(57)【特許請求の範囲】
【請求項１】
複数の属性で構成された個人情報のうち、いずれかの属性の少なくとも一部のデータへのアクセス要求に対して、当該データの提供の可否を制御するアクセス制御装置であって、
前記複数の属性の組み合わせそれぞれに対して、個人が特定される可能性を示す相関係数を記憶する係数記憶部と、
提供済みのデータ及び前記アクセス要求されたデータの属性の組み合わせに対して、前記相関係数に基づいて第１情報量を算出する第１情報量算出部と、
前記第１情報量と第１閾値とに基づいて、前記アクセス要求されたデータの提供可否を判定する判定処理部と、を備えるアクセス制御装置。
【請求項２】
前記第１情報量算出部は、前記提供済みのデータに基づく前記第１情報量に対して、当該提供済みのデータと前記アクセス要求されたデータとの組み合わせのうち、少なくとも最大の相関係数に基づく情報量を累積して前記第１情報量を更新する請求項１に記載のアクセス制御装置。
【請求項３】
前記第１情報量算出部は、前記提供済みのデータ及び前記アクセス要求されたデータの、前記属性毎の全データに対する割合に応じた重み付けをして、前記第１情報量を算出する請求項１又は請求項２に記載のアクセス制御装置。
【請求項４】
前記提供済みのデータと前記アクセス要求されたデータとの、前記属性毎の距離の合計に基づく第２情報量を算出する第２情報量算出部を備え、
前記判定処理部は、前記第２情報量と第２閾値とに基づいて、前記アクセス要求されたデータの提供可否を判定する請求項１から請求項３のいずれかに記載のアクセス制御装置。
【請求項５】
データの提供の可否に関する条件を定めたポリシーを記憶するポリシー記憶部を備え、
前記判定処理部は、前記アクセス要求されたデータを前記ポリシーと照合し、当該データの提供の可否を判定する請求項１から請求項４のいずれかに記載のアクセス制御装置。
【請求項６】
コンピュータの制御部が、複数の属性で構成された個人情報のうち、いずれかの属性の少なくとも一部のデータへのアクセス要求に対して、当該データの提供の可否を制御するアクセス制御方法であって、
前記コンピュータは、前記複数の属性の組み合わせそれぞれに対して、個人が特定される可能性を示す相関係数を記憶する係数記憶部を備え、
提供済みのデータ及び前記アクセス要求されたデータの属性の組み合わせに対して、前記相関係数に基づいて第１情報量を算出する第１情報量算出ステップと、
前記第１情報量と第１閾値とに基づいて、前記アクセス要求されたデータの提供可否を判定する判定処理ステップと、を実行するアクセス制御方法。
【請求項７】
コンピュータの制御部に、複数の属性で構成された個人情報のうち、いずれかの属性の少なくとも一部のデータへのアクセス要求に対して、当該データの提供の可否を制御させるためのアクセス制御プログラムであって、
前記コンピュータは、前記複数の属性の組み合わせそれぞれに対して、個人が特定される可能性を示す相関係数を記憶する係数記憶部を備え、
提供済みのデータ及び前記アクセス要求されたデータの属性の組み合わせに対して、前記相関係数に基づいて第１情報量を算出する第１情報量算出ステップと、
前記第１情報量と第１閾値とに基づいて、前記アクセス要求されたデータの提供可否を判定する判定処理ステップと、を実行させるためのアクセス制御プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、個人情報へのアクセスの可否を制御する装置、方法及びプログラムに関する。
【背景技術】
【０００２】
近年、ユーザに対して有用なサービスを提供するために、ビッグデータ、特に個人情報（パーソナルデータ）を活用する取り組みがなされている。
パーソナルデータの活用に際しては、個人のプライバシに配慮する必要がある。例えばＯＥＣＤ（Ｏｒｇａｎｉｓａｔｉｏｎ  ｆｏｒ  Ｅｃｏｎｏｍｉｃ  Ｃｏ−ｏｐｅｒａｔｉｏｎ  ａｎｄ  Ｄｅｖｅｌｏｐｍｅｎｔ：経済協力開発機構）のガイドラインによれば、収集されたパーソナルデータの利用目的は被収集者（ユーザ）に明らかにされるべきであり、また、パーソナルデータ収集者は、収集したパーソナルデータを被収集者から同意を得ている利用目的以外の目的で利用してはならない。
