(57)【要約】【課題】パーソナルデータのセキュリティレベルと、パーソナルデータを利用するサーバや端末等の装置毎のセキュリティレベルとに応じたデータ要素単位のアクセス制御を可能にする。【解決手段】情報処理システムは、第１の装置と、第２の装置と、アクセス制御サーバとを備え、前記アクセス制御サーバの制御部は、前記第２の装置に対するパーソナルデータのデータ要素の開示要求と前記第２の装置のＩＤとを前記第１の装置又は前記第２の装置から取得し、前記第２の装置のＩＤをセキュリティレベルと対応付けて記憶する装置ＩＤ―セキュリティレベルＤＢと、前記データ要素をセキュリティレベルと対応付けて記憶するデータ要素―セキュリティレベルＤＢと、を参照して、前記第２の装置のセキュリティレベルに基づいて前記第２の装置による前記データ要素へのアクセス可否を判定する。【選択図】図７
2015225385.tif 000002
【特許請求の範囲】
【請求項１】
第１の装置と、第２の装置と、アクセス制御サーバとを備える情報処理システムにおいて、
前記アクセス制御サーバの制御部は、
前記第２の装置に対するパーソナルデータのデータ要素の開示要求と前記第２の装置のＩＤとを前記第１の装置又は前記第２の装置から取得し、
前記第２の装置のＩＤをセキュリティレベルと対応付けて記憶する装置ＩＤ―セキュリティレベルＤＢと、前記データ要素をセキュリティレベルと対応付けて記憶するデータ要素―セキュリティレベルＤＢと、を参照して、前記第２の装置のセキュリティレベルに基づいて前記第２の装置による前記データ要素へのアクセス可否を判定する
ことを特徴とする情報処理システム。
【請求項２】
請求項１に記載の情報処理システムにおいて、
前記情報処理システムは更に、前記パーソナルデータのデータ要素を記憶するパーソナルデータ管理サーバを備え、
前記アクセス制御サーバの制御部は、更に、
前記開示要求と前記第２の装置のＩＤとを前記第１の装置から取得し、
前記第１の装置のＩＤを前記第１の装置から取得し、
前記第１の装置のＩＤをセキュリティレベルと対応付けて記憶する前記装置ＩＤ―セキュリティレベルＤＢを参照して、前記第１の装置のセキュリティレベルに基づいてアクセス可否を判定し、
前記判定の結果アクセス可能と判定した場合、前記第２の装置へ、前記データ要素の復号鍵又は前記データ要素を送信する
ことを特徴とする情報処理システム。
【請求項３】
請求項１に記載の情報処理システムにおいて、
前記情報処理システムは更に、前記パーソナルデータのデータ要素を記憶するパーソナルデータ管理サーバを備え、
前記アクセス制御サーバの制御部は、更に、
前記開示要求と前記第２の装置のＩＤとを前記第２の装置から取得し、
前記第２の装置の位置情報を前記第２の装置から取得し、
更に、データ要素へのアクセスが可能となる位置情報を記憶する前記装置ＩＤ―セキュリティレベルＤＢを参照して、前記位置情報に基づいてアクセス可否を判定し、
前記判定の結果アクセス可能と判定された場合、前記第２の装置へ、前記データ要素の復号鍵又は前記データ要素を送信し、所定の時間間隔で新たな位置情報を取得して前記判定を再度行い、
前記再度の判定の結果、前記新たな位置情報が前記データ要素―セキュリティレベルＤＢに記憶された条件を満たさないと判定するのに応じて、又は、前記データ要素を用いた処理が完了したとの通知を前記第２の装置から取得するのに応じて、前記データ要素の復号鍵又は前記データ要素を消去させる消去要求を送信する
ことを特徴とする情報処理システム。
【請求項４】
請求項１に記載の情報処理システムにおいて、
前記第１の装置は、前記パーソナルデータのデータ要素を記憶し、
前記アクセス制御サーバの制御部は更に、
前記開示要求と前記第２の装置のＩＤとを前記第１の装置から取得し、
前記第１の装置のＩＤを前記第１の装置から取得し、
前記第１の装置のＩＤをセキュリティレベルと対応付けて記憶する前記装置ＩＤ―セキュリティレベルＤＢを参照して、前記第１の装置のＩＤに基づいてアクセス可否を判定し、
前記判定の結果アクセス可能と判定し、更に、前記データ要素―セキュリティレベルＤＢを参照してコピー不可のデータ要素が存在すると判定した場合、前記第１の装置に対して、前記コピー不可と判定されたデータ要素を消去する消去要求を送信する
ことを特徴とする情報処理システム。
【請求項５】
請求項４に記載の情報処理システムにおいて、
前記制御部は更に、前記判定の結果アクセス可能と判定した場合、前記第２の装置に対して、前記データ要素のコピーを許可するトークンを発行し、
前記第２の装置は、前記トークンを前記第１の装置に示すことにより前記第１の装置から前記データ要素を取得する
ことを特徴とする情報処理システム。
【請求項６】
請求項１から５のいずれか１項に記載の情報処理システムにおいて、
前記制御部は更に、
前記第２の装置の利用者のＩＤを取得し、
前記第２の装置の利用者のＩＤをセキュリティレベルと対応付けて記憶する利用者―セキュリティレベルＤＢを参照して、前記第２の装置の利用者のセキュリティレベルに基づいて判定する
ことを特徴とする情報処理システム。
【請求項７】
第１の装置と、第２の装置と、アクセス制御サーバとを備える情報処理システムによる情報処理方法において、
前記アクセス制御サーバの制御部により、前記第２の装置に対するパーソナルデータのデータ要素の開示要求と前記第２の装置のＩＤとを前記第１の装置又は前記第２の装置から取得するステップと、
前記アクセス制御サーバの制御部により、前記第２の装置のＩＤをセキュリティレベルと対応付けて記憶する装置ＩＤ―セキュリティレベルＤＢと、前記データ要素をセキュリティレベルと対応付けて記憶するデータ要素―セキュリティレベルＤＢと、を参照して、前記第２の装置のセキュリティレベルに基づいて前記第２の装置による前記データ要素へのアクセス可否を判定するステップと
