JP4865445B2

JP4865445B2 - 情報管理方法及び情報管理システム

Info

Publication number: JP4865445B2
Application number: JP2006216797A
Authority: JP
Inventors: 充田中; 可海勅使河原
Original assignee: 学校法人創価大学
Priority date: 2005-08-09
Filing date: 2006-08-09
Publication date: 2012-02-01
Anticipated expiration: 2026-08-09
Also published as: JP2007073040A

Description

本発明は、個人情報等、機密情報の漏洩を防ぐ情報管理方法及び情報管理システムに関する。

個人情報保護法が２００５年４月に施行され、また、企業における個人情報の漏洩問題が次々と明らかになる等、近年では個人情報の保護が大きな問題となっている。一方、オンラインショッピング等により、個人情報をインターネット等ネットワーク上でやり取りする機会は増大している。一度個人情報がインターネット上等に流出すると、完全に削除することは困難であるため、個人情報を安全に扱うことが可能な手法が求められている。

セキュリティ対策が施されることが多い企業等とは異なり、家庭等における一般利用者の環境は、Ｐ２Ｐファイル交換ソフトやスパイウェア等による個人情報の流出の危険にさらされており、アンチウィルスソフト等を使用しても必ずしも個人情報の流出を防ぐことができるわけではない。従って、現在の一般利用者の端末環境に手を加えることなく個人情報を安全にやり取りできる手法が求められている。

従来、オンラインショッピングでは、ＮＳＰ（Network Service Provider：ネットワークサービスプロバイダ）のＷＥＢサーバ上にオンラインショップが店を構え、ユーザはＷＥＢブラウザ上で商品を選択し、個人情報やクレジットカード情報を入力する。ＷＥＢブラウザ上で入力された個人情報やクレジットカード情報は暗号化され、ＮＳＰのＷＥＢサーバに転送される。次に、ＮＳＰのＷＥＢサーバ上で個人情報やクレジットカード情報は複合化されて記憶され、クレジットカード会社に転送される。クレジットカード会社はＮＳＰのＷＥＢサーバから転送されたクレジットカード情報を用いて決済を行い、オンラインショップに決済可能であるかが伝えられ、取引が成立する。つまり、従来は、利用者の端末において入力された個人情報及びクレジットカード情報がＮＳＰのＷＥＢサーバに暗号化されて送信され、記録・管理されている。しかし本来、ＮＳＰにとって必要な情報は、クレジットカード会社が下した、そのクレジットカード情報で決済が可能であるか否かの情報のみであり、クレジットカード情報は必要ない筈である。すなわち、従来では、本来不必要である筈のクレジットカード情報がＮＳＰによって扱われている、という不利益があった。

また、従来では、利用者がショッピングを行う際に、オンラインショップが契約しているＮＳＰ毎に個人情報やクレジットカード情報を入力し送信しなければならず、個人情報やクレジットカード情報の入力が面倒である、という不利益があった。さらに、個人情報等を入力・送信するＮＳＰの数だけ、個人情報が拡散し、漏洩するリスクが高くなる、という不利益があった。

上述した不利益を解消する先行技術として、非特許文献１に開示されたＳＥＴ（Secure Electronic Transaction）と呼ばれる通信プロトコルがある。ＳＥＴでは、ＮＳＰ上で利用者のクレジットカード情報が開示されることがなく、クレジットカード情報を安全にクレジットカード会社に転送することが可能になっている。
MasterCard and Visa, "SET Secure Electronic Transaction Specification, Book 1: Business Description," ver1.0, 1997.

しかし、上述したＳＥＴでは、利用者の端末上に専用のアプリケーションソフトウェアをインストールする必要があり、さらにＯＳやブラウザが限定されてしまう、という不利益があった。

また、一般に、利用者が端末等から入力した個人情報は、暗号化された上でＮＳＰのＷＥＢサーバに送信される。すなわち、ＮＳＰが安全を保証できるのは、利用者の端末のＷＥＢブラウザからＮＳＰのＷＥＢサーバまでの通信であり、利用者の入力デバイスから利用者端末上のＷＥＢブラウザまでの安全性は保証されていない、という不利益がある。つまり、スパイウェア等により利用者の入力そのものが監視され、これによって個人情報が漏洩してしまう、といった不利益があり、これは上述したＳＥＴでも解消できない。

本発明は、上述した不利益を解消するために、個人情報等、機密情報をよりよく管理し漏洩を防ぐ情報管理方法及び情報管理システムを提供することを目的とする。

上述した目的を達成するために、第１の発明の情報管理方法は、第１のユーザエージェントと、第２のユーザエージェントと、前記第１のユーザエージェントにネットワークを介したサービスを提供するサービス提供サーバと、前記第１のユーザエージェント及び第２のユーザエージェントに対応した情報を記録する情報管理サーバと、を有する情報管理システムの情報管理方法であって、前記情報管理サーバが、前記第１のユーザエージェントの識別子と、前記サービス提供サーバの識別子とを基に認証データを生成し記録する第１の工程と、前記情報管理サーバが、前記第１の工程において生成された前記認証データを用いて前記第１のユーザエージェントと前記第２のユーザエージェントとを関連付ける第２の工程と、前記サービス提供サーバが、前記情報管理サーバを介して、当該サービス提供サーバに関連付けられた公開鍵を、前記第２のユーザエージェントに対して送信する第３の工程と、前記第２のユーザエージェントは、前記第３の工程において送信された公開鍵を使用して、前記第１のユーザエージェント及び第２のユーザエージェントに対応した情報を暗号化する第４の工程と、前記情報管理サーバが、前記第４の工程において暗号化された前記第１のユーザエージェント及び第２のユーザエージェントに対応した情報を記録する第５の工程と、前記サービス提供サーバが、暗号化された前記第１のユーザエージェント及び第２のユーザエージェントに対応した情報を前記情報管理サーバから取得する第６の工程と、前記サービス提供サーバが、当該サービス提供サーバに関連付けられた秘密鍵を使用して前記第６の工程において取得された、暗号化された前記第１のユーザエージェント及び第２のユーザエージェントに対応した情報を復号する第７の工程と、を有する。

