JP2021071943A - リスク管理支援装置 - Google Patents

Abstract

【課題】情報システムから秘匿情報が流出する事態をとらえやすくする。【解決手段】リスク管理支援サーバ４００は、秘匿情報を管理する情報システム１００と通信ネットワークを介して接続され、情報システム１００から、秘匿情報における一部の項目に設定されるべき架空コードの取得要求を、項目の種別と共に受信する架空コード要求受信部と、受信された項目の種別のデータ形式に対応して架空コードを生成する架空コード生成部と、生成された架空コードを情報システム１００に送信する架空コード提供部と、を備える。【選択図】図５

Description

本発明は、情報システムからのデータ流出をとらえやすくする技術に関する。

近年、情報システムにおけるセキュリティリスクがますます高まっている。たとえば、情報システムから秘匿情報が流出する事件も多く見られる。

しかし、サイバー攻撃が巧妙化している現状では、サイバー攻撃からの防御対策だけでは、リスク対応として十分ではない。不測の事態に迅速に対応することも重要である。

たとえば、秘匿情報が流出したとしても、早期に対応すれば被害を小さく抑えることができる。

特開２０１９−０９６３３９号公報 特開２０１９−０１６３７０号公報

しかし、実際には、秘匿情報が流出しても、そのことになかなか気付きにくい。何ヶ月も経ってから事態を把握するケースも多い。

このように事態を放置すると、秘匿情報が多方面に拡散し、また秘匿情報に依拠する不正も行われ始める。さらに、別の秘匿情報が流出することもある。

秘匿情報の流出を早期に把握する方法として、外部で流通するデータを監視することも有効である。ただし、外部環境も複雑化しているため、流出した秘匿情報を見つけ出すことは容易でない。

本発明は、上記課題認識に基づいて完成された発明であり、その主たる目的は、情報システムから秘匿情報が流出する事態をとらえやすくすることである。

本発明のある態様におけるリスク管理支援装置は、秘匿情報を管理する情報システムと通信ネットワークを介して接続され、情報システムから、秘匿情報における一部の項目に設定されるべき架空コードの取得要求を、項目の種別と共に受信する架空コード要求受信部と、受信された項目の種別のデータ形式に対応して架空コードを生成する架空コード生成部と、生成された架空コードを情報システムに送信する架空コード提供部と、を備える。

本発明によれば、情報システムから秘匿情報が流出する事態をとらえやすい。

実施形態に関するネットワークの概要を示す図である。 実施形態のフェーズを示す図である。 リスク管理支援サーバの機能ブロック図である。 監視情報テーブル記憶部のデータ構造図である。 実施形態における架空コード設定フェーズ（Ｓ１０）のシーケンス図である。 実施形態におけるアラート対応フェーズ（Ｓ１４）のシーケンス図である。 実施形態における架空コード設定確認のシーケンス図である。 変形例１における架空コード設定フェーズ（Ｓ１０）のシーケンスを示す図である。 変形例２における架空コード設定フェーズ（Ｓ１０）のシーケンスを示す図である。 変形例３における架空コード設定フェーズ（Ｓ１０）のシーケンスを示す図である。 変形例３における架空コード設定確認のシーケンス図である。 変形例４における架空コード設定フェーズ（Ｓ１０）のシーケンスを示す図である。

図１は、実施形態に関するネットワークの概要を示す図である。
たとえば企業や公的組織などによって運営されている情報システム１００ａ〜１００ｃ等がインターネットに接続している。情報システム１００ａ〜１００ｃ等をまとめて言うときや特に区別しないときには「情報システム１００」と総称する。

情報システム１００において、顧客情報、クレジットカード情報や営業上の秘密などの秘匿情報が保持されているものとする。秘匿情報は、たとえばインターネットに公開する予定がなく、イントラネット内でのみ使用されると想定される情報である。秘匿情報がサイバー攻撃者によって盗まれると、情報システム１００の運営者は被害を受けることになる。また、企業や公的組織の関係者が秘匿情報を持ち出して、第三者に渡す不正行為をはたらくことも考えられる。

しかし、このように秘匿情報が流出しても、情報システム１００の運営者はそのことにすぐには気づきにくい。情報システム１００において秘匿情報が流出した形跡を見つけることは、必ずしも簡単ではない。

流出した秘匿情報は、深層Ｗｅｂ２００の一部であるダークＷｅｂ３００において取引されることがある。深層Ｗｅｂ２００は、通常の検索エンジンが収集可能な情報を開示する表層Ｗｅｂと対比される概念である。検索エンジンで使用されるクローラーと呼ばれるプログラムは、Ｗｅｂを巡回して情報を収集するが、情報の収集を拒否しているサイトや動的なリンクを形成するサイトからは、情報を収集できない。このような収集困難な情報を提供するサイトやデータベースなどの情報源を深層Ｗｅｂ２００という。深層Ｗｅｂ２００のうち、不正行為を目的としあるいは助長するサイトなどを、ダークＷｅｂ３００という。

ダークＷｅｂ３００におけるサイトのＵＲＬ（Uniform Resource Locator）を知っていれば、特別なブラウザを用いて匿名でダークＷｅｂ３００にアクセスでき、データのやり取りもできる。クレジットカードの盗用をもくろむ者は、ダークＷｅｂ３００から他人のクレジットカード情報を入手することができる。また、ライバル企業の内部情報を得ようとすれば、ダークＷｅｂ３００からその情報を買うこともできる。サイバー攻撃者が、このようなダークＷｅｂ３００を利用して秘匿情報の転売をはかることがある。この場合、流出した秘匿情報は、ダークＷｅｂ３００における取引対象として開示されることになる。

ただし、ダークＷｅｂ３００におけるサイトの存在は、簡単にはわからない。通常のブラウザにおいてクローラーで収集したＷＥＢページの情報を検索用データベースに登録することを「インデックス化」というが、ダークＷｅｂ３００についてはこのインデックス化ができないからである。表層Ｗｅｂのようにリンクをたどって未知のサイトに行き着くことはできない。ダークＷｅｂ３００に詳しい者から秘密のＵＲＬを教えてもらうなどの独特の入手経路によって、サイトの存在が伝わる。つまり、アンダーグラウンドの情報を得なければ、実際にダークＷｅｂ３００のサイトにアクセスすることは難しい。

したがって、情報システム１００の運営者が自らダークＷｅｂ３００を監視して、流出した秘匿情報を見つけ出すことは負担が大きい。監視サイト５００は、ダークＷｅｂ３００を監視して、ダークＷｅｂ３００で流通しているデータのうち、探索条件に合うデータを見つけ出すサービスを提供する。監視サイト５００の事業者は、ダークＷｅｂ３００の実態に精通しており、一般に入手困難なデータにアクセスするノウハウを有している。監視サイト５００のサービスを利用すれば、ダークＷｅｂ３００の事情を知らなくても、探索条件を提示して目的のデータを探しだしてもらうことができる。

