(57)【要約】【課題】データの漏洩を抑制しつつ、真正なユーザのみがデータにアクセスできるようにすること。【解決手段】データ管理プログラム４０は、生体情報が真正であるか否かを示す情報を取得する取得機能４０１と、生体情報が真正であることを示す情報が取得された場合、特定の端末１から参照可能に記憶されている元データから単独では復元不可能な複数の分散データを生成する分散機能４０２と、複数の分散データを複数の記憶装置に分けて格納する格納機能４０３とをコンピュータに実行させる。また、データ管理プログラム４０は、生体情報が真正であるか否かを示す情報を取得する取得機能４０１と、生体情報が真正であることを示す情報が取得された場合、複数の記憶装置のうち少なくとも二つの記憶装置各々に格納されている分散データを収集する収集機能４０６と、収集された分散データから元データを生成する統合機能４０７とをコンピュータに実行させる。【選択図】図２
2019028940.tif 000002
【特許請求の範囲】
【請求項１】
生体情報が真正であるか否かを示す情報を取得する取得機能と、
前記生体情報が真正であることを示す情報が取得された場合、特定の端末から参照可能に記憶されている元データから単独では復元不可能な複数の分散データを生成する分散機能と、
前記複数の分散データを複数の記憶装置に分けて格納する格納機能と、
をコンピュータに実行させるデータ管理プログラム。
【請求項２】
前記複数の分散データが前記複数の記憶装置に分けて格納された後、前記元データを削除するよう命じる削除指令を前記端末へ送信する削除指令機能をコンピュータに更に実行させる、請求項１に記載のデータ管理プログラム。
【請求項３】
前記複数の分散データが前記複数の記憶装置に分けて格納され、かつ、前記端末から参照可能に前記元データが記憶されている場合、前記元データを削除するよう命じる削除指令を前記端末へ送信する削除指令機能をコンピュータに更に実行させる、請求項１に記載のデータ管理プログラム。
【請求項４】
前記元データが削除された場合、前記元データが削除されたことを示す削除情報を送信する送信機能をコンピュータに更に実行させる、請求項１から３のいずれか一項に記載のデータ管理プログラム。
【請求項５】
前記生体情報の種類は、前記元データのセキュリティレベルに応じて設定されている、請求項１から４のいずれか一項に記載のデータ管理プログラム。
【請求項６】
前記分散機能は、前記複数の分散データ各々を更に暗号化する、請求項１から５のいずれか一項に記載のデータ管理プログラム。
【請求項７】
生体情報が真正であるか否かを示す情報を取得する取得機能と、
前記生体情報が真正であることを示す情報が取得された場合、複数の記憶装置のうち少なくとも二つの記憶装置各々に格納されている分散データを収集する収集機能と、
収集された前記分散データから元データを生成する統合機能と、
をコンピュータに実行させるデータ管理プログラム。
【請求項８】
予め設定された時間帯に前記取得機能、前記収集機能及び前記統合機能を有効にする有効化機能をコンピュータに更に実行させる、請求項７に記載のデータ管理プログラム。
【請求項９】
収集された前記分散データの少なくとも一つが改竄されているか否かを判定する判定機能をコンピュータに更に実行させる、請求項７又は８に記載のデータ管理プログラム。
【請求項１０】
収集された前記分散データの少なくとも一つが改竄されていると判定された場合、改竄されていると判定された分散データを正しい分散データで上書きする上書き機能をコンピュータに更に実行させる、請求項９に記載のデータ管理プログラム。
【請求項１１】
前記生体情報の種類は、前記元データのセキュリティレベルに応じて設定されている、請求項７から１０のいずれか一項に記載のデータ管理プログラム。
【請求項１２】
生体情報が真正であるか否かを示す情報を取得する取得ステップと、
前記生体情報が真正であることを示す情報が取得された場合、特定の端末から参照可能に記憶されている元データから単独では復号不可能な複数の分散データを生成する分散ステップと、
前記複数の分散データを複数の記憶装置に分けて格納する格納ステップと、
を含むデータ管理方法。
【請求項１３】
