JP2020004100A - 情報処理装置及びプログラム - Google Patents

Abstract

【課題】保存領域内のデータの出力経路として許可されるネットワークインタフェースをユーザに設定させる際、ユーザに自由な設定を認める場合よりも、保存領域内のデータの漏洩を低減できるようにする。【解決手段】複合機は、異なるネットワークに接続された複数のネットワークインタフェースを備える。管理情報設定部１７２には、ボックス内の文書の出力経路として選択可能なネットワークインタフェースを示す出力経路情報が、ユーザの属性（例えば役職）ごとに対応付けて記憶されている。ユーザがボックスの新規開設や既存ボックスの出力経路の設定を指示した場合、ユーザ属性取得部１７０がそのユーザの属性を取得する。管理情報設定部１７２は、その属性に対応付けられた出力経路情報の選択肢の中から、そのボックスに設定するものを選択させる。【選択図】図１４

Description

本発明は、情報処理装置及びプログラムに関する。

情報処理装置の中には、複数のネットワークインタフェースを介して異なる複数のネットワークに同時に接続可能なものが存在する。この種の情報処理装置が、機密度の高いデータを扱う第１ネットワークと、そうでない第２ネットワークとの両方に接続される場合もあり得る。例えば、情報処理装置が、デジタル複合機等の高価な機器である場合、第１ネットワークと第２ネットワークとで共用できた方がコスト面で有利である。このような場合、第１ネットワーク上で取り扱われるデータがその情報処理装置内の保存領域にいったん保存されたあと、その保存領域から第２ネットワーク上に漏洩する事態が起こり得る。

特許文献１に開示されたシステムでは、印刷制御装置がいずれかのネットワークを介してジョブを受信すると、該ジョブを受信したネットワークを特定し、特定したネットワークの情報をジョブの属性値として付加し、画像形成装置へ保存する際に、ジョブの属性値として付加されたネットワーク情報を管理テーブルに格納してジョブと共に管理する。そして、端末装置からＨＤＤに保存されているデータの取得要求がなされた場合、管理テーブルを参照して該データにネットワーク情報を付加し、該ネットワーク情報と送信先ネットワーク情報に基づいて送信条件に満足するか判定を行い、満足する場合にデータを送信する。

特許第５５１１３３２号明細書

例えば、複数のネットワークインタフェースを介して異なる複数のネットワークに同時に接続可能な情報処理装置が、機密度の高いデータを扱う第１ネットワークと、そうでない第２ネットワークとの両方に接続される場合があり得る情報処理装置が、デジタル複合機等の高価な機器である場合、第１ネットワークと第２ネットワークとで共用できた方がコスト面で有利である。このような場合、第１ネットワーク上で取り扱われるデータがその情報処理装置内の保存領域にいったん保存されたあと、その保存領域から第２ネットワーク上に漏洩する事態が起こり得る。このような事態を避けるための方法の一つとして、例えば、第１ネットワークからのデータを保存するための専用の保存領域を情報処理装置内に設け、その保存領域に対して出力経路に関する属性を設定し、その属性に従ってその保存領域に対するデータの出力を制御することが考えられる。上述の例では、その保存領域の属性として、その保存領域内のデータの出力経路として第１ネットワーク用のネットワークインタフェースは許可するが第２ネットワーク用のネットワークインタフェースは許可しない旨を示す属性を設定することが考えられる。この方法では、その保存領域に保存されたデータに対して、第２ネットワーク用のネットワークインタフェースを介して出力する指示があっても、その属性を参照した制御により、その指示は実行されない。

情報処理装置を複数のユーザで共用する場合、各ユーザが、自分用又は自分が属するユーザグループ用の保存領域を必要に応じて作成できるようすると便利である。この場合各保存領域に対応付けるデータの出力経路についての属性を情報処理装置の管理者が設定することとすると、管理者の作業負担が大きくなる。そこで、保存領域を作成したユーザがその属性を設定する仕組みとすることが考えられる。しかし、このようにした場合、ネットワーク構成やセキュリティポリシーに必ずしも詳しくないユーザや、悪意あるユーザが、保存領域に対してセキュリティ上好ましくない設定を行ってしまう可能性がある。

本発明は、保存領域内のデータの出力経路として許可されるネットワークインタフェースを規定する出力経路情報をユーザに設定させる方式において、ユーザに自由な設定を認める場合よりも、保存領域内のデータの漏洩を低減することを目的とする。

請求項１に係る発明は、複数のネットワークインタフェースと、データを保存する保存領域であって、保存しているデータの出力経路として許可されるネットワークインタフェースを規定する出力経路情報が対応付けられる保存領域と、各ユーザの属性を記憶するユーザ属性記憶手段と、ユーザから前記保存領域に対応付ける前記出力経路情報の選択を受け付ける受付手段であって、前記出力経路情報についての複数の選択肢のうち前記ユーザの前記属性に応じて限定された選択肢群の中から、前記保存領域に対応付けるものの選択を受け付ける受付手段と、を含む情報処理装置である。

請求項２に係る発明は、前記受付手段は、新たな保存領域の作成指示を前記ユーザから受けた場合に、その保存領域に対応付ける前記出力経路情報の選択を受け付け、前記作成指示に応じて作成したその保存領域に対して、選択を受け付けた前記出力経路情報を対応付ける請求項１に記載の情報処理装置である。

請求項３に係る発明は、前記受付手段は、前記ユーザからの前記選択のための操作指示をネットワーク経由で受け取った場合、前記保存領域に対応付ける選択肢を前記ユーザに選択させる選択画面における前記選択肢群の提示態様を、前記操作指示の入力経路となった前記ネットワークインタフェースに応じて制御する、請求項１又は２に記載の情報処理装置である。

請求項４に係る発明は、前記受付手段は、前記選択画面において、前記ユーザの前記属性に応じて限定された選択肢群のうち前記操作指示の前記入力経路となった前記ネットワークインタフェースに対応する選択肢の少なくとも１つを、そうでない選択肢と区別可能な態様で提示する、請求項３に記載の情報処理装置である。

請求項５に係る発明は、前記受付手段は、前記選択画面において、前記ユーザの前記属性に応じて限定された選択肢群のうち前記操作指示の前記入力経路となった前記ネットワークインタフェースを前記出力経路として許可する選択肢の１つを、選択された状態として提示する、請求項４に記載の情報処理装置である。

請求項６に係る発明は、前記受付手段は、前記選択画面において、前記複数の選択肢のうち、前記ユーザの前記属性と前記操作指示の前記入力経路となった前記ネットワークインタフェースとの両方により限定された選択肢群を選択可能状態で提示する、請求項３に記載の情報処理装置である。

請求項７に係る発明は、前記作成指示に係る前記新たな保存領域を作成する目的を判別する判別手段を更に含み、前記受付手段は、前記保存領域に対応付ける選択肢を前記ユーザに選択させる選択画面における前記選択肢群の提示態様を、前記判別手段が判別した目的に応じて制御する、請求項２に記載の情報処理装置である。

請求項８に係る発明は、前記受付手段は、前記選択画面において、前記ユーザの前記属性に応じて限定された選択肢群のうち前記判別手段が判別した目的に対応する選択肢の少なくとも１つを、そうでない選択肢と区別可能な態様で提示する、請求項７に記載の情報処理装置である。

請求項９に係る発明は、前記受付手段は、前記選択画面において、前記ユーザの前記属性に応じて限定された選択肢群のうち前記判別手段が判別した目的に対応する選択肢の１つを、選択された状態として提示する、請求項８に記載の情報処理装置である。

請求項１０に係る発明は、前記受付手段は、前記選択画面において、前記複数の選択肢のうち、前記ユーザの前記属性と前記判別手段が判別した目的との両方により限定された選択肢群を選択可能状態で提示する、請求項７に記載の情報処理装置。

請求項１１に係る発明は、前記保存領域には、前記出力経路情報に加え、前記保存領域に保存するデータの入力経路として許可されるネットワークインタフェースを規定する入力経路情報が対応付けられ、前記受付手段は、前記入力経路情報についての複数の選択肢のうち前記ユーザの前記属性に応じて限定された選択肢の中から、前記保存領域に対応付ける入力経路情報の選択を更に受け付ける、請求項１〜１０のいずれか１項に記載の情報処理装置である。

請求項１２に係る発明は、前記受付手段は、前記出力経路情報と前記入力経路情報との組合せである入出力パターンについての複数の選択肢のうち前記ユーザの前記属性に応じて限定された選択肢の中から前記ユーザの選択を受け付け、選択された選択肢に対応する前記入出力パターンを前記保存領域に対応付ける、請求項１１に記載の情報処理装置である。

請求項１３に係る発明は、複数のネットワークインタフェースを備えるコンピュータを、データを保存する保存領域であって、保存しているデータの出力経路として許可されるネットワークインタフェースを規定する出力経路情報が対応付けられる保存領域、各ユーザの属性を記憶するユーザ属性記憶手段、ユーザから前記保存領域に対応付ける前記出力経路情報の選択を受け付ける受付手段であって、前記出力経路情報についての複数の選択肢のうち前記ユーザの前記属性に応じて限定された選択肢群の中から、前記保存領域に対応付けるものの選択を受け付ける受付手段、として機能させるためのプログラムである。

請求項１又は１３に係る発明によれば、保存領域内のデータの出力経路として許可されるネットワークインタフェースを規定する出力経路情報をユーザに設定させる方式において、ユーザに自由な設定を認める場合よりも、保存領域内のデータの漏洩を低減することができる。

請求項２に係る発明によれば、ユーザの指示により新たな保存領域が作成される際に、その保存領域に出力経路情報を対応付けることができる。

請求項３に係る発明によれば、ユーザがどのネットワーク上の端末から操作指示を行ったかに応じて、選択画面における選択肢群の表示態様を制御することができる。

請求項４に係る発明によれば、選択画面において、ユーザが操作指示を行った端末があるネットワーク側のネットワークインタフェースに対応する選択肢をユーザに見分けやすくすることができる。

請求項５に係る発明によれば、選択画面において、ユーザが操作指示を行った端末があるネットワーク側のネットワークインタフェースに対応する選択肢を選択する手間を削減することができる。

