本人確認方法、個人情報管理装置及び名寄せ装置
【課題】異なるID同士をペアリングでき、また、データ送信途中で一部のデータが漏洩しても元のデータを復元不可とし、さらにデータ送信元とデータ送信先の双方から互いを隠蔽可能とする。
【解決手段】名寄せ装置１２により共通IDが分割されそれぞれが秘匿化された複数のIDを、それぞれ異なる中継装置１３、１４を介して受信し、その複数のIDから前記共通IDを生成し、その共通IDと、第一の中継装置１４から前記IDとともに受信したハッシュ化済み本人確認情報と、本人確認情報記憶部２０３及び本人確認情報更新履歴記憶部２０４の本人確認情報に基づいて、本人確認情報を照合し、照合結果を生成し、これを秘匿化して名寄せ装置１２に送信する。
【解決手段】名寄せ装置１２により共通IDが分割されそれぞれが秘匿化された複数のIDを、それぞれ異なる中継装置１３、１４を介して受信し、その複数のIDから前記共通IDを生成し、その共通IDと、第一の中継装置１４から前記IDとともに受信したハッシュ化済み本人確認情報と、本人確認情報記憶部２０３及び本人確認情報更新履歴記憶部２０４の本人確認情報に基づいて、本人確認情報を照合し、照合結果を生成し、これを秘匿化して名寄せ装置１２に送信する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、本人確認方法、個人情報管理装置及び名寄せ装置に関する。
【背景技術】
【０００２】
近年、様々なサービスにおいて横断的に利用可能なID(以下、共通ID)が登場した。例として、国民一人一人に割り当てられた住民票コードがあり、住民票コードに紐付けられた住所、氏名や生年月日等の情報(以下、本人確認情報)を利用することにより、パスポートの申請や転入転出の手続きが簡略化されることとなった。今後、この共通IDの利用範囲が拡大し、銀行等の民間企業での利用も想定される。
【０００３】
上記共通IDの利用例として、例えば、従来から民間企業で利用者一人一人に割り当てられているID(以下、ローカルID)と共通IDのペアリングを行い、共通ID発行機関が管理する本人確認情報の変更情報を、共通IDとペアとなったローカルIDを持つ利用者の住所、氏名や生年月日等の情報(以下、属性情報)に反映させるということが想定される。また、共通ID発行機関と企業間では、共通IDや本人確認情報に関するデータがやり取りされる。その際、二者間のデータを安全にやり取りするための方法が必要となる。これに関連する技術として、データを暗号化する際に使用した共通鍵を、データ送信元が複数に分割し、電子的、物理的に異なる経路でデータ送信先に提供することで、二者間のデータを安全にやり取りする技術が知られている（例えば、特許文献１参照）。これにより分割した共通鍵の一部が漏洩したとしても、共通鍵を復元することはできない。
【０００４】
また、共通IDとローカルIDのペアリングが成立すれば、データ送信先である共通ID発行機関側とデータ送信元である企業側に同一人物の情報が記憶されているということが自明になってしまう。これに関連する技術として、データ送信元とデータ送信先の間にある通信制御装置が、データ送信元のIPアドレスを変更することで、データの送信元を送信先から隠蔽する技術が知られている(例えば、特許文献２参照)。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００７−２７４３８８号公報
【特許文献２】特許第３８７５０５１号号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかしながら、上記の想定や従来技術では、次のような課題がある。先ず、共通IDとローカルIDとのペアリングを、共通ID発行機関が保有する本人確認情報と、企業が保有する本人確認情報との照合によって行う場合、例えば引越しなどにより企業側が保有する本人確認情報が最新でなくなってしまった際には、共通IDとローカルIDのペアリングを行うことができない。
【０００７】
また、共通鍵を分割し、一方を物理的な方法で、もう一方で電子的な方法で送る場合、物理的な輸送に関しては時間的なオーバヘッドや輸送コストが発生する可能性がある。さらに、データ自体は分割せずに電子的に送信するため、暗号が解かれる可能性がある。
【０００８】
また、送信元と送信先の隠蔽においては、送信元が送信先を指定している以上、送信元からは送信先に問い合わせた内容に合致する人物がいるか否かが自明となってしまう。
【０００９】
本発明は、このような事情に鑑みてなされたものであり、企業が保有する最新ではない本人確認情報と、ID発行機関が保有する最新の本人確認情報とが異なる場合においても、IDのペアリングを行うことができ、また、データ送信途中で一部のデータが漏洩しても元のデータが復元できないようにし、さらにデータ送信元とデータ送信先の双方から互いを隠蔽することができる技術を提供することを課題とする。
【課題を解決するための手段】
【００１０】
上記課題を解決するための一手段を説明する。即ち、本発明は、名寄せ装置、複数の中継装置とネットワークを介して接続された個人情報管理装置における本人確認方法である。前記個人情報管理装置には、共通IDと本人確認情報とをそれぞれ対応付けて記憶する本人確認情報記憶部と、前記共通IDと前記本人確認情報の履歴とをそれぞれ対応付けて記憶する本人確認情報更新履歴記憶部と、が具備されている。そして、前記名寄せ装置により前記共通IDが分割されそれぞれが秘匿化された複数のIDを、それぞれ異なる前記中継装置を介して受信し、前記受信した複数のIDから前記共通IDを生成し、前記生成した共通IDと、第一の中継装置から前記IDとともに受信したハッシュ化済み本人確認情報と、前記本人確認情報記憶部と、前記本人確認情報更新履歴記憶部に基づいて、本人確認情報を照合し、照合結果を生成し、前記照合結果を秘匿化して前記名寄せ装置に送信する、ことを特徴とする。
【発明の効果】
【００１１】
本発明によれば、企業保有する最新ではない本人確認情報と、ID発行機関が保有する最新の本人確認情報とが異なる場合においても、IDのペアリングを行うことができ、また、データ送信途中で一部のデータが漏洩しても元のデータが復元できないようにし、さらにデータ送信元とデータ送信先の双方から互いを隠蔽することができる。
【図面の簡単な説明】
【００１２】
【図１】本発明の実施例におけるネットワークシステムを示す図。
【図２】本発明の実施例における個人情報管理装置１１のハードウェア構成例を示す図。
【図３】本発明の実施例における名寄せ装置１２のハードウェア構成例を示す図。
【図４】本発明の実施例における中継装置１３、１４のハードウェア構成例を示す図。
【図５】本発明の実施例における本人確認に関する処理の一例を示す図。
【図６】本発明の実施例における本人確認情報記憶部２０３内の本人確認情報テーブル６０１の内容例を示す図。
【図７】本発明の実施例における本人確認情報更新履歴記憶部２０４内の住所更新履歴テーブル７０１の内容例を示す図。
【図８】本発明の実施例における本人確認情報更新履歴記憶部２０４内の氏名更新履歴テーブル８０１の内容例を示す図。
【図９】本発明の実施例における本人確認情報更新履歴記憶部２０４内の性別更新履歴テーブル９０１の内容例を示す図。
【図１０】本発明の実施例における本人確認情報更新履歴記憶部２０４の生年月日更新履歴テーブル１００１の内容例を示す図。
【図１１】本発明の実施例における属性情報記憶部３１０内の属性情報テーブル１１０１の内容例を示す図。
【図１２】本発明の実施例における共通ID・ローカルIDペア記憶部３１１内の共通ID・ローカルIDペアテーブル１２０１の内容例を示す図。
【図１３】本発明の実施例における本人確認の処理に関するシーケンス図
【発明を実施するための形態】
【００１３】
以下、図面を参照して、本発明の実施の形態について説明する。
【００１４】
図１は、本発明を適用するネットワークシステム１の全体構成例を示す図である。ネットワークシステム１は、インターネット等のネットワーク１５に接続された複数の個人情報管理装置１１、複数の中継装置、複数の名寄せ装置１２から構成されるシステムである。なお、複数の中継装置は、図１に示すように二つを例にとり、それぞれ中継装置１３、１４と区別して、本実施形態を説明する。個人情報管理装置１１は、共通ID発行機関が所有し、共通ID発行機能を有する装置としてもよいし、共通ID発行機関とは別の、共通IDと本人確認情報を管理する機関が所有し、共通ID発行機能を有さない装置としてもよい。本実施例では、共通ID発行機能を有さない個人情報管理装置１１としている。名寄せ装置１２は銀行等の民間企業に属してもよいし、警察署や税務署など、公的な機関に属してもよい。
