(57)【要約】【課題】個人番号を管理する際に、登録／承認プロセスでは個人番号に対応するユーザーの個人情報を開示する必要がある。そのような機密性の高い個人情報と個人番号とが一緒にデータベースに含まれていると個人情報の漏洩リスクが高まる。【解決手段】個人番号管理サーバーは、ユーザーを識別するための識別情報と、当該ユーザーの個人番号とを対応づけて管理する第一のデータベースと、前記第一のデータベースにユーザーの個人番号を登録する際に用いられる第二のデータベースとを有し、ユーザーの個人番号の登録要求を受信した場合、当該登録要求に含まれるユーザーの識別情報および個人情報を前記第二のデータベースに登録させ、前記第二のデータベースに登録された情報に対応するユーザーの個人番号を受け付けた場合、当該個人番号に対応するユーザーの個人情報を前記第二のデータベースから削除し、当該ユーザーの識別情報と個人番号とを対応づけて前記第一のデータベースに登録させる。【選択図】  図１１
2016139328.tif 000002
【特許請求の範囲】
【請求項１】
個人番号を管理する個人番号管理サーバーあって、
ユーザーを識別するための識別情報と、当該ユーザーの個人番号とを対応づけて管理する第一のデータベースと、
前記第一のデータベースにユーザーの個人番号を登録する際に用いられる第二のデータベースと、
前記第一、第二のデータベースに登録するデータを制御する制御手段と
を有し、
前記制御手段は、ユーザーの個人番号の登録要求を受信した場合、当該登録要求に含まれるユーザーの識別情報および個人情報を前記第二のデータベースに登録させ、
前記制御手段は、前記第二のデータベースに登録された情報に対応するユーザーの個人番号を受け付けた場合、当該個人番号に対応するユーザーの個人情報を前記第二のデータベースから削除し、当該ユーザーの識別情報と個人番号とを対応づけて前記第一のデータベースに登録させることを特徴とする個人番号管理サーバー。
【請求項２】
前記個人番号管理サーバーは、ユーザーの個人情報を管理する第三のデータベースを更に有し、
前記制御手段は、ユーザーの個人番号の変更要求を受信した場合、前記変更要求にて指定される当該ユーザーの識別情報をキーとして、前記第三のデータベースから個人情報を取得し、前記前記第二のデータベースに登録させることを特徴とする請求項１に記載の個人番号管理サーバー。
【請求項３】
前記個人情報は、少なくともユーザーの氏名、および所属に関する情報を含むことを特徴とする請求項１または２に記載の個人番号管理サーバー。
【請求項４】
個人番号を管理する個人番号管理サーバーと、第一の情報処理装置と、第二の情報処理装置とを含むシステムであって、
前記個人番号管理サーバーは、
前記システム内にてユーザーを識別するための識別情報と、当該ユーザーの個人番号とを対応づけて管理する第一のデータベースと、
前記第一のデータベースにユーザーの個人番号を登録する際に用いられる第二のデータベースと、
前記第一、第二のデータベースに登録するデータを制御する制御手段と
を備え、
前記制御手段は、前記第一の情報処理装置からユーザーの個人番号の登録要求を受信した場合、当該登録要求にて含まれるユーザーの識別情報および個人情報を前記第二のデータベースに登録させ、
前記制御手段は、前記第二の情報処理装置から前記第二のデータベースに登録された情報に対応するユーザーの個人番号を受け付けた場合、当該個人番号に対応するユーザーの個人情報を前記第二のデータベースから削除し、当該ユーザーの識別情報と個人番号とを対応づけて前記第一のデータベースに登録させることを特徴とするシステム。
【請求項５】
前記第一の情報処理装置は、
ユーザーの識別情報と、当該ユーザーの個人情報とを対応づけて管理する第三のデータベースと、
ユーザーの個人番号を前記個人番号管理サーバーに登録する場合、前記第三のデータベースにて管理されている当該ユーザーの識別情報と個人情報を前記登録要求に含めて、前記個人番号管理サーバーへ送信する送信手段と
を有することを特徴とする請求項４に記載のシステム。
【請求項６】
前記第一、第二の情報処理装置は、前記識別情報をキーとして、前記第一のデータベースおよび前記第三のデータベースにて管理されている個人情報および個人番号を取得し、組み合わせて利用することを特徴とする請求項５に記載のシステム。
【請求項７】
前記個人情報は、少なくともユーザーの氏名、および所属に関する情報を含むことを特徴とする請求項４乃至６のいずれか一項に記載のシステム。
【請求項８】
ユーザーを識別するための識別情報と、当該ユーザーの個人番号とを対応づけて管理する第一のデータベースと、
前記第一のデータベースにユーザーの個人番号を登録する際に用いられる第二のデータベースと、
を備える個人番号管理サーバーの制御方法あって、
ユーザーの個人番号の登録要求を受信した場合、当該登録要求に含まれるユーザーの識別情報および個人情報を前記第二のデータベースに登録させ、
前記第二のデータベースに登録された情報に対応するユーザーの個人番号を受け付けた場合、当該個人番号に対応するユーザーの個人情報を前記第二のデータベースから削除し、当該ユーザーの識別情報と個人番号とを対応づけて前記第一のデータベースに登録させることを特徴とする個人番号管理サーバーの制御方法。
【請求項９】
個人番号を管理する個人番号管理サーバーと、第一の情報処理装置と、第二の情報処理装置とを含むシステムの制御方法であって、
前記個人番号管理サーバーは、
前記システム内にてユーザーを識別するための識別情報と、当該ユーザーの個人番号とを対応づけて管理する第一のデータベースと、
前記第一のデータベースにユーザーの個人番号を登録する際に用いられる第二のデータベースと、
を備え、
前記個人番号管理サーバーにおいて、
前記第一の情報処理装置からユーザーの個人番号の登録要求を受信した場合、当該登録要求にて含まれるユーザーの識別情報および個人情報を前記第二のデータベースに登録させ、
