(57)【特許請求の範囲】
【請求項１】
ユーザ端末と、ユーザ端末と通信可能な受付サーバと、受付サーバと通信可能な保管サーバとがネット通信網を介して接続されたシステムであって、
前記受付サーバは、前記ユーザ端末からユーザＩＤ及びユーザの個人情報を受信したとき、前記個人情報を記憶することなく前記ユーザＩＤだけを記憶してから前記ユーザＩＤ及び前記個人情報を前記保管サーバに送信し、
前記保管サーバは、前記受付サーバから前記個人情報を受信したとき、部分データに分散させない情報のままの個人情報に対し、当該個人情報と無関係なダミー情報を複数生成すると共に、前記個人情報及び複数のダミー情報に対して識別コードをそれぞれ付与して前記個人情報及び複数のダミー情報を前記識別コードと関連付けて記憶した後、前記個人情報に関する識別コードだけを前記受付サーバに送信し、
前記受付サーバは、前記保管サーバからの個人情報に関する識別コードを前記ユーザＩＤと関連付けて記憶した後、個人情報に関する識別コードを前記ユーザ端末に送信し、その後にユーザ端末から前記ユーザＩＤ及び識別コードの送信があったとき、ユーザ端末から送信されたユーザＩＤ及び識別コードと記憶したユーザＩＤ及び識別コードとが一致するか否かの認証を行い、一致したときに認証の成立を確認し、認証が成立したとき、個人情報に関する識別コードを前記保管サーバに送信することにより保管サーバに対し識別コードに関連した個人情報を要求し、保管サーバから個人情報を受信したとき前記ユーザ端末へ個人情報を送信することを特徴とする個人情報管理システム。
【請求項２】
請求項１記載の個人情報管理システムであって、
前記受付サーバは、前記ユーザ端末から２回目以降のユーザＩＤ及び個人情報が入力されたとき、ユーザＩＤと関連付けて記憶した識別コードを選択し、選択した識別コード及び２回目以降の個人情報を前記保管サーバに送信し、
前記保管サーバは、前記受付サーバから識別コードが入力されたとき、記憶している識別コードと比較し、同じ識別コードのとき個人情報を２回目以降の個人情報に更新し、更新した個人情報に対し複数のダミー情報を生成し、更新した個人情報及び生成した複数のダミー情報に対し識別コードをそれぞれ付与して更新した個人情報及び複数のダミー情報を識別コードと関連付けて記憶することを特徴とする個人情報管理システム。
【請求項３】
請求項１記載の個人情報管理システムであって、
前記受付サーバは、
前記ユーザ端末から送信されたユーザＩＤ及びユーザの個人情報の中からユーザＩＤだけを選択する選択部と、
前記ユーザＩＤ及び前記保管サーバからの識別コードを関連付けて記憶する記憶部と、
前記ネット通信網を介して受信したユーザＩＤ及び識別コードを前記記憶部内のユーザＩＤ及び識別コードと比較してユーザ端末を認証する認証部と、
前記認証部による認証が成立したとき前記個人情報の送信を前記保管サーバに要求する受付サーバ側第１送信部と、
前記保管サーバからの個人情報を受信したとき、受信した個人情報を前記ユーザ端末に送信する受付サーバ側第２送信部を備え、
前記保管サーバは、
前記受付サーバから入力されたユーザの個人情報の文字列に対し無関係な文字列からなるダミー情報を複数生成するダミー情報生成部と、
前記個人情報及び複数のダミー情報に対し識別コードをそれぞれ付与する識別コード生成部と、
前記個人情報及び複数のダミー情報を前記識別コードと関連付けて記憶する情報記憶部と、
前記識別コードの中から前記個人情報に対する識別コードだけを前記受付サーバに送信する保管サーバ側第１送信部と、
前記受付サーバから前記個人情報の送信要求があったとき、前記個人情報を前記受付サーバに送信する保管サーバ側第２送信部とを備えていることを特徴とする個人情報管理システム。
【請求項４】
請求項３記載の個人情報管理システムであって、
前記受付サーバは、
前記ユーザ端末から２回目以降のユーザＩＤ及び個人情報が入力されたとき、ユーザＩＤと関連付けて記憶した識別コードを前記記憶部から選択し、選択した識別コード及びユーザ端末からの個人情報を前記保管サーバに送信する履歴送信部をさらに有し、
前記保管サーバは、
前記受付サーバの履歴送信部から識別コードが入力されたとき、前記情報記憶部に記憶されている識別コードと比較し、入力された識別コードと情報記憶部の識別コードとが同じとき情報記憶部内の個人情報を２回目以降の個人情報に更新する更新部をさらに有し、
