JP2011130125A

JP2011130125A - 情報処理装置及びその制御方法、プログラム、記憶媒体

Info

Publication number: JP2011130125A
Application number: JP2009285758A
Authority: JP
Inventors: Shuri Yasukawa; 朱里安川
Original assignee: Canon Inc
Current assignee: Canon Inc
Priority date: 2009-12-16
Filing date: 2009-12-16
Publication date: 2011-06-30

Abstract

【課題】ユーザ操作内容に基づいて最適に監査証跡（監査履歴）を最適に生成する情報処理装置を提供する。
【解決手段】情報処理装置は、監査証跡取得の対象としている監査対象がセキュリティ機能で保護されているか否かを判定する監査証跡生成判定部と、前記判定部によって監査対象がセキュリティ機能で保護されていると判定された場合は、監査証跡を生成する監査証跡生成部とを備える。
【選択図】図２

Description

本発明は、ユーザ操作に基づいた監査証跡を最適に生成する情報処理装置、その制御方法及びプログラムに関するものである。

近年、機器内に機密文書等の重要なデータを管理する複合機などの情報処理装置において、ユーザの操作を監査証跡として記録することで、それらの重要なデータの利用を監査するシステムが開発されている（例えば、特許文献１参照）。特許文献１のデジタル計算装置では、多くの機能を有する複合機においてユーザの操作全てを監査証跡として記録すると監査証跡のデータ量が膨大になるため、各種動作を記録レベルに紐付けて効率的に監査証跡を記録している方法が開示されている。尚監査証跡とは監査ログ、監査履歴とも呼ばれている。

特開２００３−１７８２８５号公報

しかしながら、上述の従来システムでは効率的な監査証跡の記録を実施するために、静的に決められたルールに従って一定レベルの監査証跡を記録することは可能であるが、動的に変化する情報処理装置の設定に追随してルールを変更することはできない。

本発明はこのような点に鑑みてなされたもので、情報処理装置で管理される種々のデータに対する管理設定に応じた最適な監査証跡を取得することで、監査証跡を取得するコストや監査証跡のデータ量を削減する情報処理装置を提供することを目的とする。

上記の目的を達成するために本発明による情報処理装置は以下の構成を備える。即ち、
監査証跡を生成する情報処理装置において、
ユーザの操作に対して当該操作が許可されているか否かを判定するアクセス制御手段と、
前記アクセス制御手段によって操作が許可された場合は、許可した旨を記す許可チケットを発行する許可チケット発行手段と、
前記許可チケットと共に操作を実行するユーザ操作実行手段と、
前記許可チケットが存在する場合に監査対象が保護されていると判断する監査証跡生成判定手段と、
前記監査証跡生成判定手段によって監査対象が保護されていると判断された場合には、監査証跡を生成する監査証跡生成手段とを有する。

上記の目的を達成するために本発明による情報処理装置は以下の構成を備える。即ち、
情報処理装置であって、
監査証跡取得の対象としている監査対象がセキュリティ機能で保護されているか否かを判定する判定手段と、
前記判定手段によって監査対象が保護されていると判定された場合は、監査証跡を取得する監査証跡取得手段とを有する。

本発明によれば、監査の対象となる操作やデータに対する管理設定に応じて監査証跡（監査履歴）の必要性を自動的に判断することが可能となり、監査証跡取得のコストや監査証跡のデータ量の削減が可能となる。また、重要とされた操作やデータに対する監査証跡のみを取得することで、監査時に必要とされる監査証跡の選別を行う必要がなくなり監査者の負担の低減も可能となる。

本発明における複合機１（情報処理装置）のハードウェア構成図である。本発明における複合機１（情報処理装置）の制御を説明するブロック図である。複合機１（情報処理装置）内に保存されるアクセス制限情報を示す図である。本発明における監査対象とセキュリティ機能との関連を説明する図である。本発明の第１の実施形態における監査証跡の生成を示すフローチャート図である。本発明の第１の実施形態における監査証跡の例を示す図である。本発明の第２の実施形態における監査証跡の生成を示すフローチャート図である。本発明の第２の実施形態における監査証跡の例を示す図である。本発明の第３の実施形態におけるボックス暗証番号設定時のフローチャート図である。本発明の第３の実施形態における監査証跡の例を示す図である。

