JP2004362123A - 機密情報保護システム及び機密情報保護方法 - Google Patents

Abstract

【課題】個人識別情報等を含む機密情報の漏洩などの危険からより安全に保護することのできる機密情報保護システムを提供する。
【解決手段】指紋入力装置Ｆから入力された指紋データＤ３から得られる第３のハッシュ値Ｄ３ａが機密データベースＤＢ１に格納されている第１のハッシュ値Ｄ２ａの何れかと一致すると判定した場合には、当該第１の暗号情報に対応する機密情報Ｄ１ａを読み出し、前記認証情報から得られる第４のハッシュ値Ｄ３ｂが識別情報データベースＤＢ２に格納されている第２のハッシュ値Ｄ２ｂの何れかと一致すると判定した場合には、当該第２の暗号情報に対応する識別情報Ｄ１ｂを読み出し、読み出された前記機密情報と、前記識別情報とを結合させて識別可能な機密情報Ｄ１として前記出力手段から出力させるように構成した。
【選択図】 図１

Description

【０００１】
【発明の属する技術分野】
この発明は、個人のプライバシー情報等の機密情報が、第三者による不正な取得行為や漏洩行為から安全に保護される機密情報保護システムおよび機密情報保護方法に関する。
【０００２】
【従来の技術】
従来において、個人のプライバシー情報等の機密情報を保護する手法として、プライバシー情報自体は暗号化せずに、別途暗号化された所定情報と対応付けしてデータベースに格納し、入力された所定情報が一致した場合にのみ対応するプライバシー情報を出力できるように構成し、プライバシー情報の復号化処理を不要とした情報保護システムが提案されている（例えば、特許文献１参照）。
より具体的には、特許文献１の図１に示すように、入力装置１を介してユーザによって入力されたプライバシー情報（例えば健康診断結果等）は、結合装置３へ出力され、パスワード等の個人識別情報はハッシュ処理装置２へ出力される。
結合装置３はプライバシー情報とハッシュ処理装置１０２によりハッシュ変換された個人識別情報とを対応付けて記憶装置４へ格納されるようになっている。
そして、プライバシー情報を読み出す際には、入力装置１からパスワード等の個人識別情報を入力すると、その個人識別情報はハッシュ処理装置２によってハッシュ処理された後、検索装置５へ出力される。検索装置５は、ハッシュ処理された個人識別情報に基づいて対応するプライバシー情報を記憶装置４から読み出し、これを入力装置１へ出力するようになっている。
これにより、プライバシー情報を暗号化・復号化する必要がなくなるため、システムのスループット低下を抑えることができ、プライバシー情報の安全を確保しつつ、プライバシー情報の書き込みおよび読み出しを効率良く行うことが可能となり、ユーザに対して迅速に情報を提供することができるようになるというものである。
【０００３】
【特許文献１】
特開２００２−１４９４９７号公報（図１）
【０００４】
【発明が解決しようとする課題】
しかし、上記のような情報保護システムでは、アクセス権限を有さない第三者が何らかの手法によりデータベースへの侵入に成功した場合には、暗号化されていない識別情報を含むプライバシー情報が容易に取得されてしまうおそれがあった。
例えば、データベースに格納されたプライバシー情報が、個人名、住所、電話番号等の個人識別情報と、各個人の健康診断結果であった場合には、「何処に在住の某氏の健康状態は〜〜である」といった重大な機密性を要する個人情報が漏洩してしまう危険性を秘めている。
【０００５】
そこで、本発明は、個人識別情報等を含む機密情報の漏洩などの危険からより安全に保護することのできる機密情報保護システムおよび機密情報保護方法を提供することを目的とする。
【０００６】
【課題を解決するための手段】
