(57)【要約】【課題】  簡単な構成とし、不正アクセス者に対し盗んでも意味の無いデータであると思わせるようにする。【解決手段】  個人情報保護サーバ２０により、通信回線４１を介してユーザ端末４０からの個人情報の入力が受け付けられると、その個人情報と複数のダミー情報とが混在して個人情報データベース３０に登録されるようにし、従来のような追跡システム等を用いずに、真の個人情報に大量のダミー情報を混在させておくことで、真の個人情報の判別が不可能となるようにしておく。【選択図】  図１
2007018028.tif 000002
【特許請求の範囲】
【請求項１】
個人情報を保護する情報保護システムであって、
通信回線を介して個人情報の入力が可能なユーザ端末と、
前記個人情報と複数のダミー情報とが混在して登録される個人情報データベースと、
前記ユーザ端末からの前記個人情報の入力を受け付け、その個人情報と複数のダミー情報とを混在させて前記個人情報データベースに登録する個人情報保護サーバとを備える
ことを特徴とする情報保護システム。
【請求項２】
前記個人情報保護サーバは、前記複数のダミー情報を混在させるとき、前記個人情報と同じクラスターとなるようなダミー情報を生成することを特徴とする請求項１に記載の情報保護システム。
【請求項３】
前記同じクラスターは、前記個人情報に含まれる少なくとも生年月日を元にしていることを特徴とする請求項２に記載の情報保護システム。
【請求項４】
前記個人情報保護サーバは、前記複数のダミー情報を混在させるとき、前記個人情報と前記ダミー情報とに専用アプリケーションプログラムによってのみ識別できる情報を付加することを特徴とする請求項１〜３のいずれかに記載の情報保護システム。
【請求項５】
全国都道府県別住所が登録されている全国都道府県別住所データベースと、
複数の苗字が登録されている苗字データベースと、
複数の名前が登録されている名前データベースと、
複数の電話番号が登録されている電話番号データベースと、
複数の携帯電話番号が登録されている携帯電話データベースと、
複数のメールアドレスが登録されているメールアドレスデータベースと、
複数の購買履歴が登録されている購買履歴データベースと、
真の個人情報と複数のダミー情報とが混在して登録される個人情報データベースとを備え、
前記個人情報保護サーバは、前記複数のダミー情報を混在させるとき、前記全国都道府県別住所データベースに登録されている複数の住所と、前記苗字データベースに登録されている複数の苗字と、前記名前データベースに登録されている複数の名前と、前記電話番号データベースに登録されている複数の電話番号と、前記携帯電話データベースに登録されている複数の携帯電話番号と、前記メールアドレスデータベースに登録されている複数のメールアドレスと、前記購買履歴データベースに登録されている複数の購買履歴とを選択し、これらの情報を組み合わせて前記複数のダミー情報を生成し、前記個人情報データベースに登録する
ことを特徴とする請求項１〜４のいずれかに記載の情報保護システム。
【請求項６】
前記個人情報保護サーバは、
前記全国都道府県別住所データベース、前記苗字データベース、前記名前データベース、前記電話番号データベース、前記携帯電話データベース、前記メールアドレスデータベース、前記購買履歴データベースのそれぞれから複数のデータを選択するデータ選択手段と、
これらのデータベースから得られる以外の情報を付加する情報付加手段と、
いずれかのユーザ端末から郵便番号、住所、氏名、生年月日、性別、電話番号、携帯電話番号、メールアドレスを含む情報が得られると、その情報を真の個人情報として扱い、前記データ選択手段に対するデータの選択制御と、前記情報付加手段に対する情報付加制御とを行うダミー情報選択制手段と、
前記データ選択手段及び情報付加手段から得られる複数のデータからなる複数のダミー情報を前記真の個人情報に混在させるダミー情報混在手段と、
このダミー情報混在手段によって混在された前記真の個人情報と前記複数のダミー情報とを前記個人情報データベースに登録する個人情報登録手段とを備える
ことを特徴とする請求項５に記載の情報保護システム。
【請求項７】
前記データ選択手段は、
前記全国都道府県別住所データベースから任意の住所を複数選択し、その選択した複数の住所を前記ダミー情報混在手段に渡す全国都道府県別住所データ選択部と、
前記苗字データベースから任意の苗字を複数選択し、その選択した複数の苗字を前記ダミー情報混在手段に渡す苗字データ選択部と、
前記名前データベースから任意の名前を複数選択し、その選択した複数の名前を前記ダミー情報混在手段に渡す名前データ選択部と、
前記全国都道府県別住所データ選択部にリンクし、その全国都道府県別住所データ選択部によって選択された任意の住所に対応して前記電話番号データベースから任意の電話番号を複数選択し、その選択した複数の電話番号を前記ダミー情報混在手段に渡す電話番号データ選択手段と、
前記携帯電話データベースから任意の携帯電話番号を複数選択し、その選択した複数の携帯電話番号を前記ダミー情報混在手段に渡す携帯電話データ選択部と、
前記メールアドレスデータベースから任意のメールアドレスを複数選択し、その選択した複数のメールアドレスを前記ダミー情報混在手段に渡すメールアドレスデータ選択部と、
前記購買履歴データベースから任意の購買履歴を複数選択し、その選択した複数の購買履歴を前記ダミー情報混在手段に渡す購買履歴データ選択部とを有し、
前記情報付加手段は、前記苗字データ選択部又は前記名前データ選択部にリンクし、その苗字データ選択部又は名前データ選択部によって選択された任意の苗字又は名前に対応させて性別を示す情報を前記ダミー情報混在手段に渡す性別付加部と、
前記苗字データ選択部にリンクし、その苗字データ選択部によって選択された任意の苗字に対応させて生年月日を示す情報を前記ダミー情報混在手段に渡す生年月日付加部と、
前記真の個人情報を識別するためのタグ情報を前記ダミー情報混在手段に渡すタグ情報付加部とを有する
ことを特徴とする請求項６に記載の情報保護システム。
【請求項８】
全国都道府県別住所データベース、苗字データベース、前記名前データベース、前記電話番号データベース、前記携帯電話データベース、前記メールアドレスデータベース、前記購買履歴データベースのそれぞれから複数のデータを選択するデータ選択手段と、
これらのデータベースから得られる以外の情報を付加する情報付加手段と、
いずれかのユーザ端末から郵便番号、住所、氏名、生年月日、性別、電話番号、携帯電話番号、メールアドレスを含む情報が得られると、その情報を真の個人情報として扱い、前記データ選択手段に対するデータの選択制御と、前記情報付加手段に対する情報付加制御とを行うダミー情報選択制手段と、
前記データ選択手段及び情報付加手段から得られる複数のデータからなる複数のダミー情報を前記真の個人情報に混在させるダミー情報混在手段と、
このダミー情報混在手段によって混在された前記真の個人情報と前記複数のダミー情報とを前記個人情報データベースに登録する個人情報登録手段とを備える
ことを特徴とする情報保護サーバ。
【請求項９】
前記データ選択手段は、
前記全国都道府県別住所データベースから任意の住所を複数選択し、その選択した複数の住所を前記ダミー情報混在手段に渡す全国都道府県別住所データ選択部と、
前記苗字データベースから任意の苗字を複数選択し、その選択した複数の苗字を前記ダミー情報混在手段に渡す苗字データ選択部と、
前記名前データベースから任意の名前を複数選択し、その選択した複数の名前を前記ダミー情報混在手段に渡す名前データ選択部と、
前記全国都道府県別住所データ選択部にリンクし、その全国都道府県別住所データ選択部によって選択された任意の住所に対応して前記電話番号データベースから任意の電話番号を複数選択し、その選択した複数の電話番号を前記ダミー情報混在手段に渡す電話番号データ選択手段と、
前記携帯電話データベースから任意の携帯電話番号を複数選択し、その選択した複数の携帯電話番号を前記ダミー情報混在手段に渡す携帯電話データ選択部と、
前記メールアドレスデータベースから任意のメールアドレスを複数選択し、その選択した複数のメールアドレスを前記ダミー情報混在手段に渡すメールアドレスデータ選択部と、
前記購買履歴データベースから任意の購買履歴を複数選択し、その選択した複数の購買履歴を前記ダミー情報混在手段に渡す購買履歴データ選択部とを有し、
前記情報付加手段は、
前記名前データ選択部にリンクし、その名前データ選択部によって選択された任意の名前に対応させて性別を示す情報を前記ダミー情報混在手段に渡す性別付加部と、