生体情報が真正であるか否かを示す情報を取得する取得ステップと、
前記生体情報が真正であることを示す情報が取得された場合、複数の記憶装置のうち少なくとも二つの記憶装置各々に記憶されている分散データを収集する収集ステップと、
収集された前記分散データから元データを生成する統合ステップと、
を含むデータ管理方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、データ管理プログラム及びデータ管理方法に関する。
【背景技術】
【０００２】
現在、情報セキュリティ技術の一つである秘密分散が注目されている。秘密分散とは、秘密情報である元データから所定のルールに従って生成した複数の分散データを複数の記憶装置に分けて格納し、必要に応じて複数の分散データから元データを復元する技術である。秘密分散は、分散データ各々からは元データを復元不可能であるため、分散データの一つが漏洩しても元データを復元することができず、秘密情報が漏洩することを抑制することができる。例えば、特許文献１には、秘密分散法を用いて、認証情報の復元時にｋ台（ｋ：正の整数）の装置から分散情報を受信し、その受信した分散情報から認証情報を復元し、復元した認証情報と入力された認証情報とを照合して認証を行う認証プログラムが開示されている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０１０−０１１１０９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかし、この認証プログラムは、ユーザ認証に必要なバイオメトリクス認証のテンプレートが漏洩した場合、当該テンプレートと認証時に対となる生体情報によりアクセス可能な端末から参照可能なデータが漏洩してしまうことがある。また、当該テンプレートと認証時に対となる生体情報に加え、端末の識別番号を使用して認証する方法も考えられるが、ユーザが端末を交換しづらくなってしまうことがある。
【０００５】
そこで、本発明は、データの漏洩を抑制しつつ、真正なユーザのみがデータにアクセスできるようにすることができるデータ管理プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００６】
本発明の一態様に係るデータ管理プログラムは、生体情報が真正であるか否かを示す情報を取得する取得機能と、前記生体情報が真正であることを示す情報が取得された場合、特定の端末から参照可能に記憶されている元データから単独では復元不可能な複数の分散データを生成する分散機能と、前記複数の分散データを複数の記憶装置に分けて格納する格納機能とをコンピュータに実行させる。
【０００７】
本発明の一態様に係るデータ管理プログラムは、生体情報が真正であるか否かを示す情報を取得する取得機能と、前記生体情報が真正であることを示す情報が取得された場合、複数の記憶装置のうち少なくとも二つの記憶装置各々に格納されている分散データを収集する収集機能と、収集された前記分散データから元データを生成する統合機能とをコンピュータに実行させる。
【発明の効果】
【０００８】
本発明によれば、データの漏洩を抑制しつつ、真正なユーザのみがデータにアクセスできるようにすることができる。
【図面の簡単な説明】
【０００９】
【図１】図１は、本実施形態に係る端末、記憶装置及び管理サーバと、これらの接続関係の一例を示す図である。
【図２】図２は、本実施形態に係るデータ管理プログラムの機能の一例を示す図である。
【図３】図３は、本実施形態に係るデータ管理プログラムが元データに秘密分散法を適用する方法を示すフローチャートである。
【図４】図４は、本実施形態に係るデータ管理プログラムが複数の分散データから元データを生成する方法を示すフローチャートである。
【発明を実施するための形態】
【００１０】
添付図面を参照して、本発明の好適な実施形態について説明する。なお、各図において、同一の符号を付したものは、同一又は同様の構成を有する。
【００１１】
［実施形態］
まず、図１を参照しながら、本実施形態に係る端末、記憶装置及び管理サーバと、これらの接続関係について説明する。図１は、本実施形態に係る端末、記憶装置及び管理サーバと、これらの接続関係の一例を示す図である。
