JP2006277379A - 個人情報管理方法 - Google Patents

Abstract

【課題】従業員に対する教育の程度に依存せずに個人情報の漏洩を防ぎ、個人にその個人情報の利用形態を明確に知らせること。
【解決手段】サーバ装置１０は、暗号化・復元プログラム１２ｂを用いて入力された個人情報を暗号化して個人情報ＤＢ１２ｃに蓄積する。サーバ装置１０は、閲覧申請があると、利用目的、期間、項目を明示して閲覧許可申請を電子メールで個人に送信する。個人は、利用を許可する場合には、認証・復元キー２０ａを電子メールでサーバ装置１０へ送信する。サーバ装置１０はキーにより暗号化を解除し、利用者による閲覧を可能にする。制限時間が経過すると閲覧は強制的に終了される。利用後、サーバ装置１０は、個人情報を新たに暗号化し、新たな認証・復元キーを作成し、これを当該データの提供人である個人へ連絡し、サーバ内の認証・復元キーを削除して処理を終了する。
【選択図】 図２

Description

本発明は、コンピュータを用いて個人情報を管理する個人情報管理方法に関し、特に、企業が管理する個人情報のセキュリティ対策に関する。

企業が収集した利用者の個人情報は、企業内のデータベースに登録、保管され、必要に応じてダイレクトメールの作成等に使用される。特許文献１に開示される個人情報流通システムでは、個人情報を暗号化して共有情報保管データベース(ＤＢ)に登録し、情報取得事業者は、個人の承認が得られた場合に情報提供元事業者から復元キーを受け取って暗号化された情報を復元する。
特開２００４−２１３４６１号公報

しかしながら、特許文献１のシステムでは、利用者の承諾が得られた個人情報は復元されて無条件で情報取得事業者に取得されるため、従業員に対するセキュリティ意識の植え付けが不十分である場合に、復元された個人情報が本来の目的以外に流用される可能性がある。また、特許文献１のシステムでは、個人情報の利用に際して利用者の承認を得ることにしているが、承認の際に個人情報がどのような目的で、どのような形態で利用されるかは不明確であり、希望しないダイレクトメール等が届く場合もある。

本発明は、上記の問題点に鑑みてなされたものであり、その課題は、従業員に対する教育の程度に依存することなく、個人情報の漏洩を防ぐことができ、かつ、個人がその個人情報の利用形態を明確に知ることができる個人情報管理方法を提供することにある。

上述した課題を解決するために、本発明による個人情報管理方法は、コンピュータの記憶装置に蓄積された個人情報を管理する方法であって、コンピュータに、個人により入力された情報をアクセス制限を付して蓄積し、利用者からの個人情報の利用申請が入力された際に、個人情報の利用目的、期間、項目を明示して利用の可否を問い合わせる電子メールを当該個人情報の提供者である個人宛に送信させ、個人から承諾の回答としてアクセス制限を解除する情報を受け取ると、解除情報を利用してアクセス制限を解除させ、アクセス制限が解除された個人情報を所定の条件で自動消去される形式で利用者へ提供させ、個人情報に再度アクセス制限をかけさせることを特徴とする。

コンピュータは、個人情報を暗号化することによりアクセスを制限してもよいし、コンピュータ及び個人が備える乱数発生手段を利用したワンタイムパスワードによりアクセスを制限してもよい。暗号化する場合には、コンピュータは、問い合わせの電子メールに対して個人から承諾の回答として復元キーを受け取ると、該復元キーを利用して暗号化された個人情報を復元させ、個人情報の提供後、復元された個人情報を再度暗号化し、新たな復元キーを個人宛に送信する。ワンタイムパスワードによりアクセスを制限する場合には、コンピュータは、問い合わせの電子メールに対して個人から承諾の回答としてパスワードを受け取ると、該パスワードを利用して個人情報にアクセスし、個人情報の提供後、個人情報に再度アクセス制限をかける。

