂの使用状態と、特定端末Ｂと同一の環境情報を有する端末Ｂの標準的な使用状態とを用いて比較判定を実行することができる。これは、同一の環境情報下で使用される端末同士であれば、その使用状態は似通ってくるであろうという予測の下に、端末が盗難状態であるかを判定しようとするものである。こうすることで、同一用途で用いられている可能性が高いにもかかわらず、使用状態に所定値以上の差が生じている場合には、盗難状態であると判断し、情報漏洩防止処理を迅速に実行することが可能となる。
【００７３】
〔実施例１−処理プロセス〕
次に、本発明の情報漏洩防止システムにおける処理プロセスの一例を、図３の機能ブロック図及び図４のフローチャート等を用いて説明する。
【００７４】
端末Ｂの操作情報生成部３１は、端末Ｂの操作情報を生成し、生成した操作情報を、端末制御インタフェース３０を介して端末通信装置５ｂに送信する。端末通信装置５ｂは、ネットワークＮを介して、操作情報を管理サーバＡに送信する（Ｓ１０１）。なお、本処理プロセスにおける操作情報の送信タイミングは、操作情報生成部３１において操作情報を生成した時点で、その都度、管理サーバＡに対して送信されることとする。
【００７５】
管理サーバＡのサーバ通信装置５ａは、ネットワークＮを介して端末Ｂから出力された操作情報を受信する。次に、操作情報取得部１１は、サーバ制御インタフェース１０を介して、サーバ通信装置５ａが受信した端末Ｂの操作情報を取得する。そして、取得した操作情報を操作情報記憶部２１に記憶する（Ｓ１０２）。
【００７６】
図５に、操作情報記憶部２１に記憶される操作情報の一例を示す。この図に示すとおり、本実施例で取得する操作情報は、「端末識別情報」・「ユーザ識別情報」・「日時情報」・「処理内容」・「アプリケーション名」・「ファイル名」・「保存場所」・「デバイス名」の８項目に関する情報を取得することとする。さらに、本処理プロセスにおける操作情報記憶部２１の記憶形式は、端末識別情報別に分割し、さらに処理が実行された日時を示す日時情報順に記憶するという形式を採用することとする。
【００７７】
端末Ｂの環境情報生成部３２は、端末Ｂの環境情報を生成し、生成した環境情報を端末制御インタフェース３０及び端末通信装置５ｂを介して管理サーバＡに送信する。（Ｓ１０３）。なお、本処理プロセスにおける環境情報の送信タイミングは、予め定められた所定のタイミングで管理サーバＡに対して送信されることとする。
【００７８】
図６に、環境情報生成部３２で生成される環境情報の一例を示す。この図に示すとおり、環境情報はユーザ識別情報と関連付けて生成され、本実施例で生成する環境情報は、「端末識別情報」・「ユーザ識別情報」・「所属」・「ハードウェア」・「ネットワーク接続」・「起動時間帯」の５項目に関する情報が生成されることとする。本処理プロセスでは、所定の環境情報として「起動時間帯」中の「時間帯」を用いて判定する場合を例に説明することとする。
【００７９】
管理サーバＡのサーバ通信装置５ａは、ネットワークＮを介して端末Ｂから出力された環境情報を受信する。次に、環境情報取得部１７は、サーバ制御インタフェース１０を介して、サーバ通信装置５ａが受信した端末Ｂの環境情報を取得する。そして、取得した環境情報を環境情報記憶部２２に記憶する（Ｓ１０４）。
【００８０】
図７に、環境情報記憶部２２に記憶される環境情報の一例を示す。この図に示すとおり、本処理プロセスでは特定の環境情報別に分けて記憶するという形式を採用することとする。
【００８１】
特定状態情報生成部１３は、予め指定された所定時間帯の操作情報を抽出し、所定の使用形態に関する集計値を特定状態情報として算出する。本処理プロセスでは、所定時間帯を「２０１０年１０月７日１８時」から「２０１０年１０月７日２０時」までと設定することとし、また、所定の使用形態に関する集計値（特定状態情報）については、ネットワークＮに接続されていない時間帯を算出することとする。
【００８２】
特定状態情報生成部１３は、操作情報記憶部２１に記憶されている操作情報の中から、特定端末Ｂ（端末識別情報「ＣＬＡ００５」）における「２０１０年１０月７日１８時」から「２０１０年１０月７日２０時」までの操作情報を抽出する。本処理プロセスにおいて、操作情報記憶部２１から抽出された特定端末「ＣＬＡ００５」の操作情報は、図５の通りであったとする。
【００８３】
次に、特定状態情報生成部１３は、上記抽出した操作情報のうち、「ネットワーク切断」及び「ネットワーク接続」を示す操作情報を特定し、それぞれが出力された日時情報を用いて、特定端末「ＣＬＡ００５」がネットワークＮに接続されていない時間を算出する。その結果、ネットワークＮに接続されていない時間は「７５分」と算出される。特定状態情報生成部１３は、その算出した値を特定状態情報として生成し、盗難状態判定部１６に送信する（Ｓ１０５）。
【００８４】
特定環境情報抽出部１４は、環境情報取得部１２が取得した環境情報のうち、特定端末「ＣＬＡ００５」の環境情報を特定環境として抽出する（Ｓ１０６）。本処理プロセスでは、特定環境として、特定端末「ＣＬＡ００５」の起動時間帯に関する情報を示す「業務時間後」が特定環境として抽出されることとする。
【００８５】
標準状態情報生成部１５は、まず、特定環境情報抽出部１４から、特定環境「業務時間後」を取得する。そして、環境情報記憶部２２を参照し、環境情報「業務時間後」を有する端末Ｂの端末識別情報を抽出して取得する。環境情報記憶部２２に記憶されている情報が図７の通りであった場合、取得される端末識別情報は、「ＣＬＡ００４」・「ＣＬＡ００５」・「ＣＬＡ００６」・「ＣＬＡ００７」の４種類となる。
【００８６】
