JP2015141603A - 画像処理装置およびその制御方法、並びにプログラム - Google Patents

Abstract

【課題】本発明は、暗号化データと非暗号化データが混在する環境においても、データ漏えいに対するセキュリティを保ちつつ、データ無効化にかかる時間を少なくすることで、ユーザの利便性を向上させることができる画像処理装置を提供する。【解決手段】画像処理装置１０では、ＨＤＤ１６に記憶されたデータを暗号化設定管理情報３２に基づいて暗号化データと非暗号化データに判別し、暗号化されたデータに対して、暗号化で用いた暗号鍵の読み出しができないようにする上書き消去する。一方、暗号化されていないデータに対して、記憶装置から読み出しができないようにする上書き消去する。【選択図】図５

Description

本発明は、画像処理装置およびその制御方法、並びにプログラムに関し、特に、画像処理装置に保存された暗号化データと非暗号化データの消去方法に関する。

ハードディスク（ＨＤＤ）等の記憶装置を利用して情報の蓄積が可能な情報処理装置には、受信した情報（以下、「データ」とも呼ぶ）をＨＤＤに一時的に格納し、当該データを使用した処理が完了すると当該データをＨＤＤから消去するものがある。このような情報処理装置では、データと当該データのＨＤＤ上の位置情報（以下、「ＦＡＴ」と呼ぶ）とがＨＤＤに記憶されている。ＨＤＤからデータを消去する場合、データ消去処理の高速化の観点からＦＡＴのみを消去するのが一般的である。ＨＤＤ上に残っているデータは、いずれ他のデータにより上書きされる。

しかしながら、上述した情報処理装置が廃棄された際にＨＤＤ上にデータが残存している状態であれば、当該ＨＤＤを情報処理装置から引きぬき、コンピュータ（ＰＣ）等に接続してデータを解析することで、当該データが盗み取られるおそれがある。

昨今、情報セキュリティ意識の高まりに伴い、ＦＡＴを消去するだけでなく、ＨＤＤに残存しているデータさえも消去する上書き消去機能が広く知られるようになっている。このような上書き消去機能を有する情報処理装置では、不要になったデータに対して１回乃至複数回にわたり、０または乱数または固定値などを上書きして、データが残存しないようにしている（例えば、特許文献１参照）。

しかしながら、情報処理装置の廃棄時には、ＨＤＤ上の全ての記憶領域に上書きのデータを書き込む必要があるため、ＨＤＤの容量に比例して処理時間が非常に長くなるという課題がある。また、ＨＤＤ上のデータの保護方法として、データ暗号化による保護も広く利用されている。特許文献２では、前述の処理時間の課題を解決するために、暗号化されたデータを消去する手段として復号が不可能となる最低限のデータ量を上書き消去することで、上書き処理時間を軽減する方法が提案されている。

特許第３７１５７１１号公報 特許第４６０６８０８号公報

しかしながら、特許文献２に記載された技術では、記憶装置上に暗号化領域と非暗号化領域とが混在している環境や、設定によって暗号化の有無が変化する環境において、記憶装置上のデータを選択的に効率的かつ短時間で消去することが困難である。

本発明は、上記問題に鑑みなされたものであり、暗号化データと非暗号化データが混在する環境においても、データ漏えいに対するセキュリティを保ちつつ、データ無効化にかかる時間を少なくして利便性を向上させる技術を提供することを目的とする。

上記目的を達成するために、本発明は、データを記憶する記憶手段と、前記記憶手段に記憶されたデータが暗号化手段により暗号化されているか否かを判別する判別手段と、前記判別手段により暗号化されていると判別された場合、前記暗号化手段が用いた暗号鍵若しくは当該暗号鍵の作成に必要な情報の読み出しができないようにする第１の消去手段と、前記判別手段により暗号化されていないと判別された場合、前記記憶手段に記憶されたデータの読み出しができないようにする第２の消去手段とを備えることを特徴とする。

