JP2019016151A - 情報処理システム、情報処理装置及びプログラム - Google Patents

Abstract

【課題】一律のセキュリティ強度で運用する場合に比べて、より利用者の利便性とセキュリティを確保し得る技術を提供する。【解決手段】ＩｏＴデバイス１０からＩｏＴデバイス１２にデータを送信するに先立って、ＩｏＴデバイス１２のデバイス属性を取得する。送信データ検閲サーバ１４は、デバイス属性に基づきＩｏＴデバイス１２のエリアセキュリティクラスを決定してＩｏＴデバイス１０に返信する。また、送信データ検閲サーバ１４は、ＩｏＴデバイス１０からＩｏＴデバイス１２に送信すべきデータのデータセキュリティクラスを決定し、エリアセキュリティクラスと比較してデータ送信の可否を決定しＩｏＴデバイス１０に返信する。【選択図】図１

Description

本発明は、情報処理システム、情報処理装置及びプログラムに関する。

従来から、在宅勤務等のテレワーク環境において、セキュリティをどのように確保するかが大きな課題となっている。

特許文献１には、印刷装置のネットワーク上のロケーションに応じて、ドキュメントのダウンロードプロトコルを記述した印刷指示（ジョブチケット）を発行し、利便性とセキュリティ確保を同時に実現する情報処理装置が記載されている。 サーバ上の印刷データの位置を識別する識別情報を印刷装置に向けて出力する際、その出力先を判別し、その判別結果に応じて、セキュアなプロトコルで通信を行う識別情報を生成、あるいは、非セキュアなプロトコルで通信を行う識別情報を生成し、生成された識別情報を出力先に向けて出力することが記載されている。

特許文献２には、コンピュータと、当該コンピュータに接続される記録媒体と、を備えたシステムにおいて、コンピュータの環境が安全か否かを判断する機密情報の漏洩防止システムが記載されている。コンピュータの環境が安全か否かを判断する環境判別手段を備え、環境判別手段がコンピュータの環境が安全ではないと判断した場合、記録媒体内の情報の保存先を制限することが記載されている。

特許文献３には、機密情報であるデータファイルが所定のエリアの外部に出ることを抑制する情報処理装置が記載されている。 ユーザ指示に基づいてデータファイルを生成される際に、情報処理装置の位置情報を取得し、生成されたデータファイルを出力する出力先を、位置情報が所定のエリアの内部を示す場合に、データファイルが所定のエリアの外部に出ることを防ぐような特定の出力先の中から選択し、位置情報が所定のエリアの外部を示す場合に、前記データファイルが前記所定のエリアの外部に出ることを許容する出力先を含む出力先の中から選択することが記載されている。

特開２０１１−８８２３号公報 特開２００８−０８４０８１号公報 特開２０１４−０１６７０５号公報

しかしながら、一律のセキュリティ強度で運用する技術では、利用者の利便性が損なわれ、近年における在宅勤務等のテレワーク環境の進展に合致しないおそれがある。

本発明の目的は、一律のセキュリティ強度で運用する場合に比べて、より利用者の利便性とセキュリティを確保し得る技術を提供することにある。

請求項１に記載の発明は、第１及び第２のデバイスと、前記第１のデバイスから前記第２のデバイスにデータを送信するに先立って、前記第２のデバイスのデバイス属性に基づくエリアセキュリティクラスと、前記データのデータセキュリティクラスから前記データの送信可否を決定して前記第１のデバイスに出力する制御手段とを備える情報処理システムである。

請求項２に記載の発明は、前記制御手段は、前記データセキュリティクラスが前記エリアセキュリティクラス以下である場合に、前記データの送信可を出力する請求項１に記載の情報処理システムである。

請求項３に記載の発明は、前記制御手段は、前記データセキュリティクラスが前記エリアセキュリティクラスを超える場合に、前記データの送信不可を出力する請求項２に記載の情報処理システムである。

請求項４に記載の発明は、前記制御手段は、前記データセキュリティクラスが前記エリアセキュリティクラスを超える場合に、前記データセキュリティクラスが前記エリアセキュリティクラス以下となるデバイス情報を出力する請求項２に記載の情報処理システムである。

請求項５に記載の発明は、前記制御手段は、前記データセキュリティクラスが前記エリアセキュリティクラスを超える場合でも、前記データの緊急度が高いときに前記データの送信可を出力する請求項２に記載の情報処理システムである。

請求項６に記載の発明は、前記デバイス属性は、前記第２のデバイスの種別及び位置情報を含む請求項１〜５のいずれかに記載の情報処理システムである。

請求項７に記載の発明は、前記制御手段は、予め前記デバイスの種別及び位置情報とエリアセキュリティクラスとの対応関係を規定するテーブルを参照することで前記第２のデバイスのエリアセキュリティクラスを決定する請求項６に記載の情報処理システムである。

請求項８に記載の発明は、前記制御手段は、機械学習されたニューラルネットワークにより前記データセキュリティクラスを決定する請求項６に記載の情報処理システムである。

請求項９に記載の発明は、前記第２のデバイスはプリンタであり、前記データは、前記プリンタで処理されるべき画像データである請求項１〜８のいずれかに記載の情報処理システムである。

