JP3989340B2

JP3989340B2 - データベースのセキュリティ提供システム

Info

Publication number: JP3989340B2
Application number: JP2002261732A
Authority: JP
Inventors: 博嗣尾崎
Original assignee: ティー・ティー・ティー株式会社
Priority date: 2002-09-06
Filing date: 2002-09-06
Publication date: 2007-10-10
Anticipated expiration: 2022-09-06
Also published as: JP2004102524A

Description

【０００１】
【発明の属する技術分野】
本発明は、複数の独立した情報保持機関が保有するデータベースを相互に利用するシステムにおけるデータベースのセキュリティ管理に関する。
【０００２】
【従来の技術】
複数の情報保持機関、例えば、医療機関や行政機関は、近年になってデータベースを共有化することを進めている。そこで、セキュリティに関する問題が重要視され、仕様制限されているデータベースにアクセスするには、一般的に、ユーザＩＤ及びパスワードを利用することが行われている。さらに進んだセキュリティシステム及び方法として、データベース（ファイル）自体に認証データを埋め込んで、表示可否の認証を行うシステム及び方法が提案されている（特許文献１参照）。
【０００３】
他に、さらに進んだセキュリティシステム及び方法として、データベース提供側及びデータベース入手側においてそれぞれがＩＣカードを利用し、それぞれの認証が許可された場合にのみデータベースを利用するシステム及び方法が提案されている（特許文献２参照）。
【０００４】
【特許文献１】
特開２００２−１４９６０３号公報
【特許文献２】
特開２００２−１４９８１４号公報
【０００５】
【発明が解決しようとする課題】
上記公報記載の従来のセキュリティシステム及び方法は、データベースへのアクセス時にシステムの技術面で情報漏洩を防止することに着目している。すなわち、使用制限あるデータベースにアクセスする際、操作者等の認証を行い、権限のない操作者にデータベースの利用を許可しないこととしている。
これらの従来のシステム及び方法は、権限のない操作者に対して情報漏洩を防止することに対して効果はある。しかし、権限のある者がデータベースにアクセスし、ＩＤ及びパスワードを利用してデータベースを使用することに対して効果がない。
【０００６】
本発明は、いわゆる人災に分類することができる、データベースを盗用しようとする悪意の操作者からデータベースを保護し、データベース流出のセキュリティを高めようとするものである。
【０００７】
本発明の目的は、いわゆる人災からデータベースを如何に保護するかということに着目し、前記課題を解決するためのなされたもので、認証された操作者に対して、さらにセキュリティを高めたセキュリティシステム及びセキュリティ方法の提供を目的としている。
本発明の他の目的は、アクセス権限を悪用してデータベースを使用する者を監視するためのシステム及び方法の提供を目的としている。
本発明のさらに他の目的は、データベース自体には関与せず、データベースの流出にのみ関与する第三者機関により、データベースのセキュリティを高めるシステム及び方法の提供を目的としている。
【０００８】
【課題を解決するための手段】
上記課題を解決するため、請求項１に係る発明は、データベース提供サーバと、管理サーバとデータベースの利用者端末装置とが、ネットワークに接続された、データベース提供サーバのセキュリティシステムであって、データベース提供サーバは、利用者端末装置からアクセス要求があったデータベースを検索し、収集する検索部と、検索、収集したデータベースを暗号化する暗号部と、利用者端末装置にアクセス権限があるか否かを認証する認証部と、利用者端末装置に暗号化したデータベースを提供するとともに、管理サーバに暗号化させたデータを復号化するための暗号キーを送信する通信部と、を備え、管理サーバは、データベース提供サーバから送信される前記暗号キーを一時的に保存する記憶手段と、利用者端末装置にアクセス権限があるか否かを認証する認証部と、データベース提供サーバが有する利用者の情報を保存したデータベースと、を備え、管理サーバは、利用者端末装置からのデータ要求が正常と判定された場合のみ、暗号キーを利用者端末装置に送信し、データベース提供サーバに暗号化したデータベースの送信許可を行い、管理サーバが有するデータベースの送信履歴を更新することを特徴とする、データベースのセキュリティ提供システムである。
