JP2012108629A - ポリシ判定装置、方法及びプログラム - Google Patents

Abstract

【課題】情報の受渡しに関する複数のポリシが階層構造をなす場合でも、関連するポリシを適切に処理する技術を提供する。
【解決手段】全社と特定部門、全関係先と個別関係先など、階層関係にある対象にそれぞれ対応するポリシが存在する場合に、対象同士の階層関係を予め関係付けておく。そして、特定部門や個別関係先など任意の対象に対応するポリシについて、そのポリシに対応する対象を基に階層関係での上位対象を特定しそれに対応する相手ポリシとの矛盾の有無などを判定し出力する。
【選択図】図１

Description

本発明は、個人情報の管理に関する。

近年、個人情報やプライバシーを保護するため、各種事業者が取得する個人情報の活用や保護といった取扱に関する定め（「ポリシ」と総称することとする）が作成、適用されている。一方、情報処理の分野における事業者間連携や分散処理の発達に伴い、インターネット利用者など顧客の個人情報が、一定の条件下で、異なる事業者の情報システム間で受け渡される場合がある。このような個人情報の授受とポリシに関する従来の技術として、個人情報とそのポリシを組み合わせて装置間で受渡す提案が知られている（例えば、特許文献１参照）が提案されている。

特開２００６−３４４１５６号公報

上記のようなポリシの適用について実効性や効率性を確保するため、本出願人は、個人情報の受渡しに関するポリシの合意とその確認を手順化することを検討した。この場合、個人情報の取扱いに関わる事業者の組織構造や、適用対象とする個人情報の種別、範囲、項目などによっては、共通的な上位のポリシと、特定の場合や分野に関する下位のポリシのように、互いに階層関係を有する複数のポリシを組み合わせるなどして個人情報に適用する必要がある場合も考えられる。

しかし、従来では、そのような階層関係にある複数のポリシを関連付けて処理する技術は存在しなかったので、上記のような場合、個々のポリシを人手で辿って比較し、矛盾の有無など相互関係を判定する必要があった。このため、処理の効率や精度の限界が課題となっており、例えば、情報の提供側と受領側の装置間で、適用するポリシの適否を判定したりそれに基づいてポリシへの合意を確認のうえ個人情報を伝送するなどの自動処理も事実上不可能であった。

上記のような課題に対し、本発明の目的は、情報の受渡しに関する複数のポリシが階層構造をなす場合でも、関連するポリシを適切に処理する技術を提供することである。

上記の目的をふまえ、本発明の一態様（１）は、情報に関する複数のポリシ間の関係を判定するポリシ判定装置であって、ポリシと、そのポリシに対応する対象と、を対応付けて記憶しているポリシ記憶手段と、前記各対象間の階層関係を記憶している階層記憶手段と、判定すべきポリシと、そのポリシに対応する対象と、を取得する判定対象取得手段と、取得された前記対象に対し、前記階層記憶手段に記憶されている前記階層関係において上位階層となっている対象を上位対象として特定する階層特定手段と、特定された前記上位対象に、前記ポリシ記憶手段において対応付けられているポリシを、判定の相手方とする相手ポリシとして特定するポリシ特定手段と、前記判定すべきポリシと、特定された前記相手ポリシと、の関係を判定する関係判定手段と、前記判定の結果を出力する結果出力手段と、を有することを特徴とする。

本発明の他の態様（４）は、上記態様を方法のカテゴリで捉えたもので、コンピュータが、情報に関する複数のポリシ間の関係を判定するポリシ判定方法であって、コンピュータが、ポリシと、そのポリシに対応する対象と、を対応付けて記憶しているポリシ記憶手段を実現し、コンピュータが、前記各対象間の階層関係を記憶している階層記憶手段を実現し、コンピュータが、判定すべきポリシと、そのポリシに対応する対象と、を取得する判定対象取得処理と、コンピュータが、取得された前記対象に対し、前記階層記憶手段に記憶されている前記階層関係において上位階層となっている対象を上位対象として特定する階層特定処理と、コンピュータが、特定された前記上位対象に、前記ポリシ記憶手段において対応付けられているポリシを、判定の相手方とする相手ポリシとして特定するポリシ特定処理と、コンピュータが、前記判定すべきポリシと、特定された前記相手ポリシと、の関係を判定する関係判定処理と、コンピュータが、前記判定の結果を出力する結果出力処理と、を含むことを特徴とする。

本発明の他の態様（５）は、上記態様をコンピュータ・プログラムのカテゴリで捉えたもので、コンピュータを制御することにより、情報に関する複数のポリシ間の関係を判定するポリシ判定プログラムであって、コンピュータに、ポリシと、そのポリシに対応する対象と、を対応付けて記憶しているポリシ記憶手段を実現させ、コンピュータに、前記各対象間の階層関係を記憶している階層記憶手段を実現させ、コンピュータに、判定すべきポリシと、そのポリシに対応する対象と、を取得させ、コンピュータに、取得された前記対象に対し、前記階層記憶手段に記憶されている前記階層関係において上位階層となっている対象を上位対象として特定させ、コンピュータに、特定された前記上位対象に、前記ポリシ記憶手段において対応付けられているポリシを、判定の相手方とする相手ポリシとして特定させ、コンピュータに、前記判定すべきポリシと、特定された前記相手ポリシと、の関係を判定させ、コンピュータが、前記判定の結果を出力させることを特徴とする。

このように、全社と特定部門、全関係先と個別関係先など、階層関係にある対象にそれぞれ対応するポリシが存在する場合に、対象同士の階層関係を予め関係付けておく。そして、特定部門や個別関係先など任意の対象に対応するポリシについて、そのポリシに対応する対象を基に階層関係での上位対象を特定しそれに対応する相手ポリシとの矛盾の有無などを判定し出力する。

これにより、新たなポリシの作成、修正や合意の検討などにあたり、情報の受渡しに関する複数のポリシが階層構造をなす場合でも、それらを手作業で辿って新たなポリシとの関係を判定するなどの負荷が解消され、階層関係に応じた関連するポリシを適切に処理することが可能となる。特に、その処理の精度、迅速性、効率も大幅に改善できるので情報を授受する自動処理も容易になる。

