(57)【要約】  【課題】マスキングされたデータが適切にマスキングされているか判定する。  【解決手段】項目情報量算出部は、マスキングされたデータの各レコードの項目ごとにおいて、個人を特定できる項目情報量を算出する。レコード情報量算出部は、１レコードごとにおいて、項目ごとの項目情報量を合計したレコード情報量を算出する。マスキング判定部は、レコード情報量に基づいて、データが適切にマスキングされているか否か判定する。【選択図】図２
2017083931.tif 000002
【特許請求の範囲】
【請求項１】
マスキングされたデータの各レコードの項目ごとにおいて、個人を特定できる項目情報量を算出する項目情報量算出部と、
１レコードごとにおいて、前記項目情報量を合計したレコード情報量を算出するレコード情報量算出部と、
前記レコード情報量に基づいて、前記データが適切にマスキングされているか否か判定するマスキング判定部と、
を有することを特徴とするマスキング判定装置。
【請求項２】
請求項１に記載のマスキング判定装置であって、
前記判定結果が適切である場合、前記データのマスキングが適切であることを証明する証明書データを生成する証明書データ生成部、
をさらに有することを特徴とするマスキング判定装置。
【請求項３】
請求項１に記載のマスキング判定装置であって、
前記項目に関する統計情報を記憶した統計情報記憶部、をさらに有し、
前記項目情報量算出部は、人口と前記項目に関する前記統計情報とに基づいて、前記項目情報量を算出する、
ことを特徴とするマスキング判定装置。
【請求項４】
請求項３に記載のマスキング判定装置であって、
前記項目情報量算出部は、前記統計情報記憶部を参照して、前記項目のマスキングされていない部分の情報における統計数を取得し、取得した前記統計数と前記人口とに基づいて、前記項目情報量を算出する、
ことを特徴とするマスキング判定装置。
【請求項５】
請求項１に記載のマスキング判定装置であって、
前記項目において、非マスキング部分を許容できる許容量を記憶した許容情報記憶部、をさらに有し、
前記マスキング判定部は、前記項目において、前記許容量を超えている場合、前記データは適切にマスキングされていないと判定する、
ことを特徴とするマスキング判定装置。
【請求項６】
請求項１に記載のマスキング判定装置であって、
前記マスキング判定部によって、前記データが適切にマスキングされていないと判定された場合、前記データをさらにマスキングするマスキング処理部、
をさらに有することを特徴とするマスキング判定装置。
【請求項７】
請求項６に記載のマスキング判定装置であって、
前記マスキング処理部は、前記レコード情報量が所定の閾値を超えているレコードの前記項目情報量の最も大きい前記項目に対してマスキングを実行する、
ことを特徴とするマスキング判定装置。
【請求項８】
請求項１に記載のマスキング判定装置であって、
前記レコード情報量が所定の閾値を超えているレコード情報を記憶する不適情報記憶部と、
前記不適情報記憶部に記憶されている前記レコード情報を除く前記データの表示データを生成する表示データ生成部と、
をさらに有することを特徴とするマスキング判定装置。
【請求項９】
請求項１に記載のマスキング判定装置であって、
前記マスキング判定部によって、前記データが適切にマスキングされていると判定された場合、前記データを出力する出力部、
をさらに有することを特徴とするマスキング判定装置。
【請求項１０】
コンピュータに、
マスキングされたデータの各レコードの項目ごとにおいて、個人を特定できる項目情報量を算出する項目情報量算出ステップと、
１レコードごとにおいて、前記項目情報量を合計したレコード情報量を算出するレコード情報量算出ステップと、
前記レコード情報量に基づいて、前記データが適切にマスキングされているか否か判定するマスキング判定ステップと、
を行わせることを特徴とするマスキング判定方法。
【請求項１１】
コンピュータを、項目情報量算出手段、レコード情報量算出手段、マスキング判定手段として機能させ、
前記項目情報量算出手段に対して、マスキングされたデータの各レコードの項目ごとにおいて、個人を特定できる項目情報量を算出するステップと、
前記レコード情報量算出手段に対して、１レコードごとにおいて、前記項目情報量を合計したレコード情報量を算出するステップと、
前記マスキング判定手段に対して、前記レコード情報量に基づいて、前記データが適切にマスキングされているか否か判定するステップと、
を実行させることを特徴とするプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、マスキング判定装置、マスキング判定方法、およびプログラムに関するものである。
【背景技術】
【０００２】
特許文献１には、「所定のデータの入力を受け付けて、当該入力データを記憶装置に記憶して管理する情報管理装置であって、予め設定された個人情報判定基準に基づいて、前記入力データ内の個人情報部分を検出する個人情報検出手段と、前記個人情報検出手段にて個人情報部分を検出したデータを、当該個人情報部分を認識不可能なよう加工して前記記憶装置に記憶するデータ加工手段と、を備えたことを特徴とする情報管理装置。」が開示されている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００９−１９９３８５号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
ところで、ユーザは、マスキングされたデータが、個人情報が特定されないように適切にマスキングされているか知りたい場合がある。
【０００５】
しかし、特許文献１には、マスキングされたデータが、適切にマスキングされているか判定することは開示されていない。
【０００６】
そこで本発明は、マスキングされたデータが適切にマスキングされているか判定する技術を提供することを目的とする。
【課題を解決するための手段】
【０００７】
本願は、上記課題の少なくとも一部を解決する手段を複数含んでいるが、その例を挙げるならば、以下の通りである。上記課題を解決すべく、本発明に係るマスキング判定装置は、マスキングされたデータの各レコードの項目ごとにおいて、個人を特定できる項目情報量を算出する項目情報量算出部と、１レコードごとにおいて、前記項目情報量を合計したレコード情報量を算出するレコード情報量算出部と、前記レコード情報量に基づいて、前記データが適切にマスキングされているか否か判定するマスキング判定部と、を有することを特徴とする。
【０００８】
また、上記のマスキング判定装置においては、前記判定結果が適切である場合、前記データのマスキングが適切であることを証明する証明書データを生成する証明書データ生成部、をさらに有することを特徴とするものであってもよい。
【０００９】
また、上記のマスキング判定装置においては、前記項目に関する統計情報を記憶した統計情報記憶部、をさらに有し、前記項目情報量算出部は、人口と前記項目に関する前記統計情報とに基づいて、前記項目情報量を算出する、ことを特徴とするものであってもよい。
