JP2017027395A - 情報管理システムおよび業務システム - Google Patents

Abstract

【課題】マイナンバー（登録情報）のような機密性が高いＩＤを安全活用するための技術を提供する。【解決手段】業務システム１０３は、行政機関から付与されるマイナンバー（登録商標）を管理するマイナンバー管理サーバ１０２と通信ネットワーク１０１を介して接続される。マイナンバー管理サーバ１０２がマイナンバー（登録商標）からハッシュ関数により生成する派生ＩＤ（ハッシュ値）と社員番号はＩＤ格納部１２６において対応づけられ、派生ＩＤと個人情報は知財情報格納部１３６等において対応づけられる。データ処理部１２４とデータ処理部１３４は、社員番号を指定されたとき、派生ＩＤおよび個人情報を検出し、帳票データを生成する。帳票データは通信部１２３から送信され、マイナンバー管理サーバ１０２からマイナンバー（登録商標）を含む帳票データを受信する。【選択図】図１

Description

本発明は、情報管理、特に、行政機関から付与されるＩＤの管理方法に関する。

平成２７年の１０月から、国民１人１人にマイナンバー（登録商標）とよばれる社会保障・税番号が付与される。マイナンバー（登録商標）は１２桁の数字から構成され、原則として、一生変更されない。平成２８年から、社会保障、税、災害対策の行政手続においてマイナンバー（登録商標）が必要となる。民間企業も、社会保障や税の手続で従業員のマイナンバー（登録商標）を利用するため、従業員は勤務先にマイナンバー（登録商標）を通知することになる（特許文献１）。

特開２０１４−４１４９０号公報

原則として変更されないマイナンバー（登録商標）は便利である一方、目的外の安易な使用は制限される。民間企業においても、上記手続に関係する従業員、たとえば、経理部の担当部員のみにマイナンバー（登録商標）へのアクセス権を制限するといった対策が求められる。マイナンバー（登録商標）を預かる民間企業は、マイナンバー（登録情報）の漏洩がなされないように充分に留意する必要がある。

本発明は、上記課題に鑑みてなされたものであり、その主たる目的は、マイナンバー（登録情報）のような機密性が高いＩＤを安全活用するための技術を提供することである。

本発明のある態様の情報管理システムは、基本ＩＤ管理システムと、基本ＩＤ管理システムと通信ネットワークを介して接続される１以上の業務システムと、を備える。
基本ＩＤ管理システムは、行政機関から個人を特定するために付与される基本ＩＤから、非可逆関数により派生ＩＤを生成する第１データ処理部と、基本ＩＤと派生ＩＤとを対応付けて保持する基本ＩＤ格納部と、派生ＩＤを業務システムに送信する第１通信部と、を備える。
業務システムは、派生ＩＤと個人情報を対応づけて保持する個人情報格納部と、派生ＩＤを指定されたとき、派生ＩＤに対応づけられている個人情報と派生ＩＤを含む帳票データを生成する第２データ処理部と、帳票データを基本ＩＤ管理システムに送信する第２通信部と、を備える。
基本ＩＤ管理システムの第１通信部は、帳票データを受信したとき、帳票データに含まれる派生ＩＤに対応する基本ＩＤを帳票データに付与して業務システムに返信する。

本発明の別の態様もまた、情報管理システムである。
この情報管理システムは、基本ＩＤ管理システムと、基本ＩＤ管理システムと通信ネットワークを介して接続される１以上の業務システムと、を備える。
基本ＩＤ管理システムは、行政機関から個人を特定するために付与される基本ＩＤから、非可逆関数により派生ＩＤを生成する第１データ処理部と、基本ＩＤと派生ＩＤとを対応付けて保持する基本ＩＤ格納部と、派生ＩＤを業務システムに送信する第１通信部と、を備える。
業務システムは、派生ＩＤと、基本ＩＤとは異なる個人を特定するための個人ＩＤを対応づけて保持する個人ＩＤ格納部と、個人ＩＤと個人情報を対応づけて保持する個人情報格納部と、個人ＩＤを指定されたとき、個人ＩＤに対応づけられている派生ＩＤおよび個人情報を検出し、個人情報と派生ＩＤを含む帳票データを生成する第２データ処理部と、帳票データを基本ＩＤ管理システムに送信する第２通信部と、を備える。
基本ＩＤ管理システムの第１通信部は、帳票データを受信したとき、帳票データに含まれる派生ＩＤに対応する基本ＩＤを帳票データに付与して業務システムに返信する。

本発明のさらに別の態様は、基本ＩＤ管理システムである。
この基本ＩＤ管理システムは、複数の企業がそれぞれ運営する複数の業務システムと通信ネットワークを介して接続され、行政機関から個人を特定するために付与される基本ＩＤから、非可逆関数により派生ＩＤを生成する第１データ処理部と、基本ＩＤと派生ＩＤとを対応付けて保持する基本ＩＤ格納部と、派生ＩＤを業務システムに送信する第１通信部と、を備える。
第１通信部は、業務システムから派生ＩＤを含む帳票データを受信したとき、派生ＩＤに対応する基本ＩＤを帳票データに付与して業務システムに返信する。