【０００３】
一部のサービスでは、パーソナルデータの提供可否をユーザが選択できるアクセス制御機能を提供しているが、サービス毎に設定することはユーザにとって負担が大きい。そこで、ＰＤＳ（Ｐｒｉｖａｃｙ  Ｄａｔａ  Ｓｅｒｖｉｃｅ）のように、パーソナルデータへのアクセス制御を一元化するフレームワークが提案されている（例えば、非特許文献１及び２参照）。
【先行技術文献】
【非特許文献】
【０００４】
【非特許文献１】Ｗ３Ｃ，  “Ｔｈｅ  ｐｌａｔｆｏｒｍ  ｆｏｒ  ｐｒｉｖａｃｙ  ｐｒｅｆｅｒｅｎｃｅｓ  １．０  （Ｐ３Ｐ１．０）  ｓｐｅｃｉｆｉｃａｔｉｏｎ，”  ２００２．
【非特許文献２】Ｌ．  Ｆ．  Ｃｒａｎｏｒ，  ｅｔ  ａｌ．，  “Ｕｓｅ  ｏｆ  ａ  Ｐ３Ｐ  ｕｓｅｒ  ａｇｅｎｔ  ｂｙ  ｅａｒｌｙ  ａｄｏｐｔｅｒｓ”，  Ｉｎ  Ｐｒｏｃｅｅｄｉｎｇｓ  ｏｆ  ｔｈｅ  ２００２  ＡＣＭ  ｗｏｒｋｓｈｏｐ  ｏｎ  Ｐｒｉｖａｃｙ  ｉｎ  ｔｈｅ  Ｅｌｅｃｔｒｏｎｉｃ  Ｓｏｃｉｅｔｙ，  ＷＰＥＳ  ’０２，  ｐｐ．１−１０，  ２００２．
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、パーソナルデータの提供の可否を判断する際に、既に提供したデータの累積との関係によって、個人が特定されるリスクは変動する。したがって、パーソナルデータにアクセスされる状況に応じて動的に判断の条件を変更することが望まれるが、このような動的な制御ポリシーを設定することは容易ではなく、ユーザによる判断に任されていた。
【０００６】
本発明は、提供したパーソナルデータにより個人が特定されるリスクを回避するために、パーソナルデータへのアクセスを適切に制御できるアクセス制御装置、アクセス制御方法及びアクセス制御プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００７】
本発明に係るアクセス制御装置は、複数の属性で構成された個人情報のうち、いずれかの属性の少なくとも一部のデータへのアクセス要求に対して、当該データの提供の可否を制御する装置であって、前記複数の属性の組み合わせそれぞれに対して、個人が特定される可能性を示す相関係数を記憶する係数記憶部と、提供済みのデータ及び前記アクセス要求されたデータの属性の組み合わせに対して、前記相関係数に基づいて第１情報量を算出する第１情報量算出部と、前記第１情報量と第１閾値とに基づいて、前記アクセス要求されたデータの提供可否を判定する判定処理部と、を備える。
【０００８】
前記第１情報量算出部は、前記提供済みのデータに基づく前記第１情報量に対して、当該提供済みのデータと前記アクセス要求されたデータとの組み合わせのうち、少なくとも最大の相関係数に基づく情報量を累積して前記第１情報量を更新してもよい。
【０００９】
前記第１情報量算出部は、前記提供済みのデータ及び前記アクセス要求されたデータの、前記属性毎の全データに対する割合に応じた重み付けをして、前記第１情報量を算出してもよい。
【００１０】
前記アクセス制御装置は、前記提供済みのデータと前記アクセス要求されたデータとの、前記属性毎の距離の合計に基づく第２情報量を算出する第２情報量算出部を備え、前記判定処理部は、前記第２情報量と第２閾値とに基づいて、前記アクセス要求されたデータの提供可否を判定してもよい。
【００１１】
前記アクセス制御装置は、データの提供の可否に関する条件を定めたポリシーを記憶するポリシー記憶部を備え、前記判定処理部は、前記アクセス要求されたデータを前記ポリシーと照合し、当該データの提供の可否を判定してもよい。
【００１２】
