JP6719413B2 - セキュリティゲートウェイ装置、方法、及びプログラム - Google Patents
セキュリティゲートウェイ装置、方法、及びプログラム Download PDFInfo
- Publication number
- JP6719413B2 JP6719413B2 JP2017063686A JP2017063686A JP6719413B2 JP 6719413 B2 JP6719413 B2 JP 6719413B2 JP 2017063686 A JP2017063686 A JP 2017063686A JP 2017063686 A JP2017063686 A JP 2017063686A JP 6719413 B2 JP6719413 B2 JP 6719413B2
- Authority
- JP
- Japan
- Prior art keywords
- data
- privacy
- application
- control unit
- gateway device
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Images
Description
本発明の実施形態は、セキュリティゲートウェイ装置、方法、及びプログラムに関する。
ＩｏＴ（Ｉｎｔｅｒｎｅｔ ｏｆ Ｔｈｉｎｇｓ）デバイスから集積されるデータには、個人のプライバシに関わる機微なデータが含まれる場合がある。このため、ＩｏＴデバイスから集積されるデータを利活用する場合には、セキュリティ及びプライバシの両観点からアーキテクチャを設計することが求められる。また、ＩｏＴデバイスの故障等により、不正なデータが送出されるケースがあるため、データの品質保証も重要となる。
ＩｏＴデバイスから集積されるデータに関して、データを利活用するユースケース毎に、セキュリティ及びプライバシに関して抽出される要件と、欧州のプライバシ関連の法律やガイドラインに記載されている事項に基づいて抽出されるプラットフォーム上に実装すべき機能とが知られている（例えば、非特許文献１参照）。
ＥＵ ＦＰ７ ｐｒｏｊｅｃｔ ｉＣｏｒｅ， Ｄｅｌｉｖｅｒａｂｌｅ Ｄ２．２ Ｓｅｃｕｒｉｔｙ．［平成２９年 ３月 １日検索］、インターネット＜ｈｔｔｐ：／／ｗｗｗ．ｉｏｔ−ｉｃｏｒｅ．ｅｕ／ａｔｔａｃｈｍｅｎｔｓ／ａｒｔｉｃｌｅ／８９／２０１２０６０７＿ｉＣｏｒｅ％２０Ｄ２．２％２０ＦＩＮＡＬ．ｐｄｆ＞
前述した非特許文献１には、プラットフォーム上に実装すべき機能の技術的な解決方法や、データの品質保証については記載されていない。
本発明は、上記課題を解決すべくなされたもので、ＩｏＴデバイスから収集されるデータを、セキュリティ及びプライバシに配慮して利活用することを目的とする。
本発明は、上記課題を解決すべくなされたもので、ＩｏＴデバイスから収集されるデータを、セキュリティ及びプライバシに配慮して利活用することを目的とする。
（１）本発明の一態様は、グローバルクラウドとローカルクラウドとの接点に設置されるセキュリティゲートウェイ装置であって、アプリケーションサーバに記憶されたアプリケーションによって、前記グローバルクラウドを経由して、前記ローカルクラウドに記憶されているＩｏＴデバイスから収集されるデータへのアクセス要求があった場合に、前記アプリケーションサーバが設置された国の法律またはガイドラインに応じて、前記アクセス要求の正当性を検証するアクセス制御部と、前記正当性の検証の結果が成功であった場合に、前記データの所有者のプライバシポリシーに基づいて、前記データを取得するプライバシ制御部と、前記プライバシ制御部が取得した前記データの品質を検証する検証部と、前記データの品質の検証結果と前記データとを、前記アプリケーションへ送信する送信部とを備え、前記プライバシポリシーは、アプリケーションの種別に対応付けて、データの種別ごとにデータの所有者がデータの提供を認可するか否かを規定する、セキュリティゲートウェイ装置である。
（２）本発明の一態様は、上記（１）に記載のセキュリティゲートウェイ装置において、前記プライバシ制御部は、前記プライバシポリシーに基づいて、データの前記所有者のプライバシに関わらないデータを取得する。
（３）本発明の一態様は、上記（１）又は上記（２）に記載のセキュリティゲートウェイ装置において、前記検証部は、前記データが偽造されたものであるか否かを検証する。
（４）本発明の一態様は、上記（１）から上記（３）のいずれか一項に記載のセキュリティゲートウェイ装置において、前記検証部は、前記データが異常値であるか否かを検証する。
（５）本発明の一態様は、上記（１）から上記（４）のいずれか一項に記載のセキュリティゲートウェイ装置において、前記検証部は、前記データの取得元が不正であるか否かを検証する。
（６）本発明の一態様は、上記（１）から上記（５）のいずれか一項に記載のセキュリティゲートウェイ装置において、前記送信部は、前記データの品質の検証結果と前記データとに基づいて生成した電子署名とを、前記データに付して送信する。
（７）本発明の一態様は、グローバルクラウドとローカルクラウドとの接点に設置されるセキュリティゲートウェイ装置が実行する方法であって、アプリケーションサーバに記憶されたアプリケーションによって、前記グローバルクラウドを経由して、前記ローカルクラウドに記憶されているＩｏＴデバイスから収集されるデータへのアクセス要求があった場合に、前記アプリケーションサーバが設置された国の法律にまたはガイドライン応じて、前記アクセス要求の正当性を検証するステップと、前記正当性の検証の結果が成功であった場合に、前記データの所有者のプライバシポリシーに基づいて、前記データを取得するステップと、取得した前記データの品質を検証するステップと、前記データの品質の検証結果と前記データとを、前記アプリケーションへ送信するステップとを有し、前記プライバシポリシーは、アプリケーションの種別に対応付けて、データの種別ごとにデータの所有者がデータの提供を認可するか否かを規定する、方法である。
（８）本発明の一態様は、ローバルクラウドとローカルクラウドとの接点に設置されるセキュリティゲートウェイ装置のコンピュータに、アプリケーションサーバに記憶されたアプリケーションによって、前記グローバルクラウドを経由して、前記ローカルクラウドに記憶されているＩｏＴデバイスから収集されるデータへのアクセス要求があった場合に、前記アプリケーションサーバが設置された国の法律またはガイドラインに応じて、前記アクセス要求の正当性を検証するステップと、前記正当性の検証の結果が成功であった場合に、前記データの所有者のプライバシポリシーに基づいて、前記データを取得するステップと、取得した前記データの品質を検証するステップと、前記データの品質の検証結果と前記データとを、前記アプリケーションへ送信するステップとを実行させ、前記プライバシポリシーは、アプリケーションの種別に対応付けて、データの種別ごとにデータの所有者がデータの提供を認可するか否かを規定する、プログラムである。
（２）本発明の一態様は、上記（１）に記載のセキュリティゲートウェイ装置において、前記プライバシ制御部は、前記プライバシポリシーに基づいて、データの前記所有者のプライバシに関わらないデータを取得する。
（３）本発明の一態様は、上記（１）又は上記（２）に記載のセキュリティゲートウェイ装置において、前記検証部は、前記データが偽造されたものであるか否かを検証する。
（４）本発明の一態様は、上記（１）から上記（３）のいずれか一項に記載のセキュリティゲートウェイ装置において、前記検証部は、前記データが異常値であるか否かを検証する。
（５）本発明の一態様は、上記（１）から上記（４）のいずれか一項に記載のセキュリティゲートウェイ装置において、前記検証部は、前記データの取得元が不正であるか否かを検証する。
（６）本発明の一態様は、上記（１）から上記（５）のいずれか一項に記載のセキュリティゲートウェイ装置において、前記送信部は、前記データの品質の検証結果と前記データとに基づいて生成した電子署名とを、前記データに付して送信する。
（７）本発明の一態様は、グローバルクラウドとローカルクラウドとの接点に設置されるセキュリティゲートウェイ装置が実行する方法であって、アプリケーションサーバに記憶されたアプリケーションによって、前記グローバルクラウドを経由して、前記ローカルクラウドに記憶されているＩｏＴデバイスから収集されるデータへのアクセス要求があった場合に、前記アプリケーションサーバが設置された国の法律にまたはガイドライン応じて、前記アクセス要求の正当性を検証するステップと、前記正当性の検証の結果が成功であった場合に、前記データの所有者のプライバシポリシーに基づいて、前記データを取得するステップと、取得した前記データの品質を検証するステップと、前記データの品質の検証結果と前記データとを、前記アプリケーションへ送信するステップとを有し、前記プライバシポリシーは、アプリケーションの種別に対応付けて、データの種別ごとにデータの所有者がデータの提供を認可するか否かを規定する、方法である。
（８）本発明の一態様は、ローバルクラウドとローカルクラウドとの接点に設置されるセキュリティゲートウェイ装置のコンピュータに、アプリケーションサーバに記憶されたアプリケーションによって、前記グローバルクラウドを経由して、前記ローカルクラウドに記憶されているＩｏＴデバイスから収集されるデータへのアクセス要求があった場合に、前記アプリケーションサーバが設置された国の法律またはガイドラインに応じて、前記アクセス要求の正当性を検証するステップと、前記正当性の検証の結果が成功であった場合に、前記データの所有者のプライバシポリシーに基づいて、前記データを取得するステップと、取得した前記データの品質を検証するステップと、前記データの品質の検証結果と前記データとを、前記アプリケーションへ送信するステップとを実行させ、前記プライバシポリシーは、アプリケーションの種別に対応付けて、データの種別ごとにデータの所有者がデータの提供を認可するか否かを規定する、プログラムである。
本発明の実施形態によれば、ＩｏＴデバイスから収集されるデータを、セキュリティ及びプライバシに配慮して利活用することができる。
（実施形態）
（クラウド環境）
実施形態に係るセキュリティゲートウェイ装置が使用されるクラウド環境の一例について説明する。
セキュリティゲートウェイ装置が使用されるクラウド環境の一例は、ＫａａＳ（Ｋｎｏｗｌｅｄｇｅ−ａｓ−ａ−Ｓｅｒｖｉｃｅ）と呼ばれる効率的な知識共有や、活用を実現するプラットフォームを発展させて、複数のローカルクラウドを有機的に結合したグローバルクラウドである。ここで、ローカルクラウドは、ある地域に構築されたローカルシステムである。換言すれば、ローカルクラウドは、ＩｏＴデバイスから送られたデータが蓄積される一次データベースである。また、グローバルクラウドは、アプリケーションが動作する実行環境である。換言すれば、グローバルクラウドは、アプリケーションが動作するクラウドサービスである。
実施形態に係るセキュリティゲートウェイ装置は、グローバルクラウド上において、ＩｏＴデバイスから収集されるデータをセキュリティ及びプライバシに配慮して利活用するために、グローバルクラウドとローカルクラウドとの接点に設置される。
（クラウド環境）
実施形態に係るセキュリティゲートウェイ装置が使用されるクラウド環境の一例について説明する。
セキュリティゲートウェイ装置が使用されるクラウド環境の一例は、ＫａａＳ（Ｋｎｏｗｌｅｄｇｅ−ａｓ−ａ−Ｓｅｒｖｉｃｅ）と呼ばれる効率的な知識共有や、活用を実現するプラットフォームを発展させて、複数のローカルクラウドを有機的に結合したグローバルクラウドである。ここで、ローカルクラウドは、ある地域に構築されたローカルシステムである。換言すれば、ローカルクラウドは、ＩｏＴデバイスから送られたデータが蓄積される一次データベースである。また、グローバルクラウドは、アプリケーションが動作する実行環境である。換言すれば、グローバルクラウドは、アプリケーションが動作するクラウドサービスである。
