特許 7288193 情報処理プログラム、情報処理装置及び情報処理方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2023-05-30

(45)【発行日】2023-06-07

(54)【発明の名称】情報処理プログラム、情報処理装置及び情報処理方法

(51)【国際特許分類】

   G06F 21/62 20130101AFI20230531BHJP

【ＦＩ】

G06F21/62 318

【請求項の数】 12

(21)【出願番号】P 2019129149

(22)【出願日】2019-07-11

(65)【公開番号】P2021015400

(43)【公開日】2021-02-12

【審査請求日】2022-04-07

(73)【特許権者】

【識別番号】000005223

【氏名又は名称】富士通株式会社

(74)【代理人】

【識別番号】100094525

【弁理士】

【氏名又は名称】土井 健二

(74)【代理人】

【識別番号】100094514

【弁理士】

【氏名又は名称】林 恒徳

(72)【発明者】

【氏名】谷口 和博

(72)【発明者】

【氏名】園村 祐輔

【審査官】小林 秀和

(56)【参考文献】

【文献】特開２００９－１８７０６７（ＪＰ，Ａ）

【文献】特開２０１０－１７６４３１（ＪＰ，Ａ）

【文献】特開２０１２－１９０４７３（ＪＰ，Ａ）

【文献】米国特許出願公開第２０１８／０３３０１１３（ＵＳ，Ａ１）

【文献】国際公開第２０１２／０３９０８１（ＷＯ，Ａ１）

【文献】特開２０１３－１９６２２９（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／６２

(57)【特許請求の範囲】

【請求項1】

第２のデータ表に含まれる特定のデータに対するアクセスに伴って、前記特定のデータの秘匿化を行うか否かを示す第１のデータ表に対するアクセスが行われる場合、前記第１のデータ表が前記第２のデータ表に従属するか否かを判定し、
前記第１のデータ表が前記第２のデータ表に従属する場合、前記第１のデータ表に対するアクセス権限として、前記第２のデータ表に対するアクセス権限を承継する、
処理をコンピュータに実行させることを特徴とする情報処理プログラム。

【請求項2】

請求項１において、
前記判定する処理では、前記第１のデータ表に含まれるデータのうちの前記アクセスが行われるデータが承継する前記第２のデータ表が存在するか否かを判定し、
前記承継する処理では、前記第１のデータ表に含まれるデータのうちの前記アクセスが行われるデータに対するアクセス権限として、前記第２のデータ表に対するアクセス権限を承継する、
ことを特徴とする情報処理プログラム。

【請求項3】

請求項１において、さらに、
承継した前記アクセス権限が、前記アクセスの要求元による前記第１のデータ表に対するアクセス権限を含む場合、前記要求元による前記第１のデータ表に対するアクセスを許可する、
処理をコンピュータに実行させることを特徴とする情報処理プログラム。

【請求項4】

請求項１において、
前記アクセスは、前記第１のデータ表及び前記第２のデータ表に対応するデータベースが有する所定の機能の動作に伴って行われるアクセスである、
ことを特徴とする情報処理プログラム。

【請求項5】

請求項４において、
前記所定の機能は、前記データベースの拡張機能である、
ことを特徴とする情報処理プログラム。

【請求項6】

第２のデータ表に含まれる特定のデータに対するアクセスに伴って、前記特定のデータの属性を示す第１のデータ表に対するアクセスが行われる場合、前記第１のデータ表が前記第２のデータ表に従属するか否かを判定し、
前記第１のデータ表が前記第２のデータ表に従属する場合、前記第１のデータ表に対するアクセス権限として、前記第２のデータ表に対するアクセス権限を承継する、
処理をコンピュータに実行させることを特徴とする情報処理プログラム。

【請求項7】

請求項６において、
前記第１のデータ表は、前記第２のデータ表に含まれるデータの少なくとも一部を含む、
ことを特徴とする情報処理プログラム。

【請求項8】

請求項６において、
前記第１のデータ表は、前記第２のデータ表に含まれるデータを集計した集計データを含む、
ことを特徴とする情報処理プログラム。

【請求項9】

第２のデータ表に含まれる特定のデータに対するアクセスに伴って、前記特定のデータの秘匿化を行うか否かを示す第１のデータ表に対するアクセスが行われる場合、前記第１のデータ表が前記第２のデータ表に従属するか否かを判定する従属判定部と、
前記第１のデータ表が前記第２のデータ表に従属する場合、前記第１のデータ表に対するアクセス権限として、前記第２のデータ表に対するアクセス権限を承継する権限承継部と、を有する、
ことを特徴とする情報処理装置。

【請求項10】

第２のデータ表に含まれる特定のデータに対するアクセスに伴って、前記特定のデータの属性を示す第１のデータ表に対するアクセスが行われる場合、前記第１のデータ表が前記第２のデータ表に従属するか否かを判定する従属判定部と、
前記第１のデータ表が前記第２のデータ表に従属する場合、前記第１のデータ表に対するアクセス権限として、前記第２のデータ表に対するアクセス権限を承継する権限承継部と、を有する、
ことを特徴とする情報処理装置。

【請求項11】

第２のデータ表に含まれる特定のデータに対するアクセスに伴って、前記特定のデータの秘匿化を行うか否かを示す第１のデータ表に対するアクセスが行われる場合、前記第１のデータ表が前記第２のデータ表に従属するか否かを判定し、
前記第１のデータ表が前記第２のデータ表に従属する場合、前記第１のデータ表に対するアクセス権限として、前記第２のデータ表に対するアクセス権限を承継する、
処理をコンピュータが実行することを特徴とする情報処理方法。

【請求項12】

第２のデータ表に含まれる特定のデータに対するアクセスに伴って、前記特定のデータの属性を示す第１のデータ表に対するアクセスが行われる場合、前記第１のデータ表が前記第２のデータ表に従属するか否かを判定し、
前記第１のデータ表が前記第２のデータ表に従属する場合、前記第１のデータ表に対するアクセス権限として、前記第２のデータ表に対するアクセス権限を承継する、
処理をコンピュータが実行することを特徴とする情報処理方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、情報処理プログラム、情報処理装置及び情報処理方法に関する。

【背景技術】

【0002】

例えば、ユーザにサービスを提供する事業者（以下、単に事業者とも呼ぶ）は、ユーザに対してサービスの提供を行うための情報処理システムを構築して稼働させる。具体的に、事業者は、例えば、データベースの管理を行うＤＢＭＳ（ＤａｔａＢａｓｅ Ｍａｎａｇｅｍｅｎｔ Ｓｙｓｔｅｍ）を用いた情報処理システムの構築を行う。

【0003】

このようなＤＢＭＳでは、一般的に、拡張機能（プラグイン）の開発や実行を可能とする基盤が提供されている。これを用いることにより、事業者は、データベースの機能の拡張を必要なタイミングにおいて行うことが可能になる（例えば、特許文献１及び２参照）。

【先行技術文献】

【特許文献】

【0004】

【文献】特開２００９－１４６１９８号公報

【文献】特開２０００－１３７７３５号公報

【発明の概要】

【発明が解決しようとする課題】

【0005】

上記のようにデータベースの機能を拡張する場合において、各種のポリシー設定（メタ情報）が必要なる場合、事業者は、例えば、データベースの表（以下、ポリシー表とも呼ぶ）を作成することによってポリシー設定の管理を行う。これにより、事業者は、拡張機能の生産性や異なるＤＢＭＳへの移植性等を向上させることが可能になる。

【0006】

ここで、上記のようにポリシー表を用いた管理を行う場合、事業者は、拡張機能を正常に動作させる必要性から、アクセス対象のデータが格納されたデータベースの表（以下、データ表とも呼ぶ）とポリシー表とをそれぞれ参照可能な状態にする必要がある。

【0007】

しかしながら、ポリシー表に対するアクセス権限を全てのユーザに対して与える場合、ポリシー表の内容が全てのユーザから参照可能な状態になる。そのため、例えば、悪意のユーザが存在する場合、事業者は、ポリシー設定の漏洩を防止することができなくなる。

【0008】

これに対し、例えば、ポリシー表に対するアクセス権限をＤＢＭＳの管理者（以下、ＤＢ管理者とも呼ぶ）のみに与えた場合、事業者は、悪意のユーザによるポリシー表の参照を防止することが可能になり、ポリシー設定の漏洩を防止することが可能になる。

【0009】

しかしながら、この場合、例えば、拡張機能の開発者とＤＢ管理者との間において多くのやり取りが発生することになり、拡張機能の柔軟な開発が行われなくなる可能性がある。

【0010】

そこで、一つの側面では、本発明は、ポリシー表に対するアクセス制御を効率的に行うことを可能とする情報処理プログラム、情報処理装置及び情報処理方法を提供することを目的とする。

