JP2022073280A - ユーザ情報管理システム、ユーザ情報管理方法及びコンピュータプログラム - Google Patents

Abstract

【課題】特定のユーザに紐づけられる情報を、改竄不可能、かつ、事実上抹消することを可能に管理する。【解決手段】ユーザ情報をユーザＩＤに関連付けて取得するユーザ情報取得部１０５と、前記ユーザＩＤに対する暗号学的対応値であるユーザＩＤ対応値を生成するユーザＩＤ対応値生成部１０９と、前記ユーザＩＤと前記ユーザ情報とを対応付けて保存する第１のデータベース１０１と、前記ユーザＩＤ対応値と、前記ユーザ情報に対応する情報であるユーザ情報対応情報とを対応付けて分散型台帳に保存する第２のデータベース１０２と、前記ユーザＩＤ及び前記ユーザ情報と、前記ユーザＩＤ対応値及び前記ユーザ情報対応情報との整合性を検証する整合性検証部１０６と、第１のデータベース１０１から、特定のユーザに係る前記ユーザＩＤ及び対応する前記ユーザ情報を消去する消去部１０７と、を有するユーザ情報管理システム１００。【選択図】図３

Description

本発明は、ユーザ情報管理システム、ユーザ情報管理方法及びコンピュータプログラムに関する。

一般にブロックチェーンとして知られる分散型台帳の技術は、パブリックチェーンにおける５１％攻撃等、ある特殊な事情下を除いては原理的にその管理される情報の改竄が不可能なセキュアな台帳を実現するシステムとして知られている。そのため、分散型台帳の技術は、その開発当初実装された仮想通貨だけでなく、車両の運行記録や公共料金等の記録などの社会インフラストラクチャーや、各種の契約や購買の記録、コンピュータシステムへのアクセスログなど、逐次蓄積されるあらゆる情報をセキュアに記録する手段として、その応用開発が急速に進展している。

特許文献１には、ブロックチェーンの技術を用いて、データを不変に保存するとともに、データ提供者によって提供されたデータが改竄されているかどうかをチェックするデータ認証機能を有するデータの保存及び認証方法が記載されている。

特表２０１９－５３２５５０号公報

例えばコンピュータシステムへの不正なアクセスログの記録や、事故時の証明等、様々な用途のために、ある特定のユーザについて、そのユーザの行動記録等の当該ユーザに紐づけられる情報を改竄不能に記録するため、上述の分散型台帳技術を用いることは有益である。

ところが、分散型台帳はその改竄不能という性質のため、一旦記録された情報を抹消することが原理的にできない。すなわち、ある期間、ユーザが分散型台帳を利用した記録システムを利用した場合、当該記録システムに記録された当該ユーザに紐づけられる情報は参照可能な形で残り続ける。

このことは、分散型台帳技術を用いた記録システムを運用するにあたり、深刻な契約上の、あるいは法上の問題を生じる。すなわち、特定の期間のみ情報の記録及び閲覧利用を認める旨の契約をしても、情報が削除できずに分散台帳上に残るため、当該契約を履行できない。また、いわゆる「忘れられる権利」の行使により、あるユーザに紐づけられる情報を削除するよう裁判所に命じられたとしても、これに応じることは技術的に不可能である。

本発明は、上述した事情に鑑みてなされたものであり、その解決しようとする課題は、特定のユーザに紐づけられる情報を、改竄不可能、かつ、事実上抹消することを可能に管理することである。

上記課題を解決すべく本出願において開示される発明は種々の側面を有しており、それら側面の代表的なものの概要は以下のとおりである。

（１）特定のユーザに紐づけられる情報（以下「ユーザ情報」という。）を、当該ユーザを識別する情報（以下「ユーザＩＤ」という。）に関連付けて閲覧可能に保存するユーザ情報管理システムであって、ユーザ情報をユーザＩＤに関連付けて取得するユーザ情報取得部と、前記ユーザＩＤに対する暗号学的対応値であるユーザＩＤ対応値を生成するユーザＩＤ対応値生成部と、前記ユーザＩＤと前記ユーザ情報とを対応付けて保存する第１のデータベースと、前記ユーザＩＤ対応値と、前記ユーザ情報及び前記ユーザ情報に対応する情報であるユーザ情報対応情報のいずれかとを対応付けて分散型台帳に保存する第２のデータベースと、前記第１のデータベースに保存された前記ユーザＩＤ及び前記ユーザ情報と、前記第２のデータベースに保存された前記ユーザＩＤ対応値並びに前記ユーザ情報及び前記ユーザ情報対応情報のいずれかとの整合性を検証する整合性検証部と、前記第１のデータベースから、特定のユーザに係る前記ユーザＩＤ及び対応する前記ユーザ情報を消去する消去部と、を有するユーザ情報管理システム。

（２）（１）において、前記ユーザ情報対応情報は、暗号化された前記ユーザ情報の少なくとも一部分を含む、ユーザ情報管理システム。

（３）（２）において、前記ユーザ情報対応情報は、前記暗号化された前記ユーザ情報の一部分及び、暗号化されていない前記ユーザ情報の残りの部分を含む、ユーザ情報管理システム。

（４）（２）又は（３）において、前記ユーザＩＤと暗号化キーを対応付けて保存する第３のデータベースを有し、前記消去手段は、さらに、前記第３のデータベースから、特定のユーザに係る前記ユーザＩＤ及び対応する前記暗号化キーを消去する、ユーザ情報管理システム。

（５）（４）において、前記暗号化キーと対応する復号化キーは異なり、前記ユーザＩＤと前記復号化キーを対応付けて保存する前記第３のデータベースと異なる第４のデータベースを有し、前記消去手段は、さらに、前記第４のデータベースから、特定のユーザに係る前記ユーザＩＤ及び対応する前記複合化キーを消去する、ユーザ情報管理システム。

（６）（１）～（５）のいずれかにおいて、前記ユーザ情報対応情報は、前記ユーザ情報の少なくとも一部分に対する暗号学的対応値であるユーザ情報対応情報を含む、ユーザ情報管理システム。

（７）（６）において、前記ユーザ情報対応情報は、前記ユーザ情報の少なくとも一部分についての前記ユーザ情報対応情報及び、前記ユーザ情報の残りの部分を含む、ユーザ情報管理システム。

（８）（１）～（７）のいずれかにおいて、前記暗号学的対応値は、暗号学的ハッシュ関数を用いて生成される、ユーザ情報管理システム。

（９）特定のユーザに紐づけられる情報を、当該ユーザを識別する情報に関連付けて閲覧可能に保存するユーザ情報管理方法であって、ユーザ情報をユーザＩＤに関連付けて取得し、前記ユーザＩＤに対する暗号学的対応値であるユーザＩＤ対応値を生成し、前記ユーザＩＤと前記ユーザ情報とを対応付けて第１のデータベースに保存し、前記ユーザＩＤ対応値と、前記ユーザ情報及び前記ユーザ情報に対応する情報であるユーザ情報対応情報のいずれかとを対応付けて第２のデータベースの分散型台帳に保存し、前記第１のデータベースに保存された前記ユーザＩＤ及び前記ユーザ情報と、前記第２のデータベースに保存された前記ユーザＩＤ対応値並びに前記ユーザ情報及び前記ユーザ情報対応情報のいずれかとの整合性を検証し、前記第１のデータベースから、特定のユーザに係る前記ユーザＩＤ及び対応する前記ユーザ情報を消去する、ユーザ情報管理方法。