前記目的を達成するために、本願発明に係る機密情報保護システムは、識別情報を含まない機密情報と、該情報に対応して暗号化された第１の暗号情報（例えば第１のハッシュ値）を格納した１または２以上の機密データベースと、前記識別情報と、該識別情報に対応して暗号化された第２の暗号情報（例えば第２のハッシュ値）を格納した識別情報データベースと、認証情報（例えば指紋データ）を入力する入力手段（例えば指紋入力装置）と、前記各データベースから読み出された情報を出力する出力手段と、前記各情報の入出力処理，暗号化処理、認証処理および情報の結合処理を制御する制御手段とを少なくとも備え、前記制御手段は、前記入力手段から入力された前記認証情報から得られる第３の暗号情報（例えば第３のハッシュ値）が前記機密データベースに格納されている第１の暗号情報の何れかと一致すると判定した場合には、当該第１の暗号情報に対応する機密情報を読み出し、前記認証情報から得られる第４の暗号情報（例えば第４のハッシュ値Ｄ）が前記識別情報データベースに格納されている第２の暗号情報の何れかと一致すると判定した場合には、当該第２の暗号情報に対応する識別情報を読み出し、読み出された前記機密情報と、前記識別情報とを結合させて識別可能な機密情報として前記出力手段から出力させるように構成した。
【０００７】
機密データベースと識別情報データベースとは、それぞれ別個の記憶装置（例えば、ハードディスク等）に個別に形成してもよいし、或いは一つの記憶装置の記憶領域を分割して形成するようにしてもよい。
【０００８】
この発明によれば、識別情報を含まない機密情報を格納した１または２以上の機密データベースと、前記識別情報を格納した識別情報データベースとは、それぞれ分離して形成されているので、たとえ第三者が各データベースに不正に侵入したとしても、識別不能な機密情報（例えば、何処の誰のか不明な健康診断結果）や、識別情報（例えば、患者名などの氏名等）など単独では余り意味のない情報が取得されるだけで、重要な個人情報（例えば、「……氏の健康診断結果」等）が漏洩する危険を回避することができる。
【０００９】
また特に、機密情報に対応付けされる第１の暗号情報と、識別情報に対応付けされる第２の暗号情報とは異なるので、機密データベースと識別情報データベースの両方から不正にデータが抜き出されたような場合であっても上記暗号情報に基づいて機密情報と識別情報を照合することはできず、より一層安全に機密情報を保護することが可能である。
【００１０】
なお、データベースへのアクセス権限を有する者が情報を取得しようとする場合には、入力手段から正当な認証情報を入力することにより、当該認証情報から得られる第３の暗号情報が機密データベースに格納されている第１の暗号情報の何れかと一致すると判定され、当該認証情報から得られる第４の暗号情報が識別情報データベースに格納されている第２の暗号情報の何れかと一致すると判定された場合に限り、各データベースから読み出された機密情報と、識別情報とを結合させて識別可能な機密情報として出力手段から出力させることができる。この際に、機密情報および識別情報の復号化処理は不要であるのでシステムのスループットを低下させることなく、迅速に必要な情報を取得することができる。
【００１１】
上記発明において、前記機密情報は、個人特定情報を含まないプライバシー情報であり、前記識別情報は、前記利用者の個人特定情報であるようにできる。
また、前記認証情報は、利用者またはデータベースへのアクセス権限を有する情報管理者の指紋等のバイオメトリクス情報であるようにしてもよい。これにより、データベースへのアクセス権限を有しない第三者の不正な侵入を有効に防止することができる。
【００１２】
前記バイオメトリクス情報として、顔形、声紋、掌紋、虹彩、静脈パターン、網膜パターン等の身体的特徴に関する情報の何れか一つまたは二つ以上の組み合わせで構成されるようにできる。
