JP2006163831A - 情報管理装置、情報管理方法、情報管理プログラム、情報無効化装置および情報照合装置 - Google Patents

Abstract

【課題】情報の漏洩リスクを軽減するとともに、情報の漏洩疑義に応えること。
【解決手段】個人情報管理装置では、個人情報記憶部に個人情報を保存して管理するが、会員解除や登録内容変更などに起因して個人情報の管理が不要になった場合には、不要になった個人情報Ｘを、逆変換困難かつ衝突困難な変換関数Ｆによって別情報Ｙに変換し、当該変換後の情報Ｙを変換前の情報Ｘに代えて（個人情報Ｘを別情報Ｙに書き換えて）個人情報記憶部に格納する。さらに、個人情報管理装置では、第三者から漏洩疑義が問われている個人情報を受け付けた場合には、受け付けた個人情報Ｘを上記の変換関数Ｆによって別情報Ｙに変換し、変換後の情報Ｙが個人情報記憶部に記憶されているかを照合することで、漏洩疑義が問われている個人情報が個人情報管理装置から漏洩したものであるか否かを判別する。
【選択図】 図１

Description

この発明は、所定の情報を情報記憶手段に記憶して管理する情報管理装置、情報管理方法、情報管理プログラム、情報無効化装置および情報照合装置に関する。

近年、企業やＷＥＢサイトが管理している顧客名簿が漏洩し、顧客名簿に記載された住所やメールアドレスに対して詐欺目的の手紙やメールが送られる事件が発生している。このようにして、万が一、個人情報を漏洩させてしまった場合、企業やＷＥＢサイトは信用を失うだけでなく、損害賠償の責任を負うこともあり得る。このため、企業やＷＥＢサイトにとっては、個人情報を抱えることは大きなリスクになっている。

そして、かかる個人情報の漏洩に関するリスクを軽減することを目的として、不要になった個人情報を消去する技術が従来から知られている。例えば、特許文献１（特開２００３−１９６０６６号公報）では、印刷などの業務を受託する業者が利用するシステムであって、個人情報を含む印刷内容を受信し、受信した内容を印刷した後に、印刷内容に含まれる個人情報を記憶装置から消去する印刷システムが開示されている。この印刷システムによれば、業務受託において受け付けた個人情報がシステム内に滞留して情報漏洩の源になることが防止される。

特開２００３−１９６０６６号公報

ところで、上記した従来の技術は、個人情報を記憶装置から消去することで漏洩のリスクを回避しているが、個人情報の管理責任を負っている管理業者にとっては、個人情報を完全に消去することは好ましくない。なぜならば、第三者から「貴社の顧客名簿が流出しています。これが流出している顧客名簿です。」と言った具合に顧客情報の漏洩疑義が問われた場合に、個人情報の消去後では、提示された顧客名簿が本当に自社から流出したものであるか否かを確認できないからである。すなわち、上記した従来の技術では、情報の漏洩疑義に応えることができないという問題点があった。

そこで、この発明は、上述した従来技術の課題を解決するためになされたものであり、情報の漏洩リスクを軽減するとともに、情報の漏洩疑義に応えることが可能な情報管理装置、情報管理方法、情報管理プログラム、情報無効化装置および情報照合装置を提供することを目的とする。

上述した課題を解決し、目的を達成するため、請求項１に係る発明は、所定の情報を情報記憶手段に記憶して管理する情報管理装置であって、前記情報記憶手段に記憶された情報を所定の変換関数によって別の情報に変換し、当該変換後の情報を変換前の情報に代えて前記情報記憶手段に格納する無効化手段と、前記情報記憶手段から漏洩したものとして疑われる変換前の情報を前記変換関数によって変換し、当該変換後の情報が前記情報記憶手段に記憶されているかを照合する照合手段と、を備えたことを特徴とする。

また、請求項２に係る発明は、上記の発明において、前記無効化手段および照合手段は、逆変換困難および／または衝突困難な変換関数によって前記変換を行うことを特徴とする。

また、請求項３に係る発明は、上記の発明において、前記情報記憶手段は、当該情報記憶手段に記憶された情報が前記変換後の情報であるか否かを示す変換識別情報をさらに記憶するものであって、前記無効化手段は、前記変換後の情報を前記情報記憶手段に格納する場合に、当該情報が変換後の情報である旨を示す変換識別情報を前記情報記憶手段に格納することを特徴とする。

また、請求項４に係る発明は、上記の発明において、所定の秘密情報を記憶する秘密情報記憶手段を備え、前記無効化手段および照合手段は、前記秘密情報記憶手段に記憶された秘密情報を引数とする変換関数によって前記変換を行うことを特徴とする。

また、請求項５に係る発明は、所定の情報記憶手段に記憶された情報を無効化する情報無効化装置であって、前記情報記憶手段に記憶された情報を所定の変換関数によって別の情報に変換し、当該変換後の情報を変換前の情報に代えて前記情報記憶手段に格納する無効化手段を備えたことを特徴とする。

また、請求項６に係る発明は、照合対象として与えられた情報を照合する情報照合装置であって、所定の変換関数によって所定の情報から別の情報に変換された変換後の情報を記憶する情報記憶手段と、前記変換前に漏洩したものとして疑われる情報を前記変換関数によって変換し、当該変換後の情報が前記情報記憶手段に記憶されているかを照合する照合手段と、を備えたことを特徴とする。