本発明のさらに別の態様は、業務システムである。
この業務システムは、行政機関から個人を特定するために付与される基本ＩＤを管理する基本ＩＤ管理システムと通信ネットワークを介して接続され、基本ＩＤ管理システムが基本ＩＤから非可逆関数により生成する派生ＩＤと、基本ＩＤとは異なる個人を特定するための個人ＩＤを対応づけて保持する個人ＩＤ格納部と、個人ＩＤと個人情報を対応づけて保持する個人情報格納部と、個人ＩＤを指定されたとき、個人ＩＤに対応づけられている派生ＩＤおよび個人情報を検出し、個人情報と派生ＩＤを含む帳票データを生成する第２データ処理部と、帳票データを基本ＩＤ管理システムに送信する第２通信部と、を備える。
第２通信部は、基本ＩＤ管理システムから、派生ＩＤに対応する基本ＩＤを付与された帳票データを受信する。

本発明によれば、厳重なセキュリティが要求されるＩＤの安全性を確保して利活用を図ることが可能となる。

情報管理システムの機能ブロック図である。 マイナンバー管理サーバのマイナンバー格納部のデータ構造図である。 マイナンバー管理サーバのＩＤ格納部のデータ構造図である。 組織管理サーバのＩＤ格納部のデータ構造図である。 知財サーバの知財情報格納部のデータ構造図である。 給与サーバの給与情報格納部のデータ構造図である。 マイナンバー付与前の給与明細情報を示す図である。 マイナンバー付与後の給与明細情報を示す図である。 派生ＩＤと個人情報のつながりを示す模式図である。 マイナンバー管理サーバにおける個人情報の初期登録過程を示すフローチャートである。 派生ＩＤの生成過程を示すフローチャートである。 組織管理サーバにおいて社員番号を変更する過程を示すフローチャートである。 給与サーバの情報検索処理過程を示すフローチャートである。 情報検索結果を示す画面図である。

［第１の実施形態］
図１は、情報管理システム１００の機能ブロック図である。
情報管理システム１００おいては、マイナンバー管理サーバ１０２（基本ＩＤ管理システム）と複数の業務システム１０３がマイナンバー管理サーバ１０２によって接続される。以下、企業Ａで運用される業務システム１０３を対象として説明する。

企業Ａの業務システム１０３においては、イントラネット１２８を介して、組織管理サーバ１１８、知財サーバ１３０、給与サーバ１３８およびユーザ端末１４８ａ，１４８ｂが互いに接続される。ユーザ端末１４８ａ，１４８ｂは、企業Ａの従業員によって操作されるクライアント端末である。ユーザは、ユーザ端末１４８を介して、業務システム１０３内の各サーバにアクセスする。イントラネット１２８には図示しない他のサーバやユーザ端末１４８も接続されている。以下、知財サーバ１３０および給与サーバ１３８を社内の業務サーバの代表として説明する。

マイナンバー管理サーバ１０２、組織管理サーバ１１８、知財サーバ１３０および給与サーバ１３８の各構成要素は、任意のコンピュータのＣＰＵ、メモリ、メモリにロードされた本図の構成要素を実現するプログラム、そのプログラムを格納するハードディスクなどの記憶ユニット、ネットワーク接続用インタフェースを中心にハードウェアとソフトウェアの任意の組み合わせによって実現される。そして、その実現方法、装置にはいろいろな変形例があることは、当業者には理解されるところである。以下説明する各図は、ハードウェア単位の構成ではなく、機能単位のブロックを示している。

本実施形態においては、行政機関から付与される基本ＩＤがマイナンバー（登録商標）であるとして説明する。
マイナンバー管理サーバ１０２は、専門業者によって運用される。マイナンバー管理サーバ１０２は、マイナンバー（登録商標）を管理する。マイナンバー管理サーバ１０２は、Ｕ／Ｉ（ユーザインタフェース）部１０４、データ処理部１０６（第１データ処理部）、通信ネットワーク１０１を介して外部装置との通信を担当する通信部１１０（第１通信部）および各種データを保存するデータ格納部１１２を含む。データ処理部１０６は、Ｕ／Ｉ部１０４、通信部１１０およびデータ格納部１１２のインタフェースとして機能し、各種データ処理を実行する。

Ｕ／Ｉ部１０４は、情報表示および操作入力を担当する。Ｕ／Ｉ部１０４は、通信ネットワーク１０１を介して外部装置にユーザインタフェースを提供してもよい。データ処理部１０６は、変換部１０８を含む。変換部１０８は、マイナンバー（登録商標）から派生ＩＤを生成する（後述）。

データ格納部１１２は、マイナンバー格納部１１４（基本ＩＤ格納部）とＩＤ格納部１１６を含む。マイナンバー格納部１１４は、マイナンバー（登録商標）と派生ＩＤを対応づけて保持する。マイナンバー格納部１１４の詳細については、図２に関連して後述する。ＩＤ格納部１１６は、派生ＩＤと、企業Ａ内において使用され企業Ａ内で個人（法人含む）を一意に識別する個人ＩＤ（ここでは社員番号とする）とを対応づけて保持する。ＩＤ格納部１１６の詳細については図３に関連して詳述する。

マイナンバー管理サーバ１０２は、マイナンバー管理サーバ１０２の運用業者（以下、「特権ユーザ」とよぶ）のみが直接アクセス可能なセキュリティレベルの最も高いサーバである。また、詳細は後述するが企業Ａにおいて組織管理サーバ１１８へのアクセス権を有するユーザ（以下、「第１種ユーザ」とよぶ）は、組織管理サーバ１１８を介してマイナンバー管理サーバ１０２に間接的にアクセスできる。本実施形態においては、第１種ユーザは企業Ａの経理部において特別な権限を与えられた責任者である。

