JP4253167B2

JP4253167B2 - 個人情報アクセス制御方法、端末、システム、並びに、プログラム

Info

Publication number: JP4253167B2
Application number: JP2002190688A
Authority: JP
Inventors: 智則田中; 知之杉山; 健一森田; 智子畑
Original assignee: NTT Communications Corp
Current assignee: NTT Communications Corp
Priority date: 2002-06-28
Filing date: 2002-06-28
Publication date: 2009-04-08
Anticipated expiration: 2022-06-28
Also published as: JP2004038270A

Description

【０００１】
【発明の属する技術分野】
本発明は、情報アクセス制御技術に係り、特に、公開鍵基盤（ＰＫＩ）を利用して個人情報へのアクセスを制御する方法、端末、システム、及び、プログラムに関する。
【０００２】
【従来の技術】
コンピュータ技術、通信技術、並びに、ネットワーク技術の進展に伴って、多様な情報が多数の利用者からアクセスできるようになっている。たとえば、ある個人が開設したホームページは、インターネットのようなネットワークを介して、何時でも、どこからでもアクセスできるようになる。
【０００３】
しかし、ある種の情報、特に、利用者の個人情報は、アクセス制御できることが望ましいと考えられる。このような個人情報の一例は、個人の医療情報である。
【０００４】
医療現場では、従来の書類形式のカルテに付加的、或いは、代替的に電子カルテが導入され、普及し始めている。このような電子カルテの普及によって、電子的な医療情報を活用することが期待されている。医療行為における診療情報は、特に、勝手に他人に知られたくない個人情報であるので、医者と患者の同意の下、高いセキュリティを保ってデータの保存・アクセス・共有がなされるべきである。
【０００５】
電子的な情報のセキュリティを保つためには、ユーザの本人認証が不可欠であり、従来技術においては、本人証明情報が記憶され、ユーザが携行するＩＣカード或いはＦＤのような記憶媒体の挿抜や、ユーザによる識別情報（ＩＤ）／パスワード（ＰＷ）の入力が、個人情報へのアクセスを必要とする場面毎に、本人認証のために行われている。具体的には、たとえば、ＩＣカードと、認証サーバとの間で、チャレンジ・レスポンス方式の認証が行われる。このように毎回認証を行うことによって、高いセキュリティが保証されるが、認証の都度、ユーザは、ＩＣカードの挿抜等の煩雑な作業を負担し、ユーザの操作上の利便性が犠牲にされている。患者が受診時にＩＣカードの挿抜を何度も繰り返すことは、煩雑であり現実的でない。
【０００６】
また、近年では、２枚の非接触型ＩＣカードをカードボックスに差し込み、２枚の非接触型ＩＣカードの間で電子的な情報を共有するような方式も開発されている。このような方式では、診療現場で、患者の非接触型ＩＣカードと医者の非接触型ＩＣカードを用いることにより、医者と患者の同意の下、高いセキュリティを保ってデータの保存・アクセス・共有がなされ得る。
【０００７】
【発明が解決しようとする課題】
しかし、従来技術において、高いセキュリティを保ったまま、本人以外の他者による本人の個人情報へのアクセスを実現するためには、まず、他者が本人の個人情報へアクセスしようとするときに、本人を認証し、本人性が確認された本人が他者による個人情報へのアクセスを承認しなければならない。他者が個人情報へアクセスするとき、毎回、このような本人認証及び本人による承認の手続を繰り返すことは、本人と他者の双方にとって煩雑な作業であり、少ない認証操作回数で、高セキュリティを保証して安全な認証・データ保存・アクセス・情報共有を実現することが困難である。
【０００８】
したがって、本発明は、たとえば、患者がＩＣカード等の本人証明情報の担体を用いて、病院窓口で各種手続を行い、或いは、診察室で受診した際に、最小限の認証操作で、高セキュリティ性を保証したまま、個人情報の保存・アクセス・共有を実現する、個人情報アクセス制御方法、端末、システム、並びに、プログラムの提供を目的とする。
【０００９】
【課題を解決するための手段】
上記目的を達成するため、本発明は、ユーザ本人の本人性を保証する本人認証情報とユーザ本人の個人情報への他者のアクセスを承諾する本人承諾情報を表わす承認情報を生成し、承認情報を高セキュリティの下で一定期間保持する。そして、他者からユーザ本人の個人情報へのアクセスが要求された場合に、承認情報の有効期間内に、承認情報によって指定された端末からのユーザ本人の個人情報へのアクセスを許可する。
【００１０】
図１は本発明の原理説明図である。
【００１１】
本発明の第１の局面によれば、承認情報を生成・保持することにより個人情報へのアクセスを制御する個人情報アクセス制御方法が提供される。
