(57)【要約】【課題】機微情報を適切に管理しつつ管理情報を利活用できるようにする。【解決手段】管理情報のうち機微情報を匿名化する匿名化処理を実行可能な情報管理システム１０であって、匿名化処理の対象となる機微情報の属性を含む法規制要件を記憶する法規制要件記憶部１０２と、匿名化処理の処理パターンの登録を受け付ける処理パターン登録部と、法規制要件及び処理パターンに基づいて匿名化処理の匿名化条件を生成する匿名化条件生成部１０７と、匿名化条件に基づいて管理情報から匿名化情報を生成する匿名化部２０２とを有する。【選択図】図１
2019153060.tif 000002
【特許請求の範囲】
【請求項１】
管理情報のうち機微情報を匿名化する匿名化処理を実行可能な情報管理システムであって、
前記匿名化処理の対象となる機微情報の属性を含む法規制要件を記憶する法規制要件記憶部と、
前記匿名化処理の処理パターンの登録を受け付ける処理パターン登録部と、
前記法規制要件及び前記処理パターンに基づいて前記匿名化処理の匿名化条件を生成する匿名化条件生成部と、
前記匿名化条件に基づいて前記管理情報から匿名化情報を生成する匿名化部と
を有する情報管理システム。
【請求項２】
前記処理パターンのうち前記匿名化処理の実行が許可された許可処理パターン、前記匿名化条件及び前記匿名化情報を記憶する許可情報記憶部を更に有する、
請求項１に記載の情報管理システム。
【請求項３】
前記処理パターンに基づいて前記匿名化情報を復元する復元化処理を実行する解析処理部を更に有し、
前記解析処理部は、前記実行する復元化処理に対応する許可処理パターンが前記許可情報記憶部に記憶されている場合、前記匿名化処理を実行する、
請求項２に記載の情報管理システム。
【請求項４】
前記処理パターンのうち前記機微情報の再特定リスクが高い処理不可パターンを記憶する処理不可リスト記憶部を更に有し、
前記匿名化条件生成部は、前記法規制要件、前記処理パターン及び前記処理不可パターンに基づいて前記匿名化条件を生成する、
請求項３に記載の情報管理システム。
【請求項５】
前記匿名化情報の移転履歴を記憶する許可処理履歴記憶部を更に有し、
前記移転履歴には、前記匿名化処理が実行されなかったデータ項目と、再特定されるデータ項目とが含まれ、
前記匿名化条件生成部は、前記法規制条件、前記処理パターン及び前記移転履歴に基づいて前記匿名化条件を生成する、
請求項３に記載の情報管理システム。
【請求項６】
前記許可処理履歴記憶部は、前記匿名化情報の受信履歴を更に記憶し、
前記解析処理部は、前記実行する匿名化処理の匿名化情報を受信した場合、当該実行する匿名化処理の匿名化情報の受信履歴を前記許可処理履歴記憶部に記憶する、
請求項５に記載の情報管理システム。
【請求項７】
管理情報のうち機微情報を匿名化する匿名化処理を実行可能な情報管理方法であって、
前記匿名化処理の対象となる機微情報の属性を含む法規制要件を記憶し、
前記匿名化処理の処理パターンの登録を受け付け、
前記法規制要件及び前記処理パターンに基づいて前記匿名化処理の匿名化条件を生成し、
前記匿名化条件に基づいて前記管理情報から匿名化情報を生成し、
前記処理パターンのうち前記匿名化処理の実行が許可された許可処理パターン、前記匿名化条件及び前記匿名化情報を記憶し、
前記処理パターンに基づいて前記匿名化情報を復元する復元化処理のうち、実行する復元化処理に対応する許可処理パターンが記憶されている場合、前記処理パターンに基づいて前記匿名化情報を復元する復元化処理を実行する情報管理方法。
【請求項８】
情報管理主体が管理する管理情報のうち機微情報を匿名化する匿名化処理の匿名化条件を生成可能な情報管理装置であって、
前記匿名化処理の対象となる機微情報の属性を含む法規制要件を記憶する法規制要件記憶部と、
前記匿名化処理の処理パターンの登録を受け付ける処理パターン登録部と、
前記法規制要件及び前記処理パターンに基づいて前記匿名化処理の匿名化条件を生成する匿名化条件生成部と
を有する情報管理装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、機微情報を匿名化する情報管理システム、情報管理方法及び情報管理装置に関する。
【背景技術】
【０００２】
近年、２０１７年５月の改正個人情報保護法の全面施行や、２０１８年５月のＥＵ一般データ保護規則（ＧＤＰＲ：General Data Protection Regulation）の新たな施行等、個人情報を保護する法規制が強化されつつある。特に、ＧＤＰＲでは，違反した企業に対して、その企業の年間総売り上げの４％に上る罰金が科せられる恐れがある。このような法規制への対応は、個人情報を扱う各企業にとって課題となっている。
【０００３】
ＧＤＰＲでは、各企業に対して、個人の要求に応じて、個人情報の参照、変更、移転、及び削除を行う義務が課されている。例えば、各個人のＷｅｂページのアクセスログを蓄積及び分析し、その分析結果に応じて特定の個人へ広告を配信する企業には、個人の削除要求に応じて、蓄積データや分析結果から個人を特定可能な情報を削除する義務が課されている。
【０００４】
さらに、ＧＤＰＲでは、ある目的に利用する個人情報をその目的に必要とされるものに限る、所謂、個人データの最小化の原則が規定されている。例えば、Ｗｅｂアクセスを利用者に提供する企業は、セキュリティオペレーションの目的で各個人のＷｅｂページのアクセスログを分析処理することがある。そして、その企業は、その分析処理の結果に応じて、セキュリティに問題がある可能性が高いＷｅｂアクセスや、特定のネットワークセグメントからのＷｅｂアクセスを停止する。この場合、その分析処理の処理パターンは、必要最小限の個人情報である“個人ＩＤ”“ＩＰアドレス”等に利用を制限する必要がある。
【０００５】
あるデータに含まれる個人情報を限定する技術として、例えば、特許文献１に開示された匿名化技術が知られている。特許文献１の技術では、個人情報の特定度を算出し、必要に応じて個人情報の隠蔽化の度合いを調整可能とする。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００２−２６９０８１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
ところで、個人情報を匿名化した匿名化情報は、例えば、別の情報と突き合せることによって、個人情報が特定されることがある。こうした事態を避けるために、個人情報を扱う企業や組織は、法規制の要件を満たす匿名化条件で個人情報を匿名化した上で、匿名化した匿名化情報の利用範囲と匿名化処理の処理パターンとを管理する必要がある。従来技術では、こうした法規制及び処理パターンに応じて、匿名化情報の非特定状態を保持可能な利用範囲及び処理パターンを管理する手法は、開示されていない。
