(57)【特許請求の範囲】
【請求項１】
秘匿化が要求された秘密情報に対して、項目毎に、ハッシュ化を実行し、ハッシュ化前の前記秘密情報を破棄する、暗号化部と、
前記秘密情報毎に、前記ハッシュ化によって得られた第１のハッシュ値を、前記秘密情報に予め設定されている識別子に関連付けて登録する、ハッシュ値格納部と、
入力された第２のハッシュ値と登録されている前記第１のハッシュ値とを対比して、入力された前記第２のハッシュ値に関係する秘密情報の前記識別子を推定する、推定部と、を備えている、ことを特徴とする情報管理装置。
【請求項２】
前記推定部が、前記第２のハッシュ値と前記第１のハッシュ値とを対比して、前記第２のハッシュ値に一致した前記第１のハッシュ値を特定し、特定した前記第１のハッシュ値の項目の種類に基づいて、前記第２のハッシュ値が特定の秘密情報に関係する可能性を求める、
請求項１に記載の情報管理装置。
【請求項３】
入力された前記第２のハッシュ値が複数である場合に、前記推定部が、入力された複数の前記第２のハッシュ値それぞれと登録されている前記第１のハッシュ値とを対比して、複数の前記第２のハッシュ値のいずれかに一致した前記第１のハッシュ値を特定し、特定した前記第１のハッシュ値の項目の種類、及び特定した前記第１のハッシュ値の個数に基づいて、前記第２のハッシュ値が特定の秘密情報に関係する可能性を求める、
請求項１に記載の情報管理装置。
【請求項４】
前記秘密情報が、特定の個人の個人情報であり、
前記識別子が、前記個人を特定する識別子である、
請求項１〜３のいずれかに記載の情報管理装置。
【請求項５】
前記秘密情報において、前記項目毎に期限が設定されている場合に、
前記推定部は、前記期限が過ぎていない項目の前記第１のハッシュ値についてのみ、入力された前記第２のハッシュ値との対比を行なう、
請求項１〜４のいずれかに記載に情報管理装置。
【請求項６】
（ａ）コンピュータによって、秘匿化が要求された秘密情報に対して、項目毎に、ハッシュ化を実行し、ハッシュ化前の前記秘密情報を破棄する、ステップと、
（ｂ）前記コンピュータによって、前記秘密情報毎に、前記ハッシュ化によって得られた第１のハッシュ値を、前記秘密情報に予め設定されている識別子に関連付けて登録する、ステップと、
（ｃ）前記コンピュータによって、入力された第２のハッシュ値と登録されている前記第１のハッシュ値とを対比して、入力された前記第２のハッシュ値に関係する秘密情報の前記識別子を推定する、ステップと、
を有する、ことを特徴とする情報管理方法。
【請求項７】
前記（ｃ）のステップにおいて、前記第２のハッシュ値と前記第１のハッシュ値とを対比して、前記第２のハッシュ値に一致した前記第１のハッシュ値を特定し、特定した前記第１のハッシュ値の項目の種類に基づいて、前記第２のハッシュ値が特定の秘密情報に関係する可能性を求める、
請求項６に記載の情報管理方法。
【請求項８】
入力された前記第２のハッシュ値が複数である場合に、前記（ｃ）のステップにおいて、入力された複数の前記第２のハッシュ値それぞれと登録されている前記第１のハッシュ値とを対比して、複数の前記第２のハッシュ値のいずれかに一致した前記第１のハッシュ値を特定し、特定した前記第１のハッシュ値の項目の種類、及び特定した前記第１のハッシュ値の個数に基づいて、前記第２のハッシュ値が特定の秘密情報に関係する可能性を求める、
請求項６に記載の情報管理方法。
【請求項９】
前記秘密情報が、特定の個人の個人情報であり、
前記識別子が、前記個人を特定する識別子である、
請求項６〜８のいずれかに記載の情報管理方法。
【請求項１０】
前記秘密情報において、前記項目毎に期限が設定されている場合に、
前記（ｃ）のステップにおいて、前記期限が過ぎていない項目の前記第１のハッシュ値についてのみ、入力された前記第２のハッシュ値との対比を行なう、
請求項６〜９のいずれかに記載に情報管理方法。
【請求項１１】
コンピュータに、
（ａ）秘匿化が要求された秘密情報に対して、項目毎に、ハッシュ化を実行し、ハッシュ化前の前記秘密情報を破棄する、ステップと、
（ｂ）前記秘密情報毎に、前記ハッシュ化によって得られた第１のハッシュ値を、前記秘密情報に予め設定されている識別子に関連付けて登録する、ステップと、
（ｃ）入力された第２のハッシュ値と登録されている前記第１のハッシュ値とを対比して、入力された前記第２のハッシュ値に関係する秘密情報の前記識別子を推定する、ステップと、
