JP7124357B2 - 情報処理装置及びプログラム - Google Patents

Description

本発明は、情報処理装置及びプログラムに関する。

情報処理装置の中には、複数のネットワークインタフェースを介して異なる複数のネットワークに同時に接続可能なものが存在する。この種の情報処理装置が、機密度の高いデータを扱う第１ネットワークと、そうでない第２ネットワークとの両方に接続される場合もあり得る。例えば、情報処理装置が、デジタル複合機等の高価な機器である場合、第１ネットワークと第２ネットワークとで共用できた方がコスト面で有利である。このような場合、第１ネットワーク上で取り扱われるデータがその情報処理装置内の保存領域にいったん保存されたあと、その保存領域から第２ネットワーク上に漏洩する事態が起こり得る。

特許文献１に開示されたシステムでは、印刷制御装置がいずれかのネットワークを介してジョブを受信すると、該ジョブを受信したネットワークを特定し、特定したネットワークの情報をジョブの属性値として付加し、画像形成装置へ保存する際に、ジョブの属性値として付加されたネットワーク情報を管理テーブルに格納してジョブと共に管理する。そして、端末装置からＨＤＤに保存されているデータの取得要求がなされた場合、管理テーブルを参照して該データにネットワーク情報を付加し、該ネットワーク情報と送信先ネットワーク情報に基づいて送信条件に満足するか判定を行い、満足する場合にデータを送信する。

特許第５５１１３３２号明細書

本発明は、複数のネットワークインタフェースを備える情報処理装置内の保存領域にネットワークインタフェース経由だけでなく、ネットワークインタフェースを経由しない方法でもデータが保存されることがある場合に、その保存領域内のデータが誤ったネットワークへと漏洩しないようにすることを目的とする。

請求項１に係る発明は、複数のネットワークインタフェースと、データを保存する保存領域と、前記保存領域に保存されているデータの出力経路として許可されるネットワークインタフェースを規定する規定情報を前記保存領域と対応付けて記憶する記憶手段と、前記保存領域に保存されているデータに対して、そのデータを出力する出力先の指示をユーザから受け付ける受付手段と、前記複数のネットワークインタフェースのうち、前記受付手段によりユーザから受け付けられた前記出力先への出力経路となるネットワークインタフェースが、前記保存領域に対応する前記規定情報により前記出力経路として許可されていない場合には、前記データを前記出力先に対して出力しないよう制御する出力制御手段と、を含む情報処理装置である。

請求項２に係る発明は、前記記憶手段は、前記保存領域に対して保存するデータの入力経路として許可されるネットワークインタフェースを規定する第２規定情報を前記保存領域と対応付けて更に記憶する、請求項１に記載の情報処理装置である。

請求項３に係る発明は、前記複数のネットワークインタフェースのうち、前記保存領域に対応する前記第２規定情報により前記入力経路として許可されるネットワークインタフェース以外のネットワークインタフェースを介して前記保存領域内にデータが保存されないように制御する保存制御手段、を更に含む、請求項２に記載の情報処理装置である。

請求項４に係る発明は、前記規定情報は、前記出力経路として許可されるネットワークインタフェースを、前記保存領域に対して保存するデータの入力経路として許可されるものとしても規定するものであり、前記複数のネットワークインタフェースのうち、前記規定情報により規定される前記ネットワークインタフェース以外のネットワークインタフェースを介して前記保存領域内にデータが保存されないように制御する保存制御手段、を更に含む請求項１に記載の情報処理装置である。

請求項５に係る発明は、前記保存領域を複数含み、前記記憶手段は、前記保存領域ごとにそれぞれ対応する前記規定情報を記憶する、請求項１～４のいずれか１項に記載の情報処理装置である。

請求項６に係る発明は、複数のネットワークインタフェースと、データを保存する保存領域と、前記保存領域に保存されているデータの出力経路として許可されるネットワークインタフェースを規定する規定情報を前記保存領域と対応付けて記憶する記憶手段と、を含み、前記規定情報は、前記保存領域に保存されているデータの出力経路として許可されるネットワークインタフェース、又は許可されないネットワークインタフェースを、前記複数のネットワークインタフェースの中の１以上のネットワークインタフェースからなるグループを単位として規定する情報である、情報処理装置である。

請求項７に係る発明は、複数のネットワークインタフェースと、データを保存する保存領域と、前記保存領域に保存されているデータの出力経路として許可されるネットワークインタフェースを規定する規定情報を前記保存領域と対応付けて記憶する記憶手段と、前記保存領域に対応付けて未指定時用の出力ネットワークインタフェース情報を保持する手段と、前記保存領域内のデータをネットワーク経由で出力する指示に、そのデータの出力経路とするネットワークインタフェースの指定がない場合に、未指定時用の出力ネットワークインタフェース情報が示すネットワークインタフェースを経由してそのデータを出力する手段と、を含む情報処理装置である。
請求項８に記載の発明は、前記受付手段によりユーザから受け付けられた指示が、前記複数のネットワークインタフェースを経由しない出力先を指示するものであった場合は、前記出力制御手段は、指示された出力先への出力を実行することを特徴とする、請求項１～５のいずれか１項に記載の情報処理装置である。

請求項９に係る発明は、複数のネットワークインタフェースを備えるコンピュータを、データを保存する保存領域、前記保存領域に保存されているデータの出力経路として許可されるネットワークインタフェースを規定する規定情報を前記保存領域と対応付けて記憶する記憶手段、前記保存領域に保存されているデータに対して、そのデータを出力する出力先の指示をユーザから受け付ける受付手段、前記複数のネットワークインタフェースのうち、前記受付手段によりユーザから受け付けられた前記出力先への出力経路となるネットワークインタフェースが、前記保存領域に対応する前記規定情報により前記出力経路として許可されていない場合には、前記データを前記出力先に対して出力しないよう制御する出力制御手段、として機能させるためのプログラムである。