（１０）コンピュータを、特定のユーザに紐づけられる情報を、当該ユーザを識別する情報に関連付けて閲覧可能に保存するユーザ情報管理システムとして機能させるコンピュータプログラムであって、コンピュータを、ユーザ情報をユーザＩＤに関連付けて取得するユーザ情報取得手段、前記ユーザＩＤに対する暗号学的対応値であるユーザＩＤ対応値を生成するユーザＩＤ対応値生成手段、前記ユーザＩＤと前記ユーザ情報とを対応付けて保存する第１のデータベース、前記ユーザＩＤ対応値と、前記ユーザ情報及び前記ユーザ情報に対応する情報であるユーザ情報対応情報のいずれかとを対応付けて分散型台帳に保存する第２のデータベース、前記第１のデータベースに保存された前記ユーザＩＤ及び前記ユーザ情報と、前記第２のデータベースに保存された前記ユーザＩＤ対応値並びに前記ユーザ情報及び前記ユーザ情報対応情報のいずれかとの整合性を検証する整合性検証手段、及び、前記第１のデータベースから、特定のユーザに係る前記ユーザＩＤ及び対応する前記ユーザ情報を消去する消去手段、として機能させるための命令列を有するコンピュータプログラム。

ユーザ情報管理システムの概念図である。 サーバ及びクライアント端末の物理構成を示す一般的なコンピュータの構成図である。 本発明の第１の実施形態に係るユーザ情報管理システムの機能的構成を示す機能ブロック図である。 ユーザ情報管理システムによるユーザ情報蓄積の情報処理フローを示すフロー図である。 ユーザ情報管理システムによる整合性の検証の情報処理フローを示すフロー図である。 ユーザ情報管理システムによる消去の情報処理フローを示すフロー図である。 ユーザ情報管理システムによる復号の情報処理フローを示すフロー図である。 本発明の第２の実施形態に係るユーザ情報管理システムの機能的構成を示す機能ブロック図である。 本実施形態の第３の実施形態に係るユーザ情報管理システムの機能的構成を示す機能ブロック図である。

以下、本発明の第１の実施形態に係るユーザ情報管理システム１００を、図面を参照して説明する。

図１は、ユーザ情報管理システム１００の概念図である。ユーザ情報管理システム１００は、コンピュータおよびそのネットワークを利用した情報処理システムであり、本実施形態では、情報通信ネットワークＮを介したサーバ＝クライアントシステムとして実現されている。ここで、同図に示されたコンピュータ機器は、その役割を示すものとして図示されているのであり、その物理的な機器の外見や台数、構成及びネットワーク接続を限定するものではない。すなわち、同図には、ユーザ端末２、サービスサーバ３、管理サーバ４及びオペレータ端末５が示されているが、物理的には、これらの機器が図示した形でそれぞれ独立している必要は必ずしもなく、またその数も限定されない。

ユーザ端末２は通常、サービスを利用する多くのユーザがそれぞれ用いる多数のコンピュータ端末であり、複数である。また、図１ではユーザ端末２をラップトップＰＣとして図示しているが、これは一例であり、その他スマートフォンやタブレットＰＣなどの携帯型情報端末や、水道メータや自動車制御器などのＩｏＴ（Ｉｎｔｅｒｎｅｔ ｏｆ Ｔｈｉｎｇｓ）機器、チケット発券機、電子ゲートシステムなど、ユーザに紐づけられる情報を収集し利用する機器であればどのようなものであっても差し支えない。以降本明細書では、ユーザに紐づけられる情報をユーザ情報と称する。

ユーザ情報はサービスサーバ３に送られ、利用される。例えば、サービスサーバ３は、ＳａａＳ（Ｓｏｆｔｗａｒｅ ａｓ ａ Ｓｅｒｖｉｃｅ）によりユーザにクラウドコンピューティング環境を提供するものである。あるいは、サービスサーバ３は、ユーザに電子商取引サイトを提供するものであっても、地図情報や地域の情報を提供するものであっても、音楽や映像、ビデオゲームなどの各種電子コンテンツを提供するものであっても、あるいはユーザの個人情報や健康に関する情報の管理を提供するもの等であってもよい。ユーザ端末２とサービスサーバ３間でのトランザクションにより生じる情報もまたユーザ情報を構成する。

サービスサーバ３にて提供されるサービスがどのようなものであれ、ユーザ情報を改竄される危険がなく保存する用途が存在する。そのため、サービスサーバ３は、新たなトランザクションが発生し、それに伴いユーザ情報が生じると、そのユーザ情報を当該ユーザを識別する情報に関連付けて管理サーバ４に閲覧可能に保存する。以降本明細書では、ユーザを識別する情報をユーザＩＤと称する。

ここで、サービスサーバ３と、管理サーバ４とは物理的に異なっていなくともよい。また、サービスサーバ３の各機能及び、管理サーバ４の各機能が物理的には別のコンピュータ上に分散されていてもよい。さらに、サービスサーバ３と、管理サーバ４との情報通信は、必ずしもネットワークＮを経由するものでなく、専用の回線により接続されるようにしていてもよい。いずれにせよ、サービスサーバ３及び管理サーバ４をどのように物理的に実現するか、またそれらをどのように通信可能に接続するかはコンピュータシステムの設計上の問題にすぎない。

オペレータ端末５は、ユーザ情報管理システム１００のオペレータが、管理サーバ４に保存されたユーザ情報を閲覧し、あるいはその改竄がないことを確認し、さらには、ある特定のユーザについて保存されたユーザ情報を事実上抹消するために操作するコンピュータ端末である。ここで、事実上抹消とは、ある情報を、意味のある形で復元することが不可能な状態とすることをいい、現実問題として、当該情報を物理的に消去した場合と同等の結果をもたらす行為を指す。なお、オペレータはユーザ情報管理システム１００を管理する者としてユーザとは別の人物であってもよいし、ユーザ自体がオペレータとして自身に関するユーザ情報を管理してもよい。その際、オペレータ端末５とユーザ端末１は同一のコンピュータ端末であってもよく、別のものであってもよい。当然、オペレータ端末５の数も特に限定されない。

ネットワークＮは情報通信可能なコンピュータネットワークであればその態様は特に限定されず、どのようなものであってもよいが、本例ではインターネットである。したがって、本例では、ユーザはユーザ端末２を通じて、いわゆるクラウドコンピューティングの態様により、サービスサーバ３が提供するサービスを享受している。

図２はユーザ端末２、サービスサーバ３、管理サーバ４及びオペレータ端末５の物理構成を示す一般的なコンピュータ１の構成図である。基本的には、ユーザ端末２、サービスサーバ３、管理サーバ４及びオペレータ端末５は、情報処理能力と記憶容量の違いはあるものの、標準的なコンピュータとしての構成を有している。ただし、ユーザ端末２がＩｏＴ機器や、各種の業務用の専用機、組み込み機器である場合には、ワンボードマイコンやＳｏＣ（Ｓｙｓｔｅｍ ｏｎ Ｃｈｉｐ）など、若干異なる構成を有する場合があるが、かかる構成により実現されるコンピュータとしての機能は、当該機器の機能に求められる範囲において、一般的なコンピュータ１と変わりはないため、その個別の説明は省略し、以下に示す一般的なコンピュータ１についての説明を援用するものとする。

コンピュータ１は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）１ａ、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）１ｂ、外部記憶装置１ｃ、ＧＣ（Ｇｒａｐｈｉｃｓ Ｃｏｎｔｒｏｌｌｅｒ）１ｄ、入力デバイス１ｅ及びＩ／Ｏ（Ｉｎｐｕｒ／Ｏｕｔｐｕｔ）１ｆがデータバス１ｇにより相互に電気信号のやり取りができるよう接続されている。ここで、外部記憶装置１ｃはＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）やＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等の静的に情報を記録できる装置である。またＧＣ１ｄからの信号はＣＲＴ（Ｃａｔｈｏｄｅ Ｒａｙ Ｔｕｂｅ）やいわゆるフラットパネルディスプレイ等の、使用者が視覚的に画像を認識するモニタ１ｈに出力され、画像として表示される。入力デバイス１ｅはキーボードやマウス、タッチパネル等の、ユーザが情報を入力するための機器であり、Ｉ／Ｏ１ｆはコンピュータ１が外部の機器と情報をやり取りするためのインタフェースである。ＣＰＵ１ａはコンピュータ１が必要とする情報処理の負荷に応じて、複数用意されて並列演算がなされるように構成されていてもよい。

