(57)【要約】      （修正有）【課題】既存のシステムや業務形態に大幅な変更を加えることなく、クレジットカード番号などを自社で保存、処理或いは通過させない情報管理システム、プログラム及び方法を提供する。【解決手段】情報管理システムは、カード情報を蓄積する加盟店側自社データベース群１１と、コールセンターオペレーターＯｐが用いてカード情報を代行業者側システム２に送信する貸与端末２２と、代行業者側システム２側においてトークン払出番号を生成し、データベース群２１にユーザー原情報と非保持用情報とを紐付けて蓄積させるトークン化処理部を備える。コールセンターオペレーター側端末のディスプレイを通じて非保持用情報を提示する提示部と、コールセンターオペレーターによる入力操作によって提示部により提示された非保持用情報を受け付ける非保持用情報取得部と、入力された非保持用情報を加盟店側自社データベース群１１に記録するデータ記録部とを備える。【選択図】図１
2019101798.tif 000002
【特許請求の範囲】
【請求項１】
記録すべきユーザー情報の一部又は全部をトークン化して管理する情報管理システムであって、
前記ユーザー情報を蓄積する第１の記録手段を含む第１のデータ管理システムと、
操作者が用いる情報処理端末であって、前記記録すべきユーザー情報をユーザー原情報として第２のデータ管理システムに送信する操作者側端末と、
前記第２のデータ管理システム側において、前記操作者側端末から送信された前記ユーザー原情報の一部又は全部を暗号化して非保持用情報を生成し、第２の記録手段に前記ユーザー原情報と、前記非保持用情報とを紐付けて蓄積させるトークン化処理部と、
前記操作者側端末に備えられた表示手段を通じて、前記非保持用情報を提示する提示部と、
前記第１のデータ管理システム側に接続され、前記操作者による入力操作によって、前記提示部により提示された前記非保持用情報を受け付ける非保持用情報取得部と、
前記非保持用情報取得部において入力された前記非保持用情報を、前記ユーザー原情報に代えて前記第１の記録手段に記録するデータ記録部と
を備えることを特徴とする情報管理システム。
【請求項２】
前記第２のデータ管理システム側に接続され、前記第１のデータ管理システム側から前記非保持用情報を復号対象として取得する復号対象取得部と、
前記第２のデータ管理システム側において、前記第１のデータ管理システム側から取得された復号対象の、暗号化された部分を復号化するデトークン化処理部と
をさらに備えることを特徴とする請求項１に記載の情報管理システム。
【請求項３】
前記第１のデータ管理システム側に接続され、前記第１の記録手段に記録された前記非保持用情報を、前記操作者による入力操作によって、呼び出す非保持用情報検索部と、
前記第１のデータ管理システム側に接続され、前記非保持用情報検索部により検索された前記非保持用情報を表示する非保持用情報表示部と
をさらに備え、
前記トークン化処理部は、前記ユーザー原情報の一部のみを選択して前記暗号化を行い、
前記非保持用情報表示部は、前記暗号化された部分と区別可能に、前記暗号化された部分以外の部分を表示する
ことを特徴とする請求項１に記載の情報管理システム。
【請求項４】
前記トークン化処理部は、前記ユーザー原情報に含まれるカード情報の数桁のみを残して前記暗号化を行い、
前記非保持用情報表示部は、前記暗号化された部分と区別可能に、前記暗号化された部分以外の前記数桁を表示する
ことを特徴とする請求項３に記載の情報管理システム。
【請求項５】
前記提示部は、非保持用情報をコード化して表示する機能を備え、
前記非保持用情報取得部は、前記コード化された前記非保持用情報を読み取って取得する機能を備えていることを特徴とする請求項１に記載の情報管理システム。
【請求項６】
請求項１に記載の情報管理システムにおいて、記録すべきユーザー情報の一部又は全部をトークン化して管理する情報管理プログラムであって、前記情報処理端末を、
前記操作者による前記ユーザー原情報の入力を受け付ける入力部、
前記入力部を通じて入力された前記ユーザー原情報を、前記第２のデータ管理システム側に送信する送信部、
前記第２のデータ管理システム側において生成された前記非保持用情報を、前記第２のデータ管理システム側から取得する非保持用情報取得部、
前記非保持用情報取得部が取得した前記非保持用情報を、表示手段を通じて提示する提示部
として機能させることを特徴とする情報管理プログラム。
【請求項７】
前記情報処理端末を、
前記第１のデータ管理システム側に接続され、前記第１の記録手段に記録された前記非保持用情報を、前記操作者による入力操作によって、呼び出す非保持用情報検索部、
前記第１のデータ管理システム側に接続され、前記非保持用情報検索部により検索された前記非保持用情報を表示する非保持用情報表示部
として機能させる
ことを特徴とする請求項６に記載の情報管理プログラム。
【請求項８】
前記トークン化処理部は、前記ユーザー原情報に含まれるカード情報の数桁のみを残して前記暗号化を行い、
前記非保持用情報表示部は、前記暗号化された部分と区別可能に、前記暗号化された部分以外の前記数桁を表示する
ことを特徴とする請求項７に記載の情報管理プログラム。
【請求項９】
前記提示部は、非保持用情報をコード化して表示する機能を備え、
前記非保持用情報取得部は、前記コード化された前記非保持用情報を読み取って取得する機能を備えていることを特徴とする請求項６に記載の情報管理プログラム。
【請求項１０】
請求項１に記載の情報管理システムを用いて、記録すべきユーザー情報の一部又は全部をトークン化して管理する情報管理方法であって、
操作者が用いる前記操作者側端末の入力部が、前記操作者による前記ユーザー原情報の入力を受け付けるとともに、前記入力部を通じて入力された前記ユーザー原情報を、前記操作者側端末の送信部が、前記第２のデータ管理システム側に送信する送信ステップと、
前記第２のデータ管理システム側に備えられたトークン化処理部が、前記操作者側端末から送信された前記ユーザー原情報の一部又は全部を暗号化して非保持用情報を生成し、第２の記録手段に前記ユーザー原情報と、前記非保持用情報とを紐付けて蓄積させるトークン化処理ステップと、