【００１２】
図１に示すように、ネットワークＮＷには、端末１と、記憶装置２１と、記憶装置２２と、記憶装置２３と、管理サーバ３とが相互に通信可能に接続されている。ネットワークＮＷは、例えば、インターネットである。
【００１３】
端末１は、表示部１１と、生体認証装置１２とを備える。端末１は、例えば、携帯電話、スマートフォン、タブレットである。表示部１１は、例えば、ディスプレイである。生体認証装置１２は、例えば、指紋認証装置、静脈認証装置、顔認証装置、手形認証装置、虹彩認証装置、声紋認証装置であり、ファイド（ＦＩＤＯ：Fast  Identity  Online）に対応していてもよい。なお、端末１は、生体認証装置１２を備える代わりに、別の生体認証装置と接続されていてもよい。
【００１４】
記憶装置２１、記憶装置２２及び記憶装置２３は、データの書き込み及び読み取り自在に構成された記憶手段、例えば、データベースサーバである。記憶装置２１、記憶装置２２及び記憶装置２３は、互いに異なる管理主体、例えば、それぞれ別のクラウドサービスプロバイダにより管理されており、互いに独立している。なお、記憶装置２１、記憶装置２２及び記憶装置２３各々は、一つのクラウドサービスプロバイダにより管理されている一つのデータベースサーバ内で物理的に分離している複数の記憶領域であってもよい。また、ネットワークＮＷには、記憶装置２１、記憶装置２２及び記憶装置２３以外の記憶装置が接続され、四つ以上の記憶装置にデータを書き込んだり読み出したりすることが可能に構成されていてもよい。
【００１５】
管理サーバ３は、ネットワークＮＷを介して端末１と通信可能に構成され、後述する削除情報を受信するコンピュータ装置であり、例えば、データベースサーバである。管理サーバ３は、後述するデータ管理プログラム４０の使用契約を締結している事業者等により管理される。
【００１６】
次に、図１及び図２を参照しながら、本実施形態に係るデータ管理プログラムの機能について説明する。図２は、本実施形態に係るデータ管理プログラムの機能の一例を示す図である。
【００１７】
データ管理プログラム４０は、例えば、端末１にインストールされており、図２に示すように、大きく分けて秘密分散機能４１と復元機能４２とを有する。
【００１８】
秘密分散機能４１は、端末１から参照可能に記憶されている元データから複数の分散データを生成し、複数の記憶装置に分けて格納する機能である。具体的には、秘密分散機能４１は、図２に示した取得機能４０１、分散機能４０２及び格納機能４０３により実現される。また、図２に示した削除指令機能４０４及び送信機能４０５は、秘密分散機能４１に付随する選択的な機能である。
【００１９】
復元機能４２は、複数の記憶装置のうち少なくとも二つの記憶装置各々に格納されている分散データを収集して元データを復元する機能である。具体的には、復元機能４２は、取得機能４０１、収集機能４０６及び統合機能４０７により実現される。また、図２に示した有効化機能４０８、判定機能４０９及び上書き機能４１０は、復元機能４２に付随する選択的な機能である。
【００２０】
データ管理プログラム４０の秘密分散機能４１について説明する。
【００２１】
取得機能４０１は、生体情報が真正であるか否かを示す情報を取得する。この生体情報は、端末１のユーザが生体認証装置１２に入力した認証用情報であり、例えば、指紋、静脈、顔、手形、虹彩、声紋である。生体情報に基づく認証により、端末１を操作する者が、端末１にインストールされているデータ管理プログラム４０の利用を許可されている真正なユーザであることを認証することができる。なお、ここで言うユーザとは、例えば、データ管理プログラム４０の使用契約を締結している事業者等から委託され、自己の端末１を使用して営業活動を行っている営業スタッフである。
【００２２】
分散機能４０２は、生体情報が真正であることを示す情報が取得された場合、端末１から参照可能に記憶されている元データから単独では復元不可能な複数の分散データを生成する。すなわち、分散機能４０２は、一つの元データに秘密分散法（Secret  Sharing  Scheme）を適用し、複数の分散データを生成する。端末１から参照可能に記憶されているとは、端末１に元データが記憶されている場合のほか、外部の記憶手段、例えば、クラウドサービス等により端末１以外の場所に元データが記憶されている場合も含むことを意味する。
