JP7182340B2 - パブリック・ホスト・プラットフォームのためのデータ・サニタイズをするシステム、方法及びコンピュータ・プログラム - Google Patents

Description

本出願は、データ・サニタイズ・システム（data sanitization system）に関し、より特定的には、非機密情報（non-sensitive information）を含むメッセージのデータ構造をそのままにしながら、メッセージから機密クライアント情報を匿名化し（anonymize）、それにより、クライアント・データが、サード・パーティ・サービスによって匿名で処理されるのを可能にする、システム、方法、及びコンピュータ・プログラムに関する。

パブリック・クラウド・サービスは、クラウド・コンピューティングの１つの形態であり、そこでは、組織は、サーバ、データ・ストレージ、アプリケーション、エンタープライズ・コンピューテーション等といったサービスのために、サード・パーティのクラウド・サービス・プロバイダに依存し、それらのサービスは、インターネットを通じて組織に配信される。パブリック・クラウド・サービスは、会社を、それぞれのオンプレミス・ハードウェア及びソフトウェア・インフラストラクチャを購入、管理、及び維持しなければならない高価なコストから解放することができる。パブリック・クラウドはまた、パブリック・クラウド・プロバイダの専門知識及び既存のインフラストラクチャの結果として、オンプレミス・インフラストラクチャと比べると著しく迅速にかつより高い拡張性及びアクセス性を有した状態でデプロイされる。組織はさらに、独自のアプリケーションを、パブリック・クラウドによりホストさせながら開発することさえも可能である。

しかしながら、パブリック・クラウド・サービスは、一般的には、サード・パーティにより提供され、これらのサード・パーティに、組織及びその構成員の機密情報へのアクセスを提供する。機密情報は、個人の識別を区別又は追跡するのに用いることができる個人（又は、個人と関連付けられたユーザ・デバイス）についてのいずれかの情報である個人識別可能情報（ＰＩＩ：personally identifiable information）を含む。ＰＩＩは、個人情報の盗用のため、又は犯罪行為の計画を助けるために、犯罪者により利用されることが多い。ＰＩＩの盗用の脅威のため、多くの管轄区域は、ＰＩＩの保護を必要とする立法を通過させている。さらに、組織には、ＰＩＩとして分類されない場合でも、そのビジネスに対して敏感な民間会社の情報を保護したいという動機がある。

非機密情報を含むメッセージのデータ構造をそのままにしながら、メッセージから機密クライアント情報を匿名化し、それにより、クライアント・データが、サード・パーティ・サービスにより匿名で処理されるのを可能にする、システム、方法、及びコンピュータ・プログラムを提供する。

１つの例示的実施形態において、クライアント・デバイスから伝送された、サービス提供コンピューティング・システムにより処理するための所定の構造フォーマットを含むメッセージを受け取り、メッセージのタイプを判断し、判断されたメッセージのタイプに基づいてメッセージ内の１つ又は複数の機密フィールドを検知し、所定の構造フォーマットをそのままにしながら、メッセージ内の１つ又は複数の機密フィールの値を匿名化することができるプロセッサと、そのままの所定の構造フォーマットを有する、１つ又は複数の匿名化値を含む匿名化メッセージをサービス提供コンピューティング・システムに伝送することができるネットワーク・インターフェースと、のうちの１つ又は複数を含む、コンピューティング・システムが提供される。

別の例示的実施形態において、クライアント・デバイスから伝送された、サービス提供コンピューティング・システムにより処理するための所定の構造フォーマットを含むメッセージを受け取ることと、メッセージのタイプを判断し、判断されたメッセージのタイプに基づいてメッセージ内の１つ又は複数の機密フィールドを検知することと、所定の構造フォーマットをそのままにしながら、メッセージ内の１つ又は複数の機密フィールの値を匿名化することと、そのままの所定の構造フォーマットを有する、１つ又は複数の匿名化値を含む匿名化メッセージをサービス提供コンピューティング・システムに伝送することと、のうちの１つ又は複数を含むコンピュータ実施方法が提供される。

別の例示的実施形態において、実行されたとき、コンピュータに、クライアント・デバイスから伝送された、サービス提供コンピューティング・システムにより処理するための所定の構造フォーマットを含むメッセージを受け取ること、メッセージのタイプを判断し、判断されたメッセージのタイプに基づいてメッセージ内の１つ又は複数の機密フィールドを検知することと、所定の構造フォーマットをそのままにしながら、メッセージ内の１つ又は複数の機密フィールドを匿名化することと、そのままの所定の構造フォーマットを有する、１つ又は複数の匿名化値を含む匿名化メッセージをサービス提供コンピューティング・システムに伝送することと、のうちの１つ又は複数を実行させるプログラム命令がそこに格納された非一時的コンピュータ可読媒体が提供される。

１つの例示的実施形態において、プロキシ・システムから、所定の構造フォーマット、メッセージの１つ又は複数の機密データ・フィールド内に含まれる匿名化値、及びメッセージの残りのデータ・フィールド内の非識別値（non-identifying value）を含む匿名化メッセージを受け取ることができるネットワーク・インターフェースと、メッセージ内の残りのデータ・フィールドから処理されるべきデータを識別し、１つ又は複数の機密データ・フィールド内に含まれる匿名値を用いることなく、残りのデータ・フィールドから識別されたデータに対する処理を実行して、匿名化メッセージについての処理結果を生成することができるプロセッサと、のうちの１つ又は複数を含み、プロセッサはさらに、ネットワーク・インターフェースを制御して、生成された処理結果に基づいて応答メッセージをプロキシ・システムに伝送するように構成された、コンピューティング・システムが提供される。

別の例示的実施形態において、プロキシ・システムから、所定の構造フォーマット、メッセージの１つ又は複数の機密データ・フィールド内に含まれる匿名化値、及びメッセージの残りのデータ・フィールド内の非識別値を含む匿名化メッセージを受け取ることと、メッセージ内の残りのデータ・フィールドから処理されるべきデータを識別し、１つ又は複数の機密データ・フィールド内に含まれる匿名値を用いることなく、残りのデータ・フィールドから識別されたデータに対する処理を実行して、匿名化メッセージについての処理結果を生成することと、生成された処理結果に基づいて応答メッセージをプロキシ・システムに伝送することと、のうちの１つ又は複数を含むコンピュータ実施方法が提供される。

他の特徴及び変更は、図面及び特許請求の範囲と関連して用いられる以下の説明から明らかであり得る。

ここで、単なる例として、以下の図面を参照して本発明の好ましい実施形態を説明する。

例示的実施形態によるパブリック・ホスト・プラットフォームのためのサニタイズ・システムを示す図である。 例示的実施形態による、パブリック・クラウド・サービスと通信するサニタイズ・プロキシを示す図である。 例示的実施形態による、メッセージから機密クライアント・データを匿名化するプロセスを示す図である。 例示的実施形態による、データをサニタイズするための方法を示す図である。 例示的実施形態による、サニタイズされたデータを受け取り、処理するための方法を示す図である。 例示的実施形態による、コンピューティング・システムを示す図である。

本明細書で図に一般的に説明され、示されるように、本出願の構成要素は、様々な異なる構成で配置し、設計できることが容易に理解されるであろう。従って、添付図面に示されるような、方法、装置、非一時的コンピュータ可読媒体及びシステムの少なくとも１つの実施形態の以下のより詳細な説明は、特許請求される本出願の範囲を限定することを意図したものではなく、単に選択される実施形態を表すものにすぎない。

