(57)【要約】【課題】個人情報を個人情報として秘匿したまま、当該顧客が自社のデータベースに登録されているか否かの判別を行う照合システムの提供。【解決手段】配信用端末を用いて情報提供用端末の有する個人情報と、情報受領用端末に備えられたデータベースに保存された登録者データとを照合する照合システムであって、前記個人情報を正規化する正規化手段と、前記正規化手段によって正規化された前記個人情報を不可逆的に変更したハッシュ化情報へと変換するハッシュ化手段と、前記ハッシュ化情報に基づいて匿名照合情報を生成する匿名照合情報生成手段と、前記匿名照合情報を前記情報受領用端末へと配信するための配信手段と、配信された前記匿名照合情報を用いて前記登録者データが前記データベースに登録されているか否かを判別する照合手段と、を有する照合システム。【選択図】図１
2019101392.tif 000002
【特許請求の範囲】
【請求項１】
配信用端末を用いて情報提供用端末の有する個人情報と、情報受領用端末に備えられたデータベースに保存された登録者データとを照合する照合システムであって、
前記個人情報を正規化する正規化手段と、
前記正規化手段によって正規化された前記個人情報を不可逆的に変更したハッシュ化情報へと変換するハッシュ化手段と、
前記ハッシュ化情報に基づいて匿名照合情報を生成する匿名照合情報生成手段と、
前記匿名照合情報を前記情報受領用端末へと配信するための配信手段と、
配信された前記匿名照合情報を用いて前記登録者データが前記データベースに登録されているか否かを判別する照合手段と、
を有する照合システム。
【請求項２】
請求項１に記載の照合システムであって、
複数の前記情報受領用端末を備え、
前記匿名照合情報生成手段は、前記ハッシュ化情報を、それぞれの前記情報受領用端末に合わせて生成されたランダム鍵を用いて暗号化することを特徴とする照合システム。
【請求項３】
請求項２に記載の照合システムであって、
前記匿名照合情報は、前記ランダム鍵と、当該ランダム鍵が生成された端末の情報とを含むことを特徴とする照合システム。
【請求項４】
請求項１乃至３の何れか１つに記載の照合システムであって、
前記正規化手段は、前記個人情報に含まれる個人名を、実用上の用法に沿った包摂テーブルを用いて正規化することを特徴とする照合システム。
【請求項５】
請求項１乃至４の何れか１つに記載の照合システムであって、
前記匿名照合情報をブロックチェーンとして記録することを特徴とする照合システム。
【請求項６】
請求項１乃至５の何れか１つに記載の照合システムであって、
前記情報提供用端末が前記匿名照合情報生成手段を有し、
前記情報提供用端末は、前記配信用端末と前記情報提供用端末との組み合わせによって固有のランダム鍵を生成し、
前記匿名照合情報生成手段は、当該ランダム鍵と前記ハッシュ化情報とを用いて前記匿名照合情報を生成することを特徴とする照合システム。
【請求項７】
請求項１乃至６の何れか1つに記載の照合システムであって、
前記個人情報は個人名を含んでいることを特徴とする照合システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、配信用端末を用いて情報提供用端末の有する個人情報と、情報受領用端末に備えられたデータベースに保存された登録者データとを照合する照合システムに関する。
【背景技術】
【０００２】
個人情報の管理を行う上では、例えば所定の利用者間のみに読み取り可能なように情報に暗号化を施して通信する方法などが一般に知られている（特許文献１等参照）。
また、外部には流出すべきでない個人情報を取り扱うことが多い顧客情報管理システムにおいては、個人情報の厳格な管理が求められている一方で、問題のある顧客を早期に発見して、利用を制限しなければならない場合もまた存在する（特許文献２、３等参照）。
【０００３】
