JP7351724B2 - 組織間の情報連携を制御するシステム - Google Patents

Description

本発明は、組織間の情報連携に関する。

現在、Ｓｏｃｉｅｔｙ５．０やＳＤＧｓ（Ｓｕｓｔａｉｎａｂｌｅ Ｄｅｖｅｌｏｐｍｅｎｔ Ｇｏａｌｓ）の実現に向けて、民間企業や国又は自治体などに散在するデータを、組織間を越えて連携又は活用し、新たなサービスや産業の創出等に活かす取組が加速している。

この課題に関して、汎用的に個人を認証して個人情報と対応付けるシステムの観点で、特許文献１が開示されている。

特許文献１には、「組織内の個人認証が可能な汎用的なシステムを提供する。ユーザ端末からアクセスされるＷＥＢサーバなどのオンラインデータ処理システムと、ネットワークを介して接続される認証機関システムとから構成される。オンラインデータ処理システムは、ユーザ端末から送信される電子証明書を受信する電子証明書受信手段と、認証機関システムとの間でデータ送受信を行いユーザ認証を行う認証手段とを含む。認証機関システムには、認証データベースが備えられ、企業コード等の業種識別データと、業種と個人とを関連付けることにより組織内の個人を認証するための個人認証データとが記憶される。認証データベースから抽出された、組織内の個人の権限情報を少なくとも含む認証情報に基づきユーザ認証を行う。」と記載されている。

しかしながら、組織を越えたデータの連携又は活用を行うためのデータ流通には、安全性の担保されたデータ共有方法や、個人情報のガバナンス管理や、データを新サービスにつなげるためのカタログ化の仕組みや、ビジネスのエコシステム構築等、様々な課題が存在している。また、データ流通は、活用目的やサービス、データ属性又は量などの要件によりアーキテクチャが全く異なってくる。

上記のデータ連携を実現する技術として、分散台帳技術（又はブロックチェーン技術）が挙げられる。ブロックチェーンは、特定の管理者がデータ取引を監視又は管理する方法とは異なり、ネットワークに参加している全ての参加者によって分散して管理する台帳管理システムを指し、互いに不正を監視することで透明性の高い取引を実施できる。ブロックチェーンはその特徴から、管理者を経由せずにデータ取引が可能となるため、高速なデータ連携の実現を期待できる。

ブロックチェーン上のデータ連携を制御するため、特許文献１に記載の技術が知られている。特許文献１には「ユーザ管理装置は、第１の暗号鍵で暗号化された情報を復号する第１の復号鍵と、ユーザを識別する識別情報、第２の暗号鍵で暗号化された該ユーザの属性情報である暗号化属性情報、及び暗号化属性情報を参照するための参照情報を示すデータと、を保持し、参照情報は第１の暗号鍵で暗号化された第２の復号鍵を含み、第２の復号鍵は第２の暗号鍵で暗号化された情報を復号する鍵であり、第１の復号鍵を用いて参照情報から第２の復号鍵を取得し、第２の復号鍵を用いて暗号化属性情報から該ユーザの属性情報を取得し、取得した属性情報が所定の条件を満たす場合に電子署名を生成し、該識別情報と該電子署名とを出力する。」と記載されている。

国際公開第２００３／１０５００２号

組織間の情報連携において、マスクされた部分（開示された部分）が異なる情報をそれぞれ異なる組織に渡すことが必要となる場合がある。また、部分的にマスクされている又は全くマスクされていない情報を受け取った組織は、受け取った情報が改竄されていないことを検証することが必要となる場合がある。従来技術は、組織間で情報を安全に共有するリポジトリを提供しているが、マスクされた部分が異なる情報を異なる組織に安全に渡す方法を開示していない。

本発明の一態様は、組織間の情報連携を制御するシステムであって、１以上のプロセッサと、前記１以上のプロセッサにより実行されるプログラムを格納する１以上の記憶装置と、を含む。前記１以上のプロセッサは、複数項目の値を含む、情報レコードを取得し、前記複数項目それぞれのオリジナルの値に基づき、前記複数項目それぞれの項目ハッシュ値を算出し、前記複数項目の項目ハッシュ値に基づき、前記情報レコードのレコードハッシュ値を算出する。

本発明の一態様によれば、マスクされた部分が異なる情報を異なる組織に安全に渡すことできる。上記した以外の課題、構成及び効果は、以下の実施例の説明により明らかにされる。

情報連携システムの一例を示すブロック図である。 アクセス制御サーバの構成を示すブロック図である。 ブロックチェーンサーバの構成を示すブロック図である。 外部データベースサーバの構成を示すブロック図である。 クライアントサーバの構成を示すブロック図である。 アクセス制御テーブルの一例を示す図である。 連携テーブルの一例を示す図である。 ＫＹＣ情報テーブルの一例を示す図である。 ユーザ情報テーブルの一例を示す図である。 ＫＹＣ情報登録処理の一例を示すシーケンス図である。 ＫＹＣ情報取得処理の一例を示すシーケンス図である。 個人情報登録画面の前半部の一例を示す図である。 個人情報登録画面の後半部の一例を示す図である。 アクセス鍵の正当性検証のフローチャートである。 属性開示制御処理のフローチャートである。 異なる企業に、それぞれ異なる部分がマスキングされたＫＹＣ情報レコードを渡す例を示す。 検証対象のＫＹＣ情報レコードの改竄の有無の検証処理の一例を示すフローチャートである。

以下、添付図面を用いて実施例を説明する。本実施例は情報連携システムを実現するための一例に過ぎず、技術的範囲を限定するものではないことに注意すべきである。以下に説明する例において、情報連携を行う組織の種類は任意であり、例えば、企業、同一企業内の異なる組織、役所や役所内の組織等である。以下に開示する情報連携システムは、異なる組織に、マスクされた部分（開示された部分）が異なる情報を渡す。

具体的には、情報連携システムは、複数の項目から構成されるレコードにおいて、選択された項目それぞれの値を、それらの値に基づき生成されるハッシュ値（項目ハッシュ値と呼ぶ）に置き換える。項目ハッシュ値はマスクされた項目の値を表す。これにより、情報の開示先に応じてマスクする部分を変更することができる。

情報連携システムは、選択された項目の値が項目ハッシュ値に置き換えられたレコードに加え、当該レコードの全ての項目の値それぞれの項目ハッシュ値に基づくハッシュ値（レコードハッシュ値と呼ぶ）を、開示先の組織に渡す。