本実施形態では、監視サイト５００のサービスを利用して情報システム１００から流出した秘匿情報を早期に発見するための仕掛けを提供する。具体的には、情報システム１００で保持している秘匿情報に、予め架空コードを設定しておき、リスク管理支援サーバ４００は、架空コードを探索条件として監視サイト５００にダークＷｅｂ３００を監視するように依頼する。架空コードは、秘匿情報における実際のコードではなく、秘匿情報の流出を探知するための目印として設定されるコードである。監視サイト５００がダークＷｅｂ３００で流通しているデータの中から架空コードを発見すると、リスク管理支援サーバ４００に架空コードを含むデータがダークＷｅｂ３００で流通していることを通知する。リスク管理支援サーバ４００は、その架空コードを含む秘匿情報を保持している情報システム１００に対して、その秘匿情報が流出している恐れがあることを通知する。情報システム１００は、秘匿情報の流出を早期に把握できるため、被害の拡大を抑える対策をとりやすくなる。

ただし、監視サイト５００によって発見されたデータが他の情報源（たとえば、他の情報処理システム１００）から出回ったものである場合には、自らの情報システム１００から秘匿情報が流出したと誤認識をすることになるので、他の情報源から出回ったデータと自ら保持する秘匿情報と混同しないようにする必要がある。他の情報源から出回ったデータの中に、架空コードと同じコードが含まれていた場合にこのような事態が起こりうる。したがって、架空コードは、他のデータの内容と重複しない独特なものである必要がある。つまり、架空コードは、一意性を有することが望ましい。

図２は、実施形態のフェーズを示す図である。
架空コード設定フェーズ（Ｓ１０）では、情報システム１００で保持している秘匿情報に架空コードを設定する。秘匿情報に架空コードを設定する方法は、いくつかある。本実施形態および変形例１〜４において、架空コード設定方法の例を説明する。本実施形態に関しては、図５に関連して後述する。

監視要求フェーズ（Ｓ１２）では、リスク管理支援サーバ４００から監視サイト５００に対して架空コードを探索条件に指定して、ダークＷｅｂ３００で開示されるデータにおける探索の要求を行う。監視サイト５００に送信する探索要求に案件を特定するタイトルを付してもよい。タイトルを付した場合には、架空コードを発見した場合に送られるアラートにそのタイトルが付けられる。タイトルを使用しようすれば、案件を識別しやすくなる。

探索の要求により、監視サイト５００における架空コードの探索が始まる。また、監視サイト５００が秘匿情報種別を手掛かりとして探索を行なう場合には、探索要求に秘匿情報種別を付加してもよい。たとえば秘匿情報種別として「クレジットカード情報」を指定して探索を要求した場合に、監視サイト５００はダークＷｅｂ３００のうち、クレジットカード情報を扱うサイトを集中的に探索する。なお、探索範囲を、Ｗｅｂ全体としてもよい。探索範囲を、深層Ｗｅｂ２００としてもよい。

アラート対応フェーズ（Ｓ１４）では、監視サイト５００がダークＷｅｂ３００で開示されているデータにおいて架空コードを発見した場合に、リスク管理支援サーバ４００に対してアラートを通知する。リスク管理支援サーバ４００はアラート通知を受信すると、情報システム１００に対して架空コードがダークＷｅｂ３００で発見されたので秘匿情報が流出している恐れがあることを通知する。この通知は、データ流出の警告に相当する。

続いて、リスク管理支援サーバ４００における処理の詳細について説明する。
リスク管理支援サーバ４００の各構成要素は、ＣＰＵ（Central Processing Unit）および各種コプロセッサなどの演算器、メモリやストレージといった記憶装置、それらを連結する有線または無線の通信線を含むハードウェアと、記憶装置に格納され、演算器に処理命令を供給するソフトウェアによって実現される。コンピュータプログラムは、デバイスドライバ、オペレーティングシステム、それらの上位層に位置する各種アプリケーションプログラム、また、これらのプログラムに共通機能を提供するライブラリによって構成されてもよい。以下に説明する各ブロックは、ハードウェア単位の構成ではなく、機能単位のブロックを示している。

図３は、リスク管理支援サーバ４００の機能ブロック図である。
リスク管理支援サーバ４００は、通信部４０４、データ処理部４０６およびデータ格納部４０８を含む。
通信部４０４は、インターネットを介して情報システム１００と監視サイト５００の通信処理を担当する。データ格納部４０８は各種データを格納する。データ処理部４０６は、通信部４０４により取得されたデータと、データ格納部４０８に格納されているデータに基づいて各種処理を実行する。データ処理部４０６は、通信部４０４およびデータ格納部４０８のインターフェースとしても機能する。

通信部４０４は、データを送信する送信部４３０と、データを受信する受信部４４０とを含む。
送信部４３０は、架空コード提供部４３２、参照要求部４３４および流出警告部４３６を含む。
架空コード提供部４３２は、情報システム１００に架空コードを提供する。参照要求部４３４は、情報システム１００に架空コードの参照を要求する。流出警告部４３６は、秘匿情報が流出した恐れがあることを情報システム１００へ警告する。

受信部４４０は、架空コード要求受信部４４２、設定完了受信部４４４、架空コード応答受信部４４６およびアラート通知受信部４４８を含む。
架空コード要求受信部４４２は、情報システム１００から架空コード要求を受信する。設定完了受信部４４４は、情報システム１００から設定完了を受信する。架空コード応答受信部４４６は、情報システム１００から架空コードの応答を受信する。アラート通知受信部４４８は、監視サイト５００からアラート通知を受信する。

データ処理部４０６は、架空コード生成部４６２、一意性認定部４６４、テーブル更新部４６６、架空コード設定確認部４６８、情報システム特定部４７０および探索要求部４７２を含む。
架空コード生成部４６２は、架空コードを生成する。一意性認定部４６４は、架空コードの一意性に関する認定を行う。テーブル更新部４６６は、監視情報テーブルを更新する。架空コード設定確認部４６８は、架空コードの設定状況を確認する。情報システム特定部４７０は、警告先の情報システム１００を特定する。探索要求部４７２は、監視要求フェーズ（Ｓ１２）において、監視サイト５００に対して架空コードを探索条件に指定して、ダークＷｅｂ３００で開示されるデータにおける探索を要求する。

データ格納部４０８は、監視情報テーブル記憶部４８２、情報システム管理テーブル記憶部４８４、住所データベース４８８、氏名データベース４９０および薬剤データベース４９２を含む。
監視情報テーブル記憶部４８２は、監視情報テーブルを記憶する。監視情報テーブルについては、図４に関連して後述する。情報システム管理テーブル記憶部４８４は、情報システム管理テーブルを記憶する。情報システム管理テーブルは、各情報システム１００に対応するレコードを有する。レコードには、情報システム１００の名前、ＩＰアドレス、ホームページのＵＲＬ、管理者端末のメールアドレスなどが設定されている。住所データベース４８８は、日本の住所に関する情報が格納されている。住所データベース４８８は、実在する住所表記を検索する機能を備えている。氏名データベース４９０は、日本人の氏名に関する情報が格納されている。氏名データベース４９０は、実在する氏名、苗字、いわゆる下の名前と（以下、単に「名前」という。）を検索する機能を備えている。薬剤データベース４９２は、薬品の成分に関する情報が格納されている。薬剤データベース４９２は、実在する成分名を検索する機能を備えている。

