JP2023520212A - クラウド環境におけるプライバシー中心のデータ・セキュリティ - Google Patents

Abstract

プライバシー中心のデータ・セキュリティのための技術が開示される。第１のデータ・プロセッサがユーザに関連付けられたプライベート・データにアクセスすることを許可するための要求が、クラウド・データ・プライバシー・サービスで受信される。要求は、プライベート・データに関する第１のデータ・アクセス・ブロックに対する要求、および、１または複数のアクセス・パラメータを記述するデータ・フィルタを含む。クラウド・データ・プライバシー・サービスは、プライベート・データおよびデータ・フィルタに基づいて、第１のデータ・アクセス・ブロックを生成する。第１のデータ・アクセス・ブロックは、クラウド・データ・プライバシー・サービスからユーザ・デバイスに送信され、ユーザ・デバイスは、第１のデータ・アクセス・ブロックを第１のデータ・プロセッサに送信するよう構成される。クラウド・データ・プライバシー・サービスは、第１のデータ・アクセス・ブロックを含むプライベート・データに対する要求を受信する。クラウド・データ・プライバシー・サービスは、第１のデータ・アクセス・ブロックが有効であると決定し、第１のデータ・プロセッサがプライベート・データにアクセスするのを許可する。

Description

本発明は、コンピュータ・セキュリティに関し、より詳細には、クラウド環境におけるプライバシー中心のデータ・セキュリティに関する。

実施形態は、方法を含む。本方法は、クラウド・データ・プライバシー・サービスで、第１のデータ・プロセッサが、ユーザに関連付けられたプライベート・データにアクセスすることを許可するための要求をユーザ・デバイスから受信するステップを含む。要求は、プライベート・データに関する第１のデータ・アクセス・ブロックに対する要求、および、第１のデータ・プロセッサおよびプライベート・データに関する１または複数のアクセス・パラメータを記述するデータ・フィルタを含む。本方法は、さらに、クラウド・データ・プライバシー・サービスで、プライベート・データおよびデータ・フィルタに基づいて、第１のデータ・アクセス・ブロックを生成するステップを含む。本方法は、さらに、第１のデータ・アクセス・ブロックをクラウド・データ・プライバシー・サービスからユーザ・デバイスに送信するステップを含む。ユーザ・デバイスは、第１のデータ・アクセス・ブロックを第１のデータ・プロセッサに送信するよう構成される。本方法は、さらに、クラウド・データ・プライバシー・サービスで、第１のデータ・プロセッサからプライベート・データに対する要求を受信するステップを含み、該要求は、第１のデータ・アクセス・ブロックを含む。本方法は、クラウド・データ・プライバシー・サービスで、第１のデータ・プロセッサから受信された第１のデータ・アクセス・ブロックが有効であると決定し、応答して、第１のデータ・プロセッサがプライベート・データに少なくとも部分的なアクセスをすることを許可するステップを含む。

実施形態は、さらに、システムを含む。本システムは、プロセッサと、プログラムを格納するメモリとを含み、プログラムは、プロセッサ上で実行されるとき動作を実行する。本動作は、クラウド・データ・プライバシー・サービスで、第１のデータ・プロセッサが、ユーザに関連付けられたプライベート・データにアクセスすることを許可するための要求をユーザ・デバイスから受信することを含む。要求は、プライベート・データに関する第１のデータ・アクセス・ブロックに対する要求、および、第１のデータ・プロセッサおよびプライベート・データに関する１または複数のアクセス・パラメータを記述するデータ・フィルタを含む。動作は、クラウド・データ・プライバシー・サービスで、プライベート・データおよびデータ・フィルタに基づいて、第１のデータ・アクセス・ブロックを生成することを含む。動作は、第１のデータ・アクセス・ブロックをクラウド・データ・プライバシー・サービスからユーザ・デバイスに送信することを含む。ユーザ・デバイスは、第１のデータ・アクセス・ブロックを第１のデータ・プロセッサに送信するよう構成される。動作は、クラウド・データ・プライバシー・サービスで、第１のデータ・プロセッサからプライベート・データに対する要求を受信することを含み、該要求は、第１のデータ・アクセス・ブロックを含む。動作は、クラウド・データ・プライバシー・サービスで、第１のデータ・プロセッサから受信された第１のデータ・アクセス・ブロックが有効であると決定し、応答して、第１のデータ・プロセッサがプライベート・データに少なくとも部分的なアクセスをすることを許可することを含む。

実施形態は、さらに、非一時的コンピュータ・プログラム製品を含み、コンピュータ・プログラム製品は、そこに具現化されたコンピュータ可読プログラム・コードを有するコンピュータ可読ストレージ媒体を含み、コンピュータ可読プログラム・コードは、１または複数のコンピュータ・プロセッサによって実行されて、動作を実行する。動作は、クラウド・データ・プライバシー・サービスで、第１のデータ・プロセッサが、ユーザに関連付けられたプライベート・データにアクセスすることを許可するための要求をユーザ・デバイスから受信することを含む。要求は、プライベート・データに関する第１のデータ・アクセス・ブロックに対する要求、および、第１のデータ・プロセッサおよび前記プライベート・データに関する１または複数のアクセス・パラメータを記述するデータ・フィルタを含む。動作は、クラウド・データ・プライバシー・サービスで、プライベート・データおよびデータ・フィルタに基づいて、第１のデータ・アクセス・ブロックを生成することを含む。動作は、第１のデータ・アクセス・ブロックをクラウド・データ・プライバシー・サービスからユーザ・デバイスに送信することを含む。ユーザ・デバイスは、第１のデータ・アクセス・ブロックを第１のデータ・プロセッサに送信するよう構成される。動作は、クラウド・データ・プライバシー・サービスで、第１のデータ・プロセッサからプライベート・データに対する要求を受信することを含み、該要求は、第１のデータ・アクセス・ブロックを含む。動作は、クラウド・データ・プライバシー・サービスで、第１のデータ・プロセッサから受信された第１のデータ・アクセス・ブロックが有効であると決定し、応答して、第１のデータ・プロセッサがプライベート・データに少なくとも部分的なアクセスをすることを許可することを含む。

図１は、少なくとも１つの実施形態によるクラウド環境におけるプライバシー中心のデータ・セキュリティのためのシステムを示す。 図２Ａは、少なくとも１つの実施形態によるクラウド環境におけるプライバシー中心のデータ・セキュリティのためのシステムにおけるユーザ・デバイスを示す。 図２Ｂは、少なくとも１つの実施形態によるクラウド環境におけるプライバシー中心のデータ・セキュリティのためのシステムにおけるクラウド・サーバを示す。 図２Ｃは、少なくとも１つの実施形態によるクラウド環境におけるプライバシー中心のデータ・セキュリティのためのシステムにおけるデータ・プロセッサを示す。 図３Ａは、少なくとも１つの実施形態によるクラウド環境におけるプライバシー中心のデータ・セキュリティのためのデータフローを示すフロー図である（１／２）。 図３Ｂは、少なくとも１つの実施形態によるクラウド環境におけるプライバシー中心のデータ・セキュリティのためのデータフローを示すフロー図である（２／２）。 図４Ａは、少なくとも１つの実施形態によるクラウド環境におけるプライバシー中心のデータ・セキュリティのためのデータ構造を示す。 図４Ｂは、少なくとも１つの実施形態によるクラウド環境におけるプライバシー中心のデータ・セキュリティのためのデータ構造を示す。 図４Ｃは、少なくとも１つの実施形態によるクラウド環境におけるプライバシー中心のデータ・セキュリティのためのデータ構造を示す。 図５Ａは、少なくとも１つの実施形態によるクラウド環境におけるプライバシー中心のデータ・セキュリティのためのプライバシー・フィルタを示す。 図５Ｂは、少なくとも１つの実施形態によるクラウド環境におけるプライバシー中心のデータ・セキュリティのためのプライバシー・フィルタを示す。 図５Ｃは、少なくとも１つの実施形態によるクラウド環境におけるプライバシー中心のデータ・セキュリティのためのプライバシー・フィルタを示す。 図６Ａは、少なくとも１つの実施形態によるクラウド環境におけるプライバシー中心のデータ・セキュリティのためのデータ・アクセス・ブロック構造を示す。 図６Ｂは、少なくとも１つの実施形態によるクラウド環境におけるプライバシー中心のデータ・セキュリティのためのデータ・アクセス・ブロック構造を示す。 図７は、少なくとも１つの実施形態によるクラウド環境におけるプライバシー中心のデータ・セキュリティにおけるデータ・アクセス・ブロック構造をナビゲートするための技術を示す。 図８Ａは、少なくとも１つの実施形態によるクラウド環境におけるプライバシー中心のデータ・セキュリティのためのユーザ・インタフェースを示す。 図８Ｂは、少なくとも１つの実施形態によるクラウド環境におけるプライバシー中心のデータ・セキュリティのためのユーザ・インタフェースを示す。 図９は、少なくとも１つの実施形態によるクラウド・コンピューティング環境を示す。 図１０は、少なくとも１つの実施形態による抽象化モデル・レイヤを示す。

現代のつながった世界（connected world）では、データ・プライバシーがますます重要となってきている。実施形態においては、データ・プライバシーは、個人データが、所有者が決定した場所に格納され、データへのアクセスが、任意の時点で所有者のリアルタイム管理下にある、プライバシー中心のシステムを通じて改善される可能性がある。これを促進にするために、ユーザは、ユーザの個人データおよびそのデータに対する許可されたアクセスの範囲を管理するために仮想データ・セーフを所有することができる。実施形態においては、これは、信頼できるサービス・プロバイダによって運用され、ユーザによって選択された地域にインストールされた、クラウド内のセキュア・サービスであってもよい。情報の交換は、この仮想データ・セーフを介して折衝される。さらに、物理的なセキュア・セーフ（キーまたはコードによって開くことができるが、開くかまたはロックのいずれかである）とは異なり、仮想データ・セーフは、そのコンテンツへの部分的なアクセスをロック解除することができる。

実施形態においては、ユーザのプライベート・データを読み取るためのアクセスは、セキュア・アクセス・トークンによって実装される。各データ要求元（例えば、ユーザの医療提供者、金融機関、ソーシャル・メディア・サービスなど）には、要求元がユーザ・データ読み取ることを可能にするトークンが与えられる。ユーザは、さらに、各要求元にいずれのデータのアクセスを許可するかを精密に管理することができ、例えば、医療提供者には、ユーザの医療データの関連する部分へのアクセスを提供し、金融プロバイダには、ユーザの金融データの関連する部分へのアクセスを提供することができる。ユーザは、トークンを取り下げて、要求元へのアクセスを取り消すことができる。実施形態においては、要求元は、ウェブ・サービスまたは適切なＡＰＩ（例えばＲＥＳＴｆｕｌ ＡＰＩ）を介して（仮想データ・セーフに格納された）データにアクセスすることができる。さらに、ユーザは、彼または彼女のデータがアクセスされる毎に通知を受けることを選択してもよい。通知は、要求元のトークンに基づいて項目毎に構成されてもよい。

実施形態においては、ユーザに関するデータを格納することを求めるサービス・プロバイダは、ユーザの仮想データ・セーフに格納することを要求される。信頼される当局は、ユーザの管理の下で、データへのアクセスを要求することができる。ユーザは、リアルタイムでアクセス要求について通知を受けることができ、（例えば、彼女のモバイルへのプッシュ通知またはＳＭＳを介して）同意または拒否することができる。さらに、通知でユーザを圧倒することを避けるため、ユーザは、特定の要求元またはデータ要素に対する次回の通知を、どれだけの頻度で、または、いずれの時間またはイベントの際に受け取るかを決めることができる。さらに、ユーザがアクセスを同意または拒否するために適時に反応できない場合、一時的なアクセスについてユーザが事前同意を提供したデータ要素に対し、一時的なアクセス規則を適用してもよい。

実施形態においては、ユーザは、匿名化されたデータへのより広範囲なアクセスを許可することをさらに選択してもよい。これにより、ユーザは、公開調査に参加することを可能とし、しかし、彼のプライベート・データ内の詳細の開示を限定することができる。例えば、要求元が、限定されたまたは集約した結果のみを受信するように個人に関する具体的な情報は匿名化されてもよい。実施形態においては、仮想データ・セーフのプロバイダは、ユーザは、両当事者が締結したサービス契約に基づき、信頼関係を締結した信頼できる当事者として機能する。

