管理サーバ及びプログラム
【課題】データベース装置を利用する利用者への成り済まし、あるいは利用者自身の悪意による不正がアクセスを防止し、更にデータベース利用予定を用いて予定時間外の不測のアクセスも排除する。
【解決手段】事前処理として利用者鍵と管理者鍵を生成し、それぞれ利用者端末と管理者端末に送信し、これらの鍵を用いた暗号化により暗号化データベースユーザ登録情報を生成しておき、実際のデータベースへのアクセスの際に、それぞれ利用者端末と管理者端末から受信した利用者鍵と管理者鍵を用いて、暗号化データベースユーザ登録情報を復号し（Ｓ１８０６）、いずれも不正な鍵でない場合にデータベース装置に新たなユーザ登録を求める（Ｓ１８０７）。
【解決手段】事前処理として利用者鍵と管理者鍵を生成し、それぞれ利用者端末と管理者端末に送信し、これらの鍵を用いた暗号化により暗号化データベースユーザ登録情報を生成しておき、実際のデータベースへのアクセスの際に、それぞれ利用者端末と管理者端末から受信した利用者鍵と管理者鍵を用いて、暗号化データベースユーザ登録情報を復号し（Ｓ１８０６）、いずれも不正な鍵でない場合にデータベース装置に新たなユーザ登録を求める（Ｓ１８０７）。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、データベース装置へのアクセスを管理する管理サーバに係り、秘密情報の漏洩に係る不正アクセスを防止する技術に関する。
【背景技術】
【０００２】
近年、個人情報等の秘密情報の漏洩が社会的に問題となっている。従来のセキュリティシステムは、アクセス権限を有する利用者以外の他人による不正アクセスを防止することを主眼としていた。
【０００３】
しかし、実際にはアクセス権限を有する利用者自身による悪意の流出も多く見られる。企業責任をとして、これのような事態を未然に防ぐ必要がある
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開平５−１５０８５２号公報
【特許文献２】特開２００２−１９６９６５号公報
【特許文献３】特開平１１−２１２９１９号公報
【特許文献４】特開２００１−２３６２５９号公報
【特許文献５】特開昭６１−９７７５６号公報
【特許文献６】国際公開第０１／８２０８６号
【発明の概要】
【発明が解決しようとする課題】
【０００５】
そこで、本発明は、このような問題を解決し、秘密情報の漏洩に係る不正アクセスを防止することを主な目的とする。
【課題を解決するための手段】
【０００６】
本発明に係る管理サーバは、
ユーザ登録された利用者に対してデータを提供するデータベース装置と、データベース装置を利用する利用者が操作する利用者端末と、利用者によるデータベース装置の利用を管理する管理者が操作する管理者端末とに接続する管理サーバであって、以下の要素を有することを特徴とする
（１）利用者がデータベース装置を利用する事前処理として、利用者固有の利用者鍵を生成する利用者鍵生成部
（２）利用者がデータベース装置を利用する事前処理として、生成した利用者鍵を利用者端末に送信する利用者鍵送信部
（３）利用者がデータベース装置を利用する事前処理として、管理者固有の管理者鍵を生成する管理者鍵生成部
（４）利用者がデータベース装置を利用する事前処理として、生成した管理者鍵を管理者端末に送信する管理者鍵送信部
（５）利用者がデータベース装置を利用する事前処理として、データベース装置に新たにユーザ登録するためのデータベースユーザ登録情報を生成するデータベースユーザ登録情報生成部
（６）利用者がデータベース装置を利用する事前処理として、生成したデータベースユーザ登録情報を、生成した利用者鍵と生成した管理者鍵とを用いて、復号の際に暗号化時の利用者鍵と復号時の利用者鍵の一致の判定と、暗号化時の管理者鍵と復号時の管理者鍵の一致の判定とを可能とする暗号化ロジックで暗号化して、暗号結果として暗号化データベースユーザ登録情報を生成するデータベースユーザ登録情報暗号化部
（７）暗号結果として生成した暗号化データベースユーザ登録情報を記憶する暗号化データベースユーザ登録情報記憶部
（８）利用者がデータベース装置を利用する際に、利用者端末から、当該利用者端末からデータベース装置へのアクセスを開始する要求を、利用者鍵と併せて受信するアクセス開始要求受付部
（９）利用者がデータベース装置を利用する際に、管理者端末から管理者鍵を受信する管理者鍵受信部
（１０）利用者がデータベース装置を利用する際に、暗号化データベースユーザ登録情報記憶部で記憶している暗号化データベースユーザ登録情報を、前記要求と併せて受信した利用者鍵と前記受信した管理者鍵とを用いて、暗号化時の利用者鍵と復号時の利用者鍵が一致するかの判定と、暗号化時の管理者鍵と復号時の管理者鍵が一致するかの判定とを行う復号ロジックにより復号し、いずれも一致した場合に復号結果としてデータベースユーザ登録情報を得るデータベースユーザ登録情報復号部
（１１）利用者がデータベース装置を利用する際に、データベース装置に対して、復号結果として得たデータベースユーザ登録情報を含む、新たなユーザ登録を求めるクリエイトユーザ命令を送信するクリエイトユーザ要求部。
【０００７】
データベースユーザ登録情報復号部は、暗号化データベースユーザ登録情報を前記受信した管理者鍵を用いて復号し、復号結果として一次復号データベースユーザ登録情報を得て、
管理サーバは、更に、復号結果として得た一次復号データベースユーザ登録情報を利用者端末に送信する一次復号データベースユーザ登録情報送信部を有することを特徴とする。
【０００８】
管理サーバは、更に、以下の要素を有することを特徴とする
（１２）利用者がデータベース装置を利用するデータベース利用予定を記憶するデータベース利用予定記憶部
（１３）利用者がデータベース装置を利用している際に、当該利用者のデータベース利用予定の利用終了予定日時を経過したことを判定するデータベース利用予定終了判定部
（１４）利用終了予定日時を経過した場合に、データベース装置に対して、当該データベース利用予定に係るユーザ登録の削除を求めるドロップユーザ命令を送信するドロップユーザ要求部。
【０００９】
管理サーバは、更に、以下の要素を有することを特徴とする
（１５）利用者がデータベース装置を利用する事前処理として、利用者端末から、利用者がデータベース装置を利用するデータベース利用予定を受信するデータベース利用予定入力部
（１６）受信したデータベース利用予定を記憶するデータベース利用予定記憶部
（１７）利用者がデータベース装置を利用する事前処理として、データベース利用予定記憶部に記憶しているデータベース利用予定に対する承認の依頼を管理者端末に送信し、管理者端末から承認結果を受信し、データベース利用予定記憶部に記憶しているデータベース利用予定を承認されたものと判別できるようにするデータベース利用予定承認依頼部
（１８）利用者がデータベース装置を利用する際に、承認されたデータベース利用予定内であるかを判定するデータベース利用判定部。
【００１０】
管理サーバは、更に、利用者がデータベース装置を利用するデータベース利用予定を、複数のデータベース利用単位に分けて記憶するデータベース利用予定記憶部を有し、
前記利用者鍵生成部は、データ利用単位毎に別個の利用者鍵を生成し、
前記データベースユーザ登録情報生成部は、データベース利用単位毎に別個のデータベースユーザ登録情報を生成し、
前記データベースユーザ登録情報暗号化部は、データベース利用単位毎に、前記生成した管理者鍵とともに当該別個の利用者鍵を用い、当該別個のデータベースユーザ登録情報を暗号化し、
当該データベース利用予定記憶部は、暗号化データベースユーザ登録情報記憶部として、暗号結果として生成した暗号化データベースユーザ登録情報をデータベース利用単位毎に記憶し、
前記データベースユーザ登録情報復号部は、現時点を含むデータ利用単位に対応する暗号化データベースユーザ登録情報を復号することを特徴とする。
【００１１】
本発明に係るプログラムは、
ユーザ登録された利用者に対してデータを提供するデータベース装置と、データベース装置を利用する利用者が操作する利用者端末と、利用者によるデータベース装置の利用を管理する管理者が操作する管理者端末とに接続する管理サーバとなるコンピュータに、以下の手順を実行させるためのプログラムであることを特徴とする
（１）利用者がデータベース装置を利用する事前処理として、利用者固有の利用者鍵を生成する利用者鍵生成処理手順
（２）利用者がデータベース装置を利用する事前処理として、生成した利用者鍵を利用者端末に送信する利用者鍵送信処理手順
（３）利用者がデータベース装置を利用する事前処理として、管理者固有の管理者鍵を生成する管理者鍵生成処理手順
（４）利用者がデータベース装置を利用する事前処理として、生成した管理者鍵を管理者端末に送信する管理者鍵送信処理手順
（５）利用者がデータベース装置を利用する事前処理として、データベース装置に新たにユーザ登録するためのデータベースユーザ登録情報を生成するデータベースユーザ登録情報生成処理手順
（６）利用者がデータベース装置を利用する事前処理として、生成したデータベースユーザ登録情報を、生成した利用者鍵と生成した管理者鍵とを用いて、復号の際に暗号化時の利用者鍵と復号時の利用者鍵の一致の判定と、暗号化時の管理者鍵と復号時の管理者鍵の一致の判定とを可能とする暗号化ロジックで暗号化して、暗号結果として暗号化データベースユーザ登録情報を生成し、記憶するデータベースユーザ登録情報暗号化処理手順
（７）利用者がデータベース装置を利用する際に、利用者端末から、当該利用者端末からデータベース装置へのアクセスを開始する要求を、利用者鍵と併せて受信するアクセス開始要求受付処理手順
（８）利用者がデータベース装置を利用する際に、管理者端末から管理者鍵を受信する管理者鍵受信処理手順
（９）利用者がデータベース装置を利用する際に、データベースユーザ登録情報暗号化処理手順で記憶した暗号化データベースユーザ登録情報を、前記要求と併せて受信した利用者鍵と前記受信した管理者鍵とを用いて、暗号化時の利用者鍵と復号時の利用者鍵が一致するかの判定と、暗号化時の管理者鍵と復号時の管理者鍵が一致するかの判定とを行う復号ロジックにより復号し、いずれも一致した場合に復号結果としてデータベースユーザ登録情報を得るデータベースユーザ登録情報復号処理手順
（１０）利用者がデータベース装置を利用する際に、データベース装置に対して、復号結果として得たデータベースユーザ登録情報を含む、新たなユーザ登録を求めるクリエイトユーザ命令を送信するクリエイトユーザ要求処理手順。
【発明の効果】
【００１２】
本発明によれば、事前処理として利用者鍵と管理者鍵を生成し、それぞれ利用者端末と管理者端末に送信し、これらの鍵を用いた暗号化により暗号化データベースユーザ登録情報を生成しておき、実際のデータベースへのアクセスの際に、それぞれ利用者端末と管理者端末から受信した利用者鍵と管理者鍵を用いて、暗号化データベースユーザ登録情報を復号し、いずれも不正な鍵でない場合にデータベース装置に新たなユーザ登録を求めるので、利用者の成り済まし、あるいは利用者自身の悪意による不正なアクセスを防止できる。データベース利用予定を用いた安全機構を有するので、不測のアクセスも排除できる。
【図面の簡単な説明】
【００１３】
【図１】ネットワーク環境を示す図である。
【図２】利用者による事前処理に係る管理サーバの構成を示す図である。
【図３】利用者による事前処理フローを示す図である。
【図４】データベース利用予定入力画面を示す図である。
【図５】利用者鍵生成処理フローを示す図である。
【図６】データベース利用予定記憶部の構成を示す図である。
【図７】データベース利用単位と利用者鍵のテーブルの例を示す図である。
【図８】管理者による事前処理に係る管理サーバの構成を示す図である。
【図９】管理者による事前処理フローを示す図である。
【図１０】管理者鍵生成処理フローを示す図である。
【図１１】管理単位と管理者鍵のテーブルの例を示す図である。
【図１２】データベース利用予定承認依頼処理フローを示す図である。
【図１３】データベース利用予定承認画面を示す図である。
【図１４】データベースユーザ登録情報生成処理フローを示す図である。
【図１５】データベースユーザ登録情報暗号化部の構成を示す図である。
【図１６】データベースユーザ登録情報暗号化処理フローを示す図である。
【図１７】データベースアクセス開始時の処理に係る管理サーバの構成を示す図である。
【図１８】データベースアクセス開始時の処理フローを示す図である。
【図１９】データベースユーザ登録情報復号部の構成を示す図である。
【図２０】データベースユーザ登録情報復号処理フローを示す図である。
【図２１】データアクセス時の処理に係る利用者端末の構成を示す図である。
【図２２】データアクセス時の利用者端末の処理フローを示す図である。
【図２３】利用者端末からのデータアクセス終了時の処理に係る管理サーバの構成を示す図である。
【図２４】利用者端末からのデータアクセス終了時の処理フローを示す図である。
【図２５】データベース利用予定オーバー時の処理に係る管理サーバの構成を示す図である。
【図２６】データベース利用予定オーバー時の処理フローを示す図である。
【図２７】各装置のハードウェア構成を示す図である。
【発明を実施するための形態】
【００１４】
実施の形態１．
データベースの操作に関する一定の知識を有する者が、データベースへアクセスするためのユーザ情報（以下の例では、データベースユーザ名、データベースユーザパスワード）を知っていれば、業務用アプリケーションを利用しなくても、当該ユーザ情報を用いて直接データベースにアクセスし、秘密の情報を盗み出すことができることに鑑み、本発明は、その改善策としてユーザ情報を動的に変更する。
【００１５】
図１は、ネットワーク環境を示す図である。ローカルエリアネットワーク（ネットワークの例）には、データベース装置１、管理サーバ２、管理者端末３、及び利用者端末４が接続されている。データベース装置１には、個人情報等の秘匿情報を含む情報群を管理している。利用者は、担当業務など本来の適正な目的においてデータベース装置１から情報を引き出し、または情報を格納させるために、利用者端末４を操作して、データベース装置１にアクセスする。管理サーバ２は、利用者端末４からデータベース装置１への不正なアクセスを防止し、適正なアクセスのみを実行させるように管理を行う。