【０００８】
本発明は、上記課題に鑑みてなされたもので、その目的は、機微情報を適切に管理しつつ管理情報を利活用することができる技術を提供することにある。
【課題を解決するための手段】
【０００９】
上記課題を解決すべく、本発明に従う情報管理システムは、管理情報のうち機微情報を匿名化する匿名化処理を実行可能な情報管理システムであって、匿名化処理の対象となる機微情報の属性を含む法規制要件を記憶する法規制要件記憶部と、前記匿名化処理の処理パターンの登録を受け付ける処理パターン登録部と、前記法規制要件及び前期処理パターンに基づいて匿名化条件を生成する匿名化条件生成部と、前記期匿名化条件に基づいて前記管理情報から匿名化情報を生成する匿名化部とを有する。
なお、情報管理システムは、特定の個人の情報であることが特定されるのを防止しつつ情報を管理するシステムである。
【発明の効果】
【００１０】
本発明によれば、機微情報を適切に管理しつつ管理情報を利活用することができる。
【図面の簡単な説明】
【００１１】
【図１】第１実施例に係る情報管理システムのソフトウェア構成を示すブロック図。
【図２】第１実施例に係る情報管理システムのハードウェア構成を示すブロック図。
【図３】第１実施例に係る元情報のデータ構造を示す図。
【図４】第１実施例に係る主体情報記憶部のデータ構造を示す図。
【図５】第１実施例に係る法規制要件記憶部のデータ構造を示す図。
【図６】第１実施例に係る処理不可リストのデータ構造を示す図。
【図７】第１実施例に係る許可処理履歴記憶部のデータ構造を示す図。
【図８】第１実施例に係る許可処理パターン管理部の論理構成を示すブロック図。
【図９】第１実施例に係る処理パターン記憶部のデータ構造を示す図。
【図１０】第１実施例に係る匿名化条件生成部の論理構成を示すブロック図。
【図１１】第１実施例に係る匿名化条件記憶部のデータ構造を示す図。
【図１２】第１実施例に係る許可処理パターン記憶部のデータ構造を示す図。
【図１３】第１実施例に係る匿名化方法リストのデータ構造を示す図。
【図１４】第１実施例に係る匿名化情報のデータ構造を示す図。
【図１５】第１実施例に係る既保持情報のデータ構造を示す図。
【図１６】第１実施例に係る処理パターン登録処理を示すシーケンス図。
【図１７】第１実施例に係る処理パターン許可処理を示すシーケンス図。
【図１８】第１実施例に係る匿名化条件生成処理を示すフローチャート。
【図１９】第１実施例に係る許可処理履歴チェック処理を示すフローチャート。
【図２０】第２実施例に係る情報管理システムのソフトウェア構成を示すブロック図。
【図２１】第２実施例に係る預託個人情報のデータ構造を示す図。
【図２２】第２実施例に係る匿名化条件記憶部のデータ構造を示す図。
【図２３】第２実施例に係る匿名化情報のデータ構造を示す図。
【発明を実施するための形態】
【００１２】
以下の説明では、情報管理システムは、一以上の計算機で構成されてよい。情報管理システムによる情報表示は、情報管理システムの表示デバイスに情報を表示することであってもよいし、表示用情報を遠隔の表示用計算機（情報処理主体）に送信することであってもよい。
【００１３】
まず、匿名化技術に関し、匿名化後のデータが、別のデータと突き合わされることによって個人を特定可能となった事例がある。例えば、米国では、ある州が、医療データから氏名等を削除する匿名化処理を実行してデータを公開したところ、既に別途公開（販売）されていた投票者名簿に突き合せられることによって、個人を特定できた事例がある。
【００１４】
さらに、同じく米国では、ＤＶＤレンタル会社が、匿名化した５０万件の視聴履歴データを公開し、レコメンド・アルゴリズムの開発コンテストを開催したところ、研究者が、映画レビューサイトのデータに突き合わせ、個人を特定できた事例がある。この事例では、コンテスト主催者に監督官庁の調査が入り、その後のコンテストが中止となった。
【００１５】
さらに、米国のインターネットプロバイダ会社が、研究開発のために、氏名を匿名化した６５万人分の検索履歴を公開したところ、研究者が検索キーワードから個人を特定し、メディアや消費者団体から非難を受け、同社のＣＴＯが辞任した事例がある。
【００１６】
以下、図面を参照しながら、幾つかの実施形態を説明する。
【実施例１】
【００１７】
（１）第１実施例
（１−１）第１実施例に係る情報管理システムの構成
図１は、第１実施例の情報管理システム１０のソフトウェア構成を示すブロック図である。なお、同ハードウェア構成は、図２に示す。
【００１８】
情報管理システム１０は、情報管理装置１を備えている。情報管理装置１は、情報管理主体２と、情報処理主体３とに、ＬＡＮ（Local Area Network）またはＷＡＮ（Wide Area Network）等のネットワーク４を介して接続されている。情報管理システム１０は、特定の個人の情報であることが特定されるのを防止しつつ情報を管理するシステムである（この意味で、非特定化情報管理システムと呼んでも良い）。
【００１９】
情報管理主体２は、例えば、国外の欧州支社である。情報管理主体２は、「管理情報」の一例としての元情報２０１と、匿名化部２０２と、匿名化情報２０３とを有する。
【００２０】
元情報２０１には、顧客や従業員の「機微情報」の一例としての個人情報や営業秘密が含まれている。
【００２１】
匿名化部２０２は、元情報２０１のうち個人情報を匿名化する匿名化処理を実行する。具体的には、匿名化部２０２は、後述する匿名化条件に基づいて元情報２０１から匿名化情報２０３を生成し、生成した匿名化情報２０３をネットワーク４を介して情報処理主体３へ送信する。
【００２２】
匿名化情報２０３は、元情報２０１のうち個人情報を匿名化処理によって匿名化し、個人情報以外の情報を匿名化しない情報である。匿名化情報２０３は、ネットワーク４を介して情報処理主体３に送信される。
【００２３】
情報管理装置１は、主体情報記憶部１０１と、法規制要件記憶部１０２と、「処理不可リスト記憶部」の一例としての処理不可リスト１０３と、許可処理履歴記憶部１０４と、許可処理パターン管理部１０５とを有する。さらに、情報管理システム１は、処理パターン記憶部１０６と、匿名化条件生成部１０７と、匿名化条件記憶部１０８と、「許可情報記憶部」の一例としての許可処理パターン記憶部１０９と、匿名化方法リスト１１０とを有する。
【００２４】
情報処理主体３は、例えば、国内の情報処理センターである。情報処理主体３は、匿名化情報２０３と、既保持情報３０１と、解析処理部３０２と、解析処理結果３０３とを有する。
【００２５】