組織管理サーバ１１８は、企業Ａの第１種ユーザによって運用される。組織管理サーバ１１８は派生ＩＤを管理する。組織管理サーバ１１８は、Ｕ／Ｉ部１２１、データ処理部１２４（第２データ処理部）、通信ネットワーク１０１やイントラネット１２８等につながる外部装置との通信を担当する通信部１２３および派生ＩＤを格納するＩＤ格納部１２６（個人ＩＤ格納部）を含む。Ｕ／Ｉ部１２１は、情報表示および操作入力を担当する。Ｕ／Ｉ部１２１は、通信ネットワーク１０１やイントラネット１２８を介して外部装置にユーザインタフェースを提供してもよい。データ処理部１２４は、Ｕ／Ｉ部１２１、通信部１２３およびＩＤ格納部１２６のインタフェースとして機能し、各種データ処理を実行する。ＩＤ格納部１２６の詳細については図４に関連して詳述する。

知財サーバ１３０は、企業Ａの知財部員によって運用される。知財サーバ１３０は、知財報奨金情報を管理する。知財サーバ１３０は、Ｕ／Ｉ部１３２、データ処理部１３４、イントラネット１２８につながる外部装置との通信を担当する通信部１３３および知財報奨金情報を格納する知財情報格納部１３６（個人情報格納部）を含む。Ｕ／Ｉ部１３２は、情報表示および操作入力を担当する。Ｕ／Ｉ部１３２は、イントラネット１２８を介してユーザ端末１４８にユーザインタフェースを提供してもよい。データ処理部１３４は、Ｕ／Ｉ部１３２、通信部１３３および知財情報格納部１３６のインタフェースとして機能し、各種データ処理を実行する。知財情報格納部１３６の詳細については図５に関連して詳述する。データ処理部１３４は、検索部１３５を含む。

給与サーバ１３８は、企業Ａの経理部員によって運用される。給与サーバ１３８は、従業員の給与情報を管理する。給与サーバ１３８は、Ｕ／Ｉ（ユーザインタフェース）部１４０、データ処理部１４２、イントラネット１２８につながる外部装置との通信を担当する通信部１４４および給与情報を格納する給与情報格納部１４６（個人情報格納部）を含む。Ｕ／Ｉ部１４０は、情報表示および操作入力を担当する。Ｕ／Ｉ部１４０は、イントラネット１２８を介してユーザ端末１４８にユーザインタフェースを提供してもよい。データ処理部１４２は、Ｕ／Ｉ部１４０、通信部１４４および給与情報格納部１４６のインタフェースとして機能し、各種データ処理を実行する。給与情報格納部１４６の詳細については図６に関連して詳述する。データ処理部１４２は検索部１４５を含む。

企業Ａのユーザは、組織管理サーバ１１８へのアクセス権を有する第１種ユーザと、アクセス権を有さない第２種ユーザに分類される。第１種ユーザは、組織管理サーバ１１８のＵ／Ｉ部１２１を介して、従業員の社員番号を登録することができる。たとえば、新入社員の入社に際し、第１種ユーザは新入社員のマイナンバー（登録商標）とその社員番号をまとめて入力する。社員番号以外にも、名前や性別、学歴や職歴などさまざまな情報が登録されてもよいがこれらの情報は社員番号と紐づけられる一方、マイナンバーとは直接紐づけられない。本実施形態においては、従業員が新規登録されるとき、組織管理サーバ１１８の通信部１２３は、マイナンバー（登録商標）と従業員の社員番号をマイナンバー管理サーバ１０２に送信する。マイナンバー管理サーバ１０２の変換部１０８はマイナンバー（登録商標）から派生ＩＤを生成し、マイナンバー格納部１１４はマイナンバー（登録商標）と派生ＩＤを対応づけて記憶する。マイナンバー管理サーバ１０２の通信部１１０は、生成した派生ＩＤを組織管理サーバ１１８に返信する。

図２は、マイナンバー格納部１１４のデータ構造図である。
マイナンバー管理サーバ１０２の変換部１０８は、１２桁の数字から構成されるマイナンバー（登録商標）をハッシュ関数で変換して派生ＩＤを生成する。ここでは派生ＩＤは５桁の数字であるとする。ハッシュ関数は、いわゆる非可逆関数であり、同一のマイナンバー（登録商標）からは常に同一の派生ＩＤを生成できる一方、派生ＩＤからはもとのマイナンバー（登録商標）を求めることはできない。したがって、派生ＩＤが漏洩しても、マイナンバー（登録商標）が知られることはない。

マイナンバー格納部１１４は、マイナンバー（登録商標）と派生ＩＤ（ハッシュ値）を対応づけて保持する。充分なセキュリティ管理が求められるマイナンバー（登録情報）を保持するため、マイナンバー格納部１１４への直接的なアクセスは特権ユーザに制限される。いいかえれば、マイナンバー管理サーバ１０２は、マイナンバー格納部１１４へ直接アクセス可能なユーザ（特権ユーザ）のリスト（第１リスト）を保有しており、第１リストに登録されているユーザのみが特権ユーザとしてマイナンバー格納部１１４へのアクセスを許可される。ユーザ認証はデータ処理部１０６により実行される。
一方、組織管理サーバ１１８は、ＩＤ格納部１２６へ直接アクセス可能なユーザ（第１種ユーザ）のリスト（第２リスト）を保有しており、第２リストに登録されているユーザのみが第１種ユーザとしてＩＤ格納部１２６へのアクセスを許可される。ユーザ認証はデータ処理部１２４により実行される。
第１リストと第２リストの双方に同一ユーザが登録されることはない。すなわち、第１リストに登録されているユーザ群（第１ユーザ群）と第２リストに登録されるユーザ群（第２ユーザ群）は互いに重複しないように設定されている。
まとめると、特権ユーザはマイナンバー管理サーバ１０２にのみアクセスできる。第１種ユーザは業務システム１０３（組織管理サーバ１１８、知財サーバ１３０および給与サーバ１３８）のみにアクセスできる。第２種ユーザは知財サーバ１３０および／または給与サーバ１３８にアクセスできるが、組織管理サーバ１１８やマイナンバー管理サーバ１０２へのアクセスは禁止される。
図２においては、マイナンバー（登録商標）「４１２３４５６＊＊＊＊＊」からは派生ＩＤ「１４２３８」が生成されている。