前記第二の情報処理装置から前記第二のデータベースに登録された情報に対応するユーザーの個人番号を受け付けた場合、当該個人番号に対応するユーザーの個人情報を前記第二のデータベースから削除し、当該ユーザーの識別情報と個人番号とを対応づけて前記第一のデータベースに登録させることを特徴とするシステムの制御方法。
【請求項１０】
ユーザーを識別するための識別情報と、当該ユーザーの個人番号とを対応づけて管理する第一のデータベースと、
前記第一のデータベースにユーザーの個人番号を登録する際に用いられる第二のデータベースと、
を備えるコンピュータを、
ユーザーの個人番号の登録要求を受信した場合、当該登録要求に含まれるユーザーの識別情報および個人情報を前記第二のデータベースに登録させ、
前記第二のデータベースに登録された情報に対応するユーザーの個人番号を受け付けた場合、当該個人番号に対応するユーザーの個人情報を前記第二のデータベースから削除し、当該ユーザーの識別情報と個人番号とを対応づけて前記第一のデータベースに登録させる制御手段として機能させることを特徴とするプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本願発明は、個人番号管理サーバーおよびその制御方法、システムおよびその制御方法、並びにプログラムに関する。
【背景技術】
【０００２】
国民の各個人を識別するために振られる番号としての個人番号情報が導入されるにあたって、これらの個人番号情報を登録、管理するシステムが求められる。個人番号を管理するシステムを構築するにあたり、個人番号情報は機密性が高い情報であるため、その構築においては情報漏えいのリスクを考慮する必要がある。この場合に、個人番号と当該番号に紐付く個人情報が同一のデータベースで管理された場合、データ流出における個人情報漏洩のリスクが高まる。
【０００３】
特許文献１では、データベースの登録する情報を分割して異なるサーバーに保管し、統括用サーバーを用いてデータにアクセスさせることで、単独サーバーにおいて情報漏洩が発生しても、被害を最小限に抑えることができる構成が提案されている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００７−２１９６３４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
個人番号を管理するシステムでは特定の個人情報を含まない形で情報を管理することが望ましい。しかしながら、個人番号の登録／承認プロセスでは本人以外の第三者による確認が必要となり、個人情報を含まない形での情報開示では承認プロセスの効率を著しく低下させる場合が考えられる。
【課題を解決するための手段】
【０００６】
上記課題を解決するために本願発明は以下の構成を有する。すなわち、個人番号を管理する個人番号管理サーバーあって、ユーザーを識別するための識別情報と、当該ユーザーの個人番号とを対応づけて管理する第一のデータベースと、前記第一のデータベースにユーザーの個人番号を登録する際に用いられる第二のデータベースと、前記第一、第二のデータベースに登録するデータを制御する制御手段とを有し、前記制御手段は、ユーザーの個人番号の登録要求を受信した場合、当該登録要求に含まれるユーザーの識別情報および個人情報を前記第二のデータベースに登録させ、前記制御手段は、前記第二のデータベースに登録された情報に対応するユーザーの個人番号を受け付けた場合、当該個人番号に対応するユーザーの個人情報を前記第二のデータベースから削除し、当該ユーザーの識別情報と個人番号とを対応づけて前記第一のデータベースに登録させる。
【発明の効果】
【０００７】
個人番号の登録／承認プロセスにおいて作業効率を低下させることなく、個人情報の漏洩リスクを低減できる。
【図面の簡単な説明】
【０００８】
【図１】本実施形態に係るシステムの構成例を示す図。
【図２】本実施形態に係る情報処理装置のハードウェア構成例を示す図。
【図３】本実施形態に係る画像形成装置のハードウェア構成例を示す図。
【図４】本実施形態に係るしすてむにおける機能ブロック図。
【図５】本実施形態に係るＵＩ画面の構成例を示す図。
【図６】本実施形態に係るＵＩ画面の構成例を示す図。
【図７】本実施形態に係るＵＩ画面の構成例を示す図。
【図８】本実施形態に係る社員情報登録の処理のフローチャート。
【図９】本実施形態に係る機能一覧の表示処理のフローチャート。
【図１０】本実施形態に係る個人番号登録の処理のフローチャート。
【図１１】本実施形態に係る承認作業の処理のフローチャート。
【図１２】本実施形態に係る個人番号利用の処理のフローチャート。
【図１３】第二の実施形態に係る個人番号再登録の処理のフローチャート。
【発明を実施するための形態】
【０００９】
以下、本発明を実施するための形態について図面を用いて説明する。
【００１０】
＜第一の実施形態＞
［システム構成］
図１は、本実施形態に係るシステムの構成例を示す図である。本システムでは、画像形成装置１０１、企業システム１０２、クライアント１０３が、イントラネット１０４内に存在し、インターネットを１０５介して、個人番号管理サーバー１０６と通信を行う。イントラネット１０４内の各装置１０１、１０２、１０３と、個人番号管理サーバー１０６は、ブラウザや専用のアプリケーション（不図示）を介して通信を行う。個人番号管理サーバー１０６は、ＨＴＴＰ（ＨｙｐｅｒＴｅｘｔ  Ｔｒａｎｓｆｅｒ  Ｐｒｏｔｏｃｏｌ）、ＳＯＡＰ（Ｓｉｍｐｌｅ  Ｏｂｊｅｃｔ  Ａｃｃｅｓｓ  Ｐｒｏｔｏｃｏｌ）等のプロトコルに準拠したＷｅｂサービスがホストされている。このＷｅｂサービスでは、画像形成装置１０１からの個人番号の仮登録、企業システムからの社員情報の登録、個人番号の取得、また、クライアント１０３からの個人番号登録内容の取得リクエストを受け付ける。図示はしていないが、個人番号管理サーバー１０６には、各種データを保存しておくためのデータベースシステムやファイルシステムが存在する。
【００１１】
［ハードウェア構成］