例えば、ユーザは、「所有／複製（ｏｗｎ／ｃｏｐｙ）」とは反対にデータ要素の要求元が一時的にデータを処理し得るがそれを永続的に記憶しない「一時読取りのみ（ｔｅｍｐｏｒａｒｙ ｒｅａｄ ｏｎｌｙ）」のような使用のタイプで特定のデータ要素をタグ付けすることを選択してもよい。ユーザの決定は、ユーザが、信頼できるサービス・プロバイダからリアルタイムに入手するプライバシー・トークンによって実現することができる。ユーザ（プライバシー・トークンの保持者）は、このトークンを、第三者に転送してもよく、この第三者は、次いで、信頼されるサービス・プロバイダに申し入れ、プライバシー・トークンを提示することができる。信頼されたサービス・プロバイダは、プライバシー・トークンに関連する、要求されたデータを引き渡すことができる。

さらに、１つのプライバシー・トークンは、（ユーザからの許可を伴って）二次プライバシー・トークンを生成するために使用されてもよく、これにより、他のエンティティがユーザの同一のプライベート情報またはプライベート情報のサブセットにアクセスすることを許可してもよい。実施形態においては、関与する全ての当事者は、データ所有者の管理の下でデータに紐付けられるポリシーを支持する。すべてのアクセス、トランザクションおよび相互作用は、仮想データ・セーフ上でログ記録される。

図１は、少なくとも１つの実施形態によるクラウド環境におけるプライバシー中心のデータ・セキュリティのためのシステムを示す。１または複数のユーザ・デバイス１００がクラウド・システム１５０と通信可能に結合される。実施形態においては、ユーザ・デバイス１００は、ラップトップ・コンピュータ、デスクトップ・コンピュータ、スマートフォン、タブレットなどを含む任意の適切なユーザ・デバイスを含んでもよい。クラウド・システム１５０は、任意の適切なクラウド・システム（例えば、パブリック・クラウド、プライベート・クラウド、ハイブリッド・クラウドなど）であってもよい。クラウド・システム１５０は、図９および図１０に関連してより詳細に説明される。開示される１または複数の実施形態は、一例として、クラウドベースのシステムを説明するが、非クラウドベースのシステムを含む任意の適切なシステムが使用されてもよい。

ユーザ・デバイス１００は、Ｗｉ‐Ｆｉ（登録商標）接続、セルラ接続、有線接続などを含む任意の適切な通信技術を用いて、クラウド・システム１５０と通信してもよい。実施形態においては、ユーザ・デバイス１００の１つまたは複数は、モバイル・ゲートウェイ１２０を経由したセルラ接続を使用して、クラウド・システム１５０と通信してもよい。さらに、ユーザ・デバイス１００は、ローカル・エリア・ネットワーク、ワイド・エリア・ネットワーク、インターネットなどを含む任意の適切な通信ネットワークを用いてクラウド・システム１５０と通信してもよい。

１または複数のデータ・プロセッサ１８０Ａ～１８０Ｎは、さらに、クラウド・システム１５０と通信可能に結合され、一実施形態においては相互に通信可能に結合される。以下さらに説明するように、データ・プロセッサ１８０Ａ～１８０Ｎは、ユーザ・デバイス１００のユーザに関連付けられたプライベート・データを使用するシステムであってもよい。例えば、データ・プロセッサ１８０Ａ～１８０Ｎは、ソーシャル・ネットワーク、金融機関、医療機関、事業体、教育機関、電子ゲームなどを含んでもよい。データ・プロセッサ１８０Ａ～１８０Ｎは、Ｗｉ‐Ｆｉ（登録商標）接続、セルラ接続、有線接続などを含む任意の適切な通信技術を使用して、クラウド・システム１５０と通信してもよい。さらに、データ・プロセッサ１８０Ａ～１８０Ｎは、ローカル・エリア・ネットワーク、ワイド・エリア・ネットワーク、インターネットなどを含む任意の適切な通信ネットワークを使用して、クラウド・システム１５０と通信してもよい。

実施形態においては、クラウド・システム１５０は、クラウド・プライバシー・サービス１６２を含む。以下後続の図面に関連してさらに説明するように、クラウド・プライバシー・サービス１６２は、ユーザ・デバイス１００とデータ・プロセッサ１８０Ａ～１８０Ｎとの間の相互作用を管理することによって、プライバシー中心のデータ・セキュリティを促進することができる。例えば、実施形態においては、ユーザ・デバイス１００のユーザについてのプライベート・データは、クラウド・システム１５０においてセキュアなリポジトリに維持されてもよく、クラウド・プライバシー・サービス１６２は、データ・プロセッサ１８０Ａ～１８０Ｎによるこのデータへのアクセスを管理することができる。別の例として、ユーザ・デバイスのユーザについてのプライベート・データは、ユーザ・デバイス１００またはユーザによって維持される別のストレージ位置（ユーザの自宅またはオフィス内のストレージ位置）に維持されてもよく、クラウド・プライバシー・サービス１６２は、このデータへのアクセスを管理してもよい。これは、図２Ａ～図２Ｃに関連してさらに詳細に議論される。

以下にさらに議論するように、開示された１または複数の実施形態によれば、ユーザは、クラウド・プライバシー・サービス１６２を使用して、データ・プロセッサ１８０Ａ～１８０Ｎの１つまたは複数に彼のまたは彼女のプライベート・データへのアクセスを許可することができる。このアクセスは一時的であってもよく、限定されてもよい（例えば、ユーザへの通知またはユーザによる同意を要求する）。データ・プロセッサ１８０Ａ～１８０Ｎは、許可された一時的な使用を越えて、ユーザのプライベート・データを維持しない。代わりに、データは、ユーザによって管理されるリポジトリ（例えば、クラウド１５０またはユーザ・デバイス１００）にとどまる。

実施形態においては、データ・プロセッサ１８０Ａ～１８０Ｎの１または複数は、相互に通信してもよい。例えば、データ・プロセッサ１８０Ａは、いくつかの機能をデータ・プロセッサ１８０Ｎに下請けに出す金融サービス・プロバイダであってもよい。別の例として、データ・プロセッサ１８０Ａが、医療提供者であってもよく、データ・プロセッサ１８０Ｎが、保険業者であってもよい。これらは単なる例であり、任意の適切なデータ・プロセッサが使用されてもよい。

以下にさらに説明するように、ユーザは、データ・プロセッサ１８０Ａが、データ・プロセッサ１８０Ｎに（例えば、以下、図３Ａおよび３Ｂおよび図６Ａおよび図６Ｂに関連して議論されるようにデータ・アクセス・ブロックを生成することによって）、ユーザのプライベート・データへのアクセスを許可することを可能してもよい。データ・プロセッサ１８０Ａは、データ・プロセッサ１８０Ｎに対し、データ・プロセッサ１８０Ａに対して許可したものと同一の、任意の通知および同意要件を含むアクセスまたは限定されたアクセス（例えば、ユーザは、医療提供者に、ユーザの略歴情報およびクレジットカード情報への保険業者のアクセスを許可することを可能とし、しかし、ユーザの医療記録には許可しなくてもよい）。これについては、以下、より詳細に説明される。

一実施形態においては、ユーザ・デバイス１００およびデータ・プロセッサ１８０Ａ～１８０Ｎは、適切なアプリケーション・プログラミング・インタフェース（ＡＰＩ）を使用してクラウド・プライバシー・サービス１６２と通信してもよい。例えば、ＲＥＳＴｆｕｌ ＡＰＩまたは任意の他の適切なＡＰＩが使用されてもよい。あるいは、ユーザ・デバイス１００もしくはデータ・プロセッサ１８０Ａ～１８０Ｎまたはその両方は、ウェブページ、ネットワーク・メッセージ、電子メール、ＳＭＳメッセージング、ソーシャル・ネットワーク・メッセージなどを含む任意の他の適切な手段を使用して、クラウド・プライバシー・サービス１６２と通信してもよい。例えば、医療提供者に彼または彼女のプライベート・データへのアクセスを許可することを望むユーザは、クラウド・プライバシー・サービス１６２に、アクセスを許可する医療提供者に電子メールまたはＳＭＳメッセージを送信し、医療提供者にデータへの認可されたアクセスを可能とするためのデータへのリンクを提供するように認可することができる。このようにして、データ・プロセッサ（例えば、医療提供者）は、クラウド・プライバシー・サービス１６２との直接通信を特別に実施することなく、データへアクセスすることができる。

図２Ａ－図２Ｃは、少なくとも１つの実施形態によるクラウド環境におけるプライバシー中心のデータ・セキュリティのためのシステムにおける、ユーザ・デバイス、クラウド・サーバおよびデータ・プロセッサを示す。図２Ａは、ユーザ・デバイス２００（例えば、図１に示すユーザ・デバイス１００の１つ）を示すブロック図である。ユーザ・デバイス２００は、プロセッサ２０２と、メモリ２１０と、ネットワーク・コンポーネント２２０とを含む。プロセッサ２０２は、一般に、メモリ２１０に格納されるプログラミング命令を読み出し、実行する。プロセッサ２０２は、単一の中央処理ユニットＣＰＵ、複数のＣＰＵ、複数の処理コアを有する単一のＣＰＵ、複数の実行パスを有するグラフィックス処理ユニット（ＧＰＵ）などを代表して含まれる。

ネットワーク・コンポーネント２２０は、図１に関連して上記で議論したように、クラウド・システム１５０とインタフェースするためにユーザ・デバイス２００に必要なコンポーネントを含む。例えば、ネットワーク・コンポーネント２２０は、ユーザ・デバイス２００とクラウド・システム１５０との間の通信を促進するための有線、ＷｉＦｉ（登録商標）またはセルラ・ネットワーク・インタフェース・コンポーネントおよび関連するソフトウェアを含んでもよい。

メモリ２１０は、単一のエンティティとして示されるが、メモリ２１０は、ランダム・アクセス・メモリ（ＲＡＭ）、リード・オンリー・メモリ（ＲＯＭ）、フラッシュ・メモリまたは他の種類の揮発性もしくは不揮発性またはその両方のメモリといった、物理アドレスに関連付けられたメモリのブロックを有する１または複数のメモリ・デバイスを含んでもよい。メモリ２１０は、一般に、ユーザ・デバイス・クライアント２００の使用に関連する種々の機能を実行するためのプログラム・コードを含む。プログラム・コードは、一般に、メモリ２１０内の種々の機能性の「アプリケーション」または「モジュール」として説明されるが、代替の実装においては、異なる機能もしくは機能の組み合わせまたはその両方を有してもよい。

メモリ２１０内では、データ所有者サービス２１２は、後続の図面において議論されるように、プライバシー中心のデータ・セキュリティを促進する。例えば、実施形態においては、ユーザ・デバイス２００は、データ・リポジトリ２１４を含む。データ・リポジトリ２１４は、ユーザ・デバイス２００のユーザについてのプライベート・データを格納してもよい。データ所有者サービス２１２は、プライバシー中心のデータ・セキュリティを確実にするために、クラウド・システムにおけるプライバシー・サービス（例えば、図１に示すクラウド・プライバシー・サービス１６２および図２Ｂに示すプライバシー・サービス２６２）と相互作用するために使用されてもよい。これは、後述の図面において、さらに詳細に議論される。

図２Ｂは、クラウド・システム２５０（例えば、図１に示すクラウド・システム１５０）内のサーバ（例えば、図９に関連して以下で議論する仮想マシンまたは物理サーバ）を示すブロック図である。クラウド・システム２５０は、プロセッサ２５２と、メモリ２６０と、ネットワーク・コンポーネント２７０とを含む。プロセッサ２５２は、一般に、メモリ２６０に格納されたプログラミング命令を読み出し、実行する。プロセッサ２５２は、単一の中央処理ユニット（ＣＰＵ）、複数のＣＰＵ、複数の処理コアを有する単一のＣＰＵ、複数の実行パスを有するグラフィックス処理ユニット（ＧＰＵ）などを代表して含まれる。

ネットワーク・コンポーネント２７０は、図１に関連して上記で議論したように、無線通信ネットワークとインタフェースするためにクラウド・システム２５０に必要なコンポーネントを含む。例えば、ネットワーク・コンポーネント２７０は、ユーザ・デバイス２００、クラウド・システム２５０、図２Ｃに示すデータ・プロセッサ２８０との間の通信を促進するための有線、ＷｉＦｉ（登録商標）またはセルラ・ネットワーク・インタフェース・コンポーネントおよび関連するソフトウェアを含んでもよい。

