(57)【要約】  【課題】データのアクセスが認められているユーザであっても、当該データの利用目的に応じてアクセスを制限できるようにする。  【解決手段】アクセスポリシ記憶部１４、２４には、利用目的、ユーザ、および、各データ項目に対して当該利用目的で当該ユーザに許可するアクセス形態を規定するアクセスポリシが記憶されている。データサーバ１のアクセス制御部１２は、ユーザ端末２のアクセス制御部２２と連携して、ユーザ端末２によるデータベース１３へのアクセス制御を行う。指示受付部２３を介してユーザから受付けた利用目的に対応付けられて当該ユーザのユーザＩＤがアクセスポリシに登録されている場合、データベース１３に登録されているデータ項目のデータ利用を、当該利用目的に対応付けられてアクセスポリシに登録されている当該データ項目のアクセス形態で許可する。  【選択図】図１
2006155074.tif 000002
【特許請求の範囲】
【請求項１】
データアクセスを制御するアクセス制御システムであって、
データを保持するデータサーバと、前記データサーバにアクセス要求を出力するユーザ端末と、を有し、
前記データサーバは、
複数のデータ項目のデータを有するレコードが記憶されたデータベースと、
利用目的、当該利用目的でアクセスが許可されるユーザの識別情報、および、当該利用目的で許可される前記複数のデータ項目各々のアクセス形態の関係を規定するアクセスポリシが記憶されたサーバ側アクセスポリシ記憶手段と、
前記ユーザ端末より出力された前記アクセス要求を処理するサーバ側アクセス制御手段と、を有し、
前記アクセス要求は、利用目的およびユーザの識別情報を含み、
前記サーバ側アクセス制御手段は、
前記ユーザ端末から受信した前記アクセス要求に含まれている利用目的に対応付けられて、前記アクセス要求に含まれているユーザの識別情報が前記サーバ側アクセスポリシ記憶手段に記憶されているか否かを判断し、記憶されている場合に、前記データベースに記憶されている前記アクセス要求の対象レコードに含まれているデータのうち、前記アクセス要求に含まれている利用目的に対応付けられて前記サーバ側アクセスポリシ記憶手段に記憶されている、アクセス形態が出力を許可する旨を示しているデータ項目のデータを、前記ユーザ端末に送信すること
を特徴とするアクセス制御システム。
【請求項２】
請求項１に記載のアクセス制御システムであって、
前記アクセス要求は、検索条件を含み、
前記サーバ側アクセス制御手段は、
前記ユーザ端末から受信した前記アクセス要求に含まれている利用目的に対応付けられて、前記アクセス要求に含まれているユーザの識別情報が前記サーバ側アクセスポリシ記憶手段に記憶されている場合に、前記アクセス要求に含まれている利用目的に対応付けられて前記サーバ側アクセスポリシ記憶手段に記憶されている、アクセス形態が検索利用を許可する旨を示しているデータ項目を用いて、前記データベースから前記アクセス要求に含まれている検索条件に合致するレコードを検索し、検索したレコードをアクセス要求の対象レコードとすること
を特徴とするアクセス制御システム。
【請求項３】
請求項２に記載のアクセス制御システムであって、
前記サーバ側アクセス制御手段は、
前記ユーザ端末から受信した前記アクセス要求に含まれている利用目的に対応付けられて、前記アクセス要求に含まれているユーザの識別情報が前記サーバ側アクセスポリシ記憶手段に記憶されている場合に、前記アクセス要求に含まれている利用目的に対応付けられて前記サーバ側アクセスポリシ記憶手段に記憶されている、アクセス形態がジョイン操作に利用する旨を示しているデータ項目が、前記検索したレコードと一致するレコードをさらに検索し、両者を結合したレコードをアクセス要求の対象レコードとすること
を特徴とするアクセス制御システム。
【請求項４】
請求項１乃至３のいずれか一項に記載のアクセス制御システムであって、
前記ユーザ端末は、
前記データサーバに前記アクセス要求を送信して、前記データサーバから前記アクセス要求に対する応答を受信し出力するユーザ端末側アクセス制御手段を有すること
を特徴とするアクセス制御システム。
【請求項５】
請求項４に記載のアクセス制御システムであって、
前記ユーザ端末は、
前記アクセスポリシが記憶されたユーザ端末側アクセスポリシ記憶手段をさらに有し、
前記ユーザ端末側アクセス制御手段は、
前記アクセス要求に対する応答として前記データサーバより受信したデータ項目のデータのうち、前記アクセス要求に含まれている利用目的およびユーザの識別情報に対応付けられて前記ユーザ端末側アクセスポリシ記憶手段に記憶されている、アクセス形態が加工を条件に出力を許可する旨を示しているデータ項目のデータを加工してから出力すること
を特徴とするアクセス制御システム。
【請求項６】
請求項４又は５に記載のアクセス制御システムであって、
前記ユーザ端末側アクセス制御手段は、
前記アクセス要求に含まれている利用目的に応じて、前記データサーバより受信した前記アクセス要求に対する応答の出力先を変更すること
を特徴とするアクセス制御システム。
【請求項７】
受信したアクセス要求に従いデータを出力するデータサーバであって、
複数のデータ項目のデータを有するレコードが記憶されたデータベースと、
利用目的、当該利用目的でアクセスが許可されるユーザの識別情報、および、当該利用目的で許可される前記複数のデータ項目各々のアクセス形態の関係を規定するアクセスポリシが記憶されたアクセスポリシ記憶手段と、
前記アクセス要求を処理するアクセス制御手段と、を有し、
前記アクセス要求は、利用目的およびユーザの識別情報を含み、
前記アクセス制御手段は、
前記アクセス要求に含まれている利用目的に対応付けられて、前記アクセス要求に含まれているユーザの識別情報が前記サーバ側アクセスポリシ記憶手段に記憶されているか否かを判断し、記憶されている場合に、前記データベースに記憶されている前記アクセス要求の対象レコードに含まれているデータのうち、前記アクセス要求に含まれている利用目的に対応付けられて前記サーバ側アクセスポリシ記憶手段に記憶されている、アクセス形態が出力を許可する旨を示しているデータ項目のデータを出力すること
を特徴とするデータサーバ。
【請求項８】
データサーバにアクセス要求を出力してデータを取得するユーザ端末であって、
利用目的、当該利用目的でアクセスが許可されるユーザの識別情報、および、当該利用目的で許可される前記複数のデータ項目各々のアクセス形態の関係を規定するアクセスポリシが記憶されたアクセスポリシ記憶手段と、
利用目的およびユーザの識別情報を含むアクセス要求を前記データサーバに出力して、前記データサーバから前記アクセス要求に対する応答を受信し出力するアクセス制御手段と、を有し、
前記アクセス制御手段は、
前記アクセス要求に対する応答として前記データサーバより受信したデータ項目のデータのうち、前記アクセス要求に含まれている利用目的およびユーザの識別情報に対応付けられて前記アクセスポリシ記憶手段に記憶されている、アクセス形態が加工を条件に出力を許可する旨を示しているデータ項目のデータを加工してから出力すること
を特徴とするユーザ端末。
【請求項９】
コンピュータで読取り可能なプログラムであって、
前記プログラムは、前記コンピュータに、
複数のデータ項目のデータを有するレコードを記憶するデータベースと、
利用目的、当該利用目的でアクセスが許可されるユーザの識別情報、および、当該利用目的で許可される前記複数のデータ項目各々のアクセス形態の関係を規定するアクセスポリシを記憶するアクセスポリシ記憶手段と、
