アクセス制御サーバ、利用者端末及び情報アクセス制御方法
【課題】個人情報を本人の手元で一元的に管理し、情報に対するプライバシーを保護する。
【解決手段】利用者が保有する利用者端末、及び前記利用者端末にサービスを提供する外部サービス端末に接続されたアクセス制御サーバであって、前記利用者端末に保持される個人情報に対する前記外部サービス端末からのアクセスを制御するアクセス制御部を備え、前記アクセス制御部は、前記利用者端末に保持される個人情報に対するアクセス権限を設定するためのアクセス制御ポリシ及び前記外部サービス端末の属性情報を受け付け、前記受け付けたアクセス制御ポリシ及び前記受け付けた外部サービス端末属性情報に基づいて、アクセス権限を判定し、前記判定結果を利用者端末に送付する。
【解決手段】利用者が保有する利用者端末、及び前記利用者端末にサービスを提供する外部サービス端末に接続されたアクセス制御サーバであって、前記利用者端末に保持される個人情報に対する前記外部サービス端末からのアクセスを制御するアクセス制御部を備え、前記アクセス制御部は、前記利用者端末に保持される個人情報に対するアクセス権限を設定するためのアクセス制御ポリシ及び前記外部サービス端末の属性情報を受け付け、前記受け付けたアクセス制御ポリシ及び前記受け付けた外部サービス端末属性情報に基づいて、アクセス権限を判定し、前記判定結果を利用者端末に送付する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、利用者が有する情報が外部からアクセスされるコンピュータシステムに関し、特に、利用者端末に記憶された個人情報を保護するアクセス制御方法に関する。
【背景技術】
【０００２】
ネットワーク上の様々なサービス提供システムは、利用者によって要求されるサービスを提供するために、利用者の個人情報を必要とする場合がある。よって、多くのサービス提供システムは、業務に必要な個人情報を自己のデータベース内に格納している。そのため、従来、個人情報はネットワーク上に分散して管理されてきた。
【０００３】
また、これらサービス提供システムが管理している個人情報の内容も多岐に渡っている。例えば、ネット通販業者は、利用者の氏名、住所及び電話番号等の商品の送付に必要な情報に加え、購買履歴やお勧め情報等の情報を管理している。これらの情報はログインした利用者に対して表示され、以降の購買意欲推進のために使用されている。
【０００４】
これらの個人情報のうち、氏名や住所は書籍送付の際に宅配業者に開示されるが、購買履歴や嗜好情報は慎重な取り扱いが求められるデータであり、利用者本人以外に開示されるべきではない。従来のシステムでは、これらの個人情報に対するアクセスは各サービス提供事業者が設定し、制御している。
【０００５】
図１０は、従来の個人情報アクセス制御システムのブロック図である。
【０００６】
利用者端末２０１、外部サービス端末１２１及びアクセス制御サーバ１３１は、ネットワーク１４２によって接続されている。
【０００７】
アクセス制御サーバ１３１は、アクセス制御処理部１３２及びデータベースを備える。データベースには、アクセス制御ポリシデータ１１３及び個人情報１１４が格納されている。利用者端末２０１は、アクセス制御ポリシデータを格納する。外部サービス端末１２１は外部サービス端末プロファイルデータ１２３を格納する。
【０００８】
アクセス制御サーバ１３１は、外部サービス端末から個人情報に対するアクセス要求を受信すると（２１２）。アクセス制御ポリシデータ１１３に基づいて、当該外部サービス端末１２１がアクセスする権限を有するかどうかを判定し、その結果に基づいてアクセス可能な個人情報を外部サービス端末１２１に開示する（２１３）。
【０００９】
アクセス制御ポリシデータ１１３は、利用者が自分で内容を決定し、利用者端末１０１によってアクセス制御サーバ１３１に登録してもよい（２１１）。
【００１０】
特許文献１には、このような利用者が端末を通してアクセス制御ポリシデータを登録する方式が開示されている。
【００１１】
また、特許文献２には、アクセス制御サーバの全ての機能を利用者が有する機器に実装し、個人情報やアクセス制御ポリシの流出を防ぐ方法が開示されている。
【特許文献１】特開２００２−１４８６２号公報
【特許文献２】特開２００４−２６０７１６号公報
【発明の開示】
【発明が解決しようとする課題】
【００１２】
本来、個人情報に関するプライバシーは、情報を提供した利用者が有するべきである。そのため、個人情報をコントロールする権利、すなわち個人情報へのアクセス制御権も利用者本人が有する。
【００１３】
しかし、前述した従来技術によると、このような個人情報がネットワーク上のデータベースに格納されており、またデータベースが複数のサーバによって管理されている場合、個人情報がネットワーク上に分散して格納される。ネットワークを介してアクセス可能な状態である場合、利用者本人が個人情報へのアクセスを制御できる構成にはなっていない。
【００１４】
現状では、データベース内のデータへのアクセス権限はデータベース管理者によって管理されている。すなわち、システムを管理するサービス提供事業者が、個人情報へのアクセスを制御している。
【００１５】
そのため、システムを管理するサービス提供事業者が、データベース内に格納されている個人情報へのアクセスを制御する場合が多く、利用者本人の意志に反して開示されることがある。また、利用者本人の開示に関する詳細な要望が、個人情報へのアクセス制御に反映されていない。
【００１６】
また、データベースに格納される個人情報を保護するため、システム管理者であるサービス提供事業者の守秘責任や運用負荷が大きくなる問題もある。
【００１７】
これらの問題に対して、特許文献１には、利用者のアクセス制御ポリシを予めアクセス制御サーバに登録し、利用者の意志を反映することが提案されている。しかし、利用者は個人情報を有するデータベース全てに対して自身のアクセス制御ポリシデータを登録しなければならない。また、アクセス制御ポリシを変更した場合、登録された全てのアクセス制御ポリシデータを更新する必要があり、利用者の負荷が大きい。さらに、更新処理に時間的遅れが存在する場合もあり、利用者の意志をリアルタイムに反映することが困難である問題も生じる。
【００１８】
前述した課題は、利用者が管理すべき個人情報がネットワーク上に分散して格納されていることに起因する。そのため、利用者が自分で個人情報を管理し、個人情報へのアクセス制御ポリシも自分で管理すれば、このような課題は解決する。
【００１９】
この課題に対し、特許文献２には、個人情報、アクセス制御ポリシ及びアクセス制御処理等の全てのデータと制御手段を利用者が保有するＩＣカード内に実装する方式が提案されている。利用者が常に持ち歩きネットワークに接続可能な機器には携帯電話や携帯情報端末がある。しかし、現状では、性能上の限界によって、これらの機器に全ての機能を実装することは困難である。
【課題を解決するための手段】
【００２０】
本発明は、利用者が保有する利用者端末、及び前記利用者端末にサービスを提供する外部サービス端末に接続されたアクセス制御サーバであって、前記利用者端末に保持される個人情報に対する前記外部サービス端末からのアクセスを制御するアクセス制御部を備え、前記アクセス制御部は、前記利用者端末に保持される個人情報に対するアクセス権限を設定するためのアクセス制御ポリシ及び前記外部サービス端末の属性情報を受け付け、前記受け付けたアクセス制御ポリシ及び前記受け付けた外部サービス端末属性情報に基づいて、アクセス権限を判定し、前記判定結果を利用者端末に送付する。
【発明の効果】
【００２１】
本発明によると、利用者の個人情報を、本人の手元で一元的に管理し、情報プライバシーを保護することができる。
【発明を実施するための最良の形態】
【００２２】
まず、本発明の実施の形態の概要を説明する。
【００２３】
本発明の実施の形態では、利用者が携帯する利用者端末１０１が、個人情報とアクセス制御ポリシとを管理する。
【００２４】
外部サービス端末１２１は、サービスを提供する際に必要となる個人情報を利用者端末１０１に要求する、また、アクセス制御サーバ１３１に自身の外部サービス端末プロファイルデータを提供する。
【００２５】
アクセス制御サーバ１３１は、アクセス制御処理機能を有し、利用者端末からアクセス制御ポリシデータを、外部サービス端末から外部サービス端末プロファイルデータを取得する。
【００２６】
また、利用者端末１０１、外部サービス端末１２１、アクセス制御サーバ１３１は、それぞれの間のデータの秘匿性、データの完全性及び相互認証等のセキュリティを実現するための暗号化部を備える。
【００２７】
具体的には、本発明の実施の形態には以下の三つの特徴がある。
【００２８】
（１）分散管理されている個人情報を利用者端末にて一元管理
利用者の個人情報は、本来利用者が管理すべきであり、外部からの参照要求に対するアクセス制御も利用者の権限で制御するべきである。しかし、現状では、個人情報は、各サービス提供事業者が設けた業務システムデータベースに格納されて管理されている。そのため、これらの個人情報の扱いは利用者の希望に従って柔軟かつリアルタイムに制御することは困難である。
【００２９】
そこで、本発明の実施の形態では、個人情報１１４及びアクセス制御ポリシ１１３を利用者端末１０１にて管理する。例えば、氏名及び住所等の基本的な個人情報に加え、検索結果及び購買履歴など利用者の嗜好に関わる情報など全ての個人情報１１４を汎用的に統合し、利用者端末１０１（望ましくは、利用者端末１０１に内蔵されたＩＣチップ）に格納する。個人情報に対するアクセス制御ポリシは、項目毎に設定され、利用者端末１０１（又は、内蔵されたＩＣチップ）に格納する。
【００３０】