特に、金融機関等においては、顧客の個人情報は個別に管理しながらも、信用情報等に瑕疵があった場合には同業他社との間で迅速に共有するような仕組みが求められている。
しかしながら、こうした個人情報は、公開すること自体に多大なリスクがあり、例えばこれらの個人情報を閉鎖されたネットワーク上でやり取りしたとしても、秘密の保護という観点からは望ましくない。
そこで、個人情報を個人情報のまま送信することなく秘匿したまま、当該顧客が自社のデータベースに登録されているか否かの判別を行う照合システムが望まれていた。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００５−６５００４号公報
【特許文献２】特開２００３−１１０３号公報
【特許文献３】特開２０１４−２３８４２３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
本発明は、かかる問題を解決するためのものであり、個人情報を個人情報のまま送信することなく秘匿したまま、当該顧客が自社のデータベースに登録されているか否かの判別を行う照合システムの提供を目的とする。
【課題を解決するための手段】
【０００６】
上述した課題を解決するため、本発明の照合システムは、配信用端末を用いて情報提供用端末の有する個人情報と、情報受領用端末に備えられたデータベースに保存された登録者データとを照合する照合システムであって、前記個人情報を正規化する正規化手段と、前記正規化手段によって正規化された前記個人情報を不可逆的に変更したハッシュ化情報へと変換するハッシュ化手段と、前記ハッシュ化情報に基づいて匿名照合情報を生成する匿名照合情報生成手段と、前記匿名照合情報を前記情報受領用端末へと配信するための配信手段と、配信された前記匿名照合情報を用いて前記登録者データが前記データベースに登録されているか否かを判別する照合手段と、を有している。
【発明の効果】
【０００７】
本発明によれば、個人情報を個人情報のまま送信することなく秘匿したまま、当該顧客が自社のデータベースに登録されているか否かの判別を行うことができる。
【図面の簡単な説明】
【０００８】
【図１】本発明の第１の実施形態に係る照合システムの全体構成の一例を示す図である。
【図２】正規化を行う際の手順の一例を示す図である。
【図３】ハッシュ化情報を構成する要素の一例を示す図である。
【図４】匿名照合情報を構成する要素の一例を示す図である。
【図５】図１に示した照合システムの照合動作の一例を示す図である。
【図６】図１に示した照合システムの変形例を示す図である。
【図７】匿名照合情報を含むウェブトークンの概要を示す図である。
【図８】本発明の第２の実施形態の構成の一例を示す図である。
【発明を実施するための形態】
【０００９】
本発明の第１の実施形態として、照合システム１００について説明する。
照合システム１００は、配信主体Ａとして機能する情報提供用端末１０と、情報提供用端末１０から提供された情報を配信するための経由サーバＸとしての配信用端末５０と、受信主体Ｂとして機能する情報受領用端末２０と、がそれぞれネットワークを介して接続されたシステムである。
なお、ここでは説明の簡略化のために、配信主体Ａと、経由サーバＸと、受信主体Ｂとがそれぞれ独立した単体の端末であるとして説明するが、かかる構成に限定されるものではない。
具体的には配信主体Ａと、経由サーバＸと、受信主体Ｂとは、それぞれが複数の端末がネットワーク上で接続された一群の端末群であっても良いし、情報処理用の端末と、後述する照合用データベースとを分けても良い。またここでいうネットワークは、インターネットやＶＰＮ等、複数のコンピュータ端末間で情報をやり取り可能なシステムを指している。
【００１０】
本実施形態の照合システム１００は、情報提供用端末１０に保管された少なくとも個人名を含む個人情報Ｐを、匿名化した上で配信用端末５０を介して配信し、配信された個人情報Ｐについて情報受領用端末２０が自らの所有する照合用データベースＤＢ２内に存在するか否かを照合して確認するためのシステムである。
