JP5694223B2 - 属性情報開示制御システム、情報保有管理サーバ、及び属性情報開示制御方法 - Google Patents

Description

本発明は、利用者の属性情報の重要度に基づいて、属性情報の開示制御を行う属性情報開示制御システム、情報保有管理サーバ、及び属性情報開示制御方法に関するものである。

現在、インターネットやブロードバンドサービスの普及に伴って、オンライン上で、住所、電話番号、生年月日等の属性情報を利用者の意志により開示し、クレジットカード等の各種金融サービスや、ＥＣ（Electronic Commerce）を提供する技術が存在する。利用者の意志に基づき属性情報を提供する従来の属性情報開示制御システムでは、属性情報を保有する情報保有サーバが、サービスを提供する情報活用サーバに対し、利用者が設定した開示制御の内容に従って、利用者の属性情報を提供することが可能であった（例えば特許文献１参照）。

特開２００９−１９９５７３号公報

しかしながら、従来の技術は、情報活用サーバへ開示制御される利用者の属性情報の重要度を判定することができないという問題があった。ここで、重要度とは、利用者の属性情報が流出・損失・改ざんなど不正に扱われた場合に利用者に与える影響（例えば、被害額）の大きさを数値化したものである。また、複数の情報保有サーバを備える属性情報開示制御システムにおいて、仮に各情報保有サーバが属性情報の重要度を管理していた場合であっても、情報活用サーバに開示する属性情報の正確な重要度を判定することはできない。このように、従来の技術では情報活用サーバへ開示制御される利用者の属性情報の重要度を判定することができないため、重要度に応じてセキュリティレベルを変更することもできなかった。

かかる事情に鑑みてなされた本発明の目的は、複数の情報保有サーバに管理されている属性情報から、流通する全ての属性情報に関する重要度を判定し、開示する属性情報の重要度に応じてセキュリティレベルを変更することが可能な属性情報開示制御システム、情報保有管理サーバ、及び属性情報開示制御方法を提供することにある。

上記課題を解決するため、本発明に係る属性情報開示制御システムは、情報活用サーバから提供されるサービスを利用する利用者端末の利用者の属性情報を保有する複数の情報保有サーバと、前記利用者の属性情報の属性項目を保有し、前記複数の情報保有サーバから属性項目に対応する属性情報を取得し、該属性情報を前記情報活用サーバに送信する情報保有管理サーバと、を備える属性情報開示制御システムであって、前記情報保有管理サーバは、前記情報活用サーバが要求する属性項目の条件を満たす属性項目の組み合わせを生成する組み合わせ生成部と、前記属性項目の組み合わせごとに重要度を算出し、該重要度に応じて、利用者が属性情報の開示を許可する際に必要となる認証レベルを決定し、前記属性項目の組み合わせ及び前記認証レベルに応じて、属性項目について利用者に開示の可否の同意を確認する属性項目同意要求画面を生成する重要度・認証レベル決定部と、前記属性項目同意要求画面の前記利用者端末への送信、前記利用者端末からの利用者が許可した属性項目の受信、前記情報保有サーバからの前記利用者が許可した属性項目に対応する属性情報の受信、及び該受信した属性情報の前記情報活用サーバへの送信を行う通信部と、を備え、前記情報保有サーバは、前記利用者が許可した属性項目に対応する属性情報を前記情報保有管理サーバに送信する通信部を備え、前記重要度・認証レベル決定部は、前記算出した重要度が最も小さくなる属性項目の組み合わせ、及び前記最も小さい重要度に対応する認証レベルに応じて、前記属性項目同意要求画面を生成することを特徴とする。
あるいは、本発明に係る属性情報開示制御システムは、情報活用サーバから提供されるサービスを利用する利用者端末の利用者の属性情報を保有する複数の情報保有サーバと、前記利用者の属性情報の属性項目を保有し、前記複数の情報保有サーバから属性項目に対応する属性情報を取得し、該属性情報を前記情報活用サーバに送信する情報保有管理サーバと、を備える属性情報開示制御システムであって、前記情報保有管理サーバは、前記情報活用サーバが提供するサービス内容を一意に示すサービスＩＤと、前記サービスＩＤによって特定されるサービスに必要となる属性情報を保有している情報保有サーバを一意に示す情報保有サーバＩＤと、前記サービスを実行するために必要となる必要属性項目と、を含むサービス管理情報を記憶するサービス管理情報記憶部と、前記情報保有サーバＩＤと、前記利用者を一意に示す利用者ＩＤと、該情報保有サーバＩＤにより特定される情報保有サーバに保有されている属性情報の属性項目と、を含む情報保有サーバ管理情報を記憶する情報保有サーバ管理情報記憶部と、サービスＩＤをキーとして前記サービス管理情報記憶部から必要属性項目を取得し、該必要属性項目の条件を満たす属性項目の組み合わせを、情報保有サーバＩＤをキーとして前記情報保有サーバ管理情報記憶部から取得した属性項目を用いて生成する組み合わせ生成部と、前記属性項目の組み合わせごとに重要度を算出し、該重要度に応じて、利用者が属性情報の開示を許可する際に必要となる認証レベルを決定し、前記属性項目の組み合わせ及び前記認証レベルに応じて、属性項目について利用者に開示の可否の同意を確認する属性項目同意要求画面を生成する重要度・認証レベル決定部と、前記属性項目同意要求画面の前記利用者端末への送信、前記利用者端末からの利用者が許可した属性項目の受信、前記情報保有サーバからの前記利用者が許可した属性項目に対応する属性情報の受信、及び該受信した属性情報の前記情報活用サーバへの送信を行う通信部と、を備え、前記情報保有サーバは、前記利用者が許可した属性項目に対応する属性情報を前記情報保有管理サーバに送信する通信部を備えることを特徴とする。

