JP2019152965A - 情報処理装置およびプログラム - Google Patents

Abstract

【課題】情報処理装置のメモリーに格納されているデータを、当該データが取得された経路のセキュリティレベルに応じた態様で提供すること。【解決手段】情報処理装置１００は、ネットワーク１の端末からのアクセスを受け付けるように構成された第１のネットワークインターフェース（第１ＮＩＣ）と、ネットワーク２の端末からのアクセスを受け付けるように構成された第２のネットワークインターフェース（第２ＮＩＣ）と、メモリーとを備える。メモリーは、ネットワーク２の端末から受信したデータを格納するように構成された第１の領域を含む。ネットワーク２のセキュリティレベルは、ネットワーク１のセキュリティレベルより高く設定されている。情報処理装置１００は、ネットワーク２の端末からの第１の領域に格納されたデータへのアクセスを許可し、ネットワーク１の端末からの第１の領域に格納されたデータへのアクセスを制限する。【選択図】図１

Description

本開示は、複数のネットワークのそれぞれを構成する端末からのアクセスを処理する情報処理装置に関する。

従来、複数のネットワークのそれぞれを構成する端末からのアクセスを処理する情報処理装置が提案されている。たとえば、特開２０１４−０４９１３２号公報（特許文献１）は、「第１ＬＡＮカードに割り当てられた第１運営体制と、第２ＬＡＮカードに割り当てられた第２運営体制と、モニター、キーボードおよびマウスが連結されるＩ／Ｏ装置連結部と、第１運営体制とＩ／Ｏ装置連結部間の第１入出力データを送受信する第１データ受信部および第２運営体制とＩ／Ｏ装置連結部間の第２入出力データを送受信する第２データ受信部を含むスイッチング部と、第１ボタンが作動すると、現在活性化されているデータ受信部は不活性化させ、現在不活性化されているデータ受信部は活性化させる制御部とを含むスイッチング処理部を含む、ネットワーク転換端末」を開示する（特許文献１の要約）。

また、特開２００９−２５３３８９号公報（特許文献２）は、「企業内の定められた作業場所のみアクセス可能な利用アクセス場所認証方法」を開示する。当該方法では、ＡＳＰサービスを利用する企業側のシステム責任者は、信頼される従業員をシステム鍵解除担当者に任命する。システム鍵解除担当者が、予め定められたシステム鍵解除端末で、勤務日の勤務時間にのみシステム鍵を解除することにより、システム鍵解除端末と同じネットワークにつながっている利用者クライアント端末がＡＳＰサービスシステムにアクセス可能になる。

特開２０１４−０４９１３２号公報 特開２００９−２５３３８９号公報

近年、上記のような情報処理装置は、複数のネットワークのそれぞれを経由して受信したデータを当該情報処理装置内に格納する場合がある。複数のネットワークの間には、セキュリティレベルが異なることもある。このため、情報処理装置は、当該情報処理装置において格納されているデータを、複数のネットワーク内のすべての端末に対して同様の態様では提供するべきではない場合がある。

本開示は、係る実情に鑑み考え出されたものであり、その目的は、情報処理装置が、格納されているデータを、当該データが取得された経路のセキュリティレベルに応じた態様で端末に提供することである。

本開示のある局面に従うと、第１のネットワークの端末からのアクセスを受け付けるように構成された第１のネットワークインターフェースと、第２のネットワークの端末からのアクセスを受け付けるように構成された第２のネットワークインターフェースと、第１および第２のネットワークの端末からのアクセスを処理するように構成された処理部と、メモリーとを備えた情報処理装置が提供される。メモリーは、第２のネットワークの端末から受信したデータを格納するように構成された第１の領域を含む。第２のネットワークのセキュリティレベルは、第１のネットワークのセキュリティレベルより高く設定されている。処理部は、第２のネットワークの端末からの第１の領域に格納されたデータへのアクセスを許可し、第１のネットワークの端末からの第１の領域に格納されたデータへのアクセスを制限する、ように構成されている。

処理部は、第２のネットワークの端末から受信したデータを暗号化して、第１の領域に格納するように構成されていてもよい。

本開示の他の局面に従うと、第１のネットワークの端末からのアクセスを受け付けるように構成された第１のネットワークインターフェースと、第２のネットワークの端末からのアクセスを受け付けるように構成された第２のネットワークインターフェースと、第１および第２のネットワークの端末からのアクセスを処理するように構成された処理部と、メモリーとを備えた情報処理装置が提供される。メモリーは、第２のネットワークの端末から受信したデータを格納するように構成された第１の領域を含む。第２のネットワークのセキュリティレベルは、第１のネットワークのセキュリティレベルより高く設定されている。処理部は、第１のネットワークの端末へ、第１の領域に格納されたデータを暗号化された状態で送信し、第２のネットワークの端末へ、第１の領域に格納されたデータを復号化された状態で送信する、ように構成されている。

情報処理装置は、メモリーは、第２の領域をさらに備えていてもよい。処理部は、第１のネットワークの端末からの第２の領域に格納されたデータへのアクセスを許可し、第１のネットワークの端末が第２のネットワークの端末から受信したデータの閲覧を許可された場合には、当該データを、第１の領域に暗号化することなく格納し、さらに、第２の領域に暗号化して格納するように構成されていてもよい。

情報処理装置は、印刷ジョブを実行する画像形成部をさらに備えていてもよい。処理部は、第２のネットワークの端末から印刷ジョブのデータを受信した場合に、当該印刷ジョブのデータを暗号化してメモリーに格納し、画像形成部が印刷ジョブを実行する場合に、当該データを復号化する、ように構成されていてもよい。

処理部は、第２のネットワークの端末から印刷ジョブのデータを受信した場合に、当該印刷ジョブのデータを暗号化してメモリーに格納し、第１のネットワークの画像形成装置が印刷ジョブを実行する場合には、当該画像形成装置に暗号化された状態で印刷ジョブのデータを送信し、第２のネットワークの画像形成装置が印刷ジョブを実行する場合には、当該画像形成装置に復号化された状態で印刷ジョブのデータを送信する、ように構成されていてもよい。

処理部は、データを暗号化してクラウドサーバーにアップロードし、クラウドサーバーからの要求応じて、アップロードされたデータを要求する端末が第２のネットワークの端末であるか否かを判断し、データを要求する端末が第２のネットワークの端末である場合には、データを復号化し、復号化されたデータをクラウドサーバーもしくはアクセス元へ送信し、または、データの復号化のための鍵をアクセス元へ送信する、ように構成されていてもよい。

処理部は、第２のネットワークのセキュリティレベルが低減されるように変更される場合に、第１の領域に格納されているデータを、変更後のセキュリティレベルに対応するメモリー中の領域に暗号化して格納するように構成されていてもよい。

処理部は、第２のネットワークのセキュリティレベルが低減されるように変更される場合に、第１の領域に格納されていたデータを、変更前のセキュリティレベルに対応するメモリー中の領域に格納するように構成されていてもよい。

本開示のさらに他の局面に従うと、第１のネットワークの端末からのアクセスを受け付けるように構成された第１のネットワークインターフェースと、第２のネットワークの端末からのアクセスを受け付けるように構成された第２のネットワークインターフェースと、メモリーとを備える情報処理装置のコンピューターによって実行されるプログラムが提供される。メモリーは、第２のネットワークの端末から受信したデータを、当該第２のネットワークの端末から受信したことを表わす情報とともに格納する、第１の領域を含む。第２のネットワークのセキュリティレベルは、第１のネットワークのセキュリティレベルより高く設定されている。プログラムは、コンピューターに、第１のネットワークの端末からの第１の領域に格納されたデータへのアクセスを制限するステップを実行させる。

