(57)【要約】【課題】プライバシポリシに従って適切かつ自動的に個人情報を運用することができるようにする。【解決手段】プライバシポリシにおける個人情報の表記とＨＴＭＬ文書等における個人情報の表記との対応が記述されたマップファイルをＷＷＷサーバに記憶しておく。ＨＴＴＰリクエストの受信時に、ＨＴＴＰリクエストに記述されているＨＴＭＬ文書の個人情報の表記に対応するプライバシポリシにおける個人情報の表記をマップファイルから取得し、その個人情報の表記により個人情報がポリシに関する制御の対象となっているかどうかを判断し、制御対象である場合は暗号化等の制御を行う。またＷＷＷサーバに付設されるデータベースの仕様とは無関係のアクセス制御ファイルを記憶しておき、このファイルに基づいてＷｅｂアプリケーションからデータベースへのアクセス制御を行う。【選択図】図４
2005284353.tif 000002
【特許請求の範囲】
【請求項１】
ＣＰＵと、メモリと、
前記ＣＰＵが前記メモリに記憶されているプログラムを実行することにより実現される、
Ｗｅｂアプリケーション、ＨＴＴＰサーバ、個人情報処理部、個人情報アクセス制御部、を有し、
プライバシポリシファイル、前記プライバシポリシファイルにおける個人情報の表記と前記ＨＴＭＬ文書又は前記Ｗｅｂアプリケーションを実現しているプログラムのソースコードにおける個人情報の表記との対応が記述されたマップファイル、を記憶し、
前記個人情報処理部は、前記ＨＴＴＰサーバが受信した前記ＨＴＴＰリクエストに記述されているＨＴＭＬ文書の個人情報の表記に対応する前記プライバシポリシファイルにおける個人情報の表記を前記マップファイルを参照することにより取得し、
前記個人情報処理部は、取得した前記個人情報の表記を前記プライバシポリシファイルに対照することにより前記ＨＴＭＬ文書に記述されている前記個人情報が前記プライバシポリシファイルにおいてポリシに関する制御の対象となっているかどうかを判断し、
前記個人情報処理部は、前記ＨＴＴＰリクエストに記述されている前記個人情報が、前記プライバシポリシファイルにおいてポリシに関する制御の対象となっていると判断した場合に前記ＨＴＴＰリクエストに記述されている前記個人情報を前記個人情報アクセス制御部に通知し、
前記個人情報アクセス制御部は、前記ＨＴＴＰリクエストに記述されている前記個人情報を暗号化して前記個人情報処理部に通知し、
前記個人情報処理部は、暗号化された前記個人情報を前記ＨＴＴＰサーバに通知し、
前記ＨＴＴＰサーバは、暗号化された前記個人情報を前記Ｗｅｂアプリケーションに通知すること、
を特徴とする個人情報利用システム。
【請求項２】
ＣＰＵと、メモリと、
前記ＣＰＵが前記メモリに記憶されているプログラムを実行することにより実現される、Ｗｅｂアプリケーション、ＨＴＴＰサーバ、個人情報処理部、個人情報アクセス制御部、データベース、を有し、
プライバシポリシファイル、前記プライバシポリシファイルにおける個人情報の表記と前記ＨＴＭＬ文書又は前記Ｗｅｂアプリケーションを実現しているプログラムのソースコードにおける個人情報の表記との対応が記述されたマップファイル、及びプライバシポリシファイルにおけるポリシに関する制御の対象となるＷｅｂアプリケーションを特定する情報と前記プライバシポリシファイルの識別子と許可情報とが記述されたアクセス制御ポリシファイル、を記憶し、
前記Ｗｅｂアプリケーションは、前記個人情報アクセス制御部に対して個人情報に対するアクセス要求を通知し、
前記個人情報アクセス制御部は、前記アクセス要求の対象となっている前記個人情報の表記に対応する前記プライバシポリシファイルにおける前記個人情報の表記を、前記マップファイル、前記プライバシポリシファイル、及び前記アクセス制御ポリシファイルを参照することにより取得し、
前記個人情報アクセス制御部は、取得した前記個人情報の表記を前記プライバシポリシファイルに対照することにより前記アクセス要求の対象となっている前記個人情報が前記プライバシポリシファイルにおいてポリシに関する制御の対象となっているかどうかを判断し、
前記個人情報アクセス制御部は、前記アクセス要求の対象となっている前記個人情報が前記プライバシポリシファイルにおいてポリシに関する制御の対象となっていると判断した場合には、さらに、前記アクセス要求を通知してきた前記Ｗｅｂアプリケーションがポリシの制御の対象となっているかどうかを前記アクセス制御ポリシファイルを参照することにより判断し、
前記個人情報アクセス制御部は、前記アクセス要求を通知してきた前記Ｗｅｂアプリケーションが前記アクセス制御ポリシファイルにおいてポリシの制御の対象となっていると判断した場合には、前記制御に従って前記アクセス要求を処理すること、
を特徴とする個人情報利用システム。
【請求項３】
請求項２に記載の個人情報利用システムであって、
前記個人情報に対するアクセス要求は、前記データベースからの個人情報の読み込みに関する要求であり、
前記個人情報アクセス制御部が前記ポリシの前記制御に従って行う前記アクセス要求についての前記処理は、個人情報を前記データベースから読み込んで復号化し、復号化した個人情報を前記Ｗｅｂアプリケーションに通知する処理であること、
を特徴とする個人情報利用システム。
【請求項４】
請求項２に記載の個人情報利用システムであって、
前記個人情報に対するアクセス要求は、前記データベースへの個人情報の書き込みに関する要求であり、
前記個人情報アクセス制御部が前記ポリシの前記制御に従って行う前記アクセス要求についての前記処理は、書き込もうとする個人情報を暗号化して前記データベースに書き込む処理であること、
を特徴とする個人情報利用システム。
【請求項５】
請求項１に記載の個人情報利用システムであって、
前記個人情報処理部は、前記ＨＴＴＰリクエストに記述されている前記個人情報がポリシに関する制御の対象となっているかどうかを判断した際における前記判断の結果を示すログ情報を生成しこれを記憶するログ記録部を備えること、
を特徴とする個人情報利用システム。
【請求項６】
請求項２〜４のいずれかに記載の個人情報利用システムであって、
前記アクセス要求を送信してきた前記Ｗｅｂアプリケーションが前記アクセス制御ポリシファイルにおいてポリシに関する制御の対象となっているかを判断した際における前記判断の結果を示すログ情報を生成しこれを記憶するログ記録部を備えること、
を特徴とする個人情報利用システム。
【請求項７】
ＣＰＵと、メモリと、
前記ＣＰＵが前記メモリに記憶されているプログラムを実行することにより実現される、
Ｗｅｂアプリケーション、ＨＴＴＰサーバ、個人情報処理部、個人情報アクセス制御部、を有し、
プライバシポリシファイル、前記プライバシポリシファイルにおける個人情報の表記と前記ＨＴＭＬ文書又は前記Ｗｅｂアプリケーションを実現しているプログラムのソースコードにおける個人情報の表記との対応が記述されたマップファイル、を記憶している個人情報利用システムの制御方法であって、
前記個人情報処理部は、前記ＨＴＴＰサーバが受信した前記ＨＴＴＰリクエストに記述されているＨＴＭＬ文書の個人情報の表記に対応する前記プライバシポリシファイルにおける個人情報の表記を前記マップファイルを参照することにより取得し、
前記個人情報処理部は、取得した前記個人情報の表記を前記プライバシポリシファイルに対照することにより前記ＨＴＭＬ文書に記述されている前記個人情報が前記プライバシポリシファイルにおいてポリシに関する制御の対象となっているかどうかを判断し、
前記個人情報処理部は、前記ＨＴＴＰリクエストに記述されている前記個人情報が、前記プライバシポリシファイルにおいてポリシに関する制御の対象となっていると判断した場合に前記ＨＴＴＰリクエストに記述されている前記個人情報を前記個人情報アクセス制御部に通知し、
前記個人情報アクセス制御部は、前記ＨＴＴＰリクエストに記述されている前記個人情報を暗号化して前記個人情報処理部に通知し、
前記個人情報処理部は、暗号化された前記個人情報を前記ＨＴＴＰサーバに通知し、
前記ＨＴＴＰサーバは、暗号化された前記個人情報を前記Ｗｅｂアプリケーションに通知すること、
を特徴とする個人情報利用システムの制御方法。
【請求項８】
ＣＰＵと、メモリと、
前記ＣＰＵが前記メモリに記憶されているプログラムを実行することにより実現される、Ｗｅｂアプリケーション、ＨＴＴＰサーバ、個人情報処理部、個人情報アクセス制御部、データベース、を有し、
プライバシポリシファイル、前記プライバシポリシファイルにおける個人情報の表記と前記ＨＴＭＬ文書又は前記Ｗｅｂアプリケーションを実現しているプログラムのソースコードにおける個人情報の表記との対応が記述されたマップファイル、及びプライバシポリシファイルにおけるポリシに関する制御の対象となるＷｅｂアプリケーションを特定する情報と前記プライバシポリシファイルの識別子と許可情報とが記述されたアクセス制御ポリシファイル、を記憶している個人情報利用システムの制御方法であって、
