アンケート実施システム及びアンケート実施サーバ
【課題】 アンケートに対する回答が格納されたデータベースから情報の流出を防止できるアンケート実施システム及びアンケート実施サーバを提供すること。
【解決手段】 アンケートを実施するアンケート実施サーバ５と、該アンケート実施サーバ５とネットワーク７を介して接続されたアンケートに対する回答情報を格納する回答データベース６と、を有するアンケート実施システムにおいて、アンケート実施サーバ５は、回答情報を受信する回答情報受信手段と、暗号キーが格納された暗号キーデータベース２４と、回答情報受信手段により受信した回答情報を、暗号データベース２４に格納された暗号キーで暗号化する暗号化・復号化手段１９と、を有し、回答データベース６は、アンケート実施サーバ５から受信した暗号化・復号化手段１９により暗号化された回答情報を格納する、ことを特徴とする。
【解決手段】 アンケートを実施するアンケート実施サーバ５と、該アンケート実施サーバ５とネットワーク７を介して接続されたアンケートに対する回答情報を格納する回答データベース６と、を有するアンケート実施システムにおいて、アンケート実施サーバ５は、回答情報を受信する回答情報受信手段と、暗号キーが格納された暗号キーデータベース２４と、回答情報受信手段により受信した回答情報を、暗号データベース２４に格納された暗号キーで暗号化する暗号化・復号化手段１９と、を有し、回答データベース６は、アンケート実施サーバ５から受信した暗号化・復号化手段１９により暗号化された回答情報を格納する、ことを特徴とする。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、アンケートを実施するアンケート実施システム及びアンケート実施サーバに関し、特に、ネットワークを介してアンケートやお客様登録、問い合わせなど個人情報を含む設問への回答を暗号化して格納するアンケート実施システム及びアンケート実施サーバに関する。
【背景技術】
【０００２】
企業や団体にとって、製品やサービスを利用するユーザや取引先（以下、単にユーザという）に対してアンケートや意見収集を実施し、製品やサービスに対する意見、不満などを収集することは、活動を継続する上で非常に有益である。また、ユーザの個人情報を登録してもらい、これを利用して新商品の案内を送付したり、営業活動に利用することも一般的に行われている。
【０００３】
ユーザの情報を得るために、葉書、電話やファックスによるアンケート実施、お客様登録、問い合わせ受付などが一般的に実施されており、最近ではインターネットの普及により、Ｗｅｂのホームページによりアンケートやお客様登録を実施して情報を収集することが増えている。
【０００４】
インターネットでこのような情報収集を行うことは、情報を提供するユーザ側の負担(電話であれば一定時間の確保、郵便であれば送付する手間など)を軽減し、また収集する企業や団体にとっても、サーバで収集した電子データをそのまま保管し、集計作業などを行うことができ、非常に有用である。
【０００５】
ところが、Ｗｅｂ上でこのような個人情報等を送受信することによって、情報の漏えいや改ざん、不正な情報の流通などが問題となってきている。ユーザから情報を送信する段階で問題となるのは、ユーザの端末から企業や団体のサーバまでのネットワーク上で情報伝達がうまくいかなかったり盗聴されることであるが、この問題についてはSSL(Secure Socket Layer)などの利用により暗号化することが可能であり、盗聴の危険性を大幅に減らすことができる。
【０００６】
しかし、企業や団体のサーバに情報が格納されてから後の情報管理については安全性が確保されているとはいえない状態であり、悪意ある内部の者が情報を持ち出したり、管理が不十分の場合、外部に情報が漏えいすると言った問題は解決しきれていない。
【０００７】
そこで、企業の中に個人情報が格納されている状態で情報を安全に保管するためには様々な方法が取られている。例えば、個人情報を格納するデータベースに暗号化機能を持たせ、データを暗号化する手法がある。実際に商用データベースではデータの暗号化を行うことが可能である。しかし、この場合データベースサーバーの管理者であれば、このデータベースの暗号化方法を知っており、管理者が悪意を持つ場合は情報を不正に入手することが可能となってしまう。
【０００８】
これに対し、個人情報を暗号化して記憶しておき、個人認証された場合に予め別のサーバに記憶されている復号鍵を抽出し、復号鍵により復号化された情報を提供する方法が考案されている（例えば、特許文献１参照。）。
【０００９】
また、個人情報を格納したデータベースと個人の名前などの識別情報を格納したデータベースとを分離しておき、指紋情報等により認証された場合、双方のデータを利用可能とする情報の利用方法が提案されている（例えば、特許文献２参照。）。
【特許文献１】特開２００３−２６４５４０号公報
【特許文献２】特開２００４−３６２１２３号公報
【発明の開示】
【発明が解決しようとする課題】
【００１０】
しかしながら、特許文献１記載の方法は、個人情報がその個人情報をもつ本人のみに提供される場合は有用であるが、個人情報を収集した企業内の担当者が情報を活用したい場合等は、復号鍵を保有していないので情報を活用できないという問題がある。
【００１１】
また、特許文献２記載の方法は、個人の指紋情報等から算出されたハッシュ値を認証情報とするため当該個人の認証がなければ収集された情報を活用できないという特許文献１と同様の問題を生じる。また、企業内のアンケートの管理者の指紋情報等からハッシュ値を算出して個人情報や識別情報を暗号化した場合、担当者が頻繁に替わりうる企業内における認証としては利用しにくいという問題がある。したがって、従来、企業や団体のサーバに情報が格納されてから後の情報管理については安全性が確保されていないという問題があった。
【００１２】
かかる問題に鑑み、本発明は、アンケートに対する回答が格納されたデータベースから情報の流出を防止できるアンケート実施システム及びアンケート実施サーバを提供することを目的とする。
【課題を解決するための手段】
【００１３】
上記問題を解決するため、本発明は、アンケートを実施するアンケート実施サーバと、該アンケート実施サーバとネットワークを介して接続されたアンケートに対する回答情報を格納する回答データベースと、を有するアンケート実施システムにおいて、アンケート実施サーバは、回答情報を受信する回答情報受信手段（受信手段１２に相当する）と、暗号キーが格納された暗号キーデータベースと、回答情報受信手段により受信した回答情報を、暗号データベースに格納された前記暗号キーで暗号化する暗号化・復号化手段と、を有し、回答データベースは、アンケート実施サーバから受信した暗号化・復号化手段により暗号化された回答情報を格納する、ことを特徴とする。
【００１４】
本発明によれば、アンケートに対する回答が格納されたデータベースから情報の流出を防止できるアンケート実施システム及びアンケート実施サーバを提供することを目的とする。暗号化・復号化手段と回答データベースとを分離することにより、回答データベースに不正なアクセスがあっても、個人情報等の重要な情報の漏洩を防止しうる。
【００１５】
また、本発明の一形態において、アンケート実施サーバは、回答情報受信手段により受信した回答情報を暗号化するか否か設問毎に判定する設問判定手段を有し、暗号化・復号化手段は、設問判定手段により暗号化すると判定された設問に対する回答情報を暗号化する、ことを特徴とする。
【００１６】
本発明によれば、暗号化するべき回答情報を判定することにより暗号化及び復号化による処理の増加を抑制して重要な情報の安全性を向上できる。また、回答情報を暗号化するか否かを自動的に判定できるので、暗号化を忘れることを防止できる。
【００１７】
また、本発明の一形態において、アンケート実施サーバは、暗号キーデータベースに格納された暗号キーを各アンケートと対応づけて管理する暗号・復号キー管理手段を有し、暗号化・復号化手段は、暗号・復号キー管理手段により管理された暗号キーにより、アンケート毎に異なる暗号キーを用いて回答情報の暗号化を行う、ことを特徴とする。
【００１８】
本発明によれば、アンケート毎に異なる暗号キーで暗号化することにより、所定の暗号キー又は復号キーが漏洩しても、復号化して漏洩される個人情報等を最小限に抑制できる。
【００１９】
また、本発明は、アンケートを提供するアンケート実施サーバと、該アンケート実施サーバとネットワークを介して接続されたアンケートに対する回答情報を格納する回答データベースと、を有するアンケート実施システムにおいて、アンケート実施サーバは、暗号キーが格納された暗号キーデータベースと、回答情報及び前記暗号キーデータベースに格納された暗号キーを回答データベースに送信する回答情報送信手段と、を有し、回答データベースは、アンケート実施サーバから回答情報及び暗号キーを受信する回答情報受信手段と、回答情報受信手段により受信した回答情報を暗号キーで暗号化する暗号化・復号化手段と、を有する、ことを特徴とする。
【００２０】