本開示のさらに他の局面に従うと、第１のネットワークの端末からのアクセスを受け付けるように構成された第１のネットワークインターフェースと、第２のネットワークの端末からのアクセスを受け付けるように構成された第２のネットワークインターフェースと、メモリーとを備える情報処理装置のコンピューターによって実行されるプログラムが提供される。メモリーは、第２のネットワークの端末から受信したデータを格納するように構成された第１の領域を含む。第２のネットワークのセキュリティレベルは、第１のネットワークのセキュリティレベルより高く設定されている。プログラムは、コンピューターに、第１のネットワークの端末へ、第１の領域に格納されたデータを暗号化された状態で送信するステップと、第２のネットワークの端末へ、第１の領域に格納されたデータを復号化された状態で送信するステップとを実行させる。

本開示のある局面に従うと、情報処理装置のメモリーに格納されたデータが第１のネットワークよりセキュリティレベルを高く設定された第２のネットワークからのデータである場合、第１のネットワークの端末からの当該データへのアクセスが、第２のネットワークの端末からの当該データへのアクセスに対して制限される。

本開示の他の局面に従うと、情報処理装置のメモリーに格納されたデータが第１のネットワークよりセキュリティレベルを高く設定された第２のネットワークからのデータである場合、第１のネットワークの端末には当該データが暗号化された状態で送信され、第２のネットワークの端末には当該データが復号化された状態で送信される。

情報処理装置のメモリーに格納されているデータが、当該データが取得された経路のセキュリティレベルに応じた態様で、端末に提供される。

情報処理装置を含むネットワークシステムの構成の一実施の形態を示す図である。 情報処理装置１００のハードウェア構成を概略的に示す図である。 ディスプレイ１７１に表示される、セキュリティレベルの設定画面の一例を示す図である。 メモリー１６０におけるデータの格納態様を説明するための図である。 ＣＰＵ１５０がメモリー１６０にデータを格納するために実行する処理の一例のフローチャートである。 ＣＰＵ１５０がメモリー１６０に格納されたデータに対するアクセスを制御するための処理の一例を示すフローチャートである。 図６の処理による効果の一例を模式的に示す図である。 ＣＰＵ１５０が、メモリー１６０内のデータを端末に送信するために実行する処理の一例のフローチャートである。 ＣＰＵ１５０によるステップＳ８０４の判断の一例を説明するための図である。 第２の実施の形態において、端末から情報処理装置１００にデータが送信されたときの状況の一例を示す図である。 問合せに関して表示される画面の一例を示す図である。 データ領域４１０およびデータ領域４２０に格納されたデータへのアクセスの態様を説明するための図である。 情報処理装置を含むネットワークシステムの構成の一実施の形態を示す図である。 情報処理装置を含むネットワークシステムの構成の一実施の形態を示す図である。 セキュリティレベルの変更を入力するための画面である。 セキュリティレベルが変更されたときの情報処理装置１００の動作を説明するための図である。 共有ＢＯＸ４２２内のデータの取扱を問い合わせるために送信される情報の一例を示す図である。 他の例におけるデータの取扱を示す図である。 セキュリティレベルの変更を入力するための画面である。 セキュリティレベルが変更されたときの、共有ＢＯＸ４２２に格納されたデータについての情報処理装置１００の動作を説明するための図である。 共有ＢＯＸ４２２内のデータの取扱を問い合わせるために送信される情報の一例を示す図である。 ボタン２１０１が操作された（「ネットワーク１にコピー」が指定された）ときのデータの取扱を説明するための図である。 ボタン２１０２が操作された（「削除」が指定された）ときのデータの取扱を説明するための図である。

以下に、図面を参照しつつ、情報処理装置の実施の形態について説明する。以下の説明では、同一の部品および構成要素には同一の符号を付してある。それらの名称および機能も同じである。したがって、これらの説明は繰り返さない。

［第１の実施の形態］
（１．ネットワークの構成）
図１は、情報処理装置を含むネットワークシステムの構成の一実施の形態を示す図である。図１の例では、ネットワークシステム５００は、社内ネットワークを構成する。ネットワークシステム５００は、ネットワーク１、ネットワーク２、ならびに、ネットワーク１およびネットワーク２のいずれからもアクセス可能な情報処理装置１００とを含む。

図１の例では、情報処理装置１００は、ＭＦＰ（Multi-Functional Peripheral）によって実現される。なお、情報処理装置１００は、ネットワーク１の端末からのアクセスを受け付けるように構成された第１のネットワークインターフェースと、ネットワーク２の端末からのアクセスを受け付けるように構成された第２のネットワークインターフェースと、ネットワーク２から送信されるデータを格納するように構成されたメモリーと、当該メモリーに格納されたデータを処理するプロセッサーとを備えていれば、いかなるコンピューターによって実現されてもよい。

ネットワーク１は、サーバー２１０と、ルーター２２０と、パーソナルコンピューター（ＰＣ）２３０とを含む。サーバー２１０およびＰＣ２３０は、ルーター２２０を介して、インターネット等の公衆通信網および情報処理装置１００に接続する。

ネットワーク２は、サーバー３１０と、ルーター３２０と、２台のＰＣ３３０，３４０とを含む。サーバー３１０およびＰＣ３３０，３４０は、ルーター３２０を介して、情報処理装置１００に接続する。

情報処理装置１００は、第１ＮＩＣ（Network Interface Card）を用いてネットワーク１の端末（図１の例では、サーバー２１０およびＰＣ２３０）からのアクセスを受け付ける。情報処理装置１００は、第２ＮＩＣを用いてネットワーク２の端末（図１の例では、サーバー３１０およびＰＣ３３０，３４０）からのアクセスを受け付ける。第１ＮＩＣは、図２において第１ＮＩＣ１５５として示される。第２ＮＩＣは、図２において第２ＮＩＣ１５６として示される。第１ＮＩＣと第２ＮＩＣは、互いに異なるＩＰ（Internet Protocol）アドレスを指定されている。

（２．情報処理装置１００のハードウェア構成）
図２は、情報処理装置１００のハードウェア構成を概略的に示す図である。図２を参照して、情報処理装置１００は、情報処理装置１００を制御するためのＣＰＵ（Central Processing Unit）１５０と、プログラムおよびデータを格納するためのメモリー１６０と、操作パネル１７０とを含む。

メモリー１６０は、ＣＰＵ１５０により実行されるプログラムおよび各種データを記憶し、不揮発性メモリーを含む。操作パネル１７０は、ディスプレイ１７１と、ユーザーインターフェース１７２とを含む。ディスプレイ１７１は、たとえば、液晶表示装置および／またはプラズマディスプレイである。ユーザーインターフェース１７２は、情報処理装置１００に対する操作の入力を受け付け、たとえば、タッチセンサーおよび／またはハードウェアボタンである。

情報処理装置１００は、さらに、画像処理部１５１と、画像形成部１５２と、画像読取部１５３と、ファクシミリ通信部１５４と、第１ＮＩＣ１５５と、第２ＮＩＣ１５６とを含む。画像処理部１５１は、入力された画像に対して拡大・縮小を含む各種の処理を施す。画像形成部１５２は、感光体等の、記録用紙に画像を形成するための要素を含む。画像読取部１５３は、スキャナー等の原稿の画像データを生成するための要素を含み、原稿のスキャンによりスキャンデータを生成する。ファクシミリ通信部１５４は、モデム等のファクシミリ通信により画像データの送受信するための要素を含む。

