(57)【要約】【課題】個人情報の開示の許可と、開示の範囲の指定と、を個人情報の提供者が行わない限り個人情報を開示せず、且つ悪意ある第三者による個人情報への攻撃が困難な情報管理システムを提供する。【解決手段】個人情報を提供する利用者の端末装置と、個人情報を保管・管理する個人情報管理サーバと、利用者の個人情報の開示許可を得て、特定多数の利用者に個人情報を含む情報を提供する事業者の端末装置と、利用者および事業者の端末装置と個人情報管理サーバとの通信を制御する管理サーバと、を備えており、管理サーバと、利用者および事業者の端末装置とは、インターネット回線で接続されており、個人情報管理サーバと管理サーバとは、外部からアクセスすることが困難な内部専用線で接続されていることを特徴とする情報管理システム。【選択図】図１
2020004011.tif 000002
【特許請求の範囲】
【請求項１】
個人情報を提供する利用者の端末装置と、個人情報を保管・管理する個人情報管理サーバと、利用者の個人情報の開示許可を得て、特定多数の利用者に個人情報を含む情報を提供する事業者の端末装置と、利用者および事業者の端末装置と個人情報管理サーバとの通信を制御する管理サーバと、を備えており、
管理サーバと、利用者および事業者の端末装置とは、インターネット回線で接続されており、
個人情報管理サーバと管理サーバとは、外部からアクセスすることが困難な内部専用線で接続されていることを特徴とする情報管理システム。
【請求項２】
請求項１に記載の情報管理システムにおける情報管理方法であって、
予め前記個人情報を前記利用者の端末装置から前記管理サーバに登録するステップ１と、
前記管理サーバが、利用者ごとに乱数ＩＤを発行し、前記個人情報管理サーバに送信し、個人情報管理サーバが記憶するステップ２と、
前記事業者の端末装置が、利用者の個人情報の開示を前記管理サーバに要求するステップ３と、
前記管理サーバが、当該利用者の端末装置に対して開示要求の内容を送信し、個人情報のレベルに応じた本人確認内容を前記利用者の端末装置に求めるステップ４と、
前記利用者の端末装置が、個人情報のレベルに応じた公開鍵を前記管理サーバに送信するステップ５と、
前記管理サーバが、個人情報のレベルに応じた公開鍵と、前記乱数ＩＤで利用者の本人確認を行うステップ６と、
ステップ６の後、前記管理サーバが乱数ＩＤを再発行し、前記個人情報管理サーバに送信し、個人情報管理サーバが記憶するステップ７と、
前記個人情報管理サーバが、利用者の本人確認が完了したことを管理サーバに送信するステップ８と、
前記管理サーバが、利用者の本人確認が完了したことを利用者の端末装置に送信するステップ９と、
前記利用者の端末装置が、利用者の個人情報の開示の範囲を選択し、選択した範囲だけを許可することを管理サーバに送信するステップ１０と、
前記管理サーバが、選択した範囲だけを許可することを個人情報管理サーバに送信するステップ１１と、
前記個人情報管理サーバが、許可された範囲の個人情報を管理サーバに送信するステップ１２と、
前記管理サーバが、受信した許可された範囲の個人情報に基づき作成したデータを事業者の端末装置に送信するステップ１３と、を備えていることを特徴とする情報管理方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、サーバに保管された個人情報の漏洩や不正な改竄などを防ぐことができる情報管理技術に関する。
【背景技術】
【０００２】
インターネットの普及に伴い、個人情報をインターネット経由で取り扱うことが増えている。例えば、不動産業者との契約や、ＷＥＢ懸賞キャンペーンの申し込みをインターネット経由で行う際に個人情報をアップロードしている。
【０００３】
この様な状況に対して情報セキュリティの観点から、（１）個人情報を保管する情報管理サーバとその個人情報を使用してサービスを提供する事業者端末を直接接続する事によりサービスを提供する、（２）利用者への閲覧許可を、情報管理サーバからＩＤ管理サーバに送信することによって確認する、（３）利用者情報全体に対して付与された利用者の電子署名を検証する、などが行われている。
