セキュリティポリシー切替装置、セキュリティポリシー切替プログラム及びセキュリティポリシー管理システム
【課題】共通のポリシーで保護された複数の文書のうちの一部を異なるポリシーに切替可能にする。
【解決手段】ポリシーのＩＤ及び当該ポリシーの名称に、利用範囲、利用範囲毎に設定される有効期間及び許諾機能リストを含むポリシー設定情報が対応付けして登録されるセキュリティポリシーＤＢ３５と、文書ＩＤ、当該文書が従っているセキュリティポリシーのＩＤ、作成したユーザのＩＤ、文書の作成日時が対応付けして登録される文書情報ＤＢ３６と、外部機器から送られてくる、切替対象となる文書のＩＤ、切り替えるポリシーのＩＤ、要求するユーザのＩＤを含む切替え要求に応じて、当該文書に付与するポリシーを切り替えるセキュリティポリシー切替部３４と、を有する。
【解決手段】ポリシーのＩＤ及び当該ポリシーの名称に、利用範囲、利用範囲毎に設定される有効期間及び許諾機能リストを含むポリシー設定情報が対応付けして登録されるセキュリティポリシーＤＢ３５と、文書ＩＤ、当該文書が従っているセキュリティポリシーのＩＤ、作成したユーザのＩＤ、文書の作成日時が対応付けして登録される文書情報ＤＢ３６と、外部機器から送られてくる、切替対象となる文書のＩＤ、切り替えるポリシーのＩＤ、要求するユーザのＩＤを含む切替え要求に応じて、当該文書に付与するポリシーを切り替えるセキュリティポリシー切替部３４と、を有する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、セキュリティポリシー切替装置、セキュリティポリシー切替プログラム及びセキュリティポリシー管理システムに関する。
【背景技術】
【０００２】
現在、情報セキュリティに関する基本方針、すなわちセキュリティポリシー（以下、単に「ポリシー」とも言う）を策定し、そのセキュリティポリシーに従って電子文書等のデータを管理している企業が少なくない。このような企業では、例えばＤＲＭ（Ｄｏｃｕｍｅｎｔ Ｒｉｇｈｔｓ Ｍａｎａｇｅｍｅｎｔ）と呼ばれる技術を利用することによって、個々の電子文書に対して有効期間や印刷可／不可、あるいは編集可／不可などのアクセス制御を行うためのアクセス権をユーザ毎に付与することができる。また、ＤＲＭを利用することによって、サーバに共通ポリシーを予め作成しておき、複数の異なる電子文書を同一のポリシー（共通ポリシー）で保護するように設定することも可能である。このように、組織内で共通して用いるポリシーを定義しておくことで、その共通ポリシーを組織内の全ての文書に適用するという運用が可能となる。
【０００３】
また、電子文書に限定せずに、紙文書と電子文書のポリシーを同一のポリシーで管理し、かつ、複数の文書に対して統一的なポリシールールを適用できるような技術が提案されている（例えば、特許文献１）。この従来技術では、一つのポリシー上で紙文書に関するものと電子文書に対するものを統合管理することが可能になる。
【０００４】
【特許文献１】特開２００５−３８３７１号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかしながら、従来においては、一つのポリシーで保護された複数の文書のうち特定の文書のみのポリシーを変更したいというような運用には対応できないという問題があった。
【０００６】
本発明は、共通のポリシーで保護された複数の文書のうちの一部を異なるポリシーに切替可能にすることを目的とする。
【課題を解決するための手段】
【０００７】
本発明に係るセキュリティポリシー切替装置は、ポリシーの設定内容と当該ポリシーを付与するユーザの識別情報とを含むポリシー設定情報に、当該ポリシーの識別情報を対応付けして記憶するポリシー情報記憶手段と、ポリシーの設定対象となるデータの識別情報に、当該データに付与するポリシーの識別情報を対応付けして記憶するデータ情報記憶手段と、ポリシーの切替え対象となるデータの識別情報及び切替えを指示するユーザの識別情報が指定された切替え要求に応じて、前記データ情報記憶手段に記憶されている当該データに付与されているポリシーの識別情報を、その他のポリシーの識別情報で更新することによって、当該データに付与するポリシーを切り替えるポリシー切替手段と、を有することを特徴とする。
【０００８】
また、前記ポリシー切替手段は、当該データに付与されているポリシーに基づき許可された操作の一つにポリシーの切替えが含まれている場合のみ当該データに付与するポリシーの切替えを許可することを特徴とする。
【０００９】
また、前記ポリシー切替手段は、更に切替えにより付与するポリシーの識別情報が切替え要求に指定されていた場合、その指定されたポリシーの識別情報によって、前記データ情報記憶手段に記憶されている当該データに付与するポリシーの識別情報を更新することを特徴とする。
【００１０】
また、前記ポリシー切替手段は、切替え対象として指定されたポリシー識別情報に対応するポリシーに基づき許可される操作が、当該データに付与されているポリシーに基づき許可された操作より制限されている場合のみ当該データに付与するポリシーの切替えを許可することを特徴とする。
【００１１】
また、前記ポリシー設定情報には、切替え要求に応じて切替え可能なポリシーの識別情報が含まれており、前記ポリシー切替手段は、更に切替えにより付与するポリシーの識別情報が切替え要求に指定されていなかった場合、前記ポリシー設定情報に含まれる前記切替え可能なポリシーの識別情報で前記データ情報記憶手段に記憶されている当該データに付与されているポリシーの識別情報を更新することを特徴とする。
【００１２】
また、前記ポリシー設定情報には、切替え要求に応じて切替え可能なポリシーの識別情報が含まれており、前記ポリシー切替手段は、更に切替えにより付与するポリシーの識別情報が切替え要求に指定されており、かつ、当該指定されたポリシーの識別情報が、前記切替え可能なポリシー設定情報に含まれている場合、指定されたポリシーの識別情報で前記データ情報記憶手段に記憶されている当該データに付与されているポリシーの識別情報を更新することを特徴とする。
【００１３】
本発明に係るセキュリティポリシー切替プログラムは、セキュリティポリシーサーバコンピュータを、ポリシーの設定内容と当該ポリシーを付与するユーザの識別情報とを含むポリシー設定情報に、当該ポリシーの識別情報を対応付けして記憶するポリシー情報記憶手段、ポリシーの設定対象となるデータの識別情報に、当該データに付与するポリシーの識別情報を対応付けして記憶するデータ情報記憶手段、ポリシーの切替え対象となるデータの識別情報及び切替えを指示するユーザの識別情報が指定された切替え要求に応じて、前記データ情報記憶手段に記憶されている当該データに付与されているポリシーの識別情報を、その他のポリシーの識別情報で更新することによって、当該データに付与するポリシーを切り替えるポリシー切替手段、として機能させる。
【００１４】
本発明に係るセキュリティポリシー管理システムは、セキュリティポリシーサーバコンピュータと、セキュリティポリシーの設定に用いるクライアントコンピュータと、を有し、前記セキュリティポリシーサーバコンピュータは、ポリシーの設定内容と当該ポリシーを付与するユーザの識別情報とを含むポリシー設定情報に、当該ポリシーの識別情報を対応付けして記憶するポリシー情報記憶手段と、ポリシーの設定対象となるデータの識別情報に、当該データに付与するポリシーの識別情報を対応付けして記憶するデータ情報記憶手段と、ポリシーの切替え対象となるデータの識別情報及び切替えを指示するユーザの識別情報が指定された切替え要求に応じて、前記データ情報記憶手段に記憶されている当該データに付与されているポリシーの識別情報を、その他のポリシーの識別情報で更新することによって、当該データに付与するポリシーを切り替えるポリシー切替手段と、を有し、前記クライアントコンピュータは、ポリシーの切替え対象となるデータの識別情報及び切替えを指示するユーザの識別情報が指定された切替え要求を前記セキュリティポリシーサーバコンピュータに送信する手段を有することを特徴とする。
【発明の効果】
【００１５】
請求項１記載の発明によれば、複数のデータに対して同一のポリシーが設定されている場合でも、その複数のデータの中からポリシーの切替え対象として指定されたデータのみのポリシーを、その他のポリシーに切り替えることができる。
【００１６】
請求項２記載の発明によれば、切替えを指示したユーザがポリシーの切替え対象として指定したデータに対してポリシーの切替えの権限を有する場合にのみ、当該データに付与するポリシーの切替えを許可することができる。
【００１７】
請求項３記載の発明によれば、ポリシーの切替え対象として指定されたデータに付与するポリシーを、ユーザにより指示されたポリシーに切り替えることができる。
【００１８】
請求項４記載の発明によれば、ポリシーを切り替える際、設定ミスなどによって不要なアクセス権を付与したり、今まで付与していたアクセス権より広い範囲のアクセス権を付与するということを未然に防止することができる。
【００１９】
請求項５記載の発明によれば、切替えにより付与するポリシーの識別情報が切替え要求に指定されていなくても、ポリシーの切替え対象として指定されたデータに付与するポリシーを、予め設定されているポリシーに切り替えることができる。
【００２０】
請求項６記載の発明によれば、切替えにより付与するポリシーの識別情報が切替え要求に指定されていた場合に、予め設定されている切り替え対象のポリシーの識別情報と突合することにより、ポリシーの切替え対象として指定されたデータのポリシーを、ユーザにより指示されたポリシーに切り替えることができる。
【００２１】
請求項７記載の発明によれば、セキュリティポリシーサーバコンピュータに、複数のデータに対して同一のポリシーが設定されている場合でも、その複数のデータの中からポリシーの切替え対象として指定されたデータのみのポリシーを、その他のポリシーに切り替えさせることができる。
【００２２】
請求項８記載の発明によれば、複数のデータに対して同一のポリシーが設定されている場合でも、その複数のデータの中からポリシーの切替え対象として指定されたデータのみのポリシーを、その他のポリシーに切り替えることができる。
【発明を実施するための最良の形態】
【００２３】
以下、図面に基づいて、本発明の好適な実施の形態について説明する。
【００２４】
図１は、本発明に係るセキュリティポリシー管理システムの一実施の形態を示した全体構成図である。図１には、ユーザ認証サーバ２３、セキュリティポリシーサーバ３０、クライアントとなるパーソナルコンピュータ（ＰＣ）（以下、「クライアントＰＣ」）５０及び複合機４０がネットワークの一形態であるＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）２２に接続された構成が示されている。なお、図１には、クライアントＰＣ５０と複合機４０をそれぞれ１台ずつ示したが、それぞれ複数台をＬＡＮ２２に接続するよう構成してもよい。
【００２５】
図１において、ユーザ認証サーバ２３は、ユーザ認証を一元的に管理するサーバコンピュータである。クライアントＰＣ５０などの他の機器上では、ユーザを認証して、機器の利用ができるように制御されるが、その際、このユーザ認証サーバ２３に問い合わせる。ユーザ認証サーバ２３は、ＬＤＡＰ（Ｌｉｇｈｔｗｅｉｇｈｔ Ｄｉｒｅｃｔｏｒｙ Ａｃｃｅｓｓ Ｐｒｏｔｏｃｏｌ）サーバ、あるいは、Ｗｉｎｄｏｗｓ（登録商標） Ａｃｔｉｖｅ Ｄｉｒｅｃｔｏｒｙなどのサーバでよい。
【００２６】
セキュリティポリシーサーバ３０は、ポリシー切替装置として動作しつつ、本システム上で扱われるセキュリティで保護された電子文書及び紙文書（以下、「保護文書」と総称）に対するアクセス権を管理する役割を持つ。
【００２７】
クライアントＰＣ５０は、セキュリティポリシーサーバ３０と通信して、保護されていない文書にセキュリティポリシーを付与することによって保護された電子文書（以下、「保護電子文書」ともいう）を作成する。また、クライアントＰＣ５０上では、保護電子文書をセキュリティポリシー上で許可された範囲で、閲覧、印刷、編集などの処理を行う文書アプリケーションが動作する。更に、既存の保護電子文書のポリシーの切替え機能を有している。
【００２８】
複合機４０は、複数の機能が搭載された画像処理装置の一形態である。本実施の形態における複合機４０は、基本機能として、プリンタとコピーの機能を有している。本システムでは、これらの基本機能に加え、コンピュータを内蔵していることからクライアントＰＣ５０と同様にクライアントコンピュータとしても動作可能であり、セキュリティポリシーサーバ３０と通信することで、ポリシー上許可された範囲で、保護電子文書の印刷、保護された紙文書（以下、「保護紙文書」ともいう）のコピー、スキャン等の機能を提供する。また、既存の保護紙文書のポリシーの切替え機能を有している。
【００２９】
ここで、本実施の形態において取り扱う保護文書について説明する。本実施の形態では、前述したように、セキュリティポリシーが付与され、操作が制限される文書を保護文書と呼ぶことにしている。保護文書は、電子文書、紙文書の２種類ある。いずれの場合も、セキュリティポリシーサーバ３０上では、特定のポリシーと対応付けられ、文書の識別情報（文書ＩＤ）が付与され管理される。
【００３０】
図２は、本実施の形態におけるセキュリティポリシーサーバ３０を形成するサーバコンピュータのハードウェア構成図である。本実施の形態におけるセキュリティポリシーサーバ３０は、従前から存在する汎用的なハードウェア構成で実現できる。すなわち、コンピュータは、図２に示したようにＣＰＵ１、ＲＯＭ２、ＲＡＭ３、ハードディスクドライブ（ＨＤＤ）４を接続したＨＤＤコントローラ５、入力手段として設けられたマウス６とキーボード７、及び表示装置として設けられたディスプレイ８をそれぞれ接続する入出力コントローラ９、通信手段として設けられたネットワークコントローラ１０を内部バス１１に接続して構成される。
【００３１】
なお、性能的に差異はあるかもしれないが、ユーザ認証サーバ２３及びクライアントＰＣ５０もコンピュータで形成されることから、それぞれのハードウェア構成は、図２と同じように図示することができる。
【００３２】
図３は、本実施の形態における複合機４０のハードウェア構成図である。複合機４０は、上記の通りコピー機能、スキャナ機能等各種機能を搭載した複合機であり、コンピュータを内蔵した装置である。図３において、ＣＰＵ２１は、ＲＯＭ１９に格納されたプログラムにしたがってスキャナ１４やプリンタエンジン１６等複合機４０に搭載された各種機構の動作制御を行う。アドレスデータバス１２は、ＣＰＵ２１の制御対象となる各種機構と接続してデータの通信を行う。操作パネル１３は、ユーザからの指示の受け付け、情報の表示を行う。スキャナ１４は、ユーザがセットした原稿を読み取り、電子データとしてＨＤＤ１５等に蓄積する。ＨＤＤ１５は、スキャナ１４を使用して読み取った電子文書などを格納する。親展ボックスもＨＤＤ１５に設けられる。プリンタエンジン１６は、ＣＰＵ２１で実行される制御プログラムからの指示に従い出力用紙上に画像を印字する。ネットワークインタフェース（Ｉ／Ｆ）１７は、ＬＡＮ２２を接続し、複合機４０が生成した電子データの送信、複合機４０宛に送信されてきた電子メールの受信、またブラウザ経由による複合機４０へのアクセスなどに利用される。ＲＡＭ１８は、プログラム実行時のワークメモリや電子データ送受信時の通信バッファとして利用される。ＲＯＭ１９は、複合機４０の制御や電子データの暗号、電子データの送受信に関する各種プログラムが格納されている。各種プログラムが実行されることで後述する各構成要素が所定の処理機能を発揮する。外部メディアインタフェース（Ｉ／Ｆ）２０は、ＵＳＢメモリ、フラッシュメモリ等の外部メモリ機器とのインタフェースである。
【００３３】
図４は、本実施の形態におけるセキュリティポリシーサーバ３０のブロック構成図である。図４には、セキュリティポリシー登録部３１、セキュリティポリシー一覧応答部３２、セキュリティポリシー検索部３３、セキュリティポリシー切替部３４、セキュリティポリシーデータベース（ＤＢ）３５及び文書情報データベース（ＤＢ）が示されている。セキュリティポリシー登録部３１は、複合機４０及びクライアントＰＣ５０（以下、「外部機器」と総称）から送られてくる登録要求に応じて、その登録要求に指定されている文書ＩＤ、ポリシーＩＤ、作成者ＩＤ及び作成日時の各項目データを文書情報データベース３６に新規レコードとして追加する。なお、本実施の形態において、文書ＩＤは、外部においても衝突しないように生成される。つまり、ＵＵＩＤ（Ｕｎｉｖｅｒｓａｌｌｙ Ｕｎｉｑｕｅ ＩＤｅｎｔｉｆｉｅｒ）を使用しているので、データベース上に指定された文書ＩＤのデータが存在するかどうかをチェックしなくてもよい。もちろん、チェックするようにしてもよい。
【００３４】
本実施の形態において、セキュリティポリシー一覧応答というのは、外部機器が、文書にポリシーを付与する際、どのようなポリシーが付与可能なのかの一覧リストを問い合わせる機能である。セキュリティポリシー一覧応答部３２は、この問合せに対してセキュリティポリシーデータベース３５に登録されているポリシーデータを検索して、検索条件に合致するポリシーの一覧リストを作成して問合せ元に返す。なお、外部機器がセキュリティポリシーサーバ３０にポリシーを問い合わせる際、ポリシーを付与しようとしているユーザＩＤを指定するようにしてもよい。この場合は、予め決められた登録可能ユーザリストに、そのユーザが含まれているかどうかをチェックしたり、あるいは、ポリシー毎にそのポリシーの登録を許されているユーザリストを設けて、それをチェックしたりするようにしてもよい。
【００３５】
本実施の形態において、セキュリティポリシー検索というのは、外部機器が、ポリシーがすでに設定されている文書に関するセキュリティポリシーの情報を問い合わせる機能である。この際、外部機器は、問い合わせたい文書の文書ＩＤ及び問い合わせているユーザのユーザＩＤを指定して問い合わせることになるが、セキュリティポリシー検索部３３は、この問合せに応じて該当するポリシーを問合せ元に返す。
【００３６】
セキュリティポリシー切替部３４は、外部機器からの切替え要求に応じて、当該文書に付与するポリシーを切り替える。切替要求には、ポリシーの切替え対象となる文書の文書ＩＤ、切替え対象となるポリシーのポリシーＩＤ及び切替えを指示するユーザのユーザＩＤが指定されている。
【００３７】
セキュリティポリシーサーバ３０は、セキュリティポリシー（誰にどういう権利を許可するのか）を管理するデータベースとしてセキュリティポリシーデータベース３５を、文書情報（どの文書がどのセキュリティポリシーに割り当てられているのか、いつ誰が作成したのか、など）を管理するデータベースとして文書情報データベースを、それぞれ保持する。以下、図５，６を用いて各データベース３５，３６の詳細について説明する。
【００３８】
図５は、本実施の形態におけるセキュリティポリシーデータベース３５のデータ構成例を示した図である。セキュリティポリシーデータベース３５には、ポリシーを識別するためのポリシーＩＤ及び当該ポリシーの名称に、利用範囲、利用範囲毎に設定される有効期間及び許諾機能リストを含むポリシー設定情報が対応付けして構成されたポリシー情報が登録される。利用範囲は、ユーザ認証サーバ２３で管理されているユーザグループである。各ユーザグループは少なくとも１人のユーザから構成される。有効期間は、当該ポリシーが付与された文書の有効期間である。有効期間の記述形式は、図５に例示した生成からの経過日数に限らず、有効期間の終期（日時）等種々の方法で設定可能である。許諾機能リストとは、利用範囲に含まれる各ユーザに対して許可されている操作である。図５によると、例えばポリシーＩＤ“０００１”の場合、ソフトウェア開発部に属していて、文書の作成者ではない人がこのポリシーが付与された保護文書にアクセスすると、その文書が作成されてから１８０日以内であれば、電子文書の閲覧・印刷、紙文書のコピー、及びポリシーの切替えが許可される、ということになる。なお、文書の作成日時は、文書情報データベース３６の登録内容から特定できる。いったん文書が保護されると、電子文書、紙文書に関わらず、その形態が変化しても文書ＩＤは引き継がれる。つまり、電子文書が編集・印刷されて保護紙文書が作成された場合、紙文書がコピー・スキャンされて保護電子文書が作成された場合でも、新たに作成された保護紙文書、保護電子文書には同じ文書ＩＤが割り当てられる。これによって、操作によって生成された文書に対しても同じポリシーが適用される。
【００３９】
図６は、本実施の形態における文書情報データベース３６のデータ構成例を示した図である。本実施の形態では、ポリシーの設定対象となるデータとして文書を取り扱うことにしているので、データ情報記憶手段として文書情報データベース３６を設けている。この文書情報データベース３６には、文書の識別子である文書ＩＤ（この例の場合は、ＵＵＩＤで表される）、当該文書が従っているセキュリティポリシーのポリシーＩＤ、作成したユーザのユーザＩＤ（作成者ＩＤ）、文書の操作日時、より正確には作成した文書にポリシーが付与された日時が対応付けして登録される。例えば、図６において３行目の文書（文書ＩＤが“ＡＥＤ６”で始まるレコード）の場合、この文書は、ユーザＩＤ“ｆｘ２５６１５”が割り当てられたユーザが２００６年１０月３日１４時２３分にポリシーＩＤ“０００２”のポリシーを付与することによって作成されたものである。なお、このようなポリシー、文書情報のデータベースは既存技術で実現可能であり、文書毎にセキュリティポリシーが付与できるようなものであれば、図６に例示したデータ構成に限定されるものではない。