図２は、情報処理装置である、企業システム１０２、クライアント１０３、および個人番号管理サーバー１０６のハードウェア構成例を示す図である。企業システム１０２、クライアント１０３、個人番号管理サーバー１０６は、一般的な情報処理装置のハードウェアで構成することができる。図２において、ＣＰＵ２０１は、ＲＯＭ２０３内のプログラム用ＲＯＭに記憶されたプログラムや、外部メモリ２１０からＲＡＭ２０２にロードされたＯＳ（Ｏｐｅｒａｔｉｎｇ  Ｓｙｓｔｅｍ）やアプリケーション等のプログラムを実行する。
【００１２】
すなわち、ＣＰＵ２０１が、読み取り可能な記憶媒体に格納されたプログラムを実行することにより、後述する各フローチャートの処理を実行する各処理部として機能する。ＲＡＭ２０２は、ＣＰＵ２０１のメインメモリであり、ワークエリア等として機能する。キーボードコントローラ２０４は、キーボード２０８や図示しないポインティングデバイス（マウス、タッチパッド、タッチパネル、トラックボールなど）からの操作入力を制御する。ディスプレイコントローラ２０５は、ディスプレイ２０９の表示を制御する。ディスクコントローラ２０６は、各種データを記憶するハードディスク（ＨＤ）やフレキシブルディスク（ＦＤ）等の外部メモリ２１０へのデータアクセスを制御する。ネットワークコントローラ（ＮＣ）２０７は、ネットワークに接続され、ネットワークに接続された他の機器との通信制御処理を実行する。
【００１３】
図３は、画像形成装置１０１のハードウェア構成例を示す図である。画像形成装置１０１は、制御部３０１、操作部３０４、ＮＩＣ３０５、ＣＰＵ３０８、ＲＡＭ３０９、ＲＯＭ３１０、記憶部３１１、画像読取部３０６、および印刷部３０７を備える。各部位は、制御部３０１を介して接続される。制御部３０１は、画像形成装置１０１全体を制御する装置制御部３０２と、画像データを処理する画像処理部３０３とを有する。操作部３０４は、例えばソフトウェアキーボード、タッチパネル、その他入出力装置によって構成され、各種の設定値の入力、および表示をすることが可能である。
【００１４】
ＣＰＵ３０８は、ＲＯＭ３１０内に記憶されたプログラムや、記憶部３１１からＲＡＭ３０９にロードされたアプリケーション等のプログラムを実行する。ＲＡＭ３０９は、ＣＰＵ３０８のメインメモリであり、ワークエリア等として機能する。画像読取部３０６は、例えばスキャナーによって構成され、紙文書等を読取ることにより画像データ形式の文書画像を取得することができる。制御部３０１は、記憶部３１１に記憶された文書画像を操作部３０４に提供し、操作部３０４上に文書画像を出力する処理を実行する。また、制御部３０１は、同様に記憶部３１１に記憶された文章画像を、印刷部３０７に提供し、印刷部３０７は、種々の形式で文書画像を出力する処理を実行する。例えば、印刷部３０７は、文書画像に係る画像データを、記憶媒体に出力する処理を実行することができる。また、印刷部３０７は、印刷機能を備え、紙媒体等の出力媒体に文書画像を出力する処理を実行してもよい。また、画像形成装置１０１は、ＮＩＣ３０５を介して、ネットワークと接続し、データの送受信を可能とする。ＮＩＣ３０５を介して得られたデータは、操作部３０４上に表示することも可能である。
【００１５】
［ソフトウェア構成］
図４は、本実施形態に係るシステムの各機能を示す機能ブロック図である。
【００１６】
まず、画像形成装置１０１の各処理部の機能について述べる。画面表示部４０２は、通信部４０１を介して、個人番号管理サーバー１０６から取得したマークアップランゲージ（ＭＬ）や、入力受付部４０３によってユーザーから入力された情報を、画像形成装置１０１の画面上に表示する。通信部４０１は、入力受付部４０３で指示された内容に従って、個人番号管理サーバー１０６と通信し、個人番号管理サーバー１０６へのログインや、個人番号の仮登録処理を実施する。書類スキャン部４０４は、紙などの記録媒体のスキャンを行う。書類スキャン部４０４によって読み取られた記録媒体の画像データは、個人番号抽出部４０５に渡される。個人番号抽出部４０５は、書類スキャン部４０４によって得られた画像データに、個人番号が記載されているか否かを判定する。個人番号が記載されている場合には、個人番号抽出部４０５は、ＯＣＲ等の技術を用いて、個人番号を抽出する。個人番号抽出部４０５によって抽出された個人番号は、画面表示部４０２に表示される。なお、本実施形態では画面情報や入力受付部４０３によって受け付けた情報を画面表示部４０２に表示する例を説明するが、同様の情報を画像形成装置１０１に接続されたＰＣの表示部に表示してもよい。その場合、ユーザーからの操作は、ＰＣのマウスやキーボードなどの操作部から受け付ければよい。
【００１７】
次に、クライアント１０３の各処理部の機能について述べる。クライアント１０３は、承認者による個人番号登録の承認作業に関する処理を行う。承認作業は、例えば、画像形成装置のユーザーが所属する企業の番号管理責任者が行う。この番号管理責任者として、例えば、そのユーザーの上司、または、そのユーザーが所属する企業の番号管理資格保持者、または人事部の部員が挙げられる。通信部４１１は、個人番号管理サーバー１０６から、承認リクエストを取得し、また承認結果を個人番号管理サーバー１０６に送信する。画面表示部４１２は、通信部４１１が取得した承認リクエストの一覧や、各承認リクエストの内容を表示し、承認者が登録内容を確認するための画面を表示する。入力受付部４１３は、承認者からの入力を受け付ける。
【００１８】
企業システム１０２の各処理部の機能について述べる。企業システム１０２は、個人番号管理サーバー１０６から個人番号を受信して、調書の作成作業を行う。通信部４２１は、個人番号管理サーバー１０６へ個人番号を取得するリクエストを送信したり、画像形成装置１０１へ印刷データを送信したりする。画面表示部４２２は、個人番号管理サーバー１０６から取得した個人番号取得用のＭＬの表示や、調書を入力部４２３から編集、印刷指示するための画面を表示する。調書作成部４２４は、画面表示部４２２において社員管理テーブル４２５のデータおよび個人番号管理サーバー１０６から受信した個人番号を入力して調書を作成する。
