JP7629271B2 - 機密データを送信するシステムおよび方法 - Google Patents

Description

本開示は一般に、情報セキュリティの分野に関し、より具体的には、クライアントサーバアーキテクチャにおけるデータルーティングに対して匿名性を保証するシステムおよび方法に関する。

世界における法律の変化により、情報セキュリティの専門家達は、パーソナル電子機器から送信されるデータを管理するための新しい方法を開拓せざるを得ない状況となっている。たとえば、ロシア連邦においては、インタネットサービスによって使用されるロシア人個人を特定することができる情報は、ロシア領域内で保持されなければならないという法律が定められ、スイス連邦においては、銀行も、連邦政府の司法領域からユーザデータが流出してしまうことがないように要求されており、また、多くの国々においては、個人を特定できる情報を公開された状態で保持することが禁止されている。編み出される解決策は、コンピュータシステムのユーザの作業を、より困難なものとするものではなく、操作中、ユーザにトランスペアレントなものであるべきである。

一般データ保護規則（General Data Protection Regulation：ＧＤＰＲ）の登場により、各種サービス側のネットワークインフラストラクチャにおいて保持され、かつ、ユーザから受信する個人データの量は、最少となる傾向にある。ユーザから得たデータを、その一意性を失うことなく、分散して保存および処理することが必要である。

こうした方針は、企業および民間の領域においてクラウドインフラストラクチャを採用する上で難題を生じさせている。この難題を解決することができる解決策が必要とされよう。

本開示は、送信するデータの匿名性を保ち、かつ、分析および統計構築のためにサーバが必要とする情報の完全性および代表性が欠けることなく、クライアントサーバアーキテクチャにおいてデータを送信するように設計されている。

本開示の技術的成果は、重大データをサーバに送信することを可能にすることである。

本開示の１つ以上の態様の目的は、重大データをサーバに送信する方法であって、サーバに送信されることになっているデータ構造を、クライアント側で、重大データ（以下、ＣＤ）を含む下部構造と、ＣＤを含まない下部構造とに分割する、方法である。ＣＤを含む下部構造を、クライアント側で、少なくとも２つの下部構造にさらに分割し、その結果生じた下部構造を、変換モジュールを有するノードを介して、サーバに連続して送信する。ＣＤを含まない下部構造を、変換モジュールを有するノードをバイパスして、サーバに直接送信する。下部構造を受信した後、下部構造をサーバ側で結合して単一データ構造を形成する。重大データは、クライアントまたは権限のある機関が位置している管轄区域を有する国の法律を基準にして、収集、保存、アクセス、普及、および処理についての規制が課せられているデータである。一態様では、重大データは、機密データ、すなわち、クライアントが位置している管轄区域の国の法律によって保護されるいずれのデータであり、特定の例において、そのようなデータは個人データである。

変換モジュールを有するネットワークノードは、サーバが位置している地域ネットワークとは異なる地域ネットワークに位置していてもよく、サーバまたはクライアントと同じイントラネット内になくてもよい。変換手段を有するネットワークノードの地域ネットワークとサーバの地域ネットワークは、異なる管轄区域に位置していてもよい。地域ネットワークは、同時に、全国ネットワークであってもよい。

ノードの変換モジュールが、変換モジュールを通過する各データ下部構造を変換してもよく、その場合、下部構造が変換モジュールを通過する際に、前記変換を連続して実行してもよく、また、特定の例では、元の下部構造および変換後の下部構造は、変換後にノードで保存されることはない。特定の例において、変換モジュールは、匿名化モジュールであり、前記変換自体を暗号化によって行ってもよい。

特定の例において、ＣＤを含まない下部構造のデータを、非対称暗号化の方法を用いて変換モジュールによって変換するが、この場合、公開鍵をクライアントに送信し、一方、秘密鍵をサーバで保持する。

別の特定の例において、変換モジュールによってデータを逆変換される可能性なく、クライアント側でデータ下部構造の第１の変換を実行し、一方、変換モジュールは、サーバまたはクライアント側で逆変換する可能性なく、変換モジュールを通過するデータ下部構造の第２の変換を実行する。

態様例の上記簡略概要は、本開示の基本的な理解を提供する役割を果たす。この概要は、全ての企図された態様の広範な概観ではなく、全ての態様の主要または重大要素を特定することを意図するものではなく、本開示の任意または全ての態様の範囲を叙述することを意図するものでもない。その唯一の目的は、以下の本開示のより詳細な説明の前置きとして、１つ以上の態様を簡略化した形で提示することである。前述の目的を達成するために、本開示の１つ以上の態様は、特許請求の範囲に記載され、例示的に指摘される側面を含む。

添付の図面は、本明細書に組み込まれ、本明細書の一部を構成するものであるが、本開示の１つ以上の態様例を示し、詳細な説明とともに、態様例の原理および実施を説明する役割を果たす。

クライアントサーバアーキテクチャにおけるデータルーティングのシステムを示す。 クライアントによってデータ構造を下部構造に分割する、クライアントサーバアーキテクチャにおけるデータルーティングの方法の変形例を示す。 要求を実行する際に匿名化モジュールによってデータ構造の下部構造を識別する、クライアントサーバアーキテクチャにおけるデータルーティングの方法の変形例を示す。 クライアントによってデータ構造の下部構造を識別する、クライアントサーバアーキテクチャにおけるデータルーティングの方法の変形例を示す。 要求を実行する際にクライアントによってデータ構造を下部構造に分割する、クライアントサーバアーキテクチャにおけるデータルーティングの方法の変形例を示す。 （統計を構築するための）データを送信する際にクライアントによってデータ構造を下部構造に分割する、クライアントサーバアーキテクチャにおけるデータルーティングの方法の例示的な態様を示す。 図６Ａの方法によって収集した情報に基づいて、クライアントをターゲットとした攻撃を検出する際の、クライアントサーバアーキテクチャにおけるデータルーティングの方法の例示的な態様を示す。 要求を実行する際に匿名化モジュールによってデータ構造の下部構造を識別する、クライアントサーバアーキテクチャにおけるデータルーティングの方法の一態様を示す。 クライアントによってデータ構造の下部構造を識別する、クライアントサーバアーキテクチャにおけるデータルーティングの方法の一態様を示す。 要求を実行する際にクライアントによってデータ構造を下部構造に分割する、クライアントサーバアーキテクチャにおけるデータルーティングの方法の一態様を示す。 クライアントサーバアーキテクチャの匿名データ交換のシステムを示す。 クライアントサーバアーキテクチャにおけるデータ交換の方法の変形例を示す。前記方法は、サーバ側で統計を構築するためにクライアントからデータを得るのに用いられる。 データ交換の方法の変形例を示す。前記方法は、クライアントからサーバへの要求を実行する際に用いられる。 データ交換の方法の変形例を示す。前記方法は、クライアントからサーバへの要求を実行する際に用いられ、下部構造を結合することを含む。 クライアントからサーバへの要求を実行する際の、データ交換の方法の例示的な態様を示す。 非同期モードでクライアントからサーバへの要求を実行する際の、データ交換の方法の例示的な態様を示す。 クライアントサーバアーキテクチャにおいて重大データを送信する方法の変形例を示す。 クライアントサーバアーキテクチャにおいて重大データを送信する方法の実施形態例を示す。 本開示の態様による調整モジュールのルール例の表を示す。 例示的な態様によって本開示のシステムおよび方法を実施することができるコンピュータシステムの一例を示す。

例示的な態様を、クライアントサーバアーキテクチャにおいて重大データを送信するためのシステム、方法、およびコンピュータプログラム製品に関連して、本明細書において説明する。当業者であれば、以下の説明は例示的なものにすぎず、決して限定することを意図するものではないことを理解するであろう。他の態様は、本開示の恩恵を受ける当業者に容易に連想されるであろう。添付の図面に例示されている態様例の実施を詳細に言及する。図面と以下の説明の全体にわたって、同一または同様のものについては、可能な限り、同一の参照符号を用いるものとする。

図１は、クライアントサーバアーキテクチャにおけるデータルーティングのためのシステム１００を示す。システム１００は、クライアント１０２と、サーバ１０４と、匿名化モジュール１０８を有するネットワークノード１０６とを含む。サーバ１０４は、クラウドインフラストラクチャ（図示せず）の一部であってもよく、一方、クライアントはユーザのデバイスであってもよい。匿名化モジュール１０８を有するノード１０６は、前記サーバが位置している地域ネットワークとは異なる地域ネットワーク１０７に位置していてもよく（すなわち、地域ネットワーク２と地域ネットワーク３）、サーバ１０４またはクライアント１０２と同じイントラネットに位置しない。本明細書において用いられるように、地域ネットワーク１０７は、地理的に分散したネットワークを意味し、通信手段によって異なる地点にあるコンピュータを集めて一つにまとめ、地域ネットワークが集合してグローバネットワーク１０９を形成する。本開示の文脈において、異なる地域ネットワーク１０７は、地理的に分離しているのみならず、異なる管轄区域に位置し（すなわち、異なる規制に従うことになろう）、その結果、本開示の文脈において、異なる地域ネットワークはまた、各国のノードが集められているネットワーク（全国ネットワーク）を含んでもよい。たとえば、図１において、地域ネットワーク「１」は、アメリカ合衆国のネットワークであり、地域ネットワーク「２」は、ドイツおよび／または欧州連合のネットワークであり、地域ネットワーク「３」は、ロシア連邦のネットワークである。

図１のグローバネットワーク１０９は、全ての地域ネットワーク１０７の総体、または世界ネットワーク（インターネット）である。ＧＤＰＲの用語において、たとえば、サーバが位置するロシア連邦（the Russian Federation：ＲＦ）の地域ネットワークは、第三者の地域ネットワークであるとみなされるであろう。

特定の例において、匿名化モジュール１０８を有するノード１０６の地域ネットワーク１０７は、クライアント１０２の地域ネットワークとは異なる。図１中の矢印は、クライアントからではなく、ネットワークから始まるように描かれているが、これは、一般的に、外部ＩＰアドレスは、内部アドレス秘匿技術、特に、プロキシサーバ、ネットワークアドレス変換（Network Address Translation：ＮＡＴ）の使用により、表示可能であるからである。