【００１５】
図２は、個人情報管理装置１１のハードウェア構成例を示す図である。個人情報管理装置１１は、一般的なコンピュータにより実現でき、制御部２０１、ネットワークインタフェース部２０２、本人確認情報記憶部２０３、本人確認情報更新履歴記憶部２０４、共通ID復元部２０５、本人確認情報照合部２０６、本人確認情報照合結果秘匿化部２０７、を具備する。各部はBUS（バス）２０８等により接続されている。
【００１６】
ネットワークインタフェース部２０２は、制御部２０１により転送されたIPパケットを、ネットワーク１５を介して中継装置１３、１４に送信するとともに、ネットワーク１５を介して中継装置１３、１４から受信したIPパケットを制御部２０１に転送するものであり、LAN(Local Area Network)カード等で構成される。本人確認情報記憶部２０３は、共通IDと本人確認情報を記憶するものである。本人確認情報更新履歴記憶部２０４は、本人確認情報の更新履歴を記憶するものである。
【００１７】
共通ID復元部２０５は、秘匿化された共通IDを復元する機能を有するプログラムである。本人確認情報照合部２０６は、本人確認情報記憶部２０３に記憶されている本人確認情報及び本人確認情報更新履歴記憶部２０４に記憶されている本人確認情報変更履歴と、中継装置１３、１４から受信した本人確認情報とを照合し本人確認を行う機能を有するプログラムである。本人確認情報照合結果秘匿化部２０７は本人確認情報照合部２０６の結果を秘匿化する機能を有するプログラムである。ここでいう秘匿化とは、照合結果をハッシュ化してもよいし、複数に分割してもよい。制御部２０１は、CPU等で構成され、上記各プログラムを実行する。制御部２０１は共通ID及び本人確認情報を本人確認情報記憶部２０３に記憶する。制御部２０１は本人確認情報の更新履歴を本人確認情報更新履歴記憶部２０４に記憶する。制御部２０１は秘匿化された共通IDを復元する。制御部２０１は名寄せ装置１２から任意の中継装置とネットワーク１５を介して、ネットワークインタフェース部２０２において受信した本人確認情報と、本人確認情報記憶部２０３及び本人確認情報更新履歴記憶部２０４に記憶された本人確認情報及びその更新履歴とを利用し、本人確認情報の照合を行う。制御部２０１は本人確認情報の照合結果を秘匿化する。制御部２０１は秘匿化した本人確認情報照合結果をネットワークインタフェース部２０２を利用し、ネットワーク１５を介して中継装置１３、１４に送信する。その際、秘匿化した照合結果を一つの中継装置に送信してもよいし、照合結果が分割されていた場合、複数の中継装置に送信してもよい。尚、上記各プログラムの機能は、LSI等のハードウェアにより実現してもよい。
【００１８】
図３は、名寄せ装置１２のハードウェア構成例を示す図である。名寄せ装置１２は、一般的なコンピュータにより実現でき、制御部３０１、ネットワークインタフェース部３０２、入力部３０３、出力部３０４、共通ID秘匿化部３０５、本人確認情報ハッシュ化部３０６、ルーティング情報記憶部３０７、本人確認情報照合結果復元部３０８、本人確認情報照合結果処理部３０９、属性情報記憶部３１０、共通ID・ローカルIDペア記憶部３１１、を具備する。各部はBUS３１２等により接続されている。
【００１９】
ネットワークインタフェース部３０２は、制御部３０１により転送されたIPパケットを、ネットワーク１５を介して中継装置１３、１４に転送するものであり、LANカード等で構成される。入力部３０３は、外部からの入力を制御部３０１に伝えるものであり、キーボードやマウス等で構成される。出力部３０４は、制御部３０１からの情報を外部に出力するものであり、ディスプレイやプリンタ等で構成される。共通ID秘匿化部３０５は、共通IDを複数の共通IDに分割しそれぞれを秘匿化する機能を有するプログラムである。本人確認情報ハッシュ化部３０６は、本人確認情報をハッシュ化する機能を有するプログラムである。ルーティング情報記憶部３０７は、中継装置１３、１４のIPアドレスを記憶するものである。本人確認情報照合結果復元部３０８は、本人確認情報の照合結果を復元する機能を有するプログラムである。本人確認情報照合結果処理部３０９は、本人確認情報照合結果復元部３０８で復元された本人確認情報の照合結果により、本人確認が正しく行われていた場合には、共通ID・ローカルIDペア記憶部３１１に、ローカルIDと属性情報のペアを記憶する機能を有するプログラムである。属性情報記憶部３１０は、ローカルIDと属性情報を記憶するものである。共通ID・ローカルIDペア記憶部３１１は、共通IDとローカルIDペアを記憶するものである。制御部３０１は、CPU等で構成され、上記各プログラムを実行する。制御部３０１は入力部３０３からの入力情報を受け付ける。尚、上記各プログラムの機能は、LSI等のハードウェアにより実現してもよい。
【００２０】
制御部３０１は出力部３０４への出力を行う。制御部３０１は共通IDを複数の共通IDに分割しそれぞれの秘匿化を行う。制御部３０１は本人確認情報のハッシュ化を行う。制御部３０１は中継装置１３、１４のIPアドレスをルーティング情報記憶部３０７に記憶する。制御部３０１はネットワークインタフェース部２０２において受信した本人確認情報の照合結果を復元する。制御部３０１は本人確認情報の照合結果により、本人確認が正しく行われていた場合には、共通ID・ローカルIDペア記憶部３１１に、ローカルIDと属性情報のペアを記憶する。制御部３０１は属性情報を属性情報記憶部３１０に記憶する。制御部３０１は秘匿化した複数の共通ID及びハッシュ化した本人確認情報をネットワークインタフェース部３０２を利用し、ネットワーク１５を介して中継装置１３、１４に送信する。 図４は、中継装置１３、１４のハードウェア構成例を示す図である。中継装置１３、１４は、一般的なコンピュータにより実現でき、制御部４０１、ネットワークインタフェース部４０２、ルーティング情報記憶部４０３、個人情報管理装置情報記憶部４０５、を具備する。各部はBUS４０４等により接続されている。中継装置１３、１４はそれぞれルーティング情報記憶部４０３を具備してもよいし、どちらか片方だけを具備してもよい。
【００２１】
中継装置１３、１４は、名寄せ装置１２及び個人情報管理装置１１を管理する組織や機関に設置されてもよいし、名寄せ装置１２及び個人情報管理装置１１を管理する組織や機関とは独立した第三者組織や機関に設置されてもよい。
【００２２】
ネットワークインタフェース部４０２は、制御部４０１により転送されたIPパケットを、ネットワーク１５を介して個人情報管理装置１１及び名寄せ装置１２に転送するものであり、LANカード等で構成される。ルーティング情報記憶部４０３は、個人情報管理装置１１のIPアドレスを記憶するものである。個人情報管理装置情報記憶部４０５は、個人情報管理装置１１からの応答の速さや、個人情報管理装置１１が所有する本人確認情報の件数などの情報を記憶するものである。制御部４０１は、ネットワークインタフェース部４０２とルーティング情報記憶部４０２とに接続されており、これらの構成要素を制御するものであり、CPU等で構成される。制御部４０１は個人情報管理装置１１のIPアドレスをルーティング情報記憶部４０３に記憶する。制御部４０１は秘匿化した共通ID及びハッシュ化した本人確認情報、をネットワークインタフェース部４０２を利用し、ネットワーク１５を介して個人情報管理装置１１に送信する。制御部４０１は秘匿化した本人確認情報照合結果をネットワークインタフェース部４０２を利用し、ネットワーク１５を介して名寄せ装置１２に送信する。
【００２３】
図５は、ネットワークシステム１を利用した本人確認に関する処理の一例を示す図である。本人確認に関する処理はすでにローカルID５１２を持つ人物から共通ID５０１及び本人確認情報５０２を得るところから始まる。共通ID５０１及び本人確認情報５０２は、名寄せ装置１２がネットワーク１５上のコンピュータからネットワーク１５を介して取得するようにしてもよいし、名寄せ装置１２を管理する機関に本人が訪れて申告し、申告内容に基づき管理機関の管理者が名寄せ装置１２の入力部３０３等を介して入力するようにしてもよい。
【００２４】
