JP2017138883A - 装置及びその制御方法、並びにプログラム - Google Patents

Abstract

【課題】ポリシーの下で統一的に管理される機器について、ソフトウェアのアップデートによりポリシーに関わる動作設定が追加された場合に、人の手を煩わすことなく、ポリシーに従った状態を維持する。【解決手段】インストールされているソフトウェアの機能に対応する動作設定及び当該動作設定の変更をユーザに許容するかどうかを制御するアクセス制御情報を、セキュリティポリシーの内容とその適用の有無を示す情報を含むポリシーデータに従って設定する。前記セキュリティポリシーの影響を受ける前記動作設定の追加がアップデートの実行に伴って生じた場合に、前記適用の有無を示す情報と当該追加された動作設定に関する前記アクセス制御情報との間に矛盾があるか判定し、矛盾があると判定された場合に、前記適用の有無を示す情報と前記追加された動作設定に関する前記アクセス制御情報とを整合させる。【選択図】図１０

Description

本発明は、ネットワーク環境における機器を情報セキュリティポリシーに従って管理する技術に関する。

ネットワークに接続された様々な機器、例えば、クライアントＰＣや各種サーバ（ファイルサーバや認証サーバ）は、オフィス毎に決められた情報セキュリティポリシーに従って運用されることが望ましい。情報セキュリティポリシーとは、企業全体の情報セキュリティに関する基本方針であり、情報を利用する際の基準や、外部からの侵入や情報漏えいを防止するための方針をまとめたものを指す。（以下、本明細書においては、「セキュリティポリシー」又は「ポリシー」と呼ぶものとする。）ネットワーク環境にあるＰＣやサーバは、このポリシーに従って、例えば操作する際にはユーザ認証を必須とする、通信経路の暗号化を必須とするといったような、その不正使用や情報漏えいを防ぐために運用に制約が設けられることになる。

ネットワークに接続される機器としては、上述したＰＣや各種サーバ以外に、複合機やプリンタといった周辺装置がある。近年の複合機は、印刷、コピー、ＦＡＸ送信といった機能に加え、画像データを格納しＰＣに対してファイルサービスを提供する機能（BOX保存機能）を有するものも存在し、サーバと同様の役割を果たすようになってきている。したがって、安全・安心なオフィス環境の実現には、ＰＣやサーバと同様に、複合機やプリンタといった周辺装置も、ポリシーに従うことが求められることになる。

ところで、従来の複合機においては、機器の動作に関わるいくつかの設定（以下ではユーザモードと呼ぶ）を管理者が行い、管理者の判断のもとでセキュリティポリシーに従って動作させることが可能である。

しかし従来のユーザモードの設定では、数多くの設定項目を正しく設定する必要があり、正しい設定がなされないとセキュリティポリシーに従わない運用を事実上許容することになり、オフィスのセキュリティを脅かす可能性があった。

特許文献１では、複合機にインストールされているソフトウェアのアップデート後に、ユーザに対して動作確認が必要な機能の一覧を表示し、ユーザに正しく動くかどうか検証させる技術について開示されている。このシステムによれば、ユーザに対してポリシーの設定値と当該ポリシーの影響を受ける動作設定に関するフラグ値を確認し、矛盾している場合は再設定させることで、ポリシーの設定値と動作設定のフラグ値の矛盾状態が起こらないようにすることができる。

特開２００９−１８７３７７号公報

しかしながら、上述のような確認作業は管理者にとっては手間の係る作業であり、ソフトウェアのアップデートの度に毎回行なうのは煩雑である。また、ポリシー設定値の確認ミスや動作設定についての入力ミスといったように、ポリシーに矛盾しているにも関わらず正しい設定と誤判断してしまうヒューマンエラーが起きる可能性もある。

本発明に係る装置は、ネットワークに接続された環境下で、セキュリティポリシーに従って管理される装置であって、インストールされているソフトウェアの機能に対応する動作設定及び当該動作設定の変更をユーザに許容するかどうかを制御するアクセス制御情報を、前記セキュリティポリシーの内容とその適用の有無を示す情報を含むポリシーデータに従って設定する、ポリシー設定手段と、前記ソフトウェアのアップデートを行なうアップデート処理手段と、を備え、前記アップデート処理手段は、前記セキュリティポリシーの影響を受ける前記動作設定の追加が前記アップデートの実行に伴って生じた場合に、前記適用の有無を示す情報と当該追加された動作設定に関する前記アクセス制御情報との間に矛盾があるか判定する判定手段をさらに備え、前記判定手段で矛盾があると判定された場合に、前記ポリシー設定手段による前記設定によって、前記適用の有無を示す情報と前記追加された動作設定に関する前記アクセス制御情報とを整合させることを特徴とする。

本発明によれば、ポリシーの下で統一的に管理される機器について、ソフトウェアのアップデートによりポリシーに関わる動作設定が追加された場合に、人の手を煩わすことなく、ポリシーに従った状態を維持することができる。

ソフトウェアのアップデートに伴って「WebDAV送信機能」が追加された状態を示す図である。 情報処理システムの構成の一例を示す図である。 （ａ）はＰＣにおける、（ｂ）はＭＦＰにおける、ポリシー制御に関連する処理部の構成を示す機能ブロック図である。 （ａ）及び（ｂ）は、ポリシーデータによってユーザモードが設定変更される様子を説明する図、（ｃ）は、ソフトウェアのアップデートによって、ポリシーに影響を受けるユーザモードが新たに追加された様子を示す図である。 （ａ）はポリシーデータを生成するためのＵＩ画面としてのポリシー設定画面の一例を示す図であり、（ｂ）はポリシーデータの一例を示す図である。 ポリシーデータを適用する際の処理の流れを示すフローチャートである。 （ａ）及び（ｂ）は、ポリシーに対応する変換ルールの一例である。 （ａ）〜（ｄ）は、ユーザモード管理リストの一例を示した図である。 （ａ）〜（ｄ）は、世代情報管理リストの一例を示した図である。 アップデート後に行われる、ポリシーに矛盾しない状態で利用できるようにするための処理の流れを示すフローチャートである。