を含むことを特徴とする情報処理方法。
【請求項８】
コンピュータに、
第２の装置に対するパーソナルデータのデータ要素の開示要求と前記第２の装置のＩＤとを第１の装置又は前記第２の装置から取得する手順と、
前記第２の装置のＩＤをセキュリティレベルと対応付けて記憶する装置ＩＤ―セキュリティレベルＤＢと、前記データ要素をセキュリティレベルと対応付けて記憶するデータ要素―セキュリティレベルＤＢと、を参照して、前記第２の装置のセキュリティレベルに基づいて前記第２の装置による前記データ要素へのアクセス可否を判定する手順と、
を実行させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、パーソナルデータを利用する装置のセキュリティレベルに応じた情報処理システム、情報処理方法及びプログラムに関する。
【背景技術】
【０００２】
一般に、パーソナルデータ（個人識別性のある個人情報に限らず、広く個人に関する個人識別性のない情報を含むデータ）は、歩数計や活動量計のデータから、電子マネーのバリューや認証の鍵データまで多岐にわたる。従来、パーソナルデータをサーバや端末で利用する場合、ＳＳＬなどでデータを一律に暗号化して流通させることが知られている（例えば、非特許文献１）。この場合、通信における情報の秘匿性は保証されるが、さらに、情報のセキュリティレベルと利用者のセキュリティレベルに応じてデータへのアクセス可否をきめ細かく制御することが好ましい。そこで、利用者のセキュリティレベルを定義したユーザ管理データベースと、情報のセキュリティレベルを定義したコンテンツ管理データベースとから、利用者が情報（コンテンツ）にアクセス可能か否かを判断する技術が知られている（例えば、特許文献１）。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特許第４１１６１３７号公報
【非特許文献】
【０００４】
【非特許文献１】“ＰＫＩ関連技術情報  ７．１節  ＴＬＳ（ＳＳＬ）、ＩＰＡ、［Ｏｎｌｉｎｅ］、［平成２６年５月１５日検索］、インターネット＜http://www.ipa.go.jp/security/pki/071.html＞
【非特許文献２】“平成１１年度  スマートカードの安全性に関する調査  調査報告書、ＩＶ．１．１  セキュリティレベル、ＩＰＡ、［Ｏｎｌｉｎｅ］、［平成２６年５月１５日検索］、インターネット＜http://www.ipa.go.jp/security/enc/smartcard/node59.html＞
【発明の概要】
【発明が解決しようとする課題】
【０００５】
特許文献１に示した方法では、ユーザのセキュリティレベルと情報のセキュリティレベルとを比較することによりアクセスの可否判断を行っている。しかしながら、昨今のユーザ端末は、携帯電話だけでなく、タブレットやスマートウォッチなどのウェアラブル（身につけられる）機器など多岐に渡る。これらの機器では、耐タンパ性を備えたデバイスを実装しているか否かなどによりセキュリティ耐性が機器毎に異なる。このため、利用者のセキュリティレベルだけから一律にアクセス対象情報へのアクセス可否を判定することができない。例えば、歩数計のデータのようなライフログ情報へのアクセスであればデータの管理に耐タンパ性までは必要としない。一方で、電子マネーなどのバリューへのアクセスでは改竄防止や秘匿などの耐タンパ性が必要となる。このため、マルチデバイスの利用環境においては、個々のデバイスのセキュリティレベルを考慮しつつパーソナルデータのセキュリティレベルに応じたアクセス制御が必要である。これに関連して、暗号モジュールのセキュリティレベルが定義されている（例えば、非特許文献２）。
【０００６】
かかる点に鑑みてなされた本発明の目的は、パーソナルデータのセキュリティレベルと、パーソナルデータを利用するサーバや端末等の装置毎のセキュリティレベルとに応じたデータ要素単位のアクセス制御を可能とする、情報処理システム、情報処理方法及びプログラムを提供することにある。
【課題を解決するための手段】
【０００７】
上記課題を解決するため、本発明に係る情報処理システムは、第１の装置と、第２の装置と、アクセス制御サーバとを備え、前記アクセス制御サーバの制御部は、前記第２の装置に対するパーソナルデータのデータ要素の開示要求と前記第２の装置のＩＤとを前記第１の装置又は前記第２の装置から取得し、前記第２の装置のＩＤをセキュリティレベルと対応付けて記憶する装置ＩＤ―セキュリティレベルＤＢと、前記データ要素をセキュリティレベルと対応付けて記憶するデータ要素―セキュリティレベルＤＢと、を参照して、前記第２の装置のセキュリティレベルに基づいて前記第２の装置による前記データ要素へのアクセス可否を判定することを特徴とする。
【０００８】
また、上記課題を解決するため、本発明に係る情報処理方法は、第１の装置と、第２の装置と、アクセス制御サーバとを備える情報処理システムによる情報処理方法において、前記アクセス制御サーバの制御部により、前記第２の装置に対するパーソナルデータのデータ要素の開示要求と前記第２の装置のＩＤとを前記第１の装置又は前記第２の装置から取得するステップと、前記アクセス制御サーバの制御部により、前記第２の装置のＩＤをセキュリティレベルと対応付けて記憶する装置ＩＤ―セキュリティレベルＤＢと、前記データ要素をセキュリティレベルと対応付けて記憶するデータ要素―セキュリティレベルＤＢと、を参照して、前記第２の装置のセキュリティレベルに基づいて前記第２の装置による前記データ要素へのアクセス可否を判定するステップとを含むことを特徴とする。
【０００９】