【００１０】
また、上記のマスキング判定装置においては、前記項目情報量算出部は、前記統計情報記憶部を参照して、前記項目のマスキングされていない部分の情報における統計数を取得し、取得した前記統計数と前記人口とに基づいて、前記項目情報量を算出する、ことを特徴とするものであってもよい。
【００１１】
また、上記のマスキング判定装置においては、前記項目において、非マスキング部分を許容できる許容量を記憶した許容情報記憶部、をさらに有し、前記マスキング判定部は、前記項目において、前記許容量を超えている場合、前記データは適切にマスキングされていないと判定する、ことを特徴とするものであってもよい。
【００１２】
また、上記のマスキング判定装置においては、前記マスキング判定部によって、前記データが適切にマスキングされていないと判定された場合、前記データをさらにマスキングするマスキング処理部、をさらに有することを特徴とするものであってもよい。
【００１３】
また、上記のマスキング判定装置においては、前記マスキング処理部は、前記レコード情報量が所定の閾値を超えているレコードの前記項目情報量の最も大きい前記項目に対してマスキングを実行する、ことを特徴とするものであってもよい。
【００１４】
また、上記のマスキング判定装置においては、前記レコード情報量が所定の閾値を超えているレコード情報を記憶する不適情報記憶部と、前記不適情報記憶部に記憶されている前記レコード情報を除く前記データの表示データを生成する表示データ生成部と、をさらに有することを特徴とするものであってもよい。
【００１５】
また、上記のマスキング判定装置においては、前記マスキング判定部によって、前記データが適切にマスキングされていると判定された場合、前記データを出力する出力部、をさらに有することを特徴とするものであってもよい。
【００１６】
また、本発明に係るマスキング判定方法は、コンピュータに、マスキングされたデータの各レコードの項目ごとにおいて、個人を特定できる項目情報量を算出する項目情報量算出ステップと、１レコードごとにおいて、前記項目情報量を合計したレコード情報量を算出するレコード情報量算出ステップと、前記レコード情報量に基づいて、前記データが適切にマスキングされているか否か判定するマスキング判定ステップと、を行わせることを特徴とする。
【００１７】
また、本発明に係るプログラムは、コンピュータを、項目情報量算出手段、レコード情報量算出手段、マスキング判定手段として機能させ、前記項目情報量算出手段に対して、マスキングされたデータの各レコードの項目ごとにおいて、個人を特定できる項目情報量を算出するステップと、前記レコード情報量算出手段に対して、１レコードごとにおいて、前記項目情報量を合計したレコード情報量を算出するステップと、前記マスキング判定手段に対して、前記レコード情報量に基づいて、前記データが適切にマスキングされているか否か判定するステップと、を実行させることを特徴とする。
【発明の効果】
【００１８】
本発明によれば、マスキングされたデータが適切にマスキングされているか判定することができる。上記した以外の課題、構成、および効果は、以下の実施形態の説明により明らかにされる。
【図面の簡単な説明】
【００１９】
【図１】第１の実施の形態に係るマスキング判定システムの構成例を示した図である。
【図２】マスキング判定装置の機能ブロック例を示した図である。
【図３】検査対象ＤＢのデータ構成例を示した図である。
【図４】統計情報ＤＢのデータ構成例を示した図である。
【図５】許容情報ＤＢのデータ構成例を示した図である。
【図６】項目情報量を説明する図である。
【図７】レコード情報量を説明する図である。
【図８】不適情報ＤＢのデータ構成例を示した図である。
【図９】証明書データの画面例を示した図である。
【図１０】不適切レコード一覧データの画面例を示した図である。
【図１１】マスキング判定装置の動作例を示したフローチャートである。
【図１２】第２の実施の形態に係るマスキング判定装置の機能ブロック例を示した図である。
【図１３】許容情報ＤＢのデータ構成例を示した図である。
【図１４】マスキング判定装置の動作例を示したフローチャートである。
【図１５】第３の実施の形態に係るマスキング判定装置の機能ブロック例を示した図である。
【図１６】検査対象データの画面例を示した図である。
【図１７】マスキング判定装置の動作例を示したフローチャートである。
【図１８】第４の実施の形態に係るマスキング判定装置の動作例を示したフローチャートである。
【図１９】マスキング判定装置のハードウェア構成例を示した図である。
【発明を実施するための形態】
【００２０】
以下、本発明の実施の形態を、図面を参照して説明する。
【００２１】
［第１の実施の形態］
図１は、第１の実施の形態に係るマスキング判定システムの構成例を示した図である。図１に示すように、マスキング判定システムは、マスキング判定装置１と、端末装置２と、ネットワーク３とを有している。
【００２２】
マスキング判定装置１は、例えば、サーバやパーソナルコンピュータ等の情報処理装置である。端末装置２は、例えば、パーソナルコンピュータ等の情報処理装置である。マスキング判定装置１と端末装置２は、インターネット等のネットワーク３を介して接続される。
【００２３】
システム開発では、システム開発を委託したクライアントから、個人情報を含むデータを預かり、預かったデータを用いてシステム開発を行うことがある。システム開発会社は、預かったデータに含まれる個人情報の漏洩を防止するために、データの一部をマスキングし、システム開発に使用することがある。
【００２４】
システム開発会社は、マスキングしたデータが、適切にマスキングされているか客観的に判断することは難しい。そこで、システム開発会社は、マスキングしたデータを端末装置２に入力し、ネットワーク３を介して、マスキング判定装置１に送信する。
【００２５】
マスキング判定装置１は、端末装置２から送信されたデータが、適切にマスキングされているか否か判定する。例えば、マスキング判定装置１は、端末装置２から送信されたデータが、個人情報を特定できないようにマスキングされているか判定する。
【００２６】
マスキング判定装置１は、端末装置２から送信されたデータが、適切にマスキングされていると判定した場合、そのデータのマスキングが適切であることを証明する証明書データを生成する。証明書データは、データ改ざんがされないよう、例えば、ＰＤＦ（ＰＤＦ：Portable Document Format）で生成される。マスキング判定装置１は、生成した証明書データを端末装置２に送信する。
【００２７】
システム開発会社は、端末装置２が受信した証明書データを、例えば、プリントアウトし、クライアントに渡す。または、システム開発会社は、端末装置２が受信した証明書データを、電子データでクライアントに渡す。これにより、システム開発会社は、適切にマスキングしたデータを用いて、システム開発を行うことをクライアントに知らせることができる。また、クライアントは、システム開発会社から受け取った証明書または証明書データにより、システム開発会社に安心してシステム開発を委託することができる。