以下、添付の図面を参照して、本発明を実施する形態について説明する。なお、以下の実施例において示す構成は一例に過ぎず、本発明は図示された構成に限定されるものではない。

図２は、本実施例に係る情報処理システムの構成の一例を示す図である。図２の情報処理システムは、複合機（MFP：Multi Function Peripheral）１００とＰＣ１１０で構成され、ネットワーク１２０を介して相互に接続されている。なお、情報処理システムを構成する機器は、図示例に限定されるものではなく、ＭＦＰ１００とＰＣ１１０以外の機器、例えば、プリンタ、スキャナ、携帯端末等でもよい。

まず、ＭＦＰ１００の構成について説明する。ＭＦＰ１００は、ＣＰＵ１０１、ＲＡＭ１０２、記憶デバイス１０３、スキャナ部１０４、プリンタ部１０５、ＵＩ操作部１０６及びネットワーク通信部１０７で構成され、各部がバス１０８で接続されている。ネットワーク通信部１０７は、ネットワーク１２０を介してＰＣ１１０等の外部機器と通信を行うためのインタフェースである。ＵＩ操作部１０６は、ＭＦＰ１００の状態を表示して各種設定を行なったりするための、ユーザの入力操作を受け付けるユーザインタフェースである。ＣＰＵ１０１は、印刷データの画像処理やスキャン処理といった各種制御のための演算処理を行なうプロセッサであり、ＭＦＰ１００を統括的に制御する。ＲＡＭ１０２は、ＣＰＵ１０１が各種演算処理を実行するためのワークエリアであり、プログラムコードや画像データなどの一時的な記憶にも利用される。記憶デバイス１０３は、ソフトウェアや画像データ等を記憶するための大容量記憶装置であり、例えばＨＤＤなどである。スキャナ部１０４は、不図示の原稿台にセットされた文書を光学的に読み取る読取処理部である。プリンタ部１０５は、印刷対象の画像データに従って電子写真方式やインクジェット方式といった方法で紙等の記録媒体に画像を印刷する印刷処理部である。

上記構成において、例えばコピー機能は次のように実現される。まず、ＵＩ操作部１０６を介したコピー指示に応答して、ＣＰＵ１０１の制御下でスキャナ部１０４が不図示の原稿台にセットされた文書を読み取って画像データを生成する。生成された画像データは必要な画像処理が施された後にプリンタ部１０５に送られ、紙等の記録媒体上に画像が形成されて出力される。また、スキャンファイルの送信機能は次のように実現される。まず、ＵＩ操作部１０６を介したスキャンファイルの送信指示に応答して、ＣＰＵ１０１の制御下でスキャナ部１０４が不図示の原稿台にセットされた文書を読み取って画像データを生成する。生成された画像データは所定のフォーマット変換が行われた後、スキャンファイルとしてネットワーク通信部１０７からネットワーク１２０を介して、外部に送信される。ネットワーク１２０を介して外部に送信する際は、SMTP、POP、WebDAVといったプロトコルが用いられる。なお、SMTPは、“Simple Mail Transfer Protocol”の略称である。POPは、“Post Office Protocol”の略称である。WebDAVは、“Web-based Distributed Authoring and Versioning”の略称である。

次に、ＰＣ１１０について説明する。ＰＣ１１０は、ＣＰＵ１１１、ＲＡＭ１１２、記憶デバイス１１３、入力デバイス１１４、表示デバイス１１５及びネットワーク通信部１１６で構成され、各部がバス１１７で接続されている。ネットワーク通信部１１６は、ネットワーク１２０を介してＭＦＰ１００等の外部機器と通信を行うためのインタフェースである。ＣＰＵ１１１は、ＰＣ１１０を統括的に制御するプロセッサである。ＲＡＭ１１２は、ＣＰＵ１１１が各種演算処理を実行するためのワークエリアである。記憶デバイス１１３は、ソフトウェアや画像データ等を記憶するための大容量記憶装置であり、例えばＨＤＤなどである。入力デバイス１１４は、管理者等のユーザが各種入力操作を行うためのマウスやキーボードなどを指す。表示デバイス１１５は、液晶モニタ等で構成され、ユーザに必要な情報を伝えるための各種画面表示を行う。なお、タッチパネル機能を有した表示デバイス１１５が、入力デバイス１１４の機能を兼ね備えてもよい。

図３（ａ）は、ＰＣ１１０におけるポリシー制御に関連する処理部の構成を示す機能ブロック図である。
ポリシーデータ生成部２１１は、管理者による入力操作に従って、ポリシーの内容を特定する文字列（ポリシー名）とその適用の有無を示す情報（例えばON/OFFで表す２値データ）で構成されるポリシーデータの生成を行う。前述のとおり、このポリシーデータは個々の機器（ここではＭＦＰ１００）に依存しない形式のデータである。生成されたポリシーデータは、記憶デバイス１１３に記憶される。

ポリシー設定指示部２１２は、ネットワーク環境下にある対象機器（ここではＭＦＰ１００）をポリシーに従わせる状態に移行させたり、逆にポリシーに従わない状態に移行させたりするための設定指示を行なう。この設定指示の際には、上述のポリシーデータがネットワーク通信部１１６を介して対象機器に送られる。

アップデート指示部２１３は、ネットワーク環境下にある対象機器の主要な制御を担うソフトウェアのアップデート指示を、当該対象機器に対し行なう。このアップデート指示の際は、アップデートデータ（例えば最新バージョンのソフトウェアの全部或いは旧バージョンとの差分のデータ、）がネットワーク通信部１１６を介して対象機器に送られる。そして、アップデートデータには、後述の変換ルールも含まれ得る。