また、上記課題を解決するため、本発明に係るプログラムは、コンピュータに、第２の装置に対するパーソナルデータのデータ要素の開示要求と前記第２の装置のＩＤとを第１の装置又は前記第２の装置から取得する手順と、前記第２の装置のＩＤをセキュリティレベルと対応付けて記憶する装置ＩＤ―セキュリティレベルＤＢと、前記データ要素をセキュリティレベルと対応付けて記憶するデータ要素―セキュリティレベルＤＢと、を参照して、前記第２の装置のセキュリティレベルに基づいて前記第２の装置による前記データ要素へのアクセス可否を判定する手順とを実行させる。
【発明の効果】
【００１０】
本発明によれば、パーソナルデータのセキュリティレベルと、パーソナルデータを利用するサーバや端末等の装置毎のセキュリティレベルとに応じたデータ要素単位のアクセス制御が可能となる。
【図面の簡単な説明】
【００１１】
【図１】本発明の一実施形態に係る情報処理システムの概略構成を示す図である。
【図２】（ａ）は図１の情報処理システムにおける第１の装置の機能ブロック図、（ｂ）は図１の情報処理システムにおける第２の装置の機能ブロック図である。
【図３】図１の情報処理システムにおけるアクセス制御サーバの機能ブロック図である。
【図４】図１の情報処理システムにおけるパーソナルデータ管理サーバの機能ブロック図である。
【図５】本発明の実施形態１に係る装置ＩＤ―セキュリティレベルＤＢ及びデータ要素―セキュリティレベルＤＢの一例を示す図である。
【図６】本発明のアクセス制御サーバによるアクセス可否判定結果の一例を示す図である。
【図７】本発明の実施形態１に係る情報処理システムの動作フローを示す図である。
【図８】本発明の実施形態２に係る装置ＩＤ―セキュリティレベルＤＢ、データ要素―セキュリティレベルＤＢ及び利用者―セキュリティレベルＤＢの一例を示す図である。
【図９】本発明の実施形態２に係る情報処理システムの動作フローを示す図である。
【図１０】本発明の実施形態３に係る装置ＩＤ―セキュリティレベルＤＢ及びデータ要素―セキュリティレベルＤＢの一例を示す図である。
【図１１】本発明の実施形態３に係る情報処理システムの動作フローを示す図である。
【発明を実施するための形態】
【００１２】
以下、本発明の各実施形態を図面に基づいて説明する。
【００１３】
図１は、本発明の一実施形態に係る情報処理システムの概略構成を示す図である。図１に示す概略構成は一例であり、各構成は任意に組み合わせることが可能であることに留意されたい。一実施形態においては、ネットワークＮＷを介して第１の装置１、第２の装置２及びアクセス制御サーバ３が接続され、アクセス制御サーバ３にはパーソナルデータ管理サーバ４が接続される。ネットワークＮＷに接続される装置の数は限定されない。装置は、設置型の端末、携帯型の端末又はサーバ等のいずれであってもよい。
【００１４】
図２（ａ）は、本発明の一実施形態に係る情報処理システムにおける第１の装置１の機能ブロック図で、図２（ｂ）は本発明の一実施形態に係る情報処理システムにおける第２の装置２の機能ブロック図である。本発明に係る情報処理システムの各機能を説明するが、情報処理システムが備える他の機能を排除することを意図したものではないことに留意されたい。
【００１５】
第１の装置１は、制御部１１、通信部１２及びパーソナルデータ管理部１３を備える。制御部１１は、第１の装置１の各種動作を制御する。例えば、制御部１１は、通信部１２を制御して、アクセス制御サーバ３に対してデータ要素の開示要求を行う。パーソナルデータ管理部１３は、第１の装置１の利用者のパーソナルデータのデータ要素を管理（記憶）する。
【００１６】
第２の装置２は制御部２１、通信部２２及び位置情報取得部２３を備える。制御部２１は、第２の装置２の各種動作を制御する。例えば、制御部２１は、通信部２２を制御して、アクセス制御サーバ３からパーソナルデータを取得する。位置情報取得部２３は、ＧＰＳ（Ｇｌｏｂａｌ  Ｐｏｓｉｔｉｏｎｉｎｇ  Ｓｙｓｔｅｍ、全地球測位網）等を用いて、第２の装置２の位置情報を取得する。取得された位置情報は、例えば、アクセス制御サーバ３に送信されて、よりきめ細かくアクセス制御を行うために用いられる。
【００１７】
図３は、図１の情報処理システムにおけるアクセス制御サーバの機能ブロック図である。アクセス制御サーバ３は、制御部３１、通信部３２、アクセス制御ファイル管理部３３、鍵管理部３４及びデータ処理部３５を備える。アクセス制御サーバ３に耐タンパ領域を設ける場合、制御部３１、アクセス制御ファイル管理部３３、鍵管理部３４及びデータ処理部３５が耐タンパ領域に含まれる。
【００１８】
制御部３１は、アクセス制御サーバ３の各種動作を制御する。例えば、制御部３１は、通信部３２を制御して、パーソナルデータの開示先候補である第２の装置２のＩＤ２を第１の装置１又は第２の装置２から取得する。また、制御部３１は、データ処理部３５を制御して、パーソナルデータのデータ要素へのアクセス可否を判定する。更に、制御部３１は、通信部３２を制御して、パーソナルデータのデータ要素へのアクセスが可能と判定された第２の装置２に対して、そのデータ要素を送信（開示）する。
【００１９】
アクセス制御ファイル管理部３３は、装置ＩＤ―セキュリティレベルＤＢ（データベース）３３ａ、データ要素―セキュリティレベルＤＢ３３ｂ及び利用者―セキュリティレベルＤＢ３３ｃを備える。これらのＤＢは、例えば、第２の装置２が特定のパーソナルデータのデータ要素に対してアクセス可能か否か、すなわち、第２の装置２に対してパーソナルデータを開示可能か否かを判定するためなどに用いられる。
【００２０】
装置ＩＤ―セキュリティレベルＤＢ３３ａは、データ要素の開示を要求する装置又はパーソナルデータのデータ要素の開示先の装置のＩＤと、セキュリティレベルとを対応付けて記憶する。
【００２１】