前記認証情報は、利用者またはデータベースへのアクセス権限を有する情報管理者毎に定めたパスワード等の個人識別記号、筆跡等でもよい。
【００１３】
前記機密データベースおよび識別情報データベースに各情報と対応付けして格納されている第１のハッシュ値および第２のハッシュ値に基づいて元の正当な認証情報を推定（逆算）することはハッシュ関数が有する一方向性より困難であるため、正当な認証情報が入力されて第１および第２のハッシュ値と一致する第３および第４のハッシュ値が生成された場合にのみデータベースにアクセスして情報の閲覧や変更することが可能となる。
特に、異なるハッシュ関数（第１のハッシュ関数と、第２のハッシュ関数）によって生成される第１および第２のハッシュ値は異なるので、機密データベースと識別情報データベースの両方から不正にデータが抜き出されたような場合であっても両ハッシュ値に基づいて機密情報と識別情報を照合することはできず、より一層安全に機密情報を保護することが可能となる。
【００１４】
【発明の実施の形態】
以下、本発明の実施の形態を図面に基づいて説明する。
図１は本発明にかかる機密情報保護システムの構成例を示すブロック図、図２〜図４は当該システムで実行されるデータ登録処理の処理手順を示すフローチャート、図５は当該システムで実行されるデータ閲覧処理の処理手順を示すフローチャート、図６は当該システムの運用例を示す説明図である。
これら各図及び後述する各図において、同一の構成は同一の符号を付して、重複した説明を省略する。
【００１５】
図１に示すように、本実施形態に係る機密情報保護システムＳは、個人特定情報を含むプライバシー情報Ｄ１や認証情報Ｄ２等の各種データを入力する入力手段１と、入力された個人特定情報を含むプライバシー情報Ｄ１を個人特定情報を含まないプライバシー情報Ｄ１ａと個人特定情報Ｄ１ｂとに分離するデータ分離手段２と、入力されたデータ登録時の認証情報Ｄ２（或いはデータ閲覧時の認証情報Ｄ３）に基づいてデータ登録用の第１のハッシュ値Ｄ２ａ（或いはデータ閲覧用の第３のハッシュ値Ｄ３ａ）とデータ登録用の第２のハッシュ値Ｄ２ｂ（或いはデータ閲覧用の第４のハッシュ値Ｄ３ｂ）に変換する第１のハッシュ手段３および第２のハッシュ化手段５と、認証時の第３のハッシュ値Ｄ３ａに基づいて対応するプライバシー情報を検索する第１の検索手段４と、認証時の第４のハッシュ値Ｄ３ｂに基づいて対応する個人特定情報を検索する第２の検索手段６と、前記第１のハッシュ値Ｄ２ａと個人特定情報を含まないプライバシー情報Ｄ１ａを対応させたデータ群Ｇ１を格納して機密データベースＤＢ１を形成する記憶装置（例えば、ハードディスク装置）ＨＤ１と、前記第２のハッシュ値Ｄ２ｂと個人特定情報Ｄ１ｂを対応させたデータ群Ｇ２を格納して識別情報データベースＤＢ２を形成する記憶装置（例えば、ハードディスク装置）ＨＤ２と、正当な閲覧処理を経て機密データベースＤＢ１と識別情報データベースＤＢ２から読み出された個人特定情報を含まないプライバシー情報Ｄ１ａと個人特定情報Ｄ１ｂとを結合させて個人特定情報を含むプライバシー情報Ｄ１を生成するデータ結合手段７と、結合生成された個人特定情報を含むプライバシー情報Ｄ１を出力するＣＲＴ、液晶表示装置等で構成される出力手段８とから構成されている。
【００１６】
なお、本実施形態においては、符号２〜７の各手段は、プログラム等を実行するＣＰＵ（中央処理装置）、メモリ手段としてのＲＯＭ（リードオンリメモリ）、ＲＡＭ（ランダムアクセスメモリ）、ＨＤＤ（ハードディスク装置）、ＦＤＤ（フレキシブルディスクドライブ）等から構成されている。
入力手段１は、キーボード、あるいは指紋等、身体的特徴に基づくバイオメトリクス情報を取り込む各種認識装置、筆跡を認識するためのデジタイザやタブレット等で構成される。