コンピュータ１をユーザ端末２、サービスサーバ３、管理サーバ４又はオペレータ端末５として機能させるための命令列を含むアプリケーションプログラムは、外部記憶装置１ｃにインストールされ、必要に応じてＲＡＭ１ｂに読みだされてＣＰＵ１ａにより実行される。また、かかるプログラムは、適宜の光ディスク、光磁気ディスク、フラッシュメモリ等の適宜のコンピュータ可読情報記録媒体に記録されて提供されても、インターネット等の情報通信回線を介して提供されてもよい。コンピュータ１をユーザ端末２又はオペレータ端末５として機能させるアプリケーションに関しては、ｗｅｂブラウザのような汎用のソフトウェアを用い、Ｉ／Ｏ１ｆを介してサービスサーバ３又は管理サーバ４により機能が提供される、いわゆるクラウドコンピューティングにより提供されてもよい。

図３は、本発明の第１の実施形態に係るユーザ情報管理システム１００の機能的構成を示す機能ブロック図である。同図に示したユーザ情報管理システム１００の各機能は、基本的には管理サーバ４を構成するコンピュータ１のＣＰＵ１ａがＲＡＭ１ｂ上に展開されたプログラムコードを読み込み実行し、あるいはＲＡＭ１ｂ又は外部記憶装置１ｃの所定の領域が特定の機能に割り当てられ、もしくはその両方等により実現されるものであり、同図に示す各機能ブロックは、そのようにして実現されるユーザ情報管理システム１００の機能を概念的に示したものである。しかしながら、ユーザ情報管理システム１００の構成によっては、同図に示した機能的構成の一部分をユーザ端末２、サービスサーバ３及びオペレータ端末５が実現するものとしても差し支えない。

本実施形態に係るユーザ情報管理システム１００は、ユーザ情報の管理に関する第１のデータベース１０１、第２のデータベース１０２、第３のデータベース１０３及び第４のデータベース１０４の４種のデータベースを有し、それらデータベースの取り扱いに関して、ユーザ情報取得部１０５、整合性検証部１０６、消去部１０７、複合部１０８、ユーザＩＤ対応値生成部１０９及び、ユーザ情報対応情報生成部１１０、が設けられている。なお、ユーザ情報管理システム１００は、さらなるユーザ情報の管理に関して、又は、ユーザ情報の管理以外の情報処理の目的で、図３に示されない種々の機能を追加で有していてもよい。本実施形態の説明にあたっては、本実施形態により具現される本発明に関する事項の説明に必要な部分を取り上げ、そうでない部分についてはその説明は省略するものとする。

ユーザ情報取得部１０５は、ユーザ端末２とのトランザクションによりサービスサーバ３にて把握されるユーザ情報を、ユーザＩＤに関連付けて取得するユーザ情報取得手段である。ユーザ情報には種々のものが想定される点については上述のとおりであるが、ここでは、一例として、ユーザがユーザ端末２を介してサービスサーバ３により提供されるＣＲＭ（Ｃｕｓｔｏｍｅｒ Ｒｅｌａｔｉｏｎｓｈｉｐ Ｍａｎａｇｅｍｅｎｔ）ツールなどのアクセス履歴並びに操作履歴を対象として説明する。

すなわち、サービスサーバ３は、ユーザ端末２とのトランザクションにより、ユーザが何らかの操作をツール上で行う都度、そのユーザのユーザＩＤとユーザ情報、すなわち、操作についての情報をユーザ情報取得部１０５に通知する。

ユーザＩＤは、ユーザを識別可能である情報であればどのようなものであってもよいが、ここでは、ユーザ毎に固有に割り当てられたランダムな情報列、例えば、１２桁の数値とする。ユーザ情報には、タイムスタンプ（ユーザによる操作がなされた時間）、機能名（ユーザによりなされた操作の種別）、引数（ユーザが当該操作を実行するにあたって、その機能に対して与えた指令値など）が含まれる。

ユーザ情報管理システム１００は、一義的には、このように、ユーザ情報取得部１０５により時々刻々と収集されるユーザＩＤとユーザ情報の組を保存管理することにより、ユーザによるサービスサーバ３の利用の履歴を保存するものである。このような履歴が信頼する形で存在することにより、例えば、悪意あるユーザやユーザに成りすました外部の攻撃者が行った不明な操作を追跡したり、不慮の事象によりサービスサーバ３上の情報が失われたり、不具合が生じた場合に、それ以前の状態への復帰を行ったりすることができるため、サービスサーバ３により信頼性の高いサービスを提供するにあたっては、かかるユーザ情報の管理は重要である。

かかる目的のため、ユーザ情報取得部１０５で取得されたユーザＩＤとユーザ情報は、互いに対応付けて、第１のデータベース１０１に保存される。ここでは図示しないが、ユーザ情報管理システム１００のオペレータは、オペレータ端末３を用い、第１のデータベース１０１にアクセスして、特定のユーザの操作履歴を参照して種々の役に立てることができる。

ところが、不正アクセスの事実を隠蔽する目的やその他の理由により、第１のデータベース１０１が外部からの攻撃を受け、その保存する情報の改竄を受けると上の目的は達し得ない。そのため、ユーザ情報管理システム１００は、ユーザＩＤとユーザ情報の組に対応する情報を第２のデータベース１０２にも保存する。

ここで、第２のデータベース１０２は、改竄に対する耐性を持つデータベースであり、具体的には、分散型台帳を用いたデータベースシステムである。分散型台帳の記述には、現在、その管理主体の差異により、パブリックチェーン、コンソーシアムチェーン及びプライベートチェーンの３種が知られており、このうちのどれを第２のデータベース１０２として用いるかは、その利用の態様により適宜選択してよいが、ユーザ情報管理システム１００はユーザ情報を集中管理する態様を取っているため、コンソーシアムチェーン又はプライベートチェーンの使用が適している。このどちらにするかは、ユーザ情報管理システム１００を単一のエンティティにより集中管理する場合にはプライベートチェーンを、複数主体による共同管理をする場合にはコンソーシアムチェーンを選択するとよい。

第２のデータベース１０２は、具体的には、公知のブロックチェーン開発フレームワーク、例えば、Ｈｙｐｅｒｌｅｄｇｅｒ ＦＡＢＲＩＣやＨｙｐｅｒｌｅｄｇｅｒ ＩＲＯＨＡ等を用いて構築することができる。あるいは、これらのフレームワークを用いた、商業ベースにおけるデータベースサービスを利用してもよい。そのようなものとしては、Ａｍａｚｏｎ社のＱＬＤＢ（Ｑｕａｎｔｕｍ Ｌｅｄｇｅｒ Ｄａｔａｂａｓｅ）が例示できる。

そして、第２のデータベース１０２には、第１のデータベース１０１と異なり、単にユーザＩＤとユーザ情報の組をそのまま保存してはならない。なぜなら、第２のデータベース１０２は分散型台帳であって改竄耐性を持つため、一度第２のデータベース１０２に記録された情報は、第２のデータベース１０２そのものを消去でもしない限り抹消することができず、永久に残るからである。

そのため、第２のデータベース１０２は、ユーザＩＤに対する暗号学的対応値であるユーザＩＤ対応値と、ユーザ情報及びユーザ情報に対応する情報であるユーザ情報対応情報のいずれかを対応付けて保存するものとなっている。本実施形態では、第２のデータベース１０２には、ユーザＩＤ対応値と、ユーザ情報対応情報が保存される。

