JP2019101744A - プログラム、情報処理装置、カード情報処理方法 - Google Patents

Abstract

【課題】カード情報のセキュリティを導入しやすい方法で強化できるプログラムを提供すること。【解決手段】本発明は、カード情報を取得する端末装置１０又は第二の情報処理装置３０からカード情報を取得する情報処理装置５０を、暗号化されたカード情報を取得するカード情報取得手段５２と、カード情報取得手段が取得したカード情報を復号する復号手段５３と、復号手段が復号したカード情報の秘匿性の有無を判断する秘匿性判断手段５４と、秘匿性判断手段により秘匿性があると判断された場合、秘匿性を有するデータ部分と識別情報とを対応付ける情報対応付手段６２と、秘匿性判断手段により秘匿性があると判断された場合、秘匿性を有さないデータ部分と識別情報を端末装置又は第二の情報処理装置に返却し、秘匿性判断手段により秘匿性がないと判断された場合、復号手段が復号したカード情報を端末装置又は第二の情報処理装置に返却する返却手段５６、として機能させるプログラムを提供する。【選択図】図１

Description

本発明は、プログラム、情報処理装置、及び、カード情報処理方法に関する。

商品やサービスの購入時に各種のカードが利用される場合がある。例えば、支払いにクレジットカードが使用されるし、購入に対しポイントを付与して後の買い物でポイントに応じた割引などを行う店ではポイントカードが使用される。しかしながら、クレジットカードが保持するカード番号に代表されるように、カードが秘匿情報を保持している場合がある。近年、カードの秘匿情報を悪用する犯罪が増加しており、カードを扱う店ではカード情報に対する十分なセキュリティ対策を施すことが求められている。例えば、カード情報に対するセキュリティ規格としてPCIDSS（Payment Card Industry Data Security Standard）という規格がある。

セキュリティが強化されると、店頭のＰＯＳ(Point Of Sales)等を通したカードの処理において、カードが秘匿情報を含む可能性がある場合、ＰＯＳアプリ又は顧客システム（例えば店を運営する本社側のシステム）内を秘匿情報が通過するだけでセキュリティ対策が要請される。

セキュリティの強化方法の１つとしてカード情報を暗号化することが考えられる（例えば、特許文献１参照。）。特許文献１には、非ペイメントカードインダストリを受信した入力デバイスがユーザカードからデータを獲得し、データのマスキングレベルを制御し、制御されたマスキングレベルを備えたデータをＰＯＳクライアントに送信するシステムが開示されている。したがって、特許文献１に記載された技術では入力デバイスがユーザカードのデータを取得するとホワイトリストにしたがってデータをマスクすることが可能になり、秘匿性が高い情報を秘匿化し、秘匿性が低い情報に関しては平文のまま処理に利用できる。

しかしながら、特許文献１に記載された技術では、店の既存のＰＯＳ端末への導入にコストがかかるという問題がある。例えば、入力デバイス又は少なくともＰＯＳ端末のソフトウェアの更新が必要になるためコスト増となるおそれがある。また、例えばホワイトリストが変更された場合は店頭の全ての入力デバイスが使用するホワイトリストを更新する必要があるため、コスト増となったり対応に時間がかかったりするおそれもある。

本発明は、上記課題に鑑み、コスト増を抑制してカード情報のセキュリティを強化できるプログラムを提供することを目的とする。

上記課題に鑑み、本発明は、カード情報を取得する端末装置又は第二の情報処理装置から前記カード情報を取得する情報処理装置を、暗号化された前記カード情報を取得するカード情報取得手段と、前記カード情報取得手段が取得した前記カード情報を復号する復号手段と、前記復号手段が復号した前記カード情報の秘匿性の有無を判断する秘匿性判断手段と、前記秘匿性判断手段により秘匿性があると判断された場合、秘匿性を有するデータ部分と識別情報とを対応付ける情報対応付手段と、前記秘匿性判断手段により秘匿性があると判断された場合、秘匿性を有さないデータ部分と前記識別情報を前記端末装置又は前記第二の情報処理装置に返却し、前記秘匿性判断手段により秘匿性がないと判断された場合、前記復号手段が復号した前記カード情報を前記端末装置又は前記第二の情報処理装置に返却する返却手段、として機能させるプログラムを提供する。

コスト増を抑制してカード情報のセキュリティを強化できるプログラムを提供することができる。

情報管理システムの動作の概略を説明する図の一例である。 情報管理システムの概略構成図の一例である。 情報対応付システムのハードウェア構成図の一例である。 情報管理システムが有するＰＯＳ端末、顧客システム、及び、情報対応付システムの機能をブロック状に示す機能ブロック図の一例である（カード情報の識別情報への変換までの処理）。 情報管理システムが有するＰＯＳ端末、顧客システム、及び、情報対応付システムの機能をブロック状に示す機能ブロック図の一例である（カード情報の識別情報への変換後の処理）。 カードに記憶される情報を説明する図の一例である。 カード情報ＤＢに記憶される情報を模式的に示す図である。 カード番号と識別情報がどのように取り扱われるかを説明する図の一例である。 ＰＯＳ端末がカード情報を送信し返却情報を取得する手段を示すシーケンス図の一例である。 ＰＯＳ端末が顧客システムに処理要求する手順を示すシーケンス図の一例である。 返却情報がＰＯＳ端末までは送信されず、顧客システムで直接処理される場合のシーケンス図を示す。 ＰＯＳ端末がカード情報を送信し返却情報を取得する手段を示すシーケンス図の一例である（顧客システムなし）。 ＰＯＳ端末が情報対応付システムに処理要求する手順を示すシーケンス図の一例である（顧客システムなし）。 情報対応付システムがカード情報を削除する手順を示すシーケンス図の一例である。 公共料金システムが公共料金を決済した際に削除要求しない手順のシーケンス図の一例である。 客が退会したり契約期間が経過したりした場合に情報対応付システムがカード情報を削除する手順を示すシーケンス図の一例である。 情報管理システムの動作の概略を説明する図の一例である（実施例２）。 情報管理システムの機能をブロック状に示す機能ブロック図の一例である（カード情報の識別情報への変換までの処理）。 情報管理システムの機能をブロック状に示す機能ブロック図の一例である（カード情報の識別情報への変換後の処理）。 カード番号とユーザ側識別情報がどのように取り扱われるかを説明する図の一例である（実施例２）。 ＰＯＳ端末がカード情報を送信し返却情報を取得する手段を示すシーケンス図の一例である（実施例２）。

以下、本発明を実施するための形態の一例として、情報対応付システムが行うカード情報処理方法等について図面を参照しながら説明する。

＜情報管理システムの概略＞
図１は、情報管理システムの動作の概略を説明する図の一例である。図１では、店９のレジでカード８が使用された場合を想定して説明する。まず、客が購入する各商品の価格の合計が算出され、客がカード８を提示する。図１（ａ）に示すように店員又は客はカード８をＰＯＳ（Point Of Sales）端末１０の入力デバイス（カードリーダ１０ａ）で読み取らせる。

図１（ｂ）はカード情報の読み取り後の処理を示す。
（１）カード情報が読み取られるとＰＯＳ端末１０の入力デバイスがカード情報を暗号化する。
（２）ＰＯＳ端末１０は暗号化済みのカード情報を情報対応付システム５０に送信する。
（３）情報対応付システム５０はまずカード情報を復号する。
（４）次に、情報対応付システム５０はカード種類判断情報（後述する判断テーブル）を参照してカード８の種類を判断する。カード８の種類が秘匿する情報を含むカードであると判断された場合、情報対応付システム５０はカード情報のどの部分を秘匿するか判断し、更にその他の属性情報を取得する。なお、秘匿する情報を含む種類のカード８の典型例はクレジットカードである。クレジットカードのカード番号はクレジットカードによる買い物を可能にする番号（例えば、４桁×４＝１６桁のカード番号、更にセキュリティコードと言われる３桁の数字、有効期限）であり秘匿性が高い（秘匿性があるデータ部分の一例。）。
（５）更に、秘匿する情報を含むカードの種類であると判断した場合、情報対応付システム５０は一意性が保証されている識別情報を生成し、識別情報とカード情報とを対応付けて保持する。これにより、情報対応付システム５０では、識別情報が得られればカード情報を利用することが可能になる。
（６ａ）秘匿する情報を含むカードの種類であると判断した場合、情報対応付システム５０は、カード種類、識別情報及び後述する付加情報（秘匿性がないデータ部分の一例）をＰＯＳ端末１０に送信する。識別情報はカード番号を置き換えたように送信されるため、ＰＯＳ端末１０は識別情報をカード番号として受信する。
（６ｂ）秘匿する情報を含むカードの種類でないと判断した場合、情報対応付システム５０はカード種類と復号済みのカード情報とをＰＯＳ端末１０に送信する。したがって、この場合、カード情報は入力デバイスで暗号化され情報対応付システム５０で復号されてから返送される。

