JP2017162353A - 個人データ不正使用検知方法、個人データ提供元サーバ、プログラム - Google Patents

Abstract

【課題】個人データ提供先事業者から個人データが漏えいしていないか個人データ提供元事業者が検知することができる個人データ不正使用検知方法を提供する。【解決手段】個人データ不正使用検知方法は、使用環境取得ステップ、使用環境比較ステップ、管理データＩＤ取得ステップ、管理データＩＤ比較ステップを実行する。使用環境比較ステップ（Ｓ１１−２０）では、サーバが送信してきた属性データと、個人データ暗号化データ処理ツールの使用環境として事前に記録していた属性データとを比較し、一致しない場合には一致するとのダミーの比較結果をサーバに送信し、管理データＩＤ比較ステップ（Ｓ１１−６０）では、サーバが送信してきた管理データＩＤと、個人データ暗号化データを識別する情報として事前に記録していた管理データＩＤとを比較し、使用環境比較ステップでダミーの比較結果を送信していた場合は、処理を終了する。【選択図】図１１

Description

本発明は、個人データの不正使用を検知する技術に関し、特に二次利用者から漏えいした個人データの不正使用を検知する技術に関する。

現在、例えばＷｅｂサイトを用いてオンラインショッピングを提供する事業者など個人情報を取り扱う事業者に対して、個人情報の漏えいに関する保険（以下、個人情報漏えい保険という）が保険会社各社から提供されている。しかし、この個人情報漏えい保険はあくまでも事業者が運営するサイトから個人情報が漏れたときの損害賠償金や、謝罪広告などの費用負担に対する補償であり、事業者が取得した個人情報を利用者本人の許諾のもと第三者に二次利用させていたときに個人情報が漏れたときの補償までは対象となっていない。

また、事業者と保険会社との保険契約を支援するための技術もいくつか提案されている。例えば、特許文献１では、コンテンツを提供するＷｅｂサイトＡのセキュリティ状態に関する保険を提供するサイトＣ（保険会社）は、サイトＡのセキュリティ監査を行なうサイトＢ（監査会社）によるＷｅｂサイトの監査結果情報を用いて、サイトＡとの保険の内容を更新計算する処理を行なう。また、利用者がサイトＡへアクセスした際、サイトＢは、サイトＡのセキュリティレベル等の情報やサイトＣからの情報に基づく保険ランク等の情報を提供する機能を有する。しかし、サイトＡが二次利用させた第三のサイトの監査結果も考慮してサイトＡとの保険の内容を更新計算する処理を行なうものではないし、利用者に情報を提供するものでもない。つまり、個人情報を二次利用する第三者の存在を考慮した技術ではない。

特開２０１０−２８７１１７号公報

先述の通り、インターネット上でサービスを提供する事業者に個人に関する様々なデータ（以下、個人データという）を預けるにあたり、第三者への二次利用を許諾することがある。例えば、オンラインショッピング事業者が購入履歴の情報を購入履歴分析業者に提供することをオンラインショッピングサービス利用者が許諾するなどである。このような場合、二次利用する第三者から個人データが漏えいすることについても十分に対応をとる必要がある。

以下では、利用者から個人データを一次的に取得する事業者を個人データ提供元事業者という。また、個人データ提供元事業者から個人データを取得し、二次利用する者を個人データ提供先事業者という。

現時点において、個人データ提供先事業者からの個人データ漏えいに対する保険はないが、今後そのような保険が提供されるようになるかもしれない。この場合、個人データ提供元事業者は個人データ提供先事業者が個人データを適切に管理しているかどうかを判断する必要が生じてくるが、個人データが個人データ提供先事業者から流出した場合における不正使用の可能性を検知することすらできない。

そこで本発明では、個人データ提供先事業者から個人データが漏えいしていないか個人データ提供元事業者が検知することができる個人データ不正使用検知方法を提供することを目的とする。

本発明の一態様は、個人データを暗号化した個人データ暗号化データと前記個人データ暗号化データを利用するための個人データ暗号化データ処理ツールを生成する個人データ提供元サーバが、前記個人データ暗号化データ処理ツールを用いて前記個人データ暗号化データを利用しようとするサーバが前記個人データを不正に利用するものでないかを確認するための個人データ不正使用検知方法であって、前記サーバが、前記個人データ暗号化データ処理ツールを用いて前記個人データ暗号化データを利用しようとしたときに、前記サーバが、前記個人データ暗号化データ処理ツールの使用環境である自らを特定するための情報である属性データを取得し、前記属性データを前記個人データ提供元サーバに送信する使用環境取得ステップと、前記個人データ提供元サーバが、前記属性データと、前記個人データ暗号化データ処理ツールの使用環境として事前に記録していた属性データとを比較し、一致しない場合には一致するとのダミーの比較結果を前記サーバに送信する使用環境比較ステップと、前記サーバが、前記個人データ暗号化データを識別する管理データＩＤを取得し、前記管理データＩＤを前記個人データ提供元サーバに送信する管理データＩＤ取得ステップと、前記個人データ提供元サーバが、前記管理データＩＤと、前記個人データ暗号化データを識別する情報として事前に記録していた管理データＩＤとを比較し、前記使用環境比較ステップでダミーの比較結果を送信していた場合は、処理を終了する管理データＩＤ比較ステップとを実行する。

本発明によれば、個人データ提供元事業者が提供した暗号化済の個人データと当該暗号化済の個人データを利用するためのツールが流出したとしても、ツールを使用するサーバの環境の情報と流出した個人データを特定するための情報を個人データ提供元事業者のサーバが確認することにより、個人データを不正に使用しようとしていることを検知することが可能となる。

