JP2016157321A - 情報アクセス制御装置、方法およびプログラム - Google Patents

Abstract

【課題】管理情報の体系が異なる装置間で運用負荷を増大させることなく適切なデータアクセス制御を行なう。
【解決手段】実施形態における情報アクセス制御装置は、第１の情報システムが管理する情報の情報取得要求を許可するか否かの条件が記述されたアクセス制御ルールを管理するアクセス制御ルール管理手段と、要求に含まれる、第２の情報システムの体系に従って付与された第２のユーザまたはその属性を示す第２の識別情報と、この第２の識別情報を特定するための文字列とを対応付けて管理する情報管理手段と、文字列に基づき、第２のユーザが使用する端末から送信される情報取得要求に含まれる第２の識別情報を情報管理手段から取得する取得手段と、取得した第２の識別情報をアクセス制御ルールに設定する設定手段とをもつ。
【選択図】図１

Description

本発明の実施形態は、情報アクセス制御装置、方法およびプログラムに関する。

様々なデータを格納し、多様な権限を有するユーザが利用する情報システムにおいて、アクセス制御は必須の機能である。アクセス制御は、一般に、ユーザIDや所属組織、保有資格などによりアクセス許可/不許可や範囲を記述したアクセス制御ルールを保持し、データアクセス時に当該アクセス制御ルールを参照する方法で実現される。

Webサービスにおいては、例えば、適用する対象＜Target＞の主体＜Subjects＞、資源＜Resources＞、動作＜Actions＞に対する規則からなるアクセス制御ルール＜Rule＞を記述し、それに従ってアクセス制御を実施する方式が提案されている（例えば非特許文献１参照）。

このようなアクセス制御ルールを用いる場合、例えばアクセス制御ルールに設定した、利用する所属組織や保有資格を示す値（文字列やコードなど）と、データアクセス時にアクセス元ユーザの属性として付与されてくる所属組織や保有資格の値とが一致するかどうかで、アクセス可否を判定する。

コミュニティ内で使う組織や資格などの識別子が異なる複数のコミュニティをまたいで上記のアクセス制御を実施しようとした場合にも、ある資格を示すコードや文字列について、国などにより規定されていれば、ルール設定時とアクセス時の双方でこれを用いることで、設定の意図に合ったアクセス制御を実施することができる（例えば非特許文献２参照）。

XACMLのアクセス制御ルールとその仕様、IT Media、2015年1月13日検索、インターネット＜http://www.atmarkit.co.jp/ait/articles/0212/11/news002.html＞ JAHIS HPKI 電子認証ガイドライン V1.0、JAHIS、2015年1月15日検索、インターネット＜http://web.jahis.jp/standard/seitei/st10-005/st10-005.pdf＞

しかし、コミュニティ内で使う組織や資格などの識別子が異なる複数のコミュニティをまたいでアクセス制御を実施しようとした場合、実態としては同じ組織や資格を示すにも関わらず、アクセス制御ルールで設定した所属組織や保有資格の値と、データアクセス時にアクセス元ユーザの属性として付与されてくる所属組織や保有資格の値とが一致しない場合がある。

例えば、複数の地域医療連携システムをまたがってデータを流通しようとした場合、第１の地域医療連携システムではＡ病院の地域医療連携室職員の資格コードとして「A015」と割り当て、第２の地域医療連携システムでは、同じＡ病院の地域連携室職員に対して「0099hospA」と割り当てている場合がある。この場合には、データ提供側となる第２の地域医療連携システムでは「0099hospA」を使ってアクセス制御ルールを設定し、データ要求側となる第１の地域医療連携システムでは「A015」を使って、第２の地域医療連携システムが管理するデータにアクセスしようとするため、設定の意図に反してアクセスが拒否されてしまう。このようなコード体系の不一致に対応するためのしくみは上記の非特許文献１などでは言及されていない。

また、連携する地域医療連携システム間で、管理する組織・資格が異なる場合もありうる。この場合、データ提供側の地域医療連携システムを用いたアクセス制御ルールの設定時に、データ要求側の地域医療連携システムで定義された組織・資格などの識別子の意味をユーザが識別し、設定できる必要がある。

このように、各地域医療連携システムで管理する、アクセス制御に用いる属性の違いについても、上記の非特許文献１などでは言及されていない。

複数の地域医療連携システムをまたがるデータ流通などを実現する場合、既に構築済みの地域医療連携システム同士を接続するケースが多いため、上記のアクセス制御に用いる属性の違いに起因する問題は実際に発生しうる。

これを事前に防ごうとすると、既に構築済みの地域医療連携システムのマスタデータを変更したり、マスタデータ同期のしくみを導入したりする必要があり、大幅なシステム更改が必要となる。

本発明が解決しようとする課題は、管理情報の体系が異なる装置間で運用負荷を増大させることなく適切なデータアクセス制御を行なうことを可能とする情報アクセス制御装置、方法及びプログラムを提供することである。

上記目的を達成するために、この発明の実施形態における情報アクセス制御装置の第１の態様は、データベースに記憶された、情報提供者としての第１の情報システムが管理する情報を、情報取得者としての第２の情報システムに接続された第２のユーザが使用する端末から送信される情報取得要求に応じて検索して、前記第２のユーザが使用する端末へ送信する情報アクセス制御システムに適用される情報アクセス制御装置であって、前記第１の情報システムが管理する情報の情報取得要求を許可するか否かの条件が記述されたアクセス制御ルールを管理するアクセス制御ルール管理手段と、前記情報取得要求に含まれる、前記第２の情報システムの体系に従って付与された前記第２のユーザまたはその属性を示す第２の識別情報と、前記第２の識別情報を特定するための文字列とを対応付けて管理する情報管理手段と、前記第２のユーザが使用する端末から送信される情報取得要求に対応する前記アクセス制御ルールの設定要求の入力を受け付ける入力手段と、前記文字列に基づき、前記情報取得要求に含まれる前記第２の識別情報の特定を前記情報管理手段に依頼し、結果を取得する取得手段と、前記取得した第２の識別情報を前記アクセス制御ルールに設定する設定手段と、前記第２の情報システムの体系に従って付与された前記第２のユーザの前記第２の識別情報を含む前記情報取得要求を受け付ける受付手段と、前記受け付けた情報取得要求に含まれる前記第２の識別情報に対し、当該情報取得要求で取得を要求する前記第１の情報システムの情報へのアクセスを許可するルールが前記アクセス制御ルールに設定されている場合に、前記第１の情報システムが管理する当該情報を検索して、前記第２のユーザが使用する端末に送信する送信手段とを具備する。

