JP7294059B2 - 表示システム、プログラム、及び、表示方法 - Google Patents

Description

本発明は、表示システム、プログラム、及び、表示方法に関する。

ＩＣＴ（Information and Communication Technology）システムにおいては、ＩＣＴリスクの回避を目的として、ポリシー違反に該当する操作等を検出するための仕組みが設けられている。例えば、有事に備えて、エンドポイントである業務端末の操作ログを記録する監視システムが知られている。そのような操作ログはデータ量が大きくなることが多く、また、例えば数年などの長期間にわたって記憶が保持されることがある。

このような監視システムでは、操作ログは記憶領域を長期間占め、一定期間経った場合、アクセスしにくい領域に退避することも行なわれている。

ログデータを用いた作業時間を算出する技術（例えば、特許文献１、２参照）や、これに類する技術として日報を自動で作成する技術（例えば、特許文献３）が知られている。

特開２００７－１９３５８１号公報 特開２００６－１９５７７７号公報 特開２００８－０９７５５５号公報

しかしながら、上述した技術では、監視システムで収集した操作ログを活用することは想定されていない。

監視システムで収集された操作ログは、記憶領域や記録媒体などへ蓄積されているにも関わらず、セキュリティインシデント等の、操作ログの解析を必要とする事象が発生しない限り（換言すれば、有事でなければ）、利用されない場合も多い。すなわち、操作ログを格納しているシステム資源（リソース）が無駄になってしまう。

そこで、発明者らは、この点に着目し、蓄積された操作ログを、有事ではないときにも活用できれば、限りあるシステム資源を有効活用することができると考えた。

１つの側面では、本発明は、監視用途で記憶した操作ログを用いた監視処理と作業分析処理との両立が可能なシステムを提供することを目的の１つとする。

１つの側面では、表示システムは、ユーザが利用する情報処理端末とサーバと管理者端末とを有してよい。前記サーバは、第１の記憶領域と、作業分析情報生成部と、前記第１の記憶領域とは異なる第２の記憶領域と、参考情報生成部と、解析部と、送信部と、を有してよい。前記第１の記憶領域は、前記情報処理端末から、該情報処理端末で実行された操作に関する操作ログを収集して記録してよい。前記作業分析情報生成部は、前記操作ログに基づいて、ファイルに対して行なわれた所定期間における操作を分析した作業分析情報を生成してよい。前記作業分析情報は、前記操作の操作時刻が前記ユーザの就業時間内であるか否かを区別する第１情報、及び、指定された文字列が前記ファイルのファイル名又は内容に含まれるか否かを区別する第２情報、の一方又は双方を含んでよい。前記第２の記憶領域は、前記作業分析情報を記録してよい。前記参考情報生成部は、前記管理者端末からの前記操作ログの解析開始指示の受信に応じて、前記作業分析情報に基づいて参考情報を生成してよい。前記解析部は、前記管理者端末からの前記操作ログの解析指示の受信に応じて、前記操作ログの解析結果を出力してよい。前記送信部は、前記作業分析情報を前記情報処理端末に送信し、前記参考情報及び前記解析結果を前記管理者端末に送信してよい。前記情報処理端末は、前記サーバから前記作業分析情報を受信する受信部と、前記作業分析情報を表示する表示部と、を有してよい。前記管理者端末は、前記参考情報及び前記解析結果を受信する受信部と、前記参考情報の受信に応じて前記参考情報を表示し、前記解析結果の受信に応じて前記参考情報に加え、前記解析結果を表示する表示部と、を有してよい。

１つの側面では、監視用途で記憶した操作ログを用いた監視処理と作業分析処理との両立が可能なシステムを提供することができる。

一実施形態に係る業務システムを説明するための図である。 業務システムの動作例を示すシーケンス図である。 従業員間で可視化及び共有される作業分析結果の一例を示す図である。 管理端末における解析処理結果及び参考データの表示例を示す図である。 一実施形態に係る監視サーバ、業務端末、及び、管理端末の機能構成例を示すブロック図である。 操作ログＤＢ（Database）の一例を示す図である。 作業分析結果の一例を示す図である。 アクティブウィンドウ情報の一例を示す図である。 解析処理結果の一例を示す図である。 参考データの一例を示す図である。 業務端末に表示されるアウトプットウィンドウの一例を示す図である。 上司が利用する業務端末に表示されるアウトプットウィンドウの一例を示 管理端末に表示されるポリシー設定ウィンドウの一例を示す図である。 時間外辞書テーブルの一例を示す図である。 リスクキーワード辞書テーブルの一例を示す図である。 管理端末に表示される参考データウィンドウの一例を示す図である。 管理端末に表示される解析処理結果ウィンドウの一例を示す図である。 一実施形態に係る監視サーバ、業務端末、及び、管理端末の他の機能構成例を示すブロック図である。 業務端末の業務サイクルにおける作業分析結果の生成及びアウトプットウィンドウの表示の動作例を説明するフローチャートである。 業務システムの他の動作例を示すシーケンス図である。 監視サーバの機能を実現するコンピュータのハードウェア構成例を示すブロック図である。

以下、図面を参照して本発明の実施の形態を説明する。ただし、以下に説明する実施形態は、あくまでも例示であり、以下に明示しない種々の変形や技術の適用を排除する意図はない。例えば、本実施形態を、その趣旨を逸脱しない範囲で種々変形して実施することができる。なお、以下の説明で用いる図面において、同一符号を付した部分は、特に断らない限り、同一若しくは同様の部分を表す。

〔１〕一実施形態
〔１－１〕業務システムの構成例
図１は、一実施形態に係る業務システム１を説明するための図であり、図２は、業務システム１の動作例を示すシーケンス図である。業務システム１は、会社や団体等の組織において所定の業務を行なうためのシステムであり、ＩＣＴシステム又は監視システムの一例である。図１に示すように、業務システム１は、例示的に、監視サーバ２と、複数の業務端末３ａ及び３ｂと、管理端末４と、を備えてよい。

業務端末３ａ及び３ｂは、業務システム１において組織の従業員が使用するＰＣ（Personal Computer）又はサーバ等のコンピュータであり、ユーザが利用する情報処理端末の一例である。一実施形態の説明では、ファイルを作成する従業員Ａが使用する業務端末を業務端末３ａと表記し、その他の従業員、例えば従業員Ａの上司である従業員Ｂが使用する業務端末を業務端末３ｂと表記する。以下、業務端末３ａ及び３ｂを区別しない場合には、単に「業務端末３」と表記する。

各業務端末３は、図２に例示するように、業務システム１の通常時（平常時）、換言すれば、セキュリティインシデント等が発生していない状態において、ファイル操作ログ１ａを取得し（処理Ｐ１）、監視サーバ２に送信する。

監視サーバ２は、業務システム１において、ＩＣＴリスクの回避を目的として、ポリシー違反に該当する操作等を検出するために、エンドポイントである業務端末３の操作ログを収集する情報処理装置又はコンピュータの一例である。

監視サーバ２は、仮想サーバ（ＶＭ；Virtual Machine）であってもよいし、物理サーバであってもよい。また、監視サーバ２の機能は、１台のコンピュータにより実現されてもよいし、２台以上のコンピュータにより実現されてもよい。さらに、監視サーバ２の機能のうちの少なくとも一部は、クラウド環境において提供されるＨＷ（Hardware）リソース及びＮＷ（Network）リソースを用いて実現されてもよい。

また、監視サーバ２は、他の装置、例えば、業務端末３及び管理端末４の一方又は双方と、ネットワークを介して相互に通信可能に接続されてよい。ネットワークは、ＷＡＮ（Wide Area Network）、ＬＡＮ（Local Area Network）、又はこれらの組み合わせを含んでよい。ＷＡＮにはインターネットが含まれてよい。

一実施形態に係る監視サーバ２は、このように監視用途で記憶した操作ログを用いた監視処理と作業分析処理との両立を行なうことで、操作ログを有効活用する。

図１に例示するように、一実施形態に係る監視サーバ２は、操作ログＤＢ（Database）２１、作業分析部２２、作業分析データ２３、原因解析部２４、及び、解析用画面生成部２５を備える。

操作ログＤＢ２１は、複数の業務端末３で行なわれる操作内容のファイル操作ログ１ａを蓄積するＤＢである。監視サーバ２は、例えば、複数の業務端末３の各々から、ファイル操作ログ１ａを収集し、操作ログＤＢ２１に格納してよい。

ファイル操作ログ１ａは、操作ログの一例であり、例えば、操作の対象のファイルのファイル名、操作の種別、及び、操作の内容等を含んでよい。操作の内容には、例えば、ファイルに対して入力された文章等の入力文字列が含まれてよい。ファイル操作ログ１ａは、生の操作ログ、例えば「生ログ」と称されてもよい。

なお、上記の説明においては、業務端末３から取得された操作ログが操作ログＤＢ２１に格納される例を用いて説明を行なったが、操作ログを格納する領域はこれに限る必要はない。例えば、操作ログを取得してから所定の期間が経過した後は、外部記憶媒体やアーカイブ用の低速な記憶装置へ格納場所を変更しても構わない。

監視サーバ２は、図２に例示するように、業務端末３からファイル操作ログ１ａを収集し（処理Ｐ２）、操作ログＤＢ２１に格納する。処理Ｐ１及びＰ２は、業務端末３においてファイルが操作される都度実行されてもよい。

作業分析部２２は、操作ログＤＢ２１を分析して、業務端末３ごとに、前日又は前回の作業分析結果１ｂを生成し、作業分析データ２３に保存及び蓄積する（図２の処理Ｐ３参照）。作業分析結果１ｂは、所定期間（例えば１日等の期間）におけるファイルに対して行なわれた操作を分析した作業分析情報の一例である。

作業分析結果１ｂは、業務端末３（従業員）が「作成」又は「参照」したファイルを意味する「アウトプット」と称されてもよい。ファイルの「作成」は、ファイルの保存及び更新を含んでよい。ファイルの「参照」は、ファイルのオープン及び複製（複写、コピー）を含んでよい。以下の説明では、「作成」及び「参照」を総称して、「アクセス」と表記する場合がある。

作業分析結果１ｂは、例示的に、業務時間外にファイルの操作が行なわれたか否かを示す時間外作業フラグ、及び、指定されたリスクキーワードがファイル名に含まれるか否かを示すリスクキーワードフラグ、の一方又は双方を含んでよい。なお、リスクキーワードフラグは、ファイル名に加えて又は代えて、指定されたリスクキーワードがファイルの内容に含まれるか否かを示してもよい。

時間外作業フラグは、ファイルに対して行なわれた操作の操作時刻が従業員（ユーザ）の就業時間内であるか否かを区別する第１情報の一例である。また、リスクキーワードは、指定された文字列がファイルのファイル名又は内容に含まれるか否かを区別する第２情報の一例である。

このように、作業分析部２２は、ファイル操作ログ１ａに基づいて、所定期間における作業分析結果１ｂであって、時間外作業フラグ、及び、リスクキーワードフラグ、の一方又は双方を含む作業分析結果１ｂを生成する作業分析情報生成部の一例である。

また、作業分析結果１ｂは、ファイルの保存回数や、当該ファイルに対して操作が行なわれていた時間（例えばウィンドウがアクティブである時間）の情報を含んでもよい。

作業分析データ２３は、作業分析結果１ｂを業務端末３ごとに蓄積するＤＢである。作業分析データ２３は、操作ログＤＢ２１とは異なるＤＢとして監視サーバ２に記憶されてよい。