従って、情報提供用端末１０の有する照合用データベースＤＢ１と、情報受領用端末２０の有する照合用データベースＤＢ２とに記録されている顧客の個人情報はそれぞれ異なっている。
【００１１】
情報提供用端末１０は、個人情報Ｐを所定の方法で正規化するための正規化手段１１と、正規化手段１１によって正規化された個人情報Ｐを不可逆的に変更したハッシュ化情報Ｑへと変換するハッシュ化手段１２と、ハッシュ化情報Ｑに基づいて匿名照合情報Ｒを生成する匿名照合情報生成手段１３と、を有している。
ここで『正規化』とは、図２に示すように、読み方や表記ゆれ等を所定の法則に則って規格化し、同一名称が同一の記載方法になるように表記を合致させることを指す。具体的には所定の包摂テーブルに従って「齋藤」、「斎藤」、「斉藤」、等の表記を変換する操作を行う他、姓と名の間に空白を入れる、外国語表記の場合には片仮名で表記する、等の操作を含む。
【００１２】
図５にはかかる情報提供端末１０に入力された個人情報Ｐが照合システム１００においてどのように処理されるかを表すフローチャートを示す。まず情報提供用端末１０に個人情報Ｐが入力される（例えば図５のステップＳ１０１）。
正規化手段１１により、個人情報Ｐは、登録される際に同一の固有名であれば同一のデータレコードとなるように正規化される（ステップＳ１０２）。
【００１３】
ハッシュ化手段１２は、例えば図３に示すように、正規化された個人情報Ｐについて、各文字毎にビット化し、数値になった個人情報Ｐについてハッシュ化を行う（ステップＳ１０３）。このとき、例えばそれぞれの文字に相当するビット毎に４回繰り返しハッシュ化を行うことにより、ストレッチング処理を行うこととしても良い。また、ストレッチング処理はかかる回数に限定されるものではなく、複数回繰り返しハッシュ化が行われれば良い。
また、本実施形態では、文字毎のビット値をハッシュ化するとしたが、その他のハッシュ化方法を用いたとしても構わない。
【００１４】
匿名照合情報生成手段１３は、情報の送信先である配信用端末５０との間で固有の共通ランダム鍵ｒａｎｄｏｍ−Ａ−ｋｅｙを生成し、かかる共通ランダム鍵とハッシュ化情報Ｑとに基づいて、匿名照合情報Ｒを生成する（ステップＳ１０４）。
『匿名照合情報』は、ハッシュ化情報Ｑを情報の送信先に対して固有の鍵を用いて暗号化された文字列を指し、例えば図４においてはＲａｎｄｏｍ−Ａ−Ｈ４で示されている。
情報提供用端末１０は、他の配信主体Ａから提供される匿名照合情報Ｒの照合のため、かかる匿名照合情報Ｒを照合用データベースＤＢ１に保存しておく（ステップＳ１０６）。
【００１５】
保存される匿名照合情報Ｒは、配信用端末５０との間で固有の共通ランダム鍵ｒａｎｄｏｍ−Ａ−ｋｅｙを用いて生成されるから、同一の個人情報Ｐから生成されたとしても後述する受信主体Ｂに保存される匿名照合情報Ｒとは、異なる文字列となる。
すなわち、例えば第３者によって、情報提供用端末１０の照合用データベースＤＢ１の内部の情報を読み取られることがあったとしても、個人情報Ｐまでもを割り出すことは出来ない。
さらに、過去に第３者に配信された匿名照合情報Ｒを記録しておき、照合用データベースＤＢ１に記録された情報と比較したとしても、あるいは複数の照合用データベースから情報を読み取って互いの情報を比較したとしても、個人情報Ｐを抜き出すことは不可能である。
従って、情報提供用端末１０の照合用データベースＤＢ１に保存される『匿名照合情報Ｒ』は、個人情報Ｐを含んでいながらも、個人情報Ｐを読みだすことは不可能な不可逆の情報となっている。
【００１６】
さて、単に不可逆的な関数を用いたハッシュ化を行うだけでは、予め知られた個人名等の情報からハッシュ値を算出しておく所謂レインボーテーブル攻撃によるセキュリティリスクまでは回避できない場合がある。
