(57)【要約】第一のエンティティ（Ｕ）を代理している第三者エンティティ（２）に対して、第二のエンティティＦＳが前記第一のエンティティ（Ｕ）の機密データ（ＤＳ）を要求する際のセキュリティ保護方法であり、第一のエンティティ（Ｕ）が保持しているパーソナル電子媒体（１４）を用いて、機密データの少なくとも一部の送信を制御するものである。その媒体は、例えば移動電話システムのＳＩＭカードの様なスマート・カードの形であっても良い。
2005518039.tif 000002
【特許請求の範囲】
【請求項１】
第一のエンティティ（Ｕ）を代理している第三者エンティティ（２）に対して、第二のエンティティ（ＦＳ）が前記第一のエンティティ（Ｕ）の機密データ（ＤＳ）を要求する際のセキュリティ保護方法であって、
前記第三者エンティティ（２）が、前記第二のエンティティ（ＦＳ）および前記第一のエンティティ（Ｕ）とパーソナル・エージェント・インターフェイス（６）を介して対話し、
前記第一のエンティティ（Ｕ）は、前記第三者エンティティ（２）が前記第二のエンティティ（ＦＳ）に対して、前記機密データ（ＤＳ）の一部の通信を行うことをパーソナル電子媒体（１４）によって制御し、
該制御は、
前記パーソナル電子媒体（１４）のセキュリティ・エージェント（２４）が前記パーソナル・インターフェイス（６）と対話し、
前記パーソナル電子媒体（１４）の前記セキュリティ・エージェント（２４）が、前記機密データ（ＤＳ）の少なくとも一部、および／又は開示を禁止する基準を読み出すことによって行われることを特徴とするセキュリティ保護方法。
【請求項２】
請求項１に記載のセキュリティ保護方法において、
該制御は、前記パーソナル電子媒体（１４）の前記セキュリテイ・エージェント（２４）によって提供されるインターフェイスを介して前記第一のエンティティ（Ｕ）の承認または禁止を得るように実行されることを特徴とするセキュリティ保護方法。
【請求項３】
請求項１又は２に記載のセキュリティ保護方法において、
該制御は、前記第三者エンティティ（２）の外にある前記パーソナル電子媒体（１４）の中の前記機密データ（ＤＳ）の、少なくともあるセキュリティ記録によって行われることを特徴とするセキュリティ保護方法。
【請求項４】
請求項１乃至３のいずれかに記載のセキュリティ保護方法において、
蓄積されたデータが、金融取引に際しての電子操作によって前記第三者のエンティティに送信されることを特徴とするセキュリティ保護方法。
【請求項５】
請求項１乃至４のいずれかに記載のセキュリティ保護方法において、
前記パーソナル電子媒体（１４）と前記第三者のエンティティ（２）との通信がワイアレスリンクで行われることを特徴とするセキュリティ保護方法。
【請求項６】
請求項４に記載のセキュリティ保護方法において、
前記パーソナル電子媒体（１４）と前記第三者のエンティティ（２）との通信が、移動電話運用者（２８）を介して行われることを特徴とするセキュリティ保護方法。
【請求項７】
請求項１乃至６のいずれかに記載の方法に使用されるパーソナル電子媒体（１４）であって、前記媒体は、
送信が管理されている少なくとも１つの機密データ項目を格納するため、および／又は、前記第三者のエンティティ（２）が格納されている前記少なくとも１つの機密データ項目を送信するための条件を格納するためのメモリ領域（２２）と、
前記第三者のエンティティ（２）のパーソナル・エージェント（６）との対話を提供し、前記メモリ領域（２２）の読み出しを提供するセキュリティ・エージェント・アプリケーション（２４）とを備えていることを特徴とするパーソナル電子媒体。
【請求項８】
請求項７に記載のパーソナル電子媒体（１４）において、
前記セキュリティ・エージェント・アプリケーション（２４）は、機密データの公表の承認又は禁止を要求するためのユーザに対するインターフェイス手段を提供することを特徴とするパーソナル電子媒体。
【請求項９】
請求項７又は８に記載のパーソナル電子媒体（１４）において、
前記媒体はチップカードの形であることを特徴とするパーソナル電子媒体。
【請求項１０】
請求項９に記載のパーソナル電子媒体（１４）において、
前記媒体は移動電話端末（１６）の機能をサービスするチップカードの形であることを特徴とするパーソナル電子媒体。
