JP2021190748A - 証拠保全システム及び証拠保全方法 - Google Patents

Abstract

【課題】個人情報を保護しつつ、重要事項説明の証拠として成立するデータを生成する。【解決手段】本発明の好ましい一側面は、ネットワークを介して通信を行う第１の端末と第２の端末との間のテレビ会議の記録データを処理する証拠保全システムである。このシステムは、本人確認部を利用可能な処理部を備える。前記処理部は、前記本人確認部に、前記第１の端末で取得される、第１のユーザ自身の画像データと該第１のユーザの画像付き証明書とを照合させる。前記処理部は、前記第１のユーザの画像の照合が成功した場合に、前記第１のユーザの第１の秘密鍵、第１の公開鍵、第１の自己署名証明書、および、前記第１のユーザ自身の画像データから前記第１の秘密鍵を復元するための第１の情報を生成する。【選択図】 図６Ａ

Description

本発明は、電子署名を生成・検証することによって成り立つ、証拠保全システムに関するものである。

保険商品等の金融商品取引時や、不動産の売買・賃貸契約時には、業務資格を保持する者が契約者本人に対して、重要事項の説明を実施することが義務づけられている。その際、誰が（資格を持っている人か）、誰に（契約者本人であるか）、重要事項の説明を行い、同意を得たかという証拠を残すことが必要となる。

この重要事項の説明をインターネットワーク等の通信ネットワークを介して非対面で実施する際には、本人であることを確認するために身分証明書や、資格証明書等の提示が求められている。また、証拠として、実施中の映像を保存することが推奨されている。

しかし、保存された動画等のデータには、本人の顔や声や、本人確認時の情報等が含まれ、悪用を防ぐために、個人情報として厳重に管理しなくてはならない。

そこで、個人情報を含んだデータ管理手法として、個人情報保護の対象となるデータを抽出・加工したうえで保存することが考えられる。例えば、特許文献１では、個人情報が含まれているデータと、個人情報保護の加工がされたデータとの組データを用いた電子署名を生成し、加工後データに署名することで、元データとの紐づけを保証して管理できるとする方法が開示されている。

ＷＯ２０１８/２０７４２４

ネットワークを介した重要事項説明において、証拠として実施中の動画の保存が求められるが、実施中の個人情報まで保存されることとなる。個人情報を含んだデータの管理手法としては、特許文献１に記載のように、個人情報保護のために対象データを加工して管理するものがあるが、加工後データだけでは、誰の個人情報を保護したのかを明らかにできず、証拠として用いることはできない。

そこで、本発明は、個人情報を保護しつつ、重要事項説明の証拠として成立するデータを生成することを目的とする。

本発明の好ましい一側面は、ネットワークを介して通信を行う第１の端末と第２の端末との間のテレビ会議の記録データを処理する証拠保全システムである。このシステムは、本人確認部を利用可能な処理部を備える。前記処理部は、前記本人確認部に、前記第１の端末で取得される、第１のユーザ自身の画像データと該第１のユーザの画像付き証明書とを照合させる。前記処理部は、前記第１のユーザの画像の照合が成功した場合に、前記第１のユーザの第１の秘密鍵、第１の公開鍵、第１の自己署名証明書、および、前記第１のユーザ自身の画像データから前記第１の秘密鍵を復元するための第１の情報を生成する。

本発明の好ましい一側面は、ネットワークを介して通信を行う第１の端末と第２の端末との間のテレビ会議の記録データを処理する証拠保全システムで実行される、証拠保全方法である。この方法では、前記証拠保全システムが本人確認部に、前記テレビ会議中に、前記第１の端末で取得される、第１のユーザ自身の画像データと該第１のユーザの画像付き証明書とを照合させる第１の工程、前記証拠保全システムの処理部が、前記第１のユーザの画像の照合が成功した場合に、前記第１のユーザの第１の秘密鍵と第１の公開鍵を生成する第２の工程、前記処理部が、前記第２の端末からの要求に応じて、第２のユーザの公開鍵証明書を発行する第３の工程、前記証拠保全システムが加工部に、前記テレビ会議の記録データから、前記第１のユーザを特定する情報を削除または隠蔽して第１の加工データを生成させる第４の工程、前記処理部が、前記第１の加工データに対して、前記第１の秘密鍵を用いて電子署名を実行する第５の工程、を実行する。

本発明によれば、個人情報を保護しつつ、重要事項説明の証拠として成立するデータを生成することができる。上記した以外の課題、構成及び効果は、以下の実施形態の説明により明らかにされる。

本発明の第１実施形態に係るハードウェアの全体システム構成を示す図である。 本発明の第１実施形態に係るユーザ端末の機能ブロック図である。 本発明の第１実施形態に係るユーザ端末のディスプレイでの表示例を示す図である。 本発明の第１実施形態に係る業者端末の機能ブロック図である。 本発明の第１実施形態に係る業者端末のディスプレイでの表示例を示す図である。 本発明の第１実施形態に係る社内サーバの機能ブロック図である。 本発明の第１実施形態に係る署名付与システムでのデータ加工例を示す図である。 本発明の第１実施形態に係る署名付与システムでのデータ加工例を示す図である。 本発明の第１実施形態に係る社内監査サーバの機能ブロック図である。 本発明の第１実施形態に係る社内監査サーバの記憶部のデータ構造図である。 本発明の第１実施形態に係る証拠保全システムのメイン処理を示すシーケンス図である。 本発明の第１実施形態に係る業者端末のディスプレイでの表示遷移例を示す図である。 本発明の第１実施形態に係る相互本人確認処理を示すシーケンス図である。 本発明の第１実施形態に係る相互本人確認処理での本人確認の検証処理を示すフローチャートである。 本発明の第１実施形態に係る相互公開鍵証明書の発行処理を示すシーケンス図である。 電子署名方法を示す図である。 本発明の第１実施形態に係る監査システムのメイン処理を示すシーケンス図である。

実施の形態について、図面を用いて詳細に説明する。ただし、本発明は以下に示す実施の形態の記載内容に限定して解釈されるものではない。本発明の思想ないし趣旨から逸脱しない範囲で、その具体的構成を変更し得ることは当業者であれば容易に理解される。

以下に説明する発明の構成において、同一部分又は同様な機能を有する部分には同一の符号を異なる図面間で共通して用い、重複する説明は省略することがある。

同一あるいは同様な機能を有する要素が複数ある場合には、同一の符号に異なる添字を付して説明する場合がある。ただし、複数の要素を区別する必要がない場合には、添字を省略して説明する場合がある。

本明細書等における「第１」、「第２」、「第３」などの表記は、構成要素を識別するために付するものであり、必ずしも、数、順序、もしくはその内容を限定するものではない。また、構成要素の識別のための番号は文脈毎に用いられ、一つの文脈で用いた番号が、他の文脈で必ずしも同一の構成を示すとは限らない。また、ある番号で識別された構成要素が、他の番号で識別された構成要素の機能を兼ねることを妨げるものではない。

図面等において示す各構成の位置、大きさ、形状、範囲などは、発明の理解を容易にするため、実際の位置、大きさ、形状、範囲などを表していない場合がある。このため、本発明は、必ずしも、図面等に開示された位置、大きさ、形状、範囲などに限定されない。

本明細書で引用した刊行物、特許および特許出願は、そのまま本明細書の説明の一部を構成する。

本明細書において単数形で表される構成要素は、特段文脈で明らかに示されない限り、複数形を含むものとする。

本実施例は、重要事項説明実施中に自身の秘密鍵を生成し、重要事項説明実施の相手方と、個人情報が隠されたデータとに署名することによって、個人情報を保護しつつ、重要事項説明の証拠として成立する証拠保全システムを提供する。そのため、署名を重要事項説明の実施中と、説明実施終了後の二回にわたって行い、これを順番に検証していくものである。

