(57)【要約】【課題】人災からデータベースを保護すること。【解決手段】データベース提供サーバ１０は、利用者の端末装置５１から要求のあったデータベースを暗号化する。提供サーバ１０は、暗号化したデータベースを利用者の端末装置５１に送信する。提供サーバ１０は、解読キーを管理サーバ６０に送信する。管理サーバ６０は、使用履歴を参照するとともに、独自の利用者データベースを参照し、解読キーを利用者の端末装置５１に送信する。適正に受信した暗号化データベース及び解読キーによって、利用者は、データベースを端末装置で出力する。【選択図】　図１
2004102524.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークを介して利用者端末装置にデータベースを提供するデータベース提供サーバのセキュリティシステムであって、
前記データベース提供サーバは、要求のあったデータベースを暗号化する暗号部を備えており、暗号化したデータベースを利用者端末に送信するとともに、暗号化したデータベースを解読するキーを管理サーバに送信し、
前記管理サーバが、当該管理サーバの利用者データベースを参照して、前記解読キーを利用者端末に送信すること特徴とする、
データベースのセキュリティシステム。
【請求項２】
前記データベース提供サーバは、利用者データベース及び認証手段を備えており、前記認証手段が前記利用者データベースを参照してデータベースの送信可否を判定する、請求項１記載のデータベースのセキュリティシステム。
【請求項３】
前記管理サーバは、データベースの使用履歴を記録する利用者データベースを備えている、請求項１記載のデータベースのセキュリティシステム。
【請求項４】
前記管理サーバは、利用者データベースを参照して、解読キーの送信可否を判定する、請求項３記載のデータベースのセキュリティシステム。
【請求項５】
前記管理サーバは、利用者データベースの使用履歴を参照して、使用頻度が閾値を越えている場合に、解読キーの送信拒否を行う、請求項４記載のデータベースのセキュリティシステム。
【請求項６】
前記管理サーバは、利用者データベースの使用履歴を参照して、データ量が閾値を越えている場合に、解読キーの送信拒否を行う、請求項４記載のデータベースのセキュリティシステム。
【請求項７】
前記管理サーバの利用者データベースは、解読キーの送信拒否履歴を記録する、請求項５又は請求項６記載のデータベースのセキュリティシステム。
【請求項８】
前記管理サーバは、利用者データベースの使用履歴を参照して、送信拒否履歴がある場合に、解読キーの送信拒否を行う、請求項７記載のデータベースのセキュリティシステム。
【請求項９】
前記データベース提供サーバは、利用者データベース及び認証手段を備えており、前記認証手段が前記利用者データベースを参照してデータベースの送信可否を判定し、
前記管理サーバは、データベースの使用履歴を記録する利用者データベースを備えており、前記管理サーバの利用者データベースは、前記データベース提供サーバの送信拒否履歴を記録する、請求項１記載のデータベースのセキュリティシステム。
【請求項１０】
前記管理サーバは、利用者データベースの使用履歴を参照して、データベース提供側での送信拒否履歴がある場合に、解読キーの送信拒否を行う、請求項９記載のデータベースのセキュリティシステム。
【請求項１１】
ネットワークを介して利用者端末装置にデータベースを提供するデータベース提供サーバのセキュリティ方法であって、
利用者端末装置の要求を受けたデータベースを暗号化し、前記暗号化データベースを利用者端末装置に送信し、前記暗号化データベースを解読するキーを管理サーバに送信し、前記管理サーバが独自の利用者データベースを参照して前記解読キーを利用者端末装置に送信することを特徴とする、
データベースのセキュリティ方法。
【請求項１２】
前記管理サーバは、使用履歴を記録した利用者データベースを備えており、前記利用者データベースを参照して、解読キーの送信可否を判定する、請求項１１記載のデータベースのセキュリティ方法。
【請求項１３】