先ず、共通ID秘匿化部３０５において共通ID５０１を複数の共通IDに分割しそれぞれを秘匿化し、共通ID a５０３及び共通ID b５０６を生成する。そして本人確認情報ハッシュ化部３０６により本人確認情報５０２をハッシュ化し、本人確認情報[h]５０７を生成する。これらの処理は共通ID５０１及び本人確認情報５０２の入力の度に行われてもよいし、バッチ的に一度に大量に処理されてもよい。また、共通ID５０１は三つ以上に分割されてもよい。次に制御部３０１は、ルーティング情報記憶部３０７に記憶されている中継装置１３、１４のIPアドレスに基づき、秘匿化したID a及びID bとハッシュ化した本人確認情報[h]５０７の送信先中継装置１３、１４を決定し、中継装置１３に共通ID a５０３と中継装置１４のIPアドレスと個々の送信情報を区別するためのメッセージID５１３、中継装置１４に共通ID bと本人確認情報[h]とメッセージID５１３を送信する。中継装置１４にID aを送信し、中継装置１３にID bを送信してもよく、また中継装置１３に本人確認情報[h]５０７を送信してもよい。ルーティング情報記憶部４０３に記憶されている個人情報管理装置１１のIPアドレスに基づき、共通ID a５０３、共通ID b５０６、本人確認情報[h]５０７の送信先を決定し、中継装置１３は、中継装置１４に個人情報管理装置１１のIPアドレスとメッセージID５１３を送信する。中間装置１３が個人情報管理装置１１のIPアドレスを決定する際は、ルーティング情報記憶部４０３に記憶された個人情報管理装置１１のIPアドレスの中から1つをランダムに選んでもよいし、応答の速い本人確認情報装置１１や本人確認情報の保有件数の高い本人確認情報管理装置１１を優先的に選択してもよい。中継装置１３は個人情報管理装置１１に共通ID a５０３とメッセージID５１３を送信し、中継装置１４は同じく個人情報管理装置１１に共通ID b５０６と本人確認情報[h]５０７とメッセージID５１３を送信する。共通ID復元部２０５は共通ID aと共通ID bから共通ID５０１を復元する。例えば、元の共通ID５０１が「01234567」、分割後の共通ID a５０３と共通ID b５０６がそれぞれ「01132013」。「00102554」とすると、共通ID復元部２０５は、共通ID a５０３「01132013」と共通ID b「00102554」を足し合わせすることで元の共通ID「01234567」を復元する。このように、共通ID５０１を分割しそれぞれ別の電子的な経路を利用することで、送信途中で共通ID５０１の一部が漏洩しても第三者による元の共通ID５０１の復元が困難となる。共通ID本人確認情報照合部２０６は共通ID復元部２０５で復元された共通ID５０１をkeyとして、本人確認情報記憶部２０３と本人確認情報更新履歴記憶部２０４から該当する人物に関する本人確認情報５０８と本人確認情報更新履歴５０９を得る。そして、本人確認情報照合部２０６は本人確認情報[h]５０７を復元して元の本人確認情報５０２を生成し、生成した本人確認情報５０２と本人確認情報５０８及び本人確認情報更新履歴５０９を照合し、照合結果５１０を生成する。具体的には、本人確認情報照合部２０６は共通ID５０１をkeyとして、本人確認情報記憶部２０３を検索し、該当レコードから氏名６０３、住所６０４、生年月日６０５、性別６０６を取得する。また、本人確認情報照合部２０６は共通ID５０１をkeyとして、本人確認情報更新履歴記憶部２０４を検索し、該当レコードから住所更新履歴７０３、氏名更新履歴８０３、性別更新履歴９０３を取得し、それぞれ氏名６０３、住所６０４、生年月日６０５と照合する。照合の結果、すべて一致した場合、本人確認情報照合部２０６は共通ID５０１と本人確認情報５０２とが正しく対応付けられていることを示す情報、共通ID５０１、氏名６０３、住所６０４及び生年月日６０５、を含む照合結果５１０を生成する。一方、何れかの情報が一致しなかった場合、本人確認情報照合部２０６は共通ID５０１と本人確認情報５０２とが正しく対応付けられていないことを示す照合結果５１０を生成する。照合結果５１０には照合に利用した本人確認情報の件数を付加してもよい。本人確認情報照合結果秘匿化部２０４は本人確認情報照合部２０６から照合結果５１０を受け取り、受け取った照合結果５１０を秘匿化して秘匿化済み照合結果５１１を生成し、生成した秘匿化済み照合結果５１１とメッセージID５１３を中継装置１３もしくは１４に送信する。照合結果５１０の秘匿化の例として、照合が正しく行われた場合は共通ID５０１をハッシュ化し、照合が正しく行われなかった場合は共通ID５０１のIDを逆にしたものをハッシュ化するという方法が考えられる。また、照合結果５１０を分割し、中継装置１３、１４に分けて送信し、送信先において排他的論理和の演算により照合結果５１０を再構成するということにしてもよい。中継装置１３もしくは１４は照合結果５１０を受け、個人情報管理装置１１からの応答時間や、本人確認情報部２０６において照合作業に利用した本人確認情報の件数が記憶される。
【００２５】
中継装置１４は秘匿化済み照合結果５１１とメッセージID５１３を名寄せ装置１２へ送信する。本人確認情報照合結果復元部３０８は秘匿化済み照合結果５１１を復元し、元の照合結果５１０を生成する。本人確認情報照合結果処理部３０９は照合結果５１０を受け取り、共通ID５０１と本人確認情報５０２とが正しく対応付けられていることを確認した場合には、照合結果５１０に含まれる氏名６０３、住所６０４及び生年月日６０５をkeyとして、該当する人物のローカルID５１２を属性情報記憶部３１０から取得し、取得したローカルIDを照合結果５１０に含まれる共通IDと対応付けて共通ID・ローカルIDペア記憶部３１１に登録する。照合結果５１０が、共通ID５０１と本人確認情報５０２とが正しく対応付けられていないことを示す場合には、共通ID・ローカルIDペア記憶部３１１への共通ID５０１とローカルID５１２のペアは登録されない。
【００２６】
図６は、本人確認情報記憶部２０３内の本人確認情報テーブル６０１の内容例を示す図である。本人確認情報テーブル６０１には、共通ID６０２と氏名６０３と住所６０４と生年月日６０５と性別６０６を示す情報がそれぞれ対応付けられて記憶される。以下、各テーブルの項目において、同一の項目を示す場合には同一の符号を用いる。
【００２７】
図７は、本人確認情報更新履歴記憶部２０４内の住所更新履歴情報テーブル７０１の内容例を示す図である。住所更新履歴情報テーブル７０１には、共通ID７０２と住所更新履歴７０３と、住所の適用開始年月日７０４と、住所の適用終了年月日７０５を示す情報がそれぞれ対応付けられて記憶される。
【００２８】
図８は、本人確認情報更新履歴記憶部２０４内の氏名更新履歴情報テーブル８０１の内容例を示す図である。氏名更新履歴情報テーブル８０１には、共通ID８０２と、氏名更新履歴８０３と、氏名の適用開始年月日８０４と、氏名の適用終了年月日８０５を示す情報がそれぞれ対応付けられて記憶される。
【００２９】
図９は、本人確認情報更新履歴記憶部２０４内の性別更新履歴情報テーブル９０１の内容例を示す図である。性別更新履歴情報テーブル９０１には、共通ID９０２と、性別更新履歴９０３と、性別の適用開始年月日９０４と、適用終了年月日９０５を示す情報がそれぞれ対応付けられて記憶される。
【００３０】
図１０は、本人確認情報更新履歴記憶部２０４内の生年月日更新履歴情報テーブル１００１の内容例を示す図である。生年月日更新履歴情報テーブル１００１には、共通ID１００２と、生年月日更新履歴１００３と、生年月日の適用開始年月日１００４と、適用終了年月日１００５を示す情報がそれぞれ対応付けられて記憶される。
【００３１】
図１１は、属性情報記憶部３１０内の属性情報テーブル１１０１の内容例を示す図である。属性情報テーブル１１０１には、ローカルID１１０２と、氏名１１０３と、住所１１０４と、生年月日１１０５と、性別１１０６を示す情報がそれぞれ対応付けられて記憶される。
【００３２】
図１２は、共通ID・ローカルIDペア記憶部３１１内の共通ID・ローカルIDペアテーブル１２０１の内容例を示す図である。共通ID・ローカルIDペアテーブル１２０１には、共通ID１２０２と、ローカルID１２０３を示す情報がそれぞれ対応付けられて記憶される。
【００３３】