装置のセキュリティレベルは、例えば以下のように定められる。セキュリティレベル１の装置は、攻撃耐性が低く、正しく暗号アルゴリズムを実装するがタンパ検出機能を備えない。セキュリティレベル２の装置は、中程度の攻撃耐性を持ち、タンパ検出機能を備える。セキュリティレベル３の装置は、強固な攻撃耐性を持ち、タンパ検出機能を備えるだけでなく、タンパ検出時に秘密情報を消去する機能等を備える。
【００２２】
データ要素―セキュリティレベルＤＢ３３ｂは、利用者ＩＤ毎に、パーソナルデータのデータ要素を、セキュリティレベル及びデータ要素の管理場所と対応付けて記憶する。
【００２３】
パーソナルデータのデータ要素のセキュリティレベルは、例えば以下のように定められる。セキュリティレベル１のデータ要素は、秘匿性や真正性が比較的要求されないパーソナルデータやライフログデータ等である。セキュリティレベル２のデータ要素は、中程度の秘匿性や真正性が要求されるパーソナルデータ、住所、氏名、身体のヘルスデータ、電子マネー情報等である。セキュリティレベル３のデータ要素は、秘匿性や真正性が強く要求されるパーソナルデータ、クレジットカード情報、機密度の高いパーソナルデータ等である。
【００２４】
利用者―セキュリティレベルＤＢ３３ｃは、第１の装置１及び／又は第２の装置２の利用者を、セキュリティレベルと対応付けて記憶する。
【００２５】
利用者のセキュリティレベルは、例えば利用者の所属グループや役職等の属性情報に応じた、データ要素へのアクセス可否を定めたレベルである。利用者のセキュリティレベルを用いることにより、例えば、利用者が会社の共有サーバに記憶される資料（データ要素）にアクセスしようとしたとき、利用者のセキュリティレベルと資料のセキュリティレベルとに応じて、利用者がアクセス可能な資料に差を設けるというアクセス制御が可能である。
【００２６】
鍵管理部３４は、アクセス制御サーバ３の証明書の管理、パーソナルデータの暗号鍵の管理、利用者認証及び端末認証鍵の管理並びにセッション鍵の生成及び管理等を行う。
【００２７】
データ処理部３５は、利用者認証や、デバイス等の装置認証を行う。データ処理部３５は、セッション鍵を用いたパーソナルデータの暗号化及び復号化並びにパーソナルデータ管理サーバ４に保管するパーソナルデータの暗号化及び復号化を行う。また、データ処理部３５は、パーソナルデータのセキュリティレベル、デバイス等の装置のセキュリティレベル、及び利用者のセキュリティレベルに基づいたアクセス制御を行う。更に、データ処理部３５は、利用者携帯端末の所在位置に基づくアクセス制御、装置上のデータの遠隔操作による消去及びタイマ処理等をも行う。
【００２８】
図４は、図１の情報処理システムにおけるパーソナルデータ管理サーバの機能ブロック図である。パーソナルデータ管理サーバ４は、制御部４１、通信部４２及びパーソナルデータ管理部４３を備える。
【００２９】
制御部４１は、パーソナルデータ管理サーバ４の各種動作を制御する。例えば、制御部４１は、通信部４２を制御して、管理対象のパーソナルデータをアクセス制御サーバ３から取得する。パーソナルデータ管理部４３は、取得したパーソナルデータを管理（記憶）する。
【００３０】
［実施形態１］
以下、本発明の実施形態１を説明する。
【００３１】
実施形態１においては、第１の装置１を利用者端末１とし、第２の装置２をＷｅｂサーバ２とする。また、利用者端末１の利用者のＩＤをＩＤａ、利用者端末１のＩＤをＩＤ１、Ｗｅｂサーバ２のＩＤをＩＤ２、パーソナルデータ管理サーバ４のＩＤをＩＤ３とする。
【００３２】
また、前提として、パーソナルデータのセキュリティレベル並びに利用者端末１及びＷｅｂサーバ２のセキュリティレベルは、アクセス制御サーバ３の装置ＩＤ―セキュリティレベルＤＢ３３ａ又はデータ要素―セキュリティレベルＤＢ３３ｂに登録されているものとする。
【００３３】
実施形態１では、パーソナルデータは、暗号化された状態でパーソナルデータ管理部４３に記憶されている。
【００３４】
利用者端末１は、Ｗｅｂサーバ２にアクセスする。Ｗｅｂサーバ２は、利用者端末１の利用者のパーソナルデータへアクセスするため、利用者端末１へ、必要なパーソナルデータのデータ要素を特定する情報を送信する。
【００３５】
利用者端末１は、アクセス制御サーバ３にアクセスし、アクセス制御サーバ３は、利用者端末１の利用者をＩＤａで、利用者端末１をＩＤ１で認証する。また、利用者端末１とアクセス制御サーバ３とは相互認証を行う。アクセス制御サーバ３による認証は、データ処理部３５によって行われる。また、利用者端末１は、アクセス制御サーバ３とセッション鍵を共有する。
【００３６】
利用者端末１は、開示要求元装置のＩＤとしてのＩＤ１、開示先装置のＩＤとしてのＩＤ２及びＷｅｂサーバ２が開示を要求するパーソナルデータのデータ要素を特定する情報をアクセス制御サーバ３に送信する。
【００３７】
これらの情報を取得した後、データ処理部３５は、アクセス制御ファイル管理部３３を参照して、Ｗｅｂサーバ２による、Ｗｅｂサーバ２が指定したデータ要素へのアクセスが可能か否かを判定する。
【００３８】
具体的には、データ処理部３５は、下記のアクセス条件式を参照して、アクセス可否判定に必要な情報が何かを判定する。
（アクセス条件式）
・データ要素のセキュリティレベル≦ＩＤ１のセキュリティレベル
・データ要素のセキュリティレベル≦ＩＤ２のセキュリティレベル
【００３９】
上記アクセス条件式より、アクセス可否判定に必要な情報は、データ要素のセキュリティレベル、ＩＤ１のセキュリティレベル及びＩＤ２のセキュリティレベルである。
【００４０】
データ処理部３５は、図５に示すような装置ＩＤ―セキュリティレベルＤＢ３３ａを参照して、ＩＤ１及びＩＤ２のセキュリティレベルがそれぞれ３及び２であると判定する。従って、実施形態１において、上記のアクセス条件式を満たすデータ要素のセキュリティレベルは、上記アクセス条件式から、３以下且つ２以下、すなわち、２以下である。
【００４１】