【００１６】
本管理システムでは、まず利用者端末４を操作する利用者による事前処理と、管理者端末３を操作する管理者による事前処理を行う必要がある。例えば月末に、利用者が翌月のデータベース装置１の利用予定を申請し、管理者が各利用者毎に翌月分の申請を当月内に承認する作業に相当する。
【００１７】
まず、利用者による事前処理について説明する。図２は、利用者による事前処理に係る管理サーバの構成を示す図である。管理サーバ２は、この処理の為に、システム利用者認証部２０１、データベース利用予定入力部２０２、データベース利用予定記憶部２０３、利用者鍵生成部２０４、及び利用者鍵送信部２０５の要素を有している。
【００１８】
図３は、利用者による事前処理フローを示す図である。利用者認証処理（Ｓ３０１）では、通常のシステム同様に、利用者が本管理システムを用いる権限を有しているかをチェックする。
【００１９】
利用者端末４は、本管理システムの適正な利用者として認証を受ける為のシステム利用者ＩＤとシステム利用者パスワードの入力を利用者に促すシステム利用者認証情報入力画面を表示し、操作部を介してシステム利用者ＩＤとシステム利用者パスワードを受付ける。そして、受け付けたシステム利用者ＩＤとシステム利用者パスワードを管理サーバ２に送信する。システム利用者認証部２０１による利用者認証処理（Ｓ３０１）では、利用者端末４からシステム利用者ＩＤとシステム利用者パスワードを受信し、予め登録してあるシステム利用者ＩＤとシステム利用者パスワードの組み合わせのいずれかと一致するか判断する。一致する場合には、認証成功の旨を利用者端末４に返信し、処理の続行を許可する。不一致の場合には、認証失敗の旨を利用者端末４に返信し、処理を中断させる。尚、ここで用いるシステム利用者認証情報、つまりシステム利用者ＩＤとシステム利用者パスワードは、後述するデータベースで管理するデータベースユーザ登録情報とは関連の無いものである。
【００２０】
利用者端末４では、認証成功の旨の通知を受けると、データベース利用予定設定部（図示せず）により、利用者にデータベース利用予定の入力を促すデータベース利用予定設定画面を表示し、データベース利用予定を受付ける。そして、受け付けたデータベース利用予定を管理サーバ２に送信する。
【００２１】
図４は、データベース利用予定入力画面を示す図である。この画面では、利用者が業務のためにデータベースにアクセスする時間帯、つまり利用開始予定日時と利用終了予定日時（データベース利用単位という。）を指定するように構成されている。これらの日付と時間帯のリストをデータベース利用予定として扱う。データベース利用予定として、就業予定を用いることも考えられる。就業中に、常にデータベースを用いる業務形態の場合には、就業予定を直接データベース利用予定とすることが合理的である。
【００２２】
データベース利用予定入力部２０２によるデータベース利用予定入力処理（Ｓ３０２）では、利用者端末４から上述のデータベース利用予定を受信し、データベース利用予定記憶部２０３に記憶させる。
【００２３】
次に、利用者鍵生成部２０４による利用者鍵生成処理（Ｓ３０３）を行う。図５は、利用者鍵生成処理フローを示す図である。データベース利用予定に含まれるデータベース利用単位毎に以下の処理を繰り返す（Ｓ５０１）。例えば乱数により、無作為に選択した文字あるいは数字からなる数字・文字列を生成する（Ｓ５０２）。そして、生成した文字・数字列を、利用者鍵として、当該データベース利用単位と対応付けてデータベース利用予定記憶部２０３に記憶させる（Ｓ５０３）。これらの処理を、すべてのデータベース利用単位について終えた時点で終了する（Ｓ５０４）。つまり、データベース利用単位毎に、個別の無作為な利用者鍵を生成する。
【００２４】
ここで、データベース利用予定記憶部について説明する。図６は、データベース利用予定記憶部の構成を示す図である。システム利用者毎にテーブルを有している。このテーブルのヘッダには、当該システム利用者のＩＤが格納され、データベース利用単位毎のレコードを有している。レコードには、データベース利用単位６０３の他に、承認６０２、利用者鍵６０４、暗号化データベースユーザ名６０５、暗号化データベースユーザパスワード６０６の項目を有しているが、利用者鍵生成の時点では、まだ承認６０２、暗号化データベースユーザ名６０５、及び暗号化データベースユーザパスワード６０６の項目の領域は用いていない。承認６０２には、後に管理者が行う承認の結果が格納される。暗号化データベースユーザ名６０５と暗号化データベースユーザパスワード６０６の組み合わせは、後述する暗号化データベースユーザ登録情報の例である。データベースユーザ名とデータベースユーザパスワードを一体として暗号化する場合には、６０５と６０６の区別なく、一体として暗号化された暗号化データベースユーザ登録情報が格納される。
【００２５】
そして、図３に示すように利用者鍵送信部２０５による利用者鍵送信処理（Ｓ３０４）を行う。この処理では、データベース利用単位毎に対応する利用者鍵を利用者端末４に返信する。この例では、これらをテーブルの形式で転送する。図７は、データベース利用単位と利用者鍵のテーブルの例を示す図である。図に示すように、各データベース利用単位に対応する利用者鍵が格納されている。利用者は、このようにして受信した利用者鍵について、守秘義務を負い、他人に知られないように管理する。利用者鍵は、後に、利用者が予定に従ってデータベース装置１にアクセスする際に必要になる。
【００２６】
次に、管理者による事前処理について説明する。図８は、管理者による事前処理に係る管理サーバの構成を示す図である。管理サーバ２は、この処理の為に、更にシステム管理者認証部８０１、管理者鍵生成部８０２、生成管理者鍵記憶部８０３、管理者鍵送信部８０４、データベース利用予定承認依頼部８０５、データベースユーザ登録情報生成部８０６、データベースユーザ登録情報暗号化部８０７、利用者鍵削除部８０８、及び管理者鍵削除部８０９の要素を有している。
【００２７】
図９は、管理者による事前処理フローを示す図である。システム管理者認証処理（Ｓ９０１）では、管理者として本管理システムを用いる権限を有しているかをチェックする。
【００２８】
管理者端末３は、本管理システムの適正な管理者として認証を受ける為のシステム管理者ＩＤとシステム管理者パスワードの入力を促すシステム管理者認証情報入力画面を表示し、システム管理者ＩＤとシステム管理者パスワードを受付ける。そして、受け付けたシステム管理者ＩＤとシステム管理者パスワードを管理サーバ２に送信する。システム管理者認証部８０１によるシステム管理者認証処理（Ｓ９０１）では、管理者端末３からシステム管理者ＩＤとシステム管理者パスワードを受信し、予め登録してあるシステム管理者ＩＤとシステム管理者パスワードと一致するか判断する。一致する場合には、認証成功の旨を管理者端末３に返信し、処理の続行を許可する。不一致の場合には、認証失敗の旨を管理者端末３に返信し、処理を中断させる。尚、ここで用いるシステム管理者認証情報、つまりシステム管理者ＩＤとシステム管理者パスワードは、後述するデータベースで管理するデータベースユーザ登録情報とは関連の無いものである。
【００２９】
システム管理者の認証に成功すると、管理者鍵生成部８０２による管理者鍵生成処理（Ｓ９０２）を行う。
【００３０】
図１０は、管理者鍵生成処理フローを示す図である。管理者鍵の有効期間（例えば、日付と時間で特定し、あるいは日、週、月単位で特定する。）である管理単位毎に以下の処理を繰り返す（Ｓ１００１）。乱数により、無作為に選択した文字あるいは数字からなる数字・文字列を生成し（Ｓ１００２）、生成した文字・数字列を、管理者鍵として、当該管理単位と対応付けて記憶させる（Ｓ１００３）。そして、すべての管理単位について処理時点で終了する（Ｓ１００４）。つまり、データベース利用単位毎に、個別の無作為な利用者鍵を生成する。
【００３１】
管理者鍵送信部８０４による管理者鍵送信処理（Ｓ９０３）で、生成した管理者鍵を管理単位に対応付けて管理サーバ２に返信する。この例では、これらをテーブルの形式で転送する。図１１は、管理単位と管理者鍵のテーブルの例を示す図である。図に示すように、日付と時間で特定された各管理単位に対応する管理者鍵が格納されている。管理者は、このようにして受信した管理者鍵について、守秘義務を負い、他人に知られないように管理する。管理者鍵は、管理者が自ら承認した予定に従って利用者が実際にデータベース装置１へアクセスする際に、そのアクセスを承認するために用いられる。
【００３２】
そして、図９に示すようにシステム利用者毎にＳ９０５〜Ｓ９０８の処理を繰り返す（Ｓ９０４）。
【００３３】
データベース利用予定承認依頼部８０５によるデータベース利用予定承認依頼処理（Ｓ９０５）を行う。この処理では、管理者に、各利用者が申請したデータベース利用予定の承認を登録させる。図１２は、データベース利用予定承認依頼処理フローを示す図である。まず、システム利用者ＩＤに対応するシステム利用者氏名を取得する（Ｓ１２０１）。システム利用者氏名は、システム利用者テーブル（図示せず）に予めシステム利用者ＩＤに対応付けて記憶されている。また、データベース利用予定記憶部２０３からシステム利用者ＩＤに対応するデータベース利用予定を取得する（Ｓ１２０２）。そして、システム利用者ＩＤとシステム利用者氏名とデータベース利用予定を含み、データベース利用単位毎の承認可否を入力可能なデータベース利用予定承認画面を生成する（Ｓ１２０３）。
【００３４】
図１３は、データベース利用予定承認画面を示す図である。この例では、承認ボックスをチェックすることにより、承認（承認可）を指示するように構成されている。チェックしない場合には、否認（承認否）を指示することになる。
【００３５】
データベース利用予定承認依頼部８０５から、このデータベース利用予定承認画面を管理者端末３へ送信し（Ｓ１２０４）、管理者端末３からデータベース利用単位毎の承認可否を受信し、データベース利用単位に対応付けて承認可否（承認結果）をデータベース利用予定記憶部に記憶させる（Ｓ１２０５）。この例に拠らず、承認否のデータベース利用単位を削除し、承認可のデータベース利用単位のみを残すことによって、データベース利用予定記憶部に記憶しているデータベース利用予定を承認されたものと判別できるようにしてもよい。
【００３６】
次に、図９に示すようにデータベースユーザ登録情報生成部８０６によるデータベースユーザ登録情報生成処理（Ｓ９０６）を行う。この処理で、データベースユーザ名とデータベースユーザパスワードからなるデータベースユーザ登録情報を生成する。データベースユーザ登録情報は、データベース装置にアクセスする為に必要な情報である。図１４は、データベースユーザ登録情報生成処理フローを示す図である。乱数により、無作為に選択した文字あるいは数字からなる数字・文字列を生成し（Ｓ１４０１）、生成した文字・数字列を、データベースユーザ名とする（Ｓ１４０２）。また、乱数により、無作為に選択した文字あるいは数字からなる数字・文字列を生成し（Ｓ１４０３）、生成した文字・数字列を、データベースユーザパスワードとする（Ｓ１４０４）。
【００３７】
次に、図９に示すようにデータベースユーザ登録情報暗号化部８０７によるデータベースユーザ登録情報暗号化処理（Ｓ９０７）を行う。この処理では、データベースユーザ登録情報を利用者鍵と管理者鍵で暗号化する。
【００３８】
図１５は、データベースユーザ登録情報暗号化部の構成を示す図である。データベースユーザ登録情報を利用者鍵で暗号化して、一次暗号化データベースユーザ登録情報を生成する利用者暗号化部１５０１と、生成した一次暗号化データベースユーザ登録情報を管理者鍵で暗号化して、二次暗号化データベースユーザ登録情報を生成する管理者暗号化部１５０２とを含んでいる。これらの要素で行う暗号化の方式として、２つの入力データ（データベースユーザ名とデータベースユーザパスワード）を連結させて、一体として暗号化してもよいし、２つの入力データ（データベースユーザ名とデータベースユーザパスワード）をそれぞれ別に暗号化して、得られた２つの出力データ（暗号化データベースユーザ名と暗号化データベースユーザパスワード）の組み合わせを暗号化データ（暗号化データベースユーザ登録情報）として扱ってもよい。
【００３９】
また、これらの要素は、暗号化データを不正な鍵（暗号化時の鍵と異なる鍵）で復号しようとした場合には、不正を検出できる暗号化／復号ロジックを用いる。つまり、復号の際に暗号化時の利用者鍵と復号時の利用者鍵の一致の判定と、暗号化時の管理者鍵と復号時の管理者鍵の一致の判定とを可能とする暗号化を行う。例えば、暗号化処理のいずれかの段階で、暗号時の利用者鍵そのもの、あるいは暗号時の利用者鍵を一意に表すデータを含めて暗号処理する。そして、復号の際に、暗号時の利用者鍵あるいは一意のデータを抽出し、復号時の利用者鍵あるいは復号時の利用者鍵を一意に表すデータと比較することにより、不正を検出することができる。また、不正な鍵による復号を行おうとすると、処理上の矛盾が生じるようなロジックであっても構わない。
【００４０】
図１６は、データベースユーザ登録情報暗号化処理フローを示す図である。まず、利用者暗号化部１５０１により、データベースユーザ名とデータベースユーザパスワードからなるデータベースユーザ登録情報を、利用者鍵を用いて暗号化し、一次暗号化データベースユーザ登録情報を得る（Ｓ１６０１）。次に、管理者暗号化部１５０２により、一次暗号化データベースユーザ登録情報を、更に管理者鍵で暗号化し、二次暗号化データベースユーザ登録情報を得る（Ｓ１６０２）。そして、二次暗号化データベースユーザ登録情報を、当該処理の出力データである暗号化データベースユーザ登録情報とする（Ｓ１６０３）。
【００４１】
利用者鍵削除部８０８による利用者鍵削除処理（Ｓ９０８）を行う。この処理では、上述のデータベースユーザ登録情報暗号化処理で用いた当該利用者の利用者鍵をデータベース利用予定記憶部２０３から削除する。
そして、すべてのシステム利用者について処理した時点でループ制御を終了し（Ｓ９０９）、管理者鍵削除部８０９による管理者鍵削除処理（Ｓ９１０）を行う。この処理では、上述のデータベースユーザ登録情報暗号化処理（Ｓ９０７）で用いた管理者鍵を生成管理者鍵記憶部８０３から削除する。
【００４２】
