JP6250497B2 - 情報管理システム - Google Patents

Description

本発明は、データベースに関し、特に、検索可能暗号化を適用して情報管理のセキュリティを向上させる技術に関する。

近年、安価なサービスや情報を集約化するため、クラウドコンピューティングが急速に普及している。しかし、クラウドコンピューティングにおけるセキュリティやプライバシーに対する配慮はまだ必ずしも十分とはいえない状況である。

クラウドコンピューティングにおけるセキュリティ技術として、検索可能暗号技術が知られている。検索可能暗号技術は、記憶装置に格納されたデータを暗号化したまま検索ができる技術であり、クラウドコンピューティングにおけるセキュリティ技術の代表的なものである。検索可能暗号化技術は、データベース自体が暗号化されており、さらに、データセンタ内でデータを復号化することなく検索処理を実行することができ、従来技術のセキュリティ上の脆弱性を解消している。このため、セキュリティやプライバシーに厳密に配慮する技術として注目されている。

本技術分野の背景技術として特開２０１２−１２３６１４号公報（特許文献１）がある。特許文献１に記載の検索可能暗号処理ステムは、データを預かるＤＢサーバと、ＤＢサーバにデータを預託する登録クライアントと、ＤＢサーバにデータを検索させる検索クライアントがネットワーク経由で連携する検索可能暗号処理ステムであって、登録クライアントは、ハッシュ値と準同型関数を用いたマスクによる確率的暗号化方式を用いて、暗号化したデータをサーバに預託し、検索クライアントは、検索クエリの暗号化に準同型関数を用いたマスクによる確率的暗号化を用い、ＤＢサーバにマスクを解除させずに、かつ、ＤＢサーバに検索に該当するデータの出現頻度が漏洩しないよう、検索クエリと該当しないデータを検索結果として出力させる。

特開２０１２−１２３６１４号公報

しかしながら、特許文献１に記載の技術は、暗号化したまま実行する検索処理や解析処理の負荷が大きく、多くの処理時間や多くのコンピュータリソースを必要とする課題がある。また、データを暗号化したまま複雑な解析を実行することが困難であるか、又は、多くのコンピュータリソースが必要になるなどの課題ある。このため、従来のデータセンタにおいて、コンピュータリソースの確保は容易でなく、計算コストを上昇し、検索可能暗号化技術の実用化への障害となっていた。

前述した課題を解決するため、本発明は、個人を識別できる情報と、それだけでは個人を識別できない情報とに分離して、セキュリティやプライバシーに配慮した形態で保管する。

本願において開示される発明の代表的な一例を示せば以下の通りである。すなわち、第１データベースと第２データベースとが一つもしくは複数のデータセンタ内に設けられる情報管理システムであって、前記第１データベースは、検索可能暗号化技術を用いてデータを格納しており、格納されたデータを復号するためのキーを格納していないので、前記格納されたデータを前記データセンタ内で復号せずに出力するものであり、前記第２データベースは、前記第１データベースに格納されるデータと関連付けられたデータを、検索可能暗号化技術を用いることなく格納し、前記情報管理システムは、前記第１データベースに検索対象のデータが格納されている場合、前記第１データベースは、検索対象のデータに関連付けられたデータを前記第２データベースで特定する第１データＩＤを出力し、前記第２データベースは、前記第１データＩＤを用いたアクセスに対して、検索対象のデータに関連するデータを出力する。

本発明の代表的な形態によれば、セキュリティやプライバシー上の課題を解決することできる。また、コンピュータリソースを削減できる。前述した以外の課題、構成及び効果は、以下の実施例の説明により明らかにされる。

本発明の実施形態の情報管理システムの構成を示す図である。 本発明の実施形態のデータベース１の構成例を示す図である。 本発明の実施形態のデータベース２の構成例を示す図である。 本発明の実施形態のデータベース１、２からのデータの取得を示す図である。 本発明の実施形態のデータベース１、２からのデータの取得を示す図である。 本発明の実施形態の端末３によるデータの共有を示す図である。 本発明の実施形態のデータベース２に格納されたデータの更新を示す図である。 本発明の実施形態のデータベース１に格納した暗号化情報の更新を示す図である。 本発明の実施形態のデータベース１に機微情報を格納する形態を示す図である。