本発明に係るアクセス制御方法は、コンピュータの制御部が、複数の属性で構成された個人情報のうち、いずれかの属性の少なくとも一部のデータへのアクセス要求に対して、当該データの提供の可否を制御する方法であって、前記コンピュータは、前記複数の属性の組み合わせそれぞれに対して、個人が特定される可能性を示す相関係数を記憶する係数記憶部を備え、提供済みのデータ及び前記アクセス要求されたデータの属性の組み合わせに対して、前記相関係数に基づいて第１情報量を算出する第１情報量算出ステップと、前記第１情報量と第１閾値とに基づいて、前記アクセス要求されたデータの提供可否を判定する判定処理ステップと、を実行する。
【００１３】
本発明に係るアクセス制御プログラムは、コンピュータの制御部に、複数の属性で構成された個人情報のうち、いずれかの属性の少なくとも一部のデータへのアクセス要求に対して、当該データの提供の可否を制御させるためのプログラムであって、前記コンピュータは、前記複数の属性の組み合わせそれぞれに対して、個人が特定される可能性を示す相関係数を記憶する係数記憶部を備え、提供済みのデータ及び前記アクセス要求されたデータの属性の組み合わせに対して、前記相関係数に基づいて第１情報量を算出する第１情報量算出ステップと、前記第１情報量と第１閾値とに基づいて、前記アクセス要求されたデータの提供可否を判定する判定処理ステップと、を実行させる。
【発明の効果】
【００１４】
本発明によれば、提供したパーソナルデータにより個人が特定されるリスクを回避するために、パーソナルデータへのアクセスを適切に制御できる。
【図面の簡単な説明】
【００１５】
【図１】実施形態に係るアクセス制御装置の機能構成を示すブロック図である。
【図２】実施形態に係る相関係数を格納したテーブルの一例を示す図である。
【図３】実施形態に係るアクセス制御装置の処理を示すフローチャートである。
【発明を実施するための形態】
【００１６】
以下、本発明の実施形態の一例について説明する。
本実施形態のアクセス制御装置１は、データ提供者の複数の属性で構成された個人情報のうち、データ利用者から、いずれかの属性の少なくとも一部のパーソナルデータへのアクセス要求を受け付ける。アクセス制御装置１は、この要求に対して、データ提供者からのパーソナルデータの提供の可否を判定した後、提供が許可された場合にのみ、要求されたパーソナルデータを提供する制御を行う。
【００１７】
ここで、個人情報を構成する属性は、単独で又は組み合わせることで個人を特定可能な情報（パーソナルデータ）の種類であり、例えば、年齢、性別、住所、職業、最寄り駅、通勤（通学）場所、出身地、趣味、所有車種等、多岐に渡る。
【００１８】
図１は、本実施形態に係るアクセス制御装置１の機能構成を示すブロック図である。
アクセス制御装置１は、サーバ装置又はパーソナルコンピュータ等の情報処理装置（コンピュータ）であり、データ提供者２とデータ利用者３との間に設置されるゲートウェイとして機能する。
【００１９】
アクセス制御装置１は、記憶部１０と、制御部２０と、通信部３０とを備える。また、アクセス制御装置１は、ユーザインタフェースとしての入力部及び出力部等、情報処理装置としての各種機能部を備える。
【００２０】
記憶部１０は、ハードウェア群をアクセス制御装置１として機能させるための各種プログラム、及び各種データ等の記憶領域であり、ＲＯＭ、ＲＡＭ、フラッシュメモリ又はハードディスク（ＨＤＤ）等であってよい。具体的には、記憶部１０は、本実施形態の各機能を制御部２０に実行させるアクセス制御プログラムを記憶する。
また、記憶部１０は、ポリシー記憶部１１と、係数記憶部１２と、累積情報記憶部１３とを備える。
【００２１】
制御部２０は、アクセス制御装置１の全体を制御する部分であり、記憶部１０に記憶された各種プログラムを適宜読み出して実行することにより、本実施形態における各種機能を実現している。制御部２０は、ＣＰＵであってよい。
また、制御部２０は、第１情報量算出部２１と、第２情報量算出部２２と、判定処理部２３とを備える。
