(57)【要約】【課題】個人情報が誰のものであるのかを特定できないように個人情報を含むデータ連携させることができる。【解決手段】取得部２０は、第１の個人情報及データ及び第２の個人情報データを取得する。第１の暗号化部４０は、第１及び第２の個人情報データの従業員ＮＯに可逆の暗号化処理を施し、第１及び第２の暗号化データを生成する。第２の暗号化部５０は、第１及び第２の暗号化データの従業員ＮＯに更にハッシュ処理を施し、第１及び第２のハッシュデータを生成する。併合部６０は、第１及び第２のハッシュデータを従業員ＮＯに基づいて併合して、解析用データを生成する。【選択図】図２
2010211590.tif 000002
【特許請求の範囲】
【請求項１】
複数の人物のそれぞれに一意的に割り付けられた識別情報と、各人物に関する第１の個人情報とが関連付けられた第１の個人情報データ、及び前記識別情報と各人物に関する第２の個人情報とが関連付けられた第２の個人情報データを取得する取得部と、
前記第１及び第２の個人情報データの識別情報に第１の暗号化処理を施す第１の暗号化部と、
前記第１の暗号化処理が施された第１及び第２の個人情報データの識別情報に更に第２の暗号化処理を施す第２の暗号化部と、
前記第２の暗号化部により識別情報が暗号化された第１及び第２の個人情報データを、当該第１及び第２の個人情報データに含まれる識別情報に基づいて併合して、解析用データを生成する併合部としてコンピュータを機能させ、
前記第１及び第２の暗号化処理は、一方が可逆の暗号化処理であり、他方が非可逆の暗号化処理であることを特徴とするデータ変換プログラム。
【請求項２】
前記非可逆の暗号化処理はハッシュ処理であることを特徴とする請求項１記載のデータ変換プログラム。
【請求項３】
前記第１及び第２の暗号化処理部のうち、非可逆の暗号化処理を行う暗号化処理部は、複数種類のハッシュアルゴリズムのうちいずれか１つのハッシュアルゴリズムをランダムに選択し、選択したハッシュアルゴリズムを用いて、前記非可逆の暗号化処理を行うことを特徴とする請求項２記載のデータ変換プログラム。
【請求項４】
前記第１及び第２の暗号化処理部のうち、前記可逆の暗号化処理を行う暗号化処理部は、前記可逆の暗号化処理に用いられた暗号化キーが書き込まれた暗号化ファイルを作成し、
前記第１又は第２の暗号化処理部のうち、前記非可逆の暗号化処理を行った暗号化処理部は、選択したハッシュアルゴリズムを特定するための情報が書き込まれたハッシュファイルを作成し、
前記暗号化ファイルと前記ハッシュファイルとを保持するファイル保持部としてコンピュータを更に機能させることを特徴とする請求項３記載のデータ変換プログラム。
【請求項５】
前記併合部による処理が終了した後、前記ファイル保持部が保持する暗号化ファイルとハッシュファイルとを削除するファイル削除部としてコンピュータを更に機能させることを特徴とする請求項４記載のデータ変換プログラム。
【請求項６】
前記第１の個人情報データは、第１の組織により管理されるデータであり、
前記第２の個人情報データは、前記第１の組織とは異なる第２の組織により管理されるデータであることを特徴とする請求項１〜５のいずれかに記載のデータ変換プログラム。
【請求項７】
前記第１及び第２の組織は、団体を構成する組織であり、
前記識別情報は、前記団体において各人物に一意的に付与された識別番号であることを特徴とする請求項６記載のデータ変換プログラム。
【請求項８】
複数の人物のそれぞれに一意的に割り付けられた識別情報と、各人物に関する第１の個人情報とが関連付けられた第１の個人情報データ、及び前記識別情報と各人物に関する第２の個人情報とが関連付けられた第２の個人情報データを取得する取得部と、
前記第１及び第２の個人情報データの識別情報に第１の暗号化処理を施す第１の暗号化部と、
前記第１の暗号化処理が施された第１及び第２の個人情報データの識別情報に更に第２の暗号化処理を施す第２の暗号化部と、
前記第２の暗号化部により識別情報が暗号化された第１及び第２の個人情報データを、当該第１及び第２の個人情報データに含まれる識別情報に基づいて併合する併合部とを備え、
前記第１及び第２の暗号化処理は、一方が可逆の暗号化処理であり、他方が非可逆の暗号化処理であることを特徴とするデータ変換装置。
【請求項９】
コンピュータが、複数の人物のそれぞれに一意的に割り付けられた識別情報と、各人物に関する第１の個人情報とが関連付けられた第１の個人情報データ、及び前記識別情報と各人物に関する第２の個人情報とが関連付けられた第２の個人情報データを取得するステップと、
コンピュータが、前記第１及び第２の個人情報データの識別情報に第１の暗号化処理を施すステップと、
コンピュータが、前記第１の暗号化処理が施された第１及び第２の個人情報データの識別情報に更に第２の暗号化処理を施すステップと、
