監査証跡追跡装置、監査証跡追跡方法および監査証跡追跡プログラム
【課題】監査証跡となるログの収集および分析を容易にすることにより、効率的なログの追跡をおこなって、情報漏洩の抑止力の向上を図ること。
【解決手段】情報システム１００において、Ｗｅｂサーバ１０１は、ＬＡＮ外のクライアント端末Ｃ１とのＷｅｂアクセスログを記録する。メールサーバ１０２は、電子メールの送受信ログを記録する。ＤＢサーバ１０３は、アクセス権操作ログを記録する。業務アプリケーションサーバ１０４は、ＤＢアクセスログを記録している。管理サーバ１０５は、Ｗｅｂサーバ１０１、メールサーバ１０２、ＤＢサーバ１０３、業務アプリケーションサーバ１０４に記録されているログや、クライアント端末Ｃの操作ログを収集し、収集されたログを用いて情報漏洩者やそのクライアント端末Ｃの情報漏洩操作履歴の追跡処理をおこなう。
【解決手段】情報システム１００において、Ｗｅｂサーバ１０１は、ＬＡＮ外のクライアント端末Ｃ１とのＷｅｂアクセスログを記録する。メールサーバ１０２は、電子メールの送受信ログを記録する。ＤＢサーバ１０３は、アクセス権操作ログを記録する。業務アプリケーションサーバ１０４は、ＤＢアクセスログを記録している。管理サーバ１０５は、Ｗｅｂサーバ１０１、メールサーバ１０２、ＤＢサーバ１０３、業務アプリケーションサーバ１０４に記録されているログや、クライアント端末Ｃの操作ログを収集し、収集されたログを用いて情報漏洩者やそのクライアント端末Ｃの情報漏洩操作履歴の追跡処理をおこなう。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、情報システムにおける監査証跡の追跡や不審者の割り出しなどをおこなう監査証跡追跡装置、監査証跡追跡方法および監査証跡追跡プログラムに関する。
【背景技術】
【０００２】
監査証跡とは、情報システムの監査において、信頼性・安全性・効率性の３つの観点から、それぞれのコントロール機能が信頼性・安全性・効率性の確保に結びついていることを、事後に実証するための手段であり、たとえば、情報操作(持ち出し／印刷)や認証、データベースへアクセスするログが挙げられる。
【０００３】
近年、個人情報保護法や企業改革法などによる情報漏洩の抑止の対策として、監査証跡であるログの収集と分析が重要な情報セキュリティ要件になっている。監査対象となるログは、ＰＣ（パーソナル・コンピュータ）や各種サーバなどからそれぞれ収集され、収集されたログを検索することで、情報漏洩者を追跡することができる（たとえば、下記特許文献１を参照）。
【０００４】
【特許文献１】特開２００３−０７６６６２号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかしながら、監査証跡となるログの形式やログの記録形態は、ＯＳ（オペレーティングシステム）やアプリケーションごとに文法的にも意味的にも異なっているため統一性がない。したがって、ログの収集自体が容易でなく、ログの分析処理はさらに困難であるという問題があった。
【０００６】
また、たとえば、顧客情報を検索する情報システムでは、顧客情報を記憶するデータベースサーバへのアクセスは、情報システム内において顧客情報の検索処理を実行する業務アプリケーションサーバが発行するシステムＩＤによっておこなわれる場合がある。この場合、データベースサーバに記録されているログだけでは、どのユーザがデータベースサーバにアクセスしたかを追跡することが困難であるという問題があった。
【０００７】
さらに、情報システム全体にわたって監査するログを追跡するためには、情報システム全体の情報のフロー（流れ）の正確な把握が必要不可欠であるが、情報システムが大規模になればなるほど情報のフローが複雑化し、ログの追跡および分析が困難であるという問題があった。
【０００８】
また、従来のユーザＩＤは、各業務アプリケーションやＰＣのドメイン単位で割当てが異なっており、業務アプリケーションやＰＣのドメインを越えた追跡ができないという問題があった。
【０００９】
このように、従来の監査証跡の管理においては、ログの収集および分析という重要な情報セキュリティ要件を満足しないため、情報システム全体にわたり情報漏洩を追跡することは困難であり、実質的に情報漏洩の抑止効果が得られないという問題があった。
【００１０】
この発明は、上述した従来技術による問題点を解消するため、監査証跡となるログの収集および分析を容易にすることにより、効率的なログの追跡をおこなって、情報漏洩の抑止力の向上を図ることができる監査証跡追跡装置、監査証跡追跡方法および監査証跡追跡プログラムを提供することを目的とする。
【課題を解決するための手段】
【００１１】
上述した課題を解決し、目的を達成するため、この発明にかかる監査証跡追跡装置、監査証跡追跡方法および監査証跡追跡プログラムは、データベースに記憶されている追跡対象データに関する検索条件の入力を受け付け、前記データベースに対してアクセスがあった場合に記録されるアクセスログの中から、入力された検索条件に合致する第１のログレコードを検索し、検索された第１のログレコードに基づいて、当該第１のログレコードの記録日時に前記追跡対象データにアクセス可能なアクセス元を特定し、特定されたアクセス元のログの中から、前記第１のログレコードに相当する第２のログレコードを検索し、検索された第２のログレコードに基づいて、前記追跡対象データにアクセスしたクライアント端末を特定することを特徴とする。
【００１２】
また、上記発明において、特定されたクライアント端末の操作ログの中から、当該クライアント端末が前記追跡対象データを取得した後の第３のログレコードを検索し、検索された第３のログレコードに基づいて、前記クライアント端末を操作したユーザの不審度を算出し、算出された算出結果に基づいて、前記追跡対象データの追跡結果を出力することとしてもよい。
【００１３】
また、上記発明において、前記第３のログレコードに記録されている前記クライアント端末の操作内容に基づいて、前記不審度を算出することとしてもよい。
【００１４】
また、上記発明において、前記第３のログレコードに記録されている前記クライアント端末の連続操作内容に基づいて、前記不審度を算出することとしてもよい。
【００１５】
また、上記発明において、前記第３のログレコードに記録されている前記クライアント端末の操作日時に基づいて、前記不審度を算出することとしてもよい。
【００１６】
これらの発明によれば、追跡対象データからクライアント端末までの追跡経路を探索することができる。
【００１７】
この発明にかかる他の監査証跡追跡装置、監査証跡追跡方法および監査証跡追跡プログラムは、データベースに記憶されている追跡対象データに関する検索条件の入力を受け付け、前記データベースに対してアクセスがあった場合に記録されるアクセスログの中から、入力された検索条件に合致する第１のログレコードを検索し、クライアント端末の操作ログの中から、検索された第１のログレコードの記録日時の時間帯に含まれる記録日時の第２のログレコードを検索し、前記第１のログレコードと検索された第２のログレコードとに記録されているユーザ識別情報との同一性を照合し、照合された照合結果に基づいて、前記追跡対象データの追跡結果を出力することを特徴とする。
【００１８】
また、上記発明において、検索された第２のログレコードに基づいて、前記クライアント端末を操作したユーザの不審度を算出し、算出された不審度が所定のしきい値以上であるか否かを判定し、判定された判定結果に基づいて、前記第１のログレコードと前記第２のログレコードとに記録されているユーザ識別情報との同一性を照合することとしてもよい。
【００１９】
また、上記発明において、前記第２のログレコードに記録されている前記クライアント端末の操作内容に基づいて、前記不審度を算出することとしてもよい。
【００２０】
また、上記発明において、前記第２のログレコードに記録されている前記クライアント端末の連続操作内容に基づいて、前記不審度を算出することとしてもよい。
【００２１】
また、上記発明において、前記第２のログレコードに記録されている前記クライアント端末の操作日時に基づいて、前記不審度を算出することとしてもよい。
【００２２】
これらの発明によれば、追跡対象データとクライアント端末における操作とを付き合わせることにより、追跡対象データを情報漏洩したクライアント端末を特定することができる。
【発明の効果】
【００２３】
本発明にかかる監査証跡追跡装置、監査証跡追跡方法および監査証跡追跡プログラムによれば、監査証跡となるログの収集および分析を容易にすることにより、効率的なログの追跡をおこなって、情報漏洩の抑止力の向上を図ることができるという効果を奏する。
【発明を実施するための最良の形態】
【００２４】
以下に添付図面を参照して、この発明にかかる監査証跡追跡装置、監査証跡追跡方法および監査証跡追跡プログラムの好適な実施の形態を詳細に説明する。
【００２５】
（情報システムの概要）
まず、この発明の実施の形態にかかる情報システムの概要について説明する。図１は、この発明の実施の形態にかかる情報システムの概要を示すシステム構成図である。図１において、情報システム１００は、Ｗｅｂサーバ１０１と、メールサーバ１０２と、データベース（ＤＢ）サーバ１０３と、業務アプリケーションサーバ１０４と、管理サーバ１０５と、クライアント端末Ｃと、管理者端末１１０と、によってＷＡＮを構築している。情報システム１００としては、たとえば、顧客情報検索システムが挙げられる。
【００２６】
まず、Ｗｅｂサーバ１０１は、インターネット１２０からアクセスしてくるクライアント端末Ｃ１に所定のＷｅｂサービスを提供するコンピュータ装置であり、ＬＡＮ外のクライアント端末Ｃ１とのＷｅｂアクセスログを記録している。メールサーバ１０２は、電子メールの送受信を管理するサーバであり、クライアント端末Ｃ間の電子メールの送受信をおこなう。また、メールサーバ１０２は、電子メールの送受信ログを記録している。
【００２７】
また、ＤＢサーバ１０３は、ＤＢ１３０を管理するコンピュータ装置である。ＤＢ１３０には情報システム１００が保有する各種情報が格納されている。たとえば、情報システム１００が顧客情報検索システムである場合、ＤＢ１３０には検索対象となる顧客情報が記憶されている。また、ＤＢサーバ１０３は、クライアント端末Ｃや管理者端末１１０、または後述する業務アプリケーションサーバ１０４からのアクセスにより、要求された情報を提供する。また、ＤＢサーバ１０３は、このアクセスによるアクセス権操作ログを記録している。
【００２８】
業務アプリケーションサーバ１０４は、情報システム１００が提供する業務を実行するコンピュータ装置である。たとえば、情報システム１００が顧客情報検索システムである場合、クライアント端末Ｃ２から直接、またはクライアント端末Ｃ１からＷｅｂサーバ１０１を介して間接的に検索要求を受けた場合、ＤＢサーバ１０３に対して顧客情報の検索処理を実行する。そして、検索結果を検索要求先のクライアント端末Ｃに提供する。また、業務アプリケーションサーバ１０４は、検索要求や検索結果に関するＤＢアクセスログを記録している。
【００２９】
また、管理サーバ１０５は、情報システム１００内の監査証跡となるログを管理するコンピュータ装置である。管理サーバ１０５は、管理者端末１１０から操作される。管理サーバ１０５は、具体的には、Ｗｅｂサーバ１０１、メールサーバ１０２、ＤＢサーバ１０３、業務アプリケーションサーバ１０４に記録されているログや、クライアント端末Ｃの操作ログを収集し、収集されたログを用いて情報漏洩者やそのクライアント端末Ｃの情報漏洩操作履歴の追跡処理をおこなう。
【００３０】
クライアント端末Ｃおよび管理者端末１１０は、Ｗｅｂサーバ１０１、メールサーバ１０２、ＤＢサーバ１０３、業務アプリケーションサーバ１０４が提供するサービスを受けるコンピュータ装置である。たとえば、ＬＡＮ外のクライアント端末Ｃ１は、Ｗｅｂサーバ１０１を介して、メールサーバ１０２、ＤＢサーバ１０３、業務アプリケーションサーバ１０４にアクセスすることができる。
【００３１】
また、ＬＡＮ内のクライアント端末Ｃ２および管理者端末１１０は、Ｗｅｂサーバ１０１、メールサーバ１０２、ＤＢサーバ１０３、業務アプリケーションサーバ１０４にアクセスすることができる。管理者端末１１０は、さらに管理サーバ１０５にアクセスすることができる。クライアント端末Ｃおよび管理者端末１１０の操作ログは、管理サーバ１０５に収集される。
【００３２】
（コンピュータ装置のハードウェア構成）
つぎに、図１に示した各コンピュータ装置のハードウェア構成について説明する。図２は、図１に示した各コンピュータ装置のハードウェア構成を示すブロック図である。図２において、コンピュータ装置は、ＣＰＵ２０１と、ＲＯＭ２０２と、ＲＡＭ２０３と、ＨＤＤ（ハードディスクドライブ）２０４と、ＨＤ（ハードディスク）２０５と、ＦＤＤ（フレキシブルディスクドライブ）２０６と、着脱可能な記録媒体の一例としてのＦＤ（フレキシブルディスク）２０７と、ディスプレイ２０８と、Ｉ／Ｆ（インターフェース）２０９と、キーボード２１０と、マウス２１１と、スキャナ２１２と、プリンタ２１３と、を備えている。また、各構成部はバス２００によってそれぞれ接続されている。
【００３３】
ここで、ＣＰＵ２０１は、コンピュータ装置の全体の制御を司る。ＲＯＭ２０２は、ブートプログラムなどのプログラムを記憶している。ＲＡＭ２０３は、ＣＰＵ２０１のワークエリアとして使用される。ＨＤＤ２０４は、ＣＰＵ２０１の制御にしたがってＨＤ２０５に対するデータのリード／ライトを制御する。ＨＤ２０５は、ＨＤＤ２０４の制御で書き込まれたデータを記憶する。
【００３４】
ＦＤＤ２０６は、ＣＰＵ２０１の制御にしたがってＦＤ２０７に対するデータのリード／ライトを制御する。ＦＤ２０７は、ＦＤＤ２０６の制御で書き込まれたデータを記憶したり、ＦＤ２０７に記憶されたデータをコンピュータ装置に読み取らせたりする。
【００３５】
また、着脱可能な記録媒体として、ＦＤ２０７のほか、ＣＤ−ＲＯＭ（ＣＤ−Ｒ、ＣＤ−ＲＷ）、ＭＯ、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋ）、メモリーカードなどであってもよい。ディスプレイ２０８は、カーソル、アイコンあるいはツールボックスをはじめ、文書、画像、機能情報などのデータを表示する。このディスプレイ２０８は、たとえば、ＣＲＴ、ＴＦＴ液晶ディスプレイ、プラズマディスプレイなどを採用することができる。
【００３６】
Ｉ／Ｆ２０９は、通信回線を通じてインターネット１２０などのネットワークに接続され、このネットワークを介して他の装置に接続される。そして、Ｉ／Ｆ２０９は、ネットワークと内部のインターフェースを司り、外部装置からのデータの入出力を制御する。Ｉ／Ｆ２０９には、たとえばモデムやＬＡＮアダプタなどを採用することができる。
【００３７】
キーボード２１０は、文字、数字、各種指示などの入力のためのキーを備え、データの入力をおこなう。また、タッチパネル式の入力パッドやテンキーなどであってもよい。マウス２１１は、カーソルの移動や範囲選択、あるいはウィンドウの移動やサイズの変更などをおこなう。ポインティングデバイスとして同様に機能を備えるものであれば、トラックボールやジョイスティックなどであってもよい。
【００３８】
スキャナ２１２は、画像を光学的に読み取り、コンピュータ装置内に画像データを取り込む。なお、スキャナ２１２は、ＯＣＲ機能を持たせてもよい。また、プリンタ２１３は、画像データや文書データを印刷する。プリンタ２１３には、たとえば、レーザプリンタやインクジェットプリンタを採用することができる。
【００３９】
（情報システム１００の具体的構成）
つぎに、この発明の実施の形態にかかる情報システム１００の具体的構成について説明する。図３は、この発明の実施の形態にかかる情報システム１００の具体的構成を示す説明図である。なお、ＥＪＢ（Ｅｎｔｅｒｐｒｉｓｅ ＪａｖａＢｅａｎｓ（登録商標））サーバ３００は、図１に示した業務アプリケーションサーバ１０４に相当するコンピュータ装置である。
【００４０】
図３において、Ｗｅｂサーバ１０１は、ＨＴＴＰサーバ３０１と、サーブレット３０２と、Ｊ２ＥＥクラスライブラリ３０３と、サーブレットコンテナ３０４と、アドオンセキュリティ管理機構３０５と、を備えている。ＨＴＴＰサーバ３０１は、クライアント端末Ｃ１からのユーザ認証リクエスト４００（ＨＴＴＰリクエスト）を監視している。
【００４１】
図４は、ユーザ認証リクエスト４００の一例を示す説明図である。クライアント端末ＣからのユーザＩＤの取得は、プラットフォーム標準の認証機構（ベーシック認証等）を利用したアプリケーションなら容易であるが、業務アプリケーションの大半は独自の認証機構を組んでいる。この場合、ユーザＩＤを認識しているのはアプリケーション層だけであると予想されるため、以下のように実現する。
【００４２】
クライアント端末Ｃからのユーザ認証リクエスト４００（ＨＴＴＰリクエスト）上において、ユーザＩＤがＰＯＳＴされるＵＲＬとクエリー情報を、事前に業務アプリケーションごとに定義させておき、サーブレットクラスライブラリ・レベルでユーザ認証リクエスト４００（ＨＴＴＰリクエスト）を監視することでユーザＩＤを取得し、当該ユーザＩＤとセッション識別情報と対応付けて記録する。
【００４３】
すなわち、ユーザ認証リクエスト４００は、業務アプリケーションの識別情報（図４中、「ｇｙｏｕｍ１」）と、変数（図４中、「ｕｉｄ」）からなるＨＴＴＰ形式のクエリー情報である。変数としては、たとえば、ユーザＩＤ（図４中、「ｕｓｅｒ０１」）およびパスワード（図４中「ｐａｓｓｗｏｒｄ」）が入力される。認証をおこなう以上、何らかの形でＨＴＴＰリクエスト上にユーザＩＤを載せることは高い確率で期待できるから、この手法で既存の業務アプリケーションのかなりの部分をカバーでき、プラットフォーム標準の認証から、独自の認証まで幅広く対応することができる。
【００４４】
また、図３において、サーブレット３０２は、Ｗｅｂサーバ１０１におけるＷｅｂサービスをクライアント端末Ｃに提供するプログラムである。また、Ｊ２ＥＥクラスライブラリ３０３は、サーブレット３０２関連のクラスライブラリであり、クライアント端末Ｃから受け取ったユーザ認証リクエスト４００を監視して、所定のパターンの場合は、ユーザＩＤを取り出して、当該ユーザＩＤとセッション識別情報と関連付ける。
【００４５】
具体的には、Ｊ２ＥＥクラスライブラリ３０３は、ユーザＩＤ定義ファイル３０６を有している。ユーザＩＤ定義ファイル３０６は、たとえば、デプロイメントデスクリプタｗｅｂ．ｘｍｌで記述され、ユーザ認証リクエスト４００（ＨＴＴＰリクエスト）から、ユーザＩＤを取り出す方法を予め定義しておくファイルである。
【００４６】
図３においては、たとえば、ＵＲＬとして「ｇｙｏｕｍ１」、変数として「ｕｉｄ」が定義されている。したがって、リクエストに「ｇｙｏｕｍ１」とその変数として「ｕｉｄ」が記述されていると、Ｊ２ＥＥクラスライブラリ３０３は、クライアント端末Ｃからのユーザ認証リクエスト４００であると解釈する。そして、共有ストレージ３０８にユーザＩＤ（図３中「ｕｓｅｒ−ｉｄ」）とセッション識別情報（図３中「ｓｅｓｓｉｏｎ」）とを関連付ける。この関連付けられたユーザＩＤおよびセッション識別情報は、サーブレットログ３０７としても記録される。
【００４７】
また、共有ストレージ３０８は、Ｗｅｂサーバ１０１上のセッション識別情報に対応するユーザＩＤと、ＥＪＢサーバ３００から通知されたＥＪＢオブジェクトの識別情報（以下、「ＥＪＢオブジェクト識別情報」）に対応するセッション識別情報を保持する。情報が複数のサーバにまたがることから、ストレージでの共有する形としているが、共有ストレージ３０８を用いずに、通信により実現することとしてもよい。
【００４８】
また、サーブレットコンテナ３０４は、共有ストレージ３０８において、ＥＪＢサーバ３００のＥＪＢコンテナ３１３から通知されたＥＪＢオブジェクトのＥＪＢオブジェクト識別情報（図３中、「ｓｅｒｖｅｒ ｏｂｊ」）とＷｅｂサーバ１０１上のＪ２ＥＥクラスライブラリ３０３で生成されたセッション識別情報（図３中「ｓｅｓｓｉｏｎ」）とを関連付ける。また、サーブレットコンテナ３０４は、ユーザ認証リクエスト４００があった場合、ユーザＩＤに基づいてユーザ認証をおこなう。そして、認証された場合、当該ユーザＩＤおよびパスワードからなる認証情報を、ＥＪＢサーバ３００のＥＪＢコンテナ３１３に送信する。
【００４９】
また、アドオンセキュリティ管理機構３０５は、Ｗｅｂサーバ１０１用のアドオンミドルウェアであり、ユーザＩＤ定義ファイル３０６・共有ストレージ３０８とＪ２ＥＥクラスライブラリ３０３、サーブレットコンテナ３０４との仲介をおこなう。また、Ｗｅｂサーバ１０１におけるＷｅｂアクセスログ３０９およびサーブレットログ３０７は、図１に示した管理サーバ１０５に収集される。
【００５０】
また、ＥＪＢサーバ３００は、ＥＪＢ３１１と、Ｊ２ＥＥクラスライブラリ３１２と、ＥＪＢコンテナ３１３と、アドオンセキュリティ管理機構３１４と、ＪＤＢＣ（Ｊａｖａ（登録商標） Ｄａｔａｂａｓｅ Ｃｏｎｎｅｃｔｉｖｉｔｙ）フィルタドライバ３１５と、ＪＤＢＣドライバ３１６と、ＰＤＰ（Ｐｏｌｉｃｙ Ｄｅｃｉｓｉｏｎ Ｐｏｉｎｔ）３１７と、を備えている。
【００５１】
ＥＪＢ３１１は、ＥＪＢサーバ３００が提供する業務アプリケーションである。ＥＪＢ３１１は、ＤＢサーバ１０３にアクセスするためのシステムＩＤを有しており、当該システムＩＤをＤＢアクセス要求に含まれているＳＱＬコマンドとともにＪＤＢＣフィルタドライバ３１５に出力する。また、Ｊ２ＥＥクラスライブラリ３１２は、ＥＪＢ３１１関連のクラスライブラリである。
【００５２】
また、ＥＪＢコンテナ３１３は、クライアント端末ＣからのＳＱＬコマンド（ＤＢアクセス要求）に対応するメソッドとなるＥＪＢオブジェクトの識別情報を、Ｗｅｂサーバ１０１のＥＪＢコンテナ３１３に通知する。また、Ｗｅｂサーバ１０１のサーブレット３０２からのメソッド呼び出しの延長でおこなわれるＪＤＢＣ呼び出し（セッション識別情報）とＥＪＢオブジェクト識別情報とを関連付けて、アドオンセキュリティ管理機構３１４に通知する。
【００５３】
また、アドオンセキュリティ管理機構３１４は、ＥＪＢサーバ３００（業務アプリケーションサーバ１０４）用のアドオンミドルウェアである。アドオンセキュリティ管理機構３１４は、ＪＤＢＣドライバ３１６の実行単位に対応付けられるユーザＩＤを、ＥＪＢコンテナ３１３からの通知情報と共有ストレージ３０８内の情報とを手掛かりとして取り出す。
【００５４】
また、ＰＤＰ３１７は、ポリシーを評価して許可・不許可の決定をおこなうエンティティであり、アクセスポリシーリポジトリを参照して、ＪＤＢＣドライバ３１６へのＤＢアクセス要求の妥当性を判定する。アクセスポリシーリポジトリ３１８は、ユーザ／ロールごとのアクセス権限、ユーザ／ロールごとの利用時間帯の限定等を定義した情報である。また、ＰＡＰ（Ｐｏｌｉｃｙ Ａｄｍｉｎｉｓｔｒａｔｉｏｎ Ｐｏｉｎｔ）３１９は、アクセスポリシーリポジトリを作成・編集するエンティティである。
【００５５】
また、ＪＤＢＣフィルタドライバ３１５は、ＥＪＢ３１１から要求されたＤＢアクセス要求に対して、アドオンセキュリティ管理を利用して、その妥当性の判断をおこなわせ、その判断結果に基づいてアクセス制御を実行する。たとえば、ＤＢアクセス要求が当該ユーザのアクセスできないテーブルへのアクセス要求であった場合、例外ＳＱＬＥｘｃｅｐｔｉｏｎをスローする。また、ＤＢアクセス要求が当該ユーザのアクセスできない時間帯でのアクセス要求であった場合、例外ＳＱＬＥｘｃｅｐｔｉｏｎをスローする。さらに、ＤＢアクセス要求が当該ユーザのアクセスできないカラムを含むアクセス要求であった場合、アクセス権限のないカラムを無意味なデータで置き換えて返す。