図４は、監視情報テーブル記憶部４８２のデータ構造図である。
監視情報テーブルでは、秘匿情報の監視を依頼された案件を管理する。つまり、情報システム１００におけるどの情報の流出を警戒するために、どの位置のどの項目にどのような架空コードを設定したかを記録するものである。そのために、監視サイト５００に対して探索要求する案件毎にレコードが設けられる。レコードは、情報システム１００、秘匿情報種別、項目種別、架空コードおよび設定位置情報のフィールドを有する。情報システム１００のフィールドには、情報システム１００の名前が格納される。秘匿情報種別のフィールドには、流出警戒対象である秘匿情報の種別が格納される。秘匿情報の種別は、たとえば顧客情報、クレジットカード情報や薬品成分情報などである。薬品成分情報は、営業上の秘密の一種である。秘匿情報の種別は、任意であって例示した種別には限定されない。項目種別のフィールドには、架空コードを設定する項目の種別が格納される。架空コードを設定する項目は、秘匿情報において列（カラム）として管理される項目の中のいずれか１つである。なお、この例では、秘匿情報が行列形式のデータであるものとして説明するが、秘匿情報の形式は任意である。架空コードのフィールドには、秘匿情報に設定した架空コードが格納される。

秘匿情報の種別が顧客情報であれば、氏名、性別、住所や電話番号などの項目を有するが、架空コードを設定するために適した項目は、たとえば氏名、住所や電話番号である。たとえば実在しない苗字や名前を含む氏名であれば、同じ氏名は想定しがたく一意性を認めてもよいが、性別については、男女の区別しかなく情報としての一意性はない。

また、クレジットカード情報における氏名、カード番号や有効期限などの項目のうち、氏名やカード番号は架空コードを設定するために適するが、有効期限は架空コードを設定するために適さない。カード番号は、そもそも一意性を前提としており、異なるクレジットカード情報のものと重複しない。これに対して、有効期限については、同じ時期に有効期限を迎えるクレジットカードが多数存在し、多数のクレジットカード情報において重複し一意性を有さない。

薬品成分情報における成分名や構成割合などの項目のうち、成分名は架空コードを設定するために適するが、構成割合は架空コードを設定するために適さない。実在しない成分名を用いれば、他の薬品成分情報と重複しないが、構成割合は任意であるため他の薬品成分情報における構成割合の値と重複することが考えられるので一意性を有さない。

設定位置情報のフィールドには、架空コードを設定した領域を特定する情報が格納される。上述のとおり、ここで例示する秘匿情報はいずれも行列形式のデータである。行はレコードに相当し、列はカラムに相当する。ここでは設定位置情報のレコードおよびフィールドと混同をさけて説明しやすくするために、「行」と「列」を用いて説明する。上述した各項目は、秘匿情報における所定列に相当する。そして、行番号によって秘匿情報の行が特定され、項目種別によって秘匿情報の列が特定される。よって、行番号が特定されれば、架空コードを設定した領域が特定されるので、設定位置情報として行番号だけを用いれば足りる。ただし、データアドレス（たとえば、先頭からのバイト数）とデータサイズ（たとえば、データ長を示すバイト数）のように他の情報によって架空コードが設定される領域を特定してもよい。

たとえば一番目のレコードは、「Ａ社システム」という情報システム１００ａが保持する秘匿情報の「顧客情報」のうち、行番号「３０」の行における項目「住所」に「柏市仲井町１番１号」という架空コードが設定されたことを示している。「柏市仲井町」は実在しない住所である。ここで例示した架空コードについては後に詳述するが、いずれも一意性を有すると認定されたものである。架空コードは、架空コードであると不正アクセス者に見抜かれにくく、かつ、一意性を有するものであることが望ましい。また、一意性を保証する上では「柏市仲井町」のように実在しないデータであることが好ましい。

二番目のレコードは、「Ｂ社システム」という情報システム１００ｂが保持する秘匿情報の「クレジットカード情報」のうち、行番号「２０」の行における項目「氏名」に「伊県博朋」という架空コードが設定されたことを示している。

三番目のレコードは、「Ｃ社システム」という情報システム１００ｃが保持する秘匿情報の「薬品成分情報」のうち、行番号「１０」の行における項目「成分名」に「アセチルアミノフェン」という架空コードが設定されたことを示している。

なお、１つの情報システム１００において複数の秘匿情報について流出を警戒する場合には、同じ情報システム１００について複数のレコードを設けてもよい。たとえば情報システム「Ａ社システム」に関して秘匿情報「顧客情報」と秘匿情報「クレジットカード情報」の両方について、それぞれ架空コードを設定して流出を警戒するような場合である。

また、１つの情報システム１００の１つの秘匿情報について複数の架空コードを設定してもよい。その例を３つ示す。
第１例として、情報システム「Ａ社システム」の秘匿情報「顧客情報」に関して、行番号「１５」行の項目「住所」にある架空コード「柏市仲井町１番１号」を設定し、別の行番号「２５」の行の項目「住所」に別の架空コード「松戸市弥生町１番１号」を設定してもよい。この場合には、情報システム（「Ａ社システム」）と秘匿情報種別（「顧客情報」）と項目種別（「住所」）が共通するレコードが２つ設けられる。両者は、架空コードと設定位置情報が異なる。

第２例として、情報システム「Ａ社システム」の秘匿情報「顧客情報」に関して、行番号「１５」行の項目「住所」に架空コード「柏市仲井町１番１号」を設定し、別の行番号「２５」の行の項目「氏名」に別の架空コード「伊県博朋」を設定してもよい。この場合には、情報システム（「Ａ社システム」）と秘匿情報種別（「顧客情報」）が共通するレコードが２つ設けられる。両者は、項目種別と架空コードと設定位置情報が異なる。

第３例として、情報システム「Ａ社システム」の秘匿情報「顧客情報」に関して、行番号「１５」行の項目「住所」に架空コード「柏市仲井町１番１号」を設定し、同じ行番号「１５」の行の項目「氏名」に別の架空コード「伊県博朋」を設定してもよい。この場合には、情報システム（「Ａ社システム」）と秘匿情報種別（「顧客情報」）と設定位置情報（「行番号：１５）が共通するレコードが２つ設けられる。両者は、項目種別と架空コードが異なる。

図５は、実施形態における架空コード設定フェーズ（Ｓ１０）のシーケンス図である。
ここでは、顧客情報における住所の項目に架空コードを設定することを想定して説明する。情報システム１００の管理者は、情報システム１００の管理者端末から架空コードを要求する（Ｓ２０）。具体的には、管理者端末は、架空コード要求のための所定フォームに従って秘匿情報種別「顧客情報」と項目種別「住所」が設定された電子メールをリスク管理支援サーバ４００宛てに送信する。あるいは、管理者端末からリスク管理支援サーバ４００のＷｅｂサイトにログインして、架空コード要求用のＷｅｂページにおいて秘匿情報種別および項目種別を入力し、ブラウザが秘匿情報種別および項目種別を送信してもよい。

リスク管理支援サーバ４００の架空コード要求受信部４４２が、架空コード要求を受信すると、架空コード生成部４６２は、架空コード要求で指定された項目種別に応じて架空コードを生成する（Ｓ２２）。

