JP6333198B2 - アクセス制御装置、方法及びプログラム - Google Patents

Description

本発明は、アクセス制御装置、方法及びプログラムに関する。

近年、より有用なサービスを提供するために、ビッグデータを活用する取り組みが活発に行われている。特に、個人に関わるパーソナルデータの活用に際しては、個人のプライバシーに配慮する必要がある。例えば、ＯＥＣＤ（Ｏｒｇａｎｉｓａｔｉｏｎ ｆｏｒ Ｅｃｏｎｏｍｉｃ Ｃｏ−ｏｐｅｒａｔｉｏｎ ａｎｄ Ｄｅｖｅｌｏｐｍｅｎｔ）のガイドラインに従えば、収集されたパーソナルデータの利用目的は被収集者に明らかにされるべきであり、また、パーソナルデータ収集者は、収集したパーソナルデータを非収集者から同意を得ている利用目的以外の目的で利用してはならない。

このようなパーソナルデータに関して、非特許文献１では、Ｗｅｂサービスに対して提供するパーソナルデータを制御する仕組みに関する規格であるＰ３Ｐ（Ｐｌａｔｆｏｒｍ ｆｏｒ Ｐｒｉｖａｃｙ Ｐｒｅｆｅｒｅｎｃｅ）が記載されている。非特許文献２では、Ｐ３Ｐに従って利用者がプリファレンスを設定することで、プリファレンスに違反するサービスを利用しようとした際に警告を発するようなエージェントシステムが提案されている。

また、特許文献１では、パーソナルデータのアクセスポリシーに従ってパーソナルデータの提供の可否を制御するシステムが開示されている。開示されたシステムにおけるアクセスポリシーは、アクセスしようとするリソース、アプリケーション事業者、アクセス用途等の組み合わせに対する条件式として実現され、事前に設定される。

特開２０１４−１７８７２７号公報

Ｗ３Ｃ，"Ｔｈｅ ｐｌａｔｆｏｒｍ ｆｏｒ ｐｒｉｖａｃｙ ｐｒｅｆｅｒｅｎｃｅｓ １．０ （Ｐ３Ｐ１．０） ｓｐｅｃｉｆｉｃａｔｉｏｎ"，２００２． Ｌ．Ｆ．Ｃｒａｎｏｒ，ｅｔ．ａｌ．，"Ｕｓｅ ｏｆ ａ Ｐ３Ｐ ｕｓｅｒ ａｇｅｎｔ ｂｙ ｅａｒｌｙ ａｄｏｐｔｅｒｓ"， Ｉｎ Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ ２００２ ＡＣＭ ｗｏｒｋｓｈｏｐ ｏｎ Ｐｒｉｖａｃｙ ｉｎ ｔｈｅ Ｅｌｅｃｔｒｏｎｉｃ Ｓｏｃｉｅｔｙ， ＷＰＥＳ’０２，ｐｐ．１−１０，２００２．

しかしながら、利用されるパーソナルデータの種類と利用目的は膨大な量になることが想定されるため、これらを一つ一つ設定していくことは現実的ではない。利用者がプリファレンスを適切に設定することは、困難である。

本発明は、パーソナルデータへのアクセスを制御するための設定を、容易に行うアクセス制御装置、方法及びプログラムを提供することを目的とする。

具体的には、以下のような解決手段を提供する。
（１） パーソナルデータへのアクセスを制御するアクセス制御装置であって、前記パーソナルデータの提供先となるサービスのカテゴリごとに、前記パーソナルデータを構成する項目の提供の可否を定めたベースポリシーを設定するベースポリシー設定手段と、前記サービスごとに前記項目の提供の可否を定めた、前記ベースポリシーよりも優先するカスタムポリシーを設定するカスタムポリシー設定手段と、前記項目のいずれかの提供が要求されたことに応じて、前記ベースポリシー又は前記カスタムポリシーの設定に基づいて、前記要求された項目を提供するか否かの判断をする提供判断手段と、を備え、前記カスタムポリシー設定手段は、前記提供判断手段により前記要求された項目を提供しないと判断された際に、当該項目を提供する同意入力を受け付けた場合、前記カスタムポリシーにおいて当該項目を提供すると設定する、アクセス制御装置。