【００４０】
セキュリティポリシーサーバ３０における各構成要素３１〜３４は、セキュリティポリシーサーバ３０に搭載されたコンピュータと、コンピュータに搭載されたＣＰＵ１で動作するプログラムとの協調動作により実現される。また、各データベース３５，３６は、コンピュータに搭載されたＨＤＤ４にて実現される。
【００４１】
図７は、本実施の形態におけるクライアントＰＣ５０のブロック構成図である。一般のユーザが使用するクライアントＰＣ５０は、所定の文書処理アプリケーションが実行されることによって、電子文書の保護や、保護された電子文書に対してポリシー上で許可された権利の範囲内で編集や印刷等の動作を行う。クライアントＰＣ５０は、アプリケーションを実行するアプリケーション実行部５１、保護されていない電子文書を記憶する非保護電子文書記憶部５２及び保護されている電子文書を記憶する保護電子文書記憶部５３を有している。アプリケーション実行部５１は、セキュリティポリシーサーバ３０と通信して、後述する構成要素を含む文書処理アプリケーションを実行することによって、保護されていない電子文書の保護、保護された電子文書の閲覧、編集、印刷等の機能を提供する。
【００４２】
すなわち、保護電子文書生成部５４は、保護されていない電子文書にポリシーを設定して保護電子文書を生成する。文書ＩＤ生成部５５は、新たに生成される保護文書に対して割り当てる文書ＩＤを生成する。文書編集部５６は、ユーザ操作指示に従い各記憶部５２，５３から読み出された電子文書、あるいは外部から送られてきた電子文書に編集を施す。文書保持部５７は、編集された電子文書を一時保持する。他の構成要素がＲＡＭ３にロードされたソフトウェアにより実現されるのに対し、文書保持部５７は、ＲＡＭ３にて実現される。文書表示部５８は、閲覧、編集対象の電子文書をディスプレイ８に表示する。ユーザ認証部５９は、クライアントＰＣ５０の利用開始時にユーザ認証処理を実施する。保護文書印刷部６０は、保護文書の印刷を実行する。制御部６１は、各構成要素全体の動作制御を行いながら文書処理アプリケーションが持つ機能を提供する。制御部６１は、また各記憶部５２，５３に記憶された電子文書を読み込む文書読込部としても機能する。
【００４３】
クライアントＰＣ５０における各構成要素５４〜５６，５８〜６１は、クライアントＰＣ５０を構成するＰＣと、ＰＣに搭載されたＣＰＵ１で動作するプログラムとの協調動作により実現される。また、各記憶部５２，５３は、クライアントＰＣ５０に搭載されたＨＤＤ４にて実現される。
【００４４】
図８は、本実施の形態における複合機４０のブロック構成図である。複合機４０は、保護された電子文書の印刷、保護された紙文書のコピー・スキャンを提供する。複合機４０は、ユーザ認証部４１、保護電子文書生成部４２、画像保持部４３、保護紙文書生成部４４、文書ＩＤエンコード部４５、印刷部４６、文書ＩＤデコード部４７及び制御部４８を有している。ユーザ認証部４１は、複合機４０の利用開始時にユーザ認証処理を実施する。保護電子文書生成部４２は、スキャンにより読み取られた保護紙文書にポリシーを設定して保護電子文書を生成する。画像保持部４３は、生成された保護電子文書を一時保持する。他の構成要素がＲＡＭ３にロードされたソフトウェアにより実現されるのに対し、画像保持部４３は、ＲＡＭ３にて実現される。保護紙文書生成部４４は、文書ＩＤエンコード部４５及び印刷部４６と連携動作し、印刷部４６により印刷される保護電子文書を保護電子文書から生成する。文書ＩＤエンコード部４５は、保護電子文書に含まれている文書ＩＤデータを用紙上に印刷可能な画像データにエンコードする。印刷部４６は、生成された保護紙文書を印刷する。文書ＩＤデコード部４７は、スキャナ１４により読み取られた保護紙文書の読取画像データをデコードして文書ＩＤを抽出する。制御部４８は、各構成要素の動作制御を行いながらスキャナ１４をはじめとするハードウェアと連携動作させ、複合機４０が持つ文書ポリシーの切替えに関連する諸機能を提供する。
【００４５】
複合機４０における各構成要素４１〜４２，４４〜４８は、複合機４０に搭載されたコンピュータと、コンピュータに搭載されたＣＰＵ２１で動作するプログラムとの協調動作により実現される。また、画像保持部４３は、ＲＡＭ１８にて実現される。
【００４６】
また、本実施の形態で用いるプログラムは、通信手段により提供することはもちろん、ＣＤ−ＲＯＭやＤＶＤ−ＲＯＭ等のコンピュータ読み取り可能な記録媒体に格納して提供することも可能である。通信手段や記録媒体から提供されたプログラムはコンピュータにインストールされ、コンピュータのＣＰＵがインストールプログラムを順次実行することで各種処理が実現される。
【００４７】
図９は、本実施の形態において用いる保護電子文書のデータ構成例を示した図である。保護電子文書は、保護電子文書であることを示すヘッダ（予め決められた長さのバイト列）と、文書ＩＤ、暗号化された電子文書本体からなる。本実施の形態では、保護電子文書は、全ての電子文書に共通な暗号鍵によって暗号化されることを前提としているが、これは一例でありＤＲＭ技術のように文書毎に鍵を変えるようにしてもよい。また、文書ＩＤが他の文書の文書ＩＤと入れ替えられたりすることを防ぐため、電子文書全体に電子署名を付与したり、あるいは、ＨＭＡＣ（Ｋｅｙｅｄ−Ｈａｓｈｉｎｇ ｆｏｒ Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ）などの値を付与したりしてもよい。いずれにしても本システムにおいては、全ての保護文書が識別子で識別され、それがポリシーで管理されているという以上の制約はない。
【００４８】
図１０，１１は、本実施の形態において用いる保護紙文書を用紙に印刷したときの例を示した模式図である。図１０は、文書が印刷された用紙の上下（ヘッダとフッタ）部分に、文書ＩＤをバーコードやＱＲコードなどで代表される特定のコードパターンで印刷する場合の例である。図１１は、文書ＩＤを、用紙などの印刷媒体２４に文書全体の背景として透かし２５により埋め込んだものである。いずれにしろ文書ＩＤを後から読み取れるように何らかの方法で紙自体に印字したものであればよい。
【００４９】
次に、本実施の形態における動作について、セキュリティポリシーサーバ３０、クライアントＰＣ５０、そして複合機４０の順に装置単位に説明する。
【００５０】
１．セキュリティポリシーサーバ３０の動作
【００５１】
セキュリティポリシーサーバ３０は、外部機器４０，５０に対して、セキュリティポリシーの登録、一覧、検索、切替えの４つの機能を提供する。以下それらの処理手順について説明する。
【００５２】
１．１ セキュリティポリシー登録
【００５３】
外部機器から文書ＩＤ、ポリシーＩＤ、作成者ＩＤ、作成日時のデータが指定された登録要求が送られてくることによってセキュリティポリシー登録部３１が呼び出されると、セキュリティポリシー登録部３１は、そのデータを文書情報データベース３６に新規のレコードとして追加する。そして、登録処理の結果（ＴＲＵＥまたはＦＡＬＳＥ）を登録要求送信元へ返す。なお、作成日時は、登録要求を受け付けた日時、あるいはデータベース登録が完了した日時としてもよい。外部機器から送られてくるセキュリティポリシーの登録要求の例を図１２に示す。
【００５４】
１．２ セキュリティポリシー一覧応答
【００５５】
セキュリティポリシー一覧応答というのは、前述したように、外部機器が文書にポリシーを付与する際、どのようなポリシーが付与可能なのかの一覧リストを問い合わせる機能である。
【００５６】
外部機器からポリシー一覧取得要求が送られてくることによってセキュリティポリシー一覧応答部３２が呼び出されると、セキュリティポリシー一覧応答部３２は、セキュリティポリシーデータベース３５に登録されているポリシーデータを検索し、ポリシーの一覧リストを生成して要求送信元へ返す。仮に一覧リストが生成できなかった場合は、その旨（ＦＡＬＳＥ）を返すようにしてもよい。
【００５７】
なお、外部機器からセキュリティポリシーサーバ３０へ問い合わせる際、ユーザは、問合せ条件としてポリシーを付与しようとしているユーザＩＤ等を指定して問い合わせることで、その問合せ条件に合致したレコードのみが一覧リストに含まれるように指示することができる。セキュリティポリシー一覧応答部３２がポリシー一覧取得要求の送信元へ返す一覧リストの例を図１３に示す。
【００５８】
１．３ セキュリティポリシー検索
【００５９】
セキュリティポリシー検索というのは、前述したように、外部機器が、ポリシーがすでに設定されている文書に関するセキュリティポリシーの情報を問い合わせる機能である。このセキュリティポリシー検索処理については、図１４に示したフローチャートを用いて説明する。
【００６０】
外部機器からの検索要求によりセキュリティポリシー検索部３３が呼び出されると、セキュリティポリシー検索部３３は、まず、検索要求に指定されている文書ＩＤに基づき文書情報データベース３６を検索する（ステップ１０１）。該当するレコードが取得できた場合（ステップ１０２でＹ）、そのレコードに含まれているポリシーＩＤのエントリーをセキュリティポリシーデータベース３５から検索する（ステップ１０３）。該当するエントリーが取得できた場合（ステップ１０４でＹ）、そのエントリーの利用範囲を参照して検索要求に指定されているユーザＩＤのユーザが所属するユーザグループのみをフィルタリングして抽出する（ステップ１０５）。例えば、図５のポリシーＩＤ“０００１”において、問い合わせたユーザが作成者でなく、ソフトウェア開発部に属している場合は、ソフトウェア開発部のみを抽出することになる。作成者かどうかは、指定された文書の作成者ＩＤが、問い合わせたユーザＩＤと一致するかで判断する。もし、何も検索されなかった場合は、空（ＮＵＬＬ）を返すことになる。
【００６１】
ユーザが所属するユーザグループが抽出できた場合（ステップ１０６でＹ）、抽出できた各エントリーにつき有効期限のチェックを行う（ステップ１０７）。すなわち、抽出した各エントリーの利用範囲の項目に関して、文書ＩＤのエントリーの作成日時から、それぞれ有効期間満了日を生成する。もし、有効期間満了日が現在時刻より前だったら、抽出したエントリーの中から当該エントリーを削除する。エントリーが残った場合において（ステップ１０８でＹ）、許可リストを作成する（ステップ１０９）。１つのエントリーのみが残ればそのエントリーをそのまま許可リストとする。複数のエントリーが残った場合、その残った利用範囲の項目の許諾リストをマージして許可リストを作成する。また、有効期間満了日時は最も長いものを選択する。
【００６２】
以上のようにして作成した許可リストを検索結果として、検索要求送信元の外部機器に返す（ステップ１１０）。以上の処理の結果、検索要求送信元へ返すポリシー検索結果の例を図１５に示す。なお、以上の処理において該当するレコード、エントリーが存在しなかった場合（ステップ１０２でＮ，ステップ１０４でＮ，ステップ１０６でＮ，ステップ１０８でＮ）、その旨を示すエラー情報を作成して（ステップ１１１）、検索要求送信元の外部機器に返す（ステップ１１２）。
【００６３】
１．４ セキュリティポリシー切替え
【００６４】
外部機器から文書ＩＤ、切替え対象のポリシーのＩＤ、切替え指示をするユーザのＩＤのデータが指定された切替え要求が送られてくると、セキュリティポリシー切替部３４は、以下の切替処理を行う。このセキュリティポリシー切替処理については、図１６に示したフローチャートを用いて説明する。なお、外部機器から送られてくるセキュリティポリシーの切替え要求の例を図１７に示す。
【００６５】
外部機器からの切替え要求によりセキュリティポリシー切替部３４が呼び出されると、セキュリティポリシー切替部３４は、まず、検索要求に指定されている文書ＩＤに基づき文書情報データベース３６を検索する（ステップ１２１）。該当するレコードが取得できた場合（ステップ１２２でＹ）、そのレコードに含まれているポリシーＩＤのエントリーをセキュリティポリシーデータベース３５から検索する（ステップ１２３）。該当するエントリーが取得できた場合（ステップ１２４でＹ）、そのエントリーの利用範囲を参照して切替え要求に指定されているユーザＩＤのユーザが所属するユーザグループのみをフィルタリングして抽出する（ステップ１２５）。例えば、図５のポリシーＩＤ“０００１”において、問い合わせたユーザが作成者でなく、ソフトウェア開発部に属している場合は、ソフトウェア開発部のみを抽出することになる。作成者かどうかは、指定された文書の作成者ＩＤが、問い合わせたユーザＩＤと一致するかで判断する。もし、何も抽出できなかった場合は、失敗（ＦＡＬＳＥ）を返すことになる。
【００６６】
ユーザが所属するユーザグループが抽出できた場合（ステップ１２６でＹ）、抽出できたエントリーにつきポリシー切替えの権限の有無のチェックを行う（ステップ１２７）。すなわち、抽出したエントリーの許諾機能リストの中にポリシー切替え権に相当する“ポリシーの切替え”が含まれているか否かをチェックする。もし、含まれない場合は、失敗（ＦＡＬＳＥ）を返すことになる。
【００６７】
ポリシー切替え権を有していた場合（ステップ１２８でＹ）、セキュリティポリシー切替部３４は、切替対象の文書に対して現在設定されているポリシー（以下、「切替え元ポリシー」ともいう）の権利範囲と、切替え対象のポリシーＩＤにより特定されるポリシー（以下、「切替え先ポリシー」ともいう）の権利範囲とを比較する（ステップ１２９）。この比較の結果、切替え元ポリシーの権利範囲が切替え先ポリシーの権利範囲より広ければ（ステップ１３０でＹ）、セキュリティポリシー切替部３４は、文書情報データベース３６に記憶されている当該文書のエントリーのポリシーＩＤを、切替え先ポリシーのポリシーＩＤで更新することによって、当該文書に付与するポリシーを切り替える（ステップ１３１）。もし、広がる場合は、失敗（ＦＡＬＳＥ）を返すことになる。
【００６８】
ここで、権利範囲が広いというのは、次のことを意味する。すなわち、セキュリティポリシーデータベース３５に登録される許諾機能リストには、利用範囲に設定されたユーザグループに属するユーザに対して許可した操作、具体的には電子文書の閲覧、印刷等が設定される。ここで、例えば、切替え元ポリシーには、「電子文書の印刷」権が設定されておらず、一方、切替え先ポリシーには、「電子文書の印刷」権が設定されている場合が「権利範囲が広い」に該当する。このような場合において、文書に付与するポリシーを切替え先ポリシーに切り替えてしまえば、今まで付与されていない権限（「電子文書の印刷」権）をユーザに新たに付与してしまうことになる。このように、今まで付与されていない権限を、ポリシーを切り替えることによってユーザに新たに付与してしまうことは、不当な権限を付与することになる可能性があるので、このようなケースを回避する必要がある。換言すると、切替え先ポリシーに基づき許可される操作が、切替え元ポリシーに基づき許可された操作より制限されている場合のみ当該保護文書に付与するポリシーを、切替え元ポリシーから切替え先ポリシーへ切り替えることを許可するようにする。従って、セキュリティポリシー切替部３４は、切替え元ポリシーの権利範囲と、切替え先ポリシーの権利範囲とを比較して、アクセス権を必要以上にユーザに付与することを回避できるようにした。つまり、ポリシーの切替えにより文書を操作するユーザに付与するポリシーが現況と同じまたは制限される場合のみポリシーの切替えを許可するようにした。ここで、権利範囲の比較・判定は、以下のデータを対象とする。なお、本実施の形態においてアクセス権というのは、保護文書に対する操作の権限と同義である。
【００６９】
まず、上記において例示したように、同じ利用範囲（ユーザグループ）に指定されている許諾機能リストに新規の権利が追加されることになるか否か、である。ポリシーの切替えにより付与する権限の数が減ったとしても、新たな権限が付与されることになる場合には、権利範囲が広くなる、ことに該当する。ただ、電子文書を編集する場合は、必ず「電子文書の閲覧」権が必要になる。このように、権限の中にも優先順位や上下関係、包含関係が成り立つ場合がある。このような場合は、各アクセス権の関係を予め定義しておき、切替え元ポリシーの権利範囲と切替え先ポリシーの権利範囲の広狭を判断する際には、その定義情報を参照すればよい。
【００７０】
また、利用範囲として定義されているユーザグループに新規のユーザあるいはユーザグループが追加されているか否かである。今まで、権限付与されていないユーザに対してポリシーの切替えによって権限が新たに付与されることは不当だからである。このユーザグループに関しても許諾機能リストと同様に上下関係、包含関係が成り立つ場合があるので、前述した許諾機能リストの場合と同様に、ユーザ及びユーザが所属するグループの関係を予め定義しておき、権利範囲の広狭を判断する際に参照すればよい。
【００７１】
更に、同じ利用範囲に指定されている有効期間が長いか否かである。有効期限が無条件に延長されるのは不当だからである。
【００７２】
以上の処理の結果、ポリシーの切替えが正常に終了すると、その旨（ＴＲＵＥ）を処理結果として切替え要求送信元へ返す（ステップ１３２）。
【００７３】
一方、以上の切替処理において切替ができない場合（ステップ１２２でＮ，ステップ１２４でＮ，ステップ１２６でＮ，ステップ１２８でＮ，ステップ１３０でＮ）、その旨（ＦＡＬＳＥ）を示すエラー情報を作成して（ステップ１３３）、検索要求送信元の外部機器に返す（ステップ１３４）。
【００７４】
２．クライアントＰＣ５０の動作
【００７５】
クライアントＰＣ５０は、所定の文書処理アプリケーションが実行されることによって、電子文書の保護や、保護された電子文書をポリシー上で許可された権利の範囲内での編集や印刷等の動作を行う。なお、保護されていない文書の印刷・編集などの処理に関しては従来の技術と同様であるので、説明を省略する。
【００７６】
２．１ 保護電子文書の生成
【００７７】
この保護電子文書の生成処理については、図１８に示したフローチャートを用いて説明する。
【００７８】
クライアントＰＣ５０を使用しているユーザが、キーボード７等の入力手段を用いて保護されていない電子文書を指定した保護指示要求を入力すると、制御部６１は、それを受け付ける（ステップ２０１）。そして、クライアントＰＣ５０にログインしたときに入力したユーザＩＤ及びパスワード、あるいは入力要求を別途したことに応じてユーザが入力したユーザＩＤ及びパスワードをユーザ認証部５９に渡すと、ユーザ認証部５９は、その入力された情報が正しいかどうかを外部のユーザ認証サーバ２３に問い合わせて確認する（ステップ２０２）。ユーザ認証に成功すれば（ステップ２０３でＹ）、ユーザＩＤを保持する。失敗した場合は（ステップ２０３でＮ）、その旨をディスプレイ８に表示し（ステップ２１０）、処理を中断する。
【００７９】
ユーザ認証成功後、制御部６１は、保護されていない電子文書を文書保持部５７に登録することで保持させた後、保護電子文書生成部５４を呼び出す。保護電子文書生成部５４は、ポリシー一覧取得要求をセキュリティポリシーサーバ３０へ送信することによりセキュリティポリシーの一覧を取得する（ステップ２０４）。なお、送信したポリシー一覧取得要求に応じてセキュリティポリシーサーバ３０側において実行される処理については、「１．２ セキュリティポリシー一覧応答」において前述したとおりである。ポリシーの一覧リストが取得できると、制御部６１は、取得したポリシーの一覧リストをユーザに理解可能な形式で表示させ（例えば、ポリシー名のドロップダウンによるリスト表示等）、ユーザに適用したいポリシーを選択させる。ポリシーが選択されると、制御部６１は、それを受け付け（ステップ２０５）、続いて、保護電子文書生成部５４は、文書ＩＤ生成部５５に文書ＩＤを生成させ（ステップ２０６）、その文書ＩＤ、ポリシーＩＤ、ユーザＩＤ(作成者ＩＤ)及び作成日時（現在時刻）の各パラメータを含む登録要求を生成し、セキュリティポリシーサーバ３０へ送信することによって保護電子文書の登録指示を出す（ステップ２０７）。なお、送信した登録要求に応じてセキュリティポリシーサーバ３０側において実行される処理については、「１．１ セキュリティポリシー登録」において前述したとおりである。
【００８０】
ここで、登録指示に応じてセキュリティポリシーサーバ３０から返信されてきた処理結果により登録処理が成功した旨を認識すると（ステップ２０８でＹ）、制御部６１は、保護されていない文書を予め決められた暗号鍵で暗号化し、付与された文書ＩＤを関連付けして、保護電子文書として保護電子文書記憶部５３に書込保存する（ステップ２０９）。
【００８１】
なお、認証に失敗した場合（ステップ２０３でＮ）、登録処理に失敗した旨がセキュリティポリシーサーバ３０から返信されてきた場合（ステップ２０８でＮ）、制御部６１は、エラー情報をディスプレイ８に表示するなどしてユーザにその旨を知らせる（ステップ２１０）。