項目種別が「住所」であれば、住所らしい架空コードを生成する。住所らしい架空コードの生成方法は任意であるが、ここでは複数の住所のサンプルコードから架空コードを合成する方法を例示する。サンプルコードは、実在する住所表記に相当する。たとえば、住所のサンプルコードとして「柏市弥生町△番□号」「松戸市仲井町○番×号」および「所沢市▽町１番１号」が得られたものとする。これらは、いずれも実在する。住所のサンプルコードの出所は、任意である。住所データベース４８８から取得してもよいし、顧客情報の中から得てもよい。一番目のサンプルコードからは市の表記「柏市」を抽出する。二番目のサンプルコードからは町の表記「仲井町」を抽出する。三番目のサンプルコードからは番と号の表記「１番１号」を抽出する。そして、抽出した市の表記「柏市」と、同じく町の表記「仲井町」と、同じく番と号の表記「１番１号」とを連結して、合成した住所「柏市仲井町１番１号」が生成される。この例の「柏市仲井町１番１号」は実在しない住所であるが、生成された住所が実在することもある。実在する住所については、後述する一意性の認定処理において不採用とする。

項目種別が「氏名」であれば、氏名らしい架空コードを生成する。氏名らしい架空コードの生成方法も任意であるが、複数の氏名のサンプルコードから架空コードを合成してもよい。サンプルコードは、実在したあるいは実在する氏名に相当する。たとえば、氏名のサンプルコードとして「伊藤博文」および「山県有朋」が得られたものとする。氏名のサンプルコードの出所は、任意である。氏名データベース４９０から取得してもよいし、クレジットカード情報の中から得てもよい。苗字と名前を別々に生成する。まず、苗字を生成する。一番目のサンプルコードからは苗字の前の文字「伊」を抽出する。二番目のサンプルコードからは苗字の後の文字「県」を抽出する。そして、抽出した苗字の前の文字「伊」と、同じく苗字の後の文字「県」とを連結して、合成した苗字「伊県」が生成される。次に、名前を生成する。一番目のサンプルコードからは名前の前の文字「博」を抽出する。二番目のサンプルコードからは名前の後の文字「朋」を抽出する。そして、抽出した名前の前の文字「博」と、同じく名前の後の文字「朋」とを連結して、合成した名前「博朋」が生成される。そして、合成した苗字「伊県」と合成した名前「博朋」とを連結して、合成した氏名「伊県博朋」が生成される。このようにして生成された氏名が、実在する氏名と一致する場合もある。実在する可能性が高い氏名については、後述する一意性の認定処理において不採用とする。

また、項目種別が「成分名」であれば、成分名らしい架空コードを生成する。成分名らしい架空コードの生成方法も任意であるが、複数の成分名のサンプルコードから架空コードを合成してもよい。サンプルコードは、実在する成分名に相当する。たとえば、成分名のサンプルコードとして「アセチルサリチル酸」および「アセトアミノフェン」が得られたものとする。いずれも実在する薬剤の名称であって成分名として使用される。成分名のサンプルコードの出所は、任意である。薬剤データベース４９２から取得してもよいし、薬品成分情報の中から得てもよい。一番目のサンプルコードからは成分名の前部分「アセチル」を抽出する。二番目のサンプルコードからは成分名の後部分「アミノフェン」を抽出する。そして、抽出した成分名の前部分「アセチル」と、同じく成分名の後部分「アミノフェン」とを連結して、合成した成分名「アセチルアミノフェン」が生成される。この例の「アセチルアミノフェン」は、実在しない成分名であるが、生成された成分名が実在することもある。実在する成分名については、後述する一意性の認定処理において不採用とする。

このように、実在するサンプルコードを元として合成された架空コードは、一見して偽の情報であるとはわかりにくいので、ダークＷｅｂ３００において取り除かれる心配が少ない。よって、このような架空コードは、秘匿情報が流出した痕跡として機能しやすい。

リスク管理支援サーバ４００の一意性認定部４６４は、生成された架空コードの一意性に関する認定を行う（Ｓ２４）。

項目種別「住所」に関する架空コードであれば、多数の住所のサンプルコードの中に架空コードと一致するコードが含まれていなければ、その架空コードが一意性を有すると認定する。多数の住所のサンプルコードの中に架空コードと一致するコードが含まれている場合は、その架空コードが一意性を有さないと認定する。たとえば、住所データベース４８８において架空コードを検索キーとして検索を行った結果、架空コードと一致する住所がない場合には、その架空コードが一意性を有すると認定する。一方、架空コードと一致する住所がある場合には、その架空コードが一意性を有さないと認定する。郵便番号検索サイトや住所検索サイトなどのＷｅｂサービスを利用して、架空コードを検索キーとして検索を行ってもよい。この場合に、これらのサイトにおいて架空コードと一致する住所が検索されない場合には、その架空コードが一意性を有すると認定する。一方、架空コードと一致する住所が検索された場合には、その架空コードが一意性を有さないと認定する。

項目種別「氏名」に関する架空コードであれば、多数の氏名のサンプルコードの中に架空コードと一致するコードが含まれているか否かを判定する。ただし、苗字と名前の組み合わせに関しては任意性が高いので、氏名全体として同一のものが存在しないとしても、苗字と名前がそれぞれ存在すれば、両者を組み合わせた氏名が実在してもおかしくない。よって、苗字と名前について別個に一意性の判断を行って、苗字と名前とのいずれかにおいて一意性を有すると判断した場合に、架空コードが一意性を有すると認定する。多数の氏名のサンプルコードを含む情報源は、たとえば氏名データベース４８８である。氏名データベース４８８において、架空コードにおける苗字を検索キーとして検索を行った結果、その苗字と一致する苗字がない場合には、その架空コードが一意性を有すると認定する。また、氏名データベース４８８において、架空コードにおける名前を検索キーとして検索を行った結果、その名前と一致する名前がない場合には、その架空コードが一意性を有すると認定する。苗字と名前のいずれにおいても同一のものがある場合には、その架空コードは一意性を有しないと認定する。人名検索サイトやＳＮＳ（Social Networking Service）サイトなどのＷｅｂサービスを利用してもよい。認定の方法は、氏名データベース４８８を利用する場合と同様である。

項目種別「成分名」に関する架空コードであれば、多数の成分名のサンプルコードの中に架空コードと一致するコードが含まれていなければ、その架空コードが一意性を有すると認定する。多数の成分名のサンプルコードの中に架空コードと一致するコードが含まれている場合は、その架空コードが一意性を有さないと認定する。たとえば、薬剤データベース４８８において架空コードを検索キーとして検索を行った結果、架空コードと一致する成分名がない場合には、その架空コードが一意性を有すると認定する。一方、架空コードと一致する成分名がある場合には、その架空コードが一意性を有さないと認定する。薬剤検索サイトや薬学情報サイトなどのＷｅｂサービスを利用して、架空コードを検索キーとして検索を行ってもよい。この場合に、これらのサイトにおいて架空コードと一致する成分名が検索されない場合には、その架空コードが一意性を有すると認定する。一方、架空コードと一致する成分名が検索された場合には、その架空コードが一意性を有さないと認定する。

一意性認定部４６４は、さらに現在使用している架空コードまたは過去に使用した架空コードと一致すると判定した場合にも、生成された架空コードは一意性を有さないと認定する。

架空コードが一意性を有さないと認定した場合には、Ｓ２２の処理に戻って別の架空コードを生成する。架空コードが一意性を有すると認定した場合には、リスク管理支援サーバ４００の架空コード提供部４３２は、架空コードを情報システム１００の管理者端末へ送信する（Ｓ２６）。電子メールで通知してもよいし、管理者端末からリスク管理支援サーバ４００のＷｅｂサイトにログインして閲覧できる架空コード提供用のＷｅｂページに架空コードを掲載してもよい。後者の場合、リスク管理支援サーバ４００は、Ｓ２６で生成した架空コードを専用のウェブサイトに掲載する。情報システム１００の管理者は、この専用ウェブサイトにアクセスすることにより、架空コードを取得してもよい。