【０００４】
しかしながら、（１）については、情報管理サーバと事業者端末を直接接続することで、第三者による攻撃や不正な利用、データの漏洩などの虞がある。また（２）については、事前に利用者本人の同意を得ていない場合には、同意無しで個人情報が公開されてしまう問題がある。また（３）については、電子署名だけの検証だけで、クレジットカード番号など全ての個人情報が公開されてしまう問題がある。
【０００５】
そのため、個人情報の漏洩をはじめ、様々な不正なアクセスを防ぐため、個人情報データを安全に保管し、管理することが求められている。
【０００６】
具体的には、個人情報が保管されている情報管理サーバと事業者端末を直接接続しない構成であり、且つ事前に利用者本人の同意を得てから事業者に個人情報を公開する構成であり、且つ個人情報を一挙に全て公開するのではなく、公開するレベルを選択可能な構成を備えた個人情報管理技術が求められている。
【０００７】
この様な技術に最も類似した技術としては、例えば特許文献１に、検索効率を低下させることなく、データの漏洩を防止することができ、管理者などの内部不正者による漏洩を防止することのできるデータベース管理方法を提供することを課題として、利用者より個人情報である利用者情報を収集し、利用者や事業者に対して、収集した利用者情報を利用範囲に基づき開示する利用者情報管理サーバと、利用者情報の各項目と利用者とを関連付ける情報である項目ＩＤを生成、管理し、要求に基づき利用範囲内で前記項目ＩＤを提供する項目ＩＤ管理サーバと、サービスを受けるために自身の個人情報を提供する利用者側装置と、サービスを提供するために利用者情報の閲覧を行う事業者端末とを含んで構成される個人情報管理システムにおけるデータベース管理方法が開示されている。
【０００８】
このデータベース管理方法では、利用者情報管理サーバにより、利用者情報を収集して、項目ＩＤ管理サーバに項目ＩＤの要求を行い、項目ＩＤ管理サーバにより、項目ＩＤ要求に基づき、利用者情報の各項目について固有の乱数を生成して項目ＩＤを作成し、項目ＩＤを自身のデータベースに利用者と関連付けて記録するとともに、利用者情報管理サーバに送信し、利用者情報管理サーバにより、項目ＩＤ管理サーバより受け取った項目ＩＤに基づいて利用者情報を自身のデータベース内に格納する。
【０００９】
利用者情報収集時に、利用者情報管理サーバにより、利用者情報の各項目のハッシュ値
を送信して、項目ＩＤ管理サーバに項目ＩＤの要求を行い、項目ＩＤ管理サーバにより、項目ＩＤ要求に基づき、利用者情報の各項目について固有の乱数を生成して項目ＩＤを作成し、各項目について項目ＩＤおよびハッシュ値を自身のデータベースに利用者と関連付けて記録する。
【００１０】
また、利用者情報閲覧時に、利用者情報管理サーバにより、利用者側装置あるいは事業者端末の閲覧要求に対する利用者情報を開示するために、項目ＩＤ管理サーバに項目ＩＤの要求を行い、項目ＩＤ管理サーバにより、項目ＩＤ要求に対して、自身のデータベースを検索して、閲覧を許可する項目については項目ＩＤを利用者情報管理サーバに送信する。
【００１１】
また、閲覧を許可しない項目については、ハッシュ値を利用者情報管理サーバに送信し、項目ＩＤおよびハッシュ値を受け取った利用者情報管理サーバにより、閲覧を許可する項目については、項目ＩＤを用いて自身のデータベースを検索して、利用者情報を利用者側装置あるいは前記事業者端末に送信する。
【００１２】
また、閲覧を許可しない項目については、ハッシュ値を利用者側装置あるいは事業者端末に送信し、利用者情報およびハッシュ値を受け取った利用者側装置あるいは事業者端末により、閲覧を許可する項目についてのみ、その利用者情報を閲覧する。
【００１３】
