ビッグデータ時代を見据えたセンサーデータのプライバシー対策--富士通の新暗号化技術

渡邉利和

2012-10-22 19:11

　富士通研究所は10月22日、センサーデータから重要な個人情報やプライバシーが漏洩する事態を避ける新たな暗号技術を発表した。センサーデータの利活用場面が増加する状況に対応する新技術となる。

　中核となるのは「センサーデータを暗号化したまま、部分的にデータを墨塗りしたり、別のIDや暗号鍵に変更したりする部分復号技術」と、「ユーザーが利活用先に自分のIDを知らせずにデータの解析結果を取得できる匿名アクセス技術」の2点。これらの技術によってユーザーは、センサーデータに含まれるプライバシー情報を適切にコントロールしつつ、外部サービスを安全に利活用できる。

センサーデータの紐付け問題

原裕貴氏

　まず背景状況を説明した富士通研究所ソフトウェアシステム研究所所長の原裕貴氏は、富士通のコンセプトである「ヒューマンセントリック・インテリジェントソサエティ」の実現に向け、センサーデータ等のいわゆる「ビッグデータ」への取り組みの概要を紹介し、「収集」「分析」「活用」の各分野で各種の技術や製品を開発していることに触れた。

　その上で同氏は、個人情報の不正利用といった問題に加え、センサーデータを特定個人に紐づけることで個人の生活パターンを察知したり、在宅中か外出中かを外部から把握されてしまうことで空き巣に入られるなどの被害が生じるリスクについて指摘。

　同氏は「こうした情報漏洩のリスクが存在することから、企業はうかつにユーザーのデータを預かったり活用したりできず、ビッグデータ関連ビジネスが成長していかない」との認識を示した。今回発表された技術は、暗号技術の活用によって情報漏洩を防止することで、センサーデータ／ビッグデータの活用の道筋を拓き、これらのデータから新たな知見を得ることでより豊かな社会の実現に貢献していく、という同社のコンセプトの実現手段となるものだ。

富士通研究所の主なセンサーデータ／ビッグデータへの取り組み
今回発表の技術を実際に活用する場合のシステムイメージ

技術の概要

　今回発表された技術は、既存技術である「暗号化通信（SSL）」「匿名化（墨塗り、ID置換、k-匿名化など）」「準同型暗号」などがポイントソリューション的に実現していた機能を“センサーデータの安全な利活用”という文脈に沿って組み合わせ、包括的な保護機能を実現しようとした取り組みだと言えるだろう。

　内容としては、暗号データに対する部分復号技術と、「収集サービス」「配信サービス」「利活用サービス」と言ったセンサーデータ利活用に関与する各種事業者のどこにも「すべての情報が集まってしまう」状況にならないように、それぞれが保持する情報の切り分けと相互のやりとりを体系化した一種のプロトコル規定のようなな部分で構成される。

　部分復号技術は、暗号化されたデータをいったん復号して平文に戻すのではなく、暗号化された状態のままで各種の加工を可能にする技術。これにより、ユーザーが提供を拒否したデータだけを復号不可能なように加工する（墨塗り）ことや、暗号データ中に含まれるユーザーIDを別のIDに書き換えたりといった処理が可能になる。この技術では、異なる暗号鍵を使って複数回の暗号化処理を行なった場合、暗号化の際と異なる順序で復号することができる。これを利用すると、暗号化されたデータをさらに別の暗号鍵で暗号化した上で元の暗号鍵で復号する、という処理を行えば結果としてデータを一度も平文に戻すことなく暗号鍵を別の暗号鍵に交換するという処理が実現できる。これを活用することで、配信サービスから利活用サービスにデータを渡す際に元の暗号鍵を利活用サービスに渡さないことができる。

部分復号技術の概要。部分復号では、暗号化されたデータに対して「オーバーレイ」的なイメージで一部データのマスキングやさらなる暗号化といった処理を追加することが可能

　こうした技術を活用し、各サービスごとに保持する情報を制限することでユーザーの紐付けを不可能にするのが匿名アクセス技術だ。ユーザーのもとで収集されたセンサーデータを受信し、他のサービスに提供する配信サービスでは、データを暗号化されたまま保持し、ユーザー自身が設定したポリシーに従ってユーザーが外部に公開したくない情報を参照不可能にしたり（墨塗り）、ユーザーとデータの解析結果が紐付けされないように、ユーザーIDを解析用IDに書き換えたりする。この場合、利活用サービスではオリジナルのユーザーIDを入手することはできないため、元のユーザーと解析結果を紐づけることはできない。配信サービスではユーザーIDと解析IDの対応を保持しており、元データも保存しているが解析結果は持っていないので、やはり解析結果をユーザーと紐づけることはできない。このように、部分復号技術を活用しつつ、漏洩しては困る個人情報が「揃ってしまう場所」ができることを避けるための収集サービス／配信サービス／利活用サービスの役割分担の体系化を行なったのが匿名アクセス技術だと言える。

匿名アクセスの概要。匿名アクセスでは、個人の特定につながるユーザーID等の情報と、そのユーザーに関するセンサーデータの解析結果を紐付けされることを防ぐため、ユーザーIDと解析結果を同時に保持するサービス事業者が存在しないように配慮される。