ユーザＩＤ対応値は、ユーザＩＤ対応値生成部１０９により、ユーザＩＤに基づいて生成される暗号学的対応値である。ここで、「暗号学的」とは、弱衝突耐性（現像計算困難性）及び強衝突耐性の両方の性質を持つことを意味している。すなわち、前者は、あるユーザＩＤ対応値に対して、そのようなユーザＩＤ対応値を導くユーザＩＤを得ることが事実上不可能であることであり、後者は、同じユーザＩＤ対応値を導く異なるユーザＩＤの組を得ることが事実上不可能であることを指す。したがって、何人も、ユーザＩＤ対応値からその元となったユーザＩＤを推測することも、あるユーザＩＤ対応値に対応するユーザＩＤに成りすますことができる偽のユーザＩＤを生成することもできない。なお、「事実上不可能」とは、現在の計算技術において、実用的な計算時間内に計算を終えることができないことを意味している。

具体的には、ユーザＩＤ対応値生成部１０９は、暗号学的ハッシュ関数を用いて、ユーザＩＤからユーザＩＤ対応値を生成する。そのような暗号学的ハッシュ関数としては、ＳＨＡ－２５６が例示される。

また、ユーザ情報対応情報は、ユーザ情報対応情報生成部１１０により、ユーザ情報に基いて生成される、ユーザ情報に対応する情報である。そして、ユーザ情報対応情報は、対応するユーザ情報の少なくとも一部分を暗号化したものであるか、暗号学的対応値に変換したものである。本実施形態では、ユーザ情報対応情報は、ユーザ情報に含まれる情報のうち、タイムスタンプと機能名はそのままの形で、また、引数は暗号化したものとなっている。なお、ユーザ情報全体を暗号化したものであってもよい。暗号化の方式については後述する。

その結果、第２のデータベース１０２には、ユーザＩＤとユーザ情報の組ではなく、これに対応する情報として、ユーザＩＤ対応値とユーザ情報対応情報が保存されることになる。ここで重要なことは、第２のデータベース１０２に保存されたユーザＩＤ対応値からは、元のユーザＩＤを推測することができず、また、ユーザ情報対応情報は暗号化されているため、暗号を復号しない限りは元のユーザ情報を知ることができないという点である。

第３のデータベース１０３はユーザ情報対応情報生成部１１０におけるユーザ情報の暗号化のため、第４のデータベース１０４は、後述する復号部１０８におけるユーザ情報の復号化のために用意される。

第３のデータベース１０３には、ユーザＩＤと対応づけて暗号化キーが保存される。そして、ユーザ情報対応情報生成部１１０は、ユーザ情報の一部または全部を暗号化する際に、第３のデータベース１０３から、該当するユーザＩＤに対応する暗号化キーを用いる。この暗号化のアルゴリズムは特に限定されるものではないが、いわゆる公開鍵暗号方式の暗号のように、暗号化キーと復号化キーが異なる暗号を用いることが望ましい。なぜなら、悪意の第三者が第３のデータベース１０３に不正にアクセスし、あるいは別の経路から暗号化キーが流出し、第三者が暗号化キーを知ることとなっても、第２のデータベース１０２に保存されたユーザ情報対応情報から元となったユーザ情報を復元することができないからである。

第４のデータベース１０４には、ユーザＩＤと対応づけて復号化キーが保存される。そして、第３のデータベース１０３と第４のデータベース１０４は別のものとされ、第４のデータベース１０４に対するセキュリティの方が、第３のデータベース１０３に対するセキュリティよりレベルの高いものとすることが望ましい。すなわち、第３のデータベース１０３に対するアクセス権限を持つものであっても、第４のデータベース１０４に対するアクセス権限を持たない場合がある。例えば、ユーザ情報対応情報生成部１１０は、第３のデータベース１０３に対してアクセス権限を持つが、第４のデータベース１０４に対するアクセス権限は必要なく、これを持たない。また、オペレータ端末５を操作するオペレータであっても、第４のデータベース１０４に対してアクセス権限を持つものは限定されていてよい。

なお、ユーザ情報対応情報生成部１１０にて使用する暗号化方式が、暗号化キーと復号化キーが同一のものである場合には、第４のデータベース１０４は設ける必要はなく、省略してよい。

このような構成により、ユーザ情報管理システム１００は、第１のデータベース１０１にユーザＩＤと対応するユーザ情報を、また、第２のデータベース１０２にユーザＩＤ対応値と対応するユーザ情報対応情報とを逐次蓄積していく。

図４は、ユーザ情報管理システム１００によるユーザ情報蓄積の情報処理フローを示すフロー図である。まずステップＳ０１にて、ユーザ情報取得部１０５は、サービスサーバ３からユーザＩＤ及びユーザ情報を取得する。続くステップＳ０２では、ユーザＩＤ対応値生成部１０９が、ユーザＩＤ対応値を生成する。さらに、ステップＳ０３において、ユーザ情報対応情報生成部１１０が、第３のデータベース１０３より、当該ユーザＩＤに対応する暗号化キーを取得する。そして、ステップＳ０４において、ユーザ情報対応情報生成部１１０は取得した暗号化キーを用い、ユーザ情報の少なくとも一部分を暗号化し、ユーザ情報対応情報を生成する。

その後、ステップＳ０５において、第１のデータベース１０１にユーザＩＤとユーザ情報とを対応づけて保存し、ステップＳ０６において、第２のデータベース１０２にユーザＩＤ対応値とユーザ情報対応情報とを対応付けて保存する。

また、ユーザ情報管理システム１００は、オペレータが、蓄積されたユーザ情報に対する適切な管理を実行するための機能を備えている。そのオペレータが実行する主要な機能は、整合性の検証、消去、及び、復号の３つである。

整合性の検証は、オペレータがオペレータ端末５を操作し、ユーザ情報管理システム１００の整合性検証部１０６に指示することによって、又は、定期など所定のタイミングで整合性検証部１０６が自動的に実行され、あるいはその両方によってなされる。そして、整合性の検証とは、第１のデータベース１０１に保存されたユーザＩＤ及びユーザ情報が改竄を受けていないことを確認する処理であり、第１のデータベース１０１に保存されたユーザＩＤ及びユーザ情報と第２のデータベース１０２に保存されたユーザＩＤ対応情報及びユーザ情報対応情報との間の整合性を検証することによって行われる。

この検証は、第２のデータベース１０２に保存されたユーザＩＤ対応情報及びユーザ情報対応情報が本来的に改竄不能であることを利用して行われる。すなわち、第１のデータベース１０１に保存されているユーザＩＤと対応するユーザ情報が改竄を受けていなければ、そのユーザＩＤと対応するユーザ情報から新たに生成したユーザＩＤ対応情報及びユーザ情報対応情報に一致する情報が、第２のデータベース１０２に保存されているはずだからである。

従って、整合性検証部１０６による整合の検証は、第１のデータベース１０１に保存されているあるユーザＩＤと対応するユーザ情報に対し、ユーザＩＤ対応値及びユーザ情報対応情報を生成し、第２のデータベース１０２に同一のレコードが存在するか否かを検索することによりなされ、該当するレコードが発見できれば改竄はなく、該当するレコードが発見できなければ、改竄などにより、第１のデータベース１０１に保存されている当該ユーザＩＤと対応するユーザ情報に変化が生じていることが発見できる。この場合、整合性検証部１０６は、オペレータに警告などの通知を行う。

なお、整合性検証部１０６による整合の検証を自動で行う場合、第１のデータベース１０１に保存されている情報は定期的に検証されるようになされていることが望ましい。具体的には、第１のデータベース１０１に保存されているユーザＩＤと対応するユーザ情報毎に、最後に整合性の検証がなされた日時を記録しておき、所定の期間、整合性の検証がなされていないものについて、順次整合性の検証を行うとよい。このようにしておくと、改竄などにより、何らかの変化が第１のデータベース１０１に保存されているユーザＩＤと対応するユーザ情報に生じたとしても、最長で所定の期間が経過するまでにその変化の事実が発見される。所定の期間は、管理サーバ４として用意するコンピュータの情報処理能力と第１のデータベース１０１に保存されている情報の量、ユーザ情報管理システム１００の具体的用途に応じて定めてよいが、例えば、数分から数月とする。