ＩＣチップ内に格納する理由は、ＩＣチップが耐タンパデバイスであり、個人情報格納先としてよりセキュリティが高いためである。また、利用者端末は一般的には携帯電話機を用いるとよい。
【００３１】
（２）アクセス制御処理を外部アクセス制御サーバに委託
個人情報を利用者の手元に記憶し、利用者自身が管理する場合、外部からの参照要求に対してどの情報を開示すべきかを制御する必要がある。しかし、現状の利用者端末として一般的である携帯電話機やＩＣカードでは、複雑なアクセス制御を実行するための処理負荷が大きい。
【００３２】
そこで、本発明の実施の形態では、個人情報へのアクセスを要求する外部サービス端末１２１が、アクセス制御ポリシに記載された条件を満たしているかどうかを判定するアクセス制御処理を、外部のアクセス制御サーバ１３１に委託する。利用者端末１０１は判定結果を受け取り、判定結果に基づいて個人情報を選択的に開示する。これにより利用者端末１０１で処理負荷が大きい複雑なポリシ判定を処理する必要がなくなる。
【００３３】
なお、アクセス制御サーバ１３１に毎回接続することによってネットワークトラフィックが増加する問題は生じる。しかし、一般的に、機器間で相互認証をし業務処理を行う場合、認証に使用する証明書の失効を管理するため、外部のサーバにアクセスする。このため、ある程度のネットワークアクセスは必要であって、本方式によるトラフィックの増加は小さい。
【００３４】
（３）アクセス制御ポリシ及び属性情報の秘匿性
前述したように、アクセス制御の判定をアクセス制御サーバ１３１で処理する場合、アクセス制御ポリシや、外部サービス端末プロファイルがアクセス制御サーバ１３１に開示されてしまう問題がある。
【００３５】
そこで、本発明の実施の形態では、サービス開始時に利用者端末１０１と外部サービス端末１２１が相互認証をし、セッション鍵を共有する。そして共有のセッション鍵を用いて、アクセス制御ポリシデータ、及び、判定に必要な外部サービス端末１２１の属性情報を暗号化してアクセス制御サーバ１３１に送信することで、アクセス制御サーバ１３１に対して送信されるデータの秘匿性は保持される。アクセス制御サーバ１３１は、受信したアクセス制御ポリシ１１３及び外部サービス端末プロファイルデータ１２３を用いて、ポリシを判定する。
【００３６】
アクセス制御サーバ１３１は暗号化されたアクセス制御ポリシ１１３及び暗号化された外部サービス端末プロファイルデータ１２３を比較して、ポリシ１１３に記述される条件の真偽を判定し、判定結果を利用者端末１０１に返す。判定に用いるデータの内容は暗号化されているため、その内容はアクセス制御サーバ１３１には不明であるが、アクセス制御サーバ１３１は両者の一致を判定するだけなので、アクセス制御の判定は可能である。なお、アクセス制御サーバ１３１は、判定結果の正当性を保証するために電子署名を付与して、判定結果を送付すると望ましい。
【００３７】
利用者端末１０１は、アクセス制御サーバ１３１による判定結果に基づいて、個人情報を外部サービス端末１２１に選択して開示する。外部サービス端末１２１は受信したデータを用いて以後の業務サービスを提供する。
【００３８】
なお、利用者端末１０１は、個人情報をセッション鍵を用いて暗号化して送ると望ましい。この場合、外部サービス端末１２１は、受信したデータをセッション鍵を用いて復号化する。
【００３９】
以下、図面を用いて本発明の実施の形態を説明する。
【００４０】
図１は、本発明の実施の形態のコンピュータシステムの構成を示すブロック図である。
【００４１】
本実施の形態のコンピュータシステムは、利用者端末１０１、外部サービス端末１２１、アクセス制御サーバ１３１及びネットワーク１４１、１４２を備える。
【００４２】
利用者端末１０１は、利用者がネットワーク上のサービスにアクセスするコンピュータである。外部サービス端末１２１は、利用者に対してサービスを提供するコンピュータであり、そのサービス業務の遂行に個人情報を用いる。アクセス制御サーバ１３１は、利用者端末１０１に保持される個人情報に対する外部サービス端末１２１からのアクセスに関する判定をするサーバである。
【００４３】
利用者端末１０１と外部サービス端末１２１との間は、ネットワーク１４１によって接続されている。ネットワーク１４１は、携帯電話網又は近距離無線網（例えば、Bluetoothや赤外線等）である。
【００４４】
外部サービス端末１２１とアクセス制御サーバ１３１との間は、ネットワーク１４２によって接続されている。ネットワーク１４２は、インターネット又は専用線等の大容量のデータを転送可能な通信網である。
【００４５】
利用者端末１０１は、背景技術において説明した利用者端末２０１と異なり、利用者が自分の意志を容易に反映させるため、常に携帯する携帯情報端末（携帯電話機やＰＤＡ等）が望ましい。
【００４６】
利用者端末１０１は、ＣＰＵ（図示省略）及び端末メモリ１０２を備える。端末メモリ１０２は、アクセス制御アプリケーションプログラム１０３、その他のアプリケーションプログラム及びスクリプト等を格納する。
【００４７】
ＣＰＵは、端末メモリ１０２に格納されたアプリケーションプログラムやスクリプトを実行する。特に、ＣＰＵは、アクセス制御アプリケーションプログラム１０３を実行することによってデータを中継する。
【００４８】
利用者端末１０１は、ＩＣカードインターフェース（図示省略）を備え、利用者端末１０１にＩＣカード１１０を内蔵可能であってもよい。ＩＣカードインターフェースは、利用者端末１０１とＩＣカード１１０の間でデータを転送する。
【００４９】
例えば、携帯電話機に内蔵可能なＩＣカードとしては、ＭＯＰＡＳＳカード（http://www.mopass.info/）、ＵＩＭカード（http://k-tai.impress.co.jp/cda/article/news_toppage/9143.html）、ＦｅｌｉＣａカード（http://www.nttdocomo.co.jp/p_s/service/felica/）がある。
【００５０】
ＩＣカード１１０は、利用者認証データ１１２、アクセス制御ポリシデータ１１３及び個人情報１１４を格納する。利用者認証データ１１２は、いわゆる電子的な証明書である。具体的には、第三者認証機関が電子署名を付与した公開鍵証明書等を用いる。アクセス制御ポリシデータ１１３は、個人情報の各項目にアクセスするための条件、及び、アクセスの種類（read only、write等）を記述している。
【００５１】
以下、利用者端末がＩＣカードを内蔵可能な場合について説明するが、利用者端末１０１にＩＣカード１１０を内蔵できない場合は、ＩＣカード１１０の記憶内容を端末メモリ１０２に記憶することによって、利用者端末１０１に同じ動作をさせることができる。ＩＣカード１１０の記憶内容を端末メモリ１０２に記憶すると、データが耐タンパデバイス内に格納されることになり、より高セキュアな環境を提供できる。
【００５２】
外部サービス端末１２１は、ＣＰＵ、メモリ及び記憶装置を備えるコンピュータである。外部サービス端末１２１のＣＰＵは、メモリに格納されたプログラムを実行し、利用者端末１０１から送信されたデータをアクセス制御サーバ１３１に転送する。外部サービス端末１２１の記憶装置は、外部サービス端末認証データ１２２及び外部サービス端末プロファイルデータ１２３を格納する。
【００５３】
外部サービス端末認証データ１２２は、いわゆる電子的な証明書であり、利用者認証データ１１２と同じものを用いる。
【００５４】
ＩＣカード１１０及び外部サービス端末１２１に格納されるデータは、データ又はファイルとして、メモリ又は記憶装置に記憶される。なお、データベース内に記憶されてもよい。
【００５５】
アクセス制御サーバ１３１は、ＣＰＵ及びメモリを備えるコンピュータである。アクセス制御サーバ１３１のＣＰＵは、メモリに記憶されたアクセス制御プログラムを実行することによって、アクセス制御処理部１３２を構成する。
【００５６】
利用者端末１０１、外部サービス端末１２１及びアクセス制御サーバ１３１は、それぞれデータを送受信するための処理部を有するが、本図においては省略している。
【００５７】
次に、本実施の形態の情報アクセス制御手順を説明する。
【００５８】
まず、利用者端末１０１と外部サービス端末１２１は、利用者認証データ１１２と外部サービス端末認証データ１２２とを交換し、相互に認証する（１５１）。外部サービス端末１２１は、利用者認証データ１１２によって、利用者端末１０１の正当性を確認する。利用者端末１０１は、外部サービス端末認証データ１２２によって外部サービス端末の正当性を確認する。
【００５９】
相互認証の結果が正当であれば、一時的なセッション鍵を交換し（又は、互いに生成し）、利用者端末１０１と外部サービス端末１２１との間で共有の鍵を設定する。このセッション鍵にはＤＥＳ暗号化鍵を用いるとよい。
【００６０】
利用者端末１０１は、外部サービス端末１２１との間で共有したセッション鍵を用いて、ＩＣカード１１０に格納されたアクセス制御ポリシデータ１１３を暗号化し、アクセス制御サーバ１３１に送り、ポリシ判定を依頼する（１５２、１５３）。
【００６１】
このアクセス制御サーバ１３１へのアクセス制御ポリシデータ１１３の送付は、図２で説明するように、外部サービス端末１２１を経由しても、アクセス制御サーバ１３１に直接送付してもよい。
【００６２】
同様に、外部サービス端末１２１は、利用者端末１０１との間で交換されたセッション鍵を用いて、外部サービス端末プロファイルデータ１２３を暗号化し、アクセス制御サーバ１３１に送り、ポリシ判定を依頼する（１５４）。
【００６３】