メモリ２６０は、単一のエンティティとして示されるが、メモリ２６０は、ランダム・アクセス・メモリ（ＲＡＭ）、リード・オンリー・メモリ（ＲＯＭ）、フラッシュ・メモリまたは他の種類の揮発性もしくは不揮発性またはその両方のメモリといった、物理アドレスに関連付けられたメモリのブロックを有する１または複数のメモリ・デバイスを含んでもよい。メモリ２６０は、一般に、クラウド・システム２５０の使用に関連する種々の機能を実行するためのプログラム・コードを含む。プログラム・コードは、一般に、メモリ２６０内の種々の機能性の「アプリケーション」または「モジュール」として説明されるが、代替の実装においては、異なる機能もしくは機能の組み合わせまたはその両方を有してもよい。

メモリ２６０内では、クラウド・プライバシー・サービス２６２（例えば、図１に示すクラウド・プライバシー・サービス１６２）は、後続の図面において議論されるように、プライバシー中心のデータ・セキュリティを促進する。例えば、実施形態においては、メモリ２６０は、データ・リポジトリ２６４を含む。データ・リポジトリ２６４は、（例えば、図２Ａに示すようなデータ・リポジトリ２１４に代えて、または、これに加えて）ユーザ・デバイス２００のユーザについてのプライベート・データを格納してもよい。クラウド・プライバシー・サービス２６２は、プライバシー中心データ・セキュリティを確実にするために、図２Ａに示されるデータ所有者サービス２１２および図２Ｃに示されるデータ・プロセッサ・サービス２９２と相互作用するために使用されてもよい。

さらに、実施形態においては、クラウド・プライバシー・サービス２６２は、フィルタ生成サービス２６３を含んでもよい。実施形態においては、フィルタ生成サービス２６３は、データへのアクセス・パラメータ（例えば、通知または同意が必要であるか否か、および、どのデータがアクセス可能であるか）を指定し得る、プライベート・データに対するユーザ定義フィルタを生成するために使用される。これについては、以下、図５Ａに関してより詳細に議論される。さらに、メモリ２６０は、データをデータ・プロセッサ（例えば、図２Ｃに示すデータ・プロセッサ２８０）に提供する前に、プライベート・データをフィルタリングするために使用される１または複数のプライバシー・フィルタ２６６を格納してもよい。クラウド・プライバシー・サービス２６２、データ・リポジトリ２６４およびプライバシー・フィルタ２６６は、すべて、後続の図面においてさらに詳細に議論される。

図２Ｃは、データ・プロセッサ２８０（例えば、図１に示すデータ・プロセッサ１８０Ａ～１８０Ｎの１つ）を示すブロック図である。データ・プロセッサ２８０は、プロセッサ２８２と、メモリ２９０と、ネットワーク・コンポーネント２９６とを含む。プロセッサ２８２は、一般に、メモリ２９０に格納されたプログラミング命令を読み出し、実行する。プロセッサ２８２は、単一の中央処理ユニット（ＣＰＵ）、複数のＣＰＵ、複数の処理コアを有する単一のＣＰＵ、複数の実行パスを有するグラフィックス処理ユニット（ＧＰＵ）などを代表して含まれる。

ネットワーク・コンポーネント２９６は、図１に関して上記で議論したように、データ・プロセッサ２８０が無線通信ネットワークとインタフェースするために必要なコンポーネントを含む。例えば、ネットワーク・コンポーネント２９６は、クラウド・システム２５０とデータ・プロセッサ２８０との間、および、データ・プロセッサ２８０と他のデータ・プロセッサとの間の通信を促進するために、有線、ＷｉＦｉ（登録商標）またはセルラ・ネットワーク・インタフェース・コンポーネントおよび関連するソフトウェアを含んでもよい。

メモリ２９０は、単一のエンティティとして示されるが、メモリ２９０は、ランダム・アクセス・メモリ（ＲＡＭ）、リード・オンリー・メモリ（ＲＯＭ）、フラッシュ・メモリまたは他の種類の揮発性もしくは不揮発性またはその両方のメモリといった、物理アドレスに関連付けられたメモリのブロックを有する１または複数のメモリ・デバイスを含んでもよい。メモリ２９０は、一般に、データ・プロセッサ２８０の使用に関連する種々の機能を実行するためのプログラム・コードを含む。プログラム・コードは、一般に、メモリ２９０内の種々の機能性の「アプリケーション」または「モジュール」として説明されるが、代替の実装においては、異なる機能もしくは機能の組み合わせまたはその両方を有してもよい。

メモリ２９０内では、データ・プロセッサ・サービス２９２は、後続の図面において議論されるように、プライバシー中心のデータ・セキュリティを促進する。例えば、実施形態においては、データ・プロセッサ・サービス２９２は、プライバシー中心データ・セキュリティを確実にするために、図２Ｂに示されるクラウド・プライバシー・サービス２６２と相互作用するために使用され得る。これについては、後続の図面において、詳細に議論される。

図３Ａ～図３Ｂは、少なくとも１つの実施形態によるクラウド環境におけるプライバシー中心のデータ・セキュリティのためのデータフローを示すフロー図３００である。ブロック３０２において、ユーザは、（例えば、図２Ａに示すデータ所有者サービス２１２を使用して）クラウド・プライバシー・サービス２６２にフィルタをアップロードする。実施形態においては、フィルタは、ユーザのプライベート・データへのデータ・プロセッサによるアクセスを管理するために使用される。フィルタは、ユーザによって生成されてもよく（例えば、カスタマー・フィルタ）、あるいは、標準フィルタ（例えば、読み取り専用アクセス、読み取りおよび書き込みアクセスを提供し、アクセス前に検証を必要とすることなど）であってもよい。さらに、実施形態においては、フィルタは、クラウド・プライバシー・サービスによる実行のためのコード（例えば、ソースコードまたはコンパイル済みコード）であってもよい。フィルタは、以下の図５Ａ～図５Ｃに関連してさらに詳細に議論される。

ブロック３０４において、クラウド・プライバシー・サービス２６２は、受信されたフィルタ（例えば、必要に応じて）をコンパイルし、フィルタを（例えば、図２Ｂに示すプライバシー・フィルタ・リポジトリ２６６内に）格納する。例えば、ユーザ・デバイス２００は、ユーザのプライベート・データ（またはユーザのプライベート・データの特定のサブセット）への読み出しアクセスを提供するフィルタのためのソースコードをクラウド・プライバシー・サービスにアップロードしてもよい。クラウド・プライバシー・サービス２６２は、受信されたフィルタをコンパイルし、コンパイルされたフィルタを、後の実行のためプライバシー・フィルタ・リポジトリ２６６に格納してもよい。これについては、再度、以下の図５Ａ～図５Ｃに関してより詳細に気論される。

ブロック３０６においては、ユーザ・デバイス２００は、（例えば、図２Ａに示すデータ所有者サービス２１２を使用して）プライベート・データをクラウド・プライバシー・サービス２６２にアップロードする。図２Ａおよび図２Ｂに関連して上述したように、一実施形態においては、クラウド・システム（例えば、図２Ｂに示されるクラウド・システム２５０）は、ユーザのプライベート・データを（例えば、図２Ｂに示すデータ・リポジトリ２６４に）格納する。この実施形態においては、ユーザ・デバイス２００は、クラウド・プライバシー・サービスにプライベート・データをアップロードする。別の実施形態においては、ユーザのプライベート・データは、クラウド・システム２５０上の代わりに、またはそれに加えて、ほかの場所（例えば、ユーザ・デバイス２００）で維持される。

ブロック３０８においては、クラウド・プライバシー・サービス２６２は、データ・リポジトリ（例えば、図２Ｂに示すデータ・リポジトリ２６４）にプライベート・データを格納する。ブロック３１０においては、ユーザ・デバイス２００は、第１のデータ・プロセッサ（例えば、データ・プロセッサ２８０Ａ）とのセッションを開始する。例えば、上述したように、データ・プロセッサ２８０Ａは、医療プロバイダ、金融機関、またはユーザのプライベート・データへのアクセスを求める任意の他のエンティティであってもよい。

ブロック３１２において、データ・プロセッサ２８０Ａは、ユーザに関連する特定のプライベート・データ要素へのアクセスを要求する。実施形態においては、データ・プロセッサ２８０Ａは、直接、クラウド・サービス（例えば、図１に示されるクラウド・サービス１５０）を介して、または別の通信経路を介して、ユーザ・デバイス２００に通信可能に結合される。データ・プロセッサ２８０Ａは、データアクセス要求をユーザ・デバイスへ（例えば、クラウド・プライバシー・サービス２６２を用いてクラウド・システム２５０を介して）送信する。

ブロック３１４において、ユーザ・デバイス２００は、クラウド・プライバシー・サービス２６２から、要求されたデータおよび要求元エンティティに関連する第１のデータ・アクセス・ブロックを要求する。データ・アクセス・ブロックについては、図６Ａおよび図６Ｂに関してより詳細に説明する。実施形態においては、データ・アクセス・ブロックは、要求元がどのデータにアクセスできるか、および、要求元がそのデータにどのようにアクセスできるか（例えば、常にアクセスを許可する、アクセス毎にユーザからの許可を要求する、日ごと、週ごとまたは月ごとに許可を要求するなど）を記述する。データ・アクセス・ブロックは、さらに、初期要求者に関連する代わりの要求元がどのようにデータにアクセスすることができるかを記述してもよい。例えば、要求元は、医療提供者であってよく、データ・アクセス・ブロックは、医療提供元でだれが情報にアクセスすることができ、いずれのエンティティが医療提供者からの情報を受け取ることができるか（例えば、保険者に対してまたは他の医療提供者に対してどの情報を提供してもよいか）の両方を記述してもよい。実施形態においては、データ・アクセス・ブロックは、ユーザに対しプライベート・データの細粒度の制御を提供する。データ・アクセス・ブロックについては、図６Ａおよび図６Ｂに関連してさらに詳細に議論する。

さらに、ブロック３１４においては、実施形態において、ユーザ・デバイス２００は、データ・アクセス・ブロックに対する追加の詳細レベルのフィルタリングを指定してもよい。実施形態においては、プライバシー・フィルタ（例えば、ブロック３０２でクラウド・プライバシー・サービスにアップロードされたプライバシー・フィルタ）は、データタイプに基づくフィルタリングを指定する。ブロック３１４においては、ユーザ・デバイスは、データ・プロセッサ２８０Ａによって要求された特定のデータに対する追加のフィルタリングを（例えば、既存のフィルタに加えて）指定してもよい。図８Ａおよび図８Ｂは、ブロック３１４を促進にするためのユーザ・インタフェースを議論する。

ブロック３１６においては、クラウド・プライバシー・サービスは、データ・アクセス・ブロックを生成し、（例えば、図２Ｂに示すデータ・リポジトリ２６４の一部として）データ・アクセス・ブロック・レジストリにデータ・アクセス・ブロックを格納する。データ・アクセス・ブロックは、図６Ａおよび図６Ｂに関連してさらに詳細が説明される。

ブロック３１８においては、クラウド・プライバシー・サービス２６２は、要求されたプライベート・データについてのデータ・アクセス・ブロックをユーザ・デバイス２００に送信する。これは、再度、以下の図６Ａおよび図６Ｂに関連してさらに議論される。あるいは、または、加えて、クラウド・プライバシー・サービス２６２は、（例えば、データ・アクセス・ブロックが、以前に生成され、ユーザ・デバイスまたは別の場所で維持される場合に）適切なデータ・アクセス・ブロックの位置をユーザ・デバイス２００に通知してもよい。例えば、クラウド・プライバシー・サービス２６２は、ユーザ・デバイスにローカルに格納されたデータ・アクセス・ブロックに関連付けられた識別子、または、ユーザ・デバイスにアクセス可能な位置を、ユーザ・デバイス２００に通知してもよい。

ブロック３２０において、ユーザ・デバイス２００は、データ・アクセス・ブロックと共にクラウド・プライバシー・サービス２６２に対するアドレスを、データ・プロセッサ２８０Ａ（例えば、第１のデータ要求元）に送信する。例えば、ユーザ・デバイス２００は、クラウド・プライバシー・サービス２６２を識別する統一資源ロケータ（ＵＲＬ）をデータ・プロセッサ２８０に送信してもよい。データ・プロセッサ２８０Ａは、次いで、ＵＲＬを使用してクラウド・プライバシー・サービス２６２にアクセスすることができる。ＵＲＬは、単なる一例であり、任意の適切なアドレスまたは識別子が使用されてもよい。さらに、ユーザ・デバイス２００は、データ・プロセッサ２８０Ａに対し許可されたアクセスを記述するデータ・アクセス・ブロックをデータ・プロセッサ２８０Ａに送信する。データ・アクセス・ブロックは、図６Ａおよび図６Ｂに関連してさらに詳細に議論される。