一回目の署名は、重要事項の説明の前に行われる本人確認終了後に、相手の公開鍵証明書を発行する際に行う。説明をする側は、説明をされる側の公開鍵証明書を、また説明される側は、説明する側の公開鍵証明書を、自身の秘密鍵を用いて発行・署名をする。署名するための鍵は、公知の技術である公開型生体認証基盤（Public Biometric Infrastructure、以下、ＰＢＩと呼ぶ）を用いて、重要事項説明の実施中に自身の生体情報（顔等）をもとに作成する。二回目の署名は、重要事項説明の実施終了後に、実施中の動画において自身の個人情報が隠された加工データに対して行う。

一方で、検証は、二回目の署名から行う。二回目に署名された電子署名を検証することで、誰が加工データに署名したか検証できる。次に、署名者の公開鍵証明書を検証する。その公開鍵証明書には、一回目の署名として付与された電子署名が存在するため、つまりは、一回目の電子署名の検証となる。一回目に署名された電子署名を検証することで、公開鍵証明書の人物と、それを発行した人物（一回目の署名の署名者）とを結び付けることができる。言い換えると、公開鍵証明書の人物は、一回目の署名者と重要事項説明を実施した関係であるということができる。

次に、前記の一回目の署名者が、加工データで隠されていない人物であるかの確認を加工データの目視で行い、前記検証結果と照合し、加工データにおいて隠されている人物が二回目の署名として加工データに署名をした人物であることを証明する。以上より、加工データは、加工データに署名した人の個人情報を保護するために加工されたことが明らかになり、重要事項説明を実施した証拠となりえる。

［ハードウェア全体システムの説明］
図１は、本発明の第１実施形態に係るハードウェアの全体システム構成を示す図である。本システムは、サービス契約前に行われる重要事項説明をネットワーク上のテレビ会議によって実施し、実施内容と、生成された動画に対して署名および検証を行うためのシステムである。ここで、重要事項説明は、契約締結前に契約者（以下、ユーザ）の意思を確認するために実施され、ユーザの本人確認と、業務資格保持者（以下、業者）の本人確認と、業者が行う重要事項の説明の三つの要素を含む。また、テレビ会議とは、狭義にはネットワークを介して、音声を含んだ映像を送受信することを指し、遠隔地の人との対話を実現するシステムであって、２人以上で利用できるものをいう。ただし、本明細書では、単にテレビ会議といった場合には、狭義のテレビ会議のために行う通信の開始から終了に至る一連の処理を指し、音声を含んだ映像の送受信の必要がない認証や署名のための通信を含むものとする。以下、テレビ会議での重要事項説明の実施手順と、録画された動画に署名をし、検証する手順を説明する。

図１に示すように、本システムは、ユーザが利用するユーザ端末１と、ユーザの本人確認に用いる身分証明書６と、業者が利用する業者端末２と、業者の本人確認に用いる資格証明書７と、業者が所属する会社の社内サーバ３と、社内監査サーバ４と、ネットワーク５とから構成される。ユーザ端末１は、ネットワーク５を介して業者端末２に接続される。また、業者端末２と、社内サーバ３と、社内監査サーバ４とがネットワーク５を介して通信可能に接続される。

また、図１には、重要事項説明を実施するうえで必要となる、ユーザの身元を確認するための身分証明書６および業者の業務資格を確認するための資格証明書７を記載している。ここで、身分証明書６とは、券面にユーザの氏名と、住所と、生年月日と、顔画像が記載されているカード（例えば、運転免許証）と定義する。また、資格証明書７は、カード型の券面に業者の氏名と、住所と、生年月日と、顔画像と、資格登録番号が記載されているカード型の紙面（例えば、宅地建物取引士証や賃貸不動産経営管理士証）と定義する。ユーザないしは業者は、図１に示されるシステムにおいて、各端末の外部インターフェースを用いて、テレビ会議中に自身の身分証明書６ないしは資格証明書７（以下、身分証明書と資格証明書を総称して本人確認証明書と呼ぶ。）を提示する。

また、図１では、重要事項説明を実施するうえで必要となる、契約書８と、重要事項説明書９を記載している。契約書８は、契約番号と契約内容が明記されているものを指す。重要事項説明書９は、法律および契約内容に従属して作成され、契約番号と紐づいた重要事項説明書番号が用意される。契約書８と重要事項説明書９は、紙媒体でもよいし電子的なファイルであってもよい。また、ユーザは、契約書８をテレビ会議実施前に、業者より受領していなくてもよい。

［ユーザ端末の機能ブロック図の説明］
図２Ａに示すユーザ端末１は、ユーザが利用する端末装置であって、ネットワーク５を介して業者端末２とテレビ会議を行うことができる。ユーザ端末１は、通信部１０と、表示部２０と、外部インターフェース部３０と、処理部４０とを備える。

通信部１０は、ネットワーク５を介して業者端末２と接続し、上述した機能部と協働し、各種機能を実行する。

通信部１０は、データ受信部１１と、データ送信部１２とを備える。データ受信部１１は、ネットワーク５を介して業者端末２より送信されたデータを受信する。具体的には、テレビ会議中の映像と、テレビ会議中に提示された身分証明書６および資格証明書７から社内サーバ３が処理することによって生成された身分証明書６および資格証明書７の画像と、券面に記載されている内容のテキストデータである。データ送信部１２は、テレビ会議中の映像と、ユーザの入力データと、署名付きデータとを業者端末２に送信する。

表示部２０は、通信部１０からのデータをユーザのディスプレイ３４を通じて表示する機能を有し、映像表示部２１と、受信データ表示部２２と、意思表明の表示部２３とを備える。映像表示部２１では、テレビ会議中の映像を表示する。

図２Ｂは、ユーザ端末１のディスプレイ３４での表示例を示す図である。映像表示部２１によってディスプレイ３４に表示される表示画面は、自分映像表示部分２００１と、相手映像表示部分２００２に相当する。受信データ表示部２２は、通信部１０が受信した身分証明書６ないしは資格証明書７の画像データと、券面記載のテキストデータとを表示する。受信データ表示部２２によって表示される表示画面は、受信データの表示部分２００３に相当する。また、編集指示要求を受け付けた場合には、テキストデータを編集可能にして、ディスプレイ３４に表示させる。ユーザの入力が生じた場合は、入力データを通信部１０より業者端末２へと送信する。意思表明の表示部２３は、ユーザ端末１のディスプレイ３４上に意思表明の表示部分２００４にあるような、意思を表明するための文章と、ＹＥＳボタンで構成される画面を表示する。ユーザによるボタン押下の入力データは通信部１０を通じて業者端末２に送信される。

図２Ａに戻り、外部インターフェース部３０は、カメラ３１と、マイク３２と、スピーカ３３と、ディスプレイ３４とを備える。

カメラ３１は、ユーザを撮影する機能を有する。また、マイク３２とスピーカ３３は、テレビ会議中の音声の入出力機能を担う。また、ディスプレイ３４は、データの画面表示を行う。

処理部４０は、重要事項説明を実行するための各機能を有し、ＰＢＩ実行部４２と、重要事項説明実行部４１とを備える。

ＰＢＩ実行部４２は、鍵生成部４３と、公開鍵証明書発行部４４と、署名付与部４５とを備える。鍵生成部４３は、図１０のフローに基づき、顔画像の撮影中にＰＢＩテンプレートと、秘密鍵と、公開鍵を生成する。公開鍵証明書発行部４４は、業者端末２からの依頼に基づき業者の公開鍵証明書を発行する。公開鍵証明書とは、公開鍵と、その所有者（ここでは業者）の同定情報の結びつきを証明する証明書である。通常公開鍵そのもののデータも含まれている。署名付与部４５は、図１０のフローに基づき、対象物に電子署名を実施する。ここで、対象物とは、業者の公開鍵およびその同定情報と、テレビ会議の録画データを加工することによって生成される、ユーザの個人情報を削除した加工データである。

