盗難状態判定端末及び盗難状態判定プログラム
【課題】
コンピュータ端末の盗難等による情報漏洩を防止するために、端末が使用されている状況の変化に応じて端末が盗難状態にあるかを自動的に判定し、情報漏洩防止処理を実行する端末を提供することを目的とする。
【解決手段】
本発明の盗難状態判定端末における処理装置は、端末自身の稼働環境に関する情報と、ユーザによって操作された操作情報とを取得する。次に、稼働環境毎に操作特徴を抽出し、平常時の操作特徴とは異なる異常な操作を検出する。そして、検出結果に基づいて端末自身が盗難状態にあるかどうかを自動判定することにより、盗難による情報漏洩防止を実現する。
コンピュータ端末の盗難等による情報漏洩を防止するために、端末が使用されている状況の変化に応じて端末が盗難状態にあるかを自動的に判定し、情報漏洩防止処理を実行する端末を提供することを目的とする。
【解決手段】
本発明の盗難状態判定端末における処理装置は、端末自身の稼働環境に関する情報と、ユーザによって操作された操作情報とを取得する。次に、稼働環境毎に操作特徴を抽出し、平常時の操作特徴とは異なる異常な操作を検出する。そして、検出結果に基づいて端末自身が盗難状態にあるかどうかを自動判定することにより、盗難による情報漏洩防止を実現する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、コンピュータ端末に記憶した情報の漏洩防止に関し、特にコンピュータ端末自体が盗難されることによって発生する情報漏洩を防止する技術に関する。
【背景技術】
【０００２】
企業や学校等において、コンピュータ端末を用いて作業を行うことは一般的である。その際、作成した情報ファイルや参照資料等の各種データを、端末に内蔵されているハードディスク等の記憶装置に保存して管理するという方法がよく用いられる。この方法は、適宜必要な資料を容易に取り出して活用できるという利便性がある反面、保存している情報が外部に漏洩する可能性が高いという問題点もある。具体的には、ノートパソコン等の持ち運びしやすい端末を使用する際に、盗難や置き忘れ等によって端末自体を紛失した場合に発生する情報漏洩の問題である。
【０００３】
上記の問題を解決する手段として、端末の盗難等による情報漏洩を防止する分野において、端末の起動時にサーバと通信し、サーバが認証を行って盗難状態ではないと判定した場合、サーバはその端末に対して、事前に暗号化していた保存データの復号回路を送信するという技術がある。この技術において、予めサーバ側に盗難状態にある端末リストを登録しておき、受信した端末の識別情報と盗難端末リストとを比較照合して、その端末が盗難状態にあるか否かの判定を行うという手段が用いられている。これにより、端末内に保存された機密情報が第三者によって漏洩する危険性を低減することができる。（特許文献１参照）
【０００４】
また、同様の分野において、端末の起動時にサーバと通信を行い、サーバがその端末のユーザ認証を行って使用不可と判定した場合、端末内保存データの消去指示を出すという技術がある。この技術において、予めサーバ内に端末使用可能なユーザリストを保存しておき、端末起動時に、実際にログインしているユーザ情報とサーバ内の使用可能ユーザリストとを比較することによって、端末が盗難状態か否かの判定を行うという手段が用いられている。これにより、予め端末の状態に関する情報を登録しておかなくても、自動的に端末が盗難状態にあるか否かを判定することができる。（特許文献２参照）
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００６−２９３５９４号公報
【特許文献２】特開２００６−１６３８４７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
特許文献１の技術を用いると、起動された端末が盗難状態にあるか否かを判定することはできる。しかし、管理対象となる端末全ての現在状態をリスト化してサーバに登録する必要がある。このため、リアルタイムに変化する状況に対応するためには、サーバに登録しているリストを随時更新しなければならず、手間が発生してしまう。
【０００７】
特許文献２の技術を用いると、予めサーバ内に端末の現在状態リストを登録しておかなくても、端末が盗難状態にあるか否かを判定することができる。しかし、使用可能ユーザとして登録されている者が不正行為を行っている可能性までは判定することができない。
【０００８】
本発明は、上記従来技術の問題点を解消することを課題とする。具体的には、端末の盗難等による情報漏洩を防止する分野において、端末が使用されている状況の変化に応じて端末が盗難状態であるかを判定し、判定結果に応じた情報漏洩防止処理を実行することを課題とする。
【課題を解決するための手段】
【０００９】
上記の課題を解決するために、本発明の情報漏洩防止端末は、機密情報を含む情報を記憶する記憶装置と、端末が盗難状態であるかを判定する処理装置とを備えており、そのうちの処理装置は、端末の稼働環境に関する情報を生成する環境情報生成部と、ユーザが端末に対して実行した操作情報を生成する操作情報生成部と、生成した環境情報における操作情報の特徴を操作特徴として抽出し、環境情報毎にこの操作特徴を記憶領域に格納する操作特徴抽出部と、操作特徴抽出部において新たに抽出された新規操作特徴と記憶領域に既に記憶されている既存操作特徴とを比較し、端末の盗難危険性を判定する盗難状態判定部と、判定結果に応じて前記機密情報の情報漏洩防止処理を実行する制御部と、を備えることを特徴としている。
【００１０】
本発明の構成を採用することにより、端末が動作する様々な稼働環境毎に実行される操作の特徴を把握し、平常時の操作特徴とは異なる異常な操作を検出することができる。これにより、端末が使用される様々な状況に応じて、その端末が盗難状態であるかを判定することが可能となる。
【００１１】
本発明の情報漏洩防止端末の処理装置に含まれる盗難状態判定部は、新規操作特徴と既存操作特徴との差分を算出する差分算出手段と、算出した差分に基づき盗難状態にある危険性を示す危険度を判定する危険度判定手段とを有し、制御部は、危険度に応じて情報漏洩防止処理の内容を変化させて実行するという構成としてもよい。
【００１２】
本発明の構成を採用することで、端末が盗難状態にある危険性を判定し、状況に応じた情報漏洩防止処理を実行することができる。これにより、ユーザの損害も最小限に抑えることが可能となる。
【００１３】
本発明の情報漏洩防止端末の処理装置はさらに、記憶装置に記憶されている機密情報のデータ量を取得するデータ量取得部を備え、盗難状態判定部は、データ量に基づき盗難状態にある危険性を変更する危険度変更手段とを有し、制御部は、危険度に応じて情報漏洩防止処理の内容を変化させて実行するという構成としてもよい。
【００１４】
本発明のように構成することにより、端末内に保存されているデータ量の情報も利用して、端末が盗難状態にある危険性を変更することができる。これにより、端末盗難によって漏洩する情報量やそれに伴う被害の大きさを考慮した盗難状態の判定、及び盗難による情報漏洩防止処理を実行することが可能となる。
【００１５】
本発明の情報漏洩防止端末の処理装置に含まれる盗難状態判定部は、環境情報別に端末が盗難状態であるかを判定する環境別判定手段と、環境別判定結果を複数用いて総合的に盗難状態であるかを判定する総合判定手段とを有し、制御部は、総合的な判定結果に応じて情報漏洩防止処理を実行するという構成としてもよい。
【００１６】
本発明の構成を採用することにより、複数の環境情報における操作特徴を利用して端末が盗難状態であるかを判定することができる。これにより、盗難状態であるかを判定する判定精度を向上させることが可能となる。
【００１７】
また、本発明のプログラムを端末に読み込ませて実行することで、上述の特徴を実現させることも可能である。つまり、盗難状態判定端末に用いるプログラムであって、端末の稼働環境に関する情報を生成する環境情報生成機能と、ユーザが端末に対して実行した操作情報を生成するユーザ情報生成機能と、生成した環境情報における操作情報の特徴を操作特徴として抽出し、環境情報毎にその操作特徴を記憶領域に格納する操作特徴抽出機能と、操作特徴抽出部において新たに抽出された新規操作特徴と記憶領域に既に記憶されている既存操作特徴とを比較し、端末の盗難危険性を判定する盗難状態判定機能と、判定結果に応じて機密情報の情報漏洩防止処理を実行する制御機能とを処理装置に実現させるプログラム、として本発明を構成してもよい。
【００１８】
この盗難状態判定プログラムも、上述の盗難状態判定端末と同様の作用効果を伴うものである。
【００１９】
本発明における機密情報とは、ユーザが端末内に保存した情報ファイルやプログラム及びデータ等のことをいう。具体的には、各種情報が保存されたドキュメントファイルや表計算ファイル、及び特定のアプリケーションで利用可能なデータ等が一例として考えられる。また、機密情報は、端末内に保存された各種情報全てを指すのではなく、予め機密情報として定められたものとしてもよい。具体的には、保存されたドキュメントファイルのうち、予めファイル名に「機密情報」である旨指定されたもののみを限定して秘密情報として取り扱うという形式が一例として考えられる。また、予め定められたキーワードや内容を含むファイルを機密情報として取り扱うという形式も考えられる。具体的には、端末内のファイルを検索してキーワードを含むファイルを抽出する方法や、操作情報に含まれるファイル名にキーワードを含んでいるファイルを抽出する方法などが考えられる。
【００２０】
本発明における稼働環境とは、端末稼動時における端末自身及び周囲の状況のことをいう。具体的には、端末自身のハードウェア構成を示すハードウェア情報、端末にログインしているユーザのログインユーザ識別情報、ネットワークの接続有無の情報、端末が接続しているネットワークや機器等に関する接続先情報、端末が使用されている時刻・時間帯を示す時刻情報、ソフトウェアやアプリケーションの起動状態、特定ソフトウェア又はＷｅｂサイトへの認証状態や閲覧状態などが一例として考えられる。
【００２１】
さらに、上記のユーザ識別情報とは、ユーザ毎に一義的に設定されたログインＩＤやユーザＩＤ等がその一例として考えられる。
【００２２】
本発明における操作情報とは、ユーザが端末に対して各種操作を実行した際に生成される情報のことをいう。具体的には、操作が実行された日時を示す日時情報、実行された操作の内容を示す処理内容及び処理対象（ファイル、フォルダ、アプリケーション等）、当該端末を使用しているユーザを一義的に特定するユーザ識別情報を少なくとも含む一連の情報などが一例として考えられる。
【００２３】
本発明におけるデータ量とは、端末内に保存されている機密情報の量のことをいう。具体的には、保存されている情報ファイルの数を示すファイル数情報、保存されている情報全体の大きさを示すビット数やバイト数などが一例として考えられる。
【発明の効果】
【００２４】
上述のように構成された本発明によれば、ネットワーク通信ができない稼働環境を含め、端末が稼動する様々な環境に応じて端末が盗難状態であるかを判定することができる。これにより、端末の盗難による情報漏洩を防止する処理を素早く実行することが可能となる。
【図面の簡単な説明】
【００２５】
【図１】本発明の盗難状態判定端末のハードウェア構成の一例を示す概念図。
【図２】本発明の盗難状態判定端末を用いたシステムの構成例を示す概念図。
【図３】実施例１における端末構成の一例を示す機能ブロック図。
【図４】実施例１における処理プロセスの一例を示すフローチャート。
【図５】環境情報記憶部２１に記憶される環境情報の一例を示す図。
【図６】操作情報記憶部２２に記憶される操作情報の一例を示す図。
【図７】操作特徴記憶部２３に記憶される既存操作特徴の一例を示す図。
【図８】状態判定手段１６内部にある基準値テーブルの一例を示す図。
【図９】実施例１の表示装置４で表示される警告表示の一例を示す図。
【図１０】実施例２における端末構成の一例を示す機能ブロック図。
【図１１】実施例２における処理プロセスの一例を示すフローチャート。
【図１２】危険度判定手段１８ａの内部にある危険度テーブルの一例を示す図。
【図１３】制御部１７内部にある処理内容テーブルの一例を示す図。
【図１４】実施例３における端末構成の一例を示す機能ブロック図。
【図１５】実施例３における処理プロセスの一例を示すフローチャート。
【図１６】危険度変更手段１８ｂの内部にある危険度変更テーブルの一例を示す図。
【図１７】実施例４における端末構成の一例を示す機能ブロック図。
【図１８】実施例４における処理プロセスの一例を示すフローチャート。
【図１９】実施例４の操作情報記憶部２２に記憶される操作情報の一例を示す図。
【図２０】環境別判定手段２０ａ内部にある基準値テーブルの一例を示す図。
【図２１】実施例５におけるシステム構成の一例を示す機能ブロック図。
【発明を実施するための形態】
【００２６】
以下、図面を用いて本発明の実施形態を説明する。本発明は基本的にスタンドアローン形式にて実施される。図１に本発明の盗難状態判定端末（以下、「端末Ａ」という）のハードウェア構成の一例を概念的に示す。
【００２７】
端末Ａは、プログラムの演算処理を実行する演算装置６と、演算結果に基づいて各装置に対する制御指示を出力する制御装置７とを有するＣＰＵ等の処理装置１と、情報を記憶するＲＡＭやハードディスク等の記憶装置２と、キーボード、マウス又はテンキー等の入力装置３と、ディスプレイ（画面）等の表示装置４と、処理装置１の処理結果や記憶装置２に記憶する情報をインターネットやＬＡＮ等のネットワークを介して送受信する通信装置５とを少なくとも有している。端末Ａが実行する各機能（各手段）は、その処理を実行するプログラムが処理装置１に読み込まれることで実現される。
【実施例１】
【００２８】
〔実施例１−構成〕
以下、図面を用いて本発明の第一実施例について説明する。実施形態はスタンドアローン形式を用いた場合を例に説明する。図３に、本発明の盗難状態判定端末を構成する端末Ａの機能ブロック図を示す。本発明における各構成部及び各手段は、その機能が論理的に区別されているのみであって、物理上あるいは事実上同一の領域を為していてもよい。
【００２９】
また、図３は、本発明において必要となる最小限度の機器、構成部及び手段等のみを記載しており、その他の機器、構成部及び手段等についてはその記載を省略する。
【００３０】
端末Ａは、入力装置３、表示装置４又は通信装置５と様々な情報を送受信するための制御インタフェース１０を有している。
【００３１】