アクセス制御サーバ１３１がアクセス制御ポリシデータ１１３及び外部サービス端末プロファイルデータ１２３を受け取ると、アクセス制御処理部１３２はポリシを判定し、利用者端末１０１に判定結果を送る（１５５）。アクセス制御サーバ１３１は、判定結果の正当性を保証するために、電子署名を付与して判定結果を送るとよい。
【００６４】
利用者端末１０１は、アクセス制御サーバ１３１から判定結果を受け取ると、電子署名によって判定結果の正当性を確認する。そして、利用者端末１０１は、判定結果によって指示された個人情報１１４のみを外部サービス端末１２１に開示する（１５６、１５７）。
【００６５】
外部サービス端末１２１は、利用者端末１０１から開示された個人情報を用いて、以降の業務サービスを進める。
【００６６】
次に、本実施の形態の情報アクセス制御処理を具体的に説明する。
【００６７】
図２は、本発明の実施の形態の情報アクセス制御処理のシーケンス図である。
【００６８】
本発明の実施の形態の情報アクセス制御処理は、相互認証フェイズ、ポリシ判定フェイズ及び個人情報開示フェイズの三つに大別される。
【００６９】
まず、利用者端末１０１と外部サービス端末１２１との間で、認証データを交換し相互認証を行い、セッションを確立する（ステップ３１１）。
【００７０】
まず、利用者端末１０１と外部サービス端末１２１との間の認証結果に基づいて、利用者端末１０１と外部サービス端末１２１とでセッション鍵を共有する。利用者端末１０１は、セッション鍵を用いて暗号化したアクセス制御ポリシデータ１１３を、外部サービス端末１２１に送る（ステップ３１２）。
【００７１】
外部サービス端末１２１も、同様に、外部サービス端末プロファイルデータ１２３を、セッション鍵を用いて暗号化する。そして、外部サービス端末１２１は、アクセス制御ポリシデータ１１３と共に、暗号化された外部サービス端末プロファイルデータ１２３を、アクセス制御サーバ１３１に送る（ステップ３１３）。
【００７２】
アクセス制御ポリシデータ１１３は外部サービス端末１２１を経由せず、利用者端末１０１から直接、アクセス制御サーバ１３１に送ってもよい。すなわち、アクセス制御サーバ１３１に、アクセス制御ポリシデータ及び外部サービス端末プロファイルデータが揃えば、どのような送付方法でもよい。
【００７３】
アクセス制御ポリシデータの送付する際、外部サービス端末１２１を経由する場合は、外部サービス端末１２１とアクセス制御サーバ１３１との間は専用回線など、携帯電話網に比較すると転送容量の大きいネットワークにより接続されると考えられるため、送受信時間の短縮が見込める。また、外部サービス端末１２１内で、アクセス制御ポリシデータと外部サービス端末プロファイルデータとを合わせてアクセス制御サーバ１３１に送付するため、アクセス制御サーバ１３１にて両者を突き合わせるマッチングを行う手間を省くことができる。しかし、アクセス制御ポリシの内容が外部サービス端末に開示されるので、これを回避したい利用者又は利用者端末の運用者は、外部サービス端末１２１を通さずに直接アクセス制御サーバ１３１を送付することが望ましい。
【００７４】
アクセス制御サーバ１３１は、受け取ったアクセス制御ポリシデータ１１３及び外部サービス端末プロファイルデータ１２３に基づいて、利用者のポリシを判定し、判定結果を外部サービス端末１２１に送る（ステップ３１４）。
【００７５】
外部サービス端末１２１は、判定結果を利用者端末１０１に送り個人情報開示を要求する（ステップ３１５）。
【００７６】
利用者端末１０１は、受け取った判定結果の正当性を確認すると、判定結果で指示された個人情報を開示する（ステップ３１６）。
【００７７】
外部サービス端末１２１は、利用者端末１０１から開示された個人情報を用いて、以降のサービス提供処理を実行する。
【００７８】
図３は、本発明の実施の形態の利用者端末１０１による処理のフローチャートである。
【００７９】
まず、利用者端末１０１は、外部サービス端末１２１と認証データを交換する（ステップ４０１）。
【００８０】
次に、外部サービス端末１２１から送信された認証データの正当性を検証する（ステップ４０２）。その結果、認証データが失効している場合や認証データが不正な場合は、外部サービス端末１２１が正当でないと判定し、処理を中止する（ステップ４０８）。この場合、利用者端末画面に“認証失敗”の旨を表示してもよい。一方、認証データが正当な場合は、外部サービス端末１２１の正当性が確認できたので、外部サービス端末１２１によって生成されたセッション鍵を、外部サービス端末１２１との間で共有する（ステップ４０３）。なお、共有されるセッション鍵は、利用者端末１０１と外部サービス端末１２１との双方で共通の規則に基づいて生成してもよい。
【００８１】
次に、外部サービス端末１２１との間で共有したセッション鍵を用いて、アクセス制御ポリシデータを暗号化し、アクセス制御サーバ１３１に送る（ステップ４０４）。なお、外部サービス端末１２１を経由してアクセス制御ポリシデータ１１３を送る場合には、アクセス制御ポリシデータ１１３は外部サービス端末１２１宛に送られる。
【００８２】
その後、アクセス制御サーバ１３１によるポリシ判定結果を受け取ると（ステップ４０５）、ポリシ判定結果に付与された電子署名によってアクセス制御サーバ１３１の正当性を判定し、判定結果の正当性を検証する（ステップ４０６）。
【００８３】
その結果、電子署名が正しくない場合は、ポリシ判定結果が正当でないと判定し、処理を中止する（ステップ４０９）。ここで利用者端末画面に“判定失敗”の旨を表示してもよい。一方、電子署名が正しい場合は、ポリシ判定結果が正当であると判定し、判定結果に基づいて必要な個人情報のみを外部サービス端末に開示する（ステップ４０７）。このとき、個人情報をセッション鍵を用いて暗号化して送ると、個人情報の秘匿性の観点から望ましい。また、判定した結果、開示すべき個人情報がない場合も判定処理としては正当であるためステップ４０７の処理を実行する。
【００８４】
図４は、本発明の実施の形態の外部サービス端末１２１による処理のフローチャートである。
【００８５】
まず、外部サービス端末１２１は、利用者端末１０１と認証データを交換する（ステップ５０１）。
【００８６】
次に、利用者端末１０１から送信された認証データの正当性を検証する（ステップ５０２）。その結果、認証データが失効している場合や認証データが不正な場合は、利用者端末１０１が正当でないと判定し、処理を中止する（ステップ５０８）。外部サービス端末が表示画面を有する場合は“認証失敗”の旨を表示してもよい。一方、認証データが正当な場合は、利用者端末１０１の正当性が確認できたので、セッション鍵を生成し、利用者端末１０１に送る。なお、共有されるセッション鍵は、利用者端末１０１と外部サービス端末１２１との双方で共通の規則に基づいて生成してもよい。これによって、外部サービス端末１２１と利用者端末１０１との間でセッション鍵が共有される（ステップ５０３）。
【００８７】
その後、利用者端末１０１から暗号化されたアクセス制御ポリシデータを受け取ると（ステップ５０４）、利用者端末１０１との間で共有したセッション鍵を用いて、外部サービス端末プロファイルデータを暗号化し、ステップ５０４で受け取ったアクセス制御ポリシデータと共に、アクセス制御サーバ１３１に送る（ステップ５０５）。
【００８８】
その後、アクセス制御サーバ１３１によるポリシ判定結果を受け取ると、受け取ったポリシ判定結果を利用者端末１０１に送る（ステップ５０６）。
【００８９】
その後、利用者端末１０１から必要な個人情報を受け取る（ステップ５０７）。なお、受け取った個人情報が暗号化されている場合、受信した個人情報をセッション鍵を用いて復号化する。そして、利用者端末１０１から開示された個人情報を用いて、以降のサービスを提供する。
【００９０】
図５は、本発明の実施の形態のアクセス制御サーバ１３１による処理のフローチャートである。
【００９１】
アクセス制御サーバ１３１は、利用者端末１０１から暗号化されたアクセス制御ポリシデータを外部サービス端末１２１経由で（又は、直接）受け取る（ステップ６０１）。また、アクセス制御サーバ１３１は、外部サービス端末１２１から暗号化された外部サービス端末プロファイルデータを受け取る（ステップ６０２）。
【００９２】
次に、受け取ったデータに基づいてポリシを判定する（ステップ６０３）。そして、判定結果に電子署名を付与し外部サービス端末１２１を利用者端末１０１に送る（ステップ６０４）。なお、判定結果は外部サービス端末１２１を経由して利用者端末１０１に送ってもよい。
【００９３】
次に、ポリシ判定処理について具体的に説明する。
【００９４】
図６は、本発明の実施の形態のアクセス制御ポリシデータ１１３の一例の説明図である。
【００９５】
これはある個人情報の一項目について設定されたアクセス制御ポリシであり、外部サービス提供者が提示するプロファイルに対して、「一部上場企業であればアクセスしてＯＫ」という条件を表している。この例では、<Condition>タグ内の<Ref>属性でプロファイルデータの参照パスを指定し、判定条件を<Rule>属性で、比較対象データを<Value>タグで記述している。これによって、プロファイルデータの指定された参照先の値が「一部上場」と同じであれば条件は真であると判定される。
【００９６】
図７は、図６に示すアクセス制御ポリシデータに対応する外部サービス端末プロファイルデータ１２３の一例の説明図である。
【００９７】
アクセス制御ポリシデータの<Ref>属性で指定された<CompanyProfile>タグ内の<株式>タグには「一部上場」が格納されている。このため判定結果は真となる。
【００９８】
図６、図７に示すポリシは、最も単純な例であり、これらのタグを組み合わせることにより大量で複雑の条件を表現することが可能である。
【００９９】
