JP2004178486A

JP2004178486A - 監視サーバおよび監視方法

Info

Publication number: JP2004178486A
Application number: JP2002346911A
Authority: JP
Inventors: Kenta Cho; 健太長
Original assignee: Toshiba Corp
Current assignee: Toshiba Corp
Priority date: 2002-11-29
Filing date: 2002-11-29
Publication date: 2004-06-24

Abstract

【課題】サービス提供側で決定され、ユーザが同意される個人情報収集規定が、正しく守られて通信されるシステムの保証を行う監視サーバの提供。
【解決手段】監視サーバ２０は、クライアント１０とプロバイダ３０との間の一連の通信シーケンスを監視する。監視サーバ２０は、送受信部２１と、データを匿名化する匿名化部２５と、該端末と該情報提供装置間の一連の通信手続に、該情報提供装置の個人情報収集規定情報を反映させた通信シーケンステーブルを記憶する通信シーケンステーブル記憶部２３と、監視制御部２２とを備える。監視制御部２２は、通信シーケンステーブルに従って、正常に通信がされていることの監視、および、匿名が必要なものは匿名化するよう指示する。
【選択図】図２

Description

【０００１】
【発明の属する技術分野】
本発明は、インターネットなどを利用した情報提供サービスに関する技術分野に属する。特に、ユーザからのアクセスにより、ユーザへ情報を提供しつつ、ユーザの個人情報を取得するサービス形態における正当な手続の監視に関する。
【０００２】
【従来の技術】
近年、インターネットのＷＷＷのホームページを利用したシステムとして、ホームページを提供するサイトは、個々のユーザからの要求により個々のユーザへ好みの情報を提供しつつ、個々のユーザの要求に基づく好み等を抽出しこれを含めた個人情報を取得して蓄積し、個々のユーザに対し、それら個人情報に基づき例えば追加情報を提供するものが増えている。例えば、このようなシステムとしては、インターネットオークションシステムがある。インターネットオークションシステムは、ある期間、インターネットのホームページ上で商品を提示し、不特定多数のユーザから購入要求のアクセスを受けて、所定の決定法（最も金額の高い、等）に基づいて、落札者を決定するものであるが、これと同時に、購入要求のアクセス履歴を取得しておき、落札できなかったユーザへ、アクセス履歴に含まれる、ユーザのクライアントＩＤや、要求商品等の個人情報に基づいて、要求商品と類似する商品などの情報を提供するような仕組みを含んでいるものがある。
【０００３】
このようなシステムには、１）アクセスすることにより、ユーザが望まない個人情報を取得されてしまう、２）（不特定多数のユーザが対象であるから、）サイトへ不正にアクセスを受ける可能性が有る、等の問題があった。
【０００４】
１）の問題を解決する方法としては、例えば、ユーザの端末がサービス提供装置へアクセスするときに、ユーザ識別子を匿名化する仲介装置を介してアクセスすることにより、サービス提供装置へユーザの個人情報の漏洩を防ぐものが提案されている（例えば、特許文献１参照）。
【０００５】
また、２）の問題を解決する方法としては、例えば、ネットワークに接続される計算機間の通信データの通信状態を監視するネットワークアクセス制御装置により、各計算機で規定された通信シーケンスに従った通信がされているかを監視し、正常な通信のみ、通信を許す仕組みが提案されている（例えば、特許文献２参照）。
【０００６】
【特許文献１】
特開２００２−１８３０９２公報
【特許文献２】
特開２００１−３４５５３公報
【０００７】
【発明が解決しようとする課題】
上記１）、上記２）の解決方法を組み合わせたシステムを提供することにより上記１）、２）の問題は個々には解決できる。しかしながら、上記１）の解決方法は、ユーザ側の意思によるものであって、サービス提供側にとって必要な個人情報が匿名化されてしまうことがあるため、サービス提供側で必要な個人情報を取得できないといった新たな問題点が生ずる。
【０００８】
そこで、サービス提供側からユーザへ最初に情報を提供する前に、サービス提供側の個人情報収集規定（セキュリティポリシー）を文書化したものを、ユーザの画面上に提示した上で、これに同意したユーザのみがアクセスすることにより、この新たな問題点を解決するようになってきている。つまり、サービス提供側でユーザの個人情報の漏洩に配慮しながら、手続を決め、且つ、それをユーザへ提示し、ユーザが同意の上でシステムが動作する方法が取られている。
【０００９】
しかし、このような方法で実現されるシステムは、ユーザからすれば、サービス提供側から提示されたセキュリティポリシー通りに、正しく個人情報の収集が行われていることの保証が無いシステムであり、この点が依然として問題点として残る。
【００１０】