図１３は、ネットワークシステム１を利用した本人確認に関する処理の一例を示すシーケンス図である。名寄せ装置１２は共通ID秘匿化部３０５により共通IDから共通ID aと共通ID bを生成する(１３０１)。名寄せ装置１２は本人確認情報のハッシュ化を行う(１３０２)。名寄せ装置１２は中継装置１３、１４のIPアドレスを決定する(１３０３)。名寄せ装置１２は１３０１で生成した共通ID aと中継装置１４のIPアドレスを中継装置１３へと送信し(１３０４)、１３０１で生成した共通ID bと１３０２でハッシュ化した本人確認情報とメッセージIDを中継装置１４へと送信する(１３０５)。中継装置１３は個人情報管理装置１１のIPアドレスを決定し(１３０６)、中継装置１４へと１３０６で決定した個人情報管理装置１１のIPアドレスとメッセージIDを送信する(１３０７)。中継装置１３は個人情報管理装置１１へと共通ID aとメッセージIDを送信する(１３０８)。中継装置１４は個人情報管理装置１１へと共通ID bとハッシュ化済み本人確認情報とメッセージIDを送信する(１３０９)。個人情報管理装置１１は共通ID aと共通ID bから共通IDを復元する(１３１０)。個人情報管理装置１１は中継装置１４からのハッシュ化済み本人確認情報と個人情報管理装置１１内の本人確認情報及び本人確認情報の更新履歴から本人確認情報の照合を行う(１３１１)。個人情報管理装置１１は本人確認情報照合結果を秘匿化し(１３１２)、１３１２において秘匿化した本人確認情報照合結果とメッセージIDを中継装置１４へ送信する(１３１３)。中継装置１４は名寄せ装置１２へと１３１２において秘匿化された本人確認情報照合結果とメッセージIDを送信する(１３１４)。名寄せ装置１２は１３１２において秘匿化された本人各情報照合結果を復元し(１３１５)、復元結果に従い処理を行う(１３１６)。処理内容として、共通IDと本人確認情報とが正しく対応付けられていた場合、名寄せ装置１２は、共通IDとローカルIDのペアを共通ID・ローカルIDペアテーブル１２０１に登録する(１３１７)。これにより、共通IDとローカルIDとが対応付けられて共通ID・ローカルIDペアテーブル１２０１に登録されていた場合には、その共通IDとローカルIDを持つ人物は同一人物となる。
【００３４】
以上、本発明の一実施例について説明した。上記実施例によれば、共通IDとローカルIDのペアリングに過去の履歴情報も利用するようにしたので、企業が保有する最新ではない本人確認情報と、ID発行機関が保有する最新の本人確認情報とが異なる場合においても、IDのペアリングを行うことができる。また、共通ID５０１を分割しそれぞれ別の電子的な経路を利用するようにしたので、送信途中で共通ID５０１の一部が漏洩しても第三者による元の共通ID５０１の復元が困難となる。さらに、データ送信元とデータ送信先の間に中継装置を設置し、この中継装置を介してデータ送信元とデータ送信先の間でデータ送受信するようにしたので、データ送信元とデータ送信先の双方から互いを隠蔽できる。
【００３５】
なお、上記実施例では、共通ID秘匿化部３０５は、共通IDを複数の共通IDに分割しそれぞれを秘匿化するようにしたが、共通IDを秘匿かした後に分割するようにしてもよい。その他本発明は上記実施例に限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能である。
【符号の説明】
【００３６】
１１・・・個人情報管理装置、１２・・・名寄せ装置、１３、１４・・・中継装置、１５・・・ネットワーク、２０１、３０１、４０１・・・制御部、２０２、３０２、４０２・・・ネットワークインタフェース部、２０３・・・本人確認情報記憶部、２０４・・・本人確認情報更新履歴記憶部、２０５・・・共通ID復元部、２０６・・・本人確認情報照合部、２０７・・・本人確認情報照合結果秘匿化部、３０３・・・入力部、３０４・・・出力部、３０５・・・共通ID秘匿化部、３０６・・・本人確認情報ハッシュ化部、３０７、４０３・・・ルーティング情報記憶部、３０８・・・本人確認情報照合結果復元部、３０９・・・本人確認情報照合結果処理部、３１０・・・属性情報記憶部、３１１・・・共通ID・ローカルIDペア記憶部。
【技術分野】
【０００１】
本発明は、本人確認方法、個人情報管理装置及び名寄せ装置に関する。
【背景技術】
【０００２】
近年、様々なサービスにおいて横断的に利用可能なID(以下、共通ID)が登場した。例として、国民一人一人に割り当てられた住民票コードがあり、住民票コードに紐付けられた住所、氏名や生年月日等の情報(以下、本人確認情報)を利用することにより、パスポートの申請や転入転出の手続きが簡略化されることとなった。今後、この共通IDの利用範囲が拡大し、銀行等の民間企業での利用も想定される。
【０００３】
上記共通IDの利用例として、例えば、従来から民間企業で利用者一人一人に割り当てられているID(以下、ローカルID)と共通IDのペアリングを行い、共通ID発行機関が管理する本人確認情報の変更情報を、共通IDとペアとなったローカルIDを持つ利用者の住所、氏名や生年月日等の情報(以下、属性情報)に反映させるということが想定される。また、共通ID発行機関と企業間では、共通IDや本人確認情報に関するデータがやり取りされる。その際、二者間のデータを安全にやり取りするための方法が必要となる。これに関連する技術として、データを暗号化する際に使用した共通鍵を、データ送信元が複数に分割し、電子的、物理的に異なる経路でデータ送信先に提供することで、二者間のデータを安全にやり取りする技術が知られている（例えば、特許文献１参照）。これにより分割した共通鍵の一部が漏洩したとしても、共通鍵を復元することはできない。
【０００４】
また、共通IDとローカルIDのペアリングが成立すれば、データ送信先である共通ID発行機関側とデータ送信元である企業側に同一人物の情報が記憶されているということが自明になってしまう。これに関連する技術として、データ送信元とデータ送信先の間にある通信制御装置が、データ送信元のIPアドレスを変更することで、データの送信元を送信先から隠蔽する技術が知られている(例えば、特許文献２参照)。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００７−２７４３８８号公報
【特許文献２】特許第３８７５０５１号号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかしながら、上記の想定や従来技術では、次のような課題がある。先ず、共通IDとローカルIDとのペアリングを、共通ID発行機関が保有する本人確認情報と、企業が保有する本人確認情報との照合によって行う場合、例えば引越しなどにより企業側が保有する本人確認情報が最新でなくなってしまった際には、共通IDとローカルIDのペアリングを行うことができない。
【０００７】
また、共通鍵を分割し、一方を物理的な方法で、もう一方で電子的な方法で送る場合、物理的な輸送に関しては時間的なオーバヘッドや輸送コストが発生する可能性がある。さらに、データ自体は分割せずに電子的に送信するため、暗号が解かれる可能性がある。
【０００８】
また、送信元と送信先の隠蔽においては、送信元が送信先を指定している以上、送信元からは送信先に問い合わせた内容に合致する人物がいるか否かが自明となってしまう。
【０００９】
本発明は、このような事情に鑑みてなされたものであり、企業が保有する最新ではない本人確認情報と、ID発行機関が保有する最新の本人確認情報とが異なる場合においても、IDのペアリングを行うことができ、また、データ送信途中で一部のデータが漏洩しても元のデータが復元できないようにし、さらにデータ送信元とデータ送信先の双方から互いを隠蔽することができる技術を提供することを課題とする。
【課題を解決するための手段】
【００１０】
上記課題を解決するための一手段を説明する。即ち、本発明は、名寄せ装置、複数の中継装置とネットワークを介して接続された個人情報管理装置における本人確認方法である。前記個人情報管理装置には、共通IDと本人確認情報とをそれぞれ対応付けて記憶する本人確認情報記憶部と、前記共通IDと前記本人確認情報の履歴とをそれぞれ対応付けて記憶する本人確認情報更新履歴記憶部と、が具備されている。そして、前記名寄せ装置により前記共通IDが分割されそれぞれが秘匿化された複数のIDを、それぞれ異なる前記中継装置を介して受信し、前記受信した複数のIDから前記共通IDを生成し、前記生成した共通IDと、第一の中継装置から前記IDとともに受信したハッシュ化済み本人確認情報と、前記本人確認情報記憶部と、前記本人確認情報更新履歴記憶部に基づいて、本人確認情報を照合し、照合結果を生成し、前記照合結果を秘匿化して前記名寄せ装置に送信する、ことを特徴とする。
【発明の効果】
【００１１】
本発明によれば、企業保有する最新ではない本人確認情報と、ID発行機関が保有する最新の本人確認情報とが異なる場合においても、IDのペアリングを行うことができ、また、データ送信途中で一部のデータが漏洩しても元のデータが復元できないようにし、さらにデータ送信元とデータ送信先の双方から互いを隠蔽することができる。
【図面の簡単な説明】
【００１２】
【図１】本発明の実施例におけるネットワークシステムを示す図。
【図２】本発明の実施例における個人情報管理装置１１のハードウェア構成例を示す図。
【図３】本発明の実施例における名寄せ装置１２のハードウェア構成例を示す図。
【図４】本発明の実施例における中継装置１３、１４のハードウェア構成例を示す図。
