JP2009015371A - 情報処理装置、画像形成装置、情報管理方法、及びプログラム - Google Patents

Abstract

【課題】改変されたファイルに対して柔軟にセキュリティポリシーを設定できるようにする。
【解決手段】クライアント端末１００３は、第２のファイルに対する新たなセキュリティポリシーを付加した印刷ジョブを生成し、画像形成装置１００４に渡す。画像形成装置１００４は、クライアント端末１００３から渡された印刷ジョブに基づいて中間データを生成し、セキュリティポリシーを第２のポリシーサーバ１００２に登録させる。第２のポリシーサーバ１００２は、第１のポリシーサーバ１００１との間でその項目を振り分けながらセキュリティポリシーを登録し、さらに暗号キーを生成する。画像形成装置１００４は、暗号キーを用いて中間データを暗号化し、保存する。
【選択図】図１

Description

本発明は、情報処理における情報セキュリティの管理を行う情報処理装置、画像形成装置、情報管理方法、及びプログラムに関する。

近年、電子化された文書（以下、電子文書と表記）が頻繁に利用されている。電子文書は、電子メールに添付することで第３者に簡単に送信して頒布することができ、非常に便利である。その一方で、電子文書の頒布の容易さが、情報の漏洩といった新たな問題を引き起こしている。

現在、ＰＤＦ（ポータブル・ドキュメント・フォーマット）などのファイルでは、表示、編集および印刷などの操作を制限する設定（以下、セキュリティポリシーという）によりファイルを保護するための技術が導入されている。このようなファイルでは、正当なユーザだけが印刷などの操作を実行することが可能である。

ところで、画像形成装置では、クライアント端末からネットワークを介して送られた印刷ジョブデータがベクタデータやビットマップなどに変換され、印刷用の中間データが生成される。この中間データは、編集、他の装置への送信および再印刷などの目的のために、画像形成装置のハードディスクドライブにファイルとして保存されることがある。このように、再利用を目的として画像形成装置のハードディスクドライブに中間データをファイルとして保存する機能をボックス機能と呼び、そのファイルシステムをボックスと呼ぶ。

ボックスに保存されたファイルは、機密情報を含むことがあるため、もとのファイルと同様にセキュリティポリシーにより保護されることが望ましい。特許文献１では、ボックスにパスワードを設定することで、正当なユーザだけがボックス内のファイルにアクセスできるようにしている。
特開平１１−２２７２６７号公報

クライアント端末などのコンピュータ上でセキュリティポリシーにより保護された第１のファイルは、ボックス機能などにより画像形成装置に第２のファイルとして保存される。このとき、第２のファイルは、第１のファイルのようにセキュリティポリシーにより保護することができない。第２のファイルを特許文献１に係るボックスに保存すれば、パスワードにより第２のファイルを保護することができる。しかし、第２のファイルが再利用などの目的で他の機器に送信される場合、パスワードによる保護は困難となる。

また、第１のファイルと第２のファイルの間でセキュリティポリシーを設定する項目が異なる場合、新たに追加された項目に対して制限をかける事ができない。

さらに、セキュリティポリシーが変更される場合、もとのセキュリティポリシーの項目と新たに追加された項目の間で整合性を保たれていることが望ましい。

本発明は、このような背景の下になされたもので、その目的は、改変されたファイルに対して柔軟にセキュリティポリシーを設定できるようにすることにある。

上記課題を解決するため、本発明に係る情報処理装置は、第１のセキュリティポリシーが設定された第１のファイルに基づいて第２のファイルを生成する生成手段と、前記生成手段により生成された第２のファイルに対して第２のセキュリティポリシーを設定する設定手段とを有している。

本発明によれば、改変されたファイルに対して柔軟にセキュリティポリシーを設定することが可能となる。

［第１の実施の形態］
図１は、本発明を適用した情報処理システムの概要を示すシステム構成図である。図１に示したように、この情報処理システムでは、第１のポリシーサーバ１００１、第２のポリシーサーバ１００２、クライアント端末１００３、画像形成装置１００４が、ネットワーク１００５により接続されている。なお、複数台のクライアント端末１００３、画像形成装置１００４を配備することも可能である。

第１のポリシーサーバ１００１は、第１のファイルに対して設定されたセキュリティポリシーを登録・管理するコンピュータである。第２のポリシーサーバ１００２は、第２のファイルに対して設定されたセキュリティポリシーを登録・管理するコンピュータである。

ここで、第１のファイルとは、第２のファイルが形成される際にその源（元）となったファイルを指す。第２のファイルとは、例えば、第１のファイルのデータ形式やファイル形式等を変換する、或いは編集、加筆・削除等の訂正を行う等、第１のファイルに対して何らかの処理、改変を行ったものを指す。

本実施の形態では、第１のファイルとしては、クライアント端末１００３で作成された文書データ、或いはクライアント端末１００３によりネットワーク１００５を介して取得・編集された文書データ等に係るファイルを想定している。また、第２のファイルとしては、画像形成装置１００４等で印刷すべく印刷用のラスタイメージデータ等に変換された文書データ等に係るファイルを想定している。また、セキュリティポリシーとしては、ファイル（文書データ）に対する表示、編集、印刷、送信等の操作を制限することが挙げられる。

クライアント端末１００３は、電子文書の作成、閲覧、編集、セキュリティポリシーの設定、及び印刷ジョブの生成等の機能を有するコンピュータである。画像形成装置１００４は、所謂複合機として構成され、スキャナ機能、プリンタ機能、通信機能を有している。また、画像形成装置１００４は、ボックス機能、すなわち、印刷用データに変換された文書データ（中間データ）を再利用に備えて当該画像形成装置１００４内に保存しておく機能も有している。