重要事項説明実行部４１は、業者端末２が各種の処理を実行するために、重要事項説明実施プログラムを実行する。

［業者端末の機能ブロック図の説明］
図３Ａに示す、業者端末２５は、業者が利用する端末装置であって、ネットワーク５を介してユーザ端末１とテレビ会議を行うことができる。また、ネットワーク５を介して社内サーバ３および社内監査サーバ４と接続することができる。業者端末２は、通信部５０と、表示部６０と、外部インターフェース部７０と、処理部８０を備える。

通信部５０は、ネットワーク５を介してユーザ端末１と、社内サーバ３と、社内監査サーバ４と接続し、上述した機能部と協働し、各種機能を実行する。

通信部５０は、データ受信部５１と、データ送信部５２とを備える。データ受信部５１は、ネットワーク５を介してユーザ端末１および社内サーバ３より送信されたデータを受信する。具体的には、ユーザ端末１からは、テレビ会議中の映像と、ユーザ端末から送信された入力データおよび署名付きデータを受信する。また、社内サーバ３からは、社内サーバ３が処理した身分証明書６および資格証明書７の画像と、券面に記載されている内容のテキストデータと、トラブル発生時に行われた契約監査結果とを受信する。データ送信部５２は、テレビ会議中の映像と、ユーザの入力データと、署名付きデータと、トラブル発生時の契約監査のための契約番号とを社内サーバ３に送信する。

表示部６０は、通信部５０からのデータを業者のディスプレイ７４を通じて表示する機能を有し、映像表示部６１と、受信データ表示部６２と、重要事項説明マニュアル表示部６３とを備える。映像表示部６１では、テレビ会議中の映像を表示する。

図３Ｂは、業者端末２５のディスプレイ７４での表示例を示す図である。映像表示部６１によって表示される表示画面は、図３Ｂにおける相手映像表示部分３００１と、自分映像表示部分３００２に相当する。受信データ表示部６２は、通信部５０が受信した身分証明書６ないしは資格証明書７の画像データと、券面記載のテキストデータとを表示する。受信データ表示部６２によって表示される表示画面は、受信データの表示部分３００３に相当する。また、編集指示要求を受け付けた場合には、テキストデータを編集可能にして、ディスプレイに表示させる。業者の入力が生じた場合は、入力データを通信部５０より社内サーバ３へと送信する。重要事項説明マニュアル表示部６３は、重要事項説明実施プログラムの実行状況に応じた案内を業者端末２のディスプレイ７４上に表示する。表示画面は、重要事項説明マニュアル表示部分３００４にあるような、重要事項説明の操作手順を示す文章と、業者の意思を表明するための文章と、ＹＥＳボタンで構成される。業者によるボタン押下の入力データは通信部５０を通じて社内サーバ３に送信される。

外部インターフェース部７０は、カメラ７１と、マイク７２と、スピーカ７３と、ディスプレイ７４とを備える。

カメラ７１は、ユーザを撮影する機能を有する。また、マイク７２とスピーカ７３は、テレビ会議中の音声の入出力機能を担う。また、ディスプレイ７４は、データの画面表示を行う。

処理部８０は、重要事項説明を実行するための各機能を有し、ＰＢＩ実行部８２と、重要事項説明実行部８１とを備える。

ＰＢＩ実行部８２は、鍵生成部８３と、公開鍵証明書発行部８４と、署名付与部８５とを備える。鍵生成部８３は、図１０のフローに基づき、顔画像の撮影中にＰＢＩテンプレートと、秘密鍵と、公開鍵を生成する。公開鍵証明書発行部８４は、ユーザ端末１からの依頼に基づきユーザの公開鍵証明書を発行する。署名付与部８５は、図１０のフローに基づき、対象物に電子署名を実施する。ここで、対象物とは、ユーザの公開鍵およびその同定情報と、テレビ会議の録画データを加工することによって生成される、業者の個人情報を削除した加工データである。

重要事項説明実行部８１は、業者端末２が各種の処理を実行するために、重要事項説明実施プログラムを実行する。

［社内サーバの機能ブロック図の説明］
図４Ａに示す社内サーバ３は、ネットワーク５を介して業者端末２と接続し、ユーザ端末１と業者端末２とが実行するテレビ会議において、映像の録画や動画の加工処理と、本人確認を行う装置である。ここで、本人確認とは、提示されたユーザの身分証明書６ないしは、業者の資格証明書７に記載されている基本情報（氏名・住所・生年月日）および顔画像から、ユーザないしは、業者が本人確認証明書の示す人物かどうかを検証することである。社内サーバ３は、制御部９０と、本人確認部１００とを備える。なお、社内サーバ３の機能は、ユーザ端末１および業者端末２の少なくとも一つが有してもよい。

制御部９０は、通信部９１と、録画部９２と、加工部９３とを備える。通信部９１は、ネットワーク５を介し、業者端末２と接続する。録画部９２は、テレビ会議中の業者端末２のディスプレイ７４の表示画面の映像を録画する。加工部９３は、録画が終了した動画の特定の部分に加工を施す装置である。ここで、加工を施すとは、個人情報の保護のために、テレビ会議を行っている相手の顔と、声と、提示された本人確認証明書とを隠すような処理をすることを指す。

図４Ｂは、署名付与システムで、ユーザの映像表示部分４００１、ユーザのデータの表示部分４００２等のユーザの個人情報を隠すデータ加工後の動画像の、加工データＡの表示例を示す図である。グレーで示す領域が隠蔽（または削除）され、業者の映像表示部分４００３および重要事項説明マニュアル表示部分４００４が示されている。

図４Ｃは、署名付与システムで、業者の映像表示部分４００３、業者のデータの表示部分４００５等の業者の個人情報を隠すデータ加工後の動画像の、加工データＢの表示例を示す図である。グレーで示す領域が隠蔽（または削除）され、ユーザの映像表示部分４００１および重要事項説明マニュアル表示部分４００４が示されている。

本人確認部１００は、証明書検知部１０１と、ＯＣＲ（Optical Character Recognition）部１０３と、顔画像照合部１０２とを備える。証明書検知部１０１は、制御部９０（通信部９１）が受信した映像から提示された本人確認証明書を検知する。ＯＣＲ部１０３は、検知された本人確認証明書の画像から氏名・住所・生年月日・資格登録番号等を読み取り、テキストデータを作成する。顔画像照合部１０２は、受信した映像と、検知された本人確認証明書の顔画像とで顔認証を行い、二つを照合する。ＯＣＲ部１０３と顔画像照合部１０４が処理することで判断される本人確認の結果は、制御部９０（通信部９１）を通じて業者端末２に送信される。

［監査サーバの機能ブロック図の説明］
図５Ａに示す、社内監査サーバ４は、署名付きの動画および公開鍵証明書を保存し、契約締結後にトラブルが発生した場合には、契約監査の一環として、保存データを検証する役割を担う。社内監査サーバ４は、ネットワーク５を介して業者端末２と接続される。

社内監査サーバ４は、データ受信部１１０と、記憶部１１３と、署名検証部１１１と、監査結果送信部１１２とを備える。データ受信部１１０は、ネットワーク５を介して、業者端末２と接続し、署名付きデータと、契約番号と重要事項説明番号を受信する。ここで、署名付きデータとは、ユーザの署名がされた加工動画および業者の公開鍵証明書と、業者の署名がされた加工データおよびユーザの公開鍵証明書である。記憶部１１３は、受信した署名付きデータと契約番号とを紐づけて保存するための記憶領域である。署名検証部１１１は、受信した契約番号と紐づく署名付きデータを取得する。また、付与された電子署名が、誰によるものなのか検証する。監査結果送信部１１２は、電子署名および加工動画を検証して判断された結果を業者端末２へ送信する。なお、社内監査サーバ４の機能は、業者端末２が有してもよい。