匿名化情報２０３は、情報管理主体２からネットワーク４を介して受信する。解析処理部３０２は、各種解析処理（アクセスログ解析、検索、突合せ、頻度計算等）を実行する。例えば、解析処理部３０２は、処理パターンに基づいて匿名化情報２０３と既保持情報３０１とを突合せて匿名化情報２０３を復元する復元化処理を実行し、解析処理結果３０３を出力する。解析処理部３０２は、実行する復元化処理に対応する処理パターンが許可処理パターン管理部１０５に記憶されている場合、復元化処理を実行する。解析処理結果３０３は、解析処理部３０２が解析処理によって匿名化情報２０３を復元した結果である。
【００２６】
図２は、第１実施例に係る情報管理システム１０のハードウェア構成を示すブロック図である。
【００２７】
情報管理装置１、情報管理主体２及び情報処理主体３は、パーソナルコンピュータ、スマートフォン、サーバ装置等の情報処理装置または仮想マシンである。情報管理装置１、情報管理主体２及び情報処理主体３それぞれは、ＣＰＵと、メモリと、ディスクと、ネットワークインタフェースカード（ＮＩＣ：Network Interface Card）と、表示装置と、入力装置と、内部通信線とを備える。
【００２８】
図３は、第１実施例に係る元情報２０１のデータ構造を示す図である。
【００２９】
元情報２０１は、情報管理主体２のディスクまたはメモリに格納されており、個人情報（ここでは“ＩＰアドレス”及び“個人ＩＤ”）を含む情報である。
【００３０】
元情報２０１のデータ項目（カラム）は、例えば、“ＩＰアドレス”、“個人ＩＤ”、“（アクセス）時刻”及び“ＨＴＴＰリクエスト”を含んでよい。“ＩＰアドレス”は、Ｗｅｂプロキシサーバが記録するアクセスログであり、Ｗｅｂプロキシサーバを経由してインターネット上のＷｅｂサイトへアクセスする際のアクセス元端末のＩＰアドレスである。“個人ＩＤ”は、アクセス元端末を使用し、Ｗｅｂアクセスを実行した個人の識別子である。“（アクセス）時刻”は、アクセスした時刻である。“ＨＴＴＰリクエスト”は、ＷｅｂサイトからＷｅｂページを取得するリクエストである。
【００３１】
例えば、レコード２０１１は、“ＩＰアドレス”が“192.168.1.128”のアクセス元端末を使用する“個人ＩＤ”が“1111”の利用者が、“時刻”が“2018／6／9  10：01：10”に、“ＨＴＴＰリクエスト”が“GET /d.e.f/”を発行したことを示す。
【００３２】
図４は、第１実施例に係る主体情報記憶部１０１のデータ構造を示す図である。
【００３３】
主体情報記憶部１０１は、情報管理装置１のディスクまたはメモリに格納されている。主体情報記憶部１０１は、各主体（情報管理主体２及び情報処理主体３）の識別子及び所在する国・地域・組織等の情報を記憶する。主体情報記憶部１０１内の情報は、許可処理パターン管理部１０５及び匿名化条件生成部１０７に参照される。
【００３４】
主体情報記憶部１０１のデータ項目は、例えば、“主体ＩＤ”、“主体名”、“主体種類”、“国・地域”及び“組織名”を含んでよい。“主体ＩＤ”は、各主体の識別子である。“主体名”は、主体の名称である。“主体種類”は、主体の役割の種類である。“国・地域”は、主体の所在である。“組織名”は、主体の組織の名称である。
【００３５】
例えば、レコード１０１１では、“主体ＩＤ”が“１０００”で“主体名”が“情報管理主体”の主体は、“主体種類”が情報の管理責任を持つ“Data Controller”であり、“国・地域”が“ＥＵ”に所在し、“組織名”が“欧州支社”であることを示す。レコード１０１２では、“主体ＩＤ”が“２０００”で“主体名”が“情報処理主体”の主体は、“主体種類”が情報の解析処理を担う“Data Processer”であり、“国・地域”が“日本”に所在し、“組織名”が“情報処理センター”であることを示す。
【００３６】
図５は、第１実施例に係る法規制要件記憶部１０２のデータ構造を示す図である。
【００３７】
法規制要件記憶部１０２は、情報管理装置１のディスクまたはメモリに格納されている。法規制要件記憶部１０２は、各主体が所在する国、地域及び組織等の個人情報の定義等の法規制要件を記憶する。
【００３８】
法規制要件記憶部１０２のデータ項目は、例えば、“法規制要件ＩＤ”、“国・地域”、“法規制名称”及び“個人情報データ項目”を含んでよい。“法規制要件ＩＤ”は、国・地域ごとの法規制要件の識別子である。“国・地域”は、国・地域名を保持する。“法規制名称”は、法規制の名称である。“個人情報データ項目”は、各法規制が個人情報とみなす「機微情報の属性」の一例としてのデータ項目群である。
【００３９】
例えば、レコード１０２１には、“法規制要件ＩＤ”が“１”の法規制要件が定義されている。“法規制要件ＩＤ”が“１”の法規制要件は、“国・地域”が“日本”、“法規制名称”が“改正個人情報保護法”、“個人情報データ項目”が“氏名、生年月日、個人識別番号、人種（要配慮個人情報）、病歴（要配慮個人情報）”等であることを示す。
【００４０】
レコード１０２２は、法規制要件ＩＤが“２”の法規制要件が定義されている。“法規制要件ＩＤ”が“２”の法規制要件は、“国・地域”が“ＥＵ”、“法規制名称”が“ＧＤＰＲ”、“個人情報データ項目”が“名前、識別番号、所在地データ、職業上のＥｍａｉｌアドレス、オンライン識別子（ＩＰアドレス）”等であることを示す。
【００４１】
図６は、第１実施例に係る処理不可リスト１０３のデータ構造を示す図である。
【００４２】
処理不可リスト１０３は、情報管理装置１のディスクまたはメモリに格納されている。処理不可リスト１０３は、匿名化情報２０３が過去に再識別（再特定）された事例等から抽出した再識別の可能性が高い処理パターンを保持する。処理パターンは、入力データ項目、出力データ項目及び処理の種類を含んでよい。
【００４３】
処理不可リスト１０３のデータ項目は、例えば、“匿名化情報の種類”、“匿名化データ項目”、“元情報データ項目”、“再特定処理の種類”及び“追加データ項目”を含んでよい。“匿名化情報の種類”は、再特定の対象となった匿名化情報２０３の名称である。“匿名化データ項目”は、匿名化情報２０３のうち匿名化されていたデータ項目である。“元情報データ項目”は、匿名化情報２０３のうち元情報のままであったデータ項目である。“再特定処理の種類”は、再特定のために行われた処理の種類である。“追加データ項目”は、再特定の処理に用いられた追加のデータ項目である。
【００４４】
例えば、レコード１３０１には、“匿名化情報の種類”が“医療データ”の匿名化情報２０３の処理パターンが定義されている。この処理パターンは、匿名化（削除）により“匿名化データ項目”の“氏名”を削除し、“元情報データ項目”に“性別、生年月日、住所、病名”を含み、“再特定処理の種類”に“突合せ”を用い、“追加データ項目”に“氏名、住所”を用いることを示す。このレコード１３０１は、“追加データ項目”として別の名簿に含まれている“氏名、住所”と照合することによって、ある特定の個人の“氏名”が再特定された処理パターンを示す。
