JP2008004018A - 個人情報・秘密情報管理システムおよび個人情報・秘密情報管理方法 - Google Patents

Abstract

【課題】 個人情報・秘密情報を保管するにあたり、機密保持の必要性に応じた保護レベルを適宜変更し、この可変な保護レベルに従い、適切な形式で個人情報・秘密情報を管理する個人情報・秘密情報管理システムおよび個人情報・秘密情報管理方法を提供する。
【解決手段】 個人情報・秘密情報管理装置１は、個人情報・秘密情報の機密度に応じて設定した保護レベルに従い、保護レベル毎に異なる形態で個人情報・秘密情報を保管する。この保護レベルは、データ属性定義ファイル１１に記述され、コンピュータプログラムに読み込まれるものであるが、適宜変更が可能である。データ属性定義ファイル１１に、変更後の保護レベルと変更時期とを指定して記述することにより、個人情報・秘密情報管理装置１に搭載したコンピュータプログラムは、変更時期が到来すると、変更後の保護レベルにあわせて個人情報・秘密情報の保管形態を変更する。
【選択図】 図１

Description

個人情報・秘密情報を保管するにあたり、機密保持の必要性に応じた保護レベルを適宜変更し、この可変な保護レベルに従い、適切な形式で個人情報・秘密情報を管理する個人情報・秘密情報管理システムおよび個人情報・秘密情報管理方法に関する。

個人情報・秘密情報を保存するにあたり、機密保持に十分に配慮することが求められており、そのための方法が種々考案されている。例えば、特開２００４−１４５７５５号公報に開示されている方法は、重要な秘密データを保管する場合、元データを単に暗号化するのではなく、秘密分散をして保管するとともに、各分散データを一括管理することなく、復元可能とするものである。
また、本出願人も、特願２００４−３８１７１０において、情報を機密保持に万全を期しつつ保管する技術を提案している。
特開２００４−１４５７５５号公報

従来の技術は、秘密情報・個人情報・秘密情報のデータを、機密保護に万全の注意を払いつつ保管しようとするものである。
ところで、同一の情報であっても、保護の必要性は不変ではない。例えば、同業他社に出し抜かれないために、新製品の発売まではデザインなどを秘密にしておくことが多い。しかし、いったん発売が開始されれば、秘密にしておく必要は全くない。逆に、公開していた情報を秘密にする必要が生じることもある。例えば、自宅の電話番号を電話帳に掲載していたが、各種のセールスの電話が殺到するようになったので、電話帳への掲載をとりやめる、といったような場合である。

つまり、同一の情報であっても、時間の経過、諸々の状況によって、機密にすべき度合いは変化しうるものである。情報というものは、その機密度にふさわしい態様で保管されることが望ましい。当初平文で保存していても、後日秘密にする必要が生じたときは、もはや平文のままにしておくべきでない。一方、当初秘密にしていた情報でも、一般に公表して差し支えなくなったときは、暗号化しておくまでもなく、平文に戻して差し支えない。むしろ、このような情報は、アクセスを容易にするために平文で保管しておくほうが望ましい。平文のほうが、その情報の参照や検索が迅速に行えるからである。しかし、従来の発明は、特に、この点について考慮をしていなかった。
そのため、本発明は、このような問題点に鑑み、対象となる情報を、その時点の状況に最適な態様で保存管理する仕組みを提供することを目的とする。

前記の目的を達成するために、本発明は、以下の構成をとる。
請求項１の個人情報・秘密情報管理システムは、個人情報・秘密情報を、機密保護に配慮して保管する個人情報・秘密情報管理システムであって、個人情報・秘密情報管理装置と、個人情報・秘密情報データを分割して保存する個人情報・秘密情報データ分割保管サーバと、個人情報・秘密情報管理用データベースとを少なくとも備え、前記個人情報・秘密情報管理装置は、前記個人情報・秘密情報データ分割保管サーバと前記個人情報・秘密情報管理用データベースとの接続機能を有するとともに、処理部と記憶部を備え、前記記憶部には、保管対象となる個人情報・秘密情報の保護レベルを規定しているデータ属性定義ファイルが保存され、前記データ属性定義ファイルは、保護レベル変更のために参照される保護レベル指定及び時期指定を含むことができ、前記処理部は、前記データ属性定義ファイルを参照し、保護レベルに応じた保管形態を決定し、個人情報・秘密情報を前記個人情報・秘密情報データ分割保管サーバあるいは前記個人情報・秘密情報管理用データベースの少なくとも一方に保管するとともに、前記データ属性定義ファイルに保護レベル変更情報が記述してあれば、この保護レベル変更情報に従い、保管形態を変更することを特徴とする。