【００２２】
通信部３０は、データ提供者２及びデータ利用者３とデータの送受信を行う機能部であり、データ利用者３からの要求をデータ提供者２へ送信すると共に、データ提供者２から受信したパーソナルデータをデータ利用者３へ送信する。
【００２３】
ポリシー記憶部１１は、データの提供の可否に関する条件を定めた静的なポリシーを記憶する。このポリシーは、例えば個人情報の少なくとも属性毎又は属性の組み合わせ毎に、データの提供の可否がデータ提供者２により定義される。
【００２４】
係数記憶部１２は、個人情報を構成する複数の属性の組み合わせそれぞれに対して、個人が特定される可能性を数値化した相関係数を記憶する。
【００２５】
図２は、本実施形態に係る相関係数を格納したテーブルの一例を示す図である。
この例では、個人情報は、属性Ａ〜Ｅの５種類で構成されている。ｉ番目の属性とｊ番目の属性との組み合わせに対する相関係数は、テーブルのｉ行ｊ列又はｊ行ｉ列の数値で示されている。
【００２６】
例えば、属性Ｄと属性Ｅとの組み合わせに対する相関係数は「５」と定義されている。また、各属性Ａ〜Ｅが単独で提供される場合を想定して、同一属性の組み合わせ、例えば属性Ａと属性Ａとの組み合わせの相関係数「１」も定義されている。
【００２７】
通常、パーソナルデータは、単独の属性よりも、組み合わせることにより個人が特定されるリスクが高まる。また、属性の組み合わせ方に応じてリスクも変動する。したがって、単独の属性の相関係数よりも、異なる属性の組み合わせに対する相関係数が大きく設定され、さらに、組み合わせに応じて最大値までの数値が段階的に設定される。
【００２８】
累積情報記憶部１３は、データ提供者２が既にいずれかのデータ利用者３へ提供したパーソナルデータに関する、属性及び後述の第１情報量の累積値を記憶し、第１情報量算出部２１に提供する。さらに、累積情報記憶部１３は、提供済みのパーソナルデータそのものを記憶することにより、第２情報量算出部２２に提供する。
【００２９】
第１情報量算出部２１は、提供済みのデータ及びアクセス要求されたデータの属性の組み合わせに対して、相関係数に基づいて第１情報量を算出する。
例えば、図２のテーブルにより相関係数が定義されている場合に、まず、既に属性Ｄのデータと属性Ｅのデータとが提供済みであれば、相関係数「５」が抽出される。ここでは、第１情報量の算出方法の一例として、第１情報量は相関係数と等しいものとして説明する。すなわち、既に提供されているパーソナルデータの第１情報量は「５」である。
【００３０】
次に、新たに属性Ｂのデータが要求された場合、第１情報量算出部２１は、属性Ｂと既に提供済みの属性Ｄとの組み合わせに対して相関係数「８」を抽出し、属性Ｂと既に提供済みの属性Ｅとの組み合わせに対して相関係数「６」を抽出する。そして、第１情報量算出部２１は、既存の累積された情報量「５」に対して新たな情報量「８」及び「６」を加算し、第１情報量「１９」を算出する。
【００３１】
なお、相関係数に基づく第１情報量の算出方法は、上述のように各組み合わせの情報量の総和として求める他、乗算により累積する方法でもよい。
また、第１情報量算出部２１は、提供済みのデータに基づく第１情報量に対して、この提供済みのデータとアクセス要求されたデータとの組み合わせのうち、少なくとも最大の相関係数に基づく情報量を累積して第１情報量を更新してもよい。例えば、上述の例（図２）で、既に属性Ｄのデータと属性Ｅのデータとが提供済みの場合に、新たに属性Ｂのデータを提供する際は、第１情報量算出部２１は、属性Ｂと属性Ｄとの組み合わせの相関係数「８」と、属性Ｂと属性Ｅとの組み合わせの相関係数「６」とを比較し、より大きな相関係数「８」に基づいて第１情報量を更新（例えば、５＋８＝１３）してもよい。
【００３２】