（１）のアクセス制御装置は、パーソナルデータの提供に関するプライバシーポリシーの設定において、サービスのカテゴリごとに共通する設定をベースポリシーの設定として行い、個々のサービスに対する固有の設定を、カスタムポリシーの設定として行う。このカスタムポリシーは、サービスからの要求があっても提供しなかった場合にのみ、提供の同意に基づいて設定される。
したがって、アクセス制御装置は、複数サービスで共通するポリシーを一括でベースポリシーとして設定すると共に、ベースポリシーと異なるサービスごとのカスタムポリシーのみをサービスの利用者から同意を得るだけで設定するので、パーソナルデータへのアクセスを制御するためのポリシーの設定を、容易に行うことを可能とする。

（２） 前記サービスの提供者から、前記要求された項目の情報を含むサービスプロファイルを取得するプロファイル取得手段を備え、前記カスタムポリシー設定手段は、前記提供判断手段により前記要求された項目を提供しないと判断された際に、前記サービスプロファイルを提示して当該項目を提供する同意を求める、（１）に記載のアクセス制御装置。

（２）のアクセス制御装置は、項目を提供する同意をサービスの利用者に求める際に、要求された項目の情報を含むサービスプロファイルを提示するので、同意するか否かの決定をサービスの利用者が容易にできる。

（３） 前記要求には、前記項目を提供する場合の匿名化の要求度合いが含まれ、前記ベースポリシー設定手段及び前記カスタムポリシー設定手段は、前記項目の提供を許可する匿名化の許可度合いを定め、前記提供判断手段は、前記要求度合いと前記許可度合いとの比較結果に基づいて前記項目を提供するか否かを判断する、（１）又は（２）に記載のアクセス制御装置。

（３）のアクセス制御装置は、匿名化の許可度合いを超えた詳細データ要求に対して項目を提供しないようにして、パーソナルデータへのアクセスを匿名化レベルごとにきめ細かく制御できる。

（４） 前記ベースポリシー設定手段は、前記ベースポリシーの設定内容を、前記カテゴリ及び前記項目を軸とした表形式で出力し、前記カテゴリ及び前記項目ごとの設定を受け付ける、（１）から（３）のいずれか一に記載のアクセス制御装置。

（４）のアクセス制御装置は、サービスのカテゴリごとの設定の違いをサービスの利用者が直感的に認識できるように出力するので、サービスの利用者の設定間違いを抑制できる。

（５） 前記カスタムポリシーの設定内容を出力する設定出力手段を備える、（１）から（４）のいずれか一に記載のアクセス制御装置。

（５）のアクセス制御装置は、カスタムポリシーにおける設定を出力するので、サービスの利用者は、カスタムポリシーの設定状況を容易に把握できる。

（６） 前記提供判断手段による判断結果を含む履歴情報を出力する履歴出力手段を備える、（１）から（５）のいずれか一に記載のアクセス制御装置。

（６）のアクセス制御装置は、アクセス制御の履歴を可視化するので、サービスの利用者は、パーソナルデータの提供状況を容易に把握できる。

（７） 前記カスタムポリシーの選択を受け付け、当該選択されたカスタムポリシーを削除する削除手段を備える、（１）から（６）のいずれか一に記載のアクセス制御装置。

（７）のアクセス制御装置は、ベースポリシーに反映されて、又はパーソナルデータの提供を禁止に変更するために、不要となったカスタムポリシーを容易に削除できる。

（８） 前記ベースポリシーに対応する前記カスタムポリシーの量に基づいて、前記ベースポリシーの変更提案を出力する提案出力手段を備える、（１）から（７）のいずれか一に記載のアクセス制御装置。

（８）のアクセス制御装置は、ベースポリシーにカスタムポリシーを反映させるための更新を利用者に促すので、ベースポリシーのみで判断可能なカスタムポリシーを削除して、個々のサービスのカスタムポリシーの設定量を低減できる。