本発明は、上記問題点に鑑みなされたものであり、サービス提供側で決定され、ユーザが同意される個人情報収集規定（セキュリティポリシー）が、正しく守られて動作しているかを監視することにより、システムを保証する監視サーバ及び監視方法を、提供することを目的とする。
【００１１】
【課題を解決するための手段】
上記課題を解決するための本発明の監視サーバは、ユーザが要求を指示する端末と、該端末からの要求に基づき該クライアントへ情報提供を行う情報提供装置と、ネットワークを介して接続される監視サーバであって、該ネットワークからの通信データを受信するとともに、該ネットワークへ通信データを送信する送受信手段と、入力されたデータを匿名化し出力する匿名化手段と、該端末と該情報提供装置間の一連の通信手続を示す通信シーケンス情報と該情報提供装置の個人情報収集規定情報とに基づいて、前記送受信手段で受信した通信データが、正しく通信されているかを監視し、該通信データが正しく通信されている場合に、該通信シーケンス情報と該個人情報収集規定とに基づいて、該通信データの少なくとも一部のデータを匿名化する必要があるか否かを確認し、必要があると確認された際に、前記匿名化手段で該少なくとも一部のデータを匿名化させて得た匿名化済データを該通信データの少なくとも一部のデータと置換し、置換後の通信データを前記送受信手段へ供給する監視制御手段と、を備えた。
【００１２】
また、本発明の監視サーバは、ユーザが要求を指示する端末と、該端末からの要求に基づき該クライアントへ情報提供を行う情報提供装置と、ネットワークを介して接続される監視サーバであって、該ネットワークからの通信データを受信するとともに、該ネットワークへ通信データを送信する送受信手段と、入力されたデータを匿名化し出力する匿名化手段と、該端末と該情報提供装置間の一連の通信手続に、該情報提供装置の個人情報収集規定情報を反映させた通信シーケンステーブルに基づいて、前記送受信手段で受信した通信データが、正しく通信されているかを監視し、該通信データが正しく通信されている場合に、該通信シーケンステーブルに基づいて、該通信データの少なくとも一部のデータを匿名化する必要があるか否かを確認し、必要があると確認された際に、前記匿名化手段で該少なくとも一部のデータを匿名化させて得た匿名化済データを該通信データの少なくとも一部のデータと置換し、置換後の通信データを前記送受信手段へ供給する監視制御手段と、を備えた。
【００１３】
より好ましくは、該通信シーケンス情報は予め登録されており、該個人情報収集規定情報はユーザが最初に指示した該クライアントへの要求に対応した応答の通信データに含まれているようにしても良い。
【００１４】
また、該通信シーケンス情報と、該個人情報収集規定情報とは、ユーザが最初に指示した該クライアントへの要求に対応した応答の通信データに含まれているようにしても良い。
【００１５】
本発明は、上記のようにしたことにより、情報提供装置の側で決定され、端末側が同意される個人情報収集規定（セキュリティポリシー）が、正しく守られて動作している場合にのみ、一連の通信が正常に行われるので、信頼性の高いシステムが構築可能になる。
【００１６】
また、該通信シーケンス情報と該個人情報収集規定とに基づいて、個人情報生成方法を生成しておき、受信した通信データが個人情報生成依頼であることが判別された際に、該個人情報生成方法に基づいて個人情報を生成し、該情報提供装置へ生成された個人情報を送信するようにしても良い。
【００１７】
これにより、更に情報提供装置は、望まれる個人情報の取得も可能になる。
【００１８】
【発明の実施の形態】
以下、本発明の実施の形態を図面を用いて説明する。
【００１９】
図１は、本発明の第一の実施形態に係るネットワークシステムの全体を示したものである。このネットワークシステムは、多数のクライアント１０、管理サーバ２０、多数のプロバイダ３０とを備え、互いにネットワーク４０を介して接続されており、各プロバイダ３０は、各クライアントへ情報の提供を中心とした様々なサービスを提供するものである。
【００２０】
各クライアント１０は、ユーザからプロバイダ３０への要求（ユーザ要求）を行うため、及び、プロバイダ３０からユーザへの要求に対する応答（プロバイダ応答）を提示するためのユーザインターフェース（ＵＩ）部１１と、ＵＩ部１１からのプロバイダ３０への要求を管理サーバ２０へ送信を行うための、及び、プロバイダ３０からユーザへのプロバイダ応答を管理サーバ２０から受信してＵＩ部１１へ送信するためのインタフェースプロキシ部１２とを備えたものである。このような各クライアント１０は、例えば、パーソナルコンピュータ／ＰＤＡ／携帯電話／コンビニエンスストアなどにある端末単体や、そのような端末それぞれとプロキシサーバとの組み合わせなどで実現可能である。
【００２１】
プロバイダ３０は、管理サーバ２０から送られるユーザからプロバイダ３０への要求（ユーザ要求）を受信し、ユーザの要求に対する応答（プロバイダ応答）を管理サーバ２０へ送信するサイト・サーバ３１を備える。また、プロバイダ３０は、サイト・サーバ３１へのユーザ要求から得られる個人情報を管理サーバ２０から得て蓄積する、個人情報蓄積部３２を備える。
