WO2022163741A1 - データ流通制御方法、データ流通制御システム及び認可サーバ - Google Patents

データ流通制御方法、データ流通制御システム及び認可サーバ Download PDF

Info

Publication number
WO2022163741A1
WO2022163741A1 PCT/JP2022/003015 JP2022003015W WO2022163741A1 WO 2022163741 A1 WO2022163741 A1 WO 2022163741A1 JP 2022003015 W JP2022003015 W JP 2022003015W WO 2022163741 A1 WO2022163741 A1 WO 2022163741A1
Authority
WO
WIPO (PCT)
Prior art keywords
data
authorization server
distribution control
evaluation value
risk
Prior art date
Application number
PCT/JP2022/003015
Other languages
English (en)
French (fr)
Inventor
忠司 鍛
博光 加藤
雅之 吉野
宏樹 内山
倫宏 重本
Original Assignee
株式会社日立製作所
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社日立製作所 filed Critical 株式会社日立製作所
Priority to JP2022578463A priority Critical patent/JP7520159B2/ja
Priority to US18/031,973 priority patent/US20230388306A1/en
Priority to EP22745960.9A priority patent/EP4287056A1/en
Publication of WO2022163741A1 publication Critical patent/WO2022163741A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/604—Tools and structures for managing or administering access control systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G06F21/6245—Protecting personal data, e.g. for financial or medical purposes
    • G06F21/6254—Protecting personal data, e.g. for financial or medical purposes by anonymising data, e.g. decorrelating personal data from the owner's identification
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0281—Proxies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0407—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the identity of one or more communicating identities is hidden
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/105—Multiple levels of security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/552—Detecting local intrusion or implementing counter-measures involving long-term monitoring or reporting
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2101—Auditing as a secondary aspect
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2113—Multi-level security, e.g. mandatory access control

