JP2013156757A - ネットワークに接続する機器、機器の制御方法、及びプログラム - Google Patents

Abstract

【課題】 オフィス全体のセキュリティポリシーに応じて複合機にアクセス制御を実施する場合であって、セキュリティポリシーが守れていない場合に管理者がその是正を行うための変更する設定項目の判断が困難であった。
【解決手段】 セキュリティポリシーに応じて設定値が正しい設定になっているかを検証するとともに、正しくない設定がある場合には是正方法を提示するための画面へ遷移するように制御することを特徴とする。
【選択図】 図７

Description

本発明は、ネットワークに接続する機器に関し、特に運用ポリシーが設定された機器に関するものである。

近年のディジタル複合機を一例とするオフィス機器は、オフィス毎や企業体毎に決められたセキュリティポリシー等の運用ポリシーに従って運用することが求められている。セキュリティポリシーとは、企業体等の情報セキュリティに関する基本方針を示す。例えば、オフィス機器を操作する際にユーザの認証を必須としたり、他の機器と通信する際の通信経路上でのデータの暗号化を必須としたりするなどの方針がセキュリティポリシーとして定められている。
昨今のディジタル複合機は、単に画像データを印刷又は送信するだけでなく、機器に記憶された画像データにＰＣからアクセスされることができ、サーバとしての機能を多く持つ。そのため、ディジタル複合機はサーバ機器と同様にセキュリティポリシーに従うことが強く求められている。
ところで、従来のディジタル複合機においては、機器の動作に関わるいくつかの設定（以下ではユーザモードと呼ぶ）を管理者が行い、管理者の判断のもとでセキュリティポリシーに従って動作させることが可能である。
しかし従来のユーザモードの設定では、数多くの設定項目を正しく設定する必要があり、正しい設定がなされないとセキュリティポリシーに従わない運用を事実上許容することになり、オフィスのセキュリティを脅かす可能性があった。
そこでユーザモードの設定だけではなく、外部からセキュリティポリシーを設定するシステムが特許文献１で提案されている。特許文献１は、機器を起動した時にセキュリティポリシーとユーザモードとを比較し、セキュリティポリシーを遵守できる設定であると判断された時にだけ起動を許可するものである。

特開２００９−２３０１７８号公報

従来のシステムにおいては、あるセキュリティポリシーを導入した際に、ユーザモードの設定がセキュリティポリシーに従っていない場合がある。その場合には、複合機の起動を行うと情報漏えいや不正使用などのセキュリティ的な危険性がある。この問題に対処するためにはユーザモードの設定を変更してセキュリティポリシーに従わせる必要がある。
しかしながら、複合機のユーザモードの設定項目は膨大であり、セキュリティポリシーに従っていない場合にどの設定項目を変更すればセキュリティポリシーに従うかの判断が管理者にとって困難である。
本発明は、このような課題に鑑みて、機器の動作モードの設定が運用ポリシーに従っていない場合、どの設定項目を変更すれば良いかの解決策をユーザに提示するための方法を提供することを目的とする。

上記目的を達成するために、本発明における機器は、機器の運用ポリシーを設定するポリシー設定手段と、機器の動作モードの設定を行うモード設定手段と、前記モード設定手段で行われた設定に基づく機器の動作モードが、前記ポリシー設定手段により設定された運用ポリシーを遵守しているか否かを判定する判定手段と、前記判定手段により前記運用ポリシーを遵守していないと判定したことに応じて、前記運用ポリシーを遵守していない設定を変更する画面へ遷移するように制御する制御手段と、を有することを特徴とする。

本発明によれば、機器の動作モードの設定が運用ポリシーに従っていない場合、どの設定項目を変更すれば良いかの解決策をユーザに提示するための方法を提供することができる。

本実施形態における複合機１０１の構成を示したハードウェア構成図である。 複合機１０１の操作部１０３に表示される画面の一例である。 複合機１０１の記憶装置１１０に記憶されているユーザモード設定値を示す図である。 図２の画面でポリシー設定アイコン２０５が押下された場合に、セキュリティポリシーを設定するための画面の一例である。 複合機１０１の記憶装置１１０に記憶されているポリシーテーブルを示す表である。 複合機１０１で生成されたポリシーファイルである。 複合機１０１が操作部１０３での操作に応じて実行する処理を説明するためのフローチャートである。 操作部１０３でポリシー検証アイコン２０６が押下された場合に実行される、複合機１０１の処理を説明するフローチャートである。 複合機１０１がセキュリティポリシーに従っていない場合に表示される画面の一例である。 複合機１０１がセキュリティポリシーに従っていない場合に実行される、複合機１０１の動作を説明するフローチャートである。 ネットワーク通信部１０２の動作を説明するフローチャートである。 複合機とＰＣから構成されるシステムのシステム構成を示したブロック図である。

〔第１の実施形態〕
以下、本発明を実施するための最良の形態について図面を用いて説明する。

図１は、オフィス機器の一例であるディジタル複合機１０１（以下、単に複合機という）の構成を示したハードウェア構成図である。図１において、１０２はパーソナルコンピュータ（ＰＣ）や他のディジタル複合機との接続を行うネットワーク通信部である。