組織のシステムは、受け取ったレコードの項目ハッシュ値に変換されていないオリジナルの項目の値それぞれに基づいて、項目ハッシュ値を生成する。さらに、受け取ったレコードに含まれる項目ハッシュ値と生成した項目ハッシュ値とに基づくレコードハッシュ値を計算する。組織のシステムは、受け取ったレコードハッシュ値と生成したレコードハッシュ値を比較することで、受け取ったレコードの改竄の有無を検証できる。

図１は情報連携システムの一例を示すブロック図である。情報連携システムは、アクセス制御サーバ１００と、ブロックチェーンサーバ２００と、外部データベースサーバ３００と、クライアントサーバ４００－Ａ～４００－Ｚと、を含む。情報連携システムに含まれる各構成要素は、ネットワーク５００を経由して相互に接続される。

本実施例の情報連携システムは、情報提供者が提供する情報を外部データベースサーバ３００に登録し、アクセス制御サーバ１００を介して複数の企業Ａ～Ｚのクライアントサーバ４００－Ａ～４００－Ｚで共有する。但し、情報の開示先及び開示先毎の開示範囲は、情報提供者により指定され得る。なお、企業Ａ～Ｚは、それぞれクライアントサーバ４００－Ａ～４００－Ｚを運用する。

以下に説明する例において、情報提供者が提供する情報は、ＫＹＣ（Ｋｎｏｗ Ｙｏｕｒ Ｃｕｓｔｏｍｅｒ）情報とする。ＫＹＣ情報は、情報提供者の個人情報（又は法人情報）を含み得る。ＫＹＣ情報は、ＫＹＣ情報を利用した企業Ａ～Ｚが付加した情報、例えば、企業Ａの顧客Ｘが、新たに企業ＢのサービスＹを利用したことを示す情報を含んでもよい。

本実施例の情報連携システムは、情報提供者によるＫＹＣ情報の開示先及び開示範囲の指定を受け付け、情報提供者の指定に応じてＫＹＣ情報の開示先及び開示範囲の制御を行う。なお、以下の説明では、企業を特定しない場合、クライアントサーバの符号は「－」以降を省略した「４００」を使用する。他の構成要素の符号についても同様である。

図２は、アクセス制御サーバ１００の構成の一例を示すブロック図である。ブロックチェーンサーバ２００、外部データベースサーバ３００、及びクライアントサーバ４００のハードウェア構成は、例えばアクセス制御サーバ１００の構成と同様である。

アクセス制御サーバ１００は、ネットワークインタフェース１０１と、ＣＰＵ１０２と、入出力装置１０３と、記憶装置１０４と、これらの構成要素を相互に接続するインターコネクト１０９を含む。

ネットワークインタフェース１０１は、ネットワーク５００と通信するためのインタフェースである。ＣＰＵ１０２はプロセッサであり、記憶装置１０４が格納する開示先制御機能１０５、属性開示制御機能１０６、アクセス鍵生成機能１０７、データ連携機能１０８といったプログラムを実行する。入出力装置１０３は、データの入力及びデータの出力を行うための装置である。入出力装置１０３は、例えば、キーボード、マウス、タッチパネル、ディスプレイ、及びプリンタ等を含む。

アクセス制御サーバ１００は、情報提供者の情報に基づいて、外部データベースサーバ３００が保持するＫＹＣ情報テーブル３０５のデータの開示先（企業）や、開示する属性情報の制御を実施する。アクセス制御サーバ１００は、開示先制御機能、属性開示制御機能、アクセス鍵生成機能、データ連携機能、を実現する計算機である。アクセス制御サーバ１００は、外部データベースサーバ３００に登録されたＫＹＣ情報テーブル３０５のデータの開示先及び開示内容を制限する。

図３は、ブロックチェーンサーバ２００の構成を示すブロック図である。ブロックチェーンサーバ２００は、ＫＹＣ情報テーブル３０５の開示制御のための情報を管理する。ブロックチェーンサーバ２００は、ネットワークインタフェース２０１と、ＣＰＵ２０２と、入出力装置２０３と、記憶装置２０４と、これらの構成要素を相互に接続するインターコネクト２０９を含む計算機である。

ネットワークインタフェース２０１は、ネットワーク５００と通信するためのインタフェースである。ＣＰＵ２０２はプロセッサであり、記憶装置２０４が格納する電子署名生成機能２０５といったプログラムを実行する。記憶装置２０４は、さらに、アクセス制御テーブル２０６を格納している。入出力装置２０３は、データの入力及びデータの出力を行うための装置である。入出力装置２０３は、例えば、キーボード、マウス、タッチパネル、ディスプレイ、及びプリンタ等を含む。

図４は、外部データベースサーバ３００の構成を示すブロック図である。外部データベースサーバ３００は、情報提供者（例えば顧客又は企業Ａ～Ｚ）が提供したＫＹＣ情報を管理する、ＫＹＣ情報テーブル３０５を含む。

外部データベースサーバ３００は、ネットワークインタフェース３０１と、ＣＰＵ３０２と、入出力装置３０３と、記憶装置３０４と、これらの構成要素を相互に接続するインターコネクト３０９を含む計算機である。

ネットワークインタフェース３０１は、ネットワーク５００と通信するためのインタフェースである。ＣＰＵ３０２はプロセッサであり、記憶装置２０４が格納するプログラムを実行する。記憶装置３０４は、さらに、ＫＹＣ情報テーブル３０５を格納している。入出力装置３０３は、データの入力及びデータの出力を行うための装置である。入出力装置３０３は、例えば、キーボード、マウス、タッチパネル、ディスプレイ、及びプリンタ等を含む。

図５は、クライアントサーバ４００の構成を示すブロック図である。クライアントサーバ４００は、ＫＹＣ情報の開示の許可情報を管理するユーザ情報テーブル４０５を含む。クライアントサーバ４００は、ネットワークインタフェース４０１と、ＣＰＵ４０２と、入出力装置４０３と、記憶装置４０４と、これらの構成要素を相互に接続するインターコネクト４０９を含む計算機である。

ネットワークインタフェース４０１は、ネットワーク５００と通信するためのインタフェースである。ＣＰＵ４０２はプロセッサであり、記憶装置４０４が格納するプログラムを実行する。記憶装置４０４は、さらに、ユーザ情報テーブル４０５を格納している。入出力装置４０３は、データの入力及びデータの出力を行うための装置である。入出力装置４０３は、例えば、キーボード、マウス、タッチパネル、ディスプレイ、及びプリンタ等を含む。

