個人情報管理システム、方法、個人情報データ変換装置、漏洩検出装置、漏洩検出方法、プログラム
【課題】個人情報を漏洩したユーザ情報を特定し、漏洩内容、漏洩規模を把握できる個人情報管理システム、個人情報管理方法、個人情報データ変換装置、漏洩検出装置、漏洩検出方法、プログラムを提供する。
【解決手段】個人情報データ変換装置３０と、アクセスしたユーザ情報を特定する漏洩検出装置５０とを設け、個人情報データ変換装置３０は、同一内容で記述形式が異なるルール形式を蓄積するルール蓄積部３１と、ルール形式を選択するルール選択部３２と、個人情報をルール形式に変換する個人情報データ変換部３３と、変換した個人情報を蓄積するログデータ蓄積部３４とを設ける。
【解決手段】個人情報データ変換装置３０と、アクセスしたユーザ情報を特定する漏洩検出装置５０とを設け、個人情報データ変換装置３０は、同一内容で記述形式が異なるルール形式を蓄積するルール蓄積部３１と、ルール形式を選択するルール選択部３２と、個人情報をルール形式に変換する個人情報データ変換部３３と、変換した個人情報を蓄積するログデータ蓄積部３４とを設ける。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、個人情報管理システム、個人情報管理方法、個人情報データ変換装置、漏洩検出装置、漏洩検出方法、プログラムに関し、特に、ユーザ端末から個人情報にアクセスしたとき、個人情報と同一内容（意味が同一）で記述形式が異なるルール形式で個人情報を変換することにより、個人情報が漏洩した場合、漏洩した個人情報をサンプリングし、個人情報を漏洩したユーザ情報の特定、漏洩内容、漏洩規模などを検出する個人情報管理システム、個人情報管理方法、個人情報データ変換装置、漏洩検出装置、漏洩検出方法、プログラムに関する。
【背景技術】
【０００２】
従来、多くの個人情報漏洩事件において、個人情報事業者は、漏洩を特定できない事象が多く発生している。その理由は、第一にはアクセス先の個人情報データが同一のものであり、どの利用者がアクセスしても同一のデータとなるため、漏洩元が分かりにくいためである。第二にはデータがコピーされ、やりとりされるような場合、アクセスログには残らず、追跡することが困難であるためである。
【０００３】
個人情報を管理している個人情報事業者は、管理している個人情報が漏洩しても、自ら管理している個人情報であるか否かを客観的に検証することができない。また、個人情報事業者は、漏洩情報が、どんな内容で、いつ、どこで、だれによって、どれだけ流出したのかを特定することが困難な状況にある。
【０００４】
通常、個人情報の漏洩が発覚する状況としては、流出した個人情報がその個人情報主体者によって当該事業者にしか開示していない情報である場合、または、個人情報を漏洩した犯人が漏えい事実を肯定した場合である。
【０００５】
事業者としては、個人情報の漏洩が、自ら管理している個人情報であることを確認し、その漏洩の原因、規模などを推定する手段が必要な状況にある。また、このような、推定する手段により、責任の所在、内容と影響、漏洩の規模を検証することができるようになれば、個人情報の漏洩に関する保険の適用を適切な範囲で受けることが可能になる。
【０００６】
そこで、個人情報の漏洩を防止する技術としては、以下のようなものがある（例えば、特許文献１、特許文献２参照。）。
【０００７】
特許文献１記載の技術は、ユーザの趣味、嗜好、病状、悩みなどの個人属性情報を蓄積する個人属性情報データベースを備える第１の管理センタと、ユーザの氏名、住所、電話番号などの個人特定情報を蓄積する個人特定情報データベースを備える第２の管理センタとを設け、ユーザの個人属性情報と個人特定情報とをリンクさせるための指標を付与することにより、ユーザのプライバシーに関する情報が漏洩する危険性を低くするものである。
【０００８】
特許文献２記載の技術は、メールサーバは送信元である第１のユーザから電子メールを受信したとき、アドレス変換装置で送信元のアドレスを別の一時的なアドレスへ変換後、一時的なアドレスによって電子メールの送信元アドレスを置き換え、修正電子メールを生成する。修正電子メールを送信先である第２のユーザへ送信することにより、匿名性を保った電子メールを送信するものである。
【０００９】
【特許文献１】特開２００１ー２９０７６９号公報
【特許文献２】特開２００２ー０７３４７５号公報
【発明の開示】
【発明が解決しようとする課題】
【００１０】
上述の特許文献１記載の技術は、ユーザの個人属性情報と個人特定情報とが一括して漏洩する危険性を下げることはできるが、個人情報を管理する事業者（第１管理センタ、第２管理センタの管理者）は、個人情報を漏洩した端末の特定、漏洩内容、漏洩規模を検出することができない。
【００１１】
特許文献２記載の技術は、送信元の匿名性を保った電子メールを送信先へ送信するため、送信先は、個人情報を再利用するためアクセスしようとしたとき、内容を判別できず、個人情報を利用することができない。また、個人情報を管理する事業者（メールサーバ管理者）は、個人情報を漏洩した端末の特定、漏洩内容、漏洩規模を検出することができない。
【００１２】
従って、特許文献１、２記載の技術は、共に、個人情報の漏洩の事象を把握、分析できないため、漏洩した個人情報が事業者の管理下にある個人情報であるか否かを判断できず、かつ、漏洩した個人情報の漏洩原因の把握、漏洩内容、漏洩規模の推定をできないという課題がある。
【００１３】
本発明の目的は、上記課題を解決すべく、ユーザ端末から個人情報にアクセスしたとき、個人情報と同一内容（意味が同一）で記述形式が異なるルール形式で個人情報を変換することにより、個人情報が漏洩した場合、漏洩した個人情報をサンプリングし、個人情報を漏洩したユーザ情報の特定、漏洩内容、漏洩規模を検出する個人情報管理システム、個人情報管理方法、個人情報データ変換装置、漏洩検出装置、漏洩検出方法、プログラムを提供することにある。
【課題を解決するための手段】
【００１４】
本発明の個人情報管理システムは、個人情報を格納する記憶装置と、個人情報を変換する個人情報データ変換装置と、ネットワークを介して個人情報へアクセスしたユーザ情報を特定する漏洩検出装置とを有する個人情報管理システムであって、個人情報データ変換装置は、同一内容で記述形式が異なるルール形式を蓄積するルール蓄積部と、ルール形式を選択するルール選択部と、個人情報をルール形式に変換する個人情報データ変換部と、変換した個人情報を蓄積するログデータ蓄積部とを有することを特徴とする。
【００１５】
個人情報データ変換部は、ユーザ端末から個人情報へのアクセス要求を受信する受信手段と、個人情報へのアクセス要求を発行し個人情報を取得するファイル取得手段と、取得した個人情報を一時的に保持するファイル保持手段と、ルール蓄積部とルール選択部とを参照して個人情報を選択したルール形式に変換する形式変換手段と、ログデータ蓄積部を参照して過去に変換した個人情報と重複しないように変換生成する変換データ生成手段と、変換生成した個人情報をユーザ端末へ送信する送信手段とを有することを特徴とする。
【００１６】
形式変換手段は、ファイル保持手段で保持している個人情報データを１件ずつ取り出し、選択したルール形式を適用する手段を有することを特徴とする。
【００１７】
ログデータ蓄積部は、変換後の個人情報とユーザ情報とを関連付けて蓄積する変換ファイル／利用者情報格納手段を有することを特徴とする。
【００１８】
ユーザ情報は、ユーザ端末識別手段と、ユーザ識別手段と、アクセス要求内容と、アクセス日時とを有することを特徴とする。
【００１９】
ルール選択部は、乱数を発生する乱数発生手段と、ルール蓄積部から適用するルール形式を選択するルール形式選択手段と、適用するルール形式が存在しないとき選択する無変換ルール選択手段とを有することを特徴とする。
【００２０】
記憶装置は、磁気ディスク装置を有し、磁気ディスク装置は、個人情報データベースを有することを特徴とする。
【００２１】
漏洩検出装置は、個人情報とルール形式とを入力する入力手段と、入力情報とログデータ蓄積部の変換ファイルとを参照するログデータ蓄積部参照手段と、入力情報と合致する変換ファイルを特定するファイル特定手段と、変換ファイルと関連付けているユーザ情報を抽出する利用者特定手段とを有することを特徴とする。
【００２２】
本発明の個人情報管理方法は、個人情報を記憶装置に格納し、個人情報を個人情報データ変換装置により変換し、ネットワークを介して個人情報へアクセスしたユーザ情報を漏洩検出装置により特定する個人情報管理方法であって、個人情報データ変換装置は、同一内容で記述形式が異なるルール形式をルール蓄積部に蓄積するステップと、ルール蓄積部から適用するルール形式をルール選択部により選択するステップと、個人情報データ変換部により個人情報をルール形式に変換するステップと、変換した個人情報をログデータ蓄積部に蓄積するステップとを有することを特徴とする。
【００２３】