【００１２】
請求項１に係る個人情報アクセス制御方法は、
端末でユーザの本人証明情報を取り込み、本人証明情報と予め認証データベースに蓄積されている本人認証用情報とを用いてユーザの本人性を確認する本人認証手順（ステップ１）と、
ユーザの本人性が確認された場合に、上記端末で、ユーザを特定するユーザ識別情報、データベース内のユーザの個人情報へのアクセスが許可される端末を特定する端末識別情報、及び、ユーザの個人情報へのアクセス有効期限情報を含む公開承認情報を生成し、生成された公開承認情報をデータベースに格納するアクセス制限情報設定手順（ステップ２）と、
上記端末で、生成された公開承認情報をユーザに固有の秘密鍵で暗号化することによって暗号化承認情報を生成し、生成された暗号化承認情報、ユーザに固有の上記秘密鍵に対応した公開鍵、及び、ユーザ識別情報の組をデータベースに格納する本人確認情報設定手順（ステップ３）と、
を有し、
公開承認情報がユーザによって設定されたことが確認された場合に、公開情報のアクセス有効期限情報で指定された有効期限内で、公開承認情報の端末識別情報で指定された端末からユーザの個人情報へのアクセスが許可される。
【００１３】
本発明の第２の局面によれば、生成・保持された承認情報に基づいて個人情報へのアクセスを制御する個人情報アクセス制御方法が提供される。
【００１４】
請求項２に係る発明は、上記個人情報アクセス制御方法において、
ユーザの個人情報へのアクセスを要求する端末でユーザ識別情報を取り込むアクセス要求手順（ステップ４）と、
上記ユーザの個人情報へのアクセスを要求する端末で、上記取り込まれたユーザ識別情報に対応した公開承認情報、暗号化承認情報、及び、公開鍵を上記データベースから取得する手順（ステップ５）と、
上記ユーザの個人情報へのアクセスを要求する端末で、取得された暗号化承認情報を、取得された公開鍵を用いて復号化することにより復号化承認情報を生成する手順（ステップ６）と、
上記ユーザの個人情報へのアクセスを要求する端末で、取得された公開承認情報と生成された復号化承認情報が一致し、上記ユーザの個人情報へのアクセスを要求する端末が公開承認情報に含まれる端末識別情報で指定された端末に一致し、かつ、現在時間が公開承認情報に含まれるアクセス有効期限情報で指定された有効期限内である、アクセス許可条件が満たされているかどうかを判定するアクセス許可条件判定手順（ステップ７）と、
上記ユーザの個人情報へのアクセスを要求する端末で、上記アクセス許可条件が満たされていない場合に、上記データベース内のユーザの個人情報へのアクセスを禁止するアクセス制御手順（ステップ８）と、
を更に有する。
【００１５】
上記目的を達成するため、本発明の第３の局面によれば、承認情報を生成・保持することにより個人情報へのアクセスを制御する個人情報アクセス制御端末が提供される。図２は、本発明の個人情報アクセス制御端末の構成図である。
【００１６】
請求項５に係る発明によれば、個人情報アクセス制御端末１は、
ユーザの個人情報を格納するデータベース１０と、
本人性が確認されたユーザを特定するユーザ識別情報を取得し、取得されたユーザ識別情報、上記データベース１０内のユーザの個人情報へのアクセスが許可される端末を特定する端末識別情報、及び、ユーザの個人情報へのアクセス有効期限情報を含む公開承認情報を生成し、生成された公開承認情報を上記データベースに格納するアクセス制限情報設定手段２０と、
上記アクセス制限情報設定手段２０に接続され、生成された公開承認情報をユーザに固有の秘密鍵で暗号化することによって暗号化承認情報を生成し、生成された暗号化承認情報、ユーザに固有の上記秘密鍵に対応した公開鍵、及び、ユーザ識別情報の組を上記データベース１０に格納する本人確認情報設定手段３０と、
アクセス対象となるユーザの個人情報を指定するユーザ識別情報を取り込み、上記取り込まれたユーザ識別情報に対応した公開承認情報、暗号化承認情報、及び、公開鍵を上記データベース１０から取得するアクセス要求手段４０と、
取得された暗号化承認情報を、取得された公開鍵を用いて復号化することにより復号化承認情報を生成する復号化手段５０と、
上記アクセス要求手段４０及び上記復号化手段５０に接続され、取得された公開承認情報と生成された復号化承認情報が一致する条件、当該個人情報アクセス制御端末が公開承認情報に含まれる端末識別情報で指定された端末に一致する条件、並びに、現在時間が公開承認情報に含まれるアクセス有効期限情報で指定された有効期限内である条件を含むアクセス許可条件が満たされているかどうかを判定するアクセス許可条件判定手段６０と、
上記アクセス許可条件が満たされている場合に、上記データベース内のアクセス対象となるユーザの個人情報へのアクセスを許可し、上記アクセス許可条件が満たされていない場合に、上記データベース１０内のユーザの個人情報へのアクセスを禁止するアクセス制御手段７０と、
を有する。
【００１７】
