JP5989522B2 - データ管理装置 - Google Patents

Description

本発明は、データを分割して保管する技術に関するものである。

従来、データの機密性を高める技術として、秘密分散法が用いられる場合がある。従来の秘密分散法は、（ａ）元データからｎ個の分割データを作成し、ｎ個の分割データを集めることによって元データを復元することができるｎ−ｏｕｔ−ｏｆ−ｎ分散方式、（ｂ）元データからｎ個の分割データを作成し、ｎ個の分割データのうちｋ個の分割データを集めることによって元データを復元することができるｋ−ｏｕｔ−ｏｆ−ｎ分散方式が存在する。ｋ−ｏｕｔ−ｏｆ−ｎ分散方式においては、元データの機密性と可用性が両立されている。

下記特許文献１は、秘密分散法に関連する技術として、分割データの管理情報を分割して保管することにより、データ保管の機密性、復元性を高めることを目的とする技術を記載している。

特開２００４−１４７２１８号公報

上記特許文献１に記載されているような、秘密分散法を利用した従来のデータ管理技術においては、元データを分割することにより機密性を確保している。しかし、元データがいったん復元されてしまうと、これに対するアクセスを制限することは困難である。すなわち、分割データを入手して復元することができる者であれば誰でも、元データを参照することができる。

本発明は、上記のような課題に鑑みてなされたものであり、秘密分散法を利用したデータ管理技術において、分割データを用いて復元した元データに対する機密性を提供することを目的とする。

本発明に係るデータ管理装置は、分割データと同数のユーザを記述したユーザリストを保持しており、ユーザリストが記述しているユーザに対してのみ、復元後のデータに対するアクセス権を付与する。

本発明に係るデータ管理装置によれば、分割データを必要数そろえることができたとしても、あらかじめ分割データに対応して定義されたユーザでない限りは復元後のデータに対するアクセス権限が与えられない。これにより、分割データを作成する時点において想定していたユーザに対してのみ、復元後のデータに対してアクセスを許可することができる。すなわち、復元後データに対する機密性を高めることができる。

本発明に係るデータ管理装置１０１を用いた遺族向けデータ管理システムの構成図である。 データ管理装置１０１が記憶装置１０２内の分割データを用いて復元後データ１０４を生成する手順を説明するフロー図である。 ステップＳ２０１〜２０２の詳細を説明するフローチャートである。 ステップＳ２０３の詳細を説明するフローチャートである。

＜システム構成＞
本発明に係るデータ管理装置は、秘密分散法を用いて元データを分割して管理し、あらかじめ定義したユーザリストが記述しているユーザに対してのみ、分割データから復元した元データに対するアクセス権限を付与する。以下の実施形態においては、具体的な適用例として、遺族向けデータ管理システムについて説明する。

本システムにおいては、データの所有者は、自分が亡くなった後にそのデータに対してアクセスすることができる親族のリストをあらかじめ親等データ（ユーザリストに相当する）に記述しておく。親族以外の者が本システムにアクセスして分割データを得たとしても、復元後データに対するアクセス権は付与されない。さらに、親族毎にアクセス権レベルを設定することもできる。各親族のアクセス権レベルは、親等データ内に定義しておくことができる。

図１は、本発明に係るデータ管理装置１０１を用いた遺族向けデータ管理システムの構成図である。本システムは、データ管理装置１０１、記憶装置１０２、クライアントマシン１０３を有する。

データ管理装置１０１は、秘密分散法によって分割されたデータ（分割データ）を保管する装置であり、クライアントマシン１０３からのリクエストに応じて分割データから元データを復元し、アクセス権レベルを付与した復元後データ１０４をクライアントマシン１０３に送信する。