端末Ａの処理装置１は、端末Ａが稼動している状況に関する情報を生成する環境情報生成部１１、端末Ａに対して行われた操作に関する情報を生成する操作情報生成部１２、環境情報毎に操作情報の特徴を抽出する操作特徴抽出部１３、抽出した新規操作特徴を用いて端末Ａが盗難状態であるかを判定する盗難状態判定部１４、端末内に記憶されている機密情報の情報漏洩防止処理を実行する制御部１７を備えている。
【００３２】
端末Ａの記憶装置２は、環境情報生成部１１で生成した環境情報を記憶する環境情報記憶部２１、操作情報生成部１２で取得した操作情報を記憶する操作情報記憶部２２、操作特徴抽出部１３で抽出した操作特徴を環境情報毎に記憶する操作特徴記憶部２３、ユーザによって端末Ａ内への保存指示が実行された機密情報を記憶する機密情報記憶部２４を備えている。
【００３３】
さらに、端末Ａの処理装置１における判定部１４は、操作特徴抽出部１３にて抽出された新規操作特徴と、操作特徴記憶部２３に記憶されている既存操作特徴とを比較し、その差分を算出する差分算出手段１５と、算出した差分に基づいて端末が盗難状態であるか判定する状態判定手段１６とを有している。
【００３４】
以下、図３に記載した本発明を構成する機能ブロック図に基づいて、各構成部の動作について説明する。
【００３５】
環境情報生成部１１は、制御インタフェース１０及び端末Ａ内に記憶されている各種情報から、端末Ａの稼働環境に関する情報を環境情報として生成し、生成した環境情報を環境情報記憶部２１に送信する。環境情報は、予め定められた所定のタイミング毎に生成するとしてもよいし、稼働環境に変化が発生したタイミングで都度生成するとしてもよい。本実施例では、所定のタイミング毎に環境情報を生成する形式を用いることとする。
【００３６】
環境情報記憶部２１には、環境情報生成部１１が生成した環境情報が記憶される。その際の記憶形式は、端末Ａが稼働している現在の環境情報が把握できる形式であればよい。例えば、記憶部に記憶されている既存の環境情報に対して新規に生成した環境情報上書きして記憶するという形式でもよいし、生成した環境情報を時系列的に記憶するという形式でもよい。また、環境情報を記憶する領域は、一時的な記憶領域としてもよい。本実施例では、上書きして記憶する形式を用いることとする。
【００３７】
操作情報生成部１２は、ユーザが端末に対して実行した操作に関する情報を制御インタフェース１０を介して取得し、操作情報を生成する。そして、生成した操作情報を操作情報記憶部２２に送信する。生成される操作情報の形式は、ユーザが実行した操作内容が把握できるものであればどのようなものでもよい。なお、操作情報に前述の環境情報を含める形式としても構わない。
【００３８】
上記の操作情報について、本実施例では、端末Ａの入力装置３を用いてユーザにより実行された制御処理の内容を示す情報が生成されることとする。具体的には、制御処理の内容を示す処理内容、処理を実行したユーザを一義的に特定するユーザ識別情報、及び処理が実行された日時を示す日時情報を含む一連の情報が生成されることとする。
【００３９】
さらに、上記の処理内容とは、端末において実行された操作の内容を示す情報であって、ミドルウェアまたはＯＳ等において処理されるアプリケーションやハードウェア等による制御を示す情報のことをいう。より具体的には、キー入力、ポインティングデバイスの操作（ボタン押下、移動など）、外部記憶媒体の着脱、外部機器（プリンタなど）との接続、ファイル操作（作成、削除、コピー、移動、フォルダ名変更等）、アプリケーション操作（起動、終了等）、ドライブの追加・削除・検知、ＩＰアドレス変更、記憶媒体の書き込み、印刷、クリップボードへのコピー等を示す情報がある。なお、これらは一例であって限定されるものではない。
【００４０】
操作情報記憶部２２には、操作情報生成部１２が生成した操作情報が記憶される。その際の記憶形式は、操作情報に含まれる日時情報を利用して時系列的に記憶するという形式にすると好適である。なお、操作情報に環境情報が含まれる場合は、前述の環境情報記憶部２１を兼ねることができる。
【００４１】
操作特徴抽出部１３は、まず、環境情報記憶部２１に記憶されている環境情報を取得する。次に、操作情報記憶部２２から、所定時間分の操作情報を検索し、その特徴を抽出する。そして、取得した環境情報と、操作情報から抽出した特徴と、特徴を抽出した日時情報とを関連付けて操作特徴を生成し、判定部１４に送信する。生成される特徴情報には、特定の操作の実行回数、実行間隔、又は実行時間帯等様々なものが考えられるが、本実施例では、特定の操作の実行回数を操作特徴として抽出することとする。
【００４２】
上記の操作特徴抽出部１３における操作特徴の抽出は、ユーザが予め定めた時間間隔毎に随時実施するという形式にすると好適である。また、環境情報記憶部２１から抽出する環境情報についても、ユーザが予め定めた所定の環境情報のみを抽出するとしてもよいし、各々の環境情報について、所定時間隔毎に抽出するという形式としてもよい。本実施例では、各々の環境情報について、所定時間間隔毎に抽出するという形式を採用することとする。
【００４３】
操作特徴記憶部２３には、操作特徴抽出部１３が過去に生成した操作特徴が既に記憶されている。その際の記憶形式は、操作特徴に含まれる環境情報別に記憶するという形式にすると好適である。また、操作特徴に含まれる日時情報を利用して時系列的に記憶するという形式にすると好適である。
【００４４】
盗難状態判定部１４は、まず、操作特徴抽出部１３が新たに生成した新規操作特徴を取得する。次に、新規操作特徴に含まれる環境情報を用いて操作特徴記憶部２３を検索し、同一の環境情報を含んでいる既存操作特徴を特定して抽出する。そして、新規操作特徴と既存操作特徴とを比較し、その差分の内容から端末Ａが盗難状態かどうかを判定する。この判定処理を行うために、盗難状態判定部１４の内部には、差分算出手段１５と状態判定手段１６が備えられている。
【００４５】
本実施例において、比較対象として抽出される既存操作特徴は、新規操作特徴と同一の環境情報を含んでいるもののうち、操作特徴に含まれる日時情報が最も新しい操作特徴を抽出することとする。つまり、盗難状態判定部１４では、同一の環境情報を有する操作特徴のうち、新規に生成された操作特徴と、過去に生成された操作特徴のうちで最新のものとを比較し、その差分の内容から端末Ａの盗難危険性を判定するという処理が実行される。また、本実施例とは別の形式として、予め定められた所定期間以上前に生成された過去の操作特徴を、既存操作特徴として抽出するという形式を採用しても構わない。
【００４６】
差分算出手段１５は、操作情報抽出部１３が新たに生成した新規操作特徴と操作特徴記憶部２３から取得した既存操作特徴とを比較し、両者の差分を算出する。そして、算出した差分を状態判定手段１６に送信する。
【００４７】
状態判定手段１６は、差分算出手段１５が算出した差分を取得し、その差分の内容に基づき端末Ａが盗難状態であるかを判定する。盗難状態の判定方法には様々なものが考えられるが、本実施例では、状態判定手段１６の内部に、環境情報毎に予め定められた基準値を設定しておき、差分算出手段１５から取得した差分と、対応する環境情報に基づいて予め定められている基準値とを比較することにより、端末Ａが盗難状態である危険性を判定するという方法を用いることとする。判定の結果、盗難状態であるの場合は制御部１７に通知を送信し、盗難状態ではない場合は、新規操作特徴を操作特徴記憶部２３に送信して登録させる。
【００４８】
上述の構成では、環境情報毎に予め基準値を設定しておくとしているが、操作特徴記憶部２３において、操作特徴が日時情報を利用して時系列的に記憶されているという場合に、記憶されている複数の操作特徴から基準値を決定するという方法を採用しても構わない。具体的には、盗難状態判定部１１内に基準値判定手段（図示せず）を設け、操作特徴記憶部２３に記憶されている複数の操作特徴を抽出し、その抽出結果を用いて最大値、最小値、平均値などの統計的な値から基準値を決定するという方法が考えられる。
【００４９】
制御部１７は、盗難状態判定部１４の状態判定手段１６から取得した判定結果通知に応じて、端末Ａに保存された機密情報が漏洩するのを防止するための処理を、機密情報記憶部２４又は制御インタフェース１０に対して実行する。
【００５０】
機密情報記憶部２４には、ユーザが入力装置３を操作することによって保存指示がなされた機密情報や、ユーザの操作に基づいて通信装置４がネットワーク上やネットワークに接続されたサーバや他の端末から取得した機密情報が記憶される。制御部１７から機密情報に対する制御指示を受信した場合は、その制御指示の内容に従って機密情報に対する情報漏洩防止処理を実行する。
【００５１】
上述の構成とすることにより、端末が盗難状態にあるか否かを判定し、盗難による機密情報の漏洩を防止することが可能となる。
【００５２】
〔実施例１−処理プロセス〕
次に、本発明の盗難状態判定端末における処理プロセスの一例を、図３の機能ブロック図及び図４のフローチャート等を用いて説明する。
【００５３】
環境情報生成部１１は、端末Ａの環境情報を生成し、環境情報記憶部２１に記憶する（Ｓ１０１）。図５に、環境情報記憶部２１に記憶される環境情報の一例を示す。図５に示すとおり、本実施例で取得する環境情報は、「ハードウェア情報」・「ログインＩＤ」・「ネットワーク接続」・「起動時間帯情報」の４項目に関する情報を取得することとする。本処理プロセスでは、所定の環境情報として「起動時間帯」中の「時間帯」を用いて判定する場合を例に説明することとする。
【００５４】
操作情報生成部１２は、端末Ａの操作情報を生成し、操作情報記憶部２１に記憶する（Ｓ１０２）。図６に、操作情報記憶部２２に記憶される操作情報の一例を示す。図６に示すとおり、本実施例で取得する操作ログ情報は、「ユーザ識別情報」・「日時情報」・「処理内容」・「アプリケーション名」・「ファイル名」・「保存場所」・「デバイス名」の７項目に関する情報を取得することとする。
【００５５】
操作特徴抽出部１３は、環境情報記憶部２１から所定の環境情報を取得する。本処理プロセスでは、所定の環境情報として「起動時間帯情報」中の「時間帯」を用いて判定することとする。ここでは、環境情報として端末Ａの起動時間帯「業務時間外」が取得される。
【００５６】
次に、操作特徴抽出部１３は、所定の環境情報に応じて操作情報記憶部２２から所定時間分の操作情報を検索し、その特徴を抽出する。本処理プロセスでは、「端末起動時間が業務時間外である」を所定の環境情報とし、「端末起動後１時間以内」の操作情報を検索して操作特徴を抽出することとする。ここでは、「２０１０年１０月７日２０時」から「２０１０年１０月７日２１時」までの操作情報が検索対象となる。さらに、その操作情報の中から特定の条件に従って特徴を抽出する。ここでは、操作情報の中の「処理内容」と「ファイル名」に関する情報を用いて操作特徴を抽出することとする。本実施例では、「ファイル名」に「機密」という文字を含んでいるファイル（以下、「機密ファイル」という。）に対する処理が実行された回数を抽出することとする。図６に示すとおりに操作情報が記憶されていた場合、機密ファイルに対する処理は「７回」と抽出される。
【００５７】
そして、操作特徴抽出部１３は、取得した環境情報と操作情報から抽出した特徴とを関連付けて操作特徴を生成し、判定部１４に送信する（Ｓ１０３）。ここでは、端末Ａの起動時間帯「業務時間外」と、機密ファイルへの処理「７回」と、操作特徴を生成した日時情報とを関連付けた情報を、新規操作特徴として生成する。
【００５８】
盗難状態判定部１４の差分情報算出手段１５は、操作情報記憶部２３に記憶されている既存操作特徴の中から、環境情報が「端末起動時間帯が業務時間外」のもののうち、日時情報（時間帯情報）が最新の操作特徴を抽出する。図７に操作特徴記憶部２３に記憶されている既存操作特徴の一例を示す。図７に示すとおりに操作特徴が記憶されている場合、「２０１０年１０月７日２０時」に生成された操作特徴「機密ファイルへの処理２回」が、既存操作特徴として抽出されることとなる。
【００５９】
次に、差分情報算出手段１５は、操作特徴抽出部１３が生成した新規操作特徴と、操作特徴記憶部２３から抽出された既存操作特徴との差分を算出する（Ｓ１０４）。本処理プロセスの場合、新規操作特徴が機密ファイルへの処理「７回」であるのに対し、既存操作特徴は機密ファイルへの処理「２回」であるため、その差分は「５」と算出される。
【００６０】
盗難状態判定部１４の状態判定手段１６は、その内部に、操作ログ情報に含まれる処理内容毎に予め定められた基準値を記憶する基準値テーブルを有しており、差分情報算出手段１５によって算出された差分が基準値以上か否かを判定する（Ｓ１０５）。基準値以上であった場合、盗難状態であると判定する（Ｓ１０６）。図８に基準値テーブル内に記憶される基準値の一例を示す。この場合、差分情報算出手段１５によって算出された差分は「５」で基準値以上と判定されるため、端末Ａは盗難状態であると判定され、判定結果が制御部１７に送信される。
【００６１】
なお、状態判定手段１６において盗難状態ではないと判定された場合、状態判定手段１６は、操作特徴抽出部１３が生成した新規操作特徴を操作特徴記憶部２３に送信する。操作特徴記憶部２３は、状態判定手段１６から取得した新規操作特徴を既存操作特徴として記憶する（Ｓ１０７）。また、この場合において、日時情報と共に操作特徴を追加記憶するという処理を行うと好適である。
【００６２】
制御部１７は、状態判定手段１６から受信した盗難状態であるとする判定結果通知に応じて、機密情報漏洩防止処理を実行する（Ｓ１０８）。
【００６３】
上記の情報漏洩防止処理の内容について具体的に説明すると、例えば、機密情報記憶部２４に対しては、その内部に記憶されている機密情報の消去指示、機密情報に対するアクセス制限指示や暗号化指示、また、端末Ａのハードディスクに記憶されているデータの消去指示や端末Ａの操作ロック指示を送信するといった制御処理が考えられる。
【００６４】
上記の情報漏洩防止処理の内容について、制御インタフェース１０に対しては、表示装置４で表示している内容の消去指示（ディスプレイのブラックアウト指示）や、表示装置４に端末盗難の警告文を表示させる指示を送信するといった制御処理が考えられる。この警告表示の一例を、図９に示す。また、通信装置５を介してネットワーク接続されている管理サーバや管理端末等に対して、端末Ａが盗難状態にある旨の警告通知を送信するという制御処理も考えられる。また、制御インタフェース１０に対して管理サーバへの接続指示を表示するといった制御処理も考えられる。
【００６５】
上記のような構成とすることにより、端末とサーバとが行う必要がなく、通信不可能な状況の下においても情報漏洩を防止するための対応が可能となる。