利用目的およびユーザの識別情報を含むアクセス要求を処理するアクセス制御手段と、を実現し、
前記アクセス制御手段は、
前記アクセス要求に含まれている利用目的に対応付けられて、前記アクセス要求に含まれているユーザの識別情報が前記サーバ側アクセスポリシ記憶手段に記憶されているか否かを判断し、記憶されている場合に、前記データベースに記憶されている前記アクセス要求の対象レコードに含まれているデータのうち、前記アクセス要求に含まれている利用目的に対応付けられて前記サーバ側アクセスポリシ記憶手段に記憶されている、アクセス形態が出力を許可する旨を示しているデータ項目のデータを出力すること
を特徴とするコンピュータで読取り可能なプログラム。
【請求項１０】
コンピュータで読取り可能なプログラムであって、
前記プログラムは、前記コンピュータに、
利用目的、当該利用目的でアクセスが許可されるユーザの識別情報、および、当該利用目的で許可される前記複数のデータ項目各々のアクセス形態の関係を規定するアクセスポリシを記憶するアクセスポリシ記憶手段と、
利用目的およびユーザの識別情報を含むアクセス要求をデータサーバに出力して、前記データサーバから前記アクセス要求に対する応答を受信し出力するアクセス制御手段と、を実現し、
前記アクセス制御手段は、
前記アクセス要求に対する応答として前記データサーバより受信したデータ項目のデータのうち、前記アクセス要求に含まれている利用目的およびユーザの識別情報に対応付けられて前記アクセスポリシ記憶手段に記憶されている、アクセス形態が加工を条件に出力を許可する旨を示しているデータ項目のデータを加工してから出力すること
を特徴とするコンピュータ読取り可能なプログラム。
【請求項１１】
データを保持するデータサーバおよびユーザ端末を有するアクセス制御システムにおいて、前記ユーザ端末の前記データサーバへのデータアクセスを制御するアクセス制御方法であって、
前記ユーザ端末が、利用目的およびユーザの識別情報を含むアクセス要求を前記データサーバに出力するステップと、
前記データサーバが、前記ユーザ端末から前記アクセス要求を受信するステップと、
前記データサーバが、利用目的、当該利用目的でアクセスが許可されるユーザの識別情報、および、当該利用目的で許可される前記複数のデータ項目各々のアクセス形態の関係を規定するアクセスポリシを参照して、前記アクセス要求に含まれている利用目的が前記アクセス要求に含まれているユーザの識別情報に対応付けられているか否かを判断し、対応付けられている場合に、前記アクセス要求の対象レコードに含まれているデータのうち、前記アクセス要求に含まれている利用目的に対応付けられて前記アクセスポリシに規定されている、アクセス形態が出力を許可する旨を示しているデータ項目のデータを、前記ユーザ端末に送信するステップと、
前記ユーザ端末が、前記アクセス要求に対する応答として前記データサーバからデータを受信し出力するステップと、を有すること
を特徴とするアクセス制御方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、データへのアクセス制御技術に関し、特に、不正アクセスからデータを保護する場合に好適なアクセス制御技術に関する。
【背景技術】
【０００２】
特許文献１には、特定ファイルへのアクセスを、特定のユーザが特定のプログラムを使用した場合に限り許可するポリシーを用いて、アクセス制御を行うことで、不正アクセスからデータを保護する技術が開示されている。
【０００３】
また、特許文献２には、外部状況や機器の信頼度、ネットワークの信頼度等に対応付けて個人情報へのアクセスのあり方を規定するアクセス制御情報を用いて、アクセス制御を行うことで、不正アクセスからデータを保護する技術が開示されている。
【０００４】
【特許文献１】特開２００１-３３７８６４号公報
【特許文献２】特開２００４-２１９２３号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
例えば、官公庁や企業などで業務に用いられるデータを不正アクセスから保護することを考える。これらのデータを部外者にアクセスさせないことは勿論であるが、それに加えて、関係者からのアクセスにも注意する必要がある。通常、関係者は業務上の必要からデータへのアクセスが認められている。しかし、当該関係者が業務以外の目的でデータへアクセスする可能性がある。当該関係者を完全に信頼できる場合を除いて、これはデータへの不正アクセスとなり得る。上記の特許文献１および特許文献２に記載の技術は、この点を考慮していない。
【０００６】
本発明は上記事情に鑑みてなされたものであり、本発明の目的は、データのアクセスが認められているユーザであっても、当該データの利用目的に応じて当該データのアクセスを制限できるようにすることにある。
【課題を解決するための手段】
【０００７】
上記課題を解決するために、本発明では、利用目的、ユーザ、および、各データ項目に対して当該利用目的で当該ユーザに許可するアクセス形態を規定するアクセスポリシを用いて、アクセス制御を行う。ユーザから受付けた利用目的に対応付けられて当該ユーザがアクセスポリシに登録されている場合、所望のデータ項目のデータ利用を、当該利用目的および当該ユーザに対応付けられてアクセスポリシに登録されている当該データ項目のアクセス形態で許可する。
【０００８】
例えば、本発明は、データアクセスを制御するアクセス制御システムであって、
データを保持するデータサーバと、前記データサーバに利用目的およびユーザの識別情報を含むアクセス要求を出力するユーザ端末と、を有する。
【０００９】
前記データサーバは、複数のデータ項目のデータを有するレコードが記憶されたデータベースと、利用目的、当該利用目的でアクセスが許可されるユーザの識別情報、および、当該利用目的で許可される前記複数のデータ項目各々のアクセス形態の関係を規定するアクセスポリシが記憶されたサーバ側アクセスポリシ記憶手段と、前記ユーザ端末より出力された前記アクセス要求を処理するサーバ側アクセス制御手段と、を有し、
前記サーバ側アクセス制御手段は、
前記ユーザ端末から受信した前記アクセス要求に含まれている利用目的に対応付けられて、前記アクセス要求に含まれているユーザの識別情報が前記サーバ側アクセスポリシ記憶手段に記憶されているか否かを判断し、記憶されている場合に、前記データベースに記憶されている前記アクセス要求の対象レコードに含まれているデータのうち、前記アクセス要求に含まれている利用目的に対応付けられて前記サーバ側アクセスポリシ記憶手段に記憶されている、アクセス形態が出力を許可する旨を示しているデータ項目のデータを、前記ユーザ端末に送信する。
【００１０】
また、前記ユーザ端末は、前記データサーバに前記アクセス要求を送信して、前記データサーバから前記アクセス要求に対する応答を受信し出力するユーザ端末側アクセス制御手段を有する。
【発明の効果】
【００１１】
本発明によれば、データのアクセスが認められているユーザであっても、当該データの利用目的に応じて当該データのアクセスを制限することができる。
【発明を実施するための最良の形態】
【００１２】
以下、本発明の実施の形態について説明する。
【００１３】
図１は本発明の一実施形態が適用されたアクセス制御システムの概略図である。
【００１４】