請求項１０に記載の発明は、前記制御手段は、前記画像データのページ毎に送信可否を決定して出力する請求項９に記載の情報処理システムである。

請求項１１に記載の発明は、データの送信指示を受け付ける入力手段と、前記データの送信に先立って、前記データの送信先のデバイス属性を取得し、前記デバイス属性に基づくエリアセキュリティクラスと、前記データのデータセキュリティクラスとを比較することで前記データの送信可否を制御する制御手段とを備える情報処理装置である。

請求項１２に記載の発明は、コンピュータに、データの送信指示を受け付けるステップと、前記データの送信に先立って、前記データの送信先のデバイス属性を取得するステップと、前記デバイス属性に基づき前記データの送信先のエリアセキュリティクラスを決定するステップと、前記データのデータセキュリティクラスを決定するステップと、前記エリアセキュリティクラスと前記データセキュリティクラスを比較することで前記データの送信可否を決定して出力するステップとを実行させるプログラムである。

請求項１，２，３，１１，１２に記載の発明によれば、一律のセキュリティ強度で運用する場合に比べて、より利用者の利便性とセキュリティを確保し得る。

請求項４，５に記載の発明によれば、さらに、利用者の利便性が向上し得る。

請求項６，７に記載の発明によれば、さらに、エリアセキュリティクラスを適切に決定し得る。

請求項８に記載の発明によれば、さらに、データセキュリティクラスを適切に決定し得る。

請求項９に記載の発明によれば、さらに、利用者の利便性とセキュリティを確保しつつプリンタで処理し得る。

請求項１０に記載の発明によれば、さらに、ページ毎に利用者の利便性とセキュリティを確保しつつプリンタで処理し得る。

実施形態のシステム構成図である。 実施形態の各種セキュリティクラス、デバイスレベル、及びエリアレベルの説明図である。 実施形態のデータの流れを示す説明図（その１）である。 実施形態のデータの流れを示す説明図（その２）である。 実施形態のＰＣの処理フローチャートである。 実施形態の送信データ検閲サーバの処理フローチャートである。 他の実施形態の送信データ検閲サーバの処理フローチャートである。 さらに他の実施形態の送信データ検閲サーバの処理フローチャートである。 さらに他の実施形態の送信データ検閲サーバの処理フローチャートである。

以下、図面に基づき本発明の実施形態について説明する。

＜実施形態１＞
図１は、本実施形態における情報処理システムのシステム構成図を示す。情報処理システムは、ＩｏＴデバイス１０，１２、及び送信データ検閲サーバ１４を備える。ＩｏＴデバイス１０とＩｏＴデバイス１２、及びＩｏＴデバイス１０と送信データ検閲サーバ１４は、通信回線でデータ送受可能に接続される。通信回線は、好適には無線回線であるが、有線であってもよい。

ＩｏＴデバイス１０は、第１のデバイスとして機能し、利用者が操作するＰＣ（パーソナルコンピュータ）やタブレット、スマートフォン等の機器である。ＩｏＴデバイス１０は、機能モジュールとして、データ送信管理部を備え、データ送信管理部は、デバイス属性取得部、エリアセキュリティ問い合わせ部、送信データ検閲依頼部、及びデータ転送部を備える。ＩｏＴデバイス１０は、具体的には、１又は複数のプロセッサ、メモリ、通信インターフェイス、入出力インターフェイス、表示部、及び位置センサを備える。１又は複数のプロセッサは、プログラムメモリに記憶された処理プログラムを読み出して実行することで、データ送信管理部を実現する。

すなわち、プロセッサは、入出力インターフェイスを介して利用者からＩｏＴデバイス１２に対するデータの送信依頼を受け付ける。後述するように、ＩｏＴデバイス１２がプリンタ、あるいはコピーやファックス、プリンタ、スキャナの複数の機能を搭載する画像形成装置（複合機）の場合、画像形成装置に対するプリント指示を受け付ける。プリンタは、通信インターフェイスを介してＩｏＴデバイス１２にアクセスし、ＩｏＴデバイス１２からデバイス属性を取得する。また、プロセッサは、ＩｏＴデバイス１２からデバイス属性を取得すると、当該デバイス属性を送信データ検閲サーバ１４に送信してエリアセキュリティを問い合わせる。送信データ検閲サーバ１４からのエリアセキュリティクラスの返信を受信すると、プロセッサは、ＩｏＴデバイス１２に送信すべきデータ、例えば利用者からのプリント指示であればプリントの対象である画像データを送信データ検閲サーバ１４に送信して検閲を依頼する。送信データ検閲サーバ１４から送信可能である旨の返信を受信すると、プロセッサは、ＩｏＴデバイス１２に対して送信データ検閲サーバ１４で許可された送信データを送信して利用者からの要求を実行する。すなわち、利用者からの要求がプリント指示であれば、画像データをＩｏＴデバイス１２に送信してプリント出力する。