Definitions

  • the present invention relates to data access control between data providers and data users, and data provision methods.
  • City OS a data collaboration and distribution platform that can cross-link the data held by the government and the IoT data of infrastructure such as buildings and roads has been proposed.
  • the City OS mediates the data from the provider (holder) to the data user, and the data user analyzes and processes the provided data to provide services. Data providers are reluctant to distribute valuable data among the data they possess.
  • the data of the data provider when the data of the data provider includes personal information and sensitive information such as information on the movement of individuals, the data provider may be reluctant to provide or distribute such data, but the purpose of use Depending on the situation, the provision and distribution of data may be permitted.
  • a data provider considers providing data to a data user, it is necessary to clarify the risks of providing data and the trust placed in the data user.
  • Patent Document 1 is known as a technique for estimating risks when a data provider provides data to a data user.
  • Patent Literature 1 describes a risk calculation device that calculates a risk when a data provider provides data to a data user. Based on the provided data and information on the data provider, the customer of the data provider, the data user, etc., the risk calculation device calculates risk factors related to the data itself, factors related to the data user, and Find the factors related to the relationship and calculate the risk index.
  • access control is performed by calculating a risk index based on the risk factor of the data itself, the attributes of the data user, and the relationship between the data provider and the data user. There was a problem that the information about could not be calculated.
  • data providers want to make decisions on data provision based not only on the risk of providing data, but also on the purpose of use of the provided data and the value of providing the data.
  • the present invention has been made in view of the above problems, and it is an object of the present invention to control access to data based on the purpose of use of the data user and the level of data protection that creates value that satisfies the data owner. do.
  • One aspect of the present invention is a data distribution control method in which an authorization server having a processor and a memory controls access to the data between a providing side computer that provides data and a using side computer that uses the data, a purpose achievement status notification step in which the user computer notifies the authorization server of the usage status of the data that has been authorized in the past; and protection level information regarding security measures when the user computer uses the data; a usage application step of applying a usage policy including the purpose of use of the data to the authorization server; and an access control step of controlling access of the user-side computer to the data of.
  • the authorization server can calculate the reliability of the data user from the data owner's policy and the data user's policy, and can implement access control according to the reliability. For example, even if the data is personal information, data excluding sensitive information can be provided to data users by performing anonymization processing that the data owner can agree to provide.
  • BRIEF DESCRIPTION OF THE DRAWINGS It is a block diagram which shows Example 1 of this invention and shows an example of a data distribution control system. It is a block diagram which shows Example 1 of this invention and shows an example of the connector by the side of a data provider. It is a block diagram which shows Example 1 of this invention and shows an example of the connector by the side of a data user. It is a block diagram which shows Example 1 of this invention and shows an example of an authentication authorization server.
  • BRIEF DESCRIPTION OF THE DRAWINGS It is a figure which shows Example 1 of this invention and shows the concept of a data distribution control system. It is a graph which shows Example 1 of this invention and shows an example of the calculation model of reliability.
  • FIG. 10 is a sequence diagram showing Embodiment 1 of the present invention and showing an example of processing from policy registration to data access authorization; It is a sequence diagram which shows Example 1 of this invention and shows an example of a data provision process. It is a figure which shows Example 1 of this invention and shows an example of an authorization table. It is a figure which shows Example 1 of this invention and shows an example of a risk evaluation table. It is a figure which shows Example 1 of this invention and shows an example of a protection level table. It is a figure which shows Example 1 of this invention and shows an example of a utilization purpose table. It is a figure which shows Example 1 of this invention and shows an example of a realization table. It is a figure which shows Example 1 of this invention and shows an example of a data conversion table. FIG.
  • Example 3 is a diagram showing Example 1 of the present invention and showing an example of a provision policy; It is a figure which shows Example 1 of this invention and shows an example of a usage policy. It is a flowchart which shows Example 1 of this invention and shows an example of the calculation process of reliability. It is a block diagram which shows Example 2 of this invention and shows an example of a data distribution control system.
  • FIG. 1 is a block diagram showing Embodiment 1 of the present invention and showing an example of a data distribution control system.
  • the data distribution control system includes data provider sites OWN-1 to OWN-3 that provide data (original data 21), data user sites USR-1 to USR-3 that use data (converted data 31), Authentication and authorization server 200 for controlling data access from data provider sites OWN-1 to OWN-3 to data user sites USR-1 to USR-3, and data user site USR-1 according to the status of data usage. It includes a billing server 40 that calculates billing information for USR-3, and a network 70 that connects these sites and servers.
  • the outline of the data distribution control system is used by data users such as individuals, companies, and organizations who want to create value from data only within the scope of the conditions (policies) permitted by the data providers such as individuals and corporations who own the data.
  • the original data 21 to be used is used.
  • the authentication authorization server 200 calculates the reliability (trust score) of the data user based on the policy of the data provider, the usage policy of the data user, and the operation status of the data in the policy determination unit 210 .
  • the authentication authorization server 200 determines whether or not the original data 21 can be used according to the protection level of the data user. Determine the conversion policy (anonymization level) and notify the data provider site OWN.
  • the data provider site OWN anonymizes the original data 21 according to the conversion policy (anonymization level) set by the authentication authorization server 200, generates converted data 31, and provides it to the data user site USR.
  • the data provider site OWN includes a sensor system 60 that collects data from sensors attached to facilities and machines, a data provision system 20 that acquires data from the sensor system 60 and accumulates it as original data 21, and an authentication authorization server. 200 to register policies and provide original data 21.
  • the sensor system 60 includes sensors (not shown) attached to equipment and machines, and computers (not shown) that collect and output data output by the sensors.
  • the data providing system 20 stores data acquired from the sensor system 60 as the original data 21 in a storage device (not shown), and includes a computer that executes the work of the data provider. Also, the data providing system 20 outputs original data 21 in response to a request from the authentication authorization server 200 via the connector 12 .
  • the connector 12 of the data provider site OWN includes a data communication unit 121 that communicates with the authentication authorization server 200, a data registration unit 122 that registers the data provider's policy etc. in the authentication authorization server 200, It includes a data conversion unit 123 that converts the original data 21 to generate converted data in response to a request. Details of the connector 12 will be described later.
  • the authentication authorization server 200 includes a policy registration unit 220 that manages a provision policy when a data provider provides data and a usage policy when a data user uses data; It includes a policy determination unit 210 that determines whether or not access to the provided data is permitted based on a usage policy including the purpose of use of the data user and the level of data protection, based on an application. Details of the authentication authorization server 200 will be described later.
  • the data user site USR uses a data utilization system 30 that analyzes or processes the converted data 31 acquired from the data provider site OWN and the converted data 31 processed by the data utilization system 30 to provide a predetermined service. It includes a service system 50 and a connector 11 that communicates with the authentication and authorization server 200 to register policies and apply for use of the conversion data 31 .
  • the connector 11 of the data user site USR includes a data communication unit 111 that communicates with the authentication and authorization server 200, a usage application unit 112 that registers data user policies, usage applications, etc. in the authentication and authorization server 200, and a data usage system. It includes a usage monitoring unit 113 that monitors the usage status of the converted data 31 in 30 and notifies the authentication authorization server 200 . Details of the connector 11 will be described later.
  • the data utilization system 30 is a computer that performs predetermined processing such as analysis or processing on the converted data 31 and provides the service system 50 with the processed data.
  • the service system 50 is a computer that provides predetermined services based on the results of processing the conversion data 31 .
  • the number of data provider sites OWN and data user sites USR is not limited to the above. Also, the data provider and the data user can be composed of different groups, organizations, or companies.
  • the data user site USR and data provider site OWN can be configured by adding connectors 11 and 12 to existing sites.
  • the connectors 11 and 12 function as interfaces for connecting the authentication authorization server 200 and existing sites.
  • the authentication authorization server 200 instructs the connectors 11 and 12 to access data with a trust score based on the policy of the data provider and data user.
  • FIG. 2 is a block diagram showing an example of the connector 12 on the data provider side.
  • the connector 12 is a computer including a processor 71 , a memory 72 , a storage device 73 , a network interface 74 and an input/output device 75 .
  • a data communication unit 121 , a data registration unit 122 , and a data conversion unit 123 are loaded into the memory 72 and executed by the processor 71 .
  • the processor 71 operates as a functional unit that provides a predetermined function by executing processing according to the program of each functional unit.
  • the processor 71 functions as the data converter 123 by executing processing according to a data conversion program. The same is true for other programs.
  • the processor 71 also operates as a functional unit that provides functions of multiple processes executed by each program.
  • Computers and computer systems are devices and systems that include these functional units.
  • the network interface 74 is connected to the network 70 and the data providing system 20 for communication.
  • the input/output device 75 includes an input device such as a keyboard, mouse or touch panel, and an output device such as a display.
  • the data registration unit 122 transmits the data provider's policy received from the input/output device 75 to the authentication authorization server 200 .
  • the data conversion unit 123 controls access by generating converted data 31 from the original data 21 specified by the authentication/authorization server 200 according to the conversion policy instructed by the authentication/authorization server 200 . Data conversion will be described later.
  • FIG. 3 is a block diagram showing an example of the connector 11 on the data user side.
  • the connector 11 is a computer including a processor 81 , a memory 82 , a storage device 83 , a network interface 84 and an input/output device 85 .
  • the data communication unit 111 , the usage application unit 112 , and the usage monitoring unit 113 are loaded into the memory 82 and executed by the processor 81 .
  • the processor 81 operates as a functional unit that provides a predetermined function by executing processing according to the program of each functional unit.
  • the processor 81 functions as the usage monitoring unit 113 by executing processing according to a usage monitoring program. The same is true for other programs.
  • the processor 81 also operates as a functional unit that provides functions of multiple processes executed by each program.
  • Computers and computer systems are devices and systems that include these functional units.
  • the network interface 84 is connected to the network 70 and the data utilization system 30 for communication.
  • the input/output device 85 includes an input device such as a keyboard, mouse or touch panel, and an output device such as a display.
  • the usage application unit 112 transmits the data user's policy received from the input/output device 85 to the authentication authorization server 200 .
  • the usage monitoring unit 113 monitors how the data usage system 30 uses the converted data 31 and notifies the authentication authorization server 200 of it. Usage monitoring of the conversion data 31 will be described later.
  • FIG. 4 is a block diagram showing an example of the authentication authorization server 200.
  • the authentication authorization server 200 is a computer including a processor 201 , a memory 202 , a storage device 203 , a network interface 204 and an input/output device 205 .
  • a policy determination unit 210 and a policy registration unit 220 are loaded into the memory 202 and executed by the processor 201 .
  • the processor 201 operates as a functional unit that provides a predetermined function by executing processing according to the program of each functional unit.
  • the processor 201 functions as the policy determination unit 210 by executing processing according to a policy determination program. The same is true for other programs.
  • the processor 201 also operates as a functional unit that provides functions of multiple processes executed by each program.
  • Computers and computer systems are devices and systems that include these functional units.
  • the network interface 204 is connected to the network 70 and communicates with an external computer.
  • the input/output device 205 includes an input device such as a keyboard, mouse or touch panel, and an output device such as a display.
  • the storage device 203 has an authorization table 320, a risk evaluation table 330, a protection level table 340, a usage purpose table 350, a realization table 360, a data conversion table 370, a provision policy 410, and a usage policy 420. Stored.
  • the authorization table 320 stores the result of judging whether or not access is permitted with respect to the data usage application from the data user site USR determined by the policy judgment unit 210 .
  • the risk evaluation table 330 stores preset risks in the data user site USR and scores for the risks.
  • the protection level table 340 stores the security level of data in the preset data user site USR and the score for the security level.
  • the purpose of use table 350 stores preset purposes of use and scores for the purposes of use.
  • the degree of realization table 360 stores preset scores regarding the possibility of achieving the purpose of use.
  • the data conversion table 370 stores preset conversion processing.
  • the provision policy 410 is information registered in the authentication authorization server 200 for the usage conditions of the original data 21 determined by the data provider site OWN.
  • the usage policy 420 is information registered in the authentication authorization server 200 for usage conditions of the data of the data provider site OWN applied for by the data user site USR. The details of each of the above tables will be described later.
  • All or part of the programs and data for realizing the processes of the connector 11, the connector 12, and the authentication authorization server 200 may be stored in advance in the storage devices 73, 83, and 203, or may be From a non-temporary storage device of another device connected to the network 70, or from a non-temporary storage medium, via the I/F provided in each of the connector 11, the connector 12, and the authentication authorization server 200, each storage It may be stored on the device.
  • FIG. 9 is a diagram showing an example of the authorization table 320. As shown in FIG. Authorization table 320 stores the result of authorization by policy determination unit 210 for a usage application from data user site USR.
  • Authorization table 320 includes authorization ID 321 , application ID 322 , data user 323 , data provider 324 , utilization system 325 , original data 326 , reliability 327 , converted data 328 , and provider system 329 . Include in one record.
  • the authorization ID 321 is an identifier that permits the use of the original data 21 given by the policy determination unit 210 of the authentication authorization server 200 .
  • the application ID 322 is an identifier of a data utilization application received by the authentication authorization server 200 from the data user site USR, and can be assigned by the authentication authorization server 200 .
  • the data user 323 stores the identifier of the data user site USR that applied to use the data.
  • the data provider 324 stores the identifier of the data provider site OWN that provides the original data 21 .
  • the utilization system 325 stores the identifier of the data utilization system 30 that utilizes the converted data 31 obtained by converting the original data 21 .
  • the original data 326 stores the file name or identifier of the original data 21 provided by the data provider site OWN.
  • the reliability 327 stores the reliability TS calculated when the authorization ID is assigned, as will be described later.
  • the type of anonymization applied to the field of the original data 21 may be stored instead of the reliability TS.
  • the converted data 328 stores the name or identifier of the converted data 31 obtained by anonymizing the original data 21 .
  • the providing system 329 stores the identifier of the data providing system 20 that manages the original data 21 .
  • FIG. 10 is a diagram showing an example of the risk evaluation table 330.
  • the risk evaluation table 330 is information in which an index (score) representing the risk of providing the original data 21 is preset by the data provider site OWN.
  • the risk assessment table 330 includes occurrence events 331, assessment items 332, scores 333, and IDs 334 in one record.
  • the event 331 is roughly classified into four types: loss of confidentiality (leakage), loss of integrity (falsification), loss of availability, and loss of ability to pursue accountability for the original data 21. is not limited to
  • the evaluation item 332 stores the risk items identified by the data provider. Alternatively, an administrator or the like of the authentication authorization server 200 may set the evaluation items 332 .
  • the score 333 stores a preset value for each evaluation item 332 .
  • ID 334 stores the identifier of evaluation item 332 .
  • the policy determination unit 210 aggregates scores 333 for each event 331 to calculate a risk evaluation value RD (Risk of Data).
  • the risk evaluation value RD can be evaluated, for example, by calculating the maximum value of the scores 333 for each of the four occurrence events 331 and using a four-dimensional vector of the maximum values.
  • FIG. 11 is a diagram showing an example of the protection level table 340.
  • the protection level table 340 is information in which a protection level for data is preset based on context information in which the data user handles data (converted data 31).
  • context information in which the data user handles data (converted data 31).
  • the context information is composed of 4W1H related to data usage is shown, but the present invention is not limited to this.
  • the context of this embodiment is about who (Who) accesses from where (Where), how often (When), how much volume (What), and how (How) to access data.
  • An example of evaluation from a viewpoint (4W1H) is shown.
  • the protection level table 340 includes context 341, evaluation item 342, score 343, and ID 344 in one record.
  • a context 341 indicates a preset 4W1H classification.
  • the evaluation item 342 stores protection items identified by the data provider, the administrator of the authentication authorization server 200, or the like.
  • the score 343 stores a preset value for each evaluation item 342 .
  • ID 344 stores the identifier of evaluation item 332 .
  • the policy determination unit 210 aggregates the scores 343 for each context 341 to calculate a protection level evaluation value LP (Level of Protection).
  • the protection level evaluation value LP can be calculated by the following formula, for example, when the values of the scores 343 for each of the five contexts 341 are represented by Who, Where, When, What, and How.
  • FIG. 12 is a diagram showing an example of the usage purpose table 350.
  • the purpose of use table 350 is information in which scores are set in advance with respect to two viewpoints of the social impact brought about by the use of the original data 21 and the return (benefit) to the data provider.
  • the usage purpose table 350 is information registered in the policy registration unit 220 by the data user site USR.
  • the purpose of use table 350 includes classification items 351, evaluation items 352, scores 353, and IDs 354 in one record.
  • the classification item 351 stores the classification of the purpose of use, and in this embodiment, an example of classification into two categories, the magnitude of social impact and the benefits of the data provider, is shown, but it is not limited to this.
  • the evaluation item 352 divides the magnitude of influence into four levels of small, medium, large, and extra-large, and the score 353 stores a preset value.
  • the ID 354 stores an identifier for each evaluation item 352 .
  • the policy determination unit 210 aggregates the score 353 for each classification item 351 to calculate a purpose of use evaluation value PD (Purpose of Data).
  • the utilization purpose evaluation value PD can be evaluated by the following four-dimensional vector, for example, when the score of the classification item 351 is defined as PD_social as the degree of social influence and (PD_owner) as the benefit.
  • PD (MAX (PD_social, PD_owner), MAX (PD_social, PD_owner), MAX (PD_social, PD_owner), MAX (PD_social, PD_owner)) ............(2)
  • FIG. 13 is a diagram showing an example of the realization table 360.
  • the realization table 360 is preset information for calculating the objective achievement level IAL (Impact Assurance Level), and stores preset scores regarding the possibility of achieving the usage purpose (utilization purpose evaluation value PD). .
  • a realization table 360 includes a realization 361 and a score 362 in one record.
  • a range of probability that the purpose of use is achieved is set.
  • Score 362 stores a value corresponding to a range of probabilities.
  • the connector 11 can acquire the realization degree table 360 from the authentication authorization server 200 .
  • FIG. 14 is a diagram showing an example of the data conversion table 370.
  • the data conversion table 370 is information in which details of processing for anonymizing the original data 21 are set in advance.
  • the data conversion table 370 includes processing classification 371, technique 372, data type 373, application 374, and conversion ID 374 in one record.
  • the processing classification 371 shows an example of three classifications of suppression processing, generalization processing, and disturbance processing, but is not limited to this.
  • Suppression processing removes or replaces data.
  • the generalization process transforms the data into representative values. Perturbation adds noise to the data.
  • the technology 372 stores the technology that implements the processing classification 371.
  • Application 374 stores the specific content of anonymization.
  • the conversion ID 374 is used when the authentication authorization server 200 instructs the data provider site OWN to convert data.
  • the authentication authorization server 200 refers to each table described above, calculates the reliability of the data user, and determines whether the data can be used. Calculation of reliability and the like will be described later.
  • FIG. 15 is a diagram showing an example of the provision policy 410.
  • the provision policy 410 is a usage condition of the original data 21 determined by the data provider site OWN.
  • Offering Policy 410 combines Offering ID 411, Data Name 412, Data Provider 413, Offering System 414, Confidentiality 415, Integrity 416, Availability 417, Description Seeking 418, and Benefit 419 into one. Include in records.