個人情報データ変換部は、ユーザ端末から個人情報へのアクセス要求を受信手段により受信するステップと、ファイル取得手段により個人情報へのアクセス要求を発行し個人情報を取得するステップと、取得した個人情報をファイル保持手段により一時的に保持するステップと、ルール蓄積部とルール選択部とを参照して形式変換手段により個人情報を選択したルール形式に変換するステップと、変換データ生成手段によりログデータ蓄積部を参照して過去に変換した個人情報と重複しないように変換生成するステップと、変換生成した個人情報を送信手段によりユーザ端末へ送信するステップとを有することを特徴とする。
【００２４】
形式変換手段は、ファイル保持手段で保持している個人情報データを１件ずつ取り出し、選択したルール形式を適用するステップを有することを特徴とする。
【００２５】
ログデータ蓄積部は、変換ファイル／利用者情報格納手段により変換後の個人情報とユーザ情報とを関連付けて蓄積するステップを有することを特徴とする。
【００２６】
本発明の個人情報データ変換装置は、個人情報を格納する記憶装置とネットワークを介して個人情報へアクセスしたユーザ情報を特定する漏洩検出装置とに接続し個人情報を変換する個人情報データ変換装置であって、同一内容で記述形式が異なるルール形式を蓄積するルール蓄積部と、ルール蓄積部から適用するルール形式を選択するルール選択部と、個人情報をルール形式に変換する個人情報データ変換部と、変換した個人情報を蓄積するログデータ蓄積部とを有することを特徴とする。
【００２７】
個人情報データ変換部は、ユーザ端末から個人情報へのアクセス要求を受信する受信手段と、個人情報へのアクセス要求を発行し個人情報を取得するファイル取得手段と、取得した個人情報を一時的に保持するファイル保持手段と、ルール蓄積部とルール選択部とを参照して個人情報を選択したルール形式に変換する形式変換手段と、ログデータ蓄積部を参照して過去に変換した個人情報と重複しないように変換生成する変換データ生成手段と、変換生成した個人情報をユーザ端末へ送信する送信手段とを有することを特徴とする。
【００２８】
形式変換手段は、ファイル保持手段で保持している個人情報データを１件ずつ取り出し、選択したルール形式を適用する手段を有することを特徴とする。
【００２９】
ログデータ蓄積部は、変換後の個人情報とユーザ情報とを関連付けて蓄積する変換ファイル／利用者情報格納手段を有することを特徴とする。
【００３０】
本発明の漏洩検出装置は、記憶装置に格納する個人情報を変換する個人情報データ変換装置と接続し、ネットワークを介して個人情報へアクセスしたユーザ情報を特定する漏洩検出装置であって、個人情報と同一内容で記述形式が異なるルール形式とを入力する入力手段と、入力情報と変換した個人情報を蓄積するログデータ蓄積部の変換ファイルとを参照するログデータ蓄積部参照手段と、入力情報と合致する変換ファイルを特定するファイル特定手段と、変換ファイルと関連付けているユーザ情報をログデータ蓄積部の変換ファイル／利用者情報格納手段から抽出する利用者特定手段とを有することを特徴とする。
【００３１】
本発明の漏洩検出方法は、記憶装置に格納する個人情報を変換する個人情報データ変換装置と接続し、ネットワークを介して個人情報へアクセスしたユーザ情報を特定する漏洩検出方法であって、個人情報と同一内容で記述形式が異なるルール形式とを入力手段により入力するステップと、入力情報と変換した個人情報を蓄積するログデータ蓄積部の変換ファイルとをログデータ蓄積部参照手段により参照するステップと、入力情報と合致する変換ファイルをファイル特定手段により特定するステップと、変換ファイルと関連付けているユーザ情報をログデータ蓄積部の変換ファイル／利用者情報格納手段から利用者特定手段により抽出するステップとを有することを特徴とする。
【００３２】
本発明の個人情報管理システム用プログラムは、個人情報を格納する記憶装置と、個人情報を変換する個人情報データ変換装置と、ネットワークを介して個人情報へアクセスしたユーザ情報を特定する漏洩検出装置とを有する個人情報管理システム用プログラムであって、コンピュータを、同一内容で記述形式が異なるルール形式を蓄積するルール蓄積手段、ルール蓄積手段から適用するルール形式を選択するルール選択手段、個人情報をルール形式に変換する個人情報データ変換手段、変換した個人情報を蓄積するログデータ蓄積手段として機能させることを特徴とする。
【００３３】
個人情報データ変換手段は、ユーザ端末から個人情報へのアクセス要求を受信する受信手段と、個人情報へのアクセス要求を発行し個人情報を取得するファイル取得手段と、取得した個人情報を一時的に保持するファイル保持手段と、ルール蓄積部とルール選択部とを参照して個人情報を選択したルール形式に変換する形式変換手段と、ログデータ蓄積部を参照して過去に変換した個人情報と重複しないように変換生成する変換データ生成手段と、変換生成した個人情報をユーザ端末へ送信する送信手段として機能させることを特徴とする。
【００３４】
本発明の漏洩検出装置用プログラムは、記憶装置に格納する個人情報を変換する個人情報データ変換装置と接続し、ネットワークを介して個人情報へアクセスしたユーザ情報を特定する漏洩検出装置用プログラムであって、コンピュータを、個人情報と同一内容で記述形式が異なるルール形式とを入力する入力手段と、入力情報と変換した個人情報を蓄積するログデータ蓄積部の変換ファイルとを参照するログデータ蓄積部参照手段と、入力情報と合致する変換ファイルを特定するファイル特定手段と、変換ファイルと関連付けているユーザ情報をログデータ蓄積部の変換ファイル／利用者情報格納手段から抽出する利用者特定手段として機能させることを特徴とする。
【発明の効果】
【００３５】
本発明の個人情報管理システム、個人情報管理方法、個人情報データ変換装置、漏洩検出装置、漏洩検出方法、プログラムによれば、ユーザ端末から個人情報にアクセスしたとき、個人情報と同一内容で記述形式が異なるルール形式で個人情報を変換することにより、個人情報が漏洩した場合、個人情報を漏洩したユーザ情報の特定、漏洩内容、漏洩規模を把握することができるという効果がある。
【発明を実施するための最良の形態】
【００３６】
次に、本発明を実施するための最良の形態について図面を参照して詳細に説明する。
【００３７】
図１は、本発明の個人情報管理システム１０の使用形態を示す概略構成ブロック図、図２は、図１中の個人情報データ変換部３３の構成ブロック図、図３は、図１中のルール選択部３２の構成ブロック図、図４は、図１中ログデータ蓄積部３４の構成ブロック図、図５は、図１中の漏洩検出装置５０の構成ブロック図である。
【００３８】
図１〜図５を参照すると、個人情報管理システム１０は、個人情報データベース（個人情報ＤＢ）２０１に個人情報を格納する磁気ディスク装置２０と、個人情報を変換する個人情報データ変換装置３０と、ユーザ端末４０からネットワーク１００を介して個人情報へアクセスしたユーザ情報を特定する漏洩検出装置５０とで構成する。個人情報管理システム１０とユーザ端末４０とは、イントラネットなどのネットワーク１００を介して相互に接続し、ユーザ端末４０は、個人情報データ変換システム３０を介して個人情報ＤＢ２０１へアクセスするよう構成する。
【００３９】
個人情報データ変換装置３０は、同一内容（意味同一）で記述形式が異なるルール形式を蓄積するルール蓄積部３１と、ルール形式を選択するルール選択部３２と、個人情報をルール形式に変換する個人情報データ変換部３３と、変換した個人情報を蓄積するログデータ蓄積部３４とで構成する。
【００４０】
個人情報データ変換部３３は、ユーザ端末４０から個人情報へのアクセス要求を受信する受信手段３３１と、個人情報へのアクセス要求を発行しアクセス要求に対応する個人情報の集合（以下、ファイルと称す）を取得するファイル取得手段３３２と、取得したファイルの各個人情報を一時的に保持するファイル保持手段３３３と、ルール蓄積部３１とルール選択部３２とを参照して各個人情報を選択したルール形式に変換する形式変換手段３３４と、ログデータ蓄積部３４を参照して過去に変換した個人情報のファイルと重複しないように変換生成する変換データ生成手段３３５と、変換生成した個人情報のファイルをユーザ端末４０へ送信する送信手段３３６とで構成する。
【００４１】
ログデータ蓄積部３４は、変換後の個人情報のファイルとユーザ情報とを関連付けて蓄積する変換ファイル／利用者情報格納手段を設けて構成する。
【００４２】
ルール選択部３２は、乱数を発生する乱数発生手段３２１と、ルール蓄積部３１から適用するルール形式を選択するルール形式選択手段３２３と、適用するルール形式が存在しないとき選択する無変換ルール選択手段３２２とで構成する。
【００４３】
漏洩検出装置５０は、個人情報とルール形式とを入力する入力手段５１と、入力情報とログデータ蓄積部３４の変換ファイルとを参照するログデータ蓄積部参照手段５２と、入力情報と合致する変換ファイルを特定するファイル特定手段５３と、変換ファイルと関連付けているユーザ情報を抽出する利用者特定手段５４とで構成する。
【００４４】
なお、ユーザ情報は、ユーザ端末識別手段（ユーザ端末４０を一意に識別する番号）、ユーザ識別手段（ユーザを一意に識別するユーザ識別子：ユーザＩＤ）、アクセス要求内容、アクセス日時とを含む。
【００４５】
次に、個人情報データ変換装置３０で、個人情報を同一内容（意味が同一）で記述形式が異なるように変換するルール形式について説明する。