また、上記課題を解決するため、本発明に係る情報保有管理サーバは、利用者の属性情報の属性項目を保有し、情報活用サーバから提供されるサービスを利用する利用者端末の利用者の属性情報を保有する複数の情報保有サーバから、属性項目に対応する属性情報を取得し、該属性情報を前記情報活用サーバに送信する情報保有管理サーバであって、前記情報活用サーバが要求する属性項目の条件を満たす属性項目の組み合わせを生成する組み合わせ生成部と、前記属性項目の組み合わせごとに重要度を算出し、該重要度に応じて、利用者が属性情報の開示を許可する際に必要となる認証レベルを決定し、前記属性項目の組み合わせ及び前記認証レベルに応じて、属性項目について利用者に開示の可否の同意を確認する属性項目同意要求画面を生成する重要度・認証レベル決定部と、前記属性項目同意要求画面の前記利用者端末への送信、前記利用者端末からの利用者が許可した属性項目の受信、前記情報保有サーバからの前記利用者が許可した属性項目に対応する属性情報の受信、及び該受信した属性情報の前記情報活用サーバへの送信を行う通信部と、を備え、前記重要度・認証レベル決定部は、前記算出した重要度が最も小さくなる属性項目の組み合わせ、及び前記最も小さい重要度に対応する認証レベルに応じて、前記属性項目同意要求画面を生成することを特徴とする。

また、上記課題を解決するため、本発明に係る属性情報開示制御方法は、情報活用サーバから提供されるサービスを利用する利用者端末の利用者の属性情報を保有する複数の情報保有サーバと、前記利用者の属性情報の属性項目を保有し、前記複数の情報保有サーバから属性項目に対応する属性情報を取得し、該属性情報を前記情報活用サーバに送信する情報保有管理サーバと、を備える属性情報開示制御システムにおいて属性情報の開示を制御する属性情報開示制御方法あって、前記情報保有管理サーバにより、前記複数の情報保有サーバが保有している属性情報に対応する属性項目を用いて、前記情報活用サーバが要求する属性項目の条件を満たす属性項目の組み合わせを生成するステップと、前記情報保有管理サーバにより、前記属性項目の組み合わせごとに重要度を算出し、該重要度に応じて、利用者が属性情報の開示を許可する際に必要となる認証レベルを決定し、前記属性項目の組み合わせ及び前記認証レベルに応じて、属性項目について利用者に開示の可否の同意を確認する属性項目同意要求画面を生成する重要度・認証レベル決定ステップと、前記情報保有管理サーバにより、前記属性項目同意要求画面を前記利用者端末に送信するステップと、前記情報保有管理サーバにより、利用者が許可した属性項目を前記利用者端末から受信するステップと、前記情報保有サーバにより、前記利用者が許可した属性項目に対応する属性情報を前記情報保有管理サーバに送信するステップと、前記情報保有管理サーバにより、前記情報保有サーバから受信した属性情報を前記情報活用サーバへ送信するステップと、を含み、前記重要度・認証決定レベルステップは、前記算出した重要度が最も小さくなる属性項目の組み合わせ、及び前記最も小さい重要度に対応する認証レベルに応じて、前記属性項目同意要求画面を生成することを特徴とする。

本発明によれば、複数の情報保有サーバに保有されている属性情報から、流通する全ての属性情報に関する重要度を判定し、開示する属性情報の重要度に応じてセキュリティレベルを変更することができるようになる。

本発明の一実施形態に係る属性情報開示制御システムの構成例を示すブロック図である。 本発明の一実施形態に係る属性情報開示制御システムにおける利用者属性情報記憶部に記憶される利用者属性情報の一例を示す図である。 本発明の一実施形態に係る属性情報開示制御システムにおけるサービス管理情報記憶部に記憶されるサービス管理情報の一例を示す図である。 本発明の一実施形態に係る属性情報開示制御システムにおける情報保有サーバ管理情報記憶部に記憶される情報保有サーバ管理情報の一例を示す図である。 本発明の一実施形態に係る属性情報開示制御システムにおける重要度管理情報記憶部に記憶される重要度算出情報の一例を示す図である。 本発明の一実施形態に係る属性情報開示制御システムの動作例を示すフローチャートである。 本発明の一実施形態に係る属性情報開示制御システムの動作例を示すフローチャートである。 本発明の一実施形態に係る属性情報開示制御システムにおける利用端末に表示される属性項目同意要求画面の一例を示す図である。

以下、本発明の一実施形態について、図面を参照して詳細に説明する。

［属性情報開示制御システムの構成］
図１は、本発明の一実施形態に係る属性情報開示制御システムの構成例を示すブロック図である。図１に示すように、属性情報開示制御システム１は、情報保有管理サーバ１０と、複数の情報保有サーバ２０と、情報活用サーバ３０と、利用者端末４０とを備える。なお、図１では、説明の便宜上、情報保有サーバ２０を２つ（２０−１、２０−２）のみ図示している。情報保有管理サーバ１０、複数の情報保有サーバ２０、情報活用サーバ３０、及び利用者端末４０は、相互にインターネットなどのネットワーク５０を介して接続される。

属性情報開示制御システム１は、複数の情報保有サーバ２０からの開示制御において、開示する全ての属性情報の重要度を算出し、算出された重要度に基づいて、利用者へ要求する認証レベル（利用者が属性情報の開示を許可する際に必要となるセキュリティレベル）を変更する。属性情報開示制御システムの具体例としては、複数の官が管理している個人情報を民が取得して、利用者にサービスを提供する官民連携サービスが挙げられる。