以下、本発明を実施する場合の一形態を図面を参照して具体的に説明する。

図１は、本発明の一実施形態の情報管理システムの構成を示す図である。

本実施形態の情報管理システムは、複数のデータベース１、２、端末（ＰＣ）３によって構成される。

データベース１及び２は、データを格納する不揮発性記憶装置（又は、揮発性記憶装置）と、該性記憶装置に格納されたデータの入出力及び更新を制御するデータベースマネジメントシステム（ＤＢＭＳ）とによって構成される。データベースマネジメントシステムは、プロセッサ及びメモリを有するコンピュータリソース上で実行される。

データベース１は、検索可能暗号技術を適用して暗号化したデータを記憶装置に格納し、データセンタ１０内で復号せずにデータを出力する。データベース２は、通常の平文データが格納されるデータベースである。データベース２は、通常の暗号化技術が適用された（すなわち、暗号化されたデータが記憶装置に格納されるが、データセンタ１０内で復号化されたデータが出力される）データベースでもよい。

このように構成されたデータベース１には、図２に示すように、内容を秘匿すべきデータ、例えば、特定の個人を識別できるデータ（氏名、住所など）が格納される。また、データベース２には、図３に示すように、データベース１に格納されたデータと関連付けられるデータ、例えば、それだけでは個人を識別できないデータ（健康診断の結果など）が格納される。

図１には、データベース１及び２は、各々一つのみを図示するが、各々が複数のデータベースを含んでもよい。この場合、後述するように、各データベースを関連付けるために複数の対応付け情報がデータベース１に記録される。

データベース１及び２は、一つのデータセンタ１０内に収容されている。データセンタ１０とは、一つの拠点に収容されたコンピュータ群の他、複数の拠点に分散して配置され、ネットワークによって接続されるコンピュータ群であり、より具体的には、コンピュータ及びストレージ装置のリソースの一部を仮想化して提供するクラウドサービスである。また、データセンタ１０は、使用者（例えば、企業）が管理する設備内に設置されるもの（いわゆる、オンプレミス）でもよい。

さらに、データベース１及び２を、複数のデータセンタ１０内に分散して収容してもよい。すなわち、別の事業者がデータベース１及び２を管理してもよい。

データベース１及び２に格納されるデータを関連付ければ個人の情報が一元的に管理及び把握されてしまう。しかし、本実施形態のデータベース構造によれば、データベース１に格納されるデータは暗号化されており、データベース１から暗号化されたデータが出力されるので、一つのデータセンタ１０内にデータベース１及び２の両方を収容しても、個人の情報が一元的に管理されない。

なお、図示は省略するが、データセンタ１０内には、データベース１、２を制御するためのサーバや、端末にアプリケーションを提供するサーバが設けられてもよい。そして、サーバが、データベース１、２に格納されたデータを用いてサービスを提供してもよい。

端末３は、プロセッサ、メモリ、ネットワークインターフェース及びユーザインターフェース（キーボード、マウス、表示装置など）を有するコンピュータである。コンピュータは、パーソナルコンピュータ（ＰＣ）の他、タブレット端末、スマートフォンなどでもよい。なお、図１には１台の端末３のみを図示するが、通常は図６に示すように、複数の端末３が設けられる。

端末３は、データベース１及び２にアクセスするための専用のアプリケーションプログラムが動作しても、ウェブブラウザが動作してもよい。該専用アプリケーションプログラム及びウェブブラウザは、端末３がデータベース１及び２へアクセスするためのキーを管理し、データセンタ１０内のサーバにリクエストを送信する。なお、後述するように、端末３がデータベース１へアクセスするためのキーは、許可されるアクセスの種類（検索のみ、検索及び復号）によって複数準備される。また、アクセスするためのキーは、組織ごとに同一でもよいし、ユーザごとに異なってもよい。キーの管理は、情報の管理者および利用者が決定することができる。