１０３は、複合機１０１に接続されて機器の各種の設定状態や複合機１０１の動作状態を表示する部分（表示部分）、及び複合機１０１のユーザ操作を行う部分（入力部分）とからなる操作部である。操作部１０３の構成としては、表示部分として液晶パネル、入力部分として液晶パネルと一体化したタッチパネルや接点をハード的に実現しているハードキーがある。

１０８はプリントデータの画像処理や、各種制御に使われるＣＰＵ、１０９はＣＰＵ１０８が動作するプログラムコードや画像データなどの情報を一時的に保管するＲＡＭである。

１１０は、ＣＰＵ１０８が実行するためのプログラムコードや、印刷／編集／送信を行うための画像データを記憶する不揮発性の記憶装置である。また記憶装置１１０には、プログラムコード及び画像データの他に、複合機１０１の動作に関わる設定値（以下ではユーザモード設定値）が記憶されている。ユーザモード設定値は、後述するように、操作部１０３に表示されるユーザモード設定アイコンの押下に従って変更されることが可能である。更に記憶装置１１０には、オフィス又は企業体毎に定められたセキュリティポリシーのデータも記憶されている。

１１１は、画像を用紙媒体に印刷するための、電子写真技術やインクジェット技術などの既知の技術を用いた印刷エンジンである。１１２は用紙媒体に印刷された画像を光学的に読み取るスキャナエンジンを示す。

スキャナエンジン１１２及び印刷エンジン１１１等のハードウェア資源を用いてコピー機能を利用する場合、複合機１０１は以下のような処理を行う。すなわち、操作部１０３でユーザ操作を起点として、ＣＰＵ１０８は、記憶装置１１０からＲＡＭ１０９に展開されたプログラムコードに従ってスキャナエンジン１１２から画像データを読み込む。そしてＣＰＵ１０８は、読み込んだ画像データをＲＡＭ１０９に取り込み、所定の画像処理を加えて印刷エンジン１１１に出力を行う。

また、スキャナエンジン１１２及びネットワーク通信部１０２等のハードウェア資源を用いて送信機能を利用する場合、複合機１０１は以下のような処理を行う。すなわち、操作部１０３の操作を起点として、ＣＰＵ１０８は、ＲＡＭ１０９に展開されたプログラムコードに従ってスキャナエンジン１１２から画像データを読み込む。そしてＣＰＵ１０８は、読み込んだ画像データをＲＡＭ１０９に取り込み、所定のフォーマット変換を行いネットワーク通信部１０２に出力し、指定された宛先の装置に対してデータを送信させる。

図２は、図１の複合機１０１が起動したときに操作部１０３に最初に表示される操作画面の一例である。２０１は操作画面全体、２０２はコピー機能を選択するコピーアイコンである。２０３は送信を選択する送信アイコンである。２０４はユーザモード設定値を設定するためのユーザモード設定アイコンである。２０５はセキュリティポリシーの設定を行うためのポリシー設定アイコンである。２０６はセキュリティポリシーの検証を実施するためのポリシー検証アイコンである。

なお、図２の例では、ポリシーの検証を実施していないために、複合機１０１の機能が制限されている状態（コピーアイコン２０２及び送信アイコン２０３を押下できない状態）となっている。

図３は、記憶装置１１０に記憶されているユーザモード設定値を管理する管理テーブルを説明するためのものである。図３に示したユーザモード設定値は、図２のユーザモード設定アイコン２０４をユーザが押下することにより表示される操作画面（不図示）を介して入力されたり変更されたりすることができる。

図３において、左列は、ユーザモード設定値の設定項目３００を示している。本実施形態では、設定項目３００として、「ＩＰＰ印刷処理／ＳＳＬを使用する」、「ＳＭＴＰ／ＳＳＬを使用する」の項目をもつ。また、「ＳＳＬ通信／暗号強度が強いものを使用する」、「ＰＤＦ作成／暗号強度が強いものを使用する」、「ユーザ認証を使用する」、「ユーザ認証／パスワードの文字を制限する」の項目をもつ。

ここで示したＩＰＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｉｎｔｉｎｇ Ｐｒｏｔｏｃｏｌ）とは、インターネットを介してプリンタや複合機に印刷データを送信するプロトコルであり、ＲＦＣ２５６５などで定義されている。

またＳＭＴＰ（Ｓｉｍｐｌｅ Ｍａｉｌ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）とは、ＲＦＣ８２１で定義された電子メール送信のプロトコルであり、複合機のスキャンした画像をメール送信の添付ファイルとして送信するプロトコルである。

ＩＰＰ及びＳＭＴＰのいずれも、ネットワーク（特にインターネット）を介した画像データの送受信に使用されるため、機密データが含まれる可能性がある。そこで、ＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｅｒ）を用いて通信経路の暗号化を行う。ＳＳＬはＴＣＰセッションに対して暗号化・完全性を付与するプロトコルであり、ＲＦＣ２２４６で定義されている。