利用者端末４０は、ＰＣや携帯電話などの端末である。図１に示すように、利用者端末４０は、入出力部４１と、制御部４２と、通信部４３と、を備える。入出力部４１は、各種情報の入出力を行い、入力部はキーボードやマウスなどを備えて構成され、後述する情報保有管理サーバ１０への属性項目同意要求画面において利用者からの入力を受け付ける。出力部は、ディスプレイを備えて構成され、後述する属性項目同意要求画面を表示する。通信部４３は、情報保有管理サーバ１０及び情報活用サーバ３０との間で各種情報を送受信する。制御部４２は、入出力部４１の入出力処理、及び通信部４３の通信処理を制御する。

情報活用サーバ３０は、情報保有管理サーバ１０から、複数の情報保有サーバ２０に管理されている所望の属性情報を取得し、サービス要求元である利用者端末４０に各種サービスを提供するサーバである。図１に示すように、情報活用サーバ３０は、サービス情報生成部３１と、制御部３２と、通信部３３と、を備える。サービス情報生成部３１は、利用者の属性情報を取得できた場合に、各種サービス情報を生成する。通信部３３は、情報保有管理サーバ１０及び利用者端末４０との間で各種情報を送受信する。制御部３２は、サービス情報生成部３１のサービス情報の生成処理、及び通信部３３の通信処理を制御する。

情報保有サーバ２０は、利用者の属性情報を保有するサーバである。図１に示すように、情報保有サーバ２０は、利用者属性情報記憶部２１と、属性情報取得部２２と、通信部２３と、を備える。

利用者属性情報記憶部２１は、利用者属性情報を記憶する。図２は、利用者属性情報記憶部２１に記憶されている利用者属性情報の一例を示す図である。利用者属性情報は、「利用者ＩＤ」、及び「氏名」、「住所」、「生年月日」などの属性情報を含み、任意の属性情報を含めることができる。ここで、「利用者ＩＤ」とは、利用者を一意に示すＩＤである。この利用者属性情報は、システム動作時には予め利用者属性情報記憶部２１に登録されているものとする。

属性情報取得部２２は、「利用者ＩＤ」及び「属性項目」（属性情報の項目）をキーに、利用者属性情報記憶部２１から属性項目に対応する利用者属性情報を取得する。

通信部２３は、情報保有管理サーバ１０から属性情報要求を受信する。そして、通信部２３は、情報保有管理サーバ１０からの属性情報要求に応じて、利用者属性情報を情報保有管理サーバ１０に送信する。

情報保有管理サーバ１０は、利用者の属性情報の重要度を算出するとともに、重要度に応じて決定される、属性情報の開示を許可する際に要求される認証レベを管理する装置である。図１に示すように、情報保有管理サーバ１０は、サービス管理情報記憶部１１と、情報保有サーバ管理情報記憶部１２と、重要度管理情報記憶部１３と、リソース管理部１４と、組み合わせ生成部１５と、重要度・認証レベル決定部１６と、通信部１７と、を備える。

サービス管理情報記憶部１１は、属性情報が登録されている情報保有サーバ２０を管理する情報であるサービス管理情報を記憶する。図３は、サービス管理情報記憶部１１に記憶されているサービス管理情報の一例を示す図である。サービス管理情報は「サービスＩＤ」、「情報保有サーバ情報」、及び情報活用サーバ３０の要求する「必要属性項目」を含む。ここで、「サービスＩＤ」とは、情報活用サーバ３０が提供するサービス内容を一意に示すＩＤである。「情報保有サーバＩＤ」とは、情報保有サーバ２０を一意に示すＩＤである。ここでは、サービスＩＤによって特定されるサービスに必要となる属性情報を保有している情報保有サーバ２０のＩＤを登録する。「必要属性項目」とは、サービスＩＤによって特定されるサービスを実行するために必要となる属性項目名である。このサービス管理情報は、システム動作時に予めサービス管理情報記憶部１１に記憶されているものとする。

情報保有サーバ管理情報記憶部１２は、情報保有サーバ管理情報を記憶する。図４は、情報保有サーバ管理情報記憶部１２に記憶されている情報保有サーバ管理情報の一例を示す図である。情報保有サーバ管理情報は、「利用者ＩＤ」、「情報保有サーバＩＤ」、１以上の「属性項目の有無」を含む。ここで、「属性項目」とは、情報保有サーバＩＤによって特定される情報保有サーバ２０が保有している属性情報の項目である。つまり、情報保有管理サーバ１０は、属性情報自体を記憶・管理するのではなく、属性項目の有無を記憶・管理する。情報保有サーバ管理情報は、システム動作時に予め情報保有サーバ管理情報記憶部１２に記憶されているものとする。図４の例では、情報保有サーバＩＤがＸ００１の情報保有サーバ２０は属性情報として氏名、住所、生年月日は有しているが、電話番号は有していないことを意味する。また、情報保有サーバＩＤがＸ００２の情報保有サーバ２０は属性情報として氏名、住所、電話番号は有しているが、生年月日は有していないことを意味する。

重要度管理情報記憶部１３は、複数の属性情報の組み合わせの重要度を算出するために必要となる情報である重要度算出情報と、重要度に応じた認証レベルを示す情報である重要度認証レベル情報を記憶する。図５は、重要度管理情報記憶部１３に記憶されている重要度管理情報の一例を示す図である。図５（ａ）は重要度算出情報の一例であり、図５（ｂ）は重要度認証レベル情報の一例である。この重要度管理情報は、システム動作時に予め重要度管理情報記憶部１３に記憶されているものとする。

重要度算出情報として、本実施形態では「２０１０年 情報セキュリティインシデントに関する調査報告書〜個人情報漏えい編〜」、第１．４版、http://www.jnsa.org/result/incident/data/2010incident_survey_PIL_v1.4.pdfを参考にした例について説明する。重要度算出情報は、「属性項目」、「基礎情報価値」、「精神的苦痛レベル」、「経済的損失レベル」、「本人特定容易度」を含み、さらに「重要度算出の条件」を含んでもよい。