ブロック３２２においては、データ・プロセッサ２８０Ａは、所望のデータを読み出すために、（例えば、ユーザ・デバイス２００から受信した）データ・アクセス・ブロックをクラウド・プライバシー・サービス２６２に送信する。実施形態においては、データ・プロセッサ２８０Ａは、（例えば、データ・アクセス・ブロックに記述されている通りに）データにアクセスすることを許可され、ブロック３３０においては、クラウド・プライバシー・サービス２６２は、データ・プロセッサ２８０Ａにデータを送信する。

あるいは、または、加えて、ユーザは、要求されたデータにアクセスすることをデータ・プロセッサ２８０が許可される前に、彼女が、通知を受信しなければならないこと、もしくは、同意を提供しなければならないこと、またはその両方をしなければならないことを指定することができる。これは、例えば、適切なフィルタを使用してユーザによって定義されてもよく、要件は、データ・アクセス・ブロックにおいて指定されてもよい。以下に議論するように、ユーザは、異なるデータ・プロセッサに対して（例えば、同意が、一方の商店主がユーザのクレジットカード情報にアクセスするのに必要であるが、他の商店主には不要）異なる制御（例えば、通知が必要、同意が必要またはいずれも必要ではないなど）、および、異なるデータに対して異なる制御（例えば、医療情報へのアクセスには同意が必要とされるが、ユーザの電子メールアドレスでは必要とされない）を定義することができる。ブロック３２４においては、このシナリオでは、クラウド・プライバシー・サービス２６２は、ユーザ・デバイス２００にデータアクセスを通知し、必要に応じて同意を求める。ブロック３２６においては、クラウド・プライバシー・サービスは、後続の要求者のアクセス・ブロックを生成（例えば、要求を示す）し、アクセス・ブロックをレジストリ（例えば、図２Ｂに示すデータ・リポジトリ２６４）に格納する。ブロック３２８においては、ユーザは、データアクセス要件およびユーザの選好に依存して、必要に応じて、データアクセス要求を承認し、同意しまたは拒否する。図８Ａおよび図８Ｂは、ユーザがデータ・アクセス・ブロックを承認し、同意し、または拒否することを可能にするためのユーザ・インタフェースを説明する。ユーザが要求を拒否しないと仮定した場合、フローは、ブロック３３０に進められ、クラウド・プライバシー・サービスは、データおよび後続のアクセス・ブロックをデータ・プロセッサ２８０Ａに送信する。

実施形態においては、複数のデータ・プロセッサ（例えば、総合診療医および専門診療医、医療施設および保険者、金融機関および信用機関、または任意の他の適切なデータ・プロセッサ）が、プライベート・データへのアクセスを求めるかもしれない。ブロック３３２においては、データ・プロセッサ２８０Ａは、クラウド・プライバシー・サービス２６２のＵＲＬおよび後続のアクセス・ブロックを第２のデータ・プロセッサ２８０Ｂに送信する。

ブロック３３４において、第２のデータ・プロセッサ２８０Ｂは、所望のデータに対する要求を後続のアクセス・ブロックと共にクラウド・プライバシー・サービス２６２に送信する。実施形態においては、ユーザは、第１のデータ・プロセッサ２８０Ａと同様に、第２のデータ・プロセッサ２８０Ｂに対してもアクセスを許可している。この実施形態においては、フローは、ブロック３４２に進められ、クラウド・プライバシー・サービス２６２は、第２のデータ・プロセッサ２８０Ｂにデータを送信する。

あるいは、または、加えて、ユーザは、要求されたデータにアクセスすることを第２のデータ・プロセッサ２８０Ｂが許可される前に、彼または彼女が通知を受信するべきこと、もしくは同意を提供しなければならないことまたはその両方を指定してもよい。これは、例えば、適切なフィルタを使用してユーザによって定義することができ、要件が、データ・アクセス・ブロックにおいて指定されてもよい。ブロック３３６においては、このシナリオでは、クラウド・プライバシー・サービス２６２は、データアクセスについてユーザ・デバイス２００に通知し、必要に応じて同意を求める。ブロック３３８においては、クラウド・プライバシー・サービスは、次の後続の要求元アクセス・ブロック（例えば、要求を示す）を生成し、アクセス・ブロックをレジストリ（例えば、図２Ｂに示すデータ・リポジトリ２６４）に格納する。ブロック３４０においては、ユーザは、データアクセス要件およびユーザの選好に依存して、必要に応じて、データアクセス要求を承認し、同意し、または拒否する。図８Ａおよび図８Ｂは、ユーザが、データ・アクセス・ブロックを承認し、同意し、または拒否することを可能とするためのユーザ・インタフェースを説明する。ユーザが要求を拒否しないと仮定した場合、フローは、ブロック３４２に進められ、クラウド・データ・プライバシー・サービスは、データおよび後続のアクセス・ブロックをデータ・プロセッサ２８０Ｂに送信する。

実施形態においては、クラウド・プライバシー・サービス２６２は、ユーザによって指定された継続時間後、データ・プロセッサ２８０Ａ，２８０Ｂが、ユーザのプライベート・データを削除するようさらに要求してもよい。上述したように、プライベート・データは、データ・プロセッサ２８０Ａ，２８０Ｂによって自動的に削除されてもよく（例えば、データ・プロセッサは、プライベート・データへのアクセスが許可されるためには必要に応じてデータを削除することに同意しなければならない）、これは、指定された期間の後に失効する（例えば、自己強制）データのバージョンをデータ・プロセッサに提供することによって、および、クラウド・プライバシー・サービス２６２が、データ・プロセッサにデータを削除する要求を送信することによって強制されてもよい。

図４Ａ～図４Ｃは、少なくとも１つの実施形態によるクラウド環境におけるプライバシー中心のデータ・セキュリティのためのデータ構造を示す。図４Ａは、少なくとも１つの実施形態による、プライベート・ユーザ・データ４０２～４３８の階層図を、データに関連する累積鍵と共に示す。実施形態においては、プライベート・ユーザ・データは、（例えば、図２Ｂに示すクラウド・システム２５０内のデータ・リポジトリ２６４において、または図２Ａに示すユーザ・デバイス２００内のデータ・リポジトリ２１４において）階層関係で格納される。例えば、ユーザの名前が、フィールド４０２に格納される。ユーザの社会保障番号は、名前フィールド４０２の子であるフィールド４０４に格納される。ユーザの電子メールアドレス４０６は、社会保障番号フィールド４０４の兄弟であり、また、名前フィールド４０２の子であるフィールド４０６格納される。ユーザの自宅住所は、電子メール・アドレス・フィールド４０６の子であるフィールド４１４に格納される。

さらに、実施形態においては、所定のプライベート情報のフィールドが、鍵を使用してアクセスされてもよい。これらの鍵は、データ・プロセッサ（例えば、図２Ｃに示すデータ・プロセッサ２８０）に与えられてもよく、データ・プロセッサは、データアクセスを提供するサービス（例えば、図２Ｂおよび図３に示すクラウド・プライバシー・サービス２６２）に鍵を提示してもよい。鍵が有効である場合、サービスは、データを提供する。実施形態においては、各鍵は、（例えば、公開／秘密鍵暗号化または他の適切なデジタル署名を使用して）署名されるか、または、それが有効であることを検証することを確実にされる。

さらに、異なるデータ・プロセッサに異なる署名が備えられてもよく、異なる署名を、だれがデータにアクセスしようとしているかを追跡するために使用してもよい。例えば、図３に示されるように、データ・プロセッサ２８０Ａは、データ・プロセッサ２８０Ｂに提供された署名とは異なる署名とともに鍵を備えてもよく、クラウド・プライバシー・サービス２６２は、これらの異なる署名を使用して、いずれのデータ・プロセッサが所与のデータ・フィールドにアクセスしようとしているかを追跡することができる。例えば、クラウド・プライバシー・サービス２６２は、所与の署名を使用してデータへのアクセスをログ記録することができる。

さらに、一実施形態においては、鍵は、階層的であってもよく、相互に構築されてもよい。例えば、より短い鍵が、より高いレベルのデータへのアクセスを可能としてもよく、一方で、より長い鍵は、より特定の情報へのアクセスを可能としてもよい。図４Ａに示されているように、鍵「Ａ１」は、名前フィールド４０２へのアクセスを提供する。鍵「Ｂ２Ａ１」（例えば、「Ｂ２」の付加を伴う名前フィールドの鍵）は、電子メール・アドレス・フィールド４０６へのアクセスを提供する。鍵「Ｃ１Ｂ２Ａ１」は、自宅住所フィールド４１４へのアクセスを提供する。同様に、鍵「Ｂ３Ａ１」は、ユーザの誕生日へのアクセスを提供する。しかし、より長い鍵が、より具体的な（例えば、よりプライベートな）情報へのアクセスには必要である。鍵「Ｃ２Ｂ３Ａ１」は、健康報告フィールド４１６にアクセスするために必要とされ、鍵「Ｄ２Ｃ２Ｂ３Ａ１」は、一般健康データ・フィールド４２４にアクセスするために必要とされ、鍵「Ｅ２Ｄ２Ｃ２Ｂ３Ａ１」は、アレルギー・データにアクセスするために必要とされる。

さらに、上記で議論し、また図４Ａに示したように、より長い鍵は、より一般的なデータへのアクセスを許可するより短い鍵をその内側に有する。これにより、特定のデータ・フィールドに許可された１つのデータ・プロセッサ（例えば、鍵「Ｄ２Ｃ２Ｂ３Ａ１」を用いて一般健康データ・フィールド４２４へのアクセスを有する医療提供者）が、より短い鍵を他のエンティティに提供し、具体的なデータではなくより一般的なデータへのアクセスを可能にしてもよい（例えば、保険業者に誕生日フィールド４０８へのアクセスを許可するための鍵「Ｂ３Ａ１」を提供するが、一般健康データ・フィールド４２４には提供しない）。階層データおよび階層鍵は、上記で議論したように、単なる例示的な実施形態である。プライベート・データは、任意の他の適切な（例えば、階層的ではない）方法で格納されてもよい。

図４Ｂおよび図４Ｃは、少なくとも１つの実施形態によるテーブル４５０におけるプライベート・データのストレージを示す。例えば、図４Ｂおよび図４Ｃに示されるテーブル４５０は、図４Ａに示されたプライベート・データを（例えば、図２Ｂに示されるようなデータ・リポジトリ２６４、または、または図２Ａに示されるようなデータ・リポジトリ２１４に）格納する（例えば、リレーショナル・データベースまたは任意の他の適切なデータベース内の）データベース・テーブルであってもよい。項目インデックス・カラム４６２は、（例えば、データベースがデータを識別することを可能にするために）データに対するインデックスを提供する。項目ラベル・カラム４６４は、データを説明する。

項目鍵カラム４６６は、データ・プロセッサがデータにアクセスするために使用される鍵を提供する。実施形態においては、鍵は、図４Ａに関連して上述したように階層化されてもよい。値カラム４６８は、データ自体を提供する。既定フィルタ・カラム４７０は、データへのアクセスに対する既定フィルタ・レベルを提供する。例えば、名前データに対する既定フィルタは、データ・プロセッサへの（既定で、特別な同意を伴わずにアクセスを許可する）「常時の読み取り（ｒｅａｄ ａｌｗａｙｓ）」を許可してもよく、一方、一般健康データに対する既定フィルタは、「私による同意（ａｐｐｒｏｖｅ ｂｙ ｍｅ）」が必要であり、ユーザがこのデータへの任意のアクセスを（例えば、既定で）同意することを要求する。実施形態においては、既定フィルタ・レベルは、人間が可読可能な言語を使用することに代えて、（例えば、フィルタリングのレベルを表す一定の整数を使用して）エンコードされてもよい。実施形態においては、図５Ａ～図５Ｃに関して以下議論されるように、特定のフィルタが、ユーザによって提供されてもよい。