前記Ｗｅｂアプリケーションは、前記個人情報アクセス制御部に対して個人情報に対するアクセス要求を通知し、
前記個人情報アクセス制御部は、前記アクセス要求の対象となっている前記個人情報の表記に対応する前記プライバシポリシファイルにおける前記個人情報の表記を、前記マップファイル、前記プライバシポリシファイル、及び前記アクセス制御ポリシファイルを参照することにより取得し、
前記個人情報アクセス制御部は、取得した前記個人情報の表記を前記プライバシポリシファイルに対照することにより前記アクセス要求の対象となっている前記個人情報が前記プライバシポリシファイルにおいてポリシに関する制御の対象となっているかどうかを判断し、
前記個人情報アクセス制御部は、前記アクセス要求の対象となっている前記個人情報が前記プライバシポリシファイルにおいてポリシに関する制御の対象となっていると判断した場合には、さらに、前記アクセス要求を通知してきた前記Ｗｅｂアプリケーションがポリシの制御の対象となっているかどうかを前記アクセス制御ポリシファイルを参照することにより判断し、
前記個人情報アクセス制御部は、前記アクセス要求を通知してきた前記Ｗｅｂアプリケーションが前記アクセス制御ポリシファイルにおいてポリシの制御の対象となっていると判断した場合には、前記制御に従って前記アクセス要求を処理すること、
を特徴とする個人情報利用システムの制御方法。
【請求項９】
請求項１または２に記載の前記マップファイルを生成する装置であって、
ＣＰＵと、メモリと、表示装置と、
個人情報に関するプライバシポリシが記述されたＰ３Ｐポリシファイル、及び、個人情報を取り扱う画面を生成するためのＨＴＭＬ文書又はＷｅｂアプリケーションを実現するプログラムのソースコードの入力を受け付ける入力インタフェースと、を有し、
前記ＣＰＵが前記メモリに記憶されているプログラムを実行することにより実現される、前記プライバシポリシファイルにおける個人情報の表記と、前記ＨＴＭＬ文書又は前記ソースコードに記述されている個人情報の表記との類似度に基づいて両者の仮の対応づけを行い、前記仮の対応づけを前記表示装置に表示するとともに、前記仮の対応づけを修正するデータを受け付けて、受け付けた前記データに基づいて前記仮の対応づけを修正することによりマップファイルを生成するマップファイル処理部、
を備えることを特徴とするマップファイル生成装置。
【請求項１０】
請求項２に記載の前記アクセス制御ポリシファイルを生成する装置であって、
ＣＰＵと、メモリと、表示装置と、
プライバシポリシファイル、Ｗｅｂアプリケーションを実現するプログラムのソースコード、前記プライバシポリシファイルにおける個人情報の表記と、前記ソースコードに記述されている個人情報の表記との対応が記述されたマップファイル、個人情報の利用目的及び許可情報が記述されたルールファイルの入力を受け付ける入力インタフェースと、
を有し、
前記ＣＰＵが前記メモリに記憶されているプログラムを実行することにより実現される、
前記ソースコードを解析することにより前記Ｗｅｂアプリケーションがアクセスする個人情報を特定するアクセス対象特定部、
前記プライバシポリシファイルに基づいて、前記アクセス対象特定部により特定された前記個人情報の収集に関する利用目的を示す情報を取得するプライバシポリシファイル処理部、
前記利用目的取得部により取得した前記利用目的に対応する許可情報を前記ルールファイルから取得し、前記Ｗｅｂアプリケーションを特定する情報、前記プライバシポリシファイルの識別子、及び前記許可情報、が記述された仮のアクセス制御ポリシファイルを生成して表示し、前記仮のアクセス制御ポリシファイルを修正するデータを受け付けて、受け付けた前記データに基づいて前記仮のアクセス制御ポリシファイルを修正することによりアクセス制御ポリシファイルを生成するアクセス制御部、
を有することを特徴とするアクセス制御ポリシファイル生成装置。
【請求項１１】
請求項１０に記載のアクセス制御ポリシファイル生成装置であって、
前記Ｗｅｂアプリケーションを実現するプログラムのソースコードを、当該Ｗｅｂアプリケーションがデータベースにアクセスする場合に前記個人情報アクセス制御部を経由してアクセスするように修正するソースコード修正部、
を有することを特徴とするアクセス制御ポリシファイル生成装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、プライバシポリシに従って適切かつ自動的に個人情報を運用することができる個人情報利用システム、個人情報利用システムの制御方法、マップファイル生成装置、及びアクセス制御ポリシファイル生成装置に関する。
【背景技術】
【０００２】
昨今、企業や団体などの多くの組織がＷＷＷ（World Wide Web）システムを利用して一般利用者に対する商品販売や情報・サービス提供などの業務を行っている。これらのサービスの中には、ＷＷＷシステムの利用者である顧客の個人情報を収集しそれを利用するものも多く存在する。利用者が個人情報登録用のＷｅｂアプリケーションにアクセスして登録した個人情報は、例えば顧客の嗜好分析などのマーケティングのために利用されたり、より適切な情報を顧客に提供するための情報として利用されたり、商品の配達や顧客への連絡先として利用されたりする。また個人情報は、データベースに保存され、個人情報は企業・団体などの組織内に設置されている装置からも利用される。
【０００３】
近年、個人情報を扱う企業・団体には、顧客のプライバシに配慮して個人情報を慎重に取り扱うことが社会的に強く求められている。また顧客のプライバシを蔑ろにすれば顧客の信頼を失墜し、顧客に個人情報の登録を敬遠され、ひいてはビジネス機会の喪失につながることになるため、企業・団体自らも顧客のプライバシ保護に対して積極的な取り組みを見せている。
【０００４】
個人情報を取り扱う企業・団体に対しては、個人のプライバシを尊重するための様々な義務を課す法律や条令が各国で整備されており、種々の罰則も規定されている。我が国における個人情報保護法もその一例である。また多くの国では１９８９年に発表されたＯＥＣＤの８原則の精神を基本に個人情報保護に関する法や制度を制定している。上記８原則は、無制限の収集はできず収集にあたって本人の同意が必要であるという収集の原則、利用目的は明らかにして利用者に提示しなければならないという目的明確化の原則、目的外の個人情報利用をしてはいけないという利用制限の原則、不正アクセス・破壊・改ざんからの防止につとめるという安全保護の原則、利用者による自己情報の閲覧・訂正・削除・利用停止などを可能とする個人参加の原則、個人情報は完全で最新の状態を維持しなければならないという情報内容の原則、運営に関する政策や責任者を公開するという公開の原則、個人情報管理者はこれらの実施に責任をもつという責任の原則からなる。企業・団体はこれらの原則を踏まえて個人情報の収集・利用にあたらなければならない。
【０００５】
以上のような背景から、個人情報の登録にあたっては、収集する個人情報の種類、収集する目的、利用形態、紛争時の解決手段などを文書化したプライバシポリシを利用者に閲覧させて利用者に同意を求めるようにしているＷＷＷサイトが多く存在する。また昨今では、プライバシポリシをＷ３Ｃの標準規格であるＰ３Ｐ（Platform for Privacy Preferences）の枠組みに従ってＸＭＬ（Extensible Markup Language）文書により提供するＷＷＷサイトも増えてきており、この場合、ブラウザはＷＷＷサイトから送られてくるＸＭＬ文書を解析して利用者に閲覧させるための画面を生成し、これを個人情報の送信時などにおいて利用者に閲覧させる。またプライバシポリシに含まれる各項目について、個人情報の公開許可や公開拒否といった利用者が取りうるアクションをあらかじめ利用者に登録させ、個人情報の取り扱いを半自動的に判断させるようにしていることもある。さらにプライバシポリシにより提示した利用目的以外の個人情報の利用については、組織内部の利用者が利用目的以外の利用ができないように、例えばデータベースの個人情報に対するアクセス制御についてのポリシをプライバシポリシと矛盾しないように管理者が設定していることもある。例えば特許文献１では、利用者の住所を商品の配達に利用するとの記載がプライバシポリシにされている場合に、商品配達を担当する部署に所属する内部利用者による住所データの読み取りは許可するが、他部署の者によるアクセスは拒否するといったアクセス制御を行うようにしている。
【特許文献１】特開２００１−１８８８０４号公報
【非特許文献１】Ｗ３Ｃ  Ｐ３Ｐ(Platform for Privacy Preferences)1.0の仕様「The Platform for Privacy Preferences 1.0 (Ｐ３Ｐ1.0) Specification」http://ＷＷＷ.w3.org/TR/Ｐ３Ｐ/