前記操作者側端末に備えられた非保持用情報取得部が、前記第２のデータ管理システム側において生成された前記非保持用情報を前記第２のデータ管理システム側から取得し、取得された前記非保持用情報を前記操作者側端末に備えられた表示手段が提示する提示ステップと、
前記第１のデータ管理システム側に接続された非保持用情報取得部が、前記操作者による入力操作によって、前記提示部により提示された前記非保持用情報を受け付ける非保持用情報取得ステップと、
前記第１のデータ管理システム側に備えられたデータ記録部が、前記非保持用情報取得部において入力された前記非保持用情報を、前記ユーザー原情報に代えて前記第１の記録手段に記録するデータ記録ステップと
を備えることを特徴とする情報管理方法。
【請求項１１】
前記第２のデータ管理システム側に接続された復号対象取得部が、前記第１のデータ管理システム側から前記非保持用情報を復号対象として取得する復号対象取得ステップと、
前記第２のデータ管理システム側に備えられたデトークン化処理部が、前記第１のデータ管理システム側から取得された復号対象の、暗号化された部分を復号化するデトークン化処理ステップと
をさらに備えることを特徴とする請求項１０に記載の情報管理方法。
【請求項１２】
前記第１のデータ管理システム側に接続された非保持用情報検索部が、前記第１の記録手段に記録された前記非保持用情報を、前記操作者による入力操作によって、呼び出す非保持用情報検索ステップと、
前記第１のデータ管理システム側に接続された非保持用情報表示部が、前記非保持用情報検索部により検索された前記非保持用情報を表示する非保持用情報表示ステップと
をさらに備え、
前記トークン化処理ステップでは、前記ユーザー原情報の一部のみを選択して前記暗号化を行い、
前記非保持用情報表示ステップでは、前記暗号化された部分と区別可能に、前記暗号化された部分以外の部分を表示する
ことを特徴とする請求項１０に記載の情報管理方法。
【請求項１３】
前記トークン化処理ステップでは、前記ユーザー原情報に含まれるカード情報の数桁のみを残して前記暗号化を行い、
前記非保持用情報表示ステップでは、前記暗号化された部分と区別可能に、前記暗号化された部分以外の前記数桁を表示する
ことを特徴とする請求項１２に記載の情報管理方法。
【請求項１４】
前記提示部は、非保持用情報をコード化して表示する機能を備え、
前記非保持用情報取得部は、前記コード化された前記非保持用情報を読み取って取得する機能を備えていることを特徴とする請求項１０に記載の情報管理方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、記録すべきユーザー情報の一部又は全部をトークン化して管理する情報管理システム、プログラム及び方法に関する。
【背景技術】
【０００２】
近年、インターネット上のアプリケーションサーバーから顧客データ管理アプリケーション等の各種アプリケーションサービスが提供されている。このようなサービスでは、サービス利用者（主に企業）が自身でサーバー構築、アプリケーションのインストール等をすることなく、すぐにサービスを受けられる利点がある。
【０００３】
ところで、サービス利用者の個人情報を取り扱うにあたり、情報漏えいに対処する技術の例として、暗号化したデータをサービス提供者のサーバーに格納する技術が開示されている（例えば特許文献１）。また、情報漏えいに関するデータ保護技術として「トークナイゼーション」と呼ばれる技術が使用されている。このトークナイゼーション技術は、例えばクレジットカード情報のセキュリティ強化に使用されており、元データ（例：クレジットカード番号）の一部又は全部を暗号化された別データ（例：同じ桁数の全く異なる数列）に置き換える技術である。置き換えた別データはトークンと呼ばれ、たとえトークンが漏えいしたとしても、トークン自体は無意味なデータに過ぎないため、サービス利用者に被害が及ばない（例えば、特許文献２）。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１３−２５３６１号公報
【特許文献２】特開２０１６−１３３７２９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、クレジットカード取引におけるセキュリティ対策の強化に向けた実行計画では、非保持の定義を「自社（加盟店）の保有する機器・ネットワークにおいて「カード情報」を『保存』、『処理』、『通過』しない」とし、メールオーダー、テレフォンオーダー等の非対面加盟店についても紙媒体等で保存するのみの場合には非保持とし、カード情報を電磁的情報として自社で保有する機器・ネットワークにおいて『保存』、『処理』或いは『通過』する場合はＰＣＩ  ＤＳＳ準拠を求めている。このため、上述した特許文献２に開示した技術では、トークン化により暗号化したとしても、トークン化処理の際に一時的にカード情報等を保存、処理、通過するため非保持扱いとならず、上記実行計画に沿わないという問題がある。
【０００６】
また、サービス提供者の中には、既に自社の機器やネットワークを用いて上記個人情報を処理・保存するシステムを有している場合もあり、この場合には、既存のシステムや業務形態に大幅な変更を加えることなく、上述したセキュリティ対策の強化を図りたいという要請もある。
【０００７】
本発明は上記の点に鑑みてなされたものであり、既存のシステムや業務形態に大幅な変更を加えることなく、クレジットカード番号などの個人情報を自社で保有する機器等において保存、処理或いは通過させない仕組みを構築して、セキュリティ対策の強化を図ることのできる情報管理システム、プログラム及び方法を提供することを目的としている。
【課題を解決するための手段】
【０００８】
上記課題を解決するために、本発明は、記録すべきユーザー情報の一部又は全部をトークン化して管理する情報管理システムであって、ユーザー情報を蓄積する第１の記録手段を含む第１のデータ管理システムと、
操作者が用いる情報処理端末であって、記録すべきユーザー情報をユーザー原情報として第２のデータ管理システムに送信する操作者側端末と、
第２のデータ管理システム側において、操作者側端末から送信されたユーザー原情報の一部又は全部を暗号化して非保持用情報を生成し、第２の記録手段にユーザー原情報と、
