JP2008191917A - 秘密情報配送システムおよび秘密情報配送方法 - Google Patents

Abstract

【課題】 秘密分散法を利用して保管されている秘密情報データを外部に引き渡す際の情報漏洩を防止する。
【解決手段】 秘密情報データの配送先に渡すべきデータを秘密分散法を用いて複数のデータピースに分割し、一部のデータピースは、データ配送元によって可搬型記憶媒体に格納されて、宅配便などの手段によりデータ配送先に配達される。残りのデータピースは、データ配送先が所定のウェブサイトにアクセスしてダウンロードする。データ配送先のコンピュータは、このような２種類のルートで取得したデータピースから元の秘密情報データを復元する。
【選択図】 図１

Description

秘密分散法により原データを分割し、分割されたデータピースを別ルートで配送し、配送先にて原データを復元する秘密情報配送システムおよび秘密情報配送方法に関する。

秘密情報を保存するにあたり、機密保持に十分に配慮することが求められており、そのための方法が種々考案されている。例えば、特開２００４−１４５７５５号公報（特許文献１）に開示されている方法は、他者から秘密にすべきデータを保管する場合、原データを単に暗号化するのではなく、秘密分散をして保管するとともに、これらの分散保管されたデータから原データを復元可能とするものである。

しかし、特許文献１に記載の技術は、秘密情報の機密保護に主眼が置かれ、この保護された情報の活用法及びその利便性には特に注意が払われていない。厳重に保護された情報に、ユーザが、どのようにしてアクセスし、自己の業務に活用するかというユーザレベルの利用法については言及がない。
そのため、本出願人は、特開２００６−１８９９２５号公報（特許文献２）において、秘密分散法を利用することにより、情報の機密保持に万全を期しつつ、情報の容易な活用を実現する技術を提案している。

ここで、特許文献２に記載の発明（以下、「従来技術」）の概要を以下に記す。なお、この発明では、情報を構成するデータ項目の保護レベルに応じて適切に取り扱い、ユーザの使い勝手を良好にしている。しかし、本願発明では、保護レベルという概念は特に問題とすることなく、秘密情報データを秘密分散法によって管理することを前提としている。したがって、以下の従来技術に関する説明において、保護レベルに関する記述は省略する。

図１０にこの従来技術のシステム構成を示す。
秘密情報管理装置１０１は、インターネット等の通信ネットワークN１０１を介してユーザ端末１０２と接続している。また、秘密情報管理装置１０１は、通信ネットワークN１０２を介して秘密情報データ分散管理サーバ１０３（以下「分散管理サーバ１０３」）と接続している。この分散管理サーバ１０３は、原データをいくつかの部分に分割して保存するための記憶媒体１０４を複数個備えている。

さらに、秘密情報管理装置１０１は、検策用キーワード管理データベース１０５（以下「キーワード管理ＤＢ１０５」）にアクセス可能である。キーワード管理ＤＢ１０５は、秘密情報管理装置１０１の内蔵記憶装置あるいは外付けの記憶装置に格納されていてもよく、秘密情報管理装置１０１とは別個のコンピュータであるデータベースサーバの記憶装置に格納されていてもよい。

図１１に従い、秘密情報管理装置１０１のソフトウェア構成を説明する。
フロントエンドモジュール１０６は、ユーザ端末１０２からの入力を受け付けて、秘密情報を扱う業務処理を行うソフトウェアである。このフロントエンドモジュール１０６は、業務要件に応じたビジネスロジックとユーザインタフェースを実装している。バックエンドモジュール１０７は、フロントエンドモジュール１０６においてデータの保管やデータの取得をする必要が生じたときに、フロントエンドモジュール１０６に代わって、データ保管・取得処理を担当するとともに、分散管理サーバ１０３およびキーワード管理ＤＢ１０５とのインタフェース（図示せず）を介してデータの送受信を行う。

このように、バックエンドモジュール１０７が、機密保護に配慮したデータ管理を行うので、フロントエンドモジュール１０６は、特に情報の保護を意識しなくて済む。
バックエンドモジュール１０７は、データ保管手段１０８と、データ取得手段１０９を備える。
このような構成を備える秘密情報管理装置１０１は、分散管理サーバ１０３とキーワード管理ＤＢ１０５とを含む秘密情報管理システム１００において、システム管理サーバとしての役割を担うと考えることができる。

ところで、氏名のように個人を特定しうる個人特定情報は、分散管理サーバ１０３の管理下におき、一切の検索や抽出のキーにならないことが望ましい。しかし、業務処理の内容によっては、個人特定情報で検索できなければならないこともある。そのため、分散管理サーバ１０３とは別にキーワード管理ＤＢ１０５にその属性値を格納し、一意検索を可能とすることにした。ただし、属性値をそのまま、つまり平文ではセキュリティの観点から問題であるため、非可逆な状態である一方向性ハッシュ値に加工して格納する。

次に、図１２に従い、フロントエンドモジュール１０６から新規にデータ保管要求があった場合の、バックエンドモジュール１０７、特にデータ保管手段１０８の動作について説明する。

フロントエンドモジュール１０６からバックエンドモジュール１０７に対し、保管すべき内容とユーザＩＤとを特定し、データ保管要求が送られる（ステップＳ１０１）。
バックエンドモジュール１０７は、保管すべき内容にユーザＩＤを付加して、所定のフォーマットのデータを生成する（ステップＳ１０２）。この生成されたデータが、分散管理サーバ１０３が分割して保管すべき原データとなる。分散管理サーバ１０３は、保管要求（ステップＳ１０３）を受け付けると、あらかじめ定められた公知の方法で原データを分割し、複数の記憶媒体１０４に保存する（ステップＳ１０４）。このとき、分散管理サーバ１０３は、分割データを復元するための情報である文書ＩＤを生成する。分散管理サーバ１０３は、分割保存および文書ＩＤの生成を終えると、バックエンドモジュール１０７に対し、文書ＩＤを送信する（ステップＳ１０５）。以後、バックエンドモジュール１０７は、この文書ＩＤを分散管理サーバ１０３に送信すれば、分割保存されているデータを取得できることになる。