仮にマイナンバー格納部１１４から情報流出しても、マイナンバー（登録商標）と派生ＩＤしか流出せず、個人情報が流出することはない。すなわち、マイナンバー格納部１１４からマイナンバー（登録商標）は流出しても、それが誰のマイナンバー（登録商標）かわからないためセキュリティを維持できる。

図３は、ＩＤ格納部１１６のデータ構造図である。
派生ＩＤを生成したあと、データ処理部１０６は派生ＩＤと社員番号を対応づけてＩＤ格納部１１６に記録する。派生ＩＤ「１４２３８」に対してはＡ社の社員番号（個人ＩＤ）「Ｍ７０５１」が対応づけられている。Ｂ社およびＣ社の社員番号も同じ派生ＩＤに対応づけられている。すなわち、Ａ社の社員番号「Ｍ７０５１」の従業員ａ１のマイナンバー（登録商標）から生成される派生ＩＤと、Ｂ社の社員番号「８７５０」の従業員ｂ１のマイナンバー（登録商標）から生成される派生ＩＤは偶然一致している。このように、別々のマイナンバー（登録商標）から同一の派生ＩＤが生成される可能性がある。このような一致はめったに起こらないが、二人は別会社に所属していれば会社名で識別できるので問題にはならない。もし、Ａ社の二人の従業員ａ１，ａ２の別々のマイナンバー（登録商標）から同一の派生ＩＤが生成されたときには識別性が失われてしまうが、この問題の対策については後述する。

ＩＤ格納部１１６から情報流出しても、派生ＩＤと社員番号しか流出せず、個人情報もマイナンバー（登録商標）も流出することはない。派生ＩＤからマイナンバー（登録商標）を求めることもできないため、セキュリティを維持できる。

図４は、組織管理サーバ１１８のＩＤ格納部１２６のデータ構造図である。
組織管理サーバ１１８は、従業員を新規登録したとき、マイナンバー（登録商標）と社員番号をマイナンバー管理サーバ１０２に送信し、マイナンバー管理サーバ１０２から派生ＩＤを受信する。組織管理サーバ１１８のデータ処理部１２４は、もともと送信したマイナンバー（登録商標）と受信した派生ＩＤを対応づけてＩＤ格納部１２６に登録する。図２，図３にも示したように、マイナンバー（登録商標）「４１２３４５６＊＊＊＊＊」、社員番号「Ｍ７０５１」の従業員が新規登録されると、このマイナンバー（登録商標）に対応する派生ＩＤ「１４２８４」がマイナンバー管理サーバ１０２から送信される。そして、ＩＤ格納部１２６においては派生ＩＤ「１４２８４」と社員番号「Ｍ７０５１」が対応づけて登録される。
ＩＤ格納部１２６は、派生ＩＤと社員番号のほか、社員の氏名を対応づけて登録してもよい。本実施形態においては、業務システム１０３の内部においては、社員番号をキーとして情報管理を行い、必要に応じて派生ＩＤを利用する。

組織管理サーバ１１８は、マイナンバー（登録商標）を入力されても、自身ではマイナンバー（登録商標）を管理しない。マイナンバー（登録商標）の管理はマイナンバー管理サーバ１０２に委託される。このため、各企業はマイナンバー（登録商標）の管理負担の大部分から解放される。組織管理サーバ１１８は、マイナンバー（登録商標）を持たないため、組織管理サーバ１１８からマイナンバー（登録商標）が流出するおそれがなくなる。
マイナンバー管理サーバ１０２は、行政機関または行政機関から認証を受けた指定業者により運用されることが望ましい。

図５は、知財サーバ１３０の知財情報格納部１３６のデータ構造図である。
企業Ａでは、従業員が特許出願をしたときやその特許出願が特許査定になったとき、従業員に報奨金が支払われる。知財サーバ１３０の管理者は、Ｕ／Ｉ部１３２を介して社員番号とともに報奨金情報を入力する。データ処理部１３４は、知財情報格納部１３６に、社員番号と氏名および報奨金情報が対応づけて登録する。

知財情報格納部１３６は、社員番号をベースとして報奨金情報を管理している。このため、知財サーバ１３０にアクセスするユーザはマイナンバー（登録商標）はもちろん、派生ＩＤすら認識する必要がない。

図６は、給与サーバ１３８の給与情報格納部１４６のデータ構造図である。
給与サーバ１３８は、従業員の基本給を管理する。給与サーバ１３８の管理者は、Ｕ／Ｉ部１４０を介して社員番号とともに給与情報を入力する。データ処理部１４２は、給与情報格納部１４６に、社員番号と氏名および給与情報を対応づけて登録する。

給与情報格納部１４６は、社員番号をベースとして給与情報を管理している。このため給与サーバ１３８にアクセスするユーザはマイナンバー（登録商標）はもちろん、派生ＩＤすら認識する必要がない。

