(57)【要約】【課題】誰がどの組織に所属しているかを示す情報を記憶する記憶部に対して不正アクセスがあった場合でも、個人や個人の所属情報が漏洩するリスクを低減するとともに、不正な情報連携要求を検知し、不正な情報の連携を防止する。【解決手段】不正情報検知装置は、個人特定情報と当該個人の所属組織の特定情報とを組み合わせたデータのハッシュ値を記憶する記憶部と、ネットワークを介して、第１の個人の特定情報と情報連携要求元組織の特定情報を含む情報連携要求を受信し、前記第１の個人の特定情報と前記情報連携要求元組織の特定情報とを組み合わせた第１のデータを生成し、前記第１のデータから第１のハッシュ値を生成し、前記第１のハッシュ値に基づき前記記憶部を検索し、前記第１のハッシュ値が前記記憶部に無い場合に、前記情報連携要求が不正な情報連携要求である旨を出力する演算処理部を具備する。【選択図】  図７
2014235623.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークと接続された不正情報検知装置における不正情報検知方法であって、
個人特定情報と当該個人の所属組織の特定情報とを組み合わせたデータのハッシュ値を記憶する第１の記憶部を具備し、
前記ネットワークを介して、第１の個人の特定情報と情報連携要求元組織の特定情報を含む情報連携要求を受信し、
前記第１の個人の特定情報と前記情報連携要求元組織の特定情報とを組み合わせた第１のデータを生成し、
前記第１のデータから第１のハッシュ値を生成し、
前記第１のハッシュ値に基づき前記第１の記憶部を検索し、
前記第１のハッシュ値が前記第１の記憶部に無い場合に、前記情報連携要求が不正な情報連携要求である旨を出力する、
ことを特徴とする不正情報検知方法。
【請求項２】
前記ネットワークを介して、第１の個人の特定情報と前記第１の個人の異動先組織の特定情報と前記第１の個人の異動元組織の特定情報と情報連携要求の理由を含む情報連携要求を受信し、
前記情報連携要求の理由が前記第１の記憶部の更新対象であることを示す理由の場合に、前記第１の個人の特定情報と前記第１の個人の異動先組織の特定情報とを組み合わせた第２のデータを生成し、
前記第２のデータから第２のハッシュ値を生成し、これを前記第１の記憶部に登録し、  前記第１の個人の特定情報と前記第１の個人の異動元組織の特定情報とを組み合わせた第３のデータを生成し、
前記第３のデータから第３のハッシュ値を生成し、これを前記第１の記憶部から削除する、
ことを特徴とする請求項１に記載の不正情報検知方法。
【請求項３】
前記情報連携要求は、さらに情報連携要求の理由を示す情報を含み、前記第１の記憶部は、さらに個人が異動したことを示す情報と前記個人の異動日時を対応付けて記憶し、
前記不正情報検知装置は、さらに、前記個人が所属する組織グループと前記個人の所属組織の特定情報を対応付けて記憶する第２の記憶部と、前記組織グループおよび前記情報連携要求の理由毎の情報連携要求可能期間を記憶する第３の記憶部を具備し、
前記第１のハッシュ値に基づき前記第１の記憶部を検索し、前記第１のハッシュ値が前記第１記憶部にあり、かつ該当レコードに前記第１の個人が異動したことを示す情報がある場合に、前記情報連携要求元組織の特定情報と前記第２の記憶部から前記第１の個人の組織グループを特定し、
前記第３の記憶部から、前記第１の個人の組織グループおよび前記情報連携要求に含まれる前記情報連携要求の理由と対応付いた情報連携要求可能期間を取得し、
前記情報連携要求を受信した日時が、取得した前記情報連携要求可能期間と前記第１の記憶部から取得した前記第１の個人の異動日時とを加算した値より大きい場合に、前記情報連携要求が不正な情報連携要求である旨を出力する、
ことを特徴とする請求項１に記載の不正情報検知方法。
【請求項４】
前記ネットワークを介して、第１の個人の特定情報と前記第１の個人の異動先組織の特定情報と前記第１の個人の異動元組織の特定情報と前記情報連携要求の理由を含む前記情報連携要求を受信し、
前記情報連携要求の理由が前記第１の記憶部の更新対象であることを示す理由の場合に、前記第１の個人の特定情報と前記第１の個人の異動先組織の特定情報とを組み合わせた第２のデータを生成し、
前記第２のデータから第２のハッシュ値を生成し、これを前記第１の記憶部に登録し、  前記第１の個人の特定情報と前記第１の個人の異動元組織の特定情報とを組み合わせた第３のデータを生成し、
前記第３のデータから第３のハッシュ値を生成し、
前記第３のハッシュ値に基づき前記第１の記憶部を検索し、該当レコードに前記第１の個人が異動したことを示す情報と前記第１の個人の異動日時を登録する、
ことを特徴とする請求項３に記載の不正情報検知方法。
【請求項５】
前記不正情報検知装置は、さらに、前記個人が所属する組織グループと該個人の所属組織の特定情報を対応付けて記憶する第２の記憶部を具備し、
前記第１の記憶部は、さらに当該個人のハッシュ値を記憶し、また該第１の記憶部は前記組織グループ毎に前記不正情報検知装置に具備し、
前記ネットワークを介して、前記第１の個人の特定情報と前記情報連携要求元組織の特定情報を含む前記情報連携要求を受信し、
受信した前記第１の個人の特定情報から第２のハッシュ値を生成し、
受信した前記要求元組織の特定情報と前記第２の記憶部から前記第１の個人の組織グループを特定し、
前記第２のハッシュ値に基づき、特定した前記組織グループに対応した前記第１の記憶部を検索し、
前記第２のハッシュ値が２個以上ある場合に、前記情報連携要求が不正な情報連携要求である旨を出力する、
ことを特徴とする請求項１に記載の不正情報検知方法。
【請求項６】
ネットワークと接続された不正情報検知装置において、
個人特定情報と当該個人の所属組織の特定情報とを組み合わせたデータのハッシュ値を記憶する第１の記憶部と、演算処理部を具備し、
前記演算処理部は、
前記ネットワークを介して、第１の個人の特定情報と情報連携要求元組織の特定情報を含む情報連携要求を受信し、