（９） （１）に記載のアクセス制御装置が実行する方法であって、前記ベースポリシー設定手段が、前記パーソナルデータの提供先となるサービスのカテゴリごとに、前記パーソナルデータを構成する項目の提供の可否を定めたベースポリシーを設定するベースポリシー設定ステップと、前記カスタムポリシー設定手段が、前記サービスごとに前記項目の提供の可否を定めた、前記ベースポリシーよりも優先するカスタムポリシーを設定するカスタムポリシー設定ステップと、前記提供判断手段が、前記項目のいずれかの提供が要求されたことに応じて、前記ベースポリシー又は前記カスタムポリシーの設定に基づいて、前記要求された項目を提供するか否かの判断をする提供判断ステップと、を備え、前記カスタムポリシー設定ステップは、前記提供判断ステップにより前記要求された項目を提供しないと判断された際に、当該項目を提供する同意入力を受け付けた場合、前記カスタムポリシーにおいて当該項目を提供すると設定する、方法。

（９）の方法は、（１）と同様に、パーソナルデータへのアクセスを制御するためのポリシーの設定を、容易に行うことを可能とする。

（１０） コンピュータに、（９）に記載の各ステップを実行させるためのプログラム。

（１０）のプログラムは、パーソナルデータへのアクセスを制御するためのポリシーの設定を、容易に行うように、コンピュータに機能させる。

本発明によれば、パーソナルデータへのアクセスを制御するための設定を、容易に行うことができる。

本発明の一実施形態に係るアクセス制御装置の構成を示すブロック図である。 本発明の一実施形態に係るアクセス制御装置のベースポリシーテーブルの設定の画面の例を示す図である。 本発明の一実施形態に係るアクセス制御装置によって設定されるベースポリシーテーブルの例を示す図である。 匿名化の度合いテーブルの例を示す図である。 カテゴリテーブルの例を示す図である。 本発明の一実施形態に係るアクセス制御装置によって設定されるカスタムポリシーテーブルの例を示す図である。 本発明の一実施形態に係るアクセス制御装置の提供判断処理の例を示すフローチャートである。 本発明の一実施形態に係るアクセス制御装置のカスタムポリシーテーブルの設定処理の例を示すフローチャートである。 本発明の一実施形態に係るアクセス制御装置のカスタムポリシーテーブルを設定する画面の例を示す図である。

以下、本発明の実施形態について、図を参照しながら説明する。
図１は、本発明の一実施形態に係るアクセス制御装置１０の構成を示すブロック図である。
アクセス制御装置１０は、ベースポリシー設定手段１１と、カスタムポリシー設定手段１２と、提供判断手段１３と、プロファイル取得手段１４と、設定出力手段１５と、履歴出力手段１６と、削除手段１７と、提案出力手段１８と、記憶部３０と、ベースポリシーテーブル３１と、カスタムポリシーテーブル３２とを備える。アクセス制御装置１０は、サービスの利用者の端末が記憶しているパーソナルデータをサービスに提供する際のゲートウェイとして機能し、サービスの提供者からの要求に対して、利用者のパーソナルデータの提供可否を判断する。

ベースポリシー設定手段１１は、パーソナルデータの提供先となるサービスのカテゴリごとに、パーソナルデータを構成する項目の提供の可否を定めたベースポリシーテーブル３１を設定する。ベースポリシー設定手段は、ベースポリシーの設定内容を、カテゴリ及び項目を軸とした表形式で出力し、カテゴリ及び項目ごとの設定を受け付ける。
サービスのカテゴリには、例えば、ロードサービス、広告配信、公共サービス、走行支援サービス等があってよい。
パーソナルデータを構成する項目は、例えば、年齢、性別、郵便番号、車種、位置情報等があってよい。
パーソナルデータの項目には、提供しない、又は提供する場合の匿名化レベルが設定される。

具体的には、ベースポリシー設定手段１１は、図２に示すように、ベースポリシーを設定する。図２は、本発明の一実施形態に係るアクセス制御装置１０のベースポリシーテーブル３１の設定の画面の例を示す図である。
例えば、ベースポリシー設定手段１１は、ベースポリシーを設定するための、サービスのカテゴリ及び項目を軸とした表形式の画面をタッチパネル３００に表示し、項目の設定を受け付ける。ベースポリシー設定手段１１は、設定ボタン３１１のタッチを受け付けると、設定ボタン３１１の画面上の位置に基づいてサービスのカテゴリと項目とを判断し、対応するベースポリシーテーブル３１の項目の設定をする。
さらに、ベースポリシー設定手段１１は、設定ボタン３１１のタッチごとに、設定の段階を変える。ベースポリシー設定手段１１は、利用者が誤りなく設定できるように、設定の段階を「提供しない」、匿名化のレベル１、匿名化のレベル２、及び匿名化のレベル３の４段階等に限る設定としてもよい。
さらに、ベースポリシー設定手段１１は、ベースポリシーテーブル３１の設定内容を、項目に対応する設定ボタン３１１の色に反映させ、設定の段階ごとに色分けしてもよい。色分けは、例えば、「提供しない」を黒色３２４、レベル１を赤色３２１、レベル２を黄色３２２、レベル３を緑色３２３として、項目の匿名化の許可度合いに応じて注意を促すような色表示としてもよい。