第２の発明の情報管理方法は、第１のユーザエージェントと、第２のユーザエージェントと、前記第１のユーザエージェントにネットワークを介したサービスを提供し、また前記第１のユーザエージェント及び第２のユーザエージェントに対応した情報を記録するネットワークサーバと、を有する情報管理システムの情報管理方法であって、前記ネットワークサーバが、前記第１のユーザエージェントの識別子を基に認証データを生成し記録する第１の工程と、前記ネットワークサーバが、前記第１の工程において生成された前記認証データを用いて前記第１のユーザエージェントと前記第２のユーザエージェントとを関連付ける第２の工程と、前記ネットワークサーバが、当該ネットワークサーバに関連付けられた公開鍵を、前記第２のユーザエージェントに対して送信する第３の工程と、前記第２のユーザエージェントは、前記第３の工程において送信された公開鍵を使用して、前記第１のユーザエージェント及び第２のユーザエージェントに対応した情報を暗号化する第４の工程と、前記ネットワークサーバが、前記第４の工程において暗号化された前記第１のユーザエージェント及び第２のユーザエージェントに対応した情報を記録する第５の工程と、前記サービス提供サーバが、当該サービス提供サーバに関連付けられた秘密鍵を使用して前記第５の工程において記録された、暗号化された前記第１のユーザエージェント及び第２のユーザエージェントに対応した情報を復号する第６の工程と、を有する。

第３の発明の情報管理システムは、第１のユーザエージェントと、第２のユーザエージェントと前記第１のユーザエージェントにネットワークを介したサービスを提供するサービス提供サーバと、前記第１のユーザエージェント及び第２のユーザエージェントに対応した情報を記録する情報管理サーバと、を有し、前記第２のユーザエージェントは、前記サービス提供サーバに関連付けられた公開鍵を使用して前記情報を暗号化し、前記情報管理サーバは、前記第２のユーザエージェントにより暗号化された前記情報を暗号化されたまま記録し、前記サービス提供サーバは、前記情報管理サーバに記録された、暗号化された前記第１のユーザエージェント及び第２のユーザエージェントに対応した情報を取得し、当該サービス提供サーバに関連付けられた秘密鍵を使用して前記情報を復号する。

本発明によれば、個人情報等、機密情報をよりよく管理し漏洩を防ぐ情報管理方法及び情報管理システムを提供することができる。

以下、本実施形態の個人情報管理システム１００について説明する。
図１は、個人情報管理システム（情報管理システム）１００の構成を示すブロック図である。
図１に示すように、個人情報管理システム１００は、ユーザ端末１（第１ユーザエージェント）、携帯端末２（第２ユーザエージェント）、サービス提供サーバ３、個人情報管理サーバ（情報管理サーバ）４とからなる。

ユーザ端末１は、例えばパーソナルコンピュータ等の端末装置であり、サービス提供サーバ３とＰＫＩ（Public Key Infrastructure：公開鍵暗号基盤）をベースにしたＳＳＬ（Secure Sockets Layer）／ＴＬＳ（Transport Layer Security）等による暗号化通信を行う。ユーザ端末１は、ＷＥＢブラウザ等のブラウジング用アプリケーションを有し、ユーザはこれを利用することによって、サービス提供サーバ３上に展開された様々なサービスにアクセスする。ここで、様々なサービスとは、例えばオンラインショッピング等である。

携帯端末２は、２次元コードを読み取り可能なカメラ機能を有する携帯電話機である。２次元コードは、例えばＱＲコード、ＰＤＦ４１７、ＤａｔａＭａｔｒｉｘ、ＭａｘｉＣｏｄｅ等のいずれを用いても良い。
また、携帯端末２は、個人情報管理サーバ４とＳＳＬ／ＴＬＳ等による暗号化通信を行う。

また、携帯端末２は、ユーザＩＤデータベース（ＤＢ）を有し、ユーザＩＤＤＢには、ユーザ毎に固有のユーザＩＤ、携帯端末に固有のＵＴＮ（User Terminal Number）、パスワード（暗証番号）としてのＰＩＮ（Personal Identify Number）コードが記憶されている。
ＵＴＮは、携帯電話機本体固有の個体識別ＩＤ、または、ＳＩＭ（Subscriber Identity Module）カードやＵＩＭ（User Identity Module）カードなどの個体識別ＩＤ（携帯電話加入者固有の識別ＩＤ）である。なお、携帯端末に固有のＩＤとして、ＵＴＮに限られず様々な形式のＩＤを採用することができるが、ユーザが携帯電話機を切り替えたとしてもユーザが持ち運び可能な個体識別ＩＤ（上述したカードに記述された個体識別ＩＤ）が望ましい。
また、パスワードとしては、ＰＩＮコードに限られず、ユーザが携帯端末２に設定し、かつ、個人情報管理サーバ４に登録可能であれば、ユーザが設定したコード、暗証番号等でもよい。