そこで本実施形態では、単にハッシュ化情報Ｑを配信することなく、受信側に合わせて所定の暗号化方式によって暗号化した匿名照合情報Ｒを配信する（ステップＳ１０５）ことで、レインボーテーブル攻撃についての対策を行っている。
しかしながら、上述のように、受信側に合わせた暗号化を行うときには、具体的には図１に示したように匿名照合情報Ｒを配信用端末５０との間で固有の共通ランダム鍵ｒａｎｄｏｍ−Ａ−ｋｅｙを用いて生成したときには、匿名照合情報Ｒはそれぞれの端末毎に固有の値になってしまうため、照合することが難しい。
【００１７】
かかる問題点を解決するために、本実施形態では、経由サーバＸたる配信用端末５０を設けることで、情報提供用端末１０から得たハッシュ化情報Ｑを復号するとともに、ハッシュ化情報Ｑを、情報受領用端末２０に合わせて暗号化することで再度匿名照合情報Ｒを生成する。
【００１８】
この点についてさらに図４を用いて詳しく説明する。
情報提供用端末１０の匿名照合情報生成手段１３は、ハッシュ化情報Ｑを配信用端末５０の公開鍵Ｘ−ｐｕｂを用いて暗号化して配信用情報Ｓを生成し、配信用端末５０へと送信する。公開鍵Ｘ−ｐｕｂは、例えばＲＳＡ暗号等の従来の公開鍵暗号方式を用いて良い。
配信用端末５０は、送信された配信用情報Ｓを配信用端末５０の秘密鍵Ｘ−ｓｅｃを用いてハッシュ化情報Ｑへと復号し、情報受領用端末２０と配信用端末５０とによって共有された固有の共通鍵ｒａｎｄｏｍ−Ｂ−ｋｅｙを用いて再度暗号化することで、ハッシュ化情報Ｑから匿名照合情報ＲＢを生成する（ステップＳ１０７）。
【００１９】
配信用端末５０は、匿名照合情報ＲＢを情報受領用端末２０の照合用データベースＤＢ２に配信する。
【００２０】
情報受領用端末２０は、個人情報Ｐを所定の方法で正規化するための正規化手段２１と、正規化手段２１によって正規化された個人情報Ｐを不可逆的に変更したハッシュ化情報Ｑへと変換するハッシュ化手段２２と、ハッシュ化情報Ｑに基づいて匿名照合情報Ｒを生成する匿名照合情報生成手段２３と、を有している。
なお、正規化手段２１と、ハッシュ化手段２２との構成は、既に述べた情報提供用端末１０の有する正規化手段１１やハッシュ化手段１２とそれぞれ同一の構成であるため、説明を省略する。また、匿名照合情報生成手段２３は、匿名照合情報生成手段１３と同様の構成ではあるが、情報受領用端末２０と配信用端末５０とによって共有されたＸとＢとの間の固有の共通鍵ｒａｎｄｏｍ−Ｂ−ｋｅｙと、ハッシュ化情報Ｑと、を用いて匿名照合情報Ｒを生成する点で異なっている。
匿名照合情報Ｒがどの鍵によって生成されたかを特に分けて記載する必要がある場合には、匿名照合情報生成手段１３が生成する匿名照合情報ＲＡ、匿名照合情報生成手段２３が生成する匿名照合情報ＲＢ、と記載する。
【００２１】
情報受領用端末２０はまた、自身の有する個人情報Ｐのデータベースとして、照合用データベースＤＢ２と匿名照合情報Ｒを用いて照合用データベースＤＢ２に利用者の登録データがあるかないかを判別するための照合手段２４と、を有している。
かかる照合用データベースＤＢ２は、照合用データベースＤＢ１と同様に、ハッシュ化情報Ｑを情報受領用端末２０と配信用端末５０とによって共有されたＸとＢとの間の固有の共通鍵ｒａｎｄｏｍ−Ｂ−ｋｅｙを用いて暗号化された匿名照合情報Ｒを保存している。
照合手段２４は、照合用データベースＤＢ２を検索して、データベース内にランダム鍵たる共通鍵ｒａｎｄｏｍ−Ｂ−ｋｅｙを用いて生成された匿名照合情報ＲＢが登録されているかどうかを判別する（ステップＳ１０８）。
【００２２】
さて、かかるランダム鍵としての固有の共通鍵を用いる方式は、以下に示すディフィー・ヘルマン鍵共有方法などを用いて行われる。
【００２３】
まず値の大きな素数 pを用意する。またｇ＝(Z/pZ) を生成元とする。この gとpは公開されて構わない。
ＸとＢとが通信を行うとする。ＸとＢはお互いに任意に秘密の値 a, bを選択する、この値は0以上p−2以下の中からランダムに選ばれる。
