JP2018165951A

JP2018165951A - Security gateway device, method, and program

Info

Publication number: JP2018165951A
Application number: JP2017063686A
Authority: JP
Inventors: 清本　晋作; Shinsaku Kiyomoto; 晋作清本; 清良披田野; Seira Hidano
Original assignee: KDDI Research Inc
Current assignee: KDDI Research Inc
Priority date: 2017-03-28
Filing date: 2017-03-28
Publication date: 2018-10-25
Anticipated expiration: 2037-03-28
Also published as: JP6719413B2

Abstract

PROBLEM TO BE SOLVED: To utilize data collected from an IoT device in consideration of security and privacy.SOLUTION: A security gateway device installed between a first domain and a second domain comprises an access control part verifying validity of an access request if the access request is received to the data stored in the second domain via the first domain by the application stored in the server, a privacy control part acquiring the data based on a privacy policy of a data owner if a result of the validity verification is successful, a verification part verifying the quality of the data acquired by the privacy control part, and a transmission part transmitting the verification result of the data quality and the data to the application.SELECTED DRAWING: Figure 1

Description

本発明の実施形態は、セキュリティゲートウェイ装置、方法、及びプログラムに関する。 Embodiments described herein relate generally to a security gateway device, a method, and a program.

ＩｏＴ（ＩｎｔｅｒｎｅｔｏｆＴｈｉｎｇｓ）デバイスから集積されるデータには、個人のプライバシに関わる機微なデータが含まれる場合がある。このため、ＩｏＴデバイスから集積されるデータを利活用する場合には、セキュリティ及びプライバシの両観点からアーキテクチャを設計することが求められる。また、ＩｏＴデバイスの故障等により、不正なデータが送出されるケースがあるため、データの品質保証も重要となる。 Data collected from an IoT (Internet of Things) device may include sensitive data related to personal privacy. For this reason, when utilizing data accumulated from an IoT device, it is required to design an architecture from both security and privacy viewpoints. In addition, since there is a case where illegal data is transmitted due to a failure of the IoT device or the like, data quality assurance is also important.

ＩｏＴデバイスから集積されるデータに関して、データを利活用するユースケース毎に、セキュリティ及びプライバシに関して抽出される要件と、欧州のプライバシ関連の法律やガイドラインに記載されている事項に基づいて抽出されるプラットフォーム上に実装すべき機能とが知られている（例えば、非特許文献１参照）。 For data collected from IoT devices, for each use case that uses the data, a platform that is extracted based on requirements extracted for security and privacy, and items described in European privacy laws and guidelines The functions to be mounted on top are known (for example, see Non-Patent Document 1).

ＥＵＦＰ７ｐｒｏｊｅｃｔｉＣｏｒｅ，ＤｅｌｉｖｅｒａｂｌｅＤ２．２Ｓｅｃｕｒｉｔｙ．［平成２９年３月１日検索］、インターネット＜ｈｔｔｐ：／／ｗｗｗ．ｉｏｔ−ｉｃｏｒｅ．ｅｕ／ａｔｔａｃｈｍｅｎｔｓ／ａｒｔｉｃｌｅ／８９／２０１２０６０７＿ｉＣｏｒｅ％２０Ｄ２．２％２０ＦＩＮＡＬ．ｐｄｆ＞EU FP7 project iCore, Deliverable D2.2 Security. [Search on March 1, 2017], Internet <http: // www. iot-icore. eu / attachments / article / 89 / 20120607_iCore% 20D2.2% 20FINAL. pdf>

前述した非特許文献１には、プラットフォーム上に実装すべき機能の技術的な解決方法や、データの品質保証については記載されていない。
本発明は、上記課題を解決すべくなされたもので、ＩｏＴデバイスから収集されるデータを、セキュリティ及びプライバシに配慮して利活用することを目的とする。 Non-Patent Document 1 described above does not describe a technical solution for functions to be mounted on the platform and data quality assurance.
The present invention has been made to solve the above-described problems, and an object thereof is to utilize data collected from an IoT device in consideration of security and privacy.

（１）本発明の一態様は、第１のドメインと第２のドメインとの間に設置されるセキュリティゲートウェイ装置であって、サーバに記憶されたアプリケーションによって、第１ドメインを経由して、第２ドメインに記憶されているデータへのアクセス要求があった場合に、前記アクセス要求の正当性を検証するアクセス制御部と、前記正当性の検証の結果が成功であった場合に、前記データの所有者のプライバシポリシーに基づいて、前記データを取得するプライバシ制御部と、前記プライバシ制御部が取得した前記データの品質を検証する検証部と、前記データの品質の検証結果と前記データとを、前記アプリケーションへ送信する送信部とを備える、セキュリティゲートウェイ装置である。
（２）本発明の一態様は、上記（１）に記載のセキュリティゲートウェイ装置において、前記プライバシ制御部は、前記プライバシポリシーに基づいて、前記所有者のプライバシに関わらないデータを取得する。
（３）本発明の一態様は、上記（１）又は上記（２）に記載のセキュリティゲートウェイ装置において、前記検証部は、前記データが偽造されたものであるか否かを検証する。
（４）本発明の一態様は、上記（１）から上記（３）のいずれか一項に記載のセキュリティゲートウェイ装置において、前記検証部は、前記データが異常値であるか否かを検証する。
（５）本発明の一態様は、上記（１）から上記（４）のいずれか一項に記載のセキュリティゲートウェイ装置において、前記検証部は、前記データの取得元が不正であるか否かを検証する。
（６）本発明の一態様は、上記（１）から上記（５）のいずれか一項に記載のセキュリティゲートウェイ装置において、前記送信部は、前記データの品質の検証結果と前記データとに基づいて生成した電子署名とを、前記データに付して送信する。
（７）本発明の一態様は、第１のドメインと第２のドメインとの間に設置されるセキュリティゲートウェイ装置が実行する方法であって、サーバに記憶されたアプリケーションによって、第１ドメインを経由して、第２ドメインに記憶されているデータへのアクセス要求があった場合に、前記アクセス要求の正当性を検証するステップと、前記正当性の検証の結果が成功であった場合に、前記データの所有者のプライバシポリシーに基づいて、前記データを取得するステップと、取得した前記データの品質を検証するステップと、前記データの品質の検証結果と前記データとを、前記アプリケーションへ送信するステップとを有する、方法である。
（８）本発明の一態様は、第１のドメインと第２のドメインとの間に設置されるセキュリティゲートウェイ装置のコンピュータに、サーバに記憶されたアプリケーションによって、第１ドメインを経由して、第２ドメインに記憶されているデータへのアクセス要求があった場合に、前記アクセス要求の正当性を検証するステップと、前記正当性の検証の結果が成功であった場合に、前記データの所有者のプライバシポリシーに基づいて、前記データを取得するステップと、取得した前記データの品質を検証するステップと、前記データの品質の検証結果と前記データとを、前記アプリケーションへ送信するステップとを実行させる、プログラムである。 (1) One aspect of the present invention is a security gateway device installed between a first domain and a second domain, and the first gateway is connected to the first domain by an application stored in the server. When there is an access request to data stored in two domains, an access control unit for verifying the validity of the access request, and when the result of the validity verification is successful, Based on the privacy policy of the owner, a privacy control unit that acquires the data, a verification unit that verifies the quality of the data acquired by the privacy control unit, a verification result of the quality of the data, and the data, A security gateway apparatus comprising: a transmission unit that transmits to the application.
(2) According to one aspect of the present invention, in the security gateway device according to (1), the privacy control unit acquires data that is not related to the privacy of the owner based on the privacy policy.
(3) According to one aspect of the present invention, in the security gateway device according to (1) or (2), the verification unit verifies whether the data is forged.
(4) According to one aspect of the present invention, in the security gateway device according to any one of (1) to (3), the verification unit verifies whether the data is an abnormal value. .
(5) According to one aspect of the present invention, in the security gateway device according to any one of (1) to (4), the verification unit determines whether or not the data acquisition source is illegal. Validate.
(6) One aspect of the present invention is the security gateway apparatus according to any one of (1) to (5), wherein the transmission unit is based on a verification result of the quality of the data and the data. The electronic signature generated in this way is attached to the data and transmitted.
(7) One aspect of the present invention is a method executed by the security gateway device installed between the first domain and the second domain, and passes through the first domain by an application stored in the server. Then, when there is an access request to the data stored in the second domain, the step of verifying the validity of the access request, and when the result of the validity verification is successful, Acquiring the data, verifying the quality of the acquired data, and transmitting the verification result of the data quality and the data to the application based on a privacy policy of the owner of the data And a method.
(8) According to one aspect of the present invention, a computer of a security gateway device installed between the first domain and the second domain can be connected to the first domain via the first domain by an application stored in the server. When there is an access request to data stored in two domains, the step of verifying the validity of the access request and the owner of the data when the result of the validity verification is successful And a step of acquiring the data, a step of verifying the quality of the acquired data, and a step of transmitting the verification result of the data quality and the data to the application based on the privacy policy Is a program.

本発明の実施形態によれば、ＩｏＴデバイスから収集されるデータを、セキュリティ及びプライバシに配慮して利活用することができる。 According to the embodiment of the present invention, data collected from an IoT device can be utilized in consideration of security and privacy.

実施形態に係るセキュリティゲートウェイ装置を示す図である。It is a figure which shows the security gateway apparatus which concerns on embodiment. セキュリティポリシーＤＢの一例を示す図である。It is a figure which shows an example of security policy DB. トークンＤＢの一例を示す図である。It is a figure which shows an example of token DB. ユーザＤＢの一例を示す図である。It is a figure which shows an example of user DB. プライバシポリシーＤＢの一例を示す図である。It is a figure which shows an example of privacy policy DB. 実施形態に係るグローバルクラウド環境におけるセキュリティゲートウェイ装置を示す図である。It is a figure which shows the security gateway apparatus in the global cloud environment which concerns on embodiment. 実施形態に係るセキュリティゲートウェイ装置の動作（その１）の一例を示すフローチャートである。It is a flowchart which shows an example of operation | movement (the 1) of the security gateway apparatus which concerns on embodiment. 実施形態に係るセキュリティゲートウェイ装置の動作（その２）の一例を示すフローチャートである。It is a flowchart which shows an example of operation | movement (the 2) of the security gateway apparatus which concerns on embodiment. 実施形態に係るセキュリティゲートウェイ装置の動作（その３）の一例を示すフローチャートである。It is a flowchart which shows an example of the operation | movement (the 3) of the security gateway apparatus which concerns on embodiment.