（３．セキュリティレベルの設定）
情報処理装置１００は、ネットワーク１とネットワーク２のそれぞれについてセキュリティレベルの設定を受け付ける。図３は、ディスプレイ１７１に表示される、セキュリティレベルの設定画面の一例を示す図である。図３の画面３９０は、ネットワーク１のセキュリティレベルを、「通常」，「高」のそれぞれに設定するためのボタン３９１Ａ，３９２Ａを含む。画面３９０は、また、ネットワーク２のセキュリティレベルを、「通常」，「高」のそれぞれに設定するためのボタン３９１Ｂ，３９２Ｂを含む。

図３の例は、ボタン３９１Ａとボタン３９２Ｂが選択されている状態を示す。この状態は、ネットワーク１に対してセキュリティレベル「通常」が設定され、ネットワーク２に対してセキュリティレベル「高」が設定されていることを示す。すなわち、図３の例では、ネットワーク２のセキュリティレベルの方が、ネットワーク１のセキュリティレベルよりも高い。セキュリティレベルの違いに応じて、情報処理装置１００のＣＰＵ１５０は、メモリー１６０において、ネットワーク１の端末から受信したデータと、ネットワーク２の端末から受信したデータとを、互いに異なる領域に格納する。

（４．セキュリティレベルに従ったデータの格納態様）
図４は、メモリー１６０におけるデータの格納態様を説明するための図である。図４に示されるように、メモリー１６０には、データ領域４１０とデータ領域４２０とが設定されている。データ領域４１０は、セキュリティレベル「通常」のネットワークの端末から受信したデータを格納するための領域である。データ領域４２０は、セキュリティレベル「高」のネットワークの端末から受信したデータを格納するための領域である。

データ領域４１０は、ユーザーＡ〜Ｆのそれぞれのデータを格納するための個人ＢＯＸ４１１と、ユーザー間で共有されるデータを格納するための共有ＢＯＸ４１２とを含む。データ領域４２０は、ユーザーＡ〜Ｄのそれぞれのデータを格納するための個人ＢＯＸ４２１と、ユーザー間で共有されるデータを格納するための共有ＢＯＸ４２２とを含む。

ある実施の形態では、ＣＰＵ１５０は、データ領域４１０にはデータを暗号化することなく格納し、データ領域４２０にはデータを暗号化して格納してもよい。ＣＰＵ１５０は、当該暗号化されたデータの復号化用の鍵を、メモリー１６０内の所定の領域に格納していてもよい。ＣＰＵ１５０は、当該鍵を、データの送信元の端末に送信してもよい。

（５．データの格納処理）
図５は、ＣＰＵ１５０がメモリー１６０にデータを格納するために実行する処理の一例のフローチャートである。図５を参照して、ＣＰＵ１５０によるデータの格納態様を説明する。本明細書における各処理は、たとえばＣＰＵ１５０が所与のプログラムを実行することによって実現される。

ステップＳ５００にて、ＣＰＵ１５０は、ネットワーク１またはネットワーク２の端末からデータを受信したか否かを判断する。ＣＰＵ１５０は、ネットワーク１の端末から、第１ＮＩＣ１５５でデータを受信する。ＣＰＵ１５０は、ネットワーク２の端末から、第２ＮＩＣ１５６でデータを受信する。ＣＰＵ１５０は、データを受信したと判断するまでステップＳ５００に制御を留め（ステップＳ５００にてＮＯ）、データを受信したと判断すると（ステップＳ５００にてＹＥＳ）、ステップＳ５０２へ制御を進める。

ステップＳ５０２にて、ＣＰＵ１５０は、受信したデータの送信元をチェックする。第１ＮＩＣ１５５で受信したデータの送信元は、ネットワーク１の端末である。第２ＮＩＣ１５６で受信したデータの送信元は、ネットワーク２の端末である。

ステップＳ５０４にて、ＣＰＵ１５０は、受信したデータを、送信元に従った領域に格納する。より具体的には、ＣＰＵ１５０は、送信元がネットワーク１の端末であれば、受信したデータを領域４１０に格納する。さらに具体的には、ＣＰＵ１５０は、受信したデータが個人用のフォルダに格納するように指示された場合には、個人ＢＯＸ４１１内の対応するユーザーの領域に格納する。ＣＰＵ１５０は、受信したデータが共有フォルダに格納するように指示された場合には、共有ＢＯＸ４１２内に格納する。

また、ＣＰＵ１５０は、送信元がネットワーク２の端末であれば、受信したデータを領域４２０に格納する。さらに具体的には、ＣＰＵ１５０は、受信したデータが個人用のフォルダに格納するように指示された場合には、個人ＢＯＸ４２１内の対応するユーザーの領域に格納する。ＣＰＵ１５０は、受信したデータが共有フォルダに格納するように指示された場合には、共有ＢＯＸ４２２内に格納する。

その後、ＣＰＵ１５０は、ステップＳ５００へ制御を戻す。
（６．データのアクセスの制御）
図６は、ＣＰＵ１５０がメモリー１６０に格納されたデータに対するアクセスを制御するための処理の一例を示すフローチャートである。図６を参照して、ＣＰＵ１５０によるデータへのアクセス制御を説明する。

ステップＳ６００にて、ＣＰＵ１５０は、メモリー１６０のデータへのアクセスを受け付けたか否かを判断する。ＣＰＵ１５０は、データのアクセスを受け付けたと判断するまでステップＳ６００に制御を留め（ステップＳ６００にてＮＯ）、アクセスを受け付けたと判断すると（ステップＳ６００にてＹＥＳ）、ステップＳ６０２へ制御を進める。データへのアクセスとは、指定された記憶領域に格納されているファイルの提示の要求を含む。たとえば、所定のフォルダへのアクセスは、当該所定のフォルダ内に格納されているファイルの提示の要求を含む。

ステップＳ６０２にて、ＣＰＵ１５０は、ステップＳ６００において受信したアクセスが、ネットワーク２の端末からのアクセスであるか否かを判断する。ＣＰＵ１５０は、上記アクセスがネットワーク２の端末からのアクセスであると判断すると（ステップＳ６０２にてＹＥＳ）、ステップＳ６０４へ制御を進める。一方、ＣＰＵ１５０は、上記アクセスがネットワーク２以外のネットワーク（図１の例では、ネットワーク１）の端末からのアクセスであると判断すると（ステップＳ６０２にてＮＯ）、ステップＳ６０６へ制御を進める。

ステップＳ６０４にて、ＣＰＵ１５０は、データ領域４１０とデータ領域４２０に格納されたデータを提示する。その後、ＣＰＵ１５０は、ステップＳ６００へ制御を戻す。

ステップＳ６０６にて、ＣＰＵ１５０は、データ領域４１０に格納されたデータを提示する。その後、ＣＰＵ１５０は、ステップＳ６００へ制御を戻す。

以上、図６を参照して説明されたように、ＣＰＵ１５０は、高いセキュリティレベルのネットワーク（ネットワーク２）の端末からアクセスを受け付けると、当該アクセスに対してデータ領域４１０とデータ領域４２０の双方のデータを提示する。これにより、ネットワーク２の端末からメモリー１６０にアクセスしたユーザーは、データ領域４１０内のデータとデータ領域４２０内のデータの双方の存在を認識する。

一方、ＣＰＵ１５０は、低いセキュリティレベルのネットワーク（ネットワーク１）の端末からアクセスと受け付けると、当該アクセスに対してデータ領域４１０のデータのみを提示する。これにより、ネットワーク１の端末からメモリー１６０にアクセスしたユーザーは、データ領域４１０内のデータの存在を認識できるが、データ領域４２０内のデータの存在を認識できない。