図５は、ユーザ情報管理システム１００による整合性の検証の情報処理フローを示すフロー図である。整合性検証部１０６は、まずステップＳ１１にて、オペレータによる整合性の検証の指示が有るか否かを判定する。整合性の検証の指示が有る場合、当該指示に係るユーザＩＤ及びユーザ情報をその検証対象とすればよいので、ステップＳ１３へと進む。この時、対象となるユーザＩＤ及びユーザ情報は単一のものである必要はなく、複数であってもよい。その指定は、複数のユーザＩＤ及びユーザ情報を具体的に指定するものであっても、あるいは、ユーザＩＤや期間、ユーザ情報の内容などの条件を指定することにより、複数のユーザＩＤ及びユーザ情報を包括的に指定するものであってもよい。

オペレータによる整合性の検証の指示がなければ、ステップＳ１２へと進み、第１のデータベース１０１に保存されているユーザＩＤ及びユーザ情報のうち、最後に整合性の検証がなされてから所定の期間が経過したものがあるか否かを判定する。なお、新規に保存され、整合性の検証がなされていないものについては、新規に保存された時から所定の期間が経過したか否かを判定するとよい。所定の期間を経過したものが存在しなければ、整合性の検証の必要はないので、処理を終了する。所定の期間を経過したものが存在すれば、該当するユーザＩＤ及びユーザ情報をその検証対象とすればよいので、ステップＳ１３へと進む。

ステップＳ１３では、整合性の検証の対象となるユーザＩＤ及びユーザ情報を具体的に特定する。具体的には、オペレータにより指定された条件に適合するもの、あるいは、最後に整合性の検証がなされてから所定の期間が経過したものを抽出する。

そして、続くステップＳ１４では、第１のデータベース１０１から、該当するユーザＩＤ及びユーザ情報を取得する。そして、ステップＳ１５で、ユーザＩＤ対応値生成部１０９が、ユーザＩＤ対応値を生成する。さらに、ステップＳ１６で、ユーザ情報対応情報生成部１１０が、第３のデータベース１０３より、当該ユーザＩＤに対応する暗号化キーを取得し、ステップＳ１７において、ユーザ情報対応情報生成部１１０は取得した暗号化キーを用い、ユーザ情報の少なくとも一部分を暗号化し、ユーザ情報対応情報を生成する。

整合性検証部１０６は、ステップＳ１８で、そのようにして生成されたユーザＩＤ対応値とユーザ情報対応情報の組と同一のものが、第２のデータベース１０２に保存されているかを検索して判定する。同一のものが発見された場合には、該当する第１のデータベース１０１におけるユーザＩＤ及びユーザ情報は改竄を受けていないと確認できるので、ステップＳ１９に進み、オペレータに検証の結果が正常であった旨の通知をする。なお、ステップＳ１９における通知は、ステップＳ１１においてオペレータの指示に基づいて整合性の検証を実行した場合にのみ通知し、整合性検証部１０６が自動的に実行した場合には通知を省略してもよい。

ステップＳ１８において、第２のデータベース１０２に保存されているユーザＩＤ対応値とユーザ情報対応情報の組の中から、同一のものが発見されなかった場合、該当する第１のデータベース１０１におけるユーザＩＤ及びユーザ情報には変化が生じている。したがって、ステップＳ２０へと進み、オペレータ、あるいは場合に応じて、ユーザ情報管理システム１００の管理者に対し、整合性の検証結果が異常であり、ユーザＩＤ及びユーザ情報が改竄を受けた可能性がある旨の警告を通知する。これにより、警告を受けたオペレータあるいは管理者は、ユーザ情報管理システム１００の状態を精査し、必要な措置を速やかにとることができる。

整合性の検証の結果が正常、異常のいずれにせよ、整合性の検証及びその結果の通知が済めば処理を終了する。

消去は、オペレータがオペレータ端末５を操作し、ユーザ情報管理システム１００の消去部１０６に指示することによって、特定のユーザについてのユーザ情報を「消去」、すなわち、事実上抹消するものである。これは、サービスサーバ３を利用していたユーザについて、例えば利用期間の満了による契約の履行や、ユーザ情報管理システム１００を利用したユーザについての忘れられる権利の担保その他の理由により、当該ユーザがサービスサーバ３を利用していた事実を含め、当該ユーザに関する情報をユーザ情報管理システム１００から「消去」する際に、当該ユーザに関する情報を意味のある形での回復が不可能な状態とすることにより実現される。

このユーザに関する情報の「消去」すなわち事実上抹消は、本実施形態においては、消去部１０７が、事実上抹消を要するものとして指定されたユーザのユーザＩＤに関して、第１のデータベース１０１からユーザＩＤと対応するユーザ情報を、また、第３のデータベース１０３と第４のデータベース１０４からユーザＩＤと対応する暗号化キー及び復号化キーを消去することによってなされる。なお、ユーザ情報対応情報生成部１１０で使用する暗号方式が共通鍵暗号である場合には、第４のデータベース１０４は不要であるから、第３のデータベースからユーザＩＤと対応する暗号化キーを消去すれば足る。

すでに述べたとおり、第２のデータベースは分散型台帳を使用するものであり、本質的に特定の保存された情報の復元不可能な形での消去は不可能である。ところが、すでに述べたとおり、第２のデータベースに保存されている、ユーザＩＤに対応する情報は、ユーザＩＤ対応値であり、これは、ユーザＩＤの暗号学的対応値であるから、このユーザＩＤ対応値を導くようなユーザＩＤの値を発見することは事実上できない。そのため、第１のデータベース１０１、第３のデータベース１０３及び第４のデータベース１０４からユーザＩＤの具体的な値が消去されてしまうと、ユーザＩＤ対応値に対応するユーザＩＤの値を再発見することはできなくなり、ユーザＩＤ対応値から元のユーザを推測することは不可能となる。

さらに、第２のデータベースに保存されている、ユーザ情報に対応する情報は、ユーザ情報対応情報であり、これはユーザ情報を暗号化した情報である。したがって、第４のデータベース１０４から復号化キーが消去されると、これをもはや復号することはできず、ユーザ情報の内容からユーザを推測することも不可能となり、いかなる方法を用いても、第２のデータベースに保存されている、ユーザＩＤ対応値及びユーザ情報対応情報からその元のユーザと、そのユーザについてのユーザ情報を得ることはできなくなるから、当該ユーザに関する情報は、ユーザ情報管理システム１００から事実上抹消されるのである。

なお、ユーザ情報対応情報生成部１１０で使用する暗号方式が公開鍵暗号である場合には、第４のデータベース１０４に保存された復号化キーは、次に述べる復号の場合を除き、通常のユーザ情報管理システム１００におけるユーザ情報の蓄積の際には一切使用されないため、仮に攻撃者がユーザ情報管理システム１００の動作の追跡に成功していたとしても、復号化キーの存在を知ることができず、情報のトランザクション中から復号化キーを盗み取ることもできない。また、第４のデータベース１０４はそのセキュリティレベルが高く、その管理も厳重であり、通常は第４のデータベース１０４の存在自体が秘匿されるため、第４のデータベース１０４に対する攻撃が成功することは通常ない。

そして、攻撃者が仮に、第３のデータベース１０３への攻撃を成功させ、あるいはユーザ情報管理システム１００の情報のトランザクションを盗み見て暗号化キーを取得していたとしても、これによって第２のデータベース１０２に保存されたユーザ情報対応情報を復号することはできないから、ユーザ情報管理システム１００から事実上抹消されたユーザについてのユーザ情報を復元することは不可能である。