前記ダミー情報生成部は前記更新部が更新した個人情報に対し複数のダミー情報を生成し、前記識別コード生成部は更新した個人情報及び生成した複数のダミー情報に対し識別コードをそれぞれ付与することを特徴とする個人情報管理システム。
【請求項５】
請求項３記載の個人情報管理システムであって、
前記保管サーバは、
前記個人情報の構成単位の文字列と無関係な文字列を複数格納したダミー情報格納部をさらに有し、
前記ダミー情報生成部は前記ダミー情報格納部から複数の文字列をピックアップして複数のダミー情報を生成することを特徴とする個人情報管理システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、インターネット等のネット通信網を通じた不正アクセス等によって漏洩される個人情報を保護するための個人情報管理システムに関する。
【背景技術】
【０００２】
近年の個人情報の保護意識の高まりに伴い、企業や自治体が保有する個人情報の流出、漏洩や不正利用などを防止することが必要となっている。この内、ネット通信網を通じた外部からのハッキング等の不正アクセスに対しては、個人情報を分散保管する技術が従来より開示されている（例えば、特許文献１）。
【０００３】
特許文献１に開示されている個人情報管理システムは、ユーザの個人情報を秘密分散技術により複数の部分データに分散し、これらの部分データを複数のデータセンターのサーバに分散保管するものである。このとき各部分データのコピーをさらにそれぞれ別のデータセンターのサーバに保管して二重化している。このシステムでは、各データセンターに不正アクセスしても１つの部分データしか得ることができず、得られた１つの部分データからは個人情報を復元できないため、個人情報の漏洩を防止することを可能としている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１３−２０３１４
【発明の概要】
【発明が解決しようとする課題】
【０００５】
特許文献１に開示された個人情報管理システムでは、ユーザ自身或いはユーザの関係者がユーザの個人情報を得る場合には、分散している複数の部分データを集めて復元することが要求される。このとき、複数のデータセンターに対してユーザＩＤ、その他の識別ＩＤをその都度、入力する必要があるため、復元作業が面倒となっている。又、個人情報を分散させるための秘密分散技術に対しては面倒で繁雑なフローが要求され、実用性に乏しいものとなっている。
【０００６】
本発明は、このような従来の問題点を考慮してなされたものであり、部分データに分散させることなく個人情報を秘匿することができ、秘匿された個人情報をユーザやその関係者が簡単に入手でき、しかも不正アクセスに対しては無用な情報の形態として供給させることが可能な個人情報管理システムを提供することを目的とする。
【課題を解決するための手段】
【０００７】
上記目的を達成するため、本発明の個人情報管理システムは、ユーザ端末と、ユーザ端末と通信可能な受付サーバと、受付サーバと通信可能な保管サーバとがネット通信網を介して接続されたシステムであって、
前記受付サーバは、前記ユーザ端末からユーザＩＤ及びユーザの個人情報を受信したとき、前記個人情報を記憶することなく前記ユーザＩＤだけを記憶してから前記ユーザＩＤ及び前記個人情報を前記保管サーバに送信し、
前記保管サーバは、前記受付サーバから前記個人情報を受信したとき、部分データに分散させない情報のままの個人情報に対し、当該個人情報と無関係なダミー情報を複数生成すると共に、前記個人情報及び複数のダミー情報に対して識別コードをそれぞれ付与して前記個人情報及び複数のダミー情報を前記識別コードと関連付けて記憶した後、前記個人情報に関する識別コードだけを前記受付サーバに送信し、
前記受付サーバは、前記保管サーバからの個人情報に関する識別コードを前記ユーザＩＤと関連付けて記憶した後、個人情報に関する識別コードを前記ユーザ端末に送信し、その後にユーザ端末から前記ユーザＩＤ及び識別コードの送信があったとき、ユーザ端末から送信されたユーザＩＤ及び識別コードと記憶したユーザＩＤ及び識別コードとが一致するか否かの認証を行い、一致したときに認証の成立を確認し、認証が成立したとき、個人情報に関する識別コードを前記保管サーバに送信することにより保管サーバに対し識別コードに関連した個人情報を要求し、保管サーバから個人情報を受信したとき前記ユーザ端末へ個人情報を送信することを特徴とする。