本発明において、「個人情報・秘密情報」とは、個人情報・秘密情報に代表される秘密にすべき内容を含む情報の意味である。したがって、狭義の個人情報・秘密情報に限るものではない。例えば、ある個人なり法人が特許出願をしている場合、その特許出願書類は、特許出願あるいは出願公開されるまでは、ここでいう「個人情報・秘密情報」に該当する。

「保護レベル」は、ユーザが自由に定義できる。下記の実施形態におけるレベルＡ，レベルＢ、レベルＣは一例である。一般に、一意の個人を特定する個人特定情報は保護レベルが高く、一意の個人を特定しえない非機密情報は保護レベルが低く、複数が組み合わさると一意の個人を特定しうる準個人特定情報は中間的な保護レベルを持つ。

請求項２は、請求項１に記載の個人情報・秘密情報管理システムにおいて、前記保護レベルは、情報の機密保護の度合いに応じて最上位から最下位まで複数のレベルが設定され、保護レベルの変更は、現在のレベルから、他の任意のレベルに変更できることを特徴とする。

例えば、保護レベルは、高い順にＡ，Ｂ、Ｃであるとすると、現在の保護レベルがＣであれば、それより高い、ＢあるいはＡのいずれにも変更でき、現在の保護レベルがＡであれば、それより低い、ＢあるいはＣのいずれにも変更できる。

請求項３は、請求項１または請求項２のいずれかに記載の個人情報・秘密情報管理システムにおいて、前記処理部は、前記保護レベル変更情報に含まれる時期指定を参照して、指定された時期が到来すると、自動的に保護レベルに応じてデータの保管形態を変更することを特徴とする。

さらに、前記の目的を達成するために、請求項４の個人情報・秘密情報管理方法は、個人情報・秘密情報の機密度に応じて設定した保護レベルに従い、保護レベル毎に異なる形態で個人情報・秘密情報を保管するコンピュータを利用した個人情報・秘密情報管理方法であって、保護レベルと時期とを少なくとも指定した保護レベル変更情報を入力として、現行の保護レベルに従い保管されている個人情報・秘密情報をいったん取得し、取得した個人情報・秘密情報を指定された新保護レベルに従った形態で保管することを特徴とする。

本発明によれば、データ属性定義ファイルの記述によって、個人情報・秘密情報の保護レベルを自由に設定し、自由に変更することができ、その時々の秘密保護の必要性に応じて適切にデータの管理ができる。また、このような柔軟な対応は、コンピュータプログラムの入力情報となるデータ属性定義ファイルを変更するだけでよく、コンピュータプログラムの改造を伴わずにすむ。さらに、保護レベルは、低いレベルから高いレベルへの変更、及び高いレベルから低いレベルへの変更の、双方向が可能なので、その個人情報・秘密情報に適した保管が行える。

図１にこの実施形態のシステム構成を示す。
個人情報・秘密情報管理装置１は、インターネット等の通信手段Ｎ１を介してユーザ端末２と接続している。このユーザ端末２は、個人情報・秘密情報管理装置１に対し、個人情報・秘密情報の保管要求あるいは保管されている情報の取得要求を行うものである。また、ユーザ端末２は、適宜個人情報・秘密情報の保護レベルの変更を個人情報・秘密情報管理装置１に要求することもできる。

また、個人情報・秘密情報管理装置１は、通信手段Ｎ２を介して個人情報・秘密情報データ分割保管サーバ３（以下「分散管理サーバ３」）と接続している。この分散管理サーバ３は、元データをいくつかの部分に分割して保存するための記憶媒体４を複数個備えている。ここで、元データとは、保管対象となる個人情報・秘密情報をいう。