【図５】本発明の実施例における本人確認に関する処理の一例を示す図。
【図６】本発明の実施例における本人確認情報記憶部２０３内の本人確認情報テーブル６０１の内容例を示す図。
【図７】本発明の実施例における本人確認情報更新履歴記憶部２０４内の住所更新履歴テーブル７０１の内容例を示す図。
【図８】本発明の実施例における本人確認情報更新履歴記憶部２０４内の氏名更新履歴テーブル８０１の内容例を示す図。
【図９】本発明の実施例における本人確認情報更新履歴記憶部２０４内の性別更新履歴テーブル９０１の内容例を示す図。
【図１０】本発明の実施例における本人確認情報更新履歴記憶部２０４の生年月日更新履歴テーブル１００１の内容例を示す図。
【図１１】本発明の実施例における属性情報記憶部３１０内の属性情報テーブル１１０１の内容例を示す図。
【図１２】本発明の実施例における共通ID・ローカルIDペア記憶部３１１内の共通ID・ローカルIDペアテーブル１２０１の内容例を示す図。
【図１３】本発明の実施例における本人確認の処理に関するシーケンス図
【発明を実施するための形態】
【００１３】
以下、図面を参照して、本発明の実施の形態について説明する。
【００１４】
図１は、本発明を適用するネットワークシステム１の全体構成例を示す図である。ネットワークシステム１は、インターネット等のネットワーク１５に接続された複数の個人情報管理装置１１、複数の中継装置、複数の名寄せ装置１２から構成されるシステムである。なお、複数の中継装置は、図１に示すように二つを例にとり、それぞれ中継装置１３、１４と区別して、本実施形態を説明する。個人情報管理装置１１は、共通ID発行機関が所有し、共通ID発行機能を有する装置としてもよいし、共通ID発行機関とは別の、共通IDと本人確認情報を管理する機関が所有し、共通ID発行機能を有さない装置としてもよい。本実施例では、共通ID発行機能を有さない個人情報管理装置１１としている。名寄せ装置１２は銀行等の民間企業に属してもよいし、警察署や税務署など、公的な機関に属してもよい。
【００１５】
図２は、個人情報管理装置１１のハードウェア構成例を示す図である。個人情報管理装置１１は、一般的なコンピュータにより実現でき、制御部２０１、ネットワークインタフェース部２０２、本人確認情報記憶部２０３、本人確認情報更新履歴記憶部２０４、共通ID復元部２０５、本人確認情報照合部２０６、本人確認情報照合結果秘匿化部２０７、を具備する。各部はBUS（バス）２０８等により接続されている。
【００１６】
ネットワークインタフェース部２０２は、制御部２０１により転送されたIPパケットを、ネットワーク１５を介して中継装置１３、１４に送信するとともに、ネットワーク１５を介して中継装置１３、１４から受信したIPパケットを制御部２０１に転送するものであり、LAN(Local Area Network)カード等で構成される。本人確認情報記憶部２０３は、共通IDと本人確認情報を記憶するものである。本人確認情報更新履歴記憶部２０４は、本人確認情報の更新履歴を記憶するものである。
【００１７】
共通ID復元部２０５は、秘匿化された共通IDを復元する機能を有するプログラムである。本人確認情報照合部２０６は、本人確認情報記憶部２０３に記憶されている本人確認情報及び本人確認情報更新履歴記憶部２０４に記憶されている本人確認情報変更履歴と、中継装置１３、１４から受信した本人確認情報とを照合し本人確認を行う機能を有するプログラムである。本人確認情報照合結果秘匿化部２０７は本人確認情報照合部２０６の結果を秘匿化する機能を有するプログラムである。ここでいう秘匿化とは、照合結果をハッシュ化してもよいし、複数に分割してもよい。制御部２０１は、CPU等で構成され、上記各プログラムを実行する。制御部２０１は共通ID及び本人確認情報を本人確認情報記憶部２０３に記憶する。制御部２０１は本人確認情報の更新履歴を本人確認情報更新履歴記憶部２０４に記憶する。制御部２０１は秘匿化された共通IDを復元する。制御部２０１は名寄せ装置１２から任意の中継装置とネットワーク１５を介して、ネットワークインタフェース部２０２において受信した本人確認情報と、本人確認情報記憶部２０３及び本人確認情報更新履歴記憶部２０４に記憶された本人確認情報及びその更新履歴とを利用し、本人確認情報の照合を行う。制御部２０１は本人確認情報の照合結果を秘匿化する。制御部２０１は秘匿化した本人確認情報照合結果をネットワークインタフェース部２０２を利用し、ネットワーク１５を介して中継装置１３、１４に送信する。その際、秘匿化した照合結果を一つの中継装置に送信してもよいし、照合結果が分割されていた場合、複数の中継装置に送信してもよい。尚、上記各プログラムの機能は、LSI等のハードウェアにより実現してもよい。
【００１８】
図３は、名寄せ装置１２のハードウェア構成例を示す図である。名寄せ装置１２は、一般的なコンピュータにより実現でき、制御部３０１、ネットワークインタフェース部３０２、入力部３０３、出力部３０４、共通ID秘匿化部３０５、本人確認情報ハッシュ化部３０６、ルーティング情報記憶部３０７、本人確認情報照合結果復元部３０８、本人確認情報照合結果処理部３０９、属性情報記憶部３１０、共通ID・ローカルIDペア記憶部３１１、を具備する。各部はBUS３１２等により接続されている。
【００１９】
ネットワークインタフェース部３０２は、制御部３０１により転送されたIPパケットを、ネットワーク１５を介して中継装置１３、１４に転送するものであり、LANカード等で構成される。入力部３０３は、外部からの入力を制御部３０１に伝えるものであり、キーボードやマウス等で構成される。出力部３０４は、制御部３０１からの情報を外部に出力するものであり、ディスプレイやプリンタ等で構成される。共通ID秘匿化部３０５は、共通IDを複数の共通IDに分割しそれぞれを秘匿化する機能を有するプログラムである。本人確認情報ハッシュ化部３０６は、本人確認情報をハッシュ化する機能を有するプログラムである。ルーティング情報記憶部３０７は、中継装置１３、１４のIPアドレスを記憶するものである。本人確認情報照合結果復元部３０８は、本人確認情報の照合結果を復元する機能を有するプログラムである。本人確認情報照合結果処理部３０９は、本人確認情報照合結果復元部３０８で復元された本人確認情報の照合結果により、本人確認が正しく行われていた場合には、共通ID・ローカルIDペア記憶部３１１に、ローカルIDと属性情報のペアを記憶する機能を有するプログラムである。属性情報記憶部３１０は、ローカルIDと属性情報を記憶するものである。共通ID・ローカルIDペア記憶部３１１は、共通IDとローカルIDペアを記憶するものである。制御部３０１は、CPU等で構成され、上記各プログラムを実行する。制御部３０１は入力部３０３からの入力情報を受け付ける。尚、上記各プログラムの機能は、LSI等のハードウェアにより実現してもよい。
【００２０】
制御部３０１は出力部３０４への出力を行う。制御部３０１は共通IDを複数の共通IDに分割しそれぞれの秘匿化を行う。制御部３０１は本人確認情報のハッシュ化を行う。制御部３０１は中継装置１３、１４のIPアドレスをルーティング情報記憶部３０７に記憶する。制御部３０１はネットワークインタフェース部２０２において受信した本人確認情報の照合結果を復元する。制御部３０１は本人確認情報の照合結果により、本人確認が正しく行われていた場合には、共通ID・ローカルIDペア記憶部３１１に、ローカルIDと属性情報のペアを記憶する。制御部３０１は属性情報を属性情報記憶部３１０に記憶する。制御部３０１は秘匿化した複数の共通ID及びハッシュ化した本人確認情報をネットワークインタフェース部３０２を利用し、ネットワーク１５を介して中継装置１３、１４に送信する。 図４は、中継装置１３、１４のハードウェア構成例を示す図である。中継装置１３、１４は、一般的なコンピュータにより実現でき、制御部４０１、ネットワークインタフェース部４０２、ルーティング情報記憶部４０３、個人情報管理装置情報記憶部４０５、を具備する。各部はBUS４０４等により接続されている。中継装置１３、１４はそれぞれルーティング情報記憶部４０３を具備してもよいし、どちらか片方だけを具備してもよい。
【００２１】
中継装置１３、１４は、名寄せ装置１２及び個人情報管理装置１１を管理する組織や機関に設置されてもよいし、名寄せ装置１２及び個人情報管理装置１１を管理する組織や機関とは独立した第三者組織や機関に設置されてもよい。
【００２２】