更に、閲覧を許可する項目については、利用者情報よりハッシュ値を生成し、閲覧を許可しない項目については、受け取ったハッシュ値を利用して、利用者情報全体に対して付与された利用者の電子署名を検証することを特徴とするデータベース管理方法が開示されている。
【００１４】
このデータベース管理方法は、優れた個人情報管理方法であるが、事業者側の端末装置がアクセス可能な利用者情報管理サーバに個人情報などの利用者情報が保管されているため、インターネット回線を介して、悪意がある第三者による攻撃を避ける事ができない。
【先行技術文献】
【特許文献】
【００１５】
【特許文献１】特許第４７０８１７７号公報
【発明の概要】
【発明が解決しようとする課題】
【００１６】
上記の事情に鑑み、本発明は、個人情報の開示の許可と、開示の範囲の指定と、を個人情報の提供者が行わない限り個人情報を開示せず、且つ悪意ある第三者による個人情報への攻撃が困難な情報管理システムを提供することを課題とする。
【課題を解決するための手段】
【００１７】
上記の課題を解決する手段として、本発明の請求項１に記載の発明は、個人情報を提供する利用者の端末装置と、個人情報を保管・管理する個人情報管理サーバと、利用者の個人情報の開示許可を得て、特定多数の利用者に個人情報を含む情報を提供する事業者の端末装置と、利用者および事業者の端末装置と個人情報管理サーバとの通信を制御する管理サーバと、を備えており、
管理サーバと、利用者および事業者の端末装置とは、インターネット回線で接続されており、
個人情報管理サーバと管理サーバとは、外部からアクセスすることが困難な内部専用線で接続されていることを特徴とする情報管理システムである。
【００１８】
また、請求項２に記載の発明は、請求項１に記載の情報管理システムにおける情報管理方法であって、
予め前記個人情報を前記利用者の端末装置から前記管理サーバに登録するステップ１と、
前記管理サーバが、利用者ごとに乱数ＩＤを発行し、前記個人情報管理サーバに送信し、個人情報管理サーバが記憶するステップ２と、
前記事業者の端末装置が、利用者の個人情報の開示を前記管理サーバに要求するステップ３と、
前記管理サーバが、当該利用者の端末装置に対して開示要求の内容を送信し、個人情報のレベルに応じた本人確認内容を前記利用者の端末装置に求めるステップ４と、
前記利用者の端末装置が、個人情報のレベルに応じた公開鍵を前記管理サーバに送信するステップ５と、
前記管理サーバが、個人情報のレベルに応じた公開鍵と、前記乱数ＩＤで利用者の本人確認を行うステップ６と、
ステップ６の後、前記管理サーバが乱数ＩＤを再発行し、前記個人情報管理サーバに送信し、個人情報管理サーバが記憶するステップ７と、
前記個人情報管理サーバが、利用者の本人確認が完了したことを管理サーバに送信するステップ８と、
前記管理サーバが、利用者の本人確認が完了したことを利用者の端末装置に送信するステップ９と、
前記利用者の端末装置が、利用者の個人情報の開示の範囲を選択し、選択した範囲だけを許可することを管理サーバに送信するステップ１０と、
前記管理サーバが、選択した範囲だけを許可することを個人情報管理サーバに送信するステップ１１と、
前記個人情報管理サーバが、許可された範囲の個人情報を管理サーバに送信するステップ１２と、
前記管理サーバが、受信した許可された範囲の個人情報に基づき作成したデータを事業者の端末装置に送信するステップ１３と、を備えていることを特徴とする情報管理方法である。
【発明の効果】
【００１９】
本発明の情報管理システムによれば、情報の管理を司る管理サーバが、個人情報を提供する特定多数の利用者の端末装置およびその個人情報を利用したサービスを提供する事業者の端末装置と、インターネット回線で接続されているのに対し、利用者の個人情報を保管する個人情報管理サーバは内部専用線を介して管理サーバと接続されている。そのため、個人情報が保管されている個人情報管理サーバに外部からアクセスすることが困難であることから、個人情報が第三者に漏洩する可能性や、改竄される可能性が低い。
