JP2002539545A

JP2002539545A - 匿名化の方法

Info

Publication number: JP2002539545A
Application number: JP2000605337A
Authority: JP
Inventors: ネールローラント
Original assignee: エルオーカーロンバルトカッセアクチエンゲゼルシャフト
Priority date: 1999-03-12
Filing date: 2000-03-02
Publication date: 2002-11-19
Also published as: EP1163776A2; EP1163776B1; DE50008116D1; DE19911176A1; WO2000056005A3; ATE279068T1; CA2363687A1; WO2000056005A2

Abstract

(57)【要約】本発明はデータストリーム内に匿名の機密データを生成する方法に関する。本発明は、機密データフィールドを圧縮するステップと、機密データフィールドを匿名化するステップと、データストリーム内の匿名化された機密データフィールドを開始記号および停止記号によって識別するステップとを含む方法を提供する。

Description

【発明の詳細な説明】

【０００１】本発明は、データストリーム内の機密データを匿名化する方法に関する。

【０００２】長期記憶の情報がデータベースに格納される。そのような収集情報の価値は、
組織にとって不可欠な資産であると考えられる。その秘匿性のために、一般に、
データベースへのアクセスが制限される、すなわち、アクセスはユーザ権プロフ
ァイルに適合する許可されたユーザにだけ可能である。ユーザ権プロファイルに
おいて、誰がどのデータにどんなモード（例えば、読取り、書込み）でアクセス
できるかを規定することが可能である。よくある例は、会社のあらゆる従業員が
人事データにアクセスできる訳ではないということである。また、従業員が職務
を行うのに必要な情報だけには、「知る必要」原則の基づいて、アクセスするこ
とが可能となっている。他の情報はすべて閉じられている。管理者にはアクセス
権を割当てる責任があり、データ保護の信頼度は基本的にこの管理者に依存する
。

【０００３】データの安全保護を確保するために、アクセスされたくないデータを匿名化す
る匿名化手法がよく使用される。そのような方法は、特にデータがデータベース
にデータストリームの形で転送される場合に使用され、この場合に、伝送経路上
のデータへの無許可のアクセスが無いことを確実にすることが必要である。これ
の応用例が、電子メールによるデータストリームの送信である。ここでは、送信
者および受信者がデータベースに含まれるすべてのデータに対して完全なアクセ
ス権を有する。インターネット内のアタッカーがデータにアクセスできないよう
に、データは伝送前に暗号化される。受信者はデータを解読し、それに完全にア
クセスできる。

【０００４】データベースを保護するための公知の方法では、通常、ユーザ権の認証および
チェックがデータベースのフロンドエンドで実行される。例えば、これはＩＢＭ
のＤＢ２^ＴＭで使われている。より高いレベルのアクセス権が要求される場合は
、例えば、ＩＢＭのＲＡＣＦ^ＴＭ（資源アクセス管理機能）のような市販製品が
ある。しかし、ここでのアクセス管理もまた管理者によって実行される。

【０００５】従来の方法が不適切である典型的な状況が、アウトソーサー／インソーサー関
係である。アウトソーサーは、規定のサービスがインソーサーによって調達され
るようにし、インソーサーに必要なすべてのデータを与える。そして、このデー
タはインソーサーにおいてデータベースに格納される。データ保護のために、ま
たは顧客保護のために、アウトソーサー自身が顧客識別データの配布を管理する
ことを望む場合は、データベース全体へのアクセスを防止するため、またはイン
ソーサーの構内にいる管理者の支援の下に、特定のデータへのアクセスの選択的
管理を行うために、既存の匿名化手法が使用される。したがって、機密データに
アクセスすることもまた基本的に可能であろう。

【０００６】本発明の目的は、データベースにアクセスすることは可能とするが、除外デー
タと残りのデータの間の関係を破壊せずにこのデータベース内の特定のデータを
アクセスから除外する方法を利用できるようにすることである。保護されていな
いデータを処理するために、保護されるデータへのアクセス統制を失うことなく
、第三者にデータベースを提供することができるべきである。

【０００７】本発明によれば、次のステップにより、機密データを匿名化する方法が提案さ
れる。ａ）機密データフィールドを圧縮する。ｂ）機密データフィールドを匿名化する。ｃ）開始記号および停止記号によって、データストリーム内に匿名化された機密
データフィールドに印を付ける。