データ処理部３５は、図５に示すデータ要素―セキュリティレベルＤＢ３３ｂを参照する。Ｗｅｂサーバ２が開示を要求したデータ要素をデータ要素１から４とすると、データ処理部３５は、データ要素１から４のセキュリティレベルをそれぞれ３、２、３及び１と判定する。これらのうちセキュリティレベルが２以下であるデータ要素は、データ要素２及び４であるから、データ処理部３５は、データ要素１から４のうち、データ要素２及び４のみをアクセス可能と判定する。
【００４２】
上記で説明した数値例に限らず、開示要求元装置、開示先装置及びデータ要素のセキュリティレベルが様々な値を取る場合のアクセス可否判定の結果の例を図６に示す。
【００４３】
実施形態１の説明に戻る。データ要素２及び４のみをアクセス可能と判定した後、データ処理部３５はＷｅｂサーバ２と相互認証を行う。また、鍵管理部３４はセッション鍵を生成し、Ｗｅｂサーバ２とセッション鍵を共有する。通信部３２は、アクセス可能と判定されデータ処理部３５により復号されたデータ要素又はアクセス可能と判定されたデータ要素の復号鍵を、Ｗｅｂサーバ２にセキュア通信により送信する。復号鍵が送信された場合、Ｗｅｂサーバ２は、パーソナルデータ管理サーバ４からデータ要素を取得して復号する。生成されたセッション鍵は鍵管理部３４で管理される。
【００４４】
Ｗｅｂサーバ２は、データ要素２及び４を用いて任意の所定の処理を行い、処理の終了後、処理完了通知をアクセス制御サーバ３に送信する。
【００４５】
データ処理部３５は、処理完了通知を取得すると、データ要素の消去要求をＷｅｂサーバ２に送信し、データ要素又は復号鍵を遠隔操作により消去させる。消去後、Ｗｅｂサーバ２は、消去完了通知をアクセス制御サーバ３に送信する。
【００４６】
図７は、本発明の実施形態１に係る情報処理システムの動作フローを示す図である。利用者端末１がＷｅｂサーバ２にアクセスすると（ステップＳ１）、Ｗｅｂサーバ２は、パーソナルデータのデータ要素を開示するよう要求する（ステップＳ２）。利用者端末１は、アクセス制御サーバ３との間で利用者認証、相互認証及びセッション鍵共有を行う（ステップＳ３）。また利用者端末１は、開示要求元装置のＩＤとしてのＩＤ１、開示先装置のＩＤとしてのＩＤ２及びデータ要素を特定する情報をアクセス制御サーバ３に送信する（ステップＳ４）。アクセス制御サーバ３は、取得した情報に基づいてアクセス制御ファイル管理部３３を参照し、Ｗｅｂサーバ２が開示を要求するパーソナルデータのデータ要素に対するアクセス可否を判定する（ステップＳ５）。アクセス制御サーバ３がアクセス不可と判定した場合（ステップＳ５のＮｏ）、アクセス制御サーバ３は、アクセス不可通知をＷｅｂサーバ２に送信する。
【００４７】
一方、アクセス制御サーバ３がアクセス可能と判定した場合（ステップＳ５のＹｅｓ）、アクセス制御サーバ３は、Ｗｅｂサーバ２と相互認証を行い、セッション鍵を共有する（ステップＳ６）。次いでアクセス制御サーバ３は、アクセス可能と判定されたデータ要素等（復号済みデータ要素、データ要素の復号鍵等）をＷｅｂサーバ２に送信する（ステップＳ７）。Ｗｅｂサーバ２は、データ要素等に基づいて任意の所定の処理を行う（ステップＳ８）。所定の処理の完了後、Ｗｅｂサーバ２は、処理完了通知をアクセス制御サーバ３に送信する（ステップＳ９）。アクセス制御サーバ３は、処理完了通知を取得すると、Ｗｅｂサーバ２にデータ要素等の消去要求を行う（ステップＳ１０）。Ｗｅｂサーバ２は、消去要求に応じて消去を行い（ステップＳ１１）、アクセス制御サーバ３に消去完了通知を送信する（ステップＳ１２）。
【００４８】
［実施形態２］
以下、別の実施形態として、本発明の実施形態２を説明する。
【００４９】
実施形態２においては、第１の装置１をデータ管理者端末１とし、第２の装置２を利用者携帯端末２とする。また、データ管理者端末１の利用者のＩＤをＩＤａ、データ管理者端末１のＩＤをＩＤ１、利用者携帯端末２の利用者のＩＤをＩＤｂ、利用者携帯端末２のＩＤをＩＤ２とする。
【００５０】
また、前提として、パーソナルデータのセキュリティレベル、データ管理者端末１及び利用者携帯端末２のセキュリティレベル並びにデータ管理者端末１及び利用者携帯端末２の利用者のセキュリティレベルは、アクセス制御サーバ３の装置ＩＤ―セキュリティレベルＤＢ３３ａ、データ要素―セキュリティレベルＤＢ３３ｂ又は利用者―セキュリティレベルＤＢ３３ｃに登録されているものとする。
【００５１】
実施形態２では、パーソナルデータは、暗号化された状態でパーソナルデータ管理部４３に記憶されている。パーソナルデータは、データ管理者（データ管理者端末１の利用者）により登録される。
【００５２】
パーソナルデータには、必要に応じて利用者ＩＤ毎にアクセス可否が設定されてもよい。利用者ＩＤ毎にアクセス可否が設定されており、アクセス不可と設定された利用者からのアクセス要求があったときは、後述するアクセス可否判定処理を行わずにアクセス不可と判定してよい。
【００５３】
利用者携帯端末２は、アクセス制御サーバ３にアクセスし、アクセス制御サーバ３は、利用者携帯端末２の利用者をＩＤｂで、利用者携帯端末２をＩＤ２で認証する。また、利用者携帯端末２とアクセス制御サーバ３とは相互認証を行う。アクセス制御サーバ３による認証は、データ処理部３５によって行われる。また、利用者携帯端末２は、アクセス制御サーバ３とセッション鍵を共有する。
【００５４】
利用者携帯端末２は、開示要求元装置及び開示先装置の利用者のＩＤとしてのＩＤｂ、開示要求元装置及び開示先装置のＩＤとしてのＩＤ２、利用者携帯端末２が開示を要求するパーソナルデータのデータ要素を特定する情報及び利用者携帯端末２の位置情報をアクセス制御サーバ３に送信する。
【００５５】
