NAIS Journal

プライバシ保護の一手法の提案
京都情報大学院大学

NTTアドバンステクノロジ株式会社

神垣智一

廣瀬誠

山下泰芳

高弘昇

宮本慎

内藤昭三

中口孝雄

京都コンピュータ学院

饗場繁

藤田和也

個人情報を分割し， それぞれに必要な情報以外を持たせな
いことにより，1つのサーバから情報が流出したと仮定しても個ぜならば，Internet上でのビジネスでは何か物を一つ買うといったことでも，ある程度の個人情報が必要となってくる。例えば配送先の住所，決済に使用するクレジットカードの情報といったものである。Webサイトを運営している企業はこれらの情報を蓄積し，マーケティングなどを行い，新たなビジネスを展開している。またユーザはよく利用するサイトに自分の個人情報を登録しておき，ID・パスワードを用いるなどの認証技術で本人確認を行い，蓄積されているDatabaseより個人情報を引き出し，入力の手間を省くといったことに利用している。しかしながら，現在この一連の流れに問題が生じてきている。それは，これらの情報を1社で管理するには多大なコスト，個人情報漏洩リスクが非常に高いという問題である。また利用者は，なによりも個人情報流出における個人のプライバシ侵害に問題を感じている。しかしながら購入者や利用者の情報を取得しなければ今後のビジネスに生かすことができなくなり，Internet上でビジネスを行うメリットがなくなってしまうのも事実である。そこで我々は1社で管理するのではなく，数社により1つの個人情報を管理することで個人情報漏洩の危険性を少なくし，またプライバシ保護の観点からも非常に優れた方式を提案する。

決済・サーバ人を特 定することは困 難にする方 式である。仮に一 部のサーバから個人情報が流出したとしても， 個人を特定するには困クライアントeコマース・サーバ

難な情 報になる。これにより顧 客のプライバシが守られる仕 組

右 記の図でeコマース・サーバが行っていた役 割を情 報 分

個人情報によるユーザの識別を不可能にする。

配送・サーバ

また開示される情報は，開示されるサーバの公開鍵で暗号化を行う。このため，開示されるサーバのみが情報にアクセスできる（ 決済情報は決済・サーバの公開鍵で暗号化される。このため配 送・サーバとeコマース・サーバのもつ 鍵では決 済 情報の暗 号 化を解くことができない）。また情 報 分 散プロキシには復合化のための鍵を一切もたせないので，情報分散プロキ

新方式

配送・サーバシから情報の漏洩が起こったと仮定しても，実際の個人情報
顧客の配送情報は暗 号 化されたままのものであるので保 護される。しかしこれでは情報が別々になってしまい，どの情報と，どの情報がリン

クライアント

情報分散プロキシ
決済・サーバクしているのかわからなくなる問題が発生する。この問題はトラ

第 一の問 題であげた【ネットワーク】の本 質 的な問 題でも言え殊なI Dをそれぞれのデータに付 加することで回 避することがeビジネスにおけるプライバシ保 護はeビジネスを執り行う企ることであるが，管理コストをかけてセキュアなネットワークを構できる。

業にとって非 常に重 要な業 務の1つとなっている。しかしなが築することで，ある程度は盗聴などを防ぐことができる。しかしまたTIDは暗号化せずに送信されるが，このTIDは単体でら現状では様々な問題から非常に困難になってきている。

ながら現 状では1 企 業でそのコストを賄うことは非 常に困 難なはただの数字でしかないので漏洩したところでさほど問題ではまず，第一にあげられるのがeビジネスならではの問題であり，ことであると言える。しかしこれらの問題が解決したとしても個ない。また，このシステムの実装はJavaとJavaScriptを用いてインターネットを用いるサイバー空間で起きる特有の問題である。

