JP7549283B2 - 管理方法、情報処理装置および管理プログラム - Google Patents

Description

本発明は管理方法、情報処理装置および管理プログラムに関する。

データベースシステムは、データベース管理プログラムを用いて、データベースを管理しデータ処理を実行することがある。データベース管理プログラムは、ＤＢＭＳ（Database Management System）プログラムと呼ばれることがある。データベースシステムは、データベースに対する利用者の権限を設定し、権限の範囲内でデータベースへのアクセスを許可することがある。また、データベースシステムは、データ処理手順を規定したストアドプロシジャを登録し、要求に応じてストアドプロシジャを実行することがある。

なお、データベースを暗号化および復号するための暗号鍵を管理するシステムが提案されている。提案のシステムは、利用者ＩＤと、パスワードを用いて暗号鍵を暗号化した鍵暗号文と、パスワードの世代を示すリビジョン番号とを対応付けた鍵情報を記憶する。提案のシステムは、利用者がパスワードを変更する場合、古いパスワードで鍵暗号文を復号して暗号鍵を復元し、新しいパスワードで暗号鍵を再暗号化して新しい鍵情報を生成し、古い鍵情報と併存させて新しい鍵情報を保存する。

特開２０１６－１９２７１５号公報

データベースシステムは、特定のデータベース管理プログラムを使用することで、データベースに含まれるデータの保護を強化することが考えられる。特定のデータベース管理プログラムは、通常のデータベース管理プログラムよりも利用者の操作を制限した制限版のデータベース管理プログラムであってもよい。

しかし、データベースシステムは、第三者がデータベース管理プログラムを入れ替えるという攻撃を受ける可能性がある。データベース管理プログラムがデータ保護レベルの高いものから低いものに入れ替えられると、第三者によってデータベースから不正にデータが読み出される可能性がある。そこで、１つの側面では、本発明は、第三者によるデータベース管理プログラムの入れ替えを抑止することを目的とする。

１つの態様では、以下の処理をコンピュータが実行する管理方法が提供される。データベースを管理するデータベース管理プログラムを識別するリビジョン情報と、データベースの利用者を示す利用者情報とを取得する。取得されたリビジョン情報と利用者情報とを用いて鍵情報を生成する。生成された鍵情報を用いてデータベースを暗号化する。データベースが暗号化された後、生成された鍵情報を破棄する。

また、１つの態様では、記憶部と処理部とを有する情報処理装置が提供される。また、１つの態様では、コンピュータに実行させる管理プログラムが提供される。

１つの側面では、第三者によるデータベース管理プログラムの入れ替えが抑止される。
本発明の上記および他の目的、特徴および利点は本発明の例として好ましい実施の形態を表す添付の図面と関連した以下の説明により明らかになるであろう。

第１の実施の形態の情報処理装置を説明するための図である。 第２の実施の形態の情報処理システムの例を示す図である。 データ処理サーバのハードウェア例を示すブロック図である。 データカプセルの構造例を示すブロック図である。 データ処理サーバのソフトウェア例を示すブロック図である。 カプセル管理テーブルの例を示す図である。 暗号鍵の生成例を示す図である。 データカプセル生成の手順例を示すフローチャートである。 データカプセル利用の手順例を示すフローチャートである。

以下、本実施の形態を図面を参照して説明する。
［第１の実施の形態］
第１の実施の形態を説明する。

図１は、第１の実施の形態の情報処理装置を説明するための図である。
第１の実施の形態の情報処理装置１０は、データベース管理プログラムを用いてデータを保持する。情報処理装置１０は、クライアント装置でもよいしサーバ装置でもよい。情報処理装置１０は、コンピュータ、データベース装置または管理装置と呼ばれてもよい。

情報処理装置１０は、記憶部１１および処理部１２を有する。記憶部１１は、ＲＡＭ（Random Access Memory）などの揮発性半導体メモリでもよいし、ＨＤＤ（Hard Disk Drive）やフラッシュメモリなどの不揮発性ストレージでもよい。処理部１２は、例えば、ＣＰＵ（Central Processing Unit）、ＧＰＵ（Graphics Processing Unit）、ＤＳＰ（Digital Signal Processor）などのプロセッサである。ただし、処理部１２が、ＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）などの電子回路を含んでもよい。プロセッサは、例えば、ＲＡＭなどのメモリ（記憶部１１でもよい）に記憶されたプログラムを実行する。プロセッサの集合が、マルチプロセッサまたは単に「プロセッサ」と呼ばれてもよい。

記憶部１１は、データベース１３およびデータベース管理プログラム１４を記憶する。データベース１３は、関係データベースでもよいし、ツリー型データベースやネットワーク型データベースなどの非関係データベースでもよい。データベース１３は、テーブルデータなどのデータ集合を含む。データベース１３は、データアクセスの制御に用いられる管理情報を含んでもよい。管理情報は、データベース１３にアクセスできる利用者を示す利用者定義を含んでよく、利用者に許可されるデータ操作の種類を示す権限定義を含んでもよい。また、管理情報は、データ構造定義を含んでもよく、一連のデータ処理手順を規定したストアドプロシジャ定義を含んでもよい。