前記第１の個人の特定情報と前記情報連携要求元組織の特定情報とを組み合わせた第１のデータを生成し、
前記第１のデータから第１のハッシュ値を生成し、
前記第１のハッシュ値に基づき前記第１の記憶部を検索し、
前記第１のハッシュ値が前記第１の記憶部に無い場合に、前記情報連携要求が不正な情報連携要求である旨を出力する、
ことを特徴とする不正情報検知装置。
【請求項７】
前記演算処理部は、
前記ネットワークを介して、第１の個人の特定情報と前記第１の個人の異動先組織の特定情報と前記第１の個人の異動元組織の特定情報と情報連携要求の理由を含む情報連携要求を受信し、
前記情報連携要求の理由が前記第１の記憶部の更新対象であることを示す理由の場合に、前記第１の個人の特定情報と前記第１の個人の異動先組織の特定情報とを組み合わせた第２のデータを生成し、
前記第２のデータから第２のハッシュ値を生成し、これを前記第１の記憶部に登録し、  前記第１の個人の特定情報と前記第１の個人の異動元組織の特定情報とを組み合わせた第３のデータを生成し、
前記第３のデータから第３のハッシュ値を生成し、これを前記第１の記憶部から削除する、
ことを特徴とする請求項６に記載の不正情報検知装置。
【請求項８】
前記情報連携要求は、さらに情報連携要求の理由を示す情報を含み、前記第１の記憶部は、さらに個人が異動したことを示す情報と前記個人の異動日時を対応付けて記憶し、
前記不正情報検知装置は、さらに、前記個人が所属する組織グループと前記個人の所属組織の特定情報を対応付けて記憶する第２の記憶部と、前記組織グループおよび前記情報連携要求の理由毎の情報連携要求可能期間を記憶する第３の記憶部を具備し、
前記演算処理部は、
前記第１のハッシュ値に基づき前記第１の記憶部を検索し、前記第１のハッシュ値が前記第１記憶部にあり、かつ該当レコードに前記第１の個人が異動したことを示す情報がある場合に、前記情報連携要求元組織の特定情報と前記第２の記憶部から前記第１の個人の組織グループを特定し、
前記第３の記憶部から、前記第１の個人の組織グループおよび前記情報連携要求に含まれる前記情報連携要求の理由と対応付いた情報連携要求可能期間を取得し、
前記情報連携要求を受信した日時が、取得した前記情報連携要求可能期間と前記第１の記憶部から取得した前記第１の個人の異動日時とを加算した値より大きい場合に、前記情報連携要求が不正な情報連携要求である旨を出力する、
ことを特徴とする請求項６に記載の不正情報検知装置。
【請求項９】
前記演算処理部は、
前記ネットワークを介して、第１の個人の特定情報と前記第１の個人の異動先組織の特定情報と前記第１の個人の異動元組織の特定情報と前記情報連携要求の理由を含む前記情報連携要求を受信し、
前記情報連携要求の理由が前記第１の記憶部の更新対象であることを示す理由の場合に、前記第１の個人の特定情報と前記第１の個人の異動先組織の特定情報とを組み合わせた第２のデータを生成し、
前記第２のデータから第２のハッシュ値を生成し、これを前記第１の記憶部に登録し、  前記第１の個人の特定情報と前記第１の個人の異動元組織の特定情報とを組み合わせた第３のデータを生成し、
前記第３のデータから第３のハッシュ値を生成し、
前記第３のハッシュ値に基づき前記第１の記憶部を検索し、該当レコードに前記第１の個人が異動したことを示す情報と前記第１の個人の異動日時を登録する、
ことを特徴とする請求項８に記載の不正情報検知装置。
【請求項１０】
前記不正情報検知装置は、さらに、前記個人が所属する組織グループと該個人の所属組織の特定情報を対応付けて記憶する第２の記憶部を具備し、
前記第１の記憶部は、さらに当該個人のハッシュ値を記憶し、また該第１の記憶部は前記組織グループ毎に前記不正情報検知装置に具備し、
前記演算処理部は、
前記ネットワークを介して、前記第１の個人の特定情報と前記情報連携要求元組織の特定情報を含む前記情報連携要求を受信し、
受信した前記第１の個人の特定情報から第２のハッシュ値を生成し、
受信した前記要求元組織の特定情報と前記第２の記憶部から前記第１の個人の組織グループを特定し、
前記第２のハッシュ値に基づき、特定した前記組織グループに対応した前記第１の記憶部を検索し、前記第２のハッシュ値が２個以上ある場合に、前記情報連携要求が不正な情報連携要求である旨を出力する、
ことを特徴とする請求項６に記載の不正情報検知装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、自治体や行政機関、民間企業等の複数の組織間で、個人に関する情報の要求に応じて個人に関する情報を提供する情報システムに関する。
【背景技術】
【０００２】
政府では、行政事務の効率化や国民利便性の向上を図る事を目的に、自治体や行政機関、民間企業等の複数の組織間で、国民に関する情報（個人に関する情報）の要求（以下、「情報連携要求」という）に応じて個人に関する情報の提供を可能にする情報システムを構築する事を検討している。
【０００３】
このような情報システムが実現されると、組織間で個人情報の送受信（連携）が可能になり、業務の効率化、国民利便性の向上が図られる一方、組織間で個人情報が不正に連携され、個人情報が盗み見られる、漏洩するといった事が懸念されているため、不正な情報連携要求を検知することで、不正な情報の連携を防止する技術が望まれている。
【０００４】
情報システムにおいて考えられる不正な情報としては、所属外の組織からの情報連携要求がある。例えば、ＡさんがＢ市に居住している場合、Ｂ市は業務を行うためにＡさんに関する情報を必要とするが、Ｂ市以外の市区町村（例えばＣ市）は業務を行うためにＡさんに関する情報を必要としない。すなわち、Ｂ市に所属しているＡさんに関する情報を、Ａさんが所属していない組織（例えばＣ市）が要求することは不正な情報連携要求である。この時、考慮すべき事として、引っ越しや転職により、ある人の所属組織が変更されることがある。例えば、前例において、ＡさんはＢ市に住んでいたが、引っ越しを行いＣ市に異動することが考えられ、引っ越したのちはＣ市からの情報連携要求は正当なものとして処理し、Ｂ市からの情報連携要求は不正な情報連携要求として処理する必要がある。
