JP2004334433A - Anonymization method, user identifier management method, anonymization device, anonymization program and program storage medium, for online service - Google Patents

Anonymization method, user identifier management method, anonymization device, anonymization program and program storage medium, for online service Download PDF

Info

Publication number
JP2004334433A
JP2004334433A JP2003128160A JP2003128160A JP2004334433A JP 2004334433 A JP2004334433 A JP 2004334433A JP 2003128160 A JP2003128160 A JP 2003128160A JP 2003128160 A JP2003128160 A JP 2003128160A JP 2004334433 A JP2004334433 A JP 2004334433A
Authority
JP
Japan
Prior art keywords
user
identifier
company
computer
service
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP2003128160A
Other languages
Japanese (ja)
Inventor
Takahiro Iida
恭弘 飯田
Masami Ueno
正巳 上野
Yusuke Agawa
雄資 阿川
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Nippon Telegraph and Telephone Corp
Original Assignee
Nippon Telegraph and Telephone Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nippon Telegraph and Telephone Corp filed Critical Nippon Telegraph and Telephone Corp
Priority to JP2003128160A priority Critical patent/JP2004334433A/en
Publication of JP2004334433A publication Critical patent/JP2004334433A/en
Pending legal-status Critical Current

Links

Images

Abstract

<P>PROBLEM TO BE SOLVED: To protect information on and protect privacy of a user who is provided with or provided by mediation with a service via a network. <P>SOLUTION: In an online service using a member terminal UT of a member U who is provided with the service, a client company server 100 of a company 1 for which the member U works, and a counseling office server 200 of a counseling office 2 which provides the member U with the service, all connected via a network, information on the member U is anonymized with an initial ID for anonymizing personal information in the company 1, a login ID for anonymizing personal information about counseling, and an ID managing office server 300 of an ID managing office 3. The identifiers can anonymize the user information to make it difficult to track the user's behavior when the service is provided online, so that the user information and privacy is strictly protected. The user terminal can be a general terminal. <P>COPYRIGHT: (C)2005,JPO&NCIPI