【００６６】
なお、上述の処理プロセスでは環境情報として同一の環境情報（「起動時間帯情報」中の「業務時間外」）を含む新規操作特徴と既存操作特徴とを用いて判定したが、異なる環境情報を用いて判定することもできる。ここでの異なる環境情報とは、環境情報の項目は同じだが状態が異なるもの（例えば「起動時間帯情報」中の「業務時間外」と「業務時間内」など）とする。具体的には、取得した新規操作特徴から環境情報の項目を抽出し、その環境情報の項目と一致する既存操作特徴を取得する。そして、それらの環境情報中の状態が異なる場合は、予め設定されている基準値を補正し新たな基準値を設定する基準値補正手段（図示せず）を設け、新規操作特徴と既存操作特徴との差と新たな基準値とを用いて盗難の危険性を判定する方法である。なお、環境情報中の状態が異なる場合の補正値を予め登録されているものとする。補正値は、環境情報中の状態が異なる場合は基準値をより大きい値に設定すると好適である。
【実施例２】
【００６７】
〔実施例２−構成〕
以下、図面を用いて本発明の第二実施例について説明する。実施形態はスタンドアローン形式を用いた場合を例に説明する。図１０に、本発明の盗難状態判定端末を構成する端末Ａの機能ブロック図を示す。本発明における各構成部及び各手段は、その機能が論理的に区別されているのみであって、物理上あるいは事実上同一の領域を為していてもよい。
【００６８】
また、図１０は、本発明において必要となる最小限度の機器、構成部及び手段等のみを記載しており、その他の機器、構成部及び手段等についてはその記載を省略する。なお、〔実施例１−構成〕と同一の構成部等には同一の符号を付しており、同じ動作をする場合にはその詳細な説明は省略する。
【００６９】
端末Ａの処理装置１は、盗難状態判定部１４の内部に、差分算出手段１５が算出した差分に基づいて、端末Ａが盗難状態にある危険性の程度を危険度として判定する危険度判定手段１８ａを備えているという点において、〔実施例１−構成〕と異なっている。
【００７０】
以下、図１０に記載した本発明を構成する機能ブロック図に基づいて、各構成部の動作について説明する。なお、〔実施例１−構成〕と同様の構成部又は同様の動作については、その詳細な説明を省略する。
【００７１】
盗難状態判定部１４の危険度判定手段１８ａは、差分算出手段１５が算出した差分を取得し、その差分の内容に基づき端末Ａが盗難状態にあると予測される危険度を判定する。判定の結果、危険度が所定値以上の場合、危険度判定手段１８ａは、盗難状態にあるとして、制御部１７に判定した危険度を送信する。危険度が所定値未満の場合は、盗難状態にはないとして、新規特徴情報を操作特徴記憶部２３に送信して記憶させる。
【００７２】
上記の危険度判定手段１８ａにおける、端末Ａが盗難状態にあるか否かの判定処理について説明する。危険度判定手段１８ａは、差分算出手段１５から取得した差分が大きければ大きいほど、端末Ａが盗難されている危険性が高いとして危険度を判定する。危険度の判定方法には様々なものが考えられるが、本実施例では、危険度判定手段１８ａの内部に予め定められた基準値を設定しておき、取得した差分と基準値とを比較することにより危険度を判定するという方法を用いることとする。
【００７３】
制御部１７は、危険度判定手段１８ａから取得した危険度に応じて、端末Ａに保存された機密情報の漏洩防止処理を、機密情報記憶部２４又は制御インタフェース１０に対して実行する。実行される情報漏洩防止処理は、危険度が高くなるに従って厳しい制御処理が実行されるという形式にすると好適である。
【００７４】
上述の構成とすることにより、端末が盗難状態にある危険性考慮して、その危険性の大きさに応じて実行される制御を変化させて実行することが可能となる。これにより、情報漏洩事故を予測して、状況に応じた対応を行うことができる。
【００７５】
〔実施例２−処理プロセス〕
次に、本発明の盗難状態判定端末における処理プロセスの一例を、図１０の機能ブロック図及び図１１のフローチャート等を用いて説明する。なお、図１１のフローチャートにおける（Ｓ２０１）から（Ｓ２０４）、及び（Ｓ２０７）の動作については、〔実施例１−処理プロセス〕と同様のため、その詳細を省略する。
【００７６】
盗難状態判定部１４の危険度判定手段１８ａは、その内部に予め定められた基準値と危険度とを対応させた危険度テーブルを有しており、差分情報算出手段１５によって算出された差分に対応している危険度を、端末Ａが盗難状態にある危険性を示す危険度として判定する（Ｓ２０５）。図１２に危険度テーブル内に記憶される内容の一例を示す。本処理プロセスの場合、差分は「５」なので、危険度は「１」と判定される。
【００７７】
次に、危険度判定手段１８ａは、判定した危険度が所定値以上であった場合、盗難状態であると判定する（Ｓ２０６）。本処理プロセスでは、危険度が「１」以上であった場合、端末Ａは盗難状態であると判断することとする。
【００７８】
そして、危険度判定手段１８ａは、盗難状態であると判断した場合に、判定した危険度を制御部１７に送信する。本処理プロセスの場合、危険度は「１」であるため、盗難状態であると判断され、危険度「１」が制御部１７に送信されることとなる。
【００７９】
制御部１７は、その内部に危険度と情報漏洩防止処理内容とを関連付けた処理内容テーブルを有しており、危険度判定手段１８ａから受信した危険度に応じて、機密情報漏洩防止処理を実行する（Ｓ２０８）。図１３に処理内容テーブル内に記憶される内容の一例を示す。本処理プロセスの場合、危険度「１」なので、制御インタフェース１０に対して、表示装置４に警告通知を表示させる制御指示が送信される。
【００８０】
上述の制御部１７による制御処理について、危険度が２以上で判定された場合、判定された危険度未満の情報漏洩防止処理も累積的に実行されるとすると好適である。例えば、判定された危険度が「５」であった場合、制御部１７は、制御インタフェース１０に対して、表示装置４に警告通知を表示させる制御指示を送信し（危険度１の処理）、入力装置３からの操作制御指示を無効とする操作ロック指示を送信し（危険度２の処理）、表示装置４に表示された警告通知以外の部分をブラックアウトする制御指示を送信し（危険度３の処理）、機密情報記憶部２３に記憶されている情報の消去指示を送信し（危険度４の処理）、端末Ａの電源を強制的にＯＦＦにする制御指示を送信する（危険度５の処理）という形で、累積的に情報漏洩防止処理を実行するという形式が考えられる。
【実施例３】
【００８１】
〔実施例３−構成〕
以下、図面を用いて本発明の第三実施例について説明する。実施形態はスタンドアローン形式を用いた場合を例に説明する。図１４に、本発明の盗難状態判定端末を構成する端末Ａの機能ブロック図を示す。本発明における各構成部及び各手段は、その機能が論理的に区別されているのみであって、物理上あるいは事実上同一の領域を為していてもよい。
【００８２】
また、図１４は、本発明において必要となる最小限度の機器、構成部及び手段等のみを記載しており、その他の機器、構成部及び手段等についてはその記載を省略する。なお、〔実施例１−構成〕及び〔実施例２−構成〕と同一の構成部等には同一の符号を付しており、同じ動作をする場合にはその詳細な説明は省略する。
【００８３】
端末Ａの処理装置１は、機密情報記憶部２４に記憶されている機密情報のデータ量を取得するデータ量取得部１９と、盗難状態判定部１４の危険度判定手段１８ａで判定した危険度を変更する危険度変更手段１８ｂを備えているという点において、〔実施例１−構成〕及び〔実施例２−構成〕と異なっている。
【００８４】
以下、図１４に記載した本発明を構成する機能ブロック図に基づいて、各構成部の動作について説明する。なお、〔実施例２−構成〕と同様の構成部又は同様の動作については、その詳細な説明を省略する。
【００８５】
データ量取得部１９は、機密情報記憶部２４の内部に記憶されているデータ量を取得する。本実施例では、データ量として機密情報記憶部２４内に記憶されている情報ファイル数を取得する場合について説明する。
【００８６】
盗難状態判定部１４の危険度判定手段１８ａは、差分算出手段１５が算出した差分を取得し、その差分の内容に基づき端末Ａが盗難状態にあると予測される危険度を判定する。判定の結果、危険度が所定値以上の場合、危険度判定手段１８ａは、盗難状態にあるとして、危険度変更手段１８ｂに判定した危険度を送信する。危険度が所定値未満の場合は、盗難状態にはないとして、新規特徴情報を操作特徴記憶部２３に送信して記憶させる。
【００８７】
危険度変更手段１８ｂは、危険度判定手段１８ａから危険度を受信すると、データ取得部１９から機密情報のデータ量を取得する。そして、そのデータ量に基づき端末Ａの盗難に伴って発生する情報漏洩損害の大きさを考慮して危険度を変更する。危険度の変更方法には様々なものが考えられるが、本実施例では、危険度変更手段１８ｂの内部に予め定められた基準値を設定しておき、取得したデータ量と基準値とを比較することにより危険度を変更するという方法を用いることとする。変更した危険度は、制御部１７に送信される。
【００８８】
上述の構成とすることにより、端末の盗難危険性だけでなく、盗難によって漏洩する危険性のある機密情報の予測量、及びそれに伴って発生する損害の大きさも考慮した盗難状態を判定し、その判定した盗難状態に応じた適切な制御を実行することが可能となる。
【００８９】
〔実施例３−処理プロセス〕
次に、本発明の盗難状態判定端末における処理プロセスの一例を、図１４の機能ブロック図及び図１５のフローチャート等を用いて説明する。なお、図１５のフローチャートにおける（Ｓ３０１）から（Ｓ３０５）、（Ｓ３０７）、及び（Ｓ３１０）から（Ｓ３１１）の動作については、〔実施例１−処理プロセス〕及び〔実施例２−処理プロセス〕と同様のため、その詳細を省略する。
【００９０】
盗難状態判定部１４の危険度判定手段１８ａは、その内部に予め定められた基準値と危険度とを対応させた危険度テーブルを有しており、差分情報算出手段１５によって算出された差分に対応している危険度を、端末Ａが盗難状態にある危険性を示す危険度として判定する（Ｓ３０５）。図１２に危険度テーブル内に記憶される内容の一例を示す。本処理プロセスの場合、差分は「５」なので、危険度は「１」と判定される。
【００９１】
次に、危険度判定手段１８ａは、判定した危険度が所定値以上であった場合、盗難状態であると判定する（Ｓ３０６）。本処理プロセスでは、危険度が「１」以上であった場合、端末Ａは盗難状態であると判断することとする。
【００９２】
そして、危険度判定手段１８ａは、盗難状態であると判断した場合に、判定した危険度を危険度変更手段１８ｂに送信する。本処理プロセスの場合、危険度は「１」であるため、盗難状態であると判断され、危険度「１」が危険度変更手段１８ｂに送信されることとなる。
【００９３】
データ量取得部１９は、機密情報記憶部２４内に記憶されている情報ファイルのファイル数をデータ量として取得する。本処理プロセスでは、取得したファイル数（データ量）が「２０」であった場合を例に説明する。
【００９４】
危険度変更手段１８ｂは、その内部に基準値と危険度変更値とを対応させた危険度変更テーブルを有している。危険度判定手段１８ａから危険度を受信すると、データ量取得部１９から機密情報記憶部２４内に記憶されているファイル数（データ量）を取得する（Ｓ３０８）。次に、危険度変更手段１８ｂは、取得したデータ量に対応する危険度変更値に従って危険度を変更する（Ｓ３０９）。図１６に危険度変更テーブル内に記憶される内容の一例を示す。本処理プロセスの場合、ファイル数は「２０」なので、危険度変更値は「＋４」となるため、危険度は「５」に変更される。変更した危険度は制御部１７に送信される。
【実施例４】
【００９５】
〔実施例４−構成〕
以下、図面を用いて本発明の第四実施例について説明する。実施形態はスタンドアローン形式を用いた場合を例に説明する。図１７に、本発明の盗難状態判定端末を構成する端末Ａの機能ブロック図を示す。本発明における各構成部及び各手段は、その機能が論理的に区別されているのみであって、物理上あるいは事実上同一の領域を為していてもよい。
【００９６】
また、図１７は、本発明において必要となる最小限度の機器、構成部及び手段等のみを記載しており、その他の機器、構成部及び手段等についてはその記載を省略する。なお、〔実施例１−構成〕、〔実施例２−構成〕及び〔実施例３−構成〕と同一の構成部等には同一の符号を付しており、同じ動作をする場合にはその詳細な説明は省略する。
【００９７】
端末Ａの処理装置１は、盗難状態判定部１４の内部に、差分算出手段１５が算出した差分に基づいて、環境情報別に端末の盗難状態を判定する環境別判定手段２０ａと、環境情報別に判定された複数の判定結果を用いて総合的な盗難状態を判定する総合判定手段２０ｂとを備えているという点において、〔実施例１−構成〕、〔実施例２−構成〕及び〔実施例３−構成〕と異なっている。
【００９８】
以下、図１７に記載した本発明を構成する機能ブロック図に基づいて、各構成部の動作について説明する。なお、〔実施例１−構成〕、〔実施例２−構成〕及び〔実施例３−構成〕と同様の構成部又は同様の動作については、その詳細な説明を省略する。
【００９９】
盗難状態判定部１４の差分算出手段１５は、操作情報抽出部１３が新たに生成した新規操作特徴と操作特徴記憶部２３から取得した既存操作特徴とを比較し、両者の差分を算出する。本実施例では、環境情報別に生成された操作特徴を用いて、環境情報毎に差分を算出することとする。そして、算出した差分を環境別判定手段２０ａに送信する。
【０１００】
環境別判定手段２０ａは、差分算出手段１５が算出した差分を取得し、その差分の内容に基づき環境情報別に端末Ａの盗難状態を判定する。そして、環境情報別に判定された結果を総合判定手段２０ｂに送信する。
【０１０１】
総合判定手段２０ｂは、環境別判定手段２０ａから取得した環境情報別の判定結果を比較し、総合的な端末Ａの盗難状態を判定する。判定の結果、盗難状態であるの場合は制御部１７に通知を送信し、盗難状態ではない場合は、新規操作特徴を操作特徴記憶部２３に送信して登録させる。
【０１０２】
上述の構成とすることにより、様々な環境情報に基づく判定結果を利用して、総合的な判定することが可能となる。これにより、盗難状態の判定精度を向上させることができる。
【０１０３】
〔実施例４−処理プロセス〕
次に、本発明の情報漏洩防止端末における処理プロセスの一例を、図１７の機能ブロック図及び図１８のフローチャート等を用いて説明する。なお、図１８のフローチャートにおける（Ｓ４０１）から（Ｓ４０２）、及び（Ｓ４０８）から（Ｓ４１０）の動作については、〔実施例１−処理プロセス〕、〔実施例３−処理プロセス〕及び〔実施例３−処理プロセス〕と同様のため、その詳細を省略する。
