(57)【要約】【課題】  外部からの本番システムへのアクセスに対し、漏洩を防止する必要のある個人情報等の情報の漏洩を確実に防止する。【解決手段】  所定のマークアップ言語で記述される照会情報に含まれる所定項目のデータに対しマスク化指示タグを付加した照会情報を生成する照会情報生成手段（２）と、マスク化指示タグが付加された所定項目のデータを、所定の割合でのみ認識可能な不可逆性のマスク化データに変換する変換手段（４）とを備える。【選択図】  図１
2006268378.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークを介して提供される照会情報に含まれる所定項目のデータ閲覧を制限するための情報保護システムであって、
所定のマークアップ言語で記述される前記照会情報に含まれる前記所定項目のデータに対しマスク化指示タグを付加した照会情報を生成する照会情報生成手段と、
前記マスク化指示タグが付加された前記所定項目のデータを、所定の割合でのみ認識可能な不可逆性のマスク化データに変換する変換手段と、を備える
ことを特徴とする情報保護システム。
【請求項２】
前記変換手段は、前記マスク化データとマスク化前のデータとを対応付けるためのマスク化識別タグを前記マスク化データに付加することを特徴とする請求項１に記載の情報保護システム。
【請求項３】
前記マスク化識別タグは、前記照会情報の閲覧ソフトにて表示されず、かつ、前記マスク化識別タグが付加されたデータがネットワークを介して返信される際に該データとともに返信されるように付加されることを特徴とする請求項２に記載の情報保護システム。
【請求項４】
前記変換手段は、利用者側から返信されたデータに前記マスク化識別タグが付加されている場合、該データを、前記マスク化識別タグに対応するマスク化前のデータに置換することを特徴とする請求項３に記載の情報保護システム。
【請求項５】
前記マスク化指示タグは、前記所定の割合を指示する情報を含み、前記変換手段は、前記所定の割合を指示する情報に基づき、対象のデータを変換することを特徴とする請求項１から請求項４のいずれかに記載の情報保護システム。
【請求項６】
前記マスク化指示タグは、マスク化の水準を指示する情報を含み、前記変換手段は、前記マスク化の水準を指示する情報と当該照会情報を閲覧する利用者の権限レベルに基づき、対象のデータを変換することを特徴とする請求項１から請求項４のいずれかに記載の情報保護システム。
【請求項７】
前記照会情報生成手段と、前記変換手段とは別体として構成されることを特徴とする請求項１から請求項６のいずれかに記載の情報保護システム。
【請求項８】
ネットワークを介して提供される照会情報に含まれる所定項目のデータ閲覧を制限するための情報保護装置であって、
前記照会情報に含まれた所定のキーワードに対応する所定項目のデータを、所定の割合でのみ認識可能な不可逆性のマスク化データに変換する変換手段を備えたことを特徴とする情報保護装置。
【請求項９】
前記マスク化データとマスク化前のデータとを対応付けるためのマスク化識別タグを前記マスク化データに付加する手段をさらに備えることを特徴とする請求項８に記載の情報保護装置。
【請求項１０】
前記マスク化識別タグは、前記照会情報の閲覧ソフトにて表示されず、かつ、前記マスク化識別タグが付加されたデータがネットワークを介して返信される際に該データとともに返信されるように付加されることを特徴とする請求項９に記載の情報保護装置。
【請求項１１】
前記変換手段は、利用者側から返信されたデータに前記マスク化識別タグが付加されている場合、該データを、前記マスク化識別タグに対応するマスク化前のデータに置換することを特徴とする請求項１０に記載の情報保護装置。
【請求項１２】
前記変換手段は、当該照会情報を閲覧する利用者の権限レベルに対応する割合でのみ該当項目を認識可能な不可逆性のマスク化データに変換することを特徴とする請求項８から請求項１１のいずれかに記載の情報保護装置。
【請求項１３】
利用者の認証を行う認証装置と、
請求項１から請求項７のいずれかに記載の情報保護システムとが接続され構成されるシステムであって、
前記変換手段は、前記認証装置により認証された特定の利用者に対して前記照会情報生成手段から提供される照会情報を、前記マスク化データを含む照会情報に変換することを特徴とするシステム。
【請求項１４】
利用者の認証を行う認証装置と、
利用者側端末装置からの要求に応じて、該当利用者向けの照会情報を配信するサーバと、
請求項８から請求項１２のいずれかに記載の情報保護装置とが接続され構成されるシステムであって、
前記変換手段は、前記認証装置により認証された特定の利用者に対して前記サーバから提供される照会情報を、前記マスク化データを含む照会情報に変換することを特徴とするシステム。
【請求項１５】
