WO2021152817A1 - データ流通管理装置、データ流通管理方法、およびプログラム - Google Patents

データ流通管理装置、データ流通管理方法、およびプログラム Download PDF

Info

Publication number
WO2021152817A1
WO2021152817A1 PCT/JP2020/003624 JP2020003624W WO2021152817A1 WO 2021152817 A1 WO2021152817 A1 WO 2021152817A1 JP 2020003624 W JP2020003624 W JP 2020003624W WO 2021152817 A1 WO2021152817 A1 WO 2021152817A1
Authority
WO
WIPO (PCT)
Prior art keywords
data
shared
policy
shared data
store
Prior art date
Application number
PCT/JP2020/003624
Other languages
English (en)
French (fr)
Inventor
健治 馬越
啓一郎 柏木
由唯 齋藤
弘樹 神谷
Original Assignee
日本電信電話株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電信電話株式会社 filed Critical 日本電信電話株式会社
Priority to PCT/JP2020/003624 priority Critical patent/WO2021152817A1/ja
Priority to EP20917170.1A priority patent/EP4099203A4/en
Priority to US17/795,904 priority patent/US20230081480A1/en
Priority to JP2021574403A priority patent/JP7315873B2/ja
Publication of WO2021152817A1 publication Critical patent/WO2021152817A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G06F21/6245—Protecting personal data, e.g. for financial or medical purposes
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/10—Protecting distributed programs or content, e.g. vending or licensing of copyrighted material ; Digital rights management [DRM]
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2117—User registration
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2141—Access rights, e.g. capability lists, access control lists, access tables, access matrices

