JP2005339308A - 生体認証と連携したプライバシー管理システムおよびそのための認証サーバ - Google Patents

Abstract

【課題】ネットワークを介したサービス提供を受けるために、開示した利用者の個人情報を利用者が承諾した利用目的内に利用を制限する。
【解決手段】利用者端末とネットワークを介して接続した認証サーバにおいて、本人確認をするための生体認証テンプレート情報と、サービス業務に用いる個人情報とを独立したデータベースで管理し、サービス提供時においては、生体認証テンプレート情報のみへアクセスを制限する手段を持つ。また、認証サーバは、利用者毎にプライバシーポリシーを設定する手段を持ち、利用者のプライバシーポリシーに応じて生体認証テンプレート情報および個人情報を利用するサービスを限定する手段を持つ。さらに、利用目的外の利用について、利用者のプライバシーポリシーに応じて利用申請を受け付ける手段を持つ。
【選択図】図１

Description

本発明は、特定のサービス提供を目的とした個人情報を収集するサービス事業において、利用者の本人確認とサービス業務を行う際の個人情報の保護に関する。

本発明に関連する従来技術として、以下のようなものがある。

特許文献１は、利用者の個人情報である生体情報を暗号化し、暗号化された生体情報は利用者の指定した認証サーバにのみ、復号可能な状態でネットワークを転送されるものとして、生体情報という利用者個人のプライバシーを、利用者の意思を反映した形で保護する。また、認証サーバで認証ログをとり、不正な情報の再使用を防止する。さらに、認証サーバによって認証されたか否かが認証依頼側で確認できるようにしてシステムのセキュリティを高く維持することを提案している。

特開２０００−９２０４６号公報

しかしながら、特許文献１では、ネットワークを介して生体認証に用いる照合用の生体情報を転送する際のセキュリティを保持するのみで、すでに登録されている照合の基準となる生体情報や個人情報に対する目的外の利用に対する保護が考慮されておらず、必ずしも、十分なものとは言えない。

本発明のシステムでは、この問題に対して、次のような解決手段を持たせて、より高いセキュリティを維持できるようにする。

本発明の生体認証と連携したプライバシー管理システムは、ネットワークを介してサービスを提供する際の利用者の本人確認は、利用者端末とネットワークを介して接続した認証サーバにおいて行う。認証サーバは、この際、生体認証により本人確認をするための生体認証テンプレート情報と、サービス業務に用いる個人情報とを独立したデータベースに管理して行うとともに、サービス提供時においては、生体認証テンプレート情報のみへのアクセスに制限する。ここで、独立したデータベースとは、例えば、物理的に分離されてアクセスを分離して管理できる複数のハードディスクで構成されても良いし、アクセスを領域分離して管理できる一つのハードディスクで構成されても良い。

また、本発明の認証サーバは、利用者毎にプライバシーポリシーを設定する手段を持ち、利用者のプライバシーポリシーに応じて生体認証テンプレート情報および個人情報を利用するサービスを限定する。また、利用者毎にプライバシーポリシーを設定することにより、利用目的外の利用について、利用者のプライバシーポリシーに応じて利用するサービスを限定する。さらに、利用者毎にプライバシーポリシーを設定することにより、利用者のプライバシーポリシーに応じて接続する機器のセキュリティレベルを機器認証し、利用目的を認証した上で、生体認証テンプレート情報による認証や個人情報を提供する。

本発明では、個人情報と生体認証テンプレート情報とを独立したＤＢで個別に管理しているため、認証時には生体認証テンプレート情報ＤＢのみを、業務時には個人情報ＤＢのみを各利用者のプライバシーポリシーに合致した上でアクセスに供することができ、登録生体認証テンプレート情報と個人情報が、直接結びつかず、生体認証テンプレート情報のみで個人を同定するに至らず、プライバシーを保持できる。

本発明の実施の形態を以下の順で説明する。
（１）システム構成、
（２）処理フロー、
（３）データベース、
（４）認証サーバの機能構成、
（５）サービスサーバの機能構成、
（６）別のシステム構成、および
（７）一時識別番号を発行する場合の処理フロー。

（１）システム構成
図１は本発明のプライバシー管理システムの構成を示すブロック図である。

本システムは、ネットワーク１００に、認証サーバ１１０、複数のサービスサーバ１２０ａ，---、複数の利用者端末１３０ａ，---、サービス提供機器の一つである複数のサービス端末１４０ａ，---、他のサービス提供機器の一つである複数のサービス業務端末１５０ａ，---がつながって構成されている。

認証サーバ１１０は、各利用者の個人情報データベース（以下データベースはＤＢと表示する）１１１、各利用者のプライバシーポリシーＤＢ１１２、生体認証テンプレート情報ＤＢ１１３を個別に持ち、認証処理のたびに追加する認証ログ１１４と個人情報を提示するたびに追加する個人情報提供ログ１１５を持つサーバ装置１１６で構成されている。

サービスサーバ１２０ａ，---は、各利用者の受けることができるサービスを規定するサービス権限ＤＢ１２１、各利用者へのサービス提供のたびに追加するサービスログ１２２を持つサーバ装置１２６より構成されている。