請求項６に係る発明によれば、ユーザの属性とユーザが操作指示を行った端末があるネットワークとの両方に対応する選択肢の中からユーザに選択を行わせることができる。

請求項７に係る発明によれば、ユーザの属性と、ユーザが保存領域を作成した目的に応じて、選択画面における選択肢群の表示態様を制御することができる。

請求項８に係る発明によれば、選択画面において、保存領域を作成する目的に対応する選択肢をユーザに見分けやすくすることができる。

請求項９に係る発明によれば、選択画面において、保存領域を作成する目的に対応する選択肢を選択する手間を削減することができる。

請求項１０に係る発明によれば、ユーザの属性と保存領域を作成する目的との両方に対応する選択肢の中からユーザに選択を行わせることができる。

請求項１１に係る発明によれば、保存領域に対応付ける入力経路情報についてユーザに自由な設定を認める場合よりも、保存領域内に予期せぬデータが格納されてしまうリスクを低減することができる。

請求項１２に係る発明によれば、出力経路情報と入力経路情報を別々に選択させる場合より、ユーザの操作負担を低減することができる。

本発明に係る情報処理装置の一実施形態としての複合機１００が接続されるネットワーク環境の一例を示すである。 複合機の内部構成を例示する図である。 ボックスに保存された文書がセキュリティ上許可されないネットワークに流出しないように制御する仕組みを例示する図である。 入出力経路アクセス権限情報のデータ構造の例を示す図である。 図５の入出力経路アクセス権限情報を用いたボックス入出力情報の例を示す図である。 ローカルのＵＩ（ユーザインタフェース）からのボックスへの指示に対する入出力制御部の処理の手順を例示する図である。 リモート（ネットワーク）からのボックスへの指示に対する入出力制御部の処理の手順を例示する図である。 入出力経路アクセス権限情報のデータ構造の別の例を示す図である。 図８の入出力経路アクセス権限情報を用いたボックス入出力情報の例を示す図である。 未指定時情報の項目を含む入出力経路アクセス権限情報のデータ構造の例を示す図である。 実施形態の装置が適用されるネットワーク環境を例示する図である。 ボックスに設定されたボックス入出力情報と、各ボックスと各ネットワークの入出力関係を例示する図である。 ボックス入出力情報のパターンを例示する図である。 実施形態の処理を担う主制御部の機構を例示する図である。 ユーザの属性に応じたボックス入出力情報の設定ルールを例示する図である。 ボックスに対するネットワーク接続設定（ボックス入出力情報の設定）のための選択画面を例示する図である。 ユーザの属性に応じたボックス入出力情報の設定ルールの別の例を含む権限データベースの内容を例示する図である。 ユーザ情報データベースが持つユーザ属性の情報を例示する図である。 ボックスに対するネットワーク接続設定のための選択画面を例示する図である。 変形例１の処理手順を例示する図である。 変形例１における選択画面の例を示す図である。 変形例１におけるボックス開設時のＵＩ画面遷移の例を示す図である。 変形例２におけるボックス開設時のＵＩ画面遷移の例を示す図である。

＜装置構成＞
図１に、本発明に係る情報処理装置の一実施形態としての複合機１００が接続されるネットワーク環境の一例を示す。

この例では、複合機１００は、３つのネットワークインタフェースを内蔵しており、それらネットワークインタフェースを介してＬＡＮ１、ＬＡＮ２、Wi-Fi（登録商標）という３つの異なるネットワークに接続されている。各ネットワーク上のＰＣ（パーソナルコンピュータ）やモバイル端末等のコンピュータ２００は、各々が接続されているネットワークを経由して、複合機１００とデータのやりとりを行う。なお、複合機とは、プリンタ、スキャナ、コピー機、ファクシミリ等の機能を併せ持つ装置のことである。

図２に、複合機１００の内部構成の一例を示す。複合機１００は、スキャナ１０１、プリンタ１０３、ファクシミリ装置１０５、表示装置１０７、不揮発性記憶装置１０９、主制御部１１０、ネットワークインタフェース１２０−１、１２０−２及び１２０−３（以下区別の必要がないときは「ネットワークインタフェース１２０」と総称）を有する。

スキャナ１０１は、原稿の画像を光学的に読み取ってその画像を表す画像データを生成する。プリンタ１０３は、画像データが表す画像を用紙に印刷する。スキャナ１０１とプリンタ１０３を連係動作させることで、コピー処理が実現される。ファクシミリ装置１０５は、ファクシミリの送受信を行う。表示装置１０７は、複合機１００のＵＩ（ユーザインタフェース）用の画面を表示する装置である。この例では、表示装置１０７はタッチパネル型の装置として構成されており、入力装置も兼ねる（ただしこれはあくまで一例に過ぎない）。不揮発性記憶装置１０９は、電源をオフしても記憶を保持する記憶装置であり、ハードディスクドライブやフラッシュメモリがその一例である。

主制御部１１０は、複合機１００の動作を制御する装置であり、データ処理を行うコンピュータと、そのコンピュータが実行する制御プログラムとを含んでいる。主制御部１１０は、表示装置１０７に表示したＵＩ画面に対するユーザの入力を受け取り、この入力に応じてスキャナ１０１、プリンタ１０３、ファクシミリ１０５等を制御することで、ユーザの指示する処理を実現する。また、主制御部１１０は、ネットワークインタフェース１２０−１、１２０−２及び１２０−３を介してネットワークに接続されており、ネットワーク上のコンピュータと指示やデータのやりとりを行う。図１及び図２の例では、ネットワークインタフェース１２０−１はＬＡＮ１に、ネットワークインタフェース１２０−２はＬＡＮ２に、ネットワークインタフェース１２０−３はWi-Fi経由であるネットワークに、それぞれ接続されているとする。以下の説明のために、この例では、少なくともＬＡＮ１とＬＡＮ２は異なるネットワークであるものとする。また、複合機１００がWi-Fi経由で接続されているネットワークは、ＬＡＮ１に接続されているものとする。

複合機１００は、画像データやページ記述言語で記述された印刷データ、各種のアプリケーションで生成されたファイル等の電子文書データ（以下単に「文書」と呼ぶ）を不揮発性記憶装置１０９に保存する機能を有する。

複合機１００には、文書の保存領域を複数設けることが可能である。保存領域の具体的な実現方式に特に限定はない。例えば、個々の保存領域は、主制御部１１０のファイルシステムが管理する１つのフォルダであってもよいし、不揮発性記憶装置１０９に対して設定された１つの論理パーティション又は論理ドライブであってもよい。また、複合機１００に不揮発性記憶装置１０９（物理ドライブ）を複数設け、それら個々の物理ドライブをそれぞれ別々の保存領域として定義してもよい。また、これら例示した種類の保存領域を組み合わせて利用可能としてもよい。以下では、個々の保存領域のことを比喩的に「ボックス」と呼ぶ。個々のボックスにアクセス可能なユーザを制限するために、ボックスに対してパスワードを設定したり、アクセス制御リストによりボックスに対する各ユーザのアクセス権限を規定したりすることも可能である。

主制御部１１０は、このようなボックスに対する文書の入力（保存、蓄積）及び出力（取り出し）を制御する機能を持つ。

ボックスには、スキャナ１０１のスキャンにより生成された文書（画像データ）、ファクシミリ装置１０５が受信した文書、ネットワーク経由で入力された文書などが保存される。また、ボックスに保存された文書は、プリンタ１０３からの印刷出力、ファクシミリ装置１０５による送信、又はネットワーク経由での送信等の態様で出力される。

図に例示した複合機１００は複数の異なるネットワークに接続されているが、これらネットワークごとにセキュリティに関する要件が異なる場合がある。例えば、オフィスにおいて、機密性が高いデータを取り扱う部門とそうでない部門とでネットワークを分けることで、後者の部門のスタッフがネットワーク経由で機密性の高いデータにアクセスできないようにする場合がその一例である。このような場合でも、高価な複合機１００を部門ごとに設置することが困難で、１つの複合機１００を複数部門で共用することがある。このような場合、複合機１００が、セキュリティ要件の厳しい部門（便宜上「第１部門」と呼ぶ）のネットワークと、そうでない部門のネットワークに接続されることになる。前者の部門のセキュリティ要件を満たすには、複合機１００内のボックス（保存領域）として、前者の部門専用のボックスを用意し、このボックスに保存された文書が後者の部門のネットワークに流出しないようにする必要がある。

例えば、第１部門のネットワークと、これと異なる他の部門のネットワークとが、プライベートＩＰアドレスとして同じネットワークアドレスを用いている場合があり得る。このような場合、複合機１００内のボックスへのアクセス制限やボックス内の文書の転送制限をＩＰアドレスで行うことはできない。対策として、例えば、ボックス内の文書を送信する際に、その送信を指示するユーザが、その送信において経由するネットワークインタフェース１２０を指定すれば、そのボックス内の文書が想定外のネットワークに流出することを防げる。しかし、経由するネットワークインタフェース１２０を指定することは一般ユーザにとって難度が高い要求であり、ユーザを迷わせたり、誤った選択を誘発したりする可能性が少なくない。

そこで、本実施形態では、ボックスに保存された文書がセキュリティ上許可されないネットワークに流出しないように制御する仕組みを設けている。以下、この仕組みについて説明する。

図３に、この仕組みのために主制御部１１０が有する機能群を示す。ボックス記憶部１１１は、１以上のボックスの情報と、各ボックスに保存される文書の情報とを記憶する。入出力制御部１１３は、ボックス記憶部１１１に対する文書の入力（保存）又は出力（転送、印刷等）の制御を行う。

入出力先判定部１１５は、ボックスに対する操作指示や文書の入力の入力元、及びボックス内の文書の出力先を判定する。ボックスに対する操作指示の入力元としては、ローカルのＵＩ（すなわち表示装置１０７）と、ネットワーク上の装置とがある。ネットワーク上の装置は、複数のネットワークインタフェース１２０のいずれかを介して主制御部１１０と通信するので、入出力先判定部１１５は、到来した操作指示が、ローカルのＵＩ及び複数のネットワークインタフェース１２０のいずれからのものかを判定する。同様に、入出力先判定部１１５は、ボックスに対して文書が入力された場合、その入力元が、ローカルのスキャナ１０１及びファクシミリ装置１０５（ファクシミリ受信）、並びに複数のネットワークインタフェース１２０のいずれからのものかを判定する。入出力先判定部１１５は、ボックス内の文書の出力指示を受けた場合、その出力先が、ローカルのプリンタ１０３及びファクシミリ装置１０５（ファクシミリ送信）、並びに複数のネットワークインタフェース１２０のいずれへのものかを判定する。