【０００８】
このシステムにおいて、
前記受付サーバは、前記ユーザ端末から２回目以降のユーザＩＤ及び個人情報が入力されたとき、ユーザＩＤと関連付けて記憶した識別コードを選択し、選択した識別コード及び２回目以降の個人情報を前記保管サーバに送信し、
前記保管サーバは、前記受付サーバから識別コードが入力されたとき、記憶している識別コードと比較し、同じ識別コードのとき個人情報を２回目以降の個人情報に更新し、更新した個人情報に対し複数のダミー情報を生成し、更新した個人情報及び生成した複数のダミー情報に対し識別コードをそれぞれ付与して更新した個人情報及び複数のダミー情報を識別コードと関連付けて記憶することが好ましい。
【０００９】
又、前記受付サーバは、
前記ユーザ端末から送信されたユーザＩＤ及びユーザの個人情報の中からユーザＩＤだけを選択する選択部と、
前記ユーザＩＤ及び前記保管サーバからの識別コードを関連付けて記憶する記憶部と、
前記ネット通信網を介して受信したユーザＩＤ及び識別コードを前記記憶部内のユーザＩＤ及び識別コードと比較してユーザ端末を認証する認証部と、
前記認証部による認証が成立したとき前記個人情報の送信を前記保管サーバに要求する受付サーバ側第１送信部と、
前記保管サーバからの個人情報を受信したとき、受信した個人情報を前記ユーザ端末に送信する受付サーバ側第２送信部を備え、
前記保管サーバは、
前記受付サーバから入力されたユーザの個人情報の文字列に対し無関係な文字列からなるダミー情報を複数生成するダミー情報生成部と、
前記個人情報及び複数のダミー情報に対し識別コードをそれぞれ付与する識別コード生成部と、
前記個人情報及び複数のダミー情報を前記識別コードと関連付けて記憶する情報記憶部と、
前記識別コードの中から前記個人情報に対する識別コードだけを前記受付サーバに送信する保管サーバ側第１送信部と、
前記受付サーバから前記個人情報の送信要求があったとき、前記個人情報を前記受付サーバに送信する保管サーバ側第２送信部とを備えていることが好ましい。
【００１０】
又、 前記受付サーバは、
前記ユーザ端末から２回目以降のユーザＩＤ及び個人情報が入力されたとき、ユーザＩＤと関連付けて記憶した識別コードを前記記憶部から選択し、選択した識別コード及びユーザ端末からの個人情報を前記保管サーバに送信する履歴送信部をさらに有し、
前記保管サーバは、
前記受付サーバの履歴送信部から識別コードが入力されたとき、前記情報記憶部に記憶されている識別コードと比較し、入力された識別コードと情報記憶部の識別コードとが同じとき情報記憶部内の個人情報を２回目以降の個人情報に更新する更新部をさらに有し、
前記ダミー情報生成部は前記更新部が更新した個人情報に対し複数のダミー情報を生成し、前記識別コード生成部は更新した個人情報及び生成した複数のダミー情報に対し識別コードをそれぞれ付与することが好ましい。
【００１１】
又、前記保管サーバは、
前記個人情報の構成単位の文字列と無関係な文字列を複数格納したダミー情報格納部をさらに有し、
前記ダミー情報生成部は前記ダミー情報格納部から複数の文字列をピックアップして複数のダミー情報を生成することが好ましい。
【発明の効果】
【００１２】
本発明によれば、個人情報を部分データに分散する必要なく秘匿することができ、ユーザ端末が分散した部分データを集める必要がなく個人情報を容易に取得することができる。又、ネット通信網を介して受付サーバに不正アクセスがあり、受付サーバ内の情報が盗まれても、受付サーバはユーザＩＤ及び識別コードを記憶するだけであって個人情報が存在しないため、不正アクセスで得た情報は全く利用価値のないものとなる。一方、保管サーバに対して不正アクセスがあり、保管サーバ内の情報が盗まれても、個人情報と複数のダミー情報とが混在した情報であってダミー情報の数が圧倒的に多いため、どの情報が真の個人情報であるかの判別が難しく実用性に乏しいものとなる。このため、不正アクセスによって保管サーバ内の情報を得ても実際に用いることができないものとなり、不正アクセスに対して有効な防御を行うことができる。
【図面の簡単な説明】
【００１３】
【図１】本発明の個人情報管理システムの全体を示す構成図である。