図５Ｂは、記憶部１１３が記憶する一つの契約番号に対応するデータのデータ構造を示す図である。契約番号１１３１に対して、重要事項説明番号１１３２、ユーザの個人情報が隠蔽されたユーザの署名付き加工動画１１３３、業者の個人情報が隠蔽された業者の署名付き加工動画１１３４、業者の署名付きユーザの公開鍵証明書１１３５、ユーザの署名付き業者の公開鍵証明書１１３６、ユーザの署名付きユーザの公開鍵証明書（ユーザの自己署名証明書）１１３７、業者の署名付き業者の公開鍵証明書（業者の自己署名証明書）１１３８、ユーザが作成したユーザのＰＢＩテンプレート１１３９、業者が作成した業者のＰＢＩテンプレート１１４０が、対応付けられて格納されている。具体例としては、１つの重要事項説明を行った１つのテレビ会議に対して、図５Ｂに示すデータが対応付けられて記録される。図５Ｂに示すように、秘密鍵自体は社内監査サーバ４に格納されない。本人が自己の生体情報とＰＢＩテンプレートを使用することで、はじめて秘密鍵の使用が可能になるため、秘密鍵の漏洩のリスクが小さい。

図２Ａ、図３Ａ、図４Ａ、図５に機能ブロックを示した端末やサーバは、一般的なコンピュータで構成することができる。周知のように、コンピュータは、入力装置、出力装置、処理装置、記憶装置を備える。本実施例では、カメラ、マイク、スピーカ、ディスプレイ等のハードウェア以外の機能の計算や制御等は、記憶装置に格納されたプログラムが処理装置によって実行されることで、定められた処理を他のハードウェアと協働して実現される。計算機などが実行するプログラム、その機能、あるいはその機能を実現する手段を、「機能」、「手段」、「部」、「ユニット」、「モジュール」等と呼ぶ場合がある。各プログラムは、ネットワークからダウンロードするなど周知の方法で、事前に各端末やサーバの記憶装置に格納されているものとする。

以上の構成は、単体のコンピュータで構成してもよいし、あるいは、入力装置、出力装置、処理装置、記憶装置等の任意の部分が、ネットワークで接続された他のコンピュータで構成されてもよい。

本実施例中、ソフトウェアで構成した機能と同等の機能は、ＦＰＧＡ（Field Programmable Gate Array）、ＡＳＩＣ（Application Specific Integrated Circuit）などのハードウェアでも実現できる。

［メイン処理シーケンス図の説明］
図６Ａを参照して、本実施形態におけるテレビ会議を用いた証拠保全システムのメイン処理のシーケンスについて説明する。図６Ａは、本発明の第１実施形態に係るユーザ端末、業者端末、社内サーバ、社内監査サーバにおける、テレビ会議中の処理を示すシーケンス図である。
図６Ｂは、業者端末２のディスプレイ７４での表示遷移例を示す図である。

まず、テレビ会議を利用した重要事項説明を行うユーザおよび業者は、図６ＡのステップＳ１００（以下、ステップを省略する。例：Ｓ１００）において、ユーザ端末１および業者端末２のテレビ会議システムを起動し、テレビ会議を開始する。これにより、ユーザ端末１と業者端末２が接続され、音声含めた映像のやりとりが可能になる。その後、業者端末２の表示部６０（重要事項説明マニュアル表示部６３）は、重要事項説明を行うための操作に関する案内を重要事項説明実行部８１の重要事項説明実施プログラムの実行状況に応じて順次出力する。

まず、重要事項説明マニュアル表示部６３は、テレビ会議の録画の開始ボタン（ＹＥＳ）を出力する（図６Ｂ画面１参照）。業者が、表示されたボタンを押下することで、Ｓ１０１において、社内サーバ３で録画が開始される。

次に、重要事項説明マニュアル表示部６３は、テレビ会議でつながっているユーザと業者の本人確認を実施するために、相互本人確認の開始依頼のボタン（ＹＥＳ）を出力する（図６Ｂ画面２参照）。業者が、依頼の承諾ボタン（ＹＥＳ）を押下することで、Ｓ１０２における相互本人確認が開始される。

［相互本人確認シーケンス図の説明］
図７に、相互本人確認Ｓ１０２における業者端末２と社内サーバ３間の処理を示すシーケンスを示す。
図７のＳ２００において、業者端末２の通信部５０が、重要事項説明マニュアル表示部６３が受け付けたボタン入力従い、社内サーバ３へユーザの本人確認の開始の通知を送信する。

次に、Ｓ２０１において、通知を受けた社内サーバ３は、テレビ会議の映像からユーザの画像を取得する。ユーザの画像は、ユーザ端末１から業者端末２の通信部５０により受信されている。ユーザの画像を取得する際に、業者はユーザに本人確認証明書を提示するように求めたり、ディスプレイに指示を表示したりしてもよい。
Ｓ２０２において、本人確認部１００が、ユーザの本人確認を行う。

［本人確認フロー図の説明］
ここで、本人確認の検証Ｓ２０２（およびＳ２０７）について、図８に基づき説明する。
図８のＳ３００において、本人確認部１００（証明書検知部１０１）は、取得した画像から本人確認証明書を検知可能か否か判断する。検知可能である場合（Ｓ３０１：ＹＥＳ）には、本人確認部１００では、処理をＳ３０１に移す。他方、検知不可の場合（Ｓ３０１：ＮＯ）、本人確認部１００は、処理をＳ３０６Ａに移す。

次に、Ｓ３０１において、顔画像照合部１０２が、画像処理を行う。ここで、画像処理とは、取得したテレビ会議中の映像画像内の顔画像と、検知された本人確認証明書に記載されている顔画像とで顔認証を行い、二つを照合する処理である。

次に、Ｓ３０２において、照合結果が、一致した場合（Ｓ３０２：ＹＥＳ）は、本人確認部１００では、処理をＳ３０３に移す。他方、照合結果が一致しない場合（Ｓ３０２：ＮＯ）は、本人確認部１００は、処理をＳ３０６Ａに移す。

次に、Ｓ３０３において、ＯＣＲ部１０３が、文字認識処理を行い、本人確認証明書に記載されている文字列をテキスト化しテキストデータを作成する。テキストデータは、身分証明書６の場合は、個人を特定するための基本情報等であり、あるいは資格証明書７の場合は、資格登録番号等があり、どちらも各項目名等を含む。

次に、Ｓ３０４において、ＯＣＲ部１０３が作成したテキストデータ（ＯＣＲ結果）の編集指示があったかを判断する。テキストデータが編集された場合（Ｓ３０４:ＹＥＳ）は、本人確認部１００は、Ｓ３０５に移る。他方、編集されなかった場合（Ｓ３０４：ＮＯ）は、本人確認部１００は、Ｓ３０６に移る。ここで、編集する場合としては、文字認識の誤りや、記載事項に変更がある場合を指す。

次に、Ｓ３０５において、ＯＣＲ部１０３が、編集された内容に従って、テキストデータを修正する。その際、不正検知のために、ＯＣＲ部１０３が、編集前のデータと比較をし、修正量の違いによって修正するか判定してもよい。編集内容は、テレビ会議を通じてユーザと業者双方で確認が可能である。

次に、Ｓ３０６において、本人確認部１００が、本人確認の結果を成功とする。その後、本処理を終了し、処理を図７のＳ２０３に移す。

他方、Ｓ３０６Ａにおいて、本人確認部１００が、本人確認の結果を失敗とする。その後、本処理を終了し、処理を図７のＳ２０３に移す。

［相互本人確認シーケンス図の説明］
図７に戻り、Ｓ２０３において、制御部９０（通信部９１）は、ユーザの本人確認の結果を業者端末２に送信する。

次に、Ｓ２０４において、重要事項説明マニュアル表示部６３が、ユーザの本人確認の結果が成功の場合（Ｓ２０４：ＹＥＳ）、ユーザの本人確認が終了したことを業者端末２のディスプレイ７４に出力する。他方、結果が失敗の場合（Ｓ２０４：ＮＯ）、処理をＳ２１１に移す。