【００５６】
また、ＤＢアクセスログ３２０は、ＤＢアクセス要求とユーザＩＤとを関連付けているログである。また、アクセス要求の判断結果も記録されている。ＤＢアクセスログ３２０は、図１に示した管理サーバ１０５に収集される。
【００５７】
図３に示した構成により情報漏洩対策を目的としたＤＢ１３０のアクセス制御を実現するためには、ＥＪＢ３１１（業務アプリケーション）は、ＪＤＢＣドライバ３１６からＤＢサーバ１０３へのコネクション要求時に、その起点の操作をおこなったユーザＩＤを用いる。具体的には、ＪＤＢＣフィルタドライバ３１５で以下を実現する。
【００５８】
ユーザＩＤを予め定義されたＤＢアクセス用のシステムＩＤに置き換えてコネクションを確立し、コネクションとユーザＩＤの関連付けを維持する。また、ＪＤＢＣフィルタドライバ３１５は、上述したようにコネクションを使ったＤＢアクセス時に、先に取得したユーザＩＤとアクセス制御ポリシーに基づくアクセス制御を実行する。
【００５９】
この図３に示した構成によれば、ＥＪＢサーバ３００側のＪＤＢＣフィルタドライバ３１５およびＪＤＢＣドライバ３１６に閉じて、ＥＪＢコンテナ３１３に手を入れずに対応することができるため、全体にシンプルな構造を実現することができる。また、ユーザＩＤとＤＢアクセス要求のマッピングが容易なため、オーバヘッドを最小限にすることができる。さらに、将来、ＤＢサーバ１０３でユーザＩＤごとの細かなアクセス制御が可能になった場合でも、業務アプリケーションは修正不要であるため、汎用性が高い。
【００６０】
（Ｗｅｂサーバ１０１の監査証跡記録処理）
つぎに、図３に示したＷｅｂサーバ１０１における監査証跡（ログ）記録処理について説明する。図５は、図３に示したＷｅｂサーバ１０１における監査証跡（ログ）記録処理を示すフローチャートである。
【００６１】
Ｗｅｂサーバ１０１は、まず、ユーザＩＤ定義ファイル３０６を読み込む（ステップＳ５０１）。そして、リクエストの受信を待ち受け（ステップＳ５０２：Ｎｏ）、クライアント端末Ｃからリクエストが受信された場合（ステップＳ５０２：Ｙｅｓ）、読み込んだユーザＩＤ定義ファイル３０６により、受信されたリクエストがユーザ認証リクエスト４００であるか否かを判断する（ステップＳ５０３）。
【００６２】
ユーザ認証リクエスト４００でない場合（ステップＳ５０３：Ｎｏ）、ステップＳ５０６に移行する。一方、ユーザ認証リクエスト４００である場合（ステップＳ５０３：Ｙｅｓ）、そのセッションを示すセッション識別情報を設定する（ステップＳ５０４）。そして、ユーザ認証リクエスト４００に含まれているユーザＩＤとセッション識別情報との組み合わせを共有ストレージ３０８に記録する（ステップＳ５０５）。
【００６３】
この後、ステップＳ５０６において、サーブレット３０２の中でＥＪＢサービス要求が呼び出されたか否かを判断する（ステップＳ５０６）。ＥＪＢサービス要求が呼び出されていない場合（ステップＳ５０６：Ｎｏ）、ステップＳ５０２に戻る。
【００６４】
一方、ＥＪＢサービス要求が呼び出された場合（ステップＳ５０６：Ｙｅｓ）、ＥＪＢサーバ３００のＥＪＢコンテナ３１３にＥＪＢサービスをリクエストする（ステップＳ５０７）。この後、ＥＪＢサーバ３００から応答があるか否かを判断する（ステップＳ５０８）。所定時間応答がない場合（ステップＳ５０８：Ｎｏ）、ステップＳ５０２に戻る。
【００６５】
一方、応答があった場合（ステップＳ５０８：Ｙｅｓ）、当該応答がＥＪＢオブジェクト検索リクエストであるか否かを判断する（ステップＳ５０９）。ＥＪＢオブジェクト検索リクエストでない場合（ステップＳ５０９：Ｎｏ）、ステップＳ５０２に戻る。
【００６６】
一方、ＥＪＢオブジェクト検索リクエストである場合（ステップＳ５０９：Ｙｅｓ）、当該ＥＪＢオブジェクト検索リクエストに含まれているＥＪＢオブジェクト識別情報とステップＳ５０４で設定されたセッション識別情報との組み合わせを共有ストレージ３０８に記録する（ステップＳ５１０）。そして、ステップＳ５０２に戻る。このＷｅｂサーバ１０１の監査証跡記録処理によれば、セッション識別情報により、ユーザＩＤとＥＪＢオブジェクト識別情報とを関連付けることができ、ＥＪＢオブジェクト識別情報からユーザＩＤを追跡することができる。
【００６７】
（ＥＪＢサーバ３００の監査証跡記録処理手順）
つぎに、図３に示したＥＪＢサーバ３００における監査証跡（ログ）記録処理について説明する。図６は、図３に示したＥＪＢサーバ３００における監査証跡（ログ）記録処理を示すフローチャートである。
【００６８】
まず、ＥＪＢ３１１フィルタドライバによりＥＪＢオブジェクトのリクエストを受け付けたか否か判断する（ステップＳ６０１）。つぎに、アドオンセキュリティ管理機構３０５により処理が実行される（ステップＳ６０２〜Ｓ６０６）。具体的には、受け付けられたＥＪＢオブジェクトのリクエストから呼び出し元ＥＪＢオブジェクトを検出する（ステップＳ６０２）。
【００６９】
そして、検出されたＥＪＢオブジェクトのＥＪＢオブジェクト識別情報に関連付けられているユーザＩＤを共有ストレージ３０８から抽出する（ステップＳ６０３）。そして、抽出されたユーザＩＤと、Ｗｅｂサーバ１０１からＥＪＢ３１１を介して送られてきたＤＢアクセス要求（ＳＱＬコマンド）とを内部のＰＤＰ３１７に渡す（ステップＳ６０４）。
【００７０】
そして、上述したように、ＰＤＰ３１７において、アクセスポリシー判定処理を実行する（ステップＳ６０５）。このアクセスポリシー判定処理によりアクセス許可された場合（ステップＳ６０６：Ｙｅｓ）、ＪＤＢＣフィルタドライバ３１５により、ＪＤＢＣドライバ３１６を呼び出して、ＤＢアクセス要求（ＳＱＬコマンド）によりＤＢ１３０にアクセスする（ステップＳ６０７）。具体的には、システムＩＤを発行して、ＳＱＬコマンドとともにＤＢサーバ１０３に送信する。
【００７１】
また、ＪＤＢＣフィルタドライバ３１５により、ユーザＩＤとともにＤＢサーバ１０３へのアクセス情報（アクセス日時、システムＩＤ、アクセス許可フラグ、アクセス対象データ名、アクセス対象データ量、アクセス時間など）を、ＤＢアクセスログとして記録し（ステップＳ６０８）、アクセス結果（ＤＢアクセスログ）を図１に示した管理サーバ１０５に返却する（ステップＳ６０９）。
【００７２】
一方、ステップＳ６０６において、アクセス不許可である場合（ステップＳ６０６：Ｎｏ）、アクセス不許可であることを示すＤＢアクセスログ（アクセス日時、システムＩＤ、アクセス不許可フラグなど）を記録し（ステップＳ６１０）、クライアント端末Ｃに対して例外スローをおこなう（ステップＳ６１１）。
【００７３】
なお、ＤＢサーバ１０３では、ステップＳ６０７においてアクセス（システムＩＤおよびＳＱＬコマンド）を受けた場合、システムＩＤを認証して、システムＩＤの提供元にアクセス権があるか否かを判断する。そして、アクセス権があると判断された場合、ＳＱＬコマンドにしたがってＤＢ１３０を検索する。そして、その検索結果を、ＥＪＢサーバ３００およびＷｅｂサーバ１０１を介して、ユーザＩＤが認証されたクライアント端末Ｃに提供する。また、ＤＢサーバ１０３では、このアクセス権の操作に関するログ（アクセス権操作ログ）を記録する。
【００７４】
（監査証跡追跡処理手順）
つぎに、この発明の実施の形態にかかる管理サーバ１０５における監査証跡（ログ）追跡処理手順について説明する。図７は、この発明の実施の形態にかかる管理サーバ１０５における監査証跡（ログ）追跡処理手順を示すフローチャートである。図７において、管理者端末１１０から検索条件の入力を待ち受ける（ステップＳ７０１：Ｎｏ）。検索条件としては、たとえば、アクセス日時、システムＩＤ、アクセス許可フラグ、アクセス対象データ名、アクセス対象データ量、アクセス時間、ユーザＩＤなどが挙げられる。
【００７５】
そして、検索条件が入力された場合（ステップＳ７０１：Ｙｅｓ）、入力された検索条件に合致するＤＢアクセスログレコードを、ＤＢアクセスログ３２０の中から検索する（ステップＳ７０２）。そして、検索結果であるＤＢアクセスログレコードの集合の中から、管理者端末１１０の操作入力による、任意のＤＢアクセスログレコード（以下、「ＬＤＳ」と称す。）の選択を待ち受ける（ステップＳ７０３）。ＬＤＳが選択されない場合（ステップＳ７０３：Ｎｏ）、ステップＳ７１６に移行する。
【００７６】
一方、ＬＤＳが選択された場合（ステップＳ７０３：Ｙｅｓ）、ＬＤＳの情報価値を算出する（ステップＳ７０４）。たとえば、ＬＤＳのカラム（アクセス日時、システムＩＤ、アクセス許可フラグ、アクセス対象データ名、アクセス対象データ量、アクセス時間、ユーザＩＤなど）に重み付けされた重要度にそのカラムの行数を乗算することによって得られる値である。そして、算出結果をディスプレイ２０８の表示画面に表示する（ステップＳ７０５）。
【００７７】
管理者は、ディスプレイの算出結果（情報価値）を参照して、追跡継続の入力を待ち受ける（ステップＳ７０６）。そして、たとえば、表示画面上の『追跡停止』ボタンを押下した場合、追跡継続の入力がなかったこととなり（ステップＳ７０６：Ｎｏ）、ステップＳ７０３に戻って、あらたなＬＤＳの選択を待ち受ける。一方、『追跡継続』ボタンを押下した場合、追跡継続の入力があったこととなり（ステップＳ７０６：Ｙｅｓ）、ステップＳ７０７に移行する。
【００７８】
ステップＳ７０７では、ＬＤＳの記録時（タイムスタンプ）ＴLDSにおいて、ＤＢサーバ１０３のアクセス権管理操作ログを参照して、追跡対象データにアクセス可能なアプリケーション、サービス、クライアント端末Ｃなどのエンティティを特定する。エンティティが特定されなかった場合（ステップＳ７０７：Ｎｏ）、ステップＳ７０３に戻って、あらたなＬＤＳの選択を待ち受ける。
【００７９】
一方、エンティティが特定された場合（ステップＳ７０７：Ｙｅｓ）、管理者端末１１０の操作入力による、特定されたエンティティのログの指定を待ち受ける（ステップＳ７０８：Ｎｏ）。ログが指定された場合（ステップＳ７０８：Ｙｅｓ）、指定ログの中から、ＬＤＳに相当するログレコードを検索する（ステップＳ７０９）。
【００８０】
たとえば、指定ログの中にＬＤＳに記録されている日時以降の日時が記録されているログレコードがある場合、当該ログレコードをＬＤＳ相当のログレコードとして指定ログから抽出する。同様に、指定ログの中にＬＤＳに記録されている追跡対象データ量と同一データ量のログレコードがある場合、当該ログレコードをＬＤＳ相当のログレコードとして指定ログから抽出する。
【００８１】
そして、ＬＤＳ相当のログレコードがない場合（ステップＳ７１０：Ｎｏ）、ステップＳ７０７に戻る。一方、ＬＤＳ相当のログレコードがあった場合（ステップＳ７１０：Ｙｅｓ）、追跡候補のクライアント端末Ｃが特定されたか否かを判断する（ステップＳ７１１）。具体的には、たとえば、検索されたログレコードの中に、ユーザＩＤが含まれている場合には、当該ユーザＩＤのクライアント端末Ｃを、追跡候補のクライアント端末Ｃとして特定する。
【００８２】
また、検索されたログレコードに直接ユーザＩＤが記録されていない場合であっても、図３に示したＥＪＢサーバ３００のように、ＥＪＢオブジェクト識別情報が記録されているときには、共有ストレージ３０８により関連付けられているユーザＩＤを検出することができる。この場合、共有ストレージ３０８に関連付けられているユーザＩＤのクライアント端末Ｃを、追跡候補のクライアント端末Ｃとして特定する。
【００８３】
つぎに、特定された場合（ステップＳ７１１：Ｙｅｓ）、特定されたクライアント端末Ｃの操作ログを取得する（ステップＳ７１２）。そして、取得された操作ログの中から、追跡対象データの取得後におけるログレコードを抽出する（ステップＳ７１３）。この後、抽出されたログレコードに基づいて、特定されたクライアント端末Ｃのユーザに関する不審度算出処理を実行する（ステップＳ７１４）。不審度算出処理の具体的処理については後述する。なお、特定されなかった場合（ステップＳ７１１：Ｎｏ）、ステップＳ７０７に戻る。
【００８４】
そして、特定されたクライアント端末Ｃユーザに関する不審度に基づいて追跡結果を表示する（ステップＳ７１５）。図８は、追跡結果の表示画面の一例を示す説明図である。図８によれば、不審度がしきい値以上のログレコード８００が強調表示（網掛け）されている。この後、他のＤＢアクセスログレコードを用いて追跡をおこなう場合には（ステップＳ７１６：Ｎｏ）、ステップＳ７０３に戻る。
【００８５】
一方、追跡をおこなわず、追跡を終了する場合には（ステップＳ７１６：Ｙｅｓ）、一連の処理を終了する。この監査証跡追跡処理手順によれば、追跡対象データからクライアント端末Ｃまでの追跡経路を探索することができる。
【００８６】
つぎに、ステップＳ７１４で示した不審度算出処理について具体的に説明する。図９は、不審度の操作に関する配点表を示す図表であり、図１０は、不審度の連続操作に関する配点表を示す図表であり、図１１は、不審度の加重係数表を示す図表である。
【００８７】
図９において、左端の記号ａ〜ｇは、操作内容を特定する識別記号であり、右端の数字は、その点数を示している。たとえば、識別記号ｃの操作内容は『印刷』であり、その点数は『８』である。したがって、ログレコードに記録されている操作内容が『印刷』である場合、点数『８』を読み出す。
【００８８】
また、図１０の配点表は、連続操作の場合に加点される配点表である。たとえば、識別記号ｂから識別記号ｆへの連続操作『ｂ→ｆ』は、『ブラウザ等でデータファイル保存（保存先がリムーバブルディスク以外）』して、その後に『添付ファイル付きメール送信』をしたことを示しているが、その連続操作に加点される点数は、図１０の右端により『３』である。
【００８９】
また、図１１に示した加重係数表は、操作ログレコードの記録日時（タイムスタンプ）が、図１１に示した時間に該当する場合には、その係数が読み出される。たとえば、タイムスタンプが『残業時間内』である場合には、係数『１．２』が読み出される。
【００９０】
つぎに、ステップＳ７１４で示した不審度算出処理手順について説明する。図１２は、ステップＳ７１４で示した不審度算出処理手順を示すフローチャートである。ここでは、ログレコードに記録されている操作内容が、『ｃ→ｄ→ｅ→ａ→ｇ→ｂ→ｆ→ｃ』（図９に示した識別記号を参照。）である場合について説明する。
【００９１】
まず、ログレコードに記録されている操作内容に対応する点数を、図９に示した配点表から抽出して加算する（ステップＳ１２０１）。たとえば、上記操作内容『ｃ→ｄ→ｅ→ａ→ｇ→ｂ→ｆ→ｃ』では、『８，４，３，１０，５，５，５，８』であるため、加算すると『４８』点である。
【００９２】
つぎに、ログレコードに記録されている連続操作内容に対応する点数を、図１０に示した配点表から抽出して加算する（ステップＳ１２０２）。たとえば、上記操作内容『ｃ→ｄ→ｅ→ａ→ｇ→ｂ→ｆ→ｃ』には、図１０に示した連続操作『ｄ→ｅ』および『ｂ→ｆ』が含まれているため、連続操作『ｄ→ｅ』の『３』点と、連続操作『ｂ→ｆ』の『３』点とを、ステップＳ１２０１で算出された『４８』点に加算して、『５４』点となる。
【００９３】
そして、ログレコードに記録されているタイムスタンプに対応する加重係数を、図１１に示した係数表から抽出し、ステップＳ１２０２で算出された点数と乗算する（ステップＳ１２０３）。たとえば、タイムスタンプに示されている日時が『残業時間内』である場合、係数『１．２』を、ステップＳ１２０２で算出された『５４』点に乗算して、『６４．８』点となる。
【００９４】
このように、情報システム１００内のあらゆる監査証跡（ログ）に基づいて、ＤＢ１３０にアクセスしたクライアント端末Ｃを特定することにより、そのクライアント端末Ｃのユーザを、情報漏洩をした不審者候補として絞り込むことができる。また、クライアント端末Ｃの操作ログを分析して不審度を得ることにより、不審者候補の中から不審者を特定することができる。
【００９５】
つぎに、この発明の実施の形態にかかる管理サーバ１０５における他の監査証跡（ログ）追跡処理手順について説明する。図１３は、この発明の実施の形態にかかる管理サーバ１０５における他の監査証跡（ログ）追跡処理手順を示すフローチャートである。図１３において、管理者端末１１０から検索条件の入力を待ち受ける（ステップＳ１３０１：Ｎｏ）。検索条件としては、たとえば、アクセス日時、システムＩＤ、アクセス許可フラグ、アクセス対象データ名、アクセス対象データ量、アクセス時間、ユーザＩＤなどが挙げられる。
【００９６】
そして、検索条件が入力された場合（ステップＳ１３０１：Ｙｅｓ）、入力された検索条件に合致するＤＢアクセスログレコードを、ＤＢアクセスログ３２０の中から検索する（ステップＳ１３０２）。そして、検索結果であるｎ個のＤＢアクセスログレコードＬＤの中から、任意のＤＢアクセスログレコードＬＤ（ｉ）（ｉ＝１，２，・・・，ｎ）を抽出する（ステップＳ１３０３）。
【００９７】
この後、未処理のクライアント端末Ｃの操作ログを設定（読出し）して（ステップＳ１３０４）、ログレコードＬＤ（ｉ）のタイムスタンプに示されている日時と同記録時間帯のログレコードＬＣを、設定された操作ログから抽出する（ステップＳ１３０５）。この後、抽出されたログレコードＬＣについて、図１２に示した不審度算出処理を実行する（ステップＳ１３０６）。算出された不審度がしきい値以上でない場合（ステップＳ１３０７：Ｎｏ）、ステップＳ１３０９に移行する。
【００９８】
一方、算出された不審度がしきい値以上である場合（ステップＳ１３０７：Ｙｅｓ）、ログレコードＬＣをログレコードＬＣ（ｊ）（ｉ＝１，２，・・・，ｍ）として記録する（ステップＳ１３０８）。つぎに、ｉをインクリメントして（ステップＳ１３０９）、ｉ＞ｎでない場合（ステップＳ１３１０：Ｎｏ）、ステップＳ１３０５に戻る。一方、ｉ＞ｎである場合（ステップＳ１３１０：Ｙｅｓ）、未処理のクライアント端末Ｃがあるか否かを判断する（ステップＳ１３１１）。未処理のクライアント端末Ｃがある場合（ステップＳ１３１１：Ｙｅｓ）、ステップＳ１３０４に戻る。
【００９９】
一方、未処理のクライアント端末Ｃがない場合（ステップＳ１３１１：Ｎｏ）、ｎ個のログレコードＬＤ（ｉ）とｍ個のログレコードＬＣ（ｊ）とのユーザＩＤの同一性を照合する（ステップＳ１３１２）。具体的には、ログレコードＬＤ（ｉ）に記録されているユーザＩＤと、ログレコードＬＣ（ｊ）に記録されているユーザＩＤとの一致判定をおこなう。
【０１００】
ユーザＩＤが一致するログレコードＬＤ（ｉ），ＬＣ（ｊ）の組み合わせがある場合（ステップＳ１３１３：Ｙｅｓ）、ログレコードＬＤ（ｉ）からログレコードＬＣ（ｊ）に到達することとなり、図８に示したように、照合されたユーザＩＤを含むログレコードＬＤ（ｉ）を追跡結果として表示する（ステップＳ１３１４）。なお、ステップＳ１３１２において照合されなかった場合（ステップＳ１３１３：Ｎｏ）、一連の処理を終了する。
【０１０１】
この監査証跡（ログ）追跡処理手順によれば、追跡対象データとクライアント端末Ｃにおける操作とを付き合わせることにより、追跡対象データを情報漏洩したクライアント端末Ｃを特定することができる。
【０１０２】
また、ステップＳ１３１３において、ユーザＩＤが一致するログレコードＬＤ（ｉ），ＬＣ（ｊ）の組み合わせがある場合（ステップＳ１３１３：Ｙｅｓ）、ログレコードＬＤ（ｉ）をＬＤＳとして、図７に示した監査証跡（ログ）追跡処理をステップＳ７０４から実行することとしてもよい。この場合、ステップＳ７１３で抽出されるログレコードが、ログレコードＬＤ（ｉ）に記録されているユーザＩＤと一致するログレコードＬＣ（ｊ）である場合、ログレコードＬＤ（ｉ）からログレコードＬＣ（ｊ）に到達することを確認することができる。
【０１０３】
（監査証跡追跡装置の機能的構成の一例）
つぎに、この発明の実施の形態にかかる監査証跡追跡装置の機能的構成の一例について説明する。図１４は、この発明の実施の形態にかかる監査証跡追跡装置の機能的構成の一例を示すブロック図である。
【０１０４】
図１４において、監査証跡追跡装置１４００は、収集部１４０１と、入力部１４０２と、検索処理部１４０３と、アクセス元特定部１４０４と、クライアント端末特定部１４０５と、算出部１４０６と、出力部１４０７と、から構成されており、図１に示した管理サーバ１０５に相当する。
【０１０５】
収集部１４０１は、情報システム１００内におけるＷｅｂサーバ１０１が記録するＷｅｂアクセスログ、メールサーバ１０２が記録する送受信ログ、ＤＢサーバ１０３が記録するアクセス権操作ログ、業務アプリケーションサーバ１０４が記録するログ（たとえば、図３に示したＤＢアクセスログ３２０）、クライアント端末Ｃの操作ログや、その他共有ストレージ３０８を収集する。
【０１０６】
また、入力部１４０２は、データベースに記憶されている追跡対象データに関する検索条件の入力を受け付ける。具体的には、たとえば、図７のステップＳ７０１で示した入力処理をおこなう。
【０１０７】
また、検索処理部１４０３は、第１の検索部１４１１と第２の検索部１４１２と第３の検索部１４１３とを備える。第１の検索部１４１１は、データベースに対してアクセスがあった場合に記録されるアクセスログから、入力部１４０２によって入力された検索条件に合致する第１のログレコードを検索する。具体的には、たとえば、図７のステップＳ７０２で示したＤＢアクセスログレコードの検索処理をおこなう。第２の検索部１４１２および第３の検索部１４１３については後述する。
【０１０８】
また、アクセス元特定部１４０４は、第１の検索部１４１１によって検索された第１のログレコードに基づいて、当該第１のログレコードの記録日時に追跡対象データにアクセス可能なアクセス元を特定する。具体的には、たとえば、ステップＳ７０２で示したＤＢアクセスログレコードのタイムスタンプに示されている記録日時ＴLDSにおいて、追跡対象データにアクセス可能なアクセス元、たとえば、クライアント端末ＣおよびＤＢサーバ１０３以外のＷｅｂサーバ１０１、メールサーバ１０２、業務アプリケーションサーバ１０４を特定する。より具体的には、図７のステップＳ７０７で示した特定処理をおこなう。
【０１０９】
また、第２の検索部１４１２は、アクセス元特定部１４０４によって特定されたアクセス元のログの中から、第１のログレコードに相当する第２のログレコードを検索する。具体的には、たとえば、図７のステップＳ７０９で示した、ＬＤＳに相当するログレコード（第２のログレコード）の検索処理をおこなう。
【０１１０】
また、クライアント端末特定部１４０５は、第２の検索部１４１２によって検索された第２のログレコードに基づいて、追跡対象データにアクセスしたクライアント端末Ｃを特定する。具体的には、たとえば、図７のステップＳ７１１で示した特定処理をおこなう。
【０１１１】
また、第３の検索部１４１３は、クライアント端末特定部１４０５によって特定されたクライアント端末Ｃの操作ログの中から、当該クライアント端末Ｃが追跡対象データを取得した後の第３のログレコードを検索する。具体的には、たとえば、図７のステップＳ７１３のログレコードの抽出処理をおこなう。
【０１１２】
また、算出部１４０６は、第３の検索部１４１３によって検索された第３のログレコードに基づいて、クライアント端末Ｃを操作したユーザの不審度を算出する。具体的には、たとえば、図７のステップＳ７１５（図１２のステップＳ１２０１〜ステップＳ１２０３）で示した不審度算出処理をおこなう。
【０１１３】
また、出力部１４０７は、算出部１４０６によって算出された算出結果に基づいて、追跡対象データの追跡結果を出力する。具体的には、たとえば、図７のステップＳ７１５で示した追跡結果の表示処理をおこなって、図８に示した追跡結果を示す表示画面をディスプレイ２０８に表示する。
