JP2007214979A - 画像処理装置、転送装置、データ送信方法、プログラム、および記録媒体 - Google Patents

Abstract

【課題】送信先に応じたセキュリティ処理を施すとともに、なりすましを防止することができる画像処理装置および転送装置を提供する。
【解決手段】送信先がイントラネット内であるか否かを判定し（ステップＳ１０３）、送信先がイントラネット外であると場合には（ステップＳ１０３：ＮＯ）、送信先に対応して登録されている公開鍵証明書を取得して（ステップＳ１０４）、公開鍵証明書が正当な認証を受けているか否かを判定する（ステップＳ１０５）。認証が正当なものであると判定された場合には（ステップＳ１０６）、公開鍵証明書に対応する公開鍵で暗号化して(ステップＳ１０８)、送信データを送信する（ステップＳ１０９）。送信先がイントラネット内である場合には（ステップＳ１０３：ＹＥＳ）、暗号化することなく送信データを送信先へ送信する（ステップＳ１０９）。
【選択図】図４

Description

本発明は、ネットワークに接続可能な画像処理装置及び転送装置に関する。

従来より、ＭＦＰ(Multiple Function Peripheral)等の画像処理装置からネットワーク上にデータを送信する際に、送信データにセキュリティ処理を施す技術が提案されている。たとえば特許文献１には、イントラネットの外部へデータを送信する場合にはセキュリティを重視した制御を行い、イントラネットの内部でデータを送信する場合にはセキュリティレベルを下げた状態で転送速度等を優先した制御を行う技術が開示されている。
特開２００５−２６９２５１号公報

イントラネットの外部へのデータ送信時に、セキュリティ処理を施す技術として、送信先に対応して登録されている公開鍵で送信データを暗号化することが考えられる。当該公開鍵によって暗号化されたデータを受信した受信者は、当該公開鍵に対応した秘密鍵で受信データを復号することによってデータを解読することができる。
しかしながら、上述の公開鍵暗号化方式では、他人のふりをして公開鍵を登録して、不正に情報を取得する、いわゆるなりすまし行為がなされるおそれがある。

本発明は、上記の点に鑑み、送信先に応じたセキュリティ処理を施すとともに、なりすましを防止することができる画像処理装置、転送装置、データ送信方法、プログラム、および記録媒体を提供することを目的とする。

本発明に係る画像処理装置は、ネットワークに接続可能な画像処理装置であって、送信データ及び送信先の指定を受け付ける指定受付手段と、送信先が所定条件を満たすか否かを判定する条件判定手段と、前記条件判定手段により送信先が前記所定条件を満たさないと判定された場合に、送信先に対応して登録されている公開鍵証明書を取得する取得手段と、前記取得手段で取得した前記公開鍵証明書が正当な認証を受けているか否かを判定する認証判定手段と、前記認証判定手段により認証が正当なものであると判定された場合に、前記公開鍵証明書に対応する公開鍵で前記送信データを暗号化する暗号化手段と、送信先が前記所定条件を満たさない場合には、前記暗号化手段によって暗号化された送信データを送信先へ送信するとともに、送信先が前記所定条件を満たす場合には、暗号化することなく送信データを送信先へ送信する送信手段とを備えることを特徴としている。

上記構成では、送信先に応じて送信データを暗号化するか否かを判断しているので、送信先に応じたセキュリティ処理を施すことができる。加えて、送信データを暗号化する際には、正当な認証を受けている公開鍵によって暗号化するので、いわゆるなりすましを防止することができる。
また、前記条件判定手段は、送信先のメールアドレスのドメインに基づいて、送信先が前記所定条件を満たしているか否かを判定することが望ましい。

たとえば送信先がイントラネット内であることを前記所定条件としているケースであって、画像処理装置が接続されているイントラネット内にメールサーバある場合、送信先のメールアドレスのドメインが、当該メールサーバのドメインと同一である場合に、送信先がイントラネット内であると判定することができるので、これによって条件判定手段は容易に送信先がイントラネット内であるか否か、すなわち所定条件を満たすか否かを判定することができる。

また、送信先の許可登録を受け付ける送信先登録手段をさらに備え、前記所定条件は、送信先が許可登録されているものであることが望ましい。なお「許可登録」とは、低いセキュリティで送信してもいい宛先を許可して登録することをいう。
これにより、安全性の高い送信先を事前に許可登録することによって、許可登録されていない送信先には送信データを暗号化処理して送信する構成となるので、高いセキュリティを確保することができる。

ここで、前記条件判定手段の判定結果によって異なる処理を実行する通常モードに加えて、前記条件判定手段の判定結果にかかわらず、送信データ全てを前記暗号化手段によって暗号化する高セキュリティモードをさらに備え、前記通常モードと、前記高セキュリティモードとの切り換えを受け付ける切換受付手段をさらに備えることが望ましい。
これにより、たとえば、他社からの出向社員が同じフロアで仕事をすることになった状況で、当該出向社員に社内の情報が漏れないセキュリティを施したい場合等には、高セキュリティモードに設定することによって、このような状況であっても情報の漏洩を防止することができる。

また、前記認証判断手段によって前記公開鍵証明書が正当なものでないと判定がなされた場合に、その旨を表示する表示手段をさらに備えることが望ましい。
これにより、データが送信されなかったことをユーザが認識させることができ、送信先本人に有効な公開鍵証明書の送付を依頼する等の事後対処の必要性をユーザに促すことができる。