ここで、「精神的苦痛レベル」は、属性項目が漏えいした場合に利用者が受ける精神的苦痛３段階で示し、精神的苦痛が大きいほど値を大きくする。例えば、属性項目が病状や宗教の場合、精神的苦痛レベルを３とする。「経済的損失レベル」は、属性項目が漏えいした場合に利用者が受ける経済的損失を３段階で示し、経済的損失が大きいほど値を大きくする。例えば、属性項目が口座番号やクレジットカード番号の場合、経済的損失レベルを３とする。「本人特定容易度」とは、漏えいした属性情報からの本人特定のし易さを示し、本人特定が容易となる属性項目ほど値を大きくする。「重要度算出の条件」とは、組み合わせにより重要度の算出条件が変化する場合に設定される。組み合わせにより重要度の算出条件が変化する場合とは、例えば、属性項目が「氏名」単体の場合には本人特定容易度が３であるが、「住所」と組み合わさると本人特定容易度が６になる、などである。

また、重要度認証レベル情報は、「重要度範囲」、及び「認証レベル」を含む。ここで、「重要度範囲」は、認証レベルを決定する重要度の範囲を示す値である。「認証レベル」は、利用者が利用端末４０から属性情報の開示を許可する際に要求される認証方法のレベルである。認証レベルは重要度範囲に応じて定められ、重要度が大きいほど認証レベルは高く設定される。例えば、重要度が小さい場合には認証レベルを「ＩＤ及びパスワード」とし、重要度が大きい場合には認証レベルを「ＩＣカード」とする。なお、認証レベルが「ＩＣカード」の場合には、利用者端末４０にはＩＣカードリーダが必要となる。

リソース管理部１４は、「サービスＩＤ」をキーとして、サービス管理情報記憶部１１から「情報保有サーバＩＤ」及び「必要属性項目」を取得する。また、リソース管理部１４は、「情報保有サーバＩＤ」をキーとして、情報保有サーバ管理情報記憶部１２から「属性項目」を取得する。また、リソース管理部１４は、組み合わせ生成部１５により生成された属性項目の組み合わせに含まれる「属性項目」をキーとして、重要度管理情報記憶部１３から「基礎情報価値」、「精神的苦痛レベル」、「経済的損失レベル」、「本人特定容易度」を取得する。

組み合わせ生成部１５は、リソース管理部１４が取得した「必要属性項目」及び「属性項目」から、情報活用サーバ３０が要求する属性項目の条件を満たす属性項目の組み合わせを生成し、重要度・認証レベル決定部１６に出力する。

重要度・認証レベル決定部１６は、リソース管理部１４が取得した「基礎情報価値」、「精神的苦痛レベル」、「経済的損失レベル」、「本人特定容易度」から、重要度を算出する。重要度は、「精神的苦痛レベル」をｘ、「経済的損失レベル」をｙとしたとき、例えば次式（１）で表される。属性項目の組み合わせに「属性項目」が複数存在する場合には、「精神的苦痛レベル」のうち最も大きな値をｘとし、「経済的損失レベル」のうち最も大きな値をｙとする。

重要度＝基礎情報価値×（１０^ｘ−１＋５^ｙ−１）×本人特定容易度 （１）

重要度・認証レベル決定部１６は、属性項目の組み合わせのうち、重要度が最も小さい値となる属性項目の組み合わせを判定する。そして、最も小さい重要度をキーとして、重要度管理情報記憶部１３から「認証レベル」を取得する。そして、重要度・認証レベル決定部１６は、最も小さい重要度となる属性項目の組み合わせ、及び取得した「認証レベル」に応じて属性項目同意要求画面を生成し、通信部１７に出力する。ここで、属性項目同意要求画面とは、取得した属性項目について利用者に開示の可否の同意を確認する画面のことをいう。

通信部１７は、情報活用サーバ３０、利用者端末４０、及び情報保有サーバ２０に対してネットワーク５０を介して情報を送受信する。具体的には、重要度・認証レベル決定部１６により生成した属性項目同意要求画面の利用者端末４０への送信、利用者端末４０からの利用者が許可した属性項目の受信、情報保有サーバ２０からの利用者が許可した属性項目に対応する属性情報の受信、及び該受信した属性情報の情報活用サーバ３０への送信などを行う。

［属性情報開示制御システムの動作］
次に、属性情報開示制御システムの動作について説明する。図６は、属性情報開示制御システム１の動作を示すフローチャートである。

ステップＳ１０１では、利用者端末４０は、属性情報を活用するサービスを要求するために、サービス要求を、ネットワーク５０を介して情報活用サーバ３０へ送信する。サービス要求には、「利用者ＩＤ」が含まれる。

ステップＳ１０２では、情報活用サーバ３０は、ステップＳ１０１により受信したサービス要求に含まれる「利用者ＩＤ」及び「サービスＩＤ」を、ネットワーク５０を介して情報保有管理サーバ１０の通信部１７へ送信する。

ステップＳ１０３では、情報保有管理サーバ１０の通信部１７は、情報活用サーバ３０からネットワーク５０を介して、「利用者ＩＤ」及び「サービスＩＤ」を受信する。

ステップＳ１０４では、情報保有管理サーバ１０のリソース管理部１４は、「サービスＩＤ」をキーとして、サービス管理情報記憶部１１から、「情報保有サーバＩＤ」、及び「必要属性項目」を取得する。

ステップＳ１０５では、情報保有管理サーバ１０のリソース管理部１４は、ステップＳ１０３で取得した利用者ＩＤ、並びにステップＳ１０４で取得した「情報保有サーバＩＤ」及び「必要属性項目」をキーとして、情報保有サーバ管理情報記憶部１２から「有」と登録されている「属性項目」を取得する。