クライアント１０２は、（たとえば、クライアントからサーバにデータを送信するために作成された）１つ以上のデータ構造を下部構造に分割し、かつ、得られた下部構造のためのルートを選択するように構成された変更モジュール１１０を含んでもよい。データ構造は、クライアント１０２とサーバ１０４とを含むシステム１００のコンポーネントによって形成かつ保持されるデータ値の集合である。なお、データ構造におけるデータ値のうちのいくつかは、「個人データ」でありえるので、データ機密ポリシーと規制の対象となるであろう。よって、下部構造は、元のデータ構造からのデータ値の部分集合を含むデータ構造の一種である。たとえば、データ構造におけるデータ値は、データ送信、ユーザ要求、データ照会および／または照会結果、ログデータ、アプリケーションの状態に関するデータ、ユーザトランザクションレコード、ユーザ作成コンテンツ、ならびに、クライアントサーバアーキテクチャにおける交換に好適な他の形式のデータを含んでもよい。いくつかの例において、データ構造は、メモリ内データ構造（たとえば、連結リスト、ハッシュテーブル、ツリー、配列、データベースレコード）、または、オンディスクデータ構造（たとえば、ファイル、ＢＬＯＢ）であってもよい。他の例において、データ構造は、本明細書に含まれるデータ値を、クライアントからサーバに送信するように構成された１つ以上のネットワークデータパケットであってもよい。データ構造を、テキストフォーマットか、構造化フォーマット（たとえば、Extendible Markup Language、略してＸＭＬ、JavaScript Object Notation、略してＪＳＯＮ）か、または、情報交換用の他のフォーマットで、直列化してもよい。

データ構造を下部構造に分割するための様々な基準があってもよい。そのような基準の１つは、（ＧＤＰＲの用語における）個人データ（個人識別情報）または個人データの特別なカテゴリの有無であってもよく、それによって、ある下部構造は、個人データ（以下、ＰＤまたはＰＩＩ）または個人データの特別なカテゴリを含み、別の下部構造は、個人データではないデータを含む（すなわち、別の下部構造はＰＤを含まない）といったように、データ構造が分割される。個人データとしてのデータの特徴付けと割り当てを、たとえば、以下に説明するシステムにおいてクライアントであるデバイスのユーザが位置する管轄区域を有する国の法律によって、すなわち、データソースの位置に応じて定めることができる。

データ構造を下部構造に分割するための別の基準は、重大データの有無である。重大データは、法律または権限のある機関によって、データの収集、保存、アクセス、普及、および処理についての規制が課せられるデータである。重大データは、一般に、暴露、普及、および漏洩に対して、注意を要するものであり、その理由は、法律によって保護されているような、ユーザの権利および合法的に保護されている利益が、上記イベントが発生することによって侵害されるからであり、そのようなデータの収集、保存、アクセス、および処理に対する規則に違反する人々は、その責任を負わなくてはいけないからである。重大データの特別なケースは、機密データ（要注意データ）、または機密情報である。本願の文脈において、機密データと機密情報は、同義的に用いられる。機密データは、以下に説明するシステムにおいてクライアントであるデバイスのユーザが位置する管轄区域を有する国の法律に準拠して保護されるデータを意味する。特定のケースにおいて、機密データとして、個人データ（ＰＤ）、ならびに、商業上の秘密、税に関する秘密、銀行関連秘密、医療上の秘密、公証人が知りうる秘密、弁護士が知りうる秘密、監査上の秘密、通信上の秘密、保険に関する秘密、遺言に関する秘密、採用上の秘密、告解に関する秘密、調査上の秘密、法廷訴訟手続き上の秘密、被保護人に関する情報、および国に関する秘密を含むデータが挙げられる。一態様において、重大データは、ＧＤＰＲ下で指定されているような、注意を要する個人データを含んでもよく、注意を要する個人データは、人種または民族の素性、政見、信教または哲学信条、および労働組合員資格が明らかになるデータ、健康または性生活および性的嗜好に関するデータ、ならびに（たとえば、自然人を一意に識別するための）遺伝データまたは生体情報の、いずれのデータでもある。

匿名化モジュール１０８は、匿名化モジュール１０８を有するノード１０６を通るルートを有する下部構造の変換および逆変換を実行するように構成されている。一態様において、下部構造の変換は、下部構造に含まれるデータの変換であってもよい。特定の例において、下部構造のデータの変換方法は、量子化、ソーティング、マージング（ペースト）、グループ分け、データセット構成、値のテーブル置換、計算値、データの符号化、暗号化、および正規化（スケーリング）のうち、１つ以上を含んでもよい。

ある種類の変換は、下部構造における個別データのみならず、下部構造全体に適用されてもよく、たとえば、トークン化および／または暗号化が挙げられる。特定の例において、変換は、ノードの匿名化モジュール１０８以外の手段により、逆変換の可能性はなく、実行される。逆変換は、変換前の変換対象（データ、下部構造）の元の形式を回復する変換を意味する。一般に、変換は、あるセットのそのセット自体に対するマッピング（関数）であってもよく、または、言い換えると、変換は、あるセットを別のセットに翻訳するマッピングのことである。

同じクライアントからの下部構造を、同じ方法または異なる方法を用いて、匿名化モジュール１０８によって変換してもよい。前記変換を同じ方法によって実行する場合、変換された下部構造、または同じクライアントからの下部構造のデータは、同一の外観を有するであろうし、そうでなければ、下部構造のデータが異なり、同じクライアントの統計を構築する（プロファイリングを実行する）ことは不可能であろう。

サーバ１０４は、結合モジュール１１２を含んでもよい。結合モジュール１１２は、クライアント側で分割されたデータ構造を結合するように構成されている。結合モジュール１１２は、たとえば一意識別子に基づいて、データを結合してもよく、一意識別子は、分割中に各下部構造に割り当てられ、同じ構造の下部構造に対しては同一である。結合モジュール１１２は、様々なネットワークルートでサーバ１０４に到達する下部構造を受信し、その下部構造を結合して構造を形成する。前記構造は、クライアント側で分割された元の構造とは明らかに異なるであろう。これは、匿名化モジュール１０８を有するノードを通過する下部構造が、そのモジュール１０８によって変換されるからである。結果として生じた構造は、データベース（図示せず）において保存してもよい。

特定の例において、匿名化モジュール１０８は、クライアントの変更モジュール１１０によって下部構造に分割されない構造（たとえば、サーバへの要求の構造）を、クライアントから得る。この場合、サーバに送信するための匿名化モジュール１０８は、得られた構造において、ＰＤを含む下部構造を識別し、下部構造のデータ変換を行う。例を以下に挙げる。

説明したシステム１００は、サーバ１０４に送信する要求、および、クライアント１０２に送信する、前記要求に対する応答を匿名化するために用いられ、また、統計の構築に使用される、クライアント１０２からのデータを得るために用いられる。

図２は、クライアントサーバアーキテクチャにおけるデータルーティングの方法による例示的な操作のブロック図であり、特定の例において、前記方法は、統計構築のためにクライアントからデータを得るのに用いられる。ステップ２００では、（たとえば、クライアント１０２上で実行する）変更モジュール１１０は、基準、そのような基準の一つは、場合によっては構造におけるＰＤの有無である基準に従って、サーバへ送信されることになっている構造２０１を分割し、分割の結果、ＰＤを含む下部構造（たとえば、図２では、下部構造１）と、ＰＤを含まない下部構造（図２では、下部構造２に相当する）と、が得られる。以降、本願の文脈において、本開示の態様例では、一般に、たとえ、ＰＤに有効なことが重大または機密データにも有効であるとしても、前記基準の一例として、重大または機密データの有無ではなく、ＰＤの有無を使用する。特定の例において、分割を実行するための複数の基準のみならず、第１のタイプと第２のタイプといったように複数の下部構造があってもよい。

ステップ２１０では、変更モジュール１１０は、得られた下部構造をサーバ１０４に発信（すなわち送信）する。前記発信は、様々なルート（ルートＡおよびルートＢ）によって行われ、前記様々なルートの１つ（たとえば、ルートＡ）は、匿名化モジュール１０８を有するネットワークノード１０６を含む。一態様において、データ下部構造の１つに含まれる個人データに基づき、変更モジュール１１０は、少なくとも２つのデータ下部構造を発信するための少なくとも２つのルートを決定してもよい。ネットワークノード１０６は、サーバ１０４が位置するネットワークとは異なる地域ネットワークに位置し、サーバまたはクライアント１０２と同じイントラネット内にはない。サーバへ発送されることになっている下部構造のうちの１つがＰＤを含む場合、下部構造は、匿名化モジュール１０８を有するノードを介してサーバに誘導されるであろう（ルートＡ）。

その後、ステップ２２０において、匿名化モジュール１０８を有するノード１０６を通過する下部構造を、そのモジュール１０８によって変換し、その後、変換された状態の下部構造を、サーバ１０４に送信する（ステップ２２１）。一般的な場合、同じクライアントからの下部構造は、異なる時点で、異なるように変換される。たとえば、第１の時に送信され、クライアント識別子を有する下部構造は、変換されて、匿名識別子（匿名ＩＤ１）を含む。前記匿名識別子（匿名ＩＤ１）は、同じクライアントから送られ、同じクライアント識別子を有していたとしても、第２の時に送信される下部構造からの次の匿名識別子（匿名ＩＤ２）とは異なる（すなわち、クライアントＩＤ→匿名ＩＤ１≠匿名ＩＤ２≠匿名ＩＤ３など）。上記内容は全ての例に関連しうる。特定の例において、あるセキュリティシステムが特定のクライアントに関する情報を組立てる（統計を構築する）ことが必要な場合、前記変換は、同じクライアントからの下部構造に対しては同一になりうる（たとえば、クライアントＩＤ→匿名ＩＤ１＝匿名ＩＤ２＝匿名ＩＤ３など）。