監視サーバ２は、作業分析データ２３に蓄積された業務端末３ごとの作業分析結果１ｂを、所定のタイミングで業務端末３に出力する。例えば、監視サーバ２は、日付変更後に作業分析部２２により前日分の作業分析結果１ｂが生成されると、前日分の作業分析結果１ｂを、送信先として指定された業務端末３に送信する。

一例として、監視サーバ２は、指定範囲が当人及びその上司である場合、従業員Ａの業務端末３ａの作業分析結果１ｂを、当該業務端末３ａと、当該業務端末３ａに関連（対応）付けられた、従業員Ａの上司である従業員Ｂの業務端末３ｂと、に送信する。また、監視サーバ２は、従業員Ｂの業務端末３ｂの作業分析結果１ｂを、当該業務端末３ｂに送信する。

業務端末３は、日付変更後（翌日）の例えば起動又はログオン（ログイン）後に、監視サーバ２から前日の作業分析結果１ｂを受信し、受信した作業分析結果１ｂをモニタ等の出力装置に表示する（図２の処理Ｐ４参照）。これにより、従業員に対して作業分析結果１ｂが提示される。

なお、処理Ｐ３は、例えば、ファイル操作ログ１ａを業務端末３から受信する、又は、受信したファイル操作ログ１ａが操作ログＤＢ２１に格納される都度、実行されてもよい。或いは、処理Ｐ３は、１日等の所定期間ごとに、日付変更後（翌日）に前日に行なわれた操作に関するファイル操作ログ１ａを対象に実行されてもよい。

また、処理Ｐ４は、業務端末３の起動時（後）又はログオン時（後）、等に行なわれてよい。例えば、監視サーバ２は、業務端末３の起動又はログオン後に、業務端末３からの要求を検出した場合に、前日の作業分析結果１ｂを業務端末３に送信してもよい。

なお、処理Ｐ４が日付変更後の業務端末３の起動又はログオン後に実行されるのは、処理Ｐ１で取得されたファイル操作ログ１ａが、日付の変更前に業務端末３から監視サーバ２に送信される、換言すれば、業務時間が日中であることを前提としているためである。業務システム１を利用する組織、部門或いは従業員の業務内容や勤務形態、時期（例えば季節や、繁忙期、閑散期又は通常期等）、地域（例えば他国に設けられた拠点）等に応じて、処理Ｐ４の実行タイミングは、例えば組織、部門或いは従業員ごとに、及び／又は、時期ごとに、異なってもよい。

このように、業務端末３は、前日又は前回の従業員のアウトプットを、当該従業員と当該従業員の上司とを含む、指定された範囲内の従業員間で可視化（共有）することができる。

図３は、従業員間で可視化及び共有される作業分析結果１ｂの一例を示す図である。図３に示すように、作業分析結果１ｂは、例示的に、従業員ごとに、前日のアウトプットとして、作成ファイル一覧及び参照ファイル一覧を含んでよい。

作成ファイル一覧には、例示的に、アウトプットされたファイル名を示す「アウトプット」、「保存回数」、「作業時間」、「時間外作業フラグ」、及び、「リスクキーワードフラグ」の項目が含まれてよい。参照ファイル一覧には、例示的に、「アウトプット」、「参照時間」、「時間外作業フラグ」、及び、「リスクキーワードフラグ」の項目が含まれてよい。

なお、作成ファイル一覧及び参照ファイル一覧の各々において、「リスクキーワードフラグ」に有効（オン）、例えば“１”が設定されているエントリにおける、少なくとも「アウトプット」の内容は、他のエントリと区別して示されてもよい。図３の例では、参照ファイル一覧の「Ｎｏ．２」のエントリのファイル名が強調表示されてよい。強調表示の例としては、他の文字と異なる色（例えば赤字）や、他の文字と異なる文字幅（例えば太字）等であってよい。また、強調表示は、「アウトプット」以外の項目（図３の例では「リスクキーワードフラグ」）を対象に加えてもよい。さらに、強調表示は、「リスクキーワードフラグ」に有効（オン）が設定されているエントリに加えて、又は、代えて、「時間外作業フラグ」に有効（オン）が設定されているエントリを対象としてもよい。

このように、作業分析結果１ｂが可視化されることにより、従業員は、例えば日々の業務の開始前に、自分のタスクに対する完了具合の確認を容易に行なうことができる。従って、積み残し作業の確認や今日の作業の忘れ防止等のタスク管理を容易に実現でき、また、完了した作業を可視化できるため、従業員に達成感を与えることができる。

また、従業員が意識せずに、上司に自身の作業状況、例えば進捗や成果を共有可能となる。これにより、従業員から上司への作業状況の報告を不要にできるとともに、上司から従業員へのコミュニケーション機会、例えば上司から褒められるといった機会を増やすことができ、従業員の承認欲求を満たすことができる。

さらに、上司は、従業員の業務の進捗状況を容易に把握することができ、進捗に対する声がけや適切な評価が容易になる。例えば、アウトプットのファイル内容や、作業分析結果１ｂの作業時間や保存回数等の項目に基づき、従業員の作業時間の割に進捗度が小さいと判断される場合に、上司からの声がけのきっかけを作ることができる。このため、従業員のメンタルフォローや悩み解決に繋げることができる。これにより、従業員に納得感を与えることができ、また、従業員の次の業務へのモチベーションを高めることができる。

以上のように、業務システム１によれば、従業員の生産性向上及びモチベーション向上を実現でき、従業員のマインド向上を図ることができる。

また、作業分析結果１ｂに含まれる時間外作業フラグにより、上司は、従業員による深夜等の業務時間外（従業員の就業時間外）のアウトプットを把握できる。これにより、上司は、従業員へのフォローや業務分担の見直し等、働き方改革等のポリシーに逆行する（違反する）勤務態様の改善を図ることができる。

図１の説明に戻り、管理端末４は、業務システム１において、監視サーバ２及び業務端末３を管理するためのＰＣ又はサーバ等のコンピュータであり、システム管理者等の管理者が使用する管理者端末の一例である。

システム管理者は、有事の場合、例えば、情報漏洩等のセキュリティインシデントが発生した場合に、管理端末４により、セキュリティインシデントに関係するファイル（一例として、漏洩したファイル）の追跡作業を行なってよい。そして、システム管理者は、追跡作業により特定した、セキュリティインシデントに関係するファイルのファイル名を指定して、監視サーバ２に対してセキュリティインシデントの原因の解析処理の実行を指示してよい。原因の解析処理とは、流出経路、例えば、流出したファイルの出元となったユーザや日時、原因操作等を特定する処理である。

このため、管理端末４は、例えば、有事の場合に、監視サーバ２に対して、参考データ１ｄの作成指示（解析開始通知；図２の処理Ｐ５参照）、及び、原因の解析処理結果１ｃの作成指示（解析指示；図２の処理Ｐ８参照）、をそれぞれ送信する。

監視サーバ２の原因解析部２４は、管理端末４から受信した解析指示に応じて、操作ログＤＢ２１（ファイル操作ログ１ａ）に基づいて、セキュリティインシデントの原因の解析を行なう解析処理を実行する。セキュリティインシデントの解析処理の一例として、インシデントの原因となった操作の特定、該操作を行なったユーザの特定、操作が行なわれた日時の特定などが挙げられる。

例えば、原因解析部２４は、管理端末４から指定されたファイル名を用いて、操作ログＤＢ２１を検索対象として検索を行ない、指定されたファイル名のファイルを操作した業務端末３や、業務端末３による操作の内容等を抽出する。そして、原因解析部２４は、抽出した業務端末３や操作の内容等の情報に基づき、流出経路等の原因を解析する（図２の処理Ｐ９参照）。原因解析部２４による、原因の解析処理は、既知の種々の手法により実現されてよい。

原因解析部２４は、管理端末４からのファイル操作ログ１ａの解析指示の受信に応じて、ファイル操作ログ１ａの解析結果を出力する解析部の一例である。

解析用画面生成部２５は、解析用画面を生成し、生成した画面のデータを管理端末４に出力する。解析用画面は、原因解析部２４による解析処理結果（図１の解析処理結果１ｃ参照）を表示する画面と、作業分析データ２３を用いた分析結果（図１の参考データ１ｄ参照）を表示する画面とを含んでよい。

例えば、解析用画面生成部２５は、作業分析データ２３から、業務時間外に行なわれたファイルへのアクセス、及び、リスクキーワードをファイル名に含むファイルへのアクセス、の一方又は双方に関する作業分析結果１ｂを、参考データ１ｄとして抽出する。参考データ１ｄは、参考情報の一例である。参考データ１ｄの抽出（生成）は、図２の処理Ｐ６に相当する。

参考データ１ｄの抽出では、解析用画面生成部２５は、例えば、時間外作業フラグ及びリスクキーワードフラグの一方又は双方が有効（ＯＮ）に設定されたエントリを作業分析データ２３から抽出してよい。

解析用画面生成部２５は、ファイル操作ログ１ａの解析開始指示の管理端末４からの受信に応じて、作業分析結果１ｂに基づいて参考データ１ｄを生成する参考情報生成部の一例である。

また、監視サーバ２（例えば、図５を用いて後述する作業分析結果送信部２７）及び解析用画面生成部２５は、作業分析結果１ｂを業務端末３に送信し、参考データ１ｄ及び解析処理結果１ｃを管理端末４に送信する送信部の一例である。

このように、原因解析部２４及び解析用画面生成部２５は、例えば、セキュリティインシデント等の有事の場合に、管理端末４からの要求に応じて動作を行なう。

管理端末４は、監視サーバ２から参考データ１ｄの画面データを受信すると、参考データ１ｄの画面をモニタ等の出力装置に表示する（図２の処理Ｐ７参照）。また、管理端末４は、監視サーバ２から解析処理結果１ｃの画面データを受信すると、参考データ１ｄの画面とともに、解析処理結果１ｃの画面をモニタ等の出力装置に表示する（図２の処理Ｐ１０参照）。これにより、管理者に解析処理結果１ｃ及び参考データ１ｄを提示できる。

一例として、管理端末４は、図２に示すように、参考データ１ｄの画面を出力装置に表示し（処理Ｐ７）、表示された参考データ１ｄの画面に基づき管理者が絞り込んだファイル名を、解析指示に含めて監視サーバ２に送信してよい（処理Ｐ８）。そして、管理端末４は、解析指示に含めたファイル名に基づく解析処理結果１ｃ（処理Ｐ９）の画面を、参考データ１ｄの画面とともに出力装置に表示してよい（処理Ｐ１０）。なお、処理Ｐ７～Ｐ１０（又は処理Ｐ５～Ｐ１０）は、管理者による原因の特定が完了するまで繰り返し実行されてもよい。

ここで、図４を参照して、セキュリティインシデントの発生から原因の特定までの流れの一例を説明する。図４は、管理端末４における解析処理結果１ｃ及び参考データ１ｄの表示例を示す図である。図４の例では、セキュリティインシデントとして、顧客情報の漏洩が発生した場合を想定する。

