JP7038882B1 - 認証情報管理装置、およびプログラム - Google Patents

Abstract

【課題】ユーザの人生全般に亘る認証情報管理を考慮した認証情報管理装置、およびプログラムを提供する。
【解決手段】ユーザを特定する情報とともに認証処理の要求を受け入れ、当該受け入れた情報で特定されるユーザの認証情報に基づく認証処理を行うとともに、当該ユーザを特定する情報に関連付けてユーザデータベースに補佐者を特定する情報が登録されているときには、当該情報で特定されるユーザの補佐者による所定の補佐処理を実行し、この際に補佐処理の対象とするユーザの属性情報が参照されて当該参照された属性情報に基づいて補佐処理の要否が判断される認証情報管理装置である。
【選択図】図１

Description

本発明は、認証情報を管理する認証情報管理装置、およびプログラムに関する。

近年では個人の物品の購入や銀行決済、種々の契約など様々な分野で、情報機器を利用した処理が行われている。こうした背景のもと、未成年や高齢者などが誤って、あるいは詐欺行為に遭うなどして損害を被る場合も生じている。そこで例えば支払口座を管理する際に、口座のスタイルとして十代用口座、子供用口座などを用意し、成熟度や年齢に応じて口座スタイルを選択し、それに応じてセキュリティレベルを設定する技術が考えられている（特許文献１）。

特開２０１６－０２９５９２号公報

こうした技術ではセキュリティの担保の方法として、例えば子供を対象とするサービスであれば当該子供のアカウントとともにその保護者のアカウントを設定して互いに関連付け、保護者が子供のサービス利用状況を監視可能とするものなどが知られている。

しかしながら、こうした従来の技術では、幼少の時代から成長し、成人して独立し、その後老齢に至るという人の人生全般に亘る補佐の要否、あるいは行うべき補佐の態様の変化というものが考慮されていない。また個々人の状況も考慮されていない。

例えば、高齢者の場合、家族の管理では不都合な状況となった場合に、福祉サービスの担当者が、家族と交代して補佐を行う状況が考えられる。また、成人したとしても後見が必要なケースもあり得る。

本発明はこうした実情に鑑みて為されたもので、ユーザの人生全般に亘る認証情報管理を考慮した認証情報管理装置、およびプログラムを提供することを、その目的の一つとする。

上記従来例の問題点を解決する本発明の一態様は、ユーザの認証情報を管理する認証情報管理装置であって、ユーザごとに、ユーザを特定する情報と、ユーザの属性情報と、ユーザの認証情報とともに、当該ユーザの補佐者を特定する情報を関連付けて保持可能なユーザデータベースにアクセスするアクセス手段と、ユーザを特定する情報とともに認証処理の要求を受け入れて、当該要求に応答して、当該受け入れた情報で特定されるユーザの認証情報に基づく認証処理を行うとともに、当該ユーザを特定する情報に関連付けて前記ユーザデータベースに補佐者を特定する情報が登録されているときには、当該情報で特定されるユーザの補佐者による所定の補佐処理を実行する認証処理手段と、を含み、前記認証処理手段による補佐処理においては、補佐処理の対象とするユーザの属性情報が参照され、当該参照された属性情報に基づいて補佐処理の要否が判断されることとしたものである。

これにより、ユーザの人生全般に亘る認証情報管理を考慮した処理を行うことが可能となる。

本発明の実施の形態に係る認証情報管理装置の構成例を表すブロック図である。 本発明の実施の形態に係る認証情報管理装置が利用するユーザデータベースの例を表す説明図である。 本発明の実施の形態に係る認証情報管理装置が利用する補佐者データベースの例を表す説明図である。 本発明の実施の形態に係る認証情報管理装置の例を表す機能ブロック図である。 本発明の実施の形態に係る認証情報管理装置の認証に係る動作の例を表すフローチャート図である。 本発明の実施の形態に係る認証情報管理装置の補佐者変更案内の通知に係る動作の例を表すフローチャート図である。

本発明の実施の形態について図面を参照しながら説明する。本発明の実施の形態に係る認証情報管理装置１は、図１に例示するように、制御部１１、記憶部１２、および通信部１３を備えるサーバコンピュータとして実現される。この認証情報管理装置１は、ネットワークを介して、他のサービス提供サーバ装置（以下、単にサーバ装置と呼ぶ）２ａ，２ｂ…との間で通信可能に接続されている。

この認証情報管理装置１の制御部１１は、ＣＰＵなど、記憶部１２に格納されたプログラムに従って動作するプログラム制御デバイスである。この制御部１１は、本実施の形態では、サーバ装置２ａ，２ｂ…などからの認証の要求に応答して認証処理を行う。またこの制御部１１は、ユーザごとに、ユーザを特定する情報と、ユーザの属性情報と、ユーザの認証情報とともに、当該ユーザの補佐者を特定する情報を関連付けて保持可能なユーザデータベースにアクセスする。そして制御部１１は、ユーザを特定する情報とともに認証処理の要求を受け入れると、当該要求に応答して、当該受け入れた情報で特定されるユーザの認証情報に基づく認証処理を行う。制御部１１は、このとき、当該ユーザを特定する情報に関連付けて前記ユーザデータベースに補佐者を特定する情報が登録されていれば、当該情報で特定されるユーザの補佐者との間で、所定の補佐処理を実行する。これらの制御部１１の詳しい処理の内容については後述する。

記憶部１２は、メモリデバイスやディスクデバイス等であり、制御部１１により実行されるプログラムを保持する。またこの記憶部１２は制御部１１のワークメモリとしても動作する。本実施の形態の一つの例では、この記憶部１２には、認証処理の対象となるユーザの情報を保持するユーザデータベースが格納されていてもよい。

このユーザデーターベースは、例えば図２に例示するように、ユーザごとに、ユーザを特定する情報（Ｕ）と、ユーザの属性情報（Ｕｐ）と、ユーザの認証情報（Ｕｓ）とを関連付けて保持するものである。またこのユーザデータベースにおいては、ユーザを特定する情報（Ｕ）に関連付けてさらに、当該ユーザの補佐者を特定する情報（Ｐ）が記録されてもよい。

ここでユーザの属性情報（Ｕｐ）は、例えばユーザの生年月日、性別、一次保護の状態にあるか否か、さらには認知能力等の状況等の健康状態の情報など、種々の情報を含む。またユーザの認証情報（Ｕｓ）は、例えばサービス（Ｓ）ごとのユーザ名（Ｓｕ）や対応するパスワード（Ｓｐ）等の認証情報を関連付けたものである。なお、認証情報は、ユーザ名やパスワードに限られず、予め発行されたトークン情報（例えばoauth認証（RFC6749,RFC6750）で利用されるアクセストークンなど）であってもよい。

さらに本実施の形態の例では、この記憶部１２には、補佐者に関する情報を保持する補佐者データベースが格納されていてもよい。この補佐者データベースは、図３に例示するように、補佐者を特定する情報（Ｐｓ）に関連付けて補佐者の属性情報（Ｐｐ）や、補佐者の連絡先（Ｐａ）等を記録したものである。本実施の形態の一例では、この補佐者の属性情報（Ｐｐ）として、少なくとも、
・補佐者の親族または血族、姻族の関係にあるユーザを特定する情報、
・補佐者の職業に関する情報（医師や介護士などといった情報）、及び
・補佐者の資格に関する情報（医師、看護師、介護士、弁護士などの情報）
を含むものとする。

通信部１３は、ネットワークインタフェース等であり、ネットワークを介してサーバ装置２等から認証の要求等の情報を受信すると、当該受信した情報を制御部１１に出力する。またこの通信部１３は、制御部１１から入力される指示に従い、制御部１１が指示した宛先となるサーバ装置２等へ、制御部１１から指示された情報を送出する。

次に、本実施の形態の制御部１１の動作例について説明する。本実施の形態の制御部１１は、図４に例示するように、データ取得部２１と、認証処理部２２と、補佐者管理部２３とを含んで、機能的に構成されている。またこの認証処理部２２は、認証部２２１と、補佐処理部２２２とを機能的に含む。

データ取得部２１は、本発明のアクセス手段を実現する。このデータ取得部２１は、後に説明する認証処理部２２からの要求を受けて、ユーザデータベースや補佐者データベースにアクセスして、これらのデータベースからユーザの情報や補佐者の情報等を取得する。データ取得部２１は、これら取得した情報を要求元である認証処理部２２に対して出力する。