図６は、ユーザ情報管理システム１００による消去の情報処理フローを示すフロー図である。消去部１０６は、まずステップＳ３１にて、オペレータによる「消去」、すなわち、事実上抹消の対象となるユーザＩＤを取得する。

続くステップＳ３２にて第１のデータベース１０１から該当するユーザＩＤと、対応するユーザ情報の全てを消去し、ステップＳ３３にて第３のデータベース１０３から該当するユーザＩＤと対応する暗号化キーを、ステップＳ３４にて第４のデータベース１０４から該当するユーザＩＤと対応する復号化キーを消去することにより、ユーザＩＤに該当するユーザについての情報がユーザ情報管理システム１００から事実上抹消される。

最後に、復号は、第１のデータベースに保存された情報に対する改竄や、情報の破損が確認された際に、かかる情報を正しい情報に復元する操作である。復号は、オペレータがオペレータ端末５を操作し、ユーザ情報管理システム１００の復号部１０６に指示することによって実行される。

復号が必要となる状況は、通常は整合性検証部１０６により整合性の異常が発見された場合や、第１のデータベース１０１の機器のトラブルなど物理的な障害が発生した場合等、種々の状況が考えられる。復号部１０６は、復元が必要と考えられる情報を選択的に復元することが可能であり、場合によっては、第１のデータベースに保存され管理されるべきすべての情報を復元することも可能である。

オペレータは、復号部１０６に復元すべきユーザＩＤと対応するユーザ情報を指示する。状況によっては、復元すべきユーザＩＤと対応するユーザ情報を明確に特定することが困難である場合も想定され、この指示は、条件を指定するものであってよい。例えば、単独或いは複数のユーザＩＤのみを指定するものであっても、ユーザ情報が第１のデータベースに保存された期間を指定するものであっても、さらにはその他の条件であってもよく、これらの組み合わせであってもよい。あるいは全てのユーザＩＤと対応するユーザ情報を対象としてもよい。

復号部１０８は、第２のデータベース１０２に保存されたユーザＩＤ対応値とユーザ情報対応情報から、オペレータに復元を指示された条件に合致するものを抽出する。この抽出は所与の条件により適宜の手法により行われるが、それらを例示すると、ユーザＩＤが条件として提示されている場合には、ユーザＩＤ対応値生成部１０９によりかかるユーザＩＤからユーザＩＤ対応値を生成できるため、第２のデータベース１０２中から同一のユーザＩＤ対応値と、対応するユーザ情報対応情報を抽出することができる。また、期間が条件として提示されている場合、本実施形態のように、ユーザ情報対応情報に、暗号化されていないタイムスタンプが含まれている場合には、当該タイムスタンプに基づいて、条件に合致するユーザＩＤ対応値と、対応するユーザ情報対応情報を抽出することができる。

復号部１０８は、さらに、第４のデータベース１０４からユーザＩＤと対応する復号化キーを読み出し、ユーザ情報対応情報を復号化キーを用いて復号する。第４のデータベース１０４には、「消去」すなわち、事実上抹消されていないユーザＩＤが保存されているため、この復号の処理にあたり、復元すべきユーザ情報のユーザＩＤが失われていても、これを回復することができる。すなわち、第４のデータベース１０４に保存されているユーザＩＤをユーザＩＤ対応値生成部１０９によりユーザＩＤ対応値に変換してその対応表を得ることで、第２のデータベース１０２に保存されたユーザＩＤ対応値に対応するユーザＩＤを知ることができるためである。もちろん、第４のデータベース１０４から消去されたユーザＩＤについては、これを復元することはできない。

復号部１０８は、以上のようにして第２のデータベース１０２に保存されたユーザ情報対応情報を復号し、ユーザＩＤと対応するユーザ情報としてオペレータに提示する。オペレータは、提示された情報を参照して、復元が必要な情報を取捨選択し、第１のデータベースを修復することができる。

図７は、ユーザ情報管理システム１００による復号の情報処理フローを示すフロー図である。復号部１０８は、まずステップＳ４１にて、オペレータから、復元対象となるユーザＩＤとユーザ情報の条件を取得する。この条件は、単独のユーザＩＤと対応するユーザ情報の組を指定するものでも、複数の組を包括的に指定するものであっても、全てのユーザＩＤと対応するユーザ情報の組を指定するものであってもよい。

続くステップＳ４２で、復号部１０８は、第２のデータベース１０２から、条件に合致するユーザＩＤ対応値とユーザ情報対応情報を抽出する。このとき、第２のデータベース１０２から抽出すべきユーザＩＤ対応値を得る目的で、復号部１０６は、適宜、ユーザＩＤ対応値生成部１０９にユーザＩＤを生成させ、あるいは、第４のデータベース１０４に保存されているユーザＩＤを取得する場合があり得る。

ステップＳ４３で、復号部１０８は、第４のデータベース１０４から抽出したユーザ情報対応情報に適合した復号化キーを取得し、ステップＳ４４でユーザ情報対応情報を復号する。復号されたユーザ情報は、ステップＳ４５にて、ユーザＩＤと対応付けられて、オペレータに提示される。

以上説明の通り、本発明の第１の実施形態に係るユーザ情報管理システム１００では、ユーザ情報を、その改竄等があることを隠蔽不可能な方法で保存管理すると同時に、特定のユーザについてのユーザ情報を事実上抹消することを可能としている。さらに、改竄等により破損したユーザ情報は、安全に復元可能である。

図８は、本発明の第２の実施形態に係るユーザ情報管理システム２００の機能的構成を示す機能ブロック図である。ユーザ情報管理システム２００の全体の外見的構成は先の実施形態に係るユーザ情報管理システム１００と何ら変わりがないため、その概念図として、図１を援用するものとする。また、ユーザ情報管理システム１００と同等の構成については同符号を付することとし、その重複する説明は省略する。

ユーザ情報管理システム２００は、先の第１の実施形態に係るユーザ情報管理システム１００と比して、第３のデータベース１０３及び第４のデータベース１０４及び、復号部１０８（図３参照）が存在しておらず、また、ユーザ情報対応情報生成部１１０が、ユーザ情報の少なくとも一部を暗号化するのではなく、ユーザ情報の少なくとも一部分に対する暗号学的対応値を生成するものであることが異なっている。

すなわち、ユーザ情報管理システム２００においても、ユーザ情報取得部１０５が時々刻々とユーザ情報をユーザＩＤと関連付けて取得し、第１のデータベース１０１にユーザＩＤとユーザ情報を、第２のデータベース１０２にユーザＩＤ対応値とユーザ情報対応情報を保存するが、ユーザ情報対応情報が、ユーザ情報の少なくとも一部分に対する暗号学的対応値を含む。

ここで、暗号学的対応値は、ユーザＩＤに対するユーザＩＤ対応値の場合と同様に、ユーザ情報の少なくとも一部分、場合によっては全部、に対して一方向関数により得られる値であり、その一方向関数の具体例は、暗号学的ハッシュ関数である。本実施形態の場合、ユーザ情報には先の実施形態と同様に、タイムスタンプ、機能名、引数が含まれており、ユーザ情報対応情報生成部１１０は、それらのうち、引数を暗号学的対応値であるハッシュ値に変換する。したがって、ユーザ情報対応情報には、タイムスタンプ及び機能名はそのままの形で含まれ、引数はその暗号学的対応値のみが含まれることとなる。

このような態様においても、整合性検証部１０６は、第１のデータベース１０１に保存されたユーザＩＤから対応するユーザＩＤ対応値を、ユーザ情報から対応するユーザ情報対応情報を得て第２のデータベースに保存されたものとの整合性を検証することができ、また、第２のデータベース１０２に保存された情報からは、保存されたユーザＩＤ対応情報の元となったユーザＩＤ及び、ユーザ情報対応情報の元となったユーザ情報を復元することはできない。