管理端末４は、監視サーバ２から、図４に例示する参考データ１ｄを取得する。例えば、システム管理者が、リスクキーワード「顧客」を含み、業務時間外に「〇〇製品 顧客リスト.txt」にアクセスした「Ｎｏ．２」のエントリに着目したとする。この場合、管理端末４は、例えば「〇〇製品 顧客リスト.txt」（、及び、ユーザ名「AD＼matsushita」）を指定して、原因解析部２４に解析指示を発行し、参考データ１ｄとともに解析処理結果１ｃを表示する。このときの表示例が図４である。

解析処理結果１ｃでは、参考データ１ｄに示される「〇〇製品 顧客リスト.txt」へのアクセス直後に、ファイルサーバ上の当該ファイルが複製されている（１番目のエントリ参照）。そして、ユーザ名「AD＼matsushita」のデスクトップに「a.docx」として保存されている（２番目のエントリ）。これらの情報から、システム管理者は、原因（流出経路）の可能性の１つとして、ユーザ名「AD＼matsushita」により、ファイルサーバ上の「〇〇製品 顧客リスト.txt」が「a.docx」として複製されたことを特定することができる。

このように、参考データ１ｄをセキュリティインシデントの追跡作業の参考情報として利用することで、適切な解析処理結果１ｃを得ることができる。また、参考データ１ｄに基づき、解析指示の条件（ファイル名やユーザ名）を変更することで、反復的に解析処理結果１ｃの検証を行なうことができる。

ここで、情報漏洩等のセキュリティインシデントの原因の１つとして、悪意を持った従業員による情報の持ち出しが挙げられる。従業員は、業務の中で数多くの社内のファイルを参照することとなるが、その参照ファイルに個人情報や社外秘情報も含まれる。

こうした参照行為は、日常業務の中で把握することが難しく、実際にセキュリティインシデントが発生した後にシステム管理者による追跡作業の中で判明することが多い。また、システム管理者の追跡作業も、ファイル名といった情報がない場合は、流出経路等の原因の特定までに時間を要する場合が多い。

一実施形態に係る業務システム１によれば、図４に例示するように、監視サーバ２は、事前定義したリスクキーワードを含むファイル名を持つファイルにアクセスした、及び／又は、業務時間外にファイルにアクセスした従業員をリストアップすることができる。これにより、システム管理者は、セキュリティインシデント発生時に、リストアップされた参考データ１ｄを追跡の資料に利用することができ、早期の原因特定を容易とすることができる。すなわち、セキュリティインシデント発生時の原因特定時間を可能な限り短縮することができる。

また、従業員によるファイル参照においてセキュリティリスクが懸念される場合、システム管理者だけでなく、上司が早期に把握することが重要である。

一実施形態に係る業務システム１によれば、図３に例示するように、従業員Ａの前日のアウトプットが従業員Ｂ（上司）に共有されるため、上司は、従業員による情報漏洩リスクを早期に検知することでき、セキュリティインシデント発生を未然に防止することができる。

例えば、上司は、前日に従業員が参照したファイルを確認でき、その中で、事前定義した業務時間外に参照、作成したファイルや、リスクキーワードを含むファイル名の参照を把握できる。従って、セキュリティインシデントが発生する前に、上司が従業員に確認や注意をすることができ、セキュリティインシデントを未然に防止できる。

また、例えば、アウトプット可視化により、従業員に対して、リスクを含むファイルにアクセスしたこと、及び、業務時間外にファイルにアクセスしたことを、記録として見せることができる。これにより、従業員に対して、このようなアクセスにリスクがあることや、ファイル操作が監視されていることを認識させることができ、セキュリティインシデントを未然に防ぐことができる。

以上のように、一実施形態に係る業務システム１によれば、従業員の業務における情報漏洩リスクを早期に検出できるとともに、セキュリティインシデント発生時の原因特定に要する時間を短縮することができる。

また、従来、有事でなければ使われることがなかった操作ログＤＢ２１を、アウトプット可視化（共有）として有効活用することができるため、監視サーバ２の記憶領域の記憶資源を効率的に利用することができる。すなわち、業務システム１は、監視用途で記憶した操作ログＤＢ２１を用いた監視処理と作業分析処理とを両立することができる。

〔１－２〕監視サーバ、業務端末、及び、管理端末の機能構成例
次に、監視サーバ２、業務端末３、及び、管理端末４のそれぞれの機能構成例について説明する。図５は、一実施形態に係る監視サーバ２、業務端末３、及び、管理端末４の機能構成例を示すブロック図である。

〔１－２－１〕監視サーバの機能構成例
図５に例示するように、監視サーバ２は、図１に示す操作ログＤＢ２１、作業分析部２２、作業分析データ２３、原因解析部２４、及び、解析用画面生成部２５を備えてよい。また、監視サーバ２は、これらに加えて、操作ログ収集部２６、作業分析結果送信部２７、参考データＤＢ２８、及び、ポリシー適用部２９を備えてよい。また、解析用画面生成部２５は、参考データ生成部２５ａ及び画面生成部２５ｂを備えてよい。

操作ログＤＢ２１は、例えば、監視サーバ２が備えるメモリ１０ｂ及び記憶部１０ｃ（図２１参照）の少なくとも１つが有する第１の記憶領域に格納されてよい。作業分析データ２３は、例えば、監視サーバ２が備えるメモリ１０ｂ及び記憶部１０ｃの少なくとも１つが有する、第１の記憶領域とは異なる第２の記憶領域に格納されてよい。参考データＤＢ２８は、例えば、監視サーバ２が備えるメモリ１０ｂ及び記憶部１０ｃの少なくとも１つが有する第３の記憶領域に格納されてよい。

図６は、操作ログＤＢ２１の一例を示す図である。図６に示すように、操作ログＤＢ２１には、例示的に、「日時」、「端末番号」、「ユーザ名」、「操作」、及び、「内容」の項目が含まれてよい。

「日時」には、業務端末３においてファイルに対する操作が行なわれた日時が記録される。「端末番号」は、ファイル操作を行なった業務端末３を識別する識別情報の一例である。端末番号としては、例えば、業務端末３の資産管理番号が挙げられる。資産管理番号は、業務システム１において機器を特定するために使用される一意の文字列である。

「ユーザ名」には、ファイル操作を行なった業務端末３にログオンしている従業員等のユーザのアカウント名が記録される。

「操作」には、ファイルに対して行なわれた操作の種類が記録される。操作としては、例示的に、参照、作成、削除、移動、変名（ファイル名の変更）、入力、更新等の処理が挙げられる。

「内容」には、ファイルに対する操作内容の詳細が記録される。操作内容には、操作（処理）対象のファイルのファイル名と、当該ファイルの保存場所とが含まれてよい。例えば、操作内容は、操作したファイル名、移動元及び移動先、変名元ファイル名及び変名後ファイル名、等の、操作対象と操作内容の詳細とを含んでよい。

操作ログ収集部２６は、図５に例示するように、複数の業務端末３の各々からファイル操作ログ１ａを受信し、受信したファイル操作ログ１ａを、項目別に操作ログＤＢ２１に格納する。

作業分析部２２は、操作ログＤＢ２１を分析して、業務端末３ごとに、前日又は前回の作業分析結果１ｂを生成し、作業分析データ２３に保存及び蓄積する。

図７は、作業分析結果１ｂの一例を示す図である。図７に示すように、作業分析結果１ｂは、例示的に、作成ファイル情報２３ａ及び参照ファイル情報２３ｂを含んでよい。

例えば、作業分析部２２は、操作ログＤＢ２１から、業務端末３ごとに、「日時」が前日のエントリを抽出し、「操作」の内容に応じて、作成ファイル情報２３ａ及び参照ファイル情報２３ｂのいずれかに振り分けてよい。例えば、作成ファイル情報２３ａには、「操作」が作成、例えば保存又は更新等のエントリが格納され、参照ファイル情報２３ｂには、「操作」が参照、例えば参照、オープン又は複写等のエントリが格納されてよい。

作成ファイル情報２３ａの内容は、図３に例示する作成ファイル一覧と同様である。「アウトプット」は、作成されたファイル名を示す。「保存回数」は、当該ファイルに対して保存又は更新が行なわれた回数の集計結果である。「作業時間」は、当該ファイルのウィンドウがアクティブであった時間の集計結果である。例えば、作業分析部２２は、図８に示すアクティブウィンドウ情報に基づいて、ファイルごとのアクティブ時間を算出してよい。

図８に例示するように、アクティブウィンドウ情報（図５において図示省略）には、ウィンドウがアクティブになった「日時」、「端末番号」、「ユーザ名」、「アプリケーション」、及び、「ウィンドウタイトル」の項目が含まれてよい。

作業分析部２２は、アクティブウィンドウ情報を参照し、例えば、或るファイルのウィンドウがアクティブになった日時から、次の（別の）ファイルのウィンドウがアクティブになる日時までの差分の時間を、当該或るファイルの「作業時間」として算出してよい。なお、作業分析結果１ｂにおける「アウトプット」と、アクティブウィンドウ情報における「ウィンドウタイトル」とが対応する。

アクティブウィンドウ情報は、例えば、操作ログＤＢ２１内の一部の情報であってもよい。換言すれば、業務端末３は、アクティブウィンドウ情報を含むファイル操作ログ１ａを監視サーバ２に送信し、操作ログＤＢ２１に蓄積させてもよい。

また、作成ファイル情報２３ａには、時間外作業フラグ及びリスクキーワードフラグの少なくとも一方が含まれてよい。

例えば、作業分析部２２は、作成ファイル情報２３ａに対して、操作ログＤＢ２１における「日時」が、指定された時間外作業の時間帯に含まれるエントリの時間外作業フラグを有効（例えば“１”）に設定してよい。

また、作業分析部２２は、作成ファイル情報２３ａに対して、「アウトプット」のファイル名に、指定されたリスクキーワードが含まれるエントリのリスクキーワードフラグを有効（例えば“１”）に設定してよい。なお、作業分析部２２は、アウトプットのファイル名とリスクキーワードとの比較に代えて、又は、加えて、アウトプットのファイル内容（文章）にリスクキーワードが含まれるエントリのリスクキーワードフラグを有効（例えば“１”）に設定してよい。アウトプットのファイル内容（文章）にリスクキーワードが含まれるか否かの判定は、例えば、文章に対して形態素解析等の自然言語処理を実行して得られる各単語と、リスクキーワードとの比較により行なわれてもよい。

作業分析部２２は、指定された時間外作業の時間帯、及び、リスクキーワードの情報を、管理端末４からポリシー適用部２９を通じて取得してよい。

なお、作成ファイル情報２３ａには、図７に示す項目に加えて、以下の情報が含まれてもよい。

・作成日時：ファイルを新規作成した日時、例えば、アプリケーションウィンドウが最後にアクティブになった日時。
・端末番号：ファイルを作成した業務端末３の資産管理番号。
・利用者氏名：資産情報として利用者氏名が登録されている場合、ファイルを作成した業務端末３の利用者の氏名。
・ファイルパス：作成したファイルのフルパス。
・上司端末番号：業務端末３の利用者の上司が利用する業務端末３の端末番号。

参照ファイル情報２３ｂの内容は、図３に例示する参照ファイル一覧と同様である。「アウトプット」は、参照されたファイル名を示す。「参照時間」は、当該ファイルのウィンドウがアクティブであった時間の集計結果である。アクティブ時間の集計は、作成ファイル情報２３ａの場合と同様である。