Definitions

  • Processing such as data analysis and visualization is performed by utilizing the information possessed by companies or individuals and the data generated from devices and sensors. Companies are expected to enhance their competitiveness by performing data analysis and service provision using not only their own data but also the information of other companies or users.
  • Data distribution platforms In order to provide services that utilize data, it is convenient to have a data distribution platform that distributes data between companies. Data distribution platforms need a mechanism to handle data in accordance with laws and regulations.
  • the present invention has been made in view of the above, and an object of the present invention is to appropriately manage and distribute data shared between organizations.
  • the data distribution management device of one aspect of the present invention is a data distribution management device that duplicates data stored in a dedicated data store or stores a pointer to data in a shared data store and shares the data, and shares the data.
  • the agreed with the Proposal Management Department which mediates the formation of agreements on data sharing conditions, including conditions that limit data and conditions that limit users who can access the data to be shared, and registers the agreed data sharing conditions in the proposal database.
  • the policy management unit that registers the access control policy used for access control to the shared data in the policy database based on the data sharing conditions, and the shared data stored in the dedicated data store based on the access control policy.
  • the shared data or the shared data stored in the shared data store based on the access control policy in response to an access request for the shared data by accumulating a pointer to the duplicated or the shared data in the shared data store. It has a policy enforcement department that controls access to pointers to shared data.
  • data shared between organizations can be appropriately managed and distributed.
  • FIG. 1 is a diagram showing an overall configuration of a data distribution management system including the data distribution management device of the present embodiment.
  • FIG. 2 is a flowchart showing a flow of consensus building processing for data sharing conditions.
  • FIG. 3 is a flowchart showing a flow of reference processing of shared data.
  • FIG. 4 is a flowchart showing the flow of data storage processing.
  • FIG. 5 is a flowchart showing a flow of storage processing of regulated data.
  • FIG. 6 is a flowchart showing the flow of access processing to the regulated data.
  • FIG. 7 is a diagram showing an example of the hardware configuration of the data distribution management device.
  • the data distribution management system of FIG. 1 includes a data distribution management device 1, a dedicated data store 2, a shared data store 3, and an ID management device 4.
  • the data distribution management device 1 has a function of forming an agreement on data sharing conditions between organizations and a function of managing and distributing data to be shared based on the agreement. The details of the data distribution management device 1 will be described later.
  • the dedicated data store 2 is a data store that is used only by organizations that have shared data and stores data that is not provided to external organizations.
  • the organization having the shared data will be referred to as an organization A
  • the external organization will be referred to as an external organization B.
  • the data stored in the dedicated data store 2 can be accessed only by the users in the organization A.
  • the dedicated data store 2 is separated by a network so that it cannot be accessed from the external organization B, or access control is performed by the data distribution management device 1.
  • the shared data store 3 is a data store that stores data to be shared with the external organization B.
  • the shared data store 3 stores data that is read-only copied from a part of the data (shared data) stored in the dedicated data store 2.
  • data that has undergone predetermined processing such as anonymization or abstraction of the shared data may be stored.
  • the shared data store 3 may store a pointer to the data body instead of storing the data body.
  • the data body stored in the dedicated data store 2 can be accessed via the pointer.
  • the accumulation and duplication (copying) of data in the shared data store 3 includes the accumulation of pointers in the data body, and the deletion of data from the shared data store 3 includes the deletion of pointers.
  • the shared data store 3 is arranged in a place accessible via the data distribution management device 1. There may be a plurality of shared data stores 3. A different shared data store 3 may be arranged for each country or region, or a different shared data store 3 may be provided for each type of data to be stored. Alternatively, a different shared data store 3 may be provided for each external organization B to be shared.
  • the ID management device 4 manages and authenticates ID information that identifies a user, an organization, a group including the user and the organization, clients 5A, 5B, or an application.
  • Client 5A is an example of a terminal used by a user of organization A.
  • the client 5A can refer to the data stored in the dedicated data store 2 and the shared data store 3 and store the data in the dedicated data store 2 and the shared data store 3 via the data distribution management device 1.
  • the client 5A may be able to access the dedicated data store 2 without going through the data distribution management device 1.
  • the client 5A receives the data sharing condition proposed by the user of the external organization B from the data distribution management device 1, and returns an approval or rejection of the data sharing condition.
  • the client 5A may modify the data sharing condition and return to the data distribution management device 1.
  • Client 5B is an example of a terminal used by a user of external organization B.
  • the client 5B transmits the data sharing condition to the data distribution management device 1 and requests data sharing.
  • An agreement on data sharing conditions is formed between organizations via the data distribution management device 1.
  • the data to be shared according to the agreed data sharing conditions is copied from the dedicated data store 2 to the shared data store 3.
  • the client 5B can access the data stored in the shared data store 3 via the data distribution management device 1 based on the data sharing condition.
  • Clients 5A and 5B may be able to use another data store (not shown) that does not go through the data distribution management device 1.
  • the data distribution management device 1 of FIG. 1 includes a proposal management unit 11, a policy management unit 12, a policy enforcement unit 13, a gateway 14, a proposal database (DB) 15, a policy DB 16, and an arrangement information DB 17.
  • DB proposal database
  • the proposal management unit 11 mediates the consensus building of the data sharing conditions between the organizations, and registers the data sharing conditions agreed between the organizations in the proposal DB 15. Specifically, when the proposal management unit 11 receives the data sharing proposal information including the data sharing conditions from the user (client 5B) of the external organization B requesting data sharing, the proposal management unit 11 receives the data sharing proposal information including the data sharing conditions, and the user of the organization A (client 5A) having the approval authority. ) Notify the proposed data sharing conditions. The proposal management unit 11 receives approval or rejection of the data sharing condition from the client 5A, and registers the data sharing condition agreed between the organizations in the proposal DB 15. In addition to the data sharing conditions, the proposer information, the approver information, and the approval time information may be registered in the proposal DB 15.
  • the proposal management unit 11 When the proposal management unit 11 receives the modified data sharing condition from the client 5A, the proposal management unit 11 notifies the client 5B of the modified data sharing condition. When the proposal management unit 11 obtains approval from the client 5B, the proposal management unit 11 registers the modified data sharing condition in the proposal DB 15 as an agreed data sharing condition. In this way, the clients 5A and 5B may form an agreement while modifying the data sharing conditions.
  • the proposal management unit 11 may register the data sharing conditions for which no agreement has been obtained between the organizations in the proposal DB 15. In this case, in addition to the rejected data sharing conditions, the proposer information, the rejected person information, and the rejected time information may be registered in the proposal DB 15.
  • the proposal management department 11 can ensure the traceability of consensus building, and the shared data can be treated as limited provision data that is protected by a certain amount of law. become.
  • the data provider can confirm the data sharing range in terms of personal information management.
  • the data sharing condition includes a condition for limiting the data to be shared and a condition for limiting the users (which may be an organization or a group) who can access the data to be shared.
  • the data sharing condition may include a data usage period or expiration date, a condition that limits the user's location, a data usage purpose, a condition of the data destination area, or a condition that specifies a part of the data schema.
  • the policy management unit 12 generates an access control policy corresponding to the agreed data sharing condition and registers it in the policy DB 16.
  • the access control policy is information that defines the access authority to the data, and is used to control the access to the shared data.
  • an access control policy includes information that limits the target user, organization, or group, conditions that limit the data of interest (data to be shared), and the expiration date of the policy.
  • the access control policy may include two types of information, that is, layered information that limits users (YAML format) and information about other conditions (JSON format).
  • the policy management unit 12 may send a policy identifier for uniquely identifying the registered access control policy to the organizations (clients 5A and 5B) that have agreed on the data sharing conditions.
  • the policy management unit 12 selects the shared data store 3 for accumulating the shared data based on the agreed data sharing conditions, and registers the data allocation information indicating the data store for accumulating the shared data in the allocation information DB 17. do.
  • the policy management unit 12 selects a shared data store 3 located in the country or region for a type of data that has restrictions on the movement of data outside the country or region.
  • the policy management unit 12 may select a shared data store 3 that stores data according to the type of data.
  • the policy enforcement unit 13 transfers the data subject to access control by the access control policy from the dedicated data store 2 to the shared data store 3 at a predetermined timing. make a copy. For copying data from the dedicated data store 2 to the shared data store 3, a copy of the data may be stored in the shared data store 3, or a pointer to the data stored in the dedicated data store 2 may be stored in the shared data store 3. It may be accumulated.
  • the policy enforcement unit 13 refers to the arrangement information DB 17 and specifies the shared data store 3 that stores the shared data. When the policy enforcement unit 13 stores the data in the shared data store 3, the policy enforcement unit 13 may perform a predetermined processing process on the data.
  • the predetermined processing process is, for example, a process of deleting information that identifies an individual, anonymizing the personal information, or abstracting the data when the type of data is personal information.
  • a type of data to be subjected to a predetermined processing process there is data stipulated by law. For example, user profiles, payment information, medical information, or government / government information.
  • the policy enforcement unit 13 determines whether or not the requested data can be accessed based on the access control policy in response to the data reference request from the client 5B. If it is determined that access to the requested data is permitted, the policy enforcement unit 13 acquires the data or a pointer to the data from the shared data store 3 and sends it to the client 5B. If necessary, the policy enforcement unit 13 processes the data acquired from the shared data store 3 and then transmits the data to the client 5B.
  • the policy enforcement unit 13 has data that is the target of access control by the access control policy when the access control policy becomes invalid, such as when the access control policy expires or the access control policy is deleted. Alternatively, the pointer to the data is deleted from the shared data store 3.