請求項１、５、又は９に係る発明によれば、複数のネットワークインタフェースを備える情報処理装置内の保存領域にネットワークインタフェース経由だけでなく、ネットワークインタフェースを経由しない方法でもデータが保存されることがある場合でも、その保存領域内のデータが誤ったネットワークへと漏洩しないようにすることができる。

請求項２又は３に係る発明によれば、あるネットワークインタフェースが出力経路として許可されている保存領域に対して、そのネットワークインタフェース経由で出力することが許されないデータが誤って保存されてしまうことを防ぐ手段を提供することができる。

請求項４に係る発明によれば、規定情報に規定されるネットワークインタフェース以外のネットワークインタフェースから保存領域が利用されることを防止できる。

請求項６に係る発明によれば、個々のネットワークインタフェースを単位として規定情報を設定する場合よりも、設定が容易になる。

請求項７に係る発明によれば、保存領域内のデータを出力する際の経路となるネットワークインタフェースが明示的に指示されない場合、出力ネットワークインタフェース情報が示すネットワークインタフェースを経由してデータを出力することができる。

本発明に係る情報処理装置の一実施形態としての複合機１００が接続されるネットワーク環境の一例を示すである。 複合機の内部構成を例示する図である。 ボックスに保存された文書がセキュリティ上許可されないネットワークに流出しないように制御する仕組みを例示する図である。 入出力経路アクセス権限情報のデータ構造の例を示す図である。 図５の入出力経路アクセス権限情報を用いたボックス入出力情報の例を示す図である。 ローカルのＵＩ（ユーザインタフェース）からのボックスへの指示に対する入出力制御部の処理の手順を例示する図である。 リモート（ネットワーク）からのボックスへの指示に対する入出力制御部の処理の手順を例示する図である。 入出力経路アクセス権限情報のデータ構造の別の例を示す図である。 図８の入出力経路アクセス権限情報を用いたボックス入出力情報の例を示す図である。 未指定時情報の項目を含む入出力経路アクセス権限情報のデータ構造の例を示す図である。

図１に、本発明に係る情報処理装置の一実施形態としての複合機１００が接続されるネットワーク環境の一例を示す。

この例では、複合機１００は、３つのネットワークインタフェースを内蔵しており、それらネットワークインタフェースを介してＬＡＮ１、ＬＡＮ２、Wi-Fi（登録商標）という３つの異なるネットワークに接続されている。各ネットワーク上のＰＣ（パーソナルコンピュータ）やモバイル端末等のコンピュータ２００は、各々が接続されているネットワークを経由して、複合機１００とデータのやりとりを行う。なお、複合機とは、プリンタ、スキャナ、コピー機、ファクシミリ等の機能を併せ持つ装置のことである。

図２に、複合機１００の内部構成の一例を示す。複合機１００は、スキャナ１０１、プリンタ１０３、ファクシミリ装置１０５、表示装置１０７、不揮発性記憶装置１０９、主制御部１１０、ネットワークインタフェース１２０－１、１２０－２及び１２０－３（以下区別の必要がないときは「ネットワークインタフェース１２０」と総称）を有する。

スキャナ１０１は、原稿の画像を光学的に読み取ってその画像を表す画像データを生成する。プリンタ１０３は、画像データが表す画像を用紙に印刷する。スキャナ１０１とプリンタ１０３を連係動作させることで、コピー処理が実現される。ファクシミリ装置１０５は、ファクシミリの送受信を行う。表示装置１０７は、複合機１００のＵＩ（ユーザインタフェース）用の画面を表示する装置である。この例では、表示装置１０７はタッチパネル型の装置として構成されており、入力装置も兼ねる（ただしこれはあくまで一例に過ぎない）。不揮発性記憶装置１０９は、電源をオフしても記憶を保持する記憶装置であり、ハードディスクドライブやフラッシュメモリがその一例である。

主制御部１１０は、複合機１００の動作を制御する装置であり、データ処理を行うコンピュータと、そのコンピュータが実行する制御プログラムとを含んでいる。主制御部１１０は、表示装置１０７に表示したＵＩ画面に対するユーザの入力を受け取り、この入力に応じてスキャナ１０１、プリンタ１０３、ファクシミリ１０５等を制御することで、ユーザの指示する処理を実現する。また、主制御部１１０は、ネットワークインタフェース１２０－１、１２０－２及び１２０－３を介してネットワークに接続されており、ネットワーク上のコンピュータと指示やデータのやりとりを行う。図１及び図２の例では、ネットワークインタフェース１２０－１はＬＡＮ１に、ネットワークインタフェース１２０－２はＬＡＮ２に、ネットワークインタフェース１２０－３はWi-Fi経由であるネットワークに、それぞれ接続されているとする。以下の説明のために、この例では、少なくともＬＡＮ１とＬＡＮ２は異なるネットワークであるものとする。また、複合機１００がWi-Fi経由で接続されているネットワークは、ＬＡＮ１に接続されているものとする。

複合機１００は、画像データやページ記述言語で記述された印刷データ、各種のアプリケーションで生成されたファイル等の電子文書データ（以下単に「文書」と呼ぶ）を不揮発性記憶装置１０９に保存する機能を有する。