後述するように、データベース１３は暗号化される。データベース１３の暗号化は、データ集合の暗号化を含んでもよく、管理情報の暗号化を含んでもよい。暗号化は、テーブルのレコード単位や管理情報の項目単位のように細粒度で行われてもよいし、テーブル全体や管理情報のファイル全体のように疎粒度で行われてもよい。

データベース管理プログラム１４は、データベース１３を管理する。データベース管理プログラム１４は、ＤＢＭＳプログラムと呼ばれることがある。例えば、データベース管理プログラム１４は、利用者から、ＳＱＬ文などのクエリまたはストアドプロシジャの指定を含む要求メッセージを受信する。データベース管理プログラム１４は、利用者定義および権限定義を参照して、要求メッセージの内容が利用者の権限の範囲内であることを確認する。そして、データベース管理プログラム１４は、データベース１３に対して、クエリまたは指定されたストアドプロシジャを実行する。

データベース管理プログラム１４は、通常のデータベース管理プログラムよりも利用者の操作を制限した制限版のデータベース管理プログラムであってもよい。例えば、データベース管理プログラム１４では、利用者定義、権限定義、データ構造定義、ストアドプロシジャ定義などの管理情報を変更することが禁止されてもよい。また、データベース管理プログラム１４では、データ検索、データ挿入、データ更新およびデータ削除のうち、データ更新やデータ削除などの一部のデータ操作が禁止されてもよい。

処理部１２は、データベース１３を暗号化する。処理部１２は、暗号化されたデータベース１３とデータベース管理プログラム１４とをパッケージ化し、パッケージデータを出力してもよい。例えば、処理部１２は、パッケージデータを利用者に提供してもよく、他の情報処理装置に送信してもよい。データベース１３を暗号化するにあたり、処理部１２は、リビジョン情報１５および利用者情報１６を取得する。

リビジョン情報１５は、データベース管理プログラム１４を識別する識別子である。リビジョン情報１５は、データベース管理プログラム１４の版数でもよく、データベース管理プログラム１４の複製のシリアル番号でもよい。リビジョン情報１５は、データベース管理プログラム１４に埋め込まれていてもよい。利用者情報１６は、データベース１３の利用者を示す識別子である。この利用者は、例えば、保護されるべきデータをデータベース１３に保存するデータ提供者である。利用者情報１６は、データベース１３に付随するファイルに記載されていてもよいし、データベース１３に含まれていてもよい。

処理部１２は、取得されたリビジョン情報１５と利用者情報１６とを用いて、特定の鍵生成アルゴリズムに従って鍵情報１７を生成する。例えば、処理部１２は、リビジョン情報１５と利用者情報１６とを結合し、結合された文字列をハッシュ関数などの関数に入力して鍵情報１７を生成する。鍵情報１７は、共通鍵暗号方式に用いられる共通鍵を含んでもよく、公開鍵暗号方式に用いられる公開鍵および秘密鍵を含んでもよい。

処理部１２は、生成された鍵情報１７を用いてデータベース１３を暗号化する。データベース１３が暗号化された後、処理部１２は、生成された鍵情報１７を破棄する。鍵情報１７が保存されないため、データベース１３を復号する際には、リビジョン情報１５および利用者情報１６から鍵情報１７が再生成される。データベース管理プログラム１４は、再生成される鍵情報１７を用いてデータベース１３へのアクセスを実行してもよい。データベース管理プログラム１４は、鍵情報１７を再生成するモジュールを含んでもよい。

以上説明したように、第１の実施の形態の情報処理装置１０は、リビジョン情報１５と利用者情報１６とから鍵情報１７を生成し、鍵情報１７を用いてデータベース１３を暗号化し、暗号化後は鍵情報１７を破棄する。これにより、データベース管理プログラム１４とデータベース１３の利用者とが紐付けられ、正しいリビジョン情報１５と利用者情報１６との組を知らない限りデータベース１３の復号が困難となる。そして、異なるリビジョン情報をもつ他のデータベース管理プログラムからデータベース１３にアクセスすることが困難となる。そのため、第三者がデータベース管理プログラム１４を他のデータベース管理プログラムに入れ替えてデータベース１３にアクセスすることが抑止される。

前述のように、データベース管理プログラム１４は、データ保護を強化した特定のデータベース管理プログラムであることがある。例えば、データベース管理プログラム１４では、管理情報の変更が禁止されている。その場合、データベース管理プログラム１４の入れ替えを抑止することで、第三者がデータベース１３からデータを不正に読み出してデータが漏洩するというリスクが低下し、データセキュリティが向上する。

なお、情報処理装置１０が、リビジョン情報１５および利用者情報１６を再取得して鍵情報１７を再生成し、再生成された鍵情報１７を用いてデータベース１３を復号してもよい。これにより、情報処理装置１０は、安全にデータベース１３にアクセスできる。

また、情報処理装置１０は、リビジョン情報１５が埋め込まれたデータベース管理プログラム１４と、暗号化されたデータベース１３と、利用者情報１６が記載されたファイルとを含むパッケージデータを出力してもよい。これにより、情報処理装置１０は、データ保護を強化しつつデータを他の利用者に提供することができる。この場合に、データベース管理プログラム１４が、鍵情報１７を再生成してデータベース１３を復号するモジュールを含んでいてもよい。これにより、データベース管理プログラム１４の制御のもとで、他の利用者もデータベース１３に対して許可された範囲の操作を行うことができる。

