JP2016177672A - 情報処理装置及びプログラム - Google Patents

Abstract

【課題】セキュリティレベルが互いに異なる複数の通信ネットワークに接続可能な画像形成装置において、データ保存部に保存された機密性の高いファイルの情報漏洩を防ぐ。【解決手段】画像形成装置１０は、第１通信ネットワーク３０ａに接続された第１通信インターフェース１０８ａと、第１通信ネットワーク３０ａよりもセキュリティレベルの低い第２通信ネットワーク３０ｂに接続された第２通信インターフェース１０８ｂと、データ保存部１０６に保存されたファイルの送信先端末を特定するアクセス受信部２０４と、ファイルが送信先端末へ送信される際に経由する通信ネットワークを判定するネットワーク判定部２０２と、ファイルのセキュリティレベルが、通信ネットワークのセキュリティレベルよりも低い場合は該ファイルの送信先端末への送信を禁止する送信制御部２０７と、を含む。【選択図】図２

Description

本発明は、情報処理装置及びプログラムに関する。

従来より、プリンタ機能やスキャナ機能を備えた画像形成装置では、ユーザ端末から送信されたデータ（印刷ジョブデータ）やスキャナ機能により読み取ったデータ（スキャンデータ）をファイル形式にして内部の記憶部（データ保存部）に保存し、保存されたファイルを通信ネットワークを介して他のユーザ端末に転送することが可能となっている。また近年では、イントラネットやインターネット等の複数の通信ネットワークに接続可能な画像形成装置も提案されている（例えば特許文献１）。このような画像形成装置では、例えば、ローカルエリアにおいて利用可能に構築された通信ネットワーク（例えばイントラネット）を介して特定のユーザが利用したり、公衆が利用可能に構築された通信ネットワーク（例えばインターネット）を介して不特定のユーザが利用したりすることが可能である。

特開２０１１−１６２８４号公報

昨今、会社、病院、大学等の所定の領域において、性質の異なる複数の通信ネットワークが運用されている場合がある。例えば、病院の例では、カルテやレントゲン画像データ等の個人情報を含む診療情報のようなセキュリティが厳しく管理されるべきデータを扱う医師が利用する端末が接続された、セキュリティレベルが高く設定された医師系ネットワークと、このネットワークとは相対的にセキュリティが緩く管理されたデータを扱う一般利用者が利用するセキュリティレベルが低く設定された一般通信ネットワークとが、同一の組織や同一の建物で運用されている場合がある。これらのセキュリティレベルが高い通信ネットワークと低い通信ネットワークとは独立して運用されているため、それぞれの通信ネットワークに個別に画像形成装置を設けることも考えられるが、１台の画像形成装置で複数のネットワークに接続可能とし、１台の画像形成装置で運用することが求められている。しかしながら、複数の通信ネットワークに接続可能な画像形成装置では、ファイルに設定されたセキュリティレベルと、送信経路の通信ネットワークのセキュリティレベルとを考慮しない装置構成の場合、例えば、機密性の高いファイルが、セキュリティレベルの低い通信ネットワークを介して外部に送信されると、不特定のユーザに機密情報が漏洩するおそれがある。

本発明は、セキュリティレベルが互いに異なる複数の通信ネットワークに接続可能な情報処理装置において、データ保存部に保存された機密性の高いファイルの情報漏洩を防ぐことができる情報処理装置及びプログラムを提供することを目的とする。

本発明の請求項１に係る情報処理装置は、セキュリティレベルが互いに異なる複数の通信ネットワークのそれぞれに個別に接続される複数の通信インターフェースと、データ保存部に保存されたファイルの送信先端末を特定する特定手段と、前記ファイルが前記送信先端末へ送信される際に経由する前記通信ネットワークを判定するネットワーク判定手段と、前記ファイルに設定されたセキュリティレベルが、前記ネットワーク判定手段により判定された前記通信ネットワークに設定されたセキュリティレベルよりも低い場合は、該ファイルの前記送信先端末への送信を禁止する送信制御手段と、を含むことを特徴とする。

本発明の請求項２に係る情報処理装置は、請求項１に記載の構成において、前記送信制御手段は、前記ファイルに設定されたセキュリティレベルが、前記ネットワーク判定手段により判定された前記通信ネットワークに設定されたセキュリティレベル以上の場合は、該ファイルの前記送信先端末への送信を実行する。

本発明の請求項３に係る情報処理装置は、請求項１に記載の構成において、前記ファイルに設定されるセキュリティレベルは、該ファイルが前記データ保存部に入力される際に経由した前記通信ネットワークに設定されたセキュリティレベルに応じて設定される。

本発明の請求項４に係る情報処理装置は、請求項３に記載の構成において、第１通信ネットワークを介して前記データ保存部に入力される前記ファイルに設定されるセキュリティレベルは、前記第１通信ネットワークよりもセキュリティレベルの低い第２通信ネットワークを介して前記データ保存部に入力される前記ファイルに設定されるセキュリティレベルよりも高い。

本発明の請求項５に係る情報処理装置は、請求項１に記載の構成において、前記データ保存部には、外部端末から前記通信ネットワークを介して入力されたファイルが保存されており、前記ファイルには、前記データ保存部に入力される際に経由した前記通信ネットワークに設定されたセキュリティレベルに応じたセキュリティレベルが設定される。

本発明の請求項６に係る情報処理装置は、請求項１に記載の構成において、紙媒体の情報を光学的に走査して読み取る読取部をさらに含み、前記データ保存部には、前記読取部により読み取られた情報に対応するファイルが保存されており、前記ファイルには、前記紙媒体に予め付加されたセキュリティレベルが設定される。