【００８２】
２．２ 保護電子文書の閲覧
【００８３】
次に、保護電子文書の閲覧処理については、図１９に示したフローチャートを用いて説明する。
【００８４】
クライアントＰＣ５０を使用しているユーザにより、保護電子文書の閲覧のためにキーボード７等の入力手段を用いて保護電子文書を指定して文書処理アプリケーションが起動されることによって保護電子文書の閲覧が要求されると、制御部６１は、その要求を受け付け（ステップ２１１）、保護電子文書生成処理と同様にユーザ認証部５９にユーザ認証を実行させる（ステップ２１２）。ユーザ認証成功後（ステップ２１３でＹ）、制御部６１は、指定された保護電子文書の文書ＩＤを保護電子文書記憶部５３から読み取り（ステップ２１４）、その文書ＩＤ及びユーザ認証に用いたユーザＩＤの各パラメータを含む検索要求を生成し、セキュリティポリシーサーバ３０へ送信する（ステップ２１５）。なお、送信した検索要求に応じてセキュリティポリシーサーバ３０側において実行される処理については、「１．３ セキュリティポリシー検索」において前述したとおりである。
【００８５】
ここで、検索要求に応じてセキュリティポリシーサーバ３０から検索結果がない旨などのエラー情報が送られてくると（ステップ２１６でＮ）、制御部６１は、「指定した文書に対するアクセス権がありません」などのエラーメッセージをディスプレイ８に表示して終了する（ステップ２２１）。一方、セキュリティポリシーサーバ３０から検索結果として許可リストが送られてくると（ステップ２１６でＹ）、その許可リストを参照し、「電子文書の閲覧」が含まれているもののみにフィルタリングする（ステップ２１７）。図１５の例の場合は、Ｏｐｅｒａｔｉｏｎタグ内に“Ｖｉｅｗ”が含まれているもののみを抽出する。また、許可リストが許諾機能リストをマージして作成されている場合には、“Ｖｉｅｗ”の有無を確認することになる。ここで、“Ｖｉｅｗ”が含まれていなければ（ステップ２１８でＮ）、当該ユーザには、指定された保護電子文書に対する閲覧権が付与されていないと判断して、「指定した文書の閲覧権はありません」というエラーをディスプレイ８に表示する（ステップ２２１）。
【００８６】
“Ｖｉｅｗ”が含まれている場合（ステップ２１８でＹ）、制御部６１は、続いてフィルタリングにより残った検索結果を参照して、有効期間が満了していないものがあるかどうかをチェックする。なお、セキュリティポリシーサーバ３０側で有効期間の満了しているものは返さないようにしているので、この処理は、念のための処理である。有効期間満了前のものが無ければ（ステップ２１９でＮ）、「指定した文書の権利は有効期間を過ぎています」というエラーメッセージを表示して終了する（ステップ２２１）。
【００８７】
有効期間満了前のものが存在すれば（ステップ２１９でＹ）、閲覧権があるものと判断されるので、制御部６１は、予め決められた復号鍵で文書本体を復号し、その結果を文書ＩＤと共に文書保持部５７に一時格納し、文書表示部５８を呼びだして、文書をディスプレイ８に表示させる（ステップ２２０）。
【００８８】
２．３ 保護電子文書の編集
【００８９】
次に、保護電子文書の編集処理については、図２０に示したフローチャートを用いて説明する。なお、編集の際には、既に文書が文書処理アプリケーションで開かれていることを仮定している。すなわち、閲覧の処理が行われて文書保持部５７に文書がすでに読み込まれている状態から、以下に説明する編集処理が始まるものとする。
【００９０】
クライアントＰＣ５０で保護電子文書を開いているユーザにより、保護電子文書の編集が要求されると、制御部６１は、その要求を受け付ける（ステップ２３１）。そして、制御部６１は、保護電子文書から文書ＩＤを読み取り（ステップ２３２）、その文書ＩＤ及びユーザ認証に用いたユーザＩＤの各パラメータを含む検索要求を生成し、セキュリティポリシーサーバ３０へ送信する（ステップ２３３）。なお、送信した検索要求に応じてセキュリティポリシーサーバ３０側において実行される処理については、「１．３ セキュリティポリシー検索」において前述したとおりである。
【００９１】
ここで、検索要求に応じてセキュリティポリシーサーバ３０から検索結果がない旨などのエラー情報が送られてくると（ステップ２３４でＮ）、制御部６１は、「指定した文書に対するアクセス権がありません」などのエラーメッセージをディスプレイ８に表示して終了する（ステップ２３９）。一方、セキュリティポリシーサーバ３０から検索結果として許可リストが送られてくると（ステップ２３４でＹ）、その許可リストを参照し、「電子文書の編集」が含まれているもののみにフィルタリングする（ステップ２３５）。図１５の例の場合は、Ｏｐｅｒａｔｉｏｎタグ内に“Ｅｄｉｔ”が含まれているもののみを抽出する。また、許可リストが許諾機能リストをマージして作成されている場合には、“Ｅｄｉｔ”の有無を確認することになる。ここで、“Ｅｄｉｔ”が含まれていなければ（ステップ２３６でＮ）、当該ユーザには、指定された保護電子文書に対する編集権が付与されていないと判断して、「指定した文書の編集権はありません」というエラーをディスプレイ８に表示する（ステップ２３９）。
【００９２】
“Ｅｄｉｔ”が含まれている場合（ステップ２３６でＹ）、制御部６１は、続いてフィルタリングにより残った検索結果を参照して、有効期間が満了していないものがあるかどうかをチェックする。なお、セキュリティポリシーサーバ３０側で有効期間の満了しているものは返さないようにしているので、この処理は、念のための処理である。有効期間満了前のものが無ければ（ステップ２３７でＮ）、「指定した文書の権利は有効期間を過ぎています」というエラーメッセージを表示して終了する（ステップ２３９）。
【００９３】
有効期間満了前のものが存在すれば（ステップ２３７でＹ）、編集権があるものと判断されるので、制御部６１は、文書編集部５６を呼び出して、保護電子文書の編集をユーザに許可する（ステップ２３８）。
【００９４】
なお、文書を開く（閲覧する）際に、セキュリティポリシーサーバ３０に保護電子文書のポリシーを問い合わせたら、その結果をＲＡＭ３上に保持しておくようにしてもよい。こうすれば、ステップ２３３で許可リストを問い合わせる必要はなく、ＲＡＭ３に保持しておいたポリシーを参照すればすむ。
【００９５】
２．４ 保護電子文書の印刷
【００９６】
次に、保護電子文書の印刷処理については、図２１に示したフローチャートを用いて説明する。なお、印刷の際には、編集の場合と同様に文書が文書アプリケーションによってすでに開かれていることを仮定している。すなわち、閲覧の処理が行われて文書保持部５７に文書がすでに読み込まれている状態から、以下に説明する印刷処理が始まるものとする。
【００９７】
クライアントＰＣ５０で保護電子文書を開いているユーザにより、保護電子文書の印刷が要求されると、制御部６１は、その印刷要求を受け付け（ステップ２４１）、ユーザにより指定された保護電子文書の印刷指示を保護文書印刷部６０に出す（ステップ２４２）。印刷指示を受けた保護文書印刷部６０は、文書保持部５７に保持されている保護電子文書を読み出して印刷イメージに変換し、文書ＩＤ、ユーザＩＤと共に、保護電子文書を、ユーザにより指定された複合機４０に送信することで印刷を実行させる（ステップ２４３）。複合機４０は、保護電子文書を受け付けることによって印刷を開始することになるが、この処理については、追って説明する。
【００９８】
ところで、本実施の形態では、印刷処理の実行可否の権利確認を複合機４０側にて行うようにしているので、文書処理アプリケーション側では権利確認処理を行う必要はない。しかし、このようにすると、文書データを複合機４０に送ってからでないと、印刷権の有無が確認できないので、クライアントＰＣ５０から複合機４０へのデータ通信が無駄になる場合が発生しうる。そこで、本実施の形態においては、文書データを送信する前に、送信文書の印刷権があるかどうかを確認するようにしてもよい。この印刷時においてクライアントＰＣ５０側において行う権利確認処理を図２２に示したフローチャートを用いて説明する。なお、図２１と同じ処理には同じステップ番号を付ける。
【００９９】
クライアントＰＣ５０で保護電子文書を開いているユーザにより、保護電子文書の印刷が要求されると、制御部６１は、その印刷要求を受け付ける（ステップ２４１）。そして、制御部６１は、印刷対象の保護電子文書から文書ＩＤを読み取り（ステップ２４４）、その文書ＩＤ及びユーザ認証に用いたユーザＩＤの各パラメータを含む検索要求を生成し、セキュリティポリシーサーバ３０へ送信する（ステップ２４５）。なお、送信した検索要求に応じてセキュリティポリシーサーバ３０側において実行される処理については、「１．３ セキュリティポリシー検索」において前述したとおりである。
【０１００】
ここで、検索要求に応じてセキュリティポリシーサーバ３０から検索結果がない旨などのエラー情報が送られてくると（ステップ２４６でＮ）、制御部６１は、「指定した文書に対する印刷権がありません」などのエラーメッセージをディスプレイ８に表示して終了する（ステップ２５０）。一方、セキュリティポリシーサーバ３０から検索結果として許可リストが送られてくると（ステップ２４６でＹ）、その許可リストを参照し、「電子文書の印刷」が含まれているもののみにフィルタリングする（ステップ２４７）。図１５の例の場合は、Ｏｐｅｒａｔｉｏｎタグ内に“Ｐｒｉｎｔ”が含まれているもののみを抽出する。また、許可リストが許諾機能リストをマージして作成されている場合には、“Ｐｒｉｎｔ”の有無を確認することになる。ここで、“Ｐｒｉｎｔ”が含まれていなければ（ステップ２４８でＮ）、当該ユーザには、指定された保護電子文書に対する印刷権が付与されていないと判断して、「指定した文書の印刷権はありません」というエラーをディスプレイ８に表示する（ステップ２５０）。
【０１０１】
“Ｐｒｉｎｔ”が含まれている場合（ステップ２４８でＹ）、制御部６１は、続いてフィルタリングにより残った検索結果を参照して、有効期間が満了していないものがあるかどうかをチェックする。なお、セキュリティポリシーサーバ３０側で有効期間の満了しているものは返さないようにしているので、この処理は、念のための処理である。有効期間満了前のものが無ければ（ステップ２４９でＮ）、「指定した文書の権利は有効期間を過ぎています」というエラーメッセージを表示して終了する（ステップ２５０）。
【０１０２】
有効期間満了前のものが存在すれば（ステップ２４９でＹ）、印刷権があるものと判断されるので、制御部６１は、ユーザにより指定された保護電子文書の印刷指示を保護文書印刷部６０に出す（ステップ２４２）。保護文書印刷部６０は、この印刷指示に応じて文書保持部５７に保持されている保護電子文書を読み出して印刷イメージに変換し、文書ＩＤ、ユーザＩＤと共に、保護電子文書を、ユーザにより指定された複合機４０に送信することで印刷を実行させる（ステップ２４３）。
【０１０３】
２．５ 保護電子文書の保存
【０１０４】
文書処理アプリケーションが開いている保護電子文書をファイルに保存（上書き、別名など）する際には、以下のような処理が行なわれる。この保護電子文書の保存処理については、図２３に示したフローチャートを用いて説明する。
【０１０５】
まず、ユーザが文書処理アプリケーション上で所定の保存ボタンをクリック等により選択すると、制御部６１は、そのユーザ操作に応じた保存要求を受け付ける（ステップ２５１）。そして、制御部６１は、文書保持部５７に保存されている電子文書に文書ＩＤが付与されていたら、保護電子文書であると判断し、予め決められた暗号鍵で文書本体を暗号化し、そして文書ＩＤを付与して、保護電子文書ファイルを保護電子文書記憶部５３に保存する（ステップ２５２）。
【０１０６】
２．６ 保護電子文書の切替え
【０１０７】
保護電子文書のポリシーの切替えは、保護電子文書ファイルを、文書処理アプリケーションが開いている状態で、アプリケーションの「保護文書のポリシー切替え」ボタンを選択することによって行われる。この保護電子文書のポリシー切替え処理については、図２４に示したフローチャートを用いて説明する。
【０１０８】
まず、ユーザが文書処理アプリケーション上で所定の切替えボタンをクリック等により選択すると、制御部６１は、そのユーザ操作に応じたポリシー切替え要求を受け付ける（ステップ２６１）。そして、制御部６１は、ポリシー一覧取得要求をセキュリティポリシーサーバ３０へ送信することによりセキュリティポリシーの一覧を取得する（ステップ２６２）。なお、送信したポリシー一覧取得要求に応じてセキュリティポリシーサーバ３０側において実行される処理については、「１．２ セキュリティポリシー一覧応答」において前述したとおりである。ポリシーの一覧リストが取得できると、制御部６１は、取得したポリシーの一覧リストをユーザに理解可能な形式で表示させ、ユーザに適用したいポリシーを選択させる。ポリシーが選択されると、制御部６１は、それを受け付け（ステップ２６３）、続いて、選択されたポリシーのポリシーＩＤ、切替え対象の文書ＩＤ及びユーザＩＤの各パラメータを含む切替え要求を生成し、セキュリティポリシーサーバ３０へ送信することによって保護電子文書の切替え指示を出す（ステップ２６４）。なお、この切替え要求に応じて呼び出されたセキュリティポリシー切替部３４が実施する切替処理については、「１．４ セキュリティポリシー切替え」において前述したとおりである。
【０１０９】
この切替え指示に応じてセキュリティポリシーサーバ３０から処理結果としてポリシーの切替えが成功した旨（ＴＲＵＥ）が送られてくると（ステップ２６５でＹ）、クライアントＰＣ５０における切替処理は終了する。一方、切替えが失敗した旨（ＦＡＬＳＥ）が送られてくると（ステップ２６５でＮ）、その旨をディスプレイ８に表示し（ステップ２６６）、他のポリシーを選択させるためにステップ２６３に戻す。
【０１１０】
３．複合機４０の動作
【０１１１】
複合機４０は、保護された電子文書の印刷、保護された紙文書のコピー・スキャンを提供する。なお、ここでは、保護された紙文書以外の通常の紙文書のコピーやスキャンなどについては従来と同じ処理がなされるだけであるので、説明を省略している。
【０１１２】
３．１ 保護電子文書の印刷
【０１１３】
この保護電子文書の印刷処理については、図２５に示したフローチャートを用いて説明する。
【０１１４】
「２．４ 保護電子文書の印刷」において説明したように、ユーザにより保護電子文書の印刷が要求されると、複合機４０には、クライアントＰＣ５０から複合機４０において印字可能な印刷イメージが文書ＩＤ及びユーザＩＤと共に送られる。制御部４８は、印刷要求を受け付けると（ステップ３０１）、その印刷要求に含まれている文書ＩＤ及びユーザＩＤの各パラメータを含む検索要求を生成し、セキュリティポリシーサーバ３０へ送信する（ステップ３０２）。なお、送信した検索要求に応じてセキュリティポリシーサーバ３０側において実行される処理については、「１．３ セキュリティポリシー検索」において前述したとおりである。
【０１１５】
ここで、検索要求に応じてセキュリティポリシーサーバ３０から検索結果がない旨などのエラー情報が送られてくると（ステップ３０３でＮ）、制御部４８は、「指定した文書に対する印刷権がありません」などのエラーメッセージを操作パネル１３に表示したり、あるいはエラーログをＨＤＤ１５に記録したりして処理を終了する（ステップ３０９）。一方、セキュリティポリシーサーバ３０から検索結果として許可リストが送られてくると（ステップ３０３でＹ）、その許可リストを参照し、「電子文書の印刷」が含まれているもののみにフィルタリングする（ステップ３０４）。図１５の例の場合は、Ｏｐｅｒａｔｉｏｎタグ内に“Ｐｒｉｎｔ”が含まれているもののみを抽出する。また、許可リストが許諾機能リストをマージして作成されている場合には、“Ｐｒｉｎｔ”の有無を確認することになる。ここで、“Ｐｒｉｎｔ”が含まれていなければ（ステップ３０５でＮ）、当該ユーザには、指定された保護電子文書に対する印刷権が付与されていないと判断して、「指定した文書の印刷権はありません」というエラーを操作パネル１３に表示したりする（ステップ３０９）。
【０１１６】
“Ｐｒｉｎｔ”が含まれている場合（ステップ３０５でＹ）、制御部４８は、続いてフィルタリングにより残った検索結果を参照して、有効期間が満了していないものがあるかどうかをチェックする。なお、セキュリティポリシーサーバ３０側で有効期間の満了しているものは返さないようにしているので、この処理は、念のための処理である。有効期間満了前のものが無ければ（ステップ３０６でＮ）、「指定した文書の権利は有効期間を過ぎています」というエラーメッセージを表示して終了する（ステップ３０９）。
【０１１７】
有効期間満了前のものが存在すれば（ステップ３０６でＹ）、印刷権があるものと判断されるので、制御部４８は、画像保持部４３に印刷イメージと文書ＩＤ、ユーザＩＤを一時格納し、保護紙文書生成部４４を呼び出す。保護紙文書生成部４４は、画像保持部４３を介して受け取った文書ＩＤをバーコードなどのコードパターンの画像イメージに変換するように文書ＩＤエンコード部４５に指示する。そして、保護紙文書生成部４４は、その文書ＩＤの画像イメージを、印刷対象の保護電子文書の印刷イメージのヘッダ部及び／又はフッタ部に合成することによって印刷する合成画像を生成する（ステップ３０７）。そして、印刷部４６は、生成された合成画像を印刷する（ステップ３０８）。このようにして保護電子文書が印刷されたときの用紙の模式図は、図１０に示されている。もちろん、文書ＩＤを透かしとして生成し、図１１に例示したように印刷してもよい。
【０１１８】
３．２ 保護紙文書のコピー
【０１１９】
この保護紙文書のコピー処理については、図２６に示したフローチャートを用いて説明する。
【０１２０】
ユーザが複合機４０のプラテン、あるいはＡＤＦ（Ａｕｔｏ Ｄｏｃｕｍｅｎｔ Ｆｅｅｄｅｒ）上に保護紙文書を置き、操作パネル１３に表示された「保護文書のコピー」のボタンを押す。制御部４８は、ユーザによる押下操作によりコピー指示を受け付けると（ステップ３１１）、制御部４８は、操作パネル１３にユーザ認証ダイアログを表示し、ユーザにユーザＩＤとパスワードの入力を求める。ユーザが入力すると、その入力されたユーザＩＤ及びパスワードをユーザ認証部４１に渡す。そして、ユーザ認証部４１は、その入力された情報が正しいかどうかを外部のユーザ認証サーバ２３に問い合わせて確認する（ステップ３１２）。ユーザ認証に成功すれば（ステップ３１３でＹ）、ユーザＩＤを保持する。失敗した場合は（ステップ３１３でＮ）、その旨を操作パネル１３に表示して（ステップ３２４）、処理を中断する。
【０１２１】
ユーザ認証成功後、制御部４８は、保護紙文書をスキャンして画像を読み込み（ステップ３１４）、その画像イメージのヘッダおよびフッタ部の画像イメージを文書ＩＤデコード部４７にデコードさせることによって文書ＩＤを取得する（ステップ３１５）。なお、文書ＩＤが透かしにより保護紙文書に組み込まれている場合には、透かしをデコードすることになる。文書ＩＤのデコードに失敗して取得できなかった場合は（ステップ３１６でＮ）、その旨を操作パネル１３に表示し（ステップ３２４）、処理を中断する。
【０１２２】
文書ＩＤのデコードに成功した場合（ステップ３１６でＹ）、制御部４８は、そのデコードした文書ＩＤ及びユーザ認証に用いたユーザＩＤの各パラメータを含む検索要求を生成し、セキュリティポリシーサーバ３０へ送信する（ステップ３１７）。なお、送信した検索要求に応じてセキュリティポリシーサーバ３０側において実行される処理については、「１．３ セキュリティポリシー検索」において前述したとおりである。
【０１２３】
ここで、検索要求に応じてセキュリティポリシーサーバ３０から検索結果がない旨などのエラー情報が送られてくると（ステップ３１８でＮ）、制御部４８は、「コピー権がありません」などのエラーメッセージを操作パネル１３に表示して終了する（ステップ３２４）。一方、セキュリティポリシーサーバ３０から検索結果として許可リストが送られてくると（ステップ３１８でＹ）、その許可リストを参照し、「紙文書のコピー」が含まれているもののみにフィルタリングする（ステップ３１９）。図１５の例の場合は、Ｏｐｅｒａｔｉｏｎタグ内に“Ｃｏｐｙ”が含まれているもののみを抽出する。また、許可リストが許諾機能リストをマージして作成されている場合には、“Ｃｏｐｙ”の有無を確認することになる。ここで、“Ｃｏｐｙ”が含まれていなければ（ステップ３２０でＮ）、当該ユーザには、指定された保護電子文書に対するコピー権が付与されていないと判断して、「コピー権はありません」というエラーを操作パネル１３に表示して終了する（ステップ３２４）。
【０１２４】
“Ｃｏｐｙ”が含まれている場合（ステップ３２０でＹ）、制御部４８は、続いてフィルタリングにより残った検索結果を参照して、有効期間が満了していないものがあるかどうかをチェックする。なお、セキュリティポリシーサーバ３０側で有効期間の満了しているものは返さないようにしているので、この処理は、念のための処理である。有効期間満了前のものが無ければ（ステップ３２１でＮ）、「権利は有効期間を過ぎています」というエラーメッセージを表示して終了する（ステップ３２４）。
【０１２５】