複合機１００には、文書の保存領域を複数設けることが可能である。保存領域の具体的な実現方式に特に限定はない。例えば、個々の保存領域は、主制御部１１０のファイルシステムが管理する１つのフォルダであってもよいし、不揮発性記憶装置１０９に対して設定された１つの論理パーティション又は論理ドライブであってもよい。また、複合機１００に不揮発性記憶装置１０９（物理ドライブ）を複数設け、それら個々の物理ドライブをそれぞれ別々の保存領域として定義してもよい。また、これら例示した種類の保存領域を組み合わせて利用可能としてもよい。以下では、個々の保存領域のことを比喩的に「ボックス」と呼ぶ。個々のボックスにアクセス可能なユーザを制限するために、ボックスに対してパスワードを設定したり、アクセス制御リストによりボックスに対する各ユーザのアクセス権限を規定したりすることも可能である。

主制御部１１０は、このようなボックスに対する文書の入力（保存、蓄積）及び出力（取り出し）を制御する機能を持つ。

ボックスには、スキャナ１０１のスキャンにより生成された文書（画像データ）、ファクシミリ装置１０５が受信した文書、ネットワーク経由で入力された文書などが保存される。また、ボックスに保存された文書は、プリンタ１０３からの印刷出力、ファクシミリ装置１０５による送信、又はネットワーク経由での送信等の態様で出力される。

図に例示した複合機１００は複数の異なるネットワークに接続されているが、これらネットワークごとにセキュリティに関する要件が異なる場合がある。例えば、オフィスにおいて、機密性が高いデータを取り扱う部門とそうでない部門とでネットワークを分けることで、後者の部門のスタッフがネットワーク経由で機密性の高いデータにアクセスできないようにする場合がその一例である。このような場合でも、高価な複合機１００を部門ごとに設置することが困難で、１つの複合機１００を複数部門で共用することがある。このような場合、複合機１００が、セキュリティ要件の厳しい部門（便宜上「第１部門」と呼ぶ）のネットワークと、そうでない部門のネットワークに接続されることになる。前者の部門のセキュリティ要件を満たすには、複合機１００内のボックス（保存領域）として、前者の部門専用のボックスを用意し、このボックスに保存された文書が後者の部門のネットワークに流出しないようにする必要がある。

例えば、第１部門のネットワークと、これと異なる他の部門のネットワークとが、プライベートＩＰアドレスとして同じネットワークアドレスを用いている場合があり得る。このような場合、複合機１００内のボックスへのアクセス制限やボックス内の文書の転送制限をＩＰアドレスで行うことはできない。対策として、例えば、ボックス内の文書を送信する際に、その送信を指示するユーザが、その送信において経由するネットワークインタフェース１２０を指定すれば、そのボックス内の文書が想定外のネットワークに流出することを防げる。しかし、経由するネットワークインタフェース１２０を指定することは一般ユーザにとって難度が高い要求であり、ユーザを迷わせたり、誤った選択を誘発したりする可能性が少なくない。

そこで、本実施形態では、ボックスに保存された文書がセキュリティ上許可されないネットワークに流出しないように制御する仕組みを設けている。以下、この仕組みについて説明する。

図３に、この仕組みのために主制御部１１０が有する機能群を示す。ボックス記憶部１１１は、１以上のボックスの情報と、各ボックスに保存される文書の情報とを記憶する。入出力制御部１１３は、ボックス記憶部１１１に対する文書の入力（保存）又は出力（転送、印刷等）の制御を行う。

入出力先判定部１１５は、ボックスに対する操作指示や文書の入力の入力元、及びボックス内の文書の出力先を判定する。ボックスに対する操作指示の入力元としては、ローカルのＵＩ（すなわち表示装置１０７）と、ネットワーク上の装置とがある。ネットワーク上の装置は、複数のネットワークインタフェース１２０のいずれかを介して主制御部１１０と通信するので、入出力先判定部１１５は、到来した操作指示が、ローカルのＵＩ及び複数のネットワークインタフェース１２０のいずれからのものかを判定する。同様に、入出力先判定部１１５は、ボックスに対して文書が入力された場合、その入力元が、ローカルのスキャナ１０１及びファクシミリ装置１０５（ファクシミリ受信）、並びに複数のネットワークインタフェース１２０のいずれからのものかを判定する。入出力先判定部１１５は、ボックス内の文書の出力指示を受けた場合、その出力先が、ローカルのプリンタ１０３及びファクシミリ装置１０５（ファクシミリ送信）、並びに複数のネットワークインタフェース１２０のいずれへのものかを判定する。

ボックス認証部１１７は、ユーザのボックスへのアクセス認証、及び到来した文書のボックスへの入力（保存）のための認証を行う。この認証は、例えば操作または文書入力の対象のボックスに設定されたパスワードを用いて行う。すなわち、ユーザがボックスの操作を開始しようとした場合、パスワードの入力を求め、これに応じて正しいパスワードが入力された場合に、そのユーザからの操作を許可する。また、ボックス宛のファクシミリ受信の場合、受信した文書に付随するパスワードがそのボックスに設定されたパスワードと合致する場合、その文書をそのボックスに蓄積することを許可する。また、ボックスに対してアクセス制御リストが設定されている場合、図示省略したユーザ認証機構が複合機１００は操作を行おうとするユーザに対してユーザ認証を行い、ボックス認証部１１７は、ユーザ認証により特定されたユーザがそのボックスのアクセス制御リストにより許可される権限の範囲内で、そのボックスに対する操作を許可する。例えば、ユーザがそのボックスについて、文書の蓄積及び印刷の権限は認めているが、ファクシミリ及びネットワーク経由での転送の権限を認めていない場合、ユーザからの転送指示は不許可とする。なお、ボックスにパスワードが設定されておらず、アクセス制御リストによるアクセス制御も行われない場合は、ユーザはそのボックスに対してすべての操作が許可される（ただし、別途、その操作に係るボックス内の文書の入出力先に応じた後述する操作制限は受ける）。

