画像処理装置及びその制御方法、並びにプログラム
【課題】本発明は、ユーザモードによる設定でセキュリティ・ポリシーが変更された場合でも、セキュリティ・ポリシーに反する動作の実行を抑止することができる画像処理装置を提供する。
【解決手段】予めセキュリティ・ポリシーが設定された複合機１０１では、ＵＩ操作部１０３により機器の設定が変更された場合には、変更された設定の内容がセキュリティ・ポリシーに適合するかを検証し（図７）、セキュリティ・ポリシーに適合することが検証されるまで複合機１０１の動作の実行を制限する（図２のステップＳ２１３）。
【解決手段】予めセキュリティ・ポリシーが設定された複合機１０１では、ＵＩ操作部１０３により機器の設定が変更された場合には、変更された設定の内容がセキュリティ・ポリシーに適合するかを検証し（図７）、セキュリティ・ポリシーに適合することが検証されるまで複合機１０１の動作の実行を制限する（図２のステップＳ２１３）。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、画像処理装置及びその制御方法、並びにプログラムに関し、特に、ネットワークに接続された画像処理装置のセキュリティ・ポリシーの技術に関する。
【背景技術】
【０００２】
近年の複合機には、単純に画像データを印刷したり、ネットワークを介して画像データを送信するだけではなく、パーソナルコンピュータ（ＰＣ）に対して画像データを提供するファイルサービス機能を有するものがある。
【０００３】
一方、オフィス等のネットワークに接続するＰＣやサーバ機器（ファイルサーバや認証サーバ等）には、オフィス毎に決められたセキュリティ・ポリシーに従って運用することが求められている。複合機もまたＰＣやサーバ機器等と同様に、セキュリティ・ポリシーに従うことが求められている。ここでいうセキュリティ・ポリシーとは、例えば機器を操作する際にユーザ認証を必須とすることや、通信経路の暗号化を必須とするなど、オフィス内の機器の不正使用や情報漏えいを防ぐためのセキュリティ上の制約である。
【０００４】
従来の複合機においては、機器のいくつかの動作設定（以下、「ユーザモード」と呼ぶ）を管理者が操作して上記セキュリティ・ポリシーに従って動作にさせることが可能である。
【０００５】
しかしながら、従来のユーザモードによる設定では、複数の設定項目を正しく設定する必要があり、正しい設定がなされないと、セキュリティ・ポリシーが守られていない運用を事実上許容することになり、オフィスのセキュリティを脅かす可能性がある。
【０００６】
そこで、ユーザモードの設定だけではなく、外部からセキュリティ・ポリシーを設定し、起動時にセキュリティ・ポリシーとユーザモード（セキュリティ設定手段）とを比較する。その結果、セキュリティ・ポリシーを順守できる設定であると判断された時にだけ起動を許可するシステムが提案されている（例えば、特許文献１参照）。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２００９−２３０１７８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００８】
しかしながら、上記従来のシステムでは、以下の問題がある。すなわち、特許文献１では、起動時にセキュリティ・ポリシーとユーザモードの比較を行うため、再起動後はセキュリティ・ポリシーを守れる状態になる。一方、起動後に動的にセキュリティ・ポリシー或いはユーザモードの変更が行われた場合、次回起動まではセキュリティ・ポリシーが守られた状態で運用されている保障がなく、セキュリティ・ホールが発生するリスクが存在する。
【０００９】
本発明は、上記問題に鑑み、ユーザモードによる設定でセキュリティ・ポリシーが変更された場合でも、セキュリティ・ポリシーに反する動作の実行を抑止することができる画像処理装置及びその制御方法、並びにプログラムを提供することを目的とする。
【課題を解決するための手段】
【００１０】
上記目的を達成するために、本発明の画像処理装置は、複数の機能を備え、予めセキュリティ・ポリシーが設定された画像処理装置において、前記画像処理装置への操作を可能にする操作手段と、前記操作手段により前記画像処理装置の設定が変更された場合には、変更された設定の内容が前記セキュリティ・ポリシーに適合するかを検証する検証手段と、前記検証手段により前記セキュリティ・ポリシーに適合することが検証されるまで前記画像処理装置の動作の実行を制限する制限手段とを備えることを特徴とする。
【発明の効果】
【００１１】
本発明によれば、セキュリティ・ポリシーに影響する設定の変更が行われた場合、ユーザにより指定された機能を一時的に制限する。これにより、ユーザモードによる設定でセキュリティ・ポリシーが変更された場合でも、セキュリティ・ポリシーに反する動作の実行を抑止することができる。
【図面の簡単な説明】
【００１２】
【図１】本発明の第１の実施形態に係る画像処理装置の概略構成を示すブロック図である。
【図２】図１の複合機におけるセキュリティ・ポリシーの設定・検証処理の流れを示すフローチャートである。
【図３】ユーザモード格納部が保持するユーザモード一覧の一例を示す図である。
【図４】ＵＩ操作部に表示されるセキュリティ・ポリシーを設定するための設定画面の一例を示す図であり、（ａ）はポリシー設定画面、（ｂ）はネットワーク通信ポリシー設定画面、（ｃ）は認証ポリシー設定画面である。
【図５】ポリシー生成部が保持するポリシーテーブルの一例を示す図であり、（ａ）はネットワーク通信ポリシーのポリシーテーブルであり、（ｂ）は認証ポリシーのポリシーテーブルである。
【図６】本発明の第１の実施形態におけるポリシーファイルの一例を示す図である。
【図７】図２のステップＳ２０９におけるセキュリティ・ポリシー検証処理の詳細を示すフローチャートである。
【図８】複合機におけるネットワーク通信ポリシーの判定動作を示すフローチャートである。
【図９】本発明の第２の実施形態におけるポリシーファイルの一例を示す図である。
【図１０】（ａ）は第１の実施形態におけるＵＩ操作部に表示されるアクセス制御時の機能選択画面の一例を示す図、（ｂ）は第２の実施形態におけるＵＩ操作部に表示される機能選択画面の一例を示す図である。
【発明を実施するための形態】
【００１３】
以下、本発明の実施の形態を図面を参照して詳細に説明する。
【００１４】
［第１の実施形態］
図１は、本発明の第１の実施形態に係る画像処理装置の概略構成を示すブロック図である。
【００１５】
図１において、本発明の実施形態に係る画像処理装置は、例えば複合機１０１から成る。複合機１０１は、Ｎｅｔｗｏｒｋ通信部１０２、ＵＩ操作部１０３、ユーザモード格納部１０４、ポリシー検証部１０５、ポリシー格納部１０６、ポリシー生成部１０７を備える。さらに、複合機１０１は、ＣＰＵ１０８、ＲＡＭ１０９、記憶装置１１０、印刷エンジン１１１、スキャナエンジン１１２、これらを互いに接続する内部バス１１３を備える。
【００１６】
Ｎｅｔｗｏｒｋ通信部１０２は、ネットワークに接続して外部の機器との通信を行う。
【００１７】
ＵＩ操作部１０３は、複合機１０１上に配置され、複合機１０１の設定や状態等の表示を行う表示部と、ユーザの機器への操作を可能とする操作部を備える。表示部として、例えば液晶パネルで構成され、操作部としては液晶パネルと一体化したタッチパネルや接点がハード的に構成されたハードキー等で構成されるが、どのような構成でもよい。
【００１８】
ユーザモード格納部１０４は、ＵＩ操作部１０３にてユーザにより設定された設定項目（以下、「ユーザモード」と呼ぶ）を格納する不揮発記憶装置である。
【００１９】
ポリシー生成部１０７は、後述するポリシーテーブルとＵＩ操作部１０３にてユーザにより設定されたセキュリティ・ポリシーからポリシーファイルを生成する。ポリシー格納部１０６は、ポリシー生成部１０７で生成されたポリシーファイルを格納する不揮発記憶装置である。ポリシーファイルの詳細については後述する。
【００２０】
ポリシー検証部１０５は、ポリシー格納部１０６からポリシーファイルを取得し、ユーザモード格納部１０４からユーザモードを取得して、ポリシーファイルの内容とユーザモードの内容とを比較する。その比較結果から、複合機１０１に予め設定されたセキュリティ・ポリシーに適合するか否かの検証を行う。
【００２１】
ＣＰＵ１０８は、プリントデータの画像処理や各種制御を行う。ＲＡＭ１０９は、ＣＰＵ１０８が実行するプログラコードや画像データなどの情報を一時的に保持するメモリである。記憶装置１１０は、プログラムコードや画像データを保持する記憶装置であり、ＨＤＤ（Hard Disk Drive）或いはＳＳＤ（Solid State Drive）により構成される。
【００２２】
印刷エンジン１１１は、電子写真技術やインクジェット技術などの既知の技術を用いて、画像データを用紙等に印刷する印刷部である。スキャナエンジン１１２は、用紙等に印刷された画像を光学的に読み取るスキャナ部である。
【００２３】