【０００９】
請求項２に係る発明は、請求項１に係る発明において、データベース提供サーバは、利用者端末装置にアクセス権限があるか否かを認証する認証部を備えており、この認証部でのアクセス権限の判定の結果、アクセスを拒否する場合に、利用者端末装置へのデータベースの送信拒否を行い、管理サーバに、利用者端末装置へのデータベースの送信を拒否した旨の情報を送信することを特徴とするものである。
【００１０】
請求項３に係る発明は、請求項１に係る発明において、管理サーバは、管理サーバの保有するデータベースの送信履歴を参照して、送信頻度が前記所定の閾値を超えている場合に、利用者端末装置への暗号キーの送信拒否を行い、データベース提供サーバに、利用者端末装置への暗号キーの送信を拒否した旨の情報を送信することを特徴とするものである。
【００１１】
請求項４に係る発明は、請求項１に係る発明において、管理サーバは、管理サーバの保有するデータベースの送信履歴を参照して、送信データ量が所定の閾値を超えている場合に、利用者端末装置への暗号キーの送信拒否を行い、データベース提供サーバに、利用者端末装置への暗号キーの送信を拒否した旨の情報を送信することを特徴としている。
【００１２】
請求項５に係る発明は、請求項３または4に記載の発明において、管理サーバは、管理サーバが保有するデータベースに、暗号キーの送信拒否情報を記録し、送信履歴を更新することを特徴としている。
【００１８】
【発明の実施の形態】
以下、図面を参照して本発明によるセキュリティシステム及びセキュリティ方法の一実施形態を説明する。
【００１９】
図１は、本発明によるセキュリティシステム及び方法の全体を示したブロック図である。本発明のセキュリティシステム及びセキュリティ方法は、データベースを使用しているＬＡＮ（ローカルエリアネットワーク）にアクセスして、ネットワークを介してデータベースを使用する場合のセキュリティに着目してなされたものである。
【００２０】
本発明のセキュリティシステム及びセキュリティ方法を利用する形態として、複数のＬＡＮ１，２，３がインターネット１０１を介して接続されていることを意図している。ＬＡＮ１０，２０，３０内のデータベースは、データベース使用者（端末装置操作者）が限られていることから、データベースの流出については一定の保護が行われる。しかし、ネットワークを介してデータベースを使用可能にした場合、プライバシーの保護は困難になる。例えば、ＬＡＮ内部の端末装置１１，１２，２１，２２，３１，３２から、操作している端末装置が属するＬＡＮ以外のＬＡＮのデータベースを使用できるような形態や、外部の端末装置５１，５２，５３，５４からＬＡＮ１０，２０，３０のデータベースを使用できる形態となっている場合は、データベースの保護の強化が望まれる。
【００２１】
本発明のセキュリティシステム及びセキュリティ方法は、端末装置の属するＬＡＮ以外の端末装置からデータベースを使用する場合に、アクセスされたＬＡＮは、データベースの暗号化を行い、暗号化されたデータベースを利用者に提供するとともに、データの復号化に必要なキー（以下、「暗号キー」という。）についてセキュリティ監視を行う管理センタを介して別のルートでデータベースの利用者に提供することとしている。
【００２２】
この際、管理センタ６０は、暗号キー等を経由するだけであるので、データベースそのもの、及び、暗号化されたデータベースに接することがなく、データベース利用者及びデータベース提供者以外に個人情報等の重要なデータベースが流出することがないようにしている。また、管理センタ６０は、暗号キー等の経由する際に独自のデータマスターにより暗号キー等の送信先を決定することとしている。さらに、管理センタは、特定の端末装置への送信回数、送信頻度が閾値を越えた場合に送信確認を行うことができるように、暗号キー等の送信履歴を更新保存する。
【００２３】
図２は、データベース提供者としてＬＡＮ側のシステム構成図である。なお、「ＬＡＮ１」「ＬＡＮ２」「ＬＡＮ３」は基本的に同じ構成である。そのため、以下、「ＬＡＮ１」についてのみ説明し、「ＬＡＮ２」「ＬＡＮ３」の構成については説明を省略するものとする。
【００２４】
データベース提供者のシステムは、コミュニケーションサーバとして機能することができる。このシステム１０は、外部のネットワーク７０から例えばファイアーウォール１０１により保護されており、通信部１０２を介して内部のネットワークに接続されている。