【発明の開示】
【発明が解決しようとする課題】
【０００６】
ところで、システム内に存在する複数のデータベースのアクセス制御ポリシをプライバシポリシに矛盾しないように設定するためには、管理者などが注意深く設定を行い、また設定ミスのチェックを確実に行う必要がある。また複数のデータベースが実装されて構成されるような大規模システムにおいては、記述形式などのアクセス制御ポリシの仕様が異なるため、それらを人手により確実に設定し運用していくためには個々のデータベースの仕様に精通している必要がある。さらに個々のデータベースについて個別に対応する必要もあり、プライバシポリシによってアクセス制御が行われるようにするためには膨大な労力が必要とされる。このため、ＷＷＷシステムを運営するサイトにおいては、利用者に提示して合意を得たプライバシポリシに従って適切かつ自動的に個人情報が運用されるようにするための仕組みが求められている。
【０００７】
本発明はこのような背景に鑑みてなされたもので、プライバシポリシに従って適切かつ自動的に個人情報を運用することができる個人情報利用システム、個人情報利用システムの制御方法、マップファイル生成装置、及びアクセス制御ポリシファイル生成装置を提供することを目的とする。
【課題を解決するための手段】
【０００８】
上記目的を達成するための本発明のうちの主たる発明は、個人情報利用システムであって、ＣＰＵと、メモリと、  前記ＣＰＵが前記メモリに記憶されているプログラムを実行することにより実現される、Ｗｅｂアプリケーション、ＨＴＴＰサーバ、個人情報処理部、個人情報アクセス制御部、を有し、プライバシポリシファイル、前記プライバシポリシファイルにおける個人情報の表記と前記ＨＴＭＬ文書又は前記Ｗｅｂアプリケーションを実現しているプログラムのソースコードにおける個人情報の表記との対応が記述されたマップファイル、を記憶し、前記個人情報処理部は、前記ＨＴＴＰサーバが受信した前記ＨＴＴＰリクエストに記述されているＨＴＭＬ文書の個人情報の表記に対応する前記プライバシポリシファイルにおける個人情報の表記を前記マップファイルを参照することにより取得し、前記個人情報処理部は、取得した前記個人情報の表記を前記プライバシポリシファイルに対照することにより前記ＨＴＭＬ文書に記述されている前記個人情報が前記プライバシポリシファイルにおいてポリシに関する制御の対象となっているかどうかを判断し、前記個人情報処理部は、前記ＨＴＴＰリクエストに記述されている前記個人情報が、前記プライバシポリシファイルにおいてポリシに関する制御の対象となっていると判断した場合に前記ＨＴＴＰリクエストに記述されている前記個人情報を前記個人情報アクセス制御部に通知し、前記個人情報アクセス制御部は、前記ＨＴＴＰリクエストに記述されている前記個人情報を暗号化して前記個人情報処理部に通知し、  前記個人情報処理部は、暗号化された前記個人情報を前記ＨＴＴＰサーバに通知し、前記ＨＴＴＰサーバは、暗号化された前記個人情報を前記Ｗｅｂアプリケーションに通知することとする。
【発明の効果】
【０００９】
本発明によれば、プライバシポリシに従って適切かつ自動的に個人情報を運用することができる。
【発明を実施するための最良の形態】
【００１０】
以下、図面とともに本発明の一実施形態につき詳細に説明する。  
図１Ａは本発明の一実施形態として説明する個人情報利用システムの概略構成である。インターネット３と、内部ネットワーク１３と、境界ネットワーク６とが、ファイアウォール５を介して接続している。内部ネットワーク１３は企業などの組織の内部に設けられている通信ネットワークである。内部ネットワーク１３には内部クライアント７が接続している。境界ネットワーク６は前記組織などによって運用される通信ネットワークである。境界ネットワーク６にはＷＷＷサーバ１及びデータベースサーバ１０が接続している。ファイアウォール５はインターネット３を通じて行われる不正アクセスから内部ネットワーク１３及び境界ネットワーク６を防御するためのアクセス制御を行う。例えばファイアウォール５はインターネット３からのＷＷＷサーバ１へのアクセスは許可するが内部ネットワーク１３に接続する機器へのアクセスを許可しないといったアクセス制御を行う。クライアント２はインターネット３を通じてＷＷＷサーバにアクセスするコンピュータである。
【００１１】
図１ＢはＷＷＷサーバ１、データベースサーバ１０、クライアント２、内部クライアント７のハードウエアとして用いられるコンピュータの一例である。コンピュータ１６０は、ＣＰＵ（Central Processing Unit）１６１、メモリ１６２、入力装置１６３、表示装置１６４、外部記憶装置１６５、通信インタフェース１６６などを備える。これらはバス１６７を介して通信可能に接続されている。ＣＰＵ１６１はコンピュータ１６０の統括的な制御を行う。ＲＡＭ・ＲＯＭなどで構成されるメモリ１６２にはＣＰＵ１６１によって実行されるプログラムやデータが記憶される。外部記憶装置１６４は例えばハードディスクドライブ、ＣＤ−ＲＯＭ、ＣＤ−Ｒ、ＤＶＤ−ＲＯＭ／ＲＡＭ、などである。入力装置１６３は例えばキーボードやマウスであり、表示装置１６４は例えば液晶ディスプレイやブラウン管ディスプレイである。通信インタフェース１６６はコンピュータ１６０をインターネット３や内部ネットワーク１３、境界ネットワーク６に接続する。通信インタフェース１６６としては例えばＮＩＣ（Network Interface Card）が用いられる。
【００１２】
ＷＷＷサーバ１によって提供される各種の機能は、ＣＰＵ１６１がメモリ１６２や外部記憶装置１６４に記憶されているプログラムを実行することによって実現される。ＷＷＷサーバ１とデータベースサーバ１０は同一のコンピュータで構成することもできる。またＷＷＷサーバ１やデータベースサーバ１０はそれぞれ互いに通信可能に接続された複数台のコンピュータによって構成することもできる。
【００１３】
ＷＷＷサーバ１ではＷｅｂアプリケーションとして個人情報登録アプリケーション８及び個人情報閲覧アプリケーション９が動作している。個人情報登録アプリケーション８はインターネット２に接続するクライアント２に対して個人情報の登録に関するＷｅｂサービスを提供する。そのような個人情報登録アプリケーション８の一例として、インターネットショッピングにおいて顧客に商品割引会員の入会登録をさせるＷｅｂアプリケーションがある。個人情報登録アプリケーション８はクライアント２からの要求に応じて個人情報入力画面２０をクライアント２に送信する。個人情報登録アプリケーション８はこの画面に入力された個人情報をクライアント２から受信してデータベース１１に登録する。
【００１４】
個人情報閲覧アプリケーション９は、個人情報登録アプリケーション８によってデータベース１１に登録された個人情報を、内部クライアント７に提供する機能を提供する。このような個人情報閲覧アプリケーション９としては、例えばインターネットショッピングのＷｅｂアプリケーションによって登録された個人情報を利用するインターネットショッピングの運営会社の社員によって利用される顧客管理のアプリケーションがある。例えば個人情報閲覧アプリケーション９は内部クライアント７からの要求に応じてデータベース１１から個人情報を検索し、検索した個人情報を内部クライアント７に送信する。
【００１５】
図２は個人情報入力画面２０を介して行われる、個人情報のデータベース１１への登録に関する仕組みを示している。図２に示すように、個人情報入力画面２０には、個人情報の入力欄として、氏名の入力欄２１、電話番号の入力欄２２、メールアドレスの入力欄２３、及び送信ボタン２４が設けられている。利用者によって入力欄２１〜２３に入力された個人情報は、送信ボタン２４がクリックされることによりインターネット３を介してＷＷＷサーバ１に送信される。送信された個人情報は個人情報登録アプリケーション８を構成しているＷｅｂアプリケーションの一つであるＷｅｂアプリケーション”/register”３４によって受信される。Ｗｅｂアプリケーション”/register”３４は受信した個人情報をデータベース１１に登録する（書き込む）。
【００１６】