またこのデータ取得部２１は、認証処理部２２から補佐者を特定する情報とともに、補佐者の属性情報（Ｐｐ）等、補佐者に関する情報の要求を受けると、補佐者データベースにアクセスする。そしてデータ取得部２１は、認証処理部２２から受け入れた、補佐者を特定する情報に関連付けられて、補佐者データベースに格納されている補佐者の属性情報（Ｐｐ）や、補佐者の連絡先（Ｐａ）等の情報を取得し、当該取得した情報を、要求元である認証処理部２２に対して出力する。

認証処理部２２の認証部２２１は、基本的には、外部のサーバ装置２等から、ユーザを特定する情報とともに認証処理の要求を受け入れ、当該要求に応答して、当該受け入れた情報で特定されるユーザの認証情報に基づく認証処理を行う。一例としてこの認証部２２１は、ユーザが、
・商品等の販売サイトのサーバ装置２ａにおいて商品購入要求を行ったとき、
・銀行のサーバ装置２ｂに対して振り込みの要求を行ったとき、
・行政のサーバ装置２ｃに対して、行政手続きを行ったとき
・薬局などのサーバ装置２ｄに対して、処方されている薬品の情報等の提供を要求したとき…
など、種々のサーバ装置２においてユーザが何らかの操作を行ったときに、当該サーバ装置２から当該ユーザを特定する情報とともに、当該ユーザを認証するべき旨の要求を受け入れる。例えばサーバ装置２は、ユーザからの操作の要求を受けたときに、ユーザ名とパスワードなどの認証情報の入力をユーザに求め、ユーザが当該求めに応じて入力した認証情報を、当該ユーザのメールアドレス等のユーザを特定する情報とともに認証の要求に含めて、本実施の形態の認証情報管理装置１に対して送出する。またこのとき、サーバ装置２は、ユーザから要求された操作に係るサービスを識別する情報（予め定められたサービスＩＤなどの固有の情報であって、認証情報管理装置１においても管理される情報）やパラメータ（例えば振り込みの要求であれば振り込み金額等）を、送出する情報に含めてもよい。これにより認証情報管理装置１は、ユーザにより要求されたサービスを特定することが可能となる。

認証処理部２２の認証部２２１は、サーバ装置２からユーザを特定する情報（ユーザのメールアドレス等）と、認証情報とを受け入れ、認証の要求を受けると次の認証処理を行う。この認証部２２１は、ユーザを特定する情報をデータ取得部２１に出力して、ユーザの認証情報（Ｕｓ）の入力を受ける。またこのときユーザデータベースに格納された当該ユーザを特定する情報に、ユーザの補佐者の情報（Ｐ）が関連付けられていれば、認証部２２１はデータ取得部２１からこの補佐者の情報（Ｐ）も受け入れることとなる。

認証部２２１は、データ取得部２１が出力する情報に、補佐者の情報（Ｐ）が含まれていない場合は一般的な認証の処理を行う。すなわち認証部２２１は、サーバ装置２から受け入れた認証情報と、データ取得部２１から受け入れた認証情報（Ｕｓ）とを比較し、これらが一致していれば、サーバ装置２に対して認証に成功した旨の情報を送出する。また認証部２２１は、サーバ装置２から受け入れた認証情報と、データ取得部２１から受け入れた認証情報（Ｕｓ）とを比較した結果、これらが一致していなければ、サーバ装置２に対して認証に失敗した旨の情報を送出する。

また認証部２２１は、データ取得部２１から補佐者を特定する情報（Ｐ）を受けたときには、まずユーザの認証の処理を行い、サーバ装置２から受け入れた認証情報と、データ取得部２１から受け入れた認証情報（Ｕｓ）とを比較する。認証部２２１は、サーバ装置２から受け入れた認証情報と、データ取得部２１から受け入れた認証情報（Ｕｓ）とが一致していなければ、サーバ装置２に対して認証に失敗した旨の情報を送出する。

一方ここで、サーバ装置２から受け入れた認証情報と、データ取得部２１から受け入れた認証情報（Ｕｓ）とが一致していれば、認証部２２１は、認証が成功したと判断して、補佐処理部２２２に対して補佐者による所定の処理、例えば補佐者による承認の処理を要求する。

そして補佐処理部２２２が、この要求に応答して、認証の承認が完了した旨の情報を出力したときには、認証部２２１は、認証を要求したサーバ装置２に対して、認証に成功した旨の情報を送出する。一方、認証の承認ができなかった旨の情報を、補佐処理部２２２が出力したときには、認証部２２１は、認証を要求したサーバ装置２に対して、認証に失敗した旨の情報を送出する。

補佐処理部２２２は、認証部２２１から認証承認処理の要求を受けると、補佐者に対して所定の補佐処理を要求するか否かを判断し、要求すると判断したときには補佐者に対して補佐の処理、例えば認証の承認を要求する。ここで補佐者が補佐処理を拒否した場合（あるいは留保した場合）には、補佐処理部２２２は、認証部２２１に対して補佐処理が実行できない旨の情報を出力する。また補佐処理部２２２は、補佐処理として例えば承認を要求した補佐者から認証の承認が許諾された場合（つまり、補佐処理の実行に成功した場合）には、認証部２２１に対して承認（ここでの所定の補佐処理）が完了した旨の情報を出力する。

具体的にこの補佐処理部２２２は、データ取得部２１が出力した補佐者を特定する情報（Ｐ）に関連付けて補佐者データベースに格納されている、補佐者に関する情報を、データ取得部２１に要求する。なお、データ取得部２１が出力した補佐者を特定する情報（Ｐ）が複数ある場合（補佐者が複数存在する場合）には、補佐処理部２２２は、当該複数の補佐者に関する情報を、データ取得部２１に要求する。

補佐処理部２２２は、データ取得部２１から補佐者に関する情報を受け入れると、承認の要求先となる補佐者を選択する。具体的にこの選択は、認証の対象となるユーザの属性情報（Ｕｐ）と、補佐者の属性情報（Ｐｐ）とを参照して、所定の規則に従って行われる。例えばこの規則は、ユーザの属性情報（Ｕｐ）の生年月日と現在日時との差（つまりユーザの年齢）ごと、かつ、補佐者の属性情報（Ｐｐ）ごとに次のように定め得る。

（１）ユーザが未成年であり、かつ一時保護の状態にない場合：
補佐者のうち、ユーザの父母より上位の直系血族であって、親等の数値が小さい者から順に二親等以内の者が存在すれば、当該補佐者（第一順位者と呼ぶ）を選択する。

ここで第一順位者が存在しない場合、補佐者のうち、ユーザの兄弟または、ユーザの父母より上位の三親等以内傍系血族の者が存在すれば、そのうち、親等の数値が小さい者の順、かつ、年齢の順（年齢が高い順）に選択される補佐者（第二順位者と呼ぶ）を選択する。

さらに第二順位者も存在しない場合、補佐者のうち、予め保護担当者として設定された補佐者が存在すれば、当該補佐者を選択する。

（２）ユーザが未成年であり、かつ一時保護の状態にある場合：
補佐者のうち、予め保護担当者として設定された補佐者が存在すれば、当該補佐者を選択する。そのような補佐者が存在しない場合、補佐者のうち、ユーザの兄弟または、ユーザの父母より上位の三親等以内傍系血族の者が存在すれば、そのうち、親等の数値が小さい者の順、かつ、年齢の順（年齢が高い順）に選択される補佐者を選択する。

（３）ユーザが成年に達しており、認知症の診断がない場合：
補佐者を選択しない。

（４）ユーザが成年に達しており、認知症の診断がある場合：
補佐者のうち、予め保護担当者として設定された補佐者が存在すれば、当該補佐者（第一順位者）を選択する。

第一順位者が存在しない場合、補佐者のうち、自己より下位の直系血族であって、親等の数値が小さい者から順に二親等以内の者が存在すれば、当該補佐者（第二順位者）を選択する。

第二順位者も存在しない場合、補佐者のうち、ユーザの兄弟である者であって、かつ、年齢の順（年齢が高い順）に選択される補佐者（第三順位者と呼ぶ）を選択する。

補佐処理部２２２は、例えばこのような規則によって補佐者の選択を試みる。ここで補佐者が選択できなければ、認証部２２１に対して補佐処理を実行できない旨の情報を出力することとしてもよいし、補佐者が選択できなければ、認証部２２１に対して補佐処理が完了した旨の情報を出力してもよい。