次に、標準状態情報生成部１５は、操作情報記憶部に記憶されている操作情報のうち、端末識別情報「ＣＬＡ００４」・「ＣＬＡ００５」・「ＣＬＡ００６」・「ＣＬＡ００７」の操作情報を特定し、所定時間帯（「２０１０年１０月７日１８時」から「２０１０年１０月７日２０時」まで）における操作情報を抽出する。そして、上記抽出した操作情報のうち、「ネットワーク切断」及び「ネットワーク接続」を示す操作情報を特定し、それぞれが出力された日時情報を用いて、端末ＢがネットワークＮに接続されていない時間を算出し、端末Ｂ一台当たりの平均値を算出し、標準状態情報を生成する。本処理プロセスにおいて、算出された平均値は「１０分」であったとする。
【００８７】
そして、標準状態情報生成部１５は、上記算出した平均値「１０分」を標準状態情報として生成し、盗難状態判定部１６に送信する（Ｓ１０７）。
【００８８】
盗難状態判定部１６の差分算出手段１６ａは、特定状態情報生成部１３が生成した特定状態情報と、標準状態情報生成部１５が生成した標準状態情報との差分を算出する（Ｓ１０８）。本処理プロセスにおいて両者の差分は「６５」と算出される。そして、差分算出手段１６ａは、算出した差分値を状態判定手段１６ｂに送信する。
【００８９】
判定部１６の状態判定手段１６ｂは、その内部に、予め定められた判定基準を記憶する判定基準テーブルを有しており、差分算出手段１６ａによって算出された差分値に基づいて盗難状態か否かの判定を行う（Ｓ１０９）。「盗難状態である」と判定された場合、その判定結果と該当する端末Ｂの端末識別情報とを含めた判定結果情報を生成し、制御部１７に送信する（Ｓ１１０）。図８に判定基準テーブルの一例を示す。この場合、差分値が「６０以上」の場合に盗難状態であると判定されるため、特定端末「ＣＬＡ００５」は盗難状態であると判定され、その判定結果と端末識別情報「ＣＬＳ００５」が、判定結果情報として制御部１７に送信される。
【００９０】
制御部１７は、状態判定手段１６ｂから受信した判定結果情報に基づき、その判定結果情報に含まれる端末識別情報を有する端末Ｂに対して、所定の機密情報漏洩防止処理を実行させる制御情報を生成し、サーバ制御インタフェース１０を介してサーバ通信装置５ａに送信する（Ｓ１１１）。本処理プロセスにおいて、サーバ通信装置５ａは、受信した制御情報を指定された端末識別情報「ＣＬＡ００５」を有する端末Ｂに対して、ネットワークＮを介して送信する。
【００９１】
端末Ｂの端末制御部３３は、端末制御インタフェース３０を介して取得した管理サーバＡからの制御情報の内容に従い、端末Ｂ内の各構成要素に対して各種情報漏洩防止処理を実行する（Ｓ１１２）。
【００９２】
上記の制御情報に含まれる情報漏洩防止処理の内容について具体的に説明すると、例えば、端末Ｂの機密情報記憶部３４に対しては、その内部に記憶されている機密情報の消去指示、機密情報に対するアクセス制限指示や暗号化指示、また、端末Ｂの記憶装置２を構成するハードディスクに記憶されているデータの全消去指示などが考えられる。
【００９３】
また、上記の情報漏洩防止処理について、端末Ｂの端末制御インタフェース３０に対しては、端末入力装置３ｂからの全制御指示を実行不可とする操作ロック指示、端末表示装置４ｂで表示している内容の消去指示（ディスプレイのブラックアウト指示）、または、端末表示装置４ｂに端末盗難の警告文を表示させる指示を送信するといった制御処理が考えられる。この警告表示の一例を、図９に示す。
【００９４】
上記管理サーバＡの制御部１７は、状態判定手段１６ｂから受信した判定結果情報に基づき、所定の機密情報漏洩防止処理を実行させる制御情報を生成し、サーバ制御インタフェース１０を介して管理者端末Ｃに送信してもよい。
【００９５】
管理端末Ｃの管理端末制御部４１は、管理端末制御インタフェース４０を介して取得した管理サーバＡからの制御情報の内容に従い、管理端末Ｃ内の各構成要素に対して各種情報漏洩防止処理を実行する。
【００９６】
上記の制御情報に含まれる情報漏洩防止処理の内容について具体的に説明すると、例えば、管理端末表示装置４ｃに端末盗難の警告文を表示させる指示を送信するといった制御処理が考えられる。この警告表示の一例を、図１０に示す。
【００９７】
なお、上述の処理プロセスでは環境情報として同一の環境情報（「起動時間帯情報」中の「業務時間外」）を含む特定状態情報と標準状態情報とを用いて判定したが、異なる環境情報を用いて判定することもできる。ここでの異なる環境情報とは、環境情報の項目は同じだが状態が異なるもの（例えば「起動時間帯情報」中の「業務時間外」と「業務時間内」など）とする。具体的には、取得した特定状態情報から環境情報の項目を抽出し、その環境情報の項目と一致する標準操作特徴を取得する。そして、それらの環境情報中の状態が異なる場合は、予め設定されている基準値を補正し新たな基準値を設定する基準値補正手段（図示せず）を設け、特定状態情報と標準状態情報との差と新たな基準値とを用いて盗難の危険性を判定する方法である。なお、環境情報中の状態が異なる場合の補正値を予め登録されているものとする。補正値は、環境情報中の状態が異なる場合は基準値をより大きい値に設定すると好適である。
【実施例２】
【００９８】
〔実施例２−構成〕
以下、図面を用いて本発明の第二実施例について説明する。図１１に、本発明の情報漏洩防止システムを構成する管理サーバＡ、端末Ｂ及び管理端末Ｃの機能ブロック図を示す。本発明における各構成部及び各手段は、その機能が論理的に区別されているのみであって、物理上あるいは事実上同一の領域を為していてもよい。
【００９９】
また、図１１は、本発明において必要となる最小限度の機器、構成部及び手段等のみを記載しており、その他の機器、構成部及び手段等についてはその記載を省略する。なお、〔実施例１−構成〕と同一の構成部等には同一の符号を付しており、同じ動作をする場合にはその詳細な説明は省略する。