図２に示しているように、ＨＴＭＬ文書２５は、ＷＷＷサーバ１からクライアント２に送信される個人情報入力画面２０を表示させるためのＨＴＭＬ文書である。ＨＴＭＬ文書２５には、入力されたデータの送信先のＷｅｂアプリケーションが記述されるフォームタグ３３、入力欄２１〜２３に対応する項目名２６，２８，３０、タグ２７，２９，３１、送信ボタン２４を記述するタグ３２、などが記述されている。フォームタグ３３には個人情報の送信先を指定するための属性であるaction属性の値として”/register”が記述されている。入力欄２１〜２３に対応するタグ２７，２９，３１として記述されている”input”は入力欄を意味し、”type”属性には入力欄２１〜２３への入力形式が設定される。図２ではテキスト入力を意味する”text”が記述されている。type属性に併記されるname属性には当該入力欄に入力された値が対応づけられるラベルが記述される。例えば氏名の入力欄２１に”johndoe”が入力された場合には、name属性に設定されている”name”というラベルに”johndoe”という値（属性値）が対応づけられる。同様に電話番号の入力欄２２について設定されている”phone”というラベルには”555-5555”という値（属性値）が対応づけられる。またメールアドレスの入力欄２３について設定されている”email”というラベルには”johndoe@example.com”という値（属性値）が対応づけられる。
【００１７】
送信ボタン２４がクリックされると、クライアント２おいてラベル及びラベルに対応付けられた値が”&”記号によって連結された”Name=johndoe&phone=555-5555&email=johndoe@example.co”という記述からなる文字列が生成され、これが個人情報としてＷｅｂアプリケーション”/register”３４に送信される。Ｗｅｂアプリケーション”/register”３４は受け取った上記文字列を解析することにより、氏名、電話番号、メールアドレスといった個人情報を抽出し、抽出した個人情報をデータベース１１に登録する。
【００１８】
クライアント２で動作するブラウザ４はＰ３Ｐに対応したＷｅｂブラウザである。ブラウザ４はクライアント２からＷｅｂアプリケーション”/register”３４への個人情報の送信に際して利用者によって送信ボタン２４がクリックされた際に利用者にプライバシポリシを確認させるための画面であるプライバシポリシ画面４０を表示する。
【００１９】
図３はプライバシポリシ画面４０がクライアント２の画面に表示される仕組みを示している。プライバシポリシ画面４０は、Ｐ３Ｐの枠組みに従ってＸＭＬ（Extensible Markup Language）によって記述されたＰ３Ｐポリシ文書をブラウザ４が解釈することにより表示される。Ｐ３Ｐポリシファイル４３はプライバシポリシが上記Ｐ３Ｐに従って記述されたファイルである。Ｐ３Ｐポリシファイル４３はＷＷＷサーバ１もしくはデータベースサーバ１０に記憶されている。図３のＰ３Ｐポリシファイル４３には目的を記載するタグ４４と収集する情報を記載するタグ４５とがプライバシポリシとして記述されている。収集する情報を記載するタグ４５には一つ以上のDATAタグが含まれている。DATAタグにはref属性が含まれている。ref属性に設定可能な値についてはＰ３Ｐの仕様に規定がある。ref属性に設定されている値はＰ３Ｐポリシファイルの適用対象となる個人情報を特定する。プライバシポリシ画面４０に表示される収集する情報４２に対応するタグ４５には、氏名に対応するタグ４６、電話番号情報に対応するタグ４７、メールアドレスに対応するタグ４８が、それぞれ記述されている。このうち氏名に対応するタグ４６のref属性の値には”#user.name”が設定されている。また電話番号に対応するタグ４７のref属性には”#user.home-info.telecom.telephone”が設定されている。またメールアドレスに対応するタグ４８のref属性には”#user.home-info.online.email”が設定されている。
【００２０】
Ｐ３Ｐポリシファイル４３は、ＨＴＭＬ文書２５がクライアント２に送信されてくるタイミングや送信ボタン２４がクリックされたタイミングなどの適宜なタイミングでＷＷＷサーバ１からクライアント２に送信される。プライバシポリシ画面４０には、例えばＯＥＣＤの８原則に対応する、収集の目的４１や収集する情報４２、係争時の解決策や連絡先（不図示）などの情報が記載される。利用者は、プライバシポリシ画面４０に記載されている内容を見て個人情報を送信するかどうかを確認してから個人情報入力画面２０の送信ボタン２４をクリックする。
【００２１】
図４はＷＷＷサーバ１及びデータベースサーバ１０において実現されている各種の機能を示している。ＷＷＷサーバ１では、ＨＴＴＰプロトコル（Hypertext Transfer Protocol）に従ってクライアント２や内部クライアント７との間で通信を行うＨＴＴＰサーバ８０、Ｗｅｂアプリケーション" /register"３４、Ｗｅｂアプリケーション"/viewer"９２、Ｓｅｒｖｌｅｔの機能を利用するＷｅｂアプリケーションであるＳｅｒｖｌｅｔアプリケーション９３、ＣＧＩ（Common Gateway Interface）の機能を提供するＣＧＩエンジン８３、ＪＡＶＡ（登録商標）のＳｅｒｖｌｅｔの機能を提供するＳｅｒｖｌｅｔエンジン８４、モニタ部１２０、個人情報処理部８８、などが機能している。
【００２２】
ＣＧＩエンジン８３は、Ｗｅｂアプリケーション" /register"３４、Ｗｅｂアプリケーション"/viewer"９２に対してＣＧＩの機能を提供する。Ｓｅｒｖｌｅｔエンジン８４は、Ｓｅｒｖｌｅｔアプリケーション９３に対してＳｅｒｖｌｅｔの機能を提供する。個人情報処理部８８は、ＨＴＴＰサーバ８０の拡張プログラムとして位置づけられる。モニタ部１２０は、ＣＧＩエンジン８３やＳｅｒｖｌｅｔエンジン８４の拡張プログラムとして位置づけられ、Ｗｅｂアプリケーション３４，９２，９３と他の機能との間で行われる通信の監視や制御を行う。
【００２３】
個人情報処理部８８には、個人情報処理部８８の統括的な制御を行っている制御部１００、後述するマップファイル６０の内容を解析するマップファイル解析部１０２、Ｐ３Ｐポリシファイル４３の内容を解析するポリシ解析部１０３、マップファイル解析部１０２とポリシ解析部１０３と通信することにより個人情報の制御を実施する個人情報制御部１０１、インターネット３を通じてクライアント７から送信されてくるパラメータを解析する入力パラメータ解析部１０４、入力パラメータの暗号化に関する処理を行う入力パラメータ処理部１０５、ＨＴＴＰサーバ８０との間での入出力を行う対ＨＴＴＰサーバ入出力部１０６、個人情報アクセス制御部８９との間で通信を行うアクセス制御部入出力部１０７、後述するログ情報を記録するログ記録部１０８、などの機能が含まれる。
【００２４】
データベースサーバ１０では、データベース１１及び個人情報アクセス制御部８９などが機能する。データベース１１はＤＢＭＳ（Database Management System）としての機能を備え、個人情報の登録機能や検索機能などのデータ操作に関する各種の機能を有する。個人情報アクセス制御部８９には、個人情報アクセス制御部８９を統括的に制御する制御部１１０、マップファイルを解析するマップファイル解析部１１１、Ｐ３Ｐポリシファイル４３を解析するポリシ解析部１１２、後述するアクセス制御ポリシファイル７０を解析するアクセス制御ポリシファイル解析部１１３、マップファイル解析部１０２とポリシ解析部１０３とアクセス制御ポリシファイル解析部１１３と通信することによってアクセス制御を実施するアクセス制御部１１４、個人情報の暗号化を行う暗号処理部１１５、暗号化された個人情報の復号する復号処理部１１６、個人情報処理部８８と通信をする個人情報処理部入出力部１１８、データベース１１と通信するデータベース入出力部１１９、後述すログ情報を記録するログ記録部１２１、などの機能が含まれる。
【００２５】
個人情報処理部８８のマップファイル解析部１０２、個人情報アクセス制御部８９のマップファイル解析部１１１によって参照されるマップファイルには、Ｐ３Ｐポリシファイルにおける個人情報の表記とＨＴＭＬ文書又はＷｅｂアプリケーションを実現しているプログラムのソースコードにおける個人情報の表記との対応が記述されている。なお、ここでいう個人情報の表記とは例えばＨＴＭＬ文書やＸＭＬ文書であれば個人情報に対応する属性値の表記であり、また例えばＷｅｂアプリケーションを実現しているプログラムのソースコードであれば個人情報に対応する変数の表記である。マップファイルはＷＷＷサーバ１及びデータベースサーバ１０に記憶されている（マップファイル記憶部）。マップファイルはこれを生成するアプリケーションがインストールされたコンピュータ（情報処理装置）であるマップファイル生成装置６７によって生成される。なお、上記コンピュータとしては、例えば図１Ｂの構成を有するものが用いられる。
【００２６】
図５はマップファイル生成装置６７のＣＰＵがメモリに記憶されているプログラムを実行することにより実現される、マップファイル生成装置６７の各種の機能を示している。マップファイル生成装置６７では、当該マップファイル生成装置６７の統括的な制御を行う制御部３０１、キーボードやマウスから情報の入力を受け付けたり、ディスプレイに情報を表示したりする機能であるユーザ入出力部３０２、マップファイルの生成に関する処理を行うマップファイル処理部３０３、Ｐ３Ｐポリシファイルに関する処理を行うＰ３Ｐポリシファイル処理部３０４、ＨＴＭＬ文書２５やＷｅｂアプリケーション３４，９２，９３のソースコードの解析や編集を行うソースコード処理部３０６、入力されるファイルの読み込みに関する処理を行うファイル入力部３０７、マップファイルの生成に関する処理を行うファイル生成部３０８、などを備えている。