各利用者は、ネットワーク１００によって認証サーバ１１０、サービスサーバ１２０ａ，---に接続された利用者端末１３０ａ，---または、特定サービス専用のサービス端末１４０ａ，---を介してサービスを受ける。本発明では、システムの利用に先立って、利用者端末１３０ａ，---を介して、生体認証の利用目的を認証サーバ１１０のプライバシーポリシーＤＢ１１２に登録して置くことが必要である。これにより、生体認証の利用目的に沿ったサービスを受けたいときに、利用者端末１３０ａ，---、または、サービス提供機器の一つである特定サービス専用のサービス端末１４０ａ---、より、認証サーバ１１０によって、利用者本人である認証を行った上で、サービスの提供を受けることができる。

他のサービス提供機器の一つであるサービス業務端末１５０ａ，---は、サービス事業を提供する上で、必要な業務を行う端末である。例えば、あるサービスの対価を利用者へ請求するなどの業務処理を行う端末である。サービス業務端末１５０ａ，---は、例えば、サービスの対価を利用者へ請求する業務であれば、サービスサーバ１２０ａ，---のサービスログ１２２より未処理ログを得て、該当する未処理ログの利用者の識別番号の個人情報を、認証サーバ１１０へ請求し、認証サーバ１１０の承認の下に、これらの情報を受領して業務（例えば、請求書作成など）を行う。認証サーバ１１０は、個人情報の請求を行ったサービス業務端末が利用者のプライバシーポリシーに合致しているか否か確認のうえ、合致している場合にのみ必要な個人情報を提供する。

このように、認証サーバ１１０では、個人情報と生体認証テンプレート情報とを独立したＤＢで個別に管理しているため、認証時には生体認証テンプレート情報ＤＢ１１３のみを、業務時には個人情報ＤＢ１１１のみを各利用者のプライバシーポリシーに合致した上でアクセスに供するので、登録生体認証テンプレート情報と個人情報が、直接結びつかず、生体認証テンプレート情報のみで個人を同定するに至らず、プライバシーを保持できる。

認証サーバ１１０、複数のサービスサーバ１２０ａ，---、複数の利用者端末１３０ａ，---、複数のサービス端末１４０ａ，---および複数のサービス業務端末１５０ａ，---は、当然、電子計算機であり、より詳細な構成と保持するプログラムについては、認証サーバ１１０で代表して、図１１Ａと図１１Ｂを参照して、後述する。

（２）処理フロー
本発明のプライバシー管理システムにおける処理フローを説明する。ここでは、まず、正当な利用者と確認した上でサービスを提供する際の認証サービス提供フローを、次いで、サービスの正規目的業務における個人情報を使った業務フローについて、それぞれ、説明する。

図２は、認証サービス提供時のシーケンスフローを示す図である。

利用者がサービス端末１４０ａからサービスサーバ１２０ａへサービスを要求する（ステップ２０１）と、要求されたサービスが本人確認の必要なサービスの場合、サービスサーバ１２０ａからサービス端末１４０ａへ認証要求する（ステップ２０２）。サービス端末１４０ａは、利用するサービスＩＤ、利用者のＩＤを認証サーバ１１０へ送付する（ステップ２０５）。認証サーバ１１０は、ステップ２０１で認証要求がなされたサービスが、当該認証要求の認証対象であるＩＤの利用者のプライバシーポリシーＤＢ１１２に設定されている目的内の利用サービスであるか、サービスＩＤを利用して確認する（ステップ２０６）。プライバシーポリシーによりサービス端末との間で機器認証が必要であれば、機器認証を行う（ステップ２０７）。プライバシーポリシーに合致しているか判定する（ステップ２０８）。合致していればステップ２１０へ、合致していなければ、ステップ２０９へ進み、ＮＧ情報をサービス端末へ通知し、処理を終了する。

ステップ２１０では、認証サーバより、サービス端末へ照合情報を要求する。サービス端末では照合情報を収集し（ステップ２１１）、認証サーバへ照合情報を送信する。認証サーバでは、対応するＩＤの生体認証テンプレート情報と照合し、しきい値以上であるか判定する（ステップ２１５）。評価結果がしきい値以上であればステップ２２１へ、しきい値未満であれば、連続してしきい値未満であった回数（試行回数）のカウンタの内容を１増加させ（ステップ２１６）て、ステップ２１７へ進む。ステップ２１７では、カウンタの内容が設定した回数以内、すなわち、連続して本サービス要求に対するしきい値未満であった回数（試行回数）が、設定した回数以内であれば、ステップ２１８へ進む。設定した回数を超えていれば、ステップ２１９へ進む。ステップ２１８では、認証サーバ１１０よりサービス端末１４０ａへ再認証要求を行い、ステップ２１１へ戻る。ステップ２１９では認証処理（ステップ２１６）がＮＧの認証ログを記録し、認証処理ＮＧをサービス端末１４０ａへ通知（ステップ２２０）し、終了する。

ステップ２２１では認証ログを記録するとともに、図示を省略したが試行回数カウンタの内容をゼロにクリアし、ステップ２２２に進んで、ステップ２１５の照合結果と利用者ＩＤを、認証サーバ１１０から当該サービスを提供するサービスサーバ１２０ａへ送付する。サービスサーバ１２０ａでは、当該ＩＤの利用者がサービスの権限があるか確認する（ステップ２３０）。権限があれば、ステップ２３４へ進む。権限がなければ、権限ＮＧをサービス端末１４０ａへ通知（ステップ２３３）し、終了する。ステップ２３４では、サービス要求のあったサービス端末１４０ａへ要求されたサービスを提供する。これに併せて、サービス提供のログを記録（ステップ２３５）し、処理を終了する。