また、請求項７に係る発明は、所定の情報を情報記憶手段に記憶して管理する情報管理方法であって、前記情報記憶手段に記憶された情報の無効化要求を受け付ける無効化受付工程と、前記無効化受付工程によって無効化要求を受け付けた場合に、前記情報記憶手段に記憶された情報を所定の変換関数によって別の情報に変換し、当該変換後の情報を変換前の情報に代えて前記情報記憶手段に格納する無効化工程と、前記情報記憶手段から漏洩したものとして疑われる変換前の情報を受け付ける照合受付工程と、前記照合受付工程によって受け付けた情報を前記変換関数によって変換し、当該変換後の情報が前記情報記憶手段に記憶されているかを照合する照合工程と、を含んだことを特徴とする。

また、請求項８に係る発明は、所定の情報を情報記憶手段に記憶して管理する情報管理方法をコンピュータに実行させる情報管理プログラムであって、前記情報記憶手段に記憶された情報を所定の変換関数によって別の情報に変換し、当該変換後の情報を変換前の情報に代えて前記情報記憶手段に格納する無効化手順と、前記情報記憶手段から漏洩したものとして疑われる変換前の情報を前記変換関数によって変換し、当該変換後の情報が前記情報記憶手段に記憶されているかを照合する照合手順と、をコンピュータに実行させることを特徴とする。

請求項１、７または８の発明によれば、不要になった情報を変換関数によって別の情報に変換して無効化するので、変換前の情報そのものは保存されず、情報の漏洩リスクを軽減することが可能になる。また、変換後の情報を保存する一方で、漏洩疑義がある情報を変換関数によって変換し、この変換後の情報が保存されているかを照合するので、これが保存されていなければ漏洩であると認める必要はなく、情報の漏洩疑義に応えることが可能になる。

また、請求項２の発明によれば、逆変換困難な変換関数によって変換を行うので、変換後の情報が漏洩しても、これを逆変換して変換前の情報を復元することは困難であり、情報を消去した状態と同等に情報の漏洩リスクを軽減することが可能になる。また、衝突困難な変換関数によって変換を行うので、変換後の情報が他の変換後の情報と同一になる事態が回避され、漏洩疑義がある情報が本当に漏洩されたものであるか否かを誤りなく照合でき、的確に情報の漏洩疑義に応えることが可能になる。

また、請求項３の発明によれば、変換後の情報であるか否かを示す変換識別情報を合わせて保存するので、各情報が変換前であるか変換後であるかを判別することができ、例えば、記憶している情報を一括で全て変換するのみならず、一部の情報のみを変換することや、一部を変換後に残りの全てを変換するなど、任意のタイミングかつ範囲で情報の無効化を行うことが可能になる。

また、請求項４の発明によれば、秘密情報を引数とする変換関数によって変換を行うので、秘密情報がなければ変換は困難であり、変換後の情報が漏洩しても、第三者による照合を防止することが可能になる。

また、請求項５の発明によれば、不要になった情報を変換関数によって別の情報に変換して無効化するので、変換前の情報そのものは保存されず、情報の漏洩リスクを軽減することが可能になる。また、変換後の情報を保存するので、例えば、漏洩疑義がある情報を受け付けて変換関数によって変換し、この変換後の情報が保存されているかを照合することができ、これによって、変換後の情報が保存されていなければ漏洩であると認める必要はなく、情報の漏洩疑義に応えることも可能になる。

また、請求項６の発明によれば、不要になった情報を変換関数によって別の情報に変換して保存するので、変換前の情報そのものは保存されず、情報の漏洩リスクを軽減することが可能になる。また、漏洩疑義がある情報を変換関数によって変換し、この変換後の情報が保存されているかを照合するので、これが保存されていなければ漏洩であると認める必要はなく、情報の漏洩疑義に応えることが可能になる。

以下に添付図面を参照して、この発明に係る情報管理装置、情報管理方法、情報管理プログラム、情報無効化装置および情報照合装置の実施例を詳細に説明する。なお、以下では、実施例１に係る個人情報管理装置を説明した後に、本発明に含まれる他の実施例を実施例２として説明する。

以下の実施例１では、実施例で用いる主要な用語を説明した後に、実施例１の概要および特徴、実施例１に係る個人情報管理装置の構成、無効化処理の手順、照合処理の手順、実施例１の効果等を説明する。

［用語の説明（実施例１）］
最初に、本実施例で用いる主要な用語を説明する。本実施例で用いる「個人情報」とは、企業やＷＥＢサイトにおいて漏洩対策が講じられる情報の一種であり、例えば、姓、名、住所、電話番号、メールアドレスなどがこれに該当する。そして、本実施例で用いる「個人情報」は、現に顧客管理などに用いられている個人情報（個人情報管理装置に保存されている個人情報）と、第三者から漏洩疑義が問われている個人情報（個人情報管理装置から漏洩したものであると疑われて持ち込まれる個人情報）とに分けられる。

また、本実施例で用いる「変換関数」とは、上記した個人情報を別情報に変換するための関数であって、例えば、逆変換困難性および衝突困難性を有する鍵付きハッシュ関数などがこれに該当する。ここで、変換関数をＦ、変換前の個人情報をＸ、変換後の個人情報（別情報）をＹとそれぞれ表記すると、「逆変換困難性」とは、Ｆ（Ｘ）＝Ｙとなる値Ｘを値Ｙから逆算することが困難なことを意味する。また、「衝突困難性」とは、Ｆ（Ｘ１）＝Ｆ（Ｘ２）＝Ｙとなる異なる複数の値Ｘ１、Ｘ２を見つけることが困難なこと、言い換えれば、異なる値Ｘ１、Ｘ２から同一の値Ｙに変換されることがほとんどないことを意味する。