Description

【０００１】
【発明の属する技術分野】
本発明は、ある団体に属するユーザにオンラインサービスを提供する情報システムへログインしてサービスの提供を受けるユーザの個人情報やプライバシを、識別子により保護する識別子管理技術を用いた、オンラインサービスにおける匿名化方法、ユーザの識別子の管理方法、匿名化装置、匿名化プログラム及びプログラム記憶媒体に関する。
【０００２】
【従来の技術】
情報システムのサービスの提供を受けるユーザ（サービスを利用するユーザ）は、ユーザに一意な識別子によって管理・識別されることが一般的である。前記のサービスとは、ｔｅｌｎｅｔ、ＦＴＰ（Ｆｉｌｅ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）接続やＷｅｂページの取得、ＣＧＩ（Ｃｏｍｍｏｎ Ｇａｔｅｗａｙ Ｉｎｔｅｒｆａｃｅ）の利用、チャットの利用、電子メールの送受信といった、ユーザが完全に匿名で利用できるサービスや、ＩＳＰ（Ｉｎｔｅｒｎｅｔ Ｓｅｒｖｉｃｅ Ｐｒｏｖｉｄｅｒ）との契約によるサービスのようにあらかじめユーザの個人情報を登録して利用するものがあげられる。後者のサービスの中には、ユーザの個人情報やプライバシを尊重する観点から、サービスの利用状況を情報システムの管理者に対して秘匿すべきものがある。すなわち、あらかじめユーザの個人情報を情報システムに登録しておいたとしても（又は情報システムの管理者・管理主体へ登録しておいたとしても）、サービスの利用時には、情報システムの管理者に対して匿名でサービスを利用できることが望まれるサービスが存在する。
【０００３】
このようなサービスの一例として、企業（第１の団体）が外部のカウンセリング業者（第２の団体）と提携し、福利厚生の一環として自社社員（ユーザ）へカウンセリングやメンタルヘルスケア等をオンラインにて提供する場合（特許文献１、非特許文献１）について説明する。この場合、企業は、提携先のカウンセリング業者から取得した識別子（以下「ＩＤ」という）やパスワードを自社社員へ通知するとともに、社員はこのＩＤやパスワードによってカウンセリング業者のシステムへログインし、サービスを利用するといったサービス利用形態が一般的である。
【０００４】
この際、（１）社員が個別のＩＤとパスワードを取得してカウンセリング業者のシステムへログインする場合と、（２）複数の社員が共通のＩＤとパスワードを取得してカウンセリング業者のシステムへログインする場合がある。また、サービスの内容としては、電子メールやチャットによるカウンセラとの対話を通じて、社員のキャリアビジョンの相談や職場におけるストレス度の検査、メンタル面での健康状態のカウンセリング等が実施されている。
【０００５】
このようなカウンセリング結果は、社員の個人情報やプライバシに深くかかわる情報であるため、オンラインでカウンセリングを実現する従来のシステムは、カウンセリング結果の閲覧者を限定したり、カウンセリング結果に関する情報を暗号化したりするといった対処がなされる場合がある（特許文献２）。また、運用面においても、カウンセリング業者は、通常どの社員がどのようなカウンセリングを実施したか、どんなカウンセリング結果であったかといった情報を、企業に対して守秘する場合が多い（非特許文献２）。現状では、こうした守秘義務の遵守は企業とカウンセリング業者の自主的な倫理規定に委ねられており、サービスを利用する社員は、このような倫理規定が遵守されていることを一方的に信用することを強いられている。
【０００６】
以上述べたように、従来、あらかじめ個人情報を登録し、ＩＤ（識別子）によってユーザを管理するサービスにおいて、サービスの利用状況とユーザの個人情報との対応付けを秘匿するような簡便なＩＤの管理方法は提案されておらず、情報システムの管理者の自主的な規制や、運用ルール等の制度によって管理するしかなかった。
【０００７】
【特許文献１】
特開２００２−３２６０２号公報（［０００６］、［００３６］〜）
【特許文献２】
特開２００２−１９７１９６号公報（［００２４］、［００５８］等）
【非特許文献１】
荻原国啓「オンラインカウンセリングのＷＥＢ運営」、『現代のエスプリ』２００２年５月号，ＰＰ．１３７・ＰＰ．１４９
【非特許文献２】
「ＥＡＰはメンタルヘルスの特効薬か」週刊東洋経済２００２．７．２７、ＰＰ．３８・ＰＰ．３９
【０００８】
【発明が解決しようとする課題】
ところが、情報システムの管理者の自主的な規制や、運用ルールの制定のみでは、悪意やミスによってこれまでに述べたようなユーザの個人情報やプライバシが侵害される可能性が高い。例えば、［従来の技術］で例示したような社員が個別のＩＤとパスワードにてカウンセリング業者のシステムへログインするような既存のサービス利用形態においては、企業とカウンセリング業者が結託し、どの社員がどんなカウンセリング結果であったかという情報が容易に企業に把握される可能性が高い。
【０００９】
解決すべきもうひとつの課題は、完全にユーザのサービス利用時の匿名性を確保してしまうと、緊急時にユーザを特定する手段がなくなることになり、自殺や犯罪といった社会的な混乱を招くようなユーザの行動を防止できない可能性がある。例えば、複数の社員が共通のＩＤとパスワードにてカウンセリング業者のシステムへログインするような既存のサービス利用形態では、例えば社員がカウンセリングの中で自殺や犯罪をほのめかす等の緊急時に、その社員を特定することができない。
【００１０】
本発明は、このような課題を解決するためになされたもので、その目的とするところは、情報システムの管理者（例えばオペレータ）に対し、オンラインサービスを提供する情報システムの利用者（ユーザ）のログイン状況とサービスの利用状況の対応付けを困難にすることで、ユーザの個人情報やプライバシを確保できるようなオンラインサービスにおける匿名化方法やユーザの識別子の管理方法等を提供することにある。また、本発明のもうひとつの目的は、前記のオンラインサービスにおける匿名化方法やユーザの識別子の管理方法等において、緊急時にユーザを追跡して特定できる技術を提供することにある。
【００１１】
【課題を解決するための手段】
（オンラインサービスにおける匿名化方法）
前記課題を解決した請求項１に記載の発明は、ネットワークを介して接続された、サービスの提供を受けるユーザのユーザ端末と、このユーザが属する第１の団体の第１のコンピュータと、前記ユーザにサービスの提供又は提供の仲介をする第２の団体の第２のコンピュータと、を含んで行われるオンラインサービスにおける前記ユーザの情報を、（１）前記第１の団体及び第２の団体とは独立した第３の団体の第３のコンピュータと、（２）前記第１のコンピュータにより前記第１の団体における前記ユーザの情報と対応付けられ、かつ前記第３のコンピュータにログインする際に必要になる第１の識別子と、（３）前記第２のコンピュータにより前記第２の団体における前記ユーザの情報と対応付けられ、かつ当該第２のコンピュータにログインする際に必要になる第２の識別子とを用いて匿名化するオンラインサービスにおける匿名化方法である。
そして、この匿名化方法は、前記第３のコンピュータが、（１）前記第１の団体から得た、前記第１の識別子がリストしてある第１の識別子リストを記憶するステップ、（２）前記第１の団体により前記第１の識別子を通知されたユーザのユーザ端末からの当該第１の識別子を明示したアクセスを、前記第１の識別子リストに基づいて認証するステップ、（３）前記認証が成功すると、前記第２の識別子を発行して前記ユーザに通知するステップを備える。
この結果、前記ユーザが、このように通知された前記第２の識別子を用いて、前記ユーザ端末から前記第２のコンピュータにログインすることで、前記サービスの提供又は提供の仲介を受けることができるようにした。
【００１２】
一般的に識別子は、情報を匿名化して個人の情報を保護する役割を有するが、本発明においては、第１の識別子（初期ＩＤ）は第１の団体におけるユーザの情報を第３者（例えば第２の団体）に対して匿名化する役割を有し、第２の識別子（ログインＩＤ）は第２の団体におけるユーザの情報（サービスに関連したユーザの情報）を第３者（例えば第１の団体）に対して匿名化する役割を有する。この２つの識別子は、第３の団体により分断される。
従って、（１）第１の識別子を知得してはいるが、第２の識別子を知得していない第３者（例えば第１の団体）や、（２）第２の識別子を知得してはいるが、第１の識別子を知得していない第３者（例えば第２の団体）は、第１の識別子により匿名化されている情報（第１の団体におけるユーザの情報）と第２の識別子により匿名化されている情報（第２の団体におけるユーザの情報）を結びつけることができない。後記する実施形態を例にすれば、企業は企業における社員の情報を知得してはいても、カウンセリングにおける社員の情報を知得することはできない。一方、カウンセリング業者は、カウンセリングにおける社員の情報を知得してはいても、企業における社員の情報を知得することはできない。また、この構成によれば、第１の団体は、自己の団体に属するユーザが何時、第２の団体のコンピュータにアクセス・ログインしたかを知ることはできない。これにより、ユーザの情報（個人情報）やプライバシの保護が強固に行われる。
【００１３】
また、前記課題を解決した請求項２に記載の発明は、ネットワークにより接続された、サービスの提供を受けるユーザのユーザ端末と、このユーザが属する第１の団体の第１のコンピュータと、前記ユーザにサービスの提供又は提供の仲介をする第２の団体の第２のコンピュータと、前記ユーザの情報の匿名化を行う第３の団体の第３のコンピュータと、を含んで行われるオンラインサービスにおけるユーザの情報を、（１）前記第１のコンピュータにより前記第１の団体における前記ユーザの情報と対応付けられ、かつ前記第３のコンピュータにログインする際に必要になる第１の識別子と、（２）前記第２のコンピュータにより前記第２の団体における前記ユーザの情報と対応付けられ、かつ当該第２のコンピュータにログインする際に必要になる第２の識別子とを用いて匿名化するオンラインサービスにおける匿名化方法である。
そして、この匿名化方法では、前記第１の識別子を通知されたユーザのユーザ端末に、（１）前記第１の団体から通知された前記第１の識別子を入力して前記第３のコンピュータにログインする画面を表示するステップ、（２）前記第３の団体から通知された前記第２の識別子を入力して前記第２のコンピュータにログインする画面を表示するステップをこの順で行う。
【００１４】
この構成においても、第１の識別子（初期ＩＤ）は第１の団体におけるユーザの情報を第３者（例えば第２の団体）に対して匿名化する役割を有し、第２の識別子（ログインＩＤ）は第２の団体におけるユーザの情報（サービスに関連したユーザの情報）を第３者（例えば第１の団体）に対して匿名化する役割を有する。この２つの識別子の対応関係は、第３の団体（ＩＤ管理業者）により分断される。ユーザは、ユーザ端末に表示される画面を介してユーザ端末を操作する（ユーザ端末の操作が促される）。
【００１５】
また、前記課題を解決した請求項３に記載の発明は、請求項１又は請求項２に記載のオンラインサービスにおける匿名化方法において、前記第３の団体が、前記第１の識別子と前記第２の識別子との対応関係を保存することで、前記第１の団体において前記第１の識別子に対応付けられて記憶されている前記ユーザの情報と前記第２の団体において前記第２の識別子に対応付けられて記憶されている前記ユーザの前記サービスに関する情報とを連結可能にしたことを特徴とする。
【００１６】
このように第１の識別子と第２の識別子との対応関係を保存（記憶）することで、連結可能匿名化によるユーザの情報の匿名化がなされる。従って、何かあったときに、第１の団体におけるユーザの情報と第２の団体におけるユーザの情報を対応付けることができ、例えばユーザの自殺防止等を図ることができる。
ちなみに、第３の団体が、第１の識別子と第２の識別子の対応関係を保存しないこととすれば、連結不可能匿名化がなされ、より強固にユーザの情報やプライバシの保護がなされる。
【００１７】
また、前記課題を解決した請求項４に記載の発明は、請求項１ないし請求項３のいずれか１項に記載のオンラインサービスにおける匿名化方法において、前記第２のコンピュータにログインすることで、前記ユーザは、前記第２のコンピュータにログインする際に必要になるパスワードを通知され又は前記パスワードの設定が可能になり、前記サービスの提供又は提供の仲介を受ける際に、この通知され又は設定したパスワードと前記第２の識別子とを明示することで前記第２のコンピュータに認証されること（ログインできること）を特徴とする。
【００１８】
また、請求項５に記載の発明は、請求項１ないし請求項４のいずれか１項に記載のオンラインサービスにおける匿名化方法において、前記第１のコンピュータに、前記第１の識別子を生成して前記ユーザに通知する第１の期間が設定されていることを特徴とする。
また、請求項６に記載の発明は、請求項１ないし請求項５のいずれか１項に記載のオンラインサービスにおける匿名化方法において、前記第３のコンピュータに、前記第２の識別子を生成して前記ユーザに通知する第２の期間が設定されていることを特徴とする。
【００１９】
（オンラインサービスにおけるユーザの識別子の管理方法）
また、前記課題を解決した請求項７に記載の発明は、クライアント企業サーバと、１つ以上のユーザ端末と、前記クライアント企業サーバ又は前記ユーザ端末へサービスの提供又は提供の仲介をするサービス提供サーバと、前記ユーザ端末を操作するユーザの識別子を管理するＩＤ管理業者サーバと、を接続するネットワークにおいて、前記ユーザのプライバシを確保することを目的としたオンラインサービスにおけるユーザの識別子の管理方法である。
そして、このオンラインサービスにおけるユーザの識別子の管理方法では、（１）前記クライアント企業サーバは、設定された第１の期間中にユーザ端末へ前記ユーザの識別子としての第１の識別子を発行する手段と、前記第１の期間の終了後、前記第１の識別子のリストを前記ＩＤ管理業者サーバへ送信する手段と、前記第１の識別子を管理する手段とを備える。
（２）また、前記ＩＤ管理業者サーバは、前記第１の識別子のリストを受信後、ログイン可能通知を前記クライアント企業サーバへ送信する手段と、設定された第２の期間中に前記第１の識別子によって前記ユーザを認証する手段と、前記ユーザ端末へ前記第２の識別子を発行する手段と、前記第２の期間の終了後、前記第２の識別子のリストを前記サービス提供サーバへ送信する手段と、前記第１の識別子及び前記第２の識別子を対応付けて管理する手段とを備える。
（３）また、前記サービス提供サーバは、前記第２の識別子のリストを受信後、ログイン可能通知をクライアント企業サーバへ送信する手段と、前記第２の識別子によって前記ユーザを認証する手段と、前記第２の識別子を管理する手段と、前記サービスの提供又は提供の仲介をする手段とを備える。
（４）この構成のもと、前記ユーザに、前記ユーザ端末を介して、前記第１の期間中に前記クライアント企業サーバにログインして前記第１の識別子を取得させ、次に、前記第２の期間中に前記ＩＤ管理業者サーバにログインして前記第２の識別子を取得させ、このように取得させた前記第２の識別子により、前記ユーザが、前記サービス提供サーバにログインして前記サービスの提供又は提供の仲介を受けることができるようにしたことを特徴とする。
【００２０】
この構成においては、ユーザに対して第１の識別子を取得させる（ユーザの行為としては第１の識別子を取得する）。次に、ユーザに対して第２の識別子を取得させる（ユーザの行為としては第２の識別子を取得する）。そして、第２の識別子によりサービスの提供等を受けられるようにした（ユーザの行為としてはサービスの提供を受ける・サービスを利用する）。
なお、サービス提供サーバは、ユーザ端末を操作するユーザに対して各種のサービスの提供又は提供の仲介をする。また、ここで述べた「ユーザのプライバシの確保」とは、例えばサービス提供サーバを管理する管理者（ＵＮＩＸ（Ｒ）におけるスーパユーザ又はオペレータ）に対し、ユーザのログイン状況とサービス利用状況との対応付けを秘匿する状態を意味する。また、クライアント企業サーバは、ユーザの氏名、年齢、住所といったユーザの情報（個人情報）を一意な識別子と対応付けて直接的に管理するサーバ、もしくはユーザの情報を取得可能な情報や手段を具備するサーバである。例えば、ユーザが属する企業組織が管理するサーバであったり、ユーザの居住地区の市役所や区役所等の自治体が管理するサーバであったり、ユーザが会員として契約しているＩＳＰが管理するサーバであったりすることを想定する。つまり、企業とは、民間企業ばかりでなく、自治体等を含むものである。また、企業は、ＮＰＯ（Ｎｏｎ Ｐｒｏｆｉｔ Ｏｒｇａｎｉｚａｔｉｏｎｓ）等も含むものである。
この構成によれば、ユーザの情報やプライバシが強固に保護される。
【００２１】
（オンラインサービスにおける匿名化装置）
また、前記課題を解決した請求項８に記載の発明は、サービスの提供を受けるユーザと、このユーザが属する第１の団体の第１のコンピュータと、前記ユーザにサービスの提供又は提供の仲介をする第２の団体の第２のコンピュータと、とにより行われるオンラインサービスにおけるユーザの情報を、前記ユーザの情報の匿名化を行う第３の団体の匿名化装置と、前記ユーザが前記匿名化装置にログインして第２の識別子の通知を受けるために必要となる第１の識別子と、前記ユーザが前記第２のコンピュータにログインして前記サービスの提供又は提供の仲介を受けるために必要となる前記第２の識別子と、を用いて匿名化し、前記第２の識別子の通知を受けた前記ユーザが、この第２の識別子を用いて前記第２のコンピュータにログインすることで、前記サービスの提供又は提供の仲介を受けることができるようにしたオンラインサービスにおける匿名化装置である。
そして、この匿名化装置は、前記第１の団体が発行した前記第１の識別子により前記ユーザの認証を行う手段と、前記ユーザと前記第２の団体に通知する第２の識別子を生成する手段とを備えたことを特徴とする。
【００２２】
この構成によれば、請求項１に記載の発明と同様に、第１の団体におけるユーザの情報と第２の団体におけるユーザの情報を匿名化することができる。また、この構成によれば、第１の団体は、自己の団体に属するユーザがいつ、第２の団体のコンピュータにアクセス・ログインしたかを知ることができない。
これにより、ユーザの情報やプライバシの保護が強固に行われる。
【００２３】
また、前記課題を解決した請求項９に記載の発明は、請求項８のオンラインサービスにおける匿名化装置において、この匿名化装置が、前記第１の識別子と前記第２の識別子の対応関係を記憶装置に記憶する手段を備えたことを特徴とする。
この構成によれば、連結可能匿名化を行うことができる。
【００２４】
（オンラインサービスにおける匿名化プログラム）
また、前記課題を解決した請求項１０に記載の発明は、コンピュータを請求項７に記載のオンラインサービスにおける匿名化装置とするため、前記コンピュータを、前記第１の団体が発行した前記第１の識別子により前記ユーザの認証を行う手段、前記ユーザと前記第２の団体に通知する前記第２の識別子を生成する手段、として機能させることを特徴とするオンラインサービスにおける匿名化プログラムとした。
【００２５】
また、請求項１１に記載の発明は、請求項１０の構成において、前記コンピュータを、前記第１の識別子と前記第２の識別子の対応関係を記憶装置に記憶する手段として機能させることを特徴とする。
【００２６】
（プログラム記憶媒体）
また、前記課題を解決した請求項１２に記載の発明は、請求項１０又は請求項１１に記載のオンラインサービスにおける匿名化プログラムを記憶したことを特徴とするプログラム記憶媒体である。
【００２７】
【発明の実施の形態】
以下、本発明の実施形態を、図面を参照して詳細に説明する。なお、以下説明するのは、オンラインサービスにおける匿名化方法、オンラインサービスにおける匿名化装置、オンラインサービスにおける匿名化プログラム及びプロラム記憶媒体を、オンラインサービスシステムに適用した実施形態である。図１は、本実施形態のオンラインサービスシステムの全体構成を示すブロック図である。
【００２８】
図１に示すオンラインサービスシステムは、クライアント企業（以下「企業」という）１、この企業１に属する社員（企業１と雇用契約を締結する者を指す。以下「社員」という）Ｕ、この社員Ｕにオンラインのカウンセリングサービスを提供するカウンセリング業者２、企業１及びカウンセリング業者２からは独立して、社員Ｕがサービスを利用するためのＩＤを管理する外部のＩＤ管理業者（以下「ＩＤ管理業者」という）３の、計４主体を想定する。そして、各主体の行為について、社員Ｕがカウンセリング業者２から受けたサービスの内容等が企業１等に知得されないように秘匿すると共に、企業１が知得している社員Ｕの個人情報がカウンセリング業者２等に知得されないようにする。つまり、４つの主体により行われるオンラインサービスにおける社員Ｕの情報（個人情報）の匿名化を行い、社員Ｕの個人情報（「第１の団体におけるユーザの情報」、「第２の団体におけるユーザの情報」）の保護や個人のプライバシの保護を図る。
【００２９】
ここで、社員Ｕは請求項の「ユーザ」に、企業１は請求項の「第１の団体」に、カウンセリング業者２は同「第２の団体」に、ＩＤ管理業者３は同「第３の団体」に、それぞれ相当する。また、以下に登場する、初期ＩＤは請求項の「第１の識別子」に、ログインＩＤは同「第２の識別子」に相当する。同様に、クライアント企業サーバ１００は請求項の「第１の団体のコンピュータ」に、カウンセリング業者サーバ２００は同「第２の団体のコンピュータ」及び「サービス提供サーバ」に、ＩＤ管理業者サーバ３００は同「第３の団体のコンピュータ」及び「匿名化装置」に相当する。
【００３０】
なお、「匿名化」とは、例えば、ある人（ある社員Ｕ）の個人情報が、ある法令やあるルール（明示のルール・黙示のルール）に反して外部に漏洩しないように、その個人情報から個人を識別する情報の全部又は一部を取り除き、代わりにその人と関連のない符号又は番号（つまり識別子）を付すことをいう。本実施形態での匿名化は、主として初期ＩＤ（第１の識別子）とログインＩＤ（第２の識別子）とにより達成される。また、「個人情報」とは、例えば、個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む）をいう。また、「プライバシ」とは、例えば個人的な日常生活や社会行動を他人に興味本位に見られたり干渉されたりすることなく、安心して過ごすことが出来る自由をいう。
【００３１】
［システムの全体構成］
以下、図１を参照してオンラインサービスシステムの全体構成を説明する。
図１に示すように、本実施形態で説明するオンラインサービスシステムの全体構成は、クライアント企業サーバ１００、カウンセリング業者サーバ２００、ＩＤ管理業者サーバ３００を接続するネットワークを前提としている。また、本実施形態では、クライアント企業サーバ１００はカウンセリング業者２のクライアントとなる企業１が、カウンセリング業者サーバ２００はカウンセリング業者２が、ＩＤ管理業者サーバ３００はＩＤ管理業者３が、それぞれ運用するものとする。また、本実施形態では、企業１やカウンセリング業者２は複数存在することを想定している。一方で、本実施形態では、ＩＤ管理業者３は、省庁や公社、あるいは業務に公共性が付帯するような、企業１やカウンセリング業者２からは独立した団体、企業等を想定している。
以下、各構成を説明する。
【００３２】
［企業・クライアント企業サーバ］
企業１は、自社の社員Ｕの福利厚生のため、カウンセリング業者２と契約して、自社の社員ＵがカウンセラＣによるカウンセリングを受けられるようにしている。また、企業１は、社員Ｕの個人情報の漏洩を防止するため（個人情報やプライバシの保護のため）、ＩＤ管理業者３とも契約を行っているものとする。
【００３３】
図１の左下に示される企業１のクライアント企業サーバ１００は、社員Ｕの社員端末ＵＴ等を用いたクライアント企業サーバ１００へのアクセスに対して、社員Ｕを認証する機能を有する。また、社員ＵがＩＤ管理業者３のコンピュータであるＩＤ管理業者サーバ３００へログインするための初期ＩＤを生成して社員Ｕ（社員端末ＵＴ）へ発行（通知）する機能を有する。また、社員番号のように、企業内で社員Ｕを一意に識別するためのＩＤ（社員ＩＤ）と初期ＩＤとを対応付けて管理する機能を有する。また、クライアント企業サーバ１００は、社員Ｕに払出した（通知した）初期ＩＤのリスト（第１の識別子リスト）を、ＩＤ管理業者３（ＩＤ管理業者サーバ３００）へ通知する機能を有する。さらに、初期ＩＤを社員Ｕに発行する第１の期間（初期ＩＤ発行期間）を設定して、この期間に初期ＩＤを社員Ｕに発行（通知）する機能を有する。また、クライアント企業サーバ１００は、カウンセリング業者２から通知された各企業１に一意な企業ＩＤを、社員Ｕに発行（通知）する機能を有する。
【００３４】
このため、クライアント企業サーバ１００は、社員ＩＤとパスワード（図示外）とによってログインする社員Ｕを一意に認証するための認証部１１０を有する。また、クライアント企業サーバ１００は、初期ＩＤ発行期間に、認証された社員Ｕへ初期ＩＤを発行（通知）すると共に、少なくとも「社員ＩＤ」と「初期ＩＤ」とを対応付けて管理（記憶・検索・読出し…）するＩＤ管理部１２０を有する。なお、このＩＤ管理部１２０は、初期ＩＤ発行期間の前に、企業ＩＤを社員Ｕに通知するものとする。また、クライアント企業サーバ１００は、少なくとも「社員ＩＤ」と「初期ＩＤ」とを対応付けた企業用管理テーブル１３０を記憶する図示しない記憶装置（ハードディスク等（以下同じ））を有する。なお、パスワードは、あらかじめ企業１がその社員Ｕへ配布したものであってもよく、また、社員Ｕが配布されたパスワードを元に変更したものであってもよい。
ちなみに、企業１（クライアント企業サーバ１００）は、初期ＩＤから社員Ｕの個人情報（氏名、部署、職位等）を参照できるものとする（初期ＩＤ→社員ＩＤ→ユーザの個人情報）。
【００３５】
［カウンセリング業者・カウンセリング業者サーバ（サービス提供サーバ）］
カウンセリング業者２は、企業１及びＩＤ管理業者３と契約している。そして、企業１の社員Ｕに対して通信ネットワークを介してカウンセリング業者２と契約したカウンセラ（産業医を含む）がカウンセリングを行い、企業１の社員Ｕのメンタルヘルスケアを図る。
【００３６】
図１の中央に示されるカウンセリング業者２のカウンセリング業者サーバ２００は、カウンセリング業者２が企業１を一意に識別するためのＩＤ（企業ＩＤ）を、企業１及びＩＤ管理業者３へ発行（通知）する機能を有する。また、企業ＩＤと社員Ｕを識別するためのＩＤ（ログインＩＤ）とによって、例えば社員端末ＵＴからアクセスする利用者たる社員Ｕを認証する機能（ログインさせる機能）を有する。また、「企業ＩＤ」と「ログインＩＤ」とを対応付けて管理する機能を有する。また、社員Ｕに、カウンセリング業者サーバ２００にログインする際に必要になるパスワード（請求項の「パスワード」）を発行する機能を有する。
【００３７】
このため、図１に示すように、カウンセリング業者サーバ２００は、ログインＩＤと企業ＩＤとによって社員Ｕを認証すると共に、後記するパスワード発行後は、ログインＩＤとパスワードとによって社員Ｕを認証する認証部２１０を有する。また、カウンセリング業者サーバ２００は、企業１及びＩＤ管理業者３へ企業ＩＤを、社員Ｕへパスワードを発行し、少なくとも「企業ＩＤ」、「ログインＩＤ」、「パスワード」及び「カウンセリング結果へのポインタ」の４つの要素を対応付けて管理するためのＩＤ管理部２２０を有する。また、カウンセリング業者サーバ２００は、少なくとも「企業ＩＤ」、「ログインＩＤ」、「パスワード」及び「カウンセリング結果へのポインタ」の４つの要素を対応付けたカウンセリング業者用ＩＤ用管理テーブル２３０を記憶する図示しない記憶装置を有する。なお、このカウンセリング業者サーバ２００は、クライアント企業サーバ１００又は社員端末ＵＴへサービスを提供するサービス提供サーバに相当する。
【００３８】
ちなみに、カウンセリング業者２（カウンセリング業者サーバ２００）は、ログインＩＤに対応した社員Ｕがどんなカウンセリングを実施したか（カウンセリングの内容）を、カウンセリング業者用ＩＤ用管理テーブル２３０の「カウンセリング結果へのポインタ」に基づいて参照できるものとする。ここで、社員ＵがログインＩＤと企業ＩＤとによって行うログインは、パスワードを発行してもらうための仮ログインとしての位置付けのものである。
【００３９】
なお、カウンセリング業者２００は、複数のカウンセラＣと契約し、カウンセラＣへ電子メールやビデオチャット等、オンラインで利用者たる社員Ｕに対するカウンセリングを実施するための環境やツールを提供する。このビデオチャット機能等は、カウンセリング業者サーバ２００以外のコンピュータが備えるようにしてもよい。また、カウンセリング業者はさらに複数の別なカウンセリング業者２（カウンセラＣ）と提携し、企業１に対し、カウンセラ２の仲介業務を実施してもよい。企業１はカウンセリング業者２と契約し、社員Ｕへ福利厚生の一環としてオンラインのカウンセリングやメンタルヘルスケアを提供する。なお、このカウンセリング等が、請求項の「サービスの提供」に相当する。また、請求項の「提供の仲介」とは、例えばカウンセリング業者サーバ２００がカウンセラＣの紹介を行うこと等に相当する。
【００４０】
［ＩＤ管理業者・ＩＤ管理業者サーバ（匿名化装置）］
ＩＤ管理業者３は、企業１及びカウンセリング業者２と契約し、社員Ｕに関連するＩＤを管理する。このＩＤ管理業者３（ＩＤ管理業者サーバ３００）は、本実施形態に特徴的なものである。
【００４１】
図１の中央に示されるＩＤ管理業者サーバ３００は、初期ＩＤと企業ＩＤとによって社員Ｕを認証した後、社員Ｕがカウンセリング業者２のコンピュータ（カウンセリング業者サーバ２００）へログインする際に必要になる識別子（ログインＩＤ）を生成して社員Ｕへ発行（通知）する機能を有する。また、「企業ＩＤ」、「初期ＩＤ」、「ログインＩＤ」を対応付けて管理する機能を有する。また、社員Ｕへ発行したログインＩＤのリストを、カウンセリング業者２（カウンセリング業者サーバ２００）へ通知する機能を有する。さらに、ログインＩＤを社員Ｕに発行する期間（ログインＩＤ発行期間）を設定して、この期間にログインＩＤを社員Ｕに発行（通知）する機能を有する。
【００４２】
このため、ＩＤ管理業者サーバ３００は、初期ＩＤ及び企業ＩＤによって社員を一意に認証するための認証部３１０を有する。また、ＩＤ管理業者サーバ３００は、ログインＩＤ発行期間に、認証された社員ＵへログインＩＤを発行すると共に、企業ＩＤ、初期ＩＤ及びログインＩＤの３つの要素を対応付けて管理するためのＩＤ管理部３２０を有する。また、ＩＤ管理業者サーバ３００は、企業ＩＤ、初期ＩＤ及びログインＩＤの３つを対応付けて記憶するＩＤ管理業者用テーブル３３０を記憶する図示しない記憶装置を有する。
【００４３】
［動作説明］
次に、以上説明したオンラインサービスシステムにより、社員Ｕがカウンセリングサービスを提供されるまでの動作を、図２から図４を参照して説明する（適宜図１参照）。図２は、サービスの提供開始までの動作を説明するために引用したシーケンス図である。図３は、社員端末になされる通知を示す図であり、（ａ）は企業ＩＤの通知ほかを示し、（ｂ）はＩＤ管理業者サーバへのログイン可能通知を示し、（ｃ）はカウンセリング業者サーバへのログイン可能通知を示す。図４は、社員端末になされるパスワード通知を示す図である。
【００４４】
企業１及びＩＤ管理業者３と契約したカウンセリング業者２は、企業１に一意な企業ＩＤを生成して（Ｓ１１）、これを企業１及びＩＤ管理業者３に通知する（Ｓ１２，Ｓ１３）。この企業ＩＤは、電子メールで通知されることを想定しているが、例えばカウンセリング業者サーバ２００にＷＷＷ（Ｗｏｒｌｄ Ｗｉｄｅ Ｗｅｂ）サーバ機能を持たせることで企業ＩＤをＷｅｂ上に公開して、企業１やＩＤ管理業者３の担当者に、パーソナルコンピュータ等を使って閲覧させることで通知するようにしてもよい。また、この企業ＩＤは、郵送等により通知してもよいし、ファクシミリ等で通知してもよい。なお、企業ＩＤは、社員ＵがＩＤ管理業者サーバ３００にログインする際に初期ＩＤと共に必要となり、また、社員Ｕがカウンセリング業者サーバ２００にログイン（仮ログイン）する際にログインＩＤと共に必要になる。
【００４５】
ちなみに、社員Ｕには、（１）企業１がカウンセリング業者２と契約をして、社員ＵがカウンセラＣのカウンセリングを受けることができるようになっていること、（２）社員Ｕの情報の匿名化及び社員Ｕのプライバシ保護のため、企業１はＩＤ管理業者３と契約しており、社員Ｕがカウンセリングを受ける前には、ＩＤ管理業者３からカウンセリング業者サーバ２００へログインするためのログインＩＤの通知（発行）を受けることが必要であること等が事前に知らせてあるものとする。
【００４６】
企業１は、通知された（取得した）企業ＩＤを電子メール等によって社員Ｕへ通知（周知）するが（Ｓ１４）、例えばクライアント企業サーバ１００にＷＷＷサーバ機能を持たせてＷｅｂ上に公開して、社員Ｕに閲覧させることで企業ＩＤを通知するようにしてもよい。
【００４７】
企業ＩＤを社員Ｕに通知した企業１は、社員Ｕが初期ＩＤを取得するための所定の期間（第１の期＝初期ＩＤ発行期間）Ｔ１を定め、これをクライアント企業サーバ１００に設定する（第１の期間の設定、Ｓ１５）。
なお、この初期ＩＤ発行期間Ｔ１やクライアント企業サーバ１００のＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｅｒ）は、前記したステップＳ１４の企業ＩＤの通知の際に、企業ＩＤと併せて企業１から社員Ｕに通知されているものとする（図３（ａ）参照）。この図３（ａ）の企業ＩＤの通知は、社員端末ＵＴの画面に表示され、これによりクライアント企業サーバ１００へアクセスすること（ログインすること）が促される。ちなみに、図３（ａ）に記載されたＵＲＬをクリックするとクライアント企業サーバ１００にログインするための図示しない画面が、社員端末ＵＴに表示されるものとする。
【００４８】
企業ＩＤを通知された社員Ｕは、初期ＩＤ発行期間Ｔ１内に社員端末ＵＴからクライアント企業サーバ１００へアクセスし、認証部１１０による認証完了（社員ＩＤで認証）の後、ＩＤ管理部１２０によって生成された初期ＩＤを取得する（Ｓ１６，Ｓ１７）。
ここで、図１に示すように、初期ＩＤはカウンセリング業者２へは通知されない。したがって、企業１とカウンセリング業者２とが結託しても、サービスを利用する（カウンセリングを受ける）社員Ｕが誰であるかを特定することはできない。つまり、カウンセリング業者２は、企業１における社員Ｕの情報とカウンセリングにおける社員Ｕの情報を対応付けることができない。なお、初期ＩＤ発行期間Ｔ１を設定するのは、期間を設けないと申込みが分散するので、相対的に個人を特定し易すくなるが、期間を設けると申込みが集中するので、相対的に個人を特定し難くなるという理由による。
【００４９】
初期ＩＤ発行期間Ｔ１の終了後、企業１（クライアント企業サーバ１００）は、ＩＤ管理業者サーバ３００（ＩＤ管理業者３）に初期ＩＤがリストされた初期ＩＤリストを一括で送信する（Ｓ１８）。なお、社員Ｕの情報の匿名化をより確実に行うため、初期ＩＤに対応する社員ＩＤの情報は送信しない。この初期ＩＤリストの送信は、電子メールによって行ってもよいし、郵送等によって行ってもよい。また、ファクシミリ等によって行ってもよい。なお、初期ＩＤリストは、ＩＤ管理業者サーバ３００の図示しない記憶部に記憶する（「第１の識別子を記憶するステップ」に相当）。
【００５０】
次に、ＩＤ管理業者３は、社員がログインＩＤを取得するための所定の期間（第２の期間＝ログインＩＤ発行期間）Ｔ２を定め、これをＩＤ管理業者サーバ３００に設定する（第２の期間の設定、Ｓ１９）。ＩＤ管理業者３（ＩＤ管理業者サーバ３００）は、ＩＤ管理業者サーバ３００に対するログインが可能である旨の通知（ログイン可能通知）を企業１（クライアント企業サーバ１００）に対して行う（Ｓ２０）。なお、ログインＩＤ発行期間Ｔ２を設定するのは、初期ＩＤ発行期間Ｔ１を設定した理由と同様、例えば個人を特定し難くするためである。
【００５１】