次に、バックエンドモジュール１０７は、分割保存したデータと関連付けられたテーブルをキーワード管理ＤＢ１０５に登録しなければならない。そのため、適宜属性値を予め定められたハッシュ関数に代入してハッシュ値を計算したり、暗号化したりする（ステップＳ１０６）。このハッシュ化等をした各属性値に、文書ＩＤ、ユーザＩＤを付加して、キーワード管理ＤＢ１０５に登録をする（ステップＳ１０７）。

次に、図１３に従い、フロントエンドモジュール１０６からデータ取得要求があった場合の、バックエンドモジュール１０７、特にデータ取得手段１０９の動作について説明する。
フロントエンドモジュール１０６からバックエンドモジュール１０７に対し、ユーザ名を指定して、データ取得要求が送られる（ステップＳ２０１）。
バックエンドモジュール１０７は、指定されたユーザ名をハッシュ計算し（ステップＳ２０２）、このハッシュ値でキーワード管理ＤＢ１０５を検索する（ステップＳ２０３）。ハッシュ値が一致した場合、文書ＩＤを抽出する（ステップＳ２０４）。次に、バックエンドモジュール１０７が、この文書ＩＤを分散管理サーバ１０３に送信し、該当文書の復元と送信を要求する（ステップＳ２０５）と、分散管理サーバ１０３は、復元データを送信する（ステップＳ２０６）。

バックエンドモジュール１０７は、送信された復元データに含まれるユーザ名と、フロントエンドモジュール１０６によって特定されたユーザ名とを照合し（ステップＳ２０７）、一致すれば、フロントエンドモジュール１０６にデータを送る（ステップＳ２０８）。
なお、ユーザ名が異なる場合でも、ハッシュ計算の結果、同一のハッシュ値を持つことがある。その場合は、ステップＳ２０４で複数の文書ＩＤが返されるので、ユーザ名同士が一致するものが見つかるまで、ステップＳ２０５〜Ｓ２０７の処理を繰り返す。

一般に、原本データは、分散管理されることにより非常に強固に保護される。しかし、秘密情報データは複数媒体に分散されているので、基本的には復号のための情報（以下、「復号用インデックスキー」）による検索しか行えない。そのため、秘密情報の内容（例えば、氏名）による検索ができないのが通常である。しかし、従来技術では、検索用キーワードになりうる情報（例えば、ユーザ名）と復号用インデックスキー（文書ＩＤが相当）とを対応付けて別個の記憶媒体で管理している。これにより、分散された情報を必要な都度復元して活用することが可能となる。

特開２００４−１４５７５５号公報 特開２００６−１８９９２５号公報

しかしながら、特許文献２に記載の発明は、安全確実に分散保管されている情報を容易に活用できるという利点はあるものの、情報を外部へ引き渡す際の情報漏洩の防止について特に配慮していない。
例えば、図１０において、ユーザ端末１０２が秘密情報管理装置１０１側から秘密情報データの送信を受ける際、通信回線Ｎ１０１を介するときに暗号化などの対策が施されているならば、ユーザ端末１０２と秘密情報管理装置１０１を含む秘密情報管理システムとの間のセキュリティは確保される。しかし、ユーザ端末１０２からさらに他者の端末２００へ秘密情報を送信する場合、適切な対策を講じなければ、データの盗難・紛失時に秘密情報が漏洩するおそれがある。ここで問題となるのは、データが盗難にあったり紛失したりすること自体ではなく、盗難・紛失などにあったデータが外部の者によってその内容を読み取られてしまうことである。もし、他人によって秘密情報データの内容が容易に読み取られるようであっては、秘密分散法を利用して万全に保護をしていたことが無駄になってしまう。

本発明は、かかる問題点にかんがみ、秘密情報データを外部へ引き渡す際における、データ盗難・紛失時の可読性を排除する仕組みを設けることにより、外部への安全な情報配送を実現することを目的とする。

前記の目的を達成するために、本発明は、以下の構成をとる。
請求項１の秘密情報配送システムは、秘密情報データを秘密分散法によりデータピースに分割して保管するとともに、各データピースから元の秘密情報データを復元する処理を行う秘密情報管理システムと、前記秘密情報管理システムに保存されている秘密情報データを、データ配送先に配送することを管理するデータ配送元端末と、前記秘密情報管理システムに保存されている秘密情報データのデータピースを入手し復元するデータ配送先端末とから構成される秘密情報配送システムであって、前記秘密情報管理システムは、システム前置サーバを含み構成され、前記システム前置サーバは、前記データ配送元端末からの秘密情報抽出要求を受信すると、前記秘密情報管理システムに分散保管されているデータを復元し、復元された１以上のデータを一括して配送対象情報データを作成し、この配送対象情報データを秘密分散法に基づき２個以上のデータピースに分割するデータ抽出・再分割手段と、前記の配送対象情報データを構成するデータピース群の一部を前記データ配送元端末に送信するとともに、残りのデータピースをダウンロード専用ウェブサイトへアップロードするデータピース配送手段と、前記ダウンロード専用ウェブサイトのＵＲＬを通知する電子メールを前記データ配送先端末へ送信するメール作成・送信手段とを少なくとも備え、前記データ配送元端末は、入力手段と、画面表示手段と、通信ネットワークを介して前記システム前置サーバと接続する通信インターフェース手段と、不揮発性のエリアを有する可搬型記憶媒体と接続する記憶媒体インターフェース手段と、前記システム前置サーバに対して配送対象情報データを要求するデータ抽出要求手段と、前記システム前置サーバから送信されてきたデータピースを前記可搬型記憶媒体の不揮発性エリアに書きこむデータピース書込手段とを少なくとも備え、前記データ配送先端末は、入力手段と、画面表示手段と、インターネットと接続する通信インターフェース手段と、前記可搬型記憶媒体と接続する記憶媒体インターフェース手段と、前記システム管理サーバから送信された電子メールを受信し、前記ダウンロード専用ウェブサイトのＵＲＬを取り出すＵＲＬ抽出手段と、インターネットを介して前記所定のサイトにアクセスし、データピースをダウンロードするデータピース取得手段と、前記可搬型記憶媒体の不揮発性エリアに格納されているデータピースを読み出し、このデータピースと前記ダウンロードされたデータピースとから元の配送対象情報データを復元するデータ復元手段とを備えることを特徴とする。