なお、アクセス制御サーバ１３１がアクセス制御ポリシデータ及び外部サービス端末プロファイルデータ１２３を受け取った時点では、これらのデータは暗号化され、タグ名称や値は暗号化されて内容は秘匿されている。暗号化されたアクセス制御ポリシデータを図８に示す、また、暗号化された外部サービス端末プロファイルデータを図９に示す。
【０１００】
暗号化されたアクセス制御ポリシデータの<Ref>属性で指定された<jEXMBAiU>タグ内の<EChMOU25ha>タグには「KGAuUBh」が格納されている。このように、暗号化された状態でタグを判定し、パラメータを比較するので、アクセス制御ポリシデータ１１３及び外部サービス端末プロファイルデータ１２３の内容はアクセス制御サーバ１３１には分からない。
【０１０１】
なお、本実施の形態では、ＤＥＳ暗号化鍵を用いるとよいが、暗号化や復号化のアルゴリズムや鍵の生成方式はこれに限るものではない。
【０１０２】
以上説明したように、本発明の実施の形態では、利用者の個人情報を利用者端末１０１にて管理するので、個人情報を本人の手元で一元的に管理することができ、情報に対するプライバシーを保護することができる。
【０１０３】
また、当該情報へのアクセス条件はアクセス制御ポリシデータとして利用者本人が定義し、個人情報と同様に利用者端末１０１に記憶する。このようにすることによって、常に最新のポリシをサービスに適用することができるので、利用者の意志をリアルタイムに反映することができる。
【０１０４】
また、処理負荷の大きいアクセス制御判定処理を外部アクセスサーバ１３１に委託するので、利用者端末１０１や外部サービス端末１２１の負荷を軽減することができる。この
際、利用者端末１０１及び外部サービス端末１２１からアクセス制御サーバ１３１に送られるデータは暗号化されているので、データの秘匿性を保持することができる。
【０１０５】
以上説明した本発明は以下のサービスに適用することができる。
【０１０６】
（１）書籍購入及び借用サービス
インターネットやメールマガジンなどで検索した書籍データを、個人情報として利用者端末に格納しておく。また、ネット通信販売などでの購入履歴も、同様に、個人情報として利用者端末に格納しておく。
【０１０７】
利用者は街の書店や、駅の売店、図書館などを訪れた際、これらの書籍に関する嗜好情報を開示することによって、おすすめの最新書籍の紹介や、お気に入り雑誌の設置場所の情報の提供を受けることができる。
【０１０８】
この際、個人情報の過剰な開示を避けるため、図書館など公共機関であれば全ての情報を開示するが、街の書店や駅の売店に対しては最近の検索データのみを開示する等、詳細なアクセス条件を設定することができる。
【０１０９】
個人情報は利用者端末に格納されているため、サービス提供者のデータベース内に格納された個人情報とは異なり、サービス提供者に悪用されたり、情報が漏洩するおそれがない。また、利用者端末を紛失した場合にも、個人情報が耐タンパデバイス内（例えば、ＩＣチップ）に格納されているので、第三者が個人情報を読み取る危険を回避できる。
【０１１０】
（２）コンテクスト・アウェアサービス
快適な空間に対する嗜好情報（例えばエアコン設定温度やライトの強度や色味、ＢＧＭの種別、座席設定値）を、個人情報として利用者端末に格納しておく。ホテル、会議場、交通機関等の場所を初めて訪れた際、認証処理の後に、これらの嗜好情報を開示することによって、室内温度、ＢＧＭ、座席の角度等について、自動的に、自分に最適なサービスの提供を受けることができる。
【０１１１】
また、交通機関の電子チケット予約と組み合わせることによって、駅や空港内の経路案内や出発時刻通知に応用することもできる。
【０１１２】
（３）その他複数サービス間の連携
前述した（１）（２）のサービス以外にも、利用者端末に格納された個人情報を介して複数のサービスを連携させることができる。例えば、化粧品口コミ提供Ｗｅｂサイトと、化粧品メーカのカウンタとの連携がある。これによって利用者はどこでも自分の肌質に最適で、かつ、口コミ評価が高い商品を、在庫状況と連携して、購入することができる。
【図面の簡単な説明】
【０１１３】
【図１】本発明の実施の形態のコンピュータシステムの構成を示すブロック図である。
【図２】本発明の実施の形態の情報アクセス制御処理のシーケンス図である。
【図３】本発明の実施の形態の利用者端末の処理のフローチャートである。
【図４】本発明の実施の形態の外部サービス端末の処理のフローチャートである。
【図５】本発明の実施の形態のアクセス制御サーバの処理のフローチャートである。
【図６】本発明の実施の形態のアクセス制御ポリシデータの説明図である。
【図７】本発明の実施の形態の外部サービス端末プロファイルデータの説明図である。
【図８】本発明の実施の形態の暗号化されたアクセス制御ポリシデータの説明図である。
【図９】本発明の実施の形態の暗号化された外部サービス端末プロファイルデータの説明図である。
【図１０】従来の個人情報アクセス制御システムのブロック図である。
【符号の説明】
【０１１４】
１０１ 利用者端末
１０２ 端末メモリ
１０３ アクセス制御アプリ
１１０ ＩＣカード
１１２ 利用者認証データ
１１３ アクセス制御ポリシデータ
１１４ 個人情報
１２１ 外部サービス端末
１２２ 外部サービス端末認証データ
１２３ 外部サービス端末プロファイルデータ
１３１ アクセス制御サーバ
１３２ アクセス制御処理部
１４１、１４２ ネットワーク
【技術分野】
【０００１】
本発明は、利用者が有する情報が外部からアクセスされるコンピュータシステムに関し、特に、利用者端末に記憶された個人情報を保護するアクセス制御方法に関する。
【背景技術】
【０００２】
ネットワーク上の様々なサービス提供システムは、利用者によって要求されるサービスを提供するために、利用者の個人情報を必要とする場合がある。よって、多くのサービス提供システムは、業務に必要な個人情報を自己のデータベース内に格納している。そのため、従来、個人情報はネットワーク上に分散して管理されてきた。
【０００３】
また、これらサービス提供システムが管理している個人情報の内容も多岐に渡っている。例えば、ネット通販業者は、利用者の氏名、住所及び電話番号等の商品の送付に必要な情報に加え、購買履歴やお勧め情報等の情報を管理している。これらの情報はログインした利用者に対して表示され、以降の購買意欲推進のために使用されている。
【０００４】
これらの個人情報のうち、氏名や住所は書籍送付の際に宅配業者に開示されるが、購買履歴や嗜好情報は慎重な取り扱いが求められるデータであり、利用者本人以外に開示されるべきではない。従来のシステムでは、これらの個人情報に対するアクセスは各サービス提供事業者が設定し、制御している。
【０００５】
図１０は、従来の個人情報アクセス制御システムのブロック図である。
【０００６】
利用者端末２０１、外部サービス端末１２１及びアクセス制御サーバ１３１は、ネットワーク１４２によって接続されている。
【０００７】
アクセス制御サーバ１３１は、アクセス制御処理部１３２及びデータベースを備える。データベースには、アクセス制御ポリシデータ１１３及び個人情報１１４が格納されている。利用者端末２０１は、アクセス制御ポリシデータを格納する。外部サービス端末１２１は外部サービス端末プロファイルデータ１２３を格納する。
【０００８】
アクセス制御サーバ１３１は、外部サービス端末から個人情報に対するアクセス要求を受信すると（２１２）。アクセス制御ポリシデータ１１３に基づいて、当該外部サービス端末１２１がアクセスする権限を有するかどうかを判定し、その結果に基づいてアクセス可能な個人情報を外部サービス端末１２１に開示する（２１３）。
【０００９】
アクセス制御ポリシデータ１１３は、利用者が自分で内容を決定し、利用者端末１０１によってアクセス制御サーバ１３１に登録してもよい（２１１）。
【００１０】
特許文献１には、このような利用者が端末を通してアクセス制御ポリシデータを登録する方式が開示されている。
【００１１】
また、特許文献２には、アクセス制御サーバの全ての機能を利用者が有する機器に実装し、個人情報やアクセス制御ポリシの流出を防ぐ方法が開示されている。
【特許文献１】特開２００２−１４８６２号公報
【特許文献２】特開２００４−２６０７１６号公報
【発明の開示】
【発明が解決しようとする課題】
【００１２】
本来、個人情報に関するプライバシーは、情報を提供した利用者が有するべきである。そのため、個人情報をコントロールする権利、すなわち個人情報へのアクセス制御権も利用者本人が有する。
【００１３】
しかし、前述した従来技術によると、このような個人情報がネットワーク上のデータベースに格納されており、またデータベースが複数のサーバによって管理されている場合、個人情報がネットワーク上に分散して格納される。ネットワークを介してアクセス可能な状態である場合、利用者本人が個人情報へのアクセスを制御できる構成にはなっていない。
【００１４】
現状では、データベース内のデータへのアクセス権限はデータベース管理者によって管理されている。すなわち、システムを管理するサービス提供事業者が、個人情報へのアクセスを制御している。
【００１５】
そのため、システムを管理するサービス提供事業者が、データベース内に格納されている個人情報へのアクセスを制御する場合が多く、利用者本人の意志に反して開示されることがある。また、利用者本人の開示に関する詳細な要望が、個人情報へのアクセス制御に反映されていない。
【００１６】
また、データベースに格納される個人情報を保護するため、システム管理者であるサービス提供事業者の守秘責任や運用負荷が大きくなる問題もある。
【００１７】