上記目的を達成するため、本発明の第４の局面によれば、承認情報を生成・保持することにより個人情報へのアクセスを制御する個人情報アクセス制御システムが提供される。図３は、本発明の個人情報アクセス制御システムの構成図である。
【００１８】
請求項６に係る発明によれば、個人情報アクセス制御システムは、
少なくとも１台の端末２、３と、
上記少なくとも１台の端末の中で、ユーザの本人証明情報が取り込まれ、ユーザの本人認証のために利用される少なくとも１台の端末２にネットワーク４を介して接続され、本人証明情報と予め蓄積されている本人認証用情報とを用いて、上記本人認証のため利用される端末との間でユーザの本人性を確認する本人認証サーバ５と、
ユーザの個人情報を保持するデータベース１０と、
を有し、
上記本人認証のため利用される少なくとも１台の端末２は、
本人性が確認されたユーザを特定するユーザ識別情報を取得し、取得されたユーザ識別情報、上記データベース１０内のユーザの個人情報へのアクセスが許可される個人情報アクセス端末を特定する端末識別情報、及び、ユーザの個人情報へのアクセス有効期限情報を含む公開承認情報を生成し、生成された公開承認情報を上記データベース１０に格納するアクセス制限情報設定手段２０と、
上記アクセス制限情報設定手段２０に接続され、生成された公開承認情報をユーザに固有の秘密鍵で暗号化することによって暗号化承認情報を生成し、生成された暗号化承認情報、ユーザに固有の上記秘密鍵に対応した公開鍵、及び、ユーザ識別情報の組を上記データベース１０に格納する本人確認情報設定手段３０と、
を具備し、
上記少なくとも１台の端末の中でユーザの個人情報へアクセスするための少なくとも１台の端末３は、
アクセス対象となるユーザの個人情報を指定するユーザ識別情報を取り込み、上記取り込まれたユーザ識別情報に対応した公開承認情報、暗号化承認情報、及び、公開鍵を上記データベース１０から取得するアクセス要求手段４０と、
取得された暗号化承認情報を、取得された公開鍵を用いて復号化することにより復号化承認情報を生成する復号化手段５０と、
上記アクセス要求手段４０及び上記復号化手段５０に接続され、取得された公開承認情報と生成された復号化承認情報が一致する条件、当該端末が公開承認情報に含まれる端末識別情報で指定された個人情報アクセス端末に一致する条件、並びに、現在時間が公開承認情報に含まれるアクセス有効期限情報で指定された有効期限内である条件を含むアクセス許可条件が満たされているかどうかを判定するアクセス許可条件判定手段６０と、
上記アクセス許可条件が満たされている場合に、上記データベース１０内のアクセス対象となるユーザの個人情報へのアクセスを許可し、上記アクセス許可条件が満たされていない場合に、上記データベース１０内のユーザの個人情報へのアクセスを禁止するアクセス制御手段７０と、
を具備する。
【００１９】
本発明の第４の局面によれば、本発明による個人情報アクセス制御方法及び／又は装置の機能をコンピュータに実現させるためのプログラムが提供される。
【００２０】
請求項７に係る発明は、
ユーザの本人証明情報を取り込み、本人証明情報と予め認証データベースに蓄積されている本人認証用情報とを用いてユーザの本人性を確認する本人認証機能と、
ユーザの本人性が確認された場合に、ユーザを特定するユーザ識別情報、データベース内のユーザの個人情報へのアクセスが許可される端末を特定する端末識別情報、及び、ユーザの個人情報へのアクセス有効期限情報を含む公開承認情報を生成し、生成された公開承認情報をデータベースに格納するアクセス制限情報設定機能と、
生成された公開承認情報をユーザに固有の秘密鍵で暗号化することによって暗号化承認情報を生成し、生成された暗号化承認情報、ユーザに固有の上記秘密鍵に対応した公開鍵、及び、ユーザ識別情報の組をデータベースに格納する本人確認情報設定機能と、
公開承認情報がユーザによって設定されたことが確認された場合に、公開情報のアクセス有効期限情報で指定された有効期限内で、公開承認情報の端末識別情報で指定された端末からのユーザの個人情報へのアクセスを許可する機能と、
をコンピュータに実現させるための個人情報アクセス制御プログラムである。
【００２１】
さらに、請求項８に係る発明は、
アクセス対象となるユーザの個人情報に対応するユーザ識別情報を取り込み、上記取り込まれたユーザ識別情報に対応した公開承認情報、暗号化承認情報、及び、公開鍵を上記データベースから取得するアクセス要求機能と、
取得された暗号化承認情報を、取得された公開鍵を用いて復号化することにより復号化承認情報を生成する機能と、
取得された公開承認情報と生成された復号化承認情報が一致し、上記端末が公開承認情報に含まれる端末識別情報で指定された端末に一致し、かつ、現在時間が公開承認情報に含まれるアクセス有効期限情報で指定された有効期限内である、アクセス許可条件が満たされているかどうかを判定するアクセス許可条件判定機能と、
上記アクセス許可条件が満たされていない場合に、上記データベース内のユーザの個人情報へのアクセスを制限する機能と、
をコンピュータに実現させる。