以下、本発明を実施するための最良の形態について、図面を参照して説明する。尚、説明文中の符号について、特に断りがない限りは実施形態の共通または類似部分について共通の符号を付することで、重複説明を省略するものとする。

図１は本実施形態の複合機１（情報処理装置）のハードウェア構成を説明するブロック図である。
図１において、１００１は複合機全体の情報処理の制御を司るＣＰＵであり、１００２はＣＰＵ１００１が実行する複合機制御プログラムやフォントデータを格納するＲＯＭである。１００３はＣＰＵ１００１のワークエリア、受信バッファ、画像描画に使用されるＲＡＭである。１００４は、各種プログラム、クライアント情報、文書画像データ、データベースなどを記録するハードディスク（ＨＤＤ）である。１００５は各種スイッチやボタン、並びに、メッセージ表示用の液晶表示部で構成される操作パネルである。１００６はネットワークに接続するためのネットワークインタフェース、１００７は記録紙に印刷を行うプリンタエンジン、１００８は原稿を読み取るためのスキャナエンジン、１００９はファクシミリの送受信を行うためのファクシミリ通信部である。

図２は、複合機１（情報処理装置）の構成をより詳細に説明するためのブロック図である。
操作部２００１は、ユーザが複合機１に対して操作パネル１００５に備わるタッチパネルやキーボード・スイッチなどによって入力した情報を受け付け、またそれら入力情報に対する出力結果を操作パネル１００５の液晶パネルに表示する。ユーザ情報管理部２００４では、複合機１を利用するユーザの情報の管理を行う。ユーザ情報としては、ユーザのＩＤ・パスワードと共に各ユーザに対するアクセス制限情報の管理も行われている。ユーザ認証部２００２では、操作部２００１で入力されるユーザ情報とユーザ情報管理部２００４で管理されるユーザ情報との比較によりユーザ認証処理を行う。アクセス制御部２００３ではユーザ認証部２００２で認証されたユーザに対してユーザ情報管理部２００４に保持されるアクセス制限情報に従って許可された機能の提供や許可されていない機能の制限等の処理を行う。ジョブ制御部２００５では、操作部２００１の入力に従って、複合機１のプリンタエンジン１００７及びスキャナエンジン１００８、ファクシミリ通信部１００９を制御してプリントジョブやスキャンジョブ、送受信ジョブを実行する。デバイス設定管理部２００６は、複合機１が保持する各種設定（ネットワーク設定や用紙設定、機能の設定などのデバイス設定機能）の管理を行う。ボックス管理部２００７は複合機１のＨＤＤ１００４に画像データを保持するためのボックスを管理する。ボックスはＨＤＤを文書の格納場所として利用する。ボックス文書管理部２００８はボックス内に保存される画像データである文書の管理を行う。監査証跡生成部２００９は操作部２００１からのユーザ操作に対する監査証跡の生成・管理を行う。尚、監査証跡とは監査ログ、監査履歴、監査対象のログ、監査対象の履歴を意味する。監査証跡生成判定部２０１０では、ユーザの各操作に対して監査証跡生成部２００９が監査証跡を生成する必要があるか否かを判定し、監査証跡生成部２００９に通知する役割を持つ。

次に複合機１が有する各種機能について説明する。
複合機１はジョブ制御部２００５によって、プリンタ機能、コピー機能、スキャン機能、更にそれらの機能で生成される画像データを複合機内のＨＤＤ１００４に保存し、後に画像データを再利用して印刷したり、複製したりするボックス機能を提供する。複合機１はＨＤＤ１００４に１００個のボックスを保有し、ボックス管理部２００７にて管理している。複合機１はそれぞれのボックスに対して画像データを保存するが、保存した画像データにアクセスできるユーザを限定するためにボックス暗証番号機能を更に有する（ボックス暗証番号認証機能）。ボックス暗証番号機能とは、各ボックスに対して予め暗証番号を付与しておくことで、暗証番号を知るユーザに対してのみ当該ボックス内の画像データのリスト参照や画像データの印刷・複製等の実行を可能とする機能である。ボックス暗証番号は管理設定としてボックス毎にボックスを利用するユーザによって設定される。このボックス暗証番号もボックス管理部２００７によって管理される。