上記構成のアクセス制御装置の第２の態様は、前記第１の態様において、前記アクセス制御ルール管理手段は、前記情報取得要求に含まれる前記第２の情報システムの前記第２の識別情報と、当該識別情報を含む情報取得要求に対して許可する、前記第１の情報システムの管理する情報との対応を保持する。

上記構成のアクセス制御装置の第３の態様は、前記第１の態様において、前記入力手段は、前記第２のユーザからの前記情報取得要求に含まれる前記第２の識別情報を特定するための文字列に対する前記アクセス制御ルールの設定要求の入力を受け付け、前記取得手段は、前記文字列に対応する前記第２の識別情報を前記情報管理手段から取得する。
上記構成のアクセス制御装置の第４の態様は、前記第１の態様において、前記情報管理手段は、前記第２の識別情報と、当該第２の識別情報を検索するための管理情報を管理し、前記取得手段は、前記情報管理手段により管理される、前記管理情報に対応する前記第２の識別情報の候補を取得し、前記入力手段は、前記取得手段により取得した前記第２の識別情報の候補の中から１つ以上の前記第２の識別情報をユーザ操作または自動で選択し、前記選択された前記第２の識別情報に対する前記アクセス制御ルールの設定要求の入力を受け付ける。

上記目的を達成するために、この発明の実施形態における情報アクセス制御装置の第５の態様は、データベースに記憶された、情報提供者としての第１の情報システムが管理する情報を、情報取得者としての第２の情報システムに接続された第２のユーザが使用する端末から送信される情報取得要求に応じて検索して、前記第２のユーザが使用する端末へ送信する情報アクセス制御システムに適用される情報アクセス制御装置であって、前記第１の情報システムの体系に従って付与された第１の識別情報を用いて、前記第１の情報システムが管理する情報の情報取得要求を許可するか否かの条件を記述したアクセス制御ルールを管理するアクセス制御ルール管理手段と、前記情報取得要求に含まれる、前記第２の情報システムの体系に従って付与された前記第２のユーザまたはその属性を示す第２の識別情報と、前記第２の識別情報を特定するための文字列とを対応付けて管理する情報管理手段と、前記第２の情報システムの体系に従って付与された前記第２のユーザの前記第２の識別情報を含む前記情報取得要求を受け付ける受付手段と、前記受け付けた情報取得要求に含まれる前記第２の識別情報に基づいて、この第２の識別情報に対応する前記第１の識別情報を前記情報管理手段から取得する情報取得手段と、前記取得した第１の識別情報に対し、当該情報取得要求で取得を要求する前記第１の情報システムの情報へのアクセスを許可するルールが前記アクセス制御ルールに設定されている場合に、前記第１の情報システムが管理する当該情報を検索して、前記第２のユーザが使用する端末に送信する送信手段とを具備する。

本発明によれば、管理情報の体系が異なる装置間で運用負荷を増大させることなく適切なデータアクセス制御を行なうことが可能になる。

本発明の第１の実施形態における情報アクセス制御システムの構成例を示す図。 本発明の第１の実施形態における情報アクセス制御システムにおける、アクセス制御ルール設定のための手順の一例を示す図。 本発明の第２の実施形態における情報アクセス制御システムの構成例を示す図。 本発明の第２の実施形態における情報アクセス制御システムにおける、アクセス制御ルール設定のための手順の一例を示す図。

以下、図面を参照して、この発明に係わる実施形態を説明する。
図１は、本発明の第１の実施形態における情報アクセス制御システムの構成例を示す図である。
図１に示すように、第１の実施形態における情報アクセス制御システムは、コミュニティＸ（コミュニティ１０）とコミュニティＹ（コミュニティ２０）との間で、データのやり取りを行うシステムである。

コミュニティＸは、マスタ情報管理サーバ１１、連携ＧＷ（ゲートウェイ）サーバ１２、ユーザ端末１３を有する。
マスタ情報管理サーバ１１は、コミュニティＸで管理して、このコミュニティＸのユーザが取り扱う組織の名称や資格の名称を組織のＩＤや資格のＩＤと対応付けて管理する組織・資格ＤＢ（データベース）１１ａを有する。連携ＧＷサーバ１２は、ＩＤ−名称取得応答部１２ａとデータ操作要求部１２ｂとを有する。

ユーザ端末１３は、データ操作要求部１３ａを有する。このユーザ端末１３は任意のサーバであってもよい。

また、コミュニティＹは、連携ＧＷサーバ２１、ユーザ端末２２、任意のサーバ２３を有する。
連携ＧＷサーバ２１は、ＩＤ−名称取得要求部２１ａ、データ操作応答部２１ｂおよびアクセス制御ルールＤＢ２１ｃを有する。ユーザ端末２２は、アクセス制御ルール設定部２２ａを有する。

サーバ２３は、他のコミュニティへの公開用データを格納する公開用ＤＢ２３ａを有する。

上記のアクセス制御ルールＤＢ２１ｃは、他のコミュニティからの、公開用ＤＢ２３ａに格納される公開用データの情報取得要求を許可するか否かの条件が記述されたアクセス制御ルールを格納する。

また、このシステムは、属性管理サーバ３１を用いることができる。この属性管理サーバ３１は、複数コミュニティ組織・資格ＤＢ３１ａおよびＩＤ−名称取得応答部３１ｂを有する。

第１の実施形態では、アクセス制御ルール上の、ユーザの属性の所属組織や保有資格のコード（ＩＤ）体系と、データアクセス時のアクセス元ユーザの属性の所属組織や保有資格のコード体系とを揃えることができる。

具体的には、連携先（データ提供側）コミュニティ（コミュニティＹ）におけるアクセス制御ルール設定時に、連携元（データ要求側）コミュニティ（コミュニティＸ）で定義している組織・資格等の識別子をデータ提供側（コミュニティＹ）のユーザが理解できる文字列に変換し、この文字列をデータ提供側（コミュニティＹ）のユーザが指定できるようにすることで、コミュニティＸで定義された識別子を用いてアクセス制御ルールを設定できる。