コンピュータが、前記第２の暗号化部により識別情報が暗号化された第１及び第２の個人情報データを、当該第１及び第２の個人情報データに含まれる識別情報に基づいて併合するステップとを備え、
前記第１及び第２の暗号化処理は、一方が可逆の暗号化処理であり、他方が非可逆の暗号化処理であることを特徴とするデータ変換方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、個人情報を保護する技術に関するものである。
【背景技術】
【０００２】
企業内情報には、人事情報、家族情報など従業員の個人情報を含むデータが存在する。また、お客さま情報など、社外の個人情報に関するデータも存在する。これらのデータは社外に提供せずに社内だけで扱う場合でも、関係部署以外には開示してはならない場合が多々ある。
【０００３】
しかし、これら個人情報を含むデータは、他の個人情報を含まない一般情報と関連付けてデータ分析される場合がある。例えば、ＩＴ部門の人物が従業員の健康状態とパソコン利用時間との因果関係を統計分析する時には、個々の従業員の健康状態と個々の従業員のパソコン利用時間とを、共通の従業員ＮＯでデータを関連付けて１つのデータに併合する必要がある。
【０００４】
一般に従業員ＮＯは各部門で共通に使用されるが、従業員の健康状態に関するデータは人事部門により所有され、パソコン利用時間はＩＴ部門により所有されるというように、部門固有のデータはその部門のみによって所有されている場合が多い。
【０００５】
このように、健康状態など個人情報を含むデータを、異なる部門間で連携するときに、その個人情報が誰のものであるのかを他部門（ＩＴ部門）の人に特定されてはならない。例えば、人事部の担当者は、業務上、従業員の健康状態を知ることは当然可能であるが、ＩＴ部門の担当者は、全体的な統計処理さえ出来ればよく、個々の従業員を特定して健康状態を知り得る必要はない。つまり、ＩＴ部門の人には、健康状態データが誰のものであるか全く分からない状態にしなければならない。
【０００６】
ここで、データを連携する技術として下記の３つの従来手法が知られている。
【０００７】
図６は、従来手法１を説明するためのデータの流れを示した図である。従来手法１は、人事データＤ１００の従業員ＮＯと、ＰＣデータＤ２００の従業員ＮＯとを手動で変換する手法である。
【０００８】
人事データＤ１００は、企業に属する従業員の従業員ＮＯと各従業員の健康状態データとが関連付けられたリレーショナルデータベースである。ＰＣデータＤ２００は、各従業員の従業員ＮＯと各従業員のＰＣ利用データとが関連付けられたリレーショナルデータベースである。
【０００９】
ここで、健康状態データとしては、各従業員の健康状態を示すデータが採用され、例えば眼精疲労、肩こり、腰痛等の愁訴や病気を表すデータが挙げられる。また、ＰＣデータとしては、例えば各従業員の年間、月間等のコンピュータの利用時間を示すデータが採用される。
【００１０】
まず、人事担当者は、人事データＤ１００及びＰＣデータＤ２００のそれぞれの従業員ＮＯを予め定められた一定の規則にしたがって手動で変換し、人事データＤ１００´と、ＰＣデータＤ２００´とを作成する（ステップＳ１００）。この場合、６７２３５１の従業員ＮＯが一定の規則にしたがって０１１ｋｍ３に変換されている。なお、一定の規則は、人事担当者のみが知っているものとする。
【００１１】
次に、人事担当者がステップＳ１００で変換した従業員ＮＯに基づいて、人事データＤ１００´及びＰＣデータ２００´を併合し、解析用データＤ３００を生成する（ステップＳ２００）。
【００１２】
ここで、解析用データＤ３００は、ステップＳ１００で変換された従業員ＮＯに、人事データＤ１００に含まれる健康状態データと、ＰＣデータＤ２００に含まれるＰＣ利用データとが関連付けられたリレーショナルデータベースであり、ＩＴ部門で行われる統計処理に使用される。
【００１３】
図７は、従来手法２を説明するためのデータの流れを示した図である。従来手法２は、人事データＤ１００の従業員ＮＯと、ＰＣデータＤ２００の従業員ＮＯとを可逆の暗号化処理により暗号化する手法である。この可逆の暗号化処理は、例えばフリーソフトウェア等の暗号化ソフトが採用され、人事担当者が暗号化キーを入力するとその暗号化キーに従って、データを暗号化する。なお、暗号化されたデータは暗号化に用いた暗号化キーによって復号化することができる。
【００１４】
まず、人事担当者は、暗号化キーを入力し、人事データＤ１００及びＰＣデータＤ２００のそれぞれを暗号化して、人事データＤ１００´及びＰＣデータＤ２００´を生成する（ステップＳ１１０）。この場合、６７２３５１の従業員ＮＯがａｂ１ｋｍ３に暗号化されている。なお、暗号化のアルゴリズム及び暗号化キーは人事担当者のみが知っているものとする。
【００１５】