また、複合機１は前述のプリンタ機能、コピー機能等の機能の利用を許可されたユーザのみに制限を行うアクセス制限機能も有する。アクセス制限機能とは、複合機利用時にユーザ認証を行い、認証された各ユーザに対して複合機の機能利用の許可／禁止を設定し、その設定に従ってユーザの複合機の各種機能の利用を制限する機能である。アクセス制限機能はアクセス制御部２００３において制御される。また、アクセス制御を行うためのアクセス制限情報として、複合機１は図３に示すのような各ユーザに対する複合機のアクセス制限情報をユーザ情報管理部２００４に保持しており、その制限情報に従ってユーザの利用できる機能を制限する。例えば図３では“ｕｓｅｒ０１”はコピー機能を利用する権限を持たない。そのため、“ｕｓｅｒ０１”が複合機にログイン後、コピー機能の利用を試みると複合機１は操作パネル１００５に「権限がありません。」とのメッセージを表示しコピー機能の利用を制限する。これらのアクセス制限情報は操作パネル１００５から管理者ユーザが設定可能であるが、ここではその方法の詳細について省略する。また、本実施形態ではユーザ毎にアクセス制限情報の設定を行っているが、グループ毎やロールでのアクセス制限情報の設定も可能であり、その方法は限定しない。

次に、監査証跡生成部２００９において制御される複合機１の監査証跡記録機能（監査証跡取得）について説明する。
複合機１は、ジョブ制御部２００５でのプリント機能、コピー機能等の実行や、ボックス管理部２００７で管理する画像データの利用を監査するために、複合機１に対するユーザの操作を監査証跡として記録する。監査証跡は監査証跡生成部２００９において生成され、記憶される。監査証跡として複合機１は、監査証跡のＩＤ、利用された日時（開始日時・終了日時）、監査対象情報（機能もしくは画像データ、ボックス番号等）、操作したユーザ情報、操作種別、結果等の項目を記録する。

本発明では、これらの監査証跡を効率よく記録するために、監査証跡生成判定部２０１０において前述のセキュリティ機能（ボックス暗証番号機能やアクセス制限機能）と監査対象である機能や画像データとの対応を基に監査証跡を生成するか否かを決定する。

例として図４に監査対象とセキュリティ機能の関連を示す。図４の「監査対象を保護するためのセキュリティ機能」とは前述したアクセス制御や暗証番号などのセキュリティ機能を示す。図４では、プリンタ機能、コピー機能などの複合機の機能に対しては、許可されたユーザのみ利用できるアクセス制限機能を、ボックス内の画像データに対してはボックスの暗証番号認証機能をセキュリティ機能として設定している。また、複合機１の各種管理設定機能については、管理者ユーザのみが設定変更できるようにアクセス制限を行う管理者ユーザ認証機能をセキュリティ機能とする。これらのセキュリティ機能の設定は監査対象となるそれぞれの機能、ボックス単位で変更が可能であり複合機の運用中にユーザもしくは管理者ユーザが自由に変更することが可能である。

そこで本発明では、このように「監査対象である機能やデータ」と「それらを保護するセキュリティ機能」との関連を基に、「監査対象である機能やデータ」に対する監査証跡を記録するか否かを決定する。

例えば、複合機１内に複数あるボックス機能が次に示すような運用状態であったとする。
・ボックス１は暗証番号を設定せず誰もがアクセス可能なボックス。
・ボックス２には暗証番号が設定されており、内部で管理される画像データを保護するボックス。

このような場合、ボックス１に保存される画像データは誰にでもアクセスできる公開画像データであり、その利用について監査は不要のため監査証跡の生成は行わない。しかし、ボックス２に保存される画像データは特定のユーザのみがアクセスできる機密な画像データであり、その利用について誰が操作したかの監査が必要であるため、監査証跡の生成を行う。