有効期間満了前のものが存在すれば（ステップ３２１でＹ）、コピー権があるものと判断されるので、制御部４８は、画像保持部４３に印刷イメージと文書ＩＤ、ユーザＩＤを一時格納し、保護紙文書生成部４４を呼び出す。保護紙文書生成部４４は、画像保持部４３を介して受け取った文書ＩＤをバーコードなどのコードパターンの画像イメージに変換するように文書ＩＤエンコード部４５に指示する。そして、保護紙文書生成部４４は、その文書ＩＤの画像を、印刷対象の保護電子文書の印刷画像のヘッダ部及び／又はフッタ部に合成することによって印刷する合成画像を生成する（ステップ３２２）。そして、印刷部４６は、生成された合成画像を印刷する（ステップ３２３）。このようにして保護電子文書が印刷されたときの用紙の模式図は、図１０に示されている。もちろん、コピー対象の保護紙文書に文書ＩＤが透かしとして形成されている場合は、図１１に例示したように文書ＩＤを透かし２５として印刷する。このようにして、保護紙文書がコピーされる。本実施の形態では、特に文書ＩＤの読取画像をそのままコピー印刷するのではなく、いったんデコードし、そしてコピー印刷時に再度エンコードするようにしたので、紙文書に印刷した文書ＩＤデータは劣化しない。
【０１２６】
３．３ 保護紙文書のスキャン
【０１２７】
保護紙文書をスキャンすると、紙文書のイメージが電子化されることになるが、そのイメージを保護電子文書として生成する必要がある。保護紙文書のコピー処理においては、印刷媒体に印刷を行うことになるが、この保護電子文書のスキャン処理は、印刷媒体に印刷を行う代わりに電子データをいずれかの記憶手段に保存することになること以外は、基本的な処理内容は共通である。この保護電子文書のスキャン処理については、図２７に示したフローチャートを用いて説明する。
【０１２８】
ユーザが複合機４０のプラテン、あるいはＡＤＦ上に保護紙文書を置き、操作パネル１３に表示された「保護文書のスキャン」のボタンを押す。制御部４８は、ユーザによる押下操作によりスキャン指示を受け付けると（ステップ３３１）、制御部４８は、操作パネル１３にユーザ認証ダイアログを表示し、ユーザにユーザＩＤとパスワードの入力を求める。ユーザが入力すると、その入力されたユーザＩＤ及びパスワードをユーザ認証部４１に渡す。そして、ユーザ認証部４１は、その入力された情報が正しいかどうかを外部のユーザ認証サーバ２３に問い合わせて確認する（ステップ３３２）。ユーザ認証に成功すれば（ステップ３３３でＹ）、ユーザＩＤを保持する。失敗した場合は（ステップ３３３でＮ）、その旨を操作パネル１３に表示して（ステップ３４４）、処理を中断する。
【０１２９】
ユーザ認証成功後、制御部４８は、保護紙文書をスキャンして画像を読み込み（ステップ３３４）、その画像イメージのヘッダおよびフッタ部の画像イメージを文書ＩＤデコード部４７にデコードさせることによって文書ＩＤを取得する（ステップ３３５）。なお、文書ＩＤが透かしにより保護紙文書に組み込まれている場合には、透かしをデコードすることになる。文書ＩＤのデコードに失敗して取得できなかった場合は（ステップ３３６でＮ）、その旨を操作パネル１３に表示し（ステップ３４４）、処理を中断する。
【０１３０】
文書ＩＤのデコードに成功した場合（ステップ３３６でＹ）、制御部４８は、そのデコードした文書ＩＤ及びユーザ認証に用いたユーザＩＤの各パラメータを含む検索要求を生成し、セキュリティポリシーサーバ３０へ送信する（ステップ３３７）。なお、送信した検索要求に応じてセキュリティポリシーサーバ３０側において実行される処理については、「１．３ セキュリティポリシー検索」において前述したとおりである。
【０１３１】
ここで、検索要求に応じてセキュリティポリシーサーバ３０から検索結果がない旨などのエラー情報が送られてくると（ステップ３３８でＮ）、制御部４８は、「スキャン権がありません」などのエラーメッセージを操作パネル１３に表示して終了する（ステップ３４４）。一方、セキュリティポリシーサーバ３０から検索結果として許可リストが送られてくると（ステップ３３８でＹ）、その許可リストを参照し、「紙文書のスキャン」が含まれているもののみにフィルタリングする（ステップ３３９）。図１５の例には含まれていないが、Ｏｐｅｒａｔｉｏｎタグ内に“Ｓｃａｎ”が含まれていれば、その含まれているもののみを抽出する。また、許可リストが許諾機能リストをマージして作成されている場合には、“Ｓｃａｎ”の有無を確認することになる。ここで、“Ｓｃａｎ”が含まれていなければ（ステップ３４０でＮ）、当該ユーザには、指定された保護電子文書に対するスキャン権が付与されていないと判断して、「スキャン権はありません」というエラーを操作パネル１３に表示して終了する（ステップ３４４）。
【０１３２】
“Ｓｃａｎ”が含まれている場合（ステップ３４０でＹ）、制御部４８は、続いてフィルタリングにより残った検索結果を参照して、有効期間が満了していないものがあるかどうかをチェックする。なお、セキュリティポリシーサーバ３０側で有効期間の満了しているものは返さないようにしているので、この処理は、念のための処理である。有効期間満了前のものが無ければ（ステップ３４１でＮ）、「権利は有効期間を過ぎています」というエラーメッセージを表示して終了する（ステップ３４４）。
【０１３３】
有効期間満了前のものが存在すれば（ステップ３４１でＹ）、スキャン権があるものと判断されるので、制御部４８は、画像保持部４３に読取画像と文書ＩＤ、ユーザＩＤを一時格納し、保護電子文書生成部４２を呼び出す。保護電子文書生成部４２は、画像保持部４３を介して受け取った文書ＩＤをバーコードなどのコードパターンの画像イメージに変換するように文書ＩＤエンコード部４５に指示する。また、保護電子文書生成部４２は、保護紙文書の画像イメージから文書ＩＤ画像を削除した後、予め決められた暗号鍵で暗号化し、その暗号化した電子文書画像のヘッダ部及び／又はフッタ部に、エンコードされた文書ＩＤを合成することによって保存対象の保護電子文書を生成する（ステップ３４２）。そして、複合機４０のユーザがアクセス可能な場所、例えば当該ユーザの親展ボックスなどに格納する（ステップ３４３）。保護紙文書のスキャン処理においても、コピー処理と同様、文書ＩＤの読取画像をそのまま保存対象とするのではなく、いったんデコードし、そして再度エンコードするようにしたので、紙文書に印刷した文書ＩＤデータは劣化しない。
【０１３４】
なお、保護電子文書生成部４２における詳細な処理は、基本的にクライアントＰＣ５０における保護電子文書生成部５４の処理と同じである。このため、図８では、保護電子文書生成処理に関連する構成要素を省略している。
【０１３５】
３．４ 保護紙文書のポリシー切替え
【０１３６】
複合機４０を利用して行われるポリシーの切替処理については、図２８に示したフローチャートを用いて説明する。
【０１３７】
ユーザが複合機４０のプラテン、あるいはＡＤＦ上に保護紙文書を置き、操作パネル１３に表示された「保護文書のポリシー切替え」のボタンを押す。制御部６１は、ユーザによる押下操作によりポリシー切替え指示を受け付けると（ステップ３５１）、制御部４８は、操作パネル１３にユーザ認証ダイアログを表示し、ユーザにユーザＩＤとパスワードの入力を求める。ユーザが入力すると、その入力されたユーザＩＤ及びパスワードをユーザ認証部４１に渡す。そして、ユーザ認証部４１は、その入力された情報が正しいかどうかを外部のユーザ認証サーバ２３に問い合わせて確認する（ステップ３５２）。ユーザ認証に成功すれば（ステップ３５３でＹ）、ユーザＩＤを保持する。失敗した場合は（ステップ３５３でＮ）、その旨を操作パネル１３に表示して（ステップ３６２）、処理を中断する。
【０１３８】
ユーザ認証成功後、制御部４８は、保護紙文書をスキャンして画像を読み込み（ステップ３５４）、その画像イメージのヘッダおよびフッタ部の画像イメージを文書ＩＤデコード部４７にデコードさせることによって文書ＩＤを取得する（ステップ３５５）。なお、文書ＩＤが透かしにより保護紙文書に組み込まれている場合には、透かしをデコードすることになる。文書ＩＤのデコードに失敗して取得できなかった場合は（ステップ３５６でＮ）、その旨を操作パネル１３に表示し（ステップ３６２）、処理を中断する。
【０１３９】
文書ＩＤのデコードに成功した場合（ステップ３５６でＹ）、制御部４８は、ポリシー一覧取得要求をセキュリティポリシーサーバ３０へ送信することによりセキュリティポリシーの一覧を取得する（ステップ３５７）。なお、送信したポリシー一覧取得要求に応じてセキュリティポリシーサーバ３０側において実行される処理については、「１．２ セキュリティポリシー一覧応答」において前述したとおりである。ポリシーの一覧リストが取得できると、制御部４８は、取得したポリシーの一覧リストをユーザに理解可能な形式で表示させ、ユーザに適用したいポリシーを選択させる。ポリシーが選択されると、制御部４８は、それを受け付け（ステップ３５８）、続いて、選択されたポリシーのポリシーＩＤ、切替え対象の文書ＩＤ及びユーザＩＤの各パラメータを含む切替え要求を生成し、セキュリティポリシーサーバ３０へ送信することによって保護電子文書の切替え指示を出す（ステップ３５９）。なお、この切替え要求に応じて呼び出されたセキュリティポリシー切替部３４が実施する切替処理については、「１．４ セキュリティポリシー切替え」において前述したとおりである。
【０１４０】
この切替え指示に応じてセキュリティポリシーサーバ３０から処理結果としてポリシーの切替えが成功した旨（ＴＲＵＥ）が送られてくると（ステップ３６０でＹ）、複合機４０における切替処理は終了する。一方、切替えが失敗した旨（ＦＡＬＳＥ）が送られてくると（ステップ３６０でＮ）、その旨を操作パネル１３に表示し（ステップ３６１）、他のポリシーを選択させるためにステップ３５８に戻す。
【０１４１】
ところで、前述した実施の形態におけるセキュリティポリシー切替処理では、切替え先のポリシーを制限するために、切替え先のポリシーの権利内容と、切替え元、すなわち現在のポリシーの権利内容とを比較することで行ったが（図１６のステップ１２９）、これは、以下のように実現してもよい。
【０１４２】
まず、切替え可能なポリシーに対する制限を、別途記述してもよい。つまり、切替え先のポリシーが満たしているべき条件を記述するようにする。例えば、電子文書の印刷権が存在しないこと、紙文書のコピー権が存在しないこと、ポリシーの切替え権が存在しないこと、のようにである。このような条件を利用範囲（グループ、ユーザ）と共に記述してもよい。
【０１４３】
あるいは、切替え可能なポリシーを直接指定できるようにしてもよい。この変形例におけるセキュリティポリシーデータベース３５のデータ構成例を図２９に示す。この場合、ポリシーの切替え権がある場合、その切替え権を有するという指定と共に切替え可能なポリシーのＩＤを指定する。このようにすれば、ユーザは、ポリシーの切替えを要求する際に、切替え先とするポリシーのＩＤを入力指定しなくても、切替え指示さえすればポリシーの切替えが可能になる。図２９には、“ソフトウェア開発部内資料”の“作成者”は、ポリシーＩＤ“０００３”のポリシーに切り替えることができる例が示されている。また、ポリシーに対する制限により切替え不能と判定されることがない。なお、切替え可能なポリシーのＩＤを１つのみ指定することに限定せずに、複数指定できるようにしてもよい。この場合は、複数指定されたポリシーの中からユーザにより選択させるようにすれば、ユーザは、ポリシーの切替えを要求する際に、切替え先とするポリシーのＩＤを入力指定しなくてもよく、また、ポリシーに対する制限により切替え不能と判定されることがない。この実施の形態によれば、予め切替え先のポリシーの内容を決めておき、そのポリシーにのみ切替えを許可するようにするので、切替え元と切替え先のポリシーの内容で制限する必要はなく、まったく独立な内容のポリシーに切り替えることも可能とする。また、切替え可能なポリシーＩＤを複数列挙しておき、ユーザがポリシーを切り替える際に切替え先を選択可能にしても良い。
【図面の簡単な説明】
【０１４４】
【図１】本発明に係るセキュリティポリシー管理システムの一実施の形態を示した全体構成図である。
【図２】本実施の形態におけるセキュリティポリシーサーバを形成するサーバコンピュータのハードウェア構成図である。
【図３】本実施の形態における複合機のハードウェア構成図である。
【図４】本実施の形態におけるセキュリティポリシーサーバのブロック構成図である。
【図５】本実施の形態におけるセキュリティポリシーデータベースのデータ構成例を示した図である。
【図６】本実施の形態における文書情報データベースのデータ構成例を示した図である。
【図７】本実施の形態におけるクライアントＰＣのブロック構成図である。
【図８】本実施の形態における複合機のブロック構成図である。
【図９】本実施の形態において用いる保護電子文書のデータ構成例を示した図である。
【図１０】本実施の形態において用いる保護紙文書を用紙に印刷したときの例を示した模式図である。
【図１１】本実施の形態において用いる保護紙文書を用紙に印刷したときの他の例を示した模式図である。
【図１２】本実施の形態において外部機器から送られてくるセキュリティポリシーの登録要求の例を示した図である。
【図１３】本実施の形態におけるセキュリティポリシーサーバが生成するポリシー一覧リストの例を示した図である。
【図１４】本実施の形態におけるセキュリティポリシー検索処理を示したフローチャートである。
【図１５】本実施の形態におけるセキュリティポリシー検索処理により得られた検索結果の例を示した図である。
【図１６】本実施の形態におけるセキュリティポリシー切替処理を示したフローチャートである。
【図１７】本実施の形態において外部機器から送られてくるセキュリティポリシーの切替え要求の例を示した図である。
【図１８】本実施の形態のクライアントＰＣにおける保護電子文書の生成処理を示したフローチャートである。
【図１９】本実施の形態のクライアントＰＣにおける保護電子文書の閲覧処理を示したフローチャートである。
【図２０】本実施の形態のクライアントＰＣにおける保護電子文書の編集処理を示したフローチャートである。
【図２１】本実施の形態のクライアントＰＣにおける保護電子文書の印刷処理を示したフローチャートである。
【図２２】本実施の形態のクライアントＰＣにおいて権利確認を行う場合の保護電子文書の印刷処理を示したフローチャートである。
【図２３】本実施の形態のクライアントＰＣにおける保護電子文書の保存処理を示したフローチャートである。
【図２４】本実施の形態のクライアントＰＣにおける保護電子文書の切替処理を示したフローチャートである。
【図２５】本実施の形態の複合機における保護電子文書の印刷処理を示したフローチャートである。
【図２６】本実施の形態の複合機における保護紙文書のコピー処理を示したフローチャートである。
【図２７】本実施の形態の複合機における保護紙文書のスキャン処理を示したフローチャートである。
【図２８】本実施の形態の複合機における保護紙文書のポリシー切替処理を示したフローチャートである。
【図２９】本実施の形態におけるセキュリティポリシーデータベースの他のデータ構成例を示した図である。
【符号の説明】
【０１４５】
１，２１ ＣＰＵ、２，１９ ＲＯＭ、３，１８ ＲＡＭ、４，１５ ハードディスクドライブ（ＨＤＤ）、５ ＨＤＤコントローラ、６ マウス、７ キーボード、８ ディスプレイ、９ 入出力コントローラ、１０ ネットワークコントローラ、１１ 内部バス、１２ アドレスデータバス、１３ 操作パネル、１４ スキャナ、１６ プリンタエンジン、１７ ネットワークインタフェース（Ｉ／Ｆ）、２０ 外部メディアインタフェース（Ｉ／Ｆ）、２２ ＬＡＮ、２３ ユーザ認証サーバ、３０ セキュリティポリシーサーバ、３１ セキュリティポリシー登録部、３２ セキュリティポリシー一覧応答部、３３ セキュリティポリシー検索部、３４ セキュリティポリシー切替部、３５ セキュリティポリシーデータベース、３６ 文書情報データベース、４０ 複合機、４１，５９ ユーザ認証部、４２，５４ 保護電子文書生成部、４３ 画像保持部、４４ 保護紙文書生成部、４５ 文書ＩＤエンコード部、４６ 印刷部、４７ 文書ＩＤデコード部、４８，６１ 制御部、５０ クライアントＰＣ、５１ アプリケーション実行部、５２ 非保護電子文書記憶部、５３ 保護電子文書記憶部、５５ 文書ＩＤ生成部、５６ 文書編集部、５７ 文書保持部、５８ 文書表示部、６０ 保護文書印刷部。
【技術分野】
【０００１】
本発明は、セキュリティポリシー切替装置、セキュリティポリシー切替プログラム及びセキュリティポリシー管理システムに関する。
【背景技術】
【０００２】
現在、情報セキュリティに関する基本方針、すなわちセキュリティポリシー（以下、単に「ポリシー」とも言う）を策定し、そのセキュリティポリシーに従って電子文書等のデータを管理している企業が少なくない。このような企業では、例えばＤＲＭ（Ｄｏｃｕｍｅｎｔ Ｒｉｇｈｔｓ Ｍａｎａｇｅｍｅｎｔ）と呼ばれる技術を利用することによって、個々の電子文書に対して有効期間や印刷可／不可、あるいは編集可／不可などのアクセス制御を行うためのアクセス権をユーザ毎に付与することができる。また、ＤＲＭを利用することによって、サーバに共通ポリシーを予め作成しておき、複数の異なる電子文書を同一のポリシー（共通ポリシー）で保護するように設定することも可能である。このように、組織内で共通して用いるポリシーを定義しておくことで、その共通ポリシーを組織内の全ての文書に適用するという運用が可能となる。
【０００３】
また、電子文書に限定せずに、紙文書と電子文書のポリシーを同一のポリシーで管理し、かつ、複数の文書に対して統一的なポリシールールを適用できるような技術が提案されている（例えば、特許文献１）。この従来技術では、一つのポリシー上で紙文書に関するものと電子文書に対するものを統合管理することが可能になる。
【０００４】
【特許文献１】特開２００５−３８３７１号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかしながら、従来においては、一つのポリシーで保護された複数の文書のうち特定の文書のみのポリシーを変更したいというような運用には対応できないという問題があった。
【０００６】
本発明は、共通のポリシーで保護された複数の文書のうちの一部を異なるポリシーに切替可能にすることを目的とする。
【課題を解決するための手段】
【０００７】
本発明に係るセキュリティポリシー切替装置は、ポリシーの設定内容と当該ポリシーを付与するユーザの識別情報とを含むポリシー設定情報に、当該ポリシーの識別情報を対応付けして記憶するポリシー情報記憶手段と、ポリシーの設定対象となるデータの識別情報に、当該データに付与するポリシーの識別情報を対応付けして記憶するデータ情報記憶手段と、ポリシーの切替え対象となるデータの識別情報及び切替えを指示するユーザの識別情報が指定された切替え要求に応じて、前記データ情報記憶手段に記憶されている当該データに付与されているポリシーの識別情報を、その他のポリシーの識別情報で更新することによって、当該データに付与するポリシーを切り替えるポリシー切替手段と、を有することを特徴とする。
【０００８】
また、前記ポリシー切替手段は、当該データに付与されているポリシーに基づき許可された操作の一つにポリシーの切替えが含まれている場合のみ当該データに付与するポリシーの切替えを許可することを特徴とする。
【０００９】
また、前記ポリシー切替手段は、更に切替えにより付与するポリシーの識別情報が切替え要求に指定されていた場合、その指定されたポリシーの識別情報によって、前記データ情報記憶手段に記憶されている当該データに付与するポリシーの識別情報を更新することを特徴とする。
【００１０】
また、前記ポリシー切替手段は、切替え対象として指定されたポリシー識別情報に対応するポリシーに基づき許可される操作が、当該データに付与されているポリシーに基づき許可された操作より制限されている場合のみ当該データに付与するポリシーの切替えを許可することを特徴とする。
【００１１】
また、前記ポリシー設定情報には、切替え要求に応じて切替え可能なポリシーの識別情報が含まれており、前記ポリシー切替手段は、更に切替えにより付与するポリシーの識別情報が切替え要求に指定されていなかった場合、前記ポリシー設定情報に含まれる前記切替え可能なポリシーの識別情報で前記データ情報記憶手段に記憶されている当該データに付与されているポリシーの識別情報を更新することを特徴とする。
【００１２】
また、前記ポリシー設定情報には、切替え要求に応じて切替え可能なポリシーの識別情報が含まれており、前記ポリシー切替手段は、更に切替えにより付与するポリシーの識別情報が切替え要求に指定されており、かつ、当該指定されたポリシーの識別情報が、前記切替え可能なポリシー設定情報に含まれている場合、指定されたポリシーの識別情報で前記データ情報記憶手段に記憶されている当該データに付与されているポリシーの識別情報を更新することを特徴とする。
【００１３】