本発明によれば、データ漏えいに対するセキュリティを保ちつつ、データ無効化にかかる時間を少なくすることで、ユーザの利便性を向上させることができる。

本発明の第１の実施形態に係る画像処理装置のハードウェア構成の一例を示すブロック図である。 図１の画像処理装置におけるソフトウェア構成の一例を示すブロック図である。 ＨＤＤ上に構築されるパーティションの構成を示す図である。 （ａ）ＨＤＤに対するデータ書き込み処理の流れを示すフローチャート、（ｂ）ＨＤＤからのデータ読み込み処理の流れを示すフローチャートである。 画像処理装置における全データの消去処理の流れを示すフローチャートである。 ＵＩ制御部によりＵＩに表示される画面の一例を示す図であり、（ａ）図５のステップＳ５０１で表示される画面、（ｂ）図７のステップＳ７０１で表示される画面である。 本発明の第２の実施形態にかかる画像処理装置の全データ消去処理の流れを示すフローチャートである。 データ暗号部で管理される暗号化設定管理情報の一例を示す図である。 専用のハードウェアを利用して暗号化を行う画像処理装置のハードウェア構成の一例を示すブロック図である。

以下、本発明の実施の形態を図面を参照して詳細に説明する。

［第１の実施形態］
図１は、本発明の第１の実施形態に係る画像処理装置のハードウェア構成の一例を示すブロック図である。

画像処理装置１０は、ＣＰＵ１１、ＲＡＭ１２、ハードディスクコントローラ（ＨＤＣ）１３、画像入出力制御部（画像制御部）１４、操作部（ＵＩ）１５、ハードディスク（ＨＤＤ）１６、スキャナ部１７、プリンタ部１８、及び不揮発メモリ１９から構成される。

ＣＰＵ１１は、画像処理装置１０全体を制御する制御部であり、ＲＡＭ１２に格納されたプログラムやデータを読み出して制御処理を実行する。ＲＡＭ１２は、読み書き可能な揮発性の記憶装置であり、プログラムや画像データを一時的に保持する。ＨＤＤ１６は、読み書き可能な不揮発性の記憶装置で、プログラムや画像データやユーザ設定などをファイルという形で保持する。ＨＤＣ１３は、ＨＤＤ１６を制御する制御部であり、ＨＤＤ１６へのデータの書き込みや読み込みを制御する。

画像制御部１４は、スキャナ部１７およびプリンタ部１８を制御する制御部である。画像制御部１４は、後述する図２のデータ入出力部２３による指示に従い、スキャナ部１７から得られた画像データをＲＡＭ１２に転送して保存したり、ＲＡＭ１２に保存された画像データをプリンタ部１８に転送する。スキャナ部１７は、不図示の原稿照明ランプや走査ミラー、ＣＣＤセンサ等で構成され、原稿からの反射光を走査ミラー、レンズ等を経由してＣＣＤセンサで読み取り、画像データを作成してＲＡＭ１２に転送を行う。プリンタ部１８は、不図示のレーザ、ポリゴンスキャナ、感光ドラム等で構成され、ＲＡＭ１２から転送された画像データを電気信号に変換し、レーザとして感光ドラムに照射することで、紙に画像を形成する。

ＵＩ１５は、不図示の液晶表示部、タッチパネル、ハードキー等から構成され、ユーザからの操作指示を受け付けたり、画像処理装置１０の状態などを表示する。

不揮発メモリ１９は、例えば、Ｆｌａｓｈメモリ等で構成される、読み書き可能な不揮発性の記憶装置であり、プログラムや後述する暗号化鍵等を記憶する。

画像処理装置１０は、図示の構成に限らず、ＬＡＮに接続するネットワーク接続部やＦＡＸ送受信のためのＦＡＸ入出力制御部等を有していてもよい。

また、本実施形態では、画像データやユーザの設定情報などを格納する不揮発性の記憶装置としてＨＤＤ１６を使用しているが、不揮発メモリ１９や不図示のＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等の不揮発性の記憶装置を利用してもよい。更に、複数の記憶装置を併用する形態でもよい。

図２は、図１の画像処理装置１０におけるソフトウェア構成の一例を示すブロック図である。

画像処理装置制御プログラム２０は、ＲＡＭ１２に格納され、ＣＰＵ１１にて実行される画像処理装置１０を制御するためのプログラムモジュールである。画像処理装置制御プログラム２０は、ＵＩ制御部２１、ジョブ制御部２２、データ入出力部２３、ファイル管理部２４、設定管理部２５、ログ管理部２６、データ消去部２７、データ暗号部２８、及びＨＤＤ制御部２９の各種プログラムで構成されている。