なお、参照ファイル情報２３ｂには、図７に示す項目に加えて、以下の情報が含まれてもよい。

・参照日時：ファイルを参照のためにオープンした日時、例えば、アプリケーションウィンドウが最後にアクティブになった日時。
・端末番号：ファイルをオープンした業務端末３の資産管理番号。
・利用者氏名：資産情報として利用者氏名が登録されている場合、ファイルをオープンした業務端末３の利用者の氏名。
・ファイルパス：オープンしたファイルのフルパス。
・上司端末番号：業務端末３の利用者の上司が利用する業務端末３の端末番号。

作業分析結果送信部２７は、作業分析部２２が作成した、前日分の作業分析結果１ｂを作業分析データ２３から読み出し、端末番号及び上司端末番号で指定される業務端末３に送信する。

作業分析結果送信部２７は、作業分析結果１ｂを上司の業務端末３に送信するか否かや、作業分析結果１ｂの送信タイミング等の情報を、管理端末４からポリシー適用部２９を通じて取得してよい。

原因解析部２４は、管理端末４から受信した解析指示に応じて、操作ログＤＢ２１（ファイル操作ログ１ａ）に基づいて解析処理を実行することで、図９に例示する解析処理結果１ｃを作成し、解析用画面生成部２５に出力する。

解析用画面生成部２５の参考データ生成部２５ａは、作業分析データ２３から参考データ１ｄを生成し、生成した参考データ１ｄを参考データＤＢ２８に格納する。

参考データＤＢ２８は、図１０に例示する参考データ１ｄを記憶するＤＢである。図１０に示すように、参考データ１ｄには、例示的に、「Ｎｏ．」、「アクセス日時」、「ファイル名」、「リスクキーワード」、「端末番号」、「ユーザ名」、及び、「利用者氏名」の項目が含まれてよい。

例えば、参考データ生成部２５ａは、作業分析部２２により作業分析データ２３が更新される都度、或いは、所定の周期で、作業分析データ２３における未処理のエントリを対象として、参考データ１ｄを生成してよい。或いは、参考データ生成部２５ａは、管理端末４からの解析開始通知に応じて参考データ１ｄを生成してもよい。

参考データ１ｄには、図１０に示す項目に加えて、以下の情報が含まれてもよい。

・種別：作成又は参照。作成ファイル情報２３ａ及び参照ファイル情報２３ｂのいずれから抽出したか否かを示す。
・ファイルパス：作成又はオープンしたファイルのフルパス。
・時間外作業フラグ。
・リスクキーワードフラグ。

画面生成部２５ｂは、管理端末４からの要求に応じて、参考データ１ｄを表示する画面、又は、解析処理結果１ｃを表示する画面、を生成し、生成した画面の情報を管理端末４に送信する。

例えば、画面生成部２５ｂは、管理端末４から解析開始通知を受信すると、参考データＤＢ２８から、送信する参考データ１ｄを抽出（生成）し、抽出した参考データ１ｄを表示する画面データを生成して、管理端末４に送信する。

なお、画面生成部２５ｂは、例えば、管理端末４から受信した解析開始通知に、アクセス日時の範囲、並びに、ファイル名或いはリスクキーワード、の一方又は双方の指定が含まれる場合、指定された抽出条件に従って、参考データ１ｄを絞り込んでもよい。

また、画面生成部２５ｂは、管理端末４からの解析通知に応じて原因解析部２４が作成した解析処理結果１ｃを取得し、取得した解析処理結果１ｃを表示する画面データを生成して、管理端末４に送信する。

ポリシー適用部２９は、管理端末４からポリシーに関する情報を受信すると、受信した情報に従ってポリシーの適用を行なう。例えば、ポリシー適用部２９は、受信した情報のうち、時間外作業の時間帯及びリスクキーワードの情報を作業分析部２２に出力し、作業分析結果１ｂの上司への送信可否や送信タイミングの情報を作業分析結果送信部２７に送信する。

〔１－２－２〕業務端末の機能構成例
図５に示すように、業務端末３は、例示的に、ファイル操作部３１、操作ログ取得部３２、表示制御部３３、及び、表示部３４を備えてよい。なお、操作ログ取得部３２及び表示制御部３３は、業務端末３のＯＳ上で動作するアプリケーション、例えば、監視サーバ２のエージェントとしてのアプリケーションにより実現されてもよい。

ファイル操作部３１は、ファイルに対する、参照、作成、削除、移動、変名、入力、及び更新等の操作（処理）を行なう。ファイル操作部３１は、業務端末３で実行されるＯＳ（Operating System）の一機能として実現されてもよいし、ＯＳ上で動作する種々のアプリケーションとして実現されてもよい。

操作ログ取得部３２は、複数の業務端末３の各々において、ファイル操作部３１による操作に関する種々の情報を収集してファイル操作ログ１ａを作成し、監視サーバ２に送信する。ファイル操作ログ１ａは、例えば、ファイルの作成、移動、変名、入力、及び更新等のうちの少なくとも１つの操作に関する情報を含んでよい。

操作ログ取得部３２は、ファイル操作ログ１ａを所定のタイミングで監視サーバ２に送信してよい。所定のタイミングとしては、例えば、業務端末３において操作が行なわれる都度、一定期間ごと、或いは、監視サーバ２からの要求時、等の種々のタイミングが挙げられる。

表示部３４は、業務端末３が備えるモニタ等の表示装置である。なお、表示部３４は、表示（出力）機能に加えて、入力機能を備えてもよい。一例として、表示部３４は、タッチパネル等の、入出力機能を備える入出力装置であってもよい。

表示制御部３３は、監視サーバ２から作業分析結果１ｂを受信する受信部の一例であり、監視サーバ２の作業分析結果送信部２７から受信した作業分析結果１ｂに基づき、図１１に例示するように、表示部３４にアウトプットウィンドウ３００を表示する。

図１１に例示するように、アウトプットウィンドウ３００は、少なくとも、作成ファイル一覧３１０、参照ファイル一覧３２０、及び、アウトプットウィンドウ３００を終了するための閉じるボタン３３０を含んでよい。

作成ファイル一覧３１０及び参照ファイル一覧３２０は、作業分析結果１ｂの一例である。作成ファイル一覧３１０は、業務端末３により前日に作成されたファイルの一覧であり、例えば、作成ファイル情報２３ａに基づき作成されてよい。参照ファイル一覧３２０は、業務端末３により前日に参照されたファイルの一覧であり、例えば、参照ファイル情報２３ｂに基づき作成されてよい。

休日又は休暇明け等で、前日に作成及び参照されたファイルが存在しない場合、アウトプットウィンドウ３００には、例えば前日分のファイルが存在しない旨を表示した上で、過去の直近の（例えば休日又は休暇の前日の）作業分析結果１ｂが表示されてもよい。

また、上司が利用する業務端末３ｂには、図１２に例示するように、アウトプットウィンドウ３０１が表示されてよい。アウトプットウィンドウ３０１には、部下である複数の業務端末３ａの作業分析結果１ｂを表示切り替え可能なタブ３４０が設けられてよい。なお、アウトプットウィンドウ３０１では、上司自身の作業分析結果１ｂについてもタブ３４０で切り替え可能に表示されてもよいし、上司自身の作業分析結果１ｂは、別のアウトプットウィンドウ３００（図１１参照）に表示されてもよい。

〔１－２－３〕管理端末の機能構成例
図５に示すように、管理端末４は、例示的に、メモリ部４１、ポリシー設定部４２、参考データ取得部４３、解析結果取得部４４、表示制御部４５、及び、表示部４６を備えてよい。なお、ポリシー設定部４２、参考データ取得部４３、解析結果取得部４４及び表示制御部４５は、例えば、管理端末４のＯＳ上で動作するエージェントとしてのアプリケーションにより実現されてもよい。

メモリ部４１は、管理端末４の処理に用いられる種々の情報を格納する。メモリ部４１が格納する情報については後述する。メモリ部４１としては、メモリ、例えばＤＲＡＭ等の揮発性メモリやＰＭ等の不揮発性メモリ、並びに、記憶部、例えばＨＤＤ（Hard Disk Drive）又はＳＳＤ（Solid State Drive）等の記憶装置、の一方又は双方が挙げられる。ＤＲＡＭは、Dynamic Random Access Memoryの略称であり、ＰＭは、Persistent Memoryの略称である。

ポリシー設定部４２は、業務システム１におけるポリシーを設定し、監視サーバ２に配布する。ポリシーは、例えばアウトプット可視化に関する種々の定義を含んでよい。

参考データ取得部４３は、セキュリティインシデントが発生した場合等の有事の場合に、監視サーバ２から参考データ１ｄを取得する。例えば、参考データ取得部４３は、システム管理者による操作に応じて、監視サーバ２に解析開始通知を送信し、監視サーバ２から参考データ１ｄ、例えば参考データ１ｄを表示する画面データを受信し、表示制御部４５に出力する。

解析結果取得部４４は、監視サーバ２から解析処理結果１ｃを取得する。例えば、解析結果取得部４４は、参考データ１ｄに基づくシステム管理者による操作に応じて、監視サーバ２に解析条件を含む解析指示を送信し、監視サーバ２から解析処理結果１ｃ、例えば解析処理結果１ｃを表示する画面データを受信し、表示制御部４５に出力する。

参考データ取得部４３及び解析結果取得部４４は、監視サーバ２から参考データ１ｄ及び解析処理結果１ｃを受信する受信部の一例である。なお、参考データ取得部４３及び解析結果取得部４４は、それぞれ、監視サーバ２から参考データ１ｄ及び解析処理結果１ｃそのものを受信してもよい。

表示部４６は、管理端末４が備えるモニタ等の表示装置である。なお、表示部４６は、表示（出力）機能に加えて、入力機能を備えてもよい。一例として、表示部４６は、タッチパネル等の、入出力機能を備える入出力装置であってもよい。例えば、表示部４６は、参考データ１ｄの受信に応じて参考データ１ｄを表示し、解析処理結果１ｃの受信に応じて参考データ１ｄに加え、解析処理結果１ｃを表示する。

表示制御部４５は、表示部４６に対する種々の表示制御を行なう。以下、表示制御部４５により表示部４６に表示される画面例を参照しながら、ポリシー設定部４２、参考データ取得部４３及び解析結果取得部４４を説明する。

（ポリシー設定ウィンドウの一例）
図１３は、ポリシー設定ウィンドウ４００の一例を示す図である。なお、図１３に例示するポリシー設定ウィンドウ４００は、ポリシー設定部４２が設定を行なうポリシーのうちの少なくとも一部である、「アウトプット可視化」ポリシー（アウトプット可視化に関する設定）に着目した画面である。

図１３に例示するように、ポリシー設定ウィンドウ４００は、従業員のアウトプット可視化を有効にするか無効にするかを設定するラジオボタン４０１を含んでよい。ラジオボタン４０１が有効に設定された場合、「アウトプット可視化」ポリシーの配下で、時間外チェック及びリスクチェックの有効化ボタン４０２及び４０３、アウトプットタイミング、アウトプット内容の選択欄４０４～４０６が選択可能となる。

時間外チェックの有効化ボタン４０２は、作業分析結果１ｂに対して時間外作業フラグの判定及び付加を有効にするか無効にするかを設定するボタンである。有効化ボタン４０２が有効に設定された場合、時間外開始時刻４０２ａ及び時間外終了時刻４０２ｂが設定可能となる。このポリシーに従い監視サーバ２で作成される作業分析結果１ｂでは、設定された時刻範囲に行なわれたアクセスの時間外作業フラグがオンに設定される。