本発明の請求項７に係る情報処理装置は、請求項６に記載の構成において、前記紙媒体に、セキュリティレベルに対応する電子透かしの情報が付加され、前記紙媒体を前記読取部が読み取ることにより得られた前記電子透かしの情報に基づいて、前記ファイルのセキュリティレベルを設定する。

本発明の請求項８に係る情報処理装置は、請求項１に記載の構成において、紙媒体の情報を光学的に走査して読み取る読取部をさらに含み、前記データ保存部には、前記読取部により読み取られた画像データに対応するファイルが保存されており、前記ファイルには、前記画像データを文書解析して抽出されたキーワードに基づいてセキュリティレベルが設定される。

本発明の請求項９に係る情報処理装置は、請求項１に記載の構成において、当該情報処理装置にネットワーク接続された端末の情報を表示部に表示させる表示制御手段をさらに含み、前記表示制御手段は、前記ファイルに設定されたセキュリティレベルが、前記ネットワーク判定手段により判定された前記通信ネットワークに設定されたセキュリティレベルよりも低い場合は、前記端末の情報の一覧から前記送信先端末を選択できないように表示させる。

本発明の請求項１０に係るプログラムは、セキュリティレベルが互いに異なる複数の通信ネットワークのそれぞれに個別に接続される複数の通信インターフェースを含むコンピュータを、データ保存部に保存されたファイルの送信先端末を特定する特定手段、前記ファイルが前記送信先端末へ送信される際に経由する前記通信ネットワークを判定するネットワーク判定手段、及び、前記ファイルに設定されたセキュリティレベルが、前記ネットワーク判定手段により判定された前記通信ネットワークに設定されたセキュリティレベルよりも低い場合は、該ファイルの前記送信先端末への送信を禁止する送信制御手段、として機能させるためのプログラムである。このプログラムは、ＣＤ−ＲＯＭやＤＶＤ−ＲＯＭなどの、コンピュータが読み取り可能な情報記憶媒体に格納されてもよい。

本発明の請求項１、１０の構成によれば、セキュリティレベルが互いに異なる複数の通信ネットワークに接続可能な情報処理装置において、データ保存部に保存された機密性の高いファイルの情報漏洩が防止される。

本発明の請求項２の構成によれば、ファイルに設定されたセキュリティレベルが、ネットワーク判定手段により判定された通信ネットワークのセキュリティレベル以上の場合は、該ファイルが送信先端末へ送信される。

本発明の請求項３の構成によれば、セキュリティレベルが高い通信ネットワークを介してデータ保存部に入力されたデータには、高いセキュリティレベルが設定される。

本発明の請求項４の構成によれば、第１通信ネットワークを介してデータ保存部に入力されるファイルは、第２通信ネットワークを介してデータ保存部に入力されるファイルよりもセキュリティレベルが高く設定される。

本発明の請求項５の構成によれば、ファイルには、データ保存部に入力される際に経由した通信ネットワークのセキュリティレベルに応じたセキュリティレベルが設定される。

本発明の請求項６の構成によれば、ファイル（スキャンデータ）には、紙媒体に予め付加されたセキュリティレベルが設定される。

本発明の請求項７の構成によれば、電子透かしの技術を利用してファイルのセキュリティレベルが設定される。

本発明の請求項８の構成によれば、文書解析（例えばＯＣＲ）の技術を利用してファイルのセキュリティレベルが設定される。

本発明の請求項９の構成によれば、ファイルのセキュリティレベルが通信ネットワークのセキュリティレベルよりも低い場合は、端末の情報の一覧から送信先端末を選択できないように表示される。例えば、送信先端末として選択可能な端末のみが表示される。

本実施形態に係る画像形成システムの全体構成図である。 本実施形態に係る画像形成装置の機能的なブロック図である。 ネットワーク情報ＤＢに登録される情報の一例を示すテーブルである。 端末情報ＤＢに登録される情報の一例を示すテーブルである。 データ保存部の構成を示す模式図である。 データ情報ＤＢに登録されるファイルの情報の一例を示すテーブルである。 送信先端末の選択画面の一例を示す図である。 送信先端末の選択画面の一例を示す図である。 ファイルの選択画面の一例を示す図である。 ファイルの選択画面の一例を示す図である。 ファイルの送信可否の関係の一例を示す対応表である。 本実施形態に係る画像形成装置の動作フロー図である。 ファイルの送信可否の関係の一例を示す対応表である。 データ情報ＤＢに登録されるファイルの情報の一例を示すテーブルである。

本発明の一実施形態について、図面を用いて以下に説明する。本発明の情報処理装置は、一般的なコンピュータであってもよいし、画像形成装置であってもよい。以下では、画像形成装置を例に挙げて説明する。

図１は、本実施形態に係る画像形成システム（情報処理システム）の全体構成図である。同図に示すように、画像形成システム１００は、画像形成装置１０と、ユーザが利用するユーザ端末２０ａ、２０ｂとを含んでいる。画像形成装置１０とユーザ端末２０ａとは、第１通信ネットワーク３０ａを介して相互に接続され、画像形成装置１０とユーザ端末２０ｂとは、第２通信ネットワーク３０ｂを介して相互に接続されている。ユーザ端末の数は限定されない。すなわち、第１通信ネットワーク３０ａに接続されるユーザ端末の数、及び、第２通信ネットワーク３０ｂに接続されるユーザ端末の数は、それぞれ、１台であってもよいし複数台であってもよい。ここでは便宜上、第１通信ネットワーク３０ａ及び第２通信ネットワーク３０ｂそれぞれに接続される２台のユーザ端末２０ａ、２０ｂを示している。以下では、ユーザ端末２０ａ、２０ｂに共通する機能を説明する際には「ユーザ端末２０」と称し、第１及び第２通信ネットワーク３０ａ、３０ｂに共通する機能を説明する際には「通信ネットワーク３０」と称する。