なお、本実施形態では、入力手段１としてはキーボードＫと指紋入力装置Ｆを備えるものとする。
【００１７】
また、本実施形態では機密データベースＤＢ１は１つであるが、２つ以上のデータベースに分散して機密情報を格納するようにしてもよい。
また、本実施形態では、機密データベースＤＢ１と識別情報データベースＤＢ２を個別の記憶装置ＨＤ１，ＨＤ２で構成する場合を示したが、これに限らず、例えば１つの記憶装置の記憶領域を論理的に分割してそれぞれの領域に機密データベースＤＢ１と識別情報データベースＤＢ２を形成するようにしてもよい。
また、機密データベースＤＢ１と識別情報データベースＤＢ２に格納されるデータ群Ｇ１，Ｇ２について、図１では代表値（Ｄ１ａとＤ２ａ、Ｄ１ｂとＤ２ｂ）のみが記載されているが、実際には複数の個人に関する複数のデータがテーブル形式で格納されている。
【００１８】
ここで、図１に基づいてデータの流れを説明する。
まず、データの登録処理過程（処理手順の詳細については後述する）において、キーボードＫを介して入力される個人特定情報を含むプライバシー情報（例えば、個人名とその個人に係る健康診断結果の情報）Ｄ１は、データ分離手段２によって個人特定情報を含まないプライバシー情報Ｄ１ａ（例えば、個人名を除いた単なる健康診断情報）と個人特定情報Ｄ１ｂに分離される。
【００１９】
分離されたプライバシー情報Ｄ１ａは機密データベースＤＢ１の所定領域に、個人特定情報Ｄ１ｂは識別情報データベースＤＢ２の所定領域に、それぞれ格納される。
次いで、指紋入力装置Ｆから入力される機密情報取扱者（利用者本人あるいはアクセス権限を有する情報管理者等）の指紋を読みとって数値化した認証情報Ｄ２を第１のハッシュ化手段３および第２のハッシュ化手段５に入力する。
【００２０】
第１のハッシュ化手段３と第２のハッシュ化手段５は、それぞれが異なるハッシュ関数に基づいて認証情報Ｄ２の第１および第２のハッシュ値（メッセージダイジェスト）Ｄ２ａ，Ｄ２ｂを生成する。そして、第１のハッシュ値Ｄ２ａは前述のプライバシー情報Ｄ１ａと対応付けされて機密データベースＤＢ１の所定領域に格納され、第２のハッシュ値Ｄ２ｂは前述の個人特定情報Ｄ１ｂと対応付けされて識別情報データベースＤＢ２の所定領域に格納される。
【００２１】
上述のように、個人特定情報を含まないプライバシー情報Ｄ１ａを格納した機密データベースＤＢ１と、各機密情報に対応する個人特定情報Ｄ１ｂを格納した識別情報データベースＤＢ２とは、それぞれ分離して構成されている。従って、第三者が各データベースに不正に侵入したとしても、識別不能な機密情報（即ち、何処の誰のか不明な健康診断結果）や、個人特定情報（例えば、個人名）など単独では余り意味のない情報が取得されるだけで済み、重要な個人情報（例えば、「……氏の健康診断結果」等）が漏洩する危険を回避することができる。
【００２２】
ここで、機密データベースＤＢ１および識別情報データベースＤＢ２に各情報と対応付けして格納されている第１のハッシュ値Ｄ２ａおよび第２のハッシュ値Ｄ２ｂに基づいて元の正当な認証情報を推定（逆算）することはハッシュ関数が有する一方向性より困難である。
【００２３】
よって、個人特定情報を含まないプライバシー情報Ｄ１ａに対応付けされる第１のハッシュ値Ｄ２ａと、個人特定情報に対応付けされる第２のハッシュ値Ｄ２ｂとは上述のように異なるので、機密データベースＤＢ１と識別情報データベースＤＢ２の両方から不正にデータが抜き出されたような場合であっても上記ハッシュ値Ｄ２ａ，Ｄ２ｂに基づいてプライバシー情報と個人特定情報を照合することはできず（即ち、どの健康診断結果が誰のものであるかを特定することはできず）、より一層安全にプライバシー情報を保護することが可能である。
【００２４】