ボックス認証部１１７は、ユーザのボックスへのアクセス認証、及び到来した文書のボックスへの入力（保存）のための認証を行う。この認証は、例えば操作または文書入力の対象のボックスに設定されたパスワードを用いて行う。すなわち、ユーザがボックスの操作を開始しようとした場合、パスワードの入力を求め、これに応じて正しいパスワードが入力された場合に、そのユーザからの操作を許可する。また、ボックス宛のファクシミリ受信の場合、受信した文書に付随するパスワードがそのボックスに設定されたパスワードと合致する場合、その文書をそのボックスに蓄積することを許可する。また、ボックスに対してアクセス制御リストが設定されている場合、図示省略したユーザ認証機構が複合機１００は操作を行おうとするユーザに対してユーザ認証を行い、ボックス認証部１１７は、ユーザ認証により特定されたユーザがそのボックスのアクセス制御リストにより許可される権限の範囲内で、そのボックスに対する操作を許可する。例えば、ユーザがそのボックスについて、文書の蓄積及び印刷の権限は認めているが、ファクシミリ及びネットワーク経由での転送の権限を認めていない場合、ユーザからの転送指示は不許可とする。なお、ボックスにパスワードが設定されておらず、アクセス制御リストによるアクセス制御も行われない場合は、ユーザはそのボックスに対してすべての操作が許可される（ただし、別途、その操作に係るボックス内の文書の入出力先に応じた後述する操作制限は受ける）。

管理情報記憶部１１９は、ボックスへの入出力についての入出力制御部１１３の制御のために用いる管理情報を保持する。保持される管理情報には、ボックスごとに各入出力先からの入出力の許可・不許可を示すボックス入出力情報が含まれる。ボックス入出力情報は、例えば、ボックスごとに、そのボックスに対する操作指示又は文書の入力を許可する入力元、及びそのボックス内の文書の出力を許可する出力先を規定する。この場合、ボックス入出力情報に許可の旨が規定されない入力元からの入力、及び出力先への出力は許可されない。また、ボックス入出力情報は、許可する入力元及び出力先を規定する代わりに、不許可とする入力元及び出力先を規定するものであってもよい。この場合、ボックス入出力情報に不許可の旨が規定されない入力元からの入力、及び出力先への出力は許可される。また、ボックス入出力情報は、入力元と出力先について個別に規定するものに限らず、あるソース（またはネットワークインタフェース１２０）に対して、ボックスへの入力及び出力の両方を一括して許可又は不許可とする旨を規定するものであってもよい。

また、ボックス内の文書の意図せぬ漏洩の防止という観点では、ボックスへの入力（保存）を制限しなくてよい場合も考えられる。そのような場合には、ボックス入出力情報は、許可されるボックスからの出力先（又は不許可とするボックスからの出力先）を規定するものであれば足りる場合がある。ただし、前述したセキュリティ要件が異なる複数のネットワークに複合機１００が接続される例のように、セキュリティ要件が厳しいネットワークからの文書が、セキュリティ要件の緩いネットワークへの出力を許可するボックスに蓄積されると、そのボックスを介して後者のネットワークに漏洩するリスクがある。そこで、このような場合にはボックス入出力情報には、入力元についても規定する。

また、複合機１００のローカルの（すなわちネットワーク経由でない）入出力、すなわちスキャンやファクシミリ等からの文書のボックスへの保存、ボックス内の文書の印刷出力及びファクシミリ送信等は、複合機１００の基本的な機能であり、これらについてはデフォルトで許可としてもよい。以下に示すいくつかの具体例では、ボックスへのローカルの入出力は許可されているとする。この場合、ボックス入出力情報は、各ネットワークインタフェース１２０を経路とする入力及び出力の許可又は不許可を規定するものとなる。

入出力制御部１１３は、管理情報記憶部１１９に保持されたボックス入出力情報等の管理情報を参照して、ボックス記憶部１１１内の個々のボックスへの文書の入力及び出力の制御を行う。

次に、具体例を用いて、入出力制御部１１３の処理を説明する。

図４及び図５には、一つの具体例において用いる、管理情報記憶部１１９に保持される入出力経路アクセス権限情報、及びボックス入出力情報を示す。この例は、複合機１００が、図１に示したＬＡＮ１、ＬＡＮ２、及びWi-Fiという３つのネットワークに（これらに対応する３つのネットワークインタフェース１２０を介して）接続されている場合の例である。

図４に示す入出力経路アクセス権限情報は、ネットワークグループを規定する情報である。この情報は、ネットワークグループＩＤと、これに対応するネットワークインタフェース情報とを含む。ネットワークグループＩＤは、ネットワークグループを一意に識別するためのＩＤである。ネットワークインタフェース情報は、当該ネットワークグループＩＤのネットワークグループを構成するネットワークインタフェースのＩＤのリストである。図４の例では、「グループ１」は「ＬＡＮ１」というネットワークインタフェース１２０（及びその先に繋がるネットワーク）のみから構成され、「グループ５」は「ＬＡＮ１」及び「Wi-Fi」という２つのネットワークインタフェース１２０から構成される。このグループの情報は、図５に例示するボックス入出力情報において、ボックスに対する入出力を許可するグループを表すために用いられる。なお、「グループ４」は、ネットワークインタフェース情報の値が「Ｎｏｎｅ」（すなわち「なし」）となっているが、これはネットワークインタフェース１２０経由のボックスへの入出力を一切許可しない場合に用いられる。また、「グループ５」は、例えば「ＬＡＮ１」と「Wi-Fi」によってそれぞれ接続されるネットワークで同様のセキュリティ要件に従った文書を取り扱う場合に用いられる。このグループをボックスに対応付けた場合、そのボックスで取り扱う（すなわち保存したり出力したりする）文書は、ＬＡＮ１及びWi-Fiで通信するものに限られる。

図５に示すボックス入出力情報は、ボックス記憶部１１１内のボックスごとに、そのボックスへの入出力を許可するネットワークグループのＩＤを規定する。すなわち、図４及び図５の例では、ボックスに対応付けられたネットワークグループに属するネットワークインタフェース１２０は、そのボックスに対する入力及び出力の両方の経路として許可される。

図５の例では、「ボックス１」という名称のボックス（ボックスＩＤは「００１」）は、グループ１に対応付けられている。したがって、このボックス１については、グループ１に属する「ＬＡＮ１」というＩＤのネットワークインタフェース１２０を経由する入出力は許可されるが、他のネットワークインタフェース１２０を経由する入出力は許可されない。すなわち、ボックス１についてのネットワーク経由での文書の入出力の許可態様は以下のようになる。
１）ＬＡＮ１経由での文書保存は許可
２）ＬＡＮ２又はWi-Fi経由での文書保存は不許可
３）ＬＡＮ１経由での文書の出力（取り出し及び転送）は許可
４）ＬＡＮ２又はWi-Fi経由での文書の出力は不許可

なお、この例ではローカルの入出力はデフォルトで許可となっているので、ボックス１へのスキャン及びファクシミリ受信による文書の保存、及びボックス１内の文書の印刷及びファクシミリ送信による出力は許可される。

このように、図４及び図５に示した例は、ボックスごとにいわばそのボックスを利用可能なネットワークを規定するものである。この例では、ボックスのネットワーク経由で利用できる（すなわちボックスを操作できる、ボックスに文書を保存できる、ボックス内の装置を取り出せる、又はその文書の転送先となれる）のは、そのボックスに対応付けられたネットワークグループに属するネットワーク上の装置に限定される。したがって、複数のネットワークで共用される複合機１００内の各ボックスを、ネットワークごとに分離することができる。また、この例では、ローカルから（すなわちスキャナ１０１又はファクシミリ装置１０５から）ボックス内に保存された文書についても、リモートのコンピュータからその文書を取り出したり、リモートのコンピュータにその文書を転送したりする際に、そのボックスについてのボックス入出力情報が適用される。したがって、そのようなローカルからボックスに保存した文書についても、ボックスを介して意図せぬネットワークに漏洩することが防止される。

次に図６及び図７を参照して、入出力制御部１１３が実行する処理手順の一例を説明する。

図６は、ユーザがローカルのＵＩ（表示装置１０７）の画面上であるボックスを操作対象として指定した場合に、入出力制御部１１３が行う処理の例を示す。この場合、入出力制御部１１３は、ボックス認証部１１７にそのボックスについてのアクセス認証処理を行わせる（Ｓ１０）。ボックス認証部１１７は、そのボックスにパスワードが設定されている場合は、パスワード入力画面をＵＩに表示し、ユーザにパスワード入力を求める。これに応じてユーザが入力したパスワードがそのボックスに設定されたパスワードと一致すれば、ボックス認証部１１７は、認証成功とする。また、ボックスへのアクセスをユーザ認証ベースのアクセス制御リストにより制御する方式の場合は、ボックス認証部１１７は、図示しないユーザ認証機構にユーザのログイン認証を行わせ、このログイン認証が成功した場合、そのユーザのユーザＩＤをユーザ認証機構から得る。そして、そのユーザＩＤがそのボックスに対して何らかのアクセス権（例えばボックスへの文書の保存又は取り出し等の権限）を持っているか否かをそのボックスのアクセス制御リストから判定する。そのユーザがそのボックスに何らかのアクセス権を持っていれば、ボックス認証部１１７はＳ１０の認証を成功とし、一切アクセス権を持っていなければ認証を失敗とする。入出力制御部１１３は、ボックス認証部１１７の認証が成功したか否かを判定する（Ｓ１２）。

ボックス認証部１１７の認証が失敗した場合、入出力制御部１１３は、指定されたボックスについての操作が実行不可であることを示すエラー画面をローカルのＵＩに表示し（Ｓ１４）、処理を終了する。

ボックス認証部１１７の認証が成功した場合、入出力制御部１１３は、そのボックスに関するユーザからの指示が、そのボックス内の文書をネットワーク経由で転送する操作を指示するものであるかどうかを判定する（Ｓ１６）。例えばＦＴＰ(File Transfer Protocol)やＳＭＴＰ（Simple Mail Transfer Protocol）のようなネットワーク転送のプロトコルを用いた転送操作が指示された場合、Ｓ１６の判定結果はＹｅｓとなる。逆に、そのボックス内の文書の印刷出力、ファクシミリ送信、又はそのスキャン結果の文書のボックス内への保存等の、ネットワーク経由の転送以外の操作が指示された場合は、Ｓ１６の判定結果がＮｏとなる。

Ｓ１６の判定結果がＮｏの場合、入出力制御部１１３は、ユーザが指示した処理を実行する（Ｓ１８）。例えば、ユーザが、スキャンした文書をそのボックスに保存する操作を指示した場合、入出力制御部１１３は、スキャナ１０１が生成した文書を受け取ってボックス記憶部１１１内のそのボックスに保存する。