さらに、携帯端末２は個人情報ＤＢをさらに有し、ユーザは予め（本実施形態における個人情報管理システムを利用する前に）個人情報、すなわち名前、住所、電話番号、クレジットカード番号、クレジットカードの種類、有効期限等の情報を個人情報ＤＢに記録しておく。なお、個人情報ＤＢに記録できる個人情報は複数あってもよい。すなわち、同じ名前で異なる住所の個人情報を２つ以上個人情報ＤＢに記録しておくことが可能である。なお、この場合には、個人情報が必要になった際にはユーザが携帯端末２上でどの個人情報を利用するかを選択できるようにすればよい。

サービス提供サーバ３は、ユーザ端末１のインターネット等ネットワークへの接続を仲介するＮＳＰ（ネットワークサービスプロバイダ）が管理するサーバ装置であり、ユーザ端末１及びＰＩＭＳＰ３とそれぞれＳＳＬ／ＴＬＳ方式等によって暗号化された通信を行っている。具体的には、電話回線やＩＳＤＮ回線、データ通信専用回線等を通じて、ユーザ端末１をインターネット等のネットワークに接続させる。
また、サービス提供サーバ３は、利用者ＤＢを有し、サービス提供サーバ３が提供する各サービスの利用者の情報（ユーザＩＤ、暗号化された個人情報等）を記録する。
なお、図１においてはサービス提供サーバ３は個人情報管理システム１００において１つだけである構成となっているが、本発明はこれには限定されない。すなわち、個人情報管理システム１００は複数のサービス提供サーバ３を有していてもよい。この場合、複数のサービス提供サーバ３は、それぞれ独立してユーザ端末１や個人情報管理サーバ４と接続される。

個人情報管理サーバ４は、個人情報管理サービスプロバイダ（Personal Information Management Service Provider、以下ＰＩＭＳＰと称する）が管理するサーバ装置である。
個人情報管理サーバ４は、ユーザ端末１及び携帯端末２を利用するユーザの個人情報（クレジットカード情報等を含む）やアクセスログ等を記録・管理する。
個人情報管理サーバ４は、ユーザ情報ＤＢ、トークンＤＢ及び暗号化個人情報ＤＢを有する。
ユーザ情報ＤＢは、ユーザに固有のユーザＩＤ、携帯端末２に固有のＵＴＮ及びＰＩＮコードが関連付けられて予め記録している。
トークンＤＢは、個人情報管理サーバ４が生成したトークンＴＫを記録する。トークンＴＫに関しては後述する。
暗号化個人情報ＤＢは、暗号化された個人情報がユーザ情報やトークンＴＫに関連付けられて記録する。
なお、個人情報管理サーバ４は、個人情報管理システム１００において１つのみであることが望ましい。その理由は、個人情報管理サーバ４に個人情報を一括管理させ、個人情報漏洩のリスクを軽減させるためである。

次に、個人情報管理システム１００の動作例について説明する。
図２に示したシーケンス図は、ユーザ端末１がサービス提供サーバ３へアクセスし、トークンを取得するまでを示している。

ステップＳＴ１−１：
ユーザ端末１は、ユーザの操作に応じて、サービス提供サーバ３にアクセスするとともに、ＷＥＢブラウザを起動する。これによって、サービス提供サーバ３からページ情報を受信して復号し、ＷＥＢブラウザ上に表示する。この際、サービス提供サーバ３はユーザ端末１の識別ＩＤ（以下ＵＡ１ＩＤ）をクッキー情報として取得する。

ステップＳＴ１−２：
サービス提供サーバ３は、個人情報管理サーバ４に対してサービス提供サーバの識別ＩＤ（以下ＮＳＰＩＤ）とユーザ端末１の識別子（上述したＵＡ１ＩＤとは異なってもよいが、同じでも良い。ここでは同じとして説明する）ＵＡ１ＩＤとを送信し、トークンＴＫの発行を要求する。トークンとは、期限付きの認証用データである。

ステップＳＴ１−３：
個人情報管理サーバ４は、ステップＳＴ１−２においてサービス提供サーバ３から送信されたＮＳＰＩＤ及びＵＡ１ＩＤをパラメータとして、トークンＴＫを生成する。
トークンＴＫの一例を図３に示す。
図３に示すように、トークンＴＫは文字列であり、通信プロトコル名、ＮＳＰＩＤ、コマンド名、トークン実体部等の文字列からなる。トークン実体部にはトークンの発行日時、トークンの有効期限等の情報をハッシュ関数等により暗号化した文字列である。

ステップＳＴ１−４：
個人情報管理サーバ４は、ステップＳＴ１−３において発行したトークンＴＫをサービス提供サーバ３に送信するとともにＵＡ１ＩＤ及びＮＳＰＩＤをトークンＴＫと関連付けて保持する。
ステップＳＴ１−５：
サービス提供サーバ３は、ステップＳＴ１−４において受信したトークンＴＫをＷＥＢブラウザ表示させるためのページ情報をユーザ端末１へ送信する。

ステップＳＴ１−６：
ユーザ端末１は、ステップＳＴ１−５においてサービス提供サーバ３から送信されたページ情報を基に、トークンＴＫを含むＷＥＢページをＷＥＢブラウザ上に表示する。
なお、ユーザ端末１は、上述したように１次元の文字列であったトークンＴＫを２次元コードとして表示する。ユーザ端末１がトークンＴＫを２次元コードの形で表示する方法としては、例えば、予めサービス提供サーバ３から送信されたページ情報内に２次元コード出力サーバのＵＲＬ（Uniform Resource Locator）が記述されており、ユーザ端末１がページ情報を解釈してＷＥＢページを作成する際に、当該ＵＲＬにアクセスしてトークンＴＫを２次元コードに変換させ、これをＷＥＢページ上に表示する、といった方法がある。