  • the policy enforcement unit 13 In response to the data storage request from the client 5A, the policy enforcement unit 13 stores the received data in the dedicated data store 2 based on the access control policy, and when the received data corresponds to the shared data, the data concerned. Is stored in the shared data store 3. If necessary, the policy enforcement unit 13 performs necessary processing on the data and then stores the data in the shared data store 3.
  • the gateway 14 transmits and receives signals to and from clients 5A and 5B, and authenticates clients 5A and 5B. Specifically, when the gateway 14 receives the data sharing proposal information, the data reference request, and the data storage request from the clients 5A and 5B, the gateway 14 authenticates the clients 5A and 5B using the ID management device 4 and distributes the data. The processing according to the request is executed by using the function provided in the management device 1.
  • step S11 the gateway 14 receives the data sharing proposal information including the data sharing condition from the proposer (client 5B) of the external organization B.
  • the received data sharing proposal information is passed to the proposal management unit 11.
  • step S12 the proposal management unit 11 notifies the approver (client 5A) who has the approval authority of the data sharing conditions. If there are multiple approvers who should approve the proposal, the data sharing conditions are notified to all users.
  • step S13 the proposal management unit 11 determines whether or not the data sharing condition has been approved based on the approval result from the client 5A. When approval from a plurality of approvers is required, the proposal management unit 11 determines whether or not all approvers have approved.
  • step S14 the proposal management unit 11 determines whether or not the data sharing condition has been rejected based on the approval result from the client 5A.
  • the proposal management unit 11 registers the rejected data sharing condition in the proposal DB 15 in step S15. At this time, the proposal management unit 11 may register the proposer information, the rejected person information, and the rejected time information in the proposal DB 15.
  • the proposal management unit 11 notifies the proposer of the modified data sharing condition in step S16, and proceeds to the process in step S13.
  • the proposal management unit 11 determines whether or not the modified data sharing conditions have been approved by all members including the proposer.
  • the proposal management unit 11 registers the agreed data sharing conditions in the proposal DB 15 in step S17. At this time, the proposal management unit 11 may register the proposer information, the approver information, and the approval time information in the proposal DB 15.
  • step S18 the policy management unit 12 registers the access control policy corresponding to the agreed data sharing condition in the policy DB 16, and also registers the data allocation information of the data to be shared in the allocation information DB 17.
  • step S19 the policy management unit 12 notifies the proposer and the approver of the identifier of the access control policy registered in the policy DB 16.
  • the data sharing conditions are agreed, and the access control policy corresponding to the data sharing conditions is registered in the policy DB 16.
  • the policy enforcement unit 13 refers to the access control policy registered in the policy DB 16 to specify the data to be shared, and also refers to the data allocation information registered in the allocation information DB 17.
  • the shared data store 3 that stores the data to be shared is specified, and the data to be shared is copied from the dedicated data store 2 to the shared data store 3.
  • the policy enforcement unit 13 may perform a predetermined processing process on the data according to the type of data.
  • the copy of the data to be shared may be performed immediately after the access control policy is registered, or may be performed when a data reference request based on the registered access control policy is received.
  • the data to be shared may be copied at a predetermined timing or according to an instruction from the administrator.
  • the policy enforcement unit 13 deletes the data on the shared data store 3 corresponding to the access control policy.
  • the gateway 14 receives a data reference request from the user (client 5B) of the external organization B.
  • the received data reference request is passed to the policy enforcement unit 13.
  • the data reference request includes a policy identifier and search criteria for identifying the requested data.
  • the data reference request may include information for identifying the user.
  • step S22 the policy enforcement unit 13 determines whether or not the access control policy specified by the policy identifier is valid. For example, the policy enforcement unit 13 determines whether or not the access control policy specified by the policy identifier is registered in the policy DB 16, and whether or not the access control policy is within the expiration date.
  • the policy enforcement unit 13 determines whether or not the user has access authority to the requested data. For example, the policy enforcement unit 13 refers to the access control policy and determines whether or not the user who has sent the data reference request is the target, and whether or not the requested data is the target. Whether or not you have access to the data may be determined based on the user or the group to which the user belongs.
  • the policy enforcement unit 13 If the access control policy is not valid, or if the user does not have access authority to the data, in step S24, the policy enforcement unit 13 returns an error to the client 5B via the gateway 14.
  • the error may include the cause of the error, such as the access control policy not being valid or not having access privileges.
  • the policy enforcement unit 13 acquires the requested data from the shared data store 3. More specifically, the policy enforcement unit 13 refers to the data allocation information registered in the allocation information DB 17, identifies the shared data store 3 in which the requested data is stored, and is requested by the shared data store 3. Get the data.
  • step S26 the policy enforcement unit 13 determines whether or not a predetermined processing process is required for the acquired data.
  • step S27 the policy enforcement unit 13 performs a predetermined processing process on the data.
  • step S28 the policy enforcement unit 13 returns the requested data to the client 5B via the gateway 14. If the data has been processed in step S27, the processed data is returned.
  • the data distribution management device 1 mediates the agreement of the data sharing conditions each time for the data sharing proposal, and when the data sharing conditions are agreed, the data to be shared from the dedicated data store 2 to the shared data store 3 Duplicate and control access to shared data. As a result, temporary granting of access authority to data can be easily realized, which can contribute to the promotion of data distribution.
  • step S31 the gateway 14 receives a data storage request from a user (client 5A) in the organization A.
  • the received data storage request is passed to the policy enforcement unit 13.
  • step S32 the policy enforcement unit 13 determines whether or not the accumulated data corresponds to the shared data.
  • step S33 the policy enforcement unit 13 stores the received data in the dedicated data store 2.
  • step S34 the policy enforcement unit 13 determines whether or not the data requires a predetermined processing process when accumulating the data.
  • step S35 the policy enforcement unit 13 performs a predetermined processing process on the data.
  • step S36 the policy enforcement unit 13 stores the data in the shared data store 3.
  • the processed data is stored in the shared data store 3.
  • Regulated data is the type of data that is regulated by law. Regulated data may have restricted storage locations, restricted data replication, and restricted movement outside the organization or abroad.
  • step S41 the gateway 14 receives a data storage request from a user (client 5A) in the organization A.
  • the received data storage request is passed to the policy enforcement unit 13.
  • step S42 the policy enforcement unit 13 determines whether or not the accumulated data is regulated data.
  • step S43 the policy enforcement unit 13 accumulates the data according to the normal flow shown in FIG.
  • step S44 the policy enforcement unit 13 searches for the shared data store 3 that satisfies the conditions stipulated by the law. For example, when the data to be accumulated is regulated data whose movement to foreign countries is prohibited, the policy enforcement unit 13 searches the shared data store 3 located in Japan.
  • step S45 the policy enforcement unit 13 determines whether or not there is a shared data store 3 that satisfies the conditions.
  • step S46 the policy enforcement unit 13 transmits an error to the client 5A via the gateway 14.
  • step S47 the policy enforcement unit 13 accumulates the data in the shared data store 3 searched in step S44, and also stores the data arrangement information of the shared data store 3 in which the data is accumulated. Register in the arrangement information DB17.
  • Access processing includes, for example, processing such as reference, duplication, or movement. It is assumed that the data reference request requesting access to the regulated data is processed according to the flowchart of FIG. 3, and it is determined that the user who requested the data has the access authority to the regulated data.
  • step S51 the policy enforcement unit 13 determines whether or not the access processing requested for the regulated data is a processing permitted by law. For example, when duplication of regulated data is prohibited, if the access process requires duplication of regulated data, it is determined that the access process is not permitted by law. Alternatively, if it is prohibited to take the regulated data out of the country in the country where the shared data store 3 that stores the regulated data is located, and the user who requested the regulated data is out of the country, the user's Judge that access processing to the required regulated data is not permitted by law. Alternatively, in a country where there is a user who requests access processing to regulated data, if sharing of regulated data is not permitted, it is determined that access processing to regulated data is not permitted by law.
  • step S52 the policy enforcement unit 13 transmits an error to the client 5B via the gateway 14.
  • step S53 the policy enforcement unit 13 determines whether or not the processing specified by the law is required when accessing the regulated data. judge.
  • the policy enforcement unit 13 implements the processing specified by the law in step S54.
  • step S55 the policy enforcement unit 13 executes the requested access processing for the regulated data.
  • the policy enforcement unit 13 implements the requested access processing using a network and a proxy that satisfy the conditions of the law. For example, if the movement of regulated data to foreign countries is prohibited, the requested access processing is carried out using a network that does not go through foreign countries. If the decree cannot be met, the policy enforcement unit 13 sends an error to the client 5B via the gateway 14.
  • the proposal management unit 11 mediates the formation of agreement on the data sharing conditions including the conditions for limiting the data to be shared and the conditions for limiting the users who can access the shared data.
  • the agreed data sharing condition is registered in the proposal DB 15
  • the policy management unit 12 registers the access control policy used for access control to the data to be shared based on the agreed data sharing condition in the policy database
  • the policy enforcement department 13 Replicates the data to be shared based on the access control policy from the dedicated data store 2 to the shared data store 3, and controls the access to the data to be shared based on the access control policy in response to the data reference request.
  • the data distribution management device 1 described above includes, for example, a central processing unit (CPU) 901, a memory 902, a storage 903, a communication device 904, an input device 905, and an output device, as shown in FIG.
  • a general-purpose computer system including 906 can be used.
  • the data distribution management device 1 is realized by the CPU 901 executing a predetermined program loaded on the memory 902. This program can be recorded on a computer-readable recording medium such as a magnetic disk, an optical disk, or a semiconductor memory, or can be distributed via a network.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • Databases & Information Systems (AREA)
  • Multimedia (AREA)
  • Technology Law (AREA)
  • Medical Informatics (AREA)
  • Storage Device Security (AREA)