図７は、図６の処理による効果の一例を模式的に示す図である。図７は、状況（１）および状況（２）を示す。図７では、ユーザーに提示されるデータとして、ハッチングを付されていないデータとハッチングを付されたデータとが示される。ハッチングを付されていないデータは、データ領域４１０（図４参照）に格納されたデータを表わす。ハッチングを付されたデータは、データ領域４２０（図４参照）に格納されたデータを表わす。

状況（１）は、ユーザーＡ（ユーザー７０１）がネットワーク２の端末からメモリー１６０にアクセスした状況を示す。状況（１）では、当該ユーザーＡが閲覧可能なデータのうち、領域４１０および領域４２０の双方に格納されたデータを提示される。

状況（２）は、ユーザーＡがネットワーク１の端末からメモリー１６０にアクセスした状況を示す。状況（２）では、ユーザーＡ（ユーザー７０１）は当該ユーザーＡが閲覧可能なデータのうち、領域４１０に格納されたデータのみを提示され、領域４２０に格納されたデータのみを提示されない。

（７．メモリーに格納されたデータの端末への送信）
図８は、ＣＰＵ１５０が、メモリー１６０内のデータを端末に送信するために実行する処理の一例のフローチャートである。図８を参照して、ネットワークシステム５００における、情報処理装置１００から端末へのデータの送信について説明する。

ステップＳ８００にて、ＣＰＵ１５０は、端末へのデータ送信の要求を受け付ける。端末へのデータ送信の要求の一例は、ある端末からの、当該端末へのデータをダウンロードの要求である。この場合、送信先の端末は、データ送信を要求した端末である。他の例は、ある端末から、他の端末へのデータの送信の要求である。この場合、送信先の端末は、「他の端末」である。

ステップＳ８０２にて、ＣＰＵ１５０は、ネットワークシステム５００内に、セキュリティレベル「高」に設定されたネットワークがあるか否かを判断する。ＣＰＵ１５０は、セキュリティレベル「高」に設定されたネットワークがあると判断すると（ステップＳ８０２にてＹＥＳ）、ステップＳ８０４へ制御を進める。ＣＰＵ１５０は、セキュリティレベル「高」に設定されたネットワークが無いと判断すると（ステップＳ８０２にてＮＯ）、ステップＳ８０４へ制御を進める。ステップＳ８１４に制御を進める。たとえば、図１に示されたように、ネットワーク２のセキュリティレベルが「高」に設定されている場合には、制御はステップＳ８０４へ進められる。

ステップＳ８０４にて、ＣＰＵ１５０は、送信先の端末がセキュリティレベル「高」の端末であるか否かを判断する。ＣＰＵ１５０は、送信先の端末がセキュリティレベル「高」の端末であると判断すると（ステップＳ８０４にてＹＥＳ）、ステップＳ８０６へ制御を進める。ＣＰＵ１５０は、送信先の端末がセキュリティレベル「高」の端末ではないと判断すると（ステップＳ８０４にてＮＯ）、ステップＳ８１０へ制御を進める。

ステップＳ８０６にて、ＣＰＵ１５０は、送信対象のデータが、セキュリティレベル「高」の端末から受信したデータであるか否かを判断する。ＣＰＵ１５０は、送信対象のデータがセキュリティレベル「高」の端末から受信したデータであると判断すると（ステップＳ８０６にてＹＥＳ）、ステップＳ８０８へ制御を進め、そうでなければ（ステップＳ８０６にてＮＯ）、ステップＳ８１４へ制御進める。

なお、本実施の形態では、セキュリティレベル「高」の端末から受信したデータは、図４等を参照して説明されたように、セキュリティレベル「高」用の領域（図４のデータ領域４２０）に格納されている。データ領域４２０では、データは暗号化されて格納されていてもよい。

ステップＳ８０８にて、ＣＰＵ１５０は、データ領域４２０内のデータを復号化して、メモリー１６０の一時的な記憶領域に格納する。その後、制御はステップＳ８１４へ進む。

ステップＳ８１０にて、送信対象のデータが、セキュリティレベル「高」の端末から受信したデータであるか否かを判断する。ＣＰＵ１５０は、送信対象のデータがセキュリティレベル「高」の端末から受信したデータであると判断すると（ステップＳ８１０にてＹＥＳ）、ステップＳ８１２へ制御を進め、そうでなければ（ステップＳ８１０にてＮＯ）、ステップＳ８１４へ制御進める。

ステップＳ８１２にて、ＣＰＵ１５０は、送信対象のデータの復号化用の鍵を、送信先の端末へ送信する。その後、制御はステップＳ８１４へ進む。

ステップＳ８１４にて、ＣＰＵ１５０は、送信対象のデータを、送信先として指定された端末へ送信する。なお、ＣＰＵ１５０は、ステップＳ８０８にてデータを復号化した場合には、ステップＳ８１４にて、復号化されたデータを送信する。

以上、図８の処理によれば、送信対象のデータがデータ領域４２０のデータである場合、ＣＰＵ１５０は、送信先の端末がセキュリティレベル「高」のネットワークに属するか否かによって、異なる手順を実行する。より具体的には、送信先の端末がセキュリティレベル「高」のネットワークに属する場合、ＣＰＵ１５０は、送信対象のデータであって、復号化されたデータを、当該端末に送信する（ステップＳ８０８，Ｓ８１４）。

一方、送信先の端末がセキュリティレベル「高」以外のセキュリティレベルのネットワークに属する場合、ＣＰＵ１５０は、当該端末に対して、送信対象のデータを復号化するための鍵を送信し（ステップＳＳ８１２）、その後、送信対象のデータ（暗号化されている）を当該端末に送信する（ステップＳ８１４）。ＣＰＵ１５０は、送信対象のデータの送信後に、当該データの復号化用の鍵を送信してもよい。

図９は、ＣＰＵ１５０によるステップＳ８０４の判断の一例を説明するための図である。図９の例では、ＣＰＵ１５０は、ＳＮＭＰ（Simple Network Management Protocol）コマンド、または、Ｐｉｎｇコマンドを利用して、送信先の端末に、当該端末が属するネットワークを問い合わせる。メモリー１６０は、ネットワークシステム５００内の各ネットワークのセキュリティレベルの設定を格納する。ＣＰＵ１５０は、送信元の端末からの上記問合せに対する返信を用いて当該端末がどのネットワークに属するかを判断し、当該判断の結果に基づいて、各端末が属するネットワークのセキュリティレベルが「高」であるか否かを判断する。当該判断によって、ステップＳ８０４における判断が実現される。

［第２の実施の形態］
（１）アクセス可否の設定に応じたデータの格納
第２の実施の形態のネットワークシステムでは、情報処理装置１００のＣＰＵ１５０は、セキュリティレベル「高」のネットワークの端末から受信したデータの格納態様を、当該端末からの指示に応じて決定する。

図１０は、第２の実施の形態において、端末から情報処理装置１００にデータが送信されたときの状況の一例を示す図である。図１０は、工程（１）および工程（２）を示す。

工程（１）では、ユーザー１０１が（端末を利用して）情報処理装置１００にデータを送信する。データの送信元の端末がセキュリティレベル「通常」のネットワークに属する場合、ＣＰＵ１５０は、当該データをデータ領域４１０（図４）に格納する。一方、送信元がセキュリティレベル「高」に属する場合、ＣＰＵ１５０は、工程（２）を実行する。

工程（２）では、ＣＰＵ１５０は、ユーザー１０１（が利用する端末）に対して、セキュリティレベル「通常」のネットワーク内の端末に、送信されたデータへのアクセスを許可するか否かを問い合わせる。