前記苗字データ選択部又は前記名前データ選択部にリンクし、その苗字データ選択部又は名前データ選択部によって選択された任意の苗字又は任意の名前に対応させて生年月日を示す情報を前記ダミー情報混在手段に渡す生年月日付加部と、
前記真の個人情報を識別するためのタグ情報を前記ダミー情報混在手段に渡すタグ情報付加部とを有する
ことを特徴とする請求項８に記載の情報保護サーバ。
【請求項１０】
個人情報を保護する情報保護方法であって、
通信回線に接続されたユーザ端末からの個人情報の入力が受け付けられる工程と、
前記個人情報の入力が受け付けられると、その個人情報と複数のダミー情報とが混在させて個人情報データベースに登録される工程とを有する
ことを特徴とする情報保護方法。
【請求項１１】
前記複数のダミー情報が混在されるとき、前記個人情報と同じクラスターとなるようなダミー情報が生成される工程を有することを特徴とする請求項１０に記載の情報保護方法。
【請求項１２】
前記同じクラスターは、前記個人情報に含まれる少なくとも生年月日を元にしていることを特徴とする請求項１１に記載の情報保護方法。
【請求項１３】
前記複数のダミー情報が混在されるとき、前記個人情報と前記ダミー情報とに専用アプリケーションプログラムによってのみ識別できる情報が付加される工程を有することを特徴とする請求項１０〜１２のいずれかに記載の情報保護方法。
【請求項１４】
前記複数のダミー情報が混在されるとき、全国都道府県別住所データベースに登録されている複数の住所と、苗字データベースに登録されている複数の苗字と、名前データベースに登録されている複数の名前と、電話番号データベースに登録されている複数の電話番号と、携帯電話データベースに登録されている複数の携帯電話番号と、メールアドレスデータベースに登録されている複数のメールアドレスと、購買履歴データベースに登録されている複数の購買履歴とが選択される工程と、
これらの情報が組み合わされて前記複数のダミー情報が生成され、前記個人情報データベースに登録される工程とを有する
ことを特徴とする請求項１０〜１３のいずれかに記載の情報保護方法。
【請求項１５】
前記全国都道府県別住所データベース、前記苗字データベース、前記名前データベース、前記電話番号データベース、前記携帯電話データベース、前記メールアドレスデータベース、前記購買履歴データベースのそれぞれから得られるデータ以外の情報が付加される工程と、
いずれかのユーザ端末から郵便番号、住所、氏名、生年月日、性別、電話番号、携帯電話番号、メールアドレスを含む情報が得られると、その情報を真の個人情報として扱い、データの選択制御と、情報の付加制御とが行われる工程と、
複数の選択されたデータ及び付加された情報からなる複数のダミー情報が前記真の個人情報に混在される工程と、
その混在された前記真の個人情報と前記複数のダミー情報とが前記個人情報データベースに登録される工程とを有する
ことを特徴とする請求項１４に記載の情報保護方法。
【請求項１６】
前記名前データベースからの名前のデータの選択にリンクし、その選択された任意の名前に対応させて性別を示す情報が付加される工程と、
前記苗字データベースからの苗字のデータの選択又は前記名前データベースからの名前のデータの選択にリンクし、その選択された任意の苗字又は任意の名前に対応させて生年月日を示す情報が付加される工程と、
前記真の個人情報を識別するためのタグ情報が付加される工程とを有する
ことを特徴とする請求項１５に記載の情報保護方法。
【請求項１７】
個人情報を保護する情報保護方法を実行するための工程を示す情報保護プログラムであって、
通信回線に接続されたユーザ端末からの個人情報の入力が受け付けられる工程と、
前記個人情報の入力が受け付けられると、その個人情報と複数のダミー情報とが混在させて個人情報データベースに登録される工程とを有する
ことを特徴とする情報保護プログラム。
【請求項１８】
前記複数のダミー情報が混在されるとき、前記個人情報と同じクラスターとなるようなダミー情報が生成される工程を有することを特徴とする請求項１７に記載の情報保護プログラム。
【請求項１９】
前記同じクラスターは、前記個人情報に含まれる少なくとも生年月日を元にしていることを特徴とする請求項１８に記載の情報保護プログラム。
【請求項２０】
前記複数のダミー情報が混在されるとき、前記個人情報と前記ダミー情報とに専用アプリケーションプログラムによってのみ識別できる情報が付加される工程を有することを特徴とする請求項１７〜１９のいずれかに記載の情報保護プログラム。
【請求項２１】
前記複数のダミー情報が混在されるとき、全国都道府県別住所データベースに登録されている複数の住所と、苗字データベースに登録されている複数の苗字と、名前データベースに登録されている複数の名前と、電話番号データベースに登録されている複数の電話番号と、携帯電話データベースに登録されている複数の携帯電話番号と、メールアドレスデータベースに登録されている複数のメールアドレスと、購買履歴データベースに登録されている複数の購買履歴とが選択される工程と、
これらの情報が組み合わされて前記複数のダミー情報が生成され、前記個人情報データベースに登録される工程とを有する
ことを特徴とする請求項１７〜２０のいずれかに記載の情報保護プログラム。
【請求項２２】
前記全国都道府県別住所データベース、前記苗字データベース、前記名前データベース、前記電話番号データベース、前記携帯電話データベース、前記メールアドレスデータベース、前記購買履歴データベースのそれぞれから得られるデータ以外の情報が付加される工程と、
いずれかのユーザ端末から郵便番号、住所、氏名、生年月日、性別、電話番号、携帯電話番号、メールアドレスを含む情報が得られると、その情報を真の個人情報として扱い、データの選択制御と、情報の付加制御とが行われる工程と、
複数の選択されたデータ及び付加された情報からなる複数のダミー情報が前記真の個人情報に混在される工程と、
その混在された前記真の個人情報と前記複数のダミー情報とが前記個人情報データベースに登録される工程とを有する
ことを特徴とする請求項２１に記載の情報保護プログラム。
【請求項２３】
前記名前データベースからの名前のデータの選択にリンクし、その選択された任意の名前に対応させて性別を示す情報が付加される工程と、
前記苗字データベースからの苗字のデータの選択又は前記名前データベースからの名前のデータの選択にリンクし、その選択された任意の苗字又は任意の名前に対応させて生年月日を示す情報が付加される工程と、
前記真の個人情報を識別するためのタグ情報が付加される工程とを有する
ことを特徴とする請求項２２に記載の情報保護プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、たとえば個人情報を保護する情報保護システム、情報保護サーバ、情報保護方法、情報保護プログラムに関し、特に真の個人情報とその真の個人情報に対応させた複数のダミー情報とを混在させる情報保護システム、情報保護サーバ、情報保護方法、情報保護プログラムに関する。
【背景技術】
【０００２】
近年、ユビキタス社会の進展により、様々な個人情報を含むデータが大量に収集され、統計やマーケティング、あるいは様々な有料サービスに応じた課金処理等に利用されている。
【０００３】
一方、昨今では、個人情報の目的外利用や情報漏洩といった、情報セキュリティ面のリスクの増大に対する社会の関心が高まっている。すなわち、大量の個人情報を扱う企業等にあっては、個人情報の漏洩等があると、その個人情報の悪用等によって直接的、あるいは間接的に多大なダメージを受けることになるからである。
【０００４】
そこで、個人情報の漏洩等を防ぐための防衛対策が必要となるが、通常、組織的、人的、物理的、技術的の４つの観点から対策を考えることが重要であると言われている。
【０００５】
ちなみに、組織的な観点では、個人データの安全管理措置を講じるための組織体制の整備、個人データの安全管理措置を定める規程等の整備と規程等に従った運用、個人データの取扱い状況を一覧できる手段の整備、個人データの安全管理措置の評価、見直し及び改善、事故又は違反への対処等の項目に沿った対策を講じる必要がある。
【０００６】
人的な観点では、雇用及び契約時における非開示契約の締結、従業員に対する周知・教育・訓練の実施等の項目に沿った対策を講じる必要がある。物理的な観点では、入退館（室）管理、盗難等の防止、機器・装置等の物理的な保護等の項目に沿った対策を講じる必要がある。
【０００７】
技術的な観点では、個人データへのアクセスにおける識別と認証、個人データへのアクセス制御、個人データへのアクセス権限の管理、個人データのアクセスの記録、個人データを取り扱う情報システムについての不正ソフトウェア対策、個人データの移送・送信時の対策、個人データを取り扱う情報システムの動作確認時の対策、個人データを取り扱う情報システムの監視等の項目に沿った対策を講じる必要がある。