管理情報記憶部１１９は、ボックスへの入出力についての入出力制御部１１３の制御のために用いる管理情報を保持する。保持される管理情報には、ボックスごとに各入出力先からの入出力の許可・不許可を示すボックス入出力情報が含まれる。ボックス入出力情報は、例えば、ボックスごとに、そのボックスに対する操作指示又は文書の入力を許可する入力元、及びそのボックス内の文書の出力を許可する出力先を規定する。この場合、ボックス入出力情報に許可の旨が規定されない入力元からの入力、及び出力先への出力は許可されない。また、ボックス入出力情報は、許可する入力元及び出力先を規定する代わりに、不許可とする入力元及び出力先を規定するものであってもよい。この場合、ボックス入出力情報に不許可の旨が規定されない入力元からの入力、及び出力先への出力は許可される。また、ボックス入出力情報は、入力元と出力先について個別に規定するものに限らず、あるソース（またはネットワークインタフェース１２０）に対して、ボックスへの入力及び出力の両方を一括して許可又は不許可とする旨を規定するものであってもよい。

また、ボックス内の文書の意図せぬ漏洩の防止という観点では、ボックスへの入力（保存）を制限しなくてよい場合も考えられる。そのような場合には、ボックス入出力情報は、許可されるボックスからの出力先（又は不許可とするボックスからの出力先）を規定するものであれば足りる場合がある。ただし、前述したセキュリティ要件が異なる複数のネットワークに複合機１００が接続される例のように、セキュリティ要件が厳しいネットワークからの文書が、セキュリティ要件の緩いネットワークへの出力を許可するボックスに蓄積されると、そのボックスを介して後者のネットワークに漏洩するリスクがある。そこで、このような場合にはボックス入出力情報には、入力元についても規定する。

また、複合機１００のローカルの（すなわちネットワーク経由でない）入出力、すなわちスキャンやファクシミリ等からの文書のボックスへの保存、ボックス内の文書の印刷出力及びファクシミリ送信等は、複合機１００の基本的な機能であり、これらについてはデフォルトで許可としてもよい。以下に示すいくつかの具体例では、ボックスへのローカルの入出力は許可されているとする。この場合、ボックス入出力情報は、各ネットワークインタフェース１２０を経路とする入力及び出力の許可又は不許可を規定するものとなる。

入出力制御部１１３は、管理情報記憶部１１９に保持されたボックス入出力情報等の管理情報を参照して、ボックス記憶部１１１内の個々のボックスへの文書の入力及び出力の制御を行う。

次に、具体例を用いて、入出力制御部１１３の処理を説明する。

図４及び図５には、一つの具体例において用いる、管理情報記憶部１１９に保持される入出力経路アクセス権限情報、及びボックス入出力情報を示す。この例は、複合機１００が、図１に示したＬＡＮ１、ＬＡＮ２、及びWi-Fiという３つのネットワークに（これらに対応する３つのネットワークインタフェース１２０を介して）接続されている場合の例である。

図４に示す入出力経路アクセス権限情報は、ネットワークグループを規定する情報である。この情報は、ネットワークグループＩＤと、これに対応するネットワークインタフェース情報とを含む。ネットワークグループＩＤは、ネットワークグループを一意に識別するためのＩＤである。ネットワークインタフェース情報は、当該ネットワークグループＩＤのネットワークグループを構成するネットワークインタフェースのＩＤのリストである。図４の例では、「グループ１」は「ＬＡＮ１」というネットワークインタフェース１２０（及びその先に繋がるネットワーク）のみから構成され、「グループ５」は「ＬＡＮ１」及び「Wi-Fi」という２つのネットワークインタフェース１２０から構成される。このグループの情報は、図５に例示するボックス入出力情報において、ボックスに対する入出力を許可するグループを表すために用いられる。なお、「グループ４」は、ネットワークインタフェース情報の値が「Ｎｏｎｅ」（すなわち「なし」）となっているが、これはネットワークインタフェース１２０経由のボックスへの入出力を一切許可しない場合に用いられる。また、「グループ５」は、例えば「ＬＡＮ１」と「Wi-Fi」によってそれぞれ接続されるネットワークで同様のセキュリティ要件に従った文書を取り扱う場合に用いられる。このグループをボックスに対応付けた場合、そのボックスで取り扱う（すなわち保存したり出力したりする）文書は、ＬＡＮ１及びWi-Fiで通信するものに限られる。

図５に示すボックス入出力情報は、ボックス記憶部１１１内のボックスごとに、そのボックスへの入出力を許可するネットワークグループのＩＤを規定する。すなわち、図４及び図５の例では、ボックスに対応付けられたネットワークグループに属するネットワークインタフェース１２０は、そのボックスに対する入力及び出力の両方の経路として許可される。

図５の例では、「ボックス１」という名称のボックス（ボックスＩＤは「００１」）は、グループ１に対応付けられている。したがって、このボックス１については、グループ１に属する「ＬＡＮ１」というＩＤのネットワークインタフェース１２０を経由する入出力は許可されるが、他のネットワークインタフェース１２０を経由する入出力は許可されない。すなわち、ボックス１についてのネットワーク経由での文書の入出力の許可態様は以下のようになる。
１）ＬＡＮ１経由での文書保存は許可
２）ＬＡＮ２又はWi-Fi経由での文書保存は不許可
３）ＬＡＮ１経由での文書の出力（取り出し及び転送）は許可
４）ＬＡＮ２又はWi-Fi経由での文書の出力は不許可

なお、この例ではローカルの入出力はデフォルトで許可となっているので、ボックス１へのスキャン及びファクシミリ受信による文書の保存、及びボックス１内の文書の印刷及びファクシミリ送信による出力は許可される。