【００１９】
個人番号管理サーバー１０６の各処理部の機能について述べる。画面生成部４３１は、画像形成装置１０１、企業システム１０２、およびクライアント１０３等からのリクエストに応じて、画面上に表示するためのデータ（例えばＨＴＭＬ（ＨｙｐｅｒＴｅｘｔ  Ｍａｒｋｕｐ  Ｌａｎｇｕａｇｅ）等）を生成する。ログイン要求受信部４３２は、画像形成装置１０１、クライアント１０３や企業システム１０２からのログイン要求を受け付け、ユーザー管理テーブル４３３にて管理されるデータを元に、認証／認可処理を実施する。個人番号登録処理部４３４は、社員情報登録部４３８より取得した社員情報管理テーブル４３９の情報に基づき登録用個人番号管理テーブル４３５の生成を行う。更に、個人番号登録処理部４３４は、画像形成装置１０１からの個人番号仮登録リクエストや、クライアント１０３からの承認リクエストを受信し、受信したリクエストに応じて、登録用個人番号管理テーブル４３５に、データを登録したり更新したりする。更に、個人番号登録処理部４３４は、登録された情報から特定個人情報を除いた個人番号管理テーブル４３６を生成する。個人番号要求受信部４３７は、企業システム１０２等からのリクエストに応じて、個人番号管理テーブル４３６に登録された個人番号を返却する。社員情報登録部４３８は、企業システム１０２からのリクエストを受信し、ユーザー管理テーブル４３３、および社員情報管理テーブル４３９に各種データを登録する。具体的には、企業システム１０２は、オペレータからの指示に基づき、社員管理テーブル４２５から取得したデータに社員情報管理テーブル４３９にて定義されるデータ項目に相当する情報を付加する。そして、企業システム１０２は、通信部４２１を介して、社員情報登録部４３８にリクエストを発行する。社員情報登録部４３８は、社員情報管理テーブル４３９へのデータ登録に加え、ユーザー管理テーブル４３３に、企業コード、および社員ＩＤを登録する。
【００２０】
最後に、ユーザー管理テーブル４３３、登録用個人番号管理テーブル４３５、個人番号管理テーブル４３６、および社員管理テーブル４２５のテーブル構成例について、表を用いて説明する。
【００２１】
まず、ユーザー管理テーブル４３３について、表１を用いて説明する。表１に、ユーザー管理テーブル４３３に保存されている情報の例を示す。ユーザー管理テーブル４３３は、アカウント（Ａ１）、パスワード（Ａ２）、企業コード（Ａ３）、および社員ＩＤ（Ａ４）の４要素を含んで構成される。アカウント（Ａ１）、およびパスワード（Ａ２）は、画像形成装置１０１、企業システム１０２、およびクライアント１０３が、個人番号管理サーバー１０６が提供するサービスを利用する際に必要となるＩＤ（識別情報）およびパスワードである。アカウント（Ａ１）は、社員情報登録部４３８がユーザー管理テーブル４３３に情報を登録する際に、各社員に対して自動で発行されるものとし、またパスワード（Ａ２）は、企業側で予め設定されたものが、一律で設定されるものとする。このパスワードは、各社員によって変更可能ではあるが、この方法については公知であるため、説明を割愛する。また、企業コード（Ａ３）、および社員ＩＤ（Ａ４）は、社員管理テーブル４２５の各社員情報と、アカウント（Ａ１）を紐付けるためのキーとなる。
【００２２】
【表１】
2016139328.tif 000003
【００２３】
表２を用いて、登録用個人番号管理テーブル４３５に保存されている情報の例を示す。登録用個人番号管理テーブル４３５は、社員ＩＤ（Ｂ１）、個人番号（Ｂ２）、氏名（Ｂ３）、続柄（Ｂ４）、所属（Ｂ５）、利用目的（Ｂ６）、画像データ（Ｂ７）、およびステータス（Ｂ８）の８つの要素を含んで構成される。社員ＩＤ（Ｂ１）、氏名（Ｂ３）、続柄（Ｂ４）、および所属（Ｂ５）は、社員管理テーブル４２５より取得した情報に基づいて構成される。ここで社員ＩＤ（Ｂ１）は、企業内で一意に割り当てられるＩＤ（識別情報）である。氏名（Ｂ３）は、社員の氏名を示す項目である。続柄（Ｂ４）は、対象社員の続柄を示す項目である。所属（Ｂ５）は、対象社員が企業内で所属する部署を示す属性である。
【００２４】
個人番号（Ｂ２）は、本実施形態が示す方法によって登録された個人番号となる。利用目的（Ｂ４）は、企業システム１０２が個人番号を利用可能な範囲を示す項目である。利用目的（Ｂ４）は、個人番号を社員から収集する際に予め社員に対して利用目的として開示されている内容が記録される。画像データ（Ｂ５）は、個人番号登録作業において読み取られた書類の画像データが登録される。この画像データは複数登録されうる。表２の例では、複数の組（｛書類種別：画像データ｝）を画像データ（Ｂ５）の項目に登録しているが、これらのデータを別テーブルで管理するような構成に変更してもよい。また、他の情報を含めて組としてもよい。
【００２５】
ステータス（Ｂ８）は、個人番号登録状況を表す項目である。具体的には登録用個人番号管理テーブル４３５が生成された時点では全ての項目が「未登録」となる。画像形成装置１０１からの登録要求を受け付けた場合はステータスが「仮登録」となり、クライアント１０３からの承認要求を受け付けた場合はステータスが「本登録」となる。本願発明では、ステータスが「本登録」となった際、特定個人情報となる氏名（Ｂ３）および所属（Ｂ５）の情報を登録用個人番号管理テーブル４３５から消去する。
【００２６】
【表２】
2016139328.tif 000004
【００２７】