データセンタ１０と端末３とは、ネットワーク４によって接続される。

端末３から、新たにデータを登録する場合、データベース１にデータを格納するための個人ＩＤ及びデータベース２にデータを格納するためのデータＩＤを発行する。このＩＤの発行は、端末３が行っても、データセンタ１０（ＤＢＭＳ）が行ってもよい。

端末３は、予め設定された分離ルール（すなわち、データベースの定義テーブル）に従って、入力されたデータをデータベース１に格納するデータとデータベース２に格納するデータに分離する。端末３は、分離されたデータ及び発行されたＩＤを含む書き込み要求をデータベース１、２に送信する。データベース１、２は、端末３からの書込要求に従ってデータを格納する。

図２は、本実施形態のデータベース１の構成例を説明する図である。

データベース１は、個人を一意に識別する個人ＩＤ１０１、氏名１０２、生年月日１０３、住所１０４、メールアドレス１０５、電話番号１０６など、個人を特定できる個人情報を格納する。データベース１は、これらのデータに検索可能暗号技術を適用して暗号化して記憶装置に格納し、データセンタ１０内で復号せずにデータを出力する。また、本実施例の情報管理システムを会社で使用する場合、データベース１には、人事情報を格納してもよい。

データベース１は、データベース２に格納されたデータと関連付けるためのデータＩＤ１０７を格納する。データＩＤ１０７はデータベース２のデータＩＤ２０１と対応するもの（例えば、一致するもの）を使用する。データベース１が個人ＩＤ１０１とデータＩＤ１０７とを対応付けることによって、データベース１とデータベース２とを関連付けることができる。

複数のデータベース１及び２が関連付けられる場合、データベース間及びデータ間を関連付けるための複数のデータＩＤ１０７がデータベース１に記録される。

なお、データベース１は、データベース１へアクセスするためのパスワードやアクセスキーを格納してもよい。また、データベース１に格納される暗号化データは、データベース１へのアクセスごとに変更し、更新することによって、セキュリティレベルを更に向上することができる。より具体的には、データ登録時には暗号化データが異なるように生成し、アクセスごとに暗号化データを書き換える。この詳細は、図８を用いて後述する。

図３は、本実施形態のデータベース２の構成例を説明する図である。

図３に示すデータベース２は、個人の健康情報を格納するデータベースであって、データを一意に識別するデータＩＤ１２３１、データ登録日１２３２及び健康診断の結果（身長１２３３、体重１２３４、ＢＭＩ１２３５、血圧１２３６、血糖値１２３７）など、を格納する。このように、データベース２は、個人を特定できる個人情報を格納しない。なお、データベース２は、データベース２へアクセスするためのパスワードやアクセスキーを格納してもよい。

従来、データベース１とデータベース２とを関連付ける情報はデータベース２と共に管理することが適切であったが、該関連付け情報を暗号化してデータベース１に格納したので、データベース１とデータベース２とを一元的に管理しても、個人の情報が一元的に管理されることがない。

データベース１に格納されたデータとデータベース２に格納されたデータとを関連付けるための情報の管理は、個人情報の分離において重要である。関連付け情報の管理によって、データ管理が連結可能匿名化か連結不可能匿名化かが決まる。このため、例えば、臨床研究分野の倫理指針では、関連付け情報の厳重な管理が要求される。より具体的には、関連付け情報にアクセスできないもしくは破棄されていれば、データベース２に格納されたデータに対応する個人を識別できず、連結不可能匿名化となる。一方、関連付け情報にアクセスできれば、データベース２に格納されたデータに対応する個人を識別でき、連結可能匿名化となる。このため、連結可能匿名化では、関連付け情報の厳重な管理が大きな負担となる。