次に、人事担当者は、ステップＳ１１０で暗号化された従業員ＮＯに基づいて、人事データＤ１００´及びＰＣデータＤ２００´を併合し、解析用データＤ３００を作成する（ステップＳ２１０）。
【００１６】
図８（ａ）は、従来手法３を説明するためのデータの流れを示した図である。図８（ｂ）は、従来手法３の問題点を説明するための図である。従来手法３は、人事データＤ１００及びＰＣデータＤ２００の従業員ＮＯをハッシュ変換する手法である。
【００１７】
まず、人事担当者は、人事データＤ１００及びＰＣデータＤ２００の従業員ＮＯを所定のハッシュアルゴリズムを用いてハッシュ変換し、人事データＤ１００´及びＰＣデータＤ２００´を作成する（ステップＳ１２０）。この場合、６７２３５１の従業員ＮＯが８ａ２ｉ３ｓｇにハッシュ変換されている。なお、ハッシュ変換に用いたハッシュアルゴリズムは人事担当者のみが知っているものとする。
【００１８】
次に、人事担当者はステップＳ１２０で変換した従業員ＮＯに基づいて、人事データＤ１００´及びＰＣデータ２００´を併合し、解析用データＤ３００を生成する（ステップＳ２２０）。
【００１９】
なお、本発明に関連する技術として、以下に示す非特許文献１が知られている。
【先行技術文献】
【非特許文献】
【００２０】
【非特許文献１】「暗号利用技術ハンドブック第２版、平成１２年３月、電子商取引実証推進協議会、セキュリティＷＧ」
【発明の概要】
【発明が解決しようとする課題】
【００２１】
しかしながら、従来手法１では、人事担当者が従業員ＮＯを１つずつ手動で変換するため、従業員数が多い場合、非常に手間がかかるという問題がある。また、変換規則が簡易な場合、容易に従業員ＮＯが特定されてしまうという問題がある。更に、従業員ＮＯが手動で変換されるため、異なる従業員ＮＯが同一の値に変換される虞がある。
【００２２】
また、従来手法２では、暗号化キーや暗号化方式が漏洩すると、容易に従業員ＮＯが特定されてしまうという問題がある。
【００２３】
また、従来手法３では、ハッシュ変換は不可逆の処理であるため、ハッシュ変換された従業員ＮＯから元の従業員ＮＯを特定することは不可能である。しかしながら、ハッシュアルゴリズムの種類は非常に少ないため、全ての従業員ＮＯが記載された従業員ＮＯリストが入手されると、この従業員リストに記載された全従業員ＮＯに対して全種類のハッシュアルゴリズムを適用してハッシュ値を求め、得られたハッシュ値と、解析用データＤ３００とを照らし合わせることで、従業員ＮＯを特定することができる。
【００２４】
具体的には、図８（ｂ）に示すように、まず、ｉ）全従業員の従業員ＮＯが記載された従業員ＮＯリストを入手する。次に、ｉｉ）入手した従業員ＮＯリストの各従業員ＮＯに対して、全種類のハッシュアルゴリズムを適用してハッシュ値を求める。次に、ｉｉｉ）全従業員の従業員ＮＯとハッシュアルゴリズム毎のハッシュ値とが関連付けられた対応表を作成する。
【００２５】
次に、ｉｖ）解析用データＤ３００の従業員ＮＯを対応表に記載された各ハッシュ値と照らし合わせて、解析用データＤ３００の従業員ＮＯを対応表から見つけ出す。図８（ｂ）では、解析用データの従業員ＮＯである８ａ２ｉ３ｓｇが、対応表から見つけ出されている。
【００２６】
次に、ｖ）対応表から見つけ出されたハッシュ値に関連付けられた従業員ＮＯを特定する。これにより、ｖｉ）ハッシュ変換された従業員ＮＯから元の従業員ＮＯを特定することができる。すなわち、この対応表を利用して、ｉｖ）、ｖ）、ｖｉ）の手順で従業員ＮＯを遡及して特定することができる。
【００２７】
本発明の目的は、個人情報が誰のものであるのかを特定できないように個人情報を含むデータ連携させることができる技術を提供することである。
【課題を解決するための手段】
【００２８】
（１）本発明の一局面によるデータ変換プログラムは、複数の人物のそれぞれに一意的に割り付けられた識別情報と、各人物に関する第１の個人情報とが関連付けられた第１の個人情報データ、及び前記識別情報と各人物に関する第２の個人情報とが関連付けられた第２の個人情報データを取得する取得部と、前記第１及び第２の個人情報データの識別情報に第１の暗号化処理を施す第１の暗号化部と、前記第１の暗号化処理が施された第１及び第２の個人情報データの識別情報に更に第２の暗号化処理を施す第２の暗号化部と、前記第２の暗号化部により識別情報が暗号化された第１及び第２の個人情報データを、当該第１及び第２の個人情報データに含まれる識別情報に基づいて併合して、解析用データを生成する併合部としてコンピュータを機能させ、前記第１及び第２の暗号化処理は、一方が可逆の暗号化処理であり、他方が非可逆の暗号化処理であることを特徴とする。
【００２９】