【図２】個人情報を管理する際の接続系統を示すブロック図である。
【図３】個人情報管理システムの構成を示すブロック図である。
【図４】個人情報を登録する際のシーケンスを示すフロー図である。
【図５】個人情報とダミー情報とを記憶する形態の一例を示す参考図である。
【発明を実施するための形態】
【００１４】
図１及び図２は本発明の一実施形態の個人情報管理システム１を示す。図１に示すように個人情報管理システム１は、複数のユーザ端末２、２ａと、受付サーバ３と、保管サーバ４とがインターネット等のネット通信網を介して接続されている。複数のユーザ端末２、２ａの内、ユーザ端末２は個人情報の管理を必要とする端末である。図２は個人情報の管理を行うための接続形態を示し、ユーザ端末２は受付サーバ３と通信可能に接続され、受付サーバ３は保管サーバ４と通信可能に接続される。個人情報の管理に際しては、図２に示すように、ユーザ端末２と保管サーバ４とは受付サーバ３を中間に介して接続され、ユーザ端末２と保管サーバ４とが直接に接続されることはない。
【００１５】
この実施形態による個人情報の管理の概要について図２により説明する。ユーザ端末２は受付サーバ３に対してユーザＩＤ及びユーザの個人情報を送信する。ユーザＩＤとしては、ユーザが設定したパスワード、その他の暗号が該当する。個人情報としては、ユーザの氏名、生年月日、住所、電話番号等の連絡先やユーザの取引先や顧客の情報、その他の情報が含まれる。
【００１６】
ユーザ端末２からユーザＩＤ６及び個人情報７を受信すると、受付サーバ３は個人情報７を記憶することなくユーザＩＤ６だけを記憶した後、ユーザＩＤ６及び個人情報７を保管サーバ４に送信する。保管サーバ４は受付サーバ３から個人情報７を受信すると、個人情報７とは無関係なダミー情報８を複数生成する。ダミー情報８としては、数が多ければ多いほど良好であり、例えば１個の個人情報７に対し、１００〜１万個生成される。
【００１７】
保管サーバ４は複数のダミー情報８を生成する際に、個人情報７及び複数のダミー情報８に対し識別コード９、９ａをそれぞれ付与する。識別コード９は個人情報７に対して付与するコードであり、識別コード９ａは個々のダミー情報８に対して付与するダミーのコードである。一の個人情報７及びこれに関連して生成した複数のダミー情報８をまとめることが好ましく、このため識別コード９、９ａは共通したフラグを有するように生成される。識別コード９、９ａがフラグを有することにより、個人情報７及び複数のダミー情報８が関連付けられ、保管サーバ４は個人情報７及び複数のダミー情報８を関連付けて記憶する。これにより一の個人情報７では、その個人情報と複数のダミー情報８とが混在した状態で記憶される。識別コード９、９ａを付与した後、保管サーバ４は個人情報７に対して付与された識別コード９を受付サーバ３に送信する。
【００１８】
保管サーバ４には、複数の異なったユーザ端末２からの個人情報７が受付サーバ３から入力されるものであり、保管サーバ４は部分データに分散させない情報のままのそれぞれの個人情報７に対して複数のダミー情報８を生成すると共に、これらの個人情報７及び複数のダミー情報８に対し識別コード９、９ａを付与する。識別コード９、９ａの付与に際しては、上述したように、一の個人情報７及びこれに関連したダミー情報８に対して共通したフラグを有するように識別コード９、９ａを生成して、これらを関連付けた一つのファイル１０とする。かかる保管サーバ４には、複数のファイル１０、１０ａ・・が保管される。
【００１９】
保管サーバ４からの識別コード９の送信により、受付サーバ３にはユーザ端末２からのユーザＩＤ６に加えて個人情報７に対応した識別コード９が入力され、これらのユーザＩＤ６及び個人情報７に対応した識別コード９を記憶する。このことから受付サーバ３は個人情報７を記憶しないが、ユーザＩＤ及び個人情報７に対応した識別コード９を記憶する。受付サーバ３に対しては保管サーバ４から複数の識別コード９が入力されるものであり、それぞれの識別コード９は対応したユーザＩＤ６と関連付けて記憶される。そして受付サーバ３は個人情報７に対応した識別コード９をユーザ端末２に送信し、ユーザ端末２が記憶する。
【００２０】