ステップＳ１０６では、情報保有管理サーバ１０の組み合わせ生成部１５は、ステップＳ１０５で取得した「属性項目」から、ステップＳ１０４で取得した「必要属性項目」の条件を満たす属性項目の組み合わせを生成する。

ステップＳ１０７では、情報保有管理サーバ１０の重要度・認証レベル決定部１６は、ステップＳ１０６により生成した属性項目の組み合わせをキーとして、リソース管理部１４を介して重要度管理情報記憶部１３から重要度算出情報を取得し、属性項目の組み合わせごとに重要度を算出する。そして、最も低い重要度をキーとして、重要度管理情報記憶部１３から、該重要度における認証レベルを取得する。重要度・認証レベル決定部１６は、認証レベルを取得すると、認証レベルに対応する属性項目同意要求画面を生成する。

ステップＳ１０８では、情報保有管理サーバ１０の通信部１７は、ステップＳ１０７で生成した属性項目同意要求画面を、ネットワーク５０を介して利用者端末４０へ送信する。

ステップＳ１０９では、情報保有管理サーバ１０の通信部１７は、利用者端末４０からネットワーク５０を介して、ステップＳ１０７で生成した属性項目同意要求画面から利用者が操作した開示制御内容である属性項目同意内容（「開示する」とされる属性項目）を受信する。

ステップＳ１１０では、情報保有管理サーバ１０の通信部１７は、属性情報要求を、ネットワーク５０を介して情報保有サーバ２０の通信部２３へ送信する。属性情報要求には、ステップＳ１０３で取得した「利用者ＩＤ」、及びステップＳ１０５で受信した「属性項目」が含まれる。

ステップＳ１１１では、情報保有サーバ２０の通信部２３は、情報保有管理サーバ１０の通信部１７からネットワーク５０を介して、属性情報要求を受信する。

ステップＳ１１２では、情報保有サーバ２０の属性情報取得部２２は、ステップＳ１１１で受信した属性情報要求に含まれる「利用者ＩＤ」及び「属性項目」をキーとして、利用者属性情報記憶部２１から属性情報を取得する。

ステップＳ１１３では、情報保有サーバ２０の通信部２３は、ステップＳ１１２で取得した属性情報を、ネットワーク５０を介して情報保有管理サーバ１０の通信部１７へ送信する。

ステップＳ１１４では、情報保有管理サーバ１０の通信部１７は、情報保有サーバ２０の通信部２３からネットワーク５０を介して、属性情報を受信する。

ステップＳ１１５では、情報保有管理サーバ１０の通信部１７は、ステップＳ１１４で取得した属性情報を、ネットワーク５０を介して情報活用サーバ３０へ送信する。

ステップＳ１１６では、情報活用サーバ３０は、情報保有管理サーバ１０の通信部１７からネットワーク５０を介して、属性情報を受信する。

ステップＳ１１７では、情報活用サーバ３０のサービス情報生成部３１は、サービス情報を生成し、ネットワーク５０を介して利用者端末４０へ送信する。

［属性情報開示制御システムの動作の具体例］
次に、属性情報開示制御システム１の動作の具体例について説明する。図７は、属性情報開示制御システム１の動作の具体例を示すフローチャートであり、図６に示したフローチャートに具体的な情報を付加したものである。

この具体例では、情報保有サーバ２０−１の利用者属性情報記憶部２１には、氏名として「電電太郎」、住所として「○○県○○市○丁目○−○」、生年月日として「２０００／０１／０１」が記憶されているものとする。また、情報保有サーバ２０−２の利用者属性情報記憶部２１には、氏名として「電電太郎」、電話番号として「０３−１１１１−１１１１」が登録されているものとする。なお、情報保有サーバ２０−１の利用者属性情報記憶部２１、及び情報保有サーバ２０−２の利用者属性情報記憶部２１には、その他任意の属性情報が登録されていてもよい。

そして、この具体例では、利用者ＩＤ（Ａ００１）で特定される利用者が、属性項目（氏名、生年月日、及び、住所又は電話番号）に対応する属性情報を情報活用サーバ３０へ提供する場合を想定している。属性情報の重要度は一例として、漏えい個人情報価値から算出することとし、認証レベルは任意の判定ルールから決定されるものとする。

ステップＳ２０１では、利用者端末４０は、属性情報を活用するサービスを要求するために、サービス要求を、ネットワーク５０を介して情報活用サーバ３０へ送信する。サービス要求には、利用者ＩＤ（Ａ００１）が含まれる。

ステップＳ２０２では、情報活用サーバ３０は、ステップＳ１０１により受信したサービス要求に含まれる利用者ＩＤ（Ａ００１）、及びサービスＩＤ（Ｓ００１）を、ネットワーク５０を介して情報保有管理サーバ１０の通信部１７へ送信する。

ステップＳ２０３では、情報保有管理サーバ１０の通信部１７は、情報活用サーバ３０からネットワーク５０を介して、利用者ＩＤ（Ａ００１）及びサービスＩＤ（Ｓ００１）を受信する。

ステップＳ２０４では、情報保有管理サーバ１０のリソース管理部１４は、サービスＩＤ（Ｓ００１）をキーとして、サービス管理情報記憶部１１から、情報保有サーバＩＤ（Ｘ００１、Ｘ００２）、及び必要属性項目（氏名、生年月日、及び、住所又は電話番号）を取得する。

ステップＳ２０５では、情報保有管理サーバ１０のリソース管理部１４は、ステップＳ２０３で取得した利用者ＩＤ（Ａ００１）、並びにステップＳ２０４で取得した情報保有サーバＩＤ（Ｘ００１、Ｘ００２）、及び必要属性項目（氏名、生年月日、及び、住所又は電話番号）をキーとして、情報保有サーバ管理情報記憶部１２から「有」と登録されている属性項目（氏名、生年月日、住所、電話番号）を取得する。