【０１００】
本実施例は、端末Ｂの内部に、操作情報生成部３１で生成した操作情報を記憶する操作情報記憶部３５と、環境情報生成部３２で生成した環境情報を記憶する特定環境情報抽出部３６と、操作情報及び環境情報を利用して自身の使用状態に関する情報を生成する使用状態情報生成部３７とを備えているという点、また、管理サーバＡの内部に、端末Ｂから出力される使用状態情報を取得する使用状態情報取得部１８と、取得した端末Ｂの使用状態情報を記憶する使用状態情報記憶部２３とを備えているという点において、〔実施例１−構成〕と異なっている。
【０１０１】
以下、図１１に記載した本発明を構成する機能ブロック図に基づいて、各構成部の動作について説明する。なお、〔実施例１−構成〕と同様の構成部又は同様の動作については、その詳細な説明を省略する。
【０１０２】
端末Ｂの操作情報記憶部３４には、操作情報生成部３１が生成した操作情報が記憶される。その際の記憶形式は、操作情報が生成された日時に応じて時系列的に記憶するという形式にすると好適である。具体的には、操作情報生成部３１で生成する操作情報が操作情報形式であった場合、操作情報に含まれる日時情報順に記憶するという形式が考えられる。
【０１０３】
特定環境情報抽出部３６は、その内部に、盗難危険性を判定する基準となる特定の環境情報を抽出するための、予め指定された項目情報を有している。そして、環境情報生成部３２が生成した環境情報のうち、特定の項目に該当する環境情報を特定環境として抽出する。さらに、特定環境情報抽出部３６は、端末Ｂが特定環境にある日時情報もあわせて抽出し、特定環境情報として使用状態情報生成部３７に送信する。
【０１０４】
使用状態情報生成部３７は、特定環境情報抽出部３６から取得した特定環境の時間帯において出力された操作情報を、操作情報記憶部３５から抽出する。さらに抽出した操作情報に基づいて、端末Ｂの特定環境における使用状態情報を生成する。そして、生成した使用状態情報を端末制御インタフェース３０及び端末通信装置５ｂを介して管理サーバＡに送信する。
【０１０５】
管理サーバＡの使用状態情報取得部１８は、ネットワークＮに接続されている端末Ｂの使用状態情報を、サーバ通信装置５ａ及びサーバ制御インタフェース１０を介して取得する。そして、取得した使用状態情報を使用状態情報記憶部２３に送信する。
【０１０６】
使用状態情報記憶部２３には、使用状態情報取得部１８が取得した使用状態情報が記憶される。その際の記憶形式は、使用状態情報が出力された端末毎に分類して記憶するという形式にすると好適である。具体的には、使用状態情報に含まれる端末識別情報別に分類して記憶するという形式が考えられる。
【０１０７】
上述の構成とすることにより、操作情報及び環境情報の生成から使用状態情報の生成までを行うことが可能となる。このため、管理サーバＡにおける演算処理の負荷を軽減することができるという効果がある。
【０１０８】
〔実施例２−処理プロセス〕
次に、本発明の情報漏洩防止システムにおける処理プロセスの一例を、図１１の機能ブロック図及び図１２のフローチャート等を用いて説明する。なお、図１２のフローチャートにおける（Ｓ２１１）及び（Ｓ２１２）の動作については、〔実施例１−処理プロセス〕と同様のため、その詳細を省略する。
【０１０９】
端末Ｂの操作情報生成部３１は、端末Ｂの操作情報を生成し、生成した操作情報を操作情報記憶部３５に記憶する（Ｓ２０１）。図１３に操作情報記憶部３５に記憶される操作情報の一例を示す。操作情報の構成及び記憶形式については、〔実施例１−処理プロセス〕の場合と同様とする。
【０１１０】
端末Ｂの環境情報生成部３２は、端末Ｂの環境情報を生成し、自身の記憶領域内に保持する。（Ｓ２０２）。
【０１１１】
特定環境情報抽出部３６は、環境情報取得部３２が取得した環境情報が予め定められた条件に該当するか否かを判定する。本実施例では、予め定められた条件として、端末ＢがネットワークＮに接続されていない場合を特定環境として判定することとする。さらに、特定環境情報抽出部３６は、端末Ｂが特定環境にある時刻情報もあわせて抽出し、特定環境情報として使用状態情報生成部３７に送信する（Ｓ２０３）。図１４に、送信される特定環境情報の一例を示す。
【０１１２】
使用状態情報生成部３７は、特定環境情報抽出部３６から取得した特定環境情報に基づき、ネットワーク切断中の端末Ｂの操作情報を操作情報記憶部３５から抽出する。抽出した操作情報の一例を図１５に示す。本処理プロセスでは、ネットワーク切断が行われた「２０１０年１０月７日１８時４５分」からネットワーク接続が行われた「２０１０年１０月７日２０時」までの操作情報が抽出されることとなる。
【０１１３】
次に、使用状態情報生成部３７は、抽出した操作情報から使用状態情報を生成する（Ｓ２０４）。本処理プロセスでは、「ファイル名」に「機密」という文字を含んでいるファイル（以下、「機密ファイル」という。）に対する処理が実行された回数を抽出を使用状態情報として抽出することとする。この場合、図１５に示すとおり、抽出された操作情報において機密ファイルに対する処理実行回数は「１４回」と算出されるため、その「１４回」というと端末識別情報とを組み合わせて使用状態情報を生成し、端末制御インタフェース３０及び端末通信装置５ｂを介して管理サーバＮに送信する。
【０１１４】
本処理プロセスにおける端末制御インタフェース３０は、端末通信装置５ｂが現在ネットワークＮに接続されているかどうかを監視する機能を有しており、端末ＢがネットワークＮから切断されている際の操作情報は端末Ｂ内に保持しており、ネットワークＮに接続された時点で生成された使用状態情報を管理サーバＡに送信する。このように構成することにより、ネットワークＮから切断されている際の操作内容に応じて、端末Ｂが盗難状態にあるか否かを判定することが可能となる。