ＵＩ制御部２１は、ＵＩ１５を制御するためのプログラムであり、ユーザからの指示をタッチパネルから受け付けたり、画像処理装置１０の状態を液晶パネルに表示したりする。

ジョブ制御部２２は、画像処理装置１０で実行されるコピーなどの処理（ジョブ）を制御するためのプログラムであり、ＵＩ制御部２１、データ入出力部２３、ファイル管理部２４等と連携しながらジョブの実行を行う。

データ入出力部２３は、画像制御部１４を制御するためのプログラムであり、ＲＡＭ１２との間でデータをやりとりしながら画像データをＲＡＭ１２に保持したり、ＲＡＭ１２に保持された画像データをプリンタ部１８に送信したりする。

ファイル管理部２４は、ＨＤＤ１６にデータを読み書きするためのプログラムであり、ＨＤＤ１６上に構築されたファイルシステムを管理し、一つのデータをファイルとしてＨＤＤ１６に保存したり読み出したりする。

設定管理部２５は、画像処理装置１０の各種動作に関する設定や、ユーザ情報やアドレス帳等の設定を管理するためのプログラムであり、ＵＩ制御部２１により指示された設定をファイル管理部２４と連携してＨＤＤ１６上にファイルとして保存する。

ログ管理部２６は、ジョブ制御部２２や設定管理部２５により実行された処理の結果をログとして記録するためのプログラムであり、記録したログデータをファイル管理部２４と連携してＨＤＤ１６上にファイルとして保存する。

データ消去部２７は、画像処理装置１０に格納された画像データやログデータ等の全てのデータを消去するためのプログラムであり、ＵＩ制御部２１からの指示に基づき上書き消去を実行する。上書き消去は、ファイル管理部２４で管理するファイル情報が消去された上で、後述の各パーティション全体に対して上書き用データが書き込まれることで実施される。なお、上書き消去の方法は、この方法に限定されるものではない。データ消去部２７は、未消去データ情報３０および消去完了情報３１を管理しており、消去動作を行いながら、これらの情報を適宜更新する。

データ暗号部２８は、ファイル管理部２４からＨＤＤ制御部２９に渡されるデータに暗号化処理を行う。データ暗号部２８は、暗号化設定管理情報３２を保持しており、この暗号化設定管理情報３２により暗号化の対象となるＨＤＤ１６上の記憶領域や暗号鍵の情報（例えば暗号鍵を作成するために必要な情報（シード値）など）を管理している。データ暗号化の処理については後述する。

ＨＤＤ制御部２９は、ファイル管理部２４、データ消去部２７、及びデータ暗号部２８からのそれぞれ要求に従い、ＨＤＤ１６に対してデータの読み書きを行う。

図３は、ＨＤＤ１６上に構築されるパーティションの構成を示す図である。

図３に示すように、ＨＤＤ１６は、複数のパーティションに区切られ管理されている。３０１，３０２は、画像ファイル領域であり、主にジョブ制御部２２で利用される画像に関連するデータが格納される。３０３は、設定ファイル領域であり、設定管理部２５によって管理される各種設定に関するデータが格納される。３０４は、ログ領域であり、ログ管理部２６によって管理される各種設定に関するデータが格納される。３０５は、システムデータ領域であり、画像処理装置制御プログラム２０の動作に必要な各種データが格納される。３０６は、テンポラリ領域であり、画像処理装置制御プログラム２０が一時的に利用するデータを格納するための領域である。

本実施形態では、図３のようなパーティションがＨＤＤ１６内に構築されている場合について説明するが、それぞれのパーティションが複数の不揮発性の記憶装置に分散して設定されている構成であってもよい。また、ＨＤＤ１６に構築されるパーティションは物理的に構成されるパーティション構成ではなく、ファイル管理部２４で管理される論理的なパーティション構成でもよい。