本実施例では、関連付け情報に検索可能暗号化をしてデータベース１に格納したので、関連付け情報は、データセンタ１０内で復号化できない形式で暗号化されてデータベース１に格納される。このため、関連付け情報は、いわば、データセンタ１０の外部に格納されているといえる。関連付け情報をデータセンタ１０内に持たないので、個人情報を安全に管理することができる。

図４、図５は、本実施形態のデータベースからのデータの取得を示す図である。

データは、データベース１から取得した後、データベース２から取得してもよいし、データベース２から取得した後、データベース１から取得してもよい。図４は、データベース１から先にデータを取得する方法を示し、図５は、データベース２から先にデータを取得する方法を示す。いずれのデータベースから先にデータを取得するかは、端末３で実行されるアプリケーションが選択して、各データベースへのリクエストの送信を制御する。

データベース１から先にデータを取得する場合、図４に示すように、端末３は、リクエストをデータベース１に送信し、検索処理によってデータベース１に格納されたデータを取得する。データベース１から取得するデータには、データベース２に格納されたデータを特定するためのデータＩＤ１０７が含まれる。端末３は、取得したデータＩＤを用いて、リクエストをデータベース２に送信し、検索処理によってデータベース２に格納されたデータを取得する。端末３は、取得したデータＩＤ１０７を用いて、データベース１から取得したデータとデータベース２から取得したデータを結合し、表示画面に表示する。

一方、データベース２から先にデータを取得する場合、図５に示すように、端末３は、リクエストをデータベース２に送信し、検索処理によってデータベース２に格納されたデータを取得する。端末３は、データベース２から取得したデータＩＤ１０７を用いて、リクエストをデータベース１に送信し、検索処理によってデータベース１に格納されたデータを取得する。端末３は、取得したデータＩＤ１０７を用いて、データベース１から取得したデータとデータベース２から取得したデータを結合し、表示画面に表示する。

なお、データベース１から取得したデータを、さらに、データベース２に格納されたデータを用いて絞り込んだり、データベース２から取得したデータを、さらに、データベース１に格納されたデータを用いて絞り込むように、各データベースを用いた絞り込みを複数回繰り返してもよい。

なお、データベース１とデータベース２とを別のデータセンタに配置することによって、データベース１からのデータとデータベース２からのデータとがネットワーク４上で異なる経路を転送されることから、さらにセキュリティやプライバシーを向上することができる。なお、本実施形態のように、データベース１とデータベース２とが一つのデータセンタ１０に配置されても、データセンタ１０内でデータベース１に格納されたデータとデータベース２に格納されたデータとを連結できないので、データベース１とデータベース２とを別のデータセンタに配置する場合と同様のセキュリティとプライバシーを確保することができる。

図６は、本実施形態の複数の端末３によるデータ共有を示す図である。

端末３１は、データベース１にアクセスするためのキーを有しており、データベース１にアクセスして、データベース１に格納されたデータを取得する（６０１）。そして、データベース１から取得したデータを用いてデータベース２にアクセスして（６０２）、データベース２に格納されたデータを取得する（６０３）。その後、端末３１は、データベース１から取得した個人情報とデータベース２から取得した情報とを結合して、データベース２から取得した情報を個人が特定できる形態で表示装置に表示する。

一方、端末３２は、データベース１にアクセスするためのキーを有しておらず、データベース１にアクセスできないため、データベース１に格納されたデータを取得できない（６１１）。しかし、データベース２にアクセスして、データベース２に格納されたデータを取得することができる（６１２）。端末３２は、データベース１から取得した個人情報とデータベース２から取得した情報とを結合できないので、データベース２から取得した情報を個人が特定できない形態（例えば、統計処理可能な形態）で表示装置に表示する。

このように、端末３１は、データベース１にアクセスするためのキーを有しているため、個人情報を含むデータを取得できる。一方、端末３２は、データベース１にアクセスするためのキーを有していないため、個人を特定できないデータのみを取得できる。端末の権限を用途によって変えることによって、個人情報を秘匿することができる。