【００２２】
さらに、請求項９に係る発明によれば、
上記暗号化承認情報を生成するため、公開承認情報をハッシュ化し、ハッシュ化された公開承認情報を暗号化する機能と、
取得された公開承認情報と生成された復号化承認情報が一致するかどうかを判定するため、取得された公開承認情報をハッシュ化し、ハッシュ化された取得された公開承認情報と、生成された復号化承認情報とが一致するかどうかを判定する機能と、
をコンピュータに実現させる。
【００２３】
【発明の実施の形態】
図４は、本発明の第１実施例による公開鍵基盤技術に基づく個人情報アクセス制御システムの構成図である。本実施例のシステムは、第１の端末１００及び第２の端末２００は、それぞれ、ネットワークインタフェースカード（ＮＩＣ）１０１及び２０１と、ルータ３０１とを介して、たとえば、ＬＡＮ／ＷＡＮのようなネットワーク３００に接続される。ネットワーク３００には、ルータ３０２を介して、認証サーバ４００が接続される。第１の端末１００及び第２の端末２００には、たとえば、ＩＣカード・リーダライタ（ＩＣＲ／Ｗ）１０２及び２０２のような装置が接続され、ＩＣカード５００のような情報担体との間で情報の授受を行うことができる。
【００２４】
ＩＣカード５００には、カードの保有者であるユーザのユーザ識別情報（ユーザＩＤ）と、公開鍵証明書（ＰＫＣ）と、ユーザに固有の秘密鍵と、が格納されている。第１の端末１００は、ＩＣカード・リーダライタ１０２を用いて、認証サーバ４００との間でユーザの本人認証を行う。ユーザの本人性が確認され、ユーザ本人と、ユーザ本人以外の他者との間で、他者が所定の条件でユーザ本人の個人情報へアクセスする旨の同意がなされると、その同意を表わす承認イベントが第１の端末１００で生成され、一定期間保持される。承認イベントの有効期間中に、たとえば、第２の端末２００から、ユーザの個人情報へのアクセスが要求された場合には、そのユーザ本人に関連した、保持されている承認イベントが検証され、承認イベントが有効であると判定された場合には、第２の端末２００からユーザの個人情報へのアクセスが許可される。承認イベントが無効である場合には、第２の端末２００からユーザの個人情報へのアクセスは禁止される。
【００２５】
このように、本発明の第１実施例によれば、一定期間有効な承認イベントを生成、保持することにより、ユーザの個人情報へのアクセスを要求する際に、毎回、ユーザ本人のＩＣカードをＩＣカード・リーダライタに挿抜して、本人認証と、本人による承認とを行うことなく、高セキュリティを保証して、ユーザの個人情報へのアクセス制御が実現される。したがって、ユーザ本人、並びに、ユーザの個人情報へアクセスする必要がある他者の操作上の利便性が向上する。
【００２６】
より具体的には、医療分野においては、ユーザ本人として患者、ユーザの個人情報として電子カルテ、ユーザ本人以外の他者として医者、看護師、検査技師、薬剤師などの医療従事者を想定することが可能である。
【００２７】
次に、本発明の第１実施例のシステムにおける端末１００、２００を実現する本発明の第２実施例による個人情報アクセス制御端末について説明する。図５は、本実施例の個人情報アクセス制御端末１００の機能的構成図である。
【００２８】
個人情報アクセス制御端末１００は、ＩＣカード・リーダライタ１０２に挿入されたＩＣカード５００又はキーボード等の入力装置から、ユーザ本人のユーザＩＤを取得するユーザＩＤ取得部１１０と、端末１００自体の装置識別番号、たとえば、ＭＡＣアドレスを取得するＭＡＣアドレス取得部１１１と、承認イベントを生成した時刻を取得するための承認時刻取得部１１２と、承認イベントの任意の有効期間を入力するためのイベント有効期間入力部１１３と、予め設定された期間の中から承認イベントの有効期間を選択する有効期間選択部１１４と、を含む。また、承認時刻を取得したり、有効期間を判定したりする際に現在時刻を取得するために端末内クロック１１５が利用される。
【００２９】
端末１００は、ネットワークインタフェースカード（ＮＩＣ）１０１を介してネットワーク（図示せず）に接続される。
【００３０】
端末１００は、さらに、承認イベントをハッシュ化するためのハッシュ化部１２０、ハッシュ化された承認イベントを秘密鍵で暗号化するための暗号化部（署名部）１２１、ハッシュ化され暗号化された承認イベントを復号化するために利用する公開鍵を公開鍵証明書から取得する公開鍵取得部１２２、ハッシュ化され暗号化された承認イベントを公開鍵で復号化する復号化部１２３、及び、復号化によって得られたハッシュ化された承認イベントと、元の承認イベントをハッシュ化部１２０によってハッシュ化した承認イベントとを比較するハッシュ値比較部１２４を具備する。
【００３１】
図６及び７は、本発明の第３実施例による個人情報アクセス制御システムの動作フローチャートである。本実施例では、ユーザ本人の承認イベントが特定の端末で生成、保持され、同じ端末からユーザ本人の個人情報へのアクセスが要求された場合を例にして、個人情報アクセス制御システムの動作を説明する。