ネットワークインタフェース部４０２は、制御部４０１により転送されたIPパケットを、ネットワーク１５を介して個人情報管理装置１１及び名寄せ装置１２に転送するものであり、LANカード等で構成される。ルーティング情報記憶部４０３は、個人情報管理装置１１のIPアドレスを記憶するものである。個人情報管理装置情報記憶部４０５は、個人情報管理装置１１からの応答の速さや、個人情報管理装置１１が所有する本人確認情報の件数などの情報を記憶するものである。制御部４０１は、ネットワークインタフェース部４０２とルーティング情報記憶部４０２とに接続されており、これらの構成要素を制御するものであり、CPU等で構成される。制御部４０１は個人情報管理装置１１のIPアドレスをルーティング情報記憶部４０３に記憶する。制御部４０１は秘匿化した共通ID及びハッシュ化した本人確認情報、をネットワークインタフェース部４０２を利用し、ネットワーク１５を介して個人情報管理装置１１に送信する。制御部４０１は秘匿化した本人確認情報照合結果をネットワークインタフェース部４０２を利用し、ネットワーク１５を介して名寄せ装置１２に送信する。
【００２３】
図５は、ネットワークシステム１を利用した本人確認に関する処理の一例を示す図である。本人確認に関する処理はすでにローカルID５１２を持つ人物から共通ID５０１及び本人確認情報５０２を得るところから始まる。共通ID５０１及び本人確認情報５０２は、名寄せ装置１２がネットワーク１５上のコンピュータからネットワーク１５を介して取得するようにしてもよいし、名寄せ装置１２を管理する機関に本人が訪れて申告し、申告内容に基づき管理機関の管理者が名寄せ装置１２の入力部３０３等を介して入力するようにしてもよい。
【００２４】
先ず、共通ID秘匿化部３０５において共通ID５０１を複数の共通IDに分割しそれぞれを秘匿化し、共通ID a５０３及び共通ID b５０６を生成する。そして本人確認情報ハッシュ化部３０６により本人確認情報５０２をハッシュ化し、本人確認情報[h]５０７を生成する。これらの処理は共通ID５０１及び本人確認情報５０２の入力の度に行われてもよいし、バッチ的に一度に大量に処理されてもよい。また、共通ID５０１は三つ以上に分割されてもよい。次に制御部３０１は、ルーティング情報記憶部３０７に記憶されている中継装置１３、１４のIPアドレスに基づき、秘匿化したID a及びID bとハッシュ化した本人確認情報[h]５０７の送信先中継装置１３、１４を決定し、中継装置１３に共通ID a５０３と中継装置１４のIPアドレスと個々の送信情報を区別するためのメッセージID５１３、中継装置１４に共通ID bと本人確認情報[h]とメッセージID５１３を送信する。中継装置１４にID aを送信し、中継装置１３にID bを送信してもよく、また中継装置１３に本人確認情報[h]５０７を送信してもよい。ルーティング情報記憶部４０３に記憶されている個人情報管理装置１１のIPアドレスに基づき、共通ID a５０３、共通ID b５０６、本人確認情報[h]５０７の送信先を決定し、中継装置１３は、中継装置１４に個人情報管理装置１１のIPアドレスとメッセージID５１３を送信する。中間装置１３が個人情報管理装置１１のIPアドレスを決定する際は、ルーティング情報記憶部４０３に記憶された個人情報管理装置１１のIPアドレスの中から1つをランダムに選んでもよいし、応答の速い本人確認情報装置１１や本人確認情報の保有件数の高い本人確認情報管理装置１１を優先的に選択してもよい。中継装置１３は個人情報管理装置１１に共通ID a５０３とメッセージID５１３を送信し、中継装置１４は同じく個人情報管理装置１１に共通ID b５０６と本人確認情報[h]５０７とメッセージID５１３を送信する。共通ID復元部２０５は共通ID aと共通ID bから共通ID５０１を復元する。例えば、元の共通ID５０１が「01234567」、分割後の共通ID a５０３と共通ID b５０６がそれぞれ「01132013」。「00102554」とすると、共通ID復元部２０５は、共通ID a５０３「01132013」と共通ID b「00102554」を足し合わせすることで元の共通ID「01234567」を復元する。このように、共通ID５０１を分割しそれぞれ別の電子的な経路を利用することで、送信途中で共通ID５０１の一部が漏洩しても第三者による元の共通ID５０１の復元が困難となる。共通ID本人確認情報照合部２０６は共通ID復元部２０５で復元された共通ID５０１をkeyとして、本人確認情報記憶部２０３と本人確認情報更新履歴記憶部２０４から該当する人物に関する本人確認情報５０８と本人確認情報更新履歴５０９を得る。そして、本人確認情報照合部２０６は本人確認情報[h]５０７を復元して元の本人確認情報５０２を生成し、生成した本人確認情報５０２と本人確認情報５０８及び本人確認情報更新履歴５０９を照合し、照合結果５１０を生成する。具体的には、本人確認情報照合部２０６は共通ID５０１をkeyとして、本人確認情報記憶部２０３を検索し、該当レコードから氏名６０３、住所６０４、生年月日６０５、性別６０６を取得する。また、本人確認情報照合部２０６は共通ID５０１をkeyとして、本人確認情報更新履歴記憶部２０４を検索し、該当レコードから住所更新履歴７０３、氏名更新履歴８０３、性別更新履歴９０３を取得し、それぞれ氏名６０３、住所６０４、生年月日６０５と照合する。照合の結果、すべて一致した場合、本人確認情報照合部２０６は共通ID５０１と本人確認情報５０２とが正しく対応付けられていることを示す情報、共通ID５０１、氏名６０３、住所６０４及び生年月日６０５、を含む照合結果５１０を生成する。一方、何れかの情報が一致しなかった場合、本人確認情報照合部２０６は共通ID５０１と本人確認情報５０２とが正しく対応付けられていないことを示す照合結果５１０を生成する。照合結果５１０には照合に利用した本人確認情報の件数を付加してもよい。本人確認情報照合結果秘匿化部２０４は本人確認情報照合部２０６から照合結果５１０を受け取り、受け取った照合結果５１０を秘匿化して秘匿化済み照合結果５１１を生成し、生成した秘匿化済み照合結果５１１とメッセージID５１３を中継装置１３もしくは１４に送信する。照合結果５１０の秘匿化の例として、照合が正しく行われた場合は共通ID５０１をハッシュ化し、照合が正しく行われなかった場合は共通ID５０１のIDを逆にしたものをハッシュ化するという方法が考えられる。また、照合結果５１０を分割し、中継装置１３、１４に分けて送信し、送信先において排他的論理和の演算により照合結果５１０を再構成するということにしてもよい。中継装置１３もしくは１４は照合結果５１０を受け、個人情報管理装置１１からの応答時間や、本人確認情報部２０６において照合作業に利用した本人確認情報の件数が記憶される。
【００２５】
中継装置１４は秘匿化済み照合結果５１１とメッセージID５１３を名寄せ装置１２へ送信する。本人確認情報照合結果復元部３０８は秘匿化済み照合結果５１１を復元し、元の照合結果５１０を生成する。本人確認情報照合結果処理部３０９は照合結果５１０を受け取り、共通ID５０１と本人確認情報５０２とが正しく対応付けられていることを確認した場合には、照合結果５１０に含まれる氏名６０３、住所６０４及び生年月日６０５をkeyとして、該当する人物のローカルID５１２を属性情報記憶部３１０から取得し、取得したローカルIDを照合結果５１０に含まれる共通IDと対応付けて共通ID・ローカルIDペア記憶部３１１に登録する。照合結果５１０が、共通ID５０１と本人確認情報５０２とが正しく対応付けられていないことを示す場合には、共通ID・ローカルIDペア記憶部３１１への共通ID５０１とローカルID５１２のペアは登録されない。
【００２６】
図６は、本人確認情報記憶部２０３内の本人確認情報テーブル６０１の内容例を示す図である。本人確認情報テーブル６０１には、共通ID６０２と氏名６０３と住所６０４と生年月日６０５と性別６０６を示す情報がそれぞれ対応付けられて記憶される。以下、各テーブルの項目において、同一の項目を示す場合には同一の符号を用いる。
【００２７】
図７は、本人確認情報更新履歴記憶部２０４内の住所更新履歴情報テーブル７０１の内容例を示す図である。住所更新履歴情報テーブル７０１には、共通ID７０２と住所更新履歴７０３と、住所の適用開始年月日７０４と、住所の適用終了年月日７０５を示す情報がそれぞれ対応付けられて記憶される。
【００２８】
図８は、本人確認情報更新履歴記憶部２０４内の氏名更新履歴情報テーブル８０１の内容例を示す図である。氏名更新履歴情報テーブル８０１には、共通ID８０２と、氏名更新履歴８０３と、氏名の適用開始年月日８０４と、氏名の適用終了年月日８０５を示す情報がそれぞれ対応付けられて記憶される。
【００２９】