上述のようにして、利用者及び管理者による事前準備が完了する。
【００４３】
続いて、実際に利用者がデータベースにアクセスする際の処理について説明する。本管理システムでは、データベース利用単位毎に、データベース装置１に対してクリエイトユーザを要求し、データベース利用単位内においてのみ有効とする別個のデータベースユーザ名とデータベースユーザパスワードをデータベース装置１に登録する。以下、データベースアクセス開始時の処理について説明する。
【００４４】
図１７は、データベースアクセス開始時の処理に係る管理サーバの構成を示す図である。管理サーバ２は、この処理の為に、更にアクセス開始要求受付部１７０１、利用者鍵記憶部１７０２、データベース利用予定判定部１７０３、アクセス承認依頼部１７０４、管理者鍵受信部１７０５、管理者鍵記憶部１７０６、データベースユーザ登録情報復号部１７０７、クリエイトユーザ要求部１７０８、及び一次復号データベースユーザ登録情報送信部１７０９の要素を有する。
【００４５】
図１８は、データベースアクセス開始時の処理フローを示す図である。まず、前述と同様に、システム利用者認証部２０１によるシステム利用者認証処理（Ｓ１８０１）を行う。
【００４６】
利用者端末４では、認証成功の旨の通知を受けると、アクセス開始要求指示部（図示せず）により、利用者に利用者鍵の入力とアクセス開始要求の指示を促すアクセス開始要求指示画面を表示し、操作部を介して利用者鍵とアクセス開始要求の指示を受け付ける。このとき、利用者は、事前処理で取得したリストから現時点を含むデータベース利用単位を特定し、当該データベース利用単位に対応する利用者鍵を入力する。そして、利用者端末４は、受け付けた利用者鍵を含むアクセス開始要求を管理サーバ２に送信する。
【００４７】
アクセス開始要求受付部１７０１によるアクセス開始要求受付処理（Ｓ１８０２）では、利用者端末４から上述の利用者鍵を含むアクセス開始要求を受信する。そして、システム利用者認証部２０１から取得したシステム利用者ＩＤと対応付けて利用者鍵を利用者鍵記憶部１７０２に記憶させる。
【００４８】
次に、データベース利用予定判定部１７０３によるデータベース利用予定判定処理（Ｓ１８０３）を行う。この処理では、データベース利用予定通りであるか否かを判定する。その為に、システム利用者認証部２０１からシステム利用者ＩＤを取得し、当該システム利用者ＩＤに対応するテーブルをデータベース利用予定記憶部２０３から特定する。そして、内部のカレンダー／タイマー部（図示せず）から当日付と現時刻を取得して、現時点が、そのテーブルのデータベース利用予定のいずれかのデータベース利用単位に含まれるかを判定する。データベース利用予定に該当する場合、つまり現時点がいずれかのデータベース利用単位に含まれる場合には、処理を継続する。一方、データベース利用予定に該当しない場合、つまり現時点がいずれのデータベース利用単位にも含まれない場合には、処理を中断し、終了する。
【００４９】
次に、アクセス承認依頼部１７０４によるアクセス承認依頼処理（Ｓ１８０４）を行う。この処理では、管理者に、利用者が実際にデータベースにアクセスすることの承認を依頼する。その為に、アクセス承認依頼部１７０４は、システム利用者テーブル（図示せず）からシステム利用者ＩＤに対応するシステム利用者氏名を取得し、システム利用者ＩＤとシステム利用者氏名を含み、アクセス承認可否を入力可能なアクセス承認画面（図示せず）を生成し、管理者端末３に送信する。そして、管理者端末３からデータベース利用単位毎の承認可否を受信し、承認（承認可）の場合には、処理を続行し、否認（承認否）の場合には、中断し、処理を終了する。
【００５０】
次に、管理者鍵受信部１７０５による管理者鍵受信処理（Ｓ１８０５）を行う。この処理では、事前処理で付与した管理者鍵の返信を求める。その為、管理者端末３へ管理者鍵の入力を促す管理者鍵入力画面（図示せず）を生成し、管理者端末３に送信する。
【００５１】
管理者端末３は、管理者鍵入力画面を受信して、これを表示し、管理者鍵を受け付ける。このとき、管理者は、事前処理で取得したリストから現時点を含む管理単位を特定し、当該管理単位に対応する管理者鍵を入力する。そして、管理者端末３は、受け付けた管理者鍵を管理サーバ２に送信する。
【００５２】
管理者鍵受信部１７０５は、管理サーバ２から管理者鍵を受信し、受信した管理者鍵を管理者鍵記憶部１７０６に記憶させる。
【００５３】
次に、データベースユーザ登録情報復号部１７０７によるデータベースユーザ登録情報復号処理（Ｓ１８０６）を行う。この処理では、暗号化データベースユーザ登録情報を管理者鍵と利用者鍵で復号する。
【００５４】
図１９は、データベースユーザ登録情報復号部の構成を示す図である。暗号化データベースユーザ登録情報を管理者鍵で復号し、一次復号データベースユーザ登録情報を生成する管理者復号部１９０１と、生成した一次復号データベースユーザ登録情報を利用者鍵で復号し、二次復号データベースユーザ登録情報を生成する利用者復号部１９０２とを含んでいる。前述の暗号化の際に、２つの入力データ（データベースユーザ名とデータベースユーザパスワード）を連結させて、一体として暗号化している場合には、これらの復号部は、暗号化データを一体として復号する。また、２つの入力データ（データベースユーザ名とデータベースユーザパスワード）をそれぞれ別に暗号化して、得られた２つの出力データ（暗号化データベースユーザ名と暗号化データベースユーザパスワード）の組み合わせを暗号化データ（暗号化データベースユーザ登録情報）として扱っている場合には、暗号化データを２つに分けて、それぞれを復号する。
【００５５】
これらの復号部は前述の通り、暗号化データを不正な鍵で復号しようとした場合には、不正を検出できる暗号化／復号ロジックを用いている。つまり、暗号化時の利用者鍵と復号時の利用者鍵が一致するかの判定と、暗号化時の管理者鍵と復号時の管理者鍵が一致するかの判定とを行う復号ロジックにより復号する。
【００５６】
図２０は、データベースユーザ登録情報復号処理フローを示す図である。管理者鍵記憶部１７０６から管理者鍵を読み出し、データベース利用予定記憶部２０３の当該システム利用者ＩＤのテーブルから、現時点を含むデータベース利用単位に対応する暗号化データベースユーザ登録情報を読み出し、暗号化データベースユーザ登録情報を管理者鍵で復号し、一次復号データベースユーザ登録情報を得る（Ｓ２００１）。このとき、復号に用いる管理者鍵が当該暗号化データベースを生成した際の管理者鍵と一致していない場合には、当該復号処理で不正を検出し、ステータスを失敗として終了する。一方、復号に用いる管理者鍵が当該暗号化データベースを生成した際の管理者鍵と一致している場合には、当該復号処理で正当を検出し、ステータスを成功として処理を続行する。次に、一次復号データベースユーザ登録情報を、更に利用者鍵で復号し、二次復号データベースユーザ登録情報を得る（Ｓ２００２）。このとき、復号に用いる利用者鍵が当該暗号化データベースを生成した際の利用者鍵と一致していない場合には、当該復号処理で不正を検出し、ステータスを失敗として終了する。一方、復号に用いる利用者鍵が当該暗号化データベースを生成した際の利用者鍵と一致している場合には、当該復号処理で正当を検出し、ステータスを成功とする。最後に、二次復号データベースユーザ登録情報を、当該処理の出力データであるデータベースユーザ登録情報として、データベースユーザ名とデータベースユーザパスワードを特定する（Ｓ２００３）。一体として復号した場合には、暗号化の際の連結方式に従って、復号結果をデータベースユーザ名とデータベースユーザパスワードに分割する。別々に復号した場合には、それぞれの復号結果をデータベースユーザ名とデータベースユーザパスワードとする。
【００５７】
図１８に示すように、データベースユーザ登録情報復号処理が成功すると、クリエイトユーザ要求部１７０８によるクリエイトユーザ要求処理（Ｓ１８０７）を行う。この処理では、データベース装置１に対してクリエイトユーザの命令を送信し、新たなユーザ登録（アカウント生成）を依頼する。クリエイトユーザ命令には、前述の処理で求めたデータベースユーザ名とデータベースユーザパスワードを含める。これにより、以降このデータベースユーザ名とデータベースユーザパスワードを用いて、データベース装置１にログインできるようになる。
【００５８】
最後に、一次復号データベースユーザ登録情報送信部１７０９による一次復号データベースユーザ登録情報送信処理（Ｓ１８０８）を行う。この処理では、図２０のＳ２００１で得た一次復号データベースユーザ登録情報を利用者端末４に送信する。
【００５９】
上述の処理が成功することにより、利用者端末４からデータベース装置１へのアクセスが可能になる。
【００６０】
図２１は、データアクセス時の処理に係る利用者端末の構成を示す図である。利用者端末４は、この処理の為に、一次復号データベースユーザ登録情報受信部２１０１、利用者鍵入力部２１０２、利用者復号部２１０３、データベースログイン要求部２１０４、データベースアクセス要求部２１０５、及びデータベースログアウト要求部２１０６の要素を有する。
【００６１】
図２２は、データアクセス時の利用者端末の処理フローを示す図である。まず、一次復号データベースユーザ登録情報受信部２１０１による一次復号データベースユーザ登録情報受信処理（Ｓ２２０１）を行う。この処理では、図１８に示した一次復号データベースユーザ登録情報送信処理（Ｓ１８０８）により送出された一次復号データベースユーザ登録情報を受信する。
【００６２】
次に、利用者鍵入力部２１０２による利用者鍵入力処理（Ｓ２２０２）を行う。この処理では、利用者に利用者鍵の入力を促し、利用者鍵を受け付ける。このときも、利用者は、現時点を含むデータベース利用単位に対応する利用者鍵を入力させる。改めて入力せずに、前述の処理でアクセス開始要求指示画面に対して入力した利用者鍵を用いてもよい。
【００６３】
次に、利用者復号部２１０３による利用者復号処理（Ｓ２２０３）を行う。この処理では、一次復号データベースユーザ登録情報を、利用者鍵で復号し、二次復号データベースユーザ登録情報を得る。このとき、復号に用いる利用者鍵が当該暗号化データベースを生成した際の利用者鍵と一致していない場合には、当該復号処理で不正を検出し、ステータスを失敗として終了する。一方、復号に用いる利用者鍵が当該暗号化データベースを生成した際の利用者鍵と一致している場合には、当該復号処理で正当を検出し、ステータスを成功とする。そして、二次復号データベースユーザ登録情報を、当該処理の出力データあるデータベースユーザ登録情報として、データベースユーザ名とデータベースユーザパスワードを特定する。一体として復号した場合には、暗号化の際の連結方式に従って、復号結果をデータベースユーザ名とデータベースユーザパスワードに分割する。別々に復号した場合には、それぞれの復号結果をデータベースユーザ名とデータベースユーザパスワードとする。
【００６４】
そして、データベースログイン要求部２１０４によるデータベースログイン処理（Ｓ２２０４）を行う。この処理では、データベースユーザ名とデータベースユーザパスワードを渡して、データベース装置１にログインする。
【００６５】
続いて、データベースアクセス要求部２１０５によるデータベースアクセス処理（Ｓ２２０５）を行う。この処理では、例えばデータベース装置１のデータを取得し、あるいはデータを書き込むことができる。
【００６６】
データベース装置１へのアクセスを終える場合に、データベースログアウト要求部２１０６によるデータベースログアウト処理（Ｓ２２０６）を行う。ログアウト命令を送信して、終了する。
【００６７】
データベース利用単位内でのデータベースへのデータアクセスを終えると、利用者は、データベース装置１に登録したユーザ（アカウント）を削除するための操作を行う。
【００６８】
図２３は、利用者端末からのデータアクセス終了時の処理に係る管理サーバの構成を示す図である。管理サーバ２は、この処理の為に、更にアクセス終了通知受付部２３０１、及びドロップユーザ要求部２３０２の要素を有する。
【００６９】
図２４は、利用者端末からのデータアクセス終了時の処理フローを示す図である。アクセス終了通知受付部２３０１によるアクセス終了通知受付処理（Ｓ２４０１）で、利用者端末４からアクセス終了通知（利用者鍵を含むこともある）を受信する。次に、データベースユーザ登録情報復号部１７０７によるデータベースユーザ登録情報復号処理（Ｓ２４０２）を行う。この処理では、システム利用者ＩＤに対応する暗号化データベースユーザ登録情報をデータベース利用予定記憶部２０３から読み出し、管理者鍵記憶部１７０６に記憶している管理者鍵と、アクセス終了通知受付部２３０１でアクセス終了通知と併せて受信した利用者鍵を用いて、暗号化データベースユーザ登録情報を復号する。アクセス終了通知受付部２３０１で利用者鍵を受信する代わりに、利用者鍵記憶部１７０２でシステム利用者ＩＤに対応付けて記憶している利用者鍵を読み出して用いてもよい。
【００７０】
データベースユーザ登録情報復号部１７０７の処理は、前述と同様である。この例によらず、Ｓ２４０２を省略し、前述のデータベースユーザ登録情報復号部１７０７の処理（図１８のＳ１８０６）で得た復号結果を用いてもよい。
【００７１】
そして、ドロップユーザ要求部２３０２によるドロップユーザ要求処理（Ｓ２４０３）を行う。この処理により、データベース装置１に対して、データベースユーザ登録情報復号部１７０７の復号処理で得たデータベースユーザ名とデータベースユーザパスワードを含むドロップユーザ命令を送信する。これにより、データベース装置１のユーザ登録（アカウント）が削除される。
【００７２】
実施の形態２．
前述の処理では、利用者自身がデータベース利用単位内でのデータベース装置１へのアクセスの終了を意識して自らデータアクセス終了時の処理を指示したが、データベース利用単位の利用終了予定日時を経過した時点で、管理サーバ２が自動的にユーザ登録（アカウント）を削除するようにすることもできる。
【００７３】
図２５は、データベース利用予定オーバー時の処理に係る管理サーバの構成を示す図である。管理サーバ２は、この処理の為に、更にデータベース利用予定終了判定部２５０１を有する。
【００７４】