図１１は、問合せに関して表示される画面の一例を示す図である。図１１の画面１１００は、アクセス許可用のボタン１１０１と、アクセス拒否用のボタン１１０２とを含む。端末のユーザーは、ボタン１１０１またはボタン１１０２を操作する。ＣＰＵ１５０は、操作されたボタンに従って、送信されたデータの格納態様を決定する。

より具体的には、ボタン１１０２が操作されると（アクセスを拒否）、ＣＰＵ１５０は、送信されたデータをデータ領域４２０に格納する。ＣＰＵ１５０は、当該データを暗号化した後で格納してもよい。

ボタン１１０１が操作されると（アクセスを許可）、ＣＰＵ１５０は、送信されたデータをデータ領域４２０に格納し、さらに、当該データをデータ領域４１０に格納する。ＣＰＵ１５０は、データを暗号化した後、当該データをデータ領域４２０に格納してもよい。ＣＰＵ１５０は、データ領域４１０にデータを格納する場合、当該データを暗号化した後で格納する。ＣＰＵ１５０は、暗号化されたデータの復号化用の鍵を、メモリー１６０に格納する。ＣＰＵ１５０は、当該鍵を、データの送信元の端末および／またはネットワークの管理者の端末に送信してもよい。

図１２は、データ領域４１０およびデータ領域４２０に格納されたデータへのアクセスの態様を説明するための図である。図１２では、セキュリティレベル「高」のネットワークから送信されたデータが、「データＡ」として示されている。データＡは、データ領域４１０とデータ領域４２０の双方に格納されている。データ領域４１０では、データＡは暗号化されている。

データ領域４２０は、セキュリティレベル「高」の端末から受信したデータのための領域である。このため、ＣＰＵ１５０は、データ領域４２０内のデータに対して、ネットワーク２からのアクセスは受け付けるが、ネットワーク１からのアクセスは受け付けない。これにより、データ領域４２０内の「データＡ」はセキュアな通信（ネットワーク２と情報処理装置１００との間の通信）においてアクセスされる。

データ領域４１０は、セキュリティレベル「通常」の端末から受信したデータのための領域である。このため、ＣＰＵ１５０は、データ領域４１０内のデータに対して、ネットワーク１およびネットワーク２の双方からのアクセスを受け付ける。したがって、データ領域４１０内の「データＡ」は、非セキュアな通信（ネットワーク１と情報処理装置１００との間の通信）においてもアクセスされ得る。

データ領域４１０内の「データＡ」は、暗号化されている。ネットワーク１から「データＡ」にアクセスしたユーザーは、別途、データＡの復号化用の鍵を取得する。これにより、ネットワークシステムは、「データＡ」のセキュリティを確保した上で、「データＡ」に対するネットワーク１からのアクセスを受け付ける。

（２）データに対するセキュリティレベルの設定
ＣＰＵ１５０は、セキュリティレベル「高」のネットワークの端末からデータを受信したときに、当該データに対するセキュリティレベルの指定を受付けてもよい。当該データのセキュリティレベル「高」が指定されると、ＣＰＵ１５０は、図１２等を参照して説明したように、当該データを、データ領域４２０に格納し、さらに、暗号化してデータ領域４１０に格納する。一方、当該データのセキュリティレベル「通常」が指定されると、ＣＰＵ１５０は、当該データを、データ領域４２０に格納し、さらに、暗号化することなくデータ領域４１０に格納する。ＣＰＵ１５０は、当該データの削除の指示に対して、以下のように動作する。

すなわち、データ領域４２０に格納された方のデータの削除が指示されると、ＣＰＵ１５０は、データ領域４２０に格納された当該データおよび当該データに対応するデータ領域４１０内のデータを削除する。データ領域４１０に格納された方のデータの削除が指示されると、ＣＰＵ１５０は、データ領域４１０に格納された方のデータのみを削除し、データ領域４２０に格納された方のデータは削除しない。

［第３の実施の形態］
第３の実施の形態では、情報処理装置１００は、印刷ジョブを受信する。受信した印刷ジョブは、情報処理装置１００に格納される。情報処理装置１００に格納された印刷ジョブは、情報処理装置１００において実行されてもよいし、他の画像形成装置において実行されてもよい。他の画像形成装置において実行される場合、印刷ジョブは、情報処理装置１００から他の画像形成装置へ転送される。

図１３は、情報処理装置を含むネットワークシステムの構成の一実施の形態を示す図である。図１３のネットワークシステム１３００は、セキュリティレベル「通常」に設定されたネットワーク１と、セキュリティレベル「高」に設定されたネットワーク２と、ネットワーク１およびネットワーク２からアクセス可能な情報処理装置１００とを含む。ネットワーク１は、ＰＣ２３０とＭＦＰ１００Ａとを含む。ネットワーク２は、ＰＣ３３０とＭＦＰ１００Ｂとを含む。

ＭＦＰ１００Ａ，１００Ｂは、図２を参照して説明された情報処理装置１００のハードウェア構造と同様のハードウェア構造を有する。印刷ジョブの実行に関し、ネットワークシステム１３００では、情報処理装置１００が親機として機能し、ＭＦＰ１００Ａ，１００Ｂが子機として機能する。

図１３のネットワークシステム１３００において、ＰＣ３３０は、情報処理装置１００に印刷ジョブを送信する。情報処理装置１００のＣＰＵ１５０は、印刷ジョブを受信すると、当該印刷ジョブをメモリー１６０に一時的に格納する。当該印刷ジョブがセキュリティレベル「高」の端末から送信されたので、ＣＰＵ１５０は、当該印刷ジョブを、暗号化した後で、一時的に保存する。なお、ＣＰＵ１５０は、印刷ジョブがセキュリティレベル「通常」の端末から送信された場合には、当該印刷ジョブを、暗号化することなく、一時的に保存する。

情報処理装置１００は、画像形成部１５２で記録用紙上に印刷ジョブに従った画像を形成することにより、印刷ジョブを実行する。ＣＰＵ１５０は、印刷ジョブの実行指示を受けると、上記のように暗号化された印刷ジョブを復号化した後、当該印刷ジョブを実行する。

情報処理装置１００に格納された印刷ジョブが他の画像形成装置で実行される場合、ネットワーク１（セキュリティレベル「通常」）内の画像形成装置で実行されるか、ネットワーク２（セキュリティレベル「高」）内の画像形成装置によって実行されるかによって、印刷ジョブのデータの扱いが異なる。以下、それぞれの場合を説明する。

（１）ネットワーク２内の画像形成装置による印刷ジョブの実行
ユーザーがＭＦＰ１００Ｂに対して所定の指示を入力すると、ＭＦＰ１００ＢのＣＰＵは、情報処理装置１００に対して、当該ユーザーの情報（たとえば、ユーザーＩＤ）を送信する。これに応じて、情報処理装置１００のＣＰＵ１５０は、当該ユーザーの情報に紐付いた印刷ジョブの一覧を、ＭＦＰ１００Ｂへ送信する。

ＭＦＰ１００ＢのＣＰＵは、印刷ジョブの一覧を当該ＭＦＰ１００Ｂのディスプレイに表示する。ユーザーは、当該一覧から、実行を希望する印刷ジョブを選択する。ＭＦＰ１００ＢのＣＰＵは、どの印刷ジョブが選択されたかを示す情報を情報処理装置１００に送信する。

情報処理装置１００のＣＰＵ１５０は、ＭＦＰ１００Ｂが、ネットワーク１に属するか、ネットワーク２に属するかを判断する。ＣＰＵ１５０は、たとえば、ＳＮＭＰコマンド、または、Ｐｉｎｇコマンドを利用して、当該判断を実現する。