次に、補佐処理部２２２は、選択した補佐者に対して、ユーザの操作を通知するか否かを次の処理により判断する。本実施の形態の一例では、補佐処理部２２２は、補佐者の属性情報と、認証の対象となるユーザの行った操作とに基づいて、選択した補佐者に対して、ユーザの操作を通知するか否かを判断する。

具体的な例の一つとして、本実施の形態の補佐処理部２２２は、ユーザと補佐者との関係（補佐者の属性情報に基づいて判断できる）に応じて、
（１）選択された補佐者がユーザの直系血族である場合：
すべての操作（例えばすべてのサービスＩＤに関する認証要求）を通知
（２）選択された補佐者がユーザの傍系血族である場合：
予め定めた条件（予め定めたサービスＩＤや、予め定めた金額上限や振り込み先口座番号など）に合致する、あるいは合致しない取引の操作に係る認証要求を通知
（３）選択された補佐者が血族ではなく、保護担当者として設定された補佐者である場合：
予め定めた条件（予め定めたサービスＩＤや、予め定めた金額など）に合致する、あるいは合致しない取引の操作に係る認証要求を通知
…などといった規則を定めておく。そして補佐処理部２２２は、選択された補佐者が上記いずれの場合に対応するかにより、ユーザの行った操作との関係で通知を行うか否かを判断する。

そして通知を行わないと判断したときには、補佐処理部２２２は、この段階で認証部２２１に対して承認が完了した旨の情報を出力する。一方、補佐処理部２２２は、通知を行うと判断すると、選択された補佐者の連絡先（メールアドレス等）に対して所定の補佐処理、例えば認証の承認を求めるメッセージを送信する。

ここでの例では、補佐処理部２２２は、メッセージを送信する際に、メッセージごとに固有の識別情報を発行し、承認の対象となるユーザの操作を表す情報及び、承認することを表す情報を送信するためのウェブサイト（承認用サイト）へのリンクや承認しないことを表す情報を送信するためのウェブサイト（否認用サイト）へのリンクなどとともにこの固有の識別情報を含むメッセージを送信する。

補佐処理部２２２は、このリンクに、上記固有の識別情報を例えばパラメータとして含めておくものとする。補佐処理部２２２は、メッセージの送信先（選択した補佐者）が、承認用サイトあるいは否認用サイトへアクセスしたときに、上記固有の識別情報を取得し、当該識別情報で識別される承認の対象となるユーザの操作を特定して、当該操作についての認証を、補佐者が承認したか（承認用サイトへアクセスしたか）否か（否認用サイトへアクセスしたか）を判断する。もっとも、このような補佐者の意思を確認するための処理は、この例に限られず、いわゆるワンタイムパスワードを発行して補佐者に通知し、当該補佐処理部２２２が提供するウェブサイトにおいてワンタイムパスワードの入力を行わせるなど種々の広く知られた方法を採用できる。

補佐処理部２２２は、選択した補佐者が、承認の対象となるユーザの操作を承認したと判断すると、認証部２２１に対して承認が完了した旨の情報を出力する。また、選択した補佐者が、承認の対象となるユーザの操作を承認しなかったと判断すると、補佐処理部２２２は、認証部２２１に対して承認がされなかった旨の情報を出力する。 本実施の形態のこの例によると、例えば未成年のユーザがサーバ装置２において商品を購入しようとしたときに、サーバ装置２が本実施の形態の認証情報管理装置１に対して認証を要求する。そして認証情報管理装置１が当該未成年のユーザのユーザ名及びパスワードが登録された認証情報に一致しているか否かを判断する。また認証情報管理装置１は、当該ユーザに関連付けて補佐者（例えば当該ユーザの親）を特定する情報が登録されているときには、当該補佐者を選択して、選択した補佐者に対してユーザの操作（商品の購入）を通知し、当該操作を承認するか否かを問い合わせる。

そして認証情報管理装置１がユーザの操作を承認する旨の指示を、上記通知した補佐者から受け入れると、認証情報管理装置１は認証の要求を行ったサーバ装置２に対して認証に成功した旨の通知を行い、サーバ装置２は、ユーザの商品購入の手続きを進める。

一方、認証情報管理装置１がユーザの操作を承認しない旨の指示を、上記通知した補佐者から受け入れたときには、認証情報管理装置１は、認証情報の認証に成功していても、認証の要求を行ったサーバ装置２に対しては認証に失敗した旨の通知を行う。そしてサーバ装置２は、この場合は、ユーザの商品購入の手続きを中止する。

なお、ここでの補佐処理部２２２が利用する補佐者の選択の規則や、補佐者へ通知するか否かを表す規則は一例であり、例えば認証情報管理装置１の管理者や、補佐者となり得る者などが任意に設定することとしてもよい。

また補佐処理部２２２は、補佐者に対してメッセージを送信する際に、認証を要求したサーバ装置２に係るサービスを特定する情報（例えばサーバ装置２が提供するウェブサイトのＵＲＬなど）と、所定の承認用情報（例えばメッセージ送信時に発行したワンタイムパスワードなど）とを送出して、サーバ装置２に対して当該承認用情報の入力をするよう求めてもよい。承認の処理において必要であれば補佐処理部２２２は、ユーザの認証には成功し、補佐者の承認を求めている旨の情報を、認証を要求したサーバ装置２に対して送出する。このとき補佐処理部２２２は、ここで発行したワンタイムパスワードなどの承認用情報を、認証を要求したサーバ装置２に対して送出する情報に含めてもよい。

この例では、補佐者は認証を求めたサーバ装置２に対してアクセスして、発行されたワンタイムパスワードなどの承認用情報を入力することで承認を行うか、あるいは、承認用情報を入力せずに、サーバ装置２に対してアクセスして承認を拒否する旨の入力を行う。

そしてこの例ではサーバ装置２は、ユーザの認証には成功し、補佐者の承認を求めている旨の情報を受けると、補佐者からの承認用情報の入力を待機し、承認用情報が入力されたときに、認証に成功したものとして、ユーザから要求された処理を実行することとなる。

補佐者管理部２３は、ユーザからの要求に応じて、ユーザデータベースの当該要求したユーザを特定する情報に、当該ユーザの補佐者を特定する情報を記録する。また、この補佐者管理部２３は、ユーザからの要求に応じて、ユーザデータベースの当該要求したユーザを特定する情報に関連付けられた補佐者を特定する情報を削除する。

さらに補佐者管理部２３は、所定のタイミングごとに、ユーザデータベースのユーザの属性情報を参照して、属性情報が予め定められた条件を満足することとなっている（あるいは満足しない状態となった）ときに、ユーザにかかる補佐者の変更を案内する案内手段として機能する。一例としてこの補佐者管理部２３は、例えば２４時間ごとにユーザデータベースに登録されている各ユーザの属性情報を参照して、各ユーザの年齢が変化したか否かを調べる。

そして補佐者管理部２３は、年齢が変化したユーザについては、その変化後の年齢の情報に基づく、例えば次のような規則を用いて、補佐者の変更を案内するか否かを判断する。ここで規則は例えば次のようなものである。

（１）年齢が変化して、ユーザが成年の年齢に達した：
当該ユーザの補佐者が存在すれば、当該ユーザを特定する情報に関連付けられた補佐者を特定する情報を、ユーザデータベースから削除するよう、当該ユーザまたは補佐者に対して案内する。
（２）年齢が変化して、ユーザが所定の老齢（例えば７５才）に達した：
当該ユーザの属性情報として認知症に関する症状がある旨の記録があれば、当該ユーザに補佐者を設定するよう、当該ユーザまたは当該ユーザの血族として補佐者データベースに登録されている者に対して案内する。
…

この補佐者管理部２３の動作により、ユーザ自身、あるいは補佐者（となり得る者）は、補佐者の変更について案内を受けることが可能となり、ユーザデータベースに格納されたユーザに関連付けられている補佐者を特定する情報を追加、削除、あるいは変更（補佐者を交代）する操作の契機となる。

また本実施の形態の別の例では、この補佐者管理部２３は、所定のタイミングごとに、ユーザデータベースのユーザの属性情報を参照して、属性情報が予め定められた条件を満足することとなっている（あるいは満足しない状態となった）ときに、ユーザにかかる補佐者に関する設定を、人為的操作なしに変更してもよい。