【０００８】本発明によれば、機密データはデータベース内で選択的に匿名化される。匿名
化されたデータフィールドには、後の匿名化解除の際に識別できるように、開始
記号および停止記号が設けられる。

【０００９】本発明による方法は、特に、データベースユーザがデータベース内のデータを
格納し、データ項目のいくつかがデータベースオペレータによって処理される場
合に使用され得る。データベースユーザがすべてのデータを読むことを許可され
ている一方で、機密データ、例えば顧客識別情報は、データベースオペレータに
対しては匿名化され、匿名化を解除することは不可能である。匿名化情報はデー
タベースユーザにはそのまま残される。非匿名化データは、データベースオペレ
ータが評価し処理できる。データ間の関係は変わらずそのままである。

【００１０】機密データは、例えば顧客識別情報であることもあり、統計的評価のために、
顧客に割当てられたデータを読むことは可能である。データベースは、本発明に
よる匿名化の方法を用いて部分的に匿名化され、統計的な評価および処理のため
に、第三者に渡す事ができる。第三者は顧客識別データを読む事はできない。ど
のユーザアクセス権をどの人に割当てるかの管理は、データベースユーザに残さ
れる。処理データと、顧客の名前のようなそれぞれの匿名化データとの間の関係
は変わらない。評価されたまたは処理されたデータベースがデータベースユーザ
に戻された後に、データベースユーザは匿名化を解除し、処理されたデータベー
ス全体を使用できる。

【００１１】本発明による方法は、特に、機密データフィールドが定義済みのフィールド長
を有していても、有利に適用され得る。しかし、この方法はまた、限定されない
フィールド長であっても、制限無しに適切に適用され得ることは自明である。後
続の実行が定義済みのフィールド長の機密データフィールドに大きな関係がある
としても、これによって制限を受けると理解すべきでない。

【００１２】有利には、データは、機密データフィールドが匿名化される前に圧縮され得る
。データフィールドが完全に充填される場合、この過程で、匿名化データフィー
ルドの目印となる開始記号および停止記号の追加のためのスペースが作られる。
マーク付けはデータフィールドの後の匿名化解除のために必要である。

【００１３】いずれにせよ、データフィールドが完全に充填されない場合、またはスペース
がデータフィールドにまだ残っているような程度までデータが圧縮される場合は
、データフィールドは匿名化前に充填記号によって充填され得る。

【００１４】具体的には、データフィールドを匿名化するのに使用できる２つの可能な方法
、すなわち偽名化および暗号化が有る。

【００１５】データフィールドが完全に充填される場合は、偽名化が行われるのが好ましい
。これを行うために、偽名化後にデータフィールド内に開始記号および停止記号
用のスペースが残るように、用いられる偽名の長さが選択される必要がある。

【００１６】スペースがデータフィールド内にまだある場合は、データフィールドは充填記
号によって、特に、ランダム値を用いて、少なくとも部分的に充填され、その後
、暗号化されることが好ましい。

【００１７】フィールドをランダム値で充填することは、同名反復が解決されることを確実
にする。例えば、ドイツ語を話す世界におけるミュラー、メイヤーのような頻繁
に現れる名前が、データの頻度を解析することによってデータへの逆推論をする
ことができないように、異なって暗号化されることが必要である。これは、デー
タフィールドをランダム値で充填し、その後それを暗号化することによって行わ
れる。

【００１８】本発明による方法の有利な実施形態では、暗号化のために使用される鍵に関す
る情報も、暗号化されたデータフィールドに格納される。この鍵情報は、データ
ベースユーザが暗号化されたデータを解読するのを可能にするという目的を有す
る。このように、データを暗号化する様々な鍵を使用することが可能であって、
それぞれのケースに応じて鍵を識別する相応の鍵情報がフィールド内に格納され
る。もちろん、鍵情報を格納するスペースが残るようにフィールドの充填レベル
を設定するか、またはデータ圧縮によってそのスペースを生成する必要がある。

【００１９】どのデータが暗号化されたり解読されたりするかの検出は、“{ ”、および、“}”のような、いわゆる開始記号および停止記号で一義的に印付
けることによって実行され得る。当該システムにおいて、暗号化されたデータに
印を付けることを除いて開始記号および停止記号を使用することは許されない。
この手法は、データを操作するアプリケーションから独立しているという利点を
有する。