【００２８】
なお、上記では、システム開発会社が、クライアントから預かったデータをマスキングしたが、これに限られない。例えば、クライアントがマスキングしたデータをシステム開発会社が預かり、システム開発会社は、クライアントがマスキングしたデータを、端末装置２を用いてマスキング判定装置１に送信してもよい。
【００２９】
また、上記では、システム開発の例について説明したが、これに限られない。マスキング判定装置１は、システム開発以外で使用される、マスキングされたデータの証明書データを生成してもよい。
【００３０】
また、上記では、端末装置２がユーザとのインターフェイス機能を有していたが、マスキング判定装置１がユーザとのインターフェイス機能を有していてもよい。例えば、マスキング判定装置１が、マスキングされたデータを入力する入力装置（キー入力装置等）と、証明書データを出力する出力装置（表示装置等）とを有していてもよい。
【００３１】
また、上記では、マスキング判定装置１は、端末装置２から入力されたデータを受信して判定したが、これに限られない。例えば、マスキング判定装置１は、ネットワーク３に接続されている記憶装置に記憶されているデータに対し、マスキングが適切に行われているか判定してもよい。
【００３２】
図２は、マスキング判定装置１の機能ブロック例を示した図である。図２に示すように、マスキング判定装置１は、受信部１１と、項目情報量算出部１２と、レコード情報量算出部１３と、マスキング判定部１４と、証明書データ生成部１５と、出力部１６と、検査対象ＤＢ（ＤＢ：Data Base）と、統計情報ＤＢ１８と、許容情報ＤＢ１９と、不適情報ＤＢ２０とを有している。
【００３３】
受信部１１は、端末装置２から送信された、マスキングされたデータを受信する。受信部１１は、受信したマスキングされたデータを、検査対象ＤＢ１７に記憶する。
【００３４】
図３は、検査対象ＤＢ１７のデータ構成例を示した図である。検査対象ＤＢ１７には、受信部１１によって受信された、マスキングされたデータが記憶される。すなわち、検査対象ＤＢ１７には、マスキングが適切に行われているか否かが判定されるデータ（以下では検査対象データと呼ぶことがある）が記憶される。
【００３５】
検査対象データには、例えば、本人ＴＢＬ（ＴＢＬ：Table）や帳票データＴＢＬなどの様々なデータＴＢＬが含まれている。図３の例では、本人ＴＢＬの例が示してある（その他の種類のＴＢＬの図示は省略している）。
【００３６】
図３に示すように、検査対象ＤＢ１７の本人ＴＢＬは、Ｐ（Primary）−ＫＥＹ１７ａと、氏名１７ｂと、住所１７ｃとを有している。Ｐ−ＫＥＹ１７ａは、対応する氏名１７ｂおよび住所１７ｃを識別するための識別情報である。１つのＰ−ＫＥＹ１７ａと、それに対応する氏名１７ｂおよび住所１７ｃとが１レコードとなる。図３に示す「Ｚ」は、データのマスキング文字列を示している。
【００３７】
図２の説明に戻る。受信部１１は、例えば、ネットワーク３に接続された公的機関のデータベース（図１に図示せず）に定期的にアクセスし、統計情報を受信する。受信部１１は、受信した統計情報を、統計情報ＤＢ１８に記憶する。
【００３８】
図４は、統計情報ＤＢ１８のデータ構成例を示した図である。統計情報ＤＢ１８には、検査対象ＤＢ１７に記憶されているデータの各項目に関する統計情報が記憶される。
【００３９】
例えば、図３の例の場合、検査対象ＤＢ１７に記憶されているデータには、「氏名」と「住所」の項目があるので、図４の統計情報ＤＢ１８には、「氏名」に関する統計情報のＴＢＬ１８ａと、「住所」に関する統計情報のＴＢＬ１８ｂとが記憶されている。なお、図４には、図３の例では示さなかった項目（年収）の統計情報のＴＢＬ１８ｃも示している。
【００４０】
ＴＢＬ１８ａは、氏名に関する統計情報の例が示してある。ＴＢＬ１８ａは、項目１８ａａと、第１ＫＥＹ１８ａｂと、第２ＫＥＹ１８ａｃと、人数１８ａｄと、取得元１８ａｅと、取得年度１８ａｆとを有している。項目１８ａａは、統計情報の項目である。第１ＫＥＹ１８ａｂおよび第２ＫＥＹ１８ａｃは、項目１８ａａにおける統計情報の対象である。人数１８ａｄは、第１ＫＥＹ１８ａｂと第２ＫＥＹ１８ａｃとに対する統計情報（人数）である。取得元１８ａｅは、受信部１１がＴＢＬ１８ａの情報を取得した取得元である。取得年度１８ａｆは、受信部１１がＴＢＬ１８ａの情報を取得した年度である。例えば、ＴＢＬ１８ａの例の場合、氏名「山田」の日本国内における人口は、「ａａａａ」である。氏名「山田太郎」の日本国内における人口は、「ｂｂｂｂ」である。
【００４１】
ＴＢＬ１８ｂは、住所に関する統計情報の例が示してある。ＴＢＬ１８ｂの項目１８ｂａ、第１ＫＥＹ１８ｂｂ、第２ＫＥＹ１８ｂｃ、第３ＫＥＹ１８ｂｄ、人数１８ｂｅ、取得元１８ｂｆ、および取得年度１８ｂｇは、ＴＢＬ１８ａの項目１８ａａ、第１ＫＥＹ１８ａｂ、第２ＫＥＹ１８ａｃ、人数１８ａｄ、取得元１８ａｅ、および取得年度１８ａｆと同様であり、その説明を省略する。なお、ＴＢＬ１８ｂの例の場合、住所「神奈川県」における人口は、「ｃｃｃｃ」である。住所「神奈川県川崎市」における人口は、「ｄｄｄｄ」である。
【００４２】
ＴＢＬ１８ｃは、年収に関する統計情報の例が示してある。ＴＢＬ１８ｃの項目１８ｃａ、第１ＫＥＹ１８ｃｂ、第２ＫＥＹ１８ｃｃ、人数１８ｃｄ、取得元１８ｃｅ、および取得年度１８ｃｆは、ＴＢＬ１８ａの項目１８ａａ、第１ＫＥＹ１８ａｂ、第２ＫＥＹ１８ａｃ、人数１８ａｄ、取得元１８ａｅ、および取得年度１８ａｆと同様であり、その説明を省略する。なお、ＴＢＬ１８ｃの例の場合、年収「３００万円以上４００万円未満」の日本国内における人口は、「ｆｆｆｆ」である。
【００４３】
図２の説明に戻る。受信部１１は、端末装置２から、統計情報ＤＢ１８に記憶される項目以外の、検査対象データの非マスキング部分（マスキングされない部分）を許容できる許容量を受信する。受信部１１は、端末装置２から受信した許容量を許容情報ＤＢ１９に記憶する。非マスキング部分を許容できる許容量は、例えば、システム開発を委託したクライアントから、システム開発会社に指示され、システム開発会社が端末装置２に入力する。
【００４４】
図５は、許容情報ＤＢ１９のデータ構成例を示した図である。図５に示すように、許容情報ＤＢ１９には、ＴＢＬ名１９ａと、項目１９ｂと、許容桁数１９ｃとが記憶される。
【００４５】
ＴＢＬ名１９ａは、非マスキング部分の許容量が設定されるＴＢＬのＴＢＬ名である。項目１９ｂは、非マスキング部分の許容量が設定される項目である。許容桁数１９ｃは、非マスキング部分が許容される桁数である。なお、項目１９ｂは、統計情報ＤＢ１８の項目１８ａａ，１８ｂａ，１８ｃａ以外の項目となる。すなわち、項目１９ｂは、公的機関で開示されていない統計情報の項目であり、クライアントによって指示される。
【００４６】