例えば本実施の形態のある例では、補佐者管理部２３は、ユーザデータベースのユーザの属性情報を２４時間経過ごとに調べ、成人しており、かつ老齢に達していないユーザを特定する情報に関連付けられた補佐者を特定する情報を、ユーザデータベースから削除、もしくは無効化（補佐者として無効となった旨を登録）する処理を行う。

このように人為的操作なくユーザデータベースを変更する場合、補佐者管理部２３は、当該変更について、対応するユーザや、補佐者に対して、変更をする（あるいは変更した）旨の情報を電子メール等で送信して、変更があったことを知らせることとしてもよい。

さらに本実施の形態の一例では、この補佐者管理部２３は、ユーザＵの補佐者であるユーザＡからの要求を受けて、他のユーザＢを補佐者として登録してもよい。この例では補佐者管理部２３は、ユーザＡから、ユーザＵを特定する情報とともに、補佐者Ｂを登録するべき旨の要求を受けると、ユーザデータベースからユーザＵの情報を参照し、ユーザＵを特定する情報に補佐者としてユーザＡを特定する情報が関連付けられているか否かを調べる。

補佐者管理部２３は、ここで、ユーザデータベースに格納されたユーザＵを特定する情報に、補佐者としてユーザＡを特定する情報が関連付けられていれば、ユーザデータベースを更新し、当該要求によって指定されたユーザＵを特定する情報に、当該ユーザＵの補佐者を特定する情報として、補佐者Ｂの情報を記録する。

また、補佐者管理部２３は別の補佐者を登録しようとする補佐者（この場合はユーザＡ）の属性等によって、別の補佐者の登録を許諾するか否かを判断してもよい。この例では、補佐者管理部２３は、補佐者データベースを参照して、ユーザＵの補佐者であるユーザＡに係る属性情報（Ｐｐ）等を取得する。

そして補佐者管理部２３は、当該取得した、補佐者であるユーザＡの属性情報（Ｐｐ）等に基づいて、ユーザデータベースの更新を許可するか否かを判断する。この例では例えば、補佐者であるユーザＡがユーザＵの直系血族である場合に限りユーザデータベースを更新し、当該要求によって指定されたユーザＵを特定する情報に、当該ユーザＵの補佐者を特定する情報として、補佐者Ｂの情報を記録することとしてもよい。

さらに、登録しようとする補佐者（この場合はユーザＡ）の属性等を考慮する例に代えて、あるいはその例の処理に加えて、補佐者管理部２３は登録されようとする別の補佐者の属性等によって、当該別の補佐者の登録を許諾するか否かを判断してもよい。この例では、補佐者管理部２３は、補佐者データベースを参照して、ユーザＡが登録しようとする別の補佐者として指定したユーザＢに係る属性情報（Ｐｐ）等を取得する。

そして補佐者管理部２３は、当該取得したユーザＢの属性情報（Ｐｐ）等に基づいて、ユーザデータベースの更新を許可するか否かを判断する。この例では例えば、登録が要求されているユーザＢが、ユーザＵの直系血族である場合、あるいはユーザＢが特定の職業者（例えば医師）であるときに限り、ユーザデータベースを更新し、当該要求によって指定されたユーザＵを特定する情報に、当該ユーザＵの補佐者を特定する情報として、補佐者Ｂの情報を記録することを許諾する。なお、ユーザＡの属性も考慮する場合は、補佐者管理部２３は、ユーザＡ，ユーザＢの属性情報がそれぞれ所定の条件を満足する場合に限り、ユーザＵの補佐者を特定する情報として、補佐者Ｂの情報を記録することを許諾する。

本実施の形態のこの例によると、例えば、ユーザＵが小児である場合や、意識を失っている場合などにおいて、そのユーザＵの補佐者が、医師等を補佐者として登録して、薬局等のサーバ装置２にアクセスして処方されている薬品の情報等の取得を可能にできる。

［ユーザの属性の他の例］
またここまでの説明ではユーザの属性情報として年齢を参照する処理について説明してきたが、処理のために参照される属性情報は年齢の情報だけに限られず、例えば性別や、高齢者か否かの別、学校・勤務先の情報、住居所在地、世帯主であるか否かの別などの種々の情報を含んでもよい。また病歴や通院の状態、処方されている薬剤の情報や、保険の情報、受けている行政サービスの情報等種々の情報を、このユーザの属性情報に含んでもよい。

これにより例えば、認証情報管理装置１が世帯主以外の者が行政に対する手続きを行う際に世帯主の承認を要求したり、子が独立して世帯主となったときにはその時点で補佐者として当該子を特定する情報に関連付けられている元の世帯主を特定する情報を削除したり、といった処理を行うことが可能となる。

［ユーザの属性情報の登録］
また本実施の形態の一例では、認証情報管理装置１の制御部１１が、所定の行政機関の端末等からのアクセスを受けて（属性情報として所定の行政機関の担当者である旨が設定されている、認証したユーザからのアクセスを受けて）、ユーザデータベースに格納された属性情報等の所定の情報の変更を受け入れてもよい。例えば制御部１１は、児童相談所等の担当者である旨の属性情報が関連付けられたユーザからの指示により、相談中の児童であるユーザの属性情報に、一次保護の状態にある旨の情報等を登録することとしてもよい。

［動作］
本発明の実施の形態に係る認証情報管理装置１は以上の構成を基本的に備えており、次のように動作する。以下の例では、補佐者が行う補佐処理は、ユーザの認証を承認する処理（認証承認処理）であるものとする。

また以下の例では、あるユーザＡが未成年の状態から成年となり、ユーザＢと結婚して子供Ｃができ、その後ユーザＡが老齢となるまでの各段階での認証情報管理装置１の動作例について説明する。なお、このユーザは、未成年の状態では、補佐者を特定する情報としてこのユーザの親Ｐを特定する情報を関連付けておくものとする。

［（１）未成年の段階］
この段階でユーザＡがサーバ装置２（ここでは商品購入サービスを提供するサーバ装置であるとする）にアクセスして、商品購入を要求すると、図５に例示するように、サーバ装置２が、ユーザＡからユーザ名やパスワード等の認証情報の入力を受けて、本実施の形態の認証情報管理装置１に対して認証を要求する（Ｓ１１）。サーバ装置２は、この要求に、固有の認証要求識別子、及びユーザＡの操作の内容（商品購入である旨、及び金額、支払い先などの情報）を含めておく。

認証情報管理装置１は認証の要求を受けて、ユーザＡの認証情報をユーザデータベースから読み出し、ユーザＡがサーバ装置２に対して入力した認証情報と一致するか否かを判断する（認証処理：Ｓ１２）。

ここでユーザデータベースに記録されているユーザＡの認証情報と、ユーザＡがサーバ装置２に対して入力した認証情報とが一致していなければ、認証情報管理装置１は、認証要求に含まれる認証要求識別子とともに、認証に失敗した旨を、要求元のサーバ装置２に対して送信する。この場合、サーバ装置２は認証要求識別子で識別される認証要求が失敗となったと判断して、商品購入の処理を中断するなどの処理を行うこととなる。

一方、ステップＳ１２において、ユーザデータベースに記録されているユーザＡの認証情報と、ユーザＡがサーバ装置２に対して入力した認証情報とが一致していれば、認証情報管理装置１は、さらにユーザデータベースを参照して、ユーザＡに補佐者が存在するか否かを調べる（Ｓ１３）。

ここではユーザＡの親が補佐者として設定されていることとしているので、認証情報管理装置１は、当該ユーザに関連付けられた補佐者を特定する情報を取得し、次いで当該取得した情報で特定される補佐者の属性情報を、補佐者データベースから取得する（Ｓ１４）。ここでは登録された補佐者が一名であるとする。この場合、認証情報管理装置１は、当該補佐者を選択して、当該選択した補佐者に対してユーザＡの操作（商品購入）を通知するか否かを判断する（Ｓ１５）。

ここでの例では、未成年のユーザについて選択された補佐者が、当該ユーザの直系血族である場合には、すべての操作を通知する、との規則が設定されているものとする。この場合、認証情報管理装置１は、当該設定された規則を参照し、また、ステップＳ１４で取得した、選択した補佐者の属性情報を参照して、選択した補佐者がユーザＡの親（直系血族）であることから、この補佐者に対してユーザＡの操作を通知することとする。