Abstract

専用データストア２に蓄積されたデータを共有データストア３に複製して共有するデータ流通管理装置１である。データ流通管理装置１は、共有するデータを限定する条件および共有するデータを参照可能なユーザを限定する条件を含むデータ共有条件の合意形成を仲介し、合意したデータ共有条件を提案データベース１５に登録する提案管理部１１と、合意したデータ共有条件に基づいて共有するデータへのアクセス制御に用いるアクセス制御ポリシーをポリシーＤＢ１６に登録するポリシー管理部１２と、アクセス制御ポリシーに基づいて共有するデータを専用データストア２から共有データストア３に複製し、共有するデータに対するデータ参照要求に応じて、アクセス制御ポリシーを基づいて共有するデータに対するアクセス制御を行うポリシー施行部１３を有する。

Description

データ流通管理装置、データ流通管理方法、およびプログラム
　本発明は、データ流通管理装置、データ流通管理方法、およびプログラムに関する。
　企業または個人の持つ情報、ならびに機器およびセンサから生成されたデータを活用し、データ分析・可視化などの処理が行われている。企業は、自社の有するデータだけではなく他社またはユーザの持つ情報を利用したデータ分析やサービス提供を行うことで競争力を高めることが望まれる。
　一方で企業または個人の提供したデータを安全に取り扱うことへの要求が近年高まっている。複数の国および地域においてデータの取り扱いと所有権に関する法律が制定された。例えば、日本では、平成３０年に不正競争防止法における限定提供データの取り扱いに関する改正が行われた。この改正では、一定の条件を満たし共有相手を限定して提供したデータを限定提供データと規定し、その不正取得、使用、および開示が不正競争として位置づけられた。また、欧州および米国では、ＧＤＰＲやＣＣＰＡ等の個人情報保護に関する法律が制定され、提供されたユーザの情報を保護する動きが進んでいる。
内林俊洋、外１０名、「iKaaS―プライバシーに配慮した IoT プラットホーム―」、電子情報通信学会論文誌、Vol. J101-B, No. 1, pp. 3-15 原田要之助、「データガバナンスの規格と活用について-GDPR との関係の整理」、研究報告電子化知的財産・社会基盤、Vol. 2017-EIP-78, No. 11, pp. 1-8
　企業または個人の提供したデータを共有するためには、各国または各地域の法令に準拠する必要がある。例えば、データ提供者がデータ共有範囲を管理したり、データ共有の合意形成の証跡とデータ共有のトレーサビリティが必要であったり、データの配置場所（国内または地域内）を管理したり、あるいは、共有条件を満たさなくなったデータを削除したりする必要がある。
　データを活用したサービスを提供するためには、企業間でデータを流通させるデータ流通プラットフォームがあると便利である。データ流通プラットフォームは、法令に従ってデータを扱うための仕組みが必要である。
　本発明は、上記に鑑みてなされたものであり、組織間で共有するデータを適切に管理および流通することを目的とする。
　本発明の一態様のデータ流通管理装置は、専用データストアに蓄積されたデータの複製またはデータへのポインタを共有データストアに蓄積して前記データを共有するデータ流通管理装置であって、共有するデータを限定する条件および共有するデータにアクセス可能なユーザを限定する条件を含むデータ共有条件の合意形成を仲介し、合意した前記データ共有条件を提案データベースに登録する提案管理部と、合意した前記データ共有条件に基づいて前記共有するデータへのアクセス制御に用いるアクセス制御ポリシーをポリシーデータベースに登録するポリシー管理部と、前記アクセス制御ポリシーに基づいて前記専用データストアに蓄積された前記共有するデータの複製または前記共有するデータへのポインタを前記共有データストアに蓄積し、前記共有するデータに対するアクセス要求に応じて、前記アクセス制御ポリシーに基づいて前記共有データストアに蓄積された前記共有するデータまたは前記共有するデータへのポインタに対するアクセス制御を行うポリシー施行部を有する。
　本発明によれば、組織間で共有するデータを適切に管理および流通することができる。
図１は、本実施形態のデータ流通管理装置を含むデータ流通管理システムの全体構成を示す図である。 図２は、データ共有条件の合意形成処理の流れを示すフローチャートである。 図３は、共有するデータの参照処理の流れを示すフローチャートである。 図４は、データの蓄積処理の流れを示すフローチャートである。 図５は、規制対象データの蓄積処理の流れを示すフローチャートである。 図６は、規制対象データへのアクセス処理の流れを示すフローチャートである。 図７は、データ流通管理装置のハードウェア構成の一例を示す図である。
　以下、本発明の実施の形態について図面を用いて説明する。
　図１を参照し、本実施形態のデータ流通管理装置１を含むデータ流通管理システムについて説明する。図１のデータ流通管理システムは、データ流通管理装置１、専用データストア２、共有データストア３、およびＩＤ管理装置４を備える。
　データ流通管理装置１は、組織間のデータ共有条件の合意を形成する機能および合意に基づいて共有するデータを管理し、流通する機能を有する。データ流通管理装置１の詳細については後述する。
　専用データストア２は、共有するデータを持つ組織のみで使用し、外部組織に提供しないデータを蓄積するデータストアである。以下、共有するデータを持つ組織を組織Ａと称し、外部組織を外部組織Ｂと称する。専用データストア２に蓄積されたデータは、組織Ａ内のユーザのみがアクセス可能である。専用データストア２は、外部組織Ｂからアクセスできないように、ネットワークで分離されたり、データ流通管理装置１によるアクセス制御が行われたりする。
　共有データストア３は、外部組織Ｂに共有するデータを蓄積するデータストアである。共有データストア３は、専用データストア２に蓄積されたデータの一部（共有するデータ）をリードオンリーでコピーされたデータを蓄積する。共有データストア３には、共有するデータに対して匿名化または抽象化などの所定の加工処理を行ったデータを蓄積してもよい。共有データストア３は、データ本体を蓄積する代わりにデータ本体へのポインタを蓄積してもよい。ポインタを介して専用データストア２に蓄積したデータ本体にアクセスできる。以下の説明では、共有データストア３へのデータの蓄積および複製（コピー）はデータ本体へのポインタの蓄積を含み、共有データストア３からのデータの削除はポインタの削除を含むものとする。
　共有データストア３は、データ流通管理装置１を介してアクセス可能な場所に配置する。共有データストア３は、複数存在していてもよい。国または地域ごとに異なる共有データストア３を配置してもよいし、蓄積するデータの種別ごとに異なる共有データストア３を備えてもよい。あるいは、共有先の外部組織Ｂごとに異なる共有データストア３を備えてもよい。
　ＩＤ管理装置４は、ユーザ、組織、ユーザと組織を含むグループ、クライアント５Ａ，５Ｂ、またはアプリケーションを識別するＩＤ情報を管理して認証を行う。
　クライアント５Ａは、組織Ａのユーザが使用する端末の一例である。クライアント５Ａは、データ流通管理装置１を介して、専用データストア２および共有データストア３に蓄積されたデータを参照したり、専用データストア２および共有データストア３にデータを蓄積したりできる。クライアント５Ａは、データ流通管理装置１を介さずに専用データストア２にアクセスできてもよい。
　また、クライアント５Ａは、外部組織Ｂのユーザから提案されたデータ共有条件をデータ流通管理装置１から受信し、このデータ共有条件に対する承認または否決を返信する。クライアント５Ａは、データ共有条件を修正し、データ流通管理装置１へ返信してもよい。
　クライアント５Ｂは、外部組織Ｂのユーザが使用する端末の一例である。クライアント５Ｂは、データ共有条件をデータ流通管理装置１へ送信し、データの共有を要求する。データ流通管理装置１を介して組織間のデータ共有条件の合意が形成される。合意したデータ共有条件に従って共有するデータは、専用データストア２から共有データストア３にコピーされる。クライアント５Ｂは、データ共有条件に基づき、データ流通管理装置１を介して、共有データストア３に蓄積されたデータにアクセスできる。
　クライアント５Ａ，５Ｂは、データ流通管理装置１を介さない別のデータストア（図示せず）を利用できてもよい。
　次に、データ流通管理装置１の構成の一例について説明する。図１のデータ流通管理装置１は、提案管理部１１、ポリシー管理部１２、ポリシー施行部１３、ゲートウェイ１４、提案データベース（ＤＢ）１５、ポリシーＤＢ１６、および配置情報ＤＢ１７を備える。
　提案管理部１１は、組織間のデータ共有条件の合意形成を仲介し、組織間で合意したデータ共有条件を提案ＤＢ１５に登録する。具体的には、提案管理部１１は、データ共有を要求する外部組織Ｂのユーザ（クライアント５Ｂ）からデータ共有条件を含むデータ共有提案情報を受信すると、承認権限を持つ組織Ａのユーザ（クライアント５Ａ）に提案されたデータ共有条件を通知する。提案管理部１１は、クライアント５Ａからデータ共有条件の承認または否決を受け付けて、組織間で合意したデータ共有条件を提案ＤＢ１５に登録する。提案ＤＢ１５には、データ共有条件に加えて、提案者情報、承認者情報、および承認時刻情報を登録してもよい。