例えば、図５の例の場合、検査対象データに含まれている「年金基礎番号」は、３桁だけマスキングされないことが許容される。すなわち、検査対象データに含まれている「年金基礎番号」は、４桁以上開示されることは許されない。
【００４７】
図２の説明に戻る。項目情報量算出部１２は、検査対象ＤＢ１７に記憶された検査対象データの各レコードの項目ごとにおいて、その項目が持っている個人を特定できる情報量（以下、項目情報量と呼ぶことがある）を算出する。
【００４８】
図６は、項目情報量を説明する図である。図６には、図３に示した「ｕｓｅｒ１２３」と「ｕｓｅｒ１２４」の検査対象データが示してある。図３で説明したように、１つのＰ−ＫＥＹ「ｕｓｅｒ１２３」の氏名と住所とが１レコードとなる。また、１つのＰ−ＫＥＹ「ｕｓｅｒ１２４」の氏名と住所とが１レコードとなる。
【００４９】
項目情報量算出部１２は、各レコードの項目ごとにおいて、その項目が持っている個人を特定できる項目情報量を算出する（項目情報量の算出方法は後述する）。図６の例の場合、項目情報量算出部１２は、１レコード「ｕｓｅｒ１２３」の氏名「山田ＺＺ」の項目情報量「ａ１」を算出し、住所「神奈川県川崎市高津区ＺＺＺＺＺＺＺＺＺＺ」の項目情報量「ａ２」を算出する。また、項目情報量算出部１２は、１レコード「ｕｓｅｒ１２４」の氏名「田中ＺＺ」の項目情報量「ｂ１」を算出し、住所「神奈川県川崎市ＺＺＺＺＺＺＺＺＺＺＺＺＺ」の項目情報量「ｂ２」を算出する。図６では、２つのレコードしか示していないが、項目情報量算出部１２は、検査対象ＤＢ１７に記憶されているデータの全レコードにおいて、各項目の項目情報量を算出する。
【００５０】
項目情報量の算出について説明する。項目が持っている個人を特定できる項目情報量Ｉ（単位はｂｉｔ）は、次の式（１）によって算出される。
【００５１】
Ｉ＝−ｌｏｇ２ｐ  …（１）
【００５２】
ここで、式（１）の「ｐ」は、次の式（２）で示される。
【００５３】
ｐ＝項目のマスキングされていない部分の人数／日本国人口  …（２）
【００５４】
例えば、図６の例の場合、項目である氏名「山田ＺＺ」のマスキングされていない部分の人数（つまり氏名「山田」の人口）は、図４の統計情報ＤＢ１８のＴＢＬ１８ａより、「ａａａａ」である。従って、式（２）の「ｐ」は、日本国人口を「ｘｘｘｘ」とすると、「ｐ＝ａａａａ／ｘｘｘｘ」となる。仮に「ｐ＝１／２４」とすると、「山田ＺＺ」が有する個人を特定できる項目情報量「ａ１」は「４ｂｉｔ」となる。
【００５５】
同様に、図６の項目である住所「神奈川県川崎市高津区ＺＺＺＺＺＺＺＺＺＺ」のマスキングされていない部分の人数（つまり住所「神奈川県川崎市高津区」の人口）は、図４の統計情報ＤＢ１８のＴＢＬ１８ｂより、「ｅｅｅｅ」である。従って、式（２）の「ｐ」は、日本国人口を「ｘｘｘｘ」とすると、「ｐ＝ｅｅｅｅ／ｘｘｘｘ」となる。仮に「ｐ＝１／２１８」とすると、「神奈川県川崎市高津区ＺＺＺＺＺＺＺＺＺＺ」が有する個人を特定できる項目情報量「ａ２」は「１８ｂｉｔ」となる。
【００５６】
なお、式（２）の「ｐ」は、個人の特定範囲を示しているといえる。また、項目情報量が多いほど（ｂｉｔ数が大きいほど）、その項目における個人情報は特定されやすくなる。また、式（２）の分母の「日本国人口」は、ネットワーク３に接続された公的機関のデータベースから取得できる。また、式（２）の分母は、特定範囲（特定地域）の人口であってもよい。例えば、検査対象データが扱うデータが特定範囲（例えば、ある県や市）の場合、式（２）の分母は、その特定範囲（例えば、ある県や市）の人口としてもよい。
【００５７】
以上のように、項目情報量算出部１２は、統計情報ＤＢ１８の統計情報と日本国人口とに基づいて、各レコードの項目ごとの項目情報量を算出する。より具体的には、項目情報量算出部１２は、検査対象データの項目の、マスキングされていない部分の情報における統計数を統計情報ＤＢ１８から取得し（上記「ｕｓｅｒ１２３」の例の場合、氏名「山田」の統計数および住所「神奈川県川崎市高津区」の統計数を取得し）し、取得した統計数と日本国人口とに基づいて、各レコードの項目ごとの項目情報量を算出する。
【００５８】
図２の説明に戻る。レコード情報量算出部１３は、１レコードごとにおいて、項目情報量算出部１２が算出した項目ごとの項目情報量を合計する。以下では、各項目の項目情報量を合計した１レコードにおける情報量をレコード情報量と呼ぶことがある。
【００５９】
図７は、レコード情報量を説明する図である。図７には、図６に示したレコードと各項目の項目情報量とが示してある。
【００６０】
レコード情報量算出部１３は、上記したように１レコードごとにおいて、項目情報量算出部１２が算出した項目ごとの項目情報量を合計する。例えば、図７に示すように、レコード情報量算出部１３は、「ｕｓｅｒ１２３」の各項目の項目情報量「ａ１」と「ａ２」とを加算して、「ｕｓｅｒ１２３」のレコード情報量を算出する。上記した図６の例では、項目情報量「ａ１」は「４ｂｉｔ」であり、項目情報量「ａ２」は「１８ｂｉｔ」であるので、「ｕｓｅｒ１２３」のレコード情報量は「２２ｂｉｔ」となる。
【００６１】
レコード情報量算出部１３は、「ｕｓｅｒ１２４」の各項目の項目情報量「ｂ１」と「ｂ２」とを加算して、「ｕｓｅｒ１２４」のレコード情報量を算出する。図７では、２つのレコードしか示していないが、レコード情報量算出部１３は、検査対象ＤＢ１７に記憶されている全レコードにおいて、レコード情報量を算出する。
【００６２】
レコード情報量は、そのレコードが持っている個人を特定できる情報量といえる。１レコードのレコード情報量が大きい（ｂｉｔ数が大きい）と、そのレコードの個人情報は特定されやすくなる。
【００６３】
図２の説明に戻る。マスキング判定部１４は、レコード情報量算出部１３によって算出されたレコード情報量に基づいて、検査対象ＤＢ１７に記憶されている検査対象データが適切にマスキングされているか否か判定する。例えば、マスキング判定部１４は、レコード情報量算出部１３によって算出された検査対象データのレコード情報量が、１つでも所定の閾値を超えている場合、検査対象データは適切にマスキングされていないと判定する。
【００６４】
具体的には、前述の所定の閾値を「２０ｂｉｔ」とする。図７に示した「ｕｓｅｒ１２３」のレコード情報量を「２２ｂｉｔ」とする。この場合、マスキング判定部１４は、検査対象ＤＢ１７に記憶されている検査対象データは適切にマスキングされていないと判定する。所定の閾値は、例えば、端末装置２から指定されることができる。
【００６５】
また、マスキング判定部１４は、許容情報ＤＢ１９を参照して、検査対象ＤＢ１７に記憶されている検査対象データが適切にマスキングされているか否か判定する。例えば、マスキング判定部１４は、許容情報ＤＢ１９の項目１９ｂに対応する検査対象データの項目が、１つでも許容情報ＤＢ１９の許容桁数１９ｃを超えている場合、検査対象データは適切にマスキングされていないと判定する。
【００６６】
具体的には、検査対象ＤＢ１７に記憶されている年金基礎番号が、１つでも３桁を超えて開示されていた場合、マスキング判定部１４は、検査対象ＤＢ１７に記憶されている検査対象データは適切にマスキングされていないと判定する。