実施形態に係るセキュリティゲートウェイ装置は、グローバルクラウド上において、ＩｏＴデバイスから収集されるデータをセキュリティ及びプライバシに配慮して利活用するために、グローバルクラウドとローカルクラウドとの接点に設置される。
アプリケーションサーバに記憶されたアプリケーションからグローバルクラウドを経由して、ローカルクラウド上のデータに対してアクセス要求があった場合の処理について説明する。アプリケーションは、クロスボーダでローカルクラウドにアクセスする場合がある。つまり、アプリケーションは、国境を越えてローカルクラウドにアクセスする場合がある。
セキュリティゲートウェイ装置は、セキュリティの観点から、ローカルクラウド上のデータの管理者の定める条件に応じて、ローカルクラウド上のデータに対して、アクセス制御を実施する。データの管理者は、ローカルクラウド毎に複数存在することが想定される。データの管理者は、データの提供先の国に応じて、アクセス制御に関して、異なる条件を設定することが想定される。
セキュリティゲートウェイ装置は、アプリケーションサーバが設置された国の法律やガイドラインに応じて、アクセス制御を実施する。ローカルクラウド上のデータの所有者は、プライバシの観点から、アプリケーションの種別に応じてデータを提供するか否かを自身の意思で選択できる。セキュリティゲートウェイ装置は、データの所有者毎の認可状況に応じて、データを提供する。セキュリティゲートウェイ装置は、提供するデータの品質を検証する。セキュリティゲートウェイ装置は、データの品質を検証した結果を第三者が確認できるように、データの品質を検証した結果に基づいて電子署名作成する。セキュリティゲートウェイ装置は、作成した電子署名をデータに付与して送出する。以下、セキュリティゲートウェイ装置の詳細について説明を続ける。
セキュリティゲートウェイ装置は、セキュリティの観点から、ローカルクラウド上のデータの管理者の定める条件に応じて、ローカルクラウド上のデータに対して、アクセス制御を実施する。データの管理者は、ローカルクラウド毎に複数存在することが想定される。データの管理者は、データの提供先の国に応じて、アクセス制御に関して、異なる条件を設定することが想定される。
セキュリティゲートウェイ装置は、アプリケーションサーバが設置された国の法律やガイドラインに応じて、アクセス制御を実施する。ローカルクラウド上のデータの所有者は、プライバシの観点から、アプリケーションの種別に応じてデータを提供するか否かを自身の意思で選択できる。セキュリティゲートウェイ装置は、データの所有者毎の認可状況に応じて、データを提供する。セキュリティゲートウェイ装置は、提供するデータの品質を検証する。セキュリティゲートウェイ装置は、データの品質を検証した結果を第三者が確認できるように、データの品質を検証した結果に基づいて電子署名作成する。セキュリティゲートウェイ装置は、作成した電子署名をデータに付与して送出する。以下、セキュリティゲートウェイ装置の詳細について説明を続ける。
＜セキュリティゲートウェイ装置＞
図１は、実施形態に係るセキュリティゲートウェイ装置の一例を示す図である。
実施形態に係るセキュリティゲートウェイ装置１００は、前述したように、グローバルクラウドとローカルクラウドとの接点に設置される。
セキュリティゲートウェイ装置１００は、バスで接続されたＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）やメモリや補助記憶装置等を備え、セキュリティゲートウェイ装置プログラムを実行する。セキュリティゲートウェイ装置１００は、セキュリティゲートウェイ装置プログラムの実行によって、データ品質制御部１０２、アクセス制御部１０４、プライバシ制御部１０６、セキュリティポリシー管理部１０８、トークンＤＢ１１０、ユーザＤＢ１１２、及びセキュリティポリシーＤＢ１１４を備える装置として機能する。
なお、セキュリティゲートウェイ装置１００の各機能の全て又は一部は、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）やＰＬＤ（Ｐｒｏｇｒａｍｍａｂｌｅ Ｌｏｇｉｃ Ｄｅｖｉｃｅ）やＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）等のハードウェアを用いて実現されてもよい。セキュリティゲートウェイ装置プログラムは、コンピュータ読み取り可能な記録媒体に記録されてもよい。コンピュータ読み取り可能な記録媒体とは、例えばフレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置である。セキュリティゲートウェイ装置プログラムは、電気通信回線を介して送信されてもよい。
以下、セキュリティゲートウェイ装置１００の各機能ブロックを説明するに当たり、セキュリティゲートウェイ装置１００が、主に実行するトークンの発行処理とデータの抽出処理に関連付けて説明する。
図１は、実施形態に係るセキュリティゲートウェイ装置の一例を示す図である。
実施形態に係るセキュリティゲートウェイ装置１００は、前述したように、グローバルクラウドとローカルクラウドとの接点に設置される。
セキュリティゲートウェイ装置１００は、バスで接続されたＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）やメモリや補助記憶装置等を備え、セキュリティゲートウェイ装置プログラムを実行する。セキュリティゲートウェイ装置１００は、セキュリティゲートウェイ装置プログラムの実行によって、データ品質制御部１０２、アクセス制御部１０４、プライバシ制御部１０６、セキュリティポリシー管理部１０８、トークンＤＢ１１０、ユーザＤＢ１１２、及びセキュリティポリシーＤＢ１１４を備える装置として機能する。
なお、セキュリティゲートウェイ装置１００の各機能の全て又は一部は、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）やＰＬＤ（Ｐｒｏｇｒａｍｍａｂｌｅ Ｌｏｇｉｃ Ｄｅｖｉｃｅ）やＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）等のハードウェアを用いて実現されてもよい。セキュリティゲートウェイ装置プログラムは、コンピュータ読み取り可能な記録媒体に記録されてもよい。コンピュータ読み取り可能な記録媒体とは、例えばフレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置である。セキュリティゲートウェイ装置プログラムは、電気通信回線を介して送信されてもよい。
以下、セキュリティゲートウェイ装置１００の各機能ブロックを説明するに当たり、セキュリティゲートウェイ装置１００が、主に実行するトークンの発行処理とデータの抽出処理に関連付けて説明する。
（トークンの発行処理）
トークンの発行処理について説明する。アクセス制御部１０４は、アプリケーションから、グローバルクラウドを経由して、ローカルクラウド上に記憶されているデータに対してアクセス要求があった場合に、セキュリティポリシーと、アプリケーションが有するプライバシ証明書とに基づいて、トークンを発行する。ここで、アプリケーションは、ＲＥＳＴ（Ｒｅｐｒｅｓｅｎｔａｔｉｏｎａｌ Ｓｔａｔｅ Ｔｒａｎｓｆｅｒ）ベースで、ＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔｓ Ｌａｙｅｒ）を利用してアクセス要求を行う。セキュリティポリシーは、セキュリティポリシーＤＢ１１４から取得される。セキュリティポリシーＤＢ１１４には、アプリケーションの種別毎に、異なるレベルの管理者と、ＤＢの種別毎に、アプリケーションの設置国別のトークンの有効期間とプライバシデータか非プライバシデータかを示すプライバシ情報とが関連付けられている。各セキュリティポリシーは、データの管理者により階層的に定められている。プライバシ証明書は、各国の認証局によって発行され、且つアプリケーションの挙動を規定する。プライバシ証明書は、アプリケーションに追加され、該アプリケーションが取得できるデータを規定する。データは、ＤＢに含まれる。トークンは、アプリケーションがデータへアクセスするために必要となる。本実施形態では、トークンはメッセージ認証コードを作成するための共通鍵である。例えば、トークンの一例は、ＨＭＡＣ−ＳＨＡ２５６用の共通鍵である。
トークンの発行処理について説明する。アクセス制御部１０４は、アプリケーションから、グローバルクラウドを経由して、ローカルクラウド上に記憶されているデータに対してアクセス要求があった場合に、セキュリティポリシーと、アプリケーションが有するプライバシ証明書とに基づいて、トークンを発行する。ここで、アプリケーションは、ＲＥＳＴ（Ｒｅｐｒｅｓｅｎｔａｔｉｏｎａｌ Ｓｔａｔｅ Ｔｒａｎｓｆｅｒ）ベースで、ＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔｓ Ｌａｙｅｒ）を利用してアクセス要求を行う。セキュリティポリシーは、セキュリティポリシーＤＢ１１４から取得される。セキュリティポリシーＤＢ１１４には、アプリケーションの種別毎に、異なるレベルの管理者と、ＤＢの種別毎に、アプリケーションの設置国別のトークンの有効期間とプライバシデータか非プライバシデータかを示すプライバシ情報とが関連付けられている。各セキュリティポリシーは、データの管理者により階層的に定められている。プライバシ証明書は、各国の認証局によって発行され、且つアプリケーションの挙動を規定する。プライバシ証明書は、アプリケーションに追加され、該アプリケーションが取得できるデータを規定する。データは、ＤＢに含まれる。トークンは、アプリケーションがデータへアクセスするために必要となる。本実施形態では、トークンはメッセージ認証コードを作成するための共通鍵である。例えば、トークンの一例は、ＨＭＡＣ−ＳＨＡ２５６用の共通鍵である。
セキュリティポリシーＤＢ１１４は、アプリケーションの種別及びデータの種別に対応付けて、第１ドメイン（例えば、アプリケーションサーバの設置国）ごとのデータの提供期間を規定するセキュリティポリシーを記憶する。
アプリケーションの種別は、例えば、医療に関するアプリケーション、位置情報の提供に関するアプリケーション等のアプリケーションの種類である。データの種別は、例えば、医療に関するデータ、位置に関するデータ等のデータの種類である。データは、プライバシに関わるデータとプライバシに関わらないデータとに分類される。以下、プライバシに関わるデータを含むデータベースを、「プライバシデータベース」といい、プライバシに関わるデータを含まないデータベースを、「非プライバシデータベース」という。つまり、非プライバシデータベースは、プライバシに関わらないデータを含む。ＤＢに関して、プライバシデータベースと非プライバシデータベースとを区分しない場合について説明を続ける。この場合、プライバシデータベース、及び非プライバシデータベースに対して、ＤＢのＩＤとして、通し番号が付される。
セキュリティポリシーは、データの種別ごとにプライバシの有無（すなわち、プライバシデータか非プライバシデータかを示すプライバシ情報）を規定する。セキュリティポリシーは、複数の管理者の各々について設定される。