ここで、前記送信手段は、前記認証判断手段によって前記公開鍵証明書が正当なものでないと判定がなされた場合には、送信先へ送信データを送信しないことが望ましい。
これにより、送信データに関する情報の流出を防止することができる。
本発明に係る転送装置は、画像処理装置からのデータを転送する転送装置であって、データを画像処理装置から受信する受信手段と、前記受信手段によって受信されたデータの転送先が所定条件を満たすか否かを判定する条件判定手段と、前記条件判定手段により送信先が所定条件を満たさないと判定された場合に、送信先に対応して登録されている公開鍵証明書を取得する取得手段と、前記取得手段で取得した前記公開鍵証明書が正当な認証を受けているか否かを判定する認証判定手段と、前記認証判定手段により認証が正当なものであると判定された場合には、前記公開鍵証明書に対応する公開鍵で前記送信データを暗号化する暗号化手段と、転送先が前記所定条件を満たさない場合には、前記暗号化手段によって暗号化された転送データを転送先へ送信するとともに、転送先が前記所定条件を満たす場合には、暗号化することなく転送データを転送先へ送信する送信手段とを備えることを特徴としている。

上記構成では、送信先に応じて、送信データを暗号化するか否かを判断しているので、送信先に応じたセキュリティ処理を施すことができる。加えて、送信データを暗号化する際には、正当な認証を受けている公開鍵によって暗号化するので、いわゆるなりすましを防止することができる。
また、前記条件判定手段は、送信先のメールアドレスのドメインに基づいて、転送先が前記所定条件を満たしているか否かを判定することが望ましい。

たとえば転送先がイントラネット内であることを前記所定条件としているケースであって、画像処理装置が接続されているイントラネット内にメールサーバある場合、転送先のメールアドレスのドメインが、当該メールサーバのドメインと同一であるときには、転送先がイントラネット内であると判定することができるので、これによって条件判定手段は容易に転送先がイントラネット内であるか否か、すなわち所定条件を満たすか否かを判定することができる。

また、送信先の許可登録を受け付ける送信先登録手段をさらに備え、前記所定条件は、送信先が許可登録されているものであることが望ましい。
これにより、安全性の高い転送先を事前に許可登録することによって、許可登録されていない転送先には転送データを暗号化処理して転送する構成となるので、高い安全性を確保することができる。

ここで、前記条件判定手段の判定結果によって異なる処理を実行する通常モードに加えて、前記条件判定手段の判定結果にかかわらず、転送データ全てを前記暗号化手段によって暗号化する高セキュリティモードをさらに備え、前記通常モードと、前記高セキュリティモードとの切り換えを受け付ける切換受付手段をさらに備えることが望ましい。
これにより、たとえば、他社からの出向社員が同じフロアで仕事をすることになった状況で、当該出向社員に社内の情報が漏れないセキュリティを施したい場合等には、高セキュリティモードに設定することによって、上述の状況のような場合であっても情報の漏洩を防止することができる。

また、前記認証判断手段によって前記公開鍵証明書が正当なものでないと判定がなされた場合に、その旨を表示する表示手段をさらに備えることが望ましい。
これにより、データが転送されなかったことをユーザに認識させることができ、転送先本人に有効な公開鍵証明書の送付を依頼する等の事後対処の必要性をユーザに促すことができる。

ここで、前記送信手段は、前記認証判断手段によって前記公開鍵証明書が正当なものでないと判定がなされた場合には、送信先へ送信データを送信しないことが望ましい。
これにより、送信データに関する情報の流出を防止することができる。
本発明に係るデータ送信方法は、データを送信先へ送信するデータ送信方法であって、送信先が所定条件を満たすか否かを判定する条件判定ステップと、前記条件判定ステップによって送信先が所定条件を満たさないと判定された場合に、送信先に対応して登録されている公開鍵証明書を取得する取得ステップと、前記取得ステップで取得した前記公開鍵証明書が正当な認証を受けているか否かを判定する判定ステップと、前記判定ステップにより認証が正当なものであると判定された場合に、前記公開鍵証明書に対応する公開鍵で前記送信データを暗号化する暗号化ステップと、送信先が前記所定条件を満たさない場合には、前記暗号化ステップによって暗号化された送信データを送信先へ送信するとともに、送信先が前記所定条件を満たす場合には、暗号化することなく送信データを送信先へ送信する送信ステップとを含むことを特徴としている。

上記構成では、送信先に応じて、送信データを暗号化するか否かを判断しているので、送信先に応じたセキュリティ処理を施すことができる。加えて、送信データを暗号化する際には、正当な認証を受けている公開鍵によって暗号化するので、いわゆるなりすましを防止することができる。
本発明に係るプログラムは、データを送信先へ送信する画像処理装置または転送装置において実行されるプログラムであって、送信先が所定条件を満たすか否かを判定する条件判定ステップと、前記条件判定手段によって送信先が前記所定条件を満たさないと判定された場合に、送信先に対応して登録されている公開鍵証明書を取得する取得ステップと、前記取得ステップで取得した前記公開鍵証明書が正当な認証を受けているか否かを判定する判定ステップと、前記判定ステップにより認証が正当なものであると判定された場合に、前記公開鍵証明書に対応する公開鍵で前記送信データを暗号化する暗号化ステップと、 送信先が前記所定条件を満たさない場合には、前記暗号化ステップによって暗号化された送信データを送信先へ送信するとともに、送信先が前記所定条件を満たす場合には、暗号化することなく送信データを送信先へ送信する送信ステップとをコンピュータに実行させることを特徴としている。

本発明に係るプログラムによれば、送信先に応じて、送信データを暗号化するか否かを判断しているので、送信先に応じたセキュリティ処理を施すことができる。加えて、送信データを暗号化する際には、正当な認証を受けている公開鍵によって暗号化するので、いわゆるなりすましを防止することができる。
本発明に係る記録媒体は、上記のプログラムを記録していることを特徴としている。

以下、本発明の実施の形態に係る画像処理装置、転送装置、データ送信方法、プログラムおよび記録媒体について、図面参照しながら説明する。
＜第１の実施の形態＞
はじめに、図１を参照しながら第１の実施の形態に係る画像処理装置について説明する。図１は、第１の実施の形態に係る画像処理装置を含む画像処理システムの全体構成を示す図である。

