(57)【要約】【課題】  データ管理システムおよび方法を提供することである。【解決手段】  具体的には、本発明は、データへのアクセスを制御し、そのデータの機密性が維持されることを保証するためのシステムを含む。加えて、本発明は、非機密になった機密データを識別し公開できるように、データを更新するためのシステムを提供する。
2005509971.tif 000002
【特許請求の範囲】
【請求項１】
データ管理システムへのアクセスを許可エンティティに制限するためのアクセス制御システムと、
受信データ内の機密の詳細を識別し秘匿するためのデータ機密性システムと、
前記受信データを記憶するためのデータ記憶システムと、
記憶データを検査して非機密の詳細を識別し公開するためのデータ更新システムとを有する、データ管理システム。
【請求項２】
受信データを暗号化解除するためのデータ暗号化解除システムと、
受信データの正確さを検証するためのデータ検証システムと、
前記記憶データを分析するためのシステムを承認するためのプログラム承認システムと、
暗号化キーを保護するためのキー・セキュリティ・システムとをさらに有する、請求項１に記載のシステム。
【請求項３】
記憶データがデータ分析システムによって分析される、請求項１に記載のシステム。
【請求項４】
前記データ分析システムが、前記データ管理システムの全権メンバによる承認に基づいて前記記憶データを分析することが許可される、請求項３に記載のシステム。
【請求項５】
データ管理システムが、改ざんしにくく、改ざんがすぐに分かり、改ざんに敏感で、改ざんに反応し、プログラム可能なシステムである、請求項１に記載のシステム。
【請求項６】
前記受信データおよび前記記憶データが運用リスク・データである、請求項１に記載のシステム。
【請求項７】
前記システムが運用リスクを軽減する、請求項１に記載のシステム。
【請求項８】
ランダムに生成された時間間隔に基づいてデータが受信される、請求項１に記載のシステム。
【請求項９】
どのエンティティも前記機密の詳細にアクセスできない、請求項１に記載のシステム。
【請求項１０】
一斉に行動する複数のエンティティのみが前記機密の詳細にアクセスできる、請求項１に記載のシステム。
【請求項１１】
あるエンティティの方針を検証するためのカスタマ・リレーションシップ・マネージメント・ツールをさらに有する、請求項１に記載のシステム。
【請求項１２】
データ管理システムへのアクセスを許可エンティティに制限するためのアクセス制御システムと、
運用リスク・データを受信し、受信した運用リスク・データを暗号化解除するためのデータ暗号化解除システムと、
前記受信データ内の機密の詳細を識別し秘匿するためのデータ機密性システムと、
前記機密の詳細を秘匿した後で受信データを記憶するためのデータ記憶システムと、
記憶データを検査して非機密の詳細を識別し公開するためのデータ更新システムと、
前記記憶データを分析するためのシステムを承認するためのプログラム承認システムと、
暗号化キーを保護するためのキー・セキュリティ・システムとを有する、データ管理システム。
【請求項１３】
記憶データがデータ分析システムによって分析される、請求項１２に記載のシステム。
【請求項１４】
前記データ分析システムが、前記データ管理システムの全権メンバによる承認に基づいて前記プログラム承認システムにより前記記憶データを分析することが許可される、請求項１３に記載のシステム。
【請求項１５】
プロバイダが前記運用リスク・データを前記データ管理システムに提起し、リクエスタが前記記憶データにアクセスする、請求項１２に記載のシステム。
【請求項１６】
データを管理するための方法において、
許可プロバイダから保護された方法でデータを受信するステップと、
前記受信データ内の機密の詳細を識別し秘匿するステップと、
前記受信データを記憶するステップと、
前記記憶データ内の非機密の詳細を識別し公開することにより、前記記憶データを更新するステップとを有する方法。
【請求項１７】
前記識別ステップの前に前記受信データを暗号化解除するステップと、
前記受信データの正確さを検証するステップと、
前記記憶データを分析するためのシステムを承認するステップと、
暗号化キーを保護するステップとをさらに有する、請求項１６に記載の方法。
【請求項１８】
データ分析システムによって前記記憶データを分析するステップをさらに有する、請求項１６に記載の方法。
【請求項１９】
全権メンバによる承認に基づいて前記データ管理システムを承認するステップをさらに有する、請求項１８に記載の方法。
【請求項２０】
データを管理するために記録可能媒体上に記憶されたプログラム記録媒体において、実行されると、
データ管理システムへのアクセスを許可エンティティに制限するためのアクセス制御システムと、
受信データ内の機密の詳細を識別し秘匿するためのデータ機密性システムと、
前記受信データを記憶するためのデータ記憶システムと、
記憶データを検査して非機密の詳細を識別し公開するためのデータ更新システムとを有する、プログラム記録媒体。
【請求項２１】
受信データを暗号化解除するためのデータ暗号化解除システムと、
受信データの正確さを検証するためのデータ検証システムと、
前記記憶データを分析するためのシステムを承認するためのプログラム承認システムと、
暗号化キーを保護するためのキー・セキュリティ・システムとをさらに有する、請求項２０に記載のプログラム記録媒体。
【請求項２２】
前記記憶データを分析するためのデータ分析システムをさらに有する、請求項２０に記載のプログラム記録媒体。
【請求項２３】
前記データ分析システムが全権メンバによって承認される、請求項２０に記載のプログラム記録媒体。
【請求項２４】