ステップＳ２０により、ログイン可能通知を受けた企業１（クライアント企業サーバ１００）は、ＩＤ管理業者サーバ３００にログインが可能である旨のログイン可能通知（図４（ｂ）参照）を、社員Ｕに対して行う（Ｓ２１）。このＩＤ管理業者サーバ３００へのログイン可能通知は、企業ＩＤを通知したのと同様に電子メール等により行うことができる。なお、図３（ｂ）のＩＤ管理業者サーバ３００へのログイン可能通知は、社員端末ＵＴの画面に表示され、これにより社員ＵがＩＤ管理業者サーバ３００へアクセスすること（ログインすること）が促される。ちなみに、図３（ｂ）に記載されたＵＲＬをクリックすると、初期ＩＤと企業ＩＤとを入力してＩＤ管理サーバ３００にログインするための図示しない画面が、社員端末ＵＴに表示されるものとする（「第１の識別子を入力して第３のコンピュータにログインする画面を表示するステップ」に相当）。
【００５２】
ログイン可能通知を受けた社員Ｕは、ログインＩＤ発行期間Ｔ２内に社員端末ＵＴからＩＤ管理業者サーバ３００へログインし、認証部３１０による認証完了の後、ＩＤ管理部３２０によって生成（Ｓ２２）されたログインＩＤを取得する（Ｓ２３）。なお、本実施形態では、社員ＵがログインＩＤを取得するために使用する社員端末ＵＴには、専用のアプリケーションを搭載する必要がない。したがって、社員端末ＵＴは、業務用の端末でなくてもよく、自宅のＰＣやインターネットカフェに設置されるようなＰＣ、あるいはモバイル機器であってもよい。ログインＩＤ取得可能期間Ｔ２の経過後、ログインＩＤを生成して発行したＩＤ管理業者サーバ３００は、カウンセリング業者サーバ２００（カウンセリング業者２）へログインＩＤリスト（企業ＩＤ単位ごとに纏められたもの）を一括で送信する（Ｓ２４）。
【００５３】
なお、図１に示すように、ログインＩＤは、企業１へは通知されない。また、前記したように、初期ＩＤは、カウンセリング業者２には通知されない。したがって、企業１とカウンセリング業者２とが結託しても、企業１はどの社員Ｕがどんなカウンセリングを受けたかを知ることもできない。さらには、企業１は、どの社員Ｕがカウンセリング業者サーバ２００にログインしたのかも知ることができない。
【００５４】
ＩＤ管理業者３（ＩＤ管理業者サーバ３００）からログインＩＤリストを受信したカウンセリング業者２（カウンセリング業者サーバ２００）は、これをカウンセリング業者サーバ２００の図示しない記憶部に記憶すると共に、ログイン可能通知（図４（ｃ））を企業１（クライアント企業サーバ１００）に対して行う（Ｓ２５）。企業１（クライアント企業サーバ１００）は、カウンセリング業者サーバ２００へログインが可能である旨の通知であるログイン可能通知を社員Ｕに対して行う（Ｓ２６）。このカウンセリング業者サーバ２００へのログイン可能通知は、電子メール等により行うことができる。なお、図４（ｃ）のカウンセリング業者サーバ２００へのログイン可能通知は、社員端末ＵＴの画面に表示され、これにより社員Ｕがカウンセリング業者サーバ２００へアクセスすること（ログインすること）が促される。ちなみに、図３（ｃ）に記載されたＵＲＬをクリックすると、ログインＩＤと企業ＩＤとを入力して、又はログインＩＤとパスワードとを入力して、カウンセリング業者サーバ２００にログインするための図示しない画面が、社員端末ＵＴに表示されるものとする（「第２の識別子を入力して第２のコンピュータにログインする画面を表示するステップ」に相当）。
【００５５】
ステップＳ２６でカウンセリング業者サーバ２００へのログイン可能通知を受けた社員Ｕは、例えばパソコン等の社員端末ＵＴを操作し、ステップＳ２３で通知された（取得した）ログインＩＤとステップＳ１４で通知された企業ＩＤとによりカウンセリング業者サーバ２００にログインする（Ｓ２７）。なお、このログインは、パスワードを発行されるための仮ログインとしての位置付けである。カウンセリング業者サーバ２００では、認証部２１０による認証完了の後（ログイン後）、ＩＤ管理部２２０によってパスワードを生成する（Ｓ２８）。そして、カウンセリング業者サーバ２００から社員端末ＵＴにパスワードを通知する（Ｓ２９）。図４は、社員端末ＵＴに表示されるパスワード通知の一例である。この図４に示すように、社員Ｕに対してパスワードが通知される。なお、社員Ｕが自分の好きなパスワードを設定できるようにしてもよい。
【００５６】
パスワードを通知された社員Ｕは、カウンセリングを受けたい場合は、ログインＩＤとパスワードとによりカウンセリング業者サーバ２００にログインすることで、カウンセラＣのカウンセリング（オンラインサービス）を受けることができる（サービス開始，Ｓ３０）。以降、社員Ｕは、図１及び図２に括弧書きで示したように、ログインＩＤとパスワードとによってカウンセリング業者サーバ２００へログインし、オンラインのサービスを受けることができる。
【００５７】
この構成においては、企業１における社員Ｕの情報（個人情報）は初期ＩＤ（及び社員ＩＤ）により匿名化され、カウンセリングにおける社員Ｕの情報（個人情報）はログインＩＤにより匿名化される（図１のカウンセリング業者用管理テーブル２３０参照）。そして、初期ＩＤとログインＩＤの対応関係は、企業１及びカウンセリング業者２とは独立したＩＤ管理業者３によって管理されている。このため、企業１（及び第３者）は、企業１における社員Ｕの個人情報とカウンセリングにおける社員Ｕの個人情報とを結びつけることができない。この点は、カウンセリング業者２についても、同じである。
【００５８】
即ち、企業１は、社員Ｕがカウンセリングを受けたとしても、カウンセリング業者サーバ２００へログインするログインＩＤを知らないため、どの社員Ｕがどのようなカウンセリングを受けたかを知ることはできない。一方、カウンセリング業者２は、カウンセリングを受けた社員Ｕの社員ＩＤを知らないため、カウンセリングを受けた社員Ｕを特定することはできない。また、本実施形態のＩＤ管理業者３は、企業１及びカウンセリング業者２とは独立した、純粋にＩＤ（企業ＩＤ、初期ＩＤ、ログインＩＤ）を管理するのみの主体であるため、社員Ｕの個人情報もカウンセリングの内容も知ることはできない。つまり、本実施形態のオンラインサービスシステムによれば、社員Ｕの情報（個人情報）やプライバシの保護が強固に行われる。
【００５９】
さらに、社員Ｕは識別子によって管理されるため、社員端末ＵＴには専用のアプリケーションを特に搭載する必要がない。このため、電子的な証明書を利用する技術とは異なり、社員Ｕはどの端末からでもサービスを利用することができる。もちろん、電子的な署名や暗号化技術を併用することも可能である。
【００６０】
なお、企業１、カウンセリング業者２及びＩＤ管理業者３のうち、どの２主体が結託したとしても、残りの１主体が情報を漏洩しない限り、カウンセリングを受けた社員Ｕを特定することはできない。ちなみに、本実施形態では、企業ＩＤを用いることとしているが、この企業ＩＤは、カウンセリング業者２が企業１ごとに生成している。このため、カウンセリング業者２は、どのログインＩＤの社員Ｕがどの企業１に属しているかが判る（このことが次に説明する連結可能匿名化に利用される）。
【００６１】
［連結可能匿名化］
ところで、緊急時等において、法律的、社会的な観点からカウンセリングを受けた社員Ｕを特定する必要がある場合は、企業１、カウンセリング業者２及びＩＤ管理業者３の全てが協力することで、「カウンセリングの内容とログインＩＤの関連（ログインＩＤと企業ＩＤとの関連）」→「ログインＩＤと初期ＩＤとの関連」→「初期ＩＤと社員ＩＤとの関連」→「社員ＩＤと社員Ｕの個人情報との関連」を順次追跡することにより、社員Ｕの特定が可能となる。
【００６２】
連結可能匿名化により社員Ｕを割り出す流れの一例を、図５のシーケンス図を参照して説明する（適宜図１等参照）。この際には、各サーバ１００，２００，３００に記憶されている各テーブル１３０，２３０，３３０の情報が活用される。
【００６３】
まず、カウンセリングを行ったカウンセリング業者２（カウンセラＣ）が、社員Ｕのカウンセリングの内容が人命等にかかわるものであるか否かを判断する（Ｓ４１）。人命等にかかわらないと判断した場合は（Ｎｏ）、社員Ｕを特定する処理を止める（Ｓ４２）。カウンセリングの内容が人命等にかかわると判断した場合は（Ｙｅｓ）、次のように処理する。即ち、ログインＩＤとカウンセリングの結果と企業ＩＤは、カウンセリング業者用管理テーブル２３０により対応付けられているので、カウンセリングの内容（データ）に基づいてログインＩＤを特定し、さらにログインＩＤに基づいて企業ＩＤを特定する。そして、企業ＩＤに基づいて企業１の連絡先を割り出す（Ｓ４３）。前記したように、企業ＩＤは、カウンセリング業者２が企業１ごとに生成しているので、カウンセリング業者２は、企業１と企業ＩＤとの対応関係からどの企業１に連絡をとればよいかは直ぐに判る。
【００６４】
カウンセリング業者２は、企業１の連絡先を割り出すと、ＩＤ管理業者３（ＩＤ管理業者サーバ３００）へその旨を通知する（Ｓ４４）。この通知の際には、人命等にかかかわると判断した社員ＵのログインＩＤとカウンセリングの内容を併せて通知するものとする。一方、企業１にもその旨を通知し（Ｓ４５）、匿名化された情報同士を連結することの同意を企業１に求める。この通知の際には、人命等にかかわると判断した社員Ｕのカウンセリングの内容を併せて通知するものとする。
【００６５】
企業１は、カウンセリングの内容を検討して人命等にかかわるか否かを判断し（Ｓ４６）、人命等にはかかわらないと判断した場合は（Ｎｏ）、処理を止める（Ｓ４７）。この際、カウンセリング業者２及びＩＤ管理業者３にその旨を通知（連絡）して、社員Ｕを特定する処理を止めさせるものとする。一方、人命等にかかわると判断した場合は（Ｙｅｓ）、ＩＤ管理業者３に同意した旨を通知する（Ｓ４８）。
【００６６】
ステップＳ４８で通知を受けたＩＤ管理業者３は、ステップＳ４４でカウンセリング業者２から通知されたログインＩＤに基づいてＩＤ管理業者用管理テーブル３３０を検索してログインＩＤに対応する初期ＩＤを特定する（Ｓ４９）。そして、初期ＩＤを企業１へ通知する（Ｓ５０）。
【００６７】
企業１において、初期ＩＤと社員ＩＤとは、クライアント企業サーバ１００の企業用管理テーブル１３０により対応付けられているので、初期ＩＤに基づいて社員ＩＤを特定し、さらに社員ＩＤに基づいて社員Ｕの連絡先を割り出す。なお、企業１は、社員ＩＤと対応付けられた社員Ｕの連絡先名簿を持っているものとする。
【００６８】
このように社員Ｕの連絡先を割り出すと、例えば企業１は、カウンセリングの内容に応じて、警察、消防、保健所、行政等、適切な箇所に連絡をすることができる。もちろん、社員Ｕに連絡することもできる。よって、企業１は、例えば社員Ｕの自殺等を防止する措置を図ることができる。
【００６９】
［契約関係］
図６は、本実施形態での各主体の契約関係の一例を示した図である。
社員Ｕは企業１と雇用契約を結び、カウンセラＣはカウンセリング業者２と雇用契約を結んでいる。企業１は、カウンセリング業者２とサービスの利用契約を締結し、カウンセリング業者２へサービス料を支払う。また、企業１は、ＩＤ管理業者３とサービスの利用契約を終結し、ＩＤ管理業者３へサービス料を支払う。これにより、ＩＤ管理業者３は収益をあげることができる。なお、図６に示すように、カウンセリング業者２が、他のカウンセリング業者２Ａ，２Ｂ，２Ｃの元受け（窓口）の立場として、企業１と契約することも可能である。
【００７０】
以上説明した本発明は、前記した実施形態に限定されず、本発明の趣旨を逸脱しない範囲で幅広く変形実施することができる。
例えば、社員ＩＤが初期ＩＤを兼ねるようにしてもよい。また、前記した実施形態では、連結可能匿名化を行うために、特に初期ＩＤとログインＩＤの対応関係を記憶したＩＤ管理業者用テーブルを用いることとしたが、このＩＤ管理業者用テーブルを用いないこととして（初期ＩＤとログインＩＤの対応関係を記憶しないこととして）、連結不可能匿名化を行ってもよい。また、企業ＩＤを用いないで社員の情報を匿名化することも可能である。ちなみに、サービス料の計算の際には、企業ＩＤが役立つ。また、緊急時等における社員の連絡先の最終的な割り出しを、結果として企業が行うこととしたが、情報をＩＤ管理業者に集めて、ＩＤ管理業者が最終的に割り出すこととしてもよい。
【００７１】
また、カウンセリングを例に説明したが、その他のサービス、殊にオンラインで提供可能なサービスやオンラインで提供の仲介を行うことのできるサービス、例えば電子コンテンツの販売・販売の仲介、物品や金融商品の販売・販売の仲介、役務の提供・提供の仲介、不動産の販売・販売の仲介等にも本発明を適用することができる。
【００７２】
また、各サーバや社員端末は、コンピュータ及びプログラムによって実現することができる。また、そのプログラムをコンピュータによる読み取り可能な記憶媒体に記憶することが可能である。また、そのプログラムを、ネットワークを通して提供することも可能である。また、各コンピュータ（サーバ）は、単一のコンピュータから構成されるのではなく、複数のコンピュータや周辺機器から構成されるものでもよい。また、社員端末Ｕが直接カウンセリング業者サーバにアクセス・ログインして、直接カウンセリング業者サーバからサービスの提供を受けることとしたが、クライアント企業サーバを介してサービスの提供を受けることとしてもよい。また、第１の期間や第２の期間を設定しないようにしてもよい。また、ＩＤの送信もリストの形で一括で行うのではなく、例えばＩＤを発行（生成）する都度行うようにしてもよい。
【００７３】
【発明の効果】
以上説明した本発明によれば、以下のような優れた効果を奏する。
請求項１、請求項２、請求項７及び請求項８の発明によれば、識別子によりユーザの情報を匿名化するので、オンラインのサービス提供時に、ユーザの行動を追跡困難とすることができ、これにより、ユーザの情報やプライバシの保護が強固に行われる。また、一般的な端末をユーザ端末とすることができる。また、請求項３及び請求項９の発明によれば、連結可能匿名化を確実に行うことができる。請求項４の発明によれば、パスワードにより強固にユーザの情報の保護等が行われる。また、請求項５ないし請求項７の発明によれば、ユーザの集中により、ユーザの匿名性を高めることができる。また、請求項１０ないし請求項１２の発明によれば、コンピュータにより、ユーザの情報を匿名化して、ユーザの情報の保護やプライバシの保護を強固に行うことができる。
【図面の簡単な説明】
【図１】本実施形態のオンラインサービスシステムの全体構成を示すブロック図である。
【図２】図１のシステムにおけるサービスの提供開始までの動作を説明するために引用したシーケンス図である。
【図３】社員端末になされる通知を示す図であり、（ａ）は企業ＩＤの通知ほかを示し、（ｂ）はＩＤ管理業者サーバへのログイン可能通知を示し、（ｃ）はカウンセリング業者サーバへのログイン可能通知を示す。
【図４】社員端末になされるパスワード通知を示す図である。
【図５】連結可能匿名化により、社員を割り出す流れの一例を示すシーケンス図である。
【図６】本実施形態での各主体の契約関係の一例を示した図である。
【符号の説明】
Ｕ … 社員（ユーザ）
ＵＴ … 社員端末（ユーザ端末）
１ … クライアント企業、企業（第１の団体）
１００… クライアント企業サーバ（第１のコンピュータ）
１１０… 認証部
１２０… ＩＤ管理部
１３０… 企業用管理テーブル
２ … カウンセリング業者（第２の団体）
２００… カウンセリング業者サーバ（第２のコンピュータ、サービス提供サーバ）
２１０… 認証部
２２０… ＩＤ管理部
２３０… カウンセリング業者用管理テーブル
３ … ＩＤ管理業者（第３の団体）
３００… ＩＤ管理業者サーバ（第３のコンピュータ、匿名化装置）
３１０… 認証部
３２０… ＩＤ管理部
３３０… ＩＤ管理業者用管理テーブル[0001]
TECHNICAL FIELD OF THE INVENTION
The present invention provides an anonymous online service using an identifier management technology that protects personal information and privacy of a user who receives a service by logging in to an information system that provides an online service to a user belonging to a certain organization. The present invention relates to a method, a management method of a user identifier, an anonymization device, an anonymization program, and a program storage medium.
[0002]
[Prior art]
A user who receives a service of an information system (a user who uses the service) is generally managed and identified by an identifier unique to the user. The services include telnet, FTP (File Transfer Protocol) connection and acquisition of Web pages, use of CGI (Common Gateway Interface), use of chat, transmission and reception of e-mail, and other services that users can use completely anonymously. ISP (Internet Service Provider) and services that register and use the user's personal information in advance, such as a service under a contract with the ISP (Internet Service Provider). Among the latter services, there is a service in which the use status of the service should be kept secret from the information system administrator from the viewpoint of respecting the user's personal information and privacy. That is, even if the user's personal information has been registered in the information system in advance (or even if it has been registered with the information system administrator / management entity), when using the service, the information system administrator There are services for which it is desired that services can be used anonymously.
[0003]
As an example of such services, a company (first organization) can partner with an external counseling company (second organization) to provide counseling and mental health care to their employees (users) online as part of benefits. (Patent Document 1 and Non-Patent Document 1) will be described. In this case, the company notifies the company employee of the identifier (hereinafter referred to as “ID”) and password obtained from the counseling company of the partner, and the employee logs in to the system of the counseling company using this ID and password and uses the service. In general, a service utilization form such as performing is performed.
[0004]
At this time, (1) an employee obtains an individual ID and password and logs in to the counseling company system, and (2) a plurality of employees obtains a common ID and password and logs in to the counseling system. There are cases. The services include consultation with employees about their career vision, examination of stress levels in the workplace, and counseling on mental health through dialogue with counselors by e-mail and chat.
[0005]
Since such counseling results are information that is deeply related to the personal information and privacy of employees, conventional systems for realizing online counseling limit the viewers of the counseling results, encrypt information about the counseling results, In some cases, such a measure is taken (Patent Document 2). Also, in terms of operation, a counseling company usually keeps information about which employee has performed what kind of counseling and what kind of counseling result has been kept confidential to a company (Non-Patent Document 2). At present, compliance with these confidentiality obligations is left to the voluntary code of ethics of the company and the counseling company, and employees who use the service must unilaterally trust that such code of ethics is observed. Have been forced.
[0006]
As described above, conventionally, in a service in which personal information is registered in advance and a user is managed by an ID (identifier), simple ID management that conceals the association between the service usage status and the user's personal information is concealed. No method has been proposed, and the only way to do this is to manage the system according to the voluntary regulation of the information system manager or the operating rules.
[0007]
[Patent Document 1]
JP-A-2002-32602 ([0006], [0036]-)
[Patent Document 2]
JP-A-2002-197196 ([0024], [0058], etc.)
[Non-patent document 1]
Kunihiro Ogiwara, "Web Management of Online Counseling", "Modern Esprit", May 2002, PP. 137 PP. 149
[Non-patent document 2]
"Is EAP a Mental Health Medicine?" Weekly Toyo Keizai 2002.7.27, PP. 38 · PP. 39
[0008]
[Problems to be solved by the invention]
However, the voluntary regulation of the information system administrator and the establishment of the operation rules alone are likely to violate the user's personal information and privacy as described above due to malice and mistakes. For example, in an existing service usage form in which employees log in to a counseling company system using individual IDs and passwords as exemplified in [Prior Art], a company and a counseling company collaborate, and which employee There is a high possibility that the information as to whether or not the result of the counseling is easily grasped by the company.
[0009]
Another issue to be solved is that if the user is completely anonymous when using the service, there will be no way to identify the user in an emergency, leading to social confusion such as suicide or crime. It may not be possible to prevent unintentional user behavior. For example, in an existing service usage form in which multiple employees log in to a counseling company's system with a common ID and password, for example, when an employee has an emergency such as suicide or crime in counseling, the employee is identified. Can not do it.
[0010]
The present invention has been made to solve such a problem, and an object of the present invention is to provide an information system administrator (for example, an operator) with an information system user (user) who provides an online service. An object of the present invention is to provide a method of anonymizing an online service, a method of managing a user identifier, and the like that can secure personal information and privacy of a user by making it difficult to associate a login situation with a service usage situation. It is another object of the present invention to provide a technology that can track and identify a user in an emergency in the anonymization method or the method of managing a user identifier in the online service.
[0011]
[Means for Solving the Problems]
(How to anonymize online services)
The invention according to claim 1, which has solved the above-mentioned problem, comprises a user terminal of a user who receives a service provided via a network, a first computer of a first organization to which the user belongs, and the user And a second computer of a second organization that provides or mediates the provision of the service to the user. The information of the user in the online service provided includes: (1) the first organization and the second organization A third computer of an independent third party; and (2) the first computer is associated with the information of the user in the first party and is required when logging in to the third computer. And (3) the second computer associates the first identifier with information of the user in the second group, and the second computer Anonymous method in online services anonymously by using a second identifier to be necessary for login.
Then, in the anonymization method, the third computer stores (1) a first identifier list in which the first identifiers are obtained, obtained from the first organization, and (2) Authenticating, based on the first identifier list, access specifying the first identifier from the user terminal of the user notified of the first identifier by the first organization; (3) the authentication Is successful, the second identifier is issued to notify the user.
As a result, the user can log in to the second computer from the user terminal using the second identifier notified in this way, and can receive the provision of the service or the mediation of the provision. I did it.
[0012]
Generally, an identifier has a role of anonymizing information and protecting personal information. In the present invention, however, a first identifier (initial ID) is used to transfer information of a user in a first organization to a third party (for example, a third party). The second identifier (login ID) has a role of anonymizing the second entity (login ID), and the second identifier (login ID) is used to transfer user information (user information related to the service) in the second entity to a third party (for example, the first Has the role of anonymizing it. The two identifiers are separated by a third party.
Therefore, (1) a third party (for example, a first organization) who knows the first identifier but does not know the second identifier, or (2) knows the second identifier However, a third party (for example, a second organization) who does not know the first identifier may obtain information anonymized by the first identifier (information of a user in the first organization). The information anonymized by the second identifier (information of the user in the second organization) cannot be linked. Taking the embodiment described below as an example, a company cannot know the information of employees in counseling, even if the company knows the information of employees in the company. On the other hand, the counseling company cannot know the information of the employees in the company, even if they know the information of the employees in the counseling. Further, according to this configuration, the first organization cannot know when the user belonging to the first organization accesses or logs in to the computer of the second organization. Thereby, protection of user information (personal information) and privacy is performed firmly.