［第２の実施の形態］
次に、第２の実施の形態を説明する。
図２は、第２の実施の形態の情報処理システムの例を示す図である。

第２の実施の形態の情報処理システムは、ネットワーク３０に接続されたデータ処理サーバ３１および利用者サーバ３２，３３を有する。ネットワーク３０は、ＬＡＮ（Local Area Network）を含んでもよく、インターネットを含んでもよい。なお、データ処理サーバ３１は、第１の実施の形態の情報処理装置１０に対応する。

データ処理サーバ３１は、利用者サーバ３２，３３からの要求に応じて、後述するデータカプセルを生成するサーバコンピュータである。データ処理サーバ３１は、データセンタに配置されてもよく、クラウドサーバでもよい。

データ処理サーバ３１は、ある利用者サーバからデータカプセル作成要求を受信する。データカプセル作成要求では、データカプセルに格納されるデータと、データにアクセスできる利用者やアクセス方法の制限などの管理情報とが指定される。データ処理サーバ３１は、データカプセル作成要求に従って、データを保護された状態で流通させるためのデータカプセルを生成して当該利用者サーバに返信する。データカプセルは、暗号化されたデータと、限定されたデータアクセスを提供するＤＢＭＳプログラムとを含む。

利用者サーバ３２，３３は、データ処理サーバ３１のサービスを利用する利用者のサーバコンピュータである。利用者は参加者と呼ばれてもよく、個人でも企業でもよい。利用者サーバ３２，３３は、データセンタに配置されてもよく、クラウドサーバでもよい。また、利用者サーバ３２，３３に代えて、クライアントコンピュータが使用されてもよい。

利用者サーバ３２，３３はそれぞれ、データカプセル作成要求をデータ処理サーバ３１に送信し、作成されたデータカプセルをデータ処理サーバ３１から受信する。利用者サーバ３２，３３はそれぞれ、業務上の要求に従って、データカプセルを他の利用者サーバに送信する。例えば、利用者サーバ３２が利用者サーバ３３にデータカプセルを送信し、利用者サーバ３３が利用者サーバ３２にデータカプセルを送信することがある。

利用者サーバ３２，３３はそれぞれ、他の利用者サーバから受信したデータカプセルに含まれるＤＢＭＳプログラムを起動することで、そのデータカプセルに保存された初期データに関するデータ処理を行う。ただし、ＤＢＭＳプログラムは、データカプセルから初期データそのものが読み出されないようにデータアクセスを制限していることがある。また、ＤＢＭＳプログラムは、初期データそのものに代えて、初期データを一定の処理手順で加工したデータ処理結果を出力することがある。

また、利用者サーバ３２，３３はそれぞれ、受信したデータカプセルに追加データを保存して、他の利用者サーバに返信することがある。これにより、データ漏洩リスクを低減しつつ、複数の利用者が保持するデータの間でデータ処理が実現される。

図３は、データ処理サーバのハードウェア例を示すブロック図である。
データ処理サーバ３１は、バスに接続されたＣＰＵ１０１、ＲＡＭ１０２、ＨＤＤ１０３、ＧＰＵ１０４、入力インタフェース１０５、媒体リーダ１０６および通信インタフェース１０７を有する。利用者サーバ３２，３３が、データ処理サーバ３１と同様のハードウェアを有してもよい。ＣＰＵ１０１は、第１の実施の形態の処理部１２に対応する。ＲＡＭ１０２またはＨＤＤ１０３は、第１の実施の形態の記憶部１１に対応する。

ＣＰＵ１０１は、プログラムの命令を実行するプロセッサである。ＣＰＵ１０１は、ＨＤＤ１０３に記憶されたプログラムやデータの少なくとも一部をＲＡＭ１０２にロードし、プログラムを実行する。データ処理サーバ３１は、複数のプロセッサを有してもよい。プロセッサの集合が、マルチプロセッサまたは単に「プロセッサ」と呼ばれてもよい。

ＲＡＭ１０２は、ＣＰＵ１０１で実行されるプログラムおよびＣＰＵ１０１で演算に使用されるデータを一時的に記憶する揮発性半導体メモリである。データ処理サーバ３１は、ＲＡＭ以外の種類の揮発性メモリを有してもよい。

ＨＤＤ１０３は、ＯＳ（Operating System）、ミドルウェア、アプリケーションソフトウェアなどのソフトウェアのプログラム、および、データを記憶する不揮発性ストレージである。データ処理サーバ３１は、フラッシュメモリやＳＳＤ（Solid State Drive）などの他の種類の不揮発性ストレージを有してもよい。

ＧＰＵ１０４は、ＣＰＵ１０１と連携して画像処理を行い、データ処理サーバ３１に接続された表示装置１１１に画像を出力するプロセッサである。表示装置１１１は、例えば、ＣＲＴ（Cathode Ray Tube）ディスプレイ、液晶ディスプレイ、有機ＥＬ（Electro Luminescence）ディスプレイまたはプロジェクタである。なお、データ処理サーバ３１に、プリンタなどの他の種類の出力デバイスが接続されてもよい。

入力インタフェース１０５は、データ処理サーバ３１に接続された入力デバイス１１２から入力信号を受け付ける。入力デバイス１１２は、例えば、マウス、タッチパネルまたはキーボードである。データ処理サーバ３１に複数の入力デバイスが接続されてもよい。