図１３の例では、ＭＦＰ１００Ｂは、ネットワーク２に属する。このことに応じて、ＣＰＵ１５０は、ＭＦＰ１００Ｂに、印刷ジョブを復号化した後、送信する。これにより、ＭＦＰ１００Ｂには、印刷ジョブが復号化された状態で送信される。ＭＦＰ１００Ｂは、当該印刷ジョブを実行する。

（２）ネットワーク１内の画像形成装置による印刷ジョブの実行
ユーザーがＭＦＰ１００Ａに対して所定の指示を入力すると、ＭＦＰ１００ＡのＣＰＵは、情報処理装置１００に対して、当該ユーザーの情報（たとえば、ユーザーＩＤ）を送信する。これに応じて、情報処理装置１００のＣＰＵ１５０は、当該ユーザーの情報に紐付いた印刷ジョブの一覧を、ＭＦＰ１００Ａへ送信する。

ＭＦＰ１００ＡのＣＰＵは、印刷ジョブの一覧を当該ＭＦＰ１００Ｂのディスプレイに表示する。ユーザーは、当該一覧から、実行を希望する印刷ジョブを選択する。ＭＦＰ１００ＡのＣＰＵは、どの印刷ジョブが選択されたかを示す情報を情報処理装置１００に送信する。

情報処理装置１００のＣＰＵ１５０は、選択された印刷ジョブがネットワーク２の端末から送信されたものであるかどうかを判断する。また、ＣＰＵ１５０は、ＭＦＰ１００Ａが、ネットワーク１に属するか、ネットワーク２に属するかを判断する。ＣＰＵ１５０は、たとえば、ＳＮＭＰコマンド、または、Ｐｉｎｇコマンドを利用して、当該判断を実現する。

ここでは、選択された印刷ジョブが、ネットワーク２の端末から送信されたものであるとする。図１３の例では、ＭＦＰ１００Ａは、ネットワーク１に属し、ネットワーク２には属さない。このことに応じて、ＣＰＵ１５０は、ＭＦＰ１００Ａに、印刷ジョブを暗号化されたままの状態で送信する。これにより、ＭＦＰ１００Ａのユーザは、当該印刷ジョブの復号化用の鍵を取得し、当該鍵をＭＦＰ１００Ａに入力する。鍵の入力に応じて、ＭＦＰ１００Ａは、印刷ジョブを復号化した後、当該印刷ジョブを実行する。

以上説明された第３の実施の形態では、情報処理装置１００は、ネットワーク２の端末から受信した印刷ジョブを、暗号化して格納する。当該印刷ジョブが、ネットワーク２の画像形成装置で実行される場合、情報処理装置１００は、当該印刷ジョブを復号化した後当該画像形成装置へ送信する。当該印刷ジョブが、ネットワーク１の画像形成装置で実行される場合、情報処理装置１００は、当該印刷ジョブを暗号化されたままの状態で当該画像形成装置へ送信する。

［第４の実施の形態］
第４の実施の形態は、ネットワークシステムからクラウドサーバー等のサーバーにアップロードされたデータの取扱に関する。

図１４は、情報処理装置を含むネットワークシステムの構成の一実施の形態を示す図である。図１４のネットワークシステム１４００は、セキュリティレベル「通常」に設定されたネットワーク１と、セキュリティレベル「高」に設定されたネットワーク２と、ネットワーク１およびネットワーク２からアクセス可能な情報処理装置１００とを含む。

情報処理装置１００は、クラウドサーバー１４０１と通信可能である。ネットワーク１は、ＰＣ２３０を含む。ネットワーク２は、ＰＣ３３０を含む。

情報処理装置１００は、データをクラウドサーバー１４０１にアップロードする。アップロードされるデータは、たとえば、当該情報処理装置１００におけるスキャン動作によって生成されたデータである。図１４の例では、ユーザーは、情報処理装置１００に対して、当該スキャン動作に対してセキュリティレベル「高」を設定する。これに応じて、情報処理装置１００のＣＰＵ１５０は、上記データを暗号化した後、クラウドサーバー１４０１にアップロードする。ＣＰＵ１５０は、当該データの復号化用の鍵をメモリー１６０に格納する。

クラウドサーバー１４０１は、上記データのダウンロードの要求を受けると、当該ダウンロードを要求する端末の情報を情報処理装置１００に送信する。

ＣＰＵ１５０は、ダウンロードを要求した端末が、ネットワーク２内の端末であるか否かを判断する。当該判断のために、ＣＰＵ１５０は、たとえば、クラウドサーバー１４０１から、ダウンロードを要求した端末の識別情報を取得する。また、ＣＰＵ１５０は、ネットワーク２内の各端末に、ＰｉｎｇコマンドまたはＳＮＭＰコマンドで識別情報を要求する。ダウンロードを要求した端末の識別情報が、ネットワーク２内の端末のいずれかの識別情報と一致した場合、ＣＰＵ１５０は、ダウンロードを要求した端末がネットワーク２内の端末であると判断する。ダウンロードを要求した端末の識別情報がネットワーク２内の端末のいずれの識別情報とも一致しない場合には、ＣＰＵ１５０は、ダウンロードを要求する端末はネットワーク２内の端末ではないと判断する。

ＣＰＵ１５０は、ダウンロードを要求した端末がネットワーク２内の端末ではないと判断した場合、その旨をクラウドサーバー１４０１に応答する。当該応答に対して、クラウドサーバー１４０１は、要求されたデータを、暗号化されたままの状態で要求元の端末に送信する。たとえば、端末２３０がダウンロードを要求した場合、要求元の端末はネットワーク２の端末ではないと判断される。クラウドサーバー１４０１は、端末２３０に、暗号化されたままの状態でデータを送信する。端末２３０のユーザーは、別のルートで復号化用の鍵を取得する必要がある。ユーザーは、当該鍵を利用することにより、端末２３０でデータを復号化する。

ＣＰＵ１５０は、ダウンロードを要求した端末がネットワーク２内の端末であると判断した場合、その旨をクラウドサーバー１４０１に応答する。当該応答に対して、クラウドサーバー１４０１は、要求されたデータを情報処理装置１００に送信する。情報処理装置１００のＣＰＵ１５０は、当該データを復号化して、クラウドサーバー１４０１に再度アップロードする。クラウドサーバー１４０１は、復号化されたデータを、要求元の端末に送信する。たとえば、端末３３０がダウンロードを要求した場合、要求元の端末はネットワーク２の端末であると判断される。クラウドサーバー１４０１は、端末３３０に、復号化されたデータを送信する。これにより、端末３３０のユーザーは、復号化用の鍵無しで、上記データの内容を確認できる。

ある変形例において、ダウンロードを要求した端末がネットワーク２内の端末であると判断した場合、ＣＰＵ１５０は、復号化したデータを、クラウドサーバー１４０１に再度アップロードすることなく、要求元の端末に直接送信してもよい。

他の変形例において、ダウンロードを要求した端末がネットワーク２内の端末であると判断した場合、ＣＰＵ１５０は、復号化用の鍵を要求元の端末に直接送信してもよい。クラウドサーバー１４０１は、暗号化されたデータを、要求元の端末に送信する。要求元の端末は、クラウドサーバー１４０１から送信されたデータを、情報処理装置１００から送信された復号化用の鍵を用いて復号化する。

［第５の実施の形態］
第５の実施の形態は、ネットワークシステムにおける、ネットワークに対するセキュリティレベルの変更に関する。より具体的には、第５の実施の形態は、ネットワーク２のセキュリティレベルが「高」から「通常」へと変更された場合に、ネットワーク２から受信したデータの取扱に関する。以下、当該場合のデータの取扱として、２つの例を説明する。