（実施形態）
（クラウド環境）
実施形態に係るセキュリティゲートウェイ装置が使用されるクラウド環境の一例について説明する。
セキュリティゲートウェイ装置が使用されるクラウド環境の一例は、ＫａａＳ（Ｋｎｏｗｌｅｄｇｅ−ａｓ−ａ−Ｓｅｒｖｉｃｅ）と呼ばれる効率的な知識共有や、活用を実現するプラットフォームを発展させて、複数のローカルクラウドを有機的に結合したグローバルクラウドである。ここで、ローカルクラウドは、ある地域に構築されたローカルシステムである。換言すれば、ローカルクラウドは、ＩｏＴデバイスから送られたデータが蓄積される一次データベースである。また、グローバルクラウドは、アプリケーションが動作する実行環境である。換言すれば、グローバルクラウドは、アプリケーションが動作するクラウドサービスである。
実施形態に係るセキュリティゲートウェイ装置は、グローバルクラウド上において、ＩｏＴデバイスから収集されるデータをセキュリティ及びプライバシに配慮して利活用するために、グローバルクラウドとローカルクラウドとの接点に設置される。 (Embodiment)
(Cloud environment)
An example of a cloud environment in which the security gateway device according to the embodiment is used will be described.
An example of a cloud environment in which a security gateway device is used is to develop a platform that realizes efficient knowledge sharing and utilization called Kaas (Knowledge-as-a-Service) to organically create multiple local clouds. It is a combined global cloud. Here, the local cloud is a local system built in a certain region. In other words, the local cloud is a primary database in which data sent from the IoT device is accumulated. The global cloud is an execution environment in which applications operate. In other words, the global cloud is a cloud service on which an application operates.
The security gateway device according to the embodiment is installed at the contact point between the global cloud and the local cloud in order to use data collected from the IoT device in consideration of security and privacy on the global cloud.

アプリケーションサーバに記憶されたアプリケーションからグローバルクラウドを経由して、ローカルクラウド上のデータに対してアクセス要求があった場合の処理について説明する。アプリケーションは、クロスボーダでローカルクラウドにアクセスする場合がある。つまり、アプリケーションは、国境を越えてローカルクラウドにアクセスする場合がある。
セキュリティゲートウェイ装置は、セキュリティの観点から、ローカルクラウド上のデータの管理者の定める条件に応じて、ローカルクラウド上のデータに対して、アクセス制御を実施する。データの管理者は、ローカルクラウド毎に複数存在することが想定される。データの管理者は、データの提供先の国に応じて、アクセス制御に関して、異なる条件を設定することが想定される。
セキュリティゲートウェイ装置は、アプリケーションサーバが設置された国の法律やガイドラインに応じて、アクセス制御を実施する。ローカルクラウド上のデータの所有者は、プライバシの観点から、アプリケーションの種別に応じてデータを提供するか否かを自身の意思で選択できる。セキュリティゲートウェイ装置は、データの所有者毎の認可状況に応じて、データを提供する。セキュリティゲートウェイ装置は、提供するデータの品質を検証する。セキュリティゲートウェイ装置は、データの品質を検証した結果を第三者が確認できるように、データの品質を検証した結果に基づいて電子署名作成する。セキュリティゲートウェイ装置は、作成した電子署名をデータに付与して送出する。以下、セキュリティゲートウェイ装置の詳細について説明を続ける。 A process when there is an access request for data on the local cloud from the application stored in the application server via the global cloud will be described. An application may access a local cloud with a cross border. In other words, the application may access the local cloud across borders.
From the viewpoint of security, the security gateway device performs access control on data on the local cloud in accordance with conditions determined by the manager of data on the local cloud. It is assumed that there are a plurality of data managers for each local cloud. It is assumed that the data manager sets different conditions regarding access control depending on the country of the data providing destination.
The security gateway device performs access control according to the laws and guidelines of the country where the application server is installed. From the viewpoint of privacy, the owner of data on the local cloud can select whether or not to provide data according to the type of application. The security gateway device provides data according to the authorization status for each data owner. The security gateway device verifies the quality of the provided data. The security gateway device creates an electronic signature based on the result of verifying the quality of the data so that a third party can confirm the result of verifying the quality of the data. The security gateway device adds the created electronic signature to the data and sends it out. The details of the security gateway device will be described below.

＜セキュリティゲートウェイ装置＞
図１は、実施形態に係るセキュリティゲートウェイ装置の一例を示す図である。
実施形態に係るセキュリティゲートウェイ装置１００は、前述したように、グローバルクラウドとローカルクラウドとの接点に設置される。
セキュリティゲートウェイ装置１００は、バスで接続されたＣＰＵ（ＣｅｎｔｒａｌＰｒｏｃｅｓｓｉｎｇＵｎｉｔ）やメモリや補助記憶装置等を備え、セキュリティゲートウェイ装置プログラムを実行する。セキュリティゲートウェイ装置１００は、セキュリティゲートウェイ装置プログラムの実行によって、データ品質制御部１０２、アクセス制御部１０４、プライバシ制御部１０６、セキュリティポリシー管理部１０８、トークンＤＢ１１０、ユーザＤＢ１１２、及びセキュリティポリシーＤＢ１１４を備える装置として機能する。
なお、セキュリティゲートウェイ装置１００の各機能の全て又は一部は、ＡＳＩＣ（ＡｐｐｌｉｃａｔｉｏｎＳｐｅｃｉｆｉｃＩｎｔｅｇｒａｔｅｄＣｉｒｃｕｉｔ）やＰＬＤ（ＰｒｏｇｒａｍｍａｂｌｅＬｏｇｉｃＤｅｖｉｃｅ）やＦＰＧＡ（ＦｉｅｌｄＰｒｏｇｒａｍｍａｂｌｅＧａｔｅＡｒｒａｙ）等のハードウェアを用いて実現されてもよい。セキュリティゲートウェイ装置プログラムは、コンピュータ読み取り可能な記録媒体に記録されてもよい。コンピュータ読み取り可能な記録媒体とは、例えばフレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置である。セキュリティゲートウェイ装置プログラムは、電気通信回線を介して送信されてもよい。
以下、セキュリティゲートウェイ装置１００の各機能ブロックを説明するに当たり、セキュリティゲートウェイ装置１００が、主に実行するトークンの発行処理とデータの抽出処理に関連付けて説明する。 <Security gateway device>
FIG. 1 is a diagram illustrating an example of a security gateway device according to the embodiment.
As described above, the security gateway device 100 according to the embodiment is installed at the contact point between the global cloud and the local cloud.
The security gateway device 100 includes a CPU (Central Processing Unit) connected via a bus, a memory, an auxiliary storage device, and the like, and executes a security gateway device program. The security gateway device 100 is a device including a data quality control unit 102, an access control unit 104, a privacy control unit 106, a security policy management unit 108, a token DB 110, a user DB 112, and a security policy DB 114 by executing a security gateway device program. Function.
Note that all or part of each function of the security gateway device 100 may be implemented by hardware such as ASIC (Application Specific Integrated Circuit), PLD (Programmable Logic Device), or FPGA (Field Programmable Gate Array). . The security gateway device program may be recorded on a computer-readable recording medium. The computer-readable recording medium is, for example, a portable medium such as a flexible disk, a magneto-optical disk, a ROM, a CD-ROM, or a storage device such as a hard disk built in the computer system. The security gateway device program may be transmitted via a telecommunication line.
Hereinafter, in describing each functional block of the security gateway device 100, the security gateway device 100 will be described in association with a token issue process and a data extraction process that are mainly executed.

（トークンの発行処理）
トークンの発行処理について説明する。アクセス制御部１０４は、アプリケーションから、グローバルクラウドを経由して、ローカルクラウド上に記憶されているデータに対してアクセス要求があった場合に、セキュリティポリシーと、アプリケーションが有するプライバシ証明書とに基づいて、トークンを発行する。ここで、アプリケーションは、ＲＥＳＴ（ＲｅｐｒｅｓｅｎｔａｔｉｏｎａｌＳｔａｔｅＴｒａｎｓｆｅｒ）ベースで、ＳＳＬ（ＳｅｃｕｒｅＳｏｃｋｅｔｓＬａｙｅｒ）を利用してアクセス要求を行う。セキュリティポリシーは、セキュリティポリシーＤＢ１１４から取得される。セキュリティポリシーＤＢ１１４には、アプリケーションの種別毎に、異なるレベルの管理者と、ＤＢの種別毎に、アプリケーションの設置国別のトークンの有効期間とプライバシデータか非プライバシデータかを示すプライバシ情報とが関連付けられている。各セキュリティポリシーは、データの管理者により階層的に定められている。プライバシ証明書は、各国の認証局によって発行され、且つアプリケーションの挙動を規定する。プライバシ証明書は、アプリケーションに追加され、該アプリケーションが取得できるデータを規定する。データは、ＤＢに含まれる。トークンは、アプリケーションがデータへアクセスするために必要となる。本実施形態では、トークンはメッセージ認証コードを作成するための共通鍵である。例えば、トークンの一例は、ＨＭＡＣ−ＳＨＡ２５６用の共通鍵である。 (Token issue processing)
The token issuing process will be described. When there is an access request from an application to the data stored on the local cloud via the global cloud, the access control unit 104 is based on the security policy and the privacy certificate that the application has. , Issue tokens. Here, the application makes an access request using SSL (Secure Sockets Layer) on the basis of REST (Representational State Transfer). The security policy is acquired from the security policy DB 114. The security policy DB 114 associates different level administrators for each application type, and the validity period of the token for each DB installation country and privacy information indicating privacy data or non-privacy data for each DB type. It has been. Each security policy is hierarchically defined by a data manager. The privacy certificate is issued by a certificate authority in each country and defines the behavior of the application. The privacy certificate is added to the application and defines data that can be acquired by the application. Data is included in the DB. The token is necessary for the application to access the data. In the present embodiment, the token is a common key for creating a message authentication code. For example, an example of a token is a common key for HMAC-SHA256.