次に、サービス業務において、個人情報を利用する際の処理を説明する。図３はサービス業務において、個人情報を利用する際の処理フローを示す図である。ここで、サービス業務とは、例えば、利用者へのサービス提供に対する対価の請求などがある。

まず、サービス業者は、サービス業務端末１５０ａからサービスサーバ１２０ａへ未処理ログを要求する（ステップ３０１）。サービスサーバ１２０ａは未処理のログをサービス業務端末１５０ａへ提示する（ステップ３０２）とともに、未処理ログの提示記録を取る（ステップ３０３）。サービス業務端末１５０ａから、認証サーバ１１０へサービス提供ログのＩＤに対応する必要な個人情報を請求する（ステップ３０４）。この際、サービス業務端末のサービスＩＤも通知する。

認証サーバ１１０は利用者ＩＤとサービスＩＤを利用して、利用者のプライバシーポリシーを確認する（ステップ３１０）。プライバシーポリシーにより、業務端末の機器認証やプログラムの目的の認証、業務端末のオペレータの認証が必要な場合は、それぞれの認証処理を行う（ステップ３１１）。認証サーバ１１０は、ＩＤの利用者が設定したプライバシーポリシーに合致した請求であるか確認（ステップ３１２）し、合致していればステップ３１４へ進み、サービス業務端末へ個人情報を提供するとともに、個人情報提供ログを記録する（ステップ３１５）。合致していなければＮＧをサービス業務端末１５０ａへ通知（ステップ３１３）し、終了する。

サービス業務端末１５０ａでは、提供された個人情報により、業務処理を行う（ステップ３２０）。その後、サービス業務端末１５０ａは、ログのＩＤの処理を終了したことをサービスサーバ１２０ａへ通知する（ステップ３２１）。これを受けて、サービス端末では、処理が終了したことをログに記録（ステップ３２２）し、処理を終了する。

以上のように、認証サーバ１１０は、それぞれの処理において、サービスの提供を受ける際には利用者の識別情報に紐ついた生体認証テンプレート情報とその権限のみを、サービス業務を遂行する際には、必要な個人情報のみを提供するように切り分けることで、生体認証テンプレート情報と個人情報とが結びつくことを防止し、生体認証テンプレート情報のプライバシーを保護することができる。

続いて、利用者が生体認証テンプレート情報を利用する場合として、想定していない目的外の利用を行う場合について、説明する。ここで、目的外利用の例として、次の利用などが考えられる。
（ｉ）セキュリティレベルを確認する目的の精度評価、
（ｉｉ）認証アルゴリズムをチューニング、
（ｉｉｉ）セキュリティホールとなり得る特定ＩＤの生体認証テンプレート情報の調査・解析、および、
（ｉｖ）犯罪捜査（特に指紋認証の場合）。

また、生体認証テンプレート情報と同様に新しいサービス利用や一時的な利用目的など、個人情報の目的外利用も考えられる。本発明のプライバシー管理システムでは、生体認証テンプレート情報と同様に以下の処理フローを取る。

ここでは、まず、本発明のプライバシー管理システムにおける目的外利用を申請するフローを、次いで、目的外利用の申請に対する許可／拒否の処理フローを説明する。

図４は本発明のプライバシー管理システムにおける目的外利用の申請処理フローを示す図である。

認証サーバ１１０は、目的外の端末（例えば、サービス業務端末１５０ａ）から利用申請を受ける（ステップ４０１）これは、例えば、生体認証テンプレート情報の認証要求、あるいは、個人情報要求である。この場合、当然、目的外の端末は要求する利用者ＩＤ、利用目的、要求情報の種別、情報の管理責任者などの情報を提示して利用申請をする。認証サーバ１１０は要求された利用者ＩＤのプライバシーポリシーを確認する（ステップ４１１）。プライバシーポリシーにより、要求端末の機器認証が必要な場合、要求を受けた端末や端末のプログラムのセキュリティレベルを認証する（ステップ４１２）。要求端末のセキュリティポリシーを検証し（ステップ４１３）、合致していれば、ステップ４１５へ進む。合致していなければ、目的外の端末へ個人情報の提示ＮＧを通知し、処理を終了する（ステップ４１４）。

認証サーバ１１０は、要求端末のセキュリティポリシーが合致していれば、利用の申請があったＩＤの利用者へ通知する（ステップ４１５）。この通知は、目的外利用の申請内容を電子メールなどで通知する（ステップ４１６）ものであり、目的外処理待ち案件ＩＤ、目的外利用の利用目的、要求情報、情報の管理者、端末のセキュリティレベルなどを通知する。これに続けて、利用者の処理待ち案件リストへ登録（ステップ４１７）して処理を終了する。

図５は、目的外利用申請に対する利用者による許可／拒否の処理フローを示す図である。

利用者は、利用者端末１３０ａにおいて上述した認証サーバ１１０のステップ４１６の通知によって目的外利用の通知を確認（ステップ５０１）すると、目的外利用の許可処理開始を目的外処理待ちの案件ＩＤと利用者ＩＤともに認証サーバ１１０に通知する（ステップ５０２）。