媒体リーダ１０６は、記録媒体１１３に記録されたプログラムやデータを読み取る読み取り装置である。記録媒体１１３は、例えば、磁気ディスク、光ディスクまたは半導体メモリである。磁気ディスクには、フレキシブルディスク（ＦＤ：Flexible Disk）およびＨＤＤが含まれる。光ディスクには、ＣＤ（Compact Disc）およびＤＶＤ（Digital Versatile Disc）が含まれる。媒体リーダ１０６は、記録媒体１１３から読み取られたプログラムおよびデータを、ＲＡＭ１０２やＨＤＤ１０３などの他の記録媒体にコピーする。読み取られたプログラムは、ＣＰＵ１０１によって実行されることがある。

記録媒体１１３は、可搬型記録媒体であってもよい。記録媒体１１３は、プログラムおよびデータの配布に用いられることがある。また、記録媒体１１３およびＨＤＤ１０３が、コンピュータ読み取り可能な記録媒体と呼ばれてもよい。

通信インタフェース１０７は、ネットワーク３０を介して利用者サーバ３２，３３と通信する。通信インタフェース１０７は、スイッチやルータなどの有線通信装置に接続される有線通信インタフェースでもよいし、基地局やアクセスポイントなどの無線通信装置に接続される無線通信インタフェースでもよい。

次に、データ処理サーバ３１によって生成されるデータカプセルについて説明する。
図４は、データカプセルの構造例を示すブロック図である。
データカプセル１２０は、顧客番号ファイル１２１、構成ファイル１２２、管理情報ファイル１２３およびデータファイル１２４を含む。また、データカプセル１２０は、ＤＢＭＳプログラム１３１、消去プログラム１３２およびコンテナプログラム１３３を含む。なお、管理情報ファイル１２３およびデータファイル１２４は、第１の実施の形態のデータベース１３に対応する。ＤＢＭＳプログラム１３１は、第１の実施の形態のデータベース管理プログラム１４に対応する。

顧客番号ファイル１２１は、顧客番号が記載されるファイルである。顧客番号は、第１の実施の形態の利用者情報１６に対応する。この顧客番号は、データカプセル１２０の作成をデータ処理サーバ３１に要求した利用者、すなわち、データベースに初期データを格納した利用者の識別番号である。ただし、顧客番号が、データカプセル１２０の転送先の利用者の識別番号であってもよい。顧客番号ファイル１２１は暗号化されない。

構成ファイル１２２は、データカプセル１２０の中での管理情報ファイル１２３の位置を示すファイルパスが記載されるファイルである。構成ファイル１２２は暗号化される。
管理情報ファイル１２３は、データベースへのアクセスの制御に用いられる管理情報が記載されるファイルである。管理情報ファイル１２３は、データファイル１２４のファイルパスを含む。また、管理情報ファイル１２３は、利用者定義１２５、権限定義１２６、データ構造定義１２７およびプロシジャ定義１２８を含む。

利用者定義１２５は、データベースにアクセスできる利用者を示す。利用者は、利用者名で識別されてもよく、顧客番号で識別されてもよく、利用者サーバのサーバ名で識別されてもよく、利用者サーバの通信アドレスで識別されてもよい。権限定義１２６は、各利用者に対して許容するデータ操作の種類を示す。例えば、各関係テーブルに対するデータ検索、データ挿入、データ更新およびデータ削除それぞれの可否が規定される。

データ構造定義１２７は、関係データベースのテーブル構造を示す。なお、データカプセル１２０は関係データベースを使用しているが、ツリー型データベースやネットワーク型データベースなどの非関係データベースを使用してもよい。

プロシジャ定義１２８は、ストアドプロシジャを示す。ストアドプロシジャは、単一のＳＱＬ文で記述することが難しいような一連のデータ処理を記述したプログラムである。ストアドプロシジャは、ＳＱＬを拡張したプロシジャ記述言語を用いて記述される。ＳＱＬ文に代えてストアドプロシジャ呼び出し命令が受信されると、そのストアドプロシジャが実行される。ストアドプロシジャを適切に利用することで、データベースに含まれるデータそのものがデータカプセル１２０の外部に出力されることが抑止される。

管理情報ファイル１２３は暗号化される。暗号化の単位は、管理情報ファイル１２３全体のように疎粒度でもよいし、利用者定義１２５や権限定義１２６のように管理情報ファイル１２３の各項目を単位とする細粒度でもよい。

データファイル１２４は、関係データベースのテーブルのレコードを含むファイルである。データファイル１２４は暗号化される。暗号化の単位は、データファイル１２４全体のように疎粒度でもよいし、テーブル単位やレコード単位のように細粒度でもよい。

ＤＢＭＳプログラム１３１は、通常のＤＢＭＳプログラムと比べて機能が制限された制限版のＤＢＭＳプログラムである。ＤＢＭＳプログラム１３１は、管理情報ファイル１２３を変更する機能をもたないことがある。また、ＤＢＭＳプログラム１３１は、データ検索、データ挿入、データ更新およびデータ削除のうち、データ更新やデータ削除などの一部のデータ操作を実行する機能をもたないことがある。