アプリケーションの種別は、例えば、医療に関するアプリケーション、位置情報の提供に関するアプリケーション等のアプリケーションの種類である。データの種別は、例えば、医療に関するデータ、位置に関するデータ等のデータの種類である。データは、プライバシに関わるデータとプライバシに関わらないデータとに分類される。以下、プライバシに関わるデータを含むデータベースを、「プライバシデータベース」といい、プライバシに関わるデータを含まないデータベースを、「非プライバシデータベース」という。つまり、非プライバシデータベースは、プライバシに関わらないデータを含む。ＤＢに関して、プライバシデータベースと非プライバシデータベースとを区分しない場合について説明を続ける。この場合、プライバシデータベース、及び非プライバシデータベースに対して、ＤＢのＩＤとして、通し番号が付される。
セキュリティポリシーは、データの種別ごとにプライバシの有無（すなわち、プライバシデータか非プライバシデータかを示すプライバシ情報）を規定する。セキュリティポリシーは、複数の管理者の各々について設定される。
図２は、セキュリティポリシーＤＢの一例を示す図である。前述したように、セキュリティポリシーＤＢは、セキュリティポリシーを記憶する。
セキュリティポリシーは、アプリケーションの識別情報等のアプリケーションの種別（Ａｐｐｌｉｃａｔｉｏｎ ＩＤ）ごとに、複数の管理者に対して、データが含まれる複数のＤＢの各々について、第１ドメインへのデータの提供期間と、プライバシ情報とを規定する。
図２において、「ＵＫ」及び「ＪＰ」は、アプリケーションサーバが設置されている国名を表し、「ｈ」、「ｄ」及び「ｍ」はそれぞれ提供期間の単位である時間、日及び月を表し、「プライバシ」及び「非プライバシ」はそれぞれ「プライバシ有り」及び「プライバシ無し」を表している。数値「０」は、トークンが発行されないことを表している。例えば、「ＵＫ：１ｈ、ＪＰ：２ｍ、非プライバシ」は、ＵＫ国のアプリケーションに発行するトークンの有効期間が１時間、ＪＰ国のアプリケーションに発行するトークンの有効期間が２か月、プライバシ情報が「プライバシ無し」を表す。
セキュリティポリシーは、アプリケーションの識別情報等のアプリケーションの種別（Ａｐｐｌｉｃａｔｉｏｎ ＩＤ）ごとに、複数の管理者に対して、データが含まれる複数のＤＢの各々について、第１ドメインへのデータの提供期間と、プライバシ情報とを規定する。
図２において、「ＵＫ」及び「ＪＰ」は、アプリケーションサーバが設置されている国名を表し、「ｈ」、「ｄ」及び「ｍ」はそれぞれ提供期間の単位である時間、日及び月を表し、「プライバシ」及び「非プライバシ」はそれぞれ「プライバシ有り」及び「プライバシ無し」を表している。数値「０」は、トークンが発行されないことを表している。例えば、「ＵＫ：１ｈ、ＪＰ：２ｍ、非プライバシ」は、ＵＫ国のアプリケーションに発行するトークンの有効期間が１時間、ＪＰ国のアプリケーションに発行するトークンの有効期間が２か月、プライバシ情報が「プライバシ無し」を表す。
プライバシ証明書は、アプリケーションがデータを取得可能なドメイン（例えば、提供国）と、データの種別とを保証する。具体的には、プライバシ証明書は、プライバシ証明書の発行国（ＣＡ Ｎａｔｉｏｎａｌｉｔｙ）と、アプリケーションＩＰ（Ａｐｐｌｉｃａｔｉｏｎ ＩＰ）と、アプリケーションの種別（Ａｐｐｌｉｃａｔｉｏｎ ＩＤ）と、ＤＢサーバの設置国（ＤＢ Ｎａｔｉｏｎａｌｉｔｙ）と、データベースの種別（ＤＢ ＩＤ）と、有効期限とを含む。ただし、プライバシ証明書の発行国は、プライバシ証明書を発行する認証局が設置された国であり、アプリケーションサーバの設置国と同じである。アプリケーションＩＰは、アプリケーションサーバのＩＰアドレスである。ＤＢサーバの設置国は、アプリケーションが取得可能なデータを提供するＤＢサーバが設置されている提供国である。データベースの種別は、ローカルクラウド上のＤＢの種別を示す。
アクセス制御部１０４は、アプリケーションからトークンの発行の要求を受信すると、アプリケーションが有するプライバシ証明書を検証する。
セキュリティポリシー管理部１０８は、アプリケーションからトークン発行の要求を受信すると、セキュリティポリシーＤＢ１１４から、トークンの発行を要求するアプリケーションの種別に対応するセキュリティポリシーを取得する。次に、セキュリティポリシー管理部１０８は、取得したセキュリティポリシーに基づいて、プライバシ証明書に規定されたデータベースの種別に関連付けられた、アプリケーションサーバの設置国への提供期間であって、複数の管理者に関連付けられたそれぞれの提供期間を含むトークンの有効期限のリストを取得する。
例えば、図２に示されるセキュリティポリシーＤＢ１１４の場合、セキュリティポリシー管理部１０８は、アプリケーションＡについてのセキュリティポリシーにおいて、データベースの種別に合致するのがＤＢ１で、アプリケーションサーバの設置国がＪＰとすると、セキュリティポリシー管理部１０８は、管理者１が設定したＪＰへの提供期間である２か月と、管理者２が設定したＪＰへの提供期間である２時間と、・・・、管理者Ｍが設定したＪＰへの提供期間である５時間とを含むトークンの有効期限のリストを取得する。
また、セキュリティポリシー管理部１０８は、取得したセキュリティポリシーに基づいて、プライバシ証明書に規定されたデータベースの種別に関連付けられた、プライバシデータか非プライバシデータかを示すプライバシ情報を含むプライバシ情報のリストを取得する。
セキュリティポリシー管理部１０８は、アプリケーションからトークン発行の要求を受信すると、セキュリティポリシーＤＢ１１４から、トークンの発行を要求するアプリケーションの種別に対応するセキュリティポリシーを取得する。次に、セキュリティポリシー管理部１０８は、取得したセキュリティポリシーに基づいて、プライバシ証明書に規定されたデータベースの種別に関連付けられた、アプリケーションサーバの設置国への提供期間であって、複数の管理者に関連付けられたそれぞれの提供期間を含むトークンの有効期限のリストを取得する。
例えば、図２に示されるセキュリティポリシーＤＢ１１４の場合、セキュリティポリシー管理部１０８は、アプリケーションＡについてのセキュリティポリシーにおいて、データベースの種別に合致するのがＤＢ１で、アプリケーションサーバの設置国がＪＰとすると、セキュリティポリシー管理部１０８は、管理者１が設定したＪＰへの提供期間である２か月と、管理者２が設定したＪＰへの提供期間である２時間と、・・・、管理者Ｍが設定したＪＰへの提供期間である５時間とを含むトークンの有効期限のリストを取得する。
また、セキュリティポリシー管理部１０８は、取得したセキュリティポリシーに基づいて、プライバシ証明書に規定されたデータベースの種別に関連付けられた、プライバシデータか非プライバシデータかを示すプライバシ情報を含むプライバシ情報のリストを取得する。
次に、セキュリティポリシー管理部１０８は、複数の管理者に対応付けられたデータの提供期間のうち最も短い期間に基づいて、有効期限を算出する。前述の場合、セキュリティポリシー管理部１０８は、取得した最短の提供期間である２時間に基づき、現在時刻に２時間を加えた有効期限を算出する。
次に、アクセス制御部１０４は、トークンを生成し、生成したトークンに、算出した有効期限を対応付けてトークンＤＢ１１０に記憶する。アクセス制御部１０４は、有効期限が設定されたトークンをアプリケーションに発行する。トークンは、メッセージ認証コードの共通鍵として生成される。アクセス制御部１０４は、生成したトークンをトークンＤＢ１１０に保管する。
図３は、トークンＤＢの一例を示す図である。トークンＤＢ１１０は、図３に示すように、トークンと、アプリケーションサーバの設置国と、アプリケーションＩＰと、アプリケーションの種別と、データの種別と、プライバシ情報と、トークンの有効期限とを関連付けて記憶する。アプリケーションは、セキュリティゲートウェイ装置１００が発行したトークンを取得する。
次に、アクセス制御部１０４は、トークンを生成し、生成したトークンに、算出した有効期限を対応付けてトークンＤＢ１１０に記憶する。アクセス制御部１０４は、有効期限が設定されたトークンをアプリケーションに発行する。トークンは、メッセージ認証コードの共通鍵として生成される。アクセス制御部１０４は、生成したトークンをトークンＤＢ１１０に保管する。
図３は、トークンＤＢの一例を示す図である。トークンＤＢ１１０は、図３に示すように、トークンと、アプリケーションサーバの設置国と、アプリケーションＩＰと、アプリケーションの種別と、データの種別と、プライバシ情報と、トークンの有効期限とを関連付けて記憶する。アプリケーションは、セキュリティゲートウェイ装置１００が発行したトークンを取得する。
（データの抽出処理）
データの抽出処理について説明する。トークンを取得したアプリケーションは、グローバルクラウドを経由してローカルクラウド上のデータへアクセス要求を実行する。アプリケーションは、ローカルクラウド上のデータへアクセス要求を実行する際に、アプリケーションサーバの設置国、アプリケーションの種別、データ種別、ユーザの所有者の属性、クエリ、タイムスタンプ、メッセージ認証コードを送信する。メッセージ認証コードは、アプリケーションサーバの設置国、アプリケーションの種別、データ種別、ユーザの所有者の属性、クエリ、タイムスタンプ等のパラメータを連結したものに対して、トークンを共通鍵とするハッシュ関数を施すことにより作成される。
データの抽出処理について説明する。トークンを取得したアプリケーションは、グローバルクラウドを経由してローカルクラウド上のデータへアクセス要求を実行する。アプリケーションは、ローカルクラウド上のデータへアクセス要求を実行する際に、アプリケーションサーバの設置国、アプリケーションの種別、データ種別、ユーザの所有者の属性、クエリ、タイムスタンプ、メッセージ認証コードを送信する。メッセージ認証コードは、アプリケーションサーバの設置国、アプリケーションの種別、データ種別、ユーザの所有者の属性、クエリ、タイムスタンプ等のパラメータを連結したものに対して、トークンを共通鍵とするハッシュ関数を施すことにより作成される。
アクセス制御部１０４は、トークンを有するアプリケーションから、グローバルクラウド経由で、ローカルクラウド上のデータへアクセス要求があった場合に、トークンの正当性を検証する。トークンの正当性の検証結果が成功であった場合、アクセス制御部１０４は、アクセス要求の対象のデータが、該データの所有者のプライバシに関わるデータであるか否かを判定する。
具体的には、アクセス制御部１０４は、アプリケーションサーバの設置国、アプリケーションの種別、データ種別、ユーザの所有者の属性、クエリ、タイムスタンプ等のパラメータの連結に対して、トークンを共通鍵とするハッシュ関数を施すことによって、ハッシュ値を算出する。例えば、アクセス制御部１０４は、ハッシュ関数としてＳＨＡ２５６と使用するＨＭＡＣ−ＳＨＡ２５６（ＨＭＡＣ： Ｈａｓｈ−ｂａｓｅｄ Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ）を用いて、ハッシュ値を算出してもよい。次に、アクセス制御部１０４は、算出したハッシュ値とメッセージ認証コードとが一致するか否かを判定し、一致する場合に発行したトークンを用いてメッセージ認証コードが生成されたものであると判定する。
具体的には、アクセス制御部１０４は、アプリケーションサーバの設置国、アプリケーションの種別、データ種別、ユーザの所有者の属性、クエリ、タイムスタンプ等のパラメータの連結に対して、トークンを共通鍵とするハッシュ関数を施すことによって、ハッシュ値を算出する。例えば、アクセス制御部１０４は、ハッシュ関数としてＳＨＡ２５６と使用するＨＭＡＣ−ＳＨＡ２５６（ＨＭＡＣ： Ｈａｓｈ−ｂａｓｅｄ Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ）を用いて、ハッシュ値を算出してもよい。次に、アクセス制御部１０４は、算出したハッシュ値とメッセージ認証コードとが一致するか否かを判定し、一致する場合に発行したトークンを用いてメッセージ認証コードが生成されたものであると判定する。