これらの問題に対して、特許文献１には、利用者のアクセス制御ポリシを予めアクセス制御サーバに登録し、利用者の意志を反映することが提案されている。しかし、利用者は個人情報を有するデータベース全てに対して自身のアクセス制御ポリシデータを登録しなければならない。また、アクセス制御ポリシを変更した場合、登録された全てのアクセス制御ポリシデータを更新する必要があり、利用者の負荷が大きい。さらに、更新処理に時間的遅れが存在する場合もあり、利用者の意志をリアルタイムに反映することが困難である問題も生じる。
【００１８】
前述した課題は、利用者が管理すべき個人情報がネットワーク上に分散して格納されていることに起因する。そのため、利用者が自分で個人情報を管理し、個人情報へのアクセス制御ポリシも自分で管理すれば、このような課題は解決する。
【００１９】
この課題に対し、特許文献２には、個人情報、アクセス制御ポリシ及びアクセス制御処理等の全てのデータと制御手段を利用者が保有するＩＣカード内に実装する方式が提案されている。利用者が常に持ち歩きネットワークに接続可能な機器には携帯電話や携帯情報端末がある。しかし、現状では、性能上の限界によって、これらの機器に全ての機能を実装することは困難である。
【課題を解決するための手段】
【００２０】
本発明は、利用者が保有する利用者端末、及び前記利用者端末にサービスを提供する外部サービス端末に接続されたアクセス制御サーバであって、前記利用者端末に保持される個人情報に対する前記外部サービス端末からのアクセスを制御するアクセス制御部を備え、前記アクセス制御部は、前記利用者端末に保持される個人情報に対するアクセス権限を設定するためのアクセス制御ポリシ及び前記外部サービス端末の属性情報を受け付け、前記受け付けたアクセス制御ポリシ及び前記受け付けた外部サービス端末属性情報に基づいて、アクセス権限を判定し、前記判定結果を利用者端末に送付する。
【発明の効果】
【００２１】
本発明によると、利用者の個人情報を、本人の手元で一元的に管理し、情報プライバシーを保護することができる。
【発明を実施するための最良の形態】
【００２２】
まず、本発明の実施の形態の概要を説明する。
【００２３】
本発明の実施の形態では、利用者が携帯する利用者端末１０１が、個人情報とアクセス制御ポリシとを管理する。
【００２４】
外部サービス端末１２１は、サービスを提供する際に必要となる個人情報を利用者端末１０１に要求する、また、アクセス制御サーバ１３１に自身の外部サービス端末プロファイルデータを提供する。
【００２５】
アクセス制御サーバ１３１は、アクセス制御処理機能を有し、利用者端末からアクセス制御ポリシデータを、外部サービス端末から外部サービス端末プロファイルデータを取得する。
【００２６】
また、利用者端末１０１、外部サービス端末１２１、アクセス制御サーバ１３１は、それぞれの間のデータの秘匿性、データの完全性及び相互認証等のセキュリティを実現するための暗号化部を備える。
【００２７】
具体的には、本発明の実施の形態には以下の三つの特徴がある。
【００２８】
（１）分散管理されている個人情報を利用者端末にて一元管理
利用者の個人情報は、本来利用者が管理すべきであり、外部からの参照要求に対するアクセス制御も利用者の権限で制御するべきである。しかし、現状では、個人情報は、各サービス提供事業者が設けた業務システムデータベースに格納されて管理されている。そのため、これらの個人情報の扱いは利用者の希望に従って柔軟かつリアルタイムに制御することは困難である。
【００２９】
そこで、本発明の実施の形態では、個人情報１１４及びアクセス制御ポリシ１１３を利用者端末１０１にて管理する。例えば、氏名及び住所等の基本的な個人情報に加え、検索結果及び購買履歴など利用者の嗜好に関わる情報など全ての個人情報１１４を汎用的に統合し、利用者端末１０１（望ましくは、利用者端末１０１に内蔵されたＩＣチップ）に格納する。個人情報に対するアクセス制御ポリシは、項目毎に設定され、利用者端末１０１（又は、内蔵されたＩＣチップ）に格納する。
【００３０】
ＩＣチップ内に格納する理由は、ＩＣチップが耐タンパデバイスであり、個人情報格納先としてよりセキュリティが高いためである。また、利用者端末は一般的には携帯電話機を用いるとよい。
【００３１】
（２）アクセス制御処理を外部アクセス制御サーバに委託
個人情報を利用者の手元に記憶し、利用者自身が管理する場合、外部からの参照要求に対してどの情報を開示すべきかを制御する必要がある。しかし、現状の利用者端末として一般的である携帯電話機やＩＣカードでは、複雑なアクセス制御を実行するための処理負荷が大きい。
【００３２】
そこで、本発明の実施の形態では、個人情報へのアクセスを要求する外部サービス端末１２１が、アクセス制御ポリシに記載された条件を満たしているかどうかを判定するアクセス制御処理を、外部のアクセス制御サーバ１３１に委託する。利用者端末１０１は判定結果を受け取り、判定結果に基づいて個人情報を選択的に開示する。これにより利用者端末１０１で処理負荷が大きい複雑なポリシ判定を処理する必要がなくなる。
【００３３】
なお、アクセス制御サーバ１３１に毎回接続することによってネットワークトラフィックが増加する問題は生じる。しかし、一般的に、機器間で相互認証をし業務処理を行う場合、認証に使用する証明書の失効を管理するため、外部のサーバにアクセスする。このため、ある程度のネットワークアクセスは必要であって、本方式によるトラフィックの増加は小さい。
【００３４】
（３）アクセス制御ポリシ及び属性情報の秘匿性
前述したように、アクセス制御の判定をアクセス制御サーバ１３１で処理する場合、アクセス制御ポリシや、外部サービス端末プロファイルがアクセス制御サーバ１３１に開示されてしまう問題がある。
【００３５】
そこで、本発明の実施の形態では、サービス開始時に利用者端末１０１と外部サービス端末１２１が相互認証をし、セッション鍵を共有する。そして共有のセッション鍵を用いて、アクセス制御ポリシデータ、及び、判定に必要な外部サービス端末１２１の属性情報を暗号化してアクセス制御サーバ１３１に送信することで、アクセス制御サーバ１３１に対して送信されるデータの秘匿性は保持される。アクセス制御サーバ１３１は、受信したアクセス制御ポリシ１１３及び外部サービス端末プロファイルデータ１２３を用いて、ポリシを判定する。
【００３６】
アクセス制御サーバ１３１は暗号化されたアクセス制御ポリシ１１３及び暗号化された外部サービス端末プロファイルデータ１２３を比較して、ポリシ１１３に記述される条件の真偽を判定し、判定結果を利用者端末１０１に返す。判定に用いるデータの内容は暗号化されているため、その内容はアクセス制御サーバ１３１には不明であるが、アクセス制御サーバ１３１は両者の一致を判定するだけなので、アクセス制御の判定は可能である。なお、アクセス制御サーバ１３１は、判定結果の正当性を保証するために電子署名を付与して、判定結果を送付すると望ましい。
【００３７】
利用者端末１０１は、アクセス制御サーバ１３１による判定結果に基づいて、個人情報を外部サービス端末１２１に選択して開示する。外部サービス端末１２１は受信したデータを用いて以後の業務サービスを提供する。
【００３８】
なお、利用者端末１０１は、個人情報をセッション鍵を用いて暗号化して送ると望ましい。この場合、外部サービス端末１２１は、受信したデータをセッション鍵を用いて復号化する。
【００３９】
以下、図面を用いて本発明の実施の形態を説明する。
【００４０】
図１は、本発明の実施の形態のコンピュータシステムの構成を示すブロック図である。
【００４１】
本実施の形態のコンピュータシステムは、利用者端末１０１、外部サービス端末１２１、アクセス制御サーバ１３１及びネットワーク１４１、１４２を備える。
【００４２】
利用者端末１０１は、利用者がネットワーク上のサービスにアクセスするコンピュータである。外部サービス端末１２１は、利用者に対してサービスを提供するコンピュータであり、そのサービス業務の遂行に個人情報を用いる。アクセス制御サーバ１３１は、利用者端末１０１に保持される個人情報に対する外部サービス端末１２１からのアクセスに関する判定をするサーバである。
【００４３】
利用者端末１０１と外部サービス端末１２１との間は、ネットワーク１４１によって接続されている。ネットワーク１４１は、携帯電話網又は近距離無線網（例えば、Bluetoothや赤外線等）である。
【００４４】
外部サービス端末１２１とアクセス制御サーバ１３１との間は、ネットワーク１４２によって接続されている。ネットワーク１４２は、インターネット又は専用線等の大容量のデータを転送可能な通信網である。
【００４５】
利用者端末１０１は、背景技術において説明した利用者端末２０１と異なり、利用者が自分の意志を容易に反映させるため、常に携帯する携帯情報端末（携帯電話機やＰＤＡ等）が望ましい。
【００４６】
利用者端末１０１は、ＣＰＵ（図示省略）及び端末メモリ１０２を備える。端末メモリ１０２は、アクセス制御アプリケーションプログラム１０３、その他のアプリケーションプログラム及びスクリプト等を格納する。
【００４７】
ＣＰＵは、端末メモリ１０２に格納されたアプリケーションプログラムやスクリプトを実行する。特に、ＣＰＵは、アクセス制御アプリケーションプログラム１０３を実行することによってデータを中継する。
【００４８】
利用者端末１０１は、ＩＣカードインターフェース（図示省略）を備え、利用者端末１０１にＩＣカード１１０を内蔵可能であってもよい。ＩＣカードインターフェースは、利用者端末１０１とＩＣカード１１０の間でデータを転送する。
【００４９】
例えば、携帯電話機に内蔵可能なＩＣカードとしては、ＭＯＰＡＳＳカード（http://www.mopass.info/）、ＵＩＭカード（http://k-tai.impress.co.jp/cda/article/news_toppage/9143.html）、ＦｅｌｉＣａカード（http://www.nttdocomo.co.jp/p_s/service/felica/）がある。