【０００８】
ところが、これらの防衛対策を講じようとすると、慣れ親しんだ運用プロセスの変更が必要となり、当然のことながら管理や確認の手順が増えてしまい、実際にこれらの対策が漏れなく施されていないことが実状である。
【０００９】
多くの企業等では、ファイヤーウォールやセキュリティパッチによって外部からの不正アクセス防ぐことは当然行われていると思われるが、内部からの情報流出についてはニュースで頻繁に報道されているように対策が不十分である場合が多いものとなっている。
【００１０】
個人情報の流出を防ぐためには、個人情報を取り扱う従業者一人ひとりにアクセス権限を設定し、業務上必要なデータのみアクセスできるようにし、データにアクセスした場合、誰がいつアクセスしたか、どのような処理がなされたか、そして万一、情報流出した場合には誰が持ち出した可能性があるかなどを把握できるように管理することが必要となる。
【００１１】
ウイルス対策も基本対策の１つである。ウイルスによっては、ハードディスク内に保存している個人データや、操作中の画面イメージを破壊したり外部に送信するものがある。個人情報が含まれるデータや個人データを参照しているＰＣが、悪意のあるプログラムからの攻撃に脅かされないように、ウイルス対策やセキュリティパッチの適用は必須事項である。
【００１２】
データの移送の際の対策も重要である。インターネットや無線ＬＡＮなど、盗聴される可能性のあるネットワークでは暗号化は当然必要であるし、移送の際にもメディア形態を問わず暗号化が必須である。
【００１３】
しかしなが、上述した防衛対策によっては設備や人件費等が嵩むため、企業等にとっては大きな負担となる場合もあるし、セキュリティに過敏なまでに神経質になると仕事の能率が下がるという悪影響を及ぼす場合もある。
【００１４】
また、ハードディスク等に個人情報が記録されているパソコン等が盗まれたりすることでも個人情報が外部に流出してしまうため、盗難には警備システムを強化することなども重要である。ところが、このような盗難は、故意に行われるものと、過失のものとの二つがあり、情報管理態勢を整えるだけでは、なかなか防げるものではない。すなわち、あまりに厳しい情報管理は従業員の士気を下げかねず、従業員が「信頼されていない」と感じるであろうし、事務手続きも煩雑になりがちで、かえって過失や漏洩を招く危険性を招きかねない。
【００１５】
こうした個人情報の流出リスクに対抗する防衛対策は、たいへんなコストがかかる上に、絶対に安全な方法とまでは言えないのが実情である。そのため、個人情報を扱う事業者は、絶対的な対策方法が見つからないまま、次善の策を幾重にも積み重ねることによって、少しでも高い安全性を担保しようとしている。
【００１６】
個人情報の防衛対策として、特許文献１では、情報処理サーバを送信先として情報処理端末より送信されたパケットを不正検出サーバが受信し、不正検出サーバは受信したパケットに含まれる情報を分析して不正な目的を有するパケットを検出し、不正パケットであることを表示するマークを検出した不正パケットに付加し、マークを判別する機能を有する情報処理サーバ又はおとりサーバに送信し、マークが付加された不正パケットを受信した情報処理サーバ又はおとりサーバは、不正パケットを送信した情報処理端末に対して偽情報を送信する等の不正回避処理を行うようにした不正メッセージ検出装置を提案している。
【００１７】
特許文献２では、クライアントのアクセスが正常であるか不正であるであるかをセキュリティサーバで検出し、正常アクセスをサーバで処理し、不正アクセスをダミーサーバに誘導して、不正アクセスに対する偽処理とアクセスデータの採取、解析とを行い、不正アクセス防止のサービスを実施するようにした不正アクセス防止サービスシステムを提案している。
【００１８】
特許文献３では、情報を作成する情報処理装置と、情報を集計する情報処理装置を備え互いに通信するシステムであって、情報処理装置で作成されデータを送信する手段と、情報処理装置で情報処理装置から送信されたデータを受信する手段と、を備え、データを暗号化してデータそのものを秘匿することに加え、送信するデータにダミーデータを混在させ、データ量による状況の推測を防ぐことにより、より高度なセキュリティ通信を実現するようにした暗号化データ送信システムを提案している。
【００１９】
特許文献４では、緊急対策用カードとして磁気を使わず、光学式カードを使用し、そのカードのデータ記録部には、各種絵柄を使用し、ダミーのデータを混入することによりデータ解析に費やす時間を稼ぐ手段を講じ、その時間で、新規カードの開発を行うようにしたカードの不正使用防止緊急対策案を提案している。
【特許文献１】特開２００２−７２３４号公報
【特許文献２】特開２００２−４１４６８号公報
【特許文献３】特開２００４−２６０５０８号公報
【特許文献４】特開平０９−３１９８５１号公報
【発明の開示】
【発明が解決しようとする課題】
【００２０】
ところで、特許文献１に示されたものでは、不正アクセスの検知をパケットに含まれる情報自体から判断し、不正な要求元に対してわざと侵入させ、侵入者には成功したと思わせておき、その間に不正に関する情報（アクセスの対象、侵入者のアドレス、手順等）を収集するようにしているが、パケットの発信元ＩＰアドレスが改竄され、侵入元を偽ったり、他人になりすましたりされると、侵入者を追跡することは極めて困難であるばかりか、追跡システムを構築する必要があり、設備投資が嵩んでしまうという問題があった。
【００２１】
また、特許文献２に示されたものでは、前置セキュリティサーバで不正アクセスを検出し、不正アクセスによるアクセスデータをダミーサーバで採取するようにしているが、上記同様に、パケットの発信元ＩＰアドレスが改竄され、侵入元を偽ったり、他人になりすましたりされると、侵入者を追跡することは極めて困難であるばかりか、追跡システムを構築する必要があり、設備投資が嵩んでしまうという問題があった。
【００２２】
また、特許文献３に示されたものでは、データを暗号化してデータそのものを秘匿することに加えて、送信するデータにダミーデータを混在させ、データ量による状況の推測を防ぐようにしているが、記録元には真のデータが検索可能に存在しているので、記録元へ不正アクセスがあった場合、それを防ぐことは困難であるという問題があった。
【００２３】
また、特許文献４に示されたものでは、ダミーのデータを混入することで、データ解析に費やす時間を稼ぐようにしているが、ダミーのデータは光学式カードに記録されているため、ダミーのデータの量には自ずと限界があり、しかも真のデータを解析する対象が特定されることになるため、それを防ぐことは困難であるという問題があった。
【００２４】
本発明は、このような状況に鑑みてなされたものであり、簡単な構成で、不正アクセス者に対し盗んでも意味の無いデータであると思わせることができる情報保護システム、情報保護サーバ、情報保護方法、情報保護プログラムを提供することを目的とする。
【課題を解決するための手段】
【００２５】
本発明の情報保護システムは、個人情報を保護する情報保護システムであって、通信回線を介して個人情報の入力が可能なユーザ端末と、前記個人情報と複数のダミー情報とが混在して登録される個人情報データベースと、前記ユーザ端末からの前記個人情報の入力を受け付け、その個人情報と複数のダミー情報とを混在させて前記個人情報データベースに登録する個人情報保護サーバとを備えることを特徴とする。
【００２６】
また、前記個人情報保護サーバは、前記複数のダミー情報を混在させるとき、前記個人情報と同じクラスターとなるようなダミー情報を生成するようにしてもよい。
【００２７】
また、前記同じクラスターは、前記個人情報に含まれる少なくとも生年月日を元にしているようにしてもよい。
【００２８】
また、前記個人情報保護サーバは、前記複数のダミー情報を混在させるとき、前記個人情報と前記ダミー情報とに専用アプリケーションプログラムによってのみ識別できる情報を付加するようにしてもよい。
【００２９】