【００６７】
マスキング判定部１４は、適切にマスキングされていないと判定したレコードの情報を不適情報ＤＢ２０に記憶する。
【００６８】
図８は、不適情報ＤＢ２０のデータ構成例を示した図である。図８に示すように、不適情報ＤＢ２０は、ＴＢＬ名２０ａと、Ｐ−ＫＥＹ２０ｂと、レコード情報量２０ｃとを有している。
【００６９】
ＴＢＬ名２０ａは、マスキング判定部１４によってマスキングが不適と判定されたＴＢＬ名である。Ｐ−ＫＥＹ２０ｂは、対応するＴＢＬ名２０ａのレコードを識別する情報である。レコード情報量２０ｃは、対応するＰ−ＫＥＹ２０ｂのレコード情報量である。
【００７０】
例えば、図８の例の場合、ＴＢＬ名「本人ＴＢＬ」の「ｕｓｅｒ１２３」のレコード情報量は「２２ｂｉｔ」であり、所定の閾値「２０ｂｉｔ」を超えている。また、ＴＢＬ名「年金ＴＢＬ」の「ｄａｔａ３４５」のレコード情報は、例えば、図５に示した項目１９ｂの少なくとも１つにおいて、許容桁数１９ｃを超えている。
【００７１】
図２の説明に戻る。証明書データ生成部１５は、検査対象データがマスキング判定部１４によって、マスキングが適切であると判定された場合、検査対象データのマスキングが適切であることを証明する証明書データを生成する。証明書データ生成部１５によって生成された証明書データは、出力部１６によって端末装置２へ送信される。端末装置２は、マスキング判定装置１から受信した証明書データを、例えば、表示装置に表示する。
【００７２】
図９は、証明書データの画面例を示した図である。図９に示す画面３１は、端末装置２の表示装置に表示された証明書データの画面例である。画面３１には、検査対象データのマスキング判定結果、検査対処となったデータベースの名称、検査対象ＴＢＬの名称、および許容情報量などが含まれる。
【００７３】
また、証明書データ生成部１５は、検査対象データがマスキング判定部１４によって、マスキングが不適切であると判定された場合、不適切レコード一覧データを生成する。証明書データ生成部１５によって生成された不適切レコード一覧データは、出力部１６によって端末装置２へ送信される。端末装置２は、マスキング判定装置１から受信した不適切レコード一覧データを、例えば、表示装置に表示する。
【００７４】
図１０は、不適切レコード一覧データの画面例を示した図である。図１０に示す画面３２は、端末装置２の表示装置に表示された不適切レコード一覧データの画面例である。
【００７５】
証明書データ生成部１５は、不適情報ＤＢ２０を参照して不適切レコード一覧データを生成する。不適切レコード一覧データには、画面３２に示すように、不適切レコードと判定されたＴＢＬ名、主キー、およびレコード情報量などが含まれる。
【００７６】
図１１は、マスキング判定装置１の動作例を示したフローチャートである。マスキング判定装置１の検査対象ＤＢ１７には、予め検査対象データが記憶されているとする。統計情報１８には、予め統計情報が記憶されているとする。許容情報ＤＢ１９には、予め許容量に関する情報が記憶されているとする。
【００７７】
まず、項目情報量算出部１２は、検査対象ＤＢ１７に記憶されている検査対象データのレコードを１つ読み込む（ステップＳ１）。
【００７８】
次に、項目情報量算出部１２は、ステップＳ１にて読み込んだレコードの項目を１つ読み込む（ステップＳ２）。
【００７９】
次に、項目情報量算出部１２は、ステップＳ２にて読み込んだ項目の項目情報量を算出する（ステップＳ３）。
【００８０】
次に、項目情報量算出部１２は、ステップＳ１にて読み込んだレコードの全項目の項目情報量を算出したか否か判定する（ステップＳ４）。項目情報量算出部１２は、ステップＳ１にて読み込んだレコードの全項目の項目情報量を算出したと判定した場合（Ｓ４の「Ｙｅｓ」）、処理をステップＳ５へ移行する。項目情報量算出部１２は、ステップＳ１にて読み込んだレコードの全項目の項目情報量を算出していないと判定した場合（Ｓ４の「Ｎｏ」）、処理をステップＳ２へ移行する。
【００８１】
ステップＳ４にて、項目情報量算出部１２がステップＳ１にて読み込んだレコードの全項目の項目情報量を算出したと判定した場合（Ｓ４の「Ｙｅｓ」）、レコード情報量算出部１３は、ステップＳ１にて読み込んだレコードの各項目の項目情報量を合計し、レコード情報量を算出する（ステップＳ５）。
【００８２】
次に、レコード情報量算出部１３は、検査対象ＤＢ１７に記憶されている全レコードのレコード情報量を算出したか否か判定する（ステップＳ６）。レコード情報量算出部１３は、検査対象ＤＢ１７に記憶されている全レコードのレコード情報量を算出したと判定した場合（Ｓ６の「Ｙｅｓ」）、処理をステップＳ７へ移行する。レコード情報量算出部１３は、検査対象ＤＢ１７に記憶されている全レコードのレコード情報量を算出していないと判定した場合（Ｓ６の「Ｎｏ」）、処理をステップＳ１へ移行する。
【００８３】
ステップＳ６にて、レコード情報量算出部１３が検査対象ＤＢ１７に記憶されている全レコードのレコード情報量を算出したと判定した場合（Ｓ６の「Ｙｅｓ」）、マスキング判定部１４は、検査対象ＤＢ１７に記憶されている検査対象データが適切にマスキングされているか否か判定する（ステップＳ７）。例えば、マスキング判定部１４は、レコード情報量算出部１３によって算出されたレコード情報量が全て所定の閾値以下であり、かつ、検査対象データの開示されている桁数が全て許容桁数以下であった場合、検査対象データは適切にマスキングされていると判定する。マスキング判定部１４は、検査対象ＤＢ１７に記憶されている検査対象データが適切にマスキングされていると判定した場合（Ｓ７の「Ｙｅｓ」）、処理をステップＳ８へ移行する。マスキング判定部１４は、検査対象ＤＢ１７に記憶されている検査対象データが適切にマスキングされていないと判定した場合（Ｓ７の「Ｎｏ」）、処理をステップＳ９へ移行する。
【００８４】
ステップＳ７にて、マスキング判定部１４が検査対象ＤＢ１７に記憶されている検査対象データが適切にマスキングされていると判定した場合（Ｓ７の「Ｙｅｓ」）、証明書データ生成部１５は、証明書データを生成する（ステップＳ８）。
【００８５】
ステップＳ７にて、マスキング判定部１４が検査対象ＤＢ１７に記憶されている検査対象データが適切にマスキングされていないと判定した場合（Ｓ７の「Ｎｏ」）、証明書データ生成部１５は、不適切レコード一覧データを生成する（ステップＳ９）。
【００８６】
出力部１６は、ステップＳ８にて生成された証明書データまたはステップＳ９にて生成された不適切レコード一覧データを端末装置２へ出力する（ステップＳ１０）。
【００８７】
このように、マスキング判定装置１の項目情報量算出部１２は、マスキングされた検査対象データの各レコードの項目ごとにおいて、個人を特定できる項目情報量を算出し、レコード情報量算出部１３は、１レコードごとにおいて、項目情報量算出部１２によって算出された項目情報量を合計したレコード情報量を算出する。そして、マスキング判定部１４は、レコード情報量算出部１３によって算出されたレコード情報量に基づいて、検査対象データが適切にマスキングされているか否か判定する。これにより、マスキング判定装置１は、マスキングされた検査対象データが適切にマスキングされているか判定することができる。