前記受信データが運用リスク・データである、請求項２０に記載のプログラム記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は一般に、潜在的に機密のデータを管理するためのセキュア(secure)・システムおよび方法に関する。特に、本発明は、データへのアクセスが制御され、データの機密性が保証されるようにデータを管理するためのシステムおよび方法に関する。
【背景技術】
【０００２】
銀行業および保険業などのいくつかの業界では、数種類のデータについて統計的に十分理解することは、経済的成功にとって不可欠であるかまたは少なくとも非常に重要である。たとえば、保険統計チャートは保険業界にとって極めて貴重なリソースである。この場合、このデータ・セットは精密なデータ・モデリングを行えるほど大規模である。その上、考慮に入れる必要がある本質的な情報要素は機密のものではないので、市場関係者間のデータ共用はある程度一般的なことである。通常、このようなデータを記述する配布物はいわゆる「細い尾」を有し、一般に、最も典型的なイベントとはまったく異なるイベントは極めて稀であることを意味する。この特徴ならびに統計分析の改善を可能にするその他の特徴の結果として、顧客にとって魅力的であるとともに保険会社にとって有益になるように、特別価格の設定を行うことができる。
【０００３】
対照的に、他のタイプのデータ（たとえば、運用リスク・データ）は敏感なものと見なされ、このため、滅多に報告されない。通例、このようなタイプのデータを収集する配布物は、太い尾（すなわち、異常に多くの極端なイベント）を有する。「運用リスク」は、内部のプロセス、人間、およびシステムの不備または障害あるいは外部イベントにより直接または間接の損失が発生するリスクに関連する。このタイプのリスクは通常、銀行などの機関が機密状態に保持することを好むイベントにリンクしている（たとえば、そのシステムに対するハッキング、人間またはマシンにより取引を完了できないことなど）。したがって、重要な統計データの品質を高めるために運用リスクに関するデータの共用によって利益を得ると思われる企業は、その共用によって機密性違反が暗示されるので、利益を得ることができない。
【０００４】
これまで、このような敏感なデータを収集するために第三者を使用する試みが行われてきた。しかし、第三者収集に関係がある問題は、第三者の制御の欠如に直接リンクしている。具体的には、第三者は通例、必要なデータをすべて入手するわけではない。その上、このような事例のデータへのアクセス（たとえば、第三者の従業員による）は制御されない場合が多い。したがって、機密の詳細は公開されるリスクを冒している。
【発明の開示】
【発明が解決しようとする課題】
【０００５】
上記の説明を考慮すると、機密データを分析し、そのデータが機密状態のまま存続することができるように機密データを管理するためのセキュア・システムおよび方法が必要である。その上、データへのアクセスが承認済みエンティティまたは許可エンティティのみに制限されるシステムおよび方法が必要である。さらに、受信データ内の機密の詳細を容易に識別し秘匿することができるシステムおよび方法も必要である。さらに、非機密状態になった機密の詳細を識別し公開することができるシステムおよび方法も必要である。
【課題を解決するための手段】
【０００６】
一般に、本発明はデータ管理システムおよび方法を提供する。具体的には、本発明により、ランダムに生成された時間間隔でプロバイダから暗号化データを受信する。受信すると、そのデータを暗号化解除し、そこに含まれる機密の詳細を識別し秘匿する。次にそのデータを統計分析のために記憶し、そのデータの機密性が損なわれない限り、すべてのデータ（機密データを含む）は分析のためにアクセス可能である。非機密状態になった機密の詳細を識別し公開することにより、記憶データを定期的に更新することができる。そのデータへのアクセスは、「許可」として指定されたエンティティに制限される。したがって、システム所有者、管理者などのエンティティでもアクセスできない場合もある。
【０００７】
本発明の第１の態様により、データ管理システムが提供される。このシステムは、（１）データ管理システムへのアクセスを許可エンティティに制限するためのアクセス制御システムと、（２）受信データ内の機密の詳細を識別し秘匿するためのデータ機密性システムと、（３）受信データを記憶するためのデータ記憶システムと、（４）記憶データを検査して非機密の詳細を識別し公開するためのデータ更新システムとを有する。
【０００８】
本発明の第２の態様により、データ管理システムが提供される。このシステムは、（１）データ管理システムへのアクセスを許可エンティティに制限するためのアクセス制御システムと、（２）運用リスク・データを受信し、受信した運用リスク・データを暗号化解除するためのデータ暗号化解除システムと、（３）受信データ内の機密の詳細を識別し秘匿するためのデータ機密性システムと、（４）機密の詳細を秘匿した後で受信データを記憶するためのデータ記憶システムと、（５）記憶データを検査して非機密の詳細を識別し公開するためのデータ更新システムと、（６）記憶データを分析するためのシステムを承認するためのプログラム承認システムと、（７）暗号化キーを保護するためのキー・セキュリティ・システムとを有する。
【０００９】
本発明の第３の態様により、データを管理するための方法が提供される。この方法は、（１）許可プロバイダから保護された方法でデータを受信するステップと、（２）受信データ内の機密の詳細を識別し秘匿するステップと、（３）受信データを記憶するステップと、（４）記憶データ内の非機密の詳細を識別し公開することにより、記憶データを更新するステップとを有する。
【００１０】
本発明の第４の態様により、データを管理するために記録可能媒体上に記憶されたプログラム記録媒体が提供される。実行されると、このプログラム記録媒体は、（１）データ管理システムへのアクセスを許可エンティティに制限するためのアクセス制御システムと、（２）受信データ内の機密の詳細を識別し秘匿するためのデータ機密性システムと、（３）受信データを記憶するためのデータ記憶システムと、（４）記憶データを検査して非機密の詳細を識別し公開するためのデータ更新システムとを有する。