アクセス制御サーバ１００、ブロックチェーンサーバ２００、外部データベースサーバ３００、クライアントサーバ４００のような計算機において、プロセッサが、記憶装置に格納されているプログラムに従って動作することで、様々な機能部が実現される。プロセッサは制御指示に基づき信号を操作する任意の装置として実装することができ、単一の処理ユニットまたは複数の処理ユニットで構成することができる。

計算機の機能は、プロセッサ及び非一過性の記憶媒体を含む記憶装置を含む１以上の計算機からなる計算機システムに実装することができる。複数の計算機はネットワークを介して通信する。アクセス制御サーバ１００、ブロックチェーンサーバ２００、外部データベースサーバ３００、クライアントサーバ４００の機能は、任意の数の計算機それぞれに任意の組み合わせで実装することができる。

図１０は、ＫＹＣ情報の登録処理の一例を示すシーケンス図である。情報提供者によるＫＹＣ情報を利用したいクライアントサーバ４００（企業Ａ～Ｚ）は、アクセス制御サーバ１００に対して、予めクライアントサーバ４００の公開鍵を送付する（Ｓ１０１）。

情報提供者は、図示しない端末（計算機）を利用して、情報連携システムのアクセス制御サーバ１００が提供する個人情報登録画面１３００（図１２、図１３参照）を介して、「ＫＹＣ情報」と、「情報の開示先」と、「開示する属性項目（以下、開示属性と称す）」と、を登録する（Ｓ１０２）。開示属性は、ＫＹＣ情報に含まれる複数の属性項目において、開示することが許可（指定）された項目を示す。情報提供者は、開示先毎に開示属性を指定することができる。

図１２は、個人情報登録画面１３００の前半部の一例を示す。ステップＳ１０２において、情報提供者は画面１３００の入力項目に従い、図示しない端末から、個人情報（又は法人情報）を入力する。図１３の例では、氏名１３２１、国籍１３２２及びマイナンバー１３２３といった「基本的な個人情報」以外にも、「住関連情報」１３３０と「金融機関情報」１３４０の入力項目が存在している。住関連情報１３３０には、情報提供者の居所の郵便番号や住所及び電話番号が含まれる。金融機関情報１３４０には、銀行名や支店名口座種別、口座番号及び口座名義人などが含まれる。

次に、図１３は、個人情報登録画面１３００の後半部の一例を示す。情報提供者は、入力した個人情報等の開示先の企業名を、共有先企業一覧１３５０で選択する。情報提供者は、自身のＫＹＣ情報の開示を許可する企業名のチェックボックスをクリックすることで、ＫＹＣ情報を開示する企業を指定することができる。

また、個人情報登録画面１３００の後半部には、開示するＫＹＣ情報の項目（開示属性）を指定する開示属性一覧１３６０と、登録ボタン１３８０と、完了ボタン１３９０が表示される。

開示属性一覧１３６０は、共有先企業一覧１３５０で選択した企業に開示を許可する属性として、住関連情報と金融機関情報を選択可能とした例を示す。開示属性一覧１３６０は、開示先毎に、共有する属性を設定可能であり、図１４のような「住関連情報」や「金融機関情報」といったグループ単位や、入力項目単位で個別に開示属性を設定可能である。

情報提供者が図示しない端末から登録ボタン１３８０を操作することで、指定した開示先企業の開示項目が登録される。登録ボタン１３８０の操作により入力された情報が個人情報登録画面１３００においてクリアされ、新たな開示先及び開示範囲の指定が可能となる。完了ボタン１３９０の操作により、情報開示先及び開示範囲の登録処理が完了する。

図１０の説明に戻る。ステップＳ１０３では、アクセス制御サーバ１００のアクセス鍵生成機能１０７が、情報提供者から受信した「ＫＹＣ情報」と「開示属性」に基づいて、「アクセス鍵」を生成する。「アクセス鍵」は、ブロックチェーンサーバ２００のアクセス制御テーブル２０６が保持する個人のＩＤ２０６１（図６）と開示属性群に格納されているビット列を、アクセス制御サーバ１００の共有鍵で暗号化して生成される。共有鍵は、アクセス制御サーバ１００で予め生成（あるいは設定）された鍵である。

ステップＳ１０４では、アクセス制御サーバ１００の属性開示制御機能１０６が、ＫＹＣ情報のハッシュ値（レコードハッシュ値）を算出する。属性開示制御機能１０６は、ＫＹＣ情報の各項目の値に基づいて各項目のハッシュ値を計算し、さらに、全ての項目のハッシュ値に基づいてＫＹＣ情報のレコードハッシュ値を計算する。項目及びＫＹＣ情報のハッシュ値の算出方法の詳細は後述する。属性開示制御機能１０６は、さらに、アクセス制御サーバ１００の秘密鍵とレコードハッシュ値から、レコードハッシュ値に対する電子署名（ハッシュ値署名）を生成する。ハッシュ値署名は、レコードハッシュ値を生成した装置の署名である。

図６は、アクセス制御テーブル２０６のデータフォーマットの一例である。アクセス制御テーブル２０６は、情報提供者によって登録又は更新されるＫＹＣ情報について、開示先毎の開示属性とＫＹＣ情報の改竄の有無を検証するための情報を管理するテーブルである。アクセス制御サーバ１００は、情報提供者がＫＹＣ情報を登録したときにアクセス制御テーブル２０６のレコードを生成し、ＫＹＣ情報の更新要求に応じて更新する。

アクセス制御テーブル２０６は、ＩＤ２０６１と、属性群（「属性－１（２０６２－１）」から「属性－ｎ（２０６２－ｎ）」を指す）と、企業ＩＤ２０６３と、電子署名２０６４と、レコードハッシュ値２０６５と、ハッシュ値署名２０６６と、を一つのレコードに含む。

属性－１（２０６２－１）から属性－ｎ（２０６２－ｎ）は、図１２、１３に示した個人情報登録画面１３００の氏名１３２１～金融機関情報１３４０の各項目に対応するフィールドである。属性－１（２０６２－１）から属性－ｎ（２０６２－ｎ）と個人情報登録画面１３００の各項目の関係は予め設定されている。