また、全国都道府県別住所が登録されている全国都道府県別住所データベースと、複数の苗字が登録されている苗字データベースと、複数の名前が登録されている名前データベースと、複数の電話番号が登録されている電話番号データベースと、複数の携帯電話番号が登録されている携帯電話データベースと、複数のメールアドレスが登録されているメールアドレスデータベースと、複数の購買履歴が登録されている購買履歴データベースと、真の個人情報と複数のダミー情報とが混在して登録される個人情報データベースとを備え、前記個人情報保護サーバは、前記複数のダミー情報を混在させるとき、前記全国都道府県別住所データベースに登録されている複数の住所と、前記苗字データベースに登録されている複数の苗字と、前記名前データベースに登録されている複数の名前と、前記電話番号データベースに登録されている複数の電話番号と、前記携帯電話データベースに登録されている複数の携帯電話番号と、前記メールアドレスデータベースに登録されている複数のメールアドレスと、前記購買履歴データベースに登録されている複数の購買履歴とを選択し、これらの情報を組み合わせて前記複数のダミー情報を生成し、前記個人情報データベースに登録するようにしてもよい。
【００３０】
また、前記個人情報保護サーバは、前記全国都道府県別住所データベース、前記苗字データベース、前記名前データベース、前記電話番号データベース、前記携帯電話データベース、前記メールアドレスデータベース、前記購買履歴データベースのそれぞれから複数のデータを選択するデータ選択手段と、これらのデータベースから得られる以外の情報を付加する情報付加手段と、いずれかのユーザ端末から郵便番号、住所、氏名、生年月日、性別、電話番号、携帯電話番号、メールアドレスを含む情報が得られると、その情報を真の個人情報として扱い、前記データ選択手段に対するデータの選択制御と、前記情報付加手段に対する情報付加制御とを行うダミー情報選択制手段と、前記データ選択手段及び情報付加手段から得られる複数のデータからなる複数のダミー情報を前記真の個人情報に混在させるダミー情報混在手段と、このダミー情報混在手段によって混在された前記真の個人情報と前記複数のダミー情報とを前記個人情報データベースに登録する個人情報登録手段とを備えるようにしてもよい。
【００３１】
また、前記データ選択手段は、前記全国都道府県別住所データベースから任意の住所を複数選択し、その選択した複数の住所を前記ダミー情報混在手段に渡す全国都道府県別住所データ選択部と、前記苗字データベースから任意の苗字を複数選択し、その選択した複数の苗字を前記ダミー情報混在手段に渡す苗字データ選択部と、前記名前データベースから任意の名前を複数選択し、その選択した複数の名前を前記ダミー情報混在手段に渡す名前データ選択部と、前記全国都道府県別住所データ選択部にリンクし、その全国都道府県別住所データ選択部によって選択された任意の住所に対応して前記電話番号データベースから任意の電話番号を複数選択し、その選択した複数の電話番号を前記ダミー情報混在手段に渡す電話番号データ選択手段と、前記携帯電話データベースから任意の携帯電話番号を複数選択し、その選択した複数の携帯電話番号を前記ダミー情報混在手段に渡す携帯電話データ選択部と、前記メールアドレスデータベースから任意のメールアドレスを複数選択し、その選択した複数のメールアドレスを前記ダミー情報混在手段に渡すメールアドレスデータ選択部と、前記購買履歴データベースから任意の購買履歴を複数選択し、その選択した複数の購買履歴を前記ダミー情報混在手段に渡す購買履歴データ選択部とを有し、前記情報付加手段は、前記苗字データ選択部又は前記名前データ選択部にリンクし、その苗字データ選択部又は名前データ選択部によって選択された任意の苗字又は名前に対応させて性別を示す情報を前記ダミー情報混在手段に渡す性別付加部と、前記苗字データ選択部にリンクし、その苗字データ選択部によって選択された任意の苗字に対応させて生年月日を示す情報を前記ダミー情報混在手段に渡す生年月日付加部と、前記真の個人情報を識別するためのタグ情報を前記ダミー情報混在手段に渡すタグ情報付加部とを有するようにしてもよい。
【００３２】
本発明の情報保護サーバは、全国都道府県別住所データベース、苗字データベース、前記名前データベース、前記電話番号データベース、前記携帯電話データベース、前記メールアドレスデータベース、前記購買履歴データベースのそれぞれから複数のデータを選択するデータ選択手段と、これらのデータベースから得られる以外の情報を付加する情報付加手段と、いずれかのユーザ端末から郵便番号、住所、氏名、生年月日、性別、電話番号、携帯電話番号、メールアドレスを含む情報が得られると、その情報を真の個人情報として扱い、前記データ選択手段に対するデータの選択制御と、前記情報付加手段に対する情報付加制御とを行うダミー情報選択制手段と、前記データ選択手段及び情報付加手段から得られる複数のデータからなる複数のダミー情報を前記真の個人情報に混在させるダミー情報混在手段と、このダミー情報混在手段によって混在された前記真の個人情報と前記複数のダミー情報とを前記個人情報データベースに登録する個人情報登録手段とを備えることを特徴とする。
【００３３】
また、前記データ選択手段は、前記全国都道府県別住所データベースから任意の住所を複数選択し、その選択した複数の住所を前記ダミー情報混在手段に渡す全国都道府県別住所データ選択部と、前記苗字データベースから任意の苗字を複数選択し、その選択した複数の苗字を前記ダミー情報混在手段に渡す苗字データ選択部と、前記名前データベースから任意の名前を複数選択し、その選択した複数の名前を前記ダミー情報混在手段に渡す名前データ選択部と、前記全国都道府県別住所データ選択部にリンクし、その全国都道府県別住所データ選択部によって選択された任意の住所に対応して前記電話番号データベースから任意の電話番号を複数選択し、その選択した複数の電話番号を前記ダミー情報混在手段に渡す電話番号データ選択手段と、前記携帯電話データベースから任意の携帯電話番号を複数選択し、その選択した複数の携帯電話番号を前記ダミー情報混在手段に渡す携帯電話データ選択部と、前記メールアドレスデータベースから任意のメールアドレスを複数選択し、その選択した複数のメールアドレスを前記ダミー情報混在手段に渡すメールアドレスデータ選択部と、前記購買履歴データベースから任意の購買履歴を複数選択し、その選択した複数の購買履歴を前記ダミー情報混在手段に渡す購買履歴データ選択部とを有し、前記情報付加手段は、前記名前データ選択部にリンクし、その名前データ選択部によって選択された任意の名前に対応させて性別を示す情報を前記ダミー情報混在手段に渡す性別付加部と、前記苗字データ選択部又は前記名前データ選択部にリンクし、その苗字データ選択部又は名前データ選択部によって選択された任意の苗字又は任意の名前に対応させて生年月日を示す情報を前記ダミー情報混在手段に渡す生年月日付加部と、前記真の個人情報を識別するためのタグ情報を前記ダミー情報混在手段に渡すタグ情報付加部とを有するようにしてもよい。
【００３４】
本発明の情報保護方法は、個人情報を保護する情報保護方法であって、通信回線に接続されたユーザ端末からの個人情報の入力が受け付けられる工程と、前記個人情報の入力が受け付けられると、その個人情報と複数のダミー情報とが混在させて個人情報データベースに登録される工程とを有することを特徴とする。
【００３５】
また、前記複数のダミー情報が混在されるとき、前記個人情報と同じクラスターとなるようなダミー情報が生成される工程を有するようにしてもよい。
【００３６】
また、前記同じクラスターは、前記個人情報に含まれる少なくとも生年月日を元にしているようにしてもよい。
【００３７】
また、前記複数のダミー情報が混在されるとき、前記個人情報と前記ダミー情報とに専用アプリケーションプログラムによってのみ識別できる情報が付加される工程を有するようにしてもよい。
【００３８】
また、前記複数のダミー情報が混在されるとき、全国都道府県別住所データベースに登録されている複数の住所と、苗字データベースに登録されている複数の苗字と、名前データベースに登録されている複数の名前と、電話番号データベースに登録されている複数の電話番号と、携帯電話データベースに登録されている複数の携帯電話番号と、メールアドレスデータベースに登録されている複数のメールアドレスと、購買履歴データベースに登録されている複数の購買履歴とが選択される工程と、これらの情報が組み合わされて前記複数のダミー情報が生成され、前記個人情報データベースに登録される工程とを有するようにしてもよい。
【００３９】
また、前記全国都道府県別住所データベース、前記苗字データベース、前記名前データベース、前記電話番号データベース、前記携帯電話データベース、前記メールアドレスデータベース、前記購買履歴データベースのそれぞれから得られるデータ以外の情報が付加される工程と、いずれかのユーザ端末から郵便番号、住所、氏名、生年月日、性別、電話番号、携帯電話番号、メールアドレスを含む情報が得られると、その情報を真の個人情報として扱い、データの選択制御と、情報の付加制御とが行われる工程と、複数の選択されたデータ及び付加された情報からなる複数のダミー情報が前記真の個人情報に混在される工程と、その混在された前記真の個人情報と前記複数のダミー情報とが前記個人情報データベースに登録される工程とを有するようにしてもよい。