［概要および特徴（実施例１）］
続いて、図１を用いて、実施例１の概要および特徴を説明する。図１は、実施例１の概要および特徴を説明するための図である。実施例１に係る個人情報管理装置は、例えば、企業やＷＥＢサイトなどによって利用されるものであって、顧客名簿に含まれる個人情報を個人情報記憶部に記憶して管理することを概要とする。つまり、姓、名、住所、電話番号、メールアドレスなどの個人情報を個人情報記憶部に保存することで顧客を管理する。

そして、この実施例１に係る個人情報管理装置は、以下に簡単に説明する「無効化処理」および「照合処理」によって、個人情報の漏洩リスクを軽減すると同時に、個人情報の漏洩疑義に応えることを可能にしている点に主たる特徴がある。すなわち、個人情報管理装置では、図１に示すように、個人情報記憶部に個人情報を保存して管理するが、会員解除や登録内容変更などに起因して個人情報の管理が不要になった場合には、「無効化処理」として、同図に示すように、不要になった個人情報Ｘを、逆変換困難かつ衝突困難な変換関数Ｆによって別情報Ｙに変換し、当該変換後の情報Ｙを変換前の情報Ｘに代えて（個人情報Ｘを別情報Ｙに書き換えて）個人情報記憶部に格納する。

さらに、実施例１に係る個人情報管理装置では、第三者から漏洩疑義が問われている個人情報を受け付けて、これが個人情報管理装置から漏洩したものであるか否かを照合する。つまり、漏洩疑義がある個人情報Ｘを受け付けた場合には、「照合処理」として、図１に示すように、受け付けた個人情報Ｘを上記の無効化処理に用いた変換関数Ｆによって別情報Ｙに変換し、変換後の情報Ｙが個人情報記憶部に記憶されているかを照合する。そして、かかる照合の結果、変換後の情報Ｙが個人情報記憶部にある場合には、漏洩疑義が持たれた個人情報は個人情報管理装置から漏洩したものである旨が認められ、その一方、変換後の情報Ｙが個人情報記憶部にない場合には、漏洩疑義が持たれた個人情報は個人情報管理装置から漏洩したものでない旨が認められる。

このように、実施例１に係る個人情報管理装置では、不要になった個人情報を変換関数によって別の情報に変換して無効化するので、変換前の個人情報そのものは保存されず、上記した主たる特徴の如く、個人情報の漏洩リスクを軽減することが可能になる。また、変換後の情報を保存する一方で、漏洩疑義がある個人情報を変換関数によって変換し、この変換後の情報が保存されているかを照合するので、これが保存されていなければ漏洩であると認める必要はなく、上記した主たる特徴の如く、個人情報の漏洩疑義に応えることが可能になる。

［個人情報管理装置の構成（実施例１）］
続いて、図２〜図５を用いて、実施例１に係る個人情報管理装置の構成を説明する。図２は、実施例１に係る個人情報管理装置の構成を示すブロック図であり、図３は、個人情報記憶部に記憶される情報（変換前の個人情報）の例を示す図であり、図４は、個人情報記憶部に記憶される情報（変更後の別情報）の例を示す図であり、図５は、照合鍵記憶部に記憶される情報の例を示す図である。

図２に示すように、実施例１に係る個人情報管理装置１０は、入力部１１と、出力部１２と、入出力制御ＩＦ部１３と、記憶部１４と、制御部１５とを所定の配線で接続して構成される。以下に、これらの各部の処理を説明する。

入力部１１は、各種の情報を入力する入力手段であり、キーボードやマウス、マイクなどによって構成され、例えば、無効化要求に係る情報（例えば、無効化対象となるテーブル名を特定するための情報）や、照合要求に係る情報（例えば、漏洩疑義がある個人情報）などを受け付けて入力する。なお、後述するモニタ（出力部１２）も、マウスと協働してポインティングディバイス機能を実現する。

出力部１２は、各種の情報を出力する出力手段であり、モニタ（若しくはディスプレイ、タッチパネル）やスピーカなどによって構成され、例えば、無効化要求に対する処理結果（無効化成功もしくはエラー）や、照合要求に対する処理結果（漏洩の有無）などを出力する。そして、入出力制御ＩＦ部１３は、これら入力部１１および出力部１２によるデータの入出力を制御する手段であり、例えば、後述する制御部１５の無効化部１５ａや照合部１５ｃを起動する役割などを有する。なお、これらを起動する手段としては、いわゆる「シェル（ｓｈｅｌｌ）」と呼ばれる、コンピュータのコマンド受付プログラムでもよく、あるいは、無効化要求や照合要求を行う管理者（操作者）に出力部１２を介してＷＥＢ画面を提供し、かかるＷＥＢ画面で入力された情報に従って、制御部１５の無効化部１５ａや照合部１５ｃに対応する実行コマンドを起動するプログラムでもよい。

