JP2021145181A

JP2021145181A - スキャナ、スキャナの制御方法、及びプログラム

Info

Publication number: JP2021145181A
Application number: JP2020041056A
Authority: JP
Inventors: 貴史水野; Takashi Mizuno
Original assignee: Canon Inc
Current assignee: Canon Inc
Priority date: 2020-03-10
Filing date: 2020-03-10
Publication date: 2021-09-24
Also published as: US11546488B2; US20210289103A1

Abstract

【課題】簡易な操作で、スキャンした文書にポリシーを付与してセキュリティを高くし、ポリシーが付与された文書を利用する場合にも、簡易な操作でポリシーを確認して権限がある操作のみを可能とすることができるスキャナ、スキャナの制御方法及びプログラムを提供する。【解決手段】クライアントであるＭＦＰでは、ＩＣカードから読み取り可能な識別情報を受け付け、管理者ＩＤ、管理者パスワードを用いて、ポリシーサーバにアクセスし、ポリシーサーバに、受け付けた識別情報に基づき、ポリシーを登録し、スキャンして得られた画像データを含む暗号化されたファイルの保存を制御する。暗号化されたファイルには、識別情報に基づくポリシーに従うセキュリティの設定が紐づけられ、ポリシーに従うセキュリティの設定に従い、ファイルへの少なくとも一部の操作の制限が可能になる。【選択図】図５

Description

本発明は、スキャナ、スキャナの制御方法、及びプログラムに関するものである。

近年、オフィス環境として、オフィスフロアが単一の企業、部署や身内だけから成るものから、様々な業種の人々がオフィスフロアを共有して利用する、シェアオフィスやコワーキングスペースなどが増加してきている。

シェアオフィス、コワーキングスペースにおいては、利用者が利用できる共有のＭＦＰ（Multi Function Peripheral）等が、シェアオフィス、コワーキングスペースの事業者によって、共有スペースに設置されることが多い。

このような環境では、不特定多数の利用者でＭＦＰ等が利用され、原稿をスキャンしてＵＳＢメモリなどの可搬メディアに文書を保存した場合、可搬メディアを紛失した場合などに、不正に利用される可能性がある。また、可搬メディアだけでなく、クラウドストレージなどの外部ストレージに保存した場合でも、不特定多数が利用する環境では、不正アクセスによる情報漏洩の可能性もあり得る。また、ロビーなど共有スペースにＭＦＰ等を設置した場合は、セキュリティ面での不安がある。

スキャンした文書の安全性を高めるには、スキャンした文書にポリシーを付与して、アクセスコントロールを行う方法がある。
特許文献１には、ＭＦＰで生成した文書に対して、スキャナのオペレータがユーザを指定してポリシーを付ける技術が提案されている。

特開２０１５−１６５３８２号公報

しかし、シェアオフィス事業者が、会員の専用スペースを用意して、１部屋に１台、このようなポリシーを付けられるＭＦＰ等を設置（専用で利用）することでセキュリティを高められるが、事業者にとってＭＦＰ等を設置するコストが掛かってしまう。このため、利用料金が高くなり、シェアオフィス利用者にもコストの負担が大きくなる可能性がある。

また、シェアオフィス事業者がポリシーを付けられるＭＦＰ等を設置するためには、外部にポリシーサーバを用意して、ＭＦＰ等とポリシーサーバの設定を行う必要があり、手間が掛かってしまう。
さらには、シェアオフィスに置かれる不特定多数に利用されるＭＦＰ等では、ユーザを特定して、文書にポリシーを付与ことが困難である。

本発明は、上記の課題を解決するためになされたものである。本発明は、簡易な操作で、スキャンした文書にポリシーを付与してセキュリティを高くし、ポリシーが付与された文書を利用する場合にも、簡易な操作でポリシーを確認して権限がある操作のみを可能とする仕組みを提供することを目的とするものである。

本発明は、スキャナであって、複数のユーザで共有される、ポリシーサーバに登録された所定のアカウント情報を管理する管理手段と、ユーザが保有する携帯機器から読み取り可能な識別情報を受け付ける受付手段と、前記ポリシーサーバに、前記所定のアカウント情報を用いてアクセスするアクセス手段と、前記ポリシーサーバに、前記受け付けた識別情報に基づき、ポリシーを登録する登録手段と、スキャンして得られた画像データを含む暗号化されたファイルの保存を制御する制御手段と、を有し、前記暗号化されたファイルには、前記識別情報に基づく前記ポリシーに従うセキュリティの設定が紐づけられ、前記ポリシーに従うセキュリティの設定に従い、該ファイルへの少なくとも一部の操作の制限が可能になることを特徴とする。

本発明によれば、簡易な操作で、スキャンした文書にポリシーを付与してセキュリティを高くし、ポリシーが付与された文書を利用する場合にも、簡易な操作でポリシーを確認して権限がある操作のみを可能とすることができる。

本発明の一実施形態を示すシステムの構成図。ＭＦＰのハードウェア構成、ソフトウェア構成を示す図。ポリシーサーバが保持する管理テーブルの一例を示す図。ポリシーサーバ設定を説明する図。ポリシーサーバとクライアントの間のシーケンス図。ＭＦＰのセキュアスキャンの画面を示す図。ＭＦＰのセキュアスキャンの画面を示す図。ＭＦＰの印刷の画面を示す図。ＭＦＰのグループ管理の画面を示す図。ポリシーサーバが保持する管理テーブルを示す図。ポリシーサーバが保持する管理テーブルを示す図。セキュアスキャンの処理を示すフローチャート。セキュアスキャンの処理を示すフローチャート。ポリシーが付与された文書の操作の処理を示すフローチャート。グループの管理を行う処理を示すフローチャート。グループの管理を行う処理を示すフローチャート。第２実施形態のポリシー設定とユーザ管理テーブルを説明する図。第２実施形態のユーザ、グループの削除の処理を示すフローチャート。第３実施形態のポリシー選択画面を示す図。第５実施形態のポリシー選択画面を示す図。

以下、本発明を実施するための形態について図面を用いて説明する。
〔第１実施形態〕
図１は、本発明の一実施形態を示す画像読取装置（スキャナ）を適用可能なシステムの構成の一例を示す図である。

図１に示すように、本実施形態のシステムでは、ＭＦＰ（Multi Function Peripheral）１０１、３０１とポリシーサーバ３１１とが、ネットワーク１０２を介して通信可能に接続されている。ＭＦＰ１０１、３０１やポリシーサーバ３１１は、ネットワーク上で、ＩＰアドレスなど一意に識別可能な値によって、それぞれ相互にアクセスすることが可能になる。なお、図１に示す例では、ポリシーサーバ３１１に接続されているＭＦＰは２台であるが、接続される台数に制限はなく、１台でもよいし、３台以上接続されていてもよい。

ユーザは、ＭＦＰ１０１などで生成された画像データファイル等の文書ファイルに対して、ユーザやグループごとに、どのような操作（印刷、閲覧、編集など）が認められるのかのアクセス権限や有効期限を、ポリシーとして、ポリシーサーバ３１１に設定する。これにより、当該文書ファイルに対する操作を行う場合、操作を行おうとするユーザが、当該文書ファイルに対しての所望の操作の権限があるかを、ポリシーサーバ３１１に確認し、権限がある場合にのみ、所望の操作を行うことができるようになる。

なお、ＭＦＰに限らず、プリンタ、パーソナルコンピュータ（ＰＣ）やスマートフォンなどの他の情報処理デバイスがネットワーク１０２に接続され、それらのデバイスが当該文書ファイルへの操作を行う場合も同様に、ポリシーサーバ３１１に確認を行う。
また、本実施形態ではクライアントをＭＦＰ１０１として説明するが、ＭＦＰ３０１であっても、スキャナや上述したデバイス等の他のクライアント装置であっても同様である。

図２（ａ）は、ＭＦＰ１０１のハードウェア構成の一例を示す図である。なお、図２（ａ）は本実施形態における説明のための一例を示したものであり、他の構成要素を含む、あるいは、本実施形態と同様の効果のある構成であれば、他の構成でも構わないことは言うまでもない。

システムバス１１０に対してＣＰＵ１１１、ＲＡＭ１１２、ＲＯＭ１１３、入力制御Ｉ／Ｆ１１４、表示制御Ｉ／Ｆ１１５、記憶装置Ｉ／Ｆ１１６、通信Ｉ／Ｆコントローラ１１７が接続されている。また、システムバス１１０に対しては、スキャナ１２１やプリンタ１２２も接続されている。システムバス１１０に接続される各部は、システムバス１１０を介して互いにデータのやりとりを行うことができるように構成されている。

ＣＰＵ（Central Processing Unit）１１１は、各装置の制御やデータの計算・加工を行う装置である。ＲＡＭ（Random Access Memory）１１２は、揮発性のメモリであり、ＣＰＵ１１１の主メモリ、ワークエリア等の一時記憶領域として用いられる。ＲＯＭ（Read Only Memory）１１３は、不揮発性のメモリであり、画像データやその他のデータ、ＣＰＵ１１１が動作するための各種プログラム等が、それぞれ所定の領域に格納されている。ＣＰＵ１１１は、例えばＲＯＭ１１３に格納されるプログラムに従い、ＲＡＭ１１２をワークメモリとして用いて、ＭＦＰ１０１の各部を制御する。なお、ＣＰＵ１１１が動作するためのプログラムは、ＲＯＭ１１３に格納されるのに限られず、記憶装置１２０に記憶されていてもよい。

入力制御Ｉ／Ｆ１１４は、入力デバイスからのユーザ操作を受け付け、操作に応じた制御信号を生成し、ＣＰＵ１１１に供給する。例えば、入力制御Ｉ／Ｆ１１４は、ユーザ操作を受け付ける入力デバイスとして、不図示であるキーボードといった文字情報入力デバイスや数値などを直接入力するためのハードキー、あるいはタッチパネル１１８といったポインティングデバイス等と接続される。なお、タッチパネル１１８は、例えば平面的に構成された入力部に対して接触された位置に応じた座標情報が出力されるようにされている入力デバイスである。以下、本実施形態においては、タッチパネルでの操作で説明しているが、それに限定されないことは言うまでもない。ＣＰＵ１１１は、入力デバイスに対してなされたユーザ操作に応じて入力制御Ｉ／Ｆ１１４で生成され供給される制御信号に基づき、プログラムに従いＭＦＰ１０１の各部を制御する。これにより、ユーザ操作に応じた動作をＭＦＰ１０１に行わせることができる。

表示制御Ｉ／Ｆ１１５は、ディスプレイ１１９に対して画像を表示させるための表示信号を出力する。例えば、ＣＰＵ１１１は、プログラムに従い、生成した表示制御信号を表示制御Ｉ／Ｆ１１５に対して供給する。表示制御Ｉ／Ｆ１１５は、この表示制御信号に基づき表示信号を生成してディスプレイ１１９に対して出力する。例えば、表示制御Ｉ／Ｆ１１５は、ＣＰＵ１１１が生成する表示制御信号に基づき、ＧＵＩ（Graphical User Interface）を構成するＧＵＩ画面をディスプレイ１１９に表示させる。

また、タッチパネル１１８は、ディスプレイ１１９と一体的に構成されていてもよい。例えば、タッチパネル１１８は光の透過率がディスプレイ１１９の表示を妨げないように構成され、ディスプレイ１１９の表示面の上層に取り付けられる。そして、タッチパネル１１８における入力座標と、ディスプレイ１１９上の表示座標が対応付けられる。これにより、あたかもユーザがディスプレイ１１９上に表示された画面を直接的に操作可能であるかのようなＧＵＩを構成することができる。

記憶装置Ｉ／Ｆ１１６には、例えばＨＤＤ（Hard Disk Drive）やフラッシュメモリなどの記憶装置１２０が接続されている。ＣＰＵ１１１の制御に基づき、記憶装置１２０からのデータの読み出しや、記憶装置１２０に対するデータの書き込みが行われる。記憶装置１２０をＲＡＭ１１２やＲＯＭ１１３の代わりに使用しても構わない。

通信Ｉ／Ｆコントローラ１１７は、ＣＰＵ１１１の制御に基づき、例えばＬＡＮやインターネット、有線、無線等の各種ネットワークに対する通信を行う。ネットワーク１０２には、ＰＣや他のＭＦＰ、スキャナ、プリンタ、サーバ等、様々な装置がＭＦＰ１０１と通信可能に接続される。また、後述する外部の認証サーバとの接続も通信Ｉ／Ｆコントローラ１１７を介して行われる。

スキャナ１２１は、ＣＰＵ１１１の制御に基づき、原稿を読み取り、画像データを生成する画像読取部である。例えば、ＣＰＵ１１１は、入力制御Ｉ／Ｆ１１４を介して入力されたユーザの指示により、スキャナ１２１に対してスキャン処理を実施させる。スキャナ１２１は、原稿台やＡＤＦ（Auto Document Feeder）に置かれた原稿を読み取り、デジタルデータ化し、画像データを生成する。そして、スキャナ１２１は、生成した画像データを記憶装置Ｉ／Ｆ１１６を介して記憶装置１２０に格納する。

プリンタ１２２は、ＣＰＵ１１１の制御に基づき、記憶装置１２０に保存された画像データを印刷処理する印刷部である。例えば、ＣＰＵ１１１は、入力制御Ｉ／Ｆ１１４を介して入力されたユーザの指示や、通信Ｉ／Ｆコントローラ１１７を介して外部装置から入力されたコマンドの指示によりプリンタ１２２に対して印刷処理を実施させる。プリンタ１２２は、記憶装置１２０から画像データを読出し、印刷可能なデータ形式に変換し、紙原稿に印字する。

ＩＣカード制御Ｉ／Ｆ１３０は、ＩＣカード読取装置１３１に対してＩＣカードの読取指示信号を出力する。ここで、本実施形態におけるＩＣカードは、ＮＦＣ（Near Field Communication）などが搭載された非接触ＩＣカードのことを表す。例えば、ＣＰＵ１１１は、プログラムに従い、生成したＩＣカード制御信号をＩＣカード制御Ｉ／Ｆ１３０に対して供給する。ＩＣカード制御Ｉ／Ｆ１３０は、この制御信号に基づきＩＣカード読取信号を生成してＩＣカード読取装置１３１に対して出力する。ＩＣカード読取装置１３１は、かざされているＩＣカードの情報の読み込みを行い、ＩＣカード制御Ｉ／Ｆ１３０に読取結果の信号をＩＣカード制御Ｉ／Ｆ１３０に出力する。詳細は後述するが、ＩＣカード読取装置１３１は、ユーザが保有するＩＣカードから読み取り可能なＩＣカードの固有ＩＤを受け付ける受付デバイスとして機能する。

ＭＦＰ１０１のソフトウェアの構成について、図２（ｂ）を用いて説明する。
図２（ｂ）は、ＭＦＰ１０１のソフトウェア構成の一例を示す図である。なお、図２（ｂ）は本実施形態における説明のための一例を示したものであり、他の構成要素を含んだり、あるいは、本実施形態と同様の効果のある構成であったりしても構わないことは言うまでもない。また、図２（ｂ）に示すソフトウェア構成は、ＣＰＵ１１１がＲＯＭ１１３に記憶されたプログラムを起動時や機能利用時など必要に応じてＲＡＭ１１２へ展開して実行することにより実現され機能する。

制御バス２００は、ＣＰＵ１１１の制御に基づき、各制御部間の情報を受け渡しするソフトウェアバスである。例えば、制御バス２００は、表示操作制御部２０１からユーザが入力した指示情報を受け取り、ＲＡＭ１１２に一旦保存する。さらに、制御バス２００は、入力指示を受け取ったことを各制御部に対して通知する。

ネットワーク制御部２０３は、通信Ｉ／Ｆコントローラ１１７を用いて、ネットワーク１０２上の外部機器と接続を行うための処理を行う。本実施形態では、ネットワーク１０２上のポリシーサーバ３１１に対してアクセスを行う。

表示操作制御部２０１は、ＣＰＵ１１１の制御に基づき、入力制御Ｉ／Ｆ１１４や表示制御Ｉ／Ｆ１１５を制御する。例えば、表示操作制御部２０１は、他の制御部からの指示に基づいて表示制御Ｉ／Ｆ１１５を介してディスプレイ１１９で表示を行う。また、表示操作制御部２０１は、入力制御Ｉ／Ｆ１１４を介してタッチパネル１１８にユーザが入力した情報を取得する。なお、表示操作制御部２０１は、取得した情報を、必要に応じて制御バス２００を介して各制御部へ通知する。以降の記述では、制御部間で情報やデータを受け渡しする際は、制御バス２００を経由しているものとする。