個人データ利用システム１００の構成を示すブロック図。 保険契約手続きを示すシークエンス図。 サービス利用契約手続きを示すシークエンス図。 個人データ提供元サーバ２００の構成を示すブロック図。 利用者登録データテーブルの一例を示す図。 個人データテーブルの一例を示す図。 個人データ提供先サーバ３００の構成を示すブロック図。 個人データの二次利用の様子（事前処理）を示すシークエンス図。 提供個人データ管理データテーブルの一例を示す図。 提供個人データ暗号化データテーブルの一例を示す図。 個人データの二次利用の様子（分析処理）を示すシークエンス図。 個人データ不正使用報告手続きを示すシークエンス図。 個人データの二次利用の様子（分析処理）の変形例を示すシークエンス図。 提供用変換ユーザＩＤテーブルの一例を示す図。 個人データ使用状況確認処理を示すシークエンス図。

以下、本発明の実施の形態について、詳細に説明する。なお、同じ機能を有する構成部には同じ番号を付し、重複説明を省略する。

＜システム構成とステークホルダ＞
以下、図１を参照して個人データ利用システム１００について説明する。図１は、個人データ利用システム１００の構成を示すブロック図である。図１に示すように個人データ利用システム１００は、個人データ提供元サーバ２００と、個人データ提供先サーバ３００を含む。個人データ提供元サーバ２００、個人データ提供先サーバ３００、利用者端末４００、保険会社端末５００は、インターネットなどのネットワーク８００に接続し、相互に通信可能である。

本システムは、個人データ提供元サーバ２００を有する個人データ提供元事業者に利用者に関する個人データを預け、さらに個人データ提供先サーバ３００を有する個人データ提供先事業者に二次利用を許諾する場合の保険契約に関係するものである。

利用者は、利用端末４００を用いネットワーク８００を通じて自分の個人データを個人データ提供元サーバ２００に提供する。利用者は、個人データ提供元事業者だけでなく個人データ提供先事業者が個人データを利用することを許諾する。また、当該個人データが漏えいした場合に備え、保険会社と保険契約を結ぶ。

保険会社は、個人データ提供元事業者または個人データ提供先事業者から個人データが漏えいした場合、契約内容に基づき保険金を利用者に支払う。その際、例えば保険会社端末５００を用いて、利用者から個人データ漏えいの有無に関する情報の提供を受ける。

個人データ提供元事業者は、利用者の個人データを取得し、個人データ提供元サーバ２００に保持する。個人データ提供元事業者がオンラインショッピング事業者である場合は、氏名等の利用者自身の属性情報（利用者登録データ）に加え、購入履歴の情報などを取得する。この購入履歴の情報が個人データ提供元事業者に提供される個人データとなる。

個人データ提供先事業者は、個人データ提供元事業者から個人データの提供を受け、個人データ提供先サーバ３００に保持する。個人データの提供を受けるにあたり個人データ提供元事業者との間で所定の契約を締結し、個人データや個人データ利用に必要になるツールの提供を受ける。この手順の詳細については後ほど説明する。

＜利用者による契約とサービス利用＞
利用者は、個人データの提供に際し、二つの契約を締結する。一つは、保険会社と締結するものであり、個人データ漏えい時の保険金支払いのための保険契約である。もう一つは、個人データ提供元事業者と締結するものであり、個人データの提供に関する契約である。

まず、図２を参照して、保険契約が利用者と保険会社との間で締結されるまでの手続きの流れを説明する。利用者は、当該保険の申し込みのため保険会社に見積もりを依頼する（Ｓ２−１０）。保険会社は、見積もり額を算出し、補償内容等とともに利用者に提示する（Ｓ２−２０）。その後、利用者と保険会社で交渉をする（Ｓ２−３０）。交渉の結果、詳細が決定すると、契約成立に至る（Ｓ２−４０）。

次に、図３を参照して、個人データを提供する利用者と個人データ提供元事業者との間のサービス利用契約が締結されるまでの手続きの流れを説明する。ここでは、個人データ提供元事業者はオンラインショッピング事業者であるとし、個人データであるオンラインショッピングでの購入履歴の分析を第三者の分析業者に委託する場合を想定する。この分析業者が個人データ提供先事業者となる。

まず、個人データ提供元事業者は、利用者に第三者への個人データ提供がありえることを明示して、オンラインショッピングサービスの内容・条件を記載した利用規約を提示する（Ｓ３−１０）。利用者は、個人データ提供元事業者が提示する利用規約を読み、個人データを使用する場合のポリシを提示する（Ｓ３−２０）。利用者と個人データ提供元事業者の間で合意が成立したら（Ｓ３−３０）、個人データ提供元事業者は利用者にオンラインショッピングサービスを提供し、利用者は提供されたサービスを利用する（Ｓ３−４０）。オンラインショッピングサービス利用に際して、利用者は利用者端末４００を用いてオンラインショッピングサービスを提供する個人データ提供元サーバ２００に接続する。

以下、図４を参照して個人データ提供元サーバ２００について説明する。図４は、個人データ提供元サーバ２００の構成を示すブロック図である。図４に示すように個人データ提供元サーバ２００は、送受信部２１０と、認証処理部２２０と、ユーザサービス提供部２３０と、提供先データ作成処理部２４０と、提供先データ使用状況処理部２５０と、個人データ使用状況処理部２６０と、データ格納部２９０を含む。提供先データ作成処理部２４０は、匿名化処理部２４２と、暗号化処理部２４４と、電子署名処理部２４６を含む。提供先データ使用状況処理部２５０は、使用環境比較部２５２と、管理データＩＤ比較部２５４を含む。個人データ使用状況処理部２６０は、個人データ使用状況抽出部２６２と、レポート作成部２６４を含む。データ格納部２９０は、利用者登録データＤＢ２９１、個人データＤＢ２９２、提供先サーバ属性データＤＢ２９３、提供個人データ管理データＤＢ２９４、提供個人データ暗号化データＤＢ２９５、ログデータＤＢ２９６、提供先サーバログデータＤＢ２９７の各ＤＢにデータテーブルを格納する。