Ｓ１６の判定結果がＹｅｓの場合、入出力制御部１１３は、ユーザから指示された転送（送信）の転送先への出力経路がどのネットワークインタフェース１２０となるかを入出力先判定部１１５に判定させる。入出力先判定部１１５は、この判定を、例えば、転送先のアドレス（例えばＩＰアドレス）がどのネットワークインタフェース１２０の先にあるネットワークのものかを判定することで行えばよい。そして、入出力制御部１１３は、管理情報記憶部１１９を参照して、入出力先判定部１１５が判定したネットワークインタフェース１２０が、ボックス入出力情報において当該ボックス内の文書の出力経路として許可されているか否かを判定する（Ｓ２０）。図４及び図５の例の場合、当該ボックスに対応付けられたネットワークグループ内に、そのネットワークインタフェース１２０が含まれる場合Ｓ２０の判定結果はＹｅｓとなり、含まれない場合はＳ２０の判定結果はＮｏとなる。

Ｓ２０の判定結果がＮｏの場合、入出力制御部１１３は、指示された操作が実行不可であることを示すエラー画面をローカルのＵＩに表示し（Ｓ１４）、処理を終了する。

Ｓ２０の判定結果がＹｅｓの場合、入出力制御部１１３は、転送対象に指定された文書を、指定された転送先に転送する（Ｓ２２）。

図７は、ユーザが複合機１００とネットワークを介して接続されたリモートのコンピュータからボックスに対する操作を指示した場合の入出力制御部１１３が行う処理の例を示す。リモートからのボックスの操作には、例えばボックスに対する文書の保存（すなわち当該コンピュータからボックスへのアップロード）、ボックス内の文書の取り出し（ボックスから当該コンピュータへのダウンロード）、ボックスの操作画面の表示等がある。

この場合、入出力制御部１１３は、ボックス認証部１１７にそのボックスについてのアクセス認証処理を行わせる（Ｓ３０）。リモートからの指示がそのボックス宛の文書保存指示である場合、ボックス認証部１１７は、例えば、そのボックスに設定されているパスワードがその文書保存指示に含まれているか調べ、含まれていれば認証成功、そうで無ければ認証失敗と判定する。また、リモートのユーザからボックスへのアクセス要求を受けた場合は、ボックス認証部１１７は、ボックスのパスワードの入力を求め、これに応じて正しいパスワードが入力された場合に、認証成功とする。また、ボックスへのアクセスをアクセス制御リストにより制御する方式の場合は、図６の場合と同様、ユーザ認証が成功していれば、ボックス認証部１１７は、ログインが成功しているユーザＩＤをユーザ認証機構から得て、そのユーザＩＤがそのボックスに対して何らかのアクセス権を持っているか否かをそのボックスのアクセス制御リストから判定する。そのユーザがそのボックスに何らかのアクセス権を持っていれば、ボックス認証部１１７はＳ３０の認証を成功とする。

ボックス認証部１１７の認証が失敗した場合、入出力制御部１１３は、指定されたボックスについての操作が実行不可であることを示すエラー情報をリモートの指示元の装置に表示し（Ｓ３４）、処理を終了する。

ボックス認証部１１７の認証が成功した場合、入出力制御部１１３は、そのボックスに関するリモートのユーザからの指示が、そのボックスへの文書の保存（アップロード）指示、又はボックス内の文書の取り出し（ダウンロード）指示であるかどうかを判定する（Ｓ３６）。

Ｓ３６の判定結果がＮｏの場合、入出力制御部１１３は、ユーザが指示した処理を実行する（Ｓ４０）。例えば、ユーザの指示が、そのボックス内の操作画面の表示を求めるものであれば、その操作画面の情報をそのユーザのコンピュータにネットワーク経由で送信する。

Ｓ３６の判定結果がＹｅｓの場合、入出力制御部１１３は、そのリモートのユーザからの指示を受け取った経路がどのネットワークインタフェース１２０であるかを入出力先判定部１１５に判定させる。そして、入出力制御部１１３は、管理情報記憶部１１９を参照して、入出力先判定部１１５が判定したネットワークインタフェース１２０が、ボックス入出力情報において当該ボックス内の文書の入力または出力の経路として許可されているか否かを判定する（Ｓ３８）。この判定では、文書保存指示の場合は、判定したネットワークインタフェース１２０が入力経路として許可されているか否かを判定し、文書のとりだし指示の場合は、そのネットワークインタフェース１２０が出力経路として許可されているかを判定する。図４及び図５の例の場合、入出力を区別していないので、当該ボックスに対応付けられたネットワークグループ内に、そのネットワークインタフェース１２０が含まれる場合、Ｓ３８の判定結果はＹｅｓとなり、含まれない場合はＳ４０の判定結果はＮｏとなる。

Ｓ３８の判定結果がＮｏの場合、入出力制御部１１３は、指示された操作が実行不可であることを示すエラー情報をリモートのユーザのコンピュータに返し（Ｓ３４）、処理を終了する。指示された操作が文書の保存であった場合、その指示に付随して受信した文書はこのとき破棄される。Ｓ３８の判定結果がＹｅｓの場合、入出力制御部１１３は、ユーザから指示された操作、例えばボックスへの文書の保存、又はボックス内の文書の取り出しを実行する（Ｓ４０）。

図７の手順では、リモートのコンピュータからボックスへの操作指示を受けると、その指示とそのコンピュータのあるネットワークとの組合せから、その指示に係る操作が許可できるか否かを判定したが、この指示と判定の順序は一例に過ぎない。この代わりに、ユーザがリモートから複合機１００内のボックスにアクセスした際、そのコンピュータからそのボックスに対して文書の入力又は出力が認められるかを入出力制御部１１３が判定し、認められない操作は例えば操作画面上に選択不可状態（すなわちその操作を画面上で選択できない状態）で表示してもよい。

図７の処理によれば、ボックスに対してユーザがリモートのコンピュータからアクセスした場合、ユーザがそのボックスにアクセス権を持っていたとしても、そのコンピュータがそのボックスに対する入力又は出力を許可されないネットワーク上にある場合には、そのボックスに対する文書の保存又は取り出しを行うことはできない。ただし、この場合でも、文書の保存又は取り出し以外のそのボックスに対するある範囲の操作は許可されるようにしてもよい。また、ボックスにアクセスするコンピュータがそのボックスに対する入力又は出力を許可されないネットワーク上にある場合に、そのボックスの操作画面の表示すら許可しないようにしてもよい。

次に図８及び図９を参照して、管理情報記憶部１１９に保持されるボックス入出力情報の別の例を説明する。

図８は、この例における入出力経路アクセス権限情報の一例を示す。この入出力経路アクセス権限情報は、図４の例と異なり、入力経路と出力経路とに分けて規定されている。すなわち、図８の入出力経路アクセス権限情報は、入力許可経路と出力許可経路の組合せを１つのパターンとして、１以上のパターンを規定している。入力許可経路は、そのボックスに対する文書の入力経路として許可される１以上のネットワークインタフェース１２０であり、出力許可経路は、そのボックス内の文書の出力経路として許可される１以上のネットワークインタフェース１２０である。例えば、パターン３は、ボックスへの入力経路として、ＬＡＮ１、ＬＡＮ２及びWi-Fiの３つのネットワークインタフェース１２０を許可するが、出力経路としては１つのネットワークインタフェース１２０も許可しない（「Ｎｏｎｅ」）。これは、当該ボックス内の文書は、ネットワーク経由での出力は一切許可しないことを意味する。

図９に示すボックス入出力情報は、ボックス記憶部１１１内のボックスごとに、そのボックスに設定された入出力経路アクセス権限情報のパターンＩＤを規定する。

図９の例では、ボックス１（ボックスＩＤは「００１」）は、パターン１に対応付けられている。したがって、このボックス１については、ＬＡＮ１及びWi-Fiの２つのネットワークインタフェース１２０を経由する文書の入力（保存）と、ＬＡＮ１を経由する文書の出力が許可される。したがって、図１に例示したＬＡＮ１、ＬＡＮ２及びWi-Fiに接続された複合機１００の場合、ボックス１についてのネットワーク経由での文書の入出力の許可態様は以下のようになる。
１）ＬＡＮ１又はWi-Fi経由での文書保存は許可
２）ＬＡＮ２経由での文書保存は不許可
３）ＬＡＮ１経由での文書の出力（取り出し及び転送）は許可
４）ＬＡＮ２又はWi-Fi経由での文書の出力は不許可

このボックス１に対応付けられたパターン１は、例えば、ＬＡＮ１及びWi-Fiが接続されるネットワークは同様の機密が要求される文書を扱うものであるが、ＬＡＮ１の方がWi-Fiよりもネットワークとしてのセキュリティが高い場合に有用である。すなわち、ボックス１への文書の入力は当該文書については１回きりの話なのでＬＡＮ１及びWi-Fiの両方からの入力を認めても漏洩リスクは少ないが、文書の出力は、１つの文書について何回も行われるので、Wi-Fiよりも漏洩リスクが少ないと考えられるＬＡＮ１のみを許可することで、漏洩リスクを低減するのである。

また、パターン３が設定されたボックス３の場合、ネットワーク経由での文書の入出力の許可態様は以下のようになる。
１）ＬＡＮ１、ＬＡＮ２又はWi-Fi経由での文書保存は許可
２）ＬＡＮ１、ＬＡＮ２又はWi-Fi経由での文書の出力（取り出し及び転送）は不許可
なお、図８に例示したパターンはいずれも出力許可経路として指定されるネットワークインタフェース１２０が１つだけであったが、出力許可経路に複数のネットワークインタフェース１２０が設定されていてもよい。

この図８及び図９に例示した入出力経路アクセス権限情報及びボックス入出力情報に基づく入出力制御部１１３の制御の手順は、図６及び図７に示した手順と同様でよい。

次に、未指定時情報を用いたボックス内の文書の出力制御の例を説明する。

ボックスに対して、文書の出力経路として許可されるネットワークインタフェース１２０が複数設定されている場合がある。例えば図４のグループ５が設定されているボックスがあった場合、そのボックスはこのケースに該当する。このようなボックス内の文書をネットワーク経由で転送する場合、出力経路として設定されている複数のネットワークインタフェース１２０のどれを用いてもその転送先に文書が転送できる場合がある。この場合、転送を指示するユーザがその文書の転送の経路とするネットワークインタフェース１２０を明示的に指定しないと、その文書は、それら複数のネットワークインタフェース１２０のうちオペレーティングシステムに選ばれたものを経由して転送されることとなる。しかし、例えば前に例示したＬＡＮ１とWi-Fiの関係のように、文書出力が許可される経路としてボックスに設定されている複数のネットワークインタフェース１２０が、同じネットワークに接続されているものの、転送データの漏洩リスクの点では優劣がある場合がある。この場合、それら複数のネットワークインタフェース１２０からオペレーティングシステムが選択するネットワークインタフェース１２０が、漏洩リスクの点でよりよいものであるとは限らない。