【０１１５】
管理サーバＡのサーバ通信装置５ａは、ネットワークＮを介して端末Ｂから出力された使用状態情報を受信する。次に、使用状態情報取得部１８は、サーバ制御インタフェース１０を介して、サーバ通信装置５ａが取得した端末Ｂの使用状態情報を取得する。そして、取得した使用状態情報を使用状態情報記憶部２３に記憶する（Ｓ２０５）。
【０１１６】
図１６に、使用状態情報記憶部２２に記憶される使用状態情報の一例を示す。本実施例で使用する使用状態情報は、「端末識別情報」・「ユーザ識別情報」・「ネットワーク切断中における機密ファイルへの処理実行回数」の３項目に関する情報を取得することとする。
【０１１７】
特定状態情報生成部１３は、使用状態情報記憶部２３に記憶されている使用状態情報の中から、特定の端末Ｂにおける業務時間外にネットワークＮに接続されていない時間を抽出する。本処理プロセスにおいて、端末識別情報「ＣＬ００５」を有する端末を特定の端末とした場合、抽出される時間は「１４回」となる。そして、この「１回」を特定状態情報として生成し、盗難状態判定部１６に送信する（Ｓ２０６）。
【０１１８】
標準状態情報生成部１５は、使用状態情報記憶部２３に記憶されている全ての端末Ｂの使用状態を用いて、「ネットワーク切断中における機密ファイルへの処理実行回数」の、一台当たりの平均値を算出する。本処理プロセスにおいて算出された平均値は「３回」であったとする。そして、この平均値「３回」を標準状態情報として生成し、盗難状態判定部１６に送信する（Ｓ２０７）。
【０１１９】
盗難状態判定部１６の差分算出手段１６ａは、特定状態情報生成部１３が生成した特定状態情報と、標準状態情報生成部１５が生成した標準状態情報との差分を算出する（Ｓ２０８）。本処理プロセスにおいて両者の差分は「１１回」と算出される。そして、差分算出手段１６ａは、算出した差分値を状態判定手段１６ｂに送信する。
【０１２０】
盗難状態判定部１６の状態判定手段１６ｂは、その内部に、予め定められた判定基準を記憶する判定基準テーブルを有しており、差分算出手段１６ａによって算出された差分値に基づいて盗難状態か否かの判定を行う（Ｓ２０９）。「盗難状態である」と判定された場合、その判定結果と該当する端末Ｂの端末識別情報とを含めた判定結果情報を生成し、制御部１７に送信する（Ｓ２１０）。図１７に判定基準テーブルの一例を示す。この場合、差分値が「５以上」の場合に盗難状態であると判定されるため、特定端末「ＣＬＡ００５」は盗難状態であると判定され、その判定結果と端末識別情報「ＣＬＳ００５」が、判定結果情報として制御部１７に送信される。
【０１２１】
上述の処理プロセスでは、端末ＢがネットワークＮに接続されていない間における操作内容を用いて使用状態情報を生成するという内容であったが、それ以外にも、特定環境情報を所定のドメインのネットワークに接続中である状態とすることにより、特定のドメインのネットワークに接続中の操作内容を用いて使用状態情報を生成することも可能である。
【０１２２】
上述の構成とすることにより、端末Ｂの内部で使用状態情報の生成までを行うことができるため、端末Ｂが管理サーバＡとネットワークＮを介して常に接続されていなくても、一旦管理サーバＡとの接続状態が回復した時点で、ネットワーク切断中における端末Ｂ状態の操作内容に基づいて盗難状態か否かを判定することが可能となる。こうすることで、常に管理サーバＡと接続状態にはない端末Ｂに対しても、盗難状態か否かの判定を行うことができる。
【実施例３】
【０１２３】
〔実施例３−構成〕
以下、図面を用いて本発明の第三実施例について説明する。図１８に、本発明の情報漏洩防止システムを構成する管理サーバＡ、端末Ｂ及び管理端末Ｃの機能ブロック図を示す。本発明における各構成部及び各手段は、その機能が論理的に区別されているのみであって、物理上あるいは事実上同一の領域を為していてもよい。
【０１２４】
また、図１８は、本発明において必要となる最小限度の機器、構成部及び手段等のみを記載しており、その他の機器、構成部及び手段等についてはその記載を省略する。なお、〔実施例１−構成〕と同一の構成部等には同一の符号を付しており、同じ動作をする場合にはその詳細な説明は省略する。
【０１２５】
管理サーバＡのサーバ処理装置１ａは、盗難状態判定部１６の内部に、差分算出手段１４ａが算出した差分に基づいて、端末Ａが盗難状態にある危険性の程度を危険度として判定する危険度判定手段１４ｃを備えているという点において、〔実施例１−構成〕と異なっている。
【０１２６】
以下、図１８に記載した本発明を構成する機能ブロック図に基づいて、各構成部の動作について説明する。なお、〔実施例１−構成〕と同様の構成部又は同様の動作については、その詳細な説明を省略する。
【０１２７】
盗難状態判定部１６の危険度判定手段１６ｃは、差分算出手段１６ａが算出した差分を取得し、その差分の内容に基づき端末Ｂが盗難状態にあると予測される危険度を判定する。判定の結果、危険度が所定値以上の場合、危険度判定手段１６ａは、端末Ｂが「盗難状態にある」として、制御部１７に判定した危険度を送信する。危険度が所定値未満の場合は、端末Ｂは「盗難状態にはない」と判断する。
【０１２８】
上記の危険度判定手段１６ｃにおける、端末Ｂが盗難状態にあるか否かの判定処理について説明する。危険度判定手段１６ｃは、差分算出手段１４ａから取得した差分が大きければ大きいほど、端末Ｂが盗難されている危険性が高いとして危険度を判定する。危険度の判定方法には様々なものが考えられるが、本実施例では、危険度判定手段１６ａの内部に予め定められた基準値を設定しておき、取得した差分と基準値とを比較することにより危険度を判定するという方法を用いることとする。
【０１２９】