図５Ａ～図５Ｃは、少なくとも１つの実施形態によるクラウド環境におけるプライバシー中心のデータ・セキュリティのためのプライバシー・フィルタ（例えば、データ整形フィルタ）を示す。図５Ａは、少なくとも１つの実施形態によるクラウド環境におけるプライバシー中心のデータ・セキュリティのためのプライバシー・フィルタを生成すること、格納することおよび使用することを示す。ブロック５０２において、ユーザ（例えば、データ所有者５００）は、所望のフィルタ・レベルを選択する。実施形態においては、ユーザは、彼のプライベート・データにアクセスするための命令および要件を用いてフィルタ条件をコンパイルする。例えば、ユーザは、「私による同意および＜歯科医＞による一度の読み取り（ａｐｐｒｏｖｅ ｂｙ ｍｅ ａｎｄ ｒｅａｄ ｏｎｃｅ ｂｙ ＜ｄｅｎｔｉｓｔ＞）」および２０１９年８月まで有効であることを指定してもよいであろう。これを提供するためのユーザ・インタフェースが、以下の図８Ａおよび図８Ｂに関連して説明される。

ブロック５０４で、フィルタ生成サービス（例えば、図２Ｂに示すフィルタ生成サービス２６３）がフィルタを生成する。実施形態においては、フィルタ生成は、（例えば、ブロック５０２からの）フィルタ条件を受信し、解析する。フィルタ生成サービスは、次いで、プライバシー・フィルタ言語辞書５０６を用いてフィルタをトークン化する。

例えば、プライバシー・フィルタ言語辞書は、下記を指定してもよい：
Filterterm := Action [Denominator [<Parameter>]] [ | Condition Filterterm]

Ａｃｔｉｏｎは、「同意（ａｐｐｒｏｖｅ）」、「作成（ｃｒｅａｔｅ）」、「読み込み（Ｒｅａｄ）」、「更新（Ｕｐｄａｔｅ）」、「削除（Ｄｅｌｅｔｅ）」、「転送（ｆｏｒｗａｒｄ）」、「検証（ｖａｌｉｄａｔｅ）」または「既定（ｄｅｆａｕｌｔ）」を含む、任意の適切なアクションであってもよい。Ｄｅｎｏｍｉｎａｔｏｒは、「により（ｂｙ）」、「へ（ｔｏ）」、「一度（ｏｎｃｅ）」、「二度（ｔｗｉｃｅ）」、「まったく（ｎｅｖｅｒ）」、「常時（ａｌｗａｙｓ）」、「まで（ｕｎｔｉｌ）」、「のみ（ｏｎｌｙ）」を含む任意の適切な共通の性質であってよい。条件は、「および（ａｎｄ）」、「または（ｏｒ）」、「ではなくて（ａｎｄ ｎｏｔ）」を含む任意の適切な条件であってよい。

フィルタ生成サービスは、次に、トークンを解析し、適切なプログラム・コードを生成し、（必要に応じて）コードを機械実行可能なコードにコンパイルし、フィルタ（例えば、コンパイルされたフィルタ）をフィルタ・リポジトリ５６６に格納してもよい。図５Ｂは、人間が可読なプログラム・コードを含む適切なフィルタの例を示す。

ブロック５１２において、データ・プロセッサ（例えば、図２Ｃに示すデータ・プロセッサ２８０）は、プライベート・データを要求する。実施形態においては、データ・プロセッサは、クラウド・プライバシー・サービスに要求を送信し、有効なデータ・アクセス・ブロックを提供する。これは、上記で図３に関連してより詳細に説明される。

ブロック５１４では、プライバシー・サービス（例えば、図２Ｂに示すクラウド・プライバシー・サービス２６２）が要求を処理する。例えば、プライバシー・サービスは、データ・プロセッサから（例えば、ブロック５１２で送信された）データ・アクセス・ブロックを受信してもよい。プライバシー・サービスは、データ・アクセス・ブロック・レジストリ５６４Ｂ（例えば、図２Ｂに示すデータ・リポジトリ２６４の一部として含まれるデータ・アクセス・ブロック・レジストリ）にアクセスすることができ、レジストリを使用してデータ・アクセス・ブロックを検証することができる。例えば、プライバシー・サービスは、一致するデータ・アクセス・ブロックがデータ・アクセス・ブロック・レジストリ５６４Ｂに含まれているか否かを判定することができる。実施形態においては、データ・アクセス・ブロックは、それが有効であることを確実にするように適切に保護される（例えば、署名される、暗号化されるなど）。

データ・アクセス・ブロックが有効であると仮定する場合、プライバシー・サービスは、プライベート・データ・リポジトリ５６４A（例えば、図２Ｂに示すデータ・リポジトリ２６４の一部）から、要求されたデータにアクセスしてもよい。さらに、プライバシー・サービスは、プライベート・データ・リポジトリ５６４Ａ（例えば、図４Ｂに示す詳細フィルタ・カラム４７０）からのデータのための既定フィルタを検索してもよい。

次に、プライバシー・サービスは、フィルタ・リポジトリ５６６から、要求されたデータに対応する任意のフィルタ・プログラム・モジュールを検索し、フィルタ・プログラム・モジュールを実行してもよい。これは、プライバシー・サービスがデータ所有者５００（例えば、図２Ａに示すユーザ・デバイス２００のユーザ）と連絡し、データ・プロセッサからの要求の通知を提供し、データ所有者５００から（必要に応じてフィルタに依存して）要求の承認、同意または拒否を受信する。実施形態において、図３に関連して議論したように、プライバシー・サービスは、次いで、次のデータ・アクセス・ブロックを生成し、データ・アクセス・ブロック・レジストリ５６４Ｂを更新し、要求元データ・プロセッサにデータを送信してもよい。

図５Ｂおよび図５Ｃは、少なくとも１つの実施形態によるクラウド環境におけるプライバシー中心のデータ・セキュリティのためのプライバシー・フィルタの例を示す。例えば、図５Ｂおよび図５Ｃに示されたテーブル５５０は、（例えば、図５Ａに示すように、フィルタ・リポジトリ５６６内に）フィルタを格納する（例えば、リレーショナル・データベースまたは任意の他の適切なデータベース内の）データベース・テーブルであってもよい。フィルタ識別子カラム５５２は、（例えば、データベースがデータを識別することを可能にするための）データのインデックスを提供する。フィルタ条件カラム５５４は、フィルタに対する短い用語（例えば、図８Ａおよび図８Ｂに関して以下に説明するように、ユーザ・インタフェースで使用するためのユーザ・フレンドリな用語）を識別する。プログラム・モジュール・カラム５５６は、所与の行に対するフィルタを実装する人間が可読なプログラム・コードを示す。これは単なる一例であり、他の適切なプログラム・コードが使用されてもよい。

図６Ａおよび図６Ｂは、少なくとも１つの実施形態によるクラウド環境におけるプライバシー中心のデータ・セキュリティのためのデータ・アクセス・ブロック構造を示す。図６Ａは、少なくとも１つの実施形態による（例えば、上述したような）データ・アクセス・ブロックのための例示的な構造６００を示す。実施形態においては、データ・アクセス・ブロックは、どのデータが、どれだけの期間、特定のデータ・プロセッサにアクセスを許可されるかを追跡し、強制するために使用される。例えば、データ・アクセス・ブロックは、データタイプ（例えば、項目別）によってアクセスを制限してもよく、継続時間（例えば、指定された時間の間のアクセスを可能にする）によって制限してもよい。タイプ・カラム６０２は、データ・アクセス・ブロック内のフィールドのタイプを示し、コンテンツ・カラム６０４は、その行における対応するフィールドの内容を示す。

例えば、データ・アクセス・ブロックは、署名（Ｓｉｇｎａｔｕｒｅ）および後続の一連のブロックから構成される。各ブロックは、日付（Ｄａｔｅ）、１または複数の一連の項目（Ｉｔｅｍ）、および、１または複数の一連のフィルタ（Ｆｉｌｔｅｒ）とから構成されてもよい。日付は、ブロックの生成を示すタイムスタンプであってもよい。項目（Ｉｔｅｍ）は、データ・リポジトリ内の秘密データ項目のための識別子であってもよい。例えば、項目は、データ・フィールドに対応する図４Ｂに示す項目インデックス・カラム４６２内の値であってもよい。フィルタは、（例えば、図５Ｂに示すカラム５５４に示されるような）フィルタ条件、または、フィルタ・リポジトリ内のフィルタに対する（例えば、図５Ｂに示すカラム５５２に示されるような）識別子であってもよい。署名は、ブロックのリストにわたる署名であってもよい。実施形態においては、上述したように、署名は、（例えば、公開鍵暗号を用いて）所有者固有の秘密鍵を用いて、プライバシー・サービス（例えば、図２Ｂに示されるクラウド・プライバシー・サービス２６２）によって生成される。

図６Ｂは、少なくとも１つの実施形態による例示的なデータ・アクセス・ブロック・レジストリ６５０（例えば、図５Ａに示すデータ・アクセス・ブロック・レジストリ５６４Ｂ）を示す。一意の識別子カラム６５２は、各データ・アクセス・ブロックに対する一意の識別子を提供する。要求元かカラム６５４は、データ・アクセス・ブロックの作成につながったデータを要求したデータ・プロセッサのための識別子を提供する。データ・アクセス・ブロック・カラム６５６は、（例えば、図６Ａに示すように）データ・アクセス・ブロックを提供する。ブロック使用カラム６５８は、データ・アクセス・ブロックの使用のログを提供する。例えば、ブロック使用カラム６５８は、要求元カラム６５４によってデータ・アクセス・ブロック・カラム６５６の各使用を追跡することができる。

実施形態においては、ログは、エラーまたは不正なデータアクセスを識別するためにユーザに対し報告を行うために、または他の適切な目的のために使用されてもよい。例えば、一実施形態においては、プライバシー・サービス（例えば、図２に示すクラウド・プライバシー・サービス２６２）は、いずれのデータ・プロセッサがユーザのプライベート・データにアクセスしたかについての報告をユーザに提供してもよい。これは、ユーザに定期的に（例えば、電子メールまたは物理的な郵便を使用して）提供されてもよいし、または、ウェブページで、モバイルアプリケーション内で、または他の適切な位置で、要求によりアクセス可能であってもよい。

図７は、少なくとも１つの実施形態による、クラウド環境におけるプライバシー中心のデータ・セキュリティにおけるデータ・アクセス・ブロック構造をナビゲートするための技術を説明する。図示されるように、ブロック７０２において、プライバシー・サービス（例えば、図２Ｂに示すクラウド・プライバシー・サービス２６２）は、入力パラメータを受信する。ブロック７０４において、プライバシー・サービスは、これらのパラメータを使用して、後続のデータ・アクセス・ブロック（例えば、図３のブロック３２６および３３８に示すように）を生成する。

例えば、ｃｕｒｒｅｎｔＢｌｏｃｋ入力パラメータは、（例えば、図６Ａに示すデータ・アクセス・ブロック構造を使用して）、［＜ｓｉｇｎａｔｕｒｅ＞｜＜ｔｉｍｅｓｔａｍｐ＞｜＜ｉｔｅｍ＿ｉｎｄｅｘ＞｜＜ｆｉｌｔｅｒ＿ｉｎｄｅｘ＞］とすることができる。これは、前回のデータ・アクセス・ブロックを表す。ｓｉｇｎＫｅｙ入力パラメータは、ユーザの固有の秘密鍵とすることができる。ｃｕｒｒｅｎｔＤａｔｅ入力パラメータは、現在の日時を表すタイムスタンプとすることができる。フィルタ・パラメータは、使用するための新しいフィルタであってもよい（例えば、フィルタ・リポジトリ内のフィルタに対するインデックスまたはフィルタの短縮名）。出力は、ブロック７０４に示される人間が可読なコードを使用して、これらの入力に基づいて生成された後続のブロックであってもよい。これは、単なる一例であり、他の適切な技術が使用されてもよい。

図８Ａおよび図８Ｂは、少なくとも１つの実施形態によるクラウド環境におけるプライバシー中心のデータ・セキュリティのためのユーザ・インタフェースを示す。図８Ａは、少なくとも１つの実施形態によるクラウド環境におけるプライバシー中心のデータ・セキュリティのためのデータ・プロセッサ固有のプライバシー・フィルタ制御をユーザに設定させることを可能にするユーザ・インタフェースを示す。ユーザ・デバイス８００は、種々のデータ・プロセッサに対する所望のセキュリティ・パラメータをグラフィカルに設定することを可能にするインタフェース８０２を含む。グラフィカル・アイコン、テキストまたは任意の他の適切な視覚的または音声表現を使用して、ユーザは、どのようにエンティティがユーザのプライベート・データにアクセスすることができるかを定義することができる。