送受信部２１０は、個人データ提供先サーバ３００や利用者端末４００とデータを送受信する。例えば、利用者からのサービス利用要求を受け付ける。認証処理部２２０は、送受信部２１０からの要求に従い、アクセスしてきた者が正当なものであるか確認するための認証を行う。例えば、利用者からのサービス利用要求を受け付けた送受信部２１０からの要求に従い、利用者が正当な利用者であるか確認するためのユーザ認証を行う。

その際、例えば、ユーザＩＤ、パスワードなど利用者の属性情報を利用することになるが、これらの情報が利用者登録データである。利用者登録データは、サービス利用契約が成立したとき（Ｓ３−３０）に利用者から個人データ提供元事業者に提供されるものであり、データ格納部２９０を用いて利用者登録データＤＢ２９１に記録される。図５に利用者登録データをレコードとして格納する利用者登録データテーブルの一例を示す。この例では、サービス利用に必要となるユーザＩＤ、ユーザＩＤに対応する利用者の氏名、かな、住所、生年月日、性別、二次利用の許諾などの利用者の属性情報が含まれている。

ユーザサービス提供部２３０は、個人データ提供元事業者が利用者に提供する個々のサービスに関連する機能を実現するものである。ここでは、オンラインショッピングサービスに必要な機能が提供される。その他利用者に提供されるサービスがある場合は、それに応じたユーザサービス提供部が実現されることになる。利用者がサービスを利用した履歴は、個人データＤＢ２９２に記録される。オンラインショッピングでの購入履歴は個人データであり、その個人データテーブルの一例を図６に示す。この例では、購入履歴を識別する番号（Ｎｏ．）、購入したユーザのユーザＩＤ、購入日、品番、数量などが含まれている。

提供先データ作成処理部２４０は、個人データの二次利用のために個人データ提供元事業者から個人データ提供先事業者に提供される提供先データを作成する。提供先データ使用状況処理部２５０は、個人データ提供先事業者が実際に個人データを二次利用しようとした場合に、個人データ提供先事業者に関するデータを処理する。個人データ使用状況処理部２６０は、利用者から個人データの使用状況に関して問い合わせがあった場合に必要な処理をする。提供先データ作成処理部２４０、提供先データ使用状況処理部２５０、個人データ使用状況処理部２６０における処理については、後ほど個々に詳説する。

データ格納部２９０は、上述の利用者登録データＤＢ２９１、個人データＤＢ２９２以外にも提供先サーバ属性データＤＢ２９３、提供個人データ管理データＤＢ２９４、提供個人データ暗号化データＤＢ２９５、ログデータＤＢ２９６、提供先サーバログデータＤＢ２９７を有する。提供先サーバ属性データＤＢ２９３、提供個人データ管理データＤＢ２９４、提供個人データ暗号化データＤＢ２９５は、提供先データ作成処理部２４０及び提供先データ使用状況処理部２５０における処理で用いられるものであり、ログデータＤＢ２９６、提供先サーバログデータＤＢ２９７は個人データ使用状況処理部２６０における処理で用いられるものである。そこで、これらのＤＢについては、個々の処理について説明する際にあわせて説明する。

＜個人データの二次利用＞
個人データ提供元事業者がオンラインショッピングの売り上げを伸ばすために購入履歴を分析しビジネス拡大に役立てたいと考えているが、自ら購入履歴を分析するためのノウハウを十分に持ち合わせていないとする。このような場合、利用者から個人データの二次利用に関する了解を取っているので、購入履歴分析の専門業者である個人データ提供先事業者に個人データを渡し、分析を依頼することが可能である。個人データ提供先事業者が個人データを二次利用する際に用いるのが個人データ提供先サーバ３００である。

以下、図７を参照して個人データ提供先サーバ３００について説明する。図７は、個人データ提供先サーバ３００の構成を示すブロック図である。図７に示すように個人データ提供先サーバ３００は、送受信部３１０と、認証処理部３２０と、提供元データ作成処理部３３０と、分析処理部３４０と、データ格納部３９０を含む。分析処理部３４０は、分析実行部３４２と、受領データ処理部３４９を含む。受領データ処理部３４９は、使用環境取得部３４９１と、管理データＩＤ取得部３４９２と、ログ作成部３４９３を含む。データ格納部３９０は、分析関連データＤＢ３９１、ログデータＤＢ３９２、受領個人データ暗号化データＤＢ３９９の各ＤＢにデータテーブルを格納する。

送受信部３１０は、個人データ提供元サーバ２００とデータを送受信する。認証処理部３２０は、送受信部３１０からの要求に従い、個人データ提供元サーバ２００が正当なサーバであるか確認する。

提供元データ作成処理部３３０は、個人データ提供元事業者から提供される、提供先データ作成処理部２４０が作成した提供先データを処理する。提供先データは、個人データを暗号化した個人データ暗号化データと個人データ暗号化データを処理するために用いる個人データ暗号化データ処理ツールが含まれる。個人データ暗号化データはデータ格納部３９０により受領個人データ暗号化データＤＢ３９９に記録される。また、個人データ暗号化データ処理ツールは受領データ処理部３４９として分析処理部３４０に組み込まれる。