【００５０】
ＩＣカード１１０は、利用者認証データ１１２、アクセス制御ポリシデータ１１３及び個人情報１１４を格納する。利用者認証データ１１２は、いわゆる電子的な証明書である。具体的には、第三者認証機関が電子署名を付与した公開鍵証明書等を用いる。アクセス制御ポリシデータ１１３は、個人情報の各項目にアクセスするための条件、及び、アクセスの種類（read only、write等）を記述している。
【００５１】
以下、利用者端末がＩＣカードを内蔵可能な場合について説明するが、利用者端末１０１にＩＣカード１１０を内蔵できない場合は、ＩＣカード１１０の記憶内容を端末メモリ１０２に記憶することによって、利用者端末１０１に同じ動作をさせることができる。ＩＣカード１１０の記憶内容を端末メモリ１０２に記憶すると、データが耐タンパデバイス内に格納されることになり、より高セキュアな環境を提供できる。
【００５２】
外部サービス端末１２１は、ＣＰＵ、メモリ及び記憶装置を備えるコンピュータである。外部サービス端末１２１のＣＰＵは、メモリに格納されたプログラムを実行し、利用者端末１０１から送信されたデータをアクセス制御サーバ１３１に転送する。外部サービス端末１２１の記憶装置は、外部サービス端末認証データ１２２及び外部サービス端末プロファイルデータ１２３を格納する。
【００５３】
外部サービス端末認証データ１２２は、いわゆる電子的な証明書であり、利用者認証データ１１２と同じものを用いる。
【００５４】
ＩＣカード１１０及び外部サービス端末１２１に格納されるデータは、データ又はファイルとして、メモリ又は記憶装置に記憶される。なお、データベース内に記憶されてもよい。
【００５５】
アクセス制御サーバ１３１は、ＣＰＵ及びメモリを備えるコンピュータである。アクセス制御サーバ１３１のＣＰＵは、メモリに記憶されたアクセス制御プログラムを実行することによって、アクセス制御処理部１３２を構成する。
【００５６】
利用者端末１０１、外部サービス端末１２１及びアクセス制御サーバ１３１は、それぞれデータを送受信するための処理部を有するが、本図においては省略している。
【００５７】
次に、本実施の形態の情報アクセス制御手順を説明する。
【００５８】
まず、利用者端末１０１と外部サービス端末１２１は、利用者認証データ１１２と外部サービス端末認証データ１２２とを交換し、相互に認証する（１５１）。外部サービス端末１２１は、利用者認証データ１１２によって、利用者端末１０１の正当性を確認する。利用者端末１０１は、外部サービス端末認証データ１２２によって外部サービス端末の正当性を確認する。
【００５９】
相互認証の結果が正当であれば、一時的なセッション鍵を交換し（又は、互いに生成し）、利用者端末１０１と外部サービス端末１２１との間で共有の鍵を設定する。このセッション鍵にはＤＥＳ暗号化鍵を用いるとよい。
【００６０】
利用者端末１０１は、外部サービス端末１２１との間で共有したセッション鍵を用いて、ＩＣカード１１０に格納されたアクセス制御ポリシデータ１１３を暗号化し、アクセス制御サーバ１３１に送り、ポリシ判定を依頼する（１５２、１５３）。
【００６１】
このアクセス制御サーバ１３１へのアクセス制御ポリシデータ１１３の送付は、図２で説明するように、外部サービス端末１２１を経由しても、アクセス制御サーバ１３１に直接送付してもよい。
【００６２】
同様に、外部サービス端末１２１は、利用者端末１０１との間で交換されたセッション鍵を用いて、外部サービス端末プロファイルデータ１２３を暗号化し、アクセス制御サーバ１３１に送り、ポリシ判定を依頼する（１５４）。
【００６３】
アクセス制御サーバ１３１がアクセス制御ポリシデータ１１３及び外部サービス端末プロファイルデータ１２３を受け取ると、アクセス制御処理部１３２はポリシを判定し、利用者端末１０１に判定結果を送る（１５５）。アクセス制御サーバ１３１は、判定結果の正当性を保証するために、電子署名を付与して判定結果を送るとよい。
【００６４】
利用者端末１０１は、アクセス制御サーバ１３１から判定結果を受け取ると、電子署名によって判定結果の正当性を確認する。そして、利用者端末１０１は、判定結果によって指示された個人情報１１４のみを外部サービス端末１２１に開示する（１５６、１５７）。
【００６５】
外部サービス端末１２１は、利用者端末１０１から開示された個人情報を用いて、以降の業務サービスを進める。
【００６６】
次に、本実施の形態の情報アクセス制御処理を具体的に説明する。
【００６７】
図２は、本発明の実施の形態の情報アクセス制御処理のシーケンス図である。
【００６８】
本発明の実施の形態の情報アクセス制御処理は、相互認証フェイズ、ポリシ判定フェイズ及び個人情報開示フェイズの三つに大別される。
【００６９】
まず、利用者端末１０１と外部サービス端末１２１との間で、認証データを交換し相互認証を行い、セッションを確立する（ステップ３１１）。
【００７０】
まず、利用者端末１０１と外部サービス端末１２１との間の認証結果に基づいて、利用者端末１０１と外部サービス端末１２１とでセッション鍵を共有する。利用者端末１０１は、セッション鍵を用いて暗号化したアクセス制御ポリシデータ１１３を、外部サービス端末１２１に送る（ステップ３１２）。
【００７１】
外部サービス端末１２１も、同様に、外部サービス端末プロファイルデータ１２３を、セッション鍵を用いて暗号化する。そして、外部サービス端末１２１は、アクセス制御ポリシデータ１１３と共に、暗号化された外部サービス端末プロファイルデータ１２３を、アクセス制御サーバ１３１に送る（ステップ３１３）。
【００７２】
アクセス制御ポリシデータ１１３は外部サービス端末１２１を経由せず、利用者端末１０１から直接、アクセス制御サーバ１３１に送ってもよい。すなわち、アクセス制御サーバ１３１に、アクセス制御ポリシデータ及び外部サービス端末プロファイルデータが揃えば、どのような送付方法でもよい。
【００７３】
アクセス制御ポリシデータの送付する際、外部サービス端末１２１を経由する場合は、外部サービス端末１２１とアクセス制御サーバ１３１との間は専用回線など、携帯電話網に比較すると転送容量の大きいネットワークにより接続されると考えられるため、送受信時間の短縮が見込める。また、外部サービス端末１２１内で、アクセス制御ポリシデータと外部サービス端末プロファイルデータとを合わせてアクセス制御サーバ１３１に送付するため、アクセス制御サーバ１３１にて両者を突き合わせるマッチングを行う手間を省くことができる。しかし、アクセス制御ポリシの内容が外部サービス端末に開示されるので、これを回避したい利用者又は利用者端末の運用者は、外部サービス端末１２１を通さずに直接アクセス制御サーバ１３１を送付することが望ましい。
【００７４】
アクセス制御サーバ１３１は、受け取ったアクセス制御ポリシデータ１１３及び外部サービス端末プロファイルデータ１２３に基づいて、利用者のポリシを判定し、判定結果を外部サービス端末１２１に送る（ステップ３１４）。
【００７５】
外部サービス端末１２１は、判定結果を利用者端末１０１に送り個人情報開示を要求する（ステップ３１５）。
【００７６】
利用者端末１０１は、受け取った判定結果の正当性を確認すると、判定結果で指示された個人情報を開示する（ステップ３１６）。
【００７７】
外部サービス端末１２１は、利用者端末１０１から開示された個人情報を用いて、以降のサービス提供処理を実行する。
【００７８】
図３は、本発明の実施の形態の利用者端末１０１による処理のフローチャートである。
【００７９】
まず、利用者端末１０１は、外部サービス端末１２１と認証データを交換する（ステップ４０１）。
【００８０】
次に、外部サービス端末１２１から送信された認証データの正当性を検証する（ステップ４０２）。その結果、認証データが失効している場合や認証データが不正な場合は、外部サービス端末１２１が正当でないと判定し、処理を中止する（ステップ４０８）。この場合、利用者端末画面に“認証失敗”の旨を表示してもよい。一方、認証データが正当な場合は、外部サービス端末１２１の正当性が確認できたので、外部サービス端末１２１によって生成されたセッション鍵を、外部サービス端末１２１との間で共有する（ステップ４０３）。なお、共有されるセッション鍵は、利用者端末１０１と外部サービス端末１２１との双方で共通の規則に基づいて生成してもよい。
【００８１】
次に、外部サービス端末１２１との間で共有したセッション鍵を用いて、アクセス制御ポリシデータを暗号化し、アクセス制御サーバ１３１に送る（ステップ４０４）。なお、外部サービス端末１２１を経由してアクセス制御ポリシデータ１１３を送る場合には、アクセス制御ポリシデータ１１３は外部サービス端末１２１宛に送られる。
【００８２】
その後、アクセス制御サーバ１３１によるポリシ判定結果を受け取ると（ステップ４０５）、ポリシ判定結果に付与された電子署名によってアクセス制御サーバ１３１の正当性を判定し、判定結果の正当性を検証する（ステップ４０６）。
【００８３】
その結果、電子署名が正しくない場合は、ポリシ判定結果が正当でないと判定し、処理を中止する（ステップ４０９）。ここで利用者端末画面に“判定失敗”の旨を表示してもよい。一方、電子署名が正しい場合は、ポリシ判定結果が正当であると判定し、判定結果に基づいて必要な個人情報のみを外部サービス端末に開示する（ステップ４０７）。このとき、個人情報をセッション鍵を用いて暗号化して送ると、個人情報の秘匿性の観点から望ましい。また、判定した結果、開示すべき個人情報がない場合も判定処理としては正当であるためステップ４０７の処理を実行する。
【００８４】