【請求項１１】
第一のエンティティ（Ｕ）が前記第一のエンティティ（Ｕ）を代理する第三者エンティティ（２）と通信するための通信端末（１６）であって、請求項７乃至１０のいずれかに記載のパーソナル電子媒体（１４）からなることを特徴とする通信端末。
【請求項１２】
第一のエンティティ（Ｕ）を代理している第三者エンティティ（２）であって、
請求項７乃至１０のいずれかに記載のパーソナル電子媒体（１４）と対話し、前記媒体の制御下で、第二のエンティティ（ＦＳ）に前記第一のエンティティ（Ｕ）に属する少なくとも１つのデータ項目の送信を可能とする手段（２６）を具備することを特徴とする第三者エンティティ。
【請求項１３】
請求項目１２に記載の第一のエンティティ（Ｕ）を代理している第三者エンティティ（２）であって、
前記第一のエンティティ（Ｕ）と第二のエンティティ（ＦＳ）との間でなされた契約の内容を格納する手段を具備することを特徴とする第三者エンティティ。
【請求項１４】
第三者エンティティ（２）を介して第一のエンティティ（Ｕ）と第二のエンティティ（ＦＳ）との間でのデータの交換を行うためのシステムであって、
前記第二のエンティティ（ＦＳ）は前記第三者エンティティ（２）に対して、前記第一のエンティティ（Ｕ）からの機密データ（ＤＳ）を要求し、
前記第三者エンティティ（２）は、前記第一のエンティティ（Ｕ）および前記第二のエンティティ（ＦＳ）と通信するパーソナル・エージェント・通信手段（６）を備え、
前記第一のエンティティ（Ｕ）はパーソナル電子媒体（１４）を備え、
前記媒体（１４）は、
送信が管理されている少なくとも１つの機密データ項目を格納するため、および／又は、前記第三者のエンティティ（２）が格納されている前記少なくとも１つの機密データ項目を送信するための条件を格納するためのメモリ領域（２２）と、
前記第三者のエンティティ（２）のパーソナル・エージェント（６）との対話を提供し、前記メモリ領域（２２）の読出しを提供するセキュリティ・エージェント・アプリケーション（２４）とを備えていることを特徴とするシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明はデータ交換システム上での機密データ管理に関するものである。
【背景技術】
【０００２】
このようなシステムの例として二つのエンティティ、例えばサービスユーザとサービスプロバイダとの間での第三者エンティティを介して電子取引をする場合が考えられる。第三者エンティティはユーザを代理して自身の名前でサービスプロバイダと交渉するので、ユーザの個人データを保護することができる。
【０００３】
これに関して、アクセスプロバイダとユーザとの間のデータ交換を標準化するための委員会があり、それぞれの団体が契約している。「XNS.org」と呼ばれる委員会（インターネットサイトはhttp://www.xns.org/）がその例で、インターネット上での信用仲介者として第三者エンティティの役目を担っている。
【０００４】
第三者エンティティは、例えばユーザと商業エンティティのような、２者間で作成された契約で取り決められた契約データを記録に留めている。
かくして、契約上の争い、例えば製品の不配達、不払い、個人データの不適当配信などに於いて、第三者信用仲介者は作成された契約書の電子的な証拠を提供する。
【０００５】
図１に、このような組織の運営原理を示す。信用仲介者２は、サービス・プロバイダＦＳと対話する、いわゆるサービス・プロバイダ・エージェント４と、サービスユーザと対話するいわゆるパーソナル・エージェント６との二つのインターフェイスを持っている。これら二つのエージェント４と６とは専用リンク８を介してお互いに対話する。
表示の例では、ユーザは、パーソナル・エージェント６にインターネット１０によって、例えばパーソナルコンピュータＰＣ１２を介して接続される。
【発明の開示】
【発明が解決しようとする課題】
【０００６】
このシステムの欠点は、サービスユーザの代わりに業務を実行するために、第三者信用仲介者２がサービスユーザの個人情報全てを知る必要があることである。