データ管理装置１０１は、ユーザをログイン認証する認証部、復元後データ１０４に対してアクセスする権限を与えられる可能性があるユーザのリストを記述したユーザリスト（本実施形態においては親等データと呼ぶ）、復元後データ１０４に対するアクセス権を付与するアクセス権付与部を備える（図示は省略）。これら機能部の詳細動作については後述する。これら機能部は、その機能を実現する回路デバイスなどのハードウェアを用いて構成することもできるし、同様の機能を実装したソフトウェアをＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）などの演算装置が実行することによって構成することもできる。

記憶装置１０２は、各分割データを記憶する装置である。元データを秘密分散法によって分割する処理は、データ管理装置１０１が実施してもよいし、あらかじめ分割されたデータを記憶装置１０２に格納するようにしてもよい。

図２は、データ管理装置１０１が記憶装置１０２内の分割データを用いて復元後データ１０４を生成する手順を説明するフロー図である。以下、図２の各ステップについて説明する。

（図２：復元動作を開始する前の前提事項その１）
復元後データ１０４の所有者は、親族ｎ、ｍ、ｌに対して復元後データ１０４に対するアクセス権限を付与することを所望していたものと仮定する。したがって、後述する親等データには、復元後データ１０４に対するアクセス権を付与され得るユーザとして、ｎ、ｍ、ｌが定義されているものとする。また、元データは秘密分散法によって分割され、親族ｎ、ｍ、ｌに対応する３個の分割データ（例えば図２に示すｎ１、ｍ２、ｌ３）を集めなければ復元後データ１０４を得ることができないものとする。

（図２：復元動作を開始する前の前提事項その２）
データ管理装置１０１にアクセスして復元後データ１０４を取得するのは、復元後データ１０４が所望している親族ｎ、ｍ、ｌのいずれかであることを想定する。データ管理装置１０１の認証部は、ユーザがデータ管理装置１０１から復元後データ１０４を取得しようとしたとき、そのユーザが親族ｎ、ｍ、ｌのいずれかであることを確認するため、ログイン認証を実施する。以下の処理は認証が許可された場合に限り実行する。

（図２：ステップＳ２０１）
データ管理装置１０１のアクセス権付与部は、記憶装置１０２から親族ｎ、ｍ、ｌに対応してあらかじめ作成されている分割データを取得する。ここでは分割データｎ１、ｍ２、ｌ３を取得するものと仮定する。

（図２：ステップＳ２０２）
アクセス権付与部は、親族ｎ、ｍ、ｌがいずれも存命しているか否かをチェックする。各親族の生存状態については、例えば本システムの管理者が別途データとして入力しておくことによってメンテナンスする。本ステップの詳細は後述の図３で改めて説明する。

（図２：ステップＳ２０３）
アクセス権付与部は、復元後データ１０４の所有者と、復元後データ１０４を取得しようとしているユーザとの間の親等関係および当該ユーザの年齢に基づき、復元後データ１０４に対して当該ユーザが有するアクセス権レベルを算出する。本ステップの詳細は後述の図４で改めて説明する。

（図２：ステップＳ２０４）
アクセス権付与部は、ステップＳ２０１において記憶装置１０２から収集した分割データを用いて、分割前の元データを復元する。アクセス権付与部は、復元した元データに対してステップＳ２０３で算出したアクセス権レベルを付与し、復元後データ１０４としてクライアントマシン１０３へ送信する。

図３は、ステップＳ２０１〜２０２の詳細を説明するフローチャートである。以下、図３の各ステップについて説明する。

（図３：ステップＳ３０１）
アクセス権付与部は、記憶装置１０２から親族ｎ、ｍ、ｌに対応してあらかじめ作成されている分割データを取得する（ステップＳ２０１に相当）。このときアクセス権付与部は、各分割データに対応する親族の年齢および生存状態について記述した年齢データを記憶装置１０２から取得する。年齢データは、例えば本システムの管理者が常時メンテナンスしておく。