図１に示すように画像処理システムは、画像処理装置としての多機能デジタル複写機（Multiple Function Peripheral：以下、「ＭＦＰ」と表記する。）１０と、メールサーバ２と、クライアント端末３、４とが、たとえばＬＡＮ（Local Area Network）等の企業内ネットワーク５を介して接続されてなる。企業内ネットワーク５はインターネット７に接続されており、インターネット７に接続されている認証局（ＣＡ）６やクライアント端末８と通信可能になっている。

ＭＦＰ１０は、セットされた原稿の画像を読み取って画像データを得るスキャン機能、その画像データに基づいて原稿画像を印刷するコピー機能、クライアント端末３，４等からの印刷ジョブの実行指示を受け付けて印刷を行うプリント機能等を実行することができる。また、読み取って得られた画像データを指定の宛先に電子メールで送信するスキャンｔｏメール機能や、画像データなどの各種データをユーザの指示によりＢＯＸ部１８（図２参照）に保存するデータ保存機能等がある。

メールサーバ２は、企業内ネットワーク５を介してインターネット７に常時接続されており、企業内ネットワーク５内のユーザの電子メールの送受信を行なうコンピュータである。メールサーバ２は、インターネット７上のユーザに電子メールを送信するＳＭＴＰサーバと、企業内ネットワーク５内のユーザ宛てに送られてきた電子メールを保管し、ユーザからの受信要求に対応するＰＯＰ３サーバとを兼ねている。

クライアント端末３，４，８は、汎用のパーソナルコンピュータ（ＰＣ）であり、ネットワーク通信プログラムがインストールされており、既存の通信プロトコル（ＴＣＰ/ＩＰ(Transmission Control Protocol/Internet Protocol)等）により他の端末やＭＦＰ１０等と接続され、データの送受信が可能である。本例では、クライアント端末３，４は企業内ネットワーク５に接続されており、クライアント端末８は、企業内ネットワーク５以外のネットワークを介してインターネット７に接続されている。

認証局（Certificate Authority：以下、「ＣＡ」と表記する。）６は、公開鍵が確かに存在して、被認証人のものであることを証明する電子的な証明書を発行する機関である。ＣＡ６は、証明書発行依頼者（被認証人）を調査し、依頼者の身元が確かで依頼内容に間違いがないことを確認したら公開鍵証明書を発行する。
（ＭＦＰの構成）
つぎに、図２を参照しながらＭＦＰ１の構成について説明する。図２は、ＭＦＰ１の構成を示すブロック図である。

図２に示すように、ＭＦＰ１は、主な構成要素として、制御部１１、スキャナ部１６、操作部１７、ＢＯＸ部１８、証明書登録部１９、証明書判定部２０、暗号化部２１を備えている。
制御部１１は、主な構成要素として、ＣＰＵ１２、インターフェース（Ｉ／Ｆ）部１３、ＲＡＭ１４、ＲＯＭ１５を備えている。

ＣＰＵ（Central Processing Unit）１２は、ＲＯＭ１５から必要なプログラムを読み出して、タイミングを計りながら各種動作を統一的に制御して円滑な動作を実行させる。
インターフェース部１３は、ＣＰＵ１０とＬＡＮ等のネットワークとを接続するためのＬＡＮカード、ＬＡＮボード等であり、企業内ネットワーク５を介して、クライアント端末３，４から送信されてくるデータを受信してＣＰＵ１２へ送る。また、ＲＡＭ１４やＢＯＸ１８に保存されているデータを、企業内ネットワーク５を介してクライアント端末３，４，８へ送信する。

ＲＡＭ（Random Access Memory）１４は、揮発性のメモリであって、ＣＰＵ１１におけるプログラム実行時のワークエリアとなる。
ＲＯＭ（Read Only Memory）１５には、スキャナ部１６における画像読取動作に関するプログラムや、データ送信動作に関するプログラム等の各種プログラムが格納されている。

スキャナ部１６は、セットされた原稿の画像を読み取って画像データを得る装置である。
操作部１７は、テンキー、スタートキー、液晶表示パネル等を有しており、ユーザからの指示の入力を受け付ける。ユーザによって各キーが押下されると、その情報がＣＰＵ１２へ伝達される。また、操作部１７は、ＭＦＰ１のモード切り換えを受け付ける機能を有している。本例では、ＭＦＰ１は通常モードと高セキュリティモードとを備えており、ユーザは操作部１７において、任意にこれら２つのモードを切り換えることができる。

ＢＯＸ部１８は、ハードディスクドライブ等の不揮発性の記憶手段であり、画像データを保存する格納領域（不図示）が設けられている。
証明書登録部１９は、宛先に対応させて公開鍵証明書を登録する。
証明書判定部２０は、送信先に対応して登録されている公開鍵証明書が正当な認証を受けているか否かを判定する。

暗号化部２１は、証明書判定部２０によって正当であると判定された公開鍵証明書に添付されている公開鍵を用いて、送信データを暗号化する。
つぎに、本実施の形態に係るＭＦＰ１の特徴について述べる。本実施の形態に係るＭＦＰ１は、たとえば企業内ネットワーク５のみを介して送信され、セキュリティ上の安全性が高い送信先には、暗号化処理を施すことなくそのままのデータを送信する。一方、たとえばインターネット７を介して送信されるセキュリティ上の安全性が低い送信先には、送信データを暗号化して送信する。送信データの暗号化方式としては公開鍵暗号化方式を採用する。加えて、いわゆるなりすましを防止するために、送信先に対応して登録されている公開鍵が正当なものであるかを判定し、公開鍵が正当であると判定された場合のみに、当該公開鍵によって暗号化して送信データを送信先へ送信する。