を実行させる、プログラム。
【請求項１２】
前記（ｃ）のステップにおいて、前記第２のハッシュ値と前記第１のハッシュ値とを対比して、前記第２のハッシュ値に一致した前記第１のハッシュ値を特定し、特定した前記第１のハッシュ値の項目の種類に基づいて、前記第２のハッシュ値が特定の秘密情報に関係する可能性を求める、
請求項１１に記載のプログラム。
【請求項１３】
入力された前記第２のハッシュ値が複数である場合に、前記（ｃ）のステップにおいて、入力された複数の前記第２のハッシュ値それぞれと登録されている前記第１のハッシュ値とを対比して、複数の前記第２のハッシュ値のいずれかに一致した前記第１のハッシュ値を特定し、特定した前記第１のハッシュ値の項目の種類、及び特定した前記第１のハッシュ値の個数に基づいて、前記第２のハッシュ値が特定の秘密情報に関係する可能性を求める、
請求項１１に記載のプログラム。
【請求項１４】
前記秘密情報が、特定の個人の個人情報であり、
前記識別子が、前記個人を特定する識別子である、
請求項１１〜１３のいずれかに記載のプログラム。
【請求項１５】
前記秘密情報において、前記項目毎に期限が設定されている場合に、
前記（ｃ）のステップにおいて、前記期限が過ぎていない項目の前記第１のハッシュ値についてのみ、入力された前記第２のハッシュ値との対比を行なう、
請求項１１〜１４のいずれかに記載にプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、秘匿化が必要な秘密情報を管理するための、情報管理装置、情報管理方法、及びこれらを実現するためのプログラムに関する。
【背景技術】
【０００２】
小売店、飲食店、ホテル等においては、客のリピート率が重要となる。よって、これらの事業者においては、客の個人情報を蓄積し、客毎に、その人に応じたサービスを提供することが理想である。
【０００３】
但し、事業者において、蓄積している客の個人情報が漏洩してしまうと、事業者の信用が大きく低下し、事業を継続することが困難な自体が生じる可能性がある。一方、個人情報を一切蓄積しないのであれば、情報漏洩のリスクから逃れられるが、この場合は、リピート率の向上を図ることが困難となる。このため、事業者は、情報漏洩が発生しないように対策を講じる必要がある。
【０００４】
例えば、特許文献１は、個人情報の漏洩を防止するコンピュータシステムを開示している。特許文献１に開示されたシステムでは、サーバ装置は、端末装置から個人情報の送信がリクエストされると、サーバ装置が蓄積している個人情報の各項目をハッシュ値に変換し、得られたハッシュ値のみを端末装置に送信する。また、端末装置は、各ハッシュ値を受信すると、受信したハッシュ値と端末装置が蓄積している個人情報のハッシュ値とを用いて、各ハッシュ値が最も合致する個人を特定し、その後、軽微な個人情報（例えば氏名のみ）および購入履歴を表示する。
【０００５】
このように、特許文献１に開示されたコンピュータシステムを用いれば、個人情報を全て保存する必要はなく、たとえば「○○様、先月のＡ商品購入ありがとうございます」と把握できるだけの最低限の軽微な個人情報、例えば、氏名及び購入履歴等を蓄積するだけで良い。また、システムからはハッシュ値しか送信されず、たとえ、流出しても最低限の軽微な個人情報に限られるため、上述した事業者において情報漏洩の抑制が図られることになる。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００６−２８５４９０号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
しかしながら、特許文献１に開示されたシステムにおいては、軽微であっても、個人情報がそのままの状態でサーバと端末装置との両方に蓄積されているため、ハッキングによる情報漏洩を防止できないとう問題が存在する。また、権限さえ取得できれば、サーバ及び端末装置から個人情報を抽出できるため、内部からの流出による情報漏洩を防止できないという問題も存在する。
【０００８】
本発明の目的の一例は、上記問題を解消し、ハッキング及び内部からの流出による情報漏洩をも抑制し得る、情報管理装置、情報管理方法、及びプログラムを提供することにある。
【課題を解決するための手段】
【０００９】
上記目的を達成するため、本発明の一側面における情報管理装置は、
秘匿化が要求された秘密情報に対して、項目毎に、ハッシュ化を実行し、ハッシュ化前の前記秘密情報を破棄する、暗号化部と、