図４は、携帯端末２によるトークンの読み取りから、個人情報管理サーバ４によるユーザ端末１と携帯端末２の関連付けまでの動作例を示すシーケンス図である。
ステップＳＴ２−１：
ステップＳＴ１−６においてユーザ端末１に表示された２次元コードの形式で表示されたトークンＴＫを、携帯端末２が読み取り、解読（１次元文字列に変換）する。

ステップＳＴ２−２：
携帯端末２は、個人情報管理サーバ４に対して、ステップＳＴ２−１において読み取理解読したトークンＴＫを、ユーザＩＤＤＢに記録されたユーザＩＤ、ＵＴＮ、ＰＩＮコードとともに送信する。

ステップＳＴ２−３：
個人情報管理サーバ４は、ステップＳＴ２−２において送信されたユーザＩＤ、ＵＴＮ、ＰＩＮコード及びトークンＴＫに基づいて認証付与の可否判断を行い、可であればステップＳＴ２−４に進み、否であればステップＳＴ２−５に進む。
すなわち、個人情報管理サーバ４は、ステップＳＴ２−２において携帯端末２から送信されたユーザＩＤ、ＵＴＮおよびＰＩＮコードが、ユーザ情報ＤＢに予め記録されたものであるか否かを確認し、予め記録されていたものであれば、そのユーザＩＤ、ＵＴＮおよびＰＩＮコードとともに送信されたトークンＴＫと同一のものがトークンＤＢ内から検索する。ここで、個人情報管理サーバ４は、そのユーザＩＤ、ＵＴＮおよびＰＩＮコードとともに送信されたトークンＴＫの有効期限がまだ過ぎていなければ、当該トークンＴＫと同一のトークンＴＫをトークンＤＢ内から探し出し、探し出せた場合は、認証可としてステップＳＴ２−４に進む。
一方、個人情報管理サーバ４は、送信されたユーザＩＤ、ＵＴＮおよびＰＩＮコードがユーザ情報ＤＢに記録されていないか、受信したトークンＴＫの有効期限が過ぎているか、または受信したトークンＴＫがトークンＤＢに記録されていない場合には、認証不可としてステップＳＴ２−５に進む。

ステップＳＴ２−４：
個人情報管理サーバ４は、ステップＳＴ２−３において一致したトークンＴＫを送信した携帯端末２と、当該トークンに関連付けられたＵＡ１ＩＤに対応したユーザ端末１とを関連付け、関連付けたことを当該トークンＴＫとともにトークンＤＢに記録する。
ステップＳＴ２−５：
個人情報管理サーバ４は、ステップＳＴ２−３において認証可であった場合には、ステップＳＴ２−４においてユーザ端末１と携帯端末２とが関連付けられたことをサービス提供サーバ３に送信し、認証不可であった場合には、ユーザ端末１と携帯端末２とが関連付けられていないことをサービス提供サーバ３に送信する。
ステップＳＴ２−５’：
個人情報管理サーバ４は、ステップＳＴ２−３において認証可であった場合には、ステップＳＴ２−４においてユーザ端末１と携帯端末２とが関連付けられたことを携帯端末２に送信し、認証付加であった場合には、ユーザ端末１と携帯端末２とが関連付けられていないことを携帯端末２に送信する。
なお、ステップＳＴ２−５とステップＳＴ２−５’とはほぼ同時に実行される。

図５は、携帯端末２へ個人情報リクエスト、プライバシポリシ、サービス提供サーバ３の公開鍵証明書が送信され、携帯端末２上でユーザによって確認されるまでの動作例を示すシーケンス図である。
ステップＳＴ３−１：
サービス提供サーバ３は、ステップＳＴ２−５において送信された、ユーザ端末１と携帯端末２とが関連付けられたことを受信して、そのユーザ端末１及び携帯端末２を使用しているユーザの個人情報を要求する個人情報リクエストを個人情報管理サーバ４に送信する。

ステップＳＴ３−２：
個人情報管理サーバ４は、ステップＳＴ３−１で送信された個人情報リクエスト、個人情報リクエストを送信したサービス提供サーバ３の公開鍵証明書、サービス提供サーバ３のプライバシポリシを携帯端末２に送信する。
ここで、サービス提供サーバ３の公開鍵証明書は、公開鍵暗号基盤ＰＫＩ（Public Key Infrastructure）に基づいた認証機関或いはＰＩＭＳＰ内部のプライベート認証機関による証明書であり、サービス提供サーバ３ごとに決定されているものであり、個人情報管理サーバ４は、サービス提供サーバ３の公開鍵証明書を予め保持している。
また、プライバシポリシ情報は、個人情報リクエストによって要求された個人情報を、サービス提供サーバ３がどのように利用するかをユーザに通知するものであり、例えば、サービス提供サーバ３がユーザに対し、個人情報を閲覧するのは個人情報管理サーバ４だけであり、サービス提供サーバ３自体は閲覧しない、といった内容のものである。

ステップＳＴ３−３：
携帯端末２は、ステップＳＴ３−２において個人情報管理サーバ４から送信されてきた個人情報リクエスト、プライバシポリシ情報及びサービス提供サーバ３の公開鍵証明書を表示する。
ステップＳＴ３−４：
ユーザは、ステップＳＴ３−３において表示された、個人情報リクエスト、プライバシポリシ情報及び公開鍵証明書を閲覧して、確認し、同意できるか否かを携帯端末２上で選択する。