以上、ユーザが文書転送の経路となるネットワークインタフェース１２０を指定しない場合を例にとったが、例えば文書の転送を含む処理フロー（特開２０１３−１３８２８４号公報に示される指示書がその一例）をボックスに適用する場合に、その処理フローには転送先の装置の名前やアドレス等は記述されるが、経由するネットワークインタフェースまでは規定されない場合が多い。したがって、ボックスに対して処理フローを用いる場合も、同様の事態が起こり得る。

このような事態を防止するために、この例では、ボックスに対して未指定時情報を設定可能とする。未指定時情報は、ボックス内の文書をネットワーク経由で転送する際に出力経路のネットワークインタフェース１２０がユーザや処理フロー等により明示的に指定されていない場合に、出力経路として用いるネットワークインタフェース１２０を規定する。

図１０に、図４の入出力経路アクセス権限情報に未指定時情報の項目を追加した例を示す。未指定時情報の項目に示されるネットワークインタフェース１２０は、ネットワークインタフェース情報の項目に示される１以上のネットワークインタフェース１２０から選ばれる。図示例では、グループ６が設定されたボックスは、ＬＡＮ１及びWi-Fi経由で文書の保存及び取り出し・転送が許可されるが、ボックス内の文書の転送指示において経由するネットワークインタフェース１２０がユーザ等から指定されない場合、入出力制御部１１３は、その指示に係る転送の際に、未指定時情報に規定されるＬＡＮ１を経路として選択する。

このような制御により、ボックス内の文書の転送において経路とするネットワークインタフェース１２０が明示的に指定されなかった場合に、オペレーティングシステムにより漏洩等の観点で劣っているネットワークインタフェース１２０が経路として選ばれることが防止される。

なお、以上の実施形態及びその変形例において、ボックス内の文書の転送の際に経由するネットワークインタフェース１２０としてユーザが明示的に指定したものが、そのボックスのボックス入出力情報において出力経路として許可されないものである場合には、入出力制御部１１３は、その転送を実施せず、ユーザに対して実行不可の旨を応答する。

図１０は、図４の入出力経路アクセス権限情報に未指定時情報の項目を加えたものであったが、図８の入出力経路アクセス権限情報にも同様に未指定時情報の項目を加えて運用することができる。

＜ボックス入出力情報設定の実施形態＞
ボックス入出力情報の設定が適切でないと、そのボックスを介して意図せぬネットワークへ情報が漏洩する危険がある。このため、ボックスに対するボックス入出力情報の設定は、複合機１００の管理者等、複合機１００周りのネットワーク環境の知識を持った者が行うことが望ましい。

しかし、ボックス入出力情報の設定を行える者を管理者等に限定してしまうと管理者がいないと設定が行えない等の不便な場合があるので、一般ユーザにもボックス入出力情報を設定できるようにすると利便性が高い。例えば、複合機１００内にボックスを開設（作成）する操作を一般ユーザにも許可している場合、開設したボックスを利用できるようにするにはボックス入出力情報の設定が必要であるが、この設定をその一般ユーザ自身が行えると便利である。

ボックス入出力情報の設定を広く一般ユーザに認めると、設定者の知識不足のために、またはボックス経由での情報の漏洩のために故意に、目的に適わない、又はセキュリティ上好ましくない等の不適切な設定がなされるリスクがある。そこで、以下では、一般ユーザ等により不適切なボックス入出力情報が設定されることを防止するための仕組みを例示する。

図１１に、この仕組みを適用するネットワーク環境の例を示す。

図１１の例も、図１の例と同様、複合機１００は、３つのネットワークインタフェースによりＬＡＮ１、ＬＡＮ２、Wi-Fiという３つの異なるネットワークに接続されている。各ネットワーク上のコンピュータ２００は、各々が接続されているネットワークを経由して、複合機１００とデータのやりとりを行う。ＬＡＮ２はインターネット（Internet）３５０に接続されている。ＬＡＮ１及びWi-Fiは、機密文書を取り扱うイントラネット（Intranet）３００に含まれており、インターネット３５０には接続されていない。

図１２には、複合機１００内の各ボックスに設定されたボックス入出力情報が例示されている。この例では、ボックス入出力情報は、対応するボックスに対して文書を入力可能な入力許可経路（図中「ＩＮ」と表記）と、当該ボックスから文書を出力可能な出力許可経路（図中「ＯＵＴ」と表記）とを示している。ボックス１（ＩＤ＝００１）は、機密文書を扱うイントラネット３００のみで利用されるものであり、入力許可経路及び出力許可経路がともにＬＡＮ１及びWi-Fiであるパターンがボックス入出力情報として設定されている。ボックス２は、機密文書を扱わないＬＡＮ２で使用されるものであり、入力許可経路及び出力許可経路がともにＬＡＮ２であるパターンが設定されている。ボックス３には、入力許可経路は「どの経路でもよい」（図中「ＡＮＹ」と表記）であり、出力許可経路はＬＡＮ１及びWi-Fiであるパターンが設定されている。このボックス３は、イントラネット３００内の業務等で利用する文書を、外部、例えばインターネット３５０上の端末から、受け付けるために設けられたものである。この例では、ボックス入出力情報として、図示した３つのパターンのいずれかが設定可能となっているとする。

図１３にこれら３つのパターンを整理する。図１３に示すように、ボックス１に設定されているパターンは「イントラネット用」というパターン名で識別される。ボックス２に設定されているパターンは「インターネット用」、ボックス３に設定されているパターンは「InternetFAX受信用」というパターン名で識別される。「InternetFAX受信用」パターンは、入力許可経路として複合機１００が持つすべてのネットワークインタフェースＬＡＮ１、ＬＡＮ２、Wi-Fiを含み、出力許可経路としてイントラネット３００側のネットワークインタフェースＬＡＮ１、Wi-Fiを含む。「InternetFAX受信用」というパターン名は、イントラネット３００側の業務で用いる文書を、InternetFAXを用いてインターネット経由で当該ボックスに送信し保存できることを意味する。

このような環境で、ユーザがそれら３つのパターンから任意にボックス入出力情報を選択できるようにすると、以下のような問題がある。

まず第１に、ネットワーク環境の知識の乏しいユーザが、自分の目的に合わないパターンを間違えて設定してしまう可能性がある。例えば、イントラネット３００内での作業に用いるためのボックスを開設（作成）したユーザが、そのボックスのボックス入出力情報として、誤って図１２に例示したボックス２のパターン（インターネット用）を設定してしまった場合が一例である。この例では、ユーザはイントラネット３００内からそのボックスにアクセスすることができず、イントラネット３００内からの利用という所期の目的が達成できない。

第２に、悪意あるユーザがセキュリティホールとなり得るパターンを設定する可能性がある。例えば、イントラネット３００内で機密文書を取り扱う業務を行っているユーザが、自らが開設したボックスのボックス入出力情報に、意図的にインターネット用パターンを設定することが考えられる。この設定がなされたボックスには、インターネット３５０を介して外部（例えば社外）からアクセスできる。ユーザは、業務上の機密文書を複合機１００でスキャンしてそのボックスに保存し、社外からそのボックス内の機密文書をインターネット３５０経由で取り出すことができる。

このような問題に対処するために、この例では、ユーザが設定可能なボックス入出力情報の範囲を、そのユーザの属性に応じて限定する仕組みを提供する。ユーザの属性の例としては、例えば、複合機１００の管理者と一般ユーザというように、複合機１００に対するユーザの役割の違いを示す属性がある。またユーザ属性の別の例として、会社内でのユーザの役割（ロール）がある。この役割は、例えばユーザの所属部門、参加しているタスクチーム、役職、又はこれらの組合せ等で規定される。

この例における主制御部１１０が有する機能構成を図１４に例示する。図１４の例では、主制御部１１０は、図３に示した構成に加えて、ユーザ属性取得部１７０及び管理情報設定部１７２を有する。

ユーザ属性取得部１７０は、複合機１００内、又は複合機１００からアクセス可能なサーバ内に保持されているユーザ情報データベースからユーザの属性情報を取得する。管理情報設定部１７２は、ユーザからの指示に応じて、管理情報記憶部１１９に保持されるボックス入出力情報等の管理情報の設定を行う。この例では、管理情報設定部１７２は、ボックス入出力情報の設定操作を行っているユーザの属性をユーザ属性取得部１７０により取得し、その属性に応じてそのユーザが選択できるボックス入出力属性のパターンを限定する制御を行う。この制御のために、管理情報設定部１７２は、例えば、図１５に例示する設定ルールを有している。この設定ルールは、機械管理者（複合機１００の管理者）と一般ユーザという２種類のユーザ属性について、それぞれボックス入出力情報として選択可能なパターンの範囲を示す設定制御情報を規定する。図１５の設定ルールでは、機械管理者は図１２及び図１３に示した３つのパターンを任意に選択可能であるのに対し、一般ユーザはそれら３つのうちイントラネット用パターンのみを選択可能である。すなわち、この例では、ボックスがインターネット３５０に繋がる可能性があるパターンは、一般ユーザには選択不可としている。したがって、知識不足や悪意により一般ユーザがボックスからインターネット３５０に文書を流出させる可能性のある設定を行うことは不可能となる。

複合機１００のローカルの操作パネル等を操作するユーザからボックス入出力情報の設定指示を受けた場合に管理情報設定部１７２が実行する処理の例を以下に示す。以下の説明では、ユーザは複合機１００に対してログイン済みであり、管理情報設定部１７２は、設定指示の対象であるボックスに対してそのユーザがボックス入出力情報を設定する権限を持っていることを確認済みであるとする。例えば、そのユーザが新規に開設（作成）したボックスに対してボックス入出力情報を設定する場合や、そのユーザが過去に開設したボックス（したがってユーザはこのボックスの設定を変更する権限を持つ）に設定されているボックス入出力情報を設定変更する場合、そのユーザはそのボックスのボックス入出力情報を設定する権限を持っている。