複合機１０１のコピー機能は、ＵＩ操作部１０３への操作に応じて、ＣＰＵ１０８がスキャナエンジン１１２を制御して原稿から画像を読み込む。そして、スキャナエンジン１１２で得られた画像データをＲＡＭ１０９に一時格納し、必要な画像処理を施して印刷エンジン１１１に送信し印刷出力する。
【００２４】
複合機１０１のＰＤＦ送信機能は、ＵＩ操作部１０３への操作に応じて、ＣＰＵ１０８がスキャナエンジン１１２を制御して原稿から画像を読み込む。そして、スキャナエンジン１１２で得られた画像データをＲＡＭ１０９に一時格納し、所定のフォーマット変換を行い、指定された宛先に対して、Ｎｅｔｗｏｒｋ通信部１０２により送信を行う。
【００２５】
なお、ユーザモード格納部１０４と記憶装置１１０とを１つの記憶装置として構成してもよい。その場合、ユーザモードを記憶するための記憶領域が記憶装置１１０に確保される。また、ポリシー格納部１０６と記憶装置１１０とを１つの記憶装置として構成してもよい。その場合、ポリシーファイルを記憶するための記憶領域が記憶装置１１０に確保される。
【００２６】
また、ポリシー検証部１０５を設けずに、ＣＰＵ１０８がポリシー検証部１０５の機能を実現するようにしてもよい。その場合、ポリシー検証部１０５が実現する機能に相当するプログラムが記憶装置１１０に格納される。また、ポリシー生成部１０７を設けずに、ＣＰＵ１０８がポリシー生成部１０７の機能を実現するようにしてもよい。その場合、ポリシー生成部１０７が実現する機能に相当するプログラムが記憶装置１１０に格納される。
【００２７】
図２は、図１の複合機１０１におけるセキュリティ・ポリシーの設定・検証処理の流れを示すフローチャートである。本処理は、ＣＰＵ１０８、またはＣＰＵ１０８による制御の元で図１に示した複合機１０１の構成要素のいずれかにより実行されるものである。ＣＰＵ１０８は、複合機１０１の起動と共に動作を開始し、以降は複合機１０１が動作を停止するまで動作し続ける。
【００２８】
図２において、ステップＳ２００では、ＵＩ操作部１０３は、操作入力待ち状態にある。例えば、ＵＩ操作部１０３がタッチパネルの場合、液晶パネル上に表示されたアイコン部分を押下することによって操作入力が可能である。ＣＰＵ１０８は、ＵＩ操作部１０３への操作入力があったと判断したならばステップＳ２０１へ進む。
【００２９】
次に、ステップＳ２０１では、ＣＰＵ１０８は、ユーザにより行われたＵＩ操作部１０３への操作がセキュリティ・ポリシーの設定かどうかを判定する。セキュリティ・ポリシーの設定であると判定した場合は、セキュリティ・ポリシーの設定を受け付ける（ステップＳ２０２）。このセキュリティ・ポリシーの設定方法については後述する。なお、セキュリティ・ポリシーを設定するには予めユーザ認証を行い、セキュリティ・ポリシーを設定する権限を有するユーザであるか否かを確認する必要があるが、本実施形態では、それらの説明を省略する。
【００３０】
セキュリティ・ポリシーの設定を受け付けた後は、現在のユーザモードのままでは不正な運用となる可能性があるため、ＣＰＵ１０８は、セキュリティ・ポリシーを未チェック状態に変更（ステップＳ２０３）して、ステップＳ２００に戻る。なお、セキュリティ・ポリシーのチェック状態（未チェック／チェック済み）は、ポリシー格納部１０６或いは記憶装置１１０に記憶されているものとする。
【００３１】
一方、ステップＳ２０１でセキュリティ・ポリシーの設定ではないと判定された場合、ＣＰＵ１０８は、ユーザにより行われた操作がユーザモードの設定（新規の設定登録、あるいは設定内容の変更）かどうかを判定する（ステップＳ２０４）。ユーザモードの設定でないと判定した場合は、ステップＳ２０８へ進む。一方、ユーザモードの設定であると判定した場合、ＣＰＵ１０８は、ユーザモードの設定を受け付けて、ユーザモード格納部１０４に格納する（ステップＳ２０５）。
【００３２】
ユーザモードの設定が完了した後、ＣＰＵ１０８は、ユーザモードの中の複数の設定項目のうち、セキュリティに影響する設定項目について設定変更が行われたかどうかを判定する（ステップＳ２０６）。セキュリティに影響する設定項目とは、例えば、複合機１０１のユーザ認証に関する設定や、パスワードの桁数に関する設定や、Ｎｅｔｗｏｒｋ通信部１０２における通信を許可するポートの設定や、データや通信に対する暗号化の要否や強度に関する設定を含む。また、それ以外にも複合機１０１のセキュリティに関する設定がセキュリティに影響する設定項目に含まれる。セキュリティに影響する設定変更が行われたと判定した場合、ＣＰＵ１０８は、セキュリティ・ポリシーを未チェック状態に変更（ステップＳ２０７）して、ステップＳ２００に戻る。一方、セキュリティに影響する設定変更が行われていないと判定した場合、そのままステップＳ２００に戻る。
【００３３】
ステップＳ２０８において、ＣＰＵ１０８は、ユーザにより行われた操作がセキュリティ・ポリシーの検証の実行指示か否かを判定する。セキュリティ・ポリシーの検証の実行指示でないと判定した場合は、ステップＳ２１２へ進む。一方、セキュリティ・ポリシーの検証の実行指示であると判定した場合は、ポリシー検証部１０５によるセキュリティ・ポリシーの検証処理が行われる（ステップＳ２０９）。このセキュリティ・ポリシーの検証処理の詳細については後述する。
【００３４】
次に、ステップＳ２１０において、ＵＩ操作部１０３は、セキュリティ・ポリシーの検証に成功したか否かを判定する。セキュリティ・ポリシーの検証に成功したと判定した場合、ＵＩ操作部１０３は、セキュリティ・ポリシーをチェック済み状態に変更（ステップＳ２１１）して、ステップＳ２００に戻る。一方、セキュリティ・ポリシーの検証に失敗したと判定した場合には、そのままステップＳ２００に戻る。
【００３５】
ステップＳ２１２では、ＣＰＵ１０８は、セキュリティ・ポリシーが未チェック状態か否かを判定する。セキュリティ・ポリシーが未チェック状態であると判定した場合、ＣＰＵ１０８はＵＩ操作部１０３に「セキュリティ・ポリシーが未チェックなので操作できません」等を表示させ、ユーザにより指定された複合機１０１の機能の実行を制限する（ステップＳ２１３）。一方、セキュリティ・ポリシーがチェック済み状態であると判定した場合、ＣＰＵ１０８は、ユーザにより指定された複合機１０１の機能を実行する（ステップＳ２１４）。ここでいう機能とは、コピーやスキャン送信などの複合機１０１が有する機能である。
【００３６】
上記処理において、セキュリティ・ポリシーのチェック状態は、セキュリティ・ポリシーの設定変更（ステップＳ２０２）或いはユーザモードの設定変更（ステップＳ２０５）に応じて、未チェック状態に変更（ステップＳ２０３、Ｓ２０７）される。セキュリティ・ポリシーが未チェックである場合には、複合機１０１による機能の実行が制限される。一方、セキュリティ・ポリシーの検証が成功することによってチェック済み状態に変更（ステップＳ２１１）される。そして、セキュリティ・ポリシーのチェック状態がチェック済みの場合のみ、複合機１０１の機能が実行される（ステップＳ２１４）。
【００３７】
図３は、ユーザモード格納部１０４に保持されるユーザモードの一例を示す図である。
【００３８】
図２のステップＳ２０５でＵＩ操作部１０３がユーザから受け付けたユーザモードは、ユーザモード格納部１０４に格納される。図示の左欄には、ユーザモードの設定項目、右欄にはその設定値が保持されている。
【００３９】
ユーザモード項目には、図示のように、例えば「ＩＰＰ印刷／ＳＳＬを使用する」、「ＳＭＴＰ／ＳＳＬを使用する」、「ＳＳＬ通信／暗号強度が強いものを使用する」、「ＰＤＦ生成／暗号強度が強いものを使用する」がある。さらに、「ユーザ認証を使用する」、「ユーザ認証／パスワードの文字を制限する」がある。
【００４０】
ユーザモードの設定値は、図示例では、「ＯＮ」又は「ＯＦＦ」の２値で表現されているが、実際には数値を持っているか、複数の構造体構造を持っているものであってもよい。実際には、ユーザモード格納部１０４には、設定値のリストが格納されているが、そのリストはＸＭＬ構造やＣＳＶ構造であってもよい。
【００４１】
次に、複合機１０１のＵＩ操作部１０３におけるセキュリティ・ポリシーの設定方法について説明する。
【００４２】
図４は、ＵＩ操作部１０３に表示されるセキュリティ・ポリシーを設定するための設定画面の一例を示す図であり、（ａ）はポリシー設定画面、（ｂ）はネットワーク通信ポリシー設定画面、（ｃ）は認証ポリシー設定画面である。
【００４３】
図２のステップＳ２０２では、図４（ａ）に示すポリシー設定画面がＵＩ操作部１０３に表示される。ポリシー設定画面３０１には、ネットワーク通信ポリシーを設定するための設定ボタン３０２と、認証ポリシーを設定するための設定ボタン３０３が表示されている。なお、本実施形態では、説明を簡単にするために、ネットワーク通信ポリシーの設定ボタン３０２と、認証ポリシーの設定ボタン３０３の２つを説明するが、実際にはより多くのセキュリティ・ポリシーが存在してもよい。
【００４４】