表３を用いて、個人番号管理テーブル４３６に保存されている情報の例を示す。個人番号管理テーブル４３６は、社員ＩＤ（Ｃ１）、個人番号（Ｃ２）、続柄（Ｃ３）、利用目的（Ｃ４）、および画像データ（Ｃ５）の５つの要素を含んで構成される。個人番号管理テーブル４３６は、登録用個人番号管理テーブル４３５で登録された情報に基づき生成される。社員ＩＤ（Ｃ１）は、社員管理テーブル４２５の社員情報と個人番号を紐付けるためのキーとなる。個人番号（Ｃ２）は、本実施形態が示す方法によって登録された個人番号となる。続柄（Ｃ３）は、対象の社員の扶養家族を含む続柄（本人、配偶者、子供）を示す項目である。利用目的（Ｃ４）は、企業システム１０２が個人番号を利用可能な範囲を示す項目である。利用目的（Ｃ４）は、個人番号を社員から収集するときに予め社員に対して利用目的として開示されている内容が記録される。画像データ（Ｃ５）は、個人番号登録作業において読み取られた書類の画像データが登録される。この画像データは、複数登録されうる。表３の例では、複数の組（｛書類種別：画像データ｝）を画像データ（Ｃ５）の項目に登録しているが、これらのデータを別テーブルで管理するような構成に変更してもよい。
【００２８】
【表３】
2016139328.tif 000005
【００２９】
表４を用いて、企業システム１０２に保存されている社員管理テーブル４２５の例を示す。社員管理テーブル４２５は、社員ＩＤ（Ｄ１）、氏名（Ｄ２）、続柄（Ｄ３）、および所属（Ｄ４）の４つの要素を含んで構成される。社員ＩＤ（Ｄ１）は、企業内で一意に割り当てられるＩＤ（識別情報）であり、ユーザー管理テーブル４３３の社員ＩＤ（Ａ４）に登録される。氏名（Ｄ２）は、社員の氏名を示す項目である。続柄（Ｄ３）は、対象社員の続柄を示す項目である。所属（Ｄ４）は、対象社員が企業内で所属する部署を示す属性である。なお、表４は上記の４つの要素を示しているが、これらに限らず、社員の情報を示す他の情報を含むようにしてもよい。
【００３０】
【表４】
2016139328.tif 000006
【００３１】
最後に、社員情報管理テーブル４３９について、表５を用いて説明する。表５に、社員情報管理テーブル４３９に保存されている情報の例を示す。社員情報管理テーブル４３９は、企業コード（Ｅ１）、社員ＩＤ（Ｅ２）、社員名（Ｅ３）、社員メールアドレス（Ｅ４）、および承認者メールアドレス（Ｅ５）の５要素を含んで構成される。企業コード（Ｅ１）には、個人番号管理サーバー１０６を利用する組織を一意に特定するためのＩＤ（識別情報）が設定される。本ＩＤは、個人番号管理サーバー１０６の利用契約時などに発行されても良いし、自動でＩＤを払い出すような仕組みを別途作成してもよい。
【００３２】
社員ＩＤ（Ｅ２）には、企業コード（Ｅ１）内で、社員を社内で一意に識別するためのＩＤが設定される。社員名（Ｅ３）には、その社員の氏名が設定される。社員メールアドレス（Ｅ４）には、その社員の連絡先が設定される。ここで設定される社員メールアドレス（Ｅ４）に対して、個人番号の登録通知を発行する。承認者メールアドレス（Ｅ５）は、社員ＩＤ（Ｅ２）が示す社員の個人番号登録を承認する人物のメールアドレスが設定される。ここで設定される承認者メールアドレス（Ｅ５）に承認依頼が通知される。
【００３３】
【表５】
2016139328.tif 000007
【００３４】
［画面の説明］
図５を用いて、本実施形態に係る、登録作業に関するＵＩ画面の構成例について説明する。図５（ａ）は、個人番号管理サーバー１０６が提供するサービスの利用を開始するためのＩＤ、およびパスワードの入力画面である。ユーザーは、予め与えられたＩＤとパスワードを、それぞれ入力エリア５１１、５１２に入力し、ログインボタン５１３を押下する。ＩＤとパスワードが、ユーザー管理テーブル４３３に登録された内容と一致すれば、個人番号管理サーバー１０６にログインが可能となる。個人番号管理サーバー１０６にログインした後、画面上には、図５（ｂ）に示すような、個人番号管理サーバー１０６が提供するサービス一覧が表示される。なお、図５（ｂ）に示した機能が全てではなく、個人番号管理サーバー１０６が提供する機能が増える度に、本画面上に表示される機能が増加する。
【００３５】
以下、個人番号登録５２２のリンクを押下した時の、ＵＩ画面の遷移について、図６を用いて説明する。図６（ａ）に示すＵＩ画面では、個人番号登録のためにスキャンする原稿種別を選択させる。ユーザーは、いずれかの原稿種別を選択した後、原稿を画像形成装置１０１の画像読取部３０６に配置し、ＯＫボタン６１２を押下することで、スキャンの実施を指示する。スキャンが完了すると、図６（ｂ）に示すようなスキャン画像の確認画面が表示される。このＵＩ画面においては、例えば、個人番号カードや、個人番号通知カードのような、個人番号が記載された原稿のスキャンをした場合には、原稿からＯＣＲなどの技術を用いて読み取った画像から抽出した個人番号６２１の文字列が表示される。ユーザーは、ここで抽出された個人番号の文字列に誤りがある場合には、本ＵＩ画面から個人番号６２１に表示された文字列を直接編集することで、個人番号を訂正することが可能である。併せて、本ＵＩ画面には、スキャンされた原稿のイメージデータ６２２を表示することも可能である。なお、個人番号が記載されていない原稿種別（例えば、運転免許証など）をスキャンした場合には、個人番号６２１の項目は表示されないようにしてもよい。ユーザーは、本ＵＩ画面で表示された内容を確認した後にＯＫボタン６２３を押下することで、図６（ａ）で示すようなＵＩ画面が再度表示され、次にスキャンする原稿種別の選択を行うことが可能となる。また、全ての原稿のスキャンが完了した場合には、ユーザーは、全スキャン完了ボタン６２４を押下する。このボタンが押下されることにより、登録用個人番号管理テーブル４３５に個人番号が登録される。
【００３６】
次に、図７を用いて、本実施形態に係る、承認者が承認作業を行う場合のＵＩ画面の例について説明する。承認者が個人番号管理サーバー１０６にログインすると、図５（ｂ）に示したような機能一覧を含むＵＩ画面が表示される。承認者は、その中の機能一覧の中の承認機能５２３のリンクを押下することで、図７（ａ）に示すような、承認作業を行うべきユーザー一覧である承認依頼一覧７１１が表示される。
【００３７】
図７（ａ）のＵＩ画面の例では、依頼番号、依頼日時、および氏名の３項目が表示されている。しかしこれに限定するものではなく、他の項目が表示されていても良いし、いずれかの項目が無くても構わない。本ＵＩ画面に表示されたユーザー一覧の内、承認を行う対象のユーザーを選択すると、図７（ｂ）に示すような、承認作業を行うためのＵＩ画面に遷移する。