最後に、ステップ２３０において、クライアントから得られた下部構造を結合して構造２３１（構造′）を形成する。少なくとも１つの下部構造が匿名化モジュール１０８によって変換されているので、結果として生じた構造（構造′）は、元の構造とは異なることは明らかである。結果として生じた構造２３１もまた、サーバ側でインフラストラクチャによりデータベースにおいて使用されることになる。例証を明瞭にするため、インフラストラクチャおよびデータベースを、図では省略している。要求プロセッサ３０２や攻撃検知モジュール６０２などの個々のインフラストラクチャ素子を、他の図で示す。匿名化モジュール１０８による下部構造および／または下部構造のデータの変換は、匿名化モジュール１０８を有するネットワークノード１０６以外の任意の手段によって、下部構造および／または下部構造のデータを逆変換しないようにして実施する。

図３は、特定の場合において、サーバに関連してクライアントの要求３０１を実行するために用いるルーティング方法を示す。ステップ３００において、クライアント側で発生した要求を、変更モジュール１１０によって、匿名化モジュール１０８を有するネットワークノード１０６を含むルートで、クライアント１０２からサーバ１０４に発信する。前記ネットワークノードは、サーバが位置するネットワークとは異なる地域ネットワークに位置し、サーバまたはクライアントと同じイントラネット内にない。特定の例において、要求データ（機密データを含まない）のうちのいくつかを、クライアント側で変更モジュール１１０によって変換してもよく、その変換を匿名化モジュール１０８が逆変換を行うことができないように実施してもよく（図４のステップ３１１）、サーバ１０４だけが逆変換を行うことができる（図４のステップ３２５）。たとえば、クライアント１０２が公開鍵を有し、かつ、サーバ１０４が秘密鍵を有するという、非対称暗号化技術を使用して、前記変換および逆変換を実施してもよい。本明細書においては、特段の指示がない限り、用語「変換」は、フォワード変換を意味する。

次に、ステップ３１０では、匿名化モジュール１０８は、基準、そのような基準の一つは場合によってはＰＤの有無である基準に従って、サーバへ発信することになっている要求を有するデータ構造における下部構造を識別し、識別の結果、ＰＤを含む下部構造（たとえば、図３では、上記の例と同様、下部構造１）と、ＰＤを含まない下部構造（図３では、下部構造２）と、が得られる。ステップ３２０では、匿名化モジュール１０８を用いて、ＰＤを含むデータ下部構造（および／または下部構造におけるデータ）の変換（変換される元の構造からのフォワード変換）を実施し、そして、匿名化モジュール１０８を用いて、ＰＤを含む変換された下部構造を有する、結果として生じた要求データ構造を、サーバに発信する（ステップ３２１）。

受信した要求に応じて、ステップ３３０においてサーバは、要求プロセッサ３０２を使用して、応答３２３を作成する。特定の例において、クライアント１０２が変換したかもしれない要求のデータに関して、サーバ１０４は、まず、逆変換（以後に記載されるような、図４のステップ３２５）を実施する。ＰＤを有する前記例において、要求への応答のデータ構造３２３は、以下の下部構造を含むことになる。（１）匿名化モジュール１０８によって変換された、ＰＤを含む少なくとも１つの下部構造（要求構造から抽出された、下部構造１′）と、ＰＤを含まない少なくとも１つの下部構造（要求への応答の本体または応答のペイロードを含む、下部構造３）。

匿名化モジュール１０８による逆変換（下部構造３′）の可能性なく、ＰＤを含まないデータ（下部構造３）を変換（フォワード変換）してもよい。前記変換は、ステップ３４０で実行される。このデータの逆変換は、クライアントの変更モジュール１１０によって実行されるのみであってもよく（たとえば、サーバが公開鍵を有し、クライアントが秘密鍵を有する非対称暗号化）、ステップ３５０では、結果として生じる、要求への応答のデータ構造３２４を、サーバから匿名化モジュール１０８を有するネットワークノードへ発信する。ステップ３６０において、匿名化モジュール１０８を使用して、ＰＤを含む、要求に対する応答３２４のデータ下部構造（下部構造′１）の逆変換を行う。逆変換は、ステップ３２０で変換されたデータに対して実施する（変換されたデータから、クライアントからの要求に最初に含まれているオリジナルデータへの逆変換）。得られたデータ構造をクライアントにリダイレクトし（ステップ３７０）、ステップ３８０において、クライアントの変更モジュール１１０を用いて、ステップ３４０でサーバによって変換された、ＰＤを含まない、要求への応答のデータ下部構造の逆変換を実施する。その結果、クライアント１０２は、サーバによって変換された、Ｐを含まない、要求への応答のデータ下部構造を含むデータ構造３８１を作成する。

図４は、図３に示した方法の変形例を示すが、下部構造を識別するための変形例のステップ３１０は、匿名化モジュール１０８ではなく、クライアントの変更モジュール１１０によって実行され、続いて、ステップ３１１で下部構造の変換が行われる。図３における変形例と同様、ＰＤを含まない下部構造（下部構造２）を変換する。したがって、匿名化モジュール１０８を有するノードに送信される要求のオリジナルデータ構造ではなく、ステップ３１０および３１１の実行後の変換構造４１２であるという点で、図４におけるステップ３００′は、図３に示した方法の類似ステップ３００とは異なる。したがって、この変形例では、ステップ３２５が追加され、ステップ３２５では、まず、ステップ３１１で変換された下部構造（本例では、ＰＤを含まない下部構造２′）の逆変換を、ステップ３３０を実施する前に実行する。

図５は、クライアントサーバアーキテクチャにおけるデータルーティングの方法の変形例を示す。この変形例では、ステップ２００～２３０は、図２に示す方法のステップと類似し、一方、ステップ３００～３８０は、図３に示す方法のステップと類似する。特定のケースでは、図４のステップ３１１と同様、サーバに直接発信する前の下部構造２を、まず、変換してもよく、その後、ステップ３１１に加えて、ステップ３２５を前記方法の流れ図に追加する。

特定の例では、図３～図５に示す方法の全ての態様において、ステップ３７０で匿名化モジュール１０８を有するノード１０６によってクライアント１０２に発信されたデータ構造は、ＰＤを有するデータ下部構造（本例では下部構造１）を含まない。応答の受信者を決定するために、このステップまでその下部構造を保存する必要があるが、決定後は、特定の例においては、その保存の必要はない。

図６Ａは、図２に示した方法の例示的な操作を示す。クライアント１０２は、攻撃検知モジュール６０２など、サーバ側に位置し、標的攻撃を遠隔検出するためのシステムに、通信可能に接続される。攻撃検知モジュール６０２をフル運転するために、様々な時点で検出された悪意のあるコードを有するファイル（悪意のあるファイル）に関する情報を、クライアント１０２から得て、得られた情報に基づいて統計を構築すること（個人データに関する国の法律に従って、匿名で統計構築を行う必要があることがよくある）が必要となる場合がある。クライアントから受信した情報に基づいて、いくつかの悪意のあるファイルを検出すると、標的攻撃がクライアント上で検出されたという判定がサーバ側でなされる。

検出された悪意のあるファイルに関係する情報をサーバへ送信するために、クライアント１０２は、データ構造６０１を作成する。データ構造６０１は、クライアント識別子（「クライアントＩＤ」）と、検出された悪意のあるファイルが有する検出された悪意のあるファイルに関係する情報（「ＭＤ５」）とを含む。ステップ２００において、変更モジュール１１０は、サーバに発信することになっている、作成した構造６０１を、下部構造に分割し、分割の結果、クライアントＩＤを含む下部構造とファイルのＭＤ５を含む下部構造とを得る。前記下部構造がどの構造に関係するのかを知るために、それらの下部構造に対して、識別子（図では、識別子を構造ＩＤと示す）を割り当てる。ステップ２１０では、クライアントの変更モジュール１１０は、得られた下部構造を、サーバ１０４に送信する。前記送信は、異なるルート（ルートＡおよびルートＢ）によって行われ、ルートのうちの１つ（ルートＡ）は、匿名化モジュール１０８を有するネットワークノード１０６を含む。前記ノード１０６は、サーバが位置するネットワークとは異なる地域ネットワークに位置し、サーバまたはクライアントと同じイントラネット内にない。クライアントＩＤを含む下部構造は、匿名化モジュール１０８を有するノード１０６を通過してサーバ１０４の方へ誘導される（ルートＡ）。ステップ２２０において、匿名化モジュール１０８は、クライアントＩＤの変換を実行するが、その変換において、クライアントＩＤを、ノードで保存し、下部構造におけるクライアントＩＤをトークン匿名ＩＤと交換する（特定の例において、クライアントＩＤを暗号化してもよい）。得た下部構造を、サーバに発信する（ステップ２２１）。最後に、ステップ２３０において、クライアントから受信した下部構造を結合して構造６０３を形成する。少なくとも１つの下部構造が匿名化モジュール１０８によって変換されたので、結果として生じた構造６０３は、元の構造（６０１）とは異なることは明らかである。結果として生じた構造６０３を、サーバ１０４に（またはサーバが属するインフラストラクチャの所定のデータベースに）保存し、サーバがその構造を用いて、構造の入手先であるクライアント１０２についての情報（図では、統計と表示する）をまとめる。ステップ２４０において、まとめた情報は、攻撃検知モジュール６０２によって使用され、攻撃検知モジュール６０２が攻撃を検出すると、ステップ２５０において、攻撃検知モジュール６０２はデータ構造６２３を作成する。データ構造６２３は、匿名ＩＤを有する下部構造と、攻撃に関する情報（図では、攻撃ＩＤと表示する）を含む下部構造とを含む。得られた構造６２３を、攻撃を通知するために、クライアントに向けてアドレス指定することになる。

送付方法の一例を、図６Ｂのステップ３４０～３８０に示す。ステップ３４０～３８０は、図８に示す例のステップと類似する。特定の例においては、攻撃に関する情報を、変換せず、オープン形式で発信してよい。その場合、本例は、ステップ３４０および３８０を欠くことになる。本開示の他の図と同様、図６Ｂに示す態様において、任意の態様および代替態様は、ステップ３７０で得られた応答におけるクライアントＩＤフィールドなど、破線または淡くイタリック体のフォントで描写されている。