ポリシー設定画面３０１上で設定ボタン３０２が押下されると、図４（ｂ）に示す設定画面３０４がＵＩ操作部１０３に表示される。設定画面３０４では、２つのセキュリティ・ポリシー「通信経路は暗号化を行う」３０５と「暗号は強度があるものに限定する」３０６について設定することが可能である。そして、個々のセキュリティ・ポリシーの設定を「はい」、「いいえ」のラジオボタンで設定することができ、選択されたボタンが黒背景／白文字に変更される。図示例では、「通信経路は暗号化を行う」３０５と「暗号は強度があるものに限定する」３０６の双方がセキュリティ・ポリシーとして選択されていることを示している。ＯＫボタン３１１が押下されると、ポリシー設定画面３０１に戻る。なお、「暗号は強度があるものに限定する」とは、例えば、暗号鍵のビット長が所定ビット長以上であることや、強い暗号化アルゴリズムを用いた特定の暗号化方式に限定することを意味している。
【００４５】
ポリシー設定画面３０１上で設定ボタン３０３が押下されると、図４（ｃ）に示す認証ポリシー設定画面３０７がＵＩ操作部１０３に表示される。認証ポリシー設定画面３０７は、２つのセキュリティ・ポリシー「ユーザ認証を必須とする」３０８と「パスワードは強度があるものに限定する」３０９について設定することが可能である。そして、個々のセキュリティ・ポリシーの設定を「はい」、「いいえ」のラジオボタンで設定することができ、選択されたボタンが黒背景／白文字に変更される。図示例では、「ユーザ認証を必須とする」がセキュリティ・ポリシーとして選択されていることを示す。ＯＫボタン３１２が押下されると、ポリシー設定画面３０１に戻る。なお、「パスワードは強度があるものに限定する」とは、例えば、パスワードの桁数が所定数以上のものに限定することや、パスワードの大文字と小文字とを区別することを意味する。
【００４６】
図４（ａ）のポリシー設定画面３０１上でＯＫボタン３１０が押下されると、設定画面３０４，３０７で設定された内容に基づいて、ポリシー生成部１０７によりポリシーファイルが生成される。
【００４７】
図５は、ポリシー生成部１０７が保持するポリシーテーブルの一例を示す図であり、（ａ）はネットワーク通信ポリシーのポリシーテーブルであり、（ｂ）は認証ポリシーのポリシーテーブルである。
【００４８】
ポリシーテーブルは、ポリシー生成部１０７の内部にデジタル情報として保管されており、その形式はＸＭＬ形式やＣＳＶ形式などが考えられるが、表を表現できるデータ構造であれば、どのような形態でも構わない。図中の「ＯＮ」は、ポリシーによる必須条件があることを示し、「−」は必須条件が存在しないことを示す。
【００４９】
図５（ａ）において、ネットワーク通信ポリシーの「通信経路は暗号化を行う」というセキュリティ・ポリシーが「はい」に選択されていた場合、表中に「ＯＮ」と記載されている２つの設定が必須であることを示している。その２つは「ＩＰＰ印刷／ＳＳＬを使用する」と「ＳＭＴＰ／ＳＳＬを使用する」である。ここで、ＩＰＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｉｎｔｉｎｇ Ｐｒｏｔｏｃｏｌ）は、ＲＦＣ２５６５などで定義されたインターネットを介してプリンタや複合機に印刷データを送信するプロトコルを示す。また、ＳＭＴＰ（Ｓｉｍｐｌｅ Ｍａｉｌ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）は、ＲＦＣ８２１で定義された電子メール送信のプロトコルであるが、複合機のスキャンした画像をメール送信の添付ファイルとしておくることを示している。いずれもネットワーク、特にインターネットを介した画像データの送受信に使用され、機密データが含まれる可能性があるために、ＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｅｒ）を用いた通信経路の暗号化に用いられる。ＳＳＬは、ＴＣＰセッションに対して暗号化・完全性を付与するプロトコルであり、ＲＦＣ２２４６で定義されている。
【００５０】
同様に、「暗号は強度があるものに限定する」というセキュリティ・ポリシーが「はい」に選択されていた場合、表中に「ＯＮ」と記載されている２つの設定が必須であることを示している。その２つは「ＳＳＬ通信／暗号強度が強いものを使用する」と「ＰＤＦ生成／暗号強度が強いものを使用する」である。ここでＰＤＦ（Ｐｏｒｔａｂｌｅ Ｄｏｃｕｍｅｎｔ Ｆｏｒｍａｔ）はＩＳＯ−３２０００で定義された電子文書のフォーマットであるが、機密保持のためにパスワードによる暗号化を行うことが可能である。ＰＤＦの暗号化方式は複数選択可能であり、このセキュリティ・ポリシーは強度が強いものに限定することを示している。
【００５１】
図５（ｂ）でも同様に、「ユーザ認証を必須とする」というポリシーが「はい」に選択された場合には、表中の「ＯＮ」と記載されている「ユーザ認証を使用する」という設定が必須となる。一方、本実施形態では、図４に示す認証ポリシー設定画面３０７上で「パスワードは強度があるものに限定する」というセキュリティ・ポリシーが「いいえ」に設定されているため、図５（ｂ）に示す表中から必須となる設定が存在しない。
【００５２】
ポリシー生成部１０７は、図示のポリシーテーブルと、ＵＩ操作部１０３で設定されたセキュリティ・ポリシーから、必須となる設定値の抽出を行い、必須となる設定値を記載したポリシーファイルを生成して、ポリシー格納部１０６へ保存する。
【００５３】
図６は、本発明の第１の実施形態におけるポリシーファイルの一例を示す図である。
【００５４】
ポリシーファイルは、上述したポリシーテーブルと各ポリシーの設定の組み合わせから抽出された必須となる設定値として、「制約条件」の欄に「ＯＮ」が記載され、必須となった原因となるポリシーが「制約理由」の欄に記載されている。一方、「制約条件」の欄が「−」となっている項目は制約が存在しないことを示している。
【００５５】
ポリシーファイルの形式は、ＸＭＬ形式やＣＳＶ形式などが考えられるが、表を表現できるデータ構造であれば、どのような形態でも構わない。ポリシーファイルは、ポリシー検証部１０５により複合機１０１の各機能の動作を行うかどうかの判定のために使用される。
【００５６】
図７は、図２のステップＳ２０９におけるセキュリティ・ポリシー検証処理の詳細を示すフローチャートである。本処理は、ポリシー検証部１０５により実行されるものである。ポリシー検証部１０５は、ＣＰＵ１０８によって呼び出される。
【００５７】
図７において、ステップＳ８０１では、ポリシー検証部１０５は、変数である検証成功フラグを「ＴＲＵＥ」に設定する。次に、ステップＳ８０２では、ポリシー検証部１０５は、ポリシー格納部１０６からポリシーファイルを取得する。ステップＳ８０３からステップＳ８０８はループとなっており、ポリシー検証部１０５は、ポリシーファイルから１行ずつ情報を取得する（ステップＳ８０３）。これは図６の各行に相当する。
【００５８】
ステップＳ８０４では、ポリシー検証部１０５は、取得した行における制約条件を確認し、制約条件があるかどうかを判定する。例えば、図６において、「ＩＰＰ印刷／ＳＳＬを使用する」の場合、「ＯＮ」が制約条件となる。制約条件が「ＯＮ」の場合は制約条件があり、「−」の場合は制約条件がないと見なされる。制約条件がないと判断された場合はステップＳ８０８に移行する。一方、制約条件がある場合には、ポリシー検証部１０５は、ユーザモード格納部１０４から該当するユーザモードの設定値を取得する（ステップＳ８０５）。この場合、ポリシー検証部１０５は、図３に示す設定項目「ＩＰＰ印刷／ＳＳＬを使用する」に対応する設定値「ＯＮ」を取得する。
【００５９】
次に、ステップＳ８０６では、ポリシー検証部１０５は、取得した行における制約条件と、取得したユーザモードの設定値が一致するか否かを判定する。上記例では、制約条件が「ＯＮ」、ユーザモードの設定値が「ＯＮ」となっており、制約条件が一致するため、該当する行に対するユーザモードの設定値はセキュリティ・ポリシーを維持できていると判定される。
【００６０】
一方、ステップＳ８０６で一致しないと判定された場合、ポリシー検証部１０５は、検証成功フラグに「ＦＡＬＳＥ」を設定して（ステップＳ８０７）、ステップＳ８０８へ移行する。例えば、図６における「ユーザ認証を使用する」という行の制約条件は「ＯＮ」、図３における「ユーザ認証を使用する」というユーザモードの設定値は「ＯＦＦ」となっており、制約条件が一致しない。そのため、該当する行に対するユーザモードの設定値はセキュリティ・ポリシーを維持できないと判定される。その結果、検証成功フラグには「ＦＡＬＳＥ」が設定される。このように、ポリシーファイルの全行に対して検証を行った結果、一箇所でも制約条件とユーザモードの設定値が一致しない場合には検証成功フラグがＦＡＬＳＥとなる。検証成功フラグは、図２のステップＳ２１０の判定に使用される。ポリシー検証部１０５は、検証成功フラグが「ＴＲＵＥ」の場合には、セキュリティ・ポリシーの検証に成功したと判定し、検証成功フラグが「ＦＡＬＳＥ」の場合には、セキュリティ・ポリシーの検証に失敗したと判定する。また、検証成功フラグは、複合機１０１における機能のアクセス制御に用いられる。
【００６１】
図１０（ａ）は、第１の実施形態におけるＵＩ操作部１０３に表示されるアクセス制御時の機能選択画面の一例を示す図である。