【０００５】
関連技術として、例えば、送信元、送信先、および送信内容を記載した通信予約テーブルを用いて不正な通信を検知する技術がある（特許文献１参照）。この通信予約テーブルに相当するものとして、誰がどの組織に所属しているかの情報を記憶した所属テーブルを事前に作成しておくことにより、情報連携要求を受信した時に、上記所属テーブルを参照し、対象の個人が情報連携要求を行った組織に所属しているか否かを確認することで、不正な情報連携要求を検知できる。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２０１１−１１８６０８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
しかしながら、上記所属テーブルに記載される所属情報には、個人が居住している市区町村や、勤務先などが含まれるため、万が一、所属テーブルに対して不正アクセスがあった場合、個人や個人の所属情報が漏洩する可能性が高くリスクが大きい。
【０００８】
本発明は、このような事情に鑑みてなされたものであり、複数の組織間で個人に関する情報を送受信（連携）する情報システムにおいて、誰がどの組織に所属しているかを示す情報を記憶する記憶部に対して不正アクセスがあった場合でも、個人や個人の所属情報が漏洩するリスクを低減するとともに、不正な情報連携要求を検知し、不正な情報の連携を防止する不正情報検知方法、および、これを実施する不正情報検知装置を提供することを目的とする。
【課題を解決するための手段】
【０００９】
上記課題を解決するための代表的な一例は、次の通りである。すなわち、ネットワークと接続された不正情報検知装置が、個人特定情報と当該個人の所属組織の特定情報とを組み合わせたデータのハッシュ値を記憶する記憶部を具備し、前記ネットワークを介して、第１の個人の特定情報と情報連携要求元組織の特定情報を含む情報連携要求を受信し、前記第１の個人の特定情報と前記情報連携要求元組織の特定情報とを組み合わせた第１のデータを生成し、前記第１のデータから第１のハッシュ値を生成し、前記第１のハッシュ値に基づき前記記憶部を検索し、前記第１のハッシュ値が前記記憶部に無い場合に、前記情報連携要求が不正な情報連携要求である旨を出力する、ことを特徴とする。
【発明の効果】
【００１０】
複数の組織間で個人に関する情報を送受信（連携）する情報システムにおいて、誰がどの組織に所属しているかを示す情報を記憶する記憶部に対して不正アクセスがあった場合でも、個人や個人の所属情報が漏洩するリスクを低減するとともに、不正な情報連携要求を検知し、不正な情報の連携を防止できる。
【図面の簡単な説明】
【００１１】
【図１】本発明の第１の実施形態に係る情報システム１の構成の一例を示すブロック図である。
【図２】本発明の第１の実施形態に係る不正情報検知装置１０２の機能の概略構成の一例を示すブロック図である。
【図３】本発明の第１の実施形態に係る不正情報検知装置１０２、情報中継装置１０１、情報連携装置１０５のハードウェア構成の一例を示すブロック図である。
【図４】本発明の第１の実施形態に係る所属ハッシュテーブル２０９の構成の一例を示す図である。
【図５】本発明の第１の実施形態に係る初期付番の記録内容の一例を示す図である。
【図６】本発明の第１の実施形態に係る所属ハッシュテーブル２０９を生成する処理の一例を示すフローチャートである。
【図７】本発明の第１の実施形態に係る不正な情報連携要求を検知する処理の一例を示すフローチャートである。
【図８】本発明の第１の実施形態に係る情報連携要求の構成の一例を示す図である。
【図９】本発明の第１の実施形態に係る所属ハッシュテーブル２０９を更新する処理の一例を示すフローチャートである。
【図１０】本発明の第１の実施形態に係る異動情報を含む情報連携要求の構成の一例を示す図である。
【図１１】本発明の第２の実施形態に係る所属ハッシュテーブル１１００の構成の一例を示す図である。
【図１２（ａ）】本発明の第２の実施形態に係る組織グループと組織コードとの対応関係を管理するグループ管理テーブル１２００の一例を示す図である。
【図１２（ｂ）】本発明の第２の実施形態に係る、ある個人が別の組織に異動した後でも、当該個人の異動前の組織からの情報連携要求が可能な期間を、組織グループと、情報連携の理由毎に管理する有効期間テーブル１２０１の一例を示す図である。
【図１３】本発明の第２の実施形態に係る所属ハッシュテーブル１１００を更新する処理の一例を示すフローチャートである。
【図１４】本発明の第２の実施形態に係る不正な情報連携要求を検知する処理の一例を示すフローチャートである。
【図１５（ａ）】本発明の第３の実施形態に係る市区町村グループの所属ハッシュテーブル１５００の構成の一例を示す図である。
【図１５（ｂ）】本発明の第３の実施形態に係る企業グループの所属ハッシュテーブル１５０１の構成の一例を示す図である。
【図１６】本発明の第３の実施形態に係る不正な情報連携要求を検知する処理の一例を示すフローチャートである。
【発明を実施するための形態】
【００１２】
以下に、本発明の実施形態について、図面を参照して詳細に説明する。
（第１の実施形態）
図１は、本発明の第１の実施形態に係る情報システム１の構成の一例を示す図である。本実施形態に係る情報システム１は、インターネットや広域ＷＡＮ等のネットワーク１０４と、ネットワーク１０４に接続されている、自治体や行政機関、民間企業等における組織内ネットワーク１０３と、から構成される。ネットワーク１０４には、情報連携要求や情報連携要求に応じて情報提供を行う各自治体や行政機関、民間企業等の組織内に設置した情報連携装置１０５1〜１０５N（以下、特に指定のない場合は、「情報連携装置１０５」と記す）が接続されている。また、組織内ネットワーク１０３には、情報連携装置１０５間で送受信される情報の中継する情報中継装置１０１と、情報連携装置１０５間で送受信される情報連携要求が不正な情報連携要求か否かを判断する不正情報検知装置１０２と、が接続されている。