また、アクセス制御部１０４は、プライバシ証明書に記載されているアプリケーションの種別、データの種別に関する情報を用いて、セキュリティポリシーを参照し、セキュリティポリシーに記載されている内容からトークンの有効期限と、プライバシ証明書に記載されているデータの種別がプライバシに関わるものか否かを判断する。アクセス制御部１０４は、管理者のレベルの値が最も小さい管理者のセキュリティポリシーから順に、セキュリティポリシーに記載されている有効期間を確認し、前の期間より短い期間があれば、その値を有効期間として設定する。アクセス制御部１０４は、この操作を、管理者のレベルの値が最も大きい管理者まで繰り返し、操作が終了したときの有効期間の値と現在時刻を足し合わせて、有効期限を算出する。
アクセス制御部１０４は、アクセス要求を受信した時刻が、取得したトークンに対応付けられた有効期限より早い時刻である場合に、トークンの有効期限内であると判定する。
アクセス制御部１０４は、データ取得の要求の受信時刻が、パラメータに含まれるタイムスタンプ（例えば、データ取得の要求の送信時刻）から一定期間内である場合、データ取得の要求が一定期間内のものであると判定する。
アクセス制御部１０４は、アクセス要求を受信した時刻が、取得したトークンに対応付けられた有効期限より早い時刻である場合に、トークンの有効期限内であると判定する。
アクセス制御部１０４は、データ取得の要求の受信時刻が、パラメータに含まれるタイムスタンプ（例えば、データ取得の要求の送信時刻）から一定期間内である場合、データ取得の要求が一定期間内のものであると判定する。
アクセス制御部１０４は、プライバシ証明書に記載されているデータの種別がプライバシに関わるか否かについて、管理者のレベルの全てについて、セキュリティポリシーにプライバシに関わらないと記載されている場合にプライバシに関わらないと判断する。アクセス制御部１０４は、それ以外、つまり一つでもプライバシに関わると記載されている場合、データの所有者のプライバシに関わるデータと判断する。
アクセス対象のデータが、該データの所有者のプライバシに関わるデータである場合、アクセス制御部１０４は、ローカルクラウド上のデータベースから、アクセス対象のデータを抽出し、抽出したデータに対してプライバシ保護手法を適用し、プライバシ保護手法を適用したデータを、グローバルクラウドを経由して、アプリケーションへ返信する。
アクセス対象のデータが、該データの所有者のプライバシに関わるデータである場合、アクセス制御部１０４は、ローカルクラウド上のデータベースから、アクセス対象のデータを抽出し、抽出したデータに対してプライバシ保護手法を適用し、プライバシ保護手法を適用したデータを、グローバルクラウドを経由して、アプリケーションへ返信する。
一方、アクセス対象のデータが、該データの所有者のプライバシに関わるデータでない場合、アクセス制御部１０４は、アクセス要求を、プライバシ制御部１０６へ出力する。プライバシ制御部１０６は、アクセス制御部１０４が出力したアクセス要求を取得する。プライバシ制御部１０６は、アクセス対象のデータの所有者のプライバシポリシーに基づいて、ローカルクラウド上のデータベースから、アクセス対象のデータのうち、提供を許可する所有者のデータを抽出する。プライバシ制御部１０６は、抽出したデータを、データ品質制御部１０２へ出力する。
具体的には、プライバシ制御部１０６は、アクセス制御部１０４が出力したアクセス要求に基づいて、アクセス対象のデータの所有者の属性を用いて、ユーザＤＢ１１２から、データの所有者の識別子を読み出す。
図４は、ユーザＤＢの一例を示す図である。ユーザＤＢ１１２は、ＤＢの識別子等のＤＢの種別と所有者の識別子と属性とを対応付ける。図４に示される例では、種別の異なる複数のデータベースの各々について、データの所有者の識別子と該所有者の属性とを関連付けて記憶する。所有者の属性は、データベースに含まれる、男性、２０代等のデータの所有者の属性である。プライバシ制御部１０６が、アプリケーションが送信するデータの所有者の属性情報とユーザＤＢ１１２から読み出したデータの所有者の識別子とを利用することにより、クエリの中身を解釈する機能を有することなく、いかなる文法のクエリ言語にも対応することができる。
具体的には、プライバシ制御部１０６は、アクセス制御部１０４が出力したアクセス要求に基づいて、アクセス対象のデータの所有者の属性を用いて、ユーザＤＢ１１２から、データの所有者の識別子を読み出す。
図４は、ユーザＤＢの一例を示す図である。ユーザＤＢ１１２は、ＤＢの識別子等のＤＢの種別と所有者の識別子と属性とを対応付ける。図４に示される例では、種別の異なる複数のデータベースの各々について、データの所有者の識別子と該所有者の属性とを関連付けて記憶する。所有者の属性は、データベースに含まれる、男性、２０代等のデータの所有者の属性である。プライバシ制御部１０６が、アプリケーションが送信するデータの所有者の属性情報とユーザＤＢ１１２から読み出したデータの所有者の識別子とを利用することにより、クエリの中身を解釈する機能を有することなく、いかなる文法のクエリ言語にも対応することができる。
プライバシ制御部１０６は、読み出したデータの所有者の識別子を用いて、プライバシポリシーＤＢ２１０からプライバシポリシーを読み出す。
図５は、プライバシポリシーＤＢの一例を示す図である。プライバシポリシーＤＢには、複数のアプリケーションの種別の各々について、ユーザ識別情報などのデータの所有者とプライバシポリシーとを関連付けて記憶する。プライバシポリシーは、アプリケーションの種別に対応付けて、データの種別ごとにデータの所有者がデータの提供を認可するか否かを規定する。図５に示される例では、データの提供を認可する場合には「○」が記載され、許可しない場合には「×」が記載される。プライバシポリシーは、第２ドメインに設置されたローカルクラウドのプライバシポリシーＤＢ２１０から取得される。
図５は、プライバシポリシーＤＢの一例を示す図である。プライバシポリシーＤＢには、複数のアプリケーションの種別の各々について、ユーザ識別情報などのデータの所有者とプライバシポリシーとを関連付けて記憶する。プライバシポリシーは、アプリケーションの種別に対応付けて、データの種別ごとにデータの所有者がデータの提供を認可するか否かを規定する。図５に示される例では、データの提供を認可する場合には「○」が記載され、許可しない場合には「×」が記載される。プライバシポリシーは、第２ドメインに設置されたローカルクラウドのプライバシポリシーＤＢ２１０から取得される。
プライバシ制御部１０６は、プライバシポリシーＤＢ２１０から読み出したプライバシポリシーからデータの提供を許可するデータの所有者の一覧を作成する。プライバシ制御部１０６は、クエリを用いてローカルクラウド上のデータベースからデータを取得する。プライバシ制御部１０６は、作成したデータの所有者の一覧に含まれる識別子と関連付けられているデータを抽出することによって、データをフィルタリングする。これにより、データの所有者毎のプライバシに配慮して、情報を利活用できる。プライバシ制御部１０６は、フィルタリングすることによって得られるデータを、データ品質制御部１０２へ出力する。
データ品質制御部１０２は、アクセス制御部１０４が出力したデータの品質を検証する。データの品質を検証するアルゴリズムについては、後述する。データ品質制御部１０２は、データの品質の検証結果をデータに付与し、データの品質の検証結果を付与したデータのダイジェスト値（認証コード）を演算し、ダイジェスト値の演算結果をセキュリティゲートウェイ装置１００が備える私有鍵（秘密鍵）で暗号化することによって、電子署名を生成する。データ品質制御部１０２は、データに、品質の検証結果と電子署名とを付与し、グローバルクラウドを経由して、アプリケーションへ送信する。例えば、データ品質制御部１０２は、ＪＳＯＮ（ＪａｖａＳｃｒｉｐｔ Ｏｂｊｅｃｔ Ｎｏｔａｔｉｏｎ）形式で、データに、品質の検証結果と電子署名とを付与して送信する。これにより、データのセキュリティに配慮して、情報を利活用できる。
データの品質を検証するアルゴリズムについて説明する。データ品質制御部１０２は、乱数検定を実施し、偽造等、人工的に生成されたデータでないことを確認する。また、データ品質制御部１０２は、カイ２乗検定等を用いて正規分布等に従った分布において５％棄却域に入るか否かを検定し、データが異常値でないことを検証する。また、データ品質制御部１０２は、他の同種のセンサーのデータとの類似性を検証し、類似度が閾値以上であることを検証する。これによって、不正なセンサーからのデータ混入があるか否か、つまり、データの取得元が不正であるか否かを検証できる。
（マルチクラウド環境における実施例）
図６は、実施形態に係るグローバルクラウド環境におけるセキュリティゲートウェイ装置を示す図である。
セキュリティゲートウェイ装置１００は、マルチクラウド環境において、グローバルクラウド３００とローカルクラウド２００との接点に設置される。図６に示される例では、セキュリティゲートウェイ装置１００が、ローカルクラウド２００に含まれる。
セキュリティゲートウェイ装置１００の機能は、Ｗｅｂ ＡＰＩとして提供される。Ｗｅｂ ＡＰＩは、ＨＴＴＰプロトコルを用いてネットワーク越しに呼び出すアプリケーション間、システム間のインタフェースである。
セキュリティゲートウェイ装置１００は、第１ドメインに設置されたサーバに記憶されているアプリケーション４００からグローバルクラウド３００を介して要求されたデータを、第２ドメインに設置されたローカルクラウド２００から抽出して、グローバルクラウド３００を介してアプリケーション４００に返す。
図６は、実施形態に係るグローバルクラウド環境におけるセキュリティゲートウェイ装置を示す図である。
セキュリティゲートウェイ装置１００は、マルチクラウド環境において、グローバルクラウド３００とローカルクラウド２００との接点に設置される。図６に示される例では、セキュリティゲートウェイ装置１００が、ローカルクラウド２００に含まれる。
セキュリティゲートウェイ装置１００の機能は、Ｗｅｂ ＡＰＩとして提供される。Ｗｅｂ ＡＰＩは、ＨＴＴＰプロトコルを用いてネットワーク越しに呼び出すアプリケーション間、システム間のインタフェースである。
セキュリティゲートウェイ装置１００は、第１ドメインに設置されたサーバに記憶されているアプリケーション４００からグローバルクラウド３００を介して要求されたデータを、第２ドメインに設置されたローカルクラウド２００から抽出して、グローバルクラウド３００を介してアプリケーション４００に返す。
アプリケーション４００は、グローバルクエリー制御部３０２を経由して、セキュリティゲートウェイ装置１００が提供するＡＰＩを利用する外部サーバに記憶される。
アプリケーション４００は、グローバルクラウド３００のグローバルクエリー制御部３０２を経由して、プライバシ証明書をパラメータとして、トークン発行を要求する。
セキュリティゲートウェイ装置１００のアクセス制御部１０４は、プライバシ証明書とセキュリティポリシーＤＢ１１４の有効期間とに基づいて、トークンの有効期限を設定し、トークンをトークンＤＢ１１０に保管する。アクセス制御部１０４は、グローバルクエリー制御部３０２を経由してアプリケーション４００にトークンを発行する。