【００２０】
また、本発明の情報管理方法によれば、本発明の情報管理システムを使用して、個人情報が第三者に漏洩したり、第三者によって改竄される可能性が低い情報管理を実現することが可能となる。また、本発明の情報管理方法によれば、利用者の個人情報を利用したサービスを提供する事業者は、個人情報を提供した利用者が開示を許可し、且つ開示の範囲を指定しない限り、個人情報を含む情報を提供することができない。
【図面の簡単な説明】
【００２１】
【図１】本発明の情報管理システムの構成を例示する説明図。
【図２】本発明の情報管理システムの作業の流れを説明するシーケンス図。
【発明を実施するための形態】
【００２２】
＜情報管理システム＞
本発明の情報管理システムについて、図１を用いて説明する。
本発明の情報管理システムは、利用者の個人情報を、その個人情報を利用してサービスを提供する事業者が、利用者の許可を得て利用することができる情報管理システムである。
【００２３】
本発明の情報管理システムは、個人情報を提供する利用者の端末装置と、複数の個人情報を保管・管理する個人情報管理サーバと、個人情報の開示を受けて、特定多数の利用者に個人情報を含む情報を提供する事業者の端末装置と、利用者の端末装置と事業者の端末装置と個人情報管理サーバとの通信を制御する管理サーバと、を備えている。
【００２４】
管理サーバと、利用者の端末装置および事業者の端末装置とは、インターネット回線で接続されており、個人情報管理サーバと管理サーバとは、外部からアクセスすることが困難な内部専用線で接続されていることが特徴である。
【００２５】
（利用者の端末装置、事業者の端末装置）
利用者の端末装置としては、特に限定する必要は無い。例えば、スマートフォン、携帯電話、パーソナルコンピュータなどを挙げることができる。
議業者の端末装置としては、特に限定する必要は無いが、多数の利用者の個人情報を取り扱うため、スマートフォンや携帯電話などより、情報処理能力が高いパーソナルコンピュータを好適に使用することができる。
【００２６】
（個人情報管理サーバ）
個人情報管理サーバとしては、個人情報の保管を主たる機能とするため、記憶装置であれば特に限定することなく使用することが可能である。例えば、記憶装置を備えたパーソナルコンピュータや外付けの各種記憶装置（ハードディスク装置、ＳＳＤ（Ｓｏｌｉｄ  Ｓｔａｔｅ  Ｄｒｉｖｅ）、ネットワークを介して接続されたファイルサーバなど）などを使用することができる。
【００２７】
（管理サーバ）
管理サーバとしては、個人情報管理サーバと、利用者および事業者の端末装置と、に通信可能に接続された大容量の記憶装置を備えたコンピュータである所謂サーバ装置を使用することができる。
【００２８】
管理サーバと、利用者および事業者の端末装置と、はインターネット回線により接続されている。そのため、一般の利用者は、例えば管理サーバを運営する企業が作成する専用のホームページにアクセスすることにより、容易に管理サーバにアクセスし、利用者の個人情報を登録可能である。例えば、１００００人を越える利用者の個人情報を問題なく登録することが可能である。
【００２９】
事業者は、利用者と同様に、インターネット回線を通して管理サーバにアクセスすることができる。
【００３０】
管理サーバは、利用者が登録した個人情報データを個人情報管理サーバに保管し、管理する。管理サーバは、その保管されている個人情報データを加工する機能を備えている。加工する内容は、特に限定されない。例えば、事業者が要求したフォーマットに従ってデータ加工し、加工したデータを事業者に渡す。
【００３１】
管理サーバと個人情報管理サーバとは、管理サーバの運営企業の内部で、内部専用線を使用して接続されている。この内部専用線はインターネットとは独立した通信回線である。そのため、個人情報が保管されている個人情報管理サーバが、悪意ある第三者から攻撃を受ける可能性を、インターネット回線に直接的に接続されている場合と比べ、低くする事が可能である。