【００２５】
システム１０は、制御部１０３、認証部１０４、検索部１０５、暗号部１０６、個人情報等を保存したデータベース（以下、「個人情報データベース」という。）１０７、利用者の情報を保存したデータベース（以下、「利用者データベース」という。）１０８がバス線１０９で接続された構成となっている。バス線１１０は、ＬＡＮ内部の端末装置１１，１２，１３・・・と接続されており、ＬＡＮ内部の利用権限を持つ者には、認証を条件として、又は、無認証で、データベースが使用できる構成となっている。
【００２６】
制御部１０３は、外部の端末装置からデータベース利用の要求があったとき、端末装置の認証を行い、要求されたデータベースを検索し、データベースを暗号化した上で、利用者に暗号化データベースを送信するとともに管理センタに暗号キー等を送信する。
【００２７】
認証部１０４は、利用者データベースに登録されているＩＤ番号及びパスワード（以下、「ＰＷ」という。）、操作者氏名及び送信先を参照する機能を備えている。検索部１０５は、要求された必要なデータベースを収集する機能を備えている。暗号部１０６は、収集したデータベースを暗号キー等で暗号化する機能を備えている。
制御部１０３は、認証部１０４、検索部１０５及び暗号部１０６を制御し、暗号化した個人情報データベースを要求した利用者に送信するとともに、暗号キー等を管理センタ６０に送信する機能を備えている。また、利用者から新規登録のアクションがあったときには、利用者データベースに利用者の情報を記録し、更新保存する。
【００２８】
図３は、データベースの送信状況を監視する管理センタ６０のシステム構成図である。管理センタ６０のシステムは、外部のネットワーク７０からファイアーウォール６１及び通信部６２を介し、制御部６３、記憶手段６４及びデータベース６５を備えている。記憶手段６４は、ＬＡＮから受信した暗号キー等を一時的に記録するために備えられている。データベース６５は、それぞれのＬＡＮの利用者データベースと同じ情報を保存しており、独自に暗号キー等の送信先を参照することができるようになっている。
【００２９】
制御部６３は、ＬＡＮから暗号キー等を受信したとき、記憶手段６４に一時的に暗号キー等を保存し、利用者データベース６５を参照して、一時的に保存した暗号キー等の送信判定を行う機能を備えている。
【００３０】
図６は、ＬＡＮに属する端末装置から、又は、外部の端末装置から、一定のＬＡＮのデータベースを新規に利用する際の登録フローチャートを示している。
【００３１】
ＬＡＮ内部の端末装置１１であろうと、外部端末装置５１であろうと、ＬＡＮ内部のデータベースを利用することを希望する者は、自己の端末装置により、データベース提供システムにアクセスする（ステップＳ１）。データベース提供システムとは、例えば、図１のＬＡＮ１（１０）である。ＬＡＮが複数ある場合は、それぞれのＬＡＮ２（２０）、３（３０）に利用者はアクセスする。データベース提供システムは、新規利用者の端末装置に対して、登録画面を送信する（ステップＳ１１）。
【００３２】
図４は、新規利用者の端末装置の表示画面を示している。操作者は、端末装置において、この表示画面から、ユーザ名、端末ＮＯ、操作者氏名、送信先を入力し（図６のステップＳ２〜Ｓ４）、データベース提供システムに送信する（ステップＳ５）。
そして、データベース提供システムは、ユーザ名等の利用情報を受信すると（ステップＳ１２）、認証部１０４においてＩＤ及びＰＷを生成し（ステップＳ１３・ステップＳ１４）、利用者データベース１０８にユーザ名等とＩＤ及びＰＷを保存する（ステップＳ１５）。
【００３３】
図５は、１つのＬＡＮにおける利用者データベースに保存している、端末装置又は操作者のテーブルである。このテーブルには、新規登録時に受信したユーザ名、端末ＮＯ．、操作者氏名、送信先、認証部で生成したＩＤ及びＰＷを記録している。
【００３４】
データベース提供システムは、データベース利用者に対して、ＩＤ及びＰＷを送信するとともに、管理センタに対して、利用者データベースに記録した総ての情報を送信する（ステップＳ１６）。
データベース利用者は、データベース提供システムからＩＤ及びＰＷを受信する。（ステップＳ６）。一方、管理センタは、データベース提供システムから総ての情報を受信した後、利用者データベース６５にその情報を記録する（ステップＳ２２）。
【００３５】