【００６２】
図１０（ａ）において、機能選択画面９０１には、コピー機能を選択するためのアイコン９０２と、ＰＤＦ送信を選択するためのアイコン９０３と、ユーザモード設定を選択するためのアイコン９０４が配置されている。さらに、ポリシー設定及び検証を選択するためのアイコン９０５が配置されている。
【００６３】
図２のステップＳ２１３では、ＵＩ操作部１０３に機能実行時に「セキュリティ・ポリシー未チェックなので操作できません」と表示するようにしたが、機能が選択できないようにしてもよい。例えば、図１０（ａ）では、アイコン９０２，９０３がアイコンを押下できない状態（図中の網掛け部）にされている。なお、アクセス制御が行われている状態でも、ユーザモード設定とポリシー設定及び検証は実行することが可能である。
【００６４】
本実施形態における複合機１０１は、ＵＩ機能だけではなく、ネットワークを通じたサービスを提供することができる。代表的なものとして、プリンタポート（ＬＰＲやＰＯＲＴ９１００など）を用いた印刷サービスがある。また、ＨＴＴＰ（ＨｙｐｅｒＴｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ，ＲＦＣ２６１６で定義）を利用した、ウェブブラウザ用のＷｅｂインターフェイスが挙げられる。ネットワークによるサービスもＵＩと同様に、セキュリティ・ポリシーが維持できないと判断された場合にはサービスを遮断する。
【００６５】
図８は、複合機１０１におけるネットワークのセキュリティ・ポリシー判定処理の流れを示すフローチャートである。本処理は、ＣＰＵ１０８により実行されるものである。
【００６６】
図８において、ステップＳ４０１では、ＣＰＵ１０８は、図２のステップＳ２０３またはステップＳ２０７またはステップＳ２１１で設定されたセキュリティ・ポリシーのチェック状態を判定する。未チェック状態であると判定した場合、Ｎｅｔｗｏｒｋ通信部１０２のネットワーク・ポートをクローズする（ステップＳ４０３）。一方、未チェック状態でないと判定した場合は、Ｎｅｔｗｏｒｋ通信部１０２のネットワーク・ポートをオープンする（ステップＳ４０２）。なお、ステップＳ４０１〜Ｓ４０３の処理は、図２のステップＳ２１２〜Ｓ２１４にて行われてもよい。ここでネットワーク・ポートは、上述したサービスを実施するための具体的なインターフェイスであり、ネットワーク・ポートを閉じることによってサービスを制限することが可能である。なお、ネットワークは、実際にはプロトコル・スタックの実施が必要であるが、それは従来の技術と同様であり、それらの説明を省略する。
【００６７】
本実施形態では、ネットワークへの接続する場合について説明したが、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）のようなローカルインターフェイスでも適用可能である。
【００６８】
本実施形態によれば、セキュリティ・ポリシーに影響する設定の変更が行われた場合、ユーザにより指定された機能を一時的に制限する。これにより、ユーザモードによる設定でセキュリティ・ポリシーが変更された場合でも、セキュリティ・ポリシーに反する動作の実行を抑止することができる。
【００６９】
［第２の実施形態］
本発明の第２の実施の形態に係る画像処理装置は、その構成（図１）が上記第１の実施の形態に係る画像処理装置と同じであり、第１の実施の形態と同様の部分については、同一の符号を用いてその説明を省略する。以下に、上記第１の実施の形態と異なる点のみを説明する。
【００７０】
上記第１の実施形態では、セキュリティ・ポリシーの検証が成功するまでは、複合機のすべての機能が制限を受けるようにしていた。しかし、設定されたセキュリティ・ポリシーに制限を受けない機能であれば、セキュリティ・ポリシーの検証を行わなくても動作させてよいと考えられるので、その方法について説明する。
【００７１】
図９は、本発明の第２の実施形態におけるポリシーファイルの一例を示す図である。
【００７２】
図９に示すポリシーファイルは、図６に示すポリシーファイルに対して、最右列に機能制御の欄が追加されている。機能制御は、該当する行のセキュリティ・ポリシーに制約を受ける機能を示している。図示例で制約条件が「ＯＮ」となっているもので、機能制御が該当する機能は、「プリント」、「ネットワーク」、「ＰＤＦ送信」の３機能である。
【００７３】
図１０（ｂ）は、第２の実施形態におけるＵＩ操作部１０３に表示される機能選択画面の一例を示す図である。
【００７４】
図示の機能選択画面は、ポリシーファイル或いはユーザモードの変更がなされており、セキュリティ・ポリシーが検証されていない状態で表示されている。
【００７５】
図１０（ｂ）において、機能選択画面１００１には、コピー機能を選択するためのアイコン１００２と、ＰＤＦ送信を選択するためのアイコン１００３と、ユーザモード設定を選択するためのアイコン１００４が配置されている。さらに、ポリシー設定及び検証を選択するためのアイコン１００５が配置されている。
【００７６】
図中で「ＰＤＦ送信」は上述した通り、機能制御が該当する機能に含まれているため、セキュリティ・ポリシーの変更やユーザモードによる機能制御の可能性がある。そのため、第１の実施形態と同様に、検証されていない状態では、機能が選択できない状態（アイコンを押下できない状態）（図中の網掛け部）となっている。
【００７７】
一方、コピー機能は上記機能制御に該当しないため、検証されていない状態でも、アイコン１００２は押下可能である。このように、セキュリティ・ポリシーの影響を受けない機能の場合には、機能制限をかけずに使用可能とすることにより、様々な状況下での機能の可用性を向上させることが可能である。
【００７８】
また、本発明は、以下の処理を実行することによっても実現される。即ち、上述した実施形態の機能を実現するソフトウェア（プログラム）を、ネットワークまたは各種記憶媒体を介してシステム或いは装置に供給し、そのシステム或いは装置のコンピュータ（またはＣＰＵやＭＰＵ等）がプログラムを読み出して実行する処理である。
【符号の説明】
【００７９】
１０１ 複合機
１０２ Ｎｅｔｗｏｒｋ通信部
１０３ ＵＩ操作部
１０４ ユーザモード格納部
１０５ ポリシー検証部
１０６ ポリシー格納部
１０７ ポリシー生成部
１０８ ＣＰＵ
１０９ ＲＡＭ
【技術分野】
【０００１】
本発明は、画像処理装置及びその制御方法、並びにプログラムに関し、特に、ネットワークに接続された画像処理装置のセキュリティ・ポリシーの技術に関する。
【背景技術】
【０００２】
近年の複合機には、単純に画像データを印刷したり、ネットワークを介して画像データを送信するだけではなく、パーソナルコンピュータ（ＰＣ）に対して画像データを提供するファイルサービス機能を有するものがある。
【０００３】
一方、オフィス等のネットワークに接続するＰＣやサーバ機器（ファイルサーバや認証サーバ等）には、オフィス毎に決められたセキュリティ・ポリシーに従って運用することが求められている。複合機もまたＰＣやサーバ機器等と同様に、セキュリティ・ポリシーに従うことが求められている。ここでいうセキュリティ・ポリシーとは、例えば機器を操作する際にユーザ認証を必須とすることや、通信経路の暗号化を必須とするなど、オフィス内の機器の不正使用や情報漏えいを防ぐためのセキュリティ上の制約である。
【０００４】
従来の複合機においては、機器のいくつかの動作設定（以下、「ユーザモード」と呼ぶ）を管理者が操作して上記セキュリティ・ポリシーに従って動作にさせることが可能である。
【０００５】
しかしながら、従来のユーザモードによる設定では、複数の設定項目を正しく設定する必要があり、正しい設定がなされないと、セキュリティ・ポリシーが守られていない運用を事実上許容することになり、オフィスのセキュリティを脅かす可能性がある。
【０００６】
そこで、ユーザモードの設定だけではなく、外部からセキュリティ・ポリシーを設定し、起動時にセキュリティ・ポリシーとユーザモード（セキュリティ設定手段）とを比較する。その結果、セキュリティ・ポリシーを順守できる設定であると判断された時にだけ起動を許可するシステムが提案されている（例えば、特許文献１参照）。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２００９−２３０１７８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００８】
しかしながら、上記従来のシステムでは、以下の問題がある。すなわち、特許文献１では、起動時にセキュリティ・ポリシーとユーザモードの比較を行うため、再起動後はセキュリティ・ポリシーを守れる状態になる。一方、起動後に動的にセキュリティ・ポリシー或いはユーザモードの変更が行われた場合、次回起動まではセキュリティ・ポリシーが守られた状態で運用されている保障がなく、セキュリティ・ホールが発生するリスクが存在する。
【０００９】
本発明は、上記問題に鑑み、ユーザモードによる設定でセキュリティ・ポリシーが変更された場合でも、セキュリティ・ポリシーに反する動作の実行を抑止することができる画像処理装置及びその制御方法、並びにプログラムを提供することを目的とする。
