JP4550056B2

JP4550056B2 - データ・アクセス制御機能を実現する方法、システム、およびプログラム・ストレージ・デバイス

Info

Publication number: JP4550056B2
Application number: JP2006523632A
Authority: JP
Inventors: ベッツ、リンダ; ダイカ、ジョン; ファレル、ウォルター; ガスキ、リチャード; カルヨト、ギュンター; ネルソン、マーク; フィッツマン、ビルギット; シュンター、マティアス; ヴァイドナー、ミヒャエル
Original assignee: International Business Machines Corp
Current assignee: International Business Machines Corp
Priority date: 2003-08-19
Filing date: 2004-08-16
Publication date: 2010-09-22
Anticipated expiration: 2024-08-16
Also published as: KR20060061820A; JP2007503035A; TW200519696A; US20070250913A1; KR100877650B1; CN1836195A; EP1660967A1; US20050044409A1; US7302569B2; CN100504714C; US7617393B2; TWI303785B; WO2005017720A1

Description

本発明は、一般に、コンピュータ・システム内の個人情報のセキュリティに関し、詳細には、企業のコンピュータ・システム内の個人識別情報（ＰＩＩ：personally identifying information）オブジェクトまたはリソースに対するユーザによるアクセスを制御する条件付きアクセス機能の実現および使用に関する。

コンピューティング技術および通信技術の進歩は、人および組織が膨大な量の個人情報を保管し処理することを可能にすることにより、プライバシを圧縮し続けている。データのプライバシを確保するため、保管データ、転送中のデータを保護し、データのリリースをある程度制御することが必要である。保管データの保護は新たに開発されたプライバシ・ポリシー言語およびその執行によりある程度カバーされるが、企業のコンピューティング機能内からの個人識別情報の正しい使用を保証し、したがって、そのリリースを制御するために現在提案されているメカニズムはまったく存在しない。伝統的に、コンピュータ・システムのセキュリティを管理するには、組織のセキュリティ・ポリシーを比較的低レベルの制御セット、概して、アクセス制御リストにマッピングすることが必要であった。すなわち、個別ユーザ（人または論理プロセス）はまずコンピューティング・システムに対して十分に識別され認証されるものと想定すると、保護されたコンピュータ・システム内の文書、プログラム、機能、およびその他の「オブジェクト」に対する個別ユーザのアクセスは、単に所与のオブジェクトにアクセスする資格がある人の名前のリストとユーザの名前を比較することにより、セキュリティ・システム、たとえば、システム・セキュリティ・マネージャによって制御される。一般的に言えば、この技法は任意アクセス制御またはＤＡＣとして知られている。

米国政府内およびその他で広範に使用されるコンピュータ・システムのセキュリティのためのより高性能かつ十分開発されたモデルによれば、コンピューティング・システム内のオブジェクトへのアクセスは、ユーザおよび保護コンピュータ・リソース・オブジェクトに関連する論理セキュリティ・レベル（階層的なもの）またはカテゴリ（階層的ではないもの）あるいはその両方により実現された区画化の論理システムによって制御することができる。このようなシステムは、「マルチレベル・セキュア」（「ＭＬＳ：multilevel secure」）システムと呼ばれ、１９７３年１１月発行のＭＩＴＲＥＲｅｐｏｒｔ、ＭＴＲ２５４７の「Ｓｅｃｕｒｅｃｏｍｐｕｔｅｒｓｙｓｔｅｍｓ：Ｍａｔｈｅｍａｔｉｃａｌｆｏｕｎｄａｔｉｏｎｓａｎｄｍｏｄｅｌ」においてＤ．ＢｅｌｌおよびＬ．ＬａＰａｄｕｌａによって定義されたＢｅｌｌ−ＬａＰａｄｕｌａセキュリティ・モデルの実現例である。このようなシステムの開発、検証、および実現には相当な投資が行われている。

ＭＬＳシステムでは、（割当てにより）最高のセキュリティ・レベルおよび最大数のカテゴリに関連するユーザは、システム内で最高のセキュリティ・レベルを有するものと言われている。保護オブジェクトを読み取るための権限は、要求側ユーザが（コンピューティング・システムに対する適切な識別および認証後）少なくとも要求されたオブジェクトのものと同じ高さの関連セキュリティ・レベルを有し、ユーザが要求されたオブジェクトに関連するものを含む１組のカテゴリ（１つまたは複数）を有するときに、ユーザに付与される。この場合、ユーザは、そのオブジェクトより「上位になる」と言われている。逆に、ＭＬＳ保護オブジェクトに書き込むための権限は、要求されたオブジェクトが少なくとも要求側ユーザのものと同じ高さの関連セキュリティ・レベルを有し、そのオブジェクトが少なくとも要求側ユーザに関連するカテゴリを含む１組のカテゴリを有するときに、ユーザに付与される。この場合、オブジェクトはユーザより上位になると言われている。Ｂｅｌｌ−ＬａＰａｄｕｌａモデルによって定義されたこれらのプリンシパルにより、ＭＬＳ保護情報は、より低いセキュリティ・レベルからより高いセキュリティ・レベルに、またはより少数のカテゴリからより多数のカテゴリに、あるいはその両方で移動するので、あるオブジェクトから読み取られ、他のオブジェクトに書き込まれたときに、よりセキュアなものになりうることが分かる。逆に、実際上、Ｂｅｌｌ−ＬａＰａｄｕｌａモデルの逆である許可検査のためのモデルは、１９７７年発行の米国空軍電子システム部門のＴｅｃｈｎｉｃａｌＲｅｐｏｒｔ７６−３７２の「Ｉｎｔｅｇｒｉｔｙｃｏｎｓｉｄｅｒａｔｉｏｎｓｆｏｒｓｅｃｕｒｅｃｏｍｐｕｔｅｒｓｙｓｔｅｍｓ」においてＫ．Ｂｉｂａによって記載されている。Ｂｉｂａは、データおよびプログラミング・システムが、その作成時に使用されたデータおよびプログラミング・システムの保全性と、このような保全性を保証するための処理モデルに依存することを示している。Ｂｅｌｌ−ＬａＰａｄｕｌａ（ＭＬＳ）モデルとＢｉｂａモデルの「逆ＭＬＳ（MLS-inverse）」態様の両方は、コンピューティング業界、たとえば、インターナショナル・ビジネス・マシーンズ社（ＩＢＭ）によって提供されるｚ／ＯＳオペレーティング・システムの任意選択のコンポーネントであるリソース・アクセス管理機能（ＲＡＣＦ）というプログラム内で現在、使用されている。ｚ／アーキテクチャについては、２００１年１０月発行の「ｚ／ＡｒｃｈｉｔｅｃｔｕｒｅＰｒｉｎｃｉｐｌｅｓｏｆＯｐｅｒａｔｉｏｎ」というタイトルのＩＢＭ資料（資料番号ＳＡ２２−７８３２−０１）に記載されている。さらに、ＲＡＣＦについては、２００２年９月発行の「ｚ／ＯＳＶ１Ｒ４．０ＳｅｃｕｒｉｔｙＳｅｒｖｅｒＲＡＣＦＳｅｃｕｒｉｔｙＡｄｍｉｎｉｓｔｒａｔｏｒ'ｓＧｕｉｄｅ」というタイトルのＩＢＭ資料（ＳＡ２２−７６８３−０３）に記載されている。
１９７３年１１月発行のＭＩＴＲＥＲｅｐｏｒｔ、ＭＴＲ２５４７の「Ｓｅｃｕｒｅｃｏｍｐｕｔｅｒｓｙｓｔｅｍｓ：Ｍａｔｈｅｍａｔｉｃａｌｆｏｕｎｄａｔｉｏｎｓａｎｄｍｏｄｅｌ」２００１年１０月発行の「ｚ／ＡｒｃｈｉｔｅｃｔｕｒｅＰｒｉｎｃｉｐｌｅｓｏｆＯｐｅｒａｔｉｏｎ」というタイトルのＩＢＭ資料（資料番号ＳＡ２２−７８３２−０１）２００２年９月発行の「ｚ／ＯＳＶ１Ｒ４．０ＳｅｃｕｒｉｔｙＳｅｒｖｅｒＲＡＣＦＳｅｃｕｒｉｔｙＡｄｍｉｎｉｓｔｒａｔｏｒ'ｓＧｕｉｄｅ」というタイトルのＩＢＭ資料（ＳＡ２２−７６８３−０３）２００２年１０月発行の「ＤＢ２ＵＤＢｆｏｒＯＳ／３９０Ｖ７ＡｎＩｎｔｒｏｄｕｃｔｉｏｎｔｏＤＢ２ｆｏｒＯＳ／３９０」という資料（ＳＣ２６−９９３７−０２）１９９０年にマサチューセッツ州レディングのＡｄｄｉｓｏｎ−Ｗｅｓｌｅｙから発行されたＳ．Ｓｋｉｅｎａによる「ＩｍｐｌｅｍｅｎｔｉｎｇＤｉｓｃｒｅｔｅＭａｔｈｅｍａｔｉｃｓ：ＣｏｍｂｉｎａｔｏｒｉｃｓａｎｄＧｒａｐｈＴｈｅｏｒｙｗｉｔｈＭａｔｈｅｍａｔｉｃａ」の§５．４．２の「ＨａｓｓｅＤｉａｇｒａｍｓ」の１６３、１６９〜１７０、および２０６〜２０８ペー