  • the provided ID 411 is an identifier set by the authentication authorization server 200 .
  • the data name 412 stores the name or identifier of the original data 21 .
  • the data provider 413 stores the identifier of the data provider site OWN.
  • the providing system 414 stores the identifier of the data providing system 20 that stores the original data 21 .
  • Confidentiality 415 to explanation pursuit 418 store an ID 334 corresponding to the evaluation item 332 for each event 331 in the risk evaluation table 330 .
  • the confidentiality 415 "2" indicates that the evaluation item 332 of the risk evaluation table 330 is "personal information".
  • the same is true for the values of completeness 416 to explanation pursuitability 418 .
  • the benefit 419 is set with the data value expected by the data provider 413 .
  • FIG. 16 is a diagram showing an example of the usage policy 420.
  • the usage policy 420 is a data usage condition when the data user site USR applies for usage of the original data 21 .
  • the usage policy 420 includes application ID 421, data name 422, data provider 423, data user 424, who 425, where 426, when 427, what 428, how 429, influence 430, and benefit 431 as one record. Included in
  • the application ID 421 is an identifier set by the authentication authorization server 200.
  • the data name 422 stores the name or identifier of the original data 21 desired by the data user site USR.
  • Data provider 423 stores the identifier of the data provider site OWN.
  • Data consumer 424 stores the identifier of the data consumer site USR.
  • the impact 430 and the benefit 431 store IDs 354 corresponding to the evaluation items 352 for each classification item 351 of the purpose of use table 350 .
  • the influence 430 "3" indicates that the influence of the purpose of use table 350 is "medium (enterprise, prefecture level)". The same is true for the benefit 431 value.
  • FIG. 5 is a diagram showing the concept of the data distribution control system.
  • the data distribution control system of this embodiment provides original data 21 to data users who want to create value from data within the scope of the conditions (policies) permitted by the data provider.
  • the data provider In order to realize the concept of the data distribution control system, it is essential that the data provider has a willingness to provide data. To that end, the data provider must be able to trust that the data provider will benefit from the data provision and that the data user will use the data only within the scope of the conditions permitted by the data provider in providing the data. is important.
  • the data distribution control system includes a PDP (Policy Decision Point) that determines whether or not access is permitted based on reliability, and a PEP (Policy Enforcement Point) that applies the determination result.
  • PDP Policy Decision Point
  • PEP Policy Enforcement Point
  • the PDP in FIG. 5 corresponds to the policy determination unit 210 shown in FIG. 1, and the PEP to which the determination result is applied corresponds to the data conversion unit 123 in the connector 12 of the data provider site OWN.
  • the policy determination unit 210 receives the risk evaluation value RD, evaluation value PD, evaluation value LP, and goal achievement level IAL via PIP (Policy Information Point).
  • PIP Policy Information Point
  • the MP (Monitoring Point) corresponds to the usage monitoring section 113 in the connector 11 of the data user site USR.
  • the usage monitoring unit 113 (MP) monitors whether the data user is using the data usage system 30 in accordance with the usage purpose and usage conditions, and whether the value generated by the data usage is as promised. Record.
  • the usage monitoring unit 113 of the connector 11 calculates the objective achievement level IAL based on the monitoring result and registers it in the policy registration unit 220 of the authentication authorization server 200 .
  • the following procedure is assumed as a procedure for using the data distribution control system.
  • the data provider data provider site OWN
  • the data user data user site USR
  • the data user site USR registers context information (4W1H information related to data usage) with the authentication authorization server 200 via the connector 11 .
  • the authentication authorization server 200 acquires the terms of use (policy) agreed upon by the data provider and the data user, and determines whether or not the policy is satisfied.
  • policy terms of use
  • the authentication authorization server 200 acquires the policy of the data provider site OWN, the policy of the data user site USR, and the usage status of the conversion data 31 already in use, and obtains the aforementioned risk evaluation value RD, evaluation The reliability is calculated from the value PD, the evaluation value LP, and the goal achievement level IAL as described later.
  • the authentication authorization server 200 sets a conversion policy (access policy) for anonymizing the original data 21 according to the calculated reliability, and notifies the connector 12 of the data provider site OWN.
  • data converter 123 converts original data 21 based on the conversion policy received from authentication authorization server 200 to generate converted data 31, and converts data to data user site USR. 31 is provided.
  • the authentication authorization server 200 determines that the value created by utilizing the data (converted data 31) acquired by the data user is the value linked to the purpose of use, and that the benefits provided to the data provider meet the agreed conditions. We will also continuously monitor whether the
  • the authentication authorization server 200 notifies the billing server 40 of the value given to the data provider, and the billing server 40 pays the data user (data user site USR) for the value created by utilizing the converted data 31. to claim.
  • FIG. 17 is a flow chart showing an example of reliability calculation processing performed by the authentication authorization server 200 . This process can be executed when an application for using the original data 21 is received from the data user site USR.
  • the policy determination unit 210 of the authentication authorization server 200 determines the usage policy 420 of the usage application received from the data user site USR and the provision policy 410 of the data provider site OWN holding the data name 422 specified by the usage policy 420. (S41).
  • the policy determination unit 210 acquires the values of confidentiality 415 to explanation pursuit 418 of the provision policy 410, and calculates the risk evaluation value RD from the risk evaluation table 330 (S42).
  • the policy determination unit 210 calculates the maximum value of the score 333 for each of the four occurrence events (confidentiality 415 to explanation pursuit 418), and calculates the risk evaluation value RD as a four-dimensional vector of the maximum values.
  • the policy determination unit 210 acquires the values of Who425 to Ho2429, which are the contexts of the usage policy 420, acquires the score 343 for each context from the protection level table 340, and calculates the protection level evaluation value LP ( S43).
  • the protection level evaluation value LP can be calculated, for example, as shown in Equation (1) above.
  • the policy determination unit 210 acquires the effect 430 and the benefit 431, which are the usage purposes of the usage policy 420, and calculates the usage purpose evaluation value PD (S44).
  • the purpose-of-use evaluation value PD can be calculated, for example, as shown in the above equation (2).
  • the policy determination unit 210 refers to the realization level table 360 from the monitoring status of the past conversion data 31 registered by the usage monitoring unit 113 of the connector 11 of the data user site USR, and calculates the objective achievement level IAL (S45). .
  • the monitoring status of the converted data 31 in the past is, for example, the utilization rate of the converted data 31 in the data utilization system 30, the utilization rate is the realization degree 361 of the realization degree table 360, and the score 362 is calculated as the purpose achievement level IAL. can be done.
  • the policy determination unit 210 calculates the reliability TS from the calculated risk evaluation value RD, protection level evaluation value LP, usage purpose evaluation value PD, and purpose achievement level IAL using the following equation.
  • the policy determination unit 210 can calculate the reliability TS and notify the connector 12 of the data provider site OWN of access control according to the reliability TS. For example, when the reliability TS is positive, the policy determination unit 210 allows the data user site USR to use the original data 21 as it is without anonymizing it. On the other hand, when the reliability TS is negative, anonymization is performed according to the magnitude of the negative value to reduce the value of the protection level evaluation value LP, thereby realizing utilization of the data.
  • FIG. 6 is a diagram showing an example of a reliability calculation model. In the illustrated example, the relationship between the protection level evaluation value LP, the purpose of use evaluation value PD, and the purpose achievement level IAL is shown with respect to the preset risk function R.
  • FIG. 6 is a diagram showing an example of a reliability calculation model. In the illustrated example, the relationship between the protection level evaluation value LP, the purpose of use evaluation value PD, and the purpose achievement level IAL is shown with respect to the preset risk function R.
  • the Current Risk in the figure is the value of the risk R calculated from the preset risk function from the protection level evaluation value LP of the usage policy 420 .
  • a reliability TS is calculated from the utilization purpose evaluation value PD and the purpose achievement level IAL.
  • a feature of the policy determination unit 210 is that the reliability TS is calculated by taking into account not only the risk on the data user site USR side, but also the purpose of use of the data user site USR and the past record of use of the converted data 31. be.
  • ⁇ Access control> A function DAC that converts the original data 21 (data) into converted data 31 (data') that can be provided to the data user site USR based on the reliability TS,
  • KL information amount As to how much the information amount of the transformed data 31 should be reduced with respect to the original data 21, the Kullback-Leibler information amount (hereinafter referred to as KL information amount), which is used to measure the distance in the probability distribution space, is used.
  • Pi and Qi are the probabilities when the selected value is i according to the probability distributions P and Q, respectively.
  • the data access control function DAC is based on the trust score (confidence) function TSF with respect to the distance function d, the vd labeled data data and its discrete probability distribution P, the protection level lp, the purpose of use pd, the transformed data For a discrete probability distribution Q of
  • the authentication authorization server 200 can generate a conversion policy by using suppression, generalization, disturbance, and the like.
  • a well-known or known method such as K-anonymization may be used.
  • FIG. 7 is a sequence diagram showing an example of processing from policy registration to data access authorization.
  • the connector 12 (12-1 in the figure) of the data provider site OWN transmits the provision policy 410 (FIG. 16) in which the data user sets the usage conditions of the original data 21 to the authentication authorization server 200, and requests registration. Make a request (S1).
  • the policy registration unit 220 receives the provision policy 410 and stores it in the storage device 203 .
  • the policy registration unit 220 registers the data name 412 specified by the provision policy 410 as information for calculating the risk evaluation value RD (Risk of Data) (S2).
  • the usage monitoring unit 113 of the connector 11 monitors the usage status of the converted data 31 in the data usage system 30 (30-1 in the figure) (S3).
  • the object whose usage status is monitored by the usage monitoring unit 113 is the converted data 31 that has already been authorized and is in use.
  • the usage monitoring unit 113 acquires the realization degree table 360 from the authentication authorization server 200 and calculates the goal achievement level IAL (S4).
  • the usage monitoring unit 113 registers the calculated goal achievement level IAL in the authentication authorization server 200 (S5).
  • the goal achievement level IAL received by the policy registration unit 220 is registered in the storage device 203 as the goal achievement level IAL for each data user site USR (S6).
  • the use application unit 112 of the connector 11 sends a use application to the authentication authorization server 200. Send (S7).
  • the usage policy 420 shown in FIG. 16 including the protection level and purpose of use is attached to the usage application (S7).
  • the policy registration unit 220 of the authentication authorization server 200 retrieves the purpose achievement level IAL of the data user 424 described in the usage policy 420 from the storage device 203, and searches the original data 21 corresponding to the data name 422 of the usage policy 420.
  • a provisioning policy 410 is retrieved (410).
  • the policy registration unit 220 acquires four occurrence events (confidentiality 415 to explanation pursuit 418) for calculating the risk evaluation value RD from the provision policy 410, and acquires the purpose achievement level IAL of the data user 424. It is output to the policy determination unit 210 (S9).
  • the policy determination unit 210 calculates the risk evaluation value RD, the purpose of use evaluation value PD, and the protection level evaluation value LP from the four occurrence events, and then adds the purpose achievement level IAL to calculate the reliability TS. do. Then, if the protection level evaluation value LP (or context information) of the data user site USR satisfies a predetermined condition, the policy determination unit 210 permits access to the data user site USR (S10).
  • the policy determination unit 210 determines the conversion policy (anonymization level) as described above and sends the authorization ID to the policy registration unit 220 in order to perform access control according to the value of the reliability TS. Notify (S11). Also, after determining the authorization ID, the policy judgment unit 210 adds a new record to the authorization table 320 and stores the superordinate method of the data user site USR and the data provider site OWN.
  • the policy registration unit 220 of the authentication authorization server 200 notifies the connector 11 of the data provider site OWN of the authorization ID and the conversion policy to permit access to the original data 21 .
  • the policy registration unit 220 notifies the connector 11 of access denial.
  • FIG. 8 is a sequence diagram illustrating an example of data provision processing. This process is executed when the data user site USR transmits an acquisition request for the original data 21 . At the data user site USR, the data utilization system 30 transmits an acquisition request for the original data 21 to the connector 11 (S21).
  • the data communication unit 111 of the connector 11 determines whether or not the authorization ID has been acquired for the original data 21 requested by the data utilization system 30 (S22). Since the authorization ID received from the authentication authorization server 200 is stored in the storage device 73 of the connector 11, it can be retrieved from the file name of the original data 21 or the like.
  • the data communication unit 111 of the connector 11 transmits the data acquisition request and the authorization ID to the connector 12 of the data provider site OWN (S23).
  • the data communication section 121 of the connector 12 transfers the authorization ID to the data conversion section 123 (S24).
  • the data conversion unit 123 transmits the authorization ID to the authentication authorization server 200 and inquires about the presence or absence of authorization (S25).
  • the authentication authorization server 200 searches the authorization table 320 with the authorization ID received by the policy determination unit 210 and acquires the reliability 327 (S26).
  • the policy determination unit 210 generates a conversion policy (anonymization policy) in order to perform access control according to the obtained value of the reliability 327 (S27).
  • the policy determination unit 210 of the authentication authorization server 200 transmits a conversion policy indicating that authorization has been completed to the connector 12 of the data provider site OWN (S28). If the policy determination unit 210 does not correspond to the authorization ID 321, the policy determination unit 210 notifies the connector 12 that it is not authorized, and terminates the process.
  • the data conversion unit 123 of the connector 12 When the data conversion unit 123 of the connector 12 receives the conversion policy indicating that it has been authorized, it notifies the data communication unit 121 that the use of the original data 21 specified by the authorization ID is authorized (S29).
  • the data communication unit 121 of the connector 12 requests the data providing system 20 to acquire the original data 21 (S30).
  • the data providing system 20 transmits the specified original data 21 to the connector 12 (S31).
  • the data communication section 121 receives the original data 21 and transfers it to the data conversion section 123 (S32).
  • the data conversion unit 123 anonymizes the original data 21 using the conversion policy received from the authentication authorization server 200 to generate converted data 31 (S33), and transmits the converted data 31 to the data communication unit 121 (S34). When the reliability 327 is positive, the original data 21 may be output as the converted data 31 without being anonymized.
  • the data communication unit 121 of the connector 12 transmits the converted data 31 to the connector 11 of the data user site USR that uses the converted data 31 (S35).
  • the data communication unit 111 of the connector 11 transmits the converted data 31 received from the data provider site OWN to the data utilization system 30 (S36).
  • the data utilization system 30 can analyze or process the acquired converted data 31 and provide it to the service system 50 to obtain value as consideration for providing the service.
  • the data distribution control system of this embodiment determines whether or not access to the provided data is permitted based on the purpose of use of the data user who creates value that satisfies the data owner and the level of data protection. becomes possible.
  • the authentication authorization server 200 calculates the data user's reliability TS from the data owner's policy (providing policy 410) and the data user's policy (usage policy 420), and sets a conversion policy according to the reliability TS. is generated, access control to the original data 21 can be realized.
  • the usage conditions of the original data 21 are not subjectively predetermined by the data provider, but the risk (RD) of the original data 21 from which the usage conditions are derived.
  • the usage conditions (policy) can be dynamically derived from the purpose of use (PD) presented by the data user.
  • the rights of data providers can be protected and harmless by anonymizing the original data 21 and introducing a mechanism that protects and detoxifies the data to the extent that it does not interfere with the use of the data. Protection and free circulation of the original data 21 can revitalize the industry.
  • FIG. 18 is a block diagram showing an example of the data distribution control system of the second embodiment.
  • the authentication authorization server 2000 stores the conversion data 31 and provides it as a database to the data user sites USR-1 and USR-2.
  • Other configurations are the same as those of the first embodiment.
  • the data user site USR can access the conversion data 31 of the authentication authorization server 2000 as needed, so that the storage device of the data utilization system 30 can be saved.
  • the data distribution control system of the above embodiment can be configured as follows.
  • An authorization server (authentication authorization server 200) having a processor (201) and a memory (202) exchanges data (original data 21) with a providing side computer (data providing system 20) that provides data (original data 21) and data (converted data 31).
  • a goal achievement status notification step (usage monitoring unit 113) of notifying the authorization server (200) of the usage status of (31), and security measures when the user computer (30) uses the data (31).
  • usage application unit 112 of applying to the authorization server (200) a usage policy 420 including protection level information (340) regarding the data usage purpose (350); , the user computer (30 ), and an access control step (policy determination unit 210) for controlling access to the data distribution control method.
  • the authentication authorization server 200 can calculate the reliability of the data user from the policy of the data provider (holder) and the policy of the data user, and can implement access control according to the reliability. For example, even if the data is personal information, data excluding sensitive information can be provided to data users by performing anonymization processing that the data owner can agree to provide.
  • the providing side computer (20) approves the risk information (providing policy 410) regarding the risk of the data to be provided (risk evaluation table 330).
  • a provision policy registration step (data registration unit 122) for registering in the server (200) is further included. wherein the risk information (410) is added to the purpose of use (350) of the above to control the access of the user computer (30) to the data (21) of the provider computer (20). control method.
  • the access control step (210) is a step of calculating a risk evaluation value RD indicating the magnitude of risk from the risk information (410) (S42 ), calculating a protection level evaluation value LP indicating the degree of security measures from the protection level information (340) (S43), and calculating a use purpose evaluation value PD from the use purpose (350) of the data (21).
  • a data distribution control method comprising: a step (S46) of calculating a reliability TS from LP, a utilization purpose evaluation value PD, and a purpose achievement level IAL; and a step of generating an access policy based on the reliability.
  • the policy determination unit 210 calculates the reliability TS by including the purpose of use evaluation value PD and the purpose achievement level IAL in addition to the risk evaluation value RD and protection level evaluation value LP, so that the data provider site It is possible to obtain the trust of the data provider site OWN for the data user site USR to use the converted data 31 only within the scope of the conditions (provision policy 410) permitted by OWN in providing the original data 21.
  • the purpose achievement level IAL is determined based on the utilization record of the data (31) that the user computer (30) has used in the past.
  • the data user site USR sets the degree of social influence included in the usage policy 420 promised by the data user site USR and the realization rate of benefits to the data provider site OWN as the objective achievement level IAL. It is possible to define the expected value of the social impact promised for the use of the data 21 and the benefit to the data provider site OWN. By using the objective achievement level IAL when calculating the acceptable risk, it becomes possible to correct the risk evaluation value RD.
  • the risk information (410) includes confidentiality (415), integrity (416) and availability (417) of the data (21). and a score (333) is set for each of the explanation pursuit (418).
  • the data provider site OWN can define the value of the original data 21 to be provided by confidentiality 415, completeness 416, availability 417, and explainability 418.
  • the present invention is not limited to the above-described embodiments, and includes various modifications.
  • the above embodiments are described in detail for easy understanding of the present invention, and are not necessarily limited to those having all the described configurations.
  • addition, deletion, or replacement of other configurations for a part of the configuration of each embodiment can be applied singly or in combination.
  • each of the above configurations, functions, processing units, processing means, etc. may be implemented in hardware, for example, by designing a part or all of them in an integrated circuit.
  • each of the above configurations, functions, etc. may be realized by software by a processor interpreting and executing a program for realizing each function.
  • Information such as programs, tables, files, etc. that implement each function can be stored in recording devices such as memory, hard disks, SSDs (Solid State Drives), or recording media such as IC cards, SD cards, and DVDs.
  • control lines and information lines indicate what is considered necessary for explanation, and not all control lines and information lines are necessarily indicated on the product. In practice, it may be considered that almost all configurations are interconnected.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Theoretical Computer Science (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Databases & Information Systems (AREA)
  • Automation & Control Theory (AREA)
  • Medical Informatics (AREA)
  • Storage Device Security (AREA)