【課題を解決するための手段】
【００１０】
上記目的を達成するために、本発明の画像処理装置は、複数の機能を備え、予めセキュリティ・ポリシーが設定された画像処理装置において、前記画像処理装置への操作を可能にする操作手段と、前記操作手段により前記画像処理装置の設定が変更された場合には、変更された設定の内容が前記セキュリティ・ポリシーに適合するかを検証する検証手段と、前記検証手段により前記セキュリティ・ポリシーに適合することが検証されるまで前記画像処理装置の動作の実行を制限する制限手段とを備えることを特徴とする。
【発明の効果】
【００１１】
本発明によれば、セキュリティ・ポリシーに影響する設定の変更が行われた場合、ユーザにより指定された機能を一時的に制限する。これにより、ユーザモードによる設定でセキュリティ・ポリシーが変更された場合でも、セキュリティ・ポリシーに反する動作の実行を抑止することができる。
【図面の簡単な説明】
【００１２】
【図１】本発明の第１の実施形態に係る画像処理装置の概略構成を示すブロック図である。
【図２】図１の複合機におけるセキュリティ・ポリシーの設定・検証処理の流れを示すフローチャートである。
【図３】ユーザモード格納部が保持するユーザモード一覧の一例を示す図である。
【図４】ＵＩ操作部に表示されるセキュリティ・ポリシーを設定するための設定画面の一例を示す図であり、（ａ）はポリシー設定画面、（ｂ）はネットワーク通信ポリシー設定画面、（ｃ）は認証ポリシー設定画面である。
【図５】ポリシー生成部が保持するポリシーテーブルの一例を示す図であり、（ａ）はネットワーク通信ポリシーのポリシーテーブルであり、（ｂ）は認証ポリシーのポリシーテーブルである。
【図６】本発明の第１の実施形態におけるポリシーファイルの一例を示す図である。
【図７】図２のステップＳ２０９におけるセキュリティ・ポリシー検証処理の詳細を示すフローチャートである。
【図８】複合機におけるネットワーク通信ポリシーの判定動作を示すフローチャートである。
【図９】本発明の第２の実施形態におけるポリシーファイルの一例を示す図である。
【図１０】（ａ）は第１の実施形態におけるＵＩ操作部に表示されるアクセス制御時の機能選択画面の一例を示す図、（ｂ）は第２の実施形態におけるＵＩ操作部に表示される機能選択画面の一例を示す図である。
【発明を実施するための形態】
【００１３】
以下、本発明の実施の形態を図面を参照して詳細に説明する。
【００１４】
［第１の実施形態］
図１は、本発明の第１の実施形態に係る画像処理装置の概略構成を示すブロック図である。
【００１５】
図１において、本発明の実施形態に係る画像処理装置は、例えば複合機１０１から成る。複合機１０１は、Ｎｅｔｗｏｒｋ通信部１０２、ＵＩ操作部１０３、ユーザモード格納部１０４、ポリシー検証部１０５、ポリシー格納部１０６、ポリシー生成部１０７を備える。さらに、複合機１０１は、ＣＰＵ１０８、ＲＡＭ１０９、記憶装置１１０、印刷エンジン１１１、スキャナエンジン１１２、これらを互いに接続する内部バス１１３を備える。
【００１６】
Ｎｅｔｗｏｒｋ通信部１０２は、ネットワークに接続して外部の機器との通信を行う。
【００１７】
ＵＩ操作部１０３は、複合機１０１上に配置され、複合機１０１の設定や状態等の表示を行う表示部と、ユーザの機器への操作を可能とする操作部を備える。表示部として、例えば液晶パネルで構成され、操作部としては液晶パネルと一体化したタッチパネルや接点がハード的に構成されたハードキー等で構成されるが、どのような構成でもよい。
【００１８】
ユーザモード格納部１０４は、ＵＩ操作部１０３にてユーザにより設定された設定項目（以下、「ユーザモード」と呼ぶ）を格納する不揮発記憶装置である。
【００１９】
ポリシー生成部１０７は、後述するポリシーテーブルとＵＩ操作部１０３にてユーザにより設定されたセキュリティ・ポリシーからポリシーファイルを生成する。ポリシー格納部１０６は、ポリシー生成部１０７で生成されたポリシーファイルを格納する不揮発記憶装置である。ポリシーファイルの詳細については後述する。
【００２０】
ポリシー検証部１０５は、ポリシー格納部１０６からポリシーファイルを取得し、ユーザモード格納部１０４からユーザモードを取得して、ポリシーファイルの内容とユーザモードの内容とを比較する。その比較結果から、複合機１０１に予め設定されたセキュリティ・ポリシーに適合するか否かの検証を行う。
【００２１】
ＣＰＵ１０８は、プリントデータの画像処理や各種制御を行う。ＲＡＭ１０９は、ＣＰＵ１０８が実行するプログラコードや画像データなどの情報を一時的に保持するメモリである。記憶装置１１０は、プログラムコードや画像データを保持する記憶装置であり、ＨＤＤ（Hard Disk Drive）或いはＳＳＤ（Solid State Drive）により構成される。
【００２２】
印刷エンジン１１１は、電子写真技術やインクジェット技術などの既知の技術を用いて、画像データを用紙等に印刷する印刷部である。スキャナエンジン１１２は、用紙等に印刷された画像を光学的に読み取るスキャナ部である。
【００２３】
複合機１０１のコピー機能は、ＵＩ操作部１０３への操作に応じて、ＣＰＵ１０８がスキャナエンジン１１２を制御して原稿から画像を読み込む。そして、スキャナエンジン１１２で得られた画像データをＲＡＭ１０９に一時格納し、必要な画像処理を施して印刷エンジン１１１に送信し印刷出力する。
【００２４】
複合機１０１のＰＤＦ送信機能は、ＵＩ操作部１０３への操作に応じて、ＣＰＵ１０８がスキャナエンジン１１２を制御して原稿から画像を読み込む。そして、スキャナエンジン１１２で得られた画像データをＲＡＭ１０９に一時格納し、所定のフォーマット変換を行い、指定された宛先に対して、Ｎｅｔｗｏｒｋ通信部１０２により送信を行う。
【００２５】
なお、ユーザモード格納部１０４と記憶装置１１０とを１つの記憶装置として構成してもよい。その場合、ユーザモードを記憶するための記憶領域が記憶装置１１０に確保される。また、ポリシー格納部１０６と記憶装置１１０とを１つの記憶装置として構成してもよい。その場合、ポリシーファイルを記憶するための記憶領域が記憶装置１１０に確保される。
【００２６】
また、ポリシー検証部１０５を設けずに、ＣＰＵ１０８がポリシー検証部１０５の機能を実現するようにしてもよい。その場合、ポリシー検証部１０５が実現する機能に相当するプログラムが記憶装置１１０に格納される。また、ポリシー生成部１０７を設けずに、ＣＰＵ１０８がポリシー生成部１０７の機能を実現するようにしてもよい。その場合、ポリシー生成部１０７が実現する機能に相当するプログラムが記憶装置１１０に格納される。
【００２７】
図２は、図１の複合機１０１におけるセキュリティ・ポリシーの設定・検証処理の流れを示すフローチャートである。本処理は、ＣＰＵ１０８、またはＣＰＵ１０８による制御の元で図１に示した複合機１０１の構成要素のいずれかにより実行されるものである。ＣＰＵ１０８は、複合機１０１の起動と共に動作を開始し、以降は複合機１０１が動作を停止するまで動作し続ける。
【００２８】
図２において、ステップＳ２００では、ＵＩ操作部１０３は、操作入力待ち状態にある。例えば、ＵＩ操作部１０３がタッチパネルの場合、液晶パネル上に表示されたアイコン部分を押下することによって操作入力が可能である。ＣＰＵ１０８は、ＵＩ操作部１０３への操作入力があったと判断したならばステップＳ２０１へ進む。
【００２９】
次に、ステップＳ２０１では、ＣＰＵ１０８は、ユーザにより行われたＵＩ操作部１０３への操作がセキュリティ・ポリシーの設定かどうかを判定する。セキュリティ・ポリシーの設定であると判定した場合は、セキュリティ・ポリシーの設定を受け付ける（ステップＳ２０２）。このセキュリティ・ポリシーの設定方法については後述する。なお、セキュリティ・ポリシーを設定するには予めユーザ認証を行い、セキュリティ・ポリシーを設定する権限を有するユーザであるか否かを確認する必要があるが、本実施形態では、それらの説明を省略する。
【００３０】
セキュリティ・ポリシーの設定を受け付けた後は、現在のユーザモードのままでは不正な運用となる可能性があるため、ＣＰＵ１０８は、セキュリティ・ポリシーを未チェック状態に変更（ステップＳ２０３）して、ステップＳ２００に戻る。なお、セキュリティ・ポリシーのチェック状態（未チェック／チェック済み）は、ポリシー格納部１０６或いは記憶装置１１０に記憶されているものとする。
【００３１】
一方、ステップＳ２０１でセキュリティ・ポリシーの設定ではないと判定された場合、ＣＰＵ１０８は、ユーザにより行われた操作がユーザモードの設定（新規の設定登録、あるいは設定内容の変更）かどうかを判定する（ステップＳ２０４）。ユーザモードの設定でないと判定した場合は、ステップＳ２０８へ進む。一方、ユーザモードの設定であると判定した場合、ＣＰＵ１０８は、ユーザモードの設定を受け付けて、ユーザモード格納部１０４に格納する（ステップＳ２０５）。
【００３２】