一方、正当な手順によってデータを閲覧したい場合には、データの閲覧処理過程（処理手順の詳細については後述する）において、指紋入力装置Ｆから入力される機密情報取扱者の指紋を読みとって数値化した認証情報Ｄ３を第１のハッシュ化手段３および第２のハッシュ化手段５に入力する。
第１のハッシュ化手段３と第２のハッシュ化手段５は、それぞれが備えるハッシュ関数に基づいて認証情報Ｄ３の第３および第４のハッシュ値（メッセージダイジェスト）Ｄ３ａ，Ｄ３ｂを生成する。
【００２５】
そして、第３のハッシュ値Ｄ３ａは、第１の検索手段４に入力され、機密データベースＤＢ１内のデータを検索して、第３のハッシュ値Ｄ３ａと一致する第１のハッシュ値Ｄ２ａの有無を確認する。一致する第１のハッシュ値Ｄ２ａを発見した場合には、そのハッシュ値Ｄ２ａに対応するプライバシー情報Ｄ１ａを読み出してデータ結合手段７に入力する。
【００２６】
また、第４のハッシュ値Ｄ３ｂは、第２の検索手段６に入力され、識別情報データベースＤＢ２内のデータを検索して、第４のハッシュ値Ｄ３ｂと一致する第２のハッシュ値Ｄ２ｂの有無を確認する。一致する第２のハッシュ値Ｄ２ｂを発見した場合には、そのハッシュ値Ｄ２ａに対応する個人特定情報Ｄ１ｂを読み出してデータ結合手段７に入力する。
【００２７】
データ結合手段７は、読み出されたプライバシー情報Ｄ１ａと個人特定情報Ｄ１ｂを結合して、例えば、「……氏の健康診断結果」という特定情報を含むプライバシー情報Ｄ１を生成して出力手段８に出力する。
これにより、ＣＲＴや液晶表示装置等で構成される出力手段８に所望のプライバシー情報Ｄ１を表示出力させて閲覧することができる。
【００２８】
次に、図２〜図４のフローチャートを参照して、上述の機密情報保護システムＳにおけるデータ登録処理の処理手順について説明する。
【００２９】
まず、この処理が開始されるとステップＳ１で指紋入力装置Ｆを介してオペレータの指紋を入力する。
次いで、ステップＳ２で認識した指紋が予め登録されている指紋データと一致するか否かの指紋チェックが行われ、一致しないと判断された場合にはアクセス権限が無いと判断してステップＳ１に戻り、他のオペレータの指紋の入力待ちの状態となる。
また、指紋データが一致すると判断された場合にはステップＳ３に移行して処理を終了するか否かが判断され、Ｎｏの場合にはステップＳ４に移行し、Ｙｅｓの場合には処理を終了する。
【００３０】
前記ステップＳ４では、機密情報取扱者のバイオメトリクス情報の一つである指紋データＤ２を指紋入力装置Ｆを介して入力する。
【００３１】
次にステップ５に進み、演算処理その１のサブルーチンにジャンプし、その処理の終了後にステップ６に進み、演算処理その２のサブルーチンにジャンプし、その処理の終了後に前記ステップ３に戻る。
【００３２】
前記演算処理その１の処理が開始されると、ステップＳ１００とステップＳ１０４との間でステップＳ１０１〜Ｓ１０３までの処理を、機密情報のデータ数分繰り返して実行する。
【００３３】
まず、ステップＳ１０１では、認証情報としての指紋データＤ２に対して第１のハッシュ化手段３と第２のハッシュ化手段５で第１のハッシュ値Ｄ２ａおよび第２のハッシュ値Ｄ２ｂを生成する演算処理を行ってステップＳ１０２に移行する。
このステップＳ１０２では、演算処理データとしての第１のハッシュ値Ｄ２ａおよび第２のハッシュ値Ｄ２ｂに基づいて、第１の検索手段４および第２の検索手段６を介して機密データベースＤＢ１から機密情報としてのプライバシー情報Ｄ１ａを、識別情報データベースＤＢ２から個人特定情報Ｄ１ｂをそれぞれ検索し、データ結合手段７を介して個人特定情報を含むプライバシー情報Ｄ１（例えば、「……氏の健康診断結果」等）を生成してステップＳ１０３に進む。
【００３４】
ステップＳ１０３では、個人特定情報を含むプライバシー情報Ｄ１をディスプレイで構成される出力手段８に表示させて、機密情報のデータ数分に達した時点でループを終了して、前記メインルーチンにリターンする。