ＤＢＭＳプログラム１３１には、リビジョン番号１３４が埋め込まれている。リビジョン番号１３４は、ＤＢＭＳプログラム１３１を識別する識別番号である。データ処理サーバ３１は、新しい案件のデータカプセルを発行する毎に、新しいリビジョン番号を採番して制限版のＤＢＭＳプログラムに埋め込む。

ＤＢＭＳプログラム１３１は、鍵生成モジュール１３５およびデータアクセスモジュール１３６を含む。鍵生成モジュール１３５は、構成ファイル１２２および管理情報ファイル１２３の復号と、データファイル１２４の復号および再暗号化のための暗号鍵を生成する。第２の実施の形態の暗号鍵は、共通鍵暗号方式の共通鍵である。ただし、暗号鍵が、公開鍵暗号方式の公開鍵および秘密鍵であってもよい。

鍵生成モジュール１３５は、ＤＢＭＳプログラム１３１に埋め込まれたリビジョン番号１３４と、顧客番号ファイル１２１に記載された顧客番号とから、特定の鍵生成アルゴリズムに従って暗号鍵を生成する。この暗号鍵は、データ処理サーバ３１がデータカプセル１２０を生成する際に使用した暗号鍵と同一である。データカプセル１２０の生成時に使用された暗号鍵は保存されず、データカプセル１２０の使用時に再生成される。ただし、鍵生成モジュール１３５は、自身で暗号鍵を生成する代わりに、リビジョン番号１３４と顧客番号をデータ処理サーバ３１に送信して暗号鍵の再生成を依頼し、データ処理サーバ３１で再生成された暗号鍵を受信してもよい。

データアクセスモジュール１３６は、データファイル１２４に対する制限されたアクセスを利用者に提供する。データアクセスモジュール１３６は、利用者から要求メッセージを受信し、利用者定義１２５および権限定義１２６に基づいて、要求メッセージの内容が利用者の権限の範囲内であることを確認する。そして、データアクセスモジュール１３６は、データファイル１２４に含まれる関係テーブルに対して、要求メッセージに含まれるＳＱＬ文または要求メッセージが指定するストアドプロシジャを実行する。

上記のデータ処理のため、データアクセスモジュール１３６は、鍵生成モジュール１３５が再生成する暗号鍵を用いて復号および再暗号化を行う。データアクセスモジュール１３６は、ＤＢＭＳプログラム１３１の起動時に、構成ファイル１２２、管理情報ファイル１２３およびデータファイル１２４の全体を復号してもよい。また、データアクセスモジュール１３６は、関係テーブルのアクセス時に、管理情報ファイル１２３およびデータファイル１２４の中の使用する部分を復号してもよい。また、データアクセスモジュール１３６は、関係テーブルの更新時に、データファイル１２４を再暗号化してもよい。

データカプセル１２０の生成時、データ処理サーバ３１は、機能が制限されていない通常版のＤＢＭＳプログラムを用いて、構成ファイル１２２、管理情報ファイル１２３およびデータファイル１２４を生成して暗号化する。データ処理サーバ３１は、データカプセル作成要求に従って、通常版のＤＢＭＳに管理情報やデータを入力する。データ処理サーバ３１は、構成ファイル１２２、管理情報ファイル１２３およびデータファイル１２４が生成された後、通常版のＤＢＭＳプログラムをＤＢＭＳプログラム１３１に入れ替える。

消去プログラム１３２は、コンテナプログラム１３３からの指示に応じて、データ漏洩を抑止するため、管理情報ファイル１２３およびデータファイル１２４を削除するプログラムである。消去プログラム１３２は、先に管理情報ファイル１２３を削除し、その後にデータファイル１２４を削除する。管理情報ファイル１２３およびデータファイル１２４の削除は、復元不能にするため、管理情報ファイル１２３およびデータファイル１２４が記憶された記憶領域に特定のビットを上書きすることで行われる。

コンテナプログラム１３３は、データカプセル１２０を単一ファイルにカプセル化するための代表プログラムである。データカプセル１２０を起動しようとすると、コンテナプログラム１３３が最初に実行される。コンテナプログラム１３３は、起動時に、顧客番号とパスワードを用いた利用者認証を行う。コンテナプログラム１３３は、顧客番号と正解のパスワードの対応を示すアカウント情報を保持してもよい。利用者認証に成功すると、コンテナプログラム１３３は、ＤＢＭＳプログラム１３１を起動する。

また、コンテナプログラム１３３は、データカプセル１２０が不正に使用されていないことを継続的に確認する状態確認を開始する。コンテナプログラム１３３は、データカプセル１２０の不正使用の可能性のある事象を検出すると、データカプセル１２０を無効化することを決定し、消去プログラム１３２を起動する。

状態確認として、コンテナプログラム１３３は、起動後にデータ処理サーバ３１と定期的に通信する。ただし、コンテナプログラム１３３の通信相手が、データ処理サーバ３１以外の特定のサーバであってもよい。通信不能が検出された場合、コンテナプログラム１３３は、データカプセル１２０の無効化を決定する。また、コンテナプログラム１３３は、現在時刻が有効期限を経過していないことを確認する。コンテナプログラム１３３は、データカプセル１２０の有効期限の情報を保持してもよい。現在時刻が有効期限を徒過した場合、コンテナプログラム１３３は、データカプセル１２０の無効化を決定する。