非保持用情報とを紐付けて蓄積させるトークン化処理部と、
操作者側端末に備えられた表示手段を通じて、非保持用情報を提示する提示部と、
第１のデータ管理システム側に接続され、操作者による入力操作によって、提示部により提示された非保持用情報を受け付ける非保持用情報取得部と、
非保持用情報取得部において入力された非保持用情報を、ユーザー原情報に代えて第１の記録手段に記録するデータ記録部とを備えることを特徴とする。
【０００９】
また、本発明は、上記情報管理システムを用いて、記録すべきユーザー情報の一部又は全部をトークン化して管理する情報管理方法であって、
（１）操作者が用いる操作者側端末の入力部が、操作者によるユーザー原情報の入力を受け付けるとともに、入力部を通じて入力されたユーザー原情報を、操作者側端末の送信部が、第２のデータ管理システム側に送信する送信ステップと、
（２）第２のデータ管理システム側に備えられたトークン化処理部が、操作者側端末から送信されたユーザー原情報の一部又は全部を暗号化して非保持用情報を生成し、第２の記録手段にユーザー原情報と非保持用情報とを紐付けて蓄積させるトークン化処理ステップと、
（３）操作者側端末に備えられた非保持用情報取得部が、第２のデータ管理システム側において生成された非保持用情報を第２のデータ管理システム側から取得し、取得された非保持用情報を操作者側端末に備えられた表示手段が提示する提示ステップと、
（４）第１のデータ管理システム側に接続された非保持用情報取得部が、操作者による入力操作によって、提示部により提示された非保持用情報を受け付ける非保持用情報取得ステップと、
（５）第１のデータ管理システム側に備えられたデータ記録部が、非保持用情報取得部において入力された非保持用情報を、ユーザー原情報に代えて第１の記録手段に記録するデータ記録ステップと
を備えることを特徴とする。
【００１０】
なお、上述した本発明に係るシステムや方法は、所定の言語で記述された本発明のプログラムをコンピューター上で実行することにより実現することができる。すなわち、本発明のプログラムを、携帯端末装置やスマートフォン、ウェアラブル端末、モバイルＰＣその他の情報処理端末、パーソナルコンピューターやサーバーコンピューター等の汎用コンピューターのＩＣチップ、メモリ装置にインストールし、ＣＰＵ上で実行することにより、上述した各機能を有するシステムを構築して、本発明に係る方法を実施することができる。
【００１１】
また、本発明のプログラムは、例えば、通信回線を通じて配布することが可能であり、また、コンピューターで読み取り可能な記録媒体に記録することにより、スタンドアローンの計算機上で動作するパッケージアプリケーションとして譲渡することができる。この記録媒体として、具体的には、フレキシブルディスクやカセットテープ等の磁気記録媒体、若しくはＣＤ-ＲＯＭやＤＶＤ-ＲＯＭ等の光ディスクの他、ＲＡＭカードなど、種々の記録媒体に記録することができる。そして、このプログラムを記録したコンピューター読み取り可能な記録媒体によれば、汎用のコンピューターや専用コンピューターを用いて、上述したシステム及び方法を簡便に実施することが可能となるとともに、プログラムの保存、運搬及びインストールを容易に行うことができる。
【００１２】
すなわち、上記情報管理システムにおいて、記録すべきユーザー情報の一部又は全部をトークン化して管理する情報管理プログラムであって、
情報処理端末を、操作者によるユーザー原情報の入力を受け付ける入力部、
入力部を通じて入力されたユーザー原情報を、第２のデータ管理システム側に送信する送信部、
第２のデータ管理システム側において生成された非保持用情報を、第２のデータ管理システム側から取得する非保持用情報取得部、
非保持用情報取得部が取得した非保持用情報を、表示手段を通じて提示する提示部
として機能させる。
【００１３】
また、上記発明において、第２のデータ管理システム側に接続され、第１のデータ管理システム側から非保持用情報を復号対象として取得する復号対象取得部と、第２のデータ管理システム側において、第１のデータ管理システム側から取得された復号対象の、暗号化された部分を復号化するデトークン化処理部とをさらに備えることが好ましい。
【００１４】
上記発明において、第１のデータ管理システム側に接続され、第１の記録手段に記録された非保持用情報を、操作者による入力操作によって、呼び出す非保持用情報検索部と、第１のデータ管理システム側に接続され、前記非保持用情報検索部により検索された非保持用情報を表示する非保持用情報表示部とをさらに備え、トークン化処理部は、ユーザー原情報の一部のみを選択して暗号化を行い、非保持用情報表示部は、暗号化された部分と区別可能に、暗号化された部分以外の部分を表示することが好ましい。
【００１５】
上記発明において、トークン化処理部は、例えば上6桁と下4桁を残したりなど、ユーザー原情報に含まれるカード情報の数桁のみを残して暗号化を行い、非保持用情報表示部は、暗号化された部分と区別可能に、暗号化された部分以外の桁を表示することが好ましい。
【００１６】
上記発明において、前記提示部は、非保持用情報をコード化して表示する機能を備え、前記非保持用情報取得部は、前記コード化された前記非保持用情報を読み取って取得する機能を備えていることが好ましい。
【発明の効果】
【００１７】
上記発明によれば、カード番号など記録すべきユーザー情報を管理する際、ユーザー情報の非保持が義務づけられている企業等が自社で運用・管理している自社システム（第１のデータ管理システム）に、ユーザー情報を入力する前に、自社システムとは異なるデータ管理システム（第２のデータ管理システム）側でトークン化を行う。
【００１８】
この際、カード番号などのユーザー原情報は、トークン化サービス側が提供する操作者側端末を通じて、第２のデータ管理システム側から送信して、暗号化して非保持用情報を生成することができる。
【００１９】
また、本発明では、操作者側端末を通じて、第２のデータ管理システム側でユーザー原情報の一部又は全部を暗号化して非保持用情報であるトークン化を行い、このトークン化された非保持用情報は、操作者側端末に備えられた表示手段を通じて第１のデータ管理システム側に提示される。操作者は、操作者側端末に表示されたトークンを目視により確認し、操作者による入力操作によって、ユーザー原情報に代えて、自社のデータベース（第１の記録手段）に記録することができる。