ＩＤ２０６１には、アクセス制御サーバ１００が情報提供者に付与したユニークな識別子が設定される。属性群（２０６２－１～２０６１－ｎ）には、開示してもよい属性には「１」を、開示したくない属性には「０」が設定される。企業ＩＤ２０６３は、ＫＹＣ情報の開示先企業のＩＤが設定される。図６において、例えば、情報提供者のＩＤ２０６１が「Ａ」、開示先の企業ＩＤ２６０３が「Ｘ」のレコードは、属性－１（２０６２－１）から属性－ｎ（２０６２－ｎ）が「１」であり、全ての属性の情報の開示が許可されている。

図１０の説明に戻る。ステップＳ１０５では、アクセス制御サーバ１００は、アクセス制御テーブル２０６にＫＹＣ情報についての上記情報２０６１～２０６６を示す新たなレコードを生成し、アクセス制御テーブル２０６の保存をブロックチェーンサーバ２００に指令する。ブロックチェーンサーバ２００の電子署名生成機能２０５は、ステップＳ１０３で生成したアクセス鍵のハッシュ値を、ブロックチェーンサーバ２００の秘密鍵で暗号化し、電子署名２０６４に格納してアクセス制御テーブル２０６を更新する。

次に、ステップＳ１０６では、アクセス制御サーバ１００が外部データベースサーバ３００で格納されている、ＫＹＣ情報テーブル３０５を更新する。図８は、ＫＹＣ情報テーブル３０５のデータフォーマットの一例を示す図である。

ＫＹＣ情報テーブル３０５は、情報提供者のＩＤを示すＩＤ３０５１と、ＫＹＣ情報の属性の値を示す属性３０５２－１～３０５２－ｎと、を一つのレコードに含む。ＩＤ３０５１の値は、アクセス制御テーブル２０６のＩＤ２０６１の値に対応する。属性３０５２－１～３０５２－ｎは、アクセス制御テーブル２０６の属性－１（２０６２－１）～属性－ｎ（２０６２－ｎ）に対応し、個人情報登録画面１３００の各項目（属性）へ入力された値が格納される。登録される属性３０５２－１～３０５２－ｎは、例えば氏名１３２１や国籍１３２２などを含み、ステップＳ１０２で情報提供者が入力したＫＹＣ情報を管理する。

ＫＹＣ情報テーブル３０５は、ブロックチェーンではなく、従来のデータベース管理システムで管理するため、レコード削除が可能である。これにより、情報提供者（又は企業Ａ～Ｚ）の意志でデータの削除を実現できる。

次に、ステップＳ１０７では、アクセス制御サーバ１００が連携テーブル２０７の更新をブロックチェーンサーバ２００に指令する。連携テーブル２０７は、アクセス制御テーブル２０６と、ＫＹＣ情報テーブル３０５を紐付ける中間テーブルであり、図７にデータフォーマットの一例を示す。

連携テーブル２０７は、ＫＹＣ情報の開示先の企業を示す企業ＩＤ２０７１と、ＫＹＣ情報テーブル３０５のＩＤ３０５１と紐づく個人ＩＤ２０７２と、を一つのレコードに含む。連携テーブル２０７は、上記ステップＳ１０２における情報提供者の「開示先」の設定に基づいて生成された開示先の企業ＩＤ２０７１のレコードを含む。図７において、例えば、企業ＩＤ２０７１が「Ｗ」、個人ＩＤ２０７２が「Ａ」のレコードが存在する。このレコードは、図８のＫＹＣ情報テーブル３０５のＩＤ３０５１が「Ａ」のレコードと紐づく。

連携テーブル２０７は、個人ＩＤ２０７２毎に、ＫＹＣ情報を開示可能な企業ＩＤ２０７１のレコードを含む。アクセス制御サーバ１００は、個人ＩＤ２０７２で連携テーブル２０７を検索することで、当該個人ＩＤ２０７２のＫＹＣ情報へアクセスが許可された企業ＩＤ２０７１（クライアントサーバ４００）を判定することができる。

次に、アクセス制御サーバ１００の開示先制御機能１０５は、開示先のクライアントサーバ４００だけが復号できる情報を送信するため、ステップＳ１０８～Ｓ１１０を実施する。

ステップＳ１０８で、開示先制御機能１０５は、共有鍵で、ステップＳ１０３で生成したアクセス鍵を暗号化する。ステップＳ１０９で、開示先制御機能１０５は、ステップＳ１０１で受信した、開示先のクライアントサーバ４００の公開鍵を用いて、アクセス制御サーバ１００の共有鍵を暗号化する。そして、ステップＳ１１０で、開示先制御機能１０５は、上記暗号化したアクセス鍵と、暗号化した共有鍵と、ＫＹＣ情報を登録した情報提供者のＩＤ２０６１をクライアントサーバ４００へ送信する。

最後に、ステップＳ１１０で、クライアントサーバ４００は、受信した暗号化されたアクセス鍵に基づいて、ユーザ情報テーブル４０５を更新する。図９は、ユーザ情報テーブル４０５のデータフォーマットの一例を示す。ユーザ情報テーブル４０５は、各クライアントサーバ４００がＫＹＣ情報テーブル３０５において参照可能な情報への接続情報を管理する。

ユーザ情報テーブル４０５は、個人ＩＤ４０５１と、アクセス鍵４０５２と、を一つのレコードに含む。ユーザ情報テーブル４０５を用いて、外部データベースサーバ３００が保持するＫＹＣ情報テーブル３０５を参照する方法は、図１１を参照して後述する。

個人ＩＤ４０５１は、ＫＹＣ情報テーブル３０５のレコードを特定する個人ＩＤ３０５１（２０６１）に紐付けられた識別子を格納する。アクセス鍵４０５２は、アクセス制御サーバ１００から受信した鍵を格納する。

図１１は、ＫＹＣ情報の取得処理の一例を示すシーケンス図である。特定の企業ＩＤのクライアントサーバ４００が、外部データベースサーバ３００が保持するＫＹＣ情報テーブル３０５から、特定の個人ＩＤのアクセス対象のＫＹＣ情報（ＫＹＣ情報レコード）を取得する処理について説明する。但し前提条件として、クライアントサーバ４００が有するユーザ情報テーブル４０５に、取得対象のＩＤ４０５１とアクセス鍵４０５２が登録されている場合に限る。

まず、ステップＳ２０１で、クライアントサーバ４００が、アクセス制御サーバ１００から受信した、暗号化された共有鍵をクライアントサーバ４００の秘密鍵で復号することで、アクセス制御サーバ１００の共有鍵を取得する。