【００２３】
元データは、秘密に管理されるべき性質を有する秘密情報であり、例えば、ユーザが端末１を使用して連絡を取っている顧客の氏名、電話番号、住所等を含む住所録や顧客の属性を含む。また、ここで言う顧客の属性とは、例えば、「申込中」、「商談中」、「契約者」、「失注」等、各顧客に対する営業活動の進捗状況を表すデータである。元データは、例えば、端末１の表示部１１に表示されることにより初めてユーザにとって意味のある住所録情報や顧客の属性として表示されるものである。
【００２４】
分散データは、単独では元データを復元不可能なように生成されている情報であり、例えば、単独では元データを復元するに足りるビット情報が欠落しており、複数の分散データに基づいて初めて元データが復元可能な情報である。すなわち、このような分散データは、単独ではユーザにとって意味をなさないデータである。例えば、分散データは、例えば、元データを所定のルールに従って一部のビットをマスクすることにより生成される。具体的には、分散データごとに予め決められたビット位置のビット情報を飛ばしてビット情報を圧縮して生成される。このため、一部の分散データが漏洩しても一部のビット情報が欠落しているために元データが復元されることがなく、秘密情報が漏洩することはない。また、分散機能４０２は、秘密分散処理後の複数の分散データ各々を更に暗号化して記憶してもよい。なお、本実施形態では、記憶装置２１、記憶装置２２及び記憶装置２３のうちいずれか二つの記憶装置の分散データに基づけば、元データが復元可能なように秘密分散処理されているものとする。
【００２５】
格納機能４０３は、複数の分散データ各々を複数の記憶装置に分けて格納する。例えば、格納機能４０３は、図１に示すように、分散データＡを記憶装置２３及び記憶装置２１に格納する。同様に、格納機能４０３は、分散データＢを記憶装置２１及び記憶装置２２に格納する。また、格納機能４０３は、分散データＣを記憶装置２２及び記憶装置２３に格納する。本実施形態では、分散データＡ、分散データＢ及び分散データＣの三つのデータから元データを復元可能なようになっている。すなわち、記憶装置２１、記憶装置２２及び記憶装置２３のうちいずれか二つの記憶装置の分散データを取得すれば、元データが復元可能なようになっている。
【００２６】
なお、格納機能４０３は、分散データＡ、分散データＢ及び分散データＣ各々を少なくとも記憶装置２１、記憶装置２２及び記憶装置２３のうちの少なくとも一つに格納してもよい。また、格納機能４０３は、予め指定された記憶装置に分散データＡ、分散データＢ及び分散データＣを格納してもよい。これらの分散データが格納される記憶装置は、例えば、データ管理プログラム４０の使用契約を締結している事業者等により指定されてもよく、格納機能４０３により自動的に指定されてもよい。格納機能４０３が分散データを格納する記憶装置の数が多い程、元データのセキュリティが強固になる傾向にある。また、格納機能４０３が分散データを格納する記憶装置各々が複数の事業者により管理されている場合、記憶装置の独立性が高くなるため、元データのセキュリティが強固になる傾向にある。
【００２７】
削除指令機能４０４は、複数の分散データが複数の記憶装置に分けて格納された後、元データを削除するよう命じる削除指令を端末１に送信する。例えば、削除指令機能４０４は、図１に示すように、分散データＡが記憶装置２１及び記憶装置２２に格納され、分散データＢが記憶装置２２及び記憶装置２３に格納され、分散データＣが記憶装置２３及び記憶装置２１に格納された後、削除指令を端末１へ送信する。端末１は、削除指令を受信した場合、削除指令をユーザに示す画像を表示部１１に表示し、元データが削除されているか否かに関わらず、元データを自らの記憶手段に記憶している場合にはこの元データを削除し、外部に記憶している場合には外部の記憶手段から元データを削除するようユーザを促す。これにより、削除指令機能４０４は、ユーザが端末１を紛失したり、端末１自体が盗難されたりすることによる元データの漏洩を抑制することができる。また、端末１に格納されている元データ自体が不正にアクセスされて外部へ漏洩したりすることを抑制することができる。なお、端末１は、削除指令を受信した場合、元データを自動的に削除してもよい。
