JP4253167B2

JP4253167B2 - Personal information access control method, terminal, system, and program

Info

Publication number: JP4253167B2
Application number: JP2002190688A
Authority: JP
Inventors: 智則田中; 知之杉山; 健一森田; 智子畑
Original assignee: NTT Communications Corp
Current assignee: NTT Communications Corp
Priority date: 2002-06-28
Filing date: 2002-06-28
Publication date: 2009-04-08
Anticipated expiration: 2022-06-28
Also published as: JP2004038270A

Description

【０００１】
【発明の属する技術分野】
本発明は、情報アクセス制御技術に係り、特に、公開鍵基盤（ＰＫＩ）を利用して個人情報へのアクセスを制御する方法、端末、システム、及び、プログラムに関する。
【０００２】
【従来の技術】
コンピュータ技術、通信技術、並びに、ネットワーク技術の進展に伴って、多様な情報が多数の利用者からアクセスできるようになっている。たとえば、ある個人が開設したホームページは、インターネットのようなネットワークを介して、何時でも、どこからでもアクセスできるようになる。
【０００３】
しかし、ある種の情報、特に、利用者の個人情報は、アクセス制御できることが望ましいと考えられる。このような個人情報の一例は、個人の医療情報である。
【０００４】
医療現場では、従来の書類形式のカルテに付加的、或いは、代替的に電子カルテが導入され、普及し始めている。このような電子カルテの普及によって、電子的な医療情報を活用することが期待されている。医療行為における診療情報は、特に、勝手に他人に知られたくない個人情報であるので、医者と患者の同意の下、高いセキュリティを保ってデータの保存・アクセス・共有がなされるべきである。
【０００５】
電子的な情報のセキュリティを保つためには、ユーザの本人認証が不可欠であり、従来技術においては、本人証明情報が記憶され、ユーザが携行するＩＣカード或いはＦＤのような記憶媒体の挿抜や、ユーザによる識別情報（ＩＤ）／パスワード（ＰＷ）の入力が、個人情報へのアクセスを必要とする場面毎に、本人認証のために行われている。具体的には、たとえば、ＩＣカードと、認証サーバとの間で、チャレンジ・レスポンス方式の認証が行われる。このように毎回認証を行うことによって、高いセキュリティが保証されるが、認証の都度、ユーザは、ＩＣカードの挿抜等の煩雑な作業を負担し、ユーザの操作上の利便性が犠牲にされている。患者が受診時にＩＣカードの挿抜を何度も繰り返すことは、煩雑であり現実的でない。
【０００６】
また、近年では、２枚の非接触型ＩＣカードをカードボックスに差し込み、２枚の非接触型ＩＣカードの間で電子的な情報を共有するような方式も開発されている。このような方式では、診療現場で、患者の非接触型ＩＣカードと医者の非接触型ＩＣカードを用いることにより、医者と患者の同意の下、高いセキュリティを保ってデータの保存・アクセス・共有がなされ得る。
【０００７】
【発明が解決しようとする課題】
しかし、従来技術において、高いセキュリティを保ったまま、本人以外の他者による本人の個人情報へのアクセスを実現するためには、まず、他者が本人の個人情報へアクセスしようとするときに、本人を認証し、本人性が確認された本人が他者による個人情報へのアクセスを承認しなければならない。他者が個人情報へアクセスするとき、毎回、このような本人認証及び本人による承認の手続を繰り返すことは、本人と他者の双方にとって煩雑な作業であり、少ない認証操作回数で、高セキュリティを保証して安全な認証・データ保存・アクセス・情報共有を実現することが困難である。
【０００８】
したがって、本発明は、たとえば、患者がＩＣカード等の本人証明情報の担体を用いて、病院窓口で各種手続を行い、或いは、診察室で受診した際に、最小限の認証操作で、高セキュリティ性を保証したまま、個人情報の保存・アクセス・共有を実現する、個人情報アクセス制御方法、端末、システム、並びに、プログラムの提供を目的とする。
【０００９】
【課題を解決するための手段】
上記目的を達成するため、本発明は、ユーザ本人の本人性を保証する本人認証情報とユーザ本人の個人情報への他者のアクセスを承諾する本人承諾情報を表わす承認情報を生成し、承認情報を高セキュリティの下で一定期間保持する。そして、他者からユーザ本人の個人情報へのアクセスが要求された場合に、承認情報の有効期間内に、承認情報によって指定された端末からのユーザ本人の個人情報へのアクセスを許可する。
【００１０】
図１は本発明の原理説明図である。
【００１１】
本発明の第１の局面によれば、承認情報を生成・保持することにより個人情報へのアクセスを制御する個人情報アクセス制御方法が提供される。
【００１２】
請求項１に係る個人情報アクセス制御方法は、
端末でユーザの本人証明情報を取り込み、本人証明情報と予め認証データベースに蓄積されている本人認証用情報とを用いてユーザの本人性を確認する本人認証手順（ステップ１）と、
ユーザの本人性が確認された場合に、上記端末で、ユーザを特定するユーザ識別情報、データベース内のユーザの個人情報へのアクセスが許可される端末を特定する端末識別情報、及び、ユーザの個人情報へのアクセス有効期限情報を含む公開承認情報を生成し、生成された公開承認情報をデータベースに格納するアクセス制限情報設定手順（ステップ２）と、
上記端末で、生成された公開承認情報をユーザに固有の秘密鍵で暗号化することによって暗号化承認情報を生成し、生成された暗号化承認情報、ユーザに固有の上記秘密鍵に対応した公開鍵、及び、ユーザ識別情報の組をデータベースに格納する本人確認情報設定手順（ステップ３）と、
を有し、
公開承認情報がユーザによって設定されたことが確認された場合に、公開情報のアクセス有効期限情報で指定された有効期限内で、公開承認情報の端末識別情報で指定された端末からユーザの個人情報へのアクセスが許可される。
【００１３】
本発明の第２の局面によれば、生成・保持された承認情報に基づいて個人情報へのアクセスを制御する個人情報アクセス制御方法が提供される。
【００１４】
請求項２に係る発明は、上記個人情報アクセス制御方法において、
ユーザの個人情報へのアクセスを要求する端末でユーザ識別情報を取り込むアクセス要求手順（ステップ４）と、
上記ユーザの個人情報へのアクセスを要求する端末で、上記取り込まれたユーザ識別情報に対応した公開承認情報、暗号化承認情報、及び、公開鍵を上記データベースから取得する手順（ステップ５）と、
上記ユーザの個人情報へのアクセスを要求する端末で、取得された暗号化承認情報を、取得された公開鍵を用いて復号化することにより復号化承認情報を生成する手順（ステップ６）と、
上記ユーザの個人情報へのアクセスを要求する端末で、取得された公開承認情報と生成された復号化承認情報が一致し、上記ユーザの個人情報へのアクセスを要求する端末が公開承認情報に含まれる端末識別情報で指定された端末に一致し、かつ、現在時間が公開承認情報に含まれるアクセス有効期限情報で指定された有効期限内である、アクセス許可条件が満たされているかどうかを判定するアクセス許可条件判定手順（ステップ７）と、
上記ユーザの個人情報へのアクセスを要求する端末で、上記アクセス許可条件が満たされていない場合に、上記データベース内のユーザの個人情報へのアクセスを禁止するアクセス制御手順（ステップ８）と、
を更に有する。
【００１５】
上記目的を達成するため、本発明の第３の局面によれば、承認情報を生成・保持することにより個人情報へのアクセスを制御する個人情報アクセス制御端末が提供される。図２は、本発明の個人情報アクセス制御端末の構成図である。
【００１６】
請求項５に係る発明によれば、個人情報アクセス制御端末１は、
ユーザの個人情報を格納するデータベース１０と、
本人性が確認されたユーザを特定するユーザ識別情報を取得し、取得されたユーザ識別情報、上記データベース１０内のユーザの個人情報へのアクセスが許可される端末を特定する端末識別情報、及び、ユーザの個人情報へのアクセス有効期限情報を含む公開承認情報を生成し、生成された公開承認情報を上記データベースに格納するアクセス制限情報設定手段２０と、
上記アクセス制限情報設定手段２０に接続され、生成された公開承認情報をユーザに固有の秘密鍵で暗号化することによって暗号化承認情報を生成し、生成された暗号化承認情報、ユーザに固有の上記秘密鍵に対応した公開鍵、及び、ユーザ識別情報の組を上記データベース１０に格納する本人確認情報設定手段３０と、
アクセス対象となるユーザの個人情報を指定するユーザ識別情報を取り込み、上記取り込まれたユーザ識別情報に対応した公開承認情報、暗号化承認情報、及び、公開鍵を上記データベース１０から取得するアクセス要求手段４０と、
取得された暗号化承認情報を、取得された公開鍵を用いて復号化することにより復号化承認情報を生成する復号化手段５０と、
上記アクセス要求手段４０及び上記復号化手段５０に接続され、取得された公開承認情報と生成された復号化承認情報が一致する条件、当該個人情報アクセス制御端末が公開承認情報に含まれる端末識別情報で指定された端末に一致する条件、並びに、現在時間が公開承認情報に含まれるアクセス有効期限情報で指定された有効期限内である条件を含むアクセス許可条件が満たされているかどうかを判定するアクセス許可条件判定手段６０と、
上記アクセス許可条件が満たされている場合に、上記データベース内のアクセス対象となるユーザの個人情報へのアクセスを許可し、上記アクセス許可条件が満たされていない場合に、上記データベース１０内のユーザの個人情報へのアクセスを禁止するアクセス制御手段７０と、
を有する。
【００１７】
上記目的を達成するため、本発明の第４の局面によれば、承認情報を生成・保持することにより個人情報へのアクセスを制御する個人情報アクセス制御システムが提供される。図３は、本発明の個人情報アクセス制御システムの構成図である。
【００１８】
請求項６に係る発明によれば、個人情報アクセス制御システムは、
少なくとも１台の端末２、３と、
上記少なくとも１台の端末の中で、ユーザの本人証明情報が取り込まれ、ユーザの本人認証のために利用される少なくとも１台の端末２にネットワーク４を介して接続され、本人証明情報と予め蓄積されている本人認証用情報とを用いて、上記本人認証のため利用される端末との間でユーザの本人性を確認する本人認証サーバ５と、
ユーザの個人情報を保持するデータベース１０と、
を有し、
上記本人認証のため利用される少なくとも１台の端末２は、
本人性が確認されたユーザを特定するユーザ識別情報を取得し、取得されたユーザ識別情報、上記データベース１０内のユーザの個人情報へのアクセスが許可される個人情報アクセス端末を特定する端末識別情報、及び、ユーザの個人情報へのアクセス有効期限情報を含む公開承認情報を生成し、生成された公開承認情報を上記データベース１０に格納するアクセス制限情報設定手段２０と、
上記アクセス制限情報設定手段２０に接続され、生成された公開承認情報をユーザに固有の秘密鍵で暗号化することによって暗号化承認情報を生成し、生成された暗号化承認情報、ユーザに固有の上記秘密鍵に対応した公開鍵、及び、ユーザ識別情報の組を上記データベース１０に格納する本人確認情報設定手段３０と、
を具備し、
上記少なくとも１台の端末の中でユーザの個人情報へアクセスするための少なくとも１台の端末３は、
アクセス対象となるユーザの個人情報を指定するユーザ識別情報を取り込み、上記取り込まれたユーザ識別情報に対応した公開承認情報、暗号化承認情報、及び、公開鍵を上記データベース１０から取得するアクセス要求手段４０と、
取得された暗号化承認情報を、取得された公開鍵を用いて復号化することにより復号化承認情報を生成する復号化手段５０と、
上記アクセス要求手段４０及び上記復号化手段５０に接続され、取得された公開承認情報と生成された復号化承認情報が一致する条件、当該端末が公開承認情報に含まれる端末識別情報で指定された個人情報アクセス端末に一致する条件、並びに、現在時間が公開承認情報に含まれるアクセス有効期限情報で指定された有効期限内である条件を含むアクセス許可条件が満たされているかどうかを判定するアクセス許可条件判定手段６０と、
上記アクセス許可条件が満たされている場合に、上記データベース１０内のアクセス対象となるユーザの個人情報へのアクセスを許可し、上記アクセス許可条件が満たされていない場合に、上記データベース１０内のユーザの個人情報へのアクセスを禁止するアクセス制御手段７０と、
を具備する。
【００１９】
本発明の第４の局面によれば、本発明による個人情報アクセス制御方法及び／又は装置の機能をコンピュータに実現させるためのプログラムが提供される。
【００２０】
請求項７に係る発明は、
ユーザの本人証明情報を取り込み、本人証明情報と予め認証データベースに蓄積されている本人認証用情報とを用いてユーザの本人性を確認する本人認証機能と、
ユーザの本人性が確認された場合に、ユーザを特定するユーザ識別情報、データベース内のユーザの個人情報へのアクセスが許可される端末を特定する端末識別情報、及び、ユーザの個人情報へのアクセス有効期限情報を含む公開承認情報を生成し、生成された公開承認情報をデータベースに格納するアクセス制限情報設定機能と、
生成された公開承認情報をユーザに固有の秘密鍵で暗号化することによって暗号化承認情報を生成し、生成された暗号化承認情報、ユーザに固有の上記秘密鍵に対応した公開鍵、及び、ユーザ識別情報の組をデータベースに格納する本人確認情報設定機能と、
公開承認情報がユーザによって設定されたことが確認された場合に、公開情報のアクセス有効期限情報で指定された有効期限内で、公開承認情報の端末識別情報で指定された端末からのユーザの個人情報へのアクセスを許可する機能と、
をコンピュータに実現させるための個人情報アクセス制御プログラムである。
【００２１】
さらに、請求項８に係る発明は、
アクセス対象となるユーザの個人情報に対応するユーザ識別情報を取り込み、上記取り込まれたユーザ識別情報に対応した公開承認情報、暗号化承認情報、及び、公開鍵を上記データベースから取得するアクセス要求機能と、
取得された暗号化承認情報を、取得された公開鍵を用いて復号化することにより復号化承認情報を生成する機能と、
取得された公開承認情報と生成された復号化承認情報が一致し、上記端末が公開承認情報に含まれる端末識別情報で指定された端末に一致し、かつ、現在時間が公開承認情報に含まれるアクセス有効期限情報で指定された有効期限内である、アクセス許可条件が満たされているかどうかを判定するアクセス許可条件判定機能と、
上記アクセス許可条件が満たされていない場合に、上記データベース内のユーザの個人情報へのアクセスを制限する機能と、
をコンピュータに実現させる。
【００２２】
さらに、請求項９に係る発明によれば、
上記暗号化承認情報を生成するため、公開承認情報をハッシュ化し、ハッシュ化された公開承認情報を暗号化する機能と、
取得された公開承認情報と生成された復号化承認情報が一致するかどうかを判定するため、取得された公開承認情報をハッシュ化し、ハッシュ化された取得された公開承認情報と、生成された復号化承認情報とが一致するかどうかを判定する機能と、
をコンピュータに実現させる。
【００２３】
【発明の実施の形態】
図４は、本発明の第１実施例による公開鍵基盤技術に基づく個人情報アクセス制御システムの構成図である。本実施例のシステムは、第１の端末１００及び第２の端末２００は、それぞれ、ネットワークインタフェースカード（ＮＩＣ）１０１及び２０１と、ルータ３０１とを介して、たとえば、ＬＡＮ／ＷＡＮのようなネットワーク３００に接続される。ネットワーク３００には、ルータ３０２を介して、認証サーバ４００が接続される。第１の端末１００及び第２の端末２００には、たとえば、ＩＣカード・リーダライタ（ＩＣＲ／Ｗ）１０２及び２０２のような装置が接続され、ＩＣカード５００のような情報担体との間で情報の授受を行うことができる。
【００２４】
ＩＣカード５００には、カードの保有者であるユーザのユーザ識別情報（ユーザＩＤ）と、公開鍵証明書（ＰＫＣ）と、ユーザに固有の秘密鍵と、が格納されている。第１の端末１００は、ＩＣカード・リーダライタ１０２を用いて、認証サーバ４００との間でユーザの本人認証を行う。ユーザの本人性が確認され、ユーザ本人と、ユーザ本人以外の他者との間で、他者が所定の条件でユーザ本人の個人情報へアクセスする旨の同意がなされると、その同意を表わす承認イベントが第１の端末１００で生成され、一定期間保持される。承認イベントの有効期間中に、たとえば、第２の端末２００から、ユーザの個人情報へのアクセスが要求された場合には、そのユーザ本人に関連した、保持されている承認イベントが検証され、承認イベントが有効であると判定された場合には、第２の端末２００からユーザの個人情報へのアクセスが許可される。承認イベントが無効である場合には、第２の端末２００からユーザの個人情報へのアクセスは禁止される。
【００２５】
このように、本発明の第１実施例によれば、一定期間有効な承認イベントを生成、保持することにより、ユーザの個人情報へのアクセスを要求する際に、毎回、ユーザ本人のＩＣカードをＩＣカード・リーダライタに挿抜して、本人認証と、本人による承認とを行うことなく、高セキュリティを保証して、ユーザの個人情報へのアクセス制御が実現される。したがって、ユーザ本人、並びに、ユーザの個人情報へアクセスする必要がある他者の操作上の利便性が向上する。
【００２６】
より具体的には、医療分野においては、ユーザ本人として患者、ユーザの個人情報として電子カルテ、ユーザ本人以外の他者として医者、看護師、検査技師、薬剤師などの医療従事者を想定することが可能である。
【００２７】
次に、本発明の第１実施例のシステムにおける端末１００、２００を実現する本発明の第２実施例による個人情報アクセス制御端末について説明する。図５は、本実施例の個人情報アクセス制御端末１００の機能的構成図である。
【００２８】
個人情報アクセス制御端末１００は、ＩＣカード・リーダライタ１０２に挿入されたＩＣカード５００又はキーボード等の入力装置から、ユーザ本人のユーザＩＤを取得するユーザＩＤ取得部１１０と、端末１００自体の装置識別番号、たとえば、ＭＡＣアドレスを取得するＭＡＣアドレス取得部１１１と、承認イベントを生成した時刻を取得するための承認時刻取得部１１２と、承認イベントの任意の有効期間を入力するためのイベント有効期間入力部１１３と、予め設定された期間の中から承認イベントの有効期間を選択する有効期間選択部１１４と、を含む。また、承認時刻を取得したり、有効期間を判定したりする際に現在時刻を取得するために端末内クロック１１５が利用される。
【００２９】
端末１００は、ネットワークインタフェースカード（ＮＩＣ）１０１を介してネットワーク（図示せず）に接続される。
【００３０】
端末１００は、さらに、承認イベントをハッシュ化するためのハッシュ化部１２０、ハッシュ化された承認イベントを秘密鍵で暗号化するための暗号化部（署名部）１２１、ハッシュ化され暗号化された承認イベントを復号化するために利用する公開鍵を公開鍵証明書から取得する公開鍵取得部１２２、ハッシュ化され暗号化された承認イベントを公開鍵で復号化する復号化部１２３、及び、復号化によって得られたハッシュ化された承認イベントと、元の承認イベントをハッシュ化部１２０によってハッシュ化した承認イベントとを比較するハッシュ値比較部１２４を具備する。
【００３１】
図６及び７は、本発明の第３実施例による個人情報アクセス制御システムの動作フローチャートである。本実施例では、ユーザ本人の承認イベントが特定の端末で生成、保持され、同じ端末からユーザ本人の個人情報へのアクセスが要求された場合を例にして、個人情報アクセス制御システムの動作を説明する。
【００３２】
図６では、ユーザの本人認証と、ユーザ本人の承認イベントの生成・保持の処理が示されている。
【００３３】
ステップ１１：認証サーバ（たとえば、図４の認証サーバ４００）からユーザが利用するクライアント端末（たとえば、図４の第１の端末１００）に対し、ＩＣカードを挿入するように依頼が発行される。
【００３４】
ステップ１２：ユーザは、ＩＣカード（たとえば、図４のＩＣカード５００）を端末に付属したＩＣカード・リーダライタ（たとえば、図４のＩＣＲ／Ｗ１０２）に挿入する。
【００３５】
ステップ１３：本人認証処理のため、ＩＣカードから端末へ、ユーザの識別情報であるユーザＩＤ、公開鍵証明書などが渡される。
【００３６】
ステップ１４：端末と認証サーバとの間で、たとえば、チャレンジ・レスポンス方式の認証が行われる。
【００３７】
ステップ１５：認証に成功した場合、認証サーバから端末へ認証ＯＫが通知される。
【００３８】
端末側で、ユーザ本人と、ユーザの個人情報へのアクセスの承諾を求めるアクセス要求者が、所定の条件でアクセス要求者がユーザの個人情報へアクセスすることについて同意が得られた場合、所定の条件、すなわち、使用端末、有効期限等を指定する承認イベントの作成が開始される。
【００３９】
ステップ１６：ユーザ承認を実施するユーザのユーザ識別情報をユーザ本人のＩＣカードから取得する。
【００４０】
ステップ１７：ユーザ承認が実施される端末の内蔵クロックから承認時刻を取得する。
【００４１】
ステップ１８：ユーザ承認が実施される端末のＭＡＣアドレスを個人情報へアクセス可能な端末の識別情報として取得する。このとき、当該端末に加えて、その他にアクセスを許可する端末の識別情報を付加的に入力してもよい。
【００４２】
ステップ１９：承認イベントの有効期間を設定する。有効期間は、任意の期間を入力することが可能であるが、予め指定されている有効期間をそのまま設定してもよい。
【００４３】
これにより、ユーザＩＤと、承認時刻と、承認有効期間と、ＭＡＣアドレスとを含む承認イベントが生成される。
【００４４】
ステップ２０：次に、セキュリティ性を高めるために、承認イベントをハッシュ化する。
【００４５】
ステップ２１：ハッシュ化された承認イベントを、ＩＣカードから読み出したユーザ本人に固有の秘密鍵を用いて暗号化する。
【００４６】
ステップ２２：暗号化された承認イベントをユーザ本人の承認イベントとしてデータベースに保持する。
【００４７】
ステップ２３：ユーザのＩＣカードから読み出された公開鍵証明書と、ユーザＩＤ、承認時刻、承認有効期間、及び、ＭＡＣアドレスを含む（未加工の）承認イベントとを、ユーザ本人の承認イベントに対応した公開情報としてデータベースに保持する。
【００４８】
このようにして、これ以降は、ＩＣカードの挿入動作、本人認証動作、及び、本人による承認動作を行わなくても、端末上に、有効期限の範囲内で、ユーザ本人の承認イベントが保持される。
【００４９】
保持された承認イベントは、端末側でユーザ本人の個人情報へのアクセスが必要になった場合に、公開鍵証明書を用いて署名検証される。
【００５０】
図７には、本発明の第３実施例による承認イベントの署名検証処理のフローチャートが示されている。
【００５１】
端末側で、アクセス要求者がユーザ本人の個人情報へアクセスするために、本人の承諾が必要になった場合、承認イベントの証明検証を開始する。
【００５２】
ステップ３１：アクセスしたい個人情報に対応したユーザＩＤをキーとして、保持されているユーザ本人の承認イベントを取得する。
【００５３】
ステップ３２：保持されているユーザ本人の公開鍵証明書から公開鍵を抽出し、この公開鍵を使用してユーザ本人の承認イベントを復号化する。
【００５４】
この復号化によって得られたデータは、承認イベントをハッシュ化したものに相当している。
【００５５】
ステップ３３：次に、公開情報としてデータベースに保持されている未加工の承認イベントを取得し、これを、ハッシュ化する。
【００５６】
ステップ３４：ユーザ本人の承認イベントを復号化して得られた第１のハッシュ値と、公開情報の承認イベントをハッシュ化して得られた第２のハッシュ値を比較する。
【００５７】
ステップ３５：第１のハッシュ値と第２のハッシュ値が一致しているかどうかを判定する。
【００５８】
ステップ３６：第１のハッシュ値と第２のハッシュ値が一致しない場合、本人による承認は無効であると判定され、ユーザ本人の個人情報へのアクセスが禁止される。
【００５９】
ステップ３７：第１のハッシュ値と第２のハッシュ値が一致する場合、本人による承認は有効であるので、承認イベントの有効期限内であり、かつ、アクセス要求を発行している端末のＭＡＣアドレスが、アクセス許可された端末のＭＡＣアドレスに一致するかどうか、というアクセス許可条件を判定する。
【００６０】
ステップ３８：アクセス許可条件を満たしていない場合、ユーザ本人の個人情報へのアクセスが禁止される。
【００６１】
ステップ３９：アクセス許可条件を満たしている場合、ユーザ本人の個人情報へのアクセスが許可される。
【００６２】
このようにして、公開鍵を用いてユーザ本人の承認イベントを署名検証することにより、承認時刻と承認イベント有効期間、ユーザＩＤ、及び、承認イベントを発行した端末のＭＡＣアドレス（並びに、ユーザ個人情報へのアクセスが許可された端末のＭＡＣアドレス）などの情報を取得することが可能である。
【００６３】
承認イベントを生成した端末のＭＡＣアドレスを用いて、端末（ネットワークインタフェースカード）を特定することができるので、仮に、承認イベントが抜き出されて、他の端末で虚偽の承認・検証が行われることを防止することが可能である。
【００６４】
さらに、承認イベントの有効期間は、ユーザ本人が任意に設定したり、所定値から選択したりすることができるので、承認を行うサービスに応じて、有効期間を固定的に設定し、承認イベントの生成時に毎回有効期間を設定する手間を省くことが可能である。
【００６５】
また、上述のように、承認イベントを生成した端末のＭＡＣアドレスだけではなく、ユーザの個人情報へアクセスしたい端末、すなわち、承認イベントを署名検証する予定の端末のＭＡＣアドレスも設定することが可能であり、これにより、ある端末で承認された承認イベントを、別の端末に安全に移行することも可能である。
【００６６】
さらに、アクセス許可条件として、アクセス要求者を指定するように拡張することも可能である。
【００６７】
たとえば、患者が病院で受診する場合、
・来院時の本人確認
・診察時の本人確認
・検査実施時の本人確認
・紹介状作成の際に、相手方への紹介状送信許可時の本人確認
・診断結果に対する本人確認
などのように、一回の医療ジョブの間に、複数回にわたって本人確認をする必要が生じる。このような場面で、上述の本発明の第１、第２及び第３の実施例で説明した個人情報アクセス制御技術を利用することにより、一度、本人認証と、本人による承諾を行い、これにより生成されたユーザ本人の承認イベントを一定期間保持すると、本人確認の都度、ＩＣカードを挿抜する作業を省略することができる。
【００６８】
また、承認イベントはタイマー性があるので、仮に、本人が承認イベントを消し忘れても、一定の時間の経過により承認イベントが無効になるので、長時間経過した後に不特定の（或いは、不正な）アクセスが行われても、個人情報へのアクセスは許可されない。
【００６９】
さらに、端末のＭＡＣアドレスも署名されているので、仮に、承認イベントを盗み出して、他の端末で署名検証を実行しようとしてもＭＡＣアドレスの不一致によって許可されない。
【００７０】
このように、本発明の実施例によれば、安全に、かつ、簡単に承認イベントを保持し、ユーザの使い勝手を向上させることが可能である。
【００７１】
上記の本発明の実施例による個人情報アクセス制御方法は、ソフトウェア（プログラム）で構築することが可能であり、コンピュータのＣＰＵによってこのプログラムを実行することにより本発明の実施例による個人情報アクセス制御装置を実現することができる。構築されたプログラムは、ディスク装置等に記録しておき必要に応じてコンピュータにインストールされ、フレキシブルディスク、メモリカード、ＣＤ−ＲＯＭ等の可搬記録媒体に格納して必要に応じてコンピュータにインストールされ、或いは、通信回線等を介してコンピュータにインストールされ、コンピュータのＣＰＵによって実行される。
【００７２】
以上、本発明の代表的な実施例を説明したが、本発明は、上記の実施例に限定されることなく、特許請求の範囲内において、種々変更・応用が可能である。
【００７３】
【発明の効果】
本発明によれば、少ない認証操作回数で、高セキュリティを保証して安全な認証・データ保存・アクセス・情報共有を実現することが可能になる。たとえば、診療現場において患者が承認した内容を、患者が帰宅した後に、すなわち、患者本人の認証のためのＩＣカードが手元になくても検証でき、これにより、医者は、所定の条件下で、電子カルテのような共有すべきデータを作成・格納できるようになる。
【図面の簡単な説明】
【図１】本発明の原理説明図である。
【図２】本発明の個人情報アクセス制御端末の構成図である。
【図３】本発明の個人情報アクセス制御システムの構成図である。
【図４】本発明の第１実施例による個人情報アクセス制御システムの構成図である。
【図５】本発明の第２実施例による個人情報アクセス制御端末の構成図である。
【図６】本発明の第３実施例による承認イベントの生成・保持処理のフローチャートである。
【図７】本発明の第３実施例による承認イベントの署名検証処理のフローチャートである。
【符号の説明】
１個人情報アクセス制御端末
１０データベース
２０アクセス制御情報設定手段
３０本人確認情報設定手段
４０アクセス要求手段
５０復号化手段
６０アクセス許可条件判定手段
７０アクセス制御手段[0001]
BACKGROUND OF THE INVENTION
The present invention relates to an information access control technique, and more particularly, to a method, a terminal, a system, and a program for controlling access to personal information using a public key infrastructure (PKI).
[0002]
[Prior art]
With the progress of computer technology, communication technology, and network technology, various information can be accessed from many users. For example, a homepage opened by an individual can be accessed anytime and anywhere via a network such as the Internet.
[0003]
However, it may be desirable to be able to control access to certain types of information, particularly user personal information. An example of such personal information is personal medical information.
[0004]
In the medical field, an electronic medical record has been introduced in addition to or in place of a conventional document-type medical chart and is beginning to spread. The spread of such electronic medical records is expected to utilize electronic medical information. In particular, medical information in medical practice is personal information that you do not want to be known to others without permission. Therefore, data should be stored, accessed, and shared with high security under the consent of the doctor and patient.
[0005]
In order to maintain the security of electronic information, user authentication is indispensable. In the prior art, user authentication information is stored, and a storage medium such as an IC card or FD carried by the user is inserted or removed. Input of identification information (ID) / password (PW) by a user is performed for personal authentication every scene that requires access to personal information. Specifically, for example, challenge-response authentication is performed between the IC card and the authentication server. By performing authentication every time in this way, high security is ensured. However, each time authentication is performed, the user is burdened with cumbersome work such as insertion and removal of an IC card, and the convenience of the user's operation is sacrificed. Yes. It is cumbersome and impractical for a patient to repeat insertion and removal of an IC card many times during a medical examination.
[0006]
In recent years, a method has been developed in which two non-contact type IC cards are inserted into a card box and electronic information is shared between the two non-contact type IC cards. In such a system, storage, access, and sharing of data is maintained with high security under the consent of the doctor and patient by using the patient's contactless IC card and the doctor's contactless IC card in the clinic. Can be made.
[0007]
[Problems to be solved by the invention]
However, in the prior art, in order to achieve access to the personal information of the person by another person other than the person while maintaining high security, first, when someone tries to access the personal information of the person, The person must be authenticated and the person who has been identified must approve access to personal information by others. Repeating such authentication and authorization procedures each time a person accesses personal information is a cumbersome task for both the person and the other person, and high security can be achieved with a small number of authentication operations. It is difficult to guarantee and secure authentication, data storage, access, and information sharing.
[0008]
Therefore, the present invention provides high security with minimal authentication operations when a patient performs various procedures at a hospital window using a carrier of identification information such as an IC card, or when a patient visits a doctor's office. An object is to provide a personal information access control method, a terminal, a system, and a program that realizes storage, access, and sharing of personal information while guaranteeing security.
[0009]
[Means for Solving the Problems]
In order to achieve the above-mentioned object, the present invention generates authentication information representing identity authentication information for guaranteeing the identity of the user himself / herself and identity approval information for permitting another person's access to the personal information of the user himself / herself. Hold for a certain period under high security. Then, when an access to the personal information of the user is requested by another person, the access to the personal information of the user from the terminal specified by the approval information is permitted within the validity period of the approval information.
[0010]
FIG. 1 is a diagram illustrating the principle of the present invention.
[0011]
According to the first aspect of the present invention, there is provided a personal information access control method for controlling access to personal information by generating and holding approval information.
[0012]
The personal information access control method according to claim 1 comprises:
A user authentication procedure (step 1) for capturing the user's personal identification information at the terminal and confirming the user's identity using the personal authentication information and the personal authentication information stored in advance in the authentication database;
When the identity of the user is confirmed, at the above terminal, user identification information for identifying the user, terminal identification information for identifying a terminal permitted to access the user's personal information in the database, and the user's individual An access restriction information setting procedure (step 2) for generating public approval information including access expiration date information to information and storing the generated public approval information in a database;
In the terminal, encryption approval information is generated by encrypting the generated public approval information with a secret key unique to the user, and the generated encryption approval information and the public corresponding to the secret key specific to the user are generated. A personal identification information setting procedure (step 3) for storing a set of a key and user identification information in a database;
Have
When it is confirmed that the public approval information has been set by the user, the personal information of the user from the terminal specified by the terminal identification information of the public approval information within the expiration date specified by the access expiration date information of the public information Access to is allowed.
[0013]
According to the second aspect of the present invention, there is provided a personal information access control method for controlling access to personal information based on approval information generated and held.
[0014]
According to a second aspect of the present invention, in the personal information access control method,
An access request procedure (step 4) for capturing user identification information at a terminal requesting access to personal information of the user;
the above Request access to your personal information A procedure (step 5) of acquiring public approval information, encryption approval information, and public key corresponding to the captured user identification information from the database at the terminal;
the above Request access to your personal information A procedure (step 6) for generating decryption approval information by decrypting the acquired encryption approval information using the acquired public key at the terminal;
the above Request access to your personal information On the terminal, the obtained public approval information matches the generated decryption approval information, and the above Request access to your personal information The access permission condition is met when the terminal matches the terminal specified by the terminal identification information included in the public approval information and the current time is within the expiration date specified by the access expiration information included in the public approval information. Access permission condition determination procedure (step 7) for determining whether or not
the above Request access to your personal information An access control procedure (step 8) for prohibiting access to the personal information of the user in the database when the access permission condition is not satisfied at the terminal;
It has further.
[0015]
In order to achieve the above object, according to a third aspect of the present invention, there is provided a personal information access control terminal for controlling access to personal information by generating and holding approval information. FIG. 2 is a block diagram of the personal information access control terminal of the present invention.
[0016]
According to the invention of claim 5, the personal information access control terminal 1 is
A database 10 for storing user personal information;
User identification information that identifies a user whose identity has been confirmed is acquired, the acquired user identification information, terminal identification information that identifies a terminal that is permitted to access the user's personal information in the database 10, and Access restriction information setting means 20 for generating public approval information including access expiration date information for the user's personal information, and storing the generated public approval information in the database;
Encrypted approval information is generated by encrypting the generated public approval information with a secret key unique to the user, connected to the access restriction information setting means 20, and the generated encrypted approval information is unique to the user. Identity verification information setting means 30 for storing a set of a public key corresponding to the secret key and user identification information in the database 10;
Access request means for acquiring user identification information for specifying personal information of a user to be accessed and acquiring public approval information, encryption approval information, and public key corresponding to the acquired user identification information from the database 10 40,
Decryption means 50 for generating decryption approval information by decrypting the acquired encryption approval information using the acquired public key;
Terminal identification information that is connected to the access request means 40 and the decryption means 50, and that the acquired public approval information matches the generated decryption approval information, and that the personal information access control terminal is included in the public approval information Access that determines whether the access permission condition including the condition that matches the terminal specified in, and the condition that the current time is within the expiration date specified by the access expiration date information included in the public approval information is satisfied Permission condition determination means 60;
If the access permission condition is satisfied, access to the personal information of the user to be accessed in the database is permitted, and if the access permission condition is not satisfied, the user in the database 10 Access control means 70 forbidding access to personal information;
Have
[0017]
In order to achieve the above object, according to a fourth aspect of the present invention, there is provided a personal information access control system for controlling access to personal information by generating and holding approval information. FIG. 3 is a block diagram of the personal information access control system of the present invention.
[0018]
According to the invention of claim 6, the personal information access control system is
At least one terminal 2, 3;
Among the at least one terminal, user identification information is taken in, connected to at least one terminal 2 used for user identification via the network 4, and stored in advance with the identification information. A personal authentication server 5 for confirming the identity of the user with the terminal used for the personal authentication using the personal authentication information,
A database 10 for storing user personal information;
Have
At least one terminal 2 used for the personal authentication is
User identification information for identifying a user whose identity has been confirmed is acquired, and terminal identification information for identifying the acquired user identification information and a personal information access terminal that is allowed to access the user's personal information in the database 10 And access restriction information setting means 20 for generating public approval information including access expiration date information for the user's personal information, and storing the generated public approval information in the database 10;
Encrypted approval information is generated by encrypting the generated public approval information with a secret key unique to the user, connected to the access restriction information setting means 20, and the generated encrypted approval information is unique to the user. Identity verification information setting means 30 for storing a set of a public key corresponding to the secret key and user identification information in the database 10;
Comprising
Among the at least one terminal, at least one terminal 3 for accessing the user's personal information is:
Access request means for acquiring user identification information for specifying personal information of a user to be accessed and acquiring public approval information, encryption approval information, and public key corresponding to the acquired user identification information from the database 10 40,
Decryption means 50 for generating decryption approval information by decrypting the acquired encryption approval information using the acquired public key;
Connected to the access request means 40 and the decryption means 50, the condition that the acquired public approval information and the generated decryption approval information match, the terminal is specified by the terminal identification information included in the public approval information Access permission to determine whether access permission conditions including conditions that match the personal information access terminal and conditions that are within the expiration date specified by the access expiration date information included in the public approval information are satisfied Condition determining means 60;
When the access permission condition is satisfied, access to the personal information of the user to be accessed in the database 10 is permitted, and when the access permission condition is not satisfied, the user in the database 10 Access control means for prohibiting access to personal information of
It comprises.
[0019]
According to a fourth aspect of the present invention, there is provided a program for causing a computer to realize the functions of the personal information access control method and / or apparatus according to the present invention.
[0020]
The invention according to claim 7 provides:
A user authentication function that captures the user authentication information and uses the user authentication information and the user authentication information stored in advance in the authentication database to confirm the user identity;
When the identity of the user is confirmed, user identification information for identifying the user, terminal identification information for identifying a terminal permitted to access the user's personal information in the database, and access to the user's personal information An access restriction information setting function for generating public approval information including expiration date information and storing the generated public approval information in a database;
Generating encrypted approval information by encrypting the generated public approval information with a secret key unique to the user, the generated encryption approval information, a public key corresponding to the secret key unique to the user, and An identity verification information setting function for storing a set of user identification information in a database;
When it is confirmed that the public approval information has been set by the user, the individual of the user from the terminal specified by the terminal identification information of the public approval information within the expiration date specified by the access expiration date information of the public information The ability to grant access to information,
Is a personal information access control program for realizing the above on a computer.
[0021]
Furthermore, the invention according to claim 8 provides:
An access request function that captures user identification information corresponding to personal information of a user to be accessed, and acquires public approval information, encryption approval information, and public key corresponding to the captured user identification information from the database; ,
A function for generating decryption approval information by decrypting the acquired encryption approval information using the acquired public key;
The acquired public approval information matches the generated decryption approval information, the terminal matches the terminal specified by the terminal identification information included in the public approval information, and the current time is included in the public approval information. An access permission condition determination function that determines whether an access permission condition that is within the expiration date specified in the access expiration date information is satisfied, and
A function for restricting access to the personal information of the user in the database when the access permission condition is not satisfied;
Is realized on a computer.
[0022]
Furthermore, according to the invention of claim 9,
In order to generate the above encrypted approval information, the function of hashing the public approval information and encrypting the hashed public approval information,
In order to determine whether the acquired public approval information and the generated decryption approval information match, the acquired public approval information is hashed, and the acquired public approval information hashed and the generated decryption are generated. A function to determine whether or not the authorization approval information matches,
Is realized on a computer.
[0023]
DETAILED DESCRIPTION OF THE INVENTION
FIG. 4 is a block diagram of a personal information access control system based on public key infrastructure technology according to the first embodiment of the present invention. In the system of the present embodiment, the first terminal 100 and the second terminal 200 are connected to a network 300 such as a LAN / WAN via network interface cards (NICs) 101 and 201 and a router 301, respectively. Connected to. An authentication server 400 is connected to the network 300 via the router 302. For example, devices such as IC card reader / writers (IC R / W) 102 and 202 are connected to the first terminal 100 and the second terminal 200, and an information carrier such as an IC card 500 is connected to the first terminal 100 and the second terminal 200. Information can be exchanged.
[0024]
The IC card 500 stores user identification information (user ID) of a user who is a card holder, a public key certificate (PKC), and a private key unique to the user. The first terminal 100 authenticates the user with the authentication server 400 using the IC card reader / writer 102. When the user's identity is confirmed and the user himself / herself and another person other than the user himself / herself agrees that the other person has access to the personal information of the user under a predetermined condition, the consent is indicated. An approval event is generated by the first terminal 100 and held for a certain period. During the validity period of the approval event, for example, when access to the personal information of the user is requested from the second terminal 200, the held approval event related to the user is verified and approved. If it is determined that the event is valid, access to the user's personal information from the second terminal 200 is permitted. When the approval event is invalid, access to the user's personal information from the second terminal 200 is prohibited.
[0025]
As described above, according to the first embodiment of the present invention, each time the user requests access to the personal information by generating and holding an approval event that is valid for a certain period of time, the user's own IC card is inserted. The access control to the user's personal information is realized by assuring high security without inserting / extracting the IC card / reader / writer to perform authentication of the user and approval by the user. Therefore, the operational convenience of the user himself / herself and others who need to access the user's personal information is improved.
[0026]
More specifically, in the medical field, a patient may be assumed as the user, an electronic medical record as the user's personal information, and a medical worker such as a doctor, nurse, laboratory technician, or pharmacist as other than the user. Is possible.
[0027]
Next, a personal information access control terminal according to the second embodiment of the present invention for realizing the terminals 100 and 200 in the system of the first embodiment of the present invention will be described. FIG. 5 is a functional configuration diagram of the personal information access control terminal 100 according to the present embodiment.
[0028]
The personal information access control terminal 100 includes a user ID acquisition unit 110 that acquires the user ID of the user himself / herself from an input device such as an IC card 500 or a keyboard inserted into the IC card reader / writer 102, and device identification of the terminal 100 itself. Number, for example, a MAC address acquisition unit 111 for acquiring a MAC address, an approval time acquisition unit 112 for acquiring a time when an approval event is generated, and an event valid period input for inputting an arbitrary valid period of the approval event Unit 113 and a valid period selection unit 114 that selects a valid period of the approval event from preset periods. In addition, the terminal clock 115 is used to acquire the current time when acquiring the approval time or determining the valid period.
[0029]
The terminal 100 is connected to a network (not shown) via a network interface card (NIC) 101.
[0030]
The terminal 100 further includes a hashing unit 120 for hashing the approval event, an encryption unit (signature unit) 121 for encrypting the hashed approval event with a secret key, and hashed and encrypted. A public key acquisition unit 122 that acquires a public key used to decrypt the approval event from the public key certificate, a decryption unit 123 that decrypts the hashed and encrypted approval event with the public key, and decryption A hash value comparison unit 124 that compares the hashed approval event obtained by the conversion and the approval event obtained by hashing the original approval event by the hashing unit 120.
[0031]
6 and 7 are operational flowcharts of the personal information access control system according to the third embodiment of the present invention. In the present embodiment, the operation of the personal information access control system will be described by taking as an example the case where an approval event of the user himself / herself is generated and held in a specific terminal and access to the personal information of the user himself / herself is requested from the same terminal. To do.
[0032]
FIG. 6 shows the process of user authentication and generation / holding of the user's own approval event.
[0033]
Step 11: A request is issued from the authentication server (for example, the authentication server 400 in FIG. 4) to the client terminal (for example, the first terminal 100 in FIG. 4) used by the user to insert the IC card.
[0034]
Step 12: The user inserts an IC card (for example, IC card 500 in FIG. 4) into an IC card reader / writer (for example, IC R / W 102 in FIG. 4) attached to the terminal.
[0035]
Step 13: For personal authentication processing, a user ID, which is user identification information, a public key certificate, and the like are passed from the IC card to the terminal.
[0036]
Step 14: For example, challenge-response authentication is performed between the terminal and the authentication server.
[0037]
Step 15: If the authentication is successful, the authentication server notifies the terminal of the authentication OK.
[0038]
When the terminal and the access requester requesting consent for access to the personal information of the user have given consent for the access requester to access the user's personal information under predetermined conditions, Creation of an approval event that specifies conditions, that is, a terminal used, an expiration date, and the like is started.
[0039]
Step 16: The user identification information of the user who performs user approval is acquired from the user's own IC card.
[0040]
Step 17: Acquire the approval time from the internal clock of the terminal where user approval is performed.
[0041]
Step 18: Obtain the MAC address of the terminal for which user approval is performed as the identification information of the terminal that can access the personal information. At this time, in addition to the terminal, the identification information of the terminal that permits access may be additionally input.
[0042]
Step 19: Set the validity period of the approval event. Although an arbitrary period can be input as the effective period, an effective period designated in advance may be set as it is.
[0043]
Thereby, an approval event including the user ID, the approval time, the approval validity period, and the MAC address is generated.
[0044]
Step 20: Next, in order to improve security, the approval event is hashed.
[0045]
Step 21: The hashed approval event is encrypted using a secret key unique to the user himself / herself read from the IC card.
[0046]
Step 22: Store the encrypted approval event in the database as the user's own approval event.
[0047]
Step 23: The public key certificate read from the user's IC card and the (raw) approval event including the user ID, the approval time, the approval validity period, and the MAC address are set as the user's own approval event. Stored in the database as corresponding public information.
[0048]
In this way, thereafter, even if the IC card insertion operation, the user authentication operation, and the user's approval operation are not performed, the user's own approval event is held on the terminal within the validity period. The
[0049]
The held approval event is subjected to signature verification by using a public key certificate when access to the personal information of the user is required on the terminal side.
[0050]
FIG. 7 shows a flowchart of the signature verification process for the approval event according to the third embodiment of the present invention.
[0051]
On the terminal side, when the access requester needs the consent of the user in order to access the personal information of the user, the verification of the approval event is started.
[0052]
Step 31: Acquire a user's own approval event using the user ID corresponding to the personal information to be accessed as a key.
[0053]
Step 32: The public key is extracted from the held public key certificate of the user, and the approval event of the user is decrypted using the public key.
[0054]
The data obtained by this decryption corresponds to a hashed approval event.
[0055]
Step 33: Next, a raw approval event held in the database as public information is acquired, and this is hashed.
[0056]
Step 34: The first hash value obtained by decrypting the user's own approval event is compared with the second hash value obtained by hashing the public information approval event.
[0057]
Step 35: It is determined whether or not the first hash value and the second hash value match.
[0058]
Step 36: If the first hash value and the second hash value do not match, it is determined that the authorization by the principal is invalid, and access to the personal information of the user is prohibited.
[0059]
Step 37: If the first hash value and the second hash value match, the authorization by the principal is valid, so the MAC address of the terminal that is within the validity period of the authorization event and that issues the access request Determines whether the access permission condition matches the MAC address of the access-permitted terminal.
[0060]
Step 38: If the access permission condition is not satisfied, access to the personal information of the user is prohibited.
[0061]
Step 39: If the access permission condition is satisfied, access to the personal information of the user is permitted.
[0062]
In this way, by verifying the signature of the user's own approval event using the public key, the approval time, the approval event validity period, the user ID, and the MAC address of the terminal that issued the approval event (and user personal information) It is possible to obtain information such as the MAC address of the terminal that is permitted to access the device.
[0063]
Since the terminal (network interface card) can be specified using the MAC address of the terminal that generated the approval event, the approval event should be extracted and false approval / verification performed on other terminals Can be prevented.
[0064]
Furthermore, since the validity period of the approval event can be set arbitrarily by the user himself or selected from a predetermined value, the validity period is fixedly set according to the service to be approved, and the approval event It is possible to save the trouble of setting the valid period every time when generating.
[0065]
As described above, it is possible to set not only the MAC address of the terminal that generated the approval event, but also the MAC address of the terminal that wants to access the user's personal information, that is, the terminal that is going to verify the signature of the approval event. Yes, it is also possible to safely transfer an approval event approved at one terminal to another terminal.
[0066]
Furthermore, it is possible to extend the access requesting condition so as to designate an access requester.
[0067]
For example, if a patient visits a hospital,
・ Identification at the time of visit
・ Identification at the time of medical examination
・ Identification at the time of inspection
・ When creating a letter of introduction, verify your identity when sending a letter of introduction to the other party
・ Identification of the diagnosis results
As described above, it is necessary to verify the identity of a person multiple times during a single medical job. In such a situation, by using the personal information access control technology described in the first, second, and third embodiments of the present invention described above, the user is once authenticated and approved by the user. When the generated approval event of the user himself / herself is held for a certain period, the work of inserting / removing the IC card can be omitted every time the user is confirmed.
[0068]
Also, because the approval event has a timer property, even if the person forgets to delete the approval event, the approval event becomes invalid after a certain period of time. ) Even if access is made, access to personal information is not permitted.
[0069]
Furthermore, since the MAC address of the terminal is also signed, even if an approval event is stolen and signature verification is attempted on another terminal, it is not permitted due to the MAC address mismatch.
[0070]
As described above, according to the embodiment of the present invention, it is possible to safely and easily hold an approval event and improve the usability of the user.
[0071]
The personal information access control method according to the embodiment of the present invention can be constructed by software (program), and the personal information access control device according to the embodiment of the present invention is executed by the CPU of the computer. Can be realized. The built program is recorded in a disk device or the like and installed in a computer as necessary, and stored in a portable recording medium such as a flexible disk, a memory card, or a CD-ROM, and installed in the computer as needed. Alternatively, it is installed in a computer via a communication line or the like and executed by the CPU of the computer.
[0072]
As mentioned above, although the typical Example of this invention was described, this invention is not limited to said Example, A various change and application are possible within a claim.
[0073]
【The invention's effect】
According to the present invention, it is possible to realize secure authentication, data storage, access, and information sharing while guaranteeing high security with a small number of authentication operations. For example, the contents approved by the patient in the clinic can be verified after the patient returns home, that is, without the IC card for authenticating the patient himself, so that the doctor can Data to be shared such as electronic medical records can be created and stored.
[Brief description of the drawings]
FIG. 1 is a diagram illustrating the principle of the present invention.
FIG. 2 is a configuration diagram of a personal information access control terminal of the present invention.
FIG. 3 is a configuration diagram of a personal information access control system of the present invention.
FIG. 4 is a block diagram of a personal information access control system according to a first embodiment of the present invention.
FIG. 5 is a block diagram of a personal information access control terminal according to a second embodiment of the present invention.
FIG. 6 is a flowchart of approval event generation / holding processing according to a third embodiment of the present invention;
FIG. 7 is a flowchart of a signature verification process for an approval event according to the third embodiment of the present invention.
[Explanation of symbols]
1 Personal information access control terminal
10 Database
20 Access control information setting means
30 identity verification information setting means
40 Access request means
50 Decryption means
60 Access permission condition judging means
70 Access control means

Claims

端末でユーザの本人証明情報を取り込み、本人証明情報と予め認証データベースに蓄積されている本人認証用情報とを用いてユーザの本人性を確認する本人認証手順と、
ユーザの本人性が確認された場合に、上記端末で、ユーザを特定するユーザ識別情報、データベース内のユーザの個人情報へのアクセスが許可される端末を特定する端末識別情報、及び、ユーザの個人情報へのアクセス有効期限情報を含む公開承認情報を生成し、生成された公開承認情報をデータベースに格納するアクセス制限情報設定手順と、
上記端末で、生成された公開承認情報をユーザに固有の秘密鍵で暗号化することによって暗号化承認情報を生成し、生成された暗号化承認情報、ユーザに固有の上記秘密鍵に対応した公開鍵、及び、ユーザ識別情報の組をデータベースに格納する本人確認情報設定手順と、
を有し、
公開承認情報がユーザによって設定されたことが確認された場合に、公開情報のアクセス有効期限情報で指定された有効期限内で、公開承認情報の端末識別情報で指定された端末からユーザの個人情報へのアクセスが許可される、
個人情報アクセス制御方法。A user authentication procedure that captures user authentication information at a terminal and confirms the user's identity using the user authentication information and the user authentication information stored in the authentication database in advance,
When the identity of the user is confirmed, at the above terminal, user identification information for identifying the user, terminal identification information for identifying a terminal permitted to access the user's personal information in the database, and the user's individual Access restriction information setting procedure for generating public approval information including access expiration date information to information, and storing the generated public approval information in the database,
In the terminal, encryption approval information is generated by encrypting the generated public approval information with a secret key unique to the user, and the generated encryption approval information and the public corresponding to the secret key specific to the user are generated. An identification information setting procedure for storing a key and a set of user identification information in a database;
Have
When it is confirmed that the public approval information has been set by the user, the personal information of the user from the terminal specified by the terminal identification information of the public approval information within the expiration date specified by the access expiration date information of the public information Access to is allowed,
Personal information access control method.

ユーザの個人情報へのアクセスを要求する端末でユーザ識別情報を取り込むアクセス要求手順と、
上記ユーザの個人情報へのアクセスを要求する端末で、上記取り込まれたユーザ識別情報に対応した公開承認情報、暗号化承認情報、及び、公開鍵を上記データベースから取得する手順と、
上記ユーザの個人情報へのアクセスを要求する端末で、取得された暗号化承認情報を、取得された公開鍵を用いて復号化することにより復号化承認情報を生成する手順と、
上記ユーザの個人情報へのアクセスを要求する端末で、取得された公開承認情報と生成された復号化承認情報が一致し、上記ユーザの個人情報へのアクセスを要求する端末が公開承認情報に含まれる端末識別情報で指定された端末に一致し、かつ、現在時間が公開承認情報に含まれるアクセス有効期限情報で指定された有効期限内である、アクセス許可条件が満たされているかどうかを判定するアクセス許可条件判定手順と、
上記ユーザの個人情報へのアクセスを要求する端末で、上記アクセス許可条件が満たされていない場合に、上記データベース内のユーザの個人情報へのアクセスを禁止するアクセス制御手順と、
を更に有する請求項１記載の個人情報アクセス制御方法。An access request procedure for capturing user identification information at a terminal requesting access to the user's personal information;
A procedure for obtaining public approval information, encryption approval information, and public key corresponding to the captured user identification information from the database at a terminal that requests access to the personal information of the user;
A procedure for generating decryption approval information by decrypting the acquired encryption approval information using the acquired public key at a terminal that requests access to the personal information of the user ;
The terminal requesting access to the personal information of the user matches the acquired public approval information and the generated decryption approval information, and the terminal requesting access to the personal information of the user is included in the public approval information. It is determined whether or not the access permission condition is satisfied, which matches the terminal specified by the terminal identification information and is within the expiration date specified by the access expiration date information included in the public approval information. Access permission condition judgment procedure;
An access control procedure for prohibiting access to the user's personal information in the database when the access permission condition is not satisfied at the terminal that requests access to the user's personal information;
The personal information access control method according to claim 1, further comprising:

上記本人確認情報生成手順において、上記暗号化承認情報は、公開承認情報をハッシュ化し、ハッシュ化された公開承認情報を暗号化することによって生成し、
上記アクセス許可条件判定手順において、取得された公開承認情報と生成された復号化承認情報が一致するかどうかは、取得された公開承認情報をハッシュ化し、ハッシュ化された取得された公開承認情報と、生成された復号化承認情報とが一致するかどうかによって判定する、
請求項２記載の個人情報アクセス制御方法。In the identity verification information generation procedure, the encryption approval information is generated by hashing the public approval information and encrypting the hashed public approval information,
In the above access permission condition determination procedure, whether or not the acquired public approval information matches the generated decryption approval information is determined by hashing the acquired public approval information and hashing the acquired public approval information and , Judging by whether or not the generated decryption approval information matches,
The personal information access control method according to claim 2.

上記アクセス制限情報設定手順において、公開承認情報として、ユーザの個人情報へのアクセスが許可される他者を特定する他者識別情報を更に設定し、
上記アクセス要求手順において、ユーザの個人情報へアクセスしようとするアクセス要求者の他者識別情報を更に取り込み、
上記アクセス許可条件判定手順において、アクセス許可条件として、公開承認情報に含まれる他者識別情報と上記アクセス要求者の他者識別情報が一致するかどうかを更に判定する、
請求項２又は３記載の個人情報アクセス制御方法。In the above access restriction information setting procedure, as the public approval information, further set other person identification information for specifying another person permitted to access the user's personal information,
In the above access request procedure, further capture the other identification information of the access requester who wants to access the user's personal information,
In the access permission condition determination procedure, as the access permission condition, it is further determined whether or not the other person identification information included in the public approval information matches the other person identification information of the access requester.
The personal information access control method according to claim 2 or 3.

ユーザの個人情報を格納するデータベースと、
本人性が確認されたユーザを特定するユーザ識別情報を取得し、取得されたユーザ識別情報、上記データベース内のユーザの個人情報へのアクセスが許可される端末を特定する端末識別情報、及び、ユーザの個人情報へのアクセス有効期限情報を含む公開承認情報を生成し、生成された公開承認情報を上記データベースに格納するアクセス制限情報設定手段と、
上記アクセス制限情報設定手段に接続され、生成された公開承認情報をユーザに固有の秘密鍵で暗号化することによって暗号化承認情報を生成し、生成された暗号化承認情報、ユーザに固有の上記秘密鍵に対応した公開鍵、及び、ユーザ識別情報の組を上記データベースに格納する本人確認情報設定手段と、
アクセス対象となるユーザの個人情報を指定するユーザ識別情報を取り込み、上記取り込まれたユーザ識別情報に対応した公開承認情報、暗号化承認情報、及び、公開鍵を上記データベースから取得するアクセス要求手段と、
取得された暗号化承認情報を、取得された公開鍵を用いて復号化することにより復号化承認情報を生成する復号化手段と、
上記アクセス要求手段及び上記復号化手段に接続され、取得された公開承認情報と生成された復号化承認情報が一致する条件、当該個人情報アクセス制御端末が公開承認情報に含まれる端末識別情報で指定された端末に一致する条件、並びに、現在時間が公開承認情報に含まれるアクセス有効期限情報で指定された有効期限内である条件を含むアクセス許可条件が満たされているかどうかを判定するアクセス許可条件判定手段と、
上記アクセス許可条件が満たされている場合に、上記データベース内のアクセス対象となるユーザの個人情報へのアクセスを許可し、上記アクセス許可条件が満たされていない場合に、上記データベース内のユーザの個人情報へのアクセスを禁止するアクセス制御手段と、
を有する個人情報アクセス制御端末。A database for storing user personal information;
User identification information that identifies a user whose identity has been confirmed is acquired, the acquired user identification information, terminal identification information that identifies a terminal that is permitted to access the user's personal information in the database, and a user Access restriction information setting means for generating public approval information including access expiration date information for personal information and storing the generated public approval information in the database;
Connected to the access restriction information setting means, encrypts the generated public approval information with a secret key unique to the user, generates encrypted approval information, and generates the encrypted approval information, the user-specific An identification information setting means for storing a public key corresponding to the secret key and a set of user identification information in the database;
Access request means for acquiring user identification information for specifying personal information of a user to be accessed, and acquiring public approval information, encryption approval information, and a public key corresponding to the acquired user identification information from the database; ,
Decryption means for generating decryption approval information by decrypting the acquired encryption approval information using the acquired public key;
Connected to the access request means and the decryption means, the condition that the acquired public approval information matches the generated decryption approval information, and the personal information access control terminal is specified by the terminal identification information included in the public approval information Access permission condition for judging whether or not the access permission condition including the condition that matches the specified terminal and the condition that the current time is within the expiration date specified by the access expiration date information included in the public approval information is satisfied A determination means;
If the access permission condition is satisfied, access to the personal information of the user to be accessed in the database is permitted. If the access permission condition is not satisfied, the user's personal information in the database is permitted. Access control means for prohibiting access to information;
A personal information access control terminal.

少なくとも１台の端末と、
上記少なくとも１台の端末の中で、ユーザの本人証明情報が取り込まれ、ユーザの本人認証のために利用される少なくとも１台の端末にネットワークを介して接続され、本人証明情報と予め蓄積されている本人認証用情報とを用いて、上記本人認証のため利用される端末との間でユーザの本人性を確認する本人認証サーバと、
ユーザの個人情報を保持するデータベースと、
を有し、
上記本人認証のため利用される少なくとも１台の端末は、
本人性が確認されたユーザを特定するユーザ識別情報を取得し、取得されたユーザ識別情報、上記データベース内のユーザの個人情報へのアクセスが許可される個人情報アクセス端末を特定する端末識別情報、及び、ユーザの個人情報へのアクセス有効期限情報を含む公開承認情報を生成し、生成された公開承認情報を上記データベースに格納するアクセス制限情報設定手段と、
上記アクセス制限情報設定手段に接続され、生成された公開承認情報をユーザに固有の秘密鍵で暗号化することによって暗号化承認情報を生成し、生成された暗号化承認情報、ユーザに固有の上記秘密鍵に対応した公開鍵、及び、ユーザ識別情報の組を上記データベースに格納する本人確認情報設定手段と、
を具備し、
上記少なくとも１台の端末の中でユーザの個人情報へアクセスするための少なくとも１台の端末は、
アクセス対象となるユーザの個人情報を指定するユーザ識別情報を取り込み、上記取り込まれたユーザ識別情報に対応した公開承認情報、暗号化承認情報、及び、公開鍵を上記データベースから取得するアクセス要求手段と、
取得された暗号化承認情報を、取得された公開鍵を用いて復号化することにより復号化承認情報を生成する復号化手段と、
上記アクセス要求手段及び上記復号化手段に接続され、取得された公開承認情報と生成された復号化承認情報が一致する条件、当該端末が公開承認情報に含まれる端末識別情報で指定された個人情報アクセス端末に一致する条件、並びに、現在時間が公開承認情報に含まれるアクセス有効期限情報で指定された有効期限内である条件を含むアクセス許可条件が満たされているかどうかを判定するアクセス許可条件判定手段と、
上記アクセス許可条件が満たされている場合に、上記データベース内のアクセス対象となるユーザの個人情報へのアクセスを許可し、上記アクセス許可条件が満たされていない場合に、上記データベース内のユーザの個人情報へのアクセスを禁止するアクセス制御手段と、
を具備する、
個人情報アクセス制御システム。At least one terminal,
Among the at least one terminal, user identification information is captured, connected to at least one terminal used for user identification via a network, and stored in advance as identification information. A personal authentication server for confirming the identity of the user with the terminal used for the personal authentication using the personal authentication information;
A database holding user personal information;
Have
At least one terminal used for the above personal authentication is
User identification information for identifying a user whose identity has been confirmed is acquired, the acquired user identification information, terminal identification information for identifying a personal information access terminal that is allowed to access the personal information of the user in the database, And access restriction information setting means for generating public approval information including access expiration date information for the user's personal information, and storing the generated public approval information in the database,
Connected to the access restriction information setting means, encrypts the generated public approval information with a secret key unique to the user, generates encrypted approval information, and generates the encrypted approval information, the user-specific An identification information setting means for storing a public key corresponding to the secret key and a set of user identification information in the database;
Comprising
Among the at least one terminal, at least one terminal for accessing the user's personal information is:
Access request means for acquiring user identification information for specifying personal information of a user to be accessed, and acquiring public approval information, encryption approval information, and a public key corresponding to the acquired user identification information from the database; ,
Decryption means for generating decryption approval information by decrypting the acquired encryption approval information using the acquired public key;
Connected to the access request means and the decryption means, the condition that the acquired public approval information and the generated decryption approval information match, the personal information specified by the terminal identification information included in the public approval information Access permission condition determination that determines whether an access permission condition including a condition that matches an access terminal and a condition that the current time is within the expiration date specified by the access expiration date information included in the public approval information is satisfied Means,
If the access permission condition is satisfied, access to the personal information of the user to be accessed in the database is permitted. If the access permission condition is not satisfied, the user's personal information in the database is permitted. Access control means for prohibiting access to information;
Comprising
Personal information access control system.

ユーザの本人証明情報を取り込み、本人証明情報と予め認証データベースに蓄積されている本人認証用情報とを用いてユーザの本人性を確認する本人認証機能と、
ユーザの本人性が確認された場合に、ユーザを特定するユーザ識別情報、データベース内のユーザの個人情報へのアクセスが許可される端末を特定する端末識別情報、及び、ユーザの個人情報へのアクセス有効期限情報を含む公開承認情報を生成し、生成された公開承認情報をデータベースに格納するアクセス制限情報設定機能と、
生成された公開承認情報をユーザに固有の秘密鍵で暗号化することによって暗号化承認情報を生成し、生成された暗号化承認情報、ユーザに固有の上記秘密鍵に対応した公開鍵、及び、ユーザ識別情報の組をデータベースに格納する本人確認情報設定機能と、
公開承認情報がユーザによって設定されたことが確認された場合に、公開情報のアクセス有効期限情報で指定された有効期限内で、公開承認情報の端末識別情報で指定された端末からのユーザの個人情報へのアクセスを許可する機能と、
をコンピュータに実現させるための個人情報アクセス制御プログラム。A user authentication function that captures the user authentication information and uses the user authentication information and the user authentication information stored in advance in the authentication database to confirm the user identity;
When the identity of the user is confirmed, user identification information for identifying the user, terminal identification information for identifying a terminal permitted to access the user's personal information in the database, and access to the user's personal information An access restriction information setting function for generating public approval information including expiration date information and storing the generated public approval information in a database;
Generating encrypted approval information by encrypting the generated public approval information with a secret key unique to the user, the generated encryption approval information, a public key corresponding to the secret key unique to the user, and An identity verification information setting function for storing a set of user identification information in a database;
When it is confirmed that the public approval information has been set by the user, the individual of the user from the terminal specified by the terminal identification information of the public approval information within the expiration date specified by the access expiration date information of the public information The ability to grant access to information,
Personal information access control program for realizing computer.

アクセス対象となるユーザの個人情報に対応するユーザ識別情報を取り込み、上記取り込まれたユーザ識別情報に対応した公開承認情報、暗号化承認情報、及び、公開鍵を上記データベースから取得するアクセス要求機能と、
取得された暗号化承認情報を、取得された公開鍵を用いて復号化することにより復号化承認情報を生成する機能と、
取得された公開承認情報と生成された復号化承認情報が一致し、上記端末が公開承認情報に含まれる端末識別情報で指定された端末に一致し、かつ、現在時間が公開承認情報に含まれるアクセス有効期限情報で指定された有効期限内である、アクセス許可条件が満たされているかどうかを判定するアクセス許可条件判定機能と、
上記アクセス許可条件が満たされていない場合に、上記データベース内のユーザの個人情報へのアクセスを制限する機能と、
を更にコンピュータに実現させるための請求項７記載の個人情報アクセス制御プログラム。An access request function that captures user identification information corresponding to personal information of a user to be accessed, and acquires public approval information, encryption approval information, and public key corresponding to the captured user identification information from the database; ,
A function for generating decryption approval information by decrypting the acquired encryption approval information using the acquired public key;
The acquired public approval information matches the generated decryption approval information, the terminal matches the terminal specified by the terminal identification information included in the public approval information, and the current time is included in the public approval information. An access permission condition determination function that determines whether an access permission condition that is within the expiration date specified in the access expiration date information is satisfied, and
A function for restricting access to the personal information of the user in the database when the access permission condition is not satisfied;
The personal information access control program according to claim 7, further causing a computer to implement the above.

上記暗号化承認情報を生成するため、公開承認情報をハッシュ化し、ハッシュ化された公開承認情報を暗号化する機能と、
取得された公開承認情報と生成された復号化承認情報が一致するかどうかを判定するため、取得された公開承認情報をハッシュ化し、ハッシュ化された取得された公開承認情報と、生成された復号化承認情報とが一致するかどうかを判定する機能と、
を更にコンピュータに実現させるための請求項７又は８記載の個人情報アクセス制御プログラム。In order to generate the above encrypted approval information, the function of hashing the public approval information and encrypting the hashed public approval information,
In order to determine whether the acquired public approval information and the generated decryption approval information match, the acquired public approval information is hashed, and the acquired public approval information hashed and the generated decryption are generated. A function to determine whether or not the authorization approval information matches,
9. The personal information access control program according to claim 7 or 8 for causing a computer to realize the above.

請求項７乃至９のうち何れか一項記載のプログラムを記録したコンピュータ読取可能な記録媒体。 A computer-readable recording medium on which the program according to any one of claims 7 to 9 is recorded.