これにより、元の秘密情報データは複数のデータピースに分割され、別ルートを経て配送先に届けられる。万が一、いずれかのデータピースが紛失・盗難等にあっても、１個のデータピースからは元のデータの復元ができないため、極めて高いレベルで秘密情報を保護できる。

本発明において、「秘密情報」とは、秘密情報に代表される秘密にすべき内容を含む情報一般の意味である。したがって、狭義の秘密情報（氏名、住所、電話番号、メールアドレス、勤務先など）に限るものではない。
「秘密分散法」という用語は、データを分割して保管する方法の代表としての意義を有するにすぎず、他の名称で呼ばれる方法であっても、データを分割して保管し、分割された一部のデータピースからだけでは原データの復元ができない方法であればよい。
「データ配送元」とは、契約等により秘密情報管理システムが提供するサービスを受けることができる者をいう。たとえば、いわゆる名簿業者が、貸金庫に貴重品を預けるような感覚で、自ら収集した秘密情報を安全に保存するために、秘密情報管理システムを利用する場合、この名簿業者は「データ配送元」となる。「データ配送先」とは、ダイレクトメールの発送などの目的により、データ配送元から秘密情報を購入等しようとしている者が考えられる。
「配送対象情報」とは、データ配送元がデータ配送先に提供する秘密情報データをいう。本発明では、配送対象情報自体がデータ配送先に配送されるのではなく、秘密分散法によって、２個以上の情報の断片に分割されて、異なる２ルートで配送される。この情報の断片を「データピース」と呼ぶ。

請求項２は、請求項１に記載の秘密情報配送システムにおいて、前記システム前置サーバから前記データ配送先端末へ送信される電子メールには、前記ダウンロード専用ウェブサイトのＵＲＬと、この専用ウェブサイトへアクセスするために必要となるパスワードとが記載されたファイルが暗号化されて添付されていることを特徴とする。
これにより、秘密情報管理システムが配送先にのみダウンロードサイトのＵＲＬとこのサイトにアクセスするために必要なパスワードを通知するので、配送先以外はこのサイトからデータピースをダウンロードすることが困難となる。

請求項３は、請求項１または２のいずれかに記載の秘密情報配送システムにおいて、前記配送対象情報データを分割して得られたデータピース群の一部が前記データ配送元端末へ送信された後、前記システム前置サーバは、前記配送対象情報データを再度分割して予備データピース群を作成することを特徴とする。
これにより、データピースに紛失などによって、元のデータの復元が不可能となっても、予備データピースを同様の方法で配送すれば復元ができる。

請求項４は、請求項１〜３のいずれか一に記載の秘密情報配送システムにおいて、前記可搬型記憶媒体は、不揮発性エリアと、揮発性エリアと、不可視エリアとを備えたＵＳＢメモリであることを特徴とする。
これにより、一つのＵＳＢメモリが、ハードディスクとメモリの機能を同時に果たすことができ、データの種類によって、どのエリアに格納すればよいか柔軟に使い分けることができる。

請求項５は、請求項４に記載の秘密情報配送システムにおいて、前記データ復元手段は、前記不揮発性エリアに格納してある復元用プログラムを前記揮発性エリアに読み出し実行されることによって実現されるとともに、前記データ復元手段は、前記揮発性エリア上で、前記専用ウェブサイトからダウンロードされたデータピースと、前記不揮発性エリアに格納されていたデータピースとから元の配送対象情報データを復元することを特徴とする。
これにより、データの復元処理は、ＵＳＢメモリの内部で実行できるので、配送元を経由して入手したデータピースをＵＳＢメモリの外部に出さなくてすむ。そのため、セキュリティが確保される。

請求項６は、請求項４または５のいずれかに記載の秘密情報配送システムにおいて、前記可搬型記憶媒体は、ＵＳＢキーとしての機能を兼ね備えていることを特徴とする。
これにより、配送元端末および配送先端末をシンクライアントとすることができ、セキュリティの確保が万全になる。

請求項７は、秘密情報配送方法であって、秘密情報データを取り扱うデータ配送元のコンピュータであって、秘密分散法に基づき秘密情報を分散管理している秘密情報管理システムにアクセスし、該システムの提供するサービスを受けることができるコンピュータが、データ配送先から依頼された秘密情報データを該データ配送先のコンピュータに安全に配送するための秘密情報配送方法であって、前記配送元のコンピュータが、前記秘密情報管理システムにアクセスし、前記配送先のコンピュータに配送する秘密情報データの抽出を要求すると、前記秘密情報管理システムは、要求された秘密情報データを抽出し、２個以上のデータピースに分割し、分割されたデータピースの一部を前記配送元のコンピュータに送信するとともに、残りのデータピースをダウンロードするための専用ウェブサイトのＵＲＬを通知する電子メールを前記配送先のコンピュータに送信する一方、前記配送元のコンピュータは、可搬型記憶媒体に前記秘密情報管理システムから送信されたデータピースを記録し、前記配送先のコンピュータは、前記電子メールで通知されたＵＲＬを用いて前記専用ウェブサイトにアクセスし、残りの情報データピースをダウンロードするとともに、前記可搬型記憶媒体と接続した状態で、前記ダウンロードしたデータピースと、前記可搬型記憶媒体に記録されていたデータピースとから元の秘密情報データを復元することを特徴とする。

本発明によれば、秘密情報データを分割し、それぞれを別ルートで配送し、配送先にて復元する。しかも、分割された情報の断片、すなわちデータピースが揃わなければ元の秘密情報データを復元できない。このように可読性が排除されているので、配送途中で一部のデータピースが盗難にあったり紛失したりしても、情報が漏洩することはない。したがって、秘密情報を秘密分散法により慎重に保存しているにもかかわらず、その秘密情報を外部に引き渡す際に漏洩するという不都合を回避できる。

〔１．システム構成〕
〔１．システム構成〕
図１に本発明の実施形態のシステム構成を示す。
本実施形態の主要な構成要素は、データ配送元端末１と、秘密情報管理システム２と、データ配送先端末３である。秘密情報管理システム２として、秘密分散法あるいは多重分散法と呼ばれるサービスシステムを利用する。このようなシステムとして、例えば、エヌ・ティ・ティ・コミュニケーションズ株式会社が提供する秘密分散サービスであるＳｅｃｕｒｅｄＡｒｃｈｉｖｅなどがある。