【００４０】
また、前記名前データベースからの名前のデータの選択にリンクし、その選択された任意の名前に対応させて性別を示す情報が付加される工程と、前記苗字データベースからの苗字のデータの選択又は前記名前データベースからの名前のデータの選択にリンクし、その選択された任意の苗字又は任意の名前に対応させて生年月日を示す情報が付加される工程と、前記真の個人情報を識別するためのタグ情報が付加される工程とを有するようにしてもよい。
【００４１】
本発明の情報保護プログラムは、個人情報を保護する情報保護方法を実行するための工程を示す情報保護プログラムであって、通信回線に接続されたユーザ端末からの個人情報の入力が受け付けられる工程と、前記個人情報の入力が受け付けられると、その個人情報と複数のダミー情報とが混在させて個人情報データベースに登録される工程とを有することを特徴とする。
【００４２】
また、前記複数のダミー情報が混在されるとき、前記個人情報と同じクラスターとなるようなダミー情報が生成される工程を有するようにしてもよい。
【００４３】
また、前記同じクラスターは、前記個人情報に含まれる少なくとも生年月日を元にしているようにしてもよい。
【００４４】
また、前記複数のダミー情報が混在されるとき、前記個人情報と前記ダミー情報とに専用アプリケーションプログラムによってのみ識別できる情報が付加される工程を有するようにしてもよい。
【００４５】
また、前記複数のダミー情報が混在されるとき、全国都道府県別住所データベースに登録されている複数の住所と、苗字データベースに登録されている複数の苗字と、名前データベースに登録されている複数の名前と、電話番号データベースに登録されている複数の電話番号と、携帯電話データベースに登録されている複数の携帯電話番号と、メールアドレスデータベースに登録されている複数のメールアドレスと、購買履歴データベースに登録されている複数の購買履歴とが選択される工程と、これらの情報が組み合わされて前記複数のダミー情報が生成され、前記個人情報データベースに登録される工程とを有するようにしてもよい。
【００４６】
また、前記全国都道府県別住所データベース、前記苗字データベース、前記名前データベース、前記電話番号データベース、前記携帯電話データベース、前記メールアドレスデータベース、前記購買履歴データベースのそれぞれから得られるデータ以外の情報が付加される工程と、いずれかのユーザ端末から郵便番号、住所、氏名、生年月日、性別、電話番号、携帯電話番号、メールアドレスを含む情報が得られると、その情報を真の個人情報として扱い、データの選択制御と、情報の付加制御とが行われる工程と、複数の選択されたデータ及び付加された情報からなる複数のダミー情報が前記真の個人情報に混在される工程と、その混在された前記真の個人情報と前記複数のダミー情報とが前記個人情報データベースに登録される工程とを有するようにしてもよい。
【００４７】
また、前記名前データベースからの名前のデータの選択にリンクし、その選択された任意の名前に対応させて性別を示す情報が付加される工程と、前記苗字データベースからの苗字のデータの選択又は前記名前データベースからの名前のデータの選択にリンクし、その選択された任意の苗字又は任意の名前に対応させて生年月日を示す情報が付加される工程と、前記真の個人情報を識別するためのタグ情報が付加される工程とを有するようにしてもよい。
【発明を実施するための最良の形態】
【００４８】
本実施形態では、個人情報保護サーバにより、通信回線を介してユーザ端末からの個人情報の入力が受け付けられると、その個人情報と複数のダミー情報とが混在して個人情報データベースに登録されるようにし、従来のような追跡システム等を不要とすることで、簡単な構成とし、しかも真の個人情報に大量のダミー情報を混在させることで、真の個人情報の判別が不可能となるようにし、不正アクセス者に対し盗んでも意味の無いデータであると思わせるようにした。
【実施例】
【００４９】
図１は、本発明の情報保護システムの一実施形態を示す図である。図１に示す情報保護システムは、たとえば個人情報を大量に取り扱う企業等が保有するものであって、個人情報取扱端末１０、個人情報保護サーバ２０、個人情報データベース３０、全国都道府県別住所データベース３１、苗字データベース３２、名前データベース３３、電話番号データベース３４、携帯電話データベース３５、メールアドレスデータベース３６、購買履歴データベース３７を備えている。なお、図中符号４０は、インターネット等の通信回線４１に接続されネット上の情報閲覧が可能なユーザ端末を示している。
【００５０】
個人情報取扱端末１０は、少なくとも個人情報保護サーバ２０の機能の設定やユーザ端末４０からの問い合わせ等に対する回答等を行う場合に操作されるものであり、ディスクトップパソコン、ノートパソコン等の端末である。
【００５１】
個人情報保護サーバ２０は、大量の個人情報を個人情報データベース３０に登録するとともに、個々の真の個人情報毎に、全国都道府県別住所データベース３１、苗字データベース３２、名前データベース３３、電話番号データベース３４、携帯電話データベース３５、メールアドレスデータベース３６、購買履歴データベース３７から得られるそれぞれの情報を組み合わせた大量のダミー情報を混在させるものであり、図２に示すように、ダミー情報選択制御部２１、ダミー情報混在部２２、個人情報登録部２３、データ選択部２４、情報付加部２５を備えている。
【００５２】
ダミー情報選択制御手段としてのダミー情報選択制御部２１は、いずれかのユーザ端末４０からたとえば図３（ａ）に示すような入力フォームの各項目に、図３（ｂ）のように郵便番号、住所、氏名、生年月日、性別、電話番号、携帯電話番号、メールアドレスが入力されて、送信された場合、その入力フォームの情報を真の個人情報として扱い、データ選択部２４に対するデータの選択制御と、情報付加部２５に対する情報付加制御とを行う。
【００５３】
また、ダミー情報選択制御部２１は、ダミー情報混在部２２に対し、データ選択部２４からのデータと、情報付加部２５からの情報とを用いてダミー情報を混在させるとき、真の個人情報と同じクラスターとなるようなダミー情報を生成するように制御する。ここで、同じクラスターは、個人情報に含まれるたとえば生年月日を元にすればよい。
【００５４】
ここで、データ選択手段としてのデータ選択部２４は、全国都道府県別住所データ選択部２４ａ、苗字データ選択部２４ｂ、名前データ選択部２４ｃ、電話番号データ選択部２４ｄ、携帯電話データ選択部２４ｅ、メールアドレスデータ選択部２４ｆ、購買履歴データ選択部２４ｇを有している。
【００５５】
全国都道府県別住所データ選択部２４ａは、全国都道府県別住所データベース３１から任意の住所を複数選択し、その選択した複数の住所をダミー情報混在部２２に渡す。苗字データ選択部２４ｂは、苗字データベース３２から任意の苗字を複数選択し、その選択した複数の苗字をダミー情報混在部２２に渡す。
【００５６】
名前データ選択部２４ｃは、名前データベース３３から任意の名前を複数選択し、その選択した複数の名前をダミー情報混在部２２に渡す。電話番号データ選択部２４ｄは、全国都道府県別住所データ選択部２４ａにリンクし、全国都道府県別住所データ選択部２４ａによって選択された任意の住所に対応して電話番号データベース３４から任意の電話番号を複数選択し、その選択した複数の電話番号をダミー情報混在部２２に渡す。
【００５７】
携帯電話データ選択部２４ｅは、携帯電話データベース３５から任意の携帯電話番号を複数選択し、その選択した複数の携帯電話番号をダミー情報混在部２２に渡す。ここで、携帯電話番号は、地域を示す局番に相当する番号を持たないため、あくまでも任意の携帯電話番号が選択されるようにすることができる。メールアドレスデータ選択部２４ｆは、メールアドレスデータベース３６から任意のメールアドレスを複数選択し、その選択した複数のメールアドレスをダミー情報混在部２２に渡す。
【００５８】
購買履歴データ選択部２４ｇは、購買履歴データベース３７から任意の購買履歴を複数選択し、その選択した複数の購買履歴をダミー情報混在部２２に渡す。
【００５９】
情報付加手段としての情報付加部２５は、性別付加部２５ａ、生年月日付加部２５ｂ、タグ情報付加部２５ｃを有している。性別付加部２５ａは、名前データ選択部２４ｃにリンクし、名前データ選択部２４ｃによって選択された任意の名前に対応させて性別を示す情報をダミー情報混在部２２に渡す。