ユーザが個人情報７を取得する際には、受付サーバ３に対してユーザＩＤ６及び個人情報７に対応した識別コード９を送信する。受付サーバ３は記憶しているユーザＩＤ及び識別コードに基づいてユーザ端末２の認証を行う。ユーザＩＤ及び識別コード９が一致したとき、受付サーバ３は正規のユーザ端末であると認証し、認証の成立を確認する。認証が成立したとき、受付サーバ３は個人情報７に関する識別コード９を保管サーバ４に送信し、識別コード９が付与されている個人情報７を要求する。これにより保管サーバ４は識別コード９に関連した個人情報７を受付サーバ３に送信する。このとき、保管サーバ４はダミーの識別コード９ａが付与されているダミー情報８を受付サーバ３に送信することがない。受付サーバ３が保管サーバ４から個人情報７を受信すると、受付サーバ３はユーザ端末２に個人情報７を送信する。これによりユーザ端末２が個人情報７を取得し、復元することができる。
【００２１】
このようなシステム構造では、個人情報を部分データに分散する必要なく秘匿することができ、ユーザ端末２は分散した部分データを集める必要がなく個人情報を容易に取得することができる。
【００２２】
又、ネット通信網５を介して受付サーバ３に不正アクセスがあり、受付サーバ３内の情報が盗まれても、受付サーバ３はユーザＩＤ６及び識別コード９を記憶しているだけであって個人情報７が存在しない。このため、不正アクセスで得た情報は全く利用価値のないものとなる。
【００２３】
一方、保管サーバ４に対して不正アクセスがあり、保管サーバ４内の情報が盗まれても、個人情報７と複数のダミー情報８とが混在した情報であってダミー情報８の数が圧倒的に多いため、どの情報が真の個人情報であるかの判別が難しく実用性に乏しいものとなる。すなわち個人情報７は数の多いダミー情報８によって無力化された状態で不正アクセスに盗まれる。このため、不正アクセスによって保管サーバ４内の情報を得ても実際に用いることができないものとなる。
【００２４】
本発明においては、個人情報7及びこれに関連したダミー情報８を関連付けて１つのファイル１０、１０ａ、・・・とすることなく、個人情報及びダミー情報を関連付けることのないバラバラの情報として保管サーバ４が記憶することが好ましい。この場合は、個人情報７に付与される識別コード９及びダミー情報８に付与される識別コード９ａは共通したフラグを有することなく、全ての個人情報７及びダミー情報８は無関係に保管サーバ４に記憶される。このような場合においても、それぞれの個人情報７には、一の識別コード９が付与されているため、他の個人情報及びダミー情報との識別を行うことができる。従って、ユーザ端末２からの要求に基づいて受付サーバ３から識別コードが入力されると、その識別コードに対応した個人情報をピックアップすることができ、ユーザ端末２に対して真の個人情報を送信することができる。このように共通したフラグを有することなく、個人情報及びダミー情報をバラバラの情報として保管する形態では、保管サーバ４に不正アクセスがあったとき、情報の数がさらに多くなるため、真の個人情報の判別がさらに難しくなるメリットがある。
【００２５】
図３は、個人情報管理システム１を具体的に説明するブロック図である。受付サーバ３は、受信部３１、送信部３２、記憶部３３、選択部３４、認証部３５、制御部３６を有し、これらがバス３７によって接続されることにより形成されている。この場合、送信部３２は第１送信部３２ａ及び第２送信部３２ｂ、履歴送信部３２ｃを有している。保管サーバ４は、受信部４１、第１送信部４２ａ及び第２送信部４２ｂを有した送信部４２、ダミー情報生成部４３、識別コード生成部４４、情報記憶部４５、ダミー情報格納部４６、更新部４７、制御部４８を有し、これらがバス４９によって接続されて形成されている。
【００２６】
まず、受付サーバ３の構成を説明する。受信部３１はネット通信網５を介して入力されたユーザ端末２、２ａからの情報を受信すると共に、保管サーバ４からの情報を受信する。個人情報の管理の際には、ユーザ端末２はユーザＩＤ６及びユーザの個人情報７を受付サーバ３に送信する。これに対し、ユーザ端末２の選択部３４はユーザ端末２から送信されたユーザＩＤ及びユーザの個人情報の中からユーザＩＤ６だけを選択する。
【００２７】