本発明の他の態様（２）は、上記いずれかの態様において、前記階層特定手段は、取得された前記対象に対し、前記階層記憶手段に記憶されている前記階層関係において下位階層となっている対象を下位対象として特定し、前記ポリシ特定手段は、特定された前記下位対象に、前記ポリシ記憶手段において対応付けられているポリシを前記相手ポリシとして特定し、前記関係判定手段は、前記判定すべきポリシと、特定された前記相手ポリシと、の関係を判定することを特徴とする。

このように、与えられた対象の下位対象に対応する下位ポリシについても判定の対象とすることにより、会社として授受する個人情報のポリシについて下部組織ごとのポリシとの矛盾の有無を確認するなど、ポリシについてより多面的に適切な処理を行うことが可能となる。

本発明の他の態様（３）は、上記いずれかの態様において、前記判定ポリシ及び前記相手ポリシはそれぞれ、一又は二以上の条件を記述した条件記述と、前記条件記述に対応するアクションを記述したアクション記述と、を含み、前記関係判定手段は、前記判定ポリシと前記相手ポリシのうち、共通の前記アクション記述に対応する前記条件記述同士について関係の種類を判定し、判定された前記関係に応じて、前記判定ポリシの前記条件記述と前記相手ポリシの前記条件記述とを組み合わせることにより新たなポリシを作成し、又は前記判定ポリシもしくは前記相手ポリシの少なくとも一方を編集するポリシ作成手段を有することを特徴とする。

このように、同じアクションに係る判定ポリシと相手ポリシについて、条件記述同士について関係の種類を判定し、判定した関係に応じて判定ポリシと相手ポリシそれぞれの条件記述を組み合わせて新たなポリシを作成したり、ポリシを編集することにより、任意の階層について上位階層や下位階層と矛盾しないポリシを生成できるので、ポリシの作成や合意についても、その精度、迅速性、効率が大幅に改善でき、情報授受に関する処理の自動化もさらに容易になる。

なお、以下の各態様は、上記各態様との組み合わせに適する追加の構成であり、そのような組み合わせに基づく相乗効果により、情報の受渡しに関するポリシの処理をさらに改善するものである。

追加の一態様（１）は、個人情報の提供側装置と、受領側装置と、を有する情報処理システムにおいて、前記提供側装置は、提供の対象となる前記個人情報を記憶している個人情報記憶手段と、前記個人情報の取扱いに関するポリシについて前記受領側装置との間で所定の合意を確認する合意確認手段と、確認された前記合意を識別する所定の合意識別情報を生成する合意情報生成手段と、生成された前記合意識別情報を前記確認に係る前記ポリシと対応付けて記憶するポリシ合意記憶手段と、前記合意識別情報を前記受領側装置へ送信する確認合意送信手段と、前記個人情報の要求に関連して前記受領側装置から送信された前記合意識別情報を受信する合意情報受信手段と、前記受領側装置から受信された前記合意識別情報を検証する合意情報検証手段と、前記検証の結果が肯定的であった場合に、前記合意識別情報に対応するポリシに係る前記個人情報を前記受領側装置へ送信するために必要な一連の処理を実行するアクセス制御手段と、を有し、前記受領側装置は、前記提供側装置の前記確認合意送信手段から送信された前記合意識別情報を受信する確認合意受信手段と、前記提供側装置から受信された前記合意識別情報を記憶する合意情報記憶手段と、前記合意情報記憶手段に記憶されている前記合意識別情報を前記個人情報の要求に関連して前記提供側装置へ送信する合意情報送信手段と、送信した前記合意識別情報に対応して前記提供側装置から送信された前記個人情報を受信する個人情報受信手段と、を有することを特徴とする。

追加の他の態様（３）は、上記態様を方法のカテゴリで捉えたもので、個人情報の提供側装置と、受領側装置と、を有する情報処理システムにおける情報処理方法において、前記提供側装置において、コンピュータが、提供の対象となる前記個人情報を記憶している個人情報記憶手段を実現し、コンピュータが、前記個人情報の取扱いに関するポリシについて前記受領側装置との間で所定の合意を確認する合意確認処理と、コンピュータが、確認された前記合意を識別する所定の合意識別情報を生成する合意情報生成処理と、コンピュータが、生成された前記合意識別情報を前記確認に係る前記ポリシと対応付けて所定のポリシ合意記憶手段に記憶させる処理と、コンピュータが、前記合意識別情報を前記受領側装置へ送信する確認合意送信処理と、コンピュータが、前記個人情報の要求に関連して前記受領側装置から送信された前記合意識別情報を受信する合意情報受信処理と、コンピュータが、前記受領側装置から受信された前記合意識別情報を検証する合意情報検証処理と、コンピュータが、前記検証の結果が肯定的であった場合に、前記合意識別情報に対応するポリシに係る前記個人情報を前記受領側装置へ送信するために必要な一連の処理を実行するアクセス制御処理と、を実行し、前記受領側装置において、コンピュータが、前記提供側装置の前記確認合意送信処理により送信された前記合意識別情報を受信する確認合意受信処理と、コンピュータが、前記提供側装置から受信された前記合意識別情報を所定の合意情報記憶手段に記憶させる処理と、コンピュータが、前記合意情報記憶手段に記憶されている前記合意識別情報を前記個人情報の要求に関連して前記提供側装置へ送信する合意情報送信処理と、コンピュータが、送信した前記合意識別情報に対応して前記提供側装置から送信された前記個人情報を受信する個人情報受信処理と、を実行することを特徴とする。

このように、個人情報の授受する装置間でのプロトコルなどとして手順化された処理として、情報取扱のポリシに関し予め合意し、以降、合意の識別情報の確認を条件として情報授受などのアクセス制御を適用し、確認できない限り情報授受の前段階となる認証処理画面への遷移もブロックするフィルタリングや、確認できない限り情報授受処理が行われないようにフィルタリングするなどにより、個人情報の受渡しに関するポリシの合意とその確認を手順化でき、ポリシ適用の実効性や効率性が改善できる。

追加の他の態様（２）は、上記いずれかの態様において、前記合意情報生成手段は、前記受領側装置を認証するための所定の認証情報を前記合意識別情報に組み込むことを特徴とする。