前記管理サーバは、利用者データベースの使用履歴を参照して、使用頻度が閾値を越えている場合に、解読キーの送信拒否を行う、請求項１２記載のデータベースのセキュリティ方法。
【請求項１４】
前記管理サーバは、利用者データベースの使用履歴を参照して、データ量が閾値を越えている場合に、解読キーの送信拒否を行う、請求項１２記載のデータベースのセキュリティ方法。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、複数の独立した情報保持機関が保有するデータベースを相互に利用するシステムにおいて、データベースのセキュリティ管理を行うためのシステム「及び方法」に関する。
【０００２】
【従来の技術】
複数の情報保持機関、例えば、医療機関や行政機関は、近年になってデータベースを共有化することを進めている。そこで、セキュリティに関する問題が重要視され、仕様制限されているデータベースにアクセスするには、一般的に、ユーザＩＤ及びパスワードを利用することが行われている。さらに進んだセキュリティシステム及び方法として、データベース（ファイル）自体に認証データを埋め込んで、表示可否の認証を行うシステム及び方法が提案されている（特許文献１参照）。
【０００３】
他に、さらに進んだセキュリティシステム及び方法として、データベース提供側及びデータベース入手側においてそれぞれがＩＣカードを利用し、それぞれの認証が許可された場合にのみデータベースを利用するシステム及び方法が提案されている（特許文献２参照）。
【０００４】
【特許文献１】
特開２００２−１４９６０３号公報
【特許文献２】
特開２０００−３４３９７３号公報
【０００５】
【発明が解決しようとする課題】
上記公報記載の従来のセキュリティシステム及び方法は、データベースへのアクセス時にシステムの技術面で情報漏洩を防止することに着目している。すなわち、使用制限あるデータベースにアクセスする際、操作者等の認証を行い、権限のない操作者にデータベースの利用を許可しないこととしている。
これらの従来のシステム及び方法は、権限のない操作者に対して情報漏洩を防止することに対して効果はある。しかし、権限のある者がデータベースにアクセスし、ＩＤ及びパスワードを利用してデータベースを使用することに対して効果がない。
【０００６】
本発明は、いわゆる人災に分類することができる、データベースを盗用しようとする悪意の操作者からデータベースを保護し、データベース流出のセキュリティを高めようとするものである。
【０００７】
本発明の目的は、いわゆる人災からデータベースを如何に保護するかということに着目し、前記課題を解決するためのなされたもので、認証された操作者に対して、さらにセキュリティを高めたセキュリティシステム及びセキュリティ方法の提供を目的としている。
本発明の他の目的は、アクセス権限を悪用してデータベースを使用する者を監視するためのシステム及び方法の提供を目的としている。
本発明のさらに他の目的は、データベース自体には関与せず、データベースの流出にのみ関与する第三者機関により、データベースのセキュリティを高めるシステム及び方法の提供を目的としている。
【０００８】
【課題を解決するための手段】
請求項１及び請求項１１の発明は、ネットワークを介して利用者端末装置にデータベースを提供するデータベース提供サーバのセキュリティシステム又は方法であって、
前記データベース提供サーバは、要求のあったデータベースを暗号化する暗号部を備えており、暗号化したデータベースを利用者端末に送信するとともに、暗号化したデータベースを解読するキーを管理サーバに送信し、
前記管理サーバが、当該管理サーバの利用者データベースを参照して、前記解読キーを利用者端末に送信するデータベースのセキュリティシステム又は方法である。
【０００９】
請求項２の発明は、前記データベース提供サーバが、利用者データベース及び認証手段を備えており、前記認証手段が前記利用者データベースを参照してデータベースの送信可否を判定するデータベースのセキュリティシステムである。
【００１０】