【００２７】
図６はマップファイル生成装置６７によってマップファイル６０が生成される仕組みを示している。マップファイル生成装置６７には、Ｐ３Ｐポリシファイル４３と、個人情報入力画面２０のＨＴＭＬ文書３３が記述されたファイル（以下、「ＨＴＭＬファイル」と称する）、Ｗｅｂアプリケーションのソースコード６６が入力として与えられる。図６ではＷｅｂアプリケーションのソースコード６６として、個人情報登録アプリケーション８を実現しているＷｅｂアプリケーションであるＷｅｂアプリケーション”/register”３４のソースコードが与えられている。マップファイル生成装置６７は与えられたデータに基づいてオペレータとの間で対話処理を行うことによりマップファイル６０を生成する。
【００２８】
図６に示したマップファイル６０には、アプリケーション情報を記載したmapinfoタグ６１、関連するＰ３Ｐポリシファイル情報を記載したpolicyタグ６２、各個人情報の対応を記載したDATAタグ６３、６４、６５、などが記述されている。図６においては、DATAタグ６３にはＰ３Ｐポリシファイル４３における氏名に対応するタグ４６に記述されている”#user.name”と、個人情報入力画面２０のＨＴＭＬ文書３３の氏名のタグ２７に記述されている識別ラベル”name”とが対応づけられている。またＰ３Ｐポリシファイル４３における電話番号に対応するタグ４７に記述されている”#user.home-info.telecom.telephone”と、個人情報入力画面２０のＨＴＭＬ文書３３の氏名のタグ２９に記述されている識別ラベル”phone”とが対応づけられている。またＰ３Ｐポリシファイル４３におけるメールアドレスに対応するタグ４８に記述されている”#user.home-info.online.email”と、個人情報入力画面２０のＨＴＭＬ文書３３のメールアドレスのタグ３１に記述されている識別ラベル”email”とが対応づけられている。
【００２９】
図７はマップファイルの生成に関する処理を説明するフローチャートである。まずマップファイル生成装置６７にＰ３Ｐポリシファイル４３、個人情報入力画面２０のＨＴＭＬ文書２５、Ｗｅｂアプリケーション３４，９２，９３のソースコード６６が入力される（ステップ２６０）。次にＰ３Ｐポリシファイル４３がＰ３Ｐポリシファイル処理部３０４によって解析され、Ｐ３Ｐポリシファイルに記述されている個人情報の表記が取得される（ステップ２６１）。またＨＴＭＬ文書２５もしくはＷｅｂアプリケーションのソースコード６６がマップファイル処理部３０３によって解析され、ＨＴＭＬ文書２５もしくはＷｅｂアプリケーションのソースコード６６に含まれる個人情報の表記が取得される（ステップ２６２）。
【００３０】
次にマップファイル処理部３０３は、ステップ２６１で読み取られた個人情報の表記と、ステップ２６２で読み取られた個人情報の表記とを比較して、類似するものについて仮の対応づけを行う。例えば一方の文字列が他方の文字列に含まれるといった類似性が認められる場合には、両者は同一の個人情報に対応する表記であるものと判断し両者を対応づけて記憶する（ステップ２６３）。例えばＨＴＭＬ文書２５の個人情報の表記である”name”とＰ３Ｐファイルにおける個人情報の表記である”#user.name”については、前者の文字列が後者の文字列中に含まれているので、これらは類似するものとして対応づけて記憶する。
【００３１】
次にマップファイル生成装置６７は、生成した仮の対応づけを表示装置に表示して操作者に提示する。またマップファイル生成装置６７はＨＴＭＬ文書２５及びＷｅｂアプリケーション３４，９２，９３のソースコードに含まれる個人情報の表記のうち仮の対応づけを行うことができなかった個人情報の表記を未対応の個人情報の表記として表示装置に表示する。図８はこの際に表示装置に表示される画面（以下、「マップ情報修正画面」と称する）の一例である。マップ情報修正画面３１０の個人情報の欄３１１には個人情報名が表示される。Ｐ３Ｐの個人情報名の欄３１２には個人情報３１１に対して仮の対応づけを行ったＰ３Ｐポリシファイル４３に含まれる個人情報の表記が表示される。パラメータの欄３１３にはＨＴＭＬ文書２５又はＷｅｂアプリケーション３４，９２，９３のソースコードに含まれている個人情報の表記が表示される。表示されている仮の対応づけについて修正が必要な場合、操作者は適宜記入・修正欄３１４に修正情報を入力することにより仮の対応づけを修正することができる。修正後操作者は確認ボタン３２０をクリックする。確認ボタン３２０がクリックされると、マップファイル処理部３０３は入力された修正情報に従って仮の対応づけを確定する（ステップ２６５）。ファイル出力部３０８は確定した対応づけを記述したマップファイル６０を生成し出力する（ステップ２６６）。
【００３２】
以上に説明したように、マップファイル生成装置６７は、入力して与えられた、Ｐ３Ｐポリシファイル４３、ＨＴＭＬ文書２５又はＷｅｂアプリケーション３４，９２，９３を実現するプログラムのソースコードに基づいて、自動的にマップファイルを生成する。このため、管理者等はマップファイル生成装置６７を利用して簡単にマップファイル６０を生成することができる。なお、マップファイル６０は、記録媒体に記録されて、もしくは、通信ネットワークを介してＷＷＷサーバ１やデータベースサーバ１０に供給されるようにしてもよい。
【００３３】
個人情報アクセス制御装置８９のアクセス制御ファイル解析部１１３によって解析されるアクセス制御ポリシファイルは、Ｐ３Ｐポリシファイルにおけるポリシに関する制御の対象となるＷｅｂアプリケーションを特定する情報、Ｐ３Ｐポリシファイルの識別子、及び許可情報、などが記述されたファイルである。アクセス制御ポリシファイルはデータベースサーバ１０に記憶されている（アクセス制御ポリシファイル記憶部）。
【００３４】
図９はアクセス制御ポリシファイル生成装置７４のＣＰＵがメモリに記憶されているプログラムを実行することにより実現される各種の機能を示している。アクセス制御ポリシファイル生成装置７４では、当該アクセス制御ポリシファイル生成装置７４の統括的な制御を行う制御部３５１、キーボードやマウスから操作者から情報の入力を受け付けたり操作者に提示する情報をディスプレイに表示したりする機能であるユーザ入出力部３５２、Ｐ３Ｐポリシファイルの解析などＰ３Ｐポリシファイルに関する処理を行うＰ３Ｐポリシファイル処理部３５４、アクセス制御ポリシファイルの処理を行うアクセス制御部３５５、ＨＴＭＬ文書２５やＷｅｂアプリケーションのソースコードの解析や編集を行うソースコード処理部３５６、入力されるファイルの読み込みに関する処理を行うファイル入力部３５７、アクセス制御ポリシファイルの生成に関する処理を行うファイル生成部３５８等を備えている。なお、マップファイル生成装置６７とアクセス制御ポリシファイル生成装置７４とを同じコンピュータを用いて実現するようにしてもよい。
【００３５】
図１０はアクセス制御ポリシファイル生成装置７４によってアクセス制御ポリシファイル７０が生成される仕組みを説明している。アクセス制御ポリシファイル生成装置７４には、Ｐ３Ｐポリシファイル４３と、マップファイル生成装置６７によって生成されたマップファイル６０、ＯＥＣＤの８原則の目的明確化の原則に従って作成され個人情報の利用目的などが記載されたルールファイル７６、及びＷｅｂアプリケーションのソースコード６６が入力として与えられる。なお、図１０はＷｅｂアプリケーションのソースコード６６として個人情報登録アプリケーション８を実現しているＷｅｂアプリケーションであるＷｅｂアプリケーション”/viewer”９２のソースコード６６が与えられている場合である。ルールファイル７６はあらかじめ管理者等が作成しておくファイルである。ルールファイル７６には、ＯＥＣＤの８原則のうちの目的明確化の原則に対応するプライバシポリシにおける利用目的と、この利用目的に沿うアクセス制御を実現するための許可情報が記述されている。  
図１０に示すルールファイル７６では、Ｐ３Ｐの利用目的を記載するPURPOSEタグ７８と、許可情報７３とが含まれている。図１０に示すルールファイル７６には”営業部門”であれば個人情報を読み込む（read）ことを許すことが表現されている。なお、ルールファイル７６は、アクセス制御ポリシファイル７０を生成するために参照されるが、その最終的な内容は操作者の入力６８によって決定される。アクセス制御ポリシファイル生成装置７４は与えられたデータに基づいてオペレータとの対話処理を行ってアクセス制御ポリシファイル７０やデータベースサーバ１０から直接個人情報の読み書きを必ず個人情報アクセス制御部８９を経由して行うように修正したソースコード７５を生成し出力する。