【００１１】
したがって、本発明はデータ管理システムおよび方法を提供する。
【００１２】
本発明の上記その他の特徴は、添付図面に関連して取り上げた本発明の様々な態様の以下の詳細な説明から、より容易に理解されるだろう。
【発明を実施するための最良の形態】
【００１３】
添付図面は単に概略表現にすぎず、本発明の特定のパラメータを描写するためのものではない。添付図面は本発明の典型的な実施形態のみを図示するためのものであり、したがって、本発明の範囲を制限するものと見なしてはならない。添付図面内の同様の番号は同様の要素を表している。
【００１４】
一般に、本発明はデータ管理システムおよび方法を提供する。上記に示すように、多くの産業分野ではデータ共用は極めて有用である可能性がある。しかし、所与のタイプのデータは敏感なものであり、ある組織が機密状態に保持したいと希望する可能性のある詳細を含む。現在まで、これは、組織間でのデータの自由共有を妨げてきた。あるタイプの敏感なデータは「運用リスク」データとして知られ、通常、組織自体の内部の障害により損失（たとえば、コンピュータ・ハッキングによる損失）が発生するリスクに関する。この場合、組織は、運用リスクによる損失を報告する希望や必要がある場合もあるが、そのアイデンティティを秘匿したいと希望する場合もある。さらに他のタイプのデータは、市場での利点のためまたは良好なセキュリティ・パブリック・イメージ保護のために法律により機密状態に保持することが要求される。
【００１５】
敏感なデータに関わるシナリオの１つは、組織が特定の市場を記述した情報を強化する場合に発生する（この市場は、それに基づいて関係者が製品を交換する１組の条件として定義される）。市場情報の知識は、それによって個人が自分のトランザクションを最適化することができるので、すべての人にとって有用である。しかし、それに基づいて取引する特定の条件を明らかにすることを誰も望まないので、この情報は、機密状態のまま存続する必要がある貢献分からなる場合が多い。このデータ・タイプの例としては、（１）非流動金融市場における相場、（２）掛売値段設定情報、（３）保険金請求データを含む。
【００１６】
敏感なデータに関わるもう１つのシナリオは、各行為者が特定の業界組織とともに、他の企業がその運用または取引条件を最適化または促進するために、あるいは業界組織の場合はその業界にとって有益な規則またはサービスを開発するために、その企業がどのように経営しているかを記述した情報（その企業が行う事業前提を含む）を強化する場合である。このデータ・タイプの例としては、（１）前述のように経営または運用リスクの結果として発生する損失、（２）保険業界で使用する統計データ、銀行業界および金融業界で使用する区分分析、企業および業界の格付けなどの公然と入手可能またはアクセス可能な情報の分析結果を含む。
【００１７】
本発明は、データのいかなる機密性にも違反しないような方法で分析結果がリクエスタに提示される限り、機密の詳細が機密状態のまま存続するが、あるメンバ・グループ内のすべての当事者がその機密データについて分析を実行することができるように、組織が上記その他のタイプの敏感なデータを報告するための方法を提供する。また、本発明は、（以下に詳述するように）「承認済み」または「許可」エンティティのみがアクセスできるように、データへのアクセスを制限する。本発明は好ましくは運用リスク・データを管理するために使用するが、どのタイプの敏感なデータも管理できることを理解されたい。
【００１８】
次に図１を参照すると、本発明によるデータ管理システム１０が示されている。図示の通り、データ管理システム１０は、セキュア層１３と、コンピュータ・システム１１と、データベース２２とを含む。典型的な一実施形態では、所与のコンピュータ・システム１１が所与のデータベース２２の管理を担当する。具体的には、一部のコンピュータ・システム１１は暗号化データのみを含むデータベース２２を制御することができ、他のコンピュータ・システム１１は暗号化データまたは暗号化解除データのいずれか一方を有するデータベース２２を制御することができる。一般に、コンピュータ・システム１１は、ＩＢＭの４７５８ＰＣＩ暗号化コプロセッサなど、現場でプログラム可能で物理的かつ論理的に安全な計算装置である。具体的には、このようなシステム１１は、改ざんしにくく、改ざんがすぐに分かり、改ざんに敏感で、改ざんに反応し、プログラム可能なものでなければならない。セキュア層１３は、改ざんしにくく、改ざんに反応し、改ざんに敏感で、改ざんがすぐ分かる暗号ジェネレータ・プログラム可能ハードウェア（プロセッサまたはコプロセッサ付き）である。これは、データ管理システム１０へのアクセスが許可エンティティのみに制限されることを保証する。図１に示す描写は例証のみのものであり、コンピュータ・システム１１および、またはデータベース２２の数量は変動する可能性があることを理解されたい。
【００１９】
次に図２を参照すると、データ管理システム１０のより詳細な図が示されている。図示の通り、データ管理システム１０はコンピュータ・システム１１（明瞭にするため、１つのコンピュータ・システム１１のみが示されている）を含み、これは一般に、メモリ１２と、入出力（Ｉ／Ｏ）インタフェース１４と、中央演算処理装置（ＣＰＵ）１６と、外部装置／リソース１８と、バス２０と、データベース２２とを有する。メモリ１２は、磁気媒体、光学媒体、ランダム・アクセス・メモリ（ＲＡＭ）、読取り専用メモリ（ＲＯＭ）、データ・キャッシュ、データ・オブジェクトなどを含む、任意の既知のタイプのデータ記憶および、または伝送媒体を有することができる。その上、メモリ１２は、１つまたは複数のタイプのデータ記憶装置を有する単一物理位置に位置するか、あるいは様々な形式の複数の物理システム間に分散することができる。ＣＰＵ１６は同様に、単一処理装置を有するか、あるいは、たとえばクライアントおよびサーバ上などの１つまたは複数の位置にある１つまたは複数の処理装置間に分散することができる。