例えば、ユーザは、歯科医に、通知なくユーザの略歴情報（例えば、名前、住所、電話番号）を、通知なくユーザの歯科レコードを読み取ることを許可するが、歯科医は、ユーザの医療情報にアクセスする前に同意を受信する必要があることを指定することができる。別の例として、ユーザは、保険会社は、通知なく略歴情報および自動車情報にアクセスすることができるが、ユーザの医療情報にアクセスすることができないことを指定することができる。

ユーザ・デバイス８００は、アクセス要求の通知をユーザへ提供し、ユーザが要求を同意または拒否することを可能にするインタフェース８０４をさらに含む。例えば、例示された実施形態は、エンティティ「Ｈｙｐｅｒｍａｒｋｅｔ２４／７」（例えば、食料雑貨店）がユーザのクレジットカード情報へのアクセスを求めることを示す。ユーザは、要求を同意または拒否してもよい。

図８Ｂは、少なくとも１つの実施形態によるクラウド環境におけるプライバシー中心のデータ・セキュリティのためにユーザがデータ特定のプライバシー・フィルタ制御を設定することを可能にするユーザ・インタフェースを示す。例えば、ユーザ・デバイス８００は、ユーザのプライベート・データを示すインタフェース８５２を含む。ユーザは、このデータに対する既定のアクセスを制御するために、グラフィカル・アイコン、テキスト表示、音声インジケーションなどを使用してもよい。例えば、ユーザは、既定で、通知または同意なしにユーザの名前および住所にアクセスすることができることを決定してもよい。ユーザは、さらに、既定により、エンティティがユーザのクレジットカード情報にアクセスする前に同意を受信しなければならないことを決定してもよい。ユーザは、さらに、既定で、ユーザの健康レコードに誰もアクセスできないことを決定してもよい。

上述したように、これらの既定の各々は、特定のエンティティに適用される特定のプライバシー・フィルタによって上書きされてもよい。例えば、ユーザは、医療提供者が、同意なく医療データにアクセスすることを可能にするが、医療提供者が、クレジット・カード・データにアクセスする前に同意を求めることを要求するフィルタを（例えば、図８Ａに示されたインタフェースを使用して）作成してもよい。

図９は、少なくとも１つの実施形態によるクラウド・コンピューティング環境を示す。この開示は、クラウド・コンピューティングについての説明を含み得るが、本明細書で詳述される教示の実装は、クラウド・コンピューティング環境に限定されないことに理解されたい。むしろ、実施形態は、現時点で知られた、またはこれから開発される他の任意のタイプのコンピューティング環境と併せて実装可能である。

クラウド・コンピューティングは、最小の管理労力またはサービス・プロバイダとの対話で迅速にプロビジョニングおよびリリースされ得る、構成可能なコンピューティング・リソース（例えば、ネットワーク、ネットワーク帯域、サーバ、処理、メモリ、ストレージ、アプリケーション、仮想マシンおよびサービス）の共有プールへの便利なオンデマンドのネットワーク・アクセスを可能とする、サービス配布のモデルである。このクラウド・モデルは、少なくとも５つの特性、少なくとも３つのサービス・モデルおよび少なくとも４つのデプロイメント・モデルを含む可能性がある。

特性は、以下の通りである。

オンデマンド・セルフ・サービス：クラウド・コンシューマは、サービス・プロバイダとの人的な対話を必要とせずに自動的に必要なだけ、サーバ時間およびネットワーク・ストレージなどのコンピュータ能力を一方的にプロビジョニングすることができる。

広帯域ネットワーク・アクセス：能力は、ネットワーク越しに利用可能であり、異種シン・クライアントまたはシック・クライアント・プラットフォーム（例えば、モバイルフォン、ラップトップ、ＰＤＡ）による使用を促進する標準的なメカニズムを介して、アクセスされる。

リソース・プーリング：プロバイダのコンピューティング・リソースは、マルチ・テナント・モデルを用いて複数のコンシューマに提供するためにプールされ、種々の物理的および仮想的リソースが需要に従って動的に割り当てられ、また、再割り当てられる。コンシューマは、一般的に、提供されるリソースの正確な場所を管理したり、知識を有したりせず、しかし、より高度な抽象レベル（例えば国、州、またはデータセンタ）にて場所を指定することが可能であるという意味で、場所の独立感がある。

迅速な弾力性：能力は、迅速かつ柔軟に、いくつかの場合では自動的に、プロビジョニングされて素早くスケール・アウトすることができ、また、迅速にリリースされて素早くスケール・インすることができる。コンシューマにとって、プロビジョニング利用可能な能力は、しばしば外面的には無制限のように見え、任意の時間に任意の量を購入することができる。

測量されたサービス：クラウド・システムは、サービスのタイプにとって適切なある抽象レベル（例えば、ストレージ、処理、帯域幅、アクティブ・ユーザ数）での計量能力を利用することによって、自動的にリソース使用を制御し、また最適化する。リソース使用量は、監視され、制御されおよび報告されて、利用サービスのプロバイダおよびコンシューマの双方に対する透明性を提供する。

サービス・モデルは、以下の通りである。

ソフトウェア・アズ・ア・サービス（ＳａａＳ）：コンシューマに提供される能力は、クラウド・インフラストラクチャ上で稼働するプロバイダのアプリケーションを使用することである。アプリケーションは、ウェブ・ブラウザ（例えばウェブベースの電子メール）などのシン・クライアント・インタフェースを介して種々のクライアント・デバイスからアクセス可能である。コンシューマは、ネットワーク、サーバ、オペレーティング・システム、ストレージ、または、限定されたユーザ固有のアプリケーション構成設定の潜在的な例外を除いて個々のアプリケーション能力すらも含む下層のインフラストラクチャを管理または制御しない。

プラットフォーム・アズ・ア・サービス（ＰａａＳ）：コンシューマに提供される能力は、プロバイダによってサポートされるプログラミング言語およびツールを用いて作成された、コンシューマ作成または獲得のアプリケーションをクラウド・インフラストラクチャ上にデプロイすることである。コンシューマは、ネットワーク、サーバ、オペレーティング・システムまたはストレージを含む下層のクラウド・インフラストラクチャを管理または制御しないが、デプロイされたアプリケーションおよび場合によってはアプリケーション・ホスティング環境の構成への制御を有する。

インフラストラクチャ・アズ・ア・サービス（ＩａａＳ）：コンシューマに提供される能力は、処理、ストレージ、ネットワーク、および、コンシューマが、オペレーティング・システムおよびアプリケーションを含み得る任意のソフトウェアをデプロイし、稼働させることができる他の基本的なコンピューティング・リソースを提供することである。コンシューマは、下層のクラウド・インフラストラクチャを管理または制御しないが、オペレーティング・システム、ストレージ、デプロイされたアプリケーションに対する制御、および、場合によっては、選択したネットワーキング・コンポーネント（例えば、ホストファイアウォール）の限定された制御を有する。

デプロイメント・モデルは、以下の通りである。

プライベート・クラウド：クラウド・インフラストラクチャは、１つの組織のためだけに使用される。これは、組織または第三者によって管理されてもよく、オンプレミスまたはオフプレミスが存在し得る。

コミュニティ・クラウド：クラウド・インフラストラクチャは、いくつかの組織により共有され、共通の懸念（例えば、ミッション、セキュリティ要件、ポリシーおよびコンプライアンスに関する考慮事項）を有する特定のコミュニティをサポートする。これは、組織または第三者によって管理されてもよく、オンプレミスまたはオフプレミスが存在し得る。

パブリック・クラウド：クラウド・インフラストラクチャは、一般公衆、または、大きな業界団体が利用可能であり、クラウド・サービスを販売する組織によって所有される。

ハイブリッド・クラウド：クラウド・インフラストラクチャは、２以上のクラウド（プライベート、コミュニティまたはパブリック）の混成であり、これらのクラウドは、固有のエンティティのままであるが、しかし、データおよびアプリケーションのポータビリティを可能とする標準化されたまたは独自の技術（例えばクラウド間の負荷分散のためのクラウド・バースティング）によって結合される。

クラウド・コンピューティング環境は、ステートレス性、低結合、モジュール性および意味論的な相互運用性に重点を置いたサービス指向である。クラウド・コンピューティングの核心は、相互接続された複数のノードのネットワークを含むインフラストラクチャである。

ここで、図９を参照すると、例示的なクラウド・コンピューティング環境９５０が示されている。図示するように、クラウド・コンピューティング環境９５０は、１以上のクラウド・コンピューティング・ノード９１０を含み、これと、例えば、ＰＤＡまたは携帯電話９５４Ａ、デスクトップ・コンピュータ９５４Ｂ、ラップトップ・コンピュータ９５４Ｃもしくは自動車コンピュータ・システム９５４Ｎまたはその組み合わせなどの、クラウド・コンシューマによって使用されるローカル・コンピューティング・デバイスが通信してもよい。ノード９１０は、互いに通信してもよい。これらは、プライベート、コミュニティ、パブリックもしくはハイブリッド・クラウドなど上述したような、またはその組み合わせなどの１以上のネットワークにおいて、物理的にまたは仮想的にグループ化（図示しない）されてもよい。これは、クラウド・コンピューティング環境９５０が、インフラストラクチャ、プラットフォームもしくはソフトウェアまたはその組み合わせをサービスとして提供することを可能とし、これらについては、クラウド・コンシューマは、リソースをローカル・コンピューティング・デバイス上で維持する必要がない。図９に示されるコンピューティング・デバイス９５４Ａ～９５４Ｎのタイプは、説明する目的のみであり、コンピューティング・ノード９１０およびクラウド・コンピューティング環境９５０が、任意のタイプのネットワーク、ネットワークアドレス可能な接続（例えば、ウェブ・ブラウザを使用して）またはこれらの両方を介して、任意のタイプのコンピュータ化されたデバイスと通信することができることが理解される。

ここで、図１０を参照すると、クラウド・コンピューティング環境９５０（図９）によって提供される機能抽象レイヤのセットが示される。図１０に示すコンポーネント、層および機能は、説明する目的のみであり、本発明の実施形態は、これらに限定されないことを事前に理解されるべきである。示すように、以下の層および対応する機能が提供される。

ハードウェアおよびソフトウェア・レイヤ１０６０は、ハードウェアおよびソフトウェア・コンポーネントを含む。ハードウェア・コンポーネントの例には、メインフレーム、ＲＩＳＣ（縮約命令セットコンピュータ）アーキテクチャに基づくサーバ、サーバ、ブレードサーバ、ストレージ・デバイス並びにネットワークおよびネットワーキング・コンポーネントを含む。いくつかの実施形態においては、ソフトウェア・コンポーネントの例は、アプリケーション・サーバ・ソフトウェアおよびデータベース・ソフトウェアを含み得る。

仮想化レイヤ１０６２は、抽象化レイヤを提供し、そこから仮想化サーバ、仮想化ストレージ、バーチャル・プライベート・ネットワークを含む仮想化ネットワーク、仮想化アプリケーションおよびオペレーティング・システムおよび仮想クライアントなどの仮想化エンティティの例が提供される。

一例においては、管理レイヤ１０６４は、以下に説明する機能を提供してもよい。リソース・プロビショニングは、クラウド・コンピューティング環境内でタスクを実行するために利用されるコンピューティング・リソースおよび他のリソースの動的な調達を提供する。メータリングおよびプライシングは、リソースがクラウド・コンピューティング環境内で利用されるコストの追跡およびこれらのソースの消費に対する請求またはインボイスの送付を提供する。一例においては、これらのリソースは、アプリケーション・ソフトウェアのライセンスを含んでもよい。セキュリティは、クラウド・コンシューマおよびタスクについての本人確認、並びに、データおよび他のリソースに対する保護を提供する。ユーザポータルは、コンシューマおよびシステム管理者に対しクラウド・コンピューティング環境へのアクセスを提供する。サービス・レベル・マネジメントは、要求されるサービス・レベルを満たすようにクラウド・コンピューティング・リソースの割り当ておよび管理を提供する。サービス・レベル合意（ＳＬＡ）の計画と履行は、ＳＬＡに従って、将来の要求が予期されるクラウド・コンピューティグ・リソースの事前配置および調達を提供する。