【００３６】
図１１はアクセス制御ポリシファイル７０の生成に関する処理を説明するフローチャートである。まずファイル入力部３０７を介してＰ３Ｐポリシファイル４３、マップファイル６０、ルールファイル７６、データベース１１に登録されている個人情報にアクセスするＷｅｂアプリケーションのソースコード６６が与えられる（ステップ２７０）。するとアクセス対象特定部３５６が、与えられたソースコード６６を解析し当該Ｗｅｂアプリケーションによってアクセスされる個人情報を特定する（ステップ２７１）。次にプライバシポリシファイル処理部３５４がＰ３Ｐポリシファイル４３を解析し、ステップ２７１で得た個人情報を収集するための利用目的をＰ３Ｐポリシファイルから読み取る（ステップ２７２）。アクセス制御部３５５は、ルールファイル７６を解析し、プライバシポリシファイル処理部３５４が取得した上記利用目的に対応する許可情報を取得する（ステップ２７３）。そしてアクセス制御部３５５は、以上のようにして取得した情報に基づいて仮のアクセス制御ポリシを作成する（ステップ２７４）。作成された仮のアクセス制御ポリシの内容は、ユーザ入出力部３０２によって表示装置に表示される（ステップ２７５）。
【００３７】
図１２はこの際に表示装置に表示される画面（以下、「アクセス制御情報修正画面」と称する）である。アクセス制御情報修正画面３３０のプログラム名３３１の欄には、Ｗｅｂアプリケーションの識別子が記載される。Ｐ３Ｐの利用目的の欄３３２には、ルールファイル７６から取得される利用目的の内容が記載される。アクセス制御情報修正画面３３０の主体名，グループ名の欄３３３にはルールファイル７６から取得した、個人情報にアクセスする主体を特定する情報である主体名やグループ名が記載される。アクションの欄３３４には、実行可能なアクション（例えば、個人情報の読み込み（read）や書き込み（write））が記載される。仮のアクセス制御ポリシについて修正が必要な場合、操作者は、アクセス制御情報修正画面３３０の記入・修正欄３１４に修正情報を入力する。操作者が確認ボタン３３７をクリックすると、アクセス制御部３５５はアクセス制御ポリシ修正画面３３０において入力された修正情報に従って仮の対応づけを確定し（ステップ２７６）、確定した対応づけを記述したアクセス制御ポリシファイル７０を生成する（ステップ２７７）。一方、ソースコード修正部３５９は、Ｗｅｂアプリケーションが必ず個人情報アクセス制御部８９を介してデータベース１１にアクセスする内容に修正したソースコードを生成する（ステップ２７８）。ファイル生成部３５８は、確定したアクセス制御ポリシを記載したアクセス制御ポリシファイル７０、及び修正したソースコードをファイル出力部３０８から出力する（ステップ２７９）。なお、これらは記録媒体に記録されて、もしくは、通信ネットワークを介してデータベースサーバ１０に供給するようにしてもよい。
【００３８】
以上に説明したアクセス制御ポリシファイル生成装置７４によれば、Ｐ３Ｐポリシファイル、Ｗｅｂアプリケーションを実現するプログラムのソースコード、マップファイル、及びルールファイル、を入力として与えることにより、アクセス制御ポリシファイル７０を自動的に生成することができる。これにより管理者等は容易にアクセス制御ポリシファイル７０を生成することができる。
【００３９】
＝＝＝ＨＴＴＰリクエスト受信時の処理＝＝＝
個人情報登録アプリケーション８や個人情報閲覧アプリケーション９の利用時には、クライアント２からインターネット３を介してＷＷＷサーバ１に適宜個人情報が記載されたＨＴＴＰリクエストが送信される。ここではＨＴＴＰリクエストが送信されてきた場合にＷＷＷサーバ１及びデータベースサーバ１０にて行われる処理について説明する。
【００４０】
図１３は上記処理を説明するフローチャートである。クライアント２から送信されてきたＨＴＴＰリクエストはＷＷＷサーバ１のＨＴＴＰサーバ８０によって受信される。ＨＴＴＰサーバ８０は、受信したＨＴＴＰリクエストを個人情報処理部８８のＨＴＴＰサーバ８０との入出力部１０６に通知する。次に個人情報処理部８８の入力パラメータ解析部１０４は通知された上記ＨＴＴＰリクエストの解析を開始する。またマップファイル解析部１０２がＷＷＷサーバ１に記憶されているマップファイル６０の解析を、ポリシ解析部１０３がＰ３Ｐポリシファイル４３の解析を、それぞれ開始する（ステップ２０１）。ここで上記解析において、マップファイル解析部１０２は、マップファイル６０のmapinfoタグ６１の”target”に設定されている値がＨＴＴＰリクエストの送信先として設定されているＷｅｂアプリケーションの識別子と一致するかどうかを判断する（ステップ２０２）。一致しない場合は（ステップ２０２：ＮＯ）、作業内容がログ記録部１０８によって後述するログ情報としてログファイルに記録され（ステップ２１１）、ＨＴＴＰサーバ８０に制御が返される（ステップ２１２）。
【００４１】
ステップ２０２において、マップファイル６０のmapinfoタグ６１の”target”に設定されている値がＨＴＴＰリクエストの送信先と一致する場合には（ステップ２０２：ＹＥＳ）、個人情報制御部１０１は、マップファイル６０を参照してＨＴＴＰリクエストに設定されている個人情報の表記に対応するＰ３Ｐポリシファイル４３における個人情報の表記を取得する。そして個人情報制御部１０１は、Ｐ３Ｐポリシファイル４３における個人情報の表記に基づいて、Ｐ３Ｐポリシファイル４３において当該個人情報がポリシに関する制御の対象となっているかどうかを判断する（ステップ２０３）。ここで制御対象となっていないと判断した場合には（ステップ２０３：ＮＯ）、作業内容がログ記録部１０８によって後述するログ情報としてログファイルに記録され（ステップ２１１）、ＨＴＴＰサーバ８０に制御が返される（ステップ２１２）。
【００４２】
一方、ステップ２０３において、当該個人情報がプライバシ保護対象であると判断した場合は（ステップ２０３：ＹＥＳ）、個人情報処理部８８は個人情報アクセス制御部８９に個人情報の暗号化を依頼する（ステップ２０４）。暗号化を依頼された個人情報アクセス制御部８９は、暗号化処理部１１５によって個人情報を暗号化する。暗号化された個人情報はデータベース入出力部１１９によってデータベース１１に登録されるとともに、個人情報処理部入出力部１１８を介して個人情報処理部８８に通知される（ステップ２０５）。個人情報処理部８８は、暗号化された個人情報をＨＴＴＰサーバ８０に通知する（ステップ２０６）。また作業内容がログ記録部１０８によって後述するログ情報としてログファイルに記録され（ステップ２０７）、ＨＴＴＰサーバ８０に制御が返される（ステップ２０８）。ＨＴＴＰサーバ８０は、暗号化された個人情報が通知されると、暗号化された個人情報をＨＴＴＰリクエストに設定されていた元の個人情報に代えてＷｅｂアプリケーションに通知する（ステップ２０９）。
【００４３】
図１４は、図１３のステップ２０４の処理において個人情報処理部８８からの依頼に応じて個人情報アクセス制御部８９が行う個人情報の暗号化の処理、及び暗号化された個人情報のデータベース１１への登録に関する処理を説明するフローチャートである。個人情報アクセス制御部８９は、個人情報処理部８８からの依頼があると、個人情報処理装置入出力部１１８から個人情報を取得する（ステップ２２０）。次に個人情報アクセス制御部８９は、取得した個人情報をデータベースサーバ１１が記憶している鍵情報１１７を用いて暗号化する（ステップ２２１）。暗号化された個人情報はデータベース入出力部１１９によってデータベース１１に登録される（ステップ２２２）。また暗号化された個人情報は、個人情報処理装置入出力部１１８を介して個人情報処理部８８に渡される（ステップ２２３）。なお、データベース１１に個人情報が登録された事実はログ記録部１２１によって、ログ情報としてログファイルに記録される（ステップ２２４）。
【００４４】
以上に説明したように、ＨＴＴＰリクエストに記述されている個人情報がＰ３Ｐポリシファイルにおいてポリシに関する制御の対象となっていた場合には、ＨＴＴＰリクエストに記述されていた個人情報の内容が暗号化されてＨＴＴＰサーバ８０からＷｅｂアプリケーションに通知される。これによりＨＴＴＰサーバ８０からＷｅｂアプリケーションに対して個人情報の内容が通知される経路における不正アクセスから個人情報が安全に保護され、セキュリティ性能を向上させることができる。
【００４５】
＝＝＝アクセス制御＝＝＝