本発明に係るセキュリティポリシー切替プログラムは、セキュリティポリシーサーバコンピュータを、ポリシーの設定内容と当該ポリシーを付与するユーザの識別情報とを含むポリシー設定情報に、当該ポリシーの識別情報を対応付けして記憶するポリシー情報記憶手段、ポリシーの設定対象となるデータの識別情報に、当該データに付与するポリシーの識別情報を対応付けして記憶するデータ情報記憶手段、ポリシーの切替え対象となるデータの識別情報及び切替えを指示するユーザの識別情報が指定された切替え要求に応じて、前記データ情報記憶手段に記憶されている当該データに付与されているポリシーの識別情報を、その他のポリシーの識別情報で更新することによって、当該データに付与するポリシーを切り替えるポリシー切替手段、として機能させる。
【００１４】
本発明に係るセキュリティポリシー管理システムは、セキュリティポリシーサーバコンピュータと、セキュリティポリシーの設定に用いるクライアントコンピュータと、を有し、前記セキュリティポリシーサーバコンピュータは、ポリシーの設定内容と当該ポリシーを付与するユーザの識別情報とを含むポリシー設定情報に、当該ポリシーの識別情報を対応付けして記憶するポリシー情報記憶手段と、ポリシーの設定対象となるデータの識別情報に、当該データに付与するポリシーの識別情報を対応付けして記憶するデータ情報記憶手段と、ポリシーの切替え対象となるデータの識別情報及び切替えを指示するユーザの識別情報が指定された切替え要求に応じて、前記データ情報記憶手段に記憶されている当該データに付与されているポリシーの識別情報を、その他のポリシーの識別情報で更新することによって、当該データに付与するポリシーを切り替えるポリシー切替手段と、を有し、前記クライアントコンピュータは、ポリシーの切替え対象となるデータの識別情報及び切替えを指示するユーザの識別情報が指定された切替え要求を前記セキュリティポリシーサーバコンピュータに送信する手段を有することを特徴とする。
【発明の効果】
【００１５】
請求項１記載の発明によれば、複数のデータに対して同一のポリシーが設定されている場合でも、その複数のデータの中からポリシーの切替え対象として指定されたデータのみのポリシーを、その他のポリシーに切り替えることができる。
【００１６】
請求項２記載の発明によれば、切替えを指示したユーザがポリシーの切替え対象として指定したデータに対してポリシーの切替えの権限を有する場合にのみ、当該データに付与するポリシーの切替えを許可することができる。
【００１７】
請求項３記載の発明によれば、ポリシーの切替え対象として指定されたデータに付与するポリシーを、ユーザにより指示されたポリシーに切り替えることができる。
【００１８】
請求項４記載の発明によれば、ポリシーを切り替える際、設定ミスなどによって不要なアクセス権を付与したり、今まで付与していたアクセス権より広い範囲のアクセス権を付与するということを未然に防止することができる。
【００１９】
請求項５記載の発明によれば、切替えにより付与するポリシーの識別情報が切替え要求に指定されていなくても、ポリシーの切替え対象として指定されたデータに付与するポリシーを、予め設定されているポリシーに切り替えることができる。
【００２０】
請求項６記載の発明によれば、切替えにより付与するポリシーの識別情報が切替え要求に指定されていた場合に、予め設定されている切り替え対象のポリシーの識別情報と突合することにより、ポリシーの切替え対象として指定されたデータのポリシーを、ユーザにより指示されたポリシーに切り替えることができる。
【００２１】
請求項７記載の発明によれば、セキュリティポリシーサーバコンピュータに、複数のデータに対して同一のポリシーが設定されている場合でも、その複数のデータの中からポリシーの切替え対象として指定されたデータのみのポリシーを、その他のポリシーに切り替えさせることができる。
【００２２】
請求項８記載の発明によれば、複数のデータに対して同一のポリシーが設定されている場合でも、その複数のデータの中からポリシーの切替え対象として指定されたデータのみのポリシーを、その他のポリシーに切り替えることができる。
【発明を実施するための最良の形態】
【００２３】
以下、図面に基づいて、本発明の好適な実施の形態について説明する。
【００２４】
図１は、本発明に係るセキュリティポリシー管理システムの一実施の形態を示した全体構成図である。図１には、ユーザ認証サーバ２３、セキュリティポリシーサーバ３０、クライアントとなるパーソナルコンピュータ（ＰＣ）（以下、「クライアントＰＣ」）５０及び複合機４０がネットワークの一形態であるＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）２２に接続された構成が示されている。なお、図１には、クライアントＰＣ５０と複合機４０をそれぞれ１台ずつ示したが、それぞれ複数台をＬＡＮ２２に接続するよう構成してもよい。
【００２５】
図１において、ユーザ認証サーバ２３は、ユーザ認証を一元的に管理するサーバコンピュータである。クライアントＰＣ５０などの他の機器上では、ユーザを認証して、機器の利用ができるように制御されるが、その際、このユーザ認証サーバ２３に問い合わせる。ユーザ認証サーバ２３は、ＬＤＡＰ（Ｌｉｇｈｔｗｅｉｇｈｔ Ｄｉｒｅｃｔｏｒｙ Ａｃｃｅｓｓ Ｐｒｏｔｏｃｏｌ）サーバ、あるいは、Ｗｉｎｄｏｗｓ（登録商標） Ａｃｔｉｖｅ Ｄｉｒｅｃｔｏｒｙなどのサーバでよい。
【００２６】
セキュリティポリシーサーバ３０は、ポリシー切替装置として動作しつつ、本システム上で扱われるセキュリティで保護された電子文書及び紙文書（以下、「保護文書」と総称）に対するアクセス権を管理する役割を持つ。
【００２７】
クライアントＰＣ５０は、セキュリティポリシーサーバ３０と通信して、保護されていない文書にセキュリティポリシーを付与することによって保護された電子文書（以下、「保護電子文書」ともいう）を作成する。また、クライアントＰＣ５０上では、保護電子文書をセキュリティポリシー上で許可された範囲で、閲覧、印刷、編集などの処理を行う文書アプリケーションが動作する。更に、既存の保護電子文書のポリシーの切替え機能を有している。
【００２８】
複合機４０は、複数の機能が搭載された画像処理装置の一形態である。本実施の形態における複合機４０は、基本機能として、プリンタとコピーの機能を有している。本システムでは、これらの基本機能に加え、コンピュータを内蔵していることからクライアントＰＣ５０と同様にクライアントコンピュータとしても動作可能であり、セキュリティポリシーサーバ３０と通信することで、ポリシー上許可された範囲で、保護電子文書の印刷、保護された紙文書（以下、「保護紙文書」ともいう）のコピー、スキャン等の機能を提供する。また、既存の保護紙文書のポリシーの切替え機能を有している。
【００２９】
ここで、本実施の形態において取り扱う保護文書について説明する。本実施の形態では、前述したように、セキュリティポリシーが付与され、操作が制限される文書を保護文書と呼ぶことにしている。保護文書は、電子文書、紙文書の２種類ある。いずれの場合も、セキュリティポリシーサーバ３０上では、特定のポリシーと対応付けられ、文書の識別情報（文書ＩＤ）が付与され管理される。
【００３０】
図２は、本実施の形態におけるセキュリティポリシーサーバ３０を形成するサーバコンピュータのハードウェア構成図である。本実施の形態におけるセキュリティポリシーサーバ３０は、従前から存在する汎用的なハードウェア構成で実現できる。すなわち、コンピュータは、図２に示したようにＣＰＵ１、ＲＯＭ２、ＲＡＭ３、ハードディスクドライブ（ＨＤＤ）４を接続したＨＤＤコントローラ５、入力手段として設けられたマウス６とキーボード７、及び表示装置として設けられたディスプレイ８をそれぞれ接続する入出力コントローラ９、通信手段として設けられたネットワークコントローラ１０を内部バス１１に接続して構成される。
【００３１】
なお、性能的に差異はあるかもしれないが、ユーザ認証サーバ２３及びクライアントＰＣ５０もコンピュータで形成されることから、それぞれのハードウェア構成は、図２と同じように図示することができる。
【００３２】
図３は、本実施の形態における複合機４０のハードウェア構成図である。複合機４０は、上記の通りコピー機能、スキャナ機能等各種機能を搭載した複合機であり、コンピュータを内蔵した装置である。図３において、ＣＰＵ２１は、ＲＯＭ１９に格納されたプログラムにしたがってスキャナ１４やプリンタエンジン１６等複合機４０に搭載された各種機構の動作制御を行う。アドレスデータバス１２は、ＣＰＵ２１の制御対象となる各種機構と接続してデータの通信を行う。操作パネル１３は、ユーザからの指示の受け付け、情報の表示を行う。スキャナ１４は、ユーザがセットした原稿を読み取り、電子データとしてＨＤＤ１５等に蓄積する。ＨＤＤ１５は、スキャナ１４を使用して読み取った電子文書などを格納する。親展ボックスもＨＤＤ１５に設けられる。プリンタエンジン１６は、ＣＰＵ２１で実行される制御プログラムからの指示に従い出力用紙上に画像を印字する。ネットワークインタフェース（Ｉ／Ｆ）１７は、ＬＡＮ２２を接続し、複合機４０が生成した電子データの送信、複合機４０宛に送信されてきた電子メールの受信、またブラウザ経由による複合機４０へのアクセスなどに利用される。ＲＡＭ１８は、プログラム実行時のワークメモリや電子データ送受信時の通信バッファとして利用される。ＲＯＭ１９は、複合機４０の制御や電子データの暗号、電子データの送受信に関する各種プログラムが格納されている。各種プログラムが実行されることで後述する各構成要素が所定の処理機能を発揮する。外部メディアインタフェース（Ｉ／Ｆ）２０は、ＵＳＢメモリ、フラッシュメモリ等の外部メモリ機器とのインタフェースである。
【００３３】
図４は、本実施の形態におけるセキュリティポリシーサーバ３０のブロック構成図である。図４には、セキュリティポリシー登録部３１、セキュリティポリシー一覧応答部３２、セキュリティポリシー検索部３３、セキュリティポリシー切替部３４、セキュリティポリシーデータベース（ＤＢ）３５及び文書情報データベース（ＤＢ）が示されている。セキュリティポリシー登録部３１は、複合機４０及びクライアントＰＣ５０（以下、「外部機器」と総称）から送られてくる登録要求に応じて、その登録要求に指定されている文書ＩＤ、ポリシーＩＤ、作成者ＩＤ及び作成日時の各項目データを文書情報データベース３６に新規レコードとして追加する。なお、本実施の形態において、文書ＩＤは、外部においても衝突しないように生成される。つまり、ＵＵＩＤ（Ｕｎｉｖｅｒｓａｌｌｙ Ｕｎｉｑｕｅ ＩＤｅｎｔｉｆｉｅｒ）を使用しているので、データベース上に指定された文書ＩＤのデータが存在するかどうかをチェックしなくてもよい。もちろん、チェックするようにしてもよい。
【００３４】
本実施の形態において、セキュリティポリシー一覧応答というのは、外部機器が、文書にポリシーを付与する際、どのようなポリシーが付与可能なのかの一覧リストを問い合わせる機能である。セキュリティポリシー一覧応答部３２は、この問合せに対してセキュリティポリシーデータベース３５に登録されているポリシーデータを検索して、検索条件に合致するポリシーの一覧リストを作成して問合せ元に返す。なお、外部機器がセキュリティポリシーサーバ３０にポリシーを問い合わせる際、ポリシーを付与しようとしているユーザＩＤを指定するようにしてもよい。この場合は、予め決められた登録可能ユーザリストに、そのユーザが含まれているかどうかをチェックしたり、あるいは、ポリシー毎にそのポリシーの登録を許されているユーザリストを設けて、それをチェックしたりするようにしてもよい。
【００３５】
本実施の形態において、セキュリティポリシー検索というのは、外部機器が、ポリシーがすでに設定されている文書に関するセキュリティポリシーの情報を問い合わせる機能である。この際、外部機器は、問い合わせたい文書の文書ＩＤ及び問い合わせているユーザのユーザＩＤを指定して問い合わせることになるが、セキュリティポリシー検索部３３は、この問合せに応じて該当するポリシーを問合せ元に返す。
【００３６】
セキュリティポリシー切替部３４は、外部機器からの切替え要求に応じて、当該文書に付与するポリシーを切り替える。切替要求には、ポリシーの切替え対象となる文書の文書ＩＤ、切替え対象となるポリシーのポリシーＩＤ及び切替えを指示するユーザのユーザＩＤが指定されている。
【００３７】
セキュリティポリシーサーバ３０は、セキュリティポリシー（誰にどういう権利を許可するのか）を管理するデータベースとしてセキュリティポリシーデータベース３５を、文書情報（どの文書がどのセキュリティポリシーに割り当てられているのか、いつ誰が作成したのか、など）を管理するデータベースとして文書情報データベースを、それぞれ保持する。以下、図５，６を用いて各データベース３５，３６の詳細について説明する。
【００３８】
図５は、本実施の形態におけるセキュリティポリシーデータベース３５のデータ構成例を示した図である。セキュリティポリシーデータベース３５には、ポリシーを識別するためのポリシーＩＤ及び当該ポリシーの名称に、利用範囲、利用範囲毎に設定される有効期間及び許諾機能リストを含むポリシー設定情報が対応付けして構成されたポリシー情報が登録される。利用範囲は、ユーザ認証サーバ２３で管理されているユーザグループである。各ユーザグループは少なくとも１人のユーザから構成される。有効期間は、当該ポリシーが付与された文書の有効期間である。有効期間の記述形式は、図５に例示した生成からの経過日数に限らず、有効期間の終期（日時）等種々の方法で設定可能である。許諾機能リストとは、利用範囲に含まれる各ユーザに対して許可されている操作である。図５によると、例えばポリシーＩＤ“０００１”の場合、ソフトウェア開発部に属していて、文書の作成者ではない人がこのポリシーが付与された保護文書にアクセスすると、その文書が作成されてから１８０日以内であれば、電子文書の閲覧・印刷、紙文書のコピー、及びポリシーの切替えが許可される、ということになる。なお、文書の作成日時は、文書情報データベース３６の登録内容から特定できる。いったん文書が保護されると、電子文書、紙文書に関わらず、その形態が変化しても文書ＩＤは引き継がれる。つまり、電子文書が編集・印刷されて保護紙文書が作成された場合、紙文書がコピー・スキャンされて保護電子文書が作成された場合でも、新たに作成された保護紙文書、保護電子文書には同じ文書ＩＤが割り当てられる。これによって、操作によって生成された文書に対しても同じポリシーが適用される。
【００３９】
図６は、本実施の形態における文書情報データベース３６のデータ構成例を示した図である。本実施の形態では、ポリシーの設定対象となるデータとして文書を取り扱うことにしているので、データ情報記憶手段として文書情報データベース３６を設けている。この文書情報データベース３６には、文書の識別子である文書ＩＤ（この例の場合は、ＵＵＩＤで表される）、当該文書が従っているセキュリティポリシーのポリシーＩＤ、作成したユーザのユーザＩＤ（作成者ＩＤ）、文書の操作日時、より正確には作成した文書にポリシーが付与された日時が対応付けして登録される。例えば、図６において３行目の文書（文書ＩＤが“ＡＥＤ６”で始まるレコード）の場合、この文書は、ユーザＩＤ“ｆｘ２５６１５”が割り当てられたユーザが２００６年１０月３日１４時２３分にポリシーＩＤ“０００２”のポリシーを付与することによって作成されたものである。なお、このようなポリシー、文書情報のデータベースは既存技術で実現可能であり、文書毎にセキュリティポリシーが付与できるようなものであれば、図６に例示したデータ構成に限定されるものではない。
【００４０】
セキュリティポリシーサーバ３０における各構成要素３１〜３４は、セキュリティポリシーサーバ３０に搭載されたコンピュータと、コンピュータに搭載されたＣＰＵ１で動作するプログラムとの協調動作により実現される。また、各データベース３５，３６は、コンピュータに搭載されたＨＤＤ４にて実現される。
【００４１】
図７は、本実施の形態におけるクライアントＰＣ５０のブロック構成図である。一般のユーザが使用するクライアントＰＣ５０は、所定の文書処理アプリケーションが実行されることによって、電子文書の保護や、保護された電子文書に対してポリシー上で許可された権利の範囲内で編集や印刷等の動作を行う。クライアントＰＣ５０は、アプリケーションを実行するアプリケーション実行部５１、保護されていない電子文書を記憶する非保護電子文書記憶部５２及び保護されている電子文書を記憶する保護電子文書記憶部５３を有している。アプリケーション実行部５１は、セキュリティポリシーサーバ３０と通信して、後述する構成要素を含む文書処理アプリケーションを実行することによって、保護されていない電子文書の保護、保護された電子文書の閲覧、編集、印刷等の機能を提供する。
【００４２】
すなわち、保護電子文書生成部５４は、保護されていない電子文書にポリシーを設定して保護電子文書を生成する。文書ＩＤ生成部５５は、新たに生成される保護文書に対して割り当てる文書ＩＤを生成する。文書編集部５６は、ユーザ操作指示に従い各記憶部５２，５３から読み出された電子文書、あるいは外部から送られてきた電子文書に編集を施す。文書保持部５７は、編集された電子文書を一時保持する。他の構成要素がＲＡＭ３にロードされたソフトウェアにより実現されるのに対し、文書保持部５７は、ＲＡＭ３にて実現される。文書表示部５８は、閲覧、編集対象の電子文書をディスプレイ８に表示する。ユーザ認証部５９は、クライアントＰＣ５０の利用開始時にユーザ認証処理を実施する。保護文書印刷部６０は、保護文書の印刷を実行する。制御部６１は、各構成要素全体の動作制御を行いながら文書処理アプリケーションが持つ機能を提供する。制御部６１は、また各記憶部５２，５３に記憶された電子文書を読み込む文書読込部としても機能する。
【００４３】
クライアントＰＣ５０における各構成要素５４〜５６，５８〜６１は、クライアントＰＣ５０を構成するＰＣと、ＰＣに搭載されたＣＰＵ１で動作するプログラムとの協調動作により実現される。また、各記憶部５２，５３は、クライアントＰＣ５０に搭載されたＨＤＤ４にて実現される。
【００４４】
図８は、本実施の形態における複合機４０のブロック構成図である。複合機４０は、保護された電子文書の印刷、保護された紙文書のコピー・スキャンを提供する。複合機４０は、ユーザ認証部４１、保護電子文書生成部４２、画像保持部４３、保護紙文書生成部４４、文書ＩＤエンコード部４５、印刷部４６、文書ＩＤデコード部４７及び制御部４８を有している。ユーザ認証部４１は、複合機４０の利用開始時にユーザ認証処理を実施する。保護電子文書生成部４２は、スキャンにより読み取られた保護紙文書にポリシーを設定して保護電子文書を生成する。画像保持部４３は、生成された保護電子文書を一時保持する。他の構成要素がＲＡＭ３にロードされたソフトウェアにより実現されるのに対し、画像保持部４３は、ＲＡＭ３にて実現される。保護紙文書生成部４４は、文書ＩＤエンコード部４５及び印刷部４６と連携動作し、印刷部４６により印刷される保護電子文書を保護電子文書から生成する。文書ＩＤエンコード部４５は、保護電子文書に含まれている文書ＩＤデータを用紙上に印刷可能な画像データにエンコードする。印刷部４６は、生成された保護紙文書を印刷する。文書ＩＤデコード部４７は、スキャナ１４により読み取られた保護紙文書の読取画像データをデコードして文書ＩＤを抽出する。制御部４８は、各構成要素の動作制御を行いながらスキャナ１４をはじめとするハードウェアと連携動作させ、複合機４０が持つ文書ポリシーの切替えに関連する諸機能を提供する。
【００４５】
複合機４０における各構成要素４１〜４２，４４〜４８は、複合機４０に搭載されたコンピュータと、コンピュータに搭載されたＣＰＵ２１で動作するプログラムとの協調動作により実現される。また、画像保持部４３は、ＲＡＭ１８にて実現される。
【００４６】
また、本実施の形態で用いるプログラムは、通信手段により提供することはもちろん、ＣＤ−ＲＯＭやＤＶＤ−ＲＯＭ等のコンピュータ読み取り可能な記録媒体に格納して提供することも可能である。通信手段や記録媒体から提供されたプログラムはコンピュータにインストールされ、コンピュータのＣＰＵがインストールプログラムを順次実行することで各種処理が実現される。
【００４７】
図９は、本実施の形態において用いる保護電子文書のデータ構成例を示した図である。保護電子文書は、保護電子文書であることを示すヘッダ（予め決められた長さのバイト列）と、文書ＩＤ、暗号化された電子文書本体からなる。本実施の形態では、保護電子文書は、全ての電子文書に共通な暗号鍵によって暗号化されることを前提としているが、これは一例でありＤＲＭ技術のように文書毎に鍵を変えるようにしてもよい。また、文書ＩＤが他の文書の文書ＩＤと入れ替えられたりすることを防ぐため、電子文書全体に電子署名を付与したり、あるいは、ＨＭＡＣ（Ｋｅｙｅｄ−Ｈａｓｈｉｎｇ ｆｏｒ Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ）などの値を付与したりしてもよい。いずれにしても本システムにおいては、全ての保護文書が識別子で識別され、それがポリシーで管理されているという以上の制約はない。
【００４８】
図１０，１１は、本実施の形態において用いる保護紙文書を用紙に印刷したときの例を示した模式図である。図１０は、文書が印刷された用紙の上下（ヘッダとフッタ）部分に、文書ＩＤをバーコードやＱＲコードなどで代表される特定のコードパターンで印刷する場合の例である。図１１は、文書ＩＤを、用紙などの印刷媒体２４に文書全体の背景として透かし２５により埋め込んだものである。いずれにしろ文書ＩＤを後から読み取れるように何らかの方法で紙自体に印字したものであればよい。