以上をまとめると、知財サーバ１３０および給与サーバ１３８は報奨金情報や給与情報といった秘匿性の高い情報を扱うが、社内ではこれらの情報は社員番号（または氏名）をキーとして取り扱われる。組織管理サーバ１１８は、派生ＩＤと社員番号を対応づけるが、報奨金情報などの「コンテンツ」は管理しない。各企業の外にあるマイナンバー管理サーバ１０２がマイナンバー（登録商標）をまとめて管理する。マイナンバー管理サーバ１０２は、マイナンバー（登録商標）と社員番号を直接対応づけず、派生ＩＤを介して２つのデータベース（マイナンバー格納部１１４とＩＤ格納部１１６）に分けて、マイナンバー（登録商標）、派生ＩＤ、社員番号を分散管理する。このような分散管理により、マイナンバー（登録商標）と個人情報がまとめて漏出するリスクを低減している。

図７は、マイナンバー管理サーバ１０２に送信される給与明細情報１５０ａである。
給与サーバ１３８において給与明細書が作られる。このとき、税務処理等を行うためにマイナンバー（登録商標）が必要になる。給与サーバ１３８は、まず、社員番号を含む個人情報（給与情報）を組織管理サーバ１１８に送信する。組織管理サーバ１１８のデータ処理部１２４は、給与明細情報から給与明細情報１５０ａ（帳票データ）を生成する。あるいは、給与サーバ１３８のデータ処理部１４２が給与明細情報１５０ａを生成し、通信部１４４が給与明細情報１５０ａを組織管理サーバ１１８に送信してもよい。組織管理サーバ１１８は、社員番号に対応する派生ＩＤを付与した給与明細情報１５０ａをマイナンバー管理サーバ１０２に送信する。このとき、給与額等の秘密情報１５２はマスキングされる。図７は、派生ＩＤ「１４２３８」に対応する給与明細情報１５０ａである。

図８は、マイナンバー管理サーバ１０２から返信されたあとの給与明細情報１５０ｂである。
マイナンバー管理サーバ１０２のデータ処理部１０６は、マイナンバー格納部１１４を検索し、派生ＩＤからマイナンバー（登録商標）を検出する。そして、給与明細情報１５０ａの派生ＩＤ「１４２３８」をマイナンバー（登録商標）「４１２３４５６＊＊＊＊＊」に書き換えて組織管理サーバ１１８に返送する。組織管理サーバ１１８は、秘密情報１５２のマスキングを解除し、給与明細情報１５０ｂを給与サーバ１３８に送信する。このような処理方法により、マイナンバー管理サーバ１０２に秘密情報１５２を提示することなく、マイナンバー（登録商標）を付与された正式な給与明細情報１５０ｂを作成できる。すなわち、業務システム１０３においてはマイナンバー（登録商標）を管理しないものの、必要なときだけマイナンバー管理サーバ１０２にアクセスしてマイナンバー（登録商標）を取得できる。知財報奨金についても同様である。
派生ＩＤを書き換えるのではなく、派生ＩＤに加えてマイナンバー（登録商標）を追記する方式でもよい。

図９は、派生ＩＤと個人情報のつながりを示す模式図である。
組織管理サーバ１１８および給与サーバ１３８においては、派生ＩＤ１２０に対して１以上の個人情報１２２が対応づけられる。図９の個人情報１２２は、社員番号と基本給という２つの個人情報を含む。

派生ＩＤ１２０ａ「１４２８４」は、佐藤太郎（社員番号：Ｍ７０５１）のマイナンバー（登録商標）から生成される。個人情報１２２ａは佐藤太郎の社員番号と給与情報である。佐藤太郎は、２００４年に入社している。入社時には、組織管理サーバ１１８および給与サーバ１３８において、マイナンバー（登録商標）と社員番号「Ｍ７０５１」、「佐藤太郎」という氏名、「２２８，０００円」という初任給（初年度の基本給）が登録される。

派生ＩＤは、マイナンバー管理サーバ１０２から組織管理サーバ１１８に送信される。給与サーバ１３８においては、毎年、佐藤太郎の新基本給が入力される。こうして、佐藤太郎の個人情報１２２ａとして２００４年以降の基本給情報が追加されていく。

派生ＩＤ１２０ｂ「３００４６」は、鈴木花子（社員番号：Ｍ１０２３）のマイナンバー（登録商標）から生成される。個人情報１２２ｂは、鈴木花子の社員番号と給与情報である。鈴木花子は、２００６年に入社している。入社時には、組織管理サーバ１１８および給与サーバ１３８において、マイナンバー（登録商標）と社員番号「Ｍ１０２３」、「鈴木花子」という氏名、「２２８，０００円」という初任給が登録される。佐藤太郎と同様、給与サーバ１３８においては、毎年、鈴木花子の基本給が個人情報１２２ｂに追加されていく。

鈴木花子は２００８年に企業Ａの完全子会社に出向し、子会社の社員番号「Ｒ４８２４」を新たに付与される。このとき、第１種ユーザは、派生ＩＤを指定し、新しい社員番号「Ｒ４８２４」を組織管理サーバ１１８に入力する。こうして、ＩＤ格納部１２６が更新される。新しい社員番号と派生ＩＤのセットは、組織管理サーバ１１８からマイナンバー管理サーバ１０２に通知され、ＩＤ格納部１１６が更新される。