位置情報は、位置情報取得部２３により取得される。位置情報は、ＩＤ情報をアクセス制御サーバ３に送信するときに共に送信されてもよいし、アクセス制御サーバ３に要求されたとき等に送信されてもよい。
【００５６】
これらの情報を取得した後、データ処理部３５は、アクセス制御ファイル管理部３３を参照して、利用者携帯端末２による、利用者携帯端末２が指定したデータ要素へのアクセスが可能か否かを判定する。すなわち、データ処理部３５は、利用者携帯端末２に対してデータ要素を開示してもよいか否かを判定する。
【００５７】
具体的には、データ処理部３５は、下記のアクセス条件式を参照して、アクセス可否判定に必要な情報が何かを判定する。
（アクセス条件式）
・データ要素のセキュリティレベル≦ＩＤ２のセキュリティレベル
・データ要素にアクセス可能なエリア内にＩＤ２が存在
・データ要素のセキュリティレベル≦ＩＤｂのセキュリティレベル
【００５８】
上記アクセス条件式より、アクセス可否判定に必要な情報は、データ要素のセキュリティレベル、ＩＤ２のセキュリティレベル、ＩＤ２の位置情報及びＩＤｂのセキュリティレベルである。
【００５９】
そこで、データ処理部３５は、図８に示すような装置ＩＤ―セキュリティレベルＤＢ３３ａを参照して、ＩＤ２のセキュリティレベルが２であると判定する。また、データ処理部３５は、図８に示すような利用者―セキュリティレベルＤＢ３３ｃを参照して、ＩＤｂのセキュリティレベルが３であると判定する。
【００６０】
実施形態２において、上記のアクセス条件式を満たすデータ要素は、セキュリティレベルが２以下且つ３以下、すなわち２以下のものであって、且つデータ要素にアクセス可能なエリア内にＩＤ２が存在するものである。
【００６１】
データ処理部３５は、データ要素―セキュリティレベルＤＢ３３ｂを参照する。利用者携帯端末２が開示を要求したデータ要素をデータ要素１から４とすると、データ処理部３５は、データ要素１から４のセキュリティレベルをそれぞれ３、２（エリアＡ）、３及び１と判定する。これらのうちセキュリティレベルが２以下であるデータ要素は、データ要素２及び４である。
【００６２】
データ要素―セキュリティレベルＤＢ３３ｂにおいて、データ要素２及び４のうちデータ要素２は、開示先装置の位置情報がエリアＡを示すことを条件として要求する。一方で、データ要素４は、開示先装置の位置情報がエリアＡを示すことを条件としては要求していない。
【００６３】
データ処理部３５は、利用者携帯端末２の位置情報がエリアＡを示す場合、データ要素２及び４をアクセス可能と判定する。一方で、利用者携帯端末２の位置情報がエリアＡ以外のエリアを示す場合又は利用者携帯端末２の位置情報が取得されなかった場合、データ要素４のみをアクセス可能と判定する。アクセス可能と判定されたデータ要素がない場合、アクセス制御サーバ３は、利用者携帯端末２にアクセス不可通知を送信する。
【００６４】
アクセス可能と判定されたデータ要素がある場合、データ処理部３５は利用者携帯端末２と相互認証を行う。また、鍵管理部３４はセッション鍵を生成し、利用者携帯端末２とセッション鍵を共有する。通信部３２は、アクセス可能と判定されデータ処理部３５により復号されたデータ要素又はアクセス可能と判定されたデータ要素の復号鍵を、利用者携帯端末２にセキュア通信により送信する。復号鍵が送信されると、利用者携帯端末２は、パーソナルデータ管理サーバ４からデータ要素を取得して復号する。生成されたセッション鍵は鍵管理部３４で管理される。
【００６５】
利用者携帯端末２は、データ要素を用いて任意の所定の処理を行う。
【００６６】
データ処理部３５は、タイマを起動する。タイマで設定した時間が経過すると、アクセス制御サーバ３は利用者携帯端末２に、位置情報を要求する。データ処理部３５は、利用者携帯端末２から位置情報を取得すると、その位置情報がエリアＡを示しているか否かを判定する。
【００６７】
位置情報がエリアＡを示している場合は、データ処理部３５はその後所定の時点でタイマを起動し、設定した時間の経過後、位置情報を利用者携帯端末２に再度要求する。位置情報がエリアＡを示す限り、データ処理部３５は、所定の時間間隔（一定の頻度）で位置情報を要求し取得する。
【００６８】
一方で位置情報がエリアＡを示していない場合や位置情報を取得できない場合は、アクセス制御サーバ３は、利用者携帯端末２に該当するデータ要素又はその復号鍵を消去するよう要求する消去要求を送信することで、遠隔操作により消去させる。
【００６９】
一定時間経過しても消去完了通知が利用者携帯端末２から送信されない場合、アクセス制御サーバ３は、消去要求を再送する。
【００７０】
図９は、本発明の実施形態２に係る情報処理システムの動作フローを示す図である。データ管理者端末１は、アクセス制御サーバ３に対してパーソナルデータのデータ要素を登録する（ステップＳ２１）。アクセス制御サーバ３は、利用者携帯端末２との間で利用者認証、相互認証及びセッション鍵共有を行う（ステップＳ２２）。また利用者携帯端末２は、開示要求元装置及び開示先装置の利用者のＩＤとしてのＩＤｂ、開示要求元装置及び開示先装置のＩＤとしてのＩＤ２、データ要素を特定する情報及び開示先装置の位置情報をアクセス制御サーバ３に送信する（ステップＳ２３）。アクセス制御サーバ３は、取得した情報に基づいてアクセス制御ファイル管理部３３を参照し、利用者携帯端末２が開示を要求するパーソナルデータのデータ要素に対するアクセス可否を判定する（ステップＳ２４）。アクセス制御サーバ３がアクセス不可と判定した場合（ステップＳ２４のＮｏ）、アクセス制御サーバ３は、アクセス不可通知を利用者携帯端末２に送信する。
【００７１】