【００２８】
また、削除指令機能４０４は、複数の分散データが複数の記憶装置に分けて格納され、かつ、元データが端末１から参照可能に格納されている場合、元データを削除するよう命じる削除指令を端末１へ送信してもよい。例えば、削除指令機能４０４は、図１に示すように、分散データＡが記憶装置２１及び記憶装置２２に格納され、分散データＢが記憶装置２２及び記憶装置２３に格納され、分散データＣが記憶装置２３及び記憶装置２１に格納され、かつ、端末１から参照可能に元データが記憶されている場合、削除指令を端末１へ送信してもよい。ここでは、端末１は、削除指令を受けた場合、元データが削除されていなかった場合にのみ、削除指令をユーザに示す画像を表示部１１に表示し、元データを自らの記憶手段に記憶している場合にはこの元データを削除し、外部に記憶している場合には外部の記憶手段から元データを削除するようユーザを促す。これにより、削除指令機能４０４は、ユーザが元データの削除を失念したり怠ったりしていた場合に限り、元データを端末１や外部の記憶手段から削除するように促すので、端末１のユーザを煩わせてしまうことを抑制することができる。なお、端末１は、削除指令を受信した場合、元データを自動的に削除してもよい。
【００２９】
送信機能４０５は、端末１から参照可能に元データが記憶されていない状態となった場合、元データが端末１から削除されたことを示す削除情報を送信する。例えば、送信機能４０５は、図１に示すように、分散データＡが記憶装置２１及び記憶装置２２に格納され、分散データＢが記憶装置２２及び記憶装置２３に格納され、分散データＣが記憶装置２３及び記憶装置２１に格納された後、削除情報を管理サーバ３へ送信する。これにより、送信機能４０５は、端末１にインストールされているデータ管理プログラム４０の使用契約を締結している事業者等に元データが正しく削除された事実を通知することができる。
【００３０】
データ管理プログラム４０の復元機能４２について説明する。
【００３１】
取得機能４０１は、生体情報が真正であるか否かに関する情報を取得する。復元機能４２における取得機能４０１は、秘密分散機能４１における取得機能４０１と同様である。
【００３２】
収集機能４０６は、生体情報が真正であることを示す情報が取得された場合、複数の記憶装置のうち少なくとも二つの記憶装置各々に格納されている分散データを収集する。例えば、収集機能４０６は、記憶装置２１から分散データＡ及び分散データＢを収集し、記憶装置２２から分散データＣを収集する。また、例えば、収集機能４０６は、記憶装置２１から分散データＡを収集し、記憶装置２２から分散データＢを収集し、記憶装置２３から分散データＣを収集する。
【００３３】
統合機能４０７は、収集された分散データから元データを生成する。例えば、統合機能４０７は、分散データＡ、分散データＢ及び分散データＣを組み合わせたデータを復号し、元データを生成する。また、例えば、分散データＡ、分散データＢ及び分散データＣの少なくとも一つが記憶時に暗号化されている場合、これを復号してから組み合わせて元データを生成する。元データは、端末１の記憶手段に格納されることなくユーザに視認可能に提供される。例えば、端末１の表示部１１の画像メモリ等、一時的な記憶領域において直接合成されることでユーザに文字情報又は画像情報として認識可能に表示される。
【００３４】
有効化機能４０８は、予め設定された時間帯に取得機能４０１、収集機能４０６及び統合機能４０７を有効にする。例えば、有効化機能４０８は、営業スタッフが端末１を使用した営業活動を開始する午前９時にこれら三つの機能を有効にし、営業活動を終了する午後５時にこれら三つの機能を無効にする。これにより、有効化機能４０８は、端末１のユーザがデータ管理プログラム４０を毎日立ち上げる労力を抑制したり、端末１のユーザがデータ管理プログラム４０の立ち上げを失念することを防止したりすることができる。また、有効化機能４０８は、自動的にこれら三つの機能を有効にするため、ユーザが営業時間以外に元データを不正に利用することを抑制することができる。