本明細書の全体を通して説明されるようの特徴、構造、又は特性は、実施形態の全体を通して任意の適切な方法で組み合わせることができる。さらに、本明細書の全体を通して、「例示的実施形態」、「幾つかの実施形態」、又は他の類似の言語などの句の使用は、実施形態と関連して説明される特定の特徴、構造、又は特性が、少なくとも１つの実施形態に含まれ得ること、及び他の実施形態から省略されるものと解釈すべきでなないことを示すために用いられる。従って、「例示的実施形態」、「幾つかの実施形態において」、「他の実施形態において」、又は他の類似の言語などの句の出現は、実施形態の同じグループを参照するために用いることがあり、１つ又は複数の実施形態において、説明される特徴、構造、又は特性は、任意の適切な方法で組み合わせることができる。

さらに、「メッセージ」という用語が、実施形態の説明において用いられ得るが、本出願は、パケット、フレーム、データグラム等のような多くのタイプのネットワーク・データに適用することができる。「メッセージ」又は「要求」という用語は、パケット、フレーム、データグラム、及びそのいずれかの同等物を含むことができる。さらに、例示的実施形態において、特定のタイプのメッセージ及び信号伝達（signaling）要求が示され得るが、それらは特定のタイプのメッセージに限定されず、本出願は、特定のタイプの信号伝達に限定されない。

本出願は、データ・サニタイズ・システムに関し、より特定的には、メッセージがパブリック・クラウドに配信される前に、メッセージから機密の個人識別情報（personally identifying information）を除去し、それにより、プライベート・ネットワークのユーザの個人情報のセキュリティを高める、プライベート・ネットワークのプロキシ・システムに関する。さらに、実施形態は、機密データ・フィールド内の匿名化されたデータ値と、残りのデータ・フィールド内の非識別値（non-identifying value）とを有する匿名化メッセージを受け取るクラウド・サービス・システムも提供する。クラウド・サービス・システムは、メッセージの非識別値からクライアント・データに対するサービスを実行し或いは遂行し、処理結果を生成することができる。さらに、クラウド・サービス・システムは、処理結果に基づいて、応答メッセージをプロキシ・システムに伝送することができる。この例において、応答メッセージは、いずれの個人識別可能情報も有することなく、機密データ・フィールド内に匿名化されたデータ値を含むことができる。プロキシは、匿名化された機密データ・フィールド内に埋め込まれたキー識別子を用いて、機密データを復号し、クライアントを判断し、処理結果を対応するクライアント・システムに伝送することができる。

不正（fraud）及び他の犯罪活動を防止するために、データ処理及びストレージのためのサード・パーティ・クラウド・サービスを使用する組織は、クラウドに送られたデータが、いずれかのＰＩＩ又は機密情報を含む場合に保護されることを確認すべきである。例示的実施形態は、パブリック・クラウドにおけるデータ処理及びストレージのための、機密又は個人識別可能情報（ＰＩＩ）をサニタイズするためのシステムを提供し、組織が、ＰＩＩデータのような機密データを暴露するリスクなしにサード・パーティ・クラウド・サービスを利用することを可能にする。

関連したシステムは、クラウドにデータを送る前に、全てのクライアント／メッセージ・データを暗号化しようと試みることができる。これは、クラウドが、復号キーにアクセスできるパーティの間でのみデータを格納及び／又は共有するために用いられる場合には容認可能な解決法であり得る。しかしながら、関連したシステムでは、暗号化キーを有さないサード・パーティ・クラウド・サービスが、データを復号し、データ操作を実行することができない。さらに、この手順は、わずかな比率しか機密情報を含まない場合でも、データの全てを暗号化し、処理オーバーヘッドを増大させる。他の関連したシステムは、クラウド内に復号サーバを保持することができる、又はデータを保護するためにクラウド・サービス・プロバイダに依存するので、処理のためにプレーンテキスト情報にアクセスすることができる。しかしながら、これらは、転送、ストレージ及び処理の際にＰＩＩ又は機密データを保護するために別のエンティティを信頼しなければならず、かつ、ＰＩＩの他の機密データを、それが属する組織の外部で復号し、アクセスできるという欠点を有する。

例示的実施形態は、組織の個人データとサード・パーティ（例えば、パブリック）クラウド・サービスとの間のプロキシとして動作し、データ・メッセージ／フィールドの構造を変えることなく、クラウドに送られる前に、テキスト又はバイナリ・データ内のＰＩＩ又は機密情報のみを選択的に匿名化する（例えば、暗号化する、覆い隠す等）システムに向けられる。これは、ＰＩＩ又は機密データを暴露するリスクなしに、使用されているクラウド・サービスがデータを正しく処理することを可能にする。システムは、クラウド・サービスから結果を受け取ったときにデータを復号することも可能にし、クラウド内の古いキーを用いて、暗号化され既に格納されたデータを依然として復号できることを確実にしながら、暗号化キーを最良のセキュリティ慣行に従うように定期的に変更する方法を提供する。さらに、プロキシは、プライベート・ネットワークの一部とすることができる。それに応じて、プレーンテキストＰＩＩ及び機密データ、並びにデータを暗号化／復号するのに用いられるキーは、決して私企業から出て行くことがなく、パブリック・クラウドを使用している間、機密又はＰＩＩデータを暴露するリスクを除去することができる。

図１は、例示的実施形態による、パブリック・ホスト・プラットフォームのためのサニタイズ・システム１００を示す。図１を参照して、システム１００は、プライベート・ネットワーク（例えば、企業リソース・ネットワーク等）の一部とすることができる複数のクライアント・デバイス１１０、プロキシ・システム１２０、及びパブリック・クラウド上でデータ処理及び動作を実行するためのクラウド・ベースのパブリック・サービスのようなパブリック・サービスをホストする複数のホスト・サーバ１３０を含む。種々の実施形態によると、プロキシ・システム１２０（例えば、ローカル・ネットワーク・サーバ）は、クライアント・デバイス１１０を含むプライベート・ネットワークの一部とすることもできるが、実施形態はそれに限定されない。クライアント・デバイス１１０とホスト・サーバ１３０との間の通信プロセス中、プロキシ・システム１２０は、クライアント・デバイス１１０により伝送され、ホスト・サーバ１３０に向けられたメッセージをインターセプトし或いは受け取り、メッセージをサニタイズして機密クライアント情報を除去或いは匿名化することができる。その結果、最終的にホスト・サーバ１３０に送られるメッセージは、ホスト・サーバ１３０に対して完全に匿名にすることができる。図１の例において、１つのプロキシ・システム１２０が示される。しかしながら、システム１００は、プライベート・ネットワーク上のクライアント・デバイス１１０の異なるセグメントにサービスするために複数のプロキシ・システム１２０（例えば、プライベート・ネットワークの異なるローカル・サーバにおける）を含むことができる。

種々の実施形態によると、プロキシ・システム１２０は、データ・フィールドの値の暗号化を実行し、機密データ・フィールドについての暗号化されたデータ値をもたらすことにより、クライアントからの機密データを匿名化する。さらに、プロキシ・システム１２０は、メッセージをホスト・サーバ１３０に伝送する前に、用いられる暗号化キーのキー識別子を暗号化されたデータ値（又は、メッセージ内のどこか別の場所）に付加することができる。ホスト・サーバ１３０は、匿名データを用いずに、メッセージ内に含まれる非識別データに対してサード・パーティ・サービスを実行し、処理結果を生成することができる。さらに、ホスト・サーバ１３０は、処理結果に基づいて、応答メッセージをプロキシ・システム１２０に伝送することもできる。応答メッセージは、機密データ・フィールド内に匿名データ値を含むことができる。