第１通信ネットワーク３０ａ及び第２通信ネットワーク３０ｂは、互いに独立した通信ネットワークであり、相互に接続されていない。また、ここでは、第１通信ネットワーク３０ａは、相対的にセキュリティレベルが高い（セキュアな）通信ネットワークであり、第２通信ネットワーク３０ｂは、相対的にセキュリティレベルが低い（非セキュアな）通信ネットワークであると仮定する。セキュリティレベルが高い通信ネットワークは、例えば社内ＬＡＮ等のイントラネットであり、セキュリティレベルが低い通信ネットワークは、例えばインターネットである。イントラネットは、例えばローカルエリア（社内等）において特定のユーザが利用可能に構築されたネットワークであり、インターネットは、例えば公衆において不特定多数のユーザが利用可能に構築されたネットワークである。画像形成装置１０が接続可能な通信ネットワークの種類は、上記に限定されず、３種類以上であってもよい。すなわち、画像形成装置１０は、セキュリティレベルが互いに異なる複数の通信ネットワークに接続可能な構成を有している。

ユーザ端末２０は、通信ネットワーク３０に接続された、ユーザが利用する端末装置である。ユーザ端末２０は、ユーザの操作に基づいて、通信ネットワーク３０を介して画像形成装置１０とデータ通信を行う。これにより、例えば、ユーザ端末２０は、ユーザの操作に応じて、画像形成装置１０に対して、文書データ等のファイル（例えば印刷ジョブデータ）を送信したり、印刷命令を送信したり、画像形成装置１０で読み取られた画像データ（例えばスキャンデータ）を取得（受信）したりする。ユーザ端末２０には、ブラウザや電子メールクライアント等のソフトウェアが組み込まれている。ユーザ端末２０は、例えば、パーソナルコンピュータ、ＰＤＡ（Personal Digital Assistant）、スマートフォン等の情報端末装置等である。通信ネットワーク３０に接続される機器は、ユーザ端末２０に限定されず、他の画像形成装置やサーバ等であってもよい。

画像形成装置１０は、コピー機能、スキャナ機能、ＦＡＸ機能等の一般的な複合機の機能を有する。本実施形態に係る画像形成装置１０は、少なくとも上記何れか１つの機能を有する装置であってもよい。これらの機能は周知の構成であるため説明を省略する。

図１には、画像形成装置１０のハードウェア構成も合わせて示している。画像形成装置１０は、制御部１０１、表示部１０２、入力部１０３、記憶部１０４、読取部１０５、データ保存部１０６、出力部１０７、及び、通信部１０８を含む。画像形成装置１０は、操作部や電源スイッチ等を含んでもよい。制御部１０１は、ＣＰＵ（Central Processing Unit）を含み、記憶部１０４に記憶されたプログラムに基づいて、各種の演算処理を実行するとともに画像形成装置１０の各部を制御する。制御部１０１の詳細については後述する。

表示部１０２は、液晶ディスプレイ等の表示装置で構成され、制御部１０１による情報処理の結果等を表示する。入力部１０３は、タッチパネルやボタンキー等の入力装置により構成され、ユーザからの操作入力を受け付ける。入力部１０３は、電子的な入力装置として表示部１０２に表示されてもよい。入力部１０３は、ユーザインターフェース（ＵＩ）として機能する。記憶部１０４は、例えば、ＲＯＭ、ＲＡＭ、ハードディスクなどの情報記録媒体で構成され、制御部１０１によって実行されるプログラムを保持する情報記録媒体である。また、記憶部１０４は、例えば、制御部１０１のワークメモリとしても動作する。なお、記憶部１０４としては、種々のメモリが適用可能である。例えば、半導体メモリ等の記憶装置によって、記憶部１０４が実現されるようにしてもよい。また、本実施形態において記憶部１０４に記憶されることとして説明するプログラムや各種データは、通信部１０８を介して外部装置から取得されるようにしてもよいし、外部記憶媒体から取得されるようにしてもよい。また、記憶部１０４は、画像形成装置１０の外部に設けられ、画像形成装置１０とネットワーク接続されてもよい。

読取部１０５は、スキャナ等によって構成される。読取部１０５は、紙媒体等の対象物を光学的に走査することにより、対象物の情報を例えば画像情報（画像データ）として読み取る。

データ保存部１０６は、外部（ユーザ端末２０）から通信ネットワーク３０を介して画像形成装置１０に入力（送信）された文書データ、画像データや、読取部１０５により読み取られた画像の電子データ（画像データ）等をファイル形式にして保存する。すなわち、データ保存部１０６には、印刷ジョブデータやスキャンデータ等がファイル形式で保存される。データ保存部１０６は、記憶部１０４と同様、例えば、ＲＯＭやＲＡＭ、ハードディスクなどの情報記録媒体で構成される。データ保存部１０６は、記憶部１０４に含まれてもよいし、画像形成装置１０の外部に設けられ、画像形成装置１０とネットワーク接続されてもよい。例えば、データ保存部１０６は、通信部１０８を介してネットワーク接続されたデータサーバにより構成されてもよい。

出力部１０７は、用紙等の媒体に画像を形成するための印刷手段等で構成される。例えばユーザが印刷指示操作を行うと、出力部１０７は、制御部１０１の処理に基づいて、画像データ等を紙媒体に印刷（出力）する。