セキュリティポリシーＤＢ１１４は、アプリケーションの種別及びデータの種別に対応付けて、第１ドメイン（例えば、アプリケーションサーバの設置国）ごとのデータの提供期間を規定するセキュリティポリシーを記憶する。
アプリケーションの種別は、例えば、医療に関するアプリケーション、位置情報の提供に関するアプリケーション等のアプリケーションの種類である。データの種別は、例えば、医療に関するデータ、位置に関するデータ等のデータの種類である。データは、プライバシに関わるデータとプライバシに関わらないデータとに分類される。以下、プライバシに関わるデータを含むデータベースを、「プライバシデータベース」といい、プライバシに関わるデータを含まないデータベースを、「非プライバシデータベース」という。つまり、非プライバシデータベースは、プライバシに関わらないデータを含む。ＤＢに関して、プライバシデータベースと非プライバシデータベースとを区分しない場合について説明を続ける。この場合、プライバシデータベース、及び非プライバシデータベースに対して、ＤＢのＩＤとして、通し番号が付される。
セキュリティポリシーは、データの種別ごとにプライバシの有無（すなわち、プライバシデータか非プライバシデータかを示すプライバシ情報）を規定する。セキュリティポリシーは、複数の管理者の各々について設定される。 The security policy DB 114 stores a security policy that defines a data provision period for each first domain (for example, the country where the application server is installed) in association with the application type and the data type.
The application type is, for example, a type of application such as an application related to medical care or an application related to provision of position information. The data type is, for example, a data type such as data related to medical care or data related to position. Data is classified into data related to privacy and data not related to privacy. Hereinafter, a database including data related to privacy is referred to as “privacy database”, and a database not including data related to privacy is referred to as “non-privacy database”. That is, the non-privacy database includes data not related to privacy. Regarding the DB, the case where the privacy database and the non-privacy database are not distinguished will be continued. In this case, serial numbers are assigned as DB IDs to the privacy database and the non-privacy database.
The security policy defines the presence or absence of privacy (that is, privacy information indicating privacy data or non-privacy data) for each data type. A security policy is set for each of a plurality of administrators.

図２は、セキュリティポリシーＤＢの一例を示す図である。前述したように、セキュリティポリシーＤＢは、セキュリティポリシーを記憶する。
セキュリティポリシーは、アプリケーションの識別情報等のアプリケーションの種別（ＡｐｐｌｉｃａｔｉｏｎＩＤ）ごとに、複数の管理者に対して、データが含まれる複数のＤＢの各々について、第１ドメインへのデータの提供期間と、プライバシ情報とを規定する。
図２において、「ＵＫ」及び「ＪＰ」は、アプリケーションサーバが設置されている国名を表し、「ｈ」、「ｄ」及び「ｍ」はそれぞれ提供期間の単位である時間、日及び月を表し、「プライバシ」及び「非プライバシ」はそれぞれ「プライバシ有り」及び「プライバシ無し」を表している。数値「０」は、トークンが発行されないことを表している。例えば、「ＵＫ：１ｈ、ＪＰ：２ｍ、非プライバシ」は、ＵＫ国のアプリケーションに発行するトークンの有効期間が１時間、ＪＰ国のアプリケーションに発行するトークンの有効期間が２か月、プライバシ情報が「プライバシ無し」を表す。 FIG. 2 is a diagram illustrating an example of the security policy DB. As described above, the security policy DB stores the security policy.
The security policy includes, for each application type (Application ID) such as application identification information, for a plurality of administrators, for each of a plurality of DBs containing data, a data provision period to the first domain, Specifies privacy information.
In FIG. 2, “UK” and “JP” represent the country name where the application server is installed, and “h”, “d”, and “m” represent time, day, and month, which are units of the provision period, respectively. , “Privacy” and “Non-privacy” represent “Privacy” and “No privacy”, respectively. The numerical value “0” indicates that no token is issued. For example, "UK: 1h, JP: 2m, non-privacy" means that the validity period of the token issued to the UK country application is 1 hour, the validity period of the token issued to the JP country application is 2 months, and the privacy information is Indicates “no privacy”.

プライバシ証明書は、アプリケーションがデータを取得可能なドメイン（例えば、提供国）と、データの種別とを保証する。具体的には、プライバシ証明書は、プライバシ証明書の発行国（ＣＡＮａｔｉｏｎａｌｉｔｙ）と、アプリケーションＩＰ（ＡｐｐｌｉｃａｔｉｏｎＩＰ）と、アプリケーションの種別（ＡｐｐｌｉｃａｔｉｏｎＩＤ）と、ＤＢサーバの設置国（ＤＢＮａｔｉｏｎａｌｉｔｙ）と、データベースの種別（ＤＢＩＤ）と、有効期限とを含む。ただし、プライバシ証明書の発行国は、プライバシ証明書を発行する認証局が設置された国であり、アプリケーションサーバの設置国と同じである。アプリケーションＩＰは、アプリケーションサーバのＩＰアドレスである。ＤＢサーバの設置国は、アプリケーションが取得可能なデータを提供するＤＢサーバが設置されている提供国である。データベースの種別は、ローカルクラウド上のＤＢの種別を示す。 The privacy certificate guarantees a domain (for example, a providing country) from which the application can acquire data, and a data type. Specifically, the privacy certificate includes a privacy certificate issuing country (CA Nationality), an application IP (Application IP), an application type (Application ID), a DB server installation country (DB Nationality), Includes database type (DB ID) and expiration date. However, the country where the privacy certificate is issued is the country where the certificate authority issuing the privacy certificate is installed, and is the same as the country where the application server is installed. Application IP is the IP address of the application server. The installation country of the DB server is a providing country in which a DB server that provides data that can be acquired by an application is installed. The type of database indicates the type of DB on the local cloud.

アクセス制御部１０４は、アプリケーションからトークンの発行の要求を受信すると、アプリケーションが有するプライバシ証明書を検証する。
セキュリティポリシー管理部１０８は、アプリケーションからトークン発行の要求を受信すると、セキュリティポリシーＤＢ１１４から、トークンの発行を要求するアプリケーションの種別に対応するセキュリティポリシーを取得する。次に、セキュリティポリシー管理部１０８は、取得したセキュリティポリシーに基づいて、プライバシ証明書に規定されたデータベースの種別に関連付けられた、アプリケーションサーバの設置国への提供期間であって、複数の管理者に関連付けられたそれぞれの提供期間を含むトークンの有効期限のリストを取得する。
例えば、図２に示されるセキュリティポリシーＤＢ１１４の場合、セキュリティポリシー管理部１０８は、アプリケーションＡについてのセキュリティポリシーにおいて、データベースの種別に合致するのがＤＢ１で、アプリケーションサーバの設置国がＪＰとすると、セキュリティポリシー管理部１０８は、管理者１が設定したＪＰへの提供期間である２か月と、管理者２が設定したＪＰへの提供期間である２時間と、・・・、管理者Ｍが設定したＪＰへの提供期間である５時間とを含むトークンの有効期限のリストを取得する。
また、セキュリティポリシー管理部１０８は、取得したセキュリティポリシーに基づいて、プライバシ証明書に規定されたデータベースの種別に関連付けられた、プライバシデータか非プライバシデータかを示すプライバシ情報を含むプライバシ情報のリストを取得する。 When the access control unit 104 receives a token issuance request from the application, the access control unit 104 verifies the privacy certificate that the application has.
Upon receiving a token issuance request from the application, the security policy management unit 108 acquires a security policy corresponding to the type of application that requests token issuance from the security policy DB 114. Next, the security policy management unit 108 is a provision period to the country where the application server is installed, which is associated with the database type specified in the privacy certificate, based on the acquired security policy, and includes a plurality of administrators. Get a list of token expiration dates, including each offer period associated with.
For example, in the case of the security policy DB 114 shown in FIG. 2, if the security policy management unit 108 matches the database type in the security policy for the application A with DB1, and the application server installation country is JP, the security policy management unit 108 The policy management unit 108 has two months as the provision period for JP set by the administrator 1 and two hours as the provision period for JP set by the administrator 2... A list of token expiration dates including 5 hours, which is the provision period for the registered JP, is acquired.
Further, the security policy management unit 108 creates a list of privacy information including privacy information indicating privacy data or non-privacy data associated with the database type defined in the privacy certificate based on the acquired security policy. get.

次に、セキュリティポリシー管理部１０８は、複数の管理者に対応付けられたデータの提供期間のうち最も短い期間に基づいて、有効期限を算出する。前述の場合、セキュリティポリシー管理部１０８は、取得した最短の提供期間である２時間に基づき、現在時刻に２時間を加えた有効期限を算出する。
次に、アクセス制御部１０４は、トークンを生成し、生成したトークンに、算出した有効期限を対応付けてトークンＤＢ１１０に記憶する。アクセス制御部１０４は、有効期限が設定されたトークンをアプリケーションに発行する。トークンは、メッセージ認証コードの共通鍵として生成される。アクセス制御部１０４は、生成したトークンをトークンＤＢ１１０に保管する。
図３は、トークンＤＢの一例を示す図である。トークンＤＢ１１０は、図３に示すように、トークンと、アプリケーションサーバの設置国と、アプリケーションＩＰと、アプリケーションの種別と、データの種別と、プライバシ情報と、トークンの有効期限とを関連付けて記憶する。アプリケーションは、セキュリティゲートウェイ装置１００が発行したトークンを取得する。 Next, the security policy management unit 108 calculates an expiration date based on the shortest period of data provision periods associated with a plurality of administrators. In the above case, the security policy management unit 108 calculates an expiration date obtained by adding 2 hours to the current time based on the acquired shortest provision period of 2 hours.
Next, the access control unit 104 generates a token, and stores the generated token in the token DB 110 in association with the calculated expiration date. The access control unit 104 issues a token with an expiration date set to the application. The token is generated as a common key for the message authentication code. The access control unit 104 stores the generated token in the token DB 110.
FIG. 3 is a diagram illustrating an example of the token DB. As illustrated in FIG. 3, the token DB 110 stores a token, an application server installation country, an application IP, an application type, a data type, privacy information, and a token expiration date in association with each other. The application acquires a token issued by the security gateway device 100.