それに応じて、プロキシ・システム１２０は、キー識別子に基づいて、ホスト・サーバ１３０によりホストされるクラウド・サービスから返された暗号化フィールドを復号することができる。キー識別子は、クラウドに送られたデータと共に含められるデータを暗号化するために用いられる暗号化キーのための一意のプライベート識別子であり得る。キー識別子は、クラウド・サービスから受け取ったデータを復号するのに必要とされる復号キーを識別するために、システムにより用いられるが、サード・パーティが復号キーを再構成するためのいずれの情報も含まない。キー識別子は、プロキシ・システム１２０がデータをクラウドに送る前に、プロキシ・システム１２０により暗号化されたメッセージ・フィールドに追加すること或いは付加することができる。クラウド・サービス・ホスト・サーバ１３０から受け取った処理結果内のフィールドのいずれもキー識別子を含む場合、プロキシ・システム１２０は、フィールドが暗号化したデータを含み、キー識別子を用いて正しい復号キーを識別し、クラウド・サービスにアクセスしている対応するクライアント・デバイス１１０に結果を転送する前に、フィールドを復号する。

プロキシ・システム１２０の使用により、使用されるクラウド・サービスが、ひとたび格納されるとデータの更新を許容しない場合でも、依然として、古いキーを用いて、クラウド内に既に格納されたデータを復号できることを確実にしながら、新しいデータのために使用される暗号化キーを容易に変更することが可能になる。この例において、サービスから受け取った古いデータを、そのキー識別子により配置された古いキーで復号しながら、新しいキー識別子を新しく暗号化されたデータに追加することができる。古いキーは、クラウド・サービスのデータ保持期間が終わるまで、プロキシ・システム１２０上に格納され得る。データを処理又は分析するクラウド・サービスが、暗号化／サニタイズする必要があるフィールドのための予め定められたフォーマットを用いる構造化データを求める場合、フィールド・フォーマット保持暗号化アルゴリズムが用いられる。この場合、キー識別子は、余分なフィールドとして追加されるか、又は使用されているクラウド・サービスにより処理されない既存のフィールドがキー識別子と置き換えられる。

図２は、例示的実施形態によるパブリック・クラウド・サービスと通信するサニタイズ・プロキシを示す。この例において、クライアント・データは、プロキシ・システム２１０（図１のプロキシ・システム１２０に対応する）によりインターセプトされる。この例におけるプロキシ・システム２１０は、エンコーダ／デコーダ・モジュール２１１と、パーサ２１２と、暗号化／復号モジュール２１３と、暗号化キー及びキー識別子のための参照テーブルを格納する安全なキー・ストア２１４とを含む。プロキシ・システム２１０は、テキスト文書、ＨＴＭＬ、ＸＭＬ、ＪＳＯＮ、ログ・データ、イベント等のようなテキスト・フォーマットのサニタイズに限定されない。プロキシ・システム２１０はまた、カスタマイズされたエンコーダ／デコーダ・モジュールの助けを借りて、種々の文書フォーマット及びＮｅｔＦｌｏｗ／ＩＰＦＩＸフロー・データのようなバイナリ・フォーマットのサニタイズもサポートする。

種々の実施形態によると、プロキシ・システム２１０は、メッセージのデータ・タイプを判断し、対応するデコーダ２１１を呼び出し、デコードされたデータをパーサ２１２に渡して、暗号化のためにＰＩＩ及び／又は他の機密データ・フィールドを識別する。次に、メッセージ内の機密データが暗号化／復号モジュール２１３により暗号化され、次に、エンコーダ・モジュール２１１によりオリジナル・フォーマットで再エンコードされ、クラウド・サービスに転送される。転送されたデータは、クラウド・サービス２２０には完全に匿名であるが、データ・メッセージは、そのままの所定の構造フォーマットを有し、それにより、クラウド・サービス２２０が、匿名メッセージに残された残りのデータ（すなわち、非識別データ）に対するソフトウェア・プロセスを実行することを可能にする。例えば、クラウド・サービス２２０は、匿名メッセージ・データに対して、ストレージ２２４内に格納された１つ又は複数のプログラム／サービスを実行するプロセッサ２２２を含むことができる。

さらに、処理結果に基づいて、クラウド・サービス２２０は、機密データ・フィールド内に同じ匿名データを含む応答メッセージを生成し、応答メッセージをプロキシ・システム２１０に伝送する。クラウド・サービス２２０から受け取ったデータに関して、プロキシ・システム２１０により、デコード、復号、及び復号されたデータの再エンコードのための同様のプロセスが続く。プロキシ・システム２１０は、共通のバイナリ・フォーマットのための内蔵型エンコーダ／デコーダ、並びに、カスタム・エンコーダ／デコーダをプラグインする能力を提供することができる。さらに、プロキシ・システム２１０は、キー識別子を安全なキー・ストレージ２１４内に格納するので、プロキシ・システム２１０は、キー識別子を含むメッセージ・フィールドを検知し、キー識別子にリンクされた復号キーに基づいてメッセージ・フィールドを復号し、それにより、クライアント・システムの個人識別可能情報が明らかになる。従って、プロキシ・システム２１０は、処理結果を対応するクライアント・システムに転送することができる。

場合によっては、データ・サニタイズ・プロキシ・システムは、企業ネットワーク上のクライアントのみに利用可能であり得る。例えば、移動中、例えばモバイル・デバイス上で、企業ネットワークの外部のクラウド・サービスにアクセスするクライアントは、依然としてクラウド・サービスを使用できるが、ＰＩＩ及び機密データ・フィールドの暗号化された値しか見ることができない。プレーンテキストＰＩＩ及び機密データ、並びにそれらを暗号化／復号するために用いられるキーは、決して私企業から出て行くことがない。これを用いて、ＰＩＩ又は機密データを含むデータを処理するためにパブリック・サービスを使用することを可能にしながら、ＰＩＩ及び機密データがパブリック・ネットワーク又はサービスに暴露されないことを保証することができる。

どのフィールドがＰＩＩ／機密と考えられるかは、サニタイズ・プロキシ管理者により構成可能であり、ＰＩＩとは考えられないが、組織が機密であると考えるデータも含むことができる。機密情報の例として、社会保障番号、従業員名、従業員の電話番号、内部ＩＰアドレス等が挙げられる。さらに、機密情報は、クラウド・サービス２２０により実行されているクラウド・サービスのタイプに基づいて異なり得る。クラウド・サービスの限定されない例として、クラウド・セキュリティ・ブローカ、クラウド・セキュリティ・ログ分析器、クラウド・ログ・アーカイバ、クラウド統計データ分析器、クラウド・ストレージ・サービス等が挙げられる。サニタイズされているクライアント・データは、ＪＳＯＮ、テキスト、ｘｍｌ、ｃｓｖ、ｓｙｓｌｏｇ、ウィンドウズ・セキュリティ・イベント・ログ、カスタム・フォーマット等を含む任意のフォーマットのものとすることができる。サニタイズ・プロキシ・システム２１０は、それが処理しているデータのフォーマットを理解する必要はない。さらに、クライアント、プロキシ・システム２１０、及びクラウド・サービス２２０の間のデータ転送は、大部分のクラウド・サービスにより使用されるプロトコルのように、ＨＴＴＰ／ＨＴＴＰＳプロトコル（ウェブ要求）であり得る。