通信部１０８は、複数の通信ネットワークに応じた複数の通信インターフェースを含み、複数のユーザ端末２０とデータ通信を行う。例えば、通信部１０８は、第１通信インターフェース１０８ａ及び第２通信インターフェース１０８ｂを含む。第１通信インターフェース１０８ａは、第１通信ネットワーク３０ａ（例えばイントラネット）に接続され、第２通信インターフェース１０８ｂは、第２通信ネットワーク３０ｂ（例えばインターネット）に接続される。各通信インターフェースは、例えば、ＮＩＣ（Network Interface Card）等により構成される。なお、図１には、通信部１０８が２つの通信インターフェース１０８ａ、１０８ｂを含む例を示しているが、通信部１０８に含まれる通信インターフェースの数は、通信ネットワークの数に対応しており、２つに限定されず３つ以上であってもよい。

図２は、画像形成装置１０の機能的なブロック図である。図２に示すように、制御部１０１は、機能的には、データ取得部２０１、ネットワーク判定部２０２、データ情報設定部２０３、アクセス受信部２０４、セキュリティレベル判定部２０５、表示制御部２０６、及び、送信制御部２０７を含む。これら各機能は、記憶部１０４に記憶されたプログラムが、制御部１０１により実行されることによって実現される。

記憶部１０４には、ネットワーク情報データベース（ネットワーク情報ＤＢ）４０１が含まれる。ネットワーク情報ＤＢ４０１には、通信ネットワーク毎に設定されたセキュリティレベルが登録される。例えば、図３に示すように、セキュリティレベルが高い第１通信ネットワーク３０ａには、セキュリティレベル「３」が設定され、セキュリティレベルが低い第２通信ネットワーク３０ｂには、セキュリティレベル「１」が設定されて、ネットワーク情報ＤＢ４０１に登録される。通信ネットワークのセキュリティレベルは、例えば画像形成装置１０の管理者により予め設定される。また、記憶部１０４には、端末情報データベース（端末情報ＤＢ）４０２が含まれる。端末情報ＤＢ４０２には、図４に示すように、画像形成装置１０にネットワーク接続されたユーザ端末２０の情報（端末名、アドレス等）が登録される。

データ取得部２０１は、ユーザ端末２０から通信ネットワーク３０を介して画像形成装置１０に送信（入力）されたデータ（例えば印刷ジョブデータ）や、読取部１０５が読み取った画像のデータ（例えばスキャンデータ）を取得する。また、データ取得部２０１は、取得したデータをファイル形式にしてデータ保存部１０６に保存する。

データ保存部１０６は、複数のデータ保存領域（フォルダ）を含んでもよい。図５は、データ保存部１０６の構成例を示す模式図である。各データ保存領域は、複数のファイルを保存可能に構成されている。また、各データ保存領域は、１又は複数のユーザ端末２０と対応付けられていてもよい。また、例えば、データ保存領域Ａは、ユーザ端末２０から受信したデータを保存し、データ保存領域Ｂは、読取部１０５が読み取ったデータを保存してもよい。

ネットワーク判定部２０２は、データ取得部２０１がユーザ端末２０から送信されたデータを受信すると、該データの伝送において経由した通信ネットワークを判定（特定）する。例えば、ネットワーク判定部２０２は、通信インターフェース毎に付与されている識別子（インターフェース識別子）に基づいて、上記データが、第１通信ネットワーク３０ａ及び第２通信ネットワーク３０ｂの何れの通信ネットワークを経由してデータ保存部１０６に入力されたかを判定する。なお、通信ネットワークの種類の判定は、以下に示す周知の方法により行うことができる。

例えば、ネットワーク判定部２０２が、通信インターフェースがインターネット上の特定の通信先に接続できるか否かの接続テスト（例えば、Pingによる接続テスト）を実施し、この接続テストが成功した場合、ネットワーク判定部２０２は、上記通信インターフェースに接続される通信ネットワークの種類をインターネットと判定する。また、ネットワーク判定部２０２が、通信インターフェースがイントラネット上の特定の通信先に接続できるか否かの接続テストを実施し、この接続テストが成功した場合、ネットワーク判定部２０２は、上記通信インターフェースに接続される通信ネットワークの種類をイントラネットと判定する。また、ネットワーク判定部２０２は、通信インターフェースに割り当てられたＩＰアドレスに基づいて、この通信インターフェースに接続される通信ネットワークの種類を判定してもよい。ＩＰアドレスは、通信ネットワーク（インターネット又はイントラネット）を介して接続されるＤＨＣＰサーバ（図示せず）により割り当てられてもよい。

データ情報設定部２０３は、データ取得部２０１が取得したデータの各種情報をデータ情報ＤＢ４０３に登録する。

例えば、データ情報設定部２０３は、データ取得部２０１がユーザ端末２０から通信ネットワーク３０を介してデータを受信すると、該データ（ファイル）のファイル名、セキュリティレベル、送信元のユーザ端末２０の情報、及び受信日時などの各種情報を、データ保存部１０６に保存される該データ（ファイル）に対応付けてデータ情報ＤＢ４０３に登録する。ファイルのセキュリティレベルは、ネットワーク情報ＤＢ４０１に登録されている通信ネットワークのセキュリティレベル（図３参照）に基づいて設定される。具体的には、ファイルのセキュリティレベルは、ネットワーク判定部２０２の判定結果に基づいて、該ファイルのデータが経由した通信ネットワークの種類に応じて設定される。例えば、ファイルのデータが、ユーザ端末２０ａからセキュリティレベルの高い第１通信ネットワーク３０ａ（ここではイントラネット）を介して画像形成装置１０に入力された場合、データ情報設定部２０３は、該ファイルに高セキュリティレベル「３」を設定する。また例えば、ファイルのデータが、ユーザ端末２０ｂからセキュリティレベルの低い第２通信ネットワーク３０ｂ（ここではインターネット）を介して画像形成装置１０に入力された場合、データ情報設定部２０３は、該ファイルに低セキュリティレベル「１」を設定する。図６には、データ情報ＤＢ４０３に登録される、ファイル（受信データ）の情報の一例を示している。