一方、アクセス制御サーバ３がアクセス可能と判定した場合（ステップＳ２４のＹｅｓ）、アクセス制御サーバ３は、利用者携帯端末２と相互認証を行い、セッション鍵を共有する（ステップＳ２５）。次いでアクセス制御サーバ３は、アクセス可能と判定されたデータ要素等（復号済みデータ要素、データ要素の復号鍵等）を利用者携帯端末２に送信する（ステップＳ２６）。利用者携帯端末２は、データ要素等に基づいて任意の所定の処理を行う（ステップＳ２７）。
【００７２】
アクセス制御サーバ３はタイマを起動する（ステップＳ２８）。タイマにより設定した時間が経過すると、アクセス制御サーバ３は、利用者携帯端末２に位置情報を要求する（ステップＳ２９）。アクセス制御サーバ３が、利用者携帯端末２から位置情報を取得すると（ステップＳ３０）、アクセス制御サーバ３は、新たに取得した位置情報を元に再度アクセス可否を判定する（ステップＳ３１）。アクセス制御サーバ３がアクセス可能と判定した場合（ステップＳ３１のＹｅｓ）、利用者携帯端末２及びアクセス制御サーバ３は、ステップＳ２８からステップＳ３０を繰り返す。
【００７３】
アクセス制御サーバ３がアクセス不可と判定した場合（ステップＳ３１のＮｏ）、アクセス制御サーバ３は、利用者携帯端末２にデータ要素等の消去要求を送信する（ステップＳ３２）。利用者携帯端末２は、データ要素等の消去を行い（ステップＳ３３）、消去完了通知をアクセス制御サーバ３に対して送信する（ステップＳ３４）。アクセス制御サーバ３は、一定時間経過しても消去完了通知を取得できないときは、消去要求を再送する（ステップＳ３５）。
【００７４】
［実施形態３］
以下、更に別の実施形態として、本発明の実施形態３を説明する。
【００７５】
実施形態３においては、第１の装置１を利用者端末１とし、第２の装置２を、利用者端末１の利用者と同一の利用者の利用者端末２とする。また、利用者端末１及び利用者端末２の利用者のＩＤを共にＩＤａとする。
【００７６】
また、前提として、パーソナルデータのセキュリティレベル並びに利用者端末１及び利用者端末２のセキュリティレベルは、アクセス制御サーバ３の装置ＩＤ―セキュリティレベルＤＢ３３ａ又はデータ要素―セキュリティレベルＤＢ３３ｂに登録されているものとする。
【００７７】
実施形態３では、パーソナルデータは、暗号化された状態又は平文の状態で利用者端末１に記憶されている。
【００７８】
利用者端末１は、アクセス制御サーバ３にアクセスし、アクセス制御サーバ３は、利用者端末１の利用者をＩＤａで、利用者端末１をＩＤ１で認証する。また、利用者端末１とアクセス制御サーバ３とは相互認証を行う。アクセス制御サーバ３による認証は、データ処理部３５によって行われる。また、利用者端末１は、アクセス制御サーバ３とセッション鍵を共有する。
【００７９】
利用者端末１は、開示要求元装置のＩＤとしてのＩＤ１、開示先装置のＩＤとしてのＩＤ２及び利用者端末２への開示が要求されるパーソナルデータのデータ要素を特定する情報をアクセス制御サーバ３に送信する。
【００８０】
これらの情報を取得した後、データ処理部３５は、アクセス制御ファイル管理部３３を参照して、利用者端末２によるデータ要素へのアクセスが可能か否かを判定する。すなわち、データ処理部３５は、利用者端末２に対してデータ要素を開示してもよいか否かを判定する。
【００８１】
具体的には、データ処理部３５は、下記のアクセス条件式を参照して、アクセス可否判定に必要な情報が何かを判定する。
（アクセス条件式）
・データ要素のセキュリティレベル≦ＩＤ１のセキュリティレベル
・データ要素のセキュリティレベル≦ＩＤ２のセキュリティレベル
【００８２】
上記アクセス条件式より、アクセス可否判定に必要な情報は、データ要素のセキュリティレベル、ＩＤ１のセキュリティレベル及びＩＤ２のセキュリティレベルである。
【００８３】
そこで、データ処理部３５は、図１０に示すような装置ＩＤ―セキュリティレベルＤＢ３３ａを参照して、ＩＤ１及びＩＤ２のセキュリティレベルがそれぞれ３及び２であると判定する。
【００８４】
実施形態３において、上記のアクセス条件式を満たすデータ要素のセキュリティレベルは、３以下且つ２以下、すなわち、２以下である。
【００８５】
データ処理部３５は、図１０に示すようなデータ要素―セキュリティレベルＤＢ３３ｂを参照する。Ｗｅｂサーバ２が開示を要求したデータ要素をデータ要素１から４とすると、データ処理部３５は、データ要素１から４のセキュリティレベルをそれぞれ３、２、３及び１と判定する。これらのうちセキュリティレベルが２以下であるデータ要素は、データ要素２及び４であるため、データ処理部３５は、データ要素１から４のうち、データ要素２及び４のみをアクセス可能と判定する。
【００８６】
データ要素２及び４のみをアクセス可能と判定した後、データ処理部３５は利用者端末２と相互認証を行う。また、鍵管理部３４はセッション鍵を生成し、利用者端末２とセッション鍵を共有する。アクセス制御サーバ３は、利用者端末１からデータ要素２及び４を取得する。
【００８７】
データ処理部３５は、データ要素―セキュリティレベルＤＢ３３ｂを参照して、データ要素２及び４のうち、データ要素２はコピー不可であり、データ要素４はコピー可であると判定する。データ処理部３５は、利用者端末１に対しデータ要素２の消去要求を送信する。すなわち、アクセス制御サーバ３は、遠隔操作によりデータ要素２を消去させる。
【００８８】
通信部３２は、利用者端末１から消去完了通知を取得すると、アクセス可能と判定されデータ処理部３５により復号されたデータ要素、アクセス可能と判定されたデータ要素の復号鍵又はアクセス可能と判定されたデータ要素（データ要素が平文の状態で利用者端末１に記憶されていた場合）を、利用者端末２にセキュア通信により送信する。復号鍵が送信されると、利用者端末２は、利用者端末１からデータ要素を取得して復号する。生成されたセッション鍵は鍵管理部３４で管理される。利用者端末２は、取得した情報を書き込む。
【００８９】