ここで、なりすましを防止するためには、送信データを暗号化するのに用いる公開鍵が正当なものであるかどうか、他人のものでないか、また改ざんされていないか等を検証する必要がある。これらを検証するために本例では公開鍵証明書が用いられる。
公開鍵証明書は、一般的にＩＴＵ（国際通信連合）が標準規約として定めているＸ．５０９と呼ばれる規約に従った形式で発行される。公開鍵証明書には、発行依頼者名、電子メールアドレス、公開鍵、有効期限などが書き込まれており、公開鍵証明書は証明書依頼者の本人性の証明と、公開鍵が当該依頼者のものであることを示す証書である。

そして発行される公開鍵証明書には、ＣＡの電子署名が添付されている。この場合の電子署名とは、公開鍵証明書の内容をハッシュ関数によって数値化してメッセージダイジェストを作成し、それをＣＡの秘密鍵で暗号化して公開鍵証明書に添付することである。公開鍵証明書を受け取った者は、公開鍵証明書を上述同様にハッシュ関数で数値化してメッセージダイジェストを作成するとともに、電子署名を復号化してメッセージダイジェストを取り出し、これら二つのメッセージダイジェストの一致性を確認することで、公開鍵証明書が改ざんされていないと認定することができる。

自身の公開鍵が正当なものであることを証明したい証明依頼者は、ＣＡ６に証明書の発行を依頼し、発行された証明書を自身の電子署名および文書、メッセージに添付して送信する。受信者はＣＡの公開鍵で電子署名を復号化してメッセージダイジェストを取り出す。同時に受け取った公開鍵証明書からハッシュ関数によってメッセージダイジェストを作成する。これらの２つのメッセージダイジェストが一致すれば、公開証明書は確かにＣＡ６が発行したもので、送信者本人の公開鍵に間違いないことが保証される。

つづいて、ＭＦＰ１への公開鍵証明書の登録方法について説明する。ここでは、ＭＦＰ１の管理者がクライアント端末３からＭＦＰ１へ公開鍵証明書を登録する場合について説明する。
ＭＦＰ１の管理者は、たとえばクライアント端末８のユーザから、電子メールによってメールアドレスおよび公開鍵証明書を電子データとして受け取る。

ＭＦＰ１の管理者は、企業内ネットワーク５を介してクライアント端末３からＭＦＰ１へアクセスする。ＭＦＰ１へアクセスすると、クライアント端末３のモニタ画面には、図３（ａ）に示すようなＭＦＰダイアログボックス３０が起動される。
ＭＦＰダイアログボックス３０には、印刷ボタン３１、宛先登録ボタン３２、設定ボタン３３があり、図３（ａ）では、宛先登録ボタン３３が選択されている状態を示している。

グループボックス３４は、宛先をグループ分けするもので、本例では「Ｃ」グループが選択されている。
ＩＤボックス３５には、選択されたグループ内の送信先ＩＤが登録されている。本例では「Ｃ２」が選択されている。
管理者はＩＤ入力ボックス３６、メールアドレス入力ボックス３７には、宛先のＩＤ、メールアドレスをそれぞれ入力する。本例では、ＩＤ入力ボックス３６には、ＩＤ「ＢＢＢ」が入力され、メールアドレス入力ボックス３７には、メールアドレス「ｚｚｚ＠ｐｑｒ．ｃｏ，ｊｐ」が入力されている。

公開鍵証明書入力ボックス３８には、公開鍵証明書のファイルパスを入力する。入力の仕方としては、はじめにファイル選択ボタン３９を押下する。すると、図３（ｂ）に示すようなファイル選択ダイアログボックス５０が起動する。管理者は、「ファイルの場所」指定ボックス５１において公開鍵証明書が存在するファイルの場所を指定して、ファイルリスト５２の中から公開鍵証明書を選択する。本例では「ｓｙｏｕｍｅｉｓｙｏ．ｋｅｙ」を選択して、「開く」ボタン５４を押下する。すると、図３（ａ）の公開鍵証明書入力ボックス３８に選択されたファイルパスが入力される。

入力が終了したら登録ボタン４０を押下する。これにより各種データがＭＦＰ１に送信されて、宛先ＩＤ、メールアドレスに対応して公開鍵証明書が登録される。
（ＭＦＰの動作）
つぎに、図４を参照しながら、ＭＦＰ１の動作について説明する。図４はＭＦＰ１の動作を示すフローチャートである。ここでは、ＭＦＰ１から送信先へスキャンｔｏメールをする場合について説明する。

スキャンｔｏメールが実行され、送信処理（送信データ及び送信先の指定）を受け付けると（ステップＳ１０１：ＹＥＳ）、現在本機において設定されているモードがいずれであるかを判断する（ステップＳ１０２）。具体的には、操作部１７においてユーザにより設定されているモードを判別する。
設定されているモードが通常モードである場合（ステップＳ１０２：通常モード）は、送信先がイントラネット内であるか否かを判定する（ステップＳ１０３）。送信先がイントラネット内かイントラネット外であるかは、送信先のメールアドレスのドメインによって判定する。

すなわち、図１において、ＭＦＰ１が接続されている企業内ネットワーク５のメールサーバ２のドメイン「ａｂｃ．ｃｏ．ｊｐ」と同じドメインを有するメールアドレスへ送信する場合（たとえば、クライアント端末３，４へ送信する場合）には、当該送信先はイントラネット内であると判定する。また、ＭＦＰ１が接続されている企業内ネットワーク５のメールサーバ２のドメインと異なるドメインを有するメールアドレスへ送信する場合（たとえば、クライアント端末８へ送信する場合）には、当該送信先はイントラネット外であると判定する。

図４に戻って、送信先がイントラネット内である場合（ステップＳ１０３：ＹＥＳ）は、送信データをそのまま送信先へ送信する（ステップＳ１０９）。
送信先がイントラネット外である場合（ステップＳ１０３：ＮＯ）には、送信先に対応して登録されている公開鍵証明書を証明書登録部１９から取得する（ステップＳ１０４）。