第１，第２のポリシーサーバ１００１，１００２、クライアント端末１００３を構成するコンピュータは、例えば図２のように構成されている。図２において、１０１はＣＰＵ、すなわち中央処理装置であり、装置全体の制御及び演算処理等を行う。１０２はＲＯＭすなわち読出し専用メモリであり、システム起動プログラム、基本Ｉ／Ｏプログラム、及び文字コードと対応付けられた文字パターンデータ（キャラクタジュネレータ）等を記憶している。１０３はＲＡＭ、すなわちランダムアクセスメモリであり、ＣＰＵ１０１の演算に使用するデータや演算結果、表示のために文字コードから変換された文字パターンデータ列や図形データ、イメージデータ等を一時記憶する。

１０４はディスプレイ制御部であり、ＲＡＭ１０３に格納された文字パターンデータ列等を読み出し、ディスプレイ装置１０５に転送して表示制御する。ディスプレイ装置１０５は、ディスプレイ制御部１０４から文字パターンデータ列、図形データ、イメージデータを受取り、表示画面に表示する。１０６はキーボード制御部であり、キーボード１０７からキー入力データ（文字コードや制御コード）を受取り、ＣＰＵ１０１へ伝達する。

１０８はディスク制御部であり、ハードディスク装置１０９に対するアクセス制御を行う。ハードディスク装置１０９は、文字パターンデータを読出してビットマップデータに変換する文字展開処理プログラム、図形データを処理する図形展開処理プログラム、イメージデータを処理するイメージデータ処理プログラム等を記憶している。なお、ハードディスク装置１０９には、ＯＳ（オペレーションプログラム）、当該コンピュータが第１，第２のポリシーサーバ１００１，１００２、クライアント端末１００３として機能する場合の後述する処理を行う制御プログラムも記憶されている。

１１０はネットワークインタフェイスカード（ＮＩＣ）であり、ネットワーク１１１上の他の機器との接続を確立し、当該他の機器との間で情報交換を行う。ネットワーク１１１は、多数のコンピュータがネットワークインタフェースを利用して接続するイントラネットのようなコンピュータネットワークを意味する。このネットワークには、図１に示したネットワーク１００５、後述する図４のＬＡＮ１００６，ＷＡＮ１００７も含まれる。

図３は、画像形成装置１００４の機械的な構成を示す模式図である。図３に示したように、画像形成装置１００４は、スキャナ部９２００とプリンタ部９３００を有している。

スキャナ部９２００は、原稿給送装置９２５０を搭載している。この原稿給送装置９２５０は、原稿を先頭から順に１枚ずつプラテンガラス９２１１上へ給送する。また、原稿給送装置９２５０は、各原稿の読取動作が終了する毎にその原稿をプラテンガラス９２１１から排出トレイ（図示省略）に排出する。

スキャナ部９２００は、原稿がプラテンガラス９２１１上に給送されると、後述するスキャナ制御部２０７０（図４参照）の制御により、ランプ９２１２を点灯し、移動ユニット９２１３の移動を開始する。この移動ユニット９２１３の移動により、プラテンガラス９２１１上に給送された原稿上の情報（画像）に対して光による読取走査が行われる。

この読取走査において、原稿からの反射光は、原稿画像を反映した画像光として、各ミラー９２１４，９２１５，９２１６およびレンズ９２１７を経てＣＣＤイメージセンサ部（以下、ＣＣＤ部という）９２１８に入射される。ＣＣＤ部９２１８は、画像光を光電変換してアナログの画像信号を生成する。そして、ＣＣＤ部９２１８は、アナログの画像信号を所定ビット数のデジタルの画像データに変換し、コントローラユニット２０００（図４参照）に出力する。

プリンタ部９３００は、レーザドライバ９３２１を有している。このレーザドライバ９３２１は、コントローラユニット２０００から入力された画像データに基づいて、レーザ発光部９３２２を駆動する。これにより、レーザ発光部９３２２からは画像データに応じたレーザ光が発光される。このレーザ光は、ポリゴンミラー９３２２ａにより偏向されながら感光ドラム９３２３に照射される。感光ドラム９３２３上には、照射されたレーザ光により静電潜像が形成される。この静電潜像は、現像器９３２４から供給されたトナーによりトナー像として可視像化される。

一方、画像記録用の記録紙については、給紙カセット９３１１，９３１２から給紙される。すなわち、記録紙は、給紙カセット９３１１又は９３１２から１枚単位でピックアップされる。このピックアップされた記録紙は、レーザ光の照射タイミングに同期して、搬送路を介して感光ドラム９３２３と転写部９３２５との間に給紙される。転写部９３２５は、感光ドラム９３２３上のトナー像を給紙に係る記録紙上に転写する。

トナー像が転写された記録紙は、搬送ベルトを介して定着ローラ対（加熱ローラと加圧ローラ）９３２６に搬送される。定着ローラ対９３２６は、加圧及び加熱により記録紙上のトナー像を当該記録紙上に定着させる。この定着ローラ対９３２６を通過した記録紙は、排紙ローラ対９３２７により排紙ユニット９３３０に排紙される。排紙ユニット９３３０は、ソート、ステイプルなどの後処理を施すことが可能なシート後処理装置を含んでいる。

また、両面記録モードが設定されている場合には、記録紙は、排紙ローラ対９３２７まで搬送された後に、排紙ローラ対９３２７の逆転により、フラッパ９３２８によって再給紙搬送路９３３９へ導かれる。その後、記録紙は、上述したタイミングで感光ドラム９３２３と転写部９３２５との間に、表裏反転された状態で再給紙される。従って、再給紙された記録紙に対しては、その裏面にトナー像が転写される。