次に、ステップＳ２０２で、クライアントサーバ４００が、取得した共有鍵を用いて、暗号化されたアクセス鍵を復号し、アクセス鍵を取得する。クライアントサーバ４００は、取得したいＫＹＣ情報があれば、ステップＳ２０２で復号したアクセス鍵と、アクセス対象のユーザ情報（ＩＤ４０５１）を、アクセス制御サーバ１００へ送信し、ユーザ情報に対応するＫＹＣ情報へのアクセスを要求する（Ｓ２０３）。

次に、アクセス制御サーバ１００のデータ連携機能１０８は、クライアントサーバ４００からアクセス要求を受信し、アクセス要求に含まれるユーザ情報（ＩＤ４０５１）とクライアントサーバ４００の企業ＩＤの組み合わせを、ブロックチェーンサーバ２００が保持する連携テーブル２０７において検索する（Ｓ２０４）。

企業ＩＤは、アクセス対象のユーザ情報（ＩＤ４０５１）と共にクライアントサーバ４００が送信してもよいし、クライアントサーバ４００のアドレス情報と企業ＩＤ２０７１の対応関係を予め設定しておき、アクセス制御サーバ１００はクライアントサーバ４００が所属する企業ＩＤ２０７１を判定してもよい。

アクセス制御サーバ１００のデータ連携機能１０８は、クライアントサーバ４００の企業ＩＤ２０７１及び対象のユーザ情報の個人ＩＤ２０７２を指定して、クエリをブロックチェーンサーバ２００に発行する。アクセス制御サーバ１００のデータ連携機能１０８は、該当する連携レコード（個人ＩＤ２０７２、企業ＩＤ２０７１）を取得する。対象の連携レコードを取得できない場合は、取得できるＫＹＣ情報が無いため、アクセス制御サーバ１００は、クライアントサーバ４００に対してＫＹＣ情報を取得できないことを示すエラーを送信する（Ｓ２０５）。

次に、ステップＳ２０６で、アクセス制御サーバ１００のデータ連携機能１０８は、クライアントサーバ４００から受信したアクセス鍵の正当性を検証する。正当性が検証されると、アクセス制御サーバ１００のデータ連携機能１０８は、ステップＳ２０４で取得した連携レコード（企業ＩＤ２０７１、個人ＩＤ２０７２）と、ブロックチェーンサーバ２００が保持するアクセス制御テーブル２０６との紐付けを実施する。

図１４は、アクセス鍵の正当性検証処理Ｓ２０６の一例を示すフローチャートである。まず、ステップＳ３０１で、データ連携機能１０８は、対象のアクセス制御テーブル２０６のレコードをブロックチェーンサーバ２００から取得する。データ連携機能１０８は、ステップＳ２０４で取得した連携レコードに含まれる、企業ＩＤ２０７１及び個人ＩＤ２０７２と一致するアクセス制御テーブル２０６のレコードを取得するクエリを生成して、ブロックチェーンサーバ２００へ発行する。

次に、ステップＳ３０２で、データ連携機能１０８は、クライアントサーバ４００から受信したアクセス鍵から、所定の関数によってハッシュ値を算出する。ステップＳ３０３で、データ連携機能１０８は、上記ステップＳ３０１で取得したアクセス制御テーブル２０６のレコードに含まれる電子署名２０６４を、ブロックチェーンサーバ２００の公開鍵で復号する。なお、アクセス制御サーバ１００は、予めブロックチェーンサーバ２００から公開鍵を取得しておくものとする。

最後に、ステップＳ３０４で、データ連携機能１０８は、ステップＳ３０２で生成したアクセス鍵のハッシュ値と、ステップＳ３０３で取得した電子署名２０６４の復号結果の値とを比較する。

ステップＳ３０２で生成したアクセス鍵のハッシュ値と、ステップＳ３０３で取得した電子署名２０６４の復号結果の値が一致した場合、データ連携機能１０８は、クライアントサーバ４００から受信したアクセス鍵が正当なものと判定する。アクセス制御サーバ１００は、図１１のステップＳ２０８へ進む。

一方、ステップＳ３０２で生成したアクセス鍵のハッシュ値と、ステップＳ３０３で取得した電子署名２０６４の復号結果の値が不一致であった場合は、データ連携機能１０８は、アクセス鍵は不正なものと判定する。データ連携機能１０８は、ステップＳ３０５のエラー送信処理を実施し、図１１のステップＳ２０７で、クライアントサーバ４００へＫＹＣ情報の取得が不可である旨のエラーを通知する。

次に、ステップＳ２０８で、アクセス制御サーバ１００が外部データベースサーバ３００のＫＹＣ情報テーブル３０５から、連携レコード（個人ＩＤ２０７２）と紐づくＫＹＣ情報のレコードを取得する。そして、アクセス制御サーバ１００の属性開示制御機能１０６が、ＫＹＣ情報の開示先のクライアントサーバ４００に対して、指定された属性の開示処理を実施する。

図１５は、属性開示制御処理Ｓ２０８の一例を示すフローチャートである。ステップＳ４０１において、アクセス制御サーバ１００の属性開示制御機能１０６は、ＫＹＣ情報テーブル３０５からＫＹＣ情報レコードを取得する。具体的には、属性開示制御機能１０６は、連携レコードと紐づく条件のクエリを外部データベースサーバ３００へ発行する。属性開示制御機能１０６は、ステップＳ２０３でクライアントサーバ４００から受け付けた個人ＩＤ及び当該クライアントサーバ４００の企業ＩＤの組み合わせに該当するレコードを、外部データベースサーバ３００に要求し、取得する。

ステップＳ４０２において、属性開示制御機能１０６は、図１１のステップＳ２０４で取得したアクセス制御テーブル２０６のレコード（アクセス制御レコード）に含まれる属性（「属性－１（２０６２－１）」から「属性－ｎ（２０６２－２）」）の個数分、ステップＳ４０２及びステップＳ４０３を繰返す。

ステップＳ４０２において、属性開示制御機能１０６は、アクセス制御テーブル２０６のレコードの属性－ｋ（ｋは１～ｎの数）の値を判定する。値が「１」である場合、属性－ｋは開示される属性のため、属性開示制御機能１０６は、次の属性を選択する。値が「０」である場合、属性－ｋはマスクされる属性のため、属性開示制御機能１０６は、ステップＳ４０３へ進む。

ステップＳ４０３において、属性開示制御機能１０６は、ＫＹＣ情報の属性値をマスクする。具体的には、属性開示制御機能１０６は、マスクすると判定された属性－ｋ（３０５２－ｋ）の値を、当該値に基づくハッシュ値（項目ハッシュ値）に置き換える。