管理情報設定部１７２は、ユーザからボックス入出力情報の設定指示を受けた場合、ユーザ属性取得部１７０にそのユーザの属性の取得を指示する。ユーザ属性取得部１７０は、この指示に応じてそのユーザの属性を取得し、取得した属性を管理情報設定部１７２に渡す。次に管理情報設定部１７２は、受け取ったそのユーザの属性に対応する設定制御情報を設定ルール（図１５参照）から取得し、その設定制御情報が示す選択可能なパターンを選択肢として示した選択画面４００（図１６参照）を複合機１００の表示装置に表示する。選択画面４００には、例えば、設定対象のボックスを示す画像４０２に対応付けて、そのボックスに設定するボックス入出力情報のパターンの選択肢を並べた選択欄４０４が表示される。図示例は、ユーザ属性が一般ユーザである場合のものである。この選択欄４０４に示される３つの選択肢「イントラネット用」、「インターネット用」、「InternetFAX受信用」のうち後ろの二者は、設定ルール（図１５）における一般ユーザの設定制御情報に従って選択不可（グレーアウト）状態となり、唯一選択可能な「イントラネット用」が選択された状態となっている。仮に、今回設定作業中のユーザの属性が機械管理者である場合は、選択欄４０４には３つの選択肢すべてが選択可能な状態で表示され、ユーザはその中から設定したいものを選択し、選択画面４００内の確定ボタン（図示省略）を押下することで、設定を確定する。

なお、ユーザから新たなボックスの開設指示を受けた場合、主制御部１１０は、そのボックスに対する機能設定の一環として必ずボックス入出力情報の選択画面４００を表示するようにしてもよい。そして、この画面に対するボックス入出力情報の設定が完了して初めて、そのボックスが、又はそのボックスのネットワーク機能が、有効化されるよう制御してもよい。ここでいう「ボックスが有効化される」という事項は、そのボックスが使用可能になるということである。また、「ボックスのネットワーク機能が有効化される」とは、ボックスに対するネットワーク経由での入出力が可能になること、又はボックス内の文書のネットワーク経由での出力が可能になること、等である。

次に一般ユーザの属性を更に細分した場合の例を示す。この例では、図１７に示すように、機械管理者以外のユーザ属性として役割Ｌと役割Ｇがある。図１７は、複合機１００内又は複合機１００からアクセス可能なデータベース内にある権限データベースの内容の一例である。この例では、図１５に示した設定ルールが、権限データベースの保持する情報に含まれている。権限データベースには、ユーザ属性に対応付けて、複合機１００やネットワーク上の他のサーバや機器が提供する各種機能に対するその属性のユーザの権限の情報が登録されている。機能についての権限の情報には、例えば、その機能の利用が許可されるか禁止されるかの区別や、その機能についての利用権限のレベル等が含まれる。そして、この権限データベースには、ボックスネットワーク設定制御情報として、当該ユーザ属性を持つユーザがボックスに対して設定できるボックス入出力情報のパターンの範囲を示す情報が登録されている。図１７の例では、機械管理者は図１５の例と同様ボックスに対して３つのパターンのすべてを設定可能であるが、役割Ｌのユーザはイントラネット用のみ、役割Ｇのユーザはインターネット用のみが設定可能と規定されている。例えば、イントラネット３００にアクセスする業務を行うユーザには役割Ｌを割り当て、イントラネット３００にアクセス不要かつＬＡＮ２側で業務を行うユーザには役割Ｇを割り当てておけばよい。

複合機１００内又は複合機１００からアクセス可能なサーバ内にあるユーザ情報データベースには、図１８に示すように、各ユーザのユーザＩＤに対応付けてそのユーザのユーザ属性が保持されている。

管理情報設定部１７２は、図１５の設定ルールの代わりに、図１７の権限データベースを参照して、ユーザの属性に対応するボックスネットワーク設定制御情報を特定し、その情報に従ってボックスに設定するパターンの選択画面４００を生成する。例えば役割Ｇのユーザがボックス入出力情報を設定する場合には、インターネット用のパターンのみが選択可能で、残りの２パターンが選択不可状態で表示された選択欄４０４が表示される（図１９参照）。

＜変形例１＞
上述の実施形態では、ボックス入出力情報の選択画面４００をユーザの属性に基づいて生成した。これに対してこの変形例では、ユーザの属性に加えて、複合機１００に対するボックス入出力情報の設定操作の指示がどのネットワークから行われているか（すなわちその指示の入力経路がどのネットワークインタフェースからであるか）も反映した選択画面４００を生成する。

例えば、機械管理者権限を持つユーザや、イントラネット３００側及びインターネット３５０（ＬＡＮ２）側の両方の業務を行うユーザ等には、当該ユーザの属性に対応するボックス入出力情報の設定制御情報として、図１３に例示した「イントラネット用」と「インターネット用」の両方を選択可能とする権限設定がなされていることが考えられる。このようなユーザが、ＰＣ（パーソナルコンピュータ）等の端末からネットワーク経由で複合機１００の管理情報設定部１７２にアクセスしてボックスの開設やボックス入出力情報の設定操作を行う場合を考える。このようなユーザが例えばイントラネット３００側（あるいはインターネット３５０側）で業務を行っている際にはその業務のためのボックスを開設する可能性が高いであろうし、既存ボックスの設定を変更する場合にはその業務に応じた変更を行いたい可能性が高いであろう。例えば、そのようなユーザがイントラネット側３００から設定操作を行っている場合、対象のボックスに対してイントラネット用のボックス入出力情報を設定する可能性が高いと考えられる。

そこで、この変形例では、選択画面４００における選択肢の提示を、設定操作の指示元のネットワーク（すなわちその指示が経由するネットワークインタフェース）の情報に基づいて制御する。

この変形例における管理情報設定部１７２の処理手順を図２０に例示する。この手順では、管理情報設定部１７２は、ユーザからボックス入出力情報の設定操作の開始指示が来るのを待つ（Ｓ１００）。ここで、新規ボックスの開設指示は、そのボックスに対するボックス入出力情報の設定操作の開始指示を包含しており（すなわち開設したボックスに対して、設定項目の一つとしてボックス入出力情報の設定が行われる）、この開設指示が到来した場合には、Ｓ１００の判定結果はＹｅｓとなる。

ボックス入出力情報の設定操作の開始指示を受けると、管理情報設定部１７２は、設定のためのＵＩ処理を開始する。この処理では、まず管理情報設定部１７２は、ユーザ属性取得部１７０を介してそのユーザの属性を取得する（Ｓ１０２）。また、管理情報設定部１７２は、その設定操作の開始指示がネットワーク経由で到来したか否かを判定する（Ｓ１０４）。設定操作の開始指示は、複合機１００のローカルのＵＩからなされる場合と、ユーザの端末からネットワーク経由でなされる場合とがあり、前者の場合はＳ１０４の判定結果はＮｏ、後者の場合はＹｅｓとなる。

Ｓ１０４の判定結果がＮｏの場合、管理情報設定部１７２は、上述の実施形態と同様、Ｓ１０２で取得したユーザの属性に対応する設定制御情報を取得し、この情報が示す選択肢を列挙した選択欄４０４を含んだ選択画面４００（例えば図１６参照）を、ローカルのＵＩ画面に表示する。

Ｓ１０４の判定結果がＹｅｓの場合、管理情報設定部１７２は、ボックス入出力情報の設定操作の開始指示の指示元がどのネットワークか（すなわちどのネットワークインタフェース１２０を経由して到来したか）を判定する（Ｓ１０６）。そして、ユーザの属性と、指示元のネットワークの判定結果の組合せに応じた選択画面４００を生成する。（Ｓ１０８）。Ｓ１０８の処理については、後で詳しく説明する。

管理情報設定部１７２は、Ｓ１０８又はＳ１１０で生成した選択画面４００を、ローカルのＵＩ画面（Ｓ１１０の場合）、又は指示元の端末（Ｓ１０８の場合）に送って表示させ、ユーザからの入力を受け付ける（Ｓ１１２）。ユーザがその選択画面４００上で希望する選択肢を選び、その選択結果を確定する操作を行うと、管理情報設定部１７２は、ユーザが選んだ選択肢に対応するボックス入出力情報のパターンを、対象のボックスに対して設定する（Ｓ１１４）。

以上の処理手順におけるＳ１０８の処理について更に詳しく説明する。この処理では、管理情報設定部１７２は、Ｓ１００で受けた指示に応じて生成するボックス入出力情報の選択欄４０４（例えば図１６、図２１参照）において、指示元のネットワークに対応する選択肢を、そうでない選択肢と区別した表示態様で表示する。

この表示態様の区別の一例では、選択欄４０４に表示する選択肢のうち指示元のネットワークに対応するものを選択状態とし、指示元のネットワークに対応していないものを非選択状態とする。具体例を、図２１を参照して説明する。この例では、ユーザ属性から図１３に示した３つの選択肢のうちイントラネット用とインターネット用の２つが選択可能であるユーザが、インターネット３５０側であるＬＡＮ２（図１１参照）上の端末から複合機１００にアクセスし、あるボックス４０２に対してボックス入出力情報の設定操作を行ったとする。この場合、管理情報設定部１７２は、図２１に例示した選択欄４０４を含んだ選択画面４００を生成し、指示元の端末に送信する。この選択欄４０４では、３つの選択肢のうち「イントラネット用」と「インターネット用」の２つは選択可能であることを示す高濃度の文字で表示され、選択肢「InternetFAX受信用」は選択不可であることを示す低濃度の文字（すなわちグレーアウト状態）で表示される。そして更に、その選択欄４０４では、選択可能である２つのうち、指示元のネットワークであるＬＡＮ２を文書の出力許可経路に含む選択肢「インターネット用」が、選択状態となっている。選択状態とは、当該選択肢がユーザによって選択されている状態である。選択状態は暫定的なものであり、ユーザは、最初に選択されている選択肢から別の選択肢に選択し直すこともできる。ユーザは、自分の希望する選択肢を選択状態にしたあと、図示省略した「確定」ボタンまたは「送信」ボタンのように選択を確定するためのＧＵＩ（グラフィカルユーザインタフェース）部品で確定操作を行うことで、その選択を確定する。

このように、ボックス入出力情報の設定操作の開始指示を行ったときに最初に表示される選択欄４０４Ａでは、ユーザ属性に対応付けられた選択可能な選択肢のうち、指示元のネットワーク（すなわち設定操作の指示を送出する端末のあるネットワーク）を出力許可経路とする選択肢が選択状態となっている。ネットワークからのボックス利用には、ボックス内の文書を取り出すケースの方が、ボックスへ文書を保存するケースよりも多いと考えられるので、選択状態とする選択肢を決めるのに出力許可経路を考慮に入れるのである。