【００４６】
ここに、個人情報データとは、コンピュータ上に置かれたコードデータである。個人情報は、一般的に、個人を特定する情報であり、住民基本台帳などの住民情報がこれに該当する。
【００４７】
住民情報の基本４情報は、住所、氏名、性別、生年月日である。例えば、住所に関して、５丁目７番地３号について、五丁目七番地三号、五丁目七ー三、五丁目７ー３、五の七の三、五ー七ー三、５の７の３、５ー７ー３などと記述形式を変更しても、慣習的に同一内容（意味は同一）として扱う。また、アラビア数字やハイフォンに関して、全角文字、半角文字を適用しても意味は同一として扱う。さらに、２桁以上の漢数字について、たとえば、１６を十六、一六、１２３を百二十三、一二三などと記述形式を変更しても、慣習的に同一内容として扱う。郵便番号がある場合は、都道府県を省略してもしなくても住所を認識できる。
【００４８】
電話番号も個人情報を成す一情報である。電話番号に関しても、０３ー１２３４ー５６７８について、０３（１２３４）５６７８、０３ １２３４ ５６７８、０３１２３４５６７８などとしても、意味は同一として扱う。また、アラビア数字、括弧、ハイフォン、空白に関して、全角文字、半角文字の利用を適用しても意味は同一として扱う。
【００４９】
個人情報ＤＢ２０１に格納する個人情報（たとえば、ここでは５０００件以上の個人情報）に対して、上記のルール形式による変換をランダムに適用し、アクセス要求に対応するファイル毎に過去の変換結果と同一にならないように操作する。
【００５０】
この操作により、ユーザ端末４０からのアクセス要求毎に異なる個人情報データのファイルを生成し、生成したファイルに対してアクセスしたユーザ情報を関連付けることにより、個人情報が漏洩したときに、利用者情報（ユーザ情報）を追跡できるようにする。
【００５１】
なお、個人情報データの５０００件は、個人情報保護法にて管理の対象として定義されている数量である。容易に検索できるような形式で５０００件以上の個人情報データを管理する場合には、その個人情報データに関し、管理する義務が発生するので、これを一つの目安とする。もちろん、個人情報ＤＢ２０１の個人情報データの大きさを５０００件以下にしてもよいことは云うまでもない。
【００５２】
次に、上述のように構成した個人情報管理システム１０の動作について、図面を参照して説明する。
【００５３】
図６は、個人情報管理システム１０の動作を説明するためのフローチャートである。
【００５４】
図６を参照すると、まず、利用者は、ユーザ端末４０からネットワーク１００を介して必要な個人情報データのアクセス要求を個人情報データ管理システム１０に送信する。個人情報データ管理システム１０は、アクセス要求を個人情報データ変換部３３の受信手段３３１で受信する（ステップＳ１）。ユーザ端末４０からのアクセス要求は、例えば、住所が東京都である個人情報データを要求することになる。
【００５５】
個人情報データ変換部３３は、アクセス要求を受信すると、ファイル取得手段３３２により、個人情報ＤＢ２０１に対して個人情報データのアクセス要求を発行し、個人情報データのファイルを取得する。取得した個人情報データのファイルは、一時的にファイル保持手段３３３で保持する（ステップＳ２）。
【００５６】
ルール選択部３２は、乱数発生手段３２１により乱数を発生し、ルール蓄積部３１から適用するルール形式を選択する。形式変換手段３３４は、保持している個人情報データを１件ずつ取出し、個人情報データに選択したルール形式を適用する（ステップＳ３）。
【００５７】
なお、ルール蓄積部３１に格納しているルール形式の何れもが当てはまらない場合、無変換ルール選択手段３２２により、無変換の処理を行うルール形式を適用する。
【００５８】
形式変換手段３３４は、ファイル保持手段３３３で保持しているファイルの個人情報データ全ての変換処理の適用が完了したか否かを判断する（ステップＳ４）。
【００５９】
変換処理の適用が完了のとき、変換データ生成手段３３５は、過去のファイルを保存しているログデータ蓄積部３４を参照して、変換が終了した個人情報データのファイルと同一のファイルが存在するか否かを調べる（ステップＳ５）。変換処理の適用が完了していないときは、上記（ステップＳ３）に戻る。
【００６０】
同一のファイルが存在するとき、変換データ生成手段３３５は、個人情報データのファイルを初期状態にリセットし（個人情報ＤＢ２０１から取得した個人情報データのファイルに戻す）、上記（ステップＳ３）に戻り（ステップＳ６）、再度ルール形式の適用を図る。
【００６１】
同一のファイルが存在しないとき、変換ファイル／利用者情報格納手段３４１は、変換が終了した個人情報データのファイルをユーザ情報と関連付けてログデータ蓄積部３４に蓄積する（ステップＳ７）。
【００６２】
なお、変換データ生成手段３３５による同一のファイルか存在するか否かの判定は、変換した個人情報データの全てが一致する過去のファイルがログデータ蓄積部３４に存在するか否かで判定する。
【００６３】
送信手段３３６は、変換した個人情報データをアクセス要求したユーザ端末４０に送信する（ステップＳ８）。
【００６４】
次に、漏洩検出装置５０の動作について、図面を参照して説明する。
【００６５】
図７は、漏洩検出装置５０の動作を説明するためのフローチャートである。
【００６６】
図７を参照すると、漏洩検出装置５０は、入力手段５１により、漏洩したと疑われる個人情報データとルール形式を調査し、入力する（ステップＴ１）。ここでは先ず、変換後の個人情報データが判明している場合について述べる。
【００６７】
漏洩したと疑われる個人情報データの入力情報とログデータ蓄積部３４に蓄積した変換ファイル群の個人情報データとをログデータ蓄積部参照手段５２により参照し、入力情報を含むファイルを検索し絞り込む（ステップＴ２）。
【００６８】
ファイル特定手段５３によりファイルを特定できたか否かを判定し（ステップＴ３）、ファイルを特定できたとき、利用者特定手段５４によりファイルに関連付けられている利用者情報を抽出する（ステップＴ４）。
【００６９】
上記（ステップＴ３）において、入力情報からファイルを特定できない場合は、上記（ステップＴ１）に戻り、漏洩したと疑われる別人の個人情報データのサンプルを追加して入力する。
【００７０】
利用者情報を抽出することにより、個人情報管理システム１０の管理者は、漏洩した個人情報のファイルと漏洩したファイルにアクセスしたユーザ情報とを特定できる。
【００７１】
なお、漏洩したと疑われる個人情報データとルール形式を調査し、変換後の個人情報データが不明の場合、例えば、個人情報の漏洩の疑義を唱える者の変換後の住所データが不明のとき、上記（ステップＴ１）で疑義者の住所を任意のルール形式で変換して入力する。
【００７２】
上記（ステップＴ３）において、入力情報からファイルを特定できない場合は、上記（ステップＴ１）に戻り、個人情報データ（住所データ）を異なるルール形式に変換して入力する。
【００７３】
上述のように、個人情報管理システム１０は、漏洩検出装置５０により漏洩した個人情報のファイルと漏洩したファイルにアクセスしたユーザ情報とを特定でき、漏洩した個人情報の内容、規模、原因（漏洩発生元ユーザ端末４０）を把握できる。
【００７４】
また、個人情報漏洩に対する保険に加入している場合、漏洩の事実、内容、規模を証明できることで、適切な範囲で保険の適用を受けることができる。
【図面の簡単な説明】
【００７５】
【図１】本発明の個人情報管理システムの使用形態を示す概略構成ブロック図である。
【図２】図１中の個人情報データ変換部の構成ブロック図である。
【図３】図１中のルール選択部の構成ブロック図である。
【図４】図１中ログデータ蓄積部の構成ブロック図である。
【図５】図１中の漏洩検出装置の構成ブロック図である。
【図６】個人情報管理システムの動作を説明するためのフローチャートである。
【図７】漏洩検出装置の動作を説明するためのフローチャートである。
【符号の説明】
【００７６】
１０ 個人情報管理システム
２０ 磁気ディスク装置
２０１ 個人情報ＤＢ
３０ 個人情報データ変換装置
３１ ルール蓄積部
３２ ルール選択部
３２１ 乱数発生手段
３２２ 無変換ルール選択手段
３２３ ルール形式選択手段
３３ 個人情報データ変換部
３３１ 受信手段
３３２ ファイル取得手段
３３３ ファイル保持手段
３３４ 形式変換手段
３３５ 変換データ生成手段
３３６ 送信手段
３４ ログデータ蓄積部
３４１ 変換ファイル／利用者情報格納手段
４０ ユーザ端末
５０ 漏洩検出装置
５１ 入力手段
５２ ログデータ蓄積部参照手段
５３ ファイル特定手段
５４ 利用者特定手段
１００ ネットワーク
【技術分野】
【０００１】
本発明は、個人情報管理システム、個人情報管理方法、個人情報データ変換装置、漏洩検出装置、漏洩検出方法、プログラムに関し、特に、ユーザ端末から個人情報にアクセスしたとき、個人情報と同一内容（意味が同一）で記述形式が異なるルール形式で個人情報を変換することにより、個人情報が漏洩した場合、漏洩した個人情報をサンプリングし、個人情報を漏洩したユーザ情報の特定、漏洩内容、漏洩規模などを検出する個人情報管理システム、個人情報管理方法、個人情報データ変換装置、漏洩検出装置、漏洩検出方法、プログラムに関する。