図４は、画像形成装置１００４の電気的な構成を示すブロック図である。コントローラユニット２０００には、操作部２０１２、スキャナ制御部２０７０、プリンタ制御部２０９５が接続されている。コントローラユニット２０００は、操作部２０１２から入力されたコマンド等に基づいて、スキャナ制御部２０７０、プリンタ制御部２０９５を適宜制御することにより、コピー機能を実現する。また、コントローラユニット２０００は、ＬＡＮ１００６、公衆回線（ＷＡＮ）１００７との接続を確立し、クライアント端末１００３、第１，第２のポリシーサーバ１００１，１００２等の外部装置との間で各種のデータ・コマンドの送受信を行う。

コントローラユニット２０００は、システムバス２００７と画像バス２００８を有している。システムバス２００７と画像バス２００８は、イメージバスＩ／Ｆ（イメージインタフェース）２００５を介して接続されている。システムバス２００７には、ＣＰＵ２００１、ＲＡＭ２００２，ＲＯＭ２００３、ハードディスク装置（ＨＤＤ）２００４、操作部Ｉ／Ｆ２００６、ネットワークＩ／Ｆ２０１０、モデム２０５０、及び暗号化部２０５５が接続されている。

ＣＰＵ２００１は、ＲＯＭ２００３に格納されているブートプログラムによりオペレーションシステム（ＯＳ）を立ち上げる。さらに、ＣＰＵ２００１は、ＨＤＤ（ハードディスクドライブ）２００４に格納されているアプリケーションプログラム（制御プログラム）をＯＳ上で実行することによって各種処理を実行する。このＣＰＵ２００１の作業領域としてはＲＡＭ２００２が用いられる。

ＲＡＭ２００２は、作業領域とともに、画像データを一時記憶するための画像メモリ領域を提供する。ＲＯＭ２００３には、キャラクタジュネレータも格納されている。ＨＤＤ２００４には、ＯＳ、上記アプリケーションプログラム等が格納されている。

操作部Ｉ／Ｆ２００６は、タッチパネルを有する操作部２０１２とのインターフェースであり、操作部２０１２に表示する画像データを操作部２０１２に対して出力する。また、操作部Ｉ／Ｆ２００６は、操作部２０１２の操作に係る情報・コマンドをＣＰＵ２００１に送出する。

ネットワークＩ／Ｆ２０１０は、ＬＡＮ１００６に接続され、ＬＡＮ１００６上の外部装置との間で情報・コマンドの送受信を行う。モデム２０５０は、公衆回線１００７に接続された外部装置との間で情報・コマンドの送受信を行う。

暗号化部２０５５は、外部装置へ送信する文書画像データ等の情報に対して、セキュリティを図るべく暗号化処理を施す。この場合、スキャナ部９２００で読取られた画像データを外部装置に送信するときは、通常は、当該画像データそれ自体を暗号化部２０５５により暗号化して送信する。ただし、スキャナ部９２００で読取られた画像データが文字、記号のみで構成されている場合等においては、当該画像データを文字・記号コードに変換し、その文字・記号コードを暗号化部２０５５により暗号化して送信してもよい。この文字・記号コードへの変換処理は、ＲＯＭ２００３に格納されたキャラクタジュネレータに基づいて行うことができる。

なお、スキャナ部９２００で読取られた画像データ又はその文字・記号コード列を第１のポリシーサーバ１００１により管理させる場合には、次のようにする。すなわち、画像データ又はその文字・記号コード列を暗号化部２０５５により暗号化し、さらにＣＰＵ２００１によりファイル化してファイル名を付与し、そのファイル名と暗号キーを送信する。また、上記の暗号化に係るファイルは、再利用に備えて、ハードディスク装置２００４に保存することも可能である（ボックス機能）。

イメージバスＩ／Ｆ２００５は、システムバス２００７と画像データを高速で転送する画像バス２００８を接続し、データ構造を変換するためのバスブリッジである。画像バス２００８は、ＰＣＩバスまたはＩＥＥＥ１３９４により構成される。画像バス２００８には、ラスタイメージプロセッサ（ＲＩＰ）２０６０、デバイスＩ／Ｆ２０２０、スキャナ画像処理部２０８０、プリンタ画像処理部２０９０、画像回転部２０３０、及び画像圧縮部２０４０が接続されている。

ＲＩＰ２０６０は、ＰＤＬコードをビットマップイメージに展開するプロセッサである。デバイスＩ／Ｆ２０２０には、スキャナ制御部２０７０、プリンタ制御部２０９５が接続され、デバイスＩ／Ｆ２０２０は、画像データの同期系／非同期系の変換を行う。スキャナ画像処理部２０８０は、入力画像データに対し補正、加工、編集を行う。

また、プリンタ画像処理部２０９０は、プリント出力画像データに対してプリンタの補正、解像度変換などを行う。画像回転部２０３０は、画像データの回転を行う。画像圧縮部２０４０は、多値画像データをＪＰＥＧデータに、２値画像データをＪＢＩＧ、ＭＭＲ、ＭＨなどのデータに圧縮するとともに、その伸張処理を行う。

図５は、セキュリティポリシーの設定例を示す図である。第１のセキュリティポリシー５００１は、前述の第１のファイルに対するセキュリティポリシーである。この第１のセキュリティポリシー５００１は、例えば電子文書（文書データ）を表示する権限、編集する権限および印刷する権限などの操作権限を項目として持つ。