制御部１７は、危険度判定手段１６ｃから取得した危険度に応じて、端末Ｂに保存された機密情報の漏洩防止処理を、サーバ制御インタフェース１０を介して実行指示する。実行指示を受けた端末Ｂにおいて実行される情報漏洩防止処理は、危険度が高くなるに従って厳しい制御処理が実行されるという形式にすると好適である。
【０１３０】
上述の構成とすることにより、端末が盗難状態にある危険性考慮して、その危険性の大きさに応じて実行される制御を変化させて実行することが可能となる。これにより、情報漏洩事故を予測して、状況に応じた対応を行うことができる。
【０１３１】
〔実施例３−処理プロセス〕
次に、本発明の情報漏洩防止システムにおける処理プロセスの一例を、図１８の機能ブロック図及び図１９のフローチャート等を用いて説明する。なお、図１９のフローチャートにおける（Ｓ３０１）から（Ｓ３０８）、の動作については、〔実施例１−処理プロセス〕と同様のため、その詳細を省略する。また、本処理プロセスでは、実施例１と同様、端末ＢがネットワークＮに接続されていない時間を用いて盗難可能性を判定する場合を例に説明することとする。
【０１３２】
盗難状態判定部１６の危険度判定手段１６ｃは、その内部に予め定められた基準値と危険度とを対応させた危険度テーブルを有しており、差分算出手段１６ａによって算出された差分に対応している危険度を、端末Ｂが盗難状態にある危険性を示す危険度として判定する（Ｓ３０９）。図２０に危険度テーブル内に記憶される内容の一例を示す。本処理プロセスの場合、差分は「６５」なので、危険度は「１」と判定される。
【０１３３】
次に、危険度判定手段１６ｃは、判定した危険度が所定値以上であった場合、盗難状態であると判定する（Ｓ３１０）。本処理プロセスでは、危険度が「１」以上であった場合、端末Ｂは「盗難状態である」と判断することとする。
【０１３４】
そして、危険度判定手段１６ｃは、「盗難状態である」と判断した場合に、判定した危険度を制御部１７に送信する。本処理プロセスの場合、危険度は「１」であるため、盗難状態であると判断され、危険度「１」が制御部１７に送信されることとなる。
【０１３５】
制御部１７は、その内部に危険度と情報漏洩防止処理内容とを関連付けた処理内容テーブルを有しており、危険度判定手段１６ｃから受信した危険度に応じて、機密情報漏洩防止処理を実行する（Ｓ３１２）。図２１に処理内容テーブル内に記憶される内容の一例を示す。本処理プロセスの場合、危険度「１」なので、サーバ制御インタフェース１０に対して、端末Ｂの端末表示装置４ｂに警告通知を表示させる制御指示が送信される。
【０１３６】
上述の制御部１７による制御処理について、危険度レベルが２以上で判定された場合、判定されたレベル未満の情報漏洩防止処理も累積的に実行されるとすると好適である。例えば、判定された危険度「５」であった場合、制御部１７は、サーバ制御インタフェース１０を介して、端末Ｂの端末表示装置４ｂに警告通知を表示させる制御指示を送信し（危険度１の処理）、端末入力装置３ｂからの操作制御指示を無効とする操作ロック指示を送信し（危険度２の処理）、端末表示装置４ｂに表示された警告通知以外の部分をブラックアウトする制御指示を送信し（危険度３の処理）、機密情報記憶部３４に記憶されている情報の消去指示を送信し（危険度４の処理）、端末Ｂの電源を強制的にＯＦＦにする制御指示を送信する（危険度５の処理）という形で、累積的に情報漏洩防止処理を実行するという形式が考えられる。
【０１３７】
また、制御部１７は、その内部に管理端末Ｃに対する処理内容を規定した管理端末向け処理内容テーブル（図示せず）を有するという構成としてもよい。この処理内容テーブルも上述と同様、危険度判定手段１６ｃから受信した危険度に対応した機密情報漏洩防止処理が規定されているという形式にすると好適である。具体的には、管理端末表示装置４ｃに対し、危険度１の処理として盗難状態である端末Ｂのリストをメッセージ形式で通知し、危険度２の処理として前記メッセージ形式の通知を勧告通知として強調表示させ、危険度３の処理として前記勧告通知を拡大して警告通知として強調表示させ、危険度４の処理として前記警告通知とともに表示をフラッシュさせる形式で協調表示させ、危険度５の処理として前記警告通知とともに警告音を発生させる、という内容が考えられる。また、上述の端末Ｂに対する制御処理と同様、管理端末Ｃに対する制御処理も、危険度レベルに応じて累積的に実行するという形式にすると好適である。
【実施例４】
【０１３８】
〔実施例４−構成〕
以下、図面を用いて本発明の第四実施例について説明する。図２２に、本発明の情報漏洩防止システムを構成する管理サーバＡ、端末Ｂ及び管理端末Ｃの機能ブロック図を示す。本発明における各構成部及び各手段は、その機能が論理的に区別されているのみであって、物理上あるいは事実上同一の領域を為していてもよい。
【０１３９】
また、図２２は、本発明において必要となる最小限度の機器、構成部及び手段等のみを記載しており、その他の機器、構成部及び手段等についてはその記載を省略する。なお、〔実施例１−構成〕及び〔実施例３−構成〕と同一の構成部等には同一の符号を付しており、同じ動作をする場合にはその詳細な説明は省略する。
【０１４０】
本発明は、端末Ｂの内部に、機密情報記憶部３４に記憶されている機密情報のデータ量に関する情報を生成するデータ量生成部３８を備えているという点、また、管理サーバＡのサーバ処理装置１ａに、サーバ通信装置５ａが受信した端末Ｂに記憶されている機密情報のデータ量をサーバ制御インタフェース１０を介して取得するデータ量取得部１９と、盗難状態判定部１６の危険度判定手段１６ｃで判定した危険度を変更する危険度変更手段１６ｄを備えているという点において、〔実施例３−構成〕と異なっている。
【０１４１】