アクセス受信部２０４は、ユーザ端末２０又は画像形成装置１０の入力部１０３（ＵＩ）から、データ保存部１０６に保存されているファイルに対するアクセスや、端末情報ＤＢ４０２に登録されている端末情報（ユーザ端末２０の情報）に対するアクセスを受信する。具体的には例えば、ユーザＡが、データ保存部１０６に保存されているファイル（ファイル名「Ｐ−Ａ００１」）を、あるユーザ端末２０に送信しようとして当該ファイルにアクセス（例えばファイルを選択）すると、アクセス受信部２０４は、当該アクセスを受信する。また、例えば、ユーザＡが、データ保存部１０６に保存されているファイルをあるユーザ端末２０に送信しようとして、画像形成装置１０に登録されている端末情報にアクセス（例えばユーザ端末「ｔ０００３」のアドレス「ｃｃｃ．ｓｅｒｖｅｒ．ｎｅｔ」を選択）すると、アクセス受信部２０４は、当該アクセスを受信する。アクセス受信部２０４は、データ保存部１０６に保存されたファイルの送信先端末を特定する特定手段として機能する。

セキュリティレベル判定部２０５は、データ保存部１０６に保存されている送信対象のファイルに設定されたセキュリティレベル（図６参照）が、該ファイルを送信先端末（ユーザ端末２０）に送信する際に利用（経由）する通信ネットワークのセキュリティレベル（図３参照）を超えるか否かを判定する。すなわち、ファイルに設定されたセキュリティレベルを「Ｌ１」、通信ネットワークに設定されたセキュリティレベルを「Ｌ２」としたとき、セキュリティレベル判定部２０５は、Ｌ１＞Ｌ２を満たすか否かを判定する。

ここで、ネットワーク判定部２０２は、送信先端末に送信する際に利用される通信ネットワークの種類を判定する。例えば、ネットワーク判定部２０２は、データ情報ＤＢに登録されたファイルの情報（図６参照）に基づいて通信ネットワークの種類を判定する。図６に示すファイルの情報に、データがデータ保存部１０６に入力される際に経由した通信ネットワークの識別情報が登録されてもよい。

表示制御部２０６は、アクセス受信部２０４が受信したアクセス内容と、セキュリティレベル判定部２０５の判定結果とに基づいて、ユーザ端末２０及び画像形成装置１０の表示部１０２に表示される画像の表示内容を制御する。以下、上記アクセス内容に応じた表示内容を例示する。

例えば、データ保存部１０６に保存されているファイルをユーザが選択した場合、表示制御部２０６は、複数のユーザ端末２０のうち、上記「Ｌ１＞Ｌ２」を満たす通信ネットワークに接続されたユーザ端末２０を選択できないように表示させ、上記「Ｌ１＞Ｌ２」を満たさない通信ネットワークに接続されたユーザ端末２０を選択できるように表示させる。例えば図７には、端末名「ｔ０００１」及び「ｔ０００３」のユーザ端末２０が第１通信ネットワーク３０ａに接続され、端末名「ｔ０００２」のユーザ端末２０が第２通信ネットワーク３０ｂに接続されている場合において、ユーザが高セキュリティレベル（Ｌ１＝「３」）に設定されたファイル（ファイル名「Ｐ−Ａ００１」）を選択した場合の送信先端末の選択画面を示している。この場合、端末名「ｔ０００２」のユーザ端末２０は、選択されたファイル（「Ｐ−Ａ００１」）のセキュリティレベル「３」よりも低いセキュリティレベル（Ｌ２＝「１」）である第２通信ネットワーク３０ｂに接続されているため（Ｌ１＞Ｌ２）、該ユーザ端末２０（「ｔ０００２」）は送信先端末として選択できないように表示される。また、図８には、ユーザが低セキュリティレベル（Ｌ１＝「１」）に設定されたファイル（ファイル名「Ｐ−Ｂ００１」）を選択した場合の送信先端末の選択画面を示している。この場合、端末名「ｔ０００１」、「ｔ０００２」、「ｔ０００３」のユーザ端末２０は、選択されたファイル（「Ｐ−Ｂ００１」）のセキュリティレベル「１」以上のセキュリティレベル（Ｌ２＝「１」、「３」）の通信ネットワークに接続されているため、これらユーザ端末２０は送信先端末として選択できるように表示される。なお、表示制御部２０６は、送信先端末として選択可能なユーザ端末２０のみを表示させてもよい。