（データの抽出処理）
データの抽出処理について説明する。トークンを取得したアプリケーションは、グローバルクラウドを経由してローカルクラウド上のデータへアクセス要求を実行する。アプリケーションは、ローカルクラウド上のデータへアクセス要求を実行する際に、アプリケーションサーバの設置国、アプリケーションの種別、データ種別、ユーザの所有者の属性、クエリ、タイムスタンプ、メッセージ認証コードを送信する。メッセージ認証コードは、アプリケーションサーバの設置国、アプリケーションの種別、データ種別、ユーザの所有者の属性、クエリ、タイムスタンプ等のパラメータを連結したものに対して、トークンを共通鍵とするハッシュ関数を施すことにより作成される。 (Data extraction process)
Data extraction processing will be described. The application that acquired the token executes an access request to the data on the local cloud via the global cloud. When executing an access request to data on the local cloud, the application transmits an application server installation country, an application type, a data type, an attribute of a user owner, a query, a time stamp, and a message authentication code. The message authentication code performs a hash function using a token as a common key for the concatenation of parameters such as the application server installation country, application type, data type, user owner attribute, query, and timestamp. It is created by.

アクセス制御部１０４は、トークンを有するアプリケーションから、グローバルクラウド経由で、ローカルクラウド上のデータへアクセス要求があった場合に、トークンの正当性を検証する。トークンの正当性の検証結果が成功であった場合、アクセス制御部１０４は、アクセス要求の対象のデータが、該データの所有者のプライバシに関わるデータであるか否かを判定する。
具体的には、アクセス制御部１０４は、アプリケーションサーバの設置国、アプリケーションの種別、データ種別、ユーザの所有者の属性、クエリ、タイムスタンプ等のパラメータの連結に対して、トークンを共通鍵とするハッシュ関数を施すことによって、ハッシュ値を算出する。例えば、アクセス制御部１０４は、ハッシュ関数としてＳＨＡ２５６と使用するＨＭＡＣ−ＳＨＡ２５６（ＨＭＡＣ：Ｈａｓｈ−ｂａｓｅｄＭｅｓｓａｇｅＡｕｔｈｅｎｔｉｃａｔｉｏｎＣｏｄｅ）を用いて、ハッシュ値を算出してもよい。次に、アクセス制御部１０４は、算出したハッシュ値とメッセージ認証コードとが一致するか否かを判定し、一致する場合に発行したトークンを用いてメッセージ認証コードが生成されたものであると判定する。 The access control unit 104 verifies the validity of the token when there is an access request from the application having the token to the data on the local cloud via the global cloud. When the verification result of the validity of the token is successful, the access control unit 104 determines whether the data that is the target of the access request is data related to the privacy of the owner of the data.
Specifically, the access control unit 104 uses a token as a common key for connection of parameters such as the application server installation country, application type, data type, user owner attribute, query, and time stamp. A hash value is calculated by applying a hash function. For example, the access control unit 104 may calculate a hash value using HMAC-SHA256 (HMAC: Hash-based Message Authentication Code) used as the hash function. Next, the access control unit 104 determines whether or not the calculated hash value and the message authentication code match, and determines that the message authentication code is generated using the issued token if they match. To do.

また、アクセス制御部１０４は、プライバシ証明書に記載されているアプリケーションの種別、データの種別に関する情報を用いて、セキュリティポリシーを参照し、セキュリティポリシーに記載されている内容からトークンの有効期限と、プライバシ証明書に記載されているデータの種別がプライバシに関わるものか否かを判断する。アクセス制御部１０４は、管理者のレベルの値が最も小さい管理者のセキュリティポリシーから順に、セキュリティポリシーに記載されている有効期間を確認し、前の期間より短い期間があれば、その値を有効期間として設定する。アクセス制御部１０４は、この操作を、管理者のレベルの値が最も大きい管理者まで繰り返し、操作が終了したときの有効期間の値と現在時刻を足し合わせて、有効期限を算出する。
アクセス制御部１０４は、アクセス要求を受信した時刻が、取得したトークンに対応付けられた有効期限より早い時刻である場合に、トークンの有効期限内であると判定する。
アクセス制御部１０４は、データ取得の要求の受信時刻が、パラメータに含まれるタイムスタンプ（例えば、データ取得の要求の送信時刻）から一定期間内である場合、データ取得の要求が一定期間内のものであると判定する。 In addition, the access control unit 104 refers to the security policy using information on the application type and data type described in the privacy certificate, the token expiration date from the content described in the security policy, It is determined whether or not the type of data described in the privacy certificate relates to privacy. The access control unit 104 checks the effective period described in the security policy in order from the administrator's security policy with the smallest administrator level value, and if there is a period shorter than the previous period, the value is effective. Set as period. The access control unit 104 repeats this operation up to the administrator having the largest administrator level value, and calculates the expiration date by adding the value of the effective period when the operation is completed and the current time.
The access control unit 104 determines that the token is within the validity period of the token when the time when the access request is received is earlier than the validity period associated with the acquired token.
When the reception time of the data acquisition request is within a certain period from the time stamp included in the parameter (for example, the transmission time of the data acquisition request), the access control unit 104 determines that the data acquisition request is within the certain period It is determined that

アクセス制御部１０４は、プライバシ証明書に記載されているデータの種別がプライバシに関わるか否かについて、管理者のレベルの全てについて、セキュリティポリシーにプライバシに関わらないと記載されている場合にプライバシに関わらないと判断する。アクセス制御部１０４は、それ以外、つまり一つでもプライバシに関わると記載されている場合、データの所有者のプライバシに関わるデータと判断する。
アクセス対象のデータが、該データの所有者のプライバシに関わるデータである場合、アクセス制御部１０４は、ローカルクラウド上のデータベースから、アクセス対象のデータを抽出し、抽出したデータに対してプライバシ保護手法を適用し、プライバシ保護手法を適用したデータを、グローバルクラウドを経由して、アプリケーションへ返信する。 The access control unit 104 determines whether or not the data type described in the privacy certificate is related to privacy when it is described in the security policy that it is not related to privacy for all levels of the administrator. Judge that it is not involved. The access control unit 104 determines that the data is related to the privacy of the owner of the data when it is described that it is related to privacy other than that.
When the data to be accessed is data related to the privacy of the owner of the data, the access control unit 104 extracts the data to be accessed from the database on the local cloud, and a privacy protection method for the extracted data , And return the data to which the privacy protection method is applied to the application via the global cloud.

一方、アクセス対象のデータが、該データの所有者のプライバシに関わるデータでない場合、アクセス制御部１０４は、アクセス要求を、プライバシ制御部１０６へ出力する。プライバシ制御部１０６は、アクセス制御部１０４が出力したアクセス要求を取得する。プライバシ制御部１０６は、アクセス対象のデータの所有者のプライバシポリシーに基づいて、ローカルクラウド上のデータベースから、アクセス対象のデータのうち、提供を許可する所有者のデータを抽出する。プライバシ制御部１０６は、抽出したデータを、データ品質制御部１０２へ出力する。
具体的には、プライバシ制御部１０６は、アクセス制御部１０４が出力したアクセス要求に基づいて、アクセス対象のデータの所有者の属性を用いて、ユーザＤＢ１１２から、データの所有者の識別子を読み出す。
図４は、ユーザＤＢの一例を示す図である。ユーザＤＢ１１２は、ＤＢの識別子等のＤＢの種別と所有者の識別子と属性とを対応付ける。図４に示される例では、種別の異なる複数のデータベースの各々について、データの所有者の識別子と該所有者の属性とを関連付けて記憶する。所有者の属性は、データベースに含まれる、男性、２０代等のデータの所有者の属性である。プライバシ制御部１０６が、アプリケーションが送信するデータの所有者の属性情報とユーザＤＢ１１２から読み出したデータの所有者の識別子とを利用することにより、クエリの中身を解釈する機能を有することなく、いかなる文法のクエリ言語にも対応することができる。 On the other hand, when the data to be accessed is not data related to the privacy of the owner of the data, the access control unit 104 outputs an access request to the privacy control unit 106. The privacy control unit 106 acquires the access request output from the access control unit 104. The privacy control unit 106 extracts, from the database on the local cloud, owner data that is permitted to be provided from the database on the local cloud based on the privacy policy of the owner of the data to be accessed. The privacy control unit 106 outputs the extracted data to the data quality control unit 102.
Specifically, the privacy control unit 106 reads the identifier of the data owner from the user DB 112 using the attribute of the owner of the data to be accessed based on the access request output from the access control unit 104.
FIG. 4 is a diagram illustrating an example of the user DB. The user DB 112 associates a DB type such as a DB identifier, an owner identifier, and an attribute with each other. In the example shown in FIG. 4, the identifier of the data owner and the attribute of the owner are stored in association with each other for each of a plurality of databases of different types. The attribute of the owner is an attribute of the owner of data such as male and twenties included in the database. The privacy control unit 106 uses the attribute information of the owner of the data transmitted by the application and the identifier of the owner of the data read from the user DB 112, so that any grammar can be obtained without having the function of interpreting the contents of the query. It is possible to correspond to other query languages.

プライバシ制御部１０６は、読み出したデータの所有者の識別子を用いて、プライバシポリシーＤＢ２１０からプライバシポリシーを読み出す。
図５は、プライバシポリシーＤＢの一例を示す図である。プライバシポリシーＤＢには、複数のアプリケーションの種別の各々について、ユーザ識別情報などのデータの所有者とプライバシポリシーとを関連付けて記憶する。プライバシポリシーは、アプリケーションの種別に対応付けて、データの種別ごとにデータの所有者がデータの提供を認可するか否かを規定する。図５に示される例では、データの提供を認可する場合には「○」が記載され、許可しない場合には「×」が記載される。プライバシポリシーは、第２ドメインに設置されたローカルクラウドのプライバシポリシーＤＢ２１０から取得される。 The privacy control unit 106 reads the privacy policy from the privacy policy DB 210 using the identifier of the owner of the read data.
FIG. 5 is a diagram illustrating an example of the privacy policy DB. In the privacy policy DB, the owner of data such as user identification information and the privacy policy are stored in association with each other for each of the plurality of application types. The privacy policy defines whether or not the data owner authorizes provision of data for each data type in association with the type of application. In the example shown in FIG. 5, “◯” is described when the data provision is permitted, and “X” is described when the data provision is not permitted. The privacy policy is acquired from the privacy policy DB 210 of the local cloud installed in the second domain.