このように、ハッシュ関数や暗号などの処理アルゴリズムを用いて、受領側装置を認証するための情報を合意識別情報に組み込むことにより、提供側装置で予め受領側装置を認証する処理が不要となるので、合意識別情報を用いた個人情報提供の処理が迅速化・効率化される。

なお、上記の各態様とは異なるカテゴリ（装置に対し方法、方法に対しプログラムなど）や、以下に説明するさらに具体的な各態様も本発明に含まれる。異なるカテゴリについては、「手段」を「処理」又は「ステップ」のように適宜読み替えるものとする。また、処理やステップの実行順序は以上記述したものに限定されず、その作用原理に反しない範囲で、適宜入れ替えたりまとめて処理するなど、変更可能である。

本発明によれば、情報の受渡しに関する複数のポリシが階層構造をなす場合でも、関連するポリシを適切に処理する技術を提供することができる。

本発明の実施形態の構成を示す機能ブロック図。 本発明の実施形態で用いる情報（データ）を例示する図。 本発明の実施形態で用いる情報（データ）を例示する図。 本発明の実施形態で用いる情報（データ）を例示する図。 本発明の実施形態における処理手順を示すフローチャート（ポリシの合意と合意識別情報に基づく個人情報提供）。 本発明の実施形態における処理手順を示すフローチャート（ポリシ間の関係の判定）。 本発明の実施形態におけるポリシ間の関係の種類を示す概念図。 本発明の実施形態において関係を判定するポリシを示す概念図。 本発明の実施形態において関係を判定しながらポリシを編集する処理手順を示す概念図。 本発明の実施形態における処理手順を示すフローチャート（ドメインポリシの作成と編集）。 本発明の実施形態における処理手順を示すフローチャート（ポリシ間の関係を判定してポリシを編集）。

次に、本発明を実施するための形態（「実施形態」と呼ぶ）について、図に沿って説明する。なお、背景技術や課題などで既に述べた内容と共通の前提事項については適宜省略する。

〔１．構成〕
本実施形態は、図１に示す個人情報の提供側装置１と、提供される個人情報を利用してサービスなどを実施する受領側装置２と、を通信ネットワークＮ（インターネット、携帯電話網、ＬＡＮなど）で接続した情報処理システム（以下「本システム」とも呼ぶ）に関するものである。各装置１，２は、一般的なコンピュータ（電子計算機）の構成として少なくとも、ＣＰＵなどの演算制御部６と、記憶装置７（主メモリ、フラッシュメモリ、ＨＤＤ等）と、通信ネットワークＮとの通信手段８（ＬＡＮアダプタや通信ゲートウェイ装置など）と、を有する。提供側装置１と受領側装置２との間における個人情報などの通信は必要に応じてＶＰＮなどで保護する。

また、各装置１，２では、記憶装置７に予め記憶（インストール）した図示しない所定のコンピュータ・プログラムが演算制御部６を制御することで、図１に示す各手段などの要素（１０，１１，２０，２１など）を実現する。これら各要素のうち情報の記憶手段は、記憶装置７において各種のデータベース（「ＤＢ」とも表す）やファイル、配列等の変数、各種スタックやレジスタ、システム設定値など任意の形式で実現できる。

このような記憶手段のうち、提供側装置１の個人情報記憶手段５５は、提供の対象となる個人情報を記憶している手段であり、個人情報の内容は、氏名、性別、生年月日、電子メールアドレスなど一般的なものでよいので省略する。また、提供側装置１の管理ポリシ記憶手段１８、受領側装置２の活用ポリシ記憶手段２１は、個人情報の取扱いに係るポリシをそれぞれポリシの位置付けに応じて記憶する記憶手段である。ここでいう「ポリシ」は、その内容や表現形式は自由であるが、典型的には、対応する個人情報の内容に応じ、利用者や利用範囲、利用目的のほか、送受信や記憶、活用、削除などにおけるアクセス制御や暗号化といった取扱いについて、所定の表現形式で記述したものである。

ポリシの一例を示す。

ポリシＩＤ： ＸＸＸ
利用者： ○○社
データ種別： 姓名、性別、年齢・・・
利用目的： 広告配信、データ分析・・・
・・・・・・・

また、提供側装置１は、情報に関する複数のポリシ間の関係を判定する部分としてポリシ判定部１ａを持ち、そのような判定を行うポリシ判定装置を兼ねる。このポリシ判定部１ａが実現するポリシ判定装置の機能は、基本的には、あるポリシと上位のポリシとの関係を判定することである。この機能に関連して、管理ポリシ記憶手段１８は、ポリシと、そのポリシに対応する対象（例えば、ポリシの適用対象として、会社やその部署、個人情報の特定の範囲など。「ドメイン」とも呼ぶこととする）と、を対応付けて記憶しているポリシ記憶手段であり、対象であるドメインを示すドメインＩＤと対応付けて記憶されているポリシの例を図２に示す。

また、階層記憶手段１７は、各対象間の階層関係を記憶している手段であり、図３の例では、対象であるドメインのドメインＩＤ（図中の符号を兼ねる）の階層関係を記憶している。例えば、当ドメインＤ１１を中心に考えた場合、その上位階層となるドメイン（「メタドメイン」と呼ぶこととする）はメタドメインＤ０１であり、逆に、当ドメインＤ１１の下位階層となるドメイン（「サブドメイン」と呼ぶこととする）は、サブドメインＤ２１，Ｄ２２，Ｄ２３…となる。

また、記憶手段以外の各手段は、以下のような情報処理の機能・作用を実現・実行する処理手段であるが、説明のために整理した機能単位であり、実際のハードウェア要素やソフトウェアモジュールとの一致は問わない。

〔２．作用〕
上記のように構成した本実施形態における個人情報の受渡しに関する処理手順を図５のフローチャートに示す。処理手順は大まかに、事前に行う合意確認と（ステップＳ１１〜Ｓ１３及びステップＳ２１〜Ｓ２６）、それに基づく個人情報受渡し（ステップＳ１４〜Ｓ１５及びステップＳ２７〜Ｓ３１）に分けることができる。

〔２−１．合意確認時の処理〕
この例では、受領側装置２の合意要求送信手段２２が、今後提供を受けて活用しようとする個人情報に関するポリシの合意要求を提供側装置１へ送信し（ステップＳ１１）、提供側装置１の合意要求受信手段９がその合意要求を受信する（ステップＳ２１）ことを契機として、ポリシに関する合意が以下のように確認されるものとする。