　提案管理部１１は、クライアント５Ａから修正されたデータ共有条件を受信した場合、修正されたデータ共有条件をクライアント５Ｂへ通知する。提案管理部１１は、クライアント５Ｂから承認が得られると、修正後のデータ共有条件を合意したデータ共有条件として提案ＤＢ１５に登録する。このように、クライアント５Ａ，５Ｂ間で、データ共有条件を修正しながら合意を形成してもよい。
　提案管理部１１は、組織間で合意が得られなかったデータ共有条件を提案ＤＢ１５に登録してもよい。この場合、提案ＤＢ１５には、否決したデータ共有条件に加えて、提案者情報、否決者情報、および否決時刻情報を登録してもよい。
　提案管理部１１が、組織間で合意したデータ共有条件を提案ＤＢ１５に登録することで、合意形成のトレーサビリティを確保でき、共有するデータを法律で一定の保護を受ける限定提供データとして取り扱うことが可能になる。また、個人情報管理の上でもデータ共有範囲をデータ提供者が確認可能となる。
　データ共有条件は、共有するデータを限定する条件、共有するデータにアクセス可能なユーザ（組織またはグループであってもよい）を限定する条件を含む。データ共有条件は、データ利用期間または有効期限、ユーザの位置を限定する条件、データ利用目的、データの提供先地域の条件、もしくはデータスキーマの一部を指定する条件を含んでもよい。
　ポリシー管理部１２は、合意したデータ共有条件に対応するアクセス制御ポリシーを生成してポリシーＤＢ１６に登録する。アクセス制御ポリシーは、データに対するアクセス権限を定義した情報であり、共有するデータへのアクセス制御に用いられる。例えば、アクセス制御ポリシーは、対象となるユーザ、組織、またはグループを限定する情報と、対象とするデータ（共有するデータ）を限定する条件、およびポリシーの有効期限を含む。アクセス制御ポリシーは、ユーザを限定する階層化された情報（ＹＡＭＬ形式）とそれ以外の条件に関する情報（ＪＳＯＮ形式）の２種類の形式を含んでもよい。ポリシー管理部１２は、登録したアクセス制御ポリシーを一意に識別するためのポリシー識別子をデータ共有条件を合意した組織（クライアント５Ａ，５Ｂ）に送信してもよい。
　また、ポリシー管理部１２は、合意したデータ共有条件に基づいて、共有するデータを蓄積する共有データストア３を選択し、共有するデータを蓄積するデータストアを示すデータ配置情報を配置情報ＤＢ１７に登録する。例えば、ポリシー管理部１２は、国外または地域外へのデータの移動に対して制限がある種別のデータについては、当該国または地域内に配置された共有データストア３を選択する。あるいは、ポリシー管理部１２は、データの種別に応じてデータを蓄積する共有データストア３を選択してもよい。
　ポリシー施行部１３は、データ共有条件に基づくアクセス制御ポリシーがポリシーＤＢ１６に登録された後、所定のタイミングで、当該アクセス制御ポリシーによるアクセス制御対象であるデータを専用データストア２から共有データストア３にコピーする。専用データストア２から共有データストア３へのデータのコピーは、データの複製を共有データストア３に蓄積してもよいし、専用データストア２に蓄積されたデータへのポインタを共有データストア３に蓄積してもよい。このとき、ポリシー施行部１３は、配置情報ＤＢ１７を参照し、共有するデータを蓄積する共有データストア３を特定する。ポリシー施行部１３は、データを共有データストア３に蓄積する際、データに対して所定の加工処理を施してもよい。所定の加工処理とは、例えば、データの種別が個人情報であった場合、個人を特定する情報を削除したり、個人情報を匿名化したり、データを抽象化したりする処理である。所定の加工処理を施すデータの種別としては、法令により定められたデータがある。例えば、ユーザのプロファイル、支払い情報、医療情報、または政府・公官庁の情報などである。
　ポリシー施行部１３は、クライアント５Ｂからのデータ参照要求に応じて、アクセス制御ポリシーに基づき、要求されたデータに対するアクセスの可否を判定する。要求されたデータへのアクセスは許可されていると判定した場合、ポリシー施行部１３は、共有データストア３からデータまたはデータへのポインタを取得してクライアント５Ｂへ送信する。ポリシー施行部１３は、必要であれば、共有データストア３から取得したデータに対して加工処理を施した後、クライアント５Ｂへ送信する。
　ポリシー施行部１３は、アクセス制御ポリシーの有効期限が切れたとき、またはアクセス制御ポリシーが削除されたときなど、アクセス制御ポリシーが無効になったときに、当該アクセス制御ポリシーによるアクセス制御対象であるデータまたはデータへのポインタを共有データストア３から削除する。
　ポリシー施行部１３は、クライアント５Ａからのデータ蓄積要求に応じて、アクセス制御ポリシーに基づき、受信したデータを専用データストア２に蓄積するとともに、受信したデータが共有するデータに該当するときは当該データを共有データストア３に蓄積する。ポリシー施行部１３は、必要であれば、データに対して必要な加工処理を施した後、共有データストア３に蓄積する。
　ゲートウェイ１４は、クライアント５Ａ，５Ｂとの間で信号の送受信、およびクライアント５Ａ，５Ｂの認証を行う。具体的には、ゲートウェイ１４は、クライアント５Ａ，５Ｂから、データ共有提案情報、データ参照要求、およびデータ蓄積要求を受信すると、ＩＤ管理装置４を利用してクライアント５Ａ，５Ｂを認証し、データ流通管理装置１の備える機能を利用して要求に応じた処理を実行する。
　次に、データ流通管理装置１の動作について説明する。
　まず、図２を参照し、データ共有条件の合意形成処理について説明する。
　ステップＳ１１にて、ゲートウェイ１４は、外部組織Ｂの提案者（クライアント５Ｂ）からデータ共有条件を含むデータ共有提案情報を受信する。受信したデータ共有提案情報は提案管理部１１に渡される。
　ステップＳ１２にて、提案管理部１１は、承認権限を持つ承認者（クライアント５Ａ）にデータ共有条件を通知する。なお、提案の承認を行うべき承認者が複数存在する場合、全てのユーザに対してデータ共有条件を通知する。
　ステップＳ１３にて、提案管理部１１は、クライアント５Ａからの承認結果に基づき、データ共有条件が承認されたか否かを判定する。複数の承認者からの承認が必要な場合、提案管理部１１は全ての承認者が承認したか否かを判定する。
　ステップＳ１４にて、提案管理部１１は、クライアント５Ａからの承認結果に基づき、データ共有条件が否決されたか否かを判定する。
　データ共有条件が否決された場合、ステップＳ１５にて、提案管理部１１は、否決されたデータ共有条件を提案ＤＢ１５に登録する。このとき、提案管理部１１は、提案者情報、否決者情報、および否決時刻情報を提案ＤＢ１５に登録してもよい。
　承認も否決もされずに、データ共有条件が修正された場合、ステップＳ１６にて、提案管理部１１は、修正されたデータ共有条件を提案者へ通知し、処理をステップＳ１３へ進める。ステップＳ１３では、提案管理部１１は、提案者も含めた全員から修正後のデータ共有条件が承認されたか否かを判定する。
　データ共有条件の合意が形成された場合、ステップＳ１７にて、提案管理部１１は、合意されたデータ共有条件を提案ＤＢ１５に登録する。このとき、提案管理部１１は、提案者情報、承認者情報、および承認時刻情報を提案ＤＢ１５に登録してもよい。
　ステップＳ１８にて、ポリシー管理部１２は、合意したデータ共有条件に対応するアクセス制御ポリシーをポリシーＤＢ１６に登録するとともに、共有するデータのデータ配置情報を配置情報ＤＢ１７に登録する。
　ステップＳ１９にて、ポリシー管理部１２は、ポリシーＤＢ１６に登録したアクセス制御ポリシーの識別子を提案者および承認者に通知する。
　以上の処理により、データ共有条件が合意され、データ共有条件に対応するアクセス制御ポリシーがポリシーＤＢ１６に登録される。
　アクセス制御ポリシーが登録された後、ポリシー施行部１３は、ポリシーＤＢ１６に登録されたアクセス制御ポリシーを参照して共有するデータを特定するとともに、配置情報ＤＢ１７に登録されたデータ配置情報を参照して共有するデータを蓄積する共有データストア３を特定し、共有するデータを専用データストア２から共有データストア３へコピーする。共有データストア３にデータを蓄積する際、ポリシー施行部１３は、データの種別に応じて、データに所定の加工処理を施してもよい。共有するデータのコピーは、アクセス制御ポリシーの登録後すぐに行われてもよいし、登録されたアクセス制御ポリシーに基づくデータ参照要求を受信したときに行われてもよい。所定のタイミングまたは管理者からの指示に応じて共有するデータのコピーが行われてもよい。
　ポリシー施行部１３は、アクセス制御ポリシーの有効期限が切れたり、アクセス制御ポリシーが無効になったりした場合、アクセス制御ポリシーに対応する共有データストア３上のデータを削除する。
　続いて、図３を参照し、共有するデータの参照処理について説明する。
　ステップＳ２１にて、ゲートウェイ１４は、外部組織Ｂのユーザ（クライアント５Ｂ）からデータ参照要求を受信する。受信したデータ参照要求はポリシー施行部１３に渡される。データ参照要求は、ポリシー識別子と要求するデータを特定するための検索条件を含む。データ参照要求は、ユーザを特定するための情報を含んでもよい。