【００２０】
入出力インタフェース１４は、外部ソースとの間で情報を交換するためのシステムを有することができる。外部装置１８は、ＣＲＴ、ＬＥＤ画面、ハンドヘルド・デバイス、キーボード、マウス、音声認識システム、音声出力システム、プリンタ、ファクシミリ、ページャ、携帯情報端末、セルラー電話、ウェブ電話（web phone）などを含む、任意の既知のタイプの外部装置を有することができる。バス２０は、コンピュータ・システム１１内の各コンポーネント間の通信リンクを提供し、同様に、電気、光学、ワイヤレスなどを含む、任意の既知のタイプの伝送リンクを有することができる。加えて、図示していないが、キャッシュ・メモリ、通信システム、システム・ソフトウェアなどの追加のコンポーネントもコンピュータ・システム１１に組み込むことができる。
【００２１】
データベース２２は、本発明を実行するために必要な情報の記憶域を提供することができる。このような情報としては、特に、（１）データおよび統計、（２）関連する機密性の法律、（３）機密性およびデータ認証を取り仕切る方針、（４）データ管理システム１０へのアクセスを取り仕切る規則、（５）メンバ情報を識別するテーブルを含むことができるだろう。図１に示すように、データベース２２は、磁気ディスク・ドライブまたは光ディスク・ドライブなどの１つまたは複数の記憶装置を含むことができる。他の実施形態では、データベース２２は、たとえば、ローカル・エリア・ネットワーク（ＬＡＮ）、広域ネットワーク（ＷＡＮ）、または記憶域ネットワーク（storage area network）（ＳＡＮ）（図示せず）の全域に分散されたデータを含む。また、データベース２２は、それが１つまたは複数の記憶装置を含むものと当業者が解釈できるように構成することもできる。
【００２２】
メモリ１２には、データ保護システム２４とデータ分析システム２６が記憶されている。データ保護システム２４は、プロバイダ２８によって提起され、リクエスタ３０によって要求されたデータを保護するための様々なシステムを含む。図３を参照すると、データ保護システム２４のより詳細な図が示されている。図示のデータ保護システム２４は、（１）アクセス制御システム４０と、（２）データ暗号化解除システム４２と、（３）機密性システム４４と、（４）データ記憶システム４６と、（５）データ更新システム４８と、（６）データ検証システム５０と、（７）プログラム承認システム５２と、（８）キー・セキュリティ・システム５４と、（９）バックアップ／リカバリ・システム５６と、（１０）データ検索システム５８とを含む。
【００２３】
データは、許可（メンバ）プロバイダ２８によってデータ管理システム１０に提起され、その後、データ暗号化解除システム４２によって暗号化解除されることになる。プロバイダ２８がデータの提起を許可されているかどうかは、データベースに記憶された規則またはプロトコルに基づいてアクセス制御システム４０によって検証することができる。具体的には、データを提起しようと試みると、アクセス制御システム４０はまず、プロバイダ２８がそれを実行する権利を有する（すなわち、許可プロバイダ・メンバである）ことを検証することになる。権利を有していない場合、データはデータ管理システム１０によって拒否されることになる。一般に、データは、ランダムに生成された時間間隔に応じて承認済みプロバイダによってデータ管理システム１０に提起される。具体的には、プロバイダ２８によって生成／作成された乱数により、メッセージがランダムに（または所望のコンテンツ付きで）構成され、暗号化フォーマットでデータ管理システム１０に送信されることになる。このメッセージは、少なくとも長さＬのメッセージを提起するようすべてのプロバイダ２８に依頼することをデータ管理システム１０から要求することになる。データ暗号化解除システム４２は、そのメッセージを暗号化解除し、少なくとも長さＬに等しい新しい長さＬ’を決定し、データ更新（新しいイベントおよび、または前のデータの補足）を要求するメッセージをすべてのプロバイダ２８に送信することになる。次にすべてのプロバイダ２８は長さＬ’の暗号化メッセージをデータ管理システム１０に送信し、それをデータ暗号化解除システム４２が暗号化解除する。メッセージによっては実際のデータを含むものもあれば、盗聴の阻止に役立つように空になっているものもある。
【００２４】
以下に詳述するように、（リクエスタ３０とデータ管理システム１０との間の通信と同様に）プロバイダ２８とデータ管理システム１０との間のすべての通信は安全である。この範囲では、インターネットなどの公共システムだけでなく、データを運搬する専用回線またはクーリエを使用することができる。いずれの場合も、トラフィック分析から保護するためのプロトコルを用意しなければならない。加えて、盗聴その他の攻撃から保護するために、好ましくは通信を暗号化する。さらに、プロバイダ２８は、統計分布からの偏差を検出できないように次にランダムにメッセージを提供するまでデータの提起を遅延させることができる。また、このプロセスは、長さＬ’のメッセージの送信中に任意のプロバイダ２８が異なる長さのデータ提起をもう１ラウンド求める要求を埋め込むことができるように修正することができる。さらに修正することにより、プロバイダ２８は余分な長さＬ”を要求することができるが、その場合、Ｌ”はランダムに決定される。
【００２５】
好ましくは、各プロバイダ２８によって提起されるデータ（すなわち、長さＬ’）は特定のフォーマット（たとえば、ＸＭＬ）を備えていなければならない。データ・メッセージの一例を以下に示す。
Ｓ：プロバイダ名Ａ