【００１３】
このような構成を有する情報システム１において、例えば、情報連携要求元組織内に設置された情報連携装置１０５1が、情報連携要求を送信すると、この情報連携要求が情報中継装置１０１を介して不正情報検知装置１０２に送信される。不正情報検知装置は、後述する所定の処理を行うことで、不正な情報連携要求を検知する。なお、情報中継装置１０２は、情報連携要求を中継する際に、個人を特定する情報（ＩＤ）の変換等を行う。
【００１４】
図２は、本発明の第１の実施形態に係る不正情報検知装置１０２の機能の概略構成の一例を示すブロック図である。不正情報検知装置１０２は、処理部２０１と、記憶部２０２と、不正な情報連携要求を検知した場合に、情報中継装置１０１を介して受信した情報連携要求が不正な情報連携要求である旨（アラート）等を出力する入出力部２０３と、組織内ネットワーク１０３を介して他装置と通信を行うための通信部２０４と、を有する。
【００１５】
処理部２０１は、情報中継装置１０１を介して受信した情報連携要求と、記憶部２０２に記憶されているデータと、をもとに、受信した情報連携要求が不正な情報連携要求か否かを判断し、不正な情報連携要求の場合にはこの情報連携要求が不正な情報連携要求である旨等を入出力部２０３に出力する不正情報検知部２０６と、記憶部２０２に記憶されているテーブルの生成や更新等を行うテーブル管理部２０７と、不正情報検知装置１０２の各部を統括的に制御する制御部２０８と、を有する。
【００１６】
記憶部２０２には、個人特定情報と、当該個人の所属情報の特定情報とを組み合わせたデータのハッシュ値を記憶する所属ハッシュテーブル２０９が格納されている。
【００１７】
図３は、本発明の第１の実施形態に係る不正情報検知装置１０２、情報中継装置１０１、情報連携装置１０５のハードウェア構成の一例を示すブロック図である。情報中継装置１０１、不正情報検知装置１０２、情報連携装置１０５の各々は、ＣＰＵ３０１と、メモリ３０２と、ハードディスク等の外部記憶装置３０４と、ＣＤ−ＲＯＭ等の可搬性を有する記憶媒体３０８から情報を読み取る読み取り装置３０７と、組織内ネットワーク１０３またはネットワーク１０４を介して他装置と通信を行うための通信装置３０３と、キーボードやマウス等の入力装置３０５と、モニタやプリンタ等の出力装置３０６と、これら各装置の間のデータ送受を行う内部通信線３０９とを備えた、一般的な電子計算機上に構築できる。
【００１８】
また、上記各装置は、ＣＰＵ３０１と記憶装置とを備える一般的な計算機、あるいは一般的な計算機と同等の機能を有するプログラムやハードウェアを用いて実現することができる。
【００１９】
そして、ＣＰＵ３０１が外部記憶装置３０４からメモリ３０２上にロードされた所定のプログラムを実行することにより、上述の各処理部を実現できる。すなわち、通信部２０４は、ＣＰＵ３０１が通信装置３０３を利用することにより、入出力部２０３は、ＣＰＵ３０１が入力装置３０５や、出力装置３０６や、読み取り装置３０７を利用することにより、そして、記憶部２０２は、ＣＰＵ３０１がメモリ３０２や外部記憶装置３０４を利用することにより実現される。また、処理部２０１はＣＰＵ３０１のプロセスとして実現される。
【００２０】
上記所定のプログラムは、予め外部記憶装置３０４に格納されていても良いし、上記電子計算機が利用可能な記憶媒体３０８に格納されており、読み取り装置３０７を介して、必要に応じて読み出され、あるいは、上記電子計算機が利用可能な通信媒体であるネットワークまたはネットワーク上を伝搬する搬送波を利用する通信装置３０３と接続された他の装置から、必要に応じてダウンロードされて、外部記憶装置３０４に導入されるものであってもよい。
【００２１】
図４は、本発明の第１の実施形態に係る所属ハッシュテーブル２０９の構成の一例を示す図である。所属ハッシュテーブル２０９は、記憶部２０２に格納されており、ある個人がどの組織に所属しているかの情報を、ハッシュ化された状態で記憶する。具体的には、所属ハッシュテーブルは、ある個人のＩＤと、当該個人が所属する組織を特定する情報（組織コード）と、を組み合わせたデータに対してハッシュ値を計算した結果を記憶している。
【００２２】
例えば、テーブルに記憶されたひとつのレコード４０１のＨ（ＩＤ1，Ａ）（「Ｈ（Ｘ）」はデータＸのハッシュ値を示す。以下同様）は、ＩＤ1で識別される個人が組織コードＡの組織に所属している情報をハッシュ化して記憶している状態を示している。また、組織コードＡの組織にはＩＤ1で識別される個人以外の個人も所属しており、例えば、レコード４０２のＨ（ＩＤ2，Ａ）はＩＤ2で識別される個人が組織コードＡの組織に所属していることを示す。また、ＩＤ1で識別される個人は組織コードＡの組織以外の組織に所属することも可能であり、例えば、レコード４０３のＨ（ＩＤ1，α）は、組織コードαの組織にも所属していることを示す。
【００２３】
なお、個人のＩＤとは、ある個人を特定するために計算機上で定義された情報であり、不正情報検知装置１０２の内部のみ、または、情報中継装置１０１と不正情報検知装置１０２との間のみで使用され、これらの外部には秘匿される。なお、ＩＤを不正情報検知装置１０２および情報中継装置１０１の外部に秘匿する方法としては、不正情報検知装置１０２または情報中継装置１０１内部に耐タンパ装置を設置し、耐タンパ装置に保存した鍵で暗号化する、または、不正情報検知装置１０２および情報中継装置１０１のみが知る値を付加してハッシュ化する方法等が考えられる。
【００２４】
次に、図５および図６を参照して、所属ハッシュテーブル２０９を生成する処理の一例について説明する。
【００２５】