認証制御部２０２は、ＣＰＵ１１１の制御に基づき、ユーザを識別するための認証処理を行い、ＭＦＰ１０１の操作者がＭＦＰ１０１の正当なユーザか否かの判断を行う。認証処理を行って、正当なユーザの場合にセッションを開始することを「ログイン」と呼ぶ。また、認証制御部２０２は、記憶装置１２０上のユーザ情報を格納したデータベース（以下「ユーザ情報ＤＢ」）を制御する。なお、認証制御部２０２は、ＭＦＰ１０１内部のユーザ情報ＤＢだけでなく、通信Ｉ／Ｆコントローラを介して外部の認証サーバに接続し、外部の認証サーバの認証結果を利用するようにしてもよい。外部の認証サーバとの認証情報のやり取りは、公知の技術を用いて行う。また、ユーザがＭＦＰ１０１を利用し終わった後に、当該ユーザのセッションを終了することを「ログアウト」と呼ぶ。

なお、ＭＦＰ１０１には、コピー、スキャンなどの一つ以上の機能（以下「Function」と呼ぶ）があり、それぞれのFunction毎に制御部がある。図２（ｂ）には、一例として送信制御部２０４、コピー制御部２０５、文書利用制御部２０７、文書保存制御部２０８が示されている。当然ながら図２（ｂ）に記載のFunction以外のＭＦＰ１０１の処理に関わるFunctionが存在し、その制御部が存在してもよい。例えば、ＦＡＸを搭載したＭＦＰ１０１であれば、ＦＡＸ制御部が存在する。

送信制御部２０４は、スキャナ１２１から原稿をスキャンし、スキャンした画像データ等（以下「文書」という）を所定のファイルフォーマットに変換する。さらに、送信制御部２０４は、該文書をメールなどのプロトコルを使って、ネットワーク制御部２０３を介して、ネットワーク１０２上のメールサーバなどに送信する。
コピー制御部２０５は、スキャナ１２１から原稿をスキャンし、ステイプルなど指定された加工を施して、プリンタ１２２に出力を行う。

文書保存制御部２０８は、送信制御部２０４と同様に、スキャナ１２１から原稿をスキャンし、スキャンした文書を所定のファイルフォーマットに変換する。さらに、文書保存制御部２０８は、ＳＭＢ（Server Message Block）などの通信プロトコルを用いて、ネットワーク制御部２０３を介して、ネットワーク１０２上のファイルサーバに文書ファイルを保存する。

なお、文書保存制御部２０８は、ファイルサーバだけでなく、ＭＦＰ１０１の記憶装置１２０（ＨＤＤ、ＵＳＢメモリなどのメモリメディア）や、クラウド上のストレージにも保存できる。ＭＦＰ１０１のＨＤＤやメモリメディアであれば、文書保存制御部２０８は、記憶装置Ｉ／Ｆ１１６を介して、記憶装置１２０にアクセスして、文書の保存を行う。また、外部のファイルサーバやクラウド上のストレージであれば、文書保存制御部２０８は、適切なプロトコルを用いて、ネットワーク制御部２０３を介して、ネットワーク１０２上の保存先に文書の保存を行う。

文書利用制御部２０７は、外部のファイルサーバ、ＭＦＰ１０１内のＨＤＤ、メモリメディア、クラウドストレージなどに保存されている文書をＭＦＰ１０１で印刷したり、プレビューを行ったりする。ＭＦＰ１０１のＨＤＤやメモリメディアの文書を利用する場合であれば、文書利用制御部２０７は、記憶装置Ｉ／Ｆ１１６を介して記憶装置１２０にアクセスして、指定された文書を取得して処理を行う。外部のファイルサーバやクラウド上のストレージであれば、文書利用制御部２０７は、適切なプロトコルを用いて、ネットワーク制御部２０３を介して、ネットワーク１０２上の保存先に文書の取得を行う。例えば、印刷を行う場合は、取得した文書をプリンタ１２２で出力する。

ＩＣカード制御部２１１は、ＩＣカード制御Ｉ／Ｆ１３０を介して、ＩＣカード読取装置１３１にアクセスして、ＩＣカードの情報を読み取り、要求元の制御部に対して、読み取った結果を返す。

ポリシー制御部２１２は、各制御部からの指示に従い、ネットワーク制御部２０３を介してネットワーク１０２上のポリシーサーバ３１１とやり取りを行い、文書の暗号化、復号、操作の可否の確認などポリシーに関する処理を行う。また、ポリシー制御部２１２は、必要に応じて、ＩＣカード制御部２１１とやり取りを行い、ＩＣカードの情報からポリシーサーバ３１１上のユーザに関する情報を取得する。
なお、ポリシー制御部２１２は、ポリシーサーバ３１１に関する情報については、管理ＤＢ２２０から取得する。管理ＤＢ２２０は、ポリシーサーバ設定として、ポリシーサーバに関する情報（ポリシーサーバ３１１のアドレスや、ポリシーサーバ管理者ＩＤ、パスワード等の情報）を格納する。ポリシーサーバ設定の例は、後述する図４に示す。

＜文書保護の仕組み＞
まず、本実施形態で採用する文書ファイルを保護する仕組みについて説明する。
本実施形態では、文書ファイルを保護する仕組みとして、情報資源管理（ＩＲＭ（Information Rights Management））を採用する。ＩＲＭでは、文書ファイルを暗号化し、印刷、閲覧、編集をユーザによって制限を掛けることができる。また、ＩＲＭによる管理では、使用期限を設けて、期限が切れた文書ファイルはアクセスできなくしたりすることもできる。ＩＲＭでは、文書ファイルに対するアクセス制限を集中的に管理するポリシーサーバと、利用するユーザに応じたアクセス権限内の操作を文書ファイルに対して行うクライアントにより、文書ファイルを保護する仕組みを実現する。

［ポリシーサーバ］
図３は、ポリシーサーバ３１１が保持する管理テーブルの一例を示す図である。
図３（ａ）は、ユーザ管理テーブル４００を示す。
ユーザ管理テーブル４００には、ポリシーサーバ３１１を利用するユーザ情報が格納されている。

ユーザ管理テーブル４００において、ユーザＩＤ４０１は、ポリシーサーバ３１１内部で、ユーザを一意に識別するための文字列である。
ユーザ名４０２は、人がユーザを識別するのに分かりやすくするための名称を表す文字列である。
パスワード４０３は、ユーザＩＤ４０１がポリシーサーバ３１１を利用するときに利用可能か否かを確認するためのパスワードである。

役割４０４は、ポリシーサーバ３１１での役割を示すためのフィールドである。例えば、ポリシーサーバ３１１の管理を行うための「管理者」や、ポリシーを適用されるユーザを示す「一般者」が本実施形態では例示されている。なお、ポリシーサーバ３１１の管理を行うための「管理者」とは、ポリシーサーバ３１１上でユーザやグループの作成などの管理、ポリシーの内容を定義、指定した文書にポリシーを適用、などポリシーに関する管理を行うための特別なユーザのことである。このユーザを以下「ポリシーサーバ管理者」と記載する。本実施形態では簡単のため、「ポリシーサーバ管理者」と「一般者」しか示していないが、これ以外の役割が存在しても構わない。

図３（ｂ）は、グループ管理テーブル４１０を示す。
グループ管理テーブル４１０には、ポリシーサーバ３１１を利用するユーザが所属するグループの情報が格納されている。
グループ管理テーブル４１０において、グループＩＤ４１１は、ポリシーサーバ３１１内部で、グループを一意に識別するための文字列である。
グループ名４１２は、人がグループを識別するのに分かりやすくするための名称を表す文字列である。
所属ユーザＩＤリスト４１３は、各グループＩＤに対して、どのユーザＩＤが所属しているのかを示している。例えば、グループＩＤ：G_xyzz1234には、所属しているユーザとして、ユーザＩＤ：xyzz1234、uy73491の２ユーザが所属していることを示している。

図３（ｃ）は、ポリシー管理テーブル４２０を示す。
ポリシー管理テーブル４２０には、ポリシーサーバ３１１で管理されるポリシーの情報が格納されている。
ポリシー管理テーブル４２０において、ポリシーＩＤ４２１は、ポリシーサーバ３１１内部で、ポリシーを一意に特定するためのＩＤである。
ポリシー名称４２２は、ポリシーの内容を説明するための文字列である。ポリシーを適用するときに、利用者がポリシーＩＤ４２１だけでは、どのようなポリシーであるかを判断することが困難であるため、ユーザが適用するポリシーを選択し易くするための文字列である。

制限リスト４２３は、どのようなアクセス制限を掛けるのかを示すリストである。具体的には、制限リスト４２３は、対象４２４と権限４２５からなる。
対象４２４は、制限が適用されるユーザＩＤもしくはグループＩＤである。複数のユーザＩＤ、グループＩＤに対して、どのような制限を掛けるのを指定できる。すなわち、ポリシーサーバ３１１に登録されているユーザは、グループＩＤを介してポリシーと紐付けされる。

本実施形態では、権限４２５として、印刷、閲覧、編集を、指定されたユーザＩＤもしくはグループＩＤに認めるか否かを示す情報と、当該ポリシーが適用されたファイルの有効期限とを、指定可能な例を示している。

例えば、４２６に例示する制限リストは、ユーザxyzz1234とグループG_xqz853bdeに適用される。ユーザxyzz1234は、印刷、閲覧、編集の全てが許可されているが、グループG_xqz853bdeは、印刷、閲覧のみ許可されており、編集を行うことが禁止されている。
また、４２７に例示する制限リストは、有効期限が７日間であり、ポリシーが適用されてから７日後に、全てのアクセスが不可能になる。なお、有効期限は直接、年月日時刻を指定する形式など他の形態でもよい。ポリシーサーバ３１１は、正確な日時で処理する必要があるため、ＮＴＰ（Network Time Protocol）サーバなど正確な時間を取得できるサーバと接続されている。なお、上記の制限（印刷、閲覧、編集）は、説明のための一例であり、他の制限があってもよいし、これらの一部の制限が存在しなくてもよい。

図３（ｄ）は、文書管理テーブル４３０を示す。
文書管理テーブル４３０には、ポリシーサーバ３１１で管理している文書の一覧が記録されている。
文書管理テーブル４３０において、文書ＩＤ４３１は、文書を特定するための、一意なＩＤである。図３（ｄ）の例では、説明のため文書ＩＤに簡易な文字列を例示しているが、例えば、ＵＵＩＤのような一意なＩＤを用いる。

適用ポリシーＩＤ４３２は、当該文書に対して、適用されるポリシーを示すポリシーＩＤである。
暗号化キー４３３は、文書を暗号化及び復号するために用いられるキーである。すなわち、暗号化キー４３３は、暗号化キーであり、復号キーでもある。暗号化方式は、本発明の本質では無いため、詳細については説明しないが、例えばＡＥＳなどの暗号化方式を利用してもよいし、他の暗号化方式を用いてもよい。なお、暗号化キーと復号キーを別々のキーとしてもよい。

［クライアント］
クライアントは、ポリシーサーバ３１１と通信して、文書ファイルに対して、暗号化を行い、アクセス制限を行うために、ポリシーを適用（付加）する。また、クライアントは、ポリシーが適用された文書ファイルに対して、文書ファイルを利用しようとするユーザが操作したい権限があるかポリシーサーバ３１１に確認して、権限があれば、文書ファイルの復号化を実施して、所望の操作を行わせる。なお、権限がない場合には、クライアントは、文書ファイルへの操作を禁止する。

なお、クライアントの機能は、コンピュータやスマートフォンのアプリケーションをコンピュータやスマートフォンで実行することにより実現可能である。また、クライアントの機能は、本実施形態でＭＦＰ１０１，３０１などの組み込みデバイスに搭載されるアプリケーションをＭＦＰ１０１，３０１などで実行することにより実現可能である。本実施形態では、ポリシー制御部２１２がクライアントの機能に相当する。

図４は、クライアントで行うポリシーサーバ設定を説明する図である。
ポリシーサーバ設定画面６００は、ポリシー制御部２１２が、表示操作制御部２０１に指示して、表示操作制御部２０１が、表示制御Ｉ／Ｆ１１５を介してディスプレイ１１９に表示する。また、表示操作制御部２０１が、タッチパネル１１８で入力された情報を、入力制御Ｉ／Ｆ１１４を介して受け取り、ポリシー制御部２１２に入力情報を伝える。

アドレス６０１では、ＵＲＬなどでポリシーサーバ３１１の所在を示すアドレス（所在を示す情報）を設定する。
ポリシーサーバ管理者ＩＤ６０２では、ポリシーサーバ３１１を操作するためのポリシーサーバ管理者のユーザを設定する。ポリシーサーバ管理者パスワード６０３では、ポリシーサーバ管理者ＩＤ６０２のパスワードを設定する。すなわち、ポリシーサーバ管理者ＩＤ６０２、ポリシーサーバ管理者パスワード６０３は、ポリシーサーバ管理者のアカウント情報に対応する。

ユーザＩＤ生成キー６０４、パスワード生成キー６０５については、後述する。
これら６０１〜６０５で設定される情報は、ポリシーサーバ設定テーブル１５００として、図２（ｂ）の管理ＤＢ２２０に格納される。

ポリシーサーバのアドレス６０１は、ポリシーサーバ設定テーブル１５００のアドレス１５０１に、ポリシーサーバ管理者ＩＤ６０２は管理者ＩＤ１５０２に、ポリシーサーバ管理者パスワード６０３は管理者パスワード１５０３にそれぞれ対応して格納される。また、ユーザＩＤ生成キー６０４はユーザＩＤ生成キー１５０４に、パスワード生成キー６０５はパスワード生成キー１５０５にそれぞれ対応して格納される。

なお、図４に示すポリシーサーバ設定は、シェアオフィスなどにクライアント（ここではＭＦＰ１０１）を設置してサービスを提供する事業者が、ポリシーサーバの運用開始時に一度だけ行う。例えば、事業者が、ＭＦＰ１０１のタッチパネル１１８から行った操作に応じて、ポリシーサーバ設定画面６００がディスプレイ１１９に表示される。

［ポリシーサーバとクライアント間の操作シーケンス］
図５を用いて、ポリシーサーバとクライアントの間の操作についてのシーケンスについて説明する。
図５は、ポリシーサーバとクライアントの間の操作についてのシーケンスを説明する図である。なお、図５の操作は、本実施形態を説明するための一例であり、これ以外の操作も存在する。また、シーケンスについては、説明を簡単にするために、エラー処理を省略するなど手順を簡略化している。

また、本実施形態ではクライアント５００１をＭＦＰ１０１として説明するが、ＭＦＰ３０１であっても、他のクライアント装置であっても同様である。なお、図５において、クライアント５００１側の処理は、ＭＦＰ１０１のＣＰＵ１１１がＲＯＭ１１３等の格納されるプログラムを読み出して実行することにより実現される。また、ポリシーサーバ５００２はポリシーサーバ３１１に対応する。ポリシーサーバ５００２側の処理は、ポリシーサーバ３１１を構成する１又は複数の装置のＣＰＵが記憶装置に格納されるプログラムを読み出して実行することにより実現される。

図５（ａ）は、文書登録を行って文書の暗号化を実施するシーケンスの一例を示す。
ユーザがクライアント５００１でセキュアスキャンを指示すると、図５（ａ）の処理が開始される。まず、クライアント５００１は、ポリシーサーバ５００２に対して、ポリシーサーバ管理者のユーザＩＤ、パスワードを指定して、管理者ログインを要求する（５００３）。

この管理者ログイン要求に応じて、ポリシーサーバ５００２は、ポリシーサーバ管理者のユーザＩＤ、パスワードを用いて管理者ログインを行う。そして、ポリシーサーバ５００２は、ポリシーサーバ管理者ログインが成功した（ＯＫ）か失敗した（ＮＧ）かを返却する（５００４）。パスワードが誤っている、あるいは、ポリシーサーバ管理者の有効期限が切れている場合にログイン失敗となり、処理を中断する。図５の説明においては、他の処理のシーケンスでも、失敗の内容、失敗時の処理は容易に想定できるため、説明を簡単にするために、以下、成功（ＯＫ）時のみについて説明する。