システム前置サーバ４は、秘密情報管理システム２において、データ配送元端末１からの要求を受付、要求された処理を行う。秘密情報管理システム２は、図１０に示す従来技術におけるシステム１００に相当するので、システム前置サーバ４は、図１０の秘密情報管理装置１０１に相当する。秘密情報管理システム２は、情報を分散保管するために、図１０の分散管理サーバ１０３、キーワード管理ＤＢ１０５に相当する構成要素を含むが、以下の説明において、これらの構成要素について言及することなく、秘密情報管理システム２の機能をシステム前置サーバ４の機能と同視して説明する。
このシステム前置サーバ４は、ダウンロード専用ウェブサイト５を開設するウェブサーバと接続できる。なお、システム前置サーバ４とこのウェブサーバとは同一のコンピュータであってもよい。

データ配送元端末１は、通信ネットワークN1を介してシステム前置サーバ４と接続できる。
データ配送先端末３は、インターネットＮ２を介してウェブサイト５にアクセスでき、かつ、通信ネットワークＮ３を介してシステム前置サーバ４から電子メールを受信することができる。

データ配送元端末１は、秘密情報管理システム２を利用して秘密情報データの保管と取得のサービスを受ける秘密情報管理システム２のユーザの端末である。このユーザは、自分が取り扱っている秘密情報データの提供依頼を顧客から受けると、秘密情報管理システム２から当該秘密情報データを取り出して顧客に提供する。この顧客の端末が、データ配送先端末３である。つまり、データ配送元端末１は、図１０に示す従来技術におけるユーザ端末１０２に対応し、データ配送先端末３は、図１０の他者の端末２００に対応する。

システム前置サーバ４は、処理部６と記憶部７と図示しない通信インターフェース手段を含む。
処理部６は、データ抽出・再分割手段８と、データピース配送手段９と、メール作成・送信手段１０とを含む。
データ抽出・再分割手段８は、データ配送元端末１から抽出要求のあった配送対象情報データを取り出し、この情報データを秘密分散法に基づき２以上のデータピースに分割する処理を行う。
データピース配送手段９は、配送対象情報データを構成するデータピースの一部をデータ配送元端末１に送信するとともに、残りのデータピースをウェブサイト５へアップロードする処理を行う。
メール作成・送信手段１０は、ダウンロード専用ウェブサイト５のＵＲＬを通知する電子メールをデータ配送先端末３へ送信する処理を行う。これらの各手段の作用については、後に詳しく説明する。
なお、処理部６の各手段は、主として、図示しないＣＰＵが必要なコンピュータプログラムを実行することによって実現する。

記憶部７は、処理部６の各手段がその機能を実現するためのコンピュータプログラム、このプログラムが実行される過程で得られる中間データ、データ配送元端末１からの処理要求の履歴などを記憶する。

データ配送元端末１は、処理部１１と、可搬型記憶媒体１２との通信を確立するための記憶媒体インターフェース手段１３を含む。
処理部１１は、データ抽出要求手段１４と、データピース書込手段１５とを含む。
データ抽出要求手段１４は、データ配送先に提供するための情報データの取り出しをシステム前置サーバ４に要求する処理を行う。
データピース書込手段１５は、システム前置サーバ４からデータピースをダウンロードし、これを可搬型記憶媒体１２に書きこむ処理を行う。処理部１１の各手段は、主として、図示しないＣＰＵが必要なコンピュータプログラムを実行することによって実現する。これらの各手段の作用については、後に詳しく説明する。
データ配送元端末１は、他に、図示しないキーボードやマウスなどの入力手段、画面表示手段、通信手段Ｎ１を介してシステム前置サーバ４などとの送受信を行うための通信インターフェース手段も備える。

データ配送先端末３は、処理部１６と、可搬型記憶媒体１２との通信を確立するための記憶媒体インターフェース手段１７と、通信ネットワークＮ２，Ｎ３と接続するための通信インターフェース手段（図示せず）とを含む。
処理部１６は、ＵＲＬ抽出手段１８と、データピース取得手段１９と、データ復元手段２０を含む。
ＵＲＬ抽出手段１８は、システム前置サーバ４から送信された電子メールを受信し、ダウンロード専用ウェブサイト５のＵＲＬを取り出す処理を行う。
データピース取得手段１９は、専用ウェブサイト５からデータピースをダウンロードし、データ復元手段２０は、このデータピースと、可搬型記憶媒体１２に格納されているデータピースとから元の配送対象情報データを復元する処理を行う。
処理部１６の各手段は、主として、図示しないＣＰＵが必要なコンピュータプログラムを実行することによって実現する。これらの各手段の作用については、後に詳しく説明する。なお、データ復元手段２０は、可搬型記憶媒体１２に格納したプログラムを可搬型記憶媒体１２の内部で実行させることによって実現されるようにしてもよい。
データ配送先端末３は、他に、図示しないキーボードやマウスなどの入力手段、画面表示手段なども備える。

本システムでは、データ配送元端末１に可搬型記憶媒体１２を接続し、一部のデータピースを書き込み、この可搬型記憶媒体１２を、届け保証付きの宅配便などを利用してデータ配送先に送り、データ配送先端末３がこれと接続し、データピースを読み取る。
可搬型の記憶媒体であれば、ハードディスク、フレキシブルディスク、ＭＯなどでもよいが、セキュリティの見地からは、次のような本実施形態に専用のＵＳＢメモリを用いることが望ましい。

この専用ＵＳＢメモリは、不可視エリアと、不揮発性エリアと、揮発性エリアの３つのエリアから構成される。不揮発性エリアとは、コンピュータに装着されていないとき、つまり電源の供給がないときであっても書き込まれているデータを保持できるエリアである。データ配送元端末１は、このエリアにダウンロードしたデータピースを書き込む。揮発性エリアは、電源の供給がないときはデータを保持できないエリアであって、データ配送先端末３がダウンロードしたデータピースは、このエリアに書き込まれる。このエリアの内容は、電源の供給がなければ、人手を介入させずにクリアされる。不可視エリアに書き込まれた内容は、専用のソフトウェアあるいはハードウェアによらなければ、その内容を参照できない。そのため、改竄されると無意味になる情報、例えば操作履歴情報などの書き込みエリアとして適している。つまり、この専用ＵＳＢメモリの各エリアを、データの性質に従い使い分けるとよい。