【０１１４】
なお、上述した収集部１４０１、入力部１４０２、検索処理部１４０３、アクセス元特定部１４０４、クライアント端末特定部１４０５、算出部１４０６、および出力部１４０７は、具体的には、たとえば、図２に示したＲＯＭ２０２、ＲＡＭ２０３、ＨＤ２０５などの記録媒体に記録されたプログラムを、ＣＰＵ２０１が実行することによって、またはＩ／Ｆ２０９によって、その機能を実現する。
【０１１５】
（監査証跡追跡装置の機能的構成の他の例）
つぎに、この発明の実施の形態にかかる監査証跡追跡装置の機能的構成の他の例について説明する。図１５は、この発明の実施の形態にかかる監査証跡追跡装置の機能的構成の他の例を示すブロック図である。なお、図１４に示した構成と同一構成には同一符号を付し、その説明を省略する。
【０１１６】
図１５において、監査証跡追跡装置１５００は、収集部１４０１と、入力部１４０２と、検索処理部１５０１と、照合部１５０２と、算出部１５０３と、判定部１５０４と、出力部１５０５と、から構成されており、図１に示した管理サーバ１０５に相当する。
【０１１７】
検索処理部１５０１は、第１の検索部１５１１と、第２の検索部１５１２とを備えている。第１の検索部１５１１は、データベースに対してアクセスがあった場合に記録されるアクセスログから、入力部１４０２によって入力された検索条件に合致する第１のログレコードを検索する。具体的には、たとえば、図１３のステップＳ１３０２で示したＤＢアクセスログレコード（第１のログレコード）の検索処理をおこなう。
【０１１８】
また、第２の検索部１５１２は、クライアント端末Ｃの操作ログの中から、第１の検索部１５１１によって検索された第１のログレコードの記録日時の時間帯に含まれる記録日時の第２のログレコードを検索する。具体的には、たとえば、図１３のステップＳ１３０５で示したログレコードＬＣ（第２のログレコード）の抽出処理をおこなう。
【０１１９】
また、照合部１５０２は、第１のログレコードと第２の検索部１５１２によって検索された第２のログレコードとに記録されているユーザ識別情報との同一性を照合する。具体的には、たとえば、図１３のステップＳ１３１２で示したユーザＩＤの同一性の照合処理をおこなう。
【０１２０】
また、出力部１５０５は、照合部１５０２によって照合された照合結果に基づいて、追跡対象データの追跡結果を出力する。具体的には、たとえば、図１３のステップＳ１３１３およびステップＳ１３１４で示した追跡結果の表示処理をおこなって、図８に示した追跡結果を示す表示画面をディスプレイ２０８に表示する。
【０１２１】
また、算出部１５０３は、第２の検索部１５１２によって検索された第２のログレコードに基づいて、クライアント端末Ｃを操作したユーザの不審度を算出する。具体的には、たとえば、第２のログレコードであるログレコードＬＣについて、図１３のステップＳ１３０６（図１２のステップＳ１２０１〜ステップＳ１２０３）で示した不審度算出処理をおこなう。
【０１２２】
また、判定部１５０４は、算出部１５０３によって算出された不審度が所定のしきい値以上であるか否かを判定する。具体的には、たとえば、図１３のステップＳ１３０７で示した判定処理をおこなう。この場合、照合部１５０２は、判定結果に基づいて、すなわち、不審度が所定のしきい値以上であるログレコードＬＣを第２のログレコードとして、第１のログレコードのユーザＩＤとの同一性を照合する。
【０１２３】
なお、上述した収集部１４０１、入力部１４０２、検索処理部１５０１、照合部１５０２、算出部１５０３、判定部１５０４、および出力部１５０５は、具体的には、たとえば、図２に示したＲＯＭ２０２、ＲＡＭ２０３、ＨＤ２０５などの記録媒体に記録されたプログラムを、ＣＰＵ２０１が実行することによって、またはＩ／Ｆ２０９によって、その機能を実現する。
【０１２４】
このように、上述した実施の形態によれば、たとえば、悪意のある情報システム１００内のユーザが、情報システム１００（たとえば、顧客情報検索システム）を利用して、当該ユーザのクライアント端末ＣからＤＢ１３０にアクセスしてＤＢ１３０内の顧客情報をダウンロードし、ダウンロードした顧客情報を電子メールで自宅のパーソナル・コンピュータに送信する。この後、当該顧客情報の漏洩が発覚した場合、管理者は、管理者端末１１０から管理サーバ１０５にアクセスし、情報漏洩をおこなったユーザとその情報漏洩操作履歴を追跡することができる。
【０１２５】
つぎに、この発明の実施の形態にかかる管理サーバ１０５におけるさらに他の監査証跡（ログ）追跡処理手順について説明する。ここでは、上述した不審度算出処理（ステップＳ７１４またはステップＳ１３０６）において、ユーザによって操作されたファイルの情報機密度をさらに考慮して不審度を算出する。
【０１２６】
情報機密度は、クライアント端末Ｃの操作対象となるファイルおよびＤＢ１３０内に設けられたＤＢテーブルごとに定義されている。具体的には、たとえば、情報機密度は、各ファイルまたはＤＢテーブルの内容の重要度に応じて設定された機密度点数（整数値）によって示され、機密度管理ファイルにファイル名などと関連付けて保存される。なお、ファイルごとに設定された機密度点数を、ファイル名と関連付けて直接ＤＢ１３０に保存する構成としてもよい。
【０１２７】
機密度管理ファイルは、データ内容の重要度の変更を追跡するために用いる、いわばデータ内容の監査証跡である。機密度管理ファイルは、ファイルに対して操作をおこなったクライアント端末ＣまたはＤＢ１３０を識別するための端末識別子と、クライアント端末ＣのファイルのフルパスまたはＤＢ１３０内のＤＢテーブル名と、ファイルごとに定義された情報機密度を示す機密度点数と、機密度点数が定義された時刻を示す機密度開始時刻と、定義された機密度点数が変更された時刻を示す機密度終了時刻と、を含んで構成されている。
【０１２８】
また、機密度管理ファイルは、たとえば、データをカンマで区切って並べたＣＳＶ（Ｃｏｍｍａ Ｓｅｐａｒａｔｅｄ Ｖａｌｕｅｓ）形式で記述されており、端末識別子、ファイルのフルパス、機密度点数、機密度開始時刻および機密度終了時刻を示すデータが順に並べられた状態で保存されている。
【０１２９】
さらに、機密度管理ファイルに保存される内容は、ユーザによるデータ内容の変更にともなって時間的に変化していく。このため、機密度管理ファイルは、一定時間（たとえば１日）ごとに内容を更新するべきかどうか調べる必要がある。ここで、機密度管理ファイルの内容を更新する際に、管理サーバ１０５が実行する監査証跡（ログ）更新処理について説明する。
【０１３０】
図１６−１および図１６−２は、この発明にかかる管理サーバ１０５における監査証跡（ログ）更新処理手順を示すフローチャートである。ここでは、ＤＢ１３０などに保存されているログが時間的に古い順に保存されている性質を利用して、古いデータから順に保存されているすべてのデータについて監査証跡の追跡をおこなう。図１６−１において、管理サーバ１０５は、ＤＢサーバ１０３に記録されている監査証跡となるＤＢログを１行読み込む（ステップＳ１６０１）。
【０１３１】
監査証跡となるＤＢログには、ＤＢログが格納されているＤＢテーブルのテーブル名、ＤＢサーバ１０３にアクセスしたアクセス日時、クライアント端末Ｃの識別情報およびＷｅｂサーバ１０１のＩＰアドレスを示す情報が含まれている。なお、ＤＢテーブルのテーブル名には、ＤＢログに含まれている情報の重要度を示す情報機密度が付されており、この情報機密度は機密度点数によってあらわされている。
【０１３２】
つぎに、ステップＳ１６０１においてＤＢログが読み込めたか否かを判断する（ステップＳ１６０２）。そして、ログが読み込めた場合には（ステップＳ１６０２：Ｙｅｓ）、読み込んだＤＢログの中にクライアント端末Ｃの識別情報があるか否かを判断する（ステップＳ１６０３）。
【０１３３】
ここで、クライアント端末Ｃの識別情報があった場合（ステップＳ１６０３：Ｙｅｓ）、読み込んだＤＢログからＷｅｂのＩＰアドレスを取得する（ステップＳ１６０４）。なお、クライアント端末Ｃの識別情報がなかった場合には（ステップＳ１６０３：Ｎｏ）、ステップＳ１６０１に戻る。
【０１３４】
つぎに、ステップＳ１６０４において取得したＷｅｂのＩＰアドレスに対応したＷｅｂファイルを開く（ステップＳ１６０５）。そして、開いたＷｅｂファイルのＷｅｂログを１行読み込む（ステップＳ１６０６）。監査証跡となるＷｅｂログには、Ｗｅｂサーバ１０１にアクセスしたアクセス日時、クライアント端末Ｃの識別情報を示す情報が含まれている。
【０１３５】
つぎに、ステップＳ１６０１において読み込んだＤＢログに含まれるアクセス日時と、ステップＳ１６０６において読み込んだＷｅｂログに含まれるアクセス日時とがほぼ一致しているか否かを判断する（ステップＳ１６０７）。ここで、一致していない場合は（ステップＳ１６０７：Ｎｏ）、ＤＢログに含まれるアクセス日時がＷｅｂログに含まれるアクセス日時以降の日時か否かを判断する（ステップＳ１６０８）。
【０１３６】
ここで、ＤＢログに含まれるアクセス日時がＷｅｂログに含まれるアクセス日時以降の日時であった場合は（ステップＳ１６０８：Ｙｅｓ）、ステップＳ１６０６に戻る。また、ＤＢログに含まれるアクセス日時がＷｅｂログに含まれるアクセス日時以前の日時であった場合は（ステップＳ１６０８：Ｎｏ）、ステップＳ１６０１に戻る。
【０１３７】
ステップＳ１６０７において、ＤＢログに含まれるアクセス日時とＷｅｂログに含まれるアクセス日時とがほぼ一致した場合は（ステップＳ１６０７：Ｙｅｓ）、ＤＢログに含まれるクライアント端末Ｃの識別情報とＷｅｂログに含まれるクライアント端末Ｃの識別情報とが一致しているか否かを判断する（ステップＳ１６０９）。
【０１３８】
ここで、クライアント端末Ｃの識別情報が一致している場合は（ステップＳ１６０９：Ｙｅｓ）、クライアント端末Ｃの識別情報からユーザＩＤを特定し、クライアント端末ＣのＩＰアドレスを取得する（ステップＳ１６１０）。具体的には、たとえば、図３に示した共有ストレージ３０８によりクライアント端末Ｃの識別情報に関連付けられてユーザＩＤが記録されている場合には、ステップＳ１６０９において一致したクライアント端末Ｃの識別情報に関連付けられたユーザＩＤを検出することによって、ユーザＩＤを特定し、ユーザＩＤに対応したＩＰアドレスを取得することができる。
【０１３９】
ステップＳ１６１０においてクライアント端末ＣのＩＰアドレスを取得した後は、図１６−２に示すフローチャートのステップＳ１６１１に移行する。なお、クライアント端末Ｃの識別情報が一致していない場合は（ステップＳ１６０９：Ｎｏ）、ステップＳ１６０６に戻る。
【０１４０】
つぎに、ステップＳ１６１０において取得したＩＰアドレスに対応したクライアント端末Ｃの操作ログファイルを開く（ステップＳ１６１１）。そして、開いた操作ログファイルの操作ログを１行読み込む（ステップＳ１６１２）。監査証跡となる操作ログには、クライアント端末ＣがＷｅｂサーバ１０１などにアクセスしたアクセス日時、クライアント端末ＣのＩＰアドレスおよびユーザによっておこなわれたファイル操作を示す情報が含まれている。
【０１４１】
つぎに、ステップＳ１６０６において読み込んだＷｅｂログに含まれるアクセス日時と、ステップＳ１６１２において読み込んだ操作ログに含まれるアクセス日時とがほぼ一致しているか否かを判断する（ステップＳ１６１３）。ここで、一致していない場合は（ステップＳ１６１３：Ｎｏ）、Ｗｅｂログに含まれるアクセス日時が操作ログに含まれるアクセス日時以降の日時か否かを判断する（ステップＳ１６１４）。
【０１４２】
ここで、Ｗｅｂログに含まれるアクセス日時が操作ログに含まれるアクセス日時以降の日時であった場合は（ステップＳ１６１４：Ｙｅｓ）、ステップＳ１６１２に戻る。また、Ｗｅｂログに含まれるアクセス日時が操作ログに含まれるアクセス日時以前の日時であった場合は（ステップＳ１６１４：Ｎｏ）、図１６−１に示すステップＳ１６０１に移行する。
【０１４３】
ステップＳ１６１３において、Ｗｅｂログに含まれるアクセス日時と操作ログに含まれるアクセス日時とがほぼ一致した場合は（ステップＳ１６１３：Ｙｅｓ）、ＷｅｂのＩＰアドレスとクライアント端末ＣのＩＰアドレスとが一致しているか否かを判断する（ステップＳ１６１５）。
【０１４４】
ここで、ＩＰアドレスが一致している場合は（ステップＳ１６１５：Ｙｅｓ）、ユーザによって操作された操作内容がファイルの作成か否かを判断する（ステップＳ１６１６）。具体的には、たとえば、ユーザがクライアント端末ＣにおいてＷｅｂブラウザを用いてファイルを作成したか否か判断する。
【０１４５】
そして、操作内容が作成であった場合は（ステップＳ１６１６：Ｙｅｓ）、作成されたファイルに関する情報を機密度管理ファイルに保存する（ステップＳ１６１７）。その後、図１６−１に示すステップＳ１６０１に移行して、すべてのＤＢログの読み込みが終了するまで図１６−１および図１６−２に示すフローチャートによる一連の処理を繰り返す。なお、ステップＳ１６１５において、ＩＰアドレスが一致していない場合は（ステップＳ１６１５：Ｎｏ）、ステップＳ１６１２に戻る。
【０１４６】
ここで、作成されたファイルに関する情報とは、ファイルの作成日時、ファイル名、クライアント端末Ｃの識別情報および機密度点数などが含まれる。また、機密度管理ファイルに保存される機密度点数は、ステップＳ１６０１において読み込まれたＤＢログに含まれるＤＢテーブルのテーブル名に付されている機密度点数と同様のものである。
【０１４７】
そして、すべてのＤＢログの読み込みが終了し、ステップＳ１６０２においてＤＢログが読み込めないと判断された場合は（ステップＳ１６０２：Ｎｏ）、図１６−１および図１６−２に示すフローチャートによる一連の処理を終了する。なお、ステップＳ１６１６において操作内容が作成でなかった場合は（ステップＳ１６１６：Ｎｏ）、ステップＳ１６１２に戻る。
【０１４８】
つぎに、クライアント端末Ｃの操作ログファイルを追跡することによって機密度管理ファイルの内容を更新する際の、管理サーバ１０５の監査証跡更新処理手順について説明する。図１７は、この発明にかかる管理サーバ１０５における他の監査証跡（ログ）更新処理手順を示すフローチャートである。なお、ここで説明する監査証跡更新処理は、情報システム１００内のすべてのクライアント端末Ｃの操作ログファイルに対して、一定時間（たとえば１日）ごとに実行されるようにしてもよい。
【０１４９】
図１７において、管理サーバ１０５は、クライアント端末Ｃの操作ログファイルを開く（ステップＳ１７０１）。そして、開いた操作ログファイルの操作ログを１行読み込む（ステップＳ１７０２）。操作ログには、上述したように、クライアント端末ＣがＷｅｂサーバ１０１などにアクセスしたアクセス日時、クライアント端末ＣのＩＰアドレスおよびユーザによっておこなわれたファイル操作を示す情報が含まれている。
【０１５０】
つぎに、読み込んだ操作ログに基づいて、ユーザによって操作されたファイルの操作内容を判断する（ステップＳ１７０３）。ここで、ユーザによって操作される操作内容は、たとえば、ファイルの作成、ファイルの削除、ファイルの変名（リネーム）、ファイルの複写（コピー）、ファイル操作するためのプログラム（たとえばＷｅｂブラウザ）を起動、クライアント端末Ｃの電源のＯＮ／ＯＦＦなどを含む。
【０１５１】
そして、ユーザによって操作されたファイルの操作内容に応じて、機密度管理ファイルの内容を更新する（ステップＳ１７０４）。ここで、図１８−１〜図１８−６を用いて、ファイルの操作内容に応じて変化する機密度管理ファイルの内容についての詳細な説明をする。
【０１５２】
図１８−１は、新規ファイルが作成された場合の一例を示す説明図である。図１８−１に示すように、ユーザのクライアント端末Ｃにおいて、時刻「ｔ１」にファイル名「Ｆ」の新規ファイルが作成されている。ここで、ユーザのクライアント端末Ｃを示す端末識別子は、「ＣＯＭ１」であり、ファイル名「Ｆ」のファイルの情報機密度を示す機密度点数は「ｓ１」である。
【０１５３】
このとき、機密度管理ファイルには、『ＣＯＭ１，Ｆ，ｓ１，ｔ１』のデータがあらたに保存される。なお、機密度点数「ｓ１」は、時刻「ｔ１」以降の任意の時刻「Ｔ１」の時点では継続して設定されているため、機密度点数「ｓ１」の機密度終了時刻はここでは保存しない。
【０１５４】
また、ユーザが新規ファイル「Ｆ」を作成した時点で、すでに同一ファイル名「Ｆ」のファイルが存在している場合は、機密度点数をあらたに作成した新規ファイル「Ｆ」の内容に基づいて設定されている機密度点数に更新して保存するようにしてもよい。
【０１５５】
つぎに、図１８−２は、同一ファイル名で異なる情報機密度のファイルが保存された場合の一例を示す説明図である。図１８−２に示すように、時刻「ｔ１」においてファイル名「Ｆ」の新規ファイルが作成された後、時刻「ｔ２」において同一ファイル名「Ｆ」でファイルが上書き保存されている。
【０１５６】
具体的には、同一のファイル名ではあるがファイルの情報機密度がそれぞれ異なるため、ファイル名「Ｆ」のファイルが上書き保存されたことによってファイルの内容が更新され、機密度点数が「ｓ１」から「ｓ２」に変わっている。また、機密度点数が「ｓ１」から「ｓ２」に変わったことにより、機密度点数「ｓ１」の機密度終了時刻「ｔ２」および機密度点数「ｓ２」の機密度開始時刻「ｔ２」が確定する。
【０１５７】
このため、機密度管理ファイルには、機密度点数「ｓ１」の機密度終了時刻および時刻「ｔ２」において上書き保存されたファイルに関するデータがあらたに保存される。具体的に、機密度管理ファイルには、『ＣＯＭ１，Ｆ，ｓ１，ｔ１』および『ＣＯＭ１，Ｆ，ｓ２，ｔ２』が保存される。なお、機密度点数「ｓ２」は、時刻「ｔ２」以降の任意の時刻「Ｔ２」の時点では継続して設定されているため、機密度点数「ｓ２」の機密度終了時刻はここでは書き込まない。
【０１５８】
つぎに、図１８−３は、ファイルが削除された場合の一例を示す説明図である。図１８−３に示すように、時刻「ｔ２」においてファイル名「Ｆ」のファイルが上書き保存された後、時刻「ｔ３」においてファイルが削除されている。具体的には、ファイルが削除されることによって、時刻「ｔ２」において設定された機密度点数「ｓ２」の機密度終了時刻が時刻「ｔ３」に確定する。
【０１５９】
このため、時刻「ｔ２」において上書き保存されたファイルの機密度終了時刻があらたに保存される。具体的には、機密度管理ファイルには、『ＣＯＭ１，Ｆ，ｓ１，ｔ１，ｔ２』および『ＣＯＭ１，Ｆ，ｓ２，ｔ２，ｔ３』が保存される。なお、時刻「ｔ３」以降の任意の時刻「Ｔ３」の時点ではファイル「Ｆ」は存在しないため、機密度点数も存在しない。
【０１６０】
つぎに、図１８−４は、同一ファイル名であらたにファイルが作成された場合の一例を示す説明図である。図１８−４に示すように、時刻「ｔ３」においてファイルが削除された後、時刻「ｔ４」においてファイル名「Ｆ」の新規ファイルが作成されている。具体的には、ファイル名「Ｆ」の新規ファイルが作成されたことにより、時刻「ｔ４」において機密度点数「ｓ４」および機密度点数「ｓ４」の機密度開始時刻が確定する。
【０１６１】
これにより、機密度管理ファイルには、時刻「ｔ４」において作成されたファイルに関するデータがあらたに保存される。具体的に、機密度管理ファイルには、『ＣＯＭ１，Ｆ，ｓ１，ｔ１』，『ＣＯＭ１，Ｆ，ｓ２，ｔ２』および『ＣＯＭ１，Ｆ，ｓ４，ｔ４』が保存される。なお、機密度点数「ｓ４」は、時刻「ｔ４」以降の任意の時刻「Ｔ４」の時点では継続して設定されているため、機密度点数「ｓ４」の機密度終了時刻はここでは書き込まない。
【０１６２】
つぎに、図１８−５は、ファイルが複写（コピー）された場合の一例を示す説明図である。図１８−５に示すように、時刻「ｔ１」においてファイル名「Ｆ」の新規ファイルが作成された後、時刻「ｔ５」においてファイル名「Ｆ」のファイルを複写してファイル名「Ｆ２」のあらたな新規ファイルが作成されている。
【０１６３】
ここで、ファイル名「Ｆ」のファイルを複写することによって作成されたファイル名「Ｆ２」の新規ファイルの内容は、ファイル名「Ｆ」のファイル内容と同一である。このため、ファイル名「Ｆ２」のファイルの機密度点数として、ファイル名「Ｆ」の機密度点数と同一の「ｓ１」が確定するとともに、ファイル名「Ｆ２」のファイルの機密度点数「ｓ１」の機密度開始時刻「ｔ５」が確定する。
【０１６４】
これにより、機密度管理ファイルには、時刻「ｔ５」において作成されたファイル名「Ｆ２」のファイルに関するデータがあらたに保存される。具体的に、機密度管理ファイルには、『ＣＯＭ１，Ｆ，ｓ１，ｔ１』および『ＣＯＭ１，Ｆ２，ｓ１，ｔ５』が保存される。なお、ファイル名「Ｆ」およびファイル名「Ｆ２」のファイルにおける機密度点数「ｓ１」は、時刻「ｔ５」以降の任意の時刻「Ｔ５」の時点では継続して設定されているため、機密度点数「ｓ１」の機密度終了時刻はここでは書き込まない。
【０１６５】
つぎに、図１８−６は、ファイルのファイル名が変名（リネーム）された場合の一例を示す説明図である。図１８−６に示すように、時刻「ｔ１」においてファイル名「Ｆ」の新規ファイルが作成された後、時刻「ｔ６」においてファイル名「Ｆ」がファイル名「Ｆ２」に変名されている。
【０１６６】
具体的には、ファイル名が変名されることにより、時刻「ｔ１」において設定されたファイル名「Ｆ」の機密度点数「ｓ１」の機密度終了時刻「ｔ６」が確定する。また、ファイル名「Ｆ」からファイル名「Ｆ２」に変名することによって、時刻「ｔ６」においてファイル名「Ｆ２」の機密度点数「ｓ１」および機密度点数「ｓ１」の機密度開始時刻「ｔ６」が確定する。
【０１６７】
これにより、機密度管理ファイルには、『ＣＯＭ１，Ｆ，ｓ１，ｔ１，ｔ６』および『ＣＯＭ１，Ｆ２，ｓ１，ｔ６』が保存される。なお、ファイル名「Ｆ２」の機密度点数「ｓ１」は、時刻「ｔ６」以降の任意の時刻「Ｔ６」の時点では継続して設定されているため、ファイル「Ｆ２」における機密度点数「ｓ１」の機密度終了時刻はここでは書き込まない。
【０１６８】
また、ユーザによっておこなわれた操作が、たとえば、ファイル操作するためのプログラム（たとえばＷｅｂブラウザ）を起動、クライアント端末Ｃの電源のＯＮ／ＯＦＦなどの操作であった場合、機密度管理ファイルの内容の更新はおこなわない。
【０１６９】
ここで、図１７に示すフローチャートの説明に戻る。そして、ステップＳ１７０４において、上述したようにユーザによっておこなわれたファイル操作に応じて、機密度管理ファイルの更新がおこなわれた場合、つぎに、すべての操作ログの読み込みが終了したか否かを判断する（ステップＳ１７０５）。
【０１７０】
ここで、すべての操作ログの読み込みが終了していない場合は（ステップＳ１７０５：Ｎｏ）、ステップＳ１７０２に戻り、すべての操作ログの読み込みが終了するまで一連の処理を繰り返す。そして、ステップＳ１７０５においてすべての操作ログの読み込みが終了した場合は（ステップＳ１７０５：Ｙｅｓ）、本フローチャートによる一連の処理を終了する。
【０１７１】
つぎに、ファイルの情報機密度を考慮して不審度を算出する際の不審度算出処理手順について説明する。図１９は、ステップＳ７１４（またはステップＳ１３０６）で示した不審度算出処理手順を示すフローチャートである。ここでは、クライアント端末Ｃの操作対象となるデータ（ファイルなど）の重要度を示す情報機密度に基づいて、不審度を算出する。
【０１７２】
図１９において、管理サーバ１０５は、クライアント端末Ｃの操作ログファイルを開く（ステップＳ１９０１）。具体的には、たとえば、特定されたクライアント端末Ｃ（たとえば図７に示すステップＳ７１１において特定されたクライアント端末Ｃ）の操作ログファイルを開く。