Ｎ：イベント識別番号（必要とされる追加の情報フローについてはプロバイダ「Ａ」も把握している）
Ｔ：イベントの日付
Ｔ：イベントの位置（または位置のリスト）
Ｎ：イベントの性質（たとえば、１つの番号または後述する複数番号の集合によって指定されるもの）
Ｎ：イベントが主たるものであるか、あるいは他のイベントまたはイベント・チェーンの結果であるか
Ｎ：関係する機器（たとえば、後述する複数番号の集合によって指定されるもの）
Ｔ：関係するすべての機器のブランドおよび名称
Ｎ：イベントとディスカバリとの間に経過した時間
Ｔ：このイベントから発生するイベント・チェーン
Ｔ：軽減の記述（たとえば、１つの番号または後述する複数番号の集合によって指定されるもの）
Ｎ：イベントに関連する推定コスト
Ｔ：イベントが属すイベント・チェーンに関連する推定コスト
【００２６】
この例の「Ｓ」はそのデータが秘密であることを意味し、「Ｔ」は後述するようにそのデータが一時的秘密（temporarily secret）および、または蓋然的秘密（possibly secret）であることを意味し、「Ｎ」はそのデータが秘密ではないことを意味する。秘密であろうとなかろうと、すべてのデータは、分析を実行して報告を作成するためにデータ分析システム２６によってアクセスすることができる。イベントの性質は、複数のイベント・セットが割り当てられた番号によってリストできるように番号に応じて指定することができる。時間が経過するにつれて、理解が深まるほどセグメンテーションが緻密になり、その結果、複数番号のカスケードまたはリストによってイベントを指定することができる。また、複数イベントをグループ化することができ、グループ化した複数グループをグループ化することができ、さらに同様のグループ化が可能であるので、複数イベントは複数イベントそのもの、そのグループなどによって指定される。これにより、種々の統計分析について複数レベルの解決が可能になる。
【００２７】
いずれかのイベントに関連する機器は、複数番号の階層グループ化を使用するかまたはそれと同等にツリーを使用することによって、指定することができる。また、イベントの軽減も複数番号のシーケンスによって有利に指定することができ、これは累進的にますます精密に指定するものである。
【００２８】
データが受信されると、データ暗号化解除システム４２はそのデータを暗号化解除し、機密性システム４４は機密の詳細を識別して秘匿することになる。これは一般に、そのデータを解析し、「Ｓ」または「Ｔ」のマークが付けられたデータを保護／暗号化することによって実施される。秘密の詳細の一例としては、フィリピンの小都市内の銀行に対するハッキングを報告する場合が考えられる。その都市に銀行が１行しかない場合、その銀行のアイデンティティが知られないようにその都市の名前を機密状態に保持することが考えられる。この秘匿とは無関係に、その機密性が損なわれない限り、依然としてその詳細を統計モデリングに使用することができるだろう。たとえば、フィリピン内の銀行に対するハッキングに関する統計を収集する場合、その都市が秘匿されている銀行に関するデータ（たとえば、財務上の損失）は、秘匿した詳細（複数も可）の機密性を損なわずに考慮することになる。秘匿した詳細は場合によっては使用することができ、たとえば、小都市内のイベントに関する統計が要求され、複数の小都市に関連するイベントが存在する場合、関連データを考慮しなければならないと判断するためにその都市の名前を使用することになるが、その都市の名前は明らかにされないだろう。このようなデータは少なくとも一時的秘密のまま存続するが、一部の報告では、秘密状態のまま存続する予定の銀行のアイデンティティまたはその他の情報を明かさないような、あまり精密ではないデータによって置き換えることができる。たとえば、都市名を明かすことによって特定の銀行のアイデンティティを明かすことにならないように十分な地方銀行が形成されるまで、複数銀行の地域的位置（たとえば、フィリピン全体）を使用することができるだろう。
【００２９】
「Ｓ」または「Ｔ」（あるいは同様のインジケータ）を使ってプロバイダ２８が指定することに加え、機密の詳細は内部方針および、または法律に応じて識別することができるだろう。たとえば、地域法または内部方針では、所与の詳細を機密状態に保持することを要求する場合がある。このような事例では、機密性システム４４はこのような詳細を秘匿することになる。本発明による機密性の保護は、許可が欠けているエンティティ（たとえば、システム管理者または所有者を含む）はいずれも機密データにアクセスできないようにするものである。この保護は、機密性および暗号解読などに関する既知の方法を使用して装置の破壊を伴うシナリオにまで及ぶ。本発明では、（技術の進歩につれて、そのデータが再暗号化されて破壊されるので）その秘密はリアルタイム技術の攻撃に関して絶対的なものになるか、あるいは何らかの保証書（warrants）に記載されているようにデータの一部にアクセスするためのキーが政府または規制団体のエージェント（agents）に提供されることになる（すべてのセキュリティ形式の周知の慣例により、より良好なセキュリティを保証するために、複数のエージェントが一緒に行動する必要がある場合もある）。
【００３０】