リスクチェックの有効化ボタン４０３は、作業分析結果１ｂに対してリスクキーワードフラグの判定及び付加を有効にするか無効にするかを設定するボタンである。有効化ボタン４０３が有効に設定された場合、リスクキーワードが設定（登録）可能となる。このポリシーに従い監視サーバ２で作成される作業分析結果１ｂでは、登録されたリスクキーワードをファイル名に含むファイルに対するアクセスのリスクキーワードフラグがオンに設定される。リスクキーワードは、一覧ボタン４０３ｂを押下して表示される一覧画面（図示省略）から編集（例えば登録、削除、修正等）可能であり、リスクキーワードの登録又は削除に応じて、登録件数４０３ａが更新される。

なお、時間外チェック及びリスクチェックの有効化ボタン４０２及び４０３は、双方が無効、いずれか一方のみが有効、双方が有効、のいずれかに設定可能である。

ポリシー設定部４２は、有効化ボタン４０２が有効に設定された場合、設定内容に基づき時間外辞書テーブル４１ａを作成又は更新してよい。また、ポリシー設定部４２は、有効化ボタン４０３が有効に設定された場合、設定内容に基づきリスクキーワード辞書テーブル４１ｂを作成又は更新してよい。例えば、ポリシー設定部４２は、これらの情報をメモリ部４１に格納するとともに、監視サーバ２のポリシー適用部２９に送信してよい。

図１４は、時間外辞書テーブル４１ａの一例を示す図であり、図１５は、リスクキーワード辞書テーブル４１ｂの一例を示す図である。

時間外辞書テーブル４１ａには、図１４に例示するように、時間外作業となる時間帯の「開始時刻」及び「終了時刻」（それぞれ、図１３の時間外開始時刻４０２ａ及び時間外終了時刻４０２ｂに対応）の項目が含まれてよい。時間外辞書テーブル４１ａには、例えば、「12:00」～「13:00」の「昼休憩」のように、時間外作業となる時間帯が複数個定義されてもよい。監視サーバ２の作業分析部２２は、例えば、作業分析結果１ｂに対して、アクセス日時が、時間外作業となる複数の時間帯のうちのいずれかの時間帯の範囲内であれば、時間外作業フラグをオンに設定してよい。

リスクキーワード辞書テーブル４１ｂは、図１５に例示するように、図１３の一覧ボタン４０３ｂから登録された１以上のリスクキーワードが登録されてよい。監視サーバ２の作業分析部２２は、例えば、作業分析結果１ｂに対して、ファイル名又はファイル内容が、１以上のリスクキーワードを含んでいれば、当該ファイルに対して行なわれたアクセスのリスクキーワードフラグをオンに設定してよい。

図１３の説明に戻り、アウトプットタイミングの選択欄４０４は、アウトプットウィンドウ３００又は３０１を業務端末３に表示させるタイミングを指定する選択欄である。選択欄４０４では、例えば、「翌日の初回起動時」又は「次回起動時（次回ログオン時）」が選択可能である。「翌日の初回起動時」が選択された場合、アウトプットウィンドウ３００が表示されるのは、翌日の初回起動時となり、同日内での再起動やログオフ／ログオン時には表示されない。「次回起動時（次回ログオン時）」が選択された場合、同日内の再起動後のログオン時やログオフ後のログオン時にもアウトプットウィンドウ３００が表示される。

従業員（利用者）のアウトプット内容の選択欄４０５及び上司のアウトプット内容の選択欄４０６は、アウトプットウィンドウ３００又は３０１に表示させる内容を指定する選択欄である。選択欄４０５及び４０６では、それぞれ、例えば、「作成ファイルのみ」又は「作成ファイルと参照ファイル」が選択可能である。「作成ファイルのみ」が選択された場合、アウトプットウィンドウ３００又は３０１には、図１１又は図１２に例示する作業分析結果１ｂのうち、作成ファイル一覧３１０のみが表示される。「作成ファイルと参照ファイル」が選択された場合、アウトプットウィンドウ３００又は３０１には、図１１又は図１２に例示するように、作成ファイル一覧３１０及び参照ファイル一覧３２０の双方が表示される。

ポリシー設定部４２は、選択欄４０４～４０６でそれぞれ選択された内容を、監視サーバ２のポリシー適用部２９に送信してよい。

（参考データウィンドウの一例）
図１６は、参考データウィンドウ４１０の一例を示す図である。図１６に示すように、表示制御部４５は、参考データ取得部４３から受信した参考データ１ｄの画面データに基づき、参考データウィンドウ４１０を表示部４６に表示させてよい。

図１６に示すように、参考データ１ｄには、例示的に、「Ｎｏ．」、「アクセス日時」、「ファイル名」、「リスクキーワード」、「端末番号」、「ユーザ名」、及び、「利用者氏名」の項目が含まれてよい。

なお、参考データウィンドウ４１０には、参考データ１ｄのうち、時間外作業フラグがオンに設定されたエントリ、リスクキーワードフラグがオンに設定されたエントリ、双方のフラグがオンに設定されたエントリ、がそれぞれ区別して表示されてもよい。

また、参考データ取得部４３は、例えば、参考データウィンドウ４１０の参考データ１ｄに表示されたいずれかのエントリが、システム管理者による管理端末４の操作により選択された場合、選択されたエントリの情報を解析結果取得部４４に通知してもよい。例えば、参考データ取得部４３は、選択されたエントリの少なくともファイル名の情報を解析結果取得部４４に通知することで、解析結果取得部４４は、当該ファイル名を含む解析条件に含む解析指示を監視サーバ２に送信することができる。

（解析処理結果ウィンドウの一例）
図１７は、解析処理結果ウィンドウ４２０の一例を示す図である。図１７に示すように、表示制御部４５は、解析結果取得部４４から受信した解析処理結果１ｃの画面データに基づき、解析処理結果ウィンドウ４２０を表示部４６に表示させてよい。

図１７に示すように、解析処理結果１ｃには、例示的に、「日時」、「端末番号」、「ユーザ名」、「操作」、及び、「内容」の項目が含まれてよい。

表示制御部４５は、例えば、表示部４６に、参考データウィンドウ４１０と解析処理結果ウィンドウ４２０とを並べて表示させてもよいし、参考データウィンドウ４１０の内容と解析処理結果ウィンドウ４２０の内容とを同一のウィンドウ内に表示させてもよい。

また、表示部４６に参考データウィンドウ４１０及び解析処理結果ウィンドウ４２０が表示された状態で、参考データウィンドウ４１０の参考データ１ｄのエントリが選択された場合、解析処理結果ウィンドウ４２０の解析処理結果１ｃが更新されてもよい。一例として、解析結果取得部４４は、参考データ１ｄで選択されたエントリのファイル名を含む解析指示（再指示）を監視サーバ２に送信し、監視サーバ２から受信した再指示に係る解析処理結果１ｃを表示制御部４５に出力してよい。表示制御部４５は、例えば、解析処理結果ウィンドウ４２０の解析処理結果１ｃの内容を、再指示に係る解析処理結果１ｃに置き換えてもよく、或いは、再指示に係る解析処理結果１ｃを解析処理結果ウィンドウ４２０の解析処理結果１ｃに追加してもよい。

〔１－３〕監視サーバ、業務端末、及び、管理端末の他の機能構成例
次に、一実施形態に係る業務システム１の他の構成例を説明する。以下、他の構成例に係る業務システム１、監視サーバ２、業務端末３及び管理端末４を、それぞれ、業務システム１Ａ、監視サーバ２Ａ、業務端末３Ａ及び管理端末４Ａと表記する。

図１８は、一実施形態に係る監視サーバ２Ａ、業務端末３Ａ、及び、管理端末４Ａの他の機能構成例を示すブロック図である。以下の図１８の説明において、図５に例示する機能構成例と同一の符号が付加された構成は、特に言及しない限り、図５に例示する構成と同様であってよい。

図１８に例示するように、業務端末３Ａは、図５に例示する業務端末３と比較して、作業分析部３５及び作業分析データ３６を備える点、並びに、操作ログ取得部３２Ａ及び表示制御部３３Ａの機能が異なる。

操作ログ取得部３２Ａは、図５に例示する操作ログ取得部３２の機能に加えて、取得したファイル操作ログ１ａを作業分析部３５に出力してよい。

作業分析部３５は、図５に例示する監視サーバ２の作業分析部２２の機能に略相当する。例えば、作業分析部３５は、操作ログ取得部３２Ａにより取得されたファイル操作ログ１ａに基づき、作業分析部２２と同様の手法により、自身の業務端末３Ａの作業分析結果１ｂを生成してよい。

また、作業分析部３５は、生成した作業分析結果１ｂを、作業分析データ３６に保存するとともに、所定のタイミング、例えば業務端末３Ａの終了又はログオフのタイミングで、作業分析データ３６に蓄積された作業分析結果１ｂを監視サーバ２に送信してよい。

なお、作業分析部３５は、管理端末４Ａのポリシー設定部４２Ａから受信する時間外辞書テーブル４１ａ及びリスクキーワード辞書テーブル４１ｂの情報に基づき、作業分析結果１ｂに時間外作業フラグ及びリスクキーワードフラグを付加してよい。

表示制御部３３Ａは、図５に例示する表示制御部３３の機能に加えて、管理端末４Ａのポリシー設定部４２Ａから受信するポリシーで指定されたアウトプットタイミングにおいて、表示部３４にアウトプットウィンドウ３００又は３０１を表示してよい。例えば、表示制御部３３Ａは、作業分析部３５から前日又は前回の作業分析結果１ｂを抽出し、ポリシー設定部４２Ａから受信するポリシーに基づき、作成ファイル一覧３１０及び参照ファイル一覧３２０の一方又は双方を表示する画面データを生成してよい。

また、表示制御部３３Ａは、業務端末３Ａの利用者が上司である場合、監視サーバ２Ａから、自身の業務端末３Ａの端末番号が他の業務端末３Ａにより上司端末番号に設定されている作業分析結果１ｂを受信してよい。表示制御部３３Ａは、受信した作業分析結果１ｂに基づき、アウトプットウィンドウ３０１の画面データを生成してよい。

なお、業務端末３Ａでは、業務端末３ＡのＯＳ上で動作するエージェントとしてのアプリケーションのプロパティとして、業務端末３Ａの上司端末番号を設定可能である。このため、表示制御部３３Ａは、例えば、自身の業務端末３Ａで上司端末番号に指定した上司の業務端末３Ａに対して、作業分析結果１ｂを送信してもよい。

また、表示制御部３３Ａは、アウトプットウィンドウ３００又は３０１の画面データの作成に用いる作業分析結果１ｂを作業分析データ３６から取得できない場合、図５の例と同様に、監視サーバ２Ａから作業分析結果１ｂを取得してもよい。

図１９は、業務端末３Ａの起動又はログオンから終了又はログオフまで業務サイクル（周期）における、作業分析結果１ｂの生成及びアウトプットウィンドウ３００の表示の動作例を説明するフローチャートである。

図１９に例示するように、業務端末３Ａの起動又はログオン後、表示制御部３３Ａは、管理端末４Ａから受信したポリシーに基づき、前日又は前回の作業に関するアウトプットウィンドウ３００又は３０１を表示部３４に表示させる（ステップＳ１）。