図示するように、本実施形態のアクセス制御システムは、データサーバ１、少なくとも１つのユーザ端末２および複数の管理端末３が、インターネットなどのネットワーク４を介して互いに接続されて構成されている。
【００１５】
データサーバ１は、各種データを保持する。図示するように、データサーバ１は、ネットワーク４に接続するためのネットワークＩＦ部１１と、アクセス制御部１２と、データベース１３と、アクセスポリシ記憶部１４と、ログデータ記憶部１５と、鍵情報記憶部１６と、を有する。
【００１６】
データベース１３には、ユーザ端末１に利用を許可する各種データ（テーブル）が保持されている。本実施形態では、データベース１３に、小売業者が販売動向の把握などに利用する顧客マスタテーブル１３１および販売履歴テーブル１３２が登録されている例を示している。
【００１７】
図２は顧客マスタテーブル１３１の登録内容例を示す図である。図示するように、顧客マスタテーブル１３１には、小売業者の顧客毎にレコード１３１０が登録されている。レコード１３１０は、顧客にユニークに割り当てられる顧客番号を登録するフィールド１３１１と、顧客の氏名を登録するフィールド１３１２と、顧客の住所を登録するフィールド１３１３と、顧客の生年月日を登録するフィールド１３１４と、顧客の性別を登録するフィールド１３１５と、顧客の年齢を登録するフィールド１３１６と、顧客のメールアドレスを登録するフィールド１３１７と、を有する。
【００１８】
図３は販売履歴テーブル１３２の登録内容例を示す図である。図示するように、販売履歴テーブル１３２には、小売業者が商品を顧客に販売する毎にレコード１３２０が登録されている。レコード１３２０は、商品を販売した顧客の顧客番号を登録するフィールド１３２１と、販売した商品の商品名を登録するフィールド１３２２と、商品の販売日を登録するフィールド１３２３と、商品の販売額を登録するフィールド１３２４と、を有する。
【００１９】
アクセスポリシ記憶部１４には、データベース１３に保持されているデータをユーザ端末２のユーザが利用するための条件を規定するアクセスポリシが登録されている。
【００２０】
図４はアクセスポリシ記憶部１４の登録内容例を示す図である。図示するように、アクセスポリシ記憶部１３には、データベース１３の利用目的毎にレコード１４０が登録されている。レコード１４０は、データベース１３の利用目的を登録するフィールド１４１と、データベース１３の検索条件を登録するフィールド１４２と、フィールド１４１に登録されている利用目的でデータベース１３にアクセス可能なユーザのユーザＩＤを登録するフィールド１４３と、フィールド１４１に登録されている利用目的でアクセス可能なデータベース１３のテーブル名を検索順に登録するフィールド１４４と、フィールド１４４に登録されている各テーブルのデータ項目（フィールド）を登録するフィールド１４５と、フィールド１４５に登録されているデータ項目各々の、フィールド１４１に登録されている利用目的で許可されているアクセス形態を登録するフィールド１４６と、を有する。
【００２１】
フィールド１４１に登録されるデータベース１３の利用目的としては、「購買分析」、「顧客確認」、「メール送信」等がある。利用目的「購買分析」では、年代、性別、販売期間等といった検索条件に合致するレコード１３２０およびレコード１３１０の組（ジョインレコードと呼ぶ）を、販売履歴テーブル１３２および顧客マスタテーブル１３１から検索し、検索したレコードの所定のデータ項目を閲覧することを許可する。利用目的「顧客確認」では、検索条件である顧客番号に合致するレコード１３１０を顧客マスタテーブル１３１から検索し、検索したレコード１３１０に登録されている所定のデータ項目を閲覧することを許可する。そして、利用目的「メール送信」では、年代、性別および商品名等といった検索条件に合致するレコード１３２０およびレコード１３１０のジョインレコードを、販売履歴テーブル１３２および顧客マスタテーブル１３１から検索し、検索したジョインレコードに登録されている所定のデータ項目を当該ジョインレコードに登録されているメールアドレスへメール送信することを許可する。
【００２２】
フィールド１４２に登録されるデータベース１３の検索条件は、「年代」、「性別」、「商品名」および「顧客番号」等といった、フィールド１４１に登録されている利用目的のためにデータベース１３からデータを検索するための条件である。
【００２３】
フィールド１４６に登録されるアクセス形態１４６としては、「取得」、「拒否」、「ジョイン」、「検索キー」、「分類」等がある。ここで、アクセス形態「取得」は、利用目的に応じて定まるユーザ端末２のデータ出力先が、このアクセス形態「取得」が登録されているフィールド１４６に対応するフィールド１４５のデータ項目のデータを取得できることを示す。アクセス形態「拒否」は、ユーザ端末２が、このアクセス形態「拒否」が登録されているフィールド１４６に対応するフィールド１４５のデータ項目のデータにアクセスできないことを示す。アクセス形態「ジョイン」は、このアクセス形態「ジョイン」が登録されているフィールド１４６に対応するフィールド１４５のデータ項目をジョインキーとして、２つのテーブルをジョイン操作することを示す。アクセス形態「分類」は、利用目的に応じて定まるユーザ端末２のデータ出力先が、このアクセス形態「分類」が登録されているフィールド１４６に対応するフィールド１４５のデータ項目のデータを大まかに分類した値（例えばデータ項目が年齢ならば年代）に加工した上で取得できることを示す。そして、アクセス形態「検索キー」は、このアクセス形態「検索キー」が登録されているフィールド１４６に対応するフィールド１４５のデータ項目を検索キーとして、テーブルからレコードを検索操作できることを示す。
【００２４】
ここで、利用目的に応じて定まるデータ出力先とは、利用目的「購買分析」および「顧客確認」の場合は、後述するユーザ端末２の指示受付部２３であり、利用目的「メール送信」の場合は、後述するユーザ端末２のメール送信部２８である。
【００２５】
図４に示すアクセスポリシ記憶部１４の登録内容は次のとおりである。すなわち、利用目的「購買分析」の場合、データベース１３の利用が許可されているユーザは、「ａ０１」、「ｕ００１］、「ｕ００３」および「ｕ００４」であり、「年齢」、「性別」および「販売期間」を検索条件として、販売履歴テーブル１３２および顧客マスタテーブル１３１にアクセスできる。但し、ユーザ端末２の指示受付部２３にそのまま出力されるのは、販売履歴テーブル１３２に登録されているデータ項目「商品名」、「販売日」、「販売額」のみである。顧客マスタテーブル１３１に登録されているデータ項目「年齢」については、年代に分類された結果が出力される。販売履歴テーブル１３２および顧客マスタテーブル１３１のその他のデータ項目は出力されない。また、顧客マスタテーブル１３１のデータ項目「生年月日」、「年齢」は、レコードの検索操作にのみ利用でき、販売履歴テーブル１３１および顧客マスタテーブル１３２各々のデータ項目「顧客番号」は、両テーブルのレコードのジョイン操作にのみ利用できる。
【００２６】
利用目的「顧客確認」の場合、データベース１３の利用が許可されているユーザは、「ａ０１」であり、「顧客番号」を検索条件として、顧客マスタテーブル１３１にアクセスできる。ここで、ユーザ端末２の指示受付部２３には、顧客マスタテーブル１３１に登録されているデータ項目「氏名」、「住所」、「生年月日」、「年齢」および「メールアドレス」がそのまま出力される。データ項目「顧客番号」は、レコードの検索操作にのみ利用できる。
【００２７】