なお、端末３１、３２のキーは、端末毎に設定しても、端末の使用者（ログインＩＤ）に対応して設定してもよい。

データベース１にアクセスするためのキーは、権限レベルが異なる複数種類のキー、例えば、検索及び復号が可能なアクセスキーと、検索のみが可能なアクセスキーとに分けられてもよい。次に、図７を用いて端末３が検索のみが可能なアクセスキーを有している場合のデータベースへのアクセスについて説明する。

図７は、本発明の実施形態のデータベース１の検索結果を用いた、データベース２に格納されたデータの更新を示す図である。

端末３は、リクエストをデータベース１に送信し、データベース１から検索結果を取得する（７０１）。端末３は、データベース１を検索可能なアクセスキーを有しているので、検索条件に一致するデータがデータベース１に格納されているか否かの情報のみを取得できる（７０２）。検索条件に一致するデータがデータベース１に格納されている場合、データベース１は、データベース２へアクセスするためのキーを端末３に送信する。このデータベース２へアクセスするためのキーは、検索された一又は複数の人を特定可能な情報を含む。

端末３は、データベース１から取得したアクセスキーを用いて、データベース２にアクセして、データベース２に格納された、前記検索で特定された一又は複数の人のデータを取得することができる（７０３）。

端末３は、データベース１を検索可能なアクセスキーのみを有しているので、データベース１に格納されたデータとデータベース２に格納されたデータとを関連付けることなく、すなわち、個人情報を特定しない状態で、検索条件に一致するデータにアクセスすることができる。

より具体的には、自分の個人情報を検索条件としてデータベース１を検索して、検索条件に一致するデータがデータベース１に格納されている場合、データベース２に格納されたパスワード（データベース２にアクセスするためのパスワード）を変更することができる。

図８は、本発明の実施形態のデータベース１に格納した暗号化情報の更新を示す図である。

図８に示す態様では、データベース１へアクセス（例えば、データベース１を検索、データベース１からデータを取得）するごとに、データベース１に格納される暗号化データを更新する。具体的には、データベース１は、アクセスされるごとに、暗号生成の種を変更する（例えば、疑似乱数発生器で新しいハッシュ値を生成する）。図８に示す例では、更新される暗号化データは、データベース１へアクセスするためのＩＤ及びパスワードであるが、データベース１の他の部分を更新したり、データベース１の全部を更新してもよい。

さらに、データベース１に格納される暗号化データだけでなく、データベース１にアクセスするためのキーをデータベース１へアクセスするごとに変更してもよい。そして、データベース１にアクセスするためのキー（例えば、秘密鍵）の変更に伴って、データベース１に格納される暗号化データを更新する。これにより、端末３側でのキーの管理リスクを低減することができる。

このように図８に示す形態では、データベース１へのアクセスごとに、同一の暗号化対象データから異なる暗号化データを生成するので、データベース１の情報が動的に更新される。このため、データベース１に格納されたデータが漏洩しても、漏洩したデータを容易に解析することができず、情報漏洩時のリスクを低減することができる。

図９は、本発明の実施形態のデータベース１に機微情報を格納する形態を示す図である。

前述した態様では、データベース１は、内容を秘匿すべきデータとして、特定の個人を識別できるデータ（氏名、住所など）を格納した。図９に示す態様では、データベース１は、内容を秘匿すべきデータの他に、機微情報を格納する。本形態において機微情報とは、クレジットカード番号や遺伝子情報などの、個人が特定されなくても、その取り扱いに特別の注意が必要な情報であって、漏洩時の影響が大きい情報である。

端末３は、リクエストをデータベース１に送信し、データベース１から検索結果を取得する（７０１）。端末３は、データベース１を検索可能なアクセスキーを有しているので、検索条件に一致するデータがデータベース１に格納されているか否かの情報のみを取得できる（７０２）。検索条件に一致するデータがデータベース１に格納されている場合、データベース１は、データベース１に格納された他の機微情報を端末３に送信する（９０３）。