そして、証明書判定部２０によって、取得した公開鍵証明書が正当な認証を受けているか否かを判定する（ステップＳ１０５）。具体的には、公開鍵証明書を発行しているＣＡが、予めＭＦＰ１が許可している認証局であるかを判断する。さらに、ＭＦＰ１は公開鍵証明書に添付されているＣＡの公開鍵で電子署名を復号化してメッセージダイジェストを取り出す。また、公開鍵証明書そのものからハッシュ関数によってメッセージダイジェストを作成する。これらの２つのメッセージダイジェストが一致している場合は、公開証明書は確かにＣＡが発行したもので、送信先本人の公開鍵に間違いないと認定される。

またこれに併せて、公開鍵証明書が有効であるか否かも判定することが好ましい。たとえば、公開鍵証明書の期限が有効期限内であるか、公開鍵証明書が失効していないか等を判定してもよい。
証明書判定部２０によって、公開鍵証明書が正当な認証を受けていると判定された場合には（ステップＳ１０６：ＹＥＳ）、送信データを当該公開鍵によって暗号化し（ステップＳ１０８）、送信先へ送信する（ステップＳ１０９）。

証明書判定部２０によって、公開鍵証明書が正当なものであると判定されなかった場合には（ステップＳ１０６：ＮＯ）、操作部の表示パネルに公開鍵が不許可である旨のメッセージを表示する（ステップＳ１０７）。この場合は、データを送信先に送信することなく終了する。これにより、送信データに関する情報の流出を防止することができる。ユーザは操作部に不許可の旨が表示されたメッセージを確認した場合には、送信先本人に有効な公開鍵証明書の送付を依頼する等の事後対処を行う。

以上のように、本実施の形態に係るＭＦＰ１によれば、送信先に応じて送信データを暗号化する否かを判断しているので、送信先に応じたセキュリティ処理を施すことができる。加えて、送信データを暗号化する際には、正当な認証を受けている公開鍵によって暗号化するので、なりすましを防止することができる。
つぎに、ステップＳ１０２に戻って、設定されているモードが高セキュリティモードである場合について説明する。送信処理を受け付けたとき（ステップＳ１０１：ＹＥＳ）に設定されているモードが高セキュリティモードである場合（ステップＳ１０２：高セキュリティモード）、ステップＳ１０３の判断ステップを飛ばして、ステップＳ１０４へ進み、上述したステップＳ１０４からステップＳ１０９の動作を実行する。

このように、高セキュリティモードに設定することによって、すべての送信データが暗号化されるので、たとえば、他社からの出向社員が同じフロアで仕事をすることになった状況で、当該出向社員に社内の情報が漏れないセキュリティを施したい場合等には、高セキュリティモードに設定することによって、このようなケースであっても情報の漏洩を防止することができる。

＜第２の実施の形態＞
つぎに、第２の実施の形態に係る転送装置について説明する。図５は、第２の実施の形態に係る転送装置を含む転送システムの全体構成を示す図である。図５は、図１において、企業内ネットワーク５に転送装置１０がさらに接続されているものである。したがって、ここでは第１の実施の形態と重複する説明は省略することとし、相違点のみについて説明する。

本実施の形態に係る転送システムでは、ＭＦＰ１においてデータを送信先へ送信する旨の指示を受け付けると、送信データがいったん転送装置１０へ転送され、転送装置１０から指定された送信先へデータが送信される。
（転送装置の構成）
図６を参照しながら、転送装置１０の構成について説明する。図６は、転送装置１０の構成を示すブロック図である。

図６に示すように、転送装置１０は、主な構成要素として、制御部６１、データ受信部６６、証明書登録部６７、証明書判定部６８、暗号化部６９、データ送信部７０、モード切換部７１、表示部７２を備えている。
制御部１１は、主な構成要素として、ＣＰＵ６２、インターフェース（Ｉ／Ｆ）部６３、ＲＡＭ６４、ＲＯＭ６５を備えている。

ＣＰＵ（Central Processing Unit）６２は、ＲＯＭ６５から必要なプログラムを読み出して、タイミングを計りながら各種動作を統一的に制御して円滑な動作を実行させる。
インターフェース部６３は、ＣＰＵ６２とＬＡＮ等のネットワークとを接続するためのＬＡＮカード、ＬＡＮボード等であり、企業内ネットワーク５を介して、ＭＦＰ１から送信されてくるデータを受信してＣＰＵ６２へ送る。また企業内ネットワーク５を介して、ＲＡＭ６４に保存されているデータをクライアント端末３，４，８へ送信する。

ＲＡＭ（Random Access Memory）６４は、揮発性のメモリであって、ＣＰＵ１１におけるプログラム実行時のワークエリアとなる。
ＲＯＭ（Read Only Memory）６５には、データ受信動作に関するプログラムや、データ送信動作に関するプログラム等の各種プログラムが格納されている。
データ受信部６６は、Ｉ／Ｆ部６３を介して、ＭＦＰ１から送信されてくるデータを受信する。

証明書登録部６７は、宛先に対応させて公開鍵証明書を登録する。なお、証明書登録部６７への公開鍵証明書の登録方法は、第１の実施の形態における公開鍵証明書の登録方法に準ずるので説明は省略する。
証明書判定部６８は、送信先に対応して登録されている公開鍵証明書が正当な認証を受けているか否かを判定する。

暗号化部６９は、証明書判定部６８によって正当であると判定された公開鍵証明書に添付されている公開鍵を用いて、送信データを暗号化する。
データ送信部７０は、Ｉ／Ｆ部６３を介して、ネットワーク上の送信先へデータを送信する。
モード切換部７１は、ユーザからセキュリティモードの切り換えを受け付ける。本例では、通常モードと高セキュリティモードとを備えており、ユーザはモード切換部７１において、任意にこれらの２つのモードを切り換えることができる。