以下、図２２に記載した本発明を構成する機能ブロック図に基づいて、各構成部の動作について説明する。なお、〔実施例１−構成〕及び〔実施例３−構成〕と同様の構成部又は同様の動作については、その詳細な説明を省略する。
【０１４２】
端末Ｂのデータ量生成部３８は、機密情報記憶部３４の内部に記憶されているデータ量に関する情報を生成する。本実施例では、データ量に関する情報として機密情報記憶部３４内に記憶されている情報ファイル数を生成する場合について説明する。そして、データ量生成部３８は、生成したデータ量に自身の端末識別情報組み合わせたデータ量情報を生成し、端末制御インタフェース３０及び端末通信装置５ｂを介して管理サーバＡに送信する。その送信タイミングは、予め定められた所定のタイミング毎に送信するとしてもよいし、管理サーバＡからの要求を受信したタイミングで送信するとしてもよい。本実施例では、管理サーバＡからの要求を受信したタイミングで送信することとする。
【０１４３】
管理サーバＡのデータ量受信部１９は、ネットワークＮに接続されている端末Ｂのデータ量情報を取得する。そして、取得したデータ量情報を端末識別情報毎に保持しておく。その保持形式は、端末Ｂに記憶されている機密情報の現在のデータ量が把握できる形式であればよい。例えば、データ量情報を保持するために一次的な記憶領域を有する形式が考えられる。その際の記憶形式は、既に記憶されている既存のデータ量情報に対して新規に生成したデータ量情報上書きして記憶するという形式が好適である。
【０１４４】
盗難状態判定部１６の危険度判定手段１６ｃは、差分算出手段１６ａが算出した差分を取得し、その差分の内容に基づき端末Ａが盗難状態にあると予測される危険度を判定する。判定の結果、危険度が所定値以上の場合、危険度判定手段１６ｃは、端末Ｂが盗難状態にあるとして、危険度変更手段１６ｄに判定した危険度を送信する。危険度が所定値未満の場合は、端末Ｂは盗難状態にないと判断する。
【０１４５】
危険度変更手段１６ｄは、危険度判定手段１６ｃから危険度を受信すると、データ量取得部１９から機密情報のデータ量を取得する。そして、そのデータ量に基づき端末Ａの盗難に伴って発生する情報漏洩損害の大きさを考慮して危険度を変更する。危険度の変更方法には様々なものが考えられるが、本実施例では、危険度変更手段１６ｄの内部に予め定められた基準値を設定しておき、取得したデータ量と基準値とを比較することにより危険度を変更するという方法を用いることとする。変更した危険度は、制御部１７に送信される。
【０１４６】
上述の構成とすることにより、端末の盗難危険性だけでなく、盗難によって漏洩する危険性のある機密情報の予測量、及びそれに伴って発生する損害の大きさも考慮した盗難状態を判定し、その判定した盗難状態に応じた適切な制御を実行することが可能となる。
【０１４７】
〔実施例４−処理プロセス〕
次に、本発明の情報漏洩防止端末における処理プロセスの一例を、図２４の機能ブロック図及び図２５のフローチャート等を用いて説明する。なお、図２５のフローチャートにおける（Ｓ４０１）から（Ｓ４０８）、及び（Ｓ４１３）から（Ｓ４１４）の動作については、〔実施例１−処理プロセス〕及び〔実施例３−処理プロセス〕と同様のため、その詳細を省略する。また、本処理プロセスでは、実施例１と同様、端末ＢがネットワークＮに接続されていない時間を用いて盗難可能性を判定する場合を例に説明することとする。
【０１４８】
データ量生成部３８は、管理サーバＡからのデータ量送信要求を受信すると、機密情報記憶部３４内に記憶されている情報ファイルのファイル数をデータ量としてデータ量情報を生成し、管理サーバＡに対して送信する。本処理プロセスでは、機密情報記憶部３４内に記憶されている情報ファイルのファイル数（データ量）が「２０」であった場合を例に説明する。
【０１４９】
盗難状態判定部１４の危険度判定手段１６ｃは、その内部に予め定められた基準値と危険度とを対応させた危険度テーブルを有しており、差分算出手段１６ａによって算出された差分に対応している危険度を、端末Ｂが盗難状態にある危険性を示す危険度として判定する（Ｓ４０９）。図２０に危険度テーブル内に記憶される内容の一例を示す。本処理プロセスの場合、差分は「６５」なので、危険度は「１」と判定される。
【０１５０】
次に、危険度判定手段１６ｃは、判定した危険度が所定値以上であった場合、盗難状態であると判定する（Ｓ４１０）。本処理プロセスでは、危険度が「１」以上であった場合、端末Ａは盗難状態であると判断することとする。
【０１５１】
そして、危険度判定手段１６ｃは、盗難状態であると判断した場合に、判定した危険度を危険度変更手段１６ｄに送信する。本処理プロセスの場合、危険度は「１」であるため、盗難状態であると判断され、危険度「１」が危険度変更手段１６ｄに送信されることとなる。
【０１５２】
データ量取得部１９は、端末Ｂからデータ量情報として、データ量「２０」と端末識別情報を取得する。さらに自身内部の記憶領域に、端末識別情報と関連付けてデータ量「２０」を保持しておく（Ｓ４１１）。
【０１５３】
危険度変更手段１６ｄは、その内部に基準値と危険度変更値とを対応させた危険度変更テーブルを有している。危険度判定手段１６ｃから危険度を受信すると、データ量取得部１９から取得したデータ量に対応する危険度変更値に従って危険度を変更する（Ｓ４１２）。図２４に危険度変更テーブル内に記憶される内容の一例を示す。本処理プロセスの場合、ファイル数は「２０」なので、危険度変更値は「＋４」となるため、危険度は「５」に変更される。変更した危険度は制御部１７に送信される。
【符号の説明】
【０１５４】
Ａ：管理サーバ
Ｂ：端末
Ｃ：管理端末
Ｎ：ネットワーク
１：処理装置
１ａ：サーバ処理装置
１ｂ：端末処理装置
１ｃ：管理端末処理装置
２：記憶装置