【００３２】
図６では、ユーザの本人認証と、ユーザ本人の承認イベントの生成・保持の処理が示されている。
【００３３】
ステップ１１：認証サーバ（たとえば、図４の認証サーバ４００）からユーザが利用するクライアント端末（たとえば、図４の第１の端末１００）に対し、ＩＣカードを挿入するように依頼が発行される。
【００３４】
ステップ１２：ユーザは、ＩＣカード（たとえば、図４のＩＣカード５００）を端末に付属したＩＣカード・リーダライタ（たとえば、図４のＩＣＲ／Ｗ１０２）に挿入する。
【００３５】
ステップ１３：本人認証処理のため、ＩＣカードから端末へ、ユーザの識別情報であるユーザＩＤ、公開鍵証明書などが渡される。
【００３６】
ステップ１４：端末と認証サーバとの間で、たとえば、チャレンジ・レスポンス方式の認証が行われる。
【００３７】
ステップ１５：認証に成功した場合、認証サーバから端末へ認証ＯＫが通知される。
【００３８】
端末側で、ユーザ本人と、ユーザの個人情報へのアクセスの承諾を求めるアクセス要求者が、所定の条件でアクセス要求者がユーザの個人情報へアクセスすることについて同意が得られた場合、所定の条件、すなわち、使用端末、有効期限等を指定する承認イベントの作成が開始される。
【００３９】
ステップ１６：ユーザ承認を実施するユーザのユーザ識別情報をユーザ本人のＩＣカードから取得する。
【００４０】
ステップ１７：ユーザ承認が実施される端末の内蔵クロックから承認時刻を取得する。
【００４１】
ステップ１８：ユーザ承認が実施される端末のＭＡＣアドレスを個人情報へアクセス可能な端末の識別情報として取得する。このとき、当該端末に加えて、その他にアクセスを許可する端末の識別情報を付加的に入力してもよい。
【００４２】
ステップ１９：承認イベントの有効期間を設定する。有効期間は、任意の期間を入力することが可能であるが、予め指定されている有効期間をそのまま設定してもよい。
【００４３】
これにより、ユーザＩＤと、承認時刻と、承認有効期間と、ＭＡＣアドレスとを含む承認イベントが生成される。
【００４４】
ステップ２０：次に、セキュリティ性を高めるために、承認イベントをハッシュ化する。
【００４５】
ステップ２１：ハッシュ化された承認イベントを、ＩＣカードから読み出したユーザ本人に固有の秘密鍵を用いて暗号化する。
【００４６】
ステップ２２：暗号化された承認イベントをユーザ本人の承認イベントとしてデータベースに保持する。
【００４７】
ステップ２３：ユーザのＩＣカードから読み出された公開鍵証明書と、ユーザＩＤ、承認時刻、承認有効期間、及び、ＭＡＣアドレスを含む（未加工の）承認イベントとを、ユーザ本人の承認イベントに対応した公開情報としてデータベースに保持する。
【００４８】
このようにして、これ以降は、ＩＣカードの挿入動作、本人認証動作、及び、本人による承認動作を行わなくても、端末上に、有効期限の範囲内で、ユーザ本人の承認イベントが保持される。
【００４９】
保持された承認イベントは、端末側でユーザ本人の個人情報へのアクセスが必要になった場合に、公開鍵証明書を用いて署名検証される。
【００５０】
図７には、本発明の第３実施例による承認イベントの署名検証処理のフローチャートが示されている。
【００５１】
端末側で、アクセス要求者がユーザ本人の個人情報へアクセスするために、本人の承諾が必要になった場合、承認イベントの証明検証を開始する。
【００５２】
ステップ３１：アクセスしたい個人情報に対応したユーザＩＤをキーとして、保持されているユーザ本人の承認イベントを取得する。
【００５３】
ステップ３２：保持されているユーザ本人の公開鍵証明書から公開鍵を抽出し、この公開鍵を使用してユーザ本人の承認イベントを復号化する。
【００５４】
この復号化によって得られたデータは、承認イベントをハッシュ化したものに相当している。
【００５５】
ステップ３３：次に、公開情報としてデータベースに保持されている未加工の承認イベントを取得し、これを、ハッシュ化する。
【００５６】
ステップ３４：ユーザ本人の承認イベントを復号化して得られた第１のハッシュ値と、公開情報の承認イベントをハッシュ化して得られた第２のハッシュ値を比較する。
【００５７】
ステップ３５：第１のハッシュ値と第２のハッシュ値が一致しているかどうかを判定する。
【００５８】
ステップ３６：第１のハッシュ値と第２のハッシュ値が一致しない場合、本人による承認は無効であると判定され、ユーザ本人の個人情報へのアクセスが禁止される。
【００５９】
ステップ３７：第１のハッシュ値と第２のハッシュ値が一致する場合、本人による承認は有効であるので、承認イベントの有効期限内であり、かつ、アクセス要求を発行している端末のＭＡＣアドレスが、アクセス許可された端末のＭＡＣアドレスに一致するかどうか、というアクセス許可条件を判定する。
【００６０】
ステップ３８：アクセス許可条件を満たしていない場合、ユーザ本人の個人情報へのアクセスが禁止される。
【００６１】
ステップ３９：アクセス許可条件を満たしている場合、ユーザ本人の個人情報へのアクセスが許可される。