属性開示制御機能１０６は所定のハッシュ関数により、ハッシュ値を計算する。ハッシュ値の計算は、例えば、属性－ｋ（項目）の属性値（項目値）に加え、レコードＩＤを入力値として使用してもよい。レコードＩＤはレコードの識別情報である。上記例において、レコードＩＤは個人ＩＤである。このように、レコードＩＤ及び項目値に基づきハッシュ値を計算することで、少数クラスしか持たない項目におけるハッシュ値の衝突の可能性を低下させることができる。

他の例において、ハッシュ値の計算は、項目値に加え項目名を入力値として使用してもよい。項目名は、項目のＩＤ（識別情報）である。これにより、項目間のハッシュ値の衝突の可能性を低下させることができる。他の例において、ハッシュ値の計算は、項目値、項目名及びレコードＩＤを入力値として使用してもよい。これにより、ハッシュ値の衝突の可能性をより低下させることができる。

図１６は、企業Ｘ及び企業Ｙに、それぞれ異なる部分がマスキングされたＫＹＣ情報レコードを渡す例を示す。オリジナルＫＹＣ情報レコード７００は、ＩＤ、名前、住所１、住所２、性別及び物件の項目（フィールド）を含む。オリジナルＫＹＣ情報レコード７００は、全ての項目において、オリジナルの値を格納している。ＩＤ項目は、ＫＹＣ情報レコードのＩＤを示し、本例において個人名を示す。ＩＤ項目以外の項目は、属性項目である。

企業Ｘに対して、オリジナルＫＹＣ情報レコード７００において一部の項目がマスキングされたＫＹＣ情報レコード７０１が渡される。ＫＹＣ情報レコード７０１において、名前項目の値がマスキングされており、具体的には、値「浦谷」が、ハッシュ値ｈ１に置き換えられている。上述のように、ハッシュ値は、例えば、ｈ（ＩＤ、項目値、項目名）により計算される。ｈ（）は所定のハッシュ関数である。

企業Ｙに対して、オリジナルＫＹＣ情報レコード７００において一部の項目がマスキングされたＫＹＣ情報レコード７０２が渡される。ＫＹＣ情報レコード７０２において、名前項目、住所１項目及び住所２項目の値がマスキングされており、具体的には、値「浦谷」、値「東京」及び値「文京」が、それぞれ、ハッシュ値ｈ１、ハッシュ値ｈ２及びハッシュ値ｈ２に置き換えられている。ハッシュ値の計算方法は上述の通りである。

このように、ステップＳ４０３の処理により、情報提供先毎に、情報提供者の意志に基づいた属性の開示制御が可能となる。つまり、情報提供者は、指定した開示先に対してのみ情報を開示し、開示先毎に許可した項目のみを開示することができる。アクセス制御サーバ１００は、属性開示制御処理が終了した後は、ＫＹＣ情報をクライアントサーバ４００へ送信する。

図１１の説明に戻る。ステップＳ２０９では、クライアントサーバ４００は、アクセス制御サーバ１００からＫＹＣ情報レコードを受信する。ステップＳ２１０において、クライアントサーバ４００は、受信したＫＹＣ情報レコードを送信して、そのＫＹＣ情報レコードの改竄の有無の検証を、アクセス制御サーバ１００に依頼する。

ステップＳ２１１において、アクセス制御サーバ１００は、ＫＹＣ情報レコードの改竄の有無の検証を行い、その検証結果をクライアントサーバ４００に送信する。具体的には、アクセス制御サーバ１００の属性開示制御機能１０６は、受信したＫＹＣ情報レコードから生成されるハッシュ値（レコードハッシュ値）と、当該ＫＹＣ情報レコードのオリジナルのＫＹＣ情報レコードのレコードハッシュ値とを比較して、改竄の有無を判定する。アクセス制御サーバ１００は、検証結果をクライアントサーバ４００に送信する。ステップＳ２１２において、クライアントサーバ４００は検証結果を受信する。

図１７は、検証対象のＫＹＣ情報レコードの改竄の有無の検証処理Ｓ２１１の一例を示すフローチャートである。ステップＳ５０１において、属性開示制御機能１０６は、検証対象のＫＹＣ情報レコードを受信する。ステップＳ５０２において、属性開示制御機能１０６は、受信した検証対象のＫＹＣ情報レコードと同一ＩＤを有するオリジナルＫＹＣ情報レコードのレコードハッシュ値Ｈ２を、そのハッシュ値署名と共にアクセス制御テーブル２０６から取得する。

レコードハッシュ値Ｈ２は、オリジナルＫＹＣ情報レコードの全ての項目それぞれの項目ハッシュ値を上述のように算出し、全ての項目ハッシュ値を上述のように所定ハッシュ関数に入力することで算出される。属性開示制御機能１０６は、アクセス制御サーバ１００の公開鍵によりハッシュ値署名を復号化し、その値とレコードハッシュ値Ｈ２とを比較することで、レコードハッシュ値の正当性を確認できる。本例においては、レコードハッシュ値を生成する主体とＫＹＣ情報レコードの改竄の有無の検証の主体が同一であるが、後述するように、これらが異なる場合もある。

ステップＳ５０３において、属性開示制御機能１０６は、検証対象のＫＹＣ情報レコードにおいて、マスクされていないオリジナルの値の全ての項目それぞれの項目ハッシュ値を算出する。ステップＳ５０４において、属性開示制御機能１０６は、オリジナルＫＹＣ情報レコードの全ての項目ハッシュ値を所定のハッシュ関数に入力して、検証対象ＫＹＣ情報レコードのレコードハッシュ値Ｈ１を算出する。レコードハッシュ値のハッシュ関数は、項目ハッシュ値のハッシュ関数と同一又は異なる。

ステップＳ５０５において、属性開示制御機能１０６は、検証対象ＫＹＣ情報レコードのレコードハッシュ値Ｈ１と、オリジナルＫＹＣ情報レコードのレコードハッシュ値Ｈ２とを比較して、検証対象ＫＹＣ情報レコードの改竄の有無を判定する。二つのレコードハッシュ値Ｈ１、Ｈ２が異なる場合、検証対象ＫＹＣ情報レコードは改竄され、同一である場合改竄されていない。ステップＳ５０６において、属性開示制御機能１０６は、検証結果をクライアントサーバ４００に送信する。