【００３５】
次に前記演算処理その２の処理が開始されると、キーボードＫを介して個人特定情報を含むプライバシー情報Ｄ１を入力する。この際に、データ分離手段２によって、個人特定情報を含まないプライバシー情報Ｄ１ａと個人特定情報Ｄ１ｂに分離する。
次いで、ステップＳ２０１とステップＳ２０５との間でステップＳ２０２〜Ｓ２０４の処理を機密情報のデータ数分繰り返して実行する。
【００３６】
まずステップＳ２０２では、認証情報としての指紋データＤ２に対して第１のハッシュ化手段３と第２のハッシュ化手段５で第１のハッシュ値Ｄ２ａおよび第２のハッシュ値Ｄ２ｂを生成する演算処理を行ってステップＳ２０３に移行する。
このステップＳ２０３では、第１のハッシュ値Ｄ２ａと共にステップＳＳ２０１で分離した個人特定情報を含まないプライバシー情報Ｄ１ａを機密データベースＤＢ１に仮登録し、第２のハッシュ値Ｄ２ｂと共にステップＳＳ２０１で分離した個人特定情報Ｄ１ｂを識別情報データベースＤＢ２に仮登録してステップＳ２０４に進む。
【００３７】
このステップＳ２０４では、データ登録が完了したか否かを判断し、Ｙｅｓの場合にはループを終了してステップＳ２０６に移行する。一方、Ｎｏの場合にはステップＳ２０７に移行して、各データの登録の取り消し処理を行いステップＳ２０８に移行して「登録を中止します」等の警告メッセージを出力手段８に表示した後、図２のデータ登録処理のメインルーチンにリターンする。
【００３８】
また、ステップＳ２０６では、各登録データを確定処理を行った後、図２のデータ登録処理のメインルーチンにリターンする。
【００３９】
以上のデータ登録処理の実行により、図６に示すように機密データベースＤＢ１に、例えば「鈴木太郎氏の指紋データの第１のハッシュ値」と対応する「無記名の健康診断結果データ」（即ち、個人特定情報を含まないプライバシー情報）、「佐藤次郎氏の指紋データの第１のハッシュ値」と対応する「無記名の健康診断結果データ」、「田中三郎氏の指紋データの第１のハッシュ値」と対応する「無記名の健康診断結果データ」等の複数のプライバシー情報がテーブル形式で登録される。
【００４０】
次に、図５のフローチャートを参照して、データ閲覧処理の処理手順について説明する。
この処理が開始されると、まずステップＳ３００で指紋入力装置Ｆを介してオペレータの指紋データを入力する。
次に、ステップＳ３０１で認識した指紋が予め登録されている指紋データと一致するか否かの指紋チェックが行われ、一致しないと判定された場合にはアクセス権限が無いと判断してステップＳ３００に戻り、他のオペレータの指紋データの入力待ちの状態となる。
【００４１】
一方、指紋データが一致すると判定された場合にはステップＳ３０２に移行して処理を終了するか否かが判定され、Ｎｏの場合には前記演算処理その１のサブルーチンＳ５にジャンプし、図３に示した処理と同様の処理が行われ、機密情報のデータ数分に達した時点でループを終了して、図５のデータ閲覧処理のメインルーチンにリターンする。
一方、前記ステップ３０２においてＹｅｓの場合には処理を終了する。
【００４２】
以上のデータ閲覧処理の実行により、図６に示すように、例えばシステムＳのオペレータがアクセス権限を有する鈴木太郎氏である場合に、鈴木太郎氏の指紋データの第３のハッシュ値Ｄ３ａと機密データベースＤＢ１に格納された指紋データの第１のハッシュ値Ｄ２ａが比較され、一致した場合には対応する「無記名の健康診断結果データ」が読み出される。
また、鈴木太郎氏の指紋データの第４のハッシュ値Ｄ３ｂと識別情報データベースＤＢ２に格納された指紋データの第２のハッシュ値Ｄ２ｂが比較され、一致した場合には対応する「氏名データ：鈴木太郎」が読み出される。