　ステップＳ２２にて、ポリシー施行部１３は、ポリシー識別子で特定されるアクセス制御ポリシーは有効であるか否か判定する。例えば、ポリシー施行部１３は、ポリシー識別子で特定されるアクセス制御ポリシーがポリシーＤＢ１６に登録されているか否か、アクセス制御ポリシーは有効期限内であるか否かを判定する。
　アクセス制御ポリシーが有効な場合、ステップＳ２３にて、ポリシー施行部１３は、要求されたデータへのアクセス権限があるか否かを判定する。例えば、ポリシー施行部１３は、アクセス制御ポリシーを参照し、データ参照要求を送信したユーザを対象としているか否か、要求されたデータは対象であるか否かを判定する。データへのアクセス権限があるか否かは、ユーザまたはユーザの属するグループに基づいて判定してもよい。
　アクセス制御ポリシーが有効でない場合、またはユーザがデータへのアクセス権限を有しない場合、ステップＳ２４にて、ポリシー施行部１３は、ゲートウェイ１４を介して、クライアント５Ｂへエラーを返却する。エラーには、アクセス制御ポリシーが有効でないこと、またはアクセス権限を有しないことなどのエラーの原因を含めてもよい。
　ユーザがデータへのアクセス権限を有する場合、ステップＳ２５にて、ポリシー施行部１３は、要求されたデータを共有データストア３から取得する。より具体的には、ポリシー施行部１３は、配置情報ＤＢ１７に登録されたデータ配置情報を参照し、要求されたデータが蓄積された共有データストア３を特定して、共有データストア３から要求されたデータを取得する。
　ステップＳ２６にて、ポリシー施行部１３は、取得したデータに対して所定の加工処理が必要であるか否かを判定する。
　データに対して処理が必要な場合、ステップＳ２７にて、ポリシー施行部１３は、データに対して所定の加工処理を施す。
　ステップＳ２８にて、ポリシー施行部１３は、ゲートウェイ１４を介して、要求されたデータをクライアント５Ｂへ返却する。ステップＳ２７にてデータに対して加工処理が施された場合は、加工処理が施されたデータを返却する。
　データ流通管理装置１は、データ共有の提案に対して、その都度、データ共有条件の合意を仲介し、データ共有条件が合意されると、専用データストア２から共有データストア３へ共有するデータの複製を行い、共有するデータへのアクセス制御を行う。これにより、一時的な、データへのアクセス権限の付与を容易に実現でき、データ流通の促進に寄与できる。
　続いて、図４を参照し、データの蓄積処理について説明する。
　ステップＳ３１にて、ゲートウェイ１４は、組織Ａ内のユーザ（クライアント５Ａ）からデータ蓄積要求を受信する。受信したデータ蓄積要求はポリシー施行部１３に渡される。
　ステップＳ３２にて、ポリシー施行部１３は、蓄積するデータは共有するデータに該当するか否か判定する。
　共有するデータに該当しない場合、ステップＳ３３にて、ポリシー施行部１３は、受信したデータを専用データストア２に蓄積する。
　共有するデータに該当する場合、ステップＳ３４にて、ポリシー施行部１３は、データを蓄積する際に所定の加工処理が必要なデータであるか否かを判定する。
　データに対して処理が必要な場合、ステップＳ３５にて、ポリシー施行部１３は、データに対して所定の加工処理を施す。
　ステップＳ３６にて、ポリシー施行部１３は、データを共有データストア３に蓄積する。ステップＳ３５にてデータに対して加工処理が施された場合は、加工処理が施されたデータを共有データストア３に蓄積する。
　続いて、図５を参照し、規制対象データの蓄積処理について説明する。規制対象データとは、法令により規制対象となる種別のデータである。規制対象データは、蓄積場所が制限されたり、データの複製が制限されたり、組織外または国外への移動が制限されたりする。
　ステップＳ４１にて、ゲートウェイ１４は、組織Ａ内のユーザ（クライアント５Ａ）からデータ蓄積要求を受信する。受信したデータ蓄積要求はポリシー施行部１３に渡される。
　ステップＳ４２にて、ポリシー施行部１３は、蓄積するデータは規制対象データであるか否かを判定する。
　規制対象データでない場合、ステップＳ４３にて、ポリシー施行部１３は、図４で示した通常のフローに従ってデータを蓄積する。
　規制対象データである場合、ステップＳ４４にて、ポリシー施行部１３は、法令で規定された条件を満たす共有データストア３を検索する。例えば、蓄積するデータが国外への移動が禁止された規制対象データである場合、ポリシー施行部１３は、国内に配置された共有データストア３を検索する。
　ステップＳ４５にて、ポリシー施行部１３は、条件を満たす共有データストア３が存在するか否かを判定する。
　条件を満たすデータストアが存在しない場合、ステップＳ４６にて、ポリシー施行部１３は、ゲートウェイ１４を介して、クライアント５Ａにエラーを送信する。
　条件を満たすデータストアが存在する場合、ステップＳ４７にて、ポリシー施行部１３は、ステップＳ４４で検索した共有データストア３にデータを蓄積するとともに、データを蓄積した共有データストア３のデータ配置情報を配置情報ＤＢ１７に登録する。
　続いて、図６を参照し、規制対象データへのアクセス処理について説明する。アクセス処理には、例えば、参照、複製、または移動などの処理がある。規制対象データへのアクセスを要求するデータ参照要求は、図３のフローチャートに従って処理されて、データを要求したユーザは規制対象データへのアクセス権限を有すると判定されたものとする。
　ステップＳ５１にて、ポリシー施行部１３は、規制対象データに対して要求されたアクセス処理は、法令で認められた処理であるか否かを判定する。例えば、規制対象データの複製が禁止されている場合、アクセス処理が規制対象データの複製を要求するものであれば、そのアクセス処理は法令で認められていないと判定する。あるいは、規制対象データを蓄積する共有データストア３の配置された国では規制対象データを国外に持ち出すことが禁止されている場合、規制対象データを要求したユーザが国外にいるときは、そのユーザの要求する規制対象データへのアクセス処理は法令で認められていないと判定する。あるいは、規制対象データへのアクセス処理を要求するユーザのいる国では、規制対象データを共有することが認められていない場合、規制対象データへのアクセス処理は法令で認められていないと判定する。
　規制対象データに対する所望のアクセス処理が認められない場合、ステップＳ５２にて、ポリシー施行部１３は、ゲートウェイ１４を介して、クライアント５Ｂにエラーを送信する。
　規制対象データに対する所望のアクセス処理が認められる場合、ステップＳ５３にて、ポリシー施行部１３は、規制対象データに対してアクセス処理する際に、法令で規定された処理が必要であるか否かを判定する。
　法令で規定された処理が必要である場合、ステップＳ５４にて、ポリシー施行部１３は、法令で規定された処理を実施する。
　ステップＳ５５にて、ポリシー施行部１３は、規制対象データに対して要求されたアクセス処理を実施する。このとき、ポリシー施行部１３は、法令の条件を満たすネットワークおよびプロキシを利用して要求されたアクセス処理を実施する。例えば、規制対象データの国外への移動が禁止されている場合、国外を経由しないネットワークを利用して要求されたアクセス処理を実施する。法令の条件を満たすことができない場合、ポリシー施行部１３は、ゲートウェイ１４を介して、クライアント５Ｂにエラーを送信する。
　以上説明したように、本実施形態によれば、提案管理部１１が、共有するデータを限定する条件および共有するデータにアクセス可能なユーザを限定する条件を含むデータ共有条件の合意形成を仲介し、合意したデータ共有条件を提案ＤＢ１５に登録し、ポリシー管理部１２が、合意したデータ共有条件に基づいて共有するデータへのアクセス制御に用いるアクセス制御ポリシーをポリシーデータベースに登録し、ポリシー施行部１３が、アクセス制御ポリシーに基づいて共有するデータを専用データストア２から共有データストア３に複製し、データ参照要求に応じて、アクセス制御ポリシーに基づいて共有するデータに対するアクセス制御を行う。これにより、合意形成の証跡およびデータ共有に対するトレーサビリティが確保でき、組織間で共有するデータを適切に管理および流通することができる。
　本実施形態によれば、複数の共有データストア３を備えて、共有するデータの蓄積場所を分散させることで、データの蓄積場所の制限またはデータの移動制限など法令に従ってデータを管理することが可能となる。
　上記説明したデータ流通管理装置１には、例えば、図７に示すような、中央演算処理装置（ＣＰＵ）９０１と、メモリ９０２と、ストレージ９０３と、通信装置９０４と、入力装置９０５と、出力装置９０６とを備える汎用的なコンピュータシステムを用いることができる。このコンピュータシステムにおいて、ＣＰＵ９０１がメモリ９０２上にロードされた所定のプログラムを実行することにより、データ流通管理装置１が実現される。このプログラムは磁気ディスク、光ディスク、半導体メモリ等のコンピュータ読み取り可能な記録媒体に記録することも、ネットワークを介して配信することもできる。
　１…データ流通管理装置
　１１…提案管理部
　１２…ポリシー管理部
　１３…ポリシー施行部
　１４…ゲートウェイ
　１５…提案ＤＢ
　１６…ポリシーＤＢ
　１７…配置情報ＤＢ
　２…専用データストア
　３…共有データストア
　４…ＩＤ管理装置
　５Ａ，５Ｂ…クライアント