【０１７３】
そして、開いた操作ログファイルの操作ログを１行読み込む（ステップＳ１９０２）。つぎに、読み込んだ操作ログに基づいて、ユーザによっておこなわれたファイルの操作内容を判断する（ステップＳ１９０３）。具体的には、たとえば、ユーザがブラウザなどでデータファイルを保存（保存先がリムーバブルディスク以外）したか、添付ファイル付きメール送信したか、あるいは、ファイルを印刷したかを判断する。
【０１７４】
つぎに、ステップＳ１９０３において判断された操作内容に基づいて、操作内容に対応する点数を加算する（ステップＳ１９０４）。具体的には、たとえば、操作内容に対応する点数を図９に示した配点表から抽出して加算する。ここで、操作内容に対応する操作が図９に示されていない場合は、点数を加算しない。
【０１７５】
そして、ステップＳ１９０３において判断された操作内容に基づいて、連続操作内容に対応する点数を加算する（ステップＳ１９０５）。具体的には、たとえば、連続操作内容に対応する点数を図１０に示した配点表から抽出して加算する。ここで、連続操作内容に対応する操作が図１０に示されていない場合は、点数を加算しない。
【０１７６】
さらに、ステップＳ１９０２において読み込まれた操作ログに含まれるアクセス日時に対応する加重係数を算出された点数と乗算する（ステップＳ１９０６）。具体的には、ステップＳ１９０２において読み込まれた操作ログに含まれるアクセス日時に基づいて、加重係数を図１１に示した係数表から抽出し、ステップＳ１９０５で算出された点数と乗算する。
【０１７７】
つぎに、機密度管理ファイルから操作されたファイルに対応する機密度点数を取得する（ステップＳ１９０７）。具体的には、ユーザによって操作されたファイルのファイル名に関連付けられて保存されている機密度点数を機密度管理ファイルから取得する。そして、ステップＳ１９０６で算出された点数およびステップＳ１９０７で取得された機密度点数に基づいて、不審度を算出する（ステップＳ１９０８）。具体的には、たとえば、ステップＳ１９０６で算出された点数にステップＳ１９０７で取得された機密度点数を乗算することによって不審度を算出するようにしてもよい。
【０１７８】
この後、すべての操作ログを読み込んだか否かを判断し（ステップＳ１９０９）、すべての操作ログを読み込んだ場合は（ステップＳ１９０９：Ｙｅｓ）、図７に示すステップＳ７１５（または図１３に示すステップＳ１３０７）に移行する。なお、すべての操作ログを読み込んでいない場合は（ステップＳ１９０９：Ｎｏ）、ステップＳ１９０２に戻る。
【０１７９】
以上説明したように、監査証跡追跡装置、監査証跡追跡方法および監査証跡追跡プログラムによれば、監査証跡となるログの収集および分析を容易にすることにより、効率的なログの追跡をおこなって、情報漏洩の抑止力の向上を図ることができるという効果を奏する。
【０１８０】
なお、本実施の形態で説明した監査証跡追跡方法は、予め用意されたプログラムをパーソナル・コンピュータやワークステーションなどのコンピュータで実行することにより実現することができる。このプログラムは、ハードディスク、フレキシブルディスク、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤなどのコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行される。またこのプログラムは、インターネット１２０などのネットワークを介して配布することが可能な伝送媒体であってもよい。
【０１８１】
（付記１）データベースに記憶されている追跡対象データに関する検索条件の入力を受け付ける入力手段と、
前記データベースに対してアクセスがあった場合に記録されるアクセスログの中から、前記入力手段によって入力された検索条件に合致する第１のログレコードを検索する第１の検索手段と、
前記第１の検索手段によって検索された第１のログレコードに基づいて、当該第１のログレコードの記録日時に前記追跡対象データにアクセス可能なアクセス元を特定するアクセス元特定手段と、
前記アクセス元特定手段によって特定されたアクセス元のログの中から、前記第１のログレコードに相当する第２のログレコードを検索する第２の検索手段と、
前記第２の検索手段によって検索された第２のログレコードに基づいて、前記追跡対象データにアクセスしたクライアント端末を特定するクライアント端末特定手段と、
を備えることを特徴とする監査証跡追跡装置。
【０１８２】
（付記２）前記クライアント端末特定手段によって特定されたクライアント端末の操作ログの中から、当該クライアント端末が前記追跡対象データを取得した後の第３のログレコードを検索する第３の検索手段と、
前記第３の検索手段によって検索された第３のログレコードに基づいて、前記クライアント端末を操作したユーザの不審度を算出する算出手段と、
前記算出手段によって算出された算出結果に基づいて、前記追跡対象データの追跡結果を出力する出力手段と、
を備えることを特徴とする付記１に記載の監査証跡追跡装置。
【０１８３】
（付記３）前記算出手段は、
前記第３のログレコードに記録されている前記クライアント端末の操作内容に基づいて、前記不審度を算出することを特徴とする付記２に記載の監査証跡追跡装置。
【０１８４】
（付記４）前記算出手段は、
前記第３のログレコードに記録されている前記クライアント端末の連続操作内容に基づいて、前記不審度を算出することを特徴とする付記２または３に記載の監査証跡追跡装置。
【０１８５】
（付記５）前記算出手段は、
前記第３のログレコードに記録されている前記クライアント端末の操作日時に基づいて、前記不審度を算出することを特徴とする付記２〜４のいずれか一つに記載の監査証跡追跡装置。
【０１８６】
（付記６）前記算出手段は、
前記クライアント端末の操作対象となるデータの重要度を示す情報機密度に基づいて、前記不審度を算出することを特徴とする付記２〜５のいずれか一つに記載の監査証跡追跡装置。
【０１８７】
（付記７）データベースに記憶されている追跡対象データに関する検索条件の入力を受け付ける入力手段と、
前記データベースに対してアクセスがあった場合に記録されるアクセスログの中から、前記入力手段によって入力された検索条件に合致する第１のログレコードを検索する第１の検索手段と、
クライアント端末の操作ログの中から、前記第１の検索手段によって検索された第１のログレコードの記録日時の時間帯に含まれる記録日時の第２のログレコードを検索する第２の検索手段と、
前記第１のログレコードと前記第２の検索手段によって検索された第２のログレコードとに記録されているユーザ識別情報との同一性を照合する照合手段と、
前記照合手段によって照合された照合結果に基づいて、前記追跡対象データの追跡結果を出力する出力手段と、
を備えることを特徴とする監査証跡追跡装置。
【０１８８】
（付記８）前記第２の検索手段によって検索された第２のログレコードに基づいて、前記クライアント端末を操作したユーザの不審度を算出する算出手段と、
前記算出手段によって算出された不審度が所定のしきい値以上であるか否かを判定する判定手段と、を備え、
前記照合手段は、
前記判定手段によって判定された判定結果に基づいて、前記第１のログレコードと前記第２のログレコードとに記録されているユーザ識別情報との同一性を照合することを特徴とする付記７に記載の監査証跡追跡装置。
【０１８９】
（付記９）前記算出手段は、
前記第２のログレコードに記録されている前記クライアント端末の操作内容に基づいて、前記不審度を算出することを特徴とする付記８に記載の監査証跡追跡装置。
【０１９０】
（付記１０）前記算出手段は、
前記第２のログレコードに記録されている前記クライアント端末の連続操作内容に基づいて、前記不審度を算出することを特徴とする付記８または９に記載の監査証跡追跡装置。
【０１９１】
（付記１１）前記算出手段は、
前記第２のログレコードに記録されている前記クライアント端末の操作日時に基づいて、前記不審度を算出することを特徴とする付記８〜１０のいずれか一つに記載の監査証跡追跡装置。
【０１９２】
（付記１２）前記算出手段は、
前記クライアント端末の操作対象となるデータの重要度を示す情報機密度に基づいて、前記不審度を算出することを特徴とする付記８〜１１のいずれか一つに記載の監査証跡追跡装置。
【０１９３】
（付記１３）データベースに記憶されている追跡対象データに関する検索条件の入力を受け付ける入力工程と、
前記データベースに対してアクセスがあった場合に記録されるアクセスログの中から、前記入力工程によって入力された検索条件に合致する第１のログレコードを検索する第１の検索工程と、
前記第１の検索工程によって検索された第１のログレコードに基づいて、当該第１のログレコードの記録日時に前記追跡対象データにアクセス可能なアクセス元を特定するアクセス元特定工程と、
前記アクセス元特定工程によって特定されたアクセス元のログの中から、前記第１のログレコードに相当する第２のログレコードを検索する第２の検索工程と、
前記第２の検索工程によって検索された第２のログレコードに基づいて、前記追跡対象データにアクセスしたクライアント端末を特定するクライアント端末特定工程と、
を含んだことを特徴とする監査証跡追跡方法。
【０１９４】
（付記１４）前記クライアント端末特定工程によって特定されたクライアント端末の操作ログの中から、当該クライアント端末が前記追跡対象データを取得した後の第３のログレコードを検索する第３の検索工程と、
前記第３の検索工程によって検索された第３のログレコードに基づいて、前記クライアント端末を操作したユーザの不審度を算出する算出工程と、
前記算出工程によって算出された算出結果に基づいて、前記追跡対象データの追跡結果を出力する出力工程と、
を含んだことを特徴とする付記１３に記載の監査証跡追跡方法。
【０１９５】
（付記１５）データベースに記憶されている追跡対象データに関する検索条件の入力を受け付ける入力工程と、
前記データベースに対してアクセスがあった場合に記録されるアクセスログの中から、前記入力工程によって入力された検索条件に合致する第１のログレコードを検索する第１の検索工程と、
クライアント端末の操作ログの中から、前記第１の検索工程によって検索された第１のログレコードの記録日時の時間帯に含まれる記録日時の第２のログレコードを検索する第２の検索工程と、
前記第１のログレコードと前記第２の検索工程によって検索された第２のログレコードとに記録されているユーザ識別情報との同一性を照合する照合工程と、
前記照合工程によって照合された照合結果に基づいて、前記追跡対象データの追跡結果を出力する出力工程と、
を含んだことを特徴とする監査証跡追跡方法。
【０１９６】
（付記１６）データベースに記憶されている追跡対象データに関する検索条件の入力を受け付けさせる入力工程と、
前記データベースに対してアクセスがあった場合に記録されるアクセスログの中から、前記入力工程によって入力された検索条件に合致する第１のログレコードを検索させる第１の検索工程と、
前記第１の検索工程によって検索された第１のログレコードに基づいて、当該第１のログレコードの記録日時に前記追跡対象データにアクセス可能なアクセス元を特定させるアクセス元特定工程と、
前記アクセス元特定工程によって特定されたアクセス元のログの中から、前記第１のログレコードに相当する第２のログレコードを検索させる第２の検索工程と、
前記第２の検索工程によって検索された第２のログレコードに基づいて、前記追跡対象データにアクセスしたクライアント端末を特定させるクライアント端末特定工程と、
をコンピュータに実行させることを特徴とする監査証跡追跡プログラム。
【０１９７】
（付記１７）前記クライアント端末特定工程によって特定されたクライアント端末の操作ログの中から、当該クライアント端末が前記追跡対象データを取得した後の第３のログレコードを検索させる第３の検索工程と、
前記第３の検索工程によって検索された第３のログレコードに基づいて、前記クライアント端末を操作したユーザの不審度を算出させる算出工程と、
前記算出工程によって算出された算出結果に基づいて、前記追跡対象データの追跡結果を出力させる出力工程と、
をコンピュータに実行させることを特徴とする付記１６に記載の監査証跡追跡プログラム。
【０１９８】
（付記１８）データベースに記憶されている追跡対象データに関する検索条件の入力を受け付けさせる入力工程と、
前記データベースに対してアクセスがあった場合に記録されるアクセスログの中から、前記入力工程によって入力された検索条件に合致する第１のログレコードを検索させる第１の検索工程と、
クライアント端末の操作ログの中から、前記第１の検索工程によって検索された第１のログレコードの記録日時の時間帯に含まれる記録日時の第２のログレコードを検索させる第２の検索工程と、
前記第１のログレコードと前記第２の検索工程によって検索された第２のログレコードとに記録されているユーザ識別情報との同一性を照合させる照合工程と、
前記照合工程によって照合された照合結果に基づいて、前記追跡対象データの追跡結果を出力させる出力工程と、
をコンピュータに実行させることを特徴とする監査証跡追跡プログラム。
【０１９９】
（付記１９）付記１６〜１８のいずれか一つに記載の監査証跡追跡プログラムを記録したコンピュータに読み取り可能な記録媒体。
【産業上の利用可能性】
【０２００】
以上のように、本発明にかかる監査証跡追跡装置、監査証跡追跡方法および監査証跡追跡プログラムは、情報システムにおける監査証跡の追跡に有用であり、特に、システムＩＤによってアクセスするＤＢサーバを備える情報システムや、情報内容に秘匿性を要するＤＢを有する情報システム、多数のクライアント端末からアクセスを受けるＤＢサーバを有する情報システムに適している。
【図面の簡単な説明】
【０２０１】
【図１】この発明の実施の形態にかかる情報システムの概要を示すシステム構成図である。
【図２】図１に示した各コンピュータ装置のハードウェア構成を示すブロック図である。
【図３】この発明の実施の形態にかかる情報システムの具体的構成を示す説明図である。
【図４】ユーザ認証リクエストの一例を示す説明図である。
【図５】図３に示したＷｅｂサーバにおける監査証跡（ログ）記録処理を示すフローチャートである。
【図６】図３に示したＥＪＢサーバにおける監査証跡（ログ）記録処理を示すフローチャートである。
【図７】この発明の実施の形態にかかる管理サーバにおける監査証跡（ログ）追跡処理手順を示すフローチャートである。
【図８】追跡結果の表示画面の一例を示す説明図である。
【図９】不審度の操作に関する配点表を示す図表である。
【図１０】不審度の連続操作に関する配点表を示す図表である。
【図１１】不審度の加重係数表を示す図表である。
【図１２】ステップＳ７１４で示した不審度算出処理手順を示すフローチャートである。
【図１３】この発明の実施の形態にかかる管理サーバにおける他の監査証跡（ログ）追跡処理手順を示すフローチャートである。
【図１４】この発明の実施の形態にかかる監査証跡追跡装置の機能的構成の一例を示すブロック図である。
【図１５】この発明の実施の形態にかかる監査証跡追跡装置の機能的構成の他の例を示すブロック図である。
【図１６−１】この発明にかかる管理サーバにおける監査証跡（ログ）更新処理手順を示すフローチャートである。
【図１６−２】この発明にかかる管理サーバにおける監査証跡（ログ）更新処理手順を示すフローチャートである。
【図１７】この発明にかかる管理サーバにおける他の監査証跡（ログ）更新処理手順を示すフローチャートである。
【図１８−１】新規ファイルが作成された場合の一例を示す説明図である。
【図１８−２】同一ファイル名で異なる情報機密度のファイルが保存された場合の一例を示す説明図である。
【図１８−３】ファイルが削除された場合の一例を示す説明図である。
【図１８−４】同一ファイル名であらたにファイルが作成された場合の一例を示す説明図である。
【図１８−５】ファイルが複写（コピー）された場合の一例を示す説明図である。
【図１８−６】ファイルのファイル名が変名（リネーム）された場合の一例を示す説明図である。
【図１９】ステップＳ７１４（またはステップＳ１３０６）で示した不審度算出処理手順を示すフローチャートである。
【符号の説明】
【０２０２】
１００ 情報システム
１０１ Ｗｅｂサーバ
１０２ メールサーバ
１０３ ＤＢサーバ
１０４ 業務アプリケーションサーバ
１０５ 管理サーバ
１１０ 管理者端末
３００ ＥＪＢサーバ
４００ ユーザ認証リクエスト
１４００，１５００ 監査証跡追跡装置
１４０１ 収集部
１４０２ 入力部
１４０３，１５０１ 検索処理部
１４０４ アクセス元特定部
１４０５ クライアント端末特定部
１４０６，１５０３ 算出部
１４０７，１５０５ 出力部
１４１１，１５１１ 第１の検索部
１４１２，１５１２ 第２の検索部
１４１３ 第３の検索部
１５０２ 照合部
１５０４ 判定部
Ｃ（Ｃ１，Ｃ２） クライアント端末
【技術分野】
【０００１】
この発明は、情報システムにおける監査証跡の追跡や不審者の割り出しなどをおこなう監査証跡追跡装置、監査証跡追跡方法および監査証跡追跡プログラムに関する。
【背景技術】
【０００２】
監査証跡とは、情報システムの監査において、信頼性・安全性・効率性の３つの観点から、それぞれのコントロール機能が信頼性・安全性・効率性の確保に結びついていることを、事後に実証するための手段であり、たとえば、情報操作(持ち出し／印刷)や認証、データベースへアクセスするログが挙げられる。
【０００３】
近年、個人情報保護法や企業改革法などによる情報漏洩の抑止の対策として、監査証跡であるログの収集と分析が重要な情報セキュリティ要件になっている。監査対象となるログは、ＰＣ（パーソナル・コンピュータ）や各種サーバなどからそれぞれ収集され、収集されたログを検索することで、情報漏洩者を追跡することができる（たとえば、下記特許文献１を参照）。
【０００４】
【特許文献１】特開２００３−０７６６６２号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかしながら、監査証跡となるログの形式やログの記録形態は、ＯＳ（オペレーティングシステム）やアプリケーションごとに文法的にも意味的にも異なっているため統一性がない。したがって、ログの収集自体が容易でなく、ログの分析処理はさらに困難であるという問題があった。
【０００６】
また、たとえば、顧客情報を検索する情報システムでは、顧客情報を記憶するデータベースサーバへのアクセスは、情報システム内において顧客情報の検索処理を実行する業務アプリケーションサーバが発行するシステムＩＤによっておこなわれる場合がある。この場合、データベースサーバに記録されているログだけでは、どのユーザがデータベースサーバにアクセスしたかを追跡することが困難であるという問題があった。
【０００７】
さらに、情報システム全体にわたって監査するログを追跡するためには、情報システム全体の情報のフロー（流れ）の正確な把握が必要不可欠であるが、情報システムが大規模になればなるほど情報のフローが複雑化し、ログの追跡および分析が困難であるという問題があった。
【０００８】
また、従来のユーザＩＤは、各業務アプリケーションやＰＣのドメイン単位で割当てが異なっており、業務アプリケーションやＰＣのドメインを越えた追跡ができないという問題があった。
【０００９】
このように、従来の監査証跡の管理においては、ログの収集および分析という重要な情報セキュリティ要件を満足しないため、情報システム全体にわたり情報漏洩を追跡することは困難であり、実質的に情報漏洩の抑止効果が得られないという問題があった。
【００１０】
この発明は、上述した従来技術による問題点を解消するため、監査証跡となるログの収集および分析を容易にすることにより、効率的なログの追跡をおこなって、情報漏洩の抑止力の向上を図ることができる監査証跡追跡装置、監査証跡追跡方法および監査証跡追跡プログラムを提供することを目的とする。
【課題を解決するための手段】
【００１１】
上述した課題を解決し、目的を達成するため、この発明にかかる監査証跡追跡装置、監査証跡追跡方法および監査証跡追跡プログラムは、データベースに記憶されている追跡対象データに関する検索条件の入力を受け付け、前記データベースに対してアクセスがあった場合に記録されるアクセスログの中から、入力された検索条件に合致する第１のログレコードを検索し、検索された第１のログレコードに基づいて、当該第１のログレコードの記録日時に前記追跡対象データにアクセス可能なアクセス元を特定し、特定されたアクセス元のログの中から、前記第１のログレコードに相当する第２のログレコードを検索し、検索された第２のログレコードに基づいて、前記追跡対象データにアクセスしたクライアント端末を特定することを特徴とする。
【００１２】
また、上記発明において、特定されたクライアント端末の操作ログの中から、当該クライアント端末が前記追跡対象データを取得した後の第３のログレコードを検索し、検索された第３のログレコードに基づいて、前記クライアント端末を操作したユーザの不審度を算出し、算出された算出結果に基づいて、前記追跡対象データの追跡結果を出力することとしてもよい。
【００１３】
また、上記発明において、前記第３のログレコードに記録されている前記クライアント端末の操作内容に基づいて、前記不審度を算出することとしてもよい。
【００１４】
また、上記発明において、前記第３のログレコードに記録されている前記クライアント端末の連続操作内容に基づいて、前記不審度を算出することとしてもよい。
【００１５】
また、上記発明において、前記第３のログレコードに記録されている前記クライアント端末の操作日時に基づいて、前記不審度を算出することとしてもよい。
【００１６】
これらの発明によれば、追跡対象データからクライアント端末までの追跡経路を探索することができる。
【００１７】
この発明にかかる他の監査証跡追跡装置、監査証跡追跡方法および監査証跡追跡プログラムは、データベースに記憶されている追跡対象データに関する検索条件の入力を受け付け、前記データベースに対してアクセスがあった場合に記録されるアクセスログの中から、入力された検索条件に合致する第１のログレコードを検索し、クライアント端末の操作ログの中から、検索された第１のログレコードの記録日時の時間帯に含まれる記録日時の第２のログレコードを検索し、前記第１のログレコードと検索された第２のログレコードとに記録されているユーザ識別情報との同一性を照合し、照合された照合結果に基づいて、前記追跡対象データの追跡結果を出力することを特徴とする。
【００１８】
また、上記発明において、検索された第２のログレコードに基づいて、前記クライアント端末を操作したユーザの不審度を算出し、算出された不審度が所定のしきい値以上であるか否かを判定し、判定された判定結果に基づいて、前記第１のログレコードと前記第２のログレコードとに記録されているユーザ識別情報との同一性を照合することとしてもよい。
【００１９】
また、上記発明において、前記第２のログレコードに記録されている前記クライアント端末の操作内容に基づいて、前記不審度を算出することとしてもよい。
【００２０】
また、上記発明において、前記第２のログレコードに記録されている前記クライアント端末の連続操作内容に基づいて、前記不審度を算出することとしてもよい。
【００２１】
また、上記発明において、前記第２のログレコードに記録されている前記クライアント端末の操作日時に基づいて、前記不審度を算出することとしてもよい。
【００２２】
これらの発明によれば、追跡対象データとクライアント端末における操作とを付き合わせることにより、追跡対象データを情報漏洩したクライアント端末を特定することができる。