【００４５】
さらに、レコード１３０２は、“匿名化情報の種類”が“検索履歴”の匿名化情報２０３の処理パターンである。この処理パターンでは、匿名化（仮名化）によって“匿名化データ項目”の“氏名”を仮名化し、“元情報データ項目”に“検索キーワード、検索結果”を含み、“再特定処理の種類”として“検索キーワード解析”を用いる。このレコード１５０２は、“再特定処理の種類”として“検索キーワード解析”を用いることによって、ある特定の個人の“氏名”が再特定された処理パターンである。
【００４６】
図７は、第１実施例に係る許可処理履歴記憶部１０４のデータ構造を示す図である。
【００４７】
許可処理履歴記憶部１０４は、情報管理装置１のディスクまたはメモリに格納されている。許可処理履歴記憶部１０４は、各主体（情報管理主体２及び情報処理主体３）からの許可処理リクエストへの応答及び各主体間の匿名化情報２０３の送受信履歴を記憶する。
【００４８】
許可処理履歴記憶部１０４のデータ項目は、例えば、“許可処理履歴ＩＤ”、“許可応答日時”、“許可処理ＩＤ”、“匿名化情報アドレス”、“提供元送信日時”及び“提供先受信日時”を含んでよい。“許可処理履歴ＩＤ”は、各履歴の識別子である。“許可応答日時”は、許可処理パターン管理部１０５の後述する許可問合せ応答部１０５２が許可の応答をした日時である。“許可処理ＩＤ”は、許可の応答に対応する許可処理パターンの識別子である。“匿名化情報アドレス”は、同日時の時点での匿名化情報の入手先アドレスである。“提供元送信日時”は、情報管理主体２が情報処理主体３の要求に応じて匿名化情報２０３を送信した日時を記録する。“提供先受信日時”は、情報処理主体３が匿名化情報２０３を受信した日時を記録する。
【００４９】
例えば、レコード１０４１には、“許可処理履歴ＩＤ“が“１”の許可処理履歴が定義されている。“１”の許可処理履歴は、“許可応答日時”が“2018／6／29  3：00：00”、対応する“許可処理ＩＤ”が“１”であることを示す。さらに、“１”の許可処理履歴は、同日時における“匿名化情報アドレス”が“https://x.y.z/access.log ”、“提供元送信日時”が“2018／6／29  3：05：00”、“提供先受信日時”が“2018／6／29  3：10：00”であることを示す。
【００５０】
図８は、第１実施例に係る許可処理パターン管理部１０５の論理構成を示すブロック図である。
【００５１】
許可処理パターン管理部１０５は、情報管理装置１のディスクまたはメモリに格納されている。許可処理パターン管理部１０５は、匿名化情報２０３の利用許可範囲を管理する。許可処理パターン管理部１０５は、処理パターン登録部１０５１と、許可問合せ応答部１０５２とを備えている。
【００５２】
処理パターン登録部１０５１は、情報処理主体３から処理パターンの登録を受け付ける。処理パターン登録部１０５１は、匿名化条件生成部１０７の後述する許可処理パターン登録部１０７３から許可処理パターンの登録を受け付けてもよい。許可問合せ応答部１０５２は、情報処理主体３から特定の処理パターンを実行する許可の問合せがあった場合、情報処理主体３に許可の有無を応答する。
【００５３】
図９は、第１実施例に係る処理パターン記憶部１０６のデータ構造を示す図である。
【００５４】
処理パターン記憶部１０６は、情報管理装置１のディスクまたはメモリに格納されている。処理パターン記憶部１０６は、情報処理主体３から登録される処理パターンを記憶する。
【００５５】
処理パターン記憶部１０６のデータ項目は、例えば、“処理パターンＩＤ”、“処理目的”、“処理データ項目”及び“処理の種類”を含んでよい。“処理パターンＩＤ”は、各処理パターンの識別子である。“処理目的”は、各処理の目的である。“処理データ項目”は、各処理が用いるデータ項目である。“処理の種類”は、突合せや頻度計算等の処理の内容である。
【００５６】
例えば、レコード１０６１には、“処理パターンＩＤ”が“Ｙ１”の処理パターンが定義されている。“Ｙ１”の処理パターンは、“処理目的”が“セキュリティオペレーション”、“処理データ項目”として“ＩＰアドレス、個人ＩＤ、時刻、ＨＴＴＰリクエスト、有害ＵＲＬリスト”が入出力され、“処理の種類”が“突合せ、頻度計算”の処理を示す。
【００５７】
図１０は、第１実施例に係る匿名化条件生成部１０７の論理構成を示すブロック図である。
【００５８】
匿名化条件生成部１０７は、情報管理装置１のディスクまたはメモリに格納されている。匿名化条件生成部１０７は、既保持情報３０１、処理パターン及び法規制要件に基づいて、少なくとも法規制要件を満たす匿名化条件を生成する。匿名化条件生成部１０７は、マッチング部１０７１と、匿名化方法判定部１０７２と、許可処理パターン登録部１０７３とを備えている。
【００５９】
マッチング部１０７１は、解析処理部３０２の処理パターンと、法規制要件記憶部１０２の法規制要件と、処理不可リスト１０３のデータ項目と、許可処理履歴記憶部１０４のデータ項目とを入力とし、各データ項目と各要件との照合処理を実行する。匿名化方法判定部１０７２は、マッチング部１０４１での照合処理の処理結果に基づき匿名化が必要であることが判明した各データ項目と、法規制要件の匿名化条件候補とを入力とし、各データ項目に対する匿名化条件を選定する。許可処理パターン登録部１０７３は、匿名化処理後の各データ項目及び処理パターンからなる許可処理パターンを、許可処理パターン管理部１０５へ登録する。
【００６０】
図１１は、匿名化条件記憶部１０８のデータ構造を示す図である。
【００６１】
匿名化条件記憶部１０８は、情報管理装置１のディスクまたはメモリに格納されている。匿名化条件記憶部１０８は、匿名化条件生成部１０７が生成した匿名化条件を記憶する。
【００６２】
匿名化条件記憶部１０８のデータ項目は、例えば、“匿名化条件ＩＤ”、“匿名化データ項目”、“元情報データ項目”及び“突合不可データ項目”を含んでよい。“匿名化条件ＩＤ”は、ある処理パターンに対応する匿名化条件の識別子である。“匿名化データ項目”は、匿名化処理の対象となったデータ項目と匿名化方法とのペア情報である。“元情報データ項目”は、情報処理主体２が匿名化せずに元情報のまま情報処理主体３へ送るデータ項目である。“突合不可データ項目”は、既保持情報３０１における匿名化情報と突合した場合に個人を再特定可能なデータ項目である。
【００６３】