【００８８】
また、証明書データ生成部１５は、マスキング判定部１４の判定結果が適切である場合、検査対象データのマスキングが適切であることを証明する証明書データを生成する。これにより、マスキング判定装置１は、客観的なマスキングの判定結果を提供することができる。
【００８９】
［第２の実施の形態］
第２の実施の形態では、検査対象データが適切にマスキングされていない場合、その検査対象データをさらにマスキングする。
【００９０】
図１２は、第２の実施の形態に係るマスキング判定装置４０の機能ブロック例を示した図である。図１２のマスキング判定装置４０において、図２のマスキング判定装置１と同じものには同じ符号を付している。以下では、図２と異なる部分について説明する。
【００９１】
マスキング処理部４１は、マスキング判定部１４によって、検査対象データが適切にマスキングされていないと判定された場合、検査対象データをマスキングする。
【００９２】
例えば、マスキング処理部４１は、レコード情報量が所定の閾値を超えたレコードにおいて、項目情報量が最も大きい項目をマスキングする。より具体的には、図６において、項目情報量「ａ１」を「４ｂｉｔ」とする。項目情報量「ａ２」を「１８ｂｉｔ」とする。所定の閾値を「２０ｂｉｔ」とする。この場合、「ｕｓｅｒ１２３」のレコード情報量は「２２ｂｉｔ」であり、所定の閾値「２０ｂｉｔ」を超えている。従って、マスキング処理部４１は、項目情報量「ａ１，ａ２」のうち、最も項目情報量の大きい項目情報量「ａ２」の項目をさらにマスキングする。例えば、マスキング処理部４１は、住所「神奈川県川崎市高津区ＺＺＺＺＺＺＺＺＺＺ」を、「住所「神奈川県川崎市ＺＺＺＺＺＺＺＺＺＺＺＺＺ」とマスキングする。
【００９３】
また、マスキング処理部４１は、検査対象データに許容桁数を超えた開示項目があった場合、その項目の開示桁数が許容桁数を満たすようにマスキングする。例えば、許容情報ＤＢ４２には、マスキング方法とマスキング文字列が記憶されており、マスキング処理部４１は、許容情報ＤＢ４２を参照して、許容桁数を超えた開示項目をマスキングする。
【００９４】
図１３は、許容情報ＤＢ４２のデータ構成例を示した図である。図１３に示すように、許容情報ＤＢ４２には、ＴＢＬ名４２ａと、項目４２ｂと、許容桁数４２ｃと、マスキング方法４２ｄと、マスキング文字列４２ｅとが記憶される。許容情報ＤＢ４２に記憶される各情報は、図５の許容情報１９と同様に端末装置２から送信される。図１３に示すＴＢＬ名４２ａ、項目４２ｂ、および許容桁数４２ｃは、図５に示したＴＢＬ名１９ａ、項目１９ｂ、および許容桁数１９ｃと同様であり、その説明を省略する。
【００９５】
マスキング方法４２ｄは、項目４２ｂのデータをマスキングする方法である。マスキング方法４２ｄには、例えば、最上位桁からマスキングする方法と、ランダムにマスキングする方法と、最下位桁からマスキングする方法とがある。マスキング文字４２ｅは、データのマスキングに用いる文字である。
【００９６】
例えば、年金基礎番号は、「＠＠＠＠＠＠１２３４」であったとする。この場合、マスキング処理部４１は、図１３の許容情報ＤＢ４２の例より、最上位桁からから７桁目の「１」を文字「＠」でマスキングする。これにより、年金基礎番号は、最上位桁からマスキングされ、許容桁数の「３桁」が守られる。
【００９７】
図１４は、マスキング判定装置４０の動作例を示したフローチャートである。まず、マスキング判定装置４０は、図１１に示したフローチャートのステップＳ１〜Ｓ６と同じ処理を実行し、検査対象データの全レコードのレコード情報量を算出する（ステップＳ２１）。
【００９８】
次に、マスキング判定部１４は、ステップＳ２１にて算出された全レコードのレコード情報量に基づいて、検査対象ＤＢ１７に記憶されている検査対象データが適切にマスキングされているか否か判定する（ステップＳ２２）。マスキング判定部１４は、検査対象ＤＢ１７に記憶されている検査対象データが適切にマスキングされていると判定した場合（Ｓ２２の「Ｙｅｓ」）、処理をステップＳ２３へ移行する。マスキング判定部１４は、検査対象ＤＢ１７に記憶されている検査対象データが適切にマスキングされていないと判定した場合（Ｓ２２の「Ｎｏ」）、処理をステップＳ２４へ移行する。
【００９９】
ステップＳ２２にて、マスキング判定部１４が検査対象ＤＢ１７に記憶されている検査対象データが適切にマスキングされていると判定した場合（Ｓ２２の「Ｙｅｓ」）、証明書データ生成部１５は、証明書データを生成する（ステップＳ２３）。
【０１００】
ステップＳ２２にて、マスキング判定部１４が検査対象ＤＢ１７に記憶されている検査対象データが適切にマスキングされていないと判定した場合（Ｓ２２の「Ｎｏ」）、マスキング処理部４１は、受信部１１を介して、端末装置２から検査対象データのマスキングを実施するか否か受付ける（ステップＳ２４）。マスキング処理部４１は、端末装置２から検査対象データのマスキング実施を受付けた場合（Ｓ２４の「Ｙｅｓ」）、処理をステップＳ２５へ移行する。マスキング処理部４１は、端末装置２から検査対象データのマスキング実施を受付けなかった場合（Ｓ２４の「Ｎｏ」）、処理をステップＳ２６へ移行する。
【０１０１】
ステップＳ２４にて、マスキング処理部４１は、端末装置２から検査対象データのマスキング実施を受付けた場合（Ｓ２４の「Ｙｅｓ」）、検査対象ＤＢ１７に記憶されている検査対象データをマスキングする（ステップＳ２５）。そして、マスキング処理部４１は、当該フローチャートの処理を終了する。
【０１０２】
なお、ステップＳ２５にてマスキング処理された検査対象データに対し、図１４の処理を再度実行すると、証明書データが生成される。ステップＳ２５のマスキング処理により、検査対象データは、適切にマスキングされるからである。
【０１０３】
ステップＳ２４にて、マスキング処理部４１が端末装置２から検査対象データのマスキング実施を受付けなかった場合（Ｓ２４の「Ｎｏ」）、証明書データ生成部１５は、不適切レコード一覧データを生成する（ステップＳ２６）。
【０１０４】
出力部１６は、ステップＳ２３にて生成された証明書データまたはステップＳ２６にて生成された不適切レコード一覧データを端末装置２へ出力する。そして、出力部１６は、当該フローチャートの処理を終了する。
【０１０５】
このように、マスキング処理部４１は、マスキング判定部１４によって、検査対象データが適切にマスキングされていないと判定された場合、検査対象データをさらにマスキングする。これにより、マスキング判定装置４０は、適切にマスキングされたデータを提供することができる。
【０１０６】
［第３の実施の形態］
第３の実施の形態では、検査対象データを表示装置に表示する際、検査対象データからマスキングの不適切なレコードを除く。そして、マスキングの不適切なレコードを除いた検査対象データを、表示装置に表示するようにする。