ワークロード・レイヤ１０６６は、クラウド・コンピューティング環境が利用される機能性の例を提供する。ワークロードおよびこのレイヤから提供される機能の例には、マッピングおよびナビゲーション、ソフトウェア開発およびライフサイクル管理、仮想クラスルーム教育配信、データ・アナリティクス処理、トランザクション処理、クラウド・プライバシー・サービスが含まれる。一実施形態においては、クラウド・システム２５０のモジュールのいくつかまたはすべてが、ワークロード・レイヤ１０６６において実装されてもよい。例えば、クラウド・プライバシー・サービス２６２、フィルタ生成サービス２６３、データ・リポジトリ２６４およびプライバシー・フィルタ・リポジトリ２６６は、ワークロード・レイヤ１０６６内で実装されてもよいであろう。実施形態においては、クラウド・プライバシー・サービス２６２は、クラウド（例えば、ワークロード・レイヤ１０６６）内のコンピューティング・システム上で実行することができ、データ・リポジトリ２６４およびプライバシー・フィルタ・リポジトリ２６６は、クラウド上に格納される。そうすることにより、クラウドに接続されたネットワーク（例えば、インターネット）に接続された任意のコンピューティング・システムからこの情報へのアクセスが可能になる。

本発明の種々の実施形態の説明は、例示の目的のために提示されたが、しかし、網羅するものでもあるいは開示された実施形態に限定することを意図するものではない。当業者にとって、本発明の説明される実施形態の範囲および精神から逸脱することなく、多くの修正および変形が明らかであろう。本明細書で使用される用語は、実施形態の原理、市場で発見された技術に対する実用的な適用または技術的改善、または当業者が本明細書に開示された実施形態を理解できるように選択されたものである。

以下では、本開示において提示された実施形態が言及される。しかしながら、本開示の範囲は、特定の説明された実施形態に限定されない。代わりに、種々の実施形態に関連するか否かにかかわらず、以下の特徴および要素の任意の組み合わせが、企図された実施形態を実装および実施することが企図される。さらに、本明細書に開示された実施形態は、他の潜在的な解決策または従来技術を越えた利点を達成することができるが、所与の実施形態により特定の利点が達成されるか否かは、本開示の範囲を限定するものではない。よって、以下の側面、特徴、実施形態および利点は、単なる例示であり、特許請求の範囲に明示的に記載されている場合を除き、添付の特許請求の範囲の要素または限定とは見なされない。同様に、「本発明」への言及は、本明細書に開示される本発明の主題の一般化として解釈されるべきではなく、特許請求の範囲に明示的に記載される場合を除き、添付の特許請求の範囲の要素または制限であるとみなされるべきではない。

本発明の側面は、全体としてハードウェアの実施形態、全体としてソフトウェアの実施形態（ファームウェア、常駐ソフトウェア、マイクロコードなどを含む）、または、ソフトウェアとハードウェアの側面を組み合わせた実施形態の形態をとることができ、これらは、本明細書では全て一般的に、「回路」、「モジュール」または「システム」と参照される可能性がある。

本発明は、システム、方法もしくはコンピュータ・プログラム製品またはその組み合わせであってよい。コンピュータ・プログラム製品は、プロセッサに本発明の側面を実行させるためのコンピュータ可読プログラム命令をその上に有するコンピュータ可読ストレージ媒体を含んでもよい。

コンピュータ可読ストレージ媒体は、命令実行デバイスによって使用するための命令を保持し格納する有形のデバイスであってよい。コンピュータ可読ストレージ媒体は、例えば、これに限定されるものではないが、電子的ストレージ・デバイス、磁気ストレージ・デバイス、光学ストレージ・デバイス、電磁気ストレージ・デバイス、半導体ストレージ・デバイスまたは上記の任意の適切な組み合わせであってよい。コンピュータ可読ストレージ媒体のより具体的な例示の非網羅的リストとしては、ポータブル・コンピュータ・ディスケット、ハード・ディスク、ランダム・アクセス・メモリ（ＲＡＭ）、リード・オンリー・メモリ（ＲＯＭ）、消去可能プログラマブル・リード・オンリー・メモリ（ＥＰＲＯＭまたはフラッシュ・メモリ）、スタティック・ランダム・アクセス・メモリ（ＳＲＡＭ）、ポータブル・コンパクト・ディスク・リード・オンリー・メモリ（ＣＤ－ＲＯＭ）、デジタル・バーサタイル・ディスク（ＤＶＤ）、メモリースティック、フロッピーディスク（登録商標）、パンチカードまたは記録された命令を有する溝内の隆起構造のような機械的エンコードされたデバイス、および上記の任意の適切な組み合わせが含まれる。コンピュータ可読ストレージ媒体は、本明細書で使用されるように、電波、自由伝搬する電磁波、導波路または他の伝送媒体を伝搬する電磁波（たとえば、ファイバ光ケーブルを通過する光パルス）または、ワイヤを通して伝送される電気信号のような、それ自体が一時的な信号として解釈されるものではない。

本明細書で説明されるコンピュータ可読プログラム命令は、コンピュータ可読ストレージ媒体からそれぞれのコンピュータ／処理デバイスに、または、例えばインターネット、ローカル・エリア・ネットワーク、ワイド・エリア・ネットワークもしくは無線ネットワークまたはその組み合わせといったネットワークを介して外部コンピュータまたは外部ストレージ・デバイスにダウンロードすることができる。ネットワークは、銅伝送ケーブル、光伝送ファイバ、無線伝送、ルータ、ファイアウォール、スイッチ、ゲートウェイ・コンピュータもしくはエッジサーバまたはその組み合わせを含んでもよい。各コンピュータ／処理デバイスにおけるネットワーク・アダプタ・カードまたはネットワーク・インタフェースは、ネットワークからコンピュータ可読プログラム命令を受信し、コンピュータ可読プログラム命令を、それぞれのコンピューティング／処理デバイス内のコンピュータ可読ストレージ媒体に格納するために転送する。

本発明の動作を実行するためのコンピュータ可読プログラム命令は、アセンブラ命令、命令セットアーキテクチャ（ＩＳＡ）命令、機械語命令、機械依存命令、マイクロコード、ファームウェア命令、状態設定データ、または、１以上のプログラミング言語の任意の組み合わせで書かれたソースコードあるいはオブジェクト・コードであってよく、１以上のプログラミング言語は、Ｓｍａｌｌｔａｌｋ（登録商標）、Ｃ＋＋またはこれらに類するもなどのオブジェクト指向言語、Ｃプログラミング言語または類似のプログラミング言語などの従来型の手続型言語を含む。コンピュータ可読プログラム命令は、スタンド・アローンのソフトウェア・パッケージとして、全体としてユーザのコンピュータ上で、部分的にユーザのコンピュータ上で、部分的にユーザのコンピュータ上かつ部分的に遠隔のコンピュータ上で、または、完全に遠隔のコンピュータまたはサーバ上で実行されてもよい。後者のシナリオでは、遠隔のコンピュータは、ユーザのコンピュータに、ローカル・エリア・ネットワーク（ＬＡＮ）またはワイド・エリア・ネットワーク（ＷＡＮ）を含む任意のタイプのネットワークを通じて接続されてもよく、あるいは接続は、（例えば、インターネット・サービス・プロバイダを用いてインターネットを通じて）外部コンピュータになされてもよい。いくつかの実施形態においては、電気的回路は、本発明の側面を実行するために、コンピュータ可読プログラム命令の状態情報を利用して、電気的回路を個別化することによって、コンピュータ可読プログラム命令を実行してもよく、この電気的回路は、例えば、プログラマブル・ロジック回路、フィールド・プログラマブル・ゲート・アレイ（ＦＰＧＡ）、またはプログラマブル・ロジック・アレイ（ＰＬＡ）を含む。

本発明の側面は、本明細書において、本発明の実施形態に従った方法、装置（システム）およびコンピュータ・プログラム製品のフローチャート図もしくはブロック図またはその両方を参照しながら、説明される。フローチャート図もしくはブロック図またはその両方の各ブロック、および、フローチャート図もしくはブロック図またはその両方における複数のブロックの組み合わせは、コンピュータ可読プログラム命令によって実装されてもよいことが理解されよう。

これらのコンピュータ可読プログラム命令は、汎用コンピュータ、特定目的コンピュータのプロセッサまたは他のプログラマブル・データ処理装置に提供され、コンピュータのプロセッサまたは他のプログラマブル・データ処理装置を介して実行される命令が、フローチャート図もしくはブロックまたはその両方のブロックまたは複数のブロックにおいて特定される機能／作用を実装するための手段を作成するように、マシンを生成する。これらのコンピュータ可読プログラム命令は、また、コンピュータ、プログラマブル・データ処理装置もしくは他のデバイスまたはその組み合わせに特定のやり方で機能するよう指示できるコンピュータ可読ストレージ媒体に格納され、それに格納された命令を有するコンピュータ可読ストレージ媒体に、フローチャートもしくはブロックまたはその両方のブロックまたは複数のブロックで特定される機能／作用の側面を実装する命令を含む製品が含まれるようにする。

コンピュータ可読プログラム命令は、また、コンピュータ、他のプログラマブル・データ処理装置、または他のデバイスにロードされ、コンピュータ、他のプログラマブル・データ処理装置または他のデバイス上で一連の動作ステップを実行させて、コンピュータ、他のプログラマブル・データ処理装置または他のデバイス上で実行される命令が、フローチャートもしくはブロックまたはその両方のブロックまたは複数のブロックで特定される機能／作用の側面を実装するように、コンピュータ実装処理を生成することもできる。

図面におけるフローチャートおよびブロック図は、本発明の種々の実施形態に従ったシステム、方法およびコンピュータ・プログラム製品の可能な実装のアーキテクチャ、機能および動作を示す。この点に関して、フローチャートまたはブロック図の各ブロックは、特定の論理機能を実装するための１以上の実行可能な命令を含む、モジュール、セグメントまたは命令の部分を表す可能性がある。いくつかの代替の実装では、ブロックにおいて言及された機能は、図面に示された順序から外れて生じる可能性がある。例えば、連続して示される２つのブロックは、実際には、実質的に同時に実行されてもよく、あるいは、複数のブロックは、関与する機能性に応じて逆の順序で実行されてもよい。ブロック図もしくはフローチャート図またはその両方の各ブロックおよびブロック図もしくはフローチャート図またはその両方の複数のブロックの組み合わせが、特定の機能または作用を実行し、または、特別な目的のハードウェアおよびコンピュータ命令の組み合わせを実施する、特定目的ハードウェアベースのシステムによって実装されてもよいことに留意されたい。

上記は、本発明の実施を態様としながら、本発明の他の実施形態およびさらなる実施形態が、その基本的な範囲から逸脱することなく、工夫されてもよく、その範囲は以下の特特許請求の範囲によって定まる。

Claims (20)