図７は、本開示の別の操作例を示す。クライアントデバイス１０２は新しいファイルを検出しており、サーバ１０４を用いて、悪意のあるコードの有無に関して前記ファイルを走査する必要がある。このため、ファイルに関する情報をサーバに発信することが必要であり、本例においては、これは、クライアントが要求データ構造７０１を作成する、ファイルのＭＤ５である。したがって、応答が送付されるサーバに伝達するために、（たとえば、クライアント１０２で実行される）変更モジュール１１０はクライアントＩＤを要求データ構造７０１に挿入し、その結果、要求データ構造７０１がクライアントＩＤおよびファイルＭＤ５を含む。ステップ３００において、変更モジュール１１０は、作成した要求を、サーバに発信する。そのルートには、匿名化モジュール１０８を有するネットワークノード１０６が含まれる。前記ノードは、サーバが位置するネットワークとは異なる地域ネットワークに位置し、サーバまたはクライアントと同じイントラネットにはない。次に、ステップ３１０において、匿名化モジュール１０８は、サーバに送付することになっている構造７０１の下部構造を識別し、識別の結果、クライアントＩＤを含む下部構造とファイルのＭＤ５を含む下部構造とを得る。ステップ３２０において、匿名化モジュール１０８は、クライアントＩＤを変換するが、その変換において、クライアントＩＤを、ノード１０６で保存し、下部構造においてトークン匿名ＩＤと交換する（特定の例において、クライアントＩＤを暗号化してもよい）。変換された下部構造を有する、得られた要求データ構造を、サーバに発信する（ステップ３２１）。受信した要求に対する応答７２３を、サーバ１０４の要求プロセッサ３０２がステップ３３０で作成する。要求プロセッサ３０２は、構造からファイルＭＤ５を抽出し、クライアントでの分析に基づきファイルに悪意があることを示す判定結果、たとえば「ＭＤ５－ＢＡＤ」を出す。要求に対する応答のデータ構造７２３は、以下の下部構造を含む。（１）トークン匿名ＩＤ（または匿名化モジュール１０８によって暗号化されたクライアントＩＤ）を含む少なくとも１つの下部構造と、（２）ファイルの判定結果（ＭＤ５－ＢＡＤ）を含む少なくとも１つの下部構造。

この点において、ステップ３４０では、たとえば公開鍵で判定結果を暗号化する（図では、変換された判定結果を、暗号化判定結果と表示する）ことによって、判定結果を、匿名化モジュール１０８による逆変換の可能性なく、サーバ１０４が変換する。秘密鍵はクライアントによって保持され、また、逆変換は、クライアントの変更モジュール１１０によって実行されるのみであってもよい。ステップ３５０では、要求に対する得られた応答データ構造７２４を、サーバから匿名化モジュール１０８を有するネットワークノード１０６に発信する。ステップ３６０において、匿名化モジュール１０８は、要求に対する応答データ下部構造７２４を逆変換し、前記応答データ下部構造は匿名化モジュール１０８によって匿名化したトークン匿名ＩＤを含む。ここで、トークンの場合、トークンを、以前に保存したクライアントＩＤと交換し、クライアントＩＤがすでに暗号化されていた場合は、復号化する。このように、変換は、ステップ３２０で変換されたデータに関して実行される。得られたデータ構造を、クライアントにリダイレクトし（ステップ３７０）、ステップ３８０において、クライアントの変更モジュール１１０は、ステップ３４０においてサーバが変換した判定結果を逆変換する。本例では、秘密鍵を用いて判定結果を復号化する。特定の例では、匿名ＩＤは、同じクライアントＩＤのためのものであるが、異なる送信では、異なるものとなろう。

図８は、図７に示した例の変形例を示す。この変形例において、下部構造の識別後、ステップ３１０は、匿名化モジュール１０８ではなく、クライアント１０２の変更モジュール１１０によって実施され、その後、下部構造を変換して、公開鍵を用いた暗号化によってファイル情報（ファイルのＭＤ５）を保存する（図では、変換されたファイル情報は、暗号化ＭＤ５と表示する）。この場合、秘密鍵をサーバで保持し、逆変換をサーバのみにおいて実施してもよい。したがって、匿名化モジュール１０８を有するノードに送信されるのは、元の要求構造（たとえば８０１）ではなく、ステップ３１０および３１１の後、変換された構造（データ構造８１２）であるという点で、図８に示す例のステップ３００′は、図７に示した例の類似ステップとは異なる。したがって、ステップ３２５が追加され、ステップ３２５では、ステップ３３０を実施する前に、暗号化されたファイル情報に対して、秘密鍵を用いて復号化することによって逆変換を実施する。

図９は、クライアントサーバアーキテクチャにおけるデータルーティングの例を示す。本例において、ステップ２００～２３０は、図６Ａに示す例のステップと類似しており、一方、ステップ３３０～３８０は、図７に示す例のステップと類似する。特定の例において、ファイル情報をサーバに直接発信する前に、まず、図８の例におけるステップ３１１と同様に変換し、その結果、ステップ３１１に加えて、ステップ３２５が本例に追加される。

クライアントの変更モジュール１１０は、サーバに発信されることになっている構造９０１を捕捉し、確立しているルールに従って、構造９０１を分割し、そして、ルールに従って、これらの下部構造のためのルートを選択する。特定の例において、クライアントデバイス１０２（ソース）が動作している管轄区域における既存の規制および法律を遵守するように構成されている１つ以上の情報技術ポリシーにしたがって、変更モジュール１１０を機能させるルールが確立されている。したがって、そのルールを適用するために、クライアントの変更モジュール１１０は、デバイス（ソース）の位置、形成されたデータ構造９０１におけるデータのタイプ、データ構造の目的（たとえば、送信タイプ：要求または統計。この場合、サーバ側で統計をまとめるためにサーバにデータを発信する）、および、データ受信者の位置を決定する。上記に基づき、ルールに従って、変更モジュール１１０は、データのルート、分割の変形例、および、クライアント側での変換方法を選択する。形式化したルールのうち、１つの変形例を、図１５の表１に示す。表１において、「方法」列は、関連する変形方法が下記のアプローチを含みうることを示す。「方法１」は、クライアント側でのデータ構造の分割を含むことを特徴とする（２参照）。「方法２」は、匿名化モジュール１０８を有するノードでのデータ構造の識別を含むことを特徴とする（図３参照）。「方法３」は、クライアント側でのデータ構造の識別を含むことを特徴とする（図４参照）。

上述したように、ルールは、規制／法律（ＧＤＰＲなど）の要求によって定めてもよい。また、任意の所定の法規範が仮説と処置を含むのと同様に、アルゴリズム言語においても対応するｉｆ－ｔｈｅｎ構成がある。したがって、提供した表１では、下記フォーマットによってルールを形式化する。
ＩＦ［タイプ、ソース、受信者、個人データ（ｙｅｓ／ｎｏ）］、ＴＨＥＮ［方法、匿名ノードの位置、データの変換方法］
表１：ルールフォーマット例

データ構造例について考える。データ構造例において、変更モジュール１１０は、下記のように判定する。すなわち、送信タイプは要求であり、ソース（クライアント）はドイツであり、受信者（サーバ）はロシア連邦であり、かつ、構造は個人データを含む。ルールに従って、変更モジュール１１０は、（図４のステップ３１０と同様。方法２）クライアント側でＰＤを含む下部構造を識別し、下部構造をアメリカを介して発信し、ＰＤを含まない下部構造を公開鍵によって暗号化し（図４のステップ３１１と同様）、匿名化モジュール１０８を用いて暗号化によって個人識別可能な情報を変換する。

図１０は、クライアントサーバアーキテクチャにおける匿名データ交換の変形例のシステム１０００を示す。システム１０００は、記憶モジュール１００４を有するネットワークノード１００２を含むこと以外は、図１に示すシステムと類似する。記憶モジュール１００４は、１つ以上の記憶装置を含んでもよい。記憶モジュール１００４を有するネットワークノード１００２は、サーバが位置する地域ネットワークとは異なる地域ネットワーク１０７に位置し、サーバまたはクライアントと同じイントラネット内にない。特定の例において、記憶モジュール１００４を有するネットワークノード１００２は、匿名化モジュール１０８を有するネットワークノード１０６と同じ地域ネットワーク、たとえば図１０に「地域ネットワークＮ」と示したネットワークなどにあってもよい。記憶モジュール１００４を有するネットワークノード１００２の目的は、クライアント１０２の外部ＩＰアドレスをサーバ１０４からは非表示の状態にし、匿名化モジュール１０８が位置するノード１０６の負担を軽減することであり、その結果、匿名化モジュール１０８を有するノード１０６を通過する通信の量が減少する。記憶モジュール１００４を有するネットワークノード１００２は、クライアントによってサーバと交換するデータのための中間リポジトリである。

図１０に示すシステム１０００は、クライアントとサーバの間のデータ匿名交換に使用され、データ匿名交換の目的は、統計を構築するために使用するデータをクライアントから送信することと、「要求－応答」タイプのクライアント－サーバ相互作用と、を含む。図１１は、クライアントとサーバの間のデータの匿名交換の方法を示し、特定の例において、データ匿名交換は、サーバ側で統計を構築するためにクライアントからデータを得るのに用いられる。ステップ２００、２２１、２２０、および２３０は、図２に示すステップと類似する。ステップ２１０′は、類似ステップとは異なり、ステップ２２２が追加される。図２では、ルートＢは、クライアントから、直接、サーバに至ったが、図１１に記載する態様においては、このルートは分岐し、クライアントが、下部構造２を、サーバではなく、記憶モジュール１００４を有するノードへ発信する。その後、ステップ２２２において、サーバがこの下部構造を受信する。ステップ２２２において、サーバへのこの下部構造の送信のイニシエータは、記憶モジュール１００４を有するノード１００２であっても、サーバ１０４であってもよく、記憶モジュール１００４を有するネットワークノード１００２によって保存された下部構造２の識別子を有する下部構造１′を、ルートＡ経由でイニシエータが受信すると、イニシエータは下部構造２をオンデマンドでダウンロードする。