またＰＤＦとは、Ｐｏｒｔａｂｌｅ Ｄｏｃｕｍｅｎｔ Ｆｏｒｍａｔを示しており、ＩＳＯ−３２０００で定義された電子文書のフォーマットであるが、機密保持のためにパスワードによる暗号化を行うことが可能である。ＰＤＦの暗号化方式は複数選択可能であり、このセキュリティポリシーは強度が強いものに限定することを示している。

ユーザモード設定値３０１は、図７にて後述するＳ７０５の動作によって設定される。本実施形態では、ユーザモード設定値３０１は“ＯＮ”あるいは“ＯＦＦ”の２値で表現されているが、数値を持ってもよいし、複数の構造体構造を持っているものでもよい。また、記憶装置１１０にはユーザモード設定値のリストが記憶されており、例えばＸＭＬ構造やＣＳＶ構造で記憶されている。

３１１は、各ユーザモード設定値の設定アドレスを示す情報である。アドレス情報３１１は、当該アドレスに対応する設定項目３００を設定するための操作画面を一意に識別する情報である。より具体的には、セキュリティポリシーの検証の結果がＮＧであった場合に簡単に該当するユーザモード設定値を変更するための画面に遷移することを可能とするために設けられたものである。このアドレス情報３１１については、後ほどＳ１０１０の動作の部分で説明する。

なお、図３で示したユーザモード設定値は、本実施形態におけるセキュリティポリシーの適用に関連する設定値のみを示したものであり、これ以外にも、セキュリティポリシーには関連しない、様々なユーザモード設定値が存在する。

図４は、操作部１０３により表示されるセキュリティポリシーを設定する画面であって、図２のポリシー設定アイコン２０５が押下された場合に表示される画面である。なお、この画面を介したセキュリティポリシーの設定は、特別の権限が与えられた管理者のみ行えるものである。

４０１はポリシー設定画面を示している。本実施形態では説明を簡単にするために、ネットワーク通信ポリシー５０２、認証ポリシー５０３の２つのみを説明するが、実際にはより多くのセキュリティポリシーが存在してもよい。

４０２はネットワーク通信ポリシー（複合機１０１がネットワーク上の端末と通信する際のポリシー）の設定を選択するアイコンを示している。４０３は認証ポリシー（複合機１０１にログインするユーザを認証する際のポリシー）の設定を選択するアイコンを示している。

４０４はネットワーク通信ポリシーアイコン４０２を押下した際に表示されるネットワーク通信ポリシー画面を示しており、２つのセキュリティポリシー「通信経路の暗号化を行う」と「暗号の強度があるものに限定する」が存在する。そして、個々の項目に対してセキュリティポリシーの適用をするかどうかの設定を行う「はい」「いいえ」のアイコンが存在している。図４では黒背景に白文字になっているアイコンが設定されているものとする。図４の場合、「通信経路は暗号化を行う」と「暗号は強度があるものに限定する」の双方がセキュリティポリシーとして選択されていることを示している。

４０７は４０３を押下した際に表示される認証ポリシー画面を示しており、２つのセキュリティポリシー「ユーザ認証を必須とする」と「パスワードは強度があるものに限定する」が存在する。同様に個々のセキュリティポリシーは適応するかどうかの設定を行う「はい」「いいえ」のアイコンが存在しており、この場合は「ユーザ認証を必須とする」がセキュリティポリシーとして選択されていることを示す。４１０はセキュリティポリシーの設定を完了するアイコンであり、設定が完了するとＣＰＵ１０８は後述するポリシーファイルの生成を行う。

図５は、記憶装置１１０に記憶されている、セキュリティポリシーとユーザモード設定値とを関連づけるためのポリシーテーブルを示す表である。ポリシーテーブルは記憶装置１１０にディジタル情報として保管されており、その形式はＸＭＬ形式やＣＳＶ形式などが考えられる。

ここで図中の各列はセキュリティポリシーを示し、各行はユーザモード設定値を示す。さらに各セルに記述されている”ＯＮ／＜数値＞”はその行に記載されたユーザモード設定値が、その列に記載されたセキュリティポリシーによる必須条件があることを示す。一方”−“は、その行に記載されたユーザモード設定値は、その列に記載されたセキュリティポリシーによる必須条件ではないことを示す。

例えば、ネットワーク通信ポリシーのセキュリティポリシー「通信経路の暗号化を行う」を図４の画面で設定したとする。この場合、そのセキュリティポリシーを遵守するためには、ユーザモード設定値「ＩＰＳｅｃを使用する」、「ＩＰＰ印刷／ＳＳＬを使用する」、又は「ＳＭＴＰ／ＳＳＬを使用する」がＯＮ状態になっていなければならない。なお、ＩＰＳｅｃとはＳｅｃｕｒｉｔｙ Ａｒｃｈｉｔｅｃｔｕｒｅ ｆｏｒ Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌを示しており、ＲＦＣ１８２５などで定義されたＩＰパケット単位でデータの改竄防止や秘匿機能を提供するプロトコルを示す。