認証情報管理装置１は、ユーザＡについての選択した補佐者の連絡先の情報を取得し、固有の識別情報を発行して、承認の対象となるユーザＡの操作を表す情報と、承認することを表す情報を送信するためのウェブサイト（承認用サイト）へのリンクと、承認しないことを表す情報を送信するためのウェブサイト（否認用サイト）へのリンクとを含むメッセージを、上記取得した連絡先へ送信する（Ｓ１６）。なお、上記ウェブサイトはいずれも、認証情報管理装置１上で動作するウェブサーバが提供するものとする。また認証情報管理装置１は、このリンクに、上記固有の識別情報をパラメータとして含めておくものとする。

さらに認証情報管理装置１は、識別情報とステップＳ１１で受信した認証要求識別子とを関連付けて記憶しておく。

補佐者がこのメッセージを受領して、承認用サイトあるいは否認用サイトへ、上記リンクを操作してアクセスしたときに（Ｓ１７）、認証情報管理装置１は、当該リンクに含まれる固有の識別情報を取得する。そして認証情報管理装置１は、当該識別情報に関連する操作を、補佐者が承認したか（承認用サイトへアクセスしたか）否か（否認用サイトへアクセスしたか）を判断する（Ｓ１８）。

ここで補佐者が否認用サイトへアクセスした場合、認証情報管理装置１は、補佐者が承認しなかったと判断し、上記リンクから取得した識別情報に関連付けて保持している認証要求識別子を取得し、当該認証要求識別子とともに、認証の要求元であるサーバ装置２に対して、認証に失敗したことを表す情報を送出する。この場合、サーバ装置２は認証要求識別子で識別される認証要求が失敗となったと判断して、商品購入の処理を中断するなどの処理を行うこととなる。

ここでは補佐者が承認用サイトへアクセスしたものとする。この場合、認証情報管理装置１は、補佐者が承認したと判断し、補佐者が操作したリンクから取得した識別情報に関連付けて保持している認証要求識別子を取得し、当該認証要求識別子とともに、認証の要求元であるサーバ装置２に対して、認証に成功したことを表す情報を送出する（Ｓ１９）。この場合、サーバ装置２は商品購入の処理を続ける（Ｓ２０）。

［（２）成年の段階］
また認証情報管理装置１は、図６に例示するように、所定のタイミングごとに、ユーザデータベースに登録されている各ユーザについて、年齢などの属性情報が変わったか否かを調べており（Ｓ３１）、例えばユーザＡが成年に達する（成年に達した誕生日が到来する）と、認証情報管理装置１は、ユーザＡの属性情報が変化したと判断する（Ｓ３１：Ｙｅｓ）。

このとき、認証情報管理装置１は、予め定めた規則を参照して、ユーザＡに対して補佐者を変更することを案内するか否かを判断する（Ｓ３２）。ここでは例えば、「年齢が変化して、ユーザが成年の年齢に達した」ときには、「当該ユーザに補佐者が存在すれば、当該ユーザを特定する情報に関連付けられた補佐者を特定する情報を、ユーザデータベースから削除するよう、当該ユーザまたは補佐者に対して案内する」旨の規則が設定されているものとする。

この場合、認証情報管理装置１は、ユーザＡが成年に達しているので、通知をすると判断し（Ｓ３２：Ｙｅｓ）、ユーザＡとその親との連絡先に、「ユーザＡが成年に達したため、補佐者を外してはどうか」という旨の案内（以下、補佐状態変更案内と呼ぶ）を送信する（Ｓ３３）。この案内を受けたユーザＡまたはその補佐者は、認証情報管理装置１に対してアクセスし、ユーザデータベースにおいて、ユーザＡを特定する情報に関連付けて記録されている、補佐者を特定する情報を削除するよう指示する。そして認証情報管理装置１がユーザデータベースにアクセスし、ユーザデータベースから、ユーザＡを特定する情報に関連付けて記録されている、補佐者を特定する情報を削除する。

なお、年齢など属性情報に変化がないユーザ、または属性情報が変化していても通知しないと判断した場合（Ｓ３１：Ｎｏ、またはＳ３２：Ｎｏの場合）は、認証情報管理装置１は当該ユーザについては何もしないこととしてよい。

この後、例えばユーザＡが上述の未成年の間の例と同じサーバ装置２にアクセスして、商品購入を要求すると、当該サーバ装置２が、ユーザＡからユーザ名やパスワード等の認証情報の入力を受けて、本実施の形態の認証情報管理装置１に対して認証を要求する（この要求には固有の認証要求識別子を含めておく）。

認証情報管理装置１は認証の要求を受けて、ユーザＡの認証情報をユーザデータベースから読み出し、ユーザＡがサーバ装置２に対して入力した認証情報と一致するか否かを判断する（認証処理）。そしてここでユーザデータベースに記録されているユーザＡの認証情報と、ユーザＡがサーバ装置２に対して入力した認証情報とが一致していたならば、認証情報管理装置１は、さらにユーザデータベースを参照して、ユーザＡに補佐者が存在するか否かを調べる。

ここではユーザＡについての補佐者の情報が削除されているので、認証情報管理装置１はユーザＡに補佐者が存在しないと判断し、先の認証処理の結果として、サーバ装置２から受信した認証要求識別子とともに、当該サーバ装置２に対して、認証に成功したことを表す情報を送出する。この場合、サーバ装置２は商品購入の処理を続けることとなる。

このように、本実施の形態の例では、ユーザが自立して行動できる年齢に達したと判断されるときに、ユーザ自身や補佐者等に対して補佐者を外すといった設定が案内される。

［補佐者の変更を制限する例］
なお、不正の目的で補佐者を変更することがないよう、認証情報管理装置１は、補佐状態変更案内を送出する際に固有のパスコードを発行して補佐状態変更案内とともに送出することとしてもよい。認証情報管理装置１は、ユーザデータベースを変更する際に、このパスコードの入力を要求してもよい。この例では認証情報管理装置１は、このパスコードが入力されない場合にはユーザデータベースの変更を拒否する。

またこの固有のパスコードを用いる補佐者の変更許否は、対象となるユーザが未成年であるか老齢に達した後である場合に限ることとし、それ以外の場面ではパスコードを用いることなく補佐者を変更（削除を含む）できるようにしてもよい。このように、補佐者の変更の条件は、ユーザの属性情報に応じて異なっていてもよい。

補佐者変更の条件の他の例として、認証情報管理装置１は、未成年であると、成年であるとに関わらず、ユーザの学校への入学や、企業への入社、自衛隊などへの入隊など、ユーザの所属先の組織が変更されたことを条件として、当該新たに所属することとなった組織内での上位者（例えば学校であれば教師や教授、企業であれば上司や会計管理者など）等を、ユーザの補佐者として、人為的操作なく設定してもよい。またこのとき認証情報管理装置１は、所属しないこととなった組織での上位者等については、人為的操作なく、ユーザの補佐者から除くこととしてもよい。

この例によると、ユーザの属性情報としての所属先の情報が変更されたときに、当該変更に応じて、他の人為的操作を要することなく、補佐者が設定され、あるいは設定が削除ないし無効に設定される。

なお、これらの例において、ユーザの所属等の属性情報として、虚偽の情報が登録等されないよう、ユーザデータベースの管理者は、ユーザやその代理者からユーザに関する属性情報の変更要求があったときに、当該変更が事実であることを証明する証拠（書証等）を要求し、証拠により確認ができたときに限り、当該変更要求を認めることとしてもよい。

［（３）婚姻後の段階］
またユーザＡが婚姻により配偶者を得たときには、認証情報管理装置１は、ユーザＡとその配偶者であるユーザＢとに対して、配偶者を補佐者として登録することを案内する補佐状態変更案内を送信してもよい。

［（４）子ができた段階］
さらにユーザＡとその配偶者であるユーザＢとの間に子Ｃができたときには、ユーザＡによって子Ｃの認証情報が、認証情報管理装置１に登録されてもよい。この場合、ユーザＡはさらに補佐者として自らを登録し、補佐者データベースにおいて自身を特定する情報に関連付けて子Ｃが自身の子である旨の属性情報の設定を行っておく。