＜第１の実施形態＞
第１の実施形態における監査証跡生成方法を説明する。
図５は、第１の実施形態における監査証跡の生成処理に関するフローチャート図である。

まずステップ５０１において、操作部２００１は認証画面を表示してユーザにユーザ名とパスワードを入力させる。次にユーザ認証部２００２において入力されたユーザ情報に従ってユーザ認証を行う（ステップ５０２）。ステップ５０３においてユーザ認証が成功すれば、ステップ５０４にて操作部２００１はユーザの操作を受け付ける。ステップ５０３においてユーザ認証に失敗した場合は、操作部２００１は認証失敗のメッセージを表示し、再度ユーザにユーザ名とパスワードを入力させる。

ステップ５０４で操作部２００１はユーザの操作を受け付けた結果、ステップ５０５においてユーザ操作の対象がセキュリティ機能で保護されているか否かを確認する。判定処理の実行は操作対象によって異なり、プリント機能やコピー機能の実行操作であればアクセス制御部２００３で、ボックスの参照等ボックスへの操作であればボックス管理部２００７で行われる。ボックスへの操作は文書の保存、削除など文書操作機能である。ステップ５０５においてセキュリティ機能で保護されていないと判定された場合は、そのままステップ５０９の操作実行処理に移行する。ステップ５０５においてセキュリティ機能で保護されていると判定された場合は、ステップ５０６においてセキュリティ機能が実行される。ここで、操作対象がプリント機能やコピー機能であればアクセス制御部２００３がセキュリティ機能の実行を行う。アクセス制御部２００３はユーザ情報管理部２００４で管理されるユーザ情報から認証されたユーザのアクセス制限情報（図３）を取得する。アクセス制限情報を確認した結果、当該ユーザの操作が許可であればアクセス制御部２００３は操作の実行を許可する。当該ユーザの操作が禁止であれば「権限がないため実行できません。」とのメッセージを操作部２００１に表示するよう通知し、アクセス制御部２００３は操作の実行を拒否する。一方、操作対象がボックスへのアクセスであれば、ボックス管理部２００７がセキュリティ機能の実行を行う。ボックス管理部２００７はボックスへアクセスするための暗証番号をユーザに入力させるよう操作部２００１に要求し、操作部２００１は入力された暗証番号をボックス管理部２００７に送信する。ボックス管理部２００７では入力された暗証番号と管理している暗証番号とを比較し、ボックス暗証番号認証を行う。ステップ５０６におけるセキュリティ機能の実行の結果、ユーザの操作が続行可能であると確認されれば（ステップ５０７）、操作許可のチケットをアクセス制御部２００３もしくはボックス管理部２００７が発行（許可チケット発行）する（ステップ５０８）。許可チケットには、操作の許可を行ったセキュリティ機能のＩＤ、許可した操作内容が記載されている。ステップ５０７でユーザの操作が続行可能でないと判断された場合は、操作部２００１がユーザに対し操作不可であることを表示し、再度ユーザに操作を実施させる（ユーザ操作実行）。ステップ５０９ではジョブ制御部２００５もしくはボックス文書管理部２００８がユーザの指定した操作の実行を行う。実行が完了時には、監査証跡生成判定部２０１０がステップ５０８で発行された許可チケットがあるか否かを確認し、監査証跡の生成を行うか否かの判定を行う。監査証跡生成判定部２０１０は、許可チケットが存在する場合、つまりユーザ操作の対象がセキュリティ機能で保護されている場合に生成が必要と判断する。監査証跡の生成が必要と判断された場合はステップ５１１において監査証跡生成部２００９は監査証跡を生成する。監査証跡の生成の例を図６に示す。監査証跡として、監査証跡のＩＤ、操作日時（開始日時・終了日時）、操作したユーザ名、操作種別（文書削除、プリント、コピー等）、文書が格納されているボックス番号、文書名、操作結果が記録される。これらは監査証跡の例であり、各項目や監査の内容などはこれに限らない。

以上説明したように、本実施例によればユーザの操作対象がセキュリティ機能によって保護されているか否かによって監査証跡の生成有無を判断できる。その結果、必要な監査証跡のみを残せるようになる。従って、複合機の設定に最適な監査証跡のみが保存され、監査の際に監査証跡の取捨選択の手間を省くことが可能となる。