次に、第１の実施形態におけるアクセス制御ルール設定の第１の例（変換方式（ｉ））について説明する。この第１の例では、データ提供側のコミュニティＹにおいて、データ要求元となるコミュニティＸ向けのアクセス制御ルールを設定するために必要な情報を、データ要求元のコミュニティＸの連携ＧＷサーバに問い合わせる。また、この例では、上記の属性管理サーバ３１は用いない。

まず、アクセス制御ルールの設定時においてコミュニティＹのユーザが、コミュニティＸ向けの、つまりコミュニティＸをデータ要求元とするアクセス制御ルール設定の要求に係る操作をユーザ端末２２に対して行うことで、このユーザ端末２２のアクセス制御ルール設定部２２ａは、アクセス制御ルール設定要求を連携ＧＷサーバ２１に出力する（Ａ１）。

コミュニティＸ向けのアクセス制御ルールに設定したい組織（属性）を指定する場合、連携ＧＷサーバ２１のＩＤ−名称取得要求部２１ａは、ルール設定対象コミュニティ（コミュニティＸ）と、組織名称（“Ａ”“病院”の両方を含む、などの曖昧検索可）を指定した取得要求をコミュニティＸの連携ＧＷサーバ１２に送信する（Ａ２）。また、上記の設定したい組織を指定しない場合、連携ＧＷサーバ２１のＩＤ−名称取得要求部２１ａは、ルール設定対象コミュニティ（コミュニティＸ）を指定した取得要求をコミュニティＸの連携ＧＷサーバ１２に送信する。

コミュニティＸのマスタ情報管理サーバ１１のＩＤ−名称取得応答部１２ａは、ＩＤ−名称取得要求部２１ａからの取得要求に応じて、コミュニティＸ向けのアクセス制御ルールに設定するための組織ＩＤを取得するために、マスタ情報管理サーバ１１の組織・資格ＤＢ１１ａにアクセスする（Ａ３）。

図２は、本発明の第１の実施形態における情報アクセス制御システムにおける、アクセス制御ルール設定のための手順の一例を示す図である。
図２に示すように、組織・資格ＤＢ１１ａは、コミュニティＸで管理する、各病院の組織名称、およびこの組織の識別子である組織ＩＤが対応付けられて管理される。図２に示した例では、組織・資格ＤＢ１１ａは３種類の属性（組織）、例えば「Ａ病院」、「Ｂ病院」、「Ｃ病院」および、この属性の識別情報、例えば「１９１」、「１４０」、「１２８」を対応付けて管理する。この識別情報は、コミュニティＸで取り扱う識別情報の体系に従う。

上記のアクセスの際に、上記のように、コミュニティＸ向けのアクセス制御ルールに設定したい組織が指定されていた場合、ＩＤ−名称取得応答部１２ａは、例えば指定されたＡ病院に対応する組織ＩＤ（１９１）を組織・資格ＤＢ１１ａから読み出して、コミュニティＹの連携ＧＷサーバ２１に返す。

ここで、複数の組織ＩＤが該当した場合には、ＩＤ−名称取得応答部１２ａは、まず、組織・資格ＤＢ１１ａで管理される上記の複数の組織ＩＤに対応する各組織名を読み出して、連携ＧＷサーバ２１を介してユーザ端末２２に返却する。この返却を受けて、コミュニティＹのユーザによる、所望の組織名の選択のためのユーザ端末２２に対する操作に応じて、ＩＤ−名称取得応答部１２ａは、この選択された組織名を取得すると、この組織名に対応する組織ＩＤを組織・資格ＤＢ１１ａから読み出して、コミュニティＹの連携ＧＷサーバ２１に返す。

また、上記のアクセスの際に、上記のように、コミュニティＸ向けのアクセス制御ルールに設定したい組織が指定されていない場合、ＩＤ−名称取得応答部１２ａは、組織・資格ＤＢ１１ａで管理される各組織名を読み出して、連携ＧＷサーバ２１を介してコミュニティＹのユーザ端末２２に返却する。

この第１の例では、コミュニティＸ向けのアクセス制御ルールに住所などで絞り込んだ組織を指定したい場合は、コミュニティＸ内のマスタ情報管理サーバ１１にて組織の住所などの属性を保有する構成とした上で、所望の属性の指定のためのユーザ端末２２に対する操作に応じて、コミュニティＹの連携ＧＷサーバ２１のＩＤ−名称取得要求部２１ａは、地域名などを用いた絞込みを行って組織名を取得して、連携ＧＷサーバ２１を介してコミュニティＹのユーザ端末２２に返却してもよい。

この返却を受けて、コミュニティＹのユーザによる、所望の組織名の選択のためのユーザ端末２２に対する操作に応じて、ＩＤ−名称取得応答部１２ａは、この選択された組織名を取得すると、この組織名に対応する組織ＩＤを組織・資格ＤＢ１１ａから読み出して、コミュニティＹの連携ＧＷサーバ２１に返す。

上記のようにコミュニティＸ向けのアクセス制御ルールに設定するためのコミュニティＸが定義した組織ＩＤの取得がなされると、コミュニティＹの連携ＧＷサーバ２１のＩＤ−名称取得要求部２１ａは、この取得したコミュニティＸが定義した組織ＩＤを用いてアクセス制御ルールＤＢ２１ｃへの書き込みを行うことでコミュニティＸ向けのアクセス制御ルールを設定する（Ａ４）。
また、組織・資格ＤＢ１１ａで組織ＩＤの曖昧検索のキーとなる情報（コミュニティのＩＤや組織名称など）を組織ＩＤと対応付けて管理しておき、所望のキーの選択のためのユーザ端末２２に対する操作に応じて、コミュニティＹの連携ＧＷサーバ２１のＩＤ−名称取得要求部２１ａは、上記のコミュニティのＩＤや組織名称を用いた絞込みを行って複数の組織ＩＤをアクセス制御ルールへの設定する組織ＩＤ（コミュニティＸ向けのアクセス制御ルールに設定するためのコミュニティＸが定義した組織ＩＤ）の候補として取得して、連携ＧＷサーバ２１を介してコミュニティＹのユーザ端末２２に返却してもよい。
この場合、この返却を受けて、コミュニティＹのユーザによる、所望の組織ＩＤの選択のためのユーザ端末２２に対する操作に応じて、ＩＤ−名称取得応答部１２ａは、この選択した組織ＩＤを用いてアクセス制御ルールＤＢ２１ｃへの書き込みを行うことでコミュニティＸ向けのアクセス制御ルールを設定することができる。