図３（ｂ）は、ＭＦＰ１００におけるポリシー制御に関連する処理部の構成を示す機能ブロック図である。
ユーザモード管理部２０１は、ＭＦＰ１００内の種々の動作設定（以下、「ユーザモード（Umode）」とも表記する。）の内容を特定する文字列とそれを有効にするかどうかを定める設定値、及びアクセス制御情報（本実施例では上述のフラグ）を記憶デバイス１０３に保存し、管理する。ユーザモードの内容を特定する文字列とは、例えば前述の図１における「SMTP送信時の証明書確認」、「POP受信時の証明書確認」「WebDAV送信時の証明書確認」などが該当する。 「SMTP送信時の証明書確認」及び「POP受信時の証明書確認」は、スキャンファイルの送信にTLSを用いたSMTPやPOPを使うときに、通信先から送られてきた証明書を検証するか否かを設定する項目である。また、「WebDAV送信時の証明書確認」は、ＭＦＰ１００がスキャンファイルの送信にTLSを用いたWebDAVを使うときに、通信先から送られてきた証明書を検証するか否かを設定する項目である。なお、TLSは“Transport Layer Security”の略称であり、通信を暗号化して行うことで安全な通信を実現するプロトコルの１種である。

変換ルール管理部２０２は、ＰＣ１１０から受け取ったポリシーデータを、ＭＦＰ１００固有の上述した動作設定（ユーザモード）に変換するための変換ルールを、記憶デバイス１０３に保存し管理する。この変換ルールは、ソフトウェアの一部として予め開発者によって作成され、記憶デバイス１１３に格納されている。また、上述のアップデートデータの一部としてＰＣ１１０から受け取る場合もある。

ポリシー設定部２０３は、ＰＣ１１０からのポリシー設定指示に従ってポリシーをＭＦＰ１００に反映させる処理を行なう。具体的には、予め用意された上記変換ルールに基づいて、受け取ったポリシーデータを自身の動作設定（ユーザモード）の設定値とアクセス制御用のフラグ値に変換して、設定・更新する処理を行なう。

ポリシー管理部２０４は、ＭＦＰ１００がポリシーに従っている状態とするかどうかを決定する設定値（ポリシー設定値）を、ポリシーの内容を表す文字列（ポリシー名）と対応付けて記憶デバイス１０３に保存し、管理する。このポリシー設定値は、ポリシーデータに従って設定される。

世代情報管理部２０５は、ＭＦＰ１００の制御用ソフトウェアの世代情報（バージョン情報）を記憶デバイス１０３に保存し、管理する。ここで世代情報は、当該ソフトウェアが持つ機能が増えるのに応じて、世代を示す数値が“ver.0.0”“ver.1.0”“ver.2.0”といった具合に大きくなるものとする。世代情報管理部２０５で管理する世代情報には、現に適用中のソフトウェアのバージョンを示す世代情報（以下、「現時世代情報」）と、ポリシーが反映された時点でのソフトウェアのバージョンを示す世代情報（以下、設定時世代情報）の２種類がある。

アクセス制御部２０６は、アクセス制御情報に基づいて、ユーザモードの設定値変更を行なおうとするユーザアクセスを制御する。本実施例では、フラグ値がONであればポリシーデータ以外の方法ではユーザモードの設定値を変更できないようにユーザのアクセスが制限され、フラグ値がOFFであればアクセスは制限されずにユーザは自由にユーザモードの設定値を変更できるようになる。

アップデート処理部２０７は、アップデート指示と共にＰＣ１１０から送られる上述のアップデートデータを用いて、現在インストールされている（記憶デバイス１０３等に格納されている）ソフトウェアのアップデートを行なう。その際、アップデートデータに、新たな機能に対応する変換ルールが含まれていれば、変換ルール管理部２０２の管理下にある変換ルールの更新も行なう。さらにアップデート処理部２０７は、ポリシーに従った状態でソフトウェアのアップデートが行われた場合に、ポリシーに矛盾することなく継続して利用できるようにするための処理も行なう。この処理の詳細については後述する。

なお、本実施例では、図３（ａ）及び（ｂ）で示した各処理部の機能がソフトウェアで構成されているものとして説明するが、その一部がハードウェアで構成されていてもよい。

ここで、本実施例の課題について改めて確認する。特許文献１に開示のシステムを採用してポリシーに従った状態に置かれた複合機は、そのままの状態で維持される必要がある。そのための方策として、ポリシーデータに基づいてなされた動作設定についてはユーザからのアクセスに制限を設けるという手法が考えられる。具体的には、個々の動作設定にアクセスを制御する情報を付加し、ポリシーデータに基づく動作設定の設定が完了したタイミングで、ユーザアクセスに制限をかけるようにする。アクセスを制御する情報としては、例えば“ON”の場合にユーザアクセスを禁止し、“OFF”の場合にユーザアクセスを許容する（アクセス制限を解除する）フラグが考えられる。このようなフラグによってアクセス制御を行う場合、フラグがONの間は、ポリシーデータによる設定変更以外の手段では動作設定の内容を変更できなくなる。これによりポリシーに基づいたセキュリティの統一的な管理が可能となる。このような手法によって動作設定に対するユーザアクセスに制限を設けたシステムにおいて、複合機にインストールされているソフトウェアのアップデートによる新機能の追加に伴い、ポリシーに影響を受ける動作設定が追加されることがある。フラグ値の更新はポリシーデータに基づいてなされるところ、ポリシーに従った状態の下で上記アップデートが行なわれると、新たに追加される動作設定のフラグ値は更新されることがない。つまり、新たな機能が追加される時のフラグのデフォルト値であるOFFの状態となる。この場合、ポリシーに従った状態（ポリシー設定値がONの状態）であるにも関わらず、アクセス制御のフラグ値はOFFという矛盾した状態となり、複合機はポリシーに基づいたセキュリティの統一的な管理から外れることになる。図１は、ソフトウェアのアップデートに伴って「WebDAV送信機能」が追加された状態を示す図である。ポリシー設定値がONの状態でアップデートがなされた結果、新たに追加された「WebDAV送信機能」の動作設定（Umode）に関するアクセス制御用のフラグ値（OFF）との間で矛盾が生じている。