図７は、管理センタ６０の利用者データベースに保存している、ＬＡＮ毎の端末装置のテーブルである。管理センタ６０の利用者データベース６５は、データベース提供システムの利用者データベースに保存している情報に加えて、使用履歴を保存している。また、管理センター６０の利用者データベース６５は、ＬＡＮ毎にデータベースが構成されている。
【００３６】
使用履歴とは、端末装置毎又は操作者毎に、特定のＬＡＮのデータベースを使用した年月日時分、要求した又は提供されたデータベースのデータ量、拒否された場合には、データ量に代えて拒否された情報である。使用履歴は、端末装置又は操作者の使用毎に更新される。
【００３７】
図８は、データベース使用時のフローチャートを示している。
データベースを使用しようとする操作者は、端末装置を利用してデータベース提供側（システム）にアクセスする（ステップＳ３１）。次いで、端末装置には、ＩＤ及びＰＷを求める画面が表示され、操作者は自己のＩＤ及びＰＷを入力し、データベース提供者に送信する（ステップＳ３２）。さらに、操作者は、データベース、例えば、個人情報として氏名、住所、生年月日、性別等に関するデータベースを要求する（ステップＳ３３）。
【００３８】
データベース提供側のシステムは、認証部のＩＤ及びＰＷを参照し、端末装置又は操作者の認証を行い、アクセス権限の判定を行う（ステップＳ４１）。判定の結果、アクセスを拒否する場合は後述する。
判定の結果、アクセスを許可した場合は、操作者が要求した項目について検索部がデータベース（図８では「ＤＢ」）を検索する（ステップＳ４２）。この場合、例えば、個人の氏名から「住所」「生年月日」「性別」を検索する。システムの制御部１０３は、暗号部１０６において、暗号キー等を用いて、検索したデータベースの暗号化を行う（ステップＳ４３）。
【００３９】
システムの制御部１０３は、要求した端末装置又は操作者に関する情報及び送信するデータベースのデータ量を、管理センターに送信する（ステップＳ４４）。この送信手順は、データベースを要求した端末装置に返信する方法でなく、システムの制御部１０３がシステム内の利用者データベースを参照して行う。
さらに、システムの制御部１０３は、暗号キー等を管理センターに送信する（ステップＳ４５）。データベースそのもの又は暗号化データベースは、管理センターに送信されることはなく、第三者的な立場の者にデータベースが流出することを避けている。
【００４０】
管理センターは、送信先、データ量及び暗号キー等を受信し（ステップＳ５１）、一時的に記憶手段６４に保存する。制御部６３は、送信先等を受信した後、利用者データベースを参照し（ステップＳ５２）、正常なデータ要求かの判定を行う（ステップＳ５３）。
【００４１】
制御部による利用者データベースを参照した判定は、例えば、要求頻度（回数や要求の集中度）、データ量に基づき行う。予め決められた閾値を越えて、データベースの要求回数があった場合、短期間に集中してデータベースの要求があった場合、膨大なデータ量のデータベースの要求があった場合は、後述する。
【００４２】
閾値以下（又は未満）の要求の場合は、管理センターは、独自の利用者データベースを参照し（ステップＳ５４）、暗号キー等をデータベース利用者に送信する（ステップＳ５５）。また、管理センターは、データベース提供システムに送信許可を行う（ステップＳ５６）。その後、管理センターは、利用者データベースに送信履歴を更新する（ステップＳ５７）。
【００４３】
データベース提供システムは、管理センターから送信許可連絡を受け、暗号化したデータベースをデータベース利用者に送信する（ステップＳ４６）。データベース利用者は、暗号キー等及び暗号化データベースを受信し（ステップＳ３４・ステップＳ３５）した後、データの復号化を行い（ステップＳ３６）、端末装置にデータベースを画面表示等で出力する（ステップＳ３７）。
【００４４】
図９は、データベース提供側のシステムが、アクセス権限の判定を行った結果（ステップＳ４１）、アクセスを拒否する場合を示している。この場合は、要求のあった端末装置又は操作者へのデータベースの送信拒否を行い（ステップＳ６１）、管理センターに送信拒否した情報を送信する（ステップＳ６２）。管理センターは、利用者データベースにおいて、年月日時分及び拒否情報の記録して使用履歴を更新する（ステップＳ６３）。
【００４５】
図９はまた、制御部による利用者データベースを参照した判定の結果（ステップＳ５３）、使用回数等が閾値を越えている場合を示している。この場合は、利用者側の端末装置又は操作者に対して暗号キーの送信を拒否し（ステップＳ７１）、データベース提供システムに対して、暗号キー等の送信を拒否した情報を送信する（ステップＳ７２）。さらに、管理センターは、利用者データベースにおいて、年月日時分及び拒否情報の記録して使用履歴を更新する（ステップＳ７３）。