さらに”ＯＮ”に続く”／＜数値＞”は、ポリシーグループを意味している。ポリシーグループが設定されているセキュリティポリシーは、＜数値＞で特定されるポリシーグループのうちいずれかのグループに属するユーザモード設定値をＯＮ状態にしなければならない。例えば、セキュリティポリシー「通信経路の暗号化を行う」に関しては、ポリシーグループ１とポリシーグループ２がある。セキュリティポリシー「通信経路の暗号化を行う」を遵守するには、ポリシーグループ１に属するユーザモード設定値「ＩＰＳｅｃを使用する」をＯＮ状態にするか、或いはポリシーグループ２に属する「ＩＰＰ印刷／ＳＳＬを使用する」及び「ＳＭＴＰ／ＳＳＬを使用する」の両方の設定値をＯＮ状態にする必要がある。すなわち、セキュリティポリシーのネットワーク通信ポリシーを満たすために、管理者には複数の解決策が与えられることになる。例えばネットワーク通信ポリシーに関してはポリシーグループ１（ＯＮ／１）をユーザが選んだとする。この場合、ＩＰＳｅｃでＩＰ層での暗号化を行うものであり、その上位層で動作するＩＰＰやＳＭＴＰでは暗号化を行う必要がないため、ポリシーグループ２に属するユーザモード設定値をＯＮ状態にする必要はない。一方、ポリシーの対策としてポリシーグループ２（ＯＮ／２）を選んだ場合にはＩＰＳｅｃによる暗号化を必須としないため、ＳＳＬを用いた暗号化が必要となる。このように、１つのポリシーを達成するために複数の解決策を管理者が選択することが可能である。

なお、もし適用したセキュリティポリシーの必須条件とされているユーザモード設定値がＯＦＦ状態である場合には、図２の画面上でコピーアイコン２０２や送信アイコン２０３が網掛け状態となり、複合機１０１の所定の機能が制限される。

一方、セキュリティポリシー「暗号は強度があるものに限定する」が「はい」に設定されていたとする。この場合、表中にＯＮ／３と記載されている「ＳＳＬ通信／暗号強度が強いものを使用する」と「ＰＤＦ生成／暗号強度が強いものを使用する」という２つのユーザ設定値が必須である（ＯＮ状態にしなければならない）。

同様に、「ユーザ認証を必須とする」というセキュリティポリシーを適用した場合には「ユーザ認証を使用する」というユーザモード設定値が必須となる。同様に、「パスワードは強度があるものに限定する」というセキュリティポリシーを適用した場合には、「ユーザ認証／パスワードの文字を制限する」というユーザモード設定値が必須となる。なお、図４の画面の例では、「パスワードは強度があるものに限定する」というセキュリティポリシーが「いいえ」になっているため必須となるユーザモード設定値は存在しない。

ＣＰＵ１０８は、ポリシーテーブル（図５）と操作部１０３で図４の画面で入力されたセキュリティポリシーとから必須となるユーザモード設定値を抽出する。そして、必須となるユーザモード設定値を記載したポリシーファイル（後述する図６のファイル）を生成し、記憶装置１１０に格納する。

図６は、ポリシー設定アイコン２０５でセキュリティポリシーを設定したことに応じてＣＰＵ１０８により生成される、ポリシーファイルの一例を示したものである。図６のポリシーファイルは、上記で述べた図５のポリシーテーブルと、図４の画面で入力されたセキュリティポリシーの設定の組み合わせから動的に生成するものである。具体的には、抽出された必須となるユーザモード設定値の「制約条件」の列に、”ＯＮ／数値（ポリシーグループ番号）“を記載する。そして、必須となった原因となるセキュリティポリシーを「制約理由」の欄に記載している。一方、「制約条件」及び「制約理由」の欄が”−“となっている項目は制約が存在しないことを示している。またフラグ列は後述のポリシーの検証をする際に使用するための領域である。

ポリシーファイルの形式はＸＭＬ形式やＣＳＶ形式などが考えられるが、表を表現できるデータ構造であれば、どのような形態でも構わない。図６のポリシーファイルは、複合機１０１のユーザモード設定値がセキュリティポリシーに従っているか否かを判定する際に使用される。

以上の説明で、本実施形態を適用できるシステムの概要やセキュリティポリシーに従い複合機１０１を適切に運用するために必要となるデータの構造について説明した。以降の説明では、本実施形態における複合機１０１の動作について説明する。

図７は、複合機１０１で実行される動作を説明するフローチャートである。複合機１０１の操作部１０３は、複合機１０１の起動とともに動作を開始し、複合機１０１の動作が停止されるまで動作し続ける。

図７において、まずＳ７００において、複合機１０１は、操作部１０３による入力部分からのユーザ入力を待つ。タッチパネルの場合は、液晶パネル上に表示されたアイコンを押下することによってユーザ入力を受け付ける。

Ｓ７０１において、複合機１０１は、ユーザからの入力がセキュリティポリシー設定アイコン２０５の押下であるか否かを判定する。セキュリティポリシー設定アイコン２０５の押下である場合にはＳ７０２に進む。Ｓ７０２では、ＣＰＵ１０８は、操作部１０３に図４の画面４０１を表示し、ユーザ（実際には特別の管理者権限をもつ者）によるセキュリティポリシーの設定を受け付ける。図４の画面４０１、４０４、４０７のそれぞれの画面で設定されたセキュリティポリシーの情報は、ＯＫアイコン４１０の押下を受け、記憶装置１１０に記憶される。