図５は、システム稼働初期等に、情報中継装置１０１が、各組織に設置された情報連携装置１０５からの付番要求に基づいて、各組織に所属する個人に対してＩＤを付番した記録内容の一例を示す図である。
【００２６】
図５の記録は、情報中継装置１０１から不正情報検知装置１０２の制御部２０８を介して、テーブル管理部２０７に送信され、テーブル管理部２０７にて所属ハッシュテーブル２０９を生成する際に使用される。
【００２７】
図６は、本発明の第１の実施形態に係る所属ハッシュテーブル２０９を生成する処理の一例を示すフローチャートである。ここでは、不正情報検知装置１０３の制御部２０８からの命令を受けたテーブル管理部２０７が行う処理を説明する。なお、図６の処理は不正情報検知装置１０２が、情報中継装置１０１から図５に示す記録を取得したときなど、所定のタイミングで実施される。
【００２８】
先ず、テーブル管理部２０７が、制御部２０８から記録５０１を受け取る事で当該処理を開始する。テーブル管理部２０７は、ある個人のＩＤ1と付番要求者を識別する情報（組織コード）Ａを組み合わせたデータを生成する（ステップ６０１）。このとき、組み合わせる方法は、ＩＤ1のデータの後ろにＡのデータを結合する方法や、ＩＤ1とＡの排他的論理和を計算する方法等が考えられる。次に、テーブル管理部２０７は、ＩＤ1とＡを組み合わせたデータのハッシュ値Ｈ（ＩＤ1，Ａ）を生成し（ステップ６０２）、生成したハッシュ値Ｈ（ＩＤ1，Ａ）を所属ハッシュテーブルに登録し（ステップ６０３）、処理を終了する。
【００２９】
次に、図４、図７および図８を参照して、第１の実施形態に係る不正な情報連携要求を検知する処理の一例について説明する。図７は、本発明の第１の実施形態に係る不正な情報連携要求を検知する処理の一例を示すフローチャートである。図８は、本発明の第１の実施形態に係る情報連携要求の構成の一例を示す図である。図８に示すように、情報連携要求は、情報連携要求元の組織コードと、情報連携要求先の組織コードと、個人のＩＤと、情報連携の対象となる個人情報の種類と、情報連携要求の理由と、情報連携が実行された日時を含む。例示する情報連携要求８０１は、情報連携要求元の組織コードとして「Ａ」、情報連携要求先の組織コードとして「Ｃ」、個人のＩＤとして「ＩＤ1」、個人情報の種類として「年金情報」、情報連携の理由として「生活保護」、情報連携実行日時として「Ｔ１１」を含む。また、例示する情報連携要求８０２は、情報連携要求元の組織コードとして「Ｂ」、情報連携要求先の組織コードとして「Ｃ」、個人のＩＤとして「ＩＤ2」、個人情報の種類として「年金情報」、情報連携の理由として「生活保護」、情報連携実行日時として「Ｔ１２」を含む。
【００３０】
先ず、不正情報検知装置１０２の制御部２０８が、任意の情報連携装置１０５からの情報連携要求８０１を通信部２０４を介して受信し、制御部２０８の命令を受けた不正情報検知部２０６が行う情報処理を説明する。
【００３１】
不正情報検知部２０６は、制御部２０８から情報連携要求８０１を受け取ることで処理を開始する。不正情報検知部２０６は、情報連携要求に含まれる情報連携の理由が、異動に関するものなど所属ハッシュテーブル２０９更新対象でない理由を示す場合、情報連携要求元の組織コードであるＡと個人のＩＤであるＩＤ1を組み合わせたデータを生成し（ステップ７０１）、生成したデータのハッシュ値Ｈ（ＩＤ1，Ａ）を生成する（ステップ７０２）。次に、不正情報検知部２０６は、生成したハッシュ値Ｈ（ＩＤ1，Ａ）に基づき所属ハッシュテーブル２０９を検索し、Ｈ（ＩＤ1，Ａ）が所属ハッシュテーブル２０９に有るか否かを判断する（ステップ７０３）。例示する所属ハッシュテーブル２０９(図４)にはＨ（ＩＤ1，Ａ）が存在するので、不正情報検知部２０６は、情報連携要求８０１を正当な情報連携要求と判断し、処理を終了する。
【００３２】
次に、不正情報検知装置１０２の制御部２０８が、任意の情報連携装置１０５からの情報連携要求８０２を通信部２０４を介して受信し、制御部２０８の命令を受けた不正情報検知部２０６が行う情報処理を説明する。
【００３３】
不正情報検知部２０６は、制御部２０８から情報連携要求８０２を受け取ることで処理を開始する。不正情報検知部２０６は、情報連携要求に含まれる情報連携の理由が、異動に関するものなど所属ハッシュテーブル２０９更新対象でない理由を示す場合、情報連携要求元の組織コードであるＢと個人のＩＤであるＩＤ2を組み合わせたデータを生成し（ステップ７０１）、生成したデータのハッシュ値Ｈ（ＩＤ2，Ｂ）を生成する（ステップ７０２）。次に、不正情報検知部２０６は、生成したハッシュ値Ｈ（ＩＤ2，Ｂ）に基づき所属ハッシュテーブル２０９を検索し、Ｈ（ＩＤ2，Ｂ）が所属ハッシュテーブル２０９に有るか否かを判断する（ステップ７０３）。例示する所属ハッシュテーブル２０９（図４）にはＨ（ＩＤ2，Ｂ）が無いため、不正情報検知部２０６は、情報連携要求８０２を不正な情報連携要求と判断し、出力装置３０６に不正な情報連携要求を検知したことなどを示すアラートを出力する。なお、これ以外の不正な情報連携要求を検知した場合の処理として、外部の装置に不正な情報連携要求を検知したことなどを示すアラートを送信するようにしてもよい。
【００３４】
次に、図９および図１０を用いて、個人が別の組織に異動した場合に所属ハッシュテーブル２０９を更新する処理の一例について説明する。図９は、本発明の第１の実施形態に係る所属ハッシュテーブル２０９を更新する処理の一例を示すフローチャートである。図１０は、本発明の第１の実施形態に係る異動情報を含む情報連携要求１００１の構成の一例を示す図である。ここでは、任意の情報連携装置１０５からの連携要求１００１を通信部２０４を介して受信した不正情報検知装置１０２の制御部２０８、および、制御部２０８の命令を受けたテーブル管理部２０７が行う情報処理を説明する。
【００３５】