例えば、レコード１０８１には、“匿名化条件ＩＤ”が“Ｘ１”の匿名化条件が定義されている。“Ｘ１”の匿名化条件は、各“匿名化対象データ項目”に対して“ＩＰアドレス（匿名化方法：仮名化）、個人ＩＤ（匿名化方法：仮名化）、ＨＴＴＰリクエスト（匿名化方法：検索キーワード削除）”の各方法で匿名化することを示す。さらに“Ｘ１”の匿名化条件は、“元情報データ項目”として“時刻”と合わせて匿名化情報２０３を生成し、既保持情報３０１のデータ項目のうち非特定状態を保つためには“突合不可データ項目”が“個人ＩＤ、ＨＴＴＰリクエスト”であることを示す。
【００６４】
図１２は、第１実施例に係る許可処理パターン記憶部１０９のデータ構造を示す図である。
【００６５】
許可処理パターン記憶部１０９は、情報管理装置１のディスクまたはメモリに格納されている。許可処理パターン記憶部１０９は、処理が許可された処理パターンを記憶する。
【００６６】
許可処理パターン記憶部１０９のデータ項目は、例えば、“許可処理ＩＤ”、“許可日”、“許可期限”、“匿名化情報アドレス”、“提供元主体ＩＤ”、“提供先主体ＩＤ”、“匿名化条件ＩＤ”及び“処理パターンＩＤ”を含んでよい。“許可処理ＩＤ”は、許可された処理の識別子である。“許可日”は、許可された日である。“許可期限”は、許可の期限日である。“匿名化情報アドレス”は、匿名化情報２０３の入手先アドレス（ＵＲＬ等）である。“提供元主体ＩＤ”は、匿名化情報２０３の提供元である主体ＩＤである。“提供先主体ＩＤ”は、匿名化情報２０３の提供先である主体ＩＤである。“匿名化条件ＩＤ”は、匿名化情報２０３の各データ項目の匿名化条件の識別子である。“処理パターンＩＤ”は、匿名化情報２０３と組合せて処理することが許可された処理パターンの識別子である。
【００６７】
例えば、レコード１０９１には、許可処理ＩＤが“１”である許可処理パターンが定義されている。この許可処理パターンでは、“許可日”が“2018／5／31”、“許可期限”が“2018／12／31”、匿名化情報２０３の“提供元主体ＩＤ”が“1000”、提供先主体ＩＤが“2000”、許可対象となる“匿名化情報アドレス”が“https://x.y.z/access.log”である。この許可処理パターンは、この匿名化情報２０３に対し、“匿名化条件ＩＤ”が“Ｘ１”の匿名化条件で匿名化された匿名化情報２０３を用いて、“処理パターンＩＤ”が“Ｙ１”の処理パターンを実行可能であることを示す。
【００６８】
図１３は、第１実施例に係る匿名化方法リスト１１０のデータ構造を示す図である。
【００６９】
匿名化方法リスト１１０は、情報管理装置１のディスクまたはメモリに格納されている。匿名化方法リスト１１０は、匿名化処理の匿名化方法（削除、仮名化、一般化、k-匿名化等）の登録を受け付ける。
【００７０】
匿名化方法リスト１１０のデータ項目は、例えば、“匿名化方法ＩＤ”及び“匿名化方法”を含んでよい。“匿名化方法ＩＤ”は、匿名化方法の識別子である。“匿名化方法”は、匿名化方法の種類である。
【００７１】
例えば、レコード１１０１は、“匿名化方法ＩＤ”が“１”であり、“匿名化方法”は“削除”であることを示す。
【００７２】
図１４は、第１実施例に係る匿名化情報２０３のデータ構造を示す図である。
【００７３】
匿名化情報２０３は、情報管理主体２及び情報処理主体３それぞれのディスクまたはメモリに格納されている。匿名化情報２０３は、元情報２０１を匿名化した情報である。
【００７４】
匿名化情報２０３のデータ項目は、例えば、“匿名化ＩＰアドレス”、“匿名化個人ＩＤ”、“時刻”及び“匿名化ＨＴＴＰリクエスト”を含んでよい。“匿名化ＩＰアドレス”は、元情報２０１の“ＩＰアドレス”カラムを匿名化したＩＰアドレスである。
“匿名化個人ＩＤ”は、元情報２０１の“個人ＩＤ”カラムを匿名化した識別子である
“時刻”は、元情報２０１の“時刻”と同じ時刻である。“匿名化ＨＴＴＰリクエスト”は、元情報２０１の“ＨＴＴＰリクエスト”カラムを匿名化したリクエストである。
【００７５】
例えば、レコード２０３１は、元情報２０１のレコード２０１２が、前述した匿名化条件ＩＤ“Ｘ１”の匿名化条件で匿名化されたものである。レコード２０３１は、“匿名化ＩＰアドレス”が“ｙｙｙ．ｙｙｙ．ｙｙｙ”、“匿名化個人ＩＤ”が“9efeau”、“時刻”が“2018／6／9  10：01：30”であることを示す。さらに、レコード２０３１は、対応するＨＴＴＰリクエストが、前述の“ＨＴＴＰリクエスト（検索キーワード削除）”という匿名化条件であることを示す。このため、レコード２０１２は、“ＨＴＴＰリクエスト”が含んでいた“東京 大阪 新幹線”というキーワードが削除され、匿名化ＨＴＴＰリクエスト“GET /solr/select?/q=”と匿名化された情報である。
【００７６】
図１５は、第１実施例に係る既保持情報３０１のデータ構造を示す図である。
【００７７】
既保持情報３０１は、情報処理主体３のディスクまたはメモリに格納されている。既保持情報３０１は、匿名化情報２０３の解析処理に用いられる情報である。
【００７８】
既保持情報３０１は、“Ｗｅｂパケット制限量解放リスト３０１０”というテーブル構造のデータからなる。Ｗｅｂパケット制限量解放リスト３０１０のデータ項目は、例えば、“個人ＩＤ”及び“ＨＴＴＰリクエスト”を含んでよい。“個人ＩＤ”は、個人の識別子である。“ＨＴＴＰリクエスト“は、”個人ＩＤ“が示す個人がＷｅｂパケット量の制限なくアクセスする必要があるＷｅｂサイトへのＨＴＴＰリクエストである。このＷｅｂパケット制限量解放リスト３０１０は、“個人ＩＤ”を持つ個人を特定可能な“ＨＴＴＰリクエスト”に対してＷｅｂアクセスのパケット量制限を開放する処理目的のために、匿名化されない元情報２０１のままである。
【００７９】
図１６は、第１実施例に係る処理パターン登録処理を示すシーケンス図である。
【００８０】
まず、情報管理主体２は、情報管理主体２及び情報処理主体３の主体情報（主体名、主体の種類、所在する国・地域、組織名等）を、情報管理装置１の主体情報記憶部１０１に登録する（Ｓ１０１）。
【００８１】
次に、情報管理装置１は、主体情報が情報管理主体２によって登録されたことを情報処理主体３に通知する（Ｓ１０２）。
【００８２】
情報処理主体３は、処理パターン（処理目的、処理データ項目、処理の種類等）を情報管理装置１の処理パターン記憶部１０６に登録する（Ｓ１０３）。
【００８３】
次に、情報管理装置１は、匿名化条件生成部１０７により、Ｓ１０１で登録された主体情報と、Ｓ１０３で登録された処理パターンとに基づいて匿名化条件を生成し、情報管理主体２へ通知する（Ｓ１０４）。なお、図１８及び図１９にて、Ｓ１０４における匿名化条件生成部１０７の処理の流れを詳述する。
【００８４】
次に、情報管理主体２は、Ｓ１０４で通知された匿名化条件に基づいて元情報２０１から匿名化情報２０３を生成する（Ｓ１０５）。
【００８５】