プライバシ制御部１０６は、プライバシポリシーＤＢ２１０から読み出したプライバシポリシーからデータの提供を許可するデータの所有者の一覧を作成する。プライバシ制御部１０６は、クエリを用いてローカルクラウド上のデータベースからデータを取得する。プライバシ制御部１０６は、作成したデータの所有者の一覧に含まれる識別子と関連付けられているデータを抽出することによって、データをフィルタリングする。これにより、データの所有者毎のプライバシに配慮して、情報を利活用できる。プライバシ制御部１０６は、フィルタリングすることによって得られるデータを、データ品質制御部１０２へ出力する。 The privacy control unit 106 creates a list of data owners who are permitted to provide data from the privacy policy read from the privacy policy DB 210. The privacy control unit 106 acquires data from a database on the local cloud using a query. The privacy control unit 106 filters data by extracting data associated with identifiers included in the list of owners of the created data. As a result, the information can be utilized in consideration of the privacy of each data owner. Privacy control unit 106 outputs data obtained by filtering to data quality control unit 102.

データ品質制御部１０２は、アクセス制御部１０４が出力したデータの品質を検証する。データの品質を検証するアルゴリズムについては、後述する。データ品質制御部１０２は、データの品質の検証結果をデータに付与し、データの品質の検証結果を付与したデータのダイジェスト値（認証コード）を演算し、ダイジェスト値の演算結果をセキュリティゲートウェイ装置１００が備える私有鍵（秘密鍵）で暗号化することによって、電子署名を生成する。データ品質制御部１０２は、データに、品質の検証結果と電子署名とを付与し、グローバルクラウドを経由して、アプリケーションへ送信する。例えば、データ品質制御部１０２は、ＪＳＯＮ（ＪａｖａＳｃｒｉｐｔＯｂｊｅｃｔＮｏｔａｔｉｏｎ）形式で、データに、品質の検証結果と電子署名とを付与して送信する。これにより、データのセキュリティに配慮して、情報を利活用できる。 The data quality control unit 102 verifies the quality of data output from the access control unit 104. An algorithm for verifying the quality of data will be described later. The data quality control unit 102 assigns the data quality verification result to the data, calculates the digest value (authentication code) of the data to which the data quality verification result is added, and calculates the digest value calculation result to the security gateway device 100. An electronic signature is generated by encrypting with a private key (private key) included in. The data quality control unit 102 assigns a quality verification result and an electronic signature to the data, and transmits the data to the application via the global cloud. For example, the data quality control unit 102 adds a quality verification result and an electronic signature to data in a JSON (Java Script Object Notation) format and transmits the data. As a result, it is possible to use information in consideration of data security.

データの品質を検証するアルゴリズムについて説明する。データ品質制御部１０２は、乱数検定を実施し、偽造等、人工的に生成されたデータでないことを確認する。また、データ品質制御部１０２は、カイ２乗検定等を用いて正規分布等に従った分布において５％棄却域に入るか否かを検定し、データが異常値でないことを検証する。また、データ品質制御部１０２は、他の同種のセンサーのデータとの類似性を検証し、類似度が閾値以上であることを検証する。これによって、不正なセンサーからのデータ混入があるか否か、つまり、データの取得元が不正であるか否かを検証できる。 An algorithm for verifying data quality will be described. The data quality control unit 102 performs a random number test to confirm that the data is not artificially generated data such as forgery. Further, the data quality control unit 102 verifies whether the data is not an abnormal value by testing whether or not the distribution according to the normal distribution or the like falls within the 5% rejection area using a chi-square test or the like. In addition, the data quality control unit 102 verifies the similarity with the data of other types of sensors, and verifies that the similarity is equal to or greater than a threshold value. Thereby, it is possible to verify whether or not there is data mixing from an unauthorized sensor, that is, whether or not the data acquisition source is unauthorized.

（マルチクラウド環境における実施例）
図６は、実施形態に係るグローバルクラウド環境におけるセキュリティゲートウェイ装置を示す図である。
セキュリティゲートウェイ装置１００は、マルチクラウド環境において、グローバルクラウド３００とローカルクラウド２００との接点に設置される。図６に示される例では、セキュリティゲートウェイ装置１００が、ローカルクラウド２００に含まれる。
セキュリティゲートウェイ装置１００の機能は、ＷｅｂＡＰＩとして提供される。ＷｅｂＡＰＩは、ＨＴＴＰプロトコルを用いてネットワーク越しに呼び出すアプリケーション間、システム間のインタフェースである。
セキュリティゲートウェイ装置１００は、第１ドメインに設置されたサーバに記憶されているアプリケーション４００からグローバルクラウド３００を介して要求されたデータを、第２ドメインに設置されたローカルクラウド２００から抽出して、グローバルクラウド３００を介してアプリケーション４００に返す。 (Example in a multi-cloud environment)
FIG. 6 is a diagram illustrating the security gateway device in the global cloud environment according to the embodiment.
The security gateway device 100 is installed at the contact point between the global cloud 300 and the local cloud 200 in a multi-cloud environment. In the example shown in FIG. 6, the security gateway device 100 is included in the local cloud 200.
The function of the security gateway device 100 is provided as a Web API. The Web API is an interface between applications and systems that are called over a network using the HTTP protocol.
The security gateway apparatus 100 extracts data requested from the application 400 stored in the server installed in the first domain via the global cloud 300 from the local cloud 200 installed in the second domain, and It returns to the application 400 via the cloud 300.

アプリケーション４００は、グローバルクエリー制御部３０２を経由して、セキュリティゲートウェイ装置１００が提供するＡＰＩを利用する外部サーバに記憶される。
アプリケーション４００は、グローバルクラウド３００のグローバルクエリー制御部３０２を経由して、プライバシ証明書をパラメータとして、トークン発行を要求する。
セキュリティゲートウェイ装置１００のアクセス制御部１０４は、プライバシ証明書とセキュリティポリシーＤＢ１１４の有効期間とに基づいて、トークンの有効期限を設定し、トークンをトークンＤＢ１１０に保管する。アクセス制御部１０４は、グローバルクエリー制御部３０２を経由してアプリケーション４００にトークンを発行する。
トークンを有するアプリケーション４００は、グローバルクラウド３００のグローバルクエリー制御部３０２を経由して、アプリケーションサーバの設置国、アプリケーションの種別、データの種別、データの所有者の属性、クエリ（ＤＢへの要求）、タイムスタンプ（例えば、当該データ取得の要求の送信時刻）、及びＭＡＣ等のメッセージ認証コードをパラメータとして、データ取得の要求をする。グローバルクエリー制御部３０２は、アプリケーション４００からのクエリの内容に応じてクエリを振り分けるローカルクラウド２００を決定する。 The application 400 is stored in an external server that uses an API provided by the security gateway device 100 via the global query control unit 302.
The application 400 requests the token issuance using the privacy certificate as a parameter via the global query control unit 302 of the global cloud 300.
The access control unit 104 of the security gateway apparatus 100 sets the expiration date of the token based on the privacy certificate and the validity period of the security policy DB 114, and stores the token in the token DB 110. The access control unit 104 issues a token to the application 400 via the global query control unit 302.
The application 400 having a token passes through the global query control unit 302 of the global cloud 300, the application server installation country, the application type, the data type, the data owner attribute, the query (request to the DB), A data acquisition request is made using a time stamp (for example, the transmission time of the data acquisition request) and a message authentication code such as MAC as parameters. The global query control unit 302 determines the local cloud 200 to which the query is distributed according to the content of the query from the application 400.

セキュリティゲートウェイ装置１００のアクセス制御部１０４は、トークンの正当性を検証し、プライバシ制御部１０６は、アプリケーションのクエリをローカルクラウド２００のローカルクエリー制御部２０２に渡す。
ローカルクエリー制御部２０２及びプライバシポリシー管理部２０４は、セキュリティゲートウェイ装置１００が提供するＡＰＩの機能を実現する上で必要となる外部サーバである。
ローカルクエリー制御部２０２は、プライバシ制御部１０６が出力したクエリの内容に応じて、クエリを振り分けるデータベースを決定し、クエリに基づくデータを抽出する。
プライバシポリシー管理部２０４は、プライバシポリシーＤＢ２１０からプライバシポリシーを取得するために必要なインタフェースである。
セキュリティゲートウェイ装置１００のプライバシ制御部１０６は、ローカルクエリー制御部２０２が抽出したデータからプライバシポリシーＤＢ２１０に基づいてデータを選別する。プライバシ制御部１０６は、選別したデータが非プライバシデータである場合には、選別したデータに対してプライバシ保護手法を適用し、グローバルクエリー制御部３０２を経由してアプリケーションに返す。データ品質制御部１０２は、選別したデータが非プライバシデータである場合には、データの品質を検証し、検証した結果を、データに付与して、グローバルクエリー制御部３０２を経由してアプリケーションに返す。
アプリケーションは受信したデータに付与されている電子署名を、事前に取得していたセキュリティゲートウェイ装置１００の公開鍵で検証する。セキュリティゲートウェイ装置１００は、データの品質評価結果を確認する。そして、問題なければデータを活用する。 The access control unit 104 of the security gateway device 100 verifies the validity of the token, and the privacy control unit 106 passes the application query to the local query control unit 202 of the local cloud 200.
The local query control unit 202 and the privacy policy management unit 204 are external servers that are necessary for realizing the API function provided by the security gateway apparatus 100.
The local query control unit 202 determines a database to which the query is distributed according to the content of the query output by the privacy control unit 106, and extracts data based on the query.
The privacy policy management unit 204 is an interface necessary for acquiring a privacy policy from the privacy policy DB 210.
The privacy control unit 106 of the security gateway apparatus 100 selects data based on the privacy policy DB 210 from the data extracted by the local query control unit 202. When the selected data is non-privacy data, the privacy control unit 106 applies a privacy protection method to the selected data and returns it to the application via the global query control unit 302. When the selected data is non-privacy data, the data quality control unit 102 verifies the quality of the data, adds the verified result to the data, and returns it to the application via the global query control unit 302. .
The application verifies the electronic signature attached to the received data with the public key of the security gateway apparatus 100 acquired in advance. The security gateway device 100 confirms the data quality evaluation result. If there is no problem, use the data.