記憶部１４は、制御部１５による各種処理に必要なデータおよびプログラムを記憶する記憶手段（格納手段）であり、特に本発明に密接に関連するものとしては、図２に示すように、個人情報記憶部１４ａと、照合鍵記憶部１４ｂとを備える。ここで、個人情報記憶部１４ａは特許請求の範囲に記載の「情報記憶手段」に対応し、照合鍵記憶部１４ｂは同じく「秘密情報記憶手段」に対応する。

このうち、個人情報記憶部１４ａは、変換前の個人情報や変換後の別情報を記憶する手段であり、具体的には、図３や図４に例示するように、複数の個人に係るレコードをリレーショナルデータベースのテーブル形式で保存して構成される。なお、各個人のレコードは、同図に例示するように、姓（Last Name）、名（First Name）、住所（Address）、電話番号（TEL）、電子メールアドレス（E-mail）など、複数のフィールドで構成される。

ここで、図３および図４に示したテーブルは、同一のものであり、図３に示したテーブルは、変換前の個人情報を保存している状態を示す。その一方、図４に示したテーブルは、図３に示したテーブルの各情報が変換関数によって別情報に変換された後のテーブルであり、変換前の個人情報を変換後の情報に書き換えて保存している状態を示す。つまり、本実施例では、個人情報記憶部１４ａのテーブル単位で無効化要求を受け付けるが、個人情報記憶部１４ａの所定テーブルに記憶された個人情報が別情報に変換（無効化）された場合には、同じテーブルの同じフィールドに変換後の別情報を上書き保存する。

また、照合鍵記憶部１４ｂは、変換関数に用いる秘密情報を記憶する手段であり、具体的には、図５に例示するように、個人情報記憶部１４に記憶された個人情報の所定範囲（本実施例では、テーブル）ごとに、各範囲に記憶された個人情報の無効化に用いる照合鍵を記憶して構成される。なお、照合鍵記憶部１４ｂに照合鍵を登録するタイミングであるが、記憶部１４に照合鍵記憶部１４ｂを生成した時点や、所定範囲の個人情報を最初に無効化した時点など、あらゆるタイミングで照合鍵を登録してもよい。

図２に戻ると、制御部１５は、各種の処理手順を規定したプログラムや制御データを格納するための内部メモリを有し、これらによって種々の処理を実行する制御手段であり、特に本発明に密接に関連するものとしては、同図に示すように、無効化部１５ａと、変換部１５ｂと、照合部１５ｃとを備える。ここで、無効化部１５ａは特許請求の範囲に記載の「無効化手段」に対応し、照合部１５ｃは同じく「照合手段」に対応する。

このうち、変換部１５ｂは、無効化処理や照合処理において、逆変換困難および衝突困難な変換関数によって入力情報（無効化要求に係る個人情報や、照合要求に係る個人情報）を別情報に変換する処理部である。ここで、変換関数は、照合鍵記憶部１４ｂから取得した照合鍵と入力情報である個人情報とを引数とする鍵付きハッシュ関数であり、例えば、ＨＭＡＣ−ＳＨＡ１関数を用いることができるが、必ずしもこれに限定されるものではなく、逆変換困難および衝突困難な変換関数であれば他の変換関数でもよい。

無効化部１５ａは、個人情報記憶部１４ａに記憶された個人情報を変換部１５ｂによって別情報に変換し、変換後の別情報を変換前の個人情報に代えて個人情報記憶部１４ａに格納する処理部である。なお、無効化部１５ａによる無効化処理の詳細は図６を用いて後に説明する。

照合部１５ｃは、漏洩疑義がある個人情報を変換部１５ｂによって別情報に変換し、変換後の別情報が個人情報記憶部１４ａに記憶されているかを照合する処理部である。なお、照合部１５ｃによる照合処理の詳細は図７を用いて後に詳述する。

なお、上記した個人情報管理装置１０は、既知のパーソナルコンピュータ、ワークステーション、携帯電話、ＰＨＳ端末、移動体通信端末またはＰＤＡなどの情報処理装置に、上記した記憶部１４および制御部１５の各機能を搭載することによって実現することもできる。

［無効化処理（実施例１）］
続いて、図６を用いて、実施例１による無効化処理の手順を説明する。図６は、無効化処理手順の流れを示すフローチャートである。

同図に示すように、個人情報管理装置１０では、入力部１１を介して管理者から無効化要求を受け付けると（ステップＳ１肯定）、以下に説明する無効化処理を実行する。ここで、本実施例では、無効化対象となるテーブル名を入力させることで、無効化要求の受け付けを行う。

かかる無効化要求に応じて無効化部１５ａが起動すると、無効化部１５ａは、無効化要求に対応する照合鍵（すなわち、無効化要求で入力されたテーブル名に対応する照合鍵）を照合鍵記憶部１４ｂから取得するとともに（ステップＳ２）、無効化要求に係る個人情報（すなわち、無効化要求で入力されたテーブル名のテーブルに保存されている個人情報）を個人情報記憶部１４ａから取得する（ステップＳ３）。なお、ステップＳ２およびＳ３の実行順序は逆であってもよい。

そして、無効化部１５ａは、ステップＳ２で取得した照合鍵およびステップＳ３で取得した個人情報を変換部１５ｂに入力することで、照合鍵を引数とする変換関数によって個人情報を別情報に１フィールドごと変換し（ステップＳ４）、変換前の個人情報を変換後の別情報に書き換えて個人情報記憶部１４ａに格納する（ステップＳ５）。