ＰＩＩ保護オブジェクトの制御に関する要件は、保護オブジェクトおよびそれにアクセスするユーザのカテゴリ化を伴う手法に傾いている。ＭＬＳ保護オブジェクトにカテゴリを割り当てるのと同様に、ＰＩＩ保護オブジェクトに目的を割り当てることができる。しかし、ＰＩＩデータ・オブジェクトの制御に関する要件は基本的に、より多くの目的（そのためにアクセスが行われる可能性があるもの）がそれに関連するときにＰＩＩデータ・オブジェクトが必要とするセキュリティが低くなるという点で、ＭＬＳ保護オブジェクトの制御に関する要件とは異なっている。これは、目的の数が増えると、ＰＩＩデータ・オブジェクトがあまりプライベートなものではなくなることを意味するからである。ＰＩＩ目的とＭＬＳカテゴリとの類似性を引き出すことができる場合でも、階層的なＭＬＳセキュリティ・レベルに関しては同様の類似性はまったく存在しない。加えて、伝統的なＭＬＳ手法ではユーザとオブジェクトを扱うが、ＰＩＩ目的については、単純にユーザを考慮することができず、ユーザならびにユーザが実行するプログラム（プロセス）と、ＰＩＩデータにアクセスするためにプログラムが有する理由（目的）の両方を考慮しなければならない。したがって、当技術分野では、効率の良いプライバシ・モデルを実現し、たとえば企業全域の情報フローを不当に制限せずに個人情報のリリースおよび伝搬の精密な制御を可能にする、本明細書で提示されているような新規のデータ・アクセス制御機能が必要である。

一態様では、本発明は、ＰＩＩデータ・オブジェクトへのアクセスを制御するための備えを有するデータ・アクセス制御機能を実現する方法を提供する。この方法は、１つのＰＩＩデータ・オブジェクトがそれに割り当てられた１つのＰＩＩ分類ラベルを有するように、ＰＩＩ分類ラベルをＰＩＩデータ・オブジェクトに割り当てるステップと、ＰＩＩデータ・オブジェクトを読み取るか、書き込むか、または再分類するアプリケーション機能のリストを有する少なくとも１つのＰＩＩ目的対応機能セット（ＰＳＦＳ：purpose serving function set）を定義するステップと、各ＰＳＦＳにＰＩＩ分類ラベルを割り当てるステップとを含む。ここで、ＰＩＩデータ・オブジェクトは、そのＰＩＩデータ・オブジェクトのＰＩＩ分類ラベルに等しいかまたはその適切なサブセットであるＰＩＩ分類ラベルを有するＰＩＩＰＳＦＳのアプリケーション機能を介してのみアクセス可能である。

一実施形態は、ＰＩＩデータ・オブジェクトは、そのＰＩＩデータ・オブジェクトのＰＩＩ分類ラベルに等しいかまたはそれより優位であるＰＩＩ分類ラベルを有するＰＩＩＰＳＦＳのアプリケーション機能によって書込みアクセス可能である。ＰＩＩデータ・オブジェクトは、ＰＩＩＰＳＦＳに許可されるＰＩＩ再分類のリストを有するＰＩＩＰＳＦＳのアプリケーション機能によって書込みアクセス可能である場合もある。

一実施形態では、この方法は、データ・アクセス制御機能の特定の機能を呼び出すユーザを識別し、識別されたユーザにＰＩＩクリアランス・セット（clearance set）を割り当てるステップを含む。ここで、ＰＩＩクリアランス・セットは識別されたユーザに関する１つまたは複数のＰＩＩ分類ラベルのリストを有する。

ＰＩＩデータ・オブジェクトに割り当てられたＰＩＩ分類ラベルは、ＰＩＩデータ・オブジェクトの所有者の識別を含むことができる。

ＰＩＩデータ・オブジェクトに割り当てられたＰＩＩ分類ラベルは、そのためにデータ・オブジェクトを使用できる少なくとも１つの目的の表示を含むことができる。

この方法は、初めにデータ・アクセス制御機能を使用するために企業内のＰＩＩ目的を定義し、ＰＩＩデータ・オブジェクトに割り当てられ、少なくとも１つのＰＳＦＳに割り当てられるＰＩＩ分類ラベルを定義する際に上記ＰＩＩ目的を使用するステップを含むことができる。

本発明の他の態様では、データ・アクセス制御機能がＰＩＩデータ・オブジェクトおよび少なくとも１つのＰＩＩ目的対応機能セット（ＰＳＦＳ）に割り当てられる個人識別情報（ＰＩＩ）分類ラベルを有し、ＰＳＦＳがＰＩＩデータ・オブジェクトを読み取るかまたは書き込むアプリケーション機能のリストを含み、データ・アクセス制御機能のユーザに、少なくとも１つのＰＩＩ分類ラベルを含むリストを有するＰＩＩクリアランス・セットが割り当てられる状況において、次のデータ・アクセス制御方法が提供される。すなわち、データ・アクセス制御機能のユーザにより、特定の機能を呼び出すステップと、特定の機能がデータ・アクセス制御機能の少なくとも１つのＰＩＩＰＳＦＳのうちの１つのＰＩＩＰＳＦＳに対して定義されているかどうかを判定し、そうである場合に、ユーザのＰＩＩクリアランス・セットがそのＰＩＩＰＳＦＳに割り当てられたＰＩＩ分類ラベルと一致するＰＩＩ分類ラベルを含むかどうかを判定し、さらにそうである場合に、特定の機能へのアクセスを許可するステップと、特定の機能を実行するために、ユーザが、選択されたデータ・オブジェクトへのアクセスを許可されているかどうかを判定するステップとを含むデータ・アクセス制御方法が提供される。

このデータ・アクセス制御方法は、呼出しステップの前に、データ・アクセス制御機能のセキュリティ制御下でオペレーティング・システム内のプロセスを確立するステップを含むことができる。この呼出しは、その後、確立されたプロセス内で行われる。

特定の機能が定義されているかどうかを判定するステップは、特定の機能がデータ・アクセス制御機能のＰＩＩＰＳＦＳに対して定義されておらず、確立されたプロセスについて現行プロセス・ラベル（ＣＰＬ：current process label）が事前に設定されている場合に、特定の機能へのアクセスを拒否するステップを含むことができる。

ユーザが、特定の機能を実行するために選択されたデータ・オブジェクトへのアクセスを許可されているかどうかを判定するステップは、選択されたデータ・オブジェクトがＰＩＩデータ・オブジェクトから構成されるかどうかを判定し、そうである場合に、ユーザの特定の機能がデータ・アクセス制御機能の少なくとも１つのＰＩＩＰＳＦＳのうちの１つのＰＩＩＰＳＦＳに対して定義されていることを検証し、そうではない場合に、選択されたデータ・オブジェクトへのアクセスを拒否するステップを含むことができる。

ユーザが、特定の機能を実行するために選択されたデータ・オブジェクトへのアクセスを許可されているかどうかを判定するステップは、選択されたデータ・オブジェクトがＰＩＩデータ・オブジェクト以外のものである場合に、確立されたプロセスについて現行プロセス・ラベル（ＣＰＬ）が設定されているかどうかを判定するステップを含むことができる。ＣＰＬがまったく設定されていない場合、この方法は、任意アクセス制御検査を介して選択されたデータ・オブジェクトにアクセス決定を提供するステップを含むことができる。

ユーザが、特定の機能を実行するために選択されたデータ・オブジェクトへのアクセスを許可されているかどうかを判定するステップは、そのプロセスについてＣＰＬが事前に設定されており、選択されたデータ・オブジェクトがＰＩＩデータ・オブジェクト以外のものである場合に、特定の機能が読取り操作であるかどうかを判定し、そうである場合に、任意アクセス制御検査を介して選択されたデータ・オブジェクトにアクセス決定を提供し、特定の機能が読取り操作以外のものである場合に、確立されたプロセスから選択されたデータ・オブジェクトへのアクセスを拒否するステップを含むことができる。

ユーザが、特定の機能を実行するために選択されたデータ・オブジェクトへのアクセスを許可されているかどうかを判定するステップは、特定の機能が読取り操作を有するかどうかを判定し、そうである場合に、特定の機能が定義されているＰＩＩＰＳＦＳに割り当てられたＰＩＩ分類ラベルが選択されたデータ・オブジェクトに関連するＰＩＩ分類ラベルに等しいかまたはその適切なサブセットであるかどうかを判定し、そうではない場合に、選択されたデータ・オブジェクトへのアクセスを拒否し、そうである場合に、確立されたプロセスに関する現行プロセス・ラベル（ＣＰＬ）リストに選択されたデータ・オブジェクトのＰＩＩ分類ラベルを追加するステップを含むことができる。

ユーザが、特定の機能を実行するために選択されたデータ・オブジェクトへのアクセスを許可されているかどうかを判定するステップは、特定の機能が読取り操作以外のものであることを決定し、そうであるときに、確立されたプロセスに関する現行プロセス・ラベル（ＣＰＬ）リストが存在するかどうかを判定し、そうではない場合に、任意アクセス制御検査を介して続行するために選択されたデータ・オブジェクトにアクセス決定を与えるステップを含むことができる。

確立されたプロセスに関するＣＰＬリストが存在する場合、このデータ・アクセス制御方法は、選択されたデータ・オブジェクトのＰＩＩ分類ラベルがＣＰＬ項目のそれぞれに等しいかまたはその適切なサブセットであるかどうかを判定し、そうである場合に、任意アクセス制御検査を介して続行するために選択されたデータ・オブジェクトにアクセス決定を与えるステップを含むことができる。

ＰＩＩデータ・オブジェクトのＰＩＩ分類が各ＣＰＬリスト項目のＰＩＩ分類ラベルに等しくないかまたはその適切なサブセットではない場合、この方法は、特定の機能が定義されているＰＩＩＰＳＦＳがＣＰＬリスト内のＰＩＩ分類ラベル（複数も可）からＰＩＩデータ・オブジェクトのＰＩＩ分類ラベルへの再分類を可能にするかどうかを判定し、そうである場合に、任意アクセス制御検査を介して続行するために選択されたデータ・オブジェクトにアクセス決定を与え、そうではない場合に、ＰＩＩデータ・オブジェクトへのユーザ・アクセスを拒否するステップを含むことができる。