請求項３の発明は、前記管理サーバが、データベースの使用履歴を記録する利用者データベースを備えているデータベースのセキュリティシステムである。
【００１１】
請求項４及び請求項１２の発明は、前記管理サーバが、利用者データベースを参照して、解読キーの送信可否を判定するデータベースのセキュリティシステム又は方法である。
【００１２】
請求項５及び請求項１３の発明は、前記管理サーバが、利用者データベースの使用履歴を参照して、使用頻度が閾値を越えている場合に、解読キーの送信拒否を行うデータベースのセキュリティシステム又は方法である。
【００１３】
請求項６及び請求項１４の発明は、前記管理サーバが、利用者データベースの使用履歴を参照して、データ量が閾値を越えている場合に、解読キーの送信拒否を行うデータベースのセキュリティシステム又は方法である。
【００１４】
請求項７の発明は、前記管理サーバの利用者データベースが、解読キーの送信拒否履歴を記録するデータベースのセキュリティシステムである。
【００１５】
請求項８の発明は、前記管理サーバが、利用者データベースの使用履歴を参照して、送信拒否履歴がある場合に、解読キーの送信拒否を行うデータベースのセキュリティシステムである。
【００１６】
請求項９の発明は、前記データベース提供サーバが、利用者データベース及び認証手段を備えており、前記認証手段が前記利用者データベースを参照してデータベースの送信可否を判定し、
前記管理サーバは、データベースの使用履歴を記録する利用者データベースを備えており、前記管理サーバの利用者データベースは、前記データベース提供サーバの送信拒否履歴を記録するデータベースのセキュリティシステムである。
【００１７】
請求項１０の発明は、前記管理サーバが、利用者データベースの使用履歴を参照して、データベース提供側での送信拒否履歴がある場合に、解読キーの送信拒否を行うデータベースのセキュリティシステムである。
【００１８】
【発明の実施の形態】
以下、図面を参照して本発明によるセキュリティシステム及びセキュリティ方法の一実施形態を説明する。
【００１９】
図１は、本発明によるセキュリティシステム及び方法の全体を示したブロック図である。本発明のセキュリティシステム及びセキュリティ方法は、データベースを使用しているＬＡＮ（ローカルエリアネットワーク）にアクセスして、ネットワークを介してデータベースを使用する場合のセキュリティに着目してなされたものである。
【００２０】
本発明のセキュリティシステム及びセキュリティ方法を利用する形態として、複数のＬＡＮ１，２，３がインターネット１０１を介して接続されていることを意図している。ＬＡＮ１０，２０，３０内のデータベースは、データベース使用者（端末装置操作者）が限られていることから、データベースの流出については一定の保護が行われる。しかし、ネットワークを介してデータベースを使用可能にした場合、プライバシーの保護は困難になる。例えば、ＬＡＮ内部の端末装置１１，１２，２１，２２，３１，３２から、操作している端末装置が属するＬＡＮ以外のＬＡＮのデータベースを使用できるような形態や、外部の端末装置５１，５２，５３，５４からＬＡＮ１０，２０，３０のデータベースを使用できる形態となっている場合は、データベースの保護の強化が望まれる。
【００２１】
本発明のセキュリティシステム及びセキュリティ方法は、端末装置の属するＬＡＮ以外の端末装置からデータベースを使用する場合に、アクセスされたＬＡＮは、データベースの暗号化を行い、暗号化されたデータベースを利用者に提供するとともに、データの復号化に必要な解読キー（以下、「暗号キー等」という。）についてセキュリティ監視を行う管理センタを介して別のルートでデータベースの利用者に提供することとしている。
【００２２】
この際、管理センタ６０は、暗号キー等を経由するだけであるので、データベースそのもの、及び、暗号化されたデータベースに接することがなく、データベース利用者及びデータベース提供者以外に個人情報等の重要なデータベースが流出することがないようにしている。また、管理センタ６０は、暗号キー等の経由する際に独自のデータマスターにより暗号キー等の送信先を決定することとしている。さらに、管理センタは、特定の端末装置への送信回数、送信頻度が閾値を越えた場合に送信確認を行うことができるように、暗号キー等の送信履歴を更新保存する。