図１２は、特定の例において、サーバへのクライアントの要求を実行するのに用いるデータ交換の方法を示す。ステップ２００、２２１、２２０、および２３０は、図２に示すステップと類似し、ステップ２１０′および２２２は、図１１に示すステップと類似し、ステップ３３０は、図３に示す同じステップと類似する。したがって、図１１に示すように、サーバへの要求の発信は、統計を構築するための、サーバへのデータの発信と類似する。上述した全てとの相違には、ステップ３３０で作成した応答の発信方法が含まれる。ステップ３３０で作成した、要求に対する応答の構造は、ステップ３３１で少なくとも２つの下部構造に分割される。すなわち、（１）匿名化モジュール１０８によって変換された、ＰＤを含む少なくとも１つの下部構造（たとえば、要求構造から抽出された下部構造１′）、および、（２）ＰＤを含まない少なくとも１つの下部構造（要求への応答の本体または応答のペイロードを含む、下部構造３）である。

ステップ３５０ａにおいて、ＰＤを含む下部構造を、サーバ１０４から、匿名化モジュール１０８を有するノード１０６へ発信し、ステップ３６０において、ノード１０６では、ステップ２２０で実施した変換の逆である変換を実施する。ステップ３５０ｂにおいて、ＰＤを含まない下部構造（図１２の下部構造３）を、記憶モジュール１００４を有するネットワークノード１００２に発信する。次に、ステップ３７１において、ＰＤを含まない下部構造を、クライアントに送信する。クライアントがステップ３７１で下部構造を受信する変形例は、様々であってよい。ステップ３５０ａを実行する場合、その後、ステップ３６０での変換後に、匿名化モジュール１０８を有するノードは、ステップ３７０ａにおいて、応答の準備は整っているという通知（メッセージ）をクライアントへ発信する。その後、クライアントは、記憶モジュール１００４を有するノードにアクセスし、記憶モジュール１００４を有するノードから、ＰＤを含まない下部構造を受信する。ステップ３７０ａにおける通知には、たとえば、ステップ３３１において要求に対する応答構造を分割するプロセスで下部構造３に割り当てられた一意の識別子が含まれていてもよく、この識別子を有する下部構造は、記憶モジュール１００４を有するネットワークノード１００２から、クライアントによって要求されたものである。特定の例においては、ステップ３５０ａ、３６０、および３７０ａを実施しないこともありうる。この場合、ステップ２００において分割のプロセスで下部構造に割り当てられた識別子は、ステップ３３１において割り当てられた識別子と類似しており、ステップ３７１において、クライアントは、対応する識別子を有する下部構造の到着に関して、記憶モジュール１００４を有するノードを定期的にポーリングすることによって、下部構造３を獲得する。ステップ３５０ａ、３６０、および３７０ａを実施しない場合、要求に対する応答の構造は、ＰＤを含まない下部構造（下部構造３）と同じであり、一意の識別子が割り当てられる。別の特定の例において、ステップ３７１では、記憶モジュール１００４を有するノードは、独自に、下部構造３をクライアントへ発信する。この場合、セッション識別子が用いられる。セッション識別子は、ステップ２１０を実施するために、クライアントと記憶モジュール１００４を有するノードの間で確立されものである。この場合、ステップ２００および３３１で下部構造に割り当てられた一意の識別子は互いに等しく、また、セッション識別子とも等しい。この場合、ステップ３５０ｂにおいてノードが下部構造３を受信すると、ノードは、下部構造３の識別子を読取り、同じ識別子を有するセッションのクライアントへ転送する。この変形例を実行するための主要な条件は、要求を実行して応答を発信する際に、クライアントとサーバのデータ交換が終了するまで、クライアントと記憶モジュール１００４を有するノードとの間のセッションを保持することである。

特定の例において、図１２で説明した仕組みは、非同期モードで機能させてもよい。この場合、ステップ２３０を実施せずに、ステップ３３０を実施し、下部構造２のデータを使用し、ステップ３３１を省略して、得た下部構造３を記憶モジュール１００４を有するノードに発信する（ステップ３５０ｂ）。ステップ３３０とは関係なく、ステップ２３０を実施することになる。そのようなモードによってサーバの反応速度は増加する。ＣＤを含まない下部構造に含まれているデータのみを要求の処理に必要とする場合に、前記モードを用いる。そのような場合、図１２ａで示す例と同様、下部構造の結合（ステップ２３０）は、統計を構築するためにのみ必要とされる。

図１３は、クライアント側で検出したファイルに対する判定結果（危険／悪意がある、または、安全である）をサーバから得るために、図１２に例証した方法を使用する例を示す。検出したファイルに関する情報（本例においては、ファイルに関する情報はファイルのＭＤ５である）をサーバへ送信するために、クライアントＩＤと検出したファイルのＭＤ５とを含むデータ構造を作成する。ステップ２００において、変更モジュール１１０は、サーバへ送信されることになっている作成した構造を、下部構造に分割し、その分割の結果、クライアントＩＤを含む下部構造と、ファイルのＭＤ５を含む下部構造とを得る。下部構造が関係する構造を知るために、下部構造に識別子（図では、識別子を構造ＩＤと表示する）を割り当てる。ステップ２１０において、クライアントの変更モジュール１１０は、得た下部構造を発信する。前記発信は、異なるルート（ルートＡおよびルートＢ）によって、異なる受信者に対して実施される。ルートＡによって、下部構造をサーバに発信する。ルートＡは、匿名化モジュール１０８を有するネットワークノードを含む。前記ノードは、サーバが位置するネットワークとは異なる地域ネットワークに位置し、サーバまたはクライアントと同じイントラネット内にない。クライアントＩＤを含む下部構造を、匿名化モジュール１０８を有するノードを介して（ルートＡ）、サーバへ送信する。ルートＢによって、下部構造を、記憶モジュール１００４を有するネットワークノード１００２に発信する。前記ノードは、サーバが位置するネットワークとは異なる地域ネットワークに位置し、サーバまたはクライアントと同じイントラネット内にない。ファイルのＭＤ５を含む下部構造を、記憶モジュール１００４を有するネットワークノード１００２へ送信する（ルートＢ）。ステップ２２０において、匿名化モジュール１０８を使用して、クライアントＩＤの変換を実行する。前記変換において、クライアントＩＤをノードで保存し、下部構造におけるクライアントＩＤをトークン匿名ＩＤに置き換える（特定の例において、クライアントＩＤを暗号化してもよい）。得た下部構造を、サーバへ発信する（ステップ２２１）。ステップ２２２において、ファイルのＭＤ５を有する下部構造をサーバが受信することになる。同期モードで前記方法を実行する場合、ステップ２３０において、ステップ２２１およびステップ２２２でサーバが得た下部構造を結合し、応答をステップ３３０で処理することになる。本例において、悪意のあるファイルと安全なファイルのデータベースによって、ＭＤ５を走査し、走査の結果により、判定結果を作成し、要求に対する応答を作成する（本例においては、悪意があると証明されたファイル。ＭＤ５－ＢＡＤ）。要求に対して作成した応答を、ステップ３３１において、２つの下部構造に分割し、分割の結果、クライアントＩＤを含む下部構造と、判定結果（ＭＤ５）を含む下部構造とを得る。下部構造が関係する構造を知るために、前記下部構造それぞれに、識別子（図では、構造ＩＤと表示する）を割り当てる。特定の例において、識別子は、ステップ２００において下部構造に割り当てられた識別子と同じであってもよい。ステップ３５０ｂにおいて、判定結果を有する下部構造を、記憶モジュール１００４を有するネットワークノード１００２に発信し、ステップ３７１において、下部構造を、クライアントへ転送するか（構造ＩＤが、ステップ２１０で確立したノードとクライアントとのセッションＩＤに相当する場合）、または、必要になるまで保存する。ステップ３５０ａ、３６０、および３７０ａを実施した結果、受信した匿名化モジュール１０８を有するノードから、クライアントの通知を受信した場合に、上記下部構造はクライアントによって必要とされるであろう。別の態様において、ノードにおける応答下部構造の有無に関して（この場合、ステップ２００および３３１で下部構造に割り当てられた構造ＩＤは同じ）、クライアントは、記憶モジュール１００４を有するネットワークノード１００２を、絶えずポーリングしてもよい。ステップ３７２において、クライアントは応答を処理する。前記方法を非同期モードで実行する場合（図１３ａ）、ステップ２３０およびステップ３３０を、それぞれ別個に実施する。ステップ３３０における構造ＩＤは、変化することがなく、ステップ２００における構造ＩＤと同じであり、特定の例においては、クライアントと記憶モジュール１００４を有するノードの間の、ステップ２１０のセッションＩＤと等しい。この文脈においては、ステップ３７１においても、下部構造を送信する。

本開示の態様によって、クライアントからのデータを分散化することが可能となり、それによって、クライアントであるデバイスのユーザに匿名性が付与される。クライアントがサーバと交換するデータを、サーバにアクセスする際にクライアントと関連付けることはできない。サーバにのみ知られているデータもあれば、匿名化モジュール１０８を有するネットワークノードにのみ知られているデータもある。また、これらのシステムコンポーネントに同時アクセスすることなく、データの匿名性を解除することはできず、一方、地理的な点と領域的管轄権の両方の点で異なる、様々な地域ネットワーク間にシステムコンポーネントを分配することによって、政府機構によるものを含む、コンポーネントへの同時アクセスが不可能になることが確実となる。また、記憶モジュール１００４を有するノードを利用する場合、本開示の態様によって、クライアントの外部ＩＰアドレスをサーバからは非表示にすることが可能となり（サーバは、下部構造をクライアントから直接受信するのではなく、代わりに、記憶モジュール１００４を有するノードを介して受信する）、匿名化モジュール１０８を有するノードへの負担が軽減される。

あるケースでは、データ構造を２つのデータ下部構造に分割した後、そのうちの１つは機密データを含み、その所与の下部構造をさらに分割することが必要となる。このような分割は、ある特定の例では、たとえばＩＰアドレスとタイムスタンプが組み合わされたときに個人データとなるなど、データが一緒に見つかった時にのみ重大である場合に実施される。このような関連性が見つかった下部構造を、ＩＰアドレスを有する下部構造とタイムスタンプを有する下部構造とに分割することで、データはその個人的属性を失い、また、これらの構造を結合させることができないノードによって、重大データ（所与のケースでは、個人データ）の処理に関する法律による規制なしに、そのデータを処理してもよい。しかし、そのような場合、サーバへデータを送信する機構は、より複雑になる。