一方、組織管理サーバ１１８は、知財サーバ１３０や給与サーバ１３８に新たな社員番号「Ｒ４８２４」を通知する。以後は「佐藤花子」用の新たな個人情報１２２ｃが給与サーバ１３８や知財サーバ１３０等に追加される。給与サーバ１３８においては、以後の基本給は、佐藤花子（社員番号：Ｒ４８２４）の個人情報１２２ｃに登録される。社員番号「Ｍ１０２３」と社員番号「Ｒ４８２４」が同一人物であることは派生ＩＤ（３００４６）によって特定される。すなわち、給与サーバ１３８においては、個人情報１２２ｂは社員番号「Ｍ１０２３」の給与情報、個人情報１２２ｃは社員番号「Ｒ４８２４」の給与情報として別々に取り扱われるが、それらが同一人物の情報であることは、組織管理サーバ１１８が管理する派生ＩＤによって確認できる。

以上の処理方法によれば、社員番号が変更されても派生ＩＤは不変であるため、単一の派生ＩＤに対して、個人情報１２２ｂと個人情報１２２ｃをまとめて対応づけることができる。

ここでは、派生ＩＤ、社員番号、基本給をセットとして説明したが、社員番号以外の情報変更に対応して個人情報１２２を追加してもよい。たとえば、職位や職務、改姓のときにも過去の個人情報を上書きするのではなく個人情報１２２を追加することで、１つの派生ＩＤに対して複数の個人情報１２２をつなげることができる。たとえば、「高橋次郎」が課長のときの個人情報１２２と、部長昇進後の個人情報１２２を１つの派生ＩＤで結びつけてもよい。

図１０は、マイナンバー管理サーバ１０２における個人情報の初期登録過程を示すフローチャートである。
従業員の新規登録に際し、第１種ユーザは、新入社員のマイナンバー（登録商標）および社員番号を入力し、マイナンバー管理サーバ１０２はこれを受信する（Ｓ１０）。変換部１０８は、マイナンバー（登録商標）から派生ＩＤを生成する（Ｓ１２）。Ｓ１２については図１１に関連して後に詳述する。変換部１０８は、マイナンバー格納部１１４にマイナンバー（登録商標）と派生ＩＤを対応づけて登録する（Ｓ１４）。通信部１１０は、派生ＩＤと社員番号を組織管理サーバ１１８に送信する（Ｓ１６）。
組織管理サーバ１１８は、派生ＩＤと社員番号をＩＤ格納部１２６に登録する。

図１１は、派生ＩＤの生成過程を示すフローチャートである。図１１は図１０のＳ１２に対応する。
変換部１０８は、マイナンバー（登録商標）を所定のハッシュ関数によって変換し、派生ＩＤを生成する（Ｓ２０）。ＩＤ格納部１１６に同一企業にて同一の派生ＩＤが登録されていなければ（Ｓ２２のＮ）、Ｓ１２の処理はそのまま完了する。同一企業にて同一の派生ＩＤが既登録の場合には（Ｓ２２のＹ）、ハッシュ関数を変更して（Ｓ２４）、再度、派生ＩＤを生成する（Ｓ２０）。具体的には、変換部１０８はあらかじめ複数のハッシュ関数１〜ｎを用意しておき、ハッシュ関数１で生成した派生ＩＤが既登録の場合（Ｓ２２のＹ）、データ処理部１０６は別のハッシュ関数２で派生ＩＤを生成する。ハッシュ関数２でも衝突した場合にはハッシュ関数３が採用される。以下、同様である。
ハッシュ関数は、変換前のデータ量に関わらず５桁の数字列として新たな派生ＩＤを生成する。

派生ＩＤが衝突したときには、マイナンバー（登録商標）に情報追加して、再度、派生ＩＤを生成してもよい。たとえば、男性なら１，女性なら２をマイナンバー（登録商標）に追加して１３桁の数字にすることで、新たに派生ＩＤを生成してもよい。必要に応じて、組織管理サーバ１１８にこのような追加情報を求めてもよい。具体的には、派生ＩＤが既登録の場合（Ｓ２２のＹ）、データ処理部１０６は組織管理サーバ１１８に追加情報をリクエストし、組織管理サーバ１１８のデータ処理部１２４は知財サーバ１３０や給与サーバ１３８に追加情報を要求する。こうして得られた追加情報や、あるいは、組織管理サーバ１１８が管理する図示しない個人情報（性別や氏名など）をマイナンバー管理サーバ１０２に送信すればよい。

マイナンバー（登録情報）から派生ＩＤを作ることができるが、派生ＩＤからマイナンバー（登録商標）を求めることはできない。ただし、別々のマイナンバー（登録情報）から同一の派生ＩＤが生成されてしまう可能性はゼロではない。この場合には、上述のように「男女」などの情報をマイナンバー（登録商標）に追加して、衝突が生じないような派生ＩＤを改めて生成すればよい。性別以外にも、出身地、生年月日、出身校など一生を通じて変化しない情報を追加することが望ましい。

図１２は、業務システム１０３において社員番号を変更する過程を示すフローチャートである。
図１２の処理は、従業員登録の完了後に実行されるため、派生ＩＤが取得済みであることが前提である。組織管理サーバ１１８において、派生ＩＤと新たな社員番号を入力する（Ｓ３０）。もし、入力された派生ＩＤが未登録の場合には（Ｓ３２のＮ）、Ｕ／Ｉ部１２１はエラー表示して、処理は終了する（Ｓ３６）。

入力された派生ＩＤが既登録の場合（Ｓ３２のＹ）、新たな個人情報フィールドが知財情報格納部１３６や給与情報格納部１４６に追加される（Ｓ３８）。そして、基本給等が新たな個人情報として追加される（Ｓ４０）。