次にＳ７０３では、セキュリティポリシーの設定を行うと現在の状態のまま複合機１０１を使用すると不正な運用となる可能性があるため、ＣＰＵ１０８は、セキュリティポリシーの未チェック状態のフラグを立て、Ｓ７００に戻る。なお、本実施形態では、セキュリティポリシーの未チェック状態である場合には、図２のコピーアイコン２０２、送信アイコン２０３を網掛け状態にし、これらアイコンに対応する機能の利用を禁止する。これは、セキュリティポリシーの設定変更に伴い、ポリシーに反した状態で複合機１０１が利用されることを防止するための措置である。

Ｓ７０１でセキュリティポリシー設定アイコン２０５の押下ではないと判定した場合、Ｓ７０４において、ＣＰＵ１０８は、ユーザモード設定アイコン２０４の押下か否かを判定する。ユーザモード設定アイコン２０４の押下である（Ｓ７０４でＹｅｓ）と判定した場合は、Ｓ７０５においてＣＰＵ１０８は、操作部１０３からのユーザ入力に従いユーザモード設定値の設定を行う。ユーザモード設定値の設定が完了すると、Ｓ７０６では、ＣＰＵ１０８は、Ｓ７０５で設定したユーザモード設定値がセキュリティポリシーに影響（関連）する設定値であるか否かを判定する。すなわち、図３で示した、「ＩＰＰ印刷処理／ＳＳＬを使用する」、「ＳＭＴＰ／ＳＳＬを使用する」、「ＳＳＬ通信／暗号強度が強いものを使用する」、「ＰＤＦ作成／暗号強度が強いものを使用する」、「ユーザ認証を使用する」、「ユーザ認証／パスワードの文字を制限する」のいずれかのユーザモード設定値の設定変更であるかを判定する。

Ｓ７０６でセキュリティポリシーに影響するユーザモード設定値の変更であると判定した場合には、ＣＰＵ１０８は、Ｓ７０７においてセキュリティポリシーを未チェック状態としてＳ７００に戻る。Ｓ７０６でＮｏと判定された場合にはＳ７００に戻る。

Ｓ７０８において、操作部１０３での操作がポリシー検証アイコン２０６の操作であると判定した場合、Ｓ７０９において、ＣＰＵ１０８は、セキュリティポリシーの検証の実施を行う。この処理の詳細については図８にて後述する。

Ｓ７１０においてセキュリティポリシーの検証に成功した場合は、Ｓ７１１において、ＣＰＵ１０８は、セキュリティポリシーをチェック状態にし（セキュリティポリシーの未チェック状態のフラグを解除し）、Ｓ７００に戻る。なお、本実施形態では、セキュリティポリシーをチェック状態にしたことに応じて、図２のコピーアイコン２０２、送信アイコン２０３を網掛け状態を元の状態に戻す。

Ｓ７１０において検証に失敗と判断した場合には、Ｓ７１５において、何が原因でセキュリティポリシーを満たしていないのかを特定し、ポリシー解決画面（図９）を表示する。ポリシー解決画面の生成及び表示方法については後述する（図１０）。

Ｓ７０８において、ポリシー検証アイコン２０６の押下ではないと判定した場合には、ＣＰＵ１０８は、コピーアイコン２０２又は送信アイコン２０３の何れかが押下されたと判断する。そして、Ｓ７１２において、ＣＰＵ１０８は、セキュリティポリシーが未チェック状態か判定する。セキュリティポリシーが未チェック状態であると判定した場合は、Ｓ７１３において、操作部１０３は、「セキュリティポリシーが未チェックなので操作できません」と表示し、動作の実行を制限する。一方、セキュリティポリシーがチェック状態であると判定した場合にはＳ７１４において選択された機能を実行する。ここでいう機能とはコピーや送信などの複合機特有の機能を示している。

以上説明したところによると、セキュリティポリシーのチェック状態は、ユーザモードの変更（Ｓ７０７）あるいはセキュリティポリシーの変更（Ｓ７０３）に伴い未チェック状態となる。そして、未チェック状態である限り、複合機のコピー機能や送信機能の利用は禁止される。未チェック状態は、セキュリティポリシーの検証を行われ成功することによってチェック状態に移行する。以上によって、セキュリティポリシーが維持できていると確認できた場合にだけ複合機固有の動作を行わせることを可能としている。

図８は、複合機１０１の動作を説明するフローチャートであり、このフローチャートは図７のＳ７０９の処理に相当する。

Ｓ８０１において、ＣＰＵ１０８は、操作部１０３を介したポリシー検証アイコン２０６の押下に応じて、記憶装置１１０からポリシーファイルを取得する。次に、Ｓ８０２において、Ｓ８０１で取得したポリシーファイルのフラグ列（右列）を一旦すべてＴＲＵＥに初期化する。なお、ＴＲＵＥとは制約条件を満たしている状態であることを意味する。