制御部２０８は、通信部２０４から情報連携要求１００１を受取る事で処理を開始する。先ず、制御部２０８は、情報連携要求に含まれる情報連携の理由がテーブル更新対象であることを示す理由であるか否かを判断し、テーブル更新対象であるを示す場合、テーブル管理部２０７を呼び出す（ステップ９０１）。テーブル更新対象であることを示す理由として、例えば、「引越し」や「転職」など異動に関するものが考えられる。なお、情報連携の理由と異動かどうかの関係は事前に管理者等からあたらえられるものとする。ここでは、情報連携要求１００１の情報連携の理由は「引越し」であり、これは異動に相当しテーブル更新対象となる。次に、テーブル管理部２０７は、個人のＩＤ1と要求元（当該個人異動先組織）の組織コードのＣを組み合わせたデータを生成し、生成した値のハッシュ値Ｈ（ＩＤ1，Ｃ）を生成し（ステップ９０２）、生成したハッシュ値Ｈ（ＩＤ1，Ｃ）を図４の所属ハッシュテーブル２０９に追登録する（ステップ９０３）。次に、テーブル管理部２０７は、上記ＩＤ1と要求先（当該個人異動元組織）の組織コードＡを組み合わせたデータを生成し、生成した値のハッシュ値Ｈ（ＩＤ1，Ａ）を生成し（ステップ９０４）、生成したハッシュ値Ｈ（ＩＤ1，Ａ）を、所属ハッシュテーブル２０９から削除し（ステップ９０５）更新処理を終了する。なお、ステップ９０１において、情報連携の理由がテーブル更新対象で無い場合には、図7に示す不正情報検知処理が実施される。
【００３６】
以上、本発明の第１の実施形態について説明した。
【００３７】
上記第１の実施形態によれば、事前に、個人のＩＤと、当該個人が所属する組織と、を組み合わせたデータのハッシュ値を所属ハッシュテーブル２０９に記憶しておき、不正情報検知装置１０２が、情報連携要求受信時に、個人のＩＤと、連携元組織コードと、を組み合わせたデータのハッシュ値を生成し、生成したハッシュ値を所属ハッシュテーブル２０９から検索し、一致するハッシュ値が無い場合に、受信した情報連携要求を不正な情報連携要求として検知する。
【００３８】
これにより、所属ハッシュテーブル２０９に対して不正アクセスがあった場合でも、個人の所属が漏洩するリスクを低減するとともに、不正な情報連携要求を検知することで不正な情報の連携を防止できる。
【００３９】
また、「引っ越し」や「転職」などにより個人の所属が変更となった場合に、所属ハッシュテーブル２０９を更新するようにしたので、個人の所属が変更された場合において、引っ越し前の組織からの情報連携要求を不正な情報連携要求として検知できる。
【００４０】
なお、上記第１の実施形態では、情報連携要求が発生する毎に、情報連携要求を情報中継装置１０１を介して不正情報検知装置１０２に送信しているが、情報中継装置１０１に一定期間分の情報連携要求を保持し、その後、一定期間分の情報連携要求をまとめて不正情報検知装置１０２に送信してもよい。
【００４１】
また、不正情報検知部２０６において、１回の「不正な情報連携要求の検知」だけでなく、複数回の「不正な情報連携要求の検知」を考慮し、統計手法等を組み合わせて不正な情報連携要求を検知してもよい。すなわち、１つの情報連携要求を不正な情報連携要求として検知した際にアラートを上げるだけでなく、複数回の情報連携要求を考慮し、不正な情報連携要求である可能性がより高い場合にアラートを上げられるような仕組みとしてもよい。
（第２の実施形態）
図１１〜図１４を参照して、本発明の第２の実施形態について説明する。本発明の第１の実施形態との相違点は、（１）図１の情報システムにおける個人の異動の際に、図４の所属ハッシュテーブル２０９で、個人が異動したことを示すフラグと当該個人の異動日時を併せて管理し、（２）当該個人が所属する組織グループと組織コードとの対応関係を管理し、（３）上記組織グループおよび情報連携の理由毎の情報連携可能期間を管理する点である。この相違点により、ある個人が別の組織に異動した場合でも、情報連携要求を受信した日時が、当該個人の異動前組織グループおよび情報連携要求に含まれる情報連携の理由の組み合わせで決まる情報連携可能期間と当該個人の移動日時とを加算した値より大きい場合に、異動前組織からの当該個人に関する情報の要求を不正な情報連携要求として検知できる。
【００４２】
図１１は、本発明の第２の実施形態に係る所属ハッシュテーブル１１００の構成の一例を示す図ある。本発明の第２の実施形態に係る所属ハッシュテーブル１１００には、個人のＩＤと当該個人が所属する組織の組織コードとを組み合わせたデータのハッシュ値１１０１と、当該個人が当該組織から異動している場合に異動したことを示す異動フラグ１１０２と、当該個人の異動日時１１０３と、がぞれぞれ対応付けて記憶されている。なお、ここでは、異動フラグ１１０２には「異動」が登録されているが、当該個人が異動したことを示す情報であれば、その他の情報であってもよい。また、異動日時１１０３には、例えば、所属ハッシュテーブル１１００に異動フラグ１１０２が登録された日時１１０３が登録される。
【００４３】
図１２（ａ）は、本発明の第２の実施形態に係る組織グループと組織コードとの対応関係を管理するグループ管理テーブル１２００の一例を示す図である。組織グループとは、同じ種類の組織をグループにまとめたものである。例えば、組織コードＡ，Ｂ，Ｃで示される組織がそれぞれＡ市、Ｂ町、Ｃ村の場合、組織コードＡ、Ｂ、Ｃは市区町村グループに属しており、組織コードα、β、γで示される組織がそれぞれα社、β社、γ社の場合、組織コードα、β、γは企業グループに属していることを示す。
【００４４】
図１２（ｂ）は、本発明の第２の実施形態に係る、ある個人が別の組織に異動した後でも、当該個人の異動前の組織からの情報連携要求が可能な期間を、組織グループと、情報連携の理由毎に管理する有効期間テーブル１２０１の一例を示す図である。情報連携の理由には、情報連携要求に含まれるものと同様の理由が記憶されている。例えば、レコード１２０２は、市区町村グループの組織は、ある住民が異動した後に、当該異動した住民を対象に、異動日時を起算日として５年間住民税の情報を要求してもよいことを示す。