分析処理部３４０は、受領個人データ暗号化データＤＢ３９９に記録した個人データ暗号化データの分析処理を行う。データ格納部３９０は、上述の受領個人データ暗号化データＤＢ３９９以外にも分析関連データＤＢ３９１、ログデータＤＢ３９２を有する。分析関連データＤＢ３９１、ログデータＤＢ３９２は、分析処理部３４０における処理で用いられるものである。そこで、これらのＤＢについては、当該処理の説明の際にあわせて説明する。

以下、図８を参照して、個人データ提供先事業者による個人データの二次利用のための事前処理の流れを説明する。まず、個人データ提供先事業者と個人データ提供元事業者との間で、個人データの使用を含む分析業務に関する契約を結ぶ（Ｓ８−１０）。契約成立後、個人データ提供先事業者は、個人データ分析に使用するサーバである個人データ提供先サーバ３００の属性データを個人データ提供元サーバ２００に送信する（Ｓ８−２０）。個人データ提供先サーバの属性データとは、サーバの使用するＯＳ、ＣＰＵ、メモリ容量、ＭＡＣアドレスなどサーバの特定に利用することができる情報である。データ格納部２９０は、属性データと個人データ提供先事業者を識別するための提供先コードとを組にして提供先サーバ属性データＤＢに記録する（Ｓ８−３０）。なお、属性データを送信する際、電子署名を用いてもよい。

提供先データ作成処理部２４０の匿名化処理部２４２は、個人データＤＢ２９２から二次利用の許諾を与えている利用者の個人データのみを抽出、個人が特定できないように匿名化処理を施し、個人データ管理データを生成、提供個人データ管理データＤＢ２９４に記録する（Ｓ８−４０）。匿名化されたデータを含む提供個人データ管理データテーブルの一例を図９に示す。各レコードは、テーブルのレコードを識別するための管理データＩＤ、提供先コード、匿名化の元データを示す個人データテーブルのＮｏ．、利用者の性別、年代、住所、購入種別等を含む。性別、年代、住所、購入種別は、利用者の情報である性別、生年月日、住所や購入履歴の情報である品番の各データを丸めて匿名化したデータであり、どのような人が何を購入したのかが特定できないようにしている。この匿名化の例はあくまでも一例であり、分析したい内容に応じて、匿名化する項目、匿名化するレベルも異なるものとなる。

提供先データ作成処理部２４０の暗号化処理部２４４は、提供個人データ管理データＤＢ２９４に記録した個人データ管理データを暗号化し、個人データ暗号化データを生成、提供個人データ暗号化データＤＢ２９５に記録する（Ｓ８−５０）。個人データ管理データを暗号化した個人データ暗号化データの一例を図１０に示す。個人データ暗号化データは管理データＩＤと暗号化データの組である。暗号化データは、個人データ管理データのうち、個人データテーブルのＮｏ．を用いて特定できるユーザＩＤと、性別、年代、住所、購入種別等を暗号化したデータである。ユーザＩＤを含めることにより、複数の購入履歴とユーザの対応を取りながら購入分析を行うことができる。

また、暗号化処理部２４４は、暗号化データを個人データ提供先サーバ３００で処理するために用いる個人データ暗号化データ処理ツールをこの暗号化の方法にあわせて作成する（Ｓ８−５０）。例えば、ライブラリの形式で実装され、分析処理部３４０に組み込まれる。

提供先データ作成処理部２４０の電子署名処理部２４６は、個人データ暗号化データ、個人データ暗号化データ処理ツールに署名を付与する（Ｓ８−６０）。電子署名処理部２４６は、送受信部２１０を用いて個人データ提供先サーバ３００に署名付き個人データ暗号化データ及び個人データ暗号化データ処理ツールを送信する（Ｓ８−７０）。

個人データ提供先サーバ３００は、送受信部３１０及び認証処理部３２０を用いて署名付き個人データ暗号化データ及び個人データ暗号化データ処理ツールを受信し、提供元データ作成処理部３３０を用いて署名を検証、問題なければ受信した個人データ暗号化データを受領個人データ暗号化データＤＢ３９９に記録する（Ｓ８−８０）。また、個人データ暗号化データ処理ツールを受領データ処理部３４９として分析処理部３４０に組み込む（Ｓ８−８０）。

続いて、図１１を参照して、個人データ提供先事業者による個人データ分析処理の流れを説明する。個人データ分析処理に先立ち、個人データの正当な利用権限を有するかの確認が行われる。

図１１は、個人データ提供元事業者と契約を締結した正当な個人データ提供先事業者の個人データ提供先サーバ３００と個人データ提供元サーバ２００との間の処理の流れを示すシークエンス図である。不正に個人データ暗号化データや個人データ暗号化データ処理ツールを入手した可能性（疑い）がある者から個人データ提供元サーバ２００にアクセスがあった場合は、Ｓ１１−２０やＳ１１−６０での処理が異なるものとなる。

以下、そのような者が個人データ暗号化データや個人データ暗号化データ処理ツールを用いて構成したサーバのことを個人データ処理サーバということにする。この個人データ処理サーバは、個人データ提供先サーバ３００と同様、受領データ処理部３４９や受領個人データ暗号化データＤＢ３９９を備えることになる。個人データ処理サーバは通常のサーバと同様、送受信部３１０、認証処理部３２０、データ格納部３９０などの構成要素を備えるものとなる。

受領データ処理部３４９の使用環境取得部３４９１は、分析に使うサーバである個人データ提供先サーバ３００（個人データ処理サーバ）の属性データを取得し（Ｓ１１−０５）、送受信部３１０を用いて個人データ提供元サーバ２００に送信する（Ｓ１１−１０）。