続いて、無効化部１５ａは、無効化要求に係る個人情報を全て変換したか否かを判定し（ステップＳ６）、未だ全てを変換していない場合には（ステップＳ６否定）、ステップＳ４に戻って、未だ変換されていない個人情報を別情報に変換し（ステップＳ４）、変換後の別情報を個人情報記憶部１４ａに書き換え格納する（ステップＳ５）。

そして、無効化要求に係る個人情報を全て変換した場合には（ステップＳ６肯定）、無効化部１５ａは、実行結果（無効化成功もしくはエラー）を出力部１２から出力して無効化処理を終了する（ステップＳ７）。上記した無効化処理を行うことで、例えば、図３に例示した個人情報記憶部１４ａのテーブルは、図４に示すように、各レコードの各フィールドにおいて別情報に書き換えられる。

［照合処理（実施例１）］
続いて、図７を用いて、実施例１による照合処理を説明する。図７は、照合処理手順の流れを示すフローチャートである。

同図に示すように、個人情報管理装置１０では、入力部１１を介して管理者から照合要求を受け付けると（ステップＳ１１肯定）、以下に説明する照合処理を実行する。ここで、本実施例では、テーブル名および要素種別（姓、名、住所、電話番号、電子メールアドレスの区別）に対応付けて、照合情報（漏洩疑義がある個人情報）を入力させることで、照合要求の受け付けを行う。

かかる照合要求に応じて照合部１５ｃが起動すると、照合部１５ｃは、照合要求に対応する照合鍵（すなわち、照合要求で入力されたテーブル名に対応する照合鍵）を照合鍵記憶部１４ｂから取得する（ステップＳ１２）。

そして、照合部１５ｃは、ステップＳ１２で取得した照合鍵およびステップＳ１１で入力された個人情報を変換部１５ｂに入力することで、照合鍵を引数とする変換関数によって個人情報を別情報に１フィールドごと変換し（ステップＳ１３）、変換後の別情報が個人情報記憶部１４ａの対応箇所（照合要求で入力されたテーブル名および要素種別に対応する箇所）に記憶されているかを照合する（ステップＳ１４）。

続いて、照合部１５ｃは、照合要求に係る個人情報を全て変換したか否かを判定し（ステップＳ１５）、未だ全てを変換していない場合には（ステップＳ１５否定）、ステップＳ１３に戻って、未だ変換されていない個人情報を別情報に変換し（ステップＳ１３）、変換後の別情報が個人情報記憶部１４ａの対応箇所に記憶されているかを照合する（ステップＳ１４）。なお、照合要求に係る個人情報を全て変換した後に、変換後の別情報それぞれが個人情報記憶部１４ａの対応箇所に記憶されているかを照合するなど、ステップＳ１４およびＳ１５の実行順序は逆であってもよい。

そして、照合要求に係る個人情報を全て変換した場合には（ステップＳ１５肯定）、照合部１５ｃは、実行結果（変換後情報の有無）を出力部１２から出力して照合処理を終了する（ステップＳ１６）。具体的には、実行結果の出力として、ステップＳ１３で変換された別情報が個人情報記憶部１４ａに保存されているか否かを個人情報ごとに出力し、また、変換後の別情報が個人情報記憶部１４ａに保存されている割合（確率）を出力するなどする。上記した照合処理を行うことで、例えば、変換後の別情報が個人情報記憶部１４ａに保存されていれば、照合要求に係る個人情報が個人情報記憶部１４ａから漏洩したものである旨が認められる。

［実施例１の効果等］
上述してきたように、実施例１によれば、不要になった個人情報を変換関数によって別の情報に変換して無効化するので、変換前の個人情報そのものは個人情報記憶部１４ａに保存されず、個人情報の漏洩リスクを軽減することが可能になる。特に、実施例１によれば、逆変換困難な変換関数によって変換を行うので、変換後の別情報が漏洩しても、これを逆変換して変換前の個人情報を復元することは困難であり、個人情報を消去した状態と同等に個人情報の漏洩リスクを軽減することが可能になる。

また、実施例１によれば、変換後の情報を保存する一方で、漏洩疑義がある個人情報を変換関数によって変換し、この変換後の情報が保存されているかを照合するので、これが保存されていなければ漏洩であると認める必要はなく、個人情報の漏洩疑義に応えることが可能になる。特に、実施例１によれば、衝突困難な変換関数によって変換を行うので、変換後の情報が他の変換後の情報と同一になる事態が回避され、漏洩疑義がある個人情報が本当に漏洩されたものであるか否かを誤りなく照合でき、的確に個人情報の漏洩疑義に応えることが可能になる。

また、実施例１によれば、照合鍵記憶部１４ｂに記憶された照合鍵（秘密情報）を引数とする変換関数によって変換を行うので、秘密情報がなければ変換は困難であり、変換後の情報が漏洩しても、第三者による照合を防止することが可能になる。

さて、これまで本発明の実施例について説明したが、本発明は上述した実施例１以外にも、種々の異なる形態にて実施されてよいものである。そこで、以下では実施例２として本発明に含まれる他の実施例を説明する。

（１）他の情報
上記の実施例１では、個人情報を無効化処理および照合処理の対象とする場合を説明したが、本発明はこれに限定されるものではなく、個人以外の情報であっても漏洩対策が講じられる情報であれば、同様に無効化処理および照合処理の対象とすることができる。