ユーザモードの設定が完了した後、ＣＰＵ１０８は、ユーザモードの中の複数の設定項目のうち、セキュリティに影響する設定項目について設定変更が行われたかどうかを判定する（ステップＳ２０６）。セキュリティに影響する設定項目とは、例えば、複合機１０１のユーザ認証に関する設定や、パスワードの桁数に関する設定や、Ｎｅｔｗｏｒｋ通信部１０２における通信を許可するポートの設定や、データや通信に対する暗号化の要否や強度に関する設定を含む。また、それ以外にも複合機１０１のセキュリティに関する設定がセキュリティに影響する設定項目に含まれる。セキュリティに影響する設定変更が行われたと判定した場合、ＣＰＵ１０８は、セキュリティ・ポリシーを未チェック状態に変更（ステップＳ２０７）して、ステップＳ２００に戻る。一方、セキュリティに影響する設定変更が行われていないと判定した場合、そのままステップＳ２００に戻る。
【００３３】
ステップＳ２０８において、ＣＰＵ１０８は、ユーザにより行われた操作がセキュリティ・ポリシーの検証の実行指示か否かを判定する。セキュリティ・ポリシーの検証の実行指示でないと判定した場合は、ステップＳ２１２へ進む。一方、セキュリティ・ポリシーの検証の実行指示であると判定した場合は、ポリシー検証部１０５によるセキュリティ・ポリシーの検証処理が行われる（ステップＳ２０９）。このセキュリティ・ポリシーの検証処理の詳細については後述する。
【００３４】
次に、ステップＳ２１０において、ＵＩ操作部１０３は、セキュリティ・ポリシーの検証に成功したか否かを判定する。セキュリティ・ポリシーの検証に成功したと判定した場合、ＵＩ操作部１０３は、セキュリティ・ポリシーをチェック済み状態に変更（ステップＳ２１１）して、ステップＳ２００に戻る。一方、セキュリティ・ポリシーの検証に失敗したと判定した場合には、そのままステップＳ２００に戻る。
【００３５】
ステップＳ２１２では、ＣＰＵ１０８は、セキュリティ・ポリシーが未チェック状態か否かを判定する。セキュリティ・ポリシーが未チェック状態であると判定した場合、ＣＰＵ１０８はＵＩ操作部１０３に「セキュリティ・ポリシーが未チェックなので操作できません」等を表示させ、ユーザにより指定された複合機１０１の機能の実行を制限する（ステップＳ２１３）。一方、セキュリティ・ポリシーがチェック済み状態であると判定した場合、ＣＰＵ１０８は、ユーザにより指定された複合機１０１の機能を実行する（ステップＳ２１４）。ここでいう機能とは、コピーやスキャン送信などの複合機１０１が有する機能である。
【００３６】
上記処理において、セキュリティ・ポリシーのチェック状態は、セキュリティ・ポリシーの設定変更（ステップＳ２０２）或いはユーザモードの設定変更（ステップＳ２０５）に応じて、未チェック状態に変更（ステップＳ２０３、Ｓ２０７）される。セキュリティ・ポリシーが未チェックである場合には、複合機１０１による機能の実行が制限される。一方、セキュリティ・ポリシーの検証が成功することによってチェック済み状態に変更（ステップＳ２１１）される。そして、セキュリティ・ポリシーのチェック状態がチェック済みの場合のみ、複合機１０１の機能が実行される（ステップＳ２１４）。
【００３７】
図３は、ユーザモード格納部１０４に保持されるユーザモードの一例を示す図である。
【００３８】
図２のステップＳ２０５でＵＩ操作部１０３がユーザから受け付けたユーザモードは、ユーザモード格納部１０４に格納される。図示の左欄には、ユーザモードの設定項目、右欄にはその設定値が保持されている。
【００３９】
ユーザモード項目には、図示のように、例えば「ＩＰＰ印刷／ＳＳＬを使用する」、「ＳＭＴＰ／ＳＳＬを使用する」、「ＳＳＬ通信／暗号強度が強いものを使用する」、「ＰＤＦ生成／暗号強度が強いものを使用する」がある。さらに、「ユーザ認証を使用する」、「ユーザ認証／パスワードの文字を制限する」がある。
【００４０】
ユーザモードの設定値は、図示例では、「ＯＮ」又は「ＯＦＦ」の２値で表現されているが、実際には数値を持っているか、複数の構造体構造を持っているものであってもよい。実際には、ユーザモード格納部１０４には、設定値のリストが格納されているが、そのリストはＸＭＬ構造やＣＳＶ構造であってもよい。
【００４１】
次に、複合機１０１のＵＩ操作部１０３におけるセキュリティ・ポリシーの設定方法について説明する。
【００４２】
図４は、ＵＩ操作部１０３に表示されるセキュリティ・ポリシーを設定するための設定画面の一例を示す図であり、（ａ）はポリシー設定画面、（ｂ）はネットワーク通信ポリシー設定画面、（ｃ）は認証ポリシー設定画面である。
【００４３】
図２のステップＳ２０２では、図４（ａ）に示すポリシー設定画面がＵＩ操作部１０３に表示される。ポリシー設定画面３０１には、ネットワーク通信ポリシーを設定するための設定ボタン３０２と、認証ポリシーを設定するための設定ボタン３０３が表示されている。なお、本実施形態では、説明を簡単にするために、ネットワーク通信ポリシーの設定ボタン３０２と、認証ポリシーの設定ボタン３０３の２つを説明するが、実際にはより多くのセキュリティ・ポリシーが存在してもよい。
【００４４】
ポリシー設定画面３０１上で設定ボタン３０２が押下されると、図４（ｂ）に示す設定画面３０４がＵＩ操作部１０３に表示される。設定画面３０４では、２つのセキュリティ・ポリシー「通信経路は暗号化を行う」３０５と「暗号は強度があるものに限定する」３０６について設定することが可能である。そして、個々のセキュリティ・ポリシーの設定を「はい」、「いいえ」のラジオボタンで設定することができ、選択されたボタンが黒背景／白文字に変更される。図示例では、「通信経路は暗号化を行う」３０５と「暗号は強度があるものに限定する」３０６の双方がセキュリティ・ポリシーとして選択されていることを示している。ＯＫボタン３１１が押下されると、ポリシー設定画面３０１に戻る。なお、「暗号は強度があるものに限定する」とは、例えば、暗号鍵のビット長が所定ビット長以上であることや、強い暗号化アルゴリズムを用いた特定の暗号化方式に限定することを意味している。
【００４５】
ポリシー設定画面３０１上で設定ボタン３０３が押下されると、図４（ｃ）に示す認証ポリシー設定画面３０７がＵＩ操作部１０３に表示される。認証ポリシー設定画面３０７は、２つのセキュリティ・ポリシー「ユーザ認証を必須とする」３０８と「パスワードは強度があるものに限定する」３０９について設定することが可能である。そして、個々のセキュリティ・ポリシーの設定を「はい」、「いいえ」のラジオボタンで設定することができ、選択されたボタンが黒背景／白文字に変更される。図示例では、「ユーザ認証を必須とする」がセキュリティ・ポリシーとして選択されていることを示す。ＯＫボタン３１２が押下されると、ポリシー設定画面３０１に戻る。なお、「パスワードは強度があるものに限定する」とは、例えば、パスワードの桁数が所定数以上のものに限定することや、パスワードの大文字と小文字とを区別することを意味する。
【００４６】
図４（ａ）のポリシー設定画面３０１上でＯＫボタン３１０が押下されると、設定画面３０４，３０７で設定された内容に基づいて、ポリシー生成部１０７によりポリシーファイルが生成される。
【００４７】
図５は、ポリシー生成部１０７が保持するポリシーテーブルの一例を示す図であり、（ａ）はネットワーク通信ポリシーのポリシーテーブルであり、（ｂ）は認証ポリシーのポリシーテーブルである。
【００４８】
ポリシーテーブルは、ポリシー生成部１０７の内部にデジタル情報として保管されており、その形式はＸＭＬ形式やＣＳＶ形式などが考えられるが、表を表現できるデータ構造であれば、どのような形態でも構わない。図中の「ＯＮ」は、ポリシーによる必須条件があることを示し、「−」は必須条件が存在しないことを示す。
【００４９】
図５（ａ）において、ネットワーク通信ポリシーの「通信経路は暗号化を行う」というセキュリティ・ポリシーが「はい」に選択されていた場合、表中に「ＯＮ」と記載されている２つの設定が必須であることを示している。その２つは「ＩＰＰ印刷／ＳＳＬを使用する」と「ＳＭＴＰ／ＳＳＬを使用する」である。ここで、ＩＰＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｉｎｔｉｎｇ Ｐｒｏｔｏｃｏｌ）は、ＲＦＣ２５６５などで定義されたインターネットを介してプリンタや複合機に印刷データを送信するプロトコルを示す。また、ＳＭＴＰ（Ｓｉｍｐｌｅ Ｍａｉｌ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）は、ＲＦＣ８２１で定義された電子メール送信のプロトコルであるが、複合機のスキャンした画像をメール送信の添付ファイルとしておくることを示している。いずれもネットワーク、特にインターネットを介した画像データの送受信に使用され、機密データが含まれる可能性があるために、ＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｅｒ）を用いた通信経路の暗号化に用いられる。ＳＳＬは、ＴＣＰセッションに対して暗号化・完全性を付与するプロトコルであり、ＲＦＣ２２４６で定義されている。