いずれかの機密の詳細が秘匿されると、データ記憶システム４６はそのデータをデータベース２２に記憶することになる。その後、データ更新システム４８はその記憶データを定期的に更新することになる。データの更新は、新しいデータによるデータの増強とともに、データの除去解除（de-stripping）を含む。後者の場合、機密状態として秘匿されていた一部の詳細はもはや機密状態ではなくなる可能性がある。このような事例では、データ更新システムは非機密の詳細を識別して公開することになる。このタイプのデータは上記では秘密または一時的秘密という。このデータの一例としては、フィリピンのその都市内の銀行の数が所与のしきい値（たとえば、システム方針が指図するもの）を超過する場合に、その都市の名前がもはや機密状態ではなくなる可能性があることが考えられる。また、イベントの理解が深まると前に提供されていないような関連事実が明らかになるので、このデータは正確さのためにデータ更新システム４８によって更新し完成することもできるだろう。たとえば、イベントのコストおよび、または原因は、決定的に判断するには時間がかかる可能性がある。新しい事実に関するものであるかどうかにかかわらず、このような更新はいずれも、イベント識別番号を使用することによって容易に正しいイベントに関連付けられる。
【００３１】
データ検証システム５０は、プロバイダ２８からのデータの正確さを検証する。具体的には、間違ったデータはそこから正確な統計を抽出するのが難しく、何の役にも立たない。したがって、本発明は、故意に不正確なデータを厳重に阻止するメカニズムを提供する。このようなメカニズムの１つは、データおよび、またはプロバイダ２８の抜取り検査または無作為検査を実行することである。たとえば、データ検証システム５０は任意の整数Ｎ（Ａ，Ｋ）を任意のプロバイダ「Ａ」に関連付けることができ、Ｎ（Ａ，Ｋ）はせいぜい期間Ｔのうちのｋ番目の時間経過の間の何らかの上界ＵＢに等しく、したがって、以下のようになる。
Ｎ（Ａ，Ｋ）  ［時間（ｋ−１）Ｔと時間ｋＴとの間のＵＢ］
たとえば、Ｔは１年または１四半期にすることができる。その場合、時間ｋＴでは、プロバイダ「Ａ」によって報告されるＮ（Ａ，Ｋ）通りのイベントがランダムに選択され、おそらく何らかの規制団体からのエージェントは、これらのイベントについてプロバイダ「Ａ」によって報告されたデータが与えられ、必要な照会を実行することができる。間違ったデータに対する保護の一部は、データ検証システム５０におけるイベントの自動感知および報告によって達成することができる。この場合、センサおよび通信手段は、改ざんしにくく、改ざんがすぐに分かり、改ざんに敏感で、改ざんに反応するものでなければならない。一部の業界では、データ・プールの関係者は、前述の通り、制限付きであっても規制に曝されるより、他のすべての関係者が善意と誠意で行動すると期待する方を選ぶ可能性がある。
【００３２】
プログラム承認システム５２は、データ管理システム１０によって収集されたデータを分析するためにデータ分析システム２６の使用を許可する。具体的には、図１に示すように、コンピュータ・システム１１には、提供されたデータを操作することができるソフトウェア・プログラム（すなわち、データ分析システム）を設けることができるだろう。しかし、特定のシステム２６を実現するには、その前に許可が必要になる可能性がある。図４に示す典型的な一実施形態では、エキスパート・グループ１００が新しいデータ分析システム２６を作成することができるだろう。このデータ分析システム２６はメンバ・エンティティ１００Ａ〜１００Ｆ間を循環し、それぞれはデータ分析システム２６の明確なハッシュを知らせる。次に、すべてのメンバ・シグニチャを備えたデータ分析システム２６がデータ管理システム１０に送信され、そこですべてのシグニチャをチェックしてからデータ分析システム２６を受け入れる。既存のプログラムのアクションを求める要求は同様にすべての必要なシグニチャを運搬することになる。場合によっては、対応する分析を随意にしかも他のメンバに知られないように要求することができるすべてのメンバによって、このような要求のコピーが保持されることになる。また、その照会が行われる前にまたは実際の使用時間をまったく制御せずに照会ごとに１回ずつ、全部または一部のメンバがその照会を知らせなければならない場合もある。Ｔｉｖｏｌｉ  Ｐｏｌｉｃｙ  Ｄｉｒｅｃｔｏｒなどのツールによって、シグニチャとその権限レベルの妥当性がチェックされることになる。
【００３３】
場合によっては、分析の実行および、または分析結果の提示の方法がデータの機密性を損なうので、提案したデータ分析システムが低い値の結果をもたらす可能性がある。このような場合、所望の機密性が保全されるがデータ分析システムが有用な情報を提供するようなしきい値に達するまで、「偽」データについてデータ分析システムの方針変更および修正（複数も可）の組み合わせをテストすることになる。
【００３４】
上記に示すように、データ管理システム１０へのアクセスはアクセス制御システム４０（図３）によって制御される。具体的には、アクセス制御システム４０は、許可エンティティのみがシステム１０と対話できることを保証する。典型的な一実施形態では、内部規則が取り仕切るように、種々のクラスのエンティティを設けることができるだろう。たとえば、非メンバ・エンティティ（すなわち、システム所有者または管理者）は、データ管理システム１０を管理するための許可のみを得ているが、分析報告またはデータにアクセスするための許可を得ていない可能性がある。その上、一部のメンバ・エンティティ（たとえば、プロバイダ・メンバまたはリクエスタ・メンバ）は、データを提供するかまたはデータ分析を要求するためのアクセス権しか持っていない可能性がある。別法として、一部のエンティティは、データ管理システム１０への「全権メンバ」アクセス権を持っている可能性があり、それによりこのようなメンバはシステム１０のすべての態様と対話することできる。通常、特定のデータ分析システム２６をデータ管理システム１０上で実現できるかどうかを判定することができるのは全権メンバのみである。本発明の一実施形態では、いずれのエンティティ（メンバまたは非メンバ）もデータそのものにアクセスすることができない。他の実施形態では、特別許可を得ているエンティティのみがデータにアクセスすることができる。さらに他の実施形態では、政府または規制団体のエージェントのみが特殊キー（以下に詳述するもの）によってデータにアクセスすることができる。このような事例では、複数のエージェントはアクセス権が授与されるように一斉に行動することを要求される可能性がある。別法として、エージェントは、アクセス権が授与されるように保証書通りに行動することを要求される可能性がある。