人 情 報の流出を完 全に食い止めることは非 常に困 難なのが開発されているのでクライアント側に一切負担をかけないシス

これは【ネットワーク】といわれるインターネットそのものを構 築現状であるが，プライバシ保護という面においては保護するこテムとなっている。

するものがもつ本質的な問題点である。現状のコンピュータ・ネとができると考えられる。またプライバシ保護の問題はこれら以

このシステムのプロセスは登録プロセス，利用プロセス，処ットワークではある程 度の技 術 力をもつ 人 間であれば 他 人の外にも様々な要因があげられると思うが，大きくはこの3つであ理完了プロセスの3つのプロセスに分類される。まず登録プロ送信した（メールなど）内容を簡単に盗聴したり， 更新状況をると言えるのではないだろうか 。このことから，この3つの問題

セスでクライアントが購入に必要な情報を入力し，情報分散プ把 握したりすることは容 易なことである。第 二にあげられるのに重点をおいた個人情報管理の新方式を次章で論述する。

ロキシに送信する。この際，JavaScriptを用いてブラウザ上で132

顧客の決済情報
商品購入に必要な基本情 報（ 購 入 商 品 情 報・商品配送先情報・クレジットカード情報など）

顧客の購入商品情報

eコマース・サーバ配送・サーバ暗号化を行う。その後，ユーザが商品購入を決定した後，入が法律・規制の問題である。eビジネスでは，1つの国だけでビジネスを行わず， 様々な国を通じてビジネスを行うことも珍しく顧客の配送情報

商品購入に必要な基本情 報（ 購 入 商 品 情 報・商品配送先情報・クレジットカード情報など）

ンザクションID（ 以下TID ）と呼ばれる整合性を保つための特1 ． 現在のプライバシ保護の問題点

顧客の決済情報みになる。

散プロキシと呼ばれるサーバにさせることで，情報を分散させ，近年，個人情報保護に関して様々な議論が行われている。その背景としてはInternetビジネスの急速な発展が影響している。な従来型の方式

2 ． 個人情報管理の新方式

4○

力データに不 備がないことを確 認し， 暗 号 化されたデータにない。例えば日本にいながらアメリカ・韓国などのショッピングサはじめに， 従来方式と我々の提案する新方式の個人情報TIDを付加し，情報分散プロキシに保存する。その後，利用プイトを利用するのがこれにあたる。そうした場合，プライバシ保管理の仕組みについてショッピングサイトを例に挙げて比較しロセスに移行し，情報分散プロキシに保存されているTIDと各護の法律・規制はもちろんのこと，その考え方まで大きく違ってていきたい。従来方式の仕組みでオンラインショッピングを利用情報が各サーバに送信される。このときにデータの整合性を確くる。

すると，最初にサイトで購入商品を選択後，購入に必要な情保するため，各サーバに設けられた1次キャッシュ領域にデー第三に個人情報を管理する企業の管理体制・能力の問題報を入力する。そしてその情報を当該サイトに送信し，そこかタが一時的に保存される。最後に処理完了プロセスに移行すである。これは各国の法制度や規制が後手に回ったということ

ら決済情報はクレジット会社へ ，配送情報は配送会社へと送る。このプロセスではeコマース・決済・配送の3サーバからそれもあり，十分な体制が整えられないままビジネスを展開すること信される。

ぞれ情報分散プロキシにTIDを送信する。そのTIDがすべてになってしまった。また， eビジネスを積極的に取り入れる企業

この方式だと，eコマース・サーバに顧客の全ての情報が蓄一 致すれば情 報 分 散プロキシから処 理 完了通 知を各サーバの多くは，中小企業やベンチャー企業といった成長企業であり，えられてしまう。こうなるとeコマース・サーバが悪意あるユーザに送 信する。各サーバは処 理 完了の通 知を受け取ったら1 次社員教育や設備投資に多くのコストをかけることができない企からの攻撃や， サーバ管理者の不手際があった際に個人情キャッシュ領域に一時的に保存されていたデータを各データベ業が多い。このため1つの企業で管理コストを賄うのは困難と報がいとも簡単に流出してしまい，プライバシ保護に大きな問ースへ 保存し処理を完了する。また，この一連の動作で不手なり， 十分な管理能力を有することができないでいる。これは題が発生してしまう。そこで我々の考える方式は， はじめから際が発生した場合などのデータは，ある一定の時間が経過す