ポリシーサーバ管理者ログイン結果（ここではＯＫ）を受信すると、クライアント５００１からポリシーサーバ５００２に対してユーザの登録等が可能になる。図５（ａ）には示していないが、クライアント５００１は、ユーザのＩＣカードから読み取った情報に基づき、そのユーザがポリシーサーバ５００２に登録済みであるか確認する。未登録の場合、クライアント５００１は、ポリシーサーバ５００２に対してユーザ登録を行う。さらに、クライアント５００１は、そのユーザに適用可能なポリシー一覧から適用するポリシーをユーザに選択させ、原稿の読み込みを行う。

次にクライアント５００１は、ポリシーサーバ５００２に対して、上記適用するポリシーのポリシーＩＤを指定して、上記原稿から読み込んだ画像データ（文書）の文書登録要求を行う（５００５）。

この文書登録要求に応じて、ポリシーサーバ５００２は、文書ＩＤを発行する（５００６）。さらに、ポリシーサーバ５００２は、暗号化キーを発行する（５００７）。また、ポリシーサーバ５００２は、発行した文書ＩＤ、暗号化キー、指定されたポリシーＩＤを、文書管理テーブル４３０に登録する（５００８）。さらに、ポリシーサーバ５００２は、クライアント５００１に、上記発行した文書ＩＤ、暗号化キーを返却する（５００９）。

この文書ＩＤ、暗号化キーを受信すると、クライアント５００１は、上記登録要求した文書に、ポリシーサーバ５００２から返却された文書ＩＤとポリシーサーバ５００２のＵＲＬの埋め込みを行う（５０１０）。さらに、クライアント５００１は、該文書に対して、ポリシーサーバ５００２から返却された暗号化キーを用いて、暗号化を実施する（５０１１）。前述のように、暗号化方式の説明は省略するが、例えばＡＥＳなどの暗号化方式を利用する。

さらに、クライアント５００１は、ポリシーサーバ５００２に、ポリシーサーバ管理者のログアウトを要求する（５０１２）。
このログアウト要求に応じて、ポリシーサーバ５００２は、ログアウト処理を行う。そして、ポリシーサーバ５００２は、ログアウト結果を返却する（５０１３）。
このログアウト結果を、クライアント５００１が受信する。
さらに図５（ａ）には示していないが、クライアント５００１は、上記暗号化した文書を、ユーザにより指定された保存先に保存する。

なお、以下の説明でも同様であるが、すでにユーザがログイン済みであった場合は、ログイン処理は不要であり、所望の処理が完了後に継続して処理を行う場合は、ログアウト処理が不要であることは言うまでもない。

図５（ｂ）は、所望の処理の許可を確認して文書の復号化を実施するシーケンスの一例を示す。
ユーザがクライアント５００１でＳＤカード等に格納された暗号化された文書に対する操作を指示すると、図５（ｂ）の処理が開始される。まず、クライアント５００１は、ユーザが開こうとしている文書から、該文書に埋め込まれた文書ＩＤとポリシーサーバ５００２のＵＲＬの取得を行う（５１０１）。

さらに、クライアント５００１は、ポリシーサーバ５００２に対して、文書を開こうとするユーザのユーザＩＤ、パスワードを指定して、ログインを要求する（５１０２）。図５（ｂ）には示していないが、クライアント５００１は、ユーザのＩＣカードから読み取った情報に基づき、上述のユーザＩＤ、パスワードを生成する。なお、このシーケンスではポリシーサーバ管理者のログインはない。

上記５１０２のログイン要求に応じて、ポリシーサーバ５００２は、ユーザＩＤ、パスワードを用いてログインを行う。そして、ポリシーサーバ５００２は、ログインが成功した（ＯＫ）か失敗した（ＮＧ）かを返却する（５１０３）。

ログイン結果（ここではＯＫとする）を受信すると、クライアント５００１は、ユーザが開こうとしている文書の文書ＩＤを指定して、ポリシーサーバ５００２に対して、権限確認要求を行う（５１０４）。

この権限確認要求に応じて、ポリシーサーバ５００２は、文書管理テーブル４３０内の上記指定された文書ＩＤに対応する暗号化キーと、上記５１０２でログイン要求した現在ログイン中のユーザの当該文書に対する権限を取得する（５１０５）。現在ログイン中のユーザがグループに所属しており、当該グループの権限が存在すれば、その権限が取得される。本実施形態では、ユーザは１つのグループにのみ所属し、ポリシーには１つのグループに対してのみ権限が設定されるため、複数の権限が取得されることはないが、複数の権限が取得される構成でもよい。複数の権限が取得される場合は、例えば、各権限についての論理和や論理積を取って、まとめた権限として扱うなどの方法を用いてもよい。

次に、ポリシーサーバ５００２は、上記５１０５で取得した、指定された文書ＩＤの暗号化キーと、現在ログイン中のユーザの権限を、クライアント５００１に返却する（５１０６）。

暗号化キーとユーザの権限を受信したクライアント５００１は、ポリシーサーバ５００２に対して、ログアウトを要求する（５１０７）。
このログアウト要求に応じて、ポリシーサーバ５００２は、ログアウト処理を行う。そして、ポリシーサーバ５００２は、ログアウト結果を返却する（５１０８）。
このログアウト結果を、クライアント５００１が受信する。

クライアント５００１は、ポリシーサーバ５００２から返却された暗号化キーを用いて、文書の復号を実施する（５１０９）。
さらに、クライアント５００１は、ポリシーサーバ５００２から返却された権限の許可された動作と、所望の動作（指示された操作）を比較し、権限として許可されていれば、上記復号した文書に対する所望の動作（例えば印刷や閲覧など）を行う（５１１０）。すなわち、該文書に付与されているポリシーに従う操作のみが実行可能となり、ポリシーに反する操作の実行が不可能となる。

［ポリシー設定の例］
以下、図６Ａ、図６Ｂ、図９、図１０を用いて、本実施形態において、ＭＦＰ１０１でＩＣカードを用いて簡易にポリシーを設定する動作について説明する。
図６Ａ、図６Ｂは、ＭＦＰ１０１のセキュアスキャンの画面の一例を示す図である。図６Ａ、図６Ｂ及び後述する図７、図８に示す画面は、ポリシー制御部２１２が、表示操作制御部２０１に指示して、表示操作制御部２０１が、表示制御Ｉ／Ｆ１１５を介してディスプレイ１１９に表示する。また、表示操作制御部２０１が、タッチパネル１１８で入力された情報を、入力制御Ｉ／Ｆ１１４を介して受け取り、ポリシー制御部２１２に入力情報を伝える。以下の説明では、これらの説明は割愛する。

図９、図１０は、ポリシーサーバ３１１が保持する管理テーブルの一例を示す図である。

メニュー画面７０００には、コピー機能、プリント機能、スキャン機能、セキュアスキャン機能などＭＦＰ１０１で利用可能な操作を呼び出すボタンが配置され、ユーザが選択することができる。例えば、ＦＡＸなどこれ以外の機能が選択できても構わないのは言うまでもない。以下、セキュアスキャン機能について説明する。
メニュー画面７０００で、セキュアスキャンボタン７００１が押下されると、ＩＣカードスキャン画面７１００に遷移する。

ＩＣカードスキャン画面７１００では、セキュアスキャンを実施したいユーザがＩＣカードをＩＣカード読取装置１３１にかざすと、初回機能選択画面７２００、もしくは機能選択画面７３００へ遷移する。ユーザがかざしたＩＣカードの固有ＩＤで、初めてセキュアスキャン機能を実行する場合は、初回機能選択画面７２００に遷移する。それ以外の場合は、機能選択画面７３００へ遷移する。また、ＩＣカードスキャン画面７１００で、グループ管理ボタン７１０１を押下すると、図８で後述するグループ管理画面９０００へ遷移する。「戻る」ボタンを押下すると、前画面に遷移する。なお、以下において、各画面での「戻る」ボタンの説明については、冗長のため割愛する。

ＩＣカードスキャン画面７１００に関する処理における内部の動きは以下の通りである。
ＭＦＰ１０１は、ＩＣカード読取装置１３１で読み取ったＩＣカードの固有ＩＤから、ポリシーサーバ３１１に対するユーザ名とパスワードを生成する。生成方法の一例を以下に示す。ポリシーサーバ管理者は、予め、図４のポリシーサーバ設定画面６００においてユーザＩＤ生成キー６０４、パスワード生成キー６０５に、一定長の任意の文字列を入力して設定しておく。ＭＦＰ１０１は、ＩＣカードの固有ＩＤにユーザＩＤ生成キー６０４を付与した文字列を生成して、例えばＳＨＡ−２５６などの一方向ハッシュ関数を適用して、一意となるユーザ名を生成する。同様に、ＭＦＰ１０１は、ＩＣカードの固有ＩＤにパスワード生成キー６０５を付与した文字列を生成して、一方向ハッシュ関数を適用して、一意となるパスワードを生成する。なお、ＩＣカードの固有ＩＤから一意な値が生成できる仕組みであれば、上記例のような一方向ハッシュ関数を用いる方法でなく、別の方法でもよい。このようにして、ＩＣカードの固有ＩＤから動的にポリシーサーバへ登録するユーザ名、パスワードを動的に生成する。また、ポリシーサーバ管理者が登録したユーザＩＤ生成キー６０４、パスワード生成キー６０５を同一にしたＭＦＰ間であれば、ポリシーサーバ上で同一ユーザとして扱うことが可能となる。逆に、これらが異なる登録の場合は、ポリシーサーバ上で別ユーザとして扱われる。

ＭＦＰ１０１は、ポリシーサーバ３１１に対して、ＩＣカードの固有ＩＤから生成したユーザ名の存在確認要求を行う。ポリシーサーバ３１１は、指定されたユーザ名のユーザが存在するか否かの結果をＭＦＰ１０１に返すので、当該ユーザ名が存在していなければ、初回機能選択画面７２００に遷移する。一方、当該ユーザ名が存在していれば、機能選択画面７３００へ遷移する。

ユーザ名の存在確認要求で、ユーザが存在していた場合、対応するユーザＩＤがポリシーサーバ３１１からＭＦＰ１０１に返却される。この場合、ＭＦＰ１０１は、ポリシーサーバ３１１に、当該ユーザＩＤが所属するグループ取得を要求する。本実施形態では、１ユーザが所属できるグループを１つに限定しており、指定したユーザが所属する１つのグループＩＤがポリシーサーバ３１１からＭＦＰ１０１に返却される。なお、１つのグループに限定せずに、複数のグループに所属するようにしてもよい。
一方、ユーザ名の存在確認要求で、ユーザが存在していない場合、ユーザＩＤの返却は行われない。この場合、例えばユーザが登録されていないことを示す情報がポリシーサーバ３１１からＭＦＰ１０１に返却されるようにしてもよい。

初回機能選択画面７２００には、スキャンしたファイルの保存先の選択ボタン（ＵＳＢに保存７２０１、クラウドに保存７２０２）と、グループ設定ボタン７２０３が表示される。ユーザが、ポリシーが付与されるグループの設定を行いたい場合には、グループ設定ボタン７２０３を押下する。この場合、グループ設定画面７４００へ遷移する。なお、保存先の例として、ＵＳＢとクラウドを挙げているが、これら以外にも、ＭＦＰ１０１内のローカルストレージや、ファイルサーバなど他のストレージを指定できるようになっていてもよい。

また、初回機能選択画面７２００、あるいは機能選択画面７３００で、ＵＳＢに保存７２０１や、クラウドに保存７２０２が選択されると、保存先選択画面７６００が表示される。なお、初回機能選択画面７２００で、グループ設定を行わずに、保存先が選択された場合には、ユーザがかざしたＩＣカードのみが所属するグループが新規に作成されて、そのグループにポリシーが適用される。後述するように、後から、そのグループに他のユーザのＩＣカードの情報を追加することもできる。それにより、他のユーザのＩＣカードでも、スキャンを実行したユーザと同様にアクセス可能なポリシーを適用することが可能となる。

ここで、新規グループ作成について説明する。
新規グループを作成する際に、まずＭＦＰ１０１で、任意のグループ名を作成し、ＭＦＰ１０１が、作成したグループ名で、ポリシーサーバ３１１に新規グループ作成を要求する。グループ名は、例えば、乱数値やＩＣカード固有ＩＤから生成されるハッシュ値など任意の文字列であれば構わない。図９に示すグループ管理テーブル１０１０は、グループ管理テーブルの初期状態の一例であり、グループが登録されていない。なお、説明を簡単にするために、グループ管理テーブル１０１０は、登録済みの状態を例示していないが、他のグループが登録済の状態であっても、本実施形態の本質は変わらない。

ポリシーサーバ３１１で、一意なグループＩＤを生成して、生成したグループＩＤ、ＭＦＰ１０１から渡されたグループ名をグループ管理テーブル４１０に登録して、ＭＦＰグループＩＤを返却する。このとき、同一のグループ名が、グループ管理テーブル４１０に存在している場合は、ポリシーサーバ３１１からエラーが返却されるため、別のグループ名を生成して、再度、新規グループ作成を行う。この処理が実行された後のグループ管理テーブルの状態が、図１０に示すグループ管理テーブル１１１０であり、グループが追加されている。

ここで、ポリシー管理テーブルには、予め、各グループに適用される基本ポリシーが登録されている。図９に示すポリシー管理テーブル１０２０は、基本ポリシーの例であり、ポリシー名称のプレフィックスが固定的に「Base_」が付与されている。この例では、「Base_印刷・閲覧許可」、「Base_閲覧有効期限（１週間）」の２つの基本ポリシーが登録されている。「Base_印刷・閲覧許可」は、制限リストから印刷と閲覧のみ許可されるポリシーである。「Base_閲覧有効期限（１週間）」は、制限リストから印刷のみ許可されて、ポリシー適用後に１週間のみ有効なポリシーである。

ＭＦＰ１０１は、新規グループの作成を行った後、ポリシーサーバ３１１に、ポリシー一覧取得を要求する。ＭＦＰ１０１がポリシーサーバ３１１で管理しているポリシー一覧を取得したら、基本ポリシーを探し出す。具体的には、ポリシー名称で「Base_」から始まるものをピックアップする。ＭＦＰ１０１は、見つかったポリシー名称のプレフィックス部分「Base_」の「Base」を作成したグループのグループＩＤに置き換えたグループ名称を生成する。そして、ＭＦＰ１０１は、ポリシーサーバ３１１に、作成したポリシー名称で、対応する基本ポリシーをコピーするように要求する。図９の例では、２つの基本ポリシーがコピーされ、例えば、グループＩＤが「Gacdg0357」であるとすると、「Gacdg0357_印刷・閲覧許可」、「Gacdg0357_閲覧有効期限（１週間）」と言うポリシー名称になる。さらに、ＭＦＰ１０１は、ポリシーサーバ３１１に、基本ポリシーをコピーしたポリシーに対して、ポリシーの適用の対象を当該グループＩＤに変更するように要求する。これにより、基本ポリシーと同等のアクセス権を持つ、作成したグループに適用可能なポリシーが生成されることになる。これらの処理が実行された後のポリシー管理テーブルの状態が、図１０に示すポリシー管理テーブル１１２０であり、基本ポリシーと同じ権限を持つ１１２１、１１２２のポリシーが追加され、追加したグループがポリシーの適用対象になっている。

なお、この状態では、まだ作成したグループＩＤの示すグループには、ユーザが登録されていないため、ユーザの登録を行う。図９に示すユーザ管理テーブル１０００は、ユーザ管理テーブルの初期状態の一例であり、ポリシーサーバ管理者ユーザ（Administrator）のみが登録されている。なお、説明を簡単にするために、ユーザ管理テーブル１０００は、ポリシーサーバ３１１の管理者のみが登録済みの状態を例示しているが、他のユーザが登録済の状態であっても、本実施形態の本質は変わらない。

ＭＦＰ１０１は、ポリシーサーバ３１１に、ＩＣカードの固有ＩＤから生成したユーザ名、パスワードで、ユーザ登録を要求する。登録が完了すると、ポリシーサーバ３１１からＭＦＰ１０１に、一意なユーザＩＤが返却される。この処理が実行された後のユーザ管理テーブルの状態が、図１０に示すユーザ管理テーブル１１００であり、ユーザが追加されている。

その後、ＭＦＰ１０１は、ポリシーサーバ３１１に、返却されたユーザＩＤの示すユーザを先程作成したグループＩＤの示すグループに追加するように要求する。これらの処理が実行された後のグループ管理テーブルの状態が、図１０に示すグループ管理テーブル１１１０であり、先程作成したグループＩＤの示すグループの所属ユーザＩＤリストにユーザＩＤが登録されている。