（セキュリティゲートウェイ装置の動作（その１））
図７は、実施形態に係るセキュリティゲートウェイ装置の動作（その１）の一例を示すフローチャートである。図７は、セキュリティゲートウェイ装置１００が、アプリケーションがローカルクラウド上のＤＢにアクセスするためのトークンを発行する処理を示す。
（ステップＳ１０２）アクセス制御部１０４は、アプリケーション４００からプライバシ証明書をパラメータとして含むトークン発行の要求を取得する。アクセス制御部１０４は、プライバシ証明書に記載されている内容の正当性を検証する。
具体的には、アクセス制御部１０４は、プライバシ証明書の発行国が、リクエストヘッダのＩＰアドレス情報と同一国であるか否かを判断する。ここで、プライバシ証明書の発行国は、アプリケーションサーバの設置国と同一である。さらに、アクセス制御部１０４は、アプリケーションＩＰがリクエストヘッダのＩＰアドレス情報と同一であるか否かを判断する。ここで、アプリケーションＩＰは、アプリケーションサーバのＩＰアドレスを示す。さらに、アクセス制御部１０４は、ＤＢサーバの設置国が、セキュリティゲートウェイ装置１００が設置されている国と同一か否かを判断する。さらに、アクセス制御部１０４は、現在時刻が有効期限よりも早い時刻であるか否かを判断する。全ての判断がＹＥＳの場合、アクセス制御部１０４は、処理をステップＳ１０４に移し、いずれかの判断がＮＯの場合、アクセス制御部１０４は、所定のエラー処理を実行する。例えば、アクセス制御部１０４は、トークン発行の要求が、正常でないことを表すエラー情報を送信する。 (Operation of security gateway device (part 1))
FIG. 7 is a flowchart illustrating an example of the operation (part 1) of the security gateway device according to the embodiment. FIG. 7 shows a process in which the security gateway apparatus 100 issues a token for an application to access a DB on the local cloud.
(Step S102) The access control unit 104 obtains a token issuance request including a privacy certificate as a parameter from the application 400. The access control unit 104 verifies the validity of the contents described in the privacy certificate.
Specifically, the access control unit 104 determines whether or not the privacy certificate issuance country is the same country as the IP address information in the request header. Here, the issuing country of the privacy certificate is the same as the country where the application server is installed. Furthermore, the access control unit 104 determines whether or not the application IP is the same as the IP address information in the request header. Here, the application IP indicates the IP address of the application server. Furthermore, the access control unit 104 determines whether or not the country where the DB server is installed is the same as the country where the security gateway device 100 is installed. Further, the access control unit 104 determines whether or not the current time is earlier than the expiration date. When all the determinations are YES, the access control unit 104 moves the process to step S104, and when any determination is NO, the access control unit 104 executes predetermined error processing. For example, the access control unit 104 transmits error information indicating that the token issue request is not normal.

（ステップＳ１０４）セキュリティポリシー管理部１０８は、プライバシ証明書に記載されているプライバシ証明書の発行国（アプリケーションサーバの設置国）と、アプリケーションの種別と、データの種別とを用いて、セキュリティポリシーＤＢ１１４を検索する。セキュリティポリシー管理部１０８は、管理者ごとに規定されるアプリケーションサーバの設置国におけるトークンの有効期間のリストと、プライバシ情報のリストとを取得する。
（ステップＳ１０６）セキュリティポリシー管理部１０８は、プライバシ情報のリストからプライバシ証明書に記載されているデータの種別で指定されたデータベースが、非プライバシＤＢかプライバシＤＢかを決定する。セキュリティポリシー管理部１０８は、全ての管理者が非プライバシＤＢと設定している場合には非プライバシＤＢと決定し、それ以外の場合にはプライバシＤＢと決定する。 (Step S104) The security policy management unit 108 uses the privacy certificate issuance country (application server installation country), the application type, and the data type described in the privacy certificate to use the security policy DB 114. Search for. The security policy management unit 108 acquires a list of token validity periods and a list of privacy information in the country where the application server is installed, which is defined for each administrator.
(Step S106) The security policy management unit 108 determines whether the database specified by the type of data described in the privacy certificate is a non-privacy DB or a privacy DB from the privacy information list. The security policy management unit 108 determines a non-privacy DB when all the administrators have set a non-privacy DB, and determines a privacy DB otherwise.

（ステップＳ１０８）セキュリティポリシー管理部１０８は、トークンの有効期間のリストからトークンの有効期間を決定する。具体的には、セキュリティポリシー管理部１０８は、管理者のレベルの値が最も小さい管理者から順に有効期間を確認し、確認した期間より短い期間があれば、その短い期間の値を有効期間として設定する。セキュリティポリシー管理部１０８は、管理者のレベルの値が最も大きい管理者まで上記の操作を繰り返し、操作が終了したときの有効期間の値と現在時刻を加算して有効期限を算出する。つまり、セキュリティポリシー管理部１０８は、複数の管理者により設定された有効期間のうち最も短い期間をトークンの有効期間として決定し、決定した有効期間の値と、現在時刻とを加算して有効期限を算出する。
（ステップＳ１１０）アクセス制御部１０４は、トークンを生成する。
（ステップＳ１１２）アクセス制御部１０４は、ステップＳ１１０で生成したトークンと、プライバシ証明書に記載されているアプリケーションサーバの設置国、アプリケーションＩＰ、アプリケーションの種別、データの種別、ステップＳ１０６で決定したプライバシ情報、及びステップＳ１０８で算出したトークンの有効期限とを関連付けて、トークンＤＢ１１０に保管する。
（ステップＳ１１４）アクセス制御部１０４は、有効期限が設定されたトークンをアプリケーションに返す。その後、アクセス制御部１０４は、処理を終了する。 (Step S108) The security policy management unit 108 determines the token validity period from the token validity period list. Specifically, the security policy management unit 108 checks the effective period in order from the administrator with the smallest administrator level value, and if there is a period shorter than the confirmed period, the value of the short period is set as the effective period. Set. The security policy management unit 108 repeats the above operation up to the administrator with the highest administrator level value, and calculates the expiration date by adding the value of the effective period when the operation is completed and the current time. That is, the security policy management unit 108 determines the shortest period among the effective periods set by a plurality of administrators as the effective period of the token, and adds the determined effective period value and the current time to the effective period. Is calculated.
(Step S110) The access control unit 104 generates a token.
(Step S112) The access control unit 104 includes the token generated in Step S110, the application server installation country, the application IP, the application type, the data type, and the privacy information determined in Step S106 described in the privacy certificate. , And the expiration date of the token calculated in step S108, and is stored in the token DB 110.
(Step S114) The access control unit 104 returns a token in which the expiration date is set to the application. Thereafter, the access control unit 104 ends the process.

（セキュリティゲートウェイ装置の動作（その２））
図８は、実施形態に係るセキュリティゲートウェイ装置の動作（その２）の一例を示すフローチャートである。図８は、セキュリティゲートウェイ装置１００が発行したトークンを取得したアプリケーションが送信したデータ取得の要求に対して、ローカルクラウド２００上のＤＢのデータを提供する処理を示す。また、図８は、データ取得の要求によって要求されたデータが、プライバシＤＢに含まれるときに、データの所有者のプライバシを保護する処理を示す。
（ステップＳ２０２）アクセス制御部１０４は、アプリケーションからデータ取得の要求を受信し、受信したデータ取得の要求に含まれるアプリケーションサーバの設置国、リクエストヘッダのＩＰアドレス情報（アプリケーションＩＰ）、アプリケーションの種別、データの種別等のパラメータを用いて、トークンＤＢ１１０を検索し、これらの情報に対応付けられているトークン及びトークンの有効期限を取得する。
（ステップＳ２０４）アクセス制御部１０４は、データ取得の要求を受信した時刻がトークンの有効期限より早い時刻か否かを判断する。データ取得の要求を受信した時刻がトークンの有効期限より早い時刻である場合、アクセス制御部１０４は、ステップＳ２０６の処理へ移行する。データ取得の要求を受信した時刻がトークンの有効期限より早い時刻でない場合、アクセス制御部１０４は、所定のエラー処理を実行する。例えば、アクセス制御部１０４は、データ取得の要求が正常でないことを表すエラー情報をアプリケーションに返す。その後、アクセス制御部１０４は、処理を終了する。データ取得の要求を受信した時刻がトークンの有効期限より早い時刻である場合について説明を続ける。 (Operation of security gateway device (part 2))
FIG. 8 is a flowchart illustrating an example of the operation (part 2) of the security gateway device according to the embodiment. FIG. 8 shows a process of providing DB data on the local cloud 200 in response to a data acquisition request transmitted by an application that has acquired a token issued by the security gateway apparatus 100. FIG. 8 shows processing for protecting the privacy of the data owner when the data requested by the data acquisition request is included in the privacy DB.
(Step S202) The access control unit 104 receives a data acquisition request from an application, and includes the application server installation country, request header IP address information (application IP), application type, The token DB 110 is searched using parameters such as the type of data, and the token associated with the information and the expiration date of the token are acquired.
(Step S204) The access control unit 104 determines whether or not the time when the data acquisition request is received is earlier than the expiration date of the token. If the time when the data acquisition request is received is earlier than the expiration date of the token, the access control unit 104 proceeds to the process of step S206. When the time at which the data acquisition request is received is not earlier than the token expiration date, the access control unit 104 executes predetermined error processing. For example, the access control unit 104 returns error information indicating that the data acquisition request is not normal to the application. Thereafter, the access control unit 104 ends the process. The case where the time when the data acquisition request is received is earlier than the expiration date of the token will be described.