【課題を解決するための手段】

【0011】

実施の形態の一態様では、第１のデータ表に対するアクセスが行われる場合、前記第１のデータ表が従属する第２のデータ表が存在するか否かを判定し、前記第２のデータ表が存在する場合、前記第１のデータ表に対するアクセス権限として、前記第２のデータ表に対するアクセス権限を承継する、処理をコンピュータに実行させる。

【発明の効果】

【0012】

一つの側面によれば、ポリシー表に対するアクセス制御を効率的に行うことを可能とする。

【図面の簡単な説明】

【0013】

【図1】図１は、情報処理システム１０の構成について説明する図である。

【図2】図２は、情報処理装置１のハードウエア構成を説明する図である。

【図3】図３は、情報処理装置１の機能のブロック図である。

【図4】図４は、第１の実施の形態におけるアクセス制御処理の概略を説明するフローチャート図である。

【図5】図５は、第１の実施の形態の具体例を説明する図である。

【図6】図６は、第１の実施の形態の具体例を説明する図である。

【図7】図７は、第１の実施の形態におけるアクセス制御処理の詳細を説明するフローチャート図である。

【図8】図８は、第１の実施の形態におけるアクセス制御処理の詳細を説明するフローチャート図である。

【図9】図９は、第１の実施の形態におけるアクセス制御処理の詳細を説明するフローチャート図である。

【図10】図１０は、第１の実施の形態におけるアクセス制御処理の詳細を説明するフローチャート図である。

【図11】図１１は、第１の実施の形態におけるアクセス制御処理の詳細を説明するフローチャート図である。

【図12】図１２は、秘匿化ポリシー表ＴＢ１の具体例について説明する図である。

【図13】図１３は、従属情報１３１の具体例について説明する図である。

【図14】図１４は、権限情報１３２の具体例について説明する図である。

【図15】図１５は、第２の実施の形態の概略を説明する図である。

【図16】図１６は、第２の実施の形態の概略を説明する図である。

【図17】図１７は、第２の実施の形態の概略を説明する図である。

【図18】図１８は、第２の実施の形態におけるアクセス制御処理の詳細を説明するフローチャート図である。

【図19】図１９は、第２の実施の形態におけるアクセス制御処理の詳細を説明するフローチャート図である。

【図20】図２０は、第２の実施の形態におけるアクセス制御処理の詳細を説明するフローチャート図である。

【図21】図２１は、第２の実施の形態におけるアクセス制御処理の詳細を説明するフローチャート図である。

【図22】図２２は、統計情報表ＴＢ３の具体例について説明する図である。

【発明を実施するための形態】

【0014】

［情報処理システムの構成］
初めに、情報処理システム１０の構成について説明を行う。図１は、情報処理システム１０の構成について説明する図である。

【0015】

図１に示すように、情報処理システム１０は、例えば、１台以上の物理マシンまたは仮想マシンによって構成される情報処理装置１と、情報処理装置１がアクセス可能なデータベースＤＢと、ユーザが各種情報の入力等を行うＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）である操作端末５とを有する。以下、情報処理装置１においてＤＢＭＳが動作しており、データベースＤＢに格納されたデータの秘匿化機能を拡張機能として有しているものとして説明を行う。

【0016】

データベースＤＢは、例えば、ポリシー表ＴＢ１（以下、第１のデータ表ＴＢ１とも呼ぶ）と、データ表ＴＢ２（以下、第２のデータ表ＴＢ２とも呼ぶ）とを格納する。以下、ポリシー表ＴＢ１が、秘匿化のポリシー設定（以下、秘匿化ポリシーとも呼ぶ）に関するポリシー表（以下、秘匿化ポリシー表ＴＢ１とも呼ぶ）であるものとして説明を行う。

【0017】

情報処理装置１は、例えば、ユーザが操作端末５を介してデータ表ＴＢ２に含まれるデータのアクセス要求（参照要求）を入力した場合、そのアクセス要求に対応するデータをデータベースＤＢから取得する。そして、情報処理装置１は、秘匿化ポリシー表ＴＢ１を参照し、取得したデータに対応する秘匿化ポリシーを特定する。さらに、情報処理装置１は、取得したデータに対して、特定した秘匿化ポリシーに対応する秘匿化を行う。その後、情報処理装置１は、秘匿化を行ったデータを操作端末５に出力する。

【0018】

これにより、情報処理装置１は、秘匿化対象のデータがユーザに閲覧されないように制御することが可能になる。

【0019】

ここで、上記のように秘匿化ポリシー表ＴＢ１を用いたポリシー設定の管理を行う場合、事業者は、アクセス要求に対応するデータの秘匿化を可能にするために、秘匿化ポリシー表ＴＢ１とポリシー表ＴＢ２とのそれぞれを参照可能な状態にする必要がある。

【0020】

しかしながら、秘匿化ポリシー表ＴＢ１に対するアクセス権限を全てのユーザに対して与える場合、秘匿化ポリシー表ＴＢ１が全てのユーザから参照可能な状態になる。そのため、例えば、悪意のユーザが存在する場合、事業者は、ポリシー設定の漏洩を防止することができなくなる。

【0021】

これに対し、事業者は、例えば、秘匿化ポリシー表ＴＢ１に対するアクセス権限をＤＢＭＳの管理者に対してのみに与えることにより、ポリシー設定の漏洩を防止することが可能になる。

【0022】

しかしながら、この場合、例えば、拡張機能の開発者とＤＢ管理者との間において多くのやり取りが発生することになり、拡張機能の柔軟な開発が行われなくなる可能性がある。

【0023】

そこで、本実施の形態における情報処理装置１は、秘匿化ポリシー表ＴＢ１に対するアクセスが行われる場合、秘匿化ポリシー表ＴＢ１が従属するデータ表ＴＢ２が存在するか否かを判定する。そして、情報処理装置１は、秘匿化ポリシー表ＴＢ１が従属するデータ表ＴＢ２が存在すると判定した場合、秘匿化ポリシー表ＴＢ１に対するアクセス権限として、データ表ＴＢ２に対するアクセス権限を承継する。

【0024】

すなわち、情報処理装置１は、秘匿化ポリシー表ＴＢ１がデータ表ＴＢ２に従属している場合、データ表ＴＢ２に対するアクセス権限として、秘匿化ポリシー表ＴＢ１に対するアクセス権限を適用することが可能であると判断する。そのため、情報処理装置１は、この場合、秘匿化ポリシー表ＴＢ１に対するアクセス権限として、データ表ＴＢ２に対するアクセス権限を用いる。

【0025】

具体的に、情報処理装置１は、例えば、秘匿化ポリシー表ＴＢ１に対するアクセスが拡張機能を経由して行われた場合に、秘匿化ポリシー表ＴＢ１に対するアクセス権限として、データ表ＴＢ２に対するアクセス権限を用いる。

【0026】

これにより、情報処理装置１は、秘匿化ポリシー表ＴＢ１に対するアクセス権限を全てのユーザに対して与える必要がなくなる。また、情報処理装置１は、秘匿化ポリシー表ＴＢ１に対するアクセス権限をＤＢ管理者に限定する必要がなくなる。そのため、情報処理装置１は、秘匿化ポリシー表ＴＢ１を用いることによってポリシー設定の管理を行う場合であっても、ポリシー設定の漏洩を防止しつつ、機能拡張の柔軟な開発を実現することが可能になる。

【0027】

［情報処理システムのハードウエア構成］
次に、情報処理システム１０のハードウエア構成について説明する。図２は、情報処理装置１のハードウエア構成を説明する図である。

【0028】

情報処理装置１は、図２に示すように、プロセッサであるＣＰＵ１０１と、メモリ１０２と、外部インターフェース（Ｉ／Ｏユニット）１０３と、記憶媒体１０４とを有する。各部は、バス１０５を介して互いに接続される。

【0029】

記憶媒体１０４は、例えば、秘匿化ポリシー表ＴＢ１に対するアクセス権限を制御する処理（以下、アクセス制御処理とも呼ぶ）を行うためのプログラム１１０を記憶するプログラム格納領域（図示しない）を有する。また、記憶媒体１０４は、例えば、アクセス制御処理を行う際に用いられる情報を記憶する記憶部１３０（以下、情報格納領域１３０とも呼ぶ）を有する。なお、記憶媒体１０４は、例えば、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）やＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）であってよい。