図６Ａに示すグループ設定画面７４００には、新規グループボタン７４０１、既存グループボタン７４０２が表示される。新規グループボタン７４０１が押下された場合、ユーザがかざしたＩＣカードのみが所属するグループが作成されて、機能選択画面７３００へ遷移する。既存グループボタン７４０２が押下された場合、グループ追加画面７５００へ遷移する。

グループ追加画面７５００では、他のＩＣカードをかざすことで、今回スキャンするユーザのＩＣカードを他のＩＣカードで、すでに作成済みのグループに所属させる。すでに、ポリシーサーバ３１１上で、グループが作成済みであれば、前述のように、ポリシー管理テーブルには、当該グループをポリシー適用対象としたポリシーが存在している。前述と同様にして、ＭＦＰ１０１は、グループ追加画面７５００で、ＩＣカード読取装置１３１で読み取ったＩＣカードの固有ＩＤから、ユーザ名とパスワードを生成する。以下同様に、ＭＦＰ１０１は、ポリシーサーバ３１１に対して、ＩＣカードの固有ＩＤから生成したユーザ名の存在確認要求を行い、ポリシーサーバ３１１からＭＦＰ１０１がユーザＩＤを取得する。ＭＦＰ１０１がポリシーサーバ３１１に、返却されたユーザＩＤが所属するグループ取得を要求し、指定したユーザが所属する１つのグループＩＤがポリシーサーバ３１１からＭＦＰ１０１に返却される。

さらに、ＭＦＰ１０１は、ポリシーサーバ３１１に、ＩＣカードスキャン画面７１００で読み込んだＩＣカードの固有ＩＤから生成したユーザ名、パスワードで、ユーザ登録を要求する。この要求に応じて、ポリシーサーバ３１１からＭＦＰ１０１に、一意なユーザＩＤが返却される。さらにＭＦＰ１０１は、ポリシーサーバ３１１に、グループ追加画面７５００で読み取られたＩＣカードのユーザの所属するグループのグループＩＤに対し、ＩＣカードスキャン画面７１００で読み込んだＩＣカードに対応するユーザＩＤを登録するよう要求する。これによって、当該グループが適用可能な既存のポリシーに対して、今回、ＩＣカードスキャン画面７１００で読み込んだＩＣカードのユーザを追加できる。

なお、グループに対してはポリシーが適用されている。そのため、今回スキャンする文書だけでなく、すでに当該グループに対してポリシーが付与された作成済みの文書にも、ＩＣカードスキャン画面７１００で読み込んだＩＣカードのユーザは、ポリシーに従ってアクセスすることが可能になる。

例えば、ＩＣカードＡで作成されたグループＧ１があり、文書ＸがグループＧ１に対してポリシーを適用しているとする。この後に、ＩＣカードＢでセキュアスキャンを実行して、ＩＣカードＢをグループＧ１に所属させて、グループＧ１に対してポリシーを適用させた文書Ｙを作成したとする。このとき、ＩＣカードＡ、ＩＣカードＢの両方とも、文書Ｘ、文書Ｙに対して、グループＧ１に適用されたポリシーに従ってアクセスすることができる。このように、ＩＣカードごとに細かくアクセス権を設定することなく、ＭＦＰ１０１上でのＩＣカードの読取だけで、簡易にポリシーを適用した運用が容易に行える。

図６Ａに示す保存先選択画面７６００は、保存先のディレクトリを選択する画面である。本説明では、簡単のため１画面しか例示していないが、ディレクトリを選択することで、ディレクトリ間を遷移する。保存先選択画面７６００で、保存先のディレクトリを確定すると、ポリシー選択画面７７００へ遷移する。

ポリシー選択画面７７００は、ＩＣカードスキャン画面７１００で読み込んだＩＣカードに相当するユーザが所属するグループに適用可能なポリシーが、ポリシー一覧７７０１のように選択可能に表示される。ここでスキャンした文書に適用するポリシーが選択されて「確定」ボタンが押下されると、図６Ｂのスキャン画面７８００に遷移する。

新規にグループを作成したケース、既存のグループを用いるケースのどちらの場合でも、この段階で、ポリシーを適用するグループＩＤが取得されている。ＭＦＰ１０１は、ポリシーサーバ３１１に、当該グループＩＤに対するポリシー一覧の取得を要求する。この要求に応じて、ポリシーサーバ３１１は、ＭＦＰ１０１に、保持しているポリシーの一覧を返却する。ポリシー一覧は、ポリシーＩＤとポリシー名称の組であるため、ＭＦＰ１０１は、返却されたポリシーＩＤの中から、当該グループＩＤをプレフィックスとして持つものを抽出する。

例えば、当該グループＩＤが「Gacdg0357」で、ポリシーテーブルの状態が図１０に示すポリシー管理テーブル１１２０の状態である場合を例に説明する。
ポリシーサーバ３１１から、ポリシーＩＤが「P_00002」、「P_00012」、「P_00013」、「P_00014」の４つが、ＭＦＰ１０１に返却される。ＭＦＰ１０１は、返却されたポリシーＩＤのそれぞれのポリシー名称を確認して、プレフィックスが、「Gacdg0357」のポリシーを探索する。見つかったポリシーのポリシー名称から、プレフィックスのグループＩＤを削除したものを画面に表示するポリシー名称とする。この例では、「Gacdg0357_印刷・閲覧許可」、「Gacdg0357_閲覧有効期限（１週間）」の２つのポリシー名称が、「印刷・閲覧許可」、「閲覧有効期限（１週間）」と変更されて、画面上に表示される。

図６Ｂのスキャン画面７８００には、開始ボタン７８０１と詳細設定ボタン７８０２が存在する。スキャン画面７８００では、ポリシーサーバ管理者が予め指定したスキャンの設定がデフォルトとしてセットされているが、変更したい場合は、詳細設定ボタン７８０２を押下する。なお、スキャンに関する詳細設定の変更は、本実施形態の本質ではないため、画面例や説明は割愛する。

スキャン画面７８００にて開始ボタン７８０１が押下されると、ＭＦＰ１０１は、スキャナ１２１で原稿を読み込んで、文書を生成して、指定されたポリシーを適用して暗号化する（図５（ａ））。スキャンして、文書を生成する処理については、ポリシーが適用できる文書が生成されれば、どのような方法であっても構わないため、説明は割愛する。

図９に示す文書管理テーブル１０３０は、文書管理テーブルの初期状態の一例であり、文書が登録されていない。なお、説明を簡単にするために、文書管理テーブル１０３０は、登録済みの状態を例示していないが、他の文書が登録済の状態であっても、本実施形態の本質は変わらない。ＭＦＰ１０１は、ポリシーサーバ３１１に対して、ポリシー選択画面７７００で選択されたポリシー名称に対応するポリシーＩＤを指定して、文書登録要求を行う。この要求に応じて、ポリシーサーバ３１１は、文書の登録を行い、文書ＩＤ、暗号化キーをＭＦＰ１０１に返却する。さらに、ポリシーサーバ３１１は、返却した文書ＩＤ、暗号化キー、及び、ＭＦＰ１０１から指定されたポリシーＩＤを、文書管理テーブルに登録する。

この処理が実行された後の文書管理テーブルの状態が、図１０に示す文書管理テーブル１１３０であり、今回、ポリシーを適用する文書（文書ＩＤ：D_2031）が追加されている。
そして、ＭＦＰ１０１は、スキャンした文書に、ポリシーサーバ３１１から返却された文書ＩＤ、ポリシーサーバ３１１の所在（ＵＲＬ）を埋め込む。さらに、ＭＦＰ１０１は、ポリシーサーバ３１１から返却された暗号化キーを用いて、スキャンした文書に暗号化を施す。ただし、文書に埋め込まれた文書ＩＤ、ポリシーサーバ３１１の所在（ＵＲＬ）は、暗号化後にもアクセスできるように、暗号化の対象外となる。暗号化の一例として、例えば、ＡＥＳなどの共通鍵暗号方式を用いて行い、後で、暗号化キーで復号化できる形態であれば、暗号化の方法は、どのようなものであっても構わない。このようにして、スキャンした文書に、ＩＣカードに対応するグループ（ユーザ）にポリシーを適用することが可能となる。
なお、ＭＦＰ１０１では、上述のように暗号化した文書を、指定された保存先に保存する。

［印刷の例］
図７を用いて、本実施形態の方式で設定されたポリシーが適用された文書をＭＦＰ１０１で印刷を実行する動作について説明する。
図７は、ＭＦＰ１０１の印刷の画面の一例を示す図である。

図６Ａのメニュー画面７０００で、プリントを選択すると、図７に示す印刷ファイル選択画面８０００に遷移する。
印刷ファイル選択画面８０００では、ＵＳＢメモリやクラウドストレージなどの保存先で、文書を選択する。なお、前に説明したスキャンと同じく、印刷ファイル選択画面８０００でのディレクトリ内の移動の説明は割愛する。

ＭＦＰ１０１は、印刷ファイル選択画面８０００で選択された文書が、ポリシーが適用された文書かどうかを確認する。確認方法は、選択された文書内に、ポリシーサーバ３１１のＵＲＬと文書ＩＤが埋め込まれていれば、ポリシーが適用された文書と判断する。もし、ポリシーが適用されない通常の文書であれば、そのまま印刷処理が実行される。一方、ポリシーが適用された文書の場合は、印刷用ＩＣカードスキャン画面８１００に遷移する。

ＭＦＰ１０１は、その文書に適用されているポリシーを確認して、印刷が可能か判断して、可能であれば、印刷を行う（図５（ｂ））。その際、ＭＦＰ１０１は、前述のセキュアスキャンの処理と同様に、印刷を実施するユーザのＩＣカードをＩＣカード読取装置１３１にかざすよう促し、ＩＣカードの固有ＩＤを取得する。ＭＦＰ１０１は、ＩＣカード読取装置１３１で読み取ったＩＣカードの固有ＩＤから、ユーザ名とパスワードを生成する。ＭＦＰ１０１は、生成されたユーザ名、パスワードで、ポリシーサーバ３１１にログインし、取得した文書ＩＤのアクセス制限一覧取得を要求する。この要求に応じて、ポリシーサーバ３１１は、指定した文書に対して、当該ユーザＩＤに認められているアクセス制限と暗号化キーを、ＭＦＰ１０１に返却する。ＭＦＰ１０１は、ポリシーサーバ３１１から返却されたアクセス制限に、印刷可能な条件が含まれているか確認する。印刷可能であれば、返却された暗号化キーを用いて、文書の復号化を実施して、印刷を実行し、プリンタ１２２に出力する。印刷についての詳細な説明は割愛する。なお、印刷可能でなければ、文書の印刷を禁止し、その旨の通知をディスプレイ１１９に表示する。

［グループ管理の例］
以下、図８を用いて、グループの管理をＭＦＰ１０１で実施する動作について説明する。
図８は、ＭＦＰ１０１のグループ管理の画面の一例を示す図である。
図６ＡのＩＣカードスキャン画面７１００で、グループ管理ボタン７１０１を押下すると、グループ管理画面９０００へ遷移する。

グループ管理画面９０００には、既存グループ追加ボタン９００１、グループから除外ボタン９００２が表示されている。グループ管理画面９０００で、既存グループ追加ボタン９００１が押下された場合は、グループ設定ＩＣカードスキャン画面９１００へ遷移する。一方、グループ管理画面９０００で、グループから除外ボタン９００２が押下された場合は、グループ除外ＩＣカードスキャン画面９７００へ遷移する。

なお、新規グループ作成を行う場合は、既存グループ追加ボタン９００１を用いて行うか、前述のように、初回機能選択画面７２００で、既存のグループに属することを行わずに、スキャンを実行することで、新規グループが作成される。

グループ設定ＩＣカードスキャン画面９１００では、グループ設定を行いたいユーザのＩＣカードをＩＣカード読取装置１３１にかざす。前述のＩＣカードスキャン画面７１００と同様に、ＭＦＰ１０１は、ＩＣカード読取装置１３１で読み取ったＩＣカードの固有ＩＤから、ポリシーサーバ３１１に対するユーザ名とパスワードを生成する。さらに、ＭＦＰ１０１は、ポリシーサーバ３１１に対して、ＩＣカードの固有ＩＤから生成したユーザ名の存在確認要求を行う。この要求に応じて、ポリシーサーバ３１１は、指定されたユーザ名のユーザが存在するか否かの結果をＭＦＰ１０１に返す。ＭＦＰ１０１は、当該ユーザ名が存在していなければ、グループ作成確認画面９２００に遷移し、一方、当該ユーザ名が存在していれば、グループ追加画面９３００へ遷移する。

グループ作成確認画面９２００で、「はい」ボタンが押下され、新規部ループを作成することが選択された場合、前述の初回機能選択画面７２００で説明と同様にポリシーサーバ３１１においてグループの作成が行われる。そして、ポリシーサーバ３１１から、グループＩＤがＭＦＰ１０１に返却される。また同様に、ポリシーサーバ３１１は、基本ポリシーのコピー、ポリシー名にグループＩＤをプレフィックスとして追加を行う。さらにポリシーサーバ３１１は、作成したユーザを作成したグループに追加する。ＭＦＰ１０１では、作成したグループに他のユーザを追加するために、グループ追加画面９３００へ遷移する。

なお、グループ設定ＩＣカードスキャン画面９１００で、ユーザ名の存在確認要求で、ユーザが存在していた場合、対応するユーザＩＤがポリシーサーバ３１１からＭＦＰ１０１に返却される。ＭＦＰ１０１がポリシーサーバ３１１に、返却された当該ユーザＩＤが所属するグループ取得を要求する。この要求に応じて、指定したユーザが所属するグループＩＤがポリシーサーバ３１１からＭＦＰ１０１に返却される。前述のように、本実施形態では、ユーザが所属するグループは１つに限定している。ＭＦＰ１０１では、返却されたグループＩＤのグループに他のユーザを追加するために、グループ追加画面９３００へ遷移する。

グループ追加画面９３００は、グループ設定ＩＣカードスキャン画面９１００でかざしたＩＣカードの固有ＩＤから生成されたユーザが所属するグループに、追加したいＩＣカードを読み取らせる画面である。

グループ追加画面９３００で、ＩＣカードをかざすと、ＭＦＰ１０１は、ＩＣカード読取装置１３１でＩＣカードの固有ＩＤを読み取り、前述と同様にポリシーサーバ３１１に対するユーザ名とパスワードを生成する。グループ管理画面９０００の説明と同様に、ＭＦＰ１０１は、ポリシーサーバ３１１に対して、ＩＣカードの固有ＩＤから生成したユーザ名の存在確認要求を行い、ユーザＩＤを取得する。

グループ追加画面９３００でかざしたＩＣカードに対応するユーザがポリシーサーバ３１１に存在していない場合は、ＭＦＰ１０１は、ポリシーサーバ３１１に、ＩＣカードの固有ＩＤから生成したユーザ名、パスワードで、ユーザ登録を要求する。登録が完了すると、ポリシーサーバ３１１からＭＦＰ１０１に、ユーザＩＤが返却される。
一方、グループ追加画面９３００でかざしたＩＣカードに対応するユーザがポリシーサーバ３１１に存在していた場合は、ポリシーサーバ３１１からユーザＩＤが返却されている。
ＭＦＰ１０１は、ポリシーサーバ３１１に、返却されたユーザＩＤが所属するグループ取得を要求し、グループＩＤを取得する。

なお、上述したように、１ユーザが所属できるグループは、本実施形態では、１つに限定して、必ずグループに所属するため、ポリシーサーバ３１１にユーザのみが登録され、グループに所属していないケースは通常はあり得ないため、説明は割愛している。もし、取得したグループＩＤが、グループ設定ＩＣカードスキャン画面９１００でかざしたＩＣカードに対応するグループＩＤと一致する場合は、すでに所望のグループに登録済みであるため、登録済み画面９５００に遷移する。
登録済み画面９５００では、登録済みのメッセージを表示して、グループ追加画面９３００に戻る。

一方、グループ追加画面９３００でかざしたＩＣカードに対応するグループＩＤが、グループ設定ＩＣカードスキャン画面９１００でかざしたＩＣカードに対応するグループＩＤと一致しない場合、当該ユーザは、別のグループに登録済みである。この場合は、グループ変更確認画面９６００に遷移する。