分散管理サーバ３は、データを分割して保管し、分割データの持つ復元のための情報（以下、「復号用インデックスキー」という）によって元データを復元する機能を提供する。
なお、データを分割して保管する方法として、「秘密分散法」が代表的であるが、これに限るものではない。
分散管理サーバ３は、個人情報・秘密情報管理装置１からの保管要求を受け付けると、あらかじめ定められた方法で元データを分割し、複数の記憶媒体４に保存する。このとき、分散管理サーバ３は、分割データを復元するための情報であるインデックスキーを生成する。分散管理サーバ３は、元データの分割保存および復号用インデックスキーの生成を終えると、個人情報・秘密情報管理装置１に対し、復号用インデックスキーを送信する。

さらに、個人情報・秘密情報管理装置１は、個人情報・秘密情報管理用データベース５（以下「管理用ＤＢ５」）にアクセス可能である。管理用ＤＢ５は、個人情報・秘密情報管理装置１に内蔵されている記憶装置あるいは外付けの記憶装置に格納されていてもよく、個人情報・秘密情報管理装置１とは別個のコンピュータであるデータベースサーバの記憶装置に格納されていてもよい。

管理用ＤＢ５には、個人情報・秘密情報自体、および個人情報・秘密情報にアクセスするためのキーワード（以下、「検索キー」という）を格納する。検索キーとしては、個人情報・秘密情報を格納したファイルに付与されたファイル名でも、ファイルＩＤでも、当該個人情報・秘密情報を特定するものであれば何でもよい。
個人情報・秘密情報は、保護レベルに応じて、暗号化された状態あるいは平文のままで、検索キーと対応づけて管理用ＤＢ５に格納される。また、分散管理サーバ３に分割保管される保護レベルの高い個人情報・秘密情報については、復号用インデックスキーが検索キーと対応づけて管理用ＤＢ５に格納される。

続いて、図２に従い個人情報・秘密情報管理装置１について説明する。
個人情報・秘密情報管理装置１は、記憶部６と処理部７とを備える。他に、図示しないキーボードやマウスなどの入力手段、画面表示手段、通信手段Ｎ１、Ｎ２を介してユーザ端末２などとの送受信を行うためのインターフェース部を備える。

記憶部６は、コンピュータプログラム類、データ属性定義ファイルなどを記憶している。データ属性定義ファイルについては、後で詳しく説明する。

処理部７は、データ定義読取手段８と、データ保管手段９と、データ取得手段１０を含む。
データ定義読取手段８は、データ属性定義ファイルを参照して、対象となる個人情報・秘密情報の保護レベルを読み取る。
データ保管手段９は、データ定義読取手段８から通知された保護レベルに従った保管形態のもとで、データを保管する。
データ取得手段１０は、データ定義読取手段８から通知された保護レベルに従い、データを取得する。

処理部７に含まれる各手段８，９，１０の詳細については後に説明するが、処理部７の機能は、主に、記憶部６に格納されているコンピュータプログラムを図示しないＣＰＵが実行することによって実現される。なお、その一部はハードウェアで実現されるものであってもかまわない。

本発明は、保管されている情報の保護レベルが変更になったとき、その保護レベルにあわせて情報の保管形態を変更するところに特色がある。
この保管形態の変更について詳しく説明する前に、個人情報・秘密情報管理装置１による個人情報・秘密情報の保管についての概略を説明しておく。

データ定義読取手段８は、ユーザ端末２からの要求により、データの保管やデータの取得をする必要が生じたときに、対象となる個人情報・秘密情報データの特性を記述したデータ属性定義ファイル１１を参照して、当該データの保護レベルを読み出す。その結果を受けて、データ保管手段９は、分散管理サーバ３と管理用ＤＢ５の双方、あるいは管理用ＤＢ５にデータの保管をし、データ取得手段１０は、分散管理サーバ３と管理用ＤＢ５の双方、あるいは管理用ＤＢ５からデータを取得する。