図６は、携帯端末２においてユーザが送信する個人情報を選択してからサービス提供サーバ３がユーザ端末１に個人情報が取得できたことを通知するまでの動作例を示すシーケンス図である。
ステップＳＴ４−１：
ユーザは、携帯端末２上で個人情報リクエストによって要求された個人情報を送信するために、個人情報ＤＢ内のどの個人情報を送信するかを選択する。個人情報ＤＢ内に１つしか個人情報が記録されていない場合には選択する本ステップはなくても良い。また、個人情報ＤＢ内にあらかじめ個人情報が記録されていない場合には、この時点で改めてユーザが個人情報ＤＢに個人情報を記録させてもよい。

ステップＳＴ４−２：
携帯端末２は、ステップＳＴ４−１で選択された個人情報を、ステップＳＴ３−２で受信した公開鍵を使用して暗号化する。
ステップＳＴ４−３：
携帯端末２は、ステップＳＴ４−２で暗号化された個人情報を個人情報管理サーバ４に送信する。

ステップＳＴ４−４：
個人情報管理サーバ４は、ステップＳＴ４−３において送信された、暗号化された個人情報を暗号化個人情報ＤＢに記録する。
ステップＳＴ４−５：
個人情報管理サーバ４は、個人情報リクエストによって要求された個人情報を取得できたことをサービス提供サーバ３に通知する。

ステップＳＴ４−６：
サービス提供サーバ３は、個人情報管理サーバ４が個人情報を取得できたことをユーザ端末１に通知する。

図７は、サービス提供サーバ３が個人情報を所得するまでの動作例を示すシーケンス図である。
ステップＳＴ５−１：
サービス提供サーバ３は、要求する個人情報の利用目的を記述した利用目的情報、及び当該個人情報の識別情報（ユーザＩＤ）を個人情報管理サーバ４に送信する。
ステップＳＴ５−２：
個人情報管理サーバ４は、ステップＳＴ５−１で送信された利用目的情報をプライバシポリシ情報と照らし合わせて、サービス提供サーバが個人情報にアクセス可能かを検証し、可能であればステップＳＴ５−３に進む。不可能であれば、処理を終了する。

ステップＳＴ５−３：
個人情報管理サーバ４は、サービス提供サーバ３に要求された個人情報を暗号化されたまま送信する。
ステップＳＴ５−４：
サービス提供サーバ３は、ステップＳＴ５−３において送信された、暗号化されたままの個人情報を、サービス提供サーバ３に対応する秘密鍵を用いて復号する。なお、復号し個人情報を利用した後は、サービス提供サーバ３は復号した個人情報を削除する。

以上説明したように、本実施形態の個人情報管理システム１００では、携帯端末２が、サービス提供サーバ３の公開鍵情報を使用して個人情報を暗号化し、個人情報管理サーバ４が暗号化された個人情報を暗号化されたまま記録・管理し、サービス提供サーバ３が、個人情報が必要になった時点で暗号化されたままの個人情報を個人情報管理サーバ４から取得し、サービス提供サーバ３の秘密鍵を使用して復号し個人情報を利用する。すなわち、個人情報管理サーバ４が個人情報を暗号化されたまま一括管理しているため、個人情報漏洩の危険性を低く抑えることが可能である。

また、本実施形態の個人情報管理システム１００では、個人情報管理サーバ４は、サービス提供サーバに対応付けられた公開鍵によって暗号化されたままの個人情報を記録・管理しており、それぞれの暗号化された個人情報は対応するサービス提供サーバの秘密鍵を使用しなければ復号することができない（非常に難しい）ため、個人情報管理サーバ４自体も自らが記録・管理する個人情報を復号してその内容を利用することができなくなっており、セキュリティ性が高い。また、万が一、第３者が暗号化された個人情報を取得できたとしても、これが復号し解読することは殆ど不可能に近いため、この意味でもセキュリティ性が高いと言える。

さらに、本実施形態の個人情報管理システム１００では、個人情報管理サーバ４が、ユーザ端末１とサービス提供サーバ３の識別ＩＤをパラメータとして発行したトークンＴＫを、サービス提供サーバ３、ユーザ端末１、携帯端末２を経由して再び個人情報管理サーバ４まで転送させ、転送前のトークンと転送されたトークンとが一致するか否かを検証し、一致する場合にユーザ端末１と携帯端末２との関連付けを行っている。ユーザ端末１にはスパイウェア等が仕込まれている可能性があり、必ずしも個人情報を扱うのに安全な環境とはいえないが、携帯電話機の場合、これまで国内でスパイウェアが発見されたことは殆どなく、また元々電話番号等を管理しているためアクセス制限がしっかりしておりセキュリティ性が高いため、携帯端末２は個人情報を扱う場合に比較的安全な環境であるといえる。このため、個人情報の入力等、ユーザから個人情報管理システム１００へのセキュリティ上重要なアクセスを携帯端末２上において行い、ユーザ端末１と携帯端末２とを上述した方法で関連付けることによって、個人情報を扱う際のセキュリティ性を高めることができる。

さらに、本実施形態の個人情報管理システム１００では、ユーザ端末１から携帯端末２にトークンＴＫを転送する際には、２次元コード等２次元コードを利用しているため、ユーザ端末１に表示されたトークンＴＫを携帯端末２に入力する際の間違い（文字列の打ち間違い等）がなく、ユーザビリティが向上する。