【００６２】
このようにして、公開鍵を用いてユーザ本人の承認イベントを署名検証することにより、承認時刻と承認イベント有効期間、ユーザＩＤ、及び、承認イベントを発行した端末のＭＡＣアドレス（並びに、ユーザ個人情報へのアクセスが許可された端末のＭＡＣアドレス）などの情報を取得することが可能である。
【００６３】
承認イベントを生成した端末のＭＡＣアドレスを用いて、端末（ネットワークインタフェースカード）を特定することができるので、仮に、承認イベントが抜き出されて、他の端末で虚偽の承認・検証が行われることを防止することが可能である。
【００６４】
さらに、承認イベントの有効期間は、ユーザ本人が任意に設定したり、所定値から選択したりすることができるので、承認を行うサービスに応じて、有効期間を固定的に設定し、承認イベントの生成時に毎回有効期間を設定する手間を省くことが可能である。
【００６５】
また、上述のように、承認イベントを生成した端末のＭＡＣアドレスだけではなく、ユーザの個人情報へアクセスしたい端末、すなわち、承認イベントを署名検証する予定の端末のＭＡＣアドレスも設定することが可能であり、これにより、ある端末で承認された承認イベントを、別の端末に安全に移行することも可能である。
【００６６】
さらに、アクセス許可条件として、アクセス要求者を指定するように拡張することも可能である。
【００６７】
たとえば、患者が病院で受診する場合、
・来院時の本人確認
・診察時の本人確認
・検査実施時の本人確認
・紹介状作成の際に、相手方への紹介状送信許可時の本人確認
・診断結果に対する本人確認
などのように、一回の医療ジョブの間に、複数回にわたって本人確認をする必要が生じる。このような場面で、上述の本発明の第１、第２及び第３の実施例で説明した個人情報アクセス制御技術を利用することにより、一度、本人認証と、本人による承諾を行い、これにより生成されたユーザ本人の承認イベントを一定期間保持すると、本人確認の都度、ＩＣカードを挿抜する作業を省略することができる。
【００６８】
また、承認イベントはタイマー性があるので、仮に、本人が承認イベントを消し忘れても、一定の時間の経過により承認イベントが無効になるので、長時間経過した後に不特定の（或いは、不正な）アクセスが行われても、個人情報へのアクセスは許可されない。
【００６９】
さらに、端末のＭＡＣアドレスも署名されているので、仮に、承認イベントを盗み出して、他の端末で署名検証を実行しようとしてもＭＡＣアドレスの不一致によって許可されない。
【００７０】
このように、本発明の実施例によれば、安全に、かつ、簡単に承認イベントを保持し、ユーザの使い勝手を向上させることが可能である。
【００７１】
上記の本発明の実施例による個人情報アクセス制御方法は、ソフトウェア（プログラム）で構築することが可能であり、コンピュータのＣＰＵによってこのプログラムを実行することにより本発明の実施例による個人情報アクセス制御装置を実現することができる。構築されたプログラムは、ディスク装置等に記録しておき必要に応じてコンピュータにインストールされ、フレキシブルディスク、メモリカード、ＣＤ−ＲＯＭ等の可搬記録媒体に格納して必要に応じてコンピュータにインストールされ、或いは、通信回線等を介してコンピュータにインストールされ、コンピュータのＣＰＵによって実行される。
【００７２】
以上、本発明の代表的な実施例を説明したが、本発明は、上記の実施例に限定されることなく、特許請求の範囲内において、種々変更・応用が可能である。
【００７３】
【発明の効果】
本発明によれば、少ない認証操作回数で、高セキュリティを保証して安全な認証・データ保存・アクセス・情報共有を実現することが可能になる。たとえば、診療現場において患者が承認した内容を、患者が帰宅した後に、すなわち、患者本人の認証のためのＩＣカードが手元になくても検証でき、これにより、医者は、所定の条件下で、電子カルテのような共有すべきデータを作成・格納できるようになる。
【図面の簡単な説明】
【図１】本発明の原理説明図である。
【図２】本発明の個人情報アクセス制御端末の構成図である。
【図３】本発明の個人情報アクセス制御システムの構成図である。
【図４】本発明の第１実施例による個人情報アクセス制御システムの構成図である。
【図５】本発明の第２実施例による個人情報アクセス制御端末の構成図である。
【図６】本発明の第３実施例による承認イベントの生成・保持処理のフローチャートである。
【図７】本発明の第３実施例による承認イベントの署名検証処理のフローチャートである。
【符号の説明】
１個人情報アクセス制御端末
１０データベース
２０アクセス制御情報設定手段
３０本人確認情報設定手段
４０アクセス要求手段
５０復号化手段
６０アクセス許可条件判定手段
７０アクセス制御手段

Claims

端末でユーザの本人証明情報を取り込み、本人証明情報と予め認証データベースに蓄積されている本人認証用情報とを用いてユーザの本人性を確認する本人認証手順と、