次に、Ｓ２０５において、重要事項説明マニュアル表示部６３が、社内サーバ３へ業者の本人確認の開始を表示し、データ送信部５２が、通知を社内サーバ３へと送信する。次に、Ｓ２０６において、通知を受けた社内サーバ３は、テレビ会議の映像から業者の画像を取得する。

Ｓ２０７において、本人確認部１００が、ユーザのときと同様に業者の本人確認を行う（図８参照）。業者の画像は、業者端末２の外部インターフェース部から取得される。

次に、Ｓ２０８において、通信部９１は、業者の本人確認の結果を業者端末２に送信する。

次に、Ｓ２０９において、重要事項説明マニュアル表示部６３が、業者の本人確認の結果が成功の場合（Ｓ２０９：ＹＥＳ）、業者の本人確認が終了したことを業者端末２のディスプレイ７４に出力する。他方、結果が失敗の場合（Ｓ２０９：ＮＯ）、処理をＳ２１１に移す。

次に、Ｓ２１０において、重要事項説明マニュアル表示部６３が、ユーザと業者の相互の本人確認が終了したことを業者端末２のディスプレイ７４に出力する。その後、業者端末２および社内サーバ３は、本処理を終了し、処理を図６Ａに移す。

［メイン処理シーケンス図の説明（つづき）］
図６Ａに戻り、重要事項説明マニュアル表示部６３が、相互公開鍵証明書の発行のための画面を出力する。業者が、画面上のボタンを押下することでＳ１０３における相互公開鍵証明書の発行が開始される。

［相互公開鍵証明書の発行シーケンス図の説明］
ここで、相互公開鍵証明書の発行Ｓ１０３について、図９を用いて説明する。図９は、ユーザ端末１と、業者端末２と、社内監査サーバ４における相互公開鍵証明書の発行を示すシーケンス図である。

図９のＳ４００において、重要事項説明マニュアル表示部６３が、秘密鍵生成依頼のボタン（ＹＥＳ）を出力する（図６Ｂ画面３参照）。業者が、依頼の承諾ボタン（ＹＥＳ）を押下することでＳ１０３における相互公開鍵証明書の発行が開始される。

業者端末２の通信部５０（データ送信部５２）が、鍵生成実行依頼をユーザ端末１に送信する。その後、Ｓ４０１およびＳ４０２において、ユーザ端末１のＰＢＩ実行部４２が、秘密鍵・公開鍵・自己署名証明書（公開鍵をそれに対応する秘密鍵で署名した公開鍵証明書）・ＰＢＩテンプレートを図１０の鍵生成のフローに基づいて生成する。その後、Ｓ４０３において、ユーザ端末１の通信部１０（データ送信部１２）が、鍵生成の完了の応答を業者端末２に送信する。

また、Ｓ４０４およびＳ４０５において、業者端末２のＰＢＩ実行部８２が、秘密鍵・公開鍵・自己署名証明書・ＰＢＩテンプレートを図１０の鍵生成のフローに基づいて生成する。

次に、Ｓ４０６において、業者端末２の通信部５０（データ送信部５２）が、ユーザ端末１に公開鍵を送信して、業者の公開鍵証明書の発行要求を行う。その際、公開鍵証明書の記載項目として、業者の氏名と、発行者としてのユーザの氏名と、契約番号や重要事項説明番号といった、実行中のテレビ会議と結びつけるための項目を記載するように指示をする。

次に、ユーザ端末１の表示部２０（意思表明の表示部２３）が、公開鍵証明書の発行の承諾ボタン（ＹＥＳ）を出力する（図６Ｂ画面４−２参照）。ユーザが、発行の承諾ボタン（ＹＥＳ）を押下することで、Ｓ４０７において、ユーザ端末１のＰＢＩ実行部４２（公開鍵証明書発行部４４）が業者の公開鍵証明書を発行する。

Ｓ４０７により、ユーザがテレビ会議を通じて会話をしている相手、つまりは、資格を確認した業者の公開鍵証明書をユーザ自身の秘密鍵を用いて発行することとなる。その後、Ｓ４０８において、発行した業者の公開鍵証明書を業者端末２に送信する。業者端末２は、送信された業者の公開鍵証明書と、自身が生成した自己署名証明書とＰＢＩテンプレートを、社内監査サーバ４へ送信する。社内監査サーバ４は、Ｓ４０９において、ユーザの署名付き業者の公開鍵証明書１１３６と、業者の署名付き業者の公開鍵証明書（自己署名証明書）１１３８と、業者のＰＢＩテンプレート１１４０を記憶部１１３に保存する。なお、ＰＢＩテンプレート１１４０は、業者端末２に保存してもよい。

図１０で説明するように、ユーザのＰＢＩテンプレート１１３９は、鍵生成部４３が、カメラ３１で取得されたユーザの画像から特徴を抽出して特徴データとし、特徴データを一方向変換して生成する。業者のＰＢＩテンプレート１１４０は、鍵生成部８３が、カメラ７１で取得された業者の画像から特徴を抽出して特徴データとし、特徴データを一方向変換して生成する。ＰＢＩテンプレートは、ユーザまたは業者の画像の特徴データから、秘密鍵を復元するのに用いる。

次に、Ｓ４１０において、ユーザ端末１の通信部１０（データ送信部１２）が、業者端末２に公開鍵を送信して、ユーザの公開鍵証明書の発行要求を行う。その際、公開鍵証明書の記載項目として、ユーザの氏名と、発行者としての業者の氏名と、契約番号や重要事項説明番号といった、実行中のテレビ会議と結びつけるための項目を記載するように指示をする。

次に、業者端末２の表示部６０（重要事項説明マニュアル表示部６３）は、公開鍵証明書の発行の承諾ボタン（ＹＥＳ）を出力する（図６Ｂ画面４参照）。業者が、発行の承諾ボタン（ＹＥＳ）を押下することで、次に、Ｓ４１１において、業者端末２のＰＢＩ実行部８２（公開鍵証明書発行部８４）が、ユーザの公開鍵証明を発行する。これにより、業者がテレビ会議を通じて会話をしている相手、つまりは、身元を確認したユーザの公開鍵証明書を業者自身の秘密鍵を用いて発行することになる。

このように、業者（ユーザ）が発行したユーザ（業者）の公開鍵証明書とは、ユーザ（業者）からの発行要求（この公開鍵に対して、ユーザ（業者）の氏名や契約番号の項目などの情報を記載した公開鍵証明書を発行してほしいという要求）を受けて、業者（ユーザ）が、要求事項を満たすようにして、自分の秘密鍵で署名して発行したものである。これは、一般的に認証局が公開鍵証明書を発行する仕組みと同様である。本実施例では、テレビ会議の当事者双方が、互いに認証局の役割を担っていることとなる。

その後、Ｓ４１２において、発行したユーザの公開鍵証明書をユーザ端末１に送信する。ユーザ端末１は、送信されたユーザの公開鍵証明書と、自身が生成した自己署名証明書と、ＰＢＩテンプレートを、業者端末２を仲介して社内監査サーバ４へ送信する。社内監査サーバ４は、Ｓ４１３において、業者の署名付きユーザの公開鍵証明書１１３５と、ユーザの署名付きユーザの公開鍵証明書（自己署名証明書）１１３７と、ユーザのＰＢＩテンプレート１１３９を記憶部１１３に保存する。なお、ＰＢＩテンプレート１１３９は、ユーザ端末１に保存してもよい。

