JP6040102B2 - 不正情報検知方法および不正情報検知装置 - Google Patents

Description

本発明は、自治体や行政機関、民間企業等の複数の組織間で、個人に関する情報の要求に応じて個人に関する情報を提供する情報システムに関する。

政府では、行政事務の効率化や国民利便性の向上を図る事を目的に、自治体や行政機関、民間企業等の複数の組織間で、国民に関する情報（個人に関する情報）の要求（以下、「情報連携要求」という）に応じて個人に関する情報の提供を可能にする情報システムを構築する事を検討している。

このような情報システムが実現されると、組織間で個人情報の送受信（連携）が可能になり、業務の効率化、国民利便性の向上が図られる一方、組織間で個人情報が不正に連携され、個人情報が盗み見られる、漏洩するといった事が懸念されているため、不正な情報連携要求を検知することで、不正な情報の連携を防止する技術が望まれている。

情報システムにおいて考えられる不正な情報としては、所属外の組織からの情報連携要求がある。例えば、ＡさんがＢ市に居住している場合、Ｂ市は業務を行うためにＡさんに関する情報を必要とするが、Ｂ市以外の市区町村（例えばＣ市）は業務を行うためにＡさんに関する情報を必要としない。すなわち、Ｂ市に所属しているＡさんに関する情報を、Ａさんが所属していない組織（例えばＣ市）が要求することは不正な情報連携要求である。この時、考慮すべき事として、引っ越しや転職により、ある人の所属組織が変更されることがある。例えば、前例において、ＡさんはＢ市に住んでいたが、引っ越しを行いＣ市に異動することが考えられ、引っ越したのちはＣ市からの情報連携要求は正当なものとして処理し、Ｂ市からの情報連携要求は不正な情報連携要求として処理する必要がある。

関連技術として、例えば、送信元、送信先、および送信内容を記載した通信予約テーブルを用いて不正な通信を検知する技術がある（特許文献１参照）。この通信予約テーブルに相当するものとして、誰がどの組織に所属しているかの情報を記憶した所属テーブルを事前に作成しておくことにより、情報連携要求を受信した時に、上記所属テーブルを参照し、対象の個人が情報連携要求を行った組織に所属しているか否かを確認することで、不正な情報連携要求を検知できる。

特開２０１１−１１８６０８号公報

しかしながら、上記所属テーブルに記載される所属情報には、個人が居住している市区町村や、勤務先などが含まれるため、万が一、所属テーブルに対して不正アクセスがあった場合、個人や個人の所属情報が漏洩する可能性が高くリスクが大きい。

本発明は、このような事情に鑑みてなされたものであり、複数の組織間で個人に関する情報を送受信（連携）する情報システムにおいて、誰がどの組織に所属しているかを示す情報を記憶する記憶部に対して不正アクセスがあった場合でも、個人や個人の所属情報が漏洩するリスクを低減するとともに、不正な情報連携要求を検知し、不正な情報の連携を防止する不正情報検知方法、および、これを実施する不正情報検知装置を提供することを目的とする。

上記課題を解決するための代表的な一例は、次の通りである。すなわち、ネットワークと接続された不正情報検知装置が、個人特定情報と当該個人の所属組織の特定情報とを組み合わせたデータのハッシュ値を記憶する記憶部を具備し、前記ネットワークを介して、第１の個人の特定情報と情報連携要求元組織の特定情報を含む情報連携要求を受信し、前記第１の個人の特定情報と前記情報連携要求元組織の特定情報とを組み合わせた第１のデータを生成し、前記第１のデータから第１のハッシュ値を生成し、前記第１のハッシュ値に基づき前記記憶部を検索し、前記第１のハッシュ値が前記記憶部に無い場合に、前記情報連携要求が不正な情報連携要求である旨を出力する、ことを特徴とする。

複数の組織間で個人に関する情報を送受信（連携）する情報システムにおいて、誰がどの組織に所属しているかを示す情報を記憶する記憶部に対して不正アクセスがあった場合でも、個人や個人の所属情報が漏洩するリスクを低減するとともに、不正な情報連携要求を検知し、不正な情報の連携を防止できる。

本発明の第１の実施形態に係る情報システム１の構成の一例を示すブロック図である。 本発明の第１の実施形態に係る不正情報検知装置１０２の機能の概略構成の一例を示すブロック図である。 本発明の第１の実施形態に係る不正情報検知装置１０２、情報中継装置１０１、情報連携装置１０５のハードウェア構成の一例を示すブロック図である。 本発明の第１の実施形態に係る所属ハッシュテーブル２０９の構成の一例を示す図である。 本発明の第１の実施形態に係る初期付番の記録内容の一例を示す図である。 本発明の第１の実施形態に係る所属ハッシュテーブル２０９を生成する処理の一例を示すフローチャートである。 本発明の第１の実施形態に係る不正な情報連携要求を検知する処理の一例を示すフローチャートである。 本発明の第１の実施形態に係る情報連携要求の構成の一例を示す図である。 本発明の第１の実施形態に係る所属ハッシュテーブル２０９を更新する処理の一例を示すフローチャートである。 本発明の第１の実施形態に係る異動情報を含む情報連携要求の構成の一例を示す図である。 本発明の第２の実施形態に係る所属ハッシュテーブル１１００の構成の一例を示す図である。 本発明の第２の実施形態に係る組織グループと組織コードとの対応関係を管理するグループ管理テーブル１２００の一例を示す図である。 本発明の第２の実施形態に係る、ある個人が別の組織に異動した後でも、当該個人の異動前の組織からの情報連携要求が可能な期間を、組織グループと、情報連携の理由毎に管理する有効期間テーブル１２０１の一例を示す図である。 本発明の第２の実施形態に係る所属ハッシュテーブル１１００を更新する処理の一例を示すフローチャートである。 本発明の第２の実施形態に係る不正な情報連携要求を検知する処理の一例を示すフローチャートである。 本発明の第３の実施形態に係る市区町村グループの所属ハッシュテーブル１５００の構成の一例を示す図である。 本発明の第３の実施形態に係る企業グループの所属ハッシュテーブル１５０１の構成の一例を示す図である。 本発明の第３の実施形態に係る不正な情報連携要求を検知する処理の一例を示すフローチャートである。