第２のセキュリティポリシー５００２は、前述の第２のファイルに対するセキュリティポリシーである。この第２のセキュリティポリシー５００２としては、第１のセキュリティポリシー５００１に係る項目に加え、第１のセキュリティポリシー５００１を拡張する項目や画像形成装置１００４の機能に対する項目などを追加することができる。第１のセキュリティポリシー５００１を拡張する項目としては、例えば、印刷権限を拡張した印刷レイアウトの変更をする権限、編集権限を拡張したフォントを置換する権限などがある。また、画像形成装置１００４の機能に対する項目としては、送信権限としてＦＡＸ送信をする権限などがある。

図６は、第１の実施の形態におけるポリシーサーバの機能を説明するための図である。クライアント端末１００３、画像形成装置１００４は、第２のポリシーサーバ１００２へアクセスすることでセキュリティポリシーの取得、登録および変更などの操作を行う。第２のポリシーサーバ１００２は、セキュリティポリシー管理部１２０１と、データベース部１２０２を有している。データベース部１２０２には、第２のファイル（文書データ）の第２のセキュリティポリシー５００２が登録されている。

セキュリティポリシー管理部１２０１は、クライアント端末１００３や画像形成装置１００４が第１のセキュリティポリシー５００１に係る操作を行うための要求を行った場合、第１のポリシーサーバ１００１と通信を行ってその要求に応える。同様に、セキュリティポリシー管理部１２０１は、第２のセキュリティポリシー５００２に係る操作を行うための要求がなされた場合、データベース部１２０２を操作することによりその要求に応える。

また、セキュリティポリシー管理部１２０１は、第２のセキュリティポリシー５００２を生成するときに第１のセキュリティポリシー５００１を参照し、関連する項目の初期値を設定する。例えば、第１のセキュリティポリシー５００１で編集権限が禁止に設定されている場合は、第２のセキュリティポリシー５００２の初期値として全てのページを編集禁止する旨の設定が行われる。

さらに、セキュリティポリシー管理部１２０１は、第１のセキュリティポリシー５００１や第２のセキュリティポリシー５００２が変更された場合に、互いに関連する項目を連動させて設定する。例えば、第１のセキュリティポリシー５００１の編集権限が許可から禁止に変更された場合は、第２のセキュリティポリシー５００２において全てのページが編集禁止として設定される。

図７は、第１の実施の形態における印刷処理の流れを示すシーケンス図である。ステップＳ２００１では、クライアント端末１００３は、第２のポリシーサーバ１００２に対して、第１のセキュリティポリシー５００１の取得を要求する。ステップＳ２００２では、第２のポリシーサーバ１００２は、第１のポリシーサーバ１００１に対して同様の取得要求を行う。ステップＳ２００３、Ｓ２００４では、第１のセキュリティポリシー５００１が第１のポリシーサーバ１００１から第２のポリシーサーバ１００２を経由しクライアント端末１００３に渡される。

ステップＳ２００５では、クライアント端末１００３は、プリンタドライバにセキュリティポリシー設定画面を表示し、セキュリティポリシー設定の入力をユーザに促す。ステップＳ２００６では、クライアント端末１００３は、入力されたセキュリティポリシー設定情報に基づいて新たなセキュリティポリシーを生成する。ステップＳ２００７では、クライアント端末１００３は、生成したセキュリティポリシーを付加した印刷ジョブを画像形成装置１００４に渡す。

ステップＳ２００８では、画像形成装置１００４は、第２のポリシーサーバ１００２に対して復号キーの取得を要求する。ステップＳ２００９では、第２のポリシーサーバ１００２は、第１のポリシーサーバ１００１に対して、当該復号キーの取得要求を行う。そして、ステップＳ２０１０では、第１のポリシーサーバ１００１は、当該要求に係る復号キーで復号されるべきファイル（文書データ）が印刷可能であるか否かを判別する。

ステップＳ２０１０で印刷可能と判断された場合、ステップＳ２０１１、Ｓ２０１２では、復号キーが第１のポリシーサーバ１００１から第２のポリシーサーバ１００２を経由し画像形成装置１００４に渡される。ステップＳ２０１３では、画像形成装置１００４は暗号化された文書データを復号する。ステップＳ２０１４では、画像形成装置１００４は印刷用の中間データを生成する。

ステップＳ２０１５では、画像形成装置１００４は、新たなセキュリティポリシーの登録を第２のポリシーサーバ１００２に要求する。ステップＳ２０１６では、第２のポリシーサーバ１００２は第１のセキュリティポリシー５００１を第１のポリシーサーバ１００１に登録し、ステップＳ２０１７で登録完了が通知される。ステップＳ２０１８では、第２のポリシーサーバ１００２は第２のセキュリティポリシー５００２をデータベース部１２０２に登録する。ステップＳ２０１９では、第２のポリシーサーバ１００２は新たな暗号キーを生成し、ステップＳ２０２０で生成した暗号キーを画像形成装置１００４に渡す。

ステップＳ２０２１では、画像形成装置１００４はステップＳ２０１４で生成した中間データを暗号化する。ステップＳ２０２２では、画像形成装置１００４は印刷ジョブ終了通知をクライアント端末１００３に渡し処理を終了する。それぞれの機器での詳細な手順について図８から図１３を用いて以下で説明する。

図８は、図７の印刷処理例におけるクライアント端末１００３による印刷ジョブ投入処理を示すフローチャートである。この処理は、クライアント端末１００３が新たなセキュリティポリシーを付加した印刷ジョブを生成し、画像形成装置１００４に渡す処理である。