このデータ・アクセス制御方法は、確立されたプロセスに対して、該確立されたプロセス内で読み取られた各ＰＩＩデータ・オブジェクトのＰＩＩ分類ラベルの動的リストを有する現行プロセス・ラベル（ＣＰＬ）リストを提供するステップ含むことができる。

このデータ・アクセス制御方法は、特定の機能が第２のＰＩＩデータ・オブジェクトへの書込み操作であるときに、確立されたプロセスのユーザが第２のＰＩＩデータ・オブジェクトにアクセスできるようにするかどうかを判定するときにＣＰＬリストを使用するステップをさらに含むことができる。第２のＰＩＩデータ・オブジェクトは、それから情報が読み取られたＰＩＩデータ・オブジェクトに関連するＰＩＩ分類ラベルとは異なるＰＩＩ分類ラベルを有し、それにより、読み取られた情報を再分類することができる。

このデータ・アクセス制御方法は、少なくとも１つのＰＩＩＰＳＦＳに関連する「再分類許可（reclassification allowed）」パラメータを提供するステップ含むことができる。「再分類許可」パラメータが設定されている場合、そのパラメータが、対応する少なくとも１つのＰＩＩＰＳＦＳ内で定義されたすべての機能に関連付けられる。そして、ＣＰＬリストに含まれるＰＩＩ分類ラベルのそれぞれと同一ではないかまたはその適切なサブセットではないＰＩＩ分類ラベルを有するＰＩＩデータ・オブジェクトに情報を書き込むときに、そのパラメータにより、これらの機能のうちの１つを実行するユーザはＰＩＩデータ・オブジェクトを再分類することを許可される。

上記で要約されている方法に対応するシステムおよびコンピュータ・プログラムも本明細書に記載され、請求されている。このコンピュータ・プログラムは、記録媒体に記録されたコンピュータ・プログラムとして入手可能なものまたはデータ転送媒体を介してダウンロード用として入手可能なものにすることができる。このシステムはデータ・アクセス制御機能を実現することができる。

さらに、追加の特徴および利点は、本発明の技法により実現される。本発明のその他の諸実施形態および諸態様は、本明細書に詳細に記載され、請求された発明の一部と見なされる。

本発明と見なされる主題は、特許請求の範囲で詳細に指摘され、明確に請求されている。本発明の上記その他の特徴および利点は、添付図面に併せて示した以下の詳細な説明から明らかである。

本明細書には、個人識別情報（ＰＩＩ）に関するセキュリティを提供するデータ・アクセス制御機能が提示されている。この機能により、ＰＩＩ情報へのアクセスは、プライバシ分類コンピュータ化リソース（おおざっぱに、本明細書では「オブジェクト」または「データ・オブジェクト」という）へのアクセスが行われるコンピュータ・プロセスの実行中またはその実行に至るときに存在する（または実施される）可能性がある様々な「条件」に基づくものである。このような条件は、（１）そこでユーザがＰＩＩオブジェクトへのアクセスを要求したアプリケーション機能、（２）ユーザがコンピューティング機能に対してどのように識別され認証されるか、（３）ユーザがどこにいるか、（４）要求の時間、（５）プログラムにより確認できるその他のコンテキスト上および環境上の要因を含むことができるが、これらに限定されない。

本発明の一態様によれば、任意の所与のアクセス制御検査イベントに条件を適用できる方法がいくつか存在する。たとえば、（１）プライバシ分類は、ユーザがＰＩＩ機密オブジェクトにアクセスしようとしたときに実施される条件に動的に基づいてそのユーザに割り当てることができるか、または（２）その代わりに（またはしかも）、あるオブジェクトに対するプライバシ分類は、同様の条件、時には同じ条件に動的に基づくものにすることができる。したがって、本明細書に提示されているデータ・アクセス制御機能は、アクセス・イベント状況の力学により、ＰＩＩ分類オブジェクトおよび機能の種々の「セット」へのアクセスをユーザまたはコンピュータ・プロセスに対して有利に許可し、それにより、個人識別情報へのアクセスを必要とする情報プロセスのセキュリティに柔軟性を追加し、そのセキュリティを強化する。

おおざっぱに言えば、本明細書には（一態様では）、データ・アクセス制御機能を実現するための技法が開示されており、これは、個人識別情報（ＰＩＩ）分類ラベルをＰＩＩオブジェクトに割り当てることを含み、各ＰＩＩデータ・オブジェクトはそれに割り当てられた１つのＰＩＩ分類ラベルを有する。少なくとも１つのＰＩＩ目的対応機能セット（ＰＳＦＳ）が定義され、これは、ＰＩＩデータ・オブジェクトを読み取るか、書き込むか、または再分類するアプリケーション機能のリストを有する。各ＰＳＦＳにもＰＩＩ分類ラベルが割り当てられる。使用されている場合、ＰＩＩオブジェクトは、そのオブジェクトのＰＩＩ分類ラベルに等しいかまたはそのサブセットであるＰＩＩ分類ラベルを有するＰＩＩＰＳＦＳのアプリケーション機能を介してのみ読み取ることができるか、またはそのオブジェクトのＰＩＩ分類ラベルに等しいかまたはそれより優位であるＰＩＩ分類ラベルを有するかまたはＰＳＦＳによって許可されたＰＩＩ再分類のリストを有するＰＩＩＰＳＦＳのアプリケーション機能を介してのみ書き込むことができる。

操作上、データ・アクセス制御機能の使用は、コンピューティング・システム内で実行されているコンピューティング・アプリケーションのユーザにより、特定の機能を呼び出すことと、特定の機能がデータ・アクセス制御機能のＰＳＦＳに対して定義されているかどうかを判定し、そうである場合に、ユーザのＰＩＩクリアランス・セット（少なくとも１つのＰＩＩ分類ラベルを含むリストを有するもの）がそのＰＳＦＳに割り当てられたＰＩＩ分類ラベルと一致するＰＩＩ分類ラベルを含むかどうかを判定し、そうである場合に、特定の機能へのアクセスを許可することと、特定の機能を実行するために、ユーザが、選択されたデータ・オブジェクトへのアクセスを許可されているかどうかを判定することを含む。したがって、以下に詳細に説明する通り、本発明の一態様によるＰＩＩデータ・アクセス制御機能は、初めにユーザが特定の機能にアクセスする資格があるかどうかを判定し、その後、ユーザが、選択されたデータ・オブジェクトへのアクセスを許可されているかどうかを判定するために使用される。

ＰＩＩデータ・アクセス制御機能についてより詳細に論ずる前に、以下の論理構成体を定義する。本明細書で論じられる例では、ＰＩＩ制御機能は、病院事業に使用されるものと想定される。この想定は一例に過ぎない。

ＰＩＩ分類ラベル：
ＰＩＩデータ・オブジェクトの所有者をリストし、そのためにこのように分類されたＰＩＩデータ・オブジェクトを使用でき、所有者によって選択された１つまたは複数の目的のリストを含む。例としては、所有者であるユーザＩＤｘ、目的である医療、処理、報告、請求などがある。ＰＩＩ保護データ・オブジェクト内に含まれる情報の後続ユーザは、元の所有者によって同意され、ＰＩＩ分類ラベルに指定された目的にのみ、その情報を使用することができる。そのためにＰＩＩオブジェクトを使用できる目的は、ユーザがそのデータに対して実行することを許可されている機能内で具体化される。

ＰＩＩ目的対応機能セット（ＰＳＦＳ）：
ＰＩＩオブジェクトを読み取る／書き込むアプリケーション機能のリストである。ＰＳＦＳ自体は、特定のＰＩＩ分類ラベルでラベルが付けられる。所与のＰＳＦＳ内の機能のリストは、特定プログラム、アプリケーション、ＥＪＢ（ＥｎｔｅｒｐｒｉｓｅＪａｖａＢｅａｎ）、メソッド、データベース管理開始手順、ＳＱＬ照会などのアプリケーション内の機能を含むことができる。ＰＳＦＳは任意選択で、指定のＰＳＦＳを実行しているユーザが、同じコンピュータ・オペレーティング・システム・プロセス内でユーザが事前に読み取ったＰＩＩデータのＰＩＩラベル（複数も可）が記録されている現行プロセス・ラベル（ＣＰＬ）内に保管されたＰＩＩラベル（複数も可）に含まれない目的を含むＰＩＩラベルを有するＰＩＩオブジェクトにデータを書き込む場合および書き込むときに、指定のＰＳＦＳによって許可されたＰＩＩ分類変更（再分類）のリストを含むことができる。

ＰＩＩデータ・オブジェクト：
関連ＰＩＩ分類ラベルが付いた任意のリソース、文書、プログラム、機能などである。所与のＰＩＩオブジェクトは、１つのＰＩＩ分類ラベルのみを有することができる。ＰＩＩデータ・オブジェクトの所有者は、オブジェクトならびにそのオブジェクトを使用できる目的（複数も可）に関連するラベルに含まれる。完璧にするため、ＰＩＩデータ・オブジェクトの所有者は、本発明の主題であるＰＩＩアクセス制御検査が全般的なアクセス制御検査プロセス内のその部分を完了した後のある点におけるアクセス制御検査中に活動し始めるので、この説明に含まれる。より具体的には、ＰＩＩ保護データ・オブジェクトの所有者は、それ自体のデータ・オブジェクトのみにアクセスすることができ、他の所有者によって所有されているＰＩＩ保護データ・オブジェクトにアクセスすることはできず、この概念は、当技術分野内でＤＡＣとして知られている任意アクセス制御検査によって実施される。