[0013]
According to another aspect of the present invention, there is provided a user terminal of a user who receives a service, which is connected by a network, a first computer of a first organization to which the user belongs, A user of an online service that includes a second computer of a second organization that provides or mediates the provision of a service to a third party and a third computer of a third organization that anonymizes the user information (1) a first identifier which is associated with the information of the user in the first group by the first computer and is required when logging in to the third computer; ) When the second computer is associated with the information of the user in the second group and logs in to the second computer, Anonymous method in online services anonymously by using a second identifier to be essential.
Then, in this anonymization method, (1) inputting the first identifier notified from the first organization to the user terminal of the user notified of the first identifier, and inputting the first identifier to the third computer; Displaying a screen for logging in; and (2) displaying a screen for logging in to the second computer by inputting the second identifier notified from the third organization are performed in this order.
[0014]
Also in this configuration, the first identifier (initial ID) has a role of anonymizing user information in the first organization to a third party (for example, the second organization), and the second identifier (log-in). ID) has a role of anonymizing user information (user information related to the service) in the second group with respect to a third party (for example, the first group). The correspondence between the two identifiers is divided by a third organization (ID management company). The user operates the user terminal via a screen displayed on the user terminal (the operation of the user terminal is prompted).
[0015]
According to a third aspect of the present invention, there is provided an online service anonymization method according to the first or second aspect, wherein the third group is configured to store the first identifier and the second identifier. By storing the correspondence with the identifier of the user, the information of the user stored in association with the first identifier in the first organization and the second identifier in the second organization It is characterized in that it is possible to connect the information on the service of the user, which is attached and stored.
[0016]
By storing (storing) the correspondence between the first identifier and the second identifier in this manner, the user information is anonymized by the connectable anonymization. Therefore, when something happens, the information of the user in the first organization and the information of the user in the second organization can be associated with each other, and for example, suicide prevention of the user can be achieved.
By the way, if the third organization does not store the correspondence between the first identifier and the second identifier, the connection is not possible and the anonymization is performed, and the information and privacy of the user are more securely protected.
[0017]
According to a fourth aspect of the present invention, there is provided a method for anonymizing an online service according to any one of the first to third aspects, wherein the method comprises the steps of: logging in to the second computer; The user is notified of a password required when logging in to the second computer, or the setting of the password is enabled, and when the provision or intermediation of the provision of the service is notified or set, By specifying a password and the second identifier, the user is authenticated (logged in) by the second computer.
[0018]
According to a fifth aspect of the present invention, in the anonymization method for an online service according to any one of the first to fourth aspects, the first computer generates the first identifier. A first period for notifying the user is set.
According to a sixth aspect of the present invention, in the anonymization method for an online service according to any one of the first to fifth aspects, the third computer generates the second identifier. A second period for notifying the user is set.
[0019]
(Management method of user identifier in online service)
According to a seventh aspect of the present invention, there is provided a client company server, at least one user terminal, and a service providing server for providing or mediating a service to the client company server or the user terminal. A method for managing a user identifier in an online service for securing the privacy of the user in a network connecting the ID management company server that manages the identifier of the user who operates the user terminal.
In the method for managing a user identifier in the online service, (1) the client company server issues a first identifier as the user identifier to the user terminal during a set first period; After the end of the first period, means for transmitting the list of the first identifiers to the ID management server, and means for managing the first identifiers.
(2) The ID management agent server, after receiving the list of the first identifier, means for transmitting a log-in notice to the client company server; Means for authenticating the user with an identifier, means for issuing the second identifier to the user terminal, and means for transmitting the list of the second identifier to the service providing server after the end of the second period And means for managing the first identifier and the second identifier in association with each other.
(3) the service providing server, after receiving the list of the second identifier, transmitting a log-in notice to the client company server; a means for authenticating the user with the second identifier; A means for managing the second identifier; and a means for providing or mediating the provision of the service.
(4) Under this configuration, the user is caused to log in to the client company server through the user terminal during the first period and obtain the first identifier, and then, During the period, the user logs in to the ID management agent server to obtain the second identifier, and the user can log in to the service providing server and log in to the service providing server using the second identifier obtained in this manner. It is characterized in that it can be provided or provided.
[0020]
In this configuration, the user is caused to acquire the first identifier (the user's action is to acquire the first identifier). Next, the user is caused to acquire a second identifier (a second identifier is acquired as a user action). Then, provision of a service or the like can be received by the second identifier (the service is received / use of the service is performed by the user).
The service providing server provides or mediates the provision of various services to the user operating the user terminal. In addition, "securing the privacy of the user" described here means that, for example, the administrator (super user or operator in UNIX (R)) managing the service providing server is provided with a correspondence between the login status of the user and the service usage status. It means a state in which the attachment is kept secret. Further, the client company server includes a server that directly manages user information (personal information) such as a user's name, age, and address in association with a unique identifier, or includes information or means capable of acquiring user information. Server. For example, a server managed by the corporate organization to which the user belongs, a server managed by a local government such as a city hall or a ward office in the residence area of the user, or a server managed by an ISP to which the user has contracted as a member It is assumed that In other words, companies include not only private companies but also local governments. In addition, companies include NPOs (Non Profit Organizations) and the like.
According to this configuration, information and privacy of the user are strongly protected.
[0021]
(Anonymization device for online services)
According to another aspect of the present invention, there is provided a user receiving a service, a first computer of a first organization to which the user belongs, and providing or mediating a service to the user. A second computer of a second group that performs anonymization of user information in an online service performed by the third group, and an anonymization device of a third group that performs anonymization of the information of the user; A first identifier required to log in to the server and receive a notification of the second identifier; and a first identifier required for the user to log in to the second computer and receive the mediation of the provision or provision of the service. The user is anonymized using the second identifier, and the user who has received the notification of the second identifier logs in to the second computer using the second identifier. In Rukoto an anonymizing apparatus in an online service to be able to receive the intermediary provide or offer the service.
Then, the anonymizing device authenticates the user with the first identifier issued by the first organization, and generates a second identifier to notify the user and the second organization. And characterized in that:
[0022]
According to this configuration, similarly to the first aspect, the information of the user in the first organization and the information of the user in the second organization can be anonymized. Further, according to this configuration, the first organization cannot know when a user belonging to the first organization accesses or logs in to the computer of the second organization.
Thereby, protection of user information and privacy is performed firmly.
[0023]
According to a ninth aspect of the present invention, there is provided an anonymization apparatus for an online service according to the eighth aspect, wherein the anonymization apparatus stores a correspondence between the first identifier and the second identifier. The apparatus is characterized by comprising means for storing in the device.
According to this configuration, linkable anonymization can be performed.
[0024]
(Anonymization program for online services)
According to a tenth aspect of the present invention that solves the above-mentioned problem, the computer is an anonymizing device in the online service according to the seventh aspect. An anonymization program in an online service, wherein the program functions as means for authenticating the user with an identifier, and means for generating the second identifier for notifying the user and the second organization.
[0025]
According to an eleventh aspect of the present invention, in the configuration of the tenth aspect, the computer is caused to function as a unit that stores a correspondence between the first identifier and the second identifier in a storage device. I do.
[0026]
(Program storage medium)
According to a twelfth aspect of the present invention, there is provided a program storage medium storing an anonymization program for an online service according to the tenth or eleventh aspect.
[0027]
BEST MODE FOR CARRYING OUT THE INVENTION
Hereinafter, embodiments of the present invention will be described in detail with reference to the drawings. The following describes an embodiment in which an anonymization method in an online service, an anonymization device in an online service, an anonymization program and a program storage medium in an online service are applied to an online service system. FIG. 1 is a block diagram showing the overall configuration of the online service system of the present embodiment.
[0028]
The online service system shown in FIG. 1 includes a client company (hereinafter, referred to as “company”) 1, an employee belonging to the company 1 (refers to a person who enters into an employment contract with the company 1, hereinafter referred to as “employee”) U, and an employee U Counseling company 2, which provides online counseling service to the company, and an external ID management company (hereinafter referred to as "ID management company") that manages IDs for employees U to use the service independently of company 1 and counseling company 2. 3) Assume a total of 4 entities. Then, regarding the act of each subject, the employee U keeps the contents of the service received from the counseling company 2 so as not to be known to the company 1 and the like, and the personal information of the employee U known by the company 1 is counseled. It should not be known to the second trader. That is, the information (personal information) of the employee U in the online service performed by the four entities is anonymized, and the personal information of the employee U (“user information in the first organization”, “user information in the second organization” Information)) and the privacy of individuals.
[0029]
Here, the employee U is the “user” in the claim, the company 1 is the “first organization” in the claim, the counseling company 2 is the “second organization”, and the ID management company 3 is the “third organization” in the claim. Organizations. " The initial ID, which appears below, corresponds to the “first identifier” in the claims, and the login ID corresponds to the “second identifier”. Similarly, the client company server 100 is a “computer of a first organization” in the claims, the counseling company server 200 is a “computer of a second organization” and a “service providing server”, and an ID management company server 300 is the same. It corresponds to a “computer of a third organization” and an “anonymization device”.
[0030]
The “anonymization” means, for example, that personal information of a certain person (a certain employee U) is not leaked to the outside against a certain law or a certain rule (an explicit rule or an implied rule). Means to remove all or part of the information that identifies an individual from a person, and attach a code or number (ie, an identifier) that is not related to the person instead. Anonymization in the present embodiment is mainly achieved by an initial ID (first identifier) and a login ID (second identifier). “Personal information” is, for example, information about an individual that can identify a specific individual by the name, date of birth, or other description included in the information (easily distinguished from other information). Including those that can be matched and thereby identify a particular individual). “Privacy” refers to the freedom to be able to spend, for example, personal daily life and social behavior with peace of mind without being seen or interfered with by others.
[0031]
[Overall system configuration]
Hereinafter, the overall configuration of the online service system will be described with reference to FIG.
As shown in FIG. 1, the overall configuration of the online service system described in the present embodiment is based on a network connecting a client company server 100, a counseling company server 200, and an ID management company server 300. In the present embodiment, the client company server 100 is operated by the company 1 serving as a client of the counseling company 2, the counseling company server 200 is operated by the counseling company 2, and the ID management company server 300 is operated by the ID management company 3. I do. In the present embodiment, it is assumed that there are a plurality of companies 1 and counseling companies 2. On the other hand, in the present embodiment, the ID management company 3 is assumed to be an agency or a company independent of the company 1 or the counseling company 2 that has a public nature in its business.