【0030】

ＣＰＵ１０１は、記憶媒体１０４からメモリ１０２にロードされたプログラム１１０を実行してアクセス制御処理を行う。

【0031】

また、外部インターフェース１０３は、例えば、操作端末５等との通信を行う。

【0032】

［情報処理システムの機能］
次に、情報処理システム１０の機能について説明を行う。図３は、情報処理装置１の機能のブロック図である。

【0033】

情報処理装置１は、図３に示すように、例えば、ＣＰＵ１０１やメモリ１０２等のハードウエアとプログラム１１０とが有機的に協働することにより、要求受付部１１１と、データアクセス部１１２と、従属判定部１１３と、権限承継部１１４と、権限判定部１１５と、データ秘匿部１１６と、データ出力部１１７とを含む各種機能を実現する。

【0034】

また、情報処理装置１は、例えば、図３に示すように、従属情報１３１と、権限情報１３２とを情報格納領域１３０に記憶する。

【0035】

要求受付部１１１は、データベースＤＢに格納されたデータ表ＴＢ２に対するアクセス要求を受け付ける。具体的に、要求受付部１１１は、例えば、ユーザが操作端末５を介して行ったアクセス要求を受け付ける。

【0036】

データアクセス部１１２は、データベースＤＢに格納されたデータ表ＴＢ２にアクセスし、要求受付部１１１が受け付けたアクセス要求に対応するデータを取得する。

【0037】

従属判定部１１３は、データベースＤＢに格納された秘匿化ポリシー表ＴＢに対するアクセスが行われる場合、秘匿化ポリシー表ＴＢ１が従属するデータ表ＴＢ２が存在するか否かを判定する。

【0038】

具体的に、従属判定部１１３は、例えば、データアクセス部１１２がデータ表ＴＢ２からデータを取得したことに伴って、秘匿化ポリシー表ＴＢ１に含まれる秘匿化ポリシーに対してアクセスを行う必要が生じた場合、アクセスを行う必要が生じた秘匿化ポリシーが従属するデータ表ＴＢ２が存在するか否かを判定する。

【0039】

権限承継部１１４は、秘匿化ポリシー表ＴＢ１が従属するデータ表ＴＢ２が存在すると従属判定部１１３が判定した場合、秘匿化ポリシー表ＴＢ１に対するアクセス権限として、従属判定部１１３が存在すると判定したデータ表ＴＢ２に対するアクセス権限を承継する。

【0040】

具体的に、権限承継部１１４は、例えば、秘匿化ポリシーＴＢ１に含まれる秘匿化ポリシーのうち、アクセスを行う必要が生じた秘匿化ポリシーに対するアクセス権限として、従属判定部１１３が存在すると判定したデータ表ＴＢ２に対するアクセス権限を承継する。

【0041】

権限判定部１１５は、権限承継部１１４によって承継されたアクセス権限に、要求受付部１１１が受け付けたアクセス要求を行ったユーザのアクセス権限が含まれているか否かを判定する。

【0042】

そして、データアクセス部１１２は、アクセス要求を行ったユーザのアクセス権限が含まれている権限判定部１１５が判定した場合、データベースＤＢに格納された秘匿化ポリシー表ＴＢ１にアクセスし、アクセスを行う必要が生じた秘匿化ポリシー（要求受付部１１１が受け付けたアクセス要求に対応するデータ表ＴＢ２に関する秘匿化ポリシー）を取得する。

【0043】

データ秘匿部１１６は、データアクセス部１１２がデータ表ＴＢ２から取得したデータに対して、データアクセス部１１２が秘匿化ポリシー表ＴＢ１から取得した秘匿化ポリシーに対応する秘匿化を行う。

【0044】

データ出力部１１７は、データ秘匿部１１６が秘匿化を行ったデータを出力する。具体的に、データ出力部１１７は、例えば、データ秘匿部１１６が秘匿化を行ったデータを、要求受付部１１１が受け付けたアクセス要求を行った操作端末５に出力する。

【0045】

［第１の実施の形態の概略］
次に、第１の実施の形態の概略について説明する。図４は、第１の実施の形態におけるアクセス制御処理の概略を説明するフローチャート図である。

【0046】

なお、以下の例では、秘匿化ポリシー表ＴＢ１がデータベースＤＢに格納されている場合について説明を行うが、秘匿化ポリシー表ＴＢ１は、例えば、情報処理装置１内の記憶領域（例えば、情報格納領域１３０）に記憶されるものであってもよい。

【0047】

従属判定部１１３は、図４に示すように、データベースＤＢに格納された秘匿化ポリシー表ＴＢ１に対するアクセスが行われることを検知するまで待機する（Ｓ１のＮＯ）。具体的に、従属判定部１１３は、要求受付部１１１が受け付けたアクセス要求に対応するデータをデータアクセス部１１２が取得するまで待機する。

【0048】

そして、秘匿化ポリシー表ＴＢ１に対するアクセスが行われることを検知した場合（Ｓ１のＹＥＳ）、従属判定部１１３は、Ｓ１の処理で受け付けたアクセス要求に対応する秘匿化ポリシー表ＴＢ１が従属するデータ表ＴＢ２が存在するか否かを判定する（Ｓ２）。

【0049】

その結果、データ表ＴＢ２が存在すると判定した場合（Ｓ３のＹＥＳ）、権限承継部１１４は、Ｓ１の処理で受け付けたアクセス要求に対応する秘匿化ポリシー表ＴＢ１に対するアクセス権限として、Ｓ２の処理で存在すると判定したデータ表ＴＢ２に対するアクセス権限を承継する（Ｓ４）。

【0050】

一方、データ表ＴＢ２が存在しないと判定した場合（Ｓ３のＮＯ）、権限承継部１１４は、Ｓ４の処理を行わない。

【0051】

これにより、情報処理装置１は、秘匿化ポリシー表ＴＢ１に対するアクセス権限を全てのユーザに対して与える必要がなくなる。また、情報処理装置１は、秘匿化ポリシー表ＴＢ１に対するアクセス権限をＤＢ管理者に限定する必要がなくなる。そのため、情報処理装置１は、秘匿化ポリシー表ＴＢ１を用いることによってポリシー設定の管理を行う場合であっても、ポリシー設定の漏洩を防止しつつ、機能拡張の柔軟な開発を実現することが可能になる。

【0052】

また、情報処理装置１は、秘匿化ポリシー表ＴＢ１に対するアクセス権限の管理を自動的に行うことが可能になる。そのため、情報処理装置１は、秘匿化ポリシー表ＴＢ１に対するアクセス権限の管理に伴う負荷を軽減させることが可能になる。

【0053】

［第１の実施の形態の具体例］
次に、第１の実施の形態の具体例について説明を行う。図５及び図６は、第１の実施の形態の具体例を説明する図である。

【0054】

図５等に示すデータベースＤＢには、秘匿化ポリシー表ＴＢ１、データ表ＴＢ２－１、データ表ＴＢ２－２及びデータ表ＴＢ２－３が格納されている。また、図５等に示す例において、秘匿化ポリシー表ＴＢ１には、秘匿化ポリシーＰＬ１－１、秘匿化ポリシーＰＬ１－２及び秘匿化ポリシーＰＬ１－３の各行がそれぞれ含まれている。さらに、図５等に示す例において、秘匿化ポリシーＰＬ１－１、秘匿化ポリシーＰＬ１－２及び秘匿化ポリシーＰＬ１－３のそれぞれは、データ表ＴＢ２－１、データ表ＴＢ２－２及びデータ表ＴＢ２－３にそれぞれ従属している。

【0055】

具体的に、例えば、ユーザが操作端末５を介してデータ表２－１に対するアクセス要求（例えば、ＳＱＬ文によるアクセス要求）を送信した場合、情報処理装置１は、データベースＤＢに格納されたデータ表ＴＢ２－１にアクセスし、操作端末５から送信されたアクセス要求に対応するデータを取得する。

【0056】

そして、情報処理装置１は、図５に示すように、操作端末５から送信されたアクセス要求に対応するデータの秘匿化を行うために、秘匿化ポリシー表ＴＢ１に含まれる秘匿化ポリシーＰＬ１－１に対してアクセスを行う必要性が発生したと判定し、秘匿化ポリシーＰＬ１－１が従属する表であるデータ表ＴＢ２－１を特定する。

【0057】

さらに、情報処理装置１は、図６に示すように、特定したデータ表ＴＢ２－１のアクセス権限に、アクセス要求を行ったユーザのアクセス権限が含まれているか否かを判定する。具体的に、情報処理装置１は、例えば、アクセス要求が拡張機能からのアクセス要求であり、かつ、アクセス要求を行ったユーザのアクセス権限がデータ表ＴＢ２－１のアクセス権限に含まれているか否かについての判定を行う。その結果、アクセス要求を行ったユーザのアクセス権限が含まれていると判定した場合、情報処理装置１は、秘匿化ポリシー表ＴＢ１に対するアクセスを行って秘匿化ポリシーＰＬ１－１を取得する。