【発明の効果】
【００２３】
本発明にかかる監査証跡追跡装置、監査証跡追跡方法および監査証跡追跡プログラムによれば、監査証跡となるログの収集および分析を容易にすることにより、効率的なログの追跡をおこなって、情報漏洩の抑止力の向上を図ることができるという効果を奏する。
【発明を実施するための最良の形態】
【００２４】
以下に添付図面を参照して、この発明にかかる監査証跡追跡装置、監査証跡追跡方法および監査証跡追跡プログラムの好適な実施の形態を詳細に説明する。
【００２５】
（情報システムの概要）
まず、この発明の実施の形態にかかる情報システムの概要について説明する。図１は、この発明の実施の形態にかかる情報システムの概要を示すシステム構成図である。図１において、情報システム１００は、Ｗｅｂサーバ１０１と、メールサーバ１０２と、データベース（ＤＢ）サーバ１０３と、業務アプリケーションサーバ１０４と、管理サーバ１０５と、クライアント端末Ｃと、管理者端末１１０と、によってＷＡＮを構築している。情報システム１００としては、たとえば、顧客情報検索システムが挙げられる。
【００２６】
まず、Ｗｅｂサーバ１０１は、インターネット１２０からアクセスしてくるクライアント端末Ｃ１に所定のＷｅｂサービスを提供するコンピュータ装置であり、ＬＡＮ外のクライアント端末Ｃ１とのＷｅｂアクセスログを記録している。メールサーバ１０２は、電子メールの送受信を管理するサーバであり、クライアント端末Ｃ間の電子メールの送受信をおこなう。また、メールサーバ１０２は、電子メールの送受信ログを記録している。
【００２７】
また、ＤＢサーバ１０３は、ＤＢ１３０を管理するコンピュータ装置である。ＤＢ１３０には情報システム１００が保有する各種情報が格納されている。たとえば、情報システム１００が顧客情報検索システムである場合、ＤＢ１３０には検索対象となる顧客情報が記憶されている。また、ＤＢサーバ１０３は、クライアント端末Ｃや管理者端末１１０、または後述する業務アプリケーションサーバ１０４からのアクセスにより、要求された情報を提供する。また、ＤＢサーバ１０３は、このアクセスによるアクセス権操作ログを記録している。
【００２８】
業務アプリケーションサーバ１０４は、情報システム１００が提供する業務を実行するコンピュータ装置である。たとえば、情報システム１００が顧客情報検索システムである場合、クライアント端末Ｃ２から直接、またはクライアント端末Ｃ１からＷｅｂサーバ１０１を介して間接的に検索要求を受けた場合、ＤＢサーバ１０３に対して顧客情報の検索処理を実行する。そして、検索結果を検索要求先のクライアント端末Ｃに提供する。また、業務アプリケーションサーバ１０４は、検索要求や検索結果に関するＤＢアクセスログを記録している。
【００２９】
また、管理サーバ１０５は、情報システム１００内の監査証跡となるログを管理するコンピュータ装置である。管理サーバ１０５は、管理者端末１１０から操作される。管理サーバ１０５は、具体的には、Ｗｅｂサーバ１０１、メールサーバ１０２、ＤＢサーバ１０３、業務アプリケーションサーバ１０４に記録されているログや、クライアント端末Ｃの操作ログを収集し、収集されたログを用いて情報漏洩者やそのクライアント端末Ｃの情報漏洩操作履歴の追跡処理をおこなう。
【００３０】
クライアント端末Ｃおよび管理者端末１１０は、Ｗｅｂサーバ１０１、メールサーバ１０２、ＤＢサーバ１０３、業務アプリケーションサーバ１０４が提供するサービスを受けるコンピュータ装置である。たとえば、ＬＡＮ外のクライアント端末Ｃ１は、Ｗｅｂサーバ１０１を介して、メールサーバ１０２、ＤＢサーバ１０３、業務アプリケーションサーバ１０４にアクセスすることができる。
【００３１】
また、ＬＡＮ内のクライアント端末Ｃ２および管理者端末１１０は、Ｗｅｂサーバ１０１、メールサーバ１０２、ＤＢサーバ１０３、業務アプリケーションサーバ１０４にアクセスすることができる。管理者端末１１０は、さらに管理サーバ１０５にアクセスすることができる。クライアント端末Ｃおよび管理者端末１１０の操作ログは、管理サーバ１０５に収集される。
【００３２】
（コンピュータ装置のハードウェア構成）
つぎに、図１に示した各コンピュータ装置のハードウェア構成について説明する。図２は、図１に示した各コンピュータ装置のハードウェア構成を示すブロック図である。図２において、コンピュータ装置は、ＣＰＵ２０１と、ＲＯＭ２０２と、ＲＡＭ２０３と、ＨＤＤ（ハードディスクドライブ）２０４と、ＨＤ（ハードディスク）２０５と、ＦＤＤ（フレキシブルディスクドライブ）２０６と、着脱可能な記録媒体の一例としてのＦＤ（フレキシブルディスク）２０７と、ディスプレイ２０８と、Ｉ／Ｆ（インターフェース）２０９と、キーボード２１０と、マウス２１１と、スキャナ２１２と、プリンタ２１３と、を備えている。また、各構成部はバス２００によってそれぞれ接続されている。
【００３３】
ここで、ＣＰＵ２０１は、コンピュータ装置の全体の制御を司る。ＲＯＭ２０２は、ブートプログラムなどのプログラムを記憶している。ＲＡＭ２０３は、ＣＰＵ２０１のワークエリアとして使用される。ＨＤＤ２０４は、ＣＰＵ２０１の制御にしたがってＨＤ２０５に対するデータのリード／ライトを制御する。ＨＤ２０５は、ＨＤＤ２０４の制御で書き込まれたデータを記憶する。
【００３４】
ＦＤＤ２０６は、ＣＰＵ２０１の制御にしたがってＦＤ２０７に対するデータのリード／ライトを制御する。ＦＤ２０７は、ＦＤＤ２０６の制御で書き込まれたデータを記憶したり、ＦＤ２０７に記憶されたデータをコンピュータ装置に読み取らせたりする。
【００３５】
また、着脱可能な記録媒体として、ＦＤ２０７のほか、ＣＤ−ＲＯＭ（ＣＤ−Ｒ、ＣＤ−ＲＷ）、ＭＯ、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋ）、メモリーカードなどであってもよい。ディスプレイ２０８は、カーソル、アイコンあるいはツールボックスをはじめ、文書、画像、機能情報などのデータを表示する。このディスプレイ２０８は、たとえば、ＣＲＴ、ＴＦＴ液晶ディスプレイ、プラズマディスプレイなどを採用することができる。
【００３６】
Ｉ／Ｆ２０９は、通信回線を通じてインターネット１２０などのネットワークに接続され、このネットワークを介して他の装置に接続される。そして、Ｉ／Ｆ２０９は、ネットワークと内部のインターフェースを司り、外部装置からのデータの入出力を制御する。Ｉ／Ｆ２０９には、たとえばモデムやＬＡＮアダプタなどを採用することができる。
【００３７】
キーボード２１０は、文字、数字、各種指示などの入力のためのキーを備え、データの入力をおこなう。また、タッチパネル式の入力パッドやテンキーなどであってもよい。マウス２１１は、カーソルの移動や範囲選択、あるいはウィンドウの移動やサイズの変更などをおこなう。ポインティングデバイスとして同様に機能を備えるものであれば、トラックボールやジョイスティックなどであってもよい。
【００３８】
スキャナ２１２は、画像を光学的に読み取り、コンピュータ装置内に画像データを取り込む。なお、スキャナ２１２は、ＯＣＲ機能を持たせてもよい。また、プリンタ２１３は、画像データや文書データを印刷する。プリンタ２１３には、たとえば、レーザプリンタやインクジェットプリンタを採用することができる。
【００３９】
（情報システム１００の具体的構成）
つぎに、この発明の実施の形態にかかる情報システム１００の具体的構成について説明する。図３は、この発明の実施の形態にかかる情報システム１００の具体的構成を示す説明図である。なお、ＥＪＢ（Ｅｎｔｅｒｐｒｉｓｅ ＪａｖａＢｅａｎｓ（登録商標））サーバ３００は、図１に示した業務アプリケーションサーバ１０４に相当するコンピュータ装置である。
【００４０】
図３において、Ｗｅｂサーバ１０１は、ＨＴＴＰサーバ３０１と、サーブレット３０２と、Ｊ２ＥＥクラスライブラリ３０３と、サーブレットコンテナ３０４と、アドオンセキュリティ管理機構３０５と、を備えている。ＨＴＴＰサーバ３０１は、クライアント端末Ｃ１からのユーザ認証リクエスト４００（ＨＴＴＰリクエスト）を監視している。
【００４１】
図４は、ユーザ認証リクエスト４００の一例を示す説明図である。クライアント端末ＣからのユーザＩＤの取得は、プラットフォーム標準の認証機構（ベーシック認証等）を利用したアプリケーションなら容易であるが、業務アプリケーションの大半は独自の認証機構を組んでいる。この場合、ユーザＩＤを認識しているのはアプリケーション層だけであると予想されるため、以下のように実現する。
【００４２】
クライアント端末Ｃからのユーザ認証リクエスト４００（ＨＴＴＰリクエスト）上において、ユーザＩＤがＰＯＳＴされるＵＲＬとクエリー情報を、事前に業務アプリケーションごとに定義させておき、サーブレットクラスライブラリ・レベルでユーザ認証リクエスト４００（ＨＴＴＰリクエスト）を監視することでユーザＩＤを取得し、当該ユーザＩＤとセッション識別情報と対応付けて記録する。
【００４３】
すなわち、ユーザ認証リクエスト４００は、業務アプリケーションの識別情報（図４中、「ｇｙｏｕｍ１」）と、変数（図４中、「ｕｉｄ」）からなるＨＴＴＰ形式のクエリー情報である。変数としては、たとえば、ユーザＩＤ（図４中、「ｕｓｅｒ０１」）およびパスワード（図４中「ｐａｓｓｗｏｒｄ」）が入力される。認証をおこなう以上、何らかの形でＨＴＴＰリクエスト上にユーザＩＤを載せることは高い確率で期待できるから、この手法で既存の業務アプリケーションのかなりの部分をカバーでき、プラットフォーム標準の認証から、独自の認証まで幅広く対応することができる。
【００４４】
また、図３において、サーブレット３０２は、Ｗｅｂサーバ１０１におけるＷｅｂサービスをクライアント端末Ｃに提供するプログラムである。また、Ｊ２ＥＥクラスライブラリ３０３は、サーブレット３０２関連のクラスライブラリであり、クライアント端末Ｃから受け取ったユーザ認証リクエスト４００を監視して、所定のパターンの場合は、ユーザＩＤを取り出して、当該ユーザＩＤとセッション識別情報と関連付ける。
【００４５】
具体的には、Ｊ２ＥＥクラスライブラリ３０３は、ユーザＩＤ定義ファイル３０６を有している。ユーザＩＤ定義ファイル３０６は、たとえば、デプロイメントデスクリプタｗｅｂ．ｘｍｌで記述され、ユーザ認証リクエスト４００（ＨＴＴＰリクエスト）から、ユーザＩＤを取り出す方法を予め定義しておくファイルである。
【００４６】
図３においては、たとえば、ＵＲＬとして「ｇｙｏｕｍ１」、変数として「ｕｉｄ」が定義されている。したがって、リクエストに「ｇｙｏｕｍ１」とその変数として「ｕｉｄ」が記述されていると、Ｊ２ＥＥクラスライブラリ３０３は、クライアント端末Ｃからのユーザ認証リクエスト４００であると解釈する。そして、共有ストレージ３０８にユーザＩＤ（図３中「ｕｓｅｒ−ｉｄ」）とセッション識別情報（図３中「ｓｅｓｓｉｏｎ」）とを関連付ける。この関連付けられたユーザＩＤおよびセッション識別情報は、サーブレットログ３０７としても記録される。
【００４７】
また、共有ストレージ３０８は、Ｗｅｂサーバ１０１上のセッション識別情報に対応するユーザＩＤと、ＥＪＢサーバ３００から通知されたＥＪＢオブジェクトの識別情報（以下、「ＥＪＢオブジェクト識別情報」）に対応するセッション識別情報を保持する。情報が複数のサーバにまたがることから、ストレージでの共有する形としているが、共有ストレージ３０８を用いずに、通信により実現することとしてもよい。
【００４８】
また、サーブレットコンテナ３０４は、共有ストレージ３０８において、ＥＪＢサーバ３００のＥＪＢコンテナ３１３から通知されたＥＪＢオブジェクトのＥＪＢオブジェクト識別情報（図３中、「ｓｅｒｖｅｒ ｏｂｊ」）とＷｅｂサーバ１０１上のＪ２ＥＥクラスライブラリ３０３で生成されたセッション識別情報（図３中「ｓｅｓｓｉｏｎ」）とを関連付ける。また、サーブレットコンテナ３０４は、ユーザ認証リクエスト４００があった場合、ユーザＩＤに基づいてユーザ認証をおこなう。そして、認証された場合、当該ユーザＩＤおよびパスワードからなる認証情報を、ＥＪＢサーバ３００のＥＪＢコンテナ３１３に送信する。
【００４９】
また、アドオンセキュリティ管理機構３０５は、Ｗｅｂサーバ１０１用のアドオンミドルウェアであり、ユーザＩＤ定義ファイル３０６・共有ストレージ３０８とＪ２ＥＥクラスライブラリ３０３、サーブレットコンテナ３０４との仲介をおこなう。また、Ｗｅｂサーバ１０１におけるＷｅｂアクセスログ３０９およびサーブレットログ３０７は、図１に示した管理サーバ１０５に収集される。
【００５０】
また、ＥＪＢサーバ３００は、ＥＪＢ３１１と、Ｊ２ＥＥクラスライブラリ３１２と、ＥＪＢコンテナ３１３と、アドオンセキュリティ管理機構３１４と、ＪＤＢＣ（Ｊａｖａ（登録商標） Ｄａｔａｂａｓｅ Ｃｏｎｎｅｃｔｉｖｉｔｙ）フィルタドライバ３１５と、ＪＤＢＣドライバ３１６と、ＰＤＰ（Ｐｏｌｉｃｙ Ｄｅｃｉｓｉｏｎ Ｐｏｉｎｔ）３１７と、を備えている。
【００５１】
ＥＪＢ３１１は、ＥＪＢサーバ３００が提供する業務アプリケーションである。ＥＪＢ３１１は、ＤＢサーバ１０３にアクセスするためのシステムＩＤを有しており、当該システムＩＤをＤＢアクセス要求に含まれているＳＱＬコマンドとともにＪＤＢＣフィルタドライバ３１５に出力する。また、Ｊ２ＥＥクラスライブラリ３１２は、ＥＪＢ３１１関連のクラスライブラリである。
【００５２】
また、ＥＪＢコンテナ３１３は、クライアント端末ＣからのＳＱＬコマンド（ＤＢアクセス要求）に対応するメソッドとなるＥＪＢオブジェクトの識別情報を、Ｗｅｂサーバ１０１のＥＪＢコンテナ３１３に通知する。また、Ｗｅｂサーバ１０１のサーブレット３０２からのメソッド呼び出しの延長でおこなわれるＪＤＢＣ呼び出し（セッション識別情報）とＥＪＢオブジェクト識別情報とを関連付けて、アドオンセキュリティ管理機構３１４に通知する。
【００５３】
また、アドオンセキュリティ管理機構３１４は、ＥＪＢサーバ３００（業務アプリケーションサーバ１０４）用のアドオンミドルウェアである。アドオンセキュリティ管理機構３１４は、ＪＤＢＣドライバ３１６の実行単位に対応付けられるユーザＩＤを、ＥＪＢコンテナ３１３からの通知情報と共有ストレージ３０８内の情報とを手掛かりとして取り出す。
【００５４】
また、ＰＤＰ３１７は、ポリシーを評価して許可・不許可の決定をおこなうエンティティであり、アクセスポリシーリポジトリを参照して、ＪＤＢＣドライバ３１６へのＤＢアクセス要求の妥当性を判定する。アクセスポリシーリポジトリ３１８は、ユーザ／ロールごとのアクセス権限、ユーザ／ロールごとの利用時間帯の限定等を定義した情報である。また、ＰＡＰ（Ｐｏｌｉｃｙ Ａｄｍｉｎｉｓｔｒａｔｉｏｎ Ｐｏｉｎｔ）３１９は、アクセスポリシーリポジトリを作成・編集するエンティティである。
【００５５】
また、ＪＤＢＣフィルタドライバ３１５は、ＥＪＢ３１１から要求されたＤＢアクセス要求に対して、アドオンセキュリティ管理を利用して、その妥当性の判断をおこなわせ、その判断結果に基づいてアクセス制御を実行する。たとえば、ＤＢアクセス要求が当該ユーザのアクセスできないテーブルへのアクセス要求であった場合、例外ＳＱＬＥｘｃｅｐｔｉｏｎをスローする。また、ＤＢアクセス要求が当該ユーザのアクセスできない時間帯でのアクセス要求であった場合、例外ＳＱＬＥｘｃｅｐｔｉｏｎをスローする。さらに、ＤＢアクセス要求が当該ユーザのアクセスできないカラムを含むアクセス要求であった場合、アクセス権限のないカラムを無意味なデータで置き換えて返す。
【００５６】
また、ＤＢアクセスログ３２０は、ＤＢアクセス要求とユーザＩＤとを関連付けているログである。また、アクセス要求の判断結果も記録されている。ＤＢアクセスログ３２０は、図１に示した管理サーバ１０５に収集される。
【００５７】
図３に示した構成により情報漏洩対策を目的としたＤＢ１３０のアクセス制御を実現するためには、ＥＪＢ３１１（業務アプリケーション）は、ＪＤＢＣドライバ３１６からＤＢサーバ１０３へのコネクション要求時に、その起点の操作をおこなったユーザＩＤを用いる。具体的には、ＪＤＢＣフィルタドライバ３１５で以下を実現する。
【００５８】
ユーザＩＤを予め定義されたＤＢアクセス用のシステムＩＤに置き換えてコネクションを確立し、コネクションとユーザＩＤの関連付けを維持する。また、ＪＤＢＣフィルタドライバ３１５は、上述したようにコネクションを使ったＤＢアクセス時に、先に取得したユーザＩＤとアクセス制御ポリシーに基づくアクセス制御を実行する。
【００５９】
この図３に示した構成によれば、ＥＪＢサーバ３００側のＪＤＢＣフィルタドライバ３１５およびＪＤＢＣドライバ３１６に閉じて、ＥＪＢコンテナ３１３に手を入れずに対応することができるため、全体にシンプルな構造を実現することができる。また、ユーザＩＤとＤＢアクセス要求のマッピングが容易なため、オーバヘッドを最小限にすることができる。さらに、将来、ＤＢサーバ１０３でユーザＩＤごとの細かなアクセス制御が可能になった場合でも、業務アプリケーションは修正不要であるため、汎用性が高い。
【００６０】
（Ｗｅｂサーバ１０１の監査証跡記録処理）
つぎに、図３に示したＷｅｂサーバ１０１における監査証跡（ログ）記録処理について説明する。図５は、図３に示したＷｅｂサーバ１０１における監査証跡（ログ）記録処理を示すフローチャートである。
【００６１】
Ｗｅｂサーバ１０１は、まず、ユーザＩＤ定義ファイル３０６を読み込む（ステップＳ５０１）。そして、リクエストの受信を待ち受け（ステップＳ５０２：Ｎｏ）、クライアント端末Ｃからリクエストが受信された場合（ステップＳ５０２：Ｙｅｓ）、読み込んだユーザＩＤ定義ファイル３０６により、受信されたリクエストがユーザ認証リクエスト４００であるか否かを判断する（ステップＳ５０３）。
【００６２】
ユーザ認証リクエスト４００でない場合（ステップＳ５０３：Ｎｏ）、ステップＳ５０６に移行する。一方、ユーザ認証リクエスト４００である場合（ステップＳ５０３：Ｙｅｓ）、そのセッションを示すセッション識別情報を設定する（ステップＳ５０４）。そして、ユーザ認証リクエスト４００に含まれているユーザＩＤとセッション識別情報との組み合わせを共有ストレージ３０８に記録する（ステップＳ５０５）。
【００６３】
この後、ステップＳ５０６において、サーブレット３０２の中でＥＪＢサービス要求が呼び出されたか否かを判断する（ステップＳ５０６）。ＥＪＢサービス要求が呼び出されていない場合（ステップＳ５０６：Ｎｏ）、ステップＳ５０２に戻る。
【００６４】
一方、ＥＪＢサービス要求が呼び出された場合（ステップＳ５０６：Ｙｅｓ）、ＥＪＢサーバ３００のＥＪＢコンテナ３１３にＥＪＢサービスをリクエストする（ステップＳ５０７）。この後、ＥＪＢサーバ３００から応答があるか否かを判断する（ステップＳ５０８）。所定時間応答がない場合（ステップＳ５０８：Ｎｏ）、ステップＳ５０２に戻る。
【００６５】
一方、応答があった場合（ステップＳ５０８：Ｙｅｓ）、当該応答がＥＪＢオブジェクト検索リクエストであるか否かを判断する（ステップＳ５０９）。ＥＪＢオブジェクト検索リクエストでない場合（ステップＳ５０９：Ｎｏ）、ステップＳ５０２に戻る。
【００６６】
一方、ＥＪＢオブジェクト検索リクエストである場合（ステップＳ５０９：Ｙｅｓ）、当該ＥＪＢオブジェクト検索リクエストに含まれているＥＪＢオブジェクト識別情報とステップＳ５０４で設定されたセッション識別情報との組み合わせを共有ストレージ３０８に記録する（ステップＳ５１０）。そして、ステップＳ５０２に戻る。このＷｅｂサーバ１０１の監査証跡記録処理によれば、セッション識別情報により、ユーザＩＤとＥＪＢオブジェクト識別情報とを関連付けることができ、ＥＪＢオブジェクト識別情報からユーザＩＤを追跡することができる。
【００６７】
（ＥＪＢサーバ３００の監査証跡記録処理手順）
つぎに、図３に示したＥＪＢサーバ３００における監査証跡（ログ）記録処理について説明する。図６は、図３に示したＥＪＢサーバ３００における監査証跡（ログ）記録処理を示すフローチャートである。
【００６８】
まず、ＥＪＢ３１１フィルタドライバによりＥＪＢオブジェクトのリクエストを受け付けたか否か判断する（ステップＳ６０１）。つぎに、アドオンセキュリティ管理機構３０５により処理が実行される（ステップＳ６０２〜Ｓ６０６）。具体的には、受け付けられたＥＪＢオブジェクトのリクエストから呼び出し元ＥＪＢオブジェクトを検出する（ステップＳ６０２）。
【００６９】
そして、検出されたＥＪＢオブジェクトのＥＪＢオブジェクト識別情報に関連付けられているユーザＩＤを共有ストレージ３０８から抽出する（ステップＳ６０３）。そして、抽出されたユーザＩＤと、Ｗｅｂサーバ１０１からＥＪＢ３１１を介して送られてきたＤＢアクセス要求（ＳＱＬコマンド）とを内部のＰＤＰ３１７に渡す（ステップＳ６０４）。
【００７０】
そして、上述したように、ＰＤＰ３１７において、アクセスポリシー判定処理を実行する（ステップＳ６０５）。このアクセスポリシー判定処理によりアクセス許可された場合（ステップＳ６０６：Ｙｅｓ）、ＪＤＢＣフィルタドライバ３１５により、ＪＤＢＣドライバ３１６を呼び出して、ＤＢアクセス要求（ＳＱＬコマンド）によりＤＢ１３０にアクセスする（ステップＳ６０７）。具体的には、システムＩＤを発行して、ＳＱＬコマンドとともにＤＢサーバ１０３に送信する。
【００７１】
また、ＪＤＢＣフィルタドライバ３１５により、ユーザＩＤとともにＤＢサーバ１０３へのアクセス情報（アクセス日時、システムＩＤ、アクセス許可フラグ、アクセス対象データ名、アクセス対象データ量、アクセス時間など）を、ＤＢアクセスログとして記録し（ステップＳ６０８）、アクセス結果（ＤＢアクセスログ）を図１に示した管理サーバ１０５に返却する（ステップＳ６０９）。
【００７２】
一方、ステップＳ６０６において、アクセス不許可である場合（ステップＳ６０６：Ｎｏ）、アクセス不許可であることを示すＤＢアクセスログ（アクセス日時、システムＩＤ、アクセス不許可フラグなど）を記録し（ステップＳ６１０）、クライアント端末Ｃに対して例外スローをおこなう（ステップＳ６１１）。
【００７３】
なお、ＤＢサーバ１０３では、ステップＳ６０７においてアクセス（システムＩＤおよびＳＱＬコマンド）を受けた場合、システムＩＤを認証して、システムＩＤの提供元にアクセス権があるか否かを判断する。そして、アクセス権があると判断された場合、ＳＱＬコマンドにしたがってＤＢ１３０を検索する。そして、その検索結果を、ＥＪＢサーバ３００およびＷｅｂサーバ１０１を介して、ユーザＩＤが認証されたクライアント端末Ｃに提供する。また、ＤＢサーバ１０３では、このアクセス権の操作に関するログ（アクセス権操作ログ）を記録する。
【００７４】
（監査証跡追跡処理手順）
つぎに、この発明の実施の形態にかかる管理サーバ１０５における監査証跡（ログ）追跡処理手順について説明する。図７は、この発明の実施の形態にかかる管理サーバ１０５における監査証跡（ログ）追跡処理手順を示すフローチャートである。図７において、管理者端末１１０から検索条件の入力を待ち受ける（ステップＳ７０１：Ｎｏ）。検索条件としては、たとえば、アクセス日時、システムＩＤ、アクセス許可フラグ、アクセス対象データ名、アクセス対象データ量、アクセス時間、ユーザＩＤなどが挙げられる。
【００７５】
そして、検索条件が入力された場合（ステップＳ７０１：Ｙｅｓ）、入力された検索条件に合致するＤＢアクセスログレコードを、ＤＢアクセスログ３２０の中から検索する（ステップＳ７０２）。そして、検索結果であるＤＢアクセスログレコードの集合の中から、管理者端末１１０の操作入力による、任意のＤＢアクセスログレコード（以下、「ＬＤＳ」と称す。）の選択を待ち受ける（ステップＳ７０３）。ＬＤＳが選択されない場合（ステップＳ７０３：Ｎｏ）、ステップＳ７１６に移行する。