ＩｏＴデバイス１２は、第２のデバイスとして機能し、ＩｏＴデバイス１０からの指示を受け付けてジョブを実行するプリンタや画像形成装置である。ＩｏＴデバイス１２は、機能モジュールとして、デバイス属性送信部を備える。ＩｏＴデバイス１２は、具体的には、１又は複数のプロセッサ、メモリ、通信インターフェイス、入出力インターフェイス、表示部、及び位置センサを備える。１又は複数のプロセッサは、プログラムメモリに記憶された処理プログラムを読み出して実行することで、デバイス属性送信部を実現する。すなわち、プロセッサは、通信インターフェイスを介してＩｏＴデバイス１０からのデバイス属性取得要求を受信し、メモリからデバイス属性を読み出してＩｏＴデバイス１０に返信する。デバイス属性には、ＩｏＴデバイス１２のデバイスＩＤやデバイスレベル、位置情報が含まれ、位置情報は位置センサで検出される。位置センサは、例えばＧＰＳセンサで構成され得る。

送信データ検閲サーバ１４は、ＩｏＴデバイス１０からＩｏＴデバイス１２に送信されるデータの送信可否について決定する。送信データ検閲サーバ１４は、機能モジュールとして、エリア登録部、デバイス登録部、エリアセキュリティ判断部、データセキュリティ判断部を備える。送信データ検閲サーバ１４は、具体的には、１又は複数のプロセッサ、メモリ、通信インターフェイス、入出力インターフェイス、表示部を備える。１又は複数のプロセッサは、プログラムメモリに記憶された処理プログラムを読み出して実行することで、各機能モジュールを実現する。

すなわち、プロセッサは、管理者からの指示に基づき、エリアＩＤ、エリア定義（例えば矩形領域）、及びエリアレベルをメモリに登録することでエリア登録部を実現する。また、プロセッサは、管理者からの指示に基づき、デバイスＩＤをメモリに登録することでデバイス登録部を実現する。より詳しくは、利用者は、メールやＷｅｂページ等からエリアＩＤとデバイスＩＤを申請し、管理者は、承認したいエリアから申請者（利用者）とデバイスＩＤを確認して承認済デバイスとしてデバイスＩＤをメモリに登録する。また、プロセッサは、ＩｏＴデバイス１０からの問い合わせに応じて、エリアセキュリティクラスを決定することでエリアセキュリティ判断部を実現する。ここで、「エリアセキュリティクラス」とは、ＩｏＴデバイス１２の種別や位置情報に基づいて規定される、ＩｏＴデバイスのセキュリティの程度を意味する。エリアセキュリティクラスは、複数段階のいずれかに分類されて評価され得る。プロセッサは、メモリに記憶された登録済みエリア、承認済デバイス、及びエリアセキュリティ表を用いてエリアセキュリティクラスを決定する。

また、プロセッサは、ＩｏＴデバイス１０からの検閲依頼に応じて、ＩｏＴデバイス１０からＩｏＴデバイス１２に送信しようとする送信データのデータセキュリティクラスを決定し、送信データのデータセキュリティクラスとエリアセキュリティクラスを比較して送信の可否を判定することでデータセキュリティ判断部を実現する。ここで、「データセキュリティクラス」とは、データの内容（コンテンツ）に基づいて規定される、そのデータのセキュリティの程度を意味する。データセキュリティクラスも、複数段階のいずれかに分類されて評価され得る。送信データのデータセキュリティクラスの判定には、機械学習されたニューラルネットワーク等が用いられる。

実施形態における「ＩｏＴデバイス」とは、ＩｏＴ（Internet Of Things:物のインターネット）の構成要素であって、センサ及び通信機能を備えた機器として定義され得る。

図２は、本実施形態で用いられるデータセキュリティクラス、エリアセキュリティクラス、デバイスレベル、及びエリアレベルの一例を示す。

データセキュリティクラスは、
クラス１：パブリック情報
クラス２：社内一般情報
クラス３：社内機密情報
クラス４：社内極秘情報
に分類される。

また、エリアセキュリティクラスは、
クラス１：パブリック情報・送信可
クラス２：社内一般情報以下・送信可
クラス３：社内機密情報以下・送信可
クラス４：社内極秘情報以下・送信可
クラス５：一切のデータ送信不可
に分類される。

また、デバイスレベルは、
レベル０：未知
レベル１：スイッチ／ルータ
レベル２：ファイルサーバ
レベル３：プリンタ
に分類される。

また、エリアレベルは、
レベル０：未特定（屋外等）
レベル１：パブリック（不特定のオープンカフェ等）
レベル２：シェアオフィス（自社以外も含む会員限定）
レベル３：利用者自宅（会社承認済みの自宅）
レベル４：サテライトオフィス（自社の社員のみ）
レベル５：オフィス（自社の社員のみ）
に分類される。