（図３：ステップＳ３０２）
アクセス権付与部は、ステップＳ３０１で取得した年齢データに基づき、親族ｎ、ｍ、ｌが全て存命中であるか否かを判定する。全ての親族が存命中である場合はステップＳ３０３へ進み、いずれかの親族が亡くなっている場合はステップＳ３０４へ進む。

（図３：ステップＳ３０３）
アクセス権付与部は、各親族に対応する分割データｎ１、ｍ２、ｌ３を有効化して本フローチャートを終了する。すなわち、各分割データを用いて復元後データ１０４を生成する以下のステップ（ステップＳ２０３以降）に進む。

（図３：ステップＳ３０４）
アクセス権付与部は、復元後データ１０４を取得しようとしているユーザに対して、最初のログイン認証とは別の管理情報を用いた認証処理を実施する。本ステップは、例えば親族のみが知っている管理パスワードなどの管理情報を用いて認証を実施することにより実装することができる。

（図３：ステップＳ３０５〜Ｓ３０７）
アクセス権付与部は、ステップＳ３０４における認証に成功した場合はステップＳ３０６に進み、失敗した場合はステップＳ３０７に進む（Ｓ３０５）。ステップＳ３０６においてアクセス権付与部は、ステップＳ３０３と同様に分割データを有効化して本フローチャートを終了する。ステップＳ３０７においてアクセス権付与部は、分割データを無効化する。すなわち、本フローチャートをエラー終了し、ステップＳ２０３以降には進まずにクライアントマシン１０３へエラー応答を返す。

図４は、ステップＳ２０３の詳細を説明するフローチャートである。以下、図４の各ステップについて説明する。

（図４：ステップＳ４０１）
アクセス権付与部は、記憶装置１０２から親族ｎ、ｍ、ｌの親等データと年齢データを取得する。親等データとは、復元後データ１０４の所有者と各親族の間の親等関係を記述したデータであり、復元後データ１０４に対するアクセス権を付与される可能性があるユーザのリストとしても機能する。年齢データはステップＳ３０１において取得するものと同じであるから、これを流用してもよい。

（図４：ステップＳ４０２）
アクセス権付与部は、親族ｎ、ｍ、ｌそれぞれについて、親等データが記述している各親族の親等レベルに基づき、復元後データ１０４に対して付与する各親族のアクセス権レベルを決定する。例えば、復元後データ１０４の所有者との間で１親等の関係にある者を最上として、親等レベル＝アクセス権レベルとする。例えば所有者の子にはアクセスすることを許可するが所有者の孫には許可しない場合には、当該ユーザが子であれば復元後データ１０４のアクセス権レベルは１とし、当該ユーザが孫であれば復元後データ１０４のアクセス権レベル２を付与する。この場合、アクセス権レベル１はアクセス可、アクセス権レベル２はアクセス不可に相当する。

（図４：ステップＳ４０２：補足その１）
上記ではアクセス可否のみの単純なアクセス権レベルを設定したが、より詳細なアクセス権レベルを復元後データ１０４へ付与してもよい。例えばアクセス権レベル１はフルアクセスに相当し、アクセス権レベル２は読取専用に相当し、子にはフルアクセスを許可するが孫には閲覧のみを許可する、などの例が考えられる。

（図４：ステップＳ４０２：補足その２）
上記では復元後データ１０４そのものに対してアクセス権レベルに関する情報を埋め込むことを想定しているが、ＯＳ（オペレーティングシステム）によってはファイル本体にはアクセス権に関する情報を埋め込まず、ＯＳが個々のファイルに対するアクセス権を管理する場合もある。この場合は、アクセス権付与部から当該ＯＳに対して、復元後データ１０４へ付与するアクセス権を通知するようにすればよい。

（図４：ステップＳ４０３）
アクセス権付与部は、親族ｎ、ｍ、ｌそれぞれについて、年齢データが記述している各親族の年齢に基づき、復元後データ１０４に対して付与する各親族のアクセス権レベルを決定する。例えば当該ユーザが未成年である場合はアクセス権レベルを下げ、成人のみに対して公開したい情報を閲覧不可にする。アクセス権レベルを付与する手段はステップＳ４０２と同じである。