業務端末３Ａにおいて、ファイルのオープンや新規作成が行なわれると、操作ログ取得部３２Ａがファイル操作ログ１ａを生成する。作業分析部３５は、ファイル操作ログ１ａに基づき、作業分析データ３６に作業分析結果１ｂのエントリを作成又は更新する。

例えば、図１９に符号Ａで示すように、作業分析部３５は、業務端末３Ａの利用者がファイルを更新するために新規作成したファイル「Book1.xlsx」を、作成ファイル情報２３ａに追加する。また、作業分析部３５は、利用者が更新のために開いた、前日作成したファイル「拡販資料.pptx」、及び、参照のために開いた「２０１８年拡販資料.pptx」を参照ファイル情報２３ｂに追加する。

作業分析部３５は、作業分析結果１ｂに追加したファイルを作成するアプリケーションのウィンドウがアクティブになった時間を、ファイル別に積算し、各ファイルの作業時間を更新する（符号Ｂ参照）。以降の符号Ｃ～Ｆにおいても、作業分析部３５は、ファイルごとに作業時間（及び保存回数）を更新する。

また、使用者が「拡販資料.pptx」を更新して保存した場合、作業分析部３５は、当該ファイルに関する参照ファイル情報２３ｂの各項目の情報を、参照ファイル情報２３ｂから作成ファイル情報２３ａにコピーする（符号Ｃ参照）。この場合、作業分析部３５は、作成ファイル情報２３ａ上で当該ファイルの作業時間及び保存回数等を更新し、参照ファイル情報２３ｂ上での当該ファイルの作業時間等の更新を停止する。

さらに、使用者が「Book1.xlsx」を保存した場合、作業分析部３５は、作成ファイル情報２３ａ内の該当ファイルの保存回数に“１”を加算する（符号Ｄ参照）。

また、使用者が「Book1.xlsx」のファイル名を「PJスケジュール.xlsx」に変更した場合、作業分析部３５は、作成ファイル情報２３ａ内の該当ファイルのファイル名を変更する（符号Ｅ参照）。この場合、作業分析部３５は、ファイル名変更前の作業時間及び保存回数等を含む、作成ファイル情報２３ａの各項目の情報を引き継いで、ファイル名変更後の作成ファイル情報２３ａに利用する。

業務端末３Ａにおいて、アプリケーションが終了され、業務端末３Ａの終了又はログオフの操作が発生すると（ステップＳ４）、作業分析部３５は、当日の作業分析結果１ｂを確定し（符号Ｆ参照）、作業分析結果１ｂを監視サーバ２Ａに送信する（ステップＳ５）。

作業分析結果１ｂの送信後、業務端末３Ａの終了又はログオフが行なわれ（ステップＳ６）、処理が終了する。

なお、図１９に示す例では、ファイルの作業時間や保存回数の遷移に着目しているため、作成ファイル情報２３ａ及び参照ファイル情報２３ｂの時間外作業フラグ及びリスクキーワードフラグの図示を省略している。作業分析部３５は、符号Ａ～Ｅで示す作業分析結果１ｂの作成又は更新の課程で、時間外作業フラグ及びリスクキーワードフラグの判定及び設定を行なってもよい。或いは、作業分析部３５は、符号Ｆで示すアウトプット内容を確定したタイミングで、時間外作業フラグ及びリスクキーワードフラグの判定及び設定を行なってもよい。

図１８の説明に戻り、監視サーバ２Ａは、図５に例示する監視サーバ２と比較して、作業分析部２２及びポリシー適用部２９が省略される点、並びに、作業分析結果送信部２７Ａの機能が異なる。

作業分析結果送信部２７Ａは、業務端末３Ａの作業分析部３５から送信され、監視サーバ２Ａにより作業分析データ２３に蓄積された作業分析結果１ｂのうち、上司端末番号が指定されている作業分析結果１ｂを、当該上司端末番号の業務端末３Ａに送信する。送信のタイミングは、業務端末３Ａから要求されたタイミングであってよい。

管理端末４Ａは、図５に例示する管理端末４と比較して、ポリシー設定部４２Ａの機能が異なる。ポリシー設定部４２Ａは、ポリシーを、監視サーバ２Ａに代えて（又は加えて）、各業務端末３Ａに送信する。

上述した業務システム１Ａの動作例を、図２０に示すシーケンス図を参照して説明する。図２０に示すように、業務システム１Ａの動作は、図２に例示する業務システム１の動作における処理Ｐ３を、処理Ｐ１１及びＰ１２に置き換えたものと捉えてよい。

処理Ｐ１１において、業務端末３Ａの作業分析部３５は、処理Ｐ１で取得されたファイル操作ログ１ａに基づき作業分析処理を行ない、生成した作業分析結果１ｂを作業分析データ３６に保存する。また、作業分析部３５は、所定のタイミングで、未送信分の作業分析結果１ｂを監視サーバ２Ａに送信する。

処理Ｐ１２において、監視サーバ２Ａは、各業務端末３Ａから受信した作業分析結果１ｂを作業分析データ２３に保存（格納）する。

以上のように、作業分析結果１ｂを監視サーバ２Ａではなく業務端末３Ａが生成（抽出）するようにしても、図５に例示する業務システム１と同様の効果を奏することができる。

〔１－４〕ハードウェア構成例
図２１は、監視サーバ２又は２Ａの機能を実現するコンピュータ１０のＨＷ構成例を示すブロック図である。監視サーバ２又は２Ａの機能を実現するＨＷリソースとして、複数のコンピュータが用いられる場合は、各コンピュータが図２１に例示するＨＷ構成を備えてよい。

図２１に示すように、コンピュータ１０は、ＨＷ構成として、例示的に、プロセッサ１０ａ、メモリ１０ｂ、記憶部１０ｃ、ＩＦ（Interface）部１０ｄ、Ｉ／Ｏ（Input / Output）部１０ｅ、及び読取部１０ｆを備えてよい。

プロセッサ１０ａは、種々の制御や演算を行なう演算処理装置の一例である。プロセッサ１０ａは、コンピュータ１０内の各ブロックとバス１０ｉで相互に通信可能に接続されてよい。なお、プロセッサ１０ａは、複数のプロセッサを含むマルチプロセッサであってもよいし、複数のプロセッサコアを有するマルチコアプロセッサであってもよく、或いは、マルチコアプロセッサを複数有する構成であってもよい。

プロセッサ１０ａとしては、例えば、ＣＰＵ、ＭＰＵ、ＧＰＵ、ＡＰＵ、ＤＳＰ、ＡＳＩＣ、ＦＰＧＡ等の集積回路（ＩＣ；Integrated Circuit）が挙げられる。なお、プロセッサ１０ａとして、これらの集積回路の２以上の組み合わせが用いられてもよい。ＣＰＵはCentral Processing Unitの略称であり、ＭＰＵはMicro Processing Unitの略称である。ＧＰＵはGraphics Processing Unitの略称であり、ＡＰＵはAccelerated Processing Unitの略称である。ＤＳＰはDigital Signal Processorの略称であり、ＡＳＩＣはApplication Specific ICの略称であり、ＦＰＧＡはField-Programmable Gate Arrayの略称である。

メモリ１０ｂは、種々のデータやプログラム等の情報を格納するＨＷの一例である。メモリ１０ｂとしては、例えばＤＲＡＭ等の揮発性メモリ、及び、ＰＭ等の不揮発性メモリ、の一方又は双方が挙げられる。

記憶部１０ｃは、種々のデータやプログラム等の情報を格納するＨＷの一例である。記憶部１０ｃとしては、ＨＤＤ等の磁気ディスク装置、ＳＳＤ等の半導体ドライブ装置、不揮発性メモリ等の各種記憶装置が挙げられる。不揮発性メモリとしては、例えば、フラッシュメモリ、ＳＣＭ（Storage Class Memory）、ＲＯＭ（Read Only Memory）等が挙げられる。

また、記憶部１０ｃは、コンピュータ１０の各種機能の全部若しくは一部を実現するプログラム１０ｇ（プログラム）を格納してよい。例えば、監視サーバ２又は２Ａのプロセッサ１０ａは、記憶部１０ｃに格納されたプログラム１０ｇをメモリ１０ｂに展開して実行することにより、図５又は図１８に例示する監視サーバ２又は２Ａとしての機能を実現できる。

なお、メモリ１０ｂ及び記憶部１０ｃの少なくとも１つが有する記憶領域には、図５又は図１８に示す操作ログＤＢ２１、作業分析データ２３及び参考データＤＢ２８が格納されてよい。

ＩＦ部１０ｄは、ネットワークとの間の接続及び通信の制御等を行なう通信ＩＦの一例である。例えば、ＩＦ部１０ｄは、イーサネット（登録商標）等のＬＡＮ、或いは、ＦＣ（Fibre Channel）等の光通信等に準拠したアダプタを含んでよい。当該アダプタは、無線及び有線の一方又は双方の通信方式に対応してよい。例えば、プログラム１０ｇは、当該通信ＩＦを介して、ネットワークからコンピュータ１０にダウンロードされ、記憶部１０ｃに格納されてもよい。

Ｉ／Ｏ部１０ｅは、入力装置、及び、出力装置、の一方又は双方を含んでよい。入力装置としては、例えば、キーボード、マウス、タッチパネル等が挙げられる。出力装置としては、例えば、モニタ、プロジェクタ、プリンタ等が挙げられる。

読取部１０ｆは、記録媒体１０ｈに記録されたデータやプログラムの情報を読み出すリーダの一例である。読取部１０ｆは、記録媒体１０ｈを接続可能又は挿入可能な接続端子又は装置を含んでよい。読取部１０ｆとしては、例えば、ＵＳＢ（Universal Serial Bus）等に準拠したアダプタ、記録ディスクへのアクセスを行なうドライブ装置、ＳＤカード等のフラッシュメモリへのアクセスを行なうカードリーダ等が挙げられる。なお、記録媒体１０ｈにはプログラム１０ｇが格納されてもよく、読取部１０ｆが記録媒体１０ｈからプログラム１０ｇを読み出して記憶部１０ｃに格納してもよい。

記録媒体１０ｈとしては、例示的に、磁気／光ディスクやフラッシュメモリ等の非一時的なコンピュータ読取可能な記録媒体が挙げられる。磁気／光ディスクとしては、例示的に、フレキシブルディスク、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disc）、ブルーレイディスク、ＨＶＤ（Holographic Versatile Disc）等が挙げられる。フラッシュメモリとしては、例示的に、ＵＳＢメモリやＳＤカード等の半導体メモリが挙げられる。

上述したコンピュータ１０のＨＷ構成は例示である。従って、コンピュータ１０内でのＨＷの増減（例えば任意のブロックの追加や削除）、分割、任意の組み合わせでの統合、又は、バスの追加若しくは削除等は適宜行なわれてもよい。例えば、監視サーバ２又は２Ａにおいて、Ｉ／Ｏ部１０ｅ及び読取部１０ｆの少なくとも一方は、省略されてもよい。