Ｘは次の値ＡＸを計算してＢに送信する。
【００２４】
【数１】
2019101392.tif 000003
【００２５】
Ｂも同様にＡＢを計算してこれを X に送信する。
【００２６】
【数２】
2019101392.tif 000004
【００２７】
Ｘ は自身の秘密の値aと受信したＡＢから以下の値を計算する。
【００２８】
【数３】
2019101392.tif 000005
【００２９】
Ｂも自身の秘密の値bと受信したＡＸから以下の値を計算する。
【００３０】
【数４】
2019101392.tif 000006
【００３１】
このときKX、KBは等しい値をとる。
【００３２】
【数５】
2019101392.tif 000007
【００３３】
この値ＫＸ、ＫＢを共通鍵暗号方式の鍵たるランダム鍵ｒａｎｄｏｍ−Ｂ−ｋｅｙとして使用する。なお、ここではディフィー・ヘルマン鍵共有方式についてのみ述べたが、その他の方法であっても良い。
【００３４】
情報受領用端末２０は、配信された匿名照合情報ＲＢが、照合用データベースＤＢ２に存在するかどうかの判別を行う。
このとき、個人情報Ｐを同一とするハッシュ化情報Ｑがあるのであれば、固有の共通鍵ｒａｎｄｏｍ−Ｂ−ｋｅｙを用いて暗号化された匿名照合情報Ｒは同一であるはずなので、情報受領用端末２０の照合手段２４は、かかる匿名照合情報Ｒのみによって照合用データベースＤＢ２に当該情報が含まれているかどうかを判断することができる（ステップＳ２０１）。
他方、個人情報Ｐを同一とするハッシュ化情報Ｑを持たなければ、照合データなしとして、検索処理を終了する（ステップＳ２０２）。
【００３５】
かかる構成により、情報受領用端末２０は、配信された匿名照合情報ＲＢが含んでいる個人情報Ｐを読み取ることなく、配信された匿名照合情報Ｒが自身の照合用データベースＤＢ２に含まれるか否かの判断を行うことが可能である。すなわち、配信された匿名照合情報ＲＢを用いて登録者データが照合用データベースＤＢ２に登録されているか否かを判別する。
【００３６】
このように、本実施形態では配信用端末５０においてハッシュ化情報Ｑに復号し、さらにハッシュ化情報Ｑを情報受領用端末２０と配信用端末５０との間で固有の共通鍵を用いて暗号化することにより、匿名照合情報Ｒを生成する。さらに情報受領用端末２０が、配信された匿名照合情報Ｒと、自身の照合用データベースＤＢ２に記録された匿名照合情報Ｒとの記録データの比較を行うことで、個人情報Ｐの該当する個人が、受信主体Ｂの顧客にいるかどうかを判別することができる。
かかる構成により、第３者に読み取られる心配なく、個人情報Ｐの所持・不所持について判別することができる。
本実施形態においては、簡単のため特に情報提供用端末１０を配信主体Ａ、情報受領用端末２０を受信主体Ｂとして説明したが、かかる構成に限定されるものではない。例えば配信主体Ａと受信主体Ｂとは、同種の端末が互いにやり取りをするようなネットワークでも良いし、特定の配信主体Ａからの情報に基づいて受信主体Ｂが照合を行うような照合システムでも良い。
【００３７】
また、本実施形態では、単一の情報受領用端末２０についてのみ述べたが、図６に示すように、複数の情報受領用端末２０Ｃ〜２０Ｅを配信用端末５０につなげる形で照合システム１００を構成しても良い。
そのような場合には、匿名照合情報生成手段２３は、ハッシュ化情報Ｑを、それぞれの情報受領用端末２０Ｃ〜２０Ｅに合わせて生成されたランダム鍵を用いて暗号化する。
かかる構成により、単一の情報提供用端末１０から効率よく複数の情報受領用端末２０へと匿名照合情報Ｒを配信可能であるとともに、かかる配信された匿名照合情報Ｒを用いて個人情報Ｐを得ることが実質的に不可能である。
【００３８】
また、本実施形態では、匿名照合情報Ｒは、ランダム鍵と、当該ランダム鍵が生成された端末の情報とを含んでいる。