ＰＯＳ端末１０は、例えばクレジットカードが使用されるとクレジットカードであるというカード種類、及び、カード番号に置き換えられた識別情報を取得するので、以降は、従来の業務と同様にクレジットカードによる売上処理を行うことができる。また、例えば単なるポイントカードが使用されるとポイントカードであるというカード種類、及び、カード情報を取得するので、以降は、従来の業務と同様に購入額に応じたポイントの追加処理を行うことができる。

また、上記のように、カード情報はＰＯＳ端末１０の入力デバイスで暗号化されるため、ＰＯＳ端末１０のソフトウェア部分（例えば図２の入出力装置１２）を通過する際にはセキュリティ対策が施されている。秘匿する情報を含むカードが読み取られると、ＰＯＳ端末１０は識別情報を情報対応付システム５０から受信するが識別情報はカード番号ではないので特別なセキュリティ対策はなくてよい。情報対応付システム５０はカード情報を保持するが、情報対応付システム５０内では例えばPCIDSSなどのセキュリティ規格に適合したセキュリティ対策が施されている。また、本実施形態では入力デバイスが判断テーブル６３を有する必要がないので、店は従来からあるＰＯＳ端末１０を暗号化機能が付く入力デバイスに入れ替えることで、継続的に使用できるため、コスト増を抑制しやすい。入力デバイスには暗号化機能が元々ついているか、暗号化機能を有するものに置き換えるか、又は、暗号化機能を外付けする。
また、新しいカードが流通した場合でも情報対応付システム５０内のカード種類判断情報（後述する判断テーブル）を更新すればよいため、店側（入力デバイス及びＰＯＳ端末）が個別に対応する必要がなく、新しい取り扱いカード８の追加の場合に早期に対応できる。

＜用語について＞
秘匿する情報を含むカードの種類であることはこのカードから読み取られたカード情報が秘匿性のある情報を含むことをいう。カード情報とはカードが保持し、外部から読み取り可能な情報をいう。

また、秘匿性があるとは、公開すべきでないこと又は人に知らせるべきでないことをいう。秘匿性の有無の判断の基準は必ずしも一定でないので、秘匿性がある情報を予め定められている情報と称してもよい。

＜構成例＞
図２は、情報管理システム１００の概略構成図の一例を示す。情報管理システム１００は、一例として２つの形態を有する。１つは図２（ａ）に示すように、店９のＰＯＳ端末１０、顧客システム３０、及び、情報対応付システム５０を有する形態であり、もう１つは図２（ｂ）に示すように、店９のＰＯＳ端末１０と情報対応付システム５０を有する形態である。

図２（ａ）の形態は、例えば顧客システム３０が多くの店９と繋がっており、各店９の売上げ、在庫発注管理、及び、売掛金の回収等を顧客システム３０がまとめて行う形態である。店９のＰＯＳ端末１０は顧客システム３０とネットワーク又は専用線を介して接続されており、ＰＯＳ端末１０の情報は顧客システム３０に送信される。ネットワークはＰＯＳ端末１０と顧客システム３０が通信できればよいが、ＶＰＮ（Virtual Private Network）などの仮想的な専用線でもよい。店と顧客システム３０のこのような関係は従来から知られている。

店９には１台以上のＰＯＳ端末１０が設置されている。ＰＯＳ端末１０は商品の代金の合計を算出したり、カードを読み取って決済したり（ポイントカードが使用されるが、代金が現金で支払われた場合はお金の投入に対しおつりを出金する）、また、レシートを印刷したりする端末装置である。ＰＯＳ端末１０は更に入力デバイス１１と入出力装置１２を有する。

入力デバイス１１はカード情報を読み取る読取装置である。具体的には、磁気ストライプを読み取る装置、又は、カード８のＩＣチップを読み取るリーダーなどである。入出力装置１２は情報処理装置を実体として、レジ端末に必要な機能を提供するソフトウェア（アプリケーション）を実行する。また、商品情報の入力（バーコード読み取り）、タッチパネルなどからの商品の選択、代金の合計金額の算出、決済、現金の投入とおつりの払い出しなどの操作を店員から受け付ける各種のハードキー又はタッチパネルを有している。なお、ＰＯＳ端末１０は一般的な構成を有していればよいものとする。このように入出力装置１２は一般的なＯＳを実行する情報処理装置であるため各種のマルウェアによる攻撃を受ける可能性があり、カード情報を扱う場合にはセキュリティ対策が必要になる。一方、入力デバイス１１は情報処理装置の機能又は少なくとも一般的なＯＳが動作することが少ないため、マルウェアなどによる攻撃を受けにくい。

顧客システム３０は店９を出店した企業が日々の業務を運営する上で必要な情報システムである。したがって、顧客システム３０は１つ以上の情報処理装置を有する。顧客システム３０の一例として、Ａシステム３１、Ｂシステム３２、Ｃシステム３３が図示されているが、これらは一例としてＰＯＳシステム、在庫・発注管理システム、売掛金管理システム等である。顧客システム３０は決済や決済の結果を利用した処理を行う。この他のシステムを有していてもよいし、Ａシステム〜Ｃシステムの１つ以上を有していなくてもよい。

Ａシステム３１（ＰＯＳシステム）はＰＯＳ端末１０から送信されたカード番号と金額（商品の代金及び消費税）を用いて決済処理を行う。Ｂシステム３２（在庫・発注管理システム）は商品の販売による在庫の数を更新し、在庫の数が閾値以下になるとメーカーに発注する。Ｃシステム３３（売掛金管理システム）はクレジットカードで販売した商品やサービスの売掛金の回収を管理する。このように、顧客システム３０はＰＯＳ端末１０からの情報を使用して各種の業務を行っている。

図２（ａ）のような構成において、店９の入力デバイス１１を通過したカード情報に秘匿情報（例えばクレジットカードのカード番号）が含まれる可能性がある場合、入出力装置１２及び顧客システム３０を通過する際にセキュリティ対策が必要になる。例えば、クレジットカードのカード番号はPCIDSSというセキュリティ規格に準拠してセキュリティ対策される必要がある。クレジットカードと秘匿性が低い情報を保持するポイントカードを店９が扱う場合、クレジットカードが読み取られたか否かをＰＯＳ端末１０が判断する仕組みがあっても、ＰＯＳ端末１０や顧客システム３０はセキュリティ要件に対応しなければならない。

仮に入力デバイス１１がカード情報を暗号化したとしても、顧客システム３０がカード情報を使用して売り上げるにはカード情報を復号しなければならず、復号鍵の管理が必要になる。この場合はPCIDSSに準拠する必要があり、顧客システム３０は多額のセキュリティ対策・運用費用が負担する必要がある。これに対し、復号化機能を持たないシステム内を、セキュリティ要件を満たした方法で暗号化されたカード情報が単に通過するだけの場合は、PCIDSS準拠が必要な情報は非保持相当として扱われる。

本実施形態では鍵の管理を情報対応付システム５０が行うことで、顧客システム３０側の負担を軽減する。このため、本実施形態では顧客システム３０が情報対応付システム５０とネットワーク又は専用線を介して通信することができる。したがって、ＰＯＳ端末１０と情報対応付システム５０は間接的に通信する。情報対応付システム５０は、カード情報と識別情報を対応付けて保持する１つ以上の情報処理装置である。情報対応付システム５０がカード情報を保持することで顧客システム３０はPCIDSSに準拠する必要がなくなる。情報対応付システム５０は多くの顧客システム３０と通信し同様の処理を行うので、PCIDSSに準拠してもコストをまかなうことができる。