なお、アクセス制限が解除された個人情報を利用者宛に送信させる際には、所定の時間の経過で自動消去される形式とすることが望ましい。

以上のように構成された本発明の個人情報管理方法によれば、個人情報が利用される前に、当該個人に利用目的、期間、項目を明示して利用の可否が照会されるため、個人がその個人情報の利用形態を明確に知ることができ、不適当な利用形態に対しては利用を否認することにより、企業での不必要な個人情報の利用を削減することができる。また、個人情報は、所定の条件で自動消去される形式で利用者に提供されるため、従業員に対する教育の程度に依存することなく、セキュリティを高め、情報が漏洩して二次利用される可能性を低減することができる。

以下、本発明にかかる個人情報管理方法の実施例を２例、図面に基づいて説明する。本実施例の個人情報管理方法は、複数のクライアント装置(個人端末、利用者端末)とネットワークを介して接続されるサーバ装置上で個人情報管理プログラムを実行することにより実現され、個人端末から入力された個人情報を必要に応じて利用者端末へ提供する。なお、実施例１は、個人情報を暗号化することによりアクセスを制限し、実施例２はサーバ装置及び個人端末が備える乱数発生手段を利用したワンタイムパスワードによりアクセスを制限する。

図１は、実施例１の個人情報管理プログラムを実行するサーバ装置１０を含んだコンピュータシステムの全体構成図である。このサーバ装置１０は、企業内で会員情報を管理する機能を有し、インターネット等のネットワークＮを介して複数の個人端末２０、及び、複数の利用者端末３０に接続可能なコンピュータである。また、サーバ装置１０は、ＣＰＵ１１，並びにこのＣＰＵ１１に接続されたハードディスク(ＨＤ)１２及びメモリ(ＲＡＭ)１３を備えている。ＨＤ１２には、ＣＰＵ１１に読み出されて実行される個人情報管理プログラム１２ａと、個人情報を暗号化／復元する暗号化・復元プログラム１２ｂとがインストールされていると共に、個人情報を蓄積する個人情報データベース(ＤＢ)１２ｃが構築されている。

個人端末２０は、例えば、ウェブブラウザプログラムがインストールされたパーソナルコンピュータ(ＰＣ)等から構成されており、それぞれＣＲＴ，ＬＣＤ等のディスプレイ２１と、キーボード及びマウスを含む入力装置２２とを備えている。そして、個人(通常はサーバ装置１０が属する企業の顧客、会員)は、個人端末２０からサーバ装置１０にアクセスすることにより、このサーバ装置１０に個人情報を登録し、あるいは、サーバ装置１０からの問い合わせに対して回答することができる。また、個人端末２０の図示せぬ記憶装置には、サーバ装置１０に暗号化して蓄積された個人情報データを復元する際に使用される認証・復元キー２０ａが格納されている。

利用者端末３０も、個人端末２０と同様に、ディスプレイ３１と入力装置３２とを備えるＰＣであり、利用者は、利用者端末３０を介してサーバ装置１０に対して個人情報の利用を申し込む。なお、利用者端末３０は、インターネットを介して接続されるサーバ装置１０とは異なる企業の端末であってもよいし、イントラネットを介して接続されるサーバ装置１０と同一の企業の端末であってもよい。

次に、上記のように構成された実施例１の個人情報管理方法の処理の流れを図２に示すフローチャートに基づいて説明する。なお、このフローチャートには、サーバ装置１０の処理のみでなく、個人端末２０、利用者端末３０での処理も合わせて示してある。

最初に、個人が個人端末２０を介して個人情報を入力する(S001)。ここでは、サーバ装置１０により提供されるウェブサイトをブラウジングしながら必要情報を入力する。入力される情報は企業により様々であるが、例えば、氏名、住所、電話番号、メールアドレス、登録日を入力項目とする。

サーバ装置１０は、暗号化・復元プログラム１２ｂを用いて入力された個人情報を暗号化して個人情報ＤＢ１２ｃに蓄積する(S002)。また、サーバ装置１０は、暗号化された情報を復元するための認証・復元キーを作成して(S003)、これを電子メールで当該情報を入力した個人に送り(S004)、サーバ内の認証・復元キーを削除する(S005)。