【００３２】
＜情報管理方法＞
本発明の情報管理方法について、図２を用いて説明する。  
本発明の情報管理方法は、本発明の情報管理システムにおける情報管理方法である。
【００３３】
予め個人情報を利用者の端末装置から管理サーバに登録するステップ１と、管理サーバが利用者ごとに乱数ＩＤを発行し、個人情報管理サーバに送信して記憶するステップ２と、事業者の端末装置が、利用者の個人情報の開示を管理サーバに要求するステップ３と、管理サーバが、当該利用者の端末装置に対して開示要求の内容を送信し、個人情報のレベルに応じた本人確認内容を利用者の端末装置に求めるステップ４と、利用者の端末装置が、個人情報のレベルに応じた公開鍵を管理サーバに送信するステップ５と、管理サーバが、個人情報のレベルに応じた公開鍵と、乱数ＩＤで利用者の本人確認を行うステップ６と、ステップ６の後、管理サーバが乱数ＩＤを再発行し、個人情報管理サーバに送信し、個人情報管理サーバが記憶するステップ７と、個人情報管理サーバが、利用者の本人確認が完了したことを管理サーバに送信するステップ８と、管理サーバが、利用者の本人確認が完了したことを利用者の端末装置に送信するステップ９と、利用者の端末装置が、利用者の個人情報の開示の範囲を選択し、選択した範囲だけを許可することを管理サーバに送信するステップ１０と、管理サーバが、選択した範囲だけを許可することを個人情報管理サーバに送信するステップ１１と、個人情報管理サーバが、許可された範囲の個人情報を管理サーバに送信するステップ１２と、管理サーバが、受信した許可された範囲の個人情報に基づき作成したデータを事業者の端末装置に送信するステップ１３と、を備えている。
【００３４】
（ステップ１）
利用者が、利用者端末を使用して、個人情報である利用者情報を、インターネット回線を通して管理サーバに送信する。管理サーバは、受信したその利用者情報を個人情報管理サーバに登録した後、管理サーバから消去する。
【００３５】
（ステップ２）
管理サーバは、登録された利用者情報ごとに乱数ＩＤを発行し、内部専用線を通して個人情報管理サーバに送信する。個人情報管理サーバは、乱数ＩＤを受信すると、その乱数ＩＤと利用者情報とをセットにして記憶する。
ステップ１とステップ２を繰り返すことにより、多数の個人情報である利用者情報が、それらの利用者情報ごとに発行された乱数ＩＤとセットになった情報として蓄積されて行く。
【００３６】
（ステップ３）
事業者が事業者端末を用いて、利用者情報の開示の要求を、管理サーバに送信する。開示の要求内容としては、少なくとも、個人情報の開示のレベル（または範囲）の指定を含んでいる。
【００３７】
（ステップ４）
管理サーバが、事業者からの開示の要求を受信すると、重要度を判断し、公開鍵の数を決める。公開鍵の数に合せて、ワンタイムパスワードを利用者端末に送る。即ち、個人情報の開示のレベル別に、個人情報の提供者である利用者に、開示して良いかどうかの確認を求める。
例えば、住所や電話番号などの閲覧のレベルに対しては、その個人情報の提供者である利用者の端末に、例えばＳＭＳ（Ｓｈｏｒｔ  Ｍａｉｌ  Ｓｅｒｖｉｃｅ）や電子メールを使用してワンタイムパスワードなどの認証コードを送り、その認証コードをスマートフ
ォンなどで専用アプリ（Ａｐｐｌｉｃａｔｉｏｎ  Ｓｏｆｔｗｅａｒ）の画面で入力することにより、本人確認を行うことができる。更にセキュリティカードと紐づくレベルの高い与信情報の閲覧のレベルに対しては、例えば、当該利用者の指紋認証とクレジットカードの３Ｄセキュア等のセキュリティコードとを、専用アプリの画面で入力することによって本人確認を行うことができる。
【００３８】
（ステップ５）