【００２０】
これらの結果、本発明によれば、既存のシステムや業務形態に大幅な変更を加えることなく、クレジットカード番号などの個人情報を自社で保有する機器等において保存、処理或いは通過させない仕組みを構築でき、セキュリティ対策の強化を図ることができる。
【図面の簡単な説明】
【００２１】
【図１】実施形態に係る情報管理システムの全体構成を示す概念図である。
【図２】実施形態に係る情報管理サービスの概要を示す説明図である。
【図３】実施形態に係る貸与端末の内部構成を示すブロック図である。
【図４】実施形態に係る貸与端末のブラウザ上に構築される機能モジュールを示すブロック図である。
【図５】実施形態に係る代行業者側情報管理システムの内部構成を示すブロック図である。
【図６】実施形態に係る加盟店側情報管理システムの内部構成を示すブロック図である。
【図７】実施形態に係るカード情報登録時における画面構成及び入力操作を示す説明図である。
【図８】実施形態に係る情報管理サービスの情報入力時におけるデータの流れを示すシーケンス図である。
【図９】実施形態に係るカード情報閲覧時における画面構成及び入力操作を示す説明図である。
【発明を実施するための形態】
【００２２】
（情報管理システム及び情報管理サービスの概要）
以下に添付図面を参照して、本発明に係る情報管理システム及び情報管理方法の実施形態を詳細に説明する。図１は、本実施形態に係る情報管理システムの全体構成を示す概念図であり、図２は、情報管理サービスの概要を示す説明図である。なお、以下に示す実施の形態は、この発明の技術的思想を具体化するための装置等を例示するものであって、この発明の技術的思想は、各構成部品の材質、形状、構造、配置等を下記のものに特定するものでない。この発明の技術的思想は、特許請求の範囲において、種々の変更を加えることができる。
【００２３】
本実施形態において、情報管理システムは、図１及び図２に示すように、記録すべきエンドユーザーＵのカード情報などを含む個人情報の一部又は全部をトークン化して管理する情報管理システムであり、加盟店等が自社で管理・運用する第１のデータ管理システムとしての加盟店側自社システム１と、決済代行事業者が運用する第２のデータ管理システムとしての代行業者側システム２とが含まれている。なお、本実施形態では、サーバー装置やタブレットＰＣ上で本発明の情報管理プログラムを実行することにより、本発明の情報管理システム及び情報管理方法が実現される。
【００２４】
加盟店は、ＥＣサイト４やコールセンターオペレーターＯｐによる電話応答によって商品やサービスの販売を行う通販業者であり、商品やサービスの代金の決済について、代行業者が提供する決済代行サービスを受ける。エンドユーザーＵは、ＰＣ５１を用いてＥＣサイト４を通じて商品を注文したり、電話５２を用いて加盟店のコールセンターオペレーターＯｐを通じて商品を購入したりする顧客である。決済代行業者は、決済代行サーバー２０を運用して、加盟店における商品販売に対する代金の決済を代行する業務を提供する事業者である。
【００２５】
加盟店側自社システム１は、加盟店内に独自に構築された社内ＬＡＮ等、ファイヤーウォール等でインターネットから分離された閉鎖的な社内ネットワーク１ａ内に構築された情報管理システムであり、ここではオペレーター用端末１２と、加盟店側自社サーバー１０が社内ネットワーク１ａを介して接続され、内線電話１３は公衆電話回線等を含む通信ネットワーク３に接続されている。
【００２６】
オペレーター用端末１２は、ＣＰＵ等の演算処理装置及び通信機能を有する情報処理端末であり、社内ネットワーク１ａを通じて加盟店側自社システム１側に接続され、コールセンターオペレーターＯｐ等の操作者によって操作される。このオペレーター用端末１２としては、貸与端末２２とは別個に設けられたパーソナルコンピューター等により実現される。
【００２７】
貸与端末２２は、代行業者から貸し出され、社内ネットワーク１ａには接続されず、通信ネットワーク３を通じて第２の情報管理システムである代行業者側システム２に接続された操作者側端末である。この貸与端末２２としては、例えばタブレットＰＣやモバイルＰＣ、スマートフォンなどの情報処理端末を用いることができる。この貸与端末２２では、トークン化専用Ｗｅｂアプリケーションが実行され、このアプリケーションによって提供される機能により、コールセンターオペレーターＯｐ等の操作者が、記録すべきユーザー情報をユーザー原情報として第２のデータ管理システムに送信する。
【００２８】
内線電話１３は、コールセンターオペレーターＯｐがエンドユーザーからの商品購入注文を通話により受け付ける通話用端末である。一般電話、内線電話等で構成することができ、着信・発信記録や電話番号通知、通話録音等の機能を備えている。なお、この内線電話１３はオペレーター用端末１２と連携する機能を設けることができ、内線電話１３における着信により自動的に着信信号や発信番号をオペレーター用端末１２に送出し、内線電話１３における着信に応じてオペレーター用端末１２側でオペレーター用プログラムを開始して、発信者の特定や着信履歴の記録、通話の録音等を自動的に連動させることができる。
【００２９】
加盟店側自社サーバー１０は、社内ネットワーク１ａ内に配置されたサーバー装置であり、社内ネットワーク１ａを通じてオペレーター用端末１２や内線電話１３の他、ＶＰＮ等のセキュアな通信経路を通じてＥＣサイト４を提供するＷｅｂサーバー等とも接続されている。この社内ネットワーク１ａは、ファイアーウォールやセキュアなルーティング処理によって貸与端末２２とは分離されている。
【００３０】
また、加盟店側自社サーバー１０は、単一のサーバー装置、或いは複数のサーバー装置群により構成することができ、各サーバー装置の機能は、各種情報処理を実行するサーバーコンピューター或いはその機能を持ったソフトウェアで実現される。詳述すると、この加盟店側自社サーバー１０は、アプリケーションソフトウェアを実行するサーバーコンピューター、若しくはそのようなコンピューター上でのアプリケーションの実行を管理補助するミドルウェアで構成されたアプリケーションサーバーを中心として構成される。このアプリケーションサーバー機能は、クライアントであるＰＣ０からＨＴＴＰのレスポンス要求を処理するウェブサーバーとしても機能し、バックエンドの関係データベース管理システム（RDBMS）を実行するデータベース中核層への橋渡しを担い、データの加工などの処理を行う。