本発明によれば、暗号化又は復号化を回答データベースで行うので、個人情報等の安全性を確保すると共に、アンケート実施サーバの負荷を低減できる。
【００２１】
また、本発明の一形態において、アンケート実施サーバは、回答情報を暗号化するか否か設問毎に判定する設問判定手段を有し、暗号化・復号化手段は、設問判定手段により暗号化すると判定された設問に対する回答情報を暗号化する、ことを特徴とする。
【００２２】
また、本発明の一形態において、アンケート実施サーバは、暗号キーデータベースに格納された暗号キーを各アンケートと対応づけて管理する暗号・復号キー管理手段を有し、回答情報送信手段は、暗号・復号キー管理手段により抽出されたアンケート毎に異なる暗号キーを回答情報と共に回答データベースに送信し、暗号化・復号化手段は、アンケート毎に異なる暗号キーにより回答情報を暗号化する、ことを特徴とする。
【００２３】
また、本発明は、アンケートに対する回答情報を記憶する回答データベースとネットワークを介して接続された、アンケートを実施するアンケート実施サーバにおいて、回答情報を受信する回答情報受信手段と、暗号キーが格納された暗号キーデータベースと、回答情報受信手段により受信した回答情報を、暗号キーデータベースに格納された暗号キーで暗号化する暗号化・復号化手段と、を有し、暗号化・復号化手段により暗号化された回答情報を回答データベースに送信する、ことを特徴とする。
【００２４】
また、本発明は、アンケートの設問に対する回答情報を暗号化するか否か設問毎に判定する設問判定手段を有し、暗号化・復号化手段は、設問判定手段により暗号化すると判定された設問に対する回答情報を暗号化する、ことを特徴とする。
【００２５】
また、本発明は、暗号キーデータベースに格納された暗号キーを各アンケートと対応づけて管理する暗号・復号キー管理手段を有し、暗号化・復号化手段は、暗号・復号キー管理手段により管理された暗号キーにより、アンケート毎に異なる暗号キーを用いて回答情報の暗号化を行う、ことを特徴とする。
【発明の効果】
【００２６】
本発明によれば、アンケートに対する回答が格納されたデータベースから情報の流出を防止できるアンケート実施システム及びアンケート実施サーバを提供することができる。
【発明を実施するための最良の形態】
【００２７】
以下、本発明を実施するための最良の形態について、図面を参照しながら説明する。図１は、本実施の形態のアンケート実施システムのシステム構成図を示す。本実施の形態のアンケート実施システムは、ネットワーク１を介して接続されたアンケート実施サーバ５、作成クライアント２、回答クライアント３、閲覧クライアント４、及び、アンケート実施サーバ５とネットワーク７を介して接続された回答データベース６、とを有するように構成される。
【００２８】
作成クライアント２、回答クライアント３及び閲覧クライアント４は、それぞれキーボードやマウスなどの入力装置とディスプレイなどの出力装置をもつ一般的なパーソナルコンピュータ（以下、ＰＣという）であり、アンケート実施サーバ５との種々のデータの送受信はWebブラウザソフトウェアを介して行う。Ｗｅｂブラウザソフトウェアは汎用のものが利用できるため、各クライアントを同一のＰＣで兼用してもよいし、各クライアントが複数存在してもよい。
【００２９】
ネットワーク１、７は、インターネットやイントラネット、ＬＡＮなどであり、ネットワーク１とネットワーク７とは同じネットワークであってもよい。
【００３０】
作成クライアント２は、アンケートの設問作成者により作成された設問内容のデータ（以下、設問情報という）をアンケート実施サーバ５に送信する。回答クライアント３はアンケート実施サーバ５からアンケートページのＨＴＭＬやＸＭＬ等のデータを受信して表示すると共に、アンケートに対し回答者が回答した回答内容のデータ（以下、回答情報という）をアンケート実施サーバ５に送信する。閲覧クライアント４は、アンケート実施サーバ５に、回答データベース６に格納されているアンケートの回答情報の送信を依頼し、送信されたアンケートの回答情報を閲覧者に表示する。
【００３１】
アンケート実施サーバ５について説明する。送信手段１１、受信手段１２は、各クライアントとの間で、又は、回答データベース６との間で、設問情報や回答情報等の送受信を行う。
【００３２】
送信手段１１は、設問や回答の内容を各クライアントで表示できる形式にデータを変換して送信し、受信手段１２は、各クライアントからのデータを受信して他の処理手段へ受け渡す。一般的なWebサーバであれば送信手段１１と受信手段１２の機能を有する。
【００３３】
認証手段１３は、認証データベース１７に保管されている認証情報と、作成クライアント２または閲覧クライアント４から送信された認証情報とを比較し、アンケート実施システムの利用権限があるかどうかを判定する。したがって、認証データベース１７には、作成クライアント２又は閲覧クライアント４を介してアンケート実施システムを利用する作成者又は閲覧者の認証情報が格納されている。認証情報は、作成者又は閲覧者のIDとパスワードの組のような文字列であってもよいし、作成クライアント２又は閲覧クライアント４が発行する電子証明書であってもよい。認証データベース１７には、アンケートの回答を閲覧する閲覧者のアクセス権限が規定されており、認証情報に基づき認証されてもアクセス権限のないアンケートの回答を閲覧することはできない。これにより、一の閲覧者により大量の個人情報が漏洩することが防止される。
【００３４】
設問作成手段１４は、作成クライアント２から送信されたアンケートの設問情報に基づき設問を作成する。作成された設問は、設問管理手段２２により、例えば作成日時、作成者の識別情報等と対応づけて管理され、設問情報として設問データベース２５に格納される。
【００３５】
設問判定手段２１は、アンケートの設問に対する回答情報を暗号化するか否か設問毎に判定する。暗号化するか否かの判定は、各設問の回答が漏洩することにより回答者等に不都合が生じるほど重要か否かであり、設問判定手段２１は、特に、個人情報に関する設問は暗号化すると判定する。設問判定手段２１は、例えば、設問情報のタイトル、内容に基づいて暗号化するか否かを判定してもよいし、作成者が設問を作成した際に設定した重要度に基づいて判定してもよい。設問判定手段２１は、暗号化すると判定した設問に暗号化が必要であることを示す暗号化指示情報を付与する。
【００３６】
設問データベース２５に格納された設問情報は、アンケートの実施の際に設問表示手段１５により、設問欄と回答欄とを一対にするなど回答できる形式に変換され、送信手段１１を介して回答クライアント３に送信される。
【００３７】
回答クライアント３は、回答者の操作により入力された回答情報をアンケート実施サーバ５に送信する。回答クライアント３から送信されたアンケートの回答情報は、回答受付手段１６により受付けられる。回答受付手段１６が受けつけたアンケートの回答情報は、暗号化・復号化手段１９により暗号化される。暗号化・復号化手段１９は、暗号化指示情報の付与された設問のみを、暗号キー管理手段２０の管理する暗号キーを用いて暗号化する。したがって、各アンケートの回答情報には、平文のままの回答と暗号化された回答とが混在する。
【００３８】
暗号キー管理手段２０は、暗号キーをアンケートと対応づけて暗号キーデータベース２４に格納して管理している。一の暗号キーは一のアンケートの暗号化にのみ用いられる。
【００３９】
回答管理手段２３は、平文のまま又は暗号化された回答情報を回答データベース６へ送信し、回答データベース６にアンケートと対応づけて格納する。
【００４０】
閲覧クライアント４から所定のアンケートの閲覧要求があった場合、回答管理手段２３は管理している回答情報をアンケートごとに回答データベース６から取得する。そして、暗号化・復号化手段１９に、暗号キー管理手段２０が管理する復号キーによる当該回答情報の復号化を依頼する。本実施の形態では、暗号キーと復号キーが同じものであってもよいし異なっていてもよい。
【００４１】
回答表示手段１８は、暗号化・復号化手段１９が復号化した回答情報を閲覧クライアント４に送信できる形式（例えば、設問欄と回答欄とを一対にするなど）の回答情報に生成し、送信手段１１を介して閲覧クライアント４に送信する。
【００４２】
なお、認証データベース２５、設問データベース１７、又は、暗号キーデータベース２４は、それぞれアンケート実施サーバ５内に存在してもよいし、ネットワークで接続された別の計算機に存在してもよい。
【００４３】
図１のように、暗号キーデータベース２４と回答データベース６とを別体に構成することで、回答データベースが不正にアクセスされても暗号キーを入手しなければ復号化できないので、情報の漏洩を防止しうる。
【００４４】
ところで、図１ではアンケート実施サーバ５が暗号化・復号化手段１９及び回答管理手段２３を有することとしたが、暗号化・復号化手段１９及び回答管理手段２３は、回答データベース６が有していてもよい。図２は、暗号化・復号化手段１９及び回答管理手段２３を回答データベース６が有するアンケート実施システムのシステム構成図を示す。図２において、図１と同一部分には同一の符号を付しその説明は省略する。