かつ、その個人情報は、本来安全でないコンピュータ内に保存されていること、および個人情報の持ち主が情報の公開、非公開をコントロール出来ないことの二つの点で脆弱なものである。
【０００７】
その結果、信用している団体のサイト上に、ユーザの全ての個人情報を置いていることについて、ユーザは全く何も手出しが出来ない。また、これらのデータのいくつかはユーザにとって、さまざまな理由により機密である。
例をあげると、ユーザの個人電話番号、婚姻情報、銀行明細、電子ビジネスカードや医療データファイル、などである。
【課題を解決するための手段】
【０００８】
上記の見地から、本発明はこのようなシステムに機能的に盛り込むことが出来る技術的保護手段を提供する。
これらの手段は、サービスユーザが保持していて、パーソナル・エージェント、または他の信用団体と対話できるパーソナル電子媒体に基づく。
電子媒体は、それを持っているユーザの厳重な管理の下で、ユーザのパーソナル・エージェントに対して、ユーザが公開の統制を手放したくないと思うような、ある機密データの公開を管理する。かくして保護すべき機密データはユーザによって選択される。
その機密データは、機密にしたいと考える情報項目に関連していれば、ユーザのプライベートや社会や生活等に関するどんな情報であっても良い。
【０００９】
とりわけ、本発明の第一の形態によれば、
第一のエンティティＵを代理している第三者エンティティ２に対して、第二のエンティティＦＳが前記第一のエンティティＵの機密データＤＳを要求する際のセキュリティ保護方法であって、
前記第三者エンティティ２が、前記第二のエンティティＦＳおよび前記第一のエンティティＵとパーソナル・エージェント・インターフェイス６を介して対話し、
前記第一のエンティティＵは、前記第三者エンティティ２が前記第二のエンティティＦＳに対して、前記機密データＤＳの一部の通信を行うことをパーソナル電子媒体１４によって制御し、
該制御は、
前記パーソナル電子媒体１４のセキュリティ・エージェント２４が前記パーソナル・インターフェイス６と対話し、
前記パーソナル電子媒体１４の前記セキュリティ・エージェント２４が、前記機密データＤＳの少なくとも一部、および／又は開示を禁止する基準を読み出すことによって行われることを特徴とするセキュリティ保護方法である。
【００１０】
この方法によれば、ユーザの承認また禁止を得るために、パーソナル電子媒体のセキュリティ・エージェント、またはパーソナル電子媒体内の少なくともいくつかの機密データのセキュリティ記録が、ユーザとインターフェイスすることにより、第三者エンティティの外への機密情報の送信を統制することが出来る。
【００１１】
本発明の第二の形態によれば、本発明は、第三者エンティティを介して、第一のエンティティと第二のエンティティとの間でデータ交換を行うシステムを提供し、
そのシステムは、第三者エンティティ内の通信手段と、以下に述べる特徴を持つ、第一のエンティティ内の電子媒体とを特徴としている。
【００１２】
本発明の第三の形態によれば、本発明は、第一の形態を実施するために、パーソナル電子媒体を提供する。
そのパーソナル電子媒体は、
送信を管理されている少なくとも１つの秘密データ項目を蓄え、および／又は、蓄えられた少なくとも１つの機密データ項目が、第三者エンティティによって送信される条件を蓄積しているメモリ領域と、
第三者エンティティのパーソナル・エージェントと対話し、メモリの読み出しをするセキュリティ・エージェント・アプリケーションとを、保有している。
【００１３】
本発明の第四の形態によれば、本発明は、第一のエンティティが、第三の形態によるパーソナル電子媒体を使用することを特徴とし、第一のエンティティを代理する第三者エンティティと通信を可能にするような通信端末を提供する。
【００１４】
本発明の第五の形態によれば、本発明は、第三の形態よるパーソナル電子媒体と対話する手段を持つように特徴づけられた、第一のエンティティを代理する第三者エンティティを提供し、前記媒体の統制の元で、第一のエンティティに属している少なくとも１つのデータを送信することができる。
この第三者エンティティは、第一のエンティティと第二のエンティティとの間の契約事項をメモリに記録することが出来る。
【００１５】