その後、ユーザ端末と、業者端末と、社内監査サーバは、本処理を終了し、処理を図６Ａに移す。各公開鍵や各証明書等のデータは、安全な経路で送信されるものとする。

以上のように、本実施例では、テレビ会議中にユーザ及び業者の本人確認を行った後に、それぞれの秘密鍵、公開鍵、自己署名証明書、および、ＰＢＩテンプレートを生成するので、テレビ会議の出席者とこれらのデータを紐づけることができる。よってこれを用いて、個人情報を保護しつつ、重要事項説明の証拠を生成するための署名を行うことができる。

［メイン処理シーケンス図の説明（つづき）］
図６Ａに戻り、Ｓ１０４において、重要事項の説明を実施する。ここで、説明の仕方に関しては、例えば、業者が重要事項の読み上げを行い、ユーザの理解度を対話によって確認してもよい。また、ユーザのディスプレイ３４および業者のディスプレイ７４の受信データ表示部２２および６２に重要事項の項目を順次表示させ、ボタンの押下による理解度の確認を行ってもよい。

次に、重要事項説明マニュアル表示部６３は、業者端末２のディスプレイ７４に重要事項説明の完了ボタン（ＹＥＳ）を出力する（図６Ｂ画面５参照）。業者は、テレビ会議を通じて、ユーザに対して、契約にまつわる重要事項を説明し、Ｓ１０４における説明が終了した後で、完了ボタンを押下する。完了ボタン（ＹＥＳ）の押下によって、Ｓ１０５の重要事項説明の完了通知が取得される。

次に、重要事項説明マニュアル表示部６３が、契約番号および重要事項説明番号の入力欄を出力する（図６Ｂ画面６参照）。これに、業者が、今回の重要事項説明に該当する契約番号および重要事項説明番号を入力することで、Ｓ１０６において、契約番号および重要事項説明番号が取得され、データ送信部５２が社内監査サーバ４へと送信する。

Ｓ１０７において、社内監査サーバ４は、受信した契約番号１１３１および重要事項説明番号１１３２を記憶部１１３へ保存する。保存完了は業者端末に通知される。

次に、重要事項説明マニュアル表示部６３が、録画の終了を承諾するボタン（ＹＥＳ）を出力する（図６Ｂ画面７参照）。業者がボタンを押下することで、Ｓ１０８において、制御部９０（録画部９２）が録画を終了する。

続いて、Ｓ１０９において、重要事項説明マニュアル表示部６３が、録画動画の加工を依頼するボタン（ＹＥＳ）を出力する（図６Ｂ画面８参照）。業者がボタンを押下し、Ｓ１１９において、加工部９３が動画の加工を行う。ここで、加工作業には、ユーザの個人情報を保護するために、ユーザの映像（音声を含む）、ユーザの身分証明書６を隠す作業と、業者の個人情報を保護するために、業者の映像（音声を含む）、業者の資格証明書７を隠す作業の二種類がある。よって、ユーザの個人情報を保護するために加工した動画データを加工データＡと名付ける。他方、業者の個人情報を保護するために加工した動画データを加工データＢと名付ける。

次に、Ｓ１１０において、通信部９１が、加工データＡと、加工データＢとを業者端末２に送信する。

次に、業者端末２（通信部５０）が、加工データＡと加工データＢを受信した後、重要事項説明マニュアル表示部６３が、加工データＡと加工データＢに対する署名を依頼するボタン（ＹＥＳ）を出力する（図１４画面９参照）。業者が、依頼の承諾ボタン（ＹＥＳ）を押下することで、加工データＡと加工データＢに対する署名付与の処理が開始される。

まず、業者端末２の通信部５０（データ送信部５２）が、加工データＡを、ユーザ端末１のデータ受信部１１に送信する。

加工データＡを受信した後、ユーザ端末１の意思表明の表示部２３は、署名の承諾ボタン（ＹＥＳ）を出力する（図６Ｂ画面４−２参照）。ユーザが、署名の承諾ボタン（ＹＥＳ）を押下することで、ＰＢＩ実行部４２（署名付与部４５）は、Ｓ１１１において、加工データＡにユーザの秘密鍵を用いて電子署名を行う。その後、データ送信部が、業者端末２に署名付き加工データＡを送信する。

なお、ユーザの秘密鍵を用いて電子署名を行うためには、後に図１０で説明するように、外部インターフェース部３０のカメラ３１が取得したユーザの画像と、ユーザのＰＢＩテンプレート１１３９から秘密鍵を復元し署名を実行する。

続いて、業者端末２のデータ送信部５２が、受信した署名付き加工データＡを社内監査サーバ４へ送信する。Ｓ１１２において、記憶部１１３は受信したユーザの署名付き加工動画（加工データＡ）１１３３を保存する。その際、図６ＡのＳ１０７において保存された契約番号１１３１および重要事項説明番号１１３２と紐づける。

次に、業者端末２のＰＢＩ実行部８２は、社内サーバ３に加工データＢを要求し、加工データＢを取得する（Ｓ１１３）。その後、Ｓ１１４において、加工データＢに業者の秘密鍵で電子署名する操作が行われる。

なお、業者の秘密鍵を用いて電子署名を行うためには、後に図１０で説明するように、外部インターフェース部７０のカメラ７１が取得した業者の画像と、業者のＰＢＩテンプレート１１４０から秘密鍵を復元し署名を実行する。

データ送信部５２により、署名付き加工データＢは、社内監査サーバ４へと送信される。Ｓ１１５において、記憶部１１３は、受信した業者の署名付き加工動画（加工データＢ）１１３４を保存する。その際、図６ＡのＳ１０７において保存された契約番号１１３１および重要事項説明番号１１３２と紐づける。

次に、Ｓ１１２およびＳ１１４において署名付き加工データが正常に保存された場合、Ｓ１１６において、データが正常に保存されたことが業者端末２に通知され、テレビ会議が終了となる。加工前のオリジナルの録画データは廃棄される。その後、ユーザ端末１および業者端末２は、本処理を終了し通信を終了する。

［ＰＢＩ処理フロー図の説明］
図１０を参照して、電子署名方法について説明する。図１０は、ＰＢＩの鍵生成および署名検証の処理フローを示す。

まず、鍵生成は、図１０に示されている通り、ユーザ（または業者）から取得した生体情報（顔画像等）から、特徴量が一般的に知られている方法で抽出される。次に、既存の鍵生成アルゴリズム（ＲＳＡ等）を用いて、公知の公開鍵認証基盤（ＰＫＩ）に基づく秘密鍵と秘密鍵に対応する公開鍵とが生成される。この秘密鍵及び生体情報から抽出した特徴量を、一方向変換させることでＰＢＩテンプレートが生成され、このＰＢＩテンプレートは認証局である認証サーバ（本実施例の場合、社内監査サーバ４）に保管される。それと同時に、生成された秘密鍵及び公開鍵に基づいて、この公開鍵の有効化を要求する公開鍵証明書発行要求が生成され、公開鍵証明書が認証サーバに保存される。

図１０の例では、証明書は認証局（認証サーバ）が発行しているが、本実施例では、公開鍵証明書として、自己の署名による公開鍵証明書（自己署名証明書）と、テレビ会議の相手が発行する公開鍵証明書を使用している。

電子署名時には、ユーザの生体情報と認証サーバに保管されているＰＢＩテンプレートを合わせることで復元した秘密鍵によって電子署名を生成し、署名対象データに対して署名を実行する。

次に、電子署名の検証は、署名付きデータをもとに、有効性が確認された公開鍵証明書に記載されている公開鍵を用いて署名対象データとの一致性を確認することで実行する。［監査シーケンス図の説明］で述べるように、本実施例では、テレビ会議の相手の署名付き公開鍵証明書のデータをもとに、有効性が確認された公開鍵証明書に記載されている公開鍵を用いて、署名対象データとの一致性を確認する。