また、本発明の別の一局面によるデータ変換装置は、複数の人物のそれぞれに一意的に割り付けられた識別情報と、各人物に関する第１の個人情報とが関連付けられた第１の個人情報データ、及び前記識別情報と各人物に関する第２の個人情報とが関連付けられた第２の個人情報データを取得する取得部と、前記第１及び第２の個人情報データの識別情報に第１の暗号化処理を施す第１の暗号化部と、前記第１の暗号化処理が施された第１及び第２の個人情報データの識別情報に更に第２の暗号化処理を施す第２の暗号化部と、前記第２の暗号化部により識別情報が暗号化された第１及び第２の個人情報データを、当該第１及び第２の個人情報データに含まれる識別情報に基づいて併合する併合部とを備え、前記第１及び第２の暗号化処理は、一方が可逆の暗号化処理であり、他方が非可逆の暗号化処理であることを特徴とする。
【００３０】
また、本発明の更に別の一局面によるデータ変換方法は、コンピュータが、複数の人物のそれぞれに一意的に割り付けられた識別情報と、各人物に関する第１の個人情報とが関連付けられた第１の個人情報データ、及び前記識別情報と各人物に関する第２の個人情報とが関連付けられた第２の個人情報データを取得するステップと、コンピュータが、前記第１及び第２の個人情報データの識別情報に第１の暗号化処理を施すステップと、コンピュータが、前記第１の暗号化処理が施された第１及び第２の個人情報データの識別情報に更に第２の暗号化処理を施すステップと、コンピュータが、前記第２の暗号化部により識別情報が暗号化された第１及び第２の個人情報データを、当該第１及び第２の個人情報データに含まれる識別情報に基づいて併合するステップとを備え、前記第１及び第２の暗号化処理は、一方が可逆の暗号化処理であり、他方が非可逆の暗号化処理であることを特徴とする。
【００３１】
これらの構成によれば、第１及び第２の個人情報データが併合されて解析用データが生成されているが、この解析用データは、第１及び第２の個人情報データの識別情報に対して、第１及び第２の暗号化処理が順次実行されることで生成されている。ここで、第１及び第２の暗号化処理として、可逆の暗号化処理と非可逆の暗号化処理とのいずれかが採用されている。
【００３２】
よって、可逆の暗号化処理のアルゴリズムと暗号化キーとが第３者に漏洩し、これらアルゴリズムと暗号化キーとを用いて第３者が解析用データの識別情報を復号化したとしても、解析用データの識別情報は可逆及び非可逆の暗号化処理が施されているため、暗号化処理前の元の第１及び第２の個人情報データの識別情報を得ることができない。
【００３３】
また、非可逆の暗号化処理のアルゴリズムと第１及び第２の個人情報データに含まれる識別情報の全てを含む識別情報リストが第３者に漏洩し、第３者が識別情報リストに掲載された全識別情報を、入手したハッシュアルゴリズムを用いてハッシュ変換し、解析用データの識別情報と照らし合わせたとしても、得られたハッシュ値は可逆の暗号化処理に対応する復号化処理が行われていないため、解析用データの識別情報と同一の値を有するものを特定することはできない。したがって、従来手法に比べてより強固に個人情報を保護しながら第１及び第２の個人情報データを連携することができる。
【００３４】
（２）前記非可逆の暗号化処理はハッシュ処理であることが好ましい。
【００３５】
この構成によれば、非可逆の処理としてハッシュ処理が用いられているため、個人情報をより強固に保護しながら、第１及び第２の個人情報データを連携することができる。
【００３６】
（３）前記第１及び第２の暗号化処理部のうち、非可逆の暗号化処理を行う暗号化処理部は、複数種類のハッシュアルゴリズムのうちいずれか１つのハッシュアルゴリズムをランダムに選択し、選択したハッシュアルゴリズムを用いて、前記非可逆の暗号化処理を行うことが好ましい。
【００３７】
この構成によれば、ハッシュアルゴリズムがランダムに選択されるため、解析用データを生成する際に採用したハッシュアルゴリズムの特定がより困難となる。
【００３８】
（４）前記第１及び第２の暗号化処理部のうち、前記可逆の暗号化処理を行う暗号化処理部は、前記可逆の暗号化処理に用いられた暗号化キーが書き込まれた暗号化ファイルを作成し、前記第１又は第２の暗号化処理部のうち、前記非可逆の暗号化処理を行った暗号化処理部は、選択したハッシュアルゴリズムを特定するための情報が書き込まれたハッシュファイルを作成し、前記暗号化ファイルと前記ハッシュファイルとを保持するファイル保持部としてコンピュータを更に機能させることが好ましい。
【００３９】
この構成によれば、暗号化処理に用いられた暗号化キーが書き込まれた暗号化ファイルと、ハッシュアルゴリズムを特定するための情報が書き込まれたハッシュファイルとが作成されるため、第１及び第２の個人情報を連携させたユーザは、これらのファイルを参照することで暗号化キー及び使用したハッシュアルゴリズムを容易に認識することができる。
【００４０】