【背景技術】
【０００２】
従来、多くの個人情報漏洩事件において、個人情報事業者は、漏洩を特定できない事象が多く発生している。その理由は、第一にはアクセス先の個人情報データが同一のものであり、どの利用者がアクセスしても同一のデータとなるため、漏洩元が分かりにくいためである。第二にはデータがコピーされ、やりとりされるような場合、アクセスログには残らず、追跡することが困難であるためである。
【０００３】
個人情報を管理している個人情報事業者は、管理している個人情報が漏洩しても、自ら管理している個人情報であるか否かを客観的に検証することができない。また、個人情報事業者は、漏洩情報が、どんな内容で、いつ、どこで、だれによって、どれだけ流出したのかを特定することが困難な状況にある。
【０００４】
通常、個人情報の漏洩が発覚する状況としては、流出した個人情報がその個人情報主体者によって当該事業者にしか開示していない情報である場合、または、個人情報を漏洩した犯人が漏えい事実を肯定した場合である。
【０００５】
事業者としては、個人情報の漏洩が、自ら管理している個人情報であることを確認し、その漏洩の原因、規模などを推定する手段が必要な状況にある。また、このような、推定する手段により、責任の所在、内容と影響、漏洩の規模を検証することができるようになれば、個人情報の漏洩に関する保険の適用を適切な範囲で受けることが可能になる。
【０００６】
そこで、個人情報の漏洩を防止する技術としては、以下のようなものがある（例えば、特許文献１、特許文献２参照。）。
【０００７】
特許文献１記載の技術は、ユーザの趣味、嗜好、病状、悩みなどの個人属性情報を蓄積する個人属性情報データベースを備える第１の管理センタと、ユーザの氏名、住所、電話番号などの個人特定情報を蓄積する個人特定情報データベースを備える第２の管理センタとを設け、ユーザの個人属性情報と個人特定情報とをリンクさせるための指標を付与することにより、ユーザのプライバシーに関する情報が漏洩する危険性を低くするものである。
【０００８】
特許文献２記載の技術は、メールサーバは送信元である第１のユーザから電子メールを受信したとき、アドレス変換装置で送信元のアドレスを別の一時的なアドレスへ変換後、一時的なアドレスによって電子メールの送信元アドレスを置き換え、修正電子メールを生成する。修正電子メールを送信先である第２のユーザへ送信することにより、匿名性を保った電子メールを送信するものである。
【０００９】
【特許文献１】特開２００１ー２９０７６９号公報
【特許文献２】特開２００２ー０７３４７５号公報
【発明の開示】
【発明が解決しようとする課題】
【００１０】
上述の特許文献１記載の技術は、ユーザの個人属性情報と個人特定情報とが一括して漏洩する危険性を下げることはできるが、個人情報を管理する事業者（第１管理センタ、第２管理センタの管理者）は、個人情報を漏洩した端末の特定、漏洩内容、漏洩規模を検出することができない。
【００１１】
特許文献２記載の技術は、送信元の匿名性を保った電子メールを送信先へ送信するため、送信先は、個人情報を再利用するためアクセスしようとしたとき、内容を判別できず、個人情報を利用することができない。また、個人情報を管理する事業者（メールサーバ管理者）は、個人情報を漏洩した端末の特定、漏洩内容、漏洩規模を検出することができない。
【００１２】
従って、特許文献１、２記載の技術は、共に、個人情報の漏洩の事象を把握、分析できないため、漏洩した個人情報が事業者の管理下にある個人情報であるか否かを判断できず、かつ、漏洩した個人情報の漏洩原因の把握、漏洩内容、漏洩規模の推定をできないという課題がある。
【００１３】
本発明の目的は、上記課題を解決すべく、ユーザ端末から個人情報にアクセスしたとき、個人情報と同一内容（意味が同一）で記述形式が異なるルール形式で個人情報を変換することにより、個人情報が漏洩した場合、漏洩した個人情報をサンプリングし、個人情報を漏洩したユーザ情報の特定、漏洩内容、漏洩規模を検出する個人情報管理システム、個人情報管理方法、個人情報データ変換装置、漏洩検出装置、漏洩検出方法、プログラムを提供することにある。
【課題を解決するための手段】
【００１４】
本発明の個人情報管理システムは、個人情報を格納する記憶装置と、個人情報を変換する個人情報データ変換装置と、ネットワークを介して個人情報へアクセスしたユーザ情報を特定する漏洩検出装置とを有する個人情報管理システムであって、個人情報データ変換装置は、同一内容で記述形式が異なるルール形式を蓄積するルール蓄積部と、ルール形式を選択するルール選択部と、個人情報をルール形式に変換する個人情報データ変換部と、変換した個人情報を蓄積するログデータ蓄積部とを有することを特徴とする。
【００１５】
個人情報データ変換部は、ユーザ端末から個人情報へのアクセス要求を受信する受信手段と、個人情報へのアクセス要求を発行し個人情報を取得するファイル取得手段と、取得した個人情報を一時的に保持するファイル保持手段と、ルール蓄積部とルール選択部とを参照して個人情報を選択したルール形式に変換する形式変換手段と、ログデータ蓄積部を参照して過去に変換した個人情報と重複しないように変換生成する変換データ生成手段と、変換生成した個人情報をユーザ端末へ送信する送信手段とを有することを特徴とする。
【００１６】
形式変換手段は、ファイル保持手段で保持している個人情報データを１件ずつ取り出し、選択したルール形式を適用する手段を有することを特徴とする。
【００１７】
ログデータ蓄積部は、変換後の個人情報とユーザ情報とを関連付けて蓄積する変換ファイル／利用者情報格納手段を有することを特徴とする。
【００１８】
ユーザ情報は、ユーザ端末識別手段と、ユーザ識別手段と、アクセス要求内容と、アクセス日時とを有することを特徴とする。
【００１９】
ルール選択部は、乱数を発生する乱数発生手段と、ルール蓄積部から適用するルール形式を選択するルール形式選択手段と、適用するルール形式が存在しないとき選択する無変換ルール選択手段とを有することを特徴とする。
【００２０】
記憶装置は、磁気ディスク装置を有し、磁気ディスク装置は、個人情報データベースを有することを特徴とする。
【００２１】
漏洩検出装置は、個人情報とルール形式とを入力する入力手段と、入力情報とログデータ蓄積部の変換ファイルとを参照するログデータ蓄積部参照手段と、入力情報と合致する変換ファイルを特定するファイル特定手段と、変換ファイルと関連付けているユーザ情報を抽出する利用者特定手段とを有することを特徴とする。
【００２２】
本発明の個人情報管理方法は、個人情報を記憶装置に格納し、個人情報を個人情報データ変換装置により変換し、ネットワークを介して個人情報へアクセスしたユーザ情報を漏洩検出装置により特定する個人情報管理方法であって、個人情報データ変換装置は、同一内容で記述形式が異なるルール形式をルール蓄積部に蓄積するステップと、ルール蓄積部から適用するルール形式をルール選択部により選択するステップと、個人情報データ変換部により個人情報をルール形式に変換するステップと、変換した個人情報をログデータ蓄積部に蓄積するステップとを有することを特徴とする。
【００２３】
個人情報データ変換部は、ユーザ端末から個人情報へのアクセス要求を受信手段により受信するステップと、ファイル取得手段により個人情報へのアクセス要求を発行し個人情報を取得するステップと、取得した個人情報をファイル保持手段により一時的に保持するステップと、ルール蓄積部とルール選択部とを参照して形式変換手段により個人情報を選択したルール形式に変換するステップと、変換データ生成手段によりログデータ蓄積部を参照して過去に変換した個人情報と重複しないように変換生成するステップと、変換生成した個人情報を送信手段によりユーザ端末へ送信するステップとを有することを特徴とする。
【００２４】
形式変換手段は、ファイル保持手段で保持している個人情報データを１件ずつ取り出し、選択したルール形式を適用するステップを有することを特徴とする。
【００２５】
ログデータ蓄積部は、変換ファイル／利用者情報格納手段により変換後の個人情報とユーザ情報とを関連付けて蓄積するステップを有することを特徴とする。
【００２６】
本発明の個人情報データ変換装置は、個人情報を格納する記憶装置とネットワークを介して個人情報へアクセスしたユーザ情報を特定する漏洩検出装置とに接続し個人情報を変換する個人情報データ変換装置であって、同一内容で記述形式が異なるルール形式を蓄積するルール蓄積部と、ルール蓄積部から適用するルール形式を選択するルール選択部と、個人情報をルール形式に変換する個人情報データ変換部と、変換した個人情報を蓄積するログデータ蓄積部とを有することを特徴とする。
【００２７】
個人情報データ変換部は、ユーザ端末から個人情報へのアクセス要求を受信する受信手段と、個人情報へのアクセス要求を発行し個人情報を取得するファイル取得手段と、取得した個人情報を一時的に保持するファイル保持手段と、ルール蓄積部とルール選択部とを参照して個人情報を選択したルール形式に変換する形式変換手段と、ログデータ蓄積部を参照して過去に変換した個人情報と重複しないように変換生成する変換データ生成手段と、変換生成した個人情報をユーザ端末へ送信する送信手段とを有することを特徴とする。