Claims (8)

  1. 　専用データストアに蓄積されたデータの複製またはデータへのポインタを共有データストアに蓄積して前記データを共有するデータ流通管理装置であって、
    　共有するデータを限定する条件および共有するデータにアクセス可能なユーザを限定する条件を含むデータ共有条件の合意形成を仲介し、合意した前記データ共有条件を提案データベースに登録する提案管理部と、
    　合意した前記データ共有条件に基づいて前記共有するデータへのアクセス制御に用いるアクセス制御ポリシーをポリシーデータベースに登録するポリシー管理部と、
    　前記アクセス制御ポリシーに基づいて前記専用データストアに蓄積された前記共有するデータの複製または前記共有するデータへのポインタを前記共有データストアに蓄積し、
    　前記共有するデータに対するアクセス要求に応じて、前記アクセス制御ポリシーに基づいて前記共有データストアに蓄積された前記共有するデータまたは前記共有するデータへのポインタに対するアクセス制御を行うポリシー施行部を有する
    　データ流通管理装置。
  2. 　請求項１に記載のデータ流通管理装置であって、
    　前記ポリシー施行部は、前記アクセス制御ポリシーが無効になったときに、前記共有するデータまたは前記共有するデータへのポインタを前記共有データストアから削除する
    　データ流通管理装置。
  3. 　請求項１または２に記載のデータ流通管理装置であって、
    　前記ポリシー施行部は、データの蓄積要求に応じて、蓄積するデータが前記共有するデータに該当するかどうかを判定し、前記共有するデータに該当する場合は前記蓄積するデータを前記専用データストアに蓄積するとともに、前記蓄積するデータの複製または前記蓄積するデータへのポインタを前記共有データストアに蓄積し、前記共有するデータに該当しない場合は前記蓄積するデータを前記専用データストアに蓄積する
    　データ流通管理装置。
  4. 　請求項３に記載のデータ流通管理装置であって、
    　前記アクセス制御ポリシーに前記共有するデータに対する加工処理が定められているとき、前記ポリシー施行部は、前記共有するデータの送信時または蓄積時に前記共有するデータに対して加工処理を行う
    　データ流通管理装置。
  5. 　請求項１ないし４のいずれかに記載のデータ流通管理装置であって、
    　複数の共有データストアを利用してデータを共有し、
    　前記ポリシー施行部は、前記共有するデータの種別に基づいて、前記共有するデータを蓄積する共有データストアを選択し、当該共有データストアを示すデータ配置情報を配置情報データベースに登録し、
    　前記ポリシー施行部は、前記アクセス制御ポリシーおよび前記データ配置情報を参照して前記共有するデータまたは前記共有するデータへのポインタに対するアクセス制御を行う
    　データ流通管理装置。
  6. 　請求項５に記載のデータ流通管理装置であって、
    　前記ポリシー施行部は、前記共有するデータの種別が法令により制限を受ける種別である場合、法令により規定された条件を満たす共有データストアを選択する
    　データ流通管理装置。
  7. 　専用データストアに蓄積されたデータの複製またはデータへのポインタを共有データストアに蓄積して前記データを共有するデータ流通管理方法であって、
    　コンピュータが、
    　共有するデータを限定する条件および共有するデータにアクセス可能なユーザを限定する条件を含むデータ共有条件の合意形成を仲介し、合意した前記データ共有条件を提案データベースに登録し、
    　合意した前記データ共有条件に基づいて前記共有するデータへのアクセス制御に用いるアクセス制御ポリシーをポリシーデータベースに登録し、
    　前記アクセス制御ポリシーに基づいて前記専用データストアに蓄積された前記共有するデータの複製または前記データへのポインタを前記共有データストアに蓄積し、
    　前記共有するデータに対するアクセス要求に応じて、前記アクセス制御ポリシーを基づいて前記共有データストアに蓄積された前記共有するデータまたは前記共有するデータへのポインタに対するアクセス制御を行う
    　データ流通管理方法。
  8. 　請求項１ないし６のいずれかに記載のデータ流通管理装置の各部としてコンピュータを動作させるプログラム。
PCT/JP2020/003624 2020-01-31 2020-01-31 データ流通管理装置、データ流通管理方法、およびプログラム WO2021152817A1 (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
PCT/JP2020/003624 WO2021152817A1 (ja) 2020-01-31 2020-01-31 データ流通管理装置、データ流通管理方法、およびプログラム
EP20917170.1A EP4099203A4 (en) 2020-01-31 2020-01-31 DATA DISTRIBUTION MANAGEMENT DEVICE, DATA DISTRIBUTION MANAGEMENT METHOD, AND PROGRAM
US17/795,904 US20230081480A1 (en) 2020-01-31 2020-01-31 Data distribution management apparatus, data distribution management method, and program
JP2021574403A JP7315873B2 (ja) 2020-01-31 2020-01-31 データ流通管理装置、データ流通管理方法、およびプログラム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2020/003624 WO2021152817A1 (ja) 2020-01-31 2020-01-31 データ流通管理装置、データ流通管理方法、およびプログラム