すなわち、提供側装置１では、合意確認手段１０が、個人情報の取扱いに関するポリシについて受領側装置２との間で所定の合意を確認する（ステップＳ２２）。このようなポリシに関する合意の形態や手順は自由で、例えば、提供側装置１から提示するものに単純に受領側装置２が合意するのでもよいし、逆に、受領側装置２が例えば活用ポリシ記憶手段２１から読み出して提示するものに提供側装置１が合意するのでもよいし、双方が提示するポリシ間の一致を確認したり一部修正やその交渉などのプロセスを経て双方が合意するなどでもよい。

合意が確認されると（ステップＳ２３：「ＹＥＳ」）、提供側装置１の合意情報生成手段２０が、図４に例示するように、確認された合意を識別する所定の合意識別情報（図４の例では「ａ１２３」）を生成し（ステップＳ２４）、生成された合意識別情報を確認に係るポリシと対応付けてポリシ合意記憶手段２４に記憶させる（ステップＳ２５）。本実施形態では、合意情報生成手段２０は、ハッシュ関数で合意識別情報に個別の受領側装置２に特有の要素を組み合わせたり、非対称暗号その他の暗号方式で提供側装置１だけが合意識別情報から受領側装置２を識別可能にするなどの処理アルゴリズムを用いて、受領側装置２を認証するための所定の認証情報（識別ＩＤなど）を合意識別情報に組み込むが、この処理は省略する実施形態も可能である。

続いて、提供側装置１の確認合意送信手段３０が、上記のように確認された合意を識別する合意識別情報を受領側装置２へ送信すると、受領側装置２では、確認合意受信手段３２が、提供側装置１の確認合意送信手段３０から送信された合意識別情報を受信し（ステップＳ１２）、このように提供側装置１から受信された合意識別情報を合意情報記憶手段３３に記憶させる（ステップＳ１３）。なお、合意したポリシを合意識別情報と一緒に送信してもよく、こうすれば合意の過程で交渉や一部修正などがあっても最終的合意内容を事後的に容易に確認できる。

〔２−２．個人情報提供時の処理〕
その後、提供側装置１から受領側装置２が個人情報の提供を受けようとするときは、受領側装置２の合意情報送信手段４２が、合意情報記憶手段３３に記憶されている合意識別情報を、個人情報の要求に関連して提供側装置１へ送信する（ステップＳ１４）。ここで、「個人情報の要求に関連して」とは、例えば、受領側装置２の側から、対応する合意情報を最初から添付して個人情報の要求を送信するのでもよいが、次のプロセスも想定できる。

すなわち、受領側装置２の情報要求手段３６からの個人情報の要求を、要求受信手段３７が受信したことを契機に提供側装置１の合意情報要求手段４０が、要求に係る個人情報に対応する合意情報を受領側装置２に要求し、それを受けて受領側装置２の合意情報送信手段４２が、該当する合意情報を合意情報記憶手段３３から読み出して提供側装置１へ送信する（ステップＳ１４）。

提供側装置１では、合意情報受信手段４５が、前記のように個人情報の要求に関連して受領側装置２から送信された合意識別情報を受信し（ステップＳ２７）、合意情報検証手段５０が、受領側装置２から受信された合意識別情報を検証する（ステップＳ２８）。この検証は、受信された合意識別情報について、ポリシ合意記憶手段２４に記憶されている該当の合意識別情報と照合したり、また、受領側装置２の秘密鍵で電子署名が附されている場合はそれを対応する公開鍵で検証して相手の真正性を担保するなど、任意の処理でよい。

そして、アクセス制御手段６０は、受信された合意識別情報がポリシ合意記憶手段２４内の合意識別情報と一致するなど、検証の結果が肯定的であった場合に（ステップＳ２９：「ＹＥＳ」）、合意識別情報に対応するポリシに係る個人情報を個人情報記憶手段５５から読み出して受領側装置２へ送信（ステップＳ３１）するために必要な一連の処理を実行する（ステップＳ３０）。これら一連の処理の内容は自由であり、一連の処理が送信処理そのものであってもよいし、他の例として、情報を受領するため受領側装置２から提供側装置１にログインするためのログイン画面など認証処理画面の表示などをこの処理に含めることにより、提供側装置１の保有する個人情報に対する受領側装置２からのアクセス制御に、ポリシの合意と合意識別情報の検証を条件付けることができる。もちろん、個人情報に係る合意識別情報の送信に先立ち、前もってログインしておくことを排除するものではない。

そして、それら一連の処理に基づいて受領側装置２では、個人情報受信手段６２が、送信した合意識別情報に対応して提供側装置１から送信（ステップＳ３１）された個人情報を受信し（ステップＳ１５）、活用手段１６などにより活用に供し、合意した情報取扱のポリシに応じて、個人情報記憶手段６５に記憶する。個人情報の活用としては、広告配信やデータ分析などが挙げられる。なお、合意の確認（ステップＳ２３）や合意識別情報の検証（ステップＳ２９）が失敗の場合（それぞれ「ＮＯ」）、提供側装置１や受領側装置２は、それぞれに応じたエラー処理を行う。

〔２−３．合意におけるポリシ判定〕
上記のように提供側装置１と受領側装置２との間でポリシについて合意しようとする場合、例えば、双方の有するポリシ同士を比較して両者の関係を判定し、所定の共通性があれば同意を成立させるような場合が考えられる。このような判定は、提供側装置１でも受領側装置２でも実行できるが、以下では、提供側装置１のポリシ判定部１ａで、二つのポリシ間の関係を判定する例を示す。

ここで、ポリシ判定部１ａが実現するポリシ判定装置の機能は、基本的には、あるポリシと上位のポリシとの関係を判定することであるが、この機能は例えば、図３のメタドメインＤ０１が提供側装置１で、当ドメインＤ１１が受領側装置２の場合、受け渡す個人情報について提供側装置１（メタドメインＤ０１）に対応するポリシＰ０１と、受領側装置２（当ドメインＤ１１）に対応するポリシＰ１１と、の関係を判定することに適用できる。