前記認証装置は、該認証装置が認証した特定の利用者から返信されたデータを前記情報保護装置へ与え、前記情報保護装置は、前記特定の利用者から返信されたデータに前記マスク化識別タグが含まれる場合、該マスク化識別タグが付加されたデータを該マスク化識別タグに対応するマスク化前のデータに置換して前記サーバに与えることを特徴とする請求項１４に記載のシステム。
【請求項１６】
コンピュータにインストールすることにより請求項１から請求項７のいずれかに記載の照会情報生成手段を実現するコンピュータ読み取り可能なプログラム。
【請求項１７】
コンピュータにインストールすることにより請求項１から請求項７のいずれかに記載の変換手段を実現するコンピュータ読み取り可能なプログラム。
【請求項１８】
コンピュータにインストールすることにより請求項８から請求項１２のいずれかに記載の情報保護装置を実現するコンピュータ読み取り可能なプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
ＷＷＷを利用するネットワーク環境において、蓄積された個人情報など、漏洩を防止する必要がある情報の保護（漏洩防止）を実現するための技術に関し、特に、個人情報にアクセスするソフトウェア／システムの開発が行われる際などにおいて、本番システムへのアクセスとアクセスされる個人情報の保護を両立させることができる情報保護技術に関する。
【背景技術】
【０００２】
近年、金融・保険業等においても、ＷＷＷ（Ｗｏｒｌｄ  Ｗｉｄｅ  Ｗｅｂ）を利用するＷｅｂ型の代理店向けや顧客向けのネットワークサービスが普及してきている。こうしたサービスを提供するため、サービス提供者は、膨大な個人情報を含むデータをデータベースに蓄積しており、サービス提供者側のシステムと、代理店や顧客側の端末装置間で個人情報を含むデータの送受信が行われている。  
一方、サービスの向上のため新しいサービスが開発されたり、既存サービスの機能強化が行われる。これに伴いこうしたサービスの開発や既存サービスの機能強化のために当該システムやこのシステムに組み込まれるソフトウェアやデータベースの新規開発や改良が行われている。
【０００３】
代理店向けあるいは顧客向けのＷｅｂ型システムにアクセス可能な利用者は、当然に、提供する個人情報に対するアクセス権を所有する代理店あるいは顧客に限定する必要がある。一方で、このＷｅｂ型システムの監視、あるいは当該システムの開発・保守において、運用あるいは開発を担当する外部のベンダーなどが本番システムに対してアクセスせざるを得ない状況が起こり得る。この状況においても、個人情報の漏洩の懸念無く、本番システムにアクセス可能な環境を確保することが望まれる。
【０００４】
一般的なシステムでは、アクセス権を所有する代理店や顧客等の利用者は、例えば、Ｗｅｂサーバ群のフロントで、いわゆるＳＳＯ（シングル・サイン・オン）機能を有するリバースプロキシサーバと呼ばれる認証サーバを介して、アクセス権限に応じたアクセスを行えるようになっている（例えば、特許文献１参照）。
【０００５】
一方、外部のベンダーがシステムを監視あるいは開発・保守する場合には、従来は「守秘義務契約」を基本としており、開発においては可能であれば擬似環境を用意し、テストデータを作成あるいは本番データをマスク化した擬似データを作成して投入するなど、負担の多い作業を行うことによってシステムの検証を行っている。
【０００６】
【特許文献１】特開平１０−２６９１８４号公報
【発明の開示】
【発明が解決しようとする課題】
【０００７】
しかし、擬似環境においてテストデータや擬似データを使用して検証を行う方法では、場合によっては不十分な評価しか行えないことがあった。例えば、本番システムでの実際のレスポンス等を検証することができなかった。  
また、上記のように外部のベンダーに開発・保守を委託し、開発上本番システムにアクセスせざるを得ない場合、この外部ベンダーに守秘義務を課したとしても、個人情報を蓄積するデータベースに任意にアクセスできるようにすると外部の者から個人情報が漏洩する可能性が残り、顧客に対し個人情報の保護について完全な安心感を与えることができない。
【０００８】
本発明は、上記問題に鑑みなされたもので、外部からの本番システムへのアクセスに対し、漏洩を防止する必要のある個人情報等の情報の漏洩を確実に防止することができる情報保護システム、情報保護装置及びそのプログラムを提供することを目的とする。
【課題を解決するための手段】
【０００９】
上記課題を解決するため、請求項１に記載の発明は、ネットワークを介して提供される照会情報に含まれる所定項目のデータ閲覧を制限するための情報保護システムであって、所定のマークアップ言語で記述される前記照会情報に含まれる前記所定項目のデータに対しマスク化指示タグを付加した照会情報を生成する照会情報生成手段と、前記マスク化指示タグが付加された前記所定項目のデータを、所定の割合でのみ認識可能な不可逆性のマスク化データに変換する変換手段と、を備えることを特徴とする。