なお、顧客システム３０と情報対応付システム５０はクラウドコンピューティングに対応していてよい。クラウドコンピューティングとは、特定ハードウェア資源が意識されずにネットワーク上のリソースが利用される利用形態をいう。

図２（ｂ）の形態は顧客システム３０が存在しない形態である。店のＰＯＳ端末１０と情報対応付システム５０がネットワークを介して直接、通信する。ネットワークは、ＰＯＳ端末１０が設置されている店９などに構築されているＬＡＮ、ＬＡＮをインターネットに接続するプロバイダのプロバイダネットワーク、及び、回線事業者が提供する回線等により構築されている。ネットワークＮは複数のＬＡＮを有していたり、ＷＡＮと呼ばれていたりしてもよい。また、ネットワークにはインターネットが含まれてよい。ネットワークは有線又は無線のどちらで構築されてもよく、また、有線と無線が組み合わされていてもよい。また、ＰＯＳ端末１０が直接、公衆回線網に接続する場合は、ＬＡＮを介さずにプロバイダネットワークに接続することができる。あるいは専用線を介して通信してもよい。

図２（ｂ）の形態では店９の店員が顧客システム３０に代わって作業するため顧客システム３０は不要になる。店員はＰＯＳ端末１０が出力する商品やサービスの金額や消費税をＰＣ（Personal Computer）などで管理し、在庫の数を目視するなどして発注を行う。また、売掛金の回収等も自分で行う。したがって、顧客システム３０は必須ではない。なお、図２（ｂ）のような形態は比較的小規模な店９に多い。ＰＯＳ端末１０はレジ専用のＰＯＳ端末１０でなくてもよく、例えばＰＣ、タブレット端末、スマートフォン、ハンディターミナルなどが情報処理装置としてアプリケーションを実行することでＰＯＳ端末１０としての機能を実現してよい。

＜ハードウェア構成例＞
図３は情報対応付システム５０のハードウェア構成の一例を示す。情報対応付システム５０は、概ねパーソナル・コンピュータ、ワークステーション又はアプライアンス・サーバとして実装することができる。情報対応付システム５０は、ＣＰＵ２０１と、ＣＰＵ２０１が使用するデータの高速アクセスを可能とするメモリ２０２とを備える。ＣＰＵ２０１及びメモリ２０２は、システム・バス２０３を介して、情報対応付システム５０の他のデバイス又はドライバ、例えば、グラフィックス・ドライバ２０４及びネットワーク・デバイス（ＮＩＣ）２０５へと接続されている。

グラフィックス・ドライバ２０４は、バスを介してＬＣＤ（Liquid Crystal Display）２０６に接続されて、ＣＰＵ２０１による処理結果をモニタする。ＬＣＤ２０６にはタッチパネルが一体に配置されていてもよい。この場合、ユーザは操作手段として指を使って情報対応付システム５０を操作できる。

また、ネットワーク・ドライバ２０５は、トランスポート層レベル及び物理層レベルで情報対応付システム５０をネットワークＮへと接続して、顧客システム３０又はＰＯＳ端末１０とのセッションを確立させている。

システム・バス２０３には、更にＩ／Ｏバス・ブリッジ２０７が接続されている。Ｉ／Ｏバス・ブリッジ２０７の下流側には、ＰＣＩなどのＩ／Ｏバス２０８を介して、ＩＤＥ、ＡＴＡ、ＡＴＡＰＩ、シリアルＡＴＡ、ＳＣＳＩ、ＵＳＢなどにより、ＨＤＤ２０９などの記憶装置が接続されている。ＨＤＤ２０９の代わりに又はＨＤＤ２０９と共にＳＳＤ（Solid State Drive）を有していてもよい。

ＨＤＤ２０９は情報対応付システム５０の全体を制御するプログラム２０９ｐを記憶している。また、Ｉ／Ｏバス２０８には、ＵＳＢなどのバスを介して、キーボード及びマウス（ポインティング・デバイスと呼ばれる）などの入力装置２１０が接続されうる。

顧客システム３０のハードウェア構成図は図３と相違がないか、又は、相違があったとしても本実施形態の説明の上で支障がないものとする。情報対応付システム５０がクラウドコンピューティングに対応している場合、図３に示したハードウェア構成は、１つの筐体に収納されていたり一まとまりの装置として備えられていたりする必要はなく、情報対応付システム５０が備えていることが好ましいハード的な要素を示す。

＜機能について＞
・カード情報の識別情報への変換までの処理
図４Ａは、情報管理システム１００が有するＰＯＳ端末１０、顧客システム３０、及び、情報対応付システム５０の機能をブロック状に示す機能ブロック図の一例である。

<<ＰＯＳ端末>>
ＰＯＳ端末１０は入力デバイス１１と入出力装置１２を有する。まず、入力デバイス１１は読取部２１、暗号化部２２、及び、送信部２３を有している。ＰＯＳ端末１０が有するこれらの機能は、一又は複数の処理回路によって実現することが可能である。処理回路とは、これらの各機能を実行するよう設計されたASIC(Application Specific Integrated Circuit)、DSP（digital signal processor）、FPGA（field programmable gate array）、SOC(System on a chip)、GPU（Graphics Processing Unit）や従来の回路モジュール等のデバイスを含むものとする。このようにハード的に実装されることでマルウェアなどの攻撃を受けにくくできる。ただし、入力デバイス１１が有するこれらの機能は、ＣＰＵがソフトウェアを実行することで実現される機能又は手段でもよい。

読取部２１はカード８が保持する情報を読み取る。カード８は磁気ストライプ、ＩＣチップ、表面に印刷された情報、エンボス加工などで保持されるカード情報を読み取る。読み取ることが可能な全ての情報を読み取ればよいが、一部の情報だけを読み取ってもよい。クレジットカードの場合は少なくともカード番号が読み取られ、ポイントカードの場合は少なくともポイントカード番号が読み取られる。

暗号化部２２は、読取部２１が読み取ったカード情報を暗号化する。入力デバイス１１が暗号化（鍵の配送を含む）する方式としてＤＵＫＰＴが知られている。ただし、十分な強度があれば暗号化方式はどのような方式でもよい。

送信部２３は暗号化されたカード情報を入出力装置１２に送信する。入力デバイス１１と入出力装置１２が一体に構成されている場合と、ＵＳＢケーブルのようなケーブルで接続されている場合がある。本実施形態ではどちらでもよい。暗号化されたカード情報を情報処理装置としての入出力装置１２が取得できる。なお、入力デバイス１１と入出力装置１２は無線で通信してもよい。

入出力装置１２は、受信部２４、第一送信部２５、第二送信部２６、及び、情報受信部２７を有している。入出力装置１２が有するこれらの機能は入出力装置１２のＣＰＵがＨＤＤ等に記憶されたプログラムを実行することにより実現される機能又は手段である。

受信部２４は、入力デバイス１１から暗号化されたカード情報を取得する。日付や時刻などを記録してもよいし、一意性がある受け付け番号などを採番してもよい。第一送信部２５は受信部２４が受信したカード情報を含む判断要求を顧客システム３０に送信する。この判断要求は、カード８の種類の判断（すなわちカード８が秘匿性のある情報を含むかどうかの判断）を情報対応付システム５０に要求するものである。顧客システム３０への情報の送信は上記のように従来から行われており、第一送信部２５は予め定められた顧客システム３０を宛先（例えば既知のＩＰアドレスを宛先とする）に判断要求を送信する。

情報受信部２７は顧客システム３０から返却情報を受信する。後述するように返却情報は情報対応付システム５０が生成する。返却情報は以下のような情報を含む。
・カード情報が秘匿性のある情報を含む場合
カード種類＋識別情報＋付加情報
・カード情報が秘匿性のない情報の場合
カード種類＋カード情報
なお、付加情報とは、カード８の特性（有料会員、無料会員）、優遇情報（ポイント会員番号、ポイント還元率）など、カード８に関する付加的な情報である。秘匿性がないカード情報に付加情報がないのはカード情報がカードから読み取られた（全ての）情報を含むためである。ただし、秘匿性の有無に関わらず、カードには含まれていない外部情報を追加してもよい。例えば、処理に必要な又はクーポンなどおまけを発行するための情報などの外部情報を付加して返却する場合がある。