クライアント端末１００３は、第１のセキュリティポリシー５００１を第２のポリシーサーバ１００２を介して取得する（ステップＳ２１０１）。このとき、第２のポリシーサーバ１００２によって第２のセキュリティポリシー５００２の初期値が設定される（図１０参照）。次に、クライアント端末１００３は、プリンタドライバのＵＩ（ユーザ・インタフェース）画面として、図１５や図１６のようなセキュリティポリシー設定画面を表示し、セキュリティポリシー設定情報の入力をユーザに促す（ステップＳ２１０２）。

ここで、図１５は第１のセキュリティポリシー５００１を設定する画面例である。また、図１６は第２のセキュリティポリシー５００２を設定する画面例である。

次に、クライアント端末１００３は、ユーザにより入力されたセキュリティポリシー設定情報に基づいて新たなセキュリティポリシーを生成する（ステップＳ２１０３）。次に、クライアント端末１００３は、生成したセキュリティポリシーを付加した印刷ジョブを画像形成装置１００４に投入（送信）する（ステップＳ２１０４）。この印刷ジョブ投入に対応する画像形成装置１００４の処理は、図９に基づいて後述する。

この印刷ジョブの投入により、画像形成装置１００４は、印刷ジョブを実行し、印刷正常終了や印刷不可などの印刷ジョブ終了状態をクライアント端末１００３に通知する。そこで、クライアント端末１００３は、印刷ジョブ終了状態の通知内容を表示し（ステップＳ２１０５〜Ｓ２１０７）、処理を終了する。

図９は、図７の印刷処理例における画像形成装置１００４による印刷ジョブ実行処理を示すフローチャートである。この処理は、画像形成装置１００４がクライアント端末１００３から渡された印刷ジョブをもとに、第２のポリシーサーバ１００２にセキュリティポリシーを登録し、暗号化した中間データを生成する処理である。

画像形成装置１００４は、印刷ジョブに係る文書データを復号するための復号キーを第２のポリシーサーバ１００２から取得する（ステップＳ２２０１）。このとき、第２のポリシーサーバ１００２は、当該文書データに対して印刷が許可されている場合は、当該文書データに係る復号キーを画像形成装置１００４に渡す。また、印刷が許可されていない場合は、復号不可な旨が第２のポリシーサーバ１００２から画像形成装置１００４に通知される。

そこで、画像形成装置１００４は、復号不可な旨の通知を第２のポリシーサーバ１００２から受けた場合は（ステップＳ２２０２）、その旨を更にクライアント端末１００３に通知して（ステップＳ２２０８）、本処理を終了する。

一方、復号キーを取得できた場合は、画像形成装置１００４は、その復号キーにより印刷ジョブに係る文書データを復号する（ステップＳ２２０３）。そして、画像形成装置１００４は、復号した文書データから印刷用の中間データを生成し、印刷処理を行う（ステップＳ２２０４）。

次に、画像形成装置１００４は、印刷ジョブに付加されているセキュリティポリシーの登録処理を、第２のポリシーサーバ１００２に依頼する（ステップＳ２２０５）。この登録依頼に応じて、第２のポリシーサーバ１００２は、中間データを暗号化するための暗号キーを画像形成装置１００４に渡す（図１３参照）。

そこで、画像形成装置１００４は、中間データを暗号キーにより暗号化し、再利用などの目的でハードディスクドライブなどに保存する（ステップＳ２２０６）。そして画像形成装置１００４は、印刷ジョブが正常に終了した旨をクライアント端末１００３に通知し（ステップＳ２２０７）、本処理を終了する。

図１０は、図７の印刷処理例における第２のポリシーサーバ１００２による第１のセキュリティポリシー５００１の取得処理を示すフローチャートである。この処理は、第２のポリシーサーバ１００２が第１のポリシーサーバ１００１から第１のセキュリティポリシー５００１を取得する処理であり、図８のステップＳ２１０１の処理に対応するものである。

第２のポリシーサーバ１００２は、第１のセキュリティポリシー５００１を第１のポリシーサーバ１００１から取得する（ステップＳ２３０１）。次に、第２のポリシーサーバ１００２は、取得した第１のセキュリティポリシー５００１に関連する第２のセキュリティポリシー５００２の項目に初期値を設定する（ステップＳ２３０２）。

次に、第２のポリシーサーバ１００２は、ステップＳ２３０１で取得した第１のセキュリティポリシー５００１をクライアント端末１００３へ渡す（ステップＳ２３０３）。次に、第２のポリシーサーバ１００２は、ステップＳ２３０２で設定した第２のセキュリティポリシー５００２の初期値をクライアント端末１００３へ渡し（ステップＳ２３０４）、本処理を終了する。

図１１は、図７の印刷処理例における第２のポリシーサーバ１００２による復号キー取得処理を示すフローチャートである。この処理は、第２のポリシーサーバ１００２が第１のポリシーサーバ１００１から文書データを復号するための復号キーを取得する処理であり、図９のステップＳ２２０１に対応する処理である。

第２のポリシーサーバ１００２は、印刷ジョブに係る文書データを復号するための復号キーを第１のポリシーサーバ１００１から取得する（ステップＳ２４０１）。このとき、当該文書データの印刷が許可されている場合は、第１のポリシーサーバ１００１から第２のポリシーサーバ１００２に復号キーが渡される（図１２参照）。また、印刷が許可されていない場合は、第１のポリシーサーバ１００１から第２のポリシーサーバ１００２に、復号不可な旨が通知される（図１２参照）。

そこで、第２のポリシーサーバ１００２は、復号キーを取得できた場合は、その復号キーを画像形成装置１００４に転送して（ステップＳ２４０２，Ｓ２４０３）、本処理を終了する。また、復号不可の場合は、第２のポリシーサーバ１００２は、その旨を画像形成装置１００４に通知して（ステップＳ２４０２，Ｓ２４０４）、本処理を終了する。