図４は、本発明の実施の形態の外部サービス端末１２１による処理のフローチャートである。
【００８５】
まず、外部サービス端末１２１は、利用者端末１０１と認証データを交換する（ステップ５０１）。
【００８６】
次に、利用者端末１０１から送信された認証データの正当性を検証する（ステップ５０２）。その結果、認証データが失効している場合や認証データが不正な場合は、利用者端末１０１が正当でないと判定し、処理を中止する（ステップ５０８）。外部サービス端末が表示画面を有する場合は“認証失敗”の旨を表示してもよい。一方、認証データが正当な場合は、利用者端末１０１の正当性が確認できたので、セッション鍵を生成し、利用者端末１０１に送る。なお、共有されるセッション鍵は、利用者端末１０１と外部サービス端末１２１との双方で共通の規則に基づいて生成してもよい。これによって、外部サービス端末１２１と利用者端末１０１との間でセッション鍵が共有される（ステップ５０３）。
【００８７】
その後、利用者端末１０１から暗号化されたアクセス制御ポリシデータを受け取ると（ステップ５０４）、利用者端末１０１との間で共有したセッション鍵を用いて、外部サービス端末プロファイルデータを暗号化し、ステップ５０４で受け取ったアクセス制御ポリシデータと共に、アクセス制御サーバ１３１に送る（ステップ５０５）。
【００８８】
その後、アクセス制御サーバ１３１によるポリシ判定結果を受け取ると、受け取ったポリシ判定結果を利用者端末１０１に送る（ステップ５０６）。
【００８９】
その後、利用者端末１０１から必要な個人情報を受け取る（ステップ５０７）。なお、受け取った個人情報が暗号化されている場合、受信した個人情報をセッション鍵を用いて復号化する。そして、利用者端末１０１から開示された個人情報を用いて、以降のサービスを提供する。
【００９０】
図５は、本発明の実施の形態のアクセス制御サーバ１３１による処理のフローチャートである。
【００９１】
アクセス制御サーバ１３１は、利用者端末１０１から暗号化されたアクセス制御ポリシデータを外部サービス端末１２１経由で（又は、直接）受け取る（ステップ６０１）。また、アクセス制御サーバ１３１は、外部サービス端末１２１から暗号化された外部サービス端末プロファイルデータを受け取る（ステップ６０２）。
【００９２】
次に、受け取ったデータに基づいてポリシを判定する（ステップ６０３）。そして、判定結果に電子署名を付与し外部サービス端末１２１を利用者端末１０１に送る（ステップ６０４）。なお、判定結果は外部サービス端末１２１を経由して利用者端末１０１に送ってもよい。
【００９３】
次に、ポリシ判定処理について具体的に説明する。
【００９４】
図６は、本発明の実施の形態のアクセス制御ポリシデータ１１３の一例の説明図である。
【００９５】
これはある個人情報の一項目について設定されたアクセス制御ポリシであり、外部サービス提供者が提示するプロファイルに対して、「一部上場企業であればアクセスしてＯＫ」という条件を表している。この例では、<Condition>タグ内の<Ref>属性でプロファイルデータの参照パスを指定し、判定条件を<Rule>属性で、比較対象データを<Value>タグで記述している。これによって、プロファイルデータの指定された参照先の値が「一部上場」と同じであれば条件は真であると判定される。
【００９６】
図７は、図６に示すアクセス制御ポリシデータに対応する外部サービス端末プロファイルデータ１２３の一例の説明図である。
【００９７】
アクセス制御ポリシデータの<Ref>属性で指定された<CompanyProfile>タグ内の<株式>タグには「一部上場」が格納されている。このため判定結果は真となる。
【００９８】
図６、図７に示すポリシは、最も単純な例であり、これらのタグを組み合わせることにより大量で複雑の条件を表現することが可能である。
【００９９】
なお、アクセス制御サーバ１３１がアクセス制御ポリシデータ及び外部サービス端末プロファイルデータ１２３を受け取った時点では、これらのデータは暗号化され、タグ名称や値は暗号化されて内容は秘匿されている。暗号化されたアクセス制御ポリシデータを図８に示す、また、暗号化された外部サービス端末プロファイルデータを図９に示す。
【０１００】
暗号化されたアクセス制御ポリシデータの<Ref>属性で指定された<jEXMBAiU>タグ内の<EChMOU25ha>タグには「KGAuUBh」が格納されている。このように、暗号化された状態でタグを判定し、パラメータを比較するので、アクセス制御ポリシデータ１１３及び外部サービス端末プロファイルデータ１２３の内容はアクセス制御サーバ１３１には分からない。
【０１０１】
なお、本実施の形態では、ＤＥＳ暗号化鍵を用いるとよいが、暗号化や復号化のアルゴリズムや鍵の生成方式はこれに限るものではない。
【０１０２】
以上説明したように、本発明の実施の形態では、利用者の個人情報を利用者端末１０１にて管理するので、個人情報を本人の手元で一元的に管理することができ、情報に対するプライバシーを保護することができる。
【０１０３】
また、当該情報へのアクセス条件はアクセス制御ポリシデータとして利用者本人が定義し、個人情報と同様に利用者端末１０１に記憶する。このようにすることによって、常に最新のポリシをサービスに適用することができるので、利用者の意志をリアルタイムに反映することができる。
【０１０４】
また、処理負荷の大きいアクセス制御判定処理を外部アクセスサーバ１３１に委託するので、利用者端末１０１や外部サービス端末１２１の負荷を軽減することができる。この
際、利用者端末１０１及び外部サービス端末１２１からアクセス制御サーバ１３１に送られるデータは暗号化されているので、データの秘匿性を保持することができる。
【０１０５】
以上説明した本発明は以下のサービスに適用することができる。
【０１０６】
（１）書籍購入及び借用サービス
インターネットやメールマガジンなどで検索した書籍データを、個人情報として利用者端末に格納しておく。また、ネット通信販売などでの購入履歴も、同様に、個人情報として利用者端末に格納しておく。
【０１０７】
利用者は街の書店や、駅の売店、図書館などを訪れた際、これらの書籍に関する嗜好情報を開示することによって、おすすめの最新書籍の紹介や、お気に入り雑誌の設置場所の情報の提供を受けることができる。
【０１０８】
この際、個人情報の過剰な開示を避けるため、図書館など公共機関であれば全ての情報を開示するが、街の書店や駅の売店に対しては最近の検索データのみを開示する等、詳細なアクセス条件を設定することができる。
【０１０９】
個人情報は利用者端末に格納されているため、サービス提供者のデータベース内に格納された個人情報とは異なり、サービス提供者に悪用されたり、情報が漏洩するおそれがない。また、利用者端末を紛失した場合にも、個人情報が耐タンパデバイス内（例えば、ＩＣチップ）に格納されているので、第三者が個人情報を読み取る危険を回避できる。
【０１１０】
（２）コンテクスト・アウェアサービス
快適な空間に対する嗜好情報（例えばエアコン設定温度やライトの強度や色味、ＢＧＭの種別、座席設定値）を、個人情報として利用者端末に格納しておく。ホテル、会議場、交通機関等の場所を初めて訪れた際、認証処理の後に、これらの嗜好情報を開示することによって、室内温度、ＢＧＭ、座席の角度等について、自動的に、自分に最適なサービスの提供を受けることができる。
【０１１１】
また、交通機関の電子チケット予約と組み合わせることによって、駅や空港内の経路案内や出発時刻通知に応用することもできる。
【０１１２】
（３）その他複数サービス間の連携
前述した（１）（２）のサービス以外にも、利用者端末に格納された個人情報を介して複数のサービスを連携させることができる。例えば、化粧品口コミ提供Ｗｅｂサイトと、化粧品メーカのカウンタとの連携がある。これによって利用者はどこでも自分の肌質に最適で、かつ、口コミ評価が高い商品を、在庫状況と連携して、購入することができる。
【図面の簡単な説明】
【０１１３】
【図１】本発明の実施の形態のコンピュータシステムの構成を示すブロック図である。
【図２】本発明の実施の形態の情報アクセス制御処理のシーケンス図である。
【図３】本発明の実施の形態の利用者端末の処理のフローチャートである。
【図４】本発明の実施の形態の外部サービス端末の処理のフローチャートである。
【図５】本発明の実施の形態のアクセス制御サーバの処理のフローチャートである。
【図６】本発明の実施の形態のアクセス制御ポリシデータの説明図である。
【図７】本発明の実施の形態の外部サービス端末プロファイルデータの説明図である。
【図８】本発明の実施の形態の暗号化されたアクセス制御ポリシデータの説明図である。
【図９】本発明の実施の形態の暗号化された外部サービス端末プロファイルデータの説明図である。
【図１０】従来の個人情報アクセス制御システムのブロック図である。
【符号の説明】
【０１１４】
１０１ 利用者端末
１０２ 端末メモリ
１０３ アクセス制御アプリ
１１０ ＩＣカード
１１２ 利用者認証データ
１１３ アクセス制御ポリシデータ
１１４ 個人情報
１２１ 外部サービス端末
１２２ 外部サービス端末認証データ
１２３ 外部サービス端末プロファイルデータ
１３１ アクセス制御サーバ
１３２ アクセス制御処理部
１４１、１４２ ネットワーク
【特許請求の範囲】
【請求項１】
利用者が保有する利用者端末、及び前記利用者端末にサービスを提供する外部サービス端末に接続されたアクセス制御サーバであって、
前記利用者端末に保持される個人情報に対する前記外部サービス端末からのアクセスを制御するアクセス制御部を備え、
前記アクセス制御部は、
前記利用者端末に保持される個人情報に対するアクセス権限を設定するためのアクセス制御ポリシ及び前記外部サービス端末の属性情報を受け付け、