【００１０】
また、請求項２に記載の発明は、請求項１に記載の情報保護システムにおいて、前記変換手段は、前記マスク化データとマスク化前のデータとを対応付けるためのマスク化識別タグを前記マスク化データに付加することを特徴とする。
【００１１】
また、請求項３に記載の発明は、請求項２に記載の情報保護システムにおいて、前記マスク化識別タグは、前記照会情報の閲覧ソフトにて表示されず、かつ、前記マスク化識別タグが付加されたデータがネットワークを介して返信される際に該データとともに返信されるように付加されることを特徴とする。
【００１２】
また、請求項４に記載の発明は、請求項３に記載の情報保護システムにおいて、前記変換手段は、利用者側から返信されたデータに前記マスク化識別タグが付加されている場合、該データを、前記マスク化識別タグに対応するマスク化前のデータに置換することを特徴とする。
【００１３】
また、請求項５に記載の発明は、請求項１から請求項４のいずれかに記載の情報保護システムにおいて、前記マスク化指示タグは、前記所定の割合を指示する情報を含み、前記変換手段は、前記所定の割合を指示する情報に基づき、対象のデータを変換することを特徴とする。
【００１４】
また、請求項６に記載の発明は、請求項１から請求項４のいずれかに記載の情報保護システムにおいて、前記マスク化指示タグは、マスク化の水準を指示する情報を含み、前記変換手段は、前記マスク化の水準を指示する情報と当該照会情報を閲覧する利用者の権限レベルに基づき、対象のデータを変換することを特徴とする。
【００１５】
また、請求項７に記載の発明は、請求項１から請求項６のいずれかに記載の情報保護システムにおいて、前記照会情報生成手段と、前記変換手段とは別体として構成されることを特徴とする。
【００１６】
また、請求項８に記載の発明は、ネットワークを介して提供される照会情報に含まれる所定項目のデータ閲覧を制限するための情報保護装置であって、前記照会情報に含まれた所定のキーワードに対応する所定項目のデータを、所定の割合でのみ認識可能な不可逆性のマスク化データに変換する変換手段を備えたことを特徴とする。
【００１７】
また、請求項９に記載の発明は、請求項８に記載の情報保護装置において、前記マスク化データとマスク化前のデータとを対応付けるためのマスク化識別タグを前記マスク化データに付加する手段をさらに備えることを特徴とする。
【００１８】
また、請求項１０に記載の発明は、請求項９に記載の情報保護装置において、前記マスク化識別タグは、前記照会情報の閲覧ソフトにて表示されず、かつ、前記マスク化識別タグが付加されたデータがネットワークを介して返信される際に該データとともに返信されるように付加されることを特徴とする。
【００１９】
また、請求項１１に記載の発明は、請求項１０に記載の情報保護装置において、前記変換手段は、利用者側から返信されたデータに前記マスク化識別タグが付加されている場合、該データを、前記マスク化識別タグに対応するマスク化前のデータに置換することを特徴とする。
【００２０】
また、請求項１２に記載の発明は、請求項８から請求項１１のいずれかに記載の情報保護装置において、前記変換手段は、当該照会情報を閲覧する利用者の権限レベルに対応する割合でのみ該当項目を認識可能な不可逆性のマスク化データに変換することを特徴とする。
【００２１】
また、請求項１３に記載の発明は、利用者の認証を行う認証装置と、請求項１から請求項７のいずれかに記載の情報保護システムとが接続され構成されるシステムであって、前記変換手段は、前記認証装置により認証された特定の利用者に対して前記照会情報生成手段から提供される照会情報を、前記マスク化データを含む照会情報に変換することを特徴とするシステムである。
【００２２】
また、請求項１４に記載の発明は、利用者の認証を行う認証装置と、利用者側端末装置からの要求に応じて、該当利用者向けの照会情報を配信するサーバと、請求項８から請求項１２のいずれかに記載の情報保護装置とが接続され構成されるシステムであって、前記変換手段は、前記認証装置により認証された特定の利用者に対して前記サーバから提供される照会情報を、前記マスク化データを含む照会情報に変換することを特徴とするシステムである。
【００２３】
また、請求項１５に記載の発明は、請求項１４に記載のシステムにおいて、前記認証装置は、該認証装置が認証した特定の利用者から返信されたデータを前記情報保護装置へ与え、前記情報保護装置は、前記特定の利用者から返信されたデータに前記マスク化識別タグが含まれる場合、該マスク化識別タグが付加されたデータを該マスク化識別タグに対応するマスク化前のデータに置換して前記サーバに与えることを特徴とする。