ここで、本発明にとって重要な概念である保護レベルについて詳しく説明する。
本実施形態では、保護レベルをＡ，Ｂ，Ｃの３種類に分けているが、保護レベルＡの個人情報・秘密情報は、個人を特定する個人特定情報（例えば、携帯電話番号）を含む等の理由により、慎重な取り扱いを要するものである。
なお、保護レベルＡには、特許出願前の技術資料なども該当するものと考えられる。つまり、レベルＡは、保護の必要性が極めて高い情報に与えられる保護レベルである。

保護レベルＢの個人情報・秘密情報は、個人特定情報を含まないが、準個人特定情報、すなわち、勤務先名、性別、年齢、家族構成などのように、単独では、個人を特定しないが、複数集まると特定の個人を示唆しうる情報を含む。分散管理サーバ３に格納するほどではないにしても、平文のままで保管することは危険である。そのため、暗号化して管理用ＤＢ５に保管する。暗号鍵は、管理用ＤＢ５の個人情報・秘密情報本体の格納場所とは異なる場所に保管したり、別の記憶装置に保管などすればよい。
なお、保護レベルＢには、特許出願済みではあるが、まだ出願公開されていない特許出願書類も該当すると考えられる。つまり、レベルＢは、保護の必要性が極めて高いとはいえないにしても、一般への公表は控えたい情報に与えられる保護レベルである。

保護レベルＣは、単独でも複数が集まっても、個人を特定したり、特定の個人を示唆したりするおそれのない情報が該当する。他に、すでに出願公開されている特許出願書類も該当すると考えられる。これらは、他者から秘匿する必要のない情報なので、管理用ＤＢ５に平文のままで保管して差し支えない。
なお、対象となる個人情報・秘密情報の保護レベルをＡ，Ｂ，Ｃのいずれにするかは、絶対的な基準はなく、その情報の所有者などの主観によっても左右される。

個人情報・秘密情報の保護レベルは、記憶部６に格納されているデータ属性定義ファイル１１に記述されている。その一例を図３に示す。各レコードには、データを特定する情報と保護レベルの対応が記述されている。データを特定する情報の一例としては、個人情報・秘密情報を格納しているファイルに付与されたファイル名がある。データ属性定義ファイル１１には、保管時期やユーザ名など、当該データを分散管理サーバ３や管理用ＤＢ５から取得するために用いる検索キーや、備忘的な記載も記述できるものとする。データ属性定義ファイル１１には、暗号方式や暗号鍵を記述してもよい。このように、データ属性定義ファイル１１の記述内容をはじめ、ファイルフォーマットやデータ構造などは種々考えられるが、詳細は省略する。

このデータ属性定義ファイル１１は、ユーザ端末２からのデータ保管要求とともに、個人情報・秘密情報管理装置１に送信され、記憶部６に格納してもよいし、個人情報・秘密情報管理装置１とユーザ端末２との間で、Ｗｅｂページ等を利用した情報の送受信によって、個人情報・秘密情報管理装置１が所定のルールの下で作成してもよい。ただし、どの個人情報・秘密情報データの保護レベルは何かが明確に与えられることは不可欠である。

ユーザ端末２からのデータ保管要求があると、データ定義読取手段８によってデータ属性定義ファイル１１から保護レベルが読み出され、この保護レベルを通知されたデータ保管手段９が、その保護レベルに対応した保管を行う。

保護レベルがＡであれば、データ保管手段９は、該個人情報・秘密情報を分散管理サーバ３に送信し、分散管理サーバ３から復号用インデックスキーを取得する。この復号用インデックスキーを該個人情報・秘密情報データを特定する検索キーと対応付けて管理用ＤＢ５に保管する。
保護レベルがＢであれば、データ保管手段９は、該個人情報・秘密情報を暗号化し、検索キーとともに管理用ＤＢ５に保管する。
保護レベルがＣであれば、データ保管手段９は、該個人情報・秘密情報を平文のままで、検索キーとともに管理用ＤＢ５に保管する。
以上のようにデータ定義読取手段８によって読解された内容に基づき、データ保管手段９は、インターフェース部、通信手段を介して、分散管理サーバ３及び管理用ＤＢ５、または管理用ＤＢ５に保管すべき情報を送信する。