【０１０４】
操作特徴抽出部１３は、環境情報記憶部２１から所定の環境情報を取得する。本処理プロセスでは、所定の環境情報として「起動時間帯情報」中の「時間帯」と、「ログインＩＤ」の「ユーザ識別情報」の二つの環境情報を用いて判定することとする。具体的には、環境情報記憶部２１に記憶される情報が図５の通りであった場合、環境情報として端末Ａの起動時間帯「業務時間外」と、ログインＩＤのユーザ識別情報「ＵＳＥＲ１１０」とが取得されることとする。
【０１０５】
次に、操作特徴抽出部１３は、操作情報記憶部２２から所定時間分の操作情報を検索し、環境情報別にその特徴を抽出する。本処理プロセスでは、所定時間として「端末起動後１時間以内」の操作ログ情報を用いて判定することとする。さらに、ここでは図１９に示すとおりの操作ログ情報が操作情報記憶部２２に記憶されていることとし、「２０１０年１０月８日１８時」から「２０１０年１０月８日１９時」までの操作ログ情報が検索対象となる。まず、〔実施例１−処理プロセス〕の手順と同様にして、環境情報として端末Ａの起動時間帯「業務時間外」を用いた場合の操作特徴を抽出する。その結果、端末Ａの起動時間帯「業務時間外」と機密ファイルへの処理「４回」とを関連付けた情報が、環境別操作特徴の一つとして生成される。
【０１０６】
さらに、操作特徴抽出部１３は、環境情報としてログインＩＤのユーザ識別情報「ＵＳＥＲ１１０」を用いた場合の操作特徴も抽出する。ここでは、操作ログ情報の中の「処理内容」に関する情報を用いて操作特徴を抽出することとする。具体的には、処理内容として「デバイス追加」とが実行された回数を抽出することとする。図１９に示すとおりに操作ログ情報が記憶されていた場合、デバイス追加が実行された回数は「３回」と抽出される。その結果、端末ＡのログインＩＤ「ＵＳＥＲ１１０」とデバイス追加「３回」とを関連付けた情報が、環境別操作特徴の二つ目として生成される。
【０１０７】
そして、操作特徴抽出部１３は、生成した複数の環境別操作特徴をあわせて新規操作特徴として、盗難状態判定部１４に送信する（Ｓ４０３）。
【０１０８】
盗難状態判定部１４の差分情報算出手段１５は、操作特徴抽出部１３が生成した新規操作特徴と、操作特徴記憶部２３内に記憶されている既存操作特徴との差分を算出する（Ｓ４０４）。その際の差分は、環境情報別に算出されることとする。まず、環境情報が端末Ａの起動時間帯「業務時間外」の場合は〔実施例１−処理プロセス〕における手順と同様に差分が算出される。ここで、操作特徴記憶部２３に記憶されている既存操作特徴が、機密ファイルへの処理「２回」だったとすると、差分は「２」と算出される。次に、環境情報が端末ＡのログインＩＤ「ＵＳＥＲ０２３」の場合について説明する、ここでは、操作特徴記憶部２３に記憶されている既存操作特徴が、デバイス追加「１回」だったとする。この場合、新規操作特徴と既存操作特徴との差分は「２」と算出される。算出した環境情報別の差分は、環境別判定手段２０ａに送信される。
【０１０９】
盗難状態判定部１４の環境別判定手段２０ａは、その内部に予め定められた基準値を記憶する基準値テーブルを有しており、差分情報算出手段１５によって算出された差分が基準値以上か否かを判定し、環境情報別に盗難危険性を判定する（Ｓ４０５）。環境情報が端末Ａの起動時間帯「業務時間外」の場合は〔実施例１−処理プロセス〕における手順と同様、図８に示す基準値テーブルを用いて判定を行い、盗難状態ではないと判定される。環境情報が端末ＡのログインＩＤ「ＵＳＥＲ１１０」の場合は、図２０に示す基準値テーブルを用いて判定を行う。この場合において、端末Ａを通常使用するユーザがユーザ識別情報「ＵＳＥＲ０２３」として登録されていたとすると、ログインＩＤ「ＵＳＥＲ１１０」は未登録ＩＤということになる。図２０に示すとおり未登録ＩＤの基準値で判定すると、盗難状態であると判定される。上記の通り環境情報別に判定された判定結果は、総合判定手段２０ｂに送信される。
【０１１０】
盗難状態判定部１４の総合判定手段２０ｂは、環境情報別に判定された複数の判定結果を比較し、盗難状態であるかどうかの総合的な判定を行う（Ｓ４０６）。総合的な判定方法の実施形態には様々なものが考えられる。例えば、取得した判定結果が全て「盗難状態である」であった場合に、総合判定結果も「盗難危状態である」とする方法や、環境別の判定結果が三つある場合に、二つ以上の判定結果が「盗難状態である」であった場合に、総合判定結果も「盗難状態である」とする過半数を占める判定結果を優先するという多数決的な手法を用いる形態も考えられる。本処理プロセスでは、取得した環境別の判定結果のうち、一つでも「盗難状態である」とする判定結果が出された場合には、総合判定結果も「盗難状態である」とする形態を用いることとする。その場合、環境情報に端末ＡのログインＩＤ「ＵＳＥＲ１１０」を用いた場合の判定結果が「盗難状態である」であるため、総合判定結果も「盗難状態である」となる。
【０１１１】
総合判定手段２０ｂは、上述の通り実施された総合判定の結果が「盗難状態である」だった場合、その結果の通知を制御部１７に送信する（Ｓ４０７）。
【実施例５】
【０１１２】
〔別実施形態〕
また、本発明は、複数の端末Ａを用いたクライアントサーバ形式にて本発明を実施しても良い。実施形態は図２に示すように、複数の端末Ａが、端末管理サーバＢ（以下、「管理サーバＢ」という）及び管理者用クライアント端末（以下、「管理端末Ｃ」という）と、通信ネットワーク（以下、「ネットワークＮ」という）とを介して接続されるという形で構成されている。
【０１１３】
管理サーバＢ及び管理端末Ｃのハードウェア構成も端末Ａと同様で、図１に示したとおり、処理装置１、記憶装置２、通信装置５を少なくとも有しており、必要に応じて入力装置４及び表示装置５を有している。この実施形態において、管理サーバＢは、ネットワークに接続される各端末Ａが盗難状態にあるかどうかを管理し、管理端末Ｃに対してその管理している情報を送信するという形式にすると好適である。
【０１１４】
ネットワークＮは、企業や学校等の限られた施設内において情報を物理的に送信するケーブルと、ＬＡＮスイッチやハブ等でなる中継機器を備えたＣＳＭＡ／ＣＤ（Ｃａｒｒｉｅｒ Ｓｅｎｓｅ Ｍｕｌｔｉｐｌｅ Ａｃｃｅｓｓ Ｗｉｔｈ Ｃｏｌｌｉｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ）方式のＬＡＮとして構成されたものであるが、このネットワークＮとしてＬＡＮ以外に、インターネットの技術を用いたイントラネットで構成されたものや、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）の技術によって構築されるものでもよい。
【０１１５】
図２１に、本発明の盗難状態判定システムを構成する管理サーバＢ、端末Ａ及び管理端末Ｃの機能ブロック図を示す。本発明における各構成部及び各手段は、その機能が論理的に区別されているのみであって、物理上あるいは事実上同一の領域を為していてもよい。
【０１１６】
また、図２１は、本発明において必要となる最小限度の機器、構成部及び手段等のみを記載しており、その他の機器、構成部及び手段等についてはその記載を省略する。さらに、図２０は、本発明において必要となる最小限度の機器、構成部及び手段等のみを記載しており、その他の機器、構成部及び手段等についてはその記載を省略する。なお、〔実施例１−構成〕と同一の構成部等には同一の符号を付している。
【０１１７】
管理サーバＢの処理装置１は、通信装置５を介して、ネットワークＮに接続された端末Ａが稼動している状況に関する情報を取得する環境情報取得部１１ｂ、端末Ａに対して行われた操作に関する情報を取得する操作情報取得部１２ｂ、環境情報毎に操作情報の特徴を抽出する操作特徴抽出部１３、抽出した新規操作特徴を用いて端末Ａの盗難状態を判定する盗難状態判定部１４、端末Ａ内に記憶されている機密情報の情報漏洩防止処理を実行する制御部１７を備えている。
【０１１８】
管理サーバＢの記憶装置２は、環境情報取得部１１ｂで生成した環境情報を記憶する環境情報記憶部２１、操作情報取得部１２ｂで取得した操作情報を記憶する操作情報記憶部２２、操作特徴抽出部１３で抽出した操作特徴を環境情報毎に記憶する操作特徴記憶部２３を備えている。
【０１１９】
さらに、管理サーバＢの処理装置１における盗難状態判定部１４は、操作特徴抽出部１３にて抽出された新規操作特徴と、操作特徴記憶部２３に記憶されている既存操作特徴とを比較し、その差分を算出する差分算出手段１５と、算出した差分に基づいて端末の盗難状態を判定する状態判定手段１６とを有している。
【０１２０】
端末Ａの処理装置１は、端末Ａが稼働している状況に関する情報を生成する環境情報生成部１１、端末Ａに対して行われた操作に関する情報を生成する操作情報生成部１２、端末Ａに対して各種制御を実行する端末制御部３１を備えている。
【０１２１】
クライアント端末Ｃの記憶装置２は、ユーザによってクライアント端末Ｃ内への保存指示が実行された機密情報を記憶する機密情報記憶部２４を備えている。
【０１２２】
管理端末Ｃの処理装置１は、管理端末Ｃに対して各種制御を実行する管理端末制御部４１を備えている。
【０１２３】
次に、本発明の情報漏洩防止システムを構成する各構成部及び各手段の内容について説明する。本発明における各構成部及び各手段は、その機能が論理的に区別されているのみであって、物理上あるいは事実上同一の領域を為していてもよい。なお、〔実施例１−構成〕と同一の動作をする場合にはその詳細な説明は省略する。
【０１２４】
端末Ａの環境情報生成部１１は、制御インタフェース１０及び端末Ａ内に記憶されている各種情報から、端末Ａの稼働環境に関する情報を環境情報として生成し、生成した環境情報を、通信装置５を介してネットワークＮに接続されている管理サーバＢに送信する。そして、管理サーバＢの環境情報取得部１１ｂは、ネットワークＮに接続されている端末Ａから送信された環境情報を、管理サーバＢの通信装置５を介して取得する。
【０１２５】
端末Ａの操作情報生成部１２は、ユーザが端末Ａに対して実行した操作に関する情報を制御インタフェース１０を介して取得し、操作情報を生成する。そして、生成した操作情報を通信装置５を介してネットワークＮに接続されている管理サーバＢに送信する。そして、管理サーバＢの操作情報取得部１１ｂは、ネットワークＮに接続されている端末Ａから送信された環境情報を、管理サーバＢの通信装置５を介して取得する。
【０１２６】
端末Ａの端末制御部３１は、管理サーバＢから出力された制御情報を通信装置５を介して取得し、その制御情報の内容に従って端末Ａに対する制御を実行する。具体的には、制御情報の内容が機密情報の消去であった場合、端末Ａの内部にある機密情報記憶部２４に記憶されている機密情報に対して消去を実行する。また、制御情報の内容が、情報漏洩を防止するための所定の表示をするというものであれば、制御インタフェース１０を介して表示装置４に対して所定の表示を実行させる。
【０１２７】
管理端末Ｃの管理端末制御部４１は、管理サーバＢから出力された制御情報を、通信装置５を介して取得し、その制御情報の内容に従って管理端末Ｃに対する制御を実行する。具体的には、制御情報の内容が情報漏洩を防止するための所定の表示をするというものであれば、制御インタフェース１０を介して表示装置４に対して所定の表示を実行させる。
【０１２８】
上述の構成とすることにより、本発明をクライアントサーバ形式によって構成されるシステムとして実施することが可能となる。
【符号の説明】
【０１２９】
Ａ：端末
Ｂ：管理サーバ
Ｃ：管理端末
Ｎ：ネットワーク
１：処理装置
２：記憶装置
３：入力装置
４：表示装置
５：通信装置
６：演算装置
７：制御装置
１０：制御インタフェース
１１：環境情報生成部
１１ｂ：環境情報取得部
１２：操作情報生成部
１２ｂ：操作情報取得部
１３：操作特徴抽出部
１４：盗難状態判定部
１５：差分算出手段
１６：状態判定手段
１７：制御部
１８ａ：危険度判定手段
１８ｂ：危険度変更手段
１９：データ量取得部
２０ａ：環境別判定手段
２０ｂ：総合判定手段
２１：環境情報記憶部
２２：操作情報記憶部
２３：操作特徴記憶部
２４：機密情報記憶部
３１：端末制御部
４１：管理端末制御部
【技術分野】
【０００１】
本発明は、コンピュータ端末に記憶した情報の漏洩防止に関し、特にコンピュータ端末自体が盗難されることによって発生する情報漏洩を防止する技術に関する。
【背景技術】
【０００２】
企業や学校等において、コンピュータ端末を用いて作業を行うことは一般的である。その際、作成した情報ファイルや参照資料等の各種データを、端末に内蔵されているハードディスク等の記憶装置に保存して管理するという方法がよく用いられる。この方法は、適宜必要な資料を容易に取り出して活用できるという利便性がある反面、保存している情報が外部に漏洩する可能性が高いという問題点もある。具体的には、ノートパソコン等の持ち運びしやすい端末を使用する際に、盗難や置き忘れ等によって端末自体を紛失した場合に発生する情報漏洩の問題である。
【０００３】
上記の問題を解決する手段として、端末の盗難等による情報漏洩を防止する分野において、端末の起動時にサーバと通信し、サーバが認証を行って盗難状態ではないと判定した場合、サーバはその端末に対して、事前に暗号化していた保存データの復号回路を送信するという技術がある。この技術において、予めサーバ側に盗難状態にある端末リストを登録しておき、受信した端末の識別情報と盗難端末リストとを比較照合して、その端末が盗難状態にあるか否かの判定を行うという手段が用いられている。これにより、端末内に保存された機密情報が第三者によって漏洩する危険性を低減することができる。（特許文献１参照）
【０００４】
また、同様の分野において、端末の起動時にサーバと通信を行い、サーバがその端末のユーザ認証を行って使用不可と判定した場合、端末内保存データの消去指示を出すという技術がある。この技術において、予めサーバ内に端末使用可能なユーザリストを保存しておき、端末起動時に、実際にログインしているユーザ情報とサーバ内の使用可能ユーザリストとを比較することによって、端末が盗難状態か否かの判定を行うという手段が用いられている。これにより、予め端末の状態に関する情報を登録しておかなくても、自動的に端末が盗難状態にあるか否かを判定することができる。（特許文献２参照）
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００６−２９３５９４号公報