さらに、第１情報量算出部２１は、提供済みのデータ及びアクセス要求されたデータの、属性毎の全データに対する割合に応じた重み付けをして、第１情報量を算出してもよい。各属性において、例えば住所の全体を提供する場合と、一部分（都道府県等）を提供する場合とでは、その情報量は異なるため、第１情報量算出部２１は、データ量に応じて個人が特定されるリスクを重み付けして定量化できる。
【００３３】
第２情報量算出部２２は、提供済みのデータとアクセス要求されたデータとの、属性毎の距離の合計に基づく第２情報量を算出する。
第２情報量は、例えば、提供済みのデータに対する編集距離が採用され、属性毎に算出されて合計される。編集距離は、データ間の差分の文字数等を表す値であり、例えば、住所又は郵便番号等の属性では、増えた文字数に相当する値である。この第２情報量により、新たに提供されるパーソナルデータの絶対量が定量的に表される。
【００３４】
判定処理部２３は、算出された第１情報量と第１閾値とに基づいて、また、第２情報量と第２閾値とに基づいて、アクセス要求されたデータの提供可否を判定する。
例えば、判定処理部２３は、算出された第１情報量が第１閾値を超えた場合、アクセス要求されたデータの提供を禁止する。また、判定処理部２３は、第２情報量が第２閾値を超えた場合、アクセス要求されたデータの提供を禁止する。
さらに、判定処理部２３は、アクセス要求されたデータをポリシー記憶部１１のポリシーと照合し、このデータの提供の可否を判定する。
【００３５】
なお、判定処理部２３は、これらの判定結果のいずれかによりデータの提供が禁止された場合、他の判定結果が許可であっても、データの提供を最終的に禁止するように制御する。判定処理部２３は、全ての判定結果が許可である場合に限り、データの提供を許可するよう制御する。
【００３６】
図３は、本実施形態に係るアクセス制御装置１の処理を示すフローチャートである。
本処理は、パーソナルデータへのアクセス要求がある度に実行され、データ提供者２からデータ利用者３への対象データの送信が制御される。なお、アクセス要求は、データ利用者３からの要求には限られず、データ提供者２からの自発的な要求であってもよい。
【００３７】
ステップＳ１において、判定処理部２３は、アクセス要求されたデータをポリシー記憶部１１のポリシーと照合し、このデータの提供を許可するか否かを判定する。この判定がＹＥＳの場合、処理はステップＳ２に移り、判定がＮＯの場合、判定処理部２３は、アクセス要求されたデータの提供を禁止して処理を終了する。
【００３８】
ステップＳ２において、第１情報量算出部２１は、累積情報記憶部１３から、データ提供者２が既に外部へ提供したパーソナルデータの累積情報を取得する。
【００３９】
ステップＳ３において、第１情報量算出部２１は、係数記憶部１２の相関係数に基づいて、既に提供済みのパーソナルデータに関する第１情報量に対して、アクセス要求されたパーソナルデータを加味して、要求通りにデータ提供した場合の第１情報量を算出する。
【００４０】
ステップＳ４において、判定処理部２３は、ステップＳ３で算出された第１情報量が第１閾値以下であるか否かを判定する。この判定がＹＥＳの場合、処理はステップＳ５に移り、判定がＮＯの場合、判定処理部２３は、アクセス要求されたデータの提供を禁止して処理を終了する。
【００４１】
ステップＳ５において、第２情報量算出部２２は、データ提供者２が既に外部へ提供したパーソナルデータとの編集距離等の属性ごとの距離の累積情報に基づいて、アクセス要求されたパーソナルデータの第２情報量を算出する。
【００４２】
ステップＳ６において、判定処理部２３は、ステップＳ５で算出された第２情報量が第２閾値以下であるか否かを判定する。この判定がＹＥＳの場合、処理はステップＳ７に移り、判定がＮＯの場合、判定処理部２３は、アクセス要求されたデータの提供を禁止して処理を終了する。
【００４３】
ステップＳ７において、制御部２０は、アクセス要求されたデータの提供を許可し、このデータをデータ利用者３へ送信する。
【００４４】
ステップＳ８において、制御部２０は、ステップＳ７で送信したデータに関する、属性及び累積した第１情報量等の累積情報を累積情報記憶部１３に記憶する。