サブジェクト：
ユーザＩＤおよびグループＩＤ（ユーザＩＤのグループ）は、（ＰＩＩデータの）所有者および企業ユーザ、すなわち、データ・オブジェクトにアクセスし、その企業機能の一部として特定の目的対応機能セット（複数も可）により機能を実行するために企業セキュリティ管理によって許可を与えられているものを含む。

ユーザＰＩＩクリアランス・セット：
企業ユーザに割り当てられるＰＩＩ分類ラベル（複数も可）のリストである。ユーザＰＩＩクリアランス・セットは、その中からユーザが企業内で機能を実行することを許可される１つまたは複数の目的対応機能セットを確立するものである。たとえば、管理者は、｛報告｝、｛請求、報告｝というＰＩＩクリアランス・セットを有することができ、したがって、それにより、｛報告｝または｛請求、報告｝のいずれか一方のＰＩＩラベルを有する目的対応機能セット内に入るように定義される機能を実行することを許可される。医師は、｛医療｝、｛医療、報告｝というＰＩＩクリアランス・セットを有することができ、したがって、｛医療｝または｛医療、報告｝のいずれか一方のＰＩＩラベルを有する目的対応機能セット内に入るように定義される機能を実行することを許可される。看護士は、｛処置｝、｛医療、処置｝というＰＩＩクリアランス・セットを有することができる。

ＰＩＩ現行プロセス・ラベル（ＣＰＬ）：
ユーザのオペレーティング・システム・プロセスに動的に割り当てられ、ユーザがＰＩＩ保護オブジェクトにアクセスするときに、それに応じて更新されるＰＩＩラベルである。ＣＰＬは、所与のコンピュータ・オペレーティング・システム・プロセス中にユーザが読み取る任意の１つまたは複数のＰＩＩオブジェクトのＰＩＩラベルのレコードを含むように動的に更新される。

セキュリティ管理者は、特定の企業に関するＰＩＩデータ・アクセス制御機能をセットアップするものと想定されている。管理上、この機能の実現は以下のものを含むことができる。
１）セキュリティ管理者は、たとえば、ＰＩＩデータ・アクセス制御機能を実施するＩＢＭのＲＡＣＦなどのセキュリティ・マネージャに対して有効な目的セットを定義する。病院の例の場合は以下の通りである。
この企業に関する有効なＰＩＩ目的は、以下のものを含むことができるであろう。
目的１（例：医療）
目的２（例：処置）
目的３（例：請求）、・・・
目的ｎ（例：報告）
２）セキュリティ管理者は、様々なリソース／オブジェクトにＰＩＩラベルを割り当てる。
オブジェクト名（例：要約医療レコード（SummaryMedical Record））
ＰＩＩ分類ラベル（例：｛医療、報告｝）
３）セキュリティ管理者は、個別ユーザおよびユーザのグループを定義するが、これは進行中の活動である。たとえば、ユーザは以下のものを毎日変更することができる。
ユーザＩＤａ（例：患者であるユーザ）グループＰＡＴＩＥＮＴＳに追加する
ユーザＩＤｘ（例：看護士であるユーザ）グループＮＵＲＳＥＳに追加する
ユーザＩＤｙ（例：医師であるユーザ）グループＤＯＣＴＯＲＳに追加する
４）セキュリティ管理者は、適切な各ユーザにユーザＰＩＩクリアランス・セットを割り当てる。たとえば、以下の通りである。
ユーザＩＤｘ（例：看護士であるユーザ）ＰＩＩクリアランス・セット（例：［｛処置｝、｛医療、処置｝］）
５）セキュリティ管理者は、セキュリティ・マネージャに対して目的対応機能セット（複数も可）を定義する。
ＰＳＦＳ名前１
関連プログラム機能のリスト
プログラムｘ
メソッドｙ
ＥｎｔｅｒｐｒｉｓｅＪａｖａＢｅａｎｚ
６）セキュリティ管理者は、ＰＳＦＳにＰＩＩラベルを割り当てる。
ＰＳＦＳ名前１−ＰＩＩ分類ラベル｛医療、処置｝
７）セキュリティ管理者は、ＰＩＩオブジェクトに書き込むためにこのＰＳＦＳが使用されるときに行うことが許可されるＰＩＩ再分類を割り当てる。すなわち、｛医療、処置｝から｛医療、報告｝への再分類が許可される。所与のＰＳＦＳは、その実行中に許可される再分類の集団（したがって、リスト）を有することができる。

図１は、本発明の一態様により、リレーショナル・データベース管理システムおよびストレージ１２内に（またはその中の）完全医療レコード（Complete Medical Record）１４，要約医療レコード１６、患者会計レコード（Patient FinancialRecord）１８などのＰＩＩオブジェクトを入力する（またはそれにアクセスする）個人識別情報（ＰＩＩ）所有者１０（病院事業の一例における患者など）の一例を示している。操作上、患者１０は、患者用に作成された目的対応機能セット（ＰＳＦＳ）内の特定の機能を呼び出すことができる。この特定の機能は、インターナショナル・ビジネス・マシーンズ社によって提供されるＤＢ２リレーショナル・データベース管理システムなどのリレーショナル・データベース管理システム内のＰＩＩデータ・オブジェクトを保管するために使用することができ、これについては、２００２年１０月発行の「ＤＢ２ＵＤＢｆｏｒＯＳ／３９０Ｖ７ＡｎＩｎｔｒｏｄｕｃｔｉｏｎｔｏＤＢ２ｆｏｒＯＳ／３９０」という資料（ＳＣ２６−９９３７−０２）に記載されている。データは、適切な事前定義ＰＩＩ分類ラベルが付いた個々のテーブル行列位置に保管することができる。患者の個人データは、その後、異なるＰＩＩ分類ラベルが付いた様々なＰＩＩデータ・オブジェクト内に常駐する。図１の例では、｛医療、処置｝、｛医療、報告｝、｛請求、報告｝というラベルは一例としてのみ示されている。その後、患者は、指定されたＰＳＦＳ機能を介して自分自身のＰＩＩデータ・オブジェクトを表示することができ、これにより、特定の患者はその患者が所有者であるＰＩＩオブジェクトのみを表示できることになるであろう。

図２は、本明細書に開示されているようなＰＩＩデータ・アクセス制御機能を実現する企業コンピューティング環境の一例を示している。この例では、ＰＩＩデータの所有者または企業の従業員あるいはその両方などのユーザ２１は、インターネット２２の全域からファイアウォール２４を通って、企業内のサーバ上で実行されるトランザクション・マネージャ２５にアクセスする。代わって、ファイアウォール２４内のユーザ２１ａは、トランザクション・マネージャ２５を含むサーバに直接アクセスできるであろう。リレーショナル・データベース管理システム２６は、この例ではサーバ上にも常駐し、関連ストレージ２７内のテーブル２８に含まれるＰＩＩラベル付きオブジェクト２９にアクセスする。オブジェクト・ストレージ２７は、任意の所望の形を取ることができる。ｚ／ＯＳオペレーティング・システム用のオプションとしてインターナショナル・ビジネス・マシーンズ社によって提供される上記で参照したＲＡＣＦなどのセキュリティ・マネージャ３０は、その企業用のセキュリティ管理３２によって維持されるセキュリティ・レジストリ３１を調べる。レジストリ３１は、関連ＰＩＩラベルが付いた、グループを含むユーザと、目的を定義することができ、アクセス・ルール、監査制御などを含む、オブジェクト・カテゴリを定義することができる。

操作上、および以下により詳細に説明する通り、特定の機能（ＰＳＦＳ内で定義される場合もあれば、定義されない場合もある）を実行するためのトランザクション・マネージャに対するユーザの要求の結果、オペレーティング・システム内に「プロセス」が作成される。これは、インターネットを介してコンピューティング・システムに接続されているユーザからの、またはローカルに接続されているユーザ、たとえば、従業員からの要求の結果として行うことができる。本発明の主題であるＰＩＩデータ・アクセス制御機能を具体化するオペレーティング・システム・プラットフォーム・セキュリティ・マネージャは、要求された機能を実行するためのユーザの権限を決定するために、トランザクション・マネージャによって呼び出される。承認されると、その機能は実行を開始し、その後、その通常処理の一部として、リレーショナル・データベース管理システムの制御下にある（それが想定されている）ＰＩＩラベル付きデータについてトランザクション・マネージャを介して要求を生成する。データベース管理システムは、要求側ユーザが所望のＰＩＩオブジェクトへのアクセスを許可されるかどうかを判定するためにセキュリティ・マネージャを呼び出す。セキュリティ・マネージャは、たとえば、要求されたオブジェクトに関連するＰＩＩラベル、ユーザに関連するＰＩＩラベル、およびそのオブジェクトに関するその他の関連アクセス・ルールに基づいて、決定を提供する。この場合も、ＰＩＩラベルおよびその他のアクセス・ルールは、セキュリティ管理者によって確立して維持し、セキュリティ・マネージャによってアドレス可能なセキュリティ・レジストリに保管することができる。