（１）実施例Ａ（図１５〜図１８）
これまでの第１〜第４の実施の形態では、ネットワーク２について、セキュリティレベル「高」が設定されていた。この設定が、実施例Ａでは、セキュリティレベル「通常」に変更される。

図１５は、セキュリティレベルの変更を入力するための画面である。情報処理装置１００のＣＰＵ１５０は、所与の操作に従って図１５の画面１５００をディスプレイ１７１に表示する。図１５の画面１５００は、ネットワーク１のセキュリティレベルを、「通常」，「高」のそれぞれに設定するためのボタン１５０１Ａ，１５０２Ａを含む。画面１５００は、また、ネットワーク２のセキュリティレベルを、「通常」，「高」のそれぞれに設定するためのボタン１５０１Ｂ，１５０２Ｂを含む。

図１５の例は、ボタン１５０１Ａとボタン１５０１Ｂが選択されている状態を示す。この状態は、ネットワーク１とネットワーク２の双方に対してセキュリティレベル「通常」が設定されていることを示す。

第１〜第４の実施の形態では、ネットワーク２のセキュリティレベルは「高」と設定されていた。ネットワーク２のセキュリティレベルが「高」から「通常」へ変更されると、ＣＰＵ１５０は、個人ＢＯＸ４２１内の各ユーザのデータを、個人ＢＯＸ４１１内の対応するユーザーのフォルダーに移動させる。

図１６は、セキュリティレベルが変更されたときの情報処理装置１００の動作を説明するための図である。ＣＰＵ１５０は、共有ＢＯＸ４２２内のデータの取扱を、ネットワーク２の管理者（図１６中のユーザー１６０１）に問い合わせる。より具体的には、ＣＰＵ１５０は、たとえば、ユーザー１６０１に関連付けられた端末に問い合わせの情報を送信する。

図１７は、共有ＢＯＸ４２２内のデータの取扱を問い合わせるために送信される情報の一例を示す図である。問合せに応じて、管理者（ユーザー１６０１）の端末は、たとえば、図１７の画面１７００を表示する。画面１７００は、共有ＢＯＸ４２２内のデータの削除の可否を問い合わせる。管理者（ユーザー１６０１）は、画面１７００内の「はい」ボタンまたは「いいえ」ボタンを操作することによって、問い合わせに回答する。

ある例では、「はい」ボタンが操作されると、情報処理装置１００のＣＰＵ１５０は、共有ＢＯＸ４２２内のデータを削除する。「いいえ」ボタンが操作されると、ＣＰＵ１５０は、ネットワーク２に対するセキュリティレベルの変更の指示を破棄する。すなわち、ネットワーク２のセキュリティレベルは、「高」のまま維持される。この場合、上記された、個人ＢＯＸ４２１から個人ＢＯＸ４１１へのデータの移動は、元に戻される。

図１８は、他の例におけるデータの取扱を示す図である。他の例では、「はい」ボタンが操作されると、ＣＰＵ１５０は、共有ＢＯＸ４２２内のデータを削除する。さらに、ＣＰＵ１５０は、各データが対応するユーザーを特定する。そして、ＣＰＵ１５０は、各データを暗号化して、共有ＢＯＸ４１１内の各ユーザーに対応するフォルダに格納する。ＣＰＵ１５０は、暗号化されたデータの復号化用の鍵を、各データに対して特定されたユーザーに送信する。この例でも、「いいえ」ボタンが操作されると、ＣＰＵ１５０は、ネットワーク２に対するセキュリティレベルの変更の指示を破棄する。すなわち、ネットワーク２のセキュリティレベルは、「高」のまま維持される。この場合、上記された、個人ＢＯＸ４２１から個人ＢＯＸ４１１へのデータの移動は、元に戻される。

（２）実施例Ｂ（図１９〜図２３）
実施例Ｂでは、ネットワーク２のセキュリティレベルが「高」から「通常」に変更され、かつ、ネットワーク１のセキュリティレベルが「通常」から「高」に変更される。

図１９は、セキュリティレベルの変更を入力するための画面である。情報処理装置１００のＣＰＵ１５０は、所与の操作に従って図１９の画面１９００をディスプレイ１７１に表示する。画面１９００は、ネットワーク１のセキュリティレベルを、「通常」，「高」のそれぞれに設定するためのボタン１９０１Ａ，１９０２Ａを含む。画面１９００は、また、ネットワーク２のセキュリティレベルを、「通常」，「高」のそれぞれに設定するためのボタン１９０１Ｂ，１９０２Ｂを含む。

画面１９００に対して、ユーザーは、ネットワーク１とネットワーク２のそれぞれについて、セキュリティレベルを入力する。図１９の例では、画面１９００に対して、ボタン１９０１Ａ，１９０２Ａのうちボタン１９０２Ａが選択されている。これにより、ネットワーク１についてセキュリティレベル「高」が入力される。図１９の例では、画面１９００に対して、ボタン１９０１Ｂ，１９０２Ｂのうちボタン１９０１２Ｂが選択されている。これにより、ネットワーク２についてセキュリティレベル「通常」が入力される。

ネットワーク２のセキュリティレベルが「高」から「通常」へ変更されると、ＣＰＵ１５０は、個人ＢＯＸ４２１内の各ユーザのデータを、個人ＢＯＸ４１１内の対応するユーザーのフォルダーに移動させる。

図２０は、セキュリティレベルが変更されたときの、共有ＢＯＸ４２２に格納されたデータについての情報処理装置１００の動作を説明するための図である。ＣＰＵ１５０は、共有ＢＯＸ４２２内のデータの取扱を、ネットワーク２の管理者（図２０中のユーザー２００１）に問い合わせる。より具体的には、ＣＰＵ１５０は、たとえば、ユーザー２００１に関連付けられた端末に問い合わせの情報を送信する。

図２１は、共有ＢＯＸ４２２内のデータの取扱を問い合わせるために送信される情報の一例を示す図である。管理者（ユーザー２００１）の端末では、たとえば、図２１の画面２１００が表示される。画面２１００は、共有ＢＯＸ４２２内のデータの取扱についての３つのメニュー「ネットワーク１にコピー」「削除」「キャンセル」のいずれかの指定を受付けるためのボタン（ボタン２１０１，２１０２，２１０３）を含む。管理者（ユーザー２００１）は、画面２１００内のボタン２１０１，２１０２，２１０３のいずれかを操作することによって、問い合わせに回答する。

図２２は、ボタン２１０１が操作された（「ネットワーク１にコピー」が指定された）ときのデータの取扱を説明するための図である。図２２に示されるように、ＣＰＵ１５０は、個人ＢＯＸ４２１内の各ユーザーのデータを、個人ＢＯＸ４１１内の対応する各ユーザーのフォルダーにコピーする。ＣＰＵ１５０は、また、共有ＢＯＸ４２２内のデータを、共有ＢＯＸ４１２にコピーする。なお、個人ＢＯＸ４２１および共有ＢＯＸ４２２内のデータは、それぞれ、暗号化されることなく、個人ＢＯＸ４１１および共有ＢＯＸ４１２にコピーされる。その後、個人ＢＯＸ４２１および共有ＢＯＸ４２２内のデータは削除される。

図２３は、ボタン２１０２が操作された（「削除」が指定された）ときのデータの取扱を説明するための図である。図２３では、メモリー１６０において、さらにデータ領域４３０が設定されている。データ領域４３０は、データ領域４２０と同様に、セキュリティレベル「高」のネットワーク用の記憶領域である。図２３の例では、ネットワークシステムは、ネットワーク１とネットワーク２以外に、セキュリティレベル「高」の他のネットワークを含む。データ領域４３０は、当該他のネットワークから受信したデータを格納するための領域である。データ領域４３０は、ユーザーごとにデータを格納する個人ＢＯＸ４３１と、ユーザー間で共有されるデータを格納するための共有ＢＯＸ４３２とを含む。