また、コンテナプログラム１３３は、データカプセル１２０に対する利用者認証の結果を監視して不正侵入を検出する。複数回の利用者認証の結果が特定のパターンに該当する場合、コンテナプログラム１３３は、不正侵入の可能性があると判断してデータカプセル１２０の無効化を決定する。不正侵入のパターンは、例えば、時間Ｔ１以内に利用者認証の失敗回数が閾値を超え、それに続く時間Ｔ２以内に利用者認証が成功したことである。状態確認によって、許可されていない者にデータカプセル１２０が転送された可能性や、許可されていない者がデータカプセル１２０に不正侵入した可能性が検出される。

次に、データ処理サーバ３１の機能について説明する。
図５は、データ処理サーバのソフトウェア例を示すブロック図である。
データ処理サーバ３１は、管理テーブル記憶部１４１およびプログラム記憶部１４２を有する。これらの記憶部は、例えば、ＲＡＭ１０２またはＨＤＤ１０３を用いて実装される。また、データ処理サーバ３１は、要求受信部１４３、案件管理部１４４、鍵生成部１４５、データ格納部１４６、ビルド部１４７および監視部１４８を有する。これらの処理部は、例えば、ＣＰＵ１０１およびプログラムを用いて実装される。

管理テーブル記憶部１４１は、カプセル管理テーブルを記憶する。カプセル管理テーブルは、データカプセルを作成する案件毎に、制限版のＤＢＭＳのリビジョン番号とデータベースに初期データを登録する利用者の顧客番号とを対応付ける。

プログラム記憶部１４２は、通常版のＤＢＭＳプログラムを記憶する。また、プログラム記憶部１４２は、制限版のＤＢＭＳプログラムのソースコードと、データカプセルに組み込まれる消去プログラムおよびコンテナプログラムとを記憶する。

要求受信部１４３は、利用者サーバ３２，３３と通信する。要求受信部１４３は、利用者サーバ３２，３３に対してＷｅｂインタフェースを提供し、利用者サーバ３２，３３の何れかからデータカプセル作成要求を受信する。

要求受信部１４３は、データカプセル作成要求に含まれる顧客番号を案件管理部１４４に通知し、リビジョン番号および暗号鍵を案件管理部１４４から取得する。要求受信部１４３は、暗号鍵と、データカプセル作成要求に含まれる利用者定義、権限定義、データ構造定義、プロシジャ定義およびデータとを、データ格納部１４６に通知する。要求受信部１４３は、リビジョン番号および顧客番号をビルド部１４７に通知し、生成されたデータカプセルをビルド部１４７から取得して利用者サーバに返信する。

案件管理部１４４は、管理テーブル記憶部１４１に記憶されたカプセル管理テーブルを参照して、新しい案件で使用される新しいリビジョン番号を採番する。案件管理部１４４は、リビジョン番号と顧客番号とを対応付けてカプセル管理テーブルに登録する。案件管理部１４４は、リビジョン番号および顧客番号を鍵生成部１４５に通知し、暗号鍵を鍵生成部１４５から取得し、暗号鍵およびリビジョン番号を要求受信部１４３に通知する。

鍵生成部１４５は、特定の鍵生成アルゴリズムに従って、顧客番号およびリビジョン番号から暗号鍵を生成する。例えば、鍵生成部１４５は、顧客番号とリビジョン番号とを結合した文字列を生成し、生成された文字列をハッシュ関数などの関数に入力し、関数が出力するビット列を暗号鍵として採用する。

データ格納部１４６は、プログラム記憶部１４２に記憶された通常版のＤＢＭＳプログラムを用いて、利用者定義、権限定義およびプロシジャ定義を管理情報に登録する。また、データ格納部１４６は、通常版のＤＢＭＳプログラムを用いて、データ構造定義を管理情報に登録し、データを関係テーブルに登録する。このとき、データ格納部１４６は、要求受信部１４３から取得する暗号鍵を用いて、管理情報および関係テーブルを暗号化する。これにより、構成ファイル、管理情報ファイルおよびデータファイルが生成される。

ビルド部１４７は、プログラム記憶部１４２に記憶された制限版のＤＢＭＳプログラムのソースコードに、要求受信部１４３から取得するリビジョン番号を埋め込み、制限版のＤＢＭＳプログラムをビルドする。ビルドには、ソースコードのコンパイルやライブラリのリンクが含まれる。また、ビルド部１４７は、要求受信部１４３から取得する顧客番号を記載した顧客番号ファイルを生成する。

ビルド部１４７は、消去プログラムおよびコンテナプログラムをプログラム記憶部１４２から読み出す。ビルド部１４７は、顧客番号ファイル、構成ファイル、管理情報ファイル、データファイル、制限版のＤＢＭＳプログラム、消去プログラムおよびコンテナプログラムをカプセル化し、データカプセルを生成する。データカプセルは、ディレクトリ階層を保持したまま記憶装置上のファイル群を単一ファイルにまとめたイメージファイルに相当する。ビルド部１４７は、データカプセルを要求受信部１４３に提供する。