記憶部３３は選択部３４で選択されたユーザＩＤ６を記憶する。記憶部３３はユーザ端末２からユーザＩＤ６及び個人情報７がセットとなって送信されても、個人情報７を記憶することなく、ユーザＩＤだけを記憶する。又、記憶部３３は後述するように、保管サーバ４から送信されたユーザの識別コード９を記憶する。この識別コード９はユーザＩＤ６と関連付けて記憶される。すなわち、一のユーザのユーザＩＤ６と、そのユーザの識別コード９とが関連付けられて記憶されるものである。以上により、この実施形態の受付サーバ３は、ユーザＩＤ６及び識別コード９を記憶するが、個人情報７は記憶することがない。
【００２８】
認証部３５は、ネット通信網５を介して受信したユーザ端末２からのユーザＩＤ及び識別コードが正規のものであるか否かの認証を行う。この認証は、２回目以降にユーザ端末２から送信されたユーザＩＤ及び識別コードを記憶部３３に記憶されているユーザＩＤ及び識別コードとの比較を行うことによりなされる。ユーザＩＤ及び識別コードが一致したとき、認証部３５はユーザ端末を正規のものとして認証が成立する。ユーザＩＤ又は識別コードのいずれかが異なっていたり、双方が異なっている場合、認証部３５は正規と認証することがなく、認証が不成立となる。
【００２９】
第１送信部３２ａは認証部３５による認証が成立したとき、保管サーバ４に対して同サーバ４内の個人情報７を要求する信号を送信する。第２送信部３２ｂは保管サーバ４から個人情報７を受信したとき、受信した個人情報７をユーザ端末２に送信する。これによりユーザ端末２における個人情報７の復元や再生が可能となる。履歴送信部３２ｃは、ユーザ端末２から２回目以降にユーザＩＤ６及び個人情報７の入力があったときに動作する。履歴送信部３２ｃは２回目以降に入力されたユーザＩＤに対応した識別コード９を記憶部３３から選択し、選択した識別コード９及びユーザ端末２から入力された個人情報７を保管サーバ４に送信する。これにより後述するように保管サーバ４による個人情報の更新が行われる。
【００３０】
制御部３６は以上の受信部３１、送信部３２、記憶部３３、選択部３４及び認証部３５の動作を制御する。
【００３１】
次に、保管サーバ４について説明する。保管サーバ４における受信部４１はネット通信網５からの情報を受信するのに加え、受付サーバ３からの情報を直接に受信する。受信部４１が受付サーバ３から個人情報７を受信したとき、ダミー情報生成部４３によるダミー情報の生成及び識別コード生成部４４による識別コードの付与が行われる。
【００３２】
ダミー情報生成部４３は受信部４１が個人情報７を受信することにより、その個人情報とは無関係なダミー情報を複数生成する。ダミー情報の生成は、ダミー情報生成部４３に格納されているプログラムにより、所定のアルゴリズムに沿って行われる。この実施形態において、かかるダミー情報生成部４３によるダミー情報の生成はダミー情報格納部４６に格納されている文字列をピックアップすることにより行うことができる。これについては後述する。
【００３３】
識別コード生成部４４は受信部４１が受信した個人情報７及びこの個人情報７に関連してダミー情報生成部４３が生成した複数のダミー情報８に対して識別コード９、９ａを所定のアルゴリズムによってそれぞれ付与する。上述したように識別コード９は個人情報７についてのコード、識別コード９ａはダミー情報８についてのコードである。識別コード９、９ａは、一の個人情報７及びそのダミー情報８対して共通したフラグを有するように識別コード９、９ａを生成する。フラグは例えば、図５に示すように識別コード９、９ａの先頭側の複数桁（先頭から３桁の「Ｙ０１」）を共通キーとすることにより形成することができる。
【００３４】
なお、個人情報７及びダミー情報８をファイルとすることなく、バラバラの情報として記憶する形態においては、識別コードに対してフラグが不要となるため、識別コードを容易に生成することが可能となる。
【００３５】
情報記憶部４５は個人情報７及びダミー情報生成部４３が生成した複数のダミー情報８を記憶する。記憶の際には、個人情報及び複数のダミー情報８を識別コード９、９ａによって関連付けて記憶する。例えば、図５に示すように、識別コード９、９ａにおけるフラグ（「Ｙ０１」）を共通キーとし、共通キーとなっている情報７、８を一つのファイル１０として記憶する。一般的に、異なった複数のユーザ端末２、２ａのそれぞれから個人情報７が入力されるため、情報記憶部４５は複数のファイル１０、１０ａ、１０ｂ、・・・を記憶する。
【００３６】