【００３５】
また、データ保護システム２４にはキー・セキュリティ・システム５４も設けられており、これはプロバイダ２８から受信したデータに使用する暗号化／暗号化解除キーならびに受信データの機密の詳細を秘匿するための暗号化／暗号化解除キーを保護するものである。典型的な一実施形態では、キー・セキュリティ・システム５４は、システム１０の違反時にいずれかのキーを破壊することになる。このような機能は、ＩＢＭ４７５８などの反応システムによって提供され、監視のための余分な機器およびマシンの破壊の手段によって増強することができる。
【００３６】
バックアップ／リカバリ・システム５６は、システム１０の障害が発生した場合にデータが無傷で存続できるようにするものである。加えて、バックアップ／リカバリ・システム５６は、（以下に詳述するように）局部攻撃または障害の直後に元のレベルのセキュリティが復元されるように冗長性を提供する。キーを維持し、データへの望ましくないアクセスから保護するすべてのセキュア・ハードウェアは好ましくは、互いに十分離れた様々な位置に散布され、グローバル破壊から保護された複数のコピーとして提供されなければならない。このような冗長性を提供する方法の１つは、ＩＢＭ４７５８などのマシン・シリーズに対し、それぞれのマシン生成マスタ・キーを使用して未破損マシンとしてお互いを認識させ、残りの操作について共通の実際のマスタ・キーを集合的に決定させることである。これは、マスタ・マシンをランダムに選ぶかまたはＤｉｆｆｉｅ−Ｈｅｌｌｍａｎセッションなどのシステムを使用することによって実施することができる。また、セキュア・マシンを使用するというこのシステムは、政府または規制団体のエージェント（前述の通り）にアクセス・キーを提供することもできるだろう。通常、このようなアクセスには、同時に活動化する必要がある複数のキーが必要になるだろう。このような特殊アクセス・キーを生成するために、多くのシナリオを使用することができる。たとえば、適切な複数のエージェントにすべてのキーを一度に与える場合もあれば、システム１０またはデータへのアクセス権を最小数の関係者に授与することを１人のエージェントが要求する場合もある（たとえば、保証書を発行する場合）。集合的に、上記その他のキー方法を使用して、データ管理システム１０およびそこに記憶されたデータへのアクセスを制御することができる。いずれの場合も、改ざんしにくく、改ざんがすぐに分かり、改ざんに敏感で、改ざんに反応し（攻撃が検出されたときにそれぞれのキーを消去する際に）、プログラム可能なものであるセキュア・マシンを使用することにより、データの機密性が保証される。
【００３７】
データ検索システム５８は、リクエスタ３０が記憶および、または分析したデータにアクセスするためのメカニズムを提供する。具体的には、データ検索システム５８は、リクエスタ３０がデータ分析システム２６またはその結果にアクセスして情報（たとえば、データ、統計など）を入手するための方法を提供する。しかし、上記に示すように、データ分析システム２６へのアクセスは、アクセス制御システム４０によって許可リクエスタに制限されている。承認済みリクエスタ３０の一例としては、結果的に利益の損失が発生したイベントの犠牲者であった組織が考えられる。このようなイベントでは、リクエスタ３０は、その損失に関して可能なソリューションを識別するためのデータにアクセスすることができるだろう。このようなソリューションとしては、たとえば、組織、技術的、および、または財政的ソリューションを含むことができるだろう。たとえば、リクエスタ３０は、適格修理工のリストを入手できるだろう。
【００３８】
データ保護システム２４のすべてのシステム４０〜５８は、ハードウェア、ソフトウェア、人的資源、あるいはこれらの組み合わせとして実現可能であることを理解されたい。
【００３９】
図１に戻って参照すると、データ管理システム１０との通信は通信リンク３２を介して行われる。通信リンク３２は、データ管理システム１０に接続された直接端末またはクライアント／サーバ環境におけるリモート・ワークステーションを含むことができる。後者の場合、クライアントとサーバは、インターネット、広域ネットワーク（ＷＡＮ）、ローカル・エリア・ネットワーク（ＬＡＮ）、その他のプライベート・ネットワークを介して接続することができる。サーバとクライアントは、従来のトークン・リング接続、イーサネット（Ｒ）、その他の従来の通信規格を使用することができる。クライアントがインターネットを介してシステム・サーバに接続される場合、従来のＴＣＰ／ＩＰソケットベース・プロトコルにより接続が可能になるだろう。この事例では、クライアントは、システム外部のインターネット・サービス・プロバイダを使用して、システム内のシステム・サーバへの接続を確立することになるだろう。
【００４０】
本発明は、ハードウェア、ソフトウェア、またはハードウェアとソフトウェアの組み合わせで実現可能であることは言うまでもない。その上、本発明によるコンピュータ・システム１１は、単一コンピュータ化ワークステーションでの集中方式または図２に示すように複数の相互接続システム（たとえば、ネットワーク）全域に種々の要素が広がっている分散方式として実現可能である。いかなる種  類のコンピュータ／サーバ・システム（複数も可）あるいは本明細書に記載した方法を実行するために適合させたその他の装置も適している。ハードウェアとソフトウェアの典型的な組み合わせとしては、ロードして実行したときに、本明細書に記載した方法を実行するようにコンピュータ・システム１１を制御するコンピュータ・プログラムを備えた汎用コンピュータ・システムが考えられる。別法として、本発明の機能タスクのうちの１つまたは複数を実行するための専門ハードウェアを含む特定用途コンピュータを使用することができるだろう。また、本発明はコンピュータ・プログラム記録媒体に埋め込むことができ、その記録媒体は本明細書に記載した方法の実現を可能にするすべての特徴を有し、コンピュータ・システム内にロードしたときにその方法を実行することができる。この文脈では、コンピュータ・プログラム、ソフトウェア・プログラム、プログラム、またはソフトウェアは、いずれの言語、コード、または表記法であっても、直接あるいは（ａ）他の言語、コード、または表記法への変換および、または（ｂ）異なる物質形式での複製のいずれか一方または両方の後で、情報処理機能を有するシステムに特定の機能を実行させるための１組の命令を表す表現を意味する。