前記秘密情報毎に、前記ハッシュ化によって得られた第１のハッシュ値を、前記秘密情報に予め設定されている識別子に関連付けて登録する、ハッシュ値格納部と、
入力された第２のハッシュ値と登録されている前記第１のハッシュ値とを対比して、入力された前記第２のハッシュ値に関係する秘密情報の前記識別子を推定する、推定部と、を備えている、ことを特徴とする。
【００１０】
また、上記目的を達成するため、本発明の一側面における情報管理方法は、
（ａ）秘匿化が要求された秘密情報に対して、項目毎に、ハッシュ化を実行し、ハッシュ化前の前記秘密情報を破棄する、ステップと、
（ｂ）前記秘密情報毎に、前記ハッシュ化によって得られた第１のハッシュ値を、前記秘密情報に予め設定されている識別子に関連付けて登録する、ステップと、
（ｃ）入力された第２のハッシュ値と登録されている前記第１のハッシュ値とを対比して、入力された前記第２のハッシュ値に関係する秘密情報の前記識別子を推定する、ステップと、
を有する、ことを特徴とする。
【００１１】
更に、上記目的を達成するため、本発明の一側面におけるプログラムは、
コンピュータに、
（ａ）秘匿化が要求された秘密情報に対して、項目毎に、ハッシュ化を実行し、ハッシュ化前の前記秘密情報を破棄する、ステップと、
（ｂ）前記秘密情報毎に、前記ハッシュ化によって得られた第１のハッシュ値を、前記秘密情報に予め設定されている識別子に関連付けて登録する、ステップと、
（ｃ）入力された第２のハッシュ値と登録されている前記第１のハッシュ値とを対比して、入力された前記第２のハッシュ値に関係する秘密情報の前記識別子を推定する、ステップと、
を実行させることを特徴とする。
【発明の効果】
【００１２】
以上のように、本発明によれば、ハッキング及び内部からの流出による情報漏洩をも抑制することができる。
【図面の簡単な説明】
【００１３】
【図１】図１は、本発明の実施の形態における情報管理装置の概略構成を示すブロック図である。
【図２】図２は、本発明の実施の形態における情報管理装置の具体構成を示すブロック図である。
【図３】図３は、本発明の実施の形態において算出されるハッシュ値の一例を示す図である。
【図４】図４は、本発明の実施の形態において登録されているハッシュ値の一例を示す図である。
【図５】図５は、本発明の実施の形態における情報管理装置の動作を示すフロー図である。
【図６】図６は、図５に示すステップＡ６における項目毎の合致率の算出基準の一例を示す図です。
【図７】図７は、本発明の実施の形態における情報管理装置を実現するコンピュータの一例を示すブロック図である。
【発明を実施するための形態】
【００１４】
（実施の形態）
以下、本発明の実施の形態における、情報管理装置、情報管理方法、及びプログラムについて、図１〜図７を参照しながら説明する。
【００１５】
［装置構成］
最初に、図１を用いて本実施の形態における情報管理装置の構成について説明する。図１は、本発明の実施の形態における情報管理装置の概略構成を示すブロック図である。
【００１６】
図１に示す情報管理装置１００は、秘匿化が要求された秘密情報の管理を行なうための装置である。管理対象となる秘密情報としては、例えば、特定の個人の個人情報が挙げられる。また、秘密情報は、項目毎の情報で構成されている。
【００１７】
図１に示すように、情報管理装置１００は、暗号化部１０と、ハッシュ値格納部２０と、推定部３０とを備えている。暗号化部１０は、秘密情報に対して、項目毎に、ハッシュ化を実行し、ハッシュ化前の秘密情報を破棄する。
【００１８】
ハッシュ値格納部２０は、秘密情報毎に、ハッシュ化によって得られたハッシュ値（以下「登録ハッシュ値」と表記する。）を、秘密情報に予め設定されている識別子に関連付けて登録する。推定部３０は、外部からハッシュ値が入力されると、入力されたハッシュ値（以下「入力ハッシュ値」と表記する。）と、登録ハッシュ値とを対比して、入力ハッシュ値に関係する秘密情報の識別子を推定する。
【００１９】
このように、本実施の形態では、ハッシュ化前の秘密情報は破棄され、ハッシュ値のみで、秘密情報の出所を示す識別子が特定される。このため、本実施の形態によれば、誰も、秘密情報にアクセスできないので、ハッキング及び内部からの流出による情報漏洩が抑制される。
【００２０】