図３は、本発明の一態様により、病院環境内で目的対応機能セットを活用する情報フローを示している。

この例では、医師などのユーザは、その機能にサインオンし、ユーザの現行オペレーティング・システム・プロセスから、特定のアプリケーション機能を実行しようと試みる。ユーザには、企業セキュリティ管理によって、ユーザＰＩＩクリアランス・セットが割り当てられており、そのセットは、この例では、［｛医療｝、｛医療、報告｝、｛医療、処置｝］を有するものと想定される。特定の機能がＰＩＩ目的対応機能セット（ＰＳＦＳ）内にある場合、ユーザのＰＩＩクリアランス・セットは、そのユーザが特定の機能を実行できるようにするためにそのＰＳＦＳに割り当てられたＰＩＩラベルを含まなければならない（図５を参照）。たとえば、「医療」というＰＳＦＳ分類ラベル４１を使用すると、医師などのユーザは、リレーショナル・データベース管理システム４４から「完全医療レコード」を読取り始めることができる。｛医療、処置｝というＰＩＩラベルを有する「完全医療レコード」を読み取ると、ユーザの現行プロセス・ラベル（ＣＰＬ）はそのデータのラベルに設定され、それにより、ユーザの現行オペレーティング・システム・プロセスに読み込まれた任意のデータのラベルの「履歴」を保持する。ＣＰＬは、後で、このプロセス内から行われる任意の書込み操作より先行する許可処理の一部の間に参照され、同一またはより少数の目的を備えたラベルを有する他のＰＩＩラベル付きデータ・オブジェクトのみにＰＩＩデータが書き込まれることを保証するか、またはこのプロセスに読み込まれたＰＩＩデータと書き出されているＰＩＩデータとこの特定の組み合わせとともにこのＰＳＦＳを使用して、ＰＩＩデータ再分類が許可されることを保証する。たとえば、自分のユーザ・クリアランス・セット内に｛医療、報告｝というユーザ・クリアランスを有し、したがって、［｛医療｝］というＰＩＩラベルを有する目的対応機能セット「ＰＳＦＳ−Ｄ」内に入るように定義された機能を実行することができるユーザは、「完全医療レコード」から読み取ることはできるが、それに書き込むことはできず、ＰＳＦＳ−Ｄには｛医療、処置｝から｛医療、報告｝へのＰＩＩ再分類が許可されているので、「要約医療レコード」については読取りと書込みの両方を行うことができる。逆に、ユーザは、ユーザのＰＩＩクリアランス・セット内に定義されていないＰＩＩ分類ラベルを有するＰＳＦＳ内で定義された機能を呼び出すことができず、それにより、ユーザのＰＩＩクリアランス・セットの範囲外のＰＩＩオブジェクトにアクセスすることができない。たとえば、図３のユーザ１は、「患者会計レコード」の読取りまたは書込みを行うことができない。

図４〜８は、本発明の一態様によるＰＩＩデータ・アクセス制御機能の上記で紹介した処理の一例をより詳細に示している。図４を参照すると、ＰＩＩ制御機能の使用は、６０で目的対応機能セット（ＰＳＦＳ）内で定義可能な事前確立アプリケーション機能を実行するために、５０でユーザがトランザクション・マネージャに対する要求を行うことから始まる。この結果、その中でトランザクション・マネージャ自体が実行されるオペレーティング・システム・プラットフォーム内で「プロセス」が論理的に作成される。また、本明細書に開示されている個人識別情報（ＰＩＩ）概念を実現するデータ・アクセス制御機能は、オペレーティング・システム・プラットフォーム内で実行されるか、またはそれに論理的に接続される。ある機能を実行しようとするユーザの試みを処理するための論理の一例は、図５に関連して以下に記載されている。ユーザが特定の機能へのアクセスを許可されているものと想定すると、７０でトランザクション・マネージャは選択されたＰＩＩデータ・オブジェクトへのユーザのためのアクセスを要求する。８０でセキュリティ・マネージャは、ユーザが、選択されたＰＩＩオブジェクトへのアクセスを許可されているかどうかを判定するために呼び出され、セキュリティ・マネージャはユーザ・アクセスを許可するかどうかの決定を提供する。９０において、選択されたＰＩＩデータ・オブジェクトへのユーザ・アクセスを許可するかどうかというこの決定は、部分的に、特定の機能が読取りまたは書込みを呼び出すかどうかに基づくものである。特定のＰＩＩデータ・オブジェクトへのアクセスを許可するかどうかを判定するための論理の一実施形態は、図６〜８に提示されている。

上記の通り、図５は、ユーザが特定の機能を実行しようと試みるときに実現される処理の一例である。一例として、この処理は、図４のステップ６０から呼び出すことができるであろう。初めに、１０２でユーザは特定のアプリケーション機能を指定し、１０４でセキュリティ・マネージャ処理はその機能がＰＳＦＳに対して定義されているかどうかを判定する。１０４で特定の機能がＰＳＦＳに対して定義されていない場合、１０５でセキュリティ・マネージャ処理は現行プロセス・ラベル（ＣＰＬ）が事前に設定されているかどうかを判定し、そうである場合、セキュリティ・マネージャ処理は１１０で特定の機能へのアクセスを拒否し図４に戻る。現行プロセス・ラベルが事前に設定されていない場合、ユーザが、選択されたデータ・オブジェクトへのアクセスを許可されているかどうかをさらに評価するために、１０６でセキュリティ・マネージャ処理は単に図４に戻るだけである。１０４で特定の機能がＰＳＦＳに対して定義されている場合、１０８でセキュリティ・マネージャ処理はユーザのＰＩＩクリアランス・セットがそのＰＳＦＳに割り当てられたＰＩＩ分類ラベルを含むかどうかを判定する。ユーザのクリアランス・セットがそのＰＳＦＳに割り当てられたＰＩＩ分類ラベルを含まない場合、ユーザはその機能へのアクセスを拒否され、処理は図４に戻る。

１０８でユーザのクリアランス・セットがそのＰＳＦＳに割り当てられたＰＩＩ分類ラベルを含む場合、何らかの時点でアプリケーションが図４の７０でトランザクション・マネージャを介して要求を行い、そのトランザクション・マネージャがその要求をデータベース・マネージャ（たとえば、ＤＢ２）に回し、そのデータベース・マネージャが図４の８０でセキュリティ・マネージャを呼び出し、そのセキュリティ・マネージャがユーザが保護データ・オブジェクトにアクセスすることを許可されているかどうかを判定し、図４の９０で決定を提供し、その決定が適切なアクションのためにデータベース・マネージャに返されるまで、アプリケーション処理は１１２を介して続行される。

図６は、選択されたＰＩＩデータ・オブジェクトへのユーザ・アクセスを許可するかどうかを評価するときにセキュリティ・マネージャによって実現可能な決定プロセスの一例を示している。初めに、１２０で処理はオブジェクトがＰＩＩラベルを有するかどうかを判定する。そうではなく、しかも１２５でユーザのプロセスに関する現行プロセス・ラベルが事前に設定されていない場合、１２７でセキュリティ・マネージャ処理は従来の任意アクセス制御検査を介してアクセス決定を提供する。任意アクセス制御（ＤＡＣ）検査は、アクセス制御検査を実行するための手法であり、オペレーティング・システムのセキュリティ・マネージャの諸機能、たとえば、ｚ／ＯＳオペレーティング・システムとともにインターナショナル・ビジネス・マシーンズ社によって提供されるＲＡＣＦセキュリティ・マネージャを介して保護リソース／オブジェクトに関連するアクセス制御ルールに基づくものである。アクセス制御ルールは、とりわけ、特定のユーザおよびユーザ・グループに関するアクセスモード項目を含むアクセス制御リスト（ＡＣＬ）を含む。ＤＡＣ検査は、保護オブジェクトに関連するＰＩＩラベル（目的）がまったく存在しないとき、およびアクセス制御決定をさらに限定（または詳細化）するためにＰＩＩラベル処理が行われた後で、使用することができる。ＰＩＩアクセス制御検査のようなＤＡＣ検査はアクセスモードを使用することができ、これはオブジェクトに対する特定の活動である。ＤＡＣ検査に関連するアクセスモードの例としては、作成、削除、更新、読取りなしの更新（update but not read）、および読取りを含む。アクセスに関するルールは、ＩＢＭのＲＡＣＦでは「リソース・プロファイル」といい、これも指定される。一般的に言えば、このようなルールは、「サブジェクト」が「オブジェクト」に対するアクセスモードを実行できるという形を取る。この場合も、いずれの任意アクセス制御検査手法でも、図６の処理のこの段階で使用することができる。１２７で任意アクセス制御検査は、選択されたオブジェクトへのユーザ・アクセスを許可するかどうかの決定を提供する。この決定は、１３２のアクセス許可または１３４のアクセス拒否のいずれかになる。任意アクセス制御（ＤＡＣ）の詳細説明は、２００２年９月発行の「Ｚ／ＯＳＶ１Ｒ４．０ＳｅｃｕｒｉｔｙＳｅｒｖｅｒＲＡＣＦＳｅｃｕｒｉｔｙＡｄｍｉｎｉｓｔｒａｔｏｒ'ｓＧｕｉｄｅ」というＩＢＭ資料（ＳＡ２２−７６８３−３）に記載されている。１２５でユーザの「プロセス」に関するＣＰＬが事前に設定されている場合、１２６でセキュリティ・マネージャ処理は特定の機能が読取り操作であるかどうかを判定する。そうである場合、１２７で、たとえば、ＤＡＣ検査を使用して、オブジェクトへのアクセスを許可するかどうかの決定が提供される。特定の機能が読取り操作以外のものである場合、コンピュータ・オペレーティング・システム・プロセスにＰＩＩ保護オブジェクト（複数も可）を読み込んだ後、そのプロセスから非ＰＩＩ保護オブジェクトへの書込みは許可されないので、１３４でアクセスが拒否される。

オブジェクトがＰＩＩ分類ラベルを有するものと想定すると、１２２でセキュリティ・マネージャ処理はユーザがＰＳＦＳ機能を実行しているかどうかを判定する。そうである場合、１２４で処理は図７に移行する。そうではない場合、選択されたオブジェクトはＰＩＩラベルを有し、ユーザはＰＳＦＳ機能を実行していないので、１３４でアクセスはＰＩＩラベル処理によって拒否される。