【０１０７】
図１５は、第３の実施の形態に係るマスキング判定装置５０の機能ブロック例を示した図である。図１５のマスキング判定装置５０において、図１２のマスキング判定装置４０と同じものには同じ符号を付している。以下では、図１２と異なる部分について説明する。
【０１０８】
表示データ生成部５１は、受信部１１を介して、端末装置２から検査対象データの表示要求があった場合、不適情報ＤＢ２０に記憶されているレコード情報を除く検査対象データの表示データを生成する。表示データ生成部５１によって生成された表示データは、出力部１６によって端末装置２へ出力される。端末装置２は、マスキング判定装置５０から受信した表示データを、表示装置に表示する。
【０１０９】
図１６は、検査対象データの画面例を示した図である。図１６に示す画面６１は、端末装置２の表示装置に表示された検査対象データの画面例の一部である。
【０１１０】
表示データ生成部５１は、端末装置２から検査対象データの表示要求を受信すると、不適情報ＤＢ２０を参照する。そして、表示データ生成部５１は、検査対象データから、不適情報ＤＢ２０に記憶されているレコードを削除した表示データを生成する。
【０１１１】
例えば、図８の例の場合、「ｕｓｅｒ１２３」、「ｕｓｅｒ１４５」、および「ｄａｔａ３４５」のレコードは、不適切レコード（マスキングが不適切なレコード）として不適情報ＤＢ２０に記憶されている。従って、表示データ生成部５１は、検査対象データから「ｕｓｅｒ１２３」、「ｕｓｅｒ１４５」、および「ｄａｔａ３４５」のレコードを除いた表示データを生成する。
【０１１２】
なお、画面６１の例では、「ｕｓｅｒ１２３」のレコードは表示されていない。また、表示データ生成部５１は、端末装置２から指定のあったＴＢＬの表示データを生成することができる。画面６１の例では、「本人ＴＢＬ」の表示データが生成されている。
【０１１３】
図１７は、マスキング判定装置５０の動作例を示したフローチャートである。マスキング判定装置５０は、証明書の発行（生成）処理（図１１に示したフローチャートの処理）を少なくとも１回実行しているとする。なお、証明書の発行処理によって、マスキングデータが不適切であると判定された場合、不適情報ＤＢ２０には、不適切レコードが記憶されている。これに対し、証明書の発行処理によって、マスキングデータが適切であると判定された場合、不適情報ＤＢ２０には、不適切レコードが記憶されていない。
【０１１４】
まず、受信部１１は、端末装置２から検査対象データの表示要求を受信する（ステップＳ３１）。
【０１１５】
次に、表示データ生成部５１は、不適情報ＤＢ２０に不適切レコードが記憶されているか否か判定する（ステップＳ３２）。表示データ生成部５１は、不適情報ＤＢ２０に不適切レコードが記憶されていると判定した場合（Ｓ３２の「Ｙｅｓ」）、処理をステップＳ３４へ移行する。表示データ生成部５１は、不適情報ＤＢ２０に不適切レコードが記憶されていないと判定した場合（Ｓ３２の「Ｎｏ」）、処理をステップＳ３３へ移行する。
【０１１６】
ステップＳ３２にて、表示データ生成部５１は、不適情報ＤＢ２０に不適切レコードが記憶されていないと判定した場合（Ｓ３２の「Ｎｏ」）、検査対象ＤＢ１７に記憶されている検査対象データの表示データを生成する（ステップＳ３３）。
【０１１７】
ステップＳ３２にて、表示データ生成部５１は、不適情報ＤＢ２０に不適切レコードが記憶されていると判定した場合（Ｓ３２の「Ｙｅｓ」）、不適切レコードを除いた検査対象データの表示データを生成する（ステップＳ３３）。
【０１１８】
出力部１６は、ステップＳ３３またはステップＳ３４にて生成された表示データを端末装置２へ送信する（ステップＳ３５）。これにより、端末装置２の表示装置には、ユーザ（例えば、システム開発会社の従業員）が要求した検査対象データが表示される。
【０１１９】
このように、表示データ生成部５１は、検査対象データの表示要求があった場合、不適情報ＤＢ２０に記憶されているレコード情報を除く検査対象データの表示データを生成する。これにより、マスキング判定装置５０は、個人情報の漏洩を抑止することができる。
【０１２０】
［第４の実施の形態］
第４の実施の形態では、ユーザの要求に応じて、証明書の発行処理、検査対象データのエクスポート処理、および検査対象データの閲覧（表示）処理を行う。第４の実施の形態に係るマスキング判定装置５０の機能ブロックは、図１５と同様である。
【０１２１】
図１８は、第４の実施の形態に係るマスキング判定装置５０の動作例を示したフローチャートである。まず、受信部１１は、端末装置２から、証明書の発行要求、検査対象ＤＢ１７に記憶されているデータのエクスポート要求、およびデータの閲覧要求のいずれかを受信する（ステップＳ４１）。
【０１２２】
次に、受信部１１は、ステップＳ４１にて受信した端末装置２からの要求に応じて、処理を切替える（ステップＳ４２）。受信部１１は、端末装置２から、証明書の発行要求を受信した場合（Ｓ４２の「１」）、処理をステップＳ４３へ移行する。受信部１１は、端末装置２から、データのエクスポート要求を受信した場合（Ｓ４２の「２」）、処理をステップＳ４４へ移行する。受信部１１は、端末装置２から、データの閲覧要求を受信した場合（Ｓ４２の「３」）、処理をステップＳ４５へ移行する。
【０１２３】
ステップＳ４２にて、受信部１１が証明書の発行要求を受信したと判定した場合（Ｓ４２の「１」）、マスキング判定装置５０は、証明書データの生成処理を実行する（ステップＳ４３）。
【０１２４】
例えば、マスキング判定部１４は、第１の実施の形態で説明したように、検査対象ＤＢ１７に記憶されている検査対象データが適切にマスキングされているか判定する。証明書データ生成部１５は、マスキング判定部１４によって、検査対象データが適切にマスキングされていると判定された場合、証明書データを生成する。
【０１２５】
一方、証明書データ生成部１５は、マスキング判定部１４によって、検査対象データが適切にマスキングされていないと判定された場合、不適切レコード一覧データを生成する。出力部１６は、証明書データ生成部１５によって生成された証明書データまたは不適切レコード一覧データを端末装置２に送信する。これにより、端末装置２の表示装置には、例えば、図９に示したような画面３１または図１０に示したような画面３２が表示される。
【０１２６】
ステップＳ４２にて、受信部１１がデータのエクスポート要求を受信したと判定した場合（Ｓ４２の「２」）、マスキング判定装置５０は、エクスポートデータの生成処理を実行する（ステップＳ４４）。
【０１２７】
例えば、マスキング判定部１４は、第１の実施の形態で説明したように、検査対象ＤＢ１７に記憶されている検査対象データが適切にマスキングされているか判定する。出力部１６は、マスキング判定部１４によって、検査対象データが適切にマスキングされていると判定された場合、検査対象ＤＢ１７に記憶されている検査対象データを端末装置２に送信する。
【０１２８】