【００２４】
また、請求項１６に記載の発明は、コンピュータにインストールすることにより請求項１から請求項７のいずれかに記載の照会情報生成手段を実現するコンピュータ読み取り可能なプログラムである。
【００２５】
また、請求項１７に記載の発明は、コンピュータにインストールすることにより請求項１から請求項７のいずれかに記載の変換手段を実現するコンピュータ読み取り可能なプログラム。
【００２６】
また、請求項１８に記載の発明は、コンピュータにインストールすることにより請求項８から請求項１２のいずれかに記載の情報保護装置を実現するコンピュータ読み取り可能なプログラムである。
【発明の効果】
【００２７】
本発明によれば、漏洩を防止する必要のある個人情報等の情報を、所定の割合でのみ認識可能な不可逆性のマスク化データに変換するので、外部からのアクセスに対し、こうした情報の漏洩を確実に防止することができる。  
また、開発や保守のために外部の者が、漏洩を防止する必要のある個人情報等の情報を備える本番システムの動作を確認するためなど、本番システムにアクセスせざるを得ない場合であっても、個人情報等の漏洩を防止することができので、顧客に対し個人情報の保護について完全な安心感を与えることができる。
【発明を実施するための最良の形態】
【００２８】
はじめに、本発明の一実施の形態であるシステムを含むネットワーク環境について図面を参照し説明する。図１に、その概要を示している。
【００２９】
同図に示すように、正規の利用者（例えば、同図に示す保険の代理店等）や、特定の利用者（例えば、同図に示すシステム開発・保守会社）がインターネットを介して、所定の情報（照会情報）を提供するシステム１００に接続している。  
システム１００では、そのフロントエンドに利用者の認証機能をもつ認証サーバ１があり、この認証サーバ１の背後に、利用者からのリクエスト（要求）に応じた照会情報を配信するＷｅｂサーバ２と、Ｗｅｂサーバ２から上記特定の利用者へ配信される照会情報および利用者側から返信された特定の情報（マスク化されたデータを含む情報）の変換を行う個人情報保護装置４があって、それぞれが内部のネットワーク（ＬＡＮ等）を介して接続されている。
【００３０】
Ｗｅｂサーバ２は、配信する情報の基となる顧客情報、契約情報、事故情報（ここでは、保険サービスを例としている）などの情報を格納するデータベース（ＤＢ）３を備え、個人情報保護装置４は、後述する変換情報管理テーブル５を備える。  
同図に示すように、本発明によれば、正規の利用者（ここでは代理店）には、システム１００から本来の照会画面を与える画面情報が配信され、特定の利用者であるシステム開発・保守会社には、個人情報がマスク化された照会画面を与える画面情報が配信されて、個人情報を保護しつつ、システムの開発・保守を本番システムを用いて実行できるようになっている。
【００３１】
次に、上記認証サーバ１、Ｗｅｂサーバ２、個人情報保護装置４についてその詳細を説明する。
【００３２】
認証サーバ１は、利用者に対する認証機能を有するものであり、一般的には、利用者側端末（例えば、ＰＣ等）から送信されたユーザＩＤおよびパスワードを受け、これらと、登録されたユーザＩＤおよびパスワードを比較することにより利用者を認証し特定する。なお、ユーザＩＤおよびパスワードは、認証サーバ１自体が保持してもよいし、Ｗｅｂサーバ２のＤＢ３やその他の記憶装置に保持し、必要に応じて認証サーバ１がこれらから取得するようにしてもよい。
【００３３】
この認証サーバ１は、認証処理後、正当な利用者として認証された利用者のリクエストを、正規の利用者かシステム開発・運用担当者かに応じて、このリクエストをＷｅｂサーバ２または個人情報保護装置４に転送する。本実施形態では、利用者が正規の利用者の場合には、利用者からのリクエストをＷｅｂサーバ２に送り、利用者がシステム開発・運用担当者の場合には、利用者からのリクエストを個人情報保護装置４に送る。
【００３４】
ここでＷｅｂサーバ２または個人情報保護装置４に転送されるリクエストは、その宛先をそれぞれＷｅｂサーバ２または個人情報保護装置４に変換され、さらに利用者を特定するユーザ情報が付加される。このユーザ情報により、利用者が正規の利用者かシステム開発・運用担当者かを識別できる。なお、利用者が認証に失敗した場合、認証サーバ１は、利用者側端末にエラー表示画面を与えるための画面情報または通知を利用者側端末に送信する。
【００３５】
Ｗｅｂサーバ２は、利用者側からのリクエストに応じた処理結果（照会情報）の画面を利用者側端末に与えるための画面情報（ここではＨＴＭＬファイルとする）を生成する。なお、本明細書において、照会情報と、この照会情報の画面を利用者側端末に与えるための画面情報（ＨＴＭＬファイル）とは区別しないものとする。  