【特許文献２】特開２００６−１６３８４７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
特許文献１の技術を用いると、起動された端末が盗難状態にあるか否かを判定することはできる。しかし、管理対象となる端末全ての現在状態をリスト化してサーバに登録する必要がある。このため、リアルタイムに変化する状況に対応するためには、サーバに登録しているリストを随時更新しなければならず、手間が発生してしまう。
【０００７】
特許文献２の技術を用いると、予めサーバ内に端末の現在状態リストを登録しておかなくても、端末が盗難状態にあるか否かを判定することができる。しかし、使用可能ユーザとして登録されている者が不正行為を行っている可能性までは判定することができない。
【０００８】
本発明は、上記従来技術の問題点を解消することを課題とする。具体的には、端末の盗難等による情報漏洩を防止する分野において、端末が使用されている状況の変化に応じて端末が盗難状態であるかを判定し、判定結果に応じた情報漏洩防止処理を実行することを課題とする。
【課題を解決するための手段】
【０００９】
上記の課題を解決するために、本発明の情報漏洩防止端末は、機密情報を含む情報を記憶する記憶装置と、端末が盗難状態であるかを判定する処理装置とを備えており、そのうちの処理装置は、端末の稼働環境に関する情報を生成する環境情報生成部と、ユーザが端末に対して実行した操作情報を生成する操作情報生成部と、生成した環境情報における操作情報の特徴を操作特徴として抽出し、環境情報毎にこの操作特徴を記憶領域に格納する操作特徴抽出部と、操作特徴抽出部において新たに抽出された新規操作特徴と記憶領域に既に記憶されている既存操作特徴とを比較し、端末の盗難危険性を判定する盗難状態判定部と、判定結果に応じて前記機密情報の情報漏洩防止処理を実行する制御部と、を備えることを特徴としている。
【００１０】
本発明の構成を採用することにより、端末が動作する様々な稼働環境毎に実行される操作の特徴を把握し、平常時の操作特徴とは異なる異常な操作を検出することができる。これにより、端末が使用される様々な状況に応じて、その端末が盗難状態であるかを判定することが可能となる。
【００１１】
本発明の情報漏洩防止端末の処理装置に含まれる盗難状態判定部は、新規操作特徴と既存操作特徴との差分を算出する差分算出手段と、算出した差分に基づき盗難状態にある危険性を示す危険度を判定する危険度判定手段とを有し、制御部は、危険度に応じて情報漏洩防止処理の内容を変化させて実行するという構成としてもよい。
【００１２】
本発明の構成を採用することで、端末が盗難状態にある危険性を判定し、状況に応じた情報漏洩防止処理を実行することができる。これにより、ユーザの損害も最小限に抑えることが可能となる。
【００１３】
本発明の情報漏洩防止端末の処理装置はさらに、記憶装置に記憶されている機密情報のデータ量を取得するデータ量取得部を備え、盗難状態判定部は、データ量に基づき盗難状態にある危険性を変更する危険度変更手段とを有し、制御部は、危険度に応じて情報漏洩防止処理の内容を変化させて実行するという構成としてもよい。
【００１４】
本発明のように構成することにより、端末内に保存されているデータ量の情報も利用して、端末が盗難状態にある危険性を変更することができる。これにより、端末盗難によって漏洩する情報量やそれに伴う被害の大きさを考慮した盗難状態の判定、及び盗難による情報漏洩防止処理を実行することが可能となる。
【００１５】
本発明の情報漏洩防止端末の処理装置に含まれる盗難状態判定部は、環境情報別に端末が盗難状態であるかを判定する環境別判定手段と、環境別判定結果を複数用いて総合的に盗難状態であるかを判定する総合判定手段とを有し、制御部は、総合的な判定結果に応じて情報漏洩防止処理を実行するという構成としてもよい。
【００１６】
本発明の構成を採用することにより、複数の環境情報における操作特徴を利用して端末が盗難状態であるかを判定することができる。これにより、盗難状態であるかを判定する判定精度を向上させることが可能となる。
【００１７】
また、本発明のプログラムを端末に読み込ませて実行することで、上述の特徴を実現させることも可能である。つまり、盗難状態判定端末に用いるプログラムであって、端末の稼働環境に関する情報を生成する環境情報生成機能と、ユーザが端末に対して実行した操作情報を生成するユーザ情報生成機能と、生成した環境情報における操作情報の特徴を操作特徴として抽出し、環境情報毎にその操作特徴を記憶領域に格納する操作特徴抽出機能と、操作特徴抽出部において新たに抽出された新規操作特徴と記憶領域に既に記憶されている既存操作特徴とを比較し、端末の盗難危険性を判定する盗難状態判定機能と、判定結果に応じて機密情報の情報漏洩防止処理を実行する制御機能とを処理装置に実現させるプログラム、として本発明を構成してもよい。
【００１８】
この盗難状態判定プログラムも、上述の盗難状態判定端末と同様の作用効果を伴うものである。
【００１９】
本発明における機密情報とは、ユーザが端末内に保存した情報ファイルやプログラム及びデータ等のことをいう。具体的には、各種情報が保存されたドキュメントファイルや表計算ファイル、及び特定のアプリケーションで利用可能なデータ等が一例として考えられる。また、機密情報は、端末内に保存された各種情報全てを指すのではなく、予め機密情報として定められたものとしてもよい。具体的には、保存されたドキュメントファイルのうち、予めファイル名に「機密情報」である旨指定されたもののみを限定して秘密情報として取り扱うという形式が一例として考えられる。また、予め定められたキーワードや内容を含むファイルを機密情報として取り扱うという形式も考えられる。具体的には、端末内のファイルを検索してキーワードを含むファイルを抽出する方法や、操作情報に含まれるファイル名にキーワードを含んでいるファイルを抽出する方法などが考えられる。
【００２０】
本発明における稼働環境とは、端末稼動時における端末自身及び周囲の状況のことをいう。具体的には、端末自身のハードウェア構成を示すハードウェア情報、端末にログインしているユーザのログインユーザ識別情報、ネットワークの接続有無の情報、端末が接続しているネットワークや機器等に関する接続先情報、端末が使用されている時刻・時間帯を示す時刻情報、ソフトウェアやアプリケーションの起動状態、特定ソフトウェア又はＷｅｂサイトへの認証状態や閲覧状態などが一例として考えられる。
【００２１】
さらに、上記のユーザ識別情報とは、ユーザ毎に一義的に設定されたログインＩＤやユーザＩＤ等がその一例として考えられる。
【００２２】
本発明における操作情報とは、ユーザが端末に対して各種操作を実行した際に生成される情報のことをいう。具体的には、操作が実行された日時を示す日時情報、実行された操作の内容を示す処理内容及び処理対象（ファイル、フォルダ、アプリケーション等）、当該端末を使用しているユーザを一義的に特定するユーザ識別情報を少なくとも含む一連の情報などが一例として考えられる。
【００２３】
本発明におけるデータ量とは、端末内に保存されている機密情報の量のことをいう。具体的には、保存されている情報ファイルの数を示すファイル数情報、保存されている情報全体の大きさを示すビット数やバイト数などが一例として考えられる。
【発明の効果】
【００２４】
上述のように構成された本発明によれば、ネットワーク通信ができない稼働環境を含め、端末が稼動する様々な環境に応じて端末が盗難状態であるかを判定することができる。これにより、端末の盗難による情報漏洩を防止する処理を素早く実行することが可能となる。
【図面の簡単な説明】
【００２５】
【図１】本発明の盗難状態判定端末のハードウェア構成の一例を示す概念図。
【図２】本発明の盗難状態判定端末を用いたシステムの構成例を示す概念図。
【図３】実施例１における端末構成の一例を示す機能ブロック図。
【図４】実施例１における処理プロセスの一例を示すフローチャート。
【図５】環境情報記憶部２１に記憶される環境情報の一例を示す図。
【図６】操作情報記憶部２２に記憶される操作情報の一例を示す図。
【図７】操作特徴記憶部２３に記憶される既存操作特徴の一例を示す図。
【図８】状態判定手段１６内部にある基準値テーブルの一例を示す図。
【図９】実施例１の表示装置４で表示される警告表示の一例を示す図。
【図１０】実施例２における端末構成の一例を示す機能ブロック図。
【図１１】実施例２における処理プロセスの一例を示すフローチャート。
【図１２】危険度判定手段１８ａの内部にある危険度テーブルの一例を示す図。
【図１３】制御部１７内部にある処理内容テーブルの一例を示す図。
【図１４】実施例３における端末構成の一例を示す機能ブロック図。
【図１５】実施例３における処理プロセスの一例を示すフローチャート。
【図１６】危険度変更手段１８ｂの内部にある危険度変更テーブルの一例を示す図。
【図１７】実施例４における端末構成の一例を示す機能ブロック図。
【図１８】実施例４における処理プロセスの一例を示すフローチャート。
【図１９】実施例４の操作情報記憶部２２に記憶される操作情報の一例を示す図。
【図２０】環境別判定手段２０ａ内部にある基準値テーブルの一例を示す図。
【図２１】実施例５におけるシステム構成の一例を示す機能ブロック図。
【発明を実施するための形態】
【００２６】
以下、図面を用いて本発明の実施形態を説明する。本発明は基本的にスタンドアローン形式にて実施される。図１に本発明の盗難状態判定端末（以下、「端末Ａ」という）のハードウェア構成の一例を概念的に示す。
【００２７】
端末Ａは、プログラムの演算処理を実行する演算装置６と、演算結果に基づいて各装置に対する制御指示を出力する制御装置７とを有するＣＰＵ等の処理装置１と、情報を記憶するＲＡＭやハードディスク等の記憶装置２と、キーボード、マウス又はテンキー等の入力装置３と、ディスプレイ（画面）等の表示装置４と、処理装置１の処理結果や記憶装置２に記憶する情報をインターネットやＬＡＮ等のネットワークを介して送受信する通信装置５とを少なくとも有している。端末Ａが実行する各機能（各手段）は、その処理を実行するプログラムが処理装置１に読み込まれることで実現される。
【実施例１】
【００２８】
〔実施例１−構成〕
以下、図面を用いて本発明の第一実施例について説明する。実施形態はスタンドアローン形式を用いた場合を例に説明する。図３に、本発明の盗難状態判定端末を構成する端末Ａの機能ブロック図を示す。本発明における各構成部及び各手段は、その機能が論理的に区別されているのみであって、物理上あるいは事実上同一の領域を為していてもよい。
【００２９】
また、図３は、本発明において必要となる最小限度の機器、構成部及び手段等のみを記載しており、その他の機器、構成部及び手段等についてはその記載を省略する。
【００３０】
端末Ａは、入力装置３、表示装置４又は通信装置５と様々な情報を送受信するための制御インタフェース１０を有している。
【００３１】
端末Ａの処理装置１は、端末Ａが稼動している状況に関する情報を生成する環境情報生成部１１、端末Ａに対して行われた操作に関する情報を生成する操作情報生成部１２、環境情報毎に操作情報の特徴を抽出する操作特徴抽出部１３、抽出した新規操作特徴を用いて端末Ａが盗難状態であるかを判定する盗難状態判定部１４、端末内に記憶されている機密情報の情報漏洩防止処理を実行する制御部１７を備えている。
【００３２】
端末Ａの記憶装置２は、環境情報生成部１１で生成した環境情報を記憶する環境情報記憶部２１、操作情報生成部１２で取得した操作情報を記憶する操作情報記憶部２２、操作特徴抽出部１３で抽出した操作特徴を環境情報毎に記憶する操作特徴記憶部２３、ユーザによって端末Ａ内への保存指示が実行された機密情報を記憶する機密情報記憶部２４を備えている。
【００３３】
さらに、端末Ａの処理装置１における判定部１４は、操作特徴抽出部１３にて抽出された新規操作特徴と、操作特徴記憶部２３に記憶されている既存操作特徴とを比較し、その差分を算出する差分算出手段１５と、算出した差分に基づいて端末が盗難状態であるか判定する状態判定手段１６とを有している。
【００３４】
以下、図３に記載した本発明を構成する機能ブロック図に基づいて、各構成部の動作について説明する。
【００３５】
環境情報生成部１１は、制御インタフェース１０及び端末Ａ内に記憶されている各種情報から、端末Ａの稼働環境に関する情報を環境情報として生成し、生成した環境情報を環境情報記憶部２１に送信する。環境情報は、予め定められた所定のタイミング毎に生成するとしてもよいし、稼働環境に変化が発生したタイミングで都度生成するとしてもよい。本実施例では、所定のタイミング毎に環境情報を生成する形式を用いることとする。
【００３６】
環境情報記憶部２１には、環境情報生成部１１が生成した環境情報が記憶される。その際の記憶形式は、端末Ａが稼働している現在の環境情報が把握できる形式であればよい。例えば、記憶部に記憶されている既存の環境情報に対して新規に生成した環境情報上書きして記憶するという形式でもよいし、生成した環境情報を時系列的に記憶するという形式でもよい。また、環境情報を記憶する領域は、一時的な記憶領域としてもよい。本実施例では、上書きして記憶する形式を用いることとする。
【００３７】
操作情報生成部１２は、ユーザが端末に対して実行した操作に関する情報を制御インタフェース１０を介して取得し、操作情報を生成する。そして、生成した操作情報を操作情報記憶部２２に送信する。生成される操作情報の形式は、ユーザが実行した操作内容が把握できるものであればどのようなものでもよい。なお、操作情報に前述の環境情報を含める形式としても構わない。
【００３８】
上記の操作情報について、本実施例では、端末Ａの入力装置３を用いてユーザにより実行された制御処理の内容を示す情報が生成されることとする。具体的には、制御処理の内容を示す処理内容、処理を実行したユーザを一義的に特定するユーザ識別情報、及び処理が実行された日時を示す日時情報を含む一連の情報が生成されることとする。
【００３９】
さらに、上記の処理内容とは、端末において実行された操作の内容を示す情報であって、ミドルウェアまたはＯＳ等において処理されるアプリケーションやハードウェア等による制御を示す情報のことをいう。より具体的には、キー入力、ポインティングデバイスの操作（ボタン押下、移動など）、外部記憶媒体の着脱、外部機器（プリンタなど）との接続、ファイル操作（作成、削除、コピー、移動、フォルダ名変更等）、アプリケーション操作（起動、終了等）、ドライブの追加・削除・検知、ＩＰアドレス変更、記憶媒体の書き込み、印刷、クリップボードへのコピー等を示す情報がある。なお、これらは一例であって限定されるものではない。
【００４０】