個人情報登録アプリケーション８や個人情報閲覧アプリケーション９の利用時には、Ｗｅｂアプリケーション３４，９２，９３からデータベース１１に対するアクセス要求が発生する。Ｗｅｂアプリケーション３４，９２，９３からデータベース１１に対するアクセス要求が発生した場合には、個人情報アクセス制御部８９によって上記アクセス要求に対してポリシに従ったアクセス制御が行われる。以下、上記のアクセス制御に関する処理について、図１５に示すフローチャートとともに説明する。なお、以下の説明において、Ｗｅｂアプリケーション３４，９２，９３を実現しているプログラムは、前述したアクセス制御ポリシファイル生成装置７４によって書き換えられているものとする。従ってＷｅｂアプリケーション３４，９２，９３からデータベース１１へのアクセスは、必ず個人情報アクセス制御部８９を介して行われるものとする。
【００４６】
モニタ部１２０は、Ｗｅｂアプリケーション３４，９２，９３からデータベース１１に対するアクセス要求が発生したかどうかをリアルタイムに監視している。モニタ部１２０は、Ｗｅｂアプリケーション３４，９２，９３からデータベース１１に対するアクセス要求が発生したことを検知すると（ステップ２４０）、そのＷｅｂアプリケーションの識別子及びデータベース１１に要求しようとしている個人情報を取得する（ステップ２４１）。
【００４７】
次にモニタ部１２０から、個人情報アクセス制御部８９のアクセス制御部１１４に対して、上記アクセス要求を許可すべきかどうかの判断の依頼が通知される。この通知を受けるとアクセス制御部１１４はアクセス可否の判断を開始する（ステップ２４２）。まず個人情報アクセス制御部８９は、要求されている個人情報の表記を、マップファイル６０を参照することによりＰ３Ｐポリシファイル４３における個人情報の表記に変換する。次に個人情報アクセス制御部８９は、変換した個人情報の表記を用いて当該個人情報がＰ３Ｐポリシファイル４３において制御対象になっているかどうかを調べ、制御対象になっている場合にはさらにアクセス制御ポリシファイル７０のpermissionタグ７３を参照することによりアクセス可否を判断する。
【００４８】
ステップ２４２の判断において、アクセスを拒否する判断がなされた場合には（ステップ２４２：ＮＯ）、ログ記録部１２１は上記アクセス要求があった事実、及びそのアクセス要求が拒否されたことを示すログ情報をログファイルに記録する（ステップ２５０）。またアクセス制御部１１４はその旨をモニタ部１２０に通知する。この通知があると、モニタ部１２０は、Ｗｅｂアプリケーション３４，９２，９３に対して上記アクセスについてアクセスが拒否された旨を通知する（ステップ２５１）。
【００４９】
ステップ２４２の判断において、アクセスを許可する旨の判断がなされた場合には（ステップ２４２：ＹＥＳ）、次に個人情報アクセス制御部８９は、そのアクセスが個人情報の読み込みに関するアクセスであるのか、それとも個人情報の書き込みに関するアクセスであるのかを判断する（ステップ２４３）。
【００５０】
ステップ２４３において、個人情報の読み込みに関するアクセスであると判断した場合には（ステップ２４３：ＹＥＳ）、個人情報アクセス制御部８９は、読み込み対象となっている個人情報をデータベースサーバ１０から取得し（ステップ２４４）、取得した個人情報を復号処理部１１６によって復号化する（ステップ２４５）。復号化に際しては鍵情報１１７が用いられる。復号化された個人情報は個人情報アクセス制御部８９からモニタ部１２０に通知され、さらにモニタ部１２０からＷｅｂアプリケーション３４，９２，９３に通知され（ステップ２４６）、Ｗｅｂアプリケーション３４，９２，９３に制御が返される（ステップ２４７）。なお、ログ記録部１２１は、以上のアクセスの事実をログ情報としてログファイルに記録する（ステップ２４８）。
【００５１】
ステップ２４３において、個人情報の書き込みに関するアクセスであると判断した場合には（ステップ２４３：ＮＯ）、個人情報アクセス制御部８９は、個人情報を暗号処理部１１５によって暗号化し（ステップ２４９）、暗号化した個人情報をデータベース１１に登録する（ステップ２５０）。そして個人情報アクセス制御装置８９は、モニタ部１２０を経由してＷｅｂアプリケーションに処理完了を通知し、Ｗｅｂアプリケーション３４，９２，９３に制御を返す（ステップ２５１）。なお、ログ記録部１２１は、以上のアクセスの事実をログに記録する（ステップ２５２）。
【００５２】
ところで、インターネット等において個人情報を取り扱うサービスを提供するＷＷＷサーバにおいては、個人情報を取り扱う画面を生成するためのＨＴＭＬ文書やＷｅｂアプリケーションを実現しているプログラムのソースコードにおける個人情報の表記を設計者やプログラマー等が自由に決めることができるようになっている。このためＨＴＭＬ文書やソースコード間で必ずしも個人情報の表記についての統一が図られていない。また例えばＨＴＭＬ文書においては「氏名」という項目が"name"と表記され、一方、同じ項目がＰ３Ｐポリシファイルにおいて"user.name"と表記されているというように、ＨＴＭＬ文書やソースコードにおける個人情報の表記とＰ３Ｐポリシファイルにおける個人情報の表記とが統一されていないことも多い。このため、ＷＷＷサーバにおいてＰ３Ｐポリシファイルのポリシに関する制御を行おうとする場合において次のような問題を生じていた。すなわち、例えばＨＴＭＬ文書によって生成される画面を用いて取得もしくは提供される個人情報や、ＷＷＷサーバに付設されるデータベースにアクセスしようとするＷｅｂアプリケーションについて、Ｐ３Ｐポリシファイルに記述されているポリシに関する制御を行おうとする場合には、上記画面を用いて取得もしくは提供される個人情報や上記データベースへのアクセス要求等に含まれている個人情報がＰ３Ｐポリシファイルにおいて制御の対象となっているかどうかを判断する必要があるが、この場合に両者の表記を容易に対応づけることができなかった。
【００５３】
以上に説明した個人情報利用システムでは、マップファイル６０をあらかじめＷＷＷサーバ１やデータベースサーバ１０に記憶しておき、ＨＴＴＰリクエストに記述されている個人情報の表記に対応するＰ３Ｐポリファイルにおける個人情報の表記をマップファイル６０を参照することにより取得する。そして取得した前記個人情報の表記をＰ３Ｐポリシファイル４３に対照することにより、個人情報がＰ３Ｐポリシファイル４３においてポリシに関する制御の対象となっているかどうかを判断するようにしている。このようにあらかじめ作成されたマップファイル６０を記憶しておくことで、設計者やプログラマーによって記述されたＨＴＭＬ文書やＷｅｂアプリケーションに何ら変更を加えることなく、ＨＴＭＬ文書によって生成される画面を用いて取得もしくは提供される個人情報についてのＰ３Ｐポリシファイルに従ったポリシに関する制御や、データベースにアクセスしようとするＷｅｂアプリケーションについて、Ｐ３Ｐポリシファイルに記述されているポリシに関する制御を適切かつ自動的に行うことが可能となる。
【００５４】
また従来、データベースに対するアクセス制御が個人情報の利用目的に沿った形でなされるようにするためには、システム管理者等が上記利用目的に対応してデータベースに対するアクセス制御に関する情報を記述したプログラムやデータを作成する必要があり、この場合には利用目的に矛盾しないようにアクセス制御に関する情報を記述しなければならなかった。またＷＷＷサーバに仕様の異なる複数のデータベースが付設される場合には、個々のデータベースごとに上記プログラムやデータを作成しなければならず、利用目的に矛盾しないようにアクセス制御に関する情報を記述するためには大変な労力が必要であった。
【００５５】
以上に説明した個人情報利用システムでは、ＷＷＷサーバ１が個人情報の利用目的が記述されたルールファイルに基づいて生成されたアクセス制御ポリシファイルをあらかじめ生成して記憶しておき、アクセス要求を通知してきたＷｅｂアプリケーションがポリシの制御の対象となっているかどうかをアクセス制御ポリシファイルを参照することにより判断するようにしている。このため、仕様の異なる複数のデータベースが存在していても、アクセス制御ポリシファイルのみを参照するだけでＷｅｂアプリケーションからデータベースに対して行われるアクセスに対してアクセス制御を適切かつ自動的に行うことができる。またそのようなアクセス制御を行うにあたり、管理者等は個々のデータベースの仕様に習熟している必要がなく、プライバシポリシの利用目的に適合するアクセス制御を容易に設定することができる。
【００５６】
＝＝＝ログファイル＝＝＝
図１６に個人情報処理部８８のログ記録部１０８もしくは個人情報アクセス制御部８９のログ記録部１２１によってログファイルに記録されるログ情報の一例を示している。
【００５７】