以下に、本発明の実施形態について、図面を参照して詳細に説明する。
（第１の実施形態）
図１は、本発明の第１の実施形態に係る情報システム１の構成の一例を示す図である。本実施形態に係る情報システム１は、インターネットや広域ＷＡＮ等のネットワーク１０４と、ネットワーク１０４に接続されている、自治体や行政機関、民間企業等における組織内ネットワーク１０３と、から構成される。ネットワーク１０４には、情報連携要求や情報連携要求に応じて情報提供を行う各自治体や行政機関、民間企業等の組織内に設置した情報連携装置１０５₁〜１０５_N（以下、特に指定のない場合は、「情報連携装置１０５」と記す）が接続されている。また、組織内ネットワーク１０３には、情報連携装置１０５間で送受信される情報の中継する情報中継装置１０１と、情報連携装置１０５間で送受信される情報連携要求が不正な情報連携要求か否かを判断する不正情報検知装置１０２と、が接続されている。

このような構成を有する情報システム１において、例えば、情報連携要求元組織内に設置された情報連携装置１０５₁が、情報連携要求を送信すると、この情報連携要求が情報中継装置１０１を介して不正情報検知装置１０２に送信される。不正情報検知装置は、後述する所定の処理を行うことで、不正な情報連携要求を検知する。なお、情報中継装置１０２は、情報連携要求を中継する際に、個人を特定する情報（ＩＤ）の変換等を行う。

図２は、本発明の第１の実施形態に係る不正情報検知装置１０２の機能の概略構成の一例を示すブロック図である。不正情報検知装置１０２は、処理部２０１と、記憶部２０２と、不正な情報連携要求を検知した場合に、情報中継装置１０１を介して受信した情報連携要求が不正な情報連携要求である旨（アラート）等を出力する入出力部２０３と、組織内ネットワーク１０３を介して他装置と通信を行うための通信部２０４と、を有する。

処理部２０１は、情報中継装置１０１を介して受信した情報連携要求と、記憶部２０２に記憶されているデータと、をもとに、受信した情報連携要求が不正な情報連携要求か否かを判断し、不正な情報連携要求の場合にはこの情報連携要求が不正な情報連携要求である旨等を入出力部２０３に出力する不正情報検知部２０６と、記憶部２０２に記憶されているテーブルの生成や更新等を行うテーブル管理部２０７と、不正情報検知装置１０２の各部を統括的に制御する制御部２０８と、を有する。

記憶部２０２には、個人特定情報と、当該個人の所属情報の特定情報とを組み合わせたデータのハッシュ値を記憶する所属ハッシュテーブル２０９が格納されている。

図３は、本発明の第１の実施形態に係る不正情報検知装置１０２、情報中継装置１０１、情報連携装置１０５のハードウェア構成の一例を示すブロック図である。情報中継装置１０１、不正情報検知装置１０２、情報連携装置１０５の各々は、ＣＰＵ３０１と、メモリ３０２と、ハードディスク等の外部記憶装置３０４と、ＣＤ−ＲＯＭ等の可搬性を有する記憶媒体３０８から情報を読み取る読み取り装置３０７と、組織内ネットワーク１０３またはネットワーク１０４を介して他装置と通信を行うための通信装置３０３と、キーボードやマウス等の入力装置３０５と、モニタやプリンタ等の出力装置３０６と、これら各装置の間のデータ送受を行う内部通信線３０９とを備えた、一般的な電子計算機上に構築できる。

また、上記各装置は、ＣＰＵ３０１と記憶装置とを備える一般的な計算機、あるいは一般的な計算機と同等の機能を有するプログラムやハードウェアを用いて実現することができる。

そして、ＣＰＵ３０１が外部記憶装置３０４からメモリ３０２上にロードされた所定のプログラムを実行することにより、上述の各処理部を実現できる。すなわち、通信部２０４は、ＣＰＵ３０１が通信装置３０３を利用することにより、入出力部２０３は、ＣＰＵ３０１が入力装置３０５や、出力装置３０６や、読み取り装置３０７を利用することにより、そして、記憶部２０２は、ＣＰＵ３０１がメモリ３０２や外部記憶装置３０４を利用することにより実現される。また、処理部２０１はＣＰＵ３０１のプロセスとして実現される。

上記所定のプログラムは、予め外部記憶装置３０４に格納されていても良いし、上記電子計算機が利用可能な記憶媒体３０８に格納されており、読み取り装置３０７を介して、必要に応じて読み出され、あるいは、上記電子計算機が利用可能な通信媒体であるネットワークまたはネットワーク上を伝搬する搬送波を利用する通信装置３０３と接続された他の装置から、必要に応じてダウンロードされて、外部記憶装置３０４に導入されるものであってもよい。