次に、図４（ａ）及び図４（ｂ）を用いて画像処理装置１０におけるＨＤＤ１６に対するデータの入出力処理について説明する。

図４（ａ）は、ＨＤＤ１６に対するデータ書き込み処理の流れを示すフローチャートである。本処理は、ＣＰＵ１１により実行される。

まず、ステップＳ４０１では、ジョブ制御部２２や設定管理部２５等がＨＤＤ１６へのデータ書き込みをファイル管理部２４に要求する。

ファイル管理部２４は、ＨＤＤ１６の所定の領域にデータを書き込むため、データ暗号部２８にデータの書き込みを要求する（ステップＳ４０２）。

データ暗号部２８は、ファイル管理部２４からのデータ書込み要求を受けて、ＨＤＤ１６に書き込むデータの暗号化が必要かを判定する（ステップＳ４０３）。具体的には、データ暗号部２８は、暗号化設定管理情報３２に基づいて、ファイル管理部２４から指定された、ＨＤＤ１６におけるデータ書込領域が暗号化の対象領域であるか判定する。データ暗号部２８で管理される暗号化設定管理情報３２の一例を図８に示す。

図８において、暗号化設定管理情報３２では、ＨＤＤ１６上に設定された複数の記憶領域毎に領域の先頭アドレス、暗号化設定、暗号化鍵の情報が管理されている。図示の暗号化設定管理情報３２では、システムデータ領域及びテンポラリ領域以外は暗号化するよう設定されている。例えば、ファイル管理部２４からのデータ書込み要求が画像ファイル領域に対するものであれば、データ暗号部２８は、図示の暗号化設定管理情報３２により、暗号化対象領域であると判定する。

なお、暗号化設定管理情報３２で管理される暗号化対象領域は、ユーザが画像処理装置１０に直接設定することもできるが、画像処理装置１０の生産段階等で予め設定されていてもよい。例えば、ＨＤＤ１６に記憶されるデータを全て暗号化する設定であった場合、その設定が有効であれば、全ての記憶領域を暗号化対象とする設定が暗号化設定管理情報３２に登録される。また、暗号化設定管理情報３２は、ユーザライセンスの有無やオプションのハードウェアの利用有無に応じて設定の変更が可能であってもよい。また、図示の暗号化設定管理情報３２は、領域毎に管理するテーブルとなっているが、不揮発性の記憶装置全体で１つの設定としてもよい。

データの暗号化に利用される暗号鍵は、不揮発メモリ１９に格納されており、暗号化の際に不揮発メモリ１９から読み出され、データの暗号化が実施される。どの暗号鍵を利用するかは暗号化設定管理情報３２で管理されている。また、暗号鍵は都度不揮発メモリ１９から読みださなくとも、一度読みだした後はＲＡＭ１２で管理されていてもよい。なお、暗号鍵を安全に管理するために暗号鍵を更に暗号化して不揮発メモリ１９に格納する方法や、セキュアチップを用いて管理する方法、不揮発メモリ１９に格納した情報とその他の情報を組み合わせて暗号鍵を再構築する方法を用いてもよい。また、起動時やＨＤＤを利用する際などのタイミングで、暗号鍵を自動的に作成する方法を用いてもよい。暗号化設定管理情報３２では、領域毎に暗号鍵や暗号アルゴリズムを設定することも可能であるが、ここではその詳細についての説明は省略する。

図４（ａ）に戻り、ステップＳ４０３でデータの暗号化が必要であると判定した場合、データ暗号部２８は、データを暗号化して、ＨＤＤ制御部２９に暗号化データを渡す（ステップＳ４０４）。

ＨＤＤ制御部２９は、受信したデータをＨＤＤ１６の所定の領域に書き込み（ステップＳ４０５）、本処理を終了する。

一方、ステップＳ４０３でデータの暗号化は必要ないと判定した場合、データ暗号部２８は、データを暗号化せずそのままＨＤＤ制御部２９に渡す。ＨＤＤ制御部２９は、受信したデータをＨＤＤ１６の所定の領域に書き込み（ステップＳ４０５）、本処理を終了する。