より具体的には、データベース１で個人情報をキーとして検索し、一致した場合のみ機微情報を暗号化したまま端末３が受け取ることができる。端末３で機微情報を復号化することによって、機微情報を端末３が取得することができる。

例えば、端末３がＥＣサイト（electronic commerce site）を提供するウェブサーバである場合、商品選択段階ではデータベース２へアクセスして買物カートの内容を確定し、決済方法の確定段階においてデータベース１へアクセスして支払い情報（クレジットカード情報）を取得して、端末３からユーザに支払い情報を送信することができる。

このように図９に示す形態では、データセンタ１０は、機微度の高い情報をデータベース１で暗号化して管理することによって、情報管理上のリスクを低減することができる。

以上に説明したように、本実施形態の情報管理システムでは、セキュリティやプライバシーに配慮すべきデータ（例えば、生存する個人に関する情報であって、氏名、生年月日その他の記述等により特定の個人を識別できる情報）と、それ以外のそれだけでは個人を識別できないデータとに分離し、個人を識別できるデータは検索可能暗号化によって保護して保管し、それ以外のデータは平文状態又は通常の暗号化によって、個人を識別できる情報と分離して保管する。このため、データセンタ内では、特定の個人を識別できるデータを復号化できず、それだけでは個人を識別できない情報のみがデータセンタ内で復号化できるため、セキュリティやプライバシー上の課題を解決して、データを共有化し、データを活用することができる。

また、必要最低限の情報のみを検索可能暗号化で保護することによって、検索可能暗号化されるデータ量を減少することができ、処理時間を低減し、コンピュータリソースを削減できる。この処理時間の低減量及びコンピュータリソースの削減量は、検索可能暗号化されるデータ量に依存する。実際には特定の個人を識別できる情報に対し、それだけでは個人を識別できない情報の量は十分に大きく、大幅な低減および削減が期待できる。更に、平文状態又は通常の暗号化によって保管されたデータ（それだけでは個人を識別できない情報）は、少ないコンピュータリソースで複雑な解析や分析を行うことができ、研究分野等で行われている一次匿名化、二次匿名化など、数次匿名化された情報の取り扱いと遜色なく取り扱うことができる。

また、データベース１及び２を一つのデータセンタ１０内に収容する場合、データベース１に格納された個人を識別できるデータと、データベース２に格納された個人を識別できないデータとの結合が容易に行える。しかし、本実施例によると、このような場合にデータを共有化しても、セキュリティやプライバシー上の課題を解決することができる。

なお、データベース１に格納する情報とデータベース２に格納する情報は、秘匿しなければならない度合いや性能への影響などを考慮し、任意に設定することができる。また、データベースは、ハードウェアやソフトウェアとして分離している必要はなく、同一のハードウェアやソフトウェアの中で、スキーマおよびデータ列が分離されている等の形式でもよい。

また、従来のクラウドでは、全てのデータがネットワークの同一経路上を転送されるが、データベース１とデータベース２とを別のデータセンタに配置してデータ転送経路を分離して、転送経路上の暗号化（ＳＳＬやＶＰＮなど）をして、更に検索可能暗号化を適用することによって、多重に暗号化し、且つ情報の経路を分離することができ、他ノードで情報を共有しても、十分なセキュリティ及びプライバシーへの配慮を実現できる。

また、データベース２に格納されたデータを第三者に提供する場合、データベース２に格納されたデータをそのまま提供してもよい。また、更にｋ−匿名化技術などを適用して提供することによって、再識別リスクを考慮し、セキュリティやプライバシーを向上した情報を第三者にスムーズに提供することができる。

なお、本発明は前述した実施例に限定されるものではなく、添付した特許請求の範囲の趣旨内における様々な変形例及び同等の構成が含まれる。例えば、前述した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに本発明は限定されない。また、ある実施例の構成の一部を他の実施例の構成に置き換えてもよい。また、ある実施例の構成に他の実施例の構成を加えてもよい。また、各実施例の構成の一部について、他の構成の追加・削除・置換をしてもよい。