図２６は、データベース利用予定オーバー時の処理フローを示す図である。まず、データベース利用予定終了判定部２５０１によるデータベース利用予定終了判定処理（Ｓ２６０１）を行う。この処理では、システム利用者ＩＤに対応するデータベース利用単位をデータベース利用予定記憶部２０３から取得し、その終了時点を経過したか判定する。経過した場合には、データベースユーザ登録情報復号部１７０７によるデータベースユーザ登録情報復号処理（Ｓ２６０２）を行う。この処理では、システム利用者ＩＤと当該データベース利用単位に対応する暗号化データベースユーザ登録情報をデータベース利用予定記憶部２０３から読み出し、管理者鍵記憶部１７０６に記憶している管理者鍵と、利用者鍵記憶部１７０２でシステム利用者ＩＤに対応付けて記憶している利用者鍵を用いて、暗号化データベースユーザ登録情報を復号する。データベースユーザ登録情報復号部１７０７の処理は、前述と同様である。この例によらず、Ｓ２６０２を省略し、前述のデータベースユーザ登録情報復号部１７０７の処理（図１８のＳ１８０６）で得た復号結果を用いてもよい。
【００７５】
続いて、ドロップユーザ要求部２３０２によるドロップユーザ要求処理（Ｓ２６０３）を行う。この処理により、データベース装置１に対して、データベースユーザ登録情報復号部１７０７の復号処理で得たデータベースユーザ名とデータベースユーザパスワードを含むドロップユーザ命令を送信する。これにより、データベース装置１のユーザ登録（アカウント）が削除される。
【００７６】
データベース装置１、管理サーバ２、管理者端末３、及び利用者端末４は、コンピュータであり、各要素はプログラムにより処理を実行することができる。また、プログラムを記憶媒体に記憶させ、記憶媒体からコンピュータに読み取られるようにすることができる。
【００７７】
図２７は、データベース装置１、管理サーバ２、管理者端末３、及び利用者端末４のハードウェア構成例を示す図である。バスに、演算装置２７０１、データ記憶装置２７０２、メモリ２７０３、通信インターフェース２７０４が接続されている。データ記憶装置２７０２は、例えばＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）やハードディスクである。メモリ２７０３は、通常ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）である。
【００７８】
プログラムは、通常データ記憶装置２７０２に記憶されており、メモリ２７０３にロードされた状態で、順次演算装置２７０１に読み込まれ処理を行う。通信インターフェース２７０４は、ローカルエリアネットワークを介する通信に用いられる。
【００７９】
本発明によれば、データベース登録情報は外部には知らされず、利用者及び管理者は、データベース登録情報を知り得ないので、直接データベース装置にアクセスすることはできない。また、管理者鍵と利用者鍵が揃わなければ、データベース装置にユーザ登録されないので、利用者鍵を知りえる者（利用鍵を盗んだ他人あるいは悪意のある当人）のみでは、データベース装置へアクセスすることができない。つまり、仮にデータベース装置に対する不正アクセスが発覚した場合には、利用者及び管理者の共犯関係が推測される。
【００８０】
また、鍵が適正な場合に、一次復号データベース登録情報を利用者端末に送信し、利用者端末側でこれを利用者鍵を用いて復号することにより、データベース登録情報を得ることができるので、唯一その利用者端末からのデータベース装置へのログインが可能となる。
【００８１】
データベース利用予定を越えた場合には、強制的にユーザ登録を削除するので、予定時間外の不正なアクセスを防止できる。また、利用者や管理者の退職後に、これらの者のユーザ登録情報が放置される事態は生じ得ない。
【００８２】
管理者が承認したデータベース利用予定以外のアクセス開始要求は、自動的に拒否するので、予定時間外の不正なアクセスを防止できる。
【００８３】
データベース利用予定を複数のデータベース利用単位に分割し、それぞれに異なるデータベースユーザ登録情報と利用者鍵を用いるので、データベース利用単位の都度、新たなガードが設けられことになる。つまり、秘密を守るキーとなる情報が動的に更新されることにより、常に安全性が担保される。
【００８４】
データベースユーザ登録情報が生成され、用いられるには、以下の条件を満たすことが必要になる。
（１）その利用者の利用予定が登録されていること
（２）利用予定が管理者により承認されていること
（３）利用が、その利用者の利用予定内のものであること
（４）利用者の利用開始要求が利用予定内になされていること
（５）利用者によるアクセス終了通知がなされていないこと
（６）管理サーバによる強制終了がなされていないこと
【符号の説明】
【００８５】
１ データベース装置、２ 管理サーバ、３ 管理者端末、４ 利用者端末、２０１ システム利用者認証部、２０２ データベース利用予定入力部、２０３ データベース利用予定記憶部、２０４ 利用者鍵生成部、２０５ 利用者鍵送信部、８０１ システム管理者認証部、８０２ 管理者鍵生成部、８０３ 生成管理者鍵記憶部、８０４ 管理者鍵送信部、８０５ データベース利用予定承認依頼部、８０６ データベースユーザ登録情報生成部、８０７ データベースユーザ登録情報暗号化部、８０８ 利用者鍵削除部、８０９ 管理者鍵削除部、１５０１ 利用者暗号化部、１５０２ 管理者暗号化部、１７０１ アクセス開始要求受付部、１７０２ 利用者鍵記憶部、１７０３ データベース利用予定判定部、１７０４ アクセス承認依頼部、１７０５ 管理者鍵受信部、１７０６ 管理者鍵記憶部、１７０７ データベースユーザ登録情報復号部、１７０８ クリエイトユーザ要求部、１７０９ 一次復号データベースユーザ登録情報送信部、１９０１ 管理者復号部、１９０２ 利用者復号部、２１０１ 一次復号データベースユーザ登録情報受信部、２１０２ 利用者鍵入力部、２１０３ 利用者復号部、２１０４ データベースログイン要求部、２１０５ データベースアクセス要求部、２１０６ データベースログアウト要求部、２３０１ アクセス終了通知受付部、２３０２ ドロップユーザ要求部、２５０１ データベース利用予定終了判定部。
【技術分野】
【０００１】
本発明は、データベース装置へのアクセスを管理する管理サーバに係り、秘密情報の漏洩に係る不正アクセスを防止する技術に関する。
【背景技術】
【０００２】
近年、個人情報等の秘密情報の漏洩が社会的に問題となっている。従来のセキュリティシステムは、アクセス権限を有する利用者以外の他人による不正アクセスを防止することを主眼としていた。
【０００３】
しかし、実際にはアクセス権限を有する利用者自身による悪意の流出も多く見られる。企業責任をとして、これのような事態を未然に防ぐ必要がある
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開平５−１５０８５２号公報
【特許文献２】特開２００２−１９６９６５号公報
【特許文献３】特開平１１−２１２９１９号公報
【特許文献４】特開２００１−２３６２５９号公報
【特許文献５】特開昭６１−９７７５６号公報
【特許文献６】国際公開第０１／８２０８６号
【発明の概要】
【発明が解決しようとする課題】
【０００５】
そこで、本発明は、このような問題を解決し、秘密情報の漏洩に係る不正アクセスを防止することを主な目的とする。
【課題を解決するための手段】
【０００６】
本発明に係る管理サーバは、
ユーザ登録された利用者に対してデータを提供するデータベース装置と、データベース装置を利用する利用者が操作する利用者端末と、利用者によるデータベース装置の利用を管理する管理者が操作する管理者端末とに接続する管理サーバであって、以下の要素を有することを特徴とする
（１）利用者がデータベース装置を利用する事前処理として、利用者固有の利用者鍵を生成する利用者鍵生成部
（２）利用者がデータベース装置を利用する事前処理として、生成した利用者鍵を利用者端末に送信する利用者鍵送信部
（３）利用者がデータベース装置を利用する事前処理として、管理者固有の管理者鍵を生成する管理者鍵生成部
（４）利用者がデータベース装置を利用する事前処理として、生成した管理者鍵を管理者端末に送信する管理者鍵送信部
（５）利用者がデータベース装置を利用する事前処理として、データベース装置に新たにユーザ登録するためのデータベースユーザ登録情報を生成するデータベースユーザ登録情報生成部
（６）利用者がデータベース装置を利用する事前処理として、生成したデータベースユーザ登録情報を、生成した利用者鍵と生成した管理者鍵とを用いて、復号の際に暗号化時の利用者鍵と復号時の利用者鍵の一致の判定と、暗号化時の管理者鍵と復号時の管理者鍵の一致の判定とを可能とする暗号化ロジックで暗号化して、暗号結果として暗号化データベースユーザ登録情報を生成するデータベースユーザ登録情報暗号化部
（７）暗号結果として生成した暗号化データベースユーザ登録情報を記憶する暗号化データベースユーザ登録情報記憶部
（８）利用者がデータベース装置を利用する際に、利用者端末から、当該利用者端末からデータベース装置へのアクセスを開始する要求を、利用者鍵と併せて受信するアクセス開始要求受付部
（９）利用者がデータベース装置を利用する際に、管理者端末から管理者鍵を受信する管理者鍵受信部
（１０）利用者がデータベース装置を利用する際に、暗号化データベースユーザ登録情報記憶部で記憶している暗号化データベースユーザ登録情報を、前記要求と併せて受信した利用者鍵と前記受信した管理者鍵とを用いて、暗号化時の利用者鍵と復号時の利用者鍵が一致するかの判定と、暗号化時の管理者鍵と復号時の管理者鍵が一致するかの判定とを行う復号ロジックにより復号し、いずれも一致した場合に復号結果としてデータベースユーザ登録情報を得るデータベースユーザ登録情報復号部
（１１）利用者がデータベース装置を利用する際に、データベース装置に対して、復号結果として得たデータベースユーザ登録情報を含む、新たなユーザ登録を求めるクリエイトユーザ命令を送信するクリエイトユーザ要求部。
【０００７】
データベースユーザ登録情報復号部は、暗号化データベースユーザ登録情報を前記受信した管理者鍵を用いて復号し、復号結果として一次復号データベースユーザ登録情報を得て、
管理サーバは、更に、復号結果として得た一次復号データベースユーザ登録情報を利用者端末に送信する一次復号データベースユーザ登録情報送信部を有することを特徴とする。
【０００８】
管理サーバは、更に、以下の要素を有することを特徴とする
（１２）利用者がデータベース装置を利用するデータベース利用予定を記憶するデータベース利用予定記憶部
（１３）利用者がデータベース装置を利用している際に、当該利用者のデータベース利用予定の利用終了予定日時を経過したことを判定するデータベース利用予定終了判定部
（１４）利用終了予定日時を経過した場合に、データベース装置に対して、当該データベース利用予定に係るユーザ登録の削除を求めるドロップユーザ命令を送信するドロップユーザ要求部。
【０００９】
管理サーバは、更に、以下の要素を有することを特徴とする
（１５）利用者がデータベース装置を利用する事前処理として、利用者端末から、利用者がデータベース装置を利用するデータベース利用予定を受信するデータベース利用予定入力部
（１６）受信したデータベース利用予定を記憶するデータベース利用予定記憶部
（１７）利用者がデータベース装置を利用する事前処理として、データベース利用予定記憶部に記憶しているデータベース利用予定に対する承認の依頼を管理者端末に送信し、管理者端末から承認結果を受信し、データベース利用予定記憶部に記憶しているデータベース利用予定を承認されたものと判別できるようにするデータベース利用予定承認依頼部
（１８）利用者がデータベース装置を利用する際に、承認されたデータベース利用予定内であるかを判定するデータベース利用判定部。
【００１０】
管理サーバは、更に、利用者がデータベース装置を利用するデータベース利用予定を、複数のデータベース利用単位に分けて記憶するデータベース利用予定記憶部を有し、
前記利用者鍵生成部は、データ利用単位毎に別個の利用者鍵を生成し、
前記データベースユーザ登録情報生成部は、データベース利用単位毎に別個のデータベースユーザ登録情報を生成し、
前記データベースユーザ登録情報暗号化部は、データベース利用単位毎に、前記生成した管理者鍵とともに当該別個の利用者鍵を用い、当該別個のデータベースユーザ登録情報を暗号化し、
当該データベース利用予定記憶部は、暗号化データベースユーザ登録情報記憶部として、暗号結果として生成した暗号化データベースユーザ登録情報をデータベース利用単位毎に記憶し、
前記データベースユーザ登録情報復号部は、現時点を含むデータ利用単位に対応する暗号化データベースユーザ登録情報を復号することを特徴とする。
【００１１】
本発明に係るプログラムは、
ユーザ登録された利用者に対してデータを提供するデータベース装置と、データベース装置を利用する利用者が操作する利用者端末と、利用者によるデータベース装置の利用を管理する管理者が操作する管理者端末とに接続する管理サーバとなるコンピュータに、以下の手順を実行させるためのプログラムであることを特徴とする
（１）利用者がデータベース装置を利用する事前処理として、利用者固有の利用者鍵を生成する利用者鍵生成処理手順
（２）利用者がデータベース装置を利用する事前処理として、生成した利用者鍵を利用者端末に送信する利用者鍵送信処理手順
（３）利用者がデータベース装置を利用する事前処理として、管理者固有の管理者鍵を生成する管理者鍵生成処理手順
（４）利用者がデータベース装置を利用する事前処理として、生成した管理者鍵を管理者端末に送信する管理者鍵送信処理手順
（５）利用者がデータベース装置を利用する事前処理として、データベース装置に新たにユーザ登録するためのデータベースユーザ登録情報を生成するデータベースユーザ登録情報生成処理手順
（６）利用者がデータベース装置を利用する事前処理として、生成したデータベースユーザ登録情報を、生成した利用者鍵と生成した管理者鍵とを用いて、復号の際に暗号化時の利用者鍵と復号時の利用者鍵の一致の判定と、暗号化時の管理者鍵と復号時の管理者鍵の一致の判定とを可能とする暗号化ロジックで暗号化して、暗号結果として暗号化データベースユーザ登録情報を生成し、記憶するデータベースユーザ登録情報暗号化処理手順