操作情報記憶部２２には、操作情報生成部１２が生成した操作情報が記憶される。その際の記憶形式は、操作情報に含まれる日時情報を利用して時系列的に記憶するという形式にすると好適である。なお、操作情報に環境情報が含まれる場合は、前述の環境情報記憶部２１を兼ねることができる。
【００４１】
操作特徴抽出部１３は、まず、環境情報記憶部２１に記憶されている環境情報を取得する。次に、操作情報記憶部２２から、所定時間分の操作情報を検索し、その特徴を抽出する。そして、取得した環境情報と、操作情報から抽出した特徴と、特徴を抽出した日時情報とを関連付けて操作特徴を生成し、判定部１４に送信する。生成される特徴情報には、特定の操作の実行回数、実行間隔、又は実行時間帯等様々なものが考えられるが、本実施例では、特定の操作の実行回数を操作特徴として抽出することとする。
【００４２】
上記の操作特徴抽出部１３における操作特徴の抽出は、ユーザが予め定めた時間間隔毎に随時実施するという形式にすると好適である。また、環境情報記憶部２１から抽出する環境情報についても、ユーザが予め定めた所定の環境情報のみを抽出するとしてもよいし、各々の環境情報について、所定時間隔毎に抽出するという形式としてもよい。本実施例では、各々の環境情報について、所定時間間隔毎に抽出するという形式を採用することとする。
【００４３】
操作特徴記憶部２３には、操作特徴抽出部１３が過去に生成した操作特徴が既に記憶されている。その際の記憶形式は、操作特徴に含まれる環境情報別に記憶するという形式にすると好適である。また、操作特徴に含まれる日時情報を利用して時系列的に記憶するという形式にすると好適である。
【００４４】
盗難状態判定部１４は、まず、操作特徴抽出部１３が新たに生成した新規操作特徴を取得する。次に、新規操作特徴に含まれる環境情報を用いて操作特徴記憶部２３を検索し、同一の環境情報を含んでいる既存操作特徴を特定して抽出する。そして、新規操作特徴と既存操作特徴とを比較し、その差分の内容から端末Ａが盗難状態かどうかを判定する。この判定処理を行うために、盗難状態判定部１４の内部には、差分算出手段１５と状態判定手段１６が備えられている。
【００４５】
本実施例において、比較対象として抽出される既存操作特徴は、新規操作特徴と同一の環境情報を含んでいるもののうち、操作特徴に含まれる日時情報が最も新しい操作特徴を抽出することとする。つまり、盗難状態判定部１４では、同一の環境情報を有する操作特徴のうち、新規に生成された操作特徴と、過去に生成された操作特徴のうちで最新のものとを比較し、その差分の内容から端末Ａの盗難危険性を判定するという処理が実行される。また、本実施例とは別の形式として、予め定められた所定期間以上前に生成された過去の操作特徴を、既存操作特徴として抽出するという形式を採用しても構わない。
【００４６】
差分算出手段１５は、操作情報抽出部１３が新たに生成した新規操作特徴と操作特徴記憶部２３から取得した既存操作特徴とを比較し、両者の差分を算出する。そして、算出した差分を状態判定手段１６に送信する。
【００４７】
状態判定手段１６は、差分算出手段１５が算出した差分を取得し、その差分の内容に基づき端末Ａが盗難状態であるかを判定する。盗難状態の判定方法には様々なものが考えられるが、本実施例では、状態判定手段１６の内部に、環境情報毎に予め定められた基準値を設定しておき、差分算出手段１５から取得した差分と、対応する環境情報に基づいて予め定められている基準値とを比較することにより、端末Ａが盗難状態である危険性を判定するという方法を用いることとする。判定の結果、盗難状態であるの場合は制御部１７に通知を送信し、盗難状態ではない場合は、新規操作特徴を操作特徴記憶部２３に送信して登録させる。
【００４８】
上述の構成では、環境情報毎に予め基準値を設定しておくとしているが、操作特徴記憶部２３において、操作特徴が日時情報を利用して時系列的に記憶されているという場合に、記憶されている複数の操作特徴から基準値を決定するという方法を採用しても構わない。具体的には、盗難状態判定部１１内に基準値判定手段（図示せず）を設け、操作特徴記憶部２３に記憶されている複数の操作特徴を抽出し、その抽出結果を用いて最大値、最小値、平均値などの統計的な値から基準値を決定するという方法が考えられる。
【００４９】
制御部１７は、盗難状態判定部１４の状態判定手段１６から取得した判定結果通知に応じて、端末Ａに保存された機密情報が漏洩するのを防止するための処理を、機密情報記憶部２４又は制御インタフェース１０に対して実行する。
【００５０】
機密情報記憶部２４には、ユーザが入力装置３を操作することによって保存指示がなされた機密情報や、ユーザの操作に基づいて通信装置４がネットワーク上やネットワークに接続されたサーバや他の端末から取得した機密情報が記憶される。制御部１７から機密情報に対する制御指示を受信した場合は、その制御指示の内容に従って機密情報に対する情報漏洩防止処理を実行する。
【００５１】
上述の構成とすることにより、端末が盗難状態にあるか否かを判定し、盗難による機密情報の漏洩を防止することが可能となる。
【００５２】
〔実施例１−処理プロセス〕
次に、本発明の盗難状態判定端末における処理プロセスの一例を、図３の機能ブロック図及び図４のフローチャート等を用いて説明する。
【００５３】
環境情報生成部１１は、端末Ａの環境情報を生成し、環境情報記憶部２１に記憶する（Ｓ１０１）。図５に、環境情報記憶部２１に記憶される環境情報の一例を示す。図５に示すとおり、本実施例で取得する環境情報は、「ハードウェア情報」・「ログインＩＤ」・「ネットワーク接続」・「起動時間帯情報」の４項目に関する情報を取得することとする。本処理プロセスでは、所定の環境情報として「起動時間帯」中の「時間帯」を用いて判定する場合を例に説明することとする。
【００５４】
操作情報生成部１２は、端末Ａの操作情報を生成し、操作情報記憶部２１に記憶する（Ｓ１０２）。図６に、操作情報記憶部２２に記憶される操作情報の一例を示す。図６に示すとおり、本実施例で取得する操作ログ情報は、「ユーザ識別情報」・「日時情報」・「処理内容」・「アプリケーション名」・「ファイル名」・「保存場所」・「デバイス名」の７項目に関する情報を取得することとする。
【００５５】
操作特徴抽出部１３は、環境情報記憶部２１から所定の環境情報を取得する。本処理プロセスでは、所定の環境情報として「起動時間帯情報」中の「時間帯」を用いて判定することとする。ここでは、環境情報として端末Ａの起動時間帯「業務時間外」が取得される。
【００５６】
次に、操作特徴抽出部１３は、所定の環境情報に応じて操作情報記憶部２２から所定時間分の操作情報を検索し、その特徴を抽出する。本処理プロセスでは、「端末起動時間が業務時間外である」を所定の環境情報とし、「端末起動後１時間以内」の操作情報を検索して操作特徴を抽出することとする。ここでは、「２０１０年１０月７日２０時」から「２０１０年１０月７日２１時」までの操作情報が検索対象となる。さらに、その操作情報の中から特定の条件に従って特徴を抽出する。ここでは、操作情報の中の「処理内容」と「ファイル名」に関する情報を用いて操作特徴を抽出することとする。本実施例では、「ファイル名」に「機密」という文字を含んでいるファイル（以下、「機密ファイル」という。）に対する処理が実行された回数を抽出することとする。図６に示すとおりに操作情報が記憶されていた場合、機密ファイルに対する処理は「７回」と抽出される。
【００５７】
そして、操作特徴抽出部１３は、取得した環境情報と操作情報から抽出した特徴とを関連付けて操作特徴を生成し、判定部１４に送信する（Ｓ１０３）。ここでは、端末Ａの起動時間帯「業務時間外」と、機密ファイルへの処理「７回」と、操作特徴を生成した日時情報とを関連付けた情報を、新規操作特徴として生成する。
【００５８】
盗難状態判定部１４の差分情報算出手段１５は、操作情報記憶部２３に記憶されている既存操作特徴の中から、環境情報が「端末起動時間帯が業務時間外」のもののうち、日時情報（時間帯情報）が最新の操作特徴を抽出する。図７に操作特徴記憶部２３に記憶されている既存操作特徴の一例を示す。図７に示すとおりに操作特徴が記憶されている場合、「２０１０年１０月７日２０時」に生成された操作特徴「機密ファイルへの処理２回」が、既存操作特徴として抽出されることとなる。
【００５９】
次に、差分情報算出手段１５は、操作特徴抽出部１３が生成した新規操作特徴と、操作特徴記憶部２３から抽出された既存操作特徴との差分を算出する（Ｓ１０４）。本処理プロセスの場合、新規操作特徴が機密ファイルへの処理「７回」であるのに対し、既存操作特徴は機密ファイルへの処理「２回」であるため、その差分は「５」と算出される。
【００６０】
盗難状態判定部１４の状態判定手段１６は、その内部に、操作ログ情報に含まれる処理内容毎に予め定められた基準値を記憶する基準値テーブルを有しており、差分情報算出手段１５によって算出された差分が基準値以上か否かを判定する（Ｓ１０５）。基準値以上であった場合、盗難状態であると判定する（Ｓ１０６）。図８に基準値テーブル内に記憶される基準値の一例を示す。この場合、差分情報算出手段１５によって算出された差分は「５」で基準値以上と判定されるため、端末Ａは盗難状態であると判定され、判定結果が制御部１７に送信される。
【００６１】
なお、状態判定手段１６において盗難状態ではないと判定された場合、状態判定手段１６は、操作特徴抽出部１３が生成した新規操作特徴を操作特徴記憶部２３に送信する。操作特徴記憶部２３は、状態判定手段１６から取得した新規操作特徴を既存操作特徴として記憶する（Ｓ１０７）。また、この場合において、日時情報と共に操作特徴を追加記憶するという処理を行うと好適である。
【００６２】
制御部１７は、状態判定手段１６から受信した盗難状態であるとする判定結果通知に応じて、機密情報漏洩防止処理を実行する（Ｓ１０８）。
【００６３】
上記の情報漏洩防止処理の内容について具体的に説明すると、例えば、機密情報記憶部２４に対しては、その内部に記憶されている機密情報の消去指示、機密情報に対するアクセス制限指示や暗号化指示、また、端末Ａのハードディスクに記憶されているデータの消去指示や端末Ａの操作ロック指示を送信するといった制御処理が考えられる。
【００６４】
上記の情報漏洩防止処理の内容について、制御インタフェース１０に対しては、表示装置４で表示している内容の消去指示（ディスプレイのブラックアウト指示）や、表示装置４に端末盗難の警告文を表示させる指示を送信するといった制御処理が考えられる。この警告表示の一例を、図９に示す。また、通信装置５を介してネットワーク接続されている管理サーバや管理端末等に対して、端末Ａが盗難状態にある旨の警告通知を送信するという制御処理も考えられる。また、制御インタフェース１０に対して管理サーバへの接続指示を表示するといった制御処理も考えられる。
【００６５】
上記のような構成とすることにより、端末とサーバとが行う必要がなく、通信不可能な状況の下においても情報漏洩を防止するための対応が可能となる。
【００６６】
なお、上述の処理プロセスでは環境情報として同一の環境情報（「起動時間帯情報」中の「業務時間外」）を含む新規操作特徴と既存操作特徴とを用いて判定したが、異なる環境情報を用いて判定することもできる。ここでの異なる環境情報とは、環境情報の項目は同じだが状態が異なるもの（例えば「起動時間帯情報」中の「業務時間外」と「業務時間内」など）とする。具体的には、取得した新規操作特徴から環境情報の項目を抽出し、その環境情報の項目と一致する既存操作特徴を取得する。そして、それらの環境情報中の状態が異なる場合は、予め設定されている基準値を補正し新たな基準値を設定する基準値補正手段（図示せず）を設け、新規操作特徴と既存操作特徴との差と新たな基準値とを用いて盗難の危険性を判定する方法である。なお、環境情報中の状態が異なる場合の補正値を予め登録されているものとする。補正値は、環境情報中の状態が異なる場合は基準値をより大きい値に設定すると好適である。
【実施例２】
【００６７】
〔実施例２−構成〕
以下、図面を用いて本発明の第二実施例について説明する。実施形態はスタンドアローン形式を用いた場合を例に説明する。図１０に、本発明の盗難状態判定端末を構成する端末Ａの機能ブロック図を示す。本発明における各構成部及び各手段は、その機能が論理的に区別されているのみであって、物理上あるいは事実上同一の領域を為していてもよい。
【００６８】
また、図１０は、本発明において必要となる最小限度の機器、構成部及び手段等のみを記載しており、その他の機器、構成部及び手段等についてはその記載を省略する。なお、〔実施例１−構成〕と同一の構成部等には同一の符号を付しており、同じ動作をする場合にはその詳細な説明は省略する。
【００６９】
端末Ａの処理装置１は、盗難状態判定部１４の内部に、差分算出手段１５が算出した差分に基づいて、端末Ａが盗難状態にある危険性の程度を危険度として判定する危険度判定手段１８ａを備えているという点において、〔実施例１−構成〕と異なっている。
【００７０】
以下、図１０に記載した本発明を構成する機能ブロック図に基づいて、各構成部の動作について説明する。なお、〔実施例１−構成〕と同様の構成部又は同様の動作については、その詳細な説明を省略する。
【００７１】
盗難状態判定部１４の危険度判定手段１８ａは、差分算出手段１５が算出した差分を取得し、その差分の内容に基づき端末Ａが盗難状態にあると予測される危険度を判定する。判定の結果、危険度が所定値以上の場合、危険度判定手段１８ａは、盗難状態にあるとして、制御部１７に判定した危険度を送信する。危険度が所定値未満の場合は、盗難状態にはないとして、新規特徴情報を操作特徴記憶部２３に送信して記憶させる。
【００７２】
上記の危険度判定手段１８ａにおける、端末Ａが盗難状態にあるか否かの判定処理について説明する。危険度判定手段１８ａは、差分算出手段１５から取得した差分が大きければ大きいほど、端末Ａが盗難されている危険性が高いとして危険度を判定する。危険度の判定方法には様々なものが考えられるが、本実施例では、危険度判定手段１８ａの内部に予め定められた基準値を設定しておき、取得した差分と基準値とを比較することにより危険度を判定するという方法を用いることとする。
【００７３】
制御部１７は、危険度判定手段１８ａから取得した危険度に応じて、端末Ａに保存された機密情報の漏洩防止処理を、機密情報記憶部２４又は制御インタフェース１０に対して実行する。実行される情報漏洩防止処理は、危険度が高くなるに従って厳しい制御処理が実行されるという形式にすると好適である。
【００７４】