【００５０】
同様に、「暗号は強度があるものに限定する」というセキュリティ・ポリシーが「はい」に選択されていた場合、表中に「ＯＮ」と記載されている２つの設定が必須であることを示している。その２つは「ＳＳＬ通信／暗号強度が強いものを使用する」と「ＰＤＦ生成／暗号強度が強いものを使用する」である。ここでＰＤＦ（Ｐｏｒｔａｂｌｅ Ｄｏｃｕｍｅｎｔ Ｆｏｒｍａｔ）はＩＳＯ−３２０００で定義された電子文書のフォーマットであるが、機密保持のためにパスワードによる暗号化を行うことが可能である。ＰＤＦの暗号化方式は複数選択可能であり、このセキュリティ・ポリシーは強度が強いものに限定することを示している。
【００５１】
図５（ｂ）でも同様に、「ユーザ認証を必須とする」というポリシーが「はい」に選択された場合には、表中の「ＯＮ」と記載されている「ユーザ認証を使用する」という設定が必須となる。一方、本実施形態では、図４に示す認証ポリシー設定画面３０７上で「パスワードは強度があるものに限定する」というセキュリティ・ポリシーが「いいえ」に設定されているため、図５（ｂ）に示す表中から必須となる設定が存在しない。
【００５２】
ポリシー生成部１０７は、図示のポリシーテーブルと、ＵＩ操作部１０３で設定されたセキュリティ・ポリシーから、必須となる設定値の抽出を行い、必須となる設定値を記載したポリシーファイルを生成して、ポリシー格納部１０６へ保存する。
【００５３】
図６は、本発明の第１の実施形態におけるポリシーファイルの一例を示す図である。
【００５４】
ポリシーファイルは、上述したポリシーテーブルと各ポリシーの設定の組み合わせから抽出された必須となる設定値として、「制約条件」の欄に「ＯＮ」が記載され、必須となった原因となるポリシーが「制約理由」の欄に記載されている。一方、「制約条件」の欄が「−」となっている項目は制約が存在しないことを示している。
【００５５】
ポリシーファイルの形式は、ＸＭＬ形式やＣＳＶ形式などが考えられるが、表を表現できるデータ構造であれば、どのような形態でも構わない。ポリシーファイルは、ポリシー検証部１０５により複合機１０１の各機能の動作を行うかどうかの判定のために使用される。
【００５６】
図７は、図２のステップＳ２０９におけるセキュリティ・ポリシー検証処理の詳細を示すフローチャートである。本処理は、ポリシー検証部１０５により実行されるものである。ポリシー検証部１０５は、ＣＰＵ１０８によって呼び出される。
【００５７】
図７において、ステップＳ８０１では、ポリシー検証部１０５は、変数である検証成功フラグを「ＴＲＵＥ」に設定する。次に、ステップＳ８０２では、ポリシー検証部１０５は、ポリシー格納部１０６からポリシーファイルを取得する。ステップＳ８０３からステップＳ８０８はループとなっており、ポリシー検証部１０５は、ポリシーファイルから１行ずつ情報を取得する（ステップＳ８０３）。これは図６の各行に相当する。
【００５８】
ステップＳ８０４では、ポリシー検証部１０５は、取得した行における制約条件を確認し、制約条件があるかどうかを判定する。例えば、図６において、「ＩＰＰ印刷／ＳＳＬを使用する」の場合、「ＯＮ」が制約条件となる。制約条件が「ＯＮ」の場合は制約条件があり、「−」の場合は制約条件がないと見なされる。制約条件がないと判断された場合はステップＳ８０８に移行する。一方、制約条件がある場合には、ポリシー検証部１０５は、ユーザモード格納部１０４から該当するユーザモードの設定値を取得する（ステップＳ８０５）。この場合、ポリシー検証部１０５は、図３に示す設定項目「ＩＰＰ印刷／ＳＳＬを使用する」に対応する設定値「ＯＮ」を取得する。
【００５９】
次に、ステップＳ８０６では、ポリシー検証部１０５は、取得した行における制約条件と、取得したユーザモードの設定値が一致するか否かを判定する。上記例では、制約条件が「ＯＮ」、ユーザモードの設定値が「ＯＮ」となっており、制約条件が一致するため、該当する行に対するユーザモードの設定値はセキュリティ・ポリシーを維持できていると判定される。
【００６０】
一方、ステップＳ８０６で一致しないと判定された場合、ポリシー検証部１０５は、検証成功フラグに「ＦＡＬＳＥ」を設定して（ステップＳ８０７）、ステップＳ８０８へ移行する。例えば、図６における「ユーザ認証を使用する」という行の制約条件は「ＯＮ」、図３における「ユーザ認証を使用する」というユーザモードの設定値は「ＯＦＦ」となっており、制約条件が一致しない。そのため、該当する行に対するユーザモードの設定値はセキュリティ・ポリシーを維持できないと判定される。その結果、検証成功フラグには「ＦＡＬＳＥ」が設定される。このように、ポリシーファイルの全行に対して検証を行った結果、一箇所でも制約条件とユーザモードの設定値が一致しない場合には検証成功フラグがＦＡＬＳＥとなる。検証成功フラグは、図２のステップＳ２１０の判定に使用される。ポリシー検証部１０５は、検証成功フラグが「ＴＲＵＥ」の場合には、セキュリティ・ポリシーの検証に成功したと判定し、検証成功フラグが「ＦＡＬＳＥ」の場合には、セキュリティ・ポリシーの検証に失敗したと判定する。また、検証成功フラグは、複合機１０１における機能のアクセス制御に用いられる。
【００６１】
図１０（ａ）は、第１の実施形態におけるＵＩ操作部１０３に表示されるアクセス制御時の機能選択画面の一例を示す図である。
【００６２】
図１０（ａ）において、機能選択画面９０１には、コピー機能を選択するためのアイコン９０２と、ＰＤＦ送信を選択するためのアイコン９０３と、ユーザモード設定を選択するためのアイコン９０４が配置されている。さらに、ポリシー設定及び検証を選択するためのアイコン９０５が配置されている。
【００６３】
図２のステップＳ２１３では、ＵＩ操作部１０３に機能実行時に「セキュリティ・ポリシー未チェックなので操作できません」と表示するようにしたが、機能が選択できないようにしてもよい。例えば、図１０（ａ）では、アイコン９０２，９０３がアイコンを押下できない状態（図中の網掛け部）にされている。なお、アクセス制御が行われている状態でも、ユーザモード設定とポリシー設定及び検証は実行することが可能である。
【００６４】
本実施形態における複合機１０１は、ＵＩ機能だけではなく、ネットワークを通じたサービスを提供することができる。代表的なものとして、プリンタポート（ＬＰＲやＰＯＲＴ９１００など）を用いた印刷サービスがある。また、ＨＴＴＰ（ＨｙｐｅｒＴｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ，ＲＦＣ２６１６で定義）を利用した、ウェブブラウザ用のＷｅｂインターフェイスが挙げられる。ネットワークによるサービスもＵＩと同様に、セキュリティ・ポリシーが維持できないと判断された場合にはサービスを遮断する。
【００６５】
図８は、複合機１０１におけるネットワークのセキュリティ・ポリシー判定処理の流れを示すフローチャートである。本処理は、ＣＰＵ１０８により実行されるものである。
【００６６】
図８において、ステップＳ４０１では、ＣＰＵ１０８は、図２のステップＳ２０３またはステップＳ２０７またはステップＳ２１１で設定されたセキュリティ・ポリシーのチェック状態を判定する。未チェック状態であると判定した場合、Ｎｅｔｗｏｒｋ通信部１０２のネットワーク・ポートをクローズする（ステップＳ４０３）。一方、未チェック状態でないと判定した場合は、Ｎｅｔｗｏｒｋ通信部１０２のネットワーク・ポートをオープンする（ステップＳ４０２）。なお、ステップＳ４０１〜Ｓ４０３の処理は、図２のステップＳ２１２〜Ｓ２１４にて行われてもよい。ここでネットワーク・ポートは、上述したサービスを実施するための具体的なインターフェイスであり、ネットワーク・ポートを閉じることによってサービスを制限することが可能である。なお、ネットワークは、実際にはプロトコル・スタックの実施が必要であるが、それは従来の技術と同様であり、それらの説明を省略する。
【００６７】
本実施形態では、ネットワークへの接続する場合について説明したが、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）のようなローカルインターフェイスでも適用可能である。
【００６８】
本実施形態によれば、セキュリティ・ポリシーに影響する設定の変更が行われた場合、ユーザにより指定された機能を一時的に制限する。これにより、ユーザモードによる設定でセキュリティ・ポリシーが変更された場合でも、セキュリティ・ポリシーに反する動作の実行を抑止することができる。
【００６９】
［第２の実施形態］
本発明の第２の実施の形態に係る画像処理装置は、その構成（図１）が上記第１の実施の形態に係る画像処理装置と同じであり、第１の実施の形態と同様の部分については、同一の符号を用いてその説明を省略する。以下に、上記第１の実施の形態と異なる点のみを説明する。
【００７０】
上記第１の実施形態では、セキュリティ・ポリシーの検証が成功するまでは、複合機のすべての機能が制限を受けるようにしていた。しかし、設定されたセキュリティ・ポリシーに制限を受けない機能であれば、セキュリティ・ポリシーの検証を行わなくても動作させてよいと考えられるので、その方法について説明する。