本発明とその利点は、単に説明のためであり、限定はされない好ましい実施例を添付の図面を参照しながら読むことによりさらに明確になる。
【００１６】
本発明によれば、信用第三者団体２のユーザは、自分の機密情報を管理するパーソナル電子媒体を持っている。前記機密データは、例えばサービスプロバイダに対して、信用団体２によって公開されることに関して、統制を持っておきたい機密データである。
前記サービスプロバイダは、オンラインサービスを提供したり、オンラインで予測を出させたりする商業レベルの企業であってもよいし、あるいは、距離を隔てての情報交換を許可する協会団体などであってもよい。
【００１７】
例えば、パーソナル電子媒体は、ユーザの移動電話端末１６の中に一体化されたＳＩＭあるいはＵＳＩＭ（（Universal）Subscriber Identification Module）タイプのチップカード１４であり、このカード上に新しい機能を付与するものである。
なぜなら、このパーソナル電子媒体ＳＩＭはそれ自身に、マイクロプロセッサー１５、ランダムアクセス「ＲＡＭ」タイプのメモリ１８、固定メモリ「ＲＯＭ」タイプのメモリ２０、電気的プログラム可能な「ＥＥＰＲＯＭ」タイプのメモリ２２、(接触型)通信インターフェイス、通信プログラム、データやプログラムをローディングしうる手段などの上記新しい機能を満たすための基本的な技術的なリソ−スを十分包含しているからである。
【００１８】
チップカード１４は、パーソナル電子媒体を形成し、以下の二つの可能な方法で機密データの管理に関与する：
・１つ又は複数の機密データ項目ＤＳがカード内のメモリ（例えばＥＥＰＲＯＭメモリ２２）に蓄積され、パーソナル・エージェント６には蓄積されない。
および／又は
・パーソナル・エージェントによる蓄えられた機密データの開示を禁止する能力を付与する。
当然、カード１４は、問題の機密データに応じて上記二つの方法を選択的に実行することが出来る。
カード１４の管理は、媒体内（例えばカード１４のＥＥＰＲＯＭメモリ２２）に、含まれている「セキュリティ・エージェント・アプリケーション」２４と呼ばれる応用ソフトによって遂行される。
【００１９】
セキュリティアプリケーション・ソフトは、特に次のものを提供する：
ｉ）パーソナル・エージェント６との対話
ii）機密データＤＳ、および／又は、公開禁止の基準ＣＤを蓄えているメモリ２２の読み取り
iii)ユーザとインターフェイスすること
パーソナル・エージェント６は、その中の一部にセキュリティ・アプリケーション・エージェント２４と対話するためのソフトウエア２６を持っている。
【００２０】
カード１４の管理下で、パーソナル・エージェント６が第三者に機密データを送信する場合に、数種のケースが発生する。
１．第一のケース：
パーソナル・エージェント６は機密データ項目を保持せず、データ項目ＤＳはカード１４に蓄えられている場合、次の２つの可能性がある；
１.１  ユーザが機密データ項目を手順に従って送信することに同意する。
カード内のセキュリティ・エージェント・アプリケーション２４は、カード内のメモリ２２からデータ項目を抽出し、パーソナル・エージェント６の要求の度に手順に従ってパーソナル・エージェント６に自動的に送信するようパラメータ化される。この場合には、ユーザへの許可要求は行わない。
しかしながらこの場合でも、ユーザはパーソナル・エージェント６に対して、メモリ２２からそれらを削除するか、又は、ユーザの端末１６からカード１４を取り除くことによって、データ項目を開示しないようにアクセスする権利を保持することが出来る。
【００２１】
１.２  ユーザが手順に従っての機密データの送信に同意しない。
パーソナル・エージェントからの要求を受けると、セキュリティ・エージェント・アプリケーション２４は、ユーザに対してデータ項目とその公開条件とを示して送信のための許可要求を行う。
ユーザが受諾した場合、セキュリティ・エージェント・アプリケーション２４は応答時に、メモリ２２から問題の機密データ項目を抽出し、それをパーソナル・エージェント６に送信する。
ユーザが拒絶した場合、セキュリティ・エージェント・アプリケーション２４は、メモリ２２内の機密データをロックする。
【００２２】
２．第二のケース：