トークンを有するアプリケーション４００は、グローバルクラウド３００のグローバルクエリー制御部３０２を経由して、アプリケーションサーバの設置国、アプリケーションの種別、データの種別、データの所有者の属性、クエリ（ＤＢへの要求）、タイムスタンプ（例えば、当該データ取得の要求の送信時刻）、及びＭＡＣ等のメッセージ認証コードをパラメータとして、データ取得の要求をする。グローバルクエリー制御部３０２は、アプリケーション４００からのクエリの内容に応じてクエリを振り分けるローカルクラウド２００を決定する。
アプリケーション４００は、グローバルクラウド３００のグローバルクエリー制御部３０２を経由して、プライバシ証明書をパラメータとして、トークン発行を要求する。
セキュリティゲートウェイ装置１００のアクセス制御部１０４は、プライバシ証明書とセキュリティポリシーＤＢ１１４の有効期間とに基づいて、トークンの有効期限を設定し、トークンをトークンＤＢ１１０に保管する。アクセス制御部１０４は、グローバルクエリー制御部３０２を経由してアプリケーション４００にトークンを発行する。
トークンを有するアプリケーション４００は、グローバルクラウド３００のグローバルクエリー制御部３０２を経由して、アプリケーションサーバの設置国、アプリケーションの種別、データの種別、データの所有者の属性、クエリ（ＤＢへの要求）、タイムスタンプ（例えば、当該データ取得の要求の送信時刻）、及びＭＡＣ等のメッセージ認証コードをパラメータとして、データ取得の要求をする。グローバルクエリー制御部３０２は、アプリケーション４００からのクエリの内容に応じてクエリを振り分けるローカルクラウド２００を決定する。
セキュリティゲートウェイ装置１００のアクセス制御部１０４は、トークンの正当性を検証し、プライバシ制御部１０６は、アプリケーションのクエリをローカルクラウド２００のローカルクエリー制御部２０２に渡す。
ローカルクエリー制御部２０２及びプライバシポリシー管理部２０４は、セキュリティゲートウェイ装置１００が提供するＡＰＩの機能を実現する上で必要となる外部サーバである。
ローカルクエリー制御部２０２は、プライバシ制御部１０６が出力したクエリの内容に応じて、クエリを振り分けるデータベースを決定し、クエリに基づくデータを抽出する。
プライバシポリシー管理部２０４は、プライバシポリシーＤＢ２１０からプライバシポリシーを取得するために必要なインタフェースである。
セキュリティゲートウェイ装置１００のプライバシ制御部１０６は、ローカルクエリー制御部２０２が抽出したデータからプライバシポリシーＤＢ２１０に基づいてデータを選別する。プライバシ制御部１０６は、選別したデータが非プライバシデータである場合には、選別したデータに対してプライバシ保護手法を適用し、グローバルクエリー制御部３０２を経由してアプリケーションに返す。データ品質制御部１０２は、選別したデータが非プライバシデータである場合には、データの品質を検証し、検証した結果を、データに付与して、グローバルクエリー制御部３０２を経由してアプリケーションに返す。
アプリケーションは受信したデータに付与されている電子署名を、事前に取得していたセキュリティゲートウェイ装置１００の公開鍵で検証する。セキュリティゲートウェイ装置１００は、データの品質評価結果を確認する。そして、問題なければデータを活用する。
ローカルクエリー制御部２０２及びプライバシポリシー管理部２０４は、セキュリティゲートウェイ装置１００が提供するＡＰＩの機能を実現する上で必要となる外部サーバである。
ローカルクエリー制御部２０２は、プライバシ制御部１０６が出力したクエリの内容に応じて、クエリを振り分けるデータベースを決定し、クエリに基づくデータを抽出する。
プライバシポリシー管理部２０４は、プライバシポリシーＤＢ２１０からプライバシポリシーを取得するために必要なインタフェースである。
セキュリティゲートウェイ装置１００のプライバシ制御部１０６は、ローカルクエリー制御部２０２が抽出したデータからプライバシポリシーＤＢ２１０に基づいてデータを選別する。プライバシ制御部１０６は、選別したデータが非プライバシデータである場合には、選別したデータに対してプライバシ保護手法を適用し、グローバルクエリー制御部３０２を経由してアプリケーションに返す。データ品質制御部１０２は、選別したデータが非プライバシデータである場合には、データの品質を検証し、検証した結果を、データに付与して、グローバルクエリー制御部３０２を経由してアプリケーションに返す。
アプリケーションは受信したデータに付与されている電子署名を、事前に取得していたセキュリティゲートウェイ装置１００の公開鍵で検証する。セキュリティゲートウェイ装置１００は、データの品質評価結果を確認する。そして、問題なければデータを活用する。
（セキュリティゲートウェイ装置の動作（その１））
図７は、実施形態に係るセキュリティゲートウェイ装置の動作（その１）の一例を示すフローチャートである。図７は、セキュリティゲートウェイ装置１００が、アプリケーションがローカルクラウド上のＤＢにアクセスするためのトークンを発行する処理を示す。
（ステップＳ１０２）アクセス制御部１０４は、アプリケーション４００からプライバシ証明書をパラメータとして含むトークン発行の要求を取得する。アクセス制御部１０４は、プライバシ証明書に記載されている内容の正当性を検証する。
具体的には、アクセス制御部１０４は、プライバシ証明書の発行国が、リクエストヘッダのＩＰアドレス情報と同一国であるか否かを判断する。ここで、プライバシ証明書の発行国は、アプリケーションサーバの設置国と同一である。さらに、アクセス制御部１０４は、アプリケーションＩＰがリクエストヘッダのＩＰアドレス情報と同一であるか否かを判断する。ここで、アプリケーションＩＰは、アプリケーションサーバのＩＰアドレスを示す。さらに、アクセス制御部１０４は、ＤＢサーバの設置国が、セキュリティゲートウェイ装置１００が設置されている国と同一か否かを判断する。さらに、アクセス制御部１０４は、現在時刻が有効期限よりも早い時刻であるか否かを判断する。全ての判断がＹＥＳの場合、アクセス制御部１０４は、処理をステップＳ１０４に移し、いずれかの判断がＮＯの場合、アクセス制御部１０４は、所定のエラー処理を実行する。例えば、アクセス制御部１０４は、トークン発行の要求が、正常でないことを表すエラー情報を送信する。
図７は、実施形態に係るセキュリティゲートウェイ装置の動作（その１）の一例を示すフローチャートである。図７は、セキュリティゲートウェイ装置１００が、アプリケーションがローカルクラウド上のＤＢにアクセスするためのトークンを発行する処理を示す。
（ステップＳ１０２）アクセス制御部１０４は、アプリケーション４００からプライバシ証明書をパラメータとして含むトークン発行の要求を取得する。アクセス制御部１０４は、プライバシ証明書に記載されている内容の正当性を検証する。
具体的には、アクセス制御部１０４は、プライバシ証明書の発行国が、リクエストヘッダのＩＰアドレス情報と同一国であるか否かを判断する。ここで、プライバシ証明書の発行国は、アプリケーションサーバの設置国と同一である。さらに、アクセス制御部１０４は、アプリケーションＩＰがリクエストヘッダのＩＰアドレス情報と同一であるか否かを判断する。ここで、アプリケーションＩＰは、アプリケーションサーバのＩＰアドレスを示す。さらに、アクセス制御部１０４は、ＤＢサーバの設置国が、セキュリティゲートウェイ装置１００が設置されている国と同一か否かを判断する。さらに、アクセス制御部１０４は、現在時刻が有効期限よりも早い時刻であるか否かを判断する。全ての判断がＹＥＳの場合、アクセス制御部１０４は、処理をステップＳ１０４に移し、いずれかの判断がＮＯの場合、アクセス制御部１０４は、所定のエラー処理を実行する。例えば、アクセス制御部１０４は、トークン発行の要求が、正常でないことを表すエラー情報を送信する。
（ステップＳ１０４）セキュリティポリシー管理部１０８は、プライバシ証明書に記載されているプライバシ証明書の発行国（アプリケーションサーバの設置国）と、アプリケーションの種別と、データの種別とを用いて、セキュリティポリシーＤＢ１１４を検索する。セキュリティポリシー管理部１０８は、管理者ごとに規定されるアプリケーションサーバの設置国におけるトークンの有効期間のリストと、プライバシ情報のリストとを取得する。
（ステップＳ１０６）セキュリティポリシー管理部１０８は、プライバシ情報のリストからプライバシ証明書に記載されているデータの種別で指定されたデータベースが、非プライバシＤＢかプライバシＤＢかを決定する。セキュリティポリシー管理部１０８は、全ての管理者が非プライバシＤＢと設定している場合には非プライバシＤＢと決定し、それ以外の場合にはプライバシＤＢと決定する。
（ステップＳ１０６）セキュリティポリシー管理部１０８は、プライバシ情報のリストからプライバシ証明書に記載されているデータの種別で指定されたデータベースが、非プライバシＤＢかプライバシＤＢかを決定する。セキュリティポリシー管理部１０８は、全ての管理者が非プライバシＤＢと設定している場合には非プライバシＤＢと決定し、それ以外の場合にはプライバシＤＢと決定する。
（ステップＳ１０８）セキュリティポリシー管理部１０８は、トークンの有効期間のリストからトークンの有効期間を決定する。具体的には、セキュリティポリシー管理部１０８は、管理者のレベルの値が最も小さい管理者から順に有効期間を確認し、確認した期間より短い期間があれば、その短い期間の値を有効期間として設定する。セキュリティポリシー管理部１０８は、管理者のレベルの値が最も大きい管理者まで上記の操作を繰り返し、操作が終了したときの有効期間の値と現在時刻を加算して有効期限を算出する。つまり、セキュリティポリシー管理部１０８は、複数の管理者により設定された有効期間のうち最も短い期間をトークンの有効期間として決定し、決定した有効期間の値と、現在時刻とを加算して有効期限を算出する。
（ステップＳ１１０）アクセス制御部１０４は、トークンを生成する。
（ステップＳ１１２）アクセス制御部１０４は、ステップＳ１１０で生成したトークンと、プライバシ証明書に記載されているアプリケーションサーバの設置国、アプリケーションＩＰ、アプリケーションの種別、データの種別、ステップＳ１０６で決定したプライバシ情報、及びステップＳ１０８で算出したトークンの有効期限とを関連付けて、トークンＤＢ１１０に保管する。
（ステップＳ１１４）アクセス制御部１０４は、有効期限が設定されたトークンをアプリケーションに返す。その後、アクセス制御部１０４は、処理を終了する。
（ステップＳ１１０）アクセス制御部１０４は、トークンを生成する。
（ステップＳ１１２）アクセス制御部１０４は、ステップＳ１１０で生成したトークンと、プライバシ証明書に記載されているアプリケーションサーバの設置国、アプリケーションＩＰ、アプリケーションの種別、データの種別、ステップＳ１０６で決定したプライバシ情報、及びステップＳ１０８で算出したトークンの有効期限とを関連付けて、トークンＤＢ１１０に保管する。
（ステップＳ１１４）アクセス制御部１０４は、有効期限が設定されたトークンをアプリケーションに返す。その後、アクセス制御部１０４は、処理を終了する。
（セキュリティゲートウェイ装置の動作（その２））
図８は、実施形態に係るセキュリティゲートウェイ装置の動作（その２）の一例を示すフローチャートである。図８は、セキュリティゲートウェイ装置１００が発行したトークンを取得したアプリケーションが送信したデータ取得の要求に対して、ローカルクラウド２００上のＤＢのデータを提供する処理を示す。また、図８は、データ取得の要求によって要求されたデータが、プライバシＤＢに含まれるときに、データの所有者のプライバシを保護する処理を示す。