サーバ装置１０は、例えば会員である個人からの問い合わせにより企業側で状況を確認するために個人情報を閲覧する必要があるのか、あるいは、ダイレクトメールを発送する等のために個人情報を使用する必要があるのかを判断する(S006)。閲覧のみの場合(S006, YES)には、個人情報の利用目的、期間、項目を明示して利用可否の問い合わせである閲覧許可申請を電子メールで個人に送信する(S007)。問い合わせを受けた個人は、利用を許可する場合には、認証・復元キー２０ａを利用許可の通知と共に電子メールでサーバ装置１０へ送信する。利用を禁止する場合には、その旨を電子メールでサーバ装置１０へ送信する。

そして、サーバ装置１０は、情報提供者である個人からの回答を受け取ると、この回答が個人情報の閲覧許可であるか否認であるかを判断する(S008)。否認である場合(S008, NO)、サーバ装置１０は、閲覧許可申請を出した利用者端末３０に対して申請が否認されたことを電子メールで通知する(S009)。回答が許可である場合(S008, YES)、サーバ装置１０は回答と共に個人から電子メールで届いた認証・復元キーを用いて個人情報の暗号化を解除(復元)し(S010)、ここで利用したキーをサーバ内から削除する(S011)。

サーバ装置１０は、個人情報を利用者端末３０に送ってディスプレイ３１に表示させ(S012)、利用者による閲覧を可能にする。ただし、復元された情報は、所定の条件、ここでは一定時間の経過により自動的に消去される形式で提供されるため、制限時間が経過すると閲覧は強制的に終了される(S013)。

利用者が個人情報の使用を目的とする場合(S006, NO)、個人情報の利用目的、期間、項目を明示して利用可否の問い合わせである使用許可申請を電子メールで個人に送信する(S014)。問い合わせを受けた個人は、利用を許可する場合には、認証・復元キー２０ａを利用許可の通知と共に電子メールでサーバ装置１０へ送信する。利用を禁止する場合には、その旨を電子メールでサーバ装置１０へ送信する。

そして、サーバ装置１０は、情報提供者である個人からの回答を受け取ると、この回答が個人情報の閲覧許可であるか否認であるかを判断する(S015)。否認である場合(S015, NO)、サーバ装置１０は、使用許可申請を出した利用者端末３０に対して申請が否認されたことを電子メールで通知する(S009)。回答が許可である場合(S015, YES)、サーバ装置１０は回答と共に個人から電子メールで届いた認証・復元キーを用いて個人情報の暗号化を解除(復元)し(S016)、個人情報のコピーを利用者端末３０の指定されたフォルダへ提供する(S017)。

利用者端末３０は、提供された個人情報に基づいてダイレクトメールの印刷等の処理を行う。ただし、復元された情報は、上記と同様に一定時間の経過により自動的に消去される形式で提供されるため、制限時間が経過すると個人情報のデータは自動的に消去される(S018)。そして、サーバ装置１０は、提供した個人情報のデータが消去された旨を電子メールで連絡する(S019)。このように時間の経過により個人情報データが消失するため、個人情報が不正に二次利用されるのを防ぐことができる。

個人情報の利用が終了すると、サーバ装置１０は、個人情報を新たに暗号化し(S020)、新たな認証・復元キーを作成し(S021)、これを当該データの提供人である個人へ連絡し(S022)、サーバ内の認証・復元キーを削除して(S023)処理を終了する。これにより、前回の復元キーによる復元が不可能になり、復元キーの再利用による個人情報の流出を防ぐことができる。

実施例１の個人情報管理方法によれば、個人情報を暗号化して蓄積するため、仮にデータが流出したとしても、これを個人情報として解読することができず、情報管理のセキュリティを高めることができる。また、個人の許可を得て提供される個人情報は、一定の時間で自動的に消去されるため、不正に二次利用されることがない。さらに、個人情報を利用した都度、新たに暗号化するため、一度許可した復元キーが再利用されることがなく、情報の流出を確実に防ぐことができる。

なお、個人情報データの自動消去の具体的な方法としては、使用するデータを決められたフォルダのみに提供し、当該フォルダに期日指定ロジックをセットし、格納されたファイルを一定時間毎に消去するようにすればよい。また、提供されたデータファイルに移動禁止制限をセットし、外部へ持ち出し不可の状態にするとよい。