次に、情報管理主体２は、情報処理主体３がアクセス可能なＷＥＢサーバ等に匿名化情報２０３を登録し、登録した匿名化情報２０３の入手先アドレス（ＵＲＬ等）を情報管理装置１へ送信する（Ｓ１０６）。
【００８６】
最後に、情報管理装置１の許可処理パターン登録部１０５１は、許可処理ＩＤ、許可日、許可期限、匿名化情報アドレス、提供元主体ＩＤ、提供先主体ＩＤ、匿名化条件ＩＤ、及び処理パターンＩＤ等からなる許可処理パターンのレコードを生成する。許可処理パターン登録部１０５１は、生成した許可処理パターンのレコードを許可処理パターン記憶部１０９へ登録し、処理パターン及び匿名化情報を登録したことを情報処理主体３へ通知する（Ｓ１０７）。
【００８７】
図１７は、第１実施例に係る処理パターン許可処理を示すシーケンス図である。
【００８８】
まず、情報処理主体３は、処理パターンの情報を含む処理パターン許可の問合せリクエストを情報管理装置１へ送信する（Ｓ２０１）。
【００８９】
次に、情報管理装置１は、許可問合せ応答部１０５２によって、問合せリクエストに含まれる処理パターンが許可処理パターン記憶部１０９に記憶されているか否かを確認する。情報管理装置１は、問合せリクエストに含まれる処理パターンが許可処理パターン記憶部１０９に記憶されている場合、情報処理主体３へ処理の許可及び対応する匿名化情報２０３の入手先アドレスを応答する。情報管理装置１は、問合せリクエストに含まれる処理パターンが許可処理パターン記憶部１０９に記憶されていない場合、情報処理主体３へ処理の不許可及び処理パターンの登録指示を応答する（Ｓ２０２）。
【００９０】
情報処理主体３は、Ｓ２０２による応答を受け、処理の許可が有る場合、匿名化情報の入手先アドレス（例：情報管理主体２が有するＷＥＢサーバ上の匿名化情報のＵＲＬ）へ匿名化情報の取得をリクエストする。一方、処理の許可が無い場合、情報処理主体３は、図１６の処理パターン登録処理のＳ１０３を実行してＳ１０７の登録完了通知を受けた後、Ｓ２０１へ戻る（Ｓ２０３）。
【００９１】
情報管理主体２は、情報処理主体３から匿名化情報の取得のリクエストを受信した場合、匿名化情報２０３を情報処理主体３へ送信する（Ｓ２０４）。
【００９２】
次に、情報管理主体２は、情報管理装置１の許可処理履歴記憶部１０４の“提供元送信日時”カラムに、情報処理主体３へ匿名化情報２０３を送信した日時を登録する（Ｓ２０５）。
【００９３】
情報管理主体３は、情報処理主体２からの匿名化情報２０３の受信が完了した場合、情報管理装置１の許可処理履歴記憶部１０４の“提供先受信日時”カラムに、受信した日時を登録する（Ｓ２０６）。
【００９４】
最後に、情報管理主体３は、許可を得た処理パターンによる解析処理を実行する（Ｓ２０７）。
【００９５】
図１８は、第１実施例に係る匿名化条件生成処理を示すフローチャートである。
【００９６】
まず、匿名化条件生成部１０７は、処理パターン記憶部１０６から、匿名化の対象となる処理パターンの情報を取得する。具体的には、匿名化条件生成部１０７は、情報管理主体２、情報処理主体３が既に保持する既保持情報３０１、及び解析処理結果３０３それぞれのデータ項目と、解析処理部３０３の解析処理の種類（検索、突合、頻度計算等）とを取得する（Ｓ３０１）。
【００９７】
次に、マッチング部１０７１は、Ｓ３０１で取得した各データ項目と、法規制要件記憶部１０２から、情報管理主体２及び情報処理主体３が所在する国において個人情報と定義されているデータ項目とを照合し、個人情報であるデータ項目を特定し、匿名化対象データ項目群Ｇとする（Ｓ３０２）。
【００９８】
次に、マッチング部１０７１は、匿名化情報２０３から個人情報が再特定された事例等から抽出した再特定が高い処理パターンを保持する処理不可リスト１０３に基づき、Ｓ３０１で取得した各データ項目及び処理の種類を含む処理パターンの有無を確認する。マッチング部１０７１は、処理パターンが有る場合、当該処理パターンの要素となるデータ項目を、匿名化対象データ項目群Ｇに追加する（Ｓ３０３）。
【００９９】
次に、匿名化方法判定部１０７２は、許可処理履歴記憶部１０４と、許可処理パターン記憶部１０９と、匿名化条件記憶部１０８から、既保持情報３０１のうち情報処理主体２から過去に取得したデータ項目を取得する。匿名化方法判定部１０７２は、その履歴と、新たに登録する処理パターンのデータ項目とを突合せ、特定の個人を再特定できるか否かを判定し、再特定できる場合、再特定の原因となるデータ項目を、突合不可データ項目Ｆとする（Ｓ３０４）。この許可処理履歴チェック処理の詳細な処理内容は、図１９を用いて詳述する。
【０１００】
次に、匿名化方法判定部１０７２は、匿名化対象データ項目群Ｇの各データ項目に対し、実行すべき匿名化方法（削除、仮名化、一般化、k-匿名化等）を、匿名化方法リスト１１０から取得し、各データ項目と匿名化方法のペア情報を生成する。そして、匿名化条件記憶部１０８へ、匿名化条件ＩＤ、元情報のまま取得する元情報データ項目、及び突合不可データ項目Ｆと合わせて登録する（Ｓ３０５）。
【０１０１】
最後に、許可処理パターン登録部１０７３は、許可処理ＩＤを生成し、許可日、許可期限、提供元主体ＩＤ、提供先主体ＩＤ、匿名化条件ＩＤ及び処理パターンＩＤを、許可処理パターン記憶部１０９に登録し、処理を終了する（Ｓ３０６）。
【０１０２】
図１９は、第１実施例に係る許可処理履歴チェック処理を示すフローチャートである。
【０１０３】
まず、匿名化方法判定部１０７２は、許可処理履歴記憶部１０４のレコード数をカウントし、レコード数が０より大きい（ＹＥＳ）場合は、Ｓ４０２に進み、レコード数が０（ＮＯ）場合は、本処理を終了する（Ｓ４０１）。
【０１０４】
次に、Ｓ４０２において、匿名化方法判定部１０７２は、許可処理履歴記憶部１０４から、“許可処理ＩＤ”カラムの値を取得する（Ｓ４０２）。
【０１０５】
次に、匿名化方法判定部１０７２は、Ｓ４０２で取得した許可処理ＩＤに基づいて、許可処理パターン記憶部１０９を検索し、許可処理ＩＤが一致するレコードから匿名化条件ＩＤを取得する（Ｓ４０３）。
【０１０６】
次に、匿名化方法判定部１０７２は、取得した匿名化条件ＩＤに基づいて、匿名化条件記憶部１０８を検索し、一致する匿名化条件ＩＤをもつレコードの“元情報データ項目”カラムからデータ項目を抽出し、既保持データ項目群Ｄに追加する（Ｓ４０４）。
【０１０７】
次に、匿名化方法判定部１０７２は、Ｓ３０１で取得した処理パターンから、情報管理主体２から取得するデータ項目を抽出し、新取得データ項目群ＤＮに追加する（Ｓ４０５）。
【０１０８】
次に、匿名化方法判定部１０７２は、Ｓ４０４及びＳ４０５で取得した既保持データ項目群Ｄと新取得データ項目群ＤＮとに共通するデータ項目数をカウントする。匿名化方法判定部１０７２は、カウントが０以上（ＹＥＳ）である場合は、Ｓ４０７に進み、カウントが０（ＮＯ）である場合は、本処理を終了する（Ｓ４０６）。