【００２８】
形式変換手段は、ファイル保持手段で保持している個人情報データを１件ずつ取り出し、選択したルール形式を適用する手段を有することを特徴とする。
【００２９】
ログデータ蓄積部は、変換後の個人情報とユーザ情報とを関連付けて蓄積する変換ファイル／利用者情報格納手段を有することを特徴とする。
【００３０】
本発明の漏洩検出装置は、記憶装置に格納する個人情報を変換する個人情報データ変換装置と接続し、ネットワークを介して個人情報へアクセスしたユーザ情報を特定する漏洩検出装置であって、個人情報と同一内容で記述形式が異なるルール形式とを入力する入力手段と、入力情報と変換した個人情報を蓄積するログデータ蓄積部の変換ファイルとを参照するログデータ蓄積部参照手段と、入力情報と合致する変換ファイルを特定するファイル特定手段と、変換ファイルと関連付けているユーザ情報をログデータ蓄積部の変換ファイル／利用者情報格納手段から抽出する利用者特定手段とを有することを特徴とする。
【００３１】
本発明の漏洩検出方法は、記憶装置に格納する個人情報を変換する個人情報データ変換装置と接続し、ネットワークを介して個人情報へアクセスしたユーザ情報を特定する漏洩検出方法であって、個人情報と同一内容で記述形式が異なるルール形式とを入力手段により入力するステップと、入力情報と変換した個人情報を蓄積するログデータ蓄積部の変換ファイルとをログデータ蓄積部参照手段により参照するステップと、入力情報と合致する変換ファイルをファイル特定手段により特定するステップと、変換ファイルと関連付けているユーザ情報をログデータ蓄積部の変換ファイル／利用者情報格納手段から利用者特定手段により抽出するステップとを有することを特徴とする。
【００３２】
本発明の個人情報管理システム用プログラムは、個人情報を格納する記憶装置と、個人情報を変換する個人情報データ変換装置と、ネットワークを介して個人情報へアクセスしたユーザ情報を特定する漏洩検出装置とを有する個人情報管理システム用プログラムであって、コンピュータを、同一内容で記述形式が異なるルール形式を蓄積するルール蓄積手段、ルール蓄積手段から適用するルール形式を選択するルール選択手段、個人情報をルール形式に変換する個人情報データ変換手段、変換した個人情報を蓄積するログデータ蓄積手段として機能させることを特徴とする。
【００３３】
個人情報データ変換手段は、ユーザ端末から個人情報へのアクセス要求を受信する受信手段と、個人情報へのアクセス要求を発行し個人情報を取得するファイル取得手段と、取得した個人情報を一時的に保持するファイル保持手段と、ルール蓄積部とルール選択部とを参照して個人情報を選択したルール形式に変換する形式変換手段と、ログデータ蓄積部を参照して過去に変換した個人情報と重複しないように変換生成する変換データ生成手段と、変換生成した個人情報をユーザ端末へ送信する送信手段として機能させることを特徴とする。
【００３４】
本発明の漏洩検出装置用プログラムは、記憶装置に格納する個人情報を変換する個人情報データ変換装置と接続し、ネットワークを介して個人情報へアクセスしたユーザ情報を特定する漏洩検出装置用プログラムであって、コンピュータを、個人情報と同一内容で記述形式が異なるルール形式とを入力する入力手段と、入力情報と変換した個人情報を蓄積するログデータ蓄積部の変換ファイルとを参照するログデータ蓄積部参照手段と、入力情報と合致する変換ファイルを特定するファイル特定手段と、変換ファイルと関連付けているユーザ情報をログデータ蓄積部の変換ファイル／利用者情報格納手段から抽出する利用者特定手段として機能させることを特徴とする。
【発明の効果】
【００３５】
本発明の個人情報管理システム、個人情報管理方法、個人情報データ変換装置、漏洩検出装置、漏洩検出方法、プログラムによれば、ユーザ端末から個人情報にアクセスしたとき、個人情報と同一内容で記述形式が異なるルール形式で個人情報を変換することにより、個人情報が漏洩した場合、個人情報を漏洩したユーザ情報の特定、漏洩内容、漏洩規模を把握することができるという効果がある。
【発明を実施するための最良の形態】
【００３６】
次に、本発明を実施するための最良の形態について図面を参照して詳細に説明する。
【００３７】
図１は、本発明の個人情報管理システム１０の使用形態を示す概略構成ブロック図、図２は、図１中の個人情報データ変換部３３の構成ブロック図、図３は、図１中のルール選択部３２の構成ブロック図、図４は、図１中ログデータ蓄積部３４の構成ブロック図、図５は、図１中の漏洩検出装置５０の構成ブロック図である。
【００３８】
図１〜図５を参照すると、個人情報管理システム１０は、個人情報データベース（個人情報ＤＢ）２０１に個人情報を格納する磁気ディスク装置２０と、個人情報を変換する個人情報データ変換装置３０と、ユーザ端末４０からネットワーク１００を介して個人情報へアクセスしたユーザ情報を特定する漏洩検出装置５０とで構成する。個人情報管理システム１０とユーザ端末４０とは、イントラネットなどのネットワーク１００を介して相互に接続し、ユーザ端末４０は、個人情報データ変換システム３０を介して個人情報ＤＢ２０１へアクセスするよう構成する。
【００３９】
個人情報データ変換装置３０は、同一内容（意味同一）で記述形式が異なるルール形式を蓄積するルール蓄積部３１と、ルール形式を選択するルール選択部３２と、個人情報をルール形式に変換する個人情報データ変換部３３と、変換した個人情報を蓄積するログデータ蓄積部３４とで構成する。
【００４０】
個人情報データ変換部３３は、ユーザ端末４０から個人情報へのアクセス要求を受信する受信手段３３１と、個人情報へのアクセス要求を発行しアクセス要求に対応する個人情報の集合（以下、ファイルと称す）を取得するファイル取得手段３３２と、取得したファイルの各個人情報を一時的に保持するファイル保持手段３３３と、ルール蓄積部３１とルール選択部３２とを参照して各個人情報を選択したルール形式に変換する形式変換手段３３４と、ログデータ蓄積部３４を参照して過去に変換した個人情報のファイルと重複しないように変換生成する変換データ生成手段３３５と、変換生成した個人情報のファイルをユーザ端末４０へ送信する送信手段３３６とで構成する。
【００４１】
ログデータ蓄積部３４は、変換後の個人情報のファイルとユーザ情報とを関連付けて蓄積する変換ファイル／利用者情報格納手段を設けて構成する。
【００４２】
ルール選択部３２は、乱数を発生する乱数発生手段３２１と、ルール蓄積部３１から適用するルール形式を選択するルール形式選択手段３２３と、適用するルール形式が存在しないとき選択する無変換ルール選択手段３２２とで構成する。
【００４３】
漏洩検出装置５０は、個人情報とルール形式とを入力する入力手段５１と、入力情報とログデータ蓄積部３４の変換ファイルとを参照するログデータ蓄積部参照手段５２と、入力情報と合致する変換ファイルを特定するファイル特定手段５３と、変換ファイルと関連付けているユーザ情報を抽出する利用者特定手段５４とで構成する。
【００４４】
なお、ユーザ情報は、ユーザ端末識別手段（ユーザ端末４０を一意に識別する番号）、ユーザ識別手段（ユーザを一意に識別するユーザ識別子：ユーザＩＤ）、アクセス要求内容、アクセス日時とを含む。
【００４５】
次に、個人情報データ変換装置３０で、個人情報を同一内容（意味が同一）で記述形式が異なるように変換するルール形式について説明する。
【００４６】
ここに、個人情報データとは、コンピュータ上に置かれたコードデータである。個人情報は、一般的に、個人を特定する情報であり、住民基本台帳などの住民情報がこれに該当する。
【００４７】
住民情報の基本４情報は、住所、氏名、性別、生年月日である。例えば、住所に関して、５丁目７番地３号について、五丁目七番地三号、五丁目七ー三、五丁目７ー３、五の七の三、五ー七ー三、５の７の３、５ー７ー３などと記述形式を変更しても、慣習的に同一内容（意味は同一）として扱う。また、アラビア数字やハイフォンに関して、全角文字、半角文字を適用しても意味は同一として扱う。さらに、２桁以上の漢数字について、たとえば、１６を十六、一六、１２３を百二十三、一二三などと記述形式を変更しても、慣習的に同一内容として扱う。郵便番号がある場合は、都道府県を省略してもしなくても住所を認識できる。
【００４８】
電話番号も個人情報を成す一情報である。電話番号に関しても、０３ー１２３４ー５６７８について、０３（１２３４）５６７８、０３ １２３４ ５６７８、０３１２３４５６７８などとしても、意味は同一として扱う。また、アラビア数字、括弧、ハイフォン、空白に関して、全角文字、半角文字の利用を適用しても意味は同一として扱う。
【００４９】
個人情報ＤＢ２０１に格納する個人情報（たとえば、ここでは５０００件以上の個人情報）に対して、上記のルール形式による変換をランダムに適用し、アクセス要求に対応するファイル毎に過去の変換結果と同一にならないように操作する。
【００５０】