ここで、ＰＢＩテンプレートを用いて、生体署名技術と公開鍵認証基盤を併せた仕組みは公開型生体認証基盤（ＰＢＩ：Public Biometric Infrastructure）と呼ばれ公知である（例えば特開２０１３−１２２６８０号参照）。

ＰＢＩでは、ユーザの生体情報及び秘密鍵を一方向変換させた状態（元に戻らない形）で格納し、登録局（サーバ等）に保管することで、ユーザは国民ＩＤ基盤、「手ぶら」の決済サービス、パスワードレスのクラウド認証、フィジカルセキュリティ等における生体認証を個々のサービスへの登録なしで使うことができる。ＰＢＩテンプレートは「秘密鍵復元用情報」または「公開テンプレート」と呼ぶこともある。

［監査シーケンス図の説明］
図１１を参照して、本実施形態において、業者端末２、社内監査サーバ４における、付与された電子署名を検証する処理を示すシーケンスについて説明する。ここでは、図６Ａの手順によって重要事項説明を含むテレビ会議が実施され、契約締結に至ったが、何らかのトラブルが発生し、重要事項説明の実施内容に対して、監査が必要となった場合を想定する。また、監査対象としては、署名付き加工データＡ（ユーザの個人情報を保護するために加工した動画データ）と設定し、シーケンス図を通じた説明を行うが、加工データＢであってもよい。なお、社内監査サーバ４における処理は、業者端末２が実行してもよい。

まず、Ｓ５００において、業者端末２のデータ送信部５２が、トラブルが発生した契約の契約番号を社内監査サーバ４に送信する。

次に、社内監査サーバ４はＳ５０１において、受信した契約番号を記憶部１１３の中で照会する。その後、Ｓ５０２において、契約番号１１３１と紐づいて保存されていた重要事項説明番号１１３２と署名付きデータを取得する。ここで、署名付きデータとは、ユーザの署名付き加工動画（加工データＡ）１１３３と、業者の署名付きユーザの公開鍵証明書１１３５と、業者の署名付き業者の公開鍵証明書（自己署名証明書）１１３８が相当する（図５Ｂ参照）。これらのデータを署名検証部１１１で検証する。

次に、Ｓ５０３において、署名検証部１１１が、業者の署名付きユーザの公開鍵証明書１１３５からユーザの公開鍵を取り出し、これを用いてユーザの署名付き加工動画（加工データＡ）１１３３の電子署名を検証する。これにより、加工データＡが署名されてから、送信や保存、取得されるまでの間に改ざんされていないことが保証される。また、業者の署名付きユーザの公開鍵証明書１１３５に記載されている項目から、加工データＡに署名をした人物を特定することができる（ユーザを隠蔽した加工データＡを取り扱う場合は、署名をした人物はユーザとなる）。

続いて、Ｓ５０３において検証した署名の署名者（加工データＡを取り扱う場合はユーザ）の公開鍵証明書を検証対象とする。Ｓ５０４において、署名検証部１１１は、対象となった公開鍵証明書（加工データＡを取り扱う場合は、業者の署名付きユーザの公開鍵証明書１１３５となる）を検証する。公開鍵証明書に記載されている項目から、誰が公開鍵証明書を発行したか確認することができる（加工データＡを取り扱う場合は、発行者は業者となる）。

さらに、公開鍵証明書を発行した人物の自己署名証明書から公開鍵を取得する（加工データＡを取り扱う場合は、業者の署名付き業者の公開鍵証明書（自己署名証明書）１１３８から業者の公開鍵を取得する）。続いて、取得した公開鍵を用いて、対象となる公開鍵証明書を検証する（加工データＡを取り扱う場合は、業者の署名付きユーザの公開鍵証明書１１３５の検証となる）。検証結果が可である場合は、対象となる公開鍵証明書が、正常に発行されており、記載されている公開鍵の信頼性を保証できる。

ここで、対象となる公開鍵証明書の発行は、図６ＡのＳ１０９ないしは、Ｓ１１２で行われており、発行時に契約番号や重要事項説明番号といった、実行中のテレビ会議と結びつけるための項目を記載しているため、対象となる公開鍵証明書の対象者は、公開鍵証明書を発行した発行者とテレビ会議中につながっている人物であるということを証明することができる（加工データＡを取り扱う場合は、公開鍵証明書に記載されている人物はユーザであり、公開鍵証明書を発行した発行者は業者である）。

その後、加工データＡの動画の目視確認を行えば、検証した公開鍵証明書を発行した人物は、加工データＡの中で、隠されていないほうの人物（加工データＡを取り扱う場合は、業者）であることが確認できる。

以上より、加工データＡに署名を行った人物は、加工データＡの中で隠されていないほうの人物（加工データＡを取り扱う場合は、業者）とテレビ会議中につながっている人物（加工データＡを取り扱う場合は、ユーザ）であるということである。言い換えると、加工データＡに署名を行った人物は、加工データＡ内で隠されている人物であると証明することができる。

本実施例では、検証するときには、自分が発行したもの及び連鎖するものしか信用していないことになる。よって、加工データＡを検証する際に用いるものは、業者が発行したユーザの証明書と、業者の自己署名証明書（トラストアンカ）となる。

このようにして、個人情報が隠されたデータにおいても、誰の個人情報が隠されているのかを保証することができるため、サービス契約前に重要事項の説明を実施したもしくはされたことの証拠となる。

次に、社内監査サーバ４の監査結果送信部１１２が、検証結果を、Ｓ５０５において、業者端末２に送信する。

次に、Ｓ５０６において、業者端末２が監査結果を受信し、契約番号に付随する重要事項説明の監査が終了となる。その後、業者端末２と社内監査サーバ４は、本処理を終了する。

［まとめ］
上記のとおり、本発明に係る第１実施形態において、利用者の端末（例えば、ユーザ端末）で、重要事項の説明を実施するためのテレビ会議中にリアルタイムに鍵を作成し、テレビ会議の相手方への署名と、自分の個人情報が加工されている動画への署名との二種類の署名をすることによって、自身の個人情報が隠されつつ、重要事項の説明が実施されたことの証拠となるデータを作ることができる。

また、付与された電子署名の検証を行っていくことで、個人情報が隠されたデータにおいて、元データを確認することなしに、誰の個人情報が隠されているのか確認することができる。

また、従来のＰＢＩでは、公開鍵証明書を発行するにあたっては、第三者機関による事前の本人確認が必要となるが、本発明に係る第１実施形態において、重要事項説明前に行う本人確認の結果を用いて行うことができるため、利用者の事前登録なしにＰＢＩによる署名を実施することができる。

また、個人情報が含まれているデータに対して、個人情報を隠す加工を行うがデータの証拠性が失われない処理を実行するため、証拠性のある個人情報がふくまれていないデータとして管理することができる。

なお、上記各実施形態は、以下の態様に変更してもよい。上記各実施形態では、ＰＢＩを活用することで、テレビ会議中に公開鍵証明書を即時発行することを想定したが、ＰＢＩに限定されるものではない。ユーザあるいは業者が、任意の認証局から発行済みの公開鍵証明書を保持している場合には、それらの対となる秘密鍵で加工データに電子署名を行う。

１ ユーザ端末
２ 業者端末
４ 社内監査サーバ
６ 身分証明書
７ 資格証明書
６３ 重要事項説明マニュアル表示部
８１ 重要事項説明実行部
８２ ＰＢＩ実行部
１００ 本人確認部
１１１ 署名検証部

Claims (15)