このＷｅｂサーバ２は、認証サーバ１がリクエストに付加したユーザ情報を基に、利用者が正規の利用者である場合には通常の画面情報を生成し、この画面情報を認証サーバ１に返信する。一方、利用者がシステム開発・運用担当者の場合には、マスク化指示タグ（後述）でマスク化対象の項目（文字列）を囲った画面情報を生成して、個人情報保護装置４に返送する。なお、どの項目をマスク化対象としどの程度のマスク化をするかは予め定められている。
【００３６】
また、上記とは別の構成として、Ｗｅｂサーバ２が、画面情報を認証サーバ１に返す場合も、常にマスク化指示タグでマスク化対象の項目（文字列）を囲った画面情報を生成する構成としてもよい。こうすることにより、Ｗｅｂサーバ２において、マスク化について利用者が正規の利用者か特定の利用者かに応じて画面情報の生成の仕方を変える必要がなくなる。
【００３７】
個人情報保護装置４は、認証サーバ１から与えられた利用者側端末からのリクエストに復元用キーワードとなるマスク化識別タグ（後述）が含まれる場合、変換情報管理テーブル５（図２参照）を検索して、このマスク化識別タグに対応する復元情報（すなわち、マスク化された項目のデータの元のデータ（オリジナルデータ））を取得し、マスク化識別タグで囲まれた部分（文字列）をマスク化前のデータに復元して、復元されたリクエストをＷｅｂサーバ２に転送するように動作する。
【００３８】
通常のＷｅｂシステムは、画面上あるいは画面の裏（ＨＴＭＬファイルソース）に保持している個人情報を含む様々な項目を利用して「リンク」する機能（いわゆるハイパーリンク）をもつ。個人情報保護装置４は、上記のように動作するので、例えば、利用者側端末から返信されたハイパーリンク用のアドレスデータや関連するデータがマスク化されていても（この場合、これらのデータはマクス化識別タグが付加された状態で返信される）、マスク化前のデータに戻して利用者側からの返信データをＷｅｂサーバ２に転送するので、Ｗｅｂサーバ２にて正常にハイパーリンクの処理がなされる。
【００３９】
また、個人情報保護装置４は、Ｗｅｂサーバ２から受けた、利用者側端末に配信するＨＴＭＬファイル（画面情報）の所定項目を、所定の割合でのみ識別可能な不可逆性のマスク化データとするマスク化を行う。具体的には、Ｗｅｂサーバ２から与えられるＨＴＭＬファイルに含まれるマスク化対象の項目データには、マスク化指示タグが付加されており、個人情報保護装置４は、このマスク化指示タグを検出して、マスク化指示タグで囲まれた部分を、このマスク化指示タグにより指示された所定の割合だけ識別不能とするマスク化を行う（後述）。
【００４０】
そして、マスク化を行った項目のデータに対しマスク化識別タグを付加する（対象のデータをマスク化識別タグで囲い、当該データが利用者側端末から返信される際にはこのマスク化識別タグも付加された状態で返信されるように付加する）。マスク化後のＨＴＭＬファイルは、宛先を認証サーバ１に変換して、認証サーバ１に転送する。このようにしてマスク化が行われるが、マスク化が行われる際、マスク化されるオリジナルデータ、マスク化後のデータ、マスク化指示タグ、マスク化識別タグ等のデータは、セッション毎に、変換情報管理テーブル５として保持され管理される。
【００４１】
ここで、図２に、あるセッションに対する変換情報管理テーブル５の一例を示す。  
このテーブルには、マスク化対象の項目名と、その項目に対するマスク化指示タグと、マスク化前のオリジナルデータと、マスク化識別タグと、マスク化後データを含んで構成されている。マスク化対象の項目毎にマスク化指示タグが予め定められており、例えば、「証券番号」項目に対するマスク化指示タグは、「＜ｓｅｃｒｅｔ０５０＞」で、このタグを用いて囲まれた証券番号のデータを５０％識別不能とするマスク化を指示する。すなわち“ｓｅｃｒｅｔ”に続く“０５０”がマスク化を５０％とすることを指示している。
【００４２】
この例で、個人情報保護装置４によりマスク化が行われると、オリジナルデータ「Ｃ１２３４５６７８９」は、５０％のマスク化後「Ｃ＊２＊４＊６＊８＊」のように変換される。マスク化する５０％のうち、オリジナルデータのどの部分をマスク化するかは、ランダムに決定するようにしてよい。なお、この例のようにマスク化の割合（例えば、１０文字のうち何文字をマスク化するかの程度）は複数種設けられるが、これは、データ内容の確認の必要性が利用者によって異なるためである。例えば、システム開発者側で、項目データに英数字が含まれているかどうかなど確認する必要がある場合に、そのような項目にはマスク化の程度を必要な程度となるように予め設定しておく。
【００４３】
次に、Ｗｅｂサーバ２が、正規の利用者ではない特定の利用者に対して生成するＨＴＭＬファイルの一例を以下に示す。
【００４４】
【表１】
2006268378.tif 000003
【００４５】