図２３に示されるように、ＣＰＵ１５０は、個人ＢＯＸ４２１内の各ユーザーのデータを、個人ＢＯＸ４３１内の対応する各ユーザーのフォルダーに、暗号化して、コピーする。すなわち、ネットワーク２のセキュリティレベルが「高」から「通常」に変更されると、ＣＰＵ１５０は、それまでにネットワーク２の端末から受信したデータを、他のセキュリティレベル「高」のネットワークから受信したデータを格納する領域に格納する。その後、ＣＰＵ１５０は、個人ＢＯＸ４２１内のデータは削除される。一方、ＣＰＵ１５０は、共有ＢＯＸ４２２内のデータを、他の領域にコピーすることなく削除する。

今回開示された各実施の形態は全ての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は上記した説明ではなくて特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内での全ての変更が含まれることが意図される。また、各実施の形態および各変形例において説明された発明は、可能な限り、単独でも、組合わせても、実施することが意図される。

１００ 情報処理装置、１５５ 第１ＮＩＣ、１５６ 第２ＮＩＣ、１６０ メモリー、２１０，３１０ サーバー、２２０，３２０ ルーター、２３０，３３０ 端末、４１０，４２０，４３０ データ領域、５００，１３００，１４００ ネットワークシステム、１４０１ クラウドサーバー。

Claims (11)

1. 第１のネットワークの端末からのアクセスを受け付けるように構成された第１のネットワークインターフェースと、
   第２のネットワークの端末からのアクセスを受け付けるように構成された第２のネットワークインターフェースと、
   前記第１および第２のネットワークの端末からのアクセスを処理するように構成された処理部と、
   メモリーとを備え、
   前記メモリーは、前記第２のネットワークの端末から受信したデータを格納するように構成された第１の領域を含み、
   前記第２のネットワークのセキュリティレベルは、前記第１のネットワークのセキュリティレベルより高く設定されており、
   前記処理部は、
   前記第２のネットワークの端末からの前記第１の領域に格納されたデータへのアクセスを許可し、
   前記第１のネットワークの端末からの前記第１の領域に格納されたデータへのアクセスを制限する、
   ように構成されている、情報処理装置。
2. 前記処理部は、前記第２のネットワークの端末から受信したデータを暗号化して、前記第１の領域に格納するように構成されている、請求項１に記載の情報処理装置。
3. 第１のネットワークの端末からのアクセスを受け付けるように構成された第１のネットワークインターフェースと、
   第２のネットワークの端末からのアクセスを受け付けるように構成された第２のネットワークインターフェースと、
   前記第１および第２のネットワークの端末からのアクセスを処理するように構成された処理部と、
   メモリーとを備え、
   前記メモリーは、前記第２のネットワークの端末から受信したデータを格納するように構成された第１の領域を含み、
   前記第２のネットワークのセキュリティレベルは、前記第１のネットワークのセキュリティレベルより高く設定されており、
   前記処理部は、
   前記第１のネットワークの端末へ、前記第１の領域に格納されたデータを暗号化された状態で送信し、
   前記第２のネットワークの端末へ、前記第１の領域に格納されたデータを復号化された状態で送信する、
   ように構成されている、情報処理装置。
4. 前記メモリーは、第２の領域をさらに備え、
   前記処理部は、
   前記第１のネットワークの端末からの前記第２の領域に格納されたデータへのアクセスを許可し、
   前記第１のネットワークの端末が前記第２のネットワークの端末から受信したデータの閲覧を許可された場合には、当該データを、前記第１の領域に暗号化することなく格納し、さらに、前記第２の領域に暗号化して格納するように構成されている、請求項１〜請求項３のいずれか１項に記載の情報処理装置。
5. 印刷ジョブを実行する画像形成部をさらに備え、
   前記処理部は、
   前記第２のネットワークの端末から印刷ジョブのデータを受信した場合に、当該印刷ジョブのデータを暗号化して前記メモリーに格納し、
   前記画像形成部が前記印刷ジョブを実行する場合に、当該データを復号化する、
   ように構成されている、請求項１〜請求項４のいずれか１項に記載の情報処理装置。
6. 前記処理部は、
   前記第２のネットワークの端末から印刷ジョブのデータを受信した場合に、当該印刷ジョブのデータを暗号化して前記メモリーに格納し、
   前記第１のネットワークの画像形成装置が前記印刷ジョブを実行する場合には、当該画像形成装置に暗号化された状態で前記印刷ジョブのデータを送信し、
   前記第２のネットワークの画像形成装置が前記印刷ジョブを実行する場合には、当該画像形成装置に復号化された状態で前記印刷ジョブのデータを送信する、
   ように構成されている、請求項１〜請求項４のいずれか１項に記載の情報処理装置。
7. 前記処理部は、
   データを暗号化してクラウドサーバーにアップロードし、
   前記クラウドサーバーからの要求応じて、前記アップロードされたデータを要求する端末が前記第２のネットワークの端末であるか否かを判断し、前記データを要求する端末が前記第２のネットワークの端末である場合には、
   前記データを復号化し、復号化された前記データを前記クラウドサーバーもしくは前記アクセス元へ送信し、または、
   前記データの復号化のための鍵を前記アクセス元へ送信する、
   ように構成されている、請求項１〜請求項６のいずれか１項に記載の情報処理装置。
8. 前記処理部は、前記第２のネットワークのセキュリティレベルが低減されるように変更される場合に、前記第１の領域に格納されているデータを、変更後のセキュリティレベルに対応する前記メモリー中の領域に暗号化して格納するように構成されている、請求項１〜請求項７のいずれか１項に記載の情報処理装置。
9. 前記処理部は、前記第２のネットワークのセキュリティレベルが低減されるように変更される場合に、前記第１の領域に格納されていたデータを、変更前のセキュリティレベルに対応する前記メモリー中の領域に格納するように構成されている、請求項１〜請求項８のいずれか１項に記載の情報処理装置。
10. 第１のネットワークの端末からのアクセスを受け付けるように構成された第１のネットワークインターフェースと、第２のネットワークの端末からのアクセスを受け付けるように構成された第２のネットワークインターフェースと、メモリーとを備える情報処理装置のコンピューターによって実行されるプログラムであって、
    前記メモリーは、前記第２のネットワークの端末から受信したデータを、当該第２のネットワークの端末から受信したことを表わす情報とともに格納する、第１の領域を含み、
    前記第２のネットワークのセキュリティレベルは、前記第１のネットワークのセキュリティレベルより高く設定されており、
    前記プログラムは、前記コンピューターに、
    前記第１のネットワークの端末からの前記第１の領域に格納されたデータへのアクセスを制限するステップを実行させる、プログラム。
11. 第１のネットワークの端末からのアクセスを受け付けるように構成された第１のネットワークインターフェースと、第２のネットワークの端末からのアクセスを受け付けるように構成された第２のネットワークインターフェースと、メモリーとを備える情報処理装置のコンピューターによって実行されるプログラムであって、
    前記メモリーは、前記第２のネットワークの端末から受信したデータを格納するように構成された第１の領域を含み、
    前記第２のネットワークのセキュリティレベルは、前記第１のネットワークのセキュリティレベルより高く設定されており、
    前記プログラムは、前記コンピューターに、
    前記第１のネットワークの端末へ、前記第１の領域に格納されたデータを暗号化された状態で送信するステップと、
    前記第２のネットワークの端末へ、前記第１の領域に格納されたデータを復号化された状態で送信するステップとを実行させる、プログラム。

Images