情報システム１００の管理者端末が架空コードを受信すると、情報システム１００の管理者は、管理者端末から操作して情報システム１００で保持する秘匿情報に架空コードを設定する（Ｓ２８）。架空コードを設定する行は、任意に決めてよい。管理者は、管理者端末から設定完了をリスク管理支援サーバ４００へ通知する（Ｓ３０）。設定完了通知には、設定位置情報として、架空コードが設定された行の番号が付加される。電子メールで通知してもよいし、管理者端末からリスク管理支援サーバ４００のＷｅｂサイトにログインして、設定完了通知用のＷｅｂページにおいて設定完了を入力し、ブラウザが設定完了を通知してもよい。

リスク管理支援サーバ４００の設定完了受信部４４４が設定完了通知を受信すると、テーブル更新部４６６は、監視情報テーブルを更新する（Ｓ３２）。具体的には、監視情報テーブルに新しいレコードを設けて、秘匿情報種別、項目種別、架空コードおよび設定位置情報を設定する。
以上の設定のあと、リスク管理支援サーバ４００は、架空コードを探索条件として、監視サイト５００に定期的に架空コードを探索させる（図２の監視要求フェーズ（Ｓ１２））。

図６は、実施形態におけるアラート対応フェーズ（Ｓ１４）のシーケンス図である。
監視サイト５００が、ダークＷｅｂ３００において架空コードを含むデータを発見した場合に、アラート通知をリスク管理支援サーバ４００へ送信する。アラート通知は、電子メールによって送信されてもよいし、監視サイト５００が探索要求者用に提供するＷｅｂページにアラートを掲載するようにしてもよい。アラート通知には、検出した架空コードと、架空コードを含むデータが存在するサイトの情報が含まれる。探索要求においてタイトルを付している場合には、そのタイトルもアラート通知に加えられる。

リスク管理支援サーバ４００のアラート通知受信部４４８が監視サイト５００からアラート通知を受信すると（Ｓ４０）、情報システム特定部４７０は、監視情報テーブルを参照し、アラート通知に含まれる架空コードに対応する情報システム１００を特定する（Ｓ４２）。タイトルに情報システム名を設定している場合には、タイトルによって情報システム１００を特定してもよい。

リスク管理支援サーバ４００の流出警告部４３６は、秘匿情報が流出している恐れがあることを伝える流出警告を、情報システム１００の管理者端末へ送信する（Ｓ４４）。電子メールによって送信してもよいし、管理者端末からリスク管理支援サーバ４００のＷｅｂサイトにログインして参照できる流出警告用のＷｅｂページに流出警告を掲載してもよい。流出警告には、秘匿情報種別、項目種別、架空コード、設定位置情報、および架空コードを含むデータが存在するサイトの情報が含まれる。

情報システム１００の管理者端末が流出警告を受信すると、管理者は流出警告の内容を参照して対策を検討する。

図７は、実施形態における架空コード設定確認のシーケンス図である。
架空コードは、情報システム１００の運用において本来不要な情報であるので、情報システム１００の運用者が書き換えたり、削除したりする可能性がある。そのため、リスク管理支援サーバ４００は定期的に情報システム１００における架空コードの設定状況を確認する。

リスク管理支援サーバ４００の参照要求部４３４は、秘匿情報種別、項目種別および設定位置情報を指定して、情報システム１００に架空コードの参照を要求する（Ｓ５０）。具体的には、情報システム１００の内部データを参照するためのインターフェース（たとえば、ＷｅｂＡＰＩ（Application Programming Interface））に、架空コードの参照を要求する。なお、リスク管理支援サーバ４００には、情報システム１００の内部データを参照するための権限が与えられているものとする。このインターフェースを用いたアクセス権限の管理については、特に慎重を有する。サイバー攻撃者が、このインターフェースを利用して秘匿情報を盗み出すことを防ぐためである。

情報システム１００は、参照要求に応じて、秘匿情報から架空コードの設定領域に記憶されているコードを抽出して（Ｓ５２）、リスク管理支援サーバ４００へ送信する（Ｓ５４）。

リスク管理支援サーバ４００の架空コード応答受信部４４６が、架空コードを受信すると、架空コード設定確認部４６８は、受信したコードが架空コードと一致するかを確認する（Ｓ５６）。受信したコードが架空コードと一致する場合には、確認が成功する。受信したコードが架空コードと一致しない場合には、確認が失敗する。確認が失敗した場合には、架空コード設定確認部４６８は、情報システム１００の管理者に架空コードが消滅したことを警告する。具体的には、情報システム１００の管理者端末に架空コード消滅を警告する電子メールを送信してもよいし、管理者端末からリスク管理支援サーバ４００のＷｅｂサイトにログインして参照できる架空コード消滅警告用のＷｅｂページに架空コード消滅の警告を掲載してもよい。架空コード消滅の警告を受けた管理者は、架空コードの再設定などの対応を検討する。

［変形例１］
実施形態では、リスク管理支援サーバ４００において架空コードを生成する例（図５参照）を示したが、変形例１では、情報システム１００において架空コードを生成する。

変形例１の場合、リスク管理支援サーバ４００の受信部４４０は、さらに架空コード通知受信部（不図示）を備え、送信部４３０は、さらに一意性確認通知部（不図示）を備える。

図８は、変形例１における架空コード設定フェーズ（Ｓ１０）のシーケンスを示す図である。
情報システム１００の管理者は、架空コードを設定する項目種別に応じて架空コードを生成する（Ｓ６０）。架空コードの生成方法は、任意である。情報システム１００において、実施形態におけるリスク管理支援サーバ４００と同じ方法で架空コードを生成してもよい。

情報システム１００の管理者は、管理者端末から架空コード、秘匿情報種別および項目種別を含む架空コード通知をリスク管理支援サーバ４００へ通知する（Ｓ６２）。電子メールで通知してもよいし、管理者端末からリスク管理支援サーバ４００のＷｅｂサイトにログインして、架空コード通知用のＷｅｂページにおいて架空コード、秘匿情報種別および項目種別を入力し、ブラウザが架空コード、秘匿情報種別および項目種別を通知してもよい。

リスク管理支援サーバ４００の架空コード通知受信部が架空コード通知を受信すると、リスク管理支援サーバ４００の一意性認定部４６４は、架空コードの一意性に関する認定を行う（Ｓ６４）。一意性確認通知部は、一意性に関する認定結果の通知を情報システム１００の管理者端末へ送信する（Ｓ６６）。この通知は、架空コードが一意性を有するという認定結果を示す場合と、架空コードが一意性を有さないという認定結果を示す場合とがある。電子メールを送信してもよいし、管理者端末からリスク管理支援サーバ４００のＷｅｂサイトにログインして参照できる一意性の認定結果提示用のＷｅｂページに一意性に関する認定結果を掲載してもよい。

情報システム１００の管理者端末が、架空コードが一意性を有さないという認定結果を示す通知を受信した場合には、Ｓ６０に戻って別の架空コードを生成し、上述した手順を繰り返す。

情報システム１００の管理者端末が、架空コードが一意性を有するという認定結果を示す通知を受信した場合には、情報システム１００の管理者は、秘匿情報において項目種別および設定位置情報（レコードＩＤ）で特定される領域に、架空コードを設定する（Ｓ６８）。情報システム１００の管理者は、管理者端末から設定位置情報を含む設定完了通知をリスク管理支援サーバ４００へ送信する（Ｓ７０）。