このように、マスク化対象の項目のデータを囲うようにマスク化指示タグが埋め込まれる。
【００４６】
次に、個人情報変換装置４によって変換されたＨＴＭＬファイルの一例（上記ＨＴＭＬファイルの変換例）を以下に示す。
【００４７】
【表２】
2006268378.tif 000004
【００４８】
このように、変換後のＨＴＭＬファイルは、マスク化された項目のデータを囲うようにマスク化識別タグが埋め込まれたファイルとなる。なお、ハイパーリンクのための＜Ａ  ｈｒｅｆ＝ｈｔｔｐｓ：／／ｗｗｗ．ａｇｍｓ１．ｍｓ−ｉｎｓ．ｃｏｍ／ａｇｅｎｔ／ＡＡＡ９９＜ｍａｓｋ００６＞＊＊９＊＜／ｍａｓｋ００６＞‘＞のように、非表示の項目でマスク化されるものもある。
【００４９】
ここで、図３に上記ＨＴＭＬファイルに対応するオリジナルの画面表示例を示し、図４に変換されたＨＴＭＬファイル（上記例の場合）による画面表示例を示す。図３に示すオリジナルの画面に対して、図４に示すマスク化後の画面は、マスク化対象の項目が所定の割合でマスク化されて表示される（図では、元の文字が「＊」に変換されている）。なお、本実施形態で用いるマスク化指示タグおよびマスク化識別タグは、利用者側端末の画面上には表示されない専用のタグである。
【００５０】
また、図３および図４は、上記例による簡略な画面表示例であるが、具体的には、オリジナルの画面（図５）に対し、マスク化後の利用者側端末における表示画面は、図６のようになる。このように本実施形態では、ＤＢ３のデータの内容にはなんら手を加えることなく、特定の利用者に対しては、マスク化された不可逆性の（元に戻せない）情報を与えるので、個人情報の漏洩を確実に防止することができる。また、特定の利用者がシステムの開発・保守を行う者である場合、個人情報変換装置４を介するものの本番システムを使用した開発・保守を行うことができる。
【００５１】
次に第２の実施形態について説明する。
上述した実施形態では、Ｗｅｂサーバ２で生成するＨＴＭＬファイルに付加するマスク化指示タグによりマスク化の割合を直接指示していたが、本実施形態では、マスク化指示タグを、利用者の権限レベルに応じたマスク化の水準を指示するものとする。  
例えば、Ｗｅｂサーバ２が生成するマスク化指示タグ付きのデータ
＜ｓｅｃｒｅｔ０５０＞Ｃ１２３４５６７８９＜／ｓｅｃｒｅｔ０５０＞
を、マスク化の水準を指示するタグを用いて
＜ｓｅｃｌｅｖｅｌ０１＞Ｃ１２３４５６７８９＜／ｓｅｃｌｅｖｅｌ０１＞
のように変更する。
【００５２】
個人情報保護装置４は、このようなマスク化の水準を指示するタグに基づくとともに、実際の利用者の権限レベル（これは、リクエストに付加されたユーザ情報に基づいて判断する）に応じて、例えば以下のように、指示されたマスク化の水準と権限レベルに応じたマスク化を行う（マスク化の水準は同じでも権限レベルに応じてマスク化の程度を変える）。
【００５３】
例えば、ｓｅｃｌｅｖｅｌ０１の水準では、
利用者Ａ：権限レベルＡ（マスク化０％）    生成される情報  Ｃ１２３４５６７８９
利用者Ｂ：権限レベルＢ（マスク化２０％）  生成される情報  Ｃ１＊３４５＊７８９
利用者Ｃ：権限レベルＣ（マスク化５０％）  生成される情報  Ｃ＊２＊４＊６＊８＊
利用者Ｄ：権限レベルＤ（マスク化８０％）  生成される情報  ＊＊＊３＊＊＊＊８＊
なお、どの利用者がどの権限レベルをもつかの情報は、認証サーバ１、Ｗｅｂサーバ２またはＤＢ３、個人情報装置４あるいはその他の記憶装置のいずれに保持してもよい。
【００５４】
次に、本発明の第３の実施形態について説明する。  
上記各実施形態では、Ｗｅｂサーバ２において、利用者に提供する照会情報に、マスク化を指示するマスク化指示タグを付加したＨＴＭＬファイルを生成する構成としているが、本実施形態では、マスク化に関して、バックエンドにあるＷｅｂサーバ２に全く改修を加えず、マスク化を個人情報保護装置４が独立して行う構成とする（その他の機能構成については前述のいずれかの形態と同様とする）。すなわち、バックエンドにあるＷｅｂサーバ２で生成するＨＴＭＬには特殊なタグの追加を行わず、個人情報保護装置４が独立して自動的にマスク化を行う。
【００５５】
個人情報保護装置４は、マスク化対象となる「証券番号」「住所」「氏名」「生年月日」等の項目属性を表すキーワードを元に＋Ｎ個目（これは予め定められる）のセル内の（ＨＴＭＬの予約語以外の）表示項目あるいは非表示項目を自動的にマスク化する。なお、このようなマスク化の（どの項目を何％マスク化するかや、利用者の権限レベルに応じたマスク化の程度等も含む）ルールは、個人情報保護装置４に備えることができる。
【００５６】
本実施形態では、例えば、Ｗｅｂサーバ２が生成するソースが
＜ＴＤ＞証券番号＜／ＴＤ＞
＜ＴＤ＞＜Ａ  ｈｒｅｆ＝‘ＪａｖａＳｃｒｉｐｔ：ｅｘｅｃＰＯＬ（）’＞Ｃ１２３４５６７８９＜／Ａ＞＜／ＴＤ＞