個人データ提供元サーバ２００は、送受信部２１０及び認証処理部２２０を用いて属性データを受信する。提供先データ使用状況処理部２５０の使用環境比較部２５２は、データ格納部２９０が提供先サーバ属性データＤＢ２９３から読出した属性データと、受信した属性データとを比較する（Ｓ１１−２０）。両者が一致する場合、使用環境比較部２５２は、送受信部２１０を用いて一致するとの比較結果を個人データ提供先サーバ３００に送信する（Ｓ１１−３０）。その際、使用環境比較部２５２は、データ格納部２９０を用いて一致するとの比較結果を日時とともにログデータとしてログデータＤＢ２９６に記録してもよい（Ｓ１１−２０）。

一致しなかった場合、個人データ提供先事業者に提供した個人データ暗号化データ処理ツールが不正に流出し、契約締結後（Ｓ８−１０）に提供された属性データと異なるサーバにツールがインストールされ、使われている可能性がある。つまり、個人データ処理サーバからのアクセスである可能性がある。そこで、使用環境比較部２５２は、データ格納部２９０を用いて一致しないとの比較結果を日時とともにログデータとしてログデータＤＢ２９６に記録する（Ｓ１１−２０）。また、使用環境比較部２５２は、送受信部２１０を用いて一致するとのダミーの比較結果を個人データ処理サーバに送信する（Ｓ１１−３０）。

個人データ提供先サーバ３００（個人データ処理サーバ）が（ダミーも含め）一致との比較結果を受信した場合、受領データ処理部３４９の管理データＩＤ取得部３４９２は、受領個人データ暗号化データＤＢ３９９から分析対象となる個人データ暗号化データを読み出す（Ｓ１１−４０）。そして、管理データＩＤ取得部３４９２は、送受信部３１０を用いて読み出された個人データ暗号化データに含まれる管理データＩＤを個人データ提供元サーバ２００に送信する（Ｓ１１−５０）。ここで、一致するとのダミーの比較結果を受信したサーバは、個人データ処理サーバである。

個人データ提供元サーバ２００は、送受信部２１０及び認証処理部２２０を用いて管理データＩＤを受信する。提供先データ使用状況処理部２５０の管理データＩＤ比較部２５４は、データ格納部２９０が提供個人データ暗号化データＤＢ２９５から読出した管理データＩＤと、受信した管理データＩＤとを比較する（Ｓ１１−６０）。属性データが一致していた場合に管理データＩＤが一致したときは、管理データＩＤ比較部２５４は、一致するとの比較結果を個人データ提供先サーバ３００に送信する（Ｓ１１−７０）。この場合は、正当な利用権限があると考えられる。送信に際して、管理データＩＤ比較部２５４は、データ格納部２９０を用いて一致するとの比較結果を日時とともにログデータとしてログデータＤＢ２９６に記録してもよい（Ｓ１１−６０）。

なお、一致するとの比較結果を個人データ提供先サーバ３００が受信すると、個人データ暗号化データを個人データ提供先サーバ３００で分析処理できる状態となるため、例えばこの比較結果の情報自身がある程度複雑な情報であるなど、個人データ暗号化データ処理ツールに偽装した情報を与えることにより不正に使用されることがないように個人データ暗号化データ処理ツールが作成されていることが好ましい。

また、属性データが一致していた場合に管理データＩＤが一致しなかったときは、管理データＩＤ比較部２５４は、一致しないとの比較結果をログデータとしてログデータＤＢ２９６に記録し、処理を終了する（Ｓ１１−６０）。この場合は、正当な使用環境にて個人データ暗号化データ処理ツールが利用されているが、個人データ暗号化データを利用する権限はなかったものと考えられる。Ｓ８−３０〜Ｓ８−５０の個人データ提供元サーバ２００でのデータの対応付けのミスなど手続き上の何らかのミスがあることが考えられるため、適切な対応が必要となる。

属性データが不一致であった場合に管理データＩＤが一致したとき（この場合は個人データ処理サーバからのアクセスである）は、管理データＩＤ比較部２５４は、一致するとの比較結果をログデータとしてログデータＤＢ２９６に記録し、処理を終了する（Ｓ１１−６０）。管理データＩＤ比較部２５４は、比較結果を記録するだけでなく、次のような処理をあわせておこなってもよい。管理データＩＤ比較部２５４は、管理データＩＤを用いて、個人データ暗号化データに含まれるユーザＩＤを特定する。当該ユーザＩＤは不正利用の可能性がある個人データの利用許諾をした利用者を特定するための情報となるため、ユーザＩＤもログデータとしてログデータＤＢ２９６に記録する。その後、必要に応じて、個人データ提供元事業者は、利用者に対して不正使用の可能性があることを報告する。

図１２は、報告フローの例である。まず、個人データ提供元事業者は、二次利用を許諾した利用者に対して個人データが不正使用された可能性があることを報告する（Ｓ１２−１０）。利用者は、不正使用に関する報告を受信後、保険会社に対して不正使用を報告、保険金の請求を行うなど適切な行動を実行する（Ｓ１２−２０）。また、保険会社では、利用者から送られてきた報告を審査し（Ｓ１２−３０）、審査結果に従い保険金を支払うなど適切な処理を実行する（Ｓ１２−４０）。

属性データが不一致であった場合に管理データＩＤが不一致になったとき（この場合も個人データ処理サーバからのアクセスである）は、管理データＩＤ比較部２５４は、一致しないとの比較結果をログデータとしてログデータＤＢ２９６に記録し、処理を終了する（Ｓ１１−６０）。

個人データ提供先サーバ３００は、一致との比較結果を受信した場合、分析処理部３４０の分析実行部３４２を用いて受領個人データ暗号化データＤＢ３９９から読み出した暗号化データを復号し、分析処理を実行する（Ｓ１１−８０）。分析処理に必要な他のデータや設定情報等は、分析関連データＤＢ３９１から読み出し、適宜分析処理に利用する。