別の処理手順として、アクセス制御サーバ３は、データ要素２及び４のみをアクセス可能と判定した後、利用者端末１からデータ要素２及び４を取得せずに、利用者端末２に対して、データ要素２及び４のコピーを許可するトークンを発行してもよい。この場合、利用者端末２は、利用者端末１にトークンを提示することで、アクセス制御サーバ３を経由せずにデータ要素２及び４を取得する。アクセス制御サーバ３がデータ要素２及び４がコピー可能か否かを判定してコピー不可であれば利用者端末１にコピー不可のデータ要素を消去させる処理は、本処理手順でも同様である。
【００９０】
実施形態３において、利用者端末１に記憶されていたデータ要素２は、削除された後に利用者端末２にコピーされるので、データ要素２の唯一性は保証される。
【００９１】
図１１は、本発明の実施形態３に係る情報処理システムの動作フローを示す図である。利用者端末１は、アクセス制御サーバ３との間で利用者認証、相互認証及びセッション鍵共有を行う（ステップＳ４１）。また利用者端末１は、開示要求元装置のＩＤとしてのＩＤ１、開示先装置のＩＤとしてのＩＤ２及びデータ要素を特定する情報をアクセス制御サーバ３に送信する（ステップＳ４２）。アクセス制御サーバ３は、取得した情報に基づいてアクセス制御ファイル管理部３３を参照し、利用者端末２が開示を要求するパーソナルデータのデータ要素に対するアクセス可否を判定する（ステップＳ４３）。アクセス制御サーバ３がアクセス不可と判定した場合（ステップＳ４３のＮｏ）、アクセス制御サーバ３は、アクセス不可通知を利用者端末２に送信する。
【００９２】
一方、アクセス制御サーバ３がアクセス可能と判定した場合（ステップＳ４３のＹｅｓ）、アクセス制御サーバ３は、利用者端末２と相互認証を行い、セッション鍵を共有する（ステップＳ４４）。次いでアクセス制御サーバ３は、アクセス可能と判定されたデータ要素を取得し（ステップＳ４５）、データ要素のそれぞれについてコピー可又はコピー不可の属性を判定する（ステップＳ４６）。コピー不可である場合（ステップＳ４６のＹｅｓ）、アクセス制御サーバ３は、利用者端末１に、コピー不可と判定されたデータ要素の消去要求を送信する（ステップＳ４７）。利用者端末２は、消去要求に応じて消去を行い（ステップＳ４８）、アクセス制御サーバ３に消去完了通知を送信する（ステップＳ４９）。アクセス制御サーバ３がコピー可能と判定した場合（ステップＳ４６のＮｏ）、ステップＳ４７からステップＳ４９は行わない。
【００９３】
アクセス制御サーバ３は、アクセス可能と判定されたデータ要素等を利用者端末２に送信する（ステップＳ５０）。利用者端末２は、取得したデータ要素等を利用者端末２に書き込む（ステップＳ５１）。
【００９４】
以上、実施形態１から３で説明したとおり、パーソナルデータのセキュリティレベルと、パーソナルデータを利用するサーバや端末等の装置毎のセキュリティレベルとに応じたデー要素単位のアクセス制御が可能となる。
【００９５】
これらの本発明に係る第１の装置１、第２の装置２、アクセス制御サーバ３及び／又はパーソナルデータ管理サーバ４をコンピュータで構成した場合、各機能を実現する処理内容を記述したプログラムを、当該コンピュータの内部又は外部の記憶部に格納しておき、当該コンピュータの中央演算処理装置（ＣＰＵ）によってこのプログラムを読み出して実行させることで実現することができる。また、このようなプログラムは、例えばＤＶＤ又はＣＤ−ＲＯＭ等の可搬型記録媒体の販売、譲渡、貸与等により流通させることができるほか、そのようなプログラムを、例えばネットワーク上にあるサーバの記憶部に記憶しておき、ネットワークを介してサーバから他のコンピュータにそのプログラムを転送することにより、流通させることができる。また、そのようなプログラムを実行するコンピュータは、例えば、可搬型記録媒体に記録されたプログラム又はサーバから転送されたプログラムを、一旦、自己の記憶部に記憶することができる。また、このプログラムの別の実施態様として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、更に、このコンピュータにサーバからプログラムが転送される度に、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。従って、本発明は、前述した実施形態に限定されるものではなく、その主旨を逸脱しない範囲において組み合わせたり一部削除したりするなどして種々変更可能である。
【符号の説明】
【００９６】
１      第１の装置
２      第２の装置
３      アクセス制御サーバ
４      パーソナルデータ管理サーバ
１１    制御部
１２    通信部
１３    パーソナルデータ管理部
２１    制御部
２２    通信部
２３    位置情報取得部
３１    制御部
３２    通信部
３３    アクセス制御ファイル管理部
３３ａ  装置ＩＤ―セキュリティレベルＤＢ
３３ｂ  データ要素―セキュリティレベルＤＢ
３３ｃ  利用者―セキュリティレベルＤＢ
３４    鍵管理部
３５    データ処理部
４１    制御部
４２    通信部
４３    パーソナルデータ管理部
【図１】
2015225385.tif 000003
【図２】
2015225385.tif 000004
【図３】
2015225385.tif 000005
【図４】
2015225385.tif 000006
【図５】
2015225385.tif 000007
【図６】
2015225385.tif 000008
【図７】
2015225385.tif 000009
【図８】
2015225385.tif 000010
【図９】
2015225385.tif 000011
【図１０】
2015225385.tif 000012
【図１１】
2015225385.tif 000013