である場合、このとき、マスク化対象となる項目属性を表すキーワードは「証券番号」、実際にマスク化対象となる対象項目はこのキーワードから＋１（すなわち、次の項目）、当該項目の表示・非表示の別は表示項目、マスク化の割合または水準は５０％またはＸＸであるとして、個人情報保護装置４は、例えば、
＜ＴＤ＞証券番号＜／ＴＤ＞
＜ＴＤ＞＜Ａ  ｈｒｅｆ＝‘ＪａｖａＳｃｒｉｐｔ：ｅｘｅｃＰＯＬ（）’＞＜ｍａｓｋ００２＞Ｃ＊２＊４＊６＊８＊＜／ｍａｓｋ００２＞＜／Ａ＞＜／ＴＤ＞
のように変換したＨＴＭＬファイルを生成する。なお、この例では、キーワード「証券番号」の次の項目で表示項目である「Ｃ１２３４５６７８９」に対し５０％のマスク化がなされている。
【００５７】
このように個人情報保護装置４が独立してマスク化を行うことにより、本実施形態では、バックエンドにあるＷｅｂサーバ２などのシステムを全く改修する必要がないという利点を得ることができる。
【００５８】
なお、上記各実施形態では、認証サーバ１、Ｗｅｂサーバ２、個人情報保護装置４を別体として構成しているが、例えば、認証サーバ１と個人情報保護装置４を一体の装置として構成することができる。
【００５９】
次に、図１に示す、利用者側端末およびシステム全体の一連の動作について、図６および図７に示すフローチャートを参照して説明する。
【００６０】
はじめに、利用者側端末（ＰＣなど）からシステムにアクセスされると、認証サーバ１にて利用者の認証がなされる（ステップＳ１０１）。この認証が失敗すると（ステップＳ１０１の判定で、認証ＮＧ）、認証サーバ１は、利用者側端末にエラー表示させる画面情報または通知を返信する。これにより利用者側端末は、認証が失敗したことを利用者に知らせるエラー表示画面を表示する（ステップＳ１０２）。
【００６１】
一方、認証サーバ１での認証が成功すると（ステップＳ１０１の判定で、認証ＯＫ）、認証サーバ１にて、さらに利用者が正規の利用者か特定の利用者（ここではシステムの開発・運用担当者）かの判定がなされる（ステップＳ１０３）。
【００６２】
（Ａ）利用者が正規の利用者である場合
この場合、処理はステップＳ１０３の利用者判定からステップＳ１０４へ移行する。  
ステップＳ１０４では、エンドユーザの利用者側端末からリクエストを受け取った認証サーバ１が、リクエストの内容をＷｅｂサーバ２へのリクエストに変換（ここでは、リクエスト先をＷｅｂサーバ２に変更）するとともに、利用者を特定するためのユーザ情報を付加してこのリクエストをＷｅｂサーバ２へ転送する。
【００６３】
次いで、ステップＳ１０５にて、Ｗｅｂサーバ２が、認証サーバ１からリクエストを受け取ると、このリクエストを処理してその処理結果（照会情報）を利用者側端末にて表示させるための画面情報（ＨＴＭＬファイル）を生成する。そして、先に受け取ったリクエストに付加されたユーザ情報に基づき、この場合利用者が正規の利用者であることから、この画面情報の返送先（宛先）を認証サーバ１として、認証サーバ１に返送する。このように、利用者が正規の利用者の場合は、Ｗｅｂサーバ２が生成した照会情報からなる画面情報は、個人情報保護装置４を介さず認証サーバ１に返送される。
【００６４】
次いで、ステップＳ１０６にて、認証サーバ１は、Ｗｅｂサーバ２から受けた画面情報の返送先（宛先）を利用者側端末に変換し、インターネットを介して利用者側端末に返信する。  
次いで、ステップＳ１０７にて、Ｗｅｂサーバ２からの画面情報を受け取った利用者側端末では、当該端末に実装されたＷｅｂブラウザの機能により画面情報（ＨＴＭＬファイル）が解釈されて表示画面が生成され、その画面が利用者側端末のディスプレイに表示される。
【００６５】
（Ｂ）利用者がシステム開発・運用担当者の場合
この場合、処理はステップＳ１０３の利用者判定からステップＳ１０８（図７）へ移行する。  
ステップＳ１０８では、利用者側端末からリクエストを受け取った認証サーバ１が、このリクエストの宛先を一旦個人情報保護装置４とし、利用者を特定するためのユーザ情報を付加してこのリクエストを個人情報保護装置４へ転送する。なお、認証サーバ１と個人情報保護装置４とが同一の装置で構成される場合は、リクエストの転送は同一装置内で行われ、個人情報保護装置４でもある認証サーバ１にて、次のステップＳ１０９の処理が実行される。
【００６６】
次いで、ステップＳ１０９にて、個人情報保護装置４が、リクエストの内容からセッションを判別するとともに、このリクエストに含まれる復元用キーワード（すなわちマスク化識別タグ）を検索する。このリクエストに復元用キーワードが含まれる場合には、前述の変換情報管理テーブル５を検索して復元情報（マスク化前の情報、すなわちオリジナルデータ）を取得し、復元用キーワードに囲まれた部分をオリジナルデータに置換することで復元する。また、リクエストの内容をＷｅｂサーバ２へのリクエストに変換（ここでは、リクエスト先をＷｅｂサーバ２に変更）し、このリクエストをＷｅｂサーバ２に転送する。一方、復元用キーワードが含まれない場合は、受けたリクエストの内容をそのままＷｅｂサーバ２へのリクエストに変換（ここでは、リクエスト先をＷｅｂサーバ２に変更）し、Ｗｅｂサーバ２へ転送する。