【００４５】
図２では、回答データベース６が暗号化・復号化手段１９を有する点で図１と異なる。図２のアンケート実施システムでは、回答情報と共に、暗号キー管理手段２０がアンケートに対応づけて管理する暗号キーが回答データベース６に送信される。回答データベース６が有する暗号化・復号化手段１９は、送信された暗号キーで、暗号化すると判定された回答情報を暗号化し、回答管理手段２３が平文のまま又は暗号化された回答情報を格納する。
【００４６】
また、閲覧クライアント４から所定のアンケートとの閲覧要求があった場合、暗号化・復号化手段１９は、暗号キー管理手段２０が送信する復号キーを受信して、当該アンケートの回答情報を復号化をする。復号化された回答情報は、アンケート実施サーバ５に送信されるので、回答表示手段１８により閲覧クライアント４に送信できる形式に回答情報が生成され、閲覧クライアント４に送信される。
【００４７】
図２のようにアンケート実施システムを構成すれば、回答データベースが暗号化・復号化を行うので、図１のアンケート実施システムと同様に回答情報の漏洩を防止すると共に、アンケート実施サーバ５の負荷を低減できる。
【００４８】
図３は、アンケート実施サーバ５のハードウェア構成図の一例を示す。アンケート実施サーバ５は、それぞれバス３９で相互に接続されているＣＰＵ３１、入出力制御部３２、ドライブ装置３３、通信部３４、主記憶部３５、記憶装置３６、表示制御部３７を有するように構成される。
【００４９】
ＣＰＵ３１は、アンケート実施サーバ５が行う処理を統括的に制御し、例えば、後述のアンケート実施プログラム４０を主記憶部３５にロードして実行する。入出力制御部３２は、キーボード及びマウスなどにより入力される様々な操作指示を処理するために用いられる。通信部３４は、インターネットやＬＡＮなどのネットワークに接続するためのインターフェイスであり、例えばモデム、ルータ等で構成される。主記憶部３５は、オペレーティングシステムやプログラム、データを一時保管する記憶領域である。
【００５０】
ドライブ装置３３は、ＤＶＤ−ＲＯＭやＣＤ−ＲＯＭが挿入可能であり、記録媒体３８からプログラムやデータを読み込み、また記録媒体３８にプログラムやデータを書き込むことも可能である。表示制御部３７は、ＧＵＩ（Ｇｒａｐｈｙｃａｌ Ｕｓｅｒ Ｉｎｔｅｒｆａｃｅ）画面を形成し、操作に必要な各種ウィンドウやデータ等を表示する。
【００５１】
記憶装置３６には、アンケート実施プログラム４０が記録媒体３８やインターネットを介してインストールされている。アンケート実施プログラム４０は、図３のコンピュータを、アンケートに対する回答情報を暗号キーで暗号化する暗号化・復号化手段と、アンケートの設問に対する回答情報を暗号化するか否か設問毎に判定する設問判定手段と、暗号キーデータベースに記憶された暗号キーを各アンケートと対応づけて管理する暗号化・復号キー管理手段と、として機能させる。
【００５２】
続いて上述した図１のアンケート実施システムに基づき、設問を作成する設問作成手順について説明する。図４は、設問作成者の操作により作成された設問情報をアンケート実施サーバ５が設問データベースに格納するフローチャート図を示す。
【００５３】
まず、作成クライアント２は、設問作成者の操作によりアンケート実施サーバ５にログインする（Ｓ１）。設問作成者は、ウェブブラウザを用いてアンケート実施サーバ５のＵＲＬにアクセスし、ログイン用の画面からＩＤやパスワード等の認証情報を入力する。
【００５４】
アンケート実施サーバ５の認証手段１３は、作成クライアント２から送信された認証情報と、認証データベース１７に格納されている当該設問作成者の認証情報とを比較し、認証情報の整合性が得られた場合、作成クライアント２によるアンケート実施システムの利用を許可する（Ｓ２）。
【００５５】
認証された作成クライアント２は、設問作成者の操作により作成又は編集するアンケートの設問作成画面の送信をアンケート実施サーバ５に要求する(Ｓ３)。
【００５６】
設問作成画面の要求を受けた設問作成手段１４は、設問管理手段２２に要求された設問作成の画面情報を要求し、設問管理手段２２は要求されたアンケートの設問作成の画面情報を設問データベース２５より取得し、設問作成手段１４に送出する。設問作成手段１４は、設問作成の画面情報に基づき、設問作成の画面を生成して作成クライアント２に送信する（Ｓ４）。
【００５７】
作成クライアント２は、アンケート実施サーバ５から送信された設問作成の画面を表示する。そして、設問作成の画面から設問作成者の操作により入力された設問を用いて、アンケートの設問を作成する（Ｓ５）。
【００５８】
図５は、作成クライアント２に表示された設問作成のための画面の一例を示す。設問作成の画面は、アンケート実施時に表示されるタイトル、設問の説明、回答欄の入力形式、添付画面など、アンケートを実施するための画面作成や回答の取得に必要な様々な情報を有する。図５の画面の他に、入力制限情報を含める欄を設けてもよいし、その設問が個人情報に当たるかどうか入力する欄を含めることとしてもよい。作成クライアント２は、設問作成者の送信操作があった場合、入力された設問情報を設問作成手段１４に送信する。
【００５９】
設問作成手段１４は、受信した設問情報を設問判定手段２１に送出する。設問判定手段２１は、各設問が個人情報か否か、各設問毎に設問のタイトル、入力制限等から判定する（Ｓ６）。
【００６０】
設問判定手段２１による判定方法は、例えば次のように行う。
(i)設問のタイトルに"氏名""住所""メールアドレス"などを表す特定の文字列が入っている場合は個人情報に当たると判定する。
(ii)入力形式が"メールアドレス""電話番号"であった場合、個人情報に当たると判定する。
【００６１】
設問判定手段２１は、暗号化が必要な設問に対し、暗号化が必要であることを示す暗号化指示情報４１（図５では〔ｃｏｄｅ〕で示した）を付する。
【００６２】
設問作成手段１４は、設問毎に個人情報か否かの判定が終了した設問情報の登録を設問管理手段２２に依頼し、設問管理手段２２は設問データベース２５へ、設問ＩＤや登録日、設問作成者のＩＤ等と対応づけて設問情報を登録する（Ｓ７）。以上で、設問作成者の操作により作成された設問をアンケート実施サーバ５が格納した。
【００６３】
図４の設問作成手順によれば、アンケートが設問として要求する個人情報などを自動的に判別できるので、設問を作成する担当者が意識しなくても重要な情報の安全性を高めることができる。
【００６４】
次に、回答クライアント３が回答した回答情報を回答データベース６に格納する手順について説明する。図６は、回答者の操作により回答された回答をアンケート実施サーバ５が回答データベース６に格納するフローチャート図を示す。
【００６５】
回答者は設問作成者などから電子メールなどでアンケート公開の通知を受けたり、WWWページ上でアンケートのリンクをたどることにより、アンケートのURLを知る。
【００６６】
まず、回答クライアント３は、回答者の操作によりウェブブラウザを起動し指定されたアンケートのURLに接続し、アンケート実施サーバ５にアンケート回答ページの表示を要求する（Ｓ１１）。
【００６７】
設問表示手段１５は、アンケート表示の要求を回答クライアント３から受け、設問管理手段２２に当該アンケートの設問情報を要求する。設問管理手段２２は要求された設問情報を設問データベース２５から取得し、設問表示手段１５に送出する。設問表示手段１５は、取得した当該アンケートの設問情報に基づき、設問欄と回答欄とを一対にするなど回答できる形式に変換し、送信手段１１を介して回答クライアント３に送信する（Ｓ１２）。
【００６８】
回答クライアント３は、アンケートに対して回答者が入力した回答情報をアンケート実施サーバ５へ送信する（Ｓ１３）。回答受付手段１６は、送信された回答情報を暗号化・復号化手段１９へ送出する（Ｓ１４）。
【００６９】
暗号化・復号化手段１９は、暗号キー管理手段２０に暗号キーを要求する。暗号キー管理手段２０はアンケート毎に暗号キーを生成して暗号化・復号化手段１９に送出してもよいし、暗号キーデータベース２４よりアンケートに対応して管理されるアンケートのキーを抽出し、抽出した暗号キーを暗号化・復号化手段１９に送出してもよい。
【００７０】
暗号化・復号化手段１９は、各設問の暗号化必要/不要の情報である暗号化指示情報を参照し、暗号化が必要な設問に対する回答情報のみ、当該暗号キーにより暗号化する（Ｓ１５）。暗号化・復号化手段１９は、アンケート毎に異なる暗号キー及び復号キーを用いるので、仮に一の複合キーが漏洩しても復号化される回答情報を最小限に止めることができる。
【００７１】
暗号化が終了すると暗号化・復号化手段１９は回答管理手段２３に回答情報を送出する。回答管理手段２３は、回答情報をアンケート毎に対応づけて回答データベース６送信し格納する（Ｓ１６）。
【００７２】
図７は、回答データベース６に格納される回答情報の一例を示す。回答Ｎｏは、例えば回答クライアント３による回答順に当該回答情報に付与される連番である。回答情報には、設問毎に回答が記録されている。図７では、＊マークで示された回答は暗号化されていること、すなわち個人情報であることを示す。したがって、回答情報は、暗号化された回答と平文のままの回答が混在している。