図１４は、クライアントサーバアーキテクチャで重大データを送信する方法を示す。前記方法は、特定の例において、統計構築のためにクライアントからデータを得るのに使用される。他の図に示す個々のインフラストラクチャ素子（たとえば、要求プロセッサ、攻撃検出モジュール、データベース）は、明確化のためにのみ、図１４から省略されていることは理解されよう。

ステップ２００において、（たとえば、クライアントデバイス１０２上で実行する）変更モジュール１１０は、基準にしたがって、サーバ１０４に送信することとなっている構造を分割する。前記基準の１つは、構造における重大データ（たとえば、個人データを含む、機密データ）の有無であってもよい。分割の結果、重大データを含む第１のデータ下部構造（図１４の例では下部構造１）と、重大データを含まない第２のデータ下部構造（図１４では下部構造２に相当する）とを得る。ステップ２０１において、変更モジュール１１０は、重大データを含んでいる下部構造を、少なくとも２つの下部構造（図１４の例では、下部構造３および下部構造４）にさらに分割する。ステップ２１０において、変更モジュール１１０は、下部構造２をルートＢによってサーバへ送信する。ステップ２１１において、重大データを含む下部構造を分割する際に得られた下部構造を、ルートＢとは異なる別のルートによって、連続して送付する。このとき、前記代替ルート（図１４の例ではルートＡ）は、変換モジュールを有するネットワークノードを含み、特定の例において、このネットワークノードは、サーバが位置するネットワークとは異なる地域ネットワークに位置し、サーバまたはクライアントと同じイントラネット内にない。

次に、ステップ２２０において、変換モジュールを有するノード１０６を通過する下部構造を、そのモジュールによって変換し、変換された状態で、サーバへと前方送信する（ステップ２２３）。一般的な場合、同じクライアントからの下部構造は、異なる時点で、異なるように変換される（たとえば、クライアントＩＤ→匿名ＩＤ１≠匿名ＩＤ２≠匿名ＩＤ３など）。これは全ての例に当てはまるが、特定の例において、あるセキュリティシステムが、同じクライアントからの下部構造に対して、特定のクライアントに関する情報を収集する（統計を構築する）ことが必要である場合、前記変換は同じとなる（たとえば、クライアントＩＤ→匿名ＩＤ１＝匿名ＩＤ２＝匿名ＩＤ３など）。最後に、ステップ２３０において、クライアントから得られた下部構造を結合してデータ構造（構造′）を形成する。最終データ構造（構造′）は、元のデータ構造とは明らかに異なる。これは、少なくとも２つの下部構造が匿名化モジュール１０８によって変換されているからである。データベースにおける最終構造は、たとえばプロフィールを構築するために、サーバ側でインフラストラクチャモジュールによって使用されることになる。変換モジュールによる下部構造および／または下部構造のデータの変換は、変換モジュールを有するネットワークノードのモジュール以外の任意のモジュールによって下部構造および／または下部構造のデータが逆変換される可能性を排除する方法によって実施される。

図１４ａは、重大データを送信する方法の実施を示す。クライアントのＩＰアドレスと、タイムスタンプ（ＴｉｍｅＳｔａｍｐ）と、あるファイルのＭＤ５とを含む構造を、サーバに送信するために、クライアント側で作成する。ステップ２００において、変更モジュール１１０は、サーバに送信することになっている構造を分割し、分割の結果、ＩＰアドレスとタイムスタンプとを含む下部構造と、ファイルのＭＤ５を含む下部構造とを得る。ステップ２０１において、変更モジュール１１０は、さらに、ＩＰアドレスとタイムスタンプとを含む下部構造を、２つの下部構造（図１４ａでは、ＩＰアドレスを有する下部構造、および、タイムスタンプを有する下部構造）に分割する。ＭＤ５を含むどの下部構造が、ＩＰ下部構造およびタイムスタンプ下部構造に関係があるか知るために、ＩＰ下部構造およびタイムスタンプ下部構造に、識別子（図では、識別子は、構造ＩＤ１、および構造ＩＤ２と表示する）を割り当て、これらの同じ識別子は、ＭＤ５下部構造に置かれる。ステップ２１０において、変更モジュールは、ルートＢによって、ＭＤ５を有する下部構造をサーバへ送信する。ステップ２１１では、変更モジュールは、ルートＢとは異なる別のルートによって、ＩＰアドレスを有する下部構造とタイムスタンプを有する下部構造とを連続して送付する。このとき、前記代替ルート（図１４ａの例では、ルートＡ）は、変換モジュール１０８を有するネットワークノード１０６を含み、特定の例において、変換モジュールを有する前記ノードは、サーバが位置するネットワークとは異なる地域ネットワークに位置し、サーバまたはクライアントと同じイントラネット内にない。その後、ステップ２２０において、ＩＰアドレスを有する下部構造およびタイムスタンプを有する下部構造を変換し、変換された形式で、サーバへと前方送信する（ステップ２２３）。下部構造を受信するときに、前記変換を実施する。最後に、ステップ２３０では、クライアントから受信した下部構造を結合して、変換されたＩＰアドレスと、変換されたタイムスタンプと、ＭＤ５とを含む構造を形成する。

変更モジュール、匿名化モジュール、結合モジュール、要求プロセッサ、攻撃検知モジュール、および記憶モジュールは、本開示において、実世界の機器、システム、コンポーネント、コンポーネント群を意味し、これらは、特定用途向け集積回路（Application Specific Integrated Circuit：ＡＳＩＣ）もしくはフィールドプログラマブルゲートアレイ（Field-Programmable Gate Array：ＦＰＧＡ）などのハードウェアを用いて実現されるか、または、たとえば、マイクロプロセッサシステムとプログラム命令一式などソフトウェアとハードウェアの組み合わせの形で実現され、ニューロモーフィックチップ（ニューロシナプティックチップ）をベースにしている。前記手段の機能は、ハードウェア単独で実現してもよく、また、ソフトウェアによって実現する機能もあれば、ハードウェアによって実現する機能もあるという組み合わせの形で実現してもよい。様々な態様において、前記モジュールを、（図１６に示すプロセッサなど）コンピュータのプロセッサ上で実行してもよい。前記データベースは、任意の可能な方法によって実現してもよく、前記データベースは、ローカルおよびリモート両方の、１つの物理媒体または様々な物理媒体上のうち、いずれに含まれてもよい。

図１４は、コンピュータシステム２０を示すブロック図であり、クライアントサーバアーキテクチャにおいて重大データを送信するシステムおよび方法の態様を、例示的な態様にしたがって実施してもよい。なお、コンピュータシステム２０は、たとえば、上述した、クライアント１０２、サーバ１０４、ならびに、ネットワークノード１０６および１００２に相当しうる。コンピュータシステム２０は、複数のコンピューティングデバイスの形態、または単一のコンピューティングデバイスの形態でもありうる。たとえば、デスクトップコンピュータ、ノート型コンピュータ、ラップトップコンピュータ、モバイルコンピューティングデバイス、スマートフォン、タブレットコンピュータ、サーバ、メインフレーム、組み込みデバイス、および、他の形式のコンピューティングデバイスが挙げられる。

上述したように、コンピュータシステム２０は、中央処理装置（Central Processing Unit：ＣＰＵ）２１と、システムメモリ２２と、中央処理装置２１に関連するメモリを含む様々なシステムコンポーネントを接続するシステムバス２３と、を含む。システムバス２３は、バスメモリまたはバスメモリコントローラと、周辺バスと、他のバス方式と相互作用可能なローカルバスと、を含んでもよい。前記バスとして、たとえば、ＰＣＩ、ＩＳＡ、ＰＣＩ Ｅｘｐｒｅｓｓ、ＨｙｐｅｒＴｒａｎｓｐｏｒｔ（登録商標）、ＩｎｆｉｎｉＢａｎｄ（登録商標）、Ｓｅｒｉａｌ ＡＴＡ、 Ｉ^２Ｃ、および他の好適な相互接続が挙げられる。中央処理装置２１（プロセッサとも称する）は、１つまたは複数のコアを有する、１つまたは複数のプロセッサのセットを含みうる。プロセッサ２１は、本開示の技術を実行する、コンピュータ実行可能なコードを１つ以上実行してもよい。システムメモリ２２は、本明細書で使用するデータおよび／またはプロセッサ２１によって実行可能なコンピュータプログラムを保存するための、任意のメモリであってもよい。システムメモリ２２は、ランダムアクセスメモリ（Random Access Memory：ＲＡＭ）２５などの揮発性メモリ、読み出し専用メモリ（Read Only Memory：ＲＯＭ）２４やフラッシュメモリなどの不揮発性メモリ、またはこれらの組み合わせを含んでもよい。バイオス（Basic Input Output System：ＢＩＯＳ）２６が、ＲＯＭ２４を用いてオペレーティングシステムをロードする時の手順など、コンピュータシステム２０の素子間における情報送信のための基本的な手順を保存してもよい。

コンピュータシステム２０は、１つ以上の記憶装置、たとえば、１つ以上の着脱可能な記憶装置２７、１つ以上の着脱不可能な記憶装置２８、またはそれらの組み合わせを含んでもよい。１つ以上の着脱可能な記憶装置２７および着脱不可能な記憶装置２８は、ストレージインターフェース３２を介して、システムバス２３に接続されている。一態様において、記憶装置および対応するコンピュータ可読記憶媒体は、コンピュータシステム２０の、コンピュータ命令、データ構造、プログラムモジュール、および他のデータを保存するための電源非依存のモジュールである。システムメモリ２２、着脱可能な記憶装置２７、および着脱不可能な記憶装置２８は、様々なコンピュータ可読記憶媒体を使用してもよい。コンピュータ可読記憶媒体として、たとえば、キャッシュ、スタティックラム（Static Random Access Memory：ＳＲＡＭ）、ダイナミックラム（Dynamic Random Access Memory：ＤＲＡＭ）、零点コンデンサＲＡＭ、ツイントランジスタＲＡＭ、ｅＤＲＡＭ（Enhanced Dynamic Random Access Memory）、ＥＤＯ ＲＡＭ（Extended Data Output Random Access Memory）、ＤＤＲ ＲＡＭ（Double Data Rate Random Access Memory）、ＥＥＰＲＯＭ（Electrically Erasable Programmable Read-Only Memory）、ＮＲＡＭ（Nanotube Random Access Memory）、ＲＲＡＭ（Resistive Random Access Memory）、ＳＯＮＯＳ（Silicon Oxide Nitride Oxide Semiconductor）型メモリ、またはＰＲＡＭ（Phase-change Random Access Memory）などの機械メモリと、フラッシュメモリ、またはソリッドステートドライブ（ＳＳＤ）もしくはフラッシュドライブにおける他のメモリ技術と、磁気カセット、磁気テープ、および、ハードディスクドライブまたはフロッピーディスクなどにおける磁気ディスク記憶装置と、コンパクトディスク（ＣＤ－ＲＯＭ）またはディジタル多用途ディスク（Digital Versatile Disk：ＤＶＤ）における光学記憶装置と、所望データを保存するために使用してもよく、コンピュータシステム２０によってアクセス可能な他の媒体とが挙げられる。