一方、マスキング判定部１４によって、検査対象データが適切にマスキングされていないと判定された場合、マスキング処理部４１は、第２の実施の形態で説明したように、検査対象ＤＢ１７に記憶されている検査対象データをマスキングする。出力部１６は、マスキング処理部４１によってマスキング処理された検査対象データを端末装置２に送信する。これにより、マスキングが不適切な検査対象データは、さらにマスキングされてエクスポートされるので、個人情報の漏洩を抑止できる。
【０１２９】
ステップＳ４２にて、受信部１１がデータ閲覧の要求を受信したと判定した場合（Ｓ４２の「３」）、マスキング判定装置５０は、表示データの生成処理を実行する（ステップＳ４５）。
【０１３０】
例えば、マスキング判定部１４は、第１の実施の形態で説明したように、検査対象ＤＢ１７に記憶されている検査対象データが適切にマスキングされているか判定する。表示データ生成部５１は、マスキング判定部１４によって、検査対象データが適切にマスキングされていると判定された場合、第３の実施の形態で説明したように、検査対象ＤＢ１７に記憶されている検査対象データの表示データを生成する。
【０１３１】
一方、表示データ生成部５１は、マスキング判定部１４によって、検査対象データが適切にマスキングされていないと判定された場合、第３の実施の形態で説明したように、不適情報ＤＢ２０に記憶されているレコード情報を除いた検査対象データの表示データを生成する。出力部１６は、表示データ生成部５１によって生成された、検査対象ＤＢ１７の検査対象データの表示データまたは不適切レコードを除いた表示データを端末装置２に送信する。これにより、マスキングが不適切なレコードを含む検査対象データは、その不適切なレコードが除かれて端末装置２の表示装置に表示されるので、個人情報の漏洩を抑止できる。
【０１３２】
このように、マスキング判定装置５０は、ユーザの要求に応じて、証明書データの生成処理、エクスポートデータの生成処理、および表示データの生成処理を行うことができる。
【０１３３】
以下、マスキング判定装置１，４０，５０のハードウェア構成例について説明する。
【０１３４】
図１９は、マスキング判定装置１のハードウェア構成例を示した図である。マスキング判定装置１は、例えば、図１９に示すような、ＣＰＵ（Central Processing Unit）等の演算装置１０１と、ＲＡＭ（Random Access Memory）などの主記憶装置１０２と、ＨＤＤ（Hard Disk Drive）等の補助記憶装置１０３と、有線又は無線により通信ネットワークと接続するための通信インターフェイス（Ｉ／Ｆ）１０４と、マウス、キーボード、タッチセンサーやタッチパネルなどの入力装置１０５と、液晶ディスプレイなどの表示装置１０６と、ＤＶＤ（Digital Versatile Disk）などの持ち運び可能な記憶媒体に対する情報の読み書きを行う読み書き装置１０７と、を備えるコンピュータで実現することができる。
【０１３５】
マスキング判定装置１の各部の機能は、例えば、補助記憶装置１０３などから主記憶装置１０２にロードされた所定のプログラムを演算装置１０１が実行することで実現される。また、マスキング判定装置１の各記憶部は、例えば、演算装置１０１が主記憶装置１０２または補助記憶装置１０３を利用することで実現される。
【０１３６】
上記の所定のプログラムは、例えば、読み書き装置１０７により読み取られた記憶媒体からインストールされてもよいし、通信Ｉ／Ｆ１０４を介してネットワークからインストールされてもよい。マスキング判定装置４０，５０も図１９と同様のハードウェアによりその機能を実現することができる。
【０１３７】
以上、本発明について実施形態を用いて説明したが、本発明の技術的範囲は上記実施形態に記載の範囲には限定されない。上記実施形態に多様な変更または改良を加えることが可能であることが当業者には明らかである。例えば、上記した他の申請手続を判定するための条件は一例であり、例えば、児童手当申請の条件は、受給対象年齢と、世帯年収と、その他の条件を有していてもよい。また、本発明は、役所以外の申請手続にも適用することができる。
【０１３８】
また、そのような変更または改良を加えた形態も本発明の技術的範囲に含まれ得ることが、特許請求の範囲の記載から明らかである。
【０１３９】
また、上述したマスキング判定装置１，４０，５０の機能構成は、その構成を理解容易にするために、主な処理内容に応じて分類したものである。構成要素の分類の仕方や名称によって、本願発明が制限されることはない。マスキング判定装置１，４０，５０の構成は、処理内容に応じて、さらに多くの構成要素に分類することもできる。また、１つの構成要素がさらに多くの処理を実行するように分類することもできる。また、各構成要素の処理は、１つのハードウェアで実行されてもよいし、複数のハードウェアで実行されてもよい。
【０１４０】
また、上述したフローチャートの各処理単位は、マスキング判定装置１，４０，５０の処理を理解容易にするために、主な処理内容に応じて分割したものである。処理単位の分割の仕方や名称によって、本願発明が制限されることはない。マスキング判定装置１，４０，５０の処理は、処理内容に応じて、さらに多くの処理単位に分割することもできる。また、１つの処理単位がさらに多くの処理を含むように分割することもできる。また、本発明は、マスキング判定装置１，４０，５０の機能を実現するプログラム、および当該プログラムを記憶した記憶媒体として提供することもできる。
【符号の説明】
【０１４１】
１，４０…マスキング判定装置、２…端末装置、３…ネットワーク、１１…受信部、１２…項目情報量算出部、１３…レコード情報量算出部、１４…マスキング判定部、１５…証明書データ生成部、１６…出力部、１７…検査対象ＤＢ、１８…統計情報ＤＢ、１９…許容情報ＤＢ、２０…不適情報ＤＢ、４１…マスキング処理部、５１…表示データ生成部。
【図１】
2017083931.tif 000003
【図２】
2017083931.tif 000004
【図３】
2017083931.tif 000005
【図４】
2017083931.tif 000006
【図５】
2017083931.tif 000007
【図６】
2017083931.tif 000008
【図７】
2017083931.tif 000009
【図８】
2017083931.tif 000010
【図９】
2017083931.tif 000011
【図１０】
2017083931.tif 000012
【図１１】
2017083931.tif 000013
【図１２】
2017083931.tif 000014
【図１３】
2017083931.tif 000015
【図１４】
2017083931.tif 000016
【図１５】
2017083931.tif 000017
【図１６】
2017083931.tif 000018
【図１７】
2017083931.tif 000019
【図１８】
2017083931.tif 000020
【図１９】
2017083931.tif 000021