２ａ：サーバ記憶装置
２ｂ：端末記憶装置
３：入力装置
３ａ：サーバ入力装置
３ｂ：端末入力装置
３ｃ：管理端末入力装置
４：表示装置
４ａ：サーバ表示装置
４ｂ：端末表示装置
４ｃ：管理端末表示装置
５：通信装置
５ａ：サーバ通信装置
５ｂ：端末通信装置
５ｃ：管理端末通信装置
６：演算装置
７：制御装置
１０：サーバ制御インタフェース
１１：操作情報取得部
１２：環境情報取得部
１３：特定状態情報生成部
１４：特定環境情報抽出部
１５：標準状態情報生成部
１６：盗難状態判定部
１６ａ：差分算出手段
１６ｂ：状態判定手段
１７：制御部
１８：使用状態情報取得部
２１：操作情報記憶部
２２：環境情報記憶部
２３：使用状態情報記憶部
３０：端末制御インタフェース
３１：操作情報生成部
３２：環境情報生成部
３３：端末制御部
３４：機密情報記憶部
３５：操作情報記憶部
３６：特定環境情報抽出部
３７：使用状態情報生成部
３８：データ量生成部
４０：管理端末制御インタフェース
４１：管理端末制御部
【特許請求の範囲】
【請求項１】
通信ネットワークを介して接続した端末が、盗難状態であるかを判定する処理装置を備える管理サーバを有する盗難状態判定システムであって、
前記管理サーバの処理装置は、
前記端末の稼働環境に関する情報を環境情報として取得する環境情報取得部と、
前記端末に対してユーザが実行した操作情報を取得する操作情報取得部と、
特定の端末の環境情報及び操作情報から、使用状態に関する情報を特定状態情報として生成する特定状態生成部と、
前記特定端末と同一の環境情報を有する端末の環境情報及び操作情報から、使用状態に関する情報を標準状態情報として生成する標準状態情報生成部と、
前記特定状態情報と前記標準状態情報とを比較し、前記特定端末の盗難危険性を判定する盗難状態判定部と、
前記判定結果に応じて前記機密情報の情報漏洩防止処理を実行する制御部と、
を備えることを特徴とする盗難状態判定システム。
【請求項２】
機密情報を記憶する記憶装置を有する端末と、
前記端末が盗難状態であるかを判定する処理装置を備える管理サーバと、
を通信ネットワークを介して接続した盗難状態判定システムであって、
前記端末は、
稼働環境に関する情報を環境情報として生成する環境情報生成部と、
ユーザが実行した操作情報を生成する操作情報生成部と、
前記環境情報及び前記操作情報から、前記端末自身の使用状態に関する情報を使用状態情報として生成し、前記管理サーバに送信する使用状態情報生成部と、を備え、
前記管理サーバの処理装置は、
特定の端末から取得した使用状態情報を特定状態情報として生成する特定状態情報取得部と、
前記特定端末と同一の環境情報を有する端末の使用状態情報を取得して標準的な使用状態情報を生成する標準状態情報生成部と、
前記特定状態情報と前記標準状態情報とを比較し、前記特定端末の盗難危険性を判定する盗難状態判定部と、
前記判定結果に応じて前記機密情報の情報漏洩防止処理を実行する制御部と、
を備えることを特徴とする盗難状態判定システム。
【請求項３】
前記管理サーバの処理装置における前記盗難状態判定部は、
前記特定状態情報と前記標準状態情報との差分を算出する差分算出手段と、
前記算出した差分に基づき前記端末が盗難状態にある危険性を示す危険度を判定する危険度判定手段と、
を有することを特徴とする請求項１から請求項２に記載の盗難状態判定システム。
【請求項４】
前記管理サーバの処理装置は、さらに、
前記端末の記憶装置に記憶されている機密情報のデータ量を取得するデータ量取得部を備え、
前記盗難状態判定部は、前記データ量に基づき前記端末が盗難状態にある危険性を示す危険度を変更する危険度変更手段と、
を有することを特徴とする請求項１から請求項３に記載の盗難状態判定システム。
【請求項５】
通信ネットワークを介して接続した端末が、盗難状態であるかを判定する処理装置を備える管理サーバを有する盗難状態判定システムに用いるプログラムであって、
前記管理サーバの処理装置に、
前記端末の稼働環境に関する情報を環境情報として取得する環境情報取得機能と、
前記端末に対してユーザが実行した操作情報を取得する操作情報取得機能と、
特定の端末の環境情報及び操作情報から、使用状態に関する情報を特定状態情報として生成する特定状態生成機能と、
前記特定端末と同一の環境情報を有する端末の環境情報及び操作情報から、使用状態に関する情報を標準状態情報として生成する標準状態情報生成機能と、
前記特定状態情報と前記標準状態情報とを比較し、前記特定端末の盗難危険性を判定する盗難状態判定機能と、
前記判定結果に応じて前記機密情報の情報漏洩防止処理を実行する制御機能と、
を実行させることを特徴とする盗難状態判定プログラム。
【請求項６】
機密情報を記憶する記憶装置を有する端末と、
前記端末が盗難状態であるかを判定する処理装置を備える管理サーバと、
を通信ネットワークを介して接続した盗難状態判定システムに用いるプログラムであって、
前記端末に、
稼働環境に関する情報を環境情報として生成する環境情報生成機能と、
ユーザが実行した操作情報を生成し、前記管理サーバに送信する操作情報生成機能と、
前記環境情報及び前記操作情報から、前記端末自身の使用状態に関する情報を使用状態情報として生成する使用状態情報生成機能と、を実行させ、
前記管理サーバの処理装置に、
特定の端末から取得した使用状態情報を特定状態情報として生成する特定状態情報取得機能と、
前記特定端末と同一の環境情報を有する端末の使用状態情報を取得して標準的な使用状態情報を生成する標準状態情報生成機能と、
前記特定状態情報と前記標準状態情報とを比較し、前記特定端末の盗難危険性を判定する盗難状態判定機能と、
前記判定結果に応じて前記機密情報の情報漏洩防止処理を実行する制御機能と、