【００７６】
一方、ＬＤＳが選択された場合（ステップＳ７０３：Ｙｅｓ）、ＬＤＳの情報価値を算出する（ステップＳ７０４）。たとえば、ＬＤＳのカラム（アクセス日時、システムＩＤ、アクセス許可フラグ、アクセス対象データ名、アクセス対象データ量、アクセス時間、ユーザＩＤなど）に重み付けされた重要度にそのカラムの行数を乗算することによって得られる値である。そして、算出結果をディスプレイ２０８の表示画面に表示する（ステップＳ７０５）。
【００７７】
管理者は、ディスプレイの算出結果（情報価値）を参照して、追跡継続の入力を待ち受ける（ステップＳ７０６）。そして、たとえば、表示画面上の『追跡停止』ボタンを押下した場合、追跡継続の入力がなかったこととなり（ステップＳ７０６：Ｎｏ）、ステップＳ７０３に戻って、あらたなＬＤＳの選択を待ち受ける。一方、『追跡継続』ボタンを押下した場合、追跡継続の入力があったこととなり（ステップＳ７０６：Ｙｅｓ）、ステップＳ７０７に移行する。
【００７８】
ステップＳ７０７では、ＬＤＳの記録時（タイムスタンプ）ＴLDSにおいて、ＤＢサーバ１０３のアクセス権管理操作ログを参照して、追跡対象データにアクセス可能なアプリケーション、サービス、クライアント端末Ｃなどのエンティティを特定する。エンティティが特定されなかった場合（ステップＳ７０７：Ｎｏ）、ステップＳ７０３に戻って、あらたなＬＤＳの選択を待ち受ける。
【００７９】
一方、エンティティが特定された場合（ステップＳ７０７：Ｙｅｓ）、管理者端末１１０の操作入力による、特定されたエンティティのログの指定を待ち受ける（ステップＳ７０８：Ｎｏ）。ログが指定された場合（ステップＳ７０８：Ｙｅｓ）、指定ログの中から、ＬＤＳに相当するログレコードを検索する（ステップＳ７０９）。
【００８０】
たとえば、指定ログの中にＬＤＳに記録されている日時以降の日時が記録されているログレコードがある場合、当該ログレコードをＬＤＳ相当のログレコードとして指定ログから抽出する。同様に、指定ログの中にＬＤＳに記録されている追跡対象データ量と同一データ量のログレコードがある場合、当該ログレコードをＬＤＳ相当のログレコードとして指定ログから抽出する。
【００８１】
そして、ＬＤＳ相当のログレコードがない場合（ステップＳ７１０：Ｎｏ）、ステップＳ７０７に戻る。一方、ＬＤＳ相当のログレコードがあった場合（ステップＳ７１０：Ｙｅｓ）、追跡候補のクライアント端末Ｃが特定されたか否かを判断する（ステップＳ７１１）。具体的には、たとえば、検索されたログレコードの中に、ユーザＩＤが含まれている場合には、当該ユーザＩＤのクライアント端末Ｃを、追跡候補のクライアント端末Ｃとして特定する。
【００８２】
また、検索されたログレコードに直接ユーザＩＤが記録されていない場合であっても、図３に示したＥＪＢサーバ３００のように、ＥＪＢオブジェクト識別情報が記録されているときには、共有ストレージ３０８により関連付けられているユーザＩＤを検出することができる。この場合、共有ストレージ３０８に関連付けられているユーザＩＤのクライアント端末Ｃを、追跡候補のクライアント端末Ｃとして特定する。
【００８３】
つぎに、特定された場合（ステップＳ７１１：Ｙｅｓ）、特定されたクライアント端末Ｃの操作ログを取得する（ステップＳ７１２）。そして、取得された操作ログの中から、追跡対象データの取得後におけるログレコードを抽出する（ステップＳ７１３）。この後、抽出されたログレコードに基づいて、特定されたクライアント端末Ｃのユーザに関する不審度算出処理を実行する（ステップＳ７１４）。不審度算出処理の具体的処理については後述する。なお、特定されなかった場合（ステップＳ７１１：Ｎｏ）、ステップＳ７０７に戻る。
【００８４】
そして、特定されたクライアント端末Ｃユーザに関する不審度に基づいて追跡結果を表示する（ステップＳ７１５）。図８は、追跡結果の表示画面の一例を示す説明図である。図８によれば、不審度がしきい値以上のログレコード８００が強調表示（網掛け）されている。この後、他のＤＢアクセスログレコードを用いて追跡をおこなう場合には（ステップＳ７１６：Ｎｏ）、ステップＳ７０３に戻る。
【００８５】
一方、追跡をおこなわず、追跡を終了する場合には（ステップＳ７１６：Ｙｅｓ）、一連の処理を終了する。この監査証跡追跡処理手順によれば、追跡対象データからクライアント端末Ｃまでの追跡経路を探索することができる。
【００８６】
つぎに、ステップＳ７１４で示した不審度算出処理について具体的に説明する。図９は、不審度の操作に関する配点表を示す図表であり、図１０は、不審度の連続操作に関する配点表を示す図表であり、図１１は、不審度の加重係数表を示す図表である。
【００８７】
図９において、左端の記号ａ〜ｇは、操作内容を特定する識別記号であり、右端の数字は、その点数を示している。たとえば、識別記号ｃの操作内容は『印刷』であり、その点数は『８』である。したがって、ログレコードに記録されている操作内容が『印刷』である場合、点数『８』を読み出す。
【００８８】
また、図１０の配点表は、連続操作の場合に加点される配点表である。たとえば、識別記号ｂから識別記号ｆへの連続操作『ｂ→ｆ』は、『ブラウザ等でデータファイル保存（保存先がリムーバブルディスク以外）』して、その後に『添付ファイル付きメール送信』をしたことを示しているが、その連続操作に加点される点数は、図１０の右端により『３』である。
【００８９】
また、図１１に示した加重係数表は、操作ログレコードの記録日時（タイムスタンプ）が、図１１に示した時間に該当する場合には、その係数が読み出される。たとえば、タイムスタンプが『残業時間内』である場合には、係数『１．２』が読み出される。
【００９０】
つぎに、ステップＳ７１４で示した不審度算出処理手順について説明する。図１２は、ステップＳ７１４で示した不審度算出処理手順を示すフローチャートである。ここでは、ログレコードに記録されている操作内容が、『ｃ→ｄ→ｅ→ａ→ｇ→ｂ→ｆ→ｃ』（図９に示した識別記号を参照。）である場合について説明する。
【００９１】
まず、ログレコードに記録されている操作内容に対応する点数を、図９に示した配点表から抽出して加算する（ステップＳ１２０１）。たとえば、上記操作内容『ｃ→ｄ→ｅ→ａ→ｇ→ｂ→ｆ→ｃ』では、『８，４，３，１０，５，５，５，８』であるため、加算すると『４８』点である。
【００９２】
つぎに、ログレコードに記録されている連続操作内容に対応する点数を、図１０に示した配点表から抽出して加算する（ステップＳ１２０２）。たとえば、上記操作内容『ｃ→ｄ→ｅ→ａ→ｇ→ｂ→ｆ→ｃ』には、図１０に示した連続操作『ｄ→ｅ』および『ｂ→ｆ』が含まれているため、連続操作『ｄ→ｅ』の『３』点と、連続操作『ｂ→ｆ』の『３』点とを、ステップＳ１２０１で算出された『４８』点に加算して、『５４』点となる。
【００９３】
そして、ログレコードに記録されているタイムスタンプに対応する加重係数を、図１１に示した係数表から抽出し、ステップＳ１２０２で算出された点数と乗算する（ステップＳ１２０３）。たとえば、タイムスタンプに示されている日時が『残業時間内』である場合、係数『１．２』を、ステップＳ１２０２で算出された『５４』点に乗算して、『６４．８』点となる。
【００９４】
このように、情報システム１００内のあらゆる監査証跡（ログ）に基づいて、ＤＢ１３０にアクセスしたクライアント端末Ｃを特定することにより、そのクライアント端末Ｃのユーザを、情報漏洩をした不審者候補として絞り込むことができる。また、クライアント端末Ｃの操作ログを分析して不審度を得ることにより、不審者候補の中から不審者を特定することができる。
【００９５】
つぎに、この発明の実施の形態にかかる管理サーバ１０５における他の監査証跡（ログ）追跡処理手順について説明する。図１３は、この発明の実施の形態にかかる管理サーバ１０５における他の監査証跡（ログ）追跡処理手順を示すフローチャートである。図１３において、管理者端末１１０から検索条件の入力を待ち受ける（ステップＳ１３０１：Ｎｏ）。検索条件としては、たとえば、アクセス日時、システムＩＤ、アクセス許可フラグ、アクセス対象データ名、アクセス対象データ量、アクセス時間、ユーザＩＤなどが挙げられる。
【００９６】
そして、検索条件が入力された場合（ステップＳ１３０１：Ｙｅｓ）、入力された検索条件に合致するＤＢアクセスログレコードを、ＤＢアクセスログ３２０の中から検索する（ステップＳ１３０２）。そして、検索結果であるｎ個のＤＢアクセスログレコードＬＤの中から、任意のＤＢアクセスログレコードＬＤ（ｉ）（ｉ＝１，２，・・・，ｎ）を抽出する（ステップＳ１３０３）。
【００９７】
この後、未処理のクライアント端末Ｃの操作ログを設定（読出し）して（ステップＳ１３０４）、ログレコードＬＤ（ｉ）のタイムスタンプに示されている日時と同記録時間帯のログレコードＬＣを、設定された操作ログから抽出する（ステップＳ１３０５）。この後、抽出されたログレコードＬＣについて、図１２に示した不審度算出処理を実行する（ステップＳ１３０６）。算出された不審度がしきい値以上でない場合（ステップＳ１３０７：Ｎｏ）、ステップＳ１３０９に移行する。
【００９８】
一方、算出された不審度がしきい値以上である場合（ステップＳ１３０７：Ｙｅｓ）、ログレコードＬＣをログレコードＬＣ（ｊ）（ｉ＝１，２，・・・，ｍ）として記録する（ステップＳ１３０８）。つぎに、ｉをインクリメントして（ステップＳ１３０９）、ｉ＞ｎでない場合（ステップＳ１３１０：Ｎｏ）、ステップＳ１３０５に戻る。一方、ｉ＞ｎである場合（ステップＳ１３１０：Ｙｅｓ）、未処理のクライアント端末Ｃがあるか否かを判断する（ステップＳ１３１１）。未処理のクライアント端末Ｃがある場合（ステップＳ１３１１：Ｙｅｓ）、ステップＳ１３０４に戻る。
【００９９】
一方、未処理のクライアント端末Ｃがない場合（ステップＳ１３１１：Ｎｏ）、ｎ個のログレコードＬＤ（ｉ）とｍ個のログレコードＬＣ（ｊ）とのユーザＩＤの同一性を照合する（ステップＳ１３１２）。具体的には、ログレコードＬＤ（ｉ）に記録されているユーザＩＤと、ログレコードＬＣ（ｊ）に記録されているユーザＩＤとの一致判定をおこなう。
【０１００】
ユーザＩＤが一致するログレコードＬＤ（ｉ），ＬＣ（ｊ）の組み合わせがある場合（ステップＳ１３１３：Ｙｅｓ）、ログレコードＬＤ（ｉ）からログレコードＬＣ（ｊ）に到達することとなり、図８に示したように、照合されたユーザＩＤを含むログレコードＬＤ（ｉ）を追跡結果として表示する（ステップＳ１３１４）。なお、ステップＳ１３１２において照合されなかった場合（ステップＳ１３１３：Ｎｏ）、一連の処理を終了する。
【０１０１】
この監査証跡（ログ）追跡処理手順によれば、追跡対象データとクライアント端末Ｃにおける操作とを付き合わせることにより、追跡対象データを情報漏洩したクライアント端末Ｃを特定することができる。
【０１０２】
また、ステップＳ１３１３において、ユーザＩＤが一致するログレコードＬＤ（ｉ），ＬＣ（ｊ）の組み合わせがある場合（ステップＳ１３１３：Ｙｅｓ）、ログレコードＬＤ（ｉ）をＬＤＳとして、図７に示した監査証跡（ログ）追跡処理をステップＳ７０４から実行することとしてもよい。この場合、ステップＳ７１３で抽出されるログレコードが、ログレコードＬＤ（ｉ）に記録されているユーザＩＤと一致するログレコードＬＣ（ｊ）である場合、ログレコードＬＤ（ｉ）からログレコードＬＣ（ｊ）に到達することを確認することができる。
【０１０３】
（監査証跡追跡装置の機能的構成の一例）
つぎに、この発明の実施の形態にかかる監査証跡追跡装置の機能的構成の一例について説明する。図１４は、この発明の実施の形態にかかる監査証跡追跡装置の機能的構成の一例を示すブロック図である。
【０１０４】
図１４において、監査証跡追跡装置１４００は、収集部１４０１と、入力部１４０２と、検索処理部１４０３と、アクセス元特定部１４０４と、クライアント端末特定部１４０５と、算出部１４０６と、出力部１４０７と、から構成されており、図１に示した管理サーバ１０５に相当する。
【０１０５】
収集部１４０１は、情報システム１００内におけるＷｅｂサーバ１０１が記録するＷｅｂアクセスログ、メールサーバ１０２が記録する送受信ログ、ＤＢサーバ１０３が記録するアクセス権操作ログ、業務アプリケーションサーバ１０４が記録するログ（たとえば、図３に示したＤＢアクセスログ３２０）、クライアント端末Ｃの操作ログや、その他共有ストレージ３０８を収集する。
【０１０６】
また、入力部１４０２は、データベースに記憶されている追跡対象データに関する検索条件の入力を受け付ける。具体的には、たとえば、図７のステップＳ７０１で示した入力処理をおこなう。
【０１０７】
また、検索処理部１４０３は、第１の検索部１４１１と第２の検索部１４１２と第３の検索部１４１３とを備える。第１の検索部１４１１は、データベースに対してアクセスがあった場合に記録されるアクセスログから、入力部１４０２によって入力された検索条件に合致する第１のログレコードを検索する。具体的には、たとえば、図７のステップＳ７０２で示したＤＢアクセスログレコードの検索処理をおこなう。第２の検索部１４１２および第３の検索部１４１３については後述する。
【０１０８】
また、アクセス元特定部１４０４は、第１の検索部１４１１によって検索された第１のログレコードに基づいて、当該第１のログレコードの記録日時に追跡対象データにアクセス可能なアクセス元を特定する。具体的には、たとえば、ステップＳ７０２で示したＤＢアクセスログレコードのタイムスタンプに示されている記録日時ＴLDSにおいて、追跡対象データにアクセス可能なアクセス元、たとえば、クライアント端末ＣおよびＤＢサーバ１０３以外のＷｅｂサーバ１０１、メールサーバ１０２、業務アプリケーションサーバ１０４を特定する。より具体的には、図７のステップＳ７０７で示した特定処理をおこなう。
【０１０９】
また、第２の検索部１４１２は、アクセス元特定部１４０４によって特定されたアクセス元のログの中から、第１のログレコードに相当する第２のログレコードを検索する。具体的には、たとえば、図７のステップＳ７０９で示した、ＬＤＳに相当するログレコード（第２のログレコード）の検索処理をおこなう。
【０１１０】
また、クライアント端末特定部１４０５は、第２の検索部１４１２によって検索された第２のログレコードに基づいて、追跡対象データにアクセスしたクライアント端末Ｃを特定する。具体的には、たとえば、図７のステップＳ７１１で示した特定処理をおこなう。
【０１１１】
また、第３の検索部１４１３は、クライアント端末特定部１４０５によって特定されたクライアント端末Ｃの操作ログの中から、当該クライアント端末Ｃが追跡対象データを取得した後の第３のログレコードを検索する。具体的には、たとえば、図７のステップＳ７１３のログレコードの抽出処理をおこなう。
【０１１２】
また、算出部１４０６は、第３の検索部１４１３によって検索された第３のログレコードに基づいて、クライアント端末Ｃを操作したユーザの不審度を算出する。具体的には、たとえば、図７のステップＳ７１５（図１２のステップＳ１２０１〜ステップＳ１２０３）で示した不審度算出処理をおこなう。
【０１１３】
また、出力部１４０７は、算出部１４０６によって算出された算出結果に基づいて、追跡対象データの追跡結果を出力する。具体的には、たとえば、図７のステップＳ７１５で示した追跡結果の表示処理をおこなって、図８に示した追跡結果を示す表示画面をディスプレイ２０８に表示する。
【０１１４】
なお、上述した収集部１４０１、入力部１４０２、検索処理部１４０３、アクセス元特定部１４０４、クライアント端末特定部１４０５、算出部１４０６、および出力部１４０７は、具体的には、たとえば、図２に示したＲＯＭ２０２、ＲＡＭ２０３、ＨＤ２０５などの記録媒体に記録されたプログラムを、ＣＰＵ２０１が実行することによって、またはＩ／Ｆ２０９によって、その機能を実現する。
【０１１５】
（監査証跡追跡装置の機能的構成の他の例）
つぎに、この発明の実施の形態にかかる監査証跡追跡装置の機能的構成の他の例について説明する。図１５は、この発明の実施の形態にかかる監査証跡追跡装置の機能的構成の他の例を示すブロック図である。なお、図１４に示した構成と同一構成には同一符号を付し、その説明を省略する。
【０１１６】
図１５において、監査証跡追跡装置１５００は、収集部１４０１と、入力部１４０２と、検索処理部１５０１と、照合部１５０２と、算出部１５０３と、判定部１５０４と、出力部１５０５と、から構成されており、図１に示した管理サーバ１０５に相当する。
【０１１７】
検索処理部１５０１は、第１の検索部１５１１と、第２の検索部１５１２とを備えている。第１の検索部１５１１は、データベースに対してアクセスがあった場合に記録されるアクセスログから、入力部１４０２によって入力された検索条件に合致する第１のログレコードを検索する。具体的には、たとえば、図１３のステップＳ１３０２で示したＤＢアクセスログレコード（第１のログレコード）の検索処理をおこなう。
【０１１８】
また、第２の検索部１５１２は、クライアント端末Ｃの操作ログの中から、第１の検索部１５１１によって検索された第１のログレコードの記録日時の時間帯に含まれる記録日時の第２のログレコードを検索する。具体的には、たとえば、図１３のステップＳ１３０５で示したログレコードＬＣ（第２のログレコード）の抽出処理をおこなう。
【０１１９】
また、照合部１５０２は、第１のログレコードと第２の検索部１５１２によって検索された第２のログレコードとに記録されているユーザ識別情報との同一性を照合する。具体的には、たとえば、図１３のステップＳ１３１２で示したユーザＩＤの同一性の照合処理をおこなう。
【０１２０】
また、出力部１５０５は、照合部１５０２によって照合された照合結果に基づいて、追跡対象データの追跡結果を出力する。具体的には、たとえば、図１３のステップＳ１３１３およびステップＳ１３１４で示した追跡結果の表示処理をおこなって、図８に示した追跡結果を示す表示画面をディスプレイ２０８に表示する。
【０１２１】
また、算出部１５０３は、第２の検索部１５１２によって検索された第２のログレコードに基づいて、クライアント端末Ｃを操作したユーザの不審度を算出する。具体的には、たとえば、第２のログレコードであるログレコードＬＣについて、図１３のステップＳ１３０６（図１２のステップＳ１２０１〜ステップＳ１２０３）で示した不審度算出処理をおこなう。
【０１２２】
また、判定部１５０４は、算出部１５０３によって算出された不審度が所定のしきい値以上であるか否かを判定する。具体的には、たとえば、図１３のステップＳ１３０７で示した判定処理をおこなう。この場合、照合部１５０２は、判定結果に基づいて、すなわち、不審度が所定のしきい値以上であるログレコードＬＣを第２のログレコードとして、第１のログレコードのユーザＩＤとの同一性を照合する。
【０１２３】
なお、上述した収集部１４０１、入力部１４０２、検索処理部１５０１、照合部１５０２、算出部１５０３、判定部１５０４、および出力部１５０５は、具体的には、たとえば、図２に示したＲＯＭ２０２、ＲＡＭ２０３、ＨＤ２０５などの記録媒体に記録されたプログラムを、ＣＰＵ２０１が実行することによって、またはＩ／Ｆ２０９によって、その機能を実現する。
【０１２４】
このように、上述した実施の形態によれば、たとえば、悪意のある情報システム１００内のユーザが、情報システム１００（たとえば、顧客情報検索システム）を利用して、当該ユーザのクライアント端末ＣからＤＢ１３０にアクセスしてＤＢ１３０内の顧客情報をダウンロードし、ダウンロードした顧客情報を電子メールで自宅のパーソナル・コンピュータに送信する。この後、当該顧客情報の漏洩が発覚した場合、管理者は、管理者端末１１０から管理サーバ１０５にアクセスし、情報漏洩をおこなったユーザとその情報漏洩操作履歴を追跡することができる。
【０１２５】
つぎに、この発明の実施の形態にかかる管理サーバ１０５におけるさらに他の監査証跡（ログ）追跡処理手順について説明する。ここでは、上述した不審度算出処理（ステップＳ７１４またはステップＳ１３０６）において、ユーザによって操作されたファイルの情報機密度をさらに考慮して不審度を算出する。
【０１２６】
情報機密度は、クライアント端末Ｃの操作対象となるファイルおよびＤＢ１３０内に設けられたＤＢテーブルごとに定義されている。具体的には、たとえば、情報機密度は、各ファイルまたはＤＢテーブルの内容の重要度に応じて設定された機密度点数（整数値）によって示され、機密度管理ファイルにファイル名などと関連付けて保存される。なお、ファイルごとに設定された機密度点数を、ファイル名と関連付けて直接ＤＢ１３０に保存する構成としてもよい。
【０１２７】
機密度管理ファイルは、データ内容の重要度の変更を追跡するために用いる、いわばデータ内容の監査証跡である。機密度管理ファイルは、ファイルに対して操作をおこなったクライアント端末ＣまたはＤＢ１３０を識別するための端末識別子と、クライアント端末ＣのファイルのフルパスまたはＤＢ１３０内のＤＢテーブル名と、ファイルごとに定義された情報機密度を示す機密度点数と、機密度点数が定義された時刻を示す機密度開始時刻と、定義された機密度点数が変更された時刻を示す機密度終了時刻と、を含んで構成されている。
【０１２８】
また、機密度管理ファイルは、たとえば、データをカンマで区切って並べたＣＳＶ（Ｃｏｍｍａ Ｓｅｐａｒａｔｅｄ Ｖａｌｕｅｓ）形式で記述されており、端末識別子、ファイルのフルパス、機密度点数、機密度開始時刻および機密度終了時刻を示すデータが順に並べられた状態で保存されている。
【０１２９】
さらに、機密度管理ファイルに保存される内容は、ユーザによるデータ内容の変更にともなって時間的に変化していく。このため、機密度管理ファイルは、一定時間（たとえば１日）ごとに内容を更新するべきかどうか調べる必要がある。ここで、機密度管理ファイルの内容を更新する際に、管理サーバ１０５が実行する監査証跡（ログ）更新処理について説明する。
【０１３０】
図１６−１および図１６−２は、この発明にかかる管理サーバ１０５における監査証跡（ログ）更新処理手順を示すフローチャートである。ここでは、ＤＢ１３０などに保存されているログが時間的に古い順に保存されている性質を利用して、古いデータから順に保存されているすべてのデータについて監査証跡の追跡をおこなう。図１６−１において、管理サーバ１０５は、ＤＢサーバ１０３に記録されている監査証跡となるＤＢログを１行読み込む（ステップＳ１６０１）。
【０１３１】
監査証跡となるＤＢログには、ＤＢログが格納されているＤＢテーブルのテーブル名、ＤＢサーバ１０３にアクセスしたアクセス日時、クライアント端末Ｃの識別情報およびＷｅｂサーバ１０１のＩＰアドレスを示す情報が含まれている。なお、ＤＢテーブルのテーブル名には、ＤＢログに含まれている情報の重要度を示す情報機密度が付されており、この情報機密度は機密度点数によってあらわされている。
【０１３２】
つぎに、ステップＳ１６０１においてＤＢログが読み込めたか否かを判断する（ステップＳ１６０２）。そして、ログが読み込めた場合には（ステップＳ１６０２：Ｙｅｓ）、読み込んだＤＢログの中にクライアント端末Ｃの識別情報があるか否かを判断する（ステップＳ１６０３）。
【０１３３】
ここで、クライアント端末Ｃの識別情報があった場合（ステップＳ１６０３：Ｙｅｓ）、読み込んだＤＢログからＷｅｂのＩＰアドレスを取得する（ステップＳ１６０４）。なお、クライアント端末Ｃの識別情報がなかった場合には（ステップＳ１６０３：Ｎｏ）、ステップＳ１６０１に戻る。
【０１３４】