【００４５】
なお、図１２（ａ）と図１２（ｂ）に示す各テーブルは、記憶部２０２に記憶されており、図１に示す情報システムの管理者等によって事前に定義され、適宜メンテナンスされる。
【００４６】
図１３は、第２の実施形態に係る所属ハッシュテーブル１１００を更新する処理の一例を示すフローチャートである。なお、図１３のステップ１３０１〜ステップ１３０４の処理は、図９のステップ９０１〜ステップ９０４の処理と同様の処理である。ステップ１３０４の処理後、テーブル管理部２０７は、図１１の所属ハッシュテーブル１１００から、ステップ１３０４で生成した、個人のＩＤ1と当該個人異動前の組織の組織コードＡを組み合わせたデータのハッシュ値Ｈ（ＩＤ1，Ａ）を検索してレコード１１０４を特定し、特定したレコード１１０４の異動フラグ１１０２に「異動」を登録し、その登録時刻を異動日時１１０３に登録する（ステップ１３０５）。
【００４７】
次に、図８、図１１、図１２（ａ）、図１２（ｂ）および図１４を参照して、第２の実施形態に係る不正な情報連携要求を検知する処理の一例について説明する。図１４は、本発明の第２の実施形態に係る不正な情報連携要求を検知する処理の一例を示すフローチャートである。なお、ここでは、情報連携要求として、情報連携要求８０１を例にとり説明する。
【００４８】
不正情報検知部２０６は、制御部２０８から情報連携要求８０１を受け取る事で処理を開始する。先ず、不正情報検知部２０６は、ステップ７０１〜７０３の処理と同様の処理を行って、ハッシュ値Ｈ（ＩＤ1，Ａ）を生成し、生成したハッシュ値Ｈ（ＩＤ1，Ａ）に基づき所属ハッシュテーブル１１００を検索し、ハッシュ値Ｈ（ＩＤ1，Ａ）が所属ハッシュテーブル１１００に有るか否かを判断する（ステップ１４０１〜ステップ１４０３）。ここでは、ハッシュ値Ｈ（ＩＤ1，Ａ）が有る（レコード１１０４）ため、不正情報検知部２０６は、さらにレコード１１０４の異動フラグ１１０２の有無を確認する（ステップ１４０４）。ここでは、異動フラグが有るため、不正情報検知部２０６は、グループ管理テーブル１２００から、要求元組織コードであるＡに対応するグループである市区町村を示す情報を取得する（ステップ１４０５）。次に、不正情報検知部２０６は、市区町村を示す情報と情報連携要求８０１に含まれる情報連携の理由（生活保護）を示す情報に基づき有効期間テーブル１２０１を検索し、該当情報連携可能期間（３年間）を示す情報を取得する（ステップ１４０６）。次に、不正情報検知部２０６は、レコード１１０４の異動日時１１０３に、ステップ１４０６で取得した情報連携可能期間を加算した時刻と、情報連携要求受信日時を比較し（ステップ１４０７）、情報連携要求受信日時の方が大きい場合、受信した情報連携要求は正当な情報連携要求と判断し、情報連携要求受信日時の方が小さい場合、受信した情報連携要求を不正な情報連携要求として出力装置３０６にアラート等を出力し、処理を終了する。
【００４９】
なお、ステップ１４０３で、ハッシュ値Ｈ（ＩＤ1，Ａ）が所属ハッシュテーブル１１００に無い場合、受信した情報連携要求を不正な情報連携要求として出力装置３０６にアラート等を出力する。また、ステップ１４０４において異動フラグが無い場合、受信した情報連携要求は正当な情報連携要求と判断し、処理を終了する。
【００５０】
以上、本発明の第２の実施形態について説明した。
【００５１】
上記第２の実施形態によれば、（１）第１の実施形態で示した所属ハッシュテーブル２０９（図４）で、個人が異動したことを示すフラグと当該個人の異動日時を併せて管理し、（２）当該個人が所属する組織グループと組織コードとの対応関係を管理し、（３）上記組織グループおよび情報連携の理由毎の情報連携可能期間を管理することで、ある個人が別の組織に異動した場合でも、情報連携要求受信日時が、異動日時と、当該個人の異動前組織グループおよび情報連携要求に含まれる情報連携の理由の組み合わせで決まる情報連携可能期間とを加算した値より大きい場合に、異動前組織からの当該個人に関する情報の要求を不正な情報連携要求として検知する。
【００５２】
これにより、ある個人が異動した後も、当該個人異動元の組織は一定期間につき情報連携を行うことができ、一定期間が過ぎた後は、当該個人異動元の組織からの情報連携要求を不正な情報連携要求として検知することで不正な情報の連携を防止できる。
（第３の実施形態）
図１５（ａ）、図１５（ｂ）および図１６を参照して、本発明の第３の実施形態について説明する。第３の実施形態では、組織グループ毎の所属ハッシュテーブルにおいて、個人のＩＤと組織コードを組み合わせたデータのハッシュ値と、個人のＩＤのハッシュ値とを対応付けて管理する点が、第１の実施形態および第２の実施形態で説明した所属ハッシュテーブルの構成との相違点である。この相違点により、ある個人は１つの組織グループ内の複数の組織には所属しないことを根拠に不正な情報連携を防止する。例えば、ある個人の住民票は１つの市区町村に登録されるため、２つの市区町村に２重登録されることはない。つまり、市区町村グループ内に特定個人が所属する組織が複数あることは、どちらか一方が不正であることが示唆される。
【００５３】
図１５（ａ）と図１５（ｂ）は、本発明の第３の実施形態に係る所属ハッシュテーブルの構成の一例を示す図である。図１５（ａ）は、市区町村グループの所属ハッシュテーブル１５００の構成の一例を示し、図１５（ｂ）は、企業グループの所属ハッシュテーブル１５０１の構成の一例を示したものである。本発明の第３の実施形態では、図１２（ａ）に示すような組織グループと組織コードとの対応関係を管理するグループ管理テーブル１２００を不正情報検知装置１０２で管理し、例えば、図６のステップ６０１の前に、情報連携要求に含まれる組織コードとグループ管理テーブル１２００から、個人の組織グループを特定するステップと、当該個人のＩＤのハッシュ値Ｈ（ＩＤ）を生成するステップを加え、ステップ６０３において、組織グループ毎の所属ハッシュテーブル１５００、１５０１にＨ（ＩＤ、組織コード）とＨ（ＩＤ）とを対応付けて登録する。なお、Ｈ（ＩＤ）を生成するタイミングは、図６のステップ６０１の後であっても、ステップ６０２の後であってもよい。