１３０で図７または図８から戻ると、セキュリティ・マネージャ処理は１２８でアクセスがＰＩＩラベル処理によって拒否されたかどうかを判定する。そうではない場合、１２７で、たとえば、任意アクセス制御検査を使用して、アクセス決定が提供される。そうではない場合、１３４でアクセスが拒否される。

ユーザがＰＳＦＳ機能を実行しているものと想定すると、１４０（図７）で処理はユーザが読取り操作を実行しているかどうかを判定する。そうではない場合、ユーザは書込み操作を実行しているに違いなく、したがって、処理は図８を続ける。ＹＥＳである場合、１４２でＰＳＦＳのラベルがＰＩＩオブジェクトのラベルに等しいかまたはその適切なサブセットであるかどうかの判定が行われる。そうではない場合、１４５で処理は図６に戻り、このＰＩＩオブジェクトをこの特定のＰＳＦＳで読み取ることができないので、ユーザはＰＩＩラベル処理によってアクセスを拒否される。１４２でＹＥＳである場合、１４３でＰＩＩオブジェクトのラベルが項目としてＣＰＬに追加される。これは、ＣＰＬ内の第１の項目である可能性があるかまたは既存のＣＰＬへの追加項目である可能性もある。ＰＩＩオブジェクトのラベルに等しいＣＰＬ内にすでに項目が存在する場合、このステップは迂回される。次に１４４で処理は図６に戻り、ユーザはＰＩＩラベル処理によってＰＩＩオブジェクトへのアクセスを拒否されない。

ユーザが読取り操作を実行していない場合、これは、ユーザが書込み操作を実行していることを意味し、ステップ１４０からセキュリティ・マネージャ処理は図８に移行し、まず１５０でユーザのプロセスに関する現行プロセス・ラベル（ＣＰＬ）が事前に設定されているかどうかを判定する。そうではない場合、１５１で処理は図６に戻り、ユーザのプロセスはＰＩＩ制御プロセスとして継続し、ユーザは非ＰＩＩデータを既存のＰＩＩデータ・オブジェクトに書き込むことを許可されている。１５０でＹＥＳである場合、１５２でＰＩＩオブジェクトのラベルがＣＰＬ項目（１つだけ存在する可能性もある）のそれぞれのラベルに等しいかまたはその適切なサブセットであるかどうかの判定が行われる。ＹＥＳである場合、１５１で処理は継続し、上記の通り、図６に戻る。１５２でＮＯである場合、１５３でこのＰＳＦＳがＣＰＬ内の１つまたは複数のラベルから書込み中のＰＩＩオブジェクト内のラベルにＰＩＩオブジェクト（複数も可）を再分類するための十分な権限を有するかどうかを確認するための判定が行われる。ＮＯである場合、１５４で処理は図６に戻り、ユーザはＰＩＩデータ・オブジェクトへのアクセスを拒否される。１５３でＹＥＳである場合、１５１で処理は継続し、上記の通り、図６に戻る。

以下は、本発明により開示された概念のいくつかに関する理論的基礎の正式表現である。複数組のオブジェクトＯ、サブジェクトＳ、およびアクションＡが存在するものと想定されている。さらに、各アクションＡは、読取りモードまたは書込みモードのいずれかを有するものと解釈することができる。サブジェクトおよびオブジェクトは、複数組の目的セットでラベルが付けられる。ラベルｌ₁がラベルｌ₂内にある場合のみ、すなわち、目的セットｌ₁が目的セットｌ₂のスーパー・セットである場合のみ、ラベルｌ₁はラベルｌ₂より優位である。一般に、本発明によって保護されるＰＩＩデータを読み取るために、ユーザは、ユーザが読み取ろうと試みているデータのラベルの方が優位であるＰＩＩラベルを有するＰＳＦＳを実行していなければならず、したがって、そのＰＳＦＳを実行することを許可（または認可）されていなければならない。それはＰＳＦＳであり、関連付けにより、それを実行しているユーザは、読取り中のＰＩＩオブジェクトのラベル内にある１つまたは複数の目的を備えたＰＩＩラベルを有していなければならない。

プライバシ・ラベル
個人データのすべてのインスタンスは関連ラベルを有する。ラベルＬは１組の目的を含み、これらは、そのために個人データの所有者が承諾を与えた目的である。より多くの目的を有するオブジェクトはあまりプライベートなものではなく、したがって、オブジェクト間のデータ・フローは、特別に定義された事情ではない限り、より多くの目的を有するオブジェクトから、より少ない目的を有するオブジェクトへに限られる可能性がある。したがって、データは計算中にシステムを通って流れるので、特別に制御された事情（プロセス）により被制御方式でデータを再分類できるようにしない限り、そのラベルはより限定的なものになる。

この１組のラベルは、セキュリティクラス格子の本質的な特徴を備えた先行順（pre-order）を形成する。格子内の各要素は、可能なラベルの１つである。ラベルは、［という制限関係によって定義された半順序（partialorder）で存在する。ＢＯＴとして書かれた最も制限的ではないラベルは、どこでも流れることができるデータに対応し、最も可能性の高い制限であるＴＯＰは、どこも流れることができないデータに対応し、これは誰にも読取り不能である。格子内を上昇するにつれて、ラベルは厳密により制限的なものになる。データはいつも格子内の上方へラベルを付け直すことができ、これは、制限によって情報漏れの可能性を生み出すことはないので、より少ない目的にデータを使用できることを意味する。ラベルＢＯＴは公開情報、すなわち、個人情報を含まないデータに対応することに留意されたい。

個人データのラベルの付け直しは、新しいラベルが同じ目的またはより少ない目的を含む場合に制限となる。Ｌ₁［Ｌ₂という表現は、Ｌ₁がＬ₂ほど制限的ではないかまたはＬ₂に等しいことと、演算子ｒがスーパー・セット関係を示す以下の表現によって表されるように、ラベルＬ₁からＬ₂にデータのラベルを付け直すことができることを意味する。

Ｌ₁［Ｌ₂ ｈＬ₁ ｒＬ₂。この場合も、Ｌ₁［Ｌ₂である場合のみ、ラベルＬ₂はラベルＬ₁より優位である。

計算（またはＰＳＦＳとして表されるアクション）がそれぞれＬ₁およびＬ₂というラベルが付いた２つの値を結合すると、その結果は、Ｌ₁およびＬ₂によって指定されたすべての使用制限を執行するラベル（最も制限的ではないもの）を有していなければならない。Ｌ₁およびＬ₂におけるすべてのポリシーを執行する、最も制限的ではない１組のポリシーは単に２組のポリシーの論理積（intersection）に過ぎない。この最も制限的ではないラベルは、Ｌ₁ ７Ｌ₂と書かれたＬ₁およびＬ₂の最小上界または結合である。

Ｌ₁ ７Ｌ₂ ｈＬ₁ ３Ｌ₂。たとえば、結合されたオブジェクト（たとえば、住所とクレジット・カード番号の両方を含むレコード）は、複数目的の論理積にのみ使用することができる。

たとえば、３つの目的に関して構成されたラベルが付いた格子は、請求、医療、および報告と想定される。このような格子は、そのハッセ図（Hasse diagram）（１９９０年にマサチューセッツ州レディングのＡｄｄｉｓｏｎ−Ｗｅｓｌｅｙから発行されたＳ．Ｓｋｉｅｎａによる「ＩｍｐｌｅｍｅｎｔｉｎｇＤｉｓｃｒｅｔｅＭａｔｈｅｍａｔｉｃｓ：ＣｏｍｂｉｎａｔｏｒｉｃｓａｎｄＧｒａｐｈＴｈｅｏｒｙｗｉｔｈＭａｔｈｅｍａｔｉｃａ」の§５．４．２の「ＨａｓｓｅＤｉａｇｒａｍｓ」の１６３、１６９〜１７０、および２０６〜２０８ページに記載されている）によって示すことができ、その場合、「あまり制限的ではない」関係［は下から上へ移行し、推移的および反射的エッジは省略される。医療および報告という目的に使用できるオブジェクトは｛医療、報告｝というラベルが付けられるであろう。このオブジェクトからのデータは、｛医療｝というラベルまたは｛報告｝というラベルが付いたオブジェクトにコピーできるであろう。サブジェクト（またはユーザ）は、そのオブジェクトを読み取れるようにするために、｛医療｝、｛報告｝、または｛医療、報告｝という有効ラベル（ユーザが実行しているＰＳＦＳから導出したもの）を有していなければならない。デフォルトでは、「リードダウン／ライトアップ（readdown/write up）」特性により、情報は格子内の上方のみに流れることができることに留意されたい。

この場合も、ラベルＬに含まれる目的は権利を表さず、むしろ制限を表すことに留意されたい。したがって、１つのサブジェクトが対応する目的が少なくなるほど、それが読み取れるオブジェクトが増えるが、その場合、そのサブジェクトが読み取るべきＰＩＩオブジェクトに関連する少なくとも１つの目的に対応することが条件になる。

サブジェクトｓは、サブジェクトｓに関連する目的がオブジェクトｏに関連する目的のサブセットであるかまたはその目的に等しい場合にのみ、ＰＩＩオブジェクトｏを読み取ることができる。

サブジェクトｓは、オブジェクトｏに関連する目的がサブジェクトｓに関連する目的のサブセットであるかまたはその目的に等しい場合にのみ、ＰＩＩオブジェクトｏを書き込むことができる。

たとえば、｛請求、報告｝というラベルが付いたユーザは、｛請求、医療、報告｝というラベルが付いたオブジェクトを読み取ることができ、｛請求｝というラベルが付いたオブジェクトに書き込むことができる。