【００３１】
この関係データベースサーバーは、データベース管理システム（DBMS）等が稼動しているサーバーであり、クライアントやアプリケーションサーバー（ＡＰサーバー）に要求されたデータを送信したり、操作要求を受け付けてデータを書き換えたり削除したりする機能を有する。本実施形態において、この関係データベースサーバーの機能は、例えば加盟店側自社データベース群１１の管理に用いられている。
【００３２】
また、加盟店側自社サーバー１０には、Ｗｅｂサーバーが含まれ、ＷＷＷ（World Wide Web）等のドキュメントシステムにおいて、ＨＴＭＬ（Hyper Text Markup Language）ファイルや画像ファイル、音楽ファイルなどの情報送信を行うサーバーコンピューター或いはその機能を持ったソフトウェアであり、ＨＴＭＬ文書や画像などの情報を蓄積しておき、Ｗｅｂブラウザなどのクライアントソフトウェアの要求に応じて、インターネットなどのＩＰ網を通じて、これらの情報を送信する。
【００３３】
一方、代行業者側システム２は、インターネット等の通信ネットワーク３上に配置された第２の情報管理システムであり、決済代行サーバー２０を備えている、この決済代行サーバー２０も、単一のサーバー装置、或いは複数のサーバー装置群により構成することができ、各サーバー装置の機能は、各種情報処理を実行するサーバーコンピューター或いはその機能を持ったソフトウェアで実現され、例えばアプリケーションサーバーを中心として構成され、クライアントであるＰＣ０からＨＴＴＰのレスポンス要求を処理するウェブサーバーとしても機能し、バックエンドの関係データベース管理システム（RDBMS）を実行するデータベース中核層への橋渡しを担い、データの加工などの処理を行う。なお、本実施形態において決済代行サーバー２０の関係データベースサーバーの機能は、第２の記録手段であるデータベース群２１の管理に用いられる。
【００３４】
そして、このような構成を有する本実施形態では、エンドユーザーＵは、コールセンター受注登録センターＣＣに電話して、コールセンターオペレーターＯｐに対して商品の注文を口頭で伝える。この注文に関する情報は、受注情報として会員情報に紐付ける形で加盟店側自社データベース群１１に登録される。また、このとき代金の決済に必要なカード情報は通話により伝達されるが、電話５２，１３による音声のみの伝達であれば非保持扱いとなる。コールセンターオペレーターＯｐは貸与端末２２を通じて発行されるトークン番号を、オペレーター用端末１２を通じて自社システムの加盟店側自社データベース群１１に入力し、加盟店側自社データベース群１１では、カード情報に代わるトークン番号が保存又は伝達される。エンドユーザーＵの支払に関する決済は、実際は決済代行サーバー２０を通じてカード会社に対して行われることとなり、この決済に必要なカード情報は、加盟店側と決済代行サーバー２０との間でトークン番号の連携を行うことで共有される。
【００３５】
なお、エンドユーザーＵがＥＣサイト４を通じて商品を購入する場合では、ＥＣサイト４における画面連携やワンタイムトークンサービスにより、エンドユーザーＵのカード情報は、直接決済代行サーバー２０へ伝達される。次いで、例えばカード情報の与信取得後などに、決済代行サーバー２０からトークン番号の払い出しがなされ、この払い出されたトークン番号はＥＣサイトを通じて加盟店側自社データベース群１１に、受注情報、会員情報とともに、取引履歴データベース１１ｂに保存することが可能となる。
【００３６】
（各装置の構成）
次いで、各装置の構成について説明する。なお、説明中で用いられる「モジュール」とは、装置や機器等のハードウェア、或いはその機能を持ったソフトウェア、又はこれらの組合せなどによって構成され、所定の動作を達成するための機能単位を示す。
【００３７】
（１）貸与端末２２の構成
各コールセンターオペレーターＯｐが用いる貸与端末２２は、通信機能やＣＰＵを備えた情報処理端末であり、トークン化専用Ｗｅｂアプリケーション等の各種アプリケーションソフトをインストールすることにより様々な機能が実装可能であり、本実施形態では、アプリケーションをインストールして実行することによって、当該端末をエージェント用端末として機能させる。このエージェント用の情報処理端末としては、パーソナルコンピューターの他、例えば、スマートフォンや、機能を特化させた専用装置により実現することができ、タブレットＰＣやモバイルコンピューター、携帯電話機等が含まれる。
【００３８】
具体的に貸与端末２２は、図３に示すように、ＣＰＵ２２ａと、メモリ２２ｃと、入力インターフェース２２ｄと、ストレージ装置２２ｅと、出力インターフェース２２ｆと、通信インターフェース２２ｇとを備えている。なお、本実施形態では、これらの各デバイスは、ＣＰＵバスを介して接続されており、相互にデータの受渡しが可能となっている。
【００３９】
メモリ２２ｃ及びストレージ装置２２ｅは、データを記録媒体に蓄積するとともに、これら蓄積されたデータを各デバイスの要求に応じて読み出す装置であり、例えば、ハードディスクドライブ（ＨＤＤ）やソリッドステートドライブ（ＳＳＤ）、メモリカード等により構成することができる。
【００４０】
入力インターフェース２２ｄは、タッチパネルやボタン等の操作デバイスから操作信号を受信するモジュールであり、受信された操作信号はＣＰＵ０に伝えられ、ＯＳや各アプリケーションに対する操作を行うことができる。出力インターフェース２２ｆは、ディスプレイやスピーカー等の出力デバイスから映像や音声を出力するために映像信号や音声信号を送出するモジュールである。
【００４１】
通信インターフェース２２ｇは、他の通信機器とデータの送受信を行うモジュールであり、Ｗｉｆｉ等の近距離無線通信及びインターネット等の通信ネットワーク３を通じて、決済代行サーバー２０との間でセキュアな通信が可能となっている。この通信方式としては、例えば、電話回線やＩＳＤＮ回線、ＡＤＳＬ回線、光回線などの公衆回線、専用回線、ＷＣＤＭＡ（登録商標）及びＣＤＭＡ２０００などの第３世代（３Ｇ）の通信方式、ＬＴＥなどの第４世代（４Ｇ）の通信方式、及び第５世代（５Ｇ）以降の通信方式等の他、Ｗｉｆｉ（登録商標）、Ｂｌｕｅｔｏｏｔｈ（登録商標）などの無線通信ネットワークが含まれる。