リスク管理支援サーバ４００の設定完了受信部４４４が設定完了通知を受信すると、テーブル更新部４６６は、監視情報テーブルを更新する（Ｓ７２）。

架空コード設定確認については、実施形態の場合と同様である。

［変形例２］
実施形態では、情報システム１００において架空コードを設定する例（図５参照）を示したが、変形例２では、リスク管理支援サーバ４００において架空コードを設定する。そのため、リスク管理支援サーバ４００は情報システム１００から秘匿情報を取得し、架空コードを設定した後、更新された秘匿情報を情報システム１００へ返却する。

変形例２の場合、リスク管理支援サーバ４００の受信部４４０は、さらに秘匿情報受付部（不図示）を備え、送信部４３０は、さらに秘匿情報返却部（不図示）を備え、データ処理部４０６は、さらに架空コード設定部（不図示）を備える。

図９は、変形例２における架空コード設定フェーズ（Ｓ１０）のシーケンスを示す図である。
情報システム１００の管理者は、秘匿情報を暗号化し、管理者端末から暗号化された秘匿情報、秘匿情報種別、項目種別および設定位置情報をリスク管理支援サーバ４００へ送信する（Ｓ８０）。秘匿情報種別、項目種別および設定位置情報が記載されたメールに、暗号化された秘匿情報を添付して送信してもよいし、暗号化通信技術を用いて秘匿情報、秘匿情報種別、項目種別および設定位置情報を送信してもよい。あるいは、記録媒体を用いて提供してもよい。

リスク管理支援サーバ４００の秘匿情報受付部が暗号化された秘匿情報、秘匿情報種別、項目種別および設定位置情報を受け付けると、秘匿情報を復号する。

リスク管理支援サーバ４００の架空コード生成部４６２は、項目種別に応じて架空コードを生成する（Ｓ８２）。一意性認定部４６４は、生成した架空コードの一意性に関する認定を行う（Ｓ８４）。架空コードが一意性を有さないと認定した場合には、Ｓ８２に戻って別の架空コードを生成し、再度一意性に関する認定を行う。架空コードが一意性を有すると認定した場合には、架空コード設定部が、秘匿情報において項目種別および設定位置情報（レコードＩＤ）で特定される領域に、架空コードを設定する（Ｓ８６）。秘匿情報返却部（不図示）は、更新した秘匿情報を暗号化して情報システム１００へ返却する（Ｓ８８）。暗号化された秘匿情報を電子メールに添付して送信してもよいし、暗号化通信技術を用いて秘匿情報、秘匿情報種別、項目種別および設定位置情報を送信してもよい。あるいは、記録媒体を用いて返却してもよい。情報システム１００の管理者は、返却された秘匿情報を情報システム１００の元の場所に格納する。

リスク管理支援サーバ４００のテーブル更新部４６６は、監視情報テーブルを更新する（Ｓ９０）。

なお、情報システム１００の内部データを更新するためのインターフェース（たとえば、ＷｅｂＡＰＩ）が用意されている場合には、リスク管理支援サーバ４００が情報システム１００で保持されている秘匿情報に直接架空コードを設定してもよい。リスク管理支援サーバ４００には、情報システム１００の内部データを更新するための権限が与えられているものとする。ただし、このアクセス権限の管理についても、特に慎重を有する。サイバー攻撃者が、このインターフェースを利用して秘匿情報を改ざんすることを防ぐためである。

架空コード設定確認については、実施形態の場合と同様である。

［変形例３］
実施形態、変形例１および変形例２の場合、秘匿情報の生成過程は任意である。秘匿情報は、情報システム１００の内部で生成された情報であってもよい。たとえば、営業上の秘密であれば、情報システム１００の内部で生成される。

他方、外部から取得した情報によって秘匿情報が生成されることもある。たとえば、登録会員を管理する情報（以下、「登録会員管理情報」という。）の場合、会員登録しようとする一般のユーザが情報システム１００のＷｅｂページにおいて入力した個人情報、たとえば氏名や住所などが個々の会員の情報（以下、「会員情報」という。）として蓄積される。

変形例３では、会員登録のように、一般に公開されているＷｅｂページから秘匿情報に追加する内容を指定できるケースを想定し、リスク管理支援サーバ４００から秘匿情報に追加する内容として架空コードを入力する。以下に示す例では、一般のユーザが会員登録を行う場合の手順と同様に、リスク管理支援サーバ４００から架空会員の登録を行う。架空会員に関する会員情報は、架空コードの設定を目的として設けられるものであるので、情報システム１００の運用においては、本来不用である。したがって、架空会員の登録を行うことについて、情報システム１００の管理者に了承を得ておくものとする。

たとえば、会員登録のためのＷｅｂページの住所入力欄に、「柏市仲井町１番１号」と入力して架空会員の登録を行えば、会員情報における住所の項目に架空コードとして「柏市仲井町１番１号」が設定されることになる。つまり、情報システム１００は通常の運用状態のまま対応すれば足りる。

変形例３の場合、リスク管理支援サーバ４００からの操作だけで架空コードの設定が可能となる。住所の項目に架空コードを設定する場合には、「柏市仲井町１番１号」のように一意性が認定された住所表記を設定する。それ以外の項目についても、架空の内容を設定するが、これらについては一意性を有さなくてもよい。たとえば、氏名は「山本太郎」のようにありふれたものであってもよい。この場合、氏名「山本太郎」はダークＷｅｂ３００の監視に用いられず、ダークＷｅｂ３００の監視には住所「柏市仲井町１番１号」を用いる。

反対に、氏名の項目に架空コードを設定する場合には、「伊県博朋」のように一意性が認定された氏名を氏名入力欄に入力する。氏名以外の項目については、一意性を有さなくてもよい。したがって、住所入力欄に入力する住所表記として「柏市弥生町」のように実在する地名を用いてもよい。この場合、住所「柏市弥生町・・・」はダークＷｅｂ３００の監視に用いられず、ダークＷｅｂ３００の監視には氏名「伊県博朋」を用いる。

変形例３の場合、リスク管理支援サーバ４００のデータ処理部４０６は、さらに架空コード設定部（不図示）を備え、送信部４３０は、さらに架空会員登録要求部（不図示）および架空会員情報提示要求部（不図示）を備え、受信部４４０は、さらに認証結果受信部（不図示）、登録完了受信部（不図示）および架空会員情報受信部（不図示）を備える。

図１０は、変形例３における架空コード設定フェーズ（Ｓ１０）のシーケンスを示す図である。
変形例３の場合、情報システム１００が公開している通常のＷｅｂページの動作を利用するので、情報システム１００の管理者は架空コード設定の操作に関与しない。

リスク管理支援サーバ４００の架空会員情報生成部は、架空コード以外の架空会員情報を生成する（Ｓ１００）。たとえば、住所に架空コードを設定する場合には、アカウント情報であるアカウント名とパスワード、住所およびその他の属性などを生成する。生成の方法は、任意である。架空コードを生成する場合と同様に、既存のサンプルコードを合成して架空の情報を生成してもよい。ただし、上述のとおり一意性を認定する必要はない。