【００３８】
図７（ｂ）では、選択されたユーザーの情報と、個人番号、およびスキャンされた画像が表示される。承認者は、個人番号７２１と、スキャン画像７２２中に記載された個人番号とが異なっていないかをチェックし、問題ない場合には承認ボタン７２４を押下する。承認ボタン７２４が押下された場合、通信部４２１は、個人番号管理サーバー１０６の社員情報登録部４３８を介して、登録用個人番号管理テーブル４３５に、承認結果を登録させる。一方、内容に不備があった場合には、承認者は、差し戻しボタン７２５を押下する。これにより、承認依頼のリクエスト元に差し戻す。この場合、不備の詳細についてリクエスト元に通知するようにしてもよい。差し戻されたユーザー（承認依頼のリクエスト元）は、再度個人番号の登録作業を行う。
【００３９】
［フローチャート］
以下、図を用いて、本実施形態における処理のフローを説明する。各処理フローにおける各処理工程は、処理の主体となる装置のＣＰＵがＲＯＭ等の記憶部に記憶されたプログラムを読み出して実行することにより実現される。
【００４０】
図８を用いて、企業システム１０２から個人番号管理サーバー１０６へ、社員情報を登録する際のフローについて説明する。
【００４１】
Ｓ８０１にて、企業システム１０２のＣＰＵ２０１は、個人番号管理サーバー１０６に対して、社員情報登録リクエストを発行する。このリクエストには、表５で説明した社員情報管理テーブル４３９に含まれる情報を含める。
【００４２】
Ｓ８０２にて、個人番号管理サーバー１０６のＣＰＵ２０１は、企業システム１０２から発行された社員情報登録リクエストを受信する。Ｓ８０３にて、個人番号管理サーバー１０６のＣＰＵ２０１は、受信した社員情報登録リクエストに含まれる社員情報に関するデータを、社員情報管理テーブル４３９に登録する。Ｓ８０４にて、個人番号管理サーバー１０６のＣＰＵ２０１は、Ｓ８０３で登録した社員情報管理テーブル４３９に基づき、登録用個人番号管理テーブル４３５を生成する。Ｓ８０５にて、個人番号管理サーバー１０６のＣＰＵ２０１は、Ｓ９０３で登録した各社員情報に対応する各社員に、個人番号登録依頼通知を発行する。このとき、個人番号に関する利用目的も併せて通知される。そして、本処理フローを終了する。
【００４３】
図９、図１０を用いて、ユーザーが画像形成装置１０１を用いて、個人番号を登録する際のフローについて説明する。ここでは、図８のＳ８０５にて個人番号登録依頼通知を受け付けた上で、各社員（ユーザー）が登録するものとする。
【００４４】
Ｓ９０１にて、画像形成装置１０１のＣＰＵ３０８は、ユーザーからのＩＤ、およびパスワードの入力を受付け、入力された値を元に、個人番号管理サーバー１０６にログイン要求を発行する。
【００４５】
Ｓ９０２にて、個人番号管理サーバー１０６のＣＰＵ２０１は、受け付けたログイン要求を元に認証処理を実施する。認証処理が成功した場合には（Ｓ９０２にてＹＥＳ）、Ｓ９０３に遷移し、認証処理に失敗した場合には（Ｓ９０２にてＮＯ）、個人番号管理サーバー１０６はエラーメッセージなどを画像形成装置１０１に対して出力し、本処理フローを終了する。
【００４６】
Ｓ９０３にて、個人番号管理サーバー１０６のＣＰＵ２０１は、画像形成装置１０１に対して、機能一覧画面表示用ＵＲＬへのリダイレクト命令を発行する。
【００４７】
Ｓ９０４にて、画像形成装置１０１のＣＰＵ３０８は、個人番号管理サーバー１０６からのリダイレクト命令に従って、個人番号管理サーバー１０６にアクセスする。
【００４８】
Ｓ９０５にて、個人番号管理サーバー１０６のＣＰＵ２０１は、リダイレクトされたアクセスを受信する。Ｓ９０６にて、個人番号管理サーバー１０６のＣＰＵ２０１は、機能一覧画面表示用のＭＬを生成して、画像形成装置１０１に返却する。
【００４９】
Ｓ９０７にて、画像形成装置１０１の操作部３０４は、受信したＭＬに従って、機能一覧のＵＩ画面を表示する。Ｓ９０８にて、画像形成装置１０１の操作部３０４は、表示したＵＩ画面を介して、ユーザーからの機能の選択を検知する。
【００５０】
Ｓ９０９にて、画像形成装置１０１のＣＰＵ３０８は、選択された機能が「登録」であるか否かを判定する。選択された機能が「登録」であった場合（Ｓ９０９にてＹＥＳ）、Ｓ９１１に遷移する。また、選択された機能が登録ではない場合（Ｓ９０９にてＮＯ）、Ｓ９１０に遷移する。
【００５１】
Ｓ９１０にて、画像形成装置１０１のＣＰＵ３０８は、Ｓ９０９と同様に、選択された機能を判定する。そして、Ｓ９１２にて、画像形成装置のＣＰＵ３０８は、選択された機能に応じて処理を実行する。Ｓ９１２での処理内容は、個人番号管理サーバー１０６が提供する機能の分だけ存在することとなる。
【００５２】
次に、図９のＳ９１１における登録処理の詳細を、図１０を用いて説明する。
【００５３】
Ｓ１００１にて、画像形成装置１０１の操作部３０４は、個人番号の登録に有効な書類の種別を全て表示する。本工程において、図６（ａ）に示した様なＵＩ画面が表示される。Ｓ１００２にて、画像形成装置１０１の操作部３０４は、図６（ａ）の画面を介してユーザーからの書類種別の選択を検知する。Ｓ１００３にて、画像形成装置１０１の画像読取部３０６は、スキャンを実施する。このとき、ユーザーにより、画像読取部３０６に読み取り対象の書類が設置されているものとする。
【００５４】
Ｓ１００４にて、画像形成装置１０１のＣＰＵ３０８は、Ｓ１００２で選択された原稿種別が、個人番号が印刷されたものであるか否かを判定する。個人番号が印刷された種別である場合には（Ｓ１００４にてＹＥＳ）、Ｓ１００５に遷移し、個人番号が印刷された種別ではない場合には（Ｓ１００４にてＮＯ）、Ｓ１００８に遷移する。
【００５５】