表示部７２は、液晶パネルからなり、ユーザに情報を通知するための各種メッセージを表示する。
（転送装置の動作）
つづいて図７を参照しながら転送装置１０の動作について説明する。図７は、転送装置１０の動作を示すフローチャートである。

ＭＦＰ１からデータを受信すると（ステップＳ２０１：ＹＥＳ）、現在本機において設定されているモードがいずれであるかを判断する（ステップＳ２０２）。
設定されているモードが通常モードである場合（ステップＳ２０２：通常モード）は、送信先がイントラネット内であるか否かを判定する（ステップＳ２０３）。送信先がイントラネット内かイントラネット外であるかは、送信先のメールアドレスのドメインによって判定する。判定方法は、第１の実施の形態において記載した方法に準ずるのでここでの説明は省略する。

送信先がイントラネット内である場合（ステップＳ２０３：ＹＥＳ）は、送信データをそのまま送信先へ送信する（ステップＳ２０９）。
送信先がイントラネット外である場合（ステップＳ２０３：ＮＯ）には、送信先に対応して登録されている公開鍵証明書を証明書登録部６７から取得する（ステップＳ２０４）。

そして、証明書判定部６８によって、取得された公開鍵証明書が正当な認証を受けているか否かを判定する（ステップＳ２０５）。具体的には、公開鍵証明書を発行しているＣＡが、予め転送装置１０が許可している認証局であるかを判断する。さらに、転送装置１０は公開鍵証明書に添付されているＣＡの公開鍵で電子署名を復号化してメッセージダイジェストを取り出す。また、公開鍵証明書そのものからハッシュ関数によってメッセージダイジェストを作成する。これらの２つのメッセージダイジェストが一致している場合は、公開証明書は確かにＣＡが発行したもので、送信先本人の公開鍵に間違いないと判定される。

またこれに併せて、公開鍵証明書が有効であるか否かも判定することが望ましい。たとえば、公開鍵証明書の期限が有効期限内であるか、公開鍵証明書が失効していないか等を判定してもよい。
証明書判定部６８によって、公開鍵証明書が正当な認証を受けていると判定された場合には（ステップＳ２０６：ＹＥＳ）、送信データを当該公開鍵によって暗号化し（ステップＳ２０８）、送信先へ送信する（ステップＳ２０９）。

証明書判定部６８によって、公開鍵証明書が正当なものであると判定されなかった場合には（ステップＳ２０６：ＮＯ）、表示部７２に公開鍵証明書が不許可である旨のメッセージを表示する（ステップＳ２０７）。この場合は、データを送信先に送信することなく終了する。これにより、送信データに関する情報の流出を防止することができる。ユーザは表示部７２に不許可の旨が表示されたメッセージを確認した場合には、送信先本人に有効な公開鍵証明書の送付を依頼する等の事後対処を行う。

以上のように、本実施の形態に係る転送装置１０によれば、転送先に応じて転送データを暗号化する否かを判断しているので、転送先に応じたセキュリティ処理を施すことができる。加えて、転送データを暗号化する際には、正当な認証を受けている公開鍵によって暗号化するので、なりすましを防止することができる。
つぎに、ステップＳ２０２に戻って、設定されているモードが高セキュリティモードである場合について説明する。ＭＦＰ１からデータを受信したとき（ステップＳ２０１：ＹＥＳ）に設定されているモードが高セキュリティモードである場合（ステップＳ２０２：高セキュリティモード）、ステップＳ２０３の判定ステップを飛ばして、ステップＳ２０４へ進み、上述したステップＳ２０４からステップＳ２０９の動作を実行する。

このように、高セキュリティモードに設定することによって、すべての転送データが暗号化されるので、たとえば、他社からの出向社員が同じフロアで仕事をすることになった状況で、当該出向社員に社内の情報が漏れないセキュリティを施したい場合等には、高セキュリティモードに設定することによって、このようなケースであっても情報の漏洩を防止することができる。

＜変形例＞
以上、本発明を実施の形態に基づいて説明してきたが、本発明の内容が、上記の実施の形態に示された具体例に限定されないことは勿論であり、たとえば、以下のような変形例を考えることができる。
（１）第１の実施の形態においてはＭＦＰ１においてスキャンｔｏメールによってデータを送信する場合について説明しているが、これに限定されず、たとえばＭＦＰ１のＢＯＸ部１８に保存されている画像データを、電子メールで送信する場合も適用することができる。

また、上述の各実施の形態では、電子メールによるデータ送信を想定しているが、これに限定されない。たとえば、ＦＴＰ (File Transfer Protocol)などの通信プロトコルを利用してデータを送信する構成としてもよい。ＦＴＰであれば、送信先の機器が企業内ネットワーク５内の機器であるか否かは、送信先のＩＰアドレスのネットワーク部が企業内ネットワーク５のネットワークアドレスに一致するか否かにより判断することが可能となる。

（２）上述の各実施の形態において、高セキュリティモードのとき、イントラネット内の送信先については公開鍵証明書の認証を必要としない構成としてもよい。
また、送信先がイントラネット内／外で信頼できる認証局の指定を切り換えられる構成としてもよい。たとえば、イントラネット外の送信先には、第三者の認証局が発行する公開鍵証明書であることを必要とするのに対し、ＭＦＰ１が接続されている企業内ネットワーク５内である送信先については、ＭＦＰ１の管理者が認証局の代わり発行した公開鍵証明書に基づいて送信データを処理する構成としてもよい。