【００６０】
生年月日付加部２５ｂは、たとえば苗字データ選択部２４ｂにリンクし、苗字データ選択部２４ｂによって選択された任意の苗字に対応させて生年月日を示す情報をダミー情報混在部２２に渡す。なお、生年月日付加部２５ｂは、名前データ選択部２４ｃにリンクしていてもよい。タグ情報付加部２５ｃは、上述した真の個人情報を識別するためのタグ情報をダミー情報混在部２２に渡す。
【００６１】
ダミー情報混在手段としてのダミー情報混在部２２は、上述した真の個人情報に、データ選択部２４及び情報付加部２５から得られる複数のダミー情報を混在させて個人情報登録部２３に渡す。個人情報登録手段としての個人情報登録部２３は、ダミー情報混在部２２から得られる真の個人情報と複数のダミー情報とを個人情報データベース３０に登録する。
【００６２】
ここで、個人情報データベース３０には、図４に示すように、たとえば住所情報３０ａ、氏名情報３０ｂ、電話番号情報３０ｃ、携帯電話番号情報３０ｄ、メールアドレス情報３０ｅ、性別情報３０ｆ、生年月日情報３０ｇ、購買履歴情報３０ｈ、タグ情報３０ｉからなる個人情報が登録される。図４の個人情報は一個人について示しているものであり、真の個人情報とダミー情報とはたとえば”真”を示すタグ情報の有無で区別されるようになっている。
【００６３】
また、住所情報３０ａは上述したように全国都道府県別住所データベース３１から無作為に選択されるものであり、氏名情報３０ｂは上述したように苗字データベース３２と名前データベース３３とから無作為に選択されるものであり、電話番号情報３０ｃは上述したように電話番号データベース３４から無作為に選択されるものであり、携帯電話番号情報３０ｄは上述したように携帯電話データベース３５から無作為に選択されるものであり、メールアドレス情報３０ｅは上述したようにメールアドレスデータベース３６から無作為に選択されるものであり、購買履歴情報３０ｈは上述したように購買履歴データベース３７から無作為に選択されるものである。
【００６４】
これらの住所情報３０ａ、氏名情報３０ｂ、電話番号情報３０ｃ、携帯電話番号情報３０ｄ、メールアドレス情報３０ｅ、購買履歴情報３０ｈは、真の個人情報との識別を困難とするために実際に存在する情報が用いられるものとする。電話番号情報３０ｃ、携帯電話番号情報３０ｄ、メールアドレス情報３０ｅにあっては、それぞれの情報の数字列をランダムに入れ替えたり、ランダムに変更したりしてもよい。
【００６５】
なお、タグ情報３０ｉについては、ダミー情報を作成する専用アプリケーションプログラムのみが識別できる情報であって、表示等によっては識別できない情報である。一方、タグ情報３０ｉ以外の住所情報３０ａ、氏名情報３０ｂ、電話番号情報３０ｃ、携帯電話番号情報３０ｄ、メールアドレス情報３０ｅ、性別情報３０ｆ、生年月日情報３０ｇ、購買履歴情報３０ｈについては、個人情報取扱端末１０上に表示される情報であるが、タグ情報３０ｉが表示されないことから個人情報取扱端末１０を操作するオペレーターにはどの情報が真の個人情報であるかの識別が不可能である。
【００６６】
このようなダミー情報は、真の個人情報に対して大量であればあるほど、不正アクセス者に対する防御効果は有効である。そこで、たとえば日本のおよそ３０００市区町村のデータや、日本人の苗字の存在割合等に即したダミー情報を作成するものとする。この場合、日本の人口の１，０００倍とすると、真の個人情報の全体に対し、およそ１，２５０億人分のダミー情報が作成されることになる。
【００６７】
このように、１，２５０億人分のダミー情報が作成されることで、たとえ不正アクセス者がこれらの大量のダミー情報が混在している個人情報を盗み出しても、真の顧客情報を抽出するためにはダミー情報が大量に混在した個人情報を解析してそのタグ情報３０ｉを抽出するアプリケーションを自力で開発しなければならず、結果的に不正アクセス者に対し盗んでも意味の無いデータであると思わせることができる。
【００６８】
全国都道府県別住所データベース３１には、図５に示すように、都道府県選択テーブル３１ａと住所詳細選択テーブル３１ｂとが設けられている。都道府県選択テーブル３１ａには、たとえば＜北海道／東北＞、＜関東＞、＜甲信越／北陸＞、＜東海＞、＜近畿＞、＜中国＞、＜四国＞、＜九州／沖縄＞のそれぞれの地域毎に分けられた都道府県を選択できる情報が設けられている。
【００６９】
また、これら＜北海道／東北＞、＜関東＞、＜甲信越／北陸＞、＜東海＞、＜近畿＞、＜中国＞、＜四国＞、＜九州／沖縄＞には、識別Ｎｏ．1.〜9.が設けられており、さらに各都道府県には1.-1，1.-2等の従属識別Ｎｏ．が設けられている。
【００７０】
住所詳細選択テーブル３１ｂには、いずれかの都道府県に対応した住所の詳細を選択できる情報が設けられている。そして、都道府県選択テーブル３１ａからいずれかの都道府県としてたとえば北海道が任意に選択されると、住所詳細選択テーブル３１ｂから選択された都道府県としての北海道の住所の詳細（たとえば北海道北見市・・・２丁目・・・）が任意に選択されるようになっている。
【００７１】
また、住所詳細選択テーブル３１ｂには、たとえば使用頻度を示す項目を設けておき、住所の詳細が選択される度にその使用頻度の項目がカウントアップされるようにしてもよい。このように、使用頻度の項目を設けることで、住所の詳細が選択されるとき、使用頻度の少ない項目の住所が選択されるようにすることができ、住所の詳細の選択をほぼ均等に行わせることが可能となる。
【００７２】
苗字データベース３２には、たとえば図６に示すような苗字を選択できる苗字選択テーブル３２ａが設けられている。各苗字には識別Ｎｏ．と、この識別Ｎｏ．に対応させた苗字と、その苗字の使用頻度の項目が設けられている。そして、いずれか苗字が任意の識別Ｎｏ．で選択される度に、その使用頻度の項目がカウントアップされるようにしておくことで、使用頻度の少ない項目の苗字が選択されるようにすることができ、苗字の選択をほぼ均等に行わせることが可能となる。
【００７３】
名前データベース３３には、図７（ａ），（ｂ）に示すように、男子名前選択テーブル３３ａと女子名前選択テーブル３３ｂとが設けられている。各名前には識別Ｎｏ．と、この識別Ｎｏ．に対応させた名前と、その名前の使用頻度の項目が設けられている。そして、いずれか名前が任意の識別Ｎｏ．で選択される度に、その使用頻度の項目がカウントアップされるようにしておくことで、使用頻度の少ない項目の名前が選択されるようにすることができ、名前の選択をほぼ均等に行わせることが可能となる。
【００７４】
電話番号データベース３４には、図８に示すように、上述した全国都道府県別住所データベース３１の住所詳細選択テーブル３１ｂに対応させた電話番号選択テーブル３４ａが設けられている。つまり、電話番号の局番は、地域毎に割り当てられているため、住所に対応した局番を有する電話番号が選択されるようにすることで、真の電話番号との識別を困難にすることができる。
【００７５】
各電話番号には識別Ｎｏ．と、この識別Ｎｏ．に対応させた電話番号と、その電話番号の使用頻度の項目が設けられている。そして、いずれか電話番号が任意の識別Ｎｏ．で選択される度に、その使用頻度の項目がカウントアップされるようにしておくことで、使用頻度の少ない項目の電話番号が選択されるようにすることができ、電話番号の選択をほぼ均等に行わせることが可能となる。
【００７６】
携帯電話データベース３５には、図９に示すように、携帯電話番号選択テーブル３５ａが設けられている。携帯電話番号選択テーブル３５ａには、090,080,070等のように携帯電話番号を識別できる番号毎に複数の携帯電話番号が登録されており、さらに各携帯電話番号には識別Ｎｏ．と、この識別Ｎｏ．に対応させた携帯電話番号と、その携帯電話番号の使用頻度の項目が設けられている。そして、いずれか携帯電話番号が任意の識別Ｎｏ．で選択される度に、その使用頻度の項目がカウントアップされるようにしておくことで、使用頻度の少ない項目の携帯電話番号が選択されるようにすることができ、携帯電話番号の選択をほぼ均等に行わせることが可能となる。
【００７７】
メールアドレスデータベース３６には、図１０に示すように、メールアドレス選択テーブル３６ａが設けられている。メールアドレス選択テーブル３６ａには、現在使用可能と思われる複数のメールアドレスが登録されており、さらに各メールアドレスには識別Ｎｏ．と、そのメールアドレスの使用頻度の項目が設けられている。そして、いずれかのメールアドレスが任意の識別Ｎｏ．で選択される度に、その使用頻度の項目がカウントアップされるようにしておくことで、使用頻度の少ない項目のメールアドレスが選択されるようにすることができ、メールアドレスの選択をほぼ均等に行わせることが可能となる。