第二送信部２６は、顧客システム３０に対する処理要求を送信する。処理要求は例えば以下のような情報を含む。なお、第二送信部２６は図４Ｂで使用される。
・カード情報が秘匿性のある情報を含む場合
カード種類＋識別情報＋金額等
・カード情報が秘匿性のない情報の場合
カード種類＋カード情報＋金額等
<<顧客システム>>
顧客システム３０は判断受付部３４、情報送信部３５、転送部３７、及び、情報受取部３８を有する。顧客システム３０が有するこれらの各機能は、ＨＤＤ２０９からメモリ２０２に展開されたプログラム２０９ｐをＣＰＵ２０１が実行することにより実現される機能又は手段である。

判断受付部３４はＰＯＳ端末１０から判断要求を受け付ける。判断受付部３４は転送部３７に判断要求を送出する。

転送部３７は判断要求を情報対応付システム５０に転送する。情報対応付システム５０の宛先（ＩＰアドレス等）は既知であるか又は専用線で接続されているため情報対応付システム５０に送信される。

情報受取部３８は上記の返却情報を情報対応付システム５０から取得し、情報送信部３５に送出する。そして、情報送信部３５は返却情報を情報受信部２７に送信する。なお、情報送信部３５は判断受付部３４からＰＯＳ端末１０のアドレス等、ＰＯＳ端末１０を宛先に通信するための情報を取得しておいてよい。

情報受取部３８は、返却情報を受け取ってからダイレクトに後述する従来システムに返却情報を送出してもよい。すなわち、顧客システム３０内でそのまま処理を開始する。

<<情報対応付システム>>
情報対応付システム５０は、カード情報取得部５２、復号部５３、カード種類判断部５４、情報返却部５６、カード情報入手部５７、処理代行部５８、カード情報更新部５９、洗い替え部６０、トークン生成部６１、及び、情報対応付部６２を有する。情報対応付システム５０が有するこれらの各機能は、図３のＨＤＤ２０９からメモリ２０２に展開されたプログラム２０９ｐをＣＰＵ２０１が実行することにより実現される機能又は手段である。

また、情報対応付システム５０は判断テーブル６３とカード情報ＤＢ６４を有する。これらは図３のＨＤＤ２０９又はメモリ２０２に構築される記憶部に保持されている。

図５はカード８に記憶される情報と判断テーブル６３を説明する図の一例である。まず、図５（ａ）に示すように、カード８のフォーマットは規格などにより決まっている。図５（ａ）はJIS IIの磁気ストライプのフォーマットである。このフォーマットによれば、開始符号、ＩＤマーク、企業コード等、会員番号、予備、有効期限、予備、有効性コード、終了符号、及び、検証符号のフィールドが決められている。図５（ｂ）は各フィールドの詳細な内容を示す。例えば、業態コードと企業コードの５桁によりカード発行会社が分かる。また、カード発行会社にはクレジットカードの発行事業者とポイントカードなどの発行事業者があるので、業態コードと企業コードによりクレジットカード、ポイントカード、ギフトカード、及び、友の会カード等のカードの種類が識別される。また、カードの種類により秘匿性がある情報を含む可能性があるか否かが判断される。

また、予備というフィールドには各企業が任意の情報を設定できる。例えば、ポイント会員番号、加盟店顧客番号、優待区分等を自由に設定可能である。この予備のフィールドがその他の属性情報に相当する（秘匿性がある情報以外の全てをその他の属性情報としてもよい）。

図５（ｃ）は判断テーブル６３を模式的に示す。判断テーブル６３には、５桁の業態コード＋企業コードに、カード発行事業者とカードの種類が対応付けられている。カードの種類とは、クレジットカード、ポイントカード、ギフトカード、及び、友の会カードなどである。

このような判断テーブル６３により、カードの種類がクレジットカードであると分かれば、カード情報にも秘匿する情報が含まれることが分かる。また、判断テーブル６３は図５（ｂ）のような情報も保持しており、カード情報の任意の範囲の情報をカード種類判断部５４が抽出できる。クレジットカードの場合、図５（ｂ）の会員番号と有効期限がカード番号であるため秘匿されるべきであり、また、暗証番号も秘匿されるべき情報である。一方、予備のフィールドの情報は秘匿されるべき情報でない場合が多くその他の属性情報として読み出される。また、ポイントカード等であれば会員番号により任意の第三者が買い物できるわけではないので、秘匿されるべき情報を含まない。このように、カード８の種類が分かれば、カード情報のどの部分がカード番号など秘匿されるべきであり、どの部分が秘匿性のない情報であるかも分かるようになる。

なお、管理者などが判断テーブルを作る際に、クレジットカードの予備のフィールドの全体又は一部が秘匿されるべき情報であると定義してもよいし、ポイントカード等の会員番号や予備のフィールドの全体又は一部を秘匿されるべき情報として定義してもよい。

図６は、カード情報ＤＢ６４に記憶される情報を模式的に示す。カード情報ＤＢ６４には識別情報とカード情報が対応付けられて登録される。識別情報はカード情報を一意に識別又は特定するための情報である。識別情報とは複数の対象から、ある特定の対象を一意的に区別するために用いられる名称、符号、文字列、数値又はこれらのうち１つ以上の組み合わせをいう。カード情報はカード８から読み取られた全ての情報であり、主にカード番号とその他の属性情報を有している。カード情報ＤＢ６４にカード情報が記憶されるのは、カード情報に秘匿性がある場合である。このため、カード情報にはカード番号が記憶される場合が多い。なお、その他の属性情報はカード情報ＤＢ６４に保持されなくてもよい。

（情報対応付システムの機能）
カード情報取得部５２は顧客システム３０から暗号化されたカード情報を取得して復号部５３に送出する。復号部５３は暗号化されたカード情報を復号する。すなわち、カード情報が秘匿性を含むか否かに関わらず、全てのカード情報を復号する。

カード種類判断部５４は、復号されたカード情報と判断テーブル６３とを照らし合わせてカード種類を判断し、カードに秘匿性があるか否かを判断する。また、カード種類判断部５４はカード種類に基づいてカード発行会社にカードの有効性を問い合わせてもよい。有効性とは、クレジットカードの期限がきれていないか、支払いが滞っていないか、クレジットカードの紛失等が届けられていないか、などを確認することをいう。例えばポイントカードの場合でもポイントの有効性等が判断される。これにより、有効なカード８のみが使用可能になる。

カード種類判断部５４は秘匿性がないカード種類の場合、復号したカード情報を情報返却部５６に送出する。秘匿性があるカード種類の場合、判断テーブル６３を参照してカード情報からカード番号、及び、その他の属性情報を読み出す。すなわち、秘匿性がある部分とない部分を取り出す。そして、カード番号、及び、その他の属性情報をトークン生成部６１に送出する。

トークン生成部６１は、カード情報を識別するための識別情報を採番し、カード情報と共に情報対応付部６２に送出する。識別情報をトークンという場合がある。トークンとは「しるし」を原義とし許可証などと訳されることが多い。識別情報の採番には市販のトークナイゼーションを利用してよい。情報対応付部６２はカード情報ＤＢ６４に識別情報とカード情報を対応付けて登録する（秘匿性のある情報のみを登録してもよい）。カード情報ＤＢ６４の識別情報とカード情報は、従来システム３６等から削除要求があるまで保持される。情報対応付部６２は識別情報とその他の属性情報を情報返却部５６に送出する。情報対応付部６２はPCIDSSに準拠してカード情報を管理する。

情報返却部５６は上記の返却情報を顧客システム３０の情報受取部３８に送信する。顧客システム３０に送信するが実際にはＰＯＳ端末１０に向けて送信する。「向ける」とは顧客システム３０が返却情報を受信しても、ＰＯＳ端末１０に転送する決まりであること、又は、予めＰＯＳ端末１０への転送が指示されていることなどをいう。情報返却部５６はその他の属性情報の全体を付加情報としてもよいし、判断テーブル６３に基づいてその他の属性情報の一部を付加情報としてもよい。

カード情報入手部５７は識別情報に対応付けられているカード番号をカード情報ＤＢ６４から取得する。これにより、カード番号を用いた決済処理が可能になる。カード情報入手部５７はカード番号と金額等を処理代行部５８に送出する。