【００７３】
図１又は２のアンケート実施システムに示すように、暗号化・復号化手段１９及び暗号キーデータベース２４と、回答データベース６とを分離することにより、回答データベース６に不正にアクセスされても、個人情報などの重要なデータは暗号化されており、復号キーは回答データベース６から取得できないので、個人情報の漏えいを防ぐことが可能である。
【００７４】
また、暗号化するべき情報と暗号化の必要ない情報を判別することにより、暗号化・復号化処理によるシステムの負荷増加を最小限に抑えながら重要な情報の安全性を高めることができる。
【００７５】
また、図２に示すアンケート実施サーバ５の構成であれば、暗号化・復号化を回答データベース６によって行うので、個人情報の安全性を確保したままアンケート実施サーバ５の負荷を減らすことができる。
【００７６】
また、同じアンケート実施システム内で、アンケート毎に暗号キー及び復号キーを管理することにより、所定のアンケートに関連するデータは取得可能であっても、それ以外は取得できないなど、セキュリティを向上できる。アンケート毎に暗号化の方法を変えてもよく、アンケートの重要度に応じて適切な情報アクセス制限を細かく設定することができる。
【００７７】
次に、閲覧クライアント４が回答を閲覧する手順について説明する。図８は、閲覧クライアント４が回答データベース６に格納されたアンケートの回答を閲覧するフローチャート図を示す。
【００７８】
まず、閲覧クライアント４は、閲覧者の操作によりウェブブラウザを起動し指定されたアンケートのURLに接続し、アンケート実施サーバ５にログインする（Ｓ２１）。閲覧者は、ログイン用の画面から認証情報を入力する。
【００７９】
アンケート実施サーバ５の認証手段１３は、閲覧クライアント４から送られた認証情報と、認証データベース１７に格納されている当該閲覧者の認証情報とを比較し、認証情報の整合性が得られた場合、閲覧クライアント４のアンケート実施システムの利用を許可する（Ｓ２２）。
【００８０】
認証された閲覧クライアント４は、閲覧者の操作により閲覧するアンケートの回答情報の送信をアンケート実施サーバ５に要求する(Ｓ２３)。
【００８１】
回答表示手段１８は、認証情報を参照して当該閲覧者がアンケート回答のアクセス権限を有するか否かチェックし、アクセス権限を有していれば回答管理手段２３に回答を要求する。回答管理手段２３は該当するアンケートの回答情報を回答データベース６より抽出し、暗号化・復号化手段へ送出する（Ｓ２４）。
【００８２】
暗号化・復号化手段１９は、暗号キー管理手段２０より復号キーを取得し、該復号キーを用いて暗号化されている回答情報の復号化を行う（Ｓ２５）。暗号化・復号化手段１９は、復号化した回答情報を回答表示手段１８に送出する。
【００８３】
回答表示手段１８は復号化された回答情報を取得し、送信手段１１を介して閲覧クライアント４へ送信する（Ｓ２６）。閲覧クライアント４が受け取る回答情報は閲覧クライアント４にそのまま表示できるＨＴＭＬ形式等であってもよいし、ファイル形式としてダウンロードするものでもよい。以上で、閲覧クライアント４にアンケートの回答が表示された。
【００８４】
以上のように、本実施の形態のアンケート実施システムによれば、暗号化された回答と暗号キーとを別体に備えるので、回答情報が漏洩しても複合キーが漏洩しなければ個人情報の流出を防止できる。また、アンケート毎に暗号キーが異なるので、個人情報の漏洩を最小限に止めることが可能となる。また、暗号化するか否かを自動的に判定するので、暗号化を忘れるといったことを防止できる。また、閲覧者の回答へのアクセス権限をチェックするので、一の閲覧者により大量の回答が入手されることが防止できる。
【図面の簡単な説明】
【００８５】
【図１】アンケート実施システムのシステム構成図である。
【図２】アンケート実施システムのシステム構成図の一例である。
【図３】アンケート実施サーバのハードウェア構成図の一例である。
【図４】作成された設問をアンケート実施サーバが蓄積するフローチャート図である。
【図５】設問作成のための入力画面の一例である。
【図６】回答された回答をアンケート実施サーバが回答データベースに格納するフローチャート図である。
【図７】回答データベースに格納される回答情報の一例である。
【図８】閲覧クライアントがアンケートの回答を閲覧するフローチャート図である。
【符号の説明】
【００８６】
１、７ ネットワーク
２ 作成クライアント
３ 回答クライアント
４ 閲覧クライアント
５ アンケート実施サーバ
６ 回答データベース
１１ 送信手段
１２ 受信手段
１３ 認証手段
１４ 設問作成手段
１５ 設問表示手段
１６ 回答受付手段
１７ 認証データベース
１８ 回答表示手段
１９ 暗号化・復号化手段
２０ 暗号キー管理手段
２１ 設問判定手段
２２ 設問管理手段
２３ 回答管理手段
２４ 暗号キーデータベース
２５ 設問データベース
【技術分野】
【０００１】
本発明は、アンケートを実施するアンケート実施システム及びアンケート実施サーバに関し、特に、ネットワークを介してアンケートやお客様登録、問い合わせなど個人情報を含む設問への回答を暗号化して格納するアンケート実施システム及びアンケート実施サーバに関する。
【背景技術】
【０００２】
企業や団体にとって、製品やサービスを利用するユーザや取引先（以下、単にユーザという）に対してアンケートや意見収集を実施し、製品やサービスに対する意見、不満などを収集することは、活動を継続する上で非常に有益である。また、ユーザの個人情報を登録してもらい、これを利用して新商品の案内を送付したり、営業活動に利用することも一般的に行われている。
【０００３】
ユーザの情報を得るために、葉書、電話やファックスによるアンケート実施、お客様登録、問い合わせ受付などが一般的に実施されており、最近ではインターネットの普及により、Ｗｅｂのホームページによりアンケートやお客様登録を実施して情報を収集することが増えている。
【０００４】
インターネットでこのような情報収集を行うことは、情報を提供するユーザ側の負担(電話であれば一定時間の確保、郵便であれば送付する手間など)を軽減し、また収集する企業や団体にとっても、サーバで収集した電子データをそのまま保管し、集計作業などを行うことができ、非常に有用である。
【０００５】
ところが、Ｗｅｂ上でこのような個人情報等を送受信することによって、情報の漏えいや改ざん、不正な情報の流通などが問題となってきている。ユーザから情報を送信する段階で問題となるのは、ユーザの端末から企業や団体のサーバまでのネットワーク上で情報伝達がうまくいかなかったり盗聴されることであるが、この問題についてはSSL(Secure Socket Layer)などの利用により暗号化することが可能であり、盗聴の危険性を大幅に減らすことができる。
【０００６】
しかし、企業や団体のサーバに情報が格納されてから後の情報管理については安全性が確保されているとはいえない状態であり、悪意ある内部の者が情報を持ち出したり、管理が不十分の場合、外部に情報が漏えいすると言った問題は解決しきれていない。
【０００７】
そこで、企業の中に個人情報が格納されている状態で情報を安全に保管するためには様々な方法が取られている。例えば、個人情報を格納するデータベースに暗号化機能を持たせ、データを暗号化する手法がある。実際に商用データベースではデータの暗号化を行うことが可能である。しかし、この場合データベースサーバーの管理者であれば、このデータベースの暗号化方法を知っており、管理者が悪意を持つ場合は情報を不正に入手することが可能となってしまう。
【０００８】
これに対し、個人情報を暗号化して記憶しておき、個人認証された場合に予め別のサーバに記憶されている復号鍵を抽出し、復号鍵により復号化された情報を提供する方法が考案されている（例えば、特許文献１参照。）。
【０００９】
また、個人情報を格納したデータベースと個人の名前などの識別情報を格納したデータベースとを分離しておき、指紋情報等により認証された場合、双方のデータを利用可能とする情報の利用方法が提案されている（例えば、特許文献２参照。）。
【特許文献１】特開２００３−２６４５４０号公報
【特許文献２】特開２００４−３６２１２３号公報
【発明の開示】
【発明が解決しようとする課題】
【００１０】
しかしながら、特許文献１記載の方法は、個人情報がその個人情報をもつ本人のみに提供される場合は有用であるが、個人情報を収集した企業内の担当者が情報を活用したい場合等は、復号鍵を保有していないので情報を活用できないという問題がある。
【００１１】
また、特許文献２記載の方法は、個人の指紋情報等から算出されたハッシュ値を認証情報とするため当該個人の認証がなければ収集された情報を活用できないという特許文献１と同様の問題を生じる。また、企業内のアンケートの管理者の指紋情報等からハッシュ値を算出して個人情報や識別情報を暗号化した場合、担当者が頻繁に替わりうる企業内における認証としては利用しにくいという問題がある。したがって、従来、企業や団体のサーバに情報が格納されてから後の情報管理については安全性が確保されていないという問題があった。