監視部１４８は、利用者サーバ３２，３３に提供されたデータカプセルと通信し、それらデータカプセルを追跡する。監視部１４８は、制限版のＤＢＭＳプログラムが実行されている間、コンテナプログラムから定期的にメッセージを受信し、応答メッセージを返信する。なお、監視部１４８がデータ処理サーバ３１と異なるサーバに実装されてもよい。

図６は、カプセル管理テーブルの例を示す図である。
カプセル管理テーブル１５１は、管理テーブル記憶部１４１に記憶される。カプセル管理テーブル１５１は、案件番号、リビジョン番号、顧客名、顧客番号、案件名、作成日および有効期限を対応付ける。案件番号は、新しいデータカプセルを提供する案件を識別する識別番号である。リビジョン番号は、制限版のＤＢＭＳプログラムを識別する識別番号であり、案件毎に採番される。顧客名は、データベースに初期データを登録する利用者の名称である。顧客番号は、当該利用者に事前に付与される識別番号である。

案件名は、データカプセルの用途を示す名称である。作成日は、データ処理サーバ３１がデータカプセルを生成した日付である。有効期限は、生成されたデータカプセルを使用可能な期限である。有効期限を過ぎたデータカプセルは無効化され、データベースが消去される。有効期限は、データカプセル作成要求において利用者から指定される。

図７は、暗号鍵の生成例を示す図である。
鍵生成部１４５は、リビジョン番号１５２および顧客番号１５３を受け付ける。鍵生成部１４５は、リビジョン番号１５２および顧客番号１５３を鍵生成アルゴリズム１５４に入力して、暗号鍵１５５を生成する。例えば、鍵生成部１４５は、リビジョン番号１５２と顧客番号１５３とを結合して鍵生成アルゴリズム１５４に入力する。

制限版のＤＢＭＳプログラムは、制限版のＤＢＭＳプログラムに埋め込まれたリビジョン番号１５２と顧客番号ファイルに記載された顧客番号１５３とを、鍵生成アルゴリズム１５４に入力して、暗号鍵１５５を再生成する。ただし、制限版のＤＢＭＳプログラムは、リビジョン番号１５２および顧客番号１５３を出力して、制限版のＤＢＭＳプログラムの外部モジュールに暗号鍵１５５の再生成を依頼してもよい。

次に、データカプセルを生成するデータ処理サーバ３１の処理手順と、データカプセルを利用する利用者サーバ３２の処理手順とを説明する。
図８は、データカプセル生成の手順例を示すフローチャートである。

（Ｓ１０）要求受信部１４３は、データカプセル作成要求を受信する。
（Ｓ１１）案件管理部１４４は、カプセル管理テーブル１５１を参照して新しいリビジョン番号を採番する。案件管理部１４４は、データカプセル作成要求に含まれる顧客番号と共にリビジョン番号をカプセル管理テーブル１５１に記録する。

（Ｓ１２）鍵生成部１４５は、リビジョン番号と顧客番号とから暗号鍵を生成する。
（Ｓ１３）データ格納部１４６は、通常版のＤＢＭＳプログラムを用いて、データカプセル作成要求に含まれる利用者定義、権限定義およびプロシジャ定義をデータベースに登録する。データ格納部１４６は、暗号鍵を用いてこれら定義情報を暗号化する。

（Ｓ１４）データ格納部１４６は、通常版のＤＢＭＳプログラムを用いて、データ構造定義およびデータ本体をデータベースに登録する。データ格納部１４６は、暗号鍵を用いてこれら定義情報およびデータを暗号化する。

（Ｓ１５）データ格納部１４６は、上記で使用した暗号鍵を破棄する。
（Ｓ１６）ビルド部１４７は、制限版のＤＢＭＳプログラムのソースコードにリビジョン番号を埋め込み、リビジョン番号をもつ制限版のＤＢＭＳプログラムをビルドする。

（Ｓ１７）ビルド部１４７は、通常版のＤＢＭＳプログラムにより生成された構成ファイル、管理情報ファイルおよびデータファイルと、制限版のＤＢＭＳプログラムとに、顧客番号ファイル、消去プログラムおよびコンテナプログラムを更に追加する。ビルド部１４７は、これらファイルおよびプログラムをカプセル化してデータカプセルを生成する。

（Ｓ１８）要求受信部１４３は、生成されたデータカプセルを送信する。
図９は、データカプセル利用の手順例を示すフローチャートである。
（Ｓ２０）利用者サーバ３２は、コンテナプログラム１３３を起動し、顧客番号およびパスワードをコンテナプログラム１３３に入力して利用者認証を行う。

（Ｓ２１）利用者サーバ３２は、コンテナプログラム１３３により、データカプセル１２０を無効化するような事象を検出したか判断する。無効化事象には、データ処理サーバ３１との定期的な通信が失敗したこと、不正侵入が疑われる利用者認証結果が発生したこと、および、有効期限を徒過したことが含まれる。無効化事象が検出された場合はステップＳ２８に処理が進み、それ以外の場合にはステップＳ２２に処理が進む。

（Ｓ２２）利用者サーバ３２は、ＤＢＭＳプログラム１３１を起動する。
（Ｓ２３）利用者サーバ３２は、ＤＢＭＳプログラム１３１に埋め込まれたリビジョン番号を抽出し、顧客番号ファイル１２１から顧客番号を抽出する。