【００２２】
管理サーバ２０は、主に、クライアント１０とプロバイダ３０との間の一連の通信を監視する機能と、プロバイダ３０に対しユーザの個人情報を保護するために通信データの一部を選択的に匿名化を行う機能と、プロバイダ３０によって予め定められた方法に従って、そのプロバイダ３０へのユーザ要求から個人情報を生成し、そのプロバイダ３０の個人情報蓄積部３２へ送る機能と、を備える。なお、管理サーバ２０は、クライアント１０と、プロバイダ３０とに中立的な立場で管理を行うものである。この管理サーバ２０の機能ブロック構成を図２に示す。
【００２３】
送受信部２１は、ネットワーク４０と接続されており、ネットワーク４０から管理サーバ２０宛てに送られてくる通信データを受信し、また、管理サーバ２０からネットワーク４０を介し、クライアント１０、プロバイダ３０へ通信データを送信するものである。
【００２４】
監視制御部２２は、送受信部２１で受信した通信データがプロバイダ３０の規定する通信シーケンスで通信されたものであるか否かの監視、及び、プロバイダ３０の規定する通信シーケンスに従って匿名化、個人情報作成、通信データの転送等の制御指示を行なうものである。監視制御部２２は、所定の通信シーケンスを監視する時に、後述の通信シーケンステーブルを一時的に保持するワークメモリ（図示しない）を備える。また、監視制御部２２は、通信データの送信をランダムに遅延する機能を備え、個人情報生成部５２によって生成された個人情報を取得した場合には、図示しないランダム遅延タイマを設定し、設定された時間遅延後に個人情報を送信する。この遅延を行う理由は、プロバイダ３０に対し、匿名化した匿名ＩＤがどのクライアントＩＤに対応するかを、通信シーケンスから推定されにくくするためである。
【００２５】
ここで、プロバイダ３０の規定する通信シーケンスの一例を図３に、この通信シーケンスの通信シーケンステーブルの一例を図４に示す。
【００２６】
ここで言う通信シーケンスとは、プロバイダ３０がクライアント１０及び管理サーバ２０との間で行われる、通信データを含む一連の通信のフローのことであり、プロバイダ３０のシステム設計に依存する。プロバイダ３０は、通信シーケンスを定める際に、プロバイダ３０で規定する個人情報収集規定を勘案してシステム設計する。例えば、図３の通信シーケンスでは、順に、（１）クライアント１０から管理サーバ２０へ通信データ［ユーザがアクセス要求を行なうＵＲＬ、クライアントＩＤ］が通信され、（２）管理サーバ２０からサイト・サーバ３１へ通信データ［ＵＲＬ、匿名ＩＤ］が通信され、（３）サイト・サーバ３１から管理サーバ２０へ通信データ［選択画面（例えば前記ＵＲＬで指定されたＷＷＷのホームページ）］が通信され、（４）管理サーバ２０からクライアント１０へ通信データ［選択画面］が通信され、（５）クライアント１０から管理サーバ２０へ通信データ［クライアントが選択画面から指定した曲名、クライアントＩＤ］が通信され、（６）管理サーバ２０からサイト・サーバ３１へ通信データ［曲名、匿名ＩＤ］が通信され、（７）サイト・サーバ３１から管理サーバ２０へ通信データ［その曲の音楽ジャンル（例えば、クラッシック、ポップス等）］が通信され、（８）サイト・サーバ３１から管理サーバ２０へ通信データ［曲名で指定されたコンテンツ］が通信され、（９）管理サーバ２０からクライアント１０へ通信データ［コンテンツ］が通信され、（１０）管理サーバ２０から個人情報蓄積部３２へ通信データ［クライアントＩＤ、ジャンル］が通信されることを示している。
【００２７】
これらの各通信（１）〜（１０）は、管理サーバ２０を除いた通信として考えた時、上記通信（１）と（２）、（３）と（４）、（５）と（６）、（７）と（１０）、及び（８）と（９）とに組分けできる。上記通信（１）と（２）、（３）と（４）、（５）と（６）、及び（８）と（９）の４つの通信組は、もし管理サーバ２０が介在しない時には、各１つの通信として直接行われるものである。一方、通信（７）と（１０）との組は、上記の４つの通信組とは異なり、管理サーバ２０へ処理を指示し、処理回答をもらうものであるが、ここでは一つの組として扱うこととする。
【００２８】
また、図３の通信シーケンステーブルには、各通信組の通信時間の標準時間Ｔ_ｎ（ここではｎ＝１・・・５）が定められている。
【００２９】
通信シーケンステーブルは、この通信シーケンスを、管理サーバ２０内で解釈可能なように所定の形式に従ってデータ化したものであり、一連の通信シーケンスは一つのテーブルで構成される。図４の例においては、図３の通信シーケンスに対応する通信シーケンステーブルを示したものである。
【００３０】