（７）利用者がデータベース装置を利用する際に、利用者端末から、当該利用者端末からデータベース装置へのアクセスを開始する要求を、利用者鍵と併せて受信するアクセス開始要求受付処理手順
（８）利用者がデータベース装置を利用する際に、管理者端末から管理者鍵を受信する管理者鍵受信処理手順
（９）利用者がデータベース装置を利用する際に、データベースユーザ登録情報暗号化処理手順で記憶した暗号化データベースユーザ登録情報を、前記要求と併せて受信した利用者鍵と前記受信した管理者鍵とを用いて、暗号化時の利用者鍵と復号時の利用者鍵が一致するかの判定と、暗号化時の管理者鍵と復号時の管理者鍵が一致するかの判定とを行う復号ロジックにより復号し、いずれも一致した場合に復号結果としてデータベースユーザ登録情報を得るデータベースユーザ登録情報復号処理手順
（１０）利用者がデータベース装置を利用する際に、データベース装置に対して、復号結果として得たデータベースユーザ登録情報を含む、新たなユーザ登録を求めるクリエイトユーザ命令を送信するクリエイトユーザ要求処理手順。
【発明の効果】
【００１２】
本発明によれば、事前処理として利用者鍵と管理者鍵を生成し、それぞれ利用者端末と管理者端末に送信し、これらの鍵を用いた暗号化により暗号化データベースユーザ登録情報を生成しておき、実際のデータベースへのアクセスの際に、それぞれ利用者端末と管理者端末から受信した利用者鍵と管理者鍵を用いて、暗号化データベースユーザ登録情報を復号し、いずれも不正な鍵でない場合にデータベース装置に新たなユーザ登録を求めるので、利用者の成り済まし、あるいは利用者自身の悪意による不正なアクセスを防止できる。データベース利用予定を用いた安全機構を有するので、不測のアクセスも排除できる。
【図面の簡単な説明】
【００１３】
【図１】ネットワーク環境を示す図である。
【図２】利用者による事前処理に係る管理サーバの構成を示す図である。
【図３】利用者による事前処理フローを示す図である。
【図４】データベース利用予定入力画面を示す図である。
【図５】利用者鍵生成処理フローを示す図である。
【図６】データベース利用予定記憶部の構成を示す図である。
【図７】データベース利用単位と利用者鍵のテーブルの例を示す図である。
【図８】管理者による事前処理に係る管理サーバの構成を示す図である。
【図９】管理者による事前処理フローを示す図である。
【図１０】管理者鍵生成処理フローを示す図である。
【図１１】管理単位と管理者鍵のテーブルの例を示す図である。
【図１２】データベース利用予定承認依頼処理フローを示す図である。
【図１３】データベース利用予定承認画面を示す図である。
【図１４】データベースユーザ登録情報生成処理フローを示す図である。
【図１５】データベースユーザ登録情報暗号化部の構成を示す図である。
【図１６】データベースユーザ登録情報暗号化処理フローを示す図である。
【図１７】データベースアクセス開始時の処理に係る管理サーバの構成を示す図である。
【図１８】データベースアクセス開始時の処理フローを示す図である。
【図１９】データベースユーザ登録情報復号部の構成を示す図である。
【図２０】データベースユーザ登録情報復号処理フローを示す図である。
【図２１】データアクセス時の処理に係る利用者端末の構成を示す図である。
【図２２】データアクセス時の利用者端末の処理フローを示す図である。
【図２３】利用者端末からのデータアクセス終了時の処理に係る管理サーバの構成を示す図である。
【図２４】利用者端末からのデータアクセス終了時の処理フローを示す図である。
【図２５】データベース利用予定オーバー時の処理に係る管理サーバの構成を示す図である。
【図２６】データベース利用予定オーバー時の処理フローを示す図である。
【図２７】各装置のハードウェア構成を示す図である。
【発明を実施するための形態】
【００１４】
実施の形態１．
データベースの操作に関する一定の知識を有する者が、データベースへアクセスするためのユーザ情報（以下の例では、データベースユーザ名、データベースユーザパスワード）を知っていれば、業務用アプリケーションを利用しなくても、当該ユーザ情報を用いて直接データベースにアクセスし、秘密の情報を盗み出すことができることに鑑み、本発明は、その改善策としてユーザ情報を動的に変更する。
【００１５】
図１は、ネットワーク環境を示す図である。ローカルエリアネットワーク（ネットワークの例）には、データベース装置１、管理サーバ２、管理者端末３、及び利用者端末４が接続されている。データベース装置１には、個人情報等の秘匿情報を含む情報群を管理している。利用者は、担当業務など本来の適正な目的においてデータベース装置１から情報を引き出し、または情報を格納させるために、利用者端末４を操作して、データベース装置１にアクセスする。管理サーバ２は、利用者端末４からデータベース装置１への不正なアクセスを防止し、適正なアクセスのみを実行させるように管理を行う。
【００１６】
本管理システムでは、まず利用者端末４を操作する利用者による事前処理と、管理者端末３を操作する管理者による事前処理を行う必要がある。例えば月末に、利用者が翌月のデータベース装置１の利用予定を申請し、管理者が各利用者毎に翌月分の申請を当月内に承認する作業に相当する。
【００１７】
まず、利用者による事前処理について説明する。図２は、利用者による事前処理に係る管理サーバの構成を示す図である。管理サーバ２は、この処理の為に、システム利用者認証部２０１、データベース利用予定入力部２０２、データベース利用予定記憶部２０３、利用者鍵生成部２０４、及び利用者鍵送信部２０５の要素を有している。
【００１８】
図３は、利用者による事前処理フローを示す図である。利用者認証処理（Ｓ３０１）では、通常のシステム同様に、利用者が本管理システムを用いる権限を有しているかをチェックする。
【００１９】
利用者端末４は、本管理システムの適正な利用者として認証を受ける為のシステム利用者ＩＤとシステム利用者パスワードの入力を利用者に促すシステム利用者認証情報入力画面を表示し、操作部を介してシステム利用者ＩＤとシステム利用者パスワードを受付ける。そして、受け付けたシステム利用者ＩＤとシステム利用者パスワードを管理サーバ２に送信する。システム利用者認証部２０１による利用者認証処理（Ｓ３０１）では、利用者端末４からシステム利用者ＩＤとシステム利用者パスワードを受信し、予め登録してあるシステム利用者ＩＤとシステム利用者パスワードの組み合わせのいずれかと一致するか判断する。一致する場合には、認証成功の旨を利用者端末４に返信し、処理の続行を許可する。不一致の場合には、認証失敗の旨を利用者端末４に返信し、処理を中断させる。尚、ここで用いるシステム利用者認証情報、つまりシステム利用者ＩＤとシステム利用者パスワードは、後述するデータベースで管理するデータベースユーザ登録情報とは関連の無いものである。
【００２０】
利用者端末４では、認証成功の旨の通知を受けると、データベース利用予定設定部（図示せず）により、利用者にデータベース利用予定の入力を促すデータベース利用予定設定画面を表示し、データベース利用予定を受付ける。そして、受け付けたデータベース利用予定を管理サーバ２に送信する。
【００２１】
図４は、データベース利用予定入力画面を示す図である。この画面では、利用者が業務のためにデータベースにアクセスする時間帯、つまり利用開始予定日時と利用終了予定日時（データベース利用単位という。）を指定するように構成されている。これらの日付と時間帯のリストをデータベース利用予定として扱う。データベース利用予定として、就業予定を用いることも考えられる。就業中に、常にデータベースを用いる業務形態の場合には、就業予定を直接データベース利用予定とすることが合理的である。
【００２２】
データベース利用予定入力部２０２によるデータベース利用予定入力処理（Ｓ３０２）では、利用者端末４から上述のデータベース利用予定を受信し、データベース利用予定記憶部２０３に記憶させる。
【００２３】
次に、利用者鍵生成部２０４による利用者鍵生成処理（Ｓ３０３）を行う。図５は、利用者鍵生成処理フローを示す図である。データベース利用予定に含まれるデータベース利用単位毎に以下の処理を繰り返す（Ｓ５０１）。例えば乱数により、無作為に選択した文字あるいは数字からなる数字・文字列を生成する（Ｓ５０２）。そして、生成した文字・数字列を、利用者鍵として、当該データベース利用単位と対応付けてデータベース利用予定記憶部２０３に記憶させる（Ｓ５０３）。これらの処理を、すべてのデータベース利用単位について終えた時点で終了する（Ｓ５０４）。つまり、データベース利用単位毎に、個別の無作為な利用者鍵を生成する。
【００２４】
ここで、データベース利用予定記憶部について説明する。図６は、データベース利用予定記憶部の構成を示す図である。システム利用者毎にテーブルを有している。このテーブルのヘッダには、当該システム利用者のＩＤが格納され、データベース利用単位毎のレコードを有している。レコードには、データベース利用単位６０３の他に、承認６０２、利用者鍵６０４、暗号化データベースユーザ名６０５、暗号化データベースユーザパスワード６０６の項目を有しているが、利用者鍵生成の時点では、まだ承認６０２、暗号化データベースユーザ名６０５、及び暗号化データベースユーザパスワード６０６の項目の領域は用いていない。承認６０２には、後に管理者が行う承認の結果が格納される。暗号化データベースユーザ名６０５と暗号化データベースユーザパスワード６０６の組み合わせは、後述する暗号化データベースユーザ登録情報の例である。データベースユーザ名とデータベースユーザパスワードを一体として暗号化する場合には、６０５と６０６の区別なく、一体として暗号化された暗号化データベースユーザ登録情報が格納される。
【００２５】
そして、図３に示すように利用者鍵送信部２０５による利用者鍵送信処理（Ｓ３０４）を行う。この処理では、データベース利用単位毎に対応する利用者鍵を利用者端末４に返信する。この例では、これらをテーブルの形式で転送する。図７は、データベース利用単位と利用者鍵のテーブルの例を示す図である。図に示すように、各データベース利用単位に対応する利用者鍵が格納されている。利用者は、このようにして受信した利用者鍵について、守秘義務を負い、他人に知られないように管理する。利用者鍵は、後に、利用者が予定に従ってデータベース装置１にアクセスする際に必要になる。
【００２６】
次に、管理者による事前処理について説明する。図８は、管理者による事前処理に係る管理サーバの構成を示す図である。管理サーバ２は、この処理の為に、更にシステム管理者認証部８０１、管理者鍵生成部８０２、生成管理者鍵記憶部８０３、管理者鍵送信部８０４、データベース利用予定承認依頼部８０５、データベースユーザ登録情報生成部８０６、データベースユーザ登録情報暗号化部８０７、利用者鍵削除部８０８、及び管理者鍵削除部８０９の要素を有している。
【００２７】
図９は、管理者による事前処理フローを示す図である。システム管理者認証処理（Ｓ９０１）では、管理者として本管理システムを用いる権限を有しているかをチェックする。
【００２８】
管理者端末３は、本管理システムの適正な管理者として認証を受ける為のシステム管理者ＩＤとシステム管理者パスワードの入力を促すシステム管理者認証情報入力画面を表示し、システム管理者ＩＤとシステム管理者パスワードを受付ける。そして、受け付けたシステム管理者ＩＤとシステム管理者パスワードを管理サーバ２に送信する。システム管理者認証部８０１によるシステム管理者認証処理（Ｓ９０１）では、管理者端末３からシステム管理者ＩＤとシステム管理者パスワードを受信し、予め登録してあるシステム管理者ＩＤとシステム管理者パスワードと一致するか判断する。一致する場合には、認証成功の旨を管理者端末３に返信し、処理の続行を許可する。不一致の場合には、認証失敗の旨を管理者端末３に返信し、処理を中断させる。尚、ここで用いるシステム管理者認証情報、つまりシステム管理者ＩＤとシステム管理者パスワードは、後述するデータベースで管理するデータベースユーザ登録情報とは関連の無いものである。
【００２９】
システム管理者の認証に成功すると、管理者鍵生成部８０２による管理者鍵生成処理（Ｓ９０２）を行う。
【００３０】
図１０は、管理者鍵生成処理フローを示す図である。管理者鍵の有効期間（例えば、日付と時間で特定し、あるいは日、週、月単位で特定する。）である管理単位毎に以下の処理を繰り返す（Ｓ１００１）。乱数により、無作為に選択した文字あるいは数字からなる数字・文字列を生成し（Ｓ１００２）、生成した文字・数字列を、管理者鍵として、当該管理単位と対応付けて記憶させる（Ｓ１００３）。そして、すべての管理単位について処理時点で終了する（Ｓ１００４）。つまり、データベース利用単位毎に、個別の無作為な利用者鍵を生成する。
【００３１】
管理者鍵送信部８０４による管理者鍵送信処理（Ｓ９０３）で、生成した管理者鍵を管理単位に対応付けて管理サーバ２に返信する。この例では、これらをテーブルの形式で転送する。図１１は、管理単位と管理者鍵のテーブルの例を示す図である。図に示すように、日付と時間で特定された各管理単位に対応する管理者鍵が格納されている。管理者は、このようにして受信した管理者鍵について、守秘義務を負い、他人に知られないように管理する。管理者鍵は、管理者が自ら承認した予定に従って利用者が実際にデータベース装置１へアクセスする際に、そのアクセスを承認するために用いられる。
【００３２】
そして、図９に示すようにシステム利用者毎にＳ９０５〜Ｓ９０８の処理を繰り返す（Ｓ９０４）。
【００３３】
データベース利用予定承認依頼部８０５によるデータベース利用予定承認依頼処理（Ｓ９０５）を行う。この処理では、管理者に、各利用者が申請したデータベース利用予定の承認を登録させる。図１２は、データベース利用予定承認依頼処理フローを示す図である。まず、システム利用者ＩＤに対応するシステム利用者氏名を取得する（Ｓ１２０１）。システム利用者氏名は、システム利用者テーブル（図示せず）に予めシステム利用者ＩＤに対応付けて記憶されている。また、データベース利用予定記憶部２０３からシステム利用者ＩＤに対応するデータベース利用予定を取得する（Ｓ１２０２）。そして、システム利用者ＩＤとシステム利用者氏名とデータベース利用予定を含み、データベース利用単位毎の承認可否を入力可能なデータベース利用予定承認画面を生成する（Ｓ１２０３）。
【００３４】