ステップＳ２０６では、情報保有管理サーバ１０の組み合わせ生成部１５は、ステップＳ２０５により取得した属性項目から、ステップＳ２０４により取得した必要属性項目の条件を満たす属性項目組み合わせを生成する。ステップＳ２０５により取得した属性項目が「氏名、生年月日、住所、及び電話番号」であり、ステップＳ２０４により取得した必要属性項目の条件が「氏名、生年月日、及び、住所又は電話番号」であるので、属性項目の組み合わせは、「氏名、生年月日、住所」、及び「氏名、生年月日、電話番号」となる。

ステップＳ２０７では、情報保有管理サーバ１０の重要度・認証レベル決定部１６は、ステップＳ２０６により生成した属性項目の組み合わせ（（氏名、生年月日、住所）、及び（氏名、生年月日、電話番号））をキーとして、重要度管理情報記憶部１３から、重要度算出情報（基礎情報価値、精神的苦痛レベル、経済的損失レベル、本人特定容易度、重要度算出の条件）を取得し、属性項目の組み合わせごとに重要度を算出する。
図５に示した重要度管理情報及び式（１）を参照すると、属性項目の組み合わせが「氏名、生年月日、住所」の場合には、重要度は５００×（１０^１−１＋５^１−１）×６＝６０００となり、属性項目の組み合わせが「氏名、生年月日、電話番号」の場合には、重要度は５００×（１０^１−１＋５^１−１）×３＝３０００となる。

よって、最も重要度が低い組み合わせは「氏名、生年月日、電話番号」であり、そのときの重要度「３０００」をキーとして、重要度管理情報記憶部１３から、該重要度における認証レベル（ＩＤ・パスワード）を取得する。そして、取得した認証レベルに対応する属性項目同意要求画面を生成する。

ステップＳ２０８では、情報保有管理サーバ１０の通信部１７は、ステップＳ２０７で生成した属性項目同意要求画面を、ネットワーク５０を介して利用者端末４０へ送信する。

図８は、利用者端末４０の入出力部４１に表示される属性項目同意要求画面の一例を示す図である。ここでは、認証レベル「ＩＤ・パスワード」に対応する属性項目同意要求画面を示している。属性項目同意要求画面１００では、ステップＳ２０７にて取得した、最も重要度が低い組み合わせの属性項目（氏名、生年月日、電話番号）が利用者入力領域１０１にリストアップされ、利用者が開示の可否の選択をできるように構成されている。利用者が「許可する」ボタン１０２をクリックすると、さらにＩＤ及びパスワードを入力する画面が表示される。「許可しない」ボタン１０３をクリックすると、属性項目に同意しないものとみなされ、属性情報開示制御システム１は処理を終了する。

ステップＳ２０９では、情報保有管理サーバ１０の通信部１７は、利用者端末４０からネットワーク５０を介して、ステップＳ２０７で生成した属性項目同意要求画面から利用者が操作した開示制御内容である属性項目同意内容（開示を許可された属性項目）を受信する。

ステップＳ２１０では、情報保有管理サーバ１０の通信部１７は、属性情報要求を、ネットワーク５０を介して情報保有サーバＩＤ（Ｘ００１）により特定される情報保有サーバ２０−１の通信部２３へ送信する。属性情報要求には、ステップＳ２０３で取得した利用者ＩＤ（Ａ００１）、及びステップＳ２０５で受信した情報保有サーバＩＤ（Ｘ００１）の属性項目（氏名、生年月日）が含まれる。

また、ステップＳ２１０では、情報保有管理サーバ１０の通信部１７は、属性情報要求を、ネットワーク５０を介して情報保有サーバＩＤ（Ｘ００２）により特定される情報保有サーバ２０−２の通信部２３へ送信する。属性情報要求には、ステップＳ２０３で取得した利用者ＩＤ（Ａ００１）、及びステップＳ２０５で受信した情報保有サーバＩＤ（Ｘ００２）の属性項目（氏名、電話番号）が含まれる。

ステップＳ２１１では、情報保有サーバ２０−１の通信部２３は、情報保有管理サーバ１０の通信部１７から、利用者ＩＤ（Ａ００１）及び属性項目（氏名、生年月日）を含む属性情報要求を受信する。また、情報保有サーバ２０−２の通信部２３は、情報保有管理サーバ１０の通信部１７から、利用者ＩＤ（Ａ００１）及び属性項目（氏名、電話番号）を含む属性情報要求を受信する。

ステップＳ２１２では、情報保有サーバ２０−１の属性情報取得部２２は、ステップＳ２１１で受信した属性情報要求に含まれる利用者ＩＤ（Ａ００１）及び属性項目（氏名、生年月日）をキーとして、利用者属性情報記憶部２１から属性情報（氏名：電電太郎、生年月日：２０００／０１／０１）を取得する。また、情報保有サーバ２０−２の属性情報取得部２２は、ステップＳ２１１で受信した属性情報要求に含まれる利用者ＩＤ（Ａ００１）及び属性項目（氏名、電話番号）をキーとして、利用者属性情報記憶部２１から属性情報（氏名：電電太郎、電話番号：０３−１１１１−１１１１）を取得する。

ステップＳ２１３では、情報保有サーバ２０−１の通信部２３は、ステップＳ２１２で取得した属性情報（氏名：電電太郎、生年月日：２０００／０１／０１）を、ネットワーク５０を介して情報保有管理サーバ１０の通信部１７へ送信する。また、情報保有サーバ２０−２の通信部２３は、ステップＳ２１２で取得した属性情報（氏名：電電太郎、電話番号：０３−１１１１−１１１１）を、ネットワーク５０を介して情報保有管理サーバ１０の通信部１７へ送信する。