この操作により、ユーザ端末４０からのアクセス要求毎に異なる個人情報データのファイルを生成し、生成したファイルに対してアクセスしたユーザ情報を関連付けることにより、個人情報が漏洩したときに、利用者情報（ユーザ情報）を追跡できるようにする。
【００５１】
なお、個人情報データの５０００件は、個人情報保護法にて管理の対象として定義されている数量である。容易に検索できるような形式で５０００件以上の個人情報データを管理する場合には、その個人情報データに関し、管理する義務が発生するので、これを一つの目安とする。もちろん、個人情報ＤＢ２０１の個人情報データの大きさを５０００件以下にしてもよいことは云うまでもない。
【００５２】
次に、上述のように構成した個人情報管理システム１０の動作について、図面を参照して説明する。
【００５３】
図６は、個人情報管理システム１０の動作を説明するためのフローチャートである。
【００５４】
図６を参照すると、まず、利用者は、ユーザ端末４０からネットワーク１００を介して必要な個人情報データのアクセス要求を個人情報データ管理システム１０に送信する。個人情報データ管理システム１０は、アクセス要求を個人情報データ変換部３３の受信手段３３１で受信する（ステップＳ１）。ユーザ端末４０からのアクセス要求は、例えば、住所が東京都である個人情報データを要求することになる。
【００５５】
個人情報データ変換部３３は、アクセス要求を受信すると、ファイル取得手段３３２により、個人情報ＤＢ２０１に対して個人情報データのアクセス要求を発行し、個人情報データのファイルを取得する。取得した個人情報データのファイルは、一時的にファイル保持手段３３３で保持する（ステップＳ２）。
【００５６】
ルール選択部３２は、乱数発生手段３２１により乱数を発生し、ルール蓄積部３１から適用するルール形式を選択する。形式変換手段３３４は、保持している個人情報データを１件ずつ取出し、個人情報データに選択したルール形式を適用する（ステップＳ３）。
【００５７】
なお、ルール蓄積部３１に格納しているルール形式の何れもが当てはまらない場合、無変換ルール選択手段３２２により、無変換の処理を行うルール形式を適用する。
【００５８】
形式変換手段３３４は、ファイル保持手段３３３で保持しているファイルの個人情報データ全ての変換処理の適用が完了したか否かを判断する（ステップＳ４）。
【００５９】
変換処理の適用が完了のとき、変換データ生成手段３３５は、過去のファイルを保存しているログデータ蓄積部３４を参照して、変換が終了した個人情報データのファイルと同一のファイルが存在するか否かを調べる（ステップＳ５）。変換処理の適用が完了していないときは、上記（ステップＳ３）に戻る。
【００６０】
同一のファイルが存在するとき、変換データ生成手段３３５は、個人情報データのファイルを初期状態にリセットし（個人情報ＤＢ２０１から取得した個人情報データのファイルに戻す）、上記（ステップＳ３）に戻り（ステップＳ６）、再度ルール形式の適用を図る。
【００６１】
同一のファイルが存在しないとき、変換ファイル／利用者情報格納手段３４１は、変換が終了した個人情報データのファイルをユーザ情報と関連付けてログデータ蓄積部３４に蓄積する（ステップＳ７）。
【００６２】
なお、変換データ生成手段３３５による同一のファイルか存在するか否かの判定は、変換した個人情報データの全てが一致する過去のファイルがログデータ蓄積部３４に存在するか否かで判定する。
【００６３】
送信手段３３６は、変換した個人情報データをアクセス要求したユーザ端末４０に送信する（ステップＳ８）。
【００６４】
次に、漏洩検出装置５０の動作について、図面を参照して説明する。
【００６５】
図７は、漏洩検出装置５０の動作を説明するためのフローチャートである。
【００６６】
図７を参照すると、漏洩検出装置５０は、入力手段５１により、漏洩したと疑われる個人情報データとルール形式を調査し、入力する（ステップＴ１）。ここでは先ず、変換後の個人情報データが判明している場合について述べる。
【００６７】
漏洩したと疑われる個人情報データの入力情報とログデータ蓄積部３４に蓄積した変換ファイル群の個人情報データとをログデータ蓄積部参照手段５２により参照し、入力情報を含むファイルを検索し絞り込む（ステップＴ２）。
【００６８】
ファイル特定手段５３によりファイルを特定できたか否かを判定し（ステップＴ３）、ファイルを特定できたとき、利用者特定手段５４によりファイルに関連付けられている利用者情報を抽出する（ステップＴ４）。
【００６９】
上記（ステップＴ３）において、入力情報からファイルを特定できない場合は、上記（ステップＴ１）に戻り、漏洩したと疑われる別人の個人情報データのサンプルを追加して入力する。
【００７０】
利用者情報を抽出することにより、個人情報管理システム１０の管理者は、漏洩した個人情報のファイルと漏洩したファイルにアクセスしたユーザ情報とを特定できる。
【００７１】
なお、漏洩したと疑われる個人情報データとルール形式を調査し、変換後の個人情報データが不明の場合、例えば、個人情報の漏洩の疑義を唱える者の変換後の住所データが不明のとき、上記（ステップＴ１）で疑義者の住所を任意のルール形式で変換して入力する。
【００７２】
上記（ステップＴ３）において、入力情報からファイルを特定できない場合は、上記（ステップＴ１）に戻り、個人情報データ（住所データ）を異なるルール形式に変換して入力する。
【００７３】
上述のように、個人情報管理システム１０は、漏洩検出装置５０により漏洩した個人情報のファイルと漏洩したファイルにアクセスしたユーザ情報とを特定でき、漏洩した個人情報の内容、規模、原因（漏洩発生元ユーザ端末４０）を把握できる。
【００７４】
また、個人情報漏洩に対する保険に加入している場合、漏洩の事実、内容、規模を証明できることで、適切な範囲で保険の適用を受けることができる。
【図面の簡単な説明】
【００７５】
【図１】本発明の個人情報管理システムの使用形態を示す概略構成ブロック図である。
【図２】図１中の個人情報データ変換部の構成ブロック図である。
【図３】図１中のルール選択部の構成ブロック図である。
【図４】図１中ログデータ蓄積部の構成ブロック図である。
【図５】図１中の漏洩検出装置の構成ブロック図である。
【図６】個人情報管理システムの動作を説明するためのフローチャートである。
【図７】漏洩検出装置の動作を説明するためのフローチャートである。
【符号の説明】
【００７６】
１０ 個人情報管理システム
２０ 磁気ディスク装置
２０１ 個人情報ＤＢ
３０ 個人情報データ変換装置
３１ ルール蓄積部
３２ ルール選択部
３２１ 乱数発生手段
３２２ 無変換ルール選択手段
３２３ ルール形式選択手段
３３ 個人情報データ変換部
３３１ 受信手段
３３２ ファイル取得手段
３３３ ファイル保持手段
３３４ 形式変換手段
３３５ 変換データ生成手段
３３６ 送信手段
３４ ログデータ蓄積部
３４１ 変換ファイル／利用者情報格納手段
４０ ユーザ端末
５０ 漏洩検出装置
５１ 入力手段
５２ ログデータ蓄積部参照手段
５３ ファイル特定手段
５４ 利用者特定手段
１００ ネットワーク
【特許請求の範囲】
【請求項１】
個人情報を格納する記憶装置と、前記個人情報を変換する個人情報データ変換装置と、ネットワークを介して前記個人情報へアクセスしたユーザ情報を特定する漏洩検出装置とを有する個人情報管理システムであって、前記個人情報データ変換装置は、同一内容で記述形式が異なるルール形式を蓄積するルール蓄積部と、前記ルール形式を選択するルール選択部と、前記個人情報を前記ルール形式に変換する個人情報データ変換部と、変換した前記個人情報を蓄積するログデータ蓄積部とを有することを特徴とする個人情報管理システム。
【請求項２】
前記個人情報データ変換部は、ユーザ端末から前記個人情報へのアクセス要求を受信する受信手段と、前記個人情報へのアクセス要求を発行し前記個人情報を取得するファイル取得手段と、取得した前記個人情報を一時的に保持するファイル保持手段と、前記ルール蓄積部と前記ルール選択部とを参照して前記個人情報を選択した前記ルール形式に変換する形式変換手段と、前記ログデータ蓄積部を参照して過去に変換した前記個人情報と重複しないように変換生成する変換データ生成手段と、変換生成した前記個人情報を前記ユーザ端末へ送信する送信手段とを有することを特徴とする請求項１記載の個人情報管理システム。
【請求項３】
前記形式変換手段は、前記ファイル保持手段で保持している前記個人情報データを１件ずつ取り出し、選択した前記ルール形式を適用する手段を有することを特徴とする請求項２記載の個人情報管理システム。
【請求項４】
前記ログデータ蓄積部は、変換後の前記個人情報と前記ユーザ情報とを関連付けて蓄積する変換ファイル／利用者情報格納手段を有することを特徴とする請求項１または２記載の個人情報管理システム。
【請求項５】
前記ユーザ情報は、ユーザ端末識別手段と、ユーザ識別手段と、アクセス要求内容と、アクセス日時とを有することを特徴とする請求項１または４記載の個人情報管理システム。
【請求項６】
前記ルール選択部は、乱数を発生する乱数発生手段と、前記ルール蓄積部から適用する前記ルール形式を選択するルール形式選択手段と、適用する前記ルール形式が存在しないとき選択する無変換ルール選択手段とを有することを特徴とする請求項１または２記載の個人情報管理システム。