認証サーバ１１０は、ステップ５０２の通知を受けて、利用者ＩＤの目的外利用のプライバシーポリシーを確認する（ステップ５１０）。プライバシーポリシーで機器認証が必要であれば、認証サーバは、利用者の端末を認証する（ステップ５１１）。ポリシーに合致した端末であるかどうかを判定し（ステップ５１２）、合致した端末であれば、ステップ５１４へ進む。合致していなければ、ステップ５１３としてＮＧを利用者端末へ返信し、処理を終了する。

ステップ５１４では、認証サーバ１１０は処理待ち案件リストの中から、当該利用者の案件を読み出し、案件情報を利用者に確認させるため、送信する（ステップ５１５）。

利用者端末１３０ａは、送信された案件情報の内容を端末の表示装置に表示して利用者に見せる（ステップ５１６）。利用者は、利用者端末１３０ａの表示装置に表示された案件情報に対して、利用者端末１３０ａの入力装置によって、目的外利用の許可／拒否情報を入力する。さらに、利用者端末１３０ａは、本人確認用の照合情報を収集する（ステップ５１７）。利用者端末１３０ａは、収集した照合情報および利用者の入力した目的外の利用目的への個人情報または生体認証テンプレート情報の利用を許可するか、拒否するかの情報を認証サーバ１１０に送る（ステップ５１８）。

認証サーバ１１０は、許可／拒否情報を送った利用者が本人か否か、確認するため、ステップ５１８で得た照合情報により、利用者（生体）認証を行う（ステップ５１９）。ステップ５１９の認証がＯＫであれば、利用者の許可または否許可に応じて、利用申請した目的外端末に対し、個人情報または生体認証テンプレート情報の開示を許可／拒否する情報を、当該目的のサービスのＩＤとともに通知する（ステップ５２０）。ステップ５１９の認証がＮＧであれば、ＮＧを利用者端末１３０ａに通知して、処理を終了する（ステップ５２１）。さらに、ステップ５１９の認証が当該目的での利用を許可するものであったか否かを判定し（ステップ５２２）、許可であった場合、当該サービスＩＤの利用をポリシーに追加し（ステップ５２３）処理を終了する。不許可であった場合は何もしないで処理を終了する。

ここで、許可情報としては、（１）許可、（２）一定期間許可、（３）一定回数許可、などがある。また、これに対応して、許可するサービスに対するポリシー情報も同時に設定する（図８に示すポリシーデータベース１１２の項番１０２４−１０３５参照）。

このフローから分かるように、目的外の利用に対しても各利用者への許可を求めて柔軟に対応することができるシステムとなり、手続きが遵守されることにより、利用者に対しても安心を与えることができる。また、データ管理者にとっても、利用者の認証を確認できるため、個人情報を適切に管理できる。また、ポリシーデータベースの改変を利用者の認証がある場合のみに制限することができる。

（３）データベース
本発明のプライバシー管理システムの認証サーバ１１０では、利用者の個人情報ＤＢ１１１、生体認証テンプレート情報ＤＢ１１３およびプライバシーポリシーＤＢ１１２の設定情報を管理している。これらのデータ内容について説明する。

図６は個人情報ＤＢ１１１のデータの構成例を示す図である。ここでは、利用者の識別番号６０１、利用者の氏名６０２、利用者の住所６０３、利用者の電話番号６０４、利用者のメールアドレス６０５などを、各利用者について持つ。これらの情報は暗号化して管理し、目的内の利用要求に対して、随時、復号化して提供する。このことにより、より安全に個人情報を管理できる。

図７は生体認証テンプレート情報ＤＢ１１３の構成例を示す図である。ここでは、利用者の識別番号７０１、利用者の生体認証テンプレート情報７０２などを持つ。場合によっては、複数の生体情報の生体認証テンプレート情報を持つ場合もある。

図８はプライバシーポリシーＤＢ１１２の構成例を示す図である。プライバシーポリシーの設定情報の管理データを、図８を参照して説明する。

プライバシーポリシーの設定情報として、各利用者の識別番号に対して、次の三つの観点で設定を行う。
（ｉ）生体認証テンプレート情報を使った認証に関する設定、
（ｉｉ）各サービスおよびサービスサーバに関する設定、
（ｉｉｉ）各サービスの業務端末に関する設定。

まず、生体認証テンプレート情報を使った認証に関する設定として、利用者の識別番号（１００１）毎に、次のような情報を設定する：
生体認証テンプレート情報の暗号化（１０１１）：する、しない、等、
暗号鍵の管理（１０１２）：利用者が１０１１の暗号化鍵を管理する、認証サーバで管理する、あるいは、第三者機関に預託する、等、
生体認証の試行回数（１０１３）：ｎ回まで、等、
生体認証の利用目的のサービス（１０１４）：サービスＡ、サービスＢ、等、
生体認証のための生体情報を収集する端末の制限（１０１５）：利用者の端末のみ、利用目的のサービス端末ＯＫ、任意の端末ＯＫ、等、
生体認証を行う機器の制限（１０１６）：認証サーバのみ、各利用者の端末で可、サービスサーバで可、等。