次に、ＨＤＤ１６からのデータを読み込む処理について説明する。

図４（ｂ）は、ＨＤＤ１６からのデータ読み込み処理の流れを示すフローチャートである。本処理は、ＣＰＵ１１により実行される。

まず、ステップＳ４０６では、ジョブ制御部２２や設定管理部２５等がＨＤＤ１６上のデータの読み込みをファイル管理部２４に要求する。

ファイル管理部２４は、ＨＤＤ１６上の所定の領域からデータを読み込むため、データ暗号部２８にデータの読み込みを要求する（ステップＳ４０７）。

データ暗号部２８は、ＨＤＤ制御部２９にデータの読み込みを要求する。その結果、ＨＤＤ制御部２９は、ＨＤＤ１６からデータを読み込む（ステップＳ４０８）。

次に、ステップＳ４０９では、データ暗号部２８は、ステップＳ４０８で読み込んだデータが暗号化対象であるか否かを判定する。ステップＳ４０９では、ステップ４０３と同様に、データ暗号部２８が、暗号化設定管理情報３２に基づいて、データの読み込みを行う領域がデータの暗号化の対象領域であるかを判定する。データ暗号部２８は、データの暗号化の対象であると判定した場合、ステップＳ４０８で読み込んだデータを復号して、ファイル管理部２４にデータを受け渡して（ステップＳ４１０）、本処理を終了する。

一方、ステップＳ４０９で暗号化対象でないと判定した場合、データ暗号部２８がデータをそのままファイル管理部２４に受け渡して、本処理を終了する。

以上が、本実施の形態におけるＨＤＤ１６に対するデータの入出力処理である。

なお、上記処理では、データ暗号部２８による処理がファイル管理部２４による処理とＨＤＤ制御部２９による処理の間に実行される構成について説明した。だが、データ暗号部２８による処理がファイル管理部２４による処理前、もしくはＨＤＤ制御部２９による処理後に実行される構成でもよい。更に、データ暗号部２８による処理の一部がファイル管理部２４の処理前、残りの部分がＨＤＤ制御部２９による処理後というように、データ暗号部２８による処理を分散する構成でもよい。ただし、分散された処理のそれぞれが、暗号化設定管理情報３２により管理されているものとする。

本実施形態では、データ暗号化をソフトウェアで実現する構成について説明したが、図９に示すような専用のハードウェアを利用してデータの暗号化を実現する構成であってもよい。

図９は、専用のハードウェアを利用して暗号化を行う画像処理装置１０ａのハードウェア構成の一例を示すブロック図である。

図９において、画像処理装置１０ａは、図１に示す画像処理装置１０に対して、暗号化チップ１０１が追加されている点が異なる。暗号化チップ１０１以外の構成については説明を省略する。

暗号化チップ１０１は、ＨＤＣ１３とＨＤＤ１６の間に配置され、ＨＤＣ１３からＨＤＤ１６に書き込まれるデータを全て暗号化する。逆に、ＨＤＣ１３がＨＤＤ１６からデータを読みだす際に、暗号化チップ１０１が復号してＨＤＣ１３に渡す。

暗号化チップ１０１は画像処理装置１０から脱着可能に構成されており、例えば画像処理装置１０にオプションとして提供される。暗号化チップ１０１が画像処理装置１０に装着された際に、画像処理装置１０は暗号化設定管理情報３２に全ての領域を暗号化対象として設定する。そのため、図４のステップＳ４０３及びステップＳ４０９における判定では、暗号化チップの有無によって暗号化の対象か否かが判定されることになる。

次に、図５を用いて画像処理装置１０における全データの消去処理について説明する。

画像処理装置１０におけるデータ消去処理は、画像処理装置１０を使用するユーザが画像処理装置１０を廃棄する際などに実施される。

図５は、画像処理装置１０における全データの消去処理の流れを示すフローチャートである。本処理は、ＣＰＵ１１により実行される。

まず、ステップＳ５０１では、画像処理装置１０はユーザからのデータ消去指示を受け付ける。具体例として、図６（ａ）に示す画面６００をＵＩ制御部２１によりＵＩ１５に表示させて、ユーザに消去パターンを選択させる。画面６００上でユーザが複数の消去パターン（６０１〜６０５）のいずれかを選択してＯＫボタン６０７を押下すると、ＵＩ制御部２１がユーザからの指示を受け付ける。