【００４９】
次に、本実施の形態における動作について、セキュリティポリシーサーバ３０、クライアントＰＣ５０、そして複合機４０の順に装置単位に説明する。
【００５０】
１．セキュリティポリシーサーバ３０の動作
【００５１】
セキュリティポリシーサーバ３０は、外部機器４０，５０に対して、セキュリティポリシーの登録、一覧、検索、切替えの４つの機能を提供する。以下それらの処理手順について説明する。
【００５２】
１．１ セキュリティポリシー登録
【００５３】
外部機器から文書ＩＤ、ポリシーＩＤ、作成者ＩＤ、作成日時のデータが指定された登録要求が送られてくることによってセキュリティポリシー登録部３１が呼び出されると、セキュリティポリシー登録部３１は、そのデータを文書情報データベース３６に新規のレコードとして追加する。そして、登録処理の結果（ＴＲＵＥまたはＦＡＬＳＥ）を登録要求送信元へ返す。なお、作成日時は、登録要求を受け付けた日時、あるいはデータベース登録が完了した日時としてもよい。外部機器から送られてくるセキュリティポリシーの登録要求の例を図１２に示す。
【００５４】
１．２ セキュリティポリシー一覧応答
【００５５】
セキュリティポリシー一覧応答というのは、前述したように、外部機器が文書にポリシーを付与する際、どのようなポリシーが付与可能なのかの一覧リストを問い合わせる機能である。
【００５６】
外部機器からポリシー一覧取得要求が送られてくることによってセキュリティポリシー一覧応答部３２が呼び出されると、セキュリティポリシー一覧応答部３２は、セキュリティポリシーデータベース３５に登録されているポリシーデータを検索し、ポリシーの一覧リストを生成して要求送信元へ返す。仮に一覧リストが生成できなかった場合は、その旨（ＦＡＬＳＥ）を返すようにしてもよい。
【００５７】
なお、外部機器からセキュリティポリシーサーバ３０へ問い合わせる際、ユーザは、問合せ条件としてポリシーを付与しようとしているユーザＩＤ等を指定して問い合わせることで、その問合せ条件に合致したレコードのみが一覧リストに含まれるように指示することができる。セキュリティポリシー一覧応答部３２がポリシー一覧取得要求の送信元へ返す一覧リストの例を図１３に示す。
【００５８】
１．３ セキュリティポリシー検索
【００５９】
セキュリティポリシー検索というのは、前述したように、外部機器が、ポリシーがすでに設定されている文書に関するセキュリティポリシーの情報を問い合わせる機能である。このセキュリティポリシー検索処理については、図１４に示したフローチャートを用いて説明する。
【００６０】
外部機器からの検索要求によりセキュリティポリシー検索部３３が呼び出されると、セキュリティポリシー検索部３３は、まず、検索要求に指定されている文書ＩＤに基づき文書情報データベース３６を検索する（ステップ１０１）。該当するレコードが取得できた場合（ステップ１０２でＹ）、そのレコードに含まれているポリシーＩＤのエントリーをセキュリティポリシーデータベース３５から検索する（ステップ１０３）。該当するエントリーが取得できた場合（ステップ１０４でＹ）、そのエントリーの利用範囲を参照して検索要求に指定されているユーザＩＤのユーザが所属するユーザグループのみをフィルタリングして抽出する（ステップ１０５）。例えば、図５のポリシーＩＤ“０００１”において、問い合わせたユーザが作成者でなく、ソフトウェア開発部に属している場合は、ソフトウェア開発部のみを抽出することになる。作成者かどうかは、指定された文書の作成者ＩＤが、問い合わせたユーザＩＤと一致するかで判断する。もし、何も検索されなかった場合は、空（ＮＵＬＬ）を返すことになる。
【００６１】
ユーザが所属するユーザグループが抽出できた場合（ステップ１０６でＹ）、抽出できた各エントリーにつき有効期限のチェックを行う（ステップ１０７）。すなわち、抽出した各エントリーの利用範囲の項目に関して、文書ＩＤのエントリーの作成日時から、それぞれ有効期間満了日を生成する。もし、有効期間満了日が現在時刻より前だったら、抽出したエントリーの中から当該エントリーを削除する。エントリーが残った場合において（ステップ１０８でＹ）、許可リストを作成する（ステップ１０９）。１つのエントリーのみが残ればそのエントリーをそのまま許可リストとする。複数のエントリーが残った場合、その残った利用範囲の項目の許諾リストをマージして許可リストを作成する。また、有効期間満了日時は最も長いものを選択する。
【００６２】
以上のようにして作成した許可リストを検索結果として、検索要求送信元の外部機器に返す（ステップ１１０）。以上の処理の結果、検索要求送信元へ返すポリシー検索結果の例を図１５に示す。なお、以上の処理において該当するレコード、エントリーが存在しなかった場合（ステップ１０２でＮ，ステップ１０４でＮ，ステップ１０６でＮ，ステップ１０８でＮ）、その旨を示すエラー情報を作成して（ステップ１１１）、検索要求送信元の外部機器に返す（ステップ１１２）。
【００６３】
１．４ セキュリティポリシー切替え
【００６４】
外部機器から文書ＩＤ、切替え対象のポリシーのＩＤ、切替え指示をするユーザのＩＤのデータが指定された切替え要求が送られてくると、セキュリティポリシー切替部３４は、以下の切替処理を行う。このセキュリティポリシー切替処理については、図１６に示したフローチャートを用いて説明する。なお、外部機器から送られてくるセキュリティポリシーの切替え要求の例を図１７に示す。
【００６５】
外部機器からの切替え要求によりセキュリティポリシー切替部３４が呼び出されると、セキュリティポリシー切替部３４は、まず、検索要求に指定されている文書ＩＤに基づき文書情報データベース３６を検索する（ステップ１２１）。該当するレコードが取得できた場合（ステップ１２２でＹ）、そのレコードに含まれているポリシーＩＤのエントリーをセキュリティポリシーデータベース３５から検索する（ステップ１２３）。該当するエントリーが取得できた場合（ステップ１２４でＹ）、そのエントリーの利用範囲を参照して切替え要求に指定されているユーザＩＤのユーザが所属するユーザグループのみをフィルタリングして抽出する（ステップ１２５）。例えば、図５のポリシーＩＤ“０００１”において、問い合わせたユーザが作成者でなく、ソフトウェア開発部に属している場合は、ソフトウェア開発部のみを抽出することになる。作成者かどうかは、指定された文書の作成者ＩＤが、問い合わせたユーザＩＤと一致するかで判断する。もし、何も抽出できなかった場合は、失敗（ＦＡＬＳＥ）を返すことになる。
【００６６】
ユーザが所属するユーザグループが抽出できた場合（ステップ１２６でＹ）、抽出できたエントリーにつきポリシー切替えの権限の有無のチェックを行う（ステップ１２７）。すなわち、抽出したエントリーの許諾機能リストの中にポリシー切替え権に相当する“ポリシーの切替え”が含まれているか否かをチェックする。もし、含まれない場合は、失敗（ＦＡＬＳＥ）を返すことになる。
【００６７】
ポリシー切替え権を有していた場合（ステップ１２８でＹ）、セキュリティポリシー切替部３４は、切替対象の文書に対して現在設定されているポリシー（以下、「切替え元ポリシー」ともいう）の権利範囲と、切替え対象のポリシーＩＤにより特定されるポリシー（以下、「切替え先ポリシー」ともいう）の権利範囲とを比較する（ステップ１２９）。この比較の結果、切替え元ポリシーの権利範囲が切替え先ポリシーの権利範囲より広ければ（ステップ１３０でＹ）、セキュリティポリシー切替部３４は、文書情報データベース３６に記憶されている当該文書のエントリーのポリシーＩＤを、切替え先ポリシーのポリシーＩＤで更新することによって、当該文書に付与するポリシーを切り替える（ステップ１３１）。もし、広がる場合は、失敗（ＦＡＬＳＥ）を返すことになる。
【００６８】
ここで、権利範囲が広いというのは、次のことを意味する。すなわち、セキュリティポリシーデータベース３５に登録される許諾機能リストには、利用範囲に設定されたユーザグループに属するユーザに対して許可した操作、具体的には電子文書の閲覧、印刷等が設定される。ここで、例えば、切替え元ポリシーには、「電子文書の印刷」権が設定されておらず、一方、切替え先ポリシーには、「電子文書の印刷」権が設定されている場合が「権利範囲が広い」に該当する。このような場合において、文書に付与するポリシーを切替え先ポリシーに切り替えてしまえば、今まで付与されていない権限（「電子文書の印刷」権）をユーザに新たに付与してしまうことになる。このように、今まで付与されていない権限を、ポリシーを切り替えることによってユーザに新たに付与してしまうことは、不当な権限を付与することになる可能性があるので、このようなケースを回避する必要がある。換言すると、切替え先ポリシーに基づき許可される操作が、切替え元ポリシーに基づき許可された操作より制限されている場合のみ当該保護文書に付与するポリシーを、切替え元ポリシーから切替え先ポリシーへ切り替えることを許可するようにする。従って、セキュリティポリシー切替部３４は、切替え元ポリシーの権利範囲と、切替え先ポリシーの権利範囲とを比較して、アクセス権を必要以上にユーザに付与することを回避できるようにした。つまり、ポリシーの切替えにより文書を操作するユーザに付与するポリシーが現況と同じまたは制限される場合のみポリシーの切替えを許可するようにした。ここで、権利範囲の比較・判定は、以下のデータを対象とする。なお、本実施の形態においてアクセス権というのは、保護文書に対する操作の権限と同義である。
【００６９】
まず、上記において例示したように、同じ利用範囲（ユーザグループ）に指定されている許諾機能リストに新規の権利が追加されることになるか否か、である。ポリシーの切替えにより付与する権限の数が減ったとしても、新たな権限が付与されることになる場合には、権利範囲が広くなる、ことに該当する。ただ、電子文書を編集する場合は、必ず「電子文書の閲覧」権が必要になる。このように、権限の中にも優先順位や上下関係、包含関係が成り立つ場合がある。このような場合は、各アクセス権の関係を予め定義しておき、切替え元ポリシーの権利範囲と切替え先ポリシーの権利範囲の広狭を判断する際には、その定義情報を参照すればよい。
【００７０】
また、利用範囲として定義されているユーザグループに新規のユーザあるいはユーザグループが追加されているか否かである。今まで、権限付与されていないユーザに対してポリシーの切替えによって権限が新たに付与されることは不当だからである。このユーザグループに関しても許諾機能リストと同様に上下関係、包含関係が成り立つ場合があるので、前述した許諾機能リストの場合と同様に、ユーザ及びユーザが所属するグループの関係を予め定義しておき、権利範囲の広狭を判断する際に参照すればよい。
【００７１】
更に、同じ利用範囲に指定されている有効期間が長いか否かである。有効期限が無条件に延長されるのは不当だからである。
【００７２】
以上の処理の結果、ポリシーの切替えが正常に終了すると、その旨（ＴＲＵＥ）を処理結果として切替え要求送信元へ返す（ステップ１３２）。
【００７３】
一方、以上の切替処理において切替ができない場合（ステップ１２２でＮ，ステップ１２４でＮ，ステップ１２６でＮ，ステップ１２８でＮ，ステップ１３０でＮ）、その旨（ＦＡＬＳＥ）を示すエラー情報を作成して（ステップ１３３）、検索要求送信元の外部機器に返す（ステップ１３４）。
【００７４】
２．クライアントＰＣ５０の動作
【００７５】
クライアントＰＣ５０は、所定の文書処理アプリケーションが実行されることによって、電子文書の保護や、保護された電子文書をポリシー上で許可された権利の範囲内での編集や印刷等の動作を行う。なお、保護されていない文書の印刷・編集などの処理に関しては従来の技術と同様であるので、説明を省略する。
【００７６】
２．１ 保護電子文書の生成
【００７７】
この保護電子文書の生成処理については、図１８に示したフローチャートを用いて説明する。
【００７８】
クライアントＰＣ５０を使用しているユーザが、キーボード７等の入力手段を用いて保護されていない電子文書を指定した保護指示要求を入力すると、制御部６１は、それを受け付ける（ステップ２０１）。そして、クライアントＰＣ５０にログインしたときに入力したユーザＩＤ及びパスワード、あるいは入力要求を別途したことに応じてユーザが入力したユーザＩＤ及びパスワードをユーザ認証部５９に渡すと、ユーザ認証部５９は、その入力された情報が正しいかどうかを外部のユーザ認証サーバ２３に問い合わせて確認する（ステップ２０２）。ユーザ認証に成功すれば（ステップ２０３でＹ）、ユーザＩＤを保持する。失敗した場合は（ステップ２０３でＮ）、その旨をディスプレイ８に表示し（ステップ２１０）、処理を中断する。
【００７９】
ユーザ認証成功後、制御部６１は、保護されていない電子文書を文書保持部５７に登録することで保持させた後、保護電子文書生成部５４を呼び出す。保護電子文書生成部５４は、ポリシー一覧取得要求をセキュリティポリシーサーバ３０へ送信することによりセキュリティポリシーの一覧を取得する（ステップ２０４）。なお、送信したポリシー一覧取得要求に応じてセキュリティポリシーサーバ３０側において実行される処理については、「１．２ セキュリティポリシー一覧応答」において前述したとおりである。ポリシーの一覧リストが取得できると、制御部６１は、取得したポリシーの一覧リストをユーザに理解可能な形式で表示させ（例えば、ポリシー名のドロップダウンによるリスト表示等）、ユーザに適用したいポリシーを選択させる。ポリシーが選択されると、制御部６１は、それを受け付け（ステップ２０５）、続いて、保護電子文書生成部５４は、文書ＩＤ生成部５５に文書ＩＤを生成させ（ステップ２０６）、その文書ＩＤ、ポリシーＩＤ、ユーザＩＤ(作成者ＩＤ)及び作成日時（現在時刻）の各パラメータを含む登録要求を生成し、セキュリティポリシーサーバ３０へ送信することによって保護電子文書の登録指示を出す（ステップ２０７）。なお、送信した登録要求に応じてセキュリティポリシーサーバ３０側において実行される処理については、「１．１ セキュリティポリシー登録」において前述したとおりである。
【００８０】
ここで、登録指示に応じてセキュリティポリシーサーバ３０から返信されてきた処理結果により登録処理が成功した旨を認識すると（ステップ２０８でＹ）、制御部６１は、保護されていない文書を予め決められた暗号鍵で暗号化し、付与された文書ＩＤを関連付けして、保護電子文書として保護電子文書記憶部５３に書込保存する（ステップ２０９）。
【００８１】
なお、認証に失敗した場合（ステップ２０３でＮ）、登録処理に失敗した旨がセキュリティポリシーサーバ３０から返信されてきた場合（ステップ２０８でＮ）、制御部６１は、エラー情報をディスプレイ８に表示するなどしてユーザにその旨を知らせる（ステップ２１０）。
【００８２】
２．２ 保護電子文書の閲覧
【００８３】
次に、保護電子文書の閲覧処理については、図１９に示したフローチャートを用いて説明する。
【００８４】
クライアントＰＣ５０を使用しているユーザにより、保護電子文書の閲覧のためにキーボード７等の入力手段を用いて保護電子文書を指定して文書処理アプリケーションが起動されることによって保護電子文書の閲覧が要求されると、制御部６１は、その要求を受け付け（ステップ２１１）、保護電子文書生成処理と同様にユーザ認証部５９にユーザ認証を実行させる（ステップ２１２）。ユーザ認証成功後（ステップ２１３でＹ）、制御部６１は、指定された保護電子文書の文書ＩＤを保護電子文書記憶部５３から読み取り（ステップ２１４）、その文書ＩＤ及びユーザ認証に用いたユーザＩＤの各パラメータを含む検索要求を生成し、セキュリティポリシーサーバ３０へ送信する（ステップ２１５）。なお、送信した検索要求に応じてセキュリティポリシーサーバ３０側において実行される処理については、「１．３ セキュリティポリシー検索」において前述したとおりである。
【００８５】
ここで、検索要求に応じてセキュリティポリシーサーバ３０から検索結果がない旨などのエラー情報が送られてくると（ステップ２１６でＮ）、制御部６１は、「指定した文書に対するアクセス権がありません」などのエラーメッセージをディスプレイ８に表示して終了する（ステップ２２１）。一方、セキュリティポリシーサーバ３０から検索結果として許可リストが送られてくると（ステップ２１６でＹ）、その許可リストを参照し、「電子文書の閲覧」が含まれているもののみにフィルタリングする（ステップ２１７）。図１５の例の場合は、Ｏｐｅｒａｔｉｏｎタグ内に“Ｖｉｅｗ”が含まれているもののみを抽出する。また、許可リストが許諾機能リストをマージして作成されている場合には、“Ｖｉｅｗ”の有無を確認することになる。ここで、“Ｖｉｅｗ”が含まれていなければ（ステップ２１８でＮ）、当該ユーザには、指定された保護電子文書に対する閲覧権が付与されていないと判断して、「指定した文書の閲覧権はありません」というエラーをディスプレイ８に表示する（ステップ２２１）。
【００８６】
“Ｖｉｅｗ”が含まれている場合（ステップ２１８でＹ）、制御部６１は、続いてフィルタリングにより残った検索結果を参照して、有効期間が満了していないものがあるかどうかをチェックする。なお、セキュリティポリシーサーバ３０側で有効期間の満了しているものは返さないようにしているので、この処理は、念のための処理である。有効期間満了前のものが無ければ（ステップ２１９でＮ）、「指定した文書の権利は有効期間を過ぎています」というエラーメッセージを表示して終了する（ステップ２２１）。
【００８７】
有効期間満了前のものが存在すれば（ステップ２１９でＹ）、閲覧権があるものと判断されるので、制御部６１は、予め決められた復号鍵で文書本体を復号し、その結果を文書ＩＤと共に文書保持部５７に一時格納し、文書表示部５８を呼びだして、文書をディスプレイ８に表示させる（ステップ２２０）。
【００８８】
２．３ 保護電子文書の編集
【００８９】
次に、保護電子文書の編集処理については、図２０に示したフローチャートを用いて説明する。なお、編集の際には、既に文書が文書処理アプリケーションで開かれていることを仮定している。すなわち、閲覧の処理が行われて文書保持部５７に文書がすでに読み込まれている状態から、以下に説明する編集処理が始まるものとする。
【００９０】
クライアントＰＣ５０で保護電子文書を開いているユーザにより、保護電子文書の編集が要求されると、制御部６１は、その要求を受け付ける（ステップ２３１）。そして、制御部６１は、保護電子文書から文書ＩＤを読み取り（ステップ２３２）、その文書ＩＤ及びユーザ認証に用いたユーザＩＤの各パラメータを含む検索要求を生成し、セキュリティポリシーサーバ３０へ送信する（ステップ２３３）。なお、送信した検索要求に応じてセキュリティポリシーサーバ３０側において実行される処理については、「１．３ セキュリティポリシー検索」において前述したとおりである。
【００９１】
ここで、検索要求に応じてセキュリティポリシーサーバ３０から検索結果がない旨などのエラー情報が送られてくると（ステップ２３４でＮ）、制御部６１は、「指定した文書に対するアクセス権がありません」などのエラーメッセージをディスプレイ８に表示して終了する（ステップ２３９）。一方、セキュリティポリシーサーバ３０から検索結果として許可リストが送られてくると（ステップ２３４でＹ）、その許可リストを参照し、「電子文書の編集」が含まれているもののみにフィルタリングする（ステップ２３５）。図１５の例の場合は、Ｏｐｅｒａｔｉｏｎタグ内に“Ｅｄｉｔ”が含まれているもののみを抽出する。また、許可リストが許諾機能リストをマージして作成されている場合には、“Ｅｄｉｔ”の有無を確認することになる。ここで、“Ｅｄｉｔ”が含まれていなければ（ステップ２３６でＮ）、当該ユーザには、指定された保護電子文書に対する編集権が付与されていないと判断して、「指定した文書の編集権はありません」というエラーをディスプレイ８に表示する（ステップ２３９）。
【００９２】
“Ｅｄｉｔ”が含まれている場合（ステップ２３６でＹ）、制御部６１は、続いてフィルタリングにより残った検索結果を参照して、有効期間が満了していないものがあるかどうかをチェックする。なお、セキュリティポリシーサーバ３０側で有効期間の満了しているものは返さないようにしているので、この処理は、念のための処理である。有効期間満了前のものが無ければ（ステップ２３７でＮ）、「指定した文書の権利は有効期間を過ぎています」というエラーメッセージを表示して終了する（ステップ２３９）。
【００９３】
有効期間満了前のものが存在すれば（ステップ２３７でＹ）、編集権があるものと判断されるので、制御部６１は、文書編集部５６を呼び出して、保護電子文書の編集をユーザに許可する（ステップ２３８）。
【００９４】
なお、文書を開く（閲覧する）際に、セキュリティポリシーサーバ３０に保護電子文書のポリシーを問い合わせたら、その結果をＲＡＭ３上に保持しておくようにしてもよい。こうすれば、ステップ２３３で許可リストを問い合わせる必要はなく、ＲＡＭ３に保持しておいたポリシーを参照すればすむ。
【００９５】
２．４ 保護電子文書の印刷
【００９６】