Ｓ８０３からはループとなっており、ポリシーファイルから１行ずつ取得する。これは図６に記載されたポリシーファイルの各行に相当する。Ｓ８０４において、ＣＰＵ１０８は、取得した行の制約条件を確認する。これは図６の制約条件の列に対する枡の値に相当する。例えば設定項目「ＩＰＰ印刷／ＳＳＬを印刷する」の場合、”ＯＮ／２”が制約条件となる。

次に、Ｓ８０４において、ＣＰＵ１０８は、制約条件の値を確認し、制約条件があるか否かを判定する。図６の例では、制約条件が”ＯＮ”の場合は制約条件があり、”−“の場合は制約条件がないと判定する。

制約条件がないと判断した場合はＳ８０９に進み、ポリシーファイルの全ての行についてチェックしたかを確認し、まだチェックしていない行がある場合にはＳ８０３に戻る。一方、制約条件があると判断した場合、Ｓ８０５において、ＣＰＵ１０８は、記憶装置１１０から該当するユーザモード設定値を取得する。

Ｓ８０６において、制約条件とユーザモード設定値が一致するかを判断する。上記の例の場合、制約条件が”ＯＮ／２”であり、ユーザモード設定値が”ＯＮ”であるため、該当行に対するユーザモードの設定値はセキュリティポリシーを維持できていると判定される。この場合には何もせずにＳ８０９に進む。

一方、Ｓ８０６で一致しないと判断された場合は、Ｓ８０７において、ＣＰＵ１０８は、当該行のフラグをＴＲＵＥからＦＡＬＳＥに変更する。これは、後にセキュリティポリシーを守れているか否かの判定に使用される。

次に、Ｓ８０８において、ＣＰＵ１０８は、Ｓ８０３で取得した行の制約理由と同一の制約理由を持つ未チェックの行のうち、同一のポリシーグループに属する行が存在するか検査する。この検査の結果、かかる未チェックの行が存在する場合にはその行のフラグもＴＲＵＥからＦＡＬＳＥに変更する。このように、同一制約理由且つ同一ポリシーグループの行のフラグもＦＡＬＳＥに変更する理由は次の通りである。すなわち、同一制約理由且つ同一グループで１つでも制約条件とユーザモードの設定値が一致しなかった場合、当該ポリシーグループに属するユーザモード設定値に基づくセキュリティポリシー達成の見込みが無くなるからである。

例えば、図７でいうところの制約条件「通信経路は暗号化を行う」において、ポリシーグループ２となるユーザモード設定値は、「ＩＰＰ印刷／ＳＳＬを使用する」と、「ＳＭＴＰ／ＳＳＬを使用する」の２つがある。そのうち片方がＯＦＦ状態であったとすると、グループ２ではもはやセキュリティポリシーを達成できないため、双方のフラグをＴＲＵＥからＦＡＬＳＥとする。

続いて、Ｓ８０９において、ポリシーファイルの全行を確認したかを確認し、まだ行がある場合にはＳ８０３に戻る。すべての行の確認が完了した場合にはＳ８１０において、まずは変数である検証成功フラグをＴＲＵＥに一旦初期化する。ＴＲＵＥは検証が成功したことを示す。Ｓ８１１において、ＣＰＵ１０８は、ポリシーファイルを先頭から読み直す。Ｓ８１２からループになっており、Ｓ８１２で、ＣＰＵ１０８は、ポリシーファイルから次の一行を取りだす。

Ｓ８１３において、取り出した行の制約理由に合致する行フラグを全ての行について検査し、Ｓ８１４において任意の行でフラグがＴＲＵＥのものが残っているか（これは当該制約理由を満たすポリシーグループが１つでもあることを示す）を判定する。

残っていない場合にはＳ８１５において検証成功フラグをＦＡＬＳＥに設定する。Ｓ８１６において、まだ行が残っている場合にはＳ８１２に戻る。最後の場合にはＳ８１７において検証成功フラグを返す。この検証フラグはすべての制約理由についてポリシーを達成できるグループが見つかった場合にのみＴＲＵＥとなり、任意の制約理由に対してポリシーを達成できるグループが見つからなかった場合にはＦＡＬＳＥになる。このようにして、複数の制約理由、複数のポリシーグループか当該機器の設定がポリシーファイルに従っているかどうかを判定することが可能である。

図９は、複合機１０１がセキュリティポリシーに従っていない場合の解決方法を提示する画面の一例である。図９の画面は、ＣＰＵ１０８の指示に応じて操作部１０３に表示される。

９０１はセキュリティポリシー解決画面であり、複合機１０１がセキュリティポリシーに従っていないと判定された場合に最初に表示する画面である。ここではセキュリティポリシーの解決に必要な制約理由につき１つのアイコンを表示する。セキュリティポリシーを満たしているものについては９０１には表示されない。図９の画面例は、通信経路の暗号化を行うというセキュリティポリシーと、ユーザ認証を使用するというセキュリティポリシーを満たしていない（すなわちセキュリティポリシーに従っていないユーザモード設定値が存在する）場合に表示される画面である。なお、アイコンが１画面で収まらない場合にはスクロールバーを表示して画面をスクロールさせるようにしてもよい。９０４はＯＫアイコンで、すべてのユーザモードの設定が完了したら本アイコンを押下して当該画面を終了させる。ここで、アイコン９０２「通信経路は暗号化を行う」を押下した場合の画面を９１０に提示する。本画面は「通信経路は暗号化を行う」という制約条件に対して、解決方法１に対応するアイコン９１１、解決方法２に対応するアイコン９１２のいずれかを選択できる。すなわち、２つの解決方法があることを提示する。