処理代行部５８は、カード番号を使用する従来システム３６の処理を代行する。例えば、Ａシステム３１（ＰＯＳシステム）を代行することで、クレジットカードによる決済処理を行う。また、外部のカード会社と連携して決済することもできる。処理代行部５８は処理結果を従来システム３６に送信する。これにより、従来システム３６が処理した場合と同様に従来システム３６及びＰＯＳ端末１０が処理結果を取得できる。

カード情報更新部５９は、顧客が退会したりクレジットカードの保有期間を経過したりしたという情報を顧客システム３０から得て、カード情報ＤＢ６４のカード情報を削除してもよい。

洗い替え部６０はカード情報ＤＢ６４に記憶されているカード情報の有効性を定期的にカード発行会社に問い合わせる。有効期限が更新されている場合、新しいカード番号や有効期限と識別情報とを再度対応付けしてもよい。このような処理を「洗い替え」という。このようにクレジットカードについて通常、行われている処理まで情報対応付システム５０が行うことで、顧客システム３０の代行が可能になる。

・カード情報の識別情報への変換後の処理
図４Ｂは、カード情報の秘匿化後の処理に関し、情報管理システム１００が有するＰＯＳ端末１０、顧客システム３０、及び、情報対応付システム５０の機能をブロック状に示す機能ブロック図の一例である。図４Ｂの説明では図４Ａとの相違を説明する。

（顧客システムの機能）
顧客システムは処理取得部３９と従来システム３６を有する。処理取得部３９はＰＯＳ端末１０から処理要求を受け付ける。処理取得部３９は従来システム３６に処理要求を送出する。

従来システム３６は上記のＡシステム３１〜Ｃシステム３３であり、カード情報を使用して必要な処理を行う。なお、本実施形態では、カード情報が秘匿性を有する場合、従来システム３６を情報対応付システム５０が少なくとも処理の一部を代行する。クレジットカードのカード番号を顧客システム３０が有していないためである。秘匿性がないカード情報の場合は従来システム３６がそのまま処理できる。したがって、本実施形態では、従来システム３６の更新が必要ないか又はほとんど必要ない。

（情報対応付システムの機能）
情報対応付システム５０は処理受付部５１を有する。処理受付部５１は顧客システム３０から従来システム３６に関する処理の処理要求を受け付ける。上記のように、処理受付部５１が受け付ける処理要求は店９で秘匿性があるカード８が使用された場合である。処理要求には識別情報が含まれているため、処理受付部５１は識別情報と金額等をカード情報入手部５７に送出する。

カード情報入手部５７、処理代行部５８、及び、カード情報ＤＢ６４については図４Ａと同様でよい。

＜カード番号と識別情報の取り扱い＞
図７は、本実施形態においてカード番号と識別情報がどのように取り扱われるかを説明する図の一例である。図７（ａ）はカード番号が識別情報に置き換えられるまでのカード番号を示す。
（１）入力デバイス１１が、その他の属性情報とカード番号を暗号化する。
（２）情報対応付システム５０では、その他の属性情報とカード番号を復号する。
（３）情報対応付システム５０は更に、カード番号を識別情報で置き換える。
（４）入出力システムはその他の属性情報と識別情報を得られる。

カード情報のうちカード番号が記載されている桁範囲が識別情報で置き換えらえるため、ＰＯＳ端末１０はカード情報のカード番号が識別情報で置き換えられていることを意識する必要がなく処理できる。

図７（ｂ）は情報対応付システム５０に対し識別情報により処理要求が送信される際の識別情報とカード番号を示す。
（５）情報対応付システム５０が識別情報と金額等を取得すると、識別情報をカード番号で置き換える。このような処理をデトークンという。これにより、カード番号と金額等が得られるので、処理代行部５８が決済処理などを行うことができる。カード情報のカード番号が記載されている桁範囲にカード番号が記載されているため、処理代行部５８はカード情報のカード番号を用いて処理できる。

＜動作手順＞
図８は、ＰＯＳ端末１０がカード情報を送信し返却情報を取得する手段を示すシーケンス図の一例である。客は店のレジで店員に商品のバーコードを読み取ってもらい、ＰＯＳ端末１０が金額の合計を算出する。客又は店員がカード（クレジットカード）を入力デバイス１１に読み取らせる。

S1：入力デバイス１１の読取部２１はカード８からカード情報を読み取る。

S2：次に、入力デバイス１１の暗号化部２２がカード情報を暗号化する。

S3：次に、入力デバイス１１の送信部２３が暗号化されたカード情報を入出力装置１２に送信する。

S4：入出力装置１２の受信部２４は暗号化されたカード情報を受信して、第一送信部２５が暗号化されたカード情報を含む判断要求を顧客システム３０に送信する。判断要求には判断要求であることを示すフラグ等が設定される。

S5：顧客システム３０の判断受付部３４は判断要求を受信すると、フラグ等に基づいてカード８の種類を判断すると判断し、転送部３７に送出する。転送部３７は判断要求を情報対応付システム５０に送信する。

S6：情報対応付システム５０のカード情報取得部５２は判断要求を受信すると、復号部５３に送出する。復号部５３は暗号化されたカード情報を復号する。

S7：カード種類判断部５４は判断テーブル６３を参照してカード８の種類を判断し、カード８の種類に基づいて秘匿すべきカード情報か否かを判断する。また、秘匿すべきカード情報である場合は、判断テーブル６３を参照してカード番号とその他の属性情報をカード情報から抽出する。

S8:ステップＳ８〜Ｓ１０は、カード８の種類に基づいてカード情報が秘匿すべき情報を含むと判断された場合に実行される。まず、カード種類判断部５４はカード発行会社にカード番号を送信しカード８の有効性を確認してもよい。なお、カード８の有効性はカード情報が秘匿すべき情報を含まない場合においても行われてよい。

カード発行会社からカードの有効性に関する回答を取得したが、カードが有効でないと回答された場合、情報対応付部６２はカード情報と識別情報とを対応付けない。これにより、有効でないカード情報を保持することを抑制できる。以下では、カード８が有効であるとして説明する。

S9：次に、トークン生成部６１はカード情報を識別する識別情報を採番する。

S10：情報対応付部６２は、識別情報とカード情報を対応付けてカード情報ＤＢ６４に記憶させる。

S11：情報対応付システム５０の情報返却部５６は返却情報を顧客システム３０に送信する。すなわち、カード情報が秘匿性のある情報を含む場合、「カード種類＋識別情報＋付加情報」を送信し、カード情報が秘匿性のない情報の場合、「カード種類＋カード情報」を送信する。なお、情報対応付部６２又は情報返却部５６はその他の属性情報から予め定められている付加情報を取得する。秘匿情報がないカードに固有又は汎用的な付加的な情報が更に付加されてもよい。

S12：顧客システム３０の情報受取部３８は返却情報を受け取り、情報送信部３５が返却情報をＰＯＳ端末１０に送信する。入出力装置１２の情報受信部２７は返却情報を受信する。

識別情報がいったんＰＯＳ端末１０まで戻されることで、例えば次のようなケースで有効になる。
ケース１：識別情報を用いて後日の返品処理等を容易に行うことができる（レシート上に識別情報を印字しておくなど）。
ケース２：ＰＯＳ端末１０が単独で「顧客管理やポイント管理」等を持つ場合、カード決済の為のカード情報を識別情報として保持できる。
ケース３：ＰＯＳ端末１０がＩＣチップの中に識別情報を焼き付け、後にＩＣチップを使用して決済をさせることができる。

図９は、ＰＯＳ端末１０が顧客システム３０に処理要求する手順を示すシーケンス図の一例である。図９の処理は図８に続いて実行される。

S13：入出力装置１２の第二送信部２６は処理要求を顧客システム３０に送信する。カード情報に秘匿情報が含まれている場合、処理要求は「カード種類＋識別情報＋金額等」であり、カード情報に秘匿情報が含まれていない場合、「カード種類＋カード情報＋金額等」である。処理要求には処理要求であることを示すフラグ等が設定される。なお、カード情報に秘匿情報が含まれている場合は付加情報を含めてよい。これにより、顧客システム３０は付加情報を用いた処理（ポイント還元率に応じたポイント付与、有料会員か無料会員かによる代金の調整等））が可能になる。付加情報を顧客システム３０が情報対応付システム５０からもらうことも可能であるので、付加情報はそもそも返却情報に含まれなくてもよい。