したがって、本実施形態においても、消去部１０７により、第１のデータベースに保存された特定のユーザについてのユーザＩＤ及び対応するユーザ情報を消去すると、そのユーザについてのユーザ情報はもはや復元され得ず、事実上抹消されることになる。

一方で、本実施形態に係るユーザ情報管理システム２００では、第２のデータベースに保存されたユーザ情報対応情報からは、元となるユーザ情報を復元することはできない。すなわち、暗号学的対応値に変換されていないタイムスタンプ及び機能名は取り出すことができるが、ユーザが実際にどのような操作を実行したかを示す引数は、暗号学的対応値の性質から、復元することはできない。

そのため、ユーザ情報管理システム２００では、先の実施形態に係るユーザ情報管理システム１００のような、復号部１０８（図３参照）は設けられていない。すなわち、ユーザ情報管理システム２００では、改竄などにより第１のデータベース１０１に保存された情報に変化が生じたことは、整合性検証部１０６による検証により検出できるが、第２のデータベース１０２に保存された情報から、正しい情報の復元をすることはできない。

従って、ユーザ情報管理システム２００は、正しい情報の復元が不要又は重要でないような用途に用いるか、あるいは、第１のデータベースがミラーリングなどにより複数の複製を持っている場合に、どの複製が正しい情報を保持しているかを検証する用途に用いることができる。

図９は、本実施形態の第３の実施形態に係るユーザ情報管理システム３００の機能的構成を示す機能ブロック図である。ユーザ情報管理システム３００の全体の外見的構成は第１、第２の実施形態に係るユーザ情報管理システム１００，２００と同様であり、その概念図は図１のとおりである。また、ユーザ情報管理システム１００，２００と同等の構成については同符号を付することとし、その重複する説明は省略する。

ユーザ情報管理システム３００は、先の第２の実施形態に係るユーザ情報管理システム２００と比して、さらに、ユーザ情報対応情報生成部１１０（図９参照）が存在しておらず、また、第２のデータベース１０２に保存される情報が、ユーザＩＤ対応情報と、ユーザ情報対応情報ではなく、ユーザ情報そのものである点が異なっている。

すなわち、第１のデータベース１０１に保存される情報と、第２のデータベース１０２に保存される情報の差異は、前者がユーザＩＤを保存するのに対し、後者がユーザＩＤ対応値を保存する点のみであり、ユーザ情報は共通に保存される。このような構成であっても、消去部１０７により、第１のデータベース１０１に保存された特定のユーザに係るユーザＩＤとユーザ情報を消去すれば、第２のデータベース１０２に保存されたユーザＩＤ対応値から元のユーザＩＤを復元することはできないから、特定のユーザについてのユーザ情報を事実上抹消することが可能である。ユーザ情報管理システム３００は、ユーザ情報から特定されるユーザの行動によっては、その行動に係るユーザを特定することが著しく困難であるような用途に適しており、そのような場合には、ユーザ情報管理システム３００で示したような比較的シンプルな構成を採用することができる。

本実施形態の場合においても、第２のデータベース１０２は分散型台帳を使用しているため、保存されたユーザＩＤ対応値と対応するユーザ情報を改竄することができないから、整合性検証部１０６は、第１のデータベースに保存されたユーザＩＤと対応するユーザ情報に改竄などにより変化が生じた場合には、上述した整合性の検証により、これを容易に発見することができる。

なお、以上説明した各実施形態は、必要に応じて、あるいは設計により、適宜組み合わせてもよい。例えば、第１の実施形態に係るユーザ情報管理システム１００と第２の実施形態に係るユーザ情報管理システム２００の両方の構成を備えるようにして、第２のデータベースに保存されたユーザ情報対応情報が、暗号化されたユーザ情報の少なくとも一部分と、ユーザ情報の少なくとも一部分に対する暗号学的対応値の両方を含むようにしてもよい。

１ コンピュータ、１ａ ＣＰＵ、１ｂ ＲＡＭ、１ｃ 外部記憶装置、１ｄ ＧＣ、１ｅ 入力デバイス、１ｆ Ｉ／Ｏ、１ｇ データバス、１ｈ モニタ、２ ユーザ端末、３ サービスサーバ、４ 管理サーバ、５ オペレータ端末、１００，２００，３００ ユーザ情報管理システム、１０１ 第１のデータベース、１０２ 第２のデータベース、１０３ 第３のデータベース、１０４ 第４のデータベース、１０５ ユーザ情報取得部、１０６ 整合性検証部、１０７ 消去部、１０８ 複合部、１０９ ユーザＩＤ対応値生成部、１１０ ユーザ情報対応情報生成部。

（１）ユーザに紐づけられる情報（以下「ユーザ情報」という。）を、当該ユーザを識別する情報（以下「ユーザＩＤ」という。）に関連付けて閲覧可能に保存するユーザ情報管理システムであって、ユーザ端末とのトランザクションによりサービスサーバにて把握されるユーザ情報をユーザＩＤに関連付けて取得するユーザ情報取得部と、前記ユーザＩＤに対する暗号学的対応値であるユーザＩＤ対応値を生成するユーザＩＤ対応値生成部と、前記ユーザＩＤと前記ユーザ情報とを対応付けて保存する第１のデータベースと、前記ユーザＩＤ対応値と、前記ユーザ情報及び前記ユーザ情報に対応する情報であるユーザ情報対応情報のいずれかとを対応付けて保存する、分散型台帳を用いたデータベースシステムである第２のデータベースと、前記第１のデータベースに保存された前記ユーザＩＤ及び前記ユーザ情報と、前記第２のデータベースに保存された前記ユーザＩＤ対応値並びに前記ユーザ情報及び前記ユーザ情報対応情報のいずれかとの整合性を検証する整合性検証部と、前記第１のデータベースから、オペレータにより指示された特定のユーザに係る前記ユーザＩＤ及び対応する前記ユーザ情報を消去する消去部と、を有するユーザ情報管理システム。

（４）（２）又は（３）において、前記ユーザＩＤと暗号化キーを対応付けて保存する第３のデータベースを有し、前記消去部は、さらに、前記第３のデータベースから、前記特定のユーザに係る前記ユーザＩＤ及び対応する前記暗号化キーを消去する、ユーザ情報管理システム。

（５）（４）において、前記暗号化キーと対応する復号化キーは異なり、前記ユーザＩＤと前記復号化キーを対応付けて保存する前記第３のデータベースと異なる第４のデータベースを有し、前記消去部は、さらに、前記第４のデータベースから、特定のユーザに係る前記ユーザＩＤ及び対応する前記複号化キーを消去する、ユーザ情報管理システム。

（９）ユーザに紐づけられる情報を、当該ユーザを識別する情報に関連付けて閲覧可能に保存するユーザ情報管理方法であって、コンピュータに、ユーザ端末とのトランザクションによりサービスサーバにて把握されるユーザ情報をユーザＩＤに関連付けて取得させ、前記ユーザＩＤに対する暗号学的対応値であるユーザＩＤ対応値を生成させ、前記ユーザＩＤと前記ユーザ情報とを対応付けて第１のデータベースに保存させ、前記ユーザＩＤ対応値と、前記ユーザ情報及び前記ユーザ情報に対応する情報であるユーザ情報対応情報のいずれかとを対応付けて、分散型台帳を用いたデータベースシステムである第２のデータベースに保存させ、前記第１のデータベースに保存された前記ユーザＩＤ及び前記ユーザ情報と、前記第２のデータベースに保存された前記ユーザＩＤ対応値並びに前記ユーザ情報及び前記ユーザ情報対応情報のいずれかとの整合性を検証させ、前記第１のデータベースから、オペレータにより指示された特定のユーザに係る前記ユーザＩＤ及び対応する前記ユーザ情報を消去させる、ユーザ情報管理方法。