【００４２】
ＣＰＵ２２ａは、各部を制御する際に必要な種々の演算処理を行う装置であり、トークン化専用Ｗｅｂアプリケーションなどの各種プログラムを実行することにより、ＣＰＵ０上に仮想的に各種モジュールを構築する。このＣＰＵ０上では、ＯＳ（Ｏｐｅｒａｔｉｎｇ  Ｓｙｓｔｅｍ）が起動・実行されており、このＯＳによって各貸与端末２２の基本的な機能が管理・制御されている。また、このＯＳ上では種々のアプリケーションが実行可能になっており、ＣＰＵ０でＯＳプログラムが実行されることによって、種々の機能モジュールがＣＰＵ上に仮想的に構築される。
【００４３】
本実施形態では、ＣＰＵ０上でブラウザソフトを実行することによって、ブラウザ部２２ｂが構成され、このブラウザ部２２ｂを通じて、システム上の情報を閲覧したり、情報を入力したりする。詳述すると、このブラウザ部２２ｂは、Ｗｅｂページを閲覧するためのモジュールであり、通信ネットワーク３を通じて代行業者側システム２からＨＴＭＬ（HyperText Markup Language）ファイルや画像ファイル、音声ファイルなどをダウンロードし、レイアウトを解析して表示・再生する。このブラウザ部２２ｂにより、フォームを使用してユーザーがデータをＷｅｂサーバーに送信したり、JavaScript（登録商標）やFlash、及びJava（登録商標）などで記述されたアプリケーションソフトを動作させたりすることも可能であり、このブラウザ部２２ｂを通じて、各加盟店は、決済代行サーバー２０が提供するトークナイゼーションサービスを利用することができる。
【００４４】
図４は、トークン化専用Ｗｅｂアプリケーションを実行することによって、貸与端末２２のブラウザ部２２ｂ上に構築される機能モジュールを示すブロック図であり、図７は、カード情報登録時における画面構成及び入力操作を示す説明図である。上述したブラウザ部２２ｂでは、決済代行サーバー２０にアクセスすることにより、図４に示すような機能モジュールが提供される。具体的には、ブラウザ部２２ｂ上に提示部２２ｈと、非保持情報入力部２２ｉと、復号対象取得部２２ｊとが構築される。
【００４５】
非保持情報入力部２２ｉは、貸与端末２２のディスプレイ上に表示されたテキストボックス等を含むダイアログＷ１１のようなＧＵＩであり、このテキストボックにトークン化の対象となるカード情報（カード番号等）や有効期限などが入力される。このとき、コールセンターオペレーターＯｐでは、カード情報以外の情報として、注文商品・エンドユーザー情報等が、上記カード番号とは別途入力される。提示部２２ｈは、貸与端末２２に備えられた表示手段であるディスプレイを通じて、非保持用情報であるトークン化されたカード番号を提示するモジュールである。本実施形態において提示部２２ｈは、図７に示すように、貸与端末２２のディスプレイ上に表示されたテキストラベル等を含むダイアログＷ１２のようなＧＵＩである。このテキストラベルに表示されたトークン番号は、オペレーター用端末１２の入力部である非保持用情報取得部１２ｂであるカード情報入力欄に、トークン番号・有効期限等が、本来のカード情報に代えて入力され、トークン番号や決済金額等が情報管理サーバーへ登録される。このトークン番号は、代行業者の決済代行サーバー２０との連携により、非保持の状態で管理される。
【００４６】
復号対象取得部２２ｊは、貸与端末のディスプレイ上に表示されたテキストボックス等のＧＵＩであり、代行業者側システム２側に接続され、第１のデータ管理システム側からトークン化されたカード番号等の非保持用情報を取得するモジュールである。ここでいう取得方法としては、貸与端末２２に表示されたトークン化カード番号を直接読み込んだり、バーコードやＱＲコード（登録商標）を読み込んだり、コールセンターオペレーターＯｐが手入力で入力したり、音声で入力したりするが挙げられる。この復号対象取得部２２ｊに入力されたトークン化カード番号は決済代行サーバー２０側でデトークン化されて、本来のカード番号として提示部２２ｈに表示することができる。
【００４７】
（２）代行業者側サーバーの構成
決済代行サーバー２０は、トークナイゼーションサービスの提供者である決済代行業者が管理運用するサーバー装置であり、各加盟店は、貸与端末２２から通信ネットワーク３を通じてこの決済代行サーバー２０にアクセスし、この決済代行サーバー２０が提供するトークナイゼーションサービスを利用して、情報の管理を行うことができる。具体的に、決済代行サーバー２０は、図６に示すように、通信インターフェース２０１と、認証部２０２と、トークン化処理部２０３と、デトークン化処理部２０４と、決済代行実行部２０５と、データベース群２１とを備えている。
【００４８】
通信インターフェース２０１は、通信ネットワーク３を通じて、他の通信機器とデータの送受信を行うモジュールであり、本実施形態では、トークナイゼーションサービスを提供するために各貸与端末２２に接続されている。
【００４９】
認証部２０２は、アクセス者の正当性を検証するコンピューター或いはその機能を持ったソフトウェアであり、各加盟店若しくは貸与端末２２を特定するユーザーＩＤや端末ＩＤに基づいて認証処理を実行する。本実施形態では、通信ネットワーク３を通じてアクセス者の貸与端末２２からユーザーＩＤ及びパスワードを取得し、加盟店データベース２１ｃを照合することによって、アクセス者にその権利があるか否かや、そのアクセス者が本人であるか否かなどを確認する。
【００５０】
データベース群２１は、ユーザーデータベース２１ａと、取引履歴データベース２１ｂと、加盟店データベース２１ｃとが含まれ、ユーザーデータベース２１ａは、登録会員や未登録会員等のエンドユーザーに関する情報（認証情報、個人情報、カード番号、トークン番号）を蓄積する記憶装置であり、取引履歴データベース２１ｂは、各ユーザーに対する決算代行サービスの実行履歴を記録する記憶装置である。また、加盟店データベース２１ｃは、決算代行サービス及びトークナイゼーションサービスの提供を受ける契約を締結した加盟店に関する情報（認証情報、店舗情報等）を蓄積する記憶装置である。なお、これら各データベース２１ａ〜ｃは相互に関連付けられたリレーショナルデータベースである。