図９は、本人確認情報更新履歴記憶部２０４内の性別更新履歴情報テーブル９０１の内容例を示す図である。性別更新履歴情報テーブル９０１には、共通ID９０２と、性別更新履歴９０３と、性別の適用開始年月日９０４と、適用終了年月日９０５を示す情報がそれぞれ対応付けられて記憶される。
【００３０】
図１０は、本人確認情報更新履歴記憶部２０４内の生年月日更新履歴情報テーブル１００１の内容例を示す図である。生年月日更新履歴情報テーブル１００１には、共通ID１００２と、生年月日更新履歴１００３と、生年月日の適用開始年月日１００４と、適用終了年月日１００５を示す情報がそれぞれ対応付けられて記憶される。
【００３１】
図１１は、属性情報記憶部３１０内の属性情報テーブル１１０１の内容例を示す図である。属性情報テーブル１１０１には、ローカルID１１０２と、氏名１１０３と、住所１１０４と、生年月日１１０５と、性別１１０６を示す情報がそれぞれ対応付けられて記憶される。
【００３２】
図１２は、共通ID・ローカルIDペア記憶部３１１内の共通ID・ローカルIDペアテーブル１２０１の内容例を示す図である。共通ID・ローカルIDペアテーブル１２０１には、共通ID１２０２と、ローカルID１２０３を示す情報がそれぞれ対応付けられて記憶される。
【００３３】
図１３は、ネットワークシステム１を利用した本人確認に関する処理の一例を示すシーケンス図である。名寄せ装置１２は共通ID秘匿化部３０５により共通IDから共通ID aと共通ID bを生成する(１３０１)。名寄せ装置１２は本人確認情報のハッシュ化を行う(１３０２)。名寄せ装置１２は中継装置１３、１４のIPアドレスを決定する(１３０３)。名寄せ装置１２は１３０１で生成した共通ID aと中継装置１４のIPアドレスを中継装置１３へと送信し(１３０４)、１３０１で生成した共通ID bと１３０２でハッシュ化した本人確認情報とメッセージIDを中継装置１４へと送信する(１３０５)。中継装置１３は個人情報管理装置１１のIPアドレスを決定し(１３０６)、中継装置１４へと１３０６で決定した個人情報管理装置１１のIPアドレスとメッセージIDを送信する(１３０７)。中継装置１３は個人情報管理装置１１へと共通ID aとメッセージIDを送信する(１３０８)。中継装置１４は個人情報管理装置１１へと共通ID bとハッシュ化済み本人確認情報とメッセージIDを送信する(１３０９)。個人情報管理装置１１は共通ID aと共通ID bから共通IDを復元する(１３１０)。個人情報管理装置１１は中継装置１４からのハッシュ化済み本人確認情報と個人情報管理装置１１内の本人確認情報及び本人確認情報の更新履歴から本人確認情報の照合を行う(１３１１)。個人情報管理装置１１は本人確認情報照合結果を秘匿化し(１３１２)、１３１２において秘匿化した本人確認情報照合結果とメッセージIDを中継装置１４へ送信する(１３１３)。中継装置１４は名寄せ装置１２へと１３１２において秘匿化された本人確認情報照合結果とメッセージIDを送信する(１３１４)。名寄せ装置１２は１３１２において秘匿化された本人各情報照合結果を復元し(１３１５)、復元結果に従い処理を行う(１３１６)。処理内容として、共通IDと本人確認情報とが正しく対応付けられていた場合、名寄せ装置１２は、共通IDとローカルIDのペアを共通ID・ローカルIDペアテーブル１２０１に登録する(１３１７)。これにより、共通IDとローカルIDとが対応付けられて共通ID・ローカルIDペアテーブル１２０１に登録されていた場合には、その共通IDとローカルIDを持つ人物は同一人物となる。
【００３４】
以上、本発明の一実施例について説明した。上記実施例によれば、共通IDとローカルIDのペアリングに過去の履歴情報も利用するようにしたので、企業が保有する最新ではない本人確認情報と、ID発行機関が保有する最新の本人確認情報とが異なる場合においても、IDのペアリングを行うことができる。また、共通ID５０１を分割しそれぞれ別の電子的な経路を利用するようにしたので、送信途中で共通ID５０１の一部が漏洩しても第三者による元の共通ID５０１の復元が困難となる。さらに、データ送信元とデータ送信先の間に中継装置を設置し、この中継装置を介してデータ送信元とデータ送信先の間でデータ送受信するようにしたので、データ送信元とデータ送信先の双方から互いを隠蔽できる。
【００３５】
なお、上記実施例では、共通ID秘匿化部３０５は、共通IDを複数の共通IDに分割しそれぞれを秘匿化するようにしたが、共通IDを秘匿かした後に分割するようにしてもよい。その他本発明は上記実施例に限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能である。
【符号の説明】
【００３６】
１１・・・個人情報管理装置、１２・・・名寄せ装置、１３、１４・・・中継装置、１５・・・ネットワーク、２０１、３０１、４０１・・・制御部、２０２、３０２、４０２・・・ネットワークインタフェース部、２０３・・・本人確認情報記憶部、２０４・・・本人確認情報更新履歴記憶部、２０５・・・共通ID復元部、２０６・・・本人確認情報照合部、２０７・・・本人確認情報照合結果秘匿化部、３０３・・・入力部、３０４・・・出力部、３０５・・・共通ID秘匿化部、３０６・・・本人確認情報ハッシュ化部、３０７、４０３・・・ルーティング情報記憶部、３０８・・・本人確認情報照合結果復元部、３０９・・・本人確認情報照合結果処理部、３１０・・・属性情報記憶部、３１１・・・共通ID・ローカルIDペア記憶部。
【特許請求の範囲】
【請求項１】
名寄せ装置、複数の中継装置とネットワークを介して接続された個人情報管理装置における本人確認方法であって、
前記個人情報管理装置には、共通IDと本人確認情報とをそれぞれ対応付けて記憶する本人確認情報記憶部と、前記共通IDと前記本人確認情報の履歴とをそれぞれ対応付けて記憶する本人確認情報更新履歴記憶部と、が具備されており、
前記名寄せ装置により前記共通IDが分割されそれぞれが秘匿化された複数のIDを、それぞれ異なる前記中継装置を介して受信し、
前記受信した複数のIDから前記共通IDを生成し、
前記生成した共通IDと、第一の中継装置から前記IDとともに受信したハッシュ化済み本人確認情報と、前記本人確認情報記憶部と、前記本人確認情報更新履歴記憶部とに基づいて、本人確認情報を照合し、
照合結果を生成し、
前記照合結果を秘匿化して前記名寄せ装置に送信する、
ことを特徴とする本人確認方法。
【請求項２】
前記個人情報管理装置により、前記共通IDに基づき前記本人確認情報記憶部と前記本人確認情報更新履歴記憶部を検索し、それぞれの該当レコードから本人確認情報を取得し、取得した本人確認情報同士を照合し、一致した場合、前記共通IDと前記本人確認情報とが正しく対応付けられていることを示す情報、前記共通ID及び前記本人確認情報を含む照合結果を生成する、
ことを特徴とする請求項１に記載の本人確認方法。
【請求項３】
個人情報管理装置、複数の中継装置とネットワークを介して接続された名寄せ装置における本人確認方法であって、
前記名寄せ装置には、前記中継装置のIPアドレスを記憶するルーティング情報記憶部と、ローカルIDと本人確認情報とを対応付けて記憶する属性情報記憶部と、が具備されており、
共通IDを分割し秘匿化して第一のIDと第二のIDを生成し、
本人確認情報をハッシュ化し、
前記記憶部から第一の中継装置と第二の中継装置のIPアドレスを取得し、
前記取得した第二の中継装置のIPアドレスに基づき、前記生成した第一のIDと第一の中継装置のIPアドレスを第二の中継装置に送信し、
前記第一の中継装置のIPアドレスに基づき、前記第二のIDと前記ハッシュ化済み本人確認情報を前記第一の中継装置に送信し、
前記個人情報管理装置から、前記共通IDと前記本人確認情報とが正しく対応付けられていることを示す情報、前記共通ID及び前記本人確認情報を含む秘匿化された照合結果を受信し、
前記照合結果を復元し、
復元した照合結果から取得した前記本人確認情報と前記属性情報記憶部に基づき前記ローカルIDを取得し、
前記復元した照合結果から取得した共通IDと前記取得したローカルIDとを対応付けて共通ID・ローカルIDペア記憶部に登録する、
ことを特徴とする本人確認方法。
【請求項４】
名寄せ装置、複数の中継装置とネットワークを介して接続された個人情報管理装置であって、
共通IDと本人確認情報とをそれぞれ対応付けて記憶する本人確認情報記憶部と、
前記共通IDと前記本人確認情報の履歴とをそれぞれ対応付けて記憶する本人確認情報更新履歴記憶部と、
前記名寄せ装置により前記共通IDが分割されそれぞれが秘匿化された複数のIDを、それぞれ異なる前記中継装置を介して受信し、
前記受信した複数のIDから前記共通IDを生成し、