【００１２】
かかる問題に鑑み、本発明は、アンケートに対する回答が格納されたデータベースから情報の流出を防止できるアンケート実施システム及びアンケート実施サーバを提供することを目的とする。
【課題を解決するための手段】
【００１３】
上記問題を解決するため、本発明は、アンケートを実施するアンケート実施サーバと、該アンケート実施サーバとネットワークを介して接続されたアンケートに対する回答情報を格納する回答データベースと、を有するアンケート実施システムにおいて、アンケート実施サーバは、回答情報を受信する回答情報受信手段（受信手段１２に相当する）と、暗号キーが格納された暗号キーデータベースと、回答情報受信手段により受信した回答情報を、暗号データベースに格納された前記暗号キーで暗号化する暗号化・復号化手段と、を有し、回答データベースは、アンケート実施サーバから受信した暗号化・復号化手段により暗号化された回答情報を格納する、ことを特徴とする。
【００１４】
本発明によれば、アンケートに対する回答が格納されたデータベースから情報の流出を防止できるアンケート実施システム及びアンケート実施サーバを提供することを目的とする。暗号化・復号化手段と回答データベースとを分離することにより、回答データベースに不正なアクセスがあっても、個人情報等の重要な情報の漏洩を防止しうる。
【００１５】
また、本発明の一形態において、アンケート実施サーバは、回答情報受信手段により受信した回答情報を暗号化するか否か設問毎に判定する設問判定手段を有し、暗号化・復号化手段は、設問判定手段により暗号化すると判定された設問に対する回答情報を暗号化する、ことを特徴とする。
【００１６】
本発明によれば、暗号化するべき回答情報を判定することにより暗号化及び復号化による処理の増加を抑制して重要な情報の安全性を向上できる。また、回答情報を暗号化するか否かを自動的に判定できるので、暗号化を忘れることを防止できる。
【００１７】
また、本発明の一形態において、アンケート実施サーバは、暗号キーデータベースに格納された暗号キーを各アンケートと対応づけて管理する暗号・復号キー管理手段を有し、暗号化・復号化手段は、暗号・復号キー管理手段により管理された暗号キーにより、アンケート毎に異なる暗号キーを用いて回答情報の暗号化を行う、ことを特徴とする。
【００１８】
本発明によれば、アンケート毎に異なる暗号キーで暗号化することにより、所定の暗号キー又は復号キーが漏洩しても、復号化して漏洩される個人情報等を最小限に抑制できる。
【００１９】
また、本発明は、アンケートを提供するアンケート実施サーバと、該アンケート実施サーバとネットワークを介して接続されたアンケートに対する回答情報を格納する回答データベースと、を有するアンケート実施システムにおいて、アンケート実施サーバは、暗号キーが格納された暗号キーデータベースと、回答情報及び前記暗号キーデータベースに格納された暗号キーを回答データベースに送信する回答情報送信手段と、を有し、回答データベースは、アンケート実施サーバから回答情報及び暗号キーを受信する回答情報受信手段と、回答情報受信手段により受信した回答情報を暗号キーで暗号化する暗号化・復号化手段と、を有する、ことを特徴とする。
【００２０】
本発明によれば、暗号化又は復号化を回答データベースで行うので、個人情報等の安全性を確保すると共に、アンケート実施サーバの負荷を低減できる。
【００２１】
また、本発明の一形態において、アンケート実施サーバは、回答情報を暗号化するか否か設問毎に判定する設問判定手段を有し、暗号化・復号化手段は、設問判定手段により暗号化すると判定された設問に対する回答情報を暗号化する、ことを特徴とする。
【００２２】
また、本発明の一形態において、アンケート実施サーバは、暗号キーデータベースに格納された暗号キーを各アンケートと対応づけて管理する暗号・復号キー管理手段を有し、回答情報送信手段は、暗号・復号キー管理手段により抽出されたアンケート毎に異なる暗号キーを回答情報と共に回答データベースに送信し、暗号化・復号化手段は、アンケート毎に異なる暗号キーにより回答情報を暗号化する、ことを特徴とする。
【００２３】
また、本発明は、アンケートに対する回答情報を記憶する回答データベースとネットワークを介して接続された、アンケートを実施するアンケート実施サーバにおいて、回答情報を受信する回答情報受信手段と、暗号キーが格納された暗号キーデータベースと、回答情報受信手段により受信した回答情報を、暗号キーデータベースに格納された暗号キーで暗号化する暗号化・復号化手段と、を有し、暗号化・復号化手段により暗号化された回答情報を回答データベースに送信する、ことを特徴とする。
【００２４】
また、本発明は、アンケートの設問に対する回答情報を暗号化するか否か設問毎に判定する設問判定手段を有し、暗号化・復号化手段は、設問判定手段により暗号化すると判定された設問に対する回答情報を暗号化する、ことを特徴とする。
【００２５】
また、本発明は、暗号キーデータベースに格納された暗号キーを各アンケートと対応づけて管理する暗号・復号キー管理手段を有し、暗号化・復号化手段は、暗号・復号キー管理手段により管理された暗号キーにより、アンケート毎に異なる暗号キーを用いて回答情報の暗号化を行う、ことを特徴とする。
【発明の効果】
【００２６】
本発明によれば、アンケートに対する回答が格納されたデータベースから情報の流出を防止できるアンケート実施システム及びアンケート実施サーバを提供することができる。
【発明を実施するための最良の形態】
【００２７】
以下、本発明を実施するための最良の形態について、図面を参照しながら説明する。図１は、本実施の形態のアンケート実施システムのシステム構成図を示す。本実施の形態のアンケート実施システムは、ネットワーク１を介して接続されたアンケート実施サーバ５、作成クライアント２、回答クライアント３、閲覧クライアント４、及び、アンケート実施サーバ５とネットワーク７を介して接続された回答データベース６、とを有するように構成される。
【００２８】
作成クライアント２、回答クライアント３及び閲覧クライアント４は、それぞれキーボードやマウスなどの入力装置とディスプレイなどの出力装置をもつ一般的なパーソナルコンピュータ（以下、ＰＣという）であり、アンケート実施サーバ５との種々のデータの送受信はWebブラウザソフトウェアを介して行う。Ｗｅｂブラウザソフトウェアは汎用のものが利用できるため、各クライアントを同一のＰＣで兼用してもよいし、各クライアントが複数存在してもよい。
【００２９】
ネットワーク１、７は、インターネットやイントラネット、ＬＡＮなどであり、ネットワーク１とネットワーク７とは同じネットワークであってもよい。
【００３０】
作成クライアント２は、アンケートの設問作成者により作成された設問内容のデータ（以下、設問情報という）をアンケート実施サーバ５に送信する。回答クライアント３はアンケート実施サーバ５からアンケートページのＨＴＭＬやＸＭＬ等のデータを受信して表示すると共に、アンケートに対し回答者が回答した回答内容のデータ（以下、回答情報という）をアンケート実施サーバ５に送信する。閲覧クライアント４は、アンケート実施サーバ５に、回答データベース６に格納されているアンケートの回答情報の送信を依頼し、送信されたアンケートの回答情報を閲覧者に表示する。
【００３１】
アンケート実施サーバ５について説明する。送信手段１１、受信手段１２は、各クライアントとの間で、又は、回答データベース６との間で、設問情報や回答情報等の送受信を行う。
【００３２】
送信手段１１は、設問や回答の内容を各クライアントで表示できる形式にデータを変換して送信し、受信手段１２は、各クライアントからのデータを受信して他の処理手段へ受け渡す。一般的なWebサーバであれば送信手段１１と受信手段１２の機能を有する。
【００３３】
認証手段１３は、認証データベース１７に保管されている認証情報と、作成クライアント２または閲覧クライアント４から送信された認証情報とを比較し、アンケート実施システムの利用権限があるかどうかを判定する。したがって、認証データベース１７には、作成クライアント２又は閲覧クライアント４を介してアンケート実施システムを利用する作成者又は閲覧者の認証情報が格納されている。認証情報は、作成者又は閲覧者のIDとパスワードの組のような文字列であってもよいし、作成クライアント２又は閲覧クライアント４が発行する電子証明書であってもよい。認証データベース１７には、アンケートの回答を閲覧する閲覧者のアクセス権限が規定されており、認証情報に基づき認証されてもアクセス権限のないアンケートの回答を閲覧することはできない。これにより、一の閲覧者により大量の個人情報が漏洩することが防止される。
【００３４】
設問作成手段１４は、作成クライアント２から送信されたアンケートの設問情報に基づき設問を作成する。作成された設問は、設問管理手段２２により、例えば作成日時、作成者の識別情報等と対応づけて管理され、設問情報として設問データベース２５に格納される。