コンピュータシステム２０の、システムメモリ２２、着脱可能な記憶装置２７、および着脱不可能な記憶装置２８を使用して、オペレーティングシステム３５、付加的プログラムアプリケーション３７、他のプログラムモジュール３８、およびプログラムデータ３９を保存してもよい。コンピュータシステム２０は、キーボード、マウス、スタイラス、ゲームコントローラ、音声入力装置、タッチ入力装置などの入力装置４０、または、プリンタもしくはスキャナーなどの他の周辺機器から、シリアルポート、パラレルポート、ユニバーサルシリアルバス（Universal Serial Bus：ＵＳＢ）、他の周辺インターフェースなどの１つ以上のＩ／Ｏポートを介してデータを伝達するための周辺インターフェース４６を含んでもよい。１つ以上のモニタ、プロジェクタ、または統合ディスプレイなどの表示装置４７もまた、ビデオアダプタなどの出力インターフェース４８を介してシステムバス２３に接続してもよい。表示装置４７に加えて、コンピュータシステム２０は、スピーカおよび他の視聴覚装置など、他の周辺出力装置（図示せず）を備えていてもよい。

コンピュータシステム２０は、１つ以上のリモートコンピュータ４９とのネットワーク接続を用いて、ネットワーク環境で操作してもよい。リモートコンピュータ（単数または複数）４９は、コンピュータシステム２０の特徴を説明した際の上記素子のほとんどまたは全てを含む、ローカルコンピュータワークステーションまたはサーバであってもよい。他のデバイスは、ルータ、ネットワークステーション、ピア接続の機器、または他のネットワークノードなど、コンピュータネットワーク内にあってもよいが、これらに限定されない。コンピュータシステム２０は、ローカルエリアコンピュータネットワーク（Local-Area Computer Network：ＬＡＮ）５０、ワイドエリアコンピュータネットワーク（Wide-Area Computer Network：ＷＡＮ）、イントラネット、およびインターネットなどの１つ以上のネットワークを介してリモートコンピュータ４９と通信するための、１つ以上のネットワークインターフェース５１またはネットワークアダプタを含んでもよい。ネットワークインターフェース５１として、たとえば、イーサネットインターフェース、フレームリレーインターフェース、ＳＯＮＥＴインターフェース、および無線インターフェースが挙げられる。

本開示の態様は、システム、方法、および／またはコンピュータプログラム製品であってもよい。コンピュータプログラム製品は、本開示の態様をプロセッサに実行させるためのコンピュータ可読プログラム命令を有するコンピュータ可読記憶媒体（単数または複数）を含んでもよい。

コンピュータ可読記憶媒体は、コンピューティングシステム２０などコンピューティングデバイスのプロセッサがアクセス可能な、命令またはデータ構造の形式のプログラムコードを保持かつ保存することができる有形の装置であり得る。コンピュータ可読記憶媒体は、電子記憶装置、磁気記憶装置、光学記憶装置、電磁気記憶装置、半導体記憶装置、またはこれらの好適な任意の組合せであってもよい。たとえば、そのようなコンピュータ可読記憶媒体は、ＲＡＭ、ＲＯＭ、ＥＥＰＲＯＭ、ＣＤ－ＲＯＭ（Portable Compact Disc Read-Only Memory）、ＤＶＤ、フラッシュメモリ、ハードディスク、ポータブルコンピュータディスケット、メモリスティック、フロッピーディスク、またはさらに、命令を記録する溝における穿孔カードもしくは浮出し構造などの機械的符号化デバイスまでも含みうる。本明細書において、コンピュータ可読記憶媒体は、それ自体が一時的な信号、たとえば、電波もしくは他の自由に伝播する電磁波、導波管か伝送媒体を介して伝播する電磁波、またはワイヤを介して送信される電気信号などであるように解釈することはできない。

本明細書に記載したコンピュータ可読プログラム命令はそれぞれ、コンピュータ可読記憶媒体から、対応するコンピューティングデバイスに、または外部コンピュータもしくは外部記憶装置に、ネットワーク、たとえば、インターネット、ローカルエリアネットワーク、ワイドエリアネットワーク、および／または無線ネットワークを介して、ダウンロードすることができる。前記ネットワークは、銅伝送ケーブル、光伝送ファイバ、無線送信、ルータ、ファイアウォール、スイッチ、ゲートウェイコンピュータ、および／またはエッジサーバを含んでもよい。各コンピューティングデバイスのネットワークインターフェースは、前記ネットワークから、コンピュータ可読プログラム命令を受信し、対応するそれぞれのコンピューティングデバイス内のコンピュータ可読記憶媒体に保存するためのコンピュータ可読プログラム命令を転送する。

本開示の操作を実行するためのコンピュータ可読プログラム命令は、アセンブラ命令、命令セットアーキテクチャ（Instruction Set Architecture：ＩＳＡ）命令、マシン命令、マシン依存命令、マイクロコード、ファームウェア命令、状態設定データ、または、オブジェクト指向プログラミング言語および従来の手続型プログラミング言語を含む、１つ以上のプログラミング言語の任意の組み合わせで記述されたソースコードもしくはオブジェクトコードのいずれかであってもよい。コンピュータ可読プログラム命令は、独立型のソフトウェアパッケージとして、全てをユーザコンピュータ上で実行してもよく、部分的にユーザコンピュータ上で実行してもよく、また、部分的にユーザコンピュータ上で、かつ部分的にリモートコンピュータ上で実行してもよく、または、全てをリモートコンピュータまたはサーバ上で実行してもよい。後者のシナリオにおいては、リモートコンピュータは、ＬＡＮもしくはＷＡＮを含む任意のタイプのネットワークを介してユーザコンピュータに接続してもよく、または、外部コンピュータに（たとえば、インターネットを介して）接続してもよい。いくつかの実施形態において、たとえば、プログラマブルロジック回路、書き換え可能ゲートアレイ（Field Programmable Gate Array：ＦＰＧＡ）、またはプログラマブルロジックアレイ（Programmable Logic Array：ＰＬＡ）を含む電子回路が、本開示の態様を実施するために、電子回路を個別化するためのコンピュータ可読プログラム命令の状態情報を利用して、コンピュータ可読プログラム命令を実行してもよい。

様々な実施形態において、本開示に記載したシステムおよび方法を、モジュールとして実装することができる。本明細書において、用語「モジュール」は、実世界の機器、コンポーネント、または、コンポーネント配置であり、これらは、たとえば、ＡＳＩＣもしくはＦＰＧＡなどによって、ハードウェアを用いて実装されるか、または、たとえば、モジュールの機能を実行するマイクロプロセッサシステムおよび命令セットなど、ハードウェアとソフトウェアの組み合わせとして実装される。上記ハードウェアやハードウェアとソフトウェアの上記組み合わせは、（実行中に）マイクロプロセッサシステムを特定目的の機器に変換する。モジュールは、ハードウェア単体により促進される機能と、ハードウェアとソフトウェアの組み合わせによって促進される別の機能という２つの組み合わせとして実装されてもよい。ある実装において、モジュールの少なくとも一部、場合によっては、モジュールの全てを、コンピュータシステムのプロセッサ（図１６においてより詳細に記載したものなど）上で実行してもよい。したがって、各モジュールを様々な好適な構成で実現してもよく、本明細書に例示した特定の実装に限定されるものではない。

なお、態様の通常の機能のうちの全てを本明細書において開示しているわけではない。本開示のいずれの実際の実装を開発する場合において、開発者の具体的な目標を達成するためには多くの実装に固有の決定が必要であり、これらの具体的な目標は実装および開発者ごとに異なることに留意されたい。そのような開発努力は、複雑で時間を要するものであるが、本開示の利益を享受し得る当業者にとってはエンジニアリングの日常の業務であると理解されたい。

さらに、本明細書で使用される用語または表現は、説明のためであり、限定するものではない。したがって、本明細書の用語また表現は、関連技術の熟練の知識と組み合わせて、本明細書に示される教示および指針に照らして当業者に解釈されるものであると理解されたい。さらに、明示的な記載がない限り、本明細書または特許請求の範囲におけるいずれの用語に対しても、珍しいまたは特別な意味を帰することは意図されていない。

本明細書において開示する様々な態様は、説明を介して本明細書で言及される既知のモジュールの、現在および将来の既知の等価物を包含する。さらに、態様および適用を示し、説明しているが、本開示の利益を享受する当業者には、本明細書に開示された発明の概念から逸脱することなく、上述よりも多くの変更が可能であることは明らかであろう。

Claims (18)