Hereinafter, each configuration will be described.
[0032]
[Company / Client company server]
The company 1 has contracted with a counseling company 2 for the welfare of the employee U of the company 1 so that the employee U of the company 1 can be counseled by the counselor C. Further, it is assumed that the company 1 has also contracted with the ID management company 3 to prevent leakage of personal information of the employee U (for protection of personal information and privacy).
[0033]
The client company server 100 of the company 1 shown in the lower left of FIG. 1 has a function of authenticating the employee U in response to the employee U accessing the client company server 100 using the employee terminal UT or the like. Further, it has a function of generating an initial ID for the employee U to log in to the ID management company server 300, which is a computer of the ID management company 3, and issuing (notifying) it to the employee U (employee terminal UT). Further, it has a function of associating an initial ID with an ID (employee ID) for uniquely identifying an employee U in a company, such as an employee number. In addition, the client company server 100 has a function of notifying the ID management company 3 (ID management company server 300) of a list (first identifier list) of initial IDs paid out (notified) to the employee U. Further, a function is provided for setting a first period (initial ID issuance period) in which the initial ID is issued to the employee U and issuing (notifying) the initial ID to the employee U during this period. The client company server 100 has a function of issuing (notifying) a company ID unique to each company 1 notified from the counseling company 2 to the employee U.
[0034]
Therefore, the client company server 100 has an authentication unit 110 for uniquely authenticating the employee U who logs in with an employee ID and a password (not shown). Further, the client company server 100 issues (notifies) an initial ID to the authenticated employee U during the initial ID issuance period, and manages (stores / retrieves) at least the “employee ID” and the “initial ID” in association with each other. The ID management unit 120 for reading out the data is provided. The ID management unit 120 notifies the employee U of the company ID before the initial ID issuance period. Further, the client company server 100 has a storage device (not shown) (not shown) for storing a company management table 130 in which at least “employee ID” and “initial ID” are associated with each other. The password may be previously distributed by the company 1 to the employee U, or may be changed based on the password distributed by the employee U.
Incidentally, the company 1 (client company server 100) can refer to the personal information (name, department, position, etc.) of the employee U from the initial ID (initial ID → employee ID → user's personal information).
[0035]
[Counseling service / Counseling service server (service providing server)]
The counseling company 2 has contracted with the company 1 and the ID management company 3. Then, a counselor (including an occupational physician) who has contracted with the counseling company 2 for the employee U of the company 1 via the communication network performs counseling, and aims at mental health care of the employee U of the company 1.
[0036]
The counseling company server 200 of the counseling company 2 shown in the center of FIG. 1 issues (notifies) an ID (company ID) for the counseling company 2 to uniquely identify the company 1 to the company 1 and the ID management company 3. Has functions. In addition, for example, there is a function (login function) for authenticating the employee U who is a user accessing from the employee terminal UT by using the company ID and an ID (login ID) for identifying the employee U. Further, it has a function of managing the “company ID” and the “login ID” in association with each other. In addition, it has a function of issuing a password (“password” in the claims) required when logging in to the counseling agent server 200 to the employee U.
[0037]
Therefore, as shown in FIG. 1, the counseling company server 200 authenticates the employee U with the login ID and the company ID, and after issuing a password described later, authenticates the employee U with the login ID and the password. 210. Further, the counseling company server 200 issues a company ID to the company 1 and the ID management company 3 and a password to the employee U, and at least “company ID”, “login ID”, “password”, and “pointer to the counseling result”. It has an ID management unit 220 for managing the four elements in association with each other. The counseling company server 200 stores a counseling company ID management table 230 that associates at least four elements of “company ID”, “login ID”, “password”, and “pointer to counseling result”. Not having storage. The counseling company server 200 corresponds to a service providing server that provides a service to the client company server 100 or the employee terminal UT.
[0038]
Incidentally, the counseling company 2 (counseling company server 200) indicates what counseling was performed by the employee U corresponding to the login ID (contents of the counseling), and “the pointer to the counseling result” in the counseling company ID management table 230. It can be referred to based on Here, the login performed by the employee U using the login ID and the company ID is positioned as a temporary login for issuing a password.
[0039]
The counseling company 200 contracts with a plurality of counselors C and provides an environment and tools for performing online counseling to the employee U, such as e-mail and video chat, to the counselor C. The video chat function and the like may be provided in a computer other than the counseling company server 200. Further, the counseling company may further cooperate with a plurality of other counseling companies 2 (counselor C) to execute the counselor 2 intermediary business for the company 1. Company 1 contracts with counseling company 2 to provide employee U with online counseling and mental health care as part of benefits. This counseling or the like corresponds to “providing a service” in the claims. The term “mediation of provision” in the claims corresponds to, for example, the counseling company server 200 introducing the counselor C.
[0040]
[ID management company / ID management company server (anonymization device)]
The ID management company 3 contracts with the company 1 and the counseling company 2 and manages the ID related to the employee U. This ID management company 3 (ID management company server 300) is characteristic of the present embodiment.
[0041]
The ID management company server 300 shown in the center of FIG. 1 is necessary when the employee U logs in to the computer of the counseling company 2 (counseling company server 200) after authenticating the employee U with the initial ID and the company ID. It has a function of generating an identifier (login ID) and issuing (notifying) it to the employee U. In addition, it has a function of associating and managing “company ID”, “initial ID”, and “login ID”. In addition, it has a function of notifying the counseling company 2 (counseling company server 200) of a list of login IDs issued to the employee U. Further, a function is provided for setting a period during which the login ID is issued to the employee U (login ID issuance period) and issuing (notifying) the login ID to the employee U during this period.
[0042]
For this reason, the ID management company server 300 has an authentication unit 310 for uniquely authenticating employees based on the initial ID and the company ID. Also, the ID management company server 300 issues a login ID to the authenticated employee U during the login ID issuance period, and manages the three elements of the company ID, the initial ID, and the login ID in association with each other. It has a unit 320. In addition, the ID management company server 300 has a storage device (not shown) that stores an ID management company table 330 that stores three of the company ID, the initial ID, and the login ID in association with each other.
[0043]
[Description of operation]
Next, the operation until the employee U is provided with the counseling service by the above-described online service system will be described with reference to FIGS. 2 to 4 (see FIG. 1 as appropriate). FIG. 2 is a sequence diagram cited for explaining operations up to the start of service provision. FIGS. 3A and 3B are diagrams showing a notification sent to an employee terminal, wherein FIG. 3A shows a notification of a company ID and others, FIG. 3B shows a notification that a login to the ID management company server is possible, and FIG. 3C shows a counseling company. Indicates a notice that the server can log in. FIG. 4 is a diagram showing a password notification made to the employee terminal.
[0044]
The counseling company 2 contracted with the company 1 and the ID management company 3 generates a company ID unique to the company 1 (S11), and notifies the company 1 and the ID management company 3 of this (S12, S13). This company ID is assumed to be notified by e-mail. For example, by giving the counseling company server 200 a WWW (World Wide Web) server function, the company ID is disclosed on the Web, and the company 1 Alternatively, a notification may be made to the person in charge of the ID management company 3 by browsing the information using a personal computer or the like. The company ID may be notified by mail or the like, or may be notified by facsimile or the like. Note that the company ID is required together with the initial ID when the employee U logs in to the ID management company server 300, and is required together with the login ID when the employee U logs in to the counseling company server 200 (temporary login).
[0045]
Incidentally, the employee U has (1) that the company 1 has a contract with the counseling company 2 so that the employee U can receive counseling by the counselor C, and (2) the anonymity of the information of the employee U. The company 1 has contracted with the ID management company 3 for security and privacy protection of the employee U, and before the employee U receives counseling, the login ID for logging in from the ID management company 3 to the counseling company server 200 is provided. It is assumed that it is necessary to receive notification (issuance) in advance.
[0046]
The company 1 notifies (notifies) the notified (acquired) company ID to the employee U by e-mail or the like (S14), but, for example, makes the client company server 100 have a WWW server function and publishes it on the Web. Alternatively, the company ID may be notified by causing the employee U to browse.
[0047]
The company 1 that has notified the employee U of the company ID determines a predetermined period (first period = initial ID issuance period) T1 for the employee U to acquire the initial ID, and sets this in the client company server 100 ( First period setting, S15).
The initial ID issuance period T1 and the URL (Uniform Resource Locator) of the client company server 100 are notified to the employee U from the company 1 together with the company ID at the time of notification of the company ID in step S14. (See FIG. 3A). The notification of the company ID in FIG. 3A is displayed on the screen of the employee terminal UT, thereby prompting access to the client company server 100 (logging in). Incidentally, it is assumed that when the URL shown in FIG. 3A is clicked, a screen (not shown) for logging in to the client company server 100 is displayed on the employee terminal UT.
[0048]
The employee U notified of the company ID accesses the client company server 100 from the employee terminal UT within the initial ID issuance period T1, and after the authentication by the authentication unit 110 is completed (authentication with the employee ID), is generated by the ID management unit 120. The obtained initial ID is obtained (S16, S17).
Here, as shown in FIG. 1, the initial ID is not notified to the counseling company 2. Therefore, even if the company 1 and the counseling company 2 collude, it is not possible to specify who the employee U uses the service (receives counseling). That is, the counseling company 2 cannot associate the information of the employee U in the company 1 with the information of the employee U in the counseling. If the initial ID issuance period T1 is set, the application will be dispersed if the period is not set, and it will be relatively easy to identify individuals. However, if the period is set, the applications will be concentrated, so that the application will be concentrated. Is difficult to identify.
[0049]
After the end of the initial ID issuance period T1, the company 1 (the client company server 100) transmits the initial ID list in which the initial IDs are listed to the ID management company server 300 (the ID management company 3) in a lump (S18). Note that, in order to more surely anonymize the information of the employee U, the information of the employee ID corresponding to the initial ID is not transmitted. The transmission of the initial ID list may be performed by e-mail, mail, or the like. Further, it may be performed by facsimile or the like. Note that the initial ID list is stored in a storage unit (not shown) of the ID management agent server 300 (corresponding to “a step of storing a first identifier”).
[0050]
Next, the ID management company 3 determines a predetermined period (second period = login ID issuance period) T2 for the employee to acquire the login ID, and sets this in the ID management company server 300 (second period). Setting of period, S19). The ID management company 3 (ID management company server 300) notifies the company 1 (client company server 100) that the login to the ID management company server 300 is possible (login enabled notification) (S20). The reason why the login ID issuance period T2 is set is, for example, to make it difficult to identify an individual, similarly to the reason for setting the initial ID issuance period T1.
[0051]
In step S20, the company 1 (the client company server 100) that has received the log-in notice notifies the employee U of a log-in notice (see FIG. 4B) indicating that the log-in is possible to the ID management agent server 300. (S21). The log-in notification to the ID management company server 300 can be performed by e-mail or the like in the same manner as the notification of the company ID. 3B is displayed on the screen of the employee terminal UT, thereby prompting the employee U to access (log in to) the ID management company server 300. It is. Incidentally, when the URL described in FIG. 3B is clicked, a screen (not shown) for inputting the initial ID and the company ID and logging in to the ID management server 300 is displayed on the employee terminal UT. (Corresponding to "a step of displaying a screen for logging in to the third computer by inputting the first identifier").
[0052]
The employee U who has received the login enable notification logs in to the ID management company server 300 from the employee terminal UT within the login ID issuance period T2, and after the authentication by the authentication unit 310 is completed, is generated by the ID management unit 320 (S22). A login ID is obtained (S23). In this embodiment, the employee terminal UT used by the employee U to obtain the login ID does not need to be equipped with a dedicated application. Therefore, the employee terminal UT may not be a business terminal, but may be a PC at home, a PC installed in an Internet cafe, or a mobile device. After the elapse of the login ID obtainable period T2, the ID management company server 300 that has generated and issued the login ID sends the login ID list (combined for each company ID unit) to the counseling company server 200 (counseling company 2). They are transmitted collectively (S24).