【００４１】
上記では敏感なデータに関わる２通りのシナリオについて述べた。第３のシナリオは、法律、規制、または慣例により情報とプロバイダのアイデンティティとのリンクの開示を直接または間接的に防止する状況に関するものである。その例としては、（１）エンティティが様々な活動間で「チャイニーズ・ウォール」を維持することを要求される場合、および（２）企業または顧客関連情報がその領土外に輸出されることを国が禁ずる場合を含む。
【００４２】
第１の例に関しては、本発明によりデータを活用できるように、また、（その提案を公式化することをどのように決定したかをエージェントに通知せずに）適切な業務分野に対応する商売上の提案をこのような業務単位を通して送信できるように、（本発明の利点に基づいて）「チャイニーズ・ウォール」に関する方針／要件を再公式化することができる。具体的には、自動カスタマ・リレーションシップ・マネージメント（ＣＲＭ）ツールは、そのエンティティの「チャイニーズ・ウォール」内で動作して、何らかの結論を下す前にそのエンティティがこれらのシステムを見込んでいるかどうかを検証することができるだろう。検証のため、そこからすべての個人情報が除去されたケースが、システムの効率の良い動作を担当するエージェントに対しシステムから提供されることになる。
【００４３】
加えて、ＣＲＭツールがいずれかのエンティティについて引き出すと思われる商売上の結論および提案の数を制限するために、カウンタを使用することができるだろう。そのエンティティが何らかの分析を行わせるインセンティブは、複数の業務分野により所与の一個人の複数登録が同じ人物に属すものとして一致することになることだろう。結果は複数の業務分野から出るので、この人物は１回だけアドレス指定されることになり、同様だが異なるキャンペーンの場合、その個人が埋もれないことを保証するために１つの選択を強制することができる。
【００４４】
第２の例に関しては、本発明により機密データがまったく開示されないという事実により、規制者はそれに対応して規則を修正することができる。たとえば、「Ｘ」という国の銀行は、他の諸国からの企業間取引（Ｂ２Ｂ）交換における運用リスクに関するデータから利益を得る可能性があり、データ・プールに参加せずにそれにアクセスすることはないだろう。本発明は、機密状態に保持することを希望するデータがそのまま存続することを保証しながら良好なサービスを入手することになるＢ２Ｂ市場関係者の同意を得て規則を修正するためのインセンティブを提供することができる。
【００４５】
したがって、本発明により、おそらく稀であるが、それにもかかわらず機密のデータについてデータ分析が可能になる。この分析により、保護、診断方法、訂正ツール、方法、およびエキスパートに関するデータを開発し、使用可能にすることにより、運用リスクの軽減が可能になる。これは、あるイベントのメンバ犠牲者が、組織的、技術的、財務上（たとえば、新しいタイプの保険証券）などのソリューションを含む可能性のある、種々のソリューションにアクセスできるようにするものである。
【００４６】
たとえば、適正な証明書を備えたエキスパート修理工／修理組織のリストにアクセスできるだろう。この例では、本発明は、前の取り決めの機密の詳細を損なわずに、修理組織の格付けを組み込むことができるだろう。
【００４７】
加えて、本発明は、たとえば、都市、州、国またはそれ以上のレベルでインフラストラクチャのバックアップの構築も可能にし、大規模な自然、事故、または犯罪のイベントに対する業界の全般的な回復力を保証する。したがって、本発明は、データおよび方法が何らかのレベルの機密性を必要とする業界の全回復力を可能にする要素を構築するための本質的なツールにすることができる。また、本発明により機密性に違反せずにデータを共用できるという事実により、管理団体または一般に割り振られている資金は市場のグローバル・インフラストラクチャの冗長コンポーネントに資金供給できるはずである。
【００４８】
例証および説明のために、本発明の上記の説明を提示してきた。これは、網羅的なものではなく、開示した精密な形式に本発明を制限するためのものでもなく、明らかに多くの修正および変形が可能である。当業者にとって明白である可能性のあるこのような修正および変形は、特許請求の範囲で定義される本発明の範囲内に含まれるものである。
【図面の簡単な説明】
【００４９】
【図１】本発明によるデータ管理システムを示す図である。
【図２】データ保護システムとデータ分析システムとを有するデータ管理システムのコンピュータ・システムを示す図である。
【図３】図２のデータ保護システムを示す図である。
【図４】データ分析システムの承認プロセスを示す図である。
【図１】
2005509971.tif 000003
【図２】
2005509971.tif 000004
【図３】
2005509971.tif 000005
【図４】
2005509971.tif 000006
【国際調査報告】
2005509971.tif 000007
2005509971.tif 000008
2005509971.tif 000009