次に、ユーザ端末２からデータ取得要求があった場合の個人情報・秘密情報管理装置１の処理概要を説明する。
データ取得要求があると、データ定義読取手段８は、データ属性定義ファイル１１を参照して、対象データの保護レベルを読み取る。

保護レベルがＡであれば、データ取得手段１０は、検索キーに対応付けて記憶されている復号用インデックスキーを管理用ＤＢ５から抽出し、分散管理サーバ３に対して、この復号用インデックスキーを送信する。分散管理サーバ３は、受信した復号用インデックスキーに基づいて分散して保管してあったデータを復元して、個人情報・秘密情報管理装置１に送信する。
保護レベルがＢであれば、データ取得手段１０は、管理用ＤＢ５から暗号化された個人情報・秘密情報を取得し、ユーザ端末２に送信する前に、別途保管してある暗号鍵により復号化する。
保護レベルがＣであれば、データ取得手段１０は、管理用ＤＢ５から、ファイル名などの検索キーと対応づけて記憶されている平文状態にあるデータを取り出し、ユーザ端末２に送信する。
以上が、保護レベルに応じた個人情報・秘密情報の保管と取得のあらましである。

では、保護レベルの変更について以下に説明する。
本実施形態では、保護レベルがＡ，Ｂ，Ｃの３種類ある。そのため、変更種類は、図４に示すように６パターンある。

保護レベルの変更は、データ属性定義ファイル１１に記述する。
例えば、図５では、保護レベルと年月日とを対で記述している。ここで、個人情報・秘密情報データＸは、レコード（１）から、２００６年３月１日に保護レベルＡで保管されること、レコード（２）から、２００６年４月１日に保護レベルＢで保管されること、つまり、２００６年４月１日の時点で、従来の保護レベルＡから保護レベルＢに保管形態を変更すべきことがわかる。同様に、レコード（３）からは、２００７年１０月１日に、データＸをＢからＣに保護レベルを変更して保管すべきことがわかる。

データ属性定義ファイル１１に記述される保護レベル変更のためには、レベル指定と時期指定とを含むことが最小限必要である。また、時期指定は、図５の例では年月日であるが、時刻指定を含めてもよい。時刻指定がないときは、指定日の午前１２時に変更処理をするなど、あらかじめデフォルト値を設定しておいてもよい。

個人情報・秘密情報管理装置１は、定期的にデータ属性定義ファイル１１を参照し、指定された年月日が到来すると自動的に保護レベルを変更するとよい。あるいは、個人情報・秘密情報管理装置１の入力手段を介してオペレータによるバッチ処理にて保護レベル変更処理を行ってもよい。いずれにしても、保護レベル変更指示を記述したファイルを用意すれば、個人情報・秘密情報管理装置１に搭載してあるソフトウェアの変更は必要がない。

保護レベルの変更処理は、データ属性定義ファイルの読み込みと、保管されているデータの取得と、データの保管との組み合わせからなる。
データ定義読込手段８は、図５に例示するようなデータ属性定義ファイル１１を定期的に自動参照しているものとする。２００６年４月１日が到来すると、レコード（２）から、データＸを保護レベルＢにすべきことを読み取る。データ属性定義ファイル１１の全体を参照し、レコード（１）にて、データＸの従来の保護レベルがＡであることから、データＸを２００６年４月１日にＡからＢに保護レベルの変更が必要であることを読み取ると、データ取得手段１０に対して、データＸの現在のレベルがＡであることを通知する。
データ取得手段１０は、管理用ＤＢ５を参照して、データＸの検索キーと対応づけられた復号用インデックスキーを取り出す。そして、分散管理サーバ３にこの復号用インデックスキーを送信し、分割保管されているデータを復元して送信するように要求する。
データ保管手段９は、分散管理サーバ３から復元されたデータＸを受信すると、新しい保護レベルがＢであることから、データＸを暗号化し、暗号化されたデータＸを検索キーと対応づけて管理用ＤＢ５に保管する。
以上で、データＸの保護レベルをＡからＢに変更する処理は終了した。