[0053]
Note that the login ID is not notified to the company 1 as shown in FIG. Further, as described above, the initial ID is not notified to the counseling company 2. Therefore, even if the company 1 and the counseling company 2 collude, the company 1 cannot know which employee U has received any counseling. Further, the company 1 cannot know which employee U has logged in to the counseling company server 200.
[0054]
The counseling company 2 (counseling company server 200), which has received the login ID list from the ID management company 3 (ID management company server 300), stores this in a storage unit (not shown) of the counseling company server 200 and notifies the user of the log-in (see FIG. 4 (c)) is performed for the company 1 (client company server 100) (S25). The company 1 (client company server 100) sends a log-in notice to the employee U, which is a notice that the log-in to the counseling company server 200 is possible (S26). The log-in notice to the counseling company server 200 can be made by e-mail or the like. 4C is displayed on the screen of the employee terminal UT, thereby prompting the employee U to access (log in) the counseling company server 200. By the way, if the URL described in FIG. 3C is clicked, a screen (not shown) for logging in to the counseling agent server 200 by inputting a login ID and a company ID or a login ID and a password is input. Is displayed on the employee terminal UT (corresponding to "inputting a second identifier and displaying a screen for logging in to the second computer").
[0055]
The employee U, which has received the notice of being able to log in to the counseling company server 200 in step S26, operates the employee terminal UT such as a personal computer, and obtains the login ID notified (acquired) in step S23 and the company notified in step S14. The user logs in to the counseling company server 200 using the ID (S27). Note that this login is positioned as a temporary login for issuing a password. In the counseling agent server 200, after the authentication by the authentication unit 210 is completed (after login), a password is generated by the ID management unit 220 (S28). Then, the password is notified from the counseling company server 200 to the employee terminal UT (S29). FIG. 4 is an example of a password notification displayed on the employee terminal UT. As shown in FIG. 4, the password is notified to the employee U. The employee U may be allowed to set his or her favorite password.
[0056]
If the employee U who has been notified of the password wants to receive counseling, he or she can log on to the counseling company server 200 using the login ID and the password to receive counseling (online service) by counselor C (service start, S30). ). Thereafter, as shown in parentheses in FIGS. 1 and 2, the employee U can log in to the counseling company server 200 using the login ID and the password, and can receive an online service.
[0057]
In this configuration, information (personal information) of employee U in company 1 is anonymized by the initial ID (and employee ID), and information (personal information) of employee U in counseling is anonymized by the login ID (FIG. 1). (See the counseling company management table 230). The correspondence between the initial ID and the login ID is managed by an ID management company 3 independent of the company 1 and the counseling company 2. Therefore, the company 1 (and the third party) cannot associate the personal information of the employee U in the company 1 with the personal information of the employee U in the counseling. This is the same for the counseling company 2.
[0058]
That is, even if the employee U receives counseling, the company 1 does not know the login ID for logging in to the counseling agent server 200, and therefore cannot know which employee U has received what kind of counseling. On the other hand, the counseling company 2 does not know the employee ID of the employee U who has received the counseling, and therefore cannot specify the employee U who has received the counseling. Further, since the ID management company 3 of the present embodiment is an entity that only manages IDs (company ID, initial ID, login ID), independent of the company 1 and the counseling company 2, the individual of the employee U Neither information nor counseling content is known. That is, according to the online service system of the present embodiment, the information (personal information) and the privacy of the employee U are strongly protected.
[0059]
Further, since the employee U is managed by the identifier, it is not necessary to install a dedicated application on the employee terminal UT. Therefore, unlike the technology using the electronic certificate, the employee U can use the service from any terminal. Of course, it is also possible to use an electronic signature and an encryption technique together.
[0060]
It should be noted that no matter which two of the company 1, the counseling company 2 and the ID management company 3 collude, the employee U who has received the counseling cannot be specified unless the remaining one entity leaks information. Incidentally, in the present embodiment, the company ID is used, but this company ID is generated for each company 1 by the counseling company 2. For this reason, the counseling company 2 knows which employee 1 of which login ID belongs to which company 1 (this is used for connectable anonymization described below).
[0061]
[Consolidation anonymization]
By the way, in an emergency or the like, if it is necessary to identify the employee U who has received counseling from a legal and social point of view, the company 1, the counseling company 2 and the ID management company 3 can all cooperate with each other. Relationship between counseling contents and login ID (relationship between login ID and company ID) → “Relationship between login ID and initial ID” → “Relationship between initial ID and employee ID” → “Employee ID and individual of employee U” By sequentially tracking "relation with information", the employee U can be specified.
[0062]
An example of the flow of determining the employee U by the anonymization of connection possibility will be described with reference to the sequence diagram of FIG. At this time, information in the tables 130, 230, and 330 stored in the servers 100, 200, and 300 is used.
[0063]
First, the counseling company 2 (counselor C) who has provided counseling determines whether or not the content of the counseling of the employee U is related to human life (S41). If it is determined that it does not affect human life or the like (No), the process of specifying the employee U is stopped (S42). When it is determined that the contents of the counseling are related to human life or the like (Yes), the following processing is performed. That is, since the login ID, the counseling result, and the company ID are associated with each other in the counseling company management table 230, the login ID is specified based on the contents (data) of the counseling, and the company ID is further determined based on the login ID. To identify. Then, the contact information of the company 1 is determined based on the company ID (S43). As described above, since the company ID is generated by the counseling company 2 for each company 1, the counseling company 2 immediately determines which company 1 to contact based on the correspondence between the company 1 and the company ID. I understand.
[0064]
After determining the contact information of the company 1, the counseling company 2 notifies the ID management company 3 (ID management company server 300) of the fact (S44). At the time of this notification, it is assumed that the login ID of the employee U determined to be related to human life and the like and the contents of the counseling are also notified. On the other hand, the company 1 is also notified of this (S45), and requests the company 1 to consent to link the anonymized information. At the time of this notification, the contents of the counseling of the employee U who is determined to be related to human life and the like shall also be notified.
[0065]
The company 1 examines the contents of the counseling and determines whether or not it involves human life (S46). If it determines that it does not involve human life (No), it stops the processing (S47). At this time, the counseling company 2 and the ID management company 3 are notified (notified) to that effect, and the process of specifying the employee U is stopped. On the other hand, if it is determined that the request is related to human life or the like (Yes), the ID management company 3 is notified of the agreement (S48).
[0066]
The ID management company 3 notified in step S48 searches the ID management company management table 330 based on the login ID notified from the counseling company 2 in step S44, and specifies the initial ID corresponding to the login ID ( S49). Then, the initial ID is notified to the company 1 (S50).
[0067]
In the company 1, the initial ID and the employee ID are associated with each other by the enterprise management table 130 of the client company server 100. Therefore, the employee ID is specified based on the initial ID, and the employee U is identified based on the employee ID. Identify contacts. It is assumed that the company 1 has a contact list of the employee U associated with the employee ID.
[0068]
When the contact information of the employee U is determined in this manner, for example, the company 1 can contact an appropriate place such as the police, fire department, health center, and administration according to the contents of the counseling. Of course, the employee U can also be contacted. Therefore, the company 1 can take measures to prevent the suicide of the employee U, for example.
[0069]
[Contract Relationship]
FIG. 6 is a diagram illustrating an example of the contract relationship of each entity in the present embodiment.
Employee U has an employment contract with company 1 and counselor C has an employment contract with counseling company 2. The company 1 concludes a service use contract with the counseling company 2 and pays the service fee to the counseling company 2. Further, the company 1 terminates the service use contract with the ID management company 3 and pays the service fee to the ID management company 3. Thereby, the ID management company 3 can make a profit. As shown in FIG. 6, it is also possible for the counseling company 2 to contract with the company 1 as a base (contact point) for the other counseling companies 2A, 2B, 2C.
[0070]
The present invention described above is not limited to the above-described embodiment, and can be widely modified and implemented without departing from the gist of the present invention.
For example, the employee ID may also serve as the initial ID. In the above-described embodiment, in order to perform linkable anonymization, in particular, the table for the ID management company that stores the correspondence between the initial ID and the login ID is used, but the table for the ID management company is not used. As a matter of fact (that the correspondence between the initial ID and the login ID is not stored), unlinkable anonymization may be performed. It is also possible to anonymize employee information without using a company ID. Incidentally, when calculating the service charge, the company ID is useful. In addition, although the final determination of the contact information of the employee in an emergency or the like is performed by the company as a result, the information may be collected by an ID management company, and the ID management company may finally determine the information.
[0071]
Also, counseling has been described as an example, but other services, especially services that can be provided online or services that can mediate the provision of online services, such as sales and brokerage of electronic contents, goods and financial products, etc. The present invention can also be applied to mediation of sales and sales, mediation of provision and provision of services, mediation of sales and sales of real estate, and the like.
[0072]
Each server and employee terminal can be realized by a computer and a program. Further, the program can be stored in a storage medium readable by a computer. In addition, the program can be provided through a network. In addition, each computer (server) may be configured not by a single computer but by a plurality of computers and peripheral devices. Further, although the employee terminal U directly accesses and logs in to the counseling company server and receives the service from the counseling company server, the service may be provided via the client company server. Further, the first period and the second period may not be set. Also, the transmission of the IDs may not be performed collectively in the form of a list, but may be performed, for example, every time an ID is issued (generated).
[0073]
【The invention's effect】
According to the present invention described above, the following excellent effects can be obtained.
According to the first, second, seventh and eighth aspects of the present invention, the user information is anonymized by the identifier, so that it is possible to make it difficult to track the behavior of the user when providing the online service, Thereby, protection of user information and privacy is performed firmly. Further, a general terminal can be a user terminal. Further, according to the third and ninth aspects of the invention, the anonymization of the linkable connection can be reliably performed. According to the fourth aspect of the present invention, the protection of user information and the like is securely performed by the password. Further, according to the invention of claims 5 to 7, the anonymity of the user can be enhanced by the concentration of the user. According to the tenth to twelfth aspects of the present invention, it is possible to securely protect user information and privacy by anonymizing user information by a computer.
[Brief description of the drawings]
FIG. 1 is a block diagram illustrating an overall configuration of an online service system according to an embodiment.
FIG. 2 is a sequence diagram cited for describing an operation up to the start of service provision in the system of FIG. 1;
FIGS. 3A and 3B are diagrams showing a notification sent to an employee terminal, where FIG. 3A shows a company ID notification and others, FIG. 3B shows a log-in notification to an ID management company server, and FIG. Indicates a notice that the server can log in.
FIG. 4 is a diagram showing a password notification sent to an employee terminal.
FIG. 5 is a sequence diagram illustrating an example of a flow for determining an employee by anonymizing connection possibility.
FIG. 6 is a diagram illustrating an example of a contract relationship between the respective entities in the present embodiment.
[Explanation of symbols]
U… Employee (user)
UT… employee terminal (user terminal)
1… Client company, company (first organization)
100 ... Client company server (first computer)
110 ... Authentication Department
120 ... ID management unit
130 ... Management table for company
2 Counseling companies (second group)
200 Counseling agent server (second computer, service providing server)
210 ... Authentication Department
220 ... ID management unit
230 ... management table for counseling companies
3 ... ID management company (third group)
300 ... ID management company server (third computer, anonymizing device)
310 ... Authentication unit
320 ... ID management unit
330 ... ID management company management table