認証情報管理装置１は、子Ｃが未成年であり、また補佐者データベースによりユーザＡが子Ｃの親であることが認識できるので、ユーザデータベースにおける子Ｃを特定する情報に、ユーザＡを特定する情報を、子Ｃの補佐者を特定する情報として関連付けて登録する。

［（５）子が成年となったとき］
認証情報管理装置１は、ユーザＡの子Ｃが成年に達する（成年に達した誕生日が到来する）と、認証情報管理装置１は、ユーザＣの年齢が成年に達したと判断する。既に述べたように、ここでは例えば、「年齢が変化して、ユーザが成年の年齢に達した」ときには、「当該ユーザに補佐者が存在すれば、当該ユーザを特定する情報に関連付けられた補佐者を特定する情報を、ユーザデータベースから削除するよう、当該ユーザまたは補佐者に対して案内する」旨の規則が設定されている。

そこで認証情報管理装置１は、この規則に従い、ユーザＣとその親であるユーザＡとの連絡先に、「ユーザＣが成年に達したため、補佐者であるユーザＡを外してはどうか」という旨の補佐状態変更案内を送信する。この案内を受けたユーザＡまたはユーザＣは、認証情報管理装置１に対してアクセスし、ユーザデータベースにおいて、ユーザＣを特定する情報に関連付けて記録されている、補佐者を特定する情報（ユーザＡを特定する情報）を削除するよう指示する。そして認証情報管理装置１がユーザデータベースにアクセスし、ユーザデータベースから、ユーザＣを特定する情報に関連付けて記録されている、補佐者を特定する情報（ユーザＡを特定する情報）を削除する。

［（６）自己が老齢に達したとき］
その後も認証情報管理装置１は、所定のタイミングごとに、各ユーザの年齢の変化を検出する。そして認証情報管理装置１は、ユーザＡの年齢が予め定めた老齢に達したときには、例えば「年齢が変化して、ユーザが老齢に達した」ときには、「当該ユーザに補佐者が存在しなければ、当該ユーザを特定する情報に関連付けて自分より下位の直系血族または保護担当者を特定する情報を補佐者として記録し、ユーザデータベースを更新するよう、当該ユーザに対して案内する」旨の規則に従い、ユーザＡに対して、この旨の補佐状態変更案内を送信する。

この案内を受けたユーザＡは、認証情報管理装置１に対してアクセスし、ユーザデータベースにおいて、ユーザＡを特定する情報に関連付けて、例えばユーザＣを補佐者として登録するよう指示する。そして認証情報管理装置１はユーザデータベースにアクセスし、ユーザデータベースにおいて、ユーザＡを特定する情報に、補佐者としてユーザＣを関連付けて記録する。

この後、ユーザＡがサーバ装置２（商品購入サービスを提供するサーバ装置であるとする）にアクセスして、例えば比較的少額の商品購入を要求すると、図５に例示した処理と同様に、サーバ装置２が、ユーザＡからユーザ名やパスワード等の認証情報の入力を受けて、本実施の形態の認証情報管理装置１に対して認証を要求する。認証情報管理装置１は、この要求に、固有の認証要求識別子、及びユーザＡの操作の内容（商品購入である旨、及び金額、支払い先などの情報）を含めておく。

すると認証情報管理装置１が認証の要求を受けて、ユーザＡの認証処理（ステップＳ１２）を実行し、認証処理に成功したときにはさらにユーザデータベースを参照して、ユーザＡに補佐者が存在するか否かを調べる。

この段階ではユーザＣが補佐者として設定されているので、認証情報管理装置１は、当該ユーザＣを補佐者として選択し、その属性情報を、補佐者データベースから取得する。そして認証情報管理装置１は、当該選択した補佐者であるユーザＣに対してユーザＡの操作（商品購入）を通知するか否かを判断する。

ここでの例では、老齢のユーザについて選択された補佐者が、当該ユーザの直系血族である場合には、予め定められた金額を超える商品購入である場合に限り通知する、との規則が設定されているものとする。この場合、認証情報管理装置１は、当該設定された規則を参照し、さらに選択した補佐者であるユーザＣの属性情報と認証の要求に係るユーザＡの操作の内容とを参照して、選択した補佐者がユーザＡの子（直系血族）であるが、ユーザＡの購入金額が少額であるので、ユーザＣに対しては、ユーザＡの操作を通知しないこととする。

この場合、認証情報管理装置１は、受け入れた認証要求識別子とともに、認証の要求元であるサーバ装置２に対して、認証に成功したことを表す情報を送出する。そしてサーバ装置２は商品購入の処理を続ける。

［複数の補佐者］
さらに、本実施の形態では、一人のユーザに対して複数の補佐者が設定されていてもよい。この場合、認証情報管理装置１は、既に説明したように、例えばユーザの属性情報に基づいて複数の補佐者のうち一人を選択し、選択した補佐者に対して通知を行うか否かを判断することとしていた。しかしながら本実施の形態はこれに限られない。

例えばユーザに複数の補佐者が設定されている場合、認証情報管理装置１は、一人の補佐者を選択することなく、当該複数の補佐者のそれぞれに対して通知を行うか否かを判断し、通知を行うと判断した補佐者に対しては、ユーザの操作を通知することとしてもよい。

また、別の例では、認証情報管理装置１は、一人の補佐者を選択して通知を行うか否かを判断した後、通知を行わないと判断したときには、当該選択した補佐者を除いて、別の補佐者を規則に従って選択し、通知を行うか否かを判断する、という処理を、通知を行う補佐者が見いだされるか、すべての補佐者に対して通知を行わないと判断するまで繰り返して行ってもよい。

具体的に、補佐者を選択することなく、当該複数の補佐者のそれぞれに対して通知を行うか否かを判断する場合としては、上述の例においてユーザＡが老齢に達した後、例えばケアワーカーなどの保護担当者が、子であるユーザＣとともに補佐者として登録される場合があり得る。この場合に、例えばユーザＡが日常の支援活動の要求を、介護サービス業者のサーバ装置２に対して行ったり、ケアに関する行政サービスの要求を行政のサーバ装置２に対して行ったりした場合に、認証情報管理装置１は、これらの要求の操作についてはユーザＣではなく、保護担当者に対して通知し、予め登録されていない口座への振り込みの要求を銀行のサーバ装置２に対して行ったといった場合には、この操作についてはユーザＣと、保護担当者との双方に通知するなどといった処理が可能となる。

さらに本実施の形態のある例では、このように複数の補佐者が存在する場合、認証情報管理装置１は、所定の人数（例えば登録された補佐者の５割などとして割合で定めてもよいし、人数の数値を定めてもよい）の補佐者が補佐処理を行う（例えば承認する）まで認証が成功したものとした処理を行わないよう制御してもよい。

［操作の委任］
本実施の形態においてユーザは、自分自身が電子機器の操作ができない状態に置かれる場合や、操作が可能な年齢に達していないなどの場合を考慮して、ユーザは予め他者に対して委任を設定できるようにしておいてもよい。

具体的に、ユーザデータベースに登録されたユーザを特定する情報に関連付けて、ユーザ自身（以下区別のため、本人ユーザと呼ぶ）の認証情報のほかに、他のユーザの認証情報を記録して、当該他のユーザが本人ユーザに代わってサーバ装置２に対して、本人ユーザに関する所定の操作を要求できるようにしておいてもよい。

本実施形態のある例では、ユーザ（本人ユーザ）は、ユーザデータベースに登録された自分自身を特定する情報に関連付けて、他のユーザの認証情報と、当該他のユーザがサーバ装置２に対して要求可能な操作を特定する情報と、委任する期間に係る情報とを記録する。またこの他のユーザの認証情報には、当該他のユーザが操作を行ったときに当該他のユーザの操作を承認するための補佐者を特定する情報がさらに関連付けられて記録されていてもよい。

ここで他のユーザがサーバ装置２に対して要求可能な操作を特定する情報は、例えば既に説明したサービスＩＤや、パラメータに関する条件などを用いて表すことができる。具体的に、入院中に税務手続きを委任したい場合には、ユーザは、税務手続きに関して行政庁が発行するサービスＩＤを、ユーザデータベースに登録された自分自身を特定する情報に関連付けて他のユーザがサーバ装置２に対して要求可能な操作を特定する情報として記録させる。