同様にして、データ定義読込手段８は、図５のレコード（２）および（３）から、２００７年１０月１日になると、データＸの保護レベルをＢからＣに変更すべきことを読み取る。
データ定義読込手段８は、データ取得手段１０に対して、データＸの現在のレベルがＢであることを通知すると、データ取得手段１０は、管理用ＤＢ５を参照して、暗号化されているデータＸを取り出す。
続いて、データ保管手段９は、データＸの新しい保護レベルがＣであることから、データＸを復号化し、検索キーと対応づけて平文の状態のデータＸを管理用ＤＢ５に保管する。以上で、データＸの保護レベルをＢからＣに変更する処理は終了した。

保護レベルをＡからＣに引き下げる場合は、分散管理サーバ３に復号用インデックスキーを送信して復元データの送信を要求し、分散管理サーバ３から受信したデータを検索キーとともに管理用ＤＢ５に平文のままで保管すればよい。

次は、保護レベルを引き上げる場合の処理を説明する。
データ定義読込手段８は、２００６年５月１日が到来すると、レコード（４）と（５）から、データＹの保護レベルをＣからＢにすべきことを読み取り、データ取得手段１０に対して、データＹの現在のレベルがＣであることを通知する。
データ取得手段１０は、管理用ＤＢ５を参照して、データＹを取り出す。ここでデータＹは平文の状態にある。
データ保管手段９は、新しい保護レベルがＢであることから、平文のデータＹを暗号化して、暗号化されたデータＹを検索キーと対応付けて管理用ＤＢ５に保管する。
以上で、データＹの保護レベルをＣからＢに変更する処理は終了した。

同様にして、２００６年７月１日になると、データ定義読込手段８は、レコード（５）および（６）から、データＹの保護レベルをＢからＡに変更すべきことを読み取る。データ定義読込手段８は、データ取得手段１０に対して、データＹの現在のレベルがＢであることを通知すると、データ取得手段１０は、管理用ＤＢ５を参照して、暗号化されているデータＹを取り出す。
続いて、データ保管手段９は、データＹを復号化し、分散管理サーバ３に送信する。分散管理サーバ３は、分割して保管するとともに、復号用インデックスキーを送信してくるので、データ保管手段９は、この復号用インデックスキーを検索キーと対応付けて管理用ＤＢ５に保管する。
以上で、データＹの保護レベルをＢからＡに変更する処理は終了した。

保護レベルをＣからＡに引き上げる場合は、データ取得手段１０によって取得された平文状態にある対象データを、データ保管手段９が、分散管理サーバ３に送信する。分散管理サーバ３から復号用インデックスキーが送信されてくるので、このインデックスキーを検索キーと対応付けて管理用ＤＢ５に保管する。
以上で、保護レベルをＣからＡに変更する処理は終了した。

前記の実施形態では、ユーザ端末２をクライアントとし、個人情報・秘密情報管理装置１をサーバとして、クライアントからの要求をサーバが処理する構成となっている。しかし、これは例示であり、個人情報・秘密情報管理装置が、自己の入力手段を介して指示された処理をスタンドアロンで実行するものでもよい。

前記の実施形態では、保護レベルを３段階に分けているが、あくまでも例示であり、これに限るものではない。たとえば、元データをいくつかの部分に分割し、その分割データのいくつかは、分散管理サーバに保管するとともに、残りの分割データは、暗号化してから、あるいは平文のまま管理用ＤＢ５に保管するといったレベルＡとレベルＢの中間的なレベルを設けてもよい。

また、保護レベルに応じたデータの保管の仕方はどのようなものであってもよい。例えば、保護レベルの高低に応じてビット長を変え、最も保護レベルが高いデータは、ビット長の長い堅固な暗号化方式を用いる、といった保管の仕方でもかまわない。要は、保護レベルに応じて適切な保管をすること、この保護レベルは適宜変更が可能で、変更された保護レベルにあわせて保管形態を変更する、ということである。