そして、データ結合手段７により個人特定情報を含むプライバシー情報Ｄ１が生成され、ＣＲＴや液晶表示装置で構成される出力手段８の画面上に、例えば「鈴木太郎氏の健康診断結果：１．病気履歴……，２．血圧……，３．中性脂肪……等」のプライバシー情報の詳細が表示される。このように、アクセス権限を有する者にみが所定のプライバシー情報を閲覧することができるので、高い機密性を保証することができる。
【００４３】
以上説明したように本実施形態に係る機密情報保護システムＳによれば、個人特定情報を含まないプライバシー情報Ｄ１ａを格納した機密データベースＤＢ１と、各機密情報に対応する個人特定情報Ｄ１ｂを格納した識別情報データベースＤＢ２とは、それぞれ分離して形成されているので、たとえ第三者が各データベースに不正に侵入したとしても、識別不能な機密情報（即ち、何処の誰のか不明な無記名の健康診断結果）や、個人特定情報（例えば、佐藤次郎，田中三郎等の個人名）など単独では余り意味のない情報が取得されるだけで済み、重要な個人情報が漏洩する危険を回避することができる。
【００４４】
また、個人特定情報を含まないプライバシー情報Ｄ１ａに対応付けされる第１のハッシュ値Ｄ２ａと、個人特定情報に対応付けされる第２のハッシュ値Ｄ２ｂとは異なるので、機密データベースＤＢ１と識別情報データベースＤＢ２の両方から不正にデータが抜き出されたような場合であってもハッシュ値Ｄ２ａ，Ｄ２ｂに基づいてプライバシー情報と個人特定情報を照合することはできず（即ち、どの健康診断結果が誰のものであるかを特定することはできず）、より一層安全にプライバシー情報を保護することが可能である。
【００４５】
さらに、データベースへのアクセス権限を有する者が情報を取得しようとする場合には、入力手段１から正当な認証情報（指紋データ等）Ｄ３を入力することにより、当該認証情報から得られる第３のハッシュ値Ｄ３ａが機密データベースＤＢ１に格納されている第１のハッシュ値Ｄ２ａの何れかと一致すると判定され、当該認証情報から得られる第４のハッシュ値Ｄ３ｂが識別情報データベースＤＢ２に格納されている第２のハッシュ値Ｄ２ｂの何れかと一致すると判定された場合に限り、各データベースから読み出されたプライバシー情報Ｄ１ａと個人特定情報Ｄ１ｂとを結合させて識別可能なプライバシー情報として出力手段８から出力させることができる。
【００４６】
なお、本実施形態では、機密データベースＤＢ１にプライバシー情報としての健康診断結果データを格納する場合について述べたが、これに限定されず、個人、法人等の所定の識別情報に対応する秘匿性を要するデータであれば何であっても本システムを適用して保護することが可能である。
【００４７】
【発明の効果】
本発明によれば、たとえ第三者が各データベースに不正に侵入したとしても、識別不能な機密情報（例えば、何処の誰のか不明な健康診断結果）や、識別情報（例えば、患者名などの氏名等）など単独では余り意味のない情報が取得されるだけで済み、重要な個人情報（例えば、「……氏の健康診断結果」等）が漏洩する危険を回避することができる。
また、識別情報を含まない複数の機密情報に対応付けされる第１の暗号情報と、識別情報に対応付けされる第２の暗号情報とは異なるので、機密データベースと識別情報データベースの両方から不正にデータが抜き出されたような場合であっても上記暗号情報に基づいて機密情報と識別情報を照合することはできず、より一層安全に機密情報を保護することができる。
【図面の簡単な説明】
【図１】本発明にかかる機密情報保護システムの構成例を示すブロック図、
【図２】同システムのプログラム流れ図、
【図３】同システムのプログラム流れ図、
【図４】同システムのプログラム流れ図、
【図５】同システムプログラム流れ図、
【図６】同システムの運用例を示す説明図である。