また委任する期間に係る情報は、必ずしも必要でないが、例えば設定から１０日間だけ有効化する、といったような設定を可能としておく。

一例として本人ユーザであるユーザＡが、ユーザデータベースに登録された自分自身を特定する情報に関連付けて、他のユーザであるユーザＢのための認証情報（ユーザＢがユーザデータベースにユーザＢ自身を特定する情報に関連付けて記録している認証情報と同一である必要はない）ＲＢと、当該ユーザＢがサーバ装置２に対して要求可能な操作を特定する情報として、「家賃振込」として指定した金額を振り込むことを、銀行のサーバ装置２に対して操作することを許容する情報ＲＣとを記録する。またこのユーザＡはこれらの情報に加え、ユーザＣを補佐者として特定する情報を記録しておくものとする。

このとき、ユーザＢが銀行のサーバ装置２にアクセスして、ユーザＡに代わって上記認証情報ＲＢを入力して家賃振込を要求すると、サーバ装置２が、ユーザＢが入力した上記認証情報ＲＢを認証情報管理装置１に対して送信して、認証を要求する。このときサーバ装置２は、この要求に、固有の認証要求識別子、及びユーザＢの操作の内容（振込である旨、及び金額、支払い先などの情報）を含めておく。

認証情報管理装置１は認証の要求を受けて、ユーザＢが入力した認証情報をユーザデータベースから検索する。このとき認証情報管理装置１は、各ユーザが自身の認証情報として登録したものだけでなく、各ユーザが委任した他者の認証情報として登録したものを含めて検索する。認証情報管理装置１は、この検索処理により、ユーザＡを特定する情報に関連付けられたユーザＢの認証情報を見いだして、当該認証情報に関連付けられた、サーバ装置２に対して要求可能な操作を特定する情報を読み出す。

ここでユーザデータベースに、ユーザＢが入力した認証情報に関連付けられて記録されている情報で特定される、サーバ装置２に対して要求可能な操作が、サーバ装置２が送出したユーザＢの操作の内容と異なる場合は、認証情報管理装置１は、認証要求に含まれる認証要求識別子とともに、認証に失敗した旨を、要求元のサーバ装置２に対して送信する。この場合、サーバ装置２は認証要求識別子で識別される認証要求が失敗となったと判断して、振り込み操作を拒否する。

一方、ここでユーザＢが入力した認証情報に関連付けられて記録されている情報で特定される、サーバ装置２に対して要求可能な操作が、サーバ装置２が送出したユーザＢの操作の内容と一致していれば、認証情報管理装置１は、さらにユーザデータベースを参照して、ユーザＢが入力した認証情報に関連付けて、補佐者を特定する情報が存在するか否かを調べる。

ここではユーザＣが補佐者として設定されていることとしているので、認証情報管理装置１は、当該補佐者であるユーザＣを特定する情報を取得し、次いで当該取得した情報で特定される補佐者の属性情報を、補佐者データベースから取得する。認証情報管理装置１は、補佐者であるユーザＣの連絡先の情報を取得し、固有の識別情報を発行して、承認の対象となるユーザＢの操作を表す情報と、承認することを表す情報を送信するためのウェブサイト（承認用サイト）へのリンクと、承認しないことを表す情報を送信するためのウェブサイト（否認用サイト）へのリンクとを含むメッセージを、上記取得した連絡先へ送信する。なお、上記ウェブサイトはいずれも、認証情報管理装置１上で動作するウェブサーバが提供するものとする。また認証情報管理装置１は、このリンクに、上記固有の識別情報をパラメータとして含めておくものとする。

さらに認証情報管理装置１は、識別情報と認証要求識別子とを関連付けて記憶しておく。

補佐者がこのメッセージを受領して、承認用サイトあるいは否認用サイトへ、上記リンクを操作してアクセスすると、認証情報管理装置１は、当該リンクに含まれる固有の識別情報を取得する。そして認証情報管理装置１は、当該識別情報に関連する操作を、補佐者が承認したか（承認用サイトへアクセスしたか）否か（否認用サイトへアクセスしたか）を判断する。

ここで補佐者が否認用サイトへアクセスした場合、認証情報管理装置１は、補佐者が承認しなかったと判断し、上記リンクから取得した識別情報に関連付けて保持している認証要求識別子を取得し、当該認証要求識別子とともに、認証の要求元であるサーバ装置２に対して、認証に失敗したことを表す情報を送出する。この場合、サーバ装置２は認証要求識別子で識別される認証要求が失敗となったと判断して、ユーザＢによる振り込みの操作を拒否する。

また補佐者であるユーザＣが承認用サイトへアクセスした場合、認証情報管理装置１は、補佐者が承認したと判断し、補佐者が操作したリンクから取得した識別情報に関連付けて保持している認証要求識別子を取得し、当該認証要求識別子とともに、認証の要求元であるサーバ装置２に対して、認証に成功したことを表す情報を送出する。そしてサーバ装置２はユーザＢによる振り込みの操作の要求に応じて、振り込みの手続きを実行する。

このような処理を可能としておくと、例えば入院中、看護師などに種々の手続きの代理を委任できるようになるとともに、補佐者として親や配偶者を設定しておけば、悪意のある受任者が不正な手続きを行うことを防止できることとなり、利便性を向上できる。

さらに、本実施の形態の認証情報管理装置１がアクセスするユーザデータベースには、乳幼児のユーザが登録されてもよい。このようにユーザが乳幼児である場合など、自ら補佐者を設定できない場合があることを考慮して、補佐者となろうとする者が本人ユーザの補佐者としてユーザデータベースを更新できるようにしておいてもよい。

例えば、子の出生時に両親のいずれかが、当該出生した子をユーザとして登録する場合に、親が、親自身を、当該子の補佐者として登録する例が考えられる。

この場合、当該子に係るアカウントに、不正な補佐者が関連付けられることを防止するため、認証情報管理装置１は、出生届を受け付けた地方自治体の端末からアクセスがあったときに限り、ユーザデータベースの子のアカウントに対する補佐者の登録を可能とすることとしてもよい。このように地方自治体などの公的な機関での登録のみを可能とすることで不正な登録を排除する。

あるいは、認証情報管理装置１は、本人ユーザ以外のユーザから補佐者を設定する要求を受けたときに、補佐者の設定時に国や地方自治体が付与する本人ユーザ（例えば子）と、その補佐者となろうとする者（例えば親）との個人番号（マイナンバー等）の入力を求めてもよい。このように個人番号を用いる場合、
（１）個人番号により取得される本人ユーザの年齢（月齢）が所定の値（例えば３才）を下回るなど、本人ユーザに、自ら補佐者を設定できない事情があること、かつ、
（２）補佐者となろうとする者の個人番号が、当該本人ユーザの親権者の個人番号に一致するなど、本人ユーザと補佐者との間に、予め補佐者として適切であると判断される所定の関係があること、または補佐者が弁護士など、所定の資格を有する者であること
といった条件を満足する場合に、当該補佐者となろうとする者を、本人ユーザの補佐者として登録することとすればよい。

［補佐者の予約］
さらにユーザは、所定の条件を満足するときに補佐者となるべき他者を予め指名しておくこととしてもよい。この場合、認証情報管理装置１は、本人ユーザ以外のユーザから補佐者を設定する要求を受けたときに、当該要求により、補佐者となろうとする者が予め本人ユーザから補佐者となるべき他者として指名されているか否かを調べ、指名されている場合に、当該補佐者となろうとする者を、本人ユーザの補佐者として登録する。

［補佐処理の他の例］
またここまでの説明では、補佐者による補佐の処理として、認証処理の段階で、認証の承認を得る処理を例として説明したが、本実施の形態の補佐処理は、この例に限られない。

本実施の形態において、認証情報管理装置１が補佐者に要求する補佐の処理は、
（レベル１）手続きを代理するレベル
（レベル２）手続きを承認するレベル
（レベル３）情報を参照するレベル
というように、本人ユーザに対する影響の大きさの段階別に複数定められてもよい。このレベルは、補佐者ごと（補佐者と補佐の対象となるユーザを特定する情報の組ごと）に定められ、補佐者データベースに記録されてもよい。

このうち、（レベル３）情報を参照するレベルの処理では、認証情報管理装置１は、例えばoauthにおける認可サーバとして機能する。この例では、補佐者が本人ユーザの情報（例えば本人ユーザの学校の成績情報）を保持するサーバ装置２（リソースオーナーに相当する）に本人ユーザとしてアクセスして認可要求を行う。そしてサーバ装置２が認可グラントを本人としてアクセスした補佐者に対して提供する。補佐者は、認証情報管理装置１に対して（補佐者としてアクセスして）、当該提供された認可グラントを用いて本人ユーザのアクセストークンの発行を要求する。