リスク管理支援サーバ４００の架空コード生成部４６２は、架空コードを設定する項目種別に応じて架空コードを生成する（Ｓ１０２）。一意性認定部４６４は、生成した架空コードの一意性に関する認定を行う（Ｓ１０４）。

リスク管理支援サーバ４００の架空会員登録要求部は、情報システム１００に架空会員の登録を要求する（Ｓ１０６）。架空会員登録用のＷｅｂページへの入力を自動的に行ってもよいし、オペレータが操作してＷｅｂページへの入力を行ってもよい。架空会員登録用のＷｅｂＡＰＩが提供されている場合には、ＷｅｂＡＰＩを利用してもよい。

情報システム１００は、架空会員情報を受信すると、通常の動作によって架空会員の登録を行い（Ｓ１０８）、リスク管理支援サーバ４００に登録完了を通知する（Ｓ１１０）。

リスク管理支援サーバ４００の登録完了受信部が登録完了通知を受信すると、テーブル更新部４６６は、監視情報テーブルを更新する（Ｓ１１２）。

図１１は、変形例３における架空コード設定確認のシーケンス図である。
住所に架空コードが設定されていると、その住所の郵便番号を調べようとしても、住所自体が見つからず、虚偽の住所であると判断される。この場合、アカウント自体が削除されたり、住所が「不明」などに書き換えられたりすることがある。したがって、住所として設定した架空コードが維持されているか確認することは重要である。

会員制のサイトでは、登録会員ごとに会員情報を提示するＷｅｂページが用意されている。このＷｅｂページを、以下では「マイページ」という。マイページを閲覧すれば、会員情報の内容を確認することができる。変形例３では、マイページを定期的に参照して、架空コードの設定状況を確認する。

リスク管理支援サーバ４００のログイン要求部は、情報システム１００にログインを要求する（Ｓ１２０）。具体的には、ログイン要求部は、情報システム１００におけるログイン用のＷｅｂページにアカウント情報（アカウント名とパスワード）を入力して、情報システム１００へ送信する。

情報システム１００は、アカウント情報を受信すると、アカウント名とパスワードに基づいて会員認証を行う（Ｓ１２２）。アカウント名とパスワードが正当であればログインが成功し、情報システム１００は、ログイン成功を示す認証結果をリスク管理支援サーバ４００に通知する。

リスク管理支援サーバ４００の認証結果受信部が、ログイン成功を示す認証結果を受信すると、架空会員情報提示要求部は、情報システム１００に架空会員情報の提示を要求する（Ｓ１２４）。たとえば、マイページに移行するためのボタン操作を自動的に実行する。あるいは、オペレータがマイページに移行するためのボタン操作を行ってもよい。この操作によって、架空会員情報要求が情報システム１００へ送信される。つまり、このボタン操作によってブラウザから情報システム１００へ送信されるＨＴＴＰリクエストが架空会員情報の提示要求に相当する。

情報システム１００は、架空会員情報要求を受信すると、架空会員情報を応答する（Ｓ１２６）。具体的には、情報システム１００は、マイページのＷｅｂページデータをリスク管理支援サーバ４００へ送信する。Ｗｅｂページデータの中に架空コードを含む架空会員情報が設定されている。

リスク管理支援サーバ４００の架空会員情報受信部が架空会員情報を受信すると、架空コード設定確認部４６８は、架空会員情報において架空コードを設定した項目のデータを抽出して、架空コードと一致するかを確認する（Ｓ１２８）。架空会員情報受信部は、ブラウザの機能の一部である。Ｗｅｂページデータの中から架空コードを設定した項目のデータを特定してもよいし、ブラウザによって表示された画面のイメージから架空コードを設定した項目のデータを読み取ってもよい。たとえば、住所に架空コードを設定した場合には、住所欄に表示された住所表記を特定する。住所欄に表示された住所表記が架空コードと一致すれば確認が成功する。住所欄に表示された住所表記が架空コードと一致しなければ確認が失敗する。

確認が失敗した場合には、架空コード設定確認部４６８は、図７の場合と同様に、情報システム１００の管理者に架空コードが消滅したことを警告する。

なお、Ｓ１２２においてアカウント名とパスワードが正当でないと判断した場合には、ログインが失敗し、情報システム１００は、ログイン失敗を示す認証結果をリスク管理支援サーバ４００に通知する。リスク管理支援サーバ４００がログイン失敗を示す認証結果を受信した場合にも、架空コード設定確認部４６８は、情報システム１００の管理者に架空コードが消滅したことを警告する。この場合、アカウント自体が削除された可能性が高い。

［変形例４］
情報システム１００の運用面から見ると、架空会員については業務対象から除外することが望ましい。しかし、変形例３では、リスク管理支援サーバ４００が架空会員の登録を行うので、情報システム１００において架空会員のアカウントを判別しにくい面がある。変形例４では、情報システム１００において架空会員のアカウントを生成し、リスク管理支援サーバ４００はそのアカウントを利用して架空コードを設定する。つまり、情報システム１００に用意してもらった会員情報の中に架空コードを仕込むようにする。このようにすれば、情報システム１００において架空会員のアカウントを把握しやすく、情報システム１００における運用の円滑化が図られる。

変形例４の場合、リスク管理支援サーバ４００の受信部４４０は、さらにアカウント情報受信部（不図示）および更新完了受信部（不図示）を備える。

図１２は、変形例４における架空コード設定フェーズ（Ｓ１０）のシーケンスを示す図である。
情報システム１００の管理者は、アカウント情報（アカウント名とパスワード）と架空会員情報を生成し、情報システム１００における架空会員の登録を行う（Ｓ１３０）。架空会員情報とアカウント情報の生成方法は、任意である。この段階で、架空会員情報を設定しておくが、後にその一部は架空コードによって書き換えられる。情報システム１００の管理者端末は、リスク管理支援サーバ４００にアカウント情報を通知する（Ｓ１３２）。電子メールで通知してもよいし、管理者端末からリスク管理支援サーバ４００のＷｅｂサイトにログインして、アカウント情報通知用のＷｅｂページにおいてアカウント情報（アカウント名とパスワード）を入力し、ブラウザがアカウント情報を送信してもよい。

リスク管理支援サーバ４００のアカウント情報受信部がアカウント情報を受信すると、架空コード生成部４６２は、架空コードを設定する項目の種別に応じて架空コードを生成する（Ｓ１３４）。架空コードを設定する項目は、リスク管理支援サーバ４００において決めてもよいし、情報システム１００の管理者の指示によって決めてもよい。そして、一意性認定部４６４は、生成した架空コードの一意性に関する認定を行う（Ｓ１３６）。

リスク管理支援サーバ４００のログイン要求部は、通知されたアカウント情報を用いて情報システム１００のサイトにログインを要求する（Ｓ１３８）。情報システム１００が、会員認証を行い（Ｓ１４０）、ログイン成功を示す認証結果がリスク管理支援サーバ４００に通知されると、リスク管理支援サーバ４００の架空コード提供部４３２は、架空コード書込みを要求する（Ｓ１４２）。具体的には、マイページに移行する操作と、マイページに表示された会員情報一覧のうち架空コードを設定する項目の入力欄に架空コードを入力する操作と、会員情報の更新指示の操作とを行う。これらの操作を自動的に実行してもよいし、オペレータが手動で行ってもよい。架空コードが入力された状態で会員情報の更新が指示されたときに、ブラウザから情報システム１００へ送られるＨＴＴＰリクエストが、架空コード書込み要求に相当する。