また、前述した各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等により、ハードウェアで実現してもよく、プロセッサがそれぞれの機能を実現するプログラムを解釈し実行することにより、ソフトウェアで実現してもよい。

各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリ、ハードディスク、ＳＳＤ（Solid State Drive）等の記憶装置、又は、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に格納することができる。

また、制御線や情報線は説明上必要と考えられるものを示しており、実装上必要な全ての制御線や情報線を示しているとは限らない。実際には、ほとんど全ての構成が相互に接続されていると考えてよい。

１、２ データベース
３、３１、３２、３ｎ 端末（ＰＣ）
４ ネットワーク
１０ データセンタ

Claims (8)

1. 第１データベースと第２データベースとが一つもしくは複数のデータセンタ内に設けられる情報管理システムであって、
   前記第１データベースは、検索可能暗号化技術を用いてデータを格納しており、格納されたデータを復号するためのキーを格納していないので、前記格納されたデータを前記データセンタ内で復号せずに出力するものであり、
   前記第２データベースは、前記第１データベースに格納されるデータと関連付けられたデータを、検索可能暗号化技術を用いることなく格納し、
   前記情報管理システムは、前記第１データベースに検索対象のデータが格納されている場合、前記第１データベースは、検索対象のデータに関連付けられたデータを前記第２データベースで特定する第１データＩＤを出力し、前記第２データベースは、前記第１データＩＤを用いたアクセスに対して、検索対象のデータに関連するデータを出力することを特徴とする情報管理システム。
2. 請求項１に記載の情報管理システムであって、
   前記第２データベースに検索対象のデータが格納されている場合、前記第２データベースは、検索対象のデータに関連付けられたデータを前記第１データベースで特定する第２データＩＤを出力し、前記第１データベースは、前記第２データＩＤを用いたアクセスに対して、検索対象のデータに関連するデータを出力することを特徴とする情報管理システム。
3. 請求項１又は２に記載の情報管理システムであって、
   前記第１データベースと前記第２データベースとは一つのデータセンタ内に設けられることを特徴とする情報管理システム。
4. 請求項１から３のいずれか一つに記載の情報管理システムであって、
   前記第１データベースに格納されるデータは、個人を特定可能なデータであり、
   前記第２データベースに格納されるデータは、それだけでは個人を特定できないデータであることを特徴とする情報管理システム。
5. 請求項１から４のいずれか一つに記載の情報管理システムであって、
   前記第１データベース及び前記第２データベースにアクセス可能な端末を備え、
   前記端末は、
   前記第１データベースに格納されたデータを検索できるが、取得できないキーを保有し、
   前記第１データベースにリクエストを送信することによって、検索対象のデータが前記第１データベースに格納されているか否かの情報を取得し、
   前記検索対象のデータが格納されている旨の情報を前記第１データベースから取得した場合、前記第２データベースへのアクセスが許可されることを特徴とする情報管理システム。
6. 請求項１から５のいずれか一つに記載の情報管理システムであって、
   前記第１データベースは、前記第１データベースに格納されたデータと前記第２データベースに格納されたデータとを関連付けるための情報を格納することを特徴とする情報管理システム。
7. 請求項１から５のいずれか一つに記載の情報管理システムであって、
   前記第１データベースに格納されたデータと前記第２データベースに格納されたデータとを関連付けるための情報は、前記データセンタ内で復号化できない形式で暗号化されて前記第１データベース又は前記第２データベースに格納されることを特徴とする情報管理システム。
8. 請求項１から７のいずれか一つに記載の情報管理システムであって、
   前記第１データベースへのアクセスのタイミングで、前記第１データベースに格納された暗号化データは、同一の暗号化対象データに復号可能な異なる暗号化データに更新されることを特徴とする情報管理システム。

Images