Abstract

プロセッサとメモリを有する認可サーバが、データを提供する提供側計算機とデータを利用する利用側計算機の間で前記データのアクセスを制御するデータ流通制御方法であって、前記利用側計算機が、過去に認可された前記データの利用状況を前記認可サーバへ通知する目的達成状況通知ステップと、前記利用側計算機が、前記データを利用する際のセキュリティ対策に関する保護レベル情報と、前記データの利用目的を含む利用ポリシを前記認可サーバに申請する利用申請ステップと、前記認可サーバが、前記データの利用状況と前記保護レベル情報と前記データの利用目的に基づいて、前記提供側計算機の前記データに対する前記利用側計算機のアクセスを制御するアクセス制御ステップと、を含む。

Description

データ流通制御方法、データ流通制御システム及び認可サーバ 参照による取り込み
　本出願は、令和３年（２０２１年）１月２８日に出願された日本出願である特願２０２１－１２３６３の優先権を主張し、その内容を参照することにより、本出願に取り込む。
　本発明は、データの提供者と、データの利用者間のデータのアクセス制御、およびデータの提供方法に関する。
　近年、ネットワーク化やサイバー空間利用の飛躍的な発展により、新しいサービスが次々と創出され、社会の主体となる人々に豊かさをもたらす超スマート社会等が提案されている。
　例えば、行政が保有するデータや、建物や道路等のインフラのＩｏＴデータなどを横断的に連携することができるデータの連携や流通のプラットフォーム（以下、都市ＯＳ）が提唱されている。
　都市ＯＳは、データを提供元（保有者）からデータ利用者へ仲介し、データ利用者は提供されたデータに対して分析や加工等を行ってサービスを提供する。データ提供者は、保有するデータのうち、価値のあるデータについては流通させることに抵抗がある。
　特に、データ提供者のデータに、個人情報や、個人の移動に関する情報などの機微情報が含まれる場合は、データ提供者はこれらのデータの提供や流通に対して消極的ではあるが、利用目的によってはデータの提供や流通を許諾する場合がある。データ提供者がデータ利用者に対してデータの提供を検討する際には、データを提供するリスクや、データ利用者への信頼等を明確にする必要がある。
　データ提供者がデータ利用者にデータの提供を行う際のリスクを推定する技術として、例えば、特許文献１が知られている。特許文献１には、データ提供者がデータ利用者にデータ提供を行う際のリスクを算出するリスク算出装置が記載されている。リスク算出装置は、提供するデータとデータ提供者及びデータ提供者の顧客、データ利用者等の情報に基づいて、データ自体に関するリスク要素、データ利用者に関する要素及び、データ提供者とデータ利用者の関係性に関する要素を求め、リスク指数を算出する。
特開２０１８－１４２２８４号公報
　上記従来例では、データ自体のリスク要素や、データ利用者の属性及び、データ提供者とデータ利用者の関係性からリスク指数を算出してアクセス制御を行うものではあるが、データ提供者に対する信頼に関する情報を算出することができない、という問題があった。
　すなわち、データ提供者は、データを提供するリスクだけではなく、提供するデータの利用目的や、データを提供することによる価値を踏まえて、データの提供に対する判断を行うことを望んでいる。
　そこで本発明は、上記問題点に鑑みてなされたもので、データ保有者が満足する価値を生むデータ利用者の利用目的とデータ保護のレベルに基づいて、データのアクセスを制御することを目的とする。
　本発明の一態様は、プロセッサとメモリを有する認可サーバが、データを提供する提供側計算機とデータを利用する利用側計算機の間で前記データのアクセスを制御するデータ流通制御方法であって、前記利用側計算機が、過去に認可された前記データの利用状況を前記認可サーバへ通知する目的達成状況通知ステップと、前記利用側計算機が、前記データを利用する際のセキュリティ対策に関する保護レベル情報と、前記データの利用目的を含む利用ポリシを前記認可サーバに申請する利用申請ステップと、前記認可サーバが、前記データの利用状況と前記保護レベル情報と前記データの利用目的に基づいて、前記提供側計算機の前記データに対する前記利用側計算機のアクセスを制御するアクセス制御ステップと、を含む。
　上記構成により、データ保有者が満足する価値を生むデータ利用者の利用目的と、データ保護のレベルに基づいて提供するデータに対するアクセスを制御することが可能となる。また、認可サーバは、データ保有者のポリシと、データ利用者のポリシからデータ利用者の信頼度を算出し、信頼度に応じたアクセス制御を実現することができる。例えば、前記データが個人情報である場合でも、データ保有者が提供に合意できる匿名化処理を行うことによって、機微情報を除いたデータをデータ利用者に提供することができる。
　本発明により、データ保有者が満足する価値を生むデータ利用者の利用目的とデータ保護のレベルに基づいて、データのアクセスを制御すること可能になる。
　本明細書において開示される主題の、少なくとも一つの実施の詳細は、添付されている図面と以下の記述の中で述べられる。開示される主題のその他の特徴、態様、効果は、以下の開示、図面、請求項により明らかにされる。
本発明の実施例１を示し、データ流通制御システムの一例を示すブロック図である。 本発明の実施例１を示し、データ提供者側のコネクタの一例を示すブロック図である。 本発明の実施例１を示し、データ利用者側のコネクタの一例を示すブロック図である。 本発明の実施例１を示し、認証認可サーバの一例を示すブロック図である。 本発明の実施例１を示し、データ流通制御システムのコンセプトを示す図である。 本発明の実施例１を示し、信頼度の算出モデルの一例を示すグラフである。 本発明の実施例１を示し、ポリシ登録からデータアクセス認可までの処理の一例を示すシーケンス図である。 本発明の実施例１を示し、データ提供処理の一例を示すシーケンス図である。 本発明の実施例１を示し、認可テーブルの一例を示す図である。 本発明の実施例１を示し、リスク評価テーブルの一例を示す図である。 本発明の実施例１を示し、保護レベルテーブルの一例を示す図である。 本発明の実施例１を示し、利用目的テーブルの一例を示す図である。 本発明の実施例１を示し、実現度テーブルの一例を示す図である。 本発明の実施例１を示し、データ変換テーブルの一例を示す図である。 本発明の実施例１を示し、提供ポリシの一例を示す図である。 本発明の実施例１を示し、利用ポリシの一例を示す図である。 本発明の実施例１を示し、信頼度の算出処理の一例を示すフローチャートである。 本発明の実施例２を示し、データ流通制御システムの一例を示すブロック図である。
　以下、本発明の実施形態を添付図面に基づいて説明する。
　図１は、本発明の実施例１を示し、データ流通制御システムの一例を示すブロック図である。
　＜システム構成＞
　データ流通制御システムは、データ（元データ２１）を提供するデータ提供者サイトＯＷＮ－１～ＯＷＮ－３と、データ（変換データ３１）を利用するデータ利用者サイトＵＳＲ－１～ＵＳＲ－３と、データ提供者サイトＯＷＮ－１～ＯＷＮ－３からデータ利用者サイトＵＳＲ－１～ＵＳＲ－３へのデータアクセスを制御する認証認可サーバ２００と、データの利用状況に応じてデータ利用者サイトＵＳＲ－１～ＵＳＲ－３への課金情報を算出する課金サーバ４０と、これらのサイト及びサーバを接続するネットワーク７０を含む。
　なお、データ提供者サイトＯＷＮ－１～ＯＷＮ－３は同様の構成であるので、以下の説明ではデータ提供者サイトを個々に特定しない場合には「－」以降を省略した符号「ＯＷＮ」を使用する。ＵＳＲ－１～ＵＳＲ－３等の他の構成要素の符号についても同様である。
　データ流通制御システムの概要は、データを保有する個人や法人等のデータ提供者が許可した条件（ポリシ）の範囲においてのみ、データから価値を生み出したい個人や企業、組織等のデータ利用者が利用したい元データ２１を利用する。認証認可サーバ２００は、ポリシ判定部２１０でデータ提供者のポリシとデータ利用者の利用ポリシとデータの運用状況に基づいて、データ利用者の信頼度（トラストスコア）を算出する。
　そして、認証認可サーバ２００は、データ利用者の保護レベルに応じて、元データ２１の利用の可否を判定し、利用を許可する場合には、データ利用者の信頼度に応じて元データ２１の変換ポリシ（匿名化レベル）を決定し、データ提供者サイトＯＷＮに通知する。
　データ提供者サイトＯＷＮは、認証認可サーバ２００が設定した変換ポリシ（匿名化レベル）に応じて、元データ２１を匿名化して変換データ３１を生成してデータ利用者サイトＵＳＲに提供する。
　データ提供者サイトＯＷＮは、設備や機械等に取り付けられたセンサからデータを収集するセンサシステム６０と、センサシステム６０からデータを取得して元データ２１として蓄積するデータ提供システム２０と、認証認可サーバ２００と通信を行ってポリシの登録や元データ２１の提供を実施するコネクタ１２を含む。
　センサシステム６０は、設備や機械に取り付けられたセンサ（図示省略）と、センサが出力したデータを収集して出力する計算機（図示省略）を含む。データ提供システム２０は、センサシステム６０から取得したデータを元データ２１として図示しないストレージ装置に格納し、データ提供者の業務を実行する計算機を含む。また、データ提供システム２０は、コネクタ１２を介して認証認可サーバ２００からの要求に応じて元データ２１を出力する。
　データ提供者サイトＯＷＮのコネクタ１２は、認証認可サーバ２００と通信を行うデータ通信部１２１と、データ提供者のポリシ等を認証認可サーバ２００へ登録するデータ登録部１２２と、認証認可サーバ２００からの要求に応じて元データ２１を変換して変換データを生成するデータ変換部１２３を含む。コネクタ１２の詳細については後述する。
　認証認可サーバ２００は、データ提供者がデータを提供する際の提供ポリシと、データ利用者がデータを利用する際の利用ポリシとを管理するポリシ登録部２２０と、データ利用者からのデータの利用申請に基づいて、データ利用者の利用目的とデータ保護のレベルを含む利用ポリシに基づいて提供するデータに対するアクセスの可否を判定するポリシ判定部２１０を含む。認証認可サーバ２００の詳細については後述する。
　データ利用者サイトＵＳＲは、データ提供者サイトＯＷＮから取得した変換データ３１を分析又は加工するデータ利用システム３０と、データ利用システム３０で処理された変換データ３１を利用して所定のサービスを提供するサービスシステム５０と、認証認可サーバ２００と通信を行ってポリシの登録や変換データ３１の利用申請を実施するコネクタ１１を含む。
　データ利用者サイトＵＳＲのコネクタ１１は、認証認可サーバ２００と通信を行うデータ通信部１１１と、データ利用者のポリシや利用申請等を認証認可サーバ２００へ登録する利用申請部１１２と、データ利用システム３０における変換データ３１の利用状況を監視して認証認可サーバ２００へ通知する利用監視部１１３を含む。コネクタ１１の詳細については後述する。
　データ利用システム３０は、変換データ３１を分析又は加工等の所定の処理を実施してサービスシステム５０に提供する計算機である。サービスシステム５０は、変換データ３１を処理した結果に基づいて所定のサービスを提供する計算機である。
　データ提供者サイトＯＷＮとデータ利用者サイトＵＳＲの数は、上記に限定されるものではない。また、データ提供者と、データ利用者は異なる団体や組織或いは企業などで構成することができる。
　データ利用者サイトＵＳＲとデータ提供者サイトＯＷＮは、既存のサイトにコネクタ１１、１２を付加した構成とすることができる。コネクタ１１、１２は、認証認可サーバ２００と既存のサイトを接続するためのインタフェースとして機能する。認証認可サーバ２００は、データ提供者とデータ利用者のポリシに基づくトラストスコアでデータのアクセスを行うようにコネクタ１１、１２に指令する。
　図２は、データ提供者側のコネクタ１２の一例を示すブロック図である。コネクタ１２は、プロセッサ７１と、メモリ７２と、ストレージ装置７３と、ネットワークインタフェース７４と、入出力装置７５を含む計算機である。
　メモリ７２には、データ通信部１２１と、データ登録部１２２と、データ変換部１２３がロードされて、プロセッサ７１によって実行される。
　プロセッサ７１は、各機能部のプログラムに従って処理を実行することによって、所定の機能を提供する機能部として稼働する。例えば、プロセッサ７１は、データ変換プログラムに従って処理を実行することでデータ変換部１２３として機能する。他のプログラムについても同様である。さらに、プロセッサ７１は、各プログラムが実行する複数の処理のそれぞれの機能を提供する機能部としても稼働する。計算機及び計算機システムは、これらの機能部を含む装置及びシステムである。
　ネットワークインタフェース７４は、ネットワーク７０やデータ提供システム２０と接続されて通信を行う。入出力装置７５は、キーボードやマウス或いはタッチパネル等の入力装置と、ディスプレイ等の出力装置を含む。