次に、保護電子文書の印刷処理については、図２１に示したフローチャートを用いて説明する。なお、印刷の際には、編集の場合と同様に文書が文書アプリケーションによってすでに開かれていることを仮定している。すなわち、閲覧の処理が行われて文書保持部５７に文書がすでに読み込まれている状態から、以下に説明する印刷処理が始まるものとする。
【００９７】
クライアントＰＣ５０で保護電子文書を開いているユーザにより、保護電子文書の印刷が要求されると、制御部６１は、その印刷要求を受け付け（ステップ２４１）、ユーザにより指定された保護電子文書の印刷指示を保護文書印刷部６０に出す（ステップ２４２）。印刷指示を受けた保護文書印刷部６０は、文書保持部５７に保持されている保護電子文書を読み出して印刷イメージに変換し、文書ＩＤ、ユーザＩＤと共に、保護電子文書を、ユーザにより指定された複合機４０に送信することで印刷を実行させる（ステップ２４３）。複合機４０は、保護電子文書を受け付けることによって印刷を開始することになるが、この処理については、追って説明する。
【００９８】
ところで、本実施の形態では、印刷処理の実行可否の権利確認を複合機４０側にて行うようにしているので、文書処理アプリケーション側では権利確認処理を行う必要はない。しかし、このようにすると、文書データを複合機４０に送ってからでないと、印刷権の有無が確認できないので、クライアントＰＣ５０から複合機４０へのデータ通信が無駄になる場合が発生しうる。そこで、本実施の形態においては、文書データを送信する前に、送信文書の印刷権があるかどうかを確認するようにしてもよい。この印刷時においてクライアントＰＣ５０側において行う権利確認処理を図２２に示したフローチャートを用いて説明する。なお、図２１と同じ処理には同じステップ番号を付ける。
【００９９】
クライアントＰＣ５０で保護電子文書を開いているユーザにより、保護電子文書の印刷が要求されると、制御部６１は、その印刷要求を受け付ける（ステップ２４１）。そして、制御部６１は、印刷対象の保護電子文書から文書ＩＤを読み取り（ステップ２４４）、その文書ＩＤ及びユーザ認証に用いたユーザＩＤの各パラメータを含む検索要求を生成し、セキュリティポリシーサーバ３０へ送信する（ステップ２４５）。なお、送信した検索要求に応じてセキュリティポリシーサーバ３０側において実行される処理については、「１．３ セキュリティポリシー検索」において前述したとおりである。
【０１００】
ここで、検索要求に応じてセキュリティポリシーサーバ３０から検索結果がない旨などのエラー情報が送られてくると（ステップ２４６でＮ）、制御部６１は、「指定した文書に対する印刷権がありません」などのエラーメッセージをディスプレイ８に表示して終了する（ステップ２５０）。一方、セキュリティポリシーサーバ３０から検索結果として許可リストが送られてくると（ステップ２４６でＹ）、その許可リストを参照し、「電子文書の印刷」が含まれているもののみにフィルタリングする（ステップ２４７）。図１５の例の場合は、Ｏｐｅｒａｔｉｏｎタグ内に“Ｐｒｉｎｔ”が含まれているもののみを抽出する。また、許可リストが許諾機能リストをマージして作成されている場合には、“Ｐｒｉｎｔ”の有無を確認することになる。ここで、“Ｐｒｉｎｔ”が含まれていなければ（ステップ２４８でＮ）、当該ユーザには、指定された保護電子文書に対する印刷権が付与されていないと判断して、「指定した文書の印刷権はありません」というエラーをディスプレイ８に表示する（ステップ２５０）。
【０１０１】
“Ｐｒｉｎｔ”が含まれている場合（ステップ２４８でＹ）、制御部６１は、続いてフィルタリングにより残った検索結果を参照して、有効期間が満了していないものがあるかどうかをチェックする。なお、セキュリティポリシーサーバ３０側で有効期間の満了しているものは返さないようにしているので、この処理は、念のための処理である。有効期間満了前のものが無ければ（ステップ２４９でＮ）、「指定した文書の権利は有効期間を過ぎています」というエラーメッセージを表示して終了する（ステップ２５０）。
【０１０２】
有効期間満了前のものが存在すれば（ステップ２４９でＹ）、印刷権があるものと判断されるので、制御部６１は、ユーザにより指定された保護電子文書の印刷指示を保護文書印刷部６０に出す（ステップ２４２）。保護文書印刷部６０は、この印刷指示に応じて文書保持部５７に保持されている保護電子文書を読み出して印刷イメージに変換し、文書ＩＤ、ユーザＩＤと共に、保護電子文書を、ユーザにより指定された複合機４０に送信することで印刷を実行させる（ステップ２４３）。
【０１０３】
２．５ 保護電子文書の保存
【０１０４】
文書処理アプリケーションが開いている保護電子文書をファイルに保存（上書き、別名など）する際には、以下のような処理が行なわれる。この保護電子文書の保存処理については、図２３に示したフローチャートを用いて説明する。
【０１０５】
まず、ユーザが文書処理アプリケーション上で所定の保存ボタンをクリック等により選択すると、制御部６１は、そのユーザ操作に応じた保存要求を受け付ける（ステップ２５１）。そして、制御部６１は、文書保持部５７に保存されている電子文書に文書ＩＤが付与されていたら、保護電子文書であると判断し、予め決められた暗号鍵で文書本体を暗号化し、そして文書ＩＤを付与して、保護電子文書ファイルを保護電子文書記憶部５３に保存する（ステップ２５２）。
【０１０６】
２．６ 保護電子文書の切替え
【０１０７】
保護電子文書のポリシーの切替えは、保護電子文書ファイルを、文書処理アプリケーションが開いている状態で、アプリケーションの「保護文書のポリシー切替え」ボタンを選択することによって行われる。この保護電子文書のポリシー切替え処理については、図２４に示したフローチャートを用いて説明する。
【０１０８】
まず、ユーザが文書処理アプリケーション上で所定の切替えボタンをクリック等により選択すると、制御部６１は、そのユーザ操作に応じたポリシー切替え要求を受け付ける（ステップ２６１）。そして、制御部６１は、ポリシー一覧取得要求をセキュリティポリシーサーバ３０へ送信することによりセキュリティポリシーの一覧を取得する（ステップ２６２）。なお、送信したポリシー一覧取得要求に応じてセキュリティポリシーサーバ３０側において実行される処理については、「１．２ セキュリティポリシー一覧応答」において前述したとおりである。ポリシーの一覧リストが取得できると、制御部６１は、取得したポリシーの一覧リストをユーザに理解可能な形式で表示させ、ユーザに適用したいポリシーを選択させる。ポリシーが選択されると、制御部６１は、それを受け付け（ステップ２６３）、続いて、選択されたポリシーのポリシーＩＤ、切替え対象の文書ＩＤ及びユーザＩＤの各パラメータを含む切替え要求を生成し、セキュリティポリシーサーバ３０へ送信することによって保護電子文書の切替え指示を出す（ステップ２６４）。なお、この切替え要求に応じて呼び出されたセキュリティポリシー切替部３４が実施する切替処理については、「１．４ セキュリティポリシー切替え」において前述したとおりである。
【０１０９】
この切替え指示に応じてセキュリティポリシーサーバ３０から処理結果としてポリシーの切替えが成功した旨（ＴＲＵＥ）が送られてくると（ステップ２６５でＹ）、クライアントＰＣ５０における切替処理は終了する。一方、切替えが失敗した旨（ＦＡＬＳＥ）が送られてくると（ステップ２６５でＮ）、その旨をディスプレイ８に表示し（ステップ２６６）、他のポリシーを選択させるためにステップ２６３に戻す。
【０１１０】
３．複合機４０の動作
【０１１１】
複合機４０は、保護された電子文書の印刷、保護された紙文書のコピー・スキャンを提供する。なお、ここでは、保護された紙文書以外の通常の紙文書のコピーやスキャンなどについては従来と同じ処理がなされるだけであるので、説明を省略している。
【０１１２】
３．１ 保護電子文書の印刷
【０１１３】
この保護電子文書の印刷処理については、図２５に示したフローチャートを用いて説明する。
【０１１４】
「２．４ 保護電子文書の印刷」において説明したように、ユーザにより保護電子文書の印刷が要求されると、複合機４０には、クライアントＰＣ５０から複合機４０において印字可能な印刷イメージが文書ＩＤ及びユーザＩＤと共に送られる。制御部４８は、印刷要求を受け付けると（ステップ３０１）、その印刷要求に含まれている文書ＩＤ及びユーザＩＤの各パラメータを含む検索要求を生成し、セキュリティポリシーサーバ３０へ送信する（ステップ３０２）。なお、送信した検索要求に応じてセキュリティポリシーサーバ３０側において実行される処理については、「１．３ セキュリティポリシー検索」において前述したとおりである。
【０１１５】
ここで、検索要求に応じてセキュリティポリシーサーバ３０から検索結果がない旨などのエラー情報が送られてくると（ステップ３０３でＮ）、制御部４８は、「指定した文書に対する印刷権がありません」などのエラーメッセージを操作パネル１３に表示したり、あるいはエラーログをＨＤＤ１５に記録したりして処理を終了する（ステップ３０９）。一方、セキュリティポリシーサーバ３０から検索結果として許可リストが送られてくると（ステップ３０３でＹ）、その許可リストを参照し、「電子文書の印刷」が含まれているもののみにフィルタリングする（ステップ３０４）。図１５の例の場合は、Ｏｐｅｒａｔｉｏｎタグ内に“Ｐｒｉｎｔ”が含まれているもののみを抽出する。また、許可リストが許諾機能リストをマージして作成されている場合には、“Ｐｒｉｎｔ”の有無を確認することになる。ここで、“Ｐｒｉｎｔ”が含まれていなければ（ステップ３０５でＮ）、当該ユーザには、指定された保護電子文書に対する印刷権が付与されていないと判断して、「指定した文書の印刷権はありません」というエラーを操作パネル１３に表示したりする（ステップ３０９）。
【０１１６】
“Ｐｒｉｎｔ”が含まれている場合（ステップ３０５でＹ）、制御部４８は、続いてフィルタリングにより残った検索結果を参照して、有効期間が満了していないものがあるかどうかをチェックする。なお、セキュリティポリシーサーバ３０側で有効期間の満了しているものは返さないようにしているので、この処理は、念のための処理である。有効期間満了前のものが無ければ（ステップ３０６でＮ）、「指定した文書の権利は有効期間を過ぎています」というエラーメッセージを表示して終了する（ステップ３０９）。
【０１１７】
有効期間満了前のものが存在すれば（ステップ３０６でＹ）、印刷権があるものと判断されるので、制御部４８は、画像保持部４３に印刷イメージと文書ＩＤ、ユーザＩＤを一時格納し、保護紙文書生成部４４を呼び出す。保護紙文書生成部４４は、画像保持部４３を介して受け取った文書ＩＤをバーコードなどのコードパターンの画像イメージに変換するように文書ＩＤエンコード部４５に指示する。そして、保護紙文書生成部４４は、その文書ＩＤの画像イメージを、印刷対象の保護電子文書の印刷イメージのヘッダ部及び／又はフッタ部に合成することによって印刷する合成画像を生成する（ステップ３０７）。そして、印刷部４６は、生成された合成画像を印刷する（ステップ３０８）。このようにして保護電子文書が印刷されたときの用紙の模式図は、図１０に示されている。もちろん、文書ＩＤを透かしとして生成し、図１１に例示したように印刷してもよい。
【０１１８】
３．２ 保護紙文書のコピー
【０１１９】
この保護紙文書のコピー処理については、図２６に示したフローチャートを用いて説明する。
【０１２０】
ユーザが複合機４０のプラテン、あるいはＡＤＦ（Ａｕｔｏ Ｄｏｃｕｍｅｎｔ Ｆｅｅｄｅｒ）上に保護紙文書を置き、操作パネル１３に表示された「保護文書のコピー」のボタンを押す。制御部４８は、ユーザによる押下操作によりコピー指示を受け付けると（ステップ３１１）、制御部４８は、操作パネル１３にユーザ認証ダイアログを表示し、ユーザにユーザＩＤとパスワードの入力を求める。ユーザが入力すると、その入力されたユーザＩＤ及びパスワードをユーザ認証部４１に渡す。そして、ユーザ認証部４１は、その入力された情報が正しいかどうかを外部のユーザ認証サーバ２３に問い合わせて確認する（ステップ３１２）。ユーザ認証に成功すれば（ステップ３１３でＹ）、ユーザＩＤを保持する。失敗した場合は（ステップ３１３でＮ）、その旨を操作パネル１３に表示して（ステップ３２４）、処理を中断する。
【０１２１】
ユーザ認証成功後、制御部４８は、保護紙文書をスキャンして画像を読み込み（ステップ３１４）、その画像イメージのヘッダおよびフッタ部の画像イメージを文書ＩＤデコード部４７にデコードさせることによって文書ＩＤを取得する（ステップ３１５）。なお、文書ＩＤが透かしにより保護紙文書に組み込まれている場合には、透かしをデコードすることになる。文書ＩＤのデコードに失敗して取得できなかった場合は（ステップ３１６でＮ）、その旨を操作パネル１３に表示し（ステップ３２４）、処理を中断する。
【０１２２】
文書ＩＤのデコードに成功した場合（ステップ３１６でＹ）、制御部４８は、そのデコードした文書ＩＤ及びユーザ認証に用いたユーザＩＤの各パラメータを含む検索要求を生成し、セキュリティポリシーサーバ３０へ送信する（ステップ３１７）。なお、送信した検索要求に応じてセキュリティポリシーサーバ３０側において実行される処理については、「１．３ セキュリティポリシー検索」において前述したとおりである。
【０１２３】
ここで、検索要求に応じてセキュリティポリシーサーバ３０から検索結果がない旨などのエラー情報が送られてくると（ステップ３１８でＮ）、制御部４８は、「コピー権がありません」などのエラーメッセージを操作パネル１３に表示して終了する（ステップ３２４）。一方、セキュリティポリシーサーバ３０から検索結果として許可リストが送られてくると（ステップ３１８でＹ）、その許可リストを参照し、「紙文書のコピー」が含まれているもののみにフィルタリングする（ステップ３１９）。図１５の例の場合は、Ｏｐｅｒａｔｉｏｎタグ内に“Ｃｏｐｙ”が含まれているもののみを抽出する。また、許可リストが許諾機能リストをマージして作成されている場合には、“Ｃｏｐｙ”の有無を確認することになる。ここで、“Ｃｏｐｙ”が含まれていなければ（ステップ３２０でＮ）、当該ユーザには、指定された保護電子文書に対するコピー権が付与されていないと判断して、「コピー権はありません」というエラーを操作パネル１３に表示して終了する（ステップ３２４）。
【０１２４】
“Ｃｏｐｙ”が含まれている場合（ステップ３２０でＹ）、制御部４８は、続いてフィルタリングにより残った検索結果を参照して、有効期間が満了していないものがあるかどうかをチェックする。なお、セキュリティポリシーサーバ３０側で有効期間の満了しているものは返さないようにしているので、この処理は、念のための処理である。有効期間満了前のものが無ければ（ステップ３２１でＮ）、「権利は有効期間を過ぎています」というエラーメッセージを表示して終了する（ステップ３２４）。
【０１２５】
有効期間満了前のものが存在すれば（ステップ３２１でＹ）、コピー権があるものと判断されるので、制御部４８は、画像保持部４３に印刷イメージと文書ＩＤ、ユーザＩＤを一時格納し、保護紙文書生成部４４を呼び出す。保護紙文書生成部４４は、画像保持部４３を介して受け取った文書ＩＤをバーコードなどのコードパターンの画像イメージに変換するように文書ＩＤエンコード部４５に指示する。そして、保護紙文書生成部４４は、その文書ＩＤの画像を、印刷対象の保護電子文書の印刷画像のヘッダ部及び／又はフッタ部に合成することによって印刷する合成画像を生成する（ステップ３２２）。そして、印刷部４６は、生成された合成画像を印刷する（ステップ３２３）。このようにして保護電子文書が印刷されたときの用紙の模式図は、図１０に示されている。もちろん、コピー対象の保護紙文書に文書ＩＤが透かしとして形成されている場合は、図１１に例示したように文書ＩＤを透かし２５として印刷する。このようにして、保護紙文書がコピーされる。本実施の形態では、特に文書ＩＤの読取画像をそのままコピー印刷するのではなく、いったんデコードし、そしてコピー印刷時に再度エンコードするようにしたので、紙文書に印刷した文書ＩＤデータは劣化しない。
【０１２６】
３．３ 保護紙文書のスキャン
【０１２７】
保護紙文書をスキャンすると、紙文書のイメージが電子化されることになるが、そのイメージを保護電子文書として生成する必要がある。保護紙文書のコピー処理においては、印刷媒体に印刷を行うことになるが、この保護電子文書のスキャン処理は、印刷媒体に印刷を行う代わりに電子データをいずれかの記憶手段に保存することになること以外は、基本的な処理内容は共通である。この保護電子文書のスキャン処理については、図２７に示したフローチャートを用いて説明する。
【０１２８】
ユーザが複合機４０のプラテン、あるいはＡＤＦ上に保護紙文書を置き、操作パネル１３に表示された「保護文書のスキャン」のボタンを押す。制御部４８は、ユーザによる押下操作によりスキャン指示を受け付けると（ステップ３３１）、制御部４８は、操作パネル１３にユーザ認証ダイアログを表示し、ユーザにユーザＩＤとパスワードの入力を求める。ユーザが入力すると、その入力されたユーザＩＤ及びパスワードをユーザ認証部４１に渡す。そして、ユーザ認証部４１は、その入力された情報が正しいかどうかを外部のユーザ認証サーバ２３に問い合わせて確認する（ステップ３３２）。ユーザ認証に成功すれば（ステップ３３３でＹ）、ユーザＩＤを保持する。失敗した場合は（ステップ３３３でＮ）、その旨を操作パネル１３に表示して（ステップ３４４）、処理を中断する。
【０１２９】
ユーザ認証成功後、制御部４８は、保護紙文書をスキャンして画像を読み込み（ステップ３３４）、その画像イメージのヘッダおよびフッタ部の画像イメージを文書ＩＤデコード部４７にデコードさせることによって文書ＩＤを取得する（ステップ３３５）。なお、文書ＩＤが透かしにより保護紙文書に組み込まれている場合には、透かしをデコードすることになる。文書ＩＤのデコードに失敗して取得できなかった場合は（ステップ３３６でＮ）、その旨を操作パネル１３に表示し（ステップ３４４）、処理を中断する。
【０１３０】
文書ＩＤのデコードに成功した場合（ステップ３３６でＹ）、制御部４８は、そのデコードした文書ＩＤ及びユーザ認証に用いたユーザＩＤの各パラメータを含む検索要求を生成し、セキュリティポリシーサーバ３０へ送信する（ステップ３３７）。なお、送信した検索要求に応じてセキュリティポリシーサーバ３０側において実行される処理については、「１．３ セキュリティポリシー検索」において前述したとおりである。
【０１３１】
ここで、検索要求に応じてセキュリティポリシーサーバ３０から検索結果がない旨などのエラー情報が送られてくると（ステップ３３８でＮ）、制御部４８は、「スキャン権がありません」などのエラーメッセージを操作パネル１３に表示して終了する（ステップ３４４）。一方、セキュリティポリシーサーバ３０から検索結果として許可リストが送られてくると（ステップ３３８でＹ）、その許可リストを参照し、「紙文書のスキャン」が含まれているもののみにフィルタリングする（ステップ３３９）。図１５の例には含まれていないが、Ｏｐｅｒａｔｉｏｎタグ内に“Ｓｃａｎ”が含まれていれば、その含まれているもののみを抽出する。また、許可リストが許諾機能リストをマージして作成されている場合には、“Ｓｃａｎ”の有無を確認することになる。ここで、“Ｓｃａｎ”が含まれていなければ（ステップ３４０でＮ）、当該ユーザには、指定された保護電子文書に対するスキャン権が付与されていないと判断して、「スキャン権はありません」というエラーを操作パネル１３に表示して終了する（ステップ３４４）。
【０１３２】
“Ｓｃａｎ”が含まれている場合（ステップ３４０でＹ）、制御部４８は、続いてフィルタリングにより残った検索結果を参照して、有効期間が満了していないものがあるかどうかをチェックする。なお、セキュリティポリシーサーバ３０側で有効期間の満了しているものは返さないようにしているので、この処理は、念のための処理である。有効期間満了前のものが無ければ（ステップ３４１でＮ）、「権利は有効期間を過ぎています」というエラーメッセージを表示して終了する（ステップ３４４）。
【０１３３】
有効期間満了前のものが存在すれば（ステップ３４１でＹ）、スキャン権があるものと判断されるので、制御部４８は、画像保持部４３に読取画像と文書ＩＤ、ユーザＩＤを一時格納し、保護電子文書生成部４２を呼び出す。保護電子文書生成部４２は、画像保持部４３を介して受け取った文書ＩＤをバーコードなどのコードパターンの画像イメージに変換するように文書ＩＤエンコード部４５に指示する。また、保護電子文書生成部４２は、保護紙文書の画像イメージから文書ＩＤ画像を削除した後、予め決められた暗号鍵で暗号化し、その暗号化した電子文書画像のヘッダ部及び／又はフッタ部に、エンコードされた文書ＩＤを合成することによって保存対象の保護電子文書を生成する（ステップ３４２）。そして、複合機４０のユーザがアクセス可能な場所、例えば当該ユーザの親展ボックスなどに格納する（ステップ３４３）。保護紙文書のスキャン処理においても、コピー処理と同様、文書ＩＤの読取画像をそのまま保存対象とするのではなく、いったんデコードし、そして再度エンコードするようにしたので、紙文書に印刷した文書ＩＤデータは劣化しない。
【０１３４】
なお、保護電子文書生成部４２における詳細な処理は、基本的にクライアントＰＣ５０における保護電子文書生成部５４の処理と同じである。このため、図８では、保護電子文書生成処理に関連する構成要素を省略している。