なお、情報処理装置の一例である業務端末３又は３Ａ、及び、管理端末４又は４Ａの機能は、それぞれ、上述したコンピュータ１０と同様のＨＷ構成により実現されてよい。

例えば、業務端末３又は３Ａのプロセッサ１０ａは、記憶部１０ｃに格納されたプログラム１０ｇをメモリ１０ｂに展開して実行することにより、図５又は図１８に示す業務端末３又は３Ａとしての機能を実現できる。同様に、管理端末４又は４Ａのプロセッサ１０ａは、記憶部１０ｃに格納されたプログラム１０ｇをメモリ１０ｂに展開して実行することにより、図５又は図１８に示す管理端末４又は４Ａとしての機能を実現できる。

なお、図５又は図１８に示す業務端末３又は３Ａの表示部３４は、業務端末３又は３ＡのＩ／Ｏ部１０ｅの一例である。また、業務端末３Ａのメモリ１０ｂ及び記憶部１０ｃの少なくとも１つが有する記憶領域には、図１８に示す業務端末３Ａの作業分析データ３６が格納されてよい。さらに、図５又は図１８に示す管理端末４又は４Ａの表示部４６は、管理端末４又は４ＡのＩ／Ｏ部１０ｅの一例である。

〔２〕その他
上述した一実施形態に係る技術は、以下のように変形、変更して実施することができる。

例えば、図５に示す監視サーバ２、業務端末３及び管理端末４、並びに、図１８に示す監視サーバ２Ａ、業務端末３Ａ及び管理端末４Ａがそれぞれ備える機能ブロックは、各サーバ又は端末内で、任意の組み合わせで併合してもよく、それぞれ分割してもよい。また、図５又は図１８に示す監視サーバ２又は２Ａは、複数の装置がネットワークを介して互いに連携することにより、各処理機能を実現する構成であってもよい。

〔３〕付記
以上の実施形態に関し、さらに以下の付記を開示する。

（付記１）
ユーザが利用する情報処理端末とサーバと管理者端末とを有する表示システムにおいて、
前記サーバは、
前記情報処理端末から、該情報処理端末で実行された操作に関する操作ログを収集して記録する第１の記憶領域と、
前記操作ログに基づいて、ファイルに対して行なわれた所定期間における操作を分析した作業分析情報であって、前記操作の操作時刻が前記ユーザの就業時間内であるか否かを区別する第１情報、及び、指定された文字列が前記ファイルのファイル名又は内容に含まれるか否かを区別する第２情報、の一方又は双方を含む前記作業分析情報を生成する作業分析情報生成部と、
前記作業分析情報を記録する、前記第１の記憶領域とは異なる第２の記憶領域と、
前記管理者端末からの前記操作ログの解析開始指示の受信に応じて、前記作業分析情報に基づいて参考情報を生成する参考情報生成部と、
前記管理者端末からの前記操作ログの解析指示の受信に応じて、前記操作ログの解析結果を出力する解析部と、
前記作業分析情報を前記情報処理端末に送信し、前記参考情報及び前記解析結果を前記管理者端末に送信する送信部と、を有し、
前記情報処理端末は、
前記サーバから前記作業分析情報を受信する受信部と、
前記作業分析情報を表示する表示部と、を有し、
前記管理者端末は、
前記参考情報及び前記解析結果を受信する受信部と、
前記参考情報の受信に応じて前記参考情報を表示し、前記解析結果の受信に応じて前記参考情報に加え、前記解析結果を表示する表示部と、を有する
ことを特徴する表示システム。

（付記２）
前記参考情報生成部は、前記作業分析情報に含まれる前記第１情報に基づいて、操作時刻が前記ユーザの就業時間外であるファイルのファイル名、当該操作時刻、及び、前記ファイルを操作した利用者に関する情報、を少なくとも含む前記参考情報を生成する、
付記１に記載の表示システム。

（付記３）
前記参考情報生成部は、前記作業分析情報に含まれる前記第２情報に基づいて、前記指定された文字列をファイル名又は内容に含むファイルの前記ファイル名、前記指定された文字列、及び、前記ファイルを操作した利用者に関する情報、を少なくとも含む前記参考情報を生成する、
付記１又は付記２に記載の表示システム。

（付記４）
前記作業分析情報は、前記情報処理端末が作成したファイルに関する前記第１情報及び前記第２情報の一方又は双方を含む作成ファイル情報と、前記情報処理端末が参照したファイルに関する前記第１情報及び前記第２情報の一方又は双方を含む参照ファイル情報と、を含む、
付記１～３のいずれか１項に記載の表示システム。

（付記５）
前記送信部は、前記情報処理端末の前記作業分析情報を、前記情報処理端末と、前記情報処理端末に関連付けられた他の情報処理端末と、に送信する、
付記１～４のいずれか１項に記載の表示システム。

（付記６）
ユーザが利用する情報処理端末から、該情報処理端末で実行された操作に関する操作ログを収集して第１の記憶領域に記録し、
前記操作ログに基づいて、ファイルに対して行なわれた所定期間における操作を分析した作業分析情報であって、前記操作の操作時刻が前記ユーザの就業時間内であるか否かを区別する第１情報、及び、指定された文字列が前記ファイルのファイル名又は内容に含まれるか否かを区別する第２情報、の一方又は双方を含む前記作業分析情報を生成し、
前記作業分析情報を前記第１の記憶領域とは異なる第２の記憶領域に記録し、
管理者端末からの前記操作ログの解析開始指示の受信に応じて、前記作業分析情報に基づいて参考情報を生成し、
前記参考情報を前記管理者端末に送信する、
処理をコンピュータに実行させることを特徴とする、プログラム。

（付記７）
前記送信の後、前記管理者端末からの前記操作ログの解析指示の受信に応じて、前記操作ログを解析した結果を、前記管理者端末に送信する、
処理を前記コンピュータに実行させる、
付記６に記載のプログラム。

（付記８）
ユーザが利用する情報処理端末とサーバと管理者端末とを有する表示システムにおける表示方法であって、
前記サーバが、
前記情報処理端末から、該情報処理端末で実行された操作に関する操作ログを収集して第１の記憶領域に記録し、
前記操作ログに基づいて、ファイルに対して行なわれた所定期間における操作を分析した作業分析情報であって、前記操作の操作時刻が前記ユーザの就業時間内であるか否かを区別する第１情報、及び、指定された文字列が前記ファイルのファイル名又は内容に含まれるか否かを区別する第２情報、の一方又は双方を含む前記作業分析情報を生成し、
前記作業分析情報を前記第１の記憶領域とは異なる第２の記憶領域に記録し、
前記作業分析情報を前記情報処理端末に送信し、
前記情報処理端末が、
前記サーバから前記作業分析情報を受信し、
前記作業分析情報を表示部に表示し、
前記サーバが、
前記管理者端末からの前記操作ログの解析開始指示の受信に応じて、前記作業分析情報に基づいて参考情報を生成し、
前記参考情報を前記管理者端末に送信し、
前記管理者端末からの前記操作ログの解析指示の受信に応じて、前記操作ログの解析結果を出力し、
前記解析結果を前記管理者端末に送信し、
前記管理者端末が、
前記サーバからの前記参考情報の受信に応じて前記参考情報を表示部に表示し、
前記サーバからの前記解析結果の受信に応じて前記参考情報に加え、前記解析結果を前記管理者端末の表示部に表示する、
ことを特徴する表示方法。

（付記９）
ユーザが利用する情報処理端末とサーバと管理者端末とを有する表示システムにおいて、
前記情報処理端末は、
該情報処理端末で実行された操作に関する操作ログに基づいて、ファイルに対して行なわれた所定期間における操作を分析した作業分析情報であって、前記操作の操作時刻が前記ユーザの就業時間内であるか否かを区別する第１情報、及び、指定された文字列が前記ファイルのファイル名又は内容に含まれるか否かを区別する第２情報、の一方又は双方を含む前記作業分析情報を生成する作業分析情報生成部と、
前記作業分析情報を表示する表示部と、を有し、
前記サーバは、
前記情報処理端末から、前記操作ログを収集して記録する第１の記憶領域と、
前記情報処理端末から、前記作業分析情報を収集して記録する、前記第１の記憶領域とは異なる第２の記憶領域と、
前記管理者端末からの前記操作ログの解析開始指示の受信に応じて、前記作業分析情報に基づいて参考情報を生成する参考情報生成部と、
前記管理者端末からの前記操作ログの解析指示の受信に応じて、前記操作ログの解析結果を出力する解析部と、
前記参考情報及び前記解析結果を前記管理者端末に送信する送信部と、を有し、
前記管理者端末は、
前記参考情報及び前記解析結果を受信する受信部と、
前記参考情報の受信に応じて前記参考情報を表示し、前記解析結果の受信に応じて前記参考情報に加え、前記解析結果を表示する表示部と、を有する
ことを特徴する表示システム。

（付記１０）
前記参考情報生成部は、前記作業分析情報に含まれる前記第１情報に基づいて、操作時刻が前記ユーザの就業時間外であるファイルのファイル名、当該操作時刻、及び、前記ファイルを操作した利用者に関する情報、を少なくとも含む前記参考情報を生成する、
付記９に記載の表示システム。

（付記１１）
前記参考情報生成部は、前記作業分析情報に含まれる前記第２情報に基づいて、前記指定された文字列をファイル名又は内容に含むファイルの前記ファイル名、前記指定された文字列、及び、前記ファイルを操作した利用者に関する情報、を少なくとも含む前記参考情報を生成する、
付記９又は付記１０に記載の表示システム。

（付記１２）
前記作業分析情報は、前記情報処理端末が作成したファイルに関する前記第１情報及び前記第２情報の一方又は双方を含む作成ファイル情報と、前記情報処理端末が参照したファイルに関する前記第１情報及び前記第２情報の一方又は双方を含む参照ファイル情報と、を含む、
付記９～１１のいずれか１項に記載の表示システム。

（付記１３）
前記送信部は、前記情報処理端末から収集した前記作業分析情報を、当該情報処理端末に関連付けられた他の情報処理端末に送信する、
付記９～１２のいずれか１項に記載の表示システム。

（付記１４）
ユーザが利用する情報処理端末から、該情報処理端末で実行された操作に関する操作ログを収集して第１の記憶領域に記録し、
前記情報処理端末から、前記情報処理端末により前記操作ログに基づいて生成された、ファイルに対して行なわれた所定期間における操作を分析した作業分析情報であって、前記操作の操作時刻が前記ユーザの就業時間内であるか否かを区別する第１情報、及び、指定された文字列が前記ファイルのファイル名又は内容に含まれるか否かを区別する第２情報、の一方又は双方を含む前記作業分析情報を収集し、
前記作業分析情報を前記第１の記憶領域とは異なる第２の記憶領域に記録し、
管理者端末からの前記操作ログの解析開始指示の受信に応じて、前記作業分析情報に基づいて参考情報を生成し、
前記参考情報を前記管理者端末に送信する、
処理をコンピュータに実行させることを特徴とする、プログラム。

（付記１５）
前記送信の後、前記管理者端末からの前記操作ログの解析指示の受信に応じて、前記操作ログを解析した結果を、前記管理者端末に送信する、
処理を前記コンピュータに実行させる、
付記１４に記載のプログラム。