（５）前記併合部による処理が終了した後、前記ファイル保持部が保持する暗号化ファイルとハッシュファイルとを削除するファイル削除部としてコンピュータを更に機能させることが好ましい。
【００４１】
この構成によれば、併合部による処理が終了され、解析用データが生成されると、暗号化ファイル及びハッシュファイルが削除されるため、解析用データを生成する際に使用された情報の漏洩が防止され、個人情報が誰のものであるかの特定をより困難にすることができる。
【００４２】
（６）前記第１の個人情報データは、第１の組織により管理されるデータであり、
前記第２の個人情報データは、前記第１の組織とは異なる第２の組織により管理されるデータであることが好ましい。
【００４３】
この構成によれば、従来手法に比べてより強固に個人情報を保護しながら、組織間の個人情報データを連携させることができる。
【００４４】
（７）前記第１及び第２の組織は、団体を構成する組織であり、前記識別情報は、前記団体において各人物に一意的に付与された識別番号であることが好ましい。
【００４５】
この構成によれば、例えば会社内で各従業員に付与された従業員番号や、学校内で各生徒に付与された学生番号に第１及び第２の暗号化処理が施されるため、会社や学校の各部門で管理している個人情報データを連携させる場合に、個人情報が誰の情報であるかを特定され難くすることができる。
【発明の効果】
【００４６】
本発明によれば、解析用データに含まれる識別情報は可逆の暗号処理と非可逆の暗号処理が施されたデータであるため、可逆の暗号化処理に用いた暗号化キー、非可逆の暗号化処理に用いられたアルゴリズム等が第３者に漏洩したとしても、第３者は、解析用データの識別情報から元の識別情報を得ることが困難となる。したがって、従来手法に比べてより強固に個人情報を保護しながら第１及び第２の個人情報データを連携することができる。
【図面の簡単な説明】
【００４７】
【図１】本発明の実施の形態によるデータ変換装置のハードウェア構成を示すブロック図である。
【図２】図１に示すデータ変換装置の機能ブロック図を示している。
【図３】本実施の形態によるデータ変換装置におけるデータの流れを示した図である。
【図４】本実施の形態によるデータ変換装置の動作を示すフローチャートである。
【図５】本実施の形態によるデータ変換装置の動作を示すフローチャートである。
【図６】従来手法１を説明するためのデータの流れを示した図である。
【図７】従来手法２を説明するためのデータの流れを示した図である。
【図８】（ａ）は、従来手法３を説明するためのデータの流れを示した図である。（ｂ）は、従来手法３の問題点を説明するための図である。
【発明を実施するための形態】
【００４８】
以下、本発明の実施の形態によるデータ変換装置について説明する。図１は、本発明の実施の形態によるデータ変換装置のハードウェア構成を示すブロック図である。本データ変換装置は、通常のコンピュータ等から構成され、入力装置１、ＲＯＭ（リードオンリメモリ）２、ＣＰＵ（中央演算処理装置）３、ＲＡＭ（ランダムアクセスメモリ）４、外部記憶装置５、表示装置６、及び記録媒体駆動装置７を備える。入力装置１、ＲＯＭ２、ＣＰＵ３、ＲＡＭ４、外部記憶装置５、表示装置６、及び記録媒体駆動装置７は内部のバスに接続され、このバスを介して種々のデータ等が入出され、ＣＰＵ３の制御の下、種々の処理が実行される。
【００４９】
入力装置１は、キーボード、マウス等から構成され、ユーザが種々のデータを入力するために使用される。ＲＯＭ２には、ＢＩＯＳ（Basic Input/Output System）等のシステムプログラムが記憶される。外部記憶装置５は、ハードディスクドライブ等から構成され、所定のＯＳ（Operating System）及びデータ変換プログラムが記憶される。ＣＰＵ３は、外部記憶装置５からＯＳ等を読み出し、各ブロックの動作を制御する。ＲＡＭ４は、ＣＰＵ３の作業領域等として用いられる。
【００５０】
表示装置６は、液晶表示装置等から構成され、ＣＰＵ３の制御の下に種々の画像を表示する。記録媒体駆動装置７は、ＣＤ−ＲＯＭドライブ、フレキシブルディスクドライブ等から構成される。
【００５１】
なお、本データ変換プログラムは、ＣＤ−ＲＯＭ等のコンピュータ読み取り可能な記録媒体８に格納されて市場に流通される。ユーザはこの記録媒体８を記録媒体駆動装置７に読み込ませることで、データ変換プログラムをコンピュータにインストールする。また、データ変換プログラムをインターネット上のサーバに格納し、このサーバからダウンロードすることで、データ変換プログラムをコンピュータにインストールしてもよい。
【００５２】
図２は、図１に示すデータ変換装置の機能ブロック図を示している。本データ変換装置は、操作部１０、取得部２０、抽出部３０、第１の暗号化部４０、第２の暗号化部５０、併合部６０、ファイル削除部７０、データ記憶部１１０、ファイル保持部１２０、及びハッシュ記憶部１３０を備えている。