　データ登録部１２２は、入出力装置７５から受け付けたデータ提供者のポリシ等を認証認可サーバ２００へ送信する。データ変換部１２３は、認証認可サーバ２００から指定された元データ２１について、認証認可サーバ２００が指示した変換ポリシによって元データ２１から変換データ３１を生成してアクセスの制御を実施する。データの変換については後述する。
　図３は、データ利用者側のコネクタ１１の一例を示すブロック図である。コネクタ１１は、プロセッサ８１と、メモリ８２と、ストレージ装置８３と、ネットワークインタフェース８４と、入出力装置８５を含む計算機である。
　メモリ８２には、データ通信部１１１と、利用申請部１１２と、利用監視部１１３がロードされて、プロセッサ８１によって実行される。プロセッサ８１は、各機能部のプログラムに従って処理を実行することによって、所定の機能を提供する機能部として稼働する。例えば、プロセッサ８１は、利用監視プログラムに従って処理を実行することで利用監視部１１３として機能する。他のプログラムについても同様である。さらに、プロセッサ８１は、各プログラムが実行する複数の処理のそれぞれの機能を提供する機能部としても稼働する。計算機及び計算機システムは、これらの機能部を含む装置及びシステムである。
　ネットワークインタフェース８４は、ネットワーク７０やデータ利用システム３０と接続されて通信を行う。入出力装置８５は、キーボードやマウス或いはタッチパネル等の入力装置と、ディスプレイ等の出力装置を含む。
　利用申請部１１２は、入出力装置８５から受け付けたデータ利用者のポリシ等を認証認可サーバ２００へ送信する。利用監視部１１３は、データ利用システム３０が変換データ３１を使用する状況を監視して認証認可サーバ２００に通知する。変換データ３１の利用監視については後述する。
　図４は、認証認可サーバ２００の一例を示すブロック図である。認証認可サーバ２００は、プロセッサ２０１と、メモリ２０２と、ストレージ装置２０３と、ネットワークインタフェース２０４と、入出力装置２０５を含む計算機である。
　メモリ２０２には、ポリシ判定部２１０と、ポリシ登録部２２０がロードされて、プロセッサ２０１によって実行される。プロセッサ２０１は、各機能部のプログラムに従って処理を実行することによって、所定の機能を提供する機能部として稼働する。例えば、プロセッサ２０１は、ポリシ判定プログラムに従って処理を実行することでポリシ判定部２１０として機能する。他のプログラムについても同様である。さらに、プロセッサ２０１は、各プログラムが実行する複数の処理のそれぞれの機能を提供する機能部としても稼働する。計算機及び計算機システムは、これらの機能部を含む装置及びシステムである。
　ネットワークインタフェース２０４は、ネットワーク７０に接続されて外部の計算機と通信を行う。入出力装置２０５は、キーボードやマウス或いはタッチパネル等の入力装置と、ディスプレイ等の出力装置を含む。
　ストレージ装置２０３には、認可テーブル３２０と、リスク評価テーブル３３０と、保護レベルテーブル３４０と、利用目的テーブル３５０と、実現度テーブル３６０と、データ変換テーブル３７０と、提供ポリシ４１０と、利用ポリシ４２０が格納される。
　認可テーブル３２０は、ポリシ判定部２１０が決定したデータ利用者サイトＵＳＲからのデータの利用申請に対してアクセスの可否を判定した結果を格納する。リスク評価テーブル３３０は、予め設定されたデータ利用者サイトＵＳＲにおけるリスクと、リスクに対するスコアを格納する。保護レベルテーブル３４０は、予め設定されたデータ利用者サイトＵＳＲにおけるデータのセキュリティレベルと、セキュリティレベルに対するスコアを格納する。
　利用目的テーブル３５０は、予め設定された利用目的と、利用目的に対するスコアを格納する。実現度テーブル３６０は、利用目的を達成する可能性に関した予め設定したスコアを格納する。データ変換テーブル３７０は、予め設定された変換処理を格納する。
　提供ポリシ４１０は、データ提供者サイトＯＷＮが決定した元データ２１の利用条件を認証認可サーバ２００に登録した情報である。利用ポリシ４２０は、データ利用者サイトＵＳＲが申請したデータ提供者サイトＯＷＮのデータの利用条件を認証認可サーバ２００に登録した情報である。なお、上記各テーブル等の詳細については後述する。
　上記コネクタ１１と、コネクタ１２、認証認可サーバ２００の処理を実現するプログラムとデータのすべてまたは一部は、予めストレージ装置７３、８３、２０３に格納されていてもよいし、必要に応じて、上記コネクタ１１と、コネクタ１２、認証認可サーバ２００それぞれが備えるＩ／Ｆを介して、ネットワーク７０に接続された他の装置の非一時的記憶装置から、または非一時的な記憶媒体から、それぞれのストレージ装置に格納されてもよい。
　＜テーブル＞
　図９は、認可テーブル３２０の一例を示す図である。認可テーブル３２０は、ポリシ判定部２１０がデータ利用者サイトＵＳＲからの利用申請について認可した結果を格納する。
　認可テーブル３２０は、認可ＩＤ３２１と、申請ＩＤ３２２と、データ利用者３２３と、データ提供者３２４と、利用システム３２５と、元データ３２６と、信頼度３２７と、変換後データ３２８と、提供システム３２９を１つのレコードに含む。
　認可ＩＤ３２１は、認証認可サーバ２００のポリシ判定部２１０が付与した元データ２１の利用を許可する識別子である。申請ＩＤ３２２は、認証認可サーバ２００がデータ利用者サイトＵＳＲから受け付けたデータの利用申請の識別子で、認証認可サーバ２００が付与することができる。
　データ利用者３２３は、データの利用を申請したデータ利用者サイトＵＳＲの識別子を格納する。データ提供者３２４は、元データ２１を提供するデータ提供者サイトＯＷＮの識別子を格納する。
　利用システム３２５は、元データ２１を変換した変換データ３１を利用するデータ利用システム３０の識別子を格納する。元データ３２６は、データ提供者サイトＯＷＮが提供する元データ２１のファイル名又は識別子を格納する。
　信頼度３２７は、後述するように、認可ＩＤが付与されるときに算出された信頼度ＴＳを格納する。なお、信頼度ＴＳに代わって、元データ２１のフィールドに施す匿名化のタイプを格納してもよい。変換後データ３２８は、元データ２１に匿名化を施した変換データ３１の名称又は識別子が格納される。提供システム３２９は、元データ２１を管理するデータ提供システム２０の識別子を格納する。
　図１０は、リスク評価テーブル３３０の一例を示す図である。リスク評価テーブル３３０は、データ提供者サイトＯＷＮが、元データ２１を提供するリスクを表す指標（スコア）を予め設定した情報である。
　リスク評価テーブル３３０は、発生事象３３１と、評価項目３３２と、スコア３３３と、ＩＤ３３４を１つのレコードに含む。発生事象３３１は、元データ２１に対する機密性の喪失（漏洩）、完全性の喪失（改竄）、可用性(の喪失，説明責任の追及性の喪失の４種類に大別する例を示すが、これに限定されるものではない。
　評価項目３３２は、データ提供者等が洗い出したリスクの項目を格納する。或いは、認証認可サーバ２００の管理者等が評価項目３３２を設定してもよい。スコア３３３は、評価項目３３２毎に予め設定された値が格納される。ＩＤ３３４は評価項目３３２の識別子を格納する。
　ポリシ判定部２１０は、発生事象３３１毎にスコア３３３を集計してリスク評価値ＲＤ（Risk of Data）を算出する。リスク評価値ＲＤは、例えば、４つの発生事象３３１毎にスコア３３３の最大値を算出して、最大値の４次元ベクトルで評価することができる。
　図１１は、保護レベルテーブル３４０の一例を示す図である。保護レベルテーブル３４０は、データ利用者がデータ（変換データ３１）を取り扱うコンテキスト情報から、データに対する保護レベルを予め設定した情報である。本実施例では、コンテキスト情報が、データの利用に関わる４Ｗ１Ｈで構成される例を示すが、これに限定されるものではない。
　本実施例のコンテキストは、データの取り扱いについて、誰（Ｗｈｏ）が、どこから（Ｗｈｅｒｅ）、どれくらいの頻度（Ｗｈｅｎ）で、どれくらいのボリューム（Ｗｈａｔ）を、どのように（Ｈｏｗ）アクセスするか、という観点（４Ｗ１Ｈ）から評価する例を示す。
　保護レベルテーブル３４０は、コンテキスト３４１と、評価項目３４２と、スコア３４３と、ＩＤ３４４を１つのレコードに含む。コンテキスト３４１は、予め設定した４Ｗ１Ｈの分類を示す。評価項目３４２は、データ提供者や認証認可サーバ２００の管理者等が洗い出した保護の項目を格納する。スコア３４３は、評価項目３４２毎に予め設定された値が格納される。ＩＤ３４４は評価項目３３２の識別子を格納する。
　ポリシ判定部２１０は、コンテキスト３４１毎にスコア３４３を集計して保護レベル評価値ＬＰ（Level of Protection）を算出する。保護レベル評価値ＬＰは、例えば、５つのコンテキスト３４１毎のスコア３４３の値を、Ｗｈｏ、Ｗｈｅｒｅ、Ｗｈｅｎ、Ｗｈａｔ、Ｈｏｗで表すと、以下の式で算出することができる。
ＬＰ＝１／（Ｗｈｏ×Ｗｈｅｒｅ×Ｗｈｅｎ×Ｗｈａｔ×Ｈｏｗ）　………（１）
　図１２は、利用目的テーブル３５０の一例を示す図である。利用目的テーブル３５０は、元データ２１の活用によってもたされる社会的影響と、データ提供者への見返り（恩恵）の２つの観点について、スコアを予め設定した情報である。利用目的テーブル３５０は、データ利用者サイトＵＳＲがポリシ登録部２２０へ登録した情報である。
　利用目的テーブル３５０は、分類項目３５１と、評価項目３５２と、スコア３５３と、ＩＤ３５４を１つのレコードに含む。
　分類項目３５１は、利用目的の分類を格納し、本実施例では、社会的影響の大きさと、データ提供者の恩恵の２つに分類する例を示すが、これに限定されるものではない。評価項目３５２は、影響の大きさを小、中、大、特大の４段階に分けて、スコア３５３には予め設定した値を格納する。ＩＤ３５４は評価項目３５２毎の識別子を格納する。
　ポリシ判定部２１０は、分類項目３５１毎にスコア３５３を集計して利用目的評価値ＰＤ（Ｐｕｒｐｏｓｅ　ｏｆ　Ｄａｔａ）を算出する。利用目的評価値ＰＤは、例えば、分類項目３５１のスコアを社会的影響力の大きさをＰＤ＿ｓｏｃｉａｌとし、恩恵を（ＰＤ＿ｏｗｎｅｒ）とした場合、以下のような４次元ベクトルで評価することができる。
　ＰＤ＝（ＭＡＸ（ＰＤ＿ｓｏｃｉａｌ，ＰＤ＿ｏｗｎｅｒ），ＭＡＸ（ＰＤ＿ｓｏｃｉａｌ，　ＰＤ＿ｏｗｎｅｒ），ＭＡＸ（ＰＤ＿ｓｏｃｉａｌ，ＰＤ＿ｏｗｎｅｒ），ＭＡＸ（ＰＤ＿ｓｏｃｉａｌ，ＰＤ＿ｏｗｎｅｒ））　………（２）
　図１３は、実現度テーブル３６０の一例を示す図である。実現度テーブル３６０は、目的達成レベルＩＡＬ（Ｉｍｐａｃｔ　Ａｓｓｕｒａｎｃｅ　Ｌｅｖｅｌ）を算出するために予め設定された情報で，利用目的（利用目的評価値ＰＤ）が達成される可能性について予め設定したスコアを格納する。
　実現度テーブル３６０は、実現度３６１と、スコア３６２を１つのレコードに含む。実現度３６１には、利用目的が達成される確率の範囲が設定される。スコア３６２は、確率の範囲に応じた値を格納する。
　なお、目的達成レベルＩＡＬをデータ利用者サイトＵＳＲのコネクタ１１で算出する場合には、コネクタ１１が認証認可サーバ２００から実現度テーブル３６０を取得しておくことができる。
　図１４は、データ変換テーブル３７０の一例を示す図である。データ変換テーブル３７０は、元データ２１を匿名化する際の処理内容を予め設定した情報である。データ変換テーブル３７０は、処理分類３７１と、技術３７２と、データ型３７３と、適用３７４と、変換ＩＤ３７４を１つのレコードに含む。
　処理分類３７１は、サプレッション処理と一般化処理と攪乱処理の３つに分類する例を示すが、これに限定されるものではない。サプレッション処理は、データを削除又は置換する。一般化処理は、データを代表値に変換する。攪乱処理は、データにノイズを付加する。
　技術３７２は、処理分類３７１を実現する技術を格納する。適用３７４は、匿名化の具体的な内容を格納する。変換ＩＤ３７４は、認証認可サーバ２００がデータ提供者サイトＯＷＮへデータの変換を指示する際に使用する。
　認証認可サーバ２００は、上述の各テーブルを参照してデータ利用者の信頼度を算出して、データ利用の可否を判定する。信頼度等の算出については後述する。
　図１５は、提供ポリシ４１０の一例を示す図である。提供ポリシ４１０は、データ提供者サイトＯＷＮが決定した元データ２１の利用条件である。
　提供ポリシ４１０は、提供ＩＤ４１１と、データ名４１２と、データ提供者４１３と、提供システム４１４と、機密性４１５と、完全性４１６と、可用性４１７と、説明追求性４１８と、恩恵４１９を１つのレコードに含む。
　提供ＩＤ４１１は、認証認可サーバ２００が設定した識別子である。データ名４１２は、元データ２１の名称又は識別子を格納する。データ提供者４１３は、データ提供者サイトＯＷＮの識別子を格納する。提供システム４１４は、元データ２１を格納するデータ提供システム２０の識別子を格納する。