パーソナル・エージェント６が機密データ項目を所持しているが、要求毎に、ユーザの事前の同意なしでは、第三者にそれを公開しないという条件付の場合には、２つの可能性が考えられる。
【００２３】
２.１  カード１４のセキュリティ・エージェント・アプリケーション２４が、公開条件を表示している場合：
パーソナル・エージェント６は、要求と共にカードに対して公開条件（例えば、要求している第３者の名前など）を示す。
セキュリティ・エージェント・アプリケーション２４は、まず第一に、それが代理人（パーソナル・エージェント６）によって送信された条件で、判断することができる立場にあるか否かを決定する。
【００２４】
応答が否定のときは、以下の２.２で示される可能性について検討する。
応答が肯定のときは、エージェントによって示された条件と、このデータ項目に対して記録されている１つ又は複数の条件とを比較する。
一致すれば、セキュリティ・エージェント・アプリケーション２４は、パーソナル・エージェント６に対して可能信号を送り、パーソナル・エージェント６は第三者（例えばサービスプロバイダＦＳ）に対し要求するデータ項目を公開することを可能にする。
一致しなければ、セキュリティ・エージェント・アプリケーション２４はパーソナル・エージェント６に対して禁止信号を送り、パーソナル・エージェントがメモリからデータ項目を抽出するのを防ぐ。
【００２５】
２.２  カード１４の中のセキュリティ・エージェント・アプリケーション２４が、機密データ項目を公開するための条件を記録していないか、または
（例えば新しい第三者の名前など）その可能性の中にリストされない種類の条件表示に直面した場合：
パーソナル・エージェント６から来た要求に応答して、セキュリティ・エージェント・アプリケーション２４は、ユーザに対して、データ項目の表示とその公開条件とを示して公開許可の要求を出す。
【００２６】
ユーザが受諾したときは、セキュリティ・エージェント・アプリケーション２４はパーソナル・エージェント６に可能信号を送り、パーソナル・エージェント６は第三者に要求するデータ項目を公開することを可能にする。
ユーザが拒絶したときは、セキュリティ・エージェント・アプリケーション２４はパーソナル・エージェント６に禁止信号を送り、パーソナル・エージェント６がメモリからデータ項目を抽出することを防ぐ。
【００２７】
実施例では、セキュリティ・エージェント・アプリケーション２４は、アプレット（「機密エージェント・アプレット」）の形でパーソナル電子媒体１４にロードされ、個人所有化または、あとで個人所有化される。
特に、移動端末に、機密データ項目を送信するための許可要求を伝達し、又は、パーソナル・エージェント６によるアクセスに対して、可能か禁止かの信号を受け入れることを伝達するために、セキュリティ・エージェント・アプリケーション２４は、移動電話端末１６上で、ユーザとのインターフェイスをも管理する。
【００２８】
このインターフェイスには、条件を表示するために移動端末のディスプレイ１６ａが、あるいは、ユーザからの応答を受信するためのキーパッド１６ｂが通常用いられる。
セキュリティ・エージェント・アプレット２４とパーソナル・エージェント６との間の通信は、例えばＧＳＭプロトコルにしたがって携帯端末１６によって使われている「ワイアレス」という無線チャネルで行われる。
例えば、この通信は携帯電話ネットワーク２８のオペレータ（交換機）を介して伝達され、通常、ＳＭＳ(Short Message Service)，ＥＭＳ(Enhanced messaging Service)または、ＭＭＳ(Multimedia Messaging Service)を通して行われる。
【００２９】
通信の部分に対して、セキュリティ・エージェント・アプレット２４は、対話ソフト２６を介して、ＳＭＳメッセージの手段により、パーソナル・エージェント６に応答することができる。そしてＳＭＳメッセージは、機密データ項目や可否信号を送信するサービスをしている。
セキュリティ・エージェント・アプレット２４と、パーソナル・エージェント６の対話ソフト２６との間で、交換されるコマンドや信号をコード化することができるプロトコルは数多くある。
【００３０】