利用目的「メール送信」の場合、データベース１３の利用が許可されているユーザは、「ａ０１」、「ｕ００１］、「ｕ００２」、「ｕ００３」および「ｕ００４」であり、「年齢」、「性別」および「商品名」を検索条件として、販売履歴テーブル１３２および顧客マスタテーブル１３１にアクセスできる。但し、ユーザ端末２のメール送信部２８にそのまま出力されるのは、顧客マスタテーブル１３１に登録されているデータ項目「メールアドレス」のみである。販売履歴テーブル１３２および顧客マスタテーブル１３１のその他のデータ項目は出力されない。また、顧客マスタテーブル１３１のデータ項目「生年月日」、「年齢」および販売履歴テーブル１３２のデータ項目「商品名」は、レコードの検索操作にのみ利用でき、販売履歴テーブル１３１および顧客マスタテーブル１３２各々のデータ項目「顧客番号」は、両テーブルのレコードのジョイン操作にのみ利用できる。
【００２８】
ログデータ記憶部１５には、データサーバ１の通信ログが記録される。
【００２９】
図５はログデータ記憶部１５の登録内容例を示す図である。図示するように、ログデータ記憶部１５には、通信の単位（１回の送受信）毎に通信ログのレコード１５０が登録される。レコード１５０は、通信日時を登録するフィールド１５１と、通信相手の識別情報（例えばアドレス）を登録するフィールド１５２と、データサーバ１が付与する送信データのシリアル番号を登録するフィールド１５３と、通信相手が付与する受信データのシリアル番号を登録するフィールド１５４と、送受信したデータの内容を登録するフィールド１５５と、を有する。フィールド１５５には、送受信したデータをそのまま記録するか、あるいは、送受信したデータの要約を記録する。例えば、データサーバ１からユーザ端末２へ検索したレコードを送信した場合は、送信したデータそのものの代わりに、検索して得られたレコード数を記録する。
【００３０】
鍵情報記憶部１６には、データサーバ１がユーザ端末２および管理端末３の認証に利用する鍵情報が記憶されている。具体的には、複数の管理端末３各々の公開鍵、および、ユーザ端末２と共有する共通鍵が記憶されている。
【００３１】
そして、アクセス制御部１２は、通信相手の認証処理、通信ログの記録処理、管理端末３から受信したアクセスポリシの更新処理、および、ユーザ端末２のデータベース１３へのアクセス制御処理を行う。
【００３２】
図６はデータサーバ１の動作フローを説明するための図である。
【００３３】
データサーバ１において、アクセス制御部１２は、ネットワークＩＦ部１１を介して所定の管理端末３からアクセスされると（Ｓ１０１でＹＥＳ）、この管理端末３から暗号文を受信すると共に、通信内容をログデータ記憶部１５に記憶する（Ｓ１０２）。後述するように、この暗号文は、複数の管理端末３がそれぞれの秘密鍵を用いてアクセスポリシを所定の順番で暗号化することにより得られる暗号文である。例えば、複数の管理端末３が管理端末Ａ、Ｂ、Ｃの３つの管理端末であり、所定の順番がＡ、Ｂ、Ｃの順番である場合、先ず、管理端末Ａが自身の秘密鍵を用いてアクセスポリシを暗号化し、第１の中間暗号文を得る。次に、管理端末Ｂが自身の秘密鍵を用いて第１の中間暗号文を暗号化し、第２の中間暗号文を得る。そして、管理端末Ｃが自身の秘密鍵を用いて第２の中間暗号文を暗号化して最終的な暗号文を得る。
【００３４】
さて、アクセス制御部１２は、鍵情報記憶部１６に記憶されている複数の管理端末３各々の公開鍵を用いて、後述する複数の管理端末３での暗号化順とは逆の順番で、受信した暗号文を復号化する（Ｓ１０３）。例えば、複数の管理端末３が管理端末Ａ、Ｂ、Ｃの３つの管理端末であり、暗号化順がＡ、Ｂ、Ｃの順番である場合、先ず、管理端末Ｃの公開鍵を用いて暗号文を復号化し、第１の中間復号文を得る。次に、管理端末Ｂの公開鍵を用いて第１の中間復号文を復号化し、第２の中間復号文を得る。そして、管理端末Ａの復号文を用いて第２の中間復号文を復号化して最終的な復号結果を得る。
【００３５】
次に、アクセス制御部１２は、復号結果が所定のフォーマットを有するアクセスポリシ（図４参照）であるか否かを判断し、アクセスポリシである場合（Ｓ１０４でＹＥＳ）は、このアクセスポリシをアクセスポリシ記憶部１４に新規登録あるいは更新登録する（Ｓ１０５）。一方、アクセスポリシでない場合、アクセスしてきた管理端末３に、ネットワークＩＦ部１１を介してエラーメッセージを通知するなどの所定のエラー処理を行う（Ｓ１１０）。
【００３６】
また、アクセス制御部１２は、ネットワークＩＦ部１１を介してユーザ端末２からアクセスされると（Ｓ１０６でＹＥＳ）、鍵情報記憶部１６に記憶されているこのユーザ端末２と共有する共通鍵を用いて認証処理を行う（Ｓ１０７）。例えば、アクセス制御部１２は、乱数を生成し、これをメモリ等に保存しておくと共に、ネットワークＩＦ部１１を介してユーザ端末２に送信する。そして、ネットワークＩＦ部１１を介してユーザ端末２から暗号文を受信し、受信した暗号文をこのユーザ端末２と共有する共通鍵で復号化する。そして、復号化した結果がメモリ等に保存しておいた乱数と一致するか否かを調べ、一致する場合は認証成立と判断し、不一致の場合は認証不成立と判断する。
【００３７】
Ｓ１０７で認証処理が認証成立の場合（Ｓ１０８でＹＥＳ）、後述するユーザ端末２のアクセス制御部２２と連携して、ユーザ端末２によるデータベース１３へのアクセスを制御するアクセス制御処理を行う（Ｓ１０９）。一方、認証不成立の場合（Ｓ１０８でＮＯ）、アクセスしてきたユーザ端末２に、ネットワークＩＦ部１１を介してエラーメッセージを通知するなどの所定のエラー処理を行う（Ｓ１１０）。
【００３８】
図７はデータサーバ１のアクセス制御処理（図６のＳ１０９）を説明するためのフロー図である。
【００３９】
まず、アクセス制御部１２は、ネットワークＩＦ部１１を介してユーザ端末２からアクセス要求を受信すると共に、その通信内容をログデータ記憶部１５に記憶する（Ｓ１０９１）。次に、アクセス制御部１２は、受信したアクセス要求に含まれている利用目的がフィールド１４１に登録されているレコード１４０をアクセスポリシ記憶部１４から検索する（Ｓ１０９２）。そして、検索したレコード１４０のフィールド１４３に、受信したアクセス要求に含まれているユーザＩＤが登録されているか否かを調べる（Ｓ１０９３）。
【００４０】
検索したレコード１４０のフィールド１４３に、受信したアクセス要求に含まれているユーザＩＤが登録されていない場合（Ｓ１０９３でＮＯ）、ユーザ端末２のユーザは、アクセス要求に含まれている利用目的でデータベース１３にアクセスする権限を持っていない。この場合、アクセス制御部１２は、アクセス要求を拒否する旨のメッセージを、ネットワークＩＦ部１１を介してユーザ端末２に送信する（Ｓ１０９４）。
【００４１】
一方、検索したレコード１４０のフィールド１４３に、受信したアクセス要求に含まれているユーザＩＤが登録されている場合（Ｓ１０９３でＹＥＳ）、受信したアクセス要求に含まれている検索条件に従い、当該レコード１４０でアクセス形態「検索キー」に設定されているデータ項目を用いて、当該レコード１４０にテーブル名が登録されているデータベース１３のテーブル（顧客マスタテーブル１３１、販売履歴テーブル１３２）からレコードを検索する（Ｓ１０９５）。
【００４２】
アクセスポリシ記憶部１４に記憶されているアクセスポリシが図４に示すものである場合を例にとり具体的に説明する。
【００４３】