ベースポリシー設定手段１１は、サービスのカテゴリごとに、項目の設定を対応付けたベースポリシーテーブル３１を、図３のように記憶部３０（例えば、メモリや補助記憶装置等）に記憶させる。図３は、本発明の一実施形態に係るアクセス制御装置１０によって設定されるベースポリシーテーブル３１の例を示す図である。
図３が示すように、ベースポリシーテーブル３１は、サービスのカテゴリごとに、パーソナルデータの項目の設定を対応付けて記憶する。項目に設定されたレベルは、どこまで匿名化すれば提供を許可するかを示す許可度合いを表し、匿名化の度合いテーブル（図４参照）の定義に対応する。図４は、匿名化の度合いテーブルの例を示す図である。
図４が示すように、匿名化の度合いテーブルは、パーソナルデータの項目ごとに匿名化のレベル（例えば、一般化のレベル）の定義を対応付けて記憶する。
匿名化のレベルにおいて、「ＡＬＬ」は加工されない（すなわち、一般化されない）ことを表す。

ベースポリシー設定手段１１は、個々のサービスとサービスのカテゴリとを対応付けるカテゴリテーブルも、図５のように記憶部３０に記憶させるとしてよい。図５は、カテゴリテーブルの例を示す図である。
図５が示すように、カテゴリテーブルは、サービスのカテゴリごとに、カテゴリに含まれるサービスを対応付けて記憶する。カテゴリテーブルに登録されていないサービスのカテゴリは、カテゴリが「その他」とされてもよい。

カスタムポリシー設定手段１２は、サービスごとに項目の提供の可否を定めたカスタムポリシーテーブル３２を設定する。カスタムポリシーは、ベースポリシーよりも優先する。
具体的には、カスタムポリシー設定手段１２は、提供判断手段１３の判断結果及び後述の利用者の同意入力（図９参照）に応じて、個々のサービスごとに、項目の設定を対応付けたカスタムポリシーテーブル３２を、ベースポリシーテーブル３１と同様に、図６のように記憶部３０に記憶させる。図６は、本発明の一実施形態に係るアクセス制御装置１０によって設定されるカスタムポリシーテーブル３２の例を示す図である。
図６が示すように、カスタムポリシーテーブル３２は、サービスごとに、パーソナルデータの項目の設定と登録日時（設定したときの時刻情報）とを対応付けて記憶する。ベースポリシーテーブル３１と同様に、項目に設定されたレベルは、匿名化の許可度合いを表し、匿名化の度合いテーブルの定義に対応する。
アクセス制御装置１０（提供判断手段１３）は、同一サービスに対する複数のカスタムポリシーが存在する場合、登録日時が最新のポリシーを用いる。過去のカスタムポリシーを記憶しているようなカスタムポリシーテーブル３２により、アクセス制御装置１０は、利用者に、カスタムポリシーの設定状況を詳細に知らせることができる。なお、カスタムポリシーテーブル３２は、最新のカスタムポリシーを上書きして記憶するとしてもよい。アクセス制御装置１０は、記憶領域の使用を少なくすることができる。