S14：顧客システム３０の処理取得部３９は処理要求を取得し、顧客システム３０に中継する。顧客システム３０はカード情報を必要としない様々な業務処理を実施する。例えば受注処理や顧客への商品発送処理などである。続けて、又は時間をおいて、カード情報が必要な処理（たとえば決済処理）を行う場合、顧客システム３０は従来システム３６で処理を行うか、情報対応付システム５０のどちらで処理するかを判断する。すなわち、秘匿性がある情報を含むカード種類の場合、カード番号が情報対応付システム５０に保持されているので少なくとも処理の一部を情報対応付システム５０が代行する。秘匿性がない情報を含むカード種類の場合、顧客システム３０にカード情報が送信されたので、顧客システム３０の従来システム３６が処理を行うことができる。

S15：ステップＳ１５〜Ｓ１８は、客のカードが、秘匿性がある情報を有すると判断されたため情報対応付システム５０が処理を代行すると判断された場合に実行される。まず、顧客システム３０の従来システム３６は処理要求を情報対応付システム５０に送信する。

S16：情報対応付システム５０の処理受付部５１は処理要求を受け付け、カード情報入手部５７が識別情報に対応付けられたカード番号をカード情報ＤＢ６４から読み出す。

S17：次に、処理代行部５８がカード番号と金額等を使って処理を代行する。例えば、ＰＯＳシステムを代行し、カード発行会社にカード番号と金額等を送信して決済処理を行う。

S18：情報対応付システム５０の処理代行部５８は顧客システム３０に処理結果を送信する。

S19：ステップＳ１９は、秘匿性がある情報を客のカードが有すると判断されなかったため顧客システム３０が処理すると判断された場合に実行される。顧客システム３０の従来システム３６はＰＯＳ端末１０からの処理要求であることから決済を求める処理であると判断し、例えばＡシステム３１で処理を行う。なお、ＰＯＳ端末１０が処理要求の中で処理の内容を明示しておくことが好ましい。

S20：顧客システム３０は処理結果をＰＯＳ端末１０に送信する。処理結果は例えば処理が正常に完了した旨を示すＯＫ、又は、処理が正常に完了しなかった旨を示すＮＧ（例えば、利用可能金額の上限を超えているような場合）である。

このように、顧客システム３０はカード情報を保持する必要がなく、情報対応付システム５０がカード情報を保持して処理を代行できる。

なお、図９ではカード情報に秘匿情報が含まれない場合、顧客システム３０が自ら処理したが、カード情報に秘匿情報が含まれていない場合でも情報対応付システム５０が代行することができる。

＜＜顧客システムで直接処理される場合＞＞
また、返却情報はＰＯＳ端末１０までは送信されず、顧客システム３０で直接処理される場合もある。

図１０は返却情報がＰＯＳ端末１０までは送信されず、顧客システム３０で直接処理される場合のシーケンス図を示す。なお、図１０の説明では図８との相違を説明する。図１０においてステップＳ１〜Ｓ１１の処理は図８と同様でよい。

次に、図９のステップＳ１４と同様に処理するシステムが判断される。そして、判断結果に応じて図９のステップＳ１５〜Ｓ１８又はステップＳ１９が行われる。

このように返却情報はＰＯＳ端末１０までは送信されないことで、処理の終了までの時間を短縮できる。

＜顧客システムがない場合の動作手順＞
図１１、図１２を用いて図２（ｂ）に示した顧客システム３０がない場合の動作手順を説明する。顧客システム３０がない場合でも情報対応付システム５０に処理を代行させることで、ＰＣＩＤＳＳ準拠等に必要なＰＯＳのセキュリティ対策の負荷を軽減できる。本実施例では入力デバイス１１の段階で即時に暗号化されているためＰＯＳ端末１０の対応が不要になる。

図１１は、ＰＯＳ端末１０がカード情報を送信し返却情報を取得する手段を示すシーケンス図の一例である。図１１の説明では図８との相違を説明する。図１１ではステップＳ４で直接、判断要求が情報対応付システム５０に送信される。ステップＳ６〜Ｓ１０の処理は図８と同様である。そして、ステップＳ１１で返却情報がＰＯＳ端末１０に送信される。

図１２は、ＰＯＳ端末１０が情報対応付システム５０に処理要求する手順を示すシーケンス図の一例である。図１２の処理は図１１に続いて実行される。

S15：入出力装置１２の第二送信部２６は処理要求を情報対応付システム５０に送信する。そもそも顧客システム３０がないためである。また、顧客システム３０がないため、秘匿性がないカード情報を用いた処理も行われないので処理要求は「識別情報＋金額等」でよい。ステップＳ１５〜Ｓ１８の処理は図９と同じである。

このように顧客システム３０がない場合はより簡易的な処理になるが、顧客システム３０がない場合も同様に処理できる。なお、顧客システム３０がない場合でも、情報対応付システム５０はＰＯＳ端末１０から受信した秘匿性がない識別情報をもとに対応付けられたカード番号と金額等を使って決済処理を代行してよい。

＜情報対応付システムのカード情報の削除＞
情報対応付システム５０がカード番号を保持している必要がなくなれば、情報対応付システム５０はカード番号を削除すべきである。例えば、ＰＯＳによる決済では、商品やサービスの代金の決済後に情報対応付システム５０がカード情報を保持しておく必要性は高くない。また、１回の買い物ごとにカード情報を削除することでカード情報の管理の負担が少なくなる。一方、電気・ガス・水道代などの公共料金、定期購読、インターネットプロバイダー、携帯電話利用料などのように毎月、決済される代金に関しては情報対応付システム５０がカード番号を保持しておくことで、客がカード８を読み取らせたり、カード番号を入力したりする手間を省くことができる。そこで、本実施形態の情報対応付システム５０は削除要求を外部から取得するとカード情報を削除する。外部とは、顧客システム３０、ＰＯＳ端末１０、カード発行会社等である。

図１３は、情報対応付システム５０がカード情報を削除する手順を示すシーケンス図の一例である。図１３の処理は図９に続いて実行される。

S21：処理結果を取得したＰＯＳ端末１０は処理結果により決済が完了したことを検出し、第二送信部２６が識別情報を含む削除要求を顧客システム３０に送信する。

S22：顧客システム３０の処理取得部３９は削除要求であると判断して、従来システム３６から削除要求を送信する。顧客システム３０は削除要求を情報対応付システム５０に送信する。

S23：情報対応付システム５０の処理受付部５１が削除要求を受け付け、カード情報入手部５７が識別情報に対応付けられたカード情報をカード情報ＤＢ６４から取得する。

S24：カード情報入手部５７は取得したカード情報をカード情報ＤＢ６４から削除する。

S25,S26：情報対応付システム５０は削除通知を、顧客システム３０を介してＰＯＳ端末１０に送信する。

こうすることで、情報対応付システム５０が保持するカード情報の数が多くなり、洗い替え処理の負荷が大きくなること等を抑制できる。

図１４は、公共料金システム７０が公共料金を決済した際に削除要求しない手順のシーケンス図の一例である。

S31：公共料金システム７０は、Ｗｅｂページや申込書などから客がクレジットカードのカード情報を登録した際に、情報対応付システム５０と通信し情報対応付システム５０がカード情報ＤＢ６４にカード情報と識別情報を登録している。公共料金システム７０は情報対応付システム５０から返却情報を取得しておく。

S32：公共料金システム７０は、毎月、決まったタイミングで公共料金の決済の処理要求を情報対応付システム５０に送信する。

S33：上記のように、情報対応付システム５０は決済を代行して、処理結果を公共料金システム７０に送信する。

S34：しかしながら、公共料金システム７０は次の月も処理要求するため削除要求を情報対応付システム５０に送信しない。このように、情報対応付システム５０は今後も使用されるカード情報については、カード情報を保持しておくことができる。情報対応付システム５０がカード情報を保持しておく場合には上記の洗い替え処理を情報対応付システム５０が行うことが有効である。

図１５は、客が退会したり契約期間が経過したりした場合に情報対応付システム５０がカード情報を削除する手順を示すシーケンス図の一例である。

S41：顧客システム３０はカード情報の変更を受け付ける。例えば、退会する場合や契約期間が満了した場合は、その旨を受け付ける。なお、Ｓ４１では顧客システム３０が変更を受け付けているが、カード発行会社が受け付けてもよい。