送信データ検閲サーバ１４のプロセッサは、ＩｏＴデバイス１０から受信したデバイス属性に含まれるデバイスレベルからレベル０〜レベル３のいずれであるかを決定し、デバイス情報に含まれる位置情報からエリアレベルがレベル０〜レベル５のいずれであるかを決定する。そして、メモリに記憶されている、エリアセキュリティ表（エリアセキュリティテーブル）を用いて、デバイスレベル及びエリアレベルに対応するエリアセキュリティクラスを決定する。例えば、
デバイスレベル＝レベル０
エリアレベル＝レベル０
であれば、
エリアセキュリティクラス＝クラス１
と決定する。また、
デバイスレベル＝レベル３
エリアレベル＝レベル１
であれば、
エリアセキュリティクラス＝クラス１
と決定する。さらに、
デバイスレベル＝レベル３
エリアレベル＝レベル３
であれば、
エリアセキュリティクラス＝クラス３
と決定する。デバイスレベルが一定であれば、エリアレベルに応じてエリアセキュリティクラスが決定し得、エリアレベルが上がればエリアセキュリティクラスもこれに応じて上がる。

以下、ＩｏＴデバイス１０としてＰＣ、ＩｏＴデバイス１２としてプリンタを例にとり、実施形態の処理を詳細に説明する。プリンタには、複合機又は画像形成装置も含まれる。

図３及び図４は、実施形態におけるデータの流れを示す。

図３に示すように、利用者は、ＰＣ１０を操作してプリンタ１２に対して画像データのプリント出力を指示する。

ＰＣ１０のプロセッサは、画像データを送信するに先立ち、プリンタ１２に対してデバイス属性を要求する。プリンタ１２のプロセッサは、ＰＣ１０からの要求に対し、メモリに記憶されているデバイスＩＤ、デバイスレベル、及び位置情報を読み出してデバイス属性としてＰＣ１０に送信する。デバイスＩＤは例えばＵＵＩＤ（Universally Unique Identifier）である。デバイスレベルは、図２に示すようにレベル０〜レベル３のいずれかに分類されており、プリンタ１２であればレベル３である。位置情報は、必ずしもメモリに記憶されている必要はなく、プロセッサは、ＰＣ１０から要求を受信したタイミングにおける、位置センサで検出された位置情報を取得してＰＣ１０に送信してもよい。ＰＣ１０は、プリンタ１２からデバイス属性を取得すると、当該デバイス属性とともに送信データ検閲サーバ１４に対してエリアセキュリティクラスを問い合わせる。

送信データ検閲サーバ１４のプロセッサは、ＰＣ１０からデバイス属性及び問い合わせを受信すると、デバイス属性に含まれるデバイスＩＤが、メモリに登録されている承認済みデバイスＩＤと一致するか否かを判定する。デバイスＩＤが承認済みデバイスＩＤと一致する場合には、さらにデバイス属性に含まれる位置情報、及びデバイスレベルを用い、メモリに記憶されているエリアセキュリティ表（エリアセキュリティテーブル）を参照してプリンタ１２のエリアセキュリティクラスを決定し、ＰＣ１０に返信する。

次に、図４に示すように、ＰＣ１０のプロセッサは、送信データ検閲サーバ１４からプリンタ１２のエリアセキュリティクラスを受信すると、当該エリアセキュリティクラスとともに、プリンタ１２に送信すべき画像データを送信データ検閲サーバ１４に送信してデータ送信可否を依頼する。

送信データ検閲サーバ１４は、ＰＣ１０からの依頼を受信すると、画像データのデータセキュリティクラスを算出し、プリンタ１２のエリアセキュリティクラスと比較する。データセキュリティクラスは、クラス１〜クラス４のいずれかとして算出され、エリアセキュリティクラスは、クラス１〜クラス５のいずれかとして決定されるから、送信データ検閲サーバ１４は、データセキュリティクラスのクラスレベルが、エリアセキュリティクラスのクラスレベル以下か否か、すなわち、
データセキュリティクラス≦エリアセキュリティクラス
であるか否かを判定する。データセキュリティクラスのクラスレベルがエリアセキュリティクラスのクラスレベル以下であれば、画像データのセキュリティレベルがプリンタ１２のセキュリティレベルを超えず安全であるとして送信可と決定する。他方で、データセキュリティクラスのクラスレベルがエリアセキュリティクラスのクラスレベルを超えるのであれば、プリンタ１２のセキュリティレベルは不十分であり安全でないとして送信不可と決定する。例えば、
データセキュリティクラス＝クラス４
エリアセキュリティクラス＝クラス４
であれば送信可と決定する。また、
データセキュリティクラス＝クラス１
エリアセキュリティクラス＝クラス３
であれば送信可と決定する。他方、
データセキュリティクラス＝クラス３
エリアセキュリティクラス＝クラス２
であれば送信不可と決定する。このように、実施形態では、単にプリンタ１２の位置情報に応じて設定されるエリアセキュリティレベルではなく、プリンタ１２に送信すべき画像データのセキュリティレベルとの相対的関係において送信可否が決定される。