９１３はＯＫアイコンで、すべてのユーザモードの設定が完了したら本アイコンを押下して当該画面を終了させる。

ここで解決方法１アイコン９１１を押下した場合は９２０の画面に遷移し、解決を行うためのユーザモードの設定「ＩＰＳｅｃを使用する」アイコン９２１を表示する。あるいは、解決方法２アイコン９１２を押下した場合には９３０の画面に遷移し、解決を行うためのユーザモードの設定（９３１、９３２）「ＩＰＰ印刷／ＳＳＬを使用する」「ＳＭＴＰ認証／ＳＳＬを使用する」の両方を選択可能に表示する。９３３はＯＫアイコンで、すべてのユーザモードの設定が完了したら本アイコンを押下して当該画面を終了させる。

図１０は、複合機１０１の動作を説明するフローチャートであり、このフローチャートは図７のＳ７１５の処理に相当する。

Ｓ１００１において、ＣＰＵ１０８は、記憶装置１１０に記憶されているポリシーファイルを開く。そして、Ｓ１００２において、ポリシーファイルから１行を取り出す。Ｓ１００３において取り出した行の制約理由を取り出す。

Ｓ１００４において、ＣＰＵ１０８は、当該制約理由がＴＲＵＥであるものをポリシーファイルから検索する。Ｓ１００５においてすべてＦＡＬＳＥと判定された場合、当該制約理由に対して、ポリシーが守れるセキュリティ・グループが存在しないため、解決画面の構築を行う。Ｓ１００６において解決画面９０１に当該制約理由のアイコン９０２、９０３を追加する。さらにＳ１００７において当該制約理由に対応する解決画面９１０を生成する。本画面はＳ１００６で追加したアイコンによって遷移するようにする。

次にＳ１００８において、Ｓ１００７で生成した解決画面に、当該制約理由に対応するグループの数だけ解決方法アイコン９１１、９１２を追加する。

そしてＳ１００９において各グループに解決方法画面９２０、９３０を生成する。各画面はＳ１００８で追加した解決方法アイコンによって遷移するようにする。Ｓ１０１０において、各グループに解決する設定アイコンをＳ１００９で生成した解決方法画面に追加する。このとき、各設定アイコンは図４のユーザモード設定値に関連づけられている設定アドレスに記述された情報によって実際の設定画面に遷移するようにする。この設定画面は従来のユーザモードの設定画面と同等である。

複合機１０１は操作部１０３からの指示で動作する機能だけではなく、ネットワークを通じたサービスを有している。代表的なものとして、プリンタポート（ＬＰＲやＰＯＲＴ９１００など）を用いた印刷サービスがある。またＨＴＴＰ（ＨｙｐｅｒＴｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ、ＲＦＣ２６１６で定義）を利用した、ウェブブラウザ用のＷｅｂインターフェイス等も挙げられる。

ネットワークによるサービスも操作部１０３での操作と同様に、セキュリティポリシーが維持できないと判断された場合にはサービスを遮断する。

図１１は複合機１０１上に配置されたネットワーク通信部１０２の動作を説明するフローチャートである。図１１のＳ１１０１において、図７のＳ７０３またはＳ７０７またはＳ７１１で設定されたセキュリティポリシーのチェック状態を判定する。その結果、未チェック状態であると判断された場合は、Ｓ１１０３においてネットワーク・ポートをクローズし、そうでない場合はＳ１１０２においてネットワーク・ポートをオープンする。ネットワーク・ポートは上記で述べたサービスを実施するための具体的なインターフェイスを示し、ネットワーク・ポートを閉じることによってサービスを制限することが可能である。なお、ネットワークは実際にはプロトコル・スタックの実施が必要であるが、それは従来の技術と同様である。

また、ネットワーク通信部１０２は、ネットワークへの接続する以外にも、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）のようなローカルインターフェイスでも適合可能である。

以上説明したように、本実施形態によれば、セキュリティポリシーを満たさない場合、ポリシー解決画面によって直ちに解決策を提示可能となる。すなわち、どのユーザモード設定値を変更すればセキュリティポリシーを満たすかについてユーザ（実際には管理者）が直ちに把握でき、管理者の設定値の変更に係る手間を軽減させることができる。

なお本実施形態では、図７、図９、図１０のフローチャートの各ステップは、記憶装置１１０からプログラムコードを読み出してＣＰＵ１０８が実行するものとして説明した。しかし、これらの各ステップの一部を他のハードウェア資源を用いて実現してもよい。例えば、Ｓ７０９の「セキュリティポリシーの検証処理」や、「ポリシー解決画面の表示処理」についてはＣＰＵ１０８以外の他の処理装置が実行するようにしてもよい。例えば、Ｓ７０９の処理を実行する装置としてポリシー検証ユニットを設け、ポリシー検証ユニットが操作部からの指示に応じてセキュリティポリシーの検証を行ってもよい。