通信シーケンステーブルには、一意に特定するためのシーケンスＩＤが付される。テーブルの各行は、上記で示した各通信組毎の通信内容が示されており、これら通信組は、通信の開始順に並べられている。ここでは、上記の通信シーケンスの（１）（２）は通信シーケンステーブルの通信番号１で、上記の通信シーケンスの（３）（４）は通信シーケンステーブルの通信番号２で、上記の通信シーケンスの（５）（６）は通信シーケンステーブルの通信番号３で、上記の通信シーケンスの（７）（１０）は通信シーケンステーブルの通信番号４で、上記の通信シーケンスの（８）（９）は通信シーケンステーブルの通信番号５で示されている。テーブルの各列は、通信番号、送信元、送信先、通信データ内容、匿名操作するデータ、通信組の最小通信時間間隔、同最大通信時間間隔とを記述するフィールドを備える。また、匿名操作フィールドは、データが記憶されている場合にはそのデータを匿名化することを示し、データが記憶されていない（図では「無し」）場合には匿名操作を行わないことを示す。
【００３１】
また、以上説明した通信シーケンス及び通信シーケンステーブルは、ここで示したものに限るものではなく、通信シーケンスは、管理サーバ２０の管理者が指定する表記方法に基づくもので何れの表記方法でも良く、また通信シーケンステーブルは、管理サーバ２０が動作可能なデータ形式で定義されれば、何れのデータ形式でも良いことは勿論である。
【００３２】
図２に戻って、通信シーケンステーブル記憶部２３は、上記で示した通信シーケンステーブルを多数記憶するものである。通信シーケンステーブルの記憶部２３への記憶は、テーブル登録部２４によって、管理サーバ２０の管理者が行う。
【００３３】
匿名化部２５は、乱数を発生する乱数発生手段（図示しない）を備え、ここでは、監視制御部２２で監視した通信データに対応のシーケンステーブルの行の匿名化フィールドにデータが含まれている時、実行すべきデータ（ここでは、通信データに含まれるクライアントＩＤ）を、発生された乱数（ここでは、匿名ＩＤと称す）に置き換え匿名化する。そして、匿名ＩＤは、そのクライアントＩＤと対応づけて、匿名化対応テーブル記憶部２６に記憶される。この記憶部２６に記憶される内容の一例を図５を示す。
【００３４】
匿名化部２５によって得られた匿名ＩＤは、監視制御部２２によって、通信データに含まれるクライアントＩＤに置き換えられ、匿名ＩＤを含む通信データは、送受信部２１へ送られ、送受信部２１はこの通信データを送る。
【００３５】
個人情報生成部２７は、監視制御部２２からの指示により、監視制御部２２から受けたシーケンス番号に対応する個人情報生成方法を個人情報生成方法記憶部２８から読み出して、その個人情報生成方法に従って個人情報を生成する。個人情報生成方法記憶部２８に記憶される個人情報生成方法は、通信シーケンステーブルを登録するときに個人情報生成方法登録部２９から併せて登録される。図３、図４の例に対応する個人情報生成方法の例としては、「通信データの内容に含まれるジャンルをクライアントＩＤと対応づける」旨を記述し、登録する。生成された個人情報は、監視制御部２２へ送られる。なお、監視制御部２２は、監視している通信データの送信先が、個人情報蓄積部を示しているときに、プロバイダ３０から個人情報生成の依頼を受けたと判断し、個人情報生成部２７へ、この通信シーケンステーブルのシーケンスＩＤを送り、個人情報の生成を指示する。
【００３６】
次に、本システムにおける動作を説明する。まず、本システムでは、前処理として、プロバイダ３０が通信シーケンスを管理サーバ２０へ登録依頼し、これを登録する必要がある。まず、この通信シーケンスの登録処理について図６を用いて説明する。
【００３７】
プロバイダ３０は、ユーザへ提供するサービスに従ったシステムの設計を行う（Ｓ１０１）。このとき、プロバイダ３０は、一般にユーザとの通信のやり取りを行う際の一連の通信手順や通信データの内容決めるが、この他に、ユーザへ提示する個人情報収集規定（セキュリティポリシー）を決定し、この規約に沿って通信データの一部を匿名化するよう決定し、また、この規約に沿った個人情報の収集の依頼を通信手順を含めたシステムの設計とする。このシステム設計された際の通信手順がここでいう通信シーケンスである。
【００３８】
次に、プロバイダ３０は、システム設計された通信シーケンスを紙面、等で作成し、管理サーバ２０の管理者へ登録依頼する（Ｓ１０２）。
【００３９】
管理サーバ２０の管理者は、依頼を受けた通信シーケンスに基づいて、通信シーケンステーブルを作成する（Ｓ１０３）。作成した通信シーケンステーブルに、このサービスを行なう通信シーケンスのシーケンスＩＤを付し、テーブル登録部２４によって、通信シーケンステーブル記憶部２３へ登録する（Ｓ１０４）。また、通信シーケンスで示される管理サーバ２０で収集される個人情報についての生成方法を前記シーケンスＩＤと対応づけて個人情報生成方法登録部２９によって個人情報生成方法記憶部２８へ登録する（Ｓ１０５）。
【００４０】
以上により、登録処理は完了する。なお、ここでは本実施の形態に係る動作を述べたに留まっているが、実際にサービスを行う際には、プロバイダ３０から登録依頼された通信シーケンスが、プロバイダ３０側の動作、セキュリティポリシーを正しく示したものであるか確認する必要があることは勿論である。
【００４１】
次に、管理サーバ２０の動作について図７のフロ−チャートを用い、説明する。
【００４２】