Publications (1)

Publication Number Publication Date
WO2021152817A1 true WO2021152817A1 (ja) 2021-08-05

Family

ID=77078798

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2020/003624 WO2021152817A1 (ja) 2020-01-31 2020-01-31 データ流通管理装置、データ流通管理方法、およびプログラム

Country Status (4)

Country Link
US (1) US20230081480A1 (ja)
EP (1) EP4099203A4 (ja)
JP (1) JP7315873B2 (ja)
WO (1) WO2021152817A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7295492B1 (ja) * 2022-11-17 2023-06-21 日本電信電話株式会社 連携提供装置、データ流通提供装置、および連携提供方法

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2012118205A1 (ja) * 2011-03-03 2012-09-07 日本電気株式会社 ポリシ調停方法、調停サーバおよびプログラム
WO2017154620A1 (ja) * 2016-03-08 2017-09-14 大日本印刷株式会社 個人情報提供システム及びプログラム

Family Cites Families (20)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8135413B2 (en) * 1998-11-24 2012-03-13 Tracbeam Llc Platform and applications for wireless location and other complex services
US6578076B1 (en) * 1999-10-18 2003-06-10 Intel Corporation Policy-based network management system using dynamic policy generation
US10684350B2 (en) * 2000-06-02 2020-06-16 Tracbeam Llc Services and applications for a communications network
US7827416B2 (en) * 2004-08-26 2010-11-02 Mitsubishi Denki Kabushiki Kaisha Key management apparatus, document security and editing system, and key management method
EP2521066A1 (en) * 2011-05-05 2012-11-07 Axiomatics AB Fine-grained relational database access-control policy enforcement using reverse queries
US20150234884A1 (en) * 2012-11-08 2015-08-20 Sparkledb As System and Method Involving Resource Description Framework Distributed Database Management System and/or Related Aspects
US10496948B1 (en) * 2015-12-18 2019-12-03 Xactly Corporation Computer trend visualization using quadratic simplified closed form linear regression
US20170243179A1 (en) * 2016-02-24 2017-08-24 David Dehaeck System and method to monetize digital artwork
US10713376B2 (en) * 2016-04-14 2020-07-14 Salesforce.Com, Inc. Fine grain security for analytic data sets
US10614248B2 (en) * 2017-01-31 2020-04-07 Ca, Inc. Privacy preserving cross-organizational data sharing with anonymization filters
CN108667867B (zh) * 2017-03-29 2021-05-18 华为技术有限公司 数据存储方法及装置
US10146925B1 (en) * 2017-05-19 2018-12-04 Knowledge Initiatives LLC Multi-person authentication and validation controls for image sharing
US10938950B2 (en) * 2017-11-14 2021-03-02 General Electric Company Hierarchical data exchange management system
US11290265B2 (en) * 2017-12-05 2022-03-29 Nec Corporation Server device, secret equality determination system, secret equality determination method and secret equality determination program recording medium
US10642803B2 (en) * 2018-01-31 2020-05-05 Salesforce.Com, Inc. Adding a partition to an existing table stored on a distributed file system
JP7070093B2 (ja) * 2018-05-25 2022-05-18 日本電信電話株式会社 クラスタリング装置、クラスタリング方法及びプログラム
US10867063B1 (en) * 2019-11-27 2020-12-15 Snowflake Inc. Dynamic shared data object masking
US11921869B1 (en) * 2019-12-06 2024-03-05 Seeq Corporation Authorization methods and systems for accessing multiple data sources
US11641392B2 (en) * 2020-06-04 2023-05-02 Nec Corporation Methods and systems for de-centralized data sharing with enforced data usage control for cross-party data analytics
CN111835500B (zh) * 2020-07-08 2022-07-26 浙江工商大学 基于同态加密与区块链的可搜索加密数据安全共享方法

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2012118205A1 (ja) * 2011-03-03 2012-09-07 日本電気株式会社 ポリシ調停方法、調停サーバおよびプログラム
WO2017154620A1 (ja) * 2016-03-08 2017-09-14 大日本印刷株式会社 個人情報提供システム及びプログラム

Non-Patent Citations (3)

* Cited by examiner, † Cited by third party
Title
HARADA, Y.: "Deta gabanansu no kikaku to katsuyo ni tsuite-GDPR tono kankei no seiri", KENKYU HOKOKU DENSHIKA CHITEKI ZAISAN SHAKAI KIBAN, vol. 2017-EIP-78, no. 11, pages 1 - 8
See also references of EP4099203A4
UCHIBAYASHI, T: "iKaaS-puraibashi ni hairyoshita IoT purattohomu", DENSHI JOHO TSUSHIN GAKKAI ROMBUNSHI, vol. J101-B, no. 1, pages 3 - 15

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7295492B1 (ja) * 2022-11-17 2023-06-21 日本電信電話株式会社 連携提供装置、データ流通提供装置、および連携提供方法
WO2024105860A1 (ja) * 2022-11-17 2024-05-23 日本電信電話株式会社 連携提供装置、データ流通提供装置、および連携提供方法

Also Published As

Publication number Publication date
EP4099203A1 (en) 2022-12-07
EP4099203A4 (en) 2023-10-04
US20230081480A1 (en) 2023-03-16
JP7315873B2 (ja) 2023-07-27
JPWO2021152817A1 (ja) 2021-08-05

Similar Documents

Publication Publication Date Title
US10936732B2 (en) System and method for registering multi-party consent
US11126743B2 (en) Sensitive data service access
JP3497342B2 (ja) クライアント・サーバシステム、サーバ、クライアント処理方法及びサーバ処理方法
US20020184535A1 (en) Method and system for accessing a resource in a computing system
US20040039594A1 (en) Systems and methods for dynamically generating licenses in a rights management system
CN110222518A (zh) 基于区块链的可信权能访问控制方法
US20100211490A1 (en) Search mediation system
WO2004063960A1 (en) Systems and methods for dynamic policy management
WO2020156135A1 (zh) 一种访问控制策略的处理方法、装置及计算机可读存储介质
RU2355117C2 (ru) Управление цифровыми правами
CN109886675A (zh) 基于区块链的资源访问令牌的分发和资源使用监控方法
JP2004094958A (ja) データ管理システム、データベースアクセス方法及びセキュリティ機構
US20090158047A1 (en) High performance secure caching in the mid-tier
WO2021152817A1 (ja) データ流通管理装置、データ流通管理方法、およびプログラム
EP3479274B1 (en) Sensitive data service storage
EP4214899B1 (en) Scenario-based access control
Fatema et al. A multi-privacy policy enforcement system
KR20130029190A (ko) 사용자 자원 접근 제어 시스템 및 방법
CN116800541A (zh) 一种航班运行数据分类分级访问控制及访问方法
WO2020122095A1 (ja) 制御方法、サーバ、プログラム、および、データ構造
JP2007011844A (ja) ファイル共有システム、ファイル共有方法ならびにファイル共有プログラム
JP6995667B2 (ja) 情報管理システム、情報管理方法及び情報管理装置
KR20050083942A (ko) 정보이용에 대한 허가를 관리하기 위한 시스템 및 방법
JP7119797B2 (ja) 情報処理装置及び情報処理プログラム
JPH11282805A (ja) 資源アクセス制御方法及びシステム及び資源アクセス制御プログラムを格納した記憶媒体

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 20917170

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2021574403

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 2020917170

Country of ref document: EP

Effective date: 20220831