このように、図４及び図５に示した例は、ボックスごとにいわばそのボックスを利用可能なネットワークを規定するものである。この例では、ボックスのネットワーク経由で利用できる（すなわちボックスを操作できる、ボックスに文書を保存できる、ボックス内の装置を取り出せる、又はその文書の転送先となれる）のは、そのボックスに対応付けられたネットワークグループに属するネットワーク上の装置に限定される。したがって、複数のネットワークで共用される複合機１００内の各ボックスを、ネットワークごとに分離することができる。また、この例では、ローカルから（すなわちスキャナ１０１又はファクシミリ装置１０５から）ボックス内に保存された文書についても、リモートのコンピュータからその文書を取り出したり、リモートのコンピュータにその文書を転送したりする際に、そのボックスについてのボックス入出力情報が適用される。したがって、そのようなローカルからボックスに保存した文書についても、ボックスを介して意図せぬネットワークに漏洩することが防止される。

次に図６及び図７を参照して、入出力制御部１１３が実行する処理手順の一例を説明する。

図６は、ユーザがローカルのＵＩ（表示装置１０７）の画面上であるボックスを操作対象として指定した場合に、入出力制御部１１３が行う処理の例を示す。この場合、入出力制御部１１３は、ボックス認証部１１７にそのボックスについてのアクセス認証処理を行わせる（Ｓ１０）。ボックス認証部１１７は、そのボックスにパスワードが設定されている場合は、パスワード入力画面をＵＩに表示し、ユーザにパスワード入力を求める。これに応じてユーザが入力したパスワードがそのボックスに設定されたパスワードと一致すれば、ボックス認証部１１７は、認証成功とする。また、ボックスへのアクセスをユーザ認証ベースのアクセス制御リストにより制御する方式の場合は、ボックス認証部１１７は、図示しないユーザ認証機構にユーザのログイン認証を行わせ、このログイン認証が成功した場合、そのユーザのユーザＩＤをユーザ認証機構から得る。そして、そのユーザＩＤがそのボックスに対して何らかのアクセス権（例えばボックスへの文書の保存又は取り出し等の権限）を持っているか否かをそのボックスのアクセス制御リストから判定する。そのユーザがそのボックスに何らかのアクセス権を持っていれば、ボックス認証部１１７はＳ１０の認証を成功とし、一切アクセス権を持っていなければ認証を失敗とする。入出力制御部１１３は、ボックス認証部１１７の認証が成功したか否かを判定する（Ｓ１２）

ボックス認証部１１７の認証が失敗した場合、入出力制御部１１３は、指定されたボックスについての操作が実行不可であることを示すエラー画面をローカルのＵＩに表示し（Ｓ１４）、処理を終了する。

ボックス認証部１１７の認証が成功した場合、入出力制御部１１３は、そのボックスに関するユーザからの指示が、そのボックス内の文書をネットワーク経由で転送する操作を指示するものであるかどうかを判定する（Ｓ１６）。例えばＦＴＰ(File Transfer Protocol)やＳＭＴＰ（Simple Mail Transfer Protocol）のようなネットワーク転送のプロトコルを用いた転送操作が指示された場合、Ｓ１６の判定結果はＹｅｓとなる。逆に、そのボックス内の文書の印刷出力、ファクシミリ送信、又はそのスキャン結果の文書のボックス内への保存等の、ネットワーク経由の転送以外の操作が指示された場合は、Ｓ１６の判定結果がＮｏとなる。

Ｓ１６の判定結果がＮｏの場合、入出力制御部１１３は、ユーザが指示した処理を実行する（Ｓ１８）。例えば、ユーザが、スキャンした文書をそのボックスに保存する操作を指示した場合、入出力制御部１１３は、スキャナ１０１が生成した文書を受け取ってボックス記憶部１１１内のそのボックスに保存する。

Ｓ１６の判定結果がＹｅｓの場合、入出力制御部１１３は、ユーザから指示された転送（送信）の転送先への出力経路がどのネットワークインタフェース１２０となるかを入出力先判定部１１５に判定させる。入出力先判定部１１５は、この判定を、例えば、転送先のアドレス（例えばＩＰアドレス）がどのネットワークインタフェース１２０の先にあるネットワークのものかを判定することで行えばよい。そして、入出力制御部１１３は、管理情報記憶部１１９を参照して、入出力先判定部１１５が判定したネットワークインタフェース１２０が、ボックス入出力情報において当該ボックス内の文書の出力経路として許可されているか否かを判定する（Ｓ２０）。図４及び図５の例の場合、当該ボックスに対応付けられたネットワークグループ内に、そのネットワークインタフェース１２０が含まれる場合Ｓ２０の判定結果はＹｅｓとなり、含まれない場合はＳ２０の判定結果はＮｏとなる。

Ｓ２０の判定結果がＮｏの場合、入出力制御部１１３は、指示された操作が実行不可であることを示すエラー画面をローカルのＵＩに表示し（Ｓ１４）、処理を終了する。

Ｓ２０の判定結果がＹｅｓの場合、入出力制御部１１３は、転送対象に指定された文書を、指定された転送先に転送する（Ｓ２２）。

図７は、ユーザが複合機１００とネットワークを介して接続されたリモートのコンピュータからボックスに対する操作を指示した場合の入出力制御部１１３が行う処理の例を示す。リモートからのボックスの操作には、例えばボックスに対する文書の保存（すなわち当該コンピュータからボックスへのアップロード）、ボックス内の文書の取り出し（ボックスから当該コンピュータへのダウンロード）、ボックスの操作画面の表示等がある。