利用目的「購買分析」がフィールド１４１に登録されているレコード１４０は、フィールド１４４に販売履歴テーブル１３２、顧客マスタテーブル１３１の順番でテーブル名が登録されている。そこで、アクセス制御部１２は、受信したアクセス要求に含まれている利用目的が「購買分析」の場合、アクセス形態「検索キー」に設定されているデータ項目「販売日」を用いて、アクセス要求に含まれている検索条件「販売期間」に合致するレコード１３２０を販売履歴テーブル１３２から検索する。次に、アクセス制御部１２は、アクセス形態「ジョイン」に設定されているデータ項目「顧客番号」を用いて、検索したレコード１３２０各々を顧客マスタテーブル１３１のレコード１３１０とジョイン操作する。つまり、検索したレコード１３２０各々について、当該レコード１３２０と同じ顧客番号を持つレコード１３１０を顧客マスタテーブル１３１０から検索し、両レコード１３１０、１３２０を繋ぎ合わせ、ジョインレコードを作成する。それから、アクセス制御部１２は、作成したジョインレコードの中からアクセス要求に含まれている検索条件「年代」、「性別」に合致するデータ項目「年齢」、「性別」を持つジョインレコードを検索し、これを最終的な検索結果とする。
【００４４】
利用目的「顧客確認」がフィールド１４１に登録されているレコード１４０は、フィールド１４４に顧客マスタテーブル１３１のテーブル名のみが登録されている。そこで、アクセス制御部１２は、受信したアクセス要求に含まれている利用目的が「顧客情報メンテナンス」の場合、アクセス形態「検索キー」に設定されているデータ項目「顧客番号」を用いて、アクセス要求に含まれている検索条件「顧客番号」に合致するレコード１３１０を顧客マスタテーブル１３１から検索する。
【００４５】
利用目的「メール送信」がフィールド１４１に登録されているレコード１４０は、フィールド１４４に販売履歴テーブル１３２、顧客マスタテーブル１３１の順番でテーブル名が登録されている。そこで、アクセス制御部１２は、受信したアクセス要求に含まれている利用目的が「メール送信」の場合、アクセス形態「検索キー」に設定されているデータ項目「商品名」を用いて、アクセス要求に含まれている検索条件「商品名」に合致するレコード１３２０を販売履歴テーブル１３２から検索する。次に、アクセス制御部１２は、アクセス形態「ジョイン」に設定されているデータ項目「顧客番号」を用いて、検索したレコード１３２０各々を顧客マスタテーブル１３１のレコード１３１０とジョイン操作する。つまり、検索したレコード１３２０各々について、当該レコード１３２０と同じ顧客番号を持つレコード１３１０を顧客マスタテーブル１３１０から検索し、両レコード１３１０、１３２０を繋ぎ合わせ、ジョインレコードを作成する。それから、アクセス制御部１２は、作成したジョインレコードの中からアクセス要求に含まれている検索条件「年齢」、「性別」に合致するデータ項目「年齢」、「性別」を持つジョインレコードを検索し、これを最終的な検索結果とする。
【００４６】
次に、アクセス制御部１２は、Ｓ１０９２で検索したアクセスポリシのレコード１４０のフィールド１４５、１４６に登録されている各データ項目のアクセス形態に従い、Ｓ１０９５で検索した各レコードから、ユーザ端末２に送信するべきでないデータ項目を削除する（Ｓ１０９６）。
【００４７】
アクセスポリシ記憶部１４に記憶されているアクセスポリシが図４に示すものである場合を例にとり具体的に説明する。
【００４８】
利用目的「購買分析」がフィールド１４１に登録されているレコード１４０において、アクセス形態が「取得」または「分類」に設定されているデータ項目は、販売履歴テーブル１３２のデータ項目「商品名」、「販売日」および「販売額」と、顧客マスタテーブル１３１のデータ項目「年齢」および「性別」である。そこで、アクセス制御部１２は、受信したアクセス要求に含まれている利用目的が「購買分析」の場合、Ｓ１０９５で検索されたジョインレコード各々から、「商品名」、「販売日」、「販売額」、「年齢」および「性別」以外のデータ項目を削除する。
【００４９】
利用目的「顧客確認」がフィールド１４１に登録されているレコード１４０において、アクセス形態が「取得」または「分類」に設定されているデータ項目は、顧客マスタテーブル１３１のデータ項目「氏名」、「住所」、「生年月日」、「年齢」、「性別」および「メールアドレス」である。そこで、アクセス制御部１２は、受信したアクセス要求に含まれている利用目的が「顧客確認」の場合、Ｓ１０９５で検索されたレコード各々から、氏名」、「住所」、「生年月日」、「年齢」、「性別」および「メールアドレス」以外のデータ項目を削除する。
【００５０】
利用目的「メール送信」がフィールド１４１に登録されているレコード１４０において、アクセス形態が「取得」または「分類」に設定されているデータ項目は、顧客マスタテーブル１３１のデータ項目「メールアドレス」のみである。そこでアクセス制御部１２は、受信したアクセス要求に含まれている利用目的が「メール送信」の場合、Ｓ１０９５で検索されたジョインレコード各々から「メールアドレス」以外のデータ項目を削除する。
【００５１】
次に、アクセス制御部１２は、Ｓ１０９６でユーザ端末２に送信すべきでないデータ項目が削除された各レコードを、アクセス要求の送信元であるユーザ端末２にネットワークＩＦ部１１を介して送信する。また、その通信内容をログデータ記憶部１５に記憶する（Ｓ１０９７）。
【００５２】
図１に戻って説明を続ける。ユーザ端末２は、ネットワーク４を介してデータサーバ１が保持するデータにアクセスする。図示するように、ユーザ端末２は、ネットワーク４に接続するためのネットワークＩＦ部２１と、アクセス制御部２２と、ユーザから各種指示を受付けたり、ユーザに各種情報を表示したりするための指示受付部２３と、アクセスポリシ記憶部２４と、ログデータ記憶部２５と、鍵情報記憶部２６と、認証情報記憶部２７と、予め登録されたメール本文をメール送信するメール送信部２８と、を有する。
【００５３】
アクセスポリシ記憶部２４には、データサーバ１のデータベース１３に保持されているデータをユーザ端末２のユーザが利用するための条件を規定するアクセスポリシが登録されている。このアクセスポリシは、図４に示すデータサーバ１のアクセスポリシ記憶部１４に記憶されているアクセスポリシと同じものである。
【００５４】
ログデータ記憶部２５には、ユーザ端末２の通信ログが記録される。図５に示すデータサーバ１のログデータ記憶部１５と同様の通信ログが記憶される。
【００５５】
鍵情報記憶部２６には、ユーザ端末２がデータサーバ１および管理端末３の認証に利用する鍵情報が記憶されている。具体的には、複数の管理端末３各々の公開鍵、および、データサーバ１と共有する共通鍵が記憶されている。
【００５６】
認証情報記憶部２７には、ユーザ端末２を利用するユーザ毎に、ユーザの認証情報（パスワード）が当該ユーザのユーザＩＤに対応付けられて登録されている。
【００５７】
そして、アクセス制御部１２は、ユーザの認証処理、通信相手の認証処理、通信ログの記録処理、管理端末３から受信したアクセスポリシの更新処理、および、データサーバ１のデータベース１３へのアクセス制御処理を行う。
【００５８】
図８はユーザ端末２の動作フローを説明するための図である。
【００５９】