機密データ・フィールドを生成するために、プロキシ管理者は、機密データを含み得るメッセージのタイプを識別する正規表現又は他の情報を構成することができ、メッセージの各タイプ内のＰＩＩ／機密フィールドに合致する正規表現を構成する。データがクライアントから入ってくると、プロキシ・システム２１０は、構成を用いて処理する必要があるメッセージ・タイプを認識することができる。次に、プロキシ２１０は、そのタイプのメッセージ用に構成された正規表現を適用し、データのフォーマットを変えることなく、合致する機密フィールドのみを置き換え、メッセージをクラウド・サービス２２０に転送することができる。幾つかの実施形態において、プロキシ・システム２１０は、電話番号、社会保障番号等のような共通ＰＩＩフィールド用に既に組み込まれたデフォルトの正規表現を備えることができるが、管理者は、サニタイズしたいと望むあらゆる他のタイプのデータについてそれぞれの正規表現を定めることができる。

図３は、例示的実施形態による、メッセージから機密クライアント・データを匿名化するサニタイズ・プロセスを示す。この例において、クライアント・デバイスから、イベント・ログ・メッセージ３００Ａを受け取り、プロキシ・システムは、そのままのイベント・ログ・メッセージの所定の構造フォーマットを有する匿名メッセージ３００Ｂを生成する。具体的には、プロキシ・システムは、ユーザ名、ターゲット・ドメイン、及びネットワーク・アドレスを含む機密データ・フィールドの値を暗号化し、暗号化された値を匿名メッセージ３００Ｂに挿入する。さらに、プロキシは、キー識別子３１１を、フィールド内の各機密データ・フィールドの暗号化された値の終わりに付加する。しかしながら、実施形態は、これに限定されるものではなく、キー識別子は、ヘッダ又はこのタイプのサービスに用いられていないフィールドなど、メッセージ内のどこにでも挿入することができる。

例えば、組織は、侵入又は不審な活動の何らかの証拠についての内部ログを分析するために、クラウド・セキュリティ・ブローカ又はセキュリティ・ログ分析器を使用したいと望むことがある。組織は、ＷＩＮＤＯＷＳ（登録商標）セキュリティ・ログ・フォーマット及びＬＩＮＵＸ（登録商標）ｓｙｓｌｏｇフォーマットでログを生成するＷＩＮＤＯＷＳ（登録商標）及びＬＩＮＵＸ（登録商標）デバイスを有し得る。従って、組織は、これらのフォーマットをサポートするクラウド・ログ分析器のクラウド・サービスを選択することができる。組織は、ログをクラウド・サービスに送るように内部ログ・コレクタ・デバイスを構成できるが、組織は、ログ内のＰＩＩ及び機密データがクラウドに送られないことを確認したいと望む。従って、クラウド・ログ分析器に送られるデータをインターセプトし、それを転送する前にサニタイズするよう、サニタイズ・プロキシ・システムを構成することができる。Ｍｉｃｒｏｓｏｆｔ、Ｗｉｎｄｏｗｓ、Ｗｉｎｄｏｗｓ ＮＴ及びＷｉｎｄｏｗｓ ｌｏｇｏは、米国、他の国、又はその両方におけるＭｉｃｒｏｓｏｆｔ Ｃｏｒｐｏｒａｔｉｏｎの商標である。

例えば、サニタイズ・システムは、図３に示されるようなＷｉｎｄｏｗｓセキュリティ・イベント・ログ・メッセージ３００Ａをインターセプトする。ここで、サニタイズ・システムは、ＷＩＮＤＯＷＳ（登録商標）セキュリティ・イベント・ログ及びＬＩＮＵＸ（登録商標）ｓｙｓｌｏｇログを認識するように構成される。プロキシ・システムは、その構成を用いて、メッセージをセキュリティ・イベント・ログ・メッセージとして識別することができる。次に、プロキシ・システムは、このタイプのメッセージを用いて何を行うべきかをチェックすることができる。プロキシ管理者は、ユーザ名、ターゲット・ドメイン、及びソース・ネットワーク・アドレス・フィールドを、これらのフィールドを識別する正規表現を用いて、セキュリティ・イベント・ログ・メッセージからサニタイズするように構成されている。サニタイズ・システムは、オリジナル・メッセージのフォーマットを変えることなく、これらのフィールドを暗号化するので、クラウド・ログ分析器は、それを依然としてセキュリティ・イベント・ログとして認識し、処理することができる。プロキシは、メッセージ３００Ａを匿名メッセージ３００Ｂに変換する。しかしながら、元のメッセージの構造はそのままにされるが、機密フィールドは置き換えられる。例えば、従業員名ｊｏｈｎ．ｄｏｅは、暗号化／ハッシュと置き換えられ、使用される暗号化キーのキー識別子ＰＫ７８９が、暗号化された値の終わりに付加される。

クラウド・サービスは、処理結果を生成すると、処理結果についての情報、並びに匿名メッセージ３００Ｂ内に含まれるのに類似したハッシュ／暗号化値を含むメッセージで応答することができる。サニタイズ・プロキシは、クラウド・サービスからのこの応答をインターセプトし、それが暗号化したフィールドを検知し、その参照テーブルにおける暗号化キーＰＫ７８９を識別し、データ構造を変えることなくフィールドを置き換え、メッセージをその宛先クライアントに転送する。

図３には示されないが、幾つかの例では、使用されているクラウド・サービスが、フィールドの長さ又はフィールドのフォーマットをチェックすることができる。この例では、フォーマット保持暗号化（format-preserving encryption）を用いるように、サニタイズ・プロキシを構成することができる。例えば、クラウド・ログ分析器が、「ソース・ネットワーク・アドレス」の値をＩＰアドレス・フォーマットであると予想する場合、サニタイズ・プロキシ管理は、そのフィールド用のフォーマット保持置換及び他のフィールド用の標準的な暗号置換を使用するように、システムを構成することができる。フォーマット保持を必要とするフィールドは、フォーマット保持暗号化アルゴリズムを用いて暗号化され、キーのキー識別子を、未使用のフィールドに挿入する、又は新しいフィールドとしてメッセージに追加することができる。これは、プロキシ管理者によっても構成可能である。

異なるクラウド・サービスについて、プロキシ・システムにより異なる暗号化キーが用いられ得る。例えば、組織がクラウド・ログ分析器サービス及び別の統計分析器サービスを使用している場合、同じデータが両方のサービスに送られる場合でも、各サービスに対して異なるキーを用いることができる。また、単一のクラウド・サービスに送られるメッセージについては、キーの使用法は構成変更可能である。メッセージ内の全てのフィールドが同じキーを使用すること、又は異なるキーを用いるように、特定のフィールドを構成することができる。しかしながら、異なるメッセージの間の相関が必要とされる場合、１つのタイプの全てのフィールドが同じキーを用いることができる。上の例において、全てのユーザ名フィールドが、キーＰＫ７８９で暗号化されるが、全てのソース・ネットワーク・アドレス・フィールドは、ＰＫ７９０で暗号化され得る。ログ分析器サービスは、所与の期間内に同じユーザ名を有する多くのログ・メッセージが認められた後、ユーザ「ｊｏｈｎ．ｄｏｅ」の「多過ぎるログイン試行」を報告することができる。これが機能するために、所与の期間、全てのユーザ名フィールドを同じキーで暗号化することができる。また、プロキシ管理者の判断で、各クラウド・サービスについて、新しいキーを生成することもできる。古いデータの復号を可能にするために、管理者により構成される期間、古いキーを格納することができる。