また、社内共通や全個人情報共通というドメインすなわち適用範囲のあるポリシと、個別の事業部門や特定の個人情報内容に特化したポリシと、の関係も判定して両者の一体化などの作業に利用でき、このように社内共通と事業部門のポリシを組み合わせたポリシを当ドメインと考えれば、さらに、取引先をメタドメインやサブドメインと捉えて取引先のポリシとの関係を判定するなど、応用の組合せは各種考えられる。

〔２−４．ポリシ判定の基本処理〕
ポリシ判定部１ａが上記のようにポリシ間の関係を判定する場合の単位となる処理手順を図６のフローチャートに示す（図６の括弧書き内は後述）。すなわち、まず、判定対象取得手段１１が、判定すべきポリシ（「判定ポリシ」と呼ぶこととする）と、その判定ポリシに対応する対象と、を取得する（ステップＳ４１）。例えば、図２及び図３の例では、判定すべきポリシのポリシＩＤがＰ１１なら、ポリシＰ１１に対応する当ドメインＤ１１を取得する。続いて、階層特定手段１２が、取得された対象（例えば当ドメインＤ１１）に対し、階層記憶手段１７に記憶されている階層関係において（図３）上位階層となっている対象（ここではメタドメインＤ０１）を上位対象として特定する（ステップＳ４２）。

続いて、ポリシ特定手段１３が、特定された上位対象（ここではメタドメインＤ０１）に、管理ポリシ記憶手段１８において対応付けられているポリシである上位ポリシ（図２の例ではポリシＰ０１）を、判定の相手方とする相手ポリシとして特定すると（ステップＳ４３）、関係判定手段１４が、判定すべきポリシ（ここではポリシＰ１１）と、特定された相手ポリシ（この場合は上位ポリシであるポリシＰ０１）と、の関係を判定し（ステップＳ４４）、この判定の結果を結果出力手段１５が、例えば合意確認手段１０などに出力する（ステップＳ４５）。

なお、上位対象に限らず、下位階層側の対象に対応するポリシを相手ポリシとして判定を行うこともできる（図６の括弧書き内）。この場合、階層特定手段１２は、取得された対象（例えば当ドメインＤ１１）に対し、階層記憶手段１７に記憶されている階層関係において（図３）下位階層となっている対象（例えばサブドメインＤ２１，Ｄ２２，Ｄ２３…）を下位対象として特定し（ステップＳ４２）、ポリシ特定手段１３は、特定された下位対象に、管理ポリシ記憶手段１８において対応付けられているポリシである下位ポリシを、判定の相手方とする相手ポリシとして特定し（ステップＳ４３）、関係判定手段１４は、判定すべきポリシと、特定された相手ポリシ（この場合は下位ポリシ）と、の関係を判定する（ステップＳ４４）。

また、以上のようなポリシの判定は、図３に例示したような同一ドメイン内に限られるものではなく、他のドメインとの間でポリシの判定を行うことができる。例えば、図３に例示したドメインがあるＡ社の組織で、他のＢ社から当ドメインＤ１１の部署を指定して提供される個人情報のポリシが判定ポリシの場合、このＢ社由来の判定ポリシを、図３の階層関係を辿ることで、Ａ社の当ドメインＤ１１のみならず、メタドメインＤ０１に対応する例えば全社共通ポリシや、Ａ社のサブドメインＤ２１，Ｄ２２…に対応する例えば部課や係の個別ポリシなどを相手ポリシとして、関係の判定を行うことができる。なお、上位階層や下位階層としては、基本的には一つ上（又は下)をみるが、念のためさらに上（又は下）をみるようにしてもよい。

〔２−５．ポリシの例〕
続いて、ポリシの例を示す。例えば、判定ポリシの上位ポリシであるメタポリシ（仮にｐｍ１とする）が、次のようであったとする。

＜メタポリシｐｍ１＞
Rule (
Conditions(
condition(u1.isa(S)) &&
condition(u2.isa(S)) &&
condition(u1.owns(data)) &&
condition(u1.consents(a)) &&
condition(a.isa(Actions)) &&
condition(a != “send(u1,u2,data)”)
)
Action(
¬ do(a)
)
)

ここで、判定ポリシ及び相手ポリシはそれぞれ、一又は二以上の条件を記述した条件記述と、前記条件記述に対応するアクションを記述したアクション記述と、を含むものとする。例えば、上のメタポリシｐｍ１では、「Conditions（）」で囲まれた個々の「condition（）」内が条件記述で、対応するアクション記述は「Action（）」内である。すなわち、「Conditions（）」で囲まれた全ての「condition（）」内に記述された論理式が true であれば、「Action」内のアクションを実行できる。

この例では、個々の条件記述は、変数と、記述子と、引数と、で構成される。例えば、最初の「condition（）」内の「u1」が変数名、「.isa()」は記述子で、例えば「a.isa(b)」にように表記すれば「ａはｂに属する」を意味するものとする。ここでは「Ｓ」はSubject（人）の集合を表わすので、「u1.isa(S)」は、「変数u1は集合Ｓに属する」ことを意味する。また、「&&」はＡＮＤを表わすので、上記の例では６つの条件記述は同時に充足されたときに、「Action（）」が適用される。また、「a.owns(b)」は「ａはｂを所有する」を意味するので、「u1.owns(data)」は、「変数u1はdataを所有する（含む）」ことを意味する。

「Actions（）」内はアクション記述で、アクションの文字列の集合を表わす。また、「!=」は not equal と同じである。さらに、「¬」は、否定の論理演算を表わし、上記では条件記述成立の場合、アクションａの実行は禁止となる。

別のメタポリシの例を示す。

＜メタポリシｐｍ２＞
Rule (
Conditions(
condition(u.isa(S)) &&
condition(u.owns(att)) &&
condition(a.isa(Actions)) &&
condition(a == “manage(att)”) &&
condition(name.isa(att)) &&
condition(address.isa(att))
)
Action(
do(a)
)
)