【００３５】
設問判定手段２１は、アンケートの設問に対する回答情報を暗号化するか否か設問毎に判定する。暗号化するか否かの判定は、各設問の回答が漏洩することにより回答者等に不都合が生じるほど重要か否かであり、設問判定手段２１は、特に、個人情報に関する設問は暗号化すると判定する。設問判定手段２１は、例えば、設問情報のタイトル、内容に基づいて暗号化するか否かを判定してもよいし、作成者が設問を作成した際に設定した重要度に基づいて判定してもよい。設問判定手段２１は、暗号化すると判定した設問に暗号化が必要であることを示す暗号化指示情報を付与する。
【００３６】
設問データベース２５に格納された設問情報は、アンケートの実施の際に設問表示手段１５により、設問欄と回答欄とを一対にするなど回答できる形式に変換され、送信手段１１を介して回答クライアント３に送信される。
【００３７】
回答クライアント３は、回答者の操作により入力された回答情報をアンケート実施サーバ５に送信する。回答クライアント３から送信されたアンケートの回答情報は、回答受付手段１６により受付けられる。回答受付手段１６が受けつけたアンケートの回答情報は、暗号化・復号化手段１９により暗号化される。暗号化・復号化手段１９は、暗号化指示情報の付与された設問のみを、暗号キー管理手段２０の管理する暗号キーを用いて暗号化する。したがって、各アンケートの回答情報には、平文のままの回答と暗号化された回答とが混在する。
【００３８】
暗号キー管理手段２０は、暗号キーをアンケートと対応づけて暗号キーデータベース２４に格納して管理している。一の暗号キーは一のアンケートの暗号化にのみ用いられる。
【００３９】
回答管理手段２３は、平文のまま又は暗号化された回答情報を回答データベース６へ送信し、回答データベース６にアンケートと対応づけて格納する。
【００４０】
閲覧クライアント４から所定のアンケートの閲覧要求があった場合、回答管理手段２３は管理している回答情報をアンケートごとに回答データベース６から取得する。そして、暗号化・復号化手段１９に、暗号キー管理手段２０が管理する復号キーによる当該回答情報の復号化を依頼する。本実施の形態では、暗号キーと復号キーが同じものであってもよいし異なっていてもよい。
【００４１】
回答表示手段１８は、暗号化・復号化手段１９が復号化した回答情報を閲覧クライアント４に送信できる形式（例えば、設問欄と回答欄とを一対にするなど）の回答情報に生成し、送信手段１１を介して閲覧クライアント４に送信する。
【００４２】
なお、認証データベース２５、設問データベース１７、又は、暗号キーデータベース２４は、それぞれアンケート実施サーバ５内に存在してもよいし、ネットワークで接続された別の計算機に存在してもよい。
【００４３】
図１のように、暗号キーデータベース２４と回答データベース６とを別体に構成することで、回答データベースが不正にアクセスされても暗号キーを入手しなければ復号化できないので、情報の漏洩を防止しうる。
【００４４】
ところで、図１ではアンケート実施サーバ５が暗号化・復号化手段１９及び回答管理手段２３を有することとしたが、暗号化・復号化手段１９及び回答管理手段２３は、回答データベース６が有していてもよい。図２は、暗号化・復号化手段１９及び回答管理手段２３を回答データベース６が有するアンケート実施システムのシステム構成図を示す。図２において、図１と同一部分には同一の符号を付しその説明は省略する。
【００４５】
図２では、回答データベース６が暗号化・復号化手段１９を有する点で図１と異なる。図２のアンケート実施システムでは、回答情報と共に、暗号キー管理手段２０がアンケートに対応づけて管理する暗号キーが回答データベース６に送信される。回答データベース６が有する暗号化・復号化手段１９は、送信された暗号キーで、暗号化すると判定された回答情報を暗号化し、回答管理手段２３が平文のまま又は暗号化された回答情報を格納する。
【００４６】
また、閲覧クライアント４から所定のアンケートとの閲覧要求があった場合、暗号化・復号化手段１９は、暗号キー管理手段２０が送信する復号キーを受信して、当該アンケートの回答情報を復号化をする。復号化された回答情報は、アンケート実施サーバ５に送信されるので、回答表示手段１８により閲覧クライアント４に送信できる形式に回答情報が生成され、閲覧クライアント４に送信される。
【００４７】
図２のようにアンケート実施システムを構成すれば、回答データベースが暗号化・復号化を行うので、図１のアンケート実施システムと同様に回答情報の漏洩を防止すると共に、アンケート実施サーバ５の負荷を低減できる。
【００４８】
図３は、アンケート実施サーバ５のハードウェア構成図の一例を示す。アンケート実施サーバ５は、それぞれバス３９で相互に接続されているＣＰＵ３１、入出力制御部３２、ドライブ装置３３、通信部３４、主記憶部３５、記憶装置３６、表示制御部３７を有するように構成される。
【００４９】
ＣＰＵ３１は、アンケート実施サーバ５が行う処理を統括的に制御し、例えば、後述のアンケート実施プログラム４０を主記憶部３５にロードして実行する。入出力制御部３２は、キーボード及びマウスなどにより入力される様々な操作指示を処理するために用いられる。通信部３４は、インターネットやＬＡＮなどのネットワークに接続するためのインターフェイスであり、例えばモデム、ルータ等で構成される。主記憶部３５は、オペレーティングシステムやプログラム、データを一時保管する記憶領域である。
【００５０】
ドライブ装置３３は、ＤＶＤ−ＲＯＭやＣＤ−ＲＯＭが挿入可能であり、記録媒体３８からプログラムやデータを読み込み、また記録媒体３８にプログラムやデータを書き込むことも可能である。表示制御部３７は、ＧＵＩ（Ｇｒａｐｈｙｃａｌ Ｕｓｅｒ Ｉｎｔｅｒｆａｃｅ）画面を形成し、操作に必要な各種ウィンドウやデータ等を表示する。
【００５１】
記憶装置３６には、アンケート実施プログラム４０が記録媒体３８やインターネットを介してインストールされている。アンケート実施プログラム４０は、図３のコンピュータを、アンケートに対する回答情報を暗号キーで暗号化する暗号化・復号化手段と、アンケートの設問に対する回答情報を暗号化するか否か設問毎に判定する設問判定手段と、暗号キーデータベースに記憶された暗号キーを各アンケートと対応づけて管理する暗号化・復号キー管理手段と、として機能させる。
【００５２】
続いて上述した図１のアンケート実施システムに基づき、設問を作成する設問作成手順について説明する。図４は、設問作成者の操作により作成された設問情報をアンケート実施サーバ５が設問データベースに格納するフローチャート図を示す。
【００５３】
まず、作成クライアント２は、設問作成者の操作によりアンケート実施サーバ５にログインする（Ｓ１）。設問作成者は、ウェブブラウザを用いてアンケート実施サーバ５のＵＲＬにアクセスし、ログイン用の画面からＩＤやパスワード等の認証情報を入力する。
【００５４】
アンケート実施サーバ５の認証手段１３は、作成クライアント２から送信された認証情報と、認証データベース１７に格納されている当該設問作成者の認証情報とを比較し、認証情報の整合性が得られた場合、作成クライアント２によるアンケート実施システムの利用を許可する（Ｓ２）。
【００５５】
認証された作成クライアント２は、設問作成者の操作により作成又は編集するアンケートの設問作成画面の送信をアンケート実施サーバ５に要求する(Ｓ３)。
【００５６】
設問作成画面の要求を受けた設問作成手段１４は、設問管理手段２２に要求された設問作成の画面情報を要求し、設問管理手段２２は要求されたアンケートの設問作成の画面情報を設問データベース２５より取得し、設問作成手段１４に送出する。設問作成手段１４は、設問作成の画面情報に基づき、設問作成の画面を生成して作成クライアント２に送信する（Ｓ４）。
【００５７】
作成クライアント２は、アンケート実施サーバ５から送信された設問作成の画面を表示する。そして、設問作成の画面から設問作成者の操作により入力された設問を用いて、アンケートの設問を作成する（Ｓ５）。
【００５８】
図５は、作成クライアント２に表示された設問作成のための画面の一例を示す。設問作成の画面は、アンケート実施時に表示されるタイトル、設問の説明、回答欄の入力形式、添付画面など、アンケートを実施するための画面作成や回答の取得に必要な様々な情報を有する。図５の画面の他に、入力制限情報を含める欄を設けてもよいし、その設問が個人情報に当たるかどうか入力する欄を含めることとしてもよい。作成クライアント２は、設問作成者の送信操作があった場合、入力された設問情報を設問作成手段１４に送信する。
【００５９】
設問作成手段１４は、受信した設問情報を設問判定手段２１に送出する。設問判定手段２１は、各設問が個人情報か否か、各設問毎に設問のタイトル、入力制限等から判定する（Ｓ６）。
【００６０】
設問判定手段２１による判定方法は、例えば次のように行う。
(i)設問のタイトルに"氏名""住所""メールアドレス"などを表す特定の文字列が入っている場合は個人情報に当たると判定する。
(ii)入力形式が"メールアドレス""電話番号"であった場合、個人情報に当たると判定する。