上記内容を、さらに段階を踏んで説明する。図４（ａ）及び（ｂ）は、ＰＣ１１０から送信されたポリシーデータによって、ユーザモードが設定変更される様子を示している。図４（ａ）の場合のポリシーデータは、「TLS通信時は必ずサーバ証明書を検証する」というポリシーの設定値をOFFからONに変更するというものである。こうしてポリシー設定値をONに変更する場合、当該ポリシーの影響を受けるユーザモード「SMTP送信時の証明書確認」及び「POP受信時の証明書確認」の設定値がOFFからONに変わると共に、アクセス制御用のフラグ値もOFFからONに変わる。このように、ポリシー設定値がONになるのに合わせてフラグ値が（デフォルト値であるOFFから）ONに切り替わることで複合機はポリシーに従った状態に移行し、ユーザは自由にユーザモードの設定値を変更することができなくなる。

これに対し図４（ｂ）の場合のポリシーデータは、「TLS通信時は必ずサーバ証明書を検証する」というポリシーの設定値をONからOFFに変更するというものである。このように、ポリシー設定値がOFFに変わると、アクセス制御用のフラグ値もOFFに変わり、ユーザは自由にユーザモードの設定値を変更することが可能となる。

図４（ｃ）は、ソフトウェアのアップデートによって、ポリシー「TLS通信時は必ずサーバ証明書を検証する」の影響を受けるユーザモードとして、「WebDAV送信時の証明書確認」が新たに追加された様子を示している。この例では、ソフトウェアのアップデート時点でポリシー設定値はOFFであり、３つのユーザモードに関する設定値とフラグ値がすべてOFFである。この場合、上記図４（ａ）と同様、ポリシー設定値がONに変わるのに合わせ、追加された「WebDAV送信時の証明書確認」を含めたすべてのユーザモードの設定値がOFFからONに変わることになる。このように、ユーザモード（すなわち、新機能）の追加を伴うソフトウェアのアップデート時点でポリシー設定値がOFFであれば、ポリシー設定値とユーザモードのアクセス制御用フラグ値との矛盾という本発明の課題は生じないことになる。

しかし、ユーザモードの追加を伴うソフトウェアのアップデート時点で、ポリシーに従っている状態（ポリシー設定値がON）の場合には上述の矛盾の問題が生じる。本来、ポリシー「TLS通信時は必ずサーバ証明書を検証する」のポリシー設定値がONのときには、ユーザモード「WebDAV送信時の証明書確認」の設定値とそのフラグ値もONである必要がある。しかし、ソフトウェアのアップデートだけでは、ユーザモードの設定値やフラグ値がポリシーに合わせて更新されることがない。そのため、ポリシーとユーザモードのアクセス制御用フラグ値とが矛盾するという本発明の課題が生じるのである。

なお、図４の例では、ポリシー設定値がOFFからONに変わるのに伴い、すべてのユーザモードの設定値もOFFからONに変わっている。しかし、ポリシー設定値の変更に伴ってユーザモードの設定値も変わるかどうかは、当該ユーザモードを規定する説明文が肯定と否定のどちらで表現されているのかで異なってくる。要は、ポリシーが有効になるとユーザモードの設定値はポリシーと整合するように強制されるということである。なお、情報セキュリティのレベルとユーザの利便性は、一般的にはトレードオフの関係にある。そのため、新機能追加時におけるユーザモードのデフォルト設定値は、セキュリティレベルが低い方（上記の例ではOFF）であることが多い。図１及び図４（ｃ）から明らかなように、本実施例もこれを前提としているが、ユーザモードのデフォルト設定値はセキュリティレベルが高い方であってもよい。この場合、ポリシー設定値がONの状態でアップデートがなされても、新たに追加されたユーザモードの設定値もONであるので、この限りにおいて矛盾の問題は生じないことになる。しかし、アクセス制御用のフラグ値はポリシーに従わせる場合にのみONにするものであることから、そのデフォルト値は常にOFFである。そのため、少なくともフラグ値との関係では、上記矛盾の問題がやはり生じることになる。

続いて上述した課題、すなわち、ソフトウェアアップデート時におけるポリシー設定値とユーザモードのアクセス制御用フラグ値との間の矛盾を解決する方策について、図１に示す情報処理システムを例に説明する。
まず、ネットワーク環境下にあるＭＦＰ１００をポリシーに従った状態にするための、ＰＣ１１０における処理について説明する。

前述のとおり、ＭＦＰ１００をポリシーに従わせる際にはポリシーデータが用いられる。このポリシーデータは、ＰＣ１１０において、表示部１１５に表示されるポリシー設定用のＵＩ画面に管理者が必要な情報の入力を行なうことで生成される。図５（ａ）は、ポリシーデータを生成するためのＵＩ画面としてのポリシー設定画面の一例を示す図である。図５（ａ）に示すポリシー設定画面は、ポリシー「TLS通信時は必ずサーバ証明書を検証する」についてのデータを生成するための画面例である。なお、本明細書では説明の便宜上、ポリシーの内容として専ら「TLS通信時は必ずサーバ証明書を検証する」を対象に説明するものとするが、実際にはより多くの内容のポリシーが存在することはいうまでもない。なお、「TLS通信時は必ずサーバ証明書を検証する」とは、ＭＦＰ１００の各種通信機能でTLSを利用する場合に、サーバ証明書を検証することを定めたポリシーである。