グループ変更確認画面９６００は、グループ追加画面９３００でかざしたＩＣカードの所属するグループを変更するか否かの確認画面である。所属するグループを変更しない場合（「いいえ」ボタン押下の場合）は、グループ追加画面９３００に戻る。
一方、所属するグループを変更する場合（「はい」ボタン押下の場合）は、以下の処理が実施される。

ＭＦＰ１０１は、ポリシーサーバ３１１に、当該グループＩＤに対するユーザ一覧の取得を要求すると、ポリシーサーバ３１１から当該グループＩＤに所属しているユーザ一覧が返却される。ＭＦＰ１０１は、該返却されたユーザ一覧に含まれるユーザを確認する。グループ設定ＩＣカードスキャン画面９１００でかざしたＩＣカードに対応するユーザＩＤ以外のユーザが含まれていない場合は、グループは不要となるため、ＭＦＰ１０１は、当該グループに関するポリシー、及び当該グループの削除を行う。

具体的には、ＭＦＰ１０１は、ポリシーサーバ３１１に、当該グループＩＤに対するポリシー一覧の取得を要求し、ポリシーサーバ３１１から保持されているポリシーの一覧の返却を受け取る。ＭＦＰ１０１は、返却されたポリシー一覧から、当該グループＩＤをプレフィックスとして持つものを抽出する。ＭＦＰ１０１は、該抽出したポリシーのポリシーＩＤをポリシーサーバ３１１に渡して、当該ポリシーの削除要求を行う。抽出したポリシーが複数ある場合は、抽出された全てのポリシーについて、ポリシーを削除する。
さらに、ＭＦＰ１０１は、ポリシーサーバ３１１に、当該グループＩＤに対するグループ削除を要求する。ＭＦＰ１０１は、返却されたユーザ一覧に含まれるユーザを確認する。

一方、グループ設定ＩＣカードスキャン画面９１００でかざしたＩＣカードに対応するユーザＩＤ以外のユーザが含まれている場合は、他のユーザが当該グループに所属している。そのため、ＭＦＰ１０１は、当該グループから、グループ管理画面９０００でかざしたＩＣカードに対応するユーザのユーザＩＤの削除を要求する。

グループ削除等が終わると、グループへのユーザ追加を行う。具体的には、ＭＦＰ１０１は、グループ管理画面９０００でかざしたＩＣカードに対応するグループＩＤに、グループ追加画面９３００でかざしたＩＣカードに対応するユーザＩＤを追加するようにポリシーサーバ３１１にグループへのユーザ追加依頼を行う。
これによって、グループ追加画面９３００でかざしたＩＣカードをグループに追加することができたため、追加確認画面９４００へ遷移する。

追加確認画面９４００では、別のＩＣカードをグループに追加するか、処理を終了するかを選択する。別のＩＣカードをグループに追加する場合は、グループ追加画面９３００に戻る。

グループ除外ＩＣカードスキャン画面９７００では、グループ設定を削除したいユーザのＩＣカードをＩＣカード読取装置１３１にかざす。前述のＩＣカードスキャン画面７１００と同様に、ＭＦＰ１０１は、ＩＣカード読取装置１３１で読み取ったＩＣカードの固有ＩＤから、ポリシーサーバ３１１に対するユーザ名とパスワードを生成する。ＭＦＰ１０１は、ポリシーサーバ３１１に対して、ＩＣカードの固有ＩＤから生成したユーザ名の存在確認要求し、ユーザＩＤが返却される。ＭＦＰ１０１は、ポリシーサーバ３１１に、返却されたユーザＩＤが所属するグループ取得を要求し、グループＩＤを取得する。ＭＦＰ１０１は、ポリシーサーバ３１１に、返却されたグループＩＤに対するユーザ一覧の取得を要求し、当該グループＩＤに所属しているユーザ一覧が返却される。

当該グループＩＤに所属しているユーザ一覧が当該ユーザＩＤのみの場合は、ＭＦＰ１０１は、当該グループに関するポリシーの削除、当該グループの削除、当該ユーザの削除を行う。ＭＦＰ１０１は、ポリシーサーバ３１１にポリシー一覧の取得を要求し、ポリシーサーバ３１１は保持しているポリシーの一覧を返却する。ＭＦＰ１０１は、返却されたポリシー一覧から、当該グループＩＤをプレフィックスとして持つものを抽出する。さらにＭＦＰ１０１は、抽出したポリシーのポリシーＩＤをポリシーサーバ３１１に渡して、当該ポリシーの削除要求を行う。なお、抽出したポリシーが複数ある場合は、ＭＦＰ１０１は、抽出された全てのポリシーについて、ポリシーの削除を実施する。
さらに、ＭＦＰ１０１は、ポリシーサーバ３１１に、当該グループＩＤに対するグループ削除を要求する。さらに、ＭＦＰ１０１は、ポリシーサーバ３１１に、当該ユーザＩＤの削除を要求する。

一方、当該ユーザのグループＩＤに所属しているユーザ一覧に他のユーザのユーザＩＤが含まれている場合は、ＭＦＰ１０１は、所属するグループから当該ユーザの削除を行う。ＭＦＰ１０１は、グループ管理画面９０００でかざしたＩＣカードに対応するユーザのユーザＩＤを所属するグループから削除することをポリシーサーバ３１１に要求する。

［フローチャートの説明］
〔セキュアスキャンのフローチャート〕
図１１Ａ、図１１Ｂのフローチャートを用いて、本実施形態のポリシーを付与するセキュアスキャンの処理の詳細について説明する。
図１１、図１１Ｂは、表示操作制御部２０１、文書保存制御部２０８、ポリシー制御部２１２によるセキュアスキャンの処理の一例を示すフローチャートであり、図５（ａ）に示したクライアントの処理に相当する。表示操作制御部２０１、文書保存制御部２０８、ポリシー制御部２１２の処理は、ＲＯＭ１１３に記憶されたプログラムがＣＰＵ１１１によって制御されることにより実行される。ポリシー制御部２１２は、以下のフローを実行するための要求を各制御部に要求する。表示操作制御部２０１が、メニュー画面７０００で、セキュアスキャンボタン７００１が押下されたことを入力制御Ｉ／Ｆ１１４を介して検知して、本フローチャートが開始される。本実施形態の本質ではないため、エラー処理の説明は省略している。

まずＳ１２０１において、ポリシー制御部２１２は、ネットワーク上のポリシーサーバ３１１に対して、ポリシーサーバ管理者としてログインを実行する。具体的には、ポリシー制御部２１２が、管理ＤＢ２２０に格納されたポリシーサーバ設定テーブル１５００からポリシーサーバに関する情報（接続先のポリシーサーバ３１１のアドレスや、ポリシーサーバ管理者ＩＤ、パスワード等）を取得する。ポリシー制御部２１２は、ネットワーク制御部２０３を介し、取得したポリシーサーバに関する情報に基づき、通信Ｉ／Ｆコントローラ１１７を用いて、ネットワーク１０２上のポリシーサーバ３１１に対して、ポリシーサーバ管理者としてログインを実行する。なお、ログインが失敗するケースなどの異常処理は、本質ではないので、説明を簡単にするため異常系についての処理は省略する。以下の説明において、ポリシーサーバ３１１とのやり取りについて、ネットワーク制御部２０３を介して、通信Ｉ／Ｆコントローラ１１７を用いて、ネットワーク１０２上のポリシーサーバにアクセスすることは同様のため、説明は省略する。

次にＳ１２０２において、ポリシー制御部２１２は、ＩＣカード制御Ｉ／Ｆ１３０を用いて、ＩＣカード読取装置１３１からＩＣカードのカード固有ＩＤを取得する。ＩＣカードからの読取は既知の技術を用いて行う。カード固有ＩＤとは、ＩＣチップに記録され書き換えが不可能な固有の番号である

次にＳ１２０３において、ポリシー制御部２１２は、ポリシーサーバ３１１のユーザとして登録するためのユーザ名の生成を行う。具体的には、ポリシー制御部２１２は、管理ＤＢ２２０に格納されたポリシーサーバ設定テーブル１５００からユーザＩＤ生成キー１５０４を取得する。さらに、ポリシー制御部２１２は、上記Ｓ１２０２で取得したカード固有ＩＤとユーザＩＤ生成キー合わせた文字列を生成して、一方向ハッシュ関数を適用して、一意なユーザ名を生成する。なお、ユーザ名の生成方法は、この限りでなく、一意な名称を生成できるものであれば、他の方式でも構わない。

次にＳ１２０４において、ポリシー制御部２１２は、ポリシーサーバ３１１のユーザとして登録するためのユーザのパスワードの生成を行う。具体的には、ポリシー制御部２１２は、管理ＤＢ２２０に格納されたポリシーサーバ設定テーブル１５００からパスワード生成キー１５０５を取得する。さらに、ポリシー制御部２１２は、上記Ｓ１２０２で取得したカード固有ＩＤとパスワード生成キーを合わせた文字列を生成して、一方向ハッシュ関数を適用して、一意なパスワードを生成する。なお、パスワードの生成方法は、この限りでなく、一意な名称を生成できるものであれば、他の方式でも構わない。

次にＳ１２０５において、ポリシー制御部２１２は、上記Ｓ１２０３で生成したユーザ名が、ポリシーサーバ３１１に登録済みであるか否かを判断する。ポリシー制御部２１２は、上記Ｓ１２０１でポリシーサーバ管理者としてポリシーサーバ３１１にログインしているため、ポリシーサーバ３１１に対して、上記Ｓ１２０３で生成したユーザ名のユーザの存在確認を行う。ユーザ名が存在している場合は、ポリシーサーバ３１１からユーザＩＤが、ポリシー制御部２１２に返される。ユーザＩＤが返された場合は、ポリシー制御部２１２が、ユーザが存在していると判断し（Ｓ１２０５でＹｅｓと判断し）、Ｓ１２０６に処理を進める。

一方、ユーザＩＤが返されなかった場合は、ポリシー制御部２１２は、ユーザが存在していないと判断し（Ｓ１２０５でＮｏと判断し）、Ｓ１２０７に処理を進める。本実施形態では、Ｓ１２０３で生成したユーザ名で比較しているが、例えば、ユーザ名の代わりに、カード固有ＩＤなどＩＣカードから取得できる一意な情報を利用して、ポリシーサーバに登録済みかどうかを判断する形態でもよい。この場合は、ＩＣカードから取得できる一意な情報がポリシーサーバ３１１にユーザに関する情報として登録されることになる。

Ｓ１２０６において、ポリシー制御部２１２は、ポリシーサーバ３１１に上記Ｓ１２０３で生成したユーザ名が存在しているため、当該ユーザが所属するグループＩＤの取得を行う。具体的には、ポリシー制御部２１２が、ポリシーサーバ３１１に対して、上記Ｓ１２０３で生成したユーザ名の所属するグループの取得を依頼する。ポリシー制御部２１２は、ポリシーサーバ３１１が返却した、当該ユーザ名の所属するグループ一覧を取得する。本実施形態では、１ユーザが１グループに所属する例で説明しているため、１グループのみが返される。Ｓ１２０６の処理の後、ポリシー制御部２１２は、Ｓ１２２０に処理を進める。なお、Ｓ１２２０以降の処理については後述する。

次に、Ｓ１２０５でＮｏの場合の処理について説明する。
Ｓ１２０７において、ポリシー制御部２１２は、ポリシーサーバ３１１に当該ユーザが存在していないので、新規にグループを生成するか、他のユーザ（ＩＣカード）が生成済みのグループに所属させるのかを判断する。表示操作制御部２０１は、グループ設定画面７４００でセキュアスキャンを実行している利用者が入力した指示をポリシー制御部２１２に伝えて、ポリシー制御部２１２が判断する。既存のグループに所属させない場合（Ｓ１２０７でＮｏの場合）、すなわち、新規にグループを作成する場合、ポリシー制御部２１２は、Ｓ１２０８に処理を進める。一方、既存のグループに所属させる場合（Ｓ１２０７でＹｅｓの場合）、ポリシー制御部２１２は、Ｓ１２１５に処理を進める。

Ｓ１２０８において、ポリシー制御部２１２は、グループ名を生成する。グループ名は一意なものであれば構わないので、ＵＵＩＤ（Universally Unique Identifier）などの一意な識別子を生成してもよいし、他の方法で生成してもよい。

次にＳ１２０９において、ポリシー制御部２１２は、ポリシーサーバ３１１に対して、上記Ｓ１２０８で生成したグループ名でグループの作成を行い、グループを識別するグループＩＤを取得する。具体的には、ポリシー制御部２１２は、ポリシーサーバ３１１に対して、上記Ｓ１２０８で生成したグループ名の作成を要求し、ポリシーサーバ３１１から返されるグループＩＤを取得する。

次にＳ１２１０において、ポリシー制御部２１２は、ポリシーサーバ３１１に、基本ポリシーのコピー実施を依頼する。前述のように、基本ポリシーとは、グループに適用されるポリシーの元となるポリシーである。具体的には、ポリシー制御部２１２は、ポリシーサーバ３１１に、ポリシー一覧の取得を依頼する。さらに、ポリシー制御部２１２は、ポリシーサーバ３１１から返されたポリシー一覧から、基本ポリシーを見つけ出す。例えば、基本ポリシーには、ポリシー名称に「Base_」が始まるようになっていれば、それらを見つける。ポリシー制御部２１２は、ポリシーサーバ３１１に、見つかった基本ポリシーのコピーを依頼する。

次にＳ１２１１は、ポリシー制御部２１２は、上記Ｓ１２１０でコピーされた基本ポリシーを、上記Ｓ１２０９で作成したグループ用のポリシーとする。具体的には、ポリシー制御部２１２は、ポリシーサーバ３１１に、上記Ｓ１２１０でコピーされた全ての基本ポリシーのポリシー名称のプレフィックスを上記Ｓ１２０９で取得したグループＩＤに変更させる。

次にＳ１２１２において、ポリシー制御部２１２は、上記Ｓ１２１１で名称変更した当該グループ向けのポリシーの対象を当該グループにする。具体的には、ポリシー制御部２１２は、上記Ｓ１２１１にて上記Ｓ１２０９で作成したグループ向けに名称を変更した全てのポリシーの制限リストの対象を、上記Ｓ１２０９で取得したグループＩＤに変更するよう、ポリシーサーバ３１１に対して指示する。

次にＳ１２１３において、ポリシー制御部２１２は、上記Ｓ１２０３で生成したユーザ名、上記Ｓ１２０４で生成したパスワードで、ポリシーサーバ３１１にユーザの登録を指示する。ポリシーサーバ３１１から登録されたユーザのユーザＩＤが返却するため、ポリシー制御部２１２は、該ユーザＩＤを取得する。

次にＳ１２１４において、ポリシー制御部２１２は、ポリシーサーバ３１１に、上記Ｓ１２０９で作成したグループに、上記Ｓ１２１３で登録したユーザの追加を指示する。以上Ｓ１２０８〜Ｓ１２１４の処理によって、上記Ｓ１２０２で取得したＩＣカードに関するユーザが所属する新規にグループが作成されて、それを適用できるポリシーが準備できた。

次に、Ｓ１２０７でＹｅｓの場合の処理について説明する。
Ｓ１２１５において、ポリシー制御部２１２は、上記Ｓ１２０１で読み取ったＩＣカードに関するユーザを所属させたいグループに所属する別のＩＣカードの固有ＩＤを読み取る。この処理は、異なるＩＣカードの情報を読み取るだけで、上述したＳ１２０２の処理と同じである。

次にＳ１２１６において、ポリシー制御部２１２は、上記Ｓ１２１５で取得したＩＣカードの固有情報からユーザ名、パスワードを生成する。この処理は、上述したＳ１２０３、Ｓ１２０４と同じである。

次にＳ１２１７において、ポリシー制御部２１２は、ポリシーサーバ３１１に、Ｓ１２１５で読み取ったＩＣカードに関するユーザが所属するグループを取得する。具体的には、ポリシー制御部２１２は、ポリシーサーバ３１１に、上記Ｓ１２１６で生成したユーザ名の存在確認を依頼し、ユーザＩＤを取得する。さらに、ポリシー制御部２１２は、取得したユーザＩＤが所属するグループ一覧の取得をポリシーサーバ３１１に依頼する。ポリシーサーバ３１１は、所属するグループのグループＩＤを返すので、ポリシー制御部２１２は、このグループＩＤを取得する。