図１３は、給与サーバ１３８の情報検索処理過程を示すフローチャートである。
給与サーバ１３８においては、任意の検索条件を入力して、個人情報を検索するできる。検索条件は、「佐藤」「花子」「２００８年に基本給４００，０００円以上」のように、個人情報を対象として設定してもよいし、社員番号を対象として設定してもよい。

まず、第２種ユーザは、検索条件を入力する（Ｓ５０）。給与サーバ１３８の検索部１４５は、給与情報格納部１４６を検索する。検索がヒットしなければ（Ｓ５２のＮ）、そのまま検索処理は終了する。検索がヒットした場合（Ｓ５２のＹ）、Ｕ／Ｉ部１３２は個人情報および社員番号を表示する（Ｓ５４）。

関連情報がなければ（Ｓ５６のＮ）、処理は終了する。ここでいう関連情報とは、検索条件にヒットした個人に対応づけられている派生ＩＤに対して、更に、別の個人情報が対応づけられているときの個人情報のことをいう。たとえば、社員番号「Ｍ１０２３」を検索条件として佐藤花子の個人情報がヒットしたとする。このときには、給与サーバ１３８の検索部１４５は、組織管理サーバ１１８に問い合わせて、Ｍ１０２３に対応づけられる派生ＩＤ「３００４６」に別の社員番号「Ｒ４８２４」も対応づけられていることを検出する。このときには、給与情報格納部１４６において社員番号「Ｍ１０２３」に対応付いている給与情報だけでなく、社員番号「Ｒ４８２４」に対応付いている給与情報も検出される。
関連情報があれば（Ｓ５６のＹ）、図１４に示す様に佐藤花子の複数の個人情報がまとめて画面表示される（Ｓ５８）。

知財サーバ１３０における情報検索は、データ処理部１３４の検索部１３５により実行される。

以上、実施形態に基づいて情報管理システム１００を説明した。
本実施形態においては、マイナンバー（登録商標）はマイナンバー管理サーバ１０２のみに保管されている。マイナンバー管理サーバ１０２のマイナンバー（登録商標）へのアクセスは特権ユーザに限定される。また、マイナンバー管理サーバ１０２へのマイナンバー（登録商標）の問い合わせは第１種ユーザに限定される。マイナンバー（登録商標）からは派生ＩＤが生成され、従業員の個人情報は社員番号によって管理され、この社員番号と派生ＩＤが対応づけられる。マイナンバー（登録商標）は、原則として、個人を一生にわたって識別できるＩＤであるため、派生ＩＤも個人を一生にわたって識別できる。このため、マイナンバー（登録商標）を直接使わなくても、マイナンバー（登録商標）と同等の利便性を享受できる。

個人を識別する情報としては、社員番号や氏名がある。しかし、社員番号は転職や出向などによって変化することがあるし、氏名は結婚や離婚などで変化することもある。また、同姓同名という問題もある。これに対して、マイナンバー（登録商標）から作られる派生ＩＤは、不変性および識別性に優れるだけでなく、マイナンバー（登録商標）を直接使用するよりもセキュリティが高くなる。また、複数の個人情報を唯一不変の派生ＩＤによって管理することにより、情報の検索性を高めることができる。

［第２実施形態］
第１実施形態においては、マイナンバー（登録商標）と派生ＩＤをマイナンバー管理サーバ１０２が管理し、業務システム１０３は派生ＩＤと個人情報を管理している。更に、業務システム１０３は社員番号と派生ＩＤを１対１対応させている。基本的には、業務システム１０３においては社員番号で個人情報を管理し、必要に応じて、社員番号から派生ＩＤを求め、派生ＩＤをつかってマイナンバー（登録商標）をマイナンバー管理サーバ１０２に問い合わせている。

第２実施形態においては、社員番号と派生ＩＤを同一とする。すなわち、派生ＩＤをそのまま社員番号として利用してもよい。この場合、マイナンバー格納部１１４の構成に変更はない。ＩＤ格納部１１６においては、派生ＩＤと企業ＩＤが直接対応づけられる。また、ＩＤ格納部１２６のような派生ＩＤと社員番号を対応づけるデータベースは不要となる。知財情報格納部１３６の「社員番号」の欄はそのまま派生ＩＤとなる。図６の給与情報格納部１４６についても同様である。

図１０を参照すると、マイナンバー管理サーバ１０２はマイナンバー（登録商標）のみを受信し（Ｓ１０）、マイナンバー（登録商標）から派生ＩＤを生成して（Ｓ１２）、登録し（Ｓ１４）、派生ＩＤを送信する（Ｓ１６）。図１１のプロセスは第１実施形態と同じである。図１２のＳ３０においては、派生ＩＤがそのまま社員番号として入力される。

以上、本発明を実施の形態をもとに説明した。実施の形態は例示であり、それらの各構成要素や各処理プロセスの組合せにいろいろな変形例が可能なこと、またそうした変形例も本発明の範囲にあることは当業者に理解されるところである。

本実施形態においては、マイナンバー（登録商標）による個人識別を対象として説明したが、マイナンバー（登録商標）以外にもさまざまな基本ＩＤに本発明を適用可能である。たとえば、会社法人等番号や弁理士識別番号、軍隊の認識番号のように、行政機関から付与されるＩＤであれば応用可能である。