（３）上述の各実施の形態においては、送信先がイントラネット内であるか否かによって処理を切り換えたが、送信先が許可登録されているか否かで処理を切り換える構成としてもよい。ここで「許可登録」とは、低いセキュリティで送信してもいい宛先を許可して登録することをいう。この場合、ＭＦＰ１、転送装置１０は、送信先の許可登録を受け付ける送信先登録部をさらに備え、ユーザから許可登録を認める送信先を受け付ける。ここで、許可登録を認める送信先としては、イントラネット内の送信先や、専用線を使って接続されている送信先等が考えられる。

（４）上記においては、送信先と公開鍵証明書との登録方法として、クライアント端末から登録する方法について説明したが、これに限定されない。
たとえば、ＭＦＰ１の操作部から直接送信先ＩＤとメールアドレスを入力し、公開鍵証明書についてはリムーバブルメディア（ＦＤ、ＨＤＤ、ＣＤＲＯＭ、ＤＶＤ、ＵＳＢメモリ等）を用いて入力して登録する構成としてもよい。また、公開鍵証明書を添付した電子メールをＭＦＰ１や転送装置１０に対して送付することによって、公開鍵証明書を登録することも可能である。さらに、詳細な情報をユーザがわざわざ入力するのではなく、ＬＤＡＰ（Lightweight Directory Access Protocol）のようなシステムにリンクすることで簡易にダウンロードして登録する構成であってもよい。

（５）上記各実施の形態においては、ＭＦＰ１、転送装置１０が自ら証明書登録部１９，６７を備える構成について説明したが、ＭＦＰ１、転送装置１０は、証明書登録部１９，６７を有しない構成であってもよい。この場合、たとえば送信先の宛先と公開鍵証明書とを対応付けて登録・管理する機能を有する管理サーバを企業内ネットワーク５に接続し、ＭＦＰ１、転送装置１０は、当該管理サーバから送信先に対応して登録されている公開鍵証明書を取得する構成としてもよい。

また、このような構成とすることによって、複数台のＭＦＰを企業内ネットワーク５に接続している場合には、管理サーバ１台で送信先の宛先と公開鍵証明書を一括管理することができる。なお、この場合、１台のＭＦＰが管理サーバを兼ねていてもよい。
（６）各実施の形態においては、公開鍵証明書の正当性が認められなかった場合に、送信先へのデータ送信が不許可である旨のメッセージをＭＦＰ１の操作部１７や、転送装置１０の表示部７２に表示する構成について説明しているが、たとえばクライアント端末３，４等からの指示でＭＦＰ１からデータを送信する場合等には、当該不許可である旨のメッセージをクライアント端末３，４等のモニタ画面にブラウザによって表示する構成としてもよい。これにより、ユーザはわざわざＭＦＰ１や転送装置１０まで不許可である旨のメッセージを確かめにいく必要がなくなるので、利便性の向上がはかられる。

（７）なお、本発明は、画像処理装置、転送装置に限られず、データ送信方法であるとしてもよい。さらに、その方法をコンピュータが実行するプログラムであるとしてもよい。また、当該プログラムは、例えば磁気テープ、フレキシブルディスク等の磁気ディスク、ＤＶＤ−ＲＯＭ、ＤＶＤ−ＲＡＭ、ＣＤ−ＲＯＭ、ＣＤ−Ｒ、ＭＯ、ＰＤなどの光記録媒体、フラッシュメモリ系記録媒体等、コンピュータ読み取り可能な各種記録媒体に記録することが可能であり、当該記録媒体の形態で生産、譲渡等がなされる場合もあるし、プログラムの形態でインターネットを含む有線、無線の各種ネットワーク、放送、電気通信回線、衛星通信等を介して伝送、供給される場合もある。

また、上記プログラムは、上記に説明した処理をコンピュータに実行させるための全てのモジュールを含んでいる必要はなく、例えば通信プログラムやオペレーティングシステム（ＯＳ）に含まれるプログラムなど、別途情報処理装置にインストールすることができる各種汎用的なプログラムを利用して、本発明の各処理をコンピュータに実行させるようにしても良い。したがって、上記した記録媒体に必ずしも上記全てのモジュールを記録している必要はないし、また必ずしも全てのモジュールを伝送する必要もない。さらに専用ハードウェアを利用して、所定の処理を実行させるようにすることができる場合もある。

本発明は、画像処理装置及び転送装置に広く適用することができる。また、本発明は、送信先に応じたセキュリティ処理を施すとともに、なりすましを防止可能な画像処理装置及び転送装置を提供することができるので、その産業的利用価値は極めて高い。

第１の実施の形態に係る画像処理装置を含む画像処理システムの全体構成を示す図である。 ＭＦＰ１の構成を示すブロック図である。 クライアント端末に表示されるダイアログボックスの一例を示す図であって、図３（ａ）は、ＭＦＰダイアログボックスの例、図３（ｂ）はファイル選択ダイアログボックスの例を示す図である。 ＭＦＰ１の動作を示すフローチャートである。 第２の実施の形態に係る転送装置を含む転送システムの全体構成を示す図である。 転送装置１０の構成を示すブロック図である。 転送装置１０の動作を示すフローチャートである。

符号の説明

１ ＭＦＰ
２ メールサーバ
３，４，８ クライアント端末
５ 企業内ネットワーク
６ 認証局（ＣＡ）
７ インターネット
１０ 転送装置
１１，６１ 制御部
１３，６３ インターフェース部
１９，６７ 証明書登録部
２０，６８ 証明書判定部
２１，６９ 暗号化部

Claims (15)