表示の方法によって、さまざまな種類の機密データがセキュリティ・エージェント・アプレット２４とパーソナル・エージェント６の対話ソフト２６との間で、事前に準備されたやり方にしたがってコード化されて記述されている（例えばコード012=社会機密 N0）。
同様に、機密データ項目を要求するサービスプロバイダＦＳはカテゴリ（例えばコード C08=保険サービス商用組織）や名前（例えばコードA19= LaPicardeSA）によってコード化される。
【００３１】
パーソナル・エージェント６からセキュリティ・エージェント・アプレット２４へ来るＳＭＳの内容は、例えばC08 + A19 + 012 となる。
セキュリティ・エージェント・アプレット２４は、このメッセージから、どのケースに該当するのか（先に述べたセクション１.１、１.２、２.１、２.２を参考）を推測することができる。
【００３２】
例えば、携帯電話端末の表示装置のディスプレイ１６ａ上に、「LaPicarde保険会社からの社会機密 N0 の要求、了承：１、拒絶：２」とメッセージが出る。ユーザのキー操作１、２に応じて、データ項目は、第３者に対して公開されるか禁止される。
必要なら、カード１４とパーソナル・エージェント６との対話は、周知の手段（暗号など）で保護される。
【００３３】
本発明は特に以下のような点について様々な変形が考えられる：
・媒体が送られてくる機密データ（または可否信号）の名宛人：名宛人は個人あるいは公共の集中化管理システムであってもよい。
・ユーザが保持するパーソナル電子媒体：この媒体は、あらゆるタイプのチップカード、電子的トークン、電子バッチ、又はプラットフォームを介して、あるいはそれ自身で通信できるあらゆるパーソナル電子物体であってもよい。
・サービスユーザ側の端末：この端末は、いかなる移動電話機、固定電話機、通信個人デジタル補助装置ＰＤＡ、パソコンなどであってもよい。
・サービスユーザが保持しているハードウェア媒体又は端末と機密データの名宛人とを接続する回線：この回線はワイアレス又はケーブル方式の通信プロトコルに基づくことが出きる。
・プロトコル：コマンドや機密データや（公開）可否信号の識別や、あるいはユーザとの通話のためのもの。
・社会や商用アプリケーション。
・その他。
【００３４】
図２で説明すると、セキュリティ・エージェント・アプレット２４のようなソフトは、要求を出したパーソナル・エージェント６に返送されるのではなく、最終目的先（例えばサービスプロバイダＦＳ）への接続番号をダイアルすることによって、直接最終目的先に機密データ項目を送ることによって提供することができる。
サービスユーザが保持しているハードウェア媒体１４，１６は、パーソナル・エージェント６（または承認されたほかの第三者）の機密データのアップデイト、または管理されてローディングが出来る。
受諾または拒否の可能性を、ローディングまたはアップデイトを表示すること、またはユーザによって前もって決められた判断基準に基づいて、自動フィルタリングを実行すること、のどちらかにより、セキュリティ・エージェント・アプレット２４は、サービスユーザの管理下でローディングや変更が可能である。
【産業上の利用可能性】
【００３５】
本発明は、特に電子商取引での電子決済を実行するための金融取引に対して有効である。例えば、銀行明細をパーソナル電子媒体のチップカードの中に蓄積しておき、前述のセクション１.２で述べた方法で使用する。
【図面の簡単な説明】
【００３６】
【図１】図１は、サービスプロバイダとユーザとの間のリンクを形成している信用第三者団体の機能を示す略図である。
【図２】図２は、図１の略図に本発明の好ましい実施例を実現するための事項を加えたものである。
【図１】
2005518039.tif 000003
【図２】
2005518039.tif 000004
【国際調査報告】
2005518039.tif 000005
2005518039.tif 000006
2005518039.tif 000007
2005518039.tif 000008
2005518039.tif 000009
2005518039.tif 000010
2005518039.tif 000011
2005518039.tif 000012