【００６１】
設問判定手段２１は、暗号化が必要な設問に対し、暗号化が必要であることを示す暗号化指示情報４１（図５では〔ｃｏｄｅ〕で示した）を付する。
【００６２】
設問作成手段１４は、設問毎に個人情報か否かの判定が終了した設問情報の登録を設問管理手段２２に依頼し、設問管理手段２２は設問データベース２５へ、設問ＩＤや登録日、設問作成者のＩＤ等と対応づけて設問情報を登録する（Ｓ７）。以上で、設問作成者の操作により作成された設問をアンケート実施サーバ５が格納した。
【００６３】
図４の設問作成手順によれば、アンケートが設問として要求する個人情報などを自動的に判別できるので、設問を作成する担当者が意識しなくても重要な情報の安全性を高めることができる。
【００６４】
次に、回答クライアント３が回答した回答情報を回答データベース６に格納する手順について説明する。図６は、回答者の操作により回答された回答をアンケート実施サーバ５が回答データベース６に格納するフローチャート図を示す。
【００６５】
回答者は設問作成者などから電子メールなどでアンケート公開の通知を受けたり、WWWページ上でアンケートのリンクをたどることにより、アンケートのURLを知る。
【００６６】
まず、回答クライアント３は、回答者の操作によりウェブブラウザを起動し指定されたアンケートのURLに接続し、アンケート実施サーバ５にアンケート回答ページの表示を要求する（Ｓ１１）。
【００６７】
設問表示手段１５は、アンケート表示の要求を回答クライアント３から受け、設問管理手段２２に当該アンケートの設問情報を要求する。設問管理手段２２は要求された設問情報を設問データベース２５から取得し、設問表示手段１５に送出する。設問表示手段１５は、取得した当該アンケートの設問情報に基づき、設問欄と回答欄とを一対にするなど回答できる形式に変換し、送信手段１１を介して回答クライアント３に送信する（Ｓ１２）。
【００６８】
回答クライアント３は、アンケートに対して回答者が入力した回答情報をアンケート実施サーバ５へ送信する（Ｓ１３）。回答受付手段１６は、送信された回答情報を暗号化・復号化手段１９へ送出する（Ｓ１４）。
【００６９】
暗号化・復号化手段１９は、暗号キー管理手段２０に暗号キーを要求する。暗号キー管理手段２０はアンケート毎に暗号キーを生成して暗号化・復号化手段１９に送出してもよいし、暗号キーデータベース２４よりアンケートに対応して管理されるアンケートのキーを抽出し、抽出した暗号キーを暗号化・復号化手段１９に送出してもよい。
【００７０】
暗号化・復号化手段１９は、各設問の暗号化必要/不要の情報である暗号化指示情報を参照し、暗号化が必要な設問に対する回答情報のみ、当該暗号キーにより暗号化する（Ｓ１５）。暗号化・復号化手段１９は、アンケート毎に異なる暗号キー及び復号キーを用いるので、仮に一の複合キーが漏洩しても復号化される回答情報を最小限に止めることができる。
【００７１】
暗号化が終了すると暗号化・復号化手段１９は回答管理手段２３に回答情報を送出する。回答管理手段２３は、回答情報をアンケート毎に対応づけて回答データベース６送信し格納する（Ｓ１６）。
【００７２】
図７は、回答データベース６に格納される回答情報の一例を示す。回答Ｎｏは、例えば回答クライアント３による回答順に当該回答情報に付与される連番である。回答情報には、設問毎に回答が記録されている。図７では、＊マークで示された回答は暗号化されていること、すなわち個人情報であることを示す。したがって、回答情報は、暗号化された回答と平文のままの回答が混在している。
【００７３】
図１又は２のアンケート実施システムに示すように、暗号化・復号化手段１９及び暗号キーデータベース２４と、回答データベース６とを分離することにより、回答データベース６に不正にアクセスされても、個人情報などの重要なデータは暗号化されており、復号キーは回答データベース６から取得できないので、個人情報の漏えいを防ぐことが可能である。
【００７４】
また、暗号化するべき情報と暗号化の必要ない情報を判別することにより、暗号化・復号化処理によるシステムの負荷増加を最小限に抑えながら重要な情報の安全性を高めることができる。
【００７５】
また、図２に示すアンケート実施サーバ５の構成であれば、暗号化・復号化を回答データベース６によって行うので、個人情報の安全性を確保したままアンケート実施サーバ５の負荷を減らすことができる。
【００７６】
また、同じアンケート実施システム内で、アンケート毎に暗号キー及び復号キーを管理することにより、所定のアンケートに関連するデータは取得可能であっても、それ以外は取得できないなど、セキュリティを向上できる。アンケート毎に暗号化の方法を変えてもよく、アンケートの重要度に応じて適切な情報アクセス制限を細かく設定することができる。
【００７７】
次に、閲覧クライアント４が回答を閲覧する手順について説明する。図８は、閲覧クライアント４が回答データベース６に格納されたアンケートの回答を閲覧するフローチャート図を示す。
【００７８】
まず、閲覧クライアント４は、閲覧者の操作によりウェブブラウザを起動し指定されたアンケートのURLに接続し、アンケート実施サーバ５にログインする（Ｓ２１）。閲覧者は、ログイン用の画面から認証情報を入力する。
【００７９】
アンケート実施サーバ５の認証手段１３は、閲覧クライアント４から送られた認証情報と、認証データベース１７に格納されている当該閲覧者の認証情報とを比較し、認証情報の整合性が得られた場合、閲覧クライアント４のアンケート実施システムの利用を許可する（Ｓ２２）。
【００８０】
認証された閲覧クライアント４は、閲覧者の操作により閲覧するアンケートの回答情報の送信をアンケート実施サーバ５に要求する(Ｓ２３)。
【００８１】
回答表示手段１８は、認証情報を参照して当該閲覧者がアンケート回答のアクセス権限を有するか否かチェックし、アクセス権限を有していれば回答管理手段２３に回答を要求する。回答管理手段２３は該当するアンケートの回答情報を回答データベース６より抽出し、暗号化・復号化手段へ送出する（Ｓ２４）。
【００８２】
暗号化・復号化手段１９は、暗号キー管理手段２０より復号キーを取得し、該復号キーを用いて暗号化されている回答情報の復号化を行う（Ｓ２５）。暗号化・復号化手段１９は、復号化した回答情報を回答表示手段１８に送出する。
【００８３】
回答表示手段１８は復号化された回答情報を取得し、送信手段１１を介して閲覧クライアント４へ送信する（Ｓ２６）。閲覧クライアント４が受け取る回答情報は閲覧クライアント４にそのまま表示できるＨＴＭＬ形式等であってもよいし、ファイル形式としてダウンロードするものでもよい。以上で、閲覧クライアント４にアンケートの回答が表示された。
【００８４】
以上のように、本実施の形態のアンケート実施システムによれば、暗号化された回答と暗号キーとを別体に備えるので、回答情報が漏洩しても複合キーが漏洩しなければ個人情報の流出を防止できる。また、アンケート毎に暗号キーが異なるので、個人情報の漏洩を最小限に止めることが可能となる。また、暗号化するか否かを自動的に判定するので、暗号化を忘れるといったことを防止できる。また、閲覧者の回答へのアクセス権限をチェックするので、一の閲覧者により大量の回答が入手されることが防止できる。
【図面の簡単な説明】
【００８５】
【図１】アンケート実施システムのシステム構成図である。
【図２】アンケート実施システムのシステム構成図の一例である。
【図３】アンケート実施サーバのハードウェア構成図の一例である。
【図４】作成された設問をアンケート実施サーバが蓄積するフローチャート図である。
【図５】設問作成のための入力画面の一例である。
【図６】回答された回答をアンケート実施サーバが回答データベースに格納するフローチャート図である。
【図７】回答データベースに格納される回答情報の一例である。
【図８】閲覧クライアントがアンケートの回答を閲覧するフローチャート図である。
【符号の説明】
【００８６】
１、７ ネットワーク
２ 作成クライアント
３ 回答クライアント
４ 閲覧クライアント
５ アンケート実施サーバ
６ 回答データベース
１１ 送信手段
１２ 受信手段
１３ 認証手段
１４ 設問作成手段
１５ 設問表示手段
１６ 回答受付手段
１７ 認証データベース
１８ 回答表示手段
１９ 暗号化・復号化手段
２０ 暗号キー管理手段
２１ 設問判定手段
２２ 設問管理手段
２３ 回答管理手段
２４ 暗号キーデータベース
２５ 設問データベース
【特許請求の範囲】
【請求項１】
アンケートを実施するアンケート実施サーバと、該アンケート実施サーバとネットワークを介して接続された前記アンケートに対する回答情報を格納する回答データベースと、を有するアンケート実施システムにおいて、
前記アンケート実施サーバは、前記回答情報を受信する回答情報受信手段と、
暗号キーが格納された暗号キーデータベースと、
前記回答情報受信手段により受信した前記回答情報を、前記暗号データベースに格納された前記暗号キーで暗号化する暗号化・復号化手段と、を有し、
前記回答データベースは、前記アンケート実施サーバから受信した前記暗号化・復号化手段により暗号化された回答情報を格納する、