（１０）コンピュータを、ユーザに紐づけられる情報を、当該ユーザを識別する情報に関連付けて閲覧可能に保存するユーザ情報管理システムとして機能させるコンピュータプログラムであって、コンピュータを、ユーザ端末とのトランザクションによりサービスサーバにて把握されるユーザ情報をユーザＩＤに関連付けて取得するユーザ情報取得手段、前記ユーザＩＤに対する暗号学的対応値であるユーザＩＤ対応値を生成するユーザＩＤ対応値生成手段、前記ユーザＩＤと前記ユーザ情報とを対応付けて保存する第１のデータベース、前記ユーザＩＤ対応値と、前記ユーザ情報及び前記ユーザ情報に対応する情報であるユーザ情報対応情報のいずれかとを対応付けて保存する、分散型台帳を用いたデータベースシステムである第２のデータベース、前記第１のデータベースに保存された前記ユーザＩＤ及び前記ユーザ情報と、前記第２のデータベースに保存された前記ユーザＩＤ対応値並びに前記ユーザ情報及び前記ユーザ情報対応情報のいずれかとの整合性を検証する整合性検証手段、及び、前記第１のデータベースから、オペレータにより指示された特定のユーザに係る前記ユーザＩＤ及び対応する前記ユーザ情報を消去する消去手段、として機能させるための命令列を有するコンピュータプログラム。

（９）ユーザに紐づけられる情報を、当該ユーザを識別する情報に関連付けて閲覧可能に保存するユーザ情報管理方法であって、ユーザ端末とのトランザクションによりサービスサーバにて把握されるユーザ情報をユーザＩＤに関連付けて取得するステップと、前記ユーザＩＤに対する暗号学的対応値であるユーザＩＤ対応値を生成するステップと、前記ユーザＩＤと前記ユーザ情報とを対応付けて第１のデータベースに保存するステップと、前記ユーザＩＤ対応値と、前記ユーザ情報及び前記ユーザ情報に対応する情報であるユーザ情報対応情報のいずれかとを対応付けて、分散型台帳を用いたデータベースシステムである第２のデータベースに保存するステップと、前記第１のデータベースに保存された前記ユーザＩＤ及び前記ユーザ情報と、前記第２のデータベースに保存された前記ユーザＩＤ対応値並びに前記ユーザ情報及び前記ユーザ情報対応情報のいずれかとの整合性を検証するステップと、前記第１のデータベースから、オペレータにより指示された特定のユーザに係る前記ユーザＩＤ及び対応する前記ユーザ情報を消去するステップと、をコンピュータが実行することを特徴とするユーザ情報管理方法。

Claims (10)

1. 特定のユーザに紐づけられる情報（以下「ユーザ情報」という。）を、当該ユーザを識別する情報（以下「ユーザＩＤ」という。）に関連付けて閲覧可能に保存するユーザ情報管理システムであって、
   ユーザ情報をユーザＩＤに関連付けて取得するユーザ情報取得部と、
   前記ユーザＩＤに対する暗号学的対応値であるユーザＩＤ対応値を生成するユーザＩＤ対応値生成部と、
   前記ユーザＩＤと前記ユーザ情報とを対応付けて保存する第１のデータベースと、
   前記ユーザＩＤ対応値と、前記ユーザ情報及び前記ユーザ情報に対応する情報であるユーザ情報対応情報のいずれかとを対応付けて分散型台帳に保存する第２のデータベースと、
   前記第１のデータベースに保存された前記ユーザＩＤ及び前記ユーザ情報と、前記第２のデータベースに保存された前記ユーザＩＤ対応値並びに前記ユーザ情報及び前記ユーザ情報対応情報のいずれかとの整合性を検証する整合性検証部と、
   前記第１のデータベースから、特定のユーザに係る前記ユーザＩＤ及び対応する前記ユーザ情報を消去する消去部と、
   を有するユーザ情報管理システム。
2. 前記ユーザ情報対応情報は、暗号化された前記ユーザ情報の少なくとも一部分を含む、
   請求項１に記載のユーザ情報管理システム。
3. 前記ユーザ情報対応情報は、前記暗号化された前記ユーザ情報の一部分及び、暗号化されていない前記ユーザ情報の残りの部分を含む、
   請求項２に記載のユーザ情報管理システム。
4. 前記ユーザＩＤと暗号化キーを対応付けて保存する第３のデータベースを有し、
   前記消去部は、さらに、前記第３のデータベースから、特定のユーザに係る前記ユーザＩＤ及び対応する前記暗号化キーを消去する、
   請求項２又は３に記載のユーザ情報管理システム。
5. 前記暗号化キーと対応する復号化キーは異なり、
   前記ユーザＩＤと前記復号化キーを対応付けて保存する前記第３のデータベースと異なる第４のデータベースを有し、
   前記消去部は、さらに、前記第４のデータベースから、特定のユーザに係る前記ユーザＩＤ及び対応する前記複合化キーを消去する、
   請求項４に記載のユーザ情報管理システム。
6. 前記ユーザ情報対応情報は、前記ユーザ情報の少なくとも一部分に対する暗号学的対応値であるユーザ情報対応情報を含む、
   請求項１～５のいずれか１項に記載のユーザ情報管理システム。
7. 前記ユーザ情報対応情報は、前記ユーザ情報の少なくとも一部分についての前記ユーザ情報対応情報及び、前記ユーザ情報の残りの部分を含む、
   請求項６に記載のユーザ情報管理システム。
8. 前記暗号学的対応値は、暗号学的ハッシュ関数を用いて生成される、
   請求項１～７のいずれか１項に記載のユーザ情報管理システム。
9. 特定のユーザに紐づけられる情報を、当該ユーザを識別する情報に関連付けて閲覧可能に保存するユーザ情報管理方法であって、
   ユーザ情報をユーザＩＤに関連付けて取得し、
   前記ユーザＩＤに対する暗号学的対応値であるユーザＩＤ対応値を生成し、
   前記ユーザＩＤと前記ユーザ情報とを対応付けて第１のデータベースに保存し、
   前記ユーザＩＤ対応値と、前記ユーザ情報及び前記ユーザ情報に対応する情報であるユーザ情報対応情報のいずれかとを対応付けて第２のデータベースの分散型台帳に保存し、
   前記第１のデータベースに保存された前記ユーザＩＤ及び前記ユーザ情報と、前記第２のデータベースに保存された前記ユーザＩＤ対応値並びに前記ユーザ情報及び前記ユーザ情報対応情報のいずれかとの整合性を検証し、
   前記第１のデータベースから、特定のユーザに係る前記ユーザＩＤ及び対応する前記ユーザ情報を消去する、
   ユーザ情報管理方法。
10. コンピュータを、特定のユーザに紐づけられる情報を、当該ユーザを識別する情報に関連付けて閲覧可能に保存するユーザ情報管理システムとして機能させるコンピュータプログラムであって、コンピュータを、
    ユーザ情報をユーザＩＤに関連付けて取得するユーザ情報取得手段、
    前記ユーザＩＤに対する暗号学的対応値であるユーザＩＤ対応値を生成するユーザＩＤ対応値生成手段、
    前記ユーザＩＤと前記ユーザ情報とを対応付けて保存する第１のデータベース、
    前記ユーザＩＤ対応値と、前記ユーザ情報及び前記ユーザ情報に対応する情報であるユーザ情報対応情報のいずれかとを対応付けて分散型台帳に保存する第２のデータベース、
    前記第１のデータベースに保存された前記ユーザＩＤ及び前記ユーザ情報と、前記第２のデータベースに保存された前記ユーザＩＤ対応値並びに前記ユーザ情報及び前記ユーザ情報対応情報のいずれかとの整合性を検証する整合性検証手段、及び、
    前記第１のデータベースから、特定のユーザに係る前記ユーザＩＤ及び対応する前記ユーザ情報を消去する消去手段、
    として機能させるための命令列を有するコンピュータプログラム。
    
    

Images