〔２．システムの作用の概要〕
本実施形態のシステムの作用の概要を図２に従い説明する。
データ配送業者のオペレータが、データ配送元端末１を介して必要な情報の抽出要求を秘密情報管理システム２に送信する（ステップＳ１）。必要な情報とは、ダイレクトメール発送業者などの配送先から要求のあった情報である。

システム前置サーバ４は、要求された情報データを抽出しメモリ上に展開した後、展開された情報データに対して再度の秘密分散処理を行い２個以上のデータピースに分割する（ステップＳ２）。なお、説明の便宜上、２個のデータピースＤａ、Ｄｂに分割されるものとする。

分割されたデータピースの１つ（Ｄａ）をデータ配送元端末１がダウンロードし、専用ＵＳＢメモリの不揮発性エリアに書き込む（ステップＳ３）。専用ＵＳＢメモリ１２は、宅配便などの手段によって配送先へ届けられる（ステップＳ４）。

システム前置サーバ４は、データピースＤｂをダウンロードするための専用ウェブサイト５のＵＲＬを記載したファイルを添付した電子メールを配送先に送信する（ステップＳ５）。

配送先のオペレータは、受信した電子メールに添付されているファイルに記載されているＵＲＬを参照し、ダウンロード専用ウェブサイト５にアクセスする（ステップＳ６）と、システム前置サーバ４は、データピースＤｂを専用ウェブサイト５にアップロードする（ステップＳ７）ので、データ配送先端末３はＤｂをダウンロードする（ステップＳ８）。ＵＳＢメモリ１２のデータ復元機能によってデータピースＤａ，Ｄｂとから元の配送対象情報データが揮発性エリアに復元される（ステップＳ９）。ＵＳＢメモリ１２が復元機能を実現するために、不揮発性エリアにデータ復元用ソフトが格納されているか、データ復元のためのハードウェア構成を含んでいるか、が必要である。なお、復元後のデータの扱いは、本発明の範囲外である。
ところで、データピースＤｂをダウンロード（ステップＳ８）する以前に、ＵＳＢメモリ１２は配送先端末３に接続されているものとする。また、図２において、配送元からのＵＳＢメモリ１２の受領（ステップＳ４）と、システム前置サーバ４からのメールの受信（ステップＳ５）とのタイミングはいずれが先でも差し支えない。

〔３．システムの作用の詳細〕
本システムの作用について、データ配送元端末１側の処理から説明する。
所定の権限を持ったオペレータがキーボード、マウスなどの入力手段を介して、データ配送元端末１を操作する。オペレータの権限の確認のための処理などは公知の方法によって適宜行うものとする。

データ配送元端末１のデータ抽出要求手段１４は、秘密情報管理システム２に秘密情報の抽出を依頼するために、入力手段を介して所定の項目を秘密情報管理システム２に送信しなくてはならない。このときの入力画面２１の一例を図３に示す。図３に記載の項目は例示にすぎない。
送り先会社名欄ｔ１には、秘密情報の配送先の名称を入力する。
送り先メールアドレス欄ｔ２には、配送先のオペレータのメールアドレスを入力する。
添付ファイルパスワード欄ｔ３には、配送先において、圧縮された添付ファイルを解凍するためのパスワードを入力する。

必要な項目の入力を終えると、「次へ」ボタンｂ１をマウスでクリックし、システム前置サーバ４にこれらの情報が送信される。データ配送元端末１の画面には、次の抽出対象選択画面２２が表示される。この画面は、秘密情報管理システム２からの抽出対象とすることができる項目を指定するもので、画面表示例を図４に示す。
たとえば、配送先が東京都港区に住む２０代の女性にダイレクトメールを発送することを希望しているとする。この場合、配送元は、住所欄ｔ４に「東京都港区」、性別欄ｔ５に「女性」、年齢欄ｔ６に「２０−２９」を入力すればよい。このように必要な項目欄に入力を終えると、「実行」ボタンｂ２をマウスでクリックし、秘密情報管理システム２側に、これらの条件を送信する。

システム前置サーバ４では、データ抽出・再分割手段８が、指定された条件に合致する秘密情報を検索する。条件に合致する個人がＮ人いたとし、１人あたり１件のデータが対応しているとする。秘密情報管理システム２では１件ずつのデータを分散して保管しているので、各件のデータを構成するデータピースを取り出し復元する。復元されたＮ件のデータを一括し、メモリ上に展開することとし、ハードディスクには保存しないようにする。このメモリ上に展開された内容が配送先に提供される配送対象情報データである。この配送対象情報データを秘密分散法に基づき２個以上のデータピースに分割する。説明の便宜上、２個のデータピースＤａ，Ｄｂに分割されたとする。
なお、分割後は、配送対象情報データはメモリ上から削除され、システム前置サーバ４のハードディスクなどに保存されることなく、秘密情報管理システム２に分散して保管される。

システム前置サーバ４のデータ抽出・再分割手段８によるデータ抽出処理が完了すると、システム前置サーバ４は、図５に例示するようなピースダウンロード画面２３をデータ配送元端末１の画面上に表示させる。
この画面２３上でデータ件名などを確認後に「ピースダウンロード」ボタンｂ３をクリックすると、データ配送元端末１のデータピース書込手段１５は、秘密情報管理システム２に分散保管されていたデータピースＤａをダウンロードできる。ここで注意すべきことは、Ｄａはシステム前置サーバ４に一時保管されていたのではなく、ダウンロード要求を受信してから、データピース配送手段９が分散保管されていた記憶媒体から取り出し、データ配送元端末１に送信した、という点である。