提供判断手段１３は、項目のいずれかの提供が要求されたことに応じて、ベースポリシーテーブル３１又はカスタムポリシーテーブル３２の設定に基づいて、要求された項目を提供するか否かの判断をする。
具体的には、提供判断手段１３は、サービスの提供者から提供の要求を受信すると、受信した要求のサービスがカスタムポリシーテーブル３２に登録されているか否かを判断し、登録されている場合、カスタムポリシーテーブル３２に登録されている項目の設定に基づいて要求された項目を提供するか否かの判断をする。
カスタムポリシーテーブル３２に登録されていない場合、提供判断手段１３は、受信した要求のサービスからカテゴリテーブルに基づいてサービスのカテゴリを取得し、取得したサービスのカテゴリに対応付けられたベースポリシーテーブル３１の項目の設定に基づいて、要求された項目を提供するか否かの判断をする。
提供判断手段１３は、サービスのカテゴリを、サービスプロファイルに基づいて、取得してもよい。

パーソナルデータの提供の要求には、項目を提供する場合の匿名化の要求度合いが含まれる。提供判断手段１３は、要求度合いと許可度合いとの比較結果に基づいて項目を提供するか否か及び匿名化レベルを判断する。
匿名化レベルは、要求された項目を提供する際に、項目のデータを匿名化するレベルをいう。要求度合いは、提供を要求する項目の匿名化レベルをいい、許可度合いは、提供する項目について許可する匿名化レベル（すなわち、許可する一般化のレベル）をいう。
具体的には、許可度合いが「匿名化レベル２」の場合、要求度合いが匿名化レベル２以上（例えば、匿名化レベル２や３）の場合に項目の提供が可能とされ、要求度合いが匿名化レベル２未満（例えば、匿名化レベル１）の場合に項目の提供が不可とされる。
提供判断手段１３は、サービスの提供者が要求する項目の要求度合いと、カスタムポリシーテーブル３２又はベースポリシーテーブル３１に設定されている許可度合いとの比較結果に基づいて、例えば、要求度合いの匿名化レベルが許可度合いの匿名化レベルよりも大きい場合に、提供すると判断する。

カスタムポリシー設定手段１２は、要求された項目を提供しないと提供判断手段１３により判断された際に、利用者から当該項目を提供する同意入力を受け付けた場合、カスタムポリシーテーブル３２において当該項目を提供すると設定する。
具体的には、パーソナルデータを要求するサービスがカスタムポリシーテーブル３２に登録されている場合にこのカスタムポリシーに基づいて項目を提供しないと判断された際、又はカスタムポリシーテーブル３２に登録されていない場合にベースポリシーテーブル３１に基づいて提供しないと判断された際のいずれかの際に、カスタムポリシー設定手段１２は、当該サービスについてのカスタムポリシーを設定する。設定のために、カスタムポリシー設定手段１２は、当該項目を提供するための同意入力を利用者から受け付け、同意に基づいて、当該項目を提供するカスタムポリシーを設定する。

プロファイル取得手段１４は、サービスの提供者から、要求された項目の情報を含むサービスプロファイルを取得する。
具体的には、プロファイル取得手段１４は、提供判断手段１３により項目を提供しないと判断された際、サービスの提供者から、要求された項目の情報を含むサービスプロファイルを取得して、保存する。プロファイル取得手段１４は、保存する項目の情報に、提供者が要求した匿名化の要求度合いを含めて、保存する。
カスタムポリシー設定手段１２は、サービスプロファイルを提示して当該項目を提供する同意を利用者に求める。
利用者の操作入力が可能となった場合（例えば、車両の運転を終えて駐車場に停止した場合等）に、カスタムポリシー設定手段１２は、パーソナルデータの提供を拒否したサービスについて保存されていたサービスプロファイルを表示して利用者に要求項目を提供する同意を求め、同意が得られた場合に要求項目の提供を許可するようにカスタムポリシーテーブル３２を設定する。カスタムポリシー設定手段１２は、要求されたレベルでカスタムポリシーを設定する。

設定出力手段１５は、カスタムポリシーテーブル３２の設定内容を、出力する。
アクセス制御装置１０（カスタムポリシー設定手段１２又は削除手段１７）は、出力されたカスタムポリシーのリストから選択を受け付けて、変更登録又は削除を行ってもよい。

履歴出力手段１６は、提供判断手段１３による判断結果を含む履歴情報を出力する。
具体的には、履歴出力手段１６は、項目を要求したサービスと、要求した項目及び匿名化の要求度合いと、項目を提供したか否かの情報とを含む履歴情報を出力する。