次にＳ１２１８において、ポリシー制御部２１２は、上記Ｓ１２１５で読み取ったＩＣカードのユーザがグループに所属しているか確認する。具体的には、ポリシー制御部２１２は、上記Ｓ１２１７で、グループＩＤが取得されたかどうかを判断する。なお、上記Ｓ１２１５で読み取ったＩＣカードのユーザがポリシーサーバ３１１に登録されていなかったり、グループに所属していなかったりした場合には、グループＩＤが取得されない。上記Ｓ１２１７でグループＩＤを取得した場合は、グループに所属していると判断する。一方、グループＩＤを取得しなかった場合は、グループに所属していないと判断する。

上記Ｓ１２１７にて上記Ｓ１２１５で読み取ったＩＣカードのユーザがグループに所属していない場合（Ｓ１２１８でＮｏの場合）、ポリシー制御部２１２は、Ｓ１２１９に処理を進める。
Ｓ１２１９において、ポリシー制御部２１２は、表示操作制御部２０１を用いて、ディスプレイ１１９に不図示のエラー画面を表示して、Ｓ１２０７に処理を戻す。

一方、上記Ｓ１２１７にて上記Ｓ１２１５で読み取ったＩＣカードのユーザがグループに所属している場合（Ｓ１２１８でＹｅｓの場合）、ポリシー制御部２１２は、Ｓ１２１３に処理を進め、Ｓ１２０１で読み取ったＩＣカードのユーザの登録処理を行う。

Ｓ１２２０において、ポリシー制御部２１２は、セキュアスキャンにより生成される文書の保存先を取得する。例えば、表示操作制御部２０１が、保存先選択画面７６００で、セキュアスキャンを実行している利用者が入力した保存先の指示をポリシー制御部２１２に伝えて、ポリシー制御部２１２が取得する。

次にＳ１２２１において、ポリシー制御部２１２は、ポリシーサーバ３１１のポリシー一覧を取得する。具体的には、ポリシー制御部２１２は、ポリシーサーバ３１１に、ポリシー一覧の取得を依頼し、取得する。

次にＳ１２２２では、ポリシー制御部２１２は、上記Ｓ１２０１で読み取ったＩＣカードのユーザが登録されているグループが設定することが可能なポリシーの抽出を行う。前述のように、ポリシーのプレフィックスに、グループＩＤが設定されている。このため、ポリシー制御部２１２は、上記Ｓ１２２１で取得したポリシー一覧の中から、当該グループＩＤがプレフィックスとして設定されているポリシーの抽出を行う。

次にＳ１２２３において、ポリシー制御部２１２は、上記Ｓ１２２２で抽出したポリシーを例えば、ポリシー選択画面７７００に表示して、利用者により選択された、文書に適用させたいポリシーを取得する。表示操作制御部２０１は、入力制御Ｉ／Ｆ１１４を介して、タッチパネルの操作を受け取り、ポリシー制御部２１２に指示を伝えることで、ポリシー制御部２１２は、文書に適用されるポリシーを取得する。

次にＳ１２２４において、文書保存制御部２０８は、原稿読込を実施する。文書保存制御部２０８が、スキャナ１２１を動作させて、ＡＤＦもしくは厚板に置かれた原稿を読み取る。スキャンして文書を生成する動作については、既知の動作である。

次にＳ１２２５において、文書保存制御部２０８は、上記Ｓ１２２４で読み込んだ文書を、ポリシーを適用できるフォーマットのファイルに変換する。ポリシーを適用できるフォーマットとは、例えば、ＰＤＦやMicrosoft Officeなどのフォーマットであるが、これに限定されるものではない。

次にＳ１２２６において、ポリシー制御部２１２は、上記Ｓ１２２５で生成した文書をポリシーサーバ３１１に登録し、文書ＩＤと暗号化キーを取得する。具体的には、ポリシー制御部２１２は、ポリシーサーバ３１１に文書登録を要求し、ポリシーサーバ３１１から返却される文書ＩＤと暗号化キーを取得する。

次にＳ１２２７において、ポリシー制御部２１２は、上記Ｓ１２２５で生成したファイルに、ポリシーサーバ３１１のアドレス情報（ＵＲＬ）と、上記Ｓ１２２６取得した文書ＩＤの埋め込みを行う。

次にＳ１２２８において、ポリシー制御部２１２は、上記Ｓ１２２６で取得した暗号化キーを用いて、上記Ｓ１２２５で生成したファイルの本文の暗号化を実施する。暗号化の方式は、暗号化キーで、暗号化、復号を行うことができればよいため、どのような方法であるかは特に問わない。本文のみ暗号化するのは、上記Ｓ１２２６で埋め込んだ、文書ＩＤ、ポリシーサーバのアドレス情報（ＵＲＬ）は、他の環境で参照する必要があるためである。

次にＳ１２２９において、ポリシー制御部２１２は、ポリシーサーバ３１１に、ログアウトを指示する。
次にＳ１２３０において、文書保存制御部２０８は、上記Ｓ１２２０で取得した保存先に、上記Ｓ１２２８で暗号化を施したファイルを移動して保存する。

以上、本フローチャートの処理により、ＩＣカードのタッチ等の簡易な操作で、ＩＣカードの固有情報に基づいたポリシーを適用したファイルを生成することが可能となる。また、複数のＩＣカードのユーザをまとめたグループのポリシーとして扱えるため、スキャンを実行したユーザのみだけでなく、グループに所属する複数のユーザに対して、同じポリシーを適用することが可能となる。なお、本人のみにポリシーを適用したいのであれば、本人のみが所属し、他のユーザが所属していないグループを設定すればよい。

〔ポリシーが適用された文書の印刷のフローチャート〕
図１２のフローチャートを用いて、図１１Ａ、図１１Ｂのフローチャートによってポリシーが付与された文書を印刷する処理の詳細について説明する。説明を分かりやすくするため印刷の例で説明するが、閲覧や編集など他の操作についても同様に適用できる。図１２のフローチャートでは、印刷に特定せず、所望の処理として記載している。

図１２は、表示操作制御部２０１、文書利用制御部２０７、ポリシー制御部２１２によるポリシーが付与された文書の操作（例えば印刷）の処理の一例を示すフローチャートであり、図５（ｂ）に示したクライアントの処理に相当する。表示操作制御部２０１、文書利用制御部２０７、ポリシー制御部２１２の処理は、ＲＯＭ１１３に記憶されたプログラムがＣＰＵ１１１によって制御されることにより実行される。ポリシー制御部２１２は、以下のフローを実行するための要求を各制御部に要求する。例えば、表示操作制御部２０１が、メニュー画面７０００で、印刷ボタン７００２が押下されて印刷対象のファイルが指定されたことを入力制御Ｉ／Ｆ１１４を介して検知して、本フローチャートが開始される。本実施形態の本質ではないため、印刷対象のファイルを選択する処理、エラー処理の説明は省略している。

まずＳ１３０１において、ポリシー制御部２１２は、対象（この例では印刷対象）のファイルを確認する。具体的には、ポリシー制御部２１２は、ファイルに、ポリシーサーバ３１１のアドレス情報（ＵＲＬ）と文書ＩＤが埋め込まれているか確認する。

次にＳ１３０２において、ポリシー制御部２１２は、上記Ｓ１３０１での確認に基づき対象のファイルにポリシーが設定されているか否かを判断する。そして、対象のファイルにポリシーサーバ３１１のアドレス情報（ＵＲＬ）と文書ＩＤが埋め込まれていない場合、ポリシー制御部２１２は、ポリシーが設定されていない通常のファイルと判断し（Ｓ１３０２でＮｏと判断し）、Ｓ１３１４に処理を進める。そして、所望の処理（この例では通常の印刷動作）が実行される。

一方、対象のファイルにポリシーサーバ３１１のアドレス情報（ＵＲＬ）と文書ＩＤが埋め込まれている場合には、ポリシー制御部２１２は、ポリシーが設定されていると判断し（Ｓ１３０２でＹｅｓと判断し）、Ｓ１３０３に処理を進める。

Ｓ１３０３において、ポリシー制御部２１２は、ＩＣカード制御Ｉ／Ｆ１３０を用いて、ＩＣカード読取装置１３１からＩＣカードのカード固有ＩＤを取得する。Ｓ１２０２などで説明した処理と同様である。

次にＳ１３０４において、ポリシー制御部２１２は、ポリシーサーバ３１１のユーザとして登録するためのユーザ名の生成を行う。Ｓ１２０３などで説明した処理と同様である。
次にＳ１３０５において、ポリシー制御部２１２は、ポリシーサーバ３１１のユーザとして登録するためのユーザのパスワードの生成を行う。Ｓ１２０４で説明した処理と同様である。

次にＳ１３０６において、ポリシー制御部２１２は、対象のファイルに埋め込まれたポリシーサーバ３１１のアドレス情報（ＵＲＬ）を取得する。
次にＳ１３０７において、ポリシー制御部２１２は、対象のファイルに埋め込まれた文書ＩＤを取得する。

次にＳ１３０８において、ポリシー制御部２１２は、上記Ｓ１３０６で取得したポリシーサーバ３１１のアドレス情報（ＵＲＬ）と、図４に示したポリシーサーバ設定テーブル１５００のアドレス１５０１を比較して、同一かどうかを判定する。同一でない場合（Ｓ１３０８でＮｏの場合）、ポリシー制御部２１２は、ＭＦＰ１０１が参照するように設定したポリシーサーバと異なるポリシーサーバを参照するファイルと判断し、Ｓ１３１５に処理を進める。Ｓ１３１５において、ポリシー制御部２１２は、不図示のエラー画面の表示を指示して、本フローチャートの処理を終了する。

一方、上記Ｓ１３０６で取得したＵＲＬとアドレス１５０１が同一の場合（Ｓ１３０８でＹｅｓの場合）、ポリシー制御部２１２は、Ｓ１３０９に処理を進める。

Ｓ１３０９において、ポリシー制御部２１２が、Ｓ１３０４で生成したユーザＩＤ、Ｓ１３０５で生成したパスワードを用いて、ポリシーサーバ３１１へログインを行う。
Ｓ１３１０において、ポリシー制御部２１２は、暗号化されているファイルを復号して操作（例えば印刷）するために、ポリシーサーバ３１１に、上記Ｓ１３０７で取得した文書ＩＤに対する権限確認、暗号化キー取得要求を行う。そして、ポリシー制御部２１２は、ポリシーサーバ３１１から返却される暗号化キーと権限一覧を取得する。
次にＳ１３１１で、ポリシー制御部２１２は、ポリシーサーバ３１１にログアウトを要求する。

次にＳ１３１２において、ポリシー制御部２１２は、上記Ｓ１３１０で取得した権限一覧に、所望の操作（この例では印刷）が許可されているかを確認する。所望の操作（印刷）が許可されていない場合（Ｓ１３１２でＮｏの場合）、ポリシー制御部２１２は、Ｓ１３１５に処理を進める。Ｓ１３１５において、ポリシー制御部２１２は、所望の操作（印刷）が許可されていない旨を示すエラー画面（不図示）の表示を指示して、本フローチャートの処理を終了する。

一方、所望の操作（印刷）が許可されている場合（Ｓ１３１２でＹｅｓの場合）、ポリシー制御部２１２は、Ｓ１３１３に処理を進める。
Ｓ１３１３において、ポリシー制御部２１２は、上記Ｓ１３１０で取得した暗号化キーを用いて、対象のファイルを復号する。復号は、暗号化した方法に対応した方法で実施される。図１１Ａ、図１１Ｂで説明したが、暗号化及び復号は、暗号化及び復号ができればどのような方法であってもよい。

次にＳ１３１４において、ポリシー制御部２１２は、上記Ｓ１３１３で復号されたファイルのデータに対して、所望の処理（ここでは印刷処理）を実行する。印刷であれば、文書利用制御部２０７が、プリンタ１２２に指示を行う。

以上、本フローチャートの処理により、ＩＣカードのタッチ等の簡易な操作で、操作対象のファイルに対して、ＩＣカードの固有情報に基づいたポリシーに従う操作の実行が可能となる。すなわち、ポリシーに反する操作の実行が不可能となる。

〔ポリシーを適用するグループを管理するフローチャート〕
図１３Ａ、図１３Ｂのフローチャートを用いて、文書に対してポリシーが適用されるグループの管理を行う処理の詳細について説明する。
図１３Ａ、図１３Ｂは、表示操作制御部２０１、ポリシー制御部２１２によるグループの管理を行う処理の一例を示すフローチャートである。表示操作制御部２０１、ポリシー制御部２１２の処理は、ＲＯＭ１１３に記憶されたプログラムがＣＰＵ１１１によって制御されることにより実行される。ポリシー制御部２１２は、以下のフローを実行するための要求を各制御部に要求する。表示操作制御部２０１が、グループ管理画面９０００で既存グループ追加ボタン９００１が押下されたことを入力制御Ｉ／Ｆ１１４を介して検知して、本フローチャートが開始される。本実施形態の本質ではないため、エラー処理の説明は省略している。

まずＳ１４０１において、ポリシー制御部２１２は、ネットワーク上のポリシーサーバ３１１に対して、ポリシーサーバ管理者としてログインを実行する。Ｓ１２０１と同様である。

次にＳ１４０２において、ポリシー制御部２１２は、ＩＣカード制御Ｉ／Ｆ１３０を用いて、ＩＣカード読取装置１３１からＩＣカードのカード固有ＩＤを取得する。Ｓ１２０２などで説明した処理と同様である。なお、Ｓ１４０２で読み取るＩＣカードは、グループ管理を行うベースとなるものである。以下、Ｓ１４０２で読み取ったＩＣカードから生成されるユーザが所属するグループがあれば、そのグループに、他のＩＣカードから生成されるユーザを追加する。一方、Ｓ１４０２で読み取ったＩＣカードから生成されるユーザが所属するグループがなければ、新規にグループを作成して、該作成したグループに他のＩＣカードから生成されたユーザを追加する。

次にＳ１４０３において、ポリシー制御部２１２は、ポリシーサーバ３１１のユーザとして扱うユーザ名の生成を行う。Ｓ１２０３などで説明した処理と同様である。
次にＳ１４０４において、ポリシー制御部２１２は、上記Ｓ１４０３で生成したポリシーサーバ３１１のユーザのパスワードの生成を行う。Ｓ１２０４で説明した処理と同様である。

次にＳ１４０５において、ポリシー制御部２１２は、上記Ｓ１４０３で生成したユーザ名が、ポリシーサーバ３１１に登録済みであるか否かを判断する。Ｓ１２０５で説明した処理と同様である。なお、ユーザ名が登録済みの場合、ポリシーサーバ３１１からユーザＩＤが、ポリシー制御部２１２に返される。ユーザＩＤが返された場合、ポリシー制御部２１２は、上記Ｓ１４０３で生成したユーザが登録済みであると判断し（Ｓ１４０４でＹｅｓと判断し）、Ｓ１４０６に処理を進める。一方、ユーザＩＤが返されなかった場合、ポリシー制御部２１２は、上記Ｓ１４０３で生成したユーザが登録済みでないと判断し（Ｓ１４０４でＮｏと判断し）、Ｓ１４０７に処理を進める。

Ｓ１４０６において、ポリシー制御部２１２は、ポリシーサーバ３１１から、グループ管理を行うベースとなる当該ユーザが所属するグループＩＤの取得を行う。Ｓ１２０６で説明した処理と同様である。Ｓ１４０６の処理の後、ポリシー制御部２１２は、Ｓ１４１４に処理を進める。Ｓ１４１４以降の処理については後述する。

Ｓ１４０７において、ポリシー制御部２１２は、グループ名を生成する。Ｓ１２０８の説明と同様である。以下、Ｓ１４０８〜Ｓ１４１３の処理も、図１１Ａ、図１１ＢのフローチャートのＳ１２０９〜Ｓ１２１４と同様であるため説明を省略する。Ｓ１４０７〜Ｓ１４１３の処理によって、グループ管理を行うベースとなるグループの作成が行われる。Ｓ１４１３の処理の後、ポリシー制御部２１２は、Ｓ１４１４に処理を進める。

Ｓ１４１４において、ポリシー制御部２１２は、上記Ｓ１４０２で読み取ったＩＣカードに関するユーザが所属するグループに追加するＩＣカードからカード固有ＩＤを取得する。Ｓ１２０２などで説明した処理と同様である。

次にＳ１４１５において、ポリシー制御部２１２は、上記Ｓ１４１４で取得したＩＣカードのカード固有ＩＤからポリシーサーバ３１１のユーザとして扱うユーザ名の生成を行う。Ｓ１２０３などで説明した処理と同様である。Ｓ１４１５で作成したユーザは、上記Ｓ１４０２で読み取ったＩＣカードに対応するベースとなるグループに、追加するためのユーザとなる。