ユーザの本人性が確認された場合に、上記端末で、ユーザを特定するユーザ識別情報、データベース内のユーザの個人情報へのアクセスが許可される端末を特定する端末識別情報、及び、ユーザの個人情報へのアクセス有効期限情報を含む公開承認情報を生成し、生成された公開承認情報をデータベースに格納するアクセス制限情報設定手順と、
上記端末で、生成された公開承認情報をユーザに固有の秘密鍵で暗号化することによって暗号化承認情報を生成し、生成された暗号化承認情報、ユーザに固有の上記秘密鍵に対応した公開鍵、及び、ユーザ識別情報の組をデータベースに格納する本人確認情報設定手順と、
を有し、
公開承認情報がユーザによって設定されたことが確認された場合に、公開情報のアクセス有効期限情報で指定された有効期限内で、公開承認情報の端末識別情報で指定された端末からユーザの個人情報へのアクセスが許可される、
個人情報アクセス制御方法。
ユーザの個人情報へのアクセスを要求する端末でユーザ識別情報を取り込むアクセス要求手順と、
上記ユーザの個人情報へのアクセスを要求する端末で、上記取り込まれたユーザ識別情報に対応した公開承認情報、暗号化承認情報、及び、公開鍵を上記データベースから取得する手順と、
上記ユーザの個人情報へのアクセスを要求する端末で、取得された暗号化承認情報を、取得された公開鍵を用いて復号化することにより復号化承認情報を生成する手順と、
上記ユーザの個人情報へのアクセスを要求する端末で、取得された公開承認情報と生成された復号化承認情報が一致し、上記ユーザの個人情報へのアクセスを要求する端末が公開承認情報に含まれる端末識別情報で指定された端末に一致し、かつ、現在時間が公開承認情報に含まれるアクセス有効期限情報で指定された有効期限内である、アクセス許可条件が満たされているかどうかを判定するアクセス許可条件判定手順と、
上記ユーザの個人情報へのアクセスを要求する端末で、上記アクセス許可条件が満たされていない場合に、上記データベース内のユーザの個人情報へのアクセスを禁止するアクセス制御手順と、
を更に有する請求項１記載の個人情報アクセス制御方法。
上記本人確認情報生成手順において、上記暗号化承認情報は、公開承認情報をハッシュ化し、ハッシュ化された公開承認情報を暗号化することによって生成し、
上記アクセス許可条件判定手順において、取得された公開承認情報と生成された復号化承認情報が一致するかどうかは、取得された公開承認情報をハッシュ化し、ハッシュ化された取得された公開承認情報と、生成された復号化承認情報とが一致するかどうかによって判定する、
請求項２記載の個人情報アクセス制御方法。
上記アクセス制限情報設定手順において、公開承認情報として、ユーザの個人情報へのアクセスが許可される他者を特定する他者識別情報を更に設定し、
上記アクセス要求手順において、ユーザの個人情報へアクセスしようとするアクセス要求者の他者識別情報を更に取り込み、
上記アクセス許可条件判定手順において、アクセス許可条件として、公開承認情報に含まれる他者識別情報と上記アクセス要求者の他者識別情報が一致するかどうかを更に判定する、
請求項２又は３記載の個人情報アクセス制御方法。
ユーザの個人情報を格納するデータベースと、
本人性が確認されたユーザを特定するユーザ識別情報を取得し、取得されたユーザ識別情報、上記データベース内のユーザの個人情報へのアクセスが許可される端末を特定する端末識別情報、及び、ユーザの個人情報へのアクセス有効期限情報を含む公開承認情報を生成し、生成された公開承認情報を上記データベースに格納するアクセス制限情報設定手段と、
上記アクセス制限情報設定手段に接続され、生成された公開承認情報をユーザに固有の秘密鍵で暗号化することによって暗号化承認情報を生成し、生成された暗号化承認情報、ユーザに固有の上記秘密鍵に対応した公開鍵、及び、ユーザ識別情報の組を上記データベースに格納する本人確認情報設定手段と、
アクセス対象となるユーザの個人情報を指定するユーザ識別情報を取り込み、上記取り込まれたユーザ識別情報に対応した公開承認情報、暗号化承認情報、及び、公開鍵を上記データベースから取得するアクセス要求手段と、
取得された暗号化承認情報を、取得された公開鍵を用いて復号化することにより復号化承認情報を生成する復号化手段と、
上記アクセス要求手段及び上記復号化手段に接続され、取得された公開承認情報と生成された復号化承認情報が一致する条件、当該個人情報アクセス制御端末が公開承認情報に含まれる端末識別情報で指定された端末に一致する条件、並びに、現在時間が公開承認情報に含まれるアクセス有効期限情報で指定された有効期限内である条件を含むアクセス許可条件が満たされているかどうかを判定するアクセス許可条件判定手段と、
上記アクセス許可条件が満たされている場合に、上記データベース内のアクセス対象となるユーザの個人情報へのアクセスを許可し、上記アクセス許可条件が満たされていない場合に、上記データベース内のユーザの個人情報へのアクセスを禁止するアクセス制御手段と、
を有する個人情報アクセス制御端末。
少なくとも１台の端末と、