分析実行部３４２による個人データの分析処理が終了すると、ログ作成部３４９３は、実行日時、分析結果等をログとして作成し、ログデータＤＢ３９２に記録する（Ｓ１１−８５）。分析結果には、利用者ごとの特徴が分かるようにユーザＩＤが含まれる。個人データ提供先サーバ３００は、個人データ暗号化データと個人データ暗号化データ処理ツールを削除する。その後、個人データ提供元サーバ２００にログとともに削除通知を送信する（Ｓ１１−９０）。削除するのでなく、返却処理をするのでもよい。

個人データ提供元サーバ２００は、送受信部２１０及び認証処理部２２０を用いてログ等を受信、データ格納部２９０を用いて分析結果を含むログを提供先サーバログデータＤＢ２９７に記録する（Ｓ１１−９５）。このログには、分析結果以外にも分析したサーバ、日時などの情報が含まれる。

個人データの二次利用先である個人データ提供先事業者の個人データ提供先サーバ３００において個人データ暗号化データを利用するためには、個人データ提供元事業者が提供するライブラリなど個人データ暗号化データ処理ツールを使うことが必須となっている。これにより当該ツールを持たない者による個人データの不正な利用を防ぐことができる。したがって、暗号化されている個人データが流出したとしても、ツールを持たない者は暗号化されている個人データを見るなど利用することができない。

また、正当な利用権限がある者による利用か否か確認するために、個人データ提供先サーバ３００の属性データと個人データ暗号化データを識別する管理データＩＤをそれぞれ個人データ提供先サーバ３００から個人データ提供元サーバ２００に送信し、個人データ提供元サーバ２００で管理している情報と比較、両者が一致して初めて個人データ提供先事業者が個人データを利用できるような仕組みとなっている。属性データの一致性を確認することにより、ツールを不正に入手したとしても正当な使用環境で使用しない限り個人データ暗号化データを利用することはできないし、不正使用の可能性（疑い）があることを個人データ提供元事業者は検知することができる。また、属性データが一致した場合に、管理データＩＤの一致性を確認することにより、個人データを利用しようとしている者がその個人データを利用する権限があるか否かの確認を取ることができる。一方、属性データが一致しないのに、一致するとのダミーの比較結果を送信、管理データＩＤの一致性を確認することにより、不正に利用される可能性がある個人データを特定し、当該個人データの利用を許諾した利用者に報告することができる。

なお、属性データと管理データＩＤを取得するために、個人データ暗号化データ処理ツールを用いるようにすることにより、これらの情報を不正に生成して送信することを防ぐこともできる。

以上述べたように、個人データ提供元事業者が個人データ提供先事業者以外による不正使用の可能性を把握することができる。

＜変形例＞
図１１の個人データ分析処理の流れでは、Ｓ１１−２０で属性データが一致しなかった場合、Ｓ１１−３０でダミーの比較結果を送信し、管理データＩＤを個人データ処理サーバに送信させることにより、不正に流出した可能性がある個人データを特定した。以下では、図１３を用いて、図１１とは異なる、個人データの正当な利用権限を有するかの確認処理フローについて説明する。

前提として、個人データ提供先事業者に提供される個人データ暗号化データ処理ツールには、当該ツールの作成時（Ｓ８−５０）に、ツールを識別するためのＩＤ（以下、ツールＩＤという）がツールに付与され、個人データ提供元事業者はこのツールＩＤを提供先コードとともに管理しているものとする。

受領データ処理部３４９の使用環境取得部３４９１は、分析に使うサーバである個人データ提供先サーバ３００（個人データ処理サーバ）の属性データとツールＩＤを取得し（Ｓ１３−０５）、送受信部３１０を用いて個人データ提供元サーバ２００に送信する（Ｓ１３−１０）。

個人データ提供元サーバ２００は、送受信部２１０及び認証処理部２２０を用いて属性データとツールＩＤを受信する。提供先データ使用状況処理部２５０の使用環境比較部２５２は、データ格納部２９０が提供先サーバ属性データＤＢ２９３から読出した属性データと、受信した属性データとを比較する（Ｓ１３−２０）。両者が一致する場合、使用環境比較部２５２は、送受信部２１０を用いて一致するとの比較結果を個人データ提供先サーバ３００に送信する（Ｓ１３−３０）。なお、Ｓ１３−２０において、属性データの一致性に加えて、ツールＩＤの一致性も確認するようにしてもよい。このように二重に一致性を確認することにより、個人データ提供元サーバ２００でのデータの対応付けのミスなど手続き上のミスの発見につながる可能性がある。

一致しなかった場合、個人データ提供先事業者に提供した個人データ暗号化データ処理ツールが不正に流出し、契約締結後（Ｓ８−１０）に提供された属性データと異なるサーバにツールがインストールされ、使われている可能性がある。つまり、個人データ処理サーバからのアクセスである可能性がある。そこで、使用環境比較部２５２は、データ格納部２９０を用いて一致しないとの比較結果を日時とともにログデータとしてログデータＤＢ２９６に記録し、処理を終了する（Ｓ１３−２０）。管理データＩＤ比較部２５４は、比較結果を記録するだけでなく、次のような処理をあわせておこなってもよい。管理データＩＤ比較部２５４は、ツールＩＤ（と対応する提供先コード）を用いて、当該ツールＩＤを有する個人データ暗号化データ処理ツールとセットで提供した個人データ暗号化データを特定する。この個人データ暗号化データにはユーザＩＤが含まれている。そこで、必要に応じて、個人データ提供元事業者は、特定した個人データ暗号化データに含まれるユーザＩＤに対応する利用者に対して不正使用の可能性があることを報告する。