図１６に示す例を使用して、ＫＹＣ情報レコードの改竄の有無の検証方法を説明する。企業ＸのＫＹＣ情報レコード７０１の検証方法を説明する。アクセス制御サーバ１００は、企業Ｘのクライアントサーバ４００から、部分的にマスクされたＫＹＣ情報レコード７０１を受信する。

属性開示制御機能１０６は、ＫＹＣ情報レコード７０１における住所１項目、住所２項目、性別項目及び物件項目のそれぞれの項目ハッシュ値ｈ２、ｈ３、ｈ４及びｈ５を、計算する。例えば、属性開示制御機能１０６は、レコードＩＤ、項目名及び項目値に基づき各項目ハッシュ値を算出する。属性開示制御機能１０６は、さらに、全ての項目ハッシュ値ｈ１～ｈ５に基づき、レコードハッシュ値Ｈ１を算出する。

属性開示制御機能１０６は、オリジナルＫＹＣ情報レコード７００のレコードハッシュ値Ｈ２を、アクセス制御テーブル２０６から取得する。オリジナルＫＹＣ情報レコード７００のレコードハッシュ値Ｈ２の算出は、オリジナルＫＹＣ情報レコード７００の全項目それぞれのハッシュ値ｈ１１～ｈ１５を、ＩＤ、項目値及び項目名に基づき算出し、さらに、全ての項目ハッシュ値に基づきレコードハッシュ値を算出する。

属性開示制御機能１０６は、レコードハッシュ値Ｈ１とレコードハッシュ値Ｈ２とを比較する。それらが一致する場合、属性開示制御機能１０６は、ＫＹＣ情報レコード７０１が改竄されていないと判定し、それらが一致しない場合、ＫＹＣ情報レコード７０１が改竄されていると判定する。

このように、項目のハッシュ値をマスキングされた項目値として渡すことで、部分的にマスクされたＫＹＣ情報を受信した装置が、オリジナルのＫＹＣ情報のレコードハッシュ値を計算した方法同じ計算方法を用いて、改竄の有無を検証することができる。

上記例において、アクセス制御サーバ１００がＫＹＣ情報レコードの改竄の有無を検証する。他の例において、アクセス制御サーバ１００と異なる装置がＫＹＣ情報レコードの改竄の有無を検証してよい。例えば、クライアントサーバ４００は、受信したＫＹＣ情報レコードの改竄の有無を検証してもよい。

例えば、クライアントサーバ４００は、ＫＹＣ情報レコードと共に、そのＫＹＣ情報レコードのオリジナルＫＹＣ情報レコードのレコードハッシュ値を受信する。クライアントサーバ４００は、受信したＫＹＣ情報レコードにおいて、オリジナルの項目値の項目それぞれの項目ハッシュ値を計算する。ＫＹＣ情報レコードにおいてマスクされている項目は、例えば、アクセス制御サーバ１００又はクライアントサーバ４００のユーザにより指定される。

クライアントサーバ４００は、算出した項目ハッシュ値及び受信したＫＹＣ情報レコードの含まれているハッシュ値から、レコードハッシュ値を算出する。クライアントサーバ４００は、算出したレコードハッシュ値と受信したオリジナルＫＹＣ情報レコードのレコードハッシュ値とを比較して、受信したＫＹＣ情報レコードの改竄の有無を判定する。また、クライアントサーバ４００は、ハッシュ値署名をレコードハッシュ値と共に受信して、レコードハッシュ値の正当性の検証を行ってもよい。

他の例において、クライアントサーバ４００は、アクセス制御サーバ１００と異なる装置に検証を依頼してもよい。クライアントサーバ４００は、検証対象のＫＹＣ情報レコード及びマスクされた項目の指定と共に、アクセス制御サーバ１００から受信したオリジナルＫＹＣ情報レコードのレコードハッシュ値を、検証依頼と共に依頼先に送信する。依頼先がアクセス制御テーブル２０６にアクセスできる場合、クライアントサーバ４００は、オリジナルＫＹＣ情報レコードのレコードハッシュ値を受信する必要はない。ハッシュ値署名による検証は、クライアントサーバ４００又は検証依頼先において行うことができる。

上記例はレコードハッシュ値を予め生成してアクセス制御テーブル２０６に格納する。他の例は、レコードハッシュ値を予め生成することなく、部分的にマスクされたＫＹＣ情報レコードの改竄の有無の検証のときに、オリジナルのＫＹＣ情報レコードからレコードハッシュ値を生成してもよい。

上記実施例では、情報提供者が入力したＫＹＣ情報を、情報提供者が指定した複数の企業Ａ～Ｚで共有する例を示したが、これに限定されるものではない。例えば、複数の企業Ａ～Ｚが保有する顧客の情報のうち、顧客から許諾を得た情報を外部データベースサーバ３００に登録し、アクセス制御サーバ１００を介して複数の企業Ａ～Ｚで共有するようにしてもよい。

複数の企業Ａ～Ｚは、外部データベースサーバ３００を使用することなく、情報を共有してもよい。例えば、情報提供元企業のサーバは、提供先企業に応じてマスクする項目を決定し、部分的にマスクした情報を提供先企業に提供する。アクセス制御サーバ１００は、オリジナル情報のレコードハッシュ値を管理する。提供先企業のサーバは、アクセス制御サーバ１００に対して、部分的にマスクされた情報と共に、その情報の正当性の検証を依頼する。アクセス制御サーバ１００は、部分的にマスクされた情報のレコードハッシュ値を算出し、オリジナルの情報のレコードハッシュ値と比較して、改竄の有無を判定する。 複数の企業Ａ～Ｚのサーバが、それぞれ、受信した部分的にマスクされた情報の改竄の有無の検証を行ってもよい。情報提供元企業のサーバは、部分的にマスクされた情報と共にレコードハッシュ値を送信する。情報提供先企業のサーバは、部分的にマスクされた情報からレコードハッシュ値を計算して、受信したレコードハッシュ値と比較する。また、レコードハッシュ値と共にハッシュ値署名を受信することで、情報提供先企業は受信したレコードハッシュ値の正当性を検証できる。

上記実施例では、アクセス制御テーブル２０６と、連携テーブル２０７と、電子署名生成機能２０５をアクセス制御サーバ１００とは異なるブロックチェーンサーバ２００で管理する例を示したが、これに限定されるものではない。アクセス制御テーブル２０６及び連携テーブル２０７をブロックチェーンサーバ２００に格納するが、これらは通常のデータベースに格納されていてもよい。例えば、アクセス制御サーバ１００が、上記実施例の機能とテーブルに加えて、電子署名生成機能２０５を提供し、アクセス制御テーブル２０６と、連携テーブル２０７を管理するようにしてもよい。