ＭＦＰ１００をポリシー「TLS通信時は必ずサーバ証明書を検証する」に従わせたいと考えた管理者は、図５（ａ）のポリシー設定画面において、ラジオボタン５０１でONを選択して、ＯＫボタン５０２を押下する。これにより、ポリシー生成部２１１は、ポリシー設定画面上で入力された内容（この場合はポリシーに従わせる）に応じたポリシーデータを生成する。図５（ｂ）は、XML形式で表したポリシーデータの一例を示している。図５（ｂ）のポリシーデータは、ポリシー「TLS通信時は必ずサーバ証明書を検証する」について、その適用の有無を示すポリシー設定値を「ON」にすることを指示する内容となっている。こうして生成されたポリシーデータは、記憶デバイス１１３に格納される。なお、ポリシーデータの形式は、XML形式に限定されるものではなく、他のデータ形式であってもよい。ここでは、ポリシーの設定値がラジオボタンを用いて選択される例を説明したが、テキストフィールドによる入力やチェックボックスによって複数の選択肢から選択が可能な形式であってもよい。

そして、複合機１００をポリシーに従わせる旨の管理者による指示に応答して、ポリシー設定指示部２１２は、記憶デバイス１１３からポリシーデータを読み出し、ネットワーク通信部１１６を介してＭＦＰ１００に送信する。なお、本実施例では入力デバイス１１４を用いた管理者からの明示の指示に基づきポリシーデータを送信する構成を想定しているが、ポリシーデータが生成された時点で自動送信されるように構成してもよい。

続いて、ＭＦＰ１００においてポリシーデータを用いて、ポリシーに従った状態（又は従わない状態）に移行させる処理（ポリシー設定処理）について説明する。図６は、ポリシー設定処理の流れを示すフローチャートである。なお、本処理は、記憶デバイス１０３からＲＡＭ１０２に読み込んだ所定のプログラムを、ＣＰＵ１０４が実行することで実現される。

ポリシーの設定指示と共にＰＣ１１０から受信したポリシーデータは、一旦ＲＡＭ１０２に格納され、以下の各ステップの処理が開始する。なお、以下では、前述の図５（ｂ）に示すポリシーデータを受信したものとして説明を行なう。

ステップ６０１において、ポリシー設定部２０３は、ポリシーデータの中から注目するポリシーを決定する。具体的には、まず、ＲＡＭ１０２に格納されたポリシーデータの開始タグの次の要素にあるポリシーを注目ポリシーとして決定し、当該決定した注目ポリシーの設定値を取得・保持（ＲＡＭ１０２に記憶）する。図５（ｂ）に示すポリシーデータの場合は、ポリシー「TLS通信時は必ずサーバ証明書を検証する」が注目ポリシーとして決定され、そのポリシー設定値として“ON”が取得・保持されることになる。なお、ポリシーデータ内に複数のポリシーが存在する場合は、各ポリシーが順に注目ポリシーとして決定され、以降の各ステップの処理が繰り返されることになる。

ステップ６０２において、ポリシー設定部２０３は、決定した注目ポリシーに対応する変換ルールを変換ルール管理部２０２から取得する。変換ルールには、ポリシーデータに含まれるポリシー設定値に応じて、どのユーザモードの設定値とアクセス制御用フラグ値を変更すればよいのかが記載されている。図７（ａ）は、ポリシー「TLS通信時は必ずサーバ証明書を検証する」に対応する変換ルールの一例である。実際にはより多くのポリシーについての変換ルールが存在し、その中から注目ポリシーに対応するものが検索され取得される。このような変換ルールによって、特定の機種に依存しないポリシーデータから特定の機種に依存する動作設定であるユーザモードへの変換が可能となる。もし、決定した注目ポリシーに対応する変換ルールが存在しなければ、エラー処理となる。

ステップ６０３において、ポリシー設定部２０３は、変換ルール内の「条件」の開始タグの中から「設定値」の属性値を取得し、条件値として保持（ＲＡＭ１０２に記憶）する。図７（ａ）の変換ルールでは、最初に「条件」開始タグ７０１の設定値“OFF”が取得され、条件値として保持されることになる。

ステップ６０４において、ポリシー設定部２０３は、ステップ６０１で取得・保持したポリシー設定値と、ステップ６０３で取得・保持した条件値とを比較し、両者が一致するか判定する。両者が一致する場合は、ステップ６０５に進む。一方、両者が一致しない場合は、ステップ６０３に戻って次の「条件」開始タグから「設定値」の内容を取得して条件値として保持し、ステップ６０４の判定処理を再度行なう。本実施例の場合、最初のルーチンでは、ステップ６０１で取得・保持したポリシー設定値が“ON”、ステップ６０３で取得・保持した条件値が“OFF”である。この場合、両者は一致しないと判定されて次のルーチンに移行する。次のルーチンでは、ステップ６０３で取得・保持した条件値が“ON”となって両者は一致すると判定され、次のステップ６０５に移行することになる。

ステップ６０５において、ポリシー設定部２０３は、一致すると判定された「条件」内の「ユーザモード」開始タグのうち注目する開始タグを決定し、その中から「ユーザモード名」と「アクセス制御フラグ」の内容を取得する。そして取得した内容を、フラグ更新情報として保持（ＲＡＭ１０２に記憶）する。本実施例では、最初のルーチンにおいて、開始タグ７０３を注目開始タグとして、ユーザモード名“SMTP送信時の証明書確認”、フラグ値“ON”がそれぞれ取得され、フラグ更新情報として保持されることになる。そして、次のルーチンでは、開始タグ７０４を注目開始タグとして、ユーザモード名“POP受信時の証明書確認”、フラグ値“ON”がそれぞれ取得され、同様にフラグ更新情報として保持されることになる。