【００５１】
トークン化処理部２０３は、貸与端末２２から送信されたユーザー原情報であるカード番号の一部又は全部を暗号化して非保持用情報であるトークン化カード番号を生成し、第２の記録手段であるユーザーデータベース２１ａにユーザー原情報と非保持用情報とを紐付けて蓄積させるモジュールである。一方、デトークン化処理部２０４は、加盟店側のシステムからデトークンの問合せに応じて、復号対象の暗号化された部分を復号化するモジュールである。
【００５２】
決済代行実行部２０５は、エンドユーザーＵや各加盟店からの決済代行要求に応じて、ユーザーデータベース２１ａに蓄積されているカード情報及びトークンデータを用いて、カード情報を復号して、カード会社等に対して決済処理を実行するモジュールである。
【００５３】
（３）加盟店側システムの構成
加盟店側システムは、社内ネットワーク１ａを介して加盟店側自社サーバー１０に対してオペレーター用端末１２が接続されて構成されており、オペレーター用端末１２が加盟店側自社サーバー１０にアクセスすることによって、オペレーター用端末１２のブラウザ上にコールセンターオペレーターＯｐが操作するＧＵＩが提供される。
【００５４】
加盟店側自社サーバー１０は、加盟店が独自に管理運用するサーバー装置であり、従来の顧客管理や取引履歴を行うデータベースシステムを備えている。具体的に、加盟店側自社サーバー１０は、図７に示すように、通信インターフェース１０ａと、認証部１０ｂと、データ記録部１０ｃと、非保持用情報検索部１０ｄと、加盟店側自社データベース群１１とを備えている。
【００５５】
通信インターフェース１０ａは、社内ネットワーク１ａを通じて、他の通信機器とデータの送受信を行うモジュールであり、本実施形態では、コールセンターオペレーターＯｐが使用するオペレーター用端末１２が接続されている。
【００５６】
認証部１０ｂは、アクセス者の正当性を検証するコンピューター或いはその機能を持ったソフトウェアであり、各オペレーター若しくはオペレーター用端末１２を特定するユーザーＩＤや端末ＩＤに基づいて認証処理を実行する。本実施形態では、社内ネットワーク１ａを通じてアクセス者の貸与端末２２からオペレーターのユーザーＩＤ及びパスワードを取得し、認証用データを照合することによって、アクセス者にその権利があるか否かや、そのアクセス者が本人であるか否かなどを確認する。
【００５７】
加盟店側自社データベース群１１は、各加盟店が独自に管理する情報が蓄積された既存のデータベースであり、顧客データベース１１ａと、取引履歴データベース１１ｂとが含まれ、顧客データベース１１ａは、登録会員や未登録会員等のエンドユーザーに関する情報（認証情報、個人情報、カード番号）を蓄積する記憶装置であり、取引履歴データベース１１ｂは、各ユーザーに対する決算代行サービスの実行履歴を記録する記憶装置である。なお、これら各データベース２１ａ〜ｃは相互に関連付けられたリレーショナルデータベースである。
【００５８】
データ記録部１０ｃは、オペレーター用端末１２の非保持用情報取得部１２ｂにおいて入力された非保持用情報であるトークン番号を、本来のカード番号であるユーザー原情報に代えて第１の記録手段である顧客データベース１１ａに記録するモジュールである。
【００５９】
非保持用情報検索部１０ｄは、オペレーター用端末１２からの要求に応じて、顧客データベース１１ａに記録されたトークン番号を呼び出すモジュールであり、呼び出されたトークン番号は、オペレーター用端末１２のディスプレイ上に表示された非保持用情報表示部１２ｃに表示される。
【００６０】
前記オペレーター用端末１２の画面上には、上記ＧＵＩとして、非保持用情報取得部１２ｂと、非保持用情報表示部１２ｃとが提供されるようになっている。
【００６１】
非保持用情報取得部１２ｂは、加盟店側自社サーバー１０のデータ記録部１０ｃとの連携により、コールセンターオペレーターＯｐによる入力操作に応じて、貸与端末２２のディスプレイにより提示されたトークン番号の入力を受け付けるモジュールである。具体的に、この非保持用情報取得部１２ｂは、オペレーター用端末１２の表示手段であるディスプレイ１２ａ上に表示されたテキストボックス等のＧＵＩであり、トークン化されたトークン番号が非保持用情報として入力される。
【００６２】
非保持用情報表示部１２ｃは、非保持用情報検索部１０ｄに接続され、非保持用情報検索部１０ｄとの連携により検索されたトークン番号を表示するモジュールである。すなわち、決済代行サーバー２０側においてトークン化処理部２０３は、ユーザー原情報である本来のカード番号の一部のみを選択して暗号化を行い、オペレーター用端末１２の非保持用情報表示部１２ｃは、この暗号化されたトークン部分と区別可能に、暗号化された部分以外の部分を表示するようになっている。
【００６３】
本実施形態では、トークン化処理部２０３によるトークナイゼーション処理では、図９に示すように、カード番号の下４桁以外の情報（上１２桁の数字列）をトークン化し、カード番号と同じフォーマット、例えば４桁の数字が４セット、ハイフンを介して連結された１６桁の数字から形成された文字列であるなど、所定のパターンに合致するように暗号化する。オペレーター用端末１２の非保持用情報表示部１２ｃであるダイアログＷ１３は、この暗号化された上１２桁のトークン部分と区別可能に、暗号化された部分以外の部分である下４桁部分を表示するようになっている。
【００６４】
（トークナイゼーションシステムの動作）
以上説明した情報管理システムを動作させることによって、トークナイゼーションサービスを含む決済代行サービスを提供することができる。図８は、トークナイゼーションサービスを提供する際のシステム動作を示すシーケンス図である。なお、ここでは、エンドユーザーＵが、電話５２からコールセンターオペレーターＯｐを介して商品を注文する場合を例に説明する。
【００６５】