送信データ検閲サーバ１４のプロセッサは、機械学習により得られる学習情報に基づき認識処理の少なくとも一部を行う処理回路を備えてもよい。処理回路は、複数のノード及びノード間を接続するエッジを含む。当該処理回路は、メモリに記憶される学習データを用いて認識処理を行う。処理回路が行う認識処理は例えばニューラルネットワーク方式の認識処理であり、機械学習により得られる学習データは、ニューラルネットワーク方式の認識処理で用いられるエッジの重みである。エッジの重みは、認識処理が行われる前にメモリから読み出され、各エッジに設定される。重みに応じて認識処理の内容が変化する。ニューラルネットワーク方式の認識処理は、処理回路の素子が多層構造に配設されるディープラーニング（Deep Learning）方式であってもよい。

教師データを用いた機械学習は公知であり、例えば誤差逆伝播法では、学習対象のニューラルネットワークに対して入力データを入力し、そのときの出力を求める。出力ノードについて、出力値と理想値との差分を演算し、１層前のエッジのうち最も重みが大きいエッジの重みを、理想値に近づくように調整する。同様の調整をさらに１層前のエッジに対して行い、重みの調整を出力層から入力層に向けて伝播させる。このような調整を大量の教師データ、すなわち既知のデータセキュリティクラスがラベルとして付された画像データに対して繰り返すことで各エッジの重みを調整する。ニューラルネットワークとしては、コンボリューショナルニューラルネットワーク（ＣＮＮ）でもよく、あるいはリカレントニューラルネットワーク（ＲＮＮ）でもよい。また、機械学習の方式も、ブースティング（Boosting）方式やサポートベクタマシン（SVM：Support Vector Machine）方式であってもよい。

送信データ検閲サーバ１４のプロセッサは、別の方法で画像データのデータセキュリティクラスを算出してもよい。例えば、受信した画像データに含まれる文字を字句解析して単語を抽出し、抽出した単語毎に出現回数をカウントし、単語毎の出現頻度を算出する。そして、単語毎の出現頻度に対して、予め算出してある他の画像データでの出現確率を用いて正規化を行って単語毎の重要度を算出し、予めメモリに記憶されたデータセキュリティクラスが既知の画像データの重要度のセットと、算出した単語毎の重要度と比較することでデータセキュリティクラスを算出する。

画像データに「社外秘」、「極秘」、「ｓｅｃｒｅｔ」等の単語が含まれている場合、これらの単語に基づいてデータセキュリティクラスが決定され得ることは言うまでもなく、画図データのメタデータとして当該画像データの秘密レベルに関する情報が埋め込まれている場合にはこれらの情報を用いてデータセキュリティクラスを決定し得る。

図５は、実施形態におけるＰＣ１０の処理フローチャートを示す。

ＰＣ１０のプロセッサは、利用者からプリント指示を受け付けると、プリンタ１２からデバイス属性を取得する（Ｓ１０１）。なお、既に過去において利用者から同様にプリント指示を受け付け、プリンタ１２からデバイス属性を取得してメモリに記憶している場合には、改めてプリンタ１２からデバイス属性を取得する必要はない。すなわち、ＰＣ１０のプロセッサは、プリント指示を受け付けると、メモリにプリンタ１２のデバイス属性が記憶されているか否かを判定し、記憶されていなければプリンタ１２からデバイス属性を取得してメモリに記憶する。プリンタ１２のデバイス属性は、具体的には、デバイスＩＤ、位置情報、及びデバイスレベルを含む。

次に、ＰＣ１０のプロセッサは、送信データ検閲サーバ１４に対し、プリンタ１２のデバイス属性を送信してエリアセキュリティクラスを問い合わせる（Ｓ１０２）。この際、ＰＣ１０のデバイスＩＤや位置情報を送信データ検閲サーバ１４に送信してもよい。

次に、ＰＣ１０のプロセッサは、送信データ検閲サーバ１４からエリアセキュリティクラスを受信すると（Ｓ１０３）、利用者からプリント指示を受けた、プリンタ１２に送信すべき画像データとエリアセキュリティクラスを送信データ検閲サーバ１４に送信して検閲を依頼する（Ｓ１０４）。なお、送信データ検閲サーバ１４は、決定したエリアセキュリティクラスをＰＣ１０及びＰＣ１２と関連付けてメモリに記憶するので、ＰＣ１０のプロセッサは、単に画像データのみを送信データ検閲サーバ１４に送信して検閲を依頼してもよい。

次に、ＰＣ１０のプロセッサは、送信データ検閲サーバ１４からの検閲結果を受信し、その結果が送信可であるか否かを判定する（Ｓ１０５）。送信可である場合、ＰＣ１０のプロセッサは、プリンタ１２に画像データを送信してプリントジョブを実行させる（Ｓ１０６）。送信不可である場合、ＰＣ１０のプロセッサは、プリンタ１２に画像データを送信しない。

なお、プリンタ１２に画像データを送信しない場合、ＰＣ１０のプロセッサは、表示部に、
「セキュリティに問題があるのでプリントを実行できません。」
等のメッセージを表示して利用者に報知してもよい。