ステップ６０６において、ポリシー設定部２０３は、ユーザモード管理部２０１の管理下にあるユーザモード管理リスト内の、上記フラグ更新情報におけるユーザモード名と一致する名称を持つユーザモードのフラグ値を、フラグ更新情報に従って更新する。 図８（ａ）及び（ｂ）は、ユーザモード管理部２０１で管理されるユーザモード管理リストの一例を示したものであり、各動作設定の有効／無効を表す設定値とアクセス制御用のフラグ値が、各動作設定の内容を表すユーザモード名と対応付けられて保存されている。図８（ａ）が更新前、同（ｂ）が更新後の状態を表し、更新前には“OFF”であったフラグ値が、更新後には“ON”に変わっているのが分かる。

ステップ６０７において、ポリシー設定部２０３は、「ユーザモード」の注目開始タグの中に「設定値」があるか判定する。「設定値」があると判定された場合は、ステップ６０８に進む。一方、「設定値」がないと判定された場合は、ステップ６１０に進む。

ステップ６０８において、ポリシー設定部２０３は、「ユーザモード」の注目開始タグの中から「ユーザモード名」と「設定値」の内容を取得し、設定値更新情報として保持（ＲＡＭ１０２に記憶）する。本実施例では、最初のルーチンにおいて、開始タグ７０３を注目開始タグとして、ユーザモード名“SMTP送信時の証明書確認”、設定値“ON”がそれぞれ取得され、設定値更新情報として保持されることになる。そして、次のルーチンでは、開始タグ７０４を注目開始タグとして、ユーザモード名“POP受信時の証明書確認”、設定値“ON”がそれぞれ取得され、同様に設定値更新情報として保持されることになる。

ステップ６０９において、ポリシー設定部２０３は、上記ユーザモード管理リスト内の、上記設定値更新情報におけるユーザモード名と一致する名称を持つユーザモードの設定値を、設定値更新情報に従って更新する。この更新処理により、更新前には“OFF”であった設定値が、更新後には“ON”に変更される（前述の図８を参照）。

ステップ６１０において、ポリシー設定部２０３は、未処理の「ユーザモード」の開始タグがあるか判定する。変換ルールの次の要素が「条件」の終了タグではない場合は、未処理の「ユーザモード」開始タグがあると判定して、ステップ６０５に戻り、次の開始タグを注目開始タグとして処理を続行する。一方、変換ルールの次の要素が「条件」の終了タグである場合はすべての「ユーザモード」開始タグについての処理が完了していると判定して、ステップ６１１に進む。

ステップ６１１において、ポリシー設定部２０３は、ポリシー管理部２０４に対し、ステップ６０１で保持した暫定的なポリシー設定値を、制御に適用する確定的なポリシー設定値として設定するよう指示する。これを受けてポリシー管理部２０４は、ＲＡＭ１０２に記憶されているポリシー設定値を読み出し、ポリシー名と対応付けて記憶デバイス１０３に記憶する。本実施例では、ポリシー名「TLS通信時は必ずサーバ証明書を検証する」とポリシー設定値“ON”とを対応付けたものが、記憶デバイス１０３に記憶されることになる。

ステップ６１２において、ポリシー設定部２０３は、受信したポリシーデータの解読が終了したか判定する。具体的には、ＲＡＭ１０２に格納されたポリシーデータの次の要素を読み取り、終了タグ（本実施例では終了タグ５０３）か否かが判定される。ポリシーデータの終了タグであれば、ステップ６１３に進む。一方、ポリシーデータの終了タグでなく次のポリシーの開始タグであればステップ６０１に戻り、次の要素にあるポリシーを注目ポリシーに決定して処理を続行する。

ステップ６１３において、ポリシー設定部２０３は、ソフトウェアの世代情報の管理リストを更新する。図９（ａ）及び（ｂ）は、世代情報管理部２０５で管理される世代情報管理リストの一例を示したものである。世代情報管理リストには、現在適用中のソフトウェアのバージョンを示す現時世代情報と、直近のポリシー設定処理を行なった時点のソフトウェアのバージョンを示す設定時世代情報の２種類が保存されている。そして、図９（ａ）が更新前、同（ｂ）が更新後の世代情報管理リストの状態を表している。更新指示を受けた世代情報管理部２０５が、現時世代情報に対応する「現在適用中」の内容である“ver.1.0”で、設定時世代情報に対応する「セキュリティポリシー設定時」の内容である“ver.0.0”を上書きすることで、このように更新される。

以上が、ＭＦＰ１００におけるポリシー設定処理の内容である。

次に、ポリシーに従った状態にあるＭＦＰ１００に対しソフトウェアのアップデートが行われても、ポリシーに矛盾することなく継続して利用できるようにするための処理について説明する。本処理の前提として、ポリシーが有効な状態（ポリシー設定値が“ON”）で、ソフトウェアのアップデートがなされていることになる。アップデートは以下のような手順で実行される。
１）ＰＣ１１０において、管理者が、ＭＦＰ１００に対するソフトウェアのアップデートを指示。
２）上記指示に応答して、ＰＣ１１０のアップデート指示部２１３が、ＭＦＰ１０１で現在適用中のバージョンとは異なるバージョンのソフトウェアのデータを、ネットワーク通信部１１６を介してＭＦＰ１００へ送信。
３）ソフトウェアのデータを受信したＭＦＰ１００において、アップデート処理部２０７が、当該受信したデータを用いてアップデートを実行し、再起動する。

以下では、ソフトウェアのアップデートに伴い、ポリシー「TLS通信時は必ずサーバ証明書を検証する」の影響を受ける「WebDAV送信機能」が追加されたものとして説明を行なうものとする。図８（ｃ）はアップデート完了後のユーザモード管理リストの状態を、図９（ｃ）はアップデート完了後の世代情報管理リストの状態をそれぞれ示している。