図１２は、図７の印刷処理例における第１のポリシーサーバ１００１による復号キー取得処理を示すフローチャートであり、本処理は、図１１のステップＳ２４０１に対応する処理である。

第１のポリシーサーバ１００１は、取得要求に係る復号キー（文書データ）に対する第１のセキュリティポリシー５００１を参照し、当該文書データに対して印刷が許可されているか否かを判別する（ステップＳ２５０１）。

その結果、印刷が許可されている場合は、第１のポリシーサーバ１００１は、当該文書データに係る復号キーを第２のポリシーサーバ１００２に渡し（ステップＳ２５０２）、本処理を終了する。一方、印刷が許可されていない場合は、第１のポリシーサーバ１００１は、復号不可な旨を第２のポリシーサーバ１００２に通知し（ステップＳ２５０３）、本処理を終了する。

図１３は、図７の印刷処理例における第２のポリシーサーバ１００２によるセキュリティポリシー登録処理を示すフローチャートである。この処理は、第２のポリシーサーバ１００２がセキュリティポリシーを登録する処理であり、図９のステップＳ２２０５に対応する処理である。

第２のポリシーサーバ１００２は、第１のセキュリティポリシー５００１の設定情報を第１のポリシーサーバ１００１に登録する（ステップＳ２６０１）。次に、第２のポリシーサーバ１００２は、第２のセキュリティポリシー５００２の設定情報をデータベース部１２０２に登録する（ステップＳ２６０２）。

そして、第２のポリシーサーバ１００２は、中間データを暗号化するための暗号キーを生成し（ステップＳ２６０３）、画像形成装置１００４に渡して（ステップＳ２６０４）、本処理を終了する。

図１４は、第２のポリシーサーバ１００２におけるセキュリティポリシー変更処理を示すフローチャートである。この処理は、ユーザがクライアント端末１００３、又は画像形成装置１００４を操作して第１のセキュリティポリシー５００１、又は第２のセキュリティポリシー５００２を変更した場合になされる処理である。

ユーザによる上記の変更操作がなされると、第２のポリシーサーバ１００２のセキュリティポリシー管理部１２０１は、第１のセキュリティポリシー５００１と第２のセキュリティポリシー５００２の互いに関連する項目を連動させる（ステップＳ２７０１）。この場合、セキュリティポリシー管理部１２０１は、例えば、変更操作により、第１のセキュリティポリシー５００１の編集権限が許可から禁止に変更された場合は、第２のセキュリティポリシー５００２において全ページを編集禁止にする。すなわち、第１又は第２のセキュリティポリシー５００１又は５００２の一方において或る項目の情報を変更すると、他方のセキュリティポリシー５００２又は５００１に係る関連する項目の情報が、矛盾のないような形態で自動的に変更処理される。

次に、セキュリティポリシー管理部１２０１は、第１のセキュリティポリシー５００１の設定情報を第１のポリシーサーバ１００１に登録する（ステップＳ２７０２）。次に、セキュリティポリシー管理部１２０１は、第２のセキュリティポリシー５００２の設定情報をデータベース部１２０２に登録し（ステップＳ２７０３）、本処理を終了する。

［第２の実施の形態］
第１の実施の形態では、プリンタドライバのＵＩ画面からセキュリティポリシーの設定情報を入力することで第２のセキュリティポリシー５００２を生成していた。これに対し、第２の実施の形態では、第１のセキュリティポリシー５００１から第２のセキュリティポリシー５００２への変換ルールを作成することで第２のセキュリティポリシー５００２を生成する。

図１７は、第２の実施の形態における第１のセキュリティポリシーから第２のセキュリティポリシーへの変換ルールの例を示す図である。例えば、第１のセキュリティポリシー５００１で編集が許可されている場合は、第２のセキュリティポリシー５００２でも編集は可能となる。しかし、この場合において、第１のセキュリティポリシー５００１での編集機能としてフォントの置換の機能が無かったとすると、第２のセキュリティポリシー５００２でのフォントの置換は禁止となる。

また、第１のセキュリティポリシー５００１で印刷が禁止されている場合は、第２のセキュリティポリシー５００２では、印刷処理に必然的に結びつくＦＡＸ送信が禁止となる。このように変換ルールを作成することで、ユーザによる入力操作を省略し、第２のセキュリティポリシー５００２を簡単に生成することが可能となる。

［第３の実施の形態］
第１の実施の形態では、第１のセキュリティポリシー５００１を参照して第２のセキュリティポリシー５００２を生成していた。これに対し、第３の実施の形態では、第１のセキュリティポリシー５００１を参照せずに第２のセキュリティポリシー５００２を生成する。

第３の実施の形態では、クライアント端末１００３は、第２のポリシーサーバ１００２にアクセスせずに第２のセキュリティポリシー５００２を生成することが可能となる。しかし、第１のセキュリティポリシー５００１を参照しないため、第１のセキュリティポリシー５００１とは関連のない第２のセキュリティポリシー５００２を生成することとなる。

［第４の実施の形態］
第１の実施の形態では、プリンタドライバのＵＩ画面からセキュリティポリシーの設定情報を入力することで第２のセキュリティポリシー５００２を生成していた。これに対し、第４の実施の形態では、画像形成装置１００４のリモートＵＩ画面（リモートユーザインタフェース画面）を用いてセキュリティポリシーの設定情報を入力し、第２のセキュリティポリシー５００２を生成する。