図４は、例示的実施形態による、データをサニタイズするための方法である方法４００を示す。例えば、方法４００は、図１に示されるプロキシ・システム１２０のようなプロキシ・システムにより実行され得る。また、方法４００は、サーバ、ユーザ・デバイス、クラウド・プラットフォーム等のようなコンピューティング・デバイスにより実行され得る。方法４００を用いて、ユーザ、ユーザ・デバイス等を識別できる、ＰＩＩなどの機密情報を覆い隠す、除去する、或いは隠すことができる。４１０において、方法は、クライアント・デバイスから伝送されたメッセージを受け取ることを含むことができる。例えば、メッセージは、クラウド・サービス、又はメッセージ内に含まれるクライアント・データを処理する他のパブリック・サービスにより用いられる所定の構造フォーマットを有することができる。例えば、クラウド・サービスは、企業リソース・ネットワークからのクライアント・データに対して作用する企業リソース機能等とすることができる。サービスは、在庫管理、購入、財務、人的資源等を含むことができる。しかしながら、実施形態は、企業リソース・サービスに限定されず、任意のサード・パーティのサービス及び機能と共に用いることができる。

４２０において、方法は、メッセージのタイプを判断することと、及び判断したメッセージのタイプに基づいて、メッセージ内の１つ又は複数の機密フィールドを検知することとを含むことができる。例えば、メッセージ・タイプは、複数のクラウド・サービスの中からメッセージが向けられる予定のクラウド・サービスに基づいて判断することができる。各サービスは、サービスにより実行される機能に基づいて、メッセージ内の異なるデータ・フィールドを用いることができる。従って、実行されているサービスに基づいて、クライアント・デバイスから受け取ったメッセージ内に、異なるＰＩＩが含まれ得る。４２０において実行される検知は、実行されるサービスのタイプに基づいて、メッセージの本体又は内部内の異なるＰＩＩフィールドを識別することができる。

４３０において、方法は、所定の構造フォーマットをそのままにしながら、メッセージ内の１つ又は複数の機密フィールドの値を匿名化することと、４４０において、そのままの所定の構造フォーマットを有する、１つ又は複数の匿名化された機密フィールドを含む匿名化メッセージを、サービス提供コンピューティング・システムに伝送することとを含むことができる。例えば、匿名化することは、メッセージの本体内の残りのフィールドの値（すなわち、ＰＩＩを含まない）をそのままにしながら、メッセージの内部のＰＩＩ値を暗号化すること或いは覆い隠すことを含むことができる。匿名化することは、暗号化キーを用いて機密フィールドの値を暗号化することと、暗号化キーのキー識別子をメッセージの本体に付加することとを含むことができる。

種々の態様によると、プロキシ・システムは、キー識別子の値（例えば、英数字値）をメッセージの機密データ・フィールド内に格納される暗号化値に付加する（例えば、追加する、後に付加する等）ようにすることができる。キー識別子を追跡するために、プロキシ・システムは、キー識別子及び各キー識別子の対応する暗号化キーを含む参照テーブルをストレージ・デバイスに格納することができる。従って、データは、唯一の識別情報として暗号化キー（プロキシ・システムのみに知られている）のキー識別子を有する、完全に匿名化された状態で、プロキシ・システムから出て行くようにすることができる。従って、メッセージ・データは、クライアントの個人識別可能情報を暴露することなく、パブリック・クラウド・サービスのようなサード・パーティによりアクセスされて分析されるようにすることができる。

図４に示されないが、幾つかの実施形態において、方法は、サービス提供コンピューティング・システムから、サービス提供コンピューティング・システムの処理結果、及び１つ又は複数の匿名化された機密データ・フィールドを含む応答メッセージを受け取ることをさらに含むことができる。それに応じて、方法は、１つ又は複数の匿名化された機密データ・フィールドを復号することと、復号された機密データ・フィールドに基づいて、クライアント・デバイスが処理結果と関連付けられることを判断することと、処理結果をクライアント・デバイスに伝送することとを含むことができる。例えば、方法は、キー識別子と暗号化キーとの間の相関を含む参照テーブルを参照することができる。

図５は、例示的実施形態による、サニタイズされたデータを受け取り、処理するための方法５００を示す。例えば、方法５００は、図１に示されるホスト・プラットフォーム１３０のようなパブリック・クラウド・サービス・ホストにより実行され得る。また、方法５００は、サーバ、ユーザ・デバイス、クラウド・プラットフォーム等のようなコンピューティング・デバイスにより実行され得る。図５を参照して、５１０において、方法は、プロキシ・システムから伝送された匿名化メッセージを受け取ることを含むことができる。例えば、匿名化メッセージは、クラウド・サービスにより処理するための所定の構造フォーマットを有することができ、メッセージの１つ又は複数の機密フィールドに置換された匿名データと、他の残りのフィールド内の非識別クライアント・データ値とを含むことができる。さらに、メッセージは、パブリック・クラウド・サービス又は他のサード・パーティ・アプリケーションなどを介して処理するためのクライアント・データも含むこともできる。

例えば、匿名データを有する１つ又は複数の機密フィールドはそれぞれ、暗号化キーを用いて暗号化された暗号化値を含むことができる。プロキシ・システムにより、異なるキーを用いて、異なるメッセージ・フィールドを暗号化することができる。暗号化キーは、サービス処理システムには未知であり得る。さらに、メッセージは、暗号化された各フィールドについてのキー識別子を含むことができる。キー識別子は、プロキシ・システムにより用いられる暗号化キーを識別することができる。種々の実施形態によると、匿名データを有する１つ又は複数の機密フィールドはそれぞれ、クライアント・デバイスの個人識別可能情報（ＰＩＩ）に対応する。

５２０において、方法は、メッセージのデータの残りのフィールドから処理されるべきデータを識別することと、匿名データを用いることなく、残りのフィールドから識別されたデータに対する処理を実行して、処理結果を生成することとを含むことができる。例えば、処理は、メッセージ内に含まれるデータに対して、ＥＲＰサービス等のようなパブリック・クラウド・サービスを実行することができる。５３０において、方法は、処理結果と、匿名データを有する１つ又は複数の機密フィールドとを含む応答メッセージを生成し、それをプロキシ・システムに伝送することを含むことができる。

上記の実施形態は、ハードウェア、プロセッサにより実行されるコンピュータ・プログラム、ファームウェア、又はそれらの組み合わせで実施することができる。コンピュータ・プログラムは、ストレージ媒体などのコンピュータ可読媒体上に具体化され得る。例えば、コンピュータ・プログラムは、ランダム・アクセス・メモリ（「ＲＡＭ」）、フラッシュ・メモリ、読み取り専用メモリ（「ＲＯＭ」）、消去可能プログラム可能読み取り専用メモリ（「ＥＰＲＯＭ」）、電気的消去可能プログラム可能読み取り専用メモリ（「ＥＥＰＲＯＭ」）、レジスタ、ハードディスク、取り外し可能ディスク、コンパクト・ディス読み取り専用メモリ（「ＣＤ－ＲＯＭ」）、又は当技術分野において周知の他の任意の形態のストレージ媒体内に常駐し得る。

例示的ストレージ媒体は、プロセッサに結合され得るので、プロセッサは、ストレージ媒体から情報を読み取り、情報をストレージ媒体に書き込むことができる。代案において、ストレージ媒体は、プロセッサと一体であってもよい。プロセッサ及びストレージ媒体は、特定用途向け集積回路（「ＡＳＩＣ」）内に常駐し得る。代案において、プロセッサ及びストレージ媒体は、個別コンポーネントとして存在し得る。例えば、図６は、上述のコンポーネント等のいずれかを表すこと、又はそこに統合することができる例示的コンピュータ・システム・アーキテクチャ６００を示す。コンピュータ・システム６００は、単一のデバイス又はデバイスの組み合わせとすることができる。例えば、コンピュータ・システム６００は、ブロックチェーン・ノード、データベース、サーバ、クラウド・プラットフォーム、ネットワーク、それらの組み合わせ等とすることができる。