【００２０】当該システムに唯一の一義的な開始記号が無い場合は、開始記号のセットを使
用することができる。同じことが停止記号に当てはまる。最も簡単な場合では、
開始記号のセットは停止記号と同一の記号から構成され得る。しかし、これは反
面、障害状況において、開始記号および停止記号の認知からだけでは同期を取る
ことができないという短所を有する。

【００２１】本発明による方法が、様々な例によって、かつ添付図を参照してより詳細に説
明される。

【００２２】図１は、匿名化されるデータのマーク付けを示す図である。図２は、暗号化および／または解読プロセスのフローチャートを示す図である。
図３は、暗号化プロセスのフローを示す図である。図４は、暗号化されたデータフィールドの構造を示す図である。図５は、解読プロセスの流れを示す図である。

【００２３】匿名化の方法は以下の要求を満たす必要がある。１．頻繁に現れるデータ（例えば、ドイツ語を話す世界におけるミュラー、メ
イヤーなどの頻繁に現れる名前）は異なって暗号化される必要がある。これは、
データの頻度を解析することによってデータ自体へ逆推論されることを防ぐため
に意図されている。この目的は、データ中の同名反復を解決することである。２．暗号化されるデータフィールドの長さは、データベース設計によって基本
的に定義される固定最大長によって制限される。フィールドタイプ、例えば数値
タイプか英数字タイプかは変える必要がない。この要求は、データベースシステ
ムのオペレータがデータを処理するためにアプリケーションを変更する必要無し
に、その後の処理方法の統合を可能にする。３．各暗号化されたデータフィールドは、解読のための鍵および全システムに
適用されるパラメータ以外のすべての情報を含む。したがって、各データフィー
ルドを自給自足的に処理することが可能である。

【００２４】選択された匿名化の方法では前述の３つのプロパティが同時に満たされること
となる。

【００２５】この方法を実行するために、匿名化されるデータフィールドの充填レベルが最
初に検査される。開始記号および停止記号ならびに使用される鍵の情報を格納す
るために、暗号化後に定義済みの固定データフィールド長内にまだ十分なスペー
スがあることを確実にする必要がある。

【００２６】データフィールドの充填レベルが過度に高く、前述の基準で暗号化を実行でき
ない場合は、まずデータフィールドが圧縮される。データフィールドの圧縮が十
分に小さいフィールドサイズを生じない場合には、偽名化が実行される。偽名は
、データフィールドの充填レベルの点で上記項目２で定義済みの条件が満たされ
るように選択される必要がある。

【００２７】データフィールドの充填レベルがデータフィールドの暗号化を可能にするのに
十分小さい場合は、暗号化が実行される。これを行うために、データフィールド
は最大可能充填レベルにまでランダム値で最初に充填される。

【００２８】データフィールドの情報量が小さい場合に、同名反復をより良く解決できるた
めに、データ圧縮が充填前に実行され得る。

【００２９】それから、暗号化が実行される。使用される暗号アルゴリズムは任意に選択さ
れ得る。現行のアルゴリズムには、例えば、ＩＤＥＡ（Ｉｎｔｅｒｎａｔｉｏｎ
ａｌＤａｔａＥｎｃｒｙｐｔｉｏｎＡｌｇｏｒｉｔｈｍ）またはＤＥＳ（
ＤａｔａＥｎｃｒｙｐｔｉｏｎＳｔａｎｄａｒｄ）がある。

【００３０】それから、暗号化されたデータフィールドが、開始記号および停止記号で印付
けられる。さらに、暗号用に使用される鍵に関する情報がデータフィールドに予
め規定された位置で格納される。

【００３１】以下の例により方法を説明する。

【００３２】データフィールド長を４０記号とし、暗号化する前のデータフィールドの内容
を名前“Ｍｅｉｅｒ”とする。“｛”を開始記号とし使用し、“｝“を停止記号
として使用するとする。データフィールドは全フィールド長まで充填され、開始
記号および停止記号が設けられる。すなわち、｛Meier...................................｝. 開始記号と停止記号の間の４０記号は、この方法によって処理される。そして、
暗号化は開始記号および停止記号を含む４０記号長のデータフィールドを生ずる
。すなわち、例を挙げれば、｛ch74nHhdjqa......................yjas8｝。

【００３３】暗号化されたデータフィールドにおいて、ｋビットが鍵セットから使用される鍵
を表わすために与えられる。こうして、２^ｋの異なる鍵を表すことが可能である
。追加情報、例えばセット開始記号、鍵ビット、および暗号アルゴリズムに使用
される初期設定セクタに関する情報が暗号化されたデータフィールドに組み込ま
れた結果として、暗号化されるデータフィールドを圧縮することが必要である。