1. ネットワークを介して通信を行う第１の端末と第２の端末との間のテレビ会議の記録データを処理する証拠保全システムであって、
   本人確認部を利用可能な処理部を備え、
   前記処理部は、前記本人確認部に、
   前記第１の端末で取得される、第１のユーザ自身の画像データと該第１のユーザの画像付き証明書とを照合させ、
   前記処理部は、
   前記第１のユーザの画像の照合が成功した場合に、
   前記第１のユーザの第１の秘密鍵、第１の公開鍵、第１の自己署名証明書、および、前記第１のユーザ自身の画像データから前記第１の秘密鍵を復元するための第１の情報を生成する、
   証拠保全システム。
2. 前記処理部は、前記本人確認部に、
   前記第２の端末で取得される、第２のユーザ自身の画像データと該第２のユーザの画像付き証明書とを照合させ、
   前記処理部は、
   前記第２のユーザの画像の照合が成功した場合に、
   前記第２の端末に、前記第２のユーザの第２の秘密鍵、第２の公開鍵、第２の自己署名証明書、および、前記第２のユーザ自身の画像データから前記第２の秘密鍵を復元するための第２の情報の生成を要求する、
   請求項１記載の証拠保全システム。
3. 前記処理部は、さらに録画部を利用可能であり、
   前記録画部は、前記テレビ会議中に、
   前記テレビ会議の画像を前記記録データとして録画し、
   前記処理部は、前記テレビ会議中に、
   前記第１の秘密鍵で署名した前記第２の公開鍵の公開鍵証明書の発行を実行する、
   請求項２記載の証拠保全システム。
4. 前記処理部は、前記テレビ会議中に、
   前記第２の端末に、前記第２の秘密鍵で署名した前記第１の公開鍵の公開鍵証明書の発行を要求する、
   請求項３記載の証拠保全システム。
5. 前記処理部は、前記テレビ会議中に、
   前記第２の端末から発行の要求を受けた、前記第１の秘密鍵で署名した前記第２の公開鍵の公開鍵証明書を、前記第１の情報で復元した前記第１の秘密鍵で発行する、
   請求項４記載の証拠保全システム。
6. 前記処理部は、さらに加工部を利用可能であり、
   前記加工部は、
   前記記録データから、前記第１のユーザを特定する情報を削除または隠蔽する加工を行う第１のデータ加工、および、前記記録データから、前記第２のユーザを特定する情報を削除または隠蔽する加工を行う第２のデータ加工、の少なくとも一つを行い、
   前記処理部は、
   前記第１のユーザを特定する情報を削除または隠蔽した第１の加工データに対して、前記第１の情報から復元した前記第１の秘密鍵で電子署名を行い、
   前記第２の端末に、前記第２のユーザを特定する情報を削除または隠蔽した第２の加工データに対して、前記第２の情報から復元した前記第２の秘密鍵で電子署名を行うことを要求する、
   請求項５記載の証拠保全システム。
7. 前記処理部は、さらに署名検証部を利用可能であり、
   前記署名検証部は、
   前記第１の加工データを検証する第1の検証処理、および、前記第２の加工データを検証する第２の検証処理、の少なくとも一つを行い、
   前記第1の検証処理では、
   前記第１の加工データ、前記第１の加工データに対応付けられている公開鍵証明書および自己署名証明書を読み込み、
   前記第１の加工データの署名を、前記第１の加工データに対応付けられている公開鍵証明書から得た公開鍵で検証し、
   前記第１の加工データに対応付けられている公開鍵証明書の署名を、前記第１の加工データに対応付けられている自己署名証明書から得た公開鍵で検証し、
   前記第２の検証処理では、
   前記第２の加工データ、前記第２の加工データに対応付けられている公開鍵証明書および自己署名証明書を読み込み、
   前記第２の加工データの署名を、前記第２の加工データに対応付けられている公開鍵証明書から得た公開鍵で検証し、
   前記第２の加工データに対応付けられている公開鍵証明書の署名を、前記第２の加工データに対応付けられている自己署名証明書から得た公開鍵で検証する、
   請求項６記載の証拠保全システム。
8. ネットワークを介して通信を行う第１の端末と第２の端末との間のテレビ会議の記録データを処理する証拠保全システムで実行される、証拠保全方法であって、
   前記証拠保全システムが本人確認部に、前記テレビ会議中に、前記第１の端末で取得される、第１のユーザ自身の画像データと該第１のユーザの画像付き証明書とを照合させる第１の工程、
   前記証拠保全システムの処理部が、前記第１のユーザの画像の照合が成功した場合に、前記第１のユーザの第１の秘密鍵と第１の公開鍵を生成する第２の工程、
   前記処理部が、前記第２の端末からの要求に応じて、第２のユーザの公開鍵証明書を発行する第３の工程、
   前記証拠保全システムが加工部に、前記テレビ会議の記録データから、前記第１のユーザを特定する情報を削除または隠蔽して第１の加工データを生成させる第４の工程、
   前記処理部が、前記第１の加工データに対して、前記第１の秘密鍵を用いて電子署名を実行する第５の工程、
   を実行する証拠保全方法。
9. 前記本人確認部に、前記第２の端末で取得される、第２のユーザ自身の画像データと該第２のユーザの画像付き証明書とを照合させる第６の工程、
   前記処理部が、前記第２のユーザの画像の照合が成功した場合に、前記第２の端末に、前記第２のユーザの第２の秘密鍵、第２の公開鍵、第２の自己署名証明書、および、前記第２のユーザ自身の画像データから前記第２の秘密鍵を復元するための第２の情報の生成を要求する第７の工程、
   を実行する請求項８記載の証拠保全方法。
10. 前記第２の工程は、さらに第１の自己署名証明書、および、前記第１のユーザ自身の画像データから前記第１の秘密鍵を復元するための第１の情報を生成する、
    を実行する請求項９記載の証拠保全方法。
11. 前記処理部が、前記テレビ会議中に、前記第２の端末に対して、前記第２の秘密鍵を用いて前記第１のユーザの公開鍵証明書を発行するように要求する第８の工程、
    を実行する請求項１０記載の証拠保全方法。
12. 前記第３の工程では、前記処理部が、前記テレビ会議中に、前記第２の端末からの要求に応じて、前記第１の秘密鍵を用いて第２のユーザの公開鍵証明書を発行する、
    請求項１１記載の証拠保全方法。
13. 前記加工部に、前記テレビ会議の記録データから、前記第２のユーザを特定する情報を削除または隠蔽して第２の加工データを生成させる第９の工程、
    前記処理部が、前記第２の加工データに対して、前記第２の秘密鍵を用いて電子署名を実行する第１０の工程、
    を実行する請求項１２記載の証拠保全方法。
14. 前記証拠保全システムが署名検証部に、
    前記第１の加工データを検証する第1の検証処理、および、前記第２の加工データを検証する第２の検証処理、の少なくとも一つを行わせ、
    前記第1の検証処理では、
    前記第１の加工データ、前記第１の加工データに対応付けられている公開鍵証明書および自己署名証明書を読み込み、
    前記第１の加工データの署名を、前記第１の加工データに対応付けられている前記公開鍵証明書から得た公開鍵で検証し、
    前記第１の加工データに対応付けられている公開鍵証明書の署名を、前記第１の加工データに対応付けられている自己署名証明書から得た公開鍵で検証し、
    前記第２の検証処理では、
    前記第２の加工データ、前記第２の加工データに対応付けられている公開鍵証明書および自己署名証明書を読み込み、
    前記第２の加工データの署名を、前記第２の加工データに対応付けられている前記公開鍵証明書から得た公開鍵で検証し、
    前記第２の加工データに対応付けられている公開鍵証明書の署名を、前記第２の加工データに対応付けられている自己署名証明書から得た公開鍵で検証する、
    請求項１３記載の証拠保全方法。
15. 前記処理部の少なくとも一部は、前記第１の端末に実装され、前記第１の端末において、前記第２の工程および前記第７の工程の少なくとも一部を実行し、
    前記本人確認部、前記加工部、および前記署名検証部の少なくとも一つは、前記第１の端末から利用可能な外部サーバに実装されている、
    請求項１４記載の証拠保全方法。

Images