ダミー情報格納部４６はダミー情報生成部４３がダミー情報を生成するためのデータを格納している。ダミー情報８の基となる個人情報７は文字列によって構成されていることからダミー情報８も文字列によって生成される。ダミー情報格納部４６はこの文字列を予め複数格納するものである。格納する文字列としては、「スズキ」、「タナカ」、「イトウ」、・・・等の日本人の苗字を一例として挙げることができる。この複数の文字列をダミー情報格納部４６が格納しており、ダミー情報生成部４３は、所定のアルゴリズムによって複数の文字列をダミー情報格納部４６からピックアップしてダミー情報を生成する。なお、ダミー情報の生成については、他の手段によって生成することが可能である。
【００３７】
送信部４２における第１送信部４１ａは、識別コード生成部４４が生成した識別コード９、９ａの中から個人情報７に対応した識別コード９をピックアップし、この識別コード９を受付サーバ３に送信する。第２送信部４１ｂは、受付サーバ３から個人情報の送信要求があったとき、情報記憶部４５からその個人情報をピックアップした後、要求があった個人情報を受付サーバ３に送信する。
【００３８】
更新部４７は受付サーバ３の履歴送信部３２ｃから  ユーザ端末２の識別コード９が入力されたとき、情報記憶部４５に記憶されている識別コード９と比較し、これらの識別コード９が同じとき、受付サーバ３を介して送信されたユーザ端末２からの個人情報７に更新する。これにより情報記憶部４５が記憶している個人情報がユーザ端末２からの新たな個人情報７に書き換えられる。
【００３９】
そして、個人情報７の更新がなされたとき、ダミー情報生成部４６は更新した個人情報７に対し、新たな複数のダミー情報８を生成する。新たな複数のダミー情報８の生成は上述と同様にして行われる。さらに識別コード生成部４４は更新した個人情報７及び複数のダミー情報に対し、新たな識別コード９、９ａをそれぞれ付与する。情報記憶部４５は更新した個人情報７及び複数のダミー情報８を新たな識別コード９、９ａによって関連付けて記憶する。これにより、一のユーザ端末２の個人情報及びそのダミー情報９が重複して記憶されることがなくなる。
【００４０】
制御部８は、以上の受信部４１、送信部４２、ダミー情報生成部４３、識別コード生成部４４、情報記憶部４５、更新部４７の動作を制御する。
【００４１】
図４は、以上の構成によって個人情報を登録する際のフローチャートを示す。
【００４２】
ステップＳ１では、ユーザ端末２から受付サーバ３に対してユーザＩＤ６及び個人情報７を送信する。これらを受信した受付サーバ３は個人情報７を記憶することなく、ユーザＩＤ６だけを記憶部３３が記憶する（ステップＳ２）。そして受付サーバ３は個人情報７及びユーザＩＤ６を保管サーバ４に送信する。
【００４３】
保管サーバ４は受信した個人情報７に対して複数のダミー情報８を生成する（ステップＳ３）。複数のダミー情報の生成は、個人情報７の文字列に対し、無関係な文字列をダミー情報格納部４６から複数選択することによりなされる。
【００４４】
図５はダミー情報の生成の一例を示し、個人情報７が文字列「ＡＢＣＤ」（例えば、「スズキ」の苗字）のとき、ダミー情報格納部４６から文字列「ＡＢＭＭ」（例えば「タナカ」の苗字）、文字列「ＥＤＣＲ」（例えば、「イトウ」）等の個人情報７の文字列「ＡＢＣＤ」とは無関係な文字列を複数選択することによりダミー情報８を生成する。ダミー情報８は多ければ多いほど、不正アクセスに対して有利である。
【００４５】
識別コード生成部４４は、個人情報７及び生成した複数のダミー情報に対して識別コード９、９ａを付与する（ステップＳ４）。識別コード９は個人情報７についての識別コード、９ａは複数のダミー情報についての識別コードである。これらの識別コードの付与に際し、識別コード生成部４４は一の個人情報７及びそのダミー情報８に対して共通したフラグを有するように識別コード９、９ａを生成する。図５において、「Ｙ０１０００１」、「Ｙ０１０００２」、「Ｙ０１０００３」、・・・、「Ｙ０１０３００」は識別コードであり、識別コード９、９ａの先頭側の複数桁（先頭から３桁の「Ｙ０１」）が共通したフラグであり、先頭の３桁に続く符号が個人情報７及び複数のダミー情報８を識別するコードとなる。
【００４６】