削除手段１７は、カスタムポリシーテーブル３２に登録されているサービスの選択を受け付け、当該選択されたサービスのカスタムポリシーを削除する。
具体的には、削除手段１７は、カスタムポリシーテーブル３２を表示し、利用者からの選択を受け付け、選択されたサービスの登録をカスタムポリシーテーブル３２から削除する。

提案出力手段１８は、ベースポリシーテーブル３１に対応するカスタムポリシーテーブル３２の量に基づいて、ベースポリシーテーブル３１の変更提案を出力する。
具体的には、提案出力手段１８は、カスタムポリシーテーブル３２に登録されている同一カテゴリのサービスの件数が所定の件数以上であることを検出した場合や、カスタムポリシーテーブル３２に登録されている複数のサービスが互いに同じカテゴリに含まれ、同じ項目の設定が同一であることを検出した場合等に、サービスの件数や、設定内容、サービスに対応するカテゴリを表示してベースポリシーテーブル３１の変更提案をする。

図７は、本発明の一実施形態に係るアクセス制御装置１０の提供判断処理の例を示すフローチャートである。アクセス制御装置１０は、コンピュータ及びその周辺装置が備えるハードウェア並びに該ハードウェアを制御するソフトウェアによって構成され、以下の処理は、制御部（例えば、ＣＰＵ）が、ＯＳの下で所定のソフトウェアに従い実行する処理である。

ステップＳ１０１において、ＣＰＵ（提供判断手段１３）は、サービスの提供者から項目の要求を受信する。

ステップＳ１０２において、ＣＰＵ（提供判断手段１３）は、当該サービスのカスタムポリシーがあるか否かを判断する。具体的には、ＣＰＵは、当該サービスに対する項目の設定がカスタムポリシーテーブル３２に登録されているか否かを判断する。この判断がＹＥＳの場合、ＣＰＵは、処理をステップＳ１０４に移し、この判断がＮＯの場合、ＣＰＵは、処理をステップＳ１０３に移す。

ステップＳ１０３において、ＣＰＵ（提供判断手段１３）は、当該サービスのカテゴリに基づいてベースポリシーテーブル３１の設定を取得する。その後、ＣＰＵは、処理をステップＳ１０５に移す。

ステップＳ１０４において、ＣＰＵ（提供判断手段１３）は、当該サービスのカスタムポリシーテーブル３２の設定を取得する。

ステップＳ１０５において、ＣＰＵ（提供判断手段１３）は、匿名化の要求度合いが許可度合いの範囲内か否かを判断する。この判断がＹＥＳの場合、ＣＰＵは、処理をステップＳ１０８に移し、この判断がＮＯの場合、ＣＰＵは、処理をステップＳ１０６に移す。

ステップＳ１０６において、ＣＰＵ（提供判断手段１３）は、サービスの提供者からサービスプロファイルを取得する。

ステップＳ１０７において、ＣＰＵ（プロファイル取得手段１４）は、取得したサービスプロファイルと、要求された項目及び匿名化の要求度合いとを記憶させる。

ステップＳ１０８において、ＣＰＵは、当該サービスと、要求した項目及び匿名化の要求度合いと、項目を提供したか否かの情報とを含む履歴情報を作成し、記憶させる。その後、ＣＰＵは、処理を終了する。

図８は、本発明の一実施形態に係るアクセス制御装置１０のカスタムポリシーテーブル３２の設定処理の例を示すフローチャートである。

ステップＳ２０１において、ＣＰＵ（カスタムポリシー設定手段１２）は、保存されたプロファイルと要求された項目及び匿名化の要求度合いとを表示して、同意を求める。

ステップＳ２０２において、ＣＰＵ（カスタムポリシー設定手段１２）は、同意を受け付けたか否かを判断する。具体的には、ＣＰＵは、同意を求めた表示に対して、同意を示す操作がされたか否か（例えば、図９の「ＹＥＳ」がタッチされたか否か）を判断する。この判断がＹＥＳの場合、ＣＰＵは、処理をステップＳ２０３に移し、この判断がＮＯの場合、ＣＰＵは、処理をステップＳ２０４に移す。