データピースのダウンロードを終了すると、図６に例示するような画面が表示される。
この画面上で、「完了画面へ」ボタンｂ４をクリックすると、システム前置サーバ４のメール作成・送信手段１０は、配送先の担当者へメールを送信するとともに、データ配送元端末１にダウンロード完了画面（図示せず）を表示させる。
データ配送元端末１のデータピース書込手段１５は、ダウンロードしたデータピースＤａを、ＵＳＢメモリ１２の不揮発性エリアに書き込む。ダウンロードしたデータピースＤａは、データ配送元端末１のメモリ上あるいはハードディスクなどの記憶媒体に書き込まれることなく、直接ＵＳＢメモリ１２に書き込まれることが望ましい。配送元では、このＵＳＢメモリ１２を、データ配送元端末１の記憶媒体インターフェース手段１３から取り外し、宅配便などを使って、配送先へ配達する。配達の手段は本発明の範囲外であり、どのような手段でもよい。

次に、図６の「完了画面へ」ボタンｂ４がデータ配送元端末１のマウスを介してクリックされた場合、秘密情報管理システム２のシステム前置サーバ４の動作を説明する。
システム前置サーバ４では、データ配送元端末１によるデータピースのダウンロードが完了した時点で、予備データピース群を作成する。配送元または配送先にて、秘密分散した各データピースを取得した後に、紛失・破壊などによりデータピースが失われると、本実施形態では同じデータピースを再度ダウンロードすることはできない仕組みとするため、元の情報データの復元が不可能になる。そのため、システム前置サーバ４はデータの再作成処理を行い、予備データピース群を予め作成しておくわけである。

もし、データピースを紛失・破壊した場合は、配送元および配送先は予備データピースを取得し、それで元の情報データを復元する。なお、データピースがＤａ，Ｄｂであり、予備データピースがＤα、Ｄβであるとすると、データが復元できるのは（Ｄａ，Ｄｂ）と（Ｄα、Ｄβ）の組み合わせに限られ、（Ｄａ，Ｄα）、（Ｄａ，Ｄβ）、（Ｄｂ，Ｄα）、（Ｄｂ，Ｄβ）のいずれの組み合わせによってもデータの復元ができない。
例えば、図７に示すようにダウンロードしたデータピースＤａを破壊・紛失したとする。データ配送元端末１は、秘密情報管理システム２に再ダウンロードを要求するとシステム前置サーバ４は、予備データピースＤαを送信する。データ配送元端末１による予備データピースの取得が完了すると、システム２では、さらに別の予備データピース群を作成する。なお、図７の場合、紛失したピースグループ（Ｄａ，Ｄｂ）による復元は不可能である。

システム前置サーバ４のメール作成・送信手段９は、データ配送元端末１へのデータピースＤａのダウンロードを完了すると、図８に例示するような項目を記載したファイルを、配送先の担当者へ電子メールへの添付という形式で送信する。これらの項目はデータ配送先端末３がデータピースをダウンロードするために必要な情報であり、セキュリティの観点から電子メールの本文に記載することは適当でない。そのため、電子メールへの添付ファイルにするとともに、暗号化して配送先へ届けることとした。添付ファイルは公知のｚｉｐ形式などで圧縮し、圧縮する際にパスワードによる暗号化保護を行う。ここで使用するパスワードは、データ配送元端末１が画面２１（図３）において入力欄ｔ３に入力した添付ファイルパスワードである。

なお、データ配送元端末１を介さずに、秘密情報管理システム２側から直接データ配送先端末３側へＵＲＬなどを通知するようにしたのは、情報の漏洩防止の趣旨を徹底するためである。これにより、配送元では元の情報データの復元ができない。最近、秘密情報の漏洩事件が多発しているが、これらの事件は従業員などの内部関係者によって引き起こされることも多い。これは企業の信用にかかわる問題であり、損害賠償責任などが発生しかねない。本実施形態のシステムによれば、情報配送元のオペレータなどがダウンロード専用サイト５のＵＲＬを知ることができないので、配送元の内部関係者による情報漏洩の心配がない。

図８において、項目番号（４）は、データピースＤａに付与されたファイル名であり、項目番号（５）は、データピースＤｂに付与されたファイル名である。
項目番号（６）は、この例では、ＤａとＤｂの組み合わせ情報である。

次は、データ配送先端末３側からの本システムの作用を説明する。
配送先へは、配送元から宅配便などによってＵＳＢメモリ１２が届けられているものとする。また、データ配送先端末３の記憶媒体インターフェース手段１７にＵＳＢメモリ１２が装着されて、ＵＳＢメモリ１２との入出力ができる状態になっているとする。

データ配送先端末３のＵＲＬ抽出手段１８は、システム前置サーバ４から受信した電子メールの添付ファイルを復号化して、専用ダウンロードサイトのＵＲＬ（図８の項目（１））とログインパスワード（図８の項目（２））とを抽出する。なお、添付ファイルを復号化するために用いるパスワードは、配送元から何らかの手段によって配送先に通知されているものとする。あるいは、ＵＳＢメモリ１２の不可視領域に書き込まれている当該ＵＳＢメモリに固有の情報などをパスワードとしてもよい。

このＵＲＬを使用して専用ウェブサイト５にアクセスすると、図９に例示するようなダウンロードログイン画面が表示される。ログインパスワードの入力が促されるので、添付ファイルから抽出したログインパスワードを入力し、ログインボタンをクリックするとダウンロード画面（図５とほぼ同様のため、図示を省略）へ遷移する。
このログインパスワードは制限付きのパスワードであり、有効期限が設けてある。ログインパスワードが無効になる条件は、所定の有効期限を経過した場合、あるいは、対象となるデータピースのダウンロードがすべて完了した場合である。
ここで、（Ｄａ，Ｄｂ）の組み合わせのいずれかが、紛失・破損などされた場合は、予備データピース（Ｄα、Ｄβ）を再ダウンロードしなくてはならない。この場合、配送元による予備データピースのダウンロード完了後にシステム前置サーバ４からのメール送信が行われ、新たなファイルが添付されてくるので、前回のダウンロード時に送られた添付ファイルは無効となる。