ことを特徴とするアンケート実施システム。
【請求項２】
前記アンケート実施サーバは、前記回答情報受信手段により受信した前記回答情報を暗号化するか否か設問毎に判定する設問判定手段を有し、
前記暗号化・復号化手段は、前記設問判定手段により暗号化すると判定された前記設問に対する前記回答情報を暗号化する、
ことを特徴とする請求項１記載のアンケート実施システム。
【請求項３】
前記アンケート実施サーバは、
前記暗号キーデータベースに格納された前記暗号キーを各アンケートと対応づけて管理する暗号・復号キー管理手段を有し、
前記暗号化・復号化手段は、前記暗号・復号キー管理手段により管理された前記暗号キーにより、アンケート毎に異なる前記暗号キーを用いて前記回答情報の暗号化を行う、
ことを特徴とする請求項１又は２記載のアンケート実施システム。
【請求項４】
アンケートを提供するアンケート実施サーバと、該アンケート実施サーバとネットワークを介して接続された前記アンケートに対する回答情報を格納する回答データベースと、を有するアンケート実施システムにおいて、
前記アンケート実施サーバは、前記回答情報を受信する回答情報受信手段と、
暗号キーが格納された暗号キーデータベースと、
前記回答情報及び前記暗号キーデータベースに格納された前記暗号キーを前記回答データベースに送信する回答情報送信手段と、を有し、
前記回答データベースは、
前記アンケート実施サーバから前記回答情報及び前記暗号キーを受信する回答情報受信手段と、
前記回答情報受信手段により受信した前記回答情報を前記暗号キーで暗号化する暗号化・復号化手段と、を有する、
ことを特徴とするアンケート実施システム。
【請求項５】
前記アンケート実施サーバは、前記回答情報を暗号化するか否か設問毎に判定する設問判定手段を有し、
前記暗号化・復号化手段は、前記設問判定手段により暗号化すると判定された前記設問に対する前記回答情報を暗号化する、
ことを特徴とする請求項４記載のアンケート実施システム。
【請求項６】
前記アンケート実施サーバは、前記暗号キーデータベースに格納された前記暗号キーを各アンケートと対応づけて管理する暗号・復号キー管理手段を有し、
前記回答情報送信手段は、前記暗号・復号キー管理手段により抽出されたアンケート毎に異なる前記暗号キーを前記回答情報と共に前記回答データベースに送信し、
前記暗号化・復号化手段は、アンケート毎に異なる前記暗号キーにより前記回答情報を暗号化する、
ことを特徴とする請求項４又は５記載のアンケート実施システム。
【請求項７】
アンケートに対する回答情報を記憶する回答データベースとネットワークを介して接続された、アンケートを実施するアンケート実施サーバにおいて、
前記回答情報を受信する回答情報受信手段と、
暗号キーが格納された暗号キーデータベースと、
前記回答情報受信手段により受信した前記回答情報を、前記暗号キーデータベースに格納された前記暗号キーで暗号化する暗号化・復号化手段と、を有し、
前記暗号化・復号化手段により暗号化された前記回答情報を前記回答データベースに送信する、
ことを特徴とするアンケート実施サーバ。
【請求項８】
前記アンケートの設問に対する回答情報を暗号化するか否か設問毎に判定する設問判定手段を有し、
前記暗号化・復号化手段は、前記設問判定手段により暗号化すると判定された前記設問に対する前記回答情報を暗号化する、
ことを特徴とする請求項７記載のアンケート実施サーバ。
【請求項９】
前記暗号キーデータベースに格納された前記暗号キーを各アンケートと対応づけて管理する暗号・復号キー管理手段を有し、
前記暗号化・復号化手段は、前記暗号・復号キー管理手段により管理された前記暗号キーにより、アンケート毎に異なる前記暗号キーを用いて前記回答情報の暗号化を行う、
ことを特徴とする請求項７又は８記載のアンケート実施サーバ。
【請求項１】
アンケートを実施するアンケート実施サーバと、該アンケート実施サーバとネットワークを介して接続された前記アンケートに対する回答情報を格納する回答データベースと、を有するアンケート実施システムにおいて、
前記アンケート実施サーバは、前記回答情報を受信する回答情報受信手段と、
暗号キーが格納された暗号キーデータベースと、
前記回答情報受信手段により受信した前記回答情報を、前記暗号データベースに格納された前記暗号キーで暗号化する暗号化・復号化手段と、を有し、
前記回答データベースは、前記アンケート実施サーバから受信した前記暗号化・復号化手段により暗号化された回答情報を格納する、
ことを特徴とするアンケート実施システム。
【請求項２】
前記アンケート実施サーバは、前記回答情報受信手段により受信した前記回答情報を暗号化するか否か設問毎に判定する設問判定手段を有し、
前記暗号化・復号化手段は、前記設問判定手段により暗号化すると判定された前記設問に対する前記回答情報を暗号化する、
ことを特徴とする請求項１記載のアンケート実施システム。
【請求項３】
前記アンケート実施サーバは、
前記暗号キーデータベースに格納された前記暗号キーを各アンケートと対応づけて管理する暗号・復号キー管理手段を有し、
前記暗号化・復号化手段は、前記暗号・復号キー管理手段により管理された前記暗号キーにより、アンケート毎に異なる前記暗号キーを用いて前記回答情報の暗号化を行う、
ことを特徴とする請求項１又は２記載のアンケート実施システム。
【請求項４】
アンケートを提供するアンケート実施サーバと、該アンケート実施サーバとネットワークを介して接続された前記アンケートに対する回答情報を格納する回答データベースと、を有するアンケート実施システムにおいて、
前記アンケート実施サーバは、前記回答情報を受信する回答情報受信手段と、
暗号キーが格納された暗号キーデータベースと、
前記回答情報及び前記暗号キーデータベースに格納された前記暗号キーを前記回答データベースに送信する回答情報送信手段と、を有し、
前記回答データベースは、
前記アンケート実施サーバから前記回答情報及び前記暗号キーを受信する回答情報受信手段と、
前記回答情報受信手段により受信した前記回答情報を前記暗号キーで暗号化する暗号化・復号化手段と、を有する、
ことを特徴とするアンケート実施システム。
【請求項５】
前記アンケート実施サーバは、前記回答情報を暗号化するか否か設問毎に判定する設問判定手段を有し、
前記暗号化・復号化手段は、前記設問判定手段により暗号化すると判定された前記設問に対する前記回答情報を暗号化する、
ことを特徴とする請求項４記載のアンケート実施システム。
【請求項６】
前記アンケート実施サーバは、前記暗号キーデータベースに格納された前記暗号キーを各アンケートと対応づけて管理する暗号・復号キー管理手段を有し、
前記回答情報送信手段は、前記暗号・復号キー管理手段により抽出されたアンケート毎に異なる前記暗号キーを前記回答情報と共に前記回答データベースに送信し、
前記暗号化・復号化手段は、アンケート毎に異なる前記暗号キーにより前記回答情報を暗号化する、
ことを特徴とする請求項４又は５記載のアンケート実施システム。
【請求項７】
アンケートに対する回答情報を記憶する回答データベースとネットワークを介して接続された、アンケートを実施するアンケート実施サーバにおいて、
前記回答情報を受信する回答情報受信手段と、
暗号キーが格納された暗号キーデータベースと、
前記回答情報受信手段により受信した前記回答情報を、前記暗号キーデータベースに格納された前記暗号キーで暗号化する暗号化・復号化手段と、を有し、
前記暗号化・復号化手段により暗号化された前記回答情報を前記回答データベースに送信する、
ことを特徴とするアンケート実施サーバ。
【請求項８】
前記アンケートの設問に対する回答情報を暗号化するか否か設問毎に判定する設問判定手段を有し、
前記暗号化・復号化手段は、前記設問判定手段により暗号化すると判定された前記設問に対する前記回答情報を暗号化する、
ことを特徴とする請求項７記載のアンケート実施サーバ。
【請求項９】
前記暗号キーデータベースに格納された前記暗号キーを各アンケートと対応づけて管理する暗号・復号キー管理手段を有し、
前記暗号化・復号化手段は、前記暗号・復号キー管理手段により管理された前記暗号キーにより、アンケート毎に異なる前記暗号キーを用いて前記回答情報の暗号化を行う、
ことを特徴とする請求項７又は８記載のアンケート実施サーバ。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【公開番号】特開２００６−２３５７３４（Ｐ２００６−２３５７３４Ａ）
【公開日】平成１８年９月７日（２００６．９．７）
【国際特許分類】
【出願番号】特願２００５−４５９２２（Ｐ２００５−４５９２２）
【出願日】平成１７年２月２２日（２００５．２．２２）
【出願人】（０００００６７４７）株式会社リコー (37,907)
【Ｆターム（参考）】
【公開日】平成１８年９月７日（２００６．９．７）
【国際特許分類】
【出願日】平成１７年２月２２日（２００５．２．２２）
【出願人】（０００００６７４７）株式会社リコー (37,907)
【Ｆターム（参考）】
[ Back to top ]