適格なスター特性
ユーザのコンピュータ・オペレーティング・システム・プロセスの現行プロセス・ラベル（ＣＰＬ）が「高水準点（high-watermark）」として扱われる場合、これは格子の上方へ浮動することができるが、下方へ浮動することはできない。ユーザが所与のＰＳＦＳにより様々な個人データを読み取ると、ＣＰＬは読み取られたＰＩＩデータ・オブジェクトに関連する目的を反映し、したがって、ユーザが実行することを認可（許可）されているＰＳＦＳ（複数も可）のうちの１つの機能であるユーザのクリアランスに到達するまで、格子の上方へ浮動する。たとえば、ジェーンというユーザは、｛医療｝というラベルが付いたＰＳＦＳを実行することを認可される可能性がある。このＰＳＦＳにより｛医療、報告｝というラベルが付いたオブジェクトを読み取ることにより、彼女のＣＰＬは｛医療、報告｝になる。｛医療｝というラベルが付いたオブジェクトから情報を読み取ると、彼女のＣＰＬが｛医療｝という追加項目を含むことになり、それにより、彼女が自分の現行プロセスに読み込んだ情報のラベルを正確に反映する。彼女のＣＰＬがこの状態になっている場合、彼女は、デフォルトでは、彼女が自分のプロセスに読み込んだ情報を｛医療｝というラベルが付いたＰＩＩオブジェクトに書き出すためにＰＳＦＳ（おそらく、必ずしも、読み取るために使用したものと同じものではない）を実行できるようになる。彼女は、自分が読み取った情報の一部を｛医療、報告｝から｛医療｝に再分類しているが、これは、｛医療｝の方が｛医療、報告｝より格子（目的がより少ないかまたはより制限的であるもの）の上方にあるので、デフォルトでは許可されることに留意されたい。

これまでに論じたデータ・フローおよびその結果生じた情報の再分類は、いくつかの点で、ＭＬＳ制御処理環境内のデータ・フローに似ている。しかし、ＭＬＳはセキュリティ上の理由でコンピュータ・リソース（たとえば、データ）の区画化されたアクセス制御のためのルールを厳重に遵守することができるツールに関する要件に対処するが、企業によって指定できる柔軟なルールによりＰＩＩの再分類を可能にするプライバシ・サポートの必要性が残存する。換言すれば、プライバシ・サポートは、特定のユーザ（またはユーザ・グループ）がＰＩＩを特定の事前定義分類から他の特定の事前定義分類に再分類することを許可されるが、それを実行することを許可されたユーザによって変更または操作することができない所定の１組の機能の範囲内でのみ、このように実行することを許可されることを企業が指定するための方法を含まなければならない。この必要性は、本発明の他の態様、すなわち、目的対応機能セット（ＰＳＦＳ）を記述する項目の定義の「再分類許可」構成体によって提供される。

選択されたユーザは、ＰＩＩデータ・オブジェクトを再分類することができ、その再分類を許可されているものを含む、任意／全部のＰＳＦＳを実行することを認可（許可）されている。この概念は、企業内のユーザの位置のためにセキュリティ管理によってユーザに割り当てられている可能性のあるＰＳＦＳへの１組のクリアランスとして本発明内で表された「適格なスター特性」と呼ぶ。

病院の例
本発明内で表された概念を例証するために、たとえとして病院事業を使用する。医師、看護士、管理従業員、および患者は、この例では、患者によって所有されるＰＩＩ情報が病院のコンピューティング・システムを流れ、様々な病院スタッフによってアクセスされ使用されるときに現れるものである。次に、この例について説明を開始する。

病院のプライバシ・ステートメントは、４つのオブジェクト・カテゴリに対処するものと想定されている。一般レコード（General Record）は、請求および医療目的ともに、おそらくさらに多くの目的とともに、名前、住所などの一般的な個人情報を含む。医療レコードは、医療目的のみのために、患者に関する医療データを含む。要約医療レコードは、請求目的のみのために使用される。これは、たとえば、保険証券によって規定されている通り、どの医療データが請求書に入るかを正確に含む。会計レコードは、請求目的のみのために使用される。これは、保険の詳細、価格、請求書送付および支払の日付などを含む。

病院内の内部では、管理者、看護士、および内科医の役割で動作するプリンシパルが存在する。アクセスは以下の非公式プライバシ・ポリシーによって規制される。すなわち、医療レコードに保管された詳細データに対して実行すること（読み取ることおよびおそらく書き込むこと）を許可されている目的対応機能セット（複数も可）には、病院の内科医および看護士のみがアクセスできる。このように、病院の内科医および看護士は、医療レコードに関して「認可」されていると言われている。要約医療レコードは、病院が看護士に対してリリースしない機密情報である。これらのデータには、病院の管理責任者および内科医のみがアクセスできる。会計レコードには、病院の管理責任者のみがアクセスできる。一方では、排他的アクセス権が存在する。すなわち、内科医には会計レコードを読み取ることを認可してはならず、管理者には医療レコードを読み取ることを認可してはならない。他方では、情報は、要約医療レコードを介して医療レコードから会計レコードへ流れるだけでなければならない。

安全かつ正確に再分類し、被制御方式で格下げする機能を有するものとして病院のコンピュータ・セキュリティ管理によって事前定義されたＰＳＦＳを実行することを認可されている「信頼されたサブジェクト」の機能により、病院のポリシーについて他の指定を行うことができる。

第１の管理者は、報告というＰＩＩラベルを有する目的対応機能セット内の機能を実行することを認可され、内科医は同様に、医療目的のために認可される。これは、要約レコードを読み取る可能性を両当事者に与えるものである。さらに、管理者は会計レコードを読み取ることができ、内科医は医療レコードを読み取ることができるが、逆は不可である。最後に、事前定義された安全かつ正確な方法でのみ医療レコードから要約レコードへの情報の流れを可能にするために、内科医のクリアランスは、たとえば、｛｛医療｝、｛医療、報告｝｝というラベル・セットを含むように定義することができる。したがって、内科医は、彼女が認可され、彼女が医療レコードと要約レコードを読み取れるようにする｛医療｝というラベルが付いたＰＳＦＳを実行することにより開始することができる。次に、その定義が「再分類許可」文節、すなわち、｛医療｝から｛医療、報告｝へを含むＰＳＦＳを実行することにより、彼女は、｛医療｝というラベルが付いたＰＩＩを｛医療、報告｝へ格下げすることを許可されるが、ＰＳＦＳ内に含まれる企業定義の機能のみによる。内科医は決して会計レコードの読取りまたは書込みを行えないことに留意されたい。

これに対応して、管理者は、彼女が要約レコードならびに会計レコードを読み取れるようにする｛報告｝というラベルが付いたＰＳＦＳを実行することにより開始することができる。次に、その定義が「再分類許可」文節、すなわち、｛報告｝から｛請求、報告｝へを含むＰＳＦＳを実行することにより、彼女は、｛報告｝というラベルが付いたＰＩＩを｛請求、報告｝へ格下げすることを許可されるが、ＰＳＦＳ内に含まれる企業定義の機能のみによる。この場合も、管理者は決して医療レコードの読取りまたは書込みを行えない。

情報は、内科医を介して医療レコードから要約レコードへ、ならびに、管理者を介して要約レコードから会計レコードへのみ流れることができることに留意されたい。

要約レコードを読み取るための看護士の能力を妨げるために、処置という追加の目的を導入することができる。看護士（実行することを認可されているＰＳＦＳ（複数も可）内で定義された機能のため）ならびに医療レコードは｛医療、処置｝というラベルを有する。したがって、看護士は医療レコードの読取りおよび書込みを行うことができるが、残りのオブジェクトには一切アクセスできない。これで、ポリシー例の指定を完了する。

この指定例では、内科医は医療レコードを書き込むことを許可されていない。これは制限と見なすことができるであろう。しかし、この指定は、それぞれ｛医療｝、｛医療、報告｝、｛医療、処置｝というラベルが付いた複数のＰＳＦＳを含むようにそのＰＳＦＳクリアランスを変更することにより内科医にこの追加の能力を与えるように拡張することができる。したがって、医師は、｛医療、処置｝というラベルが付いたＰＳＦＳを使用するときに自分の医療作業を実行するときに、医療レコードの読取りおよび書込みを行うことができるであろう。しかし、彼女が管理作業を実行するつもりである場合、医療情報を読み取るために｛医療｝というラベルが付いたＰＳＦＳ内の機能を実行する。彼女が｛医療、処置｝というラベルによって保護された何らかの詳細な医療情報を要約レコードに「再分類」することを決定した場合、｛医療、処置｝というラベルから｛医療、報告｝というラベルへＰＩＩを再分類し、したがって、格下げするための権限によって事前定義されたＰＳＦＳを実行する。

利点
当業者であれば、上記の説明から、本明細書に記載したようなデータ・アクセス制御機能を使用することにより、セキュリティ管理者が、機密の個人識別情報（ＰＩＩ）オブジェクトを処理するときに企業のビジネス・ニーズに一致する特定の動作シーケンスにより特定の１組のコンピュータ機能を定義し確立できることに留意することになる。このような事前確立され制御された機能セットおよび関連の動作シーケンスは、このようなＰＩＩオブジェクトにアクセスできる唯一のプロセスであり、したがって、企業プライバシ・ポリシーによって記載されている方法のみでＰＩＩオブジェクトを使用できることを保証する。提示されたデータ・アクセス制御機能は、オブジェクトに必要なプライバシ・レベルに応じたデータ・オブジェクトおよびユーザの分類の概念（そのオブジェクトを正当に使用できる目的につながるもの）と、個別ユーザによって要求されるＰＩＩオブジェクトへのクリアランスによりユーザに許可されている目的対応機能セットへの機能のグループ分けを含む、新しい論理構成体に基づくものである。さらに、本発明によるデータ・アクセス制御機能は、アクセス・イベント状況の力学によりＰＩＩ分類情報および機能の種々のセットへのユーザ（またはコンピュータ・プロセス）のアクセスを可能にし、それにより、ＰＩＩオブジェクトへのアクセスを必要とする情報プロセスに柔軟性を追加し、そのセキュリティを強化する。

