 |
| 著者の工藤 道治氏 |
前回のテーマはオープンなWebサービスでの安全性でしたが、今回はXMLを使った高度な「情報管理」についてご紹介いたします。企業間連携はe-ビジネス･オンデマンドの重要な側面であることは前回もお話ししましたが、そのような連携にはビジネスデータや顧客データの収集・共有などの情報管理も含まれます。ビジネス・パートナーや顧客への積極的な情報開示を行う場合、安全でかつ柔軟性のある「高度な情報管理」がこれからますます要求されてくると考えられます。まず、そのような情報管理が必要となる背景についてお話ししたいと思います。
柔軟性を持たせ慎重に管理
e-ビジネス・オンデマンドの世界では、組織や経営資源の形態が今までの概念にとらわれないもっと柔軟なものになることが予想されます。例えば、複数の会社の人材が仮想的に一つの組織を形成するような、ジョイント・ベンチャーやジョイント・プロジェクト、共同研究開発のような場合です。プロジェクト遂行のためには、お互いの会社の必要なデータにアクセスしなくてはなりません。
あるいは、余剰となった計算機資源をまとめて他社にデータ処理サービスを提供するような形態もあるでしょう。これは、シリーズ6回から8回で取り上げられたグリッド・コンピューティングの概念につながります。この場合、データ処理の内容が他に漏れないようにしなくてはなりません。このような新しい組織や資源共有の場面では、かつてなくより安全で、柔軟性の高い情報管理が必要となってきます。
また、顧客の住所やクレジットカード番号といったプライバシー・データや、顧客の購買傾向などの情報は、以前にも増して厳重な情報管理が要求されています。そのようなデータの取り扱いでは、特にインサイダーによる情報漏洩に気をつけなければなりません。他社にデータ分析を依頼するような場合にはさらに慎重な情報管理が必要となります。
国際的にビジネスを行う場合は、日本だけでなく他国の法制度にも注意する必要があります。昨今のプライバシーに関する各国諸制度の進展には目を見張るものがあります。多くは、プライバシー・データの所有者(例えば顧客)に対してより広い権利を与え、データの利用者(例えば企業)に対して多くの義務を課しています。
例えば、顧客は自分の登録データを常に確認できたり、必要に応じて更新できるような権利を持ちます。ここまで述べたきたことは、よりオープンな世界における高度な情報管理が必要になることを示唆しています。
必要のある人だけが情報を知る
では、XMLを利用するとどのようにそれらの課題に対処できるかについてお話したいと思います。まず、顧客データを表わす次のようなXMLデータを考えます。
情報管理で重要なことは、「必要のある人だけが情報を知る(need to know)」という原則を徹底することです。通常、“need to know”の内容はセキュリティー・ポリシーの一つとして定義されますが、より具体的には、「誰がどの情報に対してどのような権限を持つか」を明確にし、それを周知徹底させることを意味します。
先ほどの顧客データの場合は、例えば顧客要素の下の氏名と所属の二つの要素に対しては、ビジネスパートナーのアクセスを禁止する、というようなポリシーです。ここでは、そのようなアクセス制御ポリシーをXMLで表現することを考えてみます。
アクセス制御ポリシーをXMLで記述
OASISという標準化団体で今年の2月に標準となったXACML(eXtensible Access Control Markup Language)と呼ばれるアクセス制御のポリシー記述言語を利用することができます。XACMLは、東京基礎研究所で開発したXACL(XML Access Control Language)言語をベースとして汎用性と拡張性をプラスしたものです。
ファイルシステムのACLのようなシンプルなアクセス制御ポリシーから、アクセス履歴やデータの値に依存してアクセス可能かどうかを決定するような複雑なポリシーまで、柔軟で幅広いアクセス制御ポリシーを表現することが可能です。
XACML言語を使えば、XML文書の内部構造(要素や属性)単位にアクセス制御ポリシーを記述することも可能です。以下は、氏名要素へのアクセスを禁止するXACMLポリシーの例です(紙面の都合のため一部省略しています)。詳細については、上記のWebサイトを参照して頂きたいと思います。
プライバシー保護ポリシーをXMLで記述
米国では、COPPAと呼ばれる児童オンライン・プライバシー保護のための法律が2000年から施行されています。13歳未満の子供から個人情報を集めるサイトは、まず親の同意を得なければならず、同意が得られない場合は一定期間以上個人情報をサイトに保管してはならないといったプライバシーポリシーが規定されています。
このようなプライバシー保護ポリシーをXMLで記述するEPAL(Enterprise Privacy Authorization Language)と呼ばれるポリシー記述言語がIBM(R)から提案されています。このようなポリシー記述言語をシステムに組み込むことで、プライバシーデータに対する高度な情報管理を行なおうとしています。
ビジネスデータとセキュリティー・ポリシーの両方をXMLとして表現すると、さらに高度な情報管理が可能になります。例えば、互いに信頼関係にある二つの企業の間で重要なデータを送り合う時に、XMLで表現されたデータとセキュリティー・ポリシーをペアにしてそれを一つの「ポリシー付きセキュアデータ」として扱うという考え方です。
先の例では、複数の企業の間で顧客データを送受信する際に、顧客データに対するアクセス制御ポリシーやプライバシー保護ポリシーをXACML言語やEPAL言語で記述しておき、それらを対象の顧客データと一緒に送受信します。それにより、どの連携企業においても同じセキュリティー・ポリシーを適用させることができます。
データやセキュリティー・ポリシー以外にも、ビジネスルールやワークフローなどもXMLデータに変換しようとする動きがあります。ビジネスに関するさまざまな情報をXMLで表現すれば、相互運用性のあるWebサービスのセキュリティー・インフラストラクチャを利用し、e-ビジネス全体を安全に構築できるようになる日も近いかもしれません。
今回は、XMLを使った高度な情報管理の一面をご紹介させて頂きました。今後生まれてくるe-ビジネス・オンデマンドの世界においては、オープンで柔軟性があり、かつ誰でも利用できる安全なIT技術を実現していくことが大きなテーマになっていくでしょう。今後の技術革新に期待したいと思います。
（工藤 道治＝日本IBM 東京基礎研究所 XMLアクセス制御プロジェクトリーダー）
※本連載「ビジネスパーソンのための最新IT入門」は今回で終了です。ご愛読いただいた皆様、およびご執筆いただいた日本IBMの皆様に、深く感謝いたします（BizTechイノベーター編集部）。