3○

クライアント

情報分散プロキシ
1
○
2
○
3
○
4
○

決済・サーバ
4
○
2
○

4
○

eコマース・サーバ

1○

1 eコマース・サーバの公開鍵で暗号化された購入情報○
2 決済・サーバの公開鍵で暗号化された決済情報○
3 配送・サーバの公開鍵で暗号化された配送情報○
4 TIDの発行および送信○133

NAIS Journal

プライバシ保護の一手法の提案
京都情報大学院大学

NTTアドバンステクノロジ株式会社

神垣智一

廣瀬誠

山下泰芳高弘昇

宮本慎内藤昭三

中口孝雄

京都コンピュータ学院

饗場繁

藤田和也

個人情報を分割し， それぞれに必要な情報以外を持たせないことにより，1つのサーバから情報が流出したと仮定しても個ぜならば，Internet上でのビジネスでは何か物を一つ買うといったことでも，ある程度の個人情報が必要となってくる。例えば配送先の住所，決済に使用するクレジットカードの情報といったものである。Webサイトを運営している企業はこれらの情報を蓄積し，マーケティングなどを行い，新たなビジネスを展開している。またユーザはよく利用するサイトに自分の個人情報を登録しておき，ID・パスワードを用いるなどの認証技術で本人確認を行い，蓄積されているDatabaseより個人情報を引き出し，入力の手間を省くといったことに利用している。しかしながら，現在この一連の流れに問題が生じてきている。それは，これらの情報を1社で管理するには多大なコスト，個人情報漏洩リスクが非常に高いという問題である。また利用者は，なによりも個人情報流出における個人のプライバシ侵害に問題を感じている。しかしながら購入者や利用者の情報を取得しなければ今後のビジネスに生かすことができなくなり，Internet上でビジネスを行うメリットがなくなってしまうのも事実である。そこで我々は1社で管理するのではなく，数社により1つの個人情報を管理することで個人情報漏洩の危険性を少なくし，またプライバシ保護の観点からも非常に優れた方式を提案する。

決済・サーバ人を特 定することは困 難にする方 式である。仮に一 部のサーバから個人情報が流出したとしても， 個人を特定するには困クライアントeコマース・サーバ

難な情 報になる。これにより顧 客のプライバシが守られる仕 組

右 記の図でeコマース・サーバが行っていた役 割を情 報 分

個人情報によるユーザの識別を不可能にする。

配送・サーバ

また開示される情報は，開示されるサーバの公開鍵で暗号化を行う。このため，開示されるサーバのみが情報にアクセスできる（ 決済情報は決済・サーバの公開鍵で暗号化される。このため配 送・サーバとeコマース・サーバのもつ 鍵では決 済 情報の暗 号 化を解くことができない）。また情 報 分 散プロキシには復合化のための鍵を一切もたせないので，情報分散プロキ新方式

配送・サーバシから情報の漏洩が起こったと仮定しても，実際の個人情報
顧客の配送情報は暗 号 化されたままのものであるので保 護される。しかしこれでは情報が別々になってしまい，どの情報と，どの情報がリン

クライアント

情報分散プロキシ
決済・サーバクしているのかわからなくなる問題が発生する。この問題はトラ

第 一の問 題であげた【ネットワーク】の本 質 的な問 題でも言え殊なI Dをそれぞれのデータに付 加することで回 避することがeビジネスにおけるプライバシ保 護はeビジネスを執り行う企ることであるが，管理コストをかけてセキュアなネットワークを構できる。

業にとって非 常に重 要な業 務の1つとなっている。しかしなが築することで，ある程度は盗聴などを防ぐことができる。しかしまたTIDは暗号化せずに送信されるが，このTIDは単体でら現状では様々な問題から非常に困難になってきている。