続いて、本実施の形態における情報管理装置の構成について図２〜図４を用いて更に具体的に説明する。図２は、本発明の実施の形態における情報管理装置の具体構成を示すブロック図である。図３は、本発明の実施の形態において算出されるハッシュ値の一例を示す図である。図４は、本発明の実施の形態において登録されているハッシュ値の一例を示す図である。
【００２１】
まず、本実施の形態において、秘密情報としては、例えば、特定の個人の個人情報が挙げられる。個人情報は、例えば、顔データ、指紋データ、ＤＮＡデータ、性別、姓、名前、生年月日、電話番号、住所、パスポート番号（有効期限を含む）、免許証番号（更新期限を含む）、社会保険番号、といった項目毎の情報で構成される。以下、秘密情報が個人情報である場合について説明する。
【００２２】
なお、顔データは、カメラで撮影された個人の顔の画像データである。指紋データは、個人の指の指紋の形状を示すデータである。ＤＮＡデータは、個人の塩基配列を示すデータである。また、本実施の形態において、管理対象となる秘密情報は、秘匿化が必要な情報であれば良く、個人情報以外の情報であっても良い。
【００２３】
図２に示すように、本実施の形態においては、情報管理装置１００は、インターネット等のネットワーク（図２において図示せず）を介して、端末装置２００に接続されている。また、本実施の形態においては、情報管理装置１００は、店舗において、顧客の個人情報の入力に用いられる。情報管理装置１００は、ユーザが顧客の個人情報を入力すると、入力された個人情報を、情報管理装置１００に送信する。また、本実施の形態では、端末装置２００は、ユーザの購入履歴（商品番号、購入日時等）も送信することができる。
【００２４】
また、本実施の形態では、ユーザは、顧客の個人情報を登録する場合において、端末装置２００において、顧客の個人情報を入力する。更に、ユーザは、ある個人の個人情報が既に登録されているかどうかを確認する場合、即ち、顧客の検索を行なう場合においても、個人情報の入力を実行する。なお、後者の場合、ユーザが入力する個人情報は、検索クエリとして機能することとなり、その項目数は前者の場合に比べて少なくても良い。なお、ユーザが入力する個人情報が、氏名だけと言った最低限の軽微な個人情報である場合は、端末装置２００は最低限の軽微な個人情報のみを送信する。
【００２５】
また、図２に示すように、情報管理装置１００は、暗号化部１０、ハッシュ値格納部２０、及び推定部３０に加えて、情報取得部４０を備えている。情報取得部４０は、端末装置２００から送信されてきた個人情報を取得し、取得した個人情報を暗号化部１０に渡す。また、送信されてきた個人情報が最低限の軽微な個人情報である場合は、情報取得部４０が取得する個人情報は、最低限の軽微な個人情報となる。更に、情報取得部４０は、端末装置２００から購入履歴が送信されてきている場合は、これも取得する。
【００２６】
暗号化部１０は、本実施の形態では、情報取得部４０から受け取った個人情報に対して、上述したように、項目毎に、ハッシュ化を実行し、ハッシュ化前の個人情報を破棄する。また、暗号化部１０は、情報取得部４０によって取得された個人情報が登録を目的として送信されてきている場合は、ハッシュ化によって得られたハッシュ値（登録ハッシュ値）を、ハッシュ値格納部２０に格納させる。
【００２７】
具体的には、図３に示すように、暗号化部１０は、項目毎に算出された各ハッシュ値に、登録日と、期限とを設定する。そして、暗号化部１０は、図４に示すように、ハッシュ値、登録日、及び期限を、顧客毎に設定された識別子（会員ＩＤ）に関連付け、これらを、ハッチ値格納部２０に格納させる。また、情報取得部４０は、情報取得部４０によって購入履歴が取得されている場合は、暗号化部１０は、購入履歴もハッシュ化し、購入履歴のハッシュ値も、識別子（会員ＩＤ）に関連付けてハッシュ値格納部２０に格納させる。
【００２８】
登録日としては、例えば、ユーザが個人情報を入力した日が用いられる。また、期限は、項目毎に予め設定されている。これは、生年月日といった情報は変更される可能がないが、住所、電話番号といった情報は変更されている可能性があるからである。また、本実施の形態では、識別子は、個人情報の取得先の個人毎に設定されている。
【００２９】
また、暗号化部１０は、情報取得部４０によって取得された個人情報が検索を目的として送信されてきている場合は、ハッシュ化によって得られたハッシュ値を、入力ハッシュ値として、推定部３０に渡す。
【００３０】