ステップＳ２１４では、情報保有管理サーバ１０の通信部１７は、情報保有サーバ２０−１の通信部２３からネットワーク５０を介して、属性情報（氏名：電電太郎、生年月日：２０００／０１／０１）を受信する。また、情報保有管理サーバ１０の通信部１７は、情報保有サーバ２０−２の通信部２３からネットワーク５０を介して、属性情報（氏名：電電太郎、電話番号：０３−１１１１−１１１１）を受信する。

ステップＳ２１５では、情報保有管理サーバ１０の通信部１７は、ステップＳ２１４で取得した属性情報（氏名：電電太郎、生年月日：２０００／０１／０１、電話番号：０３−１１１１−１１１１）を、ネットワーク５０を介して情報活用サーバ３０へ送信する。

ステップＳ２１６では、情報活用サーバ３０は、情報保有管理サーバ１０の通信部１７からネットワーク５０を介して、属性情報（氏名：電電太郎、生年月日：２０００／０１／０１、電話番号：０３−１１１１−１１１１）を受信する。

ステップＳ２１７では、情報活用サーバ３０のサービス情報生成部３１は、サービス情報を生成し、ネットワーク５０を介して利用者端末４０へ送信する。

このように、属性情報開示制御システム１は、情報活用サーバ３０から提供されるサービスを利用する利用者端末４０の利用者の属性情報を保有する複数の情報保有サーバ２０と、利用者の属性情報の属性項目を保有し、複数の情報保有サーバ２０から属性項目に対応する属性情報を取得し、該属性情報を情報活用サーバ３０に送信する情報保有管理サーバ１０と、を備える。そして、情報保有管理サーバ１０は、情報活用サーバ３０が要求する属性項目の条件を満たす属性項目の組み合わせを生成する組み合わせ生成部１５と、属性項目の組み合わせごとに重要度を算出し、該重要度に応じて認証レベルを決定し、属性項目の組み合わせ及び前記認証レベルに応じて属性項目同意要求画面を生成する重要度・認証レベル決定部１６と、属性項目同意要求画面の利用者端末４０への送信、利用者端末４０からの利用者が許可した属性項目の受信、情報保有サーバ２０からの利用者が許可した属性項目に対応する属性情報の受信、及び該受信した属性情報の情報活用サーバ３０への送信を行う通信部１７と、を備える。このため、属性情報開示制御システム１によれば、重要度・認証レベル決定部１６により算出した重要度に応じてセキュリティレベルを変更することができるようになる。

また、重要度・認証レベル決定部１６は、算出した重要度が最も小さくなる属性項目の組み合わせ、及び最も小さい重要度に対応する認証レベルに応じて、属性項目同意要求画面を生成することにより、重要度の高い属性情報を開示することを回避することができる。

上述の実施形態は代表的な例として説明したが、本発明の趣旨及び範囲内で多くの変更及び置換ができることは当業者に明らかである。したがって、本発明は、上述の実施形態によって制限するものと解するべきではなく、特許請求の範囲から逸脱することなく、種々の変形や変更が可能である。

１ 属性情報開示制御システム
１０ 情報保有管理サーバ
１１ サービス管理情報記憶部
１２ 情報保有サーバ管理情報記憶部
１３ 重要度管理情報記憶部
１４ リソース管理部
１５ 組み合わせ生成部
１６ 重要度・認証レベル決定部
１７ 通信部
２０−１，２０−２ 情報保有サーバ
２１ 利用者属性情報記憶部
２２ 属性情報取得部
２３ 通信部
３０ 情報活用サーバ
３１ サービス情報生成部
３２ 制御部
３３ 通信部
４０ 利用者端末
４１ 入出力部
４２ 制御部
４３ 通信部
５０ ネットワーク

Claims (5)