ステップＳ２０３において、ＣＰＵ（カスタムポリシー設定手段１２）は、カスタムポリシーテーブル３２を設定する。その後、ＣＰＵは、処理を終了する。

ステップＳ２０４において、ＣＰＵ（カスタムポリシー設定手段１２）は、カスタムポリシーテーブル３２から当該サービスを削除する。その後、ＣＰＵは、処理を終了する。

図９は、本発明の一実施形態に係るアクセス制御装置１０のカスタムポリシーテーブル３２を設定する画面の例を示す図である。
アクセス制御装置１０は、記憶させたサービスプロファイルから、プロフィールとして、サービス名や業種等を表示し、記憶させた項目及び匿名化の要求度合いを表示する。
アクセス制御装置１０は、項目をアイコンでわかりやすく、例えば、位置情報を「位置情報のアイコン」や、車種情報を「車種のアイコン」等で表示するとしてよい。
図９が示すように、アクセス制御装置１０は、サービスの利用者に同意を求め、「ＹＥＳ」が選択されると、例えば、サービス名ｙｙｙｙｙｙと、「位置情報」の匿名化の要求度合い「レベル２」及び「車種」の匿名化の要求度合い「レベル１」とを対応付けてカスタムポリシーテーブル３２に登録する。
アクセス制御装置１０は、「ＮＯ」が選択されると、当該サービスをカスタムポリシーテーブル３２から削除する。なお、アクセス制御装置１０は、「ＮＯ」が選択されると、同意を求めた項目に対しての設定のみ、「提供しない」設定にするとしてもよい。

本実施形態によれば、アクセス制御装置１０は、パーソナルデータの提供に関するプライバシーポリシーの設定において、サービスのカテゴリごとに共通する設定をベースポリシーテーブル３１の設定として行い、個々のサービスに対する固有の設定を、カスタムポリシーテーブル３２の設定として行う。このカスタムポリシーテーブル３２は、サービスからの要求があっても提供しなかった場合にのみ、提供の同意に基づいて設定される。したがって、アクセス制御装置１０は、複数サービスで共通するポリシーを一括でベースポリシーとして設定すると共に、ベースポリシーと異なるサービスごとのカスタムポリシーのみをサービスの利用者から同意を得るだけで設定するので、パーソナルデータへのアクセスを制御するためのポリシーの設定を、容易に行うことを可能とする。
さらに、アクセス制御装置１０は、項目を提供する同意をサービスの利用者に求める際に、要求された項目の情報を含むサービスプロファイルを提示するので、同意するか否かの決定をサービスの利用者が容易にできる。
さらに、アクセス制御装置１０は、匿名化の許可度合いを超えた詳細データ要求に対して項目を提供しないようにして、パーソナルデータへのアクセスを匿名化レベルごとにきめ細かく制御できる。
さらに、アクセス制御装置１０は、サービスのカテゴリごとの設定の違いをサービスの利用者が直感的に認識できるように出力するので、サービスの利用者の設定間違いを抑制できる。
さらに、アクセス制御装置１０は、カスタムポリシーにおける設定を出力するので、サービスの利用者は、カスタムポリシーの設定状況を容易に把握できる。
さらに、アクセス制御装置１０は、アクセス制御の履歴を可視化するので、サービスの利用者は、パーソナルデータの提供状況を容易に把握できる。
さらに、アクセス制御装置１０は、ベースポリシーに反映されて、又はパーソナルデータの提供を禁止に変更するために、不要となったカスタムポリシーを容易に削除できる。
さらに、アクセス制御装置１０は、ベースポリシーにカスタムポリシーを反映させるための更新を利用者に促すので、ベースポリシーのみで判断可能なカスタムポリシーを削除して、個々のサービスのカスタムポリシーの設定量を低減できる。

以上、本発明の実施形態について説明したが、本発明は上述した実施形態に限るものではない。また、本発明の実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、本発明の実施形態に記載されたものに限定されるものではない。

アクセス制御装置１０による一連の処理は、ソフトウェアにより行うこともできる。一連の処理をソフトウェアによって行う場合には、そのソフトウェアを構成するプログラムが、汎用のコンピュータ等にインストールされる。また、当該プログラムは、コンピュータ読み取り可能な記録媒体（例えば、ＣＤ−ＲＯＭのようなリムーバブルメディア等）に記録されてユーザに配布されてもよいし、ネットワークを介してユーザのコンピュータにダウンロードされることにより配布されてもよい。