上述の構成とすることにより、端末が盗難状態にある危険性考慮して、その危険性の大きさに応じて実行される制御を変化させて実行することが可能となる。これにより、情報漏洩事故を予測して、状況に応じた対応を行うことができる。
【００７５】
〔実施例２−処理プロセス〕
次に、本発明の盗難状態判定端末における処理プロセスの一例を、図１０の機能ブロック図及び図１１のフローチャート等を用いて説明する。なお、図１１のフローチャートにおける（Ｓ２０１）から（Ｓ２０４）、及び（Ｓ２０７）の動作については、〔実施例１−処理プロセス〕と同様のため、その詳細を省略する。
【００７６】
盗難状態判定部１４の危険度判定手段１８ａは、その内部に予め定められた基準値と危険度とを対応させた危険度テーブルを有しており、差分情報算出手段１５によって算出された差分に対応している危険度を、端末Ａが盗難状態にある危険性を示す危険度として判定する（Ｓ２０５）。図１２に危険度テーブル内に記憶される内容の一例を示す。本処理プロセスの場合、差分は「５」なので、危険度は「１」と判定される。
【００７７】
次に、危険度判定手段１８ａは、判定した危険度が所定値以上であった場合、盗難状態であると判定する（Ｓ２０６）。本処理プロセスでは、危険度が「１」以上であった場合、端末Ａは盗難状態であると判断することとする。
【００７８】
そして、危険度判定手段１８ａは、盗難状態であると判断した場合に、判定した危険度を制御部１７に送信する。本処理プロセスの場合、危険度は「１」であるため、盗難状態であると判断され、危険度「１」が制御部１７に送信されることとなる。
【００７９】
制御部１７は、その内部に危険度と情報漏洩防止処理内容とを関連付けた処理内容テーブルを有しており、危険度判定手段１８ａから受信した危険度に応じて、機密情報漏洩防止処理を実行する（Ｓ２０８）。図１３に処理内容テーブル内に記憶される内容の一例を示す。本処理プロセスの場合、危険度「１」なので、制御インタフェース１０に対して、表示装置４に警告通知を表示させる制御指示が送信される。
【００８０】
上述の制御部１７による制御処理について、危険度が２以上で判定された場合、判定された危険度未満の情報漏洩防止処理も累積的に実行されるとすると好適である。例えば、判定された危険度が「５」であった場合、制御部１７は、制御インタフェース１０に対して、表示装置４に警告通知を表示させる制御指示を送信し（危険度１の処理）、入力装置３からの操作制御指示を無効とする操作ロック指示を送信し（危険度２の処理）、表示装置４に表示された警告通知以外の部分をブラックアウトする制御指示を送信し（危険度３の処理）、機密情報記憶部２３に記憶されている情報の消去指示を送信し（危険度４の処理）、端末Ａの電源を強制的にＯＦＦにする制御指示を送信する（危険度５の処理）という形で、累積的に情報漏洩防止処理を実行するという形式が考えられる。
【実施例３】
【００８１】
〔実施例３−構成〕
以下、図面を用いて本発明の第三実施例について説明する。実施形態はスタンドアローン形式を用いた場合を例に説明する。図１４に、本発明の盗難状態判定端末を構成する端末Ａの機能ブロック図を示す。本発明における各構成部及び各手段は、その機能が論理的に区別されているのみであって、物理上あるいは事実上同一の領域を為していてもよい。
【００８２】
また、図１４は、本発明において必要となる最小限度の機器、構成部及び手段等のみを記載しており、その他の機器、構成部及び手段等についてはその記載を省略する。なお、〔実施例１−構成〕及び〔実施例２−構成〕と同一の構成部等には同一の符号を付しており、同じ動作をする場合にはその詳細な説明は省略する。
【００８３】
端末Ａの処理装置１は、機密情報記憶部２４に記憶されている機密情報のデータ量を取得するデータ量取得部１９と、盗難状態判定部１４の危険度判定手段１８ａで判定した危険度を変更する危険度変更手段１８ｂを備えているという点において、〔実施例１−構成〕及び〔実施例２−構成〕と異なっている。
【００８４】
以下、図１４に記載した本発明を構成する機能ブロック図に基づいて、各構成部の動作について説明する。なお、〔実施例２−構成〕と同様の構成部又は同様の動作については、その詳細な説明を省略する。
【００８５】
データ量取得部１９は、機密情報記憶部２４の内部に記憶されているデータ量を取得する。本実施例では、データ量として機密情報記憶部２４内に記憶されている情報ファイル数を取得する場合について説明する。
【００８６】
盗難状態判定部１４の危険度判定手段１８ａは、差分算出手段１５が算出した差分を取得し、その差分の内容に基づき端末Ａが盗難状態にあると予測される危険度を判定する。判定の結果、危険度が所定値以上の場合、危険度判定手段１８ａは、盗難状態にあるとして、危険度変更手段１８ｂに判定した危険度を送信する。危険度が所定値未満の場合は、盗難状態にはないとして、新規特徴情報を操作特徴記憶部２３に送信して記憶させる。
【００８７】
危険度変更手段１８ｂは、危険度判定手段１８ａから危険度を受信すると、データ取得部１９から機密情報のデータ量を取得する。そして、そのデータ量に基づき端末Ａの盗難に伴って発生する情報漏洩損害の大きさを考慮して危険度を変更する。危険度の変更方法には様々なものが考えられるが、本実施例では、危険度変更手段１８ｂの内部に予め定められた基準値を設定しておき、取得したデータ量と基準値とを比較することにより危険度を変更するという方法を用いることとする。変更した危険度は、制御部１７に送信される。
【００８８】
上述の構成とすることにより、端末の盗難危険性だけでなく、盗難によって漏洩する危険性のある機密情報の予測量、及びそれに伴って発生する損害の大きさも考慮した盗難状態を判定し、その判定した盗難状態に応じた適切な制御を実行することが可能となる。
【００８９】
〔実施例３−処理プロセス〕
次に、本発明の盗難状態判定端末における処理プロセスの一例を、図１４の機能ブロック図及び図１５のフローチャート等を用いて説明する。なお、図１５のフローチャートにおける（Ｓ３０１）から（Ｓ３０５）、（Ｓ３０７）、及び（Ｓ３１０）から（Ｓ３１１）の動作については、〔実施例１−処理プロセス〕及び〔実施例２−処理プロセス〕と同様のため、その詳細を省略する。
【００９０】
盗難状態判定部１４の危険度判定手段１８ａは、その内部に予め定められた基準値と危険度とを対応させた危険度テーブルを有しており、差分情報算出手段１５によって算出された差分に対応している危険度を、端末Ａが盗難状態にある危険性を示す危険度として判定する（Ｓ３０５）。図１２に危険度テーブル内に記憶される内容の一例を示す。本処理プロセスの場合、差分は「５」なので、危険度は「１」と判定される。
【００９１】
次に、危険度判定手段１８ａは、判定した危険度が所定値以上であった場合、盗難状態であると判定する（Ｓ３０６）。本処理プロセスでは、危険度が「１」以上であった場合、端末Ａは盗難状態であると判断することとする。
【００９２】
そして、危険度判定手段１８ａは、盗難状態であると判断した場合に、判定した危険度を危険度変更手段１８ｂに送信する。本処理プロセスの場合、危険度は「１」であるため、盗難状態であると判断され、危険度「１」が危険度変更手段１８ｂに送信されることとなる。
【００９３】
データ量取得部１９は、機密情報記憶部２４内に記憶されている情報ファイルのファイル数をデータ量として取得する。本処理プロセスでは、取得したファイル数（データ量）が「２０」であった場合を例に説明する。
【００９４】
危険度変更手段１８ｂは、その内部に基準値と危険度変更値とを対応させた危険度変更テーブルを有している。危険度判定手段１８ａから危険度を受信すると、データ量取得部１９から機密情報記憶部２４内に記憶されているファイル数（データ量）を取得する（Ｓ３０８）。次に、危険度変更手段１８ｂは、取得したデータ量に対応する危険度変更値に従って危険度を変更する（Ｓ３０９）。図１６に危険度変更テーブル内に記憶される内容の一例を示す。本処理プロセスの場合、ファイル数は「２０」なので、危険度変更値は「＋４」となるため、危険度は「５」に変更される。変更した危険度は制御部１７に送信される。
【実施例４】
【００９５】
〔実施例４−構成〕
以下、図面を用いて本発明の第四実施例について説明する。実施形態はスタンドアローン形式を用いた場合を例に説明する。図１７に、本発明の盗難状態判定端末を構成する端末Ａの機能ブロック図を示す。本発明における各構成部及び各手段は、その機能が論理的に区別されているのみであって、物理上あるいは事実上同一の領域を為していてもよい。
【００９６】
また、図１７は、本発明において必要となる最小限度の機器、構成部及び手段等のみを記載しており、その他の機器、構成部及び手段等についてはその記載を省略する。なお、〔実施例１−構成〕、〔実施例２−構成〕及び〔実施例３−構成〕と同一の構成部等には同一の符号を付しており、同じ動作をする場合にはその詳細な説明は省略する。
【００９７】
端末Ａの処理装置１は、盗難状態判定部１４の内部に、差分算出手段１５が算出した差分に基づいて、環境情報別に端末の盗難状態を判定する環境別判定手段２０ａと、環境情報別に判定された複数の判定結果を用いて総合的な盗難状態を判定する総合判定手段２０ｂとを備えているという点において、〔実施例１−構成〕、〔実施例２−構成〕及び〔実施例３−構成〕と異なっている。
【００９８】
以下、図１７に記載した本発明を構成する機能ブロック図に基づいて、各構成部の動作について説明する。なお、〔実施例１−構成〕、〔実施例２−構成〕及び〔実施例３−構成〕と同様の構成部又は同様の動作については、その詳細な説明を省略する。
【００９９】
盗難状態判定部１４の差分算出手段１５は、操作情報抽出部１３が新たに生成した新規操作特徴と操作特徴記憶部２３から取得した既存操作特徴とを比較し、両者の差分を算出する。本実施例では、環境情報別に生成された操作特徴を用いて、環境情報毎に差分を算出することとする。そして、算出した差分を環境別判定手段２０ａに送信する。
【０１００】
環境別判定手段２０ａは、差分算出手段１５が算出した差分を取得し、その差分の内容に基づき環境情報別に端末Ａの盗難状態を判定する。そして、環境情報別に判定された結果を総合判定手段２０ｂに送信する。
【０１０１】
総合判定手段２０ｂは、環境別判定手段２０ａから取得した環境情報別の判定結果を比較し、総合的な端末Ａの盗難状態を判定する。判定の結果、盗難状態であるの場合は制御部１７に通知を送信し、盗難状態ではない場合は、新規操作特徴を操作特徴記憶部２３に送信して登録させる。
【０１０２】
上述の構成とすることにより、様々な環境情報に基づく判定結果を利用して、総合的な判定することが可能となる。これにより、盗難状態の判定精度を向上させることができる。
【０１０３】
〔実施例４−処理プロセス〕
次に、本発明の情報漏洩防止端末における処理プロセスの一例を、図１７の機能ブロック図及び図１８のフローチャート等を用いて説明する。なお、図１８のフローチャートにおける（Ｓ４０１）から（Ｓ４０２）、及び（Ｓ４０８）から（Ｓ４１０）の動作については、〔実施例１−処理プロセス〕、〔実施例３−処理プロセス〕及び〔実施例３−処理プロセス〕と同様のため、その詳細を省略する。
【０１０４】
操作特徴抽出部１３は、環境情報記憶部２１から所定の環境情報を取得する。本処理プロセスでは、所定の環境情報として「起動時間帯情報」中の「時間帯」と、「ログインＩＤ」の「ユーザ識別情報」の二つの環境情報を用いて判定することとする。具体的には、環境情報記憶部２１に記憶される情報が図５の通りであった場合、環境情報として端末Ａの起動時間帯「業務時間外」と、ログインＩＤのユーザ識別情報「ＵＳＥＲ１１０」とが取得されることとする。
【０１０５】
次に、操作特徴抽出部１３は、操作情報記憶部２２から所定時間分の操作情報を検索し、環境情報別にその特徴を抽出する。本処理プロセスでは、所定時間として「端末起動後１時間以内」の操作ログ情報を用いて判定することとする。さらに、ここでは図１９に示すとおりの操作ログ情報が操作情報記憶部２２に記憶されていることとし、「２０１０年１０月８日１８時」から「２０１０年１０月８日１９時」までの操作ログ情報が検索対象となる。まず、〔実施例１−処理プロセス〕の手順と同様にして、環境情報として端末Ａの起動時間帯「業務時間外」を用いた場合の操作特徴を抽出する。その結果、端末Ａの起動時間帯「業務時間外」と機密ファイルへの処理「４回」とを関連付けた情報が、環境別操作特徴の一つとして生成される。
【０１０６】
さらに、操作特徴抽出部１３は、環境情報としてログインＩＤのユーザ識別情報「ＵＳＥＲ１１０」を用いた場合の操作特徴も抽出する。ここでは、操作ログ情報の中の「処理内容」に関する情報を用いて操作特徴を抽出することとする。具体的には、処理内容として「デバイス追加」とが実行された回数を抽出することとする。図１９に示すとおりに操作ログ情報が記憶されていた場合、デバイス追加が実行された回数は「３回」と抽出される。その結果、端末ＡのログインＩＤ「ＵＳＥＲ１１０」とデバイス追加「３回」とを関連付けた情報が、環境別操作特徴の二つ目として生成される。
【０１０７】
そして、操作特徴抽出部１３は、生成した複数の環境別操作特徴をあわせて新規操作特徴として、盗難状態判定部１４に送信する（Ｓ４０３）。
【０１０８】
盗難状態判定部１４の差分情報算出手段１５は、操作特徴抽出部１３が生成した新規操作特徴と、操作特徴記憶部２３内に記憶されている既存操作特徴との差分を算出する（Ｓ４０４）。その際の差分は、環境情報別に算出されることとする。まず、環境情報が端末Ａの起動時間帯「業務時間外」の場合は〔実施例１−処理プロセス〕における手順と同様に差分が算出される。ここで、操作特徴記憶部２３に記憶されている既存操作特徴が、機密ファイルへの処理「２回」だったとすると、差分は「２」と算出される。次に、環境情報が端末ＡのログインＩＤ「ＵＳＥＲ０２３」の場合について説明する、ここでは、操作特徴記憶部２３に記憶されている既存操作特徴が、デバイス追加「１回」だったとする。この場合、新規操作特徴と既存操作特徴との差分は「２」と算出される。算出した環境情報別の差分は、環境別判定手段２０ａに送信される。
【０１０９】
盗難状態判定部１４の環境別判定手段２０ａは、その内部に予め定められた基準値を記憶する基準値テーブルを有しており、差分情報算出手段１５によって算出された差分が基準値以上か否かを判定し、環境情報別に盗難危険性を判定する（Ｓ４０５）。環境情報が端末Ａの起動時間帯「業務時間外」の場合は〔実施例１−処理プロセス〕における手順と同様、図８に示す基準値テーブルを用いて判定を行い、盗難状態ではないと判定される。環境情報が端末ＡのログインＩＤ「ＵＳＥＲ１１０」の場合は、図２０に示す基準値テーブルを用いて判定を行う。この場合において、端末Ａを通常使用するユーザがユーザ識別情報「ＵＳＥＲ０２３」として登録されていたとすると、ログインＩＤ「ＵＳＥＲ１１０」は未登録ＩＤということになる。図２０に示すとおり未登録ＩＤの基準値で判定すると、盗難状態であると判定される。上記の通り環境情報別に判定された判定結果は、総合判定手段２０ｂに送信される。