ただし、これはあくまで一例であり、別の例も考えられる。例えば、ボックス入出力情報の設定操作の指示元のネットワークが入力許可経路又は出力許可経路として設定されている選択肢を、選択状態として提示するようにしてもよい。

図２１に例示する選択欄４０４Ａは、択一式のラジオボタンを選択用のＧＵＩとして用いている。ユーザ属性に対応付けられた選択可能な選択肢であり、かつ、指示元のネットワークを出力許可経路とする選択肢でもあるものが複数存在する場合、管理情報設定部１７２は、指示に応じて最初に提示する選択欄４０４Ａの択一式の選択用ＧＵＩにおいてそれら複数のうちの１つを選択状態とする。なお、複数の選択肢が選択可能なチェックボックス等のようなＧＵＩを用いる別の例では、最初に提示する選択欄内で、該当する複数の選択肢を選択状態としておいてもよい。

Ｓ１０８での選択肢の表示態様の区別の別の例では、選択欄４０４に表示する選択肢のうち指示元のネットワークに対応するものとそうでないものとを表示態様の違いで区別する。区別に用いる表示態様には、例えば、選択肢を示す文字列におけるフォントの大きさ、文字の線の太さ、文字の色、文字の濃度、背景色の色相、背景色の濃度等がある。これらのうち２以上の組合せにより上述の区別を視覚化してもよい。例えば、選択欄４０４に表示する選択肢のうち指示元のネットワークに対応するものを太字かつ色付きの背景で表示し、指示元のネットワークに対応しないものを普通の太さで通常の白地背景で表示することで、前者を後者に対して相対的に目立たせる。この例では、選択欄４０４に表示する選択肢の中に指示元のネットワークに対応するものが複数ある場合は、それら複数の選択肢を、指示元のネットワークに対応しない選択肢と異なる表示態様で表示する。例えば、それら複数の選択肢を、指示元のネットワークに対応しない選択肢の表示態様よりも目立つ共通の表示態様で表示してもよい。また、この場合、ユーザからの設定開始の指示に応じて選択欄４０４を最初に表示する際に、それら複数の選択肢のうちの１つを選択状態とし、選択状態を示す表示態様で表示してもよい。この例における「選択欄４０４に表示する選択肢のうち指示元のネットワークに対応するもの」とは、上述の例の場合と同様でよい。すなわち、例えば、「選択欄４０４に表示する選択肢のうち指示元のネットワークに対応するもの」とは、ユーザ属性に対応する選択可能な選択肢のうち、指示元のネットワークを出力許可経路として含むものであってよい。

図２２を参照して、この変形例におけるボックス開設時のＵＩ画面遷移の例を説明する。

この例では、ユーザは、自分の端末からネットワーク経由で複合機１００にアクセスし、複合機１００から送られてくるＵＩ画面に対して操作を行う。ここで、ユーザは、メインメニュー画面からボックス操作を選択したとする。この場合、複合機１００は、その端末に対して、ボックス一覧画面４５０を（例えばウェブ技術を用いて）提供する。ボックス一覧画面４５０には、複合機１００内に現在存在するボックスの一覧と共に、新規開設ボタン４５２が表示される。ユーザが新規開設ボタン４５２を押下すると、複合機１００は、ボックス新規開設画面４６０を端末に提供する。ボックス新規開設画面４６０には、ボックス番号、ネット設定、ボックス名、オーナー等の項目の入力欄が示される。ボックス番号は、ボックスの識別番号である。新規開設の指示に応じて最初に表示されるボックス新規開設画面４６０のボックス番号の欄には、未使用番号のうちの１つが仮設定されているが、この番号は未使用番号の中からユーザが自由に変更可能である。ボックス名の欄には、ユーザが希望するそのボックスの名称を入力する。オーナーの欄には、複合機１００におけるそのユーザの識別情報が表示される（ユーザは複合機１００にログイン済みであり、ユーザの識別情報は分かっているとする）。ネット設定の欄には、当該ボックスに設定するボックス入出力情報のパターン（選択肢）を入力する。新規開設の指示に応じて最初に表示されるボックス新規開設画面４６０では、ネット設定の欄には、そのユーザの属性に対応する選択肢のうち、今回のボックス新規開設指示の指示元のネットワークに対応するものの中から所定のルールに従って選ばれた選択肢が表示される。この例では、指示を行ったユーザ「user-A」の属性には、図１３に例示した３つの選択肢のうちイントラネット用とインターネット用の２つが選択可能なものとして対応付けられているとする。また、ユーザは、イントラネット３００側のネットワーク（例えばＬＡＮ１）上の端末から複合機１００に対して今回のボックス新規開設指示を行ったものとする。この場合、ユーザ属性に対応する２つの選択肢「イントラネット用」及び「インターネット用」のうち、指示元のネットワークに対応する「イントラネット用」が選択状態となり、ボックス新規開設画面４６０のネット設定の欄に表示される。ユーザは、選択状態である「イントラネット用」から別の選択肢に変更したい場合、あるいは他にどんな選択肢があるか知りたい場合は、ネット設定の欄をクリック操作等で選択する。すると、複合機１００は、選択欄４０４Ａを端末に提供する。この選択欄４０４Ａでは、そのユーザの属性では選択不可の選択肢「InternetFAX用」が選択不可を示すグレーアウト状態で表示され、選択可能な２つの選択肢「イントラネット用」及び「インターネット用」は選択可能であることを示す太字で表示されている。また、ユーザの指示元のネットワークに対応する選択肢「イントラネット用」は選択状態で表示され、指示元のネットワークに対応していない選択肢「インターネット用」とは区別されている。なお、ユーザは、選択欄４０４Ａ上で、別の選択肢に選択し直すことももちろん可能である。

以上の例に示した選択欄４０４には、指示元のネットワークに対応する選択肢かそうでない選択肢を表示態様で区別しつつも、ユーザの属性に対応する選択肢群のすべてを表示した。しかし、これは一例に過ぎない。別の例として、選択欄４０４に表示するものを、ユーザの属性に対応する選択肢群のうちの、指示元のネットワークに対応する選択肢に対応するもののみに限定してもよい。

＜変形例２＞
上述の変形例１では、ボックス入出力情報の選択画面４００における選択肢群の表示に、ネットワーク経由でのボックス入出力情報の設定指示の指示元のネットワークを反映させた。これに対して、この変形例２では、ボックスの新規開設を指示したユーザに、開設するボックスの使用目的を選択させ、ユーザが選択した使用目的に応じて選択画面４００における選択肢群の表示を制御する。

複合機１００の主制御部１１０は、ボックスの使用目的の選択肢ごとに、その選択肢に対応するボックス入出力情報のパターンの１以上の選択肢を記憶している。ボックスの使用目的は、例えば「機密文書用」、「一般文書用」等のようにユーザ組織の業務に応じて規定し、各目的に対応づける選択可能なボックス入出力情報のパターンも、その目的に応じて定めておけばよい。そして、ボックスの新規開設時にユーザがそのボックスの使用目的を選択すると、主制御部１１０は、そのユーザの属性と、選択された使用目的との組合せに応じて、ボックス入出力情報の選択欄４０４の表示を制御する。この表示の制御は、上述した変形例１の場合と同様でよい。例えば、選択欄４０４の表示において、ユーザの属性で選択可能なボックス入出力情報の選択肢を一覧表示する選択欄４０４の中で、ユーザの選択した使用目的に対応する選択肢（パターン）を、使用目的に対応しない選択肢とは区別した表示態様（例えば前者を選択状態として表示、又は色や文字の大きさ、字体等で区別）で表示する。また、ユーザの属性で選択可能なボックス入出力情報の選択肢のうち、使用目的に対応する選択肢のみを選択欄４０４に一覧表示してもよい。

図２３を参照して、変形例２におけるボックス開設時のＵＩ画面遷移の例を説明する。

ユーザが、複合機１００のローカルＵＩ画面又はリモートの端末上に表示されるボックス一覧画面４５０から新規開設ボタン４５２を押下すると、複合機１００はボックス使用目的選択欄４６４を表示する。図示例では、使用目的の選択肢には「機密文書用」と「一般文書用」とがある。ここでは各目的に対応するボックス入出力情報の選択肢として、例えば「機密文書用」には「イントラネット用」と「InternetFAX受信用」とが、「一般文書用」には「インターネット用」が対応付けられているとする。またそのユーザの属性で選択可能と定められているボックス入出力情報のパターンが「イントラネット用」と「インターネット用」であったとする。図示例では、ユーザがボックス使用目的選択欄４６４にて「機密文書用」を選択したとする。この場合、複合機１００は、そのユーザの属性に対応する「イントラネット用」と「インターネット用」という２つのパターンのうち、使用目的「機密文書用」にも対応する「イントラネット用」を選択状態として表示した選択欄４０４Ｂを表示する。

＜変形例３＞
上述の実施形態及び変形例では、ボックスに対する入力許可経路と出力許可経路との組合せのパターンをユーザに選択させたが、これは一例に過ぎない。この代わりに、ボックスに対する入力許可経路と出力許可経路をそれぞれ個別にユーザに選択させてもよい。

この場合、ユーザの属性ごとに、その属性で選択可能な０個以上の入力許可経路と０個以上の出力許可経路とをそれぞれ管理情報設定部１７２に登録しておく。例えば、機械管理者という属性には、入力許可経路と出力許可経路の両方についてそれぞれＬＡＮ１、ｋＬＡＮ２及びWi-Fiの３つのネットワークインタフェースが選択可能と規定し、一般ユーザという属性には、入力許可経路と出力許可経路の両方についてそれぞれＬＡＮ１及びWi-Fiが選択可能と規定する。なお、入力許可経路も出力許可経路も選択肢が０個である属性のユーザが開設したボックスは、複合機１００のローカルの入出力（すなわちスキャンによる入力と、印刷による出力等）しか認められない。

そして、管理情報設定部１７２は、ユーザからボックスに対するボックス入出力情報の設定の指示を受けた場合、そのユーザの属性に対応する入力許可経路の選択肢群と出力許可経路の選択肢群とをそれぞれユーザに提示する。ユーザは、それら選択肢の中から、当該ボックスに割り当てる入力許可経路と出力許可経路とをそれぞれ選択する。管理情報設定部１７２は、選択された入力許可経路と出力許可経路の組を、そのボックスに対して設定する。