図１０は、アップデート後に行われる、ポリシーに矛盾しない状態で利用できるようにするための処理の流れを示すフローチャートである。なお、本処理も、記憶デバイス１０３からＲＡＭ１０２に読み込んだ所定のプログラムを、ＣＰＵ１０４が実行することで実現される。

アップデート完了後の起動処理中に、ステップ１００１において、アップデート処理部２０７は、世代情報管理部２０５を介して、ポリシー設定時点の世代情報である設定時世代情報（ここでは“ver.1.0”）を世代情報管理リストから取得する。取得した設定時世代情報は、ＲＡＭ１０２に記憶される。

ステップ１００２において、アップデート処理部２０７は、世代情報管理部２０５を介して、アップデートにより現在適用されているソフトウェアの世代情報である現時世代情報（ここでは、“ver.2.0”）を世代情報管理リストから取得する。取得した現時世代情報は、ＲＡＭ１０２に記憶される。

ステップ１００３において、アップデート処理部２０７は、取得した設定時世代情報と現時世代情報とを比較し、どちらの世代情報（バージョン）が新しいかを判定する。設定時世代情報の方が現時世代情報よりも古い場合は、ステップ１００４に進む。一方、バージョンが同じ、もしくは設定時世代情報の方が新しい場合は、本処理を抜ける。いま、設定時世代情報が“ver.1.0”、現時世代情報が“ver.2.0”であるため（図９（ｃ）の世代情報管理リストを参照）、ステップ１００４の処理に進むことになる。なお、本実施例では、バージョン自体を比較してその新旧を比較する態様を説明したが、例えばバージョンに応じた数値を付与し、その大小関係で判断するようにしてもよい。

ステップ１００４において、アップデート処理部２０７は、ポリシー管理部２０４を介してすべてのポリシーのポリシー名と対応するポリシー設定値を取得する。取得したポリシー名とポリシー設定値（ここでは「TLS通信時は必ずサーバ証明書を検証する」と「ON」）は、ＲＡＭ１０２に記憶される。

ステップ１００５において、アップデート処理部２０７は、ステップ１００４で取得したポリシー名とそのポリシー設定値を用いて、ポリシーデータを生成する。生成したポリシーデータは、ＲＡＭ１０２に記憶される。

ステップ１００６において、アップデート処理部２０７は、ポリシー設定部２０３に対し、ポリシー設定値とユーザモードのフラグ値とを整合させるため、ステップ１００５で生成したポリシーデータに基づくポリシー設定処理の実行を指示する。当該指示を受けてポリシー設定部２０３は、ＲＡＭ１０２に記憶されたポリシーデータを用いて、前述の図６のフローチャートに従ってポリシー設定処理を行う。なお、本ステップで実行されるポリシー設定処理を、アップデートとは無関係になされる通常のポリシー設定処理と区別するため、便宜的に「ポリシー適合処理」と呼ぶこととする。図７（ｂ）は、アップデートに伴って、ユーザモード「WebDAV送信時の証明書確認」が追加された場合のポリシー適合処理において参照される、ポリシー「TLS通信時は必ずサーバ証明書を検証する」に対応する変換ルールの一例である。このポリシー適合処理の結果、ポリシーの内容と、アップデートによって追加された動作設定（ユーザモード）に関するアクセス制御情報の内容とが整合した状態（ここでは両者共に“ON”）となる。また、世代情報管理リストは、「現在適用中」の内容である“ver.2.0”で、「セキュリティポリシー設定時」の内容である“ver.1.0”が上書きされ、図９（ｄ）のように更新される。

以上が、アップデート後にポリシーに矛盾しない状態で利用できるようにするための処理の内容である。なお、本実施例では、ポリシー適合処理に先立ってポリシーデータの生成を行なっているが、直近のポリシー設定処理時に用いたポリシーデータを記憶デバイス１０３に保持しておき、それを再利用してもよい。

本実施例によれば、ソフトウェアのアップデートによって新たな機能が追加された場合であっても、ネットワーク環境下における機器の動作設定をポリシーに矛盾しない状態で維持することができる。また、ソフトウェアの世代情報に基づき必要と判断された場合のみポリシー適合処理を行なうので、当該処理のために対象機器が使用できない時間を少なくすることができる。

＜変形例＞
本実施例では、ソフトウェアに関する２種類（現在適用中とポリシー設定時）の世代情報を保存し、その差分に応じてポリシー適合処理が必要かどうかを判定する態様について述べた。ソフトウェアの世代情報を用いる代わりに、ソフトウェアの各バージョンに対応する機能の数或いは当該機能に対応するユーザモード（動作設定）の数を保存しておき、その変化を見ることでポリシー適合処理の必要性を判定するようにしてもよい。

具体的には、図６のフローのステップ６１３では、世代情報に代えて、現在適用中のソフトウェアにおける機能（又はユーザモード）の数及びポリシー設定処理を行なった時点のソフトウェアにおける機能（又はユーザモード）の数を保存する。そして、図１０のフローでは、ポリシー設定時の機能（又はユーザモード）の数をステップ１００１で、現在適用中のソフトウェアにおける機能（又はユーザモード）の数をステップ１００２で取得する。両者の数を比較した結果、ポリシー設定時の機能（又はユーザモード）の数が小さければ（ステップ１００３でＹｅｓ）、ステップ１００４以降の処理に進む。前述の例では、アップデートによって機能及び当該機能に対応するユーザモードの数が２個から３個に増加していることをトリガーとして（図８を参照）、ポリシー適合処理が実行されることになる。