１０ アクセス制御装置
１１ ベースポリシー設定手段
１２ カスタムポリシー設定手段
１３ 提供判断手段
１４ プロファイル取得手段
１５ 設定出力手段
１６ 履歴出力手段
１７ 削除手段
１８ 提案出力手段
３０ 記憶部
３１ ベースポリシーテーブル
３２ カスタムポリシーテーブル
３３ 履歴テーブル

Claims (10)

1. パーソナルデータへのアクセスを制御するアクセス制御装置であって、
   前記パーソナルデータの提供先となるサービスのカテゴリごとに、前記パーソナルデータを構成する項目の提供の可否を定めたベースポリシーを設定するベースポリシー設定手段と、
   前記サービスごとに前記項目の提供の可否を定めた、前記ベースポリシーよりも優先するカスタムポリシーを設定するカスタムポリシー設定手段と、
   前記項目のいずれかの提供が要求されたことに応じて、前記ベースポリシー又は前記カスタムポリシーの設定に基づいて、前記要求された項目を提供するか否かの判断をする提供判断手段と、を備え、
   前記カスタムポリシー設定手段は、前記提供判断手段により前記要求された項目を提供しないと判断された際に、当該項目を提供する同意入力を受け付けた場合、前記カスタムポリシーにおいて当該項目を提供すると設定する、
   アクセス制御装置。
2. 前記サービスの提供者から、前記要求された項目の情報を含むサービスプロファイルを取得するプロファイル取得手段を備え、
   前記カスタムポリシー設定手段は、前記提供判断手段により前記要求された項目を提供しないと判断された際に、前記サービスプロファイルを提示して当該項目を提供する同意を求める、請求項１に記載のアクセス制御装置。
3. 前記要求には、前記項目を提供する場合の匿名化の要求度合いが含まれ、
   前記ベースポリシー設定手段及び前記カスタムポリシー設定手段は、前記項目の提供を許可する匿名化の許可度合いを定め、
   前記提供判断手段は、前記要求度合いと前記許可度合いとの比較結果に基づいて前記項目を提供するか否かを判断する、請求項１又は２に記載のアクセス制御装置。
4. 前記ベースポリシー設定手段は、前記ベースポリシーの設定内容を、前記カテゴリ及び前記項目を軸とした表形式で出力し、前記カテゴリ及び前記項目ごとの設定を受け付ける、請求項１から３のいずれか一項に記載のアクセス制御装置。
5. 前記カスタムポリシーの設定内容を出力する設定出力手段を備える、請求項１から４のいずれか一項に記載のアクセス制御装置。
6. 前記提供判断手段による判断結果を含む履歴情報を出力する履歴出力手段を備える、請求項１から５のいずれか一項に記載のアクセス制御装置。
7. 前記カスタムポリシーの選択を受け付け、当該選択されたカスタムポリシーを削除する削除手段を備える、請求項１から６のいずれか一項に記載のアクセス制御装置。
8. 前記ベースポリシーに対応する前記カスタムポリシーの量に基づいて、前記ベースポリシーの変更提案を出力する提案出力手段を備える、請求項１から７のいずれか一項に記載のアクセス制御装置。
9. 請求項１に記載のアクセス制御装置が実行する方法であって、
   前記ベースポリシー設定手段が、前記パーソナルデータの提供先となるサービスのカテゴリごとに、前記パーソナルデータを構成する項目の提供の可否を定めたベースポリシーを設定するベースポリシー設定ステップと、
   前記カスタムポリシー設定手段が、前記サービスごとに前記項目の提供の可否を定めた、前記ベースポリシーよりも優先するカスタムポリシーを設定するカスタムポリシー設定ステップと、
   前記提供判断手段が、前記項目のいずれかの提供が要求されたことに応じて、前記ベースポリシー又は前記カスタムポリシーの設定に基づいて、前記要求された項目を提供するか否かの判断をする提供判断ステップと、を備え、
   前記カスタムポリシー設定ステップは、前記提供判断ステップにより前記要求された項目を提供しないと判断された際に、当該項目を提供する同意入力を受け付けた場合、前記カスタムポリシーにおいて当該項目を提供すると設定する、
   方法。
10. コンピュータに、請求項９に記載の各ステップを実行させるためのプログラム。
    

Images