【００４５】
本実施形態によれば、アクセス制御装置１は、個人情報を構成する複数の属性の組み合わせに応じて定義される相関係数に基づいて、提供するデータの情報量（第１情報量）を算出できる。アクセス制御装置１は、この情報量を閾値（第１閾値）と比較することで、過去からの提供データの累積状況によって動的に変動する判定基準を定量化し、アクセス要求されたデータを提供してよいかどうかを容易に判定できる。
したがって、アクセス制御装置１は、提供したパーソナルデータにより個人が特定されるリスクを回避するために、パーソナルデータへのアクセスを適切に制御できる。また、アクセス制御装置１は、この判定を自動化することにより、パーソナルデータの提供者自身による設定及び判断の労力を低減でき、利便性を向上できる。
【００４６】
また、アクセス制御装置１は、第１情報量の算出方法として、加算、乗算等の演算種類の選択に加えて、最大の相関係数に基づいて情報量を累積する等、データ提供者の要求及び個人情報の内容等の状況に応じて、適宜判断基準を設定できる。
【００４７】
さらに、アクセス制御装置１は、個人情報を構成する属性毎に、一部のデータを提供する場合も想定し、第１情報量を算出する際の重み付けを行うので、個人が特定されるリスクの推定精度を高め、より適切なアクセス制御を実現できる。
【００４８】
アクセス制御装置１は、提供済みのデータとアクセス要求されたデータとの距離に基づいて、アクセス要求されたデータの情報量（第２情報量）を算出する。アクセス制御装置１は、この情報量を閾値（第２閾値）と比較することで、提供するデータそのものによるリスクの度合いを定量化し、パーソナルデータへのアクセスをより適切に制御できる。
【００４９】
また、アクセス制御装置１は、第１情報量及び第２情報量に基づく判定に加えて、ユーザにより設定された既存の静的なプライバシポリシーに基づく判定も併用し、いずれかで個人特定のリスクが高いと判定されれば、データの提供を禁止する。アクセス制御装置１は、複数の判定基準を用いて、パーソナルデータへのアクセスをより適切に制御できる。
【００５０】
以上、本発明の実施形態について説明したが、本発明は前述した実施形態に限るものではない。また、本実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、本実施形態に記載されたものに限定されるものではない。
【００５１】
本実施形態では、相関係数は２次元のテーブルに記憶されたが、これには限られず、３つ以上の属性の組み合わせを表現できる３次元以上のデータベースが用いられてもよい。
【００５２】
また、情報量（第１情報量又は第２情報量）に対しては、属性の種類に応じて、さらに、提供データの詳細度合い（例えば、階層構造のレベル）に応じた重み付けを行い、情報量の精度を向上してもよい。
【００５３】
アクセス制御装置１による制御方法は、ソフトウェアにより実現される。ソフトウェアによって実現される場合には、このソフトウェアを構成するプログラムが、情報処理装置（アクセス制御装置１）にインストールされる。また、これらのプログラムは、ＣＤ−ＲＯＭのようなリムーバブルメディアに記録されてユーザに配布されてもよいし、ネットワークを介してユーザのコンピュータにダウンロードされることにより配布されてもよい。さらに、これらのプログラムは、ダウンロードされることなくネットワークを介したＷｅｂサービスとしてユーザのコンピュータ（アクセス制御装置１）に提供されてもよい。
【符号の説明】
【００５４】
１  アクセス制御装置
１０  記憶部
１１  ポリシー記憶部
１２  係数記憶部
１３  累積情報記憶部
２０  制御部
２１  第１情報量算出部
２２  第２情報量算出部
２３  判定処理部
３０  通信部
【図１】
0006321559.tif 000002
【図２】
0006321559.tif 000003
【図３】
0006321559.tif 000004