また、本実施例では、ポリシーデータの生成をＰＣで行う構成としたが、ＭＦＰ内で生成してそのまま適用するような構成であってもよい。さらには、ＰＣの役割を特定のＭＦＰが担うように構成し、特定のＭＦＰ内で生成したポリシーデータを別のＭＦＰに送信するような構成としてもよい。

また、操作者の権限もしくは特定のＰＣからのポリシーデータであることを認証し、当該認証に成功した場合のみポリシーデータによる動作設定を許可するような構成を、本実施例で述べた方法に組み込んでもよい。

（その他の実施例）
本発明は、上述の実施形態の１以上の機能を実現するプログラムを、ネットワーク又は記憶媒体を介してシステム又は装置に供給し、そのシステム又は装置のコンピュータにおける１つ以上のプロセッサがプログラムを読出し実行する処理でも実現可能である。また、１以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。

Claims (11)

1. ネットワークに接続された環境下で、セキュリティポリシーに従って管理される装置であって、
   インストールされているソフトウェアの機能に対応する動作設定及び当該動作設定の変更をユーザに許容するかどうかを制御するアクセス制御情報を、前記セキュリティポリシーの内容とその適用の有無を示す情報を含むポリシーデータに従って設定する、ポリシー設定手段と、
   前記ソフトウェアのアップデートを行なうアップデート処理手段と、
   を備え、
   前記アップデート処理手段は、
   前記セキュリティポリシーの影響を受ける前記動作設定の追加が前記アップデートの実行に伴って生じた場合に、前記適用の有無を示す情報と当該追加された動作設定に関する前記アクセス制御情報との間に矛盾があるか判定する判定手段をさらに備え、
   前記判定手段で矛盾があると判定された場合に、前記ポリシー設定手段による前記設定によって、前記適用の有無を示す情報と前記追加された動作設定に関する前記アクセス制御情報とを整合させる
   ことを特徴とする装置。
2. 前記判定手段における矛盾があるかどうかの判定は、前記ソフトウェアのバージョンを示す世代情報の、前記アップデートに伴う変化に基づいて行うことを特徴とする請求項１に記載の装置。
3. 適用中のソフトウェアの前記世代情報及び前記ポリシー設定手段で前記設定を行なった時点のソフトウェアの前記世代情報を保存する保存手段をさらに備え、
   前記判定手段は、前記設定を行なった時点のソフトウェアの前記世代情報と、前記アップデートによって適用中となったソフトウェアの前記世代情報とを比較し、前記設定を行なった時点のソフトウェアの前記世代情報の方が古い場合に、矛盾があると判定することを特徴とする請求項２に記載の装置。
4. 前記判定手段における矛盾があるかどうかの判定は、前記ソフトウェアの機能の数の、前記アップデートに伴う変化に基づいて行うことを特徴とする請求項１に記載の装置。
5. 適用中のソフトウェアにおける機能の数及び前記ポリシー設定手段で前記設定を行なった時点のソフトウェアにおける機能の数を保存する保存手段をさらに備え、
   前記判定手段は、前記設定を行なった時点のソフトウェアにおける機能の数と、前記アップデートによって適用中となったソフトウェアにおける機能の数とを比較し、前記設定を行なった時点のソフトウェアにおける機能の数の方が小さい場合に、矛盾があると判定することを特徴とする請求項４に記載の装置。
6. 前記判定手段における矛盾があるかどうかの判定は、前記ソフトウェアの機能に対応する動作設定の数の、前記アップデートに伴う変化に基づいて行うことを特徴とする請求項１に記載の装置。
7. 適用中のソフトウェアにおける機能に対応する動作設定の数及び前記ポリシー設定手段で前記設定を行なった時点のソフトウェアにおける機能に対応する動作設定の数を保存する保存手段をさらに備え、
   前記判定手段は、前記設定を行なった時点のソフトウェアにおける機能に対応する動作設定の数と、前記アップデートによって適用中となったソフトウェアにおける機能に対応する動作設定の数とを比較し、前記設定を行なった時点のソフトウェアにおける機能に対応する動作設定の数の方が小さい場合に、矛盾があると判定することを特徴とする請求項６に記載の装置。
8. 前記アクセス制御情報は、ユーザによる前記変更を許容するか否かを表すフラグであり、
   前記アップデート処理手段は、前記判定手段で矛盾があると判定された場合、前記フラグの値を、ユーザによる前記変更を許容しないことを表す値に変更することで整合させる
   ことを特徴とする請求項１乃至７のいずれか１項に記載の装置。
9. 前記アップデート処理手段におけるアップデート及び前記前記ポリシー設定手段における前記セキュリティポリシーに従った設定は、前記ネットワークで接続された他の装置からの指示に従って実行されることを特徴とする請求項１乃至８のいずれか１項に記載の装置。
10. ネットワークに接続された環境下で、セキュリティポリシーに従って統一的に管理される装置の制御方法であって、
    前記装置は、
    インストールされているソフトウェアの機能に対応する動作設定及び当該動作設定の変更をユーザに許容するかどうかを制御するアクセス制御情報を、前記セキュリティポリシーの内容とその適用の有無を示す情報を含むポリシーデータに従って設定する、ポリシー設定手段と、
    前記ソフトウェアのアップデートを行なうアップデート処理手段と、
    を備え、
    前記セキュリティポリシーの影響を受ける前記動作設定の追加が前記アップデートの実行に伴って生じた場合に、前記適用の有無を示す情報と当該追加された動作設定に関する前記アクセス制御情報との間に矛盾があるか判定するステップと、
    前記判定ステップで矛盾があると判定された場合に、前記ポリシー設定手段に前記設定を実行させることで、前記適用の有無を示す情報と前記追加された動作設定に関する前記アクセス制御情報とを整合させるステップと
    を含むことを特徴とする制御方法。
11. コンピュータを、請求項１乃至９のいずれか１項に記載の装置として機能させるためのプログラム。

Images