1. ネットワークに接続可能な画像処理装置であって、
   送信データ及び送信先の指定を受け付ける指定受付手段と、
   送信先が所定条件を満たすか否かを判定する条件判定手段と、
   前記条件判定手段により送信先が前記所定条件を満たさないと判定された場合に、送信先に対応して登録されている公開鍵証明書を取得する取得手段と、
   前記取得手段で取得した前記公開鍵証明書が正当な認証を受けているか否かを判定する認証判定手段と、
   前記認証判定手段により認証が正当なものであると判定された場合に、前記公開鍵証明書に対応する公開鍵で前記送信データを暗号化する暗号化手段と、
   送信先が前記所定条件を満たさない場合には、前記暗号化手段によって暗号化された送信データを送信先へ送信するとともに、送信先が前記所定条件を満たす場合には、暗号化することなく送信データを送信先へ送信する送信手段と
   を備えることを特徴とする画像処理装置。
2. 前記条件判定手段は、送信先のメールアドレスのドメインに基づいて、送信先が前記所定条件を満たしているか否かを判定すること
   を特徴とする請求項１記載の画像処理装置。
3. 送信先の許可登録を受け付ける送信先登録手段をさらに備え、
   前記所定条件は、送信先が許可登録されているものであること
   を特徴とする請求項１又は請求項２項記載の画像処理装置。
4. 前記条件判定手段の判定結果によって異なる処理を実行する通常モードに加えて、前記条件判定手段の判定結果にかかわらず、送信データ全てを前記暗号化手段によって暗号化する高セキュリティモードをさらに備え、
   前記通常モードと、前記高セキュリティモードとの切り換えを受け付ける切換受付手段をさらに備えること
   を特徴とする請求項１から請求項３のいずれか１項記載の画像処理装置。
5. 前記認証判断手段によって前記公開鍵証明書が正当なものでないと判定がなされた場合に、その旨を表示する表示手段をさらに備えること
   を特徴とする請求項１から請求項４のいずれか１項記載の画像処理装置。
6. 前記送信手段は、前記認証判断手段によって前記公開鍵証明書が正当なものでないと判定がなされた場合には、送信先へ送信データを送信しないこと
   を特徴とする請求項１から請求項５のいずれか１項記載の画像処理装置。
7. 画像処理装置からのデータを転送する転送装置であって、
   データを画像処理装置から受信する受信手段と、
   前記受信手段によって受信されたデータの転送先が所定条件を満たすか否かを判定する条件判定手段と、
   前記条件判定手段により送信先が所定条件を満たさないと判定された場合に、送信先に対応して登録されている公開鍵証明書を取得する取得手段と、
   前記取得手段で取得した前記公開鍵証明書が正当な認証を受けているか否かを判定する認証判定手段と、
   前記認証判定手段により認証が正当なものであると判定された場合には、前記公開鍵証明書に対応する公開鍵で前記送信データを暗号化する暗号化手段と、
   転送先が前記所定条件を満たさない場合には、前記暗号化手段によって暗号化された転送データを転送先へ送信するとともに、転送先が前記所定条件を満たす場合には、暗号化することなく転送データを転送先へ送信する送信手段と
   を備えることを特徴とする転送装置。
8. 前記条件判定手段は、送信先のメールアドレスのドメインに基づいて、転送先が前記所定条件を満たしているか否かを判定すること
   を特徴とする請求項７記載の転送装置。
9. 送信先の許可登録を受け付ける送信先登録手段をさらに備え、
   前記所定条件は、送信先が許可登録されているものであること
   を特徴とする請求項７または請求項８記載の転送装置。
10. 前記条件判定手段の判定結果によって異なる処理を実行する通常モードに加えて、前記条件判定手段の判定結果にかかわらず、転送データ全てを前記暗号化手段によって暗号化する高セキュリティモードをさらに備え、
    前記通常モードと、前記高セキュリティモードとの切り換えを受け付ける切換受付手段をさらに備えること
    を特徴とする請求項７から請求項９のいずれか１項記載の転送装置。
11. 前記認証判断手段によって前記公開鍵証明書が正当なものでないと判定がなされた場合に、その旨を表示する表示手段をさらに備えること
    を特徴とする請求項７から請求項１０のいずれか１項記載の転送装置。
12. 前記送信手段は、前記認証判断手段によって前記公開鍵証明書が正当なものでないと判定がなされた場合には、送信先へ送信データを送信しないこと
    を特徴とする請求項７から請求項１１のいずれか１項記載の画像処理装置。
13. データを送信先へ送信するデータ送信方法であって、
    送信先が所定条件を満たすか否かを判定する条件判定ステップと、
    前記条件判定ステップによって送信先が所定条件を満たさないと判定された場合に、送信先に対応して登録されている公開鍵証明書を取得する取得ステップと、
    前記取得ステップで取得した前記公開鍵証明書が正当な認証を受けているか否かを判定する判定ステップと、
    前記判定ステップにより認証が正当なものであると判定された場合に、前記公開鍵証明書に対応する公開鍵で前記送信データを暗号化する暗号化ステップと、
    送信先が前記所定条件を満たさない場合には、前記暗号化ステップによって暗号化された送信データを送信先へ送信するとともに、送信先が前記所定条件を満たす場合には、暗号化することなく送信データを送信先へ送信する送信ステップと
    を含むことを特徴とするデータ送信方法。
14. データを送信先へ送信する画像処理装置または転送装置において実行されるプログラムであって、
    送信先が所定条件を満たすか否かを判定する条件判定ステップと、
    前記条件判定手段によって送信先が前記所定条件を満たさないと判定された場合に、送信先に対応して登録されている公開鍵証明書を取得する取得ステップと、
    前記取得ステップで取得した前記公開鍵証明書が正当な認証を受けているか否かを判定する判定ステップと、
    前記判定ステップにより認証が正当なものであると判定された場合に、前記公開鍵証明書に対応する公開鍵で前記送信データを暗号化する暗号化ステップと、
    送信先が前記所定条件を満たさない場合には、前記暗号化ステップによって暗号化された送信データを送信先へ送信するとともに、送信先が前記所定条件を満たす場合には、暗号化することなく送信データを送信先へ送信する送信ステップと
    をコンピュータに実行させることを特徴とするプログラム。
15. 請求項１４記載のプログラムを記録していることを特徴とする記録媒体。

Images