Ｓ１００５にて、画像形成装置１０１の画像処理部３０３は、ＯＣＲ等の技術を用いて、Ｓ１００３で取得したスキャン画像から個人番号を抽出する。ＯＣＲ等の技術は公知であるため、説明を割愛する。Ｓ１００６にて、画像形成装置１０１のＣＰＵ３０８は、Ｓ１００５で抽出した個人番号の数字の妥当性を、チェックディジットを用いて検証する。検証結果が正しくない場合には（Ｓ１００６にてＮＯ）、Ｓ１００７に遷移し、検証結果が正しい場合には（Ｓ１００６にてＹＥＳ）、Ｓ１００８に遷移する。
【００５６】
Ｓ１００７にて、画像形成装置１０１の画面表示部４０２は、アラートなどを表示し、ユーザーに個人番号の訂正を促し、図６（ｂ）に示すような画面を介してユーザーから正しい個人番号の入力を受け付ける。
【００５７】
Ｓ１００８にて、画像形成装置１０１の入力受付部４０３は、図６（ｂ）の画面を介して、ユーザーからの全書類のスキャンが完了したか否かの選択を受け付ける。全スキャン完了ボタン６２４が押下された場合には、全書類のスキャンが完了したと判定し（Ｓ１００８にてＹＥＳ）、Ｓ１００９に遷移する。一方、ＯＫボタン６２３が押下された場合には、スキャンが完了していない書類があると判定し（Ｓ１００８にてＮＯ）、Ｓ１００１に遷移する。
【００５８】
Ｓ１００９にて、画像形成装置１０１のＣＰＵ３０８は、個人番号管理サーバー１０６に、仮登録リクエストを発行する。この時、スキャンしたスキャン画像、および抽出された個人番号（もしくは、ユーザーにより訂正された個人番号）の情報を送信する。
【００５９】
Ｓ１０１０にて、個人番号管理サーバー１０６のＣＰＵ２０１は、画像形成装置１０１から仮登録リクエストを受信し、リクエストに含まれている個人番号、および画像データを、登録用個人番号管理テーブル４３５に保存する。この時点では、登録のステータス（表２のＢ８）は、「仮登録」となる。
【００６０】
Ｓ１０１１にて、個人番号管理サーバー１０６のＣＰＵ２０１は、社員情報管理テーブル４３９から承認者の情報（表５のＥ５）を取得し、承認者に向けて、承認作業依頼を発行する。その後、本処理フローを終了する。
【００６１】
次に、図１１を用いて、承認処理に関するフローチャートについて説明する。なお、本来は図１１に示すフローチャートの前に、ログイン処理や機能一覧画面の表示、および承認機能の選択などの処理が含まれる。これらの処理は、図５に示したものと同じであるため、本図での説明を割愛し、本図においては、機能一覧の画面において、承認機能が選択された以降の処理フローについて説明する。
【００６２】
Ｓ１１０１にて、クライアント１０３のＣＰＵ２０１は、個人番号管理サーバー１０６に対して、承認リスト取得リクエストを発行する。この時、個人番号管理サーバー１０６へは、承認者のユーザーＩＤが併せて送信される。
【００６３】
Ｓ１１０２にて、個人番号管理サーバー１０６のＣＰＵ２０１は、Ｓ１１０１で送信された承認者のユーザーＩＤが承認者となっているアカウントを、社員情報管理テーブル４３９、およびユーザー管理テーブル４３３から特定する。その後、個人番号管理サーバー１０６のＣＰＵ２０１は、登録用個人番号管理テーブル４３５から、ステータスが「仮登録」となっているデータのうち、アカウントが先に特定したものと同じデータを取得する。そして、個人番号管理サーバー１０６のＣＰＵ２０１は、それらを表示用のＭＬに整形し、クライアント１０３に返却する。
【００６４】
Ｓ１１０３にて、クライアント１０３のＣＰＵ２０１は、受信したＭＬに従って図７（ａ）に示すような承認依頼リストをディスプレイ２０９に表示する。Ｓ１１０４にて、クライアント１０３のＣＰＵ２０１は、表示された承認依頼リストのうち、承認者に選択された承認依頼を検知する。これに起因して、クライアント１０３のＣＰＵ２０１は、個人番号管理サーバー１０６に、選択された承認依頼の詳細情報取得リクエストを発行する。
【００６５】
Ｓ１１０５にて、個人番号管理サーバー１０６のＣＰＵ２０１は、クライアント１０３からの詳細情報取得リクエストに基づき、登録用個人番号管理テーブル４３５からデータを取得する。そして、個人番号管理サーバー１０６のＣＰＵ２０１は、取得したデータを表示用のＭＬに整形して、クライアント１０３に返却する。
【００６６】
Ｓ１１０６にて、クライアント１０３のＣＰＵ２０１は、個人番号管理サーバー１０６から受信したＭＬに従って、図７（ｂ）に示すような画面を表示する。Ｓ１１０７にて、クライアント１０３のＣＰＵ２０１は、承認者からのボタンの押下を検知し、押下されたボタンが承認ボタン７２４、もしくは差し戻しボタン７２５のいずれであるかを判定する。承認ボタン７２４が押下された場合には（Ｓ１１０７にてＹＥＳ）Ｓ１１１０に遷移し、差し戻しボタン７２５が押下された場合には（Ｓ１１０７にてＮＯ）Ｓ１１０８に遷移する。
【００６７】
Ｓ１１０８にて、クライアント１０３のＣＰＵ２０１は、個人番号管理サーバー１０６に対して、個人番号の再登録依頼メール発行リクエストを発行する。
【００６８】
Ｓ１１０９にて、個人番号管理サーバー１０６のＣＰＵ２０１は、クライアント１０３から発行された再登録依頼メール発行リクエストに基づき、個人番号の再登録依頼メールを対象の社員（ユーザー）へ発行する。その後、本処理フローを終了する。
【００６９】
Ｓ１１１０にて、クライアント１０３のＣＰＵ２０１は、個人番号管理サーバー１０６に対して、承認結果を送信する。
【００７０】
Ｓ１１１１にて、個人番号管理サーバー１０６のＣＰＵ２０１は、承認されたユーザーデータについて個人番号管理テーブル４３６へ情報を転記する。Ｓ１１１２にて、個人番号管理サーバー１０６のＣＰＵ２０１は、登録用個人番号管理テーブル４３５の当該データにおける氏名および所属を削除し、登録用個人番号管理テーブル４３５のステータスを「本登録」に変更する。その後、本処理フローを終了する。なお、Ｓ１１１２にて、個人情報として、氏名および所属の情報を削除した例を示したが他の個人情報も同様に扱ってよい。つまり、本実施形態では示していないが、家族構成や住所、電話番号など、その他の個人情報を、登録要求を受信した時点では登録用個人番号管理テーブルに登録しておき、個人番号が登録された時点で削除するように制御を行うようにしてもよい。