（ステップＳ２０２）アクセス制御部１０４は、アプリケーションからデータ取得の要求を受信し、受信したデータ取得の要求に含まれるアプリケーションサーバの設置国、リクエストヘッダのＩＰアドレス情報（アプリケーションＩＰ）、アプリケーションの種別、データの種別等のパラメータを用いて、トークンＤＢ１１０を検索し、これらの情報に対応付けられているトークン及びトークンの有効期限を取得する。
（ステップＳ２０４）アクセス制御部１０４は、データ取得の要求を受信した時刻がトークンの有効期限より早い時刻か否かを判断する。データ取得の要求を受信した時刻がトークンの有効期限より早い時刻である場合、アクセス制御部１０４は、ステップＳ２０６の処理へ移行する。データ取得の要求を受信した時刻がトークンの有効期限より早い時刻でない場合、アクセス制御部１０４は、所定のエラー処理を実行する。例えば、アクセス制御部１０４は、データ取得の要求が正常でないことを表すエラー情報をアプリケーションに返す。その後、アクセス制御部１０４は、処理を終了する。データ取得の要求を受信した時刻がトークンの有効期限より早い時刻である場合について説明を続ける。
図８は、実施形態に係るセキュリティゲートウェイ装置の動作（その２）の一例を示すフローチャートである。図８は、セキュリティゲートウェイ装置１００が発行したトークンを取得したアプリケーションが送信したデータ取得の要求に対して、ローカルクラウド２００上のＤＢのデータを提供する処理を示す。また、図８は、データ取得の要求によって要求されたデータが、プライバシＤＢに含まれるときに、データの所有者のプライバシを保護する処理を示す。
（ステップＳ２０２）アクセス制御部１０４は、アプリケーションからデータ取得の要求を受信し、受信したデータ取得の要求に含まれるアプリケーションサーバの設置国、リクエストヘッダのＩＰアドレス情報（アプリケーションＩＰ）、アプリケーションの種別、データの種別等のパラメータを用いて、トークンＤＢ１１０を検索し、これらの情報に対応付けられているトークン及びトークンの有効期限を取得する。
（ステップＳ２０４）アクセス制御部１０４は、データ取得の要求を受信した時刻がトークンの有効期限より早い時刻か否かを判断する。データ取得の要求を受信した時刻がトークンの有効期限より早い時刻である場合、アクセス制御部１０４は、ステップＳ２０６の処理へ移行する。データ取得の要求を受信した時刻がトークンの有効期限より早い時刻でない場合、アクセス制御部１０４は、所定のエラー処理を実行する。例えば、アクセス制御部１０４は、データ取得の要求が正常でないことを表すエラー情報をアプリケーションに返す。その後、アクセス制御部１０４は、処理を終了する。データ取得の要求を受信した時刻がトークンの有効期限より早い時刻である場合について説明を続ける。
（ステップＳ２０６）アクセス制御部１０４は、アプリケーションサーバの設置国、アプリケーションの種別、データの種別、データの所有者の属性、クエリ、タイムスタンプ等のパラメータの連結を、ステップＳ２０２で取得したトークンを鍵とする鍵付きハッシュ関数に入力し、ハッシュ値を算出し、算出したハッシュ値とメッセージ認証コードとが一致するか否かを判断する。
一致する場合、アクセス制御部１０４は、ステップＳ２０８の処理を実行する。一致しない場合、アクセス制御部１０４は、所定のエラー処理を実行する。例えば、アクセス制御部１０４は、データ取得の要求が正常でないことを表すエラー情報をアプリケーションに返す。その後、アクセス制御部１０４は、処理を終了する。一致する場合について説明を続ける。
（ステップＳ２０８）アクセス制御部１０４は、パラメータのタイムスタンプを用いて、データ取得の要求の受信時刻がタイムスタンプから一定期間内か否かを判断する。一定期間内である場合、アクセス制御部１０４は、ステップＳ２１０の処理を実行する。一定期間内でない場合、アクセス制御部１０４は、所定のエラー処理を実行する。例えば、アクセス制御部１０４は、データ取得の要求が正常でないことを表すエラー情報をアプリケーションに返す。その後、アクセス制御部１０４は、処理を終了する。一定期間内である場合について説明を続ける。
一致する場合、アクセス制御部１０４は、ステップＳ２０８の処理を実行する。一致しない場合、アクセス制御部１０４は、所定のエラー処理を実行する。例えば、アクセス制御部１０４は、データ取得の要求が正常でないことを表すエラー情報をアプリケーションに返す。その後、アクセス制御部１０４は、処理を終了する。一致する場合について説明を続ける。
（ステップＳ２０８）アクセス制御部１０４は、パラメータのタイムスタンプを用いて、データ取得の要求の受信時刻がタイムスタンプから一定期間内か否かを判断する。一定期間内である場合、アクセス制御部１０４は、ステップＳ２１０の処理を実行する。一定期間内でない場合、アクセス制御部１０４は、所定のエラー処理を実行する。例えば、アクセス制御部１０４は、データ取得の要求が正常でないことを表すエラー情報をアプリケーションに返す。その後、アクセス制御部１０４は、処理を終了する。一定期間内である場合について説明を続ける。
（ステップＳ２１０）アクセス制御部１０４は、パラメータのデータの種別で指定されたデータベースがプライバシに関するデータか否かを判断する。アクセス制御部１０４は、プライバシに関するデータである場合にはステップＳ２１２の処理を実行し、プライバシに関するデータでない場合にはステップＳ２１６の処理を実行する。プライバシに関するデータである場合について説明を続ける。
（ステップＳ２１２）アクセス制御部１０４は、クエリパラメータで指定されたクエリを用いて、ローカルクエリー制御部２０２が提供するＷｅｂ ＡＰＩを経由してプライバシＤＢ２０８からデータを抽出する。
（ステップＳ２１４）アクセス制御部１０４は、抽出したデータに対してプライバシ保護手法を適用し、グローバルクラウド経由で、アプリケーションに返す。その後、アクセス制御部１０４は、処理を終了する。
（ステップＳ２１６）ステップＳ２１０で、プライバシに関するデータでない場合、プライバシ制御部１０６は、ユーザ属性パラメータで指定されたデータの所有者の属性を用いて、ユーザＤＢ１１２を検索し、該当するデータの所有者のリストを取得する。
（ステップＳ２１８）プライバシ制御部１０６は、アプリケーションの種別とステップＳ２１６で取得した所有者のリストとを用いて、セキュリティポリシー管理部１０８が提供するＷｅｂ ＡＰＩを経由して、プライバシポリシーＤＢ２１０から、該当するデータの所有者のプライバシポリシーを取得する。
（ステップＳ２１２）アクセス制御部１０４は、クエリパラメータで指定されたクエリを用いて、ローカルクエリー制御部２０２が提供するＷｅｂ ＡＰＩを経由してプライバシＤＢ２０８からデータを抽出する。
（ステップＳ２１４）アクセス制御部１０４は、抽出したデータに対してプライバシ保護手法を適用し、グローバルクラウド経由で、アプリケーションに返す。その後、アクセス制御部１０４は、処理を終了する。
（ステップＳ２１６）ステップＳ２１０で、プライバシに関するデータでない場合、プライバシ制御部１０６は、ユーザ属性パラメータで指定されたデータの所有者の属性を用いて、ユーザＤＢ１１２を検索し、該当するデータの所有者のリストを取得する。
（ステップＳ２１８）プライバシ制御部１０６は、アプリケーションの種別とステップＳ２１６で取得した所有者のリストとを用いて、セキュリティポリシー管理部１０８が提供するＷｅｂ ＡＰＩを経由して、プライバシポリシーＤＢ２１０から、該当するデータの所有者のプライバシポリシーを取得する。
（ステップＳ２２０）プライバシ制御部１０６は、ステップＳ２１８で取得したプライバシポリシーを参照し、データの種別パラメータで指定されたＤＢのデータのうち、データの提供を許可する所有者のリスト（以下、「データの提供者のリスト」という。）を作成する。
（ステップＳ２２２）プライバシ制御部１０６は、クエリパラメータで指定されたクエリを用いて、ローカルクエリー制御部２０２が提供するＷｅｂ ＡＰＩを経由して、非プライバシＤＢ２０６からデータを取得する。
（ステップＳ２２４）プライバシ制御部１０６は、ステップ２１６で作成したデータの提供者のリストを用いて、ステップＳ２２２で取得したデータのうち、提供者のリストに存在する所有者のデータを抽出することによってフィルタリングする。プライバシ制御部１０６は、フィルタリングすることによって得られたデータを、データ品質制御部１０２へ出力する。
（ステップＳ２２２）プライバシ制御部１０６は、クエリパラメータで指定されたクエリを用いて、ローカルクエリー制御部２０２が提供するＷｅｂ ＡＰＩを経由して、非プライバシＤＢ２０６からデータを取得する。
（ステップＳ２２４）プライバシ制御部１０６は、ステップ２１６で作成したデータの提供者のリストを用いて、ステップＳ２２２で取得したデータのうち、提供者のリストに存在する所有者のデータを抽出することによってフィルタリングする。プライバシ制御部１０６は、フィルタリングすることによって得られたデータを、データ品質制御部１０２へ出力する。
（セキュリティゲートウェイ装置の動作（その３））
図９は、実施形態に係るセキュリティゲートウェイ装置の動作（その２）の一例を示すフローチャートである。図９は、データ取得の要求によって要求されたデータが、非プライバシＤＢ２０６に含まれるときに、データの品質を検証し、検証した結果を、データに付与して送信する処理を示す。
（ステップＳ３０２）データ品質制御部１０２は、プライバシ制御部１０６が出力したデータの品質を検証する。データ品質制御部１０２は、乱数検定を実施したり、カイ２乗検定等を用いて正規分布等に従った分布において５％棄却域に入るか否かを検定したり、他の同種のセンサーのデータとの類似性を検証したりする。
（ステップＳ３０４）データ品質制御部１０２は、ステップＳ３０２で実行された検証の結果をデータに付与し、検証の結果を付与したデータの認証コードを演算し、認証コードの演算結果を、私有鍵で暗号化することによって、電子署名を作成する。
（ステップＳ３０６）データ品質制御部１０２は、電子署名を付与したデータと検証の結果とを、アプリケーションへ返信する。
図９は、実施形態に係るセキュリティゲートウェイ装置の動作（その２）の一例を示すフローチャートである。図９は、データ取得の要求によって要求されたデータが、非プライバシＤＢ２０６に含まれるときに、データの品質を検証し、検証した結果を、データに付与して送信する処理を示す。
（ステップＳ３０２）データ品質制御部１０２は、プライバシ制御部１０６が出力したデータの品質を検証する。データ品質制御部１０２は、乱数検定を実施したり、カイ２乗検定等を用いて正規分布等に従った分布において５％棄却域に入るか否かを検定したり、他の同種のセンサーのデータとの類似性を検証したりする。
（ステップＳ３０４）データ品質制御部１０２は、ステップＳ３０２で実行された検証の結果をデータに付与し、検証の結果を付与したデータの認証コードを演算し、認証コードの演算結果を、私有鍵で暗号化することによって、電子署名を作成する。
（ステップＳ３０６）データ品質制御部１０２は、電子署名を付与したデータと検証の結果とを、アプリケーションへ返信する。
前述した実施形態では、ローカルクラウド毎に、一台のセキュリティゲートウェイ装置が含まれる場合について説明したが、この限りでない。例えば、ローカルクラウド毎に、複数のセキュリティゲートウェイ装置が含まれてもよい。この場合、複数のプライバシ保護装置は、同じ機能を有していてもよいし、異なる機能を有していてもよい。
前述した実施形態では、プライバシデータベースと非プライバシデータベースとを区分しない場合について説明したが、この例に限られない。例えば、プライバシデータベースと非プライバシデータベースとを区分してもよい。この場合、プライバシデータベース、及び非プライバシデータベースの各々に対して、ＤＢのＩＤとして、通し番号が付される。