データ配送先端末３が専用ウェブサイト５へのアクセスに成功すると、システム前置サーバ４は、配送先端末３のデータピース取得手段１９によってダウンロードされるデータピースＤｂを、秘密情報管理システム２から取り出し、ダウンロード専用ウェブサイト５にアップロードする。ここで、注意すべきは、データピースＤｂは、システム前置サーバ４に一時保存されていたわけではないことである。
データ配送先端末３が専用ウェブサイト５へアクセスする際の通信プロトコルはＨＴＴＰＳを用いるとともに、ＵＲＬには、末尾にメール固有情報を付加（例：ｈｔｔｐｓ：／／ｗｗｗ．ｘｘｘ．ｃｏｍ／ｘｘｘ／ｘｘｘｘｘｘ．ｄｏ？ｐ＝ｘｘｘｘｘｘｘｘ）し、付加されているＵＲＬ以外からのアクセスではログインできないようにするとよい。
なお、ダウンロードファイルが置かれる直上のディレクトリは、ランダムで一意の英数字が混在する名称をつけ、常に一定のディレクトリ名を意識させないといった配慮をすることが望ましい。

対象となるデータピースＤｂは、データ配送先端末３のデータピース取得手段１９が専用ウェブサイト５にログインしたときに、システム前置サーバ４によってウェブサイト５上に引出され、１回のダウンロードのみ許可される。
ダウンロードされたデータピースＤｂは、データ配送先端末３の任意の場所に格納されるが、専用ＵＳＢメモリ１２の揮発性エリアが望ましい。データ配送先端末３のハードディスクなどの不揮発性記憶媒体に記録させないように、データピース取得手段１９は、専用ＵＳＢメモリ１２の揮発性エリアを指定してダウンロードするようにしてもよい。

以上のように、元の配送対象情報データを復元するのに必要なデータピースＤａ，Ｄｂは、それぞれ別ルートを経て、配送先に配送されたことになる。これらの２つのルートの一方あるいは双方においてデータピースの紛失・破損などがあった場合、外部への情報の漏洩は生じない。復元に必要なデータピースがすべて揃うのは配送先端末３に限られるので、万が一情報の漏洩が発生した場合は、漏洩箇所を絞り込むことができる。

なお、データピースＤｂはダウンロード後、専用ウェブサイト５から削除される。つまり、データピースのダウンロード回数は１回に制限される。もし、データピースＤｂを紛失などした場合は、システム前置サーバ４が先に準備しておいた予備データピースをダウンロードすることになる。
また、データピース群は使用される可能性がなくなったとき、つまりダウンロード済みの場合、ログインパスワードが期限切れのためダウンロードができなくなった場合、あるいは、予備データピースがダウンロードされることになり、最初の分割で生成されたデータピースが不要になった場合は、秘密情報管理システム２より削除される。さらに、元のデータピース群が事故無くダウンロードされた場合、予備データピース群が使用される可能性がない。そのため、予備データピース群も、秘密情報管理システム２から削除される。
なお、システム前置サーバ４は、接続する記憶媒体に、データピースの取り扱い履歴を登録し、二度目のダウンロードを許可しないように制御したり、紛失した場合の無効処理をしたりできることが望ましい。

専用ウェブサイト５からダウンロードされたデータピースＤｂと、ＵＳＢメモリ１２の不揮発性エリアに格納されていたデータピースＤａとはいずれも揮発性エリアに展開され、ＵＳＢメモリ１２に格納されている復元用プログラムを使用して揮発性エリアに復元される。この復元用プログラムは、不揮発性エリアにあるデータピースＤａを復元直後に削除する。なお、元の情報データを復元するためのプログラムがＵＳＢメモリ１２に内蔵されている場合、このプログラムは請求項１のデータ復元手段に該当する。
このように、秘密情報の復元処理は、専用ＵＳＢメモリ１２内で実行できるため、配送先のオペレータがデータの内容を視認することなく復元・出力ができる。これも、内部関係者による情報漏洩を防止する方策の一つである。

復元された情報データはファイルに出力される。例えば、ＣＳＶ形式の平文テキストファイルであって、そのフォーマットは、１行につき１人の秘密情報（客ＩＤ，客名、生年月日、郵便番号、住所など）を記述するようなファイルが考えられる。以上の処理により、配送先において所望の秘密情報データが入手できたことになる。
なお、配送元におけるデータピースのダウンロード、配送先における復元などの操作履歴は、ＵＳＢメモリ１２の不可視エリアに記録されることが望ましい。

〔４．他の実施形態〕
前記の実施形態のＵＳＢメモリにＵＳＢキーとしての機能も持たせているならば、シンクライアント機能によるデータ配送元端末１およびデータ配送先端末３の制御が可能になる。端末にＵＳＢキーを装着することによって専用のＯＳを起動させ、このＯＳでは、専用ＵＳＢメモリ以外の媒体への書き込みを不可としたり、ＵＳＢキーのメモリエリアへのプログラムからの書き込みのみを許可したり、処理途中でＵＳＢキーを取り外した場合は画面ロックをかけたりすることによって、情報の漏洩防止の一端を担わせることができる。また、ＵＳＢキー自体に有効期限を設けることで、安全性を一層高めることもできる。

前記の実施形態では、可搬型記憶媒体として専用のＵＳＢメモリを使用するものとして説明した。
しかし、専用のＵＳＢメモリに限らず、可搬型の記憶媒体であれば、外付けハードディスクやＭＯなどでも差し支えない。宅配便などの人手を介した手段によって、一部のデータピースを配送先に届けることができ、配送ルートの複数化が実現できるからである。また、揮発性エリアを持たない通常のＵＳＢメモリを使用しても差し支えない。

前記の実施形態では、専用のＵＳＢメモリに復元処理用のプログラムが格納されているとともに、データピースＤａをＵＳＢメモリの外部に取り出さないようにするために、ＵＳＢメモリの揮発性エリア上で復元処理を実行する。しかし、復元処理用プログラムは、専用サイトからデータピースＤｂとともにダウンロードする等の方法で入手してもよい。また、復元処理の完了後には、メモリをクリアするという条件のもとであれば、データ配送先端末３のメモリ上にデータピースＤａを展開してもよい。

顧客からの依頼により秘密情報を提供する業種等において、本発明の技術は用いられる。

実施形態のシステム構成を示す図である。 実施形態のシステムの処理概要を示す図である。 実施形態のデータ配送元端末の画面表示例を示す図である。 実施形態のデータ配送元端末の画面表示例を示す図である。 実施形態のデータ配送元端末の画面表示例を示す図である。 実施形態のデータ配送元端末の画面表示例を示す図である。 実施形態のデータピースが紛失等した場合に予備データピースで代替されることを説明する図である。 実施形態の電子メールに添付されるファイルの記載項目を例示する図である。 実施形態のデータ配送先端末の画面表示例を示す図である。 従来技術のシステム構成図である。 従来技術のブロック図である。 従来技術のデータ保管処理を説明する流れ図である。 従来技術のデータ取得処理を説明する流れ図である。