さらに、本実施形態の個人情報管理システム１００では、個人情報管理サーバ４が、サービス提供サーバ３に暗号化された個人情報を送信する際にも、サービス提供サーバ３が出力したプライバシポリシ情報（個人情報を如何に扱うかを記述した情報）を基に、当該サービス提供サーバ３が個人情報にアクセス可能であるか否かを判定するため、セキュリティ性が高い。

また、本実施形態の個人情報管理システム１００では、暗号化された個人情報がユーザＩＤ等ユーザを特定できる情報とともに個人情報管理サーバ４に記録・管理されるため、この暗号化された個人情報は、再利用が可能になっている。すなわち、ユーザが以前利用したサービス提供サーバ３と同じサービス提供サーバ３のサービスを利用する際に、再び個人情報が必要になった場合には、以前個人情報管理サーバ４に記録・管理された暗号化された個人情報をサービス提供サーバ３は復号し使用することができる。これにより、個人情報再入力の手間が省けてユーザビリティが向上するとともに、個人情報入力時の個人情報漏洩の機会を減らすことができ、セキュリティ性も向上する。

上述した本実施形態の個人情報管理システム１００を利用することによって、例えば、匿名でオンラインショッピングを可能にするシステムを実現することができる。
例えば、オンラインショッピングサイトを管理するＡ社、クレジットカードによる決済を行うＢ社、宅配サービスを行うＣ社、Ａ社から商品と購入者識別子（ユーザＩＤ）を受け取って宛先ラベルを印刷したものを商品に貼り付け、Ｃ社に引き渡す中間業者Ｄ社があったとする。ここで、上記各社は上述した本実施形態中のサービス提供サーバ３に対応している。
ユーザは、商品の購入時に、自身の氏名と住所に関する個人情報を携帯端末２を使用して入力するが、ユーザの個人情報はＢ社及びＤ社の公開鍵を用いて暗号化され、個人情報管理サーバ４に記録・管理される。Ｂ社は、Ｂ社の公開鍵で暗号化された暗号化個人情報を取得してＢ社の秘密鍵で復号し、個人情報中のクレジットカード情報を読み取って決済が可能か否かの判定を行い、決済が可能であれば、決済可能である旨をＡ社に伝える。Ａ社はユーザが購入した商品をユーザＩＤとともにＤ社に渡す。Ｄ社は、Ｄ社の公開鍵で暗号化された、ユーザＩＤに対応する暗号化個人情報を個人情報管理サーバ４から取得してＤ社の秘密鍵で復号し、ユーザの名前や住所を宛先ラベルに記入し、商品に貼り付けてＣ社に渡す。最終的に、Ｃ社がユーザの基に商品を届ける。

すなわち、Ａ社はユーザをユーザＩＤによって識別するため、ユーザはＡ社から見て匿名のまま、クレジットカード情報を知られることもなく、商品を購入することが可能になっている。Ｂ社及びＤ社に対しても、それぞれ必要な個人情報しか知られていない。また、個人情報管理サーバ４は、暗号化された個人情報がどこに転送されたかを知ることはできるが、暗号化された個人情報を復号して内容を見ることはできない。
さらに、Ｄ社で印字するプリンタを限定して、仮にそのプリンタがＤ社の公開鍵暗号に対応して宛名の差込印刷を内部で実現できる機能を持っているとすれば、Ｄ社のＰＣ上で個人情報を直接扱わずに、宛先ラベルを印刷することすら可能になり、個人情報漏洩のリスクを低くすることが可能になっている。

さらに上述した実施形態の個人情報管理システム１００の変形例として、個人情報管理システム１００ａを示す。
図８は、個人情報管理システム１００ａの構成を示すブロック図である。
図８に示すように、個人情報管理システム１００ａは、ユーザ端末１、携帯端末２、ネットワークサーバ５を有する。

ユーザ端末１及び携帯端末２については、上述した実施形態で説明したユーザ端末１及び携帯端末２と同様であるため、説明を省略する。
ネットワークサーバ５は、上述した実施形態におけるサービス提供サーバ３と個人情報管理サーバ４とが１つになったものである。
従って、ネットワークサーバ５は、ユーザ端末１のインターネット等ネットワークへの接続を仲介するＮＳＰが管理するサーバ装置と、ＰＩＭＳＰが管理するサーバ装置とを有し、ユーザ端末１及び携帯端末２とそれぞれＳＳＬ／ＴＬＳ方式等によって暗号化された通信を行っている。また、ネットワークサーバ５は、利用者ＤＢ、ユーザ情報ＤＢ、トークンＤＢ及び暗号化個人情報ＤＢを有する。各データベースについては上述した実施形態と同様であるため、説明を省略する。

本変形例では、ＮＳＰが管理するサーバ（サービス提供サーバ）と、ＰＩＭＳＰが管理するサーバ（個人情報管理サーバ）とが１つになっているので、これらの間の通信が必要になった点が上述した実施形態と異なる。また、上述した実施形態においては、サービス提供サーバが複数ある構成についても想定されていたが、本変形例では、ＮＳＰが管理するサーバが複数存在することを想定していない（ＮＳＰ間の連携を想定していない）。

以下、本変形例の個人情報管理システム１００ａにおける動作例を簡単に説明する。
まず、ユーザ端末１は、ユーザの操作に応じて、ネットワークサーバ５にアクセスし、ページ情報を受信し復号してＷＥＢブラウザ上にＷＥＢページを表示する。この際、ネットワークサーバ５は、ユーザ端末１のＵＡ１ＩＤをクッキー情報として取得する。ネットワークサーバ５は、以下ＮＳＰＩＤとＵＡ１ＩＤを基にトークンＴＫを生成し、ＵＡ１ＩＤ及びＮＳＰＩＤをトークンＴＫと関連付けて保持する。ネットワークサーバ５は、生成したトークンＴＫをＷＥＢブラウザ表示させるためのページ情報をユーザ端末１へ送信し、これを受信したユーザ端末１は、トークンＴＫを変換した２次元コードを含むＷＥＢページをＷＥＢブラウザ上に表示する。