【0058】

その後、情報処理装置１は、データ表ＴＢ２－１から取得したデータ（アクセス要求に対応するデータ）を秘匿化ポリシーＰＬ１－１に従って秘匿化し、秘匿化したデータを操作端末５に出力する。

【0059】

［第１の実施の形態の詳細］
次に、第１の実施の形態の詳細について説明する。図７から図１１は、第１の実施の形態におけるアクセス制御処理の詳細を説明するフローチャート図である。また、図１２から図１４は、第１の実施の形態におけるアクセス制御処理の詳細を説明する図である。

【0060】

［データアクセス処理（１）］
初めに、データベースＤＢに格納されたデータ表ＴＢ２に含まれるデータに対してアクセスを行う処理（以下、データアクセス処理とも呼ぶ）について説明を行う。図７及び図８は、データアクセス処理を説明するフローチャート図である。

【0061】

要求受付部１１１は、図７に示すように、データ表ＴＢ２に含まれるデータに対するアクセス要求を受け付けるまで待機する（Ｓ１０１のＮＯ）。具体的に、要求受付部１１１は、例えば、ユーザが操作端末５を介してアクセス要求を送信するまで待機する。

【0062】

そして、データ表ＴＢ２に含まれるデータに対するアクセス要求を受け付けた場合（Ｓ１０１のＹＥＳ）、データアクセス部１１２は、データベースＤＢに格納されたデータ表ＴＢ２にアクセスし、Ｓ１０１の処理でアクセス要求を受け付けたデータを取得する（Ｓ１０２）。

【0063】

続いて、データアクセス部１１２は、データベースＤＢに格納された秘匿化ポリシー表ＴＢ１に含まれる秘匿化ポリシーのうち、Ｓ１０２の処理で取得したデータに対応する秘匿化ポリシーを特定する（Ｓ１０３）。以下、秘匿化ポリシー表ＴＢ１の具体例について説明を行う。

【0064】

［秘匿化ポリシー表の具体例］
図１２は、秘匿化ポリシー表ＴＢ１の具体例について説明する図である。

【0065】

図１２に示す秘匿化ポリシー表ＴＢ１は、各秘匿化ポリシーを識別する「項番」と、各データ表ＴＢ２を特定する「表ＩＤ」と、各データ表ＴＢ２における秘匿化対象のデータを特定する「対象」と、秘匿化ポリシーの内容が記憶される「秘匿化ポリシー」とを項目として有する。

【0066】

具体的に、図１２に示す秘匿化ポリシー表ＴＢ１において、「項番」が「１」である情報には、「表ＩＤ」として「１０１」が記憶されており、「対象」として「列Ａ」が記憶されており、「秘匿化ポリシー」として「市外局番以外を＊に変更」が記憶されている。すなわち、「項番」が「１」であるポリシーは、表ＩＤが１０１である表の列Ａに対するアクセス要求があった場合、そのアクセス要求に対応するデータのうち、市外局番以外のデータの全てを＊に変更してから出力する旨を示している。

【0067】

また、図１２に示す秘匿化ポリシー表ＴＢ１において、「項番」が「２」である情報には、「表ＩＤ」として「１０２」が記憶されており、「対象」として「なし」が記憶されており、「秘匿化ポリシー」として「なし」が記憶されている。すなわち、「項番」が「２」であるポリシーは、表ＩＤが１０２である表に対するアクセス要求があった場合、そのアクセス要求に対応するデータを秘匿化することなく出力する旨を示している。図１２に含まれる他の情報についての説明は省略する。

【0068】

そして、例えば、「表ＩＤ」が「１０１」であるデータ表ＴＢ２に、Ｓ１０２の処理で取得したデータが含まれていた場合、データアクセス部１１２は、Ｓ１０３の処理において、図１２に示す秘匿化ポリシー表ＴＢ１に含まれる秘匿化ポリシーのうち、「表ＩＤ」が「１０１」である秘匿化ポリシー（「項番」が「１」である秘匿化ポリシー）を特定する。

【0069】

図７に戻り、情報処理装置１は、秘匿化ポリシー表ＴＢ１に対するアクセス制御処理の実行を開始する。なお、データアクセス部１１２は、この場合、Ｓ１０３の処理で特定した秘匿化ポリシーに対するアクセス要求を従属判定部１１３に送信するものであってもよい。以下、アクセス制御処理について説明を行う。

【0070】

［アクセス制御処理］
図９から図１１は、アクセス制御処理を説明するフローチャート図である。

【0071】

従属判定部１１３は、図９に示すように、アクセス制御タイミングになるまで待機する（Ｓ１１のＮＯ）。アクセス制御タイミングは、例えば、Ｓ１０３の処理で特定した秘匿化ポリシーに対するアクセス要求をデータアクセス部１１２から受信したタイミングであってよい。

【0072】

そして、アクセス制御タイミングになった場合（Ｓ１１のＹＥＳ）、従属判定部１１３は、情報格納領域１３０に記憶された従属情報１３１を参照し、Ｓ１０３の処理で特定した秘匿化ポリシーが従属するデータ表ＴＢ２が存在するか否かを判定する（Ｓ１２）。以下、従属情報１３１の具体例について説明を行う。

【0073】

［従属情報の具体例］
図１３は、従属情報１３１の具体例について説明する図である。

【0074】

図１３に示す従属情報１３１は、各情報を識別する「項番」と、各表を特定する「表ＩＤ」と、各表が従属する表を特定する「従属先」とを項目として有している。なお、以下、表ＩＤが１０１、１０２または１０３である表がデータ表ＴＢ２であり、表ＩＤが２０１である表が秘匿化ポリシー表ＴＢ１であるものとして説明を行う。

【0075】

具体的に、図１３に示す従属情報１３１において、例えば、「項番」が「１」である情報には、「表ＩＤ」として「１０１」が記憶され、「従属先」として「なし」が記憶されている。

【0076】

また、図１３に示す従属情報１３１において、例えば、「項番」が「４」である情報には、「表ＩＤ」として「２０１」が記憶され、「従属先」として「あり」が記憶されている。図１３に含まれる他の情報についての説明は省略する。

【0077】

すなわち、図１３に示す従属情報１３１において、秘匿化ポリシー表ＴＢ１に対応する情報（「項番」が「４」である情報）の「従属先」には、従属先が存在していることを示す「あり」が記憶されている。

【0078】

そのため、例えば、Ｓ１０３の処理において、図１２で説明した秘匿化ポリシー表ＴＢ１のうち、「表ＩＤ」が「１０１」である表に対応する秘匿化ポリシー（「項番」が「１」である秘匿化ポリシー）が特定されている場合、従属判定部１１３は、Ｓ１２の処理において、Ｓ１０３の処理で特定した秘匿化ポリシーが従属するデータ表ＴＢ２として、「表ＩＤ」が「１０１」である表が存在すると判定する。

【0079】

図９に戻り、Ｓ１０３の処理で特定した秘匿化ポリシーが従属するデータ表ＴＢ２が存在すると判定した場合（Ｓ１３のＹＥＳ）、権限承継部１１４は、情報格納領域１３０に記憶された権限情報１３２を参照し、秘匿化ポリシー表ＴＢ１についてのセキュリティが有効であるか否かを判定する（Ｓ１４）。以下、権限情報１３２の具体例について説明を行う。

【0080】

［権限情報の具体例］
図１４は、権限情報１３２の具体例について説明する図である。

【0081】

図１４に示す権限情報１３２は、各情報を識別する「項番」と、各表を特定する「表ＩＤ」と、各表に対するアクセス権限を有するユーザの情報を示す「アクセス権限」とを項目として有する。また、図１４に示す権限情報１３２は、各表に対するセキュリティ（例えば、悪意のユーザ等による不正なアクセスを防止するためのセキュリティ）が有効であるか否かを示す「セキュリティ」と、各表が従属先のアクセス権限を承継しているか否かを示す「権限承継」と、各表が従属先から承継しているアクセス権限の範囲を示す「承継の範囲」とを項目として有する。

【0082】

具体的に、図１４に示す権限情報１３２において、例えば、「項番」が「１」である情報には、「表ＩＤ」として「１０１」が記憶され、「アクセス権限」として「ユーザＡ、ユーザＤ、・・・」が記憶されている。また、図１４に示す権限情報１３２において、「項番」が「１」である情報には、「セキュリティ」として「ＮＯ」が記憶され、「権限承継」として「ＮＯ」が記憶され、「承継の範囲」として「なし」が記憶されている。