次にＳ１４１６において、ポリシー制御部２１２は、上記Ｓ１４１５で生成したポリシーサーバ３１１のユーザのパスワードの生成を行う。Ｓ１２０４で説明した処理と同様である。

次にＳ１４１７において、ポリシー制御部２１２は、上記Ｓ１４１５で生成したユーザ名が、ポリシーサーバ３１１に登録済みであるか否かを判断する。Ｓ１２０５で説明した処理と同様である。上記Ｓ１４１５で生成したユーザ名が登録済みの場合（Ｓ１４１７でＹｅｓの場合）、ポリシー制御部２１２は、Ｓ１４１８に処理を進める。一方、上記Ｓ１４１５で生成したユーザ名が登録済みでない場合（Ｓ１４１７でＮｏの場合）、ポリシー制御部２１２は、Ｓ１４２１に処理を進める。

Ｓ１４１８において、ポリシー制御部２１２は、上記Ｓ１４１５で生成したユーザ名、上記Ｓ１４１６で生成したパスワードで、ポリシーサーバ３１１にユーザの登録を要求し、ポリシーサーバ３１１から返却されるユーザＩＤを取得する。Ｓ１２１３の説明と同様である。Ｓ１４１８の処理の後、ポリシー制御部２１２は、Ｓ１４１９に処理を進める。Ｓ１４１９以降の処理については後述する。

Ｓ１４２１において、ポリシー制御部２１２は、ポリシーサーバ３１１から、上記Ｓ１４１５で生成したユーザが所属するグループＩＤを取得する。Ｓ１２１７と同様の処理である。

次にＳ１４２２において、ポリシー制御部２１２は、上記Ｓ１４０６で取得したグループＩＤと、上記Ｓ１４２１で取得したグループＩＤが同一か否かを判断する。上記Ｓ１４０６で取得したグループＩＤと上記Ｓ１４２１で取得したグループＩＤが同一の場合（Ｓ１４２２でＹｅｓの場合）、ポリシー制御部２１２は、Ｓ１４３０に処理を進める。このケースの場合、すでにベースとなるグループに、上記Ｓ１４１４で読み取ったＩＣカードに関するユーザは登録済みである。Ｓ１４３０において、ポリシー制御部２１２は、登録済画面９５００のようなエラー画面の表示を指示して、Ｓ１４１４に処理を戻し、別のＩＣカードのユーザのグループへの追加を行うように制御する。

一方、上記Ｓ１４０６で取得したグループＩＤと上記Ｓ１４２１で取得したグループＩＤが同一でない場合（Ｓ１４２２でＮｏの場合）、ポリシー制御部２１２は、Ｓ１４２３に処理を進める。このケースの場合は、上記Ｓ１４１４で読み取ったＩＣカードがすでに別のグループのユーザとして登録されていることになる。

Ｓ１４２３において、ポリシー制御部２１２は、上記Ｓ１４１４で読み取ったＩＣカードの所属グループを変更するか否かを確認する。例えば、表示操作制御部２０１が、グループ変更確認画面９６００のような画面で、利用者の判断結果をポリシー制御部２１２に伝えて、ユーザ操作に基づきポリシー制御部２１２が判断を行う。そして、所属グループを変更しない場合（Ｓ１４２３でＮｏの場合）、ポリシー制御部２１２は、Ｓ１４１４に処理を戻し、別のＩＣカードのユーザのグループへの追加を行うように制御する。

一方、所属グループを変更する場合（Ｓ１４２３でＹｅｓの場合）、ポリシー制御部２１２は、Ｓ１４２４に処理を進める。
Ｓ１４２４において、ポリシー制御部２１２は、上記Ｓ１４２１で取得したグループＩＤのグループに所属するユーザ一覧の取得を行う。具体的には、ポリシー制御部２１２は、ポリシーサーバ３１１に、当該グループＩＤを指定して、ユーザの一覧取得を要求し、ポリシーサーバ３１１から返却されるグループに所属するユーザ一覧を取得する。

次にＳ１４２５において、ポリシー制御部２１２は、上記Ｓ１４２４で取得したユーザ一覧が上記Ｓ１４１５で生成したユーザのみであるかどうかを判断する。
そして、上記Ｓ１４２４で取得したユーザ一覧が上記Ｓ１４１５で生成したユーザのみの場合、当該グループに当該ユーザのみ所属と判断し（Ｓ１４２５でＹｅｓと判断し）、ポリシー制御部２１２は、Ｓ１４２６に処理を進める。このケースの場合、上記Ｓ１４２１で取得したグループＩＤのグループには、上記Ｓ１４１５で生成したユーザしか所属していない。このため、当該グループから当該ユーザが抜けると、当該グループに所属するユーザが存在しなくなる。このため、Ｓ１４２６〜Ｓ１４２９の処理では、当該グループと、当該グループに適用されるポリシーの削除を行う必要がある。以下、詳細に説明する。

Ｓ１４２６において、ポリシー制御部２１２は、ポリシーサーバ３１１に、ポリシー一覧の取得を依頼し、ポリシーサーバ３１１から返されるポリシー一覧を取得する。ポリシーサーバ３１１から返されるポリシー一覧は、ポリシーＩＤとポリシー名称の組み合わせで構成されている。

次にＳ１４２７において、ポリシー制御部２１２は、上記Ｓ１４２６で取得したポリシー一覧の中で、ポリシー名称が、上記Ｓ１４２１で取得したグループＩＤをプレフィックスに持つポリシーＩＤを抽出する。

次にＳ１４２８において、ポリシー制御部２１２は、上記Ｓ１４２７で抽出した全てのポリシーＩＤに対して、ポリシーサーバ３１１にポリシー削除要求を行う。
次にＳ１４２９において、ポリシー制御部２１２は、上記Ｓ１４２１で取得したグループＩＤのグループ削除をポリシーサーバ３１１に要求する。

一方、上記Ｓ１４２５において、上記Ｓ１４２４で取得したユーザ一覧が上記Ｓ１４１５で生成したユーザのみでない場合（Ｓ１４２５でＮｏの場合）、ポリシー制御部２１２は、Ｓ１４３１に処理を進める。このケースの場合、上記Ｓ１４１５で生成したユーザ以外のユーザが当該グループに存在しているため、グループや、グループに適用するポリシーを削除することはできない。

Ｓ１４３１において、ポリシー制御部２１２は、上記Ｓ１４１５で生成したユーザのみを当該グループから削除する。具体的には、ポリシー制御部２１２が、Ｓ１４２１で取得したグループＩＤのグループから、Ｓ１４１５で生成したユーザの削除をポリシーサーバ３１１に要求する。Ｓ１４３１の処理の後、ポリシー制御部２１２は、Ｓ１４１９に処理を進める。

Ｓ１４１９において、ポリシー制御部２１２は、ポリシーサーバ３１１に、上記Ｓ１４０６又はＳ１４０８で取得したグループＩＤに、上記Ｓ１４１５で生成したユーザの追加を要求する。なお、上記Ｓ１４１８からＳ１４１９が呼ばれた場合は、新規に登録されたユーザが、ベースとなるグループに追加される。また、上記Ｓ１４２９又はＳ１４３１からＳ１４１９が呼ばれた場合は、別のグループに属していたが、そのグループから抜けて、改めてベースとなるグループに追加される。

Ｓ１４２０において、ポリシー制御部２１２は、別のＩＣカードをベースとなるグループに追加するか否かを確認する。例えば、表示操作制御部２０１が、追加確認画面９４００のような画面で、利用者の判断結果をポリシー制御部２１２に伝えて、ユーザ操作に基づき、ポリシー制御部２１２が判断を行う。

他のＩＣカードを追加する場合（Ｓ１４２０でＹｅｓの場合）、ポリシー制御部２１２は、Ｓ１４１４に処理を戻し、別のＩＣカードのユーザのグループへの追加を行うように制御する。
一方、他のＩＣカードを追加しない場合（Ｓ１４２０でＮｏの場合）、ポリシー制御部２１２は、本フローチャートの処理を終了する。

なお、図８のグループ管理画面９０００のグループから除外ボタン９００２が押下された場合の処理は、ベースとなるグループからのユーザ（ＩＣカード）の削除の処理を行うことになる。この処理は、図１３ＢのＳ１４２１、Ｓ１４２４〜Ｓ１４２９及びＳ１４３１の処理によって実現できるため、説明は省略する。

以上示したように、第１実施形態では、例えばＩＣカードの固有ＩＤを用いて、ユーザ名、パスワードを生成して、動的にポリシーサーバにユーザの生成を行い、文書にポリシーの付与を行う構成を有する。これにより、不特定多数のユーザが利用する環境で、ＭＦＰやスキャナ等の画像処理装置で、簡易な用法で、ポリシーの付与されたセキュリティの高い文書を生成することが可能となる。すなわち、ＭＦＰに対してＩＣカードをかざす等の簡易な操作で、ポリシーを適用するファイルを簡易に生成することができる。また、同様にＩＣカードをかざす等の簡易な操作で、複数のＩＣカードに対して同じポリシーをグループとして適用することが可能になり、複数ユーザ間でのセキュリティを保ったファイルの共有をすることも可能となる。これらを実現するために、シェアオフィスなどにＭＦＰを設置した事業者は、図４のようなポリシーサーバの設定だけを行えばよい。ポリシーサーバでのユーザ、グループの管理や、文書へのポリシー付加、ポリシーに応じた文書操作など、クライアント（ＭＦＰ）とポリシー間のやり取りは、ＭＦＰが内部で実施され、シェアオフィスなどの事業者は関与する必要がない。このように、シェアオフィスなどの事業者が煩雑なユーザ管理、ポリシー管理等を行う必要がないセキュアなスキャン環境を、低コストで構築することが可能となる。

〔第２実施形態〕
上記第１実施形態では、ポリシーを適用するユーザ、グループの追加を行う構成であった。このような構成の場合、当該ユーザ（グループ）が、シェアオフィスを使わなくなった場合などに、無駄なユーザ、グループが登録されたままになってしまう。この場合、不要な資源が確保されたままとなり、大量に登録されたままだとパフォーマンスに影響を与えることになる。また、特にシェアオフィスのような環境に置かれたＭＦＰでは、不特定多数のユーザが利用しており、誰が使っているのかをシェアオフィスの事業者が把握することは難しく、どのユーザを削除していいのかの判断ができない。このため、シェアオフィスの事業者等が手動操作で無駄なユーザ、グループの削除を行うことは困難である。そこで、本実施形態では、不要なユーザ、グループを自動的に削除する構成について説明する。

図１４（ａ）は、第２実施形態におけるポリシーサーバ設定画面１６００と、ポリシーサーバ設定テーブル１６１０の一例を示す図である。ポリシーサーバ設定画面１６００とポリシーサーバ設定テーブル１６１０はそれぞれ、図４のポリシーサーバ設定画面６００とポリシーサーバ設定テーブル１５００に対応する。しかし、ポリシーサーバ設定画面１６００には未使用ユーザ削除日数１６０１、ポリシーサーバ管理テーブル１６１１０には未使用ユーザ削除日数のフィールド１６１１が追加されている。

ＭＦＰの管理者は、予め、未使用ユーザ削除日数１６０１に、ポリシーサーバを利用しなくなったユーザを削除するまでの日数を入力して設定しておく。ＭＦＰの管理者は、一般的にシェアオフィスなどＭＦＰを設置した事業者である。未使用ユーザ削除日数１６０１は、最後にポリシーサーバ３１１にアクセスしてからの経過日数であり、この日数を超えたユーザは、一定期間アクセスが無いため、ユーザの削除が行われる。後述するが、ユーザ削除に応じて、該当するグループ、ポリシーも削除が必要であれば、同時に削除を行う。未使用ユーザ削除日数１６０１に入力された値は、管理ＤＢ２２０に格納されるポリシーサーバ設定テーブル１６１０の未使用ユーザ削除日数のフィールド１６１１に記録される。

以下、第２実施形態のユーザ管理テーブルについて説明する。
図１４（ｂ）は、第２実施形態のユーザ管理テーブルの一例を示す図である。
図１４（ｂ）に示すように、第２実施形態のユーザ管理テーブル１８００は、図３（ａ）のユーザ管理テーブル４００に、最終アクセス日時のフィールド１８０１が追加されたものである。最終アクセス日時のフィールド１８０１に記録された日時に、未使用ユーザ削除日数のフィールド１６１１に記録された日数を追加した日時が、現在時刻を超えているユーザがいれば、そのユーザは削除対象となる。

なお、図１４（ｂ）の例では、最終アクセスのタイミングを日時で例示しているが、日付だけでもよいし、他に一定期間利用されていないことが分かる情報であれば、日時、最終アクセス日時に限定されない。また、ポリシーサーバ３１１のユーザ管理テーブルに、最終アクセス日時を記録するのは一例であり、ユーザ管理テーブル以外の記憶領域で最終アクセス日時等を管理する形態でもよい。例えば、ＭＦＰからアクセスできるクラウド上のストレージにユーザ管理テーブルに相当するデータベースを配置し、ユーザ管理テーブルを更新するときに、同時に、クラウド上のストレージにユーザ管理テーブルを更新する。ユーザの削除の可否を確認するときに、このクラウド上のストレージにユーザ管理テーブルを参照するような形態でもよい。

図１５のフローチャートを用いて、ユーザ、グループの削除について説明する。
図１５は、ポリシー制御部２１２によるユーザ、グループの削除の処理の一例を示すフローチャートである。ポリシー制御部２１２の処理は、ＲＯＭ１１３に記憶されたプログラムがＣＰＵ１１１によって制御されることにより実行される。ポリシー制御部２１２は、以下のフローを実行するための要求を各制御部に要求する。本実施形態の本質ではないため、エラー処理の説明は省略している。本フローチャートは、ＣＰＵ１１１で実行される不図示のタイマー等によって、一定期間ごとに開始される。例えば、ＭＦＰの利用が少ない、毎日午前０時に、本フローチャートが実行される。開始時間や、実行間隔は、ＭＦＰの管理者により不図示である設定画面から設定されるものとする。

まずＳ１７０１において、ポリシー制御部２１２は、ポリシーサーバ３１１にユーザ一覧取得を要求し、ポリシーサーバ３１１から返却される、ユーザ管理テーブル１８００に格納されている全てのユーザの情報を取得する。
次にＳ１７０２において、ポリシー制御部２１２は、未使用ユーザ削除日数１６１１を参照して、未使用ユーザ削除日数を取得する。

次にＳ１７０３において、ポリシー制御部２１２は、上記Ｓ１７０１で取得したユーザで、最終アクセス日時から、未使用ユーザ削除日数経過しているユーザが存在しているか確認する。具体的には、Ｓ１７０１で取得したユーザ一覧の最終アクセス日時１８０１が、現在日時からＳ１７０２で取得した未使用ユーザ削除日数１６１１よりも前かどうかを確認する。

未使用ユーザ削除日数経過しているユーザが存在しない場合（Ｓ１７０３でＮｏの場合）、ポリシー制御部２１２は、本フローチャートの処理を終了する。

一方、未使用ユーザ削除日数経過しているユーザが存在する場合（Ｓ１７０３でＹｅｓの場合）、ポリシー制御部２１２は、該当するユーザのユーザＩＤを１つ選択し、Ｓ１７０４に処理を進める。

Ｓ１７０４において、ポリシー制御部２１２は、上記Ｓ１７０３で取得したユーザＩＤが所属するグループＩＤを取得する。この処理は、Ｓ１４２１と同様である。
次にＳ１７０５において、ポリシー制御部２１２は、上記Ｓ１７０４で取得した当該グループＩＤに所属する全ユーザ一覧の取得をポリシーサーバ３１１に要求する。この処理は、Ｓ１４２４と同様である。

次にＳ１７０６において、ポリシー制御部２１２は、上記Ｓ１７０５で取得したユーザ一覧に含まれるユーザが、上記Ｓ１７０３で選択したユーザＩＤのみか否かを判断する。この処理は、Ｓ１４２５と同様である。そして、上記Ｓ１７０５で取得したユーザ一覧が上記Ｓ１７０３で選択したユーザのみの場合、当該グループに当該ユーザのみ所属と判断し（Ｓ１７０６でＹｅｓと判断し）、ポリシー制御部２１２は、Ｓ１７０７に処理を進める。