【請求項７】
前記記憶装置は、磁気ディスク装置を有し、前記磁気ディスク装置は、個人情報データベースを有することを特徴とする請求項１記載の個人情報管理システム。
【請求項８】
前記漏洩検出装置は、前記個人情報と前記ルール形式とを入力する入力手段と、入力情報と前記ログデータ蓄積部の変換ファイルとを参照するログデータ蓄積部参照手段と、前記入力情報と合致する前記変換ファイルを特定するファイル特定手段と、前記変換ファイルと関連付けている前記ユーザ情報を抽出する利用者特定手段とを有することを特徴とする請求項１または４記載の個人情報管理システム。
【請求項９】
個人情報を記憶装置に格納し、前記個人情報を個人情報データ変換装置により変換し、ネットワークを介して前記個人情報へアクセスしたユーザ情報を漏洩検出装置により特定する個人情報管理方法であって、前記個人情報データ変換装置は、同一内容で記述形式が異なるルール形式をルール蓄積部に蓄積するステップと、前記ルール蓄積部から適用する前記ルール形式をルール選択部により選択するステップと、個人情報データ変換部により前記個人情報を前記ルール形式に変換するステップと、変換した前記個人情報をログデータ蓄積部に蓄積するステップとを有することを特徴とする個人情報管理方法。
【請求項１０】
前記個人情報データ変換部は、ユーザ端末から前記個人情報へのアクセス要求を受信手段により受信するステップと、ファイル取得手段により前記個人情報へのアクセス要求を発行し前記個人情報を取得するステップと、取得した前記個人情報をファイル保持手段により一時的に保持するステップと、前記ルール蓄積部と前記ルール選択部とを参照して形式変換手段により前記個人情報を選択した前記ルール形式に変換するステップと、変換データ生成手段により前記ログデータ蓄積部を参照して過去に変換した前記個人情報と重複しないように変換生成するステップと、変換生成した前記個人情報を送信手段により前記ユーザ端末へ送信するステップとを有することを特徴とする請求項９記載の個人情報管理方法。
【請求項１１】
前記形式変換手段は、前記ファイル保持手段で保持している前記個人情報データを１件ずつ取り出し、選択した前記ルール形式を適用するステップを有することを特徴とする請求項１０記載の個人情報管理方法。
【請求項１２】
前記ログデータ蓄積部は、変換ファイル／利用者情報格納手段により変換後の前記個人情報と前記ユーザ情報とを関連付けて蓄積するステップを有することを特徴とする請求項９または１０記載の個人情報管理方法。
【請求項１３】
個人情報を格納する記憶装置とネットワークを介して前記個人情報へアクセスしたユーザ情報を特定する漏洩検出装置とに接続し前記個人情報を変換する個人情報データ変換装置であって、同一内容で記述形式が異なるルール形式を蓄積するルール蓄積部と、前記ルール蓄積部から適用する前記ルール形式を選択するルール選択部と、前記個人情報を前記ルール形式に変換する個人情報データ変換部と、変換した前記個人情報を蓄積するログデータ蓄積部とを有することを特徴とする個人情報データ変換装置。
【請求項１４】
前記個人情報データ変換部は、ユーザ端末から前記個人情報へのアクセス要求を受信する受信手段と、前記個人情報へのアクセス要求を発行し前記個人情報を取得するファイル取得手段と、取得した前記個人情報を一時的に保持するファイル保持手段と、前記ルール蓄積部と前記ルール選択部とを参照して前記個人情報を選択した前記ルール形式に変換する形式変換手段と、前記ログデータ蓄積部を参照して過去に変換した前記個人情報と重複しないように変換生成する変換データ生成手段と、変換生成した前記個人情報を前記ユーザ端末へ送信する送信手段とを有することを特徴とする請求項１３記載の個人情報データ変換装置。
【請求項１５】
前記形式変換手段は、前記ファイル保持手段で保持している前記個人情報データを１件ずつ取り出し、選択した前記ルール形式を適用する手段を有することを特徴とする請求項１４記載の個人情報データ変換装置。
【請求項１６】
前記ログデータ蓄積部は、変換後の前記個人情報と前記ユーザ情報とを関連付けて蓄積する変換ファイル／利用者情報格納手段を有することを特徴とする請求項１３または１４記載の個人情報データ変換装置。
【請求項１７】
記憶装置に格納する個人情報を変換する個人情報データ変換装置と接続し、ネットワークを介して前記個人情報へアクセスしたユーザ情報を特定する漏洩検出装置であって、前記個人情報と同一内容で記述形式が異なるルール形式とを入力する入力手段と、入力情報と変換した前記個人情報を蓄積するログデータ蓄積部の変換ファイルとを参照するログデータ蓄積部参照手段と、前記入力情報と合致する前記変換ファイルを特定するファイル特定手段と、前記変換ファイルと関連付けている前記ユーザ情報を前記ログデータ蓄積部の変換ファイル／利用者情報格納手段から抽出する利用者特定手段とを有することを特徴とする漏洩検出装置。
【請求項１８】
記憶装置に格納する個人情報を変換する個人情報データ変換装置と接続し、ネットワークを介して前記個人情報へアクセスしたユーザ情報を特定する漏洩検出方法であって、前記個人情報と同一内容で記述形式が異なるルール形式とを入力手段により入力するステップと、入力情報と変換した前記個人情報を蓄積するログデータ蓄積部の変換ファイルとをログデータ蓄積部参照手段により参照するステップと、前記入力情報と合致する前記変換ファイルをファイル特定手段により特定するステップと、前記変換ファイルと関連付けている前記ユーザ情報を前記ログデータ蓄積部の変換ファイル／利用者情報格納手段から利用者特定手段により抽出するステップとを有することを特徴とする漏洩検出方法。
【請求項１９】
個人情報を格納する記憶装置と、前記個人情報を変換する個人情報データ変換装置と、ネットワークを介して前記個人情報へアクセスしたユーザ情報を特定する漏洩検出装置とを有する個人情報管理システム用プログラムであって、コンピュータを、同一内容で記述形式が異なるルール形式を蓄積するルール蓄積手段、前記ルール蓄積手段から適用する前記ルール形式を選択するルール選択手段、前記個人情報を前記ルール形式に変換する個人情報データ変換手段、変換した前記個人情報を蓄積するログデータ蓄積手段として機能させるための個人情報管理システム用プログラム。
【請求項２０】
前記個人情報データ変換手段は、ユーザ端末から前記個人情報へのアクセス要求を受信する受信手段と、前記個人情報へのアクセス要求を発行し前記個人情報を取得するファイル取得手段と、取得した前記個人情報を一時的に保持するファイル保持手段と、前記ルール蓄積部と前記ルール選択部とを参照して前記個人情報を選択した前記ルール形式に変換する形式変換手段と、前記ログデータ蓄積部を参照して過去に変換した前記個人情報と重複しないように変換生成する変換データ生成手段と、変換生成した前記個人情報を前記ユーザ端末へ送信する送信手段として機能させることを特徴とする請求項１９記載の個人情報管理システム用プログラム。
【請求項２１】
記憶装置に格納する個人情報を変換する個人情報データ変換装置と接続し、ネットワークを介して前記個人情報へアクセスしたユーザ情報を特定する漏洩検出装置用プログラムであって、コンピュータを、前記個人情報と同一内容で記述形式が異なるルール形式とを入力する入力手段と、入力情報と変換した前記個人情報を蓄積するログデータ蓄積部の変換ファイルとを参照するログデータ蓄積部参照手段と、前記入力情報と合致する前記変換ファイルを特定するファイル特定手段と、前記変換ファイルと関連付けている前記ユーザ情報を前記ログデータ蓄積部の変換ファイル／利用者情報格納手段から抽出する利用者特定手段として機能させるための漏洩検出装置用プログラム。
【請求項１】
個人情報を格納する記憶装置と、前記個人情報を変換する個人情報データ変換装置と、ネットワークを介して前記個人情報へアクセスしたユーザ情報を特定する漏洩検出装置とを有する個人情報管理システムであって、前記個人情報データ変換装置は、同一内容で記述形式が異なるルール形式を蓄積するルール蓄積部と、前記ルール形式を選択するルール選択部と、前記個人情報を前記ルール形式に変換する個人情報データ変換部と、変換した前記個人情報を蓄積するログデータ蓄積部とを有することを特徴とする個人情報管理システム。
【請求項２】
前記個人情報データ変換部は、ユーザ端末から前記個人情報へのアクセス要求を受信する受信手段と、前記個人情報へのアクセス要求を発行し前記個人情報を取得するファイル取得手段と、取得した前記個人情報を一時的に保持するファイル保持手段と、前記ルール蓄積部と前記ルール選択部とを参照して前記個人情報を選択した前記ルール形式に変換する形式変換手段と、前記ログデータ蓄積部を参照して過去に変換した前記個人情報と重複しないように変換生成する変換データ生成手段と、変換生成した前記個人情報を前記ユーザ端末へ送信する送信手段とを有することを特徴とする請求項１記載の個人情報管理システム。
【請求項３】
前記形式変換手段は、前記ファイル保持手段で保持している前記個人情報データを１件ずつ取り出し、選択した前記ルール形式を適用する手段を有することを特徴とする請求項２記載の個人情報管理システム。
【請求項４】