【０１０９】
次に、Ｓ４０７において、匿名化方法判定部１０７２は、既保持データ項目群Ｄと新取得データ項目群ＤＮとに共通のデータ項目を含む既保持情報３０１内のテーブルに含まれる個人情報のデータ項目数をカウントする。匿名化方法判定部１０７２は、カウントが０以上（ＹＥＳ）である場合は、Ｓ４０８に進み、カウントが０（ＮＯ）である場合は、本処理を終了する（Ｓ４０７）。
【０１１０】
次に、匿名化方法判定部１０７２は、既保持データ項目群Ｄ及び新取得データ項目群ＤＮに共通のデータ項目と、Ｓ４０７でカウントした個人情報のデータ項目とからなるデータ項目群を、突合不可データ項目群Ｆとして出力し、処理を終了する（Ｓ４０８）。
【０１１１】
例えば、Ｓ３０４において、情報処理主体３が、既保持情報３０１としてＷｅｂパケット制限量解放リスト３０１０（図１５参照）を既に保持しているとする。情報処理主体３は、Ｗｅｂパケット制限量の解放制御の申請のために匿名化されていないある個人ＩＤと、ＨＴＴＰリクエストのデータ項目とのペアを持つことがある。この場合、匿名化した個人ＩＤと、元情報２０１のままのＨＴＴＰリクエストとを含むアクセスログの匿名化情報２０３を受け取り、既に保持している匿名化されていない個人ＩＤとＨＴＴＰリクエストと突き合わせると、匿名化された個人ＩＤが再特定される。したがって、こうした再特定を防ぐために、匿名化されていない個人ＩＤとＨＴＴＰリクエストのデータ項目とを、許可処理履歴チェック処理によって、突合不可データ項目Ｆとして抽出できる。
【０１１２】
以上で、図１〜図１９を用いて、第１実施例の情報管理システム１０を説明した。
【０１１３】
（１−２）第１実施例の効果
【０１１４】
以上で説明したように、企業や組織等の情報管理主体２が、法規制要件に基づいて、匿名化情報２０３を、セキュリティオペレーションやマーケティング分析等の解析処理等の目的で情報処理センター等の情報処理を担う情報処理主体３へ参照させる。この場合において、法規性要件を満たす匿名化条件で匿名化した上で、匿名化情報２０３の利用許可範囲を管理するので、匿名化情報２０３の非特定化状態を保つことができる。したがって、匿名化後のデータが、別のデータと突合せや、想定外の解析処理によって、個人を特定される事態を避けることができる。
【０１１５】
さらに、情報管理システム１０は、処理パターンのうち個人情報の再特定事例等に基づいて再特定リスクの高い処理パターンを記憶する処理不可リスト１０３を備える。これにより、処理不可リストチェック処理Ｓ３０３において処理不可リスト１０３を参照し、再特定の事例がある処理パターンのデータ項目の匿名化を匿名化条件に含めるので、過去の再特定事例に基づき個人の特定リスクを低減することができる。
【０１１６】
さらに、情報管理システム１０は、過去の情報処理主体３への許可処理パターンと、匿名化情報２０３の履歴とを許可処理履歴記憶部１０４に保持する。しかも、情報管理システム１０は、許可処理履歴チェック処理Ｓ３０４において情報処理主体３が過去に入手済みの匿名化情報の元情報のままの部分と突合せることによって、個人を特定されるデータ項目の匿名化が匿名化条件に含まれる。これにより、過去の既保持情報３０１との突合せによる個人の再特定を防ぐことができる。
【０１１７】
さらに、情報管理システム１０では、許可処理履歴記憶部１０４に対して、匿名化情報２０３を送信すると（Ｓ２０４）、送信側の情報管理主体２が送信履歴を登録し（Ｓ２０５）、受信側の情報処理主体３が受信履歴を登録する（Ｓ２０６）。これにより、組織間の情報の移転履歴を詳細に記憶することができ、監査や削除時に、情報の移転履歴及び移転範囲を容易に把握することができる。
【実施例２】
【０１１８】
（２）第２実施例
（２−１）第２実施例に係る情報処理システムの構成
【０１１９】
図２０は、第２実施例に係る情報管理システム２０のソフトウェア構成を示すブロック図である。情報管理システム２０のハードウェア構成は、図２と同様である。以下、第１実施例と同様の要素は、記載を省略する。
【０１２０】
第２実施例における情報管理システム２０において、情報管理主体１２は、個人が預託する預託個人情報１２０１を管理する情報銀行を想定する。情報処理主体１３は、情報銀行１２が匿名化した匿名化情報１２０３を解析して活用する個人情報利用組織を想定する。情報管理システム２０は、情報処理主体１３の処理パターンや既保持情報３０１を踏まえ、各主体１２，１３が所在する国・地域・組織等の個人情報に関する法規性要件を満たす匿名化条件を匿名化条件生成部１０７により生成する。情報管理システム２０は、生成した匿名化条件を情報管理主体１２へ送信し、匿名化情報１２０３の利用許可範囲を許可処理パターン管理部１０５により管理する。そして、情報管理システム２０は、情報処理主体１３の処理の許可の問合せに対して許可処理パターン管理部１０５に登録済みの処理パターンの場合のみ、処理の許可を応答する。これにより、情報管理システム２０は、個人情報利用組織における匿名化情報１２０３の非特定化状態を保つ機能を提供する。
【０１２１】
以下、第２実施例にて第１実施例と異なる預託個人情報１２０１、匿名化条件記部１１０８、及び、匿名化情報１２０３について、図を用いて説明する。
【０１２２】
図２１は、第２実施例に係る預託個人情報１７２１のデータ構造を示す図である。
【０１２３】
預託個人情報１２０１は、情報管理主体２のディスクまたはメモリに格納されている。預託個人情報１２０１は、個人が情報銀行等の個人情報預託事業者へ預託した個人情報である。預託個人情報１２０１のデータ項目は、例えば、“個人ＩＤ”、“氏名”、“生年月日”、“住所”、“趣味”、“体調”及び“家族構成”を含んでよい。“個人ＩＤ”は、個人の識別子である。“氏名”は、個人の氏名である。“生年月日”は、個人の生年月日である。“住所”は、個人の住所である。“趣味”は、個人の趣味である。“体調”は、個人の体調である。“家族構成”は、個人の家族構成である。
【０１２４】
例えば、レコード１２０１１は、“個人ＩＤ”が“１１１１”で“氏名”が“山田一郎”氏は、“生年月日”が“１９７３／１／１”で、趣味が“読書”、現在“体調”に“頭痛”があり、“家族構成”が“妻、長男、二男”の４人家族であることを示す。
【０１２５】
図２２は、第２実施例に係る匿名化条件記憶部１１０８のデータ構造を示す図である。
【０１２６】
匿名化条件記憶部１１０８のデータ項目（カラム）構成は、図１１の匿名化条件記憶部１０８と同じである。
【０１２７】