【００７８】
購買履歴データベース３７には、図１１に示すように、購買履歴選択テーブル３７ａが設けられている。購買履歴選択テーブル３７ａには、商品購入やサービス利用等の様々な購買履歴が登録されており、さらに各購買履歴には識別Ｎｏ．と、その購買履歴の使用頻度の項目が設けられている。そして、いずれかの購買履歴が任意の識別Ｎｏ．で選択される度に、その使用頻度の項目がカウントアップされるようにしておくことで、使用頻度の少ない項目の購買履歴が選択されるようにすることができ、購買履歴の選択をほぼ均等に行わせることが可能となる。
【００７９】
次に、情報保護方法について説明する。
まず、図１２に示すように、いずれかのユーザ端末４０から個人情報保護サーバ２０に、たとえば図３（ａ）に示したような入力フォームの各項目に、図３（ｂ）のように郵便番号、住所、氏名、生年月日、性別、電話番号、携帯電話番号、メールアドレスが入力されて、送信されると（ステップＳ１）、ダミー情報選択制御部２１により、その入力フォームの情報が真の個人情報として扱われるとともに、データ選択部２４に対するデータの選択制御と、情報付加部２５に対する情報付加制御とが行われることで、真の個人情報と複数のダミー情報とを混在させた個人情報のデータ作成が行われる。
【００８０】
すなわち、全国都道府県別住所データ選択部２４ａにより、全国都道府県別住所データベース３１から任意の住所が複数選択され（ステップＳ２）、その選択された複数の住所がダミー情報混在部２２に渡される。
【００８１】
また、苗字データ選択部２４ｂにより、苗字データベース３２から任意の苗字が複数選択され（ステップＳ３）、その選択された複数の苗字がダミー情報混在部２２に渡される。また、名前データ選択部２４ｃにより、名前データベース３３から任意の名前が複数選択され（ステップＳ４）、その選択された複数の名前がダミー情報混在部２２に渡される。
【００８２】
また、電話番号データ選択部２４ｄにより、電話番号データベース３４から任意の電話番号が複数選択され（ステップＳ５）、その選択された複数の電話番号がダミー情報混在部２２に渡される。ここで、電話番号には、地域に関連する局番が含まれているため、全国都道府県別住所データ選択部２４ａにより選択された住所に関連する電話番号が選択されないと、真の個人情報にダミー情報を混在した効果が薄れてしまう。言い換えれば、選択された住所に関連しない電話番号が選択されると、せっかくダミー情報を混在させても真の個人情報が見破られてしまうことになる。
【００８３】
そこで、電話番号データ選択部２４ｄにより、電話番号データベース３４から任意の電話番号が複数選択されるとき、全国都道府県別住所データ選択部２４ａにリンクされるようにし、全国都道府県別住所データ選択部２４ａによって選択された任意の住所に対応して電話番号データベース３４から任意の電話番号が複数選択されるようになっている。
【００８４】
また、携帯電話データ選択部２４ｅにより、携帯電話データベース３５から任意の携帯電話番号が複数選択され（ステップＳ６）、その選択された複数の携帯電話番号がダミー情報混在部２２に渡される。ここで、携帯電話番号は、上述した電話番号とは異なり、地域を示す局番に相当する番号を持たないため、あくまでも任意の携帯電話番号が選択されるようになっている。
【００８５】
また、メールアドレスデータ選択部２４ｆにより、メールアドレスデータベース３６から任意のメールアドレスが複数選択され（ステップＳ７）、その選択された複数のメールアドレスがダミー情報混在部２２に渡される。
【００８６】
また、購買履歴データ選択部２４ｇにより、購買履歴データベース３７から任意の購買履歴が複数選択され（ステップＳ８）、その選択された複数の購買履歴がダミー情報混在部２２に渡される。
【００８７】
そして、ダミー情報混在部２２により上述したデータ選択部２４や情報付加部２５から得られる各種情報に基づいて真の個人情報に混在すべき複数のダミー情報の作成が開始される（ステップＳ９）。ここで、ダミー情報を含めた個人情報は、図４で説明したように、たとえば住所情報３０ａ、氏名情報３０ｂ、電話番号情報３０ｃ、携帯電話番号情報３０ｄ、メールアドレス情報３０ｅ、性別情報３０ｆ、生年月日情報３０ｇ、購買履歴情報３０ｈ、タグ情報３０ｉからなるものである。
【００８８】
そこで、住所情報３０ａ、氏名情報３０ｂ、電話番号情報３０ｃ、携帯電話番号情報３０ｄ、メールアドレス情報３０ｅ、購買履歴情報３０ｈについては、上述した全国都道府県別住所データ選択部２４ａ、苗字データ選択部２４ｂ、名前データ選択部２４ｃ、電話番号データ選択部２４ｄ、携帯電話データ選択部２４ｅ、メールアドレスデータ選択部２４ｆ、購買履歴データ選択部２４ｇから得られた情報で構成される（ステップＳ１０）。
【００８９】
一方、他の性別情報３０ｆ、生年月日情報３０ｇ、タグ情報３０ｉについては、情報付加部２５の性別付加部２５ａ、生年月日付加部２５ｂ、タグ情報付加部２５ｃからの情報が得られることで、個々のダミー情報が完成される（ステップＳ１１）。ただし、性別情報３０ｆについては、名前に対応する性別が得られないと、真の個人情報にダミー情報を混在した効果が薄れてしまう。言い換えれば、名前データ選択部２４ｃによって選択された名前が男子である場合に性別が”女”であると、せっかくダミー情報を混在させても真の個人情報が見破られてしまうことになる。
【００９０】
そこで、性別付加部２５ａが名前データ選択部２４ｃにリンクし、名前データ選択部２４ｃによって選択された任意の名前に対応する性別を示す情報がダミー情報混在部２２に渡されるようになっている。
【００９１】
なお、生年月日情報３０ｇについては、あまりにもかけ離れた任意の生年月日であると、真の個人情報にダミー情報を混在した効果が薄れてしまうため、真の個人情報の生年月日に対してある程度の幅を持たせた任意の生年月日であればよい。
【００９２】
また、タグ情報付加部２５ｃからの情報については、ダミー情報を作成する専用アプリケーションプログラムのみが識別できる情報であればよく、表示等によっては識別できない情報であればよいため、数字、文字、特殊画像のいずれか又はいずれかの組み合わせとすればよい。
【００９３】
このようにしてダミー情報混在部２２により真の個人情報に複数のダミー情報が混在されると、個人情報登録部２３により、図４に示した複数のダミー情報が混在した個人情報が個人情報データベース３０に登録される（ステップＳ１２）。
【００９４】
そして、以上のような手順により、いずれかのユーザ端末４０から上述した図３（ａ）の入力フォームの各項目に、図３（ｂ）のように郵便番号、住所、氏名、生年月日、性別、電話番号、携帯電話番号、メールアドレスが入力されて、送信される毎に、（ステップＳ２）〜（ステップＳ１１）のようにして真の個人情報に複数のダミー情報が混在され、（ステップＳ１２）のように複数のダミー情報が混在した個人情報が個人情報データベース３０に登録されることになる。
【００９５】
このように、本実施形態では、個人情報保護サーバ２０により、通信回線４１を介してユーザ端末４０からの個人情報の入力が受け付けられると、その個人情報と複数のダミー情報とが混在して個人情報データベース３０に登録されるようにしたので、従来のような追跡システム等が不要となり、簡単な構成とすることができ、しかも真の個人情報に大量のダミー情報を混在させることで、真の個人情報の判別が不可能となるようにし、不正アクセス者に対し盗んでも意味の無いデータであると思わせることができる。
【００９６】
すなわち、本実施形態では、新たに、ユーザが自分の個人情報を入力フォームを使用して登録する際、そのユーザと同様のクラスターとなるダミーの個人情報がたとえば１，０００人程度で自動生成され、個人情報データベース３０に登録されることになる。よって、新しいユーザの個人情報の登録が行われる度に、同時にたとえば１，０００人程度のダミーの個人情報の登録が行われることになり、個人情報データベース３０には膨大な量の真の個人情報とダミーの個人情報とが混在することになる。
【００９７】
このようにすると、仮に個人情報データベース３０から情報が漏洩しても、真の個人情報と大量のダミーの個人情報とを識別しなければならず、真の個人情報と大量のダミーの個人情報とを混在させる専用アプリケーションソフトウェアが無い限り、真の個人情報の判別が不可能となる。
【００９８】
しかも、たとえ真の顧客情報が含まれることが分かっていても、それと区別のつかないダミーの個人情報が大量に混ざっている限り、経済的価値が大きく損なわれ、転売等の悪用を防ぐことができる。
【００９９】