１００ 情報管理システム、 １０１ 通信ネットワーク、 １０２ マイナンバー管理サーバ、 １０４ Ｕ／Ｉ部、 １０６ データ処理部、 １０８ 変換部、 １１０ 通信部、 １１２ データ格納部、 １１４ マイナンバー格納部、 １１６ ＩＤ格納部、 １１８ 組織管理サーバ、 １２０ 派生ＩＤ、 １２１ Ｕ／Ｉ部、 １２２ 個人情報、 １２３ 通信部、 １２４ データ処理部、 １２６ ＩＤ格納部、 １２８ イントラネット、 １３０ 知財サーバ、 １３２ Ｕ／Ｉ部、 １３３ 通信部、 １３４ データ処理部、 １３６ 知財情報格納部、 １３８ 給与サーバ、 １４０ Ｕ／Ｉ部、 １４２ データ処理部、 １４４ 通信部、 １４６ 給与情報格納部、 １４８ ユーザ端末、 １５０ 給与明細情報、 １５２ 秘密情報。

Claims (7)

1. 基本ＩＤ管理システムと、前記基本ＩＤ管理システムと通信ネットワークを介して接続される１以上の業務システムと、を備え、
   前記基本ＩＤ管理システムは、
   行政機関から個人を特定するために付与される基本ＩＤから、非可逆関数により派生ＩＤを生成する第１データ処理部と、
   前記基本ＩＤと前記派生ＩＤとを対応付けて保持する基本ＩＤ格納部と、
   前記派生ＩＤを前記業務システムに送信する第１通信部と、を備え、
   前記業務システムは、
   前記派生ＩＤと個人情報を対応づけて保持する個人情報格納部と、
   前記派生ＩＤを指定されたとき、前記派生ＩＤに対応づけられている個人情報と前記派生ＩＤを含む帳票データを生成する第２データ処理部と、
   前記帳票データを前記基本ＩＤ管理システムに送信する第２通信部と、を備え、
   前記基本ＩＤ管理システムの前記第１通信部は、前記帳票データを受信したとき、前記帳票データに含まれる派生ＩＤに対応する基本ＩＤを前記帳票データに付与して前記業務システムに返信することを特徴とする情報管理システム。
2. 基本ＩＤ管理システムと、前記基本ＩＤ管理システムと通信ネットワークを介して接続される１以上の業務システムと、を備え、
   前記基本ＩＤ管理システムは、
   行政機関から個人を特定するために付与される基本ＩＤから、非可逆関数により派生ＩＤを生成する第１データ処理部と、
   前記基本ＩＤと前記派生ＩＤとを対応付けて保持する基本ＩＤ格納部と、
   前記派生ＩＤを前記業務システムに送信する第１通信部と、を備え、
   前記業務システムは、
   前記派生ＩＤと、前記基本ＩＤとは異なる個人を特定するための個人ＩＤを対応づけて保持する個人ＩＤ格納部と、
   前記個人ＩＤと個人情報を対応づけて保持する個人情報格納部と、
   前記個人ＩＤを指定されたとき、前記個人ＩＤに対応づけられている派生ＩＤおよび個人情報を検出し、前記個人情報と前記派生ＩＤを含む帳票データを生成する第２データ処理部と、
   前記帳票データを前記基本ＩＤ管理システムに送信する第２通信部と、を備え、
   前記基本ＩＤ管理システムの前記第１通信部は、前記帳票データを受信したとき、前記帳票データに含まれる派生ＩＤに対応する基本ＩＤを前記帳票データに付与して前記業務システムに返信することを特徴とする情報管理システム。
3. 前記業務システムによりアクセス許可設定される第１ユーザ群と、前記基本ＩＤ管理システムによりアクセス許可設定される第２ユーザ群とは、互いに重複しないように設定されることを特徴とする請求項１または２に記載の情報管理システム。
4. 前記非可逆関数は、ハッシュ関数であることを特徴とする請求項１から３のいずれかに記載の情報管理システム。
5. 前記第１データ処理部は、前記基本ＩＤから第１の非可逆関数により生成される派生ＩＤが前記基本ＩＤ格納部に既に登録されているときには、前記第１の非可逆関数とは異なる第２の非可逆関数により派生ＩＤを生成することを特徴とする請求項１から４のいずれかに記載の情報管理システム。
6. 複数の企業がそれぞれ運営する複数の業務システムと通信ネットワークを介して接続され、
   行政機関から個人を特定するために付与される基本ＩＤから、非可逆関数により派生ＩＤを生成する第１データ処理部と、
   前記基本ＩＤと前記派生ＩＤとを対応付けて保持する基本ＩＤ格納部と、
   前記派生ＩＤを前記業務システムに送信する第１通信部と、を備え、
   前記第１通信部は、前記業務システムから派生ＩＤを含む帳票データを受信したとき、前記派生ＩＤに対応する基本ＩＤを前記帳票データに付与して前記業務システムに返信することを特徴とする基本ＩＤ管理システム。
7. 行政機関から個人を特定するために付与される基本ＩＤを管理する基本ＩＤ管理システムと通信ネットワークを介して接続され、
   前記基本ＩＤ管理システムが前記基本ＩＤから非可逆関数により生成する派生ＩＤと、前記基本ＩＤとは異なる個人を特定するための個人ＩＤを対応づけて保持する個人ＩＤ格納部と、
   前記個人ＩＤと個人情報を対応づけて保持する個人情報格納部と、
   前記個人ＩＤを指定されたとき、前記個人ＩＤに対応づけられている派生ＩＤおよび個人情報を検出し、前記個人情報と前記派生ＩＤを含む帳票データを生成する第２データ処理部と、
   前記帳票データを前記基本ＩＤ管理システムに送信する第２通信部と、を備え、
   前記第２通信部は、前記基本ＩＤ管理システムから、前記派生ＩＤに対応する基本ＩＤを付与された帳票データを受信することを特徴とする業務システム。

Images