【００５３】
なお、これらの機能は、ＣＰＵ３がデータ変換プログラムを実行することで実現される。操作部１０は、図１に示す入力装置１により構成され、ユーザから種々の入力を受け付ける。なお、取得部２０〜ファイル削除部７０の機能はＣＰＵ３により実現され、データ記憶部１１０〜ハッシュ記憶部１３０はＲＡＭ４及び外部記憶装置５により実現される。
【００５４】
取得部２０は、第１の個人情報及データ及び第２の個人情報データを取得する。ここで、第１の個人情報データは、複数の人物のそれぞれに一意的に割り付けられた識別情報と、各人物に関する第１の個人情報とが関連付けられたリレーショナルデータベースにより構成されている。
【００５５】
第２の個人情報は、第１の個人情報データに書き込まれた識別情報と同一の識別情報と、各人物に関する第２の個人情報とが関連付けられたリレーショナルデータベースにより構成されている。
【００５６】
本実施の形態では、第１の個人情報データは、第１の組織により管理されるデータであり、第２の個人情報データは、第１の組織とは異なる第２の組織により管理されるデータである。
【００５７】
なお、第１及び第２の組織としては、ある団体を構成する組織が採用される。本実施の形態では、ある団体として会社を採用するが、これに限定されず、学校や、政治団体等の複数の組織を備え、各構成員がいずれかの組織に属するような団体であればどのような団体を採用してもよい。
【００５８】
また、本実施の形態では、第１及び第２の組織として会社を構成する組織が採用され、第１の組織として人事部門が採用され、第２の組織として情報処理部門（ＩＴ部門）が採用される。
【００５９】
また、第１の個人情報としては、会社を構成する各社員の例えば健康に関する情報が採用され、第２の個人情報としては、各社員の例えば、パソコンの利用に関する情報が採用されている。但し、これは一例であり、第１の個人情報として、例えば、年齢、住所、趣味、出身地等の種々の個人情報を採用してもよい。また、第２の個人情報として、パソコンの利用に関する以外の、例えば、通勤時間、残業時間に関する情報、営業成績に関する情報等の種々の個人情報を採用してもよい。
【００６０】
また、識別情報としては、会社の各社員に一意的に付与された従業員ＮＯが採用されている。
【００６１】
そして、本実施の形態では、人事部門の担当者が、データ変換装置に第１の個人情報データと第２の個人情報データとから解析用データを生成させ、ＩＴ部門の担当者に渡す。ＩＴ部門の担当者は、解析用データを用いて統計処理を行う。
【００６２】
なお、取得部２０は、データ記憶部１１０に予め記憶された第１及び第２の個人情報データをデータ記憶部１１０から読み出すことで、第１及び第２の個人情報データを取得してもよいし、記録媒体８に予め記憶された第１及び第２の個人情報を記録媒体８から読み出すことで、第１及び第２の個人情報データを取得してもよいし、ネットワークを介して接続された他のコンピュータから送信された第１及び第２の個人情報データを受信することで、第１及び第２の個人情報データを取得してもよい。
【００６３】
抽出部３０は、第１の暗号化処理の前処理を実行するものであり、操作部１０を用いて人事担当者により入力された抽出条件にしたがって、第１及び第２の個人情報データのそれぞれから抽出条件を満たすデータを抽出する。ここで、抽出部３０は、例えばＳＱＬに従ってデータを抽出すればよい。
【００６４】
図３は、本実施の形態によるデータ変換装置におけるデータの流れを示した図である。図３に示す第１の個人情報データＤ１は、抽出部３０により抽出処理が行われたデータを示し、従業員ＮＯのフィールド及び第１の個人情報としての健康状態データのフィールド含むレコードが１個又は複数個集まって構成されていることが分かる。
【００６５】
また、図３に示す第２の個人情報データＤ２は、抽出部３０により抽出処理が行われたデータを示し、従業員ＮＯのフィールド及び第２の個人情報としてのＰＣ利用データとを含むレコードが１個又は複数個集まって構成されていることが分かる。
【００６６】
なお、図３では、第１及び第２の個人情報として、１種類のデータしか示されていないが、これは一例であり、第１及び第２の個人情報として他の種類のデータを含ませても良い。
【００６７】
図２に戻り、第１の暗号化部４０は、第１及び第２の個人情報データの従業員ＮＯに第１の暗号化処理を施し、第１及び第２の暗号化データを生成する。ここで、第１の暗号化処理として、暗号化キーを用いてデータを暗号化し、暗号化されたデータを暗号化キーを用いて復号化することができる可逆の暗号化処理を採用することができる。本実施の形態では、第１の暗号化部４０は、例えばＥＤ等の暗号化ソフトに用いられる暗号化処理と同一の手法を用いて、可逆の暗号化処理を実行すればよい。また、第１の暗号化部４０は、例えば、人事担当者に操作部１０を用いて暗号化キーを入力させることで暗号化キーを取得すればよい。