ここで、リモートＵＩについて説明する。リモートＵＩとは、外部から画像形成装置１００４の状態等の情報を取得、設定又はプリントや送信（Ｕｎｉｖｅｒｓａｌ−Ｓｅｎｄ）等の動作を行わせるための機能である。そして、ユーザは、ウェブブラウザ等を利用して、クライアント端末１００３から画像形成装置１００４にアクセスすることにより、リモートＵＩの機能を利用することができる。

第４の実施の形態では、セキュリティポリシーの設定情報は、リモートＵＩから入力される。そのため、クライアント端末１００３は、第２のポリシーサーバ１００２にアクセスせずに第２のセキュリティポリシー５００２を生成することが可能となる。

図１８は、第４の実施の形態における印刷処理の流れを示すシーケンス図である。ステップＳ３００１では、クライアント端末１００３は、画像形成装置１００４上の第２のポリシーサーバ１００２用のリモートＵＩにアクセスする。ステップＳ３００２では、画像形成装置１００４は、第２のポリシーサーバ１００２に対して第１のセキュリティポリシー５００１の取得を要求する。

ステップＳ３００３では、第２のポリシーサーバ１００２は、第１のポリシーサーバ１００１に同様の要求をする。ステップＳ３００４，Ｓ３００５では、第１のセキュリティポリシー５００１が第１のポリシーサーバ１００１から第２のポリシーサーバ１００２を経由し画像形成装置１００４に渡される。ステップＳ３００６では、画像形成装置１００４は、リモートＵＩ上にセキュリティポリシー設定画面を表示し、セキュリティポリシーの設定情報の入力をユーザに促す。なお、リモートＵＩ、すなわちセキュリティポリシー設定画面は、クライアント端末１００３の表示部（ＤＳＰ１０５）に表示される。

ステップＳ３００７では、クライアント端末１００３は、ユーザによる入力情報を画像形成装置１００４に渡す。ステップＳ３００８、Ｓ３００９では、画像形成装置１００４は、入力されたセキュリティポリシーの設定情報から新たなセキュリティポリシーを生成し、クライアント端末１００３に渡す。以降の処理は、図７のステップＳ２００７以降の処理と同様である。

図１９は、図１８の印刷処理例にけるクライアント端末による印刷ジョブ投入処理を示すフローチャートである。この処理は、クライアント端末１００３が新たなセキュリティポリシーを付加した印刷ジョブを生成し、画像形成装置１００４に渡す処理である。

クライアント端末１００３は、画像形成装置１００４のリモートＵＩにアクセスし、セキュリティポリシー設定画面を当該クライアント端末１００３のＤＳＰ１０５に表示させる（ステップＳ３１０１）。次に、クライアント端末１００３は、セキュリティポリシー設定画面上で入力されたセキュリティポリシーの設定情報を、画像形成装置１００４に渡す（ステップＳ３１０２）。この場合、画像形成装置１００４は、入力されたセキュリティポリシーの設定情報に基づいて新たなセキュリティポリシーを生成し、クライアント端末１００３に返す。

これ以降のステップＳ２１０４〜Ｓ２１０７の処理は、図８におけるステップＳ２１０４〜Ｓ２１０７の処理と同様なので、その説明を省略する。

図２０は、図１８の印刷処理例におけるリモートＵＩの画面表示処理を示すフローチャートである。この処理は、図１９のステップＳ３１０１に対応する処理であり、画像形成装置１００４がクライアント端末１００３からの要求によりセキュリティポリシー設定画面を表示する処理である。

画像形成装置１００４は、第１のセキュリティポリシー５００１を第２のポリシーサーバ１００２から取得する（ステップＳ３２０１）。このとき、第２のポリシーサーバ１００２によって第２のセキュリティポリシー５００２の初期値が設定される。次に、画像形成装置１００４は、セキュリティポリシー設定画面をクライアント端末１００３のＤＳＰ１０５に表示させ（ステップＳ３２０２）、本処理を終了する。

以上、様々な実施の形態を説明したが、本発明は、複数の機器から構成されるシステムに適用してもよいし、また、一つの機器からなる装置に適用してもよい。例えば、スキャナ、プリンタ、ＰＣ、複写機、複合機及びファクシミリ装置の如くである。

本発明は、前述した各実施形態の各機能を実現するソフトウェアプログラムを、システム若しくは装置に対して直接または遠隔から供給し、そのシステム等に含まれるコンピュータが該供給されたプログラムコードを読み出して実行することによっても達成される。

従って、本発明の機能・処理をコンピュータで実現するために、該コンピュータにインストールされるプログラムコード自体も本発明を実現するものである。つまり、上記機能・処理を実現するためのコンピュータプログラム自体も本発明の一つである。その場合、プログラムの機能を有していれば、オブジェクトコード、インタプリタにより実行されるプログラム、ＯＳに供給するスクリプトデータ等、プログラムの形態を問わない。

プログラムを供給するための記録媒体としては、例えば、フレキシブルディスク、ハードディスク、光ディスク、光磁気ディスク、ＭＯ、ＣＤ−ＲＯＭ、ＣＤ−Ｒ、ＣＤ−ＲＷなどがある。また、記録媒体としては、磁気テープ、不揮発性のメモリカード、ＲＯＭ、ＤＶＤ（ＤＶＤ−ＲＯＭ、ＤＶＤ−Ｒ）などもある。

また、プログラムは、クライアントコンピュータのブラウザを用いてインターネット／イントラネットのウェブサイトからダウンロードしてもよい。すなわち、該ウェブサイトから本発明のコンピュータプログラムそのもの、もしくは圧縮され自動インストール機能を含むファイルをハードディスク等の記録媒体にダウンロードしてもよいのである。