ながら現 状では1 企 業でそのコストを賄うことは非 常に困 難なはただの数字でしかないので漏洩したところでさほど問題ではまず，第一にあげられるのがeビジネスならではの問題であり，ことであると言える。しかしこれらの問題が解決したとしても個ない。また，このシステムの実装はJavaとJavaScriptを用いてインターネットを用いるサイバー空間で起きる特有の問題である。

人 情 報の流出を完 全に食い止めることは非 常に困 難なのが開発されているのでクライアント側に一切負担をかけないシス

これは【ネットワーク】といわれるインターネットそのものを構 築現状であるが，プライバシ保護という面においては保護するこテムとなっている。

するものがもつ本質的な問題点である。現状のコンピュータ・ネとができると考えられる。またプライバシ保護の問題はこれら以

このシステムのプロセスは登録プロセス，利用プロセス，処ットワークではある程 度の技 術 力をもつ 人 間であれば 他 人の外にも様々な要因があげられると思うが，大きくはこの3つであ理完了プロセスの3つのプロセスに分類される。まず登録プロ送信した（メールなど）内容を簡単に盗聴したり， 更新状況をると言えるのではないだろうか 。このことから，この3つの問題

セスでクライアントが購入に必要な情報を入力し，情報分散プ把 握したりすることは容 易なことである。第 二にあげられるのに重点をおいた個人情報管理の新方式を次章で論述する。

ロキシに送信する。この際，JavaScriptを用いてブラウザ上で132

顧客の決済情報
商品購入に必要な基本情 報（ 購 入 商 品 情 報・商品配送先情報・クレジットカード情報など）

顧客の購入商品情報

eコマース・サーバ配送・サーバ暗号化を行う。その後，ユーザが商品購入を決定した後，入が法律・規制の問題である。eビジネスでは，1つの国だけでビジネスを行わず， 様々な国を通じてビジネスを行うことも珍しく顧客の配送情報

商品購入に必要な基本情 報（ 購 入 商 品 情 報・商品配送先情報・クレジットカード情報など）

ンザクションID（ 以下TID ）と呼ばれる整合性を保つための特1 ． 現在のプライバシ保護の問題点

顧客の決済情報みになる。

散プロキシと呼ばれるサーバにさせることで，情報を分散させ，近年，個人情報保護に関して様々な議論が行われている。その背景としてはInternetビジネスの急速な発展が影響している。な

従来型の方式

2 ． 個人情報管理の新方式

4○

力データに不 備がないことを確 認し， 暗 号 化されたデータにない。例えば日本にいながらアメリカ・韓国などのショッピングサはじめに， 従来方式と我々の提案する新方式の個人情報TIDを付加し，情報分散プロキシに保存する。その後，利用プイトを利用するのがこれにあたる。そうした場合，プライバシ保管理の仕組みについてショッピングサイトを例に挙げて比較しロセスに移行し，情報分散プロキシに保存されているTIDと各護の法律・規制はもちろんのこと，その考え方まで大きく違ってていきたい。従来方式の仕組みでオンラインショッピングを利用情報が各サーバに送信される。このときにデータの整合性を確くる。

すると，最初にサイトで購入商品を選択後，購入に必要な情保するため，各サーバに設けられた1次キャッシュ領域にデー第三に個人情報を管理する企業の管理体制・能力の問題報を入力する。そしてその情報を当該サイトに送信し，そこかタが一時的に保存される。最後に処理完了プロセスに移行すである。これは各国の法制度や規制が後手に回ったということ

ら決済情報はクレジット会社へ ，配送情報は配送会社へと送る。このプロセスではeコマース・決済・配送の3サーバからそれもあり，十分な体制が整えられないままビジネスを展開すること信される。