次に、各サービスやそのサービスを提供する各サービスサーバに関する設定として、利用者の識別番号毎に、次のような情報を設定する：
サービスサーバのサービス業務識別番号（１０２１）、
生体認証テンプレート情報開示（１０２２）：ＯＫ、ＮＧ、等、
そのサービスに対する認証レベル（１０２３）：しきい値設定、他人受入率（誤り率）設定、サーバデフォルト、等、
サービスサーバの有効期限、あるいは、そのサービスの有効回数（１０２４）：２００５年、あるいは、ｋ回、等。

さらに、各サービスの業務端末に関する設定として、利用者の識別番号毎に、次のような情報を設定する：
業務端末のサービス業務識別番号（１０３１）。

業務端末のセキュリティレベル（１０３２）：ｍ以上、等、
そのサービスに対して、開示する個人情報の範囲（１０３３）：氏名｜住所｜ＴＥＬ｜ｅ−アドレス｜クレジット番号｜銀行口座｜を０１フラグで設定、等、
業務端末を操作するオペレータの認証（１０３４）：あり、なし、等、
サービスサーバの有効期限、あるいは、そのサービスの有効回数（１０３５）：２００５年、あるいは、ｋ回、等。

また、目的外利用に関する設定として、利用者の識別番号毎に、次のような情報などを設定する：
目的外利用端末（１０４２）：申請を受け付ける、受け付けない、等、
目的外利用を申請した端末・サーバのセキュリティレベル（１０４１）：ｎ以上、等。

図１に明らかなように、認証サーバ１１０は、上述した情報の他に、認証履歴ログ１１４と、個人情報の提供ログ１１５を管理している。

図９はサービスサーバ１２０ａの持つサービス権限ＤＢ１２１のデータの構成例を示す図である。サービス権限ＤＢ１２１では、利用者の識別番号８０１と、利用者の識別番号に対するサービスの権限情報８０１を、識別番号毎に管理する。

図１０は、サービスサーバ１２０ａのサービス提供ログ１２２のデータの構成例を示す図である。サービス提供ログ１２２は、提供を受けた日時９０１、利用者の識別番号９０２と、提供を受けたサービス内容９０３を持つ。

（４）認証サーバ１１０の機能構成
本発明のプライバシー管理システムの認証サーバの機能構成ブロックを図１１Ａに示す。認証サーバ１１０は、個人情報ＤＢ１１１を管理する個人情報管理プログラム１１２１、プライバシーポリシーＤＢ１１２を管理するプライバシーポリシー管理プログラム１１２２、生体認証テンプレート情報ＤＢ１１３を管理する生体認証テンプレート情報管理プログラム１１２３、認証サーバ１１０の通信処理をつかさどるプログラムとネットワーク１００と接続するためのハードとからなりネットワーク１００を介して利用者端末１３０ａ，---やサービスサーバ１２０ａ，---、サービス端末１４０ａ，---、サービス業務端末１５０ａ，---と通信する通信インタフェイス１１３１、利用者端末１３０ａ，---との間の認証処理に対応して、認証処理を管理する認証要求処理管理プログラム１１３２、生体認証テンプレート情報管理プログラムより生体認証テンプレート情報を受け生体認証する生体認証プログラム１１３３、認証結果を記録した認証ログ１１４を管理する認証ログ管理プログラム１１３４を持つ。また、サービス業務端末１５０ａ，---との間の個人情報要求の処理を管理する個人情報要求処理管理プログラム１１４１、個人情報提供に関するアクセスを記録した個人情報提供ログ１１５を管理する個人情報提供ログ管理プログラム１１４２、利用者端末１３０ａ，---、サービス端末１４０ａ，---、サービス業務端末１５０ａ，---およびサービスサーバ１２０ａ，---の機器認証をする端末認証プログラム１１４３を持つ。

図１１Ａで説明した認証サーバ１１０は、電子計算機で構成されるものである。図１１Ｂは、図１１Ａで説明した認証サーバ１１０の機能ブロックを電子計算機の構成として表示したブロック図である。２０はシステムバスである。システムバス２０には入力手段としてのキーボード２１_１、マウス２１_２が接続され、出力手段としての印刷手段２１_３、表示手段２１_４が接続される。さらに、システムバス２０には、中央処理装置（ＣＰＵ）２２、メモリのワークエリア２３、メモリの格納エリア２４が接続される。また、通信インタフェイス１１３１を介してネットワーク１００が接続され、ネットワーク１００には認証サーバ１１０、サービスサーバ１２０ａ，---、利用者端末１３０ａ，---、サービス端末１４０ａ，---およびサービス業務端末１５０ａ，---が接続される。

先にフロー図で説明した各種の処理が、中央処理装置（ＣＰＵ）２２が格納エリア２４に保持された必要なプログラムおよびデータをワークエリア２３に読み出して実行する。なお、格納エリア２４には、図１１Ａで説明したプログラムに限らず、電子計算機の動作に必要なプログラムが保持される。