また例えば、ユーザがファイルを送信する際に、端末情報ＤＢ２０８に登録されている端末情報（ユーザ端末２０の情報）（図４参照）をユーザが選択した場合、表示制御部２０６は、データ保存部１０６に保存されている複数のファイル（図６参照）のうち、上記「Ｌ１＞Ｌ２」を満たすファイルを選択できないように表示させ、上記「Ｌ１＞Ｌ２」を満たさないファイルを選択できるように表示させる。図９には、端末名「ｔ０００１」及び「ｔ０００３」のユーザ端末２０が第１通信ネットワーク３０ａに接続され、端末名「ｔ０００２」のユーザ端末２０が第２通信ネットワーク３０ｂに接続されている場合において、ユーザが、初めに、ファイルの送信先端末として端末名「ｔ０００２」のユーザ端末２０のアドレス「ｂｂｂ．ｓｅｒｖｅｒ．ｎｅｔ」を選択した場合のファイルの選択画面を示している。この場合、端末名「ｔ０００２」のユーザ端末２０は、セキュリティレベルの低い第２通信ネットワーク３０ｂ（Ｌ２＝「１」）に接続されているため、上記「Ｌ１＞Ｌ２」を満たすファイル「Ｐ−Ａ００１」及び「Ｐ−Ａ００２」を選択できないように表示される。また図１０には、ユーザが、初めに、ファイルの送信先端末として端末名「ｔ０００３」のユーザ端末２０のアドレス「ｃｃｃ．ｓｅｒｖｅｒ．ｎｅｔ」を選択した場合のファイルの選択画面を示している。この場合、端末名「ｔ０００３」のユーザ端末２０は、セキュリティレベルの高い第１通信ネットワーク３０ａ（Ｌ２＝「３」）に接続されているため、上記「Ｌ１＞Ｌ２」を満たさない（「Ｌ１≦Ｌ２」を満たす）ファイル「Ｐ−Ａ００１」、「Ｐ−Ｂ００１」、及び「Ｐ−Ａ００２」を選択できるように表示される。なお、表示制御部２０６は、送信ファイルとして選択可能なファイルのみを表示させてもよい。

また、表示制御部２０６は、選択できない送信先端末やファイルが存在する場合に、その旨のメッセージ（警告）を、ユーザ端末２０や画像形成装置１０の表示部１０２に表示させてもよい。また、表示制御部２０６は、選択できない送信先端末やファイルが存在する場合に、送信先端末の変更を促すメッセージや、送信対象のファイルの変更を促すメッセージを、ユーザ端末２０や画像形成装置１０の表示部１０２に表示させてもよい。

なお、表示制御部２０６の上記処理は省略されてもよい。すなわち、表示制御部２０６は、全ての送信先端末や送信対象のファイルをユーザ端末２０や表示部１０２に表示させてもよい。

送信制御部２０７は、セキュリティレベル判定部２０５の判定結果に基づいて、ファイルの送信を実行したり送信を禁止したりする。すなわち、送信制御部２０７は、ユーザが送信対象として選択したファイルのセキュリティレベルと、ユーザが選択した送信先端末が接続される通信ネットワークのセキュリティレベルとに基づいてセキュリティレベル判定部２０５が上記判定処理を行い、この判定結果に基づいて、該ファイルの送信を実行したり送信を禁止したりする。具体的には、送信制御部２０７は、送信対象のファイルのセキュリティレベル「Ｌ１」が、該ファイルを送信する際に利用（経由）する通信ネットワークのセキュリティレベル「Ｌ２」よりも大きい場合（Ｌ１＞Ｌ２）は、該ファイルの送信を禁止し、上記Ｌ１が上記Ｌ２以下の場合（Ｌ１≦Ｌ２）は、該ファイルの送信を実行する。図１１は、上記Ｌ１及び上記Ｌ２と、送信可否の関係の一例を示す対応表である。図１１に示すように、セキュリティレベルの高いファイルが、セキュリティレベルの低い通信ネットワークを介して外部の機器に送信されることを禁止される。

図１２は、画像形成装置１０の動作フロー図である。ここでは、表示制御部２０６の上記処理は省略して説明する。

初めに、データ取得部２０１が、ユーザ端末２０から画像形成装置１０に送信されたデータ（ファイル）を取得する（Ｓ１０１）。データ取得部２０１は、取得したデータをデータ保存部１０６に保存する。次に、ネットワーク判定部２０２が、上記データの伝送において経由した通信ネットワークを判定する（Ｓ１０２）。ここでは、ネットワーク判定部２０２は、上記通信ネットワークが第１通信ネットワーク３０ａであるか、又は第２通信ネットワーク３０ｂであるかを判定する。

次に、データ情報設定部２０３が、ネットワーク判定部２０２の判定結果に基づいて、上記データのセキュリティレベルを設定する（Ｓ１０３）。例えば、上記データが経由した通信ネットワークが第１通信ネットワーク３０ａである場合は、データ情報設定部２０３は、上記データのファイルにセキュリティレベル「３」を設定する。また例えば、上記データが経由した通信ネットワークが第２通信ネットワーク３０ｂである場合は、データ情報設定部２０３は、上記データのファイルにセキュリティレベル「１」を設定する。

次に、アクセス受信部２０４が、データ保存部１０６に保存されているファイルに対するアクセス（ファイルの選択）と、該ファイルの送信先端末に対するアクセス（送信先端末の選択）とを受信する（Ｓ１０４）。これにより、アクセス受信部２０４は、送信対象のファイルと、該ファイルの送信先端末とを特定する。

次に、ネットワーク判定部２０２が、上記ファイルが送信先端末へ送信される際に利用（経由）する通信ネットワークが第１通信ネットワーク３０ａであるか又は第２通信ネットワーク３０ｂであるかを判定する（Ｓ１０５）。

次に、セキュリティレベル判定部２０５が、データ保存部１０６に保存されている送信対象のファイルに設定されたセキュリティレベル（Ｌ１）が、ネットワーク判定部２０２により判定された通信ネットワークのセキュリティレベル（Ｌ２）を超えるか否かを判定する（Ｓ１０６）。