ぞれ情報分散プロキシにTIDを送信する。そのTIDがすべてになってしまった。また， eビジネスを積極的に取り入れる企業

この方式だと，eコマース・サーバに顧客の全ての情報が蓄一 致すれば情 報 分 散プロキシから処 理 完了通 知を各サーバの多くは，中小企業やベンチャー企業といった成長企業であり，えられてしまう。こうなるとeコマース・サーバが悪意あるユーザに送 信する。各サーバは処 理 完了の通 知を受け取ったら1 次社員教育や設備投資に多くのコストをかけることができない企からの攻撃や， サーバ管理者の不手際があった際に個人情キャッシュ領域に一時的に保存されていたデータを各データベ業が多い。このため1つの企業で管理コストを賄うのは困難と報がいとも簡単に流出してしまい，プライバシ保護に大きな問ースへ 保存し処理を完了する。また，この一連の動作で不手なり， 十分な管理能力を有することができないでいる。これは題が発生してしまう。そこで我々の考える方式は， はじめから際が発生した場合などのデータは，ある一定の時間が経過す

3○

クライアント

情報分散プロキシ
1○
2
○
3
○
4
○

決済・サーバ
4
○
2
○

4
○

eコマース・サーバ

1○

1 eコマース・サーバの公開鍵で暗号化された購入情報○
2 決済・サーバの公開鍵で暗号化された決済情報○
3 配送・サーバの公開鍵で暗号化された配送情報○
4 TIDの発行および送信○

133

プライバシ保護の一手法の提案

ると自動 的にサーバから削 除される仕 組みを提 供 する。このは大きな問 題があると言える。本 来グループと呼ばれるものは新方式を採用することで，前述した問題を克服することができ変動の激しいものである。そのグループに共通の鍵やパスワーNAISると我々は考えている。

ドを持たせても， めまぐるしく変動するグループの管理に秘密

会員募集

まず盗聴・傍受に関しての問題であるが，これは情報そのものに価 値をもたせないことで盗 聴・傍 受されたとしても被 害を鍵やパスワードを動 的に変 更し続けるといったセキュリティ技術は現在は存在しない。

最 小 限にとどめることができると言える。次に法 律・規 制の問題であるが，上記を例にして考えると3つのデータが揃わない

4 ． 本方式の問題点及 び今後の課題と個 人 情 報として意 味をなさないことがわかる。そうなれば各

この章では我々が提案する新方式の問題点と今後の課題

情報システム学会日本支部（Japan（Nippon）Association for Information

サーバの管理企業がすべて違う国であったとしても特に問題について述べたい。この方式はまだ研究開発段階で，すべてSystems）への多くの方々の参加を期待します。NAISの会員資格は，AISが生じることなく運営することができる。最後に企業の管理体制・の機能が実装されているわけではない。現状，技術面ではとく本部への会員登録により自動的に付与されます。http://www.aisnet.org/

能力の問題であるが，いままではeコマースに個人情報が集中に目立った問題点は生じていないが，今後どうなるかまだ予測よりAISへの会員登録をお願いいたします。NAIS会員としての追加登録し，管理する企業に負担が重く圧し掛かり，個人情報の漏洩がつかない。しかしながら，この新方式は既存の技術を多く用費等は発生しません。

がプライバシの侵害へと繋がったが，この方式であれば必要いており，その活用の仕方を工夫しているため，技術面で大きな情 報 以 外 管 理する必 要がない。このようにいままで単 独でな問 題が発 生するとは考えにくい。技 術 面で問 題が出るとす情報システム（Information Systems）分野の研究者は日本国内にも少管理していた個人情報を複数の企業で管理し， 管理する企

れば，既存のeコマースサイトにこの方式を採用し，既存システなからずおり，かねてより日本においてもAISの支部設置が望まれていまし

業それぞれの情報はまったく異なるといった形態を作り上げる

ムと連 動する実 装 段 階で発 生すると考えられる。これはeコマた。
しかし，実務との関わりが深く，かつ学際的な融合領域を対象とすることで，いままでの管理コスト・漏洩時の責任なども分散するこースサイトが似通っているが，まったく同じものが存在せず，まIS分野の特性から，いずれの機関においても日本支部開設のイニシアティとができる上，仮に個人情報が漏洩した場合でもプライバシのた実装されているプログラミング言語も違っているため， 実装ブを取ることが難しい状況にありました。