（２）無効化処理
上記の実施例１では、テーブル単位で無効化要求を受け付けて個人情報を無効化する場合を説明したが、本発明はこれに限定されるものではなく、例えば、図８に例示するように、テーブル内のレコード単位で無効化要求を受け付けて無効化するようにしてもよく、また、図９に例示するように、レコード単位かつフィールド単位で無効化要求を受け付けて無効化するようにしてもよい。つまり、個人情報記憶部１４ａに記憶された個人情報のなかから、所定の範囲（テーブル名、個人名、フィールド名で特定される範囲）について無効化要求を受け付けて、当該範囲に含まれる個人情報を無効化するようにしてもよい。

また、このように、所定の範囲で無効化要求を受け付けて個人情報を無効化するような場合には、図８や図９に例示するように、個人情報記憶部１４ａに保存された個人情報それぞれが変換後の情報であるか否か（無効化されているか否か）を示す変換識別情報をさらに記憶することが好ましい。つまり、図８は、レコード単位で、変換後の情報について「変換後」という識別情報を付与した例であり、図９は、レコード単位かつフィールド単位で、変換前の情報について「０（変換前）」という識別情報を付与し、変換後の情報について「１（変換後）」という識別情報を付与した例である。

このような識別情報は、変換後の情報を個人情報記憶部１４ａに格納する場合に、無効化部１５ａの処理によって、個人情報記憶部１４ａに格納される。つまり、図８に示す例の場合には、無効化要求で指定されたレコードの個人情報を書き換える際に、無効化部１５ａは、指定レコードに「変換後」という識別情報を格納する。また、図９に示す例の場合には、無効化要求で指定されたレコード内の指定フィールドの個人情報を書き換える際に、無効化部１５ａは、指定レコード内の指定フィールドの識別情報を「０（変換前）」から「１（変換後）」に書き換える。

このように、変換後の情報であるか否かを示す変換識別情報を合わせて保存するようにすれば、各個人情報が変換前であるか変換後であるかを判別することができ、例えば、テーブルに記憶している個人情報を一括で全て変換するのみならず、テーブル内やレコード内で一部の個人情報のみを変換することや、一部を変換後に残りの全てを変換する（例えば、一部が変換されているテーブルについて、後にテーブル全体が指定されて無効化要求された場合でも、識別情報を参照することで、残りの全てを変換することができる）など、任意のタイミングかつ範囲で情報の無効化を行うことが可能になる。

（３）秘密情報、変換関数
上記の実施例１では、テーブル単位で秘密情報（照合鍵）を規定する場合を説明したが（図５参照）、本発明はこれに限定されるものではなく、例えば、各テーブルで共通の照合鍵を規定するようにしてもよく、一方、図１０に示すように、テーブル単位かつフィールド単位で照合鍵を規定するようにしてもよい。つまり、図１０に示す場合には、無効化要求でテーブル全体が指定されても、テーブル内のフィールド単位で異なる照合鍵を取得して無効化処理を行うことになる。

また、上記の実施例１では、秘密情報（照合鍵）を引数とする鍵付きハッシュ関数を用いて変換を行う場合を説明したが、本発明はこれに限定されるものではなく、変換後の情報が漏洩した場合に第三者による照合を回避することまではできないが、鍵付きでないハッシュ関数を用いて変換を行うようにしてもよい。

また、上記の実施例１では、逆変換困難かつ衝突困難な変換関数を用いて変換を行う場合を説明したが、本発明はこれに限定されるものではなく、例えば、逆変換困難であるが衝突困難でない変換関数、逆変換困難でないが衝突困難である変換関数、逆変換困難でなく衝突困難でもない変換関数など、少なくとも情報Ｘが別情報Ｙに変換される変換関数であれば本発明を同様に適用することができる。

（４）照合処理
上記の実施例１では、テーブル単位で照合要求を受け付ける場合（すなわち、テーブル名を入力させて照合要求を受け付ける場合）を説明したが、本発明はこれに限定されるものではなく、テーブル内のレコードに対応する単位で照合要求を受け付けるようにしてもよく、また、レコード内のフィールドに対応する単位で照合要求を受け付けるようにしてもよい。つまり、個人情報のなかから所定の範囲（テーブル名、個人名、フィールド名で特定される範囲）で照合要求を受け付けるようにしてもよい。

また、上記の実施例１では、照合要求で受け付けた個人情報を変換してから照合する場合を説明したが、本発明はこれに限定されるものではなく、照合要求で受け付けた個人情報が未だ無効化されていない場合もあり得るので、照合要求で受け付けた個人情報がそのまま個人情報記憶部１４ａに保存されているか否かを先ずは判定した後に、これが保存されていない場合に限り、かかる個人情報を変換して照合するようにしてもよい。このような前段の判定を行えば、未だ無効化されていない個人情報の漏洩疑義に対しても同時に応えることが可能になる。

また、個人情報記憶部１４ａに記憶された個人情報のなかから所定の範囲について無効化要求を受け付けて無効化する場合には、上記したように、個人情報記憶部１４ａに保存された個人情報それぞれが変換後の情報であるか否か（無効化されているか否か）を示す変換識別情報をさらに記憶するが、以下に説明するように、かかる変換識別情報を参照することで照合処理も行われる。