【００２３】
図２は、データベース提供者としてＬＡＮ側のシステム構成図である。なお、「ＬＡＮ１」「ＬＡＮ２」「ＬＡＮ３」は基本的に同じ構成である。そのため、以下、「ＬＡＮ１」についてのみ説明し、「ＬＡＮ２」「ＬＡＮ３」の構成については説明を省略するものとする。
【００２４】
データベース提供者のシステムは、コミュニケーションサーバとして機能することができる。このシステム１０は、外部のネットワーク７０から例えばファイアーウォール１０１により保護されており、通信部１０２を介して内部のネットワークに接続されている。
【００２５】
システム１０は、制御部１０３、認証１０４、検索部１０５、暗号部１０６、個人情報等を保存したデータベース（以下、「個人情報データベース」という。）１０７、利用者の情報を保存したデータベース（以下、「利用者データベース」という。）１０８がバス線１０９で接続された構成となっている。バス線１１０は、ＬＡＮ内部の端末装置１１，１２，１３・・・と接続されており、ＬＡＮ内部の利用権限を持つ者には、認証を条件として、又は、無認証で、データベースが使用できる構成となっている。
【００２６】
制御部１０３は、外部の端末装置からデータベース利用の要求があったとき、端末装置の認証を行い、要求されたデータベースを検索し、データベースを暗号化した上で、利用者に暗号化データベースを送信するとともに管理センタに暗号キー等を送信する。
【００２７】
認証部１０４は、利用者データベースに登録されているＩＤ番号及びパスワード（以下、「ＰＷ」という。）、操作者氏名及び送信先を参照する機能を備えている。検索部１０５は、要求された必要なデータベースを収集する機能を備えている。暗号部１０６は、収集したデータベースを暗号キー等で暗号化する機能を備えている。
制御部１０３は、認証部１０４、検索部１０５及び暗号部１０６を制御し、暗号化した個人情報データベースを要求した利用者に送信するとともに、暗号キー等を管理センタ６０に送信する機能を備えている。また、利用者から新規登録のアクションがあったときには、利用者データベースに利用者の情報を記録し、更新保存する。
【００２８】
図３は、データベースの送信状況を監視する管理センタ６０のシステム構成図である。管理センタ６０のシステムは、外部のネットワーク７０からファイアーウォール６１及び通信部６２を介し、制御部６３、記憶手段６４及びデータベース６５を備えている。記憶手段６４は、ＬＡＮから受信した暗号キー等を一時的に記録するために備えられている。データベース６５は、それぞれのＬＡＮの利用者データベースと同じ情報を保存しており、独自に暗号キー等の送信先を参照することができるようになっている。
【００２９】
制御部６３は、ＬＡＮから暗号キー等を受信したとき、記憶手段６４に一時的に暗号キー等を保存し、利用者データベース６５を参照して、一時的に保存した暗号キー等の送信判定を行う機能を備えている。
【００３０】
図４は、ＬＡＮに属する端末装置から、又は、外部の端末装置から、一定のＬＡＮのデータベースを新規に利用する際の登録フローチャートを示している。
【００３１】
ＬＡＮ内部の端末装置１１であろうと、外部端末装置５１であろうと、ＬＡＮ内部のデータベースを利用することを希望する者は、自己の端末装置により、データベース提供システムにアクセスする（ステップＳ１）。データベース提供システムとは、例えば、図１のＬＡＮ１（１０）である。ＬＡＮが複数ある場合は、それぞれのＬＡＮ２（２０）、３（３０）に利用者はアクセスする。データベース利用システムは、新規利用者の端末装置に対して、登録画面を送信する（ステップＳ１１）。
【００３２】