【００７１】
最後に、図１２を用いて、登録された個人番号の利用に関するフローについて説明する。
【００７２】
Ｓ１２０１にて、企業システム１０２のＣＰＵ２０１は、個人番号管理サーバー１０６に対して、個人番号取得リクエストを発行する。この時、個人番号取得リクエストには、取得対象の社員（ユーザー）の社員ＩＤが含まれる。
【００７３】
Ｓ１２０２にて、個人番号管理サーバー１０６のＣＰＵ２０１は、企業システム１０２から送信された個人番号取得リクエストを受信する。Ｓ１２０３にて、個人番号管理サーバー１０６のＣＰＵ２０１は、個人番号管理テーブル４３６を確認し、取得対象の社員の個人番号の登録状況を確認する。そして、個人番号が登録されている場合には、個人番号管理サーバー１０６のＣＰＵ２０１は、登録されている個人番号を取得し、企業システム１０２へ返信する。ここで、個人番号が登録されていない場合には、個人番号管理サーバー１０６のＣＰＵ２０１は、エラーメッセージなどを企業システム１０２に返却し、本処理フローを終了する。
【００７４】
Ｓ１２０４にて、企業システム１０２のＣＰＵ２０１は、個人番号管理サーバー１０６から個人番号を受信する。Ｓ１２０５にて、企業システム１０２のＣＰＵ２０１は、受信した個人番号を用いて、帳票（例えば源泉徴収票等）を作成する。その後、本処理フローを終了する。作成された帳票は、その後、企業システム１０２に保存され、ＣＰＵ２０１によって、ネットワークを介して送信される。または、作成された帳票は、ＣＰＵ２０１によってプリンタに送信されて、印刷される。
【００７５】
以上、本実施形態により、個人番号の登録／承認プロセスにおいて作業効率を低下させることなく、特定個人情報の漏洩リスクを低減できる情報処理方法を提供することができる。つまり、本実施形態においては、個人番号管理サーバー１０６において、２つのテーブル（登録用個人番号管理テーブル４３５と個人番号管理テーブル４３６）に分けて個人番号を登録、管理している。そのため、いずれのテーブルの情報が漏えいしたとしても、まとめて管理している場合よりもリスクを低減することができる。
【００７６】
なお、各装置が、各テーブルに分散されて管理されている個人情報と個人番号を利用する場合には、各テーブルに含まれる社員ＩＤなどの識別情報をキーとしてデータを取得し、対応づけて利用すればよい。
【００７７】
＜第二の実施形態＞
本願発明に係る第二の実施形態について説明する。以下、第一の実施形態と異なる点についてのみ説明する。第一の実施形態では個人番号の登録から利用までの一連の流れについて説明したが、個人番号の変更等に伴う修正登録も実施形態の一つである。ログイン／個人番号入力処理／承認処理および個人番号の利用については第一の実施形態と同等であるためここでは割愛する。
【００７８】
［フローチャート］
図１３は、個人番号の再登録を行う際の個人番号管理サーバー１０６における登録用個人番号管理テーブル４３５の変更処理についてのフローチャートである。本処理フローは、個人番号管理サーバー１０６のＣＰＵ２０１が、ＲＯＭ２０３等の記憶部に格納されたプログラムを読み出して実行することにより実現される。なお、本処理フローが開始するタイミングは、例えば、クライアント１０３や企業システム１０２からの変更要求を受信した場合などが考えられる。
【００７９】
Ｓ１３０１にて、個人番号管理サーバー１０６のＣＰＵ２０１は、登録用個人番号管理テーブル４３５において、変更を要する社員情報のステータスを「再登録」に変更する。このとき、個人番号の変更を要する社員の識別番号（社員ＩＤ）は、受信した変更要求等にて指定されているものとする。
【００８０】
Ｓ１３０２にて、個人番号管理サーバー１０６のＣＰＵ２０１は、社員情報管理テーブル４３９より個人番号を変更する社員の社員情報の氏名および所属を登録用個人番号管理テーブル４３５に反映する。その後、本処理フローを終了する。
【００８１】
以上、図１３のフローに従って処理を実施する事で、登録用個人番号管理テーブル４３５を再登録に必要な状態に戻す事ができる。
【００８２】
なお、本実施形態では、登録用個人番号管理テーブル４３５の情報を入力／承認用に復元するために個人番号管理サーバー１０６で管理している社員情報管理テーブル４３９の情報を用いた。しかし、この構成に限定するものではなく、企業システム１０２で保持している社員情報（社員管理テーブル４２５）を用いて入力／承認用に情報を構築してもよい。
【００８３】
以上、本実施形態により、登録された個人番号の再登録プロセスにおいて、作業効率を低下させることなく、特定個人情報の漏洩リスクを低減できる。
【００８４】
＜その他の実施形態＞
本発明は、以下の処理を実行することによっても実現される。即ち、上述した実施例の機能を実現するソフトウェア（プログラム）を、ネットワーク又は各種記憶媒体を介してシステム或いは装置に供給し、そのシステム或いは装置のコンピュータ（またはＣＰＵやＭＰＵ等）がプログラムを読み出して実行する処理である。
【符号の説明】
【００８５】
１０１…画像形成装置、１０２…企業システム、１０３…クライアント、１０４…イントラネット、１０５…インターネット、１０６…個人番号管理サーバー
【図１】
2016139328.tif 000008
【図２】
2016139328.tif 000009
【図３】
2016139328.tif 000010
【図４】
2016139328.tif 000011
【図５】
2016139328.tif 000012
【図６】
2016139328.tif 000013
【図７】
2016139328.tif 000014
【図８】
2016139328.tif 000015
【図９】
2016139328.tif 000016
【図１０】
2016139328.tif 000017
【図１１】
2016139328.tif 000018
【図１２】
2016139328.tif 000019
【図１３】
2016139328.tif 000020