個人データ提供先サーバ３００が一致との比較結果を受信した場合、図１１と同様の分析処理（Ｓ１１−８０〜Ｓ１１−９５）を行う。

正当な利用権限がある者による利用か否か確認するために、個人データ提供先サーバ３００の属性データとツールＩＤを個人データ提供先サーバ３００から個人データ提供元サーバ２００に送信し、個人データ提供元サーバ２００で管理している情報と比較、属性データが一致して初めて個人データ提供先事業者が個人データを利用できるような仕組みとなっている。属性データの一致性を確認することにより、ツールを不正に入手したとしても正当な使用環境で使用しない限り個人データ暗号化データを利用することはできないし、不正使用の可能性（疑い）があることを個人データ提供元事業者は検知することができる。また、属性データが一致しない場合には、ツールＩＤを用いて不正に利用される可能性がある個人データを特定し、当該個人データの利用を許諾した利用者に報告することができる。

＜変形例２＞
図８における処理Ｓ８−５０、暗号化処理部２４４による個人データ暗号化データの生成では、暗号化データにユーザＩＤそのものを含める形で説明した。

しかし、暗号化データにユーザＩＤを含める形で個人データ提供先事業者に提供することとすると、個人データ提供先サーバ３００における個人データの分析結果を含むログの中に、ユーザＩＤが書き込まれることになる。このとき、万が一、何らかの形で個人データ提供元サーバ２００から個人情報である利用者登録データテーブル（図５）や個人データテーブル（図６）が流出した場合、ログに書き込まれたユーザＩＤと突き合わせることで重大な事故が起きてしまうことになりかねない。

そこで、図１４にあるように、ユーザＩＤを提供用変換ユーザＩＤに置換し、この提供用変換ユーザＩＤを暗号化データに含めるようにする（以下、提供用変換ユーザＩＤテーブルという）。これにより、個人データ提供先サーバ３００に、個人データ提供元事業者が管理しているユーザＩＤそのものが記録されることを避けることができる。したがって、上述したような重大な事故を防ぐことができる。また、この提供用変換ユーザＩＤテーブル自体を個人データ提供元サーバ２００において暗号化して記録しておけば、より安全性が高めることもできる。

＜個人データ使用状況確認処理＞
利用者は、個人データの不正使用の可能性について個人データ提供元事業主から指摘されるだけでなく、自ら不正使用の可能性を確認することもできる。

以下、図１５を参照して、利用者による個人データの使用状況確認処理の流れを説明する。利用者は、あるタイミングにおいて自分の個人データの使用状況を確認するため、利用端末４００を用いて個人データ提供元サーバ２００に対して個人データ使用に関するログ提示を要求する（Ｓ１５−１０）。

個人データ提供元サーバ２００は、送受信部２１０及び認証処理部２２０を介してログ提示要求を受信、個人データ使用状況処理部２６０の個人データ使用状況抽出部２６２は、個人データ提供元サーバ２００のログを記録しているログデータＤＢ２９６と、個人データ提供先サーバ３００での分析結果であるログを記録している提供先サーバログデータＤＢ２９７から、利用者のユーザＩＤに対応するログを抽出する（Ｓ１５−２０）。レポート作成部２６４は、抽出したログを分析し、レポートを作成する（Ｓ１５−３０）。個人データ提供元サーバ２００は、作成したレポートを利用者端末４００に送信する（Ｓ１５−４０）。利用者は、レポートを確認、不正使用の可能性がある場合は保険会社に報告し、補償を請求するなど適切な行動を行う（図１２参照）。

個人データの利用に関するログを利用者が確認することにより、自分の個人データが個人データの提供先も含め正しく利用されているかについて利用者自身が確認することができる。また、この結果を利用して利用者は現在および今後の個人データの提供ポリシに対する変更を適切に実施することができる。

なお、この発明は上記実施形態に限定されるものではない。テーブルは、格納するデータの一例を示したものであり、適宜フィールドを追加することができる。また、各々の処理においても、この発明の要旨を逸脱しない範囲で追加、変形することも可能であることはいうまでもない。

＜補記＞
本発明の装置は、例えば単一のハードウェアエンティティとして、キーボードなどが接続可能な入力部、液晶ディスプレイなどが接続可能な出力部、ハードウェアエンティティの外部に通信可能な通信装置（例えば通信ケーブル）が接続可能な通信部、ＣＰＵ（Central Processing Unit、キャッシュメモリやレジスタなどを備えていてもよい）、メモリであるＲＡＭやＲＯＭ、ハードディスクである外部記憶装置並びにこれらの入力部、出力部、通信部、ＣＰＵ、ＲＡＭ、ＲＯＭ、外部記憶装置の間のデータのやり取りが可能なように接続するバスを有している。また必要に応じて、ハードウェアエンティティに、ＣＤ−ＲＯＭなどの記録媒体を読み書きできる装置（ドライブ）などを設けることとしてもよい。このようなハードウェア資源を備えた物理的実体としては、汎用コンピュータなどがある。

ハードウェアエンティティの外部記憶装置には、上述の機能を実現するために必要となるプログラムおよびこのプログラムの処理において必要となるデータなどが記憶されている（外部記憶装置に限らず、例えばプログラムを読み出し専用記憶装置であるＲＯＭに記憶させておくこととしてもよい）。また、これらのプログラムの処理によって得られるデータなどは、ＲＡＭや外部記憶装置などに適宜に記憶される。

ハードウェアエンティティでは、外部記憶装置（あるいはＲＯＭなど）に記憶された各プログラムとこの各プログラムの処理に必要なデータが必要に応じてメモリに読み込まれて、適宜にＣＰＵで解釈実行・処理される。その結果、ＣＰＵが所定の機能（上記、…部、…手段などと表した各構成要件）を実現する。