管理サーバ２０の送受信部２１は、通信データを受信する（Ｓ２０１）。送受信部２１は、この受信した通信データを監視制御部２２へ渡し、監視制御部２２は、受信した通信データが、クライアント１０からプロバイダ３０へのアクセス開始の通信か否かを判断する（Ｓ２０２）。この判断は、例えば、通信データにＵＲＬが含まれているか（ホームページの要求が行われているか）否かを確認することにより判断できる。なお、別の方法で判断しても良いことは勿論である。ここで、アクセス開始の通信データであると判断したとき、監視制御部２２は、通信データの送信先（とＵＲＬと）で特定されるシーケンスＩＤで、通信シーケンステーブル記憶部２３を検索し、ワークメモリへ読み出す（Ｓ２０３）。
なお、ここでは、説明の便宜上、同じ通信シーケンスを多数のユーザで並行してアクセス可能なことを想定せずに説明するが、例えば、クライアントＩＤおよびクライアント１０内で一意になるよう管理されているアクセスＩＤを含めて通信を特定することにより、それぞれのクライアント１０から同じ通信シーケンスを同時に複数動作しても識別でき、また、同じクライアント１０から同じ通信シーケンスを同時に複数動作しても識別できる。
【００４３】
ステップＳ２０３の次に、読み出したワークメモリに記憶した通信シーケンステーブルの１行目に現在実行中の通信を指すポインタを設定する（ポインタの初期設定）（Ｓ２０４）。
【００４４】
次に、Ｓ２０２でアクセス開始の通信でないと判断された場合、すなわち既に通信監視中である場合、または、ステップＳ１０４にてポインタが初期設定された後、通信データの内容を、ワークメモリに記憶されるポインタが示すテーブルの行を参照して、通信シーケンステーブルに従った正しい通信データであるかを判断する（Ｓ２０５）。もし、通信シーケンステーブルに従ったものでないと判断された場合には、正しい通信がなされていないので、通信を遮断し（Ｓ２０６）、不正通信の後処理を行って（Ｓ２０７）、ワークメモリに記憶されるこの通信の通信シーケンステーブルを消去し（Ｓ２１７）、終了する。ここで、不正通信の後処理とは、例えば、管理サーバ２０のモニタ（図示しない）へその旨を通知し、通信の異常を知らせることや、その通信のログを保存することなどが考えられる。
【００４５】
一方、ステップＳ２０５で、通信シーケンステーブルに従ったものであると判断されると、次に通信データはプロバイダ３０からの個人情報の生成依頼であるか否かを判定する（Ｓ２０８）。もし、個人情報の作成依頼であれば、個人情報生成部２７で、シーケンス番号で特定される個人情報生成方法を個人情報生成方法記憶部２８から読み出して、これに基づき個人情報の生成を行なう（Ｓ２０９）。生成された個人情報は、監視制御部２２で一時保持され、監視制御部２２は図示しないランダム遅延タイマを設定する（Ｓ２１０）。ランダム遅延タイマが０になった時に、個人情報を通信データとして送信する（Ｓ２１１）。なお、このステップＳ２１１は、このフローチャートの動作からは、独立して実施されるものである。ステップＳ２１０でランダム遅延タイマを設定した後、後述のステップＳ２１５へ進む。
【００４６】
一方、ステップＳ２０８で、個人情報の作成依頼でないと判定されると、次に、通信シーケンステーブルのポインタが示す行の匿名化フィールドにデータが含まれているか否か調べ（Ｓ２１２）、データが含まれている場合には、そのデータを匿名化する処理を行う（Ｓ２１３）。この匿名化処理を図８に示す。
【００４７】
通信シーケンステーブルのポインタが指す行の匿名化フィールドで指定されるデータ（ここではクライアントＩＤ）を通信データから取得した監視部２２は、匿名化部２５へクライアントＩＤを送り、実行指示を出す（Ｓ３０１）。匿名化部２５は、実行指示に基づき、乱数を発生する（Ｓ３０２）。匿名化部２５は、発生された乱数を匿名ＩＤとし、監視制御部２２から受け取ったクライアントＩＤと対応づけて匿名化対応テーブル記憶部２６へ記憶する（Ｓ３０３）。また、匿名ＩＤを監視制御部２２へ送り、監視制御部２２は、通信データの送信元を示すクライアントＩＤをこの匿名ＩＤに置き換える（Ｓ３０４）。以上の様にして、匿名化処理が実行される。
【００４８】
図７のフローに戻って、次に、ステップＳ２１２で匿名化フィールドにデータを含まない場合、または、ステップＳ２１２の匿名化処理が実行された後、通信データを送信先へ送信する（Ｓ２１４）。そして、その通信シーケンステーブルのポインタを一つ進める（Ｓ２１５）。なお、先に示したとおり、ステップＳ２１０の処理の後にも、このステップＳ２１５は行われる。
【００４９】
次に、ステップＳ２１５で進めたポインタが指し示す行が通信シーケンステーブル内にあるか否かを判断し（Ｓ２１６）、あるときには、まだ通信の実行中であるからそのままにして終了し、次の通信受け付けを待つ。
【００５０】
一方、ポインタが示す行が無い場合には、全ての通信が正常に終了したことを示すため、ワークメモリからこの通信シーケンステーブルを消去し（Ｓ２１７）、処理を終了する。
【００５１】
以上の説明した本実施の形態によれば、プロバイダ側で個人情報収集規定を決めつつ、その規定に基づく処理を含む通信シーケンスに従った動作が行われるかの監視を、信頼のおける中立的な立場である管理サーバ２０が行うから、プロバイダ３０にとっては不正な個人情報の収集を行っていない旨ユーザへ表明しながら正当な個人情報の取得ができ、クライアント１０にとっては正当な個人情報収集がなされていることが保証される。