（５）サービスサーバ１２０ａの機能構成
サービスサーバ１２０ａ，---については詳細な説明は省略するが、認証サーバ１１０と同様に、各利用者の受けることができるサービスを規定するサービス権限ＤＢ１２１、各利用者へのサービス提供のたびに追加するサービスログ１２２および図３に例示したフローを実行するためのサービスプログラムをメモリとメモリにアクセスできる中央処理装置を持つサーバ装置１２６よりなる計算機で構成され、また、図２および図３に例示したフローを実行するためのサービスプログラムおよび中央処理装置を有する。中央処理装置はサービスプログラムに応じてサービス権限ＤＢ１２１およびサービスログ１２２のデータを基礎に必要な処理を行う。

（６）別のシステム構成
本発明のプライバシー管理システムの第２のシステム構成を図１２Ａに示す。本質的には図１に示すシステム構成と同じであり、同じ機能あるいは同等の機能を果たすものには同じ参照符号を付した。

図１２Ａに示すシステム構成は、ネットワーク１００を利用者端末１３０ａ，---の接続されるＷＡＮ１２４０と、サービス端末１４０ａ，---およびサービス業務端末１５０ａ，---が接続されるＬＡＮ１２５０に分離し、これらの間を第１ゲートウエイＧＷ１２３０と第２ゲートウエイＧＷ１２３０を直列に接続して接続した。また、認証サーバ１１０を第１認証サーバ１１０−１と、第２認証サーバ１１０−２に分割して、第１認証サーバ１１０−１は第１ゲートウエイＧＷ１２３０と第２ゲートウエイＧＷ１２３０の接続点に接続し、第２認証サーバ１１０−２はＬＡＮ１２５０に接続した。サービスサーバ１２０ａ，---はＬＡＮ１２５０に接続した。

分離された第１認証サーバ１１０−１は生体認証の生体認証テンプレート情報と認証に関するプライバシーポリシーのみを管理し、分離された第２認証サーバ１１０−２は個人情報サーバとして機能するものとされる。そのため、プライバシーポリシーＤＢ１１２も、ポリシー１ＤＢ１１２−１とポリシー２ＤＢ１１２−２に分離され、ポリシー１ＤＢ１１２−１には認証に関するプライバシーポリシーが格納され、ポリシー２ＤＢ１１２−２には個人情報に関するプライバシーポリシーが格納される。また、生体認証テンプレート情報ＤＢ１１３および認証ログ１１４は第１認証サーバ１１０−１に設けられる。同様に、個人情報ＤＢ１１１と個人情報提供ログ１１５は第２認証サーバ１１０−２に設けられる。

第１ゲートウエイＧＷ１２３０は、ＷＡＮ１２４０からＬＡＮ１２５０に向けた信号の流れでは、利用者端末１３０ａ，---から認証サーバ１１０−１向けのみに限定するように設定される。また、ＬＡＮ１２５０からＷＡＮ１２４０に向けた信号の流れでは、サービスサーバ１２０ａ，---から利用者端末１３０ａ，---向けのみに限定するように設定される。第２ゲートウエイＧＷ１２３０は、ＷＡＮ１２４０からＬＡＮ１２５０に向けた信号の流れでは、認証サーバ１１０−１からサービスサーバ１２０ａ，---向けのみに限定するように設定される。また、ＬＡＮ１２５０からＷＡＮ１２４０に向けた信号の流れでは、サービスサーバ１２０ａ，---から利用者端末１３０ａ，---向けのみに限定するように設定される。これらの信号の流を図中に太線で示した。

このように個人情報と生体認証テンプレート情報を分離管理し、ゲートウェイにより情報の流れを制御することで、サービス業務端末から生体認証テンプレート情報へのアクセスを制限できる。また、個人情報に対しても、ＷＡＮからのアクセス脅威を削減できる。

図１２Ｂおよび図１２Ｃは、図１２Ａのシステム構成における第１認証サーバ１１０−１と第２認証サーバ１１０−２の具体的な構成例を図１１Ｂと同様に示したものである。図１２Ａおよび図１１Ｂと同一のもあるいは同等の機能を果たすものに同じ参照符号を付した。図１２Ａと対比して明らかなように、それぞれのサーバの目的に応じて、情報ＤＢと処理プログラムが分割して配置される。動作の詳細は図１２Ａのそれと同様であるので、説明は省略する。

（７）一時識別番号発行する場合の処理フロー
本発明の生体認証と連携したプライバシー管理システムにおいて、サービスサーバにおいて、権限確認をしない場合、利用者のＩＤが必要ない。このような場合、認証サーバからサービスサーバに提供する利用者ＩＤを一時的に利用するＩＤとして提示しても問題はない。この際、一時的なＩＤと利用者ＩＤを認証サーバの認証ログに記録しておき、サービス業務端末による個人情報要求のあった一時ＩＤに対し、認証サーバでは、認証ログを確認して利用者ＩＤの個人情報をサービス業務端末へ提供することができる。