画面６００では、消去パターンとして「０データ１回書き込み」６０１、「ランダムデータ１回書き込み」６０２、「ランダムデータ３回書き込み」６０３、「ランダムデータ９回書き込み」６０４、「ＤｏＤ標準」６０５の５パターンが選択可能である。なお、消去パターンはこれらに限らず、所定のデータを用いた所定回数の上書き処理をユーザに選択させる方法であってもよい。

ステップＳ５０１でユーザからのデータ消去指示を受け付けると、データ消去部２７は、ユーザに選択された消去パターンの設定情報を取得し（ステップＳ５０２）、データ消去を開始する。そして、データ消去部２７は、図３に示す領域のうち、システムデータ領域３０５以外の全ての領域に対して上書き消去を実施する。

ステップＳ５０４では、データ消去部２７は、データ暗号部２８に対して消去対象領域が暗号化領域か否かを問い合わせる。データ暗号部２８は、図４のステップＳ４０３と同様に、消去対象領域が暗号化対象領域か否かを判定する。その判定結果から、消去対象領域が非暗号化領域であると判定された場合、データ消去部２７は、消去対象領域に対して、ステップＳ５０２で取得した消去パターンによるデータの上書き処理を実施する（ステップＳ５０５）。この上書き処理では、データ消去部２７が上書きパターンのデータをＨＤＤ制御部２９に渡し、ＨＤＤ制御部２９により消去対象領域の全てに対して上書きパターンによるデータの上書きが実施される。ステップＳ５０２で取得した消去パターンにより、複数回のデータ書込みが指定されている場合、データ消去部２７は指定回数分の上書き処理を繰り返す。

一方、ステップＳ５０４で消去対象領域が暗号化領域であると判定された場合、データ消去部２７は、データ暗号部２８で管理されている暗号化設定管理情報３２を参照し、不揮発メモリ１９上の暗号鍵の格納領域の位置情報を取得する。そして、データ消去部２７は、取得した位置情報から不揮発メモリ１９上の暗号鍵の格納領域に対して、上書きパターンによるデータの書き込みを実施する（ステップＳ５０６）。なお、暗号鍵の格納領域だけでなく、暗号鍵の作成に必要な情報が格納されている格納領域に対しても上書きパターンによるデータの書込みを実施してもよい。

このように、データ消去部２７は、図３に示すシステムデータ領域３０５以外の全ての領域に対して、上述したステップＳ５０４、ステップＳ５０５またはステップＳ５０６の処理を繰り返す。このとき、データ消去部２７は、未消去データ情報３０を参照して、未消去のデータ（またデータ領域）に対して上書きを行い、消去完了情報３１に登録して、消去対象領域の全てのデータを上書き消去したかを判断する。

以上のように、本実施形態では、記憶装置に記憶されたデータを暗号化データと非暗号化データに判別し、暗号化されたデータに対して、暗号化で用いた暗号鍵の読み出しができないようにする上書き消去する。一方、暗号化されていないデータに対して、記憶装置から読み出しができないようにする上書き消去する。このように、上書き消去の対象をデータとするか暗号鍵とするかを判定して上書きするため、データの消去時間を短縮できる。その結果、データ漏えいに対するセキュリティを保ちつつ、データの無効化にかかる時間を極力少なくすることができる。

［第２の実施形態］
次に、本発明の第２の実施形態として、データが暗号化されていた場合でもデータ領域を消去するか否かを選択可能とする方法について説明する。なお、図１〜図３で説明した構成が上記第１の実施の形態と同じであり、第１の実施の形態と同様の部分については、同一の符号を用いてその説明を省略する。以下に、上記第１の実施の形態と異なる点のみを説明する。

図７は、本発明の第２の実施形態にかかる画像処理装置の全データ消去処理の流れを示すフローチャートである。本処理は、ＣＰＵ１１により実行される。

まず、ステップＳ７０１では、画像処理装置１０はユーザからのデータ消去指示を受け付ける。具体例として、図６（ｂ）に示す画面８００をＵＩ制御部２１によりＵＩ１５に表示させて、ユーザに消去パターンと実データ消去設定を選択させる。画面８００上でユーザが複数の消去パターン（８０１〜８０５）のいずれかと、実データ消去の「ＯＮ」８０６もしくは「ＯＦＦ」８０７を選択してＯＫボタン８０９を押下すると、ＵＩ制御部２１が指示を受け付ける。