Claims (12)

ネットワークを介して接続された、サービスの提供を受けるユーザのユーザ端末と、このユーザが属する第１の団体の第１のコンピュータと、前記ユーザにサービスの提供又は提供の仲介をする第２の団体の第２のコンピュータと、を含んで行われるオンラインサービスにおける前記ユーザの情報を、
前記第１の団体及び第２の団体とは独立した第３の団体の第３のコンピュータと、
前記第１のコンピュータにより前記第１の団体における前記ユーザの情報と対応付けられ、かつ前記第３のコンピュータにログインする際に必要になる第１の識別子と、
前記第２のコンピュータにより前記第２の団体における前記ユーザの情報と対応付けられ、かつ当該第２のコンピュータにログインする際に必要になる第２の識別子と、
を用いて匿名化する方法であって、
前記ユーザが、前記第２の識別子を用いて、前記ユーザ端末から前記第２のコンピュータにログインすることで、前記サービスの提供又は提供の仲介を受けることができるように、
前記第３のコンピュータが、
前記第１の団体から得た、前記第１の識別子がリストしてある第１の識別子リストを記憶するステップ、
前記第１の団体により前記第１の識別子を通知されたユーザのユーザ端末からの当該第１の識別子を明示したアクセスを、前記第１の識別子リストに基づいて認証するステップ、
前記認証が成功すると、前記第２の識別子を発行して前記ユーザに通知するステップ、
を備えること、
を特徴とするオンラインサービスにおける匿名化方法。A user terminal of a user who receives a service provided via a network, a first computer of a first organization to which the user belongs, and a second organization which provides or mediates the service to the user A second computer of the above, the information of the user in the online service performed including,
A third computer of a third party independent of the first and second parties;
A first identifier that is associated with the information of the user in the first organization by the first computer, and is required when logging in to the third computer;
A second identifier associated with the information of the user in the second group by the second computer, and required when logging in to the second computer;
Anonymization method using
The user, by using the second identifier, by logging in to the second computer from the user terminal, so that the provision of the service or the mediation of the provision,
The third computer is:
Storing a first identifier list obtained from the first party, wherein the first identifier is listed;
Authenticating, on the basis of the first identifier list, access specifying the first identifier from a user terminal of the user notified of the first identifier by the first organization;
Issuing the second identifier to notify the user if the authentication is successful;
Having,
An anonymization method in an online service characterized by the following. ネットワークにより接続された、サービスの提供を受けるユーザのユーザ端末と、このユーザが属する第１の団体の第１のコンピュータと、前記ユーザにサービスの提供又は提供の仲介をする第２の団体の第２のコンピュータと、前記ユーザの情報の匿名化を行う第３の団体の第３のコンピュータと、を含んで行われるオンラインサービスにおけるユーザの情報を、
前記第１のコンピュータにより前記第１の団体における前記ユーザの情報と対応付けられ、かつ前記第３のコンピュータにログインする際に必要になる第１の識別子と、
前記第２のコンピュータにより前記第２の団体における前記ユーザの情報と対応付けられ、かつ当該前記第２のコンピュータにログインする際に必要になる第２の識別子と、
を用いて匿名化する方法であって、
前記第１の団体により前記第１の識別子を通知されたユーザのユーザ端末に、
前記第１の団体から通知された前記第１の識別子を入力して前記第３のコンピュータにログインする画面を表示するステップ、
前記第３の団体から通知された前記第２の識別子を入力して前記第２のコンピュータにログインする画面を表示するステップ、
をこの順で行うこと、
を特徴とするオンラインサービスにおける匿名化方法。A user terminal of a user who receives a service provided by a network, a first computer of a first organization to which the user belongs, and a second computer of a second organization which provides or mediates the service to the user. Information of a user in an online service performed including a second computer and a third computer of a third group that performs anonymization of the user information.
A first identifier that is associated with the information of the user in the first organization by the first computer, and is required when logging in to the third computer;
A second identifier that is associated with the information of the user in the second organization by the second computer, and is required when logging in to the second computer;
Anonymization method using
The user terminal of the user notified of the first identifier by the first organization,
Inputting the first identifier notified from the first organization and displaying a screen for logging in to the third computer;
Inputting the second identifier notified from the third group and displaying a screen for logging in to the second computer;
In this order,
An anonymization method in an online service characterized by the following. 前記第３の団体が、前記第１の識別子と前記第２の識別子との対応関係を保存することで、
前記第１の団体において前記第１の識別子に対応付けられて記憶されている前記ユーザの情報と前記第２の団体において前記第２の識別子に対応付けられて記憶されている前記ユーザの前記サービスに関する情報とを連結可能にしたこと、を特徴とする請求項１又は請求項２に記載のオンラインサービスにおける匿名化方法。The third group stores the correspondence between the first identifier and the second identifier,
The information of the user stored in the first organization in association with the first identifier and the service of the user stored in the second organization in association with the second identifier 3. An anonymization method in an online service according to claim 1, wherein information on the online service can be connected. 前記第２のコンピュータにログインすることで、前記ユーザは、前記第２のコンピュータにログインする際に必要になるパスワードを通知され又は前記パスワードの設定が可能になり、前記サービスの提供又は提供の仲介を受ける際に、この通知され又は設定したパスワードと前記第２の識別子とを明示することで前記第２のコンピュータに認証されること、を特徴とする請求項１ないし請求項３のいずれか１項に記載のオンラインサービスにおける匿名化方法。By logging in to the second computer, the user is notified of a password required to log in to the second computer or can set the password, and provides or mediates the provision of the service. 4. The method according to claim 1, wherein when receiving the password, the second computer is authenticated by specifying the notified or set password and the second identifier. Anonymization method in online service described in section. 前記第１のコンピュータにおいて、前記第１の識別子を生成して前記ユーザに通知する第１の期間が設定されていること、を特徴とする請求項１ないし請求項４のいずれか１項に記載のオンラインサービスにおける匿名化方法。5. The first computer according to claim 1, wherein a first period for generating the first identifier and notifying the user is set. Anonymization method in online services of the United States. 前記第３のコンピュータにおいて、前記第２の識別子を生成して前記ユーザに通知する第２の期間が設定されていること、を特徴とする請求項１ないし請求項５のいずれか１項に記載のオンラインサービスにおける匿名化方法。6. The third computer according to claim 1, wherein a second period for generating the second identifier and notifying the user of the second identifier is set. Anonymization method in online services of the United States. クライアント企業サーバと、１つ以上のユーザ端末と、前記クライアント企業サーバ又は前記ユーザ端末へサービスの提供又は提供の仲介をするサービス提供サーバと、前記ユーザ端末を操作するユーザの識別子を管理するＩＤ管理業者サーバと、を接続するネットワークにおいて、前記ユーザのプライバシを確保することを目的としたユーザの識別子の管理方法であって、
前記クライアント企業サーバは、
設定された第１の期間中にユーザ端末へ前記ユーザの識別子としての第１の識別子を発行する手段と、
前記第１の期間の終了後、前記第１の識別子のリストを前記ＩＤ管理業者サーバへ送信する手段と、
前記第１の識別子を管理する手段と、
を備え、
前記ＩＤ管理業者サーバは、
前記第１の識別子のリストを受信後、ログイン可能通知を前記クライアント企業サーバへ送信する手段と、
設定された第２の期間中に前記第１の識別子によって前記ユーザを認証する手段と、
前記ユーザ端末へ前記第２の識別子を発行する手段と、
前記第２の期間の終了後、前記第２の識別子のリストを前記サービス提供サーバへ送信する手段と、
前記第１の識別子及び前記第２の識別子を対応付けて管理する手段と、
を備え、
前記サービス提供サーバは、
前記第２の識別子のリストを受信後、ログイン可能通知をクライアント企業サーバへ送信する手段と、
前記第２の識別子によって前記ユーザを認証する手段と、
前記第２の識別子を管理する手段と、
前記サービスの提供又は提供の仲介をする手段と、
を備え、
この構成のもと、前記ユーザに、前記ユーザ端末を介して、前記第１の期間中に前記クライアント企業サーバにログインして前記第１の識別子を取得させ、次に、前記第２の期間中に前記ＩＤ管理業者サーバにログインして前記第２の識別子を取得させ、
このように取得させた前記第２の識別子により、前記ユーザが、前記サービス提供サーバにログインして前記サービスの提供又は提供の仲介を受けることができるようにしたこと、
を特徴とするオンラインサービスにおけるユーザの識別子の管理方法。A client company server, one or more user terminals, a service providing server that provides or mediates a service to the client company server or the user terminal, and ID management that manages an identifier of a user who operates the user terminal A method for managing a user identifier for securing the privacy of the user in a network connecting the server and the trader server,
The client company server,
Means for issuing a first identifier as an identifier of the user to a user terminal during a set first period;
Means for transmitting the list of the first identifiers to the ID manager server after the end of the first period;
Means for managing the first identifier;
With
The ID management company server,
Means for transmitting a login enable notification to the client company server after receiving the first identifier list;
Means for authenticating the user with the first identifier during a set second period;
Means for issuing the second identifier to the user terminal;
Means for transmitting the list of the second identifier to the service providing server after the end of the second period;
Means for managing the first identifier and the second identifier in association with each other;
With
The service providing server,
Means for transmitting a login enable notification to the client company server after receiving the list of the second identifier;
Means for authenticating the user with the second identifier;
Means for managing the second identifier;
Means for providing or mediating the provision of the service;
With
With this configuration, the user is allowed to log in to the client company server during the first period and obtain the first identifier via the user terminal, and then, during the second period, Log in to the ID management agent server to obtain the second identifier,
With the second identifier obtained in this way, the user can log in to the service providing server and be provided with the service or receive the mediation of the provision.
A method for managing a user identifier in an online service, characterized by: サービスの提供を受けるユーザと、このユーザが属する第１の団体の第１のコンピュータと、前記ユーザにサービスの提供又は提供の仲介をする第２の団体の第２のコンピュータと、とにより行われるオンラインサービスにおけるユーザの情報を、
前記ユーザの情報の匿名化を行う第３の団体の匿名化装置と、
前記ユーザが前記匿名化装置にログインして第２の識別子の通知を受けるために必要となる第１の識別子と、
前記ユーザが前記第２のコンピュータにログインして前記サービスの提供又は提供の仲介を受けるために必要となる前記第２の識別子と、
を用いて匿名化し、
前記第２の識別子の通知を受けた前記ユーザが、この第２の識別子を用いて前記第２のコンピュータにログインすることで、前記サービスの提供又は提供の仲介を受けることができるようにしたシステムにおける匿名化装置であって、
前記匿名化装置は、
前記第１の団体が発行した前記第１の識別子により前記ユーザの認証を行う手段と、
前記ユーザと前記第２の団体に通知する前記第２の識別子を生成する手段と、
を備えたこと、
を特徴とするオンラインサービスにおける匿名化装置。The service is provided by a user who receives the service, a first computer of a first organization to which the user belongs, and a second computer of a second organization which provides or mediates the service to the user. User information on online services,
An anonymization device of a third group that performs anonymization of the user information;
A first identifier required for the user to log in to the anonymization device and receive a notification of a second identifier;
The second identifier required for the user to log in to the second computer and receive the provision of the service or the mediation of the provision;
Anonymize using
A system in which the user who has received the notification of the second identifier logs in to the second computer using the second identifier so that the service can be provided or mediated in the provision. An anonymizing device according to
The anonymization device,
Means for authenticating the user with the first identifier issued by the first organization;
Means for generating the second identifier to notify the user and the second group;
Having,
An anonymizing device in an online service, characterized by: 前記匿名化装置が、前記第１の識別子と前記第２の識別子の対応関係を記憶装置に記憶する手段を備えたこと、を特徴とする請求項８に記載のオンラインサービスにおける匿名化装置。9. The anonymization device in an online service according to claim 8, wherein the anonymization device includes means for storing a correspondence between the first identifier and the second identifier in a storage device. コンピュータを請求項８に記載のオンラインサービスにおける匿名化装置とするため、
前記コンピュータを、
前記第１の団体が発行した前記第１の識別子により前記ユーザの認証を行う手段、
前記ユーザと前記第２の団体に通知する前記第２の識別子を生成する手段、
として機能させること、
を特徴とするオンラインサービスにおける匿名化プログラム。In order to make the computer an anonymizing device in the online service according to claim 8,
Said computer,
Means for authenticating the user with the first identifier issued by the first organization;
Means for generating the second identifier to notify the user and the second party;
Functioning as
An anonymization program for online services, characterized by: 前記コンピュータを、前記第１の識別子と前記第２の識別子の対応関係を記憶装置に記憶する手段として機能させること、を特徴とする請求項１０に記載のオンラインサービスにおける匿名化プログラム。11. The anonymization program in an online service according to claim 10, wherein the computer causes the computer to function as a unit that stores a correspondence between the first identifier and the second identifier in a storage device. 請求項１０又は請求項１１に記載のオンラインサービスにおける匿名化プログラムを記憶したことを特徴とするプログラム記憶媒体。A program storage medium storing the anonymization program in the online service according to claim 10 or 11.
JP2003128160A 2003-05-06 2003-05-06 Anonymization method, user identifier management method, anonymization device, anonymization program and program storage medium, for online service Pending JP2004334433A (en)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2003128160A JP2004334433A (en) 2003-05-06 2003-05-06 Anonymization method, user identifier management method, anonymization device, anonymization program and program storage medium, for online service