ユーザ端末１において、アクセス制御部２２は、ネットワークＩＦ部２１を介して所定の管理端末３からアクセスされると（Ｓ２０１でＹＥＳ）、この管理端末３から暗号文を受信すると共に、通信内容をログデータ記憶部２５に記憶する（Ｓ２０２）。後述するように、この暗号文は、複数の管理端末３がそれぞれの秘密鍵を用いてアクセスポリシを所定の順番で暗号化することにより得られる暗号文である。アクセス制御部２２は、図６のＳ１０３と同様、鍵情報記憶部２６に記憶されている複数の管理端末３各々の公開鍵を用いて、後述する複数の管理端末３での暗号化順とは逆の順番で、受信した暗号文を復号化する（Ｓ２０３）。
【００６０】
次に、アクセス制御部２２は、復号結果が所定のフォーマットを有するアクセスポリシ（図４参照）であるか否かを判断し、アクセスポリシである場合（Ｓ２０４でＹＥＳ）は、このアクセスポリシをアクセスポリシ記憶部２４に新規登録あるいは更新登録する（Ｓ２０５）。一方、アクセスポリシでない場合、アクセスしてきた管理端末３に、ネットワークＩＦ部２１を介してエラーメッセージを通知するなどの所定のエラー処理を行う（Ｓ２１２）。
【００６１】
また、アクセス制御部１２は、指示受付部２３を介してユーザにアクセスされると（Ｓ１０６でＹＥＳ）、当該ユーザの認証処理を行う（Ｓ２０７）。具体的には、指示受付部２３に認証情報の受付画面を表示させ、指示受付部２３を介してユーザよりユーザＩＤおよび認証情報（パスワード）を受け付ける。そして、このユーザＩＤおよび認証情報の組合せが、認証情報記憶部２７に登録されているか否かを調べ、登録されている場合に認証成立と判断する。
【００６２】
Ｓ２０７でユーザ認証不成立の場合（Ｓ２０８でＮＯ）、指示受付部２３にエラーメッセージを通知するなどの所定のエラー処理を行う（Ｓ２１２）。一方、Ｓ２０８でユーザ認証成立の場合、アクセス制御部２２は、ネットワークＩＦ部２１を介してデータサーバ１にアクセスし、鍵情報記憶部２６に記憶されているデータサーバ１と共有する共通鍵を用いて認証要求を行う（Ｓ２０９）。例えば、アクセス制御部２２は、ネットワークＩＦ部２１を介してデータサーバ１から乱数を受信し、この乱数をデータサーバ１と共有する共通鍵を用いて暗号化する。そして、ネットワークＩＦ部２１を介してデータサーバ１にこの暗号文を送信し、データサーバ１から認証結果が送られてくるのを待つ。
【００６３】
Ｓ２０９でデータサーバ１から受信した認証結果が認証成立の場合（Ｓ２１０でＹＥＳ）、データサーバ１のアクセス制御部１２と連携して、データサーバ１のデータベース１３へのアクセスを制御するアクセス制御処理を行う（Ｓ２１１）。一方、認証不成立の場合（Ｓ２１０でＮＯ）、指示受付部２３にエラーメッセージを通知するなどの所定のエラー処理を行う（Ｓ２１２）。
【００６４】
図９はユーザ端末２のアクセス制御処理（図８のＳ２１１）を説明するためのフロー図である。
【００６５】
まず、アクセス制御部２２は、図８のＳ２０７でユーザから入手したユーザＩＤがフィールド１４３に登録されているアクセスポリシのレコード１４０を、アクセスポリシ記憶部２４から検索する（Ｓ２１１１）。そして、検索した各レコード１４０のフィールド１４１に登録されている利用目的の中から、所望の利用目的をユーザに選択させるための利用目的選択画面の画面データを作成し、指示受付部２３に表示させ、ユーザから利用目的の選択を受け付ける（Ｓ２１１２）。
【００６６】
図１０は利用目的選択画面の一例を示す図である。図１０において、符号２３１はユーザＩＤの表示欄、符号２３２は利用目的の選択欄、そして、符号２３３は確定ボタンである。選択欄２３２には、例えばプルダウンメニュー方式により利用目的のリストが表示され、ユーザが図示していないカーソルを操作して所望の利用目的を選択することができる。そして、確定ボタン２３３を選択すると、アクセス制御部２２は、そのときに選択欄２３２で選択されている利用目的を、ユーザが選択した利用目的として確定する。
【００６７】
次に、アクセス制御部２２は、Ｓ２１１１で検索した各レコード１４０の中から、Ｓ２１１２でユーザより受け付けた利用目的がフィールド１４１に登録されているレコード１４０を特定する（Ｓ２１１３）。そして、特定したレコード１４０のフィールド１４２に登録されている検索条件をユーザから受け付けるための検索条件受付画面の画面データを作成し、指示受付部２３に表示させ、ユーザから検索条件を受け付ける（Ｓ２１１４）。
【００６８】
図１１は検索条件受付画面の一例を示す図である。図１１において、符号２３４はユーザＩＤの表示欄、符号２３５は利用目的の表示欄、符号２３７は特定したレコード１４０のフィールド１４４〜１４６に登録されているテーブル名、データ項目およびアクセス形態の表示欄、符号２３６は検索条件の入力欄、そして、符号２３８は確定ボタンである。ユーザが検索条件の入力欄２３６に所望の値を入力し、図示していないカーソルを操作して確定ボタン２３８を選択すると、アクセス制御部２２は、そのときに入力欄２３６に入力されている値を検索条件として確定する。
【００６９】
次に、アクセス制御部２２は、図８のＳ２０７でユーザから入手したユーザＩＤと、Ｓ２１１２、Ｓ２１１４でユーザからそれぞれ受け付けた利用目的、検索条件とを含むアクセス要求を作成し、ネットワークＩＦ部２１を介してデータサーバ１に送信する。また、この通信内容をログデータ記憶部２５に記憶する（Ｓ２１１５）。その後、アクセス制御部２２は、ネットワークＩＦ部２１を介してデータサーバ１から応答を受信するのを待つ。
【００７０】
さて、アクセス制御部２２は、データサーバ１から受信した応答がエラー通知である場合（Ｓ２１１９でＹＥＳ）、指示受付部２３にエラーメッセージを表示するなどの所定のエラー処理を行う（Ｓ２１２０）。一方、データサーバ１から受信した応答がアクセス要求の検索結果のレコードである場合（Ｓ２１１６でＹＥＳ）、Ｓ２１１２で受付けた利用目的と、Ｓ２１１３で特定したレコード１４０のフィールド１４５、１４６に登録されている各データ項目のアクセス形態とに基づいて、受信した各レコードに含まれているデータ項目を処理する（Ｓ２１１８）。
【００７１】
具体的には、Ｓ２１１２で受け付けた利用目的が「購買分析」または「顧客確認」の場合、受信した各レコードに含まれているデータ項目のうち、アクセス形態「取得」に設定されているデータ項目のデータは、加工せずにそのままとし、アクセス形態「分類」に設定されているデータ項目のデータは、当該データ項目に応じて予め用意されている複数のグループ（例えばデータ項目「年齢」に対してグループ「年代」）のうち、当該データが属するグループに変換する。それから、各レコードに基づいて検索結果表示画面の画面データを作成し、指示受付部２３に表示する。
【００７２】
図１２は検索結果表示画面の一例を示す図である。図１２において、符号２９１は図８のＳ２０７でユーザから受け付けたユーザＩＤの表示欄、符号２９２はＳ２１１２でユーザから受け付けた利用目的の表示欄、そして、符号２９３はＳ２１１４でユーザから受け付けた検索条件の表示欄である。また、符号２９４は、アクセス制御部２２により必要に応じてデータ項目が処理された、データサーバ１から受信した各レコードの表示欄である。この例では、データ項目「年齢」がグループ「年代」に加工されて表示されている。また、符号２９５は検索結果表示画面の終了ボタンである。
【００７３】