【００３５】
判定機能４０９は、収集された分散データの少なくとも一つが改竄されているか否かを判定する。改竄されているか否かは、格納前に取得して記憶しておいた判定情報と収集時に取得した判定情報とを相互に比較する方法が挙げられる。例えば、判定機能４０９は、正しい元データに秘密分散法が適用される前に取得したハッシュ値、長さ又は正規表現と、収集された分散データを組み合わせて復号したデータのハッシュ値、長さ又は正規表現とが異なる場合、収集された分散データのうち少なくとも一つが改竄されていると判定する。また、例えば、判定機能４０９は、正しい元データから分散データを生成した際の各分散データのハッシュ値、長さ又は正規表現と、各記憶装置から収集された分散データのハッシュ値、長さ又は正規表現とが異なる場合、当該分散データが改竄されていると判定する。後者の方法であれば、改竄された分散データを特定できるという利点がある。
【００３６】
これらの場合、判定情報は、例えば、格納機能４０３が分散データを格納する記憶装置とは異なる記憶装置に記憶される。判定情報を記憶するタイミングは、ある元データについて、初めて、分散機能４０２が複数の分散データを生成し格納機能４０３がこれらを複数の記憶装置に分けて格納する時である。また、同じ元データについて、再度分散データを生成して格納するたびに、判定情報も更新される。また、判定機能４０９は、秘密分散法が適用される時に取得して記録した更新日時と、収集された分散データの更新日時とが異なる場合、当該分散データが改竄されていると判定することもできる。
【００３７】
したがって、判定機能４０９は、改竄されている分散データから元データと異なるデータが生成されたり、端末１の表示部１１に表示されたりすることを抑制することができる。なお、正しい元データのハッシュ値及び正規表現は、例えば、分散データが格納されておらず、かつ、ネットワークＮＷに接続されている記憶装置に格納されており、適宜、判定機能４０９により取得される。
【００３８】
上書き機能４１０は、収集された分散データの少なくとも一つが改竄されていると判定された場合、改竄されていると判定された分散データを正しい分散データで上書きする。例えば、判定機能４０９が記憶装置２１内の分散データＢを使用してデータを生成し、統合機能４０７が記憶装置２２内の分散データＢを使用して正しい元データを生成しており、両者が使用している分散データＡ及び分散データＣが同じであって、記憶装置２１内の分散データＢが改竄されていると判定された場合、上書き機能４１０は、記憶装置２１に格納されている分散データＢを記憶装置２２に格納されている分散データＢで上書きする。これにより、上書き機能４１０は、統合機能４０７が改竄された分散データから元データを生成してしまうことを抑制することができる。
【００３９】
図３を参照しながら、本実施形態に係るデータ管理プログラムが元データに秘密分散法を適用する方法を説明する。図３は、本実施形態に係るデータ管理プログラムが元データに秘密分散法を適用する方法を示すフローチャートである。
【００４０】
データ管理プログラム４０は、取得ステップＳ１１において、取得機能４０１により、生体情報が真正であるか否かを示す情報を取得する。次に、データ管理プログラム４０は、分散ステップＳ１２において、分散機能４０２により、元データから複数の分散データを生成する。最後に、データ管理プログラム４０は、格納ステップＳ１３において、格納機能４０３により、複数の分散データを複数の記憶装置に分けて格納する。
【００４１】
図４を参照しながら、本実施形態に係るデータ管理プログラムが複数の分散データから元データを生成する方法を説明する。図４は、本実施形態に係るデータ管理プログラムが複数の分散データから元データを生成する方法を示すフローチャートである。
【００４２】
データ管理プログラム４０は、取得ステップＳ２１において、取得機能４０１により、生体情報が真正であるか否かを示す情報を取得する。次に、データ管理プログラム４０は、収集ステップＳ２２において、収集機能４０６により、少なくとも二つの記憶装置各々に格納されている分散データを収集する。最後に、データ管理プログラム４０は、統合ステップＳ２３において、統合機能４０７により、分散データから元データを生成する。