ファイルのセキュリティレベルＬ１が通信ネットワークのセキュリティレベルＬ２を超える場合（Ｌ１＞Ｌ２）、送信制御部２０７は、該ファイルの送信を禁止する（Ｓ１０７）。一方、ファイルのセキュリティレベルＬ１が通信ネットワークのセキュリティレベルＬ２以下である場合（Ｌ１≦Ｌ２）、送信制御部２０７は、該ファイルの送信を実行する（Ｓ１０８）。

画像形成装置１０は、例えば以上の処理により、データ保存部１０６に保存されたファイルの外部への送信を制御する。

以上説明した画像形成装置１０の構成によれば、データ保存部１０６に保存されたデータ（ファイル）を通信ネットワークを介して他の機器（ユーザ端末等）に送信する際に、ユーザが、送信を要求するファイルの機密性や、送信先の機器に接続される通信ネットワークのセキュリティレベルを考慮せずに送信指示した場合でも、セキュリティレベルの高い機密文書が、セキュリティレベルの低い通信ネットワークを介して送信されてしまうことを防ぐことができる。このため、情報漏洩のリスクを低減することができる。

ここで、上記の構成では、ファイルのセキュリティレベルは、データ情報設定部２０３が、通信ネットワーク３０のセキュリティレベルに基づいて設定しているが、これに限定されない。例えば、ファイルを作成及び送信するユーザが、該ファイルのセキュリティレベルを手動で設定してもよい。また、ファイルが保存される保存領域に応じて、該ファイルのセキュリティレベルが設定されてもよい。例えば、図５に示すデータ保存領域において、データ保存領域Ａ，Ｂに保存されるファイルには、セキュリティレベル「３」が設定され、データ保存領域Ｃ，Ｄに保存されるファイルには、セキュリティレベル「１」が設定されてもよい。

また、上記の構成では、ファイルのセキュリティレベル及び通信ネットワークのセキュリティレベルは、２段階（「３」、「１」）に設定されるが、これに限定されない。例えば、両セキュリティレベルが、高、中、低の３段階（「３」、「２」、「１」）に設定されてもよい。この場合の画像形成装置１０に接続される通信ネットワークは、例えば、社内ＬＡＮを構築する通信ネットワーク（セキュリティレベル「３」）と、拠点（事業所）間の通信を構築する通信ネットワーク（セキュリティレベル「２」）と、インターネットを構築する通信ネットワーク（セキュリティレベル「１」）とで構成される通信形態が挙げられる。この場合、ファイルのセキュリティレベルは、上記３つの通信ネットワークのセキュリティレベルに応じて設定される。図１３は、両セキュリティレベルが３段階に設定される場合の、ファイルのセキュリティレベルＬ１及び通信ネットワークのセキュリティレベルＬ２と、ファイルの送信可否の関係の一例を示す対応表である。図１３に示すように、送信対象のファイルのセキュリティレベル「Ｌ１」が、ファイルを送信する際に利用（経由）する通信ネットワークのセキュリティレベル「Ｌ２」よりも大きい場合（Ｌ１＞Ｌ２）は、該ファイルの送信を禁止し、上記Ｌ１が上記Ｌ２以下の場合（Ｌ１≦Ｌ２）は、該ファイルの送信を実行する。

ここで、上記の構成では、データ保存部１０６に保存されるデータ（ファイル）が、外部の機器（ユーザ端末）から何れかの通信ネットワーク３０を介して伝送（入力）されたものであるが、該データはこれに限定されない。例えば、データ保存部１０６に保存されるデータ（ファイル）は、読取部１０５が読み取った画像のスキャンデータ（以下、データという。）であってもよい。以下では、上記データがスキャンデータである場合について説明する。なお、上述した構成と同一の構成については、説明を省略する。

データ取得部２０１は、読取部１０５が読み取った画像のデータを取得し、取得したデータをファイル形式にしてデータ保存部１０６に保存する。

データ情報設定部２０３は、データ取得部２０１が取得したデータの各種情報をデータ情報ＤＢ４０３に登録する。例えば、データ情報設定部２０３は、読取部１０５が読み取った画像のデータをデータ取得部２０１が取得すると、該データ（ファイル）のファイル名、セキュリティレベル、及び取得日時などの情報を、データ保存部１０６に保存される該データ（ファイル）に対応付けてデータ情報ＤＢ４０３に登録する。ファイルのセキュリティレベルは、読取対象の用紙（対象物）に設定されたセキュリティレベルに基づいて設定される。例えば、対象物に電子透かし等の方法を利用して付加された情報に基づいて、該対象物を読み取ったデータのセキュリティレベルが設定される。より具体的には、例えば、対象物が、ユーザ端末２０ａから第１通信ネットワーク３０ａを介して画像形成装置１０に入力されたデータの画像が印刷されたものである場合は、該対象物に高セキュリティレベル（例えば「３」）を示す電子透かしの情報が付加される。そして、高セキュリティレベルを示す電子透かしの情報が付加された対象物を読取部１０５が読み取った場合、データ情報設定部２０３は、読み取ったデータに高セキュリティレベル（「３」）を設定する。また例えば、対象物が、ユーザ端末２０ｂから第２通信ネットワーク３０ｂを介して画像形成装置１０に入力されたデータの画像が印刷されたものである場合は、該対象物に低セキュリティレベル（例えば「１」）を示す電子透かしの情報が付加される。そして、低セキュリティレベルを示す電子透かしの情報が付加された対象物を読取部１０５が読み取った場合、データ情報設定部２０３は、読み取ったデータに低セキュリティレベル（「１」）を設定する。図１４には、データ情報ＤＢ４０３に登録される、ファイル（スキャンデータ）の情報の一例を示している。