かかる構成により、配信された端末である情報受領用端末２０Ｃ〜２０Ｅのそれぞれは、配信された匿名照合情報Ｒを用いて、個人情報Ｐに該当する個人が自身のサービスのユーザにいるかどうかだけは判別可能である。
【００３９】
また本実施形態では、正規化手段１１は、個人情報Ｐに含まれる個人名を、実用上の用法に沿った包摂テーブルを用いて正規化する。
かかる構成により、ユーザ自身がサービスに登録するときに、実用上の用法に沿って正規化されるために、ユーザ毎の個人名の表記方法によらず、個人情報Ｐを一定の形式で揃えることができるため、個人情報Ｐの記載の仕方による照合失敗のリスクを低減可能である。
【００４０】
また、本実施形態では、匿名照合情報Ｒをブロックチェーンに記録するとしても良い。
具体的には、図７に示すように、情報提供用端末１０から配信用端末５０へと匿名照合情報Ｒを送信するときに、Ｐｕｂ−Ｈ４と情報提供用端末１０の署名とが少なくとも記載されたＪＷＴ（Ｊａｓｏｎ  Ｗｅｂ  Ｔｏｋｅｎ）を送信し、かかるＪＷＴのハッシュ値をブロックチェーン上に記録する。
かかる構成によれば、配信された匿名照合情報Ｒのそれぞれについて、配信されたデータと、配信主体Ａとが紐づいてブロックチェーンに記録されるから、照合システム１００に後から参入した情報受領用端末２０も、当該ブロックチェーンの参照が可能となる。
【００４１】
また本実施形態では、個人情報Ｐは少なくとも個人名を含んでいる。
かかる構成により、個人の特定が容易となる。
さらに、個人情報Ｐには、個人名の他にも、住所やマイナンバーの個人情報や、年齢・性別等の属性情報を含めるとしても良い。
このように、個人情報Ｐに含む情報を複数にすることで、個人名のみの場合に比べてさらに当該個人の識別力が向上するから、個人の特定が容易となる。
【００４２】
さて、本発明の照合システム１００において、例えば受領用端末２０が膨大な数になった場合等には、配信用端末５０のランダム鍵の管理が煩雑になりすぎる場合が考えられる。
このような場合には、図８に示すように、匿名照合情報生成手段１３、５３は、それぞれ配信先の端末の公開鍵（Ｘ−ｐｕｂ、Ｂ−ｐｕｂ等）を用いて暗号化するとしても良い。
かかる構成によっても、配信用端末５０には配信されたハッシュ化情報Ｑが残らないから、最もセキュリティリスクが高い配信用端末５０を適切に守ることができる。
【００４３】
以上本発明の好ましい実施の形態について説明したが、本発明はかかる特定の実施形態に限定されるものではなく、上述の説明で特に限定していない限り、特許請求の範囲に記載された本発明の趣旨の範囲内において、種々の変形・変更が可能である。
例えば、図１に示した配信用情報Ｓを匿名照合情報として取り扱うとしても良い。
【００４４】
本発明の実施の形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、本発明の実施の形態に記載されたものに限定されるものではない。
【符号の説明】
【００４５】
１０…情報提供用端末
１１…正規化手段
１２…ハッシュ化手段
１３…匿名照合情報生成手段
２０…情報受領用端末
２１…正規化手段
２２…ハッシュ化手段
２３…匿名照合情報生成手段
２４…照合手段
５０…配信用端末
５３…匿名照合情報生成手段
Ａ…配信主体
Ｂ…受信主体
ＤＢ１、ＤＢ２…照合用データベース
Ｐ…個人情報
Ｑ…ハッシュ化情報（記録データ）
Ｒ、ＲＡ、ＲＢ…匿名照合情報
Ｓ…配信用情報Ｘ…経由サーバ
【図１】
2019101392.tif 000008
【図２】
2019101392.tif 000009
【図３】
2019101392.tif 000010
【図４】
2019101392.tif 000011
【図５】
2019101392.tif 000012
【図６】
2019101392.tif 000013
【図７】
2019101392.tif 000014
【図８】
2019101392.tif 000015