【００４３】
以上、本発明の一例である実施形態について説明した。データ管理プログラム４０は、生体情報が真正であるか否かを示す情報を取得する取得機能４０１と、生体情報が真正であることを示す情報が取得された場合、特定の端末１から参照可能に記憶されている元データから単独では復元不可能な複数の分散データを生成する分散機能４０２と、複数の分散データを複数の記憶装置に分けて格納する格納機能４０３とをコンピュータに実行させる。
【００４４】
取得機能４０１が動作した後、分散機能４０２及び格納機能４０３の動作が開始するため、端末１のユーザは、分散機能４０２及び格納機能４０３を容易に使用することができる。また、データ管理プログラム４０は、元データから生成した複数の分散データを複数の記憶装置に分けて格納し、分散データ単独では元データを復元不可能であるため、元データが漏洩することを抑制することができる。さらに、データ管理プログラム４０の使用契約を締結している事業者等は、元データを自ら所有し、元データが漏洩するリスクを負うことなく、秘密情報である元データを安全に管理することができる。
【００４５】
データ管理プログラム４０は、生体情報が真正であるか否かを示す情報を取得する取得機能４０１と、生体情報が真正であることを示す情報が取得された場合、複数の記憶装置のうち少なくとも二つの記憶装置各々に格納されている分散データを収集する収集機能４０６と、収集された分散データから元データを生成する統合機能４０７とをコンピュータに実行させる。
【００４６】
取得機能４０１が動作した後、収集機能４０６及び統合機能４０７の動作が開始するため、端末１のユーザは、収集機能４０６及び統合機能４０７を容易に使用することができる。また、データ管理プログラム４０は、ユーザが生体認証を行った後、分散データから画像メモリ等の一時的な記憶領域において元データを生成するため、元データが漏洩することを抑制することができる。さらに、データ管理プログラム４０の使用契約を締結している事業者等は、元データを自ら所有し、元データが漏洩するリスクを負うことなく、秘密情報である元データを安全に管理することができる。
【００４７】
なお、秘密分散機能４１及び復元機能４２における取得機能４０１が取得する生体情報の種類は、元データのセキュリティレベルに応じて設定されていてもよい。例えば、取得機能４０１は、セキュリティレベルが中である顧客の属性「商談中」を元データが含む場合、指紋が真正であるか否かに関する情報を取得し、セキュリティレベルが高である顧客の属性「契約者」を元データが含む場合、指紋及び虹彩の少なくとも一方が真正であるか否かに関する情報を取得してもよい。これにより、データ管理プログラム４０は、重要度が高い元データへのアクセスを厳格に管理し、重要度が低いデータへのアクセスを容易にすることができる。また、例えば、営業活動においてユーザが端末１の他に別の端末も使用している場合、秘密分散機能４１及び復号機能における取得機能４０１が取得する生体情報の種類は、端末１と当該別の端末とで異なっていてもよい。
【００４８】
以上説明した実施形態は、本発明の理解を容易にするためのものであり、本発明を限定して解釈するためのものではない。実施形態が備える各要素並びにその配置、材料、条件、形状及びサイズ等は、例示したものに限定されるわけではなく適宜変更することができる。また、異なる実施形態で示した構成同士を部分的に置換し又は組み合わせることが可能である。
【符号の説明】
【００４９】
１…端末、１１…表示部、１２…生体認証装置、２１，２２，２３…記憶装置、３…管理サーバ、４０…データ管理プログラム、４１…秘密分散機能、４２…復元機能、４０１…取得機能、４０２…分散機能、４０３…格納機能、４０４…削除指令機能、４０５…送信機能、４０６…収集機能、４０７…統合機能、４０８…有効化機能、４０９…判定機能、４１０…上書き機能、Ａ，Ｂ，Ｃ…分散データ、ＮＷ…ネットワーク
【図１】
2019028940.tif 000003
【図２】
2019028940.tif 000004
【図３】
2019028940.tif 000005
【図４】
2019028940.tif 000006