【0083】

すなわち、「項番」が「１」である情報は、表ＩＤが１０１である表に対してユーザＡ及びユーザＤ等がアクセス可能であることを示している。また、「項番」が「１」である情報は、表ＩＤが１０１である表に関するセキュリティが無効であることを示している。さらに、「項番」が「１」である情報は、表ＩＤが１０１である表に対して、アクセス権限の承継が行われていないことを示している。

【0084】

また、図１４に示す権限情報１３２において、例えば、「項番」が「４」である情報には、「表ＩＤ」として「２０１」が記憶され、「アクセス権限」として「表管理者」が記憶されている。また、図１４に示す権限情報１３２において、「項番」が「４」である情報には、「セキュリティ」として「ＹＥＳ」が記憶され、「権限承継」として「ＹＥＳ」が記憶され、「承継の範囲」として「拡張機能」が記憶されている。

【0085】

すなわち、「項番」が「４」である情報は、表ＩＤが２０１である表に対して表管理者がアクセス可能であることを示している。また、「項番」が「４」である情報は、表ＩＤが２０１である表に関するセキュリティが有効であることを示している。さらに、「項番」が「４」である情報は、表ＩＤが２０１である表に対して、拡張機能についてのアクセス権限の承継が行われていることを示している。

【0086】

また、図１４に示す権限情報１３２において、例えば、「項番」が「５」である情報には、「表ＩＤ」として「２０２」が記憶され、「アクセス権限」として「表管理者」が記憶されている。また、図１４に示す権限情報１３２において、「項番」が「５」である情報には、「セキュリティ」として「ＹＥＳ」が記憶され、「権限承継」として「ＹＥＳ」が記憶され、「承継の範囲」として「ユーザ」が記憶されている。

【0087】

すなわち、「項番」が「５」である情報は、表ＩＤが２０２である表に対して表管理者がアクセス可能であることを示している。また、「項番」が「５」である情報は、表ＩＤが２０２である表に関するセキュリティが有効であることを示している。さらに、「項番」が「５」である情報は、表ＩＤが２０２である表に対して、アクセス要求を行うユーザについてのアクセス権限の承継が行われていることを示している。図１４に含まれる他の情報についての説明は省略する。

【0088】

そのため、従属判定部１１３は、Ｓ１４の処理において、例えば、図１４に示す権限情報１３２を参照し、秘匿化ポリシー表ＴＢ１（「表ＩＤ」が「２０１」である表）についてのセキュリティが有効であると判定する。

【0089】

図９に戻り、秘匿化ポリシー表ＴＢ１についての行毎のセキュリティが有効であると判定した場合（Ｓ１５のＹＥＳ）、権限承継部１１４は、情報格納領域１３０に記憶された権限情報１３２を参照し、データ表ＴＢ２に対するアクセス権限を秘匿化ポリシー表ＴＢ１が承継しているか否かを判定する（Ｓ１６）。

【0090】

具体的に、図１４で説明した権限情報１３２において、「表ＩＤ」が「２０１」である情報（「項番」が「４」である情報）の「権限承継」には、「ＹＥＳ」が記憶されている。そのため、権限承継部１１４は、Ｓ１６の処理において、秘匿化ポリシー表ＴＢ１（「表ＩＤ」が「２０１」である表）がアクセス権限を承継していると判定する。

【0091】

なお、権限情報１３２は、秘匿化ポリシー表ＴＢ１に含まれる行（秘匿化ポリシー）ごとのセキュリティを含むものであってよい。そして、権限承継部１１４は、この場合、Ｓ１４の処理において、秘匿化ポリシー表ＴＢ１のうち、Ｓ１０３の処理で特定した秘匿化ポリシーについてのセキュリティが有効であるか否かを判定するものであってよい。さらに、権限承継部１１４は、秘匿化ポリシー表ＴＢ１のうち、Ｓ１０３の処理で特定した秘匿化ポリシーについてのセキュリティが有効であると判定した場合、秘匿化ポリシー表ＴＢ１のうち、Ｓ１０３の処理で特定した秘匿化ポリシーがデータ表ＴＢ２に対するアクセス権限を承継しているか否かの判定を行うものであってよい（Ｓ１５、Ｓ１６）。

【0092】

その結果、図１０に示すように、データ表ＴＢ２に対するアクセス権限を承継していると判定した場合（Ｓ２１のＹＥＳ）、権限承継部１１４は、情報格納領域１３０に記憶された権限情報１３２を参照し、Ｓ１６の処理で承継していると判定したアクセス権限の範囲に拡張機能が含まれているか否かを判定する（Ｓ２２）。

【0093】

具体的に、図１４で説明した権限情報１３２において、「表ＩＤ」が「２０１」である情報（「項番」が「４」である情報）の「承継の範囲」には、「拡張機能」が記憶されている。そのため、権限承継部１１４は、Ｓ２２の処理において、秘匿化ポリシー表ＴＢ１（「表ＩＤ」が「２０１」である表）が拡張機能のアクセス権限を承継していると判定する。

【0094】

そして、Ｓ１６の処理で承継していると判定したアクセス権限の範囲に拡張機能が含まれていると判定した場合（Ｓ２３のＹＥＳ）、権限承継部１１４は、情報格納領域１３０に記憶された権限情報１３２を参照し、Ｓ１２の処理で存在したデータ表ＴＢ２に対するアクセス権限を特定する（Ｓ２４）。

【0095】

具体的に、図１４で説明した権限情報１３２において、「表ＩＤ」が「１０１」である情報（「項番」が「１」である情報）の「アクセス権限」には、「ユーザＡ、ユーザＤ、・・・」が記憶されている。そのため、権限承継部１１４は、Ｓ２４の処理において、例えば、表ＩＤが１０１である表に対してユーザＡ及びユーザＤがアクセスできる旨を含む情報を特定する。

【0096】

続いて、権限判定部１１５は、Ｓ２４の処理で特定したアクセス権限に、Ｓ１０１の処理で受け付けたアクセス要求を行ったユーザに対応するアクセス権限が含まれているか否かを判定する（Ｓ２５）。

【0097】

具体的に、例えば、Ｓ１０１の処理で受け付けたアクセス要求を行ったユーザがユーザＤである場合、権限判定部１１５は、Ｓ２５の処理において、表ＩＤが１０１である表に対するアクセス権限に、ユーザＤによるアクセス権限が含まれていると判定する。

【0098】

その結果、Ｓ１０１の処理で受け付けたアクセス要求を行ったユーザに対応するアクセス権限が含まれていると判定した場合（Ｓ２６のＹＥＳ）、権限判定部１１５は、図１１に示すように、Ｓ１０３の処理で特定した秘匿化ポリシーに対するアクセスを許可する（Ｓ３４）。

【0099】

一方、Ｓ１３の処理において、Ｓ１０３の処理で特定した秘匿化ポリシーが従属するデータ表ＴＢ２が存在しないと判定した場合（Ｓ１３のＮＯ）、権限判定部１１５は、図１１に示すように、情報格納領域１３０に記憶された権限情報１３２を参照し、Ｓ１０３の処理で特定した秘匿化ポリシーに対するアクセス権限を特定する（Ｓ３１）。

【0100】

そして、権限判定部１１５は、Ｓ３１の処理で特定したアクセス権限に、Ｓ１０１の処理で受け付けたアクセス要求を行ったユーザに対応するアクセス権限が含まれているか否かを判定する（Ｓ３２）。

【0101】

その結果、Ｓ１０１の処理で受け付けたアクセス要求を行ったユーザに対応するアクセス権限が含まれていると判定した場合（Ｓ３３のＹＥＳ）、権限判定部１１５は、Ｓ１０３の処理で特定した秘匿化ポリシーに対するアクセスを許可する（Ｓ３４）。

【0102】

また、Ｓ１０１の処理で受け付けたアクセス要求を行ったユーザに対応するアクセス権限が含まれていないと判定した場合（Ｓ３３のＮＯ）、権限判定部１１５は、Ｓ３４の処理を行わない。なお、情報処理装置１は、この場合、処理の実行を中断するものであってよい。そして、事業者は、Ｓ１０１の処理で受け付けたアクセス要求を行ったユーザに対応するアクセス権限が、Ｓ３１の処理で特定したアクセス権限に含まれていなかったことについての調査等を行うものであってもよい。