図３は、実施例２の個人情報管理方法を実行するサーバ装置１０を含んだコンピュータシステムの全体構成図である。概略は図１のシステムと同一であるため、重複した説明は省略する。実施例２では、乱数発生手段を用いたワンタイムパスワードを用いて個人情報ＤＢへのアクセスを制限している。例えば、RSAセキュリティ株式会社のSecurID(商品名)を使用することができる。

サーバ装置１０ＡのＨＤ１２には、ＣＰＵ１１に読み出されて実行される個人情報管理プログラム１２ａと、ワンタイムパスワードを認証するパスワード認証プログラム１２ｄとがインストールされていると共に、個人情報を蓄積する個人情報データベース(ＤＢ)１２ｃが構築されている。

個人端末２０には、所定のアルゴリズムにより乱数を発生する乱数発生器２０ｂが設けられている。SecurIDを利用する場合、個人には「SecurIDトークン」（カード型のハードトークンやソフトウェアのトークン）が渡される。実施例２では、乱数発生器２０ｂとしてソフトウェアトークンがインストールされている。トークンには、トークンの固有値が出荷時に格納されており、この値と時刻データとから特定の計算を行い、特定の時刻にそのトークンにのみ有効なパスワードを生成する。なお、パスワードには、個人特有の固定コードを含めてもよい。

サーバ装置１０のパスワード認証プログラム１２ｄは、各個人端末２０に備えられたソフトウェアトークンの固有値を格納しており、上記と同様のアルゴリズムでパスワードを生成し、時刻で同期をとりながら、個人端末２０の乱数発生器２０ｂで生成されたパスワードとの一致、不一致をチェックして個人情報ＤＢ１２ｃへのアクセスを許可し、あるいは制限する。

次に、上記のように構成された実施例２の個人情報管理方法の処理の流れを図４に示すフローチャートに基づいて説明する。

最初に、個人が個人端末２０を介して個人情報を入力する(S101)。サーバ装置１０は、パスワード認証プログラム１２ｄを用いて各個人端末２０に割り当てる乱数発生機を管理する情報を設定する(S102)。続いて、サーバ装置１０は、各個人端末毎に乱数発生機を作成(固有値の設定)し(S103)、これらを各個人に提供する(S104)。

サーバ装置１０は、例えば会員である個人からの問い合わせにより企業側で状況を確認するために個人情報を閲覧する必要があるのか、あるいは、ダイレクトメールを発送する等のために個人情報を使用する必要があるのかを判断する(S105)。閲覧のみの場合(S0105, YES)には、個人情報の利用目的、期間、項目を明示して利用可否の問い合わせである閲覧許可申請を電子メールで個人に送信する(S106)。問い合わせを受けた個人は、利用を許可する場合には、乱数発生機２０ｂにより発生させたワンタイムパスワードを利用許可の通知と共に電子メールでサーバ装置１０へ送信する。利用を禁止する場合には、その旨を電子メールでサーバ装置１０へ送信する。

そして、サーバ装置１０は、情報提供者である個人からの回答を受け取ると、この回答が個人情報の閲覧許可であるか否認であるかを判断する(S107)。否認である場合(S107, NO)、サーバ装置１０は、閲覧許可申請を出した利用者端末３０に対して申請が否認されたことを電子メールで通知する(S108)。回答が許可である場合(S107, YES)、サーバ装置１０は回答と共に個人から電子メールで届いたワンタイムパスワードがサーバ装置１０で管理するパスワードに一致するか否かをチェックし、一致する場合には個人情報のアクセス制限を解除する(S109)。

サーバ装置１０は、個人情報を利用者端末３０に送ってディスプレイ３１に表示させ(S110)、利用者による閲覧を可能にする。ただし、復元された情報は、所定の条件、ここでは一定時間の経過により自動的に消去される形式で提供されるため、制限時間が経過すると閲覧は強制的に終了される(S111)。

利用者が個人情報の使用を目的とする場合(S105, NO)、個人情報の利用目的、期間、項目を明示して利用可否の問い合わせである使用許可申請を電子メールで個人に送信する(S112)。問い合わせを受けた個人は、利用を許可する場合には、ワンタイムパスワードを利用許可の通知と共に電子メールでサーバ装置１０へ送信する。利用を禁止する場合には、その旨を電子メールでサーバ装置１０へ送信する。