図６は、実施形態における送信データ検閲サーバ１４の処理フローチャートを示す。

送信データ検閲サーバ１４のプロセッサは、ＰＣ１０からデバイス属性とともにエリアセキュリティクラスの問い合わせを受信すると（Ｓ２０１）、デバイス属性に含まれるデバイスＩＤを抽出し、メモリに登録されている承認済みデバイスＩＤと一致するか否かを判定する（Ｓ２０２）。デバイスＩＤが承認されていない場合（Ｓ２０２でＮＯ）、エリアセキュリティクラスを決定することなく処理を終了する。プロセッサは、プリンタ１２のデバイスＩＤが承認されていない旨をＰＣ１０に返信してもよい。この場合、エリアセキュリティクラスが未定であるため送信可もＰＣ１０に送られることがなく、プリンタ１２でプリントされない。

デバイスＩＤが承認済みデバイスＩＤに一致する場合（Ｓ２０２でＹＥＳ）、プロセッサは、デバイス属性に含まれる位置情報からエリアレベルを決定し、デバイス属性に含まれるデバイスレベルと併せてエリアセキュリティクラスを判定する（Ｓ２０３）。エリアセキュリティクラスは、図２に示すようにクラス１〜クラス５の５段階で決定される。なお、クラス５は、セキュリティが全く確保されておらず一切のデータ送信不可に相当するクラスであり、例えば過去に該当するプリンタから機密情報が漏洩した事実がある、あるいは何らかの原因により情報が漏洩する蓋然性が高い場合等に決定される。プリンタ１２に異常が生じており、その異常情報が送信データ検閲サーバ１４のメモリに記憶されている場合にもクラス５と決定され得る。

プロセッサは、デバイス属性を用いてプリンタ１２のエリアセキュリティクラスを決定すると、問い合わせに対する返信としてＰＣ１０にエリアセキュリティクラスを送信する（Ｓ２０４）。

次に、プロセッサは、ＰＣ１０から画像データ及びエリアセキュリティクラスとともに検閲依頼を受信すると（Ｓ２０５）、既述したニューラルネットワーク等を用いて画像データのデータセキュリティクラスを判定し（Ｓ２０６）、画像データのデータセキュリティクラスとプリンタ１２のエリアセキュリティクラスを比較する（Ｓ２０７）。比較の結果、
データセキュリティクラス≦エリアセキュリティクラス
であれば、画像データのセキュリティレベルに対してプリンタ１２のセキュリティレベルは十分であるとしてＰＣ１０に送信可を返信する（Ｓ２０８）。他方、
データセキュリティクラス＞エリアセキュリティクラス
であれば、画像データのセキュリティレベルに対してプリンタ１２のセキュリティレベルは不十分であって安全でないとしてＰＣ１０に送信可を返信しない。ここで、送信可を返信しない処理には、送信不可を返信する処理が含まれ得る。

なお、エリアセキュリティクラスがクラス５である場合、データセキュリティクラスとエリアセキュリティクラスを比較することなく、送信可を返信しない。

このように、実施形態では、画像データのデータセキュリティクラスと、プリンタ１２のエリアセキュリティクラスとの相対的関係において画像データの送信の可否、すなわちプリンタ１２でのプリントの可否を決定するので、一律にプリンタ１２のセキュリティ強度に応じてプリントの可否を決定する場合に比べて、セキュリティを確保しつつも利用者の利便性を確保し得る。すなわち、たとえプリンタ１２自体のセキュリティクラスが低くても、画像データ自体のセキュリティクラスがそれに見合う程度に低ければプリントを許可することで、利用者の利便性は向上し得る。

＜実施形態２＞
図７は、本実施形態における送信データ検閲サーバ１４の処理フローチャートである。Ｓ３０１〜Ｓ３０８の処理は、図６に示すＳ２０１〜Ｓ２０８の処理と同一である。

他方、送信データ検閲サーバ１４のプロセッサは、
データセキュリティクラス＞エリアセキュリティクラス
の場合（Ｓ３０７でＮＯ）、ＰＣ１０に対して画像データのデータセキュリティクラスを考慮すると送信可となり得る近傍エリアの位置情報／エリアＩＤを返信する（Ｓ３０９）。近傍エリアの位置情報／エリアＩＤに代えて、近傍に位置するデバイスＩＤを返信してもよい。送信可となり得る近傍エリアの位置情報／エリアＩＤ、あるいはデバイスＩＤは、ＰＣ１０から送信された位置情報に基づき、メモリに登録されたデバイスＩＤから決定する。例えば、過去にＰＣ１０あるいは別のＰＣから他のプリンタに対してプリンタ指示がなされた結果、当該他のプリンタについてエリアセキュリティクラスが決定され、メモリに記憶されている場合、プロセッサは、ＰＣ１０の位置情報と当該他のプリンタのエリアセキュリティクラスを比較し、
データセキュリティクラス≦エリアセキュリティクラス
を満たす当該他のプリンタの位置情報を確認し、ＰＣ１０の近傍にあると判定すれば当該他のプリンタのデバイスＩＤをＰＣ１０に返信する。