また、Ｓ２１１２で受け付けた利用目的が「メール送信」の場合、受信した各レコードに含まれているデータ項目のうち、アクセス形態「取得」に設定されているデータ項目のデータは、加工せずにそのままとし、アクセス形態「分類」に設定されているデータ項目のデータは、当該データ項目に応じて予め用意されている複数のグループのうち、当該データが属するグループに変換する。それから、各レコードをメール送信部２８に出力する。メール送信部２８は、アクセス制御部２２から受け取った各レコードに対して、メール送信処理を行う。つまり、アクセス制御部２２から受け取ったレコード各々について、当該レコードに含まれているメールアドレス以外のデータ項目のデータおよびグループを、予め登録されているメール本文中のデータ項目に応じて予め定められた挿入箇所に挿入する。そして、このメール本文を当該レコードに含まれているメールアドレスを宛先として、ネットワークＩＦ部２１から送信する。
【００７４】
図１に戻って説明を続ける。複数の管理端末３は、互いに協力してアクセスポリシを多重に暗号化して、データサーバ１およびユーザ端末２に送信する。図示するように、管理端末３は、ネットワーク４に接続するためのネットワークＩＦ部３１と、暗号処理部３２と、鍵情報記憶部３３と、アクセスポリシ記憶部３４とを有する。
【００７５】
鍵情報記憶部３３には、自身の秘密鍵および他の管理端末３の公開鍵が記憶されている。アクセスポリシ記憶部３４には、管理端末３のユーザ（管理者）によって作成されたアクセスポリシ、あるいは、ネットワークＩＦ部３１を介して他の管理端末３から受信したアクセスポリシの暗号文が記憶される。そして、暗号処理部３２は、アクセスポリシ記憶部３４に記憶されているアクセスポリシを鍵情報記憶部３３に記憶されている自身の秘密鍵で暗号化し、ネットワークＩＦ部３１を介して所定の他の管理端末３へ送信する。あるいは、暗号処理部３２は、ネットワークＩＦ部３１を介して他の管理端末３より受信したアクセスポリシの暗号文のコピーを、鍵情報記憶部３３に記憶されている当該他の管理端末３の公開鍵で復号化する。所定のフォーマットを有するアクセスポリシを正しく復号できた場合は、当該アクセスポリシの暗号文を、鍵情報記憶部３３に記憶されている自身の秘密鍵でさらに暗号化し、ネットワークＩＦ部３１を介して所定の他の管理端末３へ送信するか、あるいは、データサーバ１およびユーザ端末２に送信する。
【００７６】
上述したデータサーバ１、ユーザ端末２および管理端末３は、例えば図１３に示すような、ＣＰＵ９０１と、メモリ９０２と、ＨＤＤ等の外部記憶装置９０３と、ＣＤ-ＲＯＭやＤＶＤ-ＲＯＭやＩＣカードなどの記憶媒体からデータを読み取る読取装置９０４と、キーボードやマウスなどの入力装置９０６と、モニタやプリンタなどの出力装置９０７と、ネットワーク４に接続するための通信装置９０８と、これらの各装置を接続するバス９０９と、を備えた一般的なコンピュータシステムにおいて、ＣＰＵ９０１がメモリ９０２上にロードされたプログラムを実行することで実現できる。このプログラムは、読取装置９０４を介して記憶媒体から、あるいは、通信装置９０８を介してネットワークから、外部記憶装置９０３にダウンロードされ、それから、メモリ９０２上にロードされてＣＰＵ９０１により実行されるようにしてもよい。あるいは、外部記憶装置９０３を経由せずに、メモリ９０２上に直接ロードされ、ＣＰＵ９０１により実行されるようにしてもよい。なお、この場合において、各記憶部１４〜１６、２４〜２７、３３、３４にはメモリ９０２や外部記憶装置９０３や読取装置９０４に搭載された記憶媒体が利用される。また、ネットワークＩＦ部１１、２１、３１には通信装置９０８が利用される。
【００７７】
次に、本実施形態のアクセス制御システムの全体としての動作を説明する。
【００７８】
図１４はデータサーバ１およびユーザ端末２のアクセスポリシを更新する際の処理手順を示す図である。ここでは、複数の管理端末３が管理端末Ａ、Ｂ、Ｃの３つの管理端末であり、暗号化順がＡ、Ｂ、Ｃの順番であるものとしている。
【００７９】
先ず、管理端末Ａにおいて、アクセスポリシ記憶部３４は、管理端末Ａのユーザ（管理者）によって作成されたアクセスポリシを記憶する（Ｓ３０１）。次に、暗号化処理部３２は、このアクセスポリシを鍵情報記憶部３３に記憶されている自身の秘密鍵で暗号化し、ネットワークＩＦ部３１を介して管理端末Ｂへ送信する（Ｓ３１１）。
【００８０】
次に、管理端末Ｂにおいて、暗号化処理部３２は、ネットワークＩＦ部３１を介して管理端末Ａよりアクセスポリシの暗号文を受信すると、鍵情報記憶部３３に記憶されている管理端末Ａの公開鍵でこの暗号文を復号化し、その結果、アクセスポリシを正しく復号化できたならばこの暗号文をアクセスポリシ記憶部３４に記憶する。次に、暗号化処理部３２は、このアクセスポリシの暗号文を鍵情報記憶部３３に記憶されている自身の秘密鍵でさらに暗号化し、ネットワークＩＦ部３１を介して管理端末Ｃへ送信する（Ｓ３２１）。
【００８１】
次に、管理端末Ｃにおいて、暗号化処理部３２は、ネットワークＩＦ部３１を介して管理端末Ｂよりアクセスポリシの暗号文を受信すると、鍵情報記憶部３３に記憶されている管理端末Ｂの公開鍵でこの暗号文を復号化し、その復号結果を管理端末Ａの公開鍵でさらに復号化する。その結果、アクセスポリシを正しく復号化できたならばこの暗号文をアクセスポリシ記憶部３４に記憶する。次に、暗号化処理部３２は、このアクセスポリシの暗号文を鍵情報記憶部３３に記憶されている自身の秘密鍵でさらに暗号化し、ネットワークＩＦ部３１を介してデータサーバ１、ユーザ端末２へ送信する（Ｓ３３１）。
【００８２】
データサーバ１において、アクセス制御部１２は、ネットワークＩＦ部１１を介して管理端末Ｃよりアクセスポリシの暗号文を受信すると、図６のＳ１０１〜Ｓ１０５の処理を行う。すわわち、鍵情報記憶部１６に記憶されている管理端末Ｃの公開鍵でこの暗号文を復号化し、その復号結果を管理端末Ｂの公開鍵でさらに復号化し、その復号化結果を管理端末Ａの公開鍵でさらにまた復号化する（Ｓ３４１）。その結果、アクセスポリシを正しく復号化できたならばこのアクセスポリシをアクセスポリシ記憶部１４に記憶する（Ｓ３４２）。
【００８３】
同様に、ユーザ端末２において、アクセス制御部２２は、ネットワークＩＦ部２１を介して管理端末Ｃよりアクセスポリシの暗号文を受信すると、図８のＳ２０１〜Ｓ２０５の処理を行う。すわわち、鍵情報記憶部２６に記憶されている管理端末Ｃの公開鍵でこの暗号文を復号化し、その復号結果を管理端末Ｂの公開鍵でさらに復号化し、その復号化結果を管理端末Ａの公開鍵でさらにまた復号化する（Ｓ３５１）。その結果、アクセスポリシを正しく復号化できたならばこのアクセスポリシをアクセスポリシ記憶部２４に記憶する（Ｓ３５２）。
【００８４】
図１５はユーザ端末２がデータサーバ１にアクセスする際の処理手順を示す図である。
【００８５】
先ず、ユーザ端末２において、アクセス制御部２２は、図８のＳ２０７の処理を行う。すわわち、指示受付部２３を介してユーザよりユーザＩＤ、認証情報を受け付け（Ｓ４０１）、受け付けたユーザＩＤ、認証情報が認証情報記憶部２７に記憶されているか否かを確認することでユーザ認証を行う（Ｓ４０２）。そして、ユーザ認証が成立したならば、図８のＳ２０９の処理を行う。すなわち、アクセス制御部２２は、ユーザ端末２をデータサーバ１に認証してもらうためにデータサーバ１にアクセスする（Ｓ４０３）。
【００８６】
データサーバ１において、アクセス制御部１２は、図６のＳ１０７の処理を行う。すなわち、アクセス制御部２２は、乱数を生成し、この乱数をユーザ端末２に送信する（Ｓ４１１）。
【００８７】
ユーザ端末２において、アクセス制御部２２は、データサーバ１から乱数を受信すると、この乱数を鍵情報記憶部２６に記憶されているデータサーバ１と共有の共通鍵を用いて暗号化し、暗号結果をデータサーバ１に送信する（Ｓ４０４）。