（ステップＳ２０６）アクセス制御部１０４は、アプリケーションサーバの設置国、アプリケーションの種別、データの種別、データの所有者の属性、クエリ、タイムスタンプ等のパラメータの連結を、ステップＳ２０２で取得したトークンを鍵とする鍵付きハッシュ関数に入力し、ハッシュ値を算出し、算出したハッシュ値とメッセージ認証コードとが一致するか否かを判断する。
一致する場合、アクセス制御部１０４は、ステップＳ２０８の処理を実行する。一致しない場合、アクセス制御部１０４は、所定のエラー処理を実行する。例えば、アクセス制御部１０４は、データ取得の要求が正常でないことを表すエラー情報をアプリケーションに返す。その後、アクセス制御部１０４は、処理を終了する。一致する場合について説明を続ける。
（ステップＳ２０８）アクセス制御部１０４は、パラメータのタイムスタンプを用いて、データ取得の要求の受信時刻がタイムスタンプから一定期間内か否かを判断する。一定期間内である場合、アクセス制御部１０４は、ステップＳ２１０の処理を実行する。一定期間内でない場合、アクセス制御部１０４は、所定のエラー処理を実行する。例えば、アクセス制御部１０４は、データ取得の要求が正常でないことを表すエラー情報をアプリケーションに返す。その後、アクセス制御部１０４は、処理を終了する。一定期間内である場合について説明を続ける。 (Step S206) The access control unit 104 concatenates the parameters such as the application server installation country, the application type, the data type, the data owner attribute, the query, and the time stamp, with the token acquired in step S202 as a key. And the hash value is calculated, and it is determined whether or not the calculated hash value matches the message authentication code.
If they match, the access control unit 104 executes the process of step S208. If they do not match, the access control unit 104 executes predetermined error processing. For example, the access control unit 104 returns error information indicating that the data acquisition request is not normal to the application. Thereafter, the access control unit 104 ends the process. The description will be continued for the case of coincidence.
(Step S208) The access control unit 104 determines whether the reception time of the data acquisition request is within a certain period from the time stamp, using the parameter time stamp. If it is within the certain period, the access control unit 104 executes the process of step S210. If it is not within the predetermined period, the access control unit 104 executes predetermined error processing. For example, the access control unit 104 returns error information indicating that the data acquisition request is not normal to the application. Thereafter, the access control unit 104 ends the process. The description will be continued for the case where it is within a certain period.

（ステップＳ２１０）アクセス制御部１０４は、パラメータのデータの種別で指定されたデータベースがプライバシに関するデータか否かを判断する。アクセス制御部１０４は、プライバシに関するデータである場合にはステップＳ２１２の処理を実行し、プライバシに関するデータでない場合にはステップＳ２１６の処理を実行する。プライバシに関するデータである場合について説明を続ける。
（ステップＳ２１２）アクセス制御部１０４は、クエリパラメータで指定されたクエリを用いて、ローカルクエリー制御部２０２が提供するＷｅｂＡＰＩを経由してプライバシＤＢ２０８からデータを抽出する。
（ステップＳ２１４）アクセス制御部１０４は、抽出したデータに対してプライバシ保護手法を適用し、グローバルクラウド経由で、アプリケーションに返す。その後、アクセス制御部１０４は、処理を終了する。
（ステップＳ２１６）ステップＳ２１０で、プライバシに関するデータでない場合、プライバシ制御部１０６は、ユーザ属性パラメータで指定されたデータの所有者の属性を用いて、ユーザＤＢ１１２を検索し、該当するデータの所有者のリストを取得する。
（ステップＳ２１８）プライバシ制御部１０６は、アプリケーションの種別とステップＳ２１６で取得した所有者のリストとを用いて、セキュリティポリシー管理部１０８が提供するＷｅｂＡＰＩを経由して、プライバシポリシーＤＢ２１０から、該当するデータの所有者のプライバシポリシーを取得する。 (Step S210) The access control unit 104 determines whether or not the database specified by the parameter data type is data related to privacy. The access control unit 104 executes the process of step S212 if the data is related to privacy, and executes the process of step S216 if the data is not related to privacy. The case of data relating to privacy will continue to be described.
(Step S212) The access control unit 104 extracts data from the privacy DB 208 via the Web API provided by the local query control unit 202 using the query specified by the query parameter.
(Step S214) The access control unit 104 applies a privacy protection method to the extracted data and returns it to the application via the global cloud. Thereafter, the access control unit 104 ends the process.
(Step S216) If the data is not privacy-related in step S210, the privacy control unit 106 searches the user DB 112 using the attribute of the owner of the data specified by the user attribute parameter, and the owner of the corresponding data Get a list.
(Step S218) The privacy control unit 106 uses the application type and the list of owners acquired in step S216 to apply the corresponding information from the privacy policy DB 210 via the Web API provided by the security policy management unit 108. Get the privacy policy of the data owner.

（ステップＳ２２０）プライバシ制御部１０６は、ステップＳ２１８で取得したプライバシポリシーを参照し、データの種別パラメータで指定されたＤＢのデータのうち、データの提供を許可する所有者のリスト（以下、「データの提供者のリスト」という。）を作成する。
（ステップＳ２２２）プライバシ制御部１０６は、クエリパラメータで指定されたクエリを用いて、ローカルクエリー制御部２０２が提供するＷｅｂＡＰＩを経由して、非プライバシＤＢ２０６からデータを取得する。
（ステップＳ２２４）プライバシ制御部１０６は、ステップ２１６で作成したデータの提供者のリストを用いて、ステップＳ２２２で取得したデータのうち、提供者のリストに存在する所有者のデータを抽出することによってフィルタリングする。プライバシ制御部１０６は、フィルタリングすることによって得られたデータを、データ品質制御部１０２へ出力する。 (Step S220) The privacy control unit 106 refers to the privacy policy acquired in step S218, and among the DB data specified by the data type parameter, a list of owners permitted to provide the data (hereinafter referred to as “data”). A list of providers ").
(Step S222) The privacy control unit 106 acquires data from the non-privacy DB 206 via the Web API provided by the local query control unit 202, using the query specified by the query parameter.
(Step S224) The privacy control unit 106 uses the data provider list created in Step 216 to extract owner data existing in the provider list from the data acquired in Step S222. Filter. The privacy control unit 106 outputs the data obtained by filtering to the data quality control unit 102.

（セキュリティゲートウェイ装置の動作（その３））
図９は、実施形態に係るセキュリティゲートウェイ装置の動作（その２）の一例を示すフローチャートである。図９は、データ取得の要求によって要求されたデータが、非プライバシＤＢ２０６に含まれるときに、データの品質を検証し、検証した結果を、データに付与して送信する処理を示す。
（ステップＳ３０２）データ品質制御部１０２は、プライバシ制御部１０６が出力したデータの品質を検証する。データ品質制御部１０２は、乱数検定を実施したり、カイ２乗検定等を用いて正規分布等に従った分布において５％棄却域に入るか否かを検定したり、他の同種のセンサーのデータとの類似性を検証したりする。
（ステップＳ３０４）データ品質制御部１０２は、ステップＳ３０２で実行された検証の結果をデータに付与し、検証の結果を付与したデータの認証コードを演算し、認証コードの演算結果を、私有鍵で暗号化することによって、電子署名を作成する。
（ステップＳ３０６）データ品質制御部１０２は、電子署名を付与したデータと検証の結果とを、アプリケーションへ返信する。 (Operation of the security gateway device (part 3))
FIG. 9 is a flowchart illustrating an example of the operation (part 2) of the security gateway device according to the embodiment. FIG. 9 shows processing for verifying the quality of data when the data requested by the data acquisition request is included in the non-privacy DB 206, and sending the verified result to the data.
(Step S302) The data quality control unit 102 verifies the quality of the data output from the privacy control unit 106. The data quality control unit 102 performs a random number test, uses a chi-square test or the like to test whether the distribution according to a normal distribution or the like falls within a 5% rejection area, or other similar sensors. Verify the similarity with the data.
(Step S304) The data quality control unit 102 assigns the result of the verification executed in step S302 to the data, calculates an authentication code of the data to which the verification result is added, and calculates the authentication code calculation result with a private key. Create an electronic signature by encrypting.
(Step S306) The data quality control unit 102 returns the data with the digital signature and the verification result to the application.

前述した実施形態では、ローカルクラウド毎に、一台のセキュリティゲートウェイ装置が含まれる場合について説明したが、この限りでない。例えば、ローカルクラウド毎に、複数のセキュリティゲートウェイ装置が含まれてもよい。この場合、複数のプライバシ保護装置は、同じ機能を有していてもよいし、異なる機能を有していてもよい。
前述した実施形態では、プライバシデータベースと非プライバシデータベースとを区分しない場合について説明したが、この例に限られない。例えば、プライバシデータベースと非プライバシデータベースとを区分してもよい。この場合、プライバシデータベース、及び非プライバシデータベースの各々に対して、ＤＢのＩＤとして、通し番号が付される。
前述した実施形態では、セキュリティゲートウェイ装置１００が検証結果にかかわらず、検証結果をアプリケーションに送信する場合ついて説明したが、この限りでない。例えば、検証結果の閾値を設定し、該閾値に基づいて、品質がよくない場合には、セキュリティゲートウェイ装置１００は、アプリケーションへ、データを送信しないようにしてもよい。
前述した実施形態では、セキュリティゲートウェイ装置１００が、データに品質の検証結果と電子署名とを付与して、送信する場合について説明したが、この限りでない。例えば、セキュリティゲートウェイ装置１００は、トークンを介してアプリケーションと共有した秘密鍵を用いて、メッセージ認証コード（ＭＡＣ（ＭｅｓｓａｇｅＡｕｔｈｅｎｔｉｃａｔｉｏｎＣｏｄｅ））を計算し、電子署名の代わりに使用してもよい。
前述した実施形態では、アプリケーションが、事前に取得していたセキュリティゲートウェイ装置１００の公開鍵で、受信したデータに付与されている電子署名を検証する場合について説明したが、この例に限られない。例えば、アプリケーションは、データを受信した後に、そのデータに付与されている電子署名を検証するために、セキュリティゲートウェイ装置１００の公開鍵を取得するようにしてもよい。 In the above-described embodiment, the case where one security gateway device is included for each local cloud has been described, but this is not restrictive. For example, a plurality of security gateway devices may be included for each local cloud. In this case, the plurality of privacy protection devices may have the same function or different functions.
In the above-described embodiment, the case where the privacy database and the non-privacy database are not distinguished has been described, but the present invention is not limited to this example. For example, a privacy database and a non-privacy database may be distinguished. In this case, a serial number is assigned to each of the privacy database and the non-privacy database as the DB ID.
In the above-described embodiment, the case has been described in which the security gateway device 100 transmits the verification result to the application regardless of the verification result. For example, a threshold value of the verification result is set, and if the quality is not good based on the threshold value, the security gateway device 100 may not transmit data to the application.
In the above-described embodiment, the case has been described in which the security gateway apparatus 100 transmits a data with a quality verification result and an electronic signature, but the present invention is not limited thereto. For example, the security gateway device 100 may calculate a message authentication code (MAC (Message Authentication Code)) using a secret key shared with an application via a token and use it instead of an electronic signature.
In the above-described embodiment, the case where the application verifies the electronic signature attached to the received data with the public key of the security gateway apparatus 100 acquired in advance has been described. However, the present invention is not limited to this example. For example, after receiving the data, the application may acquire the public key of the security gateway device 100 in order to verify the electronic signature attached to the data.