【００６８】
また、第１の暗号化部４０は、第１の暗号化処理に用いられた暗号化キーが書き込まれた暗号化ファイルを作成し、ファイル保持部１２０に記憶させる。また、第１の暗号化部４０は、第１及び第２の暗号化データをファイル保持部１２０に記憶させる。
【００６９】
この第１の暗号化処理により、図３に示す第１の個人情報データＤ１は従業員ＮＯが暗号化されて第１の暗号化データＤ１１とされ、第２の個人情報データＤ２は従業員ＮＯが暗号化されて第２の暗号化データＤ２１とされる。図３においては、第１及び第２の個人情報データＤ１，Ｄ２の従業員ＮＯである「６７２３５１」が「ａｂ１ｋｍ３」に暗号化されていることが分かる。
【００７０】
図２に戻り、第２の暗号化部５０は、第１及び第２の暗号化データの従業員ＮＯに更に第２の暗号化処理を施し、第１及び第２のハッシュデータを生成する。ここで、第２の暗号化処理としては、非可逆の暗号化処理を採用することができ、本実施の形態では、例えばハッシュ処理を採用する。
【００７１】
ここで、第２の暗号化部５０は、ハッシュ記憶部１３０に予め記憶された複数種類のハッシュアルゴリズムの中からいずれか１つのハッシュアルゴリズムをランダムに選択し、選択したハッシュアルゴリズムを用いて第２の暗号化処理を行うことが好ましい。これにより、使用したハッシュアルゴリズムの特定がより困難になる。
【００７２】
なお、ハッシュ記憶部１３０には、例えば、ＭＤ２、ＭＤ４、ＭＤ５、及びＳＨＡ−１等のハッシュアルゴリズムを予め記憶させておき、第２の暗号化部５０はこれらのハッシュアルゴリズムの中からいずれか１つのハッシュアルゴリズムを選択すればよい。
【００７３】
また、第２の暗号化部５０は、選択したハッシュアルゴリズムの種類を特定するための情報が書き込まれたハッシュファイルを作成する。また、第２の暗号化部５０は、生成した第１及び第２のハッシュデータ、並びにハッシュファイルをファイル保持部１２０に記憶させる。
【００７４】
この第２の暗号化処理により、図３に示す第１の暗号化データＤ１１は従業員ＮＯがハッシュ変換されて第１のハッシュデータＤ１２とされ、第２の暗号化データＤ２１は従業員ＮＯがハッシュ変換されて第２のハッシュデータＤ２２とされる。図３においては、第１及び第２の暗号化データＤ１１，Ｄ２１の従業員ＮＯである「ａｂｋｍ３」が「ｓｓ０９１２」にハッシュ変換されていることが分かる。
【００７５】
図２に戻り、併合部６０は、第１及び第２のハッシュデータを従業員ＮＯに基づいて併合して、解析用データを生成する。ここで、併合部６０は、図３に示すように、第１のハッシュデータＤ１２と、第２のハッシュデータＤ２２との従業員ＮＯが同じレコードを１つのレコードに併合（マージ）することで、解析用データＤ３を生成する。
【００７６】
ファイル削除部７０は、併合部６０により解析用データが生成されると、ファイル保持部１２０が保持する第１及び第２の暗号化データと、第１及び第２のハッシュデータと、暗号化ファイルと、ハッシュファイルとを削除する。
【００７７】
データ記憶部１１０は、第１及び第２の個人情報データを記憶すると共に、併合部６０により生成された解析用データを記憶する。
【００７８】
ファイル保持部１２０は、暗号化ファイルと、ハッシュファイルとを記憶する。また、ファイル保持部１２０は、第１及び第２の暗号化データＤ１１，Ｄ２１と、第１及び第２のハッシュデータＤ１２，Ｄ２２とを記憶する。ハッシュ記憶部１３０は、複数種類のハッシュアルゴリズムを予め記憶している。
【００７９】
次に、図２に示すデータ変換装置の動作について説明する。図４及び図５は、本実施の形態によるデータ変換装置の動作を示すフローチャートである。
【００８０】
まず、抽出部３０は、取得部２０により取得された第１及び第２の個人情報データＤ１，Ｄ２に対して、人事担当者により入力された抽出条件に従った抽出処理を施す（ステップＳ１）。ここで、抽出条件としては、例えば特定の組織に属する従業員の個人情報を抽出する、或いは従業員ＮＯが偶数の従業員の個人情報を抽出するというようなものが採用される。
【００８１】
次に、第２の暗号化部５０は、ハッシュ記憶部１３０に記憶されたハッシュアルゴリズムの中からいずれか１つのハッシュアルゴリズムをランダムに選択する（ステップＳ２）。
【００８２】
次に、第１の暗号化部４０は、操作部１０を用いて人事担当者により入力された暗号化キーを取得し、取得した暗号化キーが書き込まれた暗号化ファイルを作成する（ステップＳ３）。次に、第２の暗号化部５０は、ステップＳ２で選択したハッシュアルゴリズムの種類が書き込まれたハッシュファイルを作成する（ステップＳ３）。ここで、作成された暗号化ファイル及びハッシュファイルはファイル保持部１２０に記憶される。