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2003128160A JP2004334433A (en) 2003-05-06 2003-05-06 Anonymization method, user identifier management method, anonymization device, anonymization program and program storage medium, for online service

Publications (1)

Publication Number Publication Date
JP2004334433A true JP2004334433A (en) 2004-11-25

Family

ID=33504413

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2003128160A Pending JP2004334433A (en) 2003-05-06 2003-05-06 Anonymization method, user identifier management method, anonymization device, anonymization program and program storage medium, for online service

Country Status (1)

Country Link
JP (1) JP2004334433A (en)

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2011022826A (en) * 2009-07-16 2011-02-03 Nippon Telegr & Teleph Corp <Ntt> Service providing system, method of managing user id, and user id management program
JP2011508332A (en) * 2007-12-28 2011-03-10 コーニンクレッカ フィリップス エレクトロニクス エヌ ヴィ Information exchange system and apparatus
JP2012018652A (en) * 2010-07-10 2012-01-26 Science Impact Co Ltd Account information transmission system
WO2012174218A2 (en) * 2011-06-17 2012-12-20 Microsoft Corporation Depersonalizing location traces
JP2016066171A (en) * 2014-09-24 2016-04-28 日本電信電話株式会社 Proxy application approval system, mediation server, and proxy application approval method

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2011508332A (en) * 2007-12-28 2011-03-10 コーニンクレッカ フィリップス エレクトロニクス エヌ ヴィ Information exchange system and apparatus
JP2011022826A (en) * 2009-07-16 2011-02-03 Nippon Telegr & Teleph Corp <Ntt> Service providing system, method of managing user id, and user id management program
JP2012018652A (en) * 2010-07-10 2012-01-26 Science Impact Co Ltd Account information transmission system
WO2012174218A2 (en) * 2011-06-17 2012-12-20 Microsoft Corporation Depersonalizing location traces
WO2012174218A3 (en) * 2011-06-17 2013-04-25 Microsoft Corporation Depersonalizing location traces
US8463289B2 (en) 2011-06-17 2013-06-11 Microsoft Corporation Depersonalizing location traces
JP2016066171A (en) * 2014-09-24 2016-04-28 日本電信電話株式会社 Proxy application approval system, mediation server, and proxy application approval method

Similar Documents

Publication Publication Date Title
Win et al. Personal health record systems and their security protection
US20020120573A1 (en) Secure extranet operation with open access for qualified medical professional
US7926089B2 (en) Router for managing trust relationships
AU1095800A (en) Remote physician authentication service
Halamka et al. A WWW implementation of national recommendations for protecting electronic health information
EP2354996A1 (en) Apparatus and method for remote processing while securing classified data
Watzlaf et al. VoIP for telerehabilitation: A risk analysis for privacy, security, and HIPAA compliance
Gritzalis et al. Technical guidelines for enhancing privacy and data protection in modern electronic medical environments
Aïmeur et al. Upp: User privacy policy for social networking sites
JP5394772B2 (en) E-mail delivery system and program
Peyton et al. Addressing privacy in a federated identity management network for ehealth
Goodner et al. Understanding ws-federation
JP2004334433A (en) Anonymization method, user identifier management method, anonymization device, anonymization program and program storage medium, for online service
Baker et al. PCASSO: applying and extending state-of-the-art security in the healthcare domain
Watzlaf et al. VoIP for telerehabilitation: A pilot usability study for HIPAA compliance
Gritzalis Enhancing privacy and data protection in electronic medical environments
Phillips Privacy vs. cybersecurity
Breeding The current state of privacy and security of automation and discovery products
Röhrig et al. Towards a Secure Web Based Health Care Application
Breeding Privacy and security for library systems
Pashalidis et al. Privacy in identity and access management systems
Fung et al. The impact of information technology in healthcare privacy
Knorr et al. Towards a secure web-based healthcare application
Chadwick et al. Experiences of using a public key infrastructure to access patient confidential data over the internet
JP2000148678A (en) Mechanism performing safe integrated processing by protecting open decentralized data base using network by ciphering