図５は、新規利用者の端末装置の表示画面を示し、操作者は、端末装置においてユーザ名、端末ＮＯ．、操作者氏名、送信先を入力し（ステップＳ２〜Ｓ４）、データベース提供システムに送信する（ステップＳ５）。データベース提供システムは、ユーザ名等の利用情報を受信すると（ステップＳ１２）、認証部１０４においてＩＤ及びＰＷを生成し（ステップＳ１３・ステップＳ１４）、利用者データベース１０８にユーザ名等とＩＤ及びＰＷを保存する（ステップＳ１５）。
【００３３】
図６は、１つのＬＡＮにおける利用者データベースに保存している、端末装置又は操作者のテーブルである。このテーブルには、新規登録時に受信したユーザ名、端末ＮＯ．、操作者氏名、送信先、認証部で生成したＩＤ及びＰＷを記録している。
【００３４】
データベース利用システムは、データベース利用者に対して、ＩＤ及びＰＷを送信するとともに、管理センタに対して、利用者データベースに記録した総ての情報を送信する（ステップＳ１６）。
データベース利用者は、データベース提供システムからＩＤ及びＰＷを受信する。（ステップＳ６）。一方、管理センタは、データベース提供システムから総ての情報を受信した後、利用者データベース６５にその情報を記録する（ステップＳ２２）。
【００３５】
図７は、管理センタ６０の利用者データベースに保存している、ＬＡＮ毎の端末装置のテーブルである。管理センタ６０の利用者データベース６５は、データベース提供システムの利用者データベースに保存している情報に加えて、使用履歴を保存している。また、管理センター６０の利用者データベース６５は、ＬＡＮ毎にデータベースが構成されている。
【００３６】
使用履歴とは、端末装置毎又は操作者毎に、特定のＬＡＮのデータベースを使用した年月日時分、要求した又は提供されたデータベースのデータ量、拒否された場合には、データ量に代えて拒否された情報である。使用履歴は、端末装置又は操作者の使用毎に更新される。
【００３７】
図８は、データベース使用時のフローチャートを示している。
データベースを使用しようとする操作者は、端末装置を利用してデータベース提供側（システム）にアクセスする（ステップＳ３１）。次いで、端末装置には、ＩＤ及びＰＷを求める画面が表示され、操作者は自己のＩＤ及びＰＷを入力し、データベース提供者に送信する（ステップＳ３２）。さらに、操作者は、データベース、例えば、個人情報として氏名、住所、生年月日、性別等に関するデータベースを要求する（ステップＳ３３）。
【００３８】
データベース提供側のシステムは、認証部のＩＤ及びＰＷを参照し、端末装置又は操作者の認証を行い、アクセス権限の判定を行う（ステップＳ４１）。判定の結果、アクセスを拒否する場合は後述する。
判定の結果、アクセスを許可した場合は、操作者が要求した項目について検索部がデータベース（図８では「ＤＢ」）を検索する（ステップＳ４２）。この場合、例えば、個人の氏名から「住所」「生年月日」「性別」を検索する。システムの制御部１０３は、暗号部１０６において、暗号キー等を用いて、検索したデータベースの暗号化を行う（ステップＳ４３）。
【００３９】
システムの制御部１０３は、要求した端末装置又は操作者に関する情報及び送信するデータベースのデータ量を、管理センターに送信する（ステップＳ４４）。この送信手順は、データベースを要求した端末装置に返信する方法でなく、システムの制御部１０３がシステム内の利用者データベースを参照して行う。
さらに、システムの制御部１０３は、暗号キー等を管理センターに送信する（ステップＳ４５）。データベースそのもの又は暗号化データベースは、管理センターに送信されることはなく、第三者的な立場の者にデータベースが流出することを避けている。
【００４０】
管理センターは、送信先、データ量及び暗号キー等を受信し（ステップＳ５１）、一時的に記憶手段６４に保存する。制御部６３は、送信先等を受信した後、利用者データベースを参照し（ステップＳ５２）、正常なデータ要求かの判定を行う（ステップＳ５３）。
【００４１】
制御部による利用者データベースを参照した判定は、例えば、要求頻度（回数や要求の集中度）、データ量に基づき行う。予め決められた閾値を越えて、データベースの要求回数があった場合、短期間に集中してデータベースの要求があった場合、膨大なデータ量のデータベースの要求があった場合は、後述する。