上記少なくとも１台の端末の中で、ユーザの本人証明情報が取り込まれ、ユーザの本人認証のために利用される少なくとも１台の端末にネットワークを介して接続され、本人証明情報と予め蓄積されている本人認証用情報とを用いて、上記本人認証のため利用される端末との間でユーザの本人性を確認する本人認証サーバと、
ユーザの個人情報を保持するデータベースと、
を有し、
上記本人認証のため利用される少なくとも１台の端末は、
本人性が確認されたユーザを特定するユーザ識別情報を取得し、取得されたユーザ識別情報、上記データベース内のユーザの個人情報へのアクセスが許可される個人情報アクセス端末を特定する端末識別情報、及び、ユーザの個人情報へのアクセス有効期限情報を含む公開承認情報を生成し、生成された公開承認情報を上記データベースに格納するアクセス制限情報設定手段と、
上記アクセス制限情報設定手段に接続され、生成された公開承認情報をユーザに固有の秘密鍵で暗号化することによって暗号化承認情報を生成し、生成された暗号化承認情報、ユーザに固有の上記秘密鍵に対応した公開鍵、及び、ユーザ識別情報の組を上記データベースに格納する本人確認情報設定手段と、
を具備し、
上記少なくとも１台の端末の中でユーザの個人情報へアクセスするための少なくとも１台の端末は、
アクセス対象となるユーザの個人情報を指定するユーザ識別情報を取り込み、上記取り込まれたユーザ識別情報に対応した公開承認情報、暗号化承認情報、及び、公開鍵を上記データベースから取得するアクセス要求手段と、
取得された暗号化承認情報を、取得された公開鍵を用いて復号化することにより復号化承認情報を生成する復号化手段と、
上記アクセス要求手段及び上記復号化手段に接続され、取得された公開承認情報と生成された復号化承認情報が一致する条件、当該端末が公開承認情報に含まれる端末識別情報で指定された個人情報アクセス端末に一致する条件、並びに、現在時間が公開承認情報に含まれるアクセス有効期限情報で指定された有効期限内である条件を含むアクセス許可条件が満たされているかどうかを判定するアクセス許可条件判定手段と、
上記アクセス許可条件が満たされている場合に、上記データベース内のアクセス対象となるユーザの個人情報へのアクセスを許可し、上記アクセス許可条件が満たされていない場合に、上記データベース内のユーザの個人情報へのアクセスを禁止するアクセス制御手段と、
を具備する、
個人情報アクセス制御システム。
ユーザの本人証明情報を取り込み、本人証明情報と予め認証データベースに蓄積されている本人認証用情報とを用いてユーザの本人性を確認する本人認証機能と、
ユーザの本人性が確認された場合に、ユーザを特定するユーザ識別情報、データベース内のユーザの個人情報へのアクセスが許可される端末を特定する端末識別情報、及び、ユーザの個人情報へのアクセス有効期限情報を含む公開承認情報を生成し、生成された公開承認情報をデータベースに格納するアクセス制限情報設定機能と、
生成された公開承認情報をユーザに固有の秘密鍵で暗号化することによって暗号化承認情報を生成し、生成された暗号化承認情報、ユーザに固有の上記秘密鍵に対応した公開鍵、及び、ユーザ識別情報の組をデータベースに格納する本人確認情報設定機能と、
公開承認情報がユーザによって設定されたことが確認された場合に、公開情報のアクセス有効期限情報で指定された有効期限内で、公開承認情報の端末識別情報で指定された端末からのユーザの個人情報へのアクセスを許可する機能と、
をコンピュータに実現させるための個人情報アクセス制御プログラム。
アクセス対象となるユーザの個人情報に対応するユーザ識別情報を取り込み、上記取り込まれたユーザ識別情報に対応した公開承認情報、暗号化承認情報、及び、公開鍵を上記データベースから取得するアクセス要求機能と、
取得された暗号化承認情報を、取得された公開鍵を用いて復号化することにより復号化承認情報を生成する機能と、
取得された公開承認情報と生成された復号化承認情報が一致し、上記端末が公開承認情報に含まれる端末識別情報で指定された端末に一致し、かつ、現在時間が公開承認情報に含まれるアクセス有効期限情報で指定された有効期限内である、アクセス許可条件が満たされているかどうかを判定するアクセス許可条件判定機能と、
上記アクセス許可条件が満たされていない場合に、上記データベース内のユーザの個人情報へのアクセスを制限する機能と、
を更にコンピュータに実現させるための請求項７記載の個人情報アクセス制御プログラム。
上記暗号化承認情報を生成するため、公開承認情報をハッシュ化し、ハッシュ化された公開承認情報を暗号化する機能と、
取得された公開承認情報と生成された復号化承認情報が一致するかどうかを判定するため、取得された公開承認情報をハッシュ化し、ハッシュ化された取得された公開承認情報と、生成された復号化承認情報とが一致するかどうかを判定する機能と、
を更にコンピュータに実現させるための請求項７又は８記載の個人情報アクセス制御プログラム。
請求項７乃至９のうち何れか一項記載のプログラムを記録したコンピュータ読取可能な記録媒体。