上記のようにアクセス制御ルールの設定対象のコミュニティから取得されたデータは、アクセス制御ルールに設定するだけでなく、他コミュニティのマスタ情報として管理してもよい。この管理を定期的に行えば、マスタ情報の同期を自動的に行なうことができる。

次に、第１の実施形態におけるアクセス制御ルール設定の第２の例（変換方式（ｉｉ））について説明する。この例では、上記の属性管理サーバ３１を用いる。この属性管理サーバ３１は、コミュニティをまたいで複数コミュニティの所属組織・保有資格の対応づけを複数コミュニティ組織・資格ＤＢ３１ａで管理する。

この第２の例では、データ提供側のコミュニティＹにおいて、データ要求元となるコミュニティＸ向けのアクセス制御ルールを設定するために必要な情報を、各コミュニティ外の属性管理サーバ３１に問い合わせることができる。また、この例において、アクセス制御ルールは、図１に示すような、あるコミュニティ内に限らず、属性管理サーバ３１で管理してもよい。
まず、コミュニティＸ向けのアクセス制御ルールの設定時においてコミュニティＹのユーザが、コミュニティＸ向けのアクセス制御ルール設定の要求に係る操作をユーザ端末２２に対して行うことで、このユーザ端末２２のアクセス制御ルール設定部２２ａは、アクセス制御ルール設定要求を連携ＧＷサーバ２１に出力する（Ｂ１）
コミュニティＸ向けのアクセス制御ルールに設定したい組織（属性）を指定する場合、連携ＧＷサーバ２１のＩＤ−名称取得要求部２１ａは、ルール設定対象コミュニティ（コミュニティＸ）と、組織名称（“Ａ”“病院”の両方を含む、などの曖昧検索可）を指定した取得要求を属性管理サーバ３１に送信する（Ｂ２）。

また、上記の設定したい組織を指定しない場合、連携ＧＷサーバ２１のＩＤ−名称取得要求部２１ａは、ルール設定対象コミュニティ（コミュニティＸ）を指定した取得要求を属性管理サーバ３１に送信する。

属性管理サーバ３１のＩＤ−名称取得応答部３１ｂは、ＩＤ−名称取得要求部２１ａからの取得要求に応じて、コミュニティＸ向けのアクセス制御ルールに設定するための組織ＩＤを取得するために複数コミュニティ組織・資格ＤＢ３１ａにアクセスする。

図２に示すように、複数コミュニティ組織・資格ＤＢ３１ａでは、コミュニティＸを含む各コミュニティで管理する、各病院の組織名称、およびこの組織の識別子である組織ＩＤが対応付けられて管理される。
図２に示した例では、複数コミュニティ組織・資格ＤＢ３１ａは、コミュニティＸについて、３種類の属性（Ａ病院、Ｂ病院、Ｃ病院）、および、この属性の識別情報（１９１、１４０、１２８）を対応付けて管理し、この識別情報は、コミュニティＸで取り扱う識別情報の体系に従う。

また、この複数コミュニティ組織・資格ＤＢ３１ａは、コミュニティＹについて、少なくとも１種類の属性（Ａ総合病院など）、および、この属性の識別情報（２０９など）を対応付けて管理し、この識別情報は、コミュニティＹで取り扱う識別情報の体系に従う。

図２に示した例における、「Ａ病院」と「Ａ総合病院」や、「Ｂ病院」と「Ｂ総合病院」はそれぞれ同じ病院、つまり同じ属性を指すものとする。
また、複数コミュニティ組織・資格ＤＢ３１ａの管理では、同一の組織（属性）に対する各コミュニティの組織ＩＤや組織名称が対応付くように名寄せして管理しなくともよい。

上記のアクセスの際に、上記のように、コミュニティＸ向けのアクセス制御ルールに設定したい組織が指定されていた場合、ＩＤ−名称取得応答部３１ｂは、例えば指定されたＡ病院に対応する組織ＩＤ（１９１）を複数コミュニティ組織・資格ＤＢ３１ａにおける、コミュニティＸ用の管理データから読み出して、コミュニティＹの連携ＧＷサーバ２１に返す。

ここで、複数のＩＤが該当した場合には、ＩＤ−名称取得応答部３１ｂは、まず、複数コミュニティ組織・資格ＤＢ３１ａにおける、コミュニティＸ用の管理データで管理される、上記の複数のＩＤに対応する各組織名を読み出して、連携ＧＷサーバ２１を介してコミュニティＹのユーザ端末２２に返却する。
この返却を受けて、コミュニティＹのユーザによる、特定の組織名の選択のためのユーザ端末２２に対する操作に応じて、ＩＤ−名称取得応答部３１ｂは、この選択された組織名を取得すると、この組織名に対応する組織ＩＤを複数コミュニティ組織・資格ＤＢ３１ａにおける、コミュニティＸ用の管理データから読み出して、コミュニティＹの連携ＧＷサーバ２１に返す。

また、上記のアクセスの際に、上記のように、コミュニティＸ向けのアクセス制御ルールに設定したい組織が指定されていない場合、ＩＤ−名称取得応答部３１ｂは、複数コミュニティ組織・資格ＤＢ３１ａにおける、コミュニティＸ用の管理データで管理される各組織名を読み出して、連携ＧＷサーバ２１を介してコミュニティＹのユーザ端末２２に返却する。

この第２の例では、コミュニティＸ向けのアクセス制御ルールに住所などで絞り込んだ組織を指定したい場合は、属性管理サーバ３１にて組織の住所などの属性を保有する構成としたうえで、所望の属性の指定のためのユーザ端末２２に対する操作に応じて、コミュニティＹの連携ＧＷサーバ２１のＩＤ−名称取得要求部２１ａは、地域名などを用いた絞込みを行って組織名を取得して、連携ＧＷサーバ２１を介してコミュニティＹのユーザ端末２２に返却してもよい。