　機密性４１５～説明追求性４１８は、リスク評価テーブル３３０の発生事象３３１毎に評価項目３３２に対応するＩＤ３３４を格納する。例えば、機密性４１５＝「２」は、リスク評価テーブル３３０の評価項目３３２の「個人情報」であることを示す。完全性４１６～説明追求性４１８の値についても同様である。恩恵４１９は、データ提供者４１３が期待するデータの価値が設定される。
　図１６は、利用ポリシ４２０の一例を示す図である。利用ポリシ４２０は、データ利用者サイトＵＳＲが元データ２１の利用を申請する際のデータの利用条件である。
　利用ポリシ４２０は、申請ＩＤ４２１と、データ名４２２と、データ提供者４２３と、データ利用者４２４と、Ｗｈｏ４２５と、Ｗｈｅｒｅ４２６とＷｈｅｎ４２７と、Ｗｈａｔ４２８と、Ｈｏｗ４２９と、影響４３０と、恩恵４３１を１つのレコードに含む。
　申請ＩＤ４２１は、認証認可サーバ２００が設定した識別子である。データ名４２２は、データ利用者サイトＵＳＲが希望する元データ２１の名称又は識別子を格納する。データ提供者４２３は、データ提供者サイトＯＷＮの識別子を格納する。データ利用者４２４は、データ利用者サイトＵＳＲの識別子を格納する。
　Ｗｈｏ４２５～Ｈｏｗ２９８は、保護レベルテーブル３４０のコンテキスト３４１毎に評価項目３４２に対応するＩＤ３４４を格納する。例えば、Ｗｈｏ４２５＝「２」は、保護レベルテーブル３４０の評価項目３４２の「内部の一般ユーザ、管理者」であることを示す。Ｗｈｅｒｅ４２６～Ｈｏｗの値についても同様である。
　影響４３０と恩恵４３１は、利用目的テーブル３５０の分類項目３５１毎に、評価項目３５２に対応するＩＤ３５４を格納する。例えば、影響４３０＝「３」は、利用目的テーブル３５０の影響力が「中（企業、都道府県レベル）」であることを示す。恩恵４３１の値についても同様である。
　＜処理の概要＞
　図５は、データ流通制御システムのコンセプトを示す図である。本実施例のデータ流通制御システムは、上述したように、データ提供者が許可した条件（ポリシ）の範囲で、データから価値を生み出したいデータ利用者に、元データ２１を提供する。
　データ流通制御システムのコンセプトを実現するためには、データ提供者がデータ提供の意欲を持つことが必須となる。そのためには、データの提供によりデータ提供者が恩恵を得られること、及びデータ提供にあたってデータ提供者が許可した条件の範囲においてのみデータ利用者がデータを利用すること、についてデータ提供者が信頼できることが重要である。
　データ流通制御システムは、信頼度に基づいてアクセスの可否判定を行うＰＤＰ（Ｐｏｌｉｃｙ　Ｄｅｃｉｓｉｏｎ　Ｐｏｉｎｔ）と、判定結果を適用するＰＥＰ（Ｐｏｌｉｃｙ　Ｅｎｆｏｒｃｅｍｅｎｔ　Ｐｏｉｎｔ）を含んで構成される。
　図５のＰＤＰは、図１に示したポリシ判定部２１０に相当し、判定結果を適用するＰＥＰはデータ提供者サイトＯＷＮのコネクタ１２内のデータ変換部１２３に相当する。
　ポリシ判定部２１０（ＰＤＰ）は、ＰＩＰ（Ｐｏｌｉｃｙ　Ｉｎｆｏｒｍａｔｉｏｎ　Ｐｏｉｎｔ）を介してリスク評価値ＲＤ、評価値ＰＤ、評価値ＬＰ、目的達成レベルＩＡＬを受け付ける。ＰＩＰは図１のポリシ登録部２２０に相当する。
　また、ＭＰ（Ｍｏｎｉｔｏｒｉｎｇ　Ｐｏｉｎｔ）は、データ利用者サイトＵＳＲのコネクタ１１内の利用監視部１１３に相当する。利用監視部１１３（ＭＰ）は、データ利用者が利用目的及び利用条件に合致してデータ利用システム３０を利用しているか、データ利用により生み出された価値が約束した通りであるかを監視して記録する。
　また、コネクタ１１の利用監視部１１３は、上記監視結果に基づいて、目的達成レベルＩＡＬを計算して認証認可サーバ２００のポリシ登録部２２０へ登録する。
　データ流通制御システムを利用する手順としては、次のような手順が想定される。まず、データ提供者（データ提供者サイトＯＷＮ）とデータ利用者（データ利用者サイトＵＳＲ）が、元データ２１の利用目的及び利用条件、元データ２１の提供に伴う見返り(恩恵)に合意する。
　次に、データ利用者サイトＵＳＲは、コネクタ１１を介して認証認可サーバ２００に対してコンテキスト情報（データ利用に関わる４Ｗ１Ｈ情報）を登録しておく。認証認可サーバ２００は、データ提供者とデータ利用者が合意した利用条件（ポリシ）を取得し、がポリシを満足しているか否かを判定する。認証認可サーバ２００は、コンテキスト情報がポリシを満足すると判定すると、データ利用者はデータ利用者サイトＵＳＲが提供するデータへのアクセスが許可される。
　次に、認証認可サーバ２００は、データ提供者サイトＯＷＮのポリシと、データ利用者サイトＵＳＲのポリシや既に利用している変換データ３１の利用状況を取得して、上述したリスク評価値ＲＤ、評価値ＰＤ、評価値ＬＰ、目的達成レベルＩＡＬから信頼度を後述するように算出する。
　認証認可サーバ２００は、算出された信頼度に応じて元データ２１を匿名化する変換ポリシ（アクセスポリシ）を設定し、データ提供者サイトＯＷＮのコネクタ１２に通知する。
　データ提供者サイトＯＷＮのコネクタ１２では、データ変換部１２３が認証認可サーバ２００から受け付けた変換ポリシに基づいて、元データ２１を変換して変換データ３１を生成し、データ利用者サイトＵＳＲに変換データ３１を提供する。
　認証認可サーバ２００は、データ利用者が取得したデータ（変換データ３１）を活用して生み出された価値は、利用目的に紐づいた価値であり、データ提供者に与える恩恵が合意した条件に合致しているかについても継続的に監視を行う。
　また、認証認可サーバ２００は、データ提供者に与える価値について課金サーバ４０へ通知し、課金サーバ４０はデータ利用者（データ利用者サイトＵＳＲ）へ変換データ３１を活用して生み出された価値の対価を請求する。
　＜信頼度の算出＞
　図１７は、認証認可サーバ２００で行われる信頼度の算出処理の一例を示すフローチャートである。この処理は、データ利用者サイトＵＳＲから元データ２１の利用申請を受け付けた場合に実行することができる。
　認証認可サーバ２００のポリシ判定部２１０は、データ利用者サイトＵＳＲから受け付けた利用申請の利用ポリシ４２０と、利用ポリシ４２０で指定されたデータ名４２２を保有するデータ提供者サイトＯＷＮの提供ポリシ４１０を取得する（Ｓ４１）。
　ポリシ判定部２１０は、提供ポリシ４１０の機密性４１５～説明追求性４１８の値を取得して、リスク評価テーブル３３０からリスク評価値ＲＤを算出する（Ｓ４２）。ポリシ判定部２１０は、例えば、４つの発生事象（機密性４１５～説明追求性４１８）毎にスコア３３３の最大値を算出して、最大値の４次元ベクトルとしてリスク評価値ＲＤを算出する。
　次に、ポリシ判定部２１０は、利用ポリシ４２０のコンテキストであるＷｈｏ４２５～Ｈｏ２４２９の値を取得して、保護レベルテーブル３４０からコンテキストのそれぞれについてスコア３４３を取得し、保護レベル評価値ＬＰを算出する（Ｓ４３）。保護レベル評価値ＬＰは、例えば、上述の（１）式のように算出することができる。
　ポリシ判定部２１０は、利用ポリシ４２０の利用目的である影響４３０と恩恵４３１を取得して利用目的評価値ＰＤを算出する（Ｓ４４）。利用目的評価値ＰＤは、例えば、上述の（２）式のように算出することができる。
　ポリシ判定部２１０は、データ利用者サイトＵＳＲのコネクタ１１の利用監視部１１３が登録した過去の変換データ３１の監視状況から実現度テーブル３６０を参照して、目的達成レベルＩＡＬを算出する（Ｓ４５）。なお、過去の変換データ３１の監視状況は、例えば、データ利用システム３０における変換データ３１の利用率とし、利用率を実現度テーブル３６０の実現度３６１としてスコア３６２を目的達成レベルＩＡＬとして算出することができる。
　次に、ポリシ判定部２１０は、上記算出したリスク評価値ＲＤと、保護レベル評価値ＬＰと、利用目的評価値ＰＤと、目的達成レベルＩＡＬから信頼度ＴＳを次式によって算出する。
Figure JPOXMLDOC01-appb-M000001
　以上の処理によって、ポリシ判定部２１０は、信頼度ＴＳを算出することができ、信頼度ＴＳに応じたアクセス制御をデータ提供者サイトＯＷＮのコネクタ１２へ通知することができる。例えば、ポリシ判定部２１０は、信頼度ＴＳが正の場合、データ利用者サイトＵＳＲは元データ２１を匿名化せずにそのままの形で利用することができる。一方、信頼度ＴＳが負の場合、負値の大きさに応じて、匿名化を実施して保護レベル評価値ＬＰの値を減少させることにより、データの利活用を実現する。
　図６は、信頼度の算出モデルの一例を示す図である。図示の例では、予め設定されたリスク関数Ｒに対して、保護レベル評価値ＬＰと、利用目的評価値ＰＤと、目的達成レベルＩＡＬの関係を示す。
　図中のＣｕｒｒｅｎｔ　Ｒｉｓｋは、利用ポリシ４２０の保護レベル評価値ＬＰから予め設定されたリスク関数から算出されたリスクＲの値となる。Ｃｕｒｒｅｎｔ　Ｒｉｓｋに対して、利用目的評価値ＰＤと目的達成レベルＩＡＬから信頼度ＴＳが算出される。
　データ利用者サイトＵＳＲ側のリスクだけでなく、データ利用者サイトＵＳＲの利用目的と、過去の変換データ３１の利用実績を加味して信頼度ＴＳを算出することが、ポリシ判定部２１０の特徴である。
　＜アクセス制御＞
　信頼度ＴＳに基づいて元データ２１（ｄａｔａ）をデータ利用者サイトＵＳＲへ提供可能な変換データ３１（data'）に変換する関数ＤＡＣを、
　ＤＡＣ（ｄａｔａ，ＴＳ）→ｄａｔａ’とする。
　元データ２１に対して、変換データ３１の情報量をどの程度削減するかについては、確率分布空間における距離の測定に利用される、カルバック・ライブラー情報量（以下、ＫＬ情報量）を用いる。
　Ｐ、Ｑを離散確率分布とする場合、ＰのＱに対するＫＬ情報量は、
Figure JPOXMLDOC01-appb-M000002
で表される。ここで、Ｐｉ、Ｑｉはそれぞれ確率分布Ｐ、Ｑに従って、選ばれた値がｉの場合の確率である。
　なお、離散確率分布の情報量Ｈ（Ｐ）とＨ（Ｑ）を用い、
Figure JPOXMLDOC01-appb-M000003
と表される。Ｑ＝Ｐのとき、
Figure JPOXMLDOC01-appb-M000004
である。
　また、Ｈ（Ｑ）＝ｎであるとき、
Figure JPOXMLDOC01-appb-M000005
が成立する。
　データアクセス制御関数ＤＡＣが、距離関数ｄに関し、トラストスコア（信頼度）関数ＴＳＦに基づくとは、ｖｄラベル付きのデータｄａｔａとその離散確率分布Ｐ、保護レベルｌｐ、利用目的ｐｄ、変換されたデータの離散確率分布Ｑに対し、
Figure JPOXMLDOC01-appb-M000006
が成立する場合をいう。
　データアクセス制御関数ＤＡＣが出力したデータｄａｔａ’が開示した変換前のデータｄａｔａの情報量を定量評価できる。以降では、簡単のため元データｄａｔａと変換されたデータｄａｔａ’の距離をｄ（ｄａｔａ，ｄａｔａ’）と表記する。
　データアクセス制御関数ＤＡＣ内の処理として、距離ｄに応じた匿名化を用いる場合を考える。匿名化は、図１４のデータ変換テーブル３７０に示したように、サプレッション、一般化、擾乱等を用いることで、認証認可サーバ２００は、変換ポリシを生成することができる。なお、匿名化の具体的な手法については、Ｋ－匿名化など周知又は公知の手法を用いればよい。
　＜登録処理＞
　図７は、ポリシ登録からデータアクセス認可までの処理の一例を示すシーケンス図である。
　まず、データ提供者サイトＯＷＮのコネクタ１２（図中１２－１）は、データ利用者が元データ２１の利用条件を設定した提供ポリシ４１０（図１６）を認証認可サーバ２００へ送信し、登録を依頼する（Ｓ１）。
　認証認可サーバ２００は、ポリシ登録部２２０が提供ポリシ４１０を受け付けてストレージ装置２０３に格納する。ポリシ登録部２２０は、提供ポリシ４１０で指定されたデータ名４１２のリスク評価値ＲＤ（Risk of Data）を算出する情報として登録する（Ｓ２）。
　データ利用者サイトＵＳＲでは、コネクタ１１（図中１１－１）の利用監視部１１３がデータ利用システム３０（図中３０－１）における変換データ３１の利用状況を監視している（Ｓ３）。利用監視部１１３が利用状況を監視する対象は、既に認可されて使用中の変換データ３１である。利用監視部１１３は、認証認可サーバ２００から実現度テーブル３６０を取得して目的達成レベルＩＡＬを算出する（Ｓ４）。
　そして、利用監視部１１３は、算出した目的達成レベルＩＡＬを認証認可サーバ２００に登録する（Ｓ５）。認証認可サーバ２００では、ポリシ登録部２２０が受信した目的達成レベルＩＡＬをデータ利用者サイトＵＳＲ毎の目的達成レベルＩＡＬとしてストレージ装置２０３に登録しておく（Ｓ６）。
　データ利用者サイトＵＳＲは、自身のサービスシステム５０で使用するデータに、データ提供者サイトＯＷＮの元データ２１を利用したい場合には、コネクタ１１の利用申請部１１２から利用申請を認証認可サーバ２００へ送信する（Ｓ７）。利用申請には、保護レベルと利用目的を含む図１６に示した利用ポリシ４２０が添付される（Ｓ７）。