【００６７】
次いで、ステップＳ１１０にて、Ｗｅｂサーバ２は、個人情報保護装置４からリクエストを受け取ると、このリクエストを処理してその処理結果（照会情報）を利用者側端末にて表示させるための画面情報（ＨＴＭＬファイル）を生成する。なお、この画面情報は、前述のマスク化指示タグを含むものであるが、個人情報保護装置４が独立してマスク化の処理を行う場合（第３の実施形態で）は、Ｗｅｂサーバ２は、正規の利用者用の画面情報と同じ通常の画面情報を生成する。
【００６８】
そして、先に受け取ったリクエストに付加されたユーザ情報に基づき（ここでは、利用者がシステムの開発・運用担当者であるので）この画面情報の宛先を個人情報保護装置４として、個人情報保護装置４に返送する。このように、利用者がシステムの開発・運用担当者の場合は、返送先を個人情報保護装置４とする。もちろん、認証サーバ１と個人情報保護装置４が同一装置として構成される場合は、画面情報の返送先は、個人情報保護装置４でもある認証サーバ１に返送される。
【００６９】
次いで、ステップＳ１１１にて、個人情報保護装置４は、Ｗｅｂサーバ２から受け取った画面情報からマクス化指示タグを検索する。ここでは、マスク化指示タグの種類に応じてこのマスク化指示タグに囲まれた部分を前述のようにマスク化する。そして、マスク化した文字列に対してマスク化を識別可能とするための識別キーワード（これは復元用キーワードに一致し、すなわちマスク化識別タグである）を生成して、この識別キーワードで、マスク化した文字列の両端を囲むマスク化を行う。さらにセッション情報とともに、前述の変換情報管理テーブル５をデータベースに登録し（前述のように、変換情報管理テーブル５は、セッション毎に管理される）、マスク化実施後の処理結果を表示させるための画面情報を、宛先を認証サーバ１に変換して、認証サーバ１に返送する。
【００７０】
次いで、ステップＳ１１２にて、認証サーバ１は、個人情報保護装置４から受けたマスク化実施後の画面情報の返送先（宛先）を利用者側端末に変換し、インターネットを介して利用者側端末に返信する。
【００７１】
次いで、ステップＳ１１３にて、Ｗｅｂサーバ２からの処理結果を表示させるための画面情報を受け取った利用者側端末では、当該端末に実装されたＷｅｂブラウザの機能によりこの画面情報（ＨＴＭＬファイル）が解釈されて表示画面が生成され、その画面が利用者側端末のディスプレイに表示される。
【００７２】
以上、本発明の実施形態について、その詳細を説明してきたが、上述の認証サーバ１、Ｗｅｂサーバ２、個人情報保護装置４およびこれらを構成する各機能部はそれぞれ、それらの機能を実現するプログラムを、汎用のサーバコンピュータ等にインストールすることによっても実現できることは言うまでもない。また、マークアップ言語としてＨＴＭＬ（ＨｙｐｅｒＴｅｘｔ  Ｍａｒｋｕｐ  Ｌａｎｇｕａｇｅ）を例示したが、Ｗｅｂシステムで利用可能なその他のマークアップ言語（例えば、ＸＭＬ（ｅＸｔｅｎｓｉｂｌｅ  Ｍａｒｋｕｐ  Ｌａｎｇｕａｇｅ）を利用したもの）も当然に利用可能である。
【図面の簡単な説明】
【００７３】
【図１】本発明の一実施の形態であるシステムを含むネットワーク環境の概要を示す図である。
【図２】変換情報管理テーブル５の一例である。
【図３】例示のＨＴＭＬファイルに対応するオリジナルの画面表示例である。
【図４】例示の変換されたＨＴＭＬファイルによる画面表示例である。
【図５】具体的なオリジナルの表示画面例である。
【図６】具体的なマスク化実施後の利用者側端末における表示画面例である。
【図７】本発明を実施する、利用者側端末およびシステム全体の一連の動作を説明するフローチャートである。
【図８】本発明を実施する、利用者側端末およびシステム全体の一連の動作を説明するフローチャート（続き）である。
【符号の説明】
【００７４】
１…認証サーバ（認証装置）
２…Ｗｅｂサーバ（照会情報生成手段）
３…ＤＢ
４…個人情報保護装置（変換手段、情報保護装置）
５…変換情報管理テーブル
【図１】
2006268378.tif 000005
【図２】
2006268378.tif 000006
【図３】
2006268378.tif 000007
【図４】
2006268378.tif 000008
【図５】
2006268378.tif 000009
【図６】
2006268378.tif 000010
【図７】
2006268378.tif 000011
【図８】
2006268378.tif 000012