1. クラウド・データ・プライバシー・サービスで、第１のデータ・プロセッサがユーザに関連付けられたプライベート・データにアクセスすることを許可するための要求をユーザ・デバイスから受信するステップであって、前記要求は、
   前記プライベート・データに関する第１のデータ・アクセス・ブロックに対する要求、および、
   前記第１のデータ・プロセッサおよび前記プライベート・データに関する１または複数のアクセス・パラメータを記述するデータ・フィルタ
   を含む、受信するステップと、
   前記クラウド・データ・プライバシー・サービスで、前記プライベート・データおよび前記データ・フィルタに基づいて、前記第１のデータ・アクセス・ブロックを生成するステップと、
   前記第１のデータ・アクセス・ブロックを前記クラウド・データ・プライバシー・サービスから前記ユーザ・デバイスに送信するステップであって、前記ユーザ・デバイスは、前記第１のデータ・アクセス・ブロックを前記第１のデータ・プロセッサに送信するよう構成される、送信するステップと、
   前記クラウド・データ・プライバシー・サービスで、前記第１のデータ・プロセッサから前記プライベート・データに対する要求を受信するステップであって、該要求は、前記第１のデータ・アクセス・ブロックを含む、受信するステップと、
   前記クラウド・データ・プライバシー・サービスで、前記第１のデータ・プロセッサから受信された前記第１のデータ・アクセス・ブロックが有効であると決定し、応答して、前記第１のデータ・プロセッサが前記プライベート・データに少なくとも部分的なアクセスをすることを許可するステップと
   を含む、方法。
2. 前記第１のデータ・プロセッサに許可される前記プライベート・データに対する前記少なくとも部分的なアクセスの範囲は、前記第１のデータ・アクセス・ブロックに基づく、請求項１に記載の方法。
3. 前記クラウド・データ・プライバシー・サービスで、前記第１のデータ・プロセッサから受信した前記第１のデータ・アクセス・ブロックに基づいて、前記第１のデータ・プロセッサに前記プライベート・データへのアクセスを許可する前に、前記データ・フィルタがユーザの同意を指定すると判定するステップをさらに含み、これに応答して、
   前記クラウド・データ・プライバシー・サービスから前記ユーザ・デバイスに同意のための要求を送信するステップと、
   前記クラウド・データ・プライバシー・サービスで、前記ユーザ・デバイスからの同意を示すメッセージを受信するステップと
   を含む、請求項１または２に記載の方法。
4. 前記クラウド・データ・プライバシー・サービスで、前記データ・フィルタがユーザの同意を指定すると判定するステップは、
   前記第１のデータ・プロセッサから受信した前記第１のデータ・アクセス・ブロックに基づいて、前記データ・フィルタに対する識別子を決定するステップと、
   前記識別子に基づいて、フィルタ・リポジトリから前記データ・フィルタを読み出すステップと
   を含む、請求項３に記載の方法。
5. 前記データ・フィルタは、前記ユーザ・デバイスでの前記ユーザからの入力に基づいて生成される、請求項４に記載の方法。
6. 前記クラウド・データ・プライバシー・サービスで、前記第１のデータ・プロセッサから受信された前記第１のデータ・アクセス・ブロックが有効であると決定することは、
   前記第１のデータ・アクセス・ブロックに対するデジタル署名が有効であると決定すること
   を含む、請求項１～５のいずれか１項に記載の方法。
7. 前記ユーザ・デバイスは、前記第１のデータ・アクセス・ブロックと共に前記クラウド・データ・プライバシー・サービスに対するアドレスを前記第１のデータ・プロセッサに送信するように構成され、前記第１のデータ・プロセッサは、前記アドレスに基づいて、前記プライベート・データに対する前記要求を前記クラウド・データ・プライバシー・サービスに送信するように構成される、請求項１～６のいずれか１項に記載の方法。
8. 前記第１のデータ・プロセッサによって第２のデータ・プロセッサに、前記プライベート・データの少なくとも一部に対するアクセスを提供するステップをさらに含み、該ステップは、
   前記クラウド・データ・プライバシー・サービスで、前記第１のデータ・アクセス・ブロックに基づいて、前記第２のデータ・プロセッサに関連する第２のデータ・アクセス・ブロックを生成するステップと、
   前記クラウド・データ・プライバシー・サービスから前記第１のデータ・プロセッサに前記第２のデータ・アクセス・ブロックを送信するステップであって、前記第１のデータ・プロセッサは、前記第２のデータ・アクセス・ブロックを前記第２のデータ・プロセッサに提供するよう構成される、ステップと、
   前記クラウド・データ・プライバシー・サービスで、前記第２のデータ・プロセッサから、前記プライベート・データの前記少なくとも一部へアクセスするための要求を受信するステップであって、該要求は、前記第２のデータ・アクセス・ブロックを含む、受信するステップと、
   前記クラウド・データ・プライバシー・サービスで、前記第２のデータ・プロセッサから受信した前記第２のデータ・アクセス・ブロックが有効であると決定するステップと、応答して、前記第２のデータ・プロセッサが前記プライベート・データの前記少なくとも一部へ少なくとも部分的なアクセスをすることを許可するステップと
   を含む、請求項１～７のいずれか１項に記載の方法。
9. 前記第２のデータ・アクセス・ブロックは、前記第２のデータ・プロセッサに対する前記プライベート・データの一部のみへのアクセスを反映する、請求項８に記載の方法。
10. 前記第１のデータ・アクセス・ブロックをデータ・アクセス・ブロック・レジストリに格納するステップ
    をさらに含む、請求項１～９のいずれか１項に記載の方法。
11. 前記第１のデータ・プロセッサは、限定された期間、前記プライベート・データに対するアクセスを許可され、前記第１のデータ・プロセッサは、前記限定された期間が満了した後、前記プライベート・データを除去するよう構成される、請求項１～１０のいずれか１項に記載の方法。
12. 前記クラウド・データ・プライバシー・サービスは、前記第１のデータ・プロセッサとは独立したパブリック・クラウド環境において稼働し、前記プライベート・データは、前記パブリック・クラウド環境において維持される、請求項１～１１のいずれか１項に記載の方法。
13. プロセッサと、
    プログラムを格納するメモリと
    を含み、前記プログラムは、前記プロセッサ上で実行されるとき動作を実行し、前記動作は、
    クラウド・データ・プライバシー・サービスで、第１のデータ・プロセッサが、ユーザに関連付けられたプライベート・データにアクセスすることを許可するための要求をユーザ・デバイスから受信することであって、前記要求は、
    前記プライベート・データに関する第１のデータ・アクセス・ブロックに対する要求、および、
    前記第１のデータ・プロセッサおよび前記プライベート・データに関する１または複数のアクセス・パラメータを記述するデータ・フィルタ
    を含む、受信することと、
    前記クラウド・データ・プライバシー・サービスで、前記プライベート・データおよび前記データ・フィルタに基づいて、前記第１のデータ・アクセス・ブロックを生成することと、
    前記第１のデータ・アクセス・ブロックを前記クラウド・データ・プライバシー・サービスから前記ユーザ・デバイスに送信することであって、前記ユーザ・デバイスは、前記第１のデータ・アクセス・ブロックを前記第１のデータ・プロセッサに送信するよう構成される、送信することと、
    前記クラウド・データ・プライバシー・サービスで、前記第１のデータ・プロセッサから前記プライベート・データに対する要求を受信することであって、該要求は、前記第１のデータ・アクセス・ブロックを含む、受信することと、
    前記クラウド・データ・プライバシー・サービスで、前記第１のデータ・プロセッサから受信された前記第１のデータ・アクセス・ブロックが有効であると決定し、応答して、前記第１のデータ・プロセッサが前記プライベート・データに少なくとも部分的なアクセスをすることを許可することと
    を含む、システム。
14. 前記第１のデータ・プロセッサに許可される前記プライベート・データに対する前記少なくとも部分的なアクセスの範囲は、前記第１のデータ・アクセス・ブロックに基づく、請求項１３に記載のシステム。
15. 前記動作は、
    前記クラウド・データ・プライバシー・サービスで、前記第１のデータ・プロセッサから受信した前記第１のデータ・アクセス・ブロックに基づいて、前記第１のデータ・プロセッサに前記プライベート・データへのアクセスを許可する前に、前記データ・フィルタがユーザの同意を指定すると判定することをさらに含み、これに応答して、
    前記クラウド・データ・プライバシー・サービスから前記ユーザ・デバイスに同意のための要求を送信することと、
    前記クラウド・データ・プライバシー・サービスで、前記ユーザ・デバイスから、同意を示すメッセージを受信することと
    をさらに含む、請求項１３または１４に記載のシステム。
16. 前記動作は、
    前記第１のデータ・プロセッサによって第２のデータ・プロセッサに、前記プライベート・データの少なくとも一部に対するアクセスを提供することをさらに含み、該提供することは、
    前記クラウド・データ・プライバシー・サービスで、前記第１のデータ・アクセス・ブロックに基づいて、前記第２のデータ・プロセッサに関連する第２のデータ・アクセス・ブロックを生成することと、
    前記クラウド・データ・プライバシー・サービスから前記第１のデータ・プロセッサに前記第２のデータ・アクセス・ブロックを送信することであって、前記第１のデータ・プロセッサは、前記第２のデータ・アクセス・ブロックを前記第２のデータ・プロセッサに提供するよう構成される、送信することと、
    前記クラウド・データ・プライバシー・サービスで、前記第２のデータ・プロセッサから、前記プライベート・データの前記少なくとも一部へアクセスするための要求を受信することであって、該要求は、前記第２のデータ・アクセス・ブロックを含む、受信することと、
    前記クラウド・データ・プライバシー・サービスで、前記第２のデータ・プロセッサから受信した前記第２のデータ・アクセス・ブロックが有効であると決定することと、応答して、前記第２のデータ・プロセッサが前記プライベート・データの前記少なくとも一部へ少なくとも部分的なアクセスをすることを許可することと
    を含む、請求項１３～１５のいずれか１項に記載のシステム。
17. 非一時的コンピュータ・プログラム製品であって、前記コンピュータ・プログラム製品は、
    そこに具現化されたコンピュータ可読プログラム・コードを有するコンピュータ可読ストレージ媒体であって、前記コンピュータ可読プログラム・コードは、１または複数のコンピュータ・プロセッサによって実行されて、動作を実行し、前記動作は、
    クラウド・データ・プライバシー・サービスで、第１のデータ・プロセッサが、ユーザに関連付けられたプライベート・データにアクセスすることを許可するための要求をユーザ・デバイスから受信することであって、前記要求は、
    前記プライベート・データに関する第１のデータ・アクセス・ブロックに対する要求、および、
    前記第１のデータ・プロセッサおよび前記プライベート・データに関する１または複数のアクセス・パラメータを記述するデータ・フィルタ
    を含む、受信することと、
    前記クラウド・データ・プライバシー・サービスで、前記プライベート・データおよび前記データ・フィルタに基づいて、前記第１のデータ・アクセス・ブロックを生成することと、
    前記第１のデータ・アクセス・ブロックを前記クラウド・データ・プライバシー・サービスから前記ユーザ・デバイスに送信することであって、前記ユーザ・デバイスは、前記第１のデータ・アクセス・ブロックを前記第１のデータ・プロセッサに送信するよう構成される、送信することと、
    前記クラウド・データ・プライバシー・サービスで、前記第１のデータ・プロセッサから前記プライベート・データに対する要求を受信することであって、該要求は、前記第１のデータ・アクセス・ブロックを含む、受信することと、
    前記クラウド・データ・プライバシー・サービスで、前記第１のデータ・プロセッサから受信された前記第１のデータ・アクセス・ブロックが有効であると決定し、応答して、前記第１のデータ・プロセッサが前記プライベート・データに少なくとも部分的なアクセスをすることを許可することと
    を含む、コンピュータ・プログラム製品。
18. 前記第１のデータ・プロセッサに許可される前記プライベート・データに対する前記少なくとも部分的なアクセスの範囲は、前記第１のデータ・アクセス・ブロックに基づく、請求項１７に記載のコンピュータ・プログラム製品。
19. 前記動作は、
    前記クラウド・データ・プライバシー・サービスで、前記第１のデータ・プロセッサから受信した前記第１のデータ・アクセス・ブロックに基づいて、前記第１のデータ・プロセッサに前記プライベート・データへのアクセスを許可する前に、前記データ・フィルタがユーザの同意を指定すると判定することをさらに含み、これに応答して、
    前記クラウド・データ・プライバシー・サービスから前記ユーザ・デバイスに同意のための要求を送信することと、
    前記クラウド・データ・プライバシー・サービスで、前記ユーザ・デバイスから、同意を示すメッセージを受信することと
    をさらに含む、請求項１７または１８に記載のコンピュータ・プログラム製品。
20. 前記動作は、
    前記第１のデータ・プロセッサによって第２のデータ・プロセッサに、前記プライベート・データの少なくとも一部に対するアクセスを提供することをさらに含み、該提供することは、
    前記クラウド・データ・プライバシー・サービスで、前記第１のデータ・アクセス・ブロックに基づいて、前記第２のデータ・プロセッサに関連する第２のデータ・アクセス・ブロックを生成することと、
    前記クラウド・データ・プライバシー・サービスから前記第１のデータ・プロセッサに前記第２のデータ・アクセス・ブロックを送信することであって、前記第１のデータ・プロセッサは、前記第２のデータ・アクセス・ブロックを前記第２のデータ・プロセッサに提供するよう構成される、送信することと、
    前記クラウド・データ・プライバシー・サービスで、前記第２のデータ・プロセッサから、前記プライベート・データの前記少なくとも一部へアクセスするための要求を受信することであって、該要求は、前記第２のデータ・アクセス・ブロックを含む、受信することと、
    前記クラウド・データ・プライバシー・サービスで、前記第２のデータ・プロセッサから受信した前記第２のデータ・アクセス・ブロックが有効であると決定することと、応答して、前記第２のデータ・プロセッサが前記プライベート・データの前記少なくとも一部への少なくとも部分的なアクセスをすることを許可することと
    を含む、請求項１７～１９のいずれか１項に記載のコンピュータ・プログラム製品。

Images