本発明は上述の実施形態に限定されるものではなく、本発明の趣旨を逸脱しない範囲で適宜変更が可能である。また、上記実施形態において説明した処理は、記載の順に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されるとしてもよい。

既述のように、上記実施形態において説明したハードウェアエンティティ（本発明の装置）における処理機能をコンピュータによって実現する場合、ハードウェアエンティティが有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記ハードウェアエンティティにおける処理機能がコンピュータ上で実現される。

この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。具体的には、例えば、磁気記録装置として、ハードディスク装置、フレキシブルディスク、磁気テープ等を、光ディスクとして、ＤＶＤ（Digital Versatile Disc）、ＤＶＤ−ＲＡＭ（Random Access Memory）、ＣＤ−ＲＯＭ（Compact Disc Read Only Memory）、ＣＤ−Ｒ（Recordable）／ＲＷ（ReWritable）等を、光磁気記録媒体として、ＭＯ（Magneto-Optical disc）等を、半導体メモリとしてＥＥＰ−ＲＯＭ（Electronically Erasable and Programmable-Read Only Memory）等を用いることができる。

また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。

このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記録媒体に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。

また、この形態では、コンピュータ上で所定のプログラムを実行させることにより、ハードウェアエンティティを構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。

Claims (7)

1. 個人データを暗号化した個人データ暗号化データと前記個人データ暗号化データを利用するための個人データ暗号化データ処理ツールを生成する個人データ提供元サーバが、前記個人データ暗号化データ処理ツールを用いて前記個人データ暗号化データを利用しようとするサーバが前記個人データを不正に利用するものでないかを確認するための個人データ不正使用検知方法であって、
   前記サーバが、前記個人データ暗号化データ処理ツールを用いて前記個人データ暗号化データを利用しようとしたときに、
   前記サーバが、前記個人データ暗号化データ処理ツールの使用環境である自らを特定するための情報である属性データを取得し、前記属性データを前記個人データ提供元サーバに送信する使用環境取得ステップと、
   前記個人データ提供元サーバが、前記属性データと、前記個人データ暗号化データ処理ツールの使用環境として事前に記録していた属性データとを比較し、一致しない場合には一致するとのダミーの比較結果を前記サーバに送信する使用環境比較ステップと、
   前記サーバが、前記個人データ暗号化データを識別する管理データＩＤを取得し、前記管理データＩＤを前記個人データ提供元サーバに送信する管理データＩＤ取得ステップと、
   前記個人データ提供元サーバが、前記管理データＩＤと、前記個人データ暗号化データを識別する情報として事前に記録していた管理データＩＤとを比較し、前記使用環境比較ステップでダミーの比較結果を送信していた場合は、処理を終了する管理データＩＤ比較ステップと
   を実行する個人データ不正使用検知方法。
2. 前記使用環境取得ステップにおける前記属性データの取得及び前記管理データＩＤ取得ステップにおける前記管理データＩＤの取得に、前記個人データ暗号化データ処理ツールを用いる請求項１に記載の個人データ不正使用検知方法。
3. 個人データを暗号化した個人データ暗号化データと前記個人データ暗号化データを利用するための個人データ暗号化データ処理ツールを生成する個人データ提供元サーバが、前記個人データ暗号化データ処理ツールを用いて前記個人データ暗号化データを利用しようとするサーバが前記個人データを不正に利用するものでないかを確認するための個人データ不正使用検知方法であって、
   前記サーバが、前記個人データ暗号化データ処理ツールを用いて前記個人データ暗号化データを利用しようとしたときに、
   前記サーバが、前記個人データ暗号化データ処理ツールの使用環境である自らを特定するための情報である属性データと、前記個人データ暗号化データ処理ツールを識別するツールＩＤとを取得し、前記属性データと前記ツールＩＤを前記個人データ提供元サーバに送信する使用環境取得ステップと、
   前記個人データ提供元サーバが、前記属性データと、前記個人データ暗号化データ処理ツールの使用環境として事前に記録していた属性データとを比較し、一致しない場合には、処理を終了する使用環境比較ステップと
   を実行する個人データ不正使用検知方法。
4. 前記使用環境取得ステップにおける前記属性データと前記ツールＩＤの取得に、前記個人データ暗号化データ処理ツールを用いる請求項３に記載の個人データ不正使用検知方法。
5. 個人データ暗号化データ処理ツールを用いて個人データを暗号化した個人データ暗号化データを利用しようとするサーバが前記個人データを不正に利用するものでないかを確認するための個人データ提供元サーバであって、
   前記個人データ暗号化データと前記個人データ暗号化データ処理ツールは、前記個人データ提供元サーバが生成するものであり、
   前記サーバが、前記個人データ暗号化データ処理ツールを用いて前記個人データ暗号化データを利用しようとしたときに、
   前記サーバから送信されてきた属性データと、前記個人データ暗号化データ処理ツールの使用環境として事前に記録していた属性データとを比較し、一致しない場合には一致するとのダミーの比較結果を前記サーバに送信する使用環境比較部と、
   前記サーバから送信されてきた管理データＩＤと、前記個人データ暗号化データを識別する情報として事前に記録していた管理データＩＤとを比較し、前記使用環境比較部がダミーの比較結果を送信していた場合は、処理を終了する管理データＩＤ比較部を備える
   ことを特徴とする個人データ提供元サーバ。
6. 前記サーバから送信されてきた属性データと管理データＩＤは、前記個人データ暗号化データ処理ツールを用いて取得されたものである請求項５に記載の個人データ提供元サーバ。
7. 請求項５または６に記載の個人データ提供元サーバとしてコンピュータを機能させるためのプログラム。