例えば、レコード１１０８１には、“匿名化条件ＩＤ”が“Ｚ１”の匿名化条件が定義されている。レコード１１０８１は、各匿名化対象の“匿名化データ項目”に対し“個人ＩＤ（匿名化方法：削除）、氏名（匿名化方法：削除）、生年月日（匿名化方法：一般化：生年）、住所（匿名化方法：一般化：都道府県）という匿名化方法で匿名化することを示す。そして、レコード１１０８１は、預託個人情報１２０１のデータ項目である“趣味”“体調”“家族構成”と合わせて、匿名化情報１２０３を生成する条件を示す。
【０１２８】
図２３は、第２実施例に係る匿名化情報１２０３のデータ構造を示す図である。
【０１２９】
匿名化情報１２０３は、預託個人情報１２０１から預託個人情報１２０１の“個人ＩＤ”カラム及び“氏名”カラムを削除した上で、“生年月日”カラムを匿名化した“匿名化生年月日”カラムと、“住所”カラムを匿名化した“匿名化住所”カラムを含む。即ち、それら以外、匿名化情報１２０３は、預託個人情報１７２１と同じ“趣味”カラム、“体調”カラム及び“家族構成”カラムを含む。
【０１３０】
例えば、レコード１２０３１は、預託個人情報１２０１のレコード１２０１１が、前述した“匿名化条件ＩＤ”“Ｚ１”の匿名化条件で匿名化されたものである。レコード１２０１１は、“匿名化生年月日”が“1973（一般化：青年）”、“匿名化住所”が“東京都（一般化：都道府県）”を含む。レコード１２０３１は、匿名化されていない情報である“趣味”が“読書”、“体調”が“頭痛”、“家族構成”が“妻、長男、二男”の４人家族であることを示す。
【０１３１】
以上で、図２０〜図２３を用いて、第２実施例の情報管理システム２０について、第１実施例の情報管理システム１０との違いを中心に説明した。
【０１３２】
（２−２）第２実施例の効果
【０１３３】
以上で説明したように、第２実施例の情報管理システム２０では、法規制に基づいて個人から預託された預託個人情報１２０１を、情報銀行等の情報管理主体１２が、管理及び運用する責任がある。情報管理システム２０では、匿名化情報１２０３を、マーケティング分析等の解析処理等の目的で活用する個人情報利用組織等の情報処理主体１３へ参照させる場合、法規性の要件を満たす匿名化条件で匿名化した上で、匿名化情報の利用許可範囲を管理する。これにより、非特定化状態が保たれ、匿名化情報が、別のデータと突合せや、想定外の解析処理をされることによって個人を再特定され、情報銀行や個人情報利用企業が法規制違反や事業への悪影響を被る事態を避けることができる。
【０１３４】
以上、（１−１）〜（２−２）で説明したように、個人情報を扱う企業や組織は、匿名化情報を、利用時に突合わせる情報及び処理パターンに基づいて法規性の要件を満たす匿名化条件で匿名化した上で、匿名化情報の利用許可範囲を管理する。これにより、個人情報の非特定化状態を保つことができ、匿名化後のデータが、別のデータとの突合せや、想定外の解析処理をされることによって、個人を特定される事態を避けることができる。
【０１３５】
なお、本発明は前述した実施例に限定されるものではなく、添付した特許請求の範囲の趣旨内における様々な変形例及び同等の構成が含まれる。例えば、前述した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに本発明は限定されない。また、ある実施例の構成の一部を他の実施例の構成に置き換えてもよい。また、ある実施例の構成に他の実施例の構成を加えてもよい。また、各実施例の構成の一部について、他の構成の追加・削除・置換をしてもよい。
【０１３６】
また、前述した各構成、機能、処理部等は、それらの一部又は全部を、例えば集積回路で設計する等により、ハードウェアで実現してもよく、プロセッサがそれぞれの機能を実現するプログラムを解釈し実行することにより、ソフトウェアで実現してもよい。
【０１３７】
各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリ、ハードディスク、ＳＳＤ（Solid State Drive）等の記憶装置、又は、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に格納することができる。
【０１３８】
また、制御線や情報線は、説明上必要と考えられるものを示しており、実装上必要な全ての制御線や情報線を示しているとは限らない。実際には、ほとんど全ての構成が相互に接続されていると考えてよい。
【０１３９】
また、本発明は、個人情報以外にも、営業機密等、機微性が高く社内規則等で社外への公開が制限されている機微情報を非特定化して社外組織の処理サービス等を利用する場合にも、同様の効果を得ることができる。
【産業上の利用可能性】
【０１４０】
本発明は、顧客情報や医療情報等の個人情報、及び営業機密等の機微情報を扱う複数の組織において、個人情報や営業機密情報を法規制要件や社内規則に従って匿名化して非特定状態を保つ機能を提供する情報処理システムに広く適用することができる。
【符号の説明】
【０１４１】
１…情報管理装置、２…情報管理主体、１２…情報管理主体、１０…情報管理システム、２０…情報管理システム、１０２…法規制要件記憶部、１０３…処理不可リスト、１０４…許可処理履歴記憶部、１０５１…処理パターン登録部、１０７…匿名化条件生成部、１０９…許可処理パターン記憶部、２０１…元情報、２０２…匿名化部、３０２…解析処理部、１２０１…預託個人情報
【図１】
2019153060.tif 000003
【図２】
2019153060.tif 000004
【図３】
2019153060.tif 000005
【図４】
2019153060.tif 000006
【図５】
2019153060.tif 000007
【図６】
2019153060.tif 000008
【図７】
2019153060.tif 000009
【図８】
2019153060.tif 000010
【図９】
2019153060.tif 000011
【図１０】
2019153060.tif 000012
【図１１】
2019153060.tif 000013
【図１２】
2019153060.tif 000014
【図１３】
2019153060.tif 000015
【図１４】
2019153060.tif 000016
【図１５】
2019153060.tif 000017
【図１６】
2019153060.tif 000018
【図１７】
2019153060.tif 000019
【図１８】
2019153060.tif 000020
【図１９】
2019153060.tif 000021
【図２０】
2019153060.tif 000022
【図２１】
2019153060.tif 000023
【図２２】
2019153060.tif 000024
【図２３】
2019153060.tif 000025