侵害にまで繋がることが難しくなり， eビジネスを行う企業の負予 想がしにくいという点から生じている問 題である。しかしな

担を軽くすることができる。それと同時にオンラインショッピング

がら，この問題はeコマースサイトのサンプルを多く集め，十分2004年にIT応用技術者を育成することを目的とし，日本最初のIT専門を利用するユーザにとっても，今まで通りの手法で利用でき，「自な検証を行うことである程度解決できる問題ではある。次にあ職大学院である京都情報大学院大学が開学しました。この機に，AIS本分の個人情報が漏洩し，プライバシが侵害されるのではないか」

げられる課題は，既存のシステムと連動させるためのモジュー部の意向を受けて，同学に結集したIT / IS分野の教授陣が中心となり，世という不安を軽減させることができると言えるのではないだろう

ル開発である。これはとくに決済システムに言えることであるが，界で13番目の支部となるNAISを発足させました。初代支部長は，同学のか。これが我々の考えるプライバシ保護の新しい方式である。

決済会社は独自のシステムを用いている場合が多く，これらの応用情報技術研究科ウェブビジネス技術専攻主任の寺下陽一教授が務システムを変更せずに情報をやり取りできるインターフェースのめました。

3 ． 類似研究との比較開発が必要となってくる。これらは今後XML・XMLデータベースなどの冗長性の高い技術を用いて部分的に開発していく考

今後の日本の産業界を発展させていくためには，IS分野の研究活動は

情 報 処 理 学 会 が 発 行している『 情 報 処 理 2 0 0 6 4 月号

えである。最後にあげられる問題は，この方式では本稿の例を極めて重要です。NAISでは，学界，産業界を問わず広く会員を募り，ISVol.47NO.4通巻494号』「セキュリティとプライバシを両 立さあげるとショッピングサイトでは決済会社・配送会社・eコマース分野の学会として社会的な使命を果たしていきたいと考えています。IS分せる匿名認証技術について」で述べられている方式がある。

運営会社の3社が協力して個人情報を管理するという図式に野は学際的であり，従来の理工系の研究者のみならず，人文系・社会系

これは我々の方 式と考え方が類 似している。しかしその手 段なっている。このような場合，不本意ながらもこの3社は協業体の研究者からの参加も期待します。

が異なる。ここで紹介されているのはグループ認証と呼ばれる制を作らなければならなくなる。ビジネス的な観点ではこれはあ方式である。これはアクセス権のある人をグループ化し，このグまり例のないことであるので， この協業体制をいかにして作りループに属しているかどうかでアクセスを許諾する方式である。

上げることができるかが本 稿の方 式を成 功させる問 題および暗号化をする際にグループで共通のパスワードや秘密鍵を配課題であると言える。

この章では前述した我々の方式と類似した方式を紹介する。

布し，それをもって秘匿するという方法であるが，この方式に

参考 ［1］NPO 日本ネットワークセキュリティ協会 - 2005年度 情報セキュリティインシデントに関する調査報告書
文献 ［2］NPO 日本ネットワークセキュリティ協会 - 2003年度 情報セキュリティインシデントに関する調査報告書［3］ 情報処理 2006 4月号Vol.47NO.4通巻494号

情報処理学会発行, 2006.4.

［4］William Stallings, 石橋 啓一郎ほか（訳）, 暗号とネットワークセキュリティ - 理論と実際

Pearson Education Japan出版, 1999

［5］Sun Microsystems, Inc. , Webセキュリティ・プログラミング for Java テクノロジー Sun Microsystems出版, 2002.
［6］黒川 信弘,

セキュア社会実現へ向けての7つの提言 −安心と信頼に支えられたIT社会実現のために−

日本セキュリティマネジメント学会 投稿論文, 2003.
134135