前記ログデータ蓄積部は、変換後の前記個人情報と前記ユーザ情報とを関連付けて蓄積する変換ファイル／利用者情報格納手段を有することを特徴とする請求項１または２記載の個人情報管理システム。
【請求項５】
前記ユーザ情報は、ユーザ端末識別手段と、ユーザ識別手段と、アクセス要求内容と、アクセス日時とを有することを特徴とする請求項１または４記載の個人情報管理システム。
【請求項６】
前記ルール選択部は、乱数を発生する乱数発生手段と、前記ルール蓄積部から適用する前記ルール形式を選択するルール形式選択手段と、適用する前記ルール形式が存在しないとき選択する無変換ルール選択手段とを有することを特徴とする請求項１または２記載の個人情報管理システム。
【請求項７】
前記記憶装置は、磁気ディスク装置を有し、前記磁気ディスク装置は、個人情報データベースを有することを特徴とする請求項１記載の個人情報管理システム。
【請求項８】
前記漏洩検出装置は、前記個人情報と前記ルール形式とを入力する入力手段と、入力情報と前記ログデータ蓄積部の変換ファイルとを参照するログデータ蓄積部参照手段と、前記入力情報と合致する前記変換ファイルを特定するファイル特定手段と、前記変換ファイルと関連付けている前記ユーザ情報を抽出する利用者特定手段とを有することを特徴とする請求項１または４記載の個人情報管理システム。
【請求項９】
個人情報を記憶装置に格納し、前記個人情報を個人情報データ変換装置により変換し、ネットワークを介して前記個人情報へアクセスしたユーザ情報を漏洩検出装置により特定する個人情報管理方法であって、前記個人情報データ変換装置は、同一内容で記述形式が異なるルール形式をルール蓄積部に蓄積するステップと、前記ルール蓄積部から適用する前記ルール形式をルール選択部により選択するステップと、個人情報データ変換部により前記個人情報を前記ルール形式に変換するステップと、変換した前記個人情報をログデータ蓄積部に蓄積するステップとを有することを特徴とする個人情報管理方法。
【請求項１０】
前記個人情報データ変換部は、ユーザ端末から前記個人情報へのアクセス要求を受信手段により受信するステップと、ファイル取得手段により前記個人情報へのアクセス要求を発行し前記個人情報を取得するステップと、取得した前記個人情報をファイル保持手段により一時的に保持するステップと、前記ルール蓄積部と前記ルール選択部とを参照して形式変換手段により前記個人情報を選択した前記ルール形式に変換するステップと、変換データ生成手段により前記ログデータ蓄積部を参照して過去に変換した前記個人情報と重複しないように変換生成するステップと、変換生成した前記個人情報を送信手段により前記ユーザ端末へ送信するステップとを有することを特徴とする請求項９記載の個人情報管理方法。
【請求項１１】
前記形式変換手段は、前記ファイル保持手段で保持している前記個人情報データを１件ずつ取り出し、選択した前記ルール形式を適用するステップを有することを特徴とする請求項１０記載の個人情報管理方法。
【請求項１２】
前記ログデータ蓄積部は、変換ファイル／利用者情報格納手段により変換後の前記個人情報と前記ユーザ情報とを関連付けて蓄積するステップを有することを特徴とする請求項９または１０記載の個人情報管理方法。
【請求項１３】
個人情報を格納する記憶装置とネットワークを介して前記個人情報へアクセスしたユーザ情報を特定する漏洩検出装置とに接続し前記個人情報を変換する個人情報データ変換装置であって、同一内容で記述形式が異なるルール形式を蓄積するルール蓄積部と、前記ルール蓄積部から適用する前記ルール形式を選択するルール選択部と、前記個人情報を前記ルール形式に変換する個人情報データ変換部と、変換した前記個人情報を蓄積するログデータ蓄積部とを有することを特徴とする個人情報データ変換装置。
【請求項１４】
前記個人情報データ変換部は、ユーザ端末から前記個人情報へのアクセス要求を受信する受信手段と、前記個人情報へのアクセス要求を発行し前記個人情報を取得するファイル取得手段と、取得した前記個人情報を一時的に保持するファイル保持手段と、前記ルール蓄積部と前記ルール選択部とを参照して前記個人情報を選択した前記ルール形式に変換する形式変換手段と、前記ログデータ蓄積部を参照して過去に変換した前記個人情報と重複しないように変換生成する変換データ生成手段と、変換生成した前記個人情報を前記ユーザ端末へ送信する送信手段とを有することを特徴とする請求項１３記載の個人情報データ変換装置。
【請求項１５】
前記形式変換手段は、前記ファイル保持手段で保持している前記個人情報データを１件ずつ取り出し、選択した前記ルール形式を適用する手段を有することを特徴とする請求項１４記載の個人情報データ変換装置。
【請求項１６】
前記ログデータ蓄積部は、変換後の前記個人情報と前記ユーザ情報とを関連付けて蓄積する変換ファイル／利用者情報格納手段を有することを特徴とする請求項１３または１４記載の個人情報データ変換装置。
【請求項１７】
記憶装置に格納する個人情報を変換する個人情報データ変換装置と接続し、ネットワークを介して前記個人情報へアクセスしたユーザ情報を特定する漏洩検出装置であって、前記個人情報と同一内容で記述形式が異なるルール形式とを入力する入力手段と、入力情報と変換した前記個人情報を蓄積するログデータ蓄積部の変換ファイルとを参照するログデータ蓄積部参照手段と、前記入力情報と合致する前記変換ファイルを特定するファイル特定手段と、前記変換ファイルと関連付けている前記ユーザ情報を前記ログデータ蓄積部の変換ファイル／利用者情報格納手段から抽出する利用者特定手段とを有することを特徴とする漏洩検出装置。
【請求項１８】
記憶装置に格納する個人情報を変換する個人情報データ変換装置と接続し、ネットワークを介して前記個人情報へアクセスしたユーザ情報を特定する漏洩検出方法であって、前記個人情報と同一内容で記述形式が異なるルール形式とを入力手段により入力するステップと、入力情報と変換した前記個人情報を蓄積するログデータ蓄積部の変換ファイルとをログデータ蓄積部参照手段により参照するステップと、前記入力情報と合致する前記変換ファイルをファイル特定手段により特定するステップと、前記変換ファイルと関連付けている前記ユーザ情報を前記ログデータ蓄積部の変換ファイル／利用者情報格納手段から利用者特定手段により抽出するステップとを有することを特徴とする漏洩検出方法。
【請求項１９】
個人情報を格納する記憶装置と、前記個人情報を変換する個人情報データ変換装置と、ネットワークを介して前記個人情報へアクセスしたユーザ情報を特定する漏洩検出装置とを有する個人情報管理システム用プログラムであって、コンピュータを、同一内容で記述形式が異なるルール形式を蓄積するルール蓄積手段、前記ルール蓄積手段から適用する前記ルール形式を選択するルール選択手段、前記個人情報を前記ルール形式に変換する個人情報データ変換手段、変換した前記個人情報を蓄積するログデータ蓄積手段として機能させるための個人情報管理システム用プログラム。
【請求項２０】
前記個人情報データ変換手段は、ユーザ端末から前記個人情報へのアクセス要求を受信する受信手段と、前記個人情報へのアクセス要求を発行し前記個人情報を取得するファイル取得手段と、取得した前記個人情報を一時的に保持するファイル保持手段と、前記ルール蓄積部と前記ルール選択部とを参照して前記個人情報を選択した前記ルール形式に変換する形式変換手段と、前記ログデータ蓄積部を参照して過去に変換した前記個人情報と重複しないように変換生成する変換データ生成手段と、変換生成した前記個人情報を前記ユーザ端末へ送信する送信手段として機能させることを特徴とする請求項１９記載の個人情報管理システム用プログラム。
【請求項２１】
記憶装置に格納する個人情報を変換する個人情報データ変換装置と接続し、ネットワークを介して前記個人情報へアクセスしたユーザ情報を特定する漏洩検出装置用プログラムであって、コンピュータを、前記個人情報と同一内容で記述形式が異なるルール形式とを入力する入力手段と、入力情報と変換した前記個人情報を蓄積するログデータ蓄積部の変換ファイルとを参照するログデータ蓄積部参照手段と、前記入力情報と合致する前記変換ファイルを特定するファイル特定手段と、前記変換ファイルと関連付けている前記ユーザ情報を前記ログデータ蓄積部の変換ファイル／利用者情報格納手段から抽出する利用者特定手段として機能させるための漏洩検出装置用プログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【公開番号】特開２００６−１１７３８（Ｐ２００６−１１７３８Ａ）
【公開日】平成１８年１月１２日（２００６．１．１２）
【国際特許分類】
【出願番号】特願２００４−１８６７５３（Ｐ２００４−１８６７５３）
【出願日】平成１６年６月２４日（２００４．６．２４）
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
【公開日】平成１８年１月１２日（２００６．１．１２）
【国際特許分類】
【出願日】平成１６年６月２４日（２００４．６．２４）
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
[ Back to top ]