ところで、個人情報収集規定は、通信シーケンスの最初のアクセス画面でユーザへ提示する場合が多い。そこで、この点に着目し、通信シーケンステーブルの事前登録を不要にした、第２の実施形態について、以下に説明する。
【００５２】
第２の実施形態の全体システム構成のほとんどは、図９に示したとおり、第１の実施形態と同じであるが、第１の実施形態の通信シーケンステーブルの事前登録を行う管理サーバ２０の代わりに、クライアント１０からプロバイダ３０のサイト・サーバ３１へのアクセス要求（通信シーケンスにおける最初の通信）に対する、サイト・サーバ３１の最初の応答時に送信される通信データから、都度通信シーケンステーブルを自動生成する管理サーバ５０を用いた点が異なっている。なお、この第２の実施の形態においては、サイト・サーバ３１のクライアント１０からの最初のアクセス要求（通信シーケンスにおける最初の通信）に対する応答は、必ず、ユーザへ提示する表示内容に個人情報収集規定を含むこと、及び、個人情報収集規定を含まない通信シーケンステーブルを含むことを必要要件とする。
【００５３】
図１０は、管理サーバ５０の機能ブロック構成を示したものである。
【００５４】
送受信部２１、匿名化部２５、匿名化対応テーブル記憶部２６は、第一の実施の形態と同様のものであり、ここでは説明を省略する。
【００５５】
監視制御部５１は、送受信部２１で受信した通信データがプロバイダ３０の規定する通信シーケンスで通信されたものであるか否かの監視、及び、プロバイダ３０の規定する通信シーケンスに従って匿名化、個人情報作成、通信データの転送等の制御を行なうものである。監視制御部５１は、所定の通信シーケンスを監視する時に、後述の通信シーケンステーブルを一時的に保持するワークメモリ（図示しない）を備える。また、監視制御部５１は、通信データの送信をランダムに遅延する機能を備え、個人情報生成部２７によって生成された個人情報を取得した場合には、図示しないランダム遅延タイマを設定し、設定された時間遅延後に個人情報を送信する。この遅延を行う理由は、プロバイダ３０に対し、匿名化した匿名ＩＤがどのクライアントＩＤに対応するかを、通信シーケンスから推定されにくくするためである。ここまでは、第１の実施形態の監視制御部２２と同じであるが、監視制御部５１は、更に、クライアント１０からプロバイダ３０のサイト・サーバ３１へのアクセス要求（通信シーケンスにおける最初の通信）に対する、サイト・サーバ３１の最初の応答時に送信される通信データから、ユーザへ提示する個人情報収集規定を含む表示内容と、表示に関係のない（個人情報収集規定を含まない）通信シーケンステーブルとを抽出し、通信シーケンステーブル生成部５２へ供給する機能を有している。
【００５６】
通信シーケンステーブル生成部５２は、監視制御部５１から供給されるユーザへ提示する個人情報収集規定を含む表示内容と、表示に関係のない（個人情報収集規定を含まない）通信シーケンステーブルとを受け取って、個人情報収集規定に基づく通信シーケンステーブルを生成する。また、個人情報収集規定に基づき個人情報生成方法を生成する。通信シーケンステーブル生成部５２は、生成した個人情報収集規定に基づく通信シーケンステーブル、および個人情報生成方法を、監視制御部５１へ供給し、監視制御部５１内の図示しないワークメモリへ一時保持される。通信シーケンステーブル生成部５２で生成される、通信シーケンステーブル及び個人情報生成方法は、第１の実施形態と同様なものである。
【００５７】
ここで、通信シーケンステーブル生成部５２は、サイト・サーバ３１の最初のアクセス応答の表示データに含む個人情報収集規定の表記法により様々な構成を取り得るが、ここでは表記法の一例として、管理サーバ５０側で予め定めた所定のテンプレートの中から選択する方法を用いた場合の構成例について簡単に説明する。
【００５８】
この場合には、通信シーケンステーブル生成部５２は、この所定のテンプレートの各テンプレートと、各テンプレートが選択された時の個人情報収集規定の通信シーケンステーブルへの反映方法とをそれぞれ対応付けたテーブルと、最初の応答の通信データを受けた時、このテーブルの各テンプレートと比較し、一致したテンプレートに対応する個人情報収集規定の通信シーケンステーブルへの反映方法を得る機能と、得られた反映方法によって、個人情報収集規定を反映させた通信シーケンステーブルを生成する機能とを備えれば良い。
【００５９】
次に、個人情報収集規定を反映させた通信シーケンステーブルを生成するまでの管理サーバ５０の動作フローについて、図１１のフローチャートを用いて簡単に説明する。この図１１は、第一の実施形態の図７のフローのステップＳ２０１〜Ｓ２０３を本第２の実施の形態に合わせて、変更したものである。
【００６０】