このメタポリシｐｍ２では、上記メタポリシｐｍ１と同様に、「Conditions()」で囲まれた全ての条件記述「condition()」で表現された論理式が true であれば、「Action()」内のアクションを実行できる。すなわち、「u.isa(S)」（ユーザｕが「Subject」の集合Ｓに含まれ）、「u.owns(att)」（ユーザｕが属性情報の集合「att」を所有し）、「a == “manage(att)”」（アクション集合「Actions」に含まれるアクションａが「属性attを管理する」こと）と規定され、「name.isa(att)」「address.isa(att)」（その「att」に「name」と「address」が含まれる場合）、が全て成立する場合、アクション記述「Action(do(a))」により、そのアクションａを実行してよい。

〔２−６．関係の判定〕
ポリシ間の関係を判定する基準や手法は自由であり、言語処理や文字列処理などの従来技術を適宜用いてセマンティックスに着目して比較し判定すればよい。一例としては、個々の条件記述同士の共通性の判定が単位となる。例えば、メタポリシｐｍ１内の最初の条件記述「u1.isa(S)」と、メタポリシｐｍ２内の最初の条件記述「u.isa(S)」との共通性を例にとれば、変数名「u1」と「ｕ」の共通性を予め定義しておくなどにより変数名を正規化すれば、残りの部分は全く同一であり、両者間の共通性を認めることができる。記述子や引数の共通性も同様に判定できる。

そして、二つのポリシそれぞれの条件記述同士を順列組合せや一部分の共通性（変数、記述子又は引数が同じであるなど）などに基づいて判定し、全てが共通なら等価（収束）、全てが異なれば異別（発散）、一方が他方に条件を付け加えていれば包含（制限や拡張）、一部の条件同士が共通なら一部重複など、集合理論その他の基準で判定し、判定結果に応じた合意その他の処理に適宜利用すればよい。なお、このようなポリシ間の関係の種類を図７に例示するが、関係の種類は他にも自由に定義してよい。

〔２−７．判定結果の応用〕
上記のような判定に基づいて、二つのポリシを組み合わせて新たなポリシを作成したり編集することもできる。この場合、関係判定手段１４は、判定ポリシと相手ポリシのうち、共通のアクション記述に対応する条件記述同士について関係の種類（等価、異別、包含、一部重複など）を判定し、ポリシ作成手段１６が、判定された関係に応じて、判定ポリシの条件記述と相手ポリシの条件記述とを組み合わせることにより新たなポリシを作成し、又は判定ポリシもしくは相手ポリシの少なくとも一方を編集する。

例えば、上記のメタポリシｐｍ１と同じアクションに係るポリシとして、下線部の条件記述を有するドメイン特有ポリシｓｐが存在する場合を考える。

＜ドメイン特有ポリシｓｐ＞
Rule (
Conditions(
condition(medical_records.isa(data))
)
Action(
¬ do(a)
)
)

このドメイン特有ポリシｓｐが、メタポリシｐｍ１の内容を継承することにより下記のドメインポリシｄｐとなる場合を考える。このドメインポリシｄｐでは、下線部以外の条件記述は、メタポリシｐｍ１から継承したものである。

＜ドメインポリシｄｐ＞
Rule (
Conditions(
condition(u1.isa(S)) &&
condition(u2.isa(S)) &&
condition(u1.owns(data)) &&
condition(u1.consents(a)) &&
condition(a.isa(Actions)) &&
condition(a != “send(u1,u2,data)”) &&
condition(medical_records.isa(data))
)
Action(
¬ do(a)
)
)

実際には、受渡しなどの単位となる個人情報群に対応するポリシは、上記のドメインポリシｄｐのような単位となるポリシ（「単位ポリシ」と呼ぶこととする）が必要な数だけ集合したポリシ群である。例として、図８の概念図に示すように、配列pols(m)に格納されたメタドメインポリシを構成する単位ポリシＰｍをインスタンス化（ドメインに合わせて変数名や引数などを具体化すること）して、配列pols(d)に格納された当ドメインなどのドメインポリシに組み込む場合を考える。

そして、組み込んだ結果として得られた配列pols(d)内の各単位ポリシを判定ポリシＰｋとして、相手ポリシＰｊと関係を判定し、判定された関係に応じて判定ポリシＰｋを編集するものとする。ここで、相手ポリシＰｊは、例えば、受領側装置２のように個人情報の受渡し相手方のポリシや、サブドメインのポリシなど（ここでは「ドメイン特有ポリシ」とする）を構成する単位ポリシで、配列polsに格納されているとする。

これら一連の処理の手順を図９（行１から行２６）に示し、その内容を図１０のフローチャートに示す。すなわち、まず、ドメインポリシを格納するためのドメインポリシ格納配列pols(d)を生成し（ステップＳ５１。図９の行１）、上位の親ドメインに対応するメタポリシを取得し格納配列pols(m)に格納する（ステップＳ５２。図９の行２）。そして、未処理のメタポリシを一つ取得し（ステップＳ５３。図９の行３）、そのメタポリシをインスタンス化し（ステップＳ５４。図９の行５）、インスタンス化したメタポリシをドメインポリシ格納配列pols(d)に追加する（ステップＳ５５。図９の行６）という一連の処理を、全てのメタポリシについて処理済となるまで（ステップＳ５６。図９の行３）繰り返す。

全てのメタポリシについて処理済になると（ステップＳ５６：「ＹＥＳ」。図９の行８）、ポリシ間の関係を判定してポリシを編集する処理に進むが（ステップＳ５７）、ステップＳ５７における処理の手順を、さらに具体的に図１１のフローチャートに示す。この処理は、ドメイン特有ポリシを予め配列polsに格納することを前提とし（図８。図９の行９）、全ての判定ポリシについてステップＳ７１とステップＳ８１の間の示す以下の処理を繰り返すもので（図９の行１０〜２５）、具体的には、判定ポリシＰｋを一つ取得するたびに（ステップＳ７２）、全ての相手ポリシＰｊについてステップＳ７３〜Ｓ８０の処理を行う。