S42：顧客システム３０は識別情報と共に削除要求を情報対応付システム５０に送信する。なお、識別情報にはセキュリティ対策が不要なので、顧客システム３０が保持しておくことが可能である。

S43、S44：情報対応付システム５０のカード情報更新部５９は識別情報で特定されるカード情報をカード情報ＤＢ６４から削除する。

S45：情報対応付システム５０は削除通知を顧客システム３０に送信する。このように、情報対応付システム５０がカード情報を保持していても、従来通り、カード情報の変更や削除に対応できる。

＜まとめ＞
以上説明したように、本実施形態では、ＰＯＳ端末１０や顧客システム３０は秘匿性のあるカード情報を保持しないので、特別なセキュリティ対策が不要になる。情報対応付システム５０はカード情報を保持するが、情報対応付システム５０内では例えばPCIDSSなどのセキュリティ規格に適合したセキュリティ対策が施されている。また、本実施形態では入力デバイス１１が判断テーブル６３を有する必要がないので、店は従来からあるＰＯＳ端末１０を暗号化機能が付く入力デバイス１１に入れ替えることで、継続的に使用できるため、コスト増を抑制しやすい。また、新しいカード８が流通した場合でも情報対応付システム５０内の判断テーブル６３を更新すればよいため、新しいカード８に早期に対応できる。

実施例１では情報対応付システム５０が識別情報を採番してＰＯＳ端末１０に送信したが、本実施例ではＰＯＳ端末１０が識別情報を情報対応付システム５０に送信する情報管理システム１００について説明する。

図１６は、本実施例の情報管理システム１００の動作の概略を説明する図の一例である。図１６の説明では、図１との相違を説明する。
（１）カード情報が読み取られると図１６に示すように、ＰＯＳ端末１０の入力デバイス１１がカード情報を暗号化する。
（２）ＰＯＳ端末１０は暗号化済みのカード情報と用意した識別情報を情報対応付システム５０に送信する。この後（３）〜（４）の処理は図１と同様であるが、（５）において識別情報を生成する必要がない。以下、実施例１の識別情報と区別するため、本実施例の識別情報を「ユーザ側識別情報」という。
（５）カードの種類が秘匿すべきカードであると判断した場合、また、ユーザ識別情報を用いて決済などを行えるカードと判断した場合、情報対応付システム５０はＰＯＳ端末１０から受信したユーザ側識別情報とカード情報とを対応付けて保持する。これにより、ユーザ側識別情報が得られれば、カード情報を利用することが可能になる。以降の処理は図１と同様である。

ＰＯＳ端末１０が送信するユーザ側識別情報は例えば、ＦＩＤＯ規格で用いられる顔や手のひら、指紋などの生体認証情報、日付と伝票番号、ＩＣカードのＩＤ番号などである。こうすることで、情報対応付システム５０が識別情報を作成する必要がないし、ユーザ（客）がユーザ側識別情報を保持できる。実施例１では識別情報が漏洩するおそれがゼロでないため、識別情報を知った第三者が決済などの処理を情報対応付システム５０に要求する可能性もあるが、例えばＦＩＤＯ規格に準拠した生体認証情報であれば入力時の偽装が困難なので、第三者が悪用することを抑制しやすい。

＜機能について＞
図１７Ａ，図１７Ｂは、本実施例の情報管理システム１００の機能をブロック状に示す機能ブロック図の一例である。図１７Ａ，図１７Ｂの説明では主に図４Ａ、図４Ｂとの相違を説明する。

まず、図１７Ａでは入力デバイス１１は識別情報取得部２８も有している。識別情報取得部２８は一意性があるユーザ側識別情報を生成する。ユーザ側識別情報は、ユーザが入力する場合（指紋などの生体認証情報、ＩＣカードのＩＤ番号等）と、ＰＯＳ端末１０が内部から取得できる場合（日付と伝票番号等）がある。なお、生体認証情報は、指紋の他、掌紋、静脈紋、虹彩、顔など生体から一意性を特定できればよい。また、ＩＣカードのＩＤ番号とはＩＣカードの識別情報であり、秘匿性がない情報である。ユーザ識別情報を途中で他の識別情報に置き換える場合も同様である。生体認証情報等の第一の識別情報に変換したのち、別システムの処理では更に第二の識別情報に変換してもよい。

また、図１７Ａ、図１７Ｂの情報対応付システム５０はトークン生成部６１を有していない。識別情報を生成する必要がないためである。この他の機能については図４Ａ、図４Ｂと同様であるか、又は、相違があるとしても本実施例の説明に支障がないものとする。

＜カード番号と識別情報の取り扱い＞
図１８は、本実施形態においてカード番号とユーザ側識別情報がどのように取り扱われるかを説明する図の一例である。図１８（ａ）はカード番号がユーザ側識別情報と対応付けられるまでの流れを示す。
（１）入力デバイス１１が、その他の属性情報とカード番号を暗号化する。本実施例の場合はＰＯＳ端末１０の代わりに携帯端末やＰＣ、キオスク端末、券売機、給油機等を使ってその他の属性情報とカード番号が入力されてもよい。
（２）入出力装置１２がユーザ側識別情報を用意する。なお、ユーザ側識別情報はカード情報と共に暗号化されてもよいし又は別々に暗号化されてもよい。別々に暗号化される場合、カード情報とユーザ識別情報はそれぞれに適した暗号化方式で暗号化されるとよい。
（３）情報対応付システム５０では、その他の属性情報とカード番号を復号する。
（４）情報対応付システム５０は更に、カード番号をユーザ側識別情報で置き換えて返信すると共にカード番号とユーザ識別情報とを対応付ける。
（５）入出力装置１２はその他の属性情報とユーザ側識別情報を得られる。情報対応付システム５０はユーザ側識別情報を送信しないか、又は、ユーザ識別情報を暗号化するとなおよい。カード番号と金額等は決済機関で決済され、情報対応付システム５０はユーザ識別情報と決済結果を顧客システム３０に送信する。

客はユーザ側識別情報を有しているので送信の必要がなく、送信しないことで漏洩を抑制しやすくなる。なお、商品等の代金の決済処理（トランザクション）を特定するためにワンタイムパスワードを（１）から（５）の処理で使用してもよい。

なお、図１８（ｂ）の処理は、識別情報がユーザ側識別情報に代わっただけで図７（ｂ）と同様でよい。

したがって、情報管理システム１００はユーザ側識別情報を使用して実施例１と同様に処理することができる。

＜動作手順＞
図１９は、ＰＯＳ端末１０がカード情報を送信し返却情報を取得する手段を示すシーケンス図の一例である。図１９の説明では図８との相違を説明する。図１９の処理では、ステップＳ１−２において、ユーザ側識別情報が用意される。

S1-2：入力デバイス１１の識別情報取得部２８は、生体認証等のユーザ側識別情報を用意する。ここで用意するとは、客から取得する、又は、日付と伝票番号に基づいて生成する、ことなどを言う。

以降の処理は図８と同様であるが、図１９ではトークン生成部６１が識別情報を生成するステップＳ９が不要である。また、図９で説明した、処理要求に基づく処理は、識別情報がユーザ側識別情報に代わるだけなので処理は同様でよい。また、ステップS11の返却情報にはユーザ側識別情報を含めなくてよい。

実施例１の識別情報は基本的に客が知ることができないが、本実施例のユーザ側識別情報は客が保持している情報なので、後から客が確認することが可能になる。例えば、商品を返品する場合、ユーザ側識別情報を提示することで処理を特定し、払い戻しなどができる。

＜まとめ＞
以上説明したように、本実施例の情報管理システム１００によれば、情報対応付システム５０が識別情報を生成する必要がなくコスト増を抑制しやすい。また、生体認証情報をユーザ側識別情報とした場合、第三者が悪用することを抑制しやすい。また、ユーザ側識別情報を提示することで処理を特定し、払い戻しなどができる。

＜その他の適用例＞
以上、本発明を実施するための最良の形態について実施例を用いて説明したが、本発明はこうした実施例に何等限定されるものではなく、本発明の要旨を逸脱しない範囲内において種々の変形及び置換を加えることができる。