この場合、入出力制御部１１３は、ボックス認証部１１７にそのボックスについてのアクセス認証処理を行わせる（Ｓ３０）。リモートからの指示がそのボックス宛の文書保存指示である場合、ボックス認証部１１７は、例えば、そのボックスに設定されているパスワードがその文書保存指示に含まれているか調べ、含まれていれば認証成功、そうで無ければ認証失敗と判定する。また、リモートのユーザからボックスへのアクセス要求を受けた場合は、ボックス認証部１１７は、ボックスのパスワードの入力を求め、これに応じて正しいパスワードが入力された場合に、認証成功とする。また、ボックスへのアクセスをアクセス制御リストにより制御する方式の場合は、図６の場合と同様、ユーザ認証が成功していれば、ボックス認証部１１７は、ログインが成功しているユーザＩＤをユーザ認証機構から得て、そのユーザＩＤがそのボックスに対して何らかのアクセス権を持っているか否かをそのボックスのアクセス制御リストから判定する。そのユーザがそのボックスに何らかのアクセス権を持っていれば、ボックス認証部１１７はＳ３０の認証を成功とする。

ボックス認証部１１７の認証が失敗した場合、入出力制御部１１３は、指定されたボックスについての操作が実行不可であることを示すエラー情報をリモートの指示元の装置に表示し（Ｓ３４）、処理を終了する。

ボックス認証部１１７の認証が成功した場合、入出力制御部１１３は、そのボックスに関するリモートのユーザからの指示が、そのボックスへの文書の保存（アップロード）指示、又はボックス内の文書の取り出し（ダウンロード）指示であるかどうかを判定する（Ｓ３６）。

Ｓ３６の判定結果がＮｏの場合、入出力制御部１１３は、ユーザが指示した処理を実行する（Ｓ４０）。例えば、ユーザの指示が、そのボックス内の操作画面の表示を求めるものであれば、その操作画面の情報をそのユーザのコンピュータにネットワーク経由で送信する。

Ｓ３６の判定結果がＹｅｓの場合、入出力制御部１１３は、そのリモートのユーザからの指示を受け取った経路がどのネットワークインタフェース１２０であるかを入出力先判定部１１５に判定させる。そして、入出力制御部１１３は、管理情報記憶部１１９を参照して、入出力先判定部１１５が判定したネットワークインタフェース１２０が、ボックス入出力情報において当該ボックス内の文書の入力または出力の経路として許可されているか否かを判定する（Ｓ３８）。この判定では、文書保存指示の場合は、判定したネットワークインタフェース１２０が入力経路として許可されているか否かを判定し、文書のとりだし指示の場合は、そのネットワークインタフェース１２０が出力経路として許可されているかを判定する。図４及び図５の例の場合、入出力を区別していないので、当該ボックスに対応付けられたネットワークグループ内に、そのネットワークインタフェース１２０が含まれる場合、Ｓ３８の判定結果はＹｅｓとなり、含まれない場合はＳ４０の判定結果はＮｏとなる。

Ｓ３８の判定結果がＮｏの場合、入出力制御部１１３は、指示された操作が実行不可であることを示すエラー情報をリモートのユーザのコンピュータに返し（Ｓ３４）、処理を終了する。Ｓ３８の判定結果がＹｅｓの場合、入出力制御部１１３は、ユーザから指示された操作、例えばボックスへの文書の保存、又はボックス内の文書の取り出しを実行する（Ｓ４０）。

図７の手順では、リモートのコンピュータからボックスへの操作指示を受けると、その指示とそのコンピュータのあるネットワークとの組合せから、その指示に係る操作が許可できるか否かを判定したが、この指示と判定の順序は一例に過ぎない。この代わりに、ユーザがリモートから複合機１００内のボックスにアクセスした際、そのコンピュータからそのボックスに対して文書の入力又は出力が認められるかを入出力制御部１１３が判定し、認められない操作は例えば操作画面上に選択不可状態（すなわちその操作を画面上で選択できない状態）で表示してもよい。

図７の処理によれば、ボックスに対してユーザがリモートのコンピュータからアクセスした場合、ユーザがそのボックスにアクセス権を持っていたとしても、そのコンピュータがそのボックスに対する入力又は出力を許可されないネットワーク上にある場合には、そのボックスに対する文書の保存又は取り出しを行うことはできない。ただし、この場合でも、文書の保存又は取り出し以外のそのボックスに対するある範囲の操作は許可されるようにしてもよい。また、ボックスにアクセスするコンピュータがそのボックスに対する入力又は出力を許可されないネットワーク上にある場合に、そのボックスの操作画面の表示すら許可しないようにしてもよい。

次に図８及び図９を参照して、管理情報記憶部１１９に保持されるボックス入出力情報の別の例を説明する。

図８は、この例における入出力経路アクセス権限情報の一例を示す。この入出力経路アクセス権限情報は、図４の例と異なり、入力経路と出力経路とに分けて規定されている。すなわち、図８の入出力アクセス権限情報は、入力許可経路と出力許可経路の組合せを１つのパターンとして、１以上のパターンを規定している、入力許可経路は、そのボックスに対する文書の入力経路として許可される１以上のネットワークインタフェース１２０であり、出力許可経路は、そのボックス内の文書の出力経路として許可される１以上のネットワークインタフェース１２０である。例えば、パターン３は、ボックスへの入力経路として、ＬＡＮ１、ＬＡＮ２及びWi-Fiの３つのネットワークインタフェース１２０を許可するが、出力経路としては１つのネットワークインタフェース１２０も許可しない（「Ｎｏｎｅ」）。これは、当該ボックス内の文書は、ネットワーク経由での出力は一切許可しないことを意味する。