次に、ユーザ端末１に表示された２次元コードの形式で表示されたトークンＴＫを、携帯端末２が読み取り、１次元文字列に変換した後、読み取ったトークンＴＫとともにユーザＩＤＤＢに記録されたユーザＩＤ、ＵＴＮ、ＰＩＮコードを、ネットワークサーバ５に対して送信する。ネットワークサーバ５は、受信したユーザＩＤ、ＵＴＮ、ＰＩＮコード及びトークンＴＫに基づいて認証付与の可否判断を行う。受信したトークンＴＫと一致するトークンＴＫがトークンＤＢ内に存在すれば、認証可であるとして、一致したトークンＴＫを送信した携帯端末２と、当該トークンに関連付けられたＵＡ１ＩＤに対応したユーザ端末１とを関連付け、関連付けたことを当該トークンＴＫとともにトークンＤＢに記録し、認証不可であった場合には、ユーザ端末１と携帯端末２とが関連付けられていないことを記録する。同時に、認証可であった場合には、ユーザ端末１と携帯端末２とが関連付けられたことを携帯端末２に送信し、認証付加であった場合には、ユーザ端末１と携帯端末２とが関連付けられていないことを携帯端末２に送信する。

次に、ネットワークサーバ５は、ユーザ端末１と携帯端末２とが関連付けられている場合に、そのユーザ端末１及び携帯端末２を使用しているユーザの個人情報を要求する個人情報リクエスト、個人情報リクエストを送信したＮＳＰの公開鍵証明書、ＮＳＰのプライバシポリシを携帯端末２に送信する。携帯端末２は、受信した個人情報リクエスト、プライバシポリシ情報及びＮＳＰの公開鍵証明書を表示し、ユーザがこれを基に、個人情報リクエスト、プライバシポリシ情報及び公開鍵証明書を閲覧して、確認し、同意するか否かを携帯端末２上で選択する。ユーザが同意した場合は、携帯端末２は、個人情報を、受信した公開鍵を使用して暗号化し、暗号化された個人情報をネットワークサーバ５に送信する。ネットワークサーバ５は、受信した暗号化された個人情報を暗号化個人情報ＤＢに記録し、個人情報を取得できたことをユーザ端末１に通知する。

以降、ネットワークサーバ５は暗号化された個人情報を必要なときに復号して使用する。

すなわち、本変形例の個人情報管理システム１００ａによれば、ＮＳＰが管理するサーバとＰＩＭＳＰが管理するサーバが１つのサーバ内にあるために、上述した実施形態で必要であった、個人情報利用の際にＰＩＭＳＰが管理するサーバが、利用目的情報をプライバシポリシ情報と照らし合わせて、ＮＳＰが管理するサーバが個人情報にアクセス可能であるか否かを判定する工程無しに個人情報を利用できるため、上述した実施形態に比べて個人情報の利用時に係る時間や手間が軽減される。

本発明は上述した実施形態には限定されない。
すなわち、本発明の実施に際しては、本発明の技術的範囲またはその均等の範囲内において、上述した実施形態の構成要素に関し様々な変更、コンビネーション、サブコンビネーション、並びに代替を行ってもよい。

上述した実施形態では、扱う情報は個人情報としたが、漏洩が望ましくない機密情報であれば、どんな情報でも良い。
また、上述した実施形態では、ユーザ端末１が表示した２次元コードを携帯端末２が読み取る形態としたが、本発明はこれには限定されない。すなわち、本発明では、ユーザ端末１（第1のユーザエージェント）が出力した認証データを携帯端末２（第２のユーザエージェント）に入力させる形態であれば良い。例えば、音響ＯＦＤＭ等の技術を使用し、ユーザ端末１が出力した認証用の音を携帯端末２が聞き取ってもよい。

図１は、個人情報管理システム１００の構成を示すブロック図である。図２は、ユーザ端末１がサービス提供サーバ３へアクセスし、トークンを取得するまでを示したシーケンス図である。図３は、トークンＴＫの一例を示す図である。図４は、携帯端末２によるトークンの読み取りから、個人情報管理サーバ４によるユーザ端末１と携帯端末２の関連付けまでの動作例を示すシーケンス図である。図５は、携帯端末２へ個人情報リクエスト、プライバシポリシ、サービス提供サーバ３の公開鍵証明書が送信され、携帯端末２上でユーザによって確認されるまでの動作例を示すシーケンス図である。図６は、携帯端末２においてユーザが送信する個人情報を選択してからサービス提供サーバ３がユーザ端末１に個人情報が取得できたことを通知するまでの動作例を示すシーケンス図である。図７は、サービス提供サーバ３が個人情報を所得するまでの動作例を示すシーケンス図である。図８は、変形例の個人情報管理システム１００ａの構成を示すブロック図である。

符号の説明

１００…個人情報管理システム、１００ａ…個人情報管理システム、１…ユーザ端末、２…携帯端末、３…サービス提供サーバ、４…個人情報管理サーバ、５…ネットワークサーバ