図４は、本発明の第１の実施形態に係る所属ハッシュテーブル２０９の構成の一例を示す図である。所属ハッシュテーブル２０９は、記憶部２０２に格納されており、ある個人がどの組織に所属しているかの情報を、ハッシュ化された状態で記憶する。具体的には、所属ハッシュテーブルは、ある個人のＩＤと、当該個人が所属する組織を特定する情報（組織コード）と、を組み合わせたデータに対してハッシュ値を計算した結果を記憶している。

例えば、テーブルに記憶されたひとつのレコード４０１のＨ（ＩＤ₁，Ａ）（「Ｈ（Ｘ）」はデータＸのハッシュ値を示す。以下同様）は、ＩＤ₁で識別される個人が組織コードＡの組織に所属している情報をハッシュ化して記憶している状態を示している。また、組織コードＡの組織にはＩＤ₁で識別される個人以外の個人も所属しており、例えば、レコード４０２のＨ（ＩＤ₂，Ａ）はＩＤ₂で識別される個人が組織コードＡの組織に所属していることを示す。また、ＩＤ₁で識別される個人は組織コードＡの組織以外の組織に所属することも可能であり、例えば、レコード４０３のＨ（ＩＤ₁，α）は、組織コードαの組織にも所属していることを示す。

なお、個人のＩＤとは、ある個人を特定するために計算機上で定義された情報であり、不正情報検知装置１０２の内部のみ、または、情報中継装置１０１と不正情報検知装置１０２との間のみで使用され、これらの外部には秘匿される。なお、ＩＤを不正情報検知装置１０２および情報中継装置１０１の外部に秘匿する方法としては、不正情報検知装置１０２または情報中継装置１０１内部に耐タンパ装置を設置し、耐タンパ装置に保存した鍵で暗号化する、または、不正情報検知装置１０２および情報中継装置１０１のみが知る値を付加してハッシュ化する方法等が考えられる。

次に、図５および図６を参照して、所属ハッシュテーブル２０９を生成する処理の一例について説明する。

図５は、システム稼働初期等に、情報中継装置１０１が、各組織に設置された情報連携装置１０５からの付番要求に基づいて、各組織に所属する個人に対してＩＤを付番した記録内容の一例を示す図である。

図５の記録は、情報中継装置１０１から不正情報検知装置１０２の制御部２０８を介して、テーブル管理部２０７に送信され、テーブル管理部２０７にて所属ハッシュテーブル２０９を生成する際に使用される。

図６は、本発明の第１の実施形態に係る所属ハッシュテーブル２０９を生成する処理の一例を示すフローチャートである。ここでは、不正情報検知装置１０３の制御部２０８からの命令を受けたテーブル管理部２０７が行う処理を説明する。なお、図６の処理は不正情報検知装置１０２が、情報中継装置１０１から図５に示す記録を取得したときなど、所定のタイミングで実施される。

先ず、テーブル管理部２０７が、制御部２０８から記録５０１を受け取る事で当該処理を開始する。テーブル管理部２０７は、ある個人のＩＤ₁と付番要求者を識別する情報（組織コード）Ａを組み合わせたデータを生成する（ステップ６０１）。このとき、組み合わせる方法は、ＩＤ₁のデータの後ろにＡのデータを結合する方法や、ＩＤ₁とＡの排他的論理和を計算する方法等が考えられる。次に、テーブル管理部２０７は、ＩＤ₁とＡを組み合わせたデータのハッシュ値Ｈ（ＩＤ₁，Ａ）を生成し（ステップ６０２）、生成したハッシュ値Ｈ（ＩＤ₁，Ａ）を所属ハッシュテーブルに登録し（ステップ６０３）、処理を終了する。

次に、図４、図７および図８を参照して、第１の実施形態に係る不正な情報連携要求を検知する処理の一例について説明する。図７は、本発明の第１の実施形態に係る不正な情報連携要求を検知する処理の一例を示すフローチャートである。図８は、本発明の第１の実施形態に係る情報連携要求の構成の一例を示す図である。図８に示すように、情報連携要求は、情報連携要求元の組織コードと、情報連携要求先の組織コードと、個人のＩＤと、情報連携の対象となる個人情報の種類と、情報連携要求の理由と、情報連携が実行された日時を含む。例示する情報連携要求８０１は、情報連携要求元の組織コードとして「Ａ」、情報連携要求先の組織コードとして「Ｃ」、個人のＩＤとして「ＩＤ₁」、個人情報の種類として「年金情報」、情報連携の理由として「生活保護」、情報連携実行日時として「Ｔ１１」を含む。また、例示する情報連携要求８０２は、情報連携要求元の組織コードとして「Ｂ」、情報連携要求先の組織コードとして「Ｃ」、個人のＩＤとして「ＩＤ₂」、個人情報の種類として「年金情報」、情報連携の理由として「生活保護」、情報連携実行日時として「Ｔ１２」を含む。

先ず、不正情報検知装置１０２の制御部２０８が、任意の情報連携装置１０５からの情報連携要求８０１を通信部２０４を介して受信し、制御部２０８の命令を受けた不正情報検知部２０６が行う情報処理を説明する。

不正情報検知部２０６は、制御部２０８から情報連携要求８０１を受け取ることで処理を開始する。不正情報検知部２０６は、情報連携要求に含まれる情報連携の理由が、異動に関するものなど所属ハッシュテーブル２０９更新対象でない理由を示す場合、情報連携要求元の組織コードであるＡと個人のＩＤであるＩＤ₁を組み合わせたデータを生成し（ステップ７０１）、生成したデータのハッシュ値Ｈ（ＩＤ₁，Ａ）を生成する（ステップ７０２）。次に、不正情報検知部２０６は、生成したハッシュ値Ｈ（ＩＤ₁，Ａ）に基づき所属ハッシュテーブル２０９を検索し、Ｈ（ＩＤ₁，Ａ）が所属ハッシュテーブル２０９に有るか否かを判断する（ステップ７０３）。例示する所属ハッシュテーブル２０９(図４)にはＨ（ＩＤ₁，Ａ）が存在するので、不正情報検知部２０６は、情報連携要求８０１を正当な情報連携要求と判断し、処理を終了する。