本発明は、たとえば、コンピュータ使用可能媒体を有する装置（たとえば、１つまたは複数のコンピュータ・プログラム）に含めることができる。この媒体は、本発明の諸機能を提供し促進するためのコンピュータ可読プログラム・コード手段をそこに実施している。この装置は、コンピュータ・システムの一部として含めるかまたは別個に販売することができる。

さらに、本発明の諸機能を実行するためにマシンによって実行可能な複数命令からなる少なくとも１つのプログラムを実施するマシンによって読取り可能な少なくとも１つのプログラム・ストレージ・デバイスを提供することができる。

本明細書に描写した流れ図は例にすぎない。本発明の精神を逸脱せずに、これらの図またはそこに記載された諸ステップ（または操作）に対する多くの変形態様が存在する可能性がある。たとえば、諸ステップを異なる順序で実行するか、またはステップを追加、削除、または変更することができる。これらの変形態様のすべては、請求された本発明の一部と見なされる。

本明細書では好ましい諸実施形態を詳細に示し説明してきたが、特許請求の範囲で定義された本発明の範囲内で様々な変更、追加、置換などが可能であることは当業者にとって明らかなものになるであろう。

本発明の一態様により、データ・アクセス制御機能によって使用するためにそれに割り当てられたＰＩＩ分類ラベルとともに個人識別情報（ＰＩＩ）オブジェクトを保管するための手法の一例を示す図である。本発明の一態様により、データ・アクセス制御機能の１つまたは複数の態様を組み込んで使用するためのコンピューティング環境の一実施形態を示す図である。本発明の一態様により、ユーザがＰＩＩデータ・オブジェクトからデータを読み取り、そこにデータを書き込むときに、確立されたプロセス内で変更が行われるユーザの現行プロセス・ラベル（ＣＰＬ）を示す操作例を示す図である。本発明の一態様により、ＰＩＩデータ・アクセス制御機能によって実現された処理の一実施形態の流れ図である。本発明の一態様により、ユーザが特定の機能を使用できるかどうかを確認するための一論理実施形態の流れ図である。本発明の一態様により、要求されたオブジェクトがＰＩＩデータ・オブジェクトを有するかどうかを判定することを含む、データ・アクセスを行えるようにするかどうかを判定するための一論理実施形態の流れ図である。本発明の一態様により、所望の特定の機能が読取り操作を有するときに、ユーザがＰＩＩ制御プロセスとして続行できるかどうかを判定するための一論理実施形態の流れ図である。本発明の一態様により、所望の特定の機能が書込み操作を有するときに、ユーザがＰＩＩ制御プロセスとして続行できるかどうかを判定するための一論理実施形態の流れ図である。

Claims

コンピュータによって実行されるデータ・アクセス制御方法であって、
（ｉ）前記コンピュータが、個人識別情報（ＰＩＩ）データ・オブジェクトおよびＰＩＩデータ・オブジェクトを読み取るか、書き込むか、または再分類するアプリケーション機能のリストを含む少なくとも１つのＰＩＩ目的対応機能セット（ＰＳＦＳ）に割り当てられたＰＩＩ分類ラベルを有するデータ・アクセス制御機能のユーザであって、少なくとも１つのＰＩＩ分類ラベルを含むリストを有するＰＩＩクリアランス・セットが割り当てられた前記ユーザから、特定の機能の呼び出しを受け取るステップと、
（ｉｉ）前記コンピュータが、前記特定の機能が前記データ・アクセス制御機能の前記少なくとも１つのＰＩＩＰＳＦＳのうちの１つのＰＩＩＰＳＦＳに対して定義されているかどうかを判定し、定義されている場合に、前記ユーザのＰＩＩクリアランス・セットがそのＰＩＩＰＳＦＳに割り当てられた前記ＰＩＩ分類ラベルと一致するＰＩＩ分類ラベルを含むかどうかを判定し、一致するＰＩＩ分類ラベルを含む場合に、前記特定の機能へのアクセスを許可するステップと、
（ｉｉｉ）前記コンピュータが、前記ユーザが、前記特定の機能を実行するために選択されたデータ・オブジェクトへのアクセスを許可されているかどうかの判定を、選択された前記データ・オブジェクトがＰＩＩデータ・オブジェクトを有するかどうかを判定し、そうである場合に、前記ユーザの特定の機能が前記データ・アクセス制御機能の前記少なくとも１つのＰＩＩＰＳＦＳのうちの１つのＰＩＩＰＳＦＳに対して定義されていることを検証し、そうではない場合に、選択された前記データ・オブジェクトへのアクセスを拒否することにより行うステップと
を有する、データ・アクセス制御方法。
前記呼出しステップの前に、前記コンピュータが、前記データ・アクセス制御機能のセキュリティ制御下でオペレーティング・システム内のプロセスを確立するステップをさらに有し、前記呼出しステップが確立された前記プロセス内で行われる、請求項１に記載のデータ・アクセス制御方法。
前記判定ステップ（ｉｉ）が、前記特定の機能が前記データ・アクセス制御機能のＰＩＩＰＳＦＳに対して定義されておらず、かつ確立された前記プロセスについて現行プロセス・ラベル（ＣＰＬ）が事前に設定されている場合に、前記特定の機能へのアクセスを拒否するステップをさらに有する、請求項２に記載のデータ・アクセス制御方法。
前記判定ステップ（ｉｉｉ）が、選択された前記データ・オブジェクトがＰＩＩデータ・オブジェクト以外のものである場合に、確立された前記プロセスについて現行プロセス・ラベル（ＣＰＬ）が設定されているかどうかを判定し、設定されていない場合に、任意アクセス制御検査を介して選択された前記データ・オブジェクトにアクセス決定を提供するステップをさらに有する、請求項２に記載のデータ・アクセス制御方法。
データ・アクセス制御システムであって、
（ｉ）個人識別情報（ＰＩＩ）データ・オブジェクトおよびＰＩＩデータ・オブジェクトを読み取るか、書き込むか、または再分類するアプリケーション機能のリストを含む少なくとも１つのＰＩＩ目的対応機能セット（ＰＳＦＳ）に割り当てられたＰＩＩ分類ラベルを有するデータ・アクセス制御機能のユーザであって、少なくとも１つのＰＩＩ分類ラベルを含むリストを有するＰＩＩクリアランス・セットが割り当てられた前記ユーザから、特定の機能の呼び出しを受け取るための手段と、
（ｉｉ）前記特定の機能が前記データ・アクセス制御機能の前記少なくとも１つのＰＩＩＰＳＦＳのうちの１つのＰＩＩＰＳＦＳに対して定義されているかどうかを判定し、定義されている場合に、前記ユーザのＰＩＩクリアランス・セットがそのＰＩＩＰＳＦＳに割り当てられた前記ＰＩＩ分類ラベルと一致するＰＩＩ分類ラベルを含むかどうかを判定し、含む場合に、前記特定の機能へのアクセスを許可するための手段と、
（ｉｉｉ）前記ユーザが、前記特定の機能を実行するために選択されたデータ・オブジェクトへのアクセスを許可されているかどうかの判定を、選択された前記データ・オブジェクトがＰＩＩデータ・オブジェクトを有するかどうかを判定し、そうである場合に、前記ユーザの特定の機能が前記データ・アクセス制御機能の前記少なくとも１つのＰＩＩＰＳＦＳのうちの１つのＰＩＩＰＳＦＳに対して定義されていることを検証し、そうではない場合に、選択された前記データ・オブジェクトへのアクセスを拒否することにより行う、判定するための手段と
を有する、データ・アクセス制御システム。
コンピュータにおいて実行されるデータ・アクセス制御プログラムであって、前記データ・アクセス制御プログラムは、前記コンピュータに、
（ｉ）個人識別情報（ＰＩＩ）データ・オブジェクトおよびＰＩＩデータ・オブジェクトを読み取るか、書き込むか、または再分類するアプリケーション機能のリストを含む少なくとも１つのＰＩＩ目的対応機能セット（ＰＳＦＳ）に割り当てられたＰＩＩ分類ラベルを有するデータ・アクセス制御機能のユーザであって、少なくとも１つのＰＩＩ分類ラベルを含むリストを有するＰＩＩクリアランス・セットが割り当てられた前記ユーザから、特定の機能の呼び出しを受け取るステップと、
（ｉｉ）前記特定の機能が前記データ・アクセス制御機能の前記少なくとも１つのＰＩＩＰＳＦＳのうちの１つのＰＩＩＰＳＦＳに対して定義されているかどうかを判定し、定義されている場合に、前記ユーザのＰＩＩクリアランス・セットがそのＰＩＩＰＳＦＳに割り当てられた前記ＰＩＩ分類ラベルと一致するＰＩＩ分類ラベルを含むかどうかを判定し、含む場合に、前記特定の機能へのアクセスを許可するステップと、
（ｉｉｉ）前記ユーザが、前記特定の機能を実行するために選択されたデータ・オブジェクトへのアクセスを許可されているかどうかの判定を、選択された前記データ・オブジェクトがＰＩＩデータ・オブジェクトを有するかどうかを判定し、そうである場合に、前記ユーザの特定の機能が前記データ・アクセス制御機能の前記少なくとも１つのＰＩＩＰＳＦＳのうちの１つのＰＩＩＰＳＦＳに対して定義されていることを検証し、そうではない場合に、選択された前記データ・オブジェクトへのアクセスを拒否することにより行うステップとを実行させる、データ・アクセス制御プログラム。