なお、例えば、端末装置２００は、ユーザに対して、入力前に、目的が登録及び検索のいずれであるのかを選択させ、入力された個人情報と共に、選択した内容を示す識別子も送信することができる。このため、本実施の形態では、暗号化部１０は、ユーザが選択した内容を示す識別子に基づいて、個人情報が登録及び検索のいずれを目的として送信されてきているのかを判定する。
【００３１】
推定部３０は、本実施の形態では、暗号化部１０から入力ハッシュ値を受け取る。そして、推定部３０は、受け取った入力ハッシュ値と、ハッシュ値格納部２０に格納されている登録ハッシュ値とを対比して、入力ハッシュ値に一致した登録ハッシュ値を特定する。加えて、図３及び図４に示したように、本実施の形態では、個人情報において、各項目には、期限が設定されている。よって、推定部３０は、期限が過ぎていない項目の登録ハッシュ値についてのみ、入力ハッシュ値との対比を実行する。そして、推定部３０は、特定
した登録ハッシュ値の項目の種類に基づいて、入力ハッシュ値が特定の顧客の個人情報に関係する可能性を求める。
【００３２】
また、ユーザが検索のために入力した個人情報の項目の数が複数であり、それによって入力ハッシュ値の数も複数であるとする。この場合、推定部３０は、複数の入力ハッシュ値それぞれと登録ハッシュ値とを対比して、複数の入力ハッシュ値のいずれかに一致した登録ハッシュ値を特定する。そして、推定部３０は、特定した登録ハッシュ値の項目の種類、及び特定した登録ハッシュ値の個数に基づいて、入力ハッシュ値が特定の顧客の個人情報に関係する可能性を求める。具体的には、推定部３０は、入力ハッシュ値の元になった個人情報の取得元が、登録ハッシュ値の元になった個人情報の取得元（顧客）に一致している確率（以下「合致率」と表記する。）を算出する。
【００３３】
その後、推定部３０は、可能性が高い顧客を特定し、特定した顧客とその可能性とを、端末装置２００に通知し、端末装置２００の画面に通知した内容を表示させる。これにより、ユーザは、検索用の個人情報の入力元となった個人が、既に登録されている顧客（リピータ）であるかどうかを判断することができる。また、推定部３０は、特定した顧客の購入履歴がハッシュ値格納部２０に格納されている場合は、元の購入履歴を特定し、これも端末装置２００の画面に表示させる。
【００３４】
［装置動作］
次に、本発明の実施の形態における情報管理装置１００の動作について説明する。以下の説明においては、適宜図１〜図４を参酌する。図５は、本発明の実施の形態における情報管理装置の動作を示すフロー図である。また、本実施の形態では、情報管理装置１００を動作させることによって、情報管理方法が実施される。よって、本実施の形態における情報管理方法の説明は、以下の情報管理装置の動作説明に代える。
【００３５】
図５に示すように、最初に、ユーザが端末装置２００において個人情報を入力し、端末装置２００から個人情報が送信されると、情報管理装置１００において、情報取得部４０は、送信されてきた個人情報を取得する（ステップＡ１）。また、情報取得部４０は、取得した個人情報を、暗号化部１０に渡す。
【００３６】
次に、暗号化部１０は、情報取得部４０から受け取った個人情報に対して、項目毎に、ハッシュ化を実行し、ハッシュ化前の個人情報を破棄する（ステップＡ２）。次いで、暗号化部１０は、ユーザの目的が個人情報の登録であるかどうかを判定する（ステップＡ３）。具体的には、暗号化部１０は、ユーザが選択した内容を示す識別子に基づいて、ユーザの目的が個人情報の登録であるかどうかを判定する。
【００３７】
ステップＡ３の判定の結果、ユーザの目的が個人情報の登録である場合は、暗号化部１０は、ハッシュ化によって得られたハッシュ値（登録ハッシュ値）を、ハッシュ値格納部２０に格納させる（ステップＡ４）。また、ステップＡ４では、暗号化部１０は、各ハッシュ値に、登録日と、期限とを設定し、ハッシュ値、登録日、及び期限を、会員ＩＤに関連付ける（図３及び４参照）。
【００３８】
一方、ステップＡ３の判定の結果、ユーザの目的が個人情報の登録でない場合は、暗号化部１０は、ハッシュ化によって得られたハッシュ値（入力ハッシュ値）を、推定部３０に渡す。
【００３９】
暗号化部１０から入力ハッシュ値を受け取ると、推定部３０は、入力ハッシュ値と、ハッシュ値格納部２０に格納されている登録ハッシュ値とを対比する（ステップＡ５）。また、ステップＡ５では、推定部３０は、期限が過ぎていない項目の登録ハッシュ値につい
てのみ、入力ハッシュ値との対比を実行する。