この返却を受けて、コミュニティＹのユーザによる、所望の組織名の選択のためのユーザ端末２２に対する操作に応じて、ＩＤ−名称取得応答部３１ｂは、この選択された組織名を取得すると、この組織名に対応する組織ＩＤを複数コミュニティ組織・資格ＤＢ３１ａにおける、コミュニティＸ用の管理データから読み出して、コミュニティＹの連携ＧＷサーバ２１に返す。

上記のようにコミュニティＸ向けのアクセス制御ルールに設定するためのコミュニティＸが定義した組織ＩＤの取得がなされると、コミュニティＹの連携ＧＷサーバ２１のＩＤ−名称取得要求部２１ａは、この取得したコミュニティＸが定義した組織ＩＤを用いてアクセス制御ルールＤＢ２１ｃへの書き込みを行うことでアクセス制御ルールを設定する（Ｂ３）。
また、属性管理サーバ３１で組織ＩＤの曖昧検索のキーとなる情報（コミュニティのＩＤや組織名称など）を組織ＩＤと対応付けて管理しておき、所望のキーの指定のためのユーザ端末２２に対する操作に応じて、コミュニティＹの連携ＧＷサーバ２１のＩＤ−名称取得要求部２１ａは、上記のコミュニティのＩＤや組織名称を用いた絞込みを行って複数の組織ＩＤをアクセス制御ルールへの設定する組織ＩＤ（コミュニティＸ向けのアクセス制御ルールに設定するためのコミュニティＸが定義した組織ＩＤ）の候補として取得して、連携ＧＷサーバ２１を介してコミュニティＹのユーザ端末２２に返却してもよい。
この場合、この返却を受けて、コミュニティＹのユーザによる、所望の組織ＩＤの選択のためのユーザ端末２２に対する操作に応じて、ＩＤ−名称取得応答部１２ａは、この選択した組織ＩＤを用いてアクセス制御ルールＤＢ２１ｃへの書き込みを行うことでコミュニティＸ向けのアクセス制御ルールを設定することができる。

この第２の例では、コミュニティＸとコミュニティＹとの双方で同じ組織・資格を別のＩＤで管理していることが明らかな場合は、コミュニティＸ側の管理データ上のＩＤを、図示しないコミュニティＹ内のマスタ情報管理サーバで管理するＩＤに変換して、このＩＤを用いてアクセス制御ルールが設定されても良い。

また、コミュニティＸのマスタ情報管理サーバ１１は、組織・資格ＤＢ１１ａで管理する管理データに更新が生じた場合は、この更新の都度、管理データの更新を属性管理サーバ３１に通知してもよい。この場合、属性管理サーバ３１は、マスタ情報管理サーバ１１からの通知に従って、複数コミュニティ組織・資格ＤＢ３１ａにおける、コミュニティＸ用の管理データを更新する。

次に、上記のように設定されたアクセス制御ルールを用いたデータ操作について、Ａ病院に所属するユーザがコミュニティＹが管理するＡ病院に対して許可されたデータを取得する場合を例として説明する。まず、データ要求側のコミュニティＸのユーザが、コミュニティＹのサーバ２３の公開用ＤＢ２３ａに格納される、他コミュニティへの公開用データにおける、所望の属性、例えばＡ病院に対して許可されたデータの取得要求に係る操作をユーザ端末１３に対して行うことで、このユーザ端末１３のデータ操作要求部１３ａは、データ操作要求を連携ＧＷサーバ１２に出力する（Ｄ１）。このデータ操作要求には、上記のデータ操作要求を実行したユーザの属性の識別情報（例えばＡ病院に対応する組織ＩＤ「１９１」）が含まれる。この識別情報は、コミュニティＸで取り扱う識別情報の体系に従う。
連携ＧＷサーバ１２のデータ操作要求部１２ｂは、アクセス元ユーザのコミュニティＸにおける認証結果情報としてコミュニティＸが定義した識別情報（例えば組織ＩＤ「１９１」）を含む、データ取得要求をコミュニティＹの連携ＧＷサーバ２１に送信する（Ｄ２）。

連携ＧＷサーバ２１のデータ操作応答部２１ｂは、上記のデータ取得要求に応じて、この取得要求に含まれる組織ＩＤ（１９１）が、アクセス制御ルールＤＢ２１ｃに格納されるアクセス制御ルールに設定されている場合には、この組織ＩＤに対して許可されたコミュニティＹ内の公開用データ、例えばＡ病院に関わるデータをサーバ２３の公開用ＤＢ２３ａから読み出す（Ｄ３）。この読み出されたデータは、連携ＧＷサーバ２１およびコミュニティＸの連携ＧＷサーバ１２を介してコミュニティＸのユーザ端末１３に返される。

以上のように、第１の実施形態では、データ提供側のコミュニティ（例えばコミュニティＹ）において、要求元となるコミュニティ向け（例えばコミュニティＸ）のアクセス制御ルールを設定する際に、要求元コミュニティ、またはコミュニティをまたいで複数コミュニティの所属組織・保有資格の対応づけを管理するサーバで管理する組織・資格情報を参照することで、要求元コミュニティが定義する組織ＩＤを用いて設定できるため、アクセス制御ルールが設定されるコミュニティ（例えばコミュニティＹ）内のマスタ情報管理サーバと要求元となるコミュニティＸのマスタ情報管理サーバとで同じ組織に対応する管理データが設定されていなくてもよい。

第１の実施形態では、データ提供側でアクセス制御ルールを設定する際に、組織や資格などのユーザ属性の識別子のマスタ情報をデータ提供側とデータ要求側のコミュニティの間で同期せずとも、データ提供側のコミュニティで設定したアクセス制御ルールを用いて、コミュニティ間のデータ操作要求に応じたデータを、適切なアクセス元ユーザのみに提供することができるようになる。

上記の例では、コミュニティＹで設定するアクセス制御ルールにおける、データ要求元のコミュニティが１つ（コミュニティＸ）である例について説明したが、データ要求元のコミュニティが複数ある場合についてもアクセス制御ルールは設定できる。この場合、コミュニティＹで設定するアクセス制御ルールは、データ要求元のコミュニティで取り扱う体系に応じて設定されるため、データ要求元のコミュニティが複数ある場合は、データ要求元のコミュニティごとに区分してアクセス制御ルールを設定すればよい。