Ｓ１７０７〜Ｓ１７１０では、当該グループに当該ユーザのみしか含まれないため、対象のグループと当該グループに適用するポリシーの削除も不要になるため、併せて削除を行う。この処理は、Ｓ１４２６〜Ｓ１４２９と同様である。Ｓ１７０７〜Ｓ１７１０の処理の後、ポリシー制御部２１２は、Ｓ１７１２に処理を進める。

一方、上記Ｓ１７０６にて、上記Ｓ１７０５で取得したユーザ一覧に上記Ｓ１７０３で選択したユーザ以外が含まれる場合、当該グループに該ユーザのみ所属でないと判断し（Ｓ１７０６でＮｏと判断し）、ポリシー制御部２１２はＳ１７１１に処理を進める。

Ｓ１７１１では、上記Ｓ１７０５で取得したユーザ一覧に含まれるユーザが、上記Ｓ１７０３で選択したユーザＩＤ以外のユーザいるため、ポリシー制御部２１２は、当該グループから該当ユーザの削除のみを行う。この処理は、Ｓ１４３１と同様である。Ｓ１７１１の処理の後、ポリシー制御部２１２は、Ｓ１７１２に処理を進める。

Ｓ１７１２において、ポリシー制御部２１２は、ポリシーサーバ３１１に、上記Ｓ１７０３で選択したユーザＩＤのユーザの削除を要求する。その後、ポリシー制御部２１２は、上記Ｓ１７０３に処理を戻し、削除したユーザを除いて、他に未使用ユーザ削除日数経過しているユーザが存在しているか確認するように制御する。

以上、第２実施形態によれば、ポリシーを適用するユーザ、グループの追加を自動で行う場合でも、ＭＦＰの管理者の手間を掛けることなく、ＭＦＰを使用しなくなった不要なユーザ、グループ、ポリシーの削除を自動で実施することが可能になる。

〔第３実施形態〕
上記第１実施形態では、予め用意した基本ポリシーをコピーして、該当するグループに適用するようにしているが、独自のアクセス権を設定したポリシーを適用できるようにしてもよい。第３実施形態では、独自のアクセス権を設定したポリシーを適用できるようにする例を示す。

図１６は、第３実施形態のポリシー選択画面の一例を示す図である。
例えば、ポリシー選択画面１９０００に、独自ポリシー作成ボタン１９００１を設け、ユーザが自らポリシーを作りたい場合に対応する。

独自ポリシー作成ボタン１９００１が押下されると、アクセス権設定画面１９１００へ遷移し、ユーザ独自のポリシーを作成可能である。なお、アクセス権設定画面１９１００において、既存ポリシー選択ボタン１９１０１を押下すると、ポリシー選択画面１９０００へ戻ることができる。

アクセス権設定画面１９１００において、ユーザは、アクセス権１９１０２を設定する。この例では、印刷許可、閲覧許可と作成してからの文書の有効期限を日単位で設定できる。アクセス権１９１０２の設定がなされ、「確定」ボタンが押下されると、ポリシー制御部２１２は、設定されたアクセス権に基づく独自ポリシーを作成する。ポリシー制御部２１２は、該アクセス権の内容、ＩＣカードスキャン画面７１００等で読み取られたＩＣカードのカード固有ＩＤに基づくユーザが所属するグループのグループＩＤ等を、ポリシーサーバ３１１に送信し、ポリシーの登録を要求する。この際、独自ポリシーを表す名称をＭＦＰ１０１側で指定して、ポリシーサーバ３１１に送信してもよい。ポリシーサーバ３１１は、独自ポリシーを表す固定名称に、グループＩＤをプレフィックスにしたものをポリシー名称として、該アクセス権に対応する独自ポリシーを作成し、登録する。

例えば、独自ポリシーを表す固定名称が「OriginalPolicy」、グループＩＤが「G_acdg0357」なら、「G_acdg0357_OriginalPolcy」のポリシー名称となる。そして、スキャンした文書には、このポリシーが適用される。なお、独自ポリシーを表す固定名称は、予約語となるため、ポリシー名称として利用することができなくする。

また、以降の同一グループのユーザがセキュアスキャンを実施するときに、図１１ＢのＳ１２２２で説明したように、グループＩＤでフィルタされる。これにより、各グループで作成した独自ポリシーが、ポリシー選択画面１９０００の選択対象に含まれて、再利用が可能となる。独自ポリシーを固定名称で１つだけ登録する例で示しているが、各グループで独自のポリシーを複数登録できるようにしても構わない。この場合、「G_acdg0357_OriginalPolcy1」、「G_acdg0357_OriginalPolcy2」、「G_acdg0357_OriginalPolcy3」のように、ポリシー名を付けてもよい。

以上、第３実施形態によれば、簡単な操作でユーザ独自のポリシーを設定することが可能となる。

〔第４実施形態〕
ＩＣカードの固有ＩＤを用いて、ポリシーサーバ３１１でのユーザ名称、パスワードの生成を行っているが、この限りではない。例えば、各ユーザに配布されたＱＲコード（登録商標）のような二次元コード等を用いて、ユーザ名称、パスワードの生成を行ってもよい。ＱＲコードに直接、ユーザ名称、パスワードを埋め込んでも構わないし、あるいは、ＩＣカードの固有ＩＤのように、一意なＩＤをＱＲコードに埋め込んで、ＩＣカードの固有ＩＤと同様に扱ってもよい。

ＩＣカードスキャン画面７１００などＩＣカードの読み込みを促す画面の代わりに、ＱＲコードの読み込みを促す画面を表示して、スキャナ１２１を用いて、ＱＲコードを読み込むようにしてもよい。この場合、前述のフローチャートのＳ１２０２、Ｓ１２１５、Ｓ１３０３、Ｓ１４０２、Ｓ１４１４などのＩＣカードの固有ＩＤを読み込む処理が、ＱＲコードの一意なＩＤを読み込む処理に代わる。また、ＩＣカードとＱＲコードは、排他でなく、ユーザが両者を選択できるようになっていてもよい。

〔第５実施形態〕
第１実施形態では、図１１ＢのＳ１２２２で、ポリシーサーバ３１１から当該グループに適用可能ポリシーを抽出して、ポリシー選択画面７７００を表示していた。毎回、どのポリシーを適用するのか、ユーザは選択する必要があった。そこで、前回選択したポリシーを予め選択した状態にしておく形態でもよい。毎回、適用するポリシーは同じことが多いため、ユーザがセキュアスキャン時にポリシーを選択する手間を省くことが可能となる。

以下、具体的な例を示す。
グループを作成した後の初回選択では、ポリシー選択画面７７００で、ユーザに、文書に適用させるポリシーを選択させる。例えば、「G_acdg0357_印刷有効期限（１週間）」が選択されたとすると、プレフィックスのグループＩＤとポリシー名称の間に、選択したことを示すキーワードを埋め込む。例えばキーワードを「Selected」とすると、「G_acdg0357_Selected_印刷有効期限（１週間）」として、ポリシーサーバ３１１にポリシー名称を変更するように要求する。

その後、当該グループに属するユーザがセキュアスキャンを実行した場合、ポリシー制御部２１２がＳ１２２１で取得するポリシー一覧に、前記のキーワードが記載されたポリシー名称のポリシーが含まれる。ポリシー制御部２１２は、Ｓ１２２２において、当該グループが設定可能なポリシーを抽出する際に、抽出されたポリシーの中で、キーワードを含むポリシー名称をさらに抽出し、抽出されたポリシーを選択状態に制御する。

図１７は、第５実施形態のポリシー選択画面の一例を示す図であり、前回利用したポリシーが選択された状態で表示される。
例えば、現在、セキュアスキャンの操作を行っているユーザと同一のグループに属するユーザが前回「印刷・閲覧許可（有効期限１週間）」を選択していた場合を例に説明する。このケースの場合、図１７のポリシー選択画面２００００に例示するように、「印刷・閲覧許可（有効期限１週間）」２０００１が選択された状態で、ポリシー選択画面が表示される。

この状態から別のポリシーが選択された場合、ポリシー制御部２１２は、現在、キーワードが付与されたポリシー名称からキーワードを取り除いた名称をポリシー名称とするように、ポリシーサーバ３１１に要求する。さらに、ポリシー制御部２１２は、新たに選択されたポリシーのポリシー名称にキーワードを追加した名称をポリシー名称とするように、ポリシーサーバ３１１に要求する。このようにすることで、次から、新たに選択されたポリシーが選択された状態で、ポリシー選択画面２００００が表示されるようになる。

また、上記各実施形態では、ユーザを特定する携帯機器をＩＣカードとして説明を行ったが、ユーザを一意に特定できる同様の効果をもたらすものであれば、ＩＣカードに限定されるものではなく、ＩＣカード以外の携帯機器を用いてもよい。例えば、ユーザが保有するスマートフォンやウェアラブルウォッチなど、ＮＦＣ等の近距離無線通信を搭載したユーザのウェアラブルデバイス（パーソナルデバイス）等の携帯機器を用いて、ユーザを特定するような形態でもよい。

さらには、上記各実施形態では、セキュアスキャンによりポリシーを付加した文書をＵＳＢメモリやクラウドストレージ等へ保存する形態を説明した。しかし、前述のように、スマートフォンなどのパーソナルデバイスを利用してユーザを特定した場合に、パーソナルデバイスの保存領域に、ポリシーを付加した文書を保存してもよい。パーソナルデバイスの保存領域に保存する技術としては、例えば、公知の技術として、ＮＦＣでタッチすると、ＷｉＦｉやＢｌｕｅｔｏｏｈ（登録商標）で接続して、ファイルをやり取りする等ものがある。

また、予めポリシーサーバ管理者ＩＤ、ポリシーサーバ管理者パスワードの代わりに、ＭＦＰやスキャナ等のクライアントデバイスの識別情報（例えばシリアルナンバーやＭＡＣアドレス等）を用いてもよい。

以上のように、暗号化されたファイルは、前記識別情報に基づく前記ポリシーに従うセキュリティの設定が紐づけられ、該ポリシーに従うセキュリティの設定に従い、該ファイルへの少なくとも一部の操作の制限が可能になる。
よって、不特定多数に利用されるシェアオフィスやコワーキングスペースなどの環境のＭＦＰ等でも、ユーザの個人設定をＭＦＰ等やポリシーサーバに登録することなく、簡易な操作でセキュリティポリシが付与されたドキュメントを作成できる。
例えば、ＩＣカードをかざすだけの簡易な操作で、スキャンした文書にポリシーを付与して、セキュリティを高くすることが可能となる。また、ポリシーが付与された文書を利用するときも、ＩＣカードをかざすだけで簡単にポリシーを確認して、権限がある操作のみを行うことが可能となる。このように、簡便な操作によるポリシー付き文書生成が可能となる。
このように、ＩＣカードのタッチ等の簡単な操作だけで、セキュリティの高いポリシーが付与された文書の生成、操作を行う機能を備えた画像形成装置を実現することができる。
なお、ＩＣカードのタッチに限らず、ユーザＩＤ、パスワードをユーザに操作画面等から入力させてもよい。

なお、上述した各種データの構成及びその内容はこれに限定されるものではなく、用途や目的に応じて、様々な構成や内容で構成されることは言うまでもない。
以上、一実施形態について示したが、本発明は、例えば、システム、装置、方法、プログラムもしくは記憶媒体等としての実施態様をとることが可能である。具体的には、複数の機器から構成されるシステムに適用しても良いし、また、一つの機器からなる装置に適用しても良い。
また、上記各実施形態を組み合わせた構成も全て本発明に含まれるものである。

（その他の実施形態）
本発明は、上述の実施形態の１以上の機能を実現するプログラムを、ネットワーク又は記憶媒体を介してシステム又は装置に供給し、そのシステム又は装置のコンピュータにおける１つ以上のプロセッサーがプログラムを読出し実行する処理でも実現可能である。また、１以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。
また、本発明は、複数の機器から構成されるシステムに適用しても、１つの機器からなる装置に適用してもよい。
本発明は上記実施形態に限定されるものではなく、本発明の趣旨に基づき種々の変形（例えば各実施形態の有機的な組合せを含む）が可能であり、それらを本発明の範囲から除外するものではない。即ち、上述した各実施形態及びその変形例を組み合わせた構成も全て本発明に含まれるものである。

Claims

スキャナであって、
複数のユーザで共有される、ポリシーサーバに登録された所定のアカウント情報を管理する管理手段と、
ユーザが保有する携帯機器から読み取り可能な識別情報を受け付ける受付手段と、
前記ポリシーサーバに、前記所定のアカウント情報を用いてアクセスするアクセス手段と、
前記ポリシーサーバに、前記受け付けた識別情報に基づき、ポリシーを登録する登録手段と、
スキャンして得られた画像データを含む暗号化されたファイルの保存を制御する制御手段と、を有し、
前記暗号化されたファイルには、前記識別情報に基づく前記ポリシーに従うセキュリティの設定が紐づけられ、
前記ポリシーに従うセキュリティの設定に従い、該ファイルへの少なくとも一部の操作の制限が可能になることを特徴とするスキャナ。
前記登録手段は、前記受け付けた識別情報からユーザ情報を生成し、該生成したユーザ情報を、前記ポリシーサーバに前記ポリシーと紐づけて登録することを特徴とする請求項１に記載のスキャナ。
前記ユーザ情報は前記ポリシーサーバに登録されたグループに紐付けされ、該グループは前記ポリシーと紐づけされていることを特徴とする請求項２に記載のスキャナ。
前記暗号化されたファイルに紐づけされるセキュリティの設定に対応するポリシーは、前記スキャナにおいて選択可能なことを特徴とする請求項１〜３のいずれか１項に記載のスキャナ。
前記暗号化されたファイルに紐づけられるセキュリティの設定に対応するポリシーは、前記ポリシーサーバに登録されている１又は複数のポリシーから選択可能なことを特徴とする請求項４に記載のスキャナ。
前記暗号化されたファイルに紐づけられるセキュリティの設定に対応するポリシーは、前記スキャナにおいて作成可能なことを特徴とする請求項４又は５に記載のスキャナ。
前記保存されたファイルには、前記ポリシーサーバにアクセスするためのＵＲＬが設定されることを特徴とする請求項１〜６のいずれか１項に記載のスキャナ。
前記携帯機器から読み取り可能な識別情報を再び用いることで、前記暗号化されたファイルを復号するために、前記ポリシーサーバから復号キーを取得する取得手段をさらに有することを特徴とする請求項１〜７のいずれか１項に記載のスキャナ。
前記制御手段は、前記取得手段により取得された復号キーを用いて、前記暗号化されたファイルを復号することを特徴とする請求項８に記載のスキャナ。
前記携帯機器は、ＩＣカードであることを特徴とする請求項１〜９のいずれか１項に記載のスキャナ。
前記携帯機器は、ユーザのウェアラブルデバイスであることを特徴とする請求項１〜９のいずれか１項に記載のスキャナ。
前記所定のアカウント情報は、前記スキャナを設置してサービスを提供する事業者によって、前記ポリシーサーバに対して登録されたアカウント情報であることを特徴とする請求項１〜１１のいずれか１項に記載のスキャナ。
前記アカウント情報として、前記スキャナの識別情報を用いることを特徴とする請求項１〜１１のいずれか１項に記載のスキャナ。
前記スキャナは、印刷部をさらに備えることを特徴とする請求項１〜１３のいずれか１項に記載のスキャナ。
前記ポリシーにおいて印刷が許可されていない場合には、前記保存されたファイルから復号されて得られる画像データを印刷することが制限されることを特徴とする請求項１〜１４のいずれか１項に記載のスキャナ。
スキャナの制御方法であって、
ユーザが保有する携帯機器から読み取り可能な識別情報を受け付ける受付工程と、
複数のユーザで共有される、ポリシーサーバに登録された所定のアカウント情報を用いて、前記ポリシーサーバにアクセスするアクセス工程と、
前記ポリシーサーバに、前記受け付けた識別情報に基づき、ポリシーを登録する登録工程と、
スキャンして得られた画像データを含む暗号化されたファイルの保存を制御する制御工程と、を有し、
前記暗号化されたファイルには、前記識別情報に基づく前記ポリシーに従うセキュリティの設定が紐づけられ、
前記ポリシーに従うセキュリティの設定に従い、該ファイルへの少なくとも一部の操作の制限が可能になることを特徴とするスキャナの制御方法。
コンピュータに、請求項１６に記載のスキャナの制御方法を実行させるためのプログラム。