図６は、本明細書で説明される本出願の実施形態の使用又は機能の範囲に関する何らかの制限を示唆することを意図するものではない。上記に関係なく、コンピューティング・システム６００（又はノード６００）は、本明細書で上述された機能のいずれかを実装及び／又は実施することができる。

コンピューティング・ノード６００内に、他の多数の汎用又は専用コンピューティング・システム環境又は構成で動作可能な、コンピュータ・システム／サーバ６０２が存在する。コンピュータ・システム／サーバ６０２と共に用いるのに好適であり得る周知のコンピューティング・システム、環境、及び／又は構成の例として、これらに限定されるものではないが、パーソナル・コンピュータ・システム、サーバ・コンピュータ・システム、シン・クライアント、シック・クライアント、手持ち式又はラップトップ型デバイス、マルチプロセッサ・システム、マイクロプロセッサ・ベースのシステム、セットトップボックス、プログラム可能民生電子機器、ネットワークＰＣ、ミニコンピュータ・システム、メインフレーム・コンピュータ・システム、及び上記のシステム若しくはデバイスのいずれかを含む分散型クラウド・コンピューティング環境等が含まれる。

コンピュータ・システム／サーバ６０２は、コンピュータ・システムによって実行される、プログラム・モジュールなどのコンピュータ・システム実行可能命令の一般的な文脈で説明することができる。一般に、プログラム・モジュールは、特定のタスクを実行する又は特定の抽象データ型を実装する、ルーチン、プログラム、オブジェクト、コンポーネント、論理、データ構造などを含むことができる。コンピュータ・システム／サーバ６０２は、通信ネットワークを通じてリンクされた遠隔処理デバイスによってタスクが実行される分散型クラウド・コンピューティング環境で実施することができる。分散型クラウド・コンピューティング環境において、プログラム・モジュールは、メモリ・ストレージ・デバイスを含むローカル及び遠隔両方のコンピュータ・システム・ストレージ媒体内に配置することができる。

図６に示されるように、コンピューティング・ノード６００のコンピュータ・システム／サーバ６０２は、汎用コンピューティング・デバイスの形で示される。コンピュータ・システム／サーバ６０２のコンポーネントは、これらに限定されるものではないが、１つ又は複数のプロセッサ若しくは処理ユニット６０４（すなわち、プロセッサ）、システム・メモリ６０６、及びシステム・メモリ６０６を含む種々のシステム・コンポーネントをプロセッサ６０４に結合するバスを含むことができる。コンピューティング・ノード６００は、図１に示されるプロキシ・システム１２０、図１に示されるホスト・システム１３０、又はサーバ、クラウド・プラットフォーム、データベース、ユーザ・デバイス及び／又は同類のもののようなデバイスの組み合わせとすることができる。また、コンピューティング・ノード６００は、図４に示される方法４００及び／又は図５に示される方法５００の各々を実行することができる。

バスは、メモリ・バス又はメモリ・コントローラ、周辺バス、アクセラレーテッド・グラフィックス・ポート、及び種々のバス・アーキテクチャのいずれかを用いるプロセッサ又はローカル・バスを含む、幾つかのタイプのバス構造のうちのいずれかの１つ又は複数を表す。限定ではなく例としては、このようなアーキテクチャは、業界標準アーキテクチャ（Ｉｎｄｕｓｔｒｙ Ｓｔａｎｄａｒｄ Ａｒｃｈｉｔｅｃｔｕｒｅ、ＩＳＡ）バス、マイクロ・チャネル・アーキテクチャ（Ｍｉｃｒｏ Ｃｈａｎｎｅｌ Ａｒｃｈｉｔｅｃｔｕｒｅ、ＭＣＡ）バス、Ｅｎｈａｎｃｅｄ ＩＳＡ（ＥＩＳＡ）バス、Ｖｉｄｅｏ Ｅｌｅｃｔｒｏｎｉｃｓ Ｓｔａｎｄａｒｄｓ Ａｓｓｏｃｉａｔｉｏｎ（ＶＥＳＡ）ローカル・バス、及びＰｅｒｉｐｈｅｒａｌ Ｃｏｍｐｏｎｅｎｔ Ｉｎｔｅｒｃｏｎｎｅｃｔ（ＰＣＩ）バスを含む。

コンピュータ・システム／サーバ６０２は、典型的には、種々のコンピュータ・システム可読媒体を含む。このような媒体は、コンピュータ・システム／サーバ６０２がアクセス可能ないずれかの利用可能媒体とすることができ、揮発性媒体及び不揮発性媒体の両方と、取り外し可能媒体及び取り外し不能媒体の両方とを含む。システム・メモリ６０６は、１つの実施形態において、他の図のフロー図を実装する。システム・メモリ６０６は、ランダム・アクセス・メモリ（ＲＡＭ）６１０及び／又はキャッシュ・メモリ６１２など、揮発性メモリの形のコンピュータ・システム可読媒体を含むことができる。コンピュータ・システム／サーバ６０２は、他の取り外し可能／取り外し不能、揮発性／不揮発性のコンピュータ・システム・ストレージ媒体をさらに含むことができる。単なる例として、取り外し不能の不揮発性磁気媒体（図示されておらず、典型的には「ハード・ドライブ」と呼ばれる）との間の読み出し及び書き込みのために、ストレージ媒・システム６１４を設けることができる。図示されていないが、取り外し可能な不揮発性磁気ディスク（例えば、「フロッピー・ディスク」）との間の読み出し及び書き込みのための磁気ディスク・ドライブと、ＣＤ－ＲＯＭ、ＤＶＤ－ＲＯＭ又は他の光媒体などの取り外し可能な不揮発性光ディスクとの間の読み出し及び書き込みのための光ディスク・ドライブとを設けることができる。このような例においては、それぞれを、１つ又は複数のデータ媒体インターフェースによって、バスに接続することができる。以下でさらに示され説明されるように、メモリ６０６は、本出願の種々の実施形態の機能を実行するように構成されたプログラム・モジュールのセット（例えば、少なくとも１つ）を有する少なくとも１つのプログラム製品を含むことができる。

限定ではなく例として、メモリ６０６内に、プログラム・モジュール６１８のセット（少なくとも１つ）を有するプログラム／ユーティリティ６１６、並びにオペレーティング・システム、１つ又は複数のアプリケーション・プログラム、他のプログラム・モジュール、及びプログラム・データを格納することができる。オペレーティング・システム、１つ又は複数のアプリケーション・プログラム、他のプログラム・モジュール、及びプログラム・データ、又はそれらの何らかの組み合わせの各々は、ネットワーキング環境の実装を含むことができる。プログラム・モジュール６１８は、一般に、本明細書で説明される本出願の種々の実施形態の機能及び／又は方法を実行する。

当業者により理解されるように、本出願の態様は、システム、方法、又はコンピュータ・プログラム製品として具体化することができる。従って、本出願の態様は、完全にハードウェアの実施形態、完全にソフトウェアの実施形態（ファームウェア、常駐ソフトウェア、マイクロコード等を含む）、又はソフトウェア態様とハードウェア態様とを組み合せた実施形態の形をとることができ、これらは、本明細書において全て一般的に「回路」、「モジュール」又は「システム」と呼ぶことができる。さらに、本出願の態様は、コンピュータ可読プログラム・コードがそこに具体化された１つ又は複数のコンピュータ可読媒体内に具体化されたコンピュータ・プログラム製品の形をとることができる。