（付記１６）
ユーザが利用する情報処理端末とサーバと管理者端末とを有する表示システムにおける表示方法であって、
前記情報処理端末が、
該情報処理端末で実行された操作に関する操作ログに基づいて、ファイルに対して行なわれた所定期間における操作を分析した作業分析情報であって、前記操作の操作時刻が前記ユーザの就業時間内であるか否かを区別する第１情報、及び、指定された文字列が前記ファイルのファイル名又は内容に含まれるか否かを区別する第２情報、の一方又は双方を含む前記作業分析情報を生成し、
前記作業分析情報を表示部に表示し、
前記サーバが、
前記情報処理端末から、前記操作ログを収集して第１の記憶領域に記録し、
前記情報処理端末から、前記作業分析情報を収集して前記第１の記憶領域とは異なる第２の記憶領域に記録し、
前記管理者端末からの前記操作ログの解析開始指示の受信に応じて、前記作業分析情報に基づいて参考情報を生成し、
前記参考情報を前記管理者端末に送信し、
前記管理者端末からの前記操作ログの解析指示の受信に応じて、前記操作ログの解析結果を出力し、
前記解析結果を前記管理者端末に送信し、
前記管理者端末が、
前記サーバからの前記参考情報の受信に応じて前記参考情報を表示部に表示し、
前記サーバからの前記解析結果の受信に応じて前記参考情報に加え、前記解析結果を前記管理者端末の表示部に表示する、
ことを特徴する表示方法。

１、１Ａ 業務システム
１ａ ファイル操作ログ
１ｂ 作業分析結果
１ｃ 解析処理結果
１ｄ 参考データ
１０ コンピュータ
２、２Ａ 監視サーバ
２１ 操作ログＤＢ
２２、３５ 作業分析部
２３、３６ 作業分析データ
２３ａ 作成ファイル情報
２３ｂ 参照ファイル情報
２４ 原因解析部
２５ 解析用画面生成部
２５ａ 参考データ生成部
２５ｂ 画面生成部
２６ 操作ログ収集部
２７、２７Ａ 作業分析結果送信部
２８ 参考データＤＢ
２９ ポリシー適用部
３、３ａ、３ｂ、３Ａ 業務端末
３１ ファイル操作部
３２ 操作ログ取得部
３３、３３Ａ、４５ 表示制御部
３４、４６ 表示部
４、４Ａ 管理端末
４１ メモリ部
４１ａ 時間外辞書テーブル
４１ｂ リスクキーワード辞書テーブル
４２、４２Ａ ポリシー設定部
４３ 参考データ取得部
４４ 解析結果取得部

Claims (10)

1. ユーザが利用する情報処理端末とサーバと管理者端末とを有する表示システムにおいて、
   前記サーバは、
   前記情報処理端末から、該情報処理端末で実行された操作に関する操作ログを収集して記録する第１の記憶領域と、
   前記操作ログに基づいて、ファイルに対して行なわれた所定期間における操作を分析した作業分析情報であって、前記操作の操作時刻が前記ユーザの就業時間内であるか否かを区別する第１情報、及び、指定された文字列が前記ファイルのファイル名又は内容に含まれるか否かを区別する第２情報、の一方又は双方を含む前記作業分析情報を生成する作業分析情報生成部と、
   前記作業分析情報を記録する、前記第１の記憶領域とは異なる第２の記憶領域と、
   前記管理者端末からの前記操作ログの解析開始指示の受信に応じて、前記作業分析情報に基づいて参考情報を生成する参考情報生成部と、
   前記管理者端末からの前記操作ログの解析指示の受信に応じて、前記操作ログの解析結果を出力する解析部と、
   前記作業分析情報を前記情報処理端末に送信し、前記参考情報及び前記解析結果を前記管理者端末に送信する送信部と、を有し、
   前記情報処理端末は、
   前記サーバから前記作業分析情報を受信する受信部と、
   前記作業分析情報を表示する表示部と、を有し、
   前記管理者端末は、
   前記参考情報及び前記解析結果を受信する受信部と、
   前記参考情報の受信に応じて前記参考情報を表示し、前記解析結果の受信に応じて前記参考情報に加え、前記解析結果を表示する表示部と、を有する
   ことを特徴する表示システム。
2. 前記参考情報生成部は、前記作業分析情報に含まれる前記第１情報に基づいて、操作時刻が前記ユーザの就業時間外であるファイルのファイル名、当該操作時刻、及び、前記ファイルを操作した利用者に関する情報、を少なくとも含む前記参考情報を生成する、
   請求項１に記載の表示システム。
3. 前記参考情報生成部は、前記作業分析情報に含まれる前記第２情報に基づいて、前記指定された文字列をファイル名又は内容に含むファイルの前記ファイル名、前記指定された文字列、及び、前記ファイルを操作した利用者に関する情報、を少なくとも含む前記参考情報を生成する、
   請求項１又は請求項２に記載の表示システム。
4. 前記作業分析情報は、前記情報処理端末が作成したファイルに関する前記第１情報及び前記第２情報の一方又は双方を含む作成ファイル情報と、前記情報処理端末が参照したファイルに関する前記第１情報及び前記第２情報の一方又は双方を含む参照ファイル情報と、を含む、
   請求項１～３のいずれか１項に記載の表示システム。
5. ユーザが利用する情報処理端末から、該情報処理端末で実行された操作に関する操作ログを収集して第１の記憶領域に記録し、
   前記操作ログに基づいて、ファイルに対して行なわれた所定期間における操作を分析した作業分析情報であって、前記操作の操作時刻が前記ユーザの就業時間内であるか否かを区別する第１情報、及び、指定された文字列が前記ファイルのファイル名又は内容に含まれるか否かを区別する第２情報、の一方又は双方を含む前記作業分析情報を生成し、
   前記作業分析情報を前記第１の記憶領域とは異なる第２の記憶領域に記録し、
   管理者端末からの前記操作ログの解析開始指示の受信に応じて、前記作業分析情報に基づいて参考情報を生成し、
   前記参考情報を前記管理者端末に送信する、
   処理をコンピュータに実行させることを特徴とする、プログラム。
6. 前記送信の後、前記管理者端末からの前記操作ログの解析指示の受信に応じて、前記操作ログを解析した結果を、前記管理者端末に送信する、
   処理を前記コンピュータに実行させる、
   請求項５に記載のプログラム。
7. ユーザが利用する情報処理端末とサーバと管理者端末とを有する表示システムにおける表示方法であって、
   前記サーバが、
   前記情報処理端末から、該情報処理端末で実行された操作に関する操作ログを収集して第１の記憶領域に記録し、
   前記操作ログに基づいて、ファイルに対して行なわれた所定期間における操作を分析した作業分析情報であって、前記操作の操作時刻が前記ユーザの就業時間内であるか否かを区別する第１情報、及び、指定された文字列が前記ファイルのファイル名又は内容に含まれるか否かを区別する第２情報、の一方又は双方を含む前記作業分析情報を生成し、
   前記作業分析情報を前記第１の記憶領域とは異なる第２の記憶領域に記録し、
   前記作業分析情報を前記情報処理端末に送信し、
   前記情報処理端末が、
   前記サーバから前記作業分析情報を受信し、
   前記作業分析情報を表示部に表示し、
   前記サーバが、
   前記管理者端末からの前記操作ログの解析開始指示の受信に応じて、前記作業分析情報に基づいて参考情報を生成し、
   前記参考情報を前記管理者端末に送信し、
   前記管理者端末からの前記操作ログの解析指示の受信に応じて、前記操作ログの解析結果を出力し、
   前記解析結果を前記管理者端末に送信し、
   前記管理者端末が、
   前記サーバからの前記参考情報の受信に応じて前記参考情報を表示部に表示し、
   前記サーバからの前記解析結果の受信に応じて前記参考情報に加え、前記解析結果を前記管理者端末の表示部に表示する、
   ことを特徴する表示方法。
8. ユーザが利用する情報処理端末とサーバと管理者端末とを有する表示システムにおいて、
   前記情報処理端末は、
   該情報処理端末で実行された操作に関する操作ログに基づいて、ファイルに対して行なわれた所定期間における操作を分析した作業分析情報であって、前記操作の操作時刻が前記ユーザの就業時間内であるか否かを区別する第１情報、及び、指定された文字列が前記ファイルのファイル名又は内容に含まれるか否かを区別する第２情報、の一方又は双方を含む前記作業分析情報を生成する作業分析情報生成部と、
   前記作業分析情報を表示する表示部と、を有し、
   前記サーバは、
   前記情報処理端末から、前記操作ログを収集して記録する第１の記憶領域と、
   前記情報処理端末から、前記作業分析情報を収集して記録する、前記第１の記憶領域とは異なる第２の記憶領域と、
   前記管理者端末からの前記操作ログの解析開始指示の受信に応じて、前記作業分析情報に基づいて参考情報を生成する参考情報生成部と、
   前記管理者端末からの前記操作ログの解析指示の受信に応じて、前記操作ログの解析結果を出力する解析部と、
   前記参考情報及び前記解析結果を前記管理者端末に送信する送信部と、を有し、
   前記管理者端末は、
   前記参考情報及び前記解析結果を受信する受信部と、
   前記参考情報の受信に応じて前記参考情報を表示し、前記解析結果の受信に応じて前記参考情報に加え、前記解析結果を表示する表示部と、を有する
   ことを特徴する表示システム。
9. ユーザが利用する情報処理端末から、該情報処理端末で実行された操作に関する操作ログを収集して第１の記憶領域に記録し、
   前記情報処理端末から、前記情報処理端末により前記操作ログに基づいて生成された、ファイルに対して行なわれた所定期間における操作を分析した作業分析情報であって、前記操作の操作時刻が前記ユーザの就業時間内であるか否かを区別する第１情報、及び、指定された文字列が前記ファイルのファイル名又は内容に含まれるか否かを区別する第２情報、の一方又は双方を含む前記作業分析情報を収集し、
   前記作業分析情報を前記第１の記憶領域とは異なる第２の記憶領域に記録し、
   管理者端末からの前記操作ログの解析開始指示の受信に応じて、前記作業分析情報に基づいて参考情報を生成し、
   前記参考情報を前記管理者端末に送信する、
   処理をコンピュータに実行させることを特徴とする、プログラム。
10. ユーザが利用する情報処理端末とサーバと管理者端末とを有する表示システムにおける表示方法であって、
    前記情報処理端末が、
    該情報処理端末で実行された操作に関する操作ログに基づいて、ファイルに対して行なわれた所定期間における操作を分析した作業分析情報であって、前記操作の操作時刻が前記ユーザの就業時間内であるか否かを区別する第１情報、及び、指定された文字列が前記ファイルのファイル名又は内容に含まれるか否かを区別する第２情報、の一方又は双方を含む前記作業分析情報を生成し、
    前記作業分析情報を表示部に表示し、
    前記サーバが、
    前記情報処理端末から、前記操作ログを収集して第１の記憶領域に記録し、
    前記情報処理端末から、前記作業分析情報を収集して前記第１の記憶領域とは異なる第２の記憶領域に記録し、
    前記管理者端末からの前記操作ログの解析開始指示の受信に応じて、前記作業分析情報に基づいて参考情報を生成し、
    前記参考情報を前記管理者端末に送信し、
    前記管理者端末からの前記操作ログの解析指示の受信に応じて、前記操作ログの解析結果を出力し、
    前記解析結果を前記管理者端末に送信し、
    前記管理者端末が、
    前記サーバからの前記参考情報の受信に応じて前記参考情報を表示部に表示し、
    前記サーバからの前記解析結果の受信に応じて前記参考情報に加え、前記解析結果を前記管理者端末の表示部に表示する、
    ことを特徴する表示方法。

Images