【００７１】
図９は、本発明の第２の実施形態におけるポリシーファイルの一例を示す図である。
【００７２】
図９に示すポリシーファイルは、図６に示すポリシーファイルに対して、最右列に機能制御の欄が追加されている。機能制御は、該当する行のセキュリティ・ポリシーに制約を受ける機能を示している。図示例で制約条件が「ＯＮ」となっているもので、機能制御が該当する機能は、「プリント」、「ネットワーク」、「ＰＤＦ送信」の３機能である。
【００７３】
図１０（ｂ）は、第２の実施形態におけるＵＩ操作部１０３に表示される機能選択画面の一例を示す図である。
【００７４】
図示の機能選択画面は、ポリシーファイル或いはユーザモードの変更がなされており、セキュリティ・ポリシーが検証されていない状態で表示されている。
【００７５】
図１０（ｂ）において、機能選択画面１００１には、コピー機能を選択するためのアイコン１００２と、ＰＤＦ送信を選択するためのアイコン１００３と、ユーザモード設定を選択するためのアイコン１００４が配置されている。さらに、ポリシー設定及び検証を選択するためのアイコン１００５が配置されている。
【００７６】
図中で「ＰＤＦ送信」は上述した通り、機能制御が該当する機能に含まれているため、セキュリティ・ポリシーの変更やユーザモードによる機能制御の可能性がある。そのため、第１の実施形態と同様に、検証されていない状態では、機能が選択できない状態（アイコンを押下できない状態）（図中の網掛け部）となっている。
【００７７】
一方、コピー機能は上記機能制御に該当しないため、検証されていない状態でも、アイコン１００２は押下可能である。このように、セキュリティ・ポリシーの影響を受けない機能の場合には、機能制限をかけずに使用可能とすることにより、様々な状況下での機能の可用性を向上させることが可能である。
【００７８】
また、本発明は、以下の処理を実行することによっても実現される。即ち、上述した実施形態の機能を実現するソフトウェア（プログラム）を、ネットワークまたは各種記憶媒体を介してシステム或いは装置に供給し、そのシステム或いは装置のコンピュータ（またはＣＰＵやＭＰＵ等）がプログラムを読み出して実行する処理である。
【符号の説明】
【００７９】
１０１ 複合機
１０２ Ｎｅｔｗｏｒｋ通信部
１０３ ＵＩ操作部
１０４ ユーザモード格納部
１０５ ポリシー検証部
１０６ ポリシー格納部
１０７ ポリシー生成部
１０８ ＣＰＵ
１０９ ＲＡＭ
【特許請求の範囲】
【請求項１】
複数の機能を備え、予めセキュリティ・ポリシーが設定された画像処理装置において、
前記画像処理装置への操作を可能にする操作手段と、
前記操作手段により前記画像処理装置の設定が変更された場合には、変更された設定の内容が前記セキュリティ・ポリシーに適合するかを検証する検証手段と、
前記検証手段により前記セキュリティ・ポリシーに適合することが検証されるまで前記画像処理装置の動作の実行を制限する制限手段とを備えることを特徴とする画像処理装置。
【請求項２】
前記変更された設定を判定する判定手段と、
前記判定手段により前記変更された設定がセキュリティ・ポリシーの設定または前記画像処理装置の動作の設定であると判定された場合には、前記制限手段による制限を行うように制御する制御手段とをさらに備えることを特徴とする請求項１記載の画像処理装置。
【請求項３】
前記検証手段は、
前記予め画像処理装置に設定されたセキュリティ・ポリシーと前記操作手段により変更されたセキュリティ・ポリシーから必須となる制約条件を抽出したポリシーファイルを生成する生成手段と、
前記生成されたポリシーファイルの制約条件と前記操作手段により変更された設定の内容から得られる設定値とを比較して一致するか否かを判定する比較手段とを備え、
前記制限手段は、前記制約条件と前記設定値が一致しないものがある場合には、前記画像処理装置の動作の実行を制限することを特徴とする請求項２記載の画像処理装置。
【請求項４】
前記制御手段は、前記操作手段により前記セキュリティ・ポリシーの検証の実行指示がなされた場合には、前記検証手段による検証を実行するように制御することを特徴とする請求項２に記載の画像処理装置。
【請求項５】
前記制限手段は、前記複数の機能が全て選択できないように制限することを特徴とする請求項１乃至４のいずれか１項に記載の画像処理装置。
【請求項６】
前記制限手段は、前記複数の機能のうち、前記セキュリティ・ポリシーの影響を受ける機能のみを選択できないように制限することを特徴とする請求項１乃至４のいずれか１項に記載の画像処理装置。
【請求項７】
前記制限手段は、前記検証手段により前記セキュリティ・ポリシーに適合することが検証されるまで前記画像処理装置の外部との通信を遮断することを特徴とする請求項１記載の画像処理装置。
【請求項８】
操作手段と、複数の機能とを備え、予めセキュリティ・ポリシーが設定された画像処理装置の制御方法において、
前記操作手段により前記画像処理装置の設定が変更された場合には、変更された設定の内容が前記セキュリティ・ポリシーに適合するかを検証する検証工程と、
前記検証工程にて前記セキュリティ・ポリシーに適合することが検証されるまで前記画像処理装置の動作の実行を制限する制限工程とを備えることを特徴とする制御方法。
【請求項９】
請求項８記載の制御方法を画像処理装置に実行させるためのコンピュータに読み取り可能なプログラム。
【請求項１】
複数の機能を備え、予めセキュリティ・ポリシーが設定された画像処理装置において、
前記画像処理装置への操作を可能にする操作手段と、
前記操作手段により前記画像処理装置の設定が変更された場合には、変更された設定の内容が前記セキュリティ・ポリシーに適合するかを検証する検証手段と、
前記検証手段により前記セキュリティ・ポリシーに適合することが検証されるまで前記画像処理装置の動作の実行を制限する制限手段とを備えることを特徴とする画像処理装置。
【請求項２】
前記変更された設定を判定する判定手段と、
前記判定手段により前記変更された設定がセキュリティ・ポリシーの設定または前記画像処理装置の動作の設定であると判定された場合には、前記制限手段による制限を行うように制御する制御手段とをさらに備えることを特徴とする請求項１記載の画像処理装置。
【請求項３】
前記検証手段は、
前記予め画像処理装置に設定されたセキュリティ・ポリシーと前記操作手段により変更されたセキュリティ・ポリシーから必須となる制約条件を抽出したポリシーファイルを生成する生成手段と、
前記生成されたポリシーファイルの制約条件と前記操作手段により変更された設定の内容から得られる設定値とを比較して一致するか否かを判定する比較手段とを備え、
前記制限手段は、前記制約条件と前記設定値が一致しないものがある場合には、前記画像処理装置の動作の実行を制限することを特徴とする請求項２記載の画像処理装置。
【請求項４】
前記制御手段は、前記操作手段により前記セキュリティ・ポリシーの検証の実行指示がなされた場合には、前記検証手段による検証を実行するように制御することを特徴とする請求項２に記載の画像処理装置。
【請求項５】
前記制限手段は、前記複数の機能が全て選択できないように制限することを特徴とする請求項１乃至４のいずれか１項に記載の画像処理装置。
【請求項６】
前記制限手段は、前記複数の機能のうち、前記セキュリティ・ポリシーの影響を受ける機能のみを選択できないように制限することを特徴とする請求項１乃至４のいずれか１項に記載の画像処理装置。
【請求項７】
前記制限手段は、前記検証手段により前記セキュリティ・ポリシーに適合することが検証されるまで前記画像処理装置の外部との通信を遮断することを特徴とする請求項１記載の画像処理装置。
【請求項８】
操作手段と、複数の機能とを備え、予めセキュリティ・ポリシーが設定された画像処理装置の制御方法において、
前記操作手段により前記画像処理装置の設定が変更された場合には、変更された設定の内容が前記セキュリティ・ポリシーに適合するかを検証する検証工程と、
前記検証工程にて前記セキュリティ・ポリシーに適合することが検証されるまで前記画像処理装置の動作の実行を制限する制限工程とを備えることを特徴とする制御方法。
【請求項９】
請求項８記載の制御方法を画像処理装置に実行させるためのコンピュータに読み取り可能なプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【公開番号】特開２０１２−２３８０７１（Ｐ２０１２−２３８０７１Ａ）
【公開日】平成２４年１２月６日（２０１２．１２．６）
【国際特許分類】
【出願番号】特願２０１１−１０５０８６（Ｐ２０１１−１０５０８６）
【出願日】平成２３年５月１０日（２０１１．５．１０）
【出願人】（０００００１００７）キヤノン株式会社 (59,756)
【Ｆターム（参考）】
【公開日】平成２４年１２月６日（２０１２．１２．６）
【国際特許分類】
【出願日】平成２３年５月１０日（２０１１．５．１０）
【出願人】（０００００１００７）キヤノン株式会社 (59,756)
【Ｆターム（参考）】
[ Back to top ]