【００８８】
データサーバ１において、アクセス制御部１２は、ユーザ端末２から受信した暗号文を、鍵情報記憶部２６に記憶されているユーザ端末２と共有の共通鍵を用いて復号化する（Ｓ４１２）。そして、その復号結果がＳ４１１で生成した乱数と一致していることを確認し、その後、アクセス許可のメッセージをユーザ端末２に送信する（Ｓ４１３）。
【００８９】
さて、ユーザ端末２において、アクセス制御部２２は、データサーバ１からアクセス許可のメッセージを受領したならば、図９のフローを実行する。すなわち、指示受付部２３を介してユーザより利用目的および検索条件を受け付け（Ｓ４０５）、受け付けたこれらの情報を含むアクセス要求を生成して、データサーバ１に送信する（Ｓ４０６）。
【００９０】
データサーバ１において、アクセス制御部１２は、ユーザ端末２よりアクセス要求を受信すると、図７のフローを実行して、データベース１３からアクセス対象のレコードを検索し、ユーザ端末２に送信する（Ｓ４１４）。
【００９１】
ユーザ端末２において、アクセス制御部２２は、アクセス要求の応答としてデータサーバ１から受信した各レコードのデータ項目を、Ｓ４０５で受け付けた利用目的およびユーザの顧客番号より特定されるアクセスポリシのレコードに従って処理し（Ｓ４０７）、その結果を該利用目的に応じて定まる出力先（指示受付部２３、メール送信部２８）に出力する（Ｓ４０８）。
【００９２】
以上、本発明の一実施形態について説明した。
【００９３】
本実施形態によれば、データベース１３へのアクセスをユーザおよび利用目的の両方で管理するので、データのアクセスが認められているユーザであっても、当該データの利用目的に応じて当該データのアクセスを制限することができる。また、利用目的に応じて、データのアクセス形態を規制するので、ユーザに意図していない利用をされる可能性を低減できる。
【００９４】
なお、本発明は上記の実施形態に限定されるものではなく、その要旨の範囲内で数々の変形が可能である。
【００９５】
例えば、上記の実施形態では、データサーバ１のアクセス制御部１２が、データベース１３から検索したレコードに含まれているデータ項目のうち出力すべきでないデータ項目（アクセス形態「取得」、「分類」以外のデータ項目）を削除してから、当該検索したレコードをユーザ端末２に送信し、ユーザ端末２のアクセス制御部２２が、データサーバ１から受け取ったレコードに含まれている所定のデータ項目（アクセス形態「分類」のデータ項目）のデータを加工している。しかし、本実施形態はこれに限定されない。
【００９６】
例えば、データサーバ１のアクセス制御部１２が、データベース１３から検索したレコードに含まれているデータ項目のうち出力すべきでないデータ項目（アクセス形態「取得」、「分類」以外のデータ項目）の削除と、所定のデータ項目（アクセス形態「分類」のデータ項目）の加工とを行ってから、当該検索したレコードをユーザ端末２に送信し、ユーザ端末２のアクセス制御部２２が、データサーバ１から受け取ったレコードを、利用目的に応じたデータ出力先（指示受付部２３、メール送信部２８）に出力する処理のみを行うようにしてもよい。
【００９７】
あるいは、データサーバ１のアクセス制御部１２が、データベース１３から検索したレコードを、当該レコードに含まれている各データ項目のアクセス形態に応じた処理を行うことなくユーザ端末２に送信し、ユーザ端末２のアクセス制御部２２が、データサーバ１から受け取ったレコードに含まれているデータ項目のうち出力すべきでないデータ項目（アクセス形態「取得」、「分類」以外のデータ項目）の削除と、所定のデータ項目（アクセス形態「分類」のデータ項目）の加工とを行うようにしてもよい。
【００９８】
また、上記の実施形態において、ユーザ端末２に、データベース１３を追加すると共に、アクセス制御部１２にアクセス制御部２２としての機能を持たせることにより、ユーザ端末２とデータサーバ１とを同じコンピュータ上に構築してもかまわない。
【００９９】
また、上記の実施形態では、データサーバ１およびユーザ端末２のそれぞれにアクセスポリシ記憶部を設けているが、データサーバ１およびユーザ端末２のいずれか一方にのみアクセスポリシ記憶部を設け、他方が一方のアクセスポリシ記憶部からアクセスポリシをダウンロードして利用するようにしてもよい。あるいは、データサーバ１およびユーザ端末２とは別に、アクセスポリシを保持するサーバを設け、データサーバ１およびユーザ端末２のそれぞれが、このサーバからアクセスポリシをダウンロードして利用するようにしてもよい。
【図面の簡単な説明】
【０１００】
【図１】図１は本発明の一実施形態であるアクセス制御システムの概略図である。
【図２】図２は顧客マスタテーブル１３１の登録内容例を示す図である。
【図３】図３は販売履歴テーブル１３２の登録内容例を示す図である。
【図４】図４はアクセスポリシ記憶部１４の登録内容例を示す図である。
【図５】図５はログデータ記憶部１５の登録内容例を示す図である。
【図６】図６はデータサーバ１の動作フローを説明するための図である。
【図７】図７はデータサーバ１のアクセス制御処理（図６のＳ１０９）を説明するためのフロー図である。
【図８】図８はユーザ端末２の動作フローを説明するための図である。
【図９】図９はユーザ端末２のアクセス制御処理（図８のＳ２１１）を説明するためのフロー図である。
【図１０】図１０は利用目的選択画面の一例を示す図である。
【図１１】図１１は検索条件受付画面の一例を示す図である。
【図１２】図１２は検索結果表示画面の一例を示す図である。
【図１３】図１３はデータサーバ１、ユーザ端末２および管理端末３のハードウエア構成例を示す図である。
【図１４】図１４はデータサーバ１およびユーザ端末２のアクセスポリシを更新する際の処理手順を示す図である。
【図１５】図１５はユーザ端末２がデータサーバ１にアクセスする際の処理手順を示す図である。
【符号の説明】
【０１０１】
１…データサーバ、２…ユーザ端末、３…管理端末、４…ネットワーク、１１…ネットワークＩＦ部、１２…アクセス制御部、１３…データベース、１４…アクセスポリシ記憶部、１５…ログデータ記憶部、１６…鍵情報記憶部、２１…ネットワークＩＦ部、２２…アクセス制御部、２３…指示受付部、２４…アクセスポリシ記憶部、２５…ログデータ記憶部、２６…鍵情報記憶部、２７…認証情報記憶部、２８…メール送信部、３１…ネットワークＩＦ部、３２…暗号処理部、３３…鍵情報記憶部、３４…アクセスポリシ記憶部
【図１】
2006155074.tif 000003
【図２】
2006155074.tif 000004
【図３】
2006155074.tif 000005
【図４】
2006155074.tif 000006
【図５】
2006155074.tif 000007
【図６】
2006155074.tif 000008
【図７】
2006155074.tif 000009
【図８】
2006155074.tif 000010
【図９】
2006155074.tif 000011
【図１０】
2006155074.tif 000012
【図１１】
2006155074.tif 000013
【図１２】
2006155074.tif 000014
【図１３】
2006155074.tif 000015
【図１４】
2006155074.tif 000016
【図１５】
2006155074.tif 000017