また、本発明のプログラムを構成するプログラムコードを複数のファイルに分割し、それぞれのファイルを異なるウェブサイトからダウンロードすることによっても実現可能である。つまり、本発明の機能処理をコンピュータで実現するためのプログラムファイルを複数のユーザに対してダウンロードさせるＷＷＷサーバも、本発明の構成要件となる場合がある。

また、本発明のプログラムを暗号化してＣＤ−ＲＯＭ等の記憶媒体に格納してユーザに配布してもよい。この場合、所定条件をクリアしたユーザにのみ、インターネット／イントラネットを介してウェブサイトから暗号化を解く鍵情報をダウンロードさせ、その鍵情報で暗号化されたプログラムを復号して実行し、プログラムをコンピュータにインストールしてもよい。

また、コンピュータが、読み出したプログラムを実行することによって、前述した実施形態の機能が実現されてもよい。なお、そのプログラムの指示に基づき、コンピュータ上で稼動しているＯＳなどが、実際の処理の一部または全部を行ってもよい。もちろん、この場合も、前述した実施形態の機能が実現され得る。

さらに、記録媒体から読み出されたプログラムが、コンピュータに挿入された機能拡張ボードやコンピュータに接続された機能拡張ユニットに備わるメモリに書き込まれてもよい。そのプログラムの指示に基づき、その機能拡張ボードや機能拡張ユニットに備わるＣＰＵなどが実際の処理の一部または全部を行ってもよい。このようにして、前述した実施形態の機能が実現されることもある。

本発明を適用した情報処理システムの全体構成を示す図である。 図１におけるクライアント端末、第１，第２のポリシーサーバを構成するコンピュータの構成図である。 図１における画像形成装置（複合機）の機械的な構成を示す模式図である。 上記画像形成装置の本発明の実施例における複合機の電気的な機能を示す機能ブロック図である。 セキュリティポリシーの設定例を示す図である。 本発明の第１の実施の形態におけるポリシーサーバの機能を示す図である。 上記第１の実施の形態における印刷処理例を示すシーケンス図である。 図７の印刷処理例におけるクライアント端末による印刷ジョブ投入処理を示すフローチャートである。 図７の印刷処理例における画像形成装置による印刷ジョブ実行処理を示すフローチャートである。 図７の印刷処理例における第２のポリシーサーバによる第１のセキュリティポリシー取得処理を示すフローチャートである。 図７の印刷処理例における第２のポリシーサーバによる復号キー取得処理を示すフローチャートである。 図７の印刷処理例における第１のポリシーサーバによる復号キー取得処理を示すフローチャートである。 図７の印刷処理例における第２のポリシーサーバによるセキュリティポリシー登録処理を示すフローチャートである。 第２のポリシーサーバによるセキュリティポリシー変更処理を示すフローチャートである。 第１のセキュリティポリシー設定画面例を示す図である。 第２のセキュリティポリシー設定画面例を示す図である。 第１のセキュリティポリシーから第２のセキュリティポリシーへの変換ルールを示す図である（第２の実施の形態）。 第４の実施の形態における印刷処理例を示すシーケンス図である。 図１８の印刷処理例にけるクライアント端末による印刷ジョブ投入処理を示すフローチャートである。 図１８の印刷処理例におけるリモートＵＩの画面表示処理を示すフローチャートである。

符号の説明

１００１…第１のポリシーサーバ
１００２…第２のポリシーサーバ
１００３…クライアント端末
１００４…画像形成装置
１２０１…セキュリティポリシー管理部
１２０２…データベース部
５００１…第１のセキュリティポリシー
５００２…第２のセキュリティポリシー

Claims (8)

1. 第１のセキュリティポリシーが設定された第１のファイルに基づいて第２のファイルを生成する生成手段と、
   前記生成手段により生成された第２のファイルに対して第２のセキュリティポリシーを設定する設定手段と、
   を有することを特徴とする情報処理装置。
2. 前記設定手段は、前記第２のセキュリティポリシーを設定するユーザインタフェースの画面を表示制御する表示制御手段を有することを特徴とする請求項１に記載の情報処理装置。
3. 前記設定手段は、前記第１のセキュリティポリシーを前記第２のセキュリティポリシーに引き継ぐ引き継ぎ手段を有することを特徴とする請求項１に記載の情報処理装置。
4. 前記設定手段は、前記第２のファイルのセキュリティポリシーが変更された場合に、互いのセキュリティポリシーの関連する項目の設定を連動させる連動手段を有することを特徴とする請求項３に記載の情報処理装置。
5. 前記第１のファイルの第１のセキュリティポリシーと前記第２のファイルの第２セキュリティポリシーを管理し、それぞれのセキュリティポリシーに対する処理を適切に振り分けることを特徴とする請求項３又は請求項４に記載の情報処理装置。
6. 第１のセキュリティポリシーが設定された第１のファイルを変換して第２のファイルを生成する生成手段と、
   前記生成手段により生成された第２のファイルに対して第２のセキュリティポリシーを設定する設定手段と、
   を有することを特徴とする画像形成装置。
7. 第１のセキュリティポリシーが設定された第１のファイルを変換して第２のファイルを生成する生成工程と、
   前記生成工程により生成された第２のファイルに対して第２のセキュリティポリシーを設定する設定工程と、
   を有することを特徴とする情報管理方法。
8. 第１のセキュリティポリシーが設定された第１のファイルを変換して第２のファイルを生成する生成ステップと、
   前記生成ステップにより生成された第２のファイルに対して第２のセキュリティポリシーを設定する設定ステップと、
   を有することを特徴とするプログラム。

Images