1. クライアントデバイスとサーバとの間において重大データを送信するためのコンピュータ実装方法であって、
   前記サーバへ送信されることになっている第１のデータ構造を、少なくとも、重大データを含む第１のデータ下部構造と、重大データを含まない第２のデータ下部構造とに、前記クライアントデバイスで分割する工程であって、前記重大データは、前記第１のデータ下部構造に一緒に保存されており、前記クライアントデバイスが位置する管轄区域の法律によって、収集、保存、アクセス、普及、および処理に関して規制されている複数の個人データの項目および関連するデータの項目を含む、工程と、
   データの重大性が、少なくとも部分的に、前記第１のデータ下部構造に一緒に保存されている少なくとも２つの個人データの項目および関連するデータの項目を見つけることに基づいている場合、前記重大データを含む前記第１のデータ下部構造を、少なくとも、第３のデータ下部構造と第４のデータ下部構造とに分割し、少なくとも２つの前記個人データの項目のうちの１つを前記第３のデータ下部構造に置き、少なくとも２つの前記個人データの項目のうちのもう１つを前記第４のデータ下部構造に置く工程と、
   少なくとも前記第３のデータ下部構造と前記第４のデータ下部構造を、再結合することなく、変換を実行するように構成されている匿名化モジュールを有するネットワークノードを介して、前記サーバに送信する工程と、
   重大データを含まない前記第２のデータ下部構造を、前記匿名化モジュールを有する前記ネットワークノードをバイパスして、前記サーバに送信する工程と、
   を含み、
   前記第２のデータ下部構造、前記第３のデータ下部構造および前記第４のデータ下部構造を得た後に、前記サーバで前記第２のデータ下部構造、前記第３のデータ下部構造および前記第４のデータ下部構造を結合して第２のデータ構造を形成し、かつ、
   変更モジュールによって、データの逆変換の可能性なく、前記クライアントデバイスにおいて、前記第３のデータ下部構造および前記第４のデータ下部構造の第１次変換を実施し、前記変更モジュールは、前記サーバまたは前記クライアントデバイスにおいて、逆変換の可能性なく、前記ネットワークノードを通過する前記第３のデータ下部構造および前記第４のデータ下部構造の第２次変換を実施する、方法。
2. 前記匿名化モジュールを有する前記ネットワークノードは、前記サーバが位置する地域ネットワークとは異なる地域ネットワークに位置し、前記サーバまたは前記クライアントデバイスと同じイントラネット内にない、請求項１に記載の方法。
3. 前記匿名化モジュールを有する前記ネットワークノードの前記地域ネットワークと前記サーバの前記地域ネットワークとは、異なる管轄区域に位置する、請求項２に記載の方法。
4. 前記ネットワークノードの前記匿名化モジュールは、前記第３のデータ下部構造および前記第４のデータ下部構造が前記ネットワークノードを通過する際に、各データ下部構造を連続して変換するように構成されている、請求項１に記載の方法。
5. 前記第３のデータ下部構造および前記第４のデータ下部構造のオリジナルコピーおよび変換された前記第３のデータ下部構造および前記第４のデータ下部構造を、前記変換の後に前記ネットワークノードには保存しない、請求項４に記載の方法。
6. 前記匿名化モジュールは、暗号化アルゴリズムを使用して各データ下部構造を変換するように構成されている匿名化モジュールである、請求項１に記載の方法。
7. データを、秘密暗号鍵および公開暗号鍵を使用する非対称暗号化を用いて前記変更モジュールによって変換し、前記非対称暗号化において、前記公開暗号鍵を前記クライアントデバイスに送信し、前記秘密暗号鍵を前記サーバに保存する、請求項１に記載の方法。
8. クライアントデバイスとサーバとの間において重大データを送信するためのシステムであって、
   第１のデータ構造を保存するように構成されたメモリデバイスと、
   前記メモリデバイスと通信可能に接続されるハードウェアプロセッサと、
   を含み、
   前記ハードウェアプロセッサは、
   前記サーバへ送信されることになっている第１のデータ構造を、少なくとも、重大データを含む第１のデータ下部構造と、重大データを含まない第２のデータ下部構造とに分割し、前記重大データは、前記第１のデータ下部構造に一緒に保存されており、前記クライアントデバイスが位置する管轄区域の法律によって、収集、保存、アクセス、普及、および処理に関して規制されている複数の個人データの項目および関連するデータの項目を含み、
   データの重大性が、少なくとも部分的に、前記第１のデータ下部構造に一緒に保存されている少なくとも２つの個人データの項目および関連するデータの項目を見つけることに基づいている場合、前記重大データを含む前記第１のデータ下部構造を、少なくとも、第３のデータ下部構造と第４のデータ下部構造とに分割し、少なくとも２つの前記個人データの項目のうちの１つを前記第３のデータ下部構造に置き、少なくとも２つの前記個人データの項目のうちのもう１つを前記第４のデータ下部構造に置き、
   少なくとも前記第３のデータ下部構造と前記第４のデータ下部構造を、再結合することなく、変換を実行するように構成されている匿名化モジュールを有するネットワークノードを介して、前記サーバに送信し、かつ、
   重大データを含まない前記第２のデータ下部構造を、前記匿名化モジュールを有する前記ネットワークノードをバイパスして、前記サーバに送信する、
   ように構成されており、
   前記第２のデータ下部構造、前記第３のデータ下部構造および前記第４のデータ下部構造を得た後に、前記サーバで前記第２のデータ下部構造、前記第３のデータ下部構造および前記第４のデータ下部構造が結合されて第２のデータ構造が形成され、かつ、
   変更モジュールによって、データの逆変換の可能性なく、前記クライアントデバイスにおいて前記第３のデータ下部構造および前記第４のデータ下部構造の第１次変換を実施し、前記変更モジュールは、前記サーバまたは前記クライアントデバイスにおいて、逆変換の可能性なく、前記ネットワークノードを通過する前記第３のデータ下部構造および前記第４のデータ下部構造の第２次変換を実施する、
   システム。
9. 前記匿名化モジュールを有する前記ネットワークノードは、前記サーバが位置する地域ネットワークとは異なる地域ネットワークに位置し、前記サーバまたは前記クライアントデバイスと同じイントラネット内にない、請求項８に記載のシステム。
10. 前記匿名化モジュールを有する前記ネットワークノードの前記地域ネットワークと前記サーバの前記地域ネットワークとは、異なる管轄区域に位置する、請求項９に記載のシステム。
11. 前記ネットワークノードの前記匿名化モジュールは、前記第３のデータ下部構造および前記第４のデータ下部構造が前記ネットワークノードを通過する際に、各データ下部構造を連続して変換するように構成されている、請求項８に記載のシステム。
12. 前記第３のデータ下部構造および前記第４のデータ下部構造のオリジナルコピーおよび変換された前記第３のデータ下部構造および前記第４のデータ下部構造を、前記変換の後に前記ネットワークノードには保存しない、請求項１１に記載のシステム。
13. 前記匿名化モジュールは、暗号化アルゴリズムを使用してデータ下部構造を変換するように構成されている匿名化モジュールである、請求項８に記載のシステム。
14. データを、秘密暗号鍵および公開暗号鍵を使用する非対称暗号化を用いて前記変更モジュールによって変換し、前記非対称暗号化において、前記公開暗号鍵を前記クライアントデバイスに送信し、前記秘密暗号鍵を前記サーバに保存する、請求項８に記載のシステム。
15. クライアントデバイスとサーバとの間において重大データを送信するためのコンピュータ実行可能命令を含む非一時的なコンピュータ可読媒体であって、前記コンピュータ実行可能命令は、
    前記クライアントデバイスにおいて、前記サーバへ送信されることになっている第１のデータ構造を、少なくとも、重大データを含む第１のデータ下部構造と、重大データを含まない第２のデータ下部構造とに分割し、前記重大データは、前記第１のデータ下部構造に一緒に保存されており、前記クライアントデバイスが位置する管轄区域の法律によって、収集、保存、アクセス、普及、および処理に関して規制されている複数の個人データの項目および関連するデータの項目を含み、
    データの重大性が、少なくとも部分的に、前記第１のデータ下部構造に一緒に保存されている少なくとも２つの個人データの項目および関連するデータの項目を見つけることに基づいている場合、前記重大データを含む前記第１のデータ下部構造を、少なくとも、第３のデータ下部構造と第４のデータ下部構造とに分割し、少なくとも２つの前記個人データの項目のうちの１つを前記第３のデータ下部構造に置き、少なくとも２つの前記個人データの項目のうちのもう１つを前記第４のデータ下部構造に置き、
    少なくとも前記第３のデータ下部構造と前記第４のデータ下部構造を、再結合することなく、変換を実行するように構成されている匿名化モジュールを有するネットワークノードを介して、前記サーバに送信し、かつ、
    重大データを含まない前記第２のデータ下部構造を、前記匿名化モジュールを有する前記ネットワークノードをバイパスして、前記サーバに送信する、
    ための命令を含み、
    前記第２のデータ下部構造、前記第３のデータ下部構造および前記第４のデータ下部構造を得た後に、前記サーバで前記第２のデータ下部構造、前記第３のデータ下部構造および前記第４のデータ下部構造を結合して第２のデータ構造を形成し、かつ、
    変更モジュールによって、データの逆変換の可能性なく、前記クライアントデバイスにおいて前記第３のデータ下部構造および前記第４のデータ下部構造の第１次変換を実施し、前記変更モジュールは、前記サーバまたは前記クライアントデバイスにおいて、逆変換の可能性なく、前記ネットワークノードを通過する前記第３のデータ下部構造および前記第４のデータ下部構造の第２次変換を実施する、
    非一時的なコンピュータ可読媒体。
16. 前記匿名化モジュールを有する前記ネットワークノードは、前記サーバが位置する地域ネットワークとは異なる地域ネットワークに位置し、前記サーバまたは前記クライアントデバイスと同じイントラネット内になく、前記匿名化モジュールを有する前記ネットワークノードの前記地域ネットワークと前記サーバの前記地域ネットワークとは、異なる管轄区域に位置する、請求項１５に記載の非一時的なコンピュータ可読媒体。
17. 前記ネットワークノードの前記匿名化モジュールは、前記第３のデータ下部構造および前記第４のデータ下部構造が前記ネットワークノードを通過する際に、各データ下部構造を連続して変換するように構成されており、前記第３のデータ下部構造および前記第４のデータ下部構造のオリジナルコピーおよび変換された前記第３のデータ下部構造および前記第４のデータ下部構造を、前記変換の後に前記ネットワークノードには保存しない、請求項１５に記載の非一時的なコンピュータ可読媒体。
18. データを、秘密暗号鍵および公開暗号鍵を使用する非対称暗号化を用いて前記変更モジュールによって変換し、前記非対称暗号化において、前記公開暗号鍵を前記クライアントデバイスに送信し、前記秘密暗号鍵を前記サーバに保存する、請求項１５に記載の非一時的なコンピュータ可読媒体。

Images