ＰＣ１０のプロセッサは、送信データ検閲サーバ１４から受信した位置情報／エリアＩＤ、あるいはデバイスＩＤを表示部に表示して利用者に報知し、利用者からの指示に基づいて他のプリンタに対して画像データを送信してプリントジョブを実行させる。

＜実施形態３＞
図８は、本実施形態における送信データ検閲サーバ１４の処理フローチャートである。Ｓ４０１〜Ｓ４０７の処理は、図６に示すＳ２０１〜Ｓ２０７の処理と同一である。但し、Ｓ４０６の処理では、画像データのデータセキュリティクラスをページ毎に決定し、Ｓ４０７では、画像データのデータセキュリティクラスとエリアセキュリティクラスをページ毎に判定する。そして、ページ毎に送信可／送信不可をＰＣ１０に返信する（Ｓ４０８、４０９）。この結果、例えば画像データが３ページからなり、
第１頁：データセキュリティクラス≦エリアセキュリティクラス
第２頁：データセキュリティクラス≦エリアセキュリティクラス
第３頁：データセキュリティクラス＞エリアセキュリティクラス
と判定されると、
第１頁：送信可
第２頁：送信可
第３頁：送信不可
とＰＣ１０に返信される。この場合、ＰＣ１０は、第１頁及び第２頁のみを画像データとしてプリンタ１２に送信してプリントジョブを実行させる。第３頁については送信不可としてプリンタ１２に送信されずプリントされない。

なお、第３頁については、実施形態２と同様に第３頁をプリントし得るＰＣ１０近傍の位置情報／エリアＩＤ、あるいはデバイスＩＤをＰＣ１０に返信してもよい。

また、ページ毎ではなく、任意の単位、例えばパラグラフ単位でデータセキュリティクラスを決定してエリアセキュリティクラスと比較してもよい。

＜実施形態４＞
図９は、本実施形態における送信データ検閲サーバ１４の処理フローチャートである。Ｓ５０１〜Ｓ５０８の処理は、図６に示すＳ２０１〜Ｓ２０７の処理と同一である。

他方、送信データ検閲サーバ１４のプロセッサは、
データセキュリティクラス＞エリアセキュリティクラス
の場合（Ｓ５０７でＮＯ）、さらに、画像データの緊急度について判定する（Ｓ５０９）。画像データの緊急度は、例えばＰＣ１０から画像データとともに検閲を依頼する際に、緊急度情報を付加して依頼する。利用者は、特に緊急に画像データをプリント出力したい場合等にＰＣ１０の特定のボタンあるいはメニューを選択操作する。ＰＣ１０のプロセッサは、画像データに緊急度が高い旨の情報を付加して送信データ検閲サーバ１４に送信する。

送信データ検閲サーバ１４のプロセッサは、画像データの緊急度が高い場合（Ｓ５０９）、たとえデータセキュリティクラスがエリアセキュリティクラスを超えるときにも利用者の利便性を考慮して送信可を返信する。画像データの緊急度が低い場合には、図６と同様に送信可を返信しない。

以上、本発明の実施形態について説明したが、本発明はこれらの実施形態に限定されるものではなく、種々の変形が可能である。以下、変形例について説明する。

＜変形例１＞
実施形態では、ＰＣ１０がプリンタ１２からデバイス属性を取得し、当該デバイス属性にデバイスレベルが含まれているが、デバイスレベルに代えてプリンタ１２のフェームウエア情報（例えばバージョン情報）をデバイス属性として取得して送信データ検閲サーバ１４に送信してもよい。送信データ検閲サーバ１４のプロセッサは、ファームウェア情報からデバイスレベルを決定し、このデバイスレベルを用いてエリアセキュリティクラスを決定してもよい。また、このようにして決定されたエリアセキュリティクラスに基づいてデータセキュリティクラスと比較し、
データセキュリティクラス＞エリアセキュリティクラス
と判定された場合、送信データ検閲サーバ１４のプロセッサは、適切なファームウェア情報をＰＣ１０に返信して、プリンタ１２のファームウェア更新を可能としてもよい。あるいは、送信データ検閲サーバ１４からプリンタ１２に適切なファームウェアを供給してファームウェアを更新してもよい。

＜変形例２＞
実施形態では、送信データ検閲サーバ１４のプロセッサは、ＰＣ１０からの検閲依頼に応じてプリンタ１２に対する画像データの送信可否について判定してその結果をＰＣ１０に返信しているが、画像データの送信可否のみならず、ＰＣ１０上でのデータの利用（閲覧等）の可否について判定してもよい。データの閲覧可否については、利用者のユーザＩＤ等から特定される利用者権限と、対象となるデータのデータセキュリティクラスを比較することで判定し得る。これにより、データの閲覧は可能であるがプリンタ１２への送信不可等の返信も可能である。

＜変形例３＞
実施形態では、送信データ検閲サーバ１４でエリアセキュリティクラス及びデータセキュリティクラスを決定しているが、送信データ検閲サーバ１４は、コピーやファックス、プリント、スキャン等の複数の機能を実装する複合機あるいは画像形成装置として実現してもよい。