を実行させることを特徴とする盗難状態判定システム。
【請求項１】
通信ネットワークを介して接続した端末が、盗難状態であるかを判定する処理装置を備える管理サーバを有する盗難状態判定システムであって、
前記管理サーバの処理装置は、
前記端末の稼働環境に関する情報を環境情報として取得する環境情報取得部と、
前記端末に対してユーザが実行した操作情報を取得する操作情報取得部と、
特定の端末の環境情報及び操作情報から、使用状態に関する情報を特定状態情報として生成する特定状態生成部と、
前記特定端末と同一の環境情報を有する端末の環境情報及び操作情報から、使用状態に関する情報を標準状態情報として生成する標準状態情報生成部と、
前記特定状態情報と前記標準状態情報とを比較し、前記特定端末の盗難危険性を判定する盗難状態判定部と、
前記判定結果に応じて前記機密情報の情報漏洩防止処理を実行する制御部と、
を備えることを特徴とする盗難状態判定システム。
【請求項２】
機密情報を記憶する記憶装置を有する端末と、
前記端末が盗難状態であるかを判定する処理装置を備える管理サーバと、
を通信ネットワークを介して接続した盗難状態判定システムであって、
前記端末は、
稼働環境に関する情報を環境情報として生成する環境情報生成部と、
ユーザが実行した操作情報を生成する操作情報生成部と、
前記環境情報及び前記操作情報から、前記端末自身の使用状態に関する情報を使用状態情報として生成し、前記管理サーバに送信する使用状態情報生成部と、を備え、
前記管理サーバの処理装置は、
特定の端末から取得した使用状態情報を特定状態情報として生成する特定状態情報取得部と、
前記特定端末と同一の環境情報を有する端末の使用状態情報を取得して標準的な使用状態情報を生成する標準状態情報生成部と、
前記特定状態情報と前記標準状態情報とを比較し、前記特定端末の盗難危険性を判定する盗難状態判定部と、
前記判定結果に応じて前記機密情報の情報漏洩防止処理を実行する制御部と、
を備えることを特徴とする盗難状態判定システム。
【請求項３】
前記管理サーバの処理装置における前記盗難状態判定部は、
前記特定状態情報と前記標準状態情報との差分を算出する差分算出手段と、
前記算出した差分に基づき前記端末が盗難状態にある危険性を示す危険度を判定する危険度判定手段と、
を有することを特徴とする請求項１から請求項２に記載の盗難状態判定システム。
【請求項４】
前記管理サーバの処理装置は、さらに、
前記端末の記憶装置に記憶されている機密情報のデータ量を取得するデータ量取得部を備え、
前記盗難状態判定部は、前記データ量に基づき前記端末が盗難状態にある危険性を示す危険度を変更する危険度変更手段と、
を有することを特徴とする請求項１から請求項３に記載の盗難状態判定システム。
【請求項５】
通信ネットワークを介して接続した端末が、盗難状態であるかを判定する処理装置を備える管理サーバを有する盗難状態判定システムに用いるプログラムであって、
前記管理サーバの処理装置に、
前記端末の稼働環境に関する情報を環境情報として取得する環境情報取得機能と、
前記端末に対してユーザが実行した操作情報を取得する操作情報取得機能と、
特定の端末の環境情報及び操作情報から、使用状態に関する情報を特定状態情報として生成する特定状態生成機能と、
前記特定端末と同一の環境情報を有する端末の環境情報及び操作情報から、使用状態に関する情報を標準状態情報として生成する標準状態情報生成機能と、
前記特定状態情報と前記標準状態情報とを比較し、前記特定端末の盗難危険性を判定する盗難状態判定機能と、
前記判定結果に応じて前記機密情報の情報漏洩防止処理を実行する制御機能と、
を実行させることを特徴とする盗難状態判定プログラム。
【請求項６】
機密情報を記憶する記憶装置を有する端末と、
前記端末が盗難状態であるかを判定する処理装置を備える管理サーバと、
を通信ネットワークを介して接続した盗難状態判定システムに用いるプログラムであって、
前記端末に、
稼働環境に関する情報を環境情報として生成する環境情報生成機能と、
ユーザが実行した操作情報を生成し、前記管理サーバに送信する操作情報生成機能と、
前記環境情報及び前記操作情報から、前記端末自身の使用状態に関する情報を使用状態情報として生成する使用状態情報生成機能と、を実行させ、
前記管理サーバの処理装置に、
特定の端末から取得した使用状態情報を特定状態情報として生成する特定状態情報取得機能と、
前記特定端末と同一の環境情報を有する端末の使用状態情報を取得して標準的な使用状態情報を生成する標準状態情報生成機能と、
前記特定状態情報と前記標準状態情報とを比較し、前記特定端末の盗難危険性を判定する盗難状態判定機能と、
前記判定結果に応じて前記機密情報の情報漏洩防止処理を実行する制御機能と、
を実行させることを特徴とする盗難状態判定システム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２２】
【図２３】
【図２４】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２２】
【図２３】
【図２４】
【公開番号】特開２０１２−１７３９９２（Ｐ２０１２−１７３９９２Ａ）
【公開日】平成２４年９月１０日（２０１２．９．１０）
【国際特許分類】
【出願番号】特願２０１１−３５４０９（Ｐ２０１１−３５４０９）
【出願日】平成２３年２月２２日（２０１１．２．２２）
【出願人】（５９９１０８２４２）Ｓｋｙ株式会社 (257)
【Ｆターム（参考）】
【公開日】平成２４年９月１０日（２０１２．９．１０）
【国際特許分類】
【出願日】平成２３年２月２２日（２０１１．２．２２）
【出願人】（５９９１０８２４２）Ｓｋｙ株式会社 (257)
【Ｆターム（参考）】
[ Back to top ]