このような一時ＩＤを利用することで、ＩＤによる利用状況のトレーシングができなくなり、よりプライバシーを保持した運用ができる効果がある。

本発明は、ネットワークを介してサービスを提供するシステムにおいて、利用者本人であることを確認する場合に利用できる。

本発明の実施例を説明するシステム全体の構成図である。 本発明の実施例におけるサービス利用時に利用者認証の処理フローの例である。 本発明の実施例における目的内のサービス業務における個人情報要求の処理フローの例である。 本発明の実施例における目的外に個人情報や生体認証テンプレート情報の利用を申請する際の処理フローの例である。 本発明の実施例における目的外利用に関して、利用者の利用許可／拒否を行う際の処理フローの例である。 本発明の実施例における認証サーバで管理する個人情報のデータベースのデータ構成の例である。 本発明の実施例における認証サーバで管理する生体認証テンプレート情報データベースのデータ構成の例である。 本発明の実施例における認証サーバで管理するプライバシーポリシーの設定データベースのデータ構成の例である。 サービスサーバ１２０ａの持つサービス権限ＤＢ１２１のデータの構成例を示す図である。 本発明の実施例におけるサービスサーバで管理するサービス提供ログのデータ構成の例である。 本発明の実施例における認証サーバの機能ブロックを示す図である。 図１１Ａで説明した認証サーバ１１０の機能ブロックを電子計算機の構成として表示したブロック図である。 本発明のプライバシー管理システムの第２のシステム構成を示す図である。 図１２Ａのシステム構成における第１認証サーバ１１０−１の具体的な構成例を示す図である。 図１２Ａのシステム構成における第２認証サーバ１１０−２の具体的な構成例を示す図である。

符号の説明

２０…システムバス、２１…キーボード２１_１、２１_２…マウス、２１_３…印刷手段、２１_４…表示手段、２２…中央処理装置（ＣＰＵ）、２３…メモリのワークエリア、２４…メモリの格納エリア２４、１００…ネットワーク、１１０…認証サーバ、１２０ａ…サービスサーバ、１３０ａ…利用者端末、１４０ａ…サービス端末、１５０ａ…サービス業務端末、１１１…個人情報データベース、１１２…プライバシーポリシー設定データベース、１１３…生体認証テンプレート情報データベース、１１４…認証ログ、１１５…個人情報提供ログ、１１６，１２６…サーバ装置、１２１…権限データベース、１２２…サービスログ、１１３１…通信インタフェイス。

Claims (18)