【0103】

また、Ｓ１０３の処理で特定した秘匿化ポリシーについての行毎のセキュリティが無効であると判定した場合（Ｓ１５のＮＯ）や、Ｓ１２の処理で存在したデータ表ＴＢ２に対するアクセス権限を承継していないと判定した場合についても同様に（Ｓ２１のＮＯ）、権限判定部１１５は、Ｓ３１以降の処理を行う。さらに、Ｓ１６の処理で承継していると判定したアクセス権限の範囲に拡張機能が含まれていないと判定した場合（Ｓ２３のＮＯ）や、Ｓ１０１の処理で受け付けたアクセス要求を行ったユーザに対応するアクセス権限が含まれていないと判定した場合についても同様に（Ｓ２６のＮＯ）、権限判定部１１５は、Ｓ３１以降の処理を行う。

【0104】

［データアクセス処理（２）］
図８に戻り、データアクセス部１１２は、アクセス制御処理において、Ｓ１０３の処理で特定した秘匿化ポリシーに対するアクセスが許可されているか否かを判定する（Ｓ１１１）。

【0105】

その結果、Ｓ１０３の処理で特定した秘匿化ポリシーに対するアクセスが許可されていると判定した場合（Ｓ１１１のＹＥＳ）、データアクセス部１１２は、Ｓ１０３の処理で特定した秘匿化ポリシーにアクセスする（Ｓ１１２）。

【0106】

そして、データ秘匿部１１６は、Ｓ１１２の処理でアクセスした秘匿化ポリシーに従って、Ｓ１０２の処理で取得したデータの秘匿化を行う（Ｓ１１３）。

【0107】

その後、データ出力部１１７は、Ｓ１１３の処理で秘匿化を行ったデータを出力する（Ｓ１１４）。具体的に、データ出力部１１７は、例えば、Ｓ１１３の処理で秘匿化を行ったデータを操作端末５に出力する。

【0108】

一方、Ｓ１０３の処理で特定した秘匿化ポリシーに対するアクセスが許可されていないと判定した場合（Ｓ１１１のＮＯ）、データアクセス部１１２等は、Ｓ１１２以降の処理を行わない。なお、情報処理装置１は、この場合、処理の実行を中断するものであってよい。そして、事業者は、Ｓ１０３の処理で特定した秘匿化ポリシーに対するアクセスが許可されていなかったことについての調査等を行うものであってもよい。

【0109】

このように、本実施の形態における情報処理装置１は、秘匿化ポリシー表ＴＢ１に対するアクセスが行われる場合、秘匿化ポリシー表ＴＢ１が従属するデータ表ＴＢ２が存在するか否かを判定する。そして、情報処理装置１は、データ表ＴＢ２が存在すると判定した場合、秘匿化ポリシー表ＴＢ１に対するアクセス権限として、データ表ＴＢ２に対するアクセス権限を承継する。

【0110】

すなわち、情報処理装置１は、秘匿化ポリシー表ＴＢ１がデータ表ＴＢ２に従属している場合、データ表ＴＢ２に対するアクセス権限として、秘匿化ポリシー表ＴＢ１に対するアクセス権限が適用可能であると判断する。そのため、情報処理装置１は、この場合、秘匿化ポリシー表ＴＢ１に対するアクセス権限として、データ表ＴＢ２に対するアクセス権限を用いる。

【0111】

これにより、情報処理装置１は、秘匿化ポリシー表ＴＢ１に対するアクセス権限を全てのユーザに対して与える必要がなくなる。また、情報処理装置１は、秘匿化ポリシー表ＴＢ１に対するアクセス権限をＤＢ管理者に限定する必要がなくなる。そのため、情報処理装置１は、秘匿化ポリシー表ＴＢ１を用いることによってポリシー設定の管理を行う場合であっても、ポリシー設定の漏洩を防止しつつ、機能拡張の柔軟な開発を実現することが可能になる。

【0112】

また、情報処理装置１は、秘匿化ポリシー表ＴＢ１に対するアクセス権限の管理を自動的に行うことが可能になる。そのため、情報処理装置１は、秘匿化ポリシー表ＴＢ１に対するアクセス権限の管理に伴う負荷を軽減させることが可能になる。

【0113】

なお、データアクセス部１１２は、図８等で説明したように、アクセス制御処理によってポリシー表ＴＢ１に対するアクセスが認められた場合に限り、秘匿化ポリシー表ＴＢ１に対するアクセスを行うものであってよい。一方、データアクセス部１１２は、例えば、秘匿化ポリシー表ＴＢ１に対して直接アクセスするためのアクセス要求があった場合、そのアクセス要求に対応するアクセスを行わないものであってよい。

【0114】

具体的に、情報処理装置１は、例えば、秘匿化ポリシー表ＴＢ１に対するアクセス権限を、秘匿化ポリシー表ＴＢ１の表管理者に限定するものであってよい。そして、情報処理装置１は、秘匿化ポリシー表ＴＢ１に対するアクセス権限を持たないユーザが、拡張機能に対応する処理（例えば、図７及び図８で説明したＳ１０４からＳ１１３の処理）を実行する場合、そのユーザに対して秘匿化ポリシー表ＴＢ１の表管理者権限を与えるものであってよい。

【0115】

これにより、情報処理装置１は、秘匿化ポリシー表ＴＢ１に対するアクセスが拡張機能を経由して行われた場合に限り、秘匿化ポリシー表ＴＢ１に対するアクセスを許可することが可能になる。そのため、情報処理装置１は、悪意のユーザによる秘匿化ポリシー表ＴＢ１へのアクセスをより精度良く防止することが可能になる。

【0116】

［第２の実施の形態の概略］
次に、第２の実施の形態の概略について説明する。図１５は、第２の実施の形態の概略を説明する図である。

【0117】

第２の実施の形態におけるアクセス制御処理は、第１の実施の形態におけるアクセス制御処理のように、データベースＤＢに格納された秘匿化ポリシー表ＴＢ１に対するアクセス要求が発生した場合に行われる処理と異なり、図１５に示すように、データベースＤＢに格納された統計情報表ＴＢ３に対するアクセス要求が発生した場合に行われる処理である。

【0118】

統計情報表ＴＢ３は、各データ表ＴＢ２に含まれるデータの特徴（属性）を示す表であり、例えば、各データ表ＴＢ２に対するアクセスプランの作成に用いられる表である。具体的に、統計情報表ＴＢ３は、例えば、データ表ＴＢ２に含まれるデータの一部やデータのサマリ等が含まれる表である。また、統計情報表ＴＢ３は、例えば、データ表ＴＢ２に含まれるデータを集計した集計データが含まれる表である。以下、第２の実施の形態の具体例について説明を行う。

【0119】

［第２の実施の形態の具体例］
図１６及び図１７は、第２の実施の形態の具体例を説明する図である。

【0120】

図１６等に示すデータベースＤＢには、統計情報表ＴＢ３、データ表ＴＢ２－１、データ表ＴＢ２－２及びデータ表ＴＢ２－３が格納されている。また、図１６等に示す例において、統計情報表ＴＢ３には、統計情報ＳＴ３－１、統計情報ＳＴ３－２及び統計情報ＳＴ３－３の各行がそれぞれ含まれている。さらに、図１６等に示す例において、統計情報ＳＴ３－１、統計情報ＳＴ３－２及び統計情報ＳＴ３－３のそれぞれは、データ表ＴＢ２－１、データ表ＴＢ２－２及びデータ表ＴＢ２－３にそれぞれ従属している。

【0121】

具体的に、例えば、ユーザが操作端末５を介して統計情報ＳＴ３－３に対するアクセス要求（例えば、ＳＱＬ文によるアクセス要求）を送信した場合、情報処理装置１は、図１６に示すように、統計情報ＴＢ３－３が従属する表としてデータ表ＴＢ２－３を特定する。

【0122】

そして、情報処理装置１は、図１７に示すように、特定したデータ表ＴＢ２－３のアクセス権限に、アクセス要求を行ったユーザのアクセス権限が含まれているか否かを判定する。その結果、アクセス要求を行ったユーザのアクセス権限が含まれていると判定した場合、情報処理装置１は、統計情報表ＴＢ３に対するアクセスを行い、統計情報ＳＴ３－３を取得する。その後、情報処理装置１は、取得した統計情報ＳＴ３－３を操作端末５に出力する。

【0123】

［第２の実施の形態の詳細］
次に、第２の実施の形態の詳細について説明する。図１８から図２１は、第２の実施の形態におけるアクセス制御処理の詳細を説明するフローチャート図である。また、図２２は、第２の実施の形態におけるアクセス制御処理の詳細を説明する図である。なお、以下、表ＩＤが２０２である表が統計情報表ＴＢ３であるものとして説明を行う。また、以下、第１の実施の形態と異なる点についてのみ説明を行う。

【0124】

［統計アクセス処理（１）］
初めに、データベースＤＢに格納された統計情報表ＴＢ３に含まれる統計情報に対してアクセスを行う処理（以下、統計アクセス処理とも呼ぶ）について説明を行う。図１８は、統計アクセス処理を説明するフローチャート図である。