（第２の実施形態）
次に、本発明の第２の実施形態について説明する。なお、この実施形態における構成のうち第１の実施形態で説明した部分と同一部分の詳細な説明は省略する。
第２の実施形態では、連携元（データ要求側）コミュニティ（例えばコミュニティＸ）から連携先（データ提供側）コミュニティ（例えばコミュニティＹ）に対するデータアクセス時に、アクセス元ユーザの属性に含まれる、連携元コミュニティ（例えばコミュニティＸ）における所属組織や保有資格のコードを、連携先コミュニティ（コミュニティＹ）におけるコードに変換してからアクセス制御ルールを参照する。

図３は、本発明の第２の実施形態における情報アクセス制御システムの構成例を示す図である。
図３に示すように、第２の実施形態における情報アクセス制御システムは、コミュニティＸ（コミュニティ１０）とコミュニティＹ（コミュニティ２０）との間で、データのやり取りを行うシステムである。

コミュニティＸは、マスタ情報管理サーバ１１、連携ＧＷ（ゲートウェイ）サーバ１２、ユーザ端末１３を有する。
マスタ情報管理サーバ１１は、第１の実施形態で説明した組織・資格ＤＢ（データベース）１１ａを有する。連携ＧＷサーバ１２はデータ操作要求部１２ｂを有する。

ユーザ端末１３は、データ操作要求部１３ａを有する。このユーザ端末１３は任意のサーバであってもよい。

また、コミュニティＹは、第１の実施形態で説明した連携ＧＷサーバ２１、ユーザ端末２２、任意のサーバ２３を有する。
また、このシステムは、属性管理サーバ３１を用いることができる。この属性管理サーバ３１は、第１の実施形態で説明した複数コミュニティ組織・資格ＤＢ３１ａ、ＩＤ−名称取得応答部３１ｂを有する。

次に、第２の実施形態におけるアクセス制御ルール設定の一例について説明する。この例では、上記の属性管理サーバ３１を用いる。
まず、アクセス制御ルールの設定時においてコミュニティＹのユーザが、アクセス制御ルール設定の要求に係る操作をユーザ端末２２に対して行うことで、このユーザ端末２２のアクセス制御ルール設定部２２ａは、コミュニティＹで取り扱う情報の属性の識別情報の体系にしたがった識別ＩＤ（例えば「Ａ総合病院」に対応する識別ＩＤ（２０９））を用いて連携ＧＷサーバ２１のアクセス制御ルールＤＢ２１ｃへの書き込みを行うことでアクセス制御ルールを設定する（Ｄ１１）
また、コミュニティＸのマスタ情報管理サーバ１１は、組織・資格ＤＢ１１ａで管理する管理データに更新が生じた場合は、この更新の都度、管理データの更新を属性管理サーバ３１に通知してもよい。この場合、属性管理サーバ３１は、マスタ情報管理サーバ１１からの通知に従って、複数コミュニティ組織・資格ＤＢ３１ａにおける、コミュニティＸ用の管理データを更新する（Ａ０）。

次に、上記のように設定されたアクセス制御ルールを用いたデータ操作について、Ａ病院に所属するコミュニティＸのユーザが、コミュニティＹが管理するＡ病院に対して許可されたデータを取得する場合を例として説明する。まず、データ要求側のコミュニティＸのユーザが、コミュニティＹのサーバ２３の公開用ＤＢ２３ａに格納される、他コミュニティへの公開用データにおける、所望の属性、例えばＡ病院に対して許可されたデータの取得要求に係る操作をユーザ端末１３に対して行うことで、このユーザ端末１３のデータ操作要求部１３ａは、データ操作要求を連携ＧＷサーバ１２に出力する（Ａ１１）。このデータ操作要求には、上記のデータ操作要求を実行したユーザの属性の識別情報（例えば「Ａ病院」に対応する識別ＩＤ（１９１））が含まれる。この識別情報は、コミュニティＸで取り扱う識別情報の体系に従う。

連携ＧＷサーバ１２のデータ操作要求部１２ｂは、アクセス元ユーザのコミュニティＸにおける認証結果情報としてコミュニティＸが定義した識別情報（例えば組織ＩＤ「１９１」）を含む、データ取得要求をコミュニティＹの連携ＧＷサーバ２１に送信する（Ａ１２）。

連携ＧＷサーバ２１のデータ操作応答部２１ｂは、上記のデータ取得要求に応じて、上記のアクセス元ユーザの識別情報と同じ属性の、コミュニティＹが取り扱う体系にしたがった識別情報を取得するための要求信号をＩＤ−名称取得要求部２１ａに出力する（Ａ１３）。

ＩＤ−名称取得要求部２１ａは、データ取得要求で示される識別情報の属性（例えばコミュニティＸで取り扱う、「Ａ病院」に対応する識別ＩＤ（１９１））と同じ属性の、コミュニティＹが取り扱う体系にしたがった識別情報（例えばコミュニティＹで取り扱う、「Ａ総合病院」に対応する識別ＩＤ（２０９））の取得要求を属性管理サーバ３１に送信する（Ａ１４）。

属性管理サーバ３１のＩＤ−名称取得応答部３１ｂは、ＩＤ−名称取得要求部２１ａからの取得要求に応じて、コミュニティＹが取り扱う体系にしたがった組織ＩＤを取得するために複数コミュニティ組織・資格ＤＢ３１ａにアクセスする。

図４は、本発明の第２の実施形態における情報アクセス制御システムにおける、アクセス制御ルール設定のための手順の一例を示す図である。
図４に示すように、複数コミュニティ組織・資格ＤＢ３１ａでは、コミュニティＸを含む各コミュニティで管理する、各病院の組織名称、およびこの組織の識別子である組織ＩＤが対応付けられて管理される。
図４に示した例では、複数コミュニティ組織・資格ＤＢ３１ａは、コミュニティＸについて、３種類の属性（Ａ病院、Ｂ病院、Ｃ病院）、および、この属性の識別情報（１９１、１４０、１２８）を対応付けて管理し、この識別情報は、コミュニティＸで取り扱う識別情報の体系に従う。

また、この複数コミュニティ組織・資格ＤＢ３１ａは、コミュニティＹについて、少なくとも１種類の属性（Ａ総合病院など）、および、この属性の識別情報（２０９など）を対応付けて管理し、この識別情報は、コミュニティＹで取り扱う識別情報の体系に従う。
図４に示した例における、「Ａ病院」と「Ａ総合病院」や、「Ｂ病院」と「Ｂ総合病院」は、各コミュニティで呼び名が異なっているだけの、それぞれ同じ組織、つまり同じ属性を指すものとする。