（図４：ステップＳ４０４）
アクセス権付与部は、ステップＳ４０２〜Ｓ４０３において算出した当該ユーザのアクセス権レベルを合算し、復元後データ１０４に対する当該ユーザの最終的なアクセス権レベルとして決定する。例えば、親等レベルが１であるユーザであっても、成人でなければアクセス権レベルを下げる。アクセス権付与部は、決定したアクセス権レベルを復元後データ１０４に対して付与する。

＜本発明のまとめ＞
以上のように、本発明に係るデータ管理装置は、分割データと同数のユーザを記述した親等データを保持しており、親等データが記述しているユーザに対してのみ、復元後データ１０４に対するアクセス権を付与する。これにより、復元後データ１０４の所有者が想定しているユーザに対してのみ、アクセス権限を付与することができる。すなわち、復元後データ１０４に対するアクセスを制御して機密性を確保することができる。

また、本発明に係るデータ管理装置は、親等データが記述している親等関係と年齢データが記述している年齢に基づき、復元後データ１０４に対するアクセス権レベルを決定する。これにより、復元後データ１０４に対するアクセス権をより詳細に制御することができる。

１０１：データ管理装置、１０２：記憶装置、１０３：クライアントマシン、１０４：復元後データ。

Claims (6)

1. データを管理する装置であって、
   前記データにアクセスしようとするユーザをログイン認証する認証部と、
   所定個数集めなければ前記データを復元することができない複数の分割データを格納する記憶部と、
   前記データに対してアクセスする権限を与えられる可能性がある前記ユーザのリストを記述したユーザリストと、
   前記認証部が認証した前記ユーザに対して前記データへアクセスすることができる権限を付与するアクセス権付与部と、
   を備え、
   前記ユーザリストは、前記所定個数と同数の前記ユーザを記述しており、
   前記アクセス権付与部は、前記ユーザリストが記述している前記ユーザに対してのみ前記権限を付与する
   ことを特徴とするデータ管理装置。
2. 前記ユーザリストは、各前記ユーザが有する前記権限の強さを定義しており、
   前記アクセス権付与部は、前記ユーザリストの定義にしたがって、前記認証部が認証した前記ユーザに対してそのユーザに対応する強さの前記権限を付与する
   ことを特徴とする請求項１記載のデータ管理装置。
3. 前記ユーザリストは、前記データの所有者と各前記ユーザとの間の親等関係に応じて、各前記ユーザが有する前記権限の強さを定義しており、
   前記アクセス権付与部は、前記ユーザリストが定義している前記親等関係に応じた前記権限の強さにしたがって、前記権限を付与する
   ことを特徴とする請求項２記載のデータ管理装置。
4. 前記ユーザリストは、各前記ユーザの年齢に応じて、各前記ユーザが有する前記権限の強さを定義しており、
   前記アクセス権付与部は、前記ユーザリストが定義している各前記ユーザの年齢に応じた前記権限の強さにしたがって、前記権限を付与する
   ことを特徴とする請求項２または３記載のデータ管理装置。
5. 前記アクセス権限付与部は、同一の前記ユーザに対応する前記権限の強さが前記ユーザリスト内に複数定義されている場合は、その合算によって定まる前記権限の強さを当該ユーザに対して付与する
   ことを特徴とする請求項４記載のデータ管理装置。
6. 前記アクセス権限付与部は、
   前記ユーザリストが記述している全ての前記ユーザが存命中であるか否かをチェックし、少なくともいずれかの前記ユーザが存命中でない場合は、前記権限を付与する前に第２認証処理を実施して認証された場合に限り前記権限を付与する
   ことを特徴とする請求項１から５のいずれか１項記載のデータ管理装置。

Images