（Ｓ２４）利用者サーバ３２は、ＤＢＭＳプログラム１３１により、抽出されたリビジョン番号および顧客番号から暗号鍵を生成する。
（Ｓ２５）利用者サーバ３２は、ＤＢＭＳプログラム１３１により、管理情報ファイル１２３を復号して、利用者サーバ３２の利用者の権限を確認する。

（Ｓ２６）利用者サーバ３２は、ＤＢＭＳプログラム１３１により、データファイル１２４を復号して、利用者から指定されたクエリまたはストアドプロシジャを実行する。
（Ｓ２７）利用者サーバ３２は、ＤＢＭＳプログラム１３１によって生成された暗号鍵を破棄する。そして、データカプセル利用が終了する。

（Ｓ２８）利用者サーバ３２は、消去プログラム１３２を起動し、データカプセル１２０から管理情報ファイル１２３およびデータファイル１２４を消去する。
以上説明したように、第２の実施の形態のデータ処理サーバ３１は、利用者からの要求に応じてデータカプセルを生成して提供する。データカプセルは、制限版のＤＢＭＳプログラムと暗号化されたデータベースとを含む。これにより、データベースからデータを読み出すことができる利用者が限定されると共に、ストアドプロシジャによってデータそのものをデータカプセルの外部に出力せずにデータ処理が行われる。そのため、複数の利用者は、データ漏洩リスクを低減しつつ、業務に使用するデータを受け渡すことができる。

また、データベースを復号するための暗号鍵は保存されず、データベースを利用する毎に、制限版のＤＢＭＳプログラムに埋め込まれたリビジョン番号とデータベースの顧客番号とから生成される。これにより、制限版のＤＢＭＳプログラムとデータベースとが紐付けられ、正しいＤＢＭＳプログラムを使用せずにデータベースを復号することが困難となる。そのため、第三者がＤＢＭＳプログラムを入れ替えることでデータベースの保護を弱くするという攻撃が困難となり、データ漏洩リスクが低下する。

また、データカプセルは、データカプセルを無効化すべき事象を検出するコンテナプログラムと、データベースを消去することでデータカプセルを無効化する消去プログラムとを含む。コンテナプログラムは、事象として、データカプセルを追跡するサーバとの通信失敗、有効期限が切れたこと、および、利用者認証の不正な突破を検出する。これにより、データカプセルが第三者に不正に転送された場合のデータ漏洩リスクが低下する。

上記については単に本発明の原理を示すものである。更に、多数の変形や変更が当業者にとって可能であり、本発明は上記に示し、説明した正確な構成および応用例に限定されるものではなく、対応する全ての変形例および均等物は、添付の請求項およびその均等物による本発明の範囲とみなされる。

１０ 情報処理装置
１１ 記憶部
１２ 処理部
１３ データベース
１４ データベース管理プログラム
１５ リビジョン情報
１６ 利用者情報
１７ 鍵情報

Claims (7)

1. データベースを管理するデータベース管理プログラムを識別するリビジョン情報と、前記データベースの利用者を示す利用者情報とを取得し、
   取得された前記リビジョン情報と前記利用者情報とを用いて鍵情報を生成し、
   生成された前記鍵情報を用いて前記データベースを暗号化し、
   前記データベースが暗号化された後、生成された前記鍵情報を破棄する、
   処理をコンピュータが実行する管理方法。
2. 前記リビジョン情報と前記利用者情報とを再取得し、
   再取得された前記リビジョン情報と前記利用者情報とを用いて前記鍵情報を再生成し、
   再生成された前記鍵情報を用いて前記データベースを復号する、
   処理を前記コンピュータが更に実行する請求項１記載の管理方法。
3. 前記リビジョン情報が埋め込まれた前記データベース管理プログラムと、暗号化された前記データベースと、前記利用者情報が記載されたファイルとを含むパッケージデータを生成し、前記パッケージデータを出力する、
   処理を前記コンピュータが更に実行する請求項１記載の管理方法。
4. 前記データベース管理プログラムは、前記データベース管理プログラムに埋め込まれた前記リビジョン情報と前記ファイルに記載された前記利用者情報とから前記鍵情報を再生成し、再生成された前記鍵情報を用いて前記データベースを復号するモジュールを含む、
   請求項３記載の管理方法。
5. 前記パッケージデータに含まれる前記データベース管理プログラムは、前記データベースのアクセス方法を規定した管理情報の変更を制限する、
   請求項３記載の管理方法。
6. データベースと前記データベースを管理するデータベース管理プログラムとを記憶する記憶部と、
   前記データベース管理プログラムを識別するリビジョン情報と、前記データベースの利用者を示す利用者情報とを取得し、取得された前記リビジョン情報と前記利用者情報とを用いて鍵情報を生成し、生成された前記鍵情報を用いて前記データベースを暗号化し、前記データベースが暗号化された後、生成された前記鍵情報を破棄する処理部と、
   を有する情報処理装置。
7. データベースを管理するデータベース管理プログラムを識別するリビジョン情報と、前記データベースの利用者を示す利用者情報とを取得し、
   取得された前記リビジョン情報と前記利用者情報とを用いて鍵情報を生成し、
   生成された前記鍵情報を用いて前記データベースを暗号化し、
   前記データベースが暗号化された後、生成された前記鍵情報を破棄する、
   処理をコンピュータに実行させる管理プログラム。

Images