1. 情報活用サーバから提供されるサービスを利用する利用者端末の利用者の属性情報を保有する複数の情報保有サーバと、前記利用者の属性情報の属性項目を保有し、前記複数の情報保有サーバから属性項目に対応する属性情報を取得し、該属性情報を前記情報活用サーバに送信する情報保有管理サーバと、を備える属性情報開示制御システムであって、
   前記情報保有管理サーバは、
   前記情報活用サーバが要求する属性項目の条件を満たす属性項目の組み合わせを生成する組み合わせ生成部と、
   前記属性項目の組み合わせごとに重要度を算出し、該重要度に応じて、利用者が属性情報の開示を許可する際に必要となる認証レベルを決定し、前記属性項目の組み合わせ及び前記認証レベルに応じて、属性項目について利用者に開示の可否の同意を確認する属性項目同意要求画面を生成する重要度・認証レベル決定部と、
   前記属性項目同意要求画面の前記利用者端末への送信、前記利用者端末からの利用者が許可した属性項目の受信、前記情報保有サーバからの前記利用者が許可した属性項目に対応する属性情報の受信、及び該受信した属性情報の前記情報活用サーバへの送信を行う通信部と、を備え、
   前記情報保有サーバは、前記利用者が許可した属性項目に対応する属性情報を前記情報保有管理サーバに送信する通信部を備え、
   前記重要度・認証レベル決定部は、前記算出した重要度が最も小さくなる属性項目の組み合わせ、及び前記最も小さい重要度に対応する認証レベルに応じて、前記属性項目同意要求画面を生成することを特徴とする属性情報開示制御システム。
2. 情報活用サーバから提供されるサービスを利用する利用者端末の利用者の属性情報を保有する複数の情報保有サーバと、前記利用者の属性情報の属性項目を保有し、前記複数の情報保有サーバから属性項目に対応する属性情報を取得し、該属性情報を前記情報活用サーバに送信する情報保有管理サーバと、を備える属性情報開示制御システムであって、
   前記情報保有管理サーバは、
   前記情報活用サーバが提供するサービス内容を一意に示すサービスＩＤと、前記サービスＩＤによって特定されるサービスに必要となる属性情報を保有している情報保有サーバを一意に示す情報保有サーバＩＤと、前記サービスを実行するために必要となる必要属性項目と、を含むサービス管理情報を記憶するサービス管理情報記憶部と、
   前記情報保有サーバＩＤと、前記利用者を一意に示す利用者ＩＤと、該情報保有サーバＩＤにより特定される情報保有サーバに保有されている属性情報の属性項目と、を含む情報保有サーバ管理情報を記憶する情報保有サーバ管理情報記憶部と、
   サービスＩＤをキーとして前記サービス管理情報記憶部から必要属性項目を取得し、該必要属性項目の条件を満たす属性項目の組み合わせを、情報保有サーバＩＤをキーとして前記情報保有サーバ管理情報記憶部から取得した属性項目を用いて生成する組み合わせ生成部と、
   前記属性項目の組み合わせごとに重要度を算出し、該重要度に応じて、利用者が属性情報の開示を許可する際に必要となる認証レベルを決定し、前記属性項目の組み合わせ及び前記認証レベルに応じて、属性項目について利用者に開示の可否の同意を確認する属性項目同意要求画面を生成する重要度・認証レベル決定部と、
   前記属性項目同意要求画面の前記利用者端末への送信、前記利用者端末からの利用者が許可した属性項目の受信、前記情報保有サーバからの前記利用者が許可した属性項目に対応する属性情報の受信、及び該受信した属性情報の前記情報活用サーバへの送信を行う通信部と、を備え、
   前記情報保有サーバは、前記利用者が許可した属性項目に対応する属性情報を前記情報保有管理サーバに送信する通信部を備えることを特徴とする属性情報開示制御システム。
3. 前記情報保有管理サーバは、複数の属性情報の組み合わせの重要度を算出するために必要となる情報である重要度算出情報と、重要度に応じた認証レベルを示す重要度認証レベル情報と、を記憶する重要度管理情報記憶部を備え、
   前記重要度・認証レベル決定部は、前記重要度管理情報記憶部に記憶された重要度算出情報に基づいて重要度を算出し、前記重要度管理情報記憶部に記憶された重要度認証レベル情報から、前記算出した重要度に対応する認証レベルを決定することを特徴とする、請求項１又は２に記載の属性情報開示制御システム。
4. 利用者の属性情報の属性項目を保有し、情報活用サーバから提供されるサービスを利用する利用者端末の利用者の属性情報を保有する複数の情報保有サーバから、属性項目に対応する属性情報を取得し、該属性情報を前記情報活用サーバに送信する情報保有管理サーバであって、
   前記情報活用サーバが要求する属性項目の条件を満たす属性項目の組み合わせを生成する組み合わせ生成部と、
   前記属性項目の組み合わせごとに重要度を算出し、該重要度に応じて、利用者が属性情報の開示を許可する際に必要となる認証レベルを決定し、前記属性項目の組み合わせ及び前記認証レベルに応じて、属性項目について利用者に開示の可否の同意を確認する属性項目同意要求画面を生成する重要度・認証レベル決定部と、
   前記属性項目同意要求画面の前記利用者端末への送信、前記利用者端末からの利用者が許可した属性項目の受信、前記情報保有サーバからの前記利用者が許可した属性項目に対応する属性情報の受信、及び該受信した属性情報の前記情報活用サーバへの送信を行う通信部と、を備え、
   前記重要度・認証レベル決定部は、前記算出した重要度が最も小さくなる属性項目の組み合わせ、及び前記最も小さい重要度に対応する認証レベルに応じて、前記属性項目同意要求画面を生成することを特徴とする情報保有管理サーバ。
5. 情報活用サーバから提供されるサービスを利用する利用者端末の利用者の属性情報を保有する複数の情報保有サーバと、前記利用者の属性情報の属性項目を保有し、前記複数の情報保有サーバから属性項目に対応する属性情報を取得し、該属性情報を前記情報活用サーバに送信する情報保有管理サーバと、を備える属性情報開示制御システムにおいて属性情報の開示を制御する属性情報開示制御方法あって、
   前記情報保有管理サーバにより、前記複数の情報保有サーバが保有している属性情報に対応する属性項目を用いて、前記情報活用サーバが要求する属性項目の条件を満たす属性項目の組み合わせを生成するステップと、
   前記情報保有管理サーバにより、前記属性項目の組み合わせごとに重要度を算出し、該重要度に応じて、利用者が属性情報の開示を許可する際に必要となる認証レベルを決定し、前記属性項目の組み合わせ及び前記認証レベルに応じて、属性項目について利用者に開示の可否の同意を確認する属性項目同意要求画面を生成する重要度・認証レベル決定ステップと、
   前記情報保有管理サーバにより、前記属性項目同意要求画面を前記利用者端末に送信するステップと、
   前記情報保有管理サーバにより、利用者が許可した属性項目を前記利用者端末から受信するステップと、
   前記情報保有サーバにより、前記利用者が許可した属性項目に対応する属性情報を前記情報保有管理サーバに送信するステップと、
   前記情報保有管理サーバにより、前記情報保有サーバから受信した属性情報を前記情報活用サーバへ送信するステップと、を含み、
   前記重要度・認証決定レベルステップは、前記算出した重要度が最も小さくなる属性項目の組み合わせ、及び前記最も小さい重要度に対応する認証レベルに応じて、前記属性項目同意要求画面を生成することを特徴とする属性情報開示制御方法。

Images