次に、不正情報検知装置１０２の制御部２０８が、任意の情報連携装置１０５からの情報連携要求８０２を通信部２０４を介して受信し、制御部２０８の命令を受けた不正情報検知部２０６が行う情報処理を説明する。

不正情報検知部２０６は、制御部２０８から情報連携要求８０２を受け取ることで処理を開始する。不正情報検知部２０６は、情報連携要求に含まれる情報連携の理由が、異動に関するものなど所属ハッシュテーブル２０９更新対象でない理由を示す場合、情報連携要求元の組織コードであるＢと個人のＩＤであるＩＤ₂を組み合わせたデータを生成し（ステップ７０１）、生成したデータのハッシュ値Ｈ（ＩＤ₂，Ｂ）を生成する（ステップ７０２）。次に、不正情報検知部２０６は、生成したハッシュ値Ｈ（ＩＤ₂，Ｂ）に基づき所属ハッシュテーブル２０９を検索し、Ｈ（ＩＤ₂，Ｂ）が所属ハッシュテーブル２０９に有るか否かを判断する（ステップ７０３）。例示する所属ハッシュテーブル２０９（図４）にはＨ（ＩＤ₂，Ｂ）が無いため、不正情報検知部２０６は、情報連携要求８０２を不正な情報連携要求と判断し、出力装置３０６に不正な情報連携要求を検知したことなどを示すアラートを出力する。なお、これ以外の不正な情報連携要求を検知した場合の処理として、外部の装置に不正な情報連携要求を検知したことなどを示すアラートを送信するようにしてもよい。

次に、図９および図１０を用いて、個人が別の組織に異動した場合に所属ハッシュテーブル２０９を更新する処理の一例について説明する。図９は、本発明の第１の実施形態に係る所属ハッシュテーブル２０９を更新する処理の一例を示すフローチャートである。図１０は、本発明の第１の実施形態に係る異動情報を含む情報連携要求１００１の構成の一例を示す図である。ここでは、任意の情報連携装置１０５からの連携要求１００１を通信部２０４を介して受信した不正情報検知装置１０２の制御部２０８、および、制御部２０８の命令を受けたテーブル管理部２０７が行う情報処理を説明する。

制御部２０８は、通信部２０４から情報連携要求１００１を受取る事で処理を開始する。先ず、制御部２０８は、情報連携要求に含まれる情報連携の理由がテーブル更新対象であることを示す理由であるか否かを判断し、テーブル更新対象であるを示す場合、テーブル管理部２０７を呼び出す（ステップ９０１）。テーブル更新対象であることを示す理由として、例えば、「引越し」や「転職」など異動に関するものが考えられる。なお、情報連携の理由と異動かどうかの関係は事前に管理者等からあたらえられるものとする。ここでは、情報連携要求１００１の情報連携の理由は「引越し」であり、これは異動に相当しテーブル更新対象となる。次に、テーブル管理部２０７は、個人のＩＤ₁と要求元（当該個人異動先組織）の組織コードのＣを組み合わせたデータを生成し、生成した値のハッシュ値Ｈ（ＩＤ₁，Ｃ）を生成し（ステップ９０２）、生成したハッシュ値Ｈ（ＩＤ₁，Ｃ）を図４の所属ハッシュテーブル２０９に追登録する（ステップ９０３）。次に、テーブル管理部２０７は、上記ＩＤ₁と要求先（当該個人異動元組織）の組織コードＡを組み合わせたデータを生成し、生成した値のハッシュ値Ｈ（ＩＤ₁，Ａ）を生成し（ステップ９０４）、生成したハッシュ値Ｈ（ＩＤ₁，Ａ）を、所属ハッシュテーブル２０９から削除し（ステップ９０５）更新処理を終了する。なお、ステップ９０１において、情報連携の理由がテーブル更新対象で無い場合には、図7に示す不正情報検知処理が実施される。

以上、本発明の第１の実施形態について説明した。

上記第１の実施形態によれば、事前に、個人のＩＤと、当該個人が所属する組織と、を組み合わせたデータのハッシュ値を所属ハッシュテーブル２０９に記憶しておき、不正情報検知装置１０２が、情報連携要求受信時に、個人のＩＤと、連携元組織コードと、を組み合わせたデータのハッシュ値を生成し、生成したハッシュ値を所属ハッシュテーブル２０９から検索し、一致するハッシュ値が無い場合に、受信した情報連携要求を不正な情報連携要求として検知する。

これにより、所属ハッシュテーブル２０９に対して不正アクセスがあった場合でも、個人の所属が漏洩するリスクを低減するとともに、不正な情報連携要求を検知することで不正な情報の連携を防止できる。

また、「引っ越し」や「転職」などにより個人の所属が変更となった場合に、所属ハッシュテーブル２０９を更新するようにしたので、個人の所属が変更された場合において、引っ越し前の組織からの情報連携要求を不正な情報連携要求として検知できる。

なお、上記第１の実施形態では、情報連携要求が発生する毎に、情報連携要求を情報中継装置１０１を介して不正情報検知装置１０２に送信しているが、情報中継装置１０１に一定期間分の情報連携要求を保持し、その後、一定期間分の情報連携要求をまとめて不正情報検知装置１０２に送信してもよい。