なお、ファイルのセキュリティレベルは、対象物の内容（例えば文書中のキーワード）を解析（文書解析）し、解析結果に基づいてセキュリティレベルを設定してもよい。例えば、対象物の文書中に予め定められたキーワードが含まれる場合は、データ情報設定部２０３は、読み取ったデータに高セキュリティレベル（例えば「３」）を設定する。文書作成アプリケーションプログラムを用いて作成されたファイルの場合は、ファイルに含まれるデータを解析してキーワードを抽出してもよいし、紙媒体の情報を光学的に走査して読み取ることにより得られた画像データをＯＣＲ（Optical Character Recognition）技術により解析することによりキーワードを抽出するようにしてもよい。また、ファイルのセキュリティレベルは、対象物を読み取った際に、入力部１０３（ＵＩ）においてユーザにより手動で設定されてもよい。

データ保存部１０６に保存されたスキャンデータの外部への送信を制御する構成は、上述の構成と同一である。

１００ 画像形成システム、１０ 画像形成装置、２０ ユーザ端末、３０ａ 第１通信ネットワーク、３０ｂ 第２通信ネットワーク、１０１ 制御部、１０２ 表示部、１０３ 入力部、１０４ 記憶部、１０５ 読取部、１０６ データ保存部、１０７ 出力部、１０８ 通信部、１０８ａ 第１通信インターフェース、１０８ｂ 第２通信インターフェース、２０１ データ取得部、２０２ ネットワーク判定部、２０３ データ情報設定部、２０４ アクセス受信部、２０５ セキュリティレベル判定部、２０６ 表示制御部、２０７ 送信制御部、４０１ ネットワーク情報ＤＢ、４０２ 端末情報ＤＢ、４０３ データ情報ＤＢ。

Claims (10)

1. セキュリティレベルが互いに異なる複数の通信ネットワークのそれぞれに個別に接続される複数の通信インターフェースと、
   データ保存部に保存されたファイルの送信先端末を特定する特定手段と、
   前記ファイルが前記送信先端末へ送信される際に経由する前記通信ネットワークを判定するネットワーク判定手段と、
   前記ファイルに設定されたセキュリティレベルが、前記ネットワーク判定手段により判定された前記通信ネットワークに設定されたセキュリティレベルよりも低い場合は、該ファイルの前記送信先端末への送信を禁止する送信制御手段と、
   を含むことを特徴とする情報処理装置。
2. 前記送信制御手段は、前記ファイルに設定されたセキュリティレベルが、前記ネットワーク判定手段により判定された前記通信ネットワークに設定されたセキュリティレベル以上の場合は、該ファイルの前記送信先端末への送信を実行する、
   ことを特徴とする請求項１に記載の情報処理装置。
3. 前記ファイルに設定されるセキュリティレベルは、該ファイルが前記データ保存部に入力される際に経由した前記通信ネットワークに設定されたセキュリティレベルに応じて設定される、
   ことを特徴とする請求項１に記載の情報処理装置。
4. 第１通信ネットワークを介して前記データ保存部に入力される前記ファイルに設定されるセキュリティレベルは、前記第１通信ネットワークよりもセキュリティレベルの低い第２通信ネットワークを介して前記データ保存部に入力される前記ファイルに設定されるセキュリティレベルよりも高い、
   ことを特徴とする請求項３に記載の情報処理装置。
5. 前記データ保存部には、外部端末から前記通信ネットワークを介して入力されたファイルが保存されており、
   前記ファイルには、前記データ保存部に入力される際に経由した前記通信ネットワークに設定されたセキュリティレベルに応じたセキュリティレベルが設定される、
   ことを特徴とする請求項１に記載の情報処理装置。
6. 紙媒体の情報を光学的に走査して読み取る読取部をさらに含み、
   前記データ保存部には、前記読取部により読み取られた情報に対応するファイルが保存されており、
   前記ファイルには、前記紙媒体に予め付加されたセキュリティレベルが設定される、
   ことを特徴とする請求項１に記載の情報処理装置。
7. 前記紙媒体に、セキュリティレベルに対応する電子透かしの情報が付加され、
   前記紙媒体を前記読取部が読み取ることにより得られた前記電子透かしの情報に基づいて、前記ファイルのセキュリティレベルを設定する、
   ことを特徴とする請求項６に記載の情報処理装置。
8. 紙媒体の情報を光学的に走査して読み取る読取部をさらに含み、
   前記データ保存部には、前記読取部により読み取られた画像データに対応するファイルが保存されており、
   前記ファイルには、前記画像データを文書解析して抽出されたキーワードに基づいてセキュリティレベルが設定される、
   ことを特徴とする請求項１に記載の情報処理装置。
9. 当該情報処理装置にネットワーク接続された端末の情報を表示部に表示させる表示制御手段をさらに含み、
   前記表示制御手段は、前記ファイルに設定されたセキュリティレベルが、前記ネットワーク判定手段により判定された前記通信ネットワークに設定されたセキュリティレベルよりも低い場合は、前記端末の情報の一覧から前記送信先端末を選択できないように表示させる、
   ことを特徴とする請求項１に記載の情報処理装置。
10. セキュリティレベルが互いに異なる複数の通信ネットワークのそれぞれに個別に接続される複数の通信インターフェースを含むコンピュータを、
    データ保存部に保存されたファイルの送信先端末を特定する特定手段、
    前記ファイルが前記送信先端末へ送信される際に経由する前記通信ネットワークを判定するネットワーク判定手段、及び、
    前記ファイルに設定されたセキュリティレベルが、前記ネットワーク判定手段により判定された前記通信ネットワークに設定されたセキュリティレベルよりも低い場合は、該ファイルの前記送信先端末への送信を禁止する送信制御手段、
    として機能させるためのプログラム。

Images