【００８３】
次に、第１の暗号化部４０は、暗号化ファイルに書き込まれた暗号化キーを用いて、抽出処理が施された第１及び第２の個人情報データＤ１，Ｄ２のそれぞれの従業員ＮＯに対して可逆の暗号化処理を施し、第１及び第２の暗号化データＤ１１，Ｄ２１を生成する（ステップＳ４）。
【００８４】
次に、第２の暗号化部５０は、ハッシュファイルに書き込まれたハッシュアルゴリズムを用いて、第１及び第２の暗号化データＤ１１，Ｄ１２の従業員ＮＯのそれぞれに対してハッシュ処理を実行し、第１及び第２のハッシュデータＤ１２，Ｄ２２を生成する。
【００８５】
次に、併合部６０は、第１及び第２のハッシュデータＤ１２，Ｄ２２を、従業員ＮＯにしたがって併合し、解析用データＤ３を生成し（ステップＳ６）、データ記憶部１１０に保存する。
【００８６】
そして、この解析用データＤ３は、例えばＩＴ部門に渡され、ＩＴ部門の担当者が、解析用データＤ３を用いて、種々のデータ分析を行う。この場合、ＩＴ部門の担当者は、例えば、会社全体又は部門ごとのＰＣの利用時間の平均値や、残業時間等のデータ分析を行う。
【００８７】
次に、ファイル削除部７０は、ファイル保持部１２０に保持されている第１及び第２の暗号化データＤ１１，Ｄ１２、ハッシュデータＤ２１，Ｄ２２、暗号化ファイル、及び設定ファイルを削除する（ステップＳ７）。
【００８８】
このように、本実施の形態によるデータ変換装置によれば、解析用データは、第１及び第２の個人情報データの従業員ＮＯに対して、第１及び第２の暗号化処理が順次実行されることで生成されている。ここで、第１の暗号化処理として可逆の暗号化処理が採用され、第２の暗号化処理として、非可逆の暗号化処理であるハッシュ処理が採用されている。
【００８９】
よって、可逆の暗号化処理のアルゴリズムと暗号化キーとが第３者に漏洩し、これらアルゴリズムと暗号化キーとを用いて第３者が解析用データの従業員ＮＯを復号化したとしても、解析用データの従業員ＮＯは可逆の暗号化処理及びハッシュ処理が順次施されているため、暗号化処理前の元の第１及び第２の個人情報データの従業員ＮＯを得ることができない。
【００９０】
また、ハッシュアルゴリズムと第１及び第２の個人情報データに含まれる従業員ＮＯの全てを含む従業員ＮＯリストが第３者に漏洩し、第３者が従業員ＮＯリストに掲載された全従業員ＮＯを、入手したハッシュアルゴリズムを用いてハッシュ変換し、解析用データの従業員ＮＯと照らし合わせたとしても、得られたハッシュ値は可逆の暗号化処理に対応する復号化処理が行われていないため、解析用データの従業員ＮＯと同一の値を有するものを得ることはできない。したがって、従来手法に比べてより強固に個人情報を保護すると同時に第１及び第２の個人情報データを連携することができる。
【００９１】
また、ハッシュアルゴリズムがランダムに選択されるため、解析用データを生成する際に採用したハッシュアルゴリズムの特定がより困難となる。
【００９２】
なお、上記説明では、暗号化キーは人事担当者が入力するものとしたが、これに限定されず、第１の暗号化部４０が自動的に暗号化キーを生成してもよい。この場合、第１の暗号化部４０は、例えば所定桁の数字及び記号列をランダムに決定することで、暗号化キーを生成すればよい。
【００９３】
また、上記説明では、第１の暗号化部４０が可逆の暗号化処理を施し、第２の暗号化部５０がハッシュ処理を実行するとしたが、これに限定されず、第１の暗号化部４０がハッシュ処理を実行し、第２の暗号化部５０が可逆の暗号化処理を行うというように、可逆の暗号化処理とハッシュ処理との順序を入れ換えても良い。
【００９４】
更に、上記説明では、併合部６０は、第２の暗号化部５０により暗号化された第１及び第２のハッシュデータを併合しているが、これに限定されず、抽出部３０により抽出処理が行われる前の第１及び第２の個人情報データを併合する、或いは、第１の暗号化部４０により第１の暗号化処理が行われる前の第１及び第２の個人情報データを併合してもよい。
【符号の説明】
【００９５】
１０  操作部
２０  取得部
３０  抽出部
４０  第１の暗号化部
５０  第２の暗号化部
６０  併合部
７０  ファイル削除部
１１０  データ記憶部
１２０  ファイル保持部
１３０  ハッシュ記憶部
【図１】
2010211590.tif 000003
【図２】
2010211590.tif 000004
【図３】
2010211590.tif 000005
【図４】
2010211590.tif 000006
【図５】
2010211590.tif 000007
【図６】
2010211590.tif 000008
【図７】
2010211590.tif 000009
【図８】
2010211590.tif 000010