また、不正情報検知部２０６において、１回の「不正な情報連携要求の検知」だけでなく、複数回の「不正な情報連携要求の検知」を考慮し、統計手法等を組み合わせて不正な情報連携要求を検知してもよい。すなわち、１つの情報連携要求を不正な情報連携要求として検知した際にアラートを上げるだけでなく、複数回の情報連携要求を考慮し、不正な情報連携要求である可能性がより高い場合にアラートを上げられるような仕組みとしてもよい。
（第２の実施形態）
図１１〜図１４を参照して、本発明の第２の実施形態について説明する。本発明の第１の実施形態との相違点は、（１）図１の情報システムにおける個人の異動の際に、図４の所属ハッシュテーブル２０９で、個人が異動したことを示すフラグと当該個人の異動日時を併せて管理し、（２）当該個人が所属する組織グループと組織コードとの対応関係を管理し、（３）上記組織グループおよび情報連携の理由毎の情報連携可能期間を管理する点である。この相違点により、ある個人が別の組織に異動した場合でも、情報連携要求を受信した日時が、当該個人の異動前組織グループおよび情報連携要求に含まれる情報連携の理由の組み合わせで決まる情報連携可能期間と当該個人の移動日時とを加算した値より大きい場合に、異動前組織からの当該個人に関する情報の要求を不正な情報連携要求として検知できる。

図１１は、本発明の第２の実施形態に係る所属ハッシュテーブル１１００の構成の一例を示す図ある。本発明の第２の実施形態に係る所属ハッシュテーブル１１００には、個人のＩＤと当該個人が所属する組織の組織コードとを組み合わせたデータのハッシュ値１１０１と、当該個人が当該組織から異動している場合に異動したことを示す異動フラグ１１０２と、当該個人の異動日時１１０３と、がぞれぞれ対応付けて記憶されている。なお、ここでは、異動フラグ１１０２には「異動」が登録されているが、当該個人が異動したことを示す情報であれば、その他の情報であってもよい。また、異動日時１１０３には、例えば、所属ハッシュテーブル１１００に異動フラグ１１０２が登録された日時１１０３が登録される。

図１２（ａ）は、本発明の第２の実施形態に係る組織グループと組織コードとの対応関係を管理するグループ管理テーブル１２００の一例を示す図である。組織グループとは、同じ種類の組織をグループにまとめたものである。例えば、組織コードＡ，Ｂ，Ｃで示される組織がそれぞれＡ市、Ｂ町、Ｃ村の場合、組織コードＡ、Ｂ、Ｃは市区町村グループに属しており、組織コードα、β、γで示される組織がそれぞれα社、β社、γ社の場合、組織コードα、β、γは企業グループに属していることを示す。

図１２（ｂ）は、本発明の第２の実施形態に係る、ある個人が別の組織に異動した後でも、当該個人の異動前の組織からの情報連携要求が可能な期間を、組織グループと、情報連携の理由毎に管理する有効期間テーブル１２０１の一例を示す図である。情報連携の理由には、情報連携要求に含まれるものと同様の理由が記憶されている。例えば、レコード１２０２は、市区町村グループの組織は、ある住民が異動した後に、当該異動した住民を対象に、異動日時を起算日として５年間住民税の情報を要求してもよいことを示す。

なお、図１２（ａ）と図１２（ｂ）に示す各テーブルは、記憶部２０２に記憶されており、図１に示す情報システムの管理者等によって事前に定義され、適宜メンテナンスされる。

図１３は、第２の実施形態に係る所属ハッシュテーブル１１００を更新する処理の一例を示すフローチャートである。なお、図１３のステップ１３０１〜ステップ１３０４の処理は、図９のステップ９０１〜ステップ９０４の処理と同様の処理である。ステップ１３０４の処理後、テーブル管理部２０７は、図１１の所属ハッシュテーブル１１００から、ステップ１３０４で生成した、個人のＩＤ₁と当該個人異動前の組織の組織コードＡを組み合わせたデータのハッシュ値Ｈ（ＩＤ₁，Ａ）を検索してレコード１１０４を特定し、特定したレコード１１０４の異動フラグ１１０２に「異動」を登録し、その登録時刻を異動日時１１０３に登録する（ステップ１３０５）。

次に、図８、図１１、図１２（ａ）、図１２（ｂ）および図１４を参照して、第２の実施形態に係る不正な情報連携要求を検知する処理の一例について説明する。図１４は、本発明の第２の実施形態に係る不正な情報連携要求を検知する処理の一例を示すフローチャートである。なお、ここでは、情報連携要求として、情報連携要求８０１を例にとり説明する。