そして、サーバ装置１０は、情報提供者である個人からの回答を受け取ると、この回答が個人情報の閲覧許可であるか否認であるかを判断する(S113)。否認である場合(S113, NO)、サーバ装置１０は、使用許可申請を出した利用者端末３０に対して申請が否認されたことを電子メールで通知する(S108)。回答が許可である場合(S113, YES)、サーバ装置１０は回答と共に個人から電子メールで届いたワンタイムパスワードがサーバ装置１０で管理するパスワードに一致するか否かをチェックし、一致する場合には個人情報のアクセス制限を解除し(S114)、個人情報のコピーを利用者端末３０の指定されたフォルダへ提供する(S115)。

利用者端末３０は、提供された個人情報に基づいてダイレクトメールの印刷等の処理を行う。ただし、復元された情報は、上記と同様に一定時間の経過により自動的に消去される形式で提供されるため、制限時間が経過すると個人情報のデータは自動的に消去される(S116)。そして、サーバ装置１０は、提供した個人情報のデータが消去された旨を電子メールで連絡する(S117)。このように時間の経過により個人情報データが消失するため、個人情報が不正に二次利用されるのを防ぐことができる。

実施例２の個人情報管理方法によれば、乱数発生機により生成したワンタイムパスワードを利用して個人情報ＤＢ１２ｃへのアクセスを許可、制限するため、パスワードの認証過程にはサーバを管理する企業でも関与できず、個人情報ＤＢ１２ｃへの不正なアクセスを防止することができる。

本発明の実施例１の個人情報管理方法が実行されるコンピュータシステムの構成を模式的に示すブロック図である。 実施例１の個人情報管理方法の処理の流れを示すフローチャートである。 本発明の実施例２の個人情報管理方法が実行されるコンピュータシステムの構成を模式的に示すブロック図である。 実施例２の個人情報管理方法の処理の流れを示すフローチャートである。

符号の説明

１０ サーバ装置
１１ ＣＰＵ
１２ ＨＤ
１２ａ 個人情報管理プログラム
１２ｂ 暗号化・復元プログラム
１２ｃ 個人情報データベース
１３ ＲＡＭ
２０ 個人端末
２０ａ 認証・復元キー
２１ ディスプレイ
２２ 入力装置
３０ 利用者端末
３１ ディスプレイ
３２ 入力装置

Claims (4)

1. コンピュータの記憶装置に蓄積された個人情報を管理する個人情報管理方法であって、
   コンピュータに、
   個人により入力された情報をアクセス制限を付して蓄積し、
   利用者からの個人情報の利用申請が入力された際に、個人情報の利用目的、期間、項目を明示して利用の可否を問い合わせる電子メールを当該個人情報の提供者である個人宛に送信させ、
   前記個人から承諾の回答として前記アクセス制限を解除する情報を受け取ると、該解除情報を利用してアクセス制限を解除させ、
   アクセス制限が解除された個人情報を所定の条件で自動消去される形式で利用者へ提供させ、
   個人情報に再度アクセス制限をかけさせることを特徴とする個人情報管理方法。
2. 前記コンピュータは、前記個人情報を暗号化することによりアクセスを制限し、前記問い合わせの電子メールに対して個人から承諾の回答として復元キーを受け取ると、該復元キーを利用して暗号化された個人情報を復元させ、個人情報の提供後、復元された個人情報を再度暗号化し、新たな復元キーを前記個人宛に送信することを特徴とする請求項１に記載の個人情報管理方法。
3. 前記コンピュータは、当該コンピュータ及び前記個人が備える乱数発生手段を利用したワンタイムパスワードによりアクセスを制限し、前記問い合わせの電子メールに対して個人から承諾の回答としてパスワードを受け取ると、該パスワードを利用して個人情報にアクセスし、個人情報の提供後、個人情報に再度アクセス制限をかけることを特徴とする請求項１に記載の個人情報管理方法。
4. 復元された個人情報を利用者宛に送信させる際に、所定の時間の経過で自動消去される形式とすることを特徴とする請求項１〜３のいずれかに記載の個人情報管理方法。