すなわち、判定ポリシＰｋと相手ポリシＰｊの関係の判定において、まず、判定ポリシＰｋと相手ポリシＰｊが異別であれば（ステップＳ７４：「ＹＥＳ」。図９の行１３）、ドメインポリシ格納配列pols(d)から判定ポリシＰｋを削除する（ステップＳ７５。図９の行１４）。また、判定ポリシＰｋが相手ポリシＰｊを拡張するものであれば（ステップＳ７６：「ＹＥＳ」。図９の行１５）、ドメインポリシ格納配列pols(d)から判定ポリシＰｋを削除し（図９の行１６）Ｐｊを追加する（ステップＳ７７。図９の行１７）。また、判定ポリシＰｋと相手ポリシＰｊが一部重複であれば（ステップＳ７８：「ＹＥＳ」。図９の行１８）、ドメインポリシ格納配列pols(d)から判定ポリシＰｋを削除する（図９の行２０）一方、ＰｋとＰｊの共通部分を生成し（図９の行１９）追加する（ステップＳ７９。図９の行２１）。

以上の図９から図１１に示した処理によって、図８に例示するようなメタドメインポリシを継承したドメインポリシと、他のドメインのドメイン特有ポリシのように、相互に変数名や値など表現上の相違がある可能性がある複数のポリシ群の間においても、セマンティックスに基づく意味的な関係の判定とそれに基づく編集により、ずれや矛盾が除去された合意可能な状態という関係が実現できる。

〔３．効果〕
以上のように、本実施形態では、個人情報の授受する装置間でのプロトコルなどとして手順化された処理として（例えば図５）、情報取扱のポリシに関し予め合意し、以降、合意の識別情報の確認を条件として情報授受などのアクセス制御を適用し、確認できない限り情報授受の前段階となる認証処理画面への遷移もブロックするフィルタリングや、確認できない限り情報授受処理が行われないようにフィルタリングするなどにより（例えばステップＳ２９）、個人情報の受渡しに関するポリシの合意とその確認を手順化でき、ポリシ適用の実効性や効率性が改善できる。

特に、本実施形態では、ハッシュ関数や暗号などの処理アルゴリズムを用いて、受領側装置を認証するための情報を合意識別情報に組み込むことにより（例えばステップＳ２４）、提供側装置で予め受領側装置を認証する処理が不要となるので、合意識別情報を用いた個人情報提供の処理が迅速化・効率化される。

また、本実施形態では、以上のように、全社と特定部門、全関係先と個別関係先など、階層関係にある対象にそれぞれ対応するポリシが存在する場合に（例えば図２）、対象同士の階層関係を予め関係付けておく（例えば図３）。そして、特定部門や個別関係先など任意の対象に対応するポリシについて、そのポリシに対応する対象を基に階層関係での上位対象を特定しそれに対応する上位ポリシとの矛盾の有無などを判定し出力する（例えば図６）。

これにより、新たなポリシの作成、修正や合意の検討などにあたり、情報の受渡しに関する複数のポリシが階層構造をなす場合でも、それらを手作業で辿って新たなポリシとの関係を判定するなどの負荷が解消され、階層関係に応じた関連するポリシを適切に処理することが可能となる。特に、その処理の精度、迅速性、効率も大幅に改善できるので情報を授受する自動処理も容易になる。

さらに、本実施形態では、与えられた対象の下位対象に対応する下位ポリシについても判定の対象とすることにより（例えば図６の括弧書き）、会社として授受する個人情報のポリシについて下部組織ごとのポリシとの矛盾の有無を確認するなど、ポリシについてより多面的に適切な処理を行うことが可能となる。

加えて、本実施形態では、同じアクションに係る判定ポリシと相手ポリシについて、条件記述同士について関係の種類（例えば図７）を判定し、判定した関係に応じて判定ポリシと相手ポリシそれぞれの条件記述を組み合わせて新たなポリシを作成したり、ポリシを編集することにより（例えば図９から図１１）、任意の階層について上位階層や下位階層と矛盾しないポリシを生成できるので（例えば図８）、ポリシの作成や合意についても、その精度、迅速性、効率が大幅に改善でき、情報授受に関する処理の自動化もさらに容易になる。

〔４．他の実施形態〕
なお、上記実施形態は例示に過ぎず、本発明は、以下に例示するものやそれ以外の他の実施態様も含むものである。例えば、本発明によるポリシ間の関係の判定については、個人情報に限らず、営業秘密そのほか情報全般を対象として、情報に関する複数のポリシ間の関係を判定するのでもよい。また、上記実施形態では、判定された関係に応じて判定ポリシであるドメインポリシを編集する例を示したが、判定された関係に応じて、判定ポリシの条件記述と相手ポリシの条件記述とを組み合わせることにより新たなポリシを作成するようにすれば、よりダイナミックなポリシの処理が可能となる。

また、本発明に関する手段などの各要素は、コンピュータの演算制御部に限らず、ワイヤードロジック等に基づく電子回路など他の情報処理機構で実現してもよい。また、各構成図、データの図、フローチャートの図などは例示に過ぎず、各要素の有無、その配置順序や各処理の実行順序、具体的内容などは適宜変更可能である。例えば、ポリシ判定部１ａは、提供側装置１に限らず、受領側装置２に設けてもよい。

また、提供側装置や受領側装置は、構成要素となるサーバなどの装置を複数用いて実現することができ、個々の記憶手段を別個独立のサーバ装置やシステムで実現したり、個々の処理手段を複数のサーバの組合せで実現する構成も一般的である。また、機能によっては、外部のプラットフォーム等をＡＰＩ（アプリケーション・プログラム・インタフェース）やネットワークコンピューティング（いわゆるクラウドなど）で呼び出して実現するなど、構成は柔軟に変更できる。

１ 提供側装置
１ａ ポリシ判定部
２ 受領側装置
６ 演算制御部
７ 記憶装置
８ 通信手段
９ 合意要求受信手段
１０ 合意確認手段
１１ 判定対象取得手段
１２ 階層特定手段
１３ ポリシ特定手段
１４ 関係判定手段
１５ 結果出力手段
１６ ポリシ作成手段
１７ 階層記憶手段
１８ 管理ポリシ記憶手段
２０ 合意情報生成手段
２１ 活用ポリシ記憶手段
２２ 合意要求送信手段
２４ ポリシ合意記憶手段
３０ 確認合意送信手段
３２ 確認合意受信手段
３３ 合意情報記憶手段
３６ 情報要求手段
３７ 要求受信手段
４０ 合意情報要求手段
４２ 合意情報送信手段
４５ 合意情報受信手段
５０ 合意情報検証手段
５５ 個人情報記憶手段
６０ アクセス制御手段
６２ 個人情報受信手段
６５ 個人情報記憶手段
Ｄ０１ メタドメイン
Ｄ１１ 当ドメイン
Ｄ２１，Ｄ２２，Ｄ２３ サブドメイン
Ｎ 通信ネットワーク