不正情報検知部２０６は、制御部２０８から情報連携要求８０１を受け取る事で処理を開始する。先ず、不正情報検知部２０６は、ステップ７０１〜７０３の処理と同様の処理を行って、ハッシュ値Ｈ（ＩＤ₁，Ａ）を生成し、生成したハッシュ値Ｈ（ＩＤ₁，Ａ）に基づき所属ハッシュテーブル１１００を検索し、ハッシュ値Ｈ（ＩＤ₁，Ａ）が所属ハッシュテーブル１１００に有るか否かを判断する（ステップ１４０１〜ステップ１４０３）。ここでは、ハッシュ値Ｈ（ＩＤ₁，Ａ）が有る（レコード１１０４）ため、不正情報検知部２０６は、さらにレコード１１０４の異動フラグ１１０２の有無を確認する（ステップ１４０４）。ここでは、異動フラグが有るため、不正情報検知部２０６は、グループ管理テーブル１２００から、要求元組織コードであるＡに対応するグループである市区町村を示す情報を取得する（ステップ１４０５）。次に、不正情報検知部２０６は、市区町村を示す情報と情報連携要求８０１に含まれる情報連携の理由（生活保護）を示す情報に基づき有効期間テーブル１２０１を検索し、該当情報連携可能期間（３年間）を示す情報を取得する（ステップ１４０６）。次に、不正情報検知部２０６は、レコード１１０４の異動日時１１０３に、ステップ１４０６で取得した情報連携可能期間を加算した時刻と、情報連携要求受信日時を比較し（ステップ１４０７）、情報連携要求受信日時の方が大きい場合、受信した情報連携要求は正当な情報連携要求と判断し、情報連携要求受信日時の方が小さい場合、受信した情報連携要求を不正な情報連携要求として出力装置３０６にアラート等を出力し、処理を終了する。

なお、ステップ１４０３で、ハッシュ値Ｈ（ＩＤ₁，Ａ）が所属ハッシュテーブル１１００に無い場合、受信した情報連携要求を不正な情報連携要求として出力装置３０６にアラート等を出力する。また、ステップ１４０４において異動フラグが無い場合、受信した情報連携要求は正当な情報連携要求と判断し、処理を終了する。

以上、本発明の第２の実施形態について説明した。

上記第２の実施形態によれば、（１）第１の実施形態で示した所属ハッシュテーブル２０９（図４）で、個人が異動したことを示すフラグと当該個人の異動日時を併せて管理し、（２）当該個人が所属する組織グループと組織コードとの対応関係を管理し、（３）上記組織グループおよび情報連携の理由毎の情報連携可能期間を管理することで、ある個人が別の組織に異動した場合でも、情報連携要求受信日時が、異動日時と、当該個人の異動前組織グループおよび情報連携要求に含まれる情報連携の理由の組み合わせで決まる情報連携可能期間とを加算した値より大きい場合に、異動前組織からの当該個人に関する情報の要求を不正な情報連携要求として検知する。

これにより、ある個人が異動した後も、当該個人異動元の組織は一定期間につき情報連携を行うことができ、一定期間が過ぎた後は、当該個人異動元の組織からの情報連携要求を不正な情報連携要求として検知することで不正な情報の連携を防止できる。
（第３の実施形態）
図１５（ａ）、図１５（ｂ）および図１６を参照して、本発明の第３の実施形態について説明する。第３の実施形態では、組織グループ毎の所属ハッシュテーブルにおいて、個人のＩＤと組織コードを組み合わせたデータのハッシュ値と、個人のＩＤのハッシュ値とを対応付けて管理する点が、第１の実施形態および第２の実施形態で説明した所属ハッシュテーブルの構成との相違点である。この相違点により、ある個人は１つの組織グループ内の複数の組織には所属しないことを根拠に不正な情報連携を防止する。例えば、ある個人の住民票は１つの市区町村に登録されるため、２つの市区町村に２重登録されることはない。つまり、市区町村グループ内に特定個人が所属する組織が複数あることは、どちらか一方が不正であることが示唆される。

図１５（ａ）と図１５（ｂ）は、本発明の第３の実施形態に係る所属ハッシュテーブルの構成の一例を示す図である。図１５（ａ）は、市区町村グループの所属ハッシュテーブル１５００の構成の一例を示し、図１５（ｂ）は、企業グループの所属ハッシュテーブル１５０１の構成の一例を示したものである。本発明の第３の実施形態では、図１２（ａ）に示すような組織グループと組織コードとの対応関係を管理するグループ管理テーブル１２００を不正情報検知装置１０２で管理し、例えば、図６のステップ６０１の前に、情報連携要求に含まれる組織コードとグループ管理テーブル１２００から、個人の組織グループを特定するステップと、当該個人のＩＤのハッシュ値Ｈ（ＩＤ）を生成するステップを加え、ステップ６０３において、組織グループ毎の所属ハッシュテーブル１５００、１５０１にＨ（ＩＤ、組織コード）とＨ（ＩＤ）とを対応付けて登録する。なお、Ｈ（ＩＤ）を生成するタイミングは、図６のステップ６０１の後であっても、ステップ６０２の後であってもよい。

図１６は、本発明の第３の実施形態に係る不正な情報連携要求を検知する処理の一例を示す図である。ここでは、不正情報検知装置１０２の制御部２０８が、任意の情報連携装置１０５からの情報連携要求８０１を通信部２０４を介して受信し、制御部２０８の命令を受けた不正情報検知部２０６が行う情報処理を説明する。

不正情報検知部２０６は、制御部２０８から情報連携要求８０１を受け取ることで処理を開始する。先ず、個人のＩＤ（ここでは、ＩＤ₁）のハッシュ値であるＨ（ＩＤ₁）を生成する（ステップ１６０１）。次に、不正情報検知部２０６は、グループ管理テーブル１２００を参照し、要求元組織コードＡの組織が所属する組織グループとして市区町村グループを特定し、ステップ１６０１で生成したハッシュ値Ｈ（ＩＤ₁）に基づき、特定した市町村グループの所属ハッシュテーブル１５００を検索する（ステップ１６０２）。検索の結果、ここでは、ハッシュ値Ｈ（ＩＤ₁）の個数が１個であるため、不正情報検知部２０６は、情報連携要求８０１をもとに、連携元組織コードＡとＩＤ₁を組み合わせたデータを生成し（ステップ１６０３、ステップ１６０４）、生成した値のハッシュ値Ｈ（ＩＤ₁，Ａ）を生成する（ステップ１６０５）。次に、不正情報検知部２０６は、生成したハッシュ値Ｈ（ＩＤ₁，Ａ）に基づき、ステップ１６０２で特定した市町村グループの所属ハッシュテーブル１５００を検索し、ハッシュ値Ｈ（ＩＤ₁，Ａ）が市町村グループの所属ハッシュテーブル１５００に有れば、情報連携要求８０１を正当な情報連携要求として処理を終了する（ステップ１６０６でＹｅｓ）。