【００４２】
閾値以下（又は未満）の要求の場合は、管理センターは、独自の利用者データベースを参照し（ステップＳ５４）、暗号キー等をデータベース利用者に送信する（ステップＳ５５）。また、管理センターは、データベース提供システムに送信許可を行う（ステップＳ５６）。その後、管理センターは、利用者データベースに送信履歴を更新する（ステップＳ５７）。
【００４３】
データベース提供システムは、管理センターから送信許可連絡を受け、暗号化したデータベースをデータベース利用者に送信する（ステップＳ４６）。データベース利用者は、暗号キー等及び暗号化データベースを受信し（ステップＳ３４・ステップＳ３５）した後、データの復号化を行い（ステップＳ３６）、端末装置にデータベースを画面表示等で出力する（ステップＳ３７）。
【００４４】
図９は、データベース提供側のシステムが、アクセス権限の判定を行った結果（ステップＳ４１）、アクセスを拒否する場合を示している。この場合は、要求のあった端末装置又は操作者へのデータベースの送信拒否を行い（ステップＳ６１）、管理センターに送信拒否した情報を送信する（ステップＳ６２）。管理センターは、利用者データベースにおいて、年月日時分及び拒否情報の記録して使用履歴を更新する（ステップＳ６３）。
【００４５】
図９はまた、制御部による利用者データベースを参照した判定の結果（ステップＳ５３）、使用回数等が閾値を越えている場合を示している。この場合は、利用者側の端末装置又は操作者に対して暗号キーの送信を拒否し（ステップＳ７１）、データベース提供システムに対して、暗号キー等の送信を拒否した情報を送信する（ステップＳ７２）。さらに、管理センターは、利用者データベースにおいて、年月日時分及び拒否情報の記録して使用履歴を更新する（ステップＳ７３）。
【００４６】
【発明の効果】
本発明のセキュリティシステム及びセキュリティ方法は、要求されたデータベースを暗号化し、暗号化データベースは要求した端末装置に送信するが、暗号キー等は管理センターを経由して管理センターに予め登録した要求端末装置に送信するので、不適切なデータベースの要求があっても、正規の端末装置しかデータベースに接することができず、個人情報等のセキュリティを高めることができる。
また、管理センターは、データベースそのものに接することがなく、暗号キー等を取り扱うだけであるので、第三者的な立場の者がデータベースに触れることがない。
【図面の簡単な説明】
【図１】本発明によるセキュリティシステム及び方法の全体を示したブロック図である。
【図２】データベース提供者のシステム構成図である。
【図３】管理センタのシステム構成図である。
【図４】データベースを新規に利用する際の登録フローチャートである。
【図５】新規利用者の端末装置の表示画面を示している。
【図６】ＬＡＮに保存している、端末装置又は操作者を基準としたテーブルである。
【図７】管理センタの利用者データベースに保存している、ＬＡＮ毎の端末装置のテーブルである。
【図８】データベース使用時のフローチャートを示している。
【図９】送信拒否時のフローチャートを示している。
【符号の説明】
１０，２０，３０　ＬＡＮ
１１，１２，２１，２２，３１，３２　ＬＡＮ内部の端末装置
５１，５２，５３，５４　外部の端末装置
６０　管理センタ
６５　利用者データベース
７０　ネットワーク
１０３　制御部
１０４　認証部
１０５　検索部
１０６　暗号部
１０７　個人情報データベース
１０８　利用者データベース
１０９　バス
【図１】
2004102524.tif 000003
【図２】
2004102524.tif 000004
【図３】
2004102524.tif 000005
【図４】
2004102524.tif 000006
【図５】
2004102524.tif 000007
【図６】
2004102524.tif 000008
【図７】
2004102524.tif 000009
【図８】
2004102524.tif 000010
【図９】
2004102524.tif 000011