本発明の他の態様（４）は、上記態様を方法のカテゴリで捉えたもので、ポリシと、そのポリシに対応する対象と、を対応付けて記憶しているポリシ記憶手段と、前記各対象間の階層関係を記憶している階層記憶手段とを備えるポリシ判定装置における、情報に関する複数のポリシ間の関係を判定するポリシ判定方法であって、判定対象取得手段が、判定すべきポリシと、そのポリシに対応する対象と、を取得する判定対象取得処理と、階層特定手段が、取得された前記対象に対し、前記階層記憶手段に記憶されている前記階層関係において上位階層となっている対象を上位対象として特定する階層特定処理と、ポリシ特定手段が、特定された前記上位対象に、前記ポリシ記憶手段において対応付けられているポリシを、判定の相手方とする相手ポリシとして特定するポリシ特定処理と、関係判定手段が、前記判定すべきポリシと、特定された前記相手ポリシと、の関係を判定する関係判定処理と、結果出力手段が、前記判定の結果を出力する結果出力処理と、を含むことを特徴とする。

本発明の他の態様（５）は、上記態様をコンピュータ・プログラムのカテゴリで捉えたもので、コンピュータを、ポリシと、そのポリシに対応する対象と、を対応付けて記憶しているポリシ記憶手段、前記各対象間の階層関係を記憶している階層記憶手段、判定すべきポリシと、そのポリシに対応する対象と、を取得する判定対象取得手段、取得された前記対象に対し、前記階層記憶手段に記憶されている前記階層関係において上位階層となっている対象を上位対象として特定する階層特定手段、特定された前記上位対象に、前記ポリシ記憶手段において対応付けられているポリシを、判定の相手方とする相手ポリシとして特定するポリシ特定手段、前記判定すべきポリシと、特定された前記相手ポリシと、の関係を判定する関係判定手段、前記判定の結果を出力する結果出力手段、として機能させることを特徴とする。

Claims (5)

1. 情報に関する複数のポリシ間の関係を判定するポリシ判定装置であって、
   ポリシと、そのポリシに対応する対象と、を対応付けて記憶しているポリシ記憶手段と、
   前記各対象間の階層関係を記憶している階層記憶手段と、
   判定すべきポリシと、そのポリシに対応する対象と、を取得する判定対象取得手段と、
   取得された前記対象に対し、前記階層記憶手段に記憶されている前記階層関係において上位階層となっている対象を上位対象として特定する階層特定手段と、
   特定された前記上位対象に、前記ポリシ記憶手段において対応付けられているポリシを、判定の相手方とする相手ポリシとして特定するポリシ特定手段と、
   前記判定すべきポリシと、特定された前記相手ポリシと、の関係を判定する関係判定手段と、
   前記判定の結果を出力する結果出力手段と、
   を有することを特徴とするポリシ判定装置。
2. 前記階層特定手段は、取得された前記対象に対し、前記階層記憶手段に記憶されている前記階層関係において下位階層となっている対象を下位対象として特定し、
   前記ポリシ特定手段は、特定された前記下位対象に、前記ポリシ記憶手段において対応付けられているポリシを前記相手ポリシとして特定し、
   前記関係判定手段は、前記判定すべきポリシと、特定された前記相手ポリシと、の関係を判定する
   ことを特徴とする請求項１記載のポリシ判定装置。
3. 前記判定ポリシ及び前記相手ポリシはそれぞれ、一又は二以上の条件を記述した条件記述と、前記条件記述に対応するアクションを記述したアクション記述と、を含み、
   前記関係判定手段は、前記判定ポリシと前記相手ポリシのうち、共通の前記アクション記述に対応する前記条件記述同士について関係の種類を判定し、
   判定された前記関係に応じて、前記判定ポリシの前記条件記述と前記相手ポリシの前記条件記述とを組み合わせることにより新たなポリシを作成し、又は前記判定ポリシもしくは前記相手ポリシの少なくとも一方を編集するポリシ作成手段を有する
   ことを特徴とする請求項１又は２記載のポリシ判定装置。
4. コンピュータが、情報に関する複数のポリシ間の関係を判定するポリシ判定方法であって、
   コンピュータが、ポリシと、そのポリシに対応する対象と、を対応付けて記憶しているポリシ記憶手段を実現し、
   コンピュータが、前記各対象間の階層関係を記憶している階層記憶手段を実現し、
   コンピュータが、判定すべきポリシと、そのポリシに対応する対象と、を取得する判定対象取得処理と、
   コンピュータが、取得された前記対象に対し、前記階層記憶手段に記憶されている前記階層関係において上位階層となっている対象を上位対象として特定する階層特定処理と、
   コンピュータが、特定された前記上位対象に、前記ポリシ記憶手段において対応付けられているポリシを、判定の相手方とする相手ポリシとして特定するポリシ特定処理と、
   コンピュータが、前記判定すべきポリシと、特定された前記相手ポリシと、の関係を判定する関係判定処理と、
   コンピュータが、前記判定の結果を出力する結果出力処理と、
   を含むことを特徴とするポリシ判定方法。
5. コンピュータを制御することにより、情報に関する複数のポリシ間の関係を判定するポリシ判定プログラムであって、
   コンピュータに、ポリシと、そのポリシに対応する対象と、を対応付けて記憶しているポリシ記憶手段を実現させ、
   コンピュータに、前記各対象間の階層関係を記憶している階層記憶手段を実現させ、
   コンピュータに、判定すべきポリシと、そのポリシに対応する対象と、を取得させ、
   コンピュータに、取得された前記対象に対し、前記階層記憶手段に記憶されている前記階層関係において上位階層となっている対象を上位対象として特定させ、
   コンピュータに、特定された前記上位対象に、前記ポリシ記憶手段において対応付けられているポリシを、判定の相手方とする相手ポリシとして特定させ、
   コンピュータに、前記判定すべきポリシと、特定された前記相手ポリシと、の関係を判定させ、
   コンピュータが、前記判定の結果を出力させる
   ことを特徴とするポリシ判定プログラム。

Images