この場合には、テーブル単位やレコード単位で照合要求を受け付けた場合でも、照合要求に係る個人情報が全て変換（無効化）されているとは限らないので、変換識別情報を参照しつつ、個人情報記憶部１４ａに記憶された変換前の個人情報と照合要求に係る個人情報とを照合するとともに、個人情報記憶部１４ａに記憶された変換後の情報と照合要求に係る個人情報の変換後情報とを照合する。つまり、未だ無効化されていない情報との照合および既に無効化された情報との照合を区別して行うことで、未だ無効化されていない個人情報を一部に含んだ漏洩疑義に対しても的確に応えることが可能になる。

また、上記の実施例１では、照合要求に対応する照合鍵（例えば、入力されたテーブル名に対応する照合鍵）を取得して変換を行う場合を説明したが、本発明はこれに限定されるものではなく、テーブル名が不明の場合もあり得るので、照合鍵記憶部１４ｂに記憶された全ての照合鍵ごとに複数の変換関数によって変換を行い、照合鍵ごとに照合結果を出力するようにしてもよい。

（５）装置の構成等
上記の実施例１において、図２に示した個人情報管理装置１０の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、個人情報管理装置１０の分散・統合の具体的形態は図示のものに限られず、例えば、図１１に例示するように、ネットワークを経由してクライアント装置２０から無効化要求や照合要求を受け付けて実行結果を返信する形態や、図１２に例示するように、個人情報を無効化する無効化装置４０（無効化部４１および変換部４２を備える装置）と、個人情報や照合鍵を管理するデータベース装置３０（個人情報記憶部３１および照合鍵記憶部３２を備える装置）と、照合対象として与えられた個人情報を照合する照合装置５０（照合部５１および変換部５２を備える装置）とに分けてシステムを構成する形態など、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。

また、上記の実施例１において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的におこなうこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報（特に、個人情報記憶部１４ａに記憶された情報など）については、特記する場合を除いて任意に変更することができる。さらに、個人情報管理装置１０にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

（６）個人情報管理プログラム
また、上記の実施例１で説明した各種の処理は、あらかじめ用意されたプログラムをコンピュータで実行することによって実現することができる。そこで、以下では、図１３を用いて、上記の実施例１と同様の機能を有する個人情報管理プログラムを実行するコンピュータの一例を説明する。図１３は、個人情報管理プログラムを実行するコンピュータを示す図である。

同図に示すように、個人情報管理装置としてのコンピュータ６０は、キーボード６１、マイク６２、ディスプレイ６３、スピーカ６４、ＨＤＤ６５、ＲＡＭ６６、ＲＯＭ６７およびＣＰＵ６８をバス６９で接続して構成される。ここで、キーボード６１およびマイク６２は、図２に示した入力部１１に対応し、ディスプレイ６３およびスピーカ６４は同じく出力部１２に対応する。

そして、ＲＯＭ６７には、上記の実施例１と同様の機能を発揮する個人情報管理プログラム、つまり、図１３に示すように、無効化プログラム６７ａ、変換プログラム６７ｂ、および照合プログラム６７ｃが予め記憶されている。なお、プログラム６７ａ〜６７ｃについては、図２に示した個人情報管理装置１０の各構成要素と同様、適宜統合または分散してもよい。

そして、ＣＰＵ６８が、これらのプログラム６７ａ〜６７ｃをＲＯＭ６７から読み出して実行することで、図１３に示すように、各プログラム６７ａ〜６７ｃは、無効化プロセス６８ａ、変換プロセス６８ｂおよび照合プロセス６８ｃとして機能するようになる。なお、各プロセス６８ａ〜６８ｃは、図２に示した無効化部１５ａ、変換部１５ｂ、照合部１５ｃにそれぞれ対応する。

また、ＨＤＤ６５には、図１３に示すように、個人情報記憶部６５ａと、照合鍵記憶部６５ｂとが設けられる。なお、個人情報記憶部６５ａおよび照合鍵記憶部６５ｂは、図２に示した個人情報記憶部１４ａおよび照合鍵記憶部１４ｂにそれぞれ対応する。そして、ＣＰＵ６８は、処理対象となる個人情報や照合鍵などをＨＤＤ６５から読み出してＲＡＭ６６に一時格納するとともに、ＲＡＭ６６に一時格納された別情報を個人情報記憶部６５ａに登録する処理等を実行する。

なお、上記した各プログラム６７ａ〜６７ｃについては、必ずしも最初からＲＯＭ６７に記憶させておく必要はなく、例えば、コンピュータ６０に挿入されるフレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ、ＭＯディスク、ＤＶＤディスク、光磁気ディスク、ＩＣカードなどの「可搬用の物理媒体」、または、コンピュータ６０の内外に備えられるハードディスクドライブ（ＨＤＤ）などの「固定用の物理媒体」、さらには、公衆回線、インターネット、ＬＡＮ、ＷＡＮなどを介してコンピュータ６０に接続される「他のコンピュータ（またはサーバ）」などに各プログラムを記憶させておき、コンピュータ６０がこれらから各プログラムを読み出して実行するようにしてもよい。つまり、例を挙げれば、実施例１に示したような個人情報管理装置用のプログラム、図１１に示した個人情報管理装置用のプログラム、もしくは、図１２に示した無効化装置用のプログラム、同図に示したデータベース装置用のプログラム、同図に示した照合装置用のプログラムなどを格納したＣＤ−ＲＯＭ（図１２に示す場合においては、装置ごとに別個のＣＤ−ＲＯＭであってもよい）を配布し、このＣＤ−ＲＯＭに格納されたプログラムを各コンピュータが読み出して実行するようにしてもよい。