【００４０】
次に、推定部３０は、入力ハッシュ値に一致した登録ハッシュ値を特定し、特定した登録ハッシュ値の項目の種類に基づいて、入力ハッシュ値が特定の顧客の個人情報に関係する可能性（合致率）を算出する（ステップＡ６）。なお、ステップＡ６における合致率の算出処理については後述する。
【００４１】
その後、推定部３０は、合致率が一定値以上となる顧客を特定し、特定した顧客とその合致率とを特定する情報を、端末装置２００に送信し、端末装置２００の画面に、特定した顧客とその合致率とを表示させる（ステップＡ７）。例えば、画面上に「ＩＤ１：９５％、ＩＤ２：５５％、ＩＤ３：５０％」と表示される。これにより、ユーザは、個人情報の入力元の個人が、既に登録されている顧客（リピータ）であるかどうかを判断することができる。
【００４２】
なお、ステップＡ１において、取得される個人情報は、軽微な個人情報であっても良い。特に、ユーザの目的が検索である場合に、取得される個人情報が軽微な個人情報となる。また、端末装置２００から購入履歴が送信されてきている場合は、ステップＡ１において、情報取得部４０は、購入履歴も取得する。更に、この場合、ステップＡ２において、暗号化部１０は、ステップＡ２において、購入履歴をハッシュ化し、ステップＡ４において、購入履歴のハッシュ値をハッシュ値格納部２０に格納させる。また、この場合、ステップＡ７において、推定部３０は、特定した顧客の購入履歴も、端末装置２００の画面に表示させる。
【００４３】
［合致率の算出処理：ステップＡ６］
続いて、図６を用いて、ステップＡ６について具体的に説明する。図６は、図５に示すステップＡ６における項目毎の合致率の算出基準の一例を示す図です。図６に示すように、まず、本実施の形態においては、個人情報を構成する項目毎に、算出基準が設定されている。
【００４４】
また、各項目は、レベルＡとレベルＢとに分けられている。このうち、レベルＡは、単独での合致率の算出が可能な項目を示している。レベルＡに属する、顔データ、指紋データ、ＤＮＡデータ、パスポート番号（有効期限内）、免許証番号（更新期限内）、社会保険番号（例えば、マイナンバー）は、特定の個人との結びつきが極めて高く、単独で個人を一意に決定する情報である。
【００４５】
また、レベルＢは、他の項目と合わせて合格率の算出が可能な項目を示している。レベルＢに属する、姓、名、電話番号（固定電話）、住所、電話番号（携帯電話）、パスポート番号（有効期限内）、免許証番号（更新期限内）、生年月日は、複数の個人で共通する可能性が高かったり、変更される可能性が高かったりする情報である。
【００４６】
従って、本実施の形態では、情報管理装置１００は、ユーザが、端末装置２００からレベルＢの姓のみを送信してきた場合は、合致率を算出しないが、ユーザが、端末装置２００から顔データのみを送信してきた場合は、合致率を算出する。情報管理装置１００は、レベルＢについては、ユーザが、端末装置２００からレベルＢの複数項目を送信してきた場合、又はレベルＡと組み合せて送信してきた場合は、合致率を算出する。
【００４７】
具体例１：
ユーザが、店舗に訪れた個人の年齢を１３歳に設定し、端末装置２００から顔データのみを送信したとする。そして、入力ハッシュ値と一致する登録ハッシュ値の登録日からの経過年数が、例えば２年であるとする。この場合、入力ハッシュ値は、顔データのみであ
り、初期値は１００％であるので、推定部３０は、初期値から減算を行ない、合致率を８０％と算出する。これにより、端末装置２００の画面には、顧客の会員ＩＤと合致率８０％とが表示される。
【００４８】
具体例２：
ユーザが、店舗に訪れた個人の年齢を５０歳に設定し、端末装置２００から顔データのみを送信したとする。そして、入力ハッシュ値と一致する登録ハッシュ値の登録日からの経過年数が、例えば５年であるとする。この場合、入力ハッシュ値は、顔データのみであり、初期値は１００％であるので、推定部３０は、初期値から減算を行ない、合致率を９５％と算出する。これにより、端末装置２００の画面には、顧客の会員ＩＤと合致率９５％とが表示される。
【００４９】
具体例３：
ユーザが、端末装置２００からパスポート番号のみを送信したとする。そして、入力ハッシュ値と一致する登録ハッシュ値の登録日からの経過年数が、有効期限内であるとする。この場合、推定部３０は、合致率を１００％と算出する。これにより、端末装置２００の画面には、顧客の会員ＩＤと合致率１００％とが表示される。