つぎに、ステップＳ１６０４において取得したＷｅｂのＩＰアドレスに対応したＷｅｂファイルを開く（ステップＳ１６０５）。そして、開いたＷｅｂファイルのＷｅｂログを１行読み込む（ステップＳ１６０６）。監査証跡となるＷｅｂログには、Ｗｅｂサーバ１０１にアクセスしたアクセス日時、クライアント端末Ｃの識別情報を示す情報が含まれている。
【０１３５】
つぎに、ステップＳ１６０１において読み込んだＤＢログに含まれるアクセス日時と、ステップＳ１６０６において読み込んだＷｅｂログに含まれるアクセス日時とがほぼ一致しているか否かを判断する（ステップＳ１６０７）。ここで、一致していない場合は（ステップＳ１６０７：Ｎｏ）、ＤＢログに含まれるアクセス日時がＷｅｂログに含まれるアクセス日時以降の日時か否かを判断する（ステップＳ１６０８）。
【０１３６】
ここで、ＤＢログに含まれるアクセス日時がＷｅｂログに含まれるアクセス日時以降の日時であった場合は（ステップＳ１６０８：Ｙｅｓ）、ステップＳ１６０６に戻る。また、ＤＢログに含まれるアクセス日時がＷｅｂログに含まれるアクセス日時以前の日時であった場合は（ステップＳ１６０８：Ｎｏ）、ステップＳ１６０１に戻る。
【０１３７】
ステップＳ１６０７において、ＤＢログに含まれるアクセス日時とＷｅｂログに含まれるアクセス日時とがほぼ一致した場合は（ステップＳ１６０７：Ｙｅｓ）、ＤＢログに含まれるクライアント端末Ｃの識別情報とＷｅｂログに含まれるクライアント端末Ｃの識別情報とが一致しているか否かを判断する（ステップＳ１６０９）。
【０１３８】
ここで、クライアント端末Ｃの識別情報が一致している場合は（ステップＳ１６０９：Ｙｅｓ）、クライアント端末Ｃの識別情報からユーザＩＤを特定し、クライアント端末ＣのＩＰアドレスを取得する（ステップＳ１６１０）。具体的には、たとえば、図３に示した共有ストレージ３０８によりクライアント端末Ｃの識別情報に関連付けられてユーザＩＤが記録されている場合には、ステップＳ１６０９において一致したクライアント端末Ｃの識別情報に関連付けられたユーザＩＤを検出することによって、ユーザＩＤを特定し、ユーザＩＤに対応したＩＰアドレスを取得することができる。
【０１３９】
ステップＳ１６１０においてクライアント端末ＣのＩＰアドレスを取得した後は、図１６−２に示すフローチャートのステップＳ１６１１に移行する。なお、クライアント端末Ｃの識別情報が一致していない場合は（ステップＳ１６０９：Ｎｏ）、ステップＳ１６０６に戻る。
【０１４０】
つぎに、ステップＳ１６１０において取得したＩＰアドレスに対応したクライアント端末Ｃの操作ログファイルを開く（ステップＳ１６１１）。そして、開いた操作ログファイルの操作ログを１行読み込む（ステップＳ１６１２）。監査証跡となる操作ログには、クライアント端末ＣがＷｅｂサーバ１０１などにアクセスしたアクセス日時、クライアント端末ＣのＩＰアドレスおよびユーザによっておこなわれたファイル操作を示す情報が含まれている。
【０１４１】
つぎに、ステップＳ１６０６において読み込んだＷｅｂログに含まれるアクセス日時と、ステップＳ１６１２において読み込んだ操作ログに含まれるアクセス日時とがほぼ一致しているか否かを判断する（ステップＳ１６１３）。ここで、一致していない場合は（ステップＳ１６１３：Ｎｏ）、Ｗｅｂログに含まれるアクセス日時が操作ログに含まれるアクセス日時以降の日時か否かを判断する（ステップＳ１６１４）。
【０１４２】
ここで、Ｗｅｂログに含まれるアクセス日時が操作ログに含まれるアクセス日時以降の日時であった場合は（ステップＳ１６１４：Ｙｅｓ）、ステップＳ１６１２に戻る。また、Ｗｅｂログに含まれるアクセス日時が操作ログに含まれるアクセス日時以前の日時であった場合は（ステップＳ１６１４：Ｎｏ）、図１６−１に示すステップＳ１６０１に移行する。
【０１４３】
ステップＳ１６１３において、Ｗｅｂログに含まれるアクセス日時と操作ログに含まれるアクセス日時とがほぼ一致した場合は（ステップＳ１６１３：Ｙｅｓ）、ＷｅｂのＩＰアドレスとクライアント端末ＣのＩＰアドレスとが一致しているか否かを判断する（ステップＳ１６１５）。
【０１４４】
ここで、ＩＰアドレスが一致している場合は（ステップＳ１６１５：Ｙｅｓ）、ユーザによって操作された操作内容がファイルの作成か否かを判断する（ステップＳ１６１６）。具体的には、たとえば、ユーザがクライアント端末ＣにおいてＷｅｂブラウザを用いてファイルを作成したか否か判断する。
【０１４５】
そして、操作内容が作成であった場合は（ステップＳ１６１６：Ｙｅｓ）、作成されたファイルに関する情報を機密度管理ファイルに保存する（ステップＳ１６１７）。その後、図１６−１に示すステップＳ１６０１に移行して、すべてのＤＢログの読み込みが終了するまで図１６−１および図１６−２に示すフローチャートによる一連の処理を繰り返す。なお、ステップＳ１６１５において、ＩＰアドレスが一致していない場合は（ステップＳ１６１５：Ｎｏ）、ステップＳ１６１２に戻る。
【０１４６】
ここで、作成されたファイルに関する情報とは、ファイルの作成日時、ファイル名、クライアント端末Ｃの識別情報および機密度点数などが含まれる。また、機密度管理ファイルに保存される機密度点数は、ステップＳ１６０１において読み込まれたＤＢログに含まれるＤＢテーブルのテーブル名に付されている機密度点数と同様のものである。
【０１４７】
そして、すべてのＤＢログの読み込みが終了し、ステップＳ１６０２においてＤＢログが読み込めないと判断された場合は（ステップＳ１６０２：Ｎｏ）、図１６−１および図１６−２に示すフローチャートによる一連の処理を終了する。なお、ステップＳ１６１６において操作内容が作成でなかった場合は（ステップＳ１６１６：Ｎｏ）、ステップＳ１６１２に戻る。
【０１４８】
つぎに、クライアント端末Ｃの操作ログファイルを追跡することによって機密度管理ファイルの内容を更新する際の、管理サーバ１０５の監査証跡更新処理手順について説明する。図１７は、この発明にかかる管理サーバ１０５における他の監査証跡（ログ）更新処理手順を示すフローチャートである。なお、ここで説明する監査証跡更新処理は、情報システム１００内のすべてのクライアント端末Ｃの操作ログファイルに対して、一定時間（たとえば１日）ごとに実行されるようにしてもよい。
【０１４９】
図１７において、管理サーバ１０５は、クライアント端末Ｃの操作ログファイルを開く（ステップＳ１７０１）。そして、開いた操作ログファイルの操作ログを１行読み込む（ステップＳ１７０２）。操作ログには、上述したように、クライアント端末ＣがＷｅｂサーバ１０１などにアクセスしたアクセス日時、クライアント端末ＣのＩＰアドレスおよびユーザによっておこなわれたファイル操作を示す情報が含まれている。
【０１５０】
つぎに、読み込んだ操作ログに基づいて、ユーザによって操作されたファイルの操作内容を判断する（ステップＳ１７０３）。ここで、ユーザによって操作される操作内容は、たとえば、ファイルの作成、ファイルの削除、ファイルの変名（リネーム）、ファイルの複写（コピー）、ファイル操作するためのプログラム（たとえばＷｅｂブラウザ）を起動、クライアント端末Ｃの電源のＯＮ／ＯＦＦなどを含む。
【０１５１】
そして、ユーザによって操作されたファイルの操作内容に応じて、機密度管理ファイルの内容を更新する（ステップＳ１７０４）。ここで、図１８−１〜図１８−６を用いて、ファイルの操作内容に応じて変化する機密度管理ファイルの内容についての詳細な説明をする。
【０１５２】
図１８−１は、新規ファイルが作成された場合の一例を示す説明図である。図１８−１に示すように、ユーザのクライアント端末Ｃにおいて、時刻「ｔ１」にファイル名「Ｆ」の新規ファイルが作成されている。ここで、ユーザのクライアント端末Ｃを示す端末識別子は、「ＣＯＭ１」であり、ファイル名「Ｆ」のファイルの情報機密度を示す機密度点数は「ｓ１」である。
【０１５３】
このとき、機密度管理ファイルには、『ＣＯＭ１，Ｆ，ｓ１，ｔ１』のデータがあらたに保存される。なお、機密度点数「ｓ１」は、時刻「ｔ１」以降の任意の時刻「Ｔ１」の時点では継続して設定されているため、機密度点数「ｓ１」の機密度終了時刻はここでは保存しない。
【０１５４】
また、ユーザが新規ファイル「Ｆ」を作成した時点で、すでに同一ファイル名「Ｆ」のファイルが存在している場合は、機密度点数をあらたに作成した新規ファイル「Ｆ」の内容に基づいて設定されている機密度点数に更新して保存するようにしてもよい。
【０１５５】
つぎに、図１８−２は、同一ファイル名で異なる情報機密度のファイルが保存された場合の一例を示す説明図である。図１８−２に示すように、時刻「ｔ１」においてファイル名「Ｆ」の新規ファイルが作成された後、時刻「ｔ２」において同一ファイル名「Ｆ」でファイルが上書き保存されている。
【０１５６】
具体的には、同一のファイル名ではあるがファイルの情報機密度がそれぞれ異なるため、ファイル名「Ｆ」のファイルが上書き保存されたことによってファイルの内容が更新され、機密度点数が「ｓ１」から「ｓ２」に変わっている。また、機密度点数が「ｓ１」から「ｓ２」に変わったことにより、機密度点数「ｓ１」の機密度終了時刻「ｔ２」および機密度点数「ｓ２」の機密度開始時刻「ｔ２」が確定する。
【０１５７】
このため、機密度管理ファイルには、機密度点数「ｓ１」の機密度終了時刻および時刻「ｔ２」において上書き保存されたファイルに関するデータがあらたに保存される。具体的に、機密度管理ファイルには、『ＣＯＭ１，Ｆ，ｓ１，ｔ１』および『ＣＯＭ１，Ｆ，ｓ２，ｔ２』が保存される。なお、機密度点数「ｓ２」は、時刻「ｔ２」以降の任意の時刻「Ｔ２」の時点では継続して設定されているため、機密度点数「ｓ２」の機密度終了時刻はここでは書き込まない。
【０１５８】
つぎに、図１８−３は、ファイルが削除された場合の一例を示す説明図である。図１８−３に示すように、時刻「ｔ２」においてファイル名「Ｆ」のファイルが上書き保存された後、時刻「ｔ３」においてファイルが削除されている。具体的には、ファイルが削除されることによって、時刻「ｔ２」において設定された機密度点数「ｓ２」の機密度終了時刻が時刻「ｔ３」に確定する。
【０１５９】
このため、時刻「ｔ２」において上書き保存されたファイルの機密度終了時刻があらたに保存される。具体的には、機密度管理ファイルには、『ＣＯＭ１，Ｆ，ｓ１，ｔ１，ｔ２』および『ＣＯＭ１，Ｆ，ｓ２，ｔ２，ｔ３』が保存される。なお、時刻「ｔ３」以降の任意の時刻「Ｔ３」の時点ではファイル「Ｆ」は存在しないため、機密度点数も存在しない。
【０１６０】
つぎに、図１８−４は、同一ファイル名であらたにファイルが作成された場合の一例を示す説明図である。図１８−４に示すように、時刻「ｔ３」においてファイルが削除された後、時刻「ｔ４」においてファイル名「Ｆ」の新規ファイルが作成されている。具体的には、ファイル名「Ｆ」の新規ファイルが作成されたことにより、時刻「ｔ４」において機密度点数「ｓ４」および機密度点数「ｓ４」の機密度開始時刻が確定する。
【０１６１】
これにより、機密度管理ファイルには、時刻「ｔ４」において作成されたファイルに関するデータがあらたに保存される。具体的に、機密度管理ファイルには、『ＣＯＭ１，Ｆ，ｓ１，ｔ１』，『ＣＯＭ１，Ｆ，ｓ２，ｔ２』および『ＣＯＭ１，Ｆ，ｓ４，ｔ４』が保存される。なお、機密度点数「ｓ４」は、時刻「ｔ４」以降の任意の時刻「Ｔ４」の時点では継続して設定されているため、機密度点数「ｓ４」の機密度終了時刻はここでは書き込まない。
【０１６２】
つぎに、図１８−５は、ファイルが複写（コピー）された場合の一例を示す説明図である。図１８−５に示すように、時刻「ｔ１」においてファイル名「Ｆ」の新規ファイルが作成された後、時刻「ｔ５」においてファイル名「Ｆ」のファイルを複写してファイル名「Ｆ２」のあらたな新規ファイルが作成されている。
【０１６３】
ここで、ファイル名「Ｆ」のファイルを複写することによって作成されたファイル名「Ｆ２」の新規ファイルの内容は、ファイル名「Ｆ」のファイル内容と同一である。このため、ファイル名「Ｆ２」のファイルの機密度点数として、ファイル名「Ｆ」の機密度点数と同一の「ｓ１」が確定するとともに、ファイル名「Ｆ２」のファイルの機密度点数「ｓ１」の機密度開始時刻「ｔ５」が確定する。
【０１６４】
これにより、機密度管理ファイルには、時刻「ｔ５」において作成されたファイル名「Ｆ２」のファイルに関するデータがあらたに保存される。具体的に、機密度管理ファイルには、『ＣＯＭ１，Ｆ，ｓ１，ｔ１』および『ＣＯＭ１，Ｆ２，ｓ１，ｔ５』が保存される。なお、ファイル名「Ｆ」およびファイル名「Ｆ２」のファイルにおける機密度点数「ｓ１」は、時刻「ｔ５」以降の任意の時刻「Ｔ５」の時点では継続して設定されているため、機密度点数「ｓ１」の機密度終了時刻はここでは書き込まない。
【０１６５】
つぎに、図１８−６は、ファイルのファイル名が変名（リネーム）された場合の一例を示す説明図である。図１８−６に示すように、時刻「ｔ１」においてファイル名「Ｆ」の新規ファイルが作成された後、時刻「ｔ６」においてファイル名「Ｆ」がファイル名「Ｆ２」に変名されている。
【０１６６】
具体的には、ファイル名が変名されることにより、時刻「ｔ１」において設定されたファイル名「Ｆ」の機密度点数「ｓ１」の機密度終了時刻「ｔ６」が確定する。また、ファイル名「Ｆ」からファイル名「Ｆ２」に変名することによって、時刻「ｔ６」においてファイル名「Ｆ２」の機密度点数「ｓ１」および機密度点数「ｓ１」の機密度開始時刻「ｔ６」が確定する。
【０１６７】
これにより、機密度管理ファイルには、『ＣＯＭ１，Ｆ，ｓ１，ｔ１，ｔ６』および『ＣＯＭ１，Ｆ２，ｓ１，ｔ６』が保存される。なお、ファイル名「Ｆ２」の機密度点数「ｓ１」は、時刻「ｔ６」以降の任意の時刻「Ｔ６」の時点では継続して設定されているため、ファイル「Ｆ２」における機密度点数「ｓ１」の機密度終了時刻はここでは書き込まない。
【０１６８】
また、ユーザによっておこなわれた操作が、たとえば、ファイル操作するためのプログラム（たとえばＷｅｂブラウザ）を起動、クライアント端末Ｃの電源のＯＮ／ＯＦＦなどの操作であった場合、機密度管理ファイルの内容の更新はおこなわない。
【０１６９】
ここで、図１７に示すフローチャートの説明に戻る。そして、ステップＳ１７０４において、上述したようにユーザによっておこなわれたファイル操作に応じて、機密度管理ファイルの更新がおこなわれた場合、つぎに、すべての操作ログの読み込みが終了したか否かを判断する（ステップＳ１７０５）。
【０１７０】
ここで、すべての操作ログの読み込みが終了していない場合は（ステップＳ１７０５：Ｎｏ）、ステップＳ１７０２に戻り、すべての操作ログの読み込みが終了するまで一連の処理を繰り返す。そして、ステップＳ１７０５においてすべての操作ログの読み込みが終了した場合は（ステップＳ１７０５：Ｙｅｓ）、本フローチャートによる一連の処理を終了する。
【０１７１】
つぎに、ファイルの情報機密度を考慮して不審度を算出する際の不審度算出処理手順について説明する。図１９は、ステップＳ７１４（またはステップＳ１３０６）で示した不審度算出処理手順を示すフローチャートである。ここでは、クライアント端末Ｃの操作対象となるデータ（ファイルなど）の重要度を示す情報機密度に基づいて、不審度を算出する。
【０１７２】
図１９において、管理サーバ１０５は、クライアント端末Ｃの操作ログファイルを開く（ステップＳ１９０１）。具体的には、たとえば、特定されたクライアント端末Ｃ（たとえば図７に示すステップＳ７１１において特定されたクライアント端末Ｃ）の操作ログファイルを開く。
【０１７３】
そして、開いた操作ログファイルの操作ログを１行読み込む（ステップＳ１９０２）。つぎに、読み込んだ操作ログに基づいて、ユーザによっておこなわれたファイルの操作内容を判断する（ステップＳ１９０３）。具体的には、たとえば、ユーザがブラウザなどでデータファイルを保存（保存先がリムーバブルディスク以外）したか、添付ファイル付きメール送信したか、あるいは、ファイルを印刷したかを判断する。
【０１７４】
つぎに、ステップＳ１９０３において判断された操作内容に基づいて、操作内容に対応する点数を加算する（ステップＳ１９０４）。具体的には、たとえば、操作内容に対応する点数を図９に示した配点表から抽出して加算する。ここで、操作内容に対応する操作が図９に示されていない場合は、点数を加算しない。
【０１７５】
そして、ステップＳ１９０３において判断された操作内容に基づいて、連続操作内容に対応する点数を加算する（ステップＳ１９０５）。具体的には、たとえば、連続操作内容に対応する点数を図１０に示した配点表から抽出して加算する。ここで、連続操作内容に対応する操作が図１０に示されていない場合は、点数を加算しない。
【０１７６】
さらに、ステップＳ１９０２において読み込まれた操作ログに含まれるアクセス日時に対応する加重係数を算出された点数と乗算する（ステップＳ１９０６）。具体的には、ステップＳ１９０２において読み込まれた操作ログに含まれるアクセス日時に基づいて、加重係数を図１１に示した係数表から抽出し、ステップＳ１９０５で算出された点数と乗算する。
【０１７７】
つぎに、機密度管理ファイルから操作されたファイルに対応する機密度点数を取得する（ステップＳ１９０７）。具体的には、ユーザによって操作されたファイルのファイル名に関連付けられて保存されている機密度点数を機密度管理ファイルから取得する。そして、ステップＳ１９０６で算出された点数およびステップＳ１９０７で取得された機密度点数に基づいて、不審度を算出する（ステップＳ１９０８）。具体的には、たとえば、ステップＳ１９０６で算出された点数にステップＳ１９０７で取得された機密度点数を乗算することによって不審度を算出するようにしてもよい。
【０１７８】
この後、すべての操作ログを読み込んだか否かを判断し（ステップＳ１９０９）、すべての操作ログを読み込んだ場合は（ステップＳ１９０９：Ｙｅｓ）、図７に示すステップＳ７１５（または図１３に示すステップＳ１３０７）に移行する。なお、すべての操作ログを読み込んでいない場合は（ステップＳ１９０９：Ｎｏ）、ステップＳ１９０２に戻る。
【０１７９】
以上説明したように、監査証跡追跡装置、監査証跡追跡方法および監査証跡追跡プログラムによれば、監査証跡となるログの収集および分析を容易にすることにより、効率的なログの追跡をおこなって、情報漏洩の抑止力の向上を図ることができるという効果を奏する。
【０１８０】
なお、本実施の形態で説明した監査証跡追跡方法は、予め用意されたプログラムをパーソナル・コンピュータやワークステーションなどのコンピュータで実行することにより実現することができる。このプログラムは、ハードディスク、フレキシブルディスク、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤなどのコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行される。またこのプログラムは、インターネット１２０などのネットワークを介して配布することが可能な伝送媒体であってもよい。
【０１８１】
（付記１）データベースに記憶されている追跡対象データに関する検索条件の入力を受け付ける入力手段と、
前記データベースに対してアクセスがあった場合に記録されるアクセスログの中から、前記入力手段によって入力された検索条件に合致する第１のログレコードを検索する第１の検索手段と、
前記第１の検索手段によって検索された第１のログレコードに基づいて、当該第１のログレコードの記録日時に前記追跡対象データにアクセス可能なアクセス元を特定するアクセス元特定手段と、
前記アクセス元特定手段によって特定されたアクセス元のログの中から、前記第１のログレコードに相当する第２のログレコードを検索する第２の検索手段と、
前記第２の検索手段によって検索された第２のログレコードに基づいて、前記追跡対象データにアクセスしたクライアント端末を特定するクライアント端末特定手段と、
を備えることを特徴とする監査証跡追跡装置。
【０１８２】
（付記２）前記クライアント端末特定手段によって特定されたクライアント端末の操作ログの中から、当該クライアント端末が前記追跡対象データを取得した後の第３のログレコードを検索する第３の検索手段と、
前記第３の検索手段によって検索された第３のログレコードに基づいて、前記クライアント端末を操作したユーザの不審度を算出する算出手段と、
前記算出手段によって算出された算出結果に基づいて、前記追跡対象データの追跡結果を出力する出力手段と、
を備えることを特徴とする付記１に記載の監査証跡追跡装置。
【０１８３】
（付記３）前記算出手段は、
前記第３のログレコードに記録されている前記クライアント端末の操作内容に基づいて、前記不審度を算出することを特徴とする付記２に記載の監査証跡追跡装置。
【０１８４】
（付記４）前記算出手段は、
前記第３のログレコードに記録されている前記クライアント端末の連続操作内容に基づいて、前記不審度を算出することを特徴とする付記２または３に記載の監査証跡追跡装置。
【０１８５】
（付記５）前記算出手段は、
前記第３のログレコードに記録されている前記クライアント端末の操作日時に基づいて、前記不審度を算出することを特徴とする付記２〜４のいずれか一つに記載の監査証跡追跡装置。
【０１８６】
（付記６）前記算出手段は、
前記クライアント端末の操作対象となるデータの重要度を示す情報機密度に基づいて、前記不審度を算出することを特徴とする付記２〜５のいずれか一つに記載の監査証跡追跡装置。
【０１８７】
（付記７）データベースに記憶されている追跡対象データに関する検索条件の入力を受け付ける入力手段と、
前記データベースに対してアクセスがあった場合に記録されるアクセスログの中から、前記入力手段によって入力された検索条件に合致する第１のログレコードを検索する第１の検索手段と、
クライアント端末の操作ログの中から、前記第１の検索手段によって検索された第１のログレコードの記録日時の時間帯に含まれる記録日時の第２のログレコードを検索する第２の検索手段と、
前記第１のログレコードと前記第２の検索手段によって検索された第２のログレコードとに記録されているユーザ識別情報との同一性を照合する照合手段と、
前記照合手段によって照合された照合結果に基づいて、前記追跡対象データの追跡結果を出力する出力手段と、
を備えることを特徴とする監査証跡追跡装置。
【０１８８】
（付記８）前記第２の検索手段によって検索された第２のログレコードに基づいて、前記クライアント端末を操作したユーザの不審度を算出する算出手段と、
前記算出手段によって算出された不審度が所定のしきい値以上であるか否かを判定する判定手段と、を備え、
前記照合手段は、
前記判定手段によって判定された判定結果に基づいて、前記第１のログレコードと前記第２のログレコードとに記録されているユーザ識別情報との同一性を照合することを特徴とする付記７に記載の監査証跡追跡装置。
【０１８９】
（付記９）前記算出手段は、
前記第２のログレコードに記録されている前記クライアント端末の操作内容に基づいて、前記不審度を算出することを特徴とする付記８に記載の監査証跡追跡装置。
【０１９０】
（付記１０）前記算出手段は、
前記第２のログレコードに記録されている前記クライアント端末の連続操作内容に基づいて、前記不審度を算出することを特徴とする付記８または９に記載の監査証跡追跡装置。
【０１９１】
（付記１１）前記算出手段は、
前記第２のログレコードに記録されている前記クライアント端末の操作日時に基づいて、前記不審度を算出することを特徴とする付記８〜１０のいずれか一つに記載の監査証跡追跡装置。
【０１９２】
（付記１２）前記算出手段は、
前記クライアント端末の操作対象となるデータの重要度を示す情報機密度に基づいて、前記不審度を算出することを特徴とする付記８〜１１のいずれか一つに記載の監査証跡追跡装置。