本実施形態によれば、セキュリティゲートウェイ装置は、第１のドメインと第２のドメインとの間に設置される。セキュリティゲートウェイ装置は、サーバに記憶されたアプリケーションによって、第１ドメインを経由して、第２ドメインに記憶されているデータへのアクセス要求があった場合に、アクセス要求の正当性を検証し、正当性の検証の結果が成功であった場合に、データの所有者のプライバシポリシーに基づいて、データを取得する。これにより、データの所有者毎のプライバシに配慮して、情報を利活用できる。また、セキュリティゲートウェイ装置は、取得したデータの品質を検証し、データの品質の検証結果とデータとを、アプリケーションへ送信する。これにより、データのセキュリティに配慮して、情報を利活用できる。
つまり、セキュリティゲートウェイ装置は、各国の認証局により発行されたアプリケーションの挙動を規定する証明書と、データの管理者および所有者により階層的に定められたポリシー群とを用いてアクセス制御を行うことができるとともに、アクセス要求の対象であるデータを、アプリケーションに送信する際に、データの品質を検証し、検証結果に基づいて作成される電子署名を付与して送信することができる。
これによって、アプリケーションは、データの品質が保証されたデータを取得することができるため、ユーザは、アプリケーションによって取得されたデータを、安心して使用できる。
また、複数のローカルクラウドを有機的に結合したグローバルクラウド上において、アプリケーションは、ＩｏＴデバイスから収集された個人のプライバシに関わるデータをセキュリティおよびプライバシに配慮した形で利活用することができる。
また、セキュリティゲートウェイ装置は、ローカルクラウド上のデータベースの形式およびアプリケーションからのクエリの形式を問わないため、単一クラウドにおけるアーキテクチャを拡張する形で構築できる。 According to the present embodiment, the security gateway device is installed between the first domain and the second domain. The security gateway device verifies the validity of the access request when there is an access request to the data stored in the second domain via the first domain by the application stored in the server. If the result of the verification of the sex is successful, the data is acquired based on the privacy policy of the data owner. As a result, the information can be utilized in consideration of the privacy of each data owner. Also, the security gateway device verifies the quality of the acquired data, and transmits the data quality verification result and the data to the application. As a result, it is possible to use information in consideration of data security.
In other words, the security gateway device performs access control using a certificate that defines the behavior of an application issued by a certificate authority in each country and a policy group that is hierarchically defined by the data manager and owner. In addition, when the data that is the target of the access request is transmitted to the application, the quality of the data can be verified, and an electronic signature created based on the verification result can be attached and transmitted.
As a result, the application can acquire data whose data quality is guaranteed, so that the user can use the data acquired by the application with peace of mind.
In addition, on a global cloud in which a plurality of local clouds are organically combined, an application can use data related to personal privacy collected from an IoT device in a form that considers security and privacy.
In addition, the security gateway device can be constructed by extending the architecture in a single cloud because the format of the database on the local cloud and the format of the query from the application are not questioned.

以上、本発明の実施形態及びその変形例を説明したが、これらの実施形態及びその変形例は、例として提示したものであり、発明の範囲を限定することは意図していない。これら実施形態及びその変形例は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更、組合せを行うことができる。これら実施形態及びその変形例は、発明の範囲や要旨に含まれると同時に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。例えば、プライバシ保護装置が実行するプライバシ保護方法としても実現できる。 As mentioned above, although embodiment of this invention and its modification were demonstrated, these embodiment and its modification are shown as an example, and are not intending limiting the range of invention. These embodiments and modifications thereof can be implemented in various other forms, and various omissions, replacements, changes, and combinations can be made without departing from the spirit of the invention. These embodiments and modifications thereof are included in the scope and gist of the invention, and at the same time, are included in the invention described in the claims and the equivalents thereof. For example, it can be realized as a privacy protection method executed by the privacy protection device.

なお、上述の各装置は内部にコンピュータを有している。そして、上述した各装置の各処理の過程は、プログラムの形式でコンピュータ読み取り可能な記録媒体に記憶されており、このプログラムをコンピュータが読み出して実行することによって、上記処理が行われる。ここでコンピュータ読み取り可能な記録媒体とは、磁気ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、半導体メモリ等をいう。また、このコンピュータプログラムを通信回線によってコンピュータに配信し、この配信を受けたコンピュータが当該プログラムを実行するようにしてもよい。
また、上記プログラムは、前述した機能の一部を実現するためのものであってもよい。
さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であってもよい。 Each of the above devices has a computer inside. The process of each device described above is stored in a computer-readable recording medium in the form of a program, and the above-described processing is performed by the computer reading and executing the program. Here, the computer-readable recording medium means a magnetic disk, a magneto-optical disk, a CD-ROM, a DVD-ROM, a semiconductor memory, or the like. Alternatively, the computer program may be distributed to the computer via a communication line, and the computer that has received the distribution may execute the program.
The program may be for realizing a part of the functions described above.
Furthermore, what can implement | achieve the function mentioned above in combination with the program already recorded on the computer system, what is called a difference file (difference program) may be sufficient.

上述した実施形態において、セキュリティゲートウェイ装置１００はセキュリティゲートウェイ装置の一例であり、第１のドメインはグローバルクラウドの一例であり、第２のドメインはローカルクラウドの一例であり、アクセス制御部１０４はアクセス制御部の一例であり、プライバシ制御部１０６はプライバシ制御部の一例であり、データ品質制御部は検証部、及び送信部の一例である。 In the above-described embodiment, the security gateway device 100 is an example of a security gateway device, the first domain is an example of a global cloud, the second domain is an example of a local cloud, and the access control unit 104 performs access control. The privacy control unit 106 is an example of a privacy control unit, and the data quality control unit is an example of a verification unit and a transmission unit.

１００…セキュリティゲートウェイ装置、１０２…データ品質制御部、１０４…アクセス制御部、１０６…プライバシ制御部、１０８…セキュリティポリシー管理部、１１０…トークンＤＢ、１１２…ユーザＤＢ、１１４…セキュリティポリシーＤＢ、２００…ローカルクラウド、２０２…ローカルクエリー制御部、２０４…プライバシポリシー管理部、２０６…非プライバシＤＢ、２０８…プライバシＤＢ、２１０…プライバシポリシーＤＢ、３００…グローバルクラウド、３０２…グローバルクエリー制御部、４００…アプリケーション、５００…プライバシ証明書ＤＢ DESCRIPTION OF SYMBOLS 100 ... Security gateway apparatus, 102 ... Data quality control part, 104 ... Access control part, 106 ... Privacy control part, 108 ... Security policy management part, 110 ... Token DB, 112 ... User DB, 114 ... Security policy DB, 200 ... Local cloud, 202 ... Local query control unit, 204 ... Privacy policy management unit, 206 ... Non-privacy DB, 208 ... Privacy DB, 210 ... Privacy policy DB, 300 ... Global cloud, 302 ... Global query control unit, 400 ... Application, 500 ... Privacy certificate DB

Claims

A security gateway device installed between a first domain and a second domain,
An access control unit that verifies the legitimacy of the access request when there is an access request to the data stored in the second domain via the first domain by the application stored in the server;
A privacy control unit that acquires the data based on a privacy policy of the owner of the data when the result of the verification of the validity is successful;
A verification unit that verifies the quality of the data acquired by the privacy control unit;
A security gateway device comprising: a transmission unit that transmits a verification result of the data quality and the data to the application.

The security gateway device according to claim 1, wherein the privacy control unit acquires data that is not related to the privacy of the owner based on the privacy policy.

The security gateway device according to claim 1, wherein the verification unit verifies whether or not the data is forged.

The security gateway device according to any one of claims 1 to 3, wherein the verification unit verifies whether the data has an abnormal value.

The security gateway device according to any one of claims 1 to 4, wherein the verification unit verifies whether an acquisition source of the data is illegal.

The said transmission part attaches | subjects the electronic signature produced | generated based on the verification result of the quality of the said data, and the said data to the said data, The transmission of any one of Claims 1-5 Security gateway device.

A method executed by a security gateway device installed between a first domain and a second domain,
Verifying the legitimacy of the access request when there is an access request to the data stored in the second domain via the first domain by the application stored in the server;
Obtaining the data based on the privacy policy of the owner of the data if the result of the validity verification is successful;
Verifying the quality of the acquired data;
Transmitting the verification result of the data quality and the data to the application.

In the computer of the security gateway device installed between the first domain and the second domain,
Verifying the legitimacy of the access request when there is an access request to the data stored in the second domain via the first domain by the application stored in the server;
Obtaining the data based on the privacy policy of the owner of the data if the result of the validity verification is successful;
Verifying the quality of the acquired data;
A program for executing a verification result of the data quality and the step of transmitting the data to the application.