管理サーバからの開示レベル別に開示して良いかどうかの確認連絡を利用者端末が受けると、利用者は、専用アプリを開いて、ワンタイムパスワードを入力し、開示して良い自らの個人情報を選択可能な画面にて確認し、レベル別の公開鍵を管理サーバに送信する。同時に、その乱数ＩＤを管理サーバに送信する。レベル別の公開鍵とは、例えば、１つの公開鍵は、ワンタイムパスワードを使用する場合があり、２つの公開鍵は、利用者の指紋認証とクレジットカードの３Ｄセキュア等のセキュリティコードとを使用する場合がある。公開鍵によって暗号化するため、公開鍵が１であるより２つである方が、より復号化するのが困難な暗号化となる。
【００３９】
（ステップ６）
管理サーバは、利用者端末から受信したレベル別の公開鍵と、個人情報管理サーバに保存されている乱数ＩＤと、を使用して本人確認を行う様に、個人情報管理サーバに指示する。
【００４０】
（ステップ７）
管理サーバは、管理サーバと個人情報管理サーバが通信する毎に、新しい乱数ＩＤを発行し、個人情報管理サーバは、当該利用者の乱数ＩＤを更新し、保存する。
【００４１】
（ステップ８）
個人情報管理サーバは、管理サーバから受取ったレベル別の公開鍵と、個人情報管理サーバに保存されていた乱数ＩＤと、から本人確認を行う。本人確認がなされた場合には、管理サーバに、本人確認がなされた事を送信する。本人確認ができなかった場合には、管理サーバに、本人確認がなされなかった事を送信する。
【００４２】
（ステップ９）
管理サーバは、利用者端末に、本人確認がなされた事、または本人確認がなされなかった事、を送信する。
【００４３】
（ステップ１０）
利用者は、利用者端末を介して、個人情報の開示要求に対して、開示を許可する範囲を選択し、管理サーバに送信する。
【００４４】
（ステップ１１）
管理サーバは、個人情報管理サーバに、利用者が選択した開示の範囲に限定して、個人情報の開示を許可する。
【００４５】
（ステップ１２）
個人情報管理サーバは、開示が許可された個人情報を管理サーバに送信する。
【００４６】
（ステップ１３）
管理サーバは、開示が許可された個人情報を使用して、データを加工した後、事業者端末に加工後のデータを送信する。
【００４７】
以上により、個人情報の提供者である利用者が利用者端末を通して、個人情報の開示の範囲を指定し、その範囲で個人情報の開示を許可した場合のみ、事業者は事業者端末を通して、開示を許可された範囲の個人情報を使用して、管理サーバが加工した情報を入手することができる。
【００４８】
本発明の情報管理システムは、多数の個人情報を利用して各種のサービスを提供する事業者が、個人情報の提供者からの個人情報の開示の範囲を含めた許可を得ない限り、個人上を入手できない情報管理システムである。且つ、個人情報を保管する個人情報管理サーバは、直接的にはインターネットに接続されていないため、第三者の悪意を持った攻撃を受け難い構成となっている。
【００４９】
そのため、スマートフォンやパソコンを使用したウェブ型の懸賞キャンペーンに好適に適用可能な情報管理システムである。懸賞キャンペーンに応募する際に、申込者の住所や氏名などの個人情報をアップロードしなければならないが、それらの個人情報を、情報管理システムを運営する企業内に設置した個人情報管理サーバに保管するため、情報が漏洩したり、改竄され難い。
【００５０】
また、不動産会社の不動産情報管理システムとしても、好適に使用することができる。例えば、所有する不動産物件を売却したい場合に、不動産である土地や建物の広さや状態、周囲環境、などの不動産関連情報などの他に、不動産の所有者の住所、氏名、電話番号などの個人情報を登録する。
【００５１】
所有者の個人情報は、厳重に管理されている必要があるが、本発明の情報管理システムにおいては、個人情報が保管される個人情報管理サーバが、インターネットに直接的には接続されていないため、情報漏洩や改竄などの被害を受け難い。
【図１】
2020004011.tif 000003
【図２】
2020004011.tif 000004