＜変形例４＞
この変形例では、複合機１００が有するハードディスクやソリッドステートドライブ等の不揮発性記憶装置のパーティション（論理ドライブ）ごとに、そのパーティションについての入力許可経路と出力許可経路とが管理情報設定部１７２に設定されている。図１１のネットワーク環境を例にとると、例えば、第１パーティションには入力許可経路及び出力許可経路にそれぞれＬＡＮ１とWi-Fiという２つのネットワークインタフェースが設定され、第２パーティションには入力許可経路及び出力許可経路としてそれぞれＬＡＮ２が設定されている、等である。なお、入力許可経路と出力許可経路とに同じネットワークインタフェースが設定されているのはあくまで一例に過ぎず、入力許可経路と出力許可経路とにはそれぞれ独立に設定が可能である。

また、ユーザの属性ごとに、パーティションに対してアクセス可能かどうかを示すアクセス権情報が設定されている。ユーザは、自分の属性でアクセス可能なパーティンション内にはボックスを開設できるが、アクセス不可のパーティション内にはボックスを開設できない。すなわち、主制御部１１０は、ユーザからボックスの新規開設の指示を受け付けた場合、例えば、そのユーザの属性でアクセス可能と設定されているパーティションのリストをユーザに提示し、そのリストの中からボックスを新規開設するパーティションの選択を受け付ける。

上述の実施形態では、ボックスにボックス入出力情報を設定する際にユーザの属性を参照していたのに対して、この変形例では、ボックスを開設するパーティションを選択する際にユーザの属性を参照している。そして、ユーザが選んだパーティションに設定された入力許可経路及び出力許可経路が、そこに開設したボックスに適用される。

この変形例４でのボックスへの文書の入出力の制御について説明する。

まずボックス内の文書を出力する指示をユーザから受けた場合について説明する。なお、注意すべきは、ユーザが文書の出力又は入力を指示できるのは、自分の属性でアクセス可能と設定されているパーティション内のボックスに限られることである。自分の属性でアクセス不可のパーティション内のボックスについては、文書の出力も入力も指示できない。

ユーザからボックス内の文書の出力の指示を受けた場合、入出力制御部１１３は、図６に示したのと同様の処理を行う。図６の処理と異なるのは、Ｓ２０の判定において判定基準となるのが、図６の処理ではそのボックス自体に設定された出力許可経路であるのに対し、この変形例４ではそのボックスが属するパーティションに設定された出力許可経路であるという点である。Ｓ１６でその出力がネットワーク経由での文書転送であると判定された場合、入出力先判定部１１５が、その文書の転送先への出力経路となるネットワークインタフェースを判定する。そして、入出力制御部１１３は、Ｓ２０にて、そのボックスが属するパーティションに対して設定された出力許可経路の中に、そのネットワークインタフェースが含まれているかどうかを判定し、含まれていれば、Ｓ２２にてその文書をその転送先に転送する。

また入出力制御部１１３は、ボックスへの文書の保存の指示を受けた場合は、図７と同様の処理を行う。ただし、Ｓ３８の判定において判定基準となるのは、この変形例４ではそのボックスが属するパーティションに設定された入力許可経路である。

このように、変形例４では、パーティションに対して入力許可経路と出力許可経路を設定し、そのパーティションに開設されたボックスに対してはその入力許可経路と出力許可経路を適用して入出力制御を行う。

変形例４として説明した方式は、次のような技術的思想として表現可能である。

複数のネットワークインタフェースと、
データを記憶する記憶装置内の複数のパーティションであって、それぞれ、保存しているデータの出力経路として許可されるネットワークインタフェースを規定する出力経路情報が対応付けられる複数のパーティションと、
前記複数のパーティションのうちのいずれかにユーザの指示に応じて開設されるデータの保存領域と、
各ユーザの属性を記憶するユーザ属性記憶手段と、
ユーザからの指示に応じて前記保存領域を前記複数のパーティションのうちのいずれかに開設する手段であって、前記ユーザの前記属性によりアクセス可能と設定されているパーティションに対して前記保存領域を開設する開設手段と、
を含む情報処理装置。

以上、本発明の実施形態及び変形例を説明した。以上に例示した複合機１００の主制御部１１０は、例えば、複合機１００に内蔵されるコンピュータにそれら各装置内の各機能モジュールの機能を表すプログラムを実行させることにより実現してもよい。ここで、コンピュータは、例えば、ハードウエアとして、ＣＰＵ等のプロセッサ、ランダムアクセスメモリ（ＲＡＭ）およびリードオンリメモリ（ＲＯＭ）等のメモリ（一次記憶）、ＨＤＤ（ハードディスクドライブ）を制御するＨＤＤコントローラ、各種Ｉ／Ｏ（入出力）インタフェース、ローカルエリアネットワークなどのネットワークとの接続のための制御を行うネットワークインタフェース等が、たとえばバスを介して接続された回路構成を有する。また、そのバスに対し、例えばＩ／Ｏインタフェース経由で、ＣＤやＤＶＤなどの可搬型ディスク記録媒体に対する読み取り及び／又は書き込みのためのディスクドライブ、フラッシュメモリなどの各種規格の可搬型の不揮発性記録媒体に対する読み取り及び／又は書き込みのためのメモリリーダライタ、などが接続されてもよい。上に例示した各機能モジュールの処理内容が記述されたプログラムがＣＤやＤＶＤ等の記録媒体を経由して、又はネットワーク等の通信手段経由で、ハードディスクドライブ等の固定記憶装置に保存され、コンピュータにインストールされる。固定記憶装置に記憶されたプログラムがＲＡＭに読み出されＣＰＵ等のプロセッサにより実行されることにより、上に例示した機能モジュール群が実現される。

１００ 複合機、１０１ スキャナ、１０３ プリンタ、１０５ ファクシミリ装置、１０７ 表示装置、１０９ 不揮発性記憶装置、１１０ 主制御部、１１１ ボックス記憶部、１１３ 入出力制御部、１１５ 入出力先判定部、１１７ ボックス認証部、１１９ 管理情報記憶部、１２０ ネットワークインタフェース、１７０ ユーザ属性取得部、１７２ 管理情報設定部、２００ コンピュータ。

Claims (13)

1. 複数のネットワークインタフェースと、
   データを保存する保存領域であって、保存しているデータの出力経路として許可されるネットワークインタフェースを規定する出力経路情報が対応付けられる保存領域と、
   各ユーザの属性を記憶するユーザ属性記憶手段と、
   ユーザから前記保存領域に対応付ける前記出力経路情報の選択を受け付ける受付手段であって、前記出力経路情報についての複数の選択肢のうち前記ユーザの前記属性に応じて限定された選択肢群の中から、前記保存領域に対応付けるものの選択を受け付ける受付手段と、
   を含む情報処理装置。
2. 前記受付手段は、新たな保存領域の作成指示を前記ユーザから受けた場合に、その保存領域に対応付ける前記出力経路情報の選択を受け付け、前記作成指示に応じて作成したその保存領域に対して、選択を受け付けた前記出力経路情報を対応付ける請求項１に記載の情報処理装置。
3. 前記受付手段は、前記ユーザからの前記選択のための操作指示をネットワーク経由で受け取った場合、前記保存領域に対応付ける選択肢を前記ユーザに選択させる選択画面における前記選択肢群の提示態様を、前記操作指示の入力経路となった前記ネットワークインタフェースに応じて制御する、請求項１又は２に記載の情報処理装置。
4. 前記受付手段は、前記選択画面において、前記ユーザの前記属性に応じて限定された選択肢群のうち前記操作指示の前記入力経路となった前記ネットワークインタフェースに対応する選択肢の少なくとも１つを、そうでない選択肢と区別可能な態様で提示する、請求項３に記載の情報処理装置。
5. 前記受付手段は、前記選択画面において、前記ユーザの前記属性に応じて限定された選択肢群のうち前記操作指示の前記入力経路となった前記ネットワークインタフェースを前記出力経路として許可する選択肢の１つを、選択された状態として提示する、請求項４に記載の情報処理装置。
6. 前記受付手段は、前記選択画面において、前記複数の選択肢のうち、前記ユーザの前記属性と前記操作指示の前記入力経路となった前記ネットワークインタフェースとの両方により限定された選択肢群を選択可能状態で提示する、請求項３に記載の情報処理装置。
7. 前記作成指示に係る前記新たな保存領域を作成する目的を判別する判別手段を更に含み、
   前記受付手段は、前記保存領域に対応付ける選択肢を前記ユーザに選択させる選択画面における前記選択肢群の提示態様を、前記判別手段が判別した目的に応じて制御する、請求項２に記載の情報処理装置。
8. 前記受付手段は、前記選択画面において、前記ユーザの前記属性に応じて限定された選択肢群のうち前記判別手段が判別した目的に対応する選択肢の少なくとも１つを、そうでない選択肢と区別可能な態様で提示する、請求項７に記載の情報処理装置。
9. 前記受付手段は、前記選択画面において、前記ユーザの前記属性に応じて限定された選択肢群のうち前記判別手段が判別した目的に対応する選択肢の１つを、選択された状態として提示する、請求項８に記載の情報処理装置。
10. 前記受付手段は、前記選択画面において、前記複数の選択肢のうち、前記ユーザの前記属性と前記判別手段が判別した目的との両方により限定された選択肢群を選択可能状態で提示する、請求項７に記載の情報処理装置。
11. 前記保存領域には、前記出力経路情報に加え、前記保存領域に保存するデータの入力経路として許可されるネットワークインタフェースを規定する入力経路情報が対応付けられ、
    前記受付手段は、前記入力経路情報についての複数の選択肢のうち前記ユーザの前記属性に応じて限定された選択肢の中から、前記保存領域に対応付ける入力経路情報の選択を更に受け付ける、
    請求項１〜１０のいずれか１項に記載の情報処理装置。
12. 前記受付手段は、前記出力経路情報と前記入力経路情報との組合せである入出力パターンについての複数の選択肢のうち前記ユーザの前記属性に応じて限定された選択肢の中から前記ユーザの選択を受け付け、選択された選択肢に対応する前記入出力パターンを前記保存領域に対応付ける、請求項１１に記載の情報処理装置。
13. 複数のネットワークインタフェースを備えるコンピュータを、
    データを保存する保存領域であって、保存しているデータの出力経路として許可されるネットワークインタフェースを規定する出力経路情報が対応付けられる保存領域、
    各ユーザの属性を記憶するユーザ属性記憶手段、
    ユーザから前記保存領域に対応付ける前記出力経路情報の選択を受け付ける受付手段であって、前記出力経路情報についての複数の選択肢のうち前記ユーザの前記属性に応じて限定された選択肢群の中から、前記保存領域に対応付けるものの選択を受け付ける受付手段、
    として機能させるためのプログラム。