商品の購入を希望しているエンドユーザーＵは、電話５２を用いてコールセンター受注登録センターＣＣへ電話を掛け、コールセンターオペレーターＯｐに対して商品の注文を行う。この商品の注文に際し、代金の決済のためのカード番号をオペレーターに口頭で伝達する（図８中(1)）。コールセンターオペレーターＯｐは、貸与端末２２で、起動・実行されているトークン化専用ＷｅｂアプリケーションにエンドユーザーＵから伝えられたカード番号を入力する（同図中(2)）。この入力されたカード番号は、決済代行サーバー２０に送信され、ユーザーデータベース２１ａに記録されるとともに（同図中(3)）、トークン化処理部２０３に入力されてトークン化処理の対象となる（同図中(4)）。トークン化された番号はトークン払出番号としてユーザーデータベース２１ａに、カード情報と紐付けされて蓄積される（図中(5)）。そして払い出されたトークンは、貸与端末２２に送信されるとともに（図中(6)）、ディスプレイに表示される（図中(7)）。このとき、トークンの表示をバーコードで表示し、バーコードリーダー等で読み取るようにしてもよい。
【００６６】
コールセンターオペレーターＯｐは、この貸与端末２２に表示されたトークン、或いはコード化されたバーコードとして表示し、コールセンターオペレーターＯｐは、この表示されたトークンを目視するか、バーコードリーダー等で読み取って、オペレーター用端末１２の非保持用情報取得部１２ｂに入力する（図中(8)）。このとき、当該エンドユーザーＵが購入した商品の購入金額も合わせて入力し（図中(9)）、この入力されたトークン番号や金額は決済データとして決済代行サーバー２０に送信され、トークン払い出し番号と照合されて、加盟店側自社サーバー１０と決済代行サーバー２０との間で連携が成立される（図中(10)）。この連携が成立したのを受けてトークン払い出し番号がデトークン化（復号化）されたカード情報について、ユーザーデータベース２１ａに既に登録されているカード情報と照合し（図中(11)）、正当性が確認されたカード番号がカード会社６に送信され（図中(12)）、決済処理が実行される。
【００６７】
（作用・効果）
以上説明した実施形態によれば、カード番号等の記録すべきユーザー情報を管理する際、ユーザー情報の非保持が義務づけられている企業等が、自社で運用・管理している加盟店側自社システム１にユーザー情報を入力する前に、自社システムとは異なる代行業者側システム２側の貸与端末２２を通じて、代行業者側システム２側に送信する。この作業はコールセンターオペレーターＯｐが、エンドユーザーから口頭で伝えられたカード情報を、自社以外のシステムに接続された外部から貸与端末２２に手入力により入力するため、社内の機器において保存、処理或いは通過することなく、トークン化処理に委ねることができる。
【００６８】
そして、外部の代行業者側システム２においてトークン払出番号を生成し、この生成されたトークン払出番号は、貸与端末２２に備えられた表示手段を通じて加盟店側自社システム１側のコールセンターオペレーターＯｐに対して提示され、オペレーターによる入力操作によって、加盟店側自社データベース群１１に登録される。このときも、コールセンターオペレーターＯｐが、自社以外のシステムに接続された貸与端末２２に提示されたトークン払出番号を、手入力により加盟店側自社システム１側の機器に入力するため、カード情報が社内の機器において保存、処理或いは通過することなく、加盟店側自社システム１に蓄積することができる。
【００６９】
このとき、本実施形態では、加盟店側自社データベース群１１に既に登録されているカード情報と同様のフォーマットのトークンを、本来のカード情報であるユーザー原情報に代えて、加盟店側自社データベース群１１に記録するため、既存のシステムや業務形態に大幅な変更を加えることなく、自社で保有する機器においてクレジットカード番号を通過させたり保存することなく、クレジットカード決済を行うことが可能となり、セキュリティ対策の強化を図ることができる。
【００７０】
また、本実施形態では、トークン化処理部２０３によるトークナイゼーション処理では、図９に示すように、カード番号の下４桁以外の情報（上１２桁の数字列）をトークン化し、カード番号と同じフォーマット、例えば４桁の数字が４セット、ハイフンを介して連結された１６桁の数字から形成された文字列であるなど、所定のパターンに合致するように暗号化する。これにより、下４桁が必要となるエンドユーザーＵからのカード情報の問合せ等の業務では、下４桁についてはトークン化されておらず元のカード情報そのままであるため、従来と同様の業務形態で対応することが可能となる。
【符号の説明】
【００７１】
ＣＣ…コールセンター受注登録センター
Ｏｐ…コールセンターオペレーター
Ｕ…エンドユーザー
１…加盟店側自社システム
１ａ…社内ネットワーク
２…代行業者側システム
３…通信ネットワーク
４…ＥＣサイト
６…カード会社
１０…加盟店側自社サーバー
１０ａ…通信インターフェース
１０ｂ…認証部
１０ｃ…データ記録部
１０ｄ…非保持用情報検索部
１１…加盟店側自社データベース群
１１ａ…顧客データベース
１１ｂ…取引履歴データベース
１２…オペレーター用端末
１２ａ…ディスプレイ
１２ｂ…非保持用情報取得部
１２ｃ…非保持用情報表示部
１３…内線電話
２０…決済代行サーバー
２１…データベース群
２１ａ…ユーザーデータベース
２１ｂ…取引履歴データベース
２１ｃ…加盟店データベース
２２…貸与端末
２２ａ…ＣＰＵ
２２ｂ…ブラウザ部
２２ｃ…メモリ
２２ｄ…入力インターフェース
２２ｅ…ストレージ装置
２２ｆ…出力インターフェース
２２ｇ…通信インターフェース
２２ｈ…提示部
２２ｉ…非保持情報入力部
２２ｊ…復号対象取得部
５２…電話
５１…エンドユーザー端末
２０１…通信インターフェース
２０２…認証部
２０３…トークン化処理部
２０４…デトークン化処理部
２０５…決済代行実行部
【図１】
2019101798.tif 000003
【図２】
2019101798.tif 000004
【図３】
2019101798.tif 000005
【図４】
2019101798.tif 000006
【図５】
2019101798.tif 000007
【図６】
2019101798.tif 000008
【図７】
2019101798.tif 000009
【図８】
2019101798.tif 000010
【図９】
2019101798.tif 000011