【００３４】添付図２で、データフィールドの暗号化および解読が示される。個々のステッ
プがより詳細に以下に説明される。

【００３５】この方法の内容は次の状態に依存する。各記号はバイト（例えば、ＡＳＣＩＩまたはＥＢＣＤＩＣコード）によって表
される。暗号化または解読の前に、フィールドのすべての記号が内字セット（Ａ
ＳＣＩＩ）に変換され、そして再び適切に変換される。

【００３６】様々なパラメータが次のように規定される。１．記号セット（例えば、ＥＢＣＤＩＣコードの９１の特定記号）２．記号セットに含まれない、暗号化されたデータフィールドのための開始記
号および停止記号のセット３．記号セットに属さない記号に対する代替記号(記号セットの部分である）４．場合によって必要な充填記号（記号セットの部分である）５．圧縮プロセスのための方法パラメータ６．元のデータフィールドが、圧縮ができない場合に、どのように引き続き処
理されるかに関する情報７．許容記号のシーケンスを表すビットシーケンスに関する情報８．鍵セットのなかからどの鍵が使用されるべきかに関する情報記号セットのべきに従って、個々のビットセグメントがそれぞれ特定の長さの
記号シーケンスに変換される（例えば、９１記号の記号セットを想定すると、１
３ビット毎に２つの記号に有効に変換され得る）。最善は、シーケンスを２進数
とみなし、かつこの数を基底ｂ＝記号セットのべきで表すことによって、ビット
シーケンス全体の「共通」変換を実行することだろう。

【００３７】定義済みの長さのデータフィールドの中に出来るだけ長いビットシーケンスで
効果的に符号化する方法を（このデータフィールドは３２ビットプロセッサを備
えるシステムで実行するために設定される）以下に述べる。まず基本初期設定前
に、サイズｂの所定の記号セットに対して、次のことを先に計算する（ここで、
「ｌｎ」が自然対数を表す）。

【００３８】・１から３２の整数ｙと整数ｘ≧ｙ＊ｌｎ（２）／ｌｎ（ｂ）に対して、ｘ
／ｙの最小値を求める。例えば、ｂ＝９１の場合、最小値は、ｘ＝２かつｙ＝１
３の場合に得られる。・１からｘ−１までのすべての値ｘ’に対して、対応する整数最大値ｙ’（
ｘ’）が、ｙ’（ｘ’）＊ｌｎ（２）／ｌｎ（ｂ）≦ｘ’によって計算される。
さらに、ｙ’（０）：＝０と定める。例えば、ｂ＝９１かつｘ＝２の場合には、
ｙ’（１）＝６が得られる。

【００３９】それから、ビットシーケンスが次のように長さｄのデータフィールドに変換さ
れ得る。すなわち、１．ｙビット毎にそれぞれｘ個の記号に変換される。例えば、ｂ＝９１の場合
、１３ビット毎に２つの記号に置換される。２．所定のデータフィールドの長さｄがｘによって割ることができない場合は
、ｙ’（ｘ’）ビットが残りのｘ’記号に変換される。この例では、６ビットも
１記号として表される。

【００４０】ｓを暗号化されたデータフィールドの開始記号の数、Ｌ（ｄ、ｂ、ｓ）＝Ｌ＝
（（ｄ−ｓ−１）ＤＩＶｘ）＊ｙ＋ｙ’（（ｄ−ｓ−１）ＭＯＤｘ）を、上記方
法を適用することによって長さ（ｄ−ｓ−１）のデータフィールドに変換され得
るビットの数とする。この値（ｄ−ｓ−１）は、暗号化されたデータフィールド
には、長さｓの開始記号のセットと停止記号が含まれていなければならないこと
から出てくる。

【００４１】例えば、ｄ＝３０、ｂ＝９１、およびｓ＝１の場合には、Ｌ＝１４＊１３＋０
＝１８２が得られ、ｄ＝１５、ｂ＝９１、およびｓ＝３の場合には、Ｌ＝５＊１
３＋ｙ’（１）＝６５＋６＝７１が得られる。

【００４２】ｍ＝（Ｌ−ｋ−長さ圧縮されたビットシーケンス）を、圧縮後にも利用でき
るビットととする。ここで、ｋビットは使用される鍵の番号に対して与えられて
いる。あらゆる種類の方法が圧縮のために使用され得る。この数ｍに依存して、
どのように初期設定ベクトルが暗号化のために利用され、符号化されるかが規定
される。