前述した実施形態では、セキュリティゲートウェイ装置１００が検証結果にかかわらず、検証結果をアプリケーションに送信する場合ついて説明したが、この限りでない。例えば、検証結果の閾値を設定し、該閾値に基づいて、品質がよくない場合には、セキュリティゲートウェイ装置１００は、アプリケーションへ、データを送信しないようにしてもよい。
前述した実施形態では、セキュリティゲートウェイ装置１００が、データに品質の検証結果と電子署名とを付与して、送信する場合について説明したが、この限りでない。例えば、セキュリティゲートウェイ装置１００は、トークンを介してアプリケーションと共有した秘密鍵を用いて、メッセージ認証コード（ＭＡＣ（Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ））を計算し、電子署名の代わりに使用してもよい。
前述した実施形態では、アプリケーションが、事前に取得していたセキュリティゲートウェイ装置１００の公開鍵で、受信したデータに付与されている電子署名を検証する場合について説明したが、この例に限られない。例えば、アプリケーションは、データを受信した後に、そのデータに付与されている電子署名を検証するために、セキュリティゲートウェイ装置１００の公開鍵を取得するようにしてもよい。
前述した実施形態では、プライバシデータベースと非プライバシデータベースとを区分しない場合について説明したが、この例に限られない。例えば、プライバシデータベースと非プライバシデータベースとを区分してもよい。この場合、プライバシデータベース、及び非プライバシデータベースの各々に対して、ＤＢのＩＤとして、通し番号が付される。
前述した実施形態では、セキュリティゲートウェイ装置１００が検証結果にかかわらず、検証結果をアプリケーションに送信する場合ついて説明したが、この限りでない。例えば、検証結果の閾値を設定し、該閾値に基づいて、品質がよくない場合には、セキュリティゲートウェイ装置１００は、アプリケーションへ、データを送信しないようにしてもよい。
前述した実施形態では、セキュリティゲートウェイ装置１００が、データに品質の検証結果と電子署名とを付与して、送信する場合について説明したが、この限りでない。例えば、セキュリティゲートウェイ装置１００は、トークンを介してアプリケーションと共有した秘密鍵を用いて、メッセージ認証コード（ＭＡＣ（Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ））を計算し、電子署名の代わりに使用してもよい。
前述した実施形態では、アプリケーションが、事前に取得していたセキュリティゲートウェイ装置１００の公開鍵で、受信したデータに付与されている電子署名を検証する場合について説明したが、この例に限られない。例えば、アプリケーションは、データを受信した後に、そのデータに付与されている電子署名を検証するために、セキュリティゲートウェイ装置１００の公開鍵を取得するようにしてもよい。
本実施形態によれば、セキュリティゲートウェイ装置は、第１のドメインと第２のドメインとの間に設置される。セキュリティゲートウェイ装置は、サーバに記憶されたアプリケーションによって、第１ドメインを経由して、第２ドメインに記憶されているデータへのアクセス要求があった場合に、アクセス要求の正当性を検証し、正当性の検証の結果が成功であった場合に、データの所有者のプライバシポリシーに基づいて、データを取得する。これにより、データの所有者毎のプライバシに配慮して、情報を利活用できる。また、セキュリティゲートウェイ装置は、取得したデータの品質を検証し、データの品質の検証結果とデータとを、アプリケーションへ送信する。これにより、データのセキュリティに配慮して、情報を利活用できる。
つまり、セキュリティゲートウェイ装置は、各国の認証局により発行されたアプリケーションの挙動を規定する証明書と、データの管理者および所有者により階層的に定められたポリシー群とを用いてアクセス制御を行うことができるとともに、アクセス要求の対象であるデータを、アプリケーションに送信する際に、データの品質を検証し、検証結果に基づいて作成される電子署名を付与して送信することができる。
これによって、アプリケーションは、データの品質が保証されたデータを取得することができるため、ユーザは、アプリケーションによって取得されたデータを、安心して使用できる。
また、複数のローカルクラウドを有機的に結合したグローバルクラウド上において、アプリケーションは、ＩｏＴデバイスから収集された個人のプライバシに関わるデータをセキュリティおよびプライバシに配慮した形で利活用することができる。
また、セキュリティゲートウェイ装置は、ローカルクラウド上のデータベースの形式およびアプリケーションからのクエリの形式を問わないため、単一クラウドにおけるアーキテクチャを拡張する形で構築できる。
つまり、セキュリティゲートウェイ装置は、各国の認証局により発行されたアプリケーションの挙動を規定する証明書と、データの管理者および所有者により階層的に定められたポリシー群とを用いてアクセス制御を行うことができるとともに、アクセス要求の対象であるデータを、アプリケーションに送信する際に、データの品質を検証し、検証結果に基づいて作成される電子署名を付与して送信することができる。
これによって、アプリケーションは、データの品質が保証されたデータを取得することができるため、ユーザは、アプリケーションによって取得されたデータを、安心して使用できる。
また、複数のローカルクラウドを有機的に結合したグローバルクラウド上において、アプリケーションは、ＩｏＴデバイスから収集された個人のプライバシに関わるデータをセキュリティおよびプライバシに配慮した形で利活用することができる。
また、セキュリティゲートウェイ装置は、ローカルクラウド上のデータベースの形式およびアプリケーションからのクエリの形式を問わないため、単一クラウドにおけるアーキテクチャを拡張する形で構築できる。
以上、本発明の実施形態及びその変形例を説明したが、これらの実施形態及びその変形例は、例として提示したものであり、発明の範囲を限定することは意図していない。これら実施形態及びその変形例は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更、組合せを行うことができる。これら実施形態及びその変形例は、発明の範囲や要旨に含まれると同時に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。例えば、プライバシ保護装置が実行するプライバシ保護方法としても実現できる。
なお、上述の各装置は内部にコンピュータを有している。そして、上述した各装置の各処理の過程は、プログラムの形式でコンピュータ読み取り可能な記録媒体に記憶されており、このプログラムをコンピュータが読み出して実行することによって、上記処理が行われる。ここでコンピュータ読み取り可能な記録媒体とは、磁気ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、半導体メモリ等をいう。また、このコンピュータプログラムを通信回線によってコンピュータに配信し、この配信を受けたコンピュータが当該プログラムを実行するようにしてもよい。
また、上記プログラムは、前述した機能の一部を実現するためのものであってもよい。
さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であってもよい。
また、上記プログラムは、前述した機能の一部を実現するためのものであってもよい。
さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であってもよい。
上述した実施形態において、セキュリティゲートウェイ装置１００はセキュリティゲートウェイ装置の一例であり、第１のドメインはグローバルクラウドの一例であり、第２のドメインはローカルクラウドの一例であり、アクセス制御部１０４はアクセス制御部の一例であり、プライバシ制御部１０６はプライバシ制御部の一例であり、データ品質制御部は検証部、及び送信部の一例である。
１００…セキュリティゲートウェイ装置、１０２…データ品質制御部、１０４…アクセス制御部、１０６…プライバシ制御部、１０８…セキュリティポリシー管理部、１１０…トークンＤＢ、１１２…ユーザＤＢ、１１４…セキュリティポリシーＤＢ、２００…ローカルクラウド、２０２…ローカルクエリー制御部、２０４…プライバシポリシー管理部、２０６…非プライバシＤＢ、２０８…プライバシＤＢ、２１０…プライバシポリシーＤＢ、３００…グローバルクラウド、３０２…グローバルクエリー制御部、４００…アプリケーション、５００…プライバシ証明書ＤＢ
Claims (8)
- グローバルクラウドとローカルクラウドとの接点に設置されるセキュリティゲートウェイ装置であって、
アプリケーションサーバに記憶されたアプリケーションによって、前記グローバルクラウドを経由して、前記ローカルクラウドに記憶されているＩｏＴデバイスから収集されるデータへのアクセス要求があった場合に、前記アプリケーションサーバが設置された国の法律またはガイドラインに応じて、前記アクセス要求の正当性を検証するアクセス制御部と、
前記正当性の検証の結果が成功であった場合に、前記データの所有者のプライバシポリシーに基づいて、前記データを取得するプライバシ制御部と、
前記プライバシ制御部が取得した前記データの品質を検証する検証部と、
前記データの品質の検証結果と前記データとを、前記アプリケーションへ送信する送信部と
を備え、
前記プライバシポリシーは、アプリケーションの種別に対応付けて、データの種別ごとにデータの所有者がデータの提供を認可するか否かを規定する、セキュリティゲートウェイ装置。 - 前記プライバシ制御部は、前記プライバシポリシーに基づいて、データの前記所有者のプライバシに関わらないデータを取得する、請求項１に記載のセキュリティゲートウェイ装置。
- 前記検証部は、前記データが偽造されたものであるか否かを検証する、請求項１又は請求項２に記載のセキュリティゲートウェイ装置。
- 前記検証部は、前記データが異常値であるか否かを検証する、請求項１から請求項３のいずれか一項に記載のセキュリティゲートウェイ装置。
- 前記検証部は、前記データの取得元が不正であるか否かを検証する、請求項１から請求項４のいずれか一項に記載のセキュリティゲートウェイ装置。
- 前記送信部は、前記データの品質の検証結果と前記データとに基づいて生成した電子署名とを、前記データに付して送信する、請求項１から請求項５のいずれか一項に記載のセキュリティゲートウェイ装置。
- グローバルクラウドとローカルクラウドとの接点に設置されるセキュリティゲートウェイ装置が実行する方法であって、
アプリケーションサーバに記憶されたアプリケーションによって、前記グローバルクラウドを経由して、前記ローカルクラウドに記憶されているＩｏＴデバイスから収集されるデータへのアクセス要求があった場合に、前記アプリケーションサーバが設置された国の法律またはガイドラインに応じて、前記アクセス要求の正当性を検証するステップと、
前記正当性の検証の結果が成功であった場合に、前記データの所有者のプライバシポリシーに基づいて、前記データを取得するステップと、
取得した前記データの品質を検証するステップと、
前記データの品質の検証結果と前記データとを、前記アプリケーションへ送信するステップと
を有し、
前記プライバシポリシーは、アプリケーションの種別に対応付けて、データの種別ごとにデータの所有者がデータの提供を認可するか否かを規定する、方法。 - グローバルクラウドとローカルクラウドとの接点に設置されるセキュリティゲートウェイ装置のコンピュータに、