図９に示すボックス入出力情報は、ボックス記憶部１１１内のボックスごとに、そのボックスに設定された入出力アクセス権限情報のパターンＩＤを規定する。

図９の例では、ボックス１（ボックスＩＤは「００１」）は、パターン１に対応付けられている。したがって、このボックス１については、ＬＡＮ１及びWi-Fiの２つのネットワークインタフェース１２０を経由する文書の入力（保存）と、ＬＡＮ１を経由する文書の出力が許可される。したがって、図１に例示したＬＡＮ１、ＬＡＮ２及びWi-Fiに接続された複合機１００の場合、ボックス１についてのネットワーク経由での文書の入出力の許可態様は以下のようになる。
１）ＬＡＮ１又はWi-Fi経由での文書保存は許可
２）ＬＡＮ２経由での文書保存は不許可
３）ＬＡＮ１経由での文書の出力（取り出し及び転送）は許可
４）ＬＡＮ２又はWi-Fi経由での文書の出力は不許可

このボックス１に対応付けられたパターン１は、例えば、ＬＡＮ１及びWi-Fiが接続されるネットワークは同様の機密が要求される文書を扱うものであるが、ＬＡＮ１の方がWi-Fiよりもネットワークとしてのセキュリティが高い場合に有用である。すなわち、ボックス１への文書の入力は当該文書については１回きりの話なのでＬＡＮ１及びWi-Fiの両方からの入力を認めても漏洩リスクは少ないが、文書の出力は、１つの文書について何回も行われるので、Wi-Fiよりも漏洩リスクが少ないと考えられるＬＡＮ１のみを許可することで、漏洩リスクを低減するのである。

また、パターン３が設定されたボックス３の場合、ネットワーク経由での文書の入出力の許可態様は以下のようになる。
１）ＬＡＮ１、ＬＡＮ２又はWi-Fi経由での文書保存は許可
２）ＬＡＮ１、ＬＡＮ２又はWi-Fi経由での文書の出力（取り出し及び転送）は不許可
なお、図８に例示したパターンはいずれも出力許可経路として指定されるネットワークインタフェース１２０が１つだけであったが、出力許可経路に複数のネットワークインタフェース１２０が設定されていてもよい。

この図８及び図９に例示した入出力経路アクセス権限情報及びボックス入出力情報に基づく入出力制御部１１３の制御の手順は、図６及び図７に示した手順と同様でよい。

次に、未指定時情報を用いたボックス内の文書の出力制御の例を説明する。

ボックスに対して、文書の出力経路として許可されるネットワークインタフェース１２０が複数設定されている場合がある。例えば図４のグループ５が設定されているボックスがあった場合、そのボックスはこのケースに該当する。このようなボックス内の文書をネットワーク経由で転送する場合、出力経路として設定されている複数のネットワークインタフェース１２０のどれ用いてもその転送先に文書が転送できる場合がある。この場合、転送を指示するユーザがその文書の転送の経路とするネットワークインタフェース１２０を明示的に指定しないと、その文書は、それら複数のネットワークインタフェース１２０のうちオペレーティングシステムに選ばれたものを経由して転送されることとなる。しかし、例えば前に例示したＬＡＮ１とWi-Fiの関係のように、文書出力が許可される経路としてボックスに設定されている複数のネットワークインタフェース１２０が、同じネットワークに接続されているものの、転送データの漏洩リスクの点では優劣がある場合がある。この場合、それら複数のネットワークインタフェース１２０からオペレーティングシステムが選択するネットワークインタフェース１２０が、漏洩リスクの点でよりよいものであるとは限らない。

以上、ユーザが文書転送の経路となるネットワークインタフェース１２０を指定しない場合を例にとったが、例えば文書の転送を含む処理フロー（特開２０１３－１３８２８４号公報に示される指示書がその一例）をボックスに適用する場合に、その処理フローには転送先の装置の名前やアドレス等は記述されるが、経由するネットワークインタフェースまでは規定されない場合が多い。したがって、ボックスに対して処理フローを用いる場合も、同様の事態が起こり得る。

このような事態を防止するために、この例では、ボックスに対して未指定時情報を設定可能とする。未指定時情報は、ボックス内の文書をネットワーク経由で転送する際に出力経路のネットワークインタフェース１２０がユーザや処理フロー等により明示的に指定されていない場合に、出力経路として用いるネットワークインタフェース１２０を規定する。

図１０に、図４の入出力経路アクセス権限情報に未指定時情報の項目を追加した例を示す。未指定時情報の項目に示されるネットワークインタフェース１２０は、ネットワークインタフェース情報の項目に示される１以上のネットワークインタフェース１２０から選ばれる。図示例では、グループ６が設定されたボックスは、ＬＡＮ１及びWi-Fi経由で文書の保存及び取り出し・転送が許可されるが、ボックス内の文書の転送指示において経由するネットワークインタフェース１２０がユーザ等から指定されない場合、入出力制御部１１３は、その指示に係る転送の際に、未指定時情報に規定されるＬＡＮ１を経路として選択する。

このような制御により、ボックス内の文書の転送において経路とするネットワークインタフェース１２０が明示的に指定されなかった場合に、オペレーティングシステムにより漏洩等の観点で劣っているネットワークインタフェース１２０が経路として選ばれることが防止される。

なお、以上の実施形態及びその変形例において、ボックス内の文書の転送の際に経由するネットワークインタフェース１２０としてユーザが明示的に指定したものが、そのボックスのボックス入出力情報において出力経路として許可されないものである場合には、入出力制御部１１３は、その転送を実施せず、ユーザに対して実行不可の旨を応答する。

図１０は、図４の入出力経路アクセス権限情報に未指定時情報の項目を加えたものであったが、図８の入出力経路アクセス権限情報にも同様に未指定時情報の項目を加えて運用することができる。