認証情報管理装置１は、ユーザデータベースに保持された本人ユーザを特定する情報に、当該補佐者が関連付けられているか否かを調べ、関連付けられていると確認されると（また本人ユーザと当該補佐者とを特定する情報とに関連付けられた処理許可のレベルがレベル３を含むならば）、本人ユーザのアクセストークンを発行する。なお、ここで補佐者に関して本人ユーザの情報へのアクセスの権限が設定されている場合には、認証情報管理装置１は、認可グラントを行ったサーバ装置２が提供する情報が、当該権限により補佐者に対して提示可能な情報として設定されているか否かを調べ、補佐者に対して提示可能として設定されている場合に限り、本人ユーザのアクセストークンを発行することとしてもよい。

そして認証情報管理装置１は、本人ユーザのアクセストークンを発行すると、このアクセストークンを、本人ユーザではなく、補佐者であるユーザに対して送出する。

補佐者は、このようにして認証情報管理装置１が発行したアクセストークンを、サーバ装置２に対して送出し、情報の提供を求める。サーバ装置２は、このアクセストークンを検証し、本人ユーザのアクセストークンであることを確認すると、本人ユーザの情報を、補佐者であるユーザに対して提示する。

また（レベル２）手続きを承認するレベルについては、既に説明したが、この例においても、認証情報管理装置１は、本人ユーザを特定する情報に、当該補佐者が関連付けられているか否かを調べる際に、併せて、本人ユーザと当該補佐者とを特定する情報とに関連付けられた処理許可のレベルがレベル２を含むことを条件としてレベル２の処理を実行することとしてもよい。またこのレベル２での補佐処理としては、手続きの有効性を追って確認する追認の処理が含まれてもよい。

さらに（レベル１）手続きを代理するレベルでも、レベル３に係る処理と同様、認証情報管理装置１は、例えばoauthにおける認可サーバとして機能して、リソースオーナーに相当するサーバ装置２における操作の許否を管理してもよい。もっともこのとき認証情報管理装置１は、レベル３に係る処理においてアクセストークンを提供する場合よりも、制限された補佐者に対してのみ（例えばレベル１の処理が許容された補佐者に対してのみ）、本人ユーザのアクセストークンを提供するように動作してもよい。つまりこの例においても、認証情報管理装置１は、本人ユーザを特定する情報に、当該補佐者が関連付けられているか否かを調べる際に、併せて、本人ユーザと当該補佐者とを特定する情報とに関連付けられた処理許可のレベルがレベル１を含むことを条件としてレベル１の処理を実行することとしてもよい。

例えば認証情報管理装置１は、アクセストークンを要求したユーザが、本人ユーザの補佐者であり、かつ、補佐者データベースに、当該補佐者を特定する情報に関連付けて記録された資格の情報が所定の条件を満足する場合に、本人ユーザのアクセストークンを当該補佐者に対して提供する。

一例として、認可グラントを行ったサーバ装置２が、税務の手続きのためのサーバであった場合には、認証情報管理装置１は、本人ユーザに代わってアクセストークンを要求したユーザが、本人ユーザの補佐者であり、かつ、当該補佐者であるユーザが税理士である場合に限り、当該補佐者に対して本人ユーザのアクセストークンを提供する。

また既に述べた例のように、ユーザＵの補佐者であるユーザＡが他のユーザＢを新たに補佐者として登録することを可能とする場合、当該ユーザＡに係る補佐の処理のレベルを、当該登録するユーザＢのレベルが超えないように制御してもよい。例えば上記の、レベル１からレベル３のうち、ユーザＵの補佐者としてのユーザＡが、ユーザＵの補佐者としてはレベル２の処理までが許容された補佐者であるとして設定されている場合、認証情報管理装置１は、ユーザＡがユーザＢをユーザＵの補佐者として登録する際、当該ユーザＢを、ユーザＵの補佐者として、レベル１の処理を許容するよう設定することを制限する。

さらにこのように、ユーザＵの補佐者であるユーザＡが他のユーザＢを新たに補佐者として登録することを可能とする場合には、認証情報管理装置１は、当該ユーザＢを、ユーザＵの補佐者として、所定のレベル、例えばレベル３の処理をのみを許容するよう設定することとしてもよい。

［データベースの別の態様］
またここまでの説明では、ユーザデータベースや補佐者データベースは記憶部１２に格納されているものとしたが、これら双方、またはいずれか一方が、ネットワークを介してアクセス可能な他のサーバに格納されていてもよい。

さらに、ユーザデータベースと補佐者データベースは一体のデータベースであっても構わない。

１ 認証情報管理装置、２ サーバ装置、１１ 制御部、１２ 記憶部、１３ 通信部、２１ データ取得部、２２ 認証処理部、２３ 補佐者管理部、２２１ 認証部、２２２ 補佐処理部。

Claims (4)

1. ユーザの認証情報を管理する認証情報管理装置であって、
   ユーザごとに、ユーザを特定する情報と、ユーザの属性情報と、ユーザの認証情報とともに、当該ユーザの補佐者を特定する情報を関連付けて保持可能なユーザデータベースにアクセスするアクセス手段と、
   ユーザを特定する情報とともに認証処理の要求を受け入れて、当該要求に応答して、当該受け入れた情報で特定されるユーザの認証情報に基づく認証処理を行うとともに、当該ユーザを特定する情報に関連付けて前記ユーザデータベースに補佐者を特定する情報が登録されているときには、当該情報で特定されるユーザの補佐者による所定の補佐処理を実行する認証処理手段と、
   を含み、
   前記認証処理手段による補佐処理においては、補佐処理の対象とするユーザの属性情報が参照され、当該参照された属性情報に基づいて補佐処理の要否が判断され、
   所定のタイミングごとに、前記ユーザデータベースのユーザの属性情報を参照して、ユーザにかかる補佐者の変更を案内する案内手段をさらに含む認証情報管理装置。
2. 請求項１に記載の認証情報管理装置であって、
   前記認証処理の要求には、認証の対象となるユーザの操作に関する情報を含み、
   前記認証処理手段は、補佐処理として、受け入れた情報で特定される認証の対象となるユーザの操作に関する情報に基づいて、当該ユーザの補佐者ごとに、当該補佐者に対して当該操作に関する通知を行うか否かを判断し、通知を行うと判断した補佐者に対して前記ユーザの操作に関する通知を行う認証情報管理装置。
3. 請求項２に記載の認証情報管理装置であって、
   前記アクセス手段は、
   補佐者の属性情報として少なくとも、
   補佐者の親族または血族、姻族の関係にあるユーザを特定する情報と、
   補佐者の職業に関する情報と、
   補佐者の資格に関する情報と、
   のうち一つを保持する補佐者データベースにアクセスし、
   前記認証処理手段が、前記ユーザの補佐者ごとの前記属性情報に基づいて、当該補佐者に対して前記ユーザの操作に関する通知を行うか否かを判断する認証情報管理装置。
4. コンピュータに、ユーザの認証情報を管理させるプログラムであって、
   ユーザごとに、ユーザを特定する情報と、ユーザの属性情報と、ユーザの認証情報とともに、当該ユーザの補佐者を特定する情報を関連付けて保持可能なユーザデータベースにアクセスするアクセス手段と、
   ユーザを特定する情報とともに認証処理の要求を受け入れて、当該要求に応答して、当該受け入れた情報で特定されるユーザの認証情報に基づく認証処理を行うとともに、当該ユーザを特定する情報に関連付けて前記ユーザデータベースに補佐者を特定する情報が登録されているときには、当該情報で特定されるユーザの補佐者による所定の補佐処理を実行する認証処理手段と、
   所定のタイミングごとに、前記ユーザデータベースのユーザの属性情報を参照して、ユーザにかかる補佐者の変更を案内する案内手段と、
   として、コンピュータを機能させ、
   前記認証処理手段として機能させる際に、補佐処理を行わせるときには、コンピュータに、補佐処理の対象とするユーザの属性情報を参照させ、当該参照した属性情報に基づいて補佐処理の要否を判断させるプログラム。

Images