＜第２の実施形態＞
第１の実施形態では、ユーザの操作対象がセキュリティ機能によって保護されている場合にのみ監査証跡の生成を行ったが、セキュリティ機能によって保護されていない場合にでも監査証跡を残しておくことが有効となる場合もある。第２の実施形態では、セキュリティ機能によって保護されていない場合でも監査証跡を生成する方法について説明する。

図７は、第２の実施形態における監査証跡の生成処理に関するフローチャート図である。ステップ６０１からステップ６０９までは第１の実施形態と同様であるため説明を省略する。ステップ６１０において監査証跡生成判定部２０１０がステップ６０８で発行された許可チケットがあるか否かを確認する。許可チケットがある場合には、ステップ６１１において、監査証跡生成部２００９は監査証跡の生成を行う。ここで、第２の実施形態では、監査証跡生成部２００９はステップ６０８で発行された許可チケットに記載されているセキュリティ機能の機能ＩＤを監査証跡に保存する。セキュリティ機能ＩＤはセキュリティ機能の機能識別情報として利用される。第２の実施形態の監査証跡の例を図８に示す。図８の監査証跡には図６で示した監査証跡の項目に加えて、保護機能ＩＤが格納されている。操作対象を保護しているセキュリティ機能ＩＤを記録することで監査証跡を基に監査を行った際、不適当な操作等の処理が見つかった場合は、該当するセキュリティ機能の設定を変更するように監査者に提示することが可能となる。ステップ６１０において監査証跡生成判定部２０１０が許可チケットなしと判定した場合は、ステップ６１２において監査証跡生成部２００９は監査証跡の生成を行う。ステップ６１２では許可チケットがないため、セキュリティ機能ＩＤを取得することができない。図８にあるように許可チケットがない場合は、保護機能ＩＤに“−”を格納する。

以上のように、第２の実施形態では、全てのユーザの操作に対して監査証跡を残し、かつそれらの操作対象がセキュリティ機能によって保護されているかどうかを明確にする。これにより、監査の際に保護された対象については正しく保護が実施できているか、それ以外の操作に関しては不適当な操作がないかを監査時に容易に確認することが可能となる。

＜第３の実施形態＞
第１の実施形態及び第２の実施形態ではユーザ操作が行われた際の複合機（情報処理装置）の設定や状態に従って監査証跡を保存するか否かを決定していたが、セキュリティ機能の設定の変化点を知ることができない。セキュリティ機能の設定の変化を確認は、そのセキュリティ機能で保護される対象の監査開始・終了を示すことができ非常に重要である。そこで、第３の実施形態では、監査対象のセキュリティ保護開始を明確に示すための処理を説明する。

第３の実施形態では、ボックス暗証番号の設定を変更した際の監査証跡生成処理について図９のフローチャート図を用いて説明する。
まず、ステップ９０１にて操作部２００１でのユーザからの入力によってボックス管理部２００７がボックスの暗証番号の設定（新規登録もしくは削除）処理を受け付ける。次にステップ９０２にてボックス管理部２００７は当該ボックスに既に文書が保存されているかの検索を行う。ステップ９０３において、文書が保存されていると判断された場合は、監査証跡生成部２００９が監査証跡を生成する。監査証跡生成部２００９は、当該文書に対して暗証番号新規登録の場合は監査対象となったことを、暗証番号削除の場合は監査対象外（解除）となったことを示す監査証跡を生成する。図１０に第３の実施形態で生成される監査証跡の例を示す。図１０に示されるようにそれぞれ操作種別として「監査開始」「監査終了」として記録される。監査証跡の生成が完了すれば次の文書の検索を行う（ステップ９０５）。当該ボックスに保存されている文書全てに対して監査証跡の生成が完了すれば処理を終了する。

以上説明したように、本実施例によれば監査対象であるボックス内の文書が監査の対象か否かの状態変化点を示すことが可能となる。従って、監査対象の監査開始から終了までを明確に示すことができ、監査の際に監査証跡の取捨選択の手間を省くことが可能となる。また、監査対象毎（各機能、各ボックス）に本実施例を適用しても良い。

＜その他の実施形態＞
また本発明は、たとえば、システム、装置、方法、プログラムもしくは記憶媒体等としての実施態様をとることが可能である。具体的には、複数の機器から構成されるシステムに適用してもよいし、また、一つの機器からなる装置に適用してもよい。