以上に例示した複合機１００の主制御部１１０は、例えば、複合機１００に内蔵されるコンピュータにそれら各装置内の各機能モジュールの機能を表すプログラムを実行させることにより実現してもよい。ここで、コンピュータは、例えば、ハードウエアとして、ＣＰＵ等のプロセッサ、ランダムアクセスメモリ（ＲＡＭ）およびリードオンリメモリ（ＲＯＭ）等のメモリ（一次記憶）、ＨＤＤ（ハードディスクドライブ）を制御するＨＤＤコントローラ、各種Ｉ／Ｏ（入出力）インタフェース、ローカルエリアネットワークなどのネットワークとの接続のための制御を行うネットワークインタフェース等が、たとえばバスを介して接続された回路構成を有する。また、そのバスに対し、例えばＩ／Ｏインタフェース経由で、ＣＤやＤＶＤなどの可搬型ディスク記録媒体に対する読み取り及び／又は書き込みのためのディスクドライブ、フラッシュメモリなどの各種規格の可搬型の不揮発性記録媒体に対する読み取り及び／又は書き込みのためのメモリリーダライタ、などが接続されてもよい。上に例示した各機能モジュールの処理内容が記述されたプログラムがＣＤやＤＶＤ等の記録媒体を経由して、又はネットワーク等の通信手段経由で、ハードディスクドライブ等の固定記憶装置に保存され、コンピュータにインストールされる。固定記憶装置に記憶されたプログラムがＲＡＭに読み出されＣＰＵ等のプロセッサにより実行されることにより、上に例示した機能モジュール群が実現される。

１００ 複合機、１０１ スキャナ、１０３ プリンタ、１０５ ファクシミリ装置、１０７ 表示装置、１０９ 不揮発性記憶装置、１１０ 主制御部、１１１ ボックス記憶部、１１３ 入出力制御部、１１５ 入出力先判定部、１１７ ボックス認証部、１１９ 管理情報記憶部、１２０ ネットワークインタフェース、２００ コンピュータ。

Claims (9)

1. 複数のネットワークインタフェースと、
   データを保存する保存領域と、
   前記保存領域に保存されているデータの出力経路として許可されるネットワークインタフェースを規定する規定情報を前記保存領域と対応付けて記憶する記憶手段と、
   前記保存領域に保存されているデータに対して、そのデータを出力する出力先の指示をユーザから受け付ける受付手段と、
   前記複数のネットワークインタフェースのうち、前記受付手段によりユーザから受け付けられた前記出力先への出力経路となるネットワークインタフェースが、前記保存領域に対応する前記規定情報により前記出力経路として許可されていない場合には、前記データを前記出力先に対して出力しないよう制御する出力制御手段と、
   を含む情報処理装置。
2. 前記記憶手段は、前記保存領域に対して保存するデータの入力経路として許可されるネットワークインタフェースを規定する第２規定情報を前記保存領域と対応付けて更に記憶する、請求項１に記載の情報処理装置。
3. 前記複数のネットワークインタフェースのうち、前記保存領域に対応する前記第２規定情報により前記入力経路として許可されるネットワークインタフェース以外のネットワークインタフェースを介して前記保存領域内にデータが保存されないように制御する保存制御手段、を更に含む、請求項２に記載の情報処理装置。
4. 前記規定情報は、前記出力経路として許可されるネットワークインタフェースを、前記保存領域に対して保存するデータの入力経路として許可されるものとしても規定するものであり、
   前記複数のネットワークインタフェースのうち、前記規定情報により規定される前記ネットワークインタフェース以外のネットワークインタフェースを介して前記保存領域内にデータが保存されないように制御する保存制御手段、を更に含む請求項１に記載の情報処理装置。
5. 前記保存領域を複数含み、
   前記記憶手段は、前記保存領域ごとにそれぞれ対応する前記規定情報を記憶する、請求項１～４のいずれか１項に記載の情報処理装置。
6. 複数のネットワークインタフェースと、
   データを保存する保存領域と、
   前記保存領域に保存されているデータの出力経路として許可されるネットワークインタフェースを規定する規定情報を前記保存領域と対応付けて記憶する記憶手段と、
   を含み、
   前記規定情報は、前記保存領域に保存されているデータの出力経路として許可されるネットワークインタフェース、又は許可されないネットワークインタフェースを、前記複数のネットワークインタフェースの中の１以上のネットワークインタフェースからなるグループを単位として規定する情報である、情報処理装置。
7. 複数のネットワークインタフェースと、
   データを保存する保存領域と、
   前記保存領域に保存されているデータの出力経路として許可されるネットワークインタフェースを規定する規定情報を前記保存領域と対応付けて記憶する記憶手段と、
   前記保存領域に対応付けて未指定時用の出力ネットワークインタフェース情報を保持する手段と、
   前記保存領域内のデータをネットワーク経由で出力する指示に、そのデータの出力経路とするネットワークインタフェースの指定がない場合に、未指定時用の出力ネットワークインタフェース情報が示すネットワークインタフェースを経由してそのデータを出力する手段と、
   を含む情報処理装置。
8. 前記受付手段によりユーザから受け付けられた指示が、前記複数のネットワークインタフェースを経由しない出力先を指示するものであった場合は、前記出力制御手段は、指示された出力先への出力を実行することを特徴とする、
   請求項１～５のいずれか１項に記載の情報処理装置。
9. 複数のネットワークインタフェースを備えるコンピュータを、
   データを保存する保存領域、
   前記保存領域に保存されているデータの出力経路として許可されるネットワークインタフェースを規定する規定情報を前記保存領域と対応付けて記憶する記憶手段、
   前記保存領域に保存されているデータに対して、そのデータを出力する出力先の指示をユーザから受け付ける受付手段、
   前記複数のネットワークインタフェースのうち、前記受付手段によりユーザから受け付けられた前記出力先への出力経路となるネットワークインタフェースが、前記保存領域に対応する前記規定情報により前記出力経路として許可されていない場合には、前記データを前記出力先に対して出力しないよう制御する出力制御手段、
   として機能させるためのプログラム。

Images