画面８００では、消去パターンとして「０データ１回書き込み」８０１、「ランダムデータ１回書き込み」８０２、「ランダムデータ３回書き込み」８０３、「ランダムデータ９回書き込み」８０４、「ＤｏＤ標準」８０５の５パターンが選択可能である。なお、消去パターンは、これらに限らず、任意の消去回数をユーザに選択させる方法でもよい。

また、画面８００における実データ消去設定とは、データが暗号化されていても消去対象領域のデータ領域を消去するか否かを選択するための設定である。「ＯＮ」８０６が選択された場合はデータ領域の上書き消去が実行され。一方、「ＯＦＦ」８０７が選択された場合は、暗号鍵の格納領域のみの上書き消去が実行される。すなわち、上記第１の実施形態で説明したデータ領域の上書き消去は実行されない。なお、本実施形態では、全ての領域に対して「ＯＮ」８０６もしくは「ＯＦＦ」８０７のいずれかを設定するようにしているが、領域やデータの種別毎に実データ設定を選択可能とする構成でもよい。

ステップＳ７０１でユーザからのデータ消去指示を受け付けると、データ消去部２７は、ユーザに選択された消去パターンの設定情報を取得し（ステップＳ７０２）、更に実データ消去設定の値を取得して（ステップＳ７０３）、データ消去を開始する。そして、データ消去部２７は、図５のフローチャートと同様に、図３に示す領域のうち、システムデータ領域３０５以外の全ての領域に対して上書き消去を実施する。

ステップＳ７０５では、データ消去部２７は、データ暗号部２８に対して消去対象領域が暗号化領域か否かを問い合わせる。データ暗号部２８は、図４のステップＳ４０３と同様に、消去対象領域が暗号化対象領域か否かを判定する。その判定結果から、消去対象領域が暗号化領域ではないと判定された場合、データ消去部２７は、消去対象領域に対して、ステップＳ７０２で取得した消去パターンによるデータの上書き処理を実施する（ステップＳ７０７）。この上書き処理は、図５のステップＳ５０５と同様である。

一方、ステップＳ７０５で消去対象領域が暗号化領域であると判定された場合、データ消去部２７は、ステップＳ７０３で取得した実データ消去設定を参照し、当該設定が「ＯＮ」か「ＯＦＦ」か判定する（ステップＳ７０６）。設定が「ＯＮ」であると判定した場合は、ステップＳ７０７に進み、上述したデータ上書き処理が実施される。

一方、ステップＳ７０６で実データ消去設定が「ＯＦＦ」であると判定した場合、データ消去部２７は、データ暗号部２８で管理されている暗号化設定管理情報３２を参照し、不揮発メモリ１９上の暗号鍵の格納領域の位置情報を取得する。そして、データ消去部２７は、取得した位置情報から不揮発メモリ１９上の暗号鍵の格納領域に対して、上書きパターンによるデータの上書きを実施する（ステップＳ７０８）。

このように、データ消去部２７は、図３に示すシステムデータ領域３０５以外の全ての領域に対して、上述したステップＳ７０５、ステップＳ７０６、ステップＳ７０７またはステップＳ７０８の処理を繰り返す。このとき、データ消去部２７は、未消去データ情報３０を参照して、未消去のデータ（またデータ領域）に対して上書きを行い、消去完了情報３１に登録して、消去対象領域の全てのデータを上書き消去したかを判断する。

以上のように、本実施形態では、データが暗号化されている場合でも実データを消去するか否かをユーザが選択可能にすることによって、データの無効化にかかる時間を極力少なくすることができ、且つユーザのセキュリティへの懸念を軽減することができる。

上記第１及び第２の実施形態では、図５のステップＳ５０２及び図７のステップＳ７０２において取得した消去パターンに基づいてデータの上書きが行われている。しかしながら、データもしくは暗号鍵が格納される不揮発性の記憶装置がＦｌａｓｈメモリ等であった場合、上書きパターンが「０データ１回上書き」であればデータの消去としては十分である。そのため、上記実施形態に限らず、消去パターンは不揮発性の記憶装置の性質に合わせて固定としたり、対象領域毎に選択可能とする形態でも構わない。