前記受け付けたアクセス制御ポリシ及び前記受け付けた外部サービス端末属性情報に基づいて、アクセス権限を判定し、
前記判定結果を前記利用者端末に送付することを特徴とするアクセス制御サーバ。
【請求項２】
前記アクセス制御部は、前記外部サービス端末を経由した前記アクセス制御ポリシを受け付けることを特徴とする請求項１に記載のアクセス制御サーバ。
【請求項３】
前記アクセス制御部は、前記アクセス制御ポリシを、前記アクセス制御サーバ利用者端末から直接受け付けることを特徴とする請求項１に記載のアクセス制御サーバ。
【請求項４】
前記アクセス制御部は、前記判定結果に電子署名を付与して、前記利用者端末に送付することを特徴とする請求項１に記載のアクセス制御サーバ。
【請求項５】
外部サービス端末からの個人情報に対するアクセスを制御するアクセス制御サーバに接続された利用者端末であって、
情報の送受信を制御するアクセス制御部及び情報を格納する記憶装置を備え、
前記記憶装置は、利用者の個人情報及び前記個人情報へのアクセス権限を設定するためのアクセス制御ポリシを格納し、
前記アクセス制御部は、
前記記憶装置に格納されたアクセス制御ポリシを前記アクセス制御サーバに送付し、
前記アクセス制御サーバによる判定結果を受け付け、
前記判定結果に基づいて外部に開示可能な個人情報を選択し、
前記選択された個人情報を送付することを特徴とする利用者端末。
【請求項６】
前記記憶装置は、端末の正当性を証明するための利用者端末認証データを格納し、
前記アクセス制御部は、
前記外部サービス端末と前記利用者端末認証データを交換し相互認証を行い、
前記相互認証が成功すると設定されるセッション鍵を用いて、前記アクセス制御ポリシを暗号化し、
前記暗号化されたアクセス制御ポリシを前記アクセス制御サーバに送付することを特徴とする請求項５に記載の利用者端末。
【請求項７】
前記記憶装置は、
前記利用者端末に着脱可能な記録媒体であり、
前記相互認証のためのプログラム及び前記アクセス制御ポリシを暗号化するための情報を格納することを特徴とする請求項６に記載の利用者端末。
【請求項８】
前記利用者端末は、サービスを提供する外部サービス端末に接続されており、
前記アクセス制御部は、前記外部サービス端末を経由して、前記アクセス制御ポリシを送付することを特徴とする請求項５に記載の利用者端末。
【請求項９】
前記利用者端末は、サービスを提供する外部サービス端末に接続されており、
前記アクセス制御部は、アクセス制御サーバに、直接、前記アクセス制御ポリシを送付することを特徴とする請求項５に記載の利用者端末。
【請求項１０】
利用者が保有する利用者端末と、前記利用者端末にサービスを提供する外部サービス端末と、前記利用者端末に保持される個人情報に対する前記外部サービス端末からのアクセスを制御するアクセス制御サーバと、を備えるコンピュータシステムにおける、個人情報へのアクセス制御方法であって、
前記利用者端末と前記外部サービス端末とは、認証データを交換して相互に認証し、
前記利用者端末は、前記相互認証が成功すると設定されるセッション鍵を用いて、前記利用者端末が有する個人情報に対するアクセス権限を設定するためのアクセス制御ポリシを暗号化し、前記暗号化されたアクセス制御ポリシを前記アクセス制御サーバに送付し、
前記外部サービス端末は、前記相互認証が成功すると設定されるセッション鍵を用いて、端末の属性を表す外部サービス端末属性情報を暗号化し、前記暗号化された外部サービス端末属性情報をアクセス制御サーバに送付し、
前記アクセス制御サーバは、前記アクセス制御ポリシ及び前記外部サービス端末属性情報を受け付け、前記受け付けたアクセス制御ポリシを解析し、前記受け付けた外部サービス端末属性情報を参照して前記外部サービス端末のアクセス権限を判定し、前記判定の結果を前記利用者端末に送付し、
前記利用者端末は、前記アクセス制御サーバによる判定結果を受け付け、前記受け付けた判定結果に基づいて外部に開示可能な個人情報を選択し、
前記外部サービス端末は、利用者端末からの個人情報を受け付けることを特徴とする情報アクセス制御方法。
【請求項１】
利用者が保有する利用者端末、及び前記利用者端末にサービスを提供する外部サービス端末に接続されたアクセス制御サーバであって、
前記利用者端末に保持される個人情報に対する前記外部サービス端末からのアクセスを制御するアクセス制御部を備え、
前記アクセス制御部は、
前記利用者端末に保持される個人情報に対するアクセス権限を設定するためのアクセス制御ポリシ及び前記外部サービス端末の属性情報を受け付け、
前記受け付けたアクセス制御ポリシ及び前記受け付けた外部サービス端末属性情報に基づいて、アクセス権限を判定し、
前記判定結果を前記利用者端末に送付することを特徴とするアクセス制御サーバ。
【請求項２】
前記アクセス制御部は、前記外部サービス端末を経由した前記アクセス制御ポリシを受け付けることを特徴とする請求項１に記載のアクセス制御サーバ。
【請求項３】
前記アクセス制御部は、前記アクセス制御ポリシを、前記アクセス制御サーバ利用者端末から直接受け付けることを特徴とする請求項１に記載のアクセス制御サーバ。
【請求項４】
前記アクセス制御部は、前記判定結果に電子署名を付与して、前記利用者端末に送付することを特徴とする請求項１に記載のアクセス制御サーバ。
【請求項５】
外部サービス端末からの個人情報に対するアクセスを制御するアクセス制御サーバに接続された利用者端末であって、
情報の送受信を制御するアクセス制御部及び情報を格納する記憶装置を備え、
前記記憶装置は、利用者の個人情報及び前記個人情報へのアクセス権限を設定するためのアクセス制御ポリシを格納し、
前記アクセス制御部は、
前記記憶装置に格納されたアクセス制御ポリシを前記アクセス制御サーバに送付し、
前記アクセス制御サーバによる判定結果を受け付け、
前記判定結果に基づいて外部に開示可能な個人情報を選択し、
前記選択された個人情報を送付することを特徴とする利用者端末。
【請求項６】
前記記憶装置は、端末の正当性を証明するための利用者端末認証データを格納し、
前記アクセス制御部は、
前記外部サービス端末と前記利用者端末認証データを交換し相互認証を行い、
前記相互認証が成功すると設定されるセッション鍵を用いて、前記アクセス制御ポリシを暗号化し、
前記暗号化されたアクセス制御ポリシを前記アクセス制御サーバに送付することを特徴とする請求項５に記載の利用者端末。
【請求項７】
前記記憶装置は、
前記利用者端末に着脱可能な記録媒体であり、
前記相互認証のためのプログラム及び前記アクセス制御ポリシを暗号化するための情報を格納することを特徴とする請求項６に記載の利用者端末。
【請求項８】
前記利用者端末は、サービスを提供する外部サービス端末に接続されており、
前記アクセス制御部は、前記外部サービス端末を経由して、前記アクセス制御ポリシを送付することを特徴とする請求項５に記載の利用者端末。
【請求項９】
前記利用者端末は、サービスを提供する外部サービス端末に接続されており、
前記アクセス制御部は、アクセス制御サーバに、直接、前記アクセス制御ポリシを送付することを特徴とする請求項５に記載の利用者端末。
【請求項１０】
利用者が保有する利用者端末と、前記利用者端末にサービスを提供する外部サービス端末と、前記利用者端末に保持される個人情報に対する前記外部サービス端末からのアクセスを制御するアクセス制御サーバと、を備えるコンピュータシステムにおける、個人情報へのアクセス制御方法であって、
前記利用者端末と前記外部サービス端末とは、認証データを交換して相互に認証し、
前記利用者端末は、前記相互認証が成功すると設定されるセッション鍵を用いて、前記利用者端末が有する個人情報に対するアクセス権限を設定するためのアクセス制御ポリシを暗号化し、前記暗号化されたアクセス制御ポリシを前記アクセス制御サーバに送付し、
前記外部サービス端末は、前記相互認証が成功すると設定されるセッション鍵を用いて、端末の属性を表す外部サービス端末属性情報を暗号化し、前記暗号化された外部サービス端末属性情報をアクセス制御サーバに送付し、
前記アクセス制御サーバは、前記アクセス制御ポリシ及び前記外部サービス端末属性情報を受け付け、前記受け付けたアクセス制御ポリシを解析し、前記受け付けた外部サービス端末属性情報を参照して前記外部サービス端末のアクセス権限を判定し、前記判定の結果を前記利用者端末に送付し、
前記利用者端末は、前記アクセス制御サーバによる判定結果を受け付け、前記受け付けた判定結果に基づいて外部に開示可能な個人情報を選択し、
前記外部サービス端末は、利用者端末からの個人情報を受け付けることを特徴とする情報アクセス制御方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【公開番号】特開２００６−３３８５８７（Ｐ２００６−３３８５８７Ａ）
【公開日】平成１８年１２月１４日（２００６．１２．１４）
【国際特許分類】
【出願番号】特願２００５−１６５４００（Ｐ２００５−１６５４００）
【出願日】平成１７年６月６日（２００５．６．６）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．Ｂｌｕｅｔｏｏｔｈ
【出願人】（０００００５１０８）株式会社日立製作所 (27,607)
【Ｆターム（参考）】
【公開日】平成１８年１２月１４日（２００６．１２．１４）
【国際特許分類】
【出願日】平成１７年６月６日（２００５．６．６）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．Ｂｌｕｅｔｏｏｔｈ
【出願人】（０００００５１０８）株式会社日立製作所 (27,607)
【Ｆターム（参考）】
[ Back to top ]