符号の説明

１ データ配送元端末
２ 秘密情報管理システム
３ データ配送先端末
４ システム前置サーバ
５ ダウンロード専用ウェブサイト
８ データ抽出・再分割手段
９ データピース配送手段
１０ メール作成・送信手段
１２ 可搬型記憶媒体
１３ 記憶媒体インターフェース手段
１４ データ抽出要求手段
１５ データピース書込手段
１７ 記憶媒体インターフェース手段
１８ ＵＲＬ抽出手段
１９ データピース取得手段
２０ データ復元手段

Claims (7)

1. 秘密情報データを秘密分散法によりデータピースに分割して保管するとともに、各データピースから元の秘密情報データを復元する処理を行う秘密情報管理システムと、
   前記秘密情報管理システムに保存されている秘密情報データを、データ配送先に配送することを管理するデータ配送元端末と、
   前記秘密情報管理システムに保存されている秘密情報データのデータピースを入手し復元するデータ配送先端末とから構成される秘密情報配送システムであって、
   前記秘密情報管理システムは、システム前置サーバを含み構成され、
   前記システム前置サーバは、
   前記データ配送元端末からの秘密情報抽出要求を受信すると、前記秘密情報管理システムに分散保管されているデータを復元し、復元された１以上のデータを一括して配送対象情報データを作成し、この配送対象情報データを秘密分散法に基づき２個以上のデータピースに分割するデータ抽出・再分割手段と、
   前記の配送対象情報データを構成するデータピース群の一部を前記データ配送元端末に送信するとともに、残りのデータピースをダウンロード専用ウェブサイトへアップロードするデータピース配送手段と、
   前記ダウンロード専用ウェブサイトのＵＲＬを通知する電子メールを前記データ配送先端末へ送信するメール作成・送信手段とを少なくとも備え、
   前記データ配送元端末は、
   入力手段と、画面表示手段と、
   通信ネットワークを介して前記システム前置サーバと接続する通信インターフェース手段と、
   不揮発性のエリアを有する可搬型記憶媒体と接続する記憶媒体インターフェース手段と、
   前記システム前置サーバに対して配送対象情報データを要求するデータ抽出要求手段と、
   前記システム前置サーバから送信されてきたデータピースを前記可搬型記憶媒体の不揮発性エリアに書きこむデータピース書込手段とを少なくとも備え、
   前記データ配送先端末は、
   入力手段と、画面表示手段と、
   インターネットと接続する通信インターフェース手段と、
   前記可搬型記憶媒体と接続する記憶媒体インターフェース手段と、
   前記システム管理サーバから送信された電子メールを受信し、前記ダウンロード専用ウェブサイトのＵＲＬを取り出すＵＲＬ抽出手段と、
   インターネットを介して前記専用ウェブサイトにアクセスし、データピースをダウンロードするデータピース取得手段と、
   前記可搬型記憶媒体の不揮発性エリアに格納されているデータピースを読み出し、このデータピースと前記ダウンロードされたデータピースとから元の配送対象情報データを復元するデータ復元手段とを備えることを特徴とする秘密情報配送システム。
2. 前記システム前置サーバから前記データ配送先端末へ送信される電子メールには、前記ダウンロード専用ウェブサイトのＵＲＬと、この専用ウェブサイトへアクセスするために必要となるパスワードとが記載されたファイルが暗号化されて添付されていることを特徴とする請求項１に記載の秘密情報配送システム。
3. 前記配送対象情報データを分割して得られたデータピース群の一部が前記データ配送元端末へ送信された後、前記システム前置サーバは、前記配送対象情報データを再度分割して予備データピース群を作成することを特徴とする請求項１または２のいずれかに記載の秘密情報配送システム。
4. 前記可搬型記憶媒体は、不揮発性エリアと、揮発性エリアと、不可視エリアとを備えたＵＳＢメモリであることを特徴とする請求項１〜３のいずれか１に記載の秘密情報配送システム。
5. 前記データ復元手段は、前記不揮発性エリアに格納してある復元用プログラムを前記揮発性エリアに読み出し実行されることによって実現されるとともに、
   前記データ復元手段は、前記揮発性エリア上で、前記専用ウェブサイトからダウンロードされたデータピースと、前記不揮発性エリアに格納されていたデータピースとから元の配送対象情報データを復元することを特徴とする請求項４に記載の秘密情報配送システム。
6. 前記可搬型記憶媒体は、ＵＳＢキーとしての機能を兼ね備えていることを特徴とする請求項４または５のいずれかに記載の秘密情報配送システム。
7. 秘密情報データを取り扱うデータ配送元のコンピュータであって、秘密分散法に基づき秘密情報を分散管理している秘密情報管理システムにアクセスし、該システムの提供するサービスを受けることができるコンピュータが、データ配送先から依頼された秘密情報データを該データ配送先のコンピュータに安全に配送するための秘密情報配送方法であって、
   前記配送元のコンピュータが、前記秘密情報管理システムにアクセスし、前記配送先のコンピュータに配送する秘密情報データの抽出を要求すると、
   前記秘密情報管理システムは、要求された秘密情報データを抽出し、２個以上のデータピースに分割し、分割されたデータピースの一部を前記配送元のコンピュータに送信するとともに、残りのデータピースをダウンロードするための専用ウェブサイトのＵＲＬを通知する電子メールを前記配送先のコンピュータに送信する一方、
   前記配送元のコンピュータは、可搬型記憶媒体に前記秘密情報管理システムから送信されたデータピースを記録し、
   前記配送先のコンピュータは、前記電子メールで通知されたＵＲＬを用いて前記専用ウェブサイトにアクセスし、残りの情報データピースをダウンロードするとともに、前記可搬型記憶媒体と接続した状態で、前記ダウンロードしたデータピースと、前記可搬型記憶媒体に記録されていたデータピースとから元の秘密情報データを復元すること
   を特徴とする秘密情報配送方法。

Images