【００５４】
図１６は、本発明の第３の実施形態に係る不正な情報連携要求を検知する処理の一例を示す図である。ここでは、不正情報検知装置１０２の制御部２０８が、任意の情報連携装置１０５からの情報連携要求８０１を通信部２０４を介して受信し、制御部２０８の命令を受けた不正情報検知部２０６が行う情報処理を説明する。
【００５５】
不正情報検知部２０６は、制御部２０８から情報連携要求８０１を受け取ることで処理を開始する。先ず、個人のＩＤ（ここでは、ＩＤ1）のハッシュ値であるＨ（ＩＤ1）を生成する（ステップ１６０１）。次に、不正情報検知部２０６は、グループ管理テーブル１２００を参照し、要求元組織コードＡの組織が所属する組織グループとして市区町村グループを特定し、ステップ１６０１で生成したハッシュ値Ｈ（ＩＤ1）に基づき、特定した市町村グループの所属ハッシュテーブル１５００を検索する（ステップ１６０２）。検索の結果、ここでは、ハッシュ値Ｈ（ＩＤ1）の個数が１個であるため、不正情報検知部２０６は、情報連携要求８０１をもとに、連携元組織コードＡとＩＤ1を組み合わせたデータを生成し（ステップ１６０３、ステップ１６０４）、生成した値のハッシュ値Ｈ（ＩＤ1，Ａ）を生成する（ステップ１６０５）。次に、不正情報検知部２０６は、生成したハッシュ値Ｈ（ＩＤ1，Ａ）に基づき、ステップ１６０２で特定した市町村グループの所属ハッシュテーブル１５００を検索し、ハッシュ値Ｈ（ＩＤ1，Ａ）が市町村グループの所属ハッシュテーブル１５００に有れば、情報連携要求８０１を正当な情報連携要求として処理を終了する（ステップ１６０６でＹｅｓ）。
【００５６】
なお、ステップ１６０３において、ＩＤのハッシュ値の個数が０個の場合、不正情報検知部２０６は、情報連携要求を不正な情報連携要求として出力装置３０６にアラートを出力し処理を終了する。また、ステップ１６０３において、ＩＤのハッシュ値の個数が２個以上の場合、不正情報検知部２０６は、１つの所属ハッシュテーブル１５００に同じＩＤが２重に登録されることは不正の可能性があるため、当該情報連携要求を不正な情報連携要求として出力装置３０６にアラートを出力し処理を終了する。また、ステップ１６０６において、ステップ１６０５で生成したハッシュ値が市町村グループの所属ハッシュテーブル１５００に無ければ、当該情報連携要求を不正な情報連携要求として出力装置３０６にアラートを出力し処理を終了する（ステップ１６０６でＮｏ）。
【００５７】
以上、本発明の第三の実施形態について説明した。
【００５８】
なお、上記本発明の第３の実施形態では、「情報連携要求の受信」を契機として、個人のＩＤのハッシュ値の２重登録を検知する場合を例にとり説明したが、所属ハッシュテーブル全てのレコードを対象に、ステップ１６０３の処理を行うことで、個人のＩＤの２重登録を検知するようにしてもよい。
【００５９】
以上本発明の第３の実施形態について説明したが、本発明の第３の実施形態では、組織グループ毎の所属ハッシュテーブルにおいて、個人のＩＤと組織コードを組み合わせたデータのハッシュ値と、上記ＩＤのハッシュ値とを対応付けて管理し、情報連携要求受信時に、情報連携要求に含まれる個人のＩＤ、のハッシュ値を生成し、生成したＩＤのハッシュ値が、情報連携要求元組織が属する組織グループの所属ハッシュテーブルに２個以上有った場合に、上記情報連携要求を不正な情報連携要求として検知する。
【００６０】
これにより、複数の組織間で個人に関する情報を送受信する情報システムにおいて所属ハッシュテーブルに対して不正アクセスがあった場合でも、個人に関する情報が漏洩するリスクを低減するとともに、不正な情報連携要求を検知し、不正な情報の連携を防止することができる。
【００６１】
また、上記本発明の第３の実施形態によって、ある組織グループの所属ハッシュテーブルに複数の同じ個人に関する情報が登録されるような不正を検知できる。
【符号の説明】
【００６２】
１０１・・・情報中継装置、１０２・・・不正情報検知装置、１０３・・・組織内ネットワーク、１０４・・・ネットワーク、１０５・・・情報連携装置、２０１・・・処理部、２０２・・・記憶部、２０３・・・入出力部、２０４・・・通信部、２０６・・・不正情報検知部、２０７・・・テーブル管理部、２０８・・・制御部、２０９・・・所属ハッシュテーブル、３０１・・・ＣＰＵ、３０２・・・メモリ、３０３・・・通信装置、３０４・・・外部記憶装置、３０５・・・入力装置、３０６・・・出力装置、３０７・・・読取装置、３０８・・・可搬性を有する記憶媒体、３０９・・・内部通信線。
【図１】
2014235623.tif 000003
【図２】
2014235623.tif 000004
【図３】
2014235623.tif 000005
【図４】
2014235623.tif 000006
【図５】
2014235623.tif 000007
【図６】
2014235623.tif 000008
【図７】
2014235623.tif 000009
【図８】
2014235623.tif 000010
【図９】
2014235623.tif 000011
【図１０】
2014235623.tif 000012
【図１１】
2014235623.tif 000013
【図１２（ａ）】
2014235623.tif 000014
【図１２（ｂ）】
2014235623.tif 000015
【図１３】
2014235623.tif 000016
【図１４】
2014235623.tif 000017
【図１５（ａ）】
2014235623.tif 000018
【図１５（ｂ）】
2014235623.tif 000019
【図１６】
2014235623.tif 000020