【００５０】
具体例４：
ユーザが、店舗に訪れた個人の年齢を５０歳に設定し、端末装置２００から顔データを送信すると共に、更に、姓も送信したとする。そして、各入力ハッシュ値は、１つの会員ＩＤに関連付けられた登録ハッシュ値と一致し、一致する登録ハッシュ値それぞれの登録日からの経過年数は、例えば、１年以内であるとする。この場合、推定部３０は、顔データについて１００％と算出し、姓について９０％と算出するが、値が小さい方を合致率として採用する。これにより、端末装置２００の画面には、顧客の会員ＩＤと合致率９０％とが表示される。
【００５１】
具体例５：
ユーザが、店舗に訪れた個人の年齢を２２歳に設定し、端末装置２００から顔データを送信すると共に、更に、パスポート番号も送信したとする。そして、各入力ハッシュ値は、１つの会員ＩＤに関連付けられた登録ハッシュ値と一致し、一致する登録ハッシュ値それぞれの登録日からの経過年数は、５年であるとする。また、パスポートの有効期限を経過しているとする。この場合、パスポート番号は顔データと共に送信されているので、推定部３０は、顔データについて７５％と算出し、パスポート番号について１００％と算出するが、値が小さい方を合致率として採用する。これにより、端末装置２００の画面には、顧客の会員ＩＤと合致率７５％とが表示される。
【００５２】
具体例６：
ユーザが、端末装置２００から個人の名前と携帯電話の電話番号とを送信したとする。更に、各入力ハッシュ値は、１つの会員ＩＤに関連付けられた登録ハッシュ値と一致し、一致する登録ハッシュ値それぞれの登録日からの経過年数は１年以内であるとする。この場合、推定部３０は、名前について９０％と算出し、携帯電話の電話番号について８５％と算出する。そして、名前及び携帯電話の電話番号は、共にレベルＢに属するため、推定部３０は、両者の平均値を算出し、算出した平均値を合致率として採用する。これにより、端末装置２００の画面には、顧客の会員ＩＤと合致率８７．５％とが表示される。なお、入力ハッシュ値が３つ以上である場合も、推定部３０は、平均値を算出することによって、合致率を求めることができる。
【００５３】
具体例７：
具体例６において、各入力ハッシュ値と登録ハッシュ値が一致している会員ＩＤの数が
複数であるとする。この場合、推定部３０は、登録ハッシュ値が一致しる会員ＩＤ毎に、合致率を算出する。そして、推定部３０は、合致率が算出された会員ＩＤとその合致率とを端末装置２００に送信する。これにより、端末装置２００の画面には、複数の顧客の会員ＩＤと対応する合致率とが表示される。
【００５４】
［実施の形態における効果］
以上のように本実施の形態によれば、情報管理装置１００においては、顧客から取得した個人情報は項目毎に暗号化され、暗号化されたデータのみが蓄積され、暗号化されていないデータについては廃棄される。また、個人情報を検索する場合も、ハッシュ化されたデータのみで行なわれる。このため、情報管理装置１００によれば、情報漏洩が回避されると共に、情報漏洩対策にかかる費用が軽減される。
【００５５】
また、本実施の形態では、端末装置２００においては、情報管理装置１００に送信された個人情報は、送信と同時に破棄されるのが好ましい態様である。更に、本実施の形態では、端末装置２００は、入力された個人情報をハッシュ化し、得られたハッシュ値のみを、情報管理装置１００に送信しても良い。
【００５６】
［適用例］
例えば、宿泊施設において、情報管理装置１００を用いれば、チェックインを担当する従業員が、端末装置２００から、チェックインした客の個人情報を入力すると、その客がリピータであるかどうかを判断することができる。また、オンラインによる予約システムが採用されている場合は、予約システムと情報管理装置１００とを接続することで、予約の段階で、予約客がリピータであるかどうかを判断することができる。
【００５７】
例えば、飲食店、小売店等では、客にアンケートに答えてもらったり、メンバー登録してもらったりすることで、個人情報を取得できる。よって、取得した個人情報が入力されると、情報管理装置１００は、客がリピータであるかどうかを判断する。また、客が海外から訪れている場合は、商品の販売時において、パスポートから個人情報を取得できるので、情報管理装置１００は、その際に、客がリピータであるかどうかを判断する。
【００５８】
［プログラム］