【0125】

要求受付部１１１は、図１８に示すように、統計情報表ＴＢ３に含まれる統計情報に対するアクセス要求を受け付けるまで待機する（Ｓ２０１のＮＯ）。具体的に、要求受付部１１１は、例えば、ユーザが操作端末５を介してアクセス要求を送信するまで待機する。

【0126】

そして、統計情報表ＴＢ３に含まれる統計情報に対するアクセス要求を受け付けた場合（Ｓ２０１のＹＥＳ）、情報処理装置１は、統計情報表ＴＢ３に対するアクセス制御処理の実行を開始する。なお、データアクセス部１１２は、この場合、Ｓ２０１の処理で受け付けたアクセス要求を従属判定部１１３に送信するものであってもよい。以下、第２の実施の形態におけるアクセス制御処理について説明を行う。

【0127】

［アクセス制御処理］
図１９から図２１は、第２の実施の形態におけるアクセス制御処理を説明するフローチャート図である。

【0128】

従属判定部１１３は、図１９に示すように、アクセス制御タイミングになるまで待機する（Ｓ４１のＮＯ）。アクセス制御タイミングは、例えば、Ｓ２０１の処理で受け付けたアクセス要求をデータアクセス部１１２から受信したタイミングであってよい。

【0129】

そして、アクセス制御タイミングになった場合（Ｓ４１のＹＥＳ）、従属判定部１１３は、情報格納領域１３０に記憶された従属情報１３１を参照し、Ｓ２０１の処理でアクセス要求を受け付けた統計情報が従属するデータ表ＴＢ２が存在するか否かを判定する（Ｓ４２）。以下、統計情報ＴＢ３の具体例について説明を行う。

【0130】

［統計情報の具体例］
図２２は、統計情報表ＴＢ３の具体例について説明する図である。

【0131】

図２２に示す統計情報表ＴＢ３は、各統計情報を識別する「項番」と、各データ表ＴＢ２を特定する「表ＩＤ」と、各データ表ＴＢ２についての統計情報が記憶される「統計情報」とを項目として有する。

【0132】

具体的に、図２２に示す統計情報表ＴＢ３において、「項番」が「１」である情報には、「表ＩＤ」として「１０１」が記憶されており、「統計情報」として「１００万件のデータ」が記憶されている。

【0133】

また、図２２に示す統計情報表ＴＢ３において、「項番」が「２」である情報には、「表ＩＤ」として「１０２」が記憶されており、「統計情報」として「データ格納済ページ数が１万ページ」が記憶されている。図２２に含まれる他の情報については説明を省略する。

【0134】

そして、図１３で説明した従属情報１３１において、統計情報表ＴＢ３に対応する情報（「項番」が「５」である情報）の「従属先」には、従属先が存在していることを示す「あり」が記憶されている。

【0135】

そのため、例えば、Ｓ２０１の処理において、図２２で説明した統計情報表ＴＢ３のうち、「表ＩＤ」が「１０３」である表に対応する統計情報（「項番」が「３」である統計情報）へのアクセス要求を受け付けた場合、従属判定部１１３は、Ｓ２０１の処理でアクセス要求を受け付けた統計情報が従属するデータ表ＴＢ２として、「表ＩＤ」が「１０３」である表が存在すると判定する。

【0136】

図１９に戻り、Ｓ２０１の処理でアクセス要求を受け付けた統計情報が従属するデータ表ＴＢ２が存在すると判定した場合（Ｓ４３のＹＥＳ）、権限承継部１１４は、情報格納領域１３０に記憶された権限情報１３２を参照し、統計情報表ＴＢ３についてのセキュリティが有効であるか否かを判定する（Ｓ４４）。

【0137】

具体的に、図１４で説明した権限情報１３２において、「表ＩＤ」が「２０２」である情報（「項番」が「５」である情報）の「権限承継」には、「ＹＥＳ」が記憶されている。そのため、従属判定部１１３は、Ｓ４４の処理において、統計情報表ＴＢ３（「表ＩＤ」が「２０２」である表）についてのセキュリティが有効であると判定する。

【0138】

図１９に戻り、Ｓ２０１の処理でアクセス要求を受け付けた統計情報についての行毎のセキュリティが有効であると判定した場合（Ｓ４５のＹＥＳ）、権限承継部１１４は、情報格納領域１３０に記憶された権限情報１３２を参照し、データ表ＴＢ２に対するアクセス権限を統計情報表ＴＢ３が承継しているか否かを判定する（Ｓ４６）。

【0139】

具体的に、図１４で説明した権限情報１３２において、「表ＩＤ」が「２０２」である情報（「項番」が「５」である情報）の「権限承継」には、「ＹＥＳ」が記憶されている。そのため、権限承継部１１４は、Ｓ４６の処理において、統計情報表ＴＢ３（「表ＩＤ」が「２０２」である表）がアクセス権限を承継していると判定する。

【0140】

なお、権限情報１３２は、統計情報表ＴＢ３に含まれる行（統計情報）ごとのセキュリティを含むものであってよい。そして、権限承継部１１４は、この場合、Ｓ４４の処理において、統計情報表ＴＢ３のうち、Ｓ２０１の処理でアクセス要求を受け付けた統計情報についてのセキュリティが有効であるか否かを判定するものであってよい。さらに、権限承継部１１４は、統計情報表ＴＢ３のうち、Ｓ２０１の処理でアクセス要求を受け付けた統計情報についてのセキュリティが有効であると判定した場合、統計情報表ＴＢ３のうち、Ｓ２０１の処理でアクセス要求を受け付けた統計情報がデータ表ＴＢ２に対するアクセス権限を承継しているか否かの判定を行うものであってよい（Ｓ４５、Ｓ４６）。

【0141】

その結果、図２０に示すように、データ表ＴＢ２に対するアクセス権限を統計情報表ＴＢ３が承継していると判定した場合（Ｓ５１のＹＥＳ）、権限承継部１１４は、情報格納領域１３０に記憶された権限情報１３２を参照し、Ｓ４６の処理で承継していると判定したアクセス権限の範囲にアクセス要求を行うユーザが含まれているか否かを判定する（Ｓ５２）。

【0142】

具体的に、図１４で説明した権限情報１３２において、「表ＩＤ」が「２０２」である情報（「項番」が「５」である情報）の「承継の範囲」には、「ユーザ」が記憶されている。そのため、権限承継部１１４は、Ｓ５２の処理において、統計情報表ＴＢ３（「表ＩＤ」が「２０２」である表）がアクセス要求を行うユーザのアクセス権限を承継していると判定する。

【0143】

そして、Ｓ４６の処理で承継していると判定したアクセス権限の範囲にアクセス要求を行うユーザが含まれていると判定した場合（Ｓ５３のＹＥＳ）、権限承継部１１４は、情報格納領域１３０に記憶された権限情報１３２を参照し、Ｓ４２の処理で存在したデータ表ＴＢ２に対するアクセス権限を特定する（Ｓ５４）。

【0144】

具体的に、図１４で説明した権限情報１３２において、「表ＩＤ」が「１０３」である情報（「項番」が「３」である情報）の「アクセス権限」には、「ユーザＡ、ユーザＢ、・・・」が記憶されている。そのため、権限承継部１１４は、Ｓ５４の処理において、例えば、表ＩＤが１０３である表に対してユーザＡ及びユーザＢがアクセスできる旨を含む情報を特定する。

【0145】

続いて、権限判定部１１５は、Ｓ５４の処理で特定したアクセス権限に、Ｓ２０１の処理で受け付けたアクセス要求を行ったユーザに対応するアクセス権限が含まれているか否かを判定する（Ｓ５５）。

【0146】

具体的に、図１４で説明した権限情報１３２において、「表ＩＤ」が「１０３」である情報（「項番」が「３」である情報）の「アクセス権限」には、「ユーザＡ、ユーザＢ、・・・」が記憶されている。そのため、例えば、Ｓ２０１の処理で受け付けたアクセス要求を行ったユーザがユーザＢである場合、権限判定部１１５は、Ｓ５５の処理において、表ＩＤが１０３である表に対するアクセス権限に、ユーザＢによるアクセス権限が含まれていると判定する。

【0147】

その結果、Ｓ２０１の処理で受け付けたアクセス要求を行ったユーザに対応するアクセス権限が含まれていると判定した場合（Ｓ５６のＹＥＳ）、権限判定部１１５は、図２１に示すように、Ｓ２０１の処理でアクセス要求を受け付けた統計情報に対するアクセスを許可する（Ｓ６４）。