また、第２の実施形態では、複数コミュニティ組織・資格ＤＢ３１ａの管理では、同一の組織（属性）に対する各コミュニティの組織ＩＤや組織名称が対応付くように、管理ＩＤを用いて名寄せして管理する。

上記のアクセスの際に、ＩＤ−名称取得応答部３１ｂは、例えばコミュニティＸで取り扱う体系にしたがった、Ａ病院に対応する組織ＩＤ（１９１）と同じ属性で、コミュニティＹで取り扱う体系にしたがった、Ａ総合病院（Ａ病院と同じ組織）に対応する組織ＩＤ（２０９）を複数コミュニティ組織・資格ＤＢ３１ａにおける、コミュニティＸ用の管理データから読み出して、コミュニティＹの連携ＧＷサーバ２１のＩＤ−名称取得応答部３１ｂを介してデータ操作応答部２１ｂに返す。つまり、データ取得要求に含まれるコミュニティXで取り扱う体系に従った組織ＩＤが、コミュニティＹで取り扱う体系に従った組織ＩＤに変換されることになる。

連携ＧＷサーバ２１のデータ操作応答部２１ｂは、アクセス制御ルールＤＢ２１ｃにアクセスし（Ａ１５）、上記のように属性管理サーバ３１から返された組織ＩＤ（２０９）、つまりコミュニティＹで取り扱う体系に従った組織ＩＤが、アクセス制御ルールＤＢ２１ｃに格納されるアクセス制御ルールに設定されている場合には、この組織ＩＤに対して許可されたコミュニティＹ内の公開用データ、例えばＡ病院に関わるデータをサーバ２３の公開用ＤＢ２３ａから読み出す（Ａ１６）。この読み出されたデータは、連携ＧＷサーバ２１およびコミュニティＸの連携ＧＷサーバ１２を介してコミュニティＸのユーザ端末１３に返される。

以上のように、第２の実施形態では、データ要求元となるコミュニティ（例えばコミュニティＸ）からデータ提供側となるコミュニティ（例えばコミュニティＹ）のデータ取得を要求する際に、データ要求に含まれるデータ要求元のコミュニティで取り扱う体系に従った識別情報を、データ提供側のコミュニティで取り扱う体系に従った識別情報に変換することで、自己のコミュニティで取り扱う体系に従った識別情報で記述されたデータ提供側のアクセス制御ルールとの突合を行うことができる。

これにより、組織や資格などのユーザ属性の識別子のマスタ情報をデータ提供側とデータ要求側のコミュニティの間で同期せずとも、データ提供側のコミュニティで設定したアクセス制御ルールを用いて、コミュニティ間のデータ操作要求に応じたデータを、適切なアクセス元ユーザのみに提供することができるようになる。

また、第２の実施形態では、データ要求元のコミュニティが複数存在しても、データ提供側のコミュニティでは共通のアクセス制御ルールを用いることができるため、コミュニティで設定されるアクセス制御ルールを簡素化できる。

なお、本発明は上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合わせにより、種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態にわたる構成要素を適宜組み合わせてもよい。

また、各実施形態に記載した手法は、計算機（コンピュータ）に実行させることができるプログラム（ソフトウエア手段）として、例えば磁気ディスク（フロッピー（登録商標）ディスク、ハードディスク等）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤ、ＭＯ等）、半導体メモリ（ＲＯＭ、ＲＡＭ、フラッシュメモリ等）等の記録媒体に格納し、また通信媒体により伝送して頒布することもできる。なお、媒体側に格納されるプログラムには、計算機に実行させるソフトウエア手段（実行プログラムのみならずテーブルやデータ構造も含む）を計算機内に構成させる設定プログラムをも含む。本装置を実現する計算機は、記録媒体に記録されたプログラムを読み込み、また場合により設定プログラムによりソフトウエア手段を構築し、このソフトウエア手段によって動作が制御されることにより上述した処理を実行する。なお、本明細書でいう記録媒体は、頒布用に限らず、計算機内部あるいはネットワークを介して接続される機器に設けられた磁気ディスクや半導体メモリ等の記憶媒体を含むものである。

１０，２０…コミュニティ
１１…マスタ情報管理サーバ
１１ａ…組織・資格ＤＢ（データベース）
１２，２１…連携ＧＷ（ゲートウェイ）サーバ
１２ａ，２１ａ，３１ｂ…ＩＤ−名称取得応答部
１２ｂ，１３ａ…データ操作要求部
１３，２２…ユーザ端末
２１ｂ…データ操作応答部
２２ａ…アクセス制御ルール設定部
２３…任意のサーバ
３１…属性管理サーバ

Claims (8)