このようなことから、本実施形態での情報保護システムを採用している企業の顧客情報を盗み出そうとする犯罪者の意欲が失われ、結果として、個人情報の防衛策としての有効性を大いに期待することができる。
【０１００】
また、ユーザと同様のクラスターに属する個人情報がたとえば１，０００倍に希釈されて登録されることから、ユーザ自身が目立つこともなく、しかもオペレーターがその情報を扱う際も、真偽が分からないため、こうしたことが予め伝達されていることで、個人情報の登録時の心理的ハードルを下げる効果も期待できる。
【０１０１】
その結果、従来では、システム全体を部屋ごと物理的に隔離するか、あるいき追跡システム等を備えるかなどの大掛かりなセキュリティの仕組みが必要であり、しかも個人情報を取り扱う担当者全員との秘密保持契約や個人情報保護教育などを徹底することが求められるていたが、本実施形態のように大量のダミー情報を予め真の個人情報に混在させておけば、万が一個人情報が流出した場合でも被害金額等が抑えられるため、相対的にはリーズナブルなセキュリティの仕組みとすることができる。
【０１０２】
これにより、必要以上に厳しい情報管理を必要としないため、従業員の士気を下げることもなく、従業員が「信頼されていない」と感じることもなく、務効率の低下、社員モチベーションの低下などのマイナス効果も派生しないと言える。さらには、事務手続きの煩雑さがなくなり、過失や漏洩を招く危険性も軽減される。
【０１０３】
また、本実施形態での情報保護システムを採用している企業にとっては、個人情報の保護が完全であることをアピールできるので、結果として登録会員を増加させることができる。
【０１０４】
なお、たとえば企業側で真の個人情報を統計やマーケティングに使用する際は、上述した専用アプリケーションソフトウェアにより真の個人情報に付加されているタグ情報が判別されることで、真の個人情報の抽出がされるため、真の個人情報の取扱には困難性を伴わないことになる。
【０１０５】
また、どうしても真の顧客情報のみのバックアップが必要な場合は、それのみ専用アプリケーションソフトウェアで抽出して厳重に保管するようにすればよい。
【０１０６】
なお、本実施形態では、複数の住所が登録されている全国都道府県別住所データベース３１と、複数の苗字が登録されている苗字データベース３２と、複数の名前が登録されている名前データベース３３と、複数の電話番号が登録されている電話番号データベース３４と、複数の携帯電話番号が登録されている携帯電話データベース３５と、複数のメールアドレスが登録されているメールアドレスデータベース３６と、複数の購買履歴が登録されている購買履歴データベース３７とを備え、これらのデータベースからそれぞれのデータを選択する場合について説明したが、これに限らず、予めこれらのデータベースからそれぞれのデータを選択して生成した複数の上述したダミー情報を用意しておき、真の個人情報にダミー情報を混在させるとき、予め用意しておいた複数のダミー情報を選択するようにしてもよい。
【０１０７】
また、本実施形態では、図４で説明したように、個人情報を、たとえば住所情報３０ａ、氏名情報３０ｂ、電話番号情報３０ｃ、携帯電話番号情報３０ｄ、メールアドレス情報３０ｅ、性別情報３０ｆ、生年月日情報３０ｇ、購買履歴情報３０ｈとした場合について説明したが、この例に限らず、家族構成、年収、学歴、顧客ランク、といった属性データを含ませることも可能である。その場合、その属性データを企業側で独自に識別できるタグとし、上述した専用アプリケーションソフトウェアによってのみ識別できるようにしておけばよい。
【０１０８】
また、上述したダミー情報に監視データを含ませるようにしてもよい。ここで、監視データとは、個人情報が悪用された場合に、その事実を迅速に察知するために、企業が予め意図的に個人情報に潜ませておくダミーの情報を指すものである。その際、全ての個人情報に一定の割合で混在させるか、あるいは全てのダミー情報に混在させるかのいずれかとすることができる。特に、おとりとなるデコイデータのクラスターには、より大きな割合で混在させることにより、悪用を察知できる確率を高めることができる。
【０１０９】
ここで、デコイ（おとり）の個人情報を作成する場合、個人情報データベース３０の中で、得意顧客、重要顧客に属するクラスターについては、悪用する立場から、特に有益な（いわゆるオイシイ）データに見える。そのため、こうしたクラスターには意図的に多数のデコイ（おとり）データを作成して、混在させればよい。
【０１１０】
また、このデコイデータを混在させるとき、個人情報を盗み出した者が、それを悪用するときに、無作為に利用するのではなく、より儲かる確率の高そうな情報（たとえば年収の高い人や一人暮らしのお年寄り）から順番に利用していくだろうと考えられるため、そのようなクラスターに対して、予め偏った個人情報を混ぜておくようにすればよい。
【０１１１】
また、監視データを含ませる場合の例として、たとえば企業の特定の担当者を決め、その担当者の別の架空の名前を設定する。ただし、住所、電話番号等は実在するものとなり、個人情報が悪用された場合に、実在する住所又は電話番号等に、架空の人物宛にダイレクトメールや電話等で督促の通知等があれば、その企業の個人情報が何らかのルートで流出したことを察知できる。
【産業上の利用可能性】
【０１１２】
大量の情報を管理する全てのシステムにおいても適用可能である。
【図面の簡単な説明】
【０１１３】
【図１】本発明の情報保護システムの一実施形態を示す図である。
【図２】図１の個人情報保護サーバの詳細を示すブロック図である。
【図３】図１のユーザ端末によって個人情報が入力される場合を説明するための図である。
【図４】図１の個人情報データベースに登録される真の個人情報とダミー情報とを説明するための図である。
【図５】図１の全国都道府県別住所データベースの詳細を説明するための図である。
【図６】図１の苗字データベースの詳細を説明するための図である。
【図７】図１の名前データベースの詳細を説明するための図である。
【図８】図１の電話番号データベースの詳細を説明するための図である。
【図９】図１の携帯電話データベースの詳細を説明するための図である。
【図１０】図１のメールアドレスデータベースの詳細を説明するための図である。
【図１１】図１の購買履歴データベースの詳細を説明するための図である。
【図１２】図１の情報保護システムによる情報保護方法を説明するためのフローチャートである。
【符号の説明】
【０１１４】
１０  個人情報取扱端末
２０  個人情報保護サーバ
２１  ダミー情報選択制御部
２２  ダミー情報混在部
２３  個人情報登録部
２４  データ選択部
２４ａ  全国都道府県別住所データ選択部
２４ｂ  苗字データ選択部
２４ｃ  名前データ選択部
２４ｄ  電話番号データ選択部
２４ｅ  携帯電話データ選択部
２４ｆ  メールアドレスデータ選択部
２４ｇ  購買履歴データ選択部
２５  情報付加部
２５ａ  性別付加部
２５ｂ  生年月日付加部
２５ｃ  タグ情報付加部
３０  個人情報データベース
３０ａ  住所情報
３０ｂ  氏名情報
３０ｃ  電話番号情報
３０ｄ  携帯電話番号情報
３０ｅ  メールアドレス情報
３０ｆ  性別情報
３０ｇ  生年月日情報
３０ｈ  購買履歴情報
３０ｉ  タグ情報
３１  全国都道府県別住所データベース
３１ａ  都道府県選択テーブル
３１ｂ  住所詳細選択テーブル
３２  苗字データベース
３２ａ  苗字選択テーブル
３３  名前データベース
３３ａ  男子名前選択テーブル
３３ｂ  女子名前選択テーブル
３４  電話番号データベース
３４ａ  電話番号選択テーブル
３５  携帯電話データベース
３５ａ  携帯電話番号選択テーブル
３６  メールアドレスデータベース
３６ａ  メールアドレス選択テーブル
３７  購買履歴データベース
３７ａ  購買履歴選択テーブル
４０  ユーザ端末
４１  通信回線
【図１】
2007018028.tif 000003
【図２】
2007018028.tif 000004
【図３】
2007018028.tif 000005
【図４】
2007018028.tif 000006
【図５】
2007018028.tif 000007
【図６】
2007018028.tif 000008
【図７】
2007018028.tif 000009
【図８】
2007018028.tif 000010
【図９】
2007018028.tif 000011
【図１０】
2007018028.tif 000012
【図１１】
2007018028.tif 000013
【図１２】
2007018028.tif 000014