また、本発明の目的は、以下の処理を実行することによっても達成される。即ち、上述した実施形態の機能を実現するソフトウェアのプログラムコードを記録した記憶媒体を、システム或いは装置に供給し、そのシステム或いは装置のコンピュータ（またはＣＰＵやＭＰＵ等）が記憶媒体に格納されたプログラムコードを読み出す処理である。この場合、記憶媒体から読み出されたプログラムコード自体が前述した実施の形態の機能を実現することになり、そのプログラムコード及び該プログラムコードを記憶した記憶媒体は本発明を構成することになる。

Claims

監査証跡を生成する情報処理装置において、
ユーザの操作に対して当該操作が許可されているか否かを判定するアクセス制御手段と、
前記アクセス制御手段によって操作が許可された場合は、許可した旨を記す許可チケットを発行する許可チケット発行手段と、
前記許可チケットと共に操作を実行するユーザ操作実行手段と、
前記許可チケットが存在する場合に監査対象が保護されていると判断する監査証跡生成判定手段と、
前記監査証跡生成判定手段によって監査対象が保護されていると判断された場合には、監査証跡を生成する監査証跡生成手段とを有することを特徴とする情報処理装置。
前記許可チケットにはユーザ操作を許可した前記アクセス制御手段の機能識別情報が含み、前記監査証跡生成手段は前記機能識別情報を監査証跡に記録することを特徴とする請求項１に記載の情報処理装置。
情報処理装置であって、
監査証跡取得の対象としている監査対象がセキュリティ機能で保護されているか否かを判定する判定手段と、
前記判定手段によって監査対象が保護されていると判定された場合は、監査証跡を取得する監査証跡取得手段とを有することを特徴とする情報処理装置。
前記監査対象とは、プリント機能、コピー機能、スキャン機能、文書操作機能、デバイス設定機能に対する操作を示すことを特徴とする請求項３に記載の情報処理装置。
前記セキュリティ機能とは、監査対象へのアクセスをユーザ毎に制限するアクセス制限機能であることを特徴とする請求項３に記載の情報処理装置。
前記セキュリティ機能とは、監査対象である文書の格納場所であるボックス毎に暗証番号を付与することで文書へのアクセスを制限するボックス暗証番号認証機能であることを特徴とする請求項３に記載の情報処理装置。
前記監査証跡取得の対象としている監査対象がセキュリティ機能による保護が開始された場合に、前記セキュリティ機能で保護される監査対象毎に監査開始を示す監査証跡を生成する監査証跡生成手段を有することを特徴とする請求項３に記載の情報処理装置。
前記監査証跡取得の対象としている監査対象がセキュリティ機能での保護が解除された場合に、前記セキュリティ機能で保護されていた監査対象毎に監査終了を示す監査証跡を生成する監査証跡生成手段を有することを特徴とする請求項３に記載の情報処理装置。
監査証跡を生成する情報処理装置の制御方法において、
ユーザの操作に対して当該操作が許可されているか否かを判定するアクセス制御工程と、
前記アクセス制御工程において操作が許可された場合は、許可した旨を記す許可チケットを発行する許可チケット発行工程と、
前記許可チケットと共に操作を実行するユーザ操作実行工程と、
前記許可チケットが存在する場合に監査対象が保護されていると判断する監査証跡生成判定工程と、
前記判定工程において監査対象が保護されていると判断された場合は、監査証跡を生成する監査証跡生成工程とを有することを特徴とする情報処理装置の制御方法。
情報処理装置の制御方法において、
監査証跡取得の対象としている監査対象がセキュリティ機能で保護されているか否かを判定する判定工程と、
前記判定工程において監査対象が保護されていると判定された場合は、監査証跡を取得する監査証跡取得工程とを有することを特徴とする情報処理装置の制御方法。
請求項９に記載の情報処理装置の制御方法をコンピュータで実行させるためのプログラム。
請求項１０に記載の情報処理装置の制御方法をコンピュータで実行させるためのプログラム。
請求項１１記載のプログラムを格納したコンピュータで読み取り可能な記憶媒体。
請求項１２記載のプログラムを格納したコンピュータで読み取り可能な記憶媒体。