以上のように、本発明に係る情報管理装置、情報管理方法、情報管理プログラム、情報無効化装置および情報照合装置は、個人情報などの漏洩対策が必要な情報を記憶して管理することに有用であり、特に、情報の漏洩リスクを軽減するとともに、情報の漏洩疑義に応えることに適する。

実施例１の概要および特徴を説明するための図である。 実施例１に係る個人情報管理装置の構成を示すブロック図である。 個人情報記憶部に記憶される情報の例を示す図である。 個人情報記憶部に記憶される情報の例を示す図である。 照合鍵記憶部に記憶される情報の例を示す図である。 無効化処理手順の流れを示すフローチャートである。 照合処理手順の流れを示すフローチャートである。 個人情報記憶部に記憶される情報の例を示す図である。 個人情報記憶部に記憶される情報の例を示す図である。 照合鍵記憶部に記憶される情報の例を示す図である。 個人情報管理システムの構成を示すシステム構成図である。 個人情報管理システムの構成を示すシステム構成図である。 個人情報管理プログラムを実行するコンピュータを示す図である。

符号の説明

１０ 個人情報管理装置
１１ 入力部
１２ 出力部
１３ 入出力制御ＩＦ部
１４ 記憶部
１４ａ 個人情報記憶部
１４ｂ 照合鍵記憶部
１５ 制御部
１５ａ 無効化部
１５ｂ 変換部
１５ｃ 照合部
２０ クライアント装置
３０ データベース装置
４０ 無効化装置
５０ 照合装置
６０ コンピュータ
６１ キーボード
６２ マイク
６３ ディスプレイ
６４ スピーカ
６５ ＨＤＤ（Hard Disk Drive）
６６ ＲＡＭ（Random Access Memory）
６７ ＲＯＭ（Read Only Memory）
６８ ＣＰＵ（Central Processing Unit）
６９ バス

Claims (8)

1. 所定の情報を情報記憶手段に記憶して管理する情報管理装置であって、
   前記情報記憶手段に記憶された情報を所定の変換関数によって別の情報に変換し、当該変換後の情報を変換前の情報に代えて前記情報記憶手段に格納する無効化手段と、
   前記情報記憶手段から漏洩したものとして疑われる変換前の情報を前記変換関数によって変換し、当該変換後の情報が前記情報記憶手段に記憶されているかを照合する照合手段と、
   を備えたことを特徴とする情報管理装置。
2. 前記無効化手段および照合手段は、逆変換困難および／または衝突困難な変換関数によって前記変換を行うことを特徴とする請求項１に記載の情報管理装置。
3. 前記情報記憶手段は、当該情報記憶手段に記憶された情報が前記変換後の情報であるか否かを示す変換識別情報をさらに記憶するものであって、
   前記無効化手段は、前記変換後の情報を前記情報記憶手段に格納する場合に、当該情報が変換後の情報である旨を示す変換識別情報を前記情報記憶手段に格納することを特徴とする請求項１または２に記載の情報管理装置。
4. 所定の秘密情報を記憶する秘密情報記憶手段を備え、
   前記無効化手段および照合手段は、前記秘密情報記憶手段に記憶された秘密情報を引数とする変換関数によって前記変換を行うことを特徴とする請求項１、２または３に記載の情報管理装置。
5. 所定の情報記憶手段に記憶された情報を無効化する情報無効化装置であって、
   前記情報記憶手段に記憶された情報を所定の変換関数によって別の情報に変換し、当該変換後の情報を変換前の情報に代えて前記情報記憶手段に格納する無効化手段を備えたことを特徴とする情報無効化装置。
6. 照合対象として与えられた情報を照合する情報照合装置であって、
   所定の変換関数によって所定の情報から別の情報に変換された変換後の情報を記憶する情報記憶手段と、
   前記変換前に漏洩したものとして疑われる情報を前記変換関数によって変換し、当該変換後の情報が前記情報記憶手段に記憶されているかを照合する照合手段と、
   を備えたことを特徴とする情報照合装置。
7. 所定の情報を情報記憶手段に記憶して管理する情報管理方法であって、
   前記情報記憶手段に記憶された情報の無効化要求を受け付ける無効化受付工程と、
   前記無効化受付工程によって無効化要求を受け付けた場合に、前記情報記憶手段に記憶された情報を所定の変換関数によって別の情報に変換し、当該変換後の情報を変換前の情報に代えて前記情報記憶手段に格納する無効化工程と、
   前記情報記憶手段から漏洩したものとして疑われる変換前の情報を受け付ける照合受付工程と、
   前記照合受付工程によって受け付けた情報を前記変換関数によって変換し、当該変換後の情報が前記情報記憶手段に記憶されているかを照合する照合工程と、
   を含んだことを特徴とする情報管理方法。
8. 所定の情報を情報記憶手段に記憶して管理する情報管理方法をコンピュータに実行させる情報管理プログラムであって、
   前記情報記憶手段に記憶された情報を所定の変換関数によって別の情報に変換し、当該変換後の情報を変換前の情報に代えて前記情報記憶手段に格納する無効化手順と、
   前記情報記憶手段から漏洩したものとして疑われる変換前の情報を前記変換関数によって変換し、当該変換後の情報が前記情報記憶手段に記憶されているかを照合する照合手順と、
   をコンピュータに実行させることを特徴とする情報管理プログラム。

Images