更に本実施形態では、図３のユーザモード設定値、図５のポリシーテーブル、図６のポリシーファイルは記憶装置１１０に記憶されているとして説明した。しかし、これらの情報がそれぞれ別の記憶装置に記憶されていてもよい。

〔第２の実施形態〕
第１の実施形態では、セキュリティポリシーの設定を複合機１０１で行う場合を提示した。しかし、実際にはオフィスや企業体には複数の複合機が導入されることが考えられ、個々の機器に対してセキュリティポリシーの設定を行うには手間がかかり、管理者の作業が煩雑になる。そこで第２の実施形態では、サーバ側でセキュリティポリシーの生成を行う形態について説明する。

図１２は、第２の実施形態における複合機とＰＣから構成されるシステムのシステム構成を示したブロック図である。図１２において、１２０１はＰＣ、１２１１は複合機、１２２０はＰＣ１２０１と複合機１２１１を接続するための所定の通信手段である。

さらにＰＣ１２０１において、１２０２はＰＣを動作させるＣＰＵ、１２０３はＣＰＵ１２０２の動作するプログラムコードやデータを一時的に記憶しておくＲＡＭである。

１２０４はＣＰＵ１２０２の動作するプログラムコードやデータを永続的に保存する、ＨＤＤなどから構成される記憶装置である。１２０５は液晶ディスプレイやキーボード、マウスなどの所定の入出力装置から構成される操作部、１２０６は通信手段１２２０に通信を行うネットワーク通信部、１２０９はセキュリティポリシーの設定を行うポリシー生成部を示す。

第２の実施形態で異なる点は、図５のポリシーテーブルが、ネットワーク通信部１２０６、通信手段１２２０、ネットワーク通信部１２１６を介してＰＣ１２０１から転送される点である。ポリシーテーブルの転送に関してはＦＴＰやＳＭＢなどのファイル転送プロトコルを用いて行い、ＳＳＬ等により通信経路の暗号化を行う。

また、複合機１２１１の動作に関してもセキュリティポリシーの設定が複合機の操作部条で行われない点を除いて第１の実施形態と同様である。すなわち、第１の実施形態と同様、ポリシーテーブル及びユーザモード設定値に基づいてポリシーファイルを生成し、複合機がセキュリティポリシーに従っているか否かを検証し、従っていない場合に解決方法を提示する。

第２の実施形態では、セキュリティポリシーの生成をＰＣ側で集中して行うことにより、複数の複合機への導入を容易にさせることが可能となる。

（他の実施形態）
また、本発明は、以下の処理を実行することによっても実現される。即ち、上述した実施形態の機能を実現するソフトウェア（プログラム）を、ネットワーク又は各種記憶媒体を介してシステム或いは装置に供給し、そのシステム或いは装置のコンピュータ（またはＣＰＵやＭＰＵ等）がプログラムを読み出して実行する処理である。

１０１ ディジタル複合機
１０２ ネットワーク通信部
１０３ 操作部
１０８ ＣＰＵ
１０９ ＲＡＭ
１１０ 不揮発性の記憶装置
１１１ 印刷エンジン
１１２ スキャナエンジン

Claims (5)

1. 機器の運用ポリシーを設定するポリシー設定手段と、
   機器の動作モードの設定を行うモード設定手段と、
   前記モード設定手段で行われた設定に基づく機器の動作モードが、前記ポリシー設定手段により設定された運用ポリシーを遵守しているか否かを判定する判定手段と、
   前記判定手段により前記運用ポリシーを遵守していないと判定された場合、当該遵守していないと判定された機器の運用ポリシーを遵守させるために必要とする動作モードの設定を特定し、特定した設定を行う操作画面へ遷移するように制御する制御手段と、
   を有することを特徴とする機器。
2. 前記運用ポリシーは、ネットワークを介して他の機器と通信する場合のセキュリティに係るポリシーであることを特徴とする請求項１に記載の機器。
3. 前記モード設定手段により行われた設定に従ってデータを外部装置に送信する送信手段を更に有し、
   前記判定手段により前記運用ポリシーを遵守していないと判定した場合、前記送信手段の使用を禁止することを特徴とする請求項１又は２に記載の機器。
4. 少なくともスキャナ及びプリンタの何れかを更に有し、
   前記判定手段により前記運用ポリシーを遵守していないと判定した場合、前記スキャナ及び前記プリンタの使用を禁止する手段を更に有することを特徴とする請求項１ないし３の何れか１項に記載の機器。
5. 機器の運用ポリシーを設定するポリシー設定ステップと、
   機器の動作モードの設定を行うモード設定ステップと、
   前記モード設定ステップで行われた設定に基づく機器の動作モードが、前記ポリシー設定ステップで設定された運用ポリシーを遵守しているか否かを判定する判定ステップと、
   前記判定ステップで前記運用ポリシーを遵守していないと判定された場合、当該遵守していないと判定された機器の運用ポリシーを遵守させるために必要とする動作モードの設定を特定し、特定した設定を行う操作画面へ遷移するステップと、
   を有することを特徴とする機器の制御方法。

Images