【００４６】
【発明の効果】
本発明のデータベースのセキュリティ提供システム及びセキュアな提供方法によれば、要求されたデータベースを暗号化し、暗号化データベースは要求した端末装置に送信するが、暗号キー等は管理センターを経由して管理センターに予め登録した要求端末装置に送信するので、不適切なデータベースの要求があっても、正規の端末装置しかデータベースに接することができず、個人情報等のセキュリティを高めることができる。また、管理センターは、データベースそのものに接することがなく、暗号キー等を取り扱うだけであるので、第三者的な立場の者がデータベースに触れることがない。
【図面の簡単な説明】
【図１】本発明によるセキュリティシステム及び方法の全体を示したブロック図である。
【図２】データベース提供者のシステム構成図である。
【図３】管理センタのシステム構成図である。
【図４】データベースを新規に利用する際の登録フローチャートである。
【図５】新規利用者の端末装置の表示画面を示している。
【図６】ＬＡＮに保存している、端末装置又は操作者を基準としたテーブルである。
【図７】管理センタの利用者データベースに保存している、ＬＡＮ毎の端末装置のテーブルである。
【図８】データベース使用時のフローチャートを示している。
【図９】送信拒否時のフローチャートを示している。
【符号の説明】
１０，２０，３０ＬＡＮ
１１，１２，２１，２２，３１，３２ＬＡＮ内部の端末装置
５１，５２，５３，５４外部の端末装置
６０管理センタ
６５利用者データベース
７０ネットワーク
１０３制御部
１０４認証部
１０５検索部
１０６暗号部
１０７個人情報データベース
１０８利用者データベース
１０９バス

Claims

データベース提供サーバと、管理サーバとデータベースの利用者端末装置とが、ネットワークに接続された、データベース提供サーバのセキュリティシステムであって、
前記データベース提供サーバは、
前記利用者端末装置からアクセス要求があったデータベースを検索し、収集する検索部と、
前記検索、収集したデータベースを暗号化する暗号部と、
前記利用者端末装置にアクセス権限があるか否かを認証する認証部と、
前記利用者端末装置に暗号化したデータベースを提供するとともに、前記管理サーバに暗号化させたデータを復号化するための暗号キーを送信する通信部と、を備え、
前記管理サーバは、
前記データベース提供サーバから送信される前記暗号キーを一時的に保存する記憶手段と、前記利用者端末装置にアクセス権限があるか否かを認証する認証部と、
前記データベース提供サーバが有する利用者の情報を保存したデータベースと、を備え、
前記管理サーバは、前記利用者端末装置からのデータ要求が正常と判定された場合のみ、前記暗号キーを前記利用者端末装置に送信し、前記データベース提供サーバに前記暗号化したデータベースの送信許可を行い、前記管理サーバが有する前記データベースの送信履歴を更新することを特徴とする、
データベースのセキュリティ提供システム。
前記データベース提供サーバは、前記利用者端末装置にアクセス権限があるか否かを認証する認証部を備えており、前記認証部でのアクセス権限の判定の結果、アクセスを拒否する場合に、前記利用者端末装置への前記データベースの送信拒否を行い、前記管理サーバに、前記利用者端末装置への前記データベースの送信を拒否した情報を送信することを特徴とする、請求項１記載のデータベースのセキュリティ提供システム。
前記管理サーバは、前記管理サーバの保有するデータベースの送信履歴を参照して、送信頻度が前記所定の閾値を超えている場合に、前記利用者端末装置への前記暗号キーの送信拒否を行い、前記データベース提供サーバに、前記利用者端末装置への前記暗号キーの送信を拒否した旨の情報を送信することを特徴とする、請求項１記載のデータベースのセキュリティ提供システム。
前記管理サーバは、前記管理サーバの保有するデータベースの送信履歴を参照して、送信データ量が前記所定の閾値を越えている場合に、前記利用者端末装置への前記暗号キーの送信拒否を行い、前記データベース提供サーバに、前記利用者端末装置への前記暗号キーの送信を拒否した旨の情報を送信することを特徴とする、請求項１に記載のデータベースのセキュリティ提供システム。
前記管理サーバは、前記管理サーバが保有するデータベースに、前記暗号キーの送信拒否情報を記録し、送信履歴を更新することを特徴とする、請求項３または４に記載のデータベースのセキュリティ提供システム。