1. データベースに記憶された、情報提供者としての第１の情報システムが管理する情報を、情報取得者としての第２の情報システムに接続された第２のユーザが使用する端末から送信される情報取得要求に応じて検索して、前記第２のユーザが使用する端末へ送信する情報アクセス制御システムに適用される情報アクセス制御装置であって、
   前記第１の情報システムが管理する情報の情報取得要求を許可するか否かの条件が記述されたアクセス制御ルールを管理するアクセス制御ルール管理手段と、
   前記情報取得要求に含まれる、前記第２の情報システムの体系に従って付与された前記第２のユーザまたはその属性を示す第２の識別情報と、前記第２の識別情報を特定するための文字列とを対応付けて管理する情報管理手段と、
   前記第２のユーザが使用する端末から送信される情報取得要求に対応する前記アクセス制御ルールの設定要求の入力を受け付ける入力手段と、
   前記文字列に基づき、前記情報取得要求に含まれる前記第２の識別情報の特定を前記情報管理手段に依頼し、結果を取得する取得手段と、
   前記取得した第２の識別情報を前記アクセス制御ルールに設定する設定手段と、
   前記第２の情報システムの体系に従って付与された前記第２のユーザの前記第２の識別情報を含む前記情報取得要求を受け付ける受付手段と、
   前記受け付けた情報取得要求に含まれる前記第２の識別情報に対し、当該情報取得要求で取得を要求する前記第１の情報システムの情報へのアクセスを許可するルールが前記アクセス制御ルールに設定されている場合に、前記第１の情報システムが管理する当該情報を検索して、前記第２のユーザが使用する端末に送信する送信手段と
   を具備することを特徴とする情報アクセス制御装置。
2. 前記アクセス制御ルール管理手段は、
   前記情報取得要求に含まれる前記第２の情報システムの前記第２の識別情報と、当該識別情報を含む情報取得要求に対して許可する、前記第１の情報システムの管理する情報との対応を保持する
   ことを特徴とする請求項１に記載の情報アクセス制御装置。
3. 前記入力手段は、
   前記第２のユーザからの前記情報取得要求に含まれる前記第２の識別情報を特定するための文字列に対する前記アクセス制御ルールの設定要求の入力を受け付け、
   前記取得手段は、
   前記文字列に対応する前記第２の識別情報を前記情報管理手段から取得する
   ことを特徴とする請求項１に記載の情報アクセス制御装置。
4. 前記情報管理手段は、
   前記第２の識別情報と、当該第２の識別情報を検索するための管理情報とを管理し、
   前記取得手段は、
   前記情報管理手段により管理される、前記管理情報に対応する前記第２の識別情報の候補を取得し、
   前記入力手段は、
   前記取得手段により取得した前記第２の識別情報の候補の中から１つ以上の前記第２の識別情報をユーザ操作または自動で選択し、前記選択された前記第２の識別情報に対する前記アクセス制御ルールの設定要求の入力を受け付ける
   ことを特徴とする請求項１に記載の情報アクセス制御装置。
5. データベースに記憶された、情報提供者としての第１の情報システムが管理する情報を、情報取得者としての第２の情報システムに接続された第２のユーザが使用する端末から送信される情報取得要求に応じて検索して、前記第２のユーザが使用する端末へ送信する情報アクセス制御システムに適用される情報アクセス制御装置であって、
   前記第１の情報システムの体系に従って付与された第１の識別情報を用いて、前記第１の情報システムが管理する情報の情報取得要求を許可するか否かの条件を記述したアクセス制御ルールを管理するアクセス制御ルール管理手段と、
   前記情報取得要求に含まれる、前記第２の情報システムの体系に従って付与された前記第２のユーザまたはその属性を示す第２の識別情報と、前記第２の識別情報を特定するための文字列とを対応付けて管理する情報管理手段と、
   前記第２の情報システムの体系に従って付与された前記第２のユーザの前記第２の識別情報を含む前記情報取得要求を受け付ける受付手段と、
   前記受け付けた情報取得要求に含まれる前記第２の識別情報に基づいて、この第２の識別情報に対応する前記第１の識別情報を前記情報管理手段から取得する情報取得手段と、
   前記取得した第１の識別情報に対し、当該情報取得要求で取得を要求する前記第１の情報システムの情報へのアクセスを許可するルールが前記アクセス制御ルールに設定されている場合に、前記第１の情報システムが管理する当該情報を検索して、前記第２のユーザが使用する端末に送信する送信手段と
   を具備することを特徴とする情報アクセス制御装置。
6. データベースに記憶された、情報提供者としての第１の情報システムが管理する情報を、情報取得者としての第２の情報システムに接続された第２のユーザが使用する端末から送信される情報取得要求に応じて検索して、前記第２のユーザが使用する端末へ送信する情報アクセス制御システム内の情報アクセス制御装置に適用される方法であって、
   前記第１の情報システムが管理する情報の情報取得要求を許可するか否かの条件が記述されたアクセス制御ルールを管理し、
   前記情報取得要求に含まれる、前記第２の情報システムの体系に従って付与された前記第２のユーザまたはその属性を示す第２の識別情報と、前記第２の識別情報を特定するための文字列とを対応付けた管理情報を管理し、
   前記第２のユーザが使用する端末から送信される情報取得要求に対応する前記アクセス制御ルールの設定要求の入力を受け付け、
   前記文字列に基づき、前記情報取得要求に含まれる前記第２の識別情報を前記管理情報から取得し、
   前記取得した第２の識別情報を前記アクセス制御ルールに設定し、
   前記第２の情報システムの体系に従って付与された前記第２のユーザの前記第２の識別情報を含む前記情報取得要求を受け付け、
   前記受け付けた情報取得要求に含まれる前記第２の識別情報に対し、当該情報取得要求で取得を要求する前記第１の情報システムの情報へのアクセスを許可するルールが前記アクセス制御ルールに設定されている場合に、前記第１の情報システムが管理する情報を当該検索して、前記第２のユーザが使用する端末に送信する
   ことを特徴とする情報アクセス制御方法。
7. データベースに記憶された、情報提供者としての第１の情報システムが管理する情報を、情報取得者としての第２の情報システムに接続された第２のユーザが使用する端末から送信される情報取得要求に応じて検索して、前記第２のユーザが使用する端末へ送信する情報アクセス制御システム内の情報アクセス制御装置に適用される方法であって、
   前記第１の情報システムの体系に従って付与された第１の識別情報を用いて、前記第１の情報システムが管理する情報の情報取得要求を許可するか否かの条件を記述したアクセス制御ルールを管理し、
   前記情報取得要求に含まれる、前記第２の情報システムの体系に従って付与された前記第２のユーザまたはその属性を示す第２の識別情報と、前記第２の識別情報を特定するための文字列とを対応付けた管理情報を管理し、
   前記第２の情報システムの体系に従って付与された前記第２のユーザの前記第２の識別情報を含む前記情報取得要求を受け付け、
   前記受け付けた情報取得要求に含まれる前記第２の識別情報に基づいて、この第２の識別情報に対応する前記第１の識別情報を前記管理情報から取得し、
   前記取得した第１の識別情報に対し、当該情報取得要求で取得を要求する前記第１の情報システムの情報へのアクセスを許可するルールが前記アクセス制御ルールに設定されている場合に、前記第１の情報システムが管理する当該情報を検索して、前記第２のユーザが使用する端末に送信する
   ことを特徴とする情報アクセス制御方法。
8. 請求項１に記載の情報アクセス制御装置の一部分として動作するコンピュータに用いられるプログラムであって、
   前記コンピュータを、
   前記アクセス制御ルール管理手段、前記情報管理手段、前記入力手段、前記取得手段、前記設定手段、前記受付手段、および前記送信手段
   として機能させるための情報アクセス制御プログラム。

Images