ステップＳ４に続いて、保管サーバ４の情報記憶部４５は個人情報７と複数のダミー情報８とを識別コードと関連付けて記憶して一つのファイル１０とする（ステップＳ５）。例えば図５に示すように、識別コード９、９ａにおけるフラグ（「Ｙ０１」）を共通キーと、この共通キーとなっている情報７、８を一つのファイル１０として記憶する。一般的に、異なった複数のユーザ端末２、２ａのそれぞれから個人情報７が入力されるため、情報記憶部４５は複数のファイル１０、１０ａ、１０ｂ、・・・を記憶することとなる。
【００４７】
なお、複数の個人情報７及び個々の個人情報７に対応した複数のダミー情報８をバラバラの情報として記憶する形態においては、共通キーとしてのフラグ（「Ｙ０１」）は不要であり、この場合には、ファイル別に記憶する必要がなくなる。
【００４８】
ステップＳ５に続いて、保管サーバ４の第１送信部４２ａは、個人情報７に付与した識別コード９を受付サーバ３に送信する。このとき、保管サーバ４はダミー情報８に付与した識別コード９ａを受付サーバ３に送信することはない。受付サーバ３は個人情報７に関する識別コード９を受信し、受付サーバ３の記憶部３３はこの識別コード９とユーザＩＤとを関連付けて記憶する（ステップＳ７）。すなわち図２に示すように、受付サーバ３はユーザ端末２からのユーザＩＤ６及び保管サーバ４からの識別コード９を関連付けて記憶するものである。その後、受付サーバ３の第１送信部３２ａは識別コード９をユーザ端末２に送信する。ユーザ端末２は送信された識別コード９を受信し、記憶する（ステップＳ９）。
【００４９】
このような構成では、受付サーバ３はユーザ端末２のユーザＩＤ６及び識別コード９を記憶して格納するだけであり、個人情報７は記憶することがない。このため、ネット通信網５を介して受付サーバ３に不正アクセスがあり、受付サーバ３内の情報が盗まれても、個人情報７が存在しないため、不正アクセスで得た情報は全く利用価値のないものとなる。
【００５０】
又、保管サーバ４においては、個人情報７と個人情報に無関係なダミー情報８とが混在した情報となって格納されている。この保管サーバ４に対して不正アクセスがあり、保管サーバ４内の情報が盗まれても、個人情報７と複数のダミー情報８とが混在した情報であってダミー情報８の数が圧倒的に多いため、どの情報が真の個人情報であるかの判別が難しく実用性に乏しいものとなる。従って、不正アクセスによって保管サーバ４内の情報を得ても実際に用いることができないものとなる。
【００５１】
一方、ユーザ端末２が個人情報７の復元・再生を行う場合、ユーザ端末２は受付サーバ３に対し、ユーザＩＤ６及び識別コード９を送信する。受付サーバ３の認証部３５は記憶部３３内のユーザＩＤ及び識別コードと比較して認証を行う。ユーザＩＤ及び識別コード９が一致したとき、受付サーバ３は正規のユーザ端末であると認証し、認証の成立を確認する。認証が成立したとき、受付サーバ３の第２送信部３２ｂは個人情報７に関する識別コード９を保管サーバ４に送信し、識別コード９が付与されている個人情報７の送信を要求する。これにより保管サーバ４は識別コード９に関連した個人情報７を情報記憶部４５からピックアップして受付サーバ３に送信する。このときにおいて、保管サーバ４はダミーの識別コード９ａが付与されているダミー情報８を受付サーバ３に送信することがない。受付サーバ３が保管サーバ４から個人情報７を受信すると、受付サーバ３はユーザ端末２に個人情報７を送信する。これによりユーザ端末２が個人情報７を復元・再生することができる。このような個人情報の管理システムでは、個人情報７を部分データに分散する必要なく秘匿することができるため、ユーザ端末２は分散した部分データを集める必要がなく個人情報を容易に取得することができる。
【符号の説明】
【００５２】
１  個人情報管理システム
２  ユーザ端末
３  受付サーバ
４  保管サーバ
５  ネット通信網
６  ユーザＩＤ
７  個人情報
８  ダミー情報
９、９ａ  識別コード
３１  ４１  受信部
３２、４２  送信部
３３  記憶部
３４  選択部
３５  認証部
４３  ダミー情報生成部
４４  識別コード生成部
４５  情報記憶部
４６  ダミー情報格納部
４７更新部
【図１】
0006358578.tif 000002
【図２】
0006358578.tif 000003
【図３】
0006358578.tif 000004
【図４】
0006358578.tif 000005
【図５】
0006358578.tif 000006