【０１３５】
３．４ 保護紙文書のポリシー切替え
【０１３６】
複合機４０を利用して行われるポリシーの切替処理については、図２８に示したフローチャートを用いて説明する。
【０１３７】
ユーザが複合機４０のプラテン、あるいはＡＤＦ上に保護紙文書を置き、操作パネル１３に表示された「保護文書のポリシー切替え」のボタンを押す。制御部６１は、ユーザによる押下操作によりポリシー切替え指示を受け付けると（ステップ３５１）、制御部４８は、操作パネル１３にユーザ認証ダイアログを表示し、ユーザにユーザＩＤとパスワードの入力を求める。ユーザが入力すると、その入力されたユーザＩＤ及びパスワードをユーザ認証部４１に渡す。そして、ユーザ認証部４１は、その入力された情報が正しいかどうかを外部のユーザ認証サーバ２３に問い合わせて確認する（ステップ３５２）。ユーザ認証に成功すれば（ステップ３５３でＹ）、ユーザＩＤを保持する。失敗した場合は（ステップ３５３でＮ）、その旨を操作パネル１３に表示して（ステップ３６２）、処理を中断する。
【０１３８】
ユーザ認証成功後、制御部４８は、保護紙文書をスキャンして画像を読み込み（ステップ３５４）、その画像イメージのヘッダおよびフッタ部の画像イメージを文書ＩＤデコード部４７にデコードさせることによって文書ＩＤを取得する（ステップ３５５）。なお、文書ＩＤが透かしにより保護紙文書に組み込まれている場合には、透かしをデコードすることになる。文書ＩＤのデコードに失敗して取得できなかった場合は（ステップ３５６でＮ）、その旨を操作パネル１３に表示し（ステップ３６２）、処理を中断する。
【０１３９】
文書ＩＤのデコードに成功した場合（ステップ３５６でＹ）、制御部４８は、ポリシー一覧取得要求をセキュリティポリシーサーバ３０へ送信することによりセキュリティポリシーの一覧を取得する（ステップ３５７）。なお、送信したポリシー一覧取得要求に応じてセキュリティポリシーサーバ３０側において実行される処理については、「１．２ セキュリティポリシー一覧応答」において前述したとおりである。ポリシーの一覧リストが取得できると、制御部４８は、取得したポリシーの一覧リストをユーザに理解可能な形式で表示させ、ユーザに適用したいポリシーを選択させる。ポリシーが選択されると、制御部４８は、それを受け付け（ステップ３５８）、続いて、選択されたポリシーのポリシーＩＤ、切替え対象の文書ＩＤ及びユーザＩＤの各パラメータを含む切替え要求を生成し、セキュリティポリシーサーバ３０へ送信することによって保護電子文書の切替え指示を出す（ステップ３５９）。なお、この切替え要求に応じて呼び出されたセキュリティポリシー切替部３４が実施する切替処理については、「１．４ セキュリティポリシー切替え」において前述したとおりである。
【０１４０】
この切替え指示に応じてセキュリティポリシーサーバ３０から処理結果としてポリシーの切替えが成功した旨（ＴＲＵＥ）が送られてくると（ステップ３６０でＹ）、複合機４０における切替処理は終了する。一方、切替えが失敗した旨（ＦＡＬＳＥ）が送られてくると（ステップ３６０でＮ）、その旨を操作パネル１３に表示し（ステップ３６１）、他のポリシーを選択させるためにステップ３５８に戻す。
【０１４１】
ところで、前述した実施の形態におけるセキュリティポリシー切替処理では、切替え先のポリシーを制限するために、切替え先のポリシーの権利内容と、切替え元、すなわち現在のポリシーの権利内容とを比較することで行ったが（図１６のステップ１２９）、これは、以下のように実現してもよい。
【０１４２】
まず、切替え可能なポリシーに対する制限を、別途記述してもよい。つまり、切替え先のポリシーが満たしているべき条件を記述するようにする。例えば、電子文書の印刷権が存在しないこと、紙文書のコピー権が存在しないこと、ポリシーの切替え権が存在しないこと、のようにである。このような条件を利用範囲（グループ、ユーザ）と共に記述してもよい。
【０１４３】
あるいは、切替え可能なポリシーを直接指定できるようにしてもよい。この変形例におけるセキュリティポリシーデータベース３５のデータ構成例を図２９に示す。この場合、ポリシーの切替え権がある場合、その切替え権を有するという指定と共に切替え可能なポリシーのＩＤを指定する。このようにすれば、ユーザは、ポリシーの切替えを要求する際に、切替え先とするポリシーのＩＤを入力指定しなくても、切替え指示さえすればポリシーの切替えが可能になる。図２９には、“ソフトウェア開発部内資料”の“作成者”は、ポリシーＩＤ“０００３”のポリシーに切り替えることができる例が示されている。また、ポリシーに対する制限により切替え不能と判定されることがない。なお、切替え可能なポリシーのＩＤを１つのみ指定することに限定せずに、複数指定できるようにしてもよい。この場合は、複数指定されたポリシーの中からユーザにより選択させるようにすれば、ユーザは、ポリシーの切替えを要求する際に、切替え先とするポリシーのＩＤを入力指定しなくてもよく、また、ポリシーに対する制限により切替え不能と判定されることがない。この実施の形態によれば、予め切替え先のポリシーの内容を決めておき、そのポリシーにのみ切替えを許可するようにするので、切替え元と切替え先のポリシーの内容で制限する必要はなく、まったく独立な内容のポリシーに切り替えることも可能とする。また、切替え可能なポリシーＩＤを複数列挙しておき、ユーザがポリシーを切り替える際に切替え先を選択可能にしても良い。
【図面の簡単な説明】
【０１４４】
【図１】本発明に係るセキュリティポリシー管理システムの一実施の形態を示した全体構成図である。
【図２】本実施の形態におけるセキュリティポリシーサーバを形成するサーバコンピュータのハードウェア構成図である。
【図３】本実施の形態における複合機のハードウェア構成図である。
【図４】本実施の形態におけるセキュリティポリシーサーバのブロック構成図である。
【図５】本実施の形態におけるセキュリティポリシーデータベースのデータ構成例を示した図である。
【図６】本実施の形態における文書情報データベースのデータ構成例を示した図である。
【図７】本実施の形態におけるクライアントＰＣのブロック構成図である。
【図８】本実施の形態における複合機のブロック構成図である。
【図９】本実施の形態において用いる保護電子文書のデータ構成例を示した図である。
【図１０】本実施の形態において用いる保護紙文書を用紙に印刷したときの例を示した模式図である。
【図１１】本実施の形態において用いる保護紙文書を用紙に印刷したときの他の例を示した模式図である。
【図１２】本実施の形態において外部機器から送られてくるセキュリティポリシーの登録要求の例を示した図である。
【図１３】本実施の形態におけるセキュリティポリシーサーバが生成するポリシー一覧リストの例を示した図である。
【図１４】本実施の形態におけるセキュリティポリシー検索処理を示したフローチャートである。
【図１５】本実施の形態におけるセキュリティポリシー検索処理により得られた検索結果の例を示した図である。
【図１６】本実施の形態におけるセキュリティポリシー切替処理を示したフローチャートである。
【図１７】本実施の形態において外部機器から送られてくるセキュリティポリシーの切替え要求の例を示した図である。
【図１８】本実施の形態のクライアントＰＣにおける保護電子文書の生成処理を示したフローチャートである。
【図１９】本実施の形態のクライアントＰＣにおける保護電子文書の閲覧処理を示したフローチャートである。
【図２０】本実施の形態のクライアントＰＣにおける保護電子文書の編集処理を示したフローチャートである。
【図２１】本実施の形態のクライアントＰＣにおける保護電子文書の印刷処理を示したフローチャートである。
【図２２】本実施の形態のクライアントＰＣにおいて権利確認を行う場合の保護電子文書の印刷処理を示したフローチャートである。
【図２３】本実施の形態のクライアントＰＣにおける保護電子文書の保存処理を示したフローチャートである。
【図２４】本実施の形態のクライアントＰＣにおける保護電子文書の切替処理を示したフローチャートである。
【図２５】本実施の形態の複合機における保護電子文書の印刷処理を示したフローチャートである。
【図２６】本実施の形態の複合機における保護紙文書のコピー処理を示したフローチャートである。
【図２７】本実施の形態の複合機における保護紙文書のスキャン処理を示したフローチャートである。
【図２８】本実施の形態の複合機における保護紙文書のポリシー切替処理を示したフローチャートである。
【図２９】本実施の形態におけるセキュリティポリシーデータベースの他のデータ構成例を示した図である。
【符号の説明】
【０１４５】
１，２１ ＣＰＵ、２，１９ ＲＯＭ、３，１８ ＲＡＭ、４，１５ ハードディスクドライブ（ＨＤＤ）、５ ＨＤＤコントローラ、６ マウス、７ キーボード、８ ディスプレイ、９ 入出力コントローラ、１０ ネットワークコントローラ、１１ 内部バス、１２ アドレスデータバス、１３ 操作パネル、１４ スキャナ、１６ プリンタエンジン、１７ ネットワークインタフェース（Ｉ／Ｆ）、２０ 外部メディアインタフェース（Ｉ／Ｆ）、２２ ＬＡＮ、２３ ユーザ認証サーバ、３０ セキュリティポリシーサーバ、３１ セキュリティポリシー登録部、３２ セキュリティポリシー一覧応答部、３３ セキュリティポリシー検索部、３４ セキュリティポリシー切替部、３５ セキュリティポリシーデータベース、３６ 文書情報データベース、４０ 複合機、４１，５９ ユーザ認証部、４２，５４ 保護電子文書生成部、４３ 画像保持部、４４ 保護紙文書生成部、４５ 文書ＩＤエンコード部、４６ 印刷部、４７ 文書ＩＤデコード部、４８，６１ 制御部、５０ クライアントＰＣ、５１ アプリケーション実行部、５２ 非保護電子文書記憶部、５３ 保護電子文書記憶部、５５ 文書ＩＤ生成部、５６ 文書編集部、５７ 文書保持部、５８ 文書表示部、６０ 保護文書印刷部。
【特許請求の範囲】
【請求項１】
ポリシーの設定内容と当該ポリシーを付与するユーザの識別情報とを含むポリシー設定情報に、当該ポリシーの識別情報を対応付けして記憶するポリシー情報記憶手段と、
ポリシーの設定対象となるデータの識別情報に、当該データに付与するポリシーの識別情報を対応付けして記憶するデータ情報記憶手段と、
ポリシーの切替え対象となるデータの識別情報及び切替えを指示するユーザの識別情報が指定された切替え要求に応じて、前記データ情報記憶手段に記憶されている当該データに付与されているポリシーの識別情報を、その他のポリシーの識別情報で更新することによって、当該データに付与するポリシーを切り替えるポリシー切替手段と、
を有することを特徴とするセキュリティポリシー切替装置。
【請求項２】
請求項１記載のセキュリティポリシー切替装置において、
前記ポリシー切替手段は、当該データに付与されているポリシーに基づき許可された操作の一つにポリシーの切替えが含まれている場合のみ当該データに付与するポリシーの切替えを許可することを特徴とするセキュリティポリシー切替装置。
【請求項３】
請求項１記載のセキュリティポリシー切替装置において、
前記ポリシー切替手段は、更に切替えにより付与するポリシーの識別情報が切替え要求に指定されていた場合、その指定されたポリシーの識別情報によって、前記データ情報記憶手段に記憶されている当該データに付与するポリシーの識別情報を更新することを特徴とするセキュリティポリシー切替装置。
【請求項４】
請求項３記載のセキュリティポリシー切替装置において、
前記ポリシー切替手段は、切替え対象として指定されたポリシー識別情報に対応するポリシーに基づき許可される操作が、当該データに付与されているポリシーに基づき許可された操作より制限されている場合のみ当該データに付与するポリシーの切替えを許可することを特徴とするセキュリティポリシー切替装置。
【請求項５】
請求項１記載のセキュリティポリシー切替装置において、
前記ポリシー設定情報には、切替え要求に応じて切替え可能なポリシーの識別情報が含まれており、
前記ポリシー切替手段は、更に切替えにより付与するポリシーの識別情報が切替え要求に指定されていなかった場合、前記ポリシー設定情報に含まれる前記切替え可能なポリシーの識別情報で前記データ情報記憶手段に記憶されている当該データに付与されているポリシーの識別情報を更新することを特徴とするセキュリティポリシー切替装置。
【請求項６】
請求項１記載のセキュリティポリシー切替装置において、
前記ポリシー設定情報には、切替え要求に応じて切替え可能なポリシーの識別情報が含まれており、
前記ポリシー切替手段は、更に切替えにより付与するポリシーの識別情報が切替え要求に指定されており、かつ、当該指定されたポリシーの識別情報が、前記切替え可能なポリシー設定情報に含まれている場合、指定されたポリシーの識別情報で前記データ情報記憶手段に記憶されている当該データに付与されているポリシーの識別情報を更新することを特徴とするセキュリティポリシー切替装置。
【請求項７】
セキュリティポリシーサーバコンピュータを、
ポリシーの設定内容と当該ポリシーを付与するユーザの識別情報とを含むポリシー設定情報に、当該ポリシーの識別情報を対応付けして記憶するポリシー情報記憶手段、
ポリシーの設定対象となるデータの識別情報に、当該データに付与するポリシーの識別情報を対応付けして記憶するデータ情報記憶手段、
ポリシーの切替え対象となるデータの識別情報及び切替えを指示するユーザの識別情報が指定された切替え要求に応じて、前記データ情報記憶手段に記憶されている当該データに付与されているポリシーの識別情報を、その他のポリシーの識別情報で更新することによって、当該データに付与するポリシーを切り替えるポリシー切替手段、
として機能させるセキュリティポリシー切替プログラム。
【請求項８】
セキュリティポリシーサーバコンピュータと、
セキュリティポリシーの設定に用いるクライアントコンピュータと、
を有し、
前記セキュリティポリシーサーバコンピュータは、
ポリシーの設定内容と当該ポリシーを付与するユーザの識別情報とを含むポリシー設定情報に、当該ポリシーの識別情報を対応付けして記憶するポリシー情報記憶手段と、
ポリシーの設定対象となるデータの識別情報に、当該データに付与するポリシーの識別情報を対応付けして記憶するデータ情報記憶手段と、
ポリシーの切替え対象となるデータの識別情報及び切替えを指示するユーザの識別情報が指定された切替え要求に応じて、前記データ情報記憶手段に記憶されている当該データに付与されているポリシーの識別情報を、その他のポリシーの識別情報で更新することによって、当該データに付与するポリシーを切り替えるポリシー切替手段と、
を有し、
前記クライアントコンピュータは、
ポリシーの切替え対象となるデータの識別情報及び切替えを指示するユーザの識別情報が指定された切替え要求を前記セキュリティポリシーサーバコンピュータに送信する手段を有することを特徴とするセキュリティポリシー管理システム。
【請求項１】
ポリシーの設定内容と当該ポリシーを付与するユーザの識別情報とを含むポリシー設定情報に、当該ポリシーの識別情報を対応付けして記憶するポリシー情報記憶手段と、
ポリシーの設定対象となるデータの識別情報に、当該データに付与するポリシーの識別情報を対応付けして記憶するデータ情報記憶手段と、
ポリシーの切替え対象となるデータの識別情報及び切替えを指示するユーザの識別情報が指定された切替え要求に応じて、前記データ情報記憶手段に記憶されている当該データに付与されているポリシーの識別情報を、その他のポリシーの識別情報で更新することによって、当該データに付与するポリシーを切り替えるポリシー切替手段と、
を有することを特徴とするセキュリティポリシー切替装置。
【請求項２】
請求項１記載のセキュリティポリシー切替装置において、
前記ポリシー切替手段は、当該データに付与されているポリシーに基づき許可された操作の一つにポリシーの切替えが含まれている場合のみ当該データに付与するポリシーの切替えを許可することを特徴とするセキュリティポリシー切替装置。
【請求項３】
請求項１記載のセキュリティポリシー切替装置において、
前記ポリシー切替手段は、更に切替えにより付与するポリシーの識別情報が切替え要求に指定されていた場合、その指定されたポリシーの識別情報によって、前記データ情報記憶手段に記憶されている当該データに付与するポリシーの識別情報を更新することを特徴とするセキュリティポリシー切替装置。
【請求項４】
請求項３記載のセキュリティポリシー切替装置において、
前記ポリシー切替手段は、切替え対象として指定されたポリシー識別情報に対応するポリシーに基づき許可される操作が、当該データに付与されているポリシーに基づき許可された操作より制限されている場合のみ当該データに付与するポリシーの切替えを許可することを特徴とするセキュリティポリシー切替装置。
【請求項５】
請求項１記載のセキュリティポリシー切替装置において、
前記ポリシー設定情報には、切替え要求に応じて切替え可能なポリシーの識別情報が含まれており、
前記ポリシー切替手段は、更に切替えにより付与するポリシーの識別情報が切替え要求に指定されていなかった場合、前記ポリシー設定情報に含まれる前記切替え可能なポリシーの識別情報で前記データ情報記憶手段に記憶されている当該データに付与されているポリシーの識別情報を更新することを特徴とするセキュリティポリシー切替装置。
【請求項６】
請求項１記載のセキュリティポリシー切替装置において、
前記ポリシー設定情報には、切替え要求に応じて切替え可能なポリシーの識別情報が含まれており、
前記ポリシー切替手段は、更に切替えにより付与するポリシーの識別情報が切替え要求に指定されており、かつ、当該指定されたポリシーの識別情報が、前記切替え可能なポリシー設定情報に含まれている場合、指定されたポリシーの識別情報で前記データ情報記憶手段に記憶されている当該データに付与されているポリシーの識別情報を更新することを特徴とするセキュリティポリシー切替装置。
【請求項７】
セキュリティポリシーサーバコンピュータを、
ポリシーの設定内容と当該ポリシーを付与するユーザの識別情報とを含むポリシー設定情報に、当該ポリシーの識別情報を対応付けして記憶するポリシー情報記憶手段、
ポリシーの設定対象となるデータの識別情報に、当該データに付与するポリシーの識別情報を対応付けして記憶するデータ情報記憶手段、
ポリシーの切替え対象となるデータの識別情報及び切替えを指示するユーザの識別情報が指定された切替え要求に応じて、前記データ情報記憶手段に記憶されている当該データに付与されているポリシーの識別情報を、その他のポリシーの識別情報で更新することによって、当該データに付与するポリシーを切り替えるポリシー切替手段、
として機能させるセキュリティポリシー切替プログラム。
【請求項８】
セキュリティポリシーサーバコンピュータと、
セキュリティポリシーの設定に用いるクライアントコンピュータと、
を有し、
前記セキュリティポリシーサーバコンピュータは、
ポリシーの設定内容と当該ポリシーを付与するユーザの識別情報とを含むポリシー設定情報に、当該ポリシーの識別情報を対応付けして記憶するポリシー情報記憶手段と、
ポリシーの設定対象となるデータの識別情報に、当該データに付与するポリシーの識別情報を対応付けして記憶するデータ情報記憶手段と、
ポリシーの切替え対象となるデータの識別情報及び切替えを指示するユーザの識別情報が指定された切替え要求に応じて、前記データ情報記憶手段に記憶されている当該データに付与されているポリシーの識別情報を、その他のポリシーの識別情報で更新することによって、当該データに付与するポリシーを切り替えるポリシー切替手段と、
を有し、
前記クライアントコンピュータは、
ポリシーの切替え対象となるデータの識別情報及び切替えを指示するユーザの識別情報が指定された切替え要求を前記セキュリティポリシーサーバコンピュータに送信する手段を有することを特徴とするセキュリティポリシー管理システム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２２】
【図２３】
【図２４】
【図２５】
【図２６】
【図２７】
【図２８】
【図２９】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２２】
【図２３】
【図２４】
【図２５】
【図２６】
【図２７】
【図２８】
【図２９】
【公開番号】特開２００９−１５７４５３（Ｐ２００９−１５７４５３Ａ）
【公開日】平成２１年７月１６日（２００９．７．１６）
【国際特許分類】
【出願番号】特願２００７−３３２０６２（Ｐ２００７−３３２０６２）
【出願日】平成１９年１２月２５日（２００７．１２．２５）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．ＱＲコード
【出願人】（０００００５４９６）富士ゼロックス株式会社 (21,908)
【Ｆターム（参考）】
【公開日】平成２１年７月１６日（２００９．７．１６）
【国際特許分類】
【出願日】平成１９年１２月２５日（２００７．１２．２５）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．ＱＲコード
【出願人】（０００００５４９６）富士ゼロックス株式会社 (21,908)
【Ｆターム（参考）】
[ Back to top ]