コンピュータ・システム／サーバ６０２は、キーボード、ポインティング・デバイス、ディスプレイ６２２等のような１つ又は複数の外部デバイス６２０、ユーザがコンピュータ・システム／サーバ６０２と対話することを可能にする１つ又は複数のデバイス、及び／又はコンピュータ・システム／サーバ６０２が１つ又は複数の他のコンピューティング・デバイスと通信することを可能にするいずれかのデバイス（例えば、ネットワーク・カード、モデム等）と通信することもできる。このような通信は、Ｉ／Ｏインターフェース６２４を経由して行うことができる。さらにまた、コンピュータ・システム／サーバ６０２は、ネットワーク・アダプタ６２６（ネットワーク・インターフェースとも呼ばれる）を介して、ローカル・エリア・ネットワーク（ＬＡＮ）、汎用広域ネットワーク（ＷＡＮ）、及び／又はパブリック・ネットワーク（例えば、インターネット）などの１つ又は複数のネットワークと通信することもできる。示されるように、ネットワーク・アダプタ６２６は、バスを介して、コンピュータ・システム／サーバ６０２の他のコンポーネントと通信する。図示されないが、コンピュータ・システム／サーバ６０２と共に他のハードウェア及び／又はソフトウェア・コンポーネントを使用できることを理解されたい。例として、これらに限定されるものではないが、マイクロコード、デバイス・ドライバ、冗長処理ユニット、外部のディスク・ドライブ・アレイ、ＲＡＩＤシステム、テープ・ドライブ、及びデータ・アーカイブ・ストレージ・システム等が含まれる。

種々の実施形態によると、プロセッサ６０４は、クライアント・デバイスから伝送されたメッセージを受け取ることができる。メッセージは、ネットワーク（例えば、ネットワーク・インターフェース６２６）を介してコンピューティング・システム６０２に接続されたクライアント・デバイスから伝送され得る。ネットワークは、ローカル・ネットワーク、プライベート・ネットワーク、企業リソース・ネットワーク、パブリック・ネットワーク等とすることができる。メッセージは、パブリック・クラウド・サービスなどのサービス提供コンピューティング・システムによる処理のために用いられる特定のフィールドにより定められる所定の構造フォーマットを含むことができる。用いられるクラウド・サービスに応じて、メッセージは、記入された機密情報の異なるフィールド（例えば、ＰＩＩ、内部組織情報等）を有し得る。プロセッサ６０４は、メッセージのタイプを判断し、判断したメッセージのタイプに基づいて、メッセージ内の１つ又は複数の機密フィールドを検知することができる。さらに、プロセッサ６０４は、所定の構造フォーマットをそのままにしながら、メッセージ内の１つ又は複数の機密フィールドの値を匿名化し、匿名化メッセージを生成することができる。ネットワーク・インターフェース６２６は、匿名化メッセージをサービス提供コンピューティング・システムに伝送することができる。

幾つかの実施形態において、プロセッサ６０４は、キー識別子と各キー識別子の対応する暗号化キーとの間のリンク機構を含むストレージ６１４内に格納された参照テーブル（lookup table）を管理することができる。コンピューティング・システム６０２が匿名化メッセージをクラウド・サービスに伝送するとき、匿名化メッセージは、メッセージを伝送したクライアント又はクライアント・デバイスを識別するいずれの識別情報も有さない。ここで、プロキシは、メッセージのデータを完全に匿名化する（ＰＩＩを暗号化する）ことができる。クライアント・デバイスから応答が返されたときにプロキシがメッセージを復号できるように、プロセッサ６０４は、メッセージ・フィールド内に含まれる暗号化されたデータ値にキー識別子を埋め込むこと或いは付加することができる。このキー識別子は、クラウド・サービスにとって何も意味しないが、暗号化された値を含む応答メッセージが返されたとき、プロキシ・システムにより、ＰＩＩを復号するために使用され得る。さらに、プロキシ・システムは、復号されたＰＩＩに基づいて、処理結果メッセージをクライアント・デバイスに配信することができる。

種々の他の実施形態によると、コンピューティング・システムは、パブリック・クラウド・サービスのホスト・サーバに対応し得る。この例において、ネットワーク・インターフェース６２６は、プロキシ・システムから伝送された匿名化メッセージを受け取ることができる。例えば、匿名化メッセージは、所定の構造フォーマット、メッセージの１つ又は複数の機密データ・フィールド内に含まれる匿名化値、及びメッセージの残りのデータ・フィールド内の非識別値を含むことができる。プロセッサ６０４は、メッセージ内の残りのデータ・フィールドから処理されるべきデータを識別し、１つ又は複数の機密データ・フィールド内に含まれる匿名値を用いることなく、残りのデータ・フィールドから識別されたデータに対する処理を実行して、匿名化メッセージに対する処理結果を生成することができる。さらに、ネットワーク・インターフェース６２６は、生成された処理結果に基づいて、応答メッセージをプロキシ・システムに伝送することができる。

システム、方法、及び非一時的コンピュータ可読媒体の少なくとも１つの例示的実施形態が添付図面に示され、上述の詳細な説明において説明されたが、本出願は、開示された実施形態に限定されず、以下の特許請求の範囲によって述べられ定められるように、多数の再配置、変更、及び置換を行い得ることが理解されるであろう。例えば、様々な図のシステムの機能は、本明細書に記載されたモジュール又はコンポーネントのうちの１つ又は複数によって又は分散アーキテクチャにおいて実行することができ、送信器、受信器、又はその両方のペアを含むことができる。例えば、個々のモジュールによって実行される機能の全部又は一部は、それらのモジュールのうちの１つ又は複数によって実行され得る。さらに、本明細書に記載された機能は、様々な時間に、様々なイベントに関して、モジュール若しくはコンポーネントの内部若しくは外部で実行され得る。また、様々なモジュールの間で送信される情報は、データ・ネットワーク、インターネット、音声ネットワーク、インターネット・プロトコル・ネットワーク、無線デバイス、有線デバイスのうちの少なくとも１つを介して、及び／又は複数のプロトコルを介して、モジュール間で送信され得る。また、モジュールのいずれかによって送信又は受信されるメッセージは、直接的に及び／又は他のモジュールのうちの１つ又は複数を介して、送信又は受信され得る。

当業者であれば、「システム」を、サーバ、コンソール、携帯情報端末（ＰＤＡ）、携帯電話、タブレット・コンピューティング・デバイス、スマートフォン、又は任意の他の適切なコンピューティング・デバイス、又はデバイスの組み合わせとして具体化できることを理解するであろう。「システム」によって実行されている上述の機能を提示することは、決して本出願の範囲を限定するように意図されておらず、多くの実施形態のうちの１つの例を提供するよう意図されている。実際に、本明細書で開示された方法、システム、及び装置は、コンピューティング技術に整合する局所的な形態及び分散された形態で実装され得る。

本明細書において説明されたシステムの特徴の一部が、それらの実装の独立性を特に強調するために、モジュールとして提示されていることに留意されたい。例えば、モジュールは、カスタム超大規模集積（ＶＬＳＩ：very large-scale integration）回路又はゲート・アレイ、論理チップなどの市販の半導体、トランジスタ、又は他の個別のコンポーネントを含むハードウェア回路として実装され得る。モジュールは、フィールドプログラム可能ゲート・アレイ、プログラム可能アレイ論理、プログラム可能論理デバイス、グラフィックス処理ユニットなどの、プログラム可能なハードウェア・デバイスにおいても実装され得る。