【００４３】初期設定ベクトルの適当な選択が、同名反復が解決されることを確実にする。
基本的に、次の可能性がこのために使用され得る。すなわち、・乱数の使用・カウンターの使用ｋ個の鍵から成る鍵セットの様々な鍵が、時間をずらして使用され得る。暗号
化の過程で、これらの鍵のどれが使用されるかを規定することが必要である。鍵
番号がｋビットによって符号化される。

【００４４】鍵の番号に対するｋビット、初期設定ベクトルの符号化のためのビット、およ
び圧縮されたデータフィールドのためのビットから成るビットシーケンスが必要
な長さより短く、すなわちＬより小さい場合には、最大許容ビット長Ｌに達する
終端まで、ビット「０」で充填される。

【００４５】圧縮されたデータフィールド内容が暗号化される。

【００４６】暗号化は、ブロック暗号アルゴリズムおよびＣＢＣモードで格納された秘密鍵
を用いて実行されて、長さｊ（これが６４ビットより短い場合）の最後のブロッ
クはＣＦＢモードで暗号化される（例えば、ＩＳＯ／ＩＥＣ１０１１６，Ｉ
ｎｆｏｒｍａｔｉｏｎＴｅｃｈｎｏｌｏｇｙ− ＭｏｄｅｓｏｆＯｐｅｒ
ａｔｉｏｎｆｏｒａｎｎ−ｂｉｔＢｌｏｃｋＣｉｐｈｅｒＡｌｇｏ
ｒｉｔｈｍ，１９９１参照）。

【００４７】この検討では、長さ６４の典型的ブロック長が使用されると仮定している。他
のブロック長に対して適用することが明らかに可能である。別の変形において、
ストリーム暗号アルゴリズムといわれるものも、記号ごとの暗号化のために直接
使用され得る。

【００４８】最後に、暗号化されたデータフィールドを形成するため得られた記号シーケン
スがセット開始記号と停止記号の間に挿入される。

【００４９】開始記号シーケンスがデータストリームで検出されたらすぐに、続く記号が、
停止記号が現れるまで内部記憶装置に入力される。

【００５０】開始記号シーケンスが続く記号の間に有る場合は、格納のプロセスが終了させ
られ、新しい開始記号シーケンスで開始させられる。停止記号が定義済みの最大
長の後に未だ検出されない場合は、プロセスが同様に終了させられ、次の開始記
号シーケンスが再び探索される。セット開始記号と停止記号の間の記号が定義済
みの下限より少ない場合は、格納は同様に終了される。

【００５１】どのデータフィールドもみな、初期設定ベクトルに必要なビット数が利用でき
るほどまでに、圧縮されできるわけではない。データセットの長さが短くなれば
なるほど、より少ないビットしか初期設定ベクトルに利用できない結果となり圧
縮が悪くなり、したがって、データフィールドのため多様な暗号文を発生するの
に使える方法はより少なくなる。

【００５２】そのような場合に、基本的に次の３つの可能な方法が有る。すなわち、１．十分な圧縮が達成されるまで、データフィールドを短縮する。しかし、こ
れは情報の損失に必然的につながる。２．関係するデータフィールドを暗号化せず、そのまま平文として残す。これ
は、暗号化されるデータフィールドのセット全体に比してまれにしか起こらない
場合は、許容できる。３．以下に述べる偽名化手法を使用する。

【００５３】定義済みの固定フィールド長の場合には、データレコードのいかなる適当な圧
縮も達成され得ないことがある。平文の短縮またはそれをそのままで置くことが
許容できない場合は、すべての選択されたデータレコードの完全な「マスキング
」が、偽名化手法によって実行され得る。

【００５４】データフィールドと偽名を、変名使用と類似の方法でリンクさせる事ができ、
その逆も可能である。この情報は一つの表に含めることになる。Ｌｅｕｔｈｅｕｓｓｅｒ−Ｓｃｈｎａｒｒｅｎｂｅｒｇｅｒ＜−＞Ｘ１
ＢＸＥ．．．．．ＨＧａｒｍｉｓｃｈ−Ｐａｒｔｅｎｋｉｒｃｈｅｎ＜−＞Ｘ２
ＢＸＤ９．．．．．Ｚ