1. ネットワークを介し、所定のサービスを実行するサービス提供機器と利用者端末とに接続された認証サーバであって、
   利用者の個人情報データベースと、
   前記個人情報データベースとは、独立してアクセスされる利用者の生体認証テンプレートデータベースと、
   利用者毎の利用者ＩＤで管理され、前記生体認証テンプレートデータベースの利用目的を格納した利用者のプライバシーポリシーデータベースとを有し、
   前記サービス提供機器が発行するサービス内容を特定するサービスＩＤおよび利用者端末から送信される利用者ＩＤに基づき、当該サービスＩＤおよび利用者ＩＤの組が前記プライバシーポリシーに登録されているか否かを確認し、登録されている場合に、前記個人情報データベース、あるいは、前記プライバシーポリシーデータベースにアクセス可能であることを特徴とする認証サーバ。
2. 前記利用者のプライバシーポリシーデータは、利用者端末からの利用者による要求を受けて、利用者毎の識別番号に応じて設定可能である請求項１記載の認証サーバ。
3. 前記利用者のプライバシーポリシーデータの設定において、利用者のプライバシーポリシーに応じて、個人情報を暗号化し、利用者が設定した目的のみに対して復号化して提供する請求項２記載の認証サーバ。
4. 前記利用者のプライバシーポリシーデータの設定において、利用者のプライバシーポリシーに応じて、目的内のサービスに対してのみ認証機能を提供する請求項２記載の認証サーバ。
5. 前記利用者のプライバシーポリシーの目的外の利用に対して、他の利用者の個人情報の開示申請を受け付け、ポリシーの設定者である利用者の承認があったときは、他の利用者に個人情報を提供する請求項４記載の認証サーバ。
6. 前記目的外の利用に対して、個人情報の開示申請をポリシーの設定者である利用者が承認したときは、プライバシーポリシーデータに開示申請に対応するプライバシーポリシーの目的を追加する請求項５記載の認証サーバ。
7. 前記利用者のプライバシーポリシーデータが、個人情報を要求する前記サービス提供機器の一つであるサービス業務端末のセキュリティレベルの機器認証を要求するものであるときは、セキュリティレベルの機器認証を実行して所定のセキュリティレベルにあることを確認したうえで、個人情報を提供する請求項１記載の認証サーバ。
8. 前記利用者のプライバシーポリシーデータが、本人確認の要求を許す利用者端末と本人確認の要求を制限する項目を持つ請求項１記載の認証サーバ。
9. ネットワークに接続された認証サーバ、サービスサーバ、利用者端末、およびサービス提供機器からなり、サーバおよび端末間で相互にデータの送受信が出来るシステムに適用できるプライバシー管理システムであって、
   前記認証サーバは利用者の個人情報データベース、利用者の生体認証テンプレートデータベース、認証ログ、個人情報提供ログ、および、利用者のプライバシーポリシーデータベース、認証要求処理管理プログラムおよび個人情報要求処理管理プログラムを備えるメモリと、前記メモリにアクセス可能な中央処理装置とを備えた計算機であり、
   前記サービスサーバは各利用者の受けることができるサービスを規定するサービス権限データベース、各利用者へのサービス提供のたびに追加するサービスログおよびサービスのためのサービスプログラムを備えるメモリと、前記メモリにアクセス可能な中央処理装置とを備えた計算機であり、
   前記認証サーバは、利用者の個人情報データ、利用者の生体認証テンプレートデータ、および、利用者のプライバシーポリシーデータを利用者毎の識別番号にて管理するとともに、前記利用者の個人情報データベースと利用者の生体認証テンプレートデータベースとは独立して前記中央処理装置によりアクセスされるものとし、前記中央処理装置はサービス利用時の生体認証テンプレートデータを使った本人確認処理とサービス業務時の個人情報データを使った個人情報要求に対する処理を、当該プライバシーポリシーに設定した目的を確認したうえで実行することを特徴とするプライバシー管理システム。
10. 前記認証サーバは、利用者が要求したサービスに対してサービスサーバが権限確認をしないものである場合には、サービスサーバに提供する利用者ＩＤを一時的に利用するＩＤとして提示し、一時的なＩＤと利用者ＩＤを認証サーバの認証ログに記録しておき、前記サービス提供機器の一つであるサービス業務端末による個人情報要求のあった一時ＩＤに対し、認証ログを確認して利用者ＩＤの個人情報をサービス業務端末へ提供する請求項９記載のプライバシー管理システム。
11. 前記利用者のプライバシーポリシーデータは、利用者端末からの利用者による要求を受けて、前記中央処理装置によって利用者毎の識別番号に応じて設定可能である請求項９記載のプライバシー管理システム。
12. 前記利用者のプライバシーポリシーデータの設定において、利用者のプライバシーポリシーに応じて、個人情報を暗号化し、利用者が設定した目的のみに対して復号化して提供する請求項１１記載のプライバシー管理システム。
13. 前記利用者のプライバシーポリシーデータの設定において、利用者のプライバシーポリシーに応じて、目的内のサービスに対してのみ認証機能を提供する請求項９記載のプライバシー管理システム。
14. 前記利用者のプライバシーポリシーの目的外の利用に対して、他の利用者の個人情報の開示申請を受け付け、ポリシーの設定者である利用者の承認があったときは、他の利用者に個人情報を提供する請求項１３記載のプライバシー管理システム。
15. 前記目的外の利用に対して、個人情報の開示申請をポリシーの設定者である利用者が承認したときは、プライバシーポリシーデータに開示申請に対応するプライバシーポリシーの目的を追加する請求項１４記載のプライバシー管理システム。
16. 前記利用者のプライバシーポリシーデータが、個人情報を要求する前記サービス提供機器の一つであるサービス業務端末のセキュリティレベルの機器認証を要求するものであるときは、前記中央処理装置はセキュリティレベルの機器認証を実行して所定のセキュリティレベルにあることを確認したうえで、個人情報を提供する請求項９記載のプライバシー管理システム。
17. 前記利用者のプライバシーポリシーデータが、本人確認の要求を許す利用者端末と本人確認の要求を制限する項目を持つ請求項９記載のプライバシー管理システム。
18. 第１のネットワークに接続された利用者端末と、第２のネットワークに接続されたサービスサーバ、個人情報サーバおよびサービス提供機器とからなり、それぞれのネットワーク間は直列接続された第１、第２のゲートウエイで接続されるとともに、第１、第２のゲートウエイの接続点に認証サーバが接続されたプライバシー管理システムであって、
    前記認証サーバは利用者の生体認証テンプレートデータベースおよび認証ログ、利用者の生体認証テンプレートデータに関するプライバシーポリシーデータベース、認証要求処理管理プログラムを備えるメモリと、前記メモリにアクセス可能な中央処理装置とを備えた計算機であり、
    前記個人情報サーバは利用者の個人情報データベース、個人情報提供ログおよび利用者の個人情報データに関するプライバシーポリシーデータベース、個人情報要求処理管理プログラムを備えるメモリと、前記メモリにアクセス可能な中央処理装置とを備えた計算機であり、
    前記サービスサーバは各利用者の受けることができるサービスを規定するサービス権限データベース、各利用者へのサービス提供のたびに追加するサービスログおよびサービスのためのサービスプログラムを備えるメモリと、前記メモリにアクセス可能な中央処理装置とを備えた計算機であり、
    前記認証サーバは、利用者の生体認証テンプレートデータ、および、利用者の生体認証テンプレートデータに関するプライバシーポリシーデータを利用者毎の識別番号にて管理するとともに、前記中央処理装置はサービス利用時の生体認証テンプレートデータを使った本人確認処理を、当該プライバシーポリシーに設定した目的を確認したうえで実行し、
    前記個人情報サーバは利用者の個人情報データ、および、利用者の個人情報データに関するプライバシーポリシーデータを利用者毎の識別番号にて管理するとともに、前記中央処理装置はサービス利用時の利用者の個人情報確認処理を、当該プライバシーポリシーに設定した目的を確認したうえで実行し、
    前記第１のゲートウエイは前記利用者端末の接続された第１のネットワークから前記認証サーバへの信号の流れのみを許容し、前記第２のゲートウエイは前記認証サーバから前記サービスサーバへの信号の流れのみを許容し、前記直列接続された第１のゲートウエイと第２のゲートウエイは前記サービスサーバから前記利用者端末への信号の流れのみを許容する、
    ことを特徴とするプライバシー管理システム。

Images