まず、送受信部２１で通信データを受け付けると（Ｓ４０１）、監視制御部５１は、その通信データが、クライアント１０からの最初の要求に対応する応答であるか否かを判断する（Ｓ４０２）。この判断は、例えば、この例においては通信データに通信シーケンステーブルを含んでいるか否かを確認することにより判断できる。
【００６１】
この判断で、「否」と判断された場合には、図７のステップＳ２０５へ処理が続く。一方、この判断で「ある」と判断されると、次に、監視制御部５１は、通信データから通信シーケンステーブルを抽出し、通信シーケンステーブル生成部５２へ送る（Ｓ４０３）。次に、監視制御部５１は、通信データから表示内容に含まれる個人情報収集規定を抽出し、通信シーケンステーブル生成部５２へ送る（Ｓ４０４）。通信シーケンステーブル生成部５２は、ステップＳ４０３、Ｓ４０４で受け取った通信シーケンステーブルと個人情報収集規定とから、個人情報収集規定を反映した通信シーケンステーブルを生成し、監視制御部５１内のワークメモリへ供給する（Ｓ４０５）。また、通信シーケンステーブル生成部５２は、通信シーケンステーブルと個人情報収集規定とに基づいて、個人情報作成方法を生成し、監視制御部５１内のワークメモリへ供給する（Ｓ４０６）。その後、図７のステップＳ２０４へ処理が続く。以上のようにして、個人情報収集規定を反映させた通信シーケンステーブルが管理サーバ５０上で一連の通信の開始時に生成される。なお、一連の通信シーケンスが正常に終了する際に図７のステップＳ２１７のワークメモリから通信シーケンステーブルを消去する処理が行われるから、一連の通信が終了した時点で、その一連の通信シーケンスに関する通信シーケンステーブルが管理サーバ５０上に存在しなくなる。
【００６２】
この第２の実施形態は、一連の通信シーケンスの開始時に、ユーザへ提示する（最新の）個人情報収集規定を反映した通信シーケンスの監視を行うから、ユーザへ提示した個人情報収集規定どおりに個人情報の収集がより確実に守られるから、提示する個人情報収集規定と実際収集される個人情報の不一致がなくなるという格段の利点を有する。
【００６３】
また、以上説明した第一の実施形態および第二の実施形態は、通信シーケンステーブルを事前登録するか都度作成するかが大きく異なる点であるが、例えばこの中間の実施形態として、個人情報収集規定を含まない通信シーケンスは事前登録するとともに、個人情報収集規定は一連の通信の開始の都度得るようにし、個人情報収集規定を得た後に個人情報収集規定を反映させたシーケンステーブルを都度生成するような形態もあり得る。この形態の場合には、個人情報収集規定を含まない通信シーケンスを予め登録しておくので、通信そのものの変更には対応できないが、通信の変更を伴わない個人情報収集規定の変更には対応できる。つまり、通信シーケンステーブルの転送を伴わないので、第一の実施形態よりは劣るものの第二の実施形態よりは格段の高速化が行え、且つ、第二の実施形態よりは劣るものの第一の実施の形態よりは汎用性の高い管理サーバが提供できることになる。これら第一、第ニおよび第一と第二の中間の実施形態は、管理サーバのサービスの環境や制約条件などによって使い分けられるものであろう。
【００６４】
【発明の効果】
本発明によれば、情報提供装置の側で決定され、端末側が同意される個人情報収集規定（セキュリティポリシー）が、正しく守られて動作している場合にのみ、一連の通信が正常に行われるので、信頼性の高いシステムが構築可能になった。
【図面の簡単な説明】
【図１】本発明の第一の実施形態に係るネットワークシステムの全体図。
【図２】本発明の第一の実施形態に係る管理サーバ２０の機能ブロック図。
【図３】通信シーケンスの例。
【図４】通信シーケンステーブルの例。
【図５】匿名化対応テーブル記憶部２６に記憶されるの内容の一例。
【図６】本発明の第一の実施形態に係る通信シーケンスの登録処理を示すフローチャート。
【図７】本発明の第一の実施形態に係る管理サーバ２０の動作を示すフローチャート。
【図８】匿名化部２５の匿名化処理を示すフローチャート。
【図９】本発明の第二の実施形態に係るネットワークシステムの全体図。
【図１０】本発明の第二の実施形態に係る管理サーバ５０の機能ブロック図。
【図１１】本発明の第二の実施形態に係る個人情報収集規定を反映させた通信シーケンステーブルを生成するまでのフローチャート。
【符号の説明】
１０・・・クライアント
１１・・・ユーザインタフェース部
１２・・・インタフェースプロキシ部
２０、５０・・・管理サーバ
２１・・・送受信部
２２、５１・・・監視制御部
２３・・・通信シーケンステーブル記憶部
２４・・・テーブル登録部
２５・・・匿名化部
２６・・・匿名化対応テーブル記憶部
２７・・・個人情報生成部
２８・・・個人情報生成方法記憶部
２９・・・個人情報生成方法登録部
３０・・・プロバイダ
３１・・・サイト・サーバ
３２・・・個人情報蓄積部
５２・・・通信シーケンステーブル生成部

Claims

ユーザが要求を指示する端末と、該端末からの要求に基づき該クライアントへ情報提供を行う情報提供装置と、ネットワークを介して接続される監視サーバであって、
該ネットワークからの通信データを受信するとともに、該ネットワークへ通信データを送信する送受信手段と、