本発明の実施の形態におけるプログラムは、コンピュータに、図５に示すステップＡ１〜Ａ７を実行させるプログラムであれば良い。このプログラムをコンピュータにインストールし、実行することによって、本実施の形態における情報管理装置と情報管理方法とを実現することができる。この場合、コンピュータのＣＰＵ（Central Processing Unit）は、暗号化部１０、推定部３０、及び情報取得部４０として機能し、処理を行なう。
【００５９】
また、本実施の形態におけるプログラムは、複数のコンピュータによって構築されたコンピュータシステムによって実行されても良い。この場合は、例えば、各コンピュータが、それぞれ、暗号化部１０、ハッシュ値格納部２０、推定部３０、及び情報取得部４０として機能しても良い。また、ハッシュ値格納部２０は、本実施の形態におけるプログラムを実行するコンピュータとは別のコンピュータ上に構築されていても良い。
【００６０】
ここで、本実施の形態におけるプログラムを実行することによって、情報管理装置１００を実現するコンピュータについて図７を用いて説明する。図７は、本発明の実施の形態における情報管理装置を実現するコンピュータの一例を示すブロック図である。
【００６１】
図７に示すように、コンピュータ１１０は、ＣＰＵ１１１と、メインメモリ１１２と、記憶装置１１３と、入力インターフェイス１１４と、表示コントローラ１１５と、データリーダ／ライタ１１６と、通信インターフェイス１１７とを備える。これらの各部は、バ
ス１２１を介して、互いにデータ通信可能に接続される。
【００６２】
ＣＰＵ１１１は、記憶装置１１３に格納された、本実施の形態におけるプログラム（コード）をメインメモリ１１２に展開し、これらを所定順序で実行することにより、各種の演算を実施する。メインメモリ１１２は、典型的には、ＤＲＡＭ（Dynamic Random Access Memory）等の揮発性の記憶装置である。また、本実施の形態におけるプログラムは、コンピュータ読み取り可能な記録媒体１２０に格納された状態で提供される。なお、本実施の形態におけるプログラムは、通信インターフェイス１１７を介して接続されたインターネット上で流通するものであっても良い。
【００６３】
また、記憶装置１１３の具体例としては、ハードディスクドライブの他、フラッシュメモリ等の半導体記憶装置が挙げられる。入力インターフェイス１１４は、ＣＰＵ１１１と、キーボード及びマウスといった入力機器１１８との間のデータ伝送を仲介する。表示コントローラ１１５は、ディスプレイ装置１１９と接続され、ディスプレイ装置１１９での表示を制御する。
【００６４】
データリーダ／ライタ１１６は、ＣＰＵ１１１と記録媒体１２０との間のデータ伝送を仲介し、記録媒体１２０からのプログラムの読み出し、及びコンピュータ１１０における処理結果の記録媒体１２０への書き込みを実行する。通信インターフェイス１１７は、ＣＰＵ１１１と、他のコンピュータとの間のデータ伝送を仲介する。
【００６５】
また、記録媒体１２０の具体例としては、ＣＦ（Compact Flash（登録商標））及びＳＤ（Secure Digital）等の汎用的な半導体記憶デバイス、フレキシブルディスク（Flexible Disk）等の磁気記憶媒体、又はＣＤ−ＲＯＭ（Compact Disk Read Only Memory）などの光学記憶媒体が挙げられる。
【産業上の利用可能性】
【００６６】
以上のように、本発明によれば、ハッキング及び内部からの流出による情報漏洩をも抑制することができる。本発明は、厳密な情報管理が必要な分野、特に個人情報を取り扱う必要がある分野において有用である。
【符号の説明】
【００６７】
１０  暗号化部
２０  ハッシュ値格納部
３０  推定部
１００  情報管理装置
１１０  コンピュータ
１１１  ＣＰＵ
１１２  メインメモリ
１１３  記憶装置
１１４  入力インターフェイス
１１５  表示コントローラ
１１６  データリーダ／ライタ
１１７  通信インターフェイス
１１８  入力機器
１１９  ディスプレイ装置
１２０  記録媒体
１２１  バス
２００  端末装置
【図１】
0006659037.tif 000002
【図２】
0006659037.tif 000003
【図３】
0006659037.tif 000004
【図４】
0006659037.tif 000005
【図５】
0006659037.tif 000006
【図６】
0006659037.tif 000007
【図７】
0006659037.tif 000008