　認証認可サーバ２００のポリシ登録部２２０は、利用ポリシ４２０に記載されているデータ利用者４２４の目的達成レベルＩＡＬをストレージ装置２０３から検索し、利用ポリシ４２０のデータ名４２２に対応する元データ２１の提供ポリシ４１０を検索する（４１０）。ポリシ登録部２２０は、提供ポリシ４１０からリスク評価値ＲＤを算出するための４つの発生事象（機密性４１５～説明追求性４１８）を取得し、データ利用者４２４の目的達成レベルＩＡＬを取得してポリシ判定部２１０へ出力する（Ｓ９）。
　ポリシ判定部２１０は、上述したように４つの発生事象からリスク評価値ＲＤと、利用目的評価値ＰＤと、保護レベル評価値ＬＰを算出してから目的達成レベルＩＡＬを加えて信頼度ＴＳを算出する。そして、ポリシ判定部２１０は、データ利用者サイトＵＳＲの保護レベル評価値ＬＰ（又はコンテキスト情報）が所定の条件を満たしていれば、データ利用者サイトＵＳＲのアクセスを許可する（Ｓ１０）。
　ポリシ判定部２１０は、アクセスを許可する場合、信頼度ＴＳの値に応じてアクセス制御を実施するため、変換ポリシ（匿名化レベル）を上述のように決定してポリシ登録部２２０へ認可ＩＤを通知する（Ｓ１１）。また、ポリシ判定部２１０は、認可ＩＤを決定すると、認可テーブル３２０に新たなレコードを追加して、データ利用者サイトＵＳＲとデータ提供者サイトＯＷＮの上位法格納する。
　そして、認証認可サーバ２００のポリシ登録部２２０は、データ提供者サイトＯＷＮのコネクタ１１に対して認可ＩＤと、変換ポリシを通知して元データ２１へのアクセスを許可する。なお、ポリシ判定部２１０が、データ利用者サイトＵＳＲのアクセスを許可しない場合には、アクセス拒否の通知をポリシ登録部２２０からコネクタ１１に通知する。
　＜利用処理＞
　図８は、データ提供処理の一例を示すシーケンス図である。この処理は、データ利用者サイトＵＳＲが元データ２１の取得要求を送信した場合に実行される。データ利用者サイトＵＳＲでは、データ利用システム３０が元データ２１の取得要求をコネクタ１１に送信する（Ｓ２１）。
　コネクタ１１のデータ通信部１１１は、データ利用システム３０が要求した元データ２１について、認可ＩＤを取得済みであるかを判定する（Ｓ２２）。認証認可サーバ２００から受信した認可ＩＤは、コネクタ１１のストレージ装置７３に格納されているので、元データ２１のファイル名などから検索することができる。
　コネクタ１１のデータ通信部１１１は、既に認可ＩＤを取得している場合には、データ取得要求と認可ＩＤをデータ提供者サイトＯＷＮのコネクタ１２に送信する（Ｓ２３）。コネクタ１２のデータ通信部１２１は、データ取得要求と認可ＩＤを受信すると、認可ＩＤをデータ変換部１２３へ転送する（Ｓ２４）。データ変換部１２３は、認可ＩＤを認証認可サーバ２００に送信して、認可の有無を問い合わせる（Ｓ２５）。
　認証認可サーバ２００では、ポリシ判定部２１０が受信した認可ＩＤで認可テーブル３２０を検索し、信頼度３２７を取得する（Ｓ２６）。ポリシ判定部２１０では、取得した信頼度３２７の値に応じてアクセス制御を実施するため、変換ポリシ（匿名化ポリシ）生成視する（Ｓ２７）。
　認証認可サーバ２００のポリシ判定部２１０は、データ提供者サイトＯＷＮのコネクタ１２に対して、認可済みであることを示す変換ポリシを送信する（Ｓ２８）。なお、ポリシ判定部２１０は、認可ＩＤ３２１に該当しない場合には、未認可であることをコネクタ１２に通知して処理を終了する。
　コネクタ１２のデータ変換部１２３は、認可済みであることを示す変換ポリシを受信するとデータ通信部１２１に認可ＩＤで指定された元データ２１の利用が認可されていることを通知する（Ｓ２９）。
　コネクタ１２のデータ通信部１２１は、データ提供システム２０に対して元データ２１の取得を要求する（Ｓ３０）。データ提供システム２０は、指定された元データ２１をコネクタ１２へ送信する（Ｓ３１）。コネクタ１２では、データ通信部１２１が元データ２１を受信してデータ変換部１２３へ転送する（Ｓ３２）。
　データ変換部１２３は、認証認可サーバ２００から受信した変換ポリシで、元データ２１に匿名化を施して変換データ３１を生成し（Ｓ３３）、データ通信部１２１へ送信する（Ｓ３４）。なお、信頼度３２７が正の場合には、匿名化をせずに元データ２１をそのまま変換データ３１として出力すればよい。
　コネクタ１２のデータ通信部１２１は、変換データ３１を利用するデータ利用者サイトＵＳＲのコネクタ１１に変換データ３１を送信する（Ｓ３５）。コネクタ１１のデータ通信部１１１は、データ提供者サイトＯＷＮから受信した変換データ３１を、データ利用システム３０に送信する（Ｓ３６）。
　データ利用システム３０は、取得した変換データ３１を分析又は加工してサービスシステム５０に提供し、サービス提供の対価としての価値を得ることができる。
　以上のように、本実施例のデータ流通制御システムは、データ保有者が満足する価値を生むデータ利用者の利用目的と、データ保護のレベルに基づいて提供するデータに対するアクセスの可否を判定することが可能となる。
　また、認証認可サーバ２００は、データ保有者のポリシ（提供ポリシ４１０）と、データ利用者のポリシ（利用ポリシ４２０）からデータ利用者の信頼度ＴＳを算出し、信頼度ＴＳに応じた変換ポリシを生成することで元データ２１に対するアクセス制御を実現することができる。
　本実施例のデータ流通制御システムは、元データ２１の利用条件をデータ提供者が主観的に予め規定するのではなく、利用条件を導出する元となっている元データ２１のリスク（ＲＤ）と、データ利用者が提示する利用目的（ＰＤ）から動的に利用条件（ポリシ）を導出することができる。
　また、利用条件を満足できないデータ提供者に対しては、元データ２１を匿名化してデータの利用に支障のない範囲での保護／無害化を行う仕組みを導入することで、データ提供者の権利保護と、元データ２１の自由な流通により産業の活性化を図ることができる。
　図１８は、実施例２のデータ流通制御システムの一例を示すブロック図である。実施例２では、認証認可サーバ２０００が、変換データ３１を格納しデータベースとしてデータ利用者サイトＵＳＲ－１、ＵＳＲ－２に提供するものである。その他の構成は、前記実施例１と同様である。
　変換データ３１をデータベースに集約しておくことで、元データ２１が同一で変換ポリシが類似するデータを流用することで、データ提供者サイトＯＷＮかのコネクタ１２の負荷を低減できる。また、データ利用者サイトＵＳＲは、必要に応じて認証認可サーバ２０００の変換データ３１にアクセスすればよいので、データ利用システム３０のストレージ装置を節約することが可能となる。
　＜結び＞
　以上のように、上記実施例のデータ流通制御システムは、以下のような構成とすることができる。
　（１）プロセッサ（２０１）とメモリ（２０２）を有する認可サーバ（認証認可サーバ２００）が、データ（元データ２１）を提供する提供側計算機（データ提供システム２０）とデータ（変換データ３１）を利用する利用側計算機（データ利用システム３０）の間で前記データ（元データ２１）のアクセスを制御するデータ流通制御方法であって、前記利用側計算機（３０）が、過去に認可された前記データ（３１）の利用状況を前記認可サーバ（２００）へ通知する目的達成状況通知ステップ（利用監視部１１３）と、前記利用側計算機（３０）が、前記データ（３１）を利用する際のセキュリティ対策に関する保護レベル情報（３４０）と、前記データの利用目的（３５０）を含む利用ポリシ４２０を前記認可サーバ（２００）に申請する利用申請ステップ（利用申請部１１２）と、前記認可サーバ（２００）が、前記データ（３１）の利用状況と前記保護レベル情報（３４０）と前記データの利用目的（３５０）に基づいて、前記提供側計算機（２０）の前記データ（２１）に対する前記利用側計算機（３０）のアクセスを制御するアクセス制御ステップ（ポリシ判定部２１０）と、を含むことを特徴とするデータ流通制御方法。
　上記構成により、データ流通制御方法では、データ提供者（保有者）が満足する価値を生むデータ利用者の利用目的と、データ保護のレベルに基づいて提供する元データ２１に対するアクセスを制御することが可能となる。また、認証認可サーバ２００は、データ提供者（保有者）のポリシと、データ利用者のポリシからデータ利用者の信頼度を算出し、信頼度に応じたアクセス制御を実現することができる。例えば、前記データが個人情報である場合でも、データ保有者が提供に合意できる匿名化処理を行うことによって、機微情報を除いたデータをデータ利用者に提供することができる。
　（２）上記（１）に記載のデータ流通制御方法であって、前記提供側計算機（２０）が、提供する前記データのリスク（リスク評価テーブル３３０）に関するリスク情報（提供ポリシ４１０）を前記認可サーバ（２００）に登録する提供ポリシ登録ステップ（データ登録部１２２）を、さらに含み、前記アクセス制御ステップ（２１０）は、前記データ（３１）の利用状況と前記保護レベル情報（３４０）と前記データの利用目的（３５０）に、前記リスク情報（４１０）を加えて前記提供側計算機（２０）の前記データ（２１）に対する前記利用側計算機（３０）のアクセスを制御することを特徴とするデータ流通制御方法。
　上記構成により、元データ２１が適切に扱われなかった場合にデータ提供者が被る影響の度合いを考慮してデータ利用者サイトＵＳＲからのアクセスを制御することが実現できる。
　（３）上記（２）に記載のデータ流通制御方法であって、前記アクセス制御ステップ（２１０）は、前記リスク情報（４１０）からリスクの大きさを示すリスク評価値ＲＤを算出するステップ（Ｓ４２）と、前記保護レベル情報（３４０）からセキュリティ対策の程度を示す保護レベル評価値ＬＰを算出するステップ（Ｓ４３）と、前記データ（２１）の利用目的（３５０）から利用目的評価値ＰＤを算出するステップ（Ｓ４４）と、前記データ（３１）の利用状況から利用目的（３５０）を実現可能なスコアとして目的達成レベルＩＡＬを算出するステップ（Ｓ４５）と、前記リスク評価値ＲＤと保護レベル評価値ＬＰと利用目的評価値ＰＤと目的達成レベルＩＡＬから信頼度ＴＳを算出するステップ（Ｓ４６）と、　前記信頼度に基づいてアクセスポリシを生成するステップを含むことを特徴とするデータ流通制御方法。
　上記構成により、ポリシ判定部２１０は、リスク評価値ＲＤと保護レベル評価値ＬＰに加えて、利用目的評価値ＰＤと目的達成レベルＩＡＬを含めて信頼度ＴＳを算出することで、データ提供者サイトＯＷＮが元データ２１の提供にあたって許可した条件（提供ポリシ４１０）の範囲においてのみデータ利用者サイトＵＳＲが変換データ３１を利用することについてデータ提供者サイトＯＷＮの信頼を得ることができる。
　（４）上記（３）に記載のデータ流通制御方法であって、目的達成レベルＩＡＬは、前記利用側計算機（３０）が過去に利用したデータ（３１）の利用実績に基づいて、前記データの利用目的（３５０）を実現する可能性の評価値として算出されることを特徴とするデータ流通制御方法。
　上記構成により、データ利用者サイトＵＳＲが約束した利用ポリシ４２０に含まれる社会的影響力の大きさや、データ提供者サイトＯＷＮに対する恩恵の実現率を目的達成レベルＩＡＬとして、データ利用者サイトＵＳＲが元データ２１の利用に対して約束した社会的影響やデータ提供者サイトＯＷＮに対する恩恵に対する期待値を定義することができる。そして、受容可能なリスクを計算する際に目的達成レベルＩＡＬを用いることでリスク評価値ＲＤを補正することが可能となる。
　（５）上記（３）に記載のデータ流通制御方法であって、前記リスク情報（４１０）は、前記データ（２１）の機密性（４１５）と、完全性（４１６）と、可用性（４１７）と、説明追求性（４１８）のそれぞれについてスコア（３３３）が設定されたことを特徴とするデータ流通制御方法。
　上記構成により、データ提供者サイトＯＷＮは、提供する元データ２１の価値を機密性４１５と、完全性４１６と、可用性４１７と、説明追求性４１８で定義することが可能となる。
　なお、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施例は本発明を分かりやすく説明するために詳細に記載したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施例の構成の一部を他の実施例の構成に置き換えることが可能であり、また、ある実施例の構成に他の実施例の構成を加えることも可能である。また、各実施例の構成の一部について、他の構成の追加、削除、又は置換のいずれもが、単独で、又は組み合わせても適用可能である。
　また、上記の各構成、機能、処理部、及び処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、及び機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ（Ｓｏｌｉｄ　Ｓｔａｔｅ　Ｄｒｉｖｅ）等の記録装置、又は、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に置くことができる。
　また、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。