図１３は、データベース利用予定承認画面を示す図である。この例では、承認ボックスをチェックすることにより、承認（承認可）を指示するように構成されている。チェックしない場合には、否認（承認否）を指示することになる。
【００３５】
データベース利用予定承認依頼部８０５から、このデータベース利用予定承認画面を管理者端末３へ送信し（Ｓ１２０４）、管理者端末３からデータベース利用単位毎の承認可否を受信し、データベース利用単位に対応付けて承認可否（承認結果）をデータベース利用予定記憶部に記憶させる（Ｓ１２０５）。この例に拠らず、承認否のデータベース利用単位を削除し、承認可のデータベース利用単位のみを残すことによって、データベース利用予定記憶部に記憶しているデータベース利用予定を承認されたものと判別できるようにしてもよい。
【００３６】
次に、図９に示すようにデータベースユーザ登録情報生成部８０６によるデータベースユーザ登録情報生成処理（Ｓ９０６）を行う。この処理で、データベースユーザ名とデータベースユーザパスワードからなるデータベースユーザ登録情報を生成する。データベースユーザ登録情報は、データベース装置にアクセスする為に必要な情報である。図１４は、データベースユーザ登録情報生成処理フローを示す図である。乱数により、無作為に選択した文字あるいは数字からなる数字・文字列を生成し（Ｓ１４０１）、生成した文字・数字列を、データベースユーザ名とする（Ｓ１４０２）。また、乱数により、無作為に選択した文字あるいは数字からなる数字・文字列を生成し（Ｓ１４０３）、生成した文字・数字列を、データベースユーザパスワードとする（Ｓ１４０４）。
【００３７】
次に、図９に示すようにデータベースユーザ登録情報暗号化部８０７によるデータベースユーザ登録情報暗号化処理（Ｓ９０７）を行う。この処理では、データベースユーザ登録情報を利用者鍵と管理者鍵で暗号化する。
【００３８】
図１５は、データベースユーザ登録情報暗号化部の構成を示す図である。データベースユーザ登録情報を利用者鍵で暗号化して、一次暗号化データベースユーザ登録情報を生成する利用者暗号化部１５０１と、生成した一次暗号化データベースユーザ登録情報を管理者鍵で暗号化して、二次暗号化データベースユーザ登録情報を生成する管理者暗号化部１５０２とを含んでいる。これらの要素で行う暗号化の方式として、２つの入力データ（データベースユーザ名とデータベースユーザパスワード）を連結させて、一体として暗号化してもよいし、２つの入力データ（データベースユーザ名とデータベースユーザパスワード）をそれぞれ別に暗号化して、得られた２つの出力データ（暗号化データベースユーザ名と暗号化データベースユーザパスワード）の組み合わせを暗号化データ（暗号化データベースユーザ登録情報）として扱ってもよい。
【００３９】
また、これらの要素は、暗号化データを不正な鍵（暗号化時の鍵と異なる鍵）で復号しようとした場合には、不正を検出できる暗号化／復号ロジックを用いる。つまり、復号の際に暗号化時の利用者鍵と復号時の利用者鍵の一致の判定と、暗号化時の管理者鍵と復号時の管理者鍵の一致の判定とを可能とする暗号化を行う。例えば、暗号化処理のいずれかの段階で、暗号時の利用者鍵そのもの、あるいは暗号時の利用者鍵を一意に表すデータを含めて暗号処理する。そして、復号の際に、暗号時の利用者鍵あるいは一意のデータを抽出し、復号時の利用者鍵あるいは復号時の利用者鍵を一意に表すデータと比較することにより、不正を検出することができる。また、不正な鍵による復号を行おうとすると、処理上の矛盾が生じるようなロジックであっても構わない。
【００４０】
図１６は、データベースユーザ登録情報暗号化処理フローを示す図である。まず、利用者暗号化部１５０１により、データベースユーザ名とデータベースユーザパスワードからなるデータベースユーザ登録情報を、利用者鍵を用いて暗号化し、一次暗号化データベースユーザ登録情報を得る（Ｓ１６０１）。次に、管理者暗号化部１５０２により、一次暗号化データベースユーザ登録情報を、更に管理者鍵で暗号化し、二次暗号化データベースユーザ登録情報を得る（Ｓ１６０２）。そして、二次暗号化データベースユーザ登録情報を、当該処理の出力データである暗号化データベースユーザ登録情報とする（Ｓ１６０３）。
【００４１】
利用者鍵削除部８０８による利用者鍵削除処理（Ｓ９０８）を行う。この処理では、上述のデータベースユーザ登録情報暗号化処理で用いた当該利用者の利用者鍵をデータベース利用予定記憶部２０３から削除する。
そして、すべてのシステム利用者について処理した時点でループ制御を終了し（Ｓ９０９）、管理者鍵削除部８０９による管理者鍵削除処理（Ｓ９１０）を行う。この処理では、上述のデータベースユーザ登録情報暗号化処理（Ｓ９０７）で用いた管理者鍵を生成管理者鍵記憶部８０３から削除する。
【００４２】
上述のようにして、利用者及び管理者による事前準備が完了する。
【００４３】
続いて、実際に利用者がデータベースにアクセスする際の処理について説明する。本管理システムでは、データベース利用単位毎に、データベース装置１に対してクリエイトユーザを要求し、データベース利用単位内においてのみ有効とする別個のデータベースユーザ名とデータベースユーザパスワードをデータベース装置１に登録する。以下、データベースアクセス開始時の処理について説明する。
【００４４】
図１７は、データベースアクセス開始時の処理に係る管理サーバの構成を示す図である。管理サーバ２は、この処理の為に、更にアクセス開始要求受付部１７０１、利用者鍵記憶部１７０２、データベース利用予定判定部１７０３、アクセス承認依頼部１７０４、管理者鍵受信部１７０５、管理者鍵記憶部１７０６、データベースユーザ登録情報復号部１７０７、クリエイトユーザ要求部１７０８、及び一次復号データベースユーザ登録情報送信部１７０９の要素を有する。
【００４５】
図１８は、データベースアクセス開始時の処理フローを示す図である。まず、前述と同様に、システム利用者認証部２０１によるシステム利用者認証処理（Ｓ１８０１）を行う。
【００４６】
利用者端末４では、認証成功の旨の通知を受けると、アクセス開始要求指示部（図示せず）により、利用者に利用者鍵の入力とアクセス開始要求の指示を促すアクセス開始要求指示画面を表示し、操作部を介して利用者鍵とアクセス開始要求の指示を受け付ける。このとき、利用者は、事前処理で取得したリストから現時点を含むデータベース利用単位を特定し、当該データベース利用単位に対応する利用者鍵を入力する。そして、利用者端末４は、受け付けた利用者鍵を含むアクセス開始要求を管理サーバ２に送信する。
【００４７】
アクセス開始要求受付部１７０１によるアクセス開始要求受付処理（Ｓ１８０２）では、利用者端末４から上述の利用者鍵を含むアクセス開始要求を受信する。そして、システム利用者認証部２０１から取得したシステム利用者ＩＤと対応付けて利用者鍵を利用者鍵記憶部１７０２に記憶させる。
【００４８】
次に、データベース利用予定判定部１７０３によるデータベース利用予定判定処理（Ｓ１８０３）を行う。この処理では、データベース利用予定通りであるか否かを判定する。その為に、システム利用者認証部２０１からシステム利用者ＩＤを取得し、当該システム利用者ＩＤに対応するテーブルをデータベース利用予定記憶部２０３から特定する。そして、内部のカレンダー／タイマー部（図示せず）から当日付と現時刻を取得して、現時点が、そのテーブルのデータベース利用予定のいずれかのデータベース利用単位に含まれるかを判定する。データベース利用予定に該当する場合、つまり現時点がいずれかのデータベース利用単位に含まれる場合には、処理を継続する。一方、データベース利用予定に該当しない場合、つまり現時点がいずれのデータベース利用単位にも含まれない場合には、処理を中断し、終了する。
【００４９】
次に、アクセス承認依頼部１７０４によるアクセス承認依頼処理（Ｓ１８０４）を行う。この処理では、管理者に、利用者が実際にデータベースにアクセスすることの承認を依頼する。その為に、アクセス承認依頼部１７０４は、システム利用者テーブル（図示せず）からシステム利用者ＩＤに対応するシステム利用者氏名を取得し、システム利用者ＩＤとシステム利用者氏名を含み、アクセス承認可否を入力可能なアクセス承認画面（図示せず）を生成し、管理者端末３に送信する。そして、管理者端末３からデータベース利用単位毎の承認可否を受信し、承認（承認可）の場合には、処理を続行し、否認（承認否）の場合には、中断し、処理を終了する。
【００５０】
次に、管理者鍵受信部１７０５による管理者鍵受信処理（Ｓ１８０５）を行う。この処理では、事前処理で付与した管理者鍵の返信を求める。その為、管理者端末３へ管理者鍵の入力を促す管理者鍵入力画面（図示せず）を生成し、管理者端末３に送信する。
【００５１】
管理者端末３は、管理者鍵入力画面を受信して、これを表示し、管理者鍵を受け付ける。このとき、管理者は、事前処理で取得したリストから現時点を含む管理単位を特定し、当該管理単位に対応する管理者鍵を入力する。そして、管理者端末３は、受け付けた管理者鍵を管理サーバ２に送信する。
【００５２】
管理者鍵受信部１７０５は、管理サーバ２から管理者鍵を受信し、受信した管理者鍵を管理者鍵記憶部１７０６に記憶させる。
【００５３】
次に、データベースユーザ登録情報復号部１７０７によるデータベースユーザ登録情報復号処理（Ｓ１８０６）を行う。この処理では、暗号化データベースユーザ登録情報を管理者鍵と利用者鍵で復号する。
【００５４】
図１９は、データベースユーザ登録情報復号部の構成を示す図である。暗号化データベースユーザ登録情報を管理者鍵で復号し、一次復号データベースユーザ登録情報を生成する管理者復号部１９０１と、生成した一次復号データベースユーザ登録情報を利用者鍵で復号し、二次復号データベースユーザ登録情報を生成する利用者復号部１９０２とを含んでいる。前述の暗号化の際に、２つの入力データ（データベースユーザ名とデータベースユーザパスワード）を連結させて、一体として暗号化している場合には、これらの復号部は、暗号化データを一体として復号する。また、２つの入力データ（データベースユーザ名とデータベースユーザパスワード）をそれぞれ別に暗号化して、得られた２つの出力データ（暗号化データベースユーザ名と暗号化データベースユーザパスワード）の組み合わせを暗号化データ（暗号化データベースユーザ登録情報）として扱っている場合には、暗号化データを２つに分けて、それぞれを復号する。
【００５５】
これらの復号部は前述の通り、暗号化データを不正な鍵で復号しようとした場合には、不正を検出できる暗号化／復号ロジックを用いている。つまり、暗号化時の利用者鍵と復号時の利用者鍵が一致するかの判定と、暗号化時の管理者鍵と復号時の管理者鍵が一致するかの判定とを行う復号ロジックにより復号する。
【００５６】
図２０は、データベースユーザ登録情報復号処理フローを示す図である。管理者鍵記憶部１７０６から管理者鍵を読み出し、データベース利用予定記憶部２０３の当該システム利用者ＩＤのテーブルから、現時点を含むデータベース利用単位に対応する暗号化データベースユーザ登録情報を読み出し、暗号化データベースユーザ登録情報を管理者鍵で復号し、一次復号データベースユーザ登録情報を得る（Ｓ２００１）。このとき、復号に用いる管理者鍵が当該暗号化データベースを生成した際の管理者鍵と一致していない場合には、当該復号処理で不正を検出し、ステータスを失敗として終了する。一方、復号に用いる管理者鍵が当該暗号化データベースを生成した際の管理者鍵と一致している場合には、当該復号処理で正当を検出し、ステータスを成功として処理を続行する。次に、一次復号データベースユーザ登録情報を、更に利用者鍵で復号し、二次復号データベースユーザ登録情報を得る（Ｓ２００２）。このとき、復号に用いる利用者鍵が当該暗号化データベースを生成した際の利用者鍵と一致していない場合には、当該復号処理で不正を検出し、ステータスを失敗として終了する。一方、復号に用いる利用者鍵が当該暗号化データベースを生成した際の利用者鍵と一致している場合には、当該復号処理で正当を検出し、ステータスを成功とする。最後に、二次復号データベースユーザ登録情報を、当該処理の出力データであるデータベースユーザ登録情報として、データベースユーザ名とデータベースユーザパスワードを特定する（Ｓ２００３）。一体として復号した場合には、暗号化の際の連結方式に従って、復号結果をデータベースユーザ名とデータベースユーザパスワードに分割する。別々に復号した場合には、それぞれの復号結果をデータベースユーザ名とデータベースユーザパスワードとする。
【００５７】
図１８に示すように、データベースユーザ登録情報復号処理が成功すると、クリエイトユーザ要求部１７０８によるクリエイトユーザ要求処理（Ｓ１８０７）を行う。この処理では、データベース装置１に対してクリエイトユーザの命令を送信し、新たなユーザ登録（アカウント生成）を依頼する。クリエイトユーザ命令には、前述の処理で求めたデータベースユーザ名とデータベースユーザパスワードを含める。これにより、以降このデータベースユーザ名とデータベースユーザパスワードを用いて、データベース装置１にログインできるようになる。
【００５８】
最後に、一次復号データベースユーザ登録情報送信部１７０９による一次復号データベースユーザ登録情報送信処理（Ｓ１８０８）を行う。この処理では、図２０のＳ２００１で得た一次復号データベースユーザ登録情報を利用者端末４に送信する。
【００５９】
上述の処理が成功することにより、利用者端末４からデータベース装置１へのアクセスが可能になる。
【００６０】
図２１は、データアクセス時の処理に係る利用者端末の構成を示す図である。利用者端末４は、この処理の為に、一次復号データベースユーザ登録情報受信部２１０１、利用者鍵入力部２１０２、利用者復号部２１０３、データベースログイン要求部２１０４、データベースアクセス要求部２１０５、及びデータベースログアウト要求部２１０６の要素を有する。
【００６１】
図２２は、データアクセス時の利用者端末の処理フローを示す図である。まず、一次復号データベースユーザ登録情報受信部２１０１による一次復号データベースユーザ登録情報受信処理（Ｓ２２０１）を行う。この処理では、図１８に示した一次復号データベースユーザ登録情報送信処理（Ｓ１８０８）により送出された一次復号データベースユーザ登録情報を受信する。
【００６２】