アプリケーションサーバに記憶されたアプリケーションによって、前記グローバルクラウドを経由して、前記ローカルクラウドに記憶されているＩｏＴデバイスから収集されるデータへのアクセス要求があった場合に、前記アプリケーションサーバが設置された国の法律またはガイドラインに応じて、前記アクセス要求の正当性を検証するステップと、
前記正当性の検証の結果が成功であった場合に、前記データの所有者のプライバシポリシーに基づいて、前記データを取得するステップと、
取得した前記データの品質を検証するステップと、
前記データの品質の検証結果と前記データとを、前記アプリケーションへ送信するステップと
を実行させ、
前記プライバシポリシーは、アプリケーションの種別に対応付けて、データの種別ごとにデータの所有者がデータの提供を認可するか否かを規定する、プログラム。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2017063686A JP6719413B2 (ja) | 2017-03-28 | 2017-03-28 | セキュリティゲートウェイ装置、方法、及びプログラム |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2017063686A JP6719413B2 (ja) | 2017-03-28 | 2017-03-28 | セキュリティゲートウェイ装置、方法、及びプログラム |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2018165951A JP2018165951A (ja) | 2018-10-25 |
| JP6719413B2 true JP6719413B2 (ja) | 2020-07-08 |
Family
ID=63922932
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2017063686A Active JP6719413B2 (ja) | 2017-03-28 | 2017-03-28 | セキュリティゲートウェイ装置、方法、及びプログラム |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP6719413B2 (ja) |
Families Citing this family (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN113228022B (zh) * | 2018-12-20 | 2024-01-26 | 日本电信电话株式会社 | 分析查询应答系统、分析查询应答方法以及记录介质 |
| JP7287207B2 (ja) | 2019-09-13 | 2023-06-06 | 富士通株式会社 | 情報処理装置、制御プログラムおよび制御方法 |
Family Cites Families (11)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2001265771A (ja) * | 2000-03-22 | 2001-09-28 | Nippon Telegr & Teleph Corp <Ntt> | 個人情報管理装置、個人情報管理方法、及び個人情報管理装置または方法を実行するプログラムを記録した記録媒体 |
| WO2005122034A1 (ja) * | 2004-06-14 | 2005-12-22 | Olympus Corporation | データマネージメントシステム |
| JP4512083B2 (ja) * | 2006-12-20 | 2010-07-28 | トレンドマイクロ株式会社 | ネットワークを介して通信端末に提供されるプログラムに対する伝送経路上でのセキュリティの確保 |
| US20120185911A1 (en) * | 2010-09-30 | 2012-07-19 | Khandys Polite | Mlweb: a multilevel web application framework |
| US9124632B2 (en) * | 2011-12-13 | 2015-09-01 | At&T Intellectual Property I, L.P. | Method and apparatus for providing privacy management in machine-to-machine communications |
| JP5772692B2 (ja) * | 2012-04-12 | 2015-09-02 | トヨタ自動車株式会社 | 車載制御装置の認証システム及び車載制御装置の認証方法 |
| US9271146B2 (en) * | 2014-03-20 | 2016-02-23 | International Business Machines Corporation | Mobile privacy information proxy |
| JP6371177B2 (ja) * | 2014-09-17 | 2018-08-08 | 株式会社日立ソリューションズ | ゲートウェイ装置、データ処理システム及びデータ処理方法 |
| CN107852405B (zh) * | 2015-07-02 | 2021-02-02 | 康维达无线有限责任公司 | 用于服务层的内容安全性的装置 |
| JP6484519B2 (ja) * | 2015-07-15 | 2019-03-13 | 日立オートモティブシステムズ株式会社 | ゲートウェイ装置およびその制御方法 |
| US10122685B2 (en) * | 2015-08-26 | 2018-11-06 | Tatung Company | Method for automatically establishing wireless connection, gateway device and client device for internet of things using the same |
-
2017
- 2017-03-28 JP JP2017063686A patent/JP6719413B2/ja active Active
Also Published As
| Publication number | Publication date |
|---|---|
| JP2018165951A (ja) | 2018-10-25 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US11093643B2 (en) | Method and system for accessing anonymized data | |
| US11281779B2 (en) | Systems and methods for privacy management using a digital ledger | |
| US20230091605A1 (en) | Accessing an internet of things device using blockchain metadata | |
| US11438338B2 (en) | Core network access provider | |
| CN109687959B (zh) | 密钥安全管理系统和方法、介质和计算机程序 | |
| US11791990B2 (en) | Apparatus and method for managing personal information | |
| US11126743B2 (en) | Sensitive data service access | |
| EP2404258B1 (en) | Access control using identifiers in links | |
| CN111416822B (zh) | 访问控制的方法、电子设备和存储介质 | |
| US9037849B2 (en) | System and method for managing network access based on a history of a certificate | |
| US11089028B1 (en) | Tokenization federation service | |
| JP6572750B2 (ja) | 認証制御プログラム、認証制御装置、及び認証制御方法 | |
| JP6548936B2 (ja) | セキュリティゲートウェイ装置、方法及びプログラム | |
| JP6688266B2 (ja) | 本人確認情報提供方法および本人確認情報提供サーバ | |
| EP3817320B1 (en) | Blockchain-based system for issuing and validating certificates | |
| US20170104748A1 (en) | System and method for managing network access with a certificate having soft expiration | |
| JP6719413B2 (ja) | セキュリティゲートウェイ装置、方法、及びプログラム | |
| Russo et al. | A system to access online services with minimal personal information disclosure | |
| KR102496829B1 (ko) | 블록체인 기반 id 관리 장치 및 방법 | |
| JP2023542578A (ja) | トークン償還による匿名認証 | |
| US11954672B1 (en) | Systems and methods for cryptocurrency pool management | |
| JP2007183736A (ja) | 認証システム及び認証方法 | |
| Fernandez et al. | The secure and trustable distributed name system pattern | |
| JP2005339120A (ja) | 属性情報出力装置、属性情報出力システム、および属性情報出力方法 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A821 Effective date: 20170329 |
|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20190305 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20200128 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20200212 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20200403 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20200602 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20200616 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 6719413 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |