JP4359236B2 - 管理システム - Google Patents

Description

本発明は、データベース装置へのアクセスを管理する管理サーバに係り、秘密情報の漏
洩に係る不正アクセスを防止する技術に関する。

近年、個人情報等の秘密情報の漏洩が社会的に問題となっている。従来のセキュリティ
システムは、アクセス権限を有する利用者以外の他人による不正アクセスを防止すること
を主眼としていた。

しかし、実際にはアクセス権限を有する利用者自身による悪意の流出も多く見られる。企業責任として、これのような事態を未然に防ぐ必要がある。

そこで、本発明は、このような問題を解決し、秘密情報の漏洩に係る不正アクセスを防
止することを主な目的とする。

本発明に係る管理サーバは、
ユーザ登録された利用者に対してデータを提供するデータベース装置と、データベース
装置を利用する利用者が操作する利用者端末と、利用者によるデータベース装置の利用を
管理する管理者が操作する管理者端末とに接続する管理サーバであって、以下の要素を有
することを特徴とする
（１）利用者がデータベース装置を利用する事前処理として、利用者固有の利用者鍵を生
成する利用者鍵生成部
（２）利用者がデータベース装置を利用する事前処理として、生成した利用者鍵を利用者
端末に送信する利用者鍵送信部
（３）利用者がデータベース装置を利用する事前処理として、管理者固有の管理者鍵を生
成する管理者鍵生成部
（４）利用者がデータベース装置を利用する事前処理として、生成した管理者鍵を管理者
端末に送信する管理者鍵送信部
（５）利用者がデータベース装置を利用する事前処理として、データベース装置に新たに
ユーザ登録するためのデータベースユーザ登録情報を生成するデータベースユーザ登録情
報生成部
（６）利用者がデータベース装置を利用する事前処理として、生成したデータベースユー
ザ登録情報を、生成した利用者鍵と生成した管理者鍵とを用いて、復号の際に暗号化時の
利用者鍵と復号時の利用者鍵の一致の判定と、暗号化時の管理者鍵と復号時の管理者鍵の
一致の判定とを可能とする暗号化ロジックで暗号化して、暗号結果として暗号化データベ
ースユーザ登録情報を生成するデータベースユーザ登録情報暗号化部
（７）暗号結果として生成した暗号化データベースユーザ登録情報を記憶する暗号化デー
タベースユーザ登録情報記憶部
（８）利用者がデータベース装置を利用する際に、利用者端末から、当該利用者端末から
データベース装置へのアクセスを開始する要求を、利用者鍵と併せて受信するアクセス開
始要求受付部
（９）利用者がデータベース装置を利用する際に、管理者端末から管理者鍵を受信する管
理者鍵受信部
（１０）利用者がデータベース装置を利用する際に、暗号化データベースユーザ登録情報
記憶部で記憶している暗号化データベースユーザ登録情報を、前記要求と併せて受信した
利用者鍵と前記受信した管理者鍵とを用いて、暗号化時の利用者鍵と復号時の利用者鍵が
一致するかの判定と、暗号化時の管理者鍵と復号時の管理者鍵が一致するかの判定とを行
う復号ロジックにより復号し、いずれも一致した場合に復号結果としてデータベースユー
ザ登録情報を得るデータベースユーザ登録情報復号部
（１１）利用者がデータベース装置を利用する際に、データベース装置に対して、復号結
果として得たデータベースユーザ登録情報を含む、新たなユーザ登録を求めるクリエイト
ユーザ命令を送信するクリエイトユーザ要求部。

データベースユーザ登録情報復号部は、暗号化データベースユーザ登録情報を前記受信
した管理者鍵を用いて復号し、復号結果として一次復号データベースユーザ登録情報を得
て、
管理サーバは、更に、復号結果として得た一次復号データベースユーザ登録情報を利用
者端末に送信する一次復号データベースユーザ登録情報送信部を有することを特徴とする
。

管理サーバは、更に、以下の要素を有することを特徴とする
（１２）利用者がデータベース装置を利用するデータベース利用予定を記憶するデータベ
ース利用予定記憶部
（１３）利用者がデータベース装置を利用している際に、当該利用者のデータベース利用
予定の利用終了予定日時を経過したことを判定するデータベース利用予定終了判定部
（１４）利用終了予定日時を経過した場合に、データベース装置に対して、当該データベ
ース利用予定に係るユーザ登録の削除を求めるドロップユーザ命令を送信するドロップユ
ーザ要求部。

管理サーバは、更に、以下の要素を有することを特徴とする
（１５）利用者がデータベース装置を利用する事前処理として、利用者端末から、利用者
がデータベース装置を利用するデータベース利用予定を受信するデータベース利用予定入
力部
（１６）受信したデータベース利用予定を記憶するデータベース利用予定記憶部
（１７）利用者がデータベース装置を利用する事前処理として、データベース利用予定記
憶部に記憶しているデータベース利用予定に対する承認の依頼を管理者端末に送信し、管
理者端末から承認結果を受信し、データベース利用予定記憶部に記憶しているデータベー
ス利用予定を承認されたものと判別できるようにするデータベース利用予定承認依頼部
（１８）利用者がデータベース装置を利用する際に、承認されたデータベース利用予定内
であるかを判定するデータベース利用判定部。

管理サーバは、更に、利用者がデータベース装置を利用するデータベース利用予定を、
複数のデータベース利用単位に分けて記憶するデータベース利用予定記憶部を有し、
前記利用者鍵生成部は、データ利用単位毎に別個の利用者鍵を生成し、
前記データベースユーザ登録情報生成部は、データベース利用単位毎に別個のデータベ
ースユーザ登録情報を生成し、
前記データベースユーザ登録情報暗号化部は、データベース利用単位毎に、前記生成し
た管理者鍵とともに当該別個の利用者鍵を用い、当該別個のデータベースユーザ登録情報
を暗号化し、
当該データベース利用予定記憶部は、暗号化データベースユーザ登録情報記憶部として
、暗号結果として生成した暗号化データベースユーザ登録情報をデータベース利用単位毎
に記憶し、
前記データベースユーザ登録情報復号部は、現時点を含むデータ利用単位に対応する暗
号化データベースユーザ登録情報を復号することを特徴とする。

本発明に係るプログラムは、
ユーザ登録された利用者に対してデータを提供するデータベース装置と、データベース
装置を利用する利用者が操作する利用者端末と、利用者によるデータベース装置の利用を
管理する管理者が操作する管理者端末とに接続する管理サーバとなるコンピュータに、以
下の手順を実行させるためのプログラムであることを特徴とする
（１）利用者がデータベース装置を利用する事前処理として、利用者固有の利用者鍵を生
成する利用者鍵生成処理手順
（２）利用者がデータベース装置を利用する事前処理として、生成した利用者鍵を利用者
端末に送信する利用者鍵送信処理手順
（３）利用者がデータベース装置を利用する事前処理として、管理者固有の管理者鍵を生
成する管理者鍵生成処理手順
（４）利用者がデータベース装置を利用する事前処理として、生成した管理者鍵を管理者
端末に送信する管理者鍵送信処理手順
（５）利用者がデータベース装置を利用する事前処理として、データベース装置に新たに
ユーザ登録するためのデータベースユーザ登録情報を生成するデータベースユーザ登録情
報生成処理手順
（６）利用者がデータベース装置を利用する事前処理として、生成したデータベースユー
ザ登録情報を、生成した利用者鍵と生成した管理者鍵とを用いて、復号の際に暗号化時の
利用者鍵と復号時の利用者鍵の一致の判定と、暗号化時の管理者鍵と復号時の管理者鍵の
一致の判定とを可能とする暗号化ロジックで暗号化して、暗号結果として暗号化データベ
ースユーザ登録情報を生成し、記憶するデータベースユーザ登録情報暗号化処理手順
（７）利用者がデータベース装置を利用する際に、利用者端末から、当該利用者端末から
データベース装置へのアクセスを開始する要求を、利用者鍵と併せて受信するアクセス開
始要求受付処理手順
（８）利用者がデータベース装置を利用する際に、管理者端末から管理者鍵を受信する管
理者鍵受信処理手順
（９）利用者がデータベース装置を利用する際に、データベースユーザ登録情報暗号化処
理手順で記憶した暗号化データベースユーザ登録情報を、前記要求と併せて受信した利用
者鍵と前記受信した管理者鍵とを用いて、暗号化時の利用者鍵と復号時の利用者鍵が一致
するかの判定と、暗号化時の管理者鍵と復号時の管理者鍵が一致するかの判定とを行う復
号ロジックにより復号し、いずれも一致した場合に復号結果としてデータベースユーザ登
録情報を得るデータベースユーザ登録情報復号処理手順
（１０）利用者がデータベース装置を利用する際に、データベース装置に対して、復号結
果として得たデータベースユーザ登録情報を含む、新たなユーザ登録を求めるクリエイト
ユーザ命令を送信するクリエイトユーザ要求処理手順。

本発明によれば、事前処理として利用者鍵と管理者鍵を生成し、それぞれ利用者端末と
管理者端末に送信し、これらの鍵を用いた暗号化により暗号化データベースユーザ登録情
報を生成しておき、実際のデータベースへのアクセスの際に、それぞれ利用者端末と管理
者端末から受信した利用者鍵と管理者鍵を用いて、暗号化データベースユーザ登録情報を
復号し、いずれも不正な鍵でない場合にデータベース装置に新たなユーザ登録を求めるの
で、利用者の成り済まし、あるいは利用者自身の悪意による不正なアクセスを防止できる
。データベース利用予定を用いた安全機構を有するので、不測のアクセスも排除できる。

実施の形態１．
データベースの操作に関する一定の知識を有する者が、データベースへアクセスするた
めのユーザ情報（以下の例では、データベースユーザ名、データベースユーザパスワード
）を知っていれば、業務用アプリケーションを利用しなくても、当該ユーザ情報を用いて
直接データベースにアクセスし、秘密の情報を盗み出すことができることに鑑み、本発明
は、その改善策としてユーザ情報を動的に変更する。

図１は、ネットワーク環境を示す図である。ローカルエリアネットワーク（ネットワー
クの例）には、データベース装置１、管理サーバ２、管理者端末３、及び利用者端末４が
接続されている。データベース装置１には、個人情報等の秘匿情報を含む情報群を管理し
ている。利用者は、担当業務など本来の適正な目的においてデータベース装置１から情報
を引き出し、または情報を格納させるために、利用者端末４を操作して、データベース装
置１にアクセスする。管理サーバ３は、利用者端末４からデータベース装置１への不正な
アクセスを防止し、適正なアクセスのみを実行させるように管理を行う。

本管理システムでは、まず利用者端末４を操作する利用者による事前処理と、管理者端
末３を操作する管理者による事前処理を行う必要がある。例えば月末に、利用者が翌月の
データベース装置１の利用予定を申請し、管理者が各利用者毎に翌月分の申請を当月内に
承認する作業に相当する。

まず、利用者による事前処理について説明する。図２は、利用者による事前処理に係る
管理サーバの構成を示す図である。管理サーバ２は、この処理の為に、システム利用者認
証部２０１、データベース利用予定入力部２０２、データベース利用予定記憶部２０３、
利用者鍵生成部２０４、及び利用者鍵送信部２０５の要素を有している。

図３は、利用者による事前処理フローを示す図である。利用者認証処理（Ｓ３０１）で
は、通常のシステム同様に、利用者が本管理システムを用いる権限を有しているかをチェ
ックする。

利用者端末４は、本管理システムの適正な利用者として認証を受ける為のシステム利用
者ＩＤとシステム利用者パスワードの入力を利用者に促すシステム利用者認証情報入力画
面を表示し、操作部を介してシステム利用者ＩＤとシステム利用者パスワードを受付ける
。そして、受け付けたシステム利用者ＩＤとシステム利用者パスワードを管理サーバ２に
送信する。システム利用者認証部２０１による利用者認証処理（Ｓ３０１）では、利用者
端末４からシステム利用者ＩＤとシステム利用者パスワードを受信し、予め登録してある
システム利用者ＩＤとシステム利用者パスワードの組み合わせのいずれかと一致するか判
断する。一致する場合には、認証成功の旨を利用者端末４に返信し、処理の続行を許可す
る。不一致の場合には、認証失敗の旨を利用者端末４に返信し、処理を中断させる。尚、
ここで用いるシステム利用者認証情報、つまりシステム利用者ＩＤとシステム利用者パス
ワードは、後述するデータベースで管理するデータベースユーザ登録情報とは関連の無い
ものである。

利用者端末４では、認証成功の旨の通知を受けると、データベース利用予定設定部（図
示せず）により、利用者にデータベース利用予定の入力を促すデータベース利用予定設定
画面を表示し、データベース利用予定を受付ける。そして、受け付けたデータベース利用
予定を管理サーバ２に送信する。

図４は、データベース利用予定入力画面を示す図である。この画面では、利用者が業務
のためにデータベースにアクセスする時間帯、つまり利用開始予定日時と利用終了予定日
時（データベース利用単位という。）を指定するように構成されている。これらの日付と
時間帯のリストをデータベース利用予定として扱う。データベース利用予定として、就業
予定を用いることも考えられる。就業中に、常にデータベースを用いる業務形態の場合に
は、就業予定を直接データベース利用予定とすることが合理的である。

データベース利用予定入力部２０２によるデータベース利用予定入力処理（Ｓ３０２）
では、利用者端末４から上述のデータベース利用予定を受信し、データベース利用予定記
憶部２０３に記憶させる。

次に、利用者鍵生成部２０４による利用者鍵生成処理（Ｓ３０３）を行う。図５は、利
用者鍵生成処理フローを示す図である。データベース利用予定に含まれるデータベース利
用単位毎に以下の処理を繰り返す（Ｓ５０１）。例えば乱数により、無作為に選択した文
字あるいは数字からなる数字・文字列を生成する（Ｓ５０２）。そして、生成した文字・
数字列を、利用者鍵として、当該データベース利用単位と対応付けてデータベース利用予
定記憶部２０３に記憶させる（Ｓ５０３）。これらの処理を、すべてのデータベース利用
単位について終えた時点で終了する（Ｓ５０４）。つまり、データベース利用単位毎に、
個別の無作為な利用者鍵を生成する。

ここで、データベース利用予定記憶部について説明する。図６は、データベース利用予
定記憶部の構成を示す図である。システム利用者毎にテーブルを有している。このテーブ
ルのヘッダには、当該システム利用者のＩＤが格納され、データベース利用単位毎のレコ
ードを有している。レコードには、データベース利用単位６０３の他に、承認６０２、利
用者鍵６０４、暗号化データベースユーザ名６０５、暗号化データベースユーザパスワー
ド６０６の項目を有しているが、利用者鍵生成の時点では、まだ承認６０２、暗号化デー
タベースユーザ名６０５、及び暗号化データベースユーザパスワード６０６の項目の領域
は用いていない。承認６０２には、後に管理者が行う承認の結果が格納される。暗号化デ
ータベースユーザ名６０５と暗号化データベースユーザパスワード６０６の組み合わせは
、後述する暗号化データベースユーザ登録情報の例である。データベースユーザ名とデー
タベースユーザパスワードを一体として暗号化する場合には、６０５と６０６の区別なく
、一体として暗号化された暗号化データベースユーザ登録情報が格納される。

そして、図３に示すように利用者鍵送信部２０５による利用者鍵送信処理（Ｓ３０４）
を行う。この処理では、データベース利用単位毎に対応する利用者鍵を利用者端末４に返
信する。この例では、これらをテーブルの形式で転送する。図７は、データベース利用単
位と利用者鍵のテーブルの例を示す図である。図に示すように、各データベース利用単位
に対応する利用者鍵が格納されている。利用者は、このようにして受信した利用者鍵につ
いて、守秘義務を負い、他人に知られないように管理する。利用者鍵は、後に、利用者が
予定に従ってデータベース装置１にアクセスする際に必要になる。

次に、管理者による事前処理について説明する。図８は、管理者による事前処理に係る
管理サーバの構成を示す図である。管理サーバ２は、この処理の為に、更にシステム管理
者認証部８０１、管理者鍵生成部８０２、生成管理者鍵記憶部８０３、管理者鍵送信部８
０４、データベース利用予定承認依頼部８０５、データベースユーザ登録情報生成部８０
６、データベースユーザ登録情報暗号化部８０７、利用者鍵削除部８０８、及び管理者鍵
削除部８０９の要素を有している。

図９は、管理者による事前処理フローを示す図である。システム管理者認証処理（Ｓ９
０１）では、管理者として本管理システムを用いる権限を有しているかをチェックする。

管理者端末３は、本管理システムの適正な管理者として認証を受ける為のシステム管理
者ＩＤとシステム管理者パスワードの入力を促すシステム管理者認証情報入力画面を表示
し、システム管理者ＩＤとシステム管理者パスワードを受付ける。そして、受け付けたシ
ステム管理者ＩＤとシステム管理者パスワードを管理サーバ２に送信する。システム管理
者認証部８０１によるシステム管理者認証処理（Ｓ９０１）では、管理者端末３からシス
テム管理者ＩＤとシステム管理者パスワードを受信し、予め登録してあるシステム管理者
ＩＤとシステム管理者パスワードと一致するか判断する。一致する場合には、認証成功の
旨を管理者端末３に返信し、処理の続行を許可する。不一致の場合には、認証失敗の旨を
管理者端末３に返信し、処理を中断させる。尚、ここで用いるシステム管理者認証情報、
つまりシステム管理者ＩＤとシステム管理者パスワードは、後述するデータベースで管理
するデータベースユーザ登録情報とは関連の無いものである。

システム管理者の認証に成功すると、管理者鍵生成部８０２による管理者鍵生成処理（
Ｓ９０２）を行う。

図１０は、管理者鍵生成処理フローを示す図である。管理者鍵の有効期間（例えば、日付と時間で特定し、あるいは日、週、月単位で特定する。）である管理単位毎に以下の処理を繰り返す（Ｓ１００１）。乱数により、無作為に選択した文字あるいは数字からなる数字・文字列を生成し（Ｓ１００２）、生成した文字・数字列を、管理者鍵として、当該管理単位と対応付けて記憶させる（Ｓ１００３）。そして、すべての管理単位について処理時点で終了する（Ｓ１００４）。つまり、管理単位毎に、個別の無作為な利用者鍵を生成する。

管理者鍵送信部８０４による管理者鍵送信処理（Ｓ９０３）で、生成した管理者鍵を管理単位に対応付けて管理者端末３に返信する。この例では、これらをテーブルの形式で転送する。図１１は、管理単位と管理者鍵のテーブルの例を示す図である。図に示すように、日付と時間で特定された各管理単位に対応する管理者鍵が格納されている。管理者は、このようにして受信した管理者鍵について、守秘義務を負い、他人に知られないように管理する。管理者鍵は、管理者が自ら承認した予定に従って利用者が実際にデータベース装置１へアクセスする際に、そのアクセスを承認するために用いられる。

そして、図９に示すようにシステム利用者毎にＳ９０５〜Ｓ９０８の処理を繰り返す（
Ｓ９０４）。

データベース利用予定承認依頼部８０５によるデータベース利用予定承認依頼処理（Ｓ
９０５）を行う。この処理では、管理者に、各利用者が申請したデータベース利用予定の
承認を登録させる。図１２は、データベース利用予定承認依頼処理フローを示す図である
。まず、システム利用者ＩＤに対応するシステム利用者氏名を取得する（Ｓ１２０１）。
システム利用者氏名は、システム利用者テーブル（図示せず）に予めシステム利用者ＩＤ
に対応付けて記憶されている。また、データベース利用予定記憶部２０３からシステム利
用者ＩＤに対応するデータベース利用予定を取得する（Ｓ１２０２）。そして、システム
利用者ＩＤとシステム利用者氏名とデータベース利用予定を含み、データベース利用単位
毎の承認可否を入力可能なデータベース利用予定承認画面を生成する（Ｓ１２０３）。

図１３は、データベース利用予定承認画面を示す図である。この例では、承認ボックス
をチェックすることにより、承認（承認可）を指示するように構成されている。チェック
しない場合には、否認（承認否）を指示することになる。

データベース利用予定承認依頼部８０５から、このデータベース利用予定承認画面を管
理者端末３へ送信し（Ｓ１２０４）、管理者端末３からデータベース利用単位毎の承認可
否を受信し、データベース利用単位に対応付けて承認可否（承認結果）をデータベース利
用予定記憶部に記憶させる（Ｓ１２０５）。この例に拠らず、承認否のデータベース利用
単位を削除し、承認可のデータベース利用単位のみを残すことによって、データベース利
用予定記憶部に記憶しているデータベース利用予定を承認されたものと判別できるように
してもよい。

次に、図９に示すようにデータベースユーザ登録情報生成部８０６によるデータベース
ユーザ登録情報生成処理（Ｓ９０６）を行う。この処理で、データベースユーザ名とデー
タベースユーザパスワードからなるデータベースユーザ登録情報を生成する。データベー
スユーザ登録情報は、データベース装置にアクセスする為に必要な情報である。図１４は
、データベースユーザ登録情報生成処理フローを示す図である。乱数により、無作為に選
択した文字あるいは数字からなる数字・文字列を生成し（Ｓ１４０１）、生成した文字・
数字列を、データベースユーザ名とする（Ｓ１４０２）。また、乱数により、無作為に選
択した文字あるいは数字からなる数字・文字列を生成し（Ｓ１４０３）、生成した文字・
数字列を、データベースユーザパスワードとする（Ｓ１４０４）。

次に、図９に示すようにデータベースユーザ登録情報暗号化部８０７によるデータベー
スユーザ登録情報暗号化処理（Ｓ９０７）を行う。この処理では、データベースユーザ登
録情報を利用者鍵と管理者鍵で暗号化する。

図１５は、データベースユーザ登録情報暗号化部の構成を示す図である。データベース
ユーザ登録情報を利用者鍵で暗号化して、一次暗号化データベースユーザ登録情報を生成
する利用者暗号化部１５０１と、生成した一次暗号化データベースユーザ登録情報を管理
者鍵で暗号化して、二次暗号化データベースユーザ登録情報を生成する管理者暗号化部１
５０２とを含んでいる。これらの要素で行う暗号化の方式として、２つの入力データ（デ
ータベースユーザ名とデータベースユーザパスワード）を連結させて、一体として暗号化
してもよいし、２つの入力データ（データベースユーザ名とデータベースユーザパスワー
ド）をそれぞれ別に暗号化して、得られた２つの出力データ（暗号化データベースユーザ
名と暗号化データベースユーザパスワード）の組み合わせを暗号化データ（暗号化データ
ベースユーザ登録情報）として扱ってもよい。

また、これらの要素は、暗号化データを不正な鍵（暗号化時の鍵と異なる鍵）で復号し
ようとした場合には、不正を検出できる暗号化／復号ロジックを用いる。つまり、復号の
際に暗号化時の利用者鍵と復号時の利用者鍵の一致の判定と、暗号化時の管理者鍵と復号
時の管理者鍵の一致の判定とを可能とする暗号化を行う。例えば、暗号化処理のいずれか
の段階で、暗号時の利用者鍵そのもの、あるいは暗号時の利用者鍵を一意に表すデータを
含めて暗号処理する。そして、復号の際に、暗号時の利用者鍵あるいは一意のデータを抽
出し、復号時の利用者鍵あるいは復号時の利用者鍵を一意に表すデータと比較することに
より、不正を検出することができる。また、不正な鍵による復号を行おうとすると、処理
上の矛盾が生じるようなロジックであっても構わない。

図１６は、データベースユーザ登録情報暗号化処理フローを示す図である。まず、利用
者暗号化部１５０１により、データベースユーザ名とデータベースユーザパスワードから
なるデータベースユーザ登録情報を、利用者鍵を用いて暗号化し、一次暗号化データベー
スユーザ登録情報を得る（Ｓ１６０１）。次に、管理者暗号化部１５０２により、一次暗
号化データベースユーザ登録情報を、更に管理者鍵で暗号化し、二次暗号化データベース
ユーザ登録情報を得る（Ｓ１６０２）。そして、二次暗号化データベースユーザ登録情報
を、当該処理の出力データである暗号化データベースユーザ登録情報とする（Ｓ１６０３
）。

利用者鍵削除部８０８による利用者鍵削除処理（Ｓ９０８）を行う。この処理では、上
述のデータベースユーザ登録情報暗号化処理で用いた当該利用者の利用者鍵をデータベー
ス利用予定記憶部２０３から削除する。

そして、すべてのシステム利用者について処理した時点でループ制御を終了し（Ｓ９０
９）、管理者鍵削除部８０９による管理者鍵削除処理（Ｓ９１０）を行う。この処理では
、上述のデータベースユーザ登録情報暗号化処理（Ｓ９０７）で用いた管理者鍵を生成管
理者鍵記憶部８０３から削除する。

上述のようにして、利用者及び管理者による事前準備が完了する。

続いて、実際に利用者がデータベースにアクセスする際の処理について説明する。本管
理システムでは、データベース利用単位毎に、データベース装置１に対してクリエイトユ
ーザを要求し、データベース利用単位内においてのみ有効とする別個のデータベースユー
ザ名とデータベースユーザパスワードをデータベース装置１に登録する。以下、データベ
ースアクセス開始時の処理について説明する。

図１７は、データベースアクセス開始時の処理に係る管理サーバの構成を示す図である
。管理サーバ２は、この処理の為に、更にアクセス開始要求受付部１７０１、利用者鍵記
憶部１７０２、データベース利用予定判定部１７０３、アクセス承認依頼部１７０４、管
理者鍵受信部１７０５、管理者鍵記憶部１７０６、データベースユーザ登録情報復号部１
７０７、クリエイトユーザ要求部１７０８、及び一次復号データベースユーザ登録情報送
信部１７０９の要素を有する。

図１８は、データベースアクセス開始時の処理フローを示す図である。まず、前述と同
様に、システム利用者認証部２０１によるシステム利用者認証処理（Ｓ１８０１）を行う
。

利用者端末４では、認証成功の旨の通知を受けると、アクセス開始要求指示部（図示せ
ず）により、利用者に利用者鍵の入力とアクセス開始要求の指示を促すアクセス開始要求
指示画面を表示し、操作部を介して利用者鍵とアクセス開始要求の指示を受け付ける。こ
のとき、利用者は、事前処理で取得したリストから現時点を含むデータベース利用単位を
特定し、当該データベース利用単位に対応する利用者鍵を入力する。そして、利用者端末
４は、受け付けた利用者鍵を含むアクセス開始要求を管理サーバ２に送信する。

アクセス開始要求受付部１７０１によるアクセス開始要求受付処理（Ｓ１８０２）では
、利用者端末４から上述の利用者鍵を含むアクセス開始要求を受信する。そして、システ
ム利用者認証部２０１から取得したシステム利用者ＩＤと対応付けて利用者鍵を利用者鍵
記憶部１７０２に記憶させる。

次に、データベース利用予定判定部１７０３によるデータベース利用予定判定処理（Ｓ
１８０３）を行う。この処理では、データベース利用予定通りであるか否かを判定する。
その為に、システム利用者認証部２０１からシステム利用者ＩＤを取得し、当該システム
利用者ＩＤに対応するテーブルをデータベース利用予定記憶部２０３から特定する。そし
て、内部のカレンダー／タイマー部（図示せず）から当日付と現時刻を取得して、現時点
が、そのテーブルのデータベース利用予定のいずれかのデータベース利用単位に含まれる
かを判定する。データベース利用予定に該当する場合、つまり現時点がいずれかのデータ
ベース利用単位に含まれる場合には、処理を継続する。一方、データベース利用予定に該
当しない場合、つまり現時点がいずれのデータベース利用単位にも含まれない場合には、
処理を中断し、終了する。

次に、アクセス承認依頼部１７０４によるアクセス承認依頼処理（Ｓ１８０４）を行う
。この処理では、管理者に、利用者が実際にデータベースにアクセスすることの承認を依
頼する。その為に、アクセス承認依頼部１７０４は、システム利用者テーブル（図示せず
）からシステム利用者ＩＤに対応するシステム利用者氏名を取得し、システム利用者ＩＤ
とシステム利用者氏名を含み、アクセス承認可否を入力可能なアクセス承認画面（図示せ
ず）を生成し、管理者端末３に送信する。そして、管理者端末３からデータベース利用単
位毎の承認可否を受信し、承認（承認可）の場合には、処理を続行し、否認（承認否）の
場合には、中断し、処理を終了する。

次に、管理者鍵受信部１７０５による管理者鍵受信処理（Ｓ１８０５）を行う。この処
理では、事前処理で付与した管理者鍵の返信を求める。その為、管理者端末３へ管理者鍵
の入力を促す管理者鍵入力画面（図示せず）を生成し、管理者端末３に送信する。

管理者端末３は、管理者鍵入力画面を受信して、これを表示し、管理者鍵を受け付ける
。このとき、管理者は、事前処理で取得したリストから現時点を含む管理単位を特定し、
当該管理単位に対応する管理者鍵を入力する。そして、管理者端末３は、受け付けた管理
者鍵を管理サーバ２に送信する。

管理者鍵受信部１７０５は、管理サーバ２から管理者鍵を受信し、受信した管理者鍵を
管理者鍵記憶部１７０６に記憶させる。

次に、データベースユーザ登録情報復号部１７０７によるデータベースユーザ登録情報
復号処理（Ｓ１８０６）を行う。この処理では、暗号化データベースユーザ登録情報を管
理者鍵と利用者鍵で復号する。

図１９は、データベースユーザ登録情報復号部の構成を示す図である。暗号化データベ
ースユーザ登録情報を管理者鍵で復号し、一次復号データベースユーザ登録情報を生成す
る管理者復号部１９０１と、生成した一次復号データベースユーザ登録情報を利用者鍵で
復号し、二次復号データベースユーザ登録情報を生成する利用者復号部１９０２とを含ん
でいる。前述の暗号化の際に、２つの入力データ（データベースユーザ名とデータベース
ユーザパスワード）を連結させて、一体として暗号化している場合には、これらの復号部
は、暗号化データを一体として復号する。また、２つの入力データ（データベースユーザ
名とデータベースユーザパスワード）をそれぞれ別に暗号化して、得られた２つの出力デ
ータ（暗号化データベースユーザ名と暗号化データベースユーザパスワード）の組み合わ
せを暗号化データ（暗号化データベースユーザ登録情報）として扱っている場合には、暗
号化データを２つに分けて、それぞれを復号する。

これらの復号部は前述の通り、暗号化データを不正な鍵で復号しようとした場合には、
不正を検出できる暗号化／復号ロジックを用いている。つまり、暗号化時の利用者鍵と復
号時の利用者鍵が一致するかの判定と、暗号化時の管理者鍵と復号時の管理者鍵が一致す
るかの判定とを行う復号ロジックにより復号する。

図２０は、データベースユーザ登録情報復号処理フローを示す図である。管理者鍵記憶
部１７０６から管理者鍵を読み出し、データベース利用者予定記憶部２０３の当該システ
ム利用者ＩＤのテーブルから、現時点を含むデータベース利用単位に対応する暗号化デー
タベースユーザ登録情報を読み出し、暗号化データベースユーザ登録情報を管理者鍵で復
号し、一次復号データベースユーザ登録情報を得る（Ｓ２００１）。このとき、復号に用
いる管理者鍵が当該暗号化データベースを生成した際の管理者鍵と一致していない場合に
は、当該復号処理で不正を検出し、ステータスを失敗として終了する。一方、復号に用い
る管理者鍵が当該暗号化データベースを生成した際の管理者鍵と一致している場合には、
当該復号処理で正当を検出し、ステータスを成功として処理を続行する。次に、一次復号
データベースユーザ登録情報を、更に利用者鍵で復号し、二次復号データベースユーザ登
録情報を得る（Ｓ２００２）。このとき、復号に用いる利用者鍵が当該暗号化データベー
スを生成した際の利用者鍵と一致していない場合には、当該復号処理で不正を検出し、ス
テータスを失敗として終了する。一方、復号に用いる利用者鍵が当該暗号化データベース
を生成した際の利用者鍵と一致している場合には、当該復号処理で正当を検出し、ステー
タスを成功とする。最後に、二次復号データベースユーザ登録情報を、当該処理の出力デ
ータであるデータベースユーザ登録情報として、データベースユーザ名とデータベースユ
ーザパスワードを特定する（Ｓ２００３）。一体として復号した場合には、暗号化の際の
連結方式に従って、復号結果をデータベースユーザ名とデータベースユーザパスワードに
分割する。別々に復号した場合には、それぞれの復号結果をデータベースユーザ名とデー
タベースユーザパスワードとする。

図１８に示すように、データベースユーザ登録情報復号処理が成功すると、クリエイト
ユーザ要求部１７０８によるクリエイトユーザ要求処理（Ｓ１８０７）を行う。この処理
では、データベース装置１に対してクリエイトユーザの命令を送信し、新たなユーザ登録
（アカウント生成）を依頼する。クリエイトユーザ命令には、前述の処理で求めたデータ
ベースユーザ名とデータベースユーザパスワードを含める。これにより、以降このデータ
ベースユーザ名とデータベースユーザパスワードを用いて、データベース装置１にログイ
ンできるようになる。

最後に、一次復号データベースユーザ登録情報送信部１７０９による一次復号データベ
ースユーザ登録情報送信処理（Ｓ１８０８）を行う。この処理では、図２０のＳ２００１
で得た一次復号データベースユーザ登録情報を利用者端末４に送信する。

上述の処理が成功することにより、利用者端末４からデータベース装置１へのアクセス
が可能になる。

図２１は、データアクセス時の処理に係る利用者端末の構成を示す図である。利用者端
末４は、この処理の為に、一次復号データベースユーザ登録情報受信部２１０１、利用者
鍵入力部２１０２、利用者復号部２１０３、データベースログイン要求部２１０４、デー
タベースアクセス要求部２１０５、及びデータベースログアウト要求部２１０６の要素を
有する。

図２２は、データアクセス時の利用者端末の処理フローを示す図である。まず、一次復
号データベースユーザ登録情報受信部２１０１による一次復号データベースユーザ登録情
報受信処理（Ｓ２２０１）を行う。この処理では、図１８に示した一次復号データベース
ユーザ登録情報送信処理（Ｓ１８０８）により送出された一次復号データベースユーザ登
録情報を受信する。

次に、利用者鍵入力部２１０２による利用者鍵入力処理（Ｓ２２０２）を行う。この処
理では、利用者に利用者鍵の入力を促し、利用者鍵を受け付ける。このときも、利用者は
、現時点を含むデータベース利用単位に対応する利用者鍵を入力させる。改めて入力せず
に、前述の処理でアクセス開始要求指示画面に対して入力した利用者鍵を用いてもよい。

次に、利用者復号部２１０３による利用者復号処理（Ｓ２２０３）を行う。この処理で
は、一次復号データベースユーザ登録情報を、利用者鍵で復号し、二次復号データベース
ユーザ登録情報を得る。このとき、復号に用いる利用者鍵が当該暗号化データベースを生
成した際の利用者鍵と一致していない場合には、当該復号処理で不正を検出し、ステータ
スを失敗として終了する。一方、復号に用いる利用者鍵が当該暗号化データベースを生成
した際の利用者鍵と一致している場合には、当該復号処理で正当を検出し、ステータスを
成功とする。そして、二次復号データベースユーザ登録情報を、当該処理の出力データあ
るデータベースユーザ登録情報として、データベースユーザ名とデータベースユーザパス
ワードを特定する。一体として復号した場合には、暗号化の際の連結方式に従って、復号
結果をデータベースユーザ名とデータベースユーザパスワードに分割する。別々に復号し
た場合には、それぞれの復号結果をデータベースユーザ名とデータベースユーザパスワー
ドとする。

そして、データベースログイン要求部２１０４によるデータベースログイン処理（Ｓ２
２０４）を行う。この処理では、データベースユーザ名とデータベースユーザパスワード
を渡して、データベース装置１にログインする。

続いて、データベースアクセス要求部２１０５によるデータベースアクセス処理（Ｓ２
２０５）を行う。この処理では、例えばデータベース装置１のデータを取得し、あるいは
データを書き込むことができる。

データベース装置１へのアクセスを終える場合に、データベースログアウト要求部２１
０６によるデータベースログアウト処理（Ｓ２２０６）を行う。ログアウト命令を送信し
て、終了する。

データベース利用単位内でのデータベースへのデータアクセスを終えると、利用者は、
データベース装置１に登録したユーザ（アカウント）を削除するための操作を行う。

図２３は、利用者端末からのデータアクセス終了時の処理に係る管理サーバの構成を示
す図である。管理サーバ２は、この処理の為に、更にアクセス終了通知受付部２３０１、
及びドロップユーザ要求部２３０２の要素を有する。

図２４は、利用者端末からのデータアクセス終了時の処理フローを示す図である。アク
セス終了通知受付部２３０１によるアクセス終了通知受付処理（Ｓ２４０１）で、利用者
端末４からアクセス終了通知（利用者鍵を含むこともある）を受信する。次に、データベ
ースユーザ登録情報復号部１７０７によるデータベースユーザ登録情報復号処理（Ｓ２４
０２）を行う。この処理では、システム利用者ＩＤに対応する暗号化データベースユーザ
登録情報をデータベース利用予定記憶部２０３から読み出し、管理者鍵記憶部１７０６に
記憶している管理者鍵と、アクセス終了通知受付部２３０１でアクセス終了通知と併せて
受信した利用者鍵を用いて、暗号化データベースユーザ登録情報を復号する。アクセス終
了通知受付部２３０１で利用者鍵を受信する代わりに、利用者鍵記憶部１７０２でシステ
ム利用者ＩＤに対応付けて記憶している利用者鍵を読み出して用いてもよい。

データベースユーザ登録情報復号部１７０７の処理は、前述と同様である。この例によ
らず、Ｓ２４０２を省略し、前述のデータベースユーザ登録情報復号部１７０７の処理（
図１８のＳ１８０６）で得た復号結果を用いてもよい。

そして、ドロップユーザ要求部２３０２によるドロップユーザ要求処理（Ｓ２４０３）
を行う。この処理により、データベース装置１に対して、データベースユーザ登録情報復
号部１７０７の復号処理で得たデータベースユーザ名とデータベースユーザパスワードを
含むドロップユーザ命令を送信する。これにより、データベース装置１のユーザ登録（ア
カウント）が削除される。

実施の形態２．
前述の処理では、利用者自身がデータベース利用単位内でのデータベース装置１へのア
クセスの終了を意識して自らデータアクセス終了時の処理を指示したが、データベース利
用単位の利用終了予定日時を経過した時点で、管理サーバ２が自動的にユーザ登録（アカ
ウント）を削除するようにすることもできる。

図２５は、データベース利用予定オーバー時の処理に係る管理サーバの構成を示す図で
ある。管理サーバ２は、この処理の為に、更にデータベース利用予定終了判定部２５０１
を有する。

図２６は、データベース利用予定オーバー時の処理フローを示す図である。まず、デー
タベース利用予定終了判定部２５０１によるデータベース利用予定終了判定処理（Ｓ２６
０１）を行う。この処理では、システム利用者ＩＤに対応するデータベース利用単位をデ
ータベース利用予定記憶部２０３から取得し、その終了時点を経過したか判定する。経過
した場合には、データベースユーザ登録情報復号部１７０７によるデータベースユーザ登
録情報復号処理（Ｓ２６０２）を行う。この処理では、システム利用者ＩＤと当該データ
ベース利用単位に対応する暗号化データベースユーザ登録情報をデータベース利用予定記
憶部２０３から読み出し、管理者鍵記憶部１７０６に記憶している管理者鍵と、利用者鍵
記憶部１７０２でシステム利用者ＩＤに対応付けて記憶している利用者鍵を用いて、暗号
化データベースユーザ登録情報を復号する。データベースユーザ登録情報復号部１７０７
の処理は、前述と同様である。この例によらず、Ｓ２６０２を省略し、前述のデータベー
スユーザ登録情報復号部１７０７の処理（図１８のＳ１８０６）で得た復号結果を用いて
もよい。

続いて、ドロップユーザ要求部２３０２によるドロップユーザ要求処理（Ｓ２６０３）
を行う。この処理により、データベース装置１に対して、データベースユーザ登録情報復
号部１７０７の復号処理で得たデータベースユーザ名とデータベースユーザパスワードを
含むドロップユーザ命令を送信する。これにより、データベース装置１のユーザ登録（ア
カウント）が削除される。

データベース装置１、管理サーバ２、管理者端末３、及び利用者端末４は、コンピュー
タであり、各要素はプログラムにより処理を実行することができる。また、プログラムを
記憶媒体に記憶させ、記憶媒体からコンピュータに読み取られるようにすることができる
。

図２７は、データベース装置１、管理サーバ２、管理者端末３、及び利用者端末４のハ
ードウェア構成例を示す図である。バスに、演算装置２７０１、データ記憶装置２７０２
、メモリ２７０３、通信インターフェース２７０４が接続されている。データ記憶装置２
７０２は、例えばＲＯＭ（Read Only Memory）やハードディスクである。メモリ２７０３
は、通常ＲＡＭ（Random Access Memory）である。

プログラムは、通常データ記憶装置２７０２に記憶されており、メモリ２７０３にロー
ドされた状態で、順次演算装置２７０１に読み込まれ処理を行う。通信インターフェース
２７０４は、ローカルエリアネットワークを介する通信に用いられる。

本発明によれば、データベース登録情報は外部には知らされず、利用者及び管理者は、
データベース登録情報を知り得ないので、直接データベース装置にアクセスすることはで
きない。また、管理者鍵と利用者鍵が揃わなければ、データベース装置にユーザ登録され
ないので、利用者鍵を知りえる者（利用鍵を盗んだ他人あるいは悪意のある当人）のみで
は、データベース装置へアクセスすることができない。つまり、仮にデータベース装置に
対する不正アクセスが発覚した場合には、利用者及び管理者の共犯関係が推測される。

また、鍵が適正な場合に、一次復号データベース登録情報を利用者端末に送信し、利用
者端末側でこれを利用者鍵を用いて復号することにより、データベース登録情報を得るこ
とができるので、唯一その利用者端末からのデータベース装置へのログインが可能となる
。

データベース利用予定を越えた場合には、強制的にユーザ登録を削除するので、予定時
間外の不正なアクセスを防止できる。また、利用者や管理者の退職後に、これらの者のユ
ーザ登録情報が放置される事態は生じ得ない。

管理者が承認したデータベース利用予定以外のアクセス開始要求は、自動的に拒否する
ので、予定時間外の不正なアクセスを防止できる。

データベース利用予定を複数のデータベース利用単位に分割し、それぞれに異なるデー
タベースユーザ登録情報と利用者鍵を用いるので、データベース利用単位の都度、新たな
ガードが設けられことになる。つまり、秘密を守るキーとなる情報が動的に更新されるこ
とにより、常に安全性が担保される。

データベースユーザ登録情報が生成され、用いられるには、以下の条件を満たすことが
必要になる。
（１）その利用者の利用予定が登録されていること
（２）利用予定が管理者により承認されていること
（３）利用が、その利用者の利用予定内のものであること
（４）利用者の利用開始要求が利用予定内になされていること
（５）利用者によるアクセス終了通知がなされていないこと
（６）管理サーバによる強制終了がなされていないこと

ネットワーク環境を示す図である。 利用者による事前処理に係る管理サーバの構成を示す図である。 利用者による事前処理フローを示す図である。 データベース利用予定入力画面を示す図である。 利用者鍵生成処理フローを示す図である。 データベース利用予定記憶部の構成を示す図である。 データベース利用単位と利用者鍵のテーブルの例を示す図である。 管理者による事前処理に係る管理サーバの構成を示す図である。 管理者による事前処理フローを示す図である。 管理者鍵生成処理フローを示す図である。 管理単位と管理者鍵のテーブルの例を示す図である。 データベース利用予定承認依頼処理フローを示す図である。 データベース利用予定承認画面を示す図である。 データベースユーザ登録情報生成処理フローを示す図である。 データベースユーザ登録情報暗号化部の構成を示す図である。 データベースユーザ登録情報暗号化処理フローを示す図である。 データベースアクセス開始時の処理に係る管理サーバの構成を示す図である。 データベースアクセス開始時の処理フローを示す図である。 データベースユーザ登録情報復号部の構成を示す図である。 データベースユーザ登録情報復号処理フローを示す図である。 データアクセス時の処理に係る利用者端末の構成を示す図である。 データアクセス時の利用者端末の処理フローを示す図である。 利用者端末からのデータアクセス終了時の処理に係る管理サーバの構成を示す図である。 利用者端末からのデータアクセス終了時の処理フローを示す図である。 データベース利用予定オーバー時の処理に係る管理サーバの構成を示す図である。 データベース利用予定オーバー時の処理フローを示す図である。 各装置のハードウェア構成を示す図である。

符号の説明

１ データベース装置、２ 管理サーバ、３ 管理者端末、４ 利用者端末、２０１
システム利用者認証部、２０２ データベース利用予定入力部、２０３ データベース利
用予定記憶部、２０４ 利用者鍵生成部、２０５ 利用者鍵送信部、８０１ システム管
理者認証部、８０２ 管理者鍵生成部、８０３ 生成管理者鍵記憶部、８０４ 管理者鍵
送信部、８０５ データベース利用予定承認依頼部、８０６ データベースユーザ登録情
報生成部、８０７ データベースユーザ登録情報暗号化部、８０８ 利用者鍵削除部、８
０９ 管理者鍵削除部、１５０１ 利用者暗号化部、１５０２ 管理者暗号化部、１７０
１ アクセス開始要求受付部、１７０２ 利用者鍵記憶部、１７０３ データベース利用
予定判定部、１７０４ アクセス承認依頼部、１７０５ 管理者鍵受信部、１７０６ 管
理者鍵記憶部、１７０７ データベースユーザ登録情報復号部、１７０８ クリエイトユ
ーザ要求部、１７０９ 一次復号データベースユーザ登録情報送信部、１９０１ 管理者
復号部、１９０２ 利用者復号部、２１０１ 一次復号データベースユーザ登録情報受信
部、２１０２ 利用者鍵入力部、２１０３ 利用者復号部、２１０４ データベースログ
イン要求部、２１０５ データベースアクセス要求部、２１０６ データベースログアウ
ト要求部、２３０１ アクセス終了通知受付部、２３０２ ドロップユーザ要求部、２５
０１ データベース利用予定終了判定部。

Claims (3)

1. ユーザ登録された利用者に対してデータを提供するデータベース装置と、データベース
   装置を利用する利用者が操作する利用者端末と、利用者によるデータベース装置の利用を
   管理する管理者が操作する管理者端末とに接続する管理サーバ、及び前記データベース装
   置に接続する前記利用者端末を有する管理システムであって、
   前記管理サーバは、
   （１）利用者がデータベース装置を利用する事前処理として、利用者固有の利用者鍵を生
   成する利用者鍵生成部と、
   （２）利用者がデータベース装置を利用する事前処理として、生成した利用者鍵を利用者
   端末に送信する利用者鍵送信部と、
   （３）利用者がデータベース装置を利用する事前処理として、管理者固有の管理者鍵を生
   成する管理者鍵生成部と、
   （４）利用者がデータベース装置を利用する事前処理として、生成した管理者鍵を管理者
   端末に送信する管理者鍵送信部と、
   （５）利用者がデータベース装置を利用する事前処理として、データベース装置に新たに
   ユーザ登録するためのデータベースユーザ登録情報を生成するデータベースユーザ登録情
   報生成部と、
   （６）利用者がデータベース装置を利用する事前処理として、生成したデータベースユー
   ザ登録情報を、前記生成した利用者鍵を用いて、復号の際に暗号化時の利用者鍵と復号時
   の利用者鍵の一致の判定を可能とする暗号化ロジックで暗号化して一次暗号化データベー
   スユーザ登録情報を生成し、生成した一次暗号化データベースユーザ登録情報を、前記生
   成した管理者鍵を用いて、復号の際に暗号化時の管理者鍵と復号時の管理者鍵の一致の判
   定を可能とする暗号化ロジックで暗号化して二次暗号化データベースユーザ登録情報を生
   成し、生成した二次暗号化データベースユーザ登録情報を暗号結果である暗号化データベ
   ースユーザ登録情報とするデータベースユーザ登録情報暗号化部と、
   （７）暗号結果として生成した暗号化データベースユーザ登録情報を記憶する暗号化デー
   タベースユーザ登録情報記憶部と、
   （８）利用者がデータベース装置を利用する際に、利用者端末から、当該利用者端末から
   データベース装置へのアクセスを開始する要求を、利用者鍵と併せて受信するアクセス開
   始要求受付部と、
   （９）利用者がデータベース装置を利用する際に、管理者端末から管理者鍵を受信する管
   理者鍵受信部と、
   （１０）利用者がデータベース装置を利用する際に、暗号化データベースユーザ登録情報
   記憶部で記憶している暗号化データベースユーザ登録情報を、前記受信した管理者鍵を用
   いて、暗号化時の管理者鍵と復号時の管理者鍵が一致するかの判定を行う復号ロジックに
   より復号して一次復号データベースユーザ登録情報を生成し、生成した一次復号データベ
   ースユーザ登録情報を、前記要求と併せて受信した利用者鍵を用いて、暗号化時の利用者
   鍵と復号時の利用者鍵が一致するかの判定を行う復号ロジックにより復号して二次復号デ
   ータベースユーザ登録情報を生成し、管理者鍵同士及び利用者鍵同士が一致した場合に、
   生成した二次復号データベースユーザ登録情報を復号結果であるデータベースユーザ登録
   情報とするデータベースユーザ登録情報復号部と、
   （１１）利用者がデータベース装置を利用する際に、データベース装置に対して、復号結
   果として得たデータベースユーザ登録情報を含む、新たなユーザ登録を求めるクリエイト
   ユーザ命令を送信するクリエイトユーザ要求部と、
   （１２）利用者がデータベース装置を利用する際に、前記一次復号データベースユーザ登
   録情報を利用者端末に送信する一次復号データベースユーザ登録情報送信部を有し、
   前記利用者端末は、
   （１３）利用者がデータベース装置を利用する際に、管理サーバから、前記一次復号デー
   タベースユーザ登録情報を受信する一次復号データベースユーザ登録情報受信部と、
   （１４）利用者がデータベース装置を利用する際に、利用者鍵を入力する利用者鍵入力部
   と、
   （１５）利用者がデータベース装置を利用する際に、受信した一次復号データベースユー
   ザ登録情報を、入力した利用者鍵を用いて、暗号化時の利用者鍵と復号時の利用者鍵が一
   致するかの判定を行う復号ロジックにより復号して二次復号データベースユーザ登録情報
   を生成し、利用者鍵同士が一致した場合に、生成した二次復号データベースユーザ登録情
   報を復号結果であるデータベースユーザ登録情報とする利用者復号部と、
   （１６）利用者がデータベース装置を利用する際に、データベース装置に対して、復号結
   果として得たデータベースユーザ登録情報を含むログイン命令を送信するデータベースロ
   グイン要求部と、
   （１７）ログインの後に、データベース装置に対して、データの取得あるいはデータの書
   込みのアクセス命令を送信するデータベースアクセス要求部と、
   （１８）アクセスを終了する場合に、データベース装置に対して、ログアウト命令を送信
   するデータベースログアウト要求部を有することを特徴とする管理システム。
2. 管理サーバは、更に、以下の要素を有することを特徴とする請求項１記載の管理システ
   ム
   （１９）利用者がデータベース装置を利用するデータベース利用予定を記憶するデータベ
   ース利用予定記憶部
   （２０）利用者がデータベース装置を利用している際に、当該利用者のデータベース利用
   予定の利用終了予定日時を経過したことを判定するデータベース利用予定終了判定部
   （２１）利用終了予定日時を経過した場合に、データベース装置に対して、当該データベ
   ース利用予定に係るユーザ登録の削除を求めるドロップユーザ命令を送信するドロップユ
   ーザ要求部。
3. 管理サーバは、更に、以下の要素を有することを特徴とする請求項１記載の管理システ
   ム
   （２２）利用者がデータベース装置を利用する事前処理として、利用者端末から、利用者
   がデータベース装置を利用するデータベース利用予定を受信するデータベース利用予定入
   力部
   （２３）受信したデータベース利用予定を記憶するデータベース利用予定記憶部
   （２４）利用者がデータベース装置を利用する事前処理として、データベース利用予定記
   憶部に記憶しているデータベース利用予定に対する承認の依頼を管理者端末に送信し、管
   理者端末から承認結果を受信し、データベース利用予定記憶部に記憶しているデータベー
   ス利用予定を承認されたものと判別できるようにするデータベース利用予定承認依頼部
   （２５）利用者がデータベース装置を利用する際に、承認されたデータベース利用予定内
   であるかを判定するデータベース利用判定部。
   

Images