次に、利用者鍵入力部２１０２による利用者鍵入力処理（Ｓ２２０２）を行う。この処理では、利用者に利用者鍵の入力を促し、利用者鍵を受け付ける。このときも、利用者は、現時点を含むデータベース利用単位に対応する利用者鍵を入力させる。改めて入力せずに、前述の処理でアクセス開始要求指示画面に対して入力した利用者鍵を用いてもよい。
【００６３】
次に、利用者復号部２１０３による利用者復号処理（Ｓ２２０３）を行う。この処理では、一次復号データベースユーザ登録情報を、利用者鍵で復号し、二次復号データベースユーザ登録情報を得る。このとき、復号に用いる利用者鍵が当該暗号化データベースを生成した際の利用者鍵と一致していない場合には、当該復号処理で不正を検出し、ステータスを失敗として終了する。一方、復号に用いる利用者鍵が当該暗号化データベースを生成した際の利用者鍵と一致している場合には、当該復号処理で正当を検出し、ステータスを成功とする。そして、二次復号データベースユーザ登録情報を、当該処理の出力データあるデータベースユーザ登録情報として、データベースユーザ名とデータベースユーザパスワードを特定する。一体として復号した場合には、暗号化の際の連結方式に従って、復号結果をデータベースユーザ名とデータベースユーザパスワードに分割する。別々に復号した場合には、それぞれの復号結果をデータベースユーザ名とデータベースユーザパスワードとする。
【００６４】
そして、データベースログイン要求部２１０４によるデータベースログイン処理（Ｓ２２０４）を行う。この処理では、データベースユーザ名とデータベースユーザパスワードを渡して、データベース装置１にログインする。
【００６５】
続いて、データベースアクセス要求部２１０５によるデータベースアクセス処理（Ｓ２２０５）を行う。この処理では、例えばデータベース装置１のデータを取得し、あるいはデータを書き込むことができる。
【００６６】
データベース装置１へのアクセスを終える場合に、データベースログアウト要求部２１０６によるデータベースログアウト処理（Ｓ２２０６）を行う。ログアウト命令を送信して、終了する。
【００６７】
データベース利用単位内でのデータベースへのデータアクセスを終えると、利用者は、データベース装置１に登録したユーザ（アカウント）を削除するための操作を行う。
【００６８】
図２３は、利用者端末からのデータアクセス終了時の処理に係る管理サーバの構成を示す図である。管理サーバ２は、この処理の為に、更にアクセス終了通知受付部２３０１、及びドロップユーザ要求部２３０２の要素を有する。
【００６９】
図２４は、利用者端末からのデータアクセス終了時の処理フローを示す図である。アクセス終了通知受付部２３０１によるアクセス終了通知受付処理（Ｓ２４０１）で、利用者端末４からアクセス終了通知（利用者鍵を含むこともある）を受信する。次に、データベースユーザ登録情報復号部１７０７によるデータベースユーザ登録情報復号処理（Ｓ２４０２）を行う。この処理では、システム利用者ＩＤに対応する暗号化データベースユーザ登録情報をデータベース利用予定記憶部２０３から読み出し、管理者鍵記憶部１７０６に記憶している管理者鍵と、アクセス終了通知受付部２３０１でアクセス終了通知と併せて受信した利用者鍵を用いて、暗号化データベースユーザ登録情報を復号する。アクセス終了通知受付部２３０１で利用者鍵を受信する代わりに、利用者鍵記憶部１７０２でシステム利用者ＩＤに対応付けて記憶している利用者鍵を読み出して用いてもよい。
【００７０】
データベースユーザ登録情報復号部１７０７の処理は、前述と同様である。この例によらず、Ｓ２４０２を省略し、前述のデータベースユーザ登録情報復号部１７０７の処理（図１８のＳ１８０６）で得た復号結果を用いてもよい。
【００７１】
そして、ドロップユーザ要求部２３０２によるドロップユーザ要求処理（Ｓ２４０３）を行う。この処理により、データベース装置１に対して、データベースユーザ登録情報復号部１７０７の復号処理で得たデータベースユーザ名とデータベースユーザパスワードを含むドロップユーザ命令を送信する。これにより、データベース装置１のユーザ登録（アカウント）が削除される。
【００７２】
実施の形態２．
前述の処理では、利用者自身がデータベース利用単位内でのデータベース装置１へのアクセスの終了を意識して自らデータアクセス終了時の処理を指示したが、データベース利用単位の利用終了予定日時を経過した時点で、管理サーバ２が自動的にユーザ登録（アカウント）を削除するようにすることもできる。
【００７３】
図２５は、データベース利用予定オーバー時の処理に係る管理サーバの構成を示す図である。管理サーバ２は、この処理の為に、更にデータベース利用予定終了判定部２５０１を有する。
【００７４】
図２６は、データベース利用予定オーバー時の処理フローを示す図である。まず、データベース利用予定終了判定部２５０１によるデータベース利用予定終了判定処理（Ｓ２６０１）を行う。この処理では、システム利用者ＩＤに対応するデータベース利用単位をデータベース利用予定記憶部２０３から取得し、その終了時点を経過したか判定する。経過した場合には、データベースユーザ登録情報復号部１７０７によるデータベースユーザ登録情報復号処理（Ｓ２６０２）を行う。この処理では、システム利用者ＩＤと当該データベース利用単位に対応する暗号化データベースユーザ登録情報をデータベース利用予定記憶部２０３から読み出し、管理者鍵記憶部１７０６に記憶している管理者鍵と、利用者鍵記憶部１７０２でシステム利用者ＩＤに対応付けて記憶している利用者鍵を用いて、暗号化データベースユーザ登録情報を復号する。データベースユーザ登録情報復号部１７０７の処理は、前述と同様である。この例によらず、Ｓ２６０２を省略し、前述のデータベースユーザ登録情報復号部１７０７の処理（図１８のＳ１８０６）で得た復号結果を用いてもよい。
【００７５】
続いて、ドロップユーザ要求部２３０２によるドロップユーザ要求処理（Ｓ２６０３）を行う。この処理により、データベース装置１に対して、データベースユーザ登録情報復号部１７０７の復号処理で得たデータベースユーザ名とデータベースユーザパスワードを含むドロップユーザ命令を送信する。これにより、データベース装置１のユーザ登録（アカウント）が削除される。
【００７６】
データベース装置１、管理サーバ２、管理者端末３、及び利用者端末４は、コンピュータであり、各要素はプログラムにより処理を実行することができる。また、プログラムを記憶媒体に記憶させ、記憶媒体からコンピュータに読み取られるようにすることができる。
【００７７】
図２７は、データベース装置１、管理サーバ２、管理者端末３、及び利用者端末４のハードウェア構成例を示す図である。バスに、演算装置２７０１、データ記憶装置２７０２、メモリ２７０３、通信インターフェース２７０４が接続されている。データ記憶装置２７０２は、例えばＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）やハードディスクである。メモリ２７０３は、通常ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）である。
【００７８】
プログラムは、通常データ記憶装置２７０２に記憶されており、メモリ２７０３にロードされた状態で、順次演算装置２７０１に読み込まれ処理を行う。通信インターフェース２７０４は、ローカルエリアネットワークを介する通信に用いられる。
【００７９】
本発明によれば、データベース登録情報は外部には知らされず、利用者及び管理者は、データベース登録情報を知り得ないので、直接データベース装置にアクセスすることはできない。また、管理者鍵と利用者鍵が揃わなければ、データベース装置にユーザ登録されないので、利用者鍵を知りえる者（利用鍵を盗んだ他人あるいは悪意のある当人）のみでは、データベース装置へアクセスすることができない。つまり、仮にデータベース装置に対する不正アクセスが発覚した場合には、利用者及び管理者の共犯関係が推測される。
【００８０】
また、鍵が適正な場合に、一次復号データベース登録情報を利用者端末に送信し、利用者端末側でこれを利用者鍵を用いて復号することにより、データベース登録情報を得ることができるので、唯一その利用者端末からのデータベース装置へのログインが可能となる。
【００８１】
データベース利用予定を越えた場合には、強制的にユーザ登録を削除するので、予定時間外の不正なアクセスを防止できる。また、利用者や管理者の退職後に、これらの者のユーザ登録情報が放置される事態は生じ得ない。
【００８２】
管理者が承認したデータベース利用予定以外のアクセス開始要求は、自動的に拒否するので、予定時間外の不正なアクセスを防止できる。
【００８３】
データベース利用予定を複数のデータベース利用単位に分割し、それぞれに異なるデータベースユーザ登録情報と利用者鍵を用いるので、データベース利用単位の都度、新たなガードが設けられことになる。つまり、秘密を守るキーとなる情報が動的に更新されることにより、常に安全性が担保される。
【００８４】
データベースユーザ登録情報が生成され、用いられるには、以下の条件を満たすことが必要になる。
（１）その利用者の利用予定が登録されていること
（２）利用予定が管理者により承認されていること
（３）利用が、その利用者の利用予定内のものであること
（４）利用者の利用開始要求が利用予定内になされていること
（５）利用者によるアクセス終了通知がなされていないこと
（６）管理サーバによる強制終了がなされていないこと
【符号の説明】
【００８５】
１ データベース装置、２ 管理サーバ、３ 管理者端末、４ 利用者端末、２０１ システム利用者認証部、２０２ データベース利用予定入力部、２０３ データベース利用予定記憶部、２０４ 利用者鍵生成部、２０５ 利用者鍵送信部、８０１ システム管理者認証部、８０２ 管理者鍵生成部、８０３ 生成管理者鍵記憶部、８０４ 管理者鍵送信部、８０５ データベース利用予定承認依頼部、８０６ データベースユーザ登録情報生成部、８０７ データベースユーザ登録情報暗号化部、８０８ 利用者鍵削除部、８０９ 管理者鍵削除部、１５０１ 利用者暗号化部、１５０２ 管理者暗号化部、１７０１ アクセス開始要求受付部、１７０２ 利用者鍵記憶部、１７０３ データベース利用予定判定部、１７０４ アクセス承認依頼部、１７０５ 管理者鍵受信部、１７０６ 管理者鍵記憶部、１７０７ データベースユーザ登録情報復号部、１７０８ クリエイトユーザ要求部、１７０９ 一次復号データベースユーザ登録情報送信部、１９０１ 管理者復号部、１９０２ 利用者復号部、２１０１ 一次復号データベースユーザ登録情報受信部、２１０２ 利用者鍵入力部、２１０３ 利用者復号部、２１０４ データベースログイン要求部、２１０５ データベースアクセス要求部、２１０６ データベースログアウト要求部、２３０１ アクセス終了通知受付部、２３０２ ドロップユーザ要求部、２５０１ データベース利用予定終了判定部。
【特許請求の範囲】
【請求項１】
ユーザ登録された利用者に対してデータを提供するデータベース装置と、データベース装置を利用する利用者が操作する利用者端末と、利用者によるデータベース装置の利用を管理する管理者が操作する管理者端末とに接続する管理サーバであって、以下の要素を有することを特徴とする管理サーバ
（１）利用者がデータベース装置を利用する事前処理として、利用者固有の利用者鍵を生成する利用者鍵生成部
（２）利用者がデータベース装置を利用する事前処理として、生成した利用者鍵を利用者端末に送信する利用者鍵送信部
（３）利用者がデータベース装置を利用する事前処理として、管理者固有の管理者鍵を生成する管理者鍵生成部
（４）利用者がデータベース装置を利用する事前処理として、生成した管理者鍵を管理者端末に送信する管理者鍵送信部
（５）利用者がデータベース装置を利用する事前処理として、データベース装置に新たにユーザ登録するためのデータベースユーザ登録情報を生成するデータベースユーザ登録情報生成部
（６）利用者がデータベース装置を利用する事前処理として、生成したデータベースユーザ登録情報を、前記生成した利用者鍵を用いて、復号の際に暗号化時の利用者鍵と復号時の利用者鍵の一致の判定を可能とする暗号化ロジックで暗号化して一次暗号化データベースユーザ登録情報を生成し、生成した一次暗号化データベースユーザ登録情報を、前記生成した管理者鍵を用いて、復号の際に暗号化時の管理者鍵と復号時の管理者鍵の一致の判定を可能とする暗号化ロジックで暗号化して二次暗号化データベースユーザ登録情報を生成し、生成した二次暗号化データベースユーザ登録情報を暗号結果である暗号化データベースユーザ登録情報とするデータベースユーザ登録情報暗号化部
（７）暗号結果として生成した暗号化データベースユーザ登録情報を記憶する暗号化データベースユーザ登録情報記憶部
（８）利用者がデータベース装置を利用する際に、利用者端末から、当該利用者端末からデータベース装置へのアクセスを開始する要求を、利用者鍵と併せて受信するアクセス開始要求受付部
（９）利用者がデータベース装置を利用する際に、管理者端末から管理者鍵を受信する管理者鍵受信部
（１０）利用者がデータベース装置を利用する際に、暗号化データベースユーザ登録情報記憶部で記憶している暗号化データベースユーザ登録情報を、前記受信した管理者鍵を用いて、暗号化時の管理者鍵と復号時の管理者鍵が一致するかの判定を行う復号ロジックにより復号して一次復号データベースユーザ登録情報を生成し、生成した一次復号データベースユーザ登録情報を、前記要求と併せて受信した利用者鍵を用いて、暗号化時の利用者鍵と復号時の利用者鍵が一致するかの判定を行う復号ロジックにより復号して二次復号データベースユーザ登録情報を生成し、管理者鍵同士及び利用者鍵同士が一致した場合に、生成した二次復号データベースユーザ登録情報を復号結果であるデータベースユーザ登録情報とするデータベースユーザ登録情報復号部
（１１）利用者がデータベース装置を利用する際に、データベース装置に対して、復号結果として得たデータベースユーザ登録情報を含む、新たなユーザ登録を求めるクリエイトユーザ命令を送信するクリエイトユーザ要求部
（１２）利用者がデータベース装置を利用する際に、前記一次復号データベースユーザ登録情報を利用者端末に送信する一次復号データベースユーザ登録情報送信部。
【請求項２】
管理サーバは、更に、以下の要素を有することを特徴とする請求項１記載の管理サーバ