ログ情報１３１は、インターネット３につながれたクライアント７を操作する利用者から個人情報登録アプリケーション８にアクセスして個人情報を登録した処理に関して記録されたログ情報である。ログ情報１３１には、当該ログ情報が記録された日時１３１１、当該処理において登録された個人情報である氏名情報１３１２，電話番号情報１３１３，及びメールアドレス情報１３１４、Ｗｅｂアプリケーションが行った処理の内容１３１５、当該処理を行ったＷｅｂアプリケーションの識別子１３１６、当該処理において適用されたＰ３Ｐポリシファイルのファイル名１３１７が含まれている。
【００５８】
ログ情報１３２は、内部ネットワーク１３につながれた内部クライアント７を操作する組織の利用者が個人情報閲覧アプリケーション９にアクセスした際に行われた処理に対応するログ情報である。ログ情報１３２には、当該ログ情報が記録された日時１３２１、当該処理において閲覧された個人情報である氏名情報１３２２，電話番号情報１３２３，及びメールアドレス情報１３２４、アクセス制御に関する処理の内容１３２５、当該処理を行ったＷｅｂアプリケーションの識別子１３２６、当該処理において適用されたＰ３Ｐポリシファイルのファイル名１３２７、当該処理における個人情報閲覧アプリケーション９の利用者のユーザアカウント１３２８及び所属部署１３２９が含まれている。なお、アクセス制御に関する処理の内容１３２５が「閲覧許可」となっているように、このログ情報１３２は、Ｐ３Ｐポリシファイル４３、マップファイル６０、アクセス制御ポリシファイル７０に基づいて生成されるアクセス制御ポリシファイル７０による検証においてアクセスを許された場合に対応するものであり、当該処理がＰ３Ｐファイル名１４２に記載されているＰ３Ｐポリシファイル４３に記載されている利用目的に沿って行われたことを示している。
【００５９】
ログ情報１３３は、ログ情報１３２と同様に組織内の利用者が個人情報閲覧アプリケーション９へアクセスした際に行われた処理に対応するログ情報である。ログ情報１３３は、アクセス制御に関する処理の内容１３３５が「閲覧拒否」となっているように、アクセス制御ポリシファイル７０による検証においてアクセスを拒否された場合に対応するものである。つまりログ情報１３３は、当該処理がＰ３Ｐファイル名１３３７に記載されているＰ３Ｐポリシファイル４３の目的に沿わない利用であったことを示している。
【００６０】
このようなログ情報を参照することで、管理者等は利用者によって行われるＷｅｂアプリケーションに対するアクセスについて、それぞれがＰ３Ｐポリシファイルの利用目的に沿って行われたかどうかを確実かつ詳細に把握することができる。このため、管理者等はログ情報をＰ３Ｐポリシファイルに従って個人情報に対するアクセス制御が適切に実施されているかどうかの監査資料として役立てることができる。
【００６１】
また従来、個人情報が管理されるデータベースの管理を行うＤＢＭＳから出力されるログ情報を監査資料として利用する場合には、そのＤＢＭＳに精通した者がＤＢＭＳに固有の記述形式で表記されたログ情報を解析する必要があった。とくに仕様の異なる複数種類のデータベースが実装されている場合には個々のデータベースの仕様に精通する者によりログ情報を解析する必要があった。また異なる記述形式の個々のログ情報について、それぞれがＰ３Ｐポリシファイルの利用目的に適合するものであるのかどうかを判断するには大変な労力が必要であった。
【００６２】
上記個人情報利用システムでは、ログ情報は個人情報が格納されているデータベースの仕様とは無関係に作成される。またその記述形式もデータベースに非依存の形式である。このため、個々のデータベースの取り扱いに精通する者でなくてもログ情報を解析することが可能であり、これにより上記の問題が解決されることになる。
【００６３】
なお、以上の実施形態の説明は本発明の理解を容易にするためのものであり、本発明を限定するものではない。本発明はその趣旨を逸脱することなく、変更、改良され得ると共に本発明にはその等価物が含まれることは勿論である。
【図面の簡単な説明】
【００６４】
【図１Ａ】本発明の一実施形態として説明する、個人情報利用システムの構成を示す図である。
【図１Ｂ】本発明の一実施形態として説明する、ＷＷＷサーバ１、データベースサーバ１０、クライアント２、内部クライアント７のハードウエアとして用いられるコンピュータの構成の一例を示す図である。
【図２】本発明の一実施形態として説明する、個人情報入力画面２０を介して行われる、個人情報のデータベース１１への登録に関する仕組みを示す図である。
【図３】本発明の一実施形態として説明する、プライバシポリシ画面４０が表示される仕組みを説明する図である。
【図４】本発明の一実施形態として説明する、ＷＷＷサーバ１及びデータベースサーバ１０において実現されている各種の機能を示す図である。
【図５】本発明の一実施形態として説明する、マップファイル生成装置６７のＣＰＵがメモリに記憶されているプログラムを実行することにより実現される、マップファイル生成装置６７の各種の機能を示す図である。
【図６】本発明の一実施形態として説明する、マップファイル生成装置６７によってマップファイル６０が生成される仕組みを示す図である。
【図７】本発明の一実施形態として説明する、マップファイルの生成に関する処理を説明するフローチャートを示す図である。
【図８】本発明の一実施形態として説明する、マップ情報修正画面３１０の一例を示す図である。
【図９】本発明の一実施形態として説明する、アクセス制御ポリシファイル生成装置７４のＣＰＵがメモリに記憶されているプログラムを実行することにより実現されるアクセス制御ポリシファイル生成装置７４の各種の機能を示す図である。
【図１０】本発明の一実施形態として説明する、アクセス制御ポリシファイル生成装置７４によってアクセス制御ポリシファイル７０が生成される仕組みを説明する図である。
【図１１】本発明の一実施形態として説明する、アクセス制御ポリシファイル７０の生成に関する処理を説明するフローチャートを示す図である。
【図１２】本発明の一実施形態として説明する、アクセス制御ポリシ修正画面３３０の一例を示す図である。
【図１３】本発明の一実施形態として説明する、ＨＴＴＰリクエストが送信されてきた場合にＷＷＷサーバ１及びデータベースサーバ１０にて行われる処理を説明するフローチャートを示す図である。
【図１４】本発明の一実施形態として説明する、図１３のステップ２０４の処理において個人情報処理部８８からの依頼に応じて個人情報アクセス制御部８９が行う個人情報の暗号化の処理、及び暗号化された個人情報のデータベース１１への登録に関する処理を説明するフローチャートを示す図である。
【図１５】本発明の一実施形態として説明する、アクセス制御に関する処理を説明するフローチャートを示す図である。
【図１６】本発明の一実施形態として説明する、ログファイルに記録されるログ情報の一例を示す図である。
【符号の説明】
【００６５】
１    ＷＷＷサーバ                  ２    クライアント
３    インターネット                ４    ブラウザ
１０    データベースサーバ          １１    データベース
１３    内部ネットワーク            ２０    個人情報入力画面
２５    ＨＴＭＬ文書                ３４，９２，９３    Ｗｅｂアプリケーション
４０    プライバシポリシ            ４３    Ｐ３Ｐポリシファイル
６０    マップファイル              ６７    マップファイル生成装置
７０    アクセス制御ポリシファイル  ７４    アクセス制御ポリシファイル生成装置
７６    ルールファイル              ８０    ＨＴＴＰサーバ
８８    個人情報処理部              ８９    個人情報アクセス制御部
１２０  モニタ部                    １３０  ログファイル
１６０  情報処理装置
【図１Ａ】
2005284353.tif 000003
【図１Ｂ】
2005284353.tif 000004
【図２】
2005284353.tif 000005
【図３】
2005284353.tif 000006
【図４】
2005284353.tif 000007
【図５】
2005284353.tif 000008
【図６】
2005284353.tif 000009
【図７】
2005284353.tif 000010
【図８】
2005284353.tif 000011
【図９】
2005284353.tif 000012
【図１０】
2005284353.tif 000013
【図１１】
2005284353.tif 000014
【図１２】
2005284353.tif 000015
【図１３】
2005284353.tif 000016
【図１４】
2005284353.tif 000017
【図１５】
2005284353.tif 000018
【図１６】
2005284353.tif 000019