さらに、暗号鍵の変更もデータ属性定義ファイルに記述して、リアルタイムあるいはバッチ処理にて変更してもよい。考え方は、保護レベルの変更と同様である。つまり、対象となる個人情報・秘密情報と対応づけて、変更後の暗号鍵および変更時期とを記述したファイルを用意し、これを個人情報・秘密情報管理装置１上で動作するコンピュータプログラムに読み込ませればよい。

要するに、上記のように開示された実施の形態はすべての点で例示であって、制限的なものではない。したがって、種々の変形が可能である。しかし、その変形が特許請求の範囲に記載された技術思想に基づくものである限り、その変形は本発明の技術的範囲に含まれる。

業務上個人情報・秘密情報を取り扱わざるをえない業種、あるいはこれらの業種に属する顧客からの依頼で個人情報・秘密情報の保管サービスを提供する業種などで本発明の技術は用いられる。

実施形態のシステム構成を示す図である。 実施形態の個人情報・秘密情報管理装置の機能ブロックを示す図である。 実施形態のデータ属性定義ファイルを例示する図である。 実施形態の保護レベル変更のパターンを説明する図である。 実施形態の保護レベル変更のための情報を追加したデータ属性定義ファイルを例示する図である。

符号の説明

１ 個人情報・秘密情報管理装置
２ ユーザ端末
３ 個人情報・秘密情報データ分割保管サーバ（分散管理サーバ）
４ 記憶媒体
５ 個人情報・秘密情報管理用データベース（管理用ＤＢ）
６ 記憶部
７ 処理部
８ データ定義読取手段
９ データ保管手段
１０ データ取得手段
１１ データ属性定義ファイル

Claims (4)

1. 個人情報・秘密情報を、機密保護に配慮して保管する個人情報・秘密情報管理システムであって、
   個人情報・秘密情報管理装置と、個人情報・秘密情報データを分割して保存する個人情報・秘密情報データ分割保管サーバと、個人情報・秘密情報管理用データベースとを少なくとも備え、
   前記個人情報・秘密情報管理装置は、前記個人情報・秘密情報データ分割保管サーバと前記個人情報・秘密情報管理用データベースとの接続機能を有するとともに、処理部と記憶部を備え、
   前記記憶部には、保管対象となる個人情報・秘密情報の保護レベルを規定しているデータ属性定義ファイルが保存され、
   前記データ属性定義ファイルは、保護レベル変更のために参照される保護レベル指定及び時期指定を含むことができ、
   前記処理部は、前記データ属性定義ファイルを参照し、保護レベルに応じた保管形態を決定し、個人情報・秘密情報を前記個人情報・秘密情報データ分割保管サーバあるいは前記個人情報・秘密情報管理用データベースの少なくとも一方に保管するとともに、前記データ属性定義ファイルに保護レベル変更情報が記述してあれば、この保護レベル変更情報に従い、保管形態を変更することを特徴とする個人情報・秘密情報管理システム。
2. 前記保護レベルは、情報の機密保護の度合いに応じて最上位から最下位まで複数のレベルが設定され、保護レベルの変更は、現在のレベルから、他の任意のレベルに変更できることを特徴とする、請求項１に記載の個人情報・秘密情報管理システム。
3. 前記処理部は、前記保護レベル変更情報に含まれる時期指定を参照して、指定された時期が到来すると、自動的に保護レベルに応じてデータの保管形態を変更することを特徴とする、請求項１または請求項２のいずれかに記載の個人情報・秘密情報管理システム。
4. 個人情報・秘密情報の機密度に応じて設定した保護レベルに従い、保護レベル毎に異なる形態で個人情報・秘密情報を保管するコンピュータを利用した個人情報・秘密情報管理方法であって、保護レベルと時期とを少なくとも指定した保護レベル変更情報を入力として、現行の保護レベルに従い保管されている個人情報・秘密情報をいったん取得し、取得した個人情報・秘密情報を指定された新保護レベルに従った形態で保管することを特徴とする個人情報・秘密情報管理方法。

Images