【０１９３】
（付記１３）データベースに記憶されている追跡対象データに関する検索条件の入力を受け付ける入力工程と、
前記データベースに対してアクセスがあった場合に記録されるアクセスログの中から、前記入力工程によって入力された検索条件に合致する第１のログレコードを検索する第１の検索工程と、
前記第１の検索工程によって検索された第１のログレコードに基づいて、当該第１のログレコードの記録日時に前記追跡対象データにアクセス可能なアクセス元を特定するアクセス元特定工程と、
前記アクセス元特定工程によって特定されたアクセス元のログの中から、前記第１のログレコードに相当する第２のログレコードを検索する第２の検索工程と、
前記第２の検索工程によって検索された第２のログレコードに基づいて、前記追跡対象データにアクセスしたクライアント端末を特定するクライアント端末特定工程と、
を含んだことを特徴とする監査証跡追跡方法。
【０１９４】
（付記１４）前記クライアント端末特定工程によって特定されたクライアント端末の操作ログの中から、当該クライアント端末が前記追跡対象データを取得した後の第３のログレコードを検索する第３の検索工程と、
前記第３の検索工程によって検索された第３のログレコードに基づいて、前記クライアント端末を操作したユーザの不審度を算出する算出工程と、
前記算出工程によって算出された算出結果に基づいて、前記追跡対象データの追跡結果を出力する出力工程と、
を含んだことを特徴とする付記１３に記載の監査証跡追跡方法。
【０１９５】
（付記１５）データベースに記憶されている追跡対象データに関する検索条件の入力を受け付ける入力工程と、
前記データベースに対してアクセスがあった場合に記録されるアクセスログの中から、前記入力工程によって入力された検索条件に合致する第１のログレコードを検索する第１の検索工程と、
クライアント端末の操作ログの中から、前記第１の検索工程によって検索された第１のログレコードの記録日時の時間帯に含まれる記録日時の第２のログレコードを検索する第２の検索工程と、
前記第１のログレコードと前記第２の検索工程によって検索された第２のログレコードとに記録されているユーザ識別情報との同一性を照合する照合工程と、
前記照合工程によって照合された照合結果に基づいて、前記追跡対象データの追跡結果を出力する出力工程と、
を含んだことを特徴とする監査証跡追跡方法。
【０１９６】
（付記１６）データベースに記憶されている追跡対象データに関する検索条件の入力を受け付けさせる入力工程と、
前記データベースに対してアクセスがあった場合に記録されるアクセスログの中から、前記入力工程によって入力された検索条件に合致する第１のログレコードを検索させる第１の検索工程と、
前記第１の検索工程によって検索された第１のログレコードに基づいて、当該第１のログレコードの記録日時に前記追跡対象データにアクセス可能なアクセス元を特定させるアクセス元特定工程と、
前記アクセス元特定工程によって特定されたアクセス元のログの中から、前記第１のログレコードに相当する第２のログレコードを検索させる第２の検索工程と、
前記第２の検索工程によって検索された第２のログレコードに基づいて、前記追跡対象データにアクセスしたクライアント端末を特定させるクライアント端末特定工程と、
をコンピュータに実行させることを特徴とする監査証跡追跡プログラム。
【０１９７】
（付記１７）前記クライアント端末特定工程によって特定されたクライアント端末の操作ログの中から、当該クライアント端末が前記追跡対象データを取得した後の第３のログレコードを検索させる第３の検索工程と、
前記第３の検索工程によって検索された第３のログレコードに基づいて、前記クライアント端末を操作したユーザの不審度を算出させる算出工程と、
前記算出工程によって算出された算出結果に基づいて、前記追跡対象データの追跡結果を出力させる出力工程と、
をコンピュータに実行させることを特徴とする付記１６に記載の監査証跡追跡プログラム。
【０１９８】
（付記１８）データベースに記憶されている追跡対象データに関する検索条件の入力を受け付けさせる入力工程と、
前記データベースに対してアクセスがあった場合に記録されるアクセスログの中から、前記入力工程によって入力された検索条件に合致する第１のログレコードを検索させる第１の検索工程と、
クライアント端末の操作ログの中から、前記第１の検索工程によって検索された第１のログレコードの記録日時の時間帯に含まれる記録日時の第２のログレコードを検索させる第２の検索工程と、
前記第１のログレコードと前記第２の検索工程によって検索された第２のログレコードとに記録されているユーザ識別情報との同一性を照合させる照合工程と、
前記照合工程によって照合された照合結果に基づいて、前記追跡対象データの追跡結果を出力させる出力工程と、
をコンピュータに実行させることを特徴とする監査証跡追跡プログラム。
【０１９９】
（付記１９）付記１６〜１８のいずれか一つに記載の監査証跡追跡プログラムを記録したコンピュータに読み取り可能な記録媒体。
【産業上の利用可能性】
【０２００】
以上のように、本発明にかかる監査証跡追跡装置、監査証跡追跡方法および監査証跡追跡プログラムは、情報システムにおける監査証跡の追跡に有用であり、特に、システムＩＤによってアクセスするＤＢサーバを備える情報システムや、情報内容に秘匿性を要するＤＢを有する情報システム、多数のクライアント端末からアクセスを受けるＤＢサーバを有する情報システムに適している。
【図面の簡単な説明】
【０２０１】
【図１】この発明の実施の形態にかかる情報システムの概要を示すシステム構成図である。
【図２】図１に示した各コンピュータ装置のハードウェア構成を示すブロック図である。
【図３】この発明の実施の形態にかかる情報システムの具体的構成を示す説明図である。
【図４】ユーザ認証リクエストの一例を示す説明図である。
【図５】図３に示したＷｅｂサーバにおける監査証跡（ログ）記録処理を示すフローチャートである。
【図６】図３に示したＥＪＢサーバにおける監査証跡（ログ）記録処理を示すフローチャートである。
【図７】この発明の実施の形態にかかる管理サーバにおける監査証跡（ログ）追跡処理手順を示すフローチャートである。
【図８】追跡結果の表示画面の一例を示す説明図である。
【図９】不審度の操作に関する配点表を示す図表である。
【図１０】不審度の連続操作に関する配点表を示す図表である。
【図１１】不審度の加重係数表を示す図表である。
【図１２】ステップＳ７１４で示した不審度算出処理手順を示すフローチャートである。
【図１３】この発明の実施の形態にかかる管理サーバにおける他の監査証跡（ログ）追跡処理手順を示すフローチャートである。
【図１４】この発明の実施の形態にかかる監査証跡追跡装置の機能的構成の一例を示すブロック図である。
【図１５】この発明の実施の形態にかかる監査証跡追跡装置の機能的構成の他の例を示すブロック図である。
【図１６−１】この発明にかかる管理サーバにおける監査証跡（ログ）更新処理手順を示すフローチャートである。
【図１６−２】この発明にかかる管理サーバにおける監査証跡（ログ）更新処理手順を示すフローチャートである。
【図１７】この発明にかかる管理サーバにおける他の監査証跡（ログ）更新処理手順を示すフローチャートである。
【図１８−１】新規ファイルが作成された場合の一例を示す説明図である。
【図１８−２】同一ファイル名で異なる情報機密度のファイルが保存された場合の一例を示す説明図である。
【図１８−３】ファイルが削除された場合の一例を示す説明図である。
【図１８−４】同一ファイル名であらたにファイルが作成された場合の一例を示す説明図である。
【図１８−５】ファイルが複写（コピー）された場合の一例を示す説明図である。
【図１８−６】ファイルのファイル名が変名（リネーム）された場合の一例を示す説明図である。
【図１９】ステップＳ７１４（またはステップＳ１３０６）で示した不審度算出処理手順を示すフローチャートである。
【符号の説明】
【０２０２】
１００ 情報システム
１０１ Ｗｅｂサーバ
１０２ メールサーバ
１０３ ＤＢサーバ
１０４ 業務アプリケーションサーバ
１０５ 管理サーバ
１１０ 管理者端末
３００ ＥＪＢサーバ
４００ ユーザ認証リクエスト
１４００，１５００ 監査証跡追跡装置
１４０１ 収集部
１４０２ 入力部
１４０３，１５０１ 検索処理部
１４０４ アクセス元特定部
１４０５ クライアント端末特定部
１４０６，１５０３ 算出部
１４０７，１５０５ 出力部
１４１１，１５１１ 第１の検索部
１４１２，１５１２ 第２の検索部
１４１３ 第３の検索部
１５０２ 照合部
１５０４ 判定部
Ｃ（Ｃ１，Ｃ２） クライアント端末
【特許請求の範囲】
【請求項１】
データベースに記憶されている追跡対象データに関する検索条件の入力を受け付ける入力手段と、
前記データベースに対してアクセスがあった場合に記録されるアクセスログの中から、前記入力手段によって入力された検索条件に合致する第１のログレコードを検索する第１の検索手段と、
前記第１の検索手段によって検索された第１のログレコードに基づいて、当該第１のログレコードの記録日時に前記追跡対象データにアクセス可能なアクセス元を特定するアクセス元特定手段と、
前記アクセス元特定手段によって特定されたアクセス元のログの中から、前記第１のログレコードに相当する第２のログレコードを検索する第２の検索手段と、
前記第２の検索手段によって検索された第２のログレコードに基づいて、前記追跡対象データにアクセスしたクライアント端末を特定するクライアント端末特定手段と、
を備えることを特徴とする監査証跡追跡装置。
【請求項２】
前記クライアント端末特定手段によって特定されたクライアント端末の操作ログの中から、当該クライアント端末が前記追跡対象データを取得した後の第３のログレコードを検索する第３の検索手段と、
前記第３の検索手段によって検索された第３のログレコードに基づいて、前記クライアント端末を操作したユーザの不審度を算出する算出手段と、
前記算出手段によって算出された算出結果に基づいて、前記追跡対象データの追跡結果を出力する出力手段と、
を備えることを特徴とする請求項１に記載の監査証跡追跡装置。
【請求項３】
前記算出手段は、
前記クライアント端末の操作対象となるデータの重要度を示す情報機密度に基づいて、前記不審度を算出することを特徴とする請求項２に記載の監査証跡追跡装置。
【請求項４】
データベースに記憶されている追跡対象データに関する検索条件の入力を受け付ける入力手段と、
前記データベースに対してアクセスがあった場合に記録されるアクセスログの中から、前記入力手段によって入力された検索条件に合致する第１のログレコードを検索する第１の検索手段と、
クライアント端末の操作ログの中から、前記第１の検索手段によって検索された第１のログレコードの記録日時の時間帯に含まれる記録日時の第２のログレコードを検索する第２の検索手段と、
前記第１のログレコードと前記第２の検索手段によって検索された第２のログレコードとに記録されているユーザ識別情報との同一性を照合する照合手段と、
前記照合手段によって照合された照合結果に基づいて、前記追跡対象データの追跡結果を出力する出力手段と、
を備えることを特徴とする監査証跡追跡装置。
【請求項５】
前記第２の検索手段によって検索された第２のログレコードに基づいて、前記クライアント端末を操作したユーザの不審度を算出する算出手段と、
前記算出手段によって算出された不審度が所定のしきい値以上であるか否かを判定する判定手段と、を備え、
前記照合手段は、
前記判定手段によって判定された判定結果に基づいて、前記第１のログレコードと前記第２のログレコードとに記録されているユーザ識別情報との同一性を照合することを特徴とする請求項４に記載の監査証跡追跡装置。
【請求項６】
前記算出手段は、
前記クライアント端末の操作対象となるデータの重要度を示す情報機密度に基づいて、前記不審度を算出することを特徴とする請求項５に記載の監査証跡追跡装置。
【請求項７】
データベースに記憶されている追跡対象データに関する検索条件の入力を受け付ける入力工程と、
前記データベースに対してアクセスがあった場合に記録されるアクセスログの中から、前記入力工程によって入力された検索条件に合致する第１のログレコードを検索する第１の検索工程と、
前記第１の検索工程によって検索された第１のログレコードに基づいて、当該第１のログレコードの記録日時に前記追跡対象データにアクセス可能なアクセス元を特定するアクセス元特定工程と、
前記アクセス元特定工程によって特定されたアクセス元のログの中から、前記第１のログレコードに相当する第２のログレコードを検索する第２の検索工程と、
前記第２の検索工程によって検索された第２のログレコードに基づいて、前記追跡対象データにアクセスしたクライアント端末を特定するクライアント端末特定工程と、
を含んだことを特徴とする監査証跡追跡方法。
【請求項８】
データベースに記憶されている追跡対象データに関する検索条件の入力を受け付ける入力工程と、
前記データベースに対してアクセスがあった場合に記録されるアクセスログの中から、前記入力工程によって入力された検索条件に合致する第１のログレコードを検索する第１の検索工程と、
クライアント端末の操作ログの中から、前記第１の検索工程によって検索された第１のログレコードの記録日時の時間帯に含まれる記録日時の第２のログレコードを検索する第２の検索工程と、
前記第１のログレコードと前記第２の検索工程によって検索された第２のログレコードとに記録されているユーザ識別情報との同一性を照合する照合工程と、
前記照合工程によって照合された照合結果に基づいて、前記追跡対象データの追跡結果を出力する出力工程と、
を含んだことを特徴とする監査証跡追跡方法。
【請求項９】
データベースに記憶されている追跡対象データに関する検索条件の入力を受け付けさせる入力工程と、
前記データベースに対してアクセスがあった場合に記録されるアクセスログの中から、前記入力工程によって入力された検索条件に合致する第１のログレコードを検索させる第１の検索工程と、
前記第１の検索工程によって検索された第１のログレコードに基づいて、当該第１のログレコードの記録日時に前記追跡対象データにアクセス可能なアクセス元を特定させるアクセス元特定工程と、
前記アクセス元特定工程によって特定されたアクセス元のログの中から、前記第１のログレコードに相当する第２のログレコードを検索させる第２の検索工程と、
前記第２の検索工程によって検索された第２のログレコードに基づいて、前記追跡対象データにアクセスしたクライアント端末を特定させるクライアント端末特定工程と、
をコンピュータに実行させることを特徴とする監査証跡追跡プログラム。
【請求項１０】
データベースに記憶されている追跡対象データに関する検索条件の入力を受け付けさせる入力工程と、
前記データベースに対してアクセスがあった場合に記録されるアクセスログの中から、前記入力工程によって入力された検索条件に合致する第１のログレコードを検索させる第１の検索工程と、
クライアント端末の操作ログの中から、前記第１の検索工程によって検索された第１のログレコードの記録日時の時間帯に含まれる記録日時の第２のログレコードを検索させる第２の検索工程と、
前記第１のログレコードと前記第２の検索工程によって検索された第２のログレコードとに記録されているユーザ識別情報との同一性を照合させる照合工程と、
前記照合工程によって照合された照合結果に基づいて、前記追跡対象データの追跡結果を出力させる出力工程と、
をコンピュータに実行させることを特徴とする監査証跡追跡プログラム。
【請求項１】
データベースに記憶されている追跡対象データに関する検索条件の入力を受け付ける入力手段と、
前記データベースに対してアクセスがあった場合に記録されるアクセスログの中から、前記入力手段によって入力された検索条件に合致する第１のログレコードを検索する第１の検索手段と、
前記第１の検索手段によって検索された第１のログレコードに基づいて、当該第１のログレコードの記録日時に前記追跡対象データにアクセス可能なアクセス元を特定するアクセス元特定手段と、
前記アクセス元特定手段によって特定されたアクセス元のログの中から、前記第１のログレコードに相当する第２のログレコードを検索する第２の検索手段と、
前記第２の検索手段によって検索された第２のログレコードに基づいて、前記追跡対象データにアクセスしたクライアント端末を特定するクライアント端末特定手段と、
を備えることを特徴とする監査証跡追跡装置。
【請求項２】
前記クライアント端末特定手段によって特定されたクライアント端末の操作ログの中から、当該クライアント端末が前記追跡対象データを取得した後の第３のログレコードを検索する第３の検索手段と、
前記第３の検索手段によって検索された第３のログレコードに基づいて、前記クライアント端末を操作したユーザの不審度を算出する算出手段と、
前記算出手段によって算出された算出結果に基づいて、前記追跡対象データの追跡結果を出力する出力手段と、
を備えることを特徴とする請求項１に記載の監査証跡追跡装置。
【請求項３】
前記算出手段は、
前記クライアント端末の操作対象となるデータの重要度を示す情報機密度に基づいて、前記不審度を算出することを特徴とする請求項２に記載の監査証跡追跡装置。
【請求項４】
データベースに記憶されている追跡対象データに関する検索条件の入力を受け付ける入力手段と、
前記データベースに対してアクセスがあった場合に記録されるアクセスログの中から、前記入力手段によって入力された検索条件に合致する第１のログレコードを検索する第１の検索手段と、
クライアント端末の操作ログの中から、前記第１の検索手段によって検索された第１のログレコードの記録日時の時間帯に含まれる記録日時の第２のログレコードを検索する第２の検索手段と、
前記第１のログレコードと前記第２の検索手段によって検索された第２のログレコードとに記録されているユーザ識別情報との同一性を照合する照合手段と、
前記照合手段によって照合された照合結果に基づいて、前記追跡対象データの追跡結果を出力する出力手段と、
を備えることを特徴とする監査証跡追跡装置。
【請求項５】
前記第２の検索手段によって検索された第２のログレコードに基づいて、前記クライアント端末を操作したユーザの不審度を算出する算出手段と、
前記算出手段によって算出された不審度が所定のしきい値以上であるか否かを判定する判定手段と、を備え、
前記照合手段は、
前記判定手段によって判定された判定結果に基づいて、前記第１のログレコードと前記第２のログレコードとに記録されているユーザ識別情報との同一性を照合することを特徴とする請求項４に記載の監査証跡追跡装置。
【請求項６】
前記算出手段は、
前記クライアント端末の操作対象となるデータの重要度を示す情報機密度に基づいて、前記不審度を算出することを特徴とする請求項５に記載の監査証跡追跡装置。
【請求項７】
データベースに記憶されている追跡対象データに関する検索条件の入力を受け付ける入力工程と、
前記データベースに対してアクセスがあった場合に記録されるアクセスログの中から、前記入力工程によって入力された検索条件に合致する第１のログレコードを検索する第１の検索工程と、
前記第１の検索工程によって検索された第１のログレコードに基づいて、当該第１のログレコードの記録日時に前記追跡対象データにアクセス可能なアクセス元を特定するアクセス元特定工程と、
前記アクセス元特定工程によって特定されたアクセス元のログの中から、前記第１のログレコードに相当する第２のログレコードを検索する第２の検索工程と、
前記第２の検索工程によって検索された第２のログレコードに基づいて、前記追跡対象データにアクセスしたクライアント端末を特定するクライアント端末特定工程と、
を含んだことを特徴とする監査証跡追跡方法。
【請求項８】
データベースに記憶されている追跡対象データに関する検索条件の入力を受け付ける入力工程と、
前記データベースに対してアクセスがあった場合に記録されるアクセスログの中から、前記入力工程によって入力された検索条件に合致する第１のログレコードを検索する第１の検索工程と、
クライアント端末の操作ログの中から、前記第１の検索工程によって検索された第１のログレコードの記録日時の時間帯に含まれる記録日時の第２のログレコードを検索する第２の検索工程と、
前記第１のログレコードと前記第２の検索工程によって検索された第２のログレコードとに記録されているユーザ識別情報との同一性を照合する照合工程と、
前記照合工程によって照合された照合結果に基づいて、前記追跡対象データの追跡結果を出力する出力工程と、
を含んだことを特徴とする監査証跡追跡方法。
【請求項９】
データベースに記憶されている追跡対象データに関する検索条件の入力を受け付けさせる入力工程と、
前記データベースに対してアクセスがあった場合に記録されるアクセスログの中から、前記入力工程によって入力された検索条件に合致する第１のログレコードを検索させる第１の検索工程と、
前記第１の検索工程によって検索された第１のログレコードに基づいて、当該第１のログレコードの記録日時に前記追跡対象データにアクセス可能なアクセス元を特定させるアクセス元特定工程と、
前記アクセス元特定工程によって特定されたアクセス元のログの中から、前記第１のログレコードに相当する第２のログレコードを検索させる第２の検索工程と、
前記第２の検索工程によって検索された第２のログレコードに基づいて、前記追跡対象データにアクセスしたクライアント端末を特定させるクライアント端末特定工程と、
をコンピュータに実行させることを特徴とする監査証跡追跡プログラム。
【請求項１０】
データベースに記憶されている追跡対象データに関する検索条件の入力を受け付けさせる入力工程と、
前記データベースに対してアクセスがあった場合に記録されるアクセスログの中から、前記入力工程によって入力された検索条件に合致する第１のログレコードを検索させる第１の検索工程と、
クライアント端末の操作ログの中から、前記第１の検索工程によって検索された第１のログレコードの記録日時の時間帯に含まれる記録日時の第２のログレコードを検索させる第２の検索工程と、
前記第１のログレコードと前記第２の検索工程によって検索された第２のログレコードとに記録されているユーザ識別情報との同一性を照合させる照合工程と、
前記照合工程によって照合された照合結果に基づいて、前記追跡対象データの追跡結果を出力させる出力工程と、
をコンピュータに実行させることを特徴とする監査証跡追跡プログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６−１】
【図１６−２】
【図１７】
【図１８−１】
【図１８−２】
【図１８−３】
【図１８−４】
【図１８−５】
【図１８−６】
【図１９】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６−１】
【図１６−２】
【図１７】
【図１８−１】
【図１８−２】
【図１８−３】
【図１８−４】
【図１８−５】
【図１８−６】
【図１９】
【公開番号】特開２００７−４８２６６（Ｐ２００７−４８２６６Ａ）
【公開日】平成１９年２月２２日（２００７．２．２２）
【国際特許分類】
【出願番号】特願２００６−９６０５６（Ｐ２００６−９６０５６）
【出願日】平成１８年３月３０日（２００６．３．３０）
【出願人】（０００００５２２３）富士通株式会社 (25,993)
【Ｆターム（参考）】
【公開日】平成１９年２月２２日（２００７．２．２２）
【国際特許分類】
【出願日】平成１８年３月３０日（２００６．３．３０）
【出願人】（０００００５２２３）富士通株式会社 (25,993)
【Ｆターム（参考）】
[ Back to top ]