また、本発明は、以下の処理を実行することによっても実現される。即ち、上述した実施形態の機能を実現するソフトウェア（プログラム）を、ネットワーク又は各種記憶媒体を介してシステム或いは装置に供給し、そのシステム或いは装置のコンピュータ（またはＣＰＵやＭＰＵ等）がプログラムを読み出して実行する処理である。

１０ 画像処理装置
１１ ＣＰＵ
１５ ＵＩ
１６ ＨＤＤ
１９ 不揮発メモリ
２７ データ消去部
２８ データ暗号部
３２ 暗号化設定管理情報

Claims (9)

1. データを記憶する記憶手段と、
   前記記憶手段に記憶されたデータが暗号化手段により暗号化されているか否かを判別する判別手段と、
   前記判別手段により暗号化されていると判別された場合、前記暗号化手段が用いた暗号鍵若しくは当該暗号鍵の作成に必要な情報の読み出しができないようにする第１の消去手段と、
   前記判別手段により暗号化されていないと判別された場合、前記記憶手段に記憶されたデータの読み出しができないようにする第２の消去手段とを備えることを特徴とする画像処理装置。
2. ユーザによるデータの消去指示に応じて、前記判別手段による判別が行われ、前記第１の消去手段および／または前記第２の消去手段による処理が実行されることを特徴とする請求項１に記載の画像処理装置。
3. 前記記憶手段に記憶されたデータを前記記憶手段から読み出しができないように設定するための設定手段をさらに備え、
   前記第１の消去手段は、前記判別手段により暗号化されていると判別された場合であっても、前記設定手段による設定がなされていたときには、前記記憶手段に記憶されたデータを読み出しができないようすることを特徴とする請求項１または２に記載の画像処理装置。
4. 前記第１の消去手段は、前記暗号鍵もしくは当該暗号鍵の作成に必要な情報が記憶された記憶手段の記憶領域に対して、所定のデータを用いた所定回数の上書き処理を行い、
   前記第２の消去手段は、前記データが記憶された記憶手段の記憶領域に対して、当該データとは異なる所定のデータを用いた所定回数の上書き処理を行うことを特徴とする請求項１乃至３のいずれか１項に記載の画像処理装置。
5. 前記暗号化手段は、前記記憶手段に構築された複数の記憶領域のうち、予め設定された所定の記憶領域に記憶されるデータを暗号化することを特徴とする請求項１乃至４のいずれか１項に記載の画像処理装置。
6. 暗号化手段により暗号化されたデータを記憶する暗号化領域と、前記暗号化手段により暗号化されていないデータを記憶する非暗号化領域とを持つ記憶手段と、
   前記暗号化領域に記憶されたデータを前記暗号化手段で暗号化した際に用いた暗号鍵若しくは当該暗号鍵の作成に必要な情報の読み出しができないようにするとともに、前記非暗号化領域に記憶されたデータに対して前記記憶手段から読み出しができないようにする消去手段とを備えることを特徴とする画像処理装置。
7. 画像処理装置の制御方法であって、
   判別手段が、記憶手段に記憶されたデータが暗号化されているか否かを判別する判別工程と、
   第１の消去手段が、前記判別工程にて暗号化されていると判別された場合、前記データの暗号化に用いた暗号鍵若しくは当該暗号鍵の作成に必要な情報の読み出しができないようにする第１の消去工程と、
   第２の消去手段が、前記判別工程にて暗号化されていないと判別された場合、前記記憶手段に記憶されたデータの読み出しができないようにする第２の消去工程とを備えることを特徴とする制御方法。
8. 記憶手段に、暗号化手段により暗号化されたデータを記憶する暗号化領域と、前記暗号化手段により暗号化されていないデータを記憶する非暗号化領域とを持つ記憶工程と、
   消去手段が、前記暗号化領域に記憶されたデータを前記暗号化手段で暗号化した際に用いた暗号鍵若しくは当該暗号鍵の作成に必要な情報の読み出しができないようにするとともに、前記非暗号化領域に記憶されたデータに対して前記記憶手段から読み出しができないようにする消去工程とを備えることを特徴とする制御方法。
9. 請求項７または８に記載の制御方法を画像処理装置に実行させるためのコンピュータに読み取り可能なプログラム。

Images