例えば、店はインターネット上のＥＣ（Electronic Commerce）サイトでもよい。この場合、客のＰＣからＥＣサイトにカード情報が送信される。カード情報はＰＣ又はＥＣサイトで暗号化され、以降は本実施形態と同様に処理される。また、通販（メールオーダ、テレホンオーダ）で利用されてもよい。例えば、オペレーターがカード番号入力する場合に専用端末に入力し、トークン番号を得て顧客システムで処理する。

また、カード８はスマートフォンやタブレット端末などが保持するカード情報をＮＦＣ（Near Field Communication）など通信手段を用いて利用する形態でもよい。

また、クレジットカードのセキュリティ規格（PCIDSS）等に限られず、マイナンバーカードなど、どのような規格でもよい。また、セキュリティ対策に関する特定の規格がなくても本実施形態を好適に適用できる。

また、情報対応付システム５０が顧客システム３０又はＰＯＳ端末１０に送信する返却情報は暗号化されていてよい。また、情報対応付システム５０が返却情報のハッシュ値を認証局に暗号化してもらい、顧客システム３０又はＰＯＳ端末１０に送信してもよい。顧客システム３０又はＰＯＳ端末１０はハッシュ値により返却情報が改ざんされていないことを検証できる。

また、本実施形態では、カード情報に含まれる情報のうち、顧客システム３０と情報対応付システム５０に送信される情報、情報対応付システム５０が管理する情報、情報対応付システム５０から顧客システム３０又はＰＯＳ端末１０に送信される情報、について説明されているが、これらは一例に過ぎない。カード情報に含まれる情報であれば、顧客システム３０と情報対応付システム５０に送信される情報、情報対応付システム５０が管理する情報、情報対応付システム５０から顧客システム３０又はＰＯＳ端末１０に送信される情報、に任意に含まれうる。

また、図４などの構成例は、ＰＯＳ端末１０、顧客システム３０、及び、情報対応付システム５０による処理の理解を容易にするために、主な機能に応じて分割したものである。処理単位の分割の仕方や名称によって本願発明が制限されることはない。ＰＯＳ端末１０、顧客システム３０、及び、情報対応付システム５０の処理は、処理内容に応じて更に多くの処理単位に分割することもできる。また、１つの処理単位が更に多くの処理を含むように分割することもできる。

なお、カード情報取得部５２はカード情報取得手段の一例であり、復号部５３は復号手段の一例であり、情報対応付部６２は情報対応付手段の一例であり、情報返却部５６は返却手段の一例であり、処理受付部５１は処理受付手段の一例であり、カード種類判断部５４は秘匿性判断手段の一例であり、カード情報入手部５７はカード情報入手手段の一例であり、処理代行部５８は処理代行手段の一例であり、トークン生成部６１は識別情報生成手段の一例である。顧客システム３０は第二の情報処理装置の一例である。

８ カード
９ 店
１０ ＰＯＳ端末
１１ 入力デバイス
１２ 入出力装置
３０ 顧客システム
５０ 情報対応付システム
１００ 情報管理システム

特開２０１７−０９７８７５号公報

Claims (10)

1. カード情報を取得する端末装置又は第二の情報処理装置から前記カード情報を取得する情報処理装置を、
   暗号化された前記カード情報を取得するカード情報取得手段と、
   前記カード情報取得手段が取得した前記カード情報を復号する復号手段と、
   前記復号手段が復号した前記カード情報の秘匿性の有無を判断する秘匿性判断手段と、
   前記秘匿性判断手段により秘匿性があると判断された場合、秘匿性を有するデータ部分と識別情報とを対応付ける情報対応付手段と、
   前記秘匿性判断手段により秘匿性があると判断された場合、秘匿性を有さないデータ部分と前記識別情報を前記端末装置又は前記第二の情報処理装置に返却し、前記秘匿性判断手段により秘匿性がないと判断された場合、前記復号手段が復号した前記カード情報を前記端末装置又は前記第二の情報処理装置に返却する返却手段、として機能させるプログラム。
2. 前記返却手段は、前記カード情報の種類に応じて、前記第二の情報処理装置で処理をするための付加情報を追加して返却することを特徴とする請求項１に記載のプログラム。
3. 前記秘匿性判断手段は、前記カード情報からカードの種類を判断するためのカード種類判断情報を参照して、前記復号手段が復号した前記カード情報が取得されたカードの種類を判断することで秘匿性の有無を判断することを特徴とする請求項１に記載のプログラム。
4. 前記情報処理装置を、
   前記端末装置か又は前記第二の情報処理装置から前記識別情報と共に処理要求を受け付ける処理受付手段として機能させ、
   前記処理受付手段は、前記カード情報を用いた処理を行う前記第二の情報処理装置を介して前記識別情報を用いた処理の前記処理要求を受け付け、
   前記情報対応付手段は秘匿性を有するデータ部分を含む前記カード情報を前記識別情報と対応付けており、
   前記情報処理装置を、
   前記処理受付手段が前記識別情報と共に前記処理要求を受け付けた場合、前記識別情報に対応付けられた前記カード情報を入手するカード情報入手手段と、
   前記カード情報入手手段が入手した前記カード情報を用いて前記第二の情報処理装置又は前記端末装置の処理を代行する処理代行手段、
   として機能させることを特徴とする請求項２又は３に記載のプログラム。
5. 前記第二の情報処理装置は前記カード情報のうち秘匿性があるデータ部分を用いて処理を行うものであり、
   前記処理代行手段は、前記カード情報入手手段が入手した前記カード情報のうち秘匿性があるデータ部分を用いて前記第二の情報処理装置の処理を代行することを特徴とする請求項４に記載のプログラム。
6. 前記情報処理装置を、
   前記識別情報を生成する識別情報生成手段として機能させ、
   前記情報対応付手段は、秘匿性を有するデータ部分と前記識別情報生成手段が生成した前記識別情報とを対応付けることを特徴とする請求項１〜５のいずれか１項に記載のプログラム。
7. 前記カード情報取得手段は、前記端末装置又は前記第二の情報処理装置から前記識別情報を取得し、
   前記情報対応付手段は、秘匿性を有するデータ部分と前記カード情報取得手段が取得した前記識別情報とを対応付けることを特徴とする請求項１〜５のいずれか１項に記載のプログラム。
8. 前記秘匿性判断手段は、前記復号された前記カード情報をカード発行会社に送信し、前記カード情報を保持するカードの有効性に関する回答を取得し、
   前記カードが有効でない場合、前記情報対応付手段は復号された秘匿性を有するデータ部分と前記識別情報とを対応付けないことを特徴とする請求項１に記載のプログラム。
9. カード情報を取得する端末装置又は第二の情報処理装置から前記カード情報を取得する情報処理装置であって、
   暗号化された前記カード情報を取得するカード情報取得手段と、
   前記カード情報取得手段が取得した前記カード情報を復号する復号手段と、
   前記復号手段が復号した前記カード情報の秘匿性の有無を判断する秘匿性判断手段と、
   前記秘匿性判断手段により秘匿性があると判断された場合、秘匿性を有するデータ部分と識別情報とを対応付ける情報対応付手段と、
   前記秘匿性判断手段により秘匿性があると判断された場合、秘匿性を有さないデータ部分と前記識別情報を前記端末装置又は第二の情報処理装置に返却し、前記秘匿性判断手段により秘匿性がないと判断された場合、前記復号手段が復号した前記カード情報を前記端末装置又は第二の情報処理装置に返却する返却手段と、を有する情報処理装置。
10. カード情報を取得する端末装置から直接又は間接的に前記カード情報を取得する情報処理装置が行うカード情報処理方法であって、
    カード情報取得手段が、暗号化された前記カード情報を取得するステップと、
    復号手段が、前記カード情報取得手段が取得した前記カード情報を復号するステップと、
    秘匿性判断手段が、前記復号手段が復号した前記カード情報の秘匿性の有無を判断するステップと、
    情報対応付手段が、前記秘匿性判断手段により秘匿性があると判断された場合、秘匿性を有するデータ部分と識別情報とを対応付けるステップと、
    前記秘匿性判断手段により秘匿性があると判断された場合、返却手段が、秘匿性を有さないデータ部分と前記識別情報を前記端末装置又は第二の情報処理装置に返却し、前記秘匿性判断手段により秘匿性がないと判断された場合、前記復号手段が復号した前記カード情報を前記端末装置又は第二の情報処理装置に返却するステップと、
    を有するカード情報処理方法。
    

Images