なお、ステップ１６０３において、ＩＤのハッシュ値の個数が０個の場合、不正情報検知部２０６は、情報連携要求を不正な情報連携要求として出力装置３０６にアラートを出力し処理を終了する。また、ステップ１６０３において、ＩＤのハッシュ値の個数が２個以上の場合、不正情報検知部２０６は、１つの所属ハッシュテーブル１５００に同じＩＤが２重に登録されることは不正の可能性があるため、当該情報連携要求を不正な情報連携要求として出力装置３０６にアラートを出力し処理を終了する。また、ステップ１６０６において、ステップ１６０５で生成したハッシュ値が市町村グループの所属ハッシュテーブル１５００に無ければ、当該情報連携要求を不正な情報連携要求として出力装置３０６にアラートを出力し処理を終了する（ステップ１６０６でＮｏ）。

以上、本発明の第三の実施形態について説明した。

なお、上記本発明の第３の実施形態では、「情報連携要求の受信」を契機として、個人のＩＤのハッシュ値の２重登録を検知する場合を例にとり説明したが、所属ハッシュテーブル全てのレコードを対象に、ステップ１６０３の処理を行うことで、個人のＩＤの２重登録を検知するようにしてもよい。

以上本発明の第３の実施形態について説明したが、本発明の第３の実施形態では、組織グループ毎の所属ハッシュテーブルにおいて、個人のＩＤと組織コードを組み合わせたデータのハッシュ値と、上記ＩＤのハッシュ値とを対応付けて管理し、情報連携要求受信時に、情報連携要求に含まれる個人のＩＤ、のハッシュ値を生成し、生成したＩＤのハッシュ値が、情報連携要求元組織が属する組織グループの所属ハッシュテーブルに２個以上有った場合に、上記情報連携要求を不正な情報連携要求として検知する。

これにより、複数の組織間で個人に関する情報を送受信する情報システムにおいて所属ハッシュテーブルに対して不正アクセスがあった場合でも、個人に関する情報が漏洩するリスクを低減するとともに、不正な情報連携要求を検知し、不正な情報の連携を防止することができる。

また、上記本発明の第３の実施形態によって、ある組織グループの所属ハッシュテーブルに複数の同じ個人に関する情報が登録されるような不正を検知できる。

１０１・・・情報中継装置、１０２・・・不正情報検知装置、１０３・・・組織内ネットワーク、１０４・・・ネットワーク、１０５・・・情報連携装置、２０１・・・処理部、２０２・・・記憶部、２０３・・・入出力部、２０４・・・通信部、２０６・・・不正情報検知部、２０７・・・テーブル管理部、２０８・・・制御部、２０９・・・所属ハッシュテーブル、３０１・・・ＣＰＵ、３０２・・・メモリ、３０３・・・通信装置、３０４・・・外部記憶装置、３０５・・・入力装置、３０６・・・出力装置、３０７・・・読取装置、３０８・・・可搬性を有する記憶媒体、３０９・・・内部通信線。

Claims (6)