入力されたデータを匿名化し出力する匿名化手段と、
該端末と該情報提供装置間の一連の通信手続を示す通信シーケンス情報と該情報提供装置の個人情報収集規定情報とに基づいて、前記送受信手段で受信した通信データが、正しく通信されているかを監視し、該通信データが正しく通信されている場合に、該通信シーケンス情報と該個人情報収集規定とに基づいて、該通信データの少なくとも一部のデータを匿名化する必要があるか否かを確認し、必要があると確認された際に、前記匿名化手段で該少なくとも一部のデータを匿名化させて得た匿名化済データを該通信データの少なくとも一部のデータと置換し、置換後の通信データを前記送受信手段へ供給する監視制御手段と、を備えたことを特徴とする監視サーバ。
該通信シーケンス情報は予め登録されており、該個人情報収集規定情報はユーザが最初に指示した該クライアントへの要求に対応した応答の通信データに含まれていることを特徴とする請求項１記載の監視サーバ。
該通信シーケンス情報と、該個人情報収集規定情報とは、ユーザが最初に指示した該クライアントへの要求に対応した応答の通信データに含まれていることを特徴とする請求項１記載の監視サーバ。
該通信シーケンス情報と該個人情報収集規定とに基づいて、個人情報生成方法を生成しておき、受信した通信データが個人情報生成依頼であることが判別された際に、該個人情報生成方法に基づいて個人情報を生成し、該情報提供装置へ生成された個人情報を送信することを特徴とする請求項１記載の監視サーバ。
前記個人情報の送信は、ランダムに遅延させた後に送信することを特徴とする請求項４記載の監視サーバ。
ユーザが要求を指示する端末と、該端末からの要求に基づき該クライアントへ情報提供を行う情報提供装置と、ネットワークを介して接続される監視サーバであって、
該ネットワークからの通信データを受信するとともに、該ネットワークへ通信データを送信する送受信手段と、
入力されたデータを匿名化し出力する匿名化手段と、
該端末と該情報提供装置間の一連の通信手続に、該情報提供装置の個人情報収集規定情報を反映させた通信シーケンステーブルに基づいて、前記送受信手段で受信した通信データが、正しく通信されているかを監視し、該通信データが正しく通信されている場合に、該通信シーケンステーブルに基づいて、該通信データの少なくとも一部のデータを匿名化する必要があるか否かを確認し、必要があると確認された際に、前記匿名化手段で該少なくとも一部のデータを匿名化させて得た匿名化済データを該通信データの少なくとも一部のデータと置換し、置換後の通信データを前記送受信手段へ供給する監視制御手段と、を備えたことを特徴とする監視サーバ。
前記通信シーケンステーブルを予め登録する通信シーケンステーブル登録手段と、この登録手段によって登録された通信シーケンステーブルを記憶する記憶手段とを更に備えたことを特徴とする請求項６記載の監視サーバ。
該通信シーケンステーブルは、ユーザが最初に指示した該クライアントへの要求に対応した応答の通信データに含まれる該通信シーケンス情報と、該個人情報収集規定情報とに基づいて、生成されることを特徴とする請求項６記載の監視サーバ。
該通信シーケンス情報は予め登録されており、該個人情報収集規定情報はユーザが最初に指示した該クライアントへの要求に対応した応答の通信データに含まれており、これらによって得られた該通信シーケンス情報および該個人情報収集規定情報とに基づいて、該通信シーケンステーブルを生成することを特徴とする請求項６記載の監視サーバ。
該通信シーケンス情報と該個人情報収集規定とに基づいて、個人情報生成方法を生成しておき、受信した通信データが個人情報生成依頼であることが判別された際に、該個人情報生成方法に基づいて個人情報を生成し、該情報提供装置へ生成された個人情報を送信することを特徴とする請求項６記載の監視サーバ。
前記個人情報の送信は、ランダムに遅延させた後に送信することを特徴とする請求項４記載の監視サーバ。
ユーザが要求を指示する端末と、該端末からの要求に基づき該クライアントへ情報提供を行う情報提供装置と、ネットワークを介して接続される監視サーバの監視方法であって、
該端末と該情報提供装置間の一連の通信手続に、該情報提供装置の個人情報収集規定情報を反映させた通信シーケンステーブルを記憶手段へ記憶しておき、
受信した通信データが、正しく通信されているかを前記記憶手段に記憶される通信シーケンステーブルを参照して監視し、
該通信データが正しく通信されている場合に、前記記憶手段に記憶される該通信シーケンステーブルに基づいて、該通信データの少なくとも一部のデータを匿名化する必要があるか否かを確認し、
必要があると確認された際に、前記匿名化手段で該少なくとも一部のデータを匿名化して該通信データを置換し、
置換した該通信データを送信するようにしたことを特徴とする監視方法。
更に、該通信シーケンス情報と該個人情報収集規定とに基づいて、個人情報生成方法を生成しておき、
受信した通信データが個人情報生成依頼であることが判別された際に、該個人情報生成方法に基づいて個人情報を生成し、
該情報提供装置へ生成された個人情報を送信するようにした請求項１２記載の監視方法。