【0148】

また、Ｓ４３の処理において、Ｓ２０１の処理でアクセス要求を受け付けた統計情報が従属するデータ表ＴＢ２が存在しないと判定した場合（Ｓ４３のＮＯ）、権限判定部１１５は、図２１に示すように、情報格納領域１３０に記憶された権限情報１３２を参照し、Ｓ２０１の処理でアクセス要求を受け付けた統計情報に対するアクセス権限を特定する（Ｓ６１）。

【0149】

そして、権限判定部１１５は、Ｓ６１の処理で特定したアクセス権限に、Ｓ２０１の処理で受け付けたアクセス要求を行ったユーザに対応するアクセス権限が含まれているか否かを判定する（Ｓ６２）。

【0150】

その結果、Ｓ２０１の処理で受け付けたアクセス要求を行ったユーザに対応するアクセス権限が含まれていると判定した場合（Ｓ６３のＹＥＳ）、権限判定部１１５は、Ｓ２０１の処理でアクセス要求を受け付けた統計情報に対するアクセスを許可する（Ｓ６４）。

【0151】

一方、Ｓ２０１の処理で受け付けたアクセス要求を行ったユーザに対応するアクセス権限が含まれていないと判定した場合（Ｓ６３のＮＯ）、権限判定部１１５は、Ｓ６４の処理を行わない。なお、情報処理装置１は、この場合、処理の実行を中断するものであってよい。そして、事業者は、Ｓ２０１の処理で受け付けたアクセス要求を行ったユーザに対応するアクセス権限が、Ｓ６１の処理で特定したアクセス権限に含まれていなかったことについての調査等を行うものであってよい。

【0152】

また、Ｓ２０１の処理でアクセス要求を受け付けた統計情報についての行毎のセキュリティが無効であると判定した場合（Ｓ４５のＮＯ）や、Ｓ４２の処理で存在したデータ表ＴＢ２に対するアクセス権限を承継していないと判定した場合についても同様に（Ｓ５１のＮＯ）、権限判定部１１５は、Ｓ６１以降の処理を行う。さらに、Ｓ４６の処理で承継していると判定したアクセス権限の範囲にアクセス要求を行うユーザが含まれていないと判定した場合（Ｓ５３のＮＯ）や、Ｓ２０１の処理で受け付けたアクセス要求を行ったユーザに対応するアクセス権限が含まれていないと判定した場合についても同様に（Ｓ５６のＮＯ）、権限判定部１１５は、Ｓ６１以降の処理を行う。

【0153】

［統計アクセス処理（２）］
図１８に戻り、データアクセス部１１２は、アクセス制御処理において、Ｓ２０１の処理でアクセス要求を受け付けた統計情報に対するアクセスが許可されているか否かを判定する（Ｓ２０３）。

【0154】

その結果、Ｓ２０１の処理でアクセス要求を受け付けた統計情報に対するアクセスが許可されていると判定した場合（Ｓ２０３のＹＥＳ）、データアクセス部１１２は、Ｓ２０１の処理でアクセス要求を受け付けた統計情報にアクセスする（Ｓ２０４）。

【0155】

一方、Ｓ２０１の処理でアクセス要求を受け付けた統計情報に対するアクセスが許可されていないと判定した場合（Ｓ２０３のＮＯ）、データアクセス部１１２は、Ｓ２０４の処理を行わない。

【0156】

これにより、情報処理装置１は、統計情報表ＴＢ３に含まれる統計情報の漏洩を防止することが可能になる。

【0157】

また、情報処理装置１は、統計情報表ＴＢ３に対するアクセス権限の管理を自動的に行うことが可能になり、統計情報表ＴＢ３に対するアクセス権限の管理に伴う負荷を軽減させることが可能になる。

【0158】

以上の実施の形態をまとめると、以下の付記のとおりである。

【0159】

（付記１）
第１のデータ表に対するアクセスが行われる場合、前記第１のデータ表が従属する第２のデータ表が存在するか否かを判定し、
前記第２のデータ表が存在する場合、前記第１のデータ表に対するアクセス権限として、前記第２のデータ表に対するアクセス権限を承継する、
処理をコンピュータに実行させることを特徴とする情報処理プログラム。

【0160】

（付記２）
付記１において、
前記判定する処理では、前記第１のデータ表に含まれるデータのうちの前記アクセスが行われるデータが承継する前記第２のデータ表が存在するか否かを判定し、
前記承継する処理では、前記第１のデータ表に含まれるデータのうちの前記アクセスが行われるデータに対するアクセス権限として、前記第２のデータ表に対するアクセス権限を承継する、
ことを特徴とする情報処理プログラム。（請求項２、図９から図１３）
（付記３）
付記１において、さらに、
承継した前記アクセス権限が、前記アクセスの要求元による前記第１のデータ表に対するアクセス権限を含む場合、前記要求元による前記第１のデータ表に対するアクセスを許可する、
処理をコンピュータに実行させることを特徴とする情報処理プログラム。

【0161】

（付記４）
付記１において、
前記アクセスは、前記第１のデータ表及び前記第２のデータ表に対応するデータベースが有する所定の機能の動作に伴って行われるアクセスである、
ことを特徴とする情報処理プログラム。

【0162】

（付記５）
付記４において、
前記所定の機能は、前記データベースの拡張機能である、
ことを特徴とする情報処理プログラム。

【0163】

（付記６）
付記１において、
前記第１のデータ表は、前記第２のデータ表に含まれる秘匿化対象のデータを特定する方法と、前記秘匿化対象のデータを秘匿化する方法とを示すデータを含む、
ことを特徴とする情報処理プログラム。

【0164】

（付記７）
付記１において、
前記第１のデータ表は、前記第２のデータ表に含まれるデータの属性を示すデータを含む、
ことを特徴とする情報処理プログラム。

【0165】

（付記８）
付記７において、
前記第１のデータ表は、前記第２のデータ表に含まれるデータの少なくとも一部を含む、
ことを特徴とする情報処理プログラム。

【0166】

（付記９）
付記７において、
前記第１のデータ表は、前記第２のデータ表に含まれるデータを集計した集計データを含む、
ことを特徴とする情報処理プログラム。

【0167】

（付記１０）
第１のデータ表に対するアクセスが行われる場合、前記第１のデータ表が従属する第２のデータ表が存在するか否かを判定する従属判定部と、
前記第２のデータ表が存在する場合、前記第１のデータ表に対するアクセス権限として、前記第２のデータ表に対するアクセス権限を承継する権限承継部と、を有する、
ことを特徴とする情報処理装置。

【0168】

（付記１１）
付記１０において、
前記従属判定部は、前記第１のデータ表に含まれるデータのうちの前記アクセスが行われるデータが承継する前記第２のデータが存在するか否かを判定し、
前記権限承継部は、前記第１のデータ表に含まれるデータのうちの前記アクセスが行われるデータに対するアクセス権限として、前記第２のデータに対するアクセス権限を承継する、
ことを特徴とする情報処理装置。

【0169】

（付記１２）
付記１０において、さらに、
承継した前記アクセス権限が、前記アクセスの要求元による前記第１のデータ表に対するアクセス権限を含む場合、前記要求元による前記第１のデータ表に対するアクセスを許可する権限判定部を有する、
ことを特徴とする情報処理装置。

【0170】

（付記１３）
第１のデータ表に対するアクセスが行われる場合、前記第１のデータ表が従属する第２のデータ表が存在するか否かを判定し、
前記第２のデータ表が存在する場合、前記第１のデータ表に対するアクセス権限として、前記第２のデータ表に対するアクセス権限を承継する、
処理をコンピュータに実行させることを特徴とする情報処理方法。

【0171】

（付記１４）
付記１３において、
前記判定する処理では、前記第１のデータ表に含まれるデータのうちの前記アクセスが行われるデータが承継する前記第２のデータが存在するか否かを判定し、
前記承継する処理では、前記第１のデータ表に含まれるデータのうちの前記アクセスが行われるデータに対するアクセス権限として、前記第２のデータに対するアクセス権限を承継する、
ことを特徴とする情報処理方法。

【0172】

（付記１５）
付記１３において、さらに、
承継した前記アクセス権限が、前記アクセスの要求元による前記第１のデータ表に対するアクセス権限を含む場合、前記要求元による前記第１のデータ表に対するアクセスを許可する、
処理をコンピュータに実行させることを特徴とする情報処理方法。

【符号の説明】

【0173】

１：情報処理装置 ５：操作端末
ＤＢ：データベース ＴＢ１：ポリシー表
ＴＢ２：データ表 ＴＢ３：統計情報表
ＮＷ：ネットワーク １０：情報処理システム

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】

【図17】

【図18】

【図19】

【図20】

【図21】

【図22】