1. ネットワークと接続された不正情報検知装置を用いた、複数組織間で個人情報を連携する際の不正情報検知方法であって、
   情報連携の対象となる個人を特定する個人特定情報と当該個人の所属組織を特定する所属組織特定情報とを組み合わせたデータのハッシュ値と、当該個人の異動に関する情報を示す異動情報と、当該異動した日時を示す異動日時情報と、を記憶する第１の記憶部と、
   前記個人の所属組織と、当該所属組織が所属する組織グループと、を対応付けて記憶する第２の記憶部と、
   前記組織グループと、当該組織グループ内の所属組織間で情報連携を許可する要件となる情報連携の理由を示す情報連携要求の理由に関する情報と、情報連携を許可する情報連携要求可能期間と、を対応付けて記憶する第３の記憶部と、を具備し、
   前記ネットワークを介して、第１の個人に関する前記個人特定情報と、前記所属組織特定情報と、を含む情報連携要求を受信し、
   前記第１の個人に関する個人特定情報と、情報の連携を要求する組織を示す情報連携要求元組織の所属組織特定情報とを組み合わせた第１のデータを生成し、
   前記第１のデータから第１のハッシュ値を生成し、
   前記第１のハッシュ値に基づき前記第１の記憶部を検索し、前記第１のハッシュ値が前
   記第１の記憶部にあり、かつ該当レコードに前記第１の個人が異動したことを示す情報がある場合に、前記情報連携要求元組織の所属組織特定情報と前記第２の記憶部から前記第１の個人の組織グループを特定し、
   前記第３の記憶部から、前記第１の個人に関する前記組織グループと前記情報連携要求の理由と情報連携要求可能期間とを取得し、
   前記情報連携要求を受信した日時が、取得した前記情報連携要求可能期間と前記第１の記憶部から取得した前記第１の個人の前記異動日時情報とを加算した値より大きい場合に、前記情報連携要求が不正な情報連携要求である旨を出力する、
   ことを特徴とする不正情報検知方法。
2. 請求項１に記載の不正情報検知方法において、
   前記ネットワークを介して、第１の個人の個人特定情報と前記第１の個人の異動先組織に関する所属組織特定情報と前記第１の個人の異動元組織の所属組織特定情報と情報連携要求の理由に関する情報と、を含む情報連携要求を受信し、
   前記情報連携要求の理由に関する情報にて特定された要求の理由が前記第１の記憶部の更新対象であることを示す理由の場合に、前記第１の個人の個人特定情報と前記第１の個人の異動先組織の所属組織特定情報とを組み合わせた第２のデータを生成し、
   前記第２のデータから第２のハッシュ値を生成し、これを前記第１の記憶部に登録し、
   前記第１の個人の特定情報と前記第１の個人の異動元組織の所属組織特定情報とを組み合わせた第３のデータを生成し、
   前記第３のデータから第３のハッシュ値を生成し、前記第３のハッシュ値に基づき前記第１の記憶部を検索し、該当レコードに前記第１の個人が異動したことを示す情報と前記第１の個人の前記異動日時情報を登録する、
   ことを特徴とする不正情報検知方法。
3. 請求項２に記載の不正情報検知方法において、
   前記ネットワークを介して、前記第１の個人の特定情報と前記情報連携要求元組織の特
   定情報を含む前記情報連携要求を受信し、
   受信した前記情報連携要求元組織の所属組織特定情報と前記第２の記憶部から前記第１の個人の組織グループを特定し、
   前記第２のハッシュ値に基づき、特定した前記組織グループに対応した前記第１の記憶
   部を検索し、前記第２のハッシュ値が２個以上ある場合に、前記情報連携要求が不正な情報連携要求である旨を出力する、
   ことを特徴とする不正情報検知方法。
4. ネットワークと接続され、複数組織間で個人情報を連携する際の不正を検知する不正情報検知装置であって、
   情報連携の対象となる個人を特定する個人特定情報と当該個人の所属組織を特定する所属組織特定情報とを組み合わせたデータのハッシュ値と、当該個人の異動に関する情報を示す異動情報と、当該異動した日時を示す異動日時情報と、を記憶する第１の記憶部と、
   前記個人の所属組織と、当該所属組織が所属する組織グループと、を対応付けて記憶する第２の記憶部と、
   前記組織グループと、当該組織グループ内の所属組織間で情報連携を許可する要件となる情報連携の理由を示す情報連携要求の理由に関する情報と、情報連携を許可する情報連携要求可能期間と、を対応付けて記憶する第３の記憶部と、
   演算処理部と、を具備し、
   前記演算処理部は、
   前記ネットワークを介して、第１の個人に関する個人特定情報と、情報の連携を要求する組織を示す情報連携要求元組織の所属組織特定情報と、を含む情報連携要求を受信し、
   前記第１の個人に関する個人特定情報と前記情報連携要求元組織の所属組織特定情報とを組み合わせた第１のデータを生成し、
   前記第１のデータから第１のハッシュ値を生成し、
   前記第１のハッシュ値に基づき前記第１の記憶部を検索し、前記第１のハッシュ値が前
   記第１の記憶部にあり、かつ該当レコードに前記第１の個人が異動したことを示す情報がある場合に、前記情報連携要求元組織の所属組織特定情報と前記第２の記憶部から前記第１の個人の組織グループを特定し、
   前記第３の記憶部から、前記第１の個人に関する前記組織グループと前記情報連携要求の理由と情報連携要求可能期間とを取得し、
   前記情報連携要求を受信した日時が、取得した前記情報連携要求可能期間と前記第１の記憶部から取得した前記第１の個人の前記異動日時情報とを加算した値より大きい場合に、前記情報連携要求が不正な情報連携要求である旨を出力する、
   ことを特徴とする不正情報検知装置。
5. 請求項４に記載の不正情報検知装置において、
   前記演算処理部は、
   前記ネットワークを介して、第１の個人の個人特定情報と前記第１の個人の異動先組織に関する所属組織特定情報と前記第１の個人の異動元組織の所属組織特定情報と情報連携要求の理由に関する情報と、を含む情報連携要求を受信し、
   前記情報連携要求の理由に関する情報にて特定された要求の理由が前記第１の記憶部の更新対象であることを示す理由の場合に、前記第１の個人の個人特定情報と前記第１の個人の異動先組織の所属組織特定情報とを組み合わせた第２のデータを生成し、
   前記第２のデータから第２のハッシュ値を生成し、これを前記第１の記憶部に登録し、
   前記第１の個人の特定情報と前記第１の個人の異動元組織の所属組織特定情報とを組み合わせた第３のデータを生成し、
   前記第３のデータから第３のハッシュ値を生成し、前記第３のハッシュ値に基づき前記第１の記憶部を検索し、該当レコードに前記第１の個人が異動したことを示す情報と前記第１の個人の前記異動日時情報を登録する、
   ことを特徴とする不正情報検知装置。
6. 請求項５に記載の不正情報検知装置において、
   前記演算処理部は、
   前記ネットワークを介して、前記第１の個人の特定情報と前記情報連携要求元組織の特
   定情報を含む前記情報連携要求を受信し、
   受信した前記情報連携要求元組織の所属組織特定情報と前記第２の記憶部から前記第１の個人の組織グループを特定し、
   前記第２のハッシュ値に基づき、特定した前記組織グループに対応した前記第１の記憶
   部を検索し、前記第２のハッシュ値が２個以上ある場合に、前記情報連携要求が不正な情報連携要求である旨を出力する、
   ことを特徴とする不正情報検知装置。

Images