また、エリアセキュリティクラスの決定処理、データセキュリティクラスの決定処理、送信可否の決定処理の少なくともいずれかをＰＣ１０で実行してもよい。具体的には、
（１）ＰＣ１０でエリアセキュリティクラスのみを決定する
（２）ＰＣ１０でデータセキュリティクラスのみを決定する
（３）ＰＣ１０でエリアセキュリティクラスとデータセキュリティクラスを決定し、送信可否を決定する
（４）送信データ検閲サーバ１４でエリアセキュリティクラスとデータセキュリティクラスを決定し、ＰＣ１０で送信可否を決定する
等のいずれの構成でもよい。

上記の（１）の場合、送信データ検閲サーバ１４においてデータセキュリティクラスを決定し、ＰＣ１０又は送信データ検閲サーバ１４において送信可否を決定する。

上記の（２）の場合、送信データ検閲サーバ１４においてエリアセキュリティクラスを決定し、ＰＣ１０又は送信データ検閲サーバ１４において送信可否を決定する。

上記（３）の場合、送信データ検閲サーバ１４は不要化され、ＰＣ１０がＩｏＴデバイス１０とともに送信データ検閲サーバ１４として機能し得る。

上記（４）の場合、送信可否の決定結果をＰＣ１０から送信データ検閲サーバ１４に送信してもよい。

＜変形例４＞
実施形態では、プロセッサ及び処理プログラムによりニューラルネットワークを実装しているが、これに代えて、専用ハードウェア（ＡＳＩＣ）によりニューラルネットワークを実装してもよく、あるいはＦＰＧＡを用いて実装してもよい。ＦＰＧＡを用いる場合でも、その一部をソフトウェアで実装してもよく、ハードウェアとソフトウェアの複合体として実装してもよい。プロセッサは、ＣＰＵあるいはＧＰＵ（グラフィックスプロセッシングユニット）であってもよい。ＰＣ１０がニューラルネットワークを実装する場合についても同様である。

１０ ＩｏＴデバイス（ＰＣ）、１２ ＩｏＴデバイス（プリンタ）、１４ 送信データ検閲サーバ。

Claims (12)

1. 第１及び第２のデバイスと、
   前記第１のデバイスから前記第２のデバイスにデータを送信するに先立って、前記第２のデバイスのデバイス属性に基づくエリアセキュリティクラスと、前記データのデータセキュリティクラスから前記データの送信可否を決定して前記第１のデバイスに出力する制御手段と、
   を備える情報処理システム。
2. 前記制御手段は、前記データセキュリティクラスが前記エリアセキュリティクラス以下である場合に、前記データの送信可を出力する
   請求項１に記載の情報処理システム。
3. 前記制御手段は、前記データセキュリティクラスが前記エリアセキュリティクラスを超える場合に、前記データの送信不可を出力する
   請求項２に記載の情報処理システム。
4. 前記制御手段は、前記データセキュリティクラスが前記エリアセキュリティクラスを超える場合に、前記データセキュリティクラスが前記エリアセキュリティクラス以下となるデバイス情報を出力する
   請求項２に記載の情報処理システム。
5. 前記制御手段は、前記データセキュリティクラスが前記エリアセキュリティクラスを超える場合でも、前記データの緊急度が高いときに前記データの送信可を出力する
   請求項２に記載の情報処理システム。
6. 前記デバイス属性は、前記第２のデバイスの種別及び位置情報を含む
   請求項１〜５のいずれかに記載の情報処理システム。
7. 前記制御手段は、予め前記デバイスの種別及び位置情報とエリアセキュリティクラスとの対応関係を規定するテーブルを参照することで前記第２のデバイスのエリアセキュリティクラスを決定する
   請求項６に記載の情報処理システム。
8. 前記制御手段は、機械学習されたニューラルネットワークにより前記データセキュリティクラスを決定する
   請求項６に記載の情報処理システム。
9. 前記第２のデバイスはプリンタであり、
   前記データは、前記プリンタで処理されるべき画像データである
   請求項１〜８のいずれかに記載の情報処理システム。
10. 前記制御手段は、前記画像データのページ毎に送信可否を決定して出力する
    請求項９に記載の情報処理システム。
11. データの送信指示を受け付ける入力手段と、
    前記データの送信に先立って、前記データの送信先のデバイス属性を取得し、前記デバイス属性に基づくエリアセキュリティクラスと、前記データのデータセキュリティクラスとを比較することで前記データの送信可否を制御する制御手段と、
    を備える情報処理装置。
12. コンピュータに、
    データの送信指示を受け付けるステップと、
    前記データの送信に先立って、前記データの送信先のデバイス属性を取得するステップと、
    前記デバイス属性に基づき前記データの送信先のエリアセキュリティクラスを決定するステップと、
    前記データのデータセキュリティクラスを決定するステップと、
    前記エリアセキュリティクラスと前記データセキュリティクラスを比較することで前記データの送信可否を決定して出力するステップと、
    を実行させるプログラム。