モジュールは、様々な種類のプロセッサによって実行するために、ソフトウェアにおいて少なくとも部分的に実装され得る。例えば、実行可能コードの識別されたユニットは、例えばオブジェクト、プロシージャ、又は関数として編成することができるコンピュータ命令の１つ又は複数の物理的または論理的ブロックを含むことができる。それにもかかわらず、識別されたモジュールの実行ファイルは、物理的に一緒に配置される必要はなく、異なる位置に格納された異種の命令を含むことができ、それらの命令は、論理的に一緒に結合された場合にモジュールを構成し、モジュールの規定された目的を達成する。さらに、モジュールはコンピュータ可読媒体に格納されてもよく、このコンピュータ可読媒体は、例えば、ハード・ディスク・ドライブ、フラッシュ・デバイス、ランダム・アクセス・メモリ（ＲＡＭ）、テープ、又はデータの格納に使用される任意の他の媒体とすることもできる。

実際に、実行可能コードのモジュールは、単一の命令、又は多くの命令とすることができ、幾つかの異なるコード・セグメントにわたって、異なるプログラム間及び幾つかのメモリ・デバイスにまたがって、分散されることもある。同様に、操作可能なデータが、識別され、本明細書ではモジュール内で示され得るが、任意の適切な形態で具体化され、任意の適切な種類のデータ構造内で編成され得る。操作可能なデータは、単一のデータ・セットとして収集されてもよく、又は異なるストレージ・デバイスを含む、異なる位置にわたって分散されてもよく、システム又はネットワーク上の単なる電子信号として、少なくとも部分的に存在してもよい。

本明細書の図において概略的に説明され、示されるように、本出願のコンポーネントは、多種多様な異なる構成で配置及び設計できることが、容易に理解されるであろう。従って、実施形態の詳細な説明は、請求される本出願の範囲を限定するよう意図されておらず、単に本出願の選択された実施形態を表すに過ぎない。

当業者であれば、開示されたものとは異なる順序でステップを用いて、又は開示されたものとは異なる構成におけるハードウェア要素用いて、上記を実施できることを容易に理解するであろう。従って、本出願は、これらの好ましい実施形態に基づいて説明されたが、特定の変更、変形、及び代替の構造が明白であることは、当業者には明らかであろう。

１００、２００：サニタイズ・システム
１１０：クライアント・デバイス
１２０、２１０：プロキシ・システム
１３０：ホスト・サーバ
２１１：エンコーダ／デコーダ・モジュール
２１２：パーサ
２１３：暗号化／復号モジュール
２１４：安全なキー・ストア
２２０：クラウド・サービス
２２２：プロセッサ
２２４：ストレージ
３００Ａ：イベント・ログ・メッセージ
３００Ｂ：匿名メッセージ
３１１：キー識別子
４００、５００：方法
６００：コンピューティング・システム（又はノード）
６０２：コンピュータ・システム／サーバ
６０４：プロセッサ又は処理ユニット
６０６：システム・メモリ
６１４：ストレージ
６１６：プログラム／ユーティリティ
６１８：プログラム・モジュール
６２０：外部デバイス
６２６：ネットワーク・インターフェース

Claims (12)

1. コンピューティング・システムであって、
   クライアント・デバイスから伝送された、サービス提供コンピューティング・システムにより処理するためのメッセージであって複数のフィールドを含むメッセージを受け取り、前記複数のフィールドのうちの１つ又は複数の機密フィールド以外のフィールドの値をそのままにしながら、前記１つ又は複数の機密フィールドの値を暗号化キーを用いて暗号化し、暗号化された値を有する機密フィールドに前記暗号化キーのキー識別子を付加することによって、匿名化メッセージを生成するように構成されたプロセッサと、
   前記匿名化メッセージを前記サービス提供コンピューティング・システムに伝送し、前記サービス提供コンピューティング・システムから前記サービス提供コンピューティング・システムの処理結果を含む匿名化された応答メッセージを受け取るように構成されたネットワーク・インターフェースと、
   を含み、
   前記プロセッサはさらに、前記応答メッセージに含まれる暗号化された値を、前記キー識別子に基づいて識別される復号キーを用いて復号し、復号された値に基づいて前記クライアント・デバイスが前記処理結果と関連付いていることを判断し、前記処理結果を前記クライアント・デバイスに伝送するように構成された、
   コンピューティング・システム。
2. 前記プロセッサは、個人識別可能情報（ＰＩＩ）値を含む前記メッセージの本体内の１つ又は複数のフィールドを検知し、前記メッセージの前記本体内の残りのフィールドの値をそのままにしながら、前記ＰＩＩ値を暗号化するように構成された、請求項１に記載のコンピューティング・システム。
3. 前記キー識別子は、英数字値を含み、前記プロセッサは、前記キー識別子を前記機密フィールドの前記暗号化された値の後に追加するように構成された、請求項１に記載のコンピューティング・システム。
4. 前記プロセッサはさらに、キー識別子及び各キー識別子の対応する暗号化キーを含む参照テーブルをストレージ・デバイス内に格納するように構成された、請求項１に記載のコンピューティング・システム。
5. 前記応答メッセージは、前記サービス提供コンピューティング・システムにより生成された前記処理結果及び１つ又は複数の前記暗号化された値を含む、請求項１に記載のコンピューティング・システム。
6. コンピュータの情報処理により実行される方法であって、
   クライアント・デバイスから伝送された、サービス提供コンピューティング・システムにより処理するためのメッセージであって複数のフィールドを含むメッセージを受け取ることと、
   前記複数のフィールドのうちの１つ又は複数の機密フィールド以外のフィールドの値をそのままにしながら、前記１つ又は複数の機密フィールドの値を暗号化キーを用いて暗号化し、暗号化された値を有する機密フィールドに前記暗号化キーのキー識別子を付加することによって、匿名化メッセージを生成することと、
   前記匿名化メッセージを前記サービス提供コンピューティング・システムに伝送することと、
   前記サービス提供コンピューティング・システムから前記サービス提供コンピューティング・システムの処理結果を含む匿名化された応答メッセージを受け取ることと、
   前記応答メッセージに含まれる暗号化された値を、前記キー識別子に基づいて識別される復号キーを用いて復号し、復号された値に基づいて前記クライアント・デバイスが前記処理結果と関連付いていることを判断し、前記処理結果を前記クライアント・デバイスに伝送することと、
   を含む、方法。
7. 前記検知することは、プロキシ・システムにより、個人識別可能情報（ＰＩＩ）値を含む前記メッセージの本体内の１つ又は複数のフィールドを検知することを含み、前記暗号化することは、前記プロキシ・システムにより、前記メッセージの前記本体内の残りのフィールドの値をそのままにしながら、前記ＰＩＩ値を暗号化することを含む、請求項６に記載の方法。
8. 前記キー識別子は、英数字値を含み、前記付加することは、前記キー識別子を前記機密フィールドの前記暗号化された値の後に追加することを含む、請求項６に記載の方法。
9. 前記方法は、キー識別子及び各キー識別子の対応する暗号化キーを含む参照テーブルをストレージ・デバイス内に格納することをさらに含む、請求項６に記載の方法。
10. 前記応答メッセージは、前記サービス提供コンピューティング・システムにより生成された前記処理結果及び１つ又は複数の前記暗号化された値を含む、請求項６に記載の方法。
11. 請求項６から請求項１０までのいずれか１項に記載の方法をコンピュータに実行させるコンピュータ・プログラム。
12. 請求項１１に記載にコンピュータ・プログラムを格納した非一時的コンピュータ可読媒体。
    

Images