上記実施例では、アクセス制御サーバ１００と、外部データベースサーバ３００と、ブロックチェーンサーバ２００を独立した計算機で構成する例を示したが、これに限定されるものではない。例えば、アクセス制御サーバ１００に、外部データベースサーバ３００とブロックチェーンサーバ２００の機能とデータを集約し、一つの計算機で運用してもよい。また、アクセス制御サーバ１００は、物理計算機に限定されるものではなく、仮想計算機やコンテナで実現してもよい。

また、上記実施例では、ＫＹＣ情報テーブル３０５を共有するクライアントサーバ４００を企業が利用する例を示したが、これに限定されるものではない。任意の組織が運用して情報提供者のＫＹＣ情報を共有するようにしてもよい。

なお、本発明は上記実施例に限定しされるものではなく、様々な変形例が含まれる。例えば、上記実施例では本発明を実現するため、複数の構成サーバが存在しているが、必ずしも説明した全て構成に限定されるものではない。また、本発明を実現するためのインフラ環境も限定されていないため、オンプレミスやクラウド環境で実現することも可能である。

上記した実施例は本発明を分かりやすく説明するために詳細に記載したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施例の構成の一部を他の実施例の構成に置き換えることが可能であり、また、ある実施例の構成に他の実施例の構成を加えることも可能である。また、各実施例の構成の一部について、他の構成の追加、削除、又は置換のいずれもが、単独で、又は組み合わせても適用可能である。

また、上記の各構成、機能、処理部、及び処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、及び機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等の記録装置、又は、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に置くことができる。

また、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。

１００ アクセス制御サーバ
１０１ ネットワークインタフェース
１０２ ＣＰＵ
１０３ 入出力装置
１０４ 記憶装置
１０５ 開示先制御機能
１０６ 属性開示制御機能
１０７ アクセス鍵生成機能
１０８ データ連携機能
２００ ブロックチェーンサーバ
２０５ 電子署名生成機能
２０６ アクセス制御テーブル
２０７ 連携テーブル
３００ 外部データベースサーバ
３０５ ＫＹＣ情報テーブル
４００ クライアントサーバ
４０５ ユーザ情報テーブル
５００ ネットワーク
７００ オリジナルＫＹＣ情報レコード
７０１、７０２ 部分的にマスクされたＫＹＣ情報レコード

Claims (12)

1. 組織間の情報連携を制御するシステムであって、
   １以上のプロセッサと、
   前記１以上のプロセッサにより実行されるプログラムを格納する１以上の記憶装置と、を含み、
   前記１以上のプロセッサは、
   複数項目の値を含む、情報レコードを取得し、
   前記複数項目それぞれのオリジナルの値に基づき、前記複数項目それぞれの項目ハッシュ値を算出し、
   前記複数項目の項目ハッシュ値に基づき、前記情報レコードのレコードハッシュ値を算出する、システム。
2. 請求項１に記載のシステムであって、
   前記１以上のプロセッサは、前記情報レコードのＩＤに基づき、前記複数項目それぞれの項目ハッシュ値を算出する、システム。
3. 請求項１又は２に記載のシステムであって、
   前記１以上のプロセッサは、前記複数項目それぞれのＩＤに基づき、前記複数項目それぞれの項目ハッシュ値を算出する、システム。
4. 請求項１に記載のシステムであって、
   前記情報レコードにおいてマスクされる項目が、提供先毎に予め定義されており、
   前記情報レコードにおいてマスクされる項目のオリジナルの値は、前記マスクされる項目の項目ハッシュ値に置き換えられる、システム。
5. 請求項１に記載のシステムであって、
   前記１以上のプロセッサは、
   前記情報レコードの一部の項目の値が項目ハッシュ値であり、他の項目の値がオリジナルの値である検証対象情報レコードを取得し、
   前記他の項目の項目ハッシュ値を算出し、
   前記一部の項目の項目ハッシュ値及び前記他の項目の項目ハッシュ値に基づき前記検証対象情報レコードのレコードハッシュ値を算出し、
   前記情報レコードのレコードハッシュ値と前記検証対象情報レコードのレコードハッシュ値とを比較して、前記検証対象情報レコードの改竄の有無を検証する、システム。
6. 請求項１に記載のシステムであって、
   前記１以上のプロセッサは、前記レコードハッシュ値の電子署名を生成する、システム。
7. システムが、組織間の情報連携を制御する方法であって、
   前記システムが、複数項目の値を含む、情報レコードを取得し、
   前記システムが、前記複数項目それぞれのオリジナルの値に基づき、前記複数項目それぞれの項目ハッシュ値を算出し、
   前記システムが、前記複数項目の項目ハッシュ値に基づき、前記情報レコードのレコードハッシュ値を算出する、方法。
8. 請求項７に記載の方法であって、
   前記システムが、前記情報レコードのＩＤに基づき、前記複数項目それぞれの項目ハッシュ値を算出する、方法。
9. 請求項７又は８に記載の方法であって、
   前記システムが、前記複数項目それぞれのＩＤに基づき、前記複数項目それぞれの項目ハッシュ値を算出する、方法。
10. 請求項７に記載の方法であって、
    前記情報レコードにおいてマスクされる項目が、送信先毎に予め定義されており、
    前記情報レコードにおいてマスクされる項目の値は、前記マスクされる項目の項目ハッシュ値に置き換えられる、方法。
11. 請求項７に記載の方法であって、
    前記システムが、前記情報レコードにおいて一部の項目の値が項目ハッシュ値であり、他の項目の値がオリジナルの値である検証対象情報レコードを取得し、
    前記システムが、前記他の項目の項目ハッシュ値を算出し、
    前記システムが、前記一部の項目の項目ハッシュ値及び前記他の項目の項目ハッシュ値に基づき前記検証対象情報レコードのレコードハッシュ値を算出し、
    前記システムが、前記情報レコードのレコードハッシュ値と前記検証対象情報レコードのレコードハッシュ値とを比較して、前記検証対象情報レコードの改竄の有無を検証する、方法。
12. 請求項７に記載の方法であって、
    前記システムが、前記レコードハッシュ値の電子署名を生成する、方法。

Images