Claims

第１のユーザエージェントと、第２のユーザエージェントと、前記第１のユーザエージェントにネットワークを介したサービスを提供するサービス提供サーバと、前記第１のユーザエージェント及び第２のユーザエージェントに対応した情報を記録する情報管理サーバと、を有する情報管理システムの情報管理方法であって、
前記情報管理サーバが、前記第１のユーザエージェントの識別子と、前記サービス提供サーバの識別子とを基に認証データを生成し記録する第１の工程と、
前記情報管理サーバが、前記第１の工程において生成された前記認証データを用いて前記第１のユーザエージェントと前記第２のユーザエージェントとを関連付ける第２の工程と、
前記サービス提供サーバが、前記情報管理サーバを介して、当該サービス提供サーバに関連付けられた公開鍵を、前記第２のユーザエージェントに対して送信する第３の工程と、
前記第２のユーザエージェントは、前記第３の工程において送信された公開鍵を使用して、前記第１のユーザエージェント及び第２のユーザエージェントに対応した情報を暗号化する第４の工程と、
前記情報管理サーバが、前記第４の工程において暗号化された前記第１のユーザエージェント及び第２のユーザエージェントに対応した情報を記録する第５の工程と、
前記サービス提供サーバが、暗号化された前記第１のユーザエージェント及び第２のユーザエージェントに対応した情報を前記情報管理サーバから取得する第６の工程と、
前記サービス提供サーバが、当該サービス提供サーバに関連付けられた秘密鍵を使用して前記第６の工程において取得された、暗号化された前記第１のユーザエージェント及び第２のユーザエージェントに対応した情報を復号する第７の工程と、
を有する情報管理方法。
前記第２の工程は、
前記第１のユーザエージェントが前記認証データを出力する第８の工程と、
前記第８の工程において前記第１のユーザエージェントから出力された前記認証データを前記第２のユーザエージェントに入力する第９の工程と、
前記情報管理サーバが、前記第９の工程において前記第２のユーザエージェントに入力された認証データと一致するものが前記第１の工程において記録された前記認証データの中にあるか否かを検索し、一致するものがあった場合に前記第１のユーザエージェントと前記第２のユーザエージェントとを関連付ける第１０の工程と、
を有する請求項１に記載の情報管理方法。
前記第８の工程において、前記第１のユーザエージェントは前記認証データに基づいた２次元コードを表示する
請求項２に記載の情報管理方法。
前記第６の工程は、
前記サービス提供サーバが、取得した情報をどのように利用するかを示すプライバシポリシ情報を生成し前記情報管理サーバを介して前記第２のユーザエージェントに送信する第１１の工程と、
前記第２のユーザエージェントが、前記第１１の工程で送信されたプライバシポリシ情報を基に、前記第１のユーザエージェント及び第２のユーザエージェントに対応した情報を前記サービス提供サーバに取得させてもよいか否かを判定する第１２の工程と、
前記第１２の工程において、前記第２のユーザエージェントによって前記第１のユーザエージェント及び第２のユーザエージェントに対応した情報を前記サービス提供サーバに取得させてもよいと判定された場合に、情報管理サーバが前記サービス提供サーバに対して前記第１のユーザエージェント及び第２のユーザエージェントに対応した情報を送信する第１３の工程と、
をさらに有する請求項１から３のいずれか一項に記載の情報管理方法。
第１のユーザエージェントと、第２のユーザエージェントと、前記第１のユーザエージェントにネットワークを介したサービスを提供し、また前記第１のユーザエージェント及び第２のユーザエージェントに対応した情報を記録するネットワークサーバと、を有する情報管理システムの情報管理方法であって、
前記ネットワークサーバが、前記第１のユーザエージェントの識別子を基に認証データを生成し記録する第１の工程と、
前記ネットワークサーバが、前記第１の工程において生成された前記認証データを用いて前記第１のユーザエージェントと前記第２のユーザエージェントとを関連付ける第２の工程と、
前記ネットワークサーバが、当該ネットワークサーバに関連付けられた公開鍵を、前記第２のユーザエージェントに対して送信する第３の工程と、
前記第２のユーザエージェントは、前記第３の工程において送信された公開鍵を使用して、前記第１のユーザエージェント及び第２のユーザエージェントに対応した情報を暗号化する第４の工程と、
前記ネットワークサーバが、前記第４の工程において暗号化された前記第１のユーザエージェント及び第２のユーザエージェントに対応した情報を記録する第５の工程と、
前記サービス提供サーバが、当該サービス提供サーバに関連付けられた秘密鍵を使用して前記第５の工程において記録された、暗号化された前記第１のユーザエージェント及び第２のユーザエージェントに対応した情報を復号する第６の工程と、
を有する情報管理方法。
第１のユーザエージェントと、
第２のユーザエージェントと、
前記第１のユーザエージェントにネットワークを介したサービスを提供するサービス提供サーバと、
前記第１のユーザエージェント及び第２のユーザエージェントに対応した情報を記録する情報管理サーバと、
を有し、
前記第２のユーザエージェントは、前記サービス提供サーバに関連付けられた公開鍵を使用して前記情報を暗号化し、
前記情報管理サーバは、前記第２のユーザエージェントにより暗号化された前記情報を暗号化されたまま記録し、
前記サービス提供サーバは、前記情報管理サーバに記録された、暗号化された前記第１のユーザエージェント及び第２のユーザエージェントに対応した情報を取得し、当該サービス提供サーバに関連付けられた秘密鍵を使用して前記情報を復号する
情報管理システム。
前記情報管理サーバは、前記第１のユーザエージェントの識別子と、前記サービス提供サーバの識別子とを基に認証データを生成し、生成された前記認証データを用いて前記第１のユーザエージェントと前記第２のユーザエージェントとを関連付ける
請求項６に記載の情報管理システム。