前記生成した共通IDと、第一の中継装置から前記IDとともに受信したハッシュ化済み本人確認情報と、前記本人確認情報記憶部と、前記本人確認情報更新履歴記憶部に基づいて、本人確認情報を照合し、照合結果を生成し、
前記照合結果を秘匿化して前記名寄せ装置に送信する制御部とを有する、
ことを特徴とする個人情報管理装置。
【請求項５】
前記制御部は、前記共通IDに基づき前記本人確認情報記憶部と前記本人確認情報更新履歴記憶部を検索し、それぞれの該当レコードから本人確認情報を取得し、取得した本人確認情報同士を照合し、一致した場合、前記共通IDと前記本人確認情報とが正しく対応付けられていることを示す情報、前記共通ID及び前記本人確認情報を含む照合結果を生成する、
ことを特徴とする請求項４に記載の個人情報管理装置。
【請求項６】
個人情報管理装置、複数の中継装置とネットワークを介して接続された名寄せ装置であって、
前記中継装置のIPアドレスを記憶するルーティング情報記憶部と、
ローカルIDと本人確認情報とを対応付けて記憶する属性情報記憶部と、
共通IDを分割し秘匿化して第一のIDと第二のIDを生成し、
本人確認情報をハッシュ化し、
前記記憶部から第一の中継装置と第二の中継装置のIPアドレスを取得し、
前記取得した第二の中継装置のIPアドレスに基づき、前記生成した第一のIDと第一の中継装置のIPアドレスを第二の中継装置に送信し、
前記第一の中継装置のIPアドレスに基づき、前記第二のIDと前記ハッシュ化済み本人確認情報を前記第一の中継装置に送信し、
前記個人情報管理装置から、前記共通IDと前記本人確認情報とが正しく対応付けられていることを示す情報、前記共通ID及び前記本人確認情報を含む秘匿化された照合結果を受信し、
前記照合結果を復元し、
復元した照合結果から取得した前記本人確認情報と前記属性情報記憶部に基づき前記ローカルIDを取得し、
前記復元した照合結果から取得した共通IDと前記取得したローカルIDとを対応付けて共通ID・ローカルIDペア記憶部に登録する制御部とを有する、
ことを特徴とする名寄せ装置。
【請求項７】
前記第一のIDと前記第二のIDに代えて二以上の複数のIDを用いる、
ことを特徴とする請求項３に記載の本人確認方法。
【請求項８】
前記第一のIDと前記第二のIDに代えて二以上の複数のIDを用いる、
ことを特徴とする請求項６に記載の名寄せ装置。
【請求項１】
名寄せ装置、複数の中継装置とネットワークを介して接続された個人情報管理装置における本人確認方法であって、
前記個人情報管理装置には、共通IDと本人確認情報とをそれぞれ対応付けて記憶する本人確認情報記憶部と、前記共通IDと前記本人確認情報の履歴とをそれぞれ対応付けて記憶する本人確認情報更新履歴記憶部と、が具備されており、
前記名寄せ装置により前記共通IDが分割されそれぞれが秘匿化された複数のIDを、それぞれ異なる前記中継装置を介して受信し、
前記受信した複数のIDから前記共通IDを生成し、
前記生成した共通IDと、第一の中継装置から前記IDとともに受信したハッシュ化済み本人確認情報と、前記本人確認情報記憶部と、前記本人確認情報更新履歴記憶部とに基づいて、本人確認情報を照合し、
照合結果を生成し、
前記照合結果を秘匿化して前記名寄せ装置に送信する、
ことを特徴とする本人確認方法。
【請求項２】
前記個人情報管理装置により、前記共通IDに基づき前記本人確認情報記憶部と前記本人確認情報更新履歴記憶部を検索し、それぞれの該当レコードから本人確認情報を取得し、取得した本人確認情報同士を照合し、一致した場合、前記共通IDと前記本人確認情報とが正しく対応付けられていることを示す情報、前記共通ID及び前記本人確認情報を含む照合結果を生成する、
ことを特徴とする請求項１に記載の本人確認方法。
【請求項３】
個人情報管理装置、複数の中継装置とネットワークを介して接続された名寄せ装置における本人確認方法であって、
前記名寄せ装置には、前記中継装置のIPアドレスを記憶するルーティング情報記憶部と、ローカルIDと本人確認情報とを対応付けて記憶する属性情報記憶部と、が具備されており、
共通IDを分割し秘匿化して第一のIDと第二のIDを生成し、
本人確認情報をハッシュ化し、
前記記憶部から第一の中継装置と第二の中継装置のIPアドレスを取得し、
前記取得した第二の中継装置のIPアドレスに基づき、前記生成した第一のIDと第一の中継装置のIPアドレスを第二の中継装置に送信し、
前記第一の中継装置のIPアドレスに基づき、前記第二のIDと前記ハッシュ化済み本人確認情報を前記第一の中継装置に送信し、
前記個人情報管理装置から、前記共通IDと前記本人確認情報とが正しく対応付けられていることを示す情報、前記共通ID及び前記本人確認情報を含む秘匿化された照合結果を受信し、
前記照合結果を復元し、
復元した照合結果から取得した前記本人確認情報と前記属性情報記憶部に基づき前記ローカルIDを取得し、
前記復元した照合結果から取得した共通IDと前記取得したローカルIDとを対応付けて共通ID・ローカルIDペア記憶部に登録する、
ことを特徴とする本人確認方法。
【請求項４】
名寄せ装置、複数の中継装置とネットワークを介して接続された個人情報管理装置であって、
共通IDと本人確認情報とをそれぞれ対応付けて記憶する本人確認情報記憶部と、
前記共通IDと前記本人確認情報の履歴とをそれぞれ対応付けて記憶する本人確認情報更新履歴記憶部と、
前記名寄せ装置により前記共通IDが分割されそれぞれが秘匿化された複数のIDを、それぞれ異なる前記中継装置を介して受信し、
前記受信した複数のIDから前記共通IDを生成し、
前記生成した共通IDと、第一の中継装置から前記IDとともに受信したハッシュ化済み本人確認情報と、前記本人確認情報記憶部と、前記本人確認情報更新履歴記憶部に基づいて、本人確認情報を照合し、照合結果を生成し、
前記照合結果を秘匿化して前記名寄せ装置に送信する制御部とを有する、
ことを特徴とする個人情報管理装置。
【請求項５】
前記制御部は、前記共通IDに基づき前記本人確認情報記憶部と前記本人確認情報更新履歴記憶部を検索し、それぞれの該当レコードから本人確認情報を取得し、取得した本人確認情報同士を照合し、一致した場合、前記共通IDと前記本人確認情報とが正しく対応付けられていることを示す情報、前記共通ID及び前記本人確認情報を含む照合結果を生成する、
ことを特徴とする請求項４に記載の個人情報管理装置。
【請求項６】
個人情報管理装置、複数の中継装置とネットワークを介して接続された名寄せ装置であって、
前記中継装置のIPアドレスを記憶するルーティング情報記憶部と、
ローカルIDと本人確認情報とを対応付けて記憶する属性情報記憶部と、
共通IDを分割し秘匿化して第一のIDと第二のIDを生成し、
本人確認情報をハッシュ化し、
前記記憶部から第一の中継装置と第二の中継装置のIPアドレスを取得し、
前記取得した第二の中継装置のIPアドレスに基づき、前記生成した第一のIDと第一の中継装置のIPアドレスを第二の中継装置に送信し、
前記第一の中継装置のIPアドレスに基づき、前記第二のIDと前記ハッシュ化済み本人確認情報を前記第一の中継装置に送信し、
前記個人情報管理装置から、前記共通IDと前記本人確認情報とが正しく対応付けられていることを示す情報、前記共通ID及び前記本人確認情報を含む秘匿化された照合結果を受信し、
前記照合結果を復元し、
復元した照合結果から取得した前記本人確認情報と前記属性情報記憶部に基づき前記ローカルIDを取得し、
前記復元した照合結果から取得した共通IDと前記取得したローカルIDとを対応付けて共通ID・ローカルIDペア記憶部に登録する制御部とを有する、
ことを特徴とする名寄せ装置。
【請求項７】
前記第一のIDと前記第二のIDに代えて二以上の複数のIDを用いる、
ことを特徴とする請求項３に記載の本人確認方法。
【請求項８】
前記第一のIDと前記第二のIDに代えて二以上の複数のIDを用いる、
ことを特徴とする請求項６に記載の名寄せ装置。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【公開番号】特開２０１２−２５６２６４（Ｐ２０１２−２５６２６４Ａ）
【公開日】平成２４年１２月２７日（２０１２．１２．２７）
【国際特許分類】
【出願番号】特願２０１１−１２９７７４（Ｐ２０１１−１２９７７４）
【出願日】平成２３年６月１０日（２０１１．６．１０）
【出願人】（０００００５１０８）株式会社日立製作所 (27,607)
【Ｆターム（参考）】
【公開日】平成２４年１２月２７日（２０１２．１２．２７）
【国際特許分類】
【出願日】平成２３年６月１０日（２０１１．６．１０）
【出願人】（０００００５１０８）株式会社日立製作所 (27,607)
【Ｆターム（参考）】
[ Back to top ]