（１９）利用者がデータベース装置を利用するデータベース利用予定を記憶するデータベース利用予定記憶部
（２０）利用者がデータベース装置を利用している際に、当該利用者のデータベース利用
予定の利用終了予定日時を経過したことを判定するデータベース利用予定終了判定部
（２１）利用終了予定日時を経過した場合に、データベース装置に対して、当該データベース利用予定に係るユーザ登録の削除を求めるドロップユーザ命令を送信するドロップユーザ要求部。
【請求項３】
管理サーバは、更に、以下の要素を有することを特徴とする請求項１記載の管理サーバ
（２２）利用者がデータベース装置を利用する事前処理として、利用者端末から、利用者がデータベース装置を利用するデータベース利用予定を受信するデータベース利用予定入力部
（２３）受信したデータベース利用予定を記憶するデータベース利用予定記憶部
（２４）利用者がデータベース装置を利用する事前処理として、データベース利用予定記憶部に記憶しているデータベース利用予定に対する承認の依頼を管理者端末に送信し、管理者端末から承認結果を受信し、データベース利用予定記憶部に記憶しているデータベース利用予定を承認されたものと判別できるようにするデータベース利用予定承認依頼部
（２５）利用者がデータベース装置を利用する際に、承認されたデータベース利用予定内であるかを判定するデータベース利用判定部。
【請求項４】
ユーザ登録された利用者に対してデータを提供するデータベース装置と、データベース装置を利用する利用者が操作する利用者端末と、利用者によるデータベース装置の利用を管理する管理者が操作する管理者端末とに接続する管理サーバとなるコンピュータに、以下の手順を実行させるためのプログラム
（１）利用者がデータベース装置を利用する事前処理として、利用者固有の利用者鍵を生成する利用者鍵生成手順
（２）利用者がデータベース装置を利用する事前処理として、生成した利用者鍵を利用者端末に送信する利用者鍵送信手順
（３）利用者がデータベース装置を利用する事前処理として、管理者固有の管理者鍵を生成する管理者鍵生成手順
（４）利用者がデータベース装置を利用する事前処理として、生成した管理者鍵を管理者端末に送信する管理者鍵送信手順
（５）利用者がデータベース装置を利用する事前処理として、データベース装置に新たにユーザ登録するためのデータベースユーザ登録情報を生成するデータベースユーザ登録情報生成手順
（６）利用者がデータベース装置を利用する事前処理として、生成したデータベースユーザ登録情報を、前記生成した利用者鍵を用いて、復号の際に暗号化時の利用者鍵と復号時の利用者鍵の一致の判定を可能とする暗号化ロジックで暗号化して一次暗号化データベースユーザ登録情報を生成し、生成した一次暗号化データベースユーザ登録情報を、前記生成した管理者鍵を用いて、復号の際に暗号化時の管理者鍵と復号時の管理者鍵の一致の判定を可能とする暗号化ロジックで暗号化して二次暗号化データベースユーザ登録情報を生成し、生成した二次暗号化データベースユーザ登録情報を暗号結果である暗号化データベースユーザ登録情報とするデータベースユーザ登録情報暗号化手順
（７）暗号結果として生成した暗号化データベースユーザ登録情報を記憶する暗号化データベースユーザ登録情報記憶手順
（８）利用者がデータベース装置を利用する際に、利用者端末から、当該利用者端末からデータベース装置へのアクセスを開始する要求を、利用者鍵と併せて受信するアクセス開始要求受付手順
（９）利用者がデータベース装置を利用する際に、管理者端末から管理者鍵を受信する管理者鍵受信手順
（１０）利用者がデータベース装置を利用する際に、暗号化データベースユーザ登録情報記憶部で記憶している暗号化データベースユーザ登録情報を、前記受信した管理者鍵を用いて、暗号化時の管理者鍵と復号時の管理者鍵が一致するかの判定を行う復号ロジックにより復号して一次復号データベースユーザ登録情報を生成し、生成した一次復号データベースユーザ登録情報を、前記要求と併せて受信した利用者鍵を用いて、暗号化時の利用者鍵と復号時の利用者鍵が一致するかの判定を行う復号ロジックにより復号して二次復号データベースユーザ登録情報を生成し、管理者鍵同士及び利用者鍵同士が一致した場合に、生成した二次復号データベースユーザ登録情報を復号結果であるデータベースユーザ登録情報とするデータベースユーザ登録情報復号手順
（１１）利用者がデータベース装置を利用する際に、データベース装置に対して、復号結果として得たデータベースユーザ登録情報を含む、新たなユーザ登録を求めるクリエイトユーザ命令を送信するクリエイトユーザ要求手順
（１２）利用者がデータベース装置を利用する際に、前記一次復号データベースユーザ登録情報を利用者端末に送信する一次復号データベースユーザ登録情報送信手順。
【請求項１】
ユーザ登録された利用者に対してデータを提供するデータベース装置と、データベース装置を利用する利用者が操作する利用者端末と、利用者によるデータベース装置の利用を管理する管理者が操作する管理者端末とに接続する管理サーバであって、以下の要素を有することを特徴とする管理サーバ
（１）利用者がデータベース装置を利用する事前処理として、利用者固有の利用者鍵を生成する利用者鍵生成部
（２）利用者がデータベース装置を利用する事前処理として、生成した利用者鍵を利用者端末に送信する利用者鍵送信部
（３）利用者がデータベース装置を利用する事前処理として、管理者固有の管理者鍵を生成する管理者鍵生成部
（４）利用者がデータベース装置を利用する事前処理として、生成した管理者鍵を管理者端末に送信する管理者鍵送信部
（５）利用者がデータベース装置を利用する事前処理として、データベース装置に新たにユーザ登録するためのデータベースユーザ登録情報を生成するデータベースユーザ登録情報生成部
（６）利用者がデータベース装置を利用する事前処理として、生成したデータベースユーザ登録情報を、前記生成した利用者鍵を用いて、復号の際に暗号化時の利用者鍵と復号時の利用者鍵の一致の判定を可能とする暗号化ロジックで暗号化して一次暗号化データベースユーザ登録情報を生成し、生成した一次暗号化データベースユーザ登録情報を、前記生成した管理者鍵を用いて、復号の際に暗号化時の管理者鍵と復号時の管理者鍵の一致の判定を可能とする暗号化ロジックで暗号化して二次暗号化データベースユーザ登録情報を生成し、生成した二次暗号化データベースユーザ登録情報を暗号結果である暗号化データベースユーザ登録情報とするデータベースユーザ登録情報暗号化部
（７）暗号結果として生成した暗号化データベースユーザ登録情報を記憶する暗号化データベースユーザ登録情報記憶部
（８）利用者がデータベース装置を利用する際に、利用者端末から、当該利用者端末からデータベース装置へのアクセスを開始する要求を、利用者鍵と併せて受信するアクセス開始要求受付部
（９）利用者がデータベース装置を利用する際に、管理者端末から管理者鍵を受信する管理者鍵受信部
（１０）利用者がデータベース装置を利用する際に、暗号化データベースユーザ登録情報記憶部で記憶している暗号化データベースユーザ登録情報を、前記受信した管理者鍵を用いて、暗号化時の管理者鍵と復号時の管理者鍵が一致するかの判定を行う復号ロジックにより復号して一次復号データベースユーザ登録情報を生成し、生成した一次復号データベースユーザ登録情報を、前記要求と併せて受信した利用者鍵を用いて、暗号化時の利用者鍵と復号時の利用者鍵が一致するかの判定を行う復号ロジックにより復号して二次復号データベースユーザ登録情報を生成し、管理者鍵同士及び利用者鍵同士が一致した場合に、生成した二次復号データベースユーザ登録情報を復号結果であるデータベースユーザ登録情報とするデータベースユーザ登録情報復号部
（１１）利用者がデータベース装置を利用する際に、データベース装置に対して、復号結果として得たデータベースユーザ登録情報を含む、新たなユーザ登録を求めるクリエイトユーザ命令を送信するクリエイトユーザ要求部
（１２）利用者がデータベース装置を利用する際に、前記一次復号データベースユーザ登録情報を利用者端末に送信する一次復号データベースユーザ登録情報送信部。
【請求項２】
管理サーバは、更に、以下の要素を有することを特徴とする請求項１記載の管理サーバ
（１９）利用者がデータベース装置を利用するデータベース利用予定を記憶するデータベース利用予定記憶部
（２０）利用者がデータベース装置を利用している際に、当該利用者のデータベース利用
予定の利用終了予定日時を経過したことを判定するデータベース利用予定終了判定部
（２１）利用終了予定日時を経過した場合に、データベース装置に対して、当該データベース利用予定に係るユーザ登録の削除を求めるドロップユーザ命令を送信するドロップユーザ要求部。
【請求項３】
管理サーバは、更に、以下の要素を有することを特徴とする請求項１記載の管理サーバ
（２２）利用者がデータベース装置を利用する事前処理として、利用者端末から、利用者がデータベース装置を利用するデータベース利用予定を受信するデータベース利用予定入力部
（２３）受信したデータベース利用予定を記憶するデータベース利用予定記憶部
（２４）利用者がデータベース装置を利用する事前処理として、データベース利用予定記憶部に記憶しているデータベース利用予定に対する承認の依頼を管理者端末に送信し、管理者端末から承認結果を受信し、データベース利用予定記憶部に記憶しているデータベース利用予定を承認されたものと判別できるようにするデータベース利用予定承認依頼部
（２５）利用者がデータベース装置を利用する際に、承認されたデータベース利用予定内であるかを判定するデータベース利用判定部。
【請求項４】
ユーザ登録された利用者に対してデータを提供するデータベース装置と、データベース装置を利用する利用者が操作する利用者端末と、利用者によるデータベース装置の利用を管理する管理者が操作する管理者端末とに接続する管理サーバとなるコンピュータに、以下の手順を実行させるためのプログラム
（１）利用者がデータベース装置を利用する事前処理として、利用者固有の利用者鍵を生成する利用者鍵生成手順
（２）利用者がデータベース装置を利用する事前処理として、生成した利用者鍵を利用者端末に送信する利用者鍵送信手順
（３）利用者がデータベース装置を利用する事前処理として、管理者固有の管理者鍵を生成する管理者鍵生成手順
（４）利用者がデータベース装置を利用する事前処理として、生成した管理者鍵を管理者端末に送信する管理者鍵送信手順
（５）利用者がデータベース装置を利用する事前処理として、データベース装置に新たにユーザ登録するためのデータベースユーザ登録情報を生成するデータベースユーザ登録情報生成手順
（６）利用者がデータベース装置を利用する事前処理として、生成したデータベースユーザ登録情報を、前記生成した利用者鍵を用いて、復号の際に暗号化時の利用者鍵と復号時の利用者鍵の一致の判定を可能とする暗号化ロジックで暗号化して一次暗号化データベースユーザ登録情報を生成し、生成した一次暗号化データベースユーザ登録情報を、前記生成した管理者鍵を用いて、復号の際に暗号化時の管理者鍵と復号時の管理者鍵の一致の判定を可能とする暗号化ロジックで暗号化して二次暗号化データベースユーザ登録情報を生成し、生成した二次暗号化データベースユーザ登録情報を暗号結果である暗号化データベースユーザ登録情報とするデータベースユーザ登録情報暗号化手順
（７）暗号結果として生成した暗号化データベースユーザ登録情報を記憶する暗号化データベースユーザ登録情報記憶手順
（８）利用者がデータベース装置を利用する際に、利用者端末から、当該利用者端末からデータベース装置へのアクセスを開始する要求を、利用者鍵と併せて受信するアクセス開始要求受付手順
（９）利用者がデータベース装置を利用する際に、管理者端末から管理者鍵を受信する管理者鍵受信手順
（１０）利用者がデータベース装置を利用する際に、暗号化データベースユーザ登録情報記憶部で記憶している暗号化データベースユーザ登録情報を、前記受信した管理者鍵を用いて、暗号化時の管理者鍵と復号時の管理者鍵が一致するかの判定を行う復号ロジックにより復号して一次復号データベースユーザ登録情報を生成し、生成した一次復号データベースユーザ登録情報を、前記要求と併せて受信した利用者鍵を用いて、暗号化時の利用者鍵と復号時の利用者鍵が一致するかの判定を行う復号ロジックにより復号して二次復号データベースユーザ登録情報を生成し、管理者鍵同士及び利用者鍵同士が一致した場合に、生成した二次復号データベースユーザ登録情報を復号結果であるデータベースユーザ登録情報とするデータベースユーザ登録情報復号手順
（１１）利用者がデータベース装置を利用する際に、データベース装置に対して、復号結果として得たデータベースユーザ登録情報を含む、新たなユーザ登録を求めるクリエイトユーザ命令を送信するクリエイトユーザ要求手順
（１２）利用者がデータベース装置を利用する際に、前記一次復号データベースユーザ登録情報を利用者端末に送信する一次復号データベースユーザ登録情報送信手順。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２２】
【図２３】
【図２４】
【図２５】
【図２６】
【図２７】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２２】
【図２３】
【図２４】
【図２５】
【図２６】
【図２７】
【公開番号】特開２００９−１３４７６４（Ｐ２００９−１３４７６４Ａ）
【公開日】平成２１年６月１８日（２００９．６．１８）
【国際特許分類】
【出願番号】特願２００９−６３７６９（Ｐ２００９−６３７６９）
【出願日】平成２１年３月１７日（２００９．３．１７）
【分割の表示】特願２００４−３７３８９２（Ｐ２００４−３７３８９２）の分割
【原出願日】平成１６年１２月２４日（２００４．１２．２４）
【出願人】（３９４０１３００２）三菱電機インフォメーションシステムズ株式会社 (251)
【Ｆターム（参考）】
【公開日】平成２１年６月１８日（２００９．６．１８）
【国際特許分類】
【出願日】平成２１年３月１７日（２００９．３．１７）
【分割の表示】特願２００４−３７３８９２（Ｐ２００４−３７３８９２）の分割
【原出願日】平成１６年１２月２４日（２００４．１２．２４）
【出願人】（３９４０１３００２）三菱電機インフォメーションシステムズ株式会社 (251)
【Ｆターム（参考）】
[ Back to top ]