【符号の説明】
Ｓ 機密情報保護システム
１ 入力手段（キーボードＫ，指紋入力装置Ｆ）
２ データ分離手段 ３ 第１のハッシュ化手段
４ 第１の検索手段 ５ 第２のハッシュ化手段
６ 第２の検索手段 ７ データ結合手段
８ 出力手段 Ｃ マイクロコンピュータ
ＤＢ１ 機密データベース
ＤＢ２ 識別情報データベース
Ｇ１，Ｇ２ データ群
ＨＤ１，ＨＤ２ ハードディスク装置
Ｄ１ 個人特定情報を含むプライバシー情報
Ｄ１ａ 個人特定情報を含まないプライバシー情報
Ｄ１ｂ 個人特定情報
Ｄ２，Ｄ３ 認証情報（指紋データ）
Ｄ２ａ 認証情報の第１のハッシュ値
Ｄ２ｂ 認証情報の第２のハッシュ値
Ｄ３ａ 認証情報の第３のハッシュ値
Ｄ３ｂ 認証情報の第４のハッシュ値

Claims (5)

1. 識別情報を含まない機密情報と、該情報に対応して暗号化された第１の暗号情報を格納した１または２以上の機密データベースと、
   前記識別情報と、該識別情報に対応して暗号化された第２の暗号情報を格納した識別情報データベースと、
   認証情報を入力する入力手段と、
   前記各データベースから読み出された情報を出力する出力手段と、
   前記各情報の入出力処理，暗号化処理、認証処理および情報の結合処理を制御する制御手段とを少なくとも備え、
   前記制御手段は、前記入力手段から入力された前記認証情報から得られる第３の暗号情報が前記機密データベースに格納されている第１の暗号情報の何れかと一致すると判定した場合には、当該第１の暗号情報に対応する機密情報を読み出し、
   前記認証情報から得られる第４の暗号情報が前記識別情報データベースに格納されている第２の暗号情報の何れかと一致すると判定した場合には、当該第２の暗号情報に対応する識別情報を読み出し、
   読み出された前記機密情報と、前記識別情報とを結合させて、識別可能な機密情報として前記出力手段から出力させることを特徴とする機密情報保護システム。
2. 前記機密情報は、個人を特定するための個人特定情報を含まない、個人の健康状態に関する情報等のプライバシー情報であり、前記識別情報は、前記個人特定情報であることを特徴とする請求項１に記載の機密情報保護システム。
3. 前記認証情報は、利用者またはデータベースへのアクセス権限を有する情報管理者の指紋等のバイオメトリクス情報であることを特徴とする請求項１又は２に記載の機密情報保護システム。
4. 前記第１の暗号情報および前記第３の暗号情報は、前記認証情報に第１のハッシュ関数を適用して得られる第１のハッシュ値で構成され、前記第２の暗号情報および前記第４の暗号情報は、前記認証情報に第２のハッシュ関数を適用して得られる第２のハッシュ値で構成され、前記第１の暗号情報および前記第３の暗号情報を構成する第１のハッシュ値が一致し、且つ、前記第２の暗号情報および前記第４の暗号情報を構成する第２のハッシュ値が一致した場合にのみ、前記機密情報と前記識別情報とを各データベースから読み出して結合させて識別可能な機密情報として、前記出力手段から出力させることを特徴とする請求項１から請求項３の何れかに記載の機密情報保護システム。
5. 識別情報を含まない機密情報と、該各情報に対応して暗号化された第１の暗号情報を格納し、
   前記識別情報と、該識別情報に対応して暗号化された第２の暗号情報を格納し、
   入力される認証情報から得られる第３の暗号情報が前記第１の暗号情報の何れかと一致した場合には、当該第１の暗号情報に対応する機密情報を読み出し、
   前記認証情報から得られる第４の暗号情報が前記第２の暗号情報の何れかと一致した場合には、当該第２の暗号情報に対応する識別情報を読み出し、
   読み出された前記機密情報と、前記識別情報とを結合させて識別可能な機密情報として出力することを特徴とする機密情報保護方法。

Images