情報システム１００は架空コード書込み要求を受信すると、通常の動作によって架空コードを含む会員情報を秘匿情報に上書きする（Ｓ１４４）。つまり、会員情報が架空コードを含む内容に更新される。情報システム１００は、リスク管理支援サーバ４００に更新完了を通知する（Ｓ１４６）。たとえば、マイページに表示される「会員情報を書き換えました。」というメッセージが更新完了の通知に相当する。

リスク管理支援サーバ４００の更新完了受信部が更新完了通知を受信すると、テーブル更新部４６６は、監視情報テーブルを更新する（Ｓ１４８）。

架空コード設定確認については、変形例３の場合と同様である。

［その他の変形例］
項目種別に項目のデータサイズを付加してもよい。そして、データサイズによって架空コードが設定される領域の大きさを特定してもよい。

架空コードの生成方法として、サンプルコードの一部の文字を無作為に選んだ文字に書き換えてもよい。たとえば、サンプルコード「アセチルサリチル酸」の先頭文字を無作為に選んだ文字「ケ」に置き換えれば「ケセチルサリチル酸」という架空コードが生成される。

架空コードの生成方法として、サンプルコードの部分同士を入れ替えてもよい。たとえば、サンプルコード「松戸市仲井町○番×号」の市の名称と町の名称を入れ替え、さらに番と号の数字を入れ替えれば、架空コード「仲井市松戸町×番○号」が生成される。

リスク管理支援サーバ４００の流出警告部４３６は、架空コードが見つかったサイトの種類によって警告の態様を変化させてもよい。たとえば、ダークＷｅｂ３００で発見された場合と、ダークＷｅｂ３００以外の深層Ｗｅｂ２００で発見された場合と、表層Ｗｅｂで発見された場合とで、警告文の色や背景色を異ならせてもよい。あるいは、異なるアラーム音を発生させてもよい。

テーブル更新部４６６は、架空コードを設定した日時を監視情報テーブルに記録してもよい。そして、流出警告部４３６は、流出警告に架空コードの設定日時を含めてもよい。このようにすれば、秘匿情報が流出したタイミングを特定するのに役立つ。

また、架空コードを定期的に更新してもよい。つまり、架空コードが設定されている領域に別の架空コードを上書きする。架空コードを更新する場合にも、一意性の認定などの処理を同様に行う。そして、監視サイト５００に対して、さらに新たな架空コードを探索キーとした探索要求を行う。テーブル更新部４６６は、架空コードを解除した日時を監視情報テーブルに記録してもよい。このようにすれば、架空コードが使用された期間を特定できる。流出警告部４３６は、流出警告に架空コードが使用された期間を含めてもよい。架空コードを更新する間隔を短くすれば、秘匿情報が流出したタイミングを限定しやすくなる。情報システム１００からの指示によって架空コードを更新してもよい。たとえば、ある業者との提携期間に限定した架空コードを用いれば、その業者との関係におけるデータ流出のリスクをとらえやすくなる。

なお、本発明は上記実施形態や変形例に限定されるものではなく、要旨を逸脱しない範囲で構成要素を変形して具体化することができる。上記実施形態や変形例に開示されている複数の構成要素を適宜組み合わせることにより種々の発明を形成してもよい。また、上記実施形態や変形例に示される全構成要素からいくつかの構成要素を削除してもよい。

本実施形態では、情報システム１００に秘匿情報の一部となる架空コードを提供するので、情報システム１００側で架空コードを生成する負担が軽減される。

また、設定項目に応じた架空コードを提供するので、種々の項目を対象として架空コードを設定することが可能である。

また、少なくとも一意性を有すると見込まれる架空コードを用いるようにするので、秘匿情報以外のデータに含まれるコードとの混同をさけることができる。つまり、架空コードの目印としての機能を高めることができる。

また、複数のサンプルコードと比較して架空コードの一意性を認定するので、一意性の確からしさを高めることができる。

また、たとえば会員を新規登録するためのユーザインターフェースにアクセスして、架空コードを登録会員の項目内容に含めるので、会員制のサイトにおける架空コードの設定を情報システム１００の負担を増やさずに行える。

また、情報システム１００から提示された会員情報によって架空コードの設定状況を確認するので、架空コードの消失を見つけやすい。

また、架空コードが消失した場合に、情報システムの管理者に警告するので、架空コードの復旧などの処置をとりやすい。よって、架空コードが設定されていない期間を短くすることができる。

また、ウェブサイトを監視する探索システムに架空コードを探索させて、架空コードが発見された場合に警告するので、情報システム１００からの秘匿情報の流出をとらえやすい。

１００ 情報システム、２００ 深層Ｗｅｂ、３００ ダークＷｅｂ、４００ リスク管理支援サーバ、５００ 監視サイト、４０４ 通信部、４０６ データ処理部、４０８ データ格納部、４３０ 送信部、４４０ 受信部、４３２ 架空コード提供部、４３４ 参照要求部、４３６ 流出警告部、４４２ 架空コード要求受信部、４４４ 設定完了受信部、４４６ 架空コード応答受信部、４４８ アラート通知受信部、４６２ 架空コード生成部、４６４ 一意性認定部、４６６ テーブル更新部、４６８ 架空コード設定確認部、４７０ 情報システム特定部、４７２ 探索要求部、４８２ 監視情報テーブル記憶部、４８４ 情報システム管理テーブル記憶部、４８８ 住所データベース、４９０ 氏名データベース、４９２ 薬剤データベース

Claims (5)

1. 秘匿情報を管理する情報システムと通信ネットワークを介して接続され、
   前記情報システムから、前記秘匿情報における一部の項目に設定されるべき架空コードの取得要求を、前記項目の種別と共に受信する架空コード要求受信部と、
   前記受信された項目の種別のデータ形式に対応して前記架空コードを生成する架空コード生成部と、
   前記生成された架空コードを前記情報システムに送信する架空コード提供部と、を備えることを特徴とするリスク管理支援装置。
2. 前記架空コード提供部は、前記生成された架空コードの一意性が認定されたことを条件として、前記生成された架空コードを前記情報システムへ送信することを特徴とする請求項１に記載のリスク管理支援装置。
3. 前記情報システムは、前記秘匿情報に登録される項目内容を受け付けるためのユーザインターフェースを備え、
   前記架空コード提供部は、前記情報システムの前記ユーザインターフェースにアクセスして、前記架空コードを前記項目内容の一部に含めて前記秘匿情報に登録させることを特徴とする請求項１または２に記載のリスク管理支援装置。
4. 前記情報システムに、前記登録された項目内容の提示を要求する提示要求部と、
   前記情報システムから提示された項目内容の一部に前記架空コードが設定されていることを確認する設定確認部と、を更に備えることを特徴とする請求項３に記載のリスク管理支援装置。
5. ウェブサイトが提供するデータを監視する外部の探索システムと通信ネットワークを介して接続され、
   前記探索システムに前記架空コードの探索を要求する探索要求部と、
   前記探索システムから、前記架空コードの発見通知を受信する通知受信部と、
   前記架空コードの前記発見通知が受信されたときに、前記架空コードに対応する前記情報システムに、前記秘匿情報の流出を警告する警告部と、を更に備えることを特徴とする請求項１から４のいずれかに記載のリスク管理支援装置。

Images