【０１１０】
盗難状態判定部１４の総合判定手段２０ｂは、環境情報別に判定された複数の判定結果を比較し、盗難状態であるかどうかの総合的な判定を行う（Ｓ４０６）。総合的な判定方法の実施形態には様々なものが考えられる。例えば、取得した判定結果が全て「盗難状態である」であった場合に、総合判定結果も「盗難危状態である」とする方法や、環境別の判定結果が三つある場合に、二つ以上の判定結果が「盗難状態である」であった場合に、総合判定結果も「盗難状態である」とする過半数を占める判定結果を優先するという多数決的な手法を用いる形態も考えられる。本処理プロセスでは、取得した環境別の判定結果のうち、一つでも「盗難状態である」とする判定結果が出された場合には、総合判定結果も「盗難状態である」とする形態を用いることとする。その場合、環境情報に端末ＡのログインＩＤ「ＵＳＥＲ１１０」を用いた場合の判定結果が「盗難状態である」であるため、総合判定結果も「盗難状態である」となる。
【０１１１】
総合判定手段２０ｂは、上述の通り実施された総合判定の結果が「盗難状態である」だった場合、その結果の通知を制御部１７に送信する（Ｓ４０７）。
【実施例５】
【０１１２】
〔別実施形態〕
また、本発明は、複数の端末Ａを用いたクライアントサーバ形式にて本発明を実施しても良い。実施形態は図２に示すように、複数の端末Ａが、端末管理サーバＢ（以下、「管理サーバＢ」という）及び管理者用クライアント端末（以下、「管理端末Ｃ」という）と、通信ネットワーク（以下、「ネットワークＮ」という）とを介して接続されるという形で構成されている。
【０１１３】
管理サーバＢ及び管理端末Ｃのハードウェア構成も端末Ａと同様で、図１に示したとおり、処理装置１、記憶装置２、通信装置５を少なくとも有しており、必要に応じて入力装置４及び表示装置５を有している。この実施形態において、管理サーバＢは、ネットワークに接続される各端末Ａが盗難状態にあるかどうかを管理し、管理端末Ｃに対してその管理している情報を送信するという形式にすると好適である。
【０１１４】
ネットワークＮは、企業や学校等の限られた施設内において情報を物理的に送信するケーブルと、ＬＡＮスイッチやハブ等でなる中継機器を備えたＣＳＭＡ／ＣＤ（Ｃａｒｒｉｅｒ Ｓｅｎｓｅ Ｍｕｌｔｉｐｌｅ Ａｃｃｅｓｓ Ｗｉｔｈ Ｃｏｌｌｉｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ）方式のＬＡＮとして構成されたものであるが、このネットワークＮとしてＬＡＮ以外に、インターネットの技術を用いたイントラネットで構成されたものや、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）の技術によって構築されるものでもよい。
【０１１５】
図２１に、本発明の盗難状態判定システムを構成する管理サーバＢ、端末Ａ及び管理端末Ｃの機能ブロック図を示す。本発明における各構成部及び各手段は、その機能が論理的に区別されているのみであって、物理上あるいは事実上同一の領域を為していてもよい。
【０１１６】
また、図２１は、本発明において必要となる最小限度の機器、構成部及び手段等のみを記載しており、その他の機器、構成部及び手段等についてはその記載を省略する。さらに、図２０は、本発明において必要となる最小限度の機器、構成部及び手段等のみを記載しており、その他の機器、構成部及び手段等についてはその記載を省略する。なお、〔実施例１−構成〕と同一の構成部等には同一の符号を付している。
【０１１７】
管理サーバＢの処理装置１は、通信装置５を介して、ネットワークＮに接続された端末Ａが稼動している状況に関する情報を取得する環境情報取得部１１ｂ、端末Ａに対して行われた操作に関する情報を取得する操作情報取得部１２ｂ、環境情報毎に操作情報の特徴を抽出する操作特徴抽出部１３、抽出した新規操作特徴を用いて端末Ａの盗難状態を判定する盗難状態判定部１４、端末Ａ内に記憶されている機密情報の情報漏洩防止処理を実行する制御部１７を備えている。
【０１１８】
管理サーバＢの記憶装置２は、環境情報取得部１１ｂで生成した環境情報を記憶する環境情報記憶部２１、操作情報取得部１２ｂで取得した操作情報を記憶する操作情報記憶部２２、操作特徴抽出部１３で抽出した操作特徴を環境情報毎に記憶する操作特徴記憶部２３を備えている。
【０１１９】
さらに、管理サーバＢの処理装置１における盗難状態判定部１４は、操作特徴抽出部１３にて抽出された新規操作特徴と、操作特徴記憶部２３に記憶されている既存操作特徴とを比較し、その差分を算出する差分算出手段１５と、算出した差分に基づいて端末の盗難状態を判定する状態判定手段１６とを有している。
【０１２０】
端末Ａの処理装置１は、端末Ａが稼働している状況に関する情報を生成する環境情報生成部１１、端末Ａに対して行われた操作に関する情報を生成する操作情報生成部１２、端末Ａに対して各種制御を実行する端末制御部３１を備えている。
【０１２１】
クライアント端末Ｃの記憶装置２は、ユーザによってクライアント端末Ｃ内への保存指示が実行された機密情報を記憶する機密情報記憶部２４を備えている。
【０１２２】
管理端末Ｃの処理装置１は、管理端末Ｃに対して各種制御を実行する管理端末制御部４１を備えている。
【０１２３】
次に、本発明の情報漏洩防止システムを構成する各構成部及び各手段の内容について説明する。本発明における各構成部及び各手段は、その機能が論理的に区別されているのみであって、物理上あるいは事実上同一の領域を為していてもよい。なお、〔実施例１−構成〕と同一の動作をする場合にはその詳細な説明は省略する。
【０１２４】
端末Ａの環境情報生成部１１は、制御インタフェース１０及び端末Ａ内に記憶されている各種情報から、端末Ａの稼働環境に関する情報を環境情報として生成し、生成した環境情報を、通信装置５を介してネットワークＮに接続されている管理サーバＢに送信する。そして、管理サーバＢの環境情報取得部１１ｂは、ネットワークＮに接続されている端末Ａから送信された環境情報を、管理サーバＢの通信装置５を介して取得する。
【０１２５】
端末Ａの操作情報生成部１２は、ユーザが端末Ａに対して実行した操作に関する情報を制御インタフェース１０を介して取得し、操作情報を生成する。そして、生成した操作情報を通信装置５を介してネットワークＮに接続されている管理サーバＢに送信する。そして、管理サーバＢの操作情報取得部１１ｂは、ネットワークＮに接続されている端末Ａから送信された環境情報を、管理サーバＢの通信装置５を介して取得する。
【０１２６】
端末Ａの端末制御部３１は、管理サーバＢから出力された制御情報を通信装置５を介して取得し、その制御情報の内容に従って端末Ａに対する制御を実行する。具体的には、制御情報の内容が機密情報の消去であった場合、端末Ａの内部にある機密情報記憶部２４に記憶されている機密情報に対して消去を実行する。また、制御情報の内容が、情報漏洩を防止するための所定の表示をするというものであれば、制御インタフェース１０を介して表示装置４に対して所定の表示を実行させる。
【０１２７】
管理端末Ｃの管理端末制御部４１は、管理サーバＢから出力された制御情報を、通信装置５を介して取得し、その制御情報の内容に従って管理端末Ｃに対する制御を実行する。具体的には、制御情報の内容が情報漏洩を防止するための所定の表示をするというものであれば、制御インタフェース１０を介して表示装置４に対して所定の表示を実行させる。
【０１２８】
上述の構成とすることにより、本発明をクライアントサーバ形式によって構成されるシステムとして実施することが可能となる。
【符号の説明】
【０１２９】
Ａ：端末
Ｂ：管理サーバ
Ｃ：管理端末
Ｎ：ネットワーク
１：処理装置
２：記憶装置
３：入力装置
４：表示装置
５：通信装置
６：演算装置
７：制御装置
１０：制御インタフェース
１１：環境情報生成部
１１ｂ：環境情報取得部
１２：操作情報生成部
１２ｂ：操作情報取得部
１３：操作特徴抽出部
１４：盗難状態判定部
１５：差分算出手段
１６：状態判定手段
１７：制御部
１８ａ：危険度判定手段
１８ｂ：危険度変更手段
１９：データ量取得部
２０ａ：環境別判定手段
２０ｂ：総合判定手段
２１：環境情報記憶部
２２：操作情報記憶部
２３：操作特徴記憶部
２４：機密情報記憶部
３１：端末制御部
４１：管理端末制御部
【特許請求の範囲】
【請求項１】
機密情報を含む情報を記憶する記憶装置と、
端末が盗難状態であるかを判定する処理装置と、
を備える盗難状態判定端末であって、
前記処理装置は、
前記端末の稼働環境に関する情報を取得する環境情報生成部と、
ユーザが前記端末に対して実行した操作情報を生成する操作情報生成部と、
前記生成した環境情報における前記操作情報の特徴を操作特徴として抽出し、環境情報毎に当該操作特徴を記憶領域に格納する操作特徴抽出部と、
前記操作特徴抽出部において新たに抽出された新規操作特徴と前記記憶領域に既に記憶されている既存操作特徴とを比較し、前記端末の盗難危険性を判定する盗難状態判定部と、
前記判定結果に応じて前記機密情報の情報漏洩防止処理を実行する制御部と、
を備えることを特徴とする盗難状態判定端末。
【請求項２】
前記処理装置における前記盗難状態判定部は、
前記新規操作特徴と前記既存操作特徴との差分を算出する差分算出手段と、
前記算出した差分に基づき盗難状態にある危険性を示す危険度を判定する危険度判定手段と、を有する
ことを特徴とする請求項１に記載の盗難状態判定端末。
【請求項３】
前記処理装置は、さらに、
前記記憶装置に記憶されている機密情報のデータ量を取得するデータ量取得部を備え、
前記盗難状態判定部は、前記データ量に基づき盗難状態にある危険性を示す危険度を変更する危険度変更手段と、を有する
ことを特徴とする請求項１及び請求項２に記載の盗難状態判定端末。
【請求項４】
前記処理装置における前記盗難状態判定部は、
前記環境情報別に前記端末が盗難状態であるかを判定する環境別判定手段と、
前記環境別判定結果を複数用いて総合的に盗難状態であるかを判定する総合判定手段と、を有する
ことを特徴とする請求項１及び請求項３に記載の盗難状態判定端末。
【請求項５】
機密情報を含む情報を記憶する記憶装置と、
端末が盗難状態であるかを判定する処理装置と、
を備える盗難状態判定端末に用いるプログラムであって、
前記処理装置に、
前記端末の稼働環境に関する情報を生成する環境情報生成機能と、
ユーザが前記端末に対して実行した操作情報を生成する操作情報生成機能と、
前記生成した環境情報における前記操作情報の特徴を操作特徴として抽出し、環境情報毎に当該操作特徴を記憶領域に格納する操作特徴抽出機能と、
前記操作特徴抽出部において新たに抽出された新規操作特徴と前記記憶領域に既に記憶されている既存操作特徴とを比較し、前記端末の盗難危険性を判定する盗難状態判定機能と、
前記判定結果に応じて前記機密情報の情報漏洩防止処理を実行する制御機能と、
を実現させることを特徴とする盗難状態判定単端末。
【請求項１】
機密情報を含む情報を記憶する記憶装置と、
端末が盗難状態であるかを判定する処理装置と、
を備える盗難状態判定端末であって、
前記処理装置は、
前記端末の稼働環境に関する情報を取得する環境情報生成部と、
ユーザが前記端末に対して実行した操作情報を生成する操作情報生成部と、
前記生成した環境情報における前記操作情報の特徴を操作特徴として抽出し、環境情報毎に当該操作特徴を記憶領域に格納する操作特徴抽出部と、
前記操作特徴抽出部において新たに抽出された新規操作特徴と前記記憶領域に既に記憶されている既存操作特徴とを比較し、前記端末の盗難危険性を判定する盗難状態判定部と、
前記判定結果に応じて前記機密情報の情報漏洩防止処理を実行する制御部と、
を備えることを特徴とする盗難状態判定端末。
【請求項２】
前記処理装置における前記盗難状態判定部は、
前記新規操作特徴と前記既存操作特徴との差分を算出する差分算出手段と、
前記算出した差分に基づき盗難状態にある危険性を示す危険度を判定する危険度判定手段と、を有する
ことを特徴とする請求項１に記載の盗難状態判定端末。
【請求項３】
前記処理装置は、さらに、
前記記憶装置に記憶されている機密情報のデータ量を取得するデータ量取得部を備え、
前記盗難状態判定部は、前記データ量に基づき盗難状態にある危険性を示す危険度を変更する危険度変更手段と、を有する
ことを特徴とする請求項１及び請求項２に記載の盗難状態判定端末。
【請求項４】
前記処理装置における前記盗難状態判定部は、
前記環境情報別に前記端末が盗難状態であるかを判定する環境別判定手段と、
前記環境別判定結果を複数用いて総合的に盗難状態であるかを判定する総合判定手段と、を有する
ことを特徴とする請求項１及び請求項３に記載の盗難状態判定端末。
【請求項５】
機密情報を含む情報を記憶する記憶装置と、
端末が盗難状態であるかを判定する処理装置と、
を備える盗難状態判定端末に用いるプログラムであって、
前記処理装置に、
前記端末の稼働環境に関する情報を生成する環境情報生成機能と、
ユーザが前記端末に対して実行した操作情報を生成する操作情報生成機能と、
前記生成した環境情報における前記操作情報の特徴を操作特徴として抽出し、環境情報毎に当該操作特徴を記憶領域に格納する操作特徴抽出機能と、
前記操作特徴抽出部において新たに抽出された新規操作特徴と前記記憶領域に既に記憶されている既存操作特徴とを比較し、前記端末の盗難危険性を判定する盗難状態判定機能と、
前記判定結果に応じて前記機密情報の情報漏洩防止処理を実行する制御機能と、
を実現させることを特徴とする盗難状態判定単端末。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【公開番号】特開２０１２−１７３９９１（Ｐ２０１２−１７３９９１Ａ）
【公開日】平成２４年９月１０日（２０１２．９．１０）
【国際特許分類】
【出願番号】特願２０１１−３５４０８（Ｐ２０１１−３５４０８）
【出願日】平成２３年２月２２日（２０１１．２．２２）
【出願人】（５９９１０８２４２）Ｓｋｙ株式会社 (257)
【Ｆターム（参考）】
【公開日】平成２４年９月１０日（２０１２．９．１０）
【国際特許分類】
【出願日】平成２３年２月２２日（２０１１．２．２２）
【出願人】（５９９１０８２４２）Ｓｋｙ株式会社 (257)
【Ｆターム（参考）】
[ Back to top ]