【００５５】偽名化が複数の地域的に離れた場所で必要である場合は、すべての場所に割当
てられた偽名が他のすべての場所で複製する必要がある。これは追加の通信コス
トを結果としてもたらす。伝送を保護する追加対策が必要である。

【００５６】暗号化されたデータフィールドは、比較的長期間、例えば５〜１５年間にわた
って格納され得る。異なる鍵の時間をずらした使用が次の理由で望ましい。・鍵が知られた場合は、暗号化されたデータフィールドのセット全体が公開
されているとみなす必要がある。・暗号アナリストが利用することのできる暗号化されたデータフィールドの
セットは、複数の鍵が使用される場合は、非常に小さい。

【００５７】こうした理由で、この方法は、協調するデータベースユーザの１セットにつき
ｋ個の鍵を与える。

【００５８】鍵は、必要な技術的および組織の環境を利用できる信用センター（信用できる
第三者組織体）で生成され得る。

【００５９】互いに協調しないデータベースユーザの種々のセットが、互いに何ら依存しな
い鍵の種々のセットを有する必要がある。これは、データベースユーザのあるセ
ットがデータベースユーザの他のセットからのデータベース情報にアクセスする
可能性を排除する。

【００６０】鍵の管理が次の機能から構成される。１．鍵の生成ｋ個の鍵から構成される鍵パケットが生成される。ハードウェア乱数発生器が特にこれに適している。鍵の生成後の動作で、生成された鍵は鍵記憶媒体
、例えばスマートカードまたはＰＣＭＣＩＡカードに格納され得る。これらの媒
体は、これら自体が暗号化計算を実行するか、または認証が行われた後にだけ鍵
を発行するように構成され得る。２．鍵の配布鍵が生成される位置から、鍵は鍵記憶媒体に入れて使用の場所（端末）、また
は安全保管場所（バックアップ）へ移送され得る。３．鍵の端末への導入必要な暗号化および解読プロセスを実行できるという事実によって使用端末
が規定される。そのような装置は、特別に開発されたハードウェアまたはＰＣで
あり得る。鍵は使用前の認証が行われた後に鍵記憶媒体から端末にロードされ得
るか、または端末は命令を受取り、暗号化および解読プロセスを実行し得る。後
の場合は鍵記憶媒体として他の対応資源を必要とするが、鍵は鍵記憶媒体を決し
て離れないという利点を有する。４．鍵の破壊協調するデータベースユーザのある組がｋ個の鍵から構成される鍵パッケー
ジをもはや必要としない場合に、適当な手段によって、例えば鍵記憶媒体を破壊
し、鍵パッケージを対応する端末（もし、有れば）から削除することによって、
鍵を破壊することが可能である。

【図面の簡単な説明】

【図１】匿名化されるデータのマーク付けを示す図である。

【図２】暗号化および／または解読プロセスのフローチャートを示す図である。

【図３】暗号化プロセスのフローを示す図である。

【図４】暗号化されたデータフィールドの構造を示す図である。

【図５】解読プロセスの流れを示す図である。

───────────────────────────────────────────────────── フロントページの続きＦターム(参考） 5B017 AA03 BA07 CA16 5B075 KK07 KK13 KK23 KK33 KK37 KK43 KK54 KK63 ND03 ND23 ND32 UU40 5B082 EA11 GA01 GA11 5J104 AA33 NA02

Claims

【特許請求の範囲】

【請求項１】データストリーム内の機密データを匿名化する方法において
、ａ）機密データフィールドを圧縮するステップと、ｂ）機密データフィールドを匿名化するステップと、ｃ）データストリーム内の匿名化された機密データフィールドに、開始記号と停
止記号によって印を付けるステップを含むことを特徴とする方法。
【請求項２】機密データフィールドを匿名化の前に充填記号によって充填
する、請求項１に記載の方法。
【請求項３】匿名化すべきデータを偽名化する、請求項１または２に記載
の方法。
【請求項４】匿名化すべきデータを暗号化する、請求項１または２に記載
の方法。
【請求項５】機密データフィールドを暗号化の前にランダムな値で少なく
とも部分的に充填する、請求項４に記載の方法。
【請求項６】暗号化に使用される鍵に関する情報を暗号化されたデータフ
ィールドに格納する、請求項４または５に記載の方法。
【請求項７】機密データフィールドが固定的なフィールド長を有する、請
求項１から６のいずれか１項に記載の方法。