Claims (15)

  1. 　プロセッサとメモリを有する認可サーバが、データを提供する提供側計算機とデータを利用する利用側計算機の間で前記データのアクセスを制御するデータ流通制御方法であって、
    　前記利用側計算機が、過去に認可された前記データの利用状況を前記認可サーバへ通知する目的達成状況通知ステップと、
    　前記利用側計算機が、前記データを利用する際のセキュリティ対策に関する保護レベル情報と、前記データの利用目的を含む利用ポリシを前記認可サーバに申請する利用申請ステップと、
    　前記認可サーバが、前記データの利用状況と前記保護レベル情報と前記データの利用目的に基づいて、前記提供側計算機の前記データに対する前記利用側計算機のアクセスを制御するアクセス制御ステップと、を含むことを特徴とするデータ流通制御方法。
  2. 　請求項１に記載のデータ流通制御方法であって、
    　前記提供側計算機が、提供する前記データのリスクに関するリスク情報を前記認可サーバに登録する提供ポリシ登録ステップを、さらに含み、
    　前記アクセス制御ステップは、
    　前記データの利用状況と前記保護レベル情報と前記データの利用目的に、前記リスク情報を加えて前記提供側計算機の前記データに対する前記利用側計算機のアクセスを制御することを特徴とするデータ流通制御方法。
  3. 　請求項２に記載のデータ流通制御方法であって、
    　前記アクセス制御ステップは、
    　前記リスク情報からリスクの大きさを示すリスク評価値ＲＤを算出するステップと、
    　前記保護レベル情報からセキュリティ対策の程度を示す保護レベル評価値ＬＰを算出するステップと、
    　前記データの利用目的から利用目的評価値ＰＤを算出するステップと、
    　前記データの利用状況から利用目的を実現可能なスコアとして目的達成レベルＩＡＬを算出するステップと、
    　前記リスク評価値ＲＤと保護レベル評価値ＬＰと利用目的評価値ＰＤと目的達成レベルＩＡＬから信頼度を算出するステップと、
    　前記信頼度に基づいてアクセスポリシを生成するステップを含むことを特徴とするデータ流通制御方法。
  4. 　請求項３に記載のデータ流通制御方法であって、
    　目的達成レベルＩＡＬは、
    　前記利用側計算機が過去に利用したデータの利用実績に基づいて、前記データの利用目的を実現する可能性の評価値として算出されることを特徴とするデータ流通制御方法。
  5. 　請求項３に記載のデータ流通制御方法であって、
    　前記リスク情報は、
    　前記データの機密性と、完全性と、可用性と、説明追求性のそれぞれについてスコアが設定されたことを特徴とするデータ流通制御方法。
  6. 　プロセッサとメモリを有する認可サーバと、データを提供する提供側計算機と、前記データを利用する利用側計算機と、を有するデータ流通制御システムであって、
    　前記利用側計算機は、
    　過去に認可された前記データの利用状況を前記認可サーバへ通知する監視部と、
    　前記データを利用する際のセキュリティ対策に関する保護レベル情報と、前記データの利用目的を含む利用ポリシを前記認可サーバに申請する利用申請部を有し、
    　前記認可サーバは、
    　前記データの利用状況と前記保護レベル情報と前記データの利用目的に基づいて、前記提供側計算機の前記データに対する前記利用側計算機のアクセスを制御するポリシ判定部と、を有することを特徴とするデータ流通制御システム。
  7. 　請求項６に記載のデータ流通制御システムであって、
    　前記提供側計算機は、
    　提供する前記データのリスクに関するリスク情報を前記認可サーバに登録するポリシ登録部を、有し、
    　前記ポリシ判定部は、
    　前記データの利用状況と前記保護レベル情報と前記データの利用目的に、前記リスク情報を加えて前記提供側計算機の前記データに対する前記利用側計算機のアクセスを制御することを特徴とするデータ流通制御システム。
  8. 　請求項７に記載のデータ流通制御システムであって、
    　前記ポリシ判定部は、
    　前記リスク情報からリスクの大きさを示すリスク評価値ＲＤを算出し、
    　前記保護レベル情報からセキュリティ対策の程度を示す保護レベル評価値ＬＰを算出し、
    　前記データの利用目的から利用目的評価値ＰＤを算出し、
    　前記データの利用状況から利用目的を実現可能なスコアとして目的達成レベルＩＡＬを算出し、
    　前記リスク評価値ＲＤと保護レベル評価値ＬＰと利用目的評価値ＰＤと目的達成レベルＩＡＬから信頼度を算出し、
    　前記信頼度に基づいてアクセスポリシを生成することを特徴とするデータ流通制御システム。
  9. 　請求項８に記載のデータ流通制御システムであって、
    　目的達成レベルＩＡＬは、
    　前記利用側計算機が過去に利用したデータの利用実績に基づいて、前記データの利用目的を実現する可能性の評価値として算出されることを特徴とするデータ流通制御システム。
  10. 　請求項８に記載のデータ流通制御システムであって、
    　前記リスク情報は、
    　前記データの機密性と、完全性と、可用性と、説明追求性のそれぞれについてスコアが設定されたことを特徴とするデータ流通制御システム。
  11. 　プロセッサとメモリを有する認可サーバであって、
    　前記プロセッサは、利用側計算機から過去に認可されたデータの利用状況を受信し、
    　前記プロセッサは、前記利用側計算機から前記データを利用する際のセキュリティ対策に関する保護レベル情報と、前記データの利用目的を含む利用ポリシを受け付けて、
    　前記プロセッサは、前記データの利用状況と前記保護レベル情報と前記データの利用目的に基づいて、提供側計算機の前記データに対する前記利用側計算機のアクセスを制御することを特徴とする認可サーバ。
  12. 　請求項１１に記載の認可サーバであって、
    　前記プロセッサは、提供側計算機から、提供する前記データのリスクに関するリスク情報を受け付けて、
    　前記プロセッサは、
    　前記データの利用状況と前記保護レベル情報と前記データの利用目的に、前記リスク情報を加えて前記提供側計算機の前記データに対する前記利用側計算機のアクセスを制御することを特徴とする認可サーバ。
  13. 　請求項１２に記載の認可サーバであって、
    　前記プロセッサは、前記リスク情報からリスクの大きさを示すリスク評価値ＲＤを算出し、前記保護レベル情報からセキュリティ対策の程度を示す保護レベル評価値ＬＰを算出し、前記データの利用目的から利用目的評価値ＰＤを算出し、前記データの利用状況から利用目的を実現可能なスコアとして目的達成レベルＩＡＬを算出し、前記リスク評価値ＲＤと保護レベル評価値ＬＰと利用目的評価値ＰＤと目的達成レベルＩＡＬから信頼度を算出し、前記信頼度に基づいてアクセスポリシを生成することを特徴とする認可サーバ。
  14. 　請求項１３に記載の認可サーバであって、
    　目的達成レベルＩＡＬは、
    　前記利用側計算機が過去に利用したデータの利用実績に基づいて、前記データの利用目的を実現する可能性の評価値として算出されることを特徴とする認可サーバ。
  15. 　請求項１４に記載の認可サーバであって、
    　前記リスク情報は、
    　前記データの機密性と、完全性と、可用性と、説明追求性のそれぞれについてスコアが設定されたことを特徴とする認可サーバ。
PCT/JP2022/003015 2021-01-28 2022-01-27 データ流通制御方法、データ流通制御システム及び認可サーバ WO2022163741A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2022578463A JP7520159B2 (ja) 2021-01-28 2022-01-27 データ流通制御方法、データ流通制御システム及び認可サーバ
US18/031,973 US20230388306A1 (en) 2021-01-28 2022-01-27 Data circulation control method, data circulation control system, and approval server
EP22745960.9A EP4287056A1 (en) 2021-01-28 2022-01-27 Data distribution control method, data distribution control system, and authorization server

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2021012363 2021-01-28
JP2021-012363 2021-01-28

Publications (1)

Publication Number Publication Date
WO2022163741A1 true WO2022163741A1 (ja) 2022-08-04

Family

ID=82654703

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2022/003015 WO2022163741A1 (ja) 2021-01-28 2022-01-27 データ流通制御方法、データ流通制御システム及び認可サーバ

Country Status (4)

Country Link
US (1) US20230388306A1 (ja)
EP (1) EP4287056A1 (ja)
JP (1) JP7520159B2 (ja)
WO (1) WO2022163741A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2024004254A1 (ja) * 2022-06-28 2024-01-04 株式会社日立製作所 データ提供仲介システム及びデータ提供仲介方法

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2014229039A (ja) * 2013-05-22 2014-12-08 株式会社日立製作所 プライバシ保護型データ提供システム
JP2018142284A (ja) * 2017-02-28 2018-09-13 日本電信電話株式会社 リスク算出装置、リスク算出装置を搭載するリスク判定装置及びリスク算出方法
JP2021012363A (ja) 2019-07-05 2021-02-04 シャープ株式会社 液晶パネルの製造方法および液晶パネルの製造装置

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4622514B2 (ja) 2004-12-28 2011-02-02 日本電気株式会社 文書匿名化装置、文書管理装置、文書匿名化方法及び文書匿名化プログラム
WO2013121739A1 (ja) 2012-02-17 2013-08-22 日本電気株式会社 匿名化装置及び匿名化方法
JP6084895B2 (ja) 2013-05-17 2017-02-22 日本電信電話株式会社 データ開示度制御装置、データ開示度制御方法及びデータ開示度制御プログラム
JP5893197B1 (ja) 2015-06-22 2016-03-23 ニフティ株式会社 判定方法、判定装置及び判定プログラム
JP7070994B2 (ja) 2018-06-01 2022-05-18 日本電気株式会社 処理装置、処理方法及びプログラム

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2014229039A (ja) * 2013-05-22 2014-12-08 株式会社日立製作所 プライバシ保護型データ提供システム
JP2018142284A (ja) * 2017-02-28 2018-09-13 日本電信電話株式会社 リスク算出装置、リスク算出装置を搭載するリスク判定装置及びリスク算出方法
JP2021012363A (ja) 2019-07-05 2021-02-04 シャープ株式会社 液晶パネルの製造方法および液晶パネルの製造装置

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2024004254A1 (ja) * 2022-06-28 2024-01-04 株式会社日立製作所 データ提供仲介システム及びデータ提供仲介方法

Also Published As

Publication number Publication date
EP4287056A1 (en) 2023-12-06
JP7520159B2 (ja) 2024-07-22
US20230388306A1 (en) 2023-11-30
JPWO2022163741A1 (ja) 2022-08-04

Similar Documents

Publication Publication Date Title
Hu et al. Dynamic, context-aware access control for distributed healthcare applications
Yimam et al. A survey of compliance issues in cloud computing
Alshehri et al. Secure access control for health information sharing systems
Viriyasitavat et al. A survey of trust in workflows and relevant contexts
US9519799B2 (en) Dynamic determination of access rights
Powers et al. Privacy promises, access control, and privacy management. Enforcing privacy throughout an enterprise by extending access control
Mon et al. The privacy-aware access control system using attribute-and role-based access control in private cloud
Casassa Mont Dealing with privacy obligations: Important aspects and technical approaches
She et al. Role-based integrated access control and data provenance for SOA based net-centric systems
US11182499B2 (en) Method of integrating an organizational security system
Alam et al. xDAuth: a scalable and lightweight framework for cross domain access control and delegation
JP2008112284A (ja) 資源管理方法、資源管理システム、およびコンピュータプログラム
Choi et al. A Framework for Context Sensitive Risk‐Based Access Control in Medical Information Systems
US20120159566A1 (en) Access control framework
Semantha et al. A conceptual framework to ensure privacy in patient record management system
WO2022163741A1 (ja) データ流通制御方法、データ流通制御システム及び認可サーバ
Zeng et al. Linux auditing: Overhead and adaptation
US8931048B2 (en) Data system forensics system and method
Hafner et al. Modeling and enforcing advanced access control policies in healthcare systems with sectet
WO2020004137A1 (ja) サービス支援システム、及びサービス支援方法
Abdallah et al. Formal Z specifications of several flat role-based access control models
Canfora et al. A three-layered model to implement data privacy policies
Salji et al. Trust-based Access Control Model with Quantification Method for Protecting Sensitive Attributes
Chou et al. An extended XACML model to ensure secure information access for web services
KR20050070520A (ko) 워크플로우 기반의 그리드 사용자 권한 위임과 인증시스템 및 그 방법

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 22745960

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2022578463

Country of ref document: JP

Kind code of ref document: A

WWE Wipo information